[2026-07-03] Detection Methods of Slow Read DoS Using Full Packet Capture Data

Background

Slow Read

1. TCP handshake : 정상 트래픽처럼 보이게 함
2. 큰 데이터를 요청
3. Receive Window Size를 작은 값으로 설정하여 서버의 응답을 매우 느린 속도로 수신.
   • 0으로 설정할 경우 연결은 유지하되, TCP 페이로드 데이터는 보내지 않음
   • sender는 receiver가 데이터를 받을 준비가 됐는지, 주기적으로 probe
   • receiver는 TCP window는 0으로 advertise하고, probe에는 응답하여 sender의 자원을 소비

Collection and Analysis Tools

Full Packet Capture (FPC) : 모니터링할 수 있는 특징들을 보유한 전체 패킷 (PCAP)

• 모든 데이터 패킷에 대한 완전한 기록을 제공
• 도구
  • TShark : 네트워크 트래픽이나 저장된 패킷 데이터셋을 캡처하고 분석하는 네트워크 프로토콜 분석기
  • Tcpdump : 컴퓨터가 연결된 네트워크를 통해 전송되거나 수신되는 TCP/IP 및 기타 패킷을 사용자가 화면에 표시
  • Libpcap : 네트워크 카드에서 패킷을 직접 가로채 올 수 있도록 API를 제공하는 가장 밑단의 핵심 라이브러리
  • Dumpcap : 화면 출력이나 무거운 분석 기능 없이, 오직 패킷을 빠르게 캡처해서 디스크에 파일(PCAP-NG)로 저장

Attack Tool

SlowHTTPTest : Slowloris, Slow HTTP POST, 그리고 Slow Read와 같은 애플리케이션 계층 DoS 공격을 실행

Experiment

Data Collection Process

• Environment : 캠퍼스 네트워크. 강의실, 실습실 및 사무실의 호스트로 구성
  • 스위치, 서버 및 라우터, Cisco 방화벽
  • 학생 리소스 포털 : Apache 웹 서버, Linux CentOS 운영체제, Intel 3.30GHz 프로세서 및 32GB 메모리
• Tool
  • 캡처 도구 : Dumpcap
  • 공격 도구 : SlowHTTPTest
• 공격 시나리오
  1. 은밀한 시나리오 : 1초에서 5초 사이의 무작위 연결 간격을 두고 500개의 연결을 사용하는 단일 공격 호스트
  2. 중간 수준의 공격 : 1초에서 5초 사이의 동일한 무작위 연결 간격으로 1,000개의 연결
  3. 가장 은밀하지 않은 공격 : 1,500개의 연결을 사용하고 1초에서 5초 사이의 무작위 연결 간격 설정
     • 공격이 시작되는 시점과 종료되는 시점의 고유한 트래픽 동작을 캡처하기 위해서 공격 전후로 유휴 트래픽을 확보
• 데이터 라벨링
  • 공격 : 공격자 PC의 고정 IP 주소에서 온 트래픽
  • 정상 : 이외의 사용자들이 보낸 트래픽

Machine Learning Algorithms

자바(Java JDK 8u91) 기반의 대표적인 데이터 마이닝 및 머신러닝 오픈소스 소프트웨어인 Weka(v3.6.14) API를 사용

• Algorithm
  • parametric model : MLP, SVM, NB
  • non-parametric model : C4.5 의사결정 트리의 두 가지 변형(C4.5N, C4.5D), RF, 5NN, JRip
• Sampling : 50:50 Random under-sampling
  • DDoS 특성 상 클래스 불균형이 발생하여 ML이 편향될 수 있음

Metrics

• 모델 test 방법
  • Stratified 5-fold cross-validation : 데이터를 5 조각으로 나누어 4조각으로 학습하고 1조각으로 test
    • Stratified : 각 조각을 나눌 때 공격/정상 비율을 원본 비율과 맞춤
    • 논문에서는 해당 사이클을 4번 반복하여 결과의 신뢰도를 높임
• Metric
  • AUC : 모델의 TPR과 FPR을 그래프로 나타냄. AUC 값이 클 수록 TPR은 높고 FPR은 낮은 것
  • F-score : 정밀도(Precision)와 재현율(Recall)의 가중 조화 평균
• 통계 검증
  • ANOVA : 각 알고리즘간의 AUC 평균 차이 분석
  • Tukey의 HSD 사후 검정 : ANOVA 차이가 있다고 되면 어떤 모델과 어떤 모델이 유의미하게 차이 나는 지 1:1로 비교하는 검사
  • 성능이 뛰어난 모델에게 Group A로 배정

Feature Selection

• Feature

과적합 방지를 위해 Feature Selection 진행

• Subset Evaluation : 특징들이 그룹으로 뭉쳤을 때 얼마나 시너지를 내는지 평가
  • CfsSubsetEval, ConsistencySubsetEval
• Single-Attribute Evaluation : 특징 하나가 얼마나 영향력 있는 지 평가
  • 카이 제곱, 정보 획득 비, 정보 획득량, 대칭 불확실성 등으로 평가
• 카이 제곱 통계값 등을 통해 순위를 매긴 후에 Ranker 검색 방법을 통해 순위가 낮은 하위 특징들을 버림

Result

• C4.5N에서 트리의 루트 노드는 CWS (계산된 윈도우 크기)
  • TTL : 단일 노드에서 보냈기 때문에 TTL이 유사
  • TSFF : Time Since First Frame. 첫 접속 이후 통신이 지속되는 시간.
    • 지속적으로 연결을 유지하기 때문에 Slow Read에서 높게 나타남
  • TSPF : 이전 패킷 이후 경과한 시간
    • 서버가 끊길만 할 때 Probe를 보내고 공격자는 ACK를 보내는 패턴이 드러남

• ANOVA

  

  • F-value : 모델들 간의 평균 점수 차이가 각 모델이 테스트마다 보인 점수의 오차보다 얼마나 큰 지 보여줌. 1192로 모델의 성능 격차가 뚜렷함
  • p-value : 해당 실험 결과가 우연히 일어났을 확률. 매우 작음

FPC Feature Selection Results

• Feature : FrameLen, TCPHL, TTL, WSV, CWS, WSSF, TSFF, TSPF
• 성능이 약간 낮아졌지만 이는 과적합 방지 및 처리 시간 감소
• GSF 방식과 RSGR 방식을 조합한 CFS 기법을 통해 Feature를 선택하는 것이 성능이 좋았음

Conclusion

Contribution

1. ML을 통한 Slow Read Detection model 구축
   • Full Packet capture 특징 사용
2. 데이터 integrity : 실제 환경의 트래픽 캡처

Future Work

네트워크 흐름 데이터인 Netflow 기반 특징과 FPC를 비교할 예정임

읽은 이유 및 얻어갈 점

• 읽은 이유 : 실험 과정이 궁금했고 어떤 알고리즘을 사용해야 하는 지, 어떤 feature를 사용하는 것이 좋을 지가 궁금했음
• 얻어갈 점
  • ANOVA와 사후 검정 시스템에 대해서 배워감.
  • 데이터셋 만들 때 SlowHTTPTest를 사용하면 좋을 듯

의문 및 생각할 점

• Slow Read라고 할 지라도 probe 패킷이 압도적으로 많다고 한다. 그래도 정상 패킷이 훨씬 많을 거 같은데
• TTL에 대한 평가 : 해당 TTL 값은 네트워크 환경 마다, 누가 공격하는 지에 따라, 단일이냐 다중이냐에 따라 달라지므로 별로 좋은 값은 아닌 거 같음