隨著 DDoS 攻擊技術的日益複雜，傳統的防禦方法已不足以應對。本文將從機器學習和軟計算等角度，深入剖析 DDoS 檢測技術的最新進展，並探討如何構建更有效的防禦系統。機器學習在 DDoS 檢測中扮演著關鍵角色，監督式學習雖然能達到高準確度，但需要大量的標註資料，且難以應對未知攻擊；非監督式學習則更具彈性，可以發現未知攻擊，但準確度可能略低；混合式學習則結合兩者優勢。此外，降維和特徵選取對於提升檢測效率至關重要，尤其是在資源有限的環境下。整合學習雖然能提高準確度，但可能影響即時性，需要權衡取捨。資訊理論的應用，例如熵的變化，有助於追蹤攻擊來源。然而，引數敏感性是機器學習方法的共同挑戰，需要不斷最佳化以提高系統穩定性。軟計算技術，例如模糊邏輯和神經網路，則在處理網路流量的不確定性和提高系統容錯性方面展現出獨特優勢。NFBoost 系統就是一個結合神經網路和模糊邏輯的成功案例，它利用 ANFIS 整合提高了檢測準確度。MLP 和 RBF-NN 等神經網路模型也廣泛應用於 DDoS 檢測，它們能夠學習複雜的非線性關係，並從流量資料中提取特徵。MLP 透過多層結構和非線性啟用函式，可以有效分類別 DDoS 攻擊流量，但需要大量的訓練資料和計算資源。RBF-NN 則以其快速的檢測速度和高準確度而著稱，適用於即時檢測場景。此外，模糊估計器也提供了一種更快速的 DDoS 防禦方案。除了這些方法，加權 KNN 分類別器、根據混沌理論的檢測演算法等也為 DDoS 檢測提供了新的思路。
淺談分散式阻斷服務攻擊（DDoS）的檢測技術：玄貓的觀點
分散式阻斷服務（DDoS）攻擊一直是網路安全領域的重大威脅。隨著攻擊技術不斷演進，傳統的防禦方法往往捉襟見肘。因此，如何有效地檢測並應對DDoS攻擊，成為了研究人員和安全專家們關注的焦點。本文將探討幾種DDoS檢測技術，並分享我玄貓的一些觀點。
機器學習與資料探勘：雙面刃？
機器學習（ML）和資料探勘（DM）技術在DDoS檢測中扮演著重要的角色。這些技術可以分為監督式、非監督式和混合式三種。
- 監督式學習：如果我們能提供精確且充分的訓練資料，監督式學習方法通常能達到很高的檢測準確度。然而，這種方法的缺點是無法檢測到未知的攻擊。
- 非監督式學習：相較之下，非監督式學習方法除了能檢測已知的攻擊外，還能發現未知的攻擊。
- 混合式方法：混合式方法則結合了監督式和非監督式學習的優點。
我玄貓認為，監督式學習方法要維持高效能，必須具備完整、精確、最新的相關訓練資料。然而，在真實的網路環境中，這往往難以實作。
降維與特徵選取：成本效益的關鍵
在開發具備成本效益且能即時防禦DDoS攻擊的系統時，降維（Dimensionality Reduction）和特徵選取（Feature Selection）扮演著重要的角色。透過選擇最相關的特徵，我們可以降低計算複雜度，並提高檢測效率。
整合學習：高準確度的代價？
整合學習（Ensemble Learning）或組合學習器（Combination Learners）能夠以高準確度分類別異常流量。然而，這些方法通常難以提供即時效能。這意味著，在追求高準確度的同時，我們可能需要犧牲一些效能。
資訊理論：追蹤攻擊的足跡
適當地運用資訊理論（Information Theory）測量方法，有助於開發有效的IP追蹤機制，從而識別DDoS攻擊的來源或起點。例如，熵（Entropy）的變化可以用於檢測攻擊的發生，並觸發追蹤程式。
引數敏感性：難以避免的挑戰
在分類別網路異常時，對使用者引數的敏感性是大多數機器學習或資料探勘技術都面臨的一個主要問題。如何降低這種敏感性，提高系統的穩定性，是研究人員需要持續努力的方向。
軟計算技術：容錯性的優勢
相較於傳統的計算方法，軟計算（Soft Computing）解決方案以其對不精確、不確定、部分真實和近似的容忍度而聞名。軟計算的基本原則是透過利用對不精確、不確定性和部分真實的容忍度，來實作低成本且穩健的解決方案。
軟計算的五種主要方法包括模糊邏輯（Fuzzy Logic）、神經計算（Neural Computing）、演化計算（Evolutionary Computation）、機器學習和機率推理（Probabilistic Reasoning）。這些方法已被證實在解決複雜的模式比對和機器智慧問題方面非常有效。
模糊邏輯與神經網路：攜手合作
為了處理網路流量中的不確定性，並更好地解釋規則，我們可以採用模糊集合理論（Fuzzy Set Theoretic）方法。類別似地，適當地使用神經網路（Neural Networks）有助於提高學習能力和網路的泛化能力。
舉例來說，Kumar和Kumar [141] 開發了一種名為NFBoost的DDoS檢測系統，該系統使用自適應混合神經模糊推理系統（ANFIS）的整合。由於單一分類別器可能存在偏差，並在訓練流量樣本中犯錯，因此作者透過建立分類別器整合，並使用適當的組合函式組合它們的輸出來克服這種偏差。
玄貓認為，在DDoS防禦中，沒有一種技術是萬能的。我們需要根據實際情況，靈活運用各種技術，才能有效地應對不斷變化的威脅。
總結來說，DDoS檢測技術是一個不斷發展的領域。從機器學習到軟計算，各種技術都有其優勢和侷限性。作為網路安全專家，我們需要持續學習和探索，才能在這個領域保持領先。
身為玄貓（BlackCat），我將根據原文，以台灣頂尖技術專家的視角，重新詮釋這些DDoS檢測技術。
混合神經模糊系統：NFBoost 的獨特優勢
Jalili 等人 [120] 開發了一種有效的 DDoS 檢測系統，該系統使用統計前處理器並應用非監督式神經網路。他們的方法，也稱為 SPUNNID，最初透過使用前處理器從真實網路流量中提取一組八個統計特徵，以形成神經網路的訓練向量。提取的特徵是：(i) ICMP 封包的百分比，(ii) UDP 封包的百分比，(iii) TCP 封包的百分比，(iv) TCP 封包中 SYN 的百分比，(v) TCP 封包中 SYN+ACK 的百分比，(vi) TCP 封包中 ACK 的百分比，(vii) 平均封包標頭大小，以及 (viii) 平均封包資料大小。為了提取這些特徵並根據這些特徵分析流量以識別 DDoS 攻擊，該方法將封包流量劃分為較小的時間間隔，例如每個 τ 秒長。一旦成功提取每個時間間隔的特徵，它就會形成一個訓練向量，以支援使用神經網路分析網路流量，以將每個時間間隔識別為正常或 DDoS 攻擊。在評估他們的方法期間，作者對幾個關鍵引數（例如 τ 的大小或長度）以及與神經網路相關的引數（即 (i) 適當叢集的數量，(ii) 週期數和 (iii) 警戒引數及其值）的影響進行了實驗研究。實驗結果表明，SPUNNID 能夠識別 94.9% 的攻擊流量，並且在最佳情況下，它需要 0.7 秒才能檢測到 DDoS 攻擊。
與此類別似，Siaterlis 和 Vasilis [222] 探索並展示了多層感知器 (MLP) 作為分類別器在檢測 DDoS 洪水攻擊中的能力，該攻擊使用透過被動測量獲得的幾個統計檢測指標。作者使用五個統計指標，例如 UDP 比率（即（傳入位元/秒）/（傳出位元/秒））、ICMP 比率（即（傳出位元/秒）/（傳入位元/秒））、流長度、流持續時間和流生成速率。這些特徵被饋送到 MLP，以便在近乎即時地有效檢測 DDoS 洪水攻擊。該方法使用監督式學習方法，該方法使用這些指標來訓練多層前饋網路，以將受監控的邊緣網路的狀態分類別為 DDoS 來源、DDoS 受害者或合法。作者使用 MLP 作為一種演算法，將所有檢測指標融合在一起，並且該方法克服了特定於站點的閾值依賴性。模擬結果表明，該方法能夠以高檢測準確度檢測洪水攻擊。
玄貓解密：MLP 在 DDoS 防禦中的應用
多層感知器（Multilayer Perceptron, MLP）是一種經典的神經網路模型，在DDoS攻擊防禦中扮演著重要角色。MLP的優勢在於其能夠學習和模擬複雜的非線性關係，這使得它能夠從大量的網路流量資料中提取有用的特徵，並準確地識別出DDoS攻擊。
運作原理
- 特徵提取：MLP首先需要從網路流量中提取相關的特徵。這些特徵可以是流量的統計指標，如封包速率、連線數量、封包大小分佈等。
- 模型訓練：利用提取的特徵，MLP透過監督學習的方式進行訓練。訓練資料封包括正常流量和DDoS攻擊流量的樣本，MLP透過調整網路中的權重和偏置，學習如何區分這兩種流量。
- 攻擊檢測：訓練完成後，MLP可以應用於實時流量檢測。當新的網路流量資料輸入MLP時，它會根據學習到的模型，判斷該流量是否屬於DDoS攻擊。
MLP的優勢
- 非線性建模能力：MLP能夠捕捉流量資料中複雜的非線性關係，從而提高檢測準確性。
- 自適應性：MLP可以透過不斷的訓練和調整，適應不斷變化的網路流量模式。
- 高效性：訓練完成的MLP可以快速地對流量進行分類別，滿足實時檢測的需求。
實際應用案例
Siaterlis和Vasilis [222] 在他們的研究中，使用了五個統計指標（UDP比率、ICMP比率、流長度、流持續時間和流生成速率）作為MLP的輸入特徵。透過訓練，MLP能夠有效地將網路狀態分類別為DDoS來源、DDoS受害者或合法流量。
MLP的程式碼範例
以下是一個使用Python和Scikit-learn函式庫實作的簡單MLP模型，用於DDoS攻擊檢測的示例：
from sklearn.neural_network import MLPClassifier
from sklearn.model_selection import train_test_split
from sklearn.metrics import accuracy_score
# 假設我們有特徵資料 X 和標籤資料 y
# X 包含流量特徵，y 包含流量標籤（0表示正常，1表示DDoS攻擊）
# 1. 資料準備
X_train, X_test, y_train, y_test = train_test_split(X, y, test_size=0.3, random_state=42)
# 2. 建立 MLP 模型
mlp = MLPClassifier(hidden_layer_sizes=(100, 50), max_iter=300, activation='relu', solver='adam', random_state=42)
# hidden_layer_sizes: 隱藏層的結構，這裡有兩層，分別有100和50個神經元
# max_iter: 最大迭代次數
# activation: 啟用函式，這裡使用 ReLU
# solver: 最佳化演算法，這裡使用 Adam
# 3. 訓練模型
mlp.fit(X_train, y_train)
# 4. 預測
y_pred = mlp.predict(X_test)
# 5. 評估模型
accuracy = accuracy_score(y_test, y_pred)
print(f"Accuracy: {accuracy}")
程式碼解密
- 資料準備：使用
train_test_split函式將資料集分為訓練集和測試集，test_size=0.3表示測試集佔總資料的30%。 - 建立MLP模型：
hidden_layer_sizes=(100, 50)：定義了MLP的結構，這裡有兩層隱藏層，第一層有100個神經元，第二層有50個神經元。max_iter=300：設定最大迭代次數為300，即模型最多訓練300輪。activation='relu'：選擇ReLU（Rectified Linear Unit）作為啟用函式，ReLU在深度學習中被廣泛使用，有助於加速模型訓練。solver='adam'：選擇Adam作為最佳化演算法，Adam是一種自適應學習率的最佳化演算法，適用於大規模資料集。random_state=42：設定隨機種子，保證每次執行程式碼時結果的可重複性。
- 訓練模型：使用訓練集
X_train和y_train訓練MLP模型。 - 預測：使用訓練好的模型對測試集
X_test進行預測，得到預測結果y_pred。 - 評估模型：使用
accuracy_score函式計算模型的準確度，即預測正確的樣本比例。
玄貓提醒：MLP的侷限性
- 需要大量的訓練資料：MLP的效能高度依賴於訓練資料的品質和數量。
- 容易過擬合：當模型過於複雜時，容易在訓練資料上過擬合，導致泛化能力下降。
- 計算成本高：訓練大型MLP模型需要大量的計算資源。
儘管存在一些侷限性，MLP仍然是DDoS攻擊防禦中一種非常有用的工具。透過合理的特徵選擇、模型設計和訓練方法，可以構建高效準確的DDoS檢測系統。
RBF-NN：快速檢測 DDoS 攻擊的新選擇
在另一種根據 ANN 的方法中，Gavrilis 和 Dermatas [86] 使用徑向基函式神經網路 (RBF-NN) 來更快地檢測 DDoS 攻擊。他們的方法根據使用捕捉的封包流量從短時間視窗分析中提取的統計特徵的相關子集。該系統包含三個模組，即資料收集器、特徵估計器和 DDoS 檢測器，它們是依序連線的。資料收集器負責收集封包流量，以一組選定的屬性表示，例如來源埠、客戶端的 SEQ 號碼、視窗大小、SYN、ACK、FIN、PSH、URG 和 RST 標誌。它根據六個不同標誌（即 SYN、ACK、FIN、PSH、URG 和 RST）的出現頻率來收集每個時間範圍的統計資料。觀察結果是，這些標誌可能是檢測 DDoS 攻擊的良好資訊來源。特徵估計器專用於估計每個時間範圍的標誌頻率和來源埠、SEQ 號碼和視窗大小的不同值的數量。最後，第三個模組（即 DDoS 檢測器）透過使用每個時間範圍的九個特徵向量啟動 RBF-NN。DDoS 攻擊的發生由最活躍的輸出神經元感知。該方法能夠根據在短時間視窗中估計的統計特徵來分析網路流量，並在即時顯示 100% 的檢測準確度和 0% 的誤報。
模糊估計器：更快速的 DDoS 防禦方案
Shiaeles 等人 [219] 提出另一種使用模糊估計器的快速 DDoS 防禦檢測方法。該方法分兩個階段工作。在初始階段，它執行 DDoS 攻擊檢測任務。然後，它識別惡意 IP 位址。此方法的一個主要優點是，它不僅檢測 DDoS 攻擊，還可以在受害者服務因攻擊而耗盡資源之前識別惡意來源 IP。經驗評估表明，該方法在攻擊檢測中達到 80% 的成功率。在另一項類別似的努力中，Xia 等人 [267] 使用模糊邏輯來即時檢測 DDoS 攻擊。與前一種方法一樣，此方法也分兩個階段工作。在階段 I 中，該方法使用離散小波分析對捕捉和預處理的網路流量資料執行統計分析。然後，它使用模糊邏輯計算 DDoS 攻擊的強度。該方法在 DDoS 攻擊檢測準確性方面表現令人滿意，並提供即時效能。
其他 DDoS 檢測方法
除了上述方法外，最近還引入了許多其他方法。Su [236] 提出一種使用加權 KNN 分類別器的 DDoS 攻擊檢測方法。該方法計算每個特徵的權重值，並識別相關的特徵子集以進行有效分類別。作者聲稱，他們的方法能夠以 97.42% 的準確度對已知攻擊的流量進行分類別，並以 78% 的準確度對未知攻擊的流量進行分類別。Chonka 等人 [58] 提出一種根據混沌理論的 DDoS 攻擊檢測演算法。作者使用真實的網路封包和流量，並研究正常流量的自相似模式。然後，這些模式用作檢測 DDoS 攻擊的基準。為了進行檢測，作者使用自相似的合法流量訓練神經網路，以對非法或 DDoS 攻擊流量進行分類別。為了進行檢測，作者使用 Lyapunov 方程來區分攻擊流量與合法流量。
這些方法各有優缺點，選擇哪種方法取決於具體的網路環境和安全需求。
在網路安全領域，DDoS 攻擊始終是一個嚴峻的挑戰。隨著攻擊手段的不斷演進，我們需要不斷探索和創新檢測技術，以確保網路的穩定和安全。上述研究為我們提供了寶貴的思路和方法，相信在不久的將來，我們能夠構建出更加智慧和高效的DDoS防禦系統。
### DDOS攻擊檢測技術：軟計算方法的應用
#### 根據機器學習的DDoS攻擊預測演算法
Douligeris等人研究了一種根據預測模型的DDoS攻擊檢測方法。這個方法的核心在於建立一個預測模型，用於預測正常流量模式，並將實際流量與預測流量進行比較。如果實際流量顯著偏離預測值，則系統會發出警示，表明可能存在DDoS攻擊。為了評估該演算法的效能，他們使用了包括麻省理工學院的DARPA LLS DDoS 1.0資料集在內的基準DDoS資料集進行模擬。結果顯示，該檢測方法的準確度在88%到94%之間，假陽性率在0.05%到0.45%之間。玄貓認為，這種方法的優勢在於能夠主動檢測異常流量，但在實際應用中，需要仔細調整預測模型的引數，以適應不同的網路環境和流量模式。
#### KNN分類別器在DDoS攻擊分類別中的應用
Nguyen和Choi開發了另一種主動式DDoS攻擊分類別方法，該方法使用k最近鄰（k-Nearest Neighbor, KNN）分類別器和特徵子集。首先，作者透過將攻擊流量分解為多個階段，選擇與DDoS攻擊相關的最佳特徵子集。然後，他們應用根據KNN的方法來分類別DDoS攻擊每個階段的網路狀態。結果表明，該方法具有很高的檢測準確性。玄貓認為，這種方法能夠有效地識別DDoS攻擊的不同階段，有助於更精確地定位和緩解攻擊。
#### 決策樹與灰關聯分析在DDoS攻擊檢測中的應用
Wu等人探索了決策樹和灰關聯分析在DDoS攻擊檢測中的能力。作者使用15個屬性來監控傳入和傳出的資料封包流量，以評估資料封包或位元組速率。此外，作者還評估了TCP、SYN和ACK標誌速率，以瞭解流量模式。決策樹用於參考預先指定的已知流量模式，使用一種新穎的相似性比對技術來分類別異常流量。他們的方法之後是一種有效的追蹤機制，用於根據相似性比對追蹤攻擊的來源。該方法在檢測DDoS攻擊和以高準確度定位攻擊源方面表現令人滿意。玄貓認為，決策樹的優勢在於其易於理解和實施，但需要仔細選擇和調整特徵，以獲得最佳的檢測效果。
#### 根據基因演算法的入侵檢測機制
Gong等人開發了一種使用基因演算法（Genetic Algorithms, GA）的入侵檢測機制。作者首先透過在網路稽核資料上應用GA來生成一組有效的分類別規則。他們使用支援-信心框架來評估規則的適應度。然後，這些規則用於即時識別異常流量。這種方法的主要優點是：（i）易於實施，以及（ii）由於其簡單的規則表示和有效的適應度函式，它可以高準確度地檢測入侵。作者使用入侵的基準DARPA資料集透過實驗結果建立了他們的方法。玄貓認為，基因演算法能夠有效地搜尋最佳分類別規則，但需要大量的計算資源和時間。
#### 軟計算與硬計算技術的整合
Mukkamala等人介紹了一種整合多種軟計算和硬計算技術的方法，以克服這些分類別器的個別偏差。作者使用三種分類別器的整合，即支援向量機（Support Vector Machines, SVM）、人工神經網路（Artificial Neural Networks, ANN）和多元自適應迴歸樣條（Multivariate Adaptive Regression Splines, MARS），透過組合這些學習範例來實作高檢測準確性，而無需任何混合。為了設計整合，作者首先仔細構建不同的導向連線的模型，以實作最佳效能。一旦構建了整合，測試資料被饋送到個別模型，並記錄各自的輸出。為了獲得最大化分類別準確性的最佳輸出，使用多數投票來檢測攻擊類別。結果表明，所提出的整合可以優於個別分類別器，即SVM、ANN和MARS，適用於許多資料集中所有型別的DoS和其他攻擊。玄貓認為，整合方法能夠結合不同分類別器的優勢，提高檢測準確性和魯棒性，但需要仔細設計整合結構和權重。
#### 多種軟計算模型在網路入侵檢測中的應用
Abraham和Jain開發了多種用於網路入侵檢測的軟計算模型。作者探索了多個分類別器的有效性，包括模糊規則分類別器、決策樹、支援向量機、線性基因程式設計和用於快速入侵檢測的整合方法。他們在三個階段進行實驗：（i）資料縮減，（ii）訓練，以及（iii）測試。在第一階段，即資料縮減中，作者選擇相關且最佳的特徵子集。在訓練階段，他們使用訓練資料構建不同的軟計算模型，以在未知的測試模式上獲得最大的泛化準確性。最後，在第三階段，測試資料透過儲存的訓練模型進行入侵檢測。他們使用KDD資料集評估他們的方法，並聲稱模糊分類別器可以以100%的準確度檢測KDD資料集中幾乎所有的攻擊類別。玄貓認為，模糊分類別器在處理不確定性和模糊性方面具有優勢，但需要仔細設計模糊規則和隸屬函式。
#### 根據神經模糊分類別器的異常流量模式分類別
Toosi等人引入了另一種神經模糊分類別器，用於分類別異常或不合格的流量模式。作者使用一個模糊推理模組（稱為模糊決策引擎）來檢測惡意網路流量。該引擎用於生成一組模糊規則，而無需人工分析師的干預。為了最佳化規則集，作者使用了一種基因演算法。結果表明，該方法在使用KDD-CUP99入侵資料集時，對所有攻擊類別型別均表現令人滿意。玄貓認為，神經模糊分類別器能夠自動學習和調整模糊規則，但需要大量的訓練資料和計算資源。
#### 根據粗糙模糊的軟計算方法在異常檢測中的應用
Chimphlee介紹了一種粗糙模糊的軟計算方法來處理異常檢測問題。作者使用一種模糊-粗糙c-means（fuzzy-rough c-means, FRCM）聚類別演算法來區分攻擊流量和正常流量。在劃分流量時，它為每個測試例項分配一個0到1範圍內的成員值。它將測試例項劃分為三個組，即下近似、邊界和負區域。作者評估了該方法。
總之，這些研究展示了軟計算方法在DDoS攻擊檢測中的多種應用。從機器學習演算法到模糊邏輯和基因演算法，這些技術各有優勢和侷限性。玄貓認為，未來的研究方向可能包括開發更智慧和自適應的檢測系統，能夠即時應對不斷變化的攻擊策略。