Deep learning-based prediction of reflection attacks using NetFlow data

Edward Chuah

doi:10.1016/j.cose.2025.104527

2025-06-12

PRE

Edward Chuah *

Arshad Jhumka

Aladdin Ayesh

DOI：10.1016/j.cose.2025.104527

原文链接

原文求助

摘要

En 中文

大型网络通过部署大量服务器和高性能路由器，为网络服务的快速响应部署提供了巨大支持。尽管现有多种技术可用于检测网络攻击，但预测未来攻击有助于增强网络安全。反射攻击被认为是大型网络服务中断的最常见原因之一。反射攻击是一种特殊的分布式拒绝服务（DDoS）攻击，通过利用反射器隐藏攻击者身份并向网络发送大量恶意流量。现代网络产生大量NetFlow数据，分析这些数据是识别反射攻击的基础。本研究对从大型企业网络获取的31亿条NetFlow记录进行了全面分析，并在NetFlow数据中识别出针对域名服务（DNS）和NetBIOS服务器的反射攻击。据已知，目前尚无研究评估过时间卷积网络（TCN）、循环神经网络（RNN）和长短期记忆网络（LSTM）深度学习（DL）模型在大网络中预测反射攻击的效果。因此，本文旨在确定TCN、RNN和LSTM能否利用NetFlow数据预测反射攻击。本文提出了一种预测反射攻击的方法，并使用真实NetFlow数据评估了TCN、RNN和LSTM的性能。研究结果表明：(a) RNN和LSTM在12个日期上以最高决定系数（R²）值（范围0.39至0.992）准确预测了DNS服务器反射攻击；(b) RNN、LSTM和TCN在14个日期上以最高R²值（范围0.749至0.999）准确预测了NetBIOS服务器反射攻击；(c) DNS服务器反射攻击产生的数据包占比介于0.001%至18%之间；(d) NetBIOS服务器反射攻击产生的数据包占比介于0.2%至16%之间；(e) 与DNS服务器反射攻击相关的源和目标设备占比介于0.0006%至0.022%之间；(f) 与NetBIOS服务器反射攻击相关的源和目标设备占比介于0.071%至34%之间。主要结论包括：(a) RNN和LSTM在12个日期上对DNS服务器反射攻击实现了高精度预测；(b) RNN、LSTM和TCN在14个日期上对NetBIOS服务器反射攻击实现了高精度预测；(c) RNN、LSTM和TCN在2个日期上对DNS服务器反射攻击的预测精度较低；(d) DNS和NetBIOS服务器反射攻击产生的流量未对网络造成过载；(e) 这些反射攻击仅涉及少量源和目标设备。

Keyword:

Large networks

Reflection attack prediction

NetFlow data

Deep learning models

Recurrent Neural Network

Long Short-Term Memory

Temporal Convolution Network