Optimization of Stealthwatch Network Security System for the Detection and Mitigation of Distributed Denial of Service (DDoS) Attack: Application to Smart Grid System

The Smart Grid is an enhancement of the traditional grid system and employs new technologies and sophisticated communication techniques for electrical power transmission and distribution. The Smart Grid’s communication network shares information about status of its several integrated IEDs (Intelligent Electronic Devices). However, the IEDs connected throughout the Smart Grid, open opportunities for attackers to interfere with the communications and utilities resources or take clients’ private data. This development has introduced new cyber-security challenges for the Smart Grid and is a very concerning issue because of emerging cyber-threats and security incidents that have occurred recently all over the world. The purpose of this research is to detect and mitigate Distributed Denial of Service [DDoS] with application to the Electrical Smart Grid System by deploying an optimized Stealthwatch Secure Network analytics tool. In this paper, the DDoS attack in the Smart Grid communication networks was modeled using Stealthwatch tool. The simulated network consisted of Secure Network Analytic tools virtual machines (VMs), electrical Grid network communication topology, attackers and Target VMs. Finally, the experiments and simulations were performed, and the research results showed that Stealthwatch analytic tool is very effective in detecting and mitigating DDoS attacks in the Smart Grid System without causing any blackout or shutdown of any internal systems as compared to other tools such as GNS3, NeSSi2, NISST Framework, OMNeT++, INET Framework, ReaSE, NS2, NS3, M5 Simulator, OPNET, PLC & TIA Portal management Software which do not have the capability to do so. Also, using Stealthwatch tool to create a security baseline for Smart Grid environment, contributes to risk mitigation and sound security hygiene.

面向边缘计算的TCA1C DDoS检测模型

边缘计算弥补了传统云计算数据传输开销大的不足,但边缘网络中存储和计算资源受限的特殊性限制了其部署复杂安全算法的能力,更易受到分布式拒绝服务(DDoS)攻击。针对目前边缘网络中DDoS攻击检测方法性能不高、未对卸载任务分类处理、对多属性的流量处理能力弱的问题,提出一种基于任务分类的Attention-1D-CNN DDoS检测模型TCA1C,对通信链路中的流量按不同的卸载任务进行分类,使单个任务受到攻击时不会影响整个链路中计算任务卸载的安全性,再对同一任务下的流量提取属性值并进行归一化处理。处理后的数据输入到Attention-1D-CNN,通道Attention和空间Attention学习数据特征对DDoS检测的贡献度,利用筛选函数剔除低于特征阈值的冗余信息,降低模型学习过程的复杂度,使模型快速收敛。仿真结果表明:TCA1C模型在缩短DDoS检测所用时间的情况下,检测准确率高达99.73%,检测性能优于DT、ELM、LSTM和CNN;当多个卸载任务在面临特定攻击概率时,卸载任务分类能有效降低不同任务的相互影响,使终端设备的计算任务在卸载过程中保持较高的安全性。

SDN中基于统计与集成自编码器的DDoS攻击检测模型

软件定义网络(Software-defined Networking,SDN)是一种提供细颗粒集中网络管理服务的新型网络体系结构,主要有控制与转发分离、集中控制和开放接口基本特征。SDN由于控制层的集中管理逻辑,控制器被攻击者作为理想的分布式拒绝服务攻击(Distributed Denial-of-Service,DDoS)目标。然而,传统的基于统计的DDoS攻击检测算法常存在误报率高、阈值固定等问题;基于机器学习模型的检测算法常存在计算资源消耗大、泛化性差等问题。为此,文中提出了一种基于统计特征与集成自编码器的DDoS攻击双层检测模型。基于统计的方法提取Rényi熵特征,设置动态阈值判断可疑流量;基于集成自编码器算法对可疑流量进行更精确的DDoS攻击判断。双层检测模型不仅提升了检测效果,解决了误报率高的问题,同时还有效地缩短了检测时间,从而减少了计算资源的消耗。实验结果表明,该模型在不同网络环境下都有较高的准确率,不同数据集检测的F1值最低都达到了98.5%以上,表现出了很强的泛化性。

一种基于流量统计的DDoS攻击检测方法

介绍的方法可使网络设备检测出并消除DDOS攻击。通过进出受害者或攻击者数据包流量显著的不平衡特性,网络设备可以检测 出DDOS攻击。采用此方法的网络设备维护一个针对在线数据包的多层树,通过它监视数据包的流量特性。

DDoS攻击检测综述

结合DDoS攻击检测方法的最新研究情况,对DDoS攻击检测技术进行系统分析和研究,对不同检测方法进行比较,讨论了当前该领域存在的问题及今后研究的方向。

对DDoS攻击防范策略的研究及若干实现

DDoS(分布式拒绝服务攻击 )是攻击网络系统的一种先进方法。详细介绍了这种攻击方法的原理、类型 ,并以对Trinoo攻击的检测与防范为例 。

基于大偏差统计模型的Http-Flood DDoS检测机制及性能分析

针对Http洪泛Web DDoS(distributed denial of service)攻击,提出了一种检测机制.该机制首先采用型方法量化处理用户访问的网页序列,以得到用户访问不同网页的实际点击概率分布;然后,利用大偏差统计模型分析了用户访问行为的实际点击概率分布与网站先验概率分布的偏差;最后,依据大偏差概率检测恶意DDoS攻击.对该机制的性能进行仿真,结果表明,正常用户的大偏差概率大于恶意攻击者,并且大部分正常用户的大偏差概率大于10 36,而大部分恶意攻击者的大偏差概率则小于1040.由此,该机制能够有效地检测Http洪泛Web DDoS攻击,当检测门限设置为1060时,其有效检测率可达97.5%,而误检率仅为0.6%.另外,将该机制与基于网页转移概率的检测方法进行性能比较,结果表明,该检测机制的检测率优于基于网页专业概率的检测机制,并且在误检率小于5%的情况下,该机制的检测率比现有检测机制提高0.6%.

抵御DDoS攻击的陷阱系统

分布式拒绝服务（DDoS）攻击对Internet仍然是一个严重的威胁，针对这种攻击 手段，人们提出了许多解决方法，但都没有取得令人满意的结果。该文在分析DDoS攻击技术 的基础上，介绍了陷阱系统这一主动防御技术的实现原理及功能，提出了利用陷阱系统来保 护网络免受DDoS攻击的思想并进行了设计和实现。

蚁群优化在P2P网络防范DDoS攻击中的应用研究

分析了非结构化P2P网络DDoS攻击的原理,借鉴蚁群算法的思想,为每个节点建立了一个资源相似度信息素表,利用这个信息素表,构建了一种防御DDoS攻击的联盟模型——AntDA(ant colony based defense-association),并讨论了应用AntDA模型进行防御的整个过程。在查询周期模型平台上实现了该模型,通过实验分析,验证了AntDA模型的有效性。

基于Web行为轨迹的应用层DDoS攻击防御模型

为了有效防御应用层分布式拒绝服务攻击(DDoS),定义了一种搭建在Web应用服务器上的基于Web行为轨迹的防御模型。把用户的访问行为抽象为Web行为轨迹,根据攻击请求的生成方式与用户访问Web页面的行为特征,定义了四种异常因素,分别为访问依赖异常、行为速率异常、轨迹重复异常、轨迹偏离异常。采用行为轨迹化简算法简化行为轨迹的计算,然后计算用户正常访问网站时和攻击访问时产生的异常因素的偏离值,来检测针对Web网站的分布式拒绝服务攻击,在检测出某用户产生攻击请求时,防御模型禁止该用户访问来防御DDoS。实验采用真实数据当作训练集,在模拟不同种类攻击请求下,防御模型短时间识别出攻击并且采取防御机制抵制。实验结果表明,Web行为轨迹的防御模型能够有效防御针对Web网站的分布式拒绝服务攻击。

基于IP熵变量的DDoS攻击溯源模型

针对当前溯源方法无法识别源于中间路由器的恶意攻击、无法区分攻击流量类型等问题,借鉴热力学中熵的概念并结合IP分布特征,定义IP熵变量,结合通信熵和IP熵提出一个基于熵变量的DDoS攻击溯源模型,设计DDoS攻击识别算法、DDoS攻击溯源算法和DDoS流量区分算法。实验结果表明,该模型在时间容忍范围内提升了溯源效率,降低了僵尸网络检测的漏报率,能够识别出快速DDoS攻击、慢速DDoS攻击及flash crowd等类型,识别率达到了85.71%。

DDOS(分布式拒绝服务)研究与探讨

由于目前网络安全问题的日趋严重， ＤＤＯＳ（ Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ，分布式拒绝服务攻击）的攻击手段严重威胁 Ｉｎｔｅｒｎｅｔ的安全。文章详细地介绍了什么是 ＤＤＯＳ及其造成的危害，Ｗ理论上分析了其体系结构和运作情况，并实际列举了一些著名的ＤＤＯＳ 工具及其特点，尝试提出有关ＤＤＯＳ的攻击检测规则和相关的检测工具。

基于神经网络的DDoS防护绩效评估

面对日益严重的分布式拒绝服务(distributed denial of service,DDoS)攻击威胁和众多防护措施,需要防护绩效评估方法指导防护措施的选择.现有绩效评估方法通过对比防护措施部署前后的攻击效果进行评估,需对防护措施进行卸载及重新部署,实施成本高.针对这种不足,首先建立了防护绩效评估模型(defence evaluation model,DEM),该模型从用户感受角度进行指标选取,减少了传统方式下测评过程需要的指标数量,降低了数据获取的难度.利用神经网络良好的泛化能力,将其引入DDoS防护绩效评估过程;在计算已部署防护措施攻击效果的同时,预测得到未部署防护措施时的攻击效果,减少了测量次数.使用网络仿真程序SSFNet模拟典型攻击场景进行实验,验证了提出的评估方法以及神经网络的预测能力.

基于源目的IP地址对数据库的防范DDos攻击策略

提出了一种基于源目的IP地址对数据库的防范分布式拒绝服务攻击(distributed denial of service attacks,简称DDos)攻击策略.该策略建立正常流量的源目的IP地址对数据库(source and destination IP address database,简称SDIAD),使用扩展的三维BloomFilter表存储SDIAD,并采用改进的滑动窗口无参数CUSUM(cumulative sum)算法对新的源目的IP地址对进行累积分析,以快速准确地检测出DDos攻击.对于SDIAD的更新,采用延迟更新策略,以确保SDIAD的及时性、准确性和鲁棒性.实验表明,该防范DDos攻击策略主要应用于边缘路由器,无论是靠近攻击源端还是靠近受害者端,都能够有效地检测出DDos攻击,并且有很好的检测准确率.

基于改进小波分析的DDoS攻击检测方法

为准确及时检测DDoS攻击,在研究小波分析法检测DDoS攻击的基础上,提出一种基于主成分分析法和小波分析法的自适应DDoS检测方法,设计采用该方法检测DDoS攻击的模型及算法,分析其增大正常网络流量与异常网络流量之间Hurst参数差值的原因。实验结果表明,该方法减弱了检测结果对门限值的依赖性,提高检测率,防止漏报、误报情况的发生,且由于网络数据维数的降低,该方法大幅提高了检测速度。

基于TCP缓存的DDoS攻击检测算法

由拒绝服务攻击(DoS)发展而来的分布式拒绝服务攻击(DDoS)已成为目前网络安全的主要威胁之一。从分析TCP缓存入手,提出一种基于缓冲区检测的DDoS检测算法。结合历史连接记录来对TCP缓存进行分析,生成特征向量,通过BP神经网络检测TCP缓存异常程度,根据异常程度判断是否发生攻击。实验结果表明,该算法能迅速准确地检测出DDoS攻击,有效阻止DDoS攻击的发生。

基于时间序列分析的应用层DDoS攻击检测

根据正常用户和攻击者在访问行为上的差异,提出一种基于IP请求熵(SRE)时间序列分析的应用层分布式拒绝服务(DDoS)攻击检测方法。该方法通过拟合SRE时间序列的自适应自回归(AAR)模型,获得描述当前用户访问行为特征的多维参数向量,并使用支持向量机(SVM)对参数向量进行分类来识别攻击。仿真实验表明,该方法能够准确区分正常流量和DDoS攻击流量,适用于大流量背景下攻击流量没有引起整个网络流量显著变化的DDoS攻击的检测。

基于小波的DDoS入侵流分析

采用NS2模拟分布式拒绝服务攻击,利用小波方法对受攻击的不同业务流采样样本进行分析,通过理论分析和模拟实验,证明采样方法与Hurst指数的估计关系密切:如果只选择攻击时段内的业务流样本,H值减小;当样本既包含正常流时段又包含攻击时段时,H值增大。

云环境下Web服务应用层DDoS攻击检测系统

针对云计算环境中的Web服务应用层容易遭受攻击的问题,提出一种用来检测XML和HTTP层分布式拒绝服务(DDo S)攻击的防御系统,并嵌入到云环境中,实现对云中介和云服务提供商的保护。从属于特定简单对象访问协议(SOAP)正常操作中提取数据集的特征值,构建相应的高斯请求模型;对Web服务的网络服务描述语言(WSDL)中的一些属性进行设置,实现对攻击的初步过滤;对服务请求的HTTP头部和XML内容进行检查,并与模型数据比较,进一步实现攻击检测。实验结果表明,该系统能够有效地预防多种DDo S攻击,且消耗较少的响应时间。

基于宏观网络流相关性的DDoS攻击检测

针对现行分布式拒绝服务(DDoS)攻击检测方法存在检测效率低、适用范围小等缺陷,在分析DDoS攻击对网络流量大小和IP地址相关性影响的基础上,提出基于网络流相关性的DDoS攻击检测方法。对流量大小特性进行相关性分析,定义Hurst指数方差变化率为测度,用以区分正常流量与引起流量显著变化的异常性流量。研究IP地址相关性,定义并计算IP地址相似度作为突发业务流和DDoS攻击的区分测度。实验结果表明,对网络流中流量大小和IP地址2个属性进行相关性分析,能准确地区分出网络中存在的正常流量、突发业务流和DDoS攻击,达到提高DDoS攻击检测效率的目的。