normal and abnormal traffic [5]. Th

normal and abnormal traffic [5]. The authors could
obtain some sample signatures of the basic DDoS
attack. A study by Zhang discussed a predictionbased
detection algorithm against DDoS attacks [6].
Based on the proposed prediction, they could detect
abnormal states of the server that may be caused by
DDoS attacks. Other studies used entropy for
developing a detection system [7] [8]. Study by
Navaz proposed a statistical approach using joint
entropy for DDoS attack detection and also used the
CAIDA dataset containing information for denial of
service attacks [8]. This study calculated entropy for
packets, with IP addresses, ports, and flow size as
inputs, and compared normalized entropy with that
of the assigned threshold value. The threshold value
depends primarily on the false positive rate.
Zhong analyzed the characteristics of DDoS
attacks and the DDoS attack detection method using
a data-mining algorithm [9]. The fuzzy c-means
(FCM) clustering algorithm and Apriori association
algorithm were used to extract features in network
traffic. Study by Bhuyan presented a survey with the
results of DDoS attacks, detection methods, and tools
used in wired networks [10]. Mirkovic proposed a
source-based DDoS attack detection system, DWARD
[11]. This system is installed at the edge
routers of a network and monitors the behavior of
each peer with which the source network
communicates. D-WARD can detect many common
patterns of DDoS attacks. Other studies classified
types of DDoS attack and defense mechanisms [12].
Another study presented the design of a general
triggered framework for scalable threat analysis for
large-scale automated systems [14]. According to
CSI survey in 2007, DDoS attacks were recognized
as one of the major causes of financial losses [14].
Aforementioned studies do not investigate the
patterns of the attackers. In this paper, we focus on
this topic.
3. Dataset and Big Data Analysis
In this section, we show the details of the dataset
and some important outcomes that we obtained
analyzing the data and discuss some difficulties of
developing the DDoS attack detection system by
comparing the data analysis of the attacker and
victims [1].
3.1. DDoS Dataset
To develop a DDoS attack detection system
utilizing machine learning techniques and
algorithms, we need an actual DDoS dataset to detect
and learn patterns of DDoS attack. However, we do
not have such dataset and in any study on DDoS
attacks, collecting data is a challenging task: It is
difficult for any researcher to collect appropriate
datasets of actual DDoS attacks. However, there are
some alternative methods. One of them is to set up
an environment that can generate simulated network
communication data. We can use tools such as NS-2,
Qualnet, or OMNet++. However, in this study, the
goal is to develop a detection system that can predict
a forthcoming attack and detect the attack before the
bandwidth is exhausted by using machine learning
techniques. Some institutions provide such datasets.
The 2000 U.S. Defense Advanced Research Projects
Agency (DARPA) Intrusion Detection Evaluation
Dataset and Knowledge Discovery and Data Mining
(KDD) Cup 1999 Dataset are the most popular
publicly available datasets, but the first one was
created prior to ten years and the second one is not
suitable for DDoS attacks [10]. We used CAIDA
DDoS Attack 2007 Dataset to analyze the actual
DDoS attack data and utilize them for training data
patterns [1].
This dataset contains approximately one hour of
anonymized traffic traces that include the attack
traffic on the victims and the response from the
victims on August 4, 2007. The total size of the
original dataset is 21 gigabytes. The type of the file
is the packet capture file. Since there are few
applications to read these data, we exported all the
data to comma-separated value files for easy data
reading in any programming language and machine.
The total size of final dataset increased to 44
gigabytes and the total number of packets we
analyzed was 359,655,765 from the attacker and
12,131,655 from the victim

Kết quả (Việt) 1:

bình thường và bất thường giao thông [5]. Các tác giả có thểcó được một số mẫu chữ ký của DDoS cơ bảntấn công. Một nghiên cứu của Zhang thảo luận về một predictionbasedphát hiện các thuật toán chống lại cuộc tấn công DDoS [6].Dựa trên dự đoán được đề xuất, họ có thể phát hiệnbất thường kỳ của hệ phục vụ có thể được gây ra bởiCuộc tấn công DDoS. Các nghiên cứu khác sử dụng dữ liệu ngẫu nhiên chophát triển một hệ thống phát hiện [7] [8]. Nghiên cứu bằngKhachuu đề xuất một cách tiếp cận thống kê bằng cách sử dụng phầndữ liệu ngẫu nhiên cho DDoS tấn công phát hiện và cũng được sử dụng cácCAIDA bộ dữ liệu chứa thông tin về sự từ chối củacuộc tấn công dịch vụ [8]. Này nghiên cứu tính toán dữ liệu ngẫu nhiên chogói dữ liệu, với địa chỉ IP, cảng và kích thước lưu lượngđầu vào, và dữ liệu ngẫu nhiên bình thường so với điều đógiá trị được chỉ định ngưỡng. Giá trị ngưỡngphụ thuộc chủ yếu vào tỷ lệ sai tích cực.Zhong phân tích các đặc tính của DDoScuộc tấn công và các DDoS tấn công phát hiện bằng cách sử dụng phương phápmột thuật toán khai thác dữ liệu [9]. C phương tiện mờThuật toán kết cụm (FCM) và Hiệp hội Apriorithuật toán được sử dụng để trích xuất các tính năng trong mạnglưu lượng truy cập. Nghiên cứu của Bhuyan trình bày một cuộc khảo sát cáckết quả của cuộc tấn công DDoS, phương pháp phát hiện, và các công cụđược sử dụng trong các dây mạng [10]. Mirkovic đề xuất mộtDựa trên nguồn DDoS tấn công hệ thống phát hiện, DWARD[11]. Hệ thống này được cài đặt ở rìabộ định tuyến của một mạng lưới và giám sát hành vi củamỗi ngang nhau mà nguồn mạngliên lạc. D-Phường có thể phát hiện nhiều phổ biếnMô hình của cuộc tấn công DDoS. Các nghiên cứu khác phân loạiloại của cuộc tấn công DDoS và cơ chế bảo vệ [12].Một nghiên cứu trình bày thiết kế của một vị tướngcác nền tảng được kích hoạt để phân tích mối đe dọa khả năng mở rộng choHệ thống tự động quy mô lớn [14]. TheoCSI khảo sát vào năm 2007, DDoS tấn công đã được công nhậnlà một trong những nguyên nhân chính của thiệt hại tài chính [14].Các nghiên cứu nói trên không điều tra cácMô hình của những kẻ tấn công. Trong bài này, chúng tôi tập trung vàochủ đề này.3. bộ dữ liệu và phân tích dữ liệu lớnTrong phần này, chúng tôi hiển thị các chi tiết của bộ dữ liệuvà một số kết quả quan trọng mà chúng tôi thu đượcphân tích dữ liệu và thảo luận về một số khó khăn củaphát triển hệ thống phát hiện tấn công DDoS bởiso sánh phân tích dữ liệu của những kẻ tấn công vànạn nhân [1].3.1. DDoS bộ dữ liệuĐể phát triển một hệ thống phát hiện tấn công DDoSsử dụng máy học tập kỹ thuật vàthuật toán, chúng tôi cần một bộ dữ liệu DDoS thực tế để phát hiệnvà tìm hiểu các mô hình của cuộc tấn công DDoS. Tuy nhiên, chúng tôi làmkhông có số liệu như vậy và trong bất kỳ nghiên cứu DDoScuộc tấn công, thu thập dữ liệu là một nhiệm vụ đầy thách thức: đó làkhó khăn cho bất kỳ nhà nghiên cứu để thu thập thích hợpdatasets thực tế cuộc tấn công DDoS. Tuy nhiên, có nhữngmột số phương pháp thay thế. Một trong số họ là để thiết lậpmột môi trường có thể tạo ra mạng mô phỏngdữ liệu truyền thông. Chúng tôi có thể sử dụng các công cụ như NS-2,Qualnet, hoặc OMNet c++. Tuy nhiên, trong nghiên cứu này, cácmục tiêu là để phát triển một hệ thống phát hiện có thể dự đoánsắp tới một tấn công và phát hiện các cuộc tấn công trước khi cácbăng thông cạn kiệt bằng cách sử dụng máy họckỹ thuật. Một số các tổ chức cung cấp các datasets.Bộ quốc phòng Hoa Kỳ năm 2000 nâng cao nghiên cứu dự ánĐánh giá phát hiện xâm nhập cơ quan (DARPA)Số liệu và kiến thức khám phá và khai thác dữ liệu(KDD) Cúp quốc gia năm 1999 số liệu là phổ biến nhấtkhai datasets, nhưng một trong những đầu tiêntrước khi tạo ra mười năm và điều thứ hai là khôngthích hợp cho cuộc tấn công DDoS [10]. Chúng tôi sử dụng CAIDADDoS tấn công năm 2007 bộ dữ liệu để phân tích thực tếDDoS tấn công dữ liệu và sử dụng chúng cho dữ liệu đào tạoMô hình [1].Số liệu này chứa khoảng một giờ củadấu vết ẩn danh lưu lượng truy cập bao gồm các cuộc tấn cônggiao thông trên các nạn nhân và các phản ứng từ cácnạn nhân ngày 3 tháng 8 năm 2009. Tổng kích thước của cácsố liệu ban đầu là 21 gigabyte. Loại tệplà tập tin gói chụp. Kể từ khi có vàiCác ứng dụng để đọc những dữ liệu này, chúng tôi xuất khẩu tất cả cáccác dữ liệu giá trị phân tách bằng dấu phẩy tập tin cho dữ liệu dễ dàngđọc trong bất kỳ ngôn ngữ lập trình và máy.Tổng kích thước của bộ dữ liệu cuối cùng tăng lên 44Gigabyte và tổng số gói chúng tôiphân tích là 359,655,765 từ những kẻ tấn công và12,131,655 từ các nạn nhân

Kết quả (Việt) 2:

giao thông bình thường và bất thường [5]. Các tác giả có thể
có được một số mẫu chữ ký của DDoS cơ bản
tấn công. Một nghiên cứu của Zhang đã thảo luận một predictionbased
thuật toán phát hiện các cuộc tấn công chống lại DDoS [6].
Dựa trên những dự báo đề xuất, họ có thể phát hiện các
trạng thái bất thường của các máy chủ có thể được gây ra bởi
các cuộc tấn công DDoS. Các nghiên cứu khác sử dụng entropy cho
việc phát triển một hệ thống phát hiện [7] [8]. Nghiên cứu của
Navaz đề xuất một phương pháp thống kê sử dụng chung
dữ liệu ngẫu nhiên để phát hiện DDoS tấn công và cũng sử dụng các
dữ liệu chứa thông tin Caida cho sự từ chối của
các cuộc tấn công dịch vụ [8]. Nghiên cứu này được tính entropy cho
các gói dữ liệu, với các địa chỉ IP, cổng, và kích thước dòng chảy như
đầu vào, và so sánh với dữ liệu ngẫu nhiên bình thường với
giá trị ngưỡng được giao. Các giá trị ngưỡng
phụ thuộc chủ yếu vào tỷ lệ dương tính giả.
Zhong đã phân tích các đặc điểm của DDoS
tấn công và phương pháp phát hiện DDoS tấn công bằng cách sử dụng
một thuật toán khai thác dữ liệu [9]. Mờ c-means
(FCM) thuật toán clustering và Apriori hiệp hội
thuật toán được sử dụng để trích xuất các tính năng trong mạng lưới
giao thông. Nghiên cứu của Bhuyan trình bày một cuộc khảo sát với các
kết quả của các cuộc tấn công DDoS, phương pháp phát hiện, và các công cụ
được sử dụng trong các mạng có dây [10]. Mirković đề xuất một
hệ thống phát hiện tấn công DDoS dựa trên nguồn, DWARD
[11]. Hệ thống này được lắp đặt tại các cạnh
router của mạng và theo dõi hành vi của
mỗi peer mà các nguồn mạng
giao tiếp. D-WARD có thể phát hiện nhiều phổ biến
các mô hình của các cuộc tấn công DDoS. Các nghiên cứu khác phân
loại DDoS tấn công và cơ chế phòng vệ [12].
Một nghiên cứu khác đã trình bày về thiết kế của một chung
kích hoạt khung phân tích mối đe dọa khả năng mở rộng cho
các hệ thống quy mô lớn tự động [14]. Theo
điều tra CSI trong năm 2007, các cuộc tấn công DDoS đã được công nhận
là một trong những nguyên nhân chính gây thiệt hại tài chính [14].
Các nghiên cứu nói trên không điều tra các
mô hình của những kẻ tấn công. Trong bài báo này, chúng tôi tập trung vào
chủ đề này.
3. Dataset và Big Phân tích dữ liệu
Trong phần này, chúng tôi cho thấy các chi tiết của các tập dữ liệu
và một số kết quả quan trọng mà chúng tôi thu được
phân tích dữ liệu và thảo luận về một số khó khăn trong
việc phát triển các hệ thống phát hiện tấn công DDoS bằng
cách so sánh các phân tích dữ liệu của những kẻ tấn công và
nạn nhân [1] .
3.1. DDoS Dataset
Để phát triển một hệ thống phát hiện tấn công DDoS
sử dụng kỹ thuật máy học và
thuật toán, chúng ta cần một DDoS dataset thực tế để phát hiện
và tìm hiểu mô hình của tấn công DDoS. Tuy nhiên, chúng tôi
không có số liệu như vậy và trong bất kỳ nghiên cứu về DDoS
tấn công, thu thập dữ liệu là một nhiệm vụ đầy thách thức: Đó là
khó khăn đối với bất kỳ nhà nghiên cứu thu thập phù hợp
bộ dữ liệu của các cuộc tấn công DDoS thực tế. Tuy nhiên, có
một số phương pháp thay thế. Một trong số đó là thiết lập
một môi trường mà có thể tạo ra mạng mô phỏng
dữ liệu thông tin liên lạc. Chúng tôi có thể sử dụng các công cụ như NS-2,
Qualnet, hoặc OMNet ++. Tuy nhiên, trong nghiên cứu này,
mục tiêu là phát triển một hệ thống phát hiện rằng có thể dự đoán
một cuộc tấn công sắp tới và phát hiện các cuộc tấn công trước khi
băng thông rất mệt do sử dụng máy học
kỹ thuật. Một số tổ chức cung cấp các bộ dữ liệu như vậy.
Các 2.000 US Defense Advanced Research Projects
Agency (DARPA) Intrusion Detection Đánh giá
Dataset và kiến thức Discovery and Data Mining
(KDD) Cup 1999 Dataset là phổ biến nhất
bộ dữ liệu được công bố, nhưng một trong những đầu tiên được
tạo ra trước khi đến mười năm và thứ hai là không
thích hợp cho các cuộc tấn công DDoS [10]. Chúng tôi sử dụng Caida
DDoS tấn công 2007 Dataset để phân tích thực tế
dữ liệu DDoS tấn công và sử dụng chúng cho dữ liệu huấn luyện
mô hình [1].
Bộ dữ liệu này bao gồm khoảng một giờ của
các dấu vết lưu lượng truy cập ẩn danh mà bao gồm các cuộc tấn công
giao thông trên các nạn nhân và các phản ứng từ các
nạn nhân trên ngày 04 tháng 8, 2007. Tổng kích thước của các
tập dữ liệu ban đầu là 21 gigabyte. Các loại file
là file capture gói. Vì có vài
ứng dụng để đọc các dữ liệu, chúng tôi xuất khẩu tất cả các
dữ liệu vào các tập tin có giá trị bằng dấu phẩy để dễ dàng dữ liệu
đọc trong bất kỳ ngôn ngữ và máy lập trình.
Kích thước tổng của số liệu cuối cùng tăng lên đến 44
GB và tổng số các gói tin, chúng tôi
đã phân tích là 359.655.765 từ kẻ tấn công và
12.131.655 từ các nạn nhân