Anomaly Detection module implements

Anomaly Detection module implements the observations of Table 3 and subsequently raises
alarms. For example, if the alarm is triggered due to a decrease in the Destination IP and
Destination port entropies, our algorithm presumes that the attack detected was actually a
DDoS attack. The same applies to the other attack patterns. Afterwards, the same module
analyzes the related with the attack pattern network metrics, from multiple time-windows to
identify either the attacker, or the target(s) under attack. Hence, in case of a DDoS attack, we
identify the host and the service under attack, while for the rest of the attack patterns we
identify the attacker. In general, our purpose is to locate a specific service in a specific host,
and apply policy rules to drop the malicious traffic.
Once the Anomaly Detection module has identified the host (whether this is the attacker or
the host under attack), it passes the related information to the Anomaly Mitigation module.
This module is able to instantiate a new flow in the OF-enabled switch or to modify an
existing one, using the IP address and port number learned by the Anomaly Detection module
and attaching a Drop action.
Although our algorithm can identify the attack patterns mentioned above, there are some
benign network anomalies, which affect the network metrics the same way a malicious
anomaly would have. For example a Flash Crowd anomaly would cause a heavy drop in the
Destination IP and Destination port metrics, like a DDoS attack would have. In order to avoid
cutting off a valuable service for our network (i.e. ftp), we also implemented a White List
function that maintains a list of IP addresses/ports that their anomalous network behavior is
related to legitimate network traffic. Hence, before the Anomaly Mitigation module inserts a
drop rule in the switch, it first checks the combination of IP address and Port that was
identified, against the White List table. The White List can be maintained via an automated
mechanism or set manually by the network administrator. In our experiments, we
implemented the latter for simplicity reasons.

Kết quả (Việt) 1:

Mô-đun phát hiện bất thường thực hiện các quan sát của bảng 3 và sau đó tăng
hệ thống báo động. Ví dụ, nếu các báo động được kích hoạt do sự sụt giảm về đích IP và
điểm đến cảng entropies, thuật toán của chúng tôi presumes rằng cuộc tấn công phát hiện đã thực sự một
DDoS tấn công. Cùng áp dụng cho các mô hình tấn công khác. Sau đó, cùng một mô-đun
phân tích sự liên quan với tấn công mô hình số liệu mạng, từ nhiều thời gian cửa sổ để
xác định hoặc kẻ tấn công, hoặc target(s) bị tấn công. Do đó, trong trường hợp một cuộc tấn công DDoS, chúng tôi
xác định máy chủ và các dịch vụ bị tấn công, trong khi đối với phần còn lại của cuộc tấn công mô hình chúng tôi
xác định kẻ tấn công. Nói chung, mục đích của chúng tôi là để xác định vị trí một dịch vụ cụ thể trong một máy chủ cụ thể,
và áp dụng các quy tắc chính sách để thả lưu lượng truy cập độc hại.
Sau khi các mô-đun bất thường phát hiện đã xác định các máy chủ (cho dù đây là những kẻ tấn công hoặc
máy chủ bị tấn công), nó đã vượt qua thông tin liên quan đến các mô-đun bất thường giảm nhẹ.
Này mô-đun có khả năng để nhanh chóng một dòng mới trong chuyển đổi của kích hoạt hoặc để sửa đổi một
một trong hiện tại, sử dụng IP địa chỉ và cổng số học được bởi các mô-đun phát hiện bất thường
và gắn một hành động thả.
Mặc dù thuật toán của chúng tôi có thể xác định các mẫu đau đã đề cập ở trên, có là một số
dị thường lành tính mạng, ảnh hưởng đến số liệu mạng cùng một cách là một độc hại
bất thường sẽ có. Ví dụ một Flash đám đông bất thường sẽ gây ra một giảm nặng trong các
Đích IP và điểm đến cổng số liệu, giống như một cuộc tấn công DDoS sẽ có. Để tránh
cắt giảm một dịch vụ có giá trị cho mạng của chúng tôi (tức là ftp), chúng tôi cũng thực hiện một danh sách trắng
chức năng quản lý danh sách IP địa chỉ/cổng của hành vi của mạng bất thường là
liên quan đến lưu lượng truy cập hợp pháp mạng. Do đó, trước khi giảm nhẹ bất thường chèn mô-đun một
thả cai trị trong chuyển đổi, nó lần đầu tiên kiểm tra sự kết hợp của địa chỉ IP và cổng là
xác định, chống lại bảng danh sách trắng. Danh sách trắng có thể được duy trì thông qua một tự động
cơ chế hoặc tự do người quản trị mạng. Trong các thí nghiệm của chúng tôi, chúng tôi
thực hiện sau đó vì lý do đơn giản.

Kết quả (Việt) 2:

Mô-đun phát hiện bất thường thực hiện những quan sát của Bảng 3 và sau đó làm tăng
báo động. Ví dụ, nếu báo động được kích hoạt do sự sụt giảm trong Destination IP và
cổng Điểm đến entropies, thuật toán của chúng tôi giả định rằng cuộc tấn công được phát hiện thực sự là một
cuộc tấn công DDoS. Cùng áp dụng cho các mô hình tấn công khác. Sau đó, cùng một module
phân tích có liên quan với các số liệu mạng lưới tấn công mô hình, từ nhiều thời gian cửa sổ để
xác định một trong hai kẻ tấn công, hoặc mục tiêu (s) bị tấn công. Do đó, trong trường hợp một cuộc tấn công DDoS, chúng tôi
xác định các máy chủ và dịch vụ bị tấn công, trong khi đối với phần còn lại của các mẫu tấn công chúng tôi
xác định những kẻ tấn công. Nói chung, mục đích của chúng tôi là xác định vị trí một dịch vụ cụ thể trong một máy chủ cụ thể,
và áp dụng các quy tắc chính sách giảm lưu lượng truy cập độc hại.
Một khi các mô-đun phát hiện bất thường đã xác định các máy chủ (cho dù đây là những kẻ tấn công hay
máy chủ bị tấn công), nó đi các thông tin liên quan đến các module bất thường giảm nhẹ.
mô-đun này có thể tạo một dòng chảy mới trong chuyển đổi OF-kích hoạt hoặc để sửa đổi một
hiện tại, bằng cách sử dụng địa chỉ IP và số cổng học bởi các module phát hiện bất thường
và gắn một hành động thả.
Mặc dù thuật toán của chúng tôi có thể xác định các mẫu tấn công đã nói ở trên, có một số
dị thường mạng lành tính, có ảnh hưởng đến số liệu mạng theo cùng một cách một độc hại
bất thường sẽ có. Ví dụ như một bất thường flash đám đông sẽ gây ra sự sụt giảm nặng nề trong
Destination IP và cổng Điểm đến số liệu, giống như một cuộc tấn công DDoS sẽ có. Để tránh
cắt một dịch vụ có giá trị cho mạng lưới của chúng tôi (tức là ftp), chúng tôi cũng thực hiện một trắng Danh sách
chức năng duy trì một danh sách các địa chỉ IP / cổng rằng hành vi bất thường mạng của họ
liên quan đến mạng lưới giao thông hợp pháp. Do đó, trước khi các mô-đun bất thường giảm nhẹ chèn một
quy tắc giảm trong chuyển đổi, đầu tiên nó sẽ kiểm tra sự kết hợp của địa chỉ IP và cổng đã được
xác định, đối với các bảng Danh sách trắng. White List có thể được duy trì thông qua một tự động
hoặc cơ chế thiết lập bằng tay bởi người quản trị mạng. Trong các thí nghiệm của chúng tôi, chúng tôi
thực hiện sau này vì lý do đơn giản.