Figure 5: ROC curves for native Ope

Figure 5: ROC curves for native OpenFlow and sFlow-based implementations with
respect to various network anomalies

In Figure 6(a), we present the corresponding ROC curves for the second case of our
experiments. The benign traffic was approximately 100Mbps with an average of 25,000
packets per second. In this packet trace, we injected the same network attacks, using rates of
200, 350 and 500 packets per second. As we can observe from Figure 6(a), using the sFlow-
based implementation, we achieved 100% detection accuracy while having 40%, 42% and
50% FP rates, for the DDoS, Worm and Port scanning attack scenarios respectively.
Figure 6(b) shows the ROC curves for our last experiment. In this case, we tried to emulate
a small ISP, with benign traffic of approximately 500Mbps and an average of 130,000 packets
per second. The attack rates used for this case were 1000, 2000 and 2500 packets per second.
As it is depicted in Figure 6(b), we achieved 100% detection accuracy while having 23%,
27% and 34% FP rates for the portscan, DDoS and worm attack scenarios respectively.
In Figure 6, we observe that using 500Mbps of traffic volume and 1/256 sampling rate, we
achieve an equal, and in some cases better, detection accuracy rate, compared to the two
aforementioned cases. The large traffic volume consists of several thousands of independent
hosts, greatly randomizing the traffic characteristics. Thus, it is easier to detect network
anomalies with our entropy-based method, although we used 1/256 sampling rate for this
particular experiment.

Kết quả (Việt) 1:

Hình 5: ROC đường cong cho Thổ dân OpenFlow và sFlow dựa trên hiện thực với
tôn trọng để các mạng bất thường

ở con số 6(a), chúng tôi trình bày các đường cong ROC tương ứng cho trường hợp thứ hai của chúng tôi
thí nghiệm. Lành tính lưu lượng truy cập là khoảng 100Mbps với mức trung bình của 25.000
gói / giây. Trong này dấu vết gói, chúng tôi tiêm các cuộc tấn công cùng một mạng, sử dụng tỷ giá
200, 350 và 500 gói / giây. Như chúng tôi có thể quan sát từ con số 6(a), bằng cách sử dụng sFlow-
dựa trên việc thực hiện, chúng tôi đạt được 100% phát hiện chính xác trong khi có 40%, 42% và
tỷ giá FP 50%, cho DDoS, sâu và cổng quét tấn công tình huống tương ứng.
Hình 6(b) cho thấy đường cong ROC cho thử nghiệm cuối cùng của chúng tôi. Trong trường hợp này, chúng tôi đã cố gắng để thi đua
một ISP nhỏ, với lành tính lưu lượng truy cập của khoảng 500Mbps và một trung bình của gói 130.000
/ giây. Tỷ giá tấn công được sử dụng cho trường hợp này là 1000, 2000 và 2500 gói / giây.
Như nó được mô tả trong hình 6(b), chúng tôi đạt được 100% phát hiện chính xác trong khi có 23%,
27% và 34% tỷ lệ FP cho portscan, DDoS và sâu tấn công tình huống tương ứng.
Trong hình 6, chúng tôi quan sát đó bằng cách sử dụng 500Mbps của khối lượng giao thông và các tỷ lệ lấy mẫu 1/256, chúng tôi
đạt được ngang, và trong một số trường hợp tốt hơn, tỷ lệ phát hiện chính xác, so với hai
nói trên trường hợp. Khối lượng lớn lưu lượng truy cập bao gồm hàng nghìn độc lập
máy chủ, rất nhiều randomizing các đặc tính lưu lượng truy cập. Vì vậy, nó là dễ dàng hơn để phát hiện mạng
bất thường với chúng tôi phương pháp dựa trên dữ liệu ngẫu nhiên, mặc dù chúng tôi sử dụng 1/256 lấy mẫu tỷ lệ này
thí nghiệm đặc biệt.

Kết quả (Việt) 2:

Hình 5: đường cong ROC cho OpenFlow bản địa và triển khai sFlow dựa trên với
liên quan đến dị thường mạng khác nhau Trong hình 6 (a), chúng tôi trình bày những đường cong ROC tương ứng đối với trường hợp thứ hai của chúng tôi thí nghiệm. Giao thông lành tính xấp xỉ 100Mbps với trung bình 25.000 gói mỗi giây. Trong dấu vết gói này, chúng tôi tiêm các cuộc tấn công cùng một mạng, sử dụng các mức của 200, 350 và 500 gói mỗi giây. Như chúng ta có thể quan sát trong hình 6 (a), bằng cách sử dụng sFlow- thực hiện dựa trên, chúng tôi đã đạt 100% độ chính xác trong khi có 40%, 42% và 50% giá FP, cho DDoS, Worm và Port kịch bản tấn công quét tương ứng. Hình 6 (b) cho thấy đường cong ROC cho thử nghiệm cuối cùng của chúng tôi. Trong trường hợp này, chúng tôi đã cố gắng để cạnh tranh với một ISP nhỏ, với lưu lượng truy cập lành tính khoảng 500Mbps và trung bình 130.000 gói mỗi giây. Tỷ lệ tấn công sử dụng cho trường hợp này là 1000, 2000 và 2500 gói tin mỗi giây. Vì nó được mô tả trong hình 6 (b), chúng tôi đã đạt 100% độ chính xác trong khi có 23%, 27% ​​và 34% giá FP cho portscan, DDoS và kịch bản tấn công sâu tương ứng. Trong hình 6, chúng tôi nhận thấy rằng sử dụng 500Mbps của lưu lượng giao thông và 1/256 tỷ lệ lấy mẫu, chúng tôi đạt được một bằng nhau, và trong một số trường hợp tốt hơn, tỷ lệ phát hiện chính xác, so với hai trường hợp nói trên. Lưu lượng giao thông lớn bao gồm một số hàng ngàn độc lập máy chủ, ngẫu nhiên rất nhiều đặc điểm giao thông. Do đó, nó dễ dàng hơn để phát hiện mạng bất thường với phương pháp dựa trên dữ liệu ngẫu nhiên của chúng tôi, mặc dù chúng tôi sử dụng 1/256 tỷ lệ lấy mẫu này thí nghiệm cụ thể.