Table 4: Parameter values used in o

Table 4: Parameter values used in our experimentations
We performed the following experiments:
• 50Mbps of traffic monitored with the native OF implementation, as well as with the
sFlow-based one, using 1/64 sampling rate. In both methods we utilized the OVS OF-
enabled switch.
• 100Mbps of traffic monitored using the sFlow-based implementation, with 1/64
sampling rate and the OVS OF-enabled switch.
• 500Mbps of traffic monitored with the sFlow-based implementation, with 1/256
sampling rate, using the OVS OF-enabled switch. Then, we performed the same
experiment with the NEC IP8800/S3640 switch, in order to evaluate whether our
proposed mechanism could be used along with commercial hardware OF-enabled
switches.
In our first experiment we aim to show that both our implementations can be used
effectively to detect any anomalies in a small-to-medium network environment. We also want
to compare the two methods and evaluate if the sFlow-based implementation can be used
reliably for such a process, despite the sampling involved.
To this end, we replayed captured traffic of 50Mbps, while injecting DDoS, Portscan and
Worm attacks. In order to have varying attack rates, we injected attacks of 50, 100 and 200
packets per second. Considering that the legitimate packets per second had an average value
of 12,000-13,000, the attack rate was significantly low.
The entropy values presented in Figure 2 were a result of the native OF implementation
used to perform anomaly detection. In Figure 4, we compare the values of the four entropy
metrics, shown in Figure 2, during an indicative attack with the corresponding metrics from
our sFlow-based implementation. From this comparison, we can observe that the results are
almost identical and that the entropy values appear to have the same trend with or without
sampling involved.

Kết quả (Việt) 1:

Bảng 4: Giá trị tham số được sử dụng trong experimentations của chúng tôi
chúng tôi thực hiện các thí nghiệm sau:
• 50Mbps của lưu lượng truy cập theo dõi các nguồn gốc của thực hiện, cũng như với các
dựa trên sFlow một, bằng cách sử dụng 1/64 lấy mẫu tỷ lệ. Trong cả hai phương pháp chúng tôi sử dụng của OVS-
cho phép chuyển đổi.
• 100Mbps của lưu lượng truy cập theo dõi bằng cách sử dụng thực hiện dựa trên sFlow, với 1/64
tốc độ Lấy mẫu và chuyển đổi OVS của kích hoạt.
• 500Mbps của lưu lượng truy cập theo dõi việc dựa trên sFlow thực hiện, với 1/256
tỷ lệ lấy mẫu, sử dụng chuyển đổi OVS của kích hoạt. Sau đó, chúng tôi thực hiện như nhau
thử nghiệm với switch NEC IP8800/S3640, để đánh giá cho dù chúng tôi
đề nghị cơ chế có thể được sử dụng cùng với thương mại phần cứng kích hoạt của
thiết bị chuyển mạch.
Trong thử nghiệm đầu tiên của chúng tôi, chúng tôi nhằm mục đích hiển thị cả hai việc triển khai của chúng tôi có thể được sử dụng
có hiệu quả để phát hiện bất kỳ bất thường trong một môi trường mạng nhỏ đến trung bình. Chúng tôi cũng muốn
để so sánh hai phương pháp và đánh giá nếu thực hiện dựa trên sFlow có thể được sử dụng
đáng tin cậy cho các quá trình một như vậy, mặc dù việc lấy mẫu tham gia.
Để kết thúc này, chúng tôi replayed bắt được lưu lượng truy cập của 50Mbps, trong khi tiêm chích DDoS, Portscan và
Worm cuộc tấn công. Để có khác nhau tỷ giá tấn công, chúng tôi tiêm cuộc tấn công của 50, 100 và 200
gói / giây. Xem xét rằng các gói dữ liệu hợp pháp cho một thứ hai đã có một giá trị trung bình
12.000-13.000, tỷ lệ tấn công là đáng kể thấp.
Các giá trị dữ liệu ngẫu nhiên trình bày trong hình 2 là kết quả của các nguồn gốc của thực hiện
được sử dụng để thực hiện bất thường phát hiện. Trong hình 4, chúng tôi so sánh các giá trị dữ liệu ngẫu nhiên bốn
số liệu, Hiển thị trong hình 2, trong một cuộc tấn công chỉ với các số liệu tương ứng từ
chúng tôi thực hiện dựa trên sFlow. Từ so sánh này, chúng tôi có thể quan sát rằng kết quả là
hầu như giống hệt nhau và các giá trị dữ liệu ngẫu nhiên dường như có xu hướng tương tự có hoặc không có
lấy mẫu tham gia.

Kết quả (Việt) 2:

Bảng 4: Giá trị thông số được sử dụng trong lần thử nghiệm của chúng tôi
Chúng tôi thực hiện các thí nghiệm sau:
• 50Mbps của lưu lượng truy cập theo dõi với các nguồn gốc của thực hiện, cũng như với các
sFlow dựa trên một, sử dụng 1/64 tỷ lệ lấy mẫu. Trong cả hai phương pháp chúng tôi sử dụng các OVS OF-
kích hoạt chuyển đổi.
• 100Mbps của giao thông theo dõi bằng cách sử dụng thực hiện sFlow dựa trên, với 1/64
tỷ lệ lấy mẫu và OVS OF-kích hoạt chuyển đổi.
• 500Mbps của giao thông giám sát với việc thực hiện sFlow dựa trên, với 1/256
tỷ lệ lấy mẫu, bằng cách sử dụng OVS OF-kích hoạt chuyển đổi. Sau đó, chúng tôi thực hiện cùng
thử nghiệm với việc chuyển đổi NEC IP8800/S3640, để đánh giá liệu chúng tôi
đề xuất cơ chế có thể được sử dụng cùng với phần cứng thương mại OF-kích hoạt
thiết bị chuyển mạch.
Trong thí nghiệm đầu tiên của chúng tôi, chúng tôi nhằm mục đích để cho thấy rằng cả hai hiện thực của chúng tôi có thể được sử dụng
hiệu quả để phát hiện bất kỳ bất thường trong một môi trường mạng nhỏ đến trung bình. Chúng tôi cũng muốn
để so sánh hai phương pháp và đánh giá, nếu việc thực hiện sFlow dựa trên có thể được sử dụng
đáng tin cậy cho một quá trình như vậy, mặc dù việc lấy mẫu liên quan.
Để kết thúc này, chúng tôi tái hiện lại bắt giao thông của 50Mbps, trong khi tiêm DDoS, Portscan và
các cuộc tấn công Worm. Để có tỷ lệ tấn công khác nhau, chúng tôi tiêm tấn công của 50, 100 và 200
gói mỗi giây. Xem xét rằng các gói tin hợp pháp mỗi giây có giá trị trung bình
của 12,000-13,000, tỷ lệ tấn công là thấp đáng kể.
Các giá trị dữ liệu ngẫu nhiên được trình bày trong hình 2 là một kết quả của bản địa của thực hiện
sử dụng để thực hiện phát hiện bất thường. Trong hình 4, chúng tôi so sánh các giá trị của bốn dữ liệu ngẫu nhiên
các số liệu, thể hiện trong hình 2, trong một cuộc tấn công chỉ với các số liệu tương ứng từ
thực hiện sFlow dựa trên của chúng tôi. Từ so sánh này, chúng ta có thể nhận thấy rằng kết quả là
gần như giống hệt nhau và rằng các giá trị dữ liệu ngẫu nhiên xuất hiện để có xu hướng tương tự có hoặc không có
lấy mẫu tham gia.