Intelligent Detection and Mitigation of Carpet-Bombing DDoS Attacks in SDN Using Retrieval-Augmented Generation and Large Language Models

Resumen Técnico: Detección Inteligente y Mitigación de Ataques DDoS de "Bombardeo de Alfombra" en SDN Mediante Generación Aumentada por Recuperación y Modelos de Lenguaje Grandes

Planteamiento del Problema
Las Redes Definidas por Software (SDN) ofrecen una gestión de red flexible, pero permanecen vulnerables a ataques de Denegación de Servicio Distribuido (DDoS) debido a su arquitectura de control centralizado. Una variante específica y desafiante, el ataque DDoS de "Bombardeo de Alfombra" (Carpet-Bombing), distribuye tráfico malicioso a través de múltiples objetivos simultáneamente utilizando diversos protocolos. A diferencia de los ataques tradicionales que abruman a una sola víctima, los ataques de Bombardeo de Alfombra hacen que los flujos de tráfico individuales parezcan legítimos o de bajo volumen cuando se analizan de forma aislada, evadiendo los mecanismos de detección convencionales que dependen de anomalías de alto volumen o firmas específicas. Las soluciones existentes a menudo dependen de modelos de aprendizaje automático supervisado o de aprendizaje profundo que requieren conjuntos de datos etiquetados extensos, reentrenamiento periódico y ajuste fino, lo que limita la adaptabilidad en entornos SDN dinámicos. Además, pocos estudios abordan la interacción específica entre las planos de control y de datos en SDN durante escenarios de Bombardeo de Alfombra o proporcionan mitigación en tiempo real en la interfaz de origen.

Metodología
El artículo propone un marco basado en Generación Aumentada por Recuperación (RAG) diseñado para la detección y mitigación en tiempo real de ataques DDoS de Bombardeo de Alfombra sin entrenamiento supervisado convencional. La metodología opera a través de las siguientes etapas:

1. Extracción y Representación de Características: El controlador SDN consulta periódicamente a los conmutadores OpenFlow (cada 10 segundos) para recopilar estadísticas de tráfico a nivel de interfaz (por ejemplo, paquetes/bytes recibidos/enviados, tasas y tamaños promedio). Se investigan dos estrategias de representación de tráfico:
   • Basada en JSON Estructurado: Organiza las características en pares clave-valor estandarizados para preservar las relaciones estructurales.
   • Basada en Lenguaje Natural (NLR): Convierte las estadísticas en oraciones descriptivas para su interpretación semántica.
2. Arquitectura RAG:
   • Conjunto de Datos de Recuperación: El conjunto de datos se divide en un 80% para recuperación (conocimiento contextual) y un 20% para pruebas. Las muestras se indexan por separado para las clases benignas y de ataque.
   • Incrustación e Indexación: Las representaciones de tráfico se convierten en incrustaciones vectoriales densas utilizando el modelo paraphrase-MiniLM-L6-v2. Estos vectores se indexan utilizando el marco FAISS (Facebook AI Similarity Search) para una búsqueda de similitud eficiente.
   • Proceso de Inferencia: Para una nueva consulta de tráfico, el sistema recupera las tres muestras benignas semánticamente más similares y las tres muestras de ataque más similares de los índices FAISS.
   • Clasificación con LLM: El contexto recuperado y la consulta objetivo se combinan en un prompt estructurado y se alimentan a un Modelo de Lenguaje Grande (LLM). El LLM realiza inferencia contextual para clasificar el tráfico como benigno (0) o de ataque (1) sin ajuste fino previo.
3. Mitigación en Tiempo Real: Al detectar un ataque, el controlador SDN instala inmediatamente reglas de eliminación OpenFlow en la interfaz de origen para bloquear el tráfico malicioso. Un mecanismo de recuperación vuelve a habilitar la interfaz después de un período de inactividad de 40 segundos para evitar el bloqueo permanente.

Contribuciones Clave
Los autores identifican cinco contribuciones principales:

1. Propuesta de un marco novedoso basado en RAG para la detección en tiempo real de ataques DDoS de Bombardeo de Alfombra en SDN que elimina la necesidad de entrenamiento o reentrenamiento supervisado convencional.
2. Utilización de características de tráfico a nivel de interfaz para identificar patrones de ataque distribuidos en el origen, permitiendo una detección temprana antes de que el tráfico se propague por la infraestructura.
3. Investigación y comparación de dos estrategias de representación de tráfico (JSON Estructurado vs. Lenguaje Natural) para determinar su impacto en el rendimiento de detección.
4. Evaluación experimental exhaustiva utilizando múltiples LLMs de vanguardia bajo escenarios realistas de Bombardeo de Alfombra con intensidades de ataque variables.
5. Demostración de la capacidad del marco para lograr una alta precisión de detección mientras mitiga eficazmente los ataques y mantiene operaciones SDN estables en tiempo real.

Resultados
Los experimentos se realizaron utilizando una topología SDN basada en Mininet con el controlador Ryu, utilizando el modelo Gemma-4-31B-IT como motor de inferencia principal.

• Rendimiento de Detección: El marco logró una precisión excepcional. Utilizando la representación JSON estructurada, el modelo Gemma-4-31B-IT alcanzó una precisión del 99,94%, una precisión del 99,92%, una recuperación del 99,93% y una puntuación F1 del 99,93%. La representación en lenguaje natural arrojó resultados similares (99,93% de precisión).
• Comparación de Modelos: Entre varios LLMs probados (incluyendo Grok-4.1-fast, DeepSeek-v3.2, Llama-3.1-70B y GPT-4o-mini), la configuración Gemma-4-31B-IT entregó consistentemente el rendimiento de detección general más fuerte.
• Mitigación en Tiempo Real: Los experimentos en tiempo real en cuatro escenarios de intensidad de ataque (que van desde 20.000 hasta 100.000 paquetes por segundo) demostraron que el marco redujo rápidamente la utilización de la CPU del controlador SDN, las tasas de mensajes Packet-In y la congestión de la red tras su activación. El sistema estabilizó con éxito las operaciones de la red en segundos tras la detección del ataque.
• Análisis de Representación: La representación basada en JSON estructurado generalmente proporcionó resultados de clasificación más estables y consistentes en comparación con el enfoque basado en lenguaje natural, probablemente debido a una menor ambigüedad semántica.

Significado y Afirmaciones
El artículo afirma que el marco propuesto aborda lagunas críticas en la seguridad actual de SDN al ofrecer una solución adaptativa y sin entrenamiento, específicamente diseñada para la naturaleza sigilosa y distribuida de los ataques de Bombardeo de Alfombra. Al integrar mecanismos RAG con LLMs, el sistema aprovecha la recuperación semántica para comprender el comportamiento del tráfico sin depender de firmas estáticas o reentrenamiento computacionalmente costoso. Los autores destacan que su enfoque es distinto de la literatura existente al combinar monitoreo a nivel de interfaz, análisis aumentado por recuperación y mitigación en tiempo real en el origen dentro de un entorno específico de SDN. Los resultados sugieren que esta arquitectura proporciona un método altamente efectivo, inteligente y escalable para defenderse de amenazas DDoS sofisticadas en infraestructuras de red modernas.