Intelligent Detection and Mitigation of Carpet-Bombing DDoS Attacks in SDN Using Retrieval-Augmented Generation and Large Language Models

Riepilogo Tecnico: Rilevamento e Mitigazione Intelligenti degli Attacchi DDoS "Carpet-Bombing" in SDN mediante Generazione Aumentata dal Recupero e Modelli Linguistici di Grande Dimensione

Enunciato del Problema
Le Reti Definite via Software (SDN) offrono una gestione di rete flessibile ma rimangono vulnerabili agli attacchi di Denial-of-Service Distribuito (DDoS) a causa della loro architettura di controllo centralizzata. Una variante specifica e impegnativa, l'attacco DDoS "Carpet-Bombing" (bombardamento a tappeto), distribuisce traffico malevolo su più obiettivi simultaneamente utilizzando protocolli diversi. A differenza degli attacchi tradizionali che sovraccaricano un singolo vittima, gli attacchi Carpet-Bombing fanno sì che i singoli flussi di traffico appaiano legittimi o a basso volume quando analizzati isolatamente, eludendo i meccanismi di rilevamento convenzionali che si basano su anomalie di alto volume o firme specifiche. Le soluzioni esistenti dipendono spesso da modelli di apprendimento automatico supervisionato o di deep learning che richiedono ampi dataset etichettati, riaddestramento periodico e affinamento, il che limita l'adattabilità negli ambienti SDN dinamici. Inoltre, pochi studi affrontano l'interazione specifica tra piano di controllo e piano dati in SDN durante scenari di Carpet-Bombing o forniscono mitigazione in tempo reale all'interfaccia sorgente.

Metodologia
Il documento propone un framework basato sulla Generazione Aumentata dal Recupero (RAG) progettato per il rilevamento e la mitigazione in tempo reale degli attacchi DDoS Carpet-Bombing senza l'addestramento convenzionale di modelli supervisionati. La metodologia opera attraverso le seguenti fasi:

1. Estrazione e Rappresentazione delle Caratteristiche: Il controller SDN interroga periodicamente gli switch OpenFlow (ogni 10 secondi) per raccogliere statistiche sul traffico a livello di interfaccia (ad esempio, pacchetti/byte ricevuti/inviati, velocità e dimensioni medie). Vengono investigate due strategie di rappresentazione del traffico:
   • Basata su JSON Strutturato: Organizza le caratteristiche in coppie chiave-valore standardizzate per preservare le relazioni strutturali.
   • Basata su Linguaggio Naturale (NLR): Converte le statistiche in frasi descrittive per l'interpretazione semantica.
2. Architettura RAG:
   • Dataset di Recupero: Il dataset è suddiviso in 80% per il recupero (conoscenza contestuale) e 20% per il test. I campioni sono indicizzati separatamente per le classi benigna e di attacco.
   • Embedding e Indicizzazione: Le rappresentazioni del traffico vengono convertite in vettori densi di embedding utilizzando il modello paraphrase-MiniLM-L6-v2. Questi vettori sono indicizzati utilizzando il framework FAISS (Facebook AI Similarity Search) per una ricerca di similarità efficiente.
   • Processo di Inferenza: Per una nuova query di traffico, il sistema recupera dai indici FAISS i tre campioni benigni e i tre campioni di attacco semanticamente più simili.
   • Classificazione LLM: Il contesto recuperato e la query target vengono combinati in un prompt strutturato e inviati a un Modello Linguistico di Grande Dimensione (LLM). L'LLM esegue un'inferenza contestuale per classificare il traffico come benigno (0) o di attacco (1) senza affinamento preliminare.
3. Mitigazione in Tempo Reale: Al rilevamento di un attacco, il controller SDN installa immediatamente regole di drop OpenFlow all'interfaccia sorgente per bloccare il traffico malevolo. Un meccanismo di recupero riabilita l'interfaccia dopo un periodo di inattività di 40 secondi per prevenire il blocco permanente.

Principali Contributi
Gli autori identificano cinque contributi primari:

1. Proposta di un nuovo framework basato su RAG per il rilevamento in tempo reale degli attacchi DDoS Carpet-Bombing in SDN che elimina la necessità di addestramento o riaddestramento supervisionato convenzionale.
2. Utilizzo di caratteristiche del traffico a livello di interfaccia per identificare pattern di attacco distribuiti alla sorgente, consentendo un rilevamento precoce prima che il traffico si diffonda nell'infrastruttura.
3. Indagine e confronto di due strategie di rappresentazione del traffico (JSON Strutturato vs. Linguaggio Naturale) per determinarne l'impatto sulle prestazioni di rilevamento.
4. Valutazione sperimentale estesa utilizzando molteplici LLM all'avanguardia in scenari realistici di Carpet-Bombing con intensità di attacco variabili.
5. Dimostrazione della capacità del framework di raggiungere un'elevata accuratezza di rilevamento mitigando efficacemente gli attacchi e mantenendo operazioni SDN stabili in tempo reale.

Risultati
Gli esperimenti sono stati condotti utilizzando una topologia SDN basata su Mininet con il controller Ryu, impiegando il modello Gemma-4-31B-IT come motore di inferenza principale.

• Prestazioni di Rilevamento: Il framework ha raggiunto un'accuratezza eccezionale. Utilizzando la rappresentazione JSON strutturata, il modello Gemma-4-31B-IT ha ottenuto un'accuratezza del 99,94%, una precisione del 99,92%, un richiamo del 99,93% e un punteggio F1 del 99,93%. La rappresentazione in linguaggio naturale ha prodotto risultati simili (99,93% di accuratezza).
• Confronto tra Modelli: Tra i vari LLM testati (inclusi Grok-4.1-fast, DeepSeek-v3.2, Llama-3.1-70B e GPT-4o-mini), la configurazione Gemma-4-31B-IT ha costantemente fornito le prestazioni complessive di rilevamento più forti.
• Mitigazione in Tempo Reale: Gli esperimenti in tempo reale su quattro scenari di intensità di attacco (da 20.000 a 100.000 pacchetti al secondo) hanno dimostrato che il framework ha ridotto rapidamente l'utilizzo della CPU del controller SDN, le velocità dei messaggi Packet-In e la congestione di rete al momento dell'attivazione. Il sistema ha stabilizzato con successo le operazioni di rete entro pochi secondi dal rilevamento dell'attacco.
• Analisi della Rappresentazione: La rappresentazione basata su JSON strutturato ha generalmente fornito risultati di classificazione più stabili e coerenti rispetto all'approccio basato su linguaggio naturale, probabilmente a causa di una ridotta ambiguità semantica.

Significato e Affermazioni
Il documento afferma che il framework proposto colma lacune critiche nella sicurezza SDN attuale offrendo una soluzione adattiva e priva di addestramento, specificamente adattata alla natura furtiva e distribuita degli attacchi Carpet-Bombing. Integrando meccanismi RAG con LLM, il sistema sfrutta il recupero semantico per comprendere il comportamento del traffico senza fare affidamento su firme statiche o riaddestramenti computazionalmente costosi. Gli autori sottolineano che il loro approccio si distingue dalla letteratura esistente poiché combina monitoraggio a livello di interfaccia, analisi aumentata dal recupero e mitigazione in tempo reale alla sorgente all'interno di un ambiente specifico per SDN. I risultati suggeriscono che questa architettura fornisce un metodo altamente efficace, intelligente e scalabile per difendersi da minacce DDoS sofisticate nelle infrastrutture di rete moderne.