Intelligent Detection and Mitigation of Carpet-Bombing DDoS Attacks in SDN Using Retrieval-Augmented Generation and Large Language Models

기술 요약: 검색 증강 생성 및 대규모 언어 모델을 활용한 SDN 의 카펫 폭격 DDoS 공격에 대한 지능형 탐지 및 완화

문제 제기
소프트웨어 정의 네트워킹 (SDN) 은 유연한 네트워크 관리를 제공하지만, 중앙 집중식 제어 아키텍처로 인해 분산 서비스 거부 (DDoS) 공격에 취약한 상태입니다. 특히 '카펫 폭격 (Carpet-Bombing)' DDoS 공격은 다양한 프로토콜을 사용하여 여러 표적에 동시에 악성 트래픽을 분산시키는 구체적이고 도전적인 변종입니다. 단일 표적을 압도하는 전통적인 공격과 달리, 카펫 폭격 공격은 개별 트래픽 흐름을 고립적으로 분석할 때 합법적이거나 저량으로 보이게 만들어, 고량 이상이나 특정 서명에 의존하는 기존 탐지 메커니즘을 회피합니다. 기존 솔루션은 종종 방대한 레이블이 지정된 데이터셋, 주기적인 재학습 및 미세 조정이 필요한 지도 학습 또는 딥러닝 모델에 의존하는데, 이는 동적인 SDN 환경에서의 적응성을 제한합니다. 또한, 카펫 폭격 시나리오 중 SDN 의 제어 평면과 데이터 평면 간의 특정 상호작용을 다루거나 소스 인터페이스에서 실시간으로 완화하는 연구는 거의 없습니다.

방법론
본 논문은 기존 지도 학습 모델 훈련 없이 실시간 카펫 폭격 DDoS 공격 탐지 및 완화를 위해 설계된 검색 증강 생성 (RAG) 기반 프레임워크를 제안합니다. 방법론은 다음 단계로 운영됩니다:

1. 특징 추출 및 표현: SDN 컨트롤러는 주기적으로 (10 초마다) OpenFlow 스위치를 쿼리하여 인터페이스 수준의 트래픽 통계 (예: 수신/송신된 패킷/바이트, 속도 및 평균 크기) 를 수집합니다. 두 가지 트래픽 표현 전략이 조사됩니다:
   • 구조화된 JSON 기반: 구조적 관계를 보존하기 위해 특징을 표준화된 키 - 값 쌍으로 조직화합니다.
   • 자연어 기반 (NLR): 통계를 의미론적 해석을 위한 설명적 텍스트 문장으로 변환합니다.
2. RAG 아키텍처:
   • 검색 데이터셋: 데이터셋은 80% 검색 (문맥 지식) 과 20% 테스트로 분할됩니다. 샘플은 정상 및 공격 클래스별로 별도로 인덱싱됩니다.
   • 임베딩 및 인덱싱: 트래픽 표현은 paraphrase-MiniLM-L6-v2 모델을 사용하여 조밀한 벡터 임베딩으로 변환됩니다. 이러한 벡터는 효율적인 유사성 검색을 위해 FAISS(Facebook AI Similarity Search) 프레임워크를 사용하여 인덱싱됩니다.
   • 추론 프로세스: 새로운 트래픽 쿼리에 대해 시스템은 FAISS 인덱스에서 상위 3 개의 의미상 유사한 정상 샘플과 상위 3 개의 공격 샘플을 검색합니다.
   • LLM 분류: 검색된 문맥과 대상 쿼리는 구조화된 프롬프트로 결합되어 대규모 언어 모델 (LLM) 에 입력됩니다. LLM 은 사전 미세 조정 없이 문맥 추론을 수행하여 트래픽을 정상 (0) 또는 공격 (1) 으로 분류합니다.
3. 실시간 완화: 공격이 탐지되면 SDN 컨트롤러는 즉시 소스 인터페이스에 OpenFlow 드롭 규칙을 설치하여 악성 트래픽을 차단합니다. 영구 차단을 방지하기 위해 40 초의 비활동 기간 후 인터페이스를 다시 활성화하는 복구 메커니즘이 적용됩니다.

주요 기여
저자들은 다섯 가지 주요 기여를 식별합니다:

1. 기존 지도 학습 또는 재학습이 필요 없는 SDN 의 실시간 카펫 폭격 DDoS 탐지를 위한 새로운 RAG 기반 프레임워크 제안.
2. 소스에서 분산 공격 패턴을 식별하기 위한 인터페이스 수준 트래픽 특징 활용으로, 트래픽이 인프라 전체로 확산되기 전에 조기 탐지 가능.
3. 탐지 성능에 미치는 영향을 결정하기 위해 두 가지 트래픽 표현 전략 (구조화된 JSON 대 자연어) 에 대한 조사 및 비교.
4. 다양한 공격 강도를 가진 현실적인 카펫 폭격 시나리오 하에서 여러 최첨단 LLM 을 사용한 광범위한 실험적 평가.
5. 실시간으로 정교한 DDoS 위협에 대응하는 SDN 운영을 유지하면서 높은 탐지 정확도를 달성하고 공격을 효과적으로 완화하는 프레임워크의 능력 입증.

결과
실험은 Ryu 컨트롤러를 사용한 Mininet 기반 SDN 토폴로지에서 수행되었으며, Gemma-4-31B-IT 모델을 주요 추론 엔진으로 활용했습니다.

• 탐지 성능: 프레임워크는 탁월한 정확도를 달성했습니다. 구조화된 JSON 표현을 사용할 때 Gemma-4-31B-IT 모델은 99.94% 정확도, 99.92% 정밀도, 99.93% 재현율, 99.93% F1 점수를 기록했습니다. 자연어 표현도 유사한 결과 (99.93% 정확도) 를 보였습니다.
• 모델 비교: Grok-4.1-fast, DeepSeek-v3.2, Llama-3.1-70B, GPT-4o-mini 등 다양한 테스트된 LLM 중에서 Gemma-4-31B-IT 구성이 일관되게 가장 강력한 전체 탐지 성능을 제공했습니다.
• 실시간 완화: 20,000 에서 100,000 패킷/초까지 다양한 공격 강도 시나리오에 걸친 실시간 실험은 프레임워크가 활성화 시 SDN 컨트롤러 CPU 사용률, Packet-In 메시지 비율 및 네트워크 혼잡을 신속히 감소시켰음을 보여주었습니다. 시스템은 공격 탐지 후 수 초 내에 네트워크 운영을 안정화했습니다.
• 표현 분석: 구조화된 JSON 기반 표현은 의미론적 모호성이 감소했기 때문에 자연어 기반 접근법보다 일반적으로 더 안정적이고 일관된 분류 결과를 제공했습니다.

중요성 및 주장
본 논문은 제안된 프레임워크가 은밀하고 분산된 카펫 폭격 공격의 특성에 맞춰 적응형이며 훈련이 필요 없는 솔루션을 제공함으로써 현재 SDN 보안의 중요한 격차를 해소한다고 주장합니다. RAG 메커니즘과 LLM 을 통합함으로써 시스템은 정적 서명에 의존하거나 계산 비용이 많이 드는 재학습 없이 트래픽 행동을 이해하기 위해 의미론적 검색을 활용합니다. 저자들은 기존 문헌과 구별되는 접근법으로 SDN 특정 환경 내에서 인터페이스 수준 모니터링, 검색 증강 분석, 실시간 소스 완화를 결합했다고 강조합니다. 결과는 이 아키텍처가 현대 네트워크 인프라의 정교한 DDoS 위협에 대응하는 매우 효과적이고 지능적이며 확장 가능한 방법을 제공함을 시사합니다.