Intelligent Detection and Mitigation of Carpet-Bombing DDoS Attacks in SDN Using Retrieval-Augmented Generation and Large Language Models

Resumo Técnico: Detecção Inteligente e Mitigação de Ataques DDoS do Tipo Carpet-Bombing em SDN Usando Geração Aumentada por Recuperação e Modelos de Linguagem de Grande Escala

Declaração do Problema
As Redes Definidas por Software (SDN) oferecem gerenciamento de rede flexível, mas permanecem vulneráveis a Ataques de Negação de Serviço Distribuído (DDoS) devido à sua arquitetura de controle centralizado. Uma variante específica e desafiadora, o ataque DDoS "Carpet-Bombing" (Bombardeio de Tapete), distribui tráfego malicioso entre múltiplos alvos simultaneamente, utilizando protocolos diversos. Diferentemente dos ataques tradicionais que sobrecarregam um único alvo, os ataques Carpet-Bombing fazem com que os fluxos de tráfego individuais pareçam legítimos ou de baixo volume quando analisados isoladamente, evadindo mecanismos de detecção convencionais que dependem de anomalias de alto volume ou assinaturas específicas. Soluções existentes frequentemente dependem de modelos de aprendizado de máquina supervisionado ou de aprendizado profundo que exigem conjuntos de dados rotulados extensos, re-treinamento periódico e ajuste fino, o que limita a adaptabilidade em ambientes SDN dinâmicos. Além disso, poucos estudos abordam a interação específica entre as planos de controle e de dados em SDN durante cenários de Carpet-Bombing ou fornecem mitigação em tempo real na interface de origem.

Metodologia
O artigo propõe um framework baseado em Geração Aumentada por Recuperação (RAG) projetado para detecção e mitigação em tempo real de Ataques DDoS do tipo Carpet-Bombing, sem treinamento supervisionado convencional de modelos. A metodologia opera através das seguintes etapas:

1. Extração e Representação de Recursos: O controlador SDN consulta periodicamente os switches OpenFlow (a cada 10 segundos) para coletar estatísticas de tráfego ao nível da interface (por exemplo, pacotes/bytes recebidos/enviados, taxas e tamanhos médios). Duas estratégias de representação de tráfego são investigadas:
   • Baseada em JSON Estruturado: Organiza os recursos em pares chave-valor padronizados para preservar relações estruturais.
   • Baseada em Linguagem Natural (NLR): Converte estatísticas em sentenças descritivas para interpretação semântica.
2. Arquitetura RAG:
   • Conjunto de Dados de Recuperação: O conjunto de dados é dividido em 80% para recuperação (conhecimento contextual) e 20% para teste. As amostras são indexadas separadamente para as classes benigna e de ataque.
   • Embedding e Indexação: As representações de tráfego são convertidas em embeddings vetoriais densos usando o modelo paraphrase-MiniLM-L6-v2. Esses vetores são indexados usando o framework FAISS (Facebook AI Similarity Search) para busca de similaridade eficiente.
   • Processo de Inferência: Para uma nova consulta de tráfego, o sistema recupera as três amostras benignas semânticamente mais similares e as três amostras de ataque mais similares dos índices FAISS.
   • Classificação por LLM: O contexto recuperado e a consulta alvo são combinados em um prompt estruturado e alimentados a um Modelo de Linguagem de Grande Escala (LLM). O LLM realiza inferência contextual para classificar o tráfego como benigno (0) ou ataque (1) sem ajuste fino prévio.
3. Mitigação em Tempo Real: Ao detectar um ataque, o controlador SDN instala imediatamente regras de descarte OpenFlow na interface de origem para bloquear o tráfego malicioso. Um mecanismo de recuperação reativa a interface após um período de inatividade de 40 segundos para evitar bloqueio permanente.

Principais Contribuições
Os autores identificam cinco contribuições primárias:

1. Proposta de um novo framework baseado em RAG para detecção em tempo real de Ataques DDoS do tipo Carpet-Bombing em SDN que elimina a necessidade de treinamento supervisionado convencional ou re-treinamento.
2. Utilização de recursos de tráfego ao nível da interface para identificar padrões de ataque distribuídos na origem, permitindo detecção precoce antes que o tráfego se espalhe pela infraestrutura.
3. Investigação e comparação de duas estratégias de representação de tráfego (JSON Estruturado vs. Linguagem Natural) para determinar seu impacto no desempenho de detecção.
4. Avaliação experimental extensa utilizando múltiplos LLMs de última geração sob cenários realistas de Carpet-Bombing com intensidades de ataque variáveis.
5. Demonstração da capacidade do framework de alcançar alta precisão de detecção enquanto mitiga efetivamente os ataques e mantém operações SDN estáveis em tempo real.

Resultados
Os experimentos foram conduzidos utilizando uma topologia SDN baseada em Mininet com o controlador Ryu, empregando o modelo Gemma-4-31B-IT como motor de inferência principal.

• Desempenho de Detecção: O framework alcançou precisão excepcional. Usando a representação JSON estruturada, o modelo Gemma-4-31B-IT atingiu 99,94% de precisão, 99,92% de precisão (precision), 99,93% de revocação (recall) e uma pontuação F1 de 99,93%. A representação em Linguagem Natural produziu resultados semelhantes (99,93% de precisão).
• Comparação de Modelos: Entre vários LLMs testados (incluindo Grok-4.1-fast, DeepSeek-v3.2, Llama-3.1-70B e GPT-4o-mini), a configuração Gemma-4-31B-IT consistentemente entregou o desempenho geral de detecção mais forte.
• Mitigação em Tempo Real: Experimentos em tempo real em quatro cenários de intensidade de ataque (variando de 20.000 a 100.000 pacotes por segundo) demonstraram que o framework reduziu rapidamente a utilização da CPU do controlador SDN, as taxas de mensagens Packet-In e o congestionamento de rede após a ativação. O sistema estabilizou com sucesso as operações de rede em segundos após a detecção do ataque.
• Análise de Representação: A representação baseada em JSON estruturado geralmente forneceu resultados de classificação mais estáveis e consistentes em comparação com a abordagem baseada em Linguagem Natural, provavelmente devido à redução da ambiguidade semântica.

Significado e Alegações
O artigo afirma que o framework proposto aborda lacunas críticas na segurança atual de SDN, oferecendo uma solução adaptativa e sem treinamento, especificamente tailored para a natureza furtiva e distribuída dos ataques Carpet-Bombing. Ao integrar mecanismos RAG com LLMs, o sistema aproveita a recuperação semântica para entender o comportamento do tráfego sem depender de assinaturas estáticas ou re-treinamento computacionalmente caro. Os autores destacam que sua abordagem é distinta da literatura existente, pois combina monitoramento ao nível da interface, análise aumentada por recuperação e mitigação em tempo real na origem dentro de um ambiente específico de SDN. Os resultados sugerem que esta arquitetura fornece um método altamente eficaz, inteligente e escalável para defender contra ameaças DDoS sofisticadas em infraestruturas de rede modernas.