DDoSトラフィックにおける時間的・構造的異常検知パラダイムの評価

arXiv cs.LG / 2026/4/21

📰 ニュースIdeas & Deep AnalysisModels & Research

共有:

要点

この論文は、クラウドネイティブな5GネットワークでのDDoS検知において、時間的または構造的なトラフィック表現のどちらか一方を前提にした研究が多い一方で、どの特徴空間がデータに適しているかを検証していない点を指摘しています。
研究では、集約フロー信号のラグ1自己相関と、PCAの累積説明分散という2つの診断に基づいて、時間的特徴か構造的特徴かを選択する軽量な意思決定フレームワークを提案しています。
診断で判断が決定的でない場合、検証のない分岐には踏み込まず、ハイブリッド戦略は将来のフォールバックとして残す方針をとっています。
Isolation Forest、One-Class SVM、KMeansを用いた2つの統計的に異なるデータセットでの実験により、構造的特徴が時間的特徴と同等、または一貫して上回ることが示されています。
さらに、トラフィックデータにおける時間的な依存が弱まるほど、構造的特徴の優位性が拡大することが確認されています。

要旨: 教師なし異常検知は、クラウドネイティブな5Gネットワークにおいて分散型サービス拒否（DDoS）攻撃を検出するために広く用いられているが、ほとんどの研究は固定されたトラフィック表現（時間的または構造的）を前提とし、そのデータにどの特徴空間が最も適合するかを検証していない。そこで本研究では、学習の前に時間的特徴または構造的特徴を優先する軽量な意思決定フレームワークを提案する。このフレームワークでは、2つの診断を用いる。すなわち、集約フロー信号のラグ1自己相関と、PCAの累積説明分散である。プローブ（診断）が結論に至らない場合、このフレームワークは、実証的に検証された分岐ではなく、将来のフォールバックとしてハイブリッド・オプションを確保する。Isolation Forest、One-Class SVM、KMeansを用いた、統計的に異なる2つのデータセットでの実験では、構造的特徴が一貫して時間的特徴と同等、または上回ることが示され、性能差は時間的依存が弱まるにつれて拡大する。