مهندسي مجموعه ويژگي براي تشخيص حملات سيل‌آسا در VoIP مبتني بر SIP

Engineered Feature Set to Detect Flooding Attacks in SIP Based VoIP

پروتكل SIP به عنوان پروتكل اصلي لايه كنترل در شبكههاي نسل آينده و كاربردهاي چند رسانهاي نظير ويديو كنفرانس، تلويزيون و تلفن اينترنتي (VoIP) مطرح شده است. اصليترين حملات موجود در VoIP با عنوان حملات سيل‌آسا شناخته ميشوند كه بيش از 98 درصد آن‌ها به علت مشكلات پياده سازي و پيكربندي و كمتر از دو درصد آسيب پذيريهاي مربوطه به علت ضعف پروتكل به وقوع مي پيوندند. در اين مقاله يك مجموعه ويژگي براي تشخيص ناهنجاري در كاربردهاي مبتني بر SIP به طور كلي و به طور خاص VoIP مهندسي شده است. منظور از مهندسي ويژگي، استفاده از دانش موجود در داده هاي مربوط به لايه هاي مختلف SIP با هدف ساخت ويژگي هاي قابل استفاده در الگوريتم هاي يادگيري ماشين است. براي اين منظور پس از استخراج داده از عملكرد حالت طبيعي SIP در VoIP، اين داده ها در قالب يك مجموعه ويژگي سازماندهي شده است. عملكرد مجموعه ويژگي پيشنهادي با به‌كارگيري دو روش يادگيري ماشين مختلف سنجيده شده است. اين سنجش عملكرد با به‌كارگيري سه مجموعه دادگان اختصاصي مختلف در SIP انجام شده است و كيفيت خروجي از نظر نرخ تشخيص و نرخ هشدار نادرست حاكي از عملكرد مناسب مجموعه ويژگي پيشنهادي است.

The main signaling protocol of next generation networks especially in multimedia applications (e.g. video conference, IPTV and VoIP) is session initiation protocol (SIP). Different types of Denial of Service (DoS) attacks are applicable to SIP entities because of the stateful functionality and text based nature of SIP. More than 98 percent of these attacks against SIP entities are caused by misconfiguration and implementation shortcomings. In this paper, a feature set for using in anomaly detection systems by feature engineering approach is generated. The knowledge of SIP packets, SIP internal state machine and normal behavior of this protocol were employed to create features that make machine learning algorithms work. The performance of the engineered feature set is evaluated with two different classifiers by applying three different data sets. The experimental results show the performance of proposed feature set in terms of detection and false alarm rate.