IoTネットワークにおけるDDoS検出のためのフォグ展開可能XGBoostフレームワーク
Fog-Deployable XGBoost Framework for DDoS Detection in IoT Networks
IoTネットワークの普及に伴いDDoS攻撃のリスクが増大する中、クラウド中心の侵入検知システムの遅延と帯域幅コストがリアルタイム対応の制約となっている。本稿では、XGBoostと情報利得特徴量選択を組み合わせたフォグベースのDDoS検出フレームワークを提案する。このフレームワークは、78の特徴量のうち23の特徴量(70.5%削減)を使用し、精度低下は0.007パーセントポイントに留まる。評価はCICDDoS2019リリースから抽出したサンプルを使用し、正常トラフィックを維持し、攻撃トラフィックを約10:1の攻撃対正常比率でサンプリングした。特徴量選択、ハイパーパラメータ調整、閾値キャリブレーションはトレーニングパーティションに限定された。ランダム層化分割下では、モデルは99.98%の精度と0.058%の偽陽性率を達成した。データセット作成者によって指定されたキャプチャ日分割下では、精度は91.61%に低下し、偽陽性率は8.82%に上昇した(100,000の正常フローあたり8820の偽アラートに相当)。2コアプロファイルでのリクエストごとの推論時間は、3回の繰り返し実行で1.0~5.2ミリ秒であった。特徴量抽出とネットワーク転送は測定されていない。展開には、分布シフトの監視と定期的な再トレーニングが必要となる。
- XGBoostと情報利得特徴量選択を組み合わせたフォグベースのIoT向けDDoS検出フレームワークを提案。78特徴量のうち23特徴量(70.5%削減)を使用し、精度低下は0.007ポイントに留まる
- 評価はCICDDoS2019リリースから抽出したサンプルを使用し、攻撃対正常比約10:1でサンプリング。特徴量選択・ハイパーパラメータ調整・閾値キャリブレーションはトレーニングパーティションに限定
- ランダム層化分割では99.98%の精度と0.058%の偽陽性率を達成した一方、データセット作成者指定のキャプチャ日分割では精度91.61%・偽陽性率8.82%(正常10万フローあたり8820件の偽アラート)に劣化
- 2コアプロファイルでのリクエストごとの推論時間は3回の繰り返し実行で1.0〜5.2ミリ秒。ただし特徴量抽出とネットワーク転送は測定されておらず、展開には分布シフトの監視と定期的な再トレーニングが必要
IoT向けDDoS検知という実需のある領域で、XGBoostと情報利得特徴量選択を組み合わせ、フォグ層に軽量モデルを置く設計は、クラウド中心IDSの遅延・帯域コストという導入障壁を狙うもの。注目すべきは性能の振れ幅で、ランダム層化分割では99.98%精度・偽陽性0.058%だが、キャプチャ日分割では91.61%・偽陽性8.82%(正常10万フローあたり8820件の誤アラート)に劣化する。すなわち真の実運用性能は分割方法への依存度が高く、分布シフト監視と再学習の継続コストが導入判断の鍵になる。推論1.0〜5.2ms/リクエストはエッジ側での実行可能性を示す一方、特徴量抽出と転送は未測定であり、エンドツーエンドの導入効果は未検証。特徴量を78から23(70.5%削減)して精度低下0.007ポイントという圧縮効率は、低スペックなIoTゲートウェイへの展開余地を示すが、学術ベンチマーク段階の成果であり、産業化・商用製品化の主体は記事からは読み取れない点には留意したい。