好的，作为学术专家和期刊评审专家，我将严格按照您的要求，对上传的论文进行专业解读和分析。 中文标题 DDoSimu5G v2.0：用于在5G网络中生成带标签DDoS流量数据集的仿真框架

《SoftwareX》：DDoSimu5G: A simulation framework for generating labeled DDoS traffic datasets in 5G network

　　

本文介绍了DDoSimu5G v2.0，一个用于建模DDoS攻击并生成带标签的5G流量数据集的框架。该框架扩展了OMNeT++、INET和Simu5G，并通过可配置的协议配置文件增加了应用层模块，以产生并发的正常和恶意流量。研究人员可以在单一场景中对多种DDoS攻击类型和时间行为进行建模，从而能够研究5G网络中的混合流量条件。为了支持数据集生成，该框架实现了一种双通道标记架构，包括用于数据包级分类的带内IPv4标记器和用于更高级别应用元数据的带外注释。该框架使研究人员能够在5G网络中生成带标签的流量数据集，以评估安全机制和入侵检测系统，并且其工作流程是可复现的。

论文解读文章

1. 研究背景与动机

随着5G网络的快速部署及其支持的物联网（IoT）服务激增，对可复现的安全评估环境的需求日益增长。5G网络具有高密度设备接入、异构流量特征、低延迟服务以及与边缘/云服务深度融合等特点，这些特性使其成为分布式拒绝服务（DDoS）攻击的诱人目标。特别是基于物联网的DDoS攻击可能使网络组件过载，并破坏5G服务的可用性。

目前，针对5G环境中DDoS攻击的研究面临若干挑战。现有的基准数据集（如5G-NIDD、DTL-IDS）虽然提供了有用的标记流量，但其主要贡献在于发布特定数据集本身，而非提供可复用的生成框架。基于测试平台的方法（如使用OpenAirInterface、Open5GS等）虽具有较高的协议栈保真度，但通常需要外部攻击脚本、独立的流量生成器以及事后的人工同步和标记，流程复杂且难以标准化。而现有的仿真工具（如Simu5G、ns-3）虽具备可重复性和场景控制能力，但原生不支持DDoS攻击编排、感染时间设置或集成的数据集标记。其他流量生成工具（如ID2T、BSF）则依赖于已有的外部捕获流量，而非直接在可配置的5G仿真内部生成流量。

因此，研究人员提出DDoSimu5G v2.0框架，旨在填补这一空白。该框架将用户面流量生成、DDoS攻击编排、感染时间控制、数据包捕获和地面实况标记集成到OMNeT⁺⁺/INET/Simu5G仿真环境中，为研究者提供一个安全、可控且可复现的5G用户面DDoS数据集生成环境。

2. 研究方法与技术

为实现上述目标，研究人员采用了以下关键技术方法：

• •
  分层软件架构设计：框架建立在OMNeT⁺⁺ 6.0.1、INET 4.5和Simu5G 1.2.2三个成熟开源平台之上，并新增了通用层、应用层、控制器层和配置层。这种设计使得框架功能模块化，便于扩展和维护。
• •
  声明式JSON配置：所有运行时行为均由外部的JSON文件驱动，包括定义每台设备正常行为的“流量配置文件”、指定攻击类型、时间模式和传输模式的“攻击配置文件”，以及映射用户设备（UE）标识符与激活时间的“感染时间线”。这使得场景配置无需重新编译代码即可完成。
• •
  双通道地面实况标记架构：结合了两种标记方式：
  • •
    带内标记：利用IPv4服务类型（TOS）/差分服务代码点（DSCP）字段，为不同攻击类型的报文打上标记。这些标记能在经过GTP-U隧道封装后保持不变，实现了跨5G用户面的确定性逐包分类。
  • •
    带外注释：生成CSV格式的应用级注释文件，记录流量类型、方向、欺骗元数据等信息。
• •
  动态攻击编排与感染动力学建模：框架通过DataTrafficController模块读取外部感染时间线，并在指定的仿真时间调度各UE的攻击激活。它将“攻击”（由被攻陷设备执行的DDoS流量行为）与“感染”（设备从正常状态转变为恶意状态的时间点）分离，允许独立配置，从而创建交错感染、混合流量和多种并发攻击的场景。

3. 研究结果

软件架构

DDoSimu5G被构建为对OMNeT⁺⁺、INET和Simu5G的分层扩展。基础平台提供仿真内核、网络协议栈和5G新空口（NR）协议栈。在此基础上，通用层提供跨切面工具，如抑制SYN洪泛攻击中RST回包响应的SilentTcp、支持文件轮转的数据包记录器RotatingPcapRecorder、以及负责标记和跟踪的TrafficLabeler、AttackMarkers和AttackTracker模块。

多协议流量建模与声明式配置

每个UE可以运行多个独立的应用程序槽位，同时执行不同协议的流量。所有流量行为通过外部的JSON配置文件定义，每个配置文件指定一系列应用层流，包含协议特定参数（如消息大小、间隔）、开始时间、持续时间、目标服务器和突发次数。这些配置文件可以被版本控制和复用。

带有感染动力学的攻击编排

框架模拟了僵尸网络式DDoS活动的完整生命周期：正常运行、计划感染和执行攻击。它内置了四种DDoS攻击类型：UDP洪泛（大流量型）、TCP SYN洪泛（资源耗尽型）、DNS放大（反射型）和HTTP洪泛（应用层型）。每种攻击可通过JSON配置文件设定三种参数组：(1) 时间速率模式（恒定、斜坡、脉冲、慢速）；(2) 传输模式（共存、替换、混合）；(3) 时序参数（潜伏期、攻击时长）。

与现有方法的对比

通过与已发布的5G DDoS数据集、测试平台方法、5G仿真工具和流量生成工具的全面比较，研究表明DDoSimu5G v2.0并非要替代高保真度的5G测试平台或固定基准数据集，而是通过在一个可复现的仿真环境中直接生成受控的、带标签的5G用户面DDoS数据集变体，起到互补作用。

4. 总结与结论

讨论总结：该框架严格工作在传输层之上，不修改路由、无线资源管理或核心网转发逻辑。它将标准OMNeT⁺⁺/Simu5G仿真与DDoSimu5G应用的关键区别归纳为：后者支持单个UE内的并发多协议执行、基于JSON的动态配置、控制器驱动的行为切换、可扩展的DDoS攻击模块、由控制器编排的感染动力学、同一UE内正常与恶意流量的共存、双通道流量标记以及更高的可扩展性。

研究结论：DDoSimu5G v2.0作为一个开源框架，将用户面流量生成、DDoS攻击编排、感染时间控制、数据包捕获和地面实况标记整合到OMNeT⁺⁺/INET/Simu5G仿真环境中。这种集成使研究人员能够在不依赖外部流量痕迹或事后注释的情况下，生成可复现的5G用户面DDoS数据集。用户可以在配置文件中定义正常和恶意流量行为，在OMNeT⁺⁺/Simu5G环境中运行仿真，并导出带有确定性地面实况注释的标记数据包踪迹。