[논문]다단계 방어기법을 활용한 DDoS 방어시스템 설계

서진원; 곽진

doi:10.13089/jkiisc.2012.22.3.679

[국내논문] 다단계 방어기법을 활용한 DDoS 방어시스템 설계
The Design of Anti-DDoS System using Defense on Depth 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.22 no.3, 2012년, pp.679 - 689

초록
AI-Helper

2009년 7.7 DDoS 공격은 기존 DDoS공격과는 달리 감염 PC별로 적은 용량의 패킷 전송으로 웹페이지를 마비시켰으며, 또한 HTTP Flooding이라는 공격기법을 활용하여 공격을 성공한 사례였다. DDoS 공격은 시스템을 손상시키는 것이 아니라 일시적으로 서비스의 가용성을 해치는 것이므로, 효과적인 방어를 위해서는 공격자의 공격보다 높은 가용성을 확보하거나, 정확한 방어전략을 실행하여 서비스 시스템의 가용성을 확보하는 방법 등이 있다. 본 논문에서는 기존의 가용량 증설을 통한 방어기법과 달리, DDoS 공격의 특성에 기반하여 공격을 차단하여 서비스 시스템의 가용성을 확보하는 다단계 방어기법을 활용한 웹사이트 전용 DDoS 방어시스템 구축 방안을 제안한다.

Abstract ▼ AI-Helper

There were clear differences between the DDoS attack on 7th July 2009 and the rest of them prior to the attack. Despite It had emitted relatively small sized packets per infected PC, the attack was very successful making use of HTTP Flooding attack by aggregating small sized packets from the well sized zombie network. As the objective of the attack is not causing permanent damage to the target system but temporal service disruption, one should ensure the availability of the target server by deploying effective defense strategy. In this paper, a novel HTTP based DDoS defense mechanism is introduced with capacity based defense-in-depth strategy.

Keyword

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

그러므로, 본 논문에서는 DDoS공격을 방어하기 위해서 현재 발생하는 DDoS 공격유형을 상세하게 분석하고 분석된 결과에 따라 방어전략을 수립하는 다단계 방어기법을 활용한 새로운 DDoS 방어시스템에 대하여 제안한다.
이렇듯, 동시에 다양한 공격이 발생하는 경우에 대해서 기존의 방어장비가 효과적인 방어를 수행하지 못하면서 새로운 방어기법의 필요성이 제기되고 있다. 그러므로, 본 논문에서는 다양한 유형의 DDoS 공격을 방어하기 위해 방어계층을 다층적으로 구성하는 다단계 방어기법에 대하여 제안한다. 이를 위해 공격자의 DDoS 공격기법과 직접 피해를 입는 네트워크 계층을 응용하여 다단계 방어기법에 활용하도록 한다.
그러므로, 본 논문에서는 기존의 DDoS 공격 패킷 형태별 분류방식이 아닌 DDoS 공격이 어떤 네트워크 계층에 영향을 미치는지에 대한 분석을 통해 다단계 방어기법을 활용한 DDoS 방어시스템에 대하여 제안한다.
■ GET Flooding의 임계치 활용 : 다단계 방어 기법에서는 웹서비스로 유입되는 GET Flooding을 정상 사용자와 감염PC의 공격으로 구분하기 위해서 CPS(Connection Per Second)라는 개념을 도입하여 방어에 활용한다. 즉, 동일 발신지 주소에서 동일한 서비스 페이지를 초당 몇 번이나 GET 요청을 하는 것인가를 산술적으로 계산하는 것이다. 이는 정상사용자라면 동일한 페이지를 동일한 시간대에 지속적으로 요청하지 않는다는 사용자 패턴에 기반한 개념이다.
본 논문에서는, 현재 발생하는 DDoS 공격에 대해서 효과적으로 방어하기 위해 공격을 계층별로 방어하는 다단계 방어기법을 활용한 DDoS 방어시스템을 제안하였다. 제안하는 시스템에서는 공격자가 대용량 패킷을 전송하는 SYN, UDP, ICMP Flooding 유형에 대해서는 L3계층에서, 또한 HTTP GET Flooding과 같은 어플리케이션 공격은 L7계층에서 방어하는 기법으로써 공격자의 다양한 공격을 동시에 방어할 수 있는 기존 방어와는 차별화된 방어기법을 제안하였다.

제안 방법

그러므로, 본 논문에서는 다양한 유형의 DDoS 공격을 방어하기 위해 방어계층을 다층적으로 구성하는 다단계 방어기법에 대하여 제안한다. 이를 위해 공격자의 DDoS 공격기법과 직접 피해를 입는 네트워크 계층을 응용하여 다단계 방어기법에 활용하도록 한다.
HTTP 통신의 트래픽 비대칭성, 기존 보안장비들의 낮은 세션 처리 능력 등의 다양한 문제 해결을 위해서 본 논문에서는 “다단계 방어기법을 활용한 DDoS 방어시스템”을 제안한다.
과거의 방어체계는 네트워크의 세션¹⁾기반으로 방어하지 않고 공격패킷 기반으로 방어를 수행하였다. 그러나 HTTP Flooding 공격은 패킷기반으로 동작하는 것이 아니라 3-Way Handshaking 후에 공격 데이터를 전송하며 이는 필연적으로 TCP 연결 세션을 소모하게 된다.
다단계 방어기법에서는 공격자의 다양한 공격기법을 위해서 “DDoS 사이버대피소& 대용량 패킷분석”[12]에서 제안한 기법을 참고하여 L7계층 방어에 활용하였으며 정상 사용자의 요청과 감염PC를 구별하는 방법을 다양한 방식으로 수립하여 다음과 같이 제안한다.
이제까지 다단계 방어기법을 활용한 DDoS 방어기법을 제안하였으며 이를 검증하기 위하여 소규모의 시험환경을 구축하고 제안한 기법에 대한 시험을 실시하였다. 시뮬레이션을 위한 환경은 인터넷 환경이 아닌 내부에서 자가로 구축한 시험환경을 사용하였으며 L3계층 공격과 L7 공격을 구현하기 위하여 국내에서도 널리 활용되는 공격도구를 활용하여 공격을 수행하였으며 전체 시험환경에 사용된 장비 및 환경은 다음과 같다.
다단계 방어 기법을 검증하기 위한 시험시나리오는 공격을 수행한 후에 공격에 감행되는 IP를 L7에서 추출하여 L3 계층으로 전달하여 일정수준의 공격트래픽을 방어하는 방식으로서 UDP Flooding과 GET Flooding 기법을 활용하여 시험용 웹서버에 공격 트래픽을 전송하는 시험을 다음의 절차에 의거 진행하였다.
시험에 사용한 공격은 HTTP Get Flooding 공격과 UDP Flooding을 동시에 공격하였다. 그래프 초기에는 L3 장비와 L7 장비에서 유사한 트래픽의부하가 걸리는 것으로 나타나면서 이 공격이 L3 계층을 넘어서 L7계층까지 도달함을 알 수 있다.
그래프 초기에는 L3 장비와 L7 장비에서 유사한 트래픽의부하가 걸리는 것으로 나타나면서 이 공격이 L3 계층을 넘어서 L7계층까지 도달함을 알 수 있다. 이후 L7에서 공격내역을 분석하고 우선 UDP Flooding 공격을 발생시키는 IP를 L3 DDoS 방어장비에 적용하였다. 이후 L3 장비는 여전히 UDP flooding 트래픽 처리를 하고 있지만 L7장비에는 패킷이 도달하지 않음을 알 수 있다.
본 논문에서는, 현재 발생하는 DDoS 공격에 대해서 효과적으로 방어하기 위해 공격을 계층별로 방어하는 다단계 방어기법을 활용한 DDoS 방어시스템을 제안하였다. 제안하는 시스템에서는 공격자가 대용량 패킷을 전송하는 SYN, UDP, ICMP Flooding 유형에 대해서는 L3계층에서, 또한 HTTP GET Flooding과 같은 어플리케이션 공격은 L7계층에서 방어하는 기법으로써 공격자의 다양한 공격을 동시에 방어할 수 있는 기존 방어와는 차별화된 방어기법을 제안하였다.
특히 L7계층에서는 공격자의 공격과 정상사용자의 접속을 구분하고 이를 방어에 활용하기 위하여 사용자 접근 임계값을 활용하는 방법, HTTP 리다이렉트 코드를 활용하는 기법과 사람과 컴퓨터를 구분하는 CAPTCHAT를 활용하는 방법을 제안하였다. 또한 L7방어 계층에서 구별되어진 감염PC에 대한 정보를 L3방어 계층으로 전송하여 공격을 차단하는 상이한 계층간의 협업을 통한 DDoS 방어기법으로써, 오직 다단계 방어기법에서만 가능한 방어방식으로 기존의 단일 장비 위주의 방어와 차별성을 보여주고 있다.

대상 데이터

이제까지 다단계 방어기법을 활용한 DDoS 방어기법을 제안하였으며 이를 검증하기 위하여 소규모의 시험환경을 구축하고 제안한 기법에 대한 시험을 실시하였다. 시뮬레이션을 위한 환경은 인터넷 환경이 아닌 내부에서 자가로 구축한 시험환경을 사용하였으며 L3계층 공격과 L7 공격을 구현하기 위하여 국내에서도 널리 활용되는 공격도구를 활용하여 공격을 수행하였으며 전체 시험환경에 사용된 장비 및 환경은 다음과 같다.

성능/효과

특히 L7계층에서는 공격자의 공격과 정상사용자의 접속을 구분하고 이를 방어에 활용하기 위하여 사용자 접근 임계값을 활용하는 방법, HTTP 리다이렉트 코드를 활용하는 기법과 사람과 컴퓨터를 구분하는 CAPTCHAT를 활용하는 방법을 제안하였다. 또한 L7방어 계층에서 구별되어진 감염PC에 대한 정보를 L3방어 계층으로 전송하여 공격을 차단하는 상이한 계층간의 협업을 통한 DDoS 방어기법으로써, 오직 다단계 방어기법에서만 가능한 방어방식으로 기존의 단일 장비 위주의 방어와 차별성을 보여주고 있다.

후속연구

에서는 DDoS 공격에 대해 네트워크 패킷 레벨로 분석하여 공격자가 수행하는 공격의 특징을 분석하였다. 이러한 연구 결과는 DDoS 공격에 대한 방어전략 수립에 일정수준의 가이드를 제공할 수 있을 것으로 분석된다.

질의응답

핵심어	질문	논문에서 추출한 답변
	DDoS 공격 방어를 위해 해야하는 것은 무엇이 있는가?	DDoS 공격은 시스템을 변조하거나 저장데이터를 손상시키는 것이 아니라 단지 일시적으로 서비스의 가용성을 해치는 것이다. 그러므로 DDoS 공격을 방어 하기 위해서는 첫 번째로 공격자의 공격량보다 높은 가용성을 확보하는 것이 중요하다 할 수 있다. 그리고두 번째로 공격자의 공격을 지속적으로 차단하면서 서비스 가용성을 확보하는 방법이 있다.
	다단계 방어기법의 원리는 무엇인가?	앞서 말했듯이 다단계 방어기법은 계층별로 DDoS 공격에 대한 방어를 수행하는 개념이다. 공격 패킷이상위 계층(L7)으로 가기 위해서는 반드시 하위 계층 (L3)을 먼저 통과해야 하기 때문에, L3계층 방어에서 1단계 방어를 수행하고 2단계, 3단계에서 각각 방어를 수행하여 공격자의 공격트래픽을 감소시키는 원리로 방어를 수행하며 DDoS 공격과 방어를 수행하는 네트워크 계층을 연계시키면 아래의 [그림 3]과 같다.
	한국인터넷진흥원에서 발간한 분산서비스거부공격 차단 및 분석기술에서는 ISP차원에서 DDoS 공격 방어를 제안하고 있는데 어떤 방법들이 있는가?	한국인터넷진흥원(이하 KISA)에서 2004년에 발간한 “분산서비스거부공격 차단 및 분석기술”[4]에서는 국내 대형 통신사인 ISP 차원에서 DDoS 공격 방어를 제안하고 있으며 여기에서는 블랙홀라우팅, uRPF, 싱크홀(Sinkhole) 등의 방법을 제안하고 있다. 그러나 이러한 방법은 주로 L3 Layer인 IP 레벨에서 제어가 가능한 방법으로 SYN/UDP/ICMP Flooding 방법에는 효과적이나 L7 Layer인 HTTP GET Flooding 등은 방어가 불가능하다는 단점을 내포하고 있다.

참고문헌 (13)

Jelena Mirkovic and Peter Reiher, "A Taxonomy of DDoS Attack and DDoS Defense Mechanisms," ACM SIGCOMM Computer Communication Review, pp. 39-32, Apr. 2004.
구자현, "서비스 거부 공격(Denial of Service)의 유형 및 대응," 주간기술동향, 1377호, pp. 6, 2008.
김정윤, 최형기, "분산 서비스 거부 공격과 그 특징에 관한 연구," 제27회 한국정보처리학회 춘계학술 발표대회, 14권, 1호, pp.1060-1062, 2007.
인터넷침해사고대응지원센터, "분산서비스 거부 공격 차단 및 분석기술," KRCERT-TR-2004, 한국정보보호진흥원, pp. 17, 2004.
George Oikonomou, Jelena Mirkovic, Peter Reiher, and Max Robinson, "A Framework for A Collaborative DDoS Defense," Proceedings of the 22nd Annual Computer Security Applications Conference, pp. 33-42, Dec. 2006.
Eric Y. Chen, "AEGIS: An Active-Network-Powered Defense Mechanism against DDoS Attacks," IWAN2001, 92001.
Wei Zhang, Shize Guo, Kangfeng Zheng, and Yixian Yang, "A Defending Mechanism against DDoS Based on Registration and Authentication," The 9th International Conference for Young Computer Scientists, pp. 2192-2197, Nov. 2008,
Cheol-Joo Chae, Seoung-Hyeon Lee, Jae-Seung Lee, and Jae-Kwang Lee, "A Study of Defense DDoS Attacks using IP Traceback," 2007 International Conference on Intelligent Pervasive Computing, pp. 402-408, Oct. 2007.
"전문공격단체를 이용한 청부형 DDoS 공격과 대응," 인터넷침해사고 동향 및 분석월보 한국인터넷 진흥원, pp. 30-38, 2011년 3월.
"DDoS 대응장비 보안기능 요구사항", IT보안 인증사무국, pp. 3 2010. 1.
오진태, 박동규, 장종수, 류재철, "사용자 의도 기반 응용계층 DDoS공격 탐지 알고리즘," 정보보호학회논문지, 21(1), pp. 39-52, 2011.

원문보기 상세보기
이재광, "DDoS 사이버대피소 & 대용량 패킷분석," 코드케이드2011 트레이닝코스 발표, pp. 22-68. 2011.
CAPTCHA, http://ko.wikipedia.org/wiki/CAPTCHA, 2012. 4.

저자의 다른 논문 :

활용도 분석정보

상세보기

다운로드

내보내기

활용도 Top5 논문

해당 논문의 주제분야에서 활용도가 높은 상위 5개 콘텐츠를 보여줍니다.
더보기 버튼을 클릭하시면 더 많은 관련자료를 살펴볼 수 있습니다.

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증