[논문]DRDoS 증폭 공격 기법과 방어 기술 연구

최현상; 박현도; 이희조

doi:10.17661/jkiiect.2015.8.5.429

DRDoS 증폭 공격 기법과 방어 기술 연구
A Study on Amplification DRDoS Attacks and Defenses 원문보기

한국정보전자통신기술학회논문지 = Journal of Korea institute of information, electronics, and communication technology, v.8 no.5, 2015년, pp.429 - 437

최현상 (Department of Computer Science and Engineering, Korea University) , 박현도 (Department of Computer Science and Engineering, Korea University) , 이희조 (Department of Computer Science and Engineering, Korea University)

초록
AI-Helper

DDoS 공격은 주요 정부기관 및 기업의 서비스 시스템 및 웹사이트를 마비시키는 사이버 공격의 수단으로 지속적으로 이용되고 있다. 최근에는 증폭기법을 이용한 DDoS 공격이 지속적으로 발생하고 있는데 공격의 특징상 다수의 정상적으로 동작하고 있는 서버들에서 공격 트래픽이 발생하므로 정상 트래픽과의 구분이 어렵고 수백 Gbps 이상의 대규모의 공격 트래픽을 발생시킬 수 있으므로 탐지를 하더라도 방어를 하는 것이 매우 어려운 상황이다. 그리고 공격에 이용되는 프로토콜들 중에서 SSDP, SNMP등 일부 프로토콜들은 IoT 장비들에서 널리 사용되는 프로토콜이기 때문에 앞으로 공격에 이용될 수 있는 서버들도 크게 증가할 것으로 예측된다. 본 논문에서는 최근에 인터넷에 커다란 위협이 되고 있는 증폭 기법을 이용한 DDoS 공격들에 대해 이용되는 프로토콜별로 공격 기법을 분석한다. 또한, 공격에 효과적으로 대응하기 위해 공격을 방어하는 네트워크에 공격자가 존재하는 경우, 공격에 사용되는 서버가 존재하는 경우, 공격 대상이 존재하는 경우들로 나누어 각각의 상황에 취할 수 있는 대응 방법을 제안한다.

Abstract ▼ AI-Helper

DDoS attacks have been used for paralyzing popular Internet services. Especially, amplification attacks have grown dramatically in recent years. Defending against amplification attacks is challenging since the attacks usually generate extremely hugh amount of traffic and attack traffic is coming from legitimate servers, which is hard to differentiate from normal traffic. Moreover, some of protocols used by amplification attacks are widely adopted in IoT devices so that the number of servers susceptible to amplification attacks will continue to increase. This paper studies on the analysis of amplification attack mechanisms in detail and proposes defense methodologies for scenarios where attackers, abused servers or victims are in a monitoring network.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문에서는 먼저 증폭 공격에 대해서 유형별로 분석한다. 각 프로토콜에서 증폭 공격이 가능한 이유와 공격 기법에 대해 알아본다. 그리고 이러한 증폭공격을 원천적으로 차단할 수 있는 기법들이 있는지 살펴본다.
UDP 기반의 증폭 공격에는 Chargen, NTP, DNS, SSDP, SNMP, NetBios, QOTD, P2P 등의 프로토콜 등을 이용할 수 있다. 각각의 증폭 공격에 어떠한 방법으로 각 프로토콜이 이용될 수 있는지 살펴보도록 하겠다.
각 프로토콜에서 증폭 공격이 가능한 이유와 공격 기법에 대해 알아본다. 그리고 이러한 증폭공격을 원천적으로 차단할 수 있는 기법들이 있는지 살펴본다. 마지막으로 증폭 공격에 대한 공격 대상이 네트워크에 존재하는 경우, 공격에 사용되는 서버가 네트워크에 존재하는 경우, 공격자가 네트워크에 존재하는 경우들로 나누어 각각의 상황에서 효과적인 증폭 공격 방어 기법을 제안한다.
따라서 네트워크상에서 증폭 공격을 탐지 및 방어할 수 있는 방법들에 대한 연구가 필요하다. 본 논문에서는 증폭 공격에 효과적으로 대응하기 위한 방법들을 제안하였다. 공격을 근본적으로 방어할 수 있는 안티스푸핑, 프로토콜 패치의 기법이 있다.

제안 방법

본 논문에서는 DRDoS 증폭 공격에 대한 방어 기법으로 1) 공격자가 모니터링 네트워크 내에 있을 때 이를 탐지하여 차단하는 방법, 2) 공격에 이용되는 서버가 모니터링 네트워크 내에 있을 때 서버들을 공격에 이용되지 않게 보호하는 방법, 3) 공격 타겟이 모니터링 네트워크 내에 있을 때 공격을 방어하는 기법을 제안한다.
공격을 방어하는 네트워크에 공격자가 존재하는 경우 출발지 IP 스푸핑패킷의 차단하는 방법으로 방어가 가능하다. 네트워크 내부 서버가 공격에 사용되는 것을 막기 위해서는 내부서버 이용시도를 확인 패킷 전송 및 rate limit 기법을 이용해 탐지 및 차단하는 방법을 제안하였다. 내부 네트워크가 공격을 당하는 경우에는 클라우드 및 CDN 서비스를 이용한 감내 등의 방어 기법을 제안하였다.
증폭 공격은 TCP 프로토콜을 이용해서도 수행할 수 있는데[14] UDP를 사용하는 경우가 일반적다. 따라서, 본 논문에서는 UDP를 사용하는 증폭 공격을 중심으로 다루도록 한다.
그리고 이러한 증폭공격을 원천적으로 차단할 수 있는 기법들이 있는지 살펴본다. 마지막으로 증폭 공격에 대한 공격 대상이 네트워크에 존재하는 경우, 공격에 사용되는 서버가 네트워크에 존재하는 경우, 공격자가 네트워크에 존재하는 경우들로 나누어 각각의 상황에서 효과적인 증폭 공격 방어 기법을 제안한다.
본 논문에서는 먼저 증폭 공격에 대해서 유형별로 분석한다. 각 프로토콜에서 증폭 공격이 가능한 이유와 공격 기법에 대해 알아본다.
이는 모든 패킷에 대해서 테스트나 검사 과정을 거치면 정상적인 통신에 성능이나 기능상에 문제가 생기기 때문이고 일반적으로 정상적인 경우에는 일정 시간 내에서는 하나만의 요청 이 오는 경우가 대부분이고 공격의 경우에는 하나 이상의 요청이 오는 경우가 많기 때문이다. 이후, 일정 시간(수초) 내에 같은 IP로부터 내부 서버에 다시 요청 패킷이 전달되면 [그림 1]에서와 같이 방어 시스템에서 패킷 전송자에 포트가 열려있는지 확인하는 패킷을 전송해서 돌아오는 응답을 보고 포트가 열려있는지 닫혀 있는지 확인한다. 포트가 닫혀 있다면 ICMP port unreachable과 같은 메시지가 전송될 것이고 이의 경우 높은 확률로 전송자의 IP가 스푸핑 되었음을 유추할 수 있다.

후속연구

SSDP를 이용해 DHCP나 DNS와 같은 네트워크 서버나 정적인 호스트 설정 없이 디바이스 탐지가 가능하다. 라우터, 미디어서버, 웹캠, 스마트 티비, 프린터 등의 장비들에서 널리 사용되고 있으며 앞으로 IoT 장비들에도 널리 사용될 것으로 예상된다. Shadowserver의 통계에 따르면 전 세계에 수백~수천만대 규모의 SSDP 서버가 동작하고 있으며 한국에도 25만대 이상의 SSDP 서버가 존재한다.
이들 프로토콜은 IoT 기기들에 많이 사용이 되고 있어 IoT 기기들의 급격한 증가와 함께 증폭 공격에 이용될 취약한 기기의 수도 급격하게 증가할 것으로 예측된다. 특히 저가의 IoT 장비들은 자동으로 보안 취약점을 패치하기 어려운 경우가 대다수 이므로(사용자가 펌웨어 업데이트를 직접 수행해야 하거나 펌웨어 업데이트 자체가 없는 경우가 많음) 취약점이 노출된 채로 지속적으로 증폭 공격에 이용될 것이므로 이에 대한 대책이 필요하다.

질의응답

핵심어	질문	논문에서 추출한 답변
	SSDP는 어디에 사용될 수 있는가?	SSDP를 이용해 DHCP나 DNS와 같은 네트워크 서버나 정적인 호스트 설정 없이 디바이스 탐지가 가능하다. 라우터, 미디어서버, 웹캠, 스마트 티비, 프린터 등의 장비들에서 널리 사용되고 있으며 앞으로 IoT 장비들에도 널리 사용될 것으로 예상된다.
	DDoS란 무엇인가?	DDoS(Distributed Denial of Service)란 분산서비스 거부 공격으로 여러 대의 공격 PC를 이용하여 동시에 특정 서버나 네트워크를 공격하게 하여 해당 서버나 네트워크를 마비시키는 해킹 방법이다. 유명한 예로 2003년도 초에 Slammer 웜에 의해 발생한 대규모 트래픽이 KT DNS서버를 다운시켜 한국에 인터넷이 마비되었던 1.
	증폭 DRDoS 공격에 주로 UDP 프로토콜이 이용되는 이유는 무엇인가?	증폭 DRDoS 공격에는 주로 UDP 프로토콜이이용되는데 이는 TCP의 경우 3-way handshake 때문에 출발지 아이피가 위조된 상태 에서 취약점을 이용한 증폭 공격이 어렵기 때문이다. 실제로 NTP, DNS등 UDP 기반의 프로 토콜이 증폭 공격에 널리 이용되고 있다.

참고문헌 (21)

https://blog.cloudflare.com/technical-details-behind-a-400gbps-ntp-amplification-ddos-attack/
Shodan, networked device search engine, http://www.shodanhq.com/
Karami, M., McCoy, D. "Understanding the Emerging Threat of DDoS-as-a-Service", Proc. of the 6th UNSENIX Workshop on Large-Scale Exploits and Emergent Threats. (LEET), 2013.
J. Mirkovic , P. Reiher, "A taxonomy of DDoS attack and DDoS defense mechanisms", ACM SIGCOMM, 2004.
M. M. Andrade and N. Vlajic, "Dirt jumper: A key player in today's botnet-for-ddos market". IEEE WorldCIS, 2012.
M. S. Kang, S. B. Lee, and V. D. Gligor, "The Crossfire Attack", Proc. of IEEE Security and Privacy (S&P), 2013.
A. Studer and A. Perrig, "The Coremelt Attack", Proc. of the European Symposium on Research in Computer Security (ESORICS), 2009.
J. Ioannidis and S. M. Bellovin, "Implementing Pushback: Router-Based Defense Against DDoS Attacks", Proc. of Network and Distributed System Security Symposium (NDSS), 2002
V. Sekar, N. G. Duffield, O. Spatscheck, J. E. van der Merwe, and H. Zhang, "LADS: Large-scale Automated DDoS Detection System", Proc. of the USENIX Annual Technical Conference (ATC), 2006.
X. Wang and M. K. Reiter, "Mitigating BandwidthExhaustion Attacks Using Congestion Puzzles", Proc. of the 11th ACM Conference on Computer and Communications Security (CCS), 2004.
J. Jung, V. Paxson, A. W. Berger, and H. Balakrishnan, "Fast Portscan Detection Using Sequential Hypothesis Testing", Proc. of IEEE Symposium on Security and Privacy (S&P), 2004
C. Rossow, "Amplification Hell: Revisiting Network Protocols for DDoS Abuse", Proc. of the Network and Distributed System Security (NDSS) Symposium, 2014.
M. Kuhrer , T. Hupperich , C. Rossow , T. Holz, "Exit from hell? reducing the impact of amplification DDoS attacks", Proc. of the 23rd USENIX conference on Security Symposium, 2014.
M. Kuhrer, T. Hupperich, C. Rossow, T. Holz, "Hell of a Handshake: Abusing TCP for Reflective Amplification DDoS Attacks", USENIX Workshop on Offensive Technologies (WOOT), 2014.
Shadowserver foundation, https://www.shadowserver.org/
P. Ferguson and D. Senie, "Network Ingress Filtering: Defeating Denial of Service Attacks which employ IP Source Address Spoofing", IETF RFC 2827, 2000
K. Park and H. Lee, "On the Effectiveness of Route-based Packet Filtering for Distributed DoS Attack Prevention in Power-law Internets", ACM SIGCOMM, 2001.
S. Gorbunov and A. Rosenbloom, "Autofuzz: Automated network protocol fuzzing framework", IJCSNS International Journal of Computer Science and Network Security, 2010.
https://www.cloudflare.com/
W. Feng, E. Kaiser, W. Feng, and A. Luu, "Design and implementation of network puzzles", Proc. of IEEE INFOCOM 2005.
Y. Gilad and A. Herzberg, "LOT: A Defense Against IP Spoofing and Flooding Attacks", ACM Transaction on Information and System Security, 2012.

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증