[논문]DRDoS 증폭 공격 대응 시스템

김효종; 한군희; 신승수

doi:10.22156/cs4smb.2020.10.12.022

DRDoS 증폭 공격 대응 시스템
Response System for DRDoS Amplification Attacks 원문보기

융합정보논문지 = Journal of Convergence for Information Technology, v.10 no.12, 2020년, pp.22 - 30

김효종 (동명대학교 컴퓨터미디어공학과) , 한군희 (백석대학교 정보통신공학부) , 신승수 (동명대학교 SW융합보안학과)

초록
AI-Helper

정보통신기술의 발전에 따라 DDoS와 DRDoS은 지속적으로 보안상 이슈가 되고, 고도화된 기법으로 점차 발전하고 있다. 최근에는 정상 서버의 프로토콜을 이용하여 반사 서버로 악용하는 DRDoS 기법으로 IT 기업들을 위협하고 있다. 반사 트래픽은 정상적인 서버에서 발생되는 트래픽으로 보안장비에서 판별하기가 어렵고 실제 사례에서도 최대 Tbps 까지 증폭되었다. 본 논문에서는 DRDoS 공격에서 사용되는 DNS증폭과 Memcached증폭을 비교 분석한 뒤 공격의 효과를 감소시킬 수 있는 대응방안을 제안한다. 반사 트래픽으로 사용되는 프로토콜은 TCP와 UDP, 그리고 NTP, DNS, Memcached등이 존재한다. 반사 트래픽으로 이용되는 프로토콜 중에서 반사 트래픽의 응답크기가 높은 DNS 프로토콜과 Memcached 프로토콜을 비교분석결과, Memcached 프로토콜은 DNS 프로토콜보다 ±21% 증폭된다. 대응방안은 Memcached 프로토콜의 메모리 초기화 명령어를 사용하여 공격의 효과를 감소시킬 수 있다. 향후 연구에서는 보안에 취약한 다양한 서버들을 보안 네트워크를 통해 공유하여 원천적 차단효과를 전망할 수 있다.

Abstract ▼ AI-Helper

With the development of information and communication technology, DDoS and DRDoS continue to become security issues, and gradually develop into advanced techniques. Recently, IT companies have been threatened with DRDoS technology, which uses protocols from normal servers to exploit as reflective servers. Reflective traffic is traffic from normal servers, making it difficult to distinguish from security equipment and amplified to a maximum of Tbps in real-life cases. In this paper, after comparing and analyzing the DNS amplification and Memcached amplification used in DRDoS attacks, a countermeasure that can reduce the effectiveness of the attack is proposed. Protocols used as reflective traffic include TCP and UDP, and NTP, DNS, and Memcached. Comparing and analyzing DNS protocols and Memcached protocols with higher response sizes of reflective traffic among the protocols used as reflective traffic, Memcached protocols amplify ±21% more than DNS protocols. The countermeasure can reduce the effectiveness of an attack by using the Memcached Protocol's memory initialization command. In future studies, various security-prone servers can be shared over security networks to predict the fundamental blocking effect.

주제어

표/그림 (13)

그림 Fig. 1. DRDoS Attack
그림 Fig. 2. Memcached Amplification
그림 Fig. 3. Memcached Amplification Response Program
그림 Fig. 4. Hybrid Transmission
그림 Fig. 6. Memcached Amplification Attack Scenario
그림 Fig. 7. Memcached Tool
그림 Fig. 8. Memcached Response Packet
그림 Fig. 9. Packet of Open DNS G server
그림 Fig. 10. Packet of Open DNS K Server
그림 Fig. 11. Memcahed Packet
그림 Fig. 12. Amplification Result by Server
그림 Fig. 13. Amplification Result
그림 Fig. 14. Memcached Amplification Response System

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문에서는 Memcached DRDoS 공격에 이용되는 특정 프로토콜을 분석한다. 그리고 기존의 알려진 프로토콜을 이용하는 공격기법과 비교분석하여 Memcached DRDoS를 효과적으로 차단하는 기법을 제안한다.
본 논문에서는 UDP 증폭 중 하나인 Memcached 프로토콜을 이용한 패킷증폭 대응방안을 제안한다. 첫 번째는 서버의 메모리를 초기화하는 명령어를 보안 클라이언트에서 사용하여 서버에서 응답하는 패킷의 크기를 감소하는 방안을 제시한다.

제안 방법

송수신 패킷을 분석한다. DNS 증폭에서 사용되는 DNS Flag를 ANY(255)로 설정하고 클라이언트에서 Open DNS G서버로 패킷을 송신한다. DNS Flag 중에서 ANY(255)는 DNS 도메인에 대한 모든 정보를 요청하는 Flag이고 크기는 75Byte이다.
Memcached 서버의 메모리를 일시적으로 비울 수 있는 특정 명령어를 전송하여 Memcached 증폭 공격에 대응하는 프로그램을 제안한다. Memcached 증폭 공격에 대응하는 프로그램은 OS(Operation System) 는 마이크로소프트의 Windows 10 Pro Build 1909 를 사용하고, 통합 개발환경(Integrated Development Environment)은 Microsoft의 Visual Studio 2019 C#, 그리고 오픈소스 패킷 전용라이브러리(library)는 Winpcap의 C#버전인 Sharppcap 5.
Open DNS 서버 중에서 Open DNS G서버를 대상으로 송수신 패킷을 분석한다. DNS 증폭에서 사용되는 DNS Flag를 ANY(255)로 설정하고 클라이언트에서 Open DNS G서버로 패킷을 송신한다.
본 논문에서는 정적분석에 기초한 Memcached 증폭 대응 프로그램 설계 결과를 동적분석하고 기존의 DNS 증폭공격과 Memcached 증폭공격을 비교 분석한다. 그리고 Memcached 증폭 대응방안을 제시한다.
특정 프로토콜을 분석한다. 그리고 기존의 알려진 프로토콜을 이용하는 공격기법과 비교분석하여 Memcached DRDoS를 효과적으로 차단하는 기법을 제안한다.
첫 번째 방식은 공개된 Open DNS 중에서 G서버와 K서버를 대상으로 클라이언트에서 한 번씩 패킷을 송신하여 서버로부터 응답패킷을 분석한다. 두 번째 방식은 공개된 Memcached 서버들을 대상으로 패킷을 송신하여 응답패킷의 평균을 수식 2에 따라 DNS 증폭 결과와 비교분석한다. 수식 2에서 x는 응답 패킷의 크기이고, ne 응답패킷의 가변이다.
첫 번째는 Network Device Search 단계에서 네트워크 사용이 가능한 장치를 자동으로 검색하여 Device View 에서 네트워크 장치를 클라이언트에게 보여준다. 두 번째, Memcached 증폭 공격에 대응하는 프로그램은 Shodan.io에서 제공하는 API를 사용하여 인터넷에 연결된 취약한 Memcached 서버 아이피를 송수신한다. 수신 받은 아이피 정보를 리스트 형태로 동적메모리와 파일로 저장한다.
두 번째, Memcahed 증폭분석을 바탕으로 DNS 증폭과 Memcahed 증폭을 비교분석한다.
첫 번째, 보안 클라이언트에서 메모리를 초기화하는 명령어를 취약한 서버로 송신하여 일시적으로 서버의 증폭을 감소하는 대응방안이다. 두 번째, 증폭에 이용되는 취약한 서버의 주소를 보안 클라이언트에서 확보한 뒤보안 네트워크로 공유하여 취약한 서버를 업데이트하도록 유도하는 대응방안이다.
첫 번째는 서버의 메모리를 초기화하는 명령어를 보안 클라이언트에서 사용하여 서버에서 응답하는 패킷의 크기를 감소하는 방안을 제시한다. 두 번째는 취약한 서버의 아이피주소를 보안네트워크로 공유하여 패치를 유도한다.
정적분석은 일반적인 네트워크의 알고리즘과 기존의 네트워크 흐름도의 문제점을 찾는다. 본 논문에서는 정적분석에 기초한 Memcached 증폭 대응 프로그램 설계 결과를 동적분석하고 기존의 DNS 증폭공격과 Memcached 증폭공격을 비교 분석한다. 그리고 Memcached 증폭 대응방안을 제시한다.
수신 받은 아이피 정보를 리스트 형태로 동적메모리와 파일로 저장한다. 세 번째, Memcached 증폭공격에 대응하는 프로그램 클라이언트는 출발지 아이피와 포트, 그리고 특정 명령어를 설정한 뒤 명령어를 서버에게 전송한다.
세 번째, 두 번째 방식을 바탕으로 Memcahed 증폭 결과와 DNS 증폭결과를 수식 2에 따라 평균값을 비교 분석한다. 클라이언트가 다수의 Memcahed 서버로 특정 명령어를 요청한 결과의 평균값은 수식 2에 따라 계산한다.
있다. 송수신 과정 중 불필요한 시간을 소모하게 되고 공격자는 클라이언트 요청에 서버 응답을 크게 조작할 수 있어서 Memcached 프로토콜을 이용하여 증폭의 효과를 크게 높이는 DRDoS 증폭공격에 대한 대응 시스템을 제안한다.
분석한다. 첫 번째 방식은 공개된 Open DNS 중에서 G서버와 K서버를 대상으로 클라이언트에서 한 번씩 패킷을 송신하여 서버로부터 응답패킷을 분석한다. 두 번째 방식은 공개된 Memcached 서버들을 대상으로 패킷을 송신하여 응답패킷의 평균을 수식 2에 따라 DNS 증폭 결과와 비교분석한다.
첫 번째, 보안 클라이언트에서 메모리를 초기화하는 명령어를 취약한 서버로 송신하여 일시적으로 서버의 증폭을 감소하는 대응방안이다. 두 번째, 증폭에 이용되는 취약한 서버의 주소를 보안 클라이언트에서 확보한 뒤보안 네트워크로 공유하여 취약한 서버를 업데이트하도록 유도하는 대응방안이다.
다음과 같다. 첫 번째는 Network Device Search 단계에서 네트워크 사용이 가능한 장치를 자동으로 검색하여 Device View 에서 네트워크 장치를 클라이언트에게 보여준다. 두 번째, Memcached 증폭 공격에 대응하는 프로그램은 Shodan.
첫 번째는 서버의 메모리를 초기화하는 명령어를 보안 클라이언트에서 사용하여 서버에서 응답하는 패킷의 크기를 감소하는 방안을 제시한다. 두 번째는 취약한 서버의 아이피주소를 보안네트워크로 공유하여 패치를 유도한다.

대상 데이터

DNS 증폭은 K서버와 G서버를 대상으로 클라이언트로부터 수신된 패킷증폭을 측정하고 Memcahed 증폭은 M서버를 대상으로 측정한다. K, G, M서버는 물리적으로 분리되어있지만 서로 인터넷으로 연결된 서버로써 클라이언트의 요청 패킷크기는 75Byte로 고정된다.
첫 번째, 다수의 Open Memcahed 서버를 대상으로 한다. 임의로 지정된 Open Memcahed는 클라이언트에서 Memcahed Packet의 Query를 Status 명령어로 설정한 뒤 Memcahed 서버로 송신한다.

이론/모형

암호 프로토콜은 안정성이 보장된 공개키 암호화 방식인 RSA와 대칭키 암호화 방식인 AES를 사용하고 전송 프로토콜은 TLS를 이용한다.
하지만 방화벽 및 DDoS 대응 솔루션 등의 발전으로 인해 일부의 공격 기법들은 대부분 대응이 가능하다. 이에 공격자들은 1999년 호주의 AusCERT팀이 처음 관련 위험성을 경고한 DRDoS 기법을 이용한다.

성능/효과

첫 번째 방안으로 클라이언트가 RST 플래그를 반사 서버로 송신하여 일시적으로 공격의 효과를 감소시킬 수 있다. 두 번째 방안으로 포트 차단, 인/아웃 바운드 규칙 설정, 서버 요청 상태의 지속 시간 재설정 등이 있다[4, 5].
K서버로부터 수신된 응답패킷은 449Byte, G 서버의 응답패킷은 273Byte, 그리고 M서버의 응답 패킷은 369Byte이다. 측정결과 Memcahed 서버 증폭보다 DNS K서버의 증폭이 크다. 그러나 분석결과 G 서버는 응답률이 일정하지 않아 DNS 증폭 테스트단계에서 DNS 서버를 선별하는 과정이 요구된다.

참고문헌 (16)

I. J. Choi, S. C. Na & T. Y. Shim. (2015). Mixed Responses Techniques for Intelligent DDoS Attacks. Proceedings of KIIT Conference, June, 65-67.
N. K. Baik, S. T. Park, S. M. Jin & W. S. Yi. (2003). A study on the network node for guaranteeing availability against traffic overload attack. Korea Institute Of Communication Sciences, 1917-1921.
S. Y. Choi, I. S. Kang & Y. M. Kim. (2013). One-time Session Key based HTTP DDoS Defense Mechanisms. Journal of the Korea Society of Computer and Information, 18(8), 95-104. DOI : 10.9708/jksci.2013.18.8.095

원문보기 상세보기
H. S. Lee & J. P. Park. (2016). Respond System for Low-Level DDoS Attack. Korea Academy Industrial Cooperation Society, 17(10), 732-742. DOI : 10.5762/KAIS.2016.17.10.732

원문보기 상세보기
H. W. Lee. (2005). Design and Implementation of Traceback Simulator for Distributed Reflector DoS Attack on Computer Network. The Korean Association Of Computer Education, 8(1), 65-72.
M. J. Kim & K. R. Seo. (2014). A Detect and Defense Mechanism of Stateful DRDoS Attacks. Journal of the Institute of Electronics and Information Engineers, 51(5), 127-134. DOI : 10.5573/ieie.2014.51.5.127

원문보기 상세보기
M. Kuhrer, T. Hupperich, C. Rossow. T & Holz. (2014). Hell of a Handshake: Abusing TCP for Reflective Amplification DDoS Attacks. USENIX Workshop on Offensive Technologies(WOOT 14).
Y. A. Hur & K. H. Lee. (2015). A Study on Countermeasures of Convergence for Big Data and Security Threats to Attack DRDoS in U-Healthcare Device. Journal of the Korea Convergence Society, 6(4), 243-248. DOI : 10.15207/JKCS.2015.6.4.243

원문보기 상세보기
S. J. Choi & J. Kwak. (2018). Enhanced Server Availability for DDoS Amplification Attack Using CLDAP Protocol. Korea Information Processing Society, 7(1), 19-26. DOI : 10.3745/KTCCS.2018.7.1.19

원문보기 상세보기
H. S. Choi. H. D. Park & H. J. Lee. (2015). A Study on Amplification DRDoS Attacks and Defenses. Journal of Korea Institute of Information, Electronics, and Communication Technology, 8(5), 429-437. DOI : 10.17661/jkiiect.2015.8.5.429

원문보기 상세보기
K. O. Park, D. S. Park & J. K. Lee. (2017). A Countermeasure Structure for Attack of SSDP Amplification Used Mac Address authorization, The Korean Institute of Information Scientists and Engineers, 1109-1111.
D. H. Choi, M. H. Park & Y. I Joo. (2018). DNS Amplification Attacks Defense System for Software-Defined Networks. Korea Institute Of Communication Sciences, 1959-1966.
Y. J. Kim, H. S. Lee & H. K. Choi. (2015). A Study on the Preventing Method against NTP Amplification Attacks. Proceedings of Symposium of the Korean Institute of communications and Information Sciences, 157-158.
K. T. Lee, S. S. Baek & S. J. Kim. (2015). Study on the near-real time DNS query analyzing system for DNS amplification attacks. Journal of the Korea Institute of Information Security And Cryptology, 25(2), 303-311. DOI : 10.13089/JKIISC.2015.25.2.303

원문보기 상세보기
W. J Park, K. S. Cho & K. H. Lee. (2015). Platform for collecting and processing the message in real time using the Memcached and MySQL Cluster. Proceedings of Symposium of the Korean Institute of communications and Information Sciences, 1203-1204.
H. J. Kim, J. H. Lee. & S. S. Shin. (2020). A study on Dynamic Analysis for DRDoS Amplification Attacks. Korea Multimedia Society, 23(2), 106-107.

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증