[논문]트래픽 분석을 통한 효과적인 DDOS공격탐지방법

정휘석; 이철호; 최경희; 정기현

트래픽 분석을 통한 효과적인 DDOS공격탐지방법
Detection of Distributes Denial of Service Attacks through the analysis of traffic 원문보기

정휘석 (아주대학교 정보통신 전문대학원) , 이철호 (아주대학교 정보통신 전문대학원) , 최경희 (아주대학교 정보통신 전문대학원) , 정기현 (아주대학교 전자전기공학부)

DDOS공격은 최근 인터넷 환경에서 큰 위험요소로 부각되고 있다. 하지만, DDOS공격을 완벽하게 막아내는 것은 현재까지 알려진 방법으로는 거의 불가능하다. 그 이유는DDOS 공격이 Vulnerability Exploit을 이용한 공격방법이 아니라 Network Resource를 고갈시켜서 공격대상 호스트의 서비스를 차단하기 때문이다. 그래서, DDOS공격을 방어하기 위해서는 DDOS공격 트래픽에 대한 정확한 분석과 탐지가 선행되어야 한다. 본 논문을 통해서 여러 가지 DDOS공격 Traffic의 특징을 살펴보고, Web traffic과의 차이를 통해 DDOS traffic을 탐지하는 방법을 제안하고자 한다.

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문은 Source IP address의 monitoring하기 위해 LRU queue를 이용하고자 한다. LRU queue의 특성상 계속해서 다른 값이 들어오면 queue의 replacement가 자주 일어나게 된다.
Router로 들어오는 패킷들의 Source IP 룰 monitoring하면 이러한 트래픽의 분포를 찾아낼 수 있다. 이러한 분포의 차이를 이용해서 DDOS 공격올 탐지하는 방법올 제안하고자 한다.

가설 설정

향후에는, 본 논문에서 제안한 DDOS 탐지방법을 기반으로 하여 방어방법을 제시할 것 이며 이는 DDOS 트래픽을 판정하고, DDOS 트래픽을 구 분해 낼 수 있도록 해야 할 것이다. 즉, 제안된 방법으로 구한 정보를 가지고 실제 QM를 제어함으로써 트래픽 control0] 가능할 것이다.

제안 방법

Input 패킷의 Source IP를 선택하였다. 그 리고, 각 트래픽에서 Source IP의 분포차이를 자세히 살 펴보았고, 이를 이용하는 방법을 제안하였다. 우리가 제안한 방법은 우선 DDOS 트래픽 탐지를 위해 단위 시간당 LRU queue size 의 변화와 replacement rate를 monitoring하고, 이러한 정보를 이용해서 DDOS 트래픽 을 탐지에 이용한다.
이 장에서는 DDOS 트래픽과 Web 트래픽에 대해 분석 하고, 그 차이에 대해서 논의하고자 한다. 그리고, DDOS 트래픽 parameter중에서 공격자의 의도대로 바뀔 수 없는 특성을 중점으로 분석한다. 이는 공격자가 DDOS 공격 도구의 source code를 수정하였을 경우에는 이 분석에서 사용된 parameter, 공격 기능, 기타의 특징들이 얼마든지 변형될 수 있기 때문이다.
여러가지 parameter에 대한 DDOS 트래픽 분석 결과 몇 가지 특징을 찾을 수 있었지만, DDOS만의 특징을 찾 아내기에는 어려움이 있었다. 따라서, Web트래픽을 분석한 후에 Web 트래픽의 뚜렷한 특징을 살펴보고, 이를 이 용해서 DDOS 트래픽과의 차이를 조사하겠다. DDOS의 일반적인 특징을 찾는 것도 중요하지만, 보호하려는 시스 탬의 특징에 적합한 parameter를 찾는 것이 필요하다.
이는 공격자가 DDOS 공격 도구의 source code를 수정하였을 경우에는 이 분석에서 사용된 parameter, 공격 기능, 기타의 특징들이 얼마든지 변형될 수 있기 때문이다. 또한, 본 논문에서는 DDOS 트 래퍽과 Web 트래픽의 차이를 통해서 DDOS 공격에 대응 하고자 하기 때문에 Web 트래픽과 공통parameter■인 IP header값과 TCP header값에 대해서만 언급하겠다.
본 논문에서 제안하는 DDOS 트래픽 탐지방법은 네트 웍의 트래픽의 분석을 통해 나타나는 특징을 이용한 것이다. 즉, DDOS 트래픽과 Web 트래픽 각각의 분석을 통해 몇 가지 특징올 찾아보았고, 이중에서 가장 적합한 parametere.
본 논문에서 제안하는 방법은 단순히 프로토콜의 특징 이 아닌 DDOS 트래픽과 Web 트래픽의 차이를 이용하는 것이다. 앞에서 충분히 두 트래픽의 특징을 살펴봤고 그 결과로 input packet의 source IP의 분포가 현저히 차이가 나는 것을 보았다.
본 논문은 Source IP를 유용한 parameter로 선정 했다. 그 이유는 DDOS 트래픽에서 specialized parameter는 항상 일반적인 DDOS의 특징이라고 보기 힘들다는 것이다.
실험을 통해 LRU que나e의 단위시간당 replacement 분포의 변화를 알아보고 그 의미를 분석하겠다.
그 리고, 각 트래픽에서 Source IP의 분포차이를 자세히 살 펴보았고, 이를 이용하는 방법을 제안하였다. 우리가 제안한 방법은 우선 DDOS 트래픽 탐지를 위해 단위 시간당 LRU queue size 의 변화와 replacement rate를 monitoring하고, 이러한 정보를 이용해서 DDOS 트래픽 을 탐지에 이용한다. 향후에는, 본 논문에서 제안한 DDOS 탐지방법을 기반으로 하여 방어방법을 제시할 것 이며 이는 DDOS 트래픽을 판정하고, DDOS 트래픽을 구 분해 낼 수 있도록 해야 할 것이다.
본 논문에서는 DDOS의 주요 공격대상인 Web 서비스를 고려한다. 우선 DDOS 트래픽과 Web 트래픽의 특징 올 살펴보고, DDOS 공격 시 트래픽의 pattern을 분석한 후 두 트래픽의 차이를 제시함으로써 DDOS공격탐지 방법을 제안하고자 한다.
본 논문에서 제안하는 DDOS 트래픽 탐지방법은 네트 웍의 트래픽의 분석을 통해 나타나는 특징을 이용한 것이다. 즉, DDOS 트래픽과 Web 트래픽 각각의 분석을 통해 몇 가지 특징올 찾아보았고, 이중에서 가장 적합한 parametere. Input 패킷의 Source IP를 선택하였다.

대상 데이터

본 논문에서는 DDOS의 주요 공격대상인 Web 서비스를 고려한다. 우선 DDOS 트래픽과 Web 트래픽의 특징 올 살펴보고, DDOS 공격 시 트래픽의 pattern을 분석한 후 두 트래픽의 차이를 제시함으로써 DDOS공격탐지 방법을 제안하고자 한다.
DDOS 공격도구 로는 TFN₂K를 사용했고, Web server.의 앞 단에 있는 Router에서 실험을 하였다.

성능/효과

이것을 통계적 수치로 살펴보면, Replacement Rafe가 거의 100%에 가깝게 나타난다. 따라서, DDOS공 격올 탐지하는데 매우 유용하게 사용할 수 있음을 알 수 있다.
본 논문에서 제안하는 방법은 단순히 프로토콜의 특징 이 아닌 DDOS 트래픽과 Web 트래픽의 차이를 이용하는 것이다. 앞에서 충분히 두 트래픽의 특징을 살펴봤고 그 결과로 input packet의 source IP의 분포가 현저히 차이가 나는 것을 보았다. 여기서 우리가 이용하고자 하는 개 념은 짧은 시간 동안 Web 트래픽에 비해 DDOS 트래픽 은 Source IP의 분포가 넓게 퍼지고, 그 빈도수도 월등히 많다는 것이다.

후속연구

우리가 제안한 방법은 우선 DDOS 트래픽 탐지를 위해 단위 시간당 LRU queue size 의 변화와 replacement rate를 monitoring하고, 이러한 정보를 이용해서 DDOS 트래픽 을 탐지에 이용한다. 향후에는, 본 논문에서 제안한 DDOS 탐지방법을 기반으로 하여 방어방법을 제시할 것 이며 이는 DDOS 트래픽을 판정하고, DDOS 트래픽을 구 분해 낼 수 있도록 해야 할 것이다. 즉, 제안된 방법으로 구한 정보를 가지고 실제 QM를 제어함으로써 트래픽 control0] 가능할 것이다.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

트래픽 분석을 통한 효과적인 DDOS공격탐지방법
Detection of Distributes Denial of Service Attacks through the analysis of traffic 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper

문제 정의

가설 설정

제안 방법

대상 데이터

성능/효과

후속연구

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

트래픽 분석을 통한 효과적인 DDOS공격탐지방법 Detection of Distributes Denial of Service Attacks through the analysis of traffic 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

가설 설정

제안 방법

대상 데이터

성능/효과

후속연구

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

트래픽 분석을 통한 효과적인 DDOS공격탐지방법
Detection of Distributes Denial of Service Attacks through the analysis of traffic 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper