[논문]DDoS 공격을 검출하기 위한 트래픽 분석 알고리즘

유대성; 박원주; 김선영; 서동일; 오창석

DDoS 공격을 검출하기 위한 트래픽 분석 알고리즘
Traffic Analysis Algorithm for Detecting DDoS Attacks 원문보기

유대성 (충북대학교) , 박원주 (한국전자통신연구원) , 김선영 (충북대학교) , 서동일 (한국전자통신연구원) , 오창석 (충북대학교)

최근의 해킹 동향은 네트워크 상의 대역폭을 목표로 하는 트래픽 폭주 공격이 증가하고 있는 추세이다. 반면 이러한 위협으로부터 네트워크 내의 공격 트래픽을 추출하는 기술은 아직 부족한 실정이다. 이에 본 논문에서는 네트워크 서비스 제공을 위협하는 트래픽을 추출하는 방법을 제시하고, DDoS 공격을 효과과적으로 탐지하는 알고리즘을 제안하였다.

The recent hacking trend is a traffic flooding attack against a bandwidth in the network grows more and more. On the other hand, technology, which extracts attack traffic in the network from these threats, is still short. Therefore, we propose methodology which can measure traffic that threaten network services, and algorithm which can detect DDoS attacks effectively.

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문에서는 이러한 문제를 해결하고 좀더 정확한 트래픽 공격을 탐지하기 위해 SNMP(Simple Network Management Protocol)를 이용하여 트래픽을 분석하였다. SNMP를 이용한 트래픽 분석 방법은 먼저 에이젼트 시스템의 MlB(Management Information Base) 객체를 분석한 후 공격에 이용되는 프로토콜을 중심으로 하여 DDoS공격과 일반 트래픽을 탐지하는 방법이다.

제안 방법

공격 알고리즘은 트래픽의 특성을 분석한 것을 토대로 각각의 공격에 대한 트래픽 특성과 트래픽 특성 공격 탐지 방법에 의하여 SNMP MIB를 이용한 DDoS공 격 검출 알고리즘을 제안하였다. DDoS 공격 검출 알고리즘은 다음과 같은 과정으로 트래픽을 분석한다.
위 그림 1에서와 같이 트래픽을 저주파, 중주파 그리고 고주파의 대역으로 분해하여 anomaly를 분석하였다. 공격에 따라 나타나지는 주파수 대역이 다른 점을 이용하여 트래픽 폭주 공격을 찾아내었으며, 더 나아가서 숨겨진 anomaly 특성까지 발견해 내었다.
그리고 iflnUcastPkts, ifOutUcastPkts 에서는 상위 계층 프로토콜에 전달되는 모든 패킷의 트래픽을 감지하게 된다. 따라서 프로토콜별로 트래픽을 분해하여 입출력되는 트래픽에 대해서 그 특징을 분석 하게 된다. 분석에서 비교되는 대상은 실험에 의해서 얻어진 공격툴들의 트래픽 특성을 사용하였으며 일반적으로 다음과 같은 특징을 가지게 된다.
본 연구는 정보통신의 급속한 발전으로 인해 증가되고 있는 네트워크 트래픽을 분석하여 정상 트래픽과 해커로 인한 트래픽 폭주 공격을 검출하는 알고리즘을 제안하였고, 제안된 알고리즘을 실험하기 위해 트래픽 분류기를 구현하였다. 실험을 통해서 분석된 공격 트래픽 특징은 해당 포트에서 특정 MIB에 정상 트래픽과는 다른 양상의 트래픽을 발생시킨다는 사실을 알 수 있었고, 이러한 결과를 이용해 제안된 알고리즘을 적용하여 실험한 결과 정상 트래픽과 공격 트래픽을 분류해낼 수 있었다.
위 그림 1에서와 같이 트래픽을 저주파, 중주파 그리고 고주파의 대역으로 분해하여 anomaly를 분석하였다. 공격에 따라 나타나지는 주파수 대역이 다른 점을 이용하여 트래픽 폭주 공격을 찾아내었으며, 더 나아가서 숨겨진 anomaly 특성까지 발견해 내었다.
이 기법은 변동적인 네트워크 트래픽의 주파수 특성을 구분하여 DDoS공격이나 포트 스캔 공격을 포함하는 black-hat activity의 광범위한 공격을 다루었다. 이를 위한 트래픽 수집 방법은 IP flow data와 SNMP data의 두 data를 이용하였다.
이 기법은 변동적인 네트워크 트래픽의 주파수 특성을 구분하여 DDoS공격이나 포트 스캔 공격을 포함하는 black-hat activity의 광범위한 공격을 다루었다. 이를 위한 트래픽 수집 방법은 IP flow data와 SNMP data의 두 data를 이용하였다. 트래픽 측정을 위하여 유동적인 트래픽에 대하여 각각의 특징을 가지고 있는 주파수 대역에 따라서 분석한다.
일반화된 고주파와 중주파 영역을 명세된 크기의 윈도우로 움직이면서 계산. 움직이는 윈도우의 크기는 캡쳐하기를 원하는 anomaly의 지속성에 의존된다.
트래픽 분석 과정을 살펴보면 선처리되어야 할 것은 에이전트와 매니저 시스템에 SNMP 데몬이 실행되어 있어야 하며, 모니터링하고자 하는 시스템의 SNMP를 이용해 해당 시스템의 MIB정보를 가져와 분석한다. SNMP에는 수많은 종류의 MIB 객체가 있다.
이를 위한 트래픽 수집 방법은 IP flow data와 SNMP data의 두 data를 이용하였다. 트래픽 측정을 위하여 유동적인 트래픽에 대하여 각각의 특징을 가지고 있는 주파수 대역에 따라서 분석한다. 저주파는 원래의 매우 복잡한 데이터의 집합에서 매우 빈약한 필터링이 되어 있는 정보를 가지고 있다.

대상 데이터

SNMP에는 수많은 종류의 MIB 객체가 있다. 그 중에서 실험을 통해 먼저 사용할 MIB객체를 선택하였다. 대부분의 DDoS 공격이 TCP, IP, UDP, ICMP를 이용한 공격이므로 그 중에서 실험을 통해 표 1과 같은 MIB를 불러들여 트래픽을 분석하였다[4][5]

이론/모형

본 논문에서 제안한 알고리즘을 실험하기 위하여 공격 툴로는 TrinOO, Tfh, Stacheldraht[6][7][8]와 같은 DDoS 공격툴을 사용하였다. 그리고 공격이 이루어지고 있는 동안 정상적인 서비스를 병행하였을 경우 다음과 같은 트래픽을 볼 수 있었다.

성능/효과

그림 4에서 보는 것과 같이 DDoS 공격툴을 이용하여 실험한 결과 총 1858개의 패킷중 정상패킷이 998개이고 공격에 해당되는 패킷이 860개로 정확한 공격을 탐지 할 수 있었다.
본 연구는 정보통신의 급속한 발전으로 인해 증가되고 있는 네트워크 트래픽을 분석하여 정상 트래픽과 해커로 인한 트래픽 폭주 공격을 검출하는 알고리즘을 제안하였고, 제안된 알고리즘을 실험하기 위해 트래픽 분류기를 구현하였다. 실험을 통해서 분석된 공격 트래픽 특징은 해당 포트에서 특정 MIB에 정상 트래픽과는 다른 양상의 트래픽을 발생시킨다는 사실을 알 수 있었고, 이러한 결과를 이용해 제안된 알고리즘을 적용하여 실험한 결과 정상 트래픽과 공격 트래픽을 분류해낼 수 있었다.
SNMP를 이용한 트래픽 분석 방법은 먼저 에이젼트 시스템의 MlB(Management Information Base) 객체를 분석한 후 공격에 이용되는 프로토콜을 중심으로 하여 DDoS공격과 일반 트래픽을 탐지하는 방법이다. 이러한 방법을 이용하여 DDoS 공격을 탐지하는 알고리즘을 제안함으로써 기존에 DDoS공격 탐지시 많은 시스템 부하와 정확하지 못한 탐지율을 향상시킬 수 있었다.[1][2]

후속연구

향후 실험을 통해 좀더 폭넓은 트래픽 폭주 공격에 대한 확장성 및 대응방법에 대한 연구를 진행할 계획이다.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

DDoS 공격을 검출하기 위한 트래픽 분석 알고리즘
Traffic Analysis Algorithm for Detecting DDoS Attacks 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

AI 본문요약
AI-Helper

문제 정의

제안 방법

대상 데이터

이론/모형

성능/효과

후속연구

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

DDoS 공격을 검출하기 위한 트래픽 분석 알고리즘 Traffic Analysis Algorithm for Detecting DDoS Attacks 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

대상 데이터

이론/모형

성능/효과

후속연구

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

DDoS 공격을 검출하기 위한 트래픽 분석 알고리즘
Traffic Analysis Algorithm for Detecting DDoS Attacks 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper