분산 SIP 플러딩 공격 대응 다중 블룸필터 기반 협력 탐지 방어 및 우선 순위 제어

Abstract

본 논문은 인터넷 이용이 가능한 곳 어디서든지 통화가 가능한 VoIP 서비스 환경에서의 SIP 플러딩 공격 대응 방안을 제안한다. VoIP 에서 세션을 제어하는 프로토콜인 SIP(Session Initiation Protocol)은 인터넷을 기반으로 하고 있어 인터넷에서 발생하는 보안 위협을 그대로 내포하고 있으며, SIP 플러딩 공격은 VoIP에서 가장 위협이 큰 공격이라고 할 수 있다. SIP 플러딩 공격에 대응하기 위하여 많은 방법들이 제안된 바 있으나, 여러 네트워크에 분산된 공격이나 이동성(mobility)을 고려한 공격 등 다양한 형태의 플러딩 공격에 대응하지 못하는 제한사항이 여전히 남아있으므로 이에 대한 효과적인 대응 방법이 필요하다.

본 논문에서는 SIP 세션 설정에 사용되는 사용자 정보(URI)를 기반으로 다중 블룸 필터를 이용하여 분산된 SIP 플러딩 공격을 탐지하고, 대응하는 방법을 제안한다. 첫째, 여러 서비스 도메인에 다중 필터(OSF, ISF)를 구성하여 정상 사용자로 가장한 소량의 공격 메시지를 발생시키는 공격자를 탐지, 차단하는 방법을 제안한다. 이 방법은 기존의 단일 서비스 도메인 내에서 대량의 공격 메시지를 발생하는 공격자만 대응이 가능하였던 방법의 제한 사항을 해결할 수 있다. 또한, 하나의 서비스 도메인에서 수집한 공격자 정보를 다른 서비스 도메인과 상호 공유함으로써 전체 서비스 도메인에서 사전에 공격자를 탐지, 제거가 가능하다. 제안 방법의 성능 실험을 통해 각 서비스 도메인에서의 다중 필터(OSF, ISF)를 동작하여 분산된 소량의 플러딩 공격에 효과적으로 대응함을 확인할 수 있다.

둘째, 다중 블룸 필터를 사용하여 SIP 이동성 (mobility)과 세션 설정 패턴을 판별하기 위한 방법을 제안하고, 이로부터 분류된 클래스에 따라 공격을 탐지하고 효과적으로 제어한다. 각 클래스 별로 우선순위 버퍼를 할당하여 스케줄러에 의해 우선순위 버퍼에 저장된 메시지들을 정해진 시간 간격으로 처리한다. 공격이 없는 상황에서 스케줄러는 전체 메시지 발생량에 대한 각 클래스 메시지의 발생량의 비율을 기준으로 서비스한다. 공격이 발생한 상황에서는 상위 우선순위 버퍼에 메시지를 우선 처리하고, 상위 우선순위 버퍼에 메시지가 없는 경우에만 다음 우선순위 버퍼의 메시지를 처리함으로써 공격이 진행되는 상황에서도 정상적인 서비스가 가능함을 보여준다. 본 논문에서 제안한 방법들을 VoIP 서비스에 적용 시 분산된 서비스 거부 공격에 대응이 가능하고, 공격 상황에서도 정상적인 서비스 이용이 가능하여 궁극적으로 VoIP 서비스를 안정적으로 운영하는 데 기여할 수 있다.