Pi를 이용한 flooding-based DDoS attack의 방어기법

Abstract

DDoS attack은 정상적인 사용자들이 서비스를 이용하지 못하도록 막는 공격인 DoS attack이 분산된 형태로 일어나는 공격이다. 여러 가지 공격 형태 중 flooding-based DDoS attack은 방어하기 가장 어려운 공격이다. 그 이유는 공격자가 단순히 많은 양의 패킷을 보내면서 공격하기 때문에 트래픽 양을 기준으로 공격이 일어난 것인지 사용자 폭주가 일어난 것인지 구별할 수 없기 때문이다. 즉, 공격 트래픽과 정상 트래픽을 구별할 수 없다. 제안하는 기법의 목적은 Pi 라는 패킷마킹기법을 이용하여 flooding-based DDoS attack을 효율적으로 방어하는 것이다. 기본적인 아이디어는 Pi가 가지는 특징과 공격의 특성을 이용하는 것이다. Pi의 특징은 같은 경로로 전송되는 패킷은 모두 같은 마킹값을 가진다는 것이다. 즉, 같은 소스 어드레스에서 출발하는 패킷은 모두 같은 마킹값을 가진다. 공격의 특성은 단독의 공격 호스트가 보내는 패킷 양이 정상 호스트가 보내는 패킷 양보다 훨씬 많다는 것이다. 즉, 한 호스트가 보내는 패킷 양을 비교해보면 공격 호스트가 보내는 패킷 양이 훨씬 많다. 이 두 가지 특징을 결합하면 동일한 마킹값이 많이 발생하면 해당 마킹값을 가지는 패킷을 공격 패킷이라고 간주할 수 있다. 빈도수 검사 기법은 마킹값의 빈도수를 세서 빈도수가 높은 패킷을 공격 호스트가 보낸 패킷이라고 간주하고 필터링하는 것이다. 빈도수 검사 기법을 이용하면 마킹값을 근거로 공격 트래픽과 정상 트래픽을 구별할 수 있다. 하지만, 빈도수 검사 기법은 심각한 문제점을 가진다. 만약 피해 호스트 가까이 위치한 공격자가 있어서 마킹 필드(16비트)를 모두 채우지 못한다면 피해 호스트가 정확한 마킹값을 받을 수 없기 때문이다. 정확하지 않은 마킹값들로 인해 공격 호스트가 보내는 패킷인데도 불구하고 마킹값들이 분산되어 빈도수가 높지 않게 되는 것이다. 제안하는 기법은 빈도수 검사 기법의 문제점을 해결한 방법이다. 기본적인 아이디어는 빈도수를 셀 때 마킹 필드를 전체로 세는 것이 아니라 몇 개의 섹션으로 나누어 섹션별로 빈도수를 세는 것이다. 제안하는 기법은 빈도수 검사 기법의 문제점을 해결하면서 flooding-based DDoS attack을 효율적으로 방어할 수 있다.