• 디지털콘텐츠학회 논문지
• /
• 제11권1호
• /
• pp.79-89
• /
• 2010

날로 지능화되고 고도화되어가는 DDoS 공격과 같이 증가하는 사이버 위협으로부터 자산을 보호하기 위해서 정부와 기업들은 서둘러 DDoS 대응 시스템을 구축하고 있다. 그러나 아직까지도 정보보호시스템은 지난 2009년 7월7일에 발생한 7.7 DDoS 공격과 같은 사회적 사건의 발생이나, 직접적인 피해의 사례가 발생하였을 때에만 단기적으로 이슈가 될 뿐, 이를 위한 지속적인 투자에는 여전히 소극적이라는 것이 일반적인 인식이다. 이는 정보보호 시스템의 특성상 사건이 발생하기 전에는 그 효과를 인식하기 어렵고, 사건이 발생한 경우에는 침해 또는 방어라는 결과에 대한 이분법적인 방식의 성패 판단만 있을 뿐, 이것의 효과와 효율에 대한 상세하고 객관적인 측정의 기준이 없기 때문이다. 비록 최근에는 정보보호관리체계에 대한 평가나 인증 작업이 진행 중이나, 이는 정보보호관리시스템에 대한 일반적인 지침이나 기준만을 제시하고 있어, 그 결과로는 조직의 정보보호관리체계 개선이나 향상이 쉽지 않다는 문제가 있다. 따라서 본 논문에서는 DDoS 대응 체계에 대한 상세하고 객관적인 측정이 가능하도록, 대응 전략 및 프로세스별로 주요 지표들을 개발하기 위한 프레임워크를 제시한다.

• 한국콘텐츠학회:학술대회논문집
• /
• 한국콘텐츠학회 2003년도 춘계종합학술대회논문집
• /
• pp.223-226
• /
• 2003

DDoS(Distributed Denial of Service) 공격으로부터 시스템 자원을 보호하기 위한 최선의 방법은 공격자에 의해 전송되어진 패킷의 경로를 역추적하여 공격자의 근원지로부터 근본적인 DDoS 공격을 차단하는 것이다. 기존의 패킷 마킹 기법은 IP 식 별자필드를 마킹필드로 사용함으로써 ICMP의 사용이 불가능하고, 라우터 토를 이용한 역추적기법은 라우터의 수가 증가할 경우 마킹필드의 크기가 증가하는 문제점을 가지고 있다. 본 논문에서 제안한 역추적 기법은 IP 헤더의 옵션필드를 마킹필드로 사용하여 ICMP를 사용을 가능하게 하였고, 라우터 IP주소를 태R 연산하여 얻어진 값을 마크정보로 사용함으로써 라우터 수의 증가에도 마크정보의 크기가 변하지 않도록 제안하였다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2003년도 춘계학술발표논문집 (하)
• /
• pp.2041-2044
• /
• 2003

네트워크에서 발생하는 다양한 침입 중에서 서비스거부공격(DoS Attack. Denial-of-Service Attack)이란 공격자가 침입대상 시스템의 시스템 자원과 네트워크 자원을 악의적인 목적으로 소모시키기 위하여 대량의 패킷을 보냄으로써 정상 사용자로 하여금 시스템이 제공하는 서비스를 이용하지 못하도록 하는 공격을 의미한다. 기존 연구에서는 시스템과 네트워크가 수신한 패킷을 분석한 후 네트워크 세션정보를 생성하여 DoS 공격을 탐지하였다. 그러나 이 기법은 공격자가 분산서비스거부공격(DDoS Attack: Distributed DoS Attack)을 하게 되면 분산된 세션정보가 생성되기 때문에 침입을 실시간으로 탐지하기에는 부적절하다. 본 논문에서는 시스템이 가지고 있는 자윈 중에서 DDoS 공격을 밭을 때 가장 민감하게 반응하는 시스템 자원을 모니터링 함으로써 DDoS 공격을 실시간으로 탐지할 수 있는 모델을 제안한다 제안 모델은 시스템이 네트워크에서 수신한 패킷을 처리하는 과정에서 소모되는 커널 메모리 소비량을 감사자료로 이용한 네트워치기반 비정상행위탐지(networked-based anomaly detection)모델이다.

• 한국멀티미디어학회논문지
• /
• 제16권6호
• /
• pp.678-688
• /
• 2013

단일 공격과 달리 DDoS 공격들은 네트워크에 분산된 봇넷이 동시에 타겟 서버에 공격을 개시한다. 이 경우 타겟 서버에서는 정상적인 사용자의 편의를 고려해야 하기 때문에 DDoS로 간주되는 패킷에 대하여 접속거부 조치를 취하기 어려운 점이 있다. 이를 고려하여 본 논문에서는 사용자 네트워크단위로 DDoS 공격을 탐지하고 네트워크 관리자가 조치를 취할 수 있도록 하여 전체적으로 봇넷의 규모를 줄여서 타겟 서버의 부담을 줄일 수 있는 DDoS 봇넷 탐지 시스템을 구현 하였다. 본 논문에서 제안한 DDoS 봇넷 탐지 시스템은 공격 트래픽의 시간 단위 흐름을 분석하고 수집한 이상상태에 대한 데이터베이스를 바탕으로 공격을 탐지 하도록 프로그램을 구현하였다. 그리고 패킷들의 평균개수와 표준편차를 이용하여 현재 트래픽의 임계치(Threshold)를 계산하고 이 임계치를 이용하여 DDoS 공격 여부를 판단하였다. 공격의 대상이 되는 서버를 중심으로 이루어졌던 봇넷 탐지 단위를 DDoS 봇에 감지된 공격 모듈이 속한 네트워크 단위 탐지로 전환함으로써 DDoS 공격에 대한 적극적인 방어의 개념을 고려해 볼 수 있었다. 따라서 DDoS와 DoS 공격의 차이점이라 할 수 있는 대규모 트래픽 흐름을 사전에 네트워크 관리자가 차단함으로써 봇넷의 규모를 축소시킬 수 있다. 또한, 라우터 장비 이하의 네트워크 통신에서 트래픽 공격을 사전에 차단할 수 있다면 타겟 서버의 부담뿐만 아니라 WAN 통신에서 라우터의 네트워크 부하를 상당부분 감소시킬 수 있는 효과를 얻을 수 있을 것으로 기대한다.

• 한국컴퓨터정보학회논문지
• /
• 제14권9호
• /
• pp.55-66
• /
• 2009

본 논문에서는 인터넷 보급으로 우리 생활 속에 급성장하여 널리 이용되고 있는 대형 포털 및 소셜 네트워크서비스를 공격하여 개인 고객의 데이터베이스를 가로채고 웹사이트의 정상적인 서비스를 방해하는 DDoS(Distribute Denial of Service Attack) 분산 서비스 공격에 대해 알아보고자 한다. 공격 유형중에 TCP SYN Flooding 공격은 많은 트래픽을 유발시키지 않으면서도 공격 형태가 정상적인 트랜잭션의 형태를 가지고 있으므로 공격에 대한 탐지가 쉽지 않다. 이에 대해 본 논문에서는 기존의 탐지방법은 False Alarm을 유발할 가능성을 많이 가지고 있으므로 이를 보다 정확하게 탐지하기 위한 방안을 모색하고 제안하고자 하며, Backscatter 현상을 탐지하여 TCP SYN Flooding 공격을 감지하는 알고리즘을 제안하고자 한다.

• 한국컴퓨터정보학회논문지
• /
• 제11권6호
• /
• pp.185-192
• /
• 2006

인터넷 웜과 같은 DDoS(Distribute Denial of Service Attack) 공격에 사용되는 네트워크 트래픽과 정상적인 서비스를 위한 네트워크 트래픽을 구분해 내는 것은 쉽지 않다. 정상적인 패킷을 유해 트래픽으로 판단하고 유해 트래픽의 공격자의 의도대로 서비스를 못하는 경우가 발생하므로, 인터넷 웜과 DDoS 공격으로부터 시스템을 보호하기 위해서는 공격 트래픽에 대한 정확한 분석과 탐지가 우선되어야 한다. IPv6 환경으로 전환될 때 발생하는 유해 트래픽에 대한 연구가 미약한 상태이므로, 본 논문에서는 IPv6 환경에서 NETWIB로 공격을 수행하고 공격 트래픽을 모니터링한 후 MIB(Management Information Base) 객체를 지수평활법을 적용하여 예측치 구한 후 임계치를 산정하여 공격을 판별한다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제13권7호
• /
• pp.3671-3689
• /
• 2019

Software defined networking brings unique security risks such as control plane saturation attack while enhancing the performance of wireless sensor networks. The attack is a new type of distributed denial of service (DDoS) attack, which is easy to launch. However, it is difficult to detect and hard to defend. In response to this, the attack threat model is discussed firstly, and then a DDoS attack prevention extension, called FuzzyGuard, is proposed. In FuzzyGuard, a control network with both the protection of data flow and the convergence of attack flow is constructed in the data plane by using the idea of independent routing control flow. Then, the attack detection is implemented by fuzzy inference method to output the current security state of the network. Different probabilistic suppression modes are adopted subsequently to deal with the attack flow to cost-effectively reduce the impact of the attack on the network. The prototype is implemented on SDN-WISE and the simulation experiment is carried out. The evaluation results show that FuzzyGuard could effectively protect the normal forwarding of data flow in the attacked state and has a good defensive effect on the control plane saturation attack with lower resource requirements.

• 한국통신학회논문지
• /
• 제35권1B호
• /
• pp.8-19
• /
• 2010

본 논문에서는 DDoS (Distributed Denial of Service) 공격에 따른 비정상적인 트래픽의 범람(flood)을 방지하고 합법적인 트래픽 전송을 보장하기 위하여 NCP (Network Control Platform) 기반의 DDoS 공격 대응 기법을 제안한다. 또한 이를 위하여 NCP와 SR (Source Router), VR (Victim Router)의 기능 모듈을 정의하고 high-flow 감지를 위한 임계값 및 공격 패킷 폐기율 결정식을 제안한다. 제안한 기법에서 NCP는 SR과 VR로부터 수집된 high-flow정보와 큐 정보를 기반으로 DDoS 공격 여부를 판단하고 이에 따라 패킷 폐기율을 결정한다. SR과 VR은 NCP에 의하여 결정된 패킷 폐기율에 따라 해당 플로우에 속하는 패킷을 폐기시킨다. 성능 평가를 위하여 OPNET 환경에서 시뮬레이션을 수행하고 SR, VR의 큐 크기, 공격 트래픽의 전송량 관점에서 비교 분석한다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2004년도 봄 학술발표논문집 Vol.31 No.1 (A)
• /
• pp.310-312
• /
• 2004

분산 서비스 거부 공격(Distributed Denial of Service, DDoS attack)의 목적은 정상적인 사용자가 서비스를 이용하는 것을 거부하는 것이다. 특히 범람 서비스 거부 공격(flooding-based DDoS attack)은 아직까지 방어하기 어려운 공격 형태이다. 그 이유는 공격 시 정상적인 트래픽이 왕복하는 것처럼 보이므로 공격 트래픽과 정상 트래픽을 구별하기 어렵기 때문이다. 하지만, 범람 서비스 거부 공격의 특징을 잘 이용하면 공격을 방어할 수 있다. 범람 서비스 거부 공격의 특징은 단독의 공격 호스트로부터의 트래픽 양이 여러 개의 정상 호스트들로부터의 트래픽 양보다 훨씬 많다는 것이다. 이러한 특징을 이용하여 특정 호스트로부터의 트래픽 양이 많은지 아닌지에 따라 공격이 발생했는지 여부를 결정할 수 있다. 이 논문에서는 Pi(Path Identification) 라는 메커니즘을 이용한 분산 서비스 거부 공격의 방어 기법을 제안한다.

• 정보처리학회논문지C
• /
• 제11C권7호
• /
• pp.993-998
• /
• 2004

웜 바이러스 및 분산서비스거부 공격의 등장으로 침해사고의 공격대상 및 피해범위는 특정 시스템이나 서비스에서 벗어나 네트워크 자체의 장애 및 마비로 확대되고 있다. 이러한 공격 형태는 가장 강력하고 빈번하게 발생하고 있으며, 특히 공격의 경유지로 이용될 인터넷서비스제공자들은 심각한 피해를 입을 수 있다. 그러나 이러한 웜 바이러스 및 분산서비스거부 공격의 빠른 전파속도로 인해 다수의 시스템에서 동시에 발생하는 것이 일반적인 반면에 네트워크 차원의 대응은 네트워크 관리자에 의한 수동적으로 이루어져 대응 속도가 느리고 전체 발생량을 처리할 수 없는 형편이다. 이에 따라 본 논문에서는 원 바이러스 및 분산서비스거부 공격 발생 여부 및 공격자(공격자 IP 주소)를 자동으로 탐지 할 수 있는 방안을 제시한다.