DRDoS 증폭 공격 대응 시스템
Response System for DRDoS Amplification Attacks
1
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
정보통신기술의 발전에 따라 DDoS와 DRDoS은 지속적으로 보안상 이슈가 되고, 고도화된 기법으로 점차 발전하고 있다. 최근에는 정상 서버의 프로토콜을 이용하여 반사 서버로 악용하는 DRDoS 기법으로 IT 기업들을 위협하고 있다. 반사 트래픽은 정상적인 서버에서 발생되는 트래픽으로 보안장비에서 판별하기가 어렵고 실제 사례에서도 최대 Tbps까지 증폭되었다. 본 논문에서는 DRDoS 공격에서 사용되는 DNS증폭과 Memcached증폭을 비교 분석한 뒤 공격의 효과를 감소시킬 수 있는 대응방안을 제안한다. 반사 트래픽으로 사용되는 프로토콜은 TCP와 UDP, 그리고 NTP, DNS, Memcached등이 존재한다. 반사 트래픽으로 이용되는 프로토콜 중에서 반사 트래픽의 응답크기가 높은 DNS 프로토콜과 Memcached 프로토콜을 비교분석결과, Memcached 프로토콜은 DNS 프로토콜보다 ±21% 증폭된다. 대응방안은 Memcached 프로토콜의 메모리 초기화 명령어를 사용하여 공격의 효과를 감소시킬 수 있다. 향후 연구에서는 보안에 취약한 다양한 서버들을 보안 네트워크를 통해 공유하여 원천적 차단효과를 전망할 수 있다.
Abstract
With the development of information and communication technology, DDoS and DRDoS continue to become security issues, and gradually develop into advanced techniques. Recently, IT companies have been threatened with DRDoS technology, which uses protocols from normal servers to exploit as reflective servers. Reflective traffic is traffic from normal servers, making it difficult to distinguish from security equipment and amplified to a maximum of Tbps in real-life cases. In this paper, after comparing and analyzing the DNS amplification and Memcached amplification used in DRDoS attacks, a countermeasure that can reduce the effectiveness of the attack is proposed. Protocols used as reflective traffic include TCP and UDP, and NTP, DNS, and Memcached. Comparing and analyzing DNS protocols and Memcached protocols with higher response sizes of reflective traffic among the protocols used as reflective traffic, Memcached protocols amplify ±21% more than DNS protocols. The countermeasure can reduce the effectiveness of an attack by using the Memcached Protocol's memory initialization command. In future studies, various security-prone servers can be shared over security networks to predict the fundamental blocking effect.
참고문헌 (16)
- I. J. Choi, "Mixed Responses Techniques for Intelligent DDoS Attacks", Proceedings of KIIT Conference, pp.65~67 (2015)
- A study on the network node for guaranteeing availability against traffic overload attack, "N. K. Baik", Korea Institute Of Communication Sciences, 1917~921 (2003)
- 최상용, "일회성 세션 키 기반 HTTP DDoS 공격 방어기법", 한국컴퓨터정보학회논문지, 18(8), pp.95~104 (2013), 한국컴퓨터정보학회
- 이형수, "저대역 DDoS 공격 대응 시스템", 한국산학기술학회논문지, 17(10), pp.732~742 (2016), 한국산학기술학회[DOI]
- H. W. Lee, "Design and Implementation of Traceback Simulator for Distributed Reflector DoS Attack on Computer Network", The Korean Association Of Computer Education, 8(1), pp.65~72 (2005)
- 김민준, "상태기반 DRDoS 공격에 대한 탐지 및 방어기법", 전자공학회논문지, 51(5), pp.127~134 (2014), 대한전자공학회
- M. Kuhrer, "Hell of a Handshake: Abusing TCP for Reflective Amplification DDoS Attacks", USENIX Workshop on Offensive Technologies(WOOT 14) (2014)
- 허윤아, "U-Healthcare 기기에서 DRDoS공격 보안위협과 Big Data를 융합한 대응방안 연구", 한국융합학회논문지, 6(4), pp.243~248 (2015), 한국융합학회[DOI]
- 최석준, "CLDAP 프로토콜을 이용한 DDoS 증폭공격에 대한 서버 가용성 향상방안 연구", 정보처리학회논문지. 컴퓨터 및 통신시스템, 7(1), pp.19~26 (2018), 한국정보처리학회[DOI]
- 최현상, "DRDoS 증폭 공격 기법과 방어 기술 연구", 한국정보전자통신기술학회 논문지, 8(5), pp.429~437 (2015), 한국정보전자통신기술학회
- A Countermeasure Structure for Attack of SSDP Amplification Used Mac Address authorization, "K. O. Park", The Korean Institute of Information Scientists and Engineers, 1109~1111 (2017)
- 최동호, "SDN을 위한 DNS 증폭 공격 방어 기법", 한국통신학회논문지, 43(11), pp.1959~1966 (2018), 한국통신학회[DOI]
- Y. J. Kim, "A Study on the Preventing Method against NTP Amplification Attacks", Proceedings of Symposium of the Korean Institute of communications and Information Sciences, pp.157~158 (2015)
- 이기택, "DNS 증폭 공격 탐지를 위한 근실시간 DNS 질의 응답 분석 시스템에 관한 연구", 정보보호학회논문지, 25(2), pp.303~311 (2015), 한국정보보호학회[DOI]
- W. J Park, "Platform for collecting and processing the message in real time using the Memcached and MySQL Cluster", Proceedings of Symposium of the Korean Institute of communications and Information Sciences, pp.1203~1204 (2015)
- H. J. Kim, "A study on Dynamic Analysis for DRDoS Amplification Attacks", Korea Multimedia Society, 23(2), pp.106~107 (2020)