초록
웜 확산이나 자동화된 공격 도구에 의한 DDoS(Distributed Denial of Service) 공격은 도메인 경계를 넘어 통신 경로를 공유하는 정당한 사용자의 접근을 방해하기 때문에 지엽적인 도메인 차원의 방어와 대응은 현실적인 해결책이 되지 못한다. 더욱이 발신지 IP 주소를 위조하거나 정당한 발신지 IP 주소를 가지고 bogus 패킷을 과도하게 전송시키는 DDoS 공격은 정당한 사용자의 접근을 식별할 수 없게 한다. 본 논문에서는 이러한 문제점을 해결하기 위해 이웃하는 도메인간에 DDoS 공격 플로우를 식별하고 공격자 추적과 대응을 협업하는 분산 네트워크 보안관리 기법을 제시한다. 본 논문에서는 인터넷이 다수의 도메인으로 이루어져 있고 각 도메인에는 하나의 이상의 도메인 보안 관리자가 있다고 가정한다. 분산된 도메인 보안 관리자는 자신의 도메인 경계 라우터와 물리적 회선을 공유하면서 도메인 안팎으로 유통되는 공격성 패킷들을 식별하고 이웃하는 도메인 보안 관리자와 공격 발원지 추적 및 대응을 위한 메시지 교환을 수행한다. 도메인 보안 관리자를 구현하고 테스트베드를 통해 실험한 결과 지엽적인 도메인 차원의 탐지 및 대응에 비하여 탐지의 정확성 (FPR: False Positive Rate, FNR: False Negative Rate)과 대응 효과 (NPSR: Normal Packet Survival Rate)가 우수하였다.
It is not a practical solution that the DDoS attacks or worm propagations are protected and responded within a domain itself because it clogs access of legitimate users to share communication lines beyond the boundary a domain. Especially, the DDoS attacks with spoofed source address or with bogus packets that the destination addresses are changed randomly but has the valid source address does not allow us to identify access of legitimate users. We propose a scheme of distributed network security management to protect access of legitimate users from the DDoS attacks exploiting randomly spoofed source IP addresses and sending the bogus packets. We assume that Internet is divided into multiple domains and there exists one or more domain security manager in each domain, which is responsible for identifying hosts within the domain. The domain security manager forwards information regarding identified suspicious attack flows to neighboring managers and then verifies the attack upon receiving return messages from the neighboring managers. Through the experiment on a test-bed, the proposed scheme was verified to be able to maintain high detection accuracy and to enhance the. normal packet survival rate.
