Abstract
This paper proposes a system design of IDS for detecting and defending against DDoS attacks on a network. The proposed system has three parts; the Alert, Attack Analyzer and Defense agent. When the server resource was reduced too much by incoming traffic, the Alert Agent sends message and traffic information to the Attack Analyzer. The message and traffic to the Attack analyzer include only the sender & receiver address and packet numbers for minimizing the overload of Attack Analyzer. Message Received Attack Analyzer investigates the Message. If the pattern of traffic is the same as the DDoS Style, the Analyzer sends a message to the Defense Agent to block that traffic. In this system, at the serious state of the server-down, the Attack analyzer uncovers the DDoS Attacker and send a message to the Defense Agent to block that traffic. This works for server reactivation as soon as possible.
본 논문에서는 네트워크를 통해 이루어지고 있는 DDoS공격을 감지하고 이를 방어할 수 있는 시스템을 설계한다. 제안하는 시스템은 경고 에이전트(Alert Agent), 공격분석 에이전트(Attack Analyzer Agent), 방어 에이전트(Defence Agent)의 3-티어(3-tier) 시스템으로 구성한다. 경고에이전트는 서버에서 서버의 자원이 부족해지는 시점에 공격분석에이전트로 서버의 트래픽을 복사하여 전송한다. 공격분석 에이젼트로 전송되는 트래픽은 송수신자 주소 및 패킷번호만을 처리하여 분석에이젼트의 부하를 감소한다. 공격분석 에이전트는 받은 트래픽을 분석하여 DDoS의 패턴과 일치하는지 검사한 후 DDoS공격으로 판단하면 방어에이전트에게 해당 발신자의 트래픽을 소멸하도록 지시한다. 이 시스템에서는 서버가 DDoS공격으로 인하여 과부하가 발생하여 작동이 중지되더라도 공격분석 에이전트가 DDoS트래픽을 선별하여 방어 에이젼트에게 차단하도록 지시하여 서버가 최대한 빨리 복구되도록 동작한다.