[論文レビュー] An Active Defense Mechanism for TCP SYN flooding attacks

K Saravanan, A. Gowrishankar|arXiv (Cornell University)|Jan 10, 2012

Network Security and Intrusion Detection参考文献 9被引用数 10

ひとこと要約

本稿では、TCP SYNフラッド攻撃を検出および緩和するためのアクティブ防御メカニズムを提案する。このメカニズムは、SYNパケットの到着レートにおける時間的パターンを分析することで、正常なトラフィックと攻撃トラフィックを区別する。正常なトラフィックと攻撃トラフィックの統計的モデリングを用いることで、防御ノードが悪意のあるトラフィックと正当なトラフィックを識別し、SYN/ACK応答を委任できるようになり、従来の単一ノード防御に比べて検出精度とスケーラビリティが著しく向上する。

ABSTRACT

Distributed denial-of-service attacks on public servers have recently become a serious problem. To assure that network services will not be interrupted and more effective defense mechanisms to protect against malicious traffic, especially SYN floods. One problem in detecting SYN flood traffic is that server nodes or firewalls cannot distinguish the SYN packets of normal TCP connections from those of a SYN flood attack. Another problem is single-point defenses (e.g. firewalls) lack the scalability needed to handle an increase in the attack traffic. We have designed a new defense mechanism to detect the SYN flood attacks. First, we introduce a mechanism for detecting SYN flood traffic more accurately by taking into consideration the time variation of arrival traffic. We investigate the statistics regarding the arrival rates of both normal TCP SYN packets and SYN flood attack packets. We then describe a new detection mechanism based on these statistics. Through the trace driven approach defense nodes which receive the alert messages can identify legitimate traffic and block malicious traffic by delegating SYN/ACK packets.

研究の動機と目的

• パブリックサーバーを標的とする分散型DoS（DDoS）攻撃の増加する脅威に対処すること。
• 既存のファイアウォールがSYNフラッドトラフィックと正当なTCP接続を区別できないという限界を克服すること。
• SYNパケットの時間的変動する到着レートを分析することで、検出精度を向上させるスケーラブルなアクティブ防御メカニズムを設計すること。
• 正確な検出に基づいて防御ノードがSYN/ACK応答を委任できることで、サーバー負荷を軽減し、レジリエンスを向上させること。

提案手法

• メカニズムは、正常トラフィックとSYNフラッド攻撃の両方におけるSYNパケット到着レートの統計的挙動をモデリングする。
• トレース駆動アプローチを用いて実際のトラフィックパターンを収集・分析し、時間的特徴を特定する。
• 防御ノードは検出された異常に基づくアラートメッセージを受け取り、統計モデルを用いてトラフィックを正当または悪意のあるものに分類する。
• 分類後、防御ノードは正当な接続に対してSYN/ACKパケットを積極的に委任し、悪意のあるものをブロックする。
• 中央集権的なファイアウォールに見られる単一障害点の問題を回避するため、分散型検出ノードを活用する。
• 検出ロジックは、パケット間隔の時系列解析に基づくもので、トラフィック変動に動的に適応可能である。

実験結果

リサーチクエスチョン

• RQ1 トラフィックパターンに基づいて、SYNフラッド攻撃を正当なTCP接続要求と正確に区別する方法は何か？
• RQ2 SYNパケット到着レートの統計的特性の中で、攻撃トラフィックと正常トラフィックを区別するものは何か？
• RQ3 分散型でアクティブな防御メカニズムは、従来のファイアウォールベースのアプローチと比較して、スケーラビリティとレジリエンスを向上させられるか？
• RQ4 時間的分析は、SYNフラッド検出における誤検出と見逃しをどれほど効果的に低減できるか？

主な発見

• 提案されたメカニズムは、SYNパケット到着の時間的変動統計を活用することで、分類のあいまいさを低減し、より高い検出精度を達成する。
• システムは防御ノードがSYN/ACK応答を能動的に委任できるようにし、バックエンドサーバーのリソース枯渇を最小限に抑える。
• 検出ロジックを分散化することで、従来のファイアウォールのような単一障害点防御のスケーラビリティ制限を回避できる。
• トレース駆動評価により、到着レートの統計的モデリングが攻撃トラフィックと正当な接続を効果的に区別できることを確認した。