[論文レビュー] Cloud-based DDoS Attacks and Defenses

Marwan Darwish, Abdelkader Ouda+1 more|arXiv (Cornell University)|Nov 27, 2015

Network Security and Intrusion Detection参考文献 12被引用数 55

ひとこと要約

本論文は、クラウドベースのDDoS攻撃がクラウドサービスの信頼性に与える影響を調査し、クラウド環境におけるさまざまなDDoS攻撃タイプを軽減するための特化した防御メカニズムを提案する。サービスの可用性とパフォーマンスを攻撃下でも維持するため、クラウドネイティブな検出および防御戦略、たとえばトラフィックフィルタリング、レート制限、異常検出などの必要性を強調する。

ABSTRACT

Safety and reliability are important in the cloud computing environment. This is especially true today as distributed denial-of-service (DDoS) attacks constitute one of the largest threats faced by Internet users and cloud computing services. DDoS attacks target the resources of these services, lowering their ability to provide optimum usage of the network infrastructure. Due to the nature of cloud computing, the methodologies for preventing or stopping DDoS attacks are quite different compared to those used in traditional networks. In this paper, we investigate the effect of DDoS attacks on cloud resources and recommend practical defense mechanisms against different types of DDoS attacks in the cloud environment.

研究の動機と目的

• 共有型仮想化インfra構造に起因するクラウドコンピューティングにおけるDDoS攻撃の特異的課題を分析すること。
• 仮想化クラウドインfraに適用された従来のDDoS防御メカニズムの限界を特定すること。
• クラウドワークロードの動的かつスケーラブルな性質に対応する実用的でクラウド特化型の防御メカニズムを提案すること。
• 攻撃中におけるサービスの可用性とパフォーマンスを維持するという観点から、提案された防御の有効性を評価すること。
• クラウドプロバイダーおよびユーザーがDDoS脅威に対してレジリエンスを高めるために実行可能な推奨事項を提供すること。

提案手法

• クラウド環境に特化したトラフィックフィルタリング技術を提案し、正当なトラフィックと悪意のあるトラフィックを区別する。
• 仮想マシンおよびネットワークレベルでのレート制限メカニズムを導入し、リクエストの量を制御し、リソースの枯渇を防ぐ。
• 通常のトラフィックパターンからの逸脱を特定する異常検出アルゴリズムを活用し、DDoS攻撃の兆候を特定する。
• クラウドプラットフォームの仮想化およびオーケストレーション機能を活用して、リソースを動的にスケーリングし、攻撃トラフィックを吸収する。
• ネットワーク、トランスポート、アプリケーションの複数レイヤーに防御メカニズムを統合し、レイヤード保護を実現する。
• 検出および緩和の遅延を短縮するため、プロアクティブなモニタリングおよび自動応答システムの導入を推奨する。

実験結果

リサーチクエスチョン

• RQ1 クラウド特有のアーキテクチャ的特徴は、従来のネットワークと比較してDDoS攻撃の影響をどのように拡大させるか？
• RQ2 仮想化クラウドインfraに展開された従来のDDoS緩和技術に、どのような主な限界があるか？
• RQ3 クラウド環境において、さまざまなDDoS攻撃タイプ（例：ボリューム攻撃、プロトコル攻撃、アプリケーションレイヤー攻撃）を緩和するために、どの防御メカニズムが最も効果的か？
• RQ4 自動スケーリングや仮想化といったクラウドネイティブ機能を活用して、DDoSレジリエンスをどのように向上させられるか？
• RQ5 実世界のクラウドサービスに防御メカニズムを実装する際の実用的配備上の考慮事項とパフォーマンス上のトレードオフは何か？

主な発見

• 仮想化およびオーケストレーションレイヤーと統合されたクラウドネイティブなDDoS防御は、従来の境界ベースのソリューションよりも効果的である。
• トラフィックフィルタリングおよびレート制限は、リソースが過負荷に陥る前に悪意のあるトラフィックをブロックするため、ボリューム攻撃の影響を顕著に低減する。
• 異常検出システムは、基本的なフィルタリング技術を回避する、微細で低速なDDoS攻撃を特定できる。
• トラフィックの急増に応じた動的リソーススケーリングは、継続的な攻撃中でもサービスの可用性を維持するのに役立つ。
• 複数の技術を組み合わせたレイヤード防御戦略は、多様なDDoS攻撃ベクトルを緩和するうえで、単一レイヤーのソリューションを上回る効果を示す。
• プロアクティブなモニタリングおよび自動応答メカニズムは、本番クラウド環境における緩和時間の短縮とレジリエンスの向上に寄与する。