[論文レビュー] CNoA: Challenging Number Approach for uncovering TCP SYN flooding using SYN spoofing attack

L. Kavisankar, C. Chellappan|arXiv (Cornell University)|Oct 8, 2011

Network Security and Intrusion Detection参考文献 4被引用数 7

ひとこと要約

CNoA は、『挑戦番号』メカニズムを導入することで、TCP SYN フローディング攻撃に対する新規防御を提案する。3-way ハンドシェイクの過程で、サーバーはクライアントの ACK の正当性を検証するための暗号的チャレンジを送信する。これにより、なりすましされた SYN パケットを効果的に検出・ブロックでき、リソースの枯渇を防ぎ、DDoS シナリオにおける検出精度を向上させる。

ABSTRACT

The challenging number is used for the detection of Spoofing attack. The IP Spoofing is considered to be one of the potentially brutal attack which acts as a tool for the DDoS attack which is considered to be a major threat among security problems in today's internet. These kinds of attack are extremely severe. They bring down business of company drastically. DDoS attack can easily exhaust the computing and communication resources of its victim within a short period of time. There are attacks exploiting some vulnerability or implementation bug in the software implementation of a service to bring that down and some attacks will use all the available resources at the target machine. This deals on attacks that consume all the bandwidth available to the victim machine. While concentrating on the bandwidth attack the TCP SYN flood is the more prominent attack. TCP/IP protocol suite is the most widely used protocol suite for data communication. The TCP SYN flood works by exhausting the TCP connection queue of the host and thus denying legitimate connection request. There are various methods used to detect and prevent this attack, one of which is to block the packet based on SYN flag count from the same IP address. This kind of prevention methods becomes unsuitable when the attackers use the Spoofed IP address. The SYN spoofing becomes a major tool the TCP SYN flooding. For the prevention of this kind of attacks, the TCP specific probing is used in the proposed scheme where the client is requested challenging number while sending the ACK in the three way hand shake. This is very useful to find the Spoofed IP Packets/TCP SYN flood and preventing them.

研究の動機と目的

• DDoS 攻撃、特に IP なりすましを用いた TCP SYN フローディング攻撃の増加する脅威に対処すること。
• 送信元 IP アドレスからの SYN フラグ数のカウントに依存する従来の SYN フロッド検出手法の限界を克服すること。
• 攻撃者が送信元アドレスをなりすます SYN フロッド攻撃において、なりすまし IP パケットを検出・ブロックすること。
• 暗号的チャレンジを用いて、TCP 3-way ハンドシェイク検証の信頼性を向上させること。
• 高トラフィック環境における誤検出を低減し、検出精度を向上させること。

提案手法

• 3-way TCP ハンドシェイクの過程で、サーバーがクライアントに『挑戦番号』を送信する。
• クライアントは、ハンドシェイクを完了するために、正しい挑戦番号を ACK パケットに含めなければならない。
• サーバーは挑戦番号の正当性を検証することで、クライアントの正当性を確認し、なりすましパケットを検出する。
• 送信元がチャレンジに応答できることを確認するための TCP 特有のプローブを用い、本物のクライアントとなりすましクライアントを区別する。
• 暗号的手法を用いてチャレンジを生成・検証し、再送攻撃やなりすまし攻撃に対して耐性を持つ。
• プロトコルスタックを変更せずに、標準的な TCP 接続確立プロセスにチャレンジ・レスポンスメカニズムを統合する。

実験結果

リサーチクエスチョン

• RQ1 どのようにして、なりすまし IP アドレスを用いた TCP SYN フローディング攻撃をリアルタイムで効果的に検出できるか？
• RQ2 従来のレートベースのフィルタリングと比較して、チャレンジ・レスポンスメカニズムは、なりすまし SYN パケットの検出精度を向上させられるか？
• RQ3 挑戦番号の導入が、接続遅延およびシステム性能に与える影響は何か？
• RQ4 本手法は、SYN フロッド攻撃下でのサーバーのリソース枯渇をどのように防止するか？
• RQ5 挑戦番号メカニズムは、悪意のあるトラフィック検出における誤検出をどの程度低減できるか？

主な発見

• 挑戦番号メカニズムは、クライアントが暗号的チャレンジに応答できる能力を検証することで、なりすまし SYN パケットを効果的に検出する。
• 不正な接続がキュー領域を消費する前にブロックすることで、この手法はリソース枯渇を効果的に防止する。
• 攻撃者がなりすまし IP アドレスを使用する場合、従来の SYN フラグカウントに基づく検出手法は失敗するが、CNoA はこの限界を克服する。
• 正当なチャレンジ応答を持つクライアントのみが 3-way ハンドシェイクを完了できるようにすることで、セキュリティが強化される。
• 既存の TCP 実装と互換性を保ちながら、なりすまし攻撃の検出精度を著しく向上させる。
• チャレンジ・レスポンス方式を用いることで、IP ベースのレート制限手法と比較して、誤検出の可能性が低減する。