[논문 리뷰] 20 Years of DDoS: a Call to Action

Eric Osterweil, Angelos Stavrou외 1명|arXiv (Cornell University)|2019. 04. 04.

Network Security and Intrusion Detection참고 문헌 18인용 수 6

한 줄 요약

이 논문은 지난 20년간 지속되고 악화되는 DDoS 공격의 위협에 대해 연구 공동체에게 행동을 촉구하며, 현재의 대응 전략이 점점 더 정교해지는 애플리케이션 계층 공격에 뒤처지고 있으며, 인터넷 설계의 근본적인 아키텍처적 결함이 이 비대칭성을 가능하게 한다고 주장한다. 네트워크 수준의 방어 기반 연구, 인centive가 일치하는 구현 모델, 그리고 NDN과 Stellar과 같은 새로운 프로토콜을 통해 공격자와 방어자 간 능력 격차를 좁힐 것을 제안한다.

ABSTRACT

Botnet Distributed Denial of Service (DDoS) attacks are now 20 years old; what has changed in that time? Their disruptive presence, their volume, distribution across the globe, and the relative ease of launching them have all been trending in favor of attackers. Our increases in network capacity and our architectural design principles are making our online world richer, but are favoring attackers at least as much as Internet services. The DDoS mitigation techniques have been evolving but they are losing ground to the increasing sophistication and diversification of the attacks that have moved from the network to the application level, and we are operationally falling behind attackers. It is time to ask fundamental questions: are there core design issues in our network architecture that fundamentally enable DDoS attacks? How can our network infrastructure be enhanced to address the principles that enable the DDoS problem? How can we incentivize the development and deployment of the necessary changes? In this article, we want to sound an alarm and issue a call to action to the research community. We propose that basic research and principled analyses are badly needed, because the status quo does not paint a pretty picture for the future.

연구 동기 및 목표

• 지난 20년간 DDoS 공격에서 공격자와 방어자 간 능력 격차가 점점 커지고 있음을 부각시키는 것.
• 중앙집중식 스크러빙과 심층 패킷 검사에 의존하는 현재의 DDoS 완화 전략이 암호화, 애플리케이션 계층 복잡성, 아키텍처적 한계로 인해 근본적으로 부적절하다고 주장하는 것.
• 반응형, 애플리케이션 특화 보정이 아닌, DDoS 공격에 본질적으로 저항할 수 있는 네트워크 아키텍처 원칙에 대한 기본 연구를 촉구하는 것.
• BCP-38, RPKI, 그리고 새로운 방어 프레임워크와 같은 보안 메커니즘의 도입을 가속화하기 위해 투자 비용과 수혜를 일치시키는 인센티브 모델을 연구하는 것.
• Named Data Networking(NDN)나 Stellar과 같은 점진적이고 구현 가능한 아키텍처가 기존 인터넷의 완전한 재설계 없이도 확장성 있고 분산된 DDoS 방어 메커니즘을 제공할 수 있는지 탐색하는 것.

제안 방법

• 반응형, 애플리케이션 수준의 완화에서 스케일링이 가능하고 인프라에 통합된 프로액티브, 네트워크 계층 방어 메커니즘으로의 전환을 제안한다.
• FlowSpec, RTBH, 그리고 블랙홀링 프레임워크(예: Stellar)와 같은 네트워크 내 방어 기법을 활용하여 공격을 공격원천 근처에서 국지화하고 제한하는 것을 주장한다.
• 내용 중심 보안을 지원하고, 구현자와 수혜자 간의 인센티브를 일치시킬 수 있는 Named Data Networking(NDN)과 같은 새로운 아키텍처 모델을 활용할 것을 권고한다.
• 애플리케이션 의미론을 네트워크 계층 결정에 통합하여 전체 복호화 없이도 악성 트래픽를 탐지할 수 있는 프로토콜 개발을 장려한다.
• 경제적, 운영적, 명성 기반의 인센티브 메커니즘을 제안하여, 보안 조치의 초기 도입자들이 보상을 받을 수 있도록 하여 현재의 비용과 수혜 간의 불일치를 해결한다.
• DDoS 공격이 가능한 인터넷의 핵심 설계 원칙에 대한 원칙적인, 기본적인 연구를 촉구하며, 프로토콜 계층에서 신뢰, 라우팅, 트래픽 검증을 재고하는 것을 목표로 한다.

실험 결과

연구 질문

• RQ1 현재의 인터넷 설계에서 DDoS 공격, 특히 애플리케이션 계층에서 성공을 가능하게 하는 근본적인 아키텍처 결함는 무엇인가?
• RQ2 암호화된 페이로드와 애플리케이션 특화 의미론이 존재할 때, 네트워크 계층 방어가 악성 트래픽와 정상 트래픽를 구분할 수 있도록 표현력이 충분히 확보될 수 있는가?
• RQ3 DDoS 완화 기술의 배포 비용과 피해자 수혜 간의 균형을 맞출 수 있는 인센티브 모델은 무엇인가?
• RQ4 Named Data Networking(NDN)이나 Stellar과 같은 점진적이고 구현 가능한 아키텍처가 인터넷 전체의 완전한 재설계 없이도 확장성 있고 분산된 DDoS 방어 경로를 제공할 수 있는가?
• RQ5 네트워크 내 트래픽 검증 및 정책 이행을 통해 중앙집중식 스크러빙 센터와 심층 패킷 검사를 얼마나 줄일 수 있는가?

주요 결과

• 20년간의 기술 발전에도 불구하고 DDoS 완화 기술은 공격의 진화에 뒤처지고 있으며, 공격 유형이 볼륨 기반 네트워크 계층 폭주에서 복잡한 애플리케이션 계층 공격으로 이동했다.
• 엔드 투 엔드 암호화(예: HTTPS)의 광범위한 사용과 함께 증가하는 암호화된 트래픽로 인해 기존의 심층 패킷 검사는 비효율적이며 계산적으로 과도한 부담을 수반한다.
• 스크러빙 센터의 중앙집중식 완화는 버퍼링을 유발하고 현대 DDoS 공격의 분산 특성에 따라 스케일링되지 못한다.
• BCP-38과 BCP-84와 같은 기존의 완화 표준은 네트워크 운영자가 비용을 부담하고 피해자가 수혜를 보는 인센티브 불일치로 인해 제한적으로 배포되었다.
• Stellar과 FITT와 같은 제안들은 대규모 IXPs에서 공격원천 근처에 완화를 배포함으로써 방어의 탈중앙화와 부작용 감소를 가능하게 하여 잠재력을 보여준다.
• Named Data Networking(NDN)과 같은 아키텍처 전환은 데이터 평면에 보안과 검증을 통합함으로써 원칙적인 대안을 제공할 수 있으며, 본질적인 인센티브 모델을 통해 비용과 수혜를 일치시킬 수 있다.