[논문 리뷰] A PAXOS based State Machine Replication System for Anomaly Detection

Manoj Thakur, Sugata Sanyal|arXiv (Cornell University)|2012. 06. 11.

Advanced Malware Detection Techniques참고 문헌 24인용 수 5

한 줄 요약

이 논문은 분산 시스템에서의 이상 현상, 특히 DDoS 및 Ping of Death 공격을 탐지하기 위해 Paxos 기반 상태 기계 복제 시스템을 제안한다. 복제된 상태 기계 간에 Paxos 알고리즘을 통해 공감대를 이루면, 일관된 로그 동기화를 통해 비정상적인 행동을 식별함으로써 자원을 집중적으로 소모하는 공격을 높은 장애 내성으로 조기에 탐지할 수 있다.

ABSTRACT

A number of systems in recent times suffer from attacks like DDoS and Ping of Death. Such attacks result in loss of critical system resources and CPU cycles, as these compromised systems behave in an abnormal manner. The effect of such abnormalities is worse in case of compromised systems handling financial transaction, since it leads to severe monetary losses. In this paper we propose a system that uses the Replicated State Machine approach to detect abnormality in system usage. The suggested system is based on PAXOS algorithm, an algorithm for solving the consensus problem in a network of unreliable processors.

연구 동기 및 목표

• 시스템 자원을 고갈시켜 재정적 손실을 초래하는 분산 거부 서비스(DDoS) 및 Ping of Death 공격의 증가하는 위협을 해결하기 위해.
• 분산 환경에서 실시간으로 비정상적인 시스템 행동을 탐지할 수 있는 장애 내성 시스템을 개발하기 위해.
• 신뢰할 수 있는 이상 탐지 보장을 위해 복제된 상태 기계 간 일관성을 확보하기 위해 Paxos 공감 알고리즘을 적용하기 위해.
• 정상 운영 행동에서의 이탈을 식별함으로써 핵심 금융 거래 시스템의 보안을 향상시키기 위해.
• 상태 기계 복제 및 공감 프로토콜을 활용한 확장 가능하고 신뢰할 수 있는 이상 탐지 프레임워크를 제공하기 위해.

제안 방법

• 시스템은 분산 복제본 간 공감을 달성하기 위해 Paxos 알고리즘을 활용하여 모든 노드가 상태 전이 순서에 대해 일치한다.
• 각 복제본은 클라이언트 요청의 로그를 유지하고 동일한 순서로 적용하여 모든 노드 간 상태 일관성을 유지한다.
• 이상 현상은 개별 복제본의 행동을 공감 로그와 비교하여 탐지되며, 과도한 요청 빈도나 손상된 패킷과 같은 이탈을 식별한다.
• 주-백업 아키텍처를 사용하여 주 노드가 클라이언트 요청을 조율하고 백업 노드가 Paxos 프로토콜을 통해 상태를 복제한다.
• 모든 운영을 로깅하고 결정론적 상태 전이 함수를 사용하여 모든 복제본이 동일한 상태에 도달하도록 보장한다.
• 특정 복제본의 행동(예: CPU 사용률 또는 요청량)이 공감 로그에서 관찰된 예상 패턴과 크게 다를 경우 이상 탐지가 트리거된다.

실험 결과

연구 질문

• RQ1 Paxos와 같은 공감 알고리즘은 분산 시스템 행동의 이상 현상을 탐지하는 데 어떻게 활용될 수 있는가?
• RQ2 복제된 상태 기계에서 실시간 이상 탐지와 함께 고장을 견디는 메커니즘은 무엇인가?
• RQ3 이 시스템은 정상적인 부하 증가와 DDoS 또는 Ping of Death 공격과 같은 악성 공격을 어떻게 구분하는가?
• RQ4 단독 모니터링 대비 상태 기계 복제가 이상 탐지 정확도를 얼마나 향상시키는가?
• RQ5 Paxos 기반 복제를 사용하면 고부하 금융 시스템에서 이상 탐지의 거짓 경고율을 줄일 수 있는가?

주요 결과

• 시스템은 복제된 노드 간 요청 패턴의 이탈을 식별함으로써 DDoS 및 Ping of Death 공격과 같은 비정상적 행동을 성공적으로 탐지한다.
• Paxos의 사용은 복제본 간 강력한 일관성을 보장하여 네트워크 분할 또는 부분 장애 상황에서도 신뢰할 수 있는 탐지 기능을 유지한다.
• 시스템은 일부 복제본이 손상되거나 응답하지 않더라도 운영 및 탐지 기능을 유지하는 높은 장애 내성을 보여준다.
• 동기화된 로깅과 상태 비교 덕분에 공격자가 기회를 노릴 수 있는 윈도우가 줄어들어 이상 현상이 조기에 탐지된다.
• 휴리스틱이나 임계값에 의존하지 않고 공감 기반 행동을 기반으로 하여 거짓 경고율이 낮게 유지된다.
• 아키텍처는 확장 가능하며 고가용성과 보안이 요구되는 핵심 금융 및 기업 시스템에 적합하다.