[논문 리뷰] Active Internet Traffic Filtering: Real-time Response to Denial of Service Attacks

Katerina Argyraki, David R. Cheriton|arXiv (Cornell University)|2003. 09. 29.

Network Security and Intrusion Detection참고 문헌 13인용 수 165

한 줄 요약

이 논문은 실시간 DDoS 공격 완화를 위해 공격자 서비스 제공업체에 필터링 책임을 이행하는 가용성 있고 안전하며 자동화된 필터 전파 프로토콜인 AITF(Active Internet Traffic Filtering)를 제안한다. 이는 라우터 자원의 한계를 고려한 보호를 보장하고 악성 노드의 오용을 방지하며, 공격자 경로 추적 기반으로 효율적으로 필터 요청을 소스 측에 전달하여 인터넷 성장에 따라 스케일링된다.

ABSTRACT

Denial of Service (DoS) attacks are one of the most challenging threats to Internet security. An attacker typically compromises a large number of vulnerable hosts and uses them to flood the victim's site with malicious traffic, clogging its tail circuit and interfering with normal traffic. At present, the network operator of a site under attack has no other resolution but to respond manually by inserting filters in the appropriate edge routers to drop attack traffic. However, as DoS attacks become increasingly sophisticated, manual filter propagation becomes unacceptably slow or even infeasible. In this paper, we present Active Internet Traffic Filtering, a new automatic filter propagation protocol. We argue that this system provides a guaranteed, significant level of protection against DoS attacks in exchange for a reasonable, bounded amount of router resources. We also argue that the proposed system cannot be abused by a malicious node to interfere with normal Internet operation. Finally, we argue that it retains its efficiency in the face of continued Internet growth.

연구 동기 및 목표

• 복잡한 DDoS 공격 동안 수동적이고 느리며 비현실적인 필터 전파 문제를 해결하기 위해.
• 라우터 자원의 한계를 고려한 보호를 보장하는 자동화된 필터 전파 메커니즘을 설계하기 위해.
• 악성 노드가 정상 트래픽을 차단하는 데 시스템을 악용하는 것을 방지함으로써 보안을 확보하기 위해.
• 필터 전파 홉 수를 최소화하고 필터링을 공격자 측 서비스 제공업체에 위임함으로써 인터넷 성장에 효율적으로 스케일링하기 위해.

제안 방법

• 피해자가 자신의 게이트웨이에 필터링 요청을 제출하며, 이는 공격자 게이트웨이 쪽으로 공격자 경로를 식별하기 위해 추적 기법을 사용해 전파된다.
• 각 라우터는 요청자가 악성 트래픽과 동일한 경로에 있는지 확인함으로써 필터링 요청을 검증하여 위조 또는 오용을 방지한다.
• 필터링은 오직 공격자 게이트웨이 또는 공격자 측 서비스 제공업체 엣지에서만 적용되며, 홉 수와 라우터 자원 사용을 최소화한다.
• 클라이언트와 서비스 제공업체 간의 필터링 계약을 시행하여 최대 요청 빈도(R1, R2)를 규정하고, 필요한 필터 수를 n_v = R1·T_tmp ≪ N_v로 제한한다.
• 기존의 추적 기법(예: [SWKA00])을 활용하여 공격자 경로를 식별하고 소스 측에 가까이 필터링을 적용함으로써 효율성을 확보한다.
• 프로토콜은 이미 피해자 제어 하에 있는 흐름만 필터링하도록 보장하여 다른 트래픽에 대한 의도치 않은 영향을 방지한다.

실험 결과

연구 질문

• RQ1 자동화된 필터 전파 시스템은 수동 방법보다 더 빠르고 신뢰성 있게 DDoS 공격을 완화할 수 있는가?
• RQ2 악성 노드가 요청을 위조하여 정상 트래픽을 방해하는 것을 방지하면서 필터링을 안전하게 적용할 수 있는가?
• RQ3 각 라우터의 자원 사용이 제한된 상태에서 인터넷 성장에 따라 시스템이 스케일링 가능한가?
• RQ4 홉 단위 전파에 의존하지 않고 공격자 소스 측에 가까이 필터링을 적용하기 위한 메커니즘은 무엇인가?
• RQ5 클라이언트와 제공업체 간의 필터링 계약은 최소한의 자원 오버헤드로 보호를 보장할 수 있는가?

주요 결과

• AITF는 필터 전파를 피해자, 피해자의 게이트웨이, 공격자 게이트웨이, 공격자 측의 네 대상 노드로만 제한하여 홉 단위 전파 방식보다 극적으로 스케일링 성능을 향상시킨다.
• 시스템은 라우터 자원 사용이 제한된 상태에서 N_v = R1·T개의 불필요한 흐름에 대해 n_v = R1·T_tmp개의 필터만으로도 보호를 보장한다. 여기서 T_tmp ≪ T 이므로 자원 사용이 명확히 제한된다.
• 요청의 경로 일관성 기반 검증을 통해 악성 노드가 흐름 경로를 제어하지 않는 한 정상 트래픽을 방해할 수 없다.
• 프로토콜은 오직 피해자 또는 피해자의 게이트웨이만 필터링을 시작할 수 있도록 보장함으로써 오용을 방지한다. 또한, 이미 동일한 경로에 있는 트래픽에 대해서만 필터링이 이루어진다.
• 공격자 측 서비스 제공업체에 필터링을 이행함으로써 AITF는 백본 라우터의 부담을 최소화하고 인터넷 성장에 따라 효율적으로 스케일링된다.
• 다수의 인프라가 신뢰할 수 있는 상태이면, 일부 라우터가 해킹되더라도 시스템은 여전히 효과적으로 기능한다.