[논문 리뷰] Amplification and DRDoS Attack Defense -- A Survey and New Perspectives

Fabrice J. Ryba, Matthew Orlinski외 3명|arXiv (Cornell University)|2015. 05. 29.

Network Security and Intrusion Detection참고 문헌 143인용 수 50

한 줄 요약

이 논문은 증폭 공격 및 DRDoS 공격에 대한 종합적인 서베이를 제시하며, 소스 IP 스푸핑 방어를 중심으로 예방, 탐지 및 필터링 기법을 분석한다. 200편 이상의 연구를 통합하여 효과적인 전략—특히 인그레스 필터링과 분산 탐지—를 규명하며, 고속도 공격을 완화하기 위해 유기적이고 확장 가능한 방어 체계의 필요성을 강조한다.

ABSTRACT

The severity of amplification attacks has grown in recent years. Since 2013 there have been at least two attacks which involved over 300Gbps of attack traffic. This paper offers an analysis of these and many other amplification attacks. We compare a wide selection of different proposals for detecting and preventing amplification attacks, as well as proposals for tracing the attackers. Since source IP spoofing plays an important part in almost all of the attacks mentioned, a survey on the state of the art in spoofing defenses is also presented. This work acts as an introduction into amplification attacks and source IP address spoofing. By combining previous works into a single comprehensive bibliography, and with our concise discussion, we hope to prevent redundant work and encourage others to find practical solutions for defending against future amplification attacks.

연구 동기 및 목표

• 거의 200편의 논문에 걸쳐 산산이 흩어진 증폭 및 DRDoS 공격에 관한 연구를 체계화하고 통합하기 위해.
• 증폭 공격에 대한 예방, 탐지 및 필터링 메커니즘을 분석하고 비교하기 위해.
• 소스 IP 스푸핑 방어 기법—특히 인그레스 필터링 및 트레이서아웃 기법—의 효과성을 평가하기 위해.
• 기존 방어의 격차를 규명하고 확장 가능하며 협업 기반의 완화를 위한 향후 연구 방향을 제안하기 위해.
• 비용, 메모리 오버헤드, 인터-AS 협업 등 실증 기준을 활용해 방어 기법을 평가함으로써 실질적 구현을 지원하기 위해.

제안 방법

• 프로토콜 유형(예: DNS, NTP)과 공격 벡터(반사, 증폭, 스푸핑)에 따라 증폭 공격를 분류하기 위해.
• 인그레스 필터링, DNSSEC, 공개 서비스의 설정 강화와 같은 예방 조치를 서베이하고 비교하기 위해.
• 패킷 마킹, 플로우 모니터링, 해저포트 기반 서명 생성을 포함한 스푸핑 탐지 및 트레이서아웃 방법을 분석하기 위해.
• 분산 알고리즘과 다크넷 모니터링을 통한 초기 공격 탐지 기반의 반응형 탐지 및 필터링 기법을 평가하기 위해.
• 실제 사례 연구(예: Spamhaus 공격)와 모니터링 프로젝트에서의 실증 데이터를 통해 대규모 구현 가능성을 평가하기 위해.
• 금전적 비용, 메모리 오버헤드, 인터-AS 협업 요구 사항 등의 기준을 활용해 방어 기법을 벤치마킹하기 위해.

실험 결과

연구 질문

• RQ1 특히 UDP 기반 프로토콜에서 다양한 증폭 공격 벡터 간의 주요 기술적 및 아키텍처적 차이점은 무엇인가?
• RQ2 현재의 방어 조치—특히 인그레스 필터링 및 스푸핑 탐지—는 대규모 공격에서 얼마나 효과적인가?
• RQ3 실제 네트워크 환경에 구현된 반응형 탐지 및 필터링 메커니즘의 실용적 한계는 무엇인가?
• RQ4 해저포트와 다크넷 모니터링은 어떻게 활용되어 공격 이전의 스캐닝 행동을 탐지하고 특성화할 수 있는가?
• RQ5 비용, 성능, 인터-프로바이더 협업 측면에서 방어 기법 선택을 위한 기준은 무엇이어야 하는가?

주요 결과

• 공개 DNS 리졸버와 NTP 서버를 이용한 증폭 공격는 공격자의 초도 요청보다 수백 배 이상 큰 트래픽량을 생성할 수 있으며, 피크 공격량은 수백 Gbps를 초과할 수 있다.
• 2013년 Spamhaus DDoS 공격는 1000 Gbps 이상에 이르는 공격량을 기록하여 반사 및 증폭을 통해 달성 가능한 극단적인 스케일을 입증했다.
• 공개 리졸버를 스캔하는 것은 일반적으로 주요 공격 이전에 발생하며, 공격 전에 다크넷 트래픽에 눈에 띄는 증가가 관찰되어 사전에 탐지 가능한 정황을 제공한다.
• 해저포트는 스캐닝 활동을 효과적으로 기록하고 악성 DNS 도메인과 같은 공격 트래픽 서명을 생성함으로써 조기 탐지에 기여할 수 있다.
• 분산 탐지 및 필터링 알고리즘은 피해자가 오프라인일 경우에도 공격 완화에 유망한 성과를 보이지만, 현재 존재하는 것보다 더 큰 인터-AS 협업이 필요하다.
• 오픈 리졸버 스캐닝 프로젝트와 오픈 NTP 프로젝트와 같은 이니셔티브는 취약한 서비스를 식별하는 데 기여하지만, 완화 조치의 광범위한 구현은 아직 이루어지지 않았다.