[논문 리뷰] Carrier-Grade Anomaly Detection Using Time-to-Live Header Information

Quirin Scheitle, Oliver Gasser외 2명|arXiv (Cornell University)|2016. 06. 24.

Network Security and Intrusion Detection참고 문헌 16인용 수 6

한 줄 요약

이 논문은 IP 패킷의 Time-to-Live (TTL) 헤더 값을 사용하여 IP 스푸핑을 탐지하고 패킷 원천을 검증하는 캐리어 수준의 이상 탐지 시스템을 제시한다. 수동로 2주간 40 Gbit/s의 트래픽을 캡처하고 주동 측정을 수행한 결과, IPv4의 69%와 IPv6의 81%의 호스트가 안정적인 TTL 값을 나타내어, 활성 탐측과 결합할 경우 낮은 오류 비율로 신뢰할 수 있는 원천 검증과 스푸핑 탐지가 가능하다.

ABSTRACT

Time-to-Live data in the IP header offers two interesting characteristics: First, different IP stacks pick different start TTL values. Second, each traversed router should decrement the TTL value. The combination of both offers host and route fingerprinting options. We present the first work to investigate Internet-wide TTL behavior at carrier scale and evaluate its fit to detect anomalies, predominantly spoofed source IP addresses. Using purpose-built software, we capture 2 weeks of raw TTL data at a 40 Gbit/s Internet uplink. For further insight, we actively measure observed hosts and conduct large-scale hitlist-based measurements, which yields three complementary data sets for IPv4 and IPv6. A majority (69% IPv4; 81% IPv6) of passively observed multi-packet hosts exhibit one stable TTL value. Active measurements on unstable hosts yield a stable anchor TTL value for more than 85% of responsive hosts. We develop a structure to further classify unstable hosts taking, for example, temporal stability into account. Correlation of TTL values with BGP data is clear, yet unpredictive. The results indicate that carrier-grade TTL anomaly detection can yield significant insights in the following categories: First, the method can flag anomalies based on TTL observations (yet likely at a difficult false positive/false negative trade-off). Second, the method can establish trust that a packet originates from its acclaimed source.

연구 동기 및 목표

• 스푸핑된 IP 주소를 식별하기 위한 TTL 헤더 값 기반 캐리어 수준의 이상 탐지 시스템 개발
• 수동 및 주동 측정을 통해 IPv4와 IPv6 전반에 걸쳐 인터넷 전역의 TTL 행동을 대규모로 분석하기
• 호스트의 앵커 TTL 값 결정을 통해 패킷 원천을 신뢰할 수 있게 검증하는 방법 수립
• TTL과 Hop Count를 활용한 대규모 네트워크 보안 필터링의 가능성 평가
• 재현 가능성과 향후 연구를 위해 오픈 데이터 및 소스 코드 제공

제안 방법

• 14일간 40 Gbit/s 인터넷 업링크에서 원시 TTL 데이터를 수동으로 캡처하여 실제 환경의 TTL 행동 관찰
• 반응하는 호스트의 안정적인 앵커 TTL 값 결정을 위해 수동 관찰 직후 몇 분 내로 주동 핑백 측정 수행
• 인터넷 전역에서 TTL 및 Hop Count 안정성 평가를 위한 대규모 히트리스트 기반 주동 스캔 수행
• 시간적 안정성과 TTL 진폭 안정성 기반으로 불안정한 호스트를 다룰 수 있는 하위군으로 분류
• 수동 TTL 데이터와 BGP 라우팅 데이터의 상관관계 분석을 통해 경로 길이 일관성 평가
• 이상 탐지에서 오진/탈락률을 줄이기 위해 동적 서브넷 집합 및 분할 전략 평가

실험 결과

연구 질문

• RQ1 수용 가능한 오진 및 탈락률을 확보하면서 TTL 값으로 캐리어 수준에서 IP 스푸핑을 탐지할 수 있는가?
• RQ2 실제 트래픽에서 IPv4 및 IPv6 호스트의 TTL 값 안정성은 어떠한가?
• RQ3 다양한 네트워크 토폴로지와 서브넷에서 TTL 및 Hop Count 특성의 차이는 무엇인가?
• RQ4 주동 측정을 통해 다중-TTL 호스트의 앵커 TTL 값은 신뢰성 있게 결정할 수 있는가?
• RQ5 BGP 경로 길이는 IP 서브넷의 기대 Hop Count를 얼마나 정확하게 예측할 수 있는가?

주요 결과

• 수동 관찰에서 IPv4 및 IPv6 다중패킷 호스트의 69%와 81%가 안정적인 단일 TTL 값을 나타낸다.
• 주동 핑백 측정을 통해 식별된 반응하는 호스트의 85% 이상이 안정적인 앵커 TTL 값을 보인다.
• 시간적 안정성과 TTL 진폭 기반으로 불안정한 호스트를 다룰 수 있는 하위군으로 분류 가능하여 타겟팅된 필터링이 가능하다.
• BGP AS 경로 길이와 관측된 Hop Count 사이에 명확하지만 예측 불가능한 상관관계 존재로 인해 예측 용도로 제한된다.
• 히트리스트 스캔 결과 주동 측정이 다양한 초기 TTL 값이 있더라도 안정적인 TTL 및 Hop Count 특성을 제공함을 확인했다.
• 유연한 범위를 사용한 동적 서브넷 집합은 오진 위험을 증가시키며, /24 서브넷의 60%에서 중앙값 ±1 범위를 사용한 필터링 시 무작위 일치 확률이 18.6%에 이른다.