[논문 리뷰] DDoS Attack and Defense: Review of Some Traditional and Current Techniques

Muhammad Aamir, Mustafa Zaidi|arXiv (Cornell University)|2014. 01. 24.

Network Security and Intrusion Detection참고 문헌 55인용 수 6

한 줄 요약

이 논문은 정상적인 트래픽를 모방하는 애플리케이션 계층 DDoS 공격에 초점을 맞추어 기존 및 현대적 기법을 검토한다. 엔트로피 기반 탐지, 이심성 분석, 신경망, 봇넷 플럭스 식별, 장치 수준 필터링과 같은 방어 기법을 평가하며, 공격이 정상적인 행동을 띠고 있어 탐지가 어려운 점으로 인해 애플리케이션 계층 공격을 식별하는 데 점점 더 큰 과제가 되고 있음을 강조한다.

ABSTRACT

Distributed Denial of Service (DDoS) attacks exhaust victim's bandwidth or services. Traditional architecture of Internet is vulnerable to DDoS attacks and an ongoing cycle of attack & defense is observed. In this paper, different types and techniques of DDoS attacks and their countermeasures are reviewed. The significance of this paper is the coverage of many aspects of countering DDoS attacks including new research on the topic. We survey different papers describing methods of defense against DDoS attacks based on entropy variations, traffic anomaly parameters, neural networks, device level defense, botnet flux identifications and application layer DDoS defense. We also discuss some traditional methods of defense such as traceback and packet filtering techniques so that readers can identify major differences between traditional and current techniques of defense against DDoS attacks. Before the discussion on countermeasures, we mention different attack types under DDoS with traditional and advanced schemes while some information on DDoS trends in the year 2012 Quarter-1 is also provided. We identify that application layer DDoS attacks possess the ability to produce greater impact on the victim as they are driven by legitimate-like traffic making it quite difficult to identify and distinguish from legitimate requests. The need of improved defense against such attacks is therefore more demanding in research. The study conducted in this paper can be helpful for readers and researchers to recognize better techniques of defense in current times against DDoS attacks and contribute with more research on the topic in the light of future challenges identified in this paper.

연구 동기 및 목표

• 애플리케이션 계층 DDoS 공격의 증가하는 위협, 특히 정상 사용자 행동을 모방하는 공격의 진화하는 환경을 분석하는 것.
• 패킷 필터링 및 트레이스백과 같은 전통적 방어 기법과 트래픽 행동 및 기계학습 기반 현대적 접근 방식을 비교하는 것.
• 현재 방어 전략의 격차를 특정하고, 정교한 DDoS 위협에 대응하기 위해 고도화되고 적응 가능한 솔루션이 필요하다는 점을 강조하는 것.
• 연구자들이 기존 대응 조치와 DDoS 방어 분야의 새로운 연구 방향에 대해 종합적인 개요를 제공하는 것.

제안 방법

• DDoS 방어에 관한 기존 문헌을 조사하여 탐지 기법별로 분류: 엔트로피 변동, 트래픽 이심성 매개변수, 신경망, 장치 수준 필터링.
• 패킷 필터링 및 트레이스백 기법과 같은 전통적 방어 기법을 검토하여 비교의 기준을 확립.
• DDoS 인프라 내에서 명령 및 제어 통신 패턴을 탐지하기 위해 봇넷 플럭스 식별 방법을 분석.
• 애플리케이션 계층 DDoS 방어 전략을 평가하며, 공격 트래픽과 정상 요청을 구분하는 데의 과제를 강조.
• 특히 저속 또는 애플리케이션 계층 공격을 탐지하는 데에 한계가 있는 현재 기법들의 한계를 종합.
• 탐지 정확도, 확장성, 실시간 처리 능력 기반으로 방어 기법을 비교 분석.

실험 결과

연구 질문

• RQ1 애플리케이션 계층에서의 DDoS 공격의 핵심적 특성과 진화는 무엇인가요?
• RQ2 엔트로피 기반 탐지 및 신경망과 같은 현대적 기법은 패킷 필터링 및 트레이스백과 같은 전통적 방법과 비교해 어떻게 다릅니까?
• RQ3 왜 애플리케이션 계층 DDoS 공격은 네트워크 계층 공격보다 더 탐지 및 대응이 어려운가요?
• RQ4 현재 DDoS 완화 전략은 정상적으로 보이는 스텔스 공격 트래픽을 다루는 데에 어떤 한계를 지니고 있나요?
• RQ5 진화하는 공격 기법에 대응하기 위해 향후 가장 유망한 새로운 연구 방향은 무엇인가요?

주요 결과

• 애플리케이션 계층 DDoS 공격은 정상 사용자 요청과 유사한 트래픽을 생성하기 때문에 특히 탐지가 어렵다.
• 패킷 필터링 및 트레이스백과 같은 전통적 방어 기법은 네트워크 수준의 이심성을 피하는 정교한 저속 공격에는 효과가 떨어진다.
• 트래픽 엔트로피 및 이심성 탐지 기법은 특히 고속도 트래픽에서 정상 행동의 이탈을 식별하는 데 유망하다.
• 신경망 기반 탐지 방법은 공격 트래픽 분류 정확도를 향상시키지만, 상당한 계산 자원과 학습 데이터가 필요하다.
• 봇넷 플럭스 식별 기법은 명령 및 제어 채널을 탐지하는 데 도움이 되지만, 패스트 플럭스 또는 피어 투 피어 봇넷에는 효과가 제한적이다.
• 논문은 현재 연구에서 중요한 격차를 특정한다: 애플리케이션 계층 DDoS 위협에 특화된 확장성 있고 실시간이며 적응 가능한 방어 기법의 부재.