[논문 리뷰] Defense against SYN-Flood Denial of Service Attacks Based on Learning Automata

Masoud Bekravi, Shahram Jamali외 1명|arXiv (Cornell University)|2012. 08. 24.

Network Security and Intrusion Detection참고 문헌 26인용 수 3

한 줄 요약

이 논문은 학습 자동기(LA)를 사용하여 SYN-flood DoS 공격에 대한 자가 관리형 방어 기법을 제안한다. 이 기법은 두 가지 핵심 TCP 파라미터인 반개방 연결 최대 수(m)와 각 반개방 연결의 유지 시간(h)을 동적으로 최적화한다. 방어 전략을 최적화 문제로 수립하고 학습 자동기를 적용함으로써, 연결 손실 확률(Ploss)을 크게 감소시키고, 공격 트래픽에 의한 버퍼 점유율(Pa)을 최소화하며, 정상 요청에 대한 버퍼 활용도(Pr)를 향상시킨다. 시뮬레이션 결과를 통해 검증된 바 있다.

ABSTRACT

SYN-flooding attack uses the weakness available in TCP's three-way handshake process to keep it from handling legitimate requests. This attack causes the victim host to populate its backlog queue with forged TCP connections. In other words it increases Ploss (probability of loss) and Pa (buffer occupancy percentage of attack requests) and decreases Pr (buffer occupancy percentage of regular requests) in the victim host and results to decreased performance of the host. This paper proposes a self-managing approach, in which the host defends against SYN-flooding attack by dynamically tuning of its own two parameters, that is, m (maximum number of half-open connections) and h (hold time for each half-open connection). In this way, it formulates the defense problem to an optimization problem and then employs the learning automata (LA) algorithm to solve it. The simulation results show that the proposed defense strategy improves performance of the under attack system in terms of Ploss, Pa and Pr.

연구 동기 및 목표

• TCP의 삼중손실 핸드셰이크를 악용해 시스템 자원을 고갈시키는 SYN-flood DoS 공격의 증가하는 위협을 해결하기 위해.
• 높은 연결 손실 확률(Ploss), 공격으로 인한 버퍼 점유율 상승(Pa), 정상 요청 처리 능력 감소(Pr)로 인한 성능 저하를 줄이기 위해.
• 공격 패tern에 대한 사전 지식 없이도 실시간으로 TCP 파라미터(m 및 h)를 자동으로 조정하는 적응형 방어 기법을 개발하기 위해.
• 정상 및 악성 연결 간 자원 할당을 최적화하여 지속적인 SYN-flood 공격 상황에서의 시스템 내성 향상하기 위해.
• 실제 공격 조건을 반영한 시뮬레이션을 통해 제안된 학습 자동기 기반 접근의 효과성을 검증하기 위해.

제안 방법

• 방어 메커니즘은 Ploss를 최소화하고 Pa를 최소화하며 Pr을 최대화하는 것을 목표로 SYN-flood 완화 문제를 최적화 과제로 수립한다.
• 학습 자동기(LA)는 반개방 연결 최대 수(m)와 각 반개방 연결의 유지 시간(h)이라는 두 시스템 파라미터를 동적으로 조정하는 데 사용된다.
• LA 알고리즘은 네트워크 환경과의 반복적 상호작용을 통해 성능 지표(Ploss, Pa, Pr)의 피드백을 이용해 최적의 파라미터 설정을 학습한다.
• 학습 과정은 강화 학습 원리에 기반하며, 자동기는 각 파라미터 조정 후 시스템 성능에 따라 보상 또는 벌을 받는다.
• 시스템은 들어오는 연결 요청을 지속적으로 모니터링하며, 연결 수락과 자원 보호를 균형 있게 유지하기 위해 실시간으로 m과 h를 조정한다.
• 이 접근은 시뮬레이션 기반이며, 제어된 환경에서 동적 파라미터 조정이 공격에 대한 내성에 미치는 영향을 평가하기 위해 사용된다.

실험 결과

연구 질문

• RQ1 어떻게 자가 관리 시스템이 공격 특성에 대한 사전 지식 없이 SYN-flood 공격에 대응하기 위해 TCP 파라미터를 동적으로 조정할 수 있는가?
• RQ2 학습 자동기는 SYN-flood 공격 중 연결 손실 확률(Ploss)을 어느 정도 감소시킬 수 있는가?
• RQ3 m과 h의 동적 조정은 공격 트래픽에 의한 버퍼 점유율(Pa)을 최소화하면서도 정상 요청에 대한 버퍼 활용도(Pr)를 향상시킬 수 있는가?
• RQ4 정적 파라미터 설정과 비교했을 때, 제안된 학습 자동기 기반 방어 기법은 공격 상황에서의 시스템 내성 측면에서 어떻게 성능을 발휘하는가?
• RQ5 다양한 공격 강도에서 m과 h를 최적화하는 데 있어 학습 자동기의 수렴 행동과 안정성은 어떠한가?

주요 결과

• 제안된 학습 자동기 기반 방어 기법은 SYN-flood 공격 조건 하에서 연결 손실 확률(Ploss)을 크게 감소시킨다.
• m과 h의 동적 조정을 통해 공격 요청에 의한 버퍼 점유율(Pa)이 효과적으로 최소화된다.
• 정상 요청에 할당된 버퍼 공간 비율(Pr)이 상당히 증가하여 시스템 가용성이 향상된다.
• 다양한 공격 시나리오에서 학습 자동기가 최적의 파라미터 설정으로 안정적으로 수렴하는 것으로 나타났다.
• 시뮬레이션 결과는 동적 최적화 접근이 고정된 파라미터 설정보다 공격 상황에서 시스템 성능을 유지하는 데 뛰어난 성능을 발휘함을 확인했다.
• 이 방법은 연결 수락과 자원 보호 사이에 균형 잡힌 트레이드오프를 달성하여 전체 시스템의 내성을 향상시킨다.