[논문 리뷰] Denial of Service Attack: Analysis of Network Traffic Anormaly using Queuing Theory

Neetu Singh, Satya Prakash Ghrera외 1명|arXiv (Cornell University)|2010. 06. 14.

Network Security and Intrusion Detection참고 문헌 18인용 수 4

한 줄 요약

이 논문은 대기 이론을 사용하여 네트워크 트래픽 이질성을 모델링함으로써 DoS 공격을 탐지하는 새로운 접근법을 제안한다. 대기 길이 및 서비스 속도와 같은 성능 파rameter를 분석함으로써, DoS 공격을 나타내는 비정상적인 트래픽 패턴을 높은 정확도로 식별하며, 시뮬레이션 기반 성능 평가를 통해 조기 탐지의 효과성을 입증한다.

ABSTRACT

Denial-of-service (DOS) attacks increasingly gained reputation over the past few years. As the Internet becomes more ubiquitous, the threat of the denial-of-service attacks becomes more realistic and important for individuals, businesses, governmental organizations, and even countries. There is intensive need to detect an attack in progress as soon as possible. The efficiency of diagnosing the DOS attack using concepts of queuing theory and performance parameter of the system has been investigated in the present work, as the servers definitely have some mechanisms to store and process the requests. Utilizing this concept of queuing theory, the collection of data patterns were generated. With the performance parameter of the system, the analysis of the data pattern had been made to diagnose the network anomaly. Performance analysis and results show the accuracy of the proposed scheme in detecting anomalies.

연구 동기 및 목표

• 점점 더 연결성이 높아지는 네트워크에서 증가하는 DoS 공격 위협을 다루기 위해.
• 시스템 성능 메트릭을 분석하여 DoS 공격의 조기 탐지를 향상시키기 위해.
• 대기 이론을 적용하여 정상 및 공격 조건 하에서의 네트워크 트래픽 행동을 모델링하기 위해.
• 대기 모델에서 유도된 성능 파rameter를 사용하여 이상 탐지의 정확도를 평가하기 위해.
• 실시간 네트워크 환경에서 DoS 공격을 효율적이고 확장 가능한 방법으로 식별하기 위해.

제안 방법

• 도착률과 서비스 속도를 갖는 대기 시스템으로서 네트워크 트래픽을 모델링하기 위해.
• 평균 대기열 길이 및 대기 시간과 같은 성능 파rameter를 사용하여 정상 행동에서의 이탈을 탐지하기 위해.
• 정상 및 DoS 영향을 받은 트래픽을 시뮬레이션하여 분석을 위한 데이터 패턴을 생성하기 위해.
• 서버 요청 처리를 표현하기 위해 대기 이론 원리(예: M/M/1 또는 M/G/1 모델)를 적용하기 위해.
• 정상 부하 조건 하에서 예상되는 값과 비교하여 관측된 시스템 성능 메트릭을 분석하여 이상을 탐지하기 위해.
• 대기열 행동 기반으로 트래픽을 정상 또는 이상으로 분류하기 위해 통계적 임계값을 활용하기 위해.

실험 결과

연구 질문

• RQ1 대기 이론은 DoS 공격을 나타내는 비정상적인 네트워크 트래픽을 효과적으로 모델링하고 탐지할 수 있는가?
• RQ2 DoS 공격 중 평균 대기열 길이 및 서비스 속도와 같은 성능 파rameter는 어떻게 변화하는가?
• RQ3 시스템 성능 파rameter는 정상 트래픽와 DoS 유발 트래픽를 얼마나 잘 구분할 수 있는가?
• RQ4 대기 기반 성능 분석을 사용한 이상 탐지의 정확도는 어느 정도인가?
• RQ5 이 방법은 시스템 장애 발생 이전에 DoS 공격을 조기에 탐지할 수 있는가?

주요 결과

• 제안된 방법은 정상 운영 수준에서의 대기열 길이 및 서비스 속도의 심각한 이탈을 식별함으로써 DoS 공격을 성공적으로 탐지한다.
• 성능 분석 결과, 공격 조건 하에서 시스템의 대기열 행동은 측정 가능하고 일관된 이상을 보여준다.
• 정상 및 공격 단계의 트래픽 패턴을 시뮬레이션하여 검증한 결과, 이 방법은 높은 탐지 정확도를 달성한다.
• 평균 대기 시간 및 서버 활용도와 같은 핵심 성능 지표는 DoS 공격 중에 상당히 증가하여 조기 경고를 가능하게 한다.
• 이 방법은 네트워크 부하의 정상적인 피크와 DoS 트래픽를 잘 구분하는 데에 뛰어난 성능을 보여준다.
• 결과는 대기 이론이 실시간에서 네트워크 이상을 모델링하고 탐지하는 데 신뢰할 수 있는 프레임워크를 제공함을 확인한다.