[논문 리뷰] Early Signals from Volumetric DDoS Attacks: An Empirical Study

Michele Nogueira, Augusto Santos외 1명|arXiv (Cornell University)|2016. 09. 30.

Network Security and Intrusion Detection참고 문헌 15인용 수 3

한 줄 요약

이 논문은 비모수적 선도 지표인 수익률, 자기상관도, 변동계수, 왜도를 사용하여 공격이 시작되기 이르기 전에 볼륨 기반 DDoS 공격의 추세를 예측하는 것을 제안한다. 실제 CAIDA 데이터셋 트레이스를 분석한 결과, 이러한 지표들이 공격 발생 22분 전까지 임계 전이 행동을 보임을 입증하여 네트워크 변화의 심각한 영향을 조기에 경고할 수 있다.

ABSTRACT

Distributed Denial of Service (DDoS) is a common type of Cybercrime. It can strongly damage a company reputation and increase its costs. Attackers improve continuously their strategies. They doubled the amount of unleashed communication requests in volume, size, and frequency in the last few years. This occurs against different hosts, causing resource exhaustion. Previous studies focused on detecting or mitigating ongoing DDoS attacks. Yet, addressing DDoS attacks when they are already in place may be too late. In this article, we consider network resilience by early prediction of attack trends. We show empirically the advantage of using non-parametric leading indicators for early prediction of volumetric DDoS attacks. We report promising results over a real dataset from CAIDA. Our results raise new questions and opportunities for further research in early predicting trends of DDoS attacks.

연구 동기 및 목표

• 공격이 시작된 후에야 반응하는 기존 DDoS 탐지 및 완화 시스템의 한계를 해결하기 위해.
• 비모수적 선도 지표가 볼륨 기반 DDoS 공격의 발생 이전에 이를 예측할 수 있는지 탐색하기 위해.
• 파국적인 DDoS 사건 이전에 네트워크 트래픽에서 메타안정성 관련 행동이 존재하는지를 경험적으로 검증하기 위해.
• 공격 추세의 일반적이고 조기 경고 기반의 서명을 식별하여 능동적 방어 메커니즘의 기초를 마련하기 위해.

제안 방법

• CAIDA UCSD DDoS 2007 데이터셋의 tcpdump 트레이스에서 패킷 크기의 시계열을 추출하여 공격 및 준비 단계에 집중한다.
• 슬라이딩 윈도우를 사용해 시계열 데이터의 네 가지 비모수적 선도 지표인 수익률, 1차 자기상관도, 변동계수, 왜도를 계산한다.
• 네트워크 상태의 임계 전이와 관련된 특성적인 행동을 탐지하기 위해 이러한 지표의 시간적 변화를 분석한다.
• 공격 발생 전에 메타안정성과 일치하는 패턴—수익률 감소 및 자기상관도, 분산, 왜도 증가—를 식별한다.
• 준비, 공격, 공격 후 단계 동안 지표 행동을 비교하기 위해 경험적 분석을 수행한다.
• 실제 공격 시작 시간과 비교하여 이러한 행동 변화의 시기를 평가함으로써 조기 예측 가능성을 평가한다.

실험 결과

연구 질문

• RQ1 네트워크 트래픽 시계열에서 유도된 선도 지표가 예측 가능한 볼륨 기반 DDoS 공격의 조짐을 탐지할 수 있는가?
• RQ2 메타안정성의 특성적인 행동—예를 들어 수익률 감소 및 자기상관도 증가—가 공격이 시작되기 이전에 나타나는가?
• RQ3 이러한 지표는 DDoS 공격으로 인한 파국적인 네트워크 전이의 시작을 얼마나 일찍 신호로 보낼 수 있는가?
• RQ4 이 지표들은 공격이 완전히 시작되기 이전의 준비 단계에서 효과적으로 작용하는가?
• RQ5 이러한 일반적인 지표들이 능동적 DDoS 조기 경고 시스템의 기초로 기능할 수 있는가?

주요 결과

• 수익률, 자기상관도, 변동계수, 왜도로 구성된 선도 지표들이 DDoS 공격이 시작되기 22분 전에 임계 전이의 특성 행동을 보였다.
• 공격 준비 단계인 20:51과 20:52에 수익률의 급격한 감소와 자기상관도, 변동계수, 왜도의 증가가 관찰되었다.
• 이러한 행동 변화는 정확히 공격 시작 시간에 나타나지 않았으며, 이는 경고 신호가 준비 단계 동안 나타남을 시사한다.
• 연구 결과는 메타안정성 관련 패턴이 파국적인 DDoS 사건 발생 이전에 네트워크 트래픽에서 탐지될 수 있음을 확인한다.
• 지표들은 준비 단계에서 일관되고 탐지 가능한 변화를 보였으며, 이는 조기 예측 가능성을 시사한다.
• 결과적으로 비모수적이고 일반적인 지표들이 볼륨 기반 DDoS 공격에 대한 신뢰할 수 있는 조기 경고 신호로 기능할 수 있음을 시사한다.