[논문 리뷰] Efficient Distinct Heavy Hitters for DNS DDoS Attack Detection

Yehuda Afek, Anat Bremler-Barr외 3명|arXiv (Cornell University)|2016. 12. 08.

Network Security and Intrusion Detection참고 문헌 12인용 수 7

한 줄 요약

이 논문은 네트워크 트래픽 스트림에서 고유 및 병합된 헤비 히터를 탐지하기 위한 새로운 실용적 고정 크기 알고리즘—고유 가중 샘플링(Distinct Weighted Sampling, dwsHH) 및 병합 가중 샘플링(Combined Weighted Sampling, cwsHH)—을 제안한다. 이는 랜덤라이즈드 DNS DDoS 공격을 효율적으로 탐지할 수 있도록 한다. 이 방법들은 최적의 O(ε⁻¹) 공간 복잡도를 달성하기 위해 샘플링 기반의 근사 고유 수세기 기반으로 작동하며, 고유 수 추정 및 탐지에서 높은 정확도를 보이며, 이는 이론적·실제 응용에서 이전의 블룸 필터 및 선형 스케치 기반 접근 방식을 능가한다.

ABSTRACT

Motivated by a recent new type of randomized Distributed Denial of Service (DDoS) attacks on the Domain Name Service (DNS), we develop novel and efficient distinct heavy hitters algorithms and build an attack identification system that uses our algorithms. Heavy hitter detection in streams is a fundamental problem with many applications, including detecting certain DDoS attacks and anomalies. A (classic) heavy hitter (HH) in a stream of elements is a key (e.g., the domain of a query) which appears in many elements (e.g., requests). When stream elements consist of a pairs, () a distinct heavy hitter (dhh) is a key that is paired with a large number of different subkeys. Our dHH algorithms are considerably more practical than previous algorithms. Specifically the new fixed-size algorithms are simple to code and with asymptotically optimal space accuracy tradeoffs. In addition we introduce a new measure, a combined heavy hitter (cHH), which is a key with a large combination of distinct and classic weights. Efficient algorithms are also presented for cHH detection. Finally, we perform extensive experimental evaluation on real DNS attack traces, demonstrating the effectiveness of both our algorithms and our DNS malicious queries identification system.

연구 동기 및 목표

• 비존재하는 서브도메인을 악용하여 DNS 서버를 과도하게 부하를 주는 랜덤라이즈드 DNS DDoS 공격을 탐지하는 데 도전 과제를 해결하기 위해.
• 최적의 공간-정확도 트레이드오프를 갖는 실용적 고정 크기 스트리밍 알고리즘을 설계하여 고유 헤비 히터(dHH) 및 병합된 헤비 히터(cHH) 탐지에 기여하기 위해.
• 샘플링 기반 고유 수세기 기반으로 기존 방법—특히 블룸 필터 및 선형 스케치 기반 수세기—을 향상시켜 더 높은 정확도와 낮은 메모리 오버헤드를 달성하기 위해.
• 고전적 헤비 히터 탐지와 고유 서브키 수 계산을 조합하여 악성 DNS 쿼리 패턴을 실시간으로 탐지할 수 있도록 하기 위해.
• 실제 공격 트레이스에서 검증된 제안된 dwsHH 및 cwsHH 알고리즘을 기반으로 RSDDoS 공격을 식별할 수 있는 구현 가능한 시스템을 구축하기 위해.

제안 방법

• 고유 가중 샘플링(dwsHH) 알고리즘을 제안한다. 이는 고정 크기의 샘플링 기반 방법으로, 각 키에 대한 고유 수 추정을 정확하게 유지하면서 O(ε⁻¹) 공간 복잡도를 확보한다.
• 병합 가중 샘플링(cwsHH) 알고리즘을 도입한다. 이는 고전적 가중치와 고유 수 가중치의 가중 조합을 사용하여 높은 빈도와 높은 고유 서브키 수를 동시에 갖는 키를 단일 구조에서 효과적으로 탐지하는 최초의 일정 메모리 솔루션이다.
• 가중 샘플링 기법을 활용하여 (키, 서브키) 쌍의 대표 샘플을 유지함으로써, 엄격한 메모리 제약 조건 하에서 빈도 및 고유 서브키 수를 추정할 수 있도록 한다.
• 확률적 프레임워크를 사용하여 총 가중치의 ε 이상인 가중치를 갖는 키가 높은 확률로 탐지되도록 보장하며, 스트리밍 환경에서 가중 샘플링의 기존 분석 결과를 활용한다.
• 실제 DNS 트래픽에 dwsHH 및 cwsHH를 적용하여, 높은 빈도의 쿼리가 한 도메인에 집중되고 많은 고유 서브도메인이 존재하는 공격 서명을 식별하는 시스템을 설계한다.
• 일상적 시기 프로파일링을 활용하여 정상적 행동와 비정상적 행동를 구분함으로써, 동적 환경에서의 거짓 양성률을 감소시켜 탐지 정확도를 향상시킨다.

실험 결과

연구 질문

• RQ1 고정 크기의 실용적 알고리즘이 최적의 공간 복잡도와 높은 고유 수 추정 정확도를 갖는 네트워크 스트림에서 고유 헤비 히터를 탐지할 수 있는가?
• RQ2 실시간으로 고빈도 및 고다양성 서브키 패턴을 모두 포괄할 수 있도록 병합된 헤비 히터 탐지를 효율적으로 모델링할 수 있는가?
• RQ3 샘플링 기반 고유 수세기가 dHH 탐지에서 이론적 한계와 실제 성능 모두에서 블룸 필터 및 선형 스케치 기반 수세기보다 뛰어나게 성능을 발휘할 수 있는가?
• RQ4 제안된 dwsHH 및 cwsHH 알고리즘이 실제 트래픽 트레이스에서 랜덤라이즈드 DNS DDoS 공격을 어느 정도로 효과적으로 탐지할 수 있는가?
• RQ5 일상적 시기 프로파일링의 통합이 악성 DNS 쿼리 패턴을 식별하는 데 있어 시스템의 탐지 정확도를 얼마나 향상시키는가?

주요 결과

• dwsHH 알고리즘은 Locher의 선형 스케치 기반 방법에 비해 고유 수 추정 정확도가 훨씬 높으며, 이는 임계값에 대한 제곱 공간 의존성으로 인해 성능이 떨어지는 문제를 악화시키지 않는다.
• cwsHH 알고리즘은 병합된 헤비 히터 탐지에 있어 최초의 일정 메모리 솔루션으로, 단일 구조에서 고빈도 및 고다양성 서브키 패턴을 효과적으로 포괄한다.
• 실제 DNS 공격 트레이스에서의 실험적 평가 결과, 제안된 알고리즘이 이전 방법보다 공격 패턴을 더 이르고 정확하게 탐지함을 확인하였으며, 특히 랜덤라이즈드 서브도메인 플러드를 식별하는 데 뛰어난 성능을 보였다.
• 샘플링 기반 접근 방식은 포화된 블룸 필터가 이중성 구분 능력을 상실하는 문제로 인해 성능이 떨어지는 블룸 필터 기반 시스템(예: Superspreaders)보다 메모리 효율성과 무거운 키와 매우 무거운 키를 구분하는 능력에서 뛰어나다.
• dwsHH 및 cwsHH를 기반으로 한 시스템은 가짜 또는 분산된 소스에서도 높은 쿼리 빈도와 많은 고유 서브도메인을 갖는 도메인을 탐지함으로써 RSDDoS 공격을 성공적으로 식별하였다.
• 일상적 시기 프로파일링의 통합은 거짓 양성률을 감소시켜, 실제 운영 환경에서의 시스템의 강건성을 입증하였다.