[논문 리뷰] Expect More from the Networking: DDoS Mitigation by FITT in Named Data Networking

Zhiyi Zhang, Vishrant Vasavada외 4명|arXiv (Cornell University)|2019. 02. 24.

Caching and Content Delivery참고 문헌 42인용 수 15

한 줄 요약

이 논문은 Named Data Networking(NDN)에서의 DDoS 공격을 완화하기 위한 FITT(Fine-grained Interest Traffic Throttling)를 제안한다. FITT는 NDN의 상태 기반 포워딩과 의미적 이름을 활용하여 네트워크 수준에서 악성 트래픽를 탐지하고 억제한다. 피해자 피드백을 통해 악성 흐름을 식별하고 공격 경로를 거꾸로 따라가 억제함으로써, 피해자에서 게이트웨이로의 왕복 시간만의 단일 방향 지연으로 99% 이상의 정상 패킷 전달률을 달성한다.

ABSTRACT

Distributed Denial of Service (DDoS) attacks have plagued the Internet for decades, but the basic defense approaches have not fundamentally changed. Rather, the size and rate of growth in attacks have actually outpaced carriers' and DDoS mitigation services' growth, calling for new solutions that can be, partially or fully, deployed imminently and exhibit effectiveness. In this paper, we examine the basic functions in Named Data Networking (NDN), a newly proposed Internet architecture, that can address the principle weaknesses in today's IP networks. We demonstrate by a new DDoS mitigation solution over NDN, Fine-grained Interest Traffic Throttling FITT, that NDN's architectural changes, even when incrementally deployed, can make DDoS attacks fundamentally more difficult to launch and less effective. FITT leverages the NDN design to enable the network to detect DDoS from victim's feedback, throttles DDoS traffic by reverse its exact paths through the network, and enforces control over the misbehaving entities at their sources. Our extensive simulation results show that FITT can throttle attack traffic with one-way time delay from the victim to the NDN gateway; upon activation, FITT effectively stop attack traffic from impacting benign flows, resulting in over 99\% of packets reaching victims being legitimate ones. We further demonstrate that service providers may implement NDN/FITT on existing CDN nodes as an incrementally deployable solution to effectuate the application level remediation at the sources, which remains unattainable in today's DDoS mitigation approaches.

연구 동기 및 목표

• IP 네트워크에서 지속적인 DDoS 공격 문제를 다루며, 아키텍처적 한계로 인해 여전히 근본적으로 해결되지 않은 문제를 해결한다.
• IP의 푸시 모델 통신, 원본 검증 부재, 의미 없는 주소 체계가 확장 가능하고 감지하기 어려운 공격을 가능하게 한다고 지적한다.
• Named Data Networking(NDN)가 의미적 이름과 상태 기반 포워딩과 같은 아키텍처적 원천을 제공함으로써 DDoS에 대한 내재적 강건성을 근본적으로 향상시킬 수 있다고 제안한다.
• 기존의 DPI 및 플로우 기반 필터링의 한계를 극복하기 위해 원천에서 네트워크 수준에서 강제 적용 가능한 새로운, 점진적으로 구현 가능한 DDoS 완화 메커니즘인 FITT를 설계하고 평가한다.
• NDN/FITT가 기존 CDN 인fra구조에 구현될 수 있음을 입증함으로써, 이전에는 IP 기반 시스템에서 달성할 수 없었던 응용 계층 수준의 원천 복구 조치를 가능하게 한다.

제안 방법

• FITT는 피해자 피드백을 사용하여 이름 프리픽스 수준에서 DDoS를 보고함으로써 악성 Interest 트래픽 흐름을 정밀하게 식별한다.
• 네트워크는 NDN의 상태 기반 포워딩 테이블(PIT)을 활용하여 악성 트래픽의 경로를 추적하고 공격원천으로 되돌아가도록 한다.
• FITT는 공격 경로의 역방향 경로에 속도 제한을 적용하여 억제를 시행함으로써, 악성 행동을 보이는 클라이언트를 원천에서 효과적으로 격리시킨다.
• 해당 솔루션은 히ュ리스틱이나 임계값이 아닌 피드백 기반으로 정상 및 악성 Interests를 구분하는 응용 계층 의미론 수준에서 작동한다.
• FITT는 기존 콘텐츠 배달 네트워크(CDN) 노드와 통합함으로써 점진적 구현이 가능하며, 클라이언트 및 제공자 엣지에서의 NDN 게이트웨이만 필요로 한다.
• NDN의 네이티브 이름 기반 라우팅과 상태 기반 포워딩을 활용함으로써 깊은 패킷 검사를 피하고, 효율적이고 확장 가능한 강제 적용이 가능하다.

실험 결과

연구 질문

• RQ1 NDN의 아키텍처적 특성인 의미적 이름과 상태 기반 포워딩이 기존 IP 기반 접근 방식보다 근본적으로 더 효과적인 DDoS 완화 메커니즘을 가능하게 할 수 있는가?
• RQ2 전역 상태나 깊은 패킷 검사를 요구하지 않고도 공격 트래픽의 원천에서 억제를 강제 적용할 수 있는 DDoS 완화 시스템을 설계할 수 있는가?
• RQ3 대규모의 혼합 유형 DDoS 공격 하에서 FITT는 공격 영향을 얼마나 줄일 수 있으며, 특히 정상 트래픽의 높은 전달률을 유지할 수 있는가?
• RQ4 CDN과 같은 기존 인프라에 전체 네트워크에 걸쳐 NDN을 완전히 구현하지 않고도 FITT를 점진적으로 구현할 수 있는가?
• RQ5 피해자 피드백을 효과적으로 활용하여 상태 기반 경로 역행 아키텍처에서 악성 흐름을 정밀하게 세분화된 방식으로 억제할 수 있는가?

주요 결과

• FITT는 공격 경로의 정확한 역방향 경로를 따라 악성 흐름을 억제함으로써 악성 원천을 네트워크 엣지에서 효과적으로 격리시킨다.
• 피해자에서 NDN 게이트웨이까지의 단일 방향 지연만으로 FITT는 밀리초 내로 활성화되어 공격 트래픽이 정상 흐름에 영향을 주지 못하도록 한다.
• 시뮬레이션 결과, 피해자에 도달하는 패킷의 99% 이상이 정상임을 입증하여 악성 트래픽에 대한 거의 완벽한 필터링을 보여준다.
• 임계값 설정이나 복잡한 DPI가 필요 없어지며, 직접적인 피해자 피드백과 경로 기반 억제에 의존함으로써 이를 대체한다.
• 이 솔루션은 기존 IP 기반 DDoS 완화 시스템의 아키텍처적 한계로 인해 이전에는 달성할 수 없었던 응용 계층 수준의 원천 복구 조치를 가능하게 한다.
• FITT는 기존 CDN 인프라에 점진적으로 구현 가능하여 더 강건한 네트워킹으로의 이행을 위한 실용적인 경로를 제공한다.