[논문 리뷰] Mirage: Towards Deployable DDoS Defense for Web Applications

Prateek Mittal, Dongho Kim외 2명|arXiv (Cornell University)|2011. 10. 05.

Network Security and Intrusion Detection참고 문헌 28인용 수 20

한 줄 요약

Mirage는 기존 라우터 기능을 활용하여 프로토콜 변경이나 클라이언트 소프트웨어 설치 없이도 웹 서버가 주기적으로 가짜 랜덤 시퀀스에 따라 IP 주소를 변경함으로써 배포 가능한 DDoS 방어를 제안한다. 이는 서버의 로컬 네트워크와 업스트림 ISP에만 최소한의 배포로 효과적인 방어를 달성하면서도 IPv4 및 IPv6와의 공정성과 호환성을 턨널링을 통해 유지한다.

ABSTRACT

Distributed Denial of Service (DDoS) attacks form a serious threat to the security of Internet services. However, despite over a decade of research, and the existence of several proposals to address this problem, there has been little progress to date on actual adoption. We present Mirage, a protocol that achieves comparable performance to other DDoS mitigation schemes while providing benefits when deployed only in the server's local network and its upstream ISP, where local business objectives may incentivize deployment. Mirage does not require source end hosts to install any software to access Mirage protected websites. Unlike previous proposals, Mirage only requires functionality from routers that is already deployed in today's routers, though this functionality may need to be scaled depending on the point of deployment. Our approach is that end hosts can thwart the attackers by employing the principle of a moving target: end hosts in our architecture periodically change IP addresses to keep the attackers guessing. Knowledge of an active IP address of the destination end host can act as an implicit authorization to send data. We evaluate Mirage using theoretical analysis, simulations and a prototype implementation on PlanetLab. We find that our design provides a first step towards a deployable, yet effective DDoS defense.

연구 동기 및 목표

• 10여 년이 넘는 연구에도 불구하고 실제 네트워크에서 효과적인 DDoS 완화를 구현하는 데 오랫동안 지속된 과제를 해결하기 위해.
• 다양한 자율 시스템(AS) 간의 협력적 배포가 필요로 하는 DDoS 방어의 '닭과 계란' 문제를 극복하기 위해.
• 서버의 로컬 네트워크와 업스트림 ISP만 Mirage를 배포해도 의미 있는 보호 기능을 제공할 수 있도록 시스템을 설계함으로써, 다수 조직 간 협업 의존도를 줄이기 위해.
• 새로운 패킷 헤더나 라우터에서의 암호화 연산 없이도 기존 인fra구조와의 후행 호환성을 확보하기 위해.
• 소프트웨어 설치 없이도 최종 사용자가 보호된 서비스에 접근할 수 있도록 하여 실용성과 보급성을 향상시키기 위해.

제안 방법

• Mirage는 IP 주소 이동을 사용한다: 서버는 인증된 클라이언트만 알고 있는 의사난수 시퀀스에 따라 주기적으로 자신의 IPv6 인터페이스 주소를 변경한다.
• 클라이언트 접근을 활성 IP 주소에 바인딩하기 위해 계산 퍼즐을 활용하여, 정확한 퍼즐 해결 결과를 가진 클라이언트만 트래픽을 보낼 수 있도록 한다.
• 새로운 헤더, 하드웨어 또는 소프트웨어 변경 없이도 기존의 라우터 기능(예: 필터링, 공정 큐잉)을 활용한다.
• IPv6의 넓은 주소 공간(64비트 인터페이스 식별자)을 활용하여 스캐닝 및 브루트포스 공격의 계산 비용을 기하급수적으로 높여 공격을 비현실적으로 만든다.
• IPv4 호환성을 위해 터널링(예: Teredo)을 사용하여 IPv4 전용 클라이언트가 번역을 통해 IPv6 보호 서비스에 접근할 수 있도록 한다.
• 현재 활성화된 IP 주소(인증된 클라이언트만 아는 주소)로 전송된 패킷만 수락함으로써 암묵적으로 트래픽을 인증한다.

실험 결과

연구 질문

• RQ1 다양한 자율 시스템 간의 협업이 필요 없이 서버의 로컬 네트워크와 업스트림 ISP에만 배포된 DDoS 방어가 효과적일 수 있는가?
• RQ2 기존 네트워크 인fra구조와의 통합을 통해 새로운 패킷 헤더나 라우터 수정 없이 IP 주소 이동을 어떻게 통합할 수 있는가?
• RQ3 실제 봇넷 환경에서 네트워크 스캐닝 및 브루트포스 DoS 공격에 대해 IP 주소 이동의 보안 강도는 어느 정도인가?
• RQ4 라우터에서 암호화 연산 없이도 계산 퍼즐을 사용해 클라이언트 접근을 활성 IP 주소에 바인딩할 수 있는가? 이로 인해 상당한 오버헤드가 발생하는가?
• RQ5 다양한 계산 능력을 지닌 정상 클라이언트와 공격자 간의 대역폭 할당에서 Mirage는 어떻게 공정성을 확보하는가?

주요 결과

• 5분 간격의 IP 주소 이동과 64비트 인터페이스 식별자 공간을 통해 네트워크 스캐닝 공격은 비현실적이 된다: 20,000대의 봇넷을 가진 공격자는 주소 공간의 2^-28만 스캔할 수 있으며, 100만 대의 봇넷은 2^-23만 스캔할 수 있다.
• 브루트포스 DoS 공격의 성공 확률은 극도로 낮다: 각각 20,000대와 100만 대의 봇넷일 경우 성공 확률은 1.3×10^-15와 5.4×10^-14에 불과하여 활성 IP 주소를 맞힐 가능성이 극히 낮다.
• 계산 퍼즐 메커니즘은 정보 이론적으로 안전하다: 공격자는 정상 클라이언트보다 퍼즐을 더 빨리 풀 수 없으며, 퍼즐을 풀기 위해서는 AES와 같은 의사난수 순열을 깨는 것이 필요하기 때문이다.
• Mirage는 계산 능력 기반의 공정성 보장을 제공한다: 정상 클라이언트는 자신의 계산 능력 비례로 대역폭을 할당받으며, 공격자는 퍼즐를 더 빨리 풀 수 없어 제한된다.
• 터널링(예: Teredo)을 통해 IPv4와의 호환성을 유지하여 IPv4 전용 클라이언트가 수정 없이 Mirage 보호 서비스에 접근할 수 있다.
• PlanetLab에서의 프로토타입 평가와 대규모 시뮬레이션 결과, Mirage는 고공격 하중 조건에서도 이전의 DDoS 완화 기법과 유사한 공정한 대역폭 분배를 제공함을 확인했다.