[논문 리뷰] Notes On The Design Of An Internet Adversary

David S. H. Rosenthal, Petros Maniatis외 3명|ArXiv.org|2004. 11. 22.

Network Security and Intrusion Detection참고 문헌 27인용 수 3

한 줄 요약

이 논문은 특히 LOCKSS와 같은 피어 투 피어 디지털 보존 시스템을 위한 내구성 있는 인터넷 시스템 설계를 위해 보수적이고 위협 모델 기반의 적 모델을 제안한다. 이 모델은 무한한 계산 능력, 위조 가능한 신원, 그리고 조율된 손상 능력을 갖춘 적을 가정하며, 극단적인 공격 시나리오를 테스트하는 것이 비현실적이므로, 완벽한 내구성보다는 유연한 장애 복구와 인간 간섭을 우선시해야 한다고 결론 내린다.

ABSTRACT

The design of the defenses Internet systems can deploy against attack, especially adaptive and resilient defenses, must start from a realistic model of the threat. This requires an assessment of the capabilities of the adversary. The design typically evolves through a process of simulating both the system and the adversary. This requires the design and implementation of a simulated adversary based on the capability assessment. Consensus on the capabilities of a suitable adversary is not evident. Part of the recent redesign of the protocol used by peers in the LOCKSS digital preservation system included a conservative assessment of the adversary's capabilities. We present our assessment and the implications we drew from it as a step towards a reusable adversary specification.

연구 동기 및 목표

• 내구성 있는 인터넷 시스템 설계를 위한 현실적이고 재사용 가능한 적 모델을 개발하기 위해, 특히 피어 투 피어 디지털 보존 시스템을 대상으로 한다.
• 시스템 방어 설계에서 적 능력에 대한 공감대 부족 문제를 해결하기 위해.
• 실제 웜 행동을 바탕으로 현실적인 위협 능력을 평가하여 LOCKSS 프로토콜의 재설계를 이끌기 위해.
• 극도의 공격 조건 하에서 완벽한 장애 내성보다 생존성과 인간 간섭을 우선시하는 설계 원칙을 수립하기 위해.

제안 방법

• 관측된 웜 행동(예: Code Red, Slapper)을 경험적 근거로 사용하여 능력 기반의 위협 평가를 수행한다.
• 적을 무한한 계산 능력을 지닌 것으로 모델링하여 취약한 시스템을 대규모로 지속적으로 공격할 수 있도록 한다.
• 입구 필터링이 존재하더라도 IP 스푸핑과 손상된 호스트를 통해 무제한의 신원을 가질 수 있다고 가정한다.
• 일반적인 취약점을 악용하고 조율된 지속적 공격를 통해 비밀을 노출시킬 수 있는 능력을 고려한다.
• 속도 제한, '신규 참가자에게 비용 부담' 메커니즘, 이중 모드 행동과 같은 설계 전략을 제안하여 장애를 탐지하고 지연시킨다.
• 유사 분야의 게임 이론 및 형식적 검증 접근법을 적 모델링의 기준점으로 사용한다.

실험 결과

연구 질문

• RQ1 효과적인 시스템 방어를 설계하기 위해 현실적인 인터넷 적이 가져야 할 능력은 무엇인가?
• RQ2 실제 웜 발생 사례는 적의 계산 능력과 네트워크 능력의 상한선을 어떻게 반영하는가?
• RQ3 자원이 풍부한 적이 기존의 방어 기법(예: 속도 제한, 퍼즐)을 얼마나 쉽게 우회할 수 있는가?
• RQ4 근본적으로 무한한 자원과 조율 능력을 지닌 적의 공격에서 생존하기 위해 필요한 설계 원칙은 무엇인가?
• RQ5 이러한 공격에 대한 철저한 테스트가 불가능한 상황에서 시스템의 내구성은 어떻게 달성할 수 있는가?

주요 결과

• 무한한 계산 능력을 지닌 적은 광범위하게 배포된 취약점을 악용하여 최대 10,000년 분량의 처리 시간을 확보할 수 있으며, 이는 1999년 RSA DES 챌린지 III에 사용된 노력보다 35배 많다.
• 취약점 공개 후에도 상당수의 시스템(예: 1/3)이 수개월 동안 손상된 상태로 남아 있어 장기적인 공격 표면이 존재함을 시사한다.
• 입구 필터링이 존재하더라도 로컬 서브넷에서 저비용 스푸핑이 가능하므로, IP 스푸핑과 손상된 호스트를 통해 무제한의 신원을 가질 수 있다.
• 경고 없이 전체적인 공격을 수행할 수 있어 사전 탐지가 매우 어렵다.
• 이러한 공격에 대한 시스템의 내구성 테스트는 경제적으로 비현실적이므로, 완벽한 내구성보다는 '유연한 장애'가 더 현실적인 설계 목표가 된다.
• 속도 제한, '신규 참가자에게 비용 부담' 메커니즘, 이중 모드 행동과 같은 기법은 장애 지연과 인간 간섭을 가능하게 하므로 필수적이다.