[논문 리뷰] Peer to Peer Networks for Defense Against Internet Worms

Srinivas Shakkottai, R. Srikant|ArXiv.org|2006. 05. 08.

Network Security and Intrusion Detection참고 문헌 21인용 수 12

한 줄 요약

이 논문은 인터넷 웜의 급속한 퍼짐을 효과적으로 억제하고 패치 배포를 가속화하기 위해 피어 투 피어(P2P) 네트워크를 사용할 것을 제안한다. 유체 모델링과 시뮬레이션을 통해 P2P 시스템이 고정된 패치 서버 아키텍처에 비해 감염 시간과 최대 감염 호스트 수를 크게 줄임을 입증한다.

ABSTRACT

Internet worms, which spread in computer networks without human mediation, pose a severe threat to computer systems today. The rate of propagation of worms has been measured to be extremely high and they can infect a large fraction of their potential hosts in a short time. We study two different methods of patch dissemination to combat the spread of worms. We first show that using a fixed number of patch servers performs woefully inadequately against Internet worms. We then show that by exploiting the exponential data dissemination capability of P2P systems, the spread of worms can be halted very effectively. We compare the two methods by using fluid models to compute two quantities of interest: the time taken to effectively combat the progress of the worm and the maximum number of infected hosts. We validate our models using Internet measurements and simulations.

연구 동기 및 목표

• 빠르게 퍼지는 인터넷 웜을 억제하는 데에 고정된 패치 서버 아키텍처의 부적합성을 해결하기 위해.
• 기존의 클라이언트-서버 모델에 비해 P2P 네트워크가 패치 배포를 지수적으로 빠르게 할 수 있는지 조사하기 위해.
• 조기 웜 탐지에 필요한 모니터링 요구사항을 정량화하고 대규모 네트워크 모니터링의 실현 가능성을 평가하기 위해.
• 고정 패치 서버와 P2P 기반 패치 배포 간의 대비를 감염 억제 시간과 최대 감염 수준 측면에서 비교하기 위해.

제안 방법

• 저자는 결정론적 미분 방정식 기반의 유체 모델을 사용하여 웜 확산 및 패치 배포 동역학을 시뮬레이션한다.
• 감염률을 분석적 유연성을 확보하기 위해 1로 정규화한 SIR 유사 전염병 프레임워크를 사용하여 웜 확산을 모델링한다.
• 고정 패치 서버의 성능은 총 호스트 수 N에 대해 감염 억제 시간이 Θ(ln N)으로 유도됨으로써 분석된다.
• P2P 패치 배포의 경우 지수적 확산 능력을 모델링하여, 빠른 피어 투 피어 전파로 인해 감염 억제 시간이 Θ(ln ln N)으로 스케일링됨을 보여준다.
• 감염 호스트에서 발생하는 스캔 트래픽을 가정하여, 조기 탐지를 위한 모니터링이 필요한 호스트 수를 유도한다. 이때 스캔 행동은 균일하다고 가정한다.
• 이론적 예측를 확인하기 위해 실제 인터넷 측정치와 시뮬레이션을 사용하여 모델을 검증한다.

실험 결과

연구 질문

• RQ1 고정된 수의 패치 서버는 빠르게 퍼지는 인터넷 웜을 억제하는 데 얼마나 효과적인가?
• RQ2 기존의 패치 서버 모델에 비해 P2P 네트워크가 웜 유포를 억제하는 데에 얼마나 빠른가?
• RQ3 지정된 시간 창 내에서 웜을 탐지하기 위해 필요한 모니터링 호스트 수는 얼마이며, 이 수치는 네트워크 크기에 따라 어떻게 변화하는가?
• RQ4 고정 서버와 P2P 패치 배포 아키텍처 간의 피크 감염 호스트 수는 어떻게 비교되는가?
• RQ5 지수적 패치 배포가 네트워크 모니터링 및 조기 탐지에 미치는 영향은 무엇인가?

주요 결과

• 고정 패치 서버는 감염 억제 시간이 Θ(ln N)이 되며, 이는 Slammer와 같은 빠르게 퍼지는 웜에 대해 너무 느리다.
• P2P 기반 패치 배포는 감염 억제 시간을 Θ(ln ln N)으로 줄여 웜 확산을 거의 지수적으로 억제할 수 있다.
• 감염 억제 시간을 ln ln N로 유지하기 위해 모니터링이 필요한 호스트 수는 Θ(N / ln ln N)이며, 이는 현재 인터넷에서는 실현 가능하지 않다.
• 85,000대의 호스트를 가진 Slammer 유사 웜의 경우, 1.6분 내에 웜을 탐지하기 위해 약 7,500대의 호스트(~전체의 10%)를 모니터링해야 한다.
• 현재 IPv4 인터넷(2^32 주소)에서는 3단위 시간 내에 웜을 탐지하기 위해 약 2^27개 주소를 모니터링해야 하며, 이는 /8 프리픽스를 초과하므로 대규모 모니터링은 협력 없이선 실현 불가능하다.
• 결과적으로 활성적인 호스트 또는 네트워크 운영자의 협력 없이는 효과적인 웜 모니터링이 불가능하며, 이는 P2P 기반 탐지 및 보고 시스템의 우월성을 시사한다.