[논문 리뷰] Towards Defeating the Crossfire Attack using SDN

Dimitrios Gkounis, Vasileios Kotronis외 1명|arXiv (Cornell University)|2014. 12. 05.

Software-Defined Networks and 5G인용 수 10

한 줄 요약

이 논문은 재정렬 후에도 혼잡한 링크에 지속적으로 재등장하는 악성 봇을 식별하기 위해 온라인 트래픽 엔지니어링을 활용하는 새로운 SDN 기반 접근법을 제안한다. 이는 재정렬된 링크에 반복적으로 재접속하는 소스를 모니터링하여 공격자의 비용을 증가시키고, 에뮬레이션 환경에서 밀리초 이내의 반응 시간으로 의심스러운 흐름의 레이트 제한을 가능하게 한다.

ABSTRACT

In this work, we propose online traffic engineering as a novel approach to detect and mitigate an emerging class of stealthy Denial of Service (DoS) link-flooding attacks. Our approach exploits the Software Defined Networking (SDN) paradigm, which renders the management of network traffic more flexible through centralised flow-level control and monitoring. We implement a full prototype of our solution on an emulated SDN environment using OpenFlow to interface with the network devices. We further discuss useful insights gained from our preliminary experiments as well as a number of open research questions which constitute work in progress.

연구 동기 및 목표

• 정상 소스 IP를 사용하여 기존 필터링 기법으로는 탐지되지 않는 도솔리스터스 흐름 공격과 같은 스텔스성 있는 저대역폭 링크 플러드 DoS 공격을 탐지하는 데 도전하는 것.
• SDN의 중앙집중식 제어 및 플로우 수준 모니터링을 활용하여 실시간으로 악성 봇을 탐지할 수 있는 능동적 방어 메커니즘을 개발하는 것.
• 동적 재정렬 및 소스 추적을 통해 공격자의 운영 비용을 증가시켜 Crossfire 공격의 효과를 감소시키는 것.
• 실제 공격 및 방어 역학을 반영한 에뮬레이션된 SDN 환경에서 이 접근법의 타당성과 성능을 평가하는 것.
• 적대적 네트워크 조건에서 탐지 정확도, 재정렬 오버헤드, 시스템 안정성 간의 트레이드오프를 탐색하는 것.

제안 방법

• 수비자는 POX 기반 OpenFlow 컨트롤러를 사용하여 네트워크 트래픽을 중앙집중식으로 실시간 모니터링하고 DoS로 인한 혼잡한 링크를 탐지한다.
• 수비자는 온라인 트래픽 엔지니어링을 통해 동적으로 트래픽을 재정렬하며, 위장 서버나 대체 경로와 같은 목적지를 선택하여 소스 행동을 관찰한다.
• 재정렬 후에도 DoS로 혼잡한 링크에 다시 나타나는 소스는 반복적인 재출현을 바탕으로 의심스럽다고 표시된다.
• 시스템은 각 소스에 대해 의심스러움 점수를 유지하며, 임계값을 초과하면 레이트 제한이 활성화된다.
• 재정렬 전략으로는 무작위 목적지 선택 또는 동일한 대역폭 사용 패턴을 가진 서버를 대상으로 선택하는 방식이 있다.
• 이 접근법은 SDN의 플로우 수준 가시성과 반응형 제어를 활용하여 재정렬에 적응해 위장 서버를 전환하는 봇을 탐지한다.

실험 결과

연구 질문

• RQ1 Crossfire 봇을 식별하는 데 있어 탐지 정확도, 네트워크 토폴로지, 트래픽 특성, 재정렬 전략 간의 트레이드오프는 무엇인가?
• RQ2 재정렬 비용과 잠재적 네트워크 불안정성은 DoS 공격 억제의 이점에 비해 어떻게 비교되는가?
• RQ3 공격자와 수비자의 제어 루프의 시간적 동역학은 측정 간격과 반응 시간에 어떻게 의존하는가?
• RQ4 업스트ream 제공자가 이 알고리즘을 서비스로 제공하는 상황에서, 이 억제 방법론을 도메인 간 환경으로 확장할 수 있는가?
• RQ5 스케일링을 위해 블룸 필터나 프리픽스 집합과 같은 기술을 사용하여 소스 정보를 효율적으로 추적하고 저장할 수 있는가?

주요 결과

• SDN 기반 솔루션은 반응 시간이 약 수초 수준으로, 공격자의 반응 시간과 유사하다.
• 재정렬 후 공격자가 링크를 재확인하고 재구성해야 하므로 공격은 총 시간의 약 50% 동안 효과가 유지된다.
• 다수의 DoS 혼잡 링크를 동시에 일괄적으로 재정렬하는 것이 라우팅 진동을 방지하기 위해 필수적이며, 이는 수비자의 동작 루프에서 조정 가능한 지연이 필요함을 의미한다.
• 모니터링이 주로 시간 소모가 많은 컴ponent이며, OpenFlow 제어 기능은 밀리초 이내로 작동한다.
• 재정렬 후 DoS 대상 링크에 재등장하는 악성 봇을 성공적으로 식별하여 정상적인 플래시 커다운 트래픽과 구분한다.
• 실제 네트워크 토폴로지와 공격 행동을 반영한 Mininet 에뮬레이션 환경에서 이 방법론의 타당성이 입증되었다.