KR100942456B1 - 클라우드 컴퓨팅을 이용한 ＤＤｏＳ 공격 탐지 및 차단 방법 및 서버 - Google Patents

클라우드 컴퓨팅을 이용한 ＤＤｏＳ 공격 탐지 및 차단 방법 및 서버 Download PDF

Info

Publication number
KR100942456B1
KR100942456B1 KR1020090067353A KR20090067353A KR100942456B1 KR 100942456 B1 KR100942456 B1 KR 100942456B1 KR 1020090067353 A KR1020090067353 A KR 1020090067353A KR 20090067353 A KR20090067353 A KR 20090067353A KR 100942456 B1 KR100942456 B1 KR 100942456B1
Authority
KR
South Korea
Prior art keywords
file
ddos
dna
network traffic
clients
Prior art date
Application number
KR1020090067353A
Other languages
English (en)
Inventor
김정훈
김성현
Original Assignee
주식회사 안철수연구소
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 안철수연구소 filed Critical 주식회사 안철수연구소
Priority to KR1020090067353A priority Critical patent/KR100942456B1/ko
Application granted granted Critical
Publication of KR100942456B1 publication Critical patent/KR100942456B1/ko
Priority to US13/386,516 priority patent/US9386036B2/en
Priority to PCT/KR2010/004519 priority patent/WO2011010823A2/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • G06F15/16—Combinations of two or more digital computers each having at least an arithmetic unit, a program unit and a register, e.g. for a simultaneous processing of several programs
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/22—Arrangements for preventing the taking of data from a data transmission channel without authorisation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)
  • Debugging And Monitoring (AREA)

Abstract

본 발명은 클라우드 컴퓨팅 환경에서 클라이언트에 설치된 모니터링 에이전트 프로그램을 이용하여 복수의 클라이언트로부터 실행중인 프로그램의 파일DNA와 네트워크 트래픽 정보를 수집하고, 이에 기반하여 파일DNA 통계 데이터베이스 및 트래픽 통계 데이터베이스를 구비한 서버가 DDoS 공격의 위험도를 종합적으로 분석하여 공격자인 클라이언트 단에서 DDoS 공격을 차단하는 DDoS 공격 탐지 및 차단 방법 및 서버에 관한 것이다. 본 발명은, 서버에 연결된 복수의 클라이언트를 이용하여 DDoS 공격을 탐지하고 차단하는 방법으로서, 클라이언트에 설치되어 클라이언트에서 실행 중인 파일을 모니터링하는 에이전트를 이용하여 파일에서 추출된 파일DNA와 파일이 유발하는 네트워크 트래픽에 관한 트래픽정보를 서버가 클라이언트로부터 수집하는 정보수집단계와, 파일의 파일DNA 및 트래픽정보에 기반하여 서버가 DDoS 공격의 위험도를 분석하는 분석단계와, 분석된 위험도에 따라 클라이언트에 파일의 차단 여부에 관한 명령을 전송하는 명령단계를 포함하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법을 제공한다.
클라우드 컴퓨팅, DDoS, 분산서비스거부, 파일DNA, 트래픽, 보안, 방어

Description

클라우드 컴퓨팅을 이용한 ＤＤｏＳ 공격 탐지 및 차단 방법 및 서버{Method for Detecting and Protecting DDoS Attack by Using Cloud Computing and Server thereof}
본 발명은 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법 및 서버에 관한 것이다. 구체적으로 본 발명은, 클라우드 컴퓨팅 환경에서 클라이언트에 설치된 모니터링 에이전트 프로그램을 이용하여 복수의 클라이언트로부터 실행 중인 프로그램의 파일DNA와 네트워크 트래픽 정보를 수집하고, 이에 기반하여 파일DNA 통계 데이터베이스 및 트래픽 통계 데이터베이스를 구비한 서버가 DDoS 공격의 위험도를 종합적으로 분석하여 공격자인 클라이언트 단에서 DDoS 공격을 차단하는 DDoS 공격 탐지 및 차단 방법 및 서버에 관한 것이다.
분산 서비스 거부(Distributed Denial of Service, DDoS) 공격이란, 여러 대의 컴퓨터를 일제히 동작하게 하여 특정 사이트에 과도한 부하를 유발하는 방식의 공격을 말한다. 특정 사이트를 공격하기 위해 해커가 DDoS 공격을 위한 도구가 되는 프로그램들을 여러 컴퓨터에 심어놓고 목표 사이트의 시스템이 처리할 수 없 는 엄청난 분량의 패킷을 동시에 목표 사이트로 전송함으로써, 시스템 과부하로 인한 네트워크의 성능 저하나 시스템 자체의 마비를 유발하는 것이다. 이러한 DDoS 공격을 받으면 정상적인 이용자의 사이트 접속이 불가능해지며 심한 경우 네트워크 장비나 서버의 하드웨어가 손상될 수도 있다. 최근 DDoS 공격이 금전을 목적으로 하는 범죄적 성향을 띄면서 확산됨에 따라 그 피해도 증가하고 있다.
어떤 경로로든지 DDoS 공격도구가 설치된 컴퓨터 시스템들은 자신도 모르는 사이에 DDoS 공격의 숙주로 이용된다. 이러한 DDoS 공격도구 중 널리 알려진 것으로는 트리누(Trinoo), 트리벌 플러드(TFN;Tribal Flood Network), 슈타첼드라트 (Stacheldraht) 등이 있다. DDoS 공격도구는 웜(worm), 바이러스(virus) 등의 악성코드(malware)에 내장되거나 기타 다양한 경로로 일반인들의 컴퓨터 시스템에 침입한다. DDoS 공격도구가 다양하게 분산되어 전파될수록 해커들은 더욱 강력하고 다양한 방법으로 목표 사이트를 공격할 수 있게 된다. DDoS 공격은 분산된 수많은 공격 근원지와 다양한 공격 패턴 때문에 효과적인 예측 내지 방어가 쉽지 않다.
종래의 DDoS 공격 탐지 및 차단기술은 DDoS 고유의 공격패턴을 탐지하여 차단하거나, 네트워크나 서버 단에서의 트래픽을 제한하여 서버의 유효성을 보장하는 방법을 사용하였다. 여기서 고유의 공격패턴이란 서버에 부하를 주기 위하여 DDoS마다 특정한 형태로 변조된 패킷(packet)을 과다하게 발생시키는 것을 말하며, 대표적인 것으로는SYN Flood, TCP Flag Flood, HTTP Flood, UDP Flood 등이 있다.
그러나, 점차 DDoS들이 특징이 있는 공격패턴을 사용하지 않고 일반적인 네트워크 패킷을 이용함에 따라 공격패턴을 이용한 탐지는 점점 어려워 지고 있다. 또한, DDoS 공격자들은 탐지를 더욱 어렵게 하기 위하여 봇넷(botnet)과 같은 대규모의 공격 컴퓨터 네트워크를 구축하고 있다. 더 많은 공격 컴퓨터를 마련할수록 정상적인 서버접속 시도만으로도 DDoS 공격을 할 수 있기 때문에, DDoS 공격을 탐지하고 차단하는 일은 더욱 어려워지고 있다.
상기 문제점을 해결하기 위하여 본 발명의 실시예는, 클라우드 컴퓨팅 환경에서 복수의 클라이언트로부터 정보를 수집하여 DDoS 공격을 탐지하는 것을 목적으로 한다.
또한, 실행 중인 프로그램을 모니터링하기 위한 에이전트 프로그램을 클라이언트 컴퓨터에 설치하여 복수의 클라이언트로부터의 정보 수집을 용이하게 하는 것을 목적으로 한다.
또한, 서버에서 파일DNA를 데이터베이스로 관리함으로써 클라이언트에서 실행되는 프로그램의 악성 여부를 효과적으로 판단하는 것을 목적으로 한다.
또한, 피해자 서버 단이 아닌 공격자 클라이언트 단에서 DDoS 공격을 탐지하고 방어함으로써 원천적인 DDoS 공격 탐지 및 차단을 구현하는 것을 목적으로 한다.
상기 목적을 달성하기 위하여 본 발명의 일 측면은, 서버에 연결된 복수의 클라이언트를 이용하여 DDoS 공격을 탐지하고 차단하는 방법으로서, 상기 클라이언트에 설치되어 상기 클라이언트에서 실행 중인 파일을 모니터링하는 에이전트를 이용하여 상기 파일에서 추출된 파일DNA와 상기 파일이 유발하는 네트워크 트래픽에 관한 트래픽정보를 상기 서버가 상기 클라이언트로부터 수집하는 정보수집단계와, 상기 파일의 상기 파일DNA 및 상기 트래픽정보에 기반하여 상기 서버가 상기 DDoS 공격의 위험도를 분석하는 분석단계와, 상기 분석된 위험도에 따라 상기 클라이언트에 상기 파일의 차단 여부에 관한 명령을 전송하는 명령단계를 포함하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법을 제공한다.
또한, 상기 분석단계는, 상기 복수의 클라이언트로부터 수집된 상기 파일DNA를 분석한 파일DNA통계정보가 저장된 파일DNA 통계 데이터베이스에 상기 서버가 상기 파일의 상기 파일DNA를 질의하여 상기 파일을 정상, 악성, 또는 미확인으로 분류하며, 상기 네트워크 트래픽이 기 설정된 DDoS 임계치 이상이면서 상기 파일이 악성으로 분류된 경우 상기 위험도가 높다고 분석하고, 상기 네트워크 트래픽이 상기 기 설정된 DDoS 임계치 이상이면서 상기 파일이 미확인으로 분류된 경우 상기 파일의 상기 파일DNA에 대한 통계적 분석을 통하여 상기 위험도를 분석하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법을 제공한다.
또한, 상기 통계적 분석은, 상기 복수의 클라이언트에 있어서 동일한 파일 또는 하나 이상의 미확인 파일이 생성하는 네트워크 트래픽이 상기 기 설정된 DDoS 임계치 이상이거나, 상기 복수의 클라이언트에 있어서 동일한 목적지에 대하여 발 생되는 네트워크 트래픽이 각각 상기 기 설정된 DDoS 임계치 이상이거나, 상기 복수의 클라이언트에 있어서 동일한 목적지에 대하여 상기 기 설정된 DDoS 임계치 이상의 네트워크 트래픽을 발생하는 클라이언트의 대수가 기 설정된 DDoS 대수 임계치 이상인 경우, 상기 위험도가 높다고 분석하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법을 제공한다.
또한, 상기 파일DNA 통계 데이터베이스에 상기 파일의 상기 파일DNA가 존재하지 않는 경우, 상기 파일의 상기 파일DNA를 상기 파일DNA 통계 데이터베이스에 저장하고, 상기 파일이 실행될 때 함께 실행되는 연관파일의 파일DNA를 상기 파일DNA 통계 데이터베이스에 질의하며, 상기 연관파일 중 하나 이상이 악성으로 분류되면 상기 파일을 악성으로 분류하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법을 제공한다.
또한, 상기 명령단계는, 상기 파일이 미확인으로 분류된 경우, 상기 클라이언트에 상기 파일을 지속적으로 모니터링하도록 하는 명령을 전송하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법을 제공한다.
또한, 상기 기 설정된 DDoS 임계치 또는 상기 기 설정된 목적지 단 합산 DDoS 임계치 중 어느 하나 이상은 상기 서버에 저장된 과거의 목적지별 네트워크 트래픽에 관한 통계적 분석결과에 기반하여 결정되는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법을 제공한다.
또한, 상기 파일DNA 통계정보는, 상기 복수의 클라이언트로부터 수집된 상기 파일DNA에 대응하는 파일의 파일명, 파일DNA생성일, 데이터베이스 등록횟수 중 하나 이상을 포함하는 속성정보의 통계분석결과, 상기 복수의 클라이언트로부터 수집된 상기 파일DNA에 대응하는 파일과 함께 실행되는 다른 파일의 파일DNA를 포함하는 연관정보의 통계분석결과, 및 상기 복수의 클라이언트로부터 수집된 상기 파일DNA에 대응하는 파일이 수행하는 파일접근, 레지스트리접근, 메모리접근, 네트워크접근 중 하나 이상을 포함하는 행동정보의 통계분석결과를 포함하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법을 제공한다.
또한, 상기 네트워크 트래픽은, 상기 네트워크 트래픽의 순간 측정치 또는 기 설정된 시간 구간 내에서의 상기 네트워크 트래픽의 통계치로 결정되는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법을 제공한다.
또한, 상기 명령단계는, 상기 위험도가 높다고 분석된 경우 상기 파일을 차단하도록 하는 명령을 상기 클라이언트에 전송하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법을 제공한다.
또한, 상기 파일을 포함하는 프로그램의 행위, 상기 파일의 프로세스의 네트워크 행위, 및 상기 파일의 프로세스에 포함되어 상기 DDoS 공격을 위한 트래픽을 생성하는 스레드의 네트워크 행위 중 어느 하나 이상을 차단대상으로 하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법을 제공한다.
또한, 상기 에이전트를 상기 서버가 상기 클라이언트에 제공하는 제공단계를 더 포함하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법을 제공한다.
또한, 상기 클라이언트는 보호하고자 하는 목적지에 관한 보호목적지 리스 트를 상기 서버로부터 전송 받아 저장하고, 상기 네트워크 트래픽이 기 설정된 DDoS 임계치를 넘고 상기 네트워크 트래픽의 목적지가 상기 보호목적지 리스트에 포함되어 있는 경우 상기 클라이언트가 상기 파일을 차단하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법을 제공한다.
또한, 상기 서버는 상기 네트워크 트래픽이 기 설정된 DDoS 임계치 이상일 경우에 상기 클라이언트에 상기 트래픽정보를 전송하도록 요청하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법을 제공한다.
상기 목적을 달성하기 위하여 본 발명의 다른 측면은, 복수의 클라이언트에 연결되어 DDoS 공격을 탐지하고 차단하는 서버로서, 상기 클라이언트에 설치된 모니터링 프로그램인 에이전트를 이용하여 상기 클라이언트에서 실행 중인 파일에서 추출된 파일DNA와 상기 파일이 유발하는 네트워크 트래픽에 관한 트래픽정보를 상기 클라이언트로부터 수집하는 정보수집부와, 상기 복수의 클라이언트로부터 수집된 상기 파일DNA를 분석한 파일DNA통계정보를 저장하는 파일DNA 통계 데이터베이스와, 상기 파일의 상기 파일DNA 및 상기 트래픽정보에 기반하여 상기 DDoS 공격의 위험도를 분석하는 분석부, 및 상기 분석된 위험도에 따라 상기 클라이언트에 상기 파일의 차단 여부에 관한 명령을 전송하는 명령부를 포함하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 서버를 제공한다.
또한, 상기 분석부는, 상기 파일DNA 통계 데이터베이스에 상기 파일의 상기 파일DNA를 질의하여 상기 파일을 정상, 악성, 또는 미확인으로 분류하며, 상기 네트워크 트래픽이 기 설정된 DDoS 임계치 이상이면서 상기 파일이 악성으로 분류되 면 상기 위험도가 높다고 분석하고, 상기 네트워크 트래픽이 기 설정된 DDoS 임계치 이상이면서 상기 파일이 미확인으로 분류되면 상기 파일의 상기 파일DNA에 대한 통계적 분석을 통하여 상기 위험도를 분석하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 서버를 제공한다.
또한, 상기 통계적 분석은, 상기 복수의 클라이언트에 있어서 동일한 파일 또는 하나 이상의 미확인 파일이 생성하는 네트워크 트래픽이 상기 기 설정된 DDoS 임계치 이상이거나, 상기 복수의 클라이언트에 있어서 동일한 목적지에 대하여 발생되는 네트워크 트래픽이 각각 상기 기 설정된 DDoS 임계치 이상이거나, 상기 복수의 클라이언트에 있어서 동일한 목적지에 대하여 상기 기 설정된 DDoS 임계치 이상의 네트워크 트래픽을 발생하는 클라이언트의 대수가 기 설정된 DDoS 대수 임계치 이상인 경우, 상기 위험도가 높다고 분석하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 서버를 제공한다.
또한, 상기 분석부는, 상기 파일DNA 통계 데이터베이스에 상기 파일의 상기 파일DNA가 존재하지 않는 경우, 상기 파일의 상기 파일DNA를 상기 파일DNA 통계 데이터베이스에 저장하고, 상기 파일이 실행될 때 함께 실행되는 연관파일의 파일DNA를 상기 파일DNA 통계 데이터베이스에 질의하며, 상기 질의의 결과 상기 연관파일 중 하나 이상이 악성으로 분류되면 상기 파일을 악성으로 분류하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 서버를 제공한다.
또한, 상기 복수의 클라이언트로부터 수집한 상기 네트워크 트래픽의 유발주체, 목적지, 및 트래픽량을 포함하는 트래픽통계정보를 저장하는 트래픽통계 데 이터베이스를 더 포함하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 서버를 제공한다.
또한, 상기 에이전트를 저장하는 에이전트 저장부, 및 상기 에이전트를 상기 클라이언트에 전송하는 에이전트 전송부를 더 포함하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 서버를 제공한다.
또한, 상기 DDoS 공격으로부터 보호하고자 하는 목적지에 관한 보호목적지 리스트를 저장하는 보호목적지 데이터베이스를 더 포함하며, 상기 에이전트는 상기 네트워크 트래픽이 기 설정된 DDoS 임계치를 넘고 상기 네트워크 트래픽의 목적지가 상기 보호목적지 리스트에 포함되어 있는 경우 상기 클라이언트가 상기 파일을 차단하도록 하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 서버를 제공한다.
본 발명의 실시예에 따르면, 클라우드 컴퓨팅 환경에서 모니터링 에이전트가 설치된 복수의 클라이언트로부터 실시간으로 파일DNA 및 트래픽 정보를 수집함으로써, DDoS 공격을 정확하게 탐지할 수 있다.
또한, 서버에서 파일DNA 및 네트워크 트래픽 통계를 데이터베이스로 관리함으로써, 클라이언트 측의 보안 프로그램 부담을 줄이면서도 DDoS 공격을 효과적으로 방어할 수 있다.
또한, 클라우드 컴퓨팅 환경에서 서버와 클라이언트 간의 상호협력을 통하여 피해자 서버 단이 아닌 공격자 클라이언트 단에서 DDoS 공격을 탐지 및 방어함으로써 DDoS 공격에 원천적으로 대응할 수 있다.
이하 첨부된 도면을 참조하여 본 발명의 실시예를 상세히 설명한다. 하기에서 본 발명을 설명함에 있어서 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략할 것이다. 그리고 후술되는 용어들은 본 발명에서의 기능을 고려하여 정의된 용어들로서 이는 사용자, 운용자의 의도 또는 관례 등에 따라 달라질 수 있다. 그러므로 그 정의는 본 명세서 전반에 걸친 내용을 토대로 내려져야 할 것이다.
도 1은 클라우드 컴퓨팅 환경에서의 DDoS 공격 상황을 도시한 것이다. 클라우드 컴퓨팅 환경(100) 내에서 복수의 클라이언트(201~206)는 복수의 서버(301~303)와 네트워크로 상호 연결되어 있으며, 서버(301~303)는 클라이언트(201~206)로부터 각종 정보를 수집하여 분석하는 역할을 한다. 침입된 DDoS 공격도구 프로그램이 설치되어 있는 클라이언트(201~206)는 DDoS 공격용 좀비 컴퓨터로 이용되는데, 좀비 컴퓨터가 된 복수의 클라이언트(201~206)들은 해커의 제어를 받아 공격대상(150)에 일제히 DDoS 공격을 개시한다. 이 때 서버(301~303)는 DDoS 공격의 징후를 탐지하기 위하여 클라우드 컴퓨팅 환경(100) 내의 복수의 클라이언트(201~206)로부터 각종 정보를 수집하여 이용할 수 있다.
도 2는 본 발명의 일 실시예에 따른 클라이언트의 프로그램 모니터링을 도 시한 것이다. 클라이언트(200)는 개인용 컴퓨터(PC), 노트북, 휴대용 단말기 등 네트워킹이 가능한 다양한 형태의 장비로 구현될 수 있다. 클라이언트(200)는 마이크로프로세서 등의 내부의 범용 정보처리장치를 이용하여, 클라이언트(200)를 실시간 모니터링하는 보안 프로그램인 에이전트(agent)(210)를 구동시킬 수 있다.
에이전트(210)는 클라이언트(200) 내부에서 실행되는 각종 정상 프로그램(222), 악성 프로그램(224), 미확인 프로그램(226) 등의 실행을 감시하면서, 실행 중인 프로그램을 구성하는 파일에 대하여 파일명, 생성일, 특징값 등에 관한 속성정보, 그 파일과 함께 실행되는 다른 파일에 관한 연관정보, 및 그 파일이 수행하는 파일접근, 레지스트리접근, 메모리접근, 네트워크접근 등에 관한 행동정보를 추출할 수 있다. 네트워크접근 등의 행동정보를 추출하는 과정은 별도의 네트워크 보안장비와 연동하여 이루어질 수도 있다. 이후 에이전트(210)는 추출된 파일DNA를 서버(300)의 파일DNA 통계 데이터베이스(320)에 질의하여 해당 파일이 악성인지 여부를 포함하는 다양한 정보를 얻을 수 있다.
여기서, 파일DNA란 파일의 특정 위치에서 발견되는 파일 고유의 패턴, 식별자 내지 핑거프린트(fingerprint) 등의 파일 아이덴티티(identity)에 관한 속성정보를 말한다. 파일DNA는 파일을 식별할 수 있도록 하는 최소한의 속성정보만을 포함할 수 있으나, 해당 파일과 함께 실행되는 다른 파일의 파일DNA 등의 연관정보, 또는 해당 파일의 파일접근, 레지스트리접근, 메모리접근, 네트워크접근 등의 행동정보도 함께 포함할 수 있다. 실시예에 따라 파일DNA는 약 16byte 정도의 식별자(ID)로 추출 내지 가공될 수 있다. 에이전트(210)는 실행 중인 파일로부터 속성 정보만을 포함하는 파일DNA를 추출하여 이를 서버(300)에 질의하거나, 파일의 속성정보, 연관정보 및 행동정보를 모두 포함하는 파일DNA를 추출하여 서버(300)의 파일DNA통계 데이터베이스(320)에 이를 저장할 수 있다.
도 3은 본 발명의 일 실시예에 따른 DDoS 공격 탐지 및 차단 서버(300)의 개략적인 구성을 도시한 블록도이다. 하나의 서버(300)는 복수의 클라이언트(201~206)와 연결되어 이들로부터 다양한 정보를 수집한다. 서버(300)의 내부는 에이전트 저장부(310), 에이전트 전송부(315), 파일DNA 통계 데이터베이스(320), 정보 수집부(330), 트래픽 통계 데이터베이스(335), 분석부(340), 명령부(350), 보호목적지 데이터베이스(355)를 포함할 수 있다. 이들은 하나의 서버 내에서 동작하는 세부 모듈로서 하드웨어 형태로 구현될 수도 있고, 범용 서버 또는 컴퓨터의 프로세서에서 수행되는 가상적인 기능블록의 형태로 구현될 수도 있으며, 이들 중 일부는 별도의 서버로 구현될 수도 있다.
에이전트 저장부(310)는 클라이언트(201~206)에 설치되어 클라이언트(201~206)에서 실행 중인 파일을 모니터링하는 보안 프로그램인 에이전트를 저장한다. 에이전트 저장부(310)는 서버(300)가 복수의 클라이언트(201~206)로부터 수집한 정보에 기반하여 새로운 DDoS 공격 분석결과를 내 놓을 때, 이를 반영하여 저장된 에이전트를 업데이트(update)할 수 있다. 에이전트는 백신 등 기존의 보안 프로그램과 통합하여 구현될 수도 있고, 별도의 프로그램으로 구현될 수도 있다.
에이전트 전송부(315)는 에이전트가 설치될 클라이언트(201~206)에 에이전트 프로그램을 전송한다. 에이전트 전송부(315)는 클라이언트(201)의 요청에 응답 하여 에이전트 저장부(310)에 저장된 에이전트를 전송할 수도 있고, 클라이언트(201)에 이미 에이전트가 설치된 경우에는 그것이 최신 버전인지 여부 등을 파악하여 자동으로 최신 버전의 에이전트를 전송할 수도 있다.
파일DNA 통계 데이터베이스(320)는 복수의 클라이언트로부터 수집된 수천만 개의 파일DNA들을 분석하여 구축한 유형별 파일 DNA통계정보의 데이터베이스이다. 파일DNA 통계 데이터베이스(320)에 저장되는 파일DNA통계정보는, 파일DNA에 대응하는 파일의 파일명, 파일DNA생성일, 데이터베이스 등록횟수 등을 포함하는 속성정보의 통계분석결과, 그 파일DNA에 대응하는 파일과 함께 실행되는 다른 파일의 파일DNA를 포함하는 연관정보의 통계분석결과, 및 그 파일DNA에 대응하는 파일이 수행하는 파일접근, 레지스트리접근, 메모리접근, 네트워크접근 등을 포함하는 행동정보의 통계분석결과를 포함할 수 있다. 파일DNA통계정보는 클라우드 컴퓨팅 환경(100) 내의 수많은 클라이언트(200)에서 특정한 파일DNA가 다른 파일과 어떠한 연관관계를 가지고 어떠한 행동을 하는지에 대한 대용량의 정보를 수집하여 분석한 것이다. 파일DNA통계 데이터베이스(320)에 일정 수 이상의 파일DNA에 대한 관찰결과가 모이면 해당 파일DNA에 대응하는 파일 또는 프로그램이 악성인지 여부에 대한 판단도 가능해지며, 파일DNA통계정보는 이러한 정보를 포함할 수 있다.
이로써, 클라이언트(201~206)는 내부에 악성코드 시그니처에 관한 정보를 가지고 있지 않더라도, 파일DNA 통계 데이터베이스(320)에 파일DNA를 질의하는 것만으로 해당 파일DNA에 대응하는 파일 또는 프로그램의 악성 여부에 대한 실시간 분류 내지 판단을 할 수 있게 된다. 이러한 관점에서 파일DNA 통계 데이터베이 스(320)에 저장된 파일DNA통계정보는 종래의 시그니처(signature)가 확장된 개념으로 볼 수도 있다. 파일 DNA 통계 데이터베이스(320)는 서버(300) 내부 및 외부의 다양한 보안관련 시스템과 연동하여 클라이언트(201~206)로부터 수집되는 파일DNA를 분석하고 이를 데이터베이스로 구축할 수 있다. 이 과정에는 정보수집부(330), 분석부(340)를 비롯하여 다양한 프로그램 정보, 평판 시스템, 행위(behavior) 기반 분석, 파일간 관계(relation) 분석, 악성코드 배포 경로 분석 등 다양한 기법이 반영된 지능형 시스템이 사용될 수 있다.
정보수집부(330)는 클라이언트(201~206)에 설치되어 클라이언트(201~206)에서 실행 중인 파일을 모니터링하는 에이전트를 이용하여 클라이언트(201~206)에서 실행 중인 파일의 파일DNA와 그 파일이 유발하는 네트워크 트래픽에 관한 트래픽정보를 클라이언트(201~206)로부터 수집한다. 트래픽정보를 수집하는 과정은 별도의 네트워크 장비와 연동하여 이루어질 수도 있다.
트래픽통계 데이터베이스(335)는 복수의 클라이언트(201~206)로부터 수집한 네트워크 트래픽의 유발주체, 목적지, 및 트래픽량을 포함하는 트래픽통계정보를 저장한다.
분석부(340)는 파일의 파일DNA 및 트래픽정보에 기반하여 DDoS 공격의 위험도를 분석한다. 분석 과정에는 파일DNA 통계 데이터베이스(320)에 대한 질의 결과, 트래픽통계 데이터베이스(335)를 이용한 통계적 분석, 보호목적지 데이터베이스(355)에 대한 검색 등이 사용될 수 있다. 분석부(340)가 수행하는 DDoS 공격의 위험도 분석 과정은 뒤에서 자세히 설명한다.
명령부(350)는 분석부(340)에서 분석된 위험도에 따라 클라이언트(206)에 해당 파일의 차단 여부에 관한 명령을 전송한다. 명령부(350)는 위험도가 높다고 판단된 파일을 차단하도록 하는 명령을 클라이언트(201~206)에 전송할 수 있다. 실시예에 따라 명령부(350)는, 해당 파일을 포함하는 프로그램의 모든 행위, 해당 파일의 프로세스의 네트워크 행위, 및 해당 파일의 프로세스에 포함되어 DDoS 공격을 위한 트래픽을 생성하는 스레드의 네트워크 행위 등을 차단대상으로 할 수 있다.
보호목적지 데이터베이스(355)는 DDoS 공격으로부터 보호하고자 하는 목적지에 관한 보호목적지 리스트를 저장할 수 있다. 보호목적지 리스트는 서버(300) 단 또는 클라이언트(200) 단에서 입력될 수 있다. 서버(300) 내의 보호목적지 리스트는 클라이언트(201~206)로 전송되어 에이전트(210)가 특정 프로그램을 즉각 차단하는 데에 사용될 수 있다.
도 4는 본 발명의 일 실시예에 따른 DDoS 공격 탐지 및 차단 방법의 수행과정을 도시한 흐름도이다. 본 실시예에서 제시하는 DDoS 공격 탐지 및 차단 방법은 서버에 연결된 복수의 클라이언트를 이용하여 DDoS 공격을 탐지하고 차단하는 방법으로서 아래의 각 단계를 포함할 수 있다.
먼저, 클라이언트(200)에서 실행 중인 파일을 모니터링하기 위하여 클라이언트(200)에 에이전트(210)를 제공한다(410). 클라이언트(200) 내부에서 서버(300)와 각종 정보를 송수신하며 클라우드 컴퓨팅 환경에서의 DDoS 공격 탐지 및 차단 방법을 실현하는 것은 에이전트(210) 프로그램이기 때문에, 본 발명의 DDoS 공격 탐지 및 차단 방법을 실행하기 위해서는 클라이언트(200)에 에이전트(210)가 설치 되어 있어야 한다.
다음으로, 에이전트(210)를 이용하여 해당 파일로부터 추출된 파일DNA와 해당 파일이 유발하는 네트워크 트래픽에 관한 트래픽정보를 서버(300)가 클라이언트(200)로부터 수집한다(S420). 클라우드 컴퓨팅 환경에서 서버(300)는 복수의 클라이언트로부터 파일DNA 및 트래픽정보를 비롯한 각종 정보를 수집하여 파일DNA 통계 데이터베이스(320) 및 트래픽통계 데이터베이스(335) 등의 데이터베이스를 구축할 수 있다.
그 다음, 해당 파일로부터 추출된 파일DNA 및 그 파일의 트래픽정보에 기반하여 서버(300)가 DDoS 공격의 위험도를 분석한다(S450). 실시예에 따라 위험도 분석 과정에서는 파일DNA 통계 데이터베이스(320), 트래픽통계 데이터베이스(335), 보호목적지 데이터베이스(355) 등이 다양한 분석 기법과 함께 사용될 수 있으며, 외부의 보안 시스템과 연동하면서 상호 협력하여 DDoS 공격의 위험도를 분석하는 방식을 사용할 수도 있다. 분석단계(S450)의 구체적인 실시 형태에 대해서는 뒤에서 자세히 설명된다.
마지막으로, 분석된 위험도에 따라 클라이언트(200)에 해당 파일의 차단 여부에 관한 명령을 전송한다(S460). 차단 여부에 관한 명령은 클라이언트(200)에 특정 프로그램에 대한 차단 명령의 형태로 직접적으로 전달될 수도 있고, 에이전트(210)에 포함된 특정 프로그램에 대한 처리 루틴(routine)의 형태로 간접적으로 전달될 수도 있다.
도 5는 본 발명의 일 실시예에 따른 DDoS 공격의 위험도 분석 과정을 도시 한 것이다. 본 실시예의 정보수집단계(S420) 이후의 위험도 분석 과정은, 파일DNA 통계 데이터베이스(320)에 대한 질의(S430), 질의 결과에 따른 파일의 유형 분류(S440), 분류 결과 및 트래픽정보를 이용한 DDoS 위험도 분석(S451~S455)를 포함할 수 있다.
먼저, 클라이언트(200)는 서버(300)에 에이전트(210)가 추출한 파일DNA를 질의한다(S430). 서버(300)는 파일 DNA통계 데이터베이스(420)에 저장된 다수의 프로그램들에 대한 파일DNA통계정보를 확인하여 질의된 파일DNA에 해당하는 파일 또는 프로그램이 정상인지, 악성인지, 또는 알려지지 않은 미확인 파일 또는 프로그램인지를 응답한다. 이에 따라, 파일DNA 통계 데이터베이스(320)에 대한 질의 결과인 응답에 기반하여 분석부(340)는 질의된 파일DNA에 대응하는 파일 또는 프로그램을 정상, 악성, 또는 미확인으로 분류한다(S440).
이후 분석부(340)는, 파일DNA에 의한 분류 결과에 따라 각각 아래와 같은 프로세스를 통하여 DDoS 공격의 위험도를 분석한다(S451~S455). 이러한 분석에는 클라이언트(200)에서 실행되는 파일 또는 프로그램의 파일DNA 및 트래픽정보가 종합적으로 이용된다.
첫째, 질의된 파일DNA에 대응하는 파일 또는 프로그램이 악성인 경우, 분석부(340)는 트래픽정보로부터 해당 파일 또는 프로그램이 유발하는 네트워크 트래픽이 기 설정된 DDoS 임계치 이상인지 여부를 비교하여 판단한다(S451). 클라이언트(200)에서 실행되던 파일 또는 프로그램이 악성이고 그 파일 또는 프로그램이 유발하는 네트워크 트래픽이 DDoS 임계치 이상이면, 분석부(340)는 DDoS 공격의 위험 도가 높다고 분석할 수 있다(S452).
둘째, 질의된 파일DNA에 대응하는 파일 또는 프로그램이 정상인 경우, 분석부(340)는 DDoS 공격의 위험도가 낮다고 분석할 수 있다(S453).
셋째, 질의된 파일DNA에 대응하는 파일 또는 프로그램이 미확인인 경우, 분석부(340)는 트래픽정보로부터 해당 파일 또는 프로그램이 유발하는 네트워크 트래픽이 기 설정된 DDoS 임계치 이상인지 여부를 비교하여 판단한다(S454). 클라이언트(200)에서 실행되던 파일 또는 프로그램의 특성에 관한 정보가 파일DNA 통계 데이터베이스(32)에 저장되어 있지 않지만 그 파일 또는 프로그램이 유발하는 네트워크 트래픽이 DDoS 임계치 이상이면, 분석부(340)는 클라우드 컴퓨팅 환경(100) 내의 다른 클라이언트(201~206)로부터 얻은 정보들을 사용한 통계적 분석을 통하여 DDoS 공격의 위험도를 분석할 수 있다(S455). 통계적 분석의 구체적인 과정은 뒤에서 자세히 설명된다. 실시예에 따라, 파일DNA통계 데이터베이스(320)에 파일의 파일DNA가 존재하지 않는 경우에는, 질의된 파일DNA에 대응하는 파일 또는 프로그램이 미확인이라고 분류하기 전에, 도8에서 제시하는 각 단계(S441~S445)를 통하여 연관파일 분석을 통한 악성 여부 분류과정을 먼저 거치도록 할 수도 있다.
분석부(340)의 분석 결과 DDoS 공격의 위험도가 높다고 분석된 경우에는 명령부(350)가 해당 파일 또는 프로그램을 차단하도록 하는 명령을 클라이언트(201~206)에 전송할 수 있다. 그리고, 명령부(350)는 통계적 분석의 결과 위험도가 높다고 판단되면 해당 파일 또는 프로그램을 차단하도록 하는 명령을 전송할 수 있다. 또한, 통계적 분석의 결과 위험도가 높다고 판단되지 않는 경우에는, 해당 미확인 파일 또는 프로그램의 특성을 판단할 수 있는 정보가 클라우드 컴퓨팅 환경(100) 내의 복수의 클라이언트(201~206)로부터 수집되어 서버(300)의 파일DNA 통계 데이터베이스(320) 등에 축적될 때까지 해당 미확인 파일 또는 프로그램을 클라이언트(200) 내의 에이전트(210)가 지속적으로 모니터링하며 추가로 수집되는 각종 정보를 서버(300)로 전달하도록 하는 명령을 전송할 수 있다.
도 6은 본 발명의 일 실시예에 따른 통계적 분석 과정에서 DDoS 공격의 위험도가 높다고 판단되는 경우를 도시한 것이다.
도 6a를 참조하면, 복수의 클라이언트(611, 612, 613)에 있어서 동일한 파일(620)이 생성하는 네트워크 트래픽(640)이 기 설정된 DDoS 임계치 이상인 경우 DDoS 공격의 위험도가 높다고 분석하는 통계적 분석의 실시예가 도시되어 있다. 동일한 파일(620)에 의한 DDoS 임계치 이상의 네트워크 트래픽(640)인 경우에는 목적지 사이트(631, 632, 633)가 달라도 DDoS 공격의 위험도가 높다고 분석하는 것이다. 실시예에 따라, 복수의 클라이언트(611, 612, 613)에 있어서 하나 이상의 미확인 파일이 생성하는 네트워크 트래픽(640)이 기 설정된 DDoS 임계치 이상인 경우에도 DDoS 공격의 위험도가 높다고 분석하는 통계적 분석 기법이 사용될 수도 있다. 이러한 통계적 분석을 위하여 분석부(340)는 트래픽통계 데이터베이스(335)에 저장된 네트워크 트래픽 통계자료와 파일DNA 통계 데이터베이스(320)에 저장된 파일DNA 통계정보를 사용할 수 있다.
도 6b를 참조하면, 복수의 클라이언트(661, 662, 663)에 있어서 동일한 목적지(680)에 대하여 발생되는 네트워크 트래픽(690)이 기 설정된 DDoS 임계치 이상 인 경우 DDoS 공격의 위험도가 높다고 분석하는 통계적 분석의 실시예가 도시되어 있다. 동일한 목적지(680)에 대한 DDoS 임계치 이상의 네트워크 트래픽(690)인 경우에는 실행되는 파일(671, 672, 673)이 달라도 DDoS 공격의 위험도가 높다고 분석하는 것이다.
예를 들어, 클라우드 컴퓨팅 환경(100) 내의 클라이언트(661, 662, 663)들이 DDoS 임계치를 넘는 네트워크 트래픽(690)으로 목적지 xxx.victim.com(680)에 접속하는 것이 서버(300)로 보고되는 상황이 있을 수 있다. 이러한 상황에서 서버(300)가 평소부터 트래픽통계 데이터베이스(335) 등의 데이터베이스에 목적지 xxx.victim.com(680)에 접속하는 클라이언트 수 내지 네트워크 트래픽에 대한 통계분석 자료를 가지고 있다면, 분석부(340)는 갑자기 목적지 xxx.victim.com(680) 에 비정상적인 트래픽(690)을 가지는 클라이언트들(661, 662, 663)의 접속이 급격히 증가했다는 사실을 알아낼 수 있고, 이러한 통계적 정보를 바탕으로 하여 비정상적인 트래픽(690)은 DDoS 공격 때문에 발생한 것이라고 판정할 수 있다.
이 때 DDoS 임계치로는 복수의 클라이언트(661, 662, 663)의 출력단으로부터 측정되는 각각의 네트워크 트래픽에 대한 제1임계치가 사용될 수도 있고, 동일한 목적지(680)로 입력되는 복수의 클라이언트(661, 662, 663)로부터의 네트워크 트래픽을 클라우드 컴퓨팅 환경(100) 내의 서버(300)가 간접적으로 합산한 합산결과에 대한 제2임계치가 사용될 수도 있다. 실시예에 따라, 제1임계치를 사용하는 경우에는, 제1임계치 이상의 네트워크 트래픽을 유발하는 클라이언트가 일정 대수 이상일 경우에 DDoS 공격의 위험도가 높다고 판정하도록 구현할 수 있으며, 이러한 경우 기준이 되는 클라이언트의 대수에 대한 별도의 임계치를 설정할 수 있다. 또 다른 실시예에서 제2임계치를 사용하는 경우에는, 복수의 클라이언트(661, 662, 663)의 출력단 각각으로부터 클라우드 컴퓨팅 환경(100) 내의 서버(300)를 통해 간접적으로 합산된 네트워크 트래픽에 기반하여 DDoS 공격의 위험도를 탐지한다고 하더라도, 실질적인 차단은 클라우드 컴퓨팅 환경(100)으로 연결된 서버(300)를 이용하여 각각의 클라이언트(661, 662, 663) 단에서 이루어지도록 할 수 있다.
도 7은 본 발명의 일 실시예에 따라 파일을 파일유형 및 목적지로 분석한 결과를 정리한 것이다. 본 실시예에서는 네트워크 트래픽이 기 설정된 DDoS 임계치 이하인 경우에는 DDoS 공격의 위험도가 높다고 판단되는 경우가 없으므로, 아래에서 설명되는 상황들은 모두 네트워크 트래픽이 기 설정된 DDoS 임계치 이상인 경우에서 제시되는 조건들이다.
먼저, 파일DNA 통계정보가 저장된 파일DNA 통계 데이터베이스(320)에 파일DNA를 질의한 결과 정상 파일 또는 프로그램으로 분류된 경우, 분석부(340)는 DDoS 공격의 위험도가 낮다고 분석하며, 명령부(350)는 클라이언트(200)에 질의된 파일 또는 프로그램의 실행을 허용하도록 처리할 수 있다.
그리고, 파일DNA 통계 데이터베이스(320)에 질의된 파일이 악성 또는 미확인으로 분류된 경우에는, 트래픽정보 등에 포함된 네트워크 트래픽의 목적지 정보에 따라 처리가 달라진다. 먼저, 질의된 파일이 유발하는 네트워크 트래픽의 목적지가 보호목적지 데이터베이스(355)에 저장된 보호목적지 리스트에 포함되어 있는 경우에는, 분석부(340)는 DDoS 공격의 위험도가 높다고 판단하며, 명령부(350)는 클라이언트(200)에 질의된 파일 또는 프로그램의 실행을 즉각 차단하도록 처리할 수 있다. 실시예에 따라 보호목적지 리스트가 클라이언트(200) 단에 저장되어 있다면 에이전트(210)가 이러한 즉각 차단을 직접 수행할 수 있다.
한편, 질의된 파일이 유발하는 네트워크 트래픽의 목적지가 보호목적지 데이터베이스(355)에 저장된 보호목적지 리스트에 포함되어 있지 않은 경우에는, 질의된 파일의 유형에 따라 각각 다르게 처리된다. 질의된 파일이 악성으로 분류되면, 분석부(340)는 DDoS 공격의 위험도가 높다고 판단하며, 명령부(350)는 해당 파일 또는 프로그램의 실행을 차단하도록 처리할 수 있다.
반면, 질의된 파일이 미확인으로 분류되면, 분석부(340)는 앞서 설명한 통계적 분석을 실행하게 되며, 명령부(350)는 통계적 분석의 결과에 따라 해당 파일 또는 프로그램의 실행을 차단하거나 또는 계속 모니터링하면서 각종 정보를 서버(300)에 전달하도록 처리할 수 있다.
본 실시예에서는 DDoS 공격을 탐지하고 차단하기 위한 기준으로 네트워크 트래픽의 DDoS 임계치 초과 여부(a), 파일DNA의 정상, 악성 또는 미확인 여부(b), 네트워크 트래픽 목적지의 보호목적지 리스트 포함 여부(c) 등을 사용하였다. 실시예에 따라 이러한 기준들이 각각 판단되는 순서는 달라질 수 있다.
예를 들어 제1실시예에서는, 분석단계(S450)가 (b)-(a)-(c)의 순서로 수행될 수 있다. 먼저, 복수의 클라이언트(200)에서 실행되는 프로그램에서 추출한 파일DNA의 정상, 악성 또는 미확인 여부를 먼저 서버(300)에 질의한다(b). 그리고, 질의 결과가 악성 또는 미확인인 경우에 서버(300)가 클라이언트(200)에 경고를 보 내고 네트워크 트래픽을 감시하도록 한다(a). 네트워크 트래픽이 DDoS 임계치 이상이면서 네트워크 트래픽의 목적지가 보호목적지 리스트에 포함되어 있는 경우 해당 파일 또는 프로그램을 즉각 차단하고, 네트워크 트래픽이 DDoS 임계치 이상이지만 보호목적지 리스트에 포함되어 있지 않은 경우에는 통계적 분석 등의 결과에 따라 이를 차단하거나 계속 모니터링하면서 각종 정보를 서버(300)에 전달하도록 처리할 수 있다(c).
또 다른 제2실시예에서는, 분석단계(S450)가 (a)-(c)-(b)의 순서로 수행될 수도 있다. 본 실시예에서는 네트워크 트래픽을 먼저 감시한다(a). 네트워크 트래픽이 DDoS 임계치 이상인 경우에 대하여, 네트워크 트래픽의 목적지가 보호목적지 리스트에 포함되어 있는지 여부를 파악한다(c). 보호목적지 리스트에 포함되어 있는 경우에는 해당 파일 또는 프로그램을 즉각 차단하고, 네트워크 트래픽의 목적지가 보호목적지 리스트에 포함되어 있지 않은 경우에는 클라이언트(200)에서 실행되는 프로그램에서 추출한 파일DNA의 정상, 악성 또는 미확인 여부를 서버(300)에 질의한다(b). 질의 결과가 악성인 경우에는 해당 파일 또는 프로그램을 차단하고, 질의 결과가 미확인인 경우에는 통계적 분석 등의 결과에 따라 이를 차단하거나 계속 모니터링하면서 각종 정보를 서버(300)에 전달하도록 처리할 수 있다.
도 8은 본 발명의 일 실시예에 따른 파일 DNA 통계 데이터베이스에 파일DNA가 존재하지 않는 경우의 파일분류 과정을 도시한 것이다. 이 과정은 파일DNA 통계 데이터베이스(320)에 저장되어 있지 않은 파일DNA 중에서 악성일 확률이 높은 일정한 경우에, 파일 간의 연관관계를 근거로 하여 파일DNA 통계 데이터베이스(320)에 존재하지 않는 파일DNA를 미확인이 아닌 악성으로 간주하여 처리한다.
먼저, 질의된 파일DNA를 파일DNA 통계 데이터베이스(320)에 저장한다(S441). 이때 저장되는 파일DNA는 파일DNA 통계 데이터베이스(320)의 파일DNA통계정보와 같이 파일의 속성정보뿐만 아니라 파일의 연관정보 및 행동정보를 모두 포함할 수 있다.
파일DNA통계정보란, 상술한 바와 같이, 파일DNA에 대응하는 파일의 파일명, 파일DNA생성일, 데이터베이스 등록횟수 중 하나 이상을 포함하는 속성정보의 통계분석결과, 파일DNA에 대응하는 파일과 함께 실행되는 다른 파일의 파일DNA를 포함하는 연관정보의 통계분석결과, 및 파일DNA에 대응하는 파일이 수행하는 파일접근, 레지스트리접근, 메모리접근, 네트워크접근 중 하나 이상을 포함하는 행동정보의 통계분석결과를 모두 포함할 수 있다. 파일의 속성정보는 식별자 수준으로 작은 용량으로 추출된 파일DNA만으로도 해당 파일의 악성 여부를 분류할 수 있도록 하기 위해서 필요하고, 연관정보는 파일DNA 통계 데이터베이스(320)에 저장되지 않은 파일 중 악성일 가능성이 높은 파일에 대해서도 일정한 경우 DDoS 공격을 판정할 수 있도록 하기 위해서 필요하며, 행동정보는 복수의 클라이언트(201~206)로부터 수집된 파일DNA로부터 통계적으로 해당 파일의 악성 여부를 판단할 수 있도록 하기 위해서 필요하다.
다음으로 해당 파일이 실행될 때 함께 실행되는 연관파일의 파일DNA를 파일DNA 통계 데이터베이스(320)에 질의한다(S442). 알려지지 않은 파일DNA가 질의된 경우라도 이와 함께 실행되는 파일 또는 프로그램 중 하나 이상이 악성이라 면(S443), 해당 미확인 파일 또는 프로그램도 악성일 가능성이 높다는 가정 하에서 연관파일이 악성일 경우 해당 파일도 악성으로 간주함으로써(S444), 알려지지 않은 악성 파일 내지 DDoS 공격의 위험을 원천적으로 차단할 수 있다. 반대로, 알려지지 않은 파일DNA와 함께 실행되는 파일 또는 프로그램 중 악성으로 분류되는 것이 하나도 없다면 해당 파일을 미확인으로 분류하고, 해당 파일을 정상 또는 악성 중 어느 하나로 분류할 수 있을 정도의 정보가 수집될 때까지 계속 모니터링하면서 각종 정보를 서버(300)로 전달하도록 처리할 수 있다.
본 실시예의 각 단계(S441~S445)는, 도 5에서 제시된 파일 분류과정(S440)에서 질의된 파일DNA에 대응하는 파일 또는 프로그램이 파일DNA통계 데이터베이스(320)에 존재하지 않는 경우, 해당 파일 또는 프로그램을 미확인이라고 분류하기 전에 먼저 수행되도록 구현될 수 있다.
도 9는 본 발명의 일 실시예에 따른 파일의 차단 범위를 도시한 것이다. 구조적으로 파일은 특정 프로그램에 속하며, 실행 중인 파일의 프로세스는 하위 개념으로 스레드(thread)를 가질 수 있다. 실시예에 따라 이러한 관점에서 계층별로 차단 수준을 설정하는 것이 가능하다.
첫 번째 실시예로, DDoS 공격의 위험도가 높다고 판단되는 파일(파일A1)의 프로세스에 포함되어 DDoS 공격을 위한 트래픽을 생성하는 스레드(스레드A1-1b)의 네트워크 행위를 차단할 수 있다. 파일DNA 질의 및 검사를 통하여 특정한 파일이 DDoS 공격을 유발할 가능성이 높다고 판단되었다고 하더라도, 실제로 과도한 네트워크 트래픽으로 DDoS 공격을 직접적으로 유발하는 스레드는 그 중 일부에 불과할 수 있기 때문이다.
두 번째 실시예로, DDoS 공격의 위험도가 높다고 판단되는 파일(파일A1)의 프로세스(프로세스A1-1)의 네트워크 행위를 차단할 수 있다. 일반적으로 DDoS 공격은 엄청난 양의 네트워크 트래픽을 발생시켜 특정 시스템을 마비시키는 것을 목적으로 하므로, 해당 파일 중 DDoS 임계치 이상의 네트워크 트래픽을 유발하는 프로세스의 네트워크 행위를 차단시키는 수준의 조치를 취하도록 할 수 있다.
세 번째 실시예로, DDoS 공격의 위험도가 높다고 판단되는 파일(파일A1)을 포함하는 프로그램(프로그램A)의 모든 행위를 차단할 수 있다. DDoS 공격은 네트워크 행위 이외에도 개인정보 유출이나 악성코드 전파, 시스템 손상 등을 유발할 수 있으므로, 파일 조작, 레지스트리 조작, 메모리 조작, 네트워크 조작 등 해당 파일이 속하는 프로그램의 모든 행위의 차단이 필요할 수 있기 때문이다.
도 10은 본 발명의 일 실시예에 따른 네트워크 트래픽의 DDoS 임계치 이상 검출시점을 도시한 것이다. 시간에 따라 네트워크 트래픽이 변동하는데, 실시예에 따라 어느 시점부터 네트워크 트래픽이 기 설정된 DDoS 임계치를 넘어서는 것으로 판단할 것인가를 다르게 설정할 수 있다.
도 10a를 참조하면, 측정된 네트워크 트래픽이 기 설정된 DDoS 임계치를 순간적으로 넘어서는 시점(1001)부터 네트워크 트래픽이 DDoS 임계치 이상이라고 판단하는 경우가 도시되어 있다.
도 10b를 참조하면, 일정한 길이로 기 설정된 시간구간 안에서 집계된 네트워크 트래픽의 평균값이 기 설정된 DDoS 임계치를 넘어서는 시점(1002)부터 네트워 크 트래픽이 DDoS 임계치 이상이라고 판단하는 경우가 도시되어 있다. 실시예에 따라서는 단순한 평균값 이외에 다른 형태의 통계치가 사용될 수도 있다.
본 실시형태의 모듈, 기능 블록들 또는 수단들은 전자 회로, 집적 회로, ASIC (Application Specific Integrated Circuit) 등 공지된 다양한 소자들로 구현될 수 있으며, 각각 별개로 구현되거나 2 이상이 하나로 통합되어 구현될 수 있다.
이상과 같이 본 발명의 이해를 위하여 그 실시예를 기술하였으나, 당업자라면 알 수 있듯이, 본 발명은 본 명세서에서 기술된 특정 실시예에 한정되는 것이 아니라, 본 발명의 범주를 벗어나지 않는 범위 내에서 다양하게 변형, 변경 및 대체될 수 있다. 예를 들어, 문자 대신 기타 LCD 등 디스플레이에 의해 표시될 수 있는 그림, 영상 등에도 본 발명의 기술이 적용될 수 있다. 따라서, 본 발명의 진정한 사상 및 범주에 속하는 모든 변형 및 변경을 특허청구범위에 의하여 모두 포괄하고자 한다.
도 1은 클라우드 컴퓨팅 환경에서의 DDoS 공격 상황을 도시한 것이다.
도 2는 본 발명의 일 실시예에 따른 클라이언트의 프로그램 모니터링을 도시한 것이다.
도 3은 본 발명의 일 실시예에 따른 DDoS 공격 탐지 및 차단 서버의 개략적인 구성을 도시한 블록도이다.
도 4는 본 발명의 일 실시예에 따른 DDoS 공격 탐지 및 차단 방법의 수행과정을 도시한 흐름도이다.
도 5는 본 발명의 일 실시예에 따른 DDoS 공격의 위험도 분석 과정을 도시한 것이다.
도 6은 본 발명의 일 실시예에 따른 통계적 분석 과정에서 DDoS 공격의 위험도가 높다고 판단되는 경우를 도시한 것이다.
도 7은 본 발명의 일 실시예에 따라 파일을 파일유형 및 목적지로 분석한 결과를 정리한 것이다.
도 8은 본 발명의 일 실시예에 따른 파일 DNA통계 데이터베이스에 파일DNA가 존재하지 않는 경우의 파일분류 과정을 도시한 것이다.
도 9는 본 발명의 일 실시예에 따른 파일의 차단 범위를 도시한 것이다.
도 10은 본 발명의 일 실시예에 따른 네트워크 트래픽의 DDoS 임계치 이상 검출시점을 도시한 것이다.

Claims (20)

  1. 서버에 연결된 복수의 클라이언트를 이용하여 DDoS 공격을 탐지하고 차단하는 방법으로서,
    상기 클라이언트에 설치되어 상기 클라이언트에서 실행 중인 파일을 모니터링하는 에이전트를 이용하여 상기 파일에서 추출된 파일DNA와 상기 파일이 유발하는 네트워크 트래픽에 관한 트래픽정보를 상기 서버가 상기 클라이언트로부터 수집하는 정보수집단계와,
    상기 파일의 상기 파일DNA의 악성 또는 미확인 여부 및 상기 트래픽정보에 기반하여 상기 서버가 상기 DDoS 공격의 위험도를 분석하는 분석단계와,
    상기 분석된 위험도에 따라 상기 클라이언트에 상기 파일의 차단 여부에 관한 명령을 전송하는 명령단계
    를 포함하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법.
  2. 제 1항에 있어서,
    상기 분석단계는,
    상기 복수의 클라이언트로부터 수집된 상기 파일DNA를 분석한 파일DNA통계정보가 저장된 파일DNA 통계 데이터베이스에 상기 서버가 상기 파일의 상기 파일DNA를 질의하여 상기 파일을 정상, 악성, 또는 미확인으로 분류하며,
    상기 네트워크 트래픽이 기 설정된 DDoS 임계치 이상이면서 상기 파일이 악성으로 분류된 경우 상기 위험도가 높다고 분석하고, 상기 네트워크 트래픽이 상기 기 설정된 DDoS 임계치 이상이면서 상기 파일이 미확인으로 분류된 경우 상기 파일의 상기 파일DNA에 대한 통계적 분석을 통하여 상기 위험도를 분석하는
    클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법.
  3. 제 2항에 있어서,
    상기 통계적 분석은,
    상기 복수의 클라이언트에 있어서 동일한 파일 또는 하나 이상의 미확인 파일이 생성하는 네트워크 트래픽이 상기 기 설정된 DDoS 임계치 이상이거나,
    상기 복수의 클라이언트에 있어서 동일한 목적지에 대하여 발생되는 네트워크 트래픽이 각각 상기 기 설정된 DDoS 임계치 이상이거나,
    상기 복수의 클라이언트에 있어서 동일한 목적지에 대하여 상기 기 설정된 DDoS 임계치 이상의 네트워크 트래픽을 발생하는 클라이언트의 대수가 기 설정된 DDoS 대수 임계치 이상인 경우, 상기 위험도가 높다고 분석하는
    클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법.
  4. 제 2항에 있어서,
    상기 파일DNA 통계 데이터베이스에 상기 파일의 상기 파일DNA가 존재하지 않는 경우,
    상기 파일의 상기 파일DNA를 상기 파일DNA 통계 데이터베이스에 저장하고,
    상기 파일이 실행될 때 함께 실행되는 연관파일의 파일DNA를 상기 파일DNA 통계 데이터베이스에 질의하며,
    상기 연관파일 중 하나 이상이 악성으로 분류되면 상기 파일을 악성으로 분류하는
    클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법.
  5. 제 2항에 있어서,
    상기 명령단계는, 상기 파일이 미확인으로 분류된 경우,
    상기 클라이언트에 상기 파일을 지속적으로 모니터링하도록 하는 명령을 전송하는
    클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법.
  6. 제 2항 또는 제3항 중 어느 한 항에 있어서,
    상기 기 설정된 DDoS 임계치 또는 상기 기 설정된 DDoS 대수 임계치 중 어느 하나 이상은 상기 서버에 저장된 과거의 목적지별 네트워크 트래픽에 관한 통계 적 분석결과에 기반하여 결정되는
    클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법.
  7. 제 2항에 있어서,
    상기 파일DNA 통계정보는,
    상기 복수의 클라이언트로부터 수집된 상기 파일DNA에 대응하는 파일의 파일명, 파일DNA생성일, 데이터베이스 등록횟수 중 하나 이상을 포함하는 속성정보의 통계분석결과,
    상기 복수의 클라이언트로부터 수집된 상기 파일DNA에 대응하는 파일과 함께 실행되는 다른 파일의 파일DNA를 포함하는 연관정보의 통계분석결과, 및
    상기 복수의 클라이언트로부터 수집된 상기 파일DNA에 대응하는 파일이 수행하는 파일접근, 레지스트리접근, 메모리접근, 네트워크접근 중 하나 이상을 포함하는 행동정보의 통계분석결과를 포함하는
    클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법.
  8. 제1항에 있어서,
    상기 네트워크 트래픽은, 상기 네트워크 트래픽의 순간 측정치 또는 기 설정된 시간 구간 내에서의 상기 네트워크 트래픽의 통계치로 결정되는
    클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법.
  9. 제 1항에 있어서,
    상기 명령단계는, 상기 위험도가 높다고 분석된 경우 상기 파일을 차단하도록 하는 명령을 상기 클라이언트에 전송하는
    클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법.
  10. 제 9항에 있어서,
    상기 파일을 포함하는 프로그램의 행위, 상기 파일의 프로세스의 네트워크 행위, 및 상기 파일의 프로세스에 포함되어 상기 DDoS 공격을 위한 트래픽을 생성하는 스레드의 네트워크 행위 중 어느 하나 이상을 차단대상으로 하는
    클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법.
  11. 제 1항에 있어서,
    상기 에이전트를 상기 서버가 상기 클라이언트에 제공하는 제공단계
    를 더 포함하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법.
  12. 제 1항에 있어서,
    상기 클라이언트는 보호하고자 하는 목적지에 관한 보호목적지 리스트를 상기 서버로부터 전송 받아 저장하고,
    상기 네트워크 트래픽이 기 설정된 DDoS 임계치를 넘고 상기 네트워크 트래픽의 목적지가 상기 보호목적지 리스트에 포함되어 있는 경우 상기 클라이언트가 상기 파일을 차단하는
    클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법.
  13. 제 1항에 있어서,
    상기 서버는 상기 네트워크 트래픽이 기 설정된 DDoS 임계치 이상일 경우에 상기 클라이언트에 상기 트래픽정보를 전송하도록 요청하는
    클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 방법.
  14. 복수의 클라이언트에 연결되어 DDoS 공격을 탐지하고 차단하는 서버로서,
    상기 클라이언트에 설치된 모니터링 프로그램인 에이전트를 이용하여 상기 클라이언트에서 실행 중인 파일에서 추출된 파일DNA와 상기 파일이 유발하는 네트워크 트래픽에 관한 트래픽정보를 상기 클라이언트로부터 수집하는 정보수집부와,
    상기 복수의 클라이언트로부터 수집된 상기 파일DNA를 분석한 파일DNA통계정보를 저장하는 파일DNA 통계 데이터베이스와,
    상기 파일의 상기 파일DNA의 악성 또는 미확인 여부 및 상기 트래픽정보에 기반하여 상기 DDoS 공격의 위험도를 분석하는 분석부, 및
    상기 분석된 위험도에 따라 상기 클라이언트에 상기 파일의 차단 여부에 관한 명령을 전송하는 명령부
    를 포함하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 서버.
  15. 제 14항에 있어서,
    상기 분석부는,
    상기 파일DNA 통계 데이터베이스에 상기 파일의 상기 파일DNA를 질의하여 상기 파일을 정상, 악성, 또는 미확인으로 분류하며,
    상기 네트워크 트래픽이 기 설정된 DDoS 임계치 이상이면서 상기 파일이 악성으로 분류되면 상기 위험도가 높다고 분석하고, 상기 네트워크 트래픽이 기 설정된 DDoS 임계치 이상이면서 상기 파일이 미확인으로 분류되면 상기 파일의 상기 파일DNA에 대한 통계적 분석을 통하여 상기 위험도를 분석하는
    클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 서버.
  16. 제 15항에 있어서,
    상기 통계적 분석은,
    상기 복수의 클라이언트에 있어서 동일한 파일 또는 하나 이상의 미확인 파일이 생성하는 네트워크 트래픽이 상기 기 설정된 DDoS 임계치 이상이거나, 상기 복수의 클라이언트에 있어서 동일한 목적지에 대하여 발생되는 네트워크 트래픽이 각각 상기 기 설정된 DDoS 임계치 이상이거나, 상기 복수의 클라이언트에 있어서 동일한 목적지에 대하여 상기 기 설정된 DDoS 임계치 이상의 네트워크 트래픽을 발생하는 클라이언트의 대수가 기 설정된 DDoS 대수 임계치 이상인 경우, 상기 위험도가 높다고 분석하는
    클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 서버.
  17. 제 15항에 있어서,
    상기 분석부는, 상기 파일DNA 통계 데이터베이스에 상기 파일의 상기 파일DNA가 존재하지 않는 경우,
    상기 파일의 상기 파일DNA를 상기 파일DNA 통계 데이터베이스에 저장하고,
    상기 파일이 실행될 때 함께 실행되는 연관파일의 파일DNA를 상기 파일DNA 통계 데이터베이스에 질의하며,
    상기 질의의 결과 상기 연관파일 중 하나 이상이 악성으로 분류되면 상기 파일을 악성으로 분류하는
    클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 서버.
  18. 제 14항에 있어서,
    상기 복수의 클라이언트로부터 수집한 상기 네트워크 트래픽의 유발주체, 목적지, 및 트래픽량을 포함하는 트래픽통계정보를 저장하는 트래픽통계 데이터베이스
    를 더 포함하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 서버.
  19. 제 14항에 있어서,
    상기 에이전트를 저장하는 에이전트 저장부, 및
    상기 에이전트를 상기 클라이언트에 전송하는 에이전트 전송부
    를 더 포함하는 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 서버.
  20. 제 14항에 있어서,
    상기 DDoS 공격으로부터 보호하고자 하는 목적지에 관한 보호목적지 리스트를 저장하는 보호목적지 데이터베이스를 더 포함하며,
    상기 에이전트는 상기 네트워크 트래픽이 기 설정된 DDoS 임계치를 넘고 상 기 네트워크 트래픽의 목적지가 상기 보호목적지 리스트에 포함되어 있는 경우 상기 클라이언트가 상기 파일을 차단하도록 하는
    클라우드 컴퓨팅을 이용한 DDoS 공격 탐지 및 차단 서버.
KR1020090067353A 2009-07-23 2009-07-23 클라우드 컴퓨팅을 이용한 ＤＤｏＳ 공격 탐지 및 차단 방법 및 서버 KR100942456B1 (ko)

Priority Applications (3)

Application Number Priority Date Filing Date Title
KR1020090067353A KR100942456B1 (ko) 2009-07-23 2009-07-23 클라우드 컴퓨팅을 이용한 ＤＤｏＳ 공격 탐지 및 차단 방법 및 서버
US13/386,516 US9386036B2 (en) 2009-07-23 2010-07-12 Method for detecting and preventing a DDoS attack using cloud computing, and server
PCT/KR2010/004519 WO2011010823A2 (ko) 2009-07-23 2010-07-12 클라우드 컴퓨팅을 이용한 ＤＤｏＳ 공격 탐지 및 차단 방법 및 서버

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020090067353A KR100942456B1 (ko) 2009-07-23 2009-07-23 클라우드 컴퓨팅을 이용한 ＤＤｏＳ 공격 탐지 및 차단 방법 및 서버

Publications (1)

Publication Number Publication Date
KR100942456B1 true KR100942456B1 (ko) 2010-02-12

Family

ID=42083428

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020090067353A KR100942456B1 (ko) 2009-07-23 2009-07-23 클라우드 컴퓨팅을 이용한 ＤＤｏＳ 공격 탐지 및 차단 방법 및 서버

Country Status (3)

Country Link
US (1) US9386036B2 (ko)
KR (1) KR100942456B1 (ko)
WO (1) WO2011010823A2 (ko)

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101059199B1 (ko) * 2011-01-13 2011-08-25 주식회사 이글루시큐리티 클라우드 컴퓨팅 통합보안관제시스템 및 그 방법
KR101156011B1 (ko) 2010-12-24 2012-06-18 고려대학교 산학협력단 네트워크 트래픽 분석을 통한 봇넷 위험도 산정 시스템 및 그 방법
US20120167222A1 (en) * 2010-12-23 2012-06-28 Electronics And Telecommunications Research Institute Method and apparatus for diagnosing malicous file, and method and apparatus for monitoring malicous file
WO2013048111A2 (ko) * 2011-09-26 2013-04-04 인텔렉추얼디스커버리 주식회사 클라우드 컴퓨팅 서비스로의 침입을 탐지하는 방법 및 장치
KR101267725B1 (ko) 2010-08-30 2013-05-24 주식회사 엔씨소프트 온라인 게임의 봇 프로그램 패턴 수집방법
KR20150091713A (ko) 2014-02-03 2015-08-12 한국전자통신연구원 공격특성 dna 분석 장치 및 그 방법
KR101657180B1 (ko) * 2015-05-04 2016-09-19 최승환 프로세스 접근 제어 시스템 및 방법
KR20180068002A (ko) * 2016-12-13 2018-06-21 나무기술 주식회사 빅데이터 기반의 클라우드 인프라 실시간 분석 시스템 및 그 제공방법

Families Citing this family (42)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9218461B2 (en) * 2010-12-01 2015-12-22 Cisco Technology, Inc. Method and apparatus for detecting malicious software through contextual convictions
US9088601B2 (en) 2010-12-01 2015-07-21 Cisco Technology, Inc. Method and apparatus for detecting malicious software through contextual convictions, generic signatures and machine learning techniques
US9569771B2 (en) 2011-04-29 2017-02-14 Stephen Lesavich Method and system for storage and retrieval of blockchain blocks using galois fields
US9137250B2 (en) 2011-04-29 2015-09-15 Stephen Lesavich Method and system for electronic content storage and retrieval using galois fields and information entropy on cloud computing networks
US9361479B2 (en) 2011-04-29 2016-06-07 Stephen Lesavich Method and system for electronic content storage and retrieval using Galois fields and geometric shapes on cloud computing networks
US9037564B2 (en) 2011-04-29 2015-05-19 Stephen Lesavich Method and system for electronic content storage and retrieval with galois fields on cloud computing networks
US20120297483A1 (en) * 2011-05-16 2012-11-22 General Electric Company Systems, methods, and apparatus for network intrusion detection based on monitoring network traffic
US20130031042A1 (en) * 2011-07-27 2013-01-31 Sintayehu Dehnie Distributed assured network system (DANS)
US8677489B2 (en) * 2012-01-24 2014-03-18 L3 Communications Corporation Methods and apparatus for managing network traffic
US8914406B1 (en) * 2012-02-01 2014-12-16 Vorstack, Inc. Scalable network security with fast response protocol
US9201911B2 (en) 2012-03-29 2015-12-01 International Business Machines Corporation Managing test data in large scale performance environment
US9444880B2 (en) 2012-04-11 2016-09-13 Illumina, Inc. Cloud computing environment for biological data
US8613089B1 (en) 2012-08-07 2013-12-17 Cloudflare, Inc. Identifying a denial-of-service attack in a cloud-based proxy service
CN102801739A (zh) * 2012-08-25 2012-11-28 乐山师范学院 基于云计算环境的网络风险测定取证方法
KR20140064057A (ko) * 2012-11-19 2014-05-28 한국인터넷진흥원 웹사이트 악성여부 고속 판별방법
KR20150084970A (ko) * 2012-11-22 2015-07-22 코닌클리즈케 케이피엔 엔.브이. 텔레커뮤니케이션 네트워크에서 거동을 검출하는 시스템
US9875500B2 (en) * 2013-09-20 2018-01-23 Target Brands, Inc. Network traffic-based throttling of electronic commerce activity
US9900344B2 (en) 2014-09-12 2018-02-20 Level 3 Communications, Llc Identifying a potential DDOS attack using statistical analysis
CA2966605A1 (en) 2014-11-03 2016-05-12 Level 3 Communications, Llc Identifying a potential ddos attack using statistical analysis
EP3221794B1 (en) * 2014-11-18 2020-04-01 Vectra AI, Inc. Method and system for detecting threats using metadata vectors
US9591022B2 (en) * 2014-12-17 2017-03-07 The Boeing Company Computer defenses and counterattacks
US9661011B1 (en) 2014-12-17 2017-05-23 Amazon Technologies, Inc. Techniques for data routing and management using risk classification and data sampling
US9253206B1 (en) 2014-12-18 2016-02-02 Docusign, Inc. Systems and methods for protecting an online service attack against a network-based attack
US10560466B2 (en) * 2015-01-13 2020-02-11 Level 3 Communications, Llc Vertical threat analytics for DDoS attacks
US11165797B2 (en) 2016-04-22 2021-11-02 Sophos Limited Detecting endpoint compromise based on network usage history
US11277416B2 (en) 2016-04-22 2022-03-15 Sophos Limited Labeling network flows according to source applications
US10986109B2 (en) 2016-04-22 2021-04-20 Sophos Limited Local proxy detection
US10938781B2 (en) 2016-04-22 2021-03-02 Sophos Limited Secure labeling of network flows
US11102238B2 (en) 2016-04-22 2021-08-24 Sophos Limited Detecting triggering events for distributed denial of service attacks
GB2570543B8 (en) * 2016-04-22 2021-12-08 Sophos Ltd Detecting triggering events for distributed denial of service attacks
CN107623663B (zh) 2016-07-15 2020-12-15 阿里巴巴集团控股有限公司 处理网络流量的方法及装置
US10462166B2 (en) * 2016-10-11 2019-10-29 Arbor Networks, Inc. System and method for managing tiered blacklists for mitigating network attacks
US10616271B2 (en) 2017-01-03 2020-04-07 Microsemi Frequency And Time Corporation System and method for mitigating distributed denial of service attacks
US10951648B2 (en) 2017-03-06 2021-03-16 Radware, Ltd. Techniques for protecting against excessive utilization of cloud services
US10887341B2 (en) 2017-03-06 2021-01-05 Radware, Ltd. Detection and mitigation of slow application layer DDoS attacks
CN108270795A (zh) * 2018-02-23 2018-07-10 上海市信息网络有限公司 数据安全防泄露自救系统、方法、可读存储介质及设备
US11050785B2 (en) * 2018-08-25 2021-06-29 Mcafee, Llc Cooperative mitigation of distributed denial of service attacks originating in local networks
CN110061971A (zh) * 2019-03-20 2019-07-26 合肥名德光电科技股份有限公司 一种云计算防御检测方法
US11539741B2 (en) 2019-09-05 2022-12-27 Bank Of America Corporation Systems and methods for preventing, through machine learning and access filtering, distributed denial of service (“DDoS”) attacks originating from IoT devices
CN113645238B (zh) * 2021-08-11 2023-04-25 码客工场工业科技(北京)有限公司 一种面向Handle标识体系的DDoS防御方法
CN115242436B (zh) * 2022-06-14 2023-12-01 徐州恒佳电子科技有限公司 一种基于命令行特征的恶意流量检测方法及系统
CN115190107B (zh) * 2022-07-07 2023-04-18 四川川大智胜系统集成有限公司 基于泛域名多子系统管理方法、管理终端及可读存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO1998041919A1 (en) * 1997-03-18 1998-09-24 Trend Micro, Incorporated Virus detection in client-server system
KR20040080534A (ko) * 2003-03-12 2004-09-20 한국전자통신연구원 클라이언트-서버 모델을 활용한 정보전 시뮬레이션 장치및 방법
KR20060049821A (ko) * 2004-07-09 2006-05-19 인터내셔널 비지네스 머신즈 코포레이션 네트워크 내에서의 분산 서비스 거부(ＤＤｏＳ) 공격의식별 및 이러한 공격에 대한 방어 방법

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100684986B1 (ko) * 1999-12-31 2007-02-22 주식회사 잉카인터넷 온라인상에서의 실시간 유해 정보 차단 시스템 및 방법
US7124440B2 (en) * 2000-09-07 2006-10-17 Mazu Networks, Inc. Monitoring network traffic denial of service attacks
CA2434674C (en) * 2001-01-10 2010-06-08 Cisco Technology, Inc. Computer security and management system
US20060095961A1 (en) * 2004-10-29 2006-05-04 Priya Govindarajan Auto-triage of potentially vulnerable network machines
US7617533B1 (en) * 2005-01-31 2009-11-10 Symantec Corporation Self-quarantining network
US8775521B2 (en) * 2006-06-30 2014-07-08 At&T Intellectual Property Ii, L.P. Method and apparatus for detecting zombie-generated spam
US7681132B2 (en) * 2006-07-13 2010-03-16 International Business Machines Corporation System, method and program product for visually presenting data describing network intrusions
KR100803029B1 (ko) 2006-12-01 2008-02-18 경희대학교 산학협력단 협력적인 통계기반 탐지기법을 이용한 분산서비스거부공격의 방어 방법
KR20090012561A (ko) 2007-07-30 2009-02-04 영남대학교 산학협력단 플로우별 통계 분석을 통한 송신단에서 양방향 디디오에스방어 시스템 및 방법
US20090182614A1 (en) * 2008-01-11 2009-07-16 Yahoo! Inc. System And Method For Serving Advertisements According To Network Traffic
EP2327037A1 (en) * 2008-08-08 2011-06-01 Phoenix Technologies Limited Secure computing environment using a client heartbeat to address theft and unauthorized access
US8504504B2 (en) * 2008-09-26 2013-08-06 Oracle America, Inc. System and method for distributed denial of service identification and prevention
US8914878B2 (en) * 2009-04-29 2014-12-16 Juniper Networks, Inc. Detecting malicious network software agents

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO1998041919A1 (en) * 1997-03-18 1998-09-24 Trend Micro, Incorporated Virus detection in client-server system
KR20040080534A (ko) * 2003-03-12 2004-09-20 한국전자통신연구원 클라이언트-서버 모델을 활용한 정보전 시뮬레이션 장치및 방법
KR20060049821A (ko) * 2004-07-09 2006-05-19 인터내셔널 비지네스 머신즈 코포레이션 네트워크 내에서의 분산 서비스 거부(ＤＤｏＳ) 공격의식별 및 이러한 공격에 대한 방어 방법

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
제30회 한국정보처리학회 추계학술발표대회 논문집 Vol.15 No.2, 악성 코드 유포 사이트 탐지에 관한 연구, 서동원외, 2008.11

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101267725B1 (ko) 2010-08-30 2013-05-24 주식회사 엔씨소프트 온라인 게임의 봇 프로그램 패턴 수집방법
US20120167222A1 (en) * 2010-12-23 2012-06-28 Electronics And Telecommunications Research Institute Method and apparatus for diagnosing malicous file, and method and apparatus for monitoring malicous file
KR101156011B1 (ko) 2010-12-24 2012-06-18 고려대학교 산학협력단 네트워크 트래픽 분석을 통한 봇넷 위험도 산정 시스템 및 그 방법
KR101059199B1 (ko) * 2011-01-13 2011-08-25 주식회사 이글루시큐리티 클라우드 컴퓨팅 통합보안관제시스템 및 그 방법
WO2013048111A2 (ko) * 2011-09-26 2013-04-04 인텔렉추얼디스커버리 주식회사 클라우드 컴퓨팅 서비스로의 침입을 탐지하는 방법 및 장치
WO2013048111A3 (ko) * 2011-09-26 2013-05-23 인텔렉추얼디스커버리 주식회사 클라우드 컴퓨팅 서비스로의 침입을 탐지하는 방법 및 장치
US9294489B2 (en) 2011-09-26 2016-03-22 Intellectual Discovery Co., Ltd. Method and apparatus for detecting an intrusion on a cloud computing service
KR20150091713A (ko) 2014-02-03 2015-08-12 한국전자통신연구원 공격특성 dna 분석 장치 및 그 방법
KR101657180B1 (ko) * 2015-05-04 2016-09-19 최승환 프로세스 접근 제어 시스템 및 방법
KR20180068002A (ko) * 2016-12-13 2018-06-21 나무기술 주식회사 빅데이터 기반의 클라우드 인프라 실시간 분석 시스템 및 그 제공방법
KR101971013B1 (ko) 2016-12-13 2019-04-22 나무기술 주식회사 빅데이터 기반의 클라우드 인프라 실시간 분석 시스템 및 그 제공방법

Also Published As

Publication number Publication date
WO2011010823A3 (ko) 2011-03-31
US9386036B2 (en) 2016-07-05
US20120124666A1 (en) 2012-05-17
WO2011010823A2 (ko) 2011-01-27

Similar Documents

Publication Publication Date Title
KR100942456B1 (ko) 클라우드 컴퓨팅을 이용한 ＤＤｏＳ 공격 탐지 및 차단 방법 및 서버
US10721243B2 (en) Apparatus, system and method for identifying and mitigating malicious network threats
US9860278B2 (en) Log analyzing device, information processing method, and program
US20160182542A1 (en) Denial of service and other resource exhaustion defense and mitigation using transition tracking
KR20140027616A (ko) 웹 트랜잭션 밀집도 기반 에이치티티피 봇넷 탐지 장치 및 방법
Katkar et al. Detection of DoS/DDoS attack against HTTP servers using naive Bayesian
Nikolskaya et al. Review of modern DDoS-attacks, methods and means of counteraction
Krishnan et al. An adaptive distributed intrusion detection system for cloud computing framework
Seo et al. A study on efficient detection of network-based IP spoofing DDoS and malware-infected Systems
JP6592196B2 (ja) 悪性イベント検出装置、悪性イベント検出方法および悪性イベント検出プログラム
Kim et al. Agent-based honeynet framework for protecting servers in campus networks
Jia et al. A lightweight DDoS detection scheme under SDN context
CN114257403A (zh) 误报检测方法、设备及可读存储介质
US20210058414A1 (en) Security management method and security management apparatus
KR101022167B1 (ko) 네트워크 자산의 취약성을 고려한 침입탐지시스템의로그최적화 장치
Panimalar et al. A review on taxonomy of botnet detection
KR100977827B1 (ko) 악성 웹 서버 시스템의 접속탐지 장치 및 방법
RU186198U1 (ru) Средство обнаружения вторжений уровня узла сети
Ghribi et al. Multi-layer Cooperative Intrusion Detection System for Cloud Environment.
Ramprasath et al. Virtual Guard Against DDoS Attack for IoT Network Using Supervised Learning Method
US11997133B2 (en) Algorithmically detecting malicious packets in DDoS attacks
Hsiao et al. Detecting step-stone with network traffic mining approach
Loginova et al. Class allocation of events in an automated information system as the basis for increasing organization's cyber resilience
Shah et al. Attack Monitoring and Protection in Cloud Computing Environment through IDS
Tayyebi et al. Cloud Security Framework: VM Features Based Intrusion Detection System

Legal Events

Date Code Title Description
A201 Request for examination
A302 Request for accelerated examination
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20130228

Year of fee payment: 4

FPAY Annual fee payment

Payment date: 20140210

Year of fee payment: 5

FPAY Annual fee payment

Payment date: 20150209

Year of fee payment: 6

FPAY Annual fee payment

Payment date: 20160210

Year of fee payment: 7

FPAY Annual fee payment

Payment date: 20170208

Year of fee payment: 8

FPAY Annual fee payment

Payment date: 20180208

Year of fee payment: 9

FPAY Annual fee payment

Payment date: 20200210

Year of fee payment: 11