KR102170982B1 - DDoS defense training system and method - Google Patents
DDoS defense training system and method Download PDFInfo
- Publication number
- KR102170982B1 KR102170982B1 KR1020180152486A KR20180152486A KR102170982B1 KR 102170982 B1 KR102170982 B1 KR 102170982B1 KR 1020180152486 A KR1020180152486 A KR 1020180152486A KR 20180152486 A KR20180152486 A KR 20180152486A KR 102170982 B1 KR102170982 B1 KR 102170982B1
- Authority
- KR
- South Korea
- Prior art keywords
- attack
- ddos
- target system
- system server
- training
- Prior art date
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/1458—Denial of Service
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/14—Network analysis or design
- H04L41/145—Network analysis or design involving simulating, designing, planning or modelling of a network
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/04—Processing captured monitoring data, e.g. for logfile generation
- H04L43/045—Processing captured monitoring data, e.g. for logfile generation for graphical visualisation of monitoring data
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/06—Generation of reports
- H04L43/062—Generation of reports related to network traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
- H04L2463/144—Detection or countermeasures against botnets
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Data Mining & Analysis (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
본 발명은 사이버 보안 테러 훈련 및 일반 모의 훈련 시 검증되고 믿을 수 있는 훈련용 공격 Tool의 개발을 통해 사이버테러훈련 및 일반 모의훈련에 활용할 수 있는 DDoS 방어훈련 시스템 및 방법을 제공하기 위한 것으로, 훈련 및 테스트용의 DDoS 방어훈련에 따른 방어 능력을 체크하고자 하는 타겟 시스템 서버(200)에 대한 DDoS 공격 시작과 종료를 제어하는 커맨드 센터 프로세스부(110); DDoS 방어훈련에 대한 타겟 시스템 서버(200)의 DDoS 방어 훈련 정보가 저장되는 데이터베이스(120); 상기 타겟 시스템 서버(200)에 대하여 상기 커맨드 센터 프로세스부(110)로부터의 공격 시작 명령 시 공격 패킷을 생성하는 도커 컨테이너부(Docker Container)(150)의 에이전트들(151)이 상기 타겟 시스템 서버(200)로 DDoS 공격을 수행하도록 제어하는 타겟 헬스 체커 프로세스부(Target Health Checker Process)(130); 상기 타겟 시스템 서버(200)를 모니터링하는 타겟 시스템 모니터(210)로부터 상기 타겟 시스템 서버(200)에 대한 피해상황을 보고받아 DDoS 방어 훈련 중인 타겟 시스템 서버(200)의 피해상황 상태를 리포트하는 리포트 프로세스부(140); 및상기 타겟 시스템 서버(200)에 대한 DDoS 공격을 수행하는 에이전트(151)들과 네트워크(152)가 구성되는 도커 컨테이너부(Docker Container)(150);를 포함하는 커맨드 센터 서버(100)와, 상기 커맨드 센터 서버(100)에 의해 DDoS 방어훈련을 수행받는 상기 타겟 시스템 서버(200)로 구성됨을 특징으로 하는 DDoS 방어훈련 시스템을 제공한다.The present invention is to provide a DDoS defense training system and method that can be used for cyber terror training and general mock training through the development of an attack tool for training that is verified and reliable during cyber security terror training and general mock training. A command center processing unit 110 for controlling the start and end of a DDoS attack against the target system server 200 to check the defense capability according to the test DDoS defense training; A database 120 in which DDoS defense training information of the target system server 200 for DDoS defense training is stored; Agents 151 of a Docker container 150 that generate an attack packet when an attack start command from the command center processing unit 110 to the target system server 200 is commanded to the target system server ( A target health checker process 130 for controlling to perform a DDoS attack by 200); Report process of receiving a report of the damage situation to the target system server 200 from the target system monitor 210 monitoring the target system server 200 and reporting the damage situation of the target system server 200 undergoing DDoS defense training Part 140; And a Docker container 150 configured with agents 151 and a network 152 performing a DDoS attack on the target system server 200; and a command center server 100 including, It provides a DDoS defense training system comprising the target system server 200 receiving DDoS defense training by the command center server 100.
Description
본 발명은 DDoS 방어훈련에 관한 것으로, 더욱 상세하게는 검증되고 믿을 수 있는 훈련용 공격 툴(Tool)을 통해 사이버 테러훈련 및 모의 훈련에 활용할 수 있는 DDoS 방어훈련 시스템 및 방법에 관한 것이다.The present invention relates to DDoS defense training, and more particularly, to a DDoS defense training system and method that can be used for cyber terror training and simulated training through a verified and reliable training attack tool.
개인용 컴퓨터의 보급이 확대되고, 인터넷과 같은 통신망이 발달함에 따라, 다양한 정보를 통신망을 통해 손쉽게 획득할 수 있게 되었다. 인터넷과 같은 통신망은 불특정 다수가 이용하는 것이므로, 보안에 취약한 문제가 있다.With the expansion of personal computers and the development of communication networks such as the Internet, various information can be easily obtained through communication networks. Since a communication network such as the Internet is used by an unspecified number of people, there is a problem that is vulnerable to security.
특히, 불특정 다수가 이용한다는 점을 악용하여, 특정 회사의 서버의 트래픽을 증가시켜 해당 회사의 서버를 마비시키는 분산 서비스 거부(Distributed Dedial-of-Service attack : DDoS) 공격이 심각한 문제로 대두되고 있다.In particular, a Distributed Dedial-of-Service attack (DDoS) attack that paralyzes the company's server by increasing the traffic of a specific company's server by exploiting the fact that it is used by unspecified people is emerging as a serious problem. .
DDoS 공격은 해킹 방식의 하나로, 여러 대의 공격자를 분산 배치하여 동시에 서비스 거부 공격을 함으로써 공격을 받은 시스템이 더 이상 정상적인 서비스를 제공할 수 없도록 만드는 것을 말한다.DDoS attack is one of the hacking methods. It means that the attacked system can no longer provide normal service by performing denial of service attack by distributing multiple attackers.
이러한 DDoS 공격으로부터 서버를 보호하고, 정상적인 서비스를 제공할 수 있도록 하기 위하여, 여러 온라인 서비스 제공 업체들에서는 다양한 DDoS 공격 방어 및 대응 방법을 채택하고 있다.In order to protect the server from such DDoS attacks and to provide normal services, various online service providers have adopted various DDoS attack defenses and countermeasures.
DDoS 공격에 방어하기 위한 방법의 일 예로, 네트워크상의 접점 장비를 이용하여 DDoS 공격을 판단하는 방법이 있다. 이는, 네트워크 스위치 혹은 회선 상에서의 트래픽의 검사를 통해 트래픽의 정상 및 비정상을 판단하는 것이다. 하지만, 네트워크의 모든 관문에 접점 장비를 설치하여야만 정상적으로 트래픽을 검사할 수 있으므로, 네트워크의 규모 증가시 접점 장비를 추가적으로 배치하여야 하므로, 비용면에서 부담이 발생한다.As an example of a method for defending against DDoS attacks, there is a method of determining a DDoS attack using a contact device on a network. This is to determine whether the traffic is normal or abnormal through the inspection of the traffic on the network switch or line. However, since contact equipment must be installed at all gateways of the network to inspect traffic normally, contact equipment must be additionally placed when the network scale increases, resulting in a burden in terms of cost.
이외에도, 다양한 DDoS 공격 방어 및 대응 방법이 개시되어 있다. 하지만, 대부분 단일 솔루션이 적용되고 있다는 데 한계가 있다. DDoS의 경우 공격의 유형이 계속 진화하는 특성이 있어 종래에 알려져 있는 단일 솔루션 적용을 통해서는 적절한 대응이 어려운 문제가 있었다.In addition, various DDoS attack defenses and countermeasures are disclosed. However, there is a limitation in that a single solution is mostly applied. In the case of DDoS, the type of attack is constantly evolving, so it is difficult to properly respond through the application of a conventionally known single solution.
이하 첨부된 도면을 참조하여 종래 기술에 따른 DDoS 훈련 방법을 설명하기로 한다.Hereinafter, a DDoS training method according to the prior art will be described with reference to the accompanying drawings.
도 1은 종래 기술에 따른 DDoS 훈련 방법을 설명하기 위한 흐름도이다.1 is a flowchart illustrating a DDoS training method according to the prior art.
종래 기술에 따른 DDoS 훈련 방법은 도 1에 나타낸 바와 같이, DDoS 훈련을 위한 시나리오를 작성한다(S10). 이러한 시나리오는 추상적인 예측으로 공격종류 및 강도를 사전에 조율한다.In the DDoS training method according to the prior art, as shown in FIG. 1, a scenario for DDoS training is created (S10). These scenarios pre-tune the attack type and strength with abstract predictions.
이어 시나리오에 따른 공격을 시작하도록 한다(S20).Then, the attack is started according to the scenario (S20).
그리고 피해상황을 보고하도록 하고(S30), 피해상황에 대한 피해 결과를 도출하였다(S40).Then, the damage situation was reported (S30), and the damage result for the damage situation was derived (S40).
그러나 이러한 종래 기술에 따른 DDoS 훈련 방법에 있어서는 기본적으로 공격 종류 및 강도를 사전에 결정할 필요가 있고, 세밀한 DDoS 방어 능력 측정 불가하였다. 또한 각 시스템 성능을 모니터링 할 인력(엔지니어)이 여러 명 필요하며, 세밀한 DDoS 방어 능력 측정을 위해 많은 훈련 시간 필요하다는 문제가 있었다.However, in the DDoS training method according to the prior art, it is necessary to determine the attack type and intensity in advance, and detailed DDoS defense capability cannot be measured. In addition, there is a problem that several personnel (engineers) are required to monitor the performance of each system, and a lot of training time is required to measure detailed DDoS defense capabilities.
이러한 종래 기술에 따른 DDos 훈련 방식은 Netbot과 같은 중국, 러시아에서 제작된 DDoS 공격 프로그램으로 훈련하는 방법을 이용할 수 있는데, 비교적 낮은 비용(프로그램 구매 비용)과, 실전과 같은 훈련이 가능(실제로 사용되고 있는 악성 공격 툴을 이용함)한다는 장점은 있다.The DDos training method according to the prior art can use a method of training with a DDoS attack program manufactured in China and Russia such as Netbot, but relatively low cost (program purchase cost) and training such as actual combat is possible (actually used It has the advantage of using a malicious attack tool).
그러나, 안전성이 검증되지 않은 프로그램으로 인해 백도어나 악성코드 감염의 위험이 있고, 다수의 PC 필요로 하므로, 봇넷 구성의 어려우며, 소스코드가 공개되지 않아 공격의 커스터마이징이 어려웠다.However, there is a risk of infection with a backdoor or malicious code due to a program whose safety has not been verified, and since it requires a large number of PCs, it is difficult to configure a botnet, and because the source code is not disclosed, it is difficult to customize the attack.
또한 국내 보안프로그램과의 충돌로 인해 훈련 시에는 의도적으로 보안을 해제해야 하는 위험이 있고, 훈련에 대한 기술지원을 받을 수 없었으며, 시스템 모니터링을 위한 다수의 요원이 필요하고, 시나리오 기반 훈련으로 세밀한 방어 능력에 대한 측정은 불가하다는 문제가 있었다.In addition, there is a risk of deliberately canceling security during training due to conflict with domestic security programs, and technical support for training was not available, a large number of personnel were required for system monitoring, and detailed scenario-based training. There was a problem that it was impossible to measure defense ability.
한편 AhnLab, 지란지교에스앤씨와 같은 Vender 서비스를 이용하는 방법이 있는데, 믿을 수 있는 프로그램(안정성 확보)과 훈련에 대한 기술지원이 가능하다는 장점은 있으나, 상대적으로 중국이나 러시아쪽 프로그램에 비해 많은 비용이 소요되고, 패키지 형태의 서비스로 공격의 커스터마이징이 어려우며, 이 역시도 시스템 모니터링 요원 다수 필요하고, 시나리오 기반 훈련으로 세밀한 방어 능력 측정 불가 문제는 여전히 있었다.On the other hand, there are methods of using Vender services such as AhnLab and Jiran Jikyo S&C, which have the advantage of providing reliable programs (securing stability) and technical support for training, but they are relatively expensive compared to Chinese and Russian programs. It is required, and it is difficult to customize the attack as a service in the form of a package, which also requires a large number of system monitoring personnel, and there is still a problem that it is impossible to measure detailed defense capability through scenario-based training.
따라서, 본 발명은 상기와 같은 종래 기술의 제반 단점과 문제점을 해결하기 위한 것으로, 사이버 보안 테러 훈련 및 일반 모의 훈련 시 검증되고 믿을 수 있는 훈련용 공격 Tool의 개발을 통해 사이버테러 훈련 및 일반 모의훈련에 활용할 수 있는 DDoS 방어훈련 시스템 및 방법을 제공함에 그 목적이 있다. Accordingly, the present invention is to solve all the disadvantages and problems of the prior art as described above, and through the development of an attack tool for training that is verified and reliable during cyber security terror training and general mock training, cyber terror training and general mock training Its purpose is to provide a DDoS defense training system and method that can be used for
상기와 같은 목적을 달성하기 위하여 본 발명은 훈련 및 테스트용의 DDoS 방어훈련에 따른 방어 능력을 체크하고자 하는 타겟 시스템 서버에 대한 DDoS 공격 시작과 종료를 제어하는 커맨드 센터 프로세스부; DDoS 방어훈련에 대한 타겟 시스템 서버의 DDoS 방어 훈련 정보가 저장되는 데이터베이스; 상기 타겟 시스템 서버에 대하여 상기 커맨드 센터 프로세스부로부터의 공격 시작 명령 시 공격 패킷을 생성하는 도커 컨테이너부(Docker Container) 에이전트들이 상기 타겟 시스템 서버로 DDoS 공격을 수행하도록 제어하는 타겟 헬스 체커 프로세스부(Target Health Checker Process); 상기 타겟 시스템 서버를 모니터링하는 타겟 시스템 모니터로부터 상기 타겟 시스템 서버에 대한 피해상황을 보고받아 DDoS 방어 훈련 중인 타겟 시스템 서버의 피해상황 상태를 리포트하는 리포트 프로세스부; 및 상기 타겟 시스템 서버에 대한 DDoS 공격을 수행하는 에이전트들과 네트워크로 구성되는 도커 컨테이너부(Docker Container);를 포함하는 커맨드 센터 서버와, 상기 커맨드 센터 서버에 의해 DDoS 방어훈련을 하는 상기 타깃 시스템 서버로 구성됨을 특징으로 하는 DDoS 방어훈련 시스템을 제공한다.In order to achieve the above object, the present invention provides a command center process unit for controlling the start and end of a DDoS attack against a target system server to check a defense capability according to DDoS defense training for training and testing; A database in which DDoS defense training information of the target system server for DDoS defense training is stored; A target health checker process unit that controls a Docker container agent that generates an attack packet when an attack start command from the command center processing unit to the target system server performs a DDoS attack to the target system server. Health Checker Process); A report processing unit configured to receive a report of the damage situation on the target system server from the target system server monitoring the target system server and report the damage situation of the target system server undergoing DDoS defense training; And a Docker Container configured of a network with agents performing a DDoS attack on the target system server; and a command center server including a command center server, and the target system server performing DDoS defense training by the command center server. It provides a DDoS defense training system characterized by consisting of.
여기서, 커맨드 센터 서버는 단일 서버에서 봇넷(Botnet)을 구현하는 것을 특징으로 한다.Here, the command center server is characterized by implementing a botnet on a single server.
또한 훈련 및 테스트용의 DDoS 모의 공격을 위한 툴은, Simple Flooding Attack을 통해 GET Flooding, SYN Flooding, UDP Flooding 및 ICMP Flooding과 같은 알려진 공격이 가능하도록 구성되고, Service Vulnerability Attack을 통해 CC Attack, Slowloris 같은 서비스의 취약점을 이용한 DOS공격이 가능하도록 구현되고, Log Console을 통해 실시간 공격현황 보기가 가능하며, 공격횟수 및 지연시간 지정을 통한 공격의 강도의 지정이 가능하고, 공격 방식 및 GUI에 대하여 Python을 활용한 빠른 Customize 제공이 가능하도록 구현되는 것을 특징으로 한다In addition, the tool for DDoS simulation attack for training and testing is configured to enable known attacks such as GET Flooding, SYN Flooding, UDP Flooding, and ICMP Flooding through Simple Flooding Attack, and CC Attack and Slowloris through Service Vulnerability Attack. It is implemented to enable DOS attack using the vulnerability of the service, and real-time attack status can be viewed through the Log Console, and attack strength can be specified by specifying the number of attacks and delay time, and Python is used for attack method and GUI. It is characterized in that it is implemented so that it is possible to provide quick customize using
한편 상기한 목적을 달성하기 위하여 본 발명은 커맨드 센터 프로세스부가 DDoS 방어훈련에 따른 방어 능력을 체크하고자 하는 타겟 시스템 서버에 대한 DDoS 공격을 명령함에 따라 타겟 헬스 체커 프로세스부(Target Health Checker Process)는 커맨드 센터 프로세스부로부터의 공격 시작 명령 시 방어훈련을 수행할 상기 타겟 시스템 서버에 대하여 공격 패킷을 생성하는 도커 컨테이너부(Docker Container)의 에이전트로 타겟 시스템 서버에 대한 DDoS 공격을 수행하도록 제어하는 단계; DDoS 방어훈련을 받는 상기 타겟 시스템 서버의 타겟 시스템 모니터는 타겟 시스템 서버에 대한 피해상황 정보를 리포트 프로세스부로 보고하는 단계; 및 상기 커맨드 센터 프로세스부에서는 미리 설정된 프로그램에 따른 타겟 시스템 서버의 피해 유무에 따라 공격량을 증가시키거나, 피해가 있는 경우 재공격 여부를 미리 입력된 DDoS 공격 툴에 따라 판단하여, 설정된 임계치에 도달하지 않은 경우 상기 커맨드 센터 프로세스부는 타겟 시스템 서버에 대한 공격량을 축소하도록 제어하고, 설정된 임계치에 도달하였다면 상기 커맨드 센터 프로세스부는 상기 타겟 시스템 서버에 대한 공격을 중지하고, 리포트 프로세스부를 통해 상기 타겟 시스템 서버의 방어능력 결과를 도출하는 단계;를 포함하여 이루어지는 것을 특징으로 하는 DDoS 방어훈련 방법을 제공한다.Meanwhile, in order to achieve the above object, according to the present invention, as the command center process unit orders a DDoS attack against the target system server to check the defense capability according to the DDoS defense training, the target health checker process is commanded. Controlling to perform a DDoS attack on the target system server with an agent of a Docker container that generates an attack packet against the target system server to perform defense training when an attack start command from the center processing unit is commanded; The target system monitor of the target system server receiving DDoS defense training, reporting damage situation information on the target system server to a report processing unit; And the command center processing unit increases the amount of attack according to the presence or absence of damage to the target system server according to a preset program, or determines whether to re-attack according to the previously input DDoS attack tool, and reaches a set threshold. If not, the command center processing unit controls to reduce the amount of attack on the target system server, and if the set threshold is reached, the command center processing unit stops the attack on the target system server, and the target system server through the report processing unit It provides a DDoS defense training method comprising; deriving a defense capability result of.
본 발명의 실시 예에 따르면 다음과 같은 효과가 있다.According to an embodiment of the present invention, there are the following effects.
첫째, Target 시스템 상태를 실시간으로 모니터링하면서 공격량(테스트 트래픽)을 자동 조절할 수 있다.First, it is possible to automatically adjust the amount of attack (test traffic) while monitoring the target system status in real time.
둘째, Target 시스템의 최적의 방어 능력을 측정할 수 있다.Second, it is possible to measure the optimal defense capability of the target system.
셋째, DDoS 방어훈련을 위한 시스템 구현을 단일서버에서 봇넷으로 구현하여 소수의 관리자나 최소 1명으로도 운용할 수 있다.Third, the system implementation for DDoS defense training can be implemented as a botnet on a single server, and can be operated by a small number of administrators or at least one person.
도 1은 종래 기술에 따른 DDoS 훈련 방법을 설명하기 위한 흐름도이다.
도 2는 본 발명에 따른 DDoS 방어훈련 시스템 및 방법의 동작 흐름을 설명하기 위한 도면이다.
도 3은 본 발명에 따른 DDoS 방어훈련 시스템의 실시예를 설명하기 위한 도면이다.
도 4 및 도 5는 본 발명에 따른 DDoS 방어훈련 시 방어훈련을 위한 DDoS 공격 툴의 실시예를 나타낸 도면이다.
도 6은 본 발명에 따른 DDoS 방어훈련 방법의 실시예를 설명하기 위한 흐름도이다.1 is a flowchart illustrating a DDoS training method according to the prior art.
2 is a view for explaining the operation flow of the DDoS defense training system and method according to the present invention.
3 is a view for explaining an embodiment of the DDoS defense training system according to the present invention.
4 and 5 are diagrams showing an embodiment of a DDoS attack tool for defense training during DDoS defense training according to the present invention.
6 is a flowchart illustrating an embodiment of a DDoS defense training method according to the present invention.
본 발명의 바람직한 실시 예를 첨부된 도면에 의하여 상세히 설명하면 다음과 같다.The preferred embodiments of the present invention will be described in detail with reference to the accompanying drawings.
아울러, 본 발명에서 사용되는 용어는 가능한 한 현재 널리 사용되는 일반적인 용어를 선택하였으나, 특정한 경우는 출원인이 임의로 선정한 용어도 있으며 이 경우는 해당되는 발명의 설명부분에서 상세히 그 의미를 기재하였으므로, 단순한 용어의 명칭이 아닌 용어가 가지는 의미로서 본 발명을 파악하여야 함을 밝혀두고자 한다. 또한 실시예를 설명함에 있어서 본 발명이 속하는 기술 분야에 익히 알려져 있고, 본 발명과 직접적으로 관련이 없는 기술 내용에 대해서는 설명을 생략한다. 이는 불필요한 설명을 생략함으로써 본 발명의 요지를 흐리지 않고 더욱 명확히 전달하기 위함이다. In addition, the terms used in the present invention have selected general terms that are currently widely used as far as possible, but in certain cases, there are terms arbitrarily selected by the applicant, and in this case, the meaning of the terms has been described in detail in the description of the corresponding invention. It should be noted that the present invention should be understood as the meaning of the term, not the name of. In addition, in describing the embodiments, descriptions of technical contents that are well known in the technical field to which the present invention pertains and are not directly related to the present invention will be omitted. This is to more clearly convey the gist of the present invention by omitting unnecessary description.
도 2는 본 발명에 따른 DDoS 방어훈련 시스템 및 방법의 동작 흐름을 설명하기 위한 도면이다.2 is a view for explaining the operation flow of the DDoS defense training system and method according to the present invention.
본 발명에 따른 DDoS 방어훈련 시스템 및 방법의 동작 흐름은 도 2에 나타낸 바와 같이, DDoS 방어훈련을 위한 명령, 즉 DDOS 모의 공격을 위한 명령을 커맨드 센터(서버)(1)에서는 공격패킷을 생성하는 에이전트로 공격명령을 전달(2)하고, 그에 따라 에이전트(3)에서는 훈련대상인 타겟 시스템(서버)로 공격 패킷을 생성하여 DDoS공격(4)을 수행한다.The operation flow of the DDoS defense training system and method according to the present invention is a command for DDoS defense training, that is, a command for a DDOS simulation attack, and the command center (server) 1 generates an attack packet. The attack command is transmitted to the agent (2), and accordingly, the agent 3 performs a DDoS attack (4) by generating an attack packet to the target system (server) to be trained.
그리고 에이전트는 커맨드 센터로 공격에 대한 상황을 보고한다(로그)(5).The agent then reports the attack status to the command center (log) (5).
이때, 타겟 시스템을 모니터링하는 타겟 모니터(6)는 피해상황을 확인하여 커맨드 센터로 피해 상황에 대한 상태를 체크한다.At this time, the target monitor 6, which monitors the target system, checks the damage situation and checks the damage situation with the command center.
그에 따라 커맨드 센터(서버)에서는 설정된 DDOS 모의 공격 프로그램에 따라서 에이전트(3)를 통한 타겟 시스템에 대한 공격량을 조절할 수 있다(7).Accordingly, the command center (server) can control the amount of attack against the target system through the agent 3 according to the set DDOS simulation attack program (7).
도 3은 본 발명에 따른 DDoS 방어훈련 시스템의 실시예를 설명하기 위한 도면이고, 도 4 및 도 5는 본 발명에 따른 DDoS 방어훈련 시 방어훈련을 위한 DDoS 공격 툴의 실시예를 나타낸 도면이다.3 is a diagram for explaining an embodiment of a DDoS defense training system according to the present invention, and FIGS. 4 and 5 are diagrams showing an embodiment of a DDoS attack tool for defense training during DDoS defense training according to the present invention.
본 발명에 따른 DDoS 방어훈련 시스템의 실시예는 도 3에 나타낸 바와 같이, 커맨드 센터 프로세스부(110), 데이터베이스(120), 타겟 헬스 체커 프로세스부(Target Health Checker Process)(130), 리포트 프로세스부(140) 및 도커 컨테이너부(Docker Container)(150)로 구성되는 커맨드 센터 서버(100)와 타겟 시스템 모니터(210)가 구성된 타겟 시스템 서버(200)로 구성된다.An embodiment of the DDoS defense training system according to the present invention, as shown in Figure 3, the command
여기서 커맨드 센터 프로세스부(110)는 DDoS 방어훈련에 따른 방어 능력을 체크하고자 하는 타겟 시스템 서버(200)에 대한 DDoS 공격 시작과 종료를 제어한다. Here, the command
데이터베이스(120)는 DDoS 방어훈련에 대한 타겟 시스템 서버(200)의 DDoS 방어 훈련 정보를 저장한다The
타겟 헬스 체커 프로세스부(Target Health Checker Process)(130)는 타겟 시스템 서버(200)에 대하여 커맨드 센터 프로세스부(110)로부터의 공격 시작 명령 시 공격 패킷을 생성하는 도커 컨테이너부(Docker Container)(150)의 에이전트들이 타겟 시스템 서버(200)로 DDoS 공격을 수행하도록 한다.The target health
리포트 프로세스부(140)는 타겟 시스템 서버(200)를 모니터링하는 타겟 시스템 모니터(210)로부터 타겟 시스템 서버(200)에 대한 피해상황을 보고받아 DDoS 방어 훈련 중인 타겟 시스템 서버(200)의 피해상황 상태를 리포트한다. 이러한 리포트에는 훈련 중인 타겟 시스템 서버(200)의 임계치 정보나 시간이 포함된다.The
도커 컨테이너부(Docker Container)(150)는 타겟 시스템 서버(200)에 대한 DDoS 공격을 수행하는 에이전트(151)들과 네트워크(152)가 구성된다. 이러한 에이전트(151)는 복수개로 구성되어 다수의 타겟 시스템 서버(200)에 대하여 각각의 에이전트들이 DDoS 공격을 수행하거나, 복수의 에이전트들이 하나 이상의 타겟 시스템 서버(200)에 대한 DDoS 공격을 수행한다.The
DDoS 방어훈련을 받는 타겟 시스템 서버(200)에는 타겟 시스템 모니터(210)가 구성되어 타겟 시스템 서버(200)에 대한 피해상황 정보를 리포트 프로세스부(140)로 전송한다.A target system monitor 210 is configured in the
이러한 커맨드 센터 프로세스부(110), 데이터베이스(120), 타겟 헬스 체커 프로세스부(Target Health Checker Process)(130), 리포트 프로세스부(140) 및 도커 컨테이너부(Docker Container)(150)로 구성되는 커맨드 센터 서버(100)는 단일 서버에서 봇넷(Botnet)을 구현하며 이때 OS로 리눅스(Linux)를 이용하여 구성할 수 있다.A command composed of the command
한편 도 4 및 도 5는 본 발명에 따른 DDoS 방어훈련 시 방어훈련을 위한 DDoS 공격 툴의 실시예를 나타낸 것으로, 훈련 및 테스트용의 DDoS 모의 공격 프로그램은 Simple Flooding Attack을 통해 GET Flooding, SYN Flooding, UDP Flooding 및 ICMP Flooding과 같은 알려진 공격이 가능하도록 구성되고, Service Vulnerability Attack을 통해 CC Attack, Slowloris 같은 서비스의 취약점을 이용한 DOS공격이 가능하도록 구현한 것을 보여주고 있다. 이때, Windows, Linux, Max OS와 같은 다양한 운영체제를 지원할 수 있고, Log Console을 통해 실시간 공격현황 보기가 가능하며, 공격횟수 및 지연시간 지정을 통한 공격의 강도의 지정이 가능하고, 공격 방식 및 GUI에 대하여 Python을 활용한 빠른 Customize 제공이 가능하도록 툴을 구현한 것을 보여주고 있다.Meanwhile, FIGS. 4 and 5 show an embodiment of a DDoS attack tool for defense training during DDoS defense training according to the present invention. DDoS simulation attack programs for training and testing include GET Flooding, SYN Flooding, and It is configured to enable known attacks such as UDP Flooding and ICMP Flooding, and it is shown that the DOS attack using the vulnerability of services such as CC Attack and Slowloris is possible through Service Vulnerability Attack. At this time, various operating systems such as Windows, Linux, and Max OS can be supported, real-time attack status can be viewed through the Log Console, attack strength can be specified by specifying the number of attacks and delay time, and attack method and GUI It shows that the tool is implemented to provide quick Customize using Python.
이와 같은 DDoS 방어훈련을 위한 시스템 구현을 단일서버에서 봇넷으로 구현함으로써 DDoS 방어훈련을 위한 관리자를 최소 1명으로도 운용할 수 있다.By implementing such a system for DDoS defense training as a botnet in a single server, at least one administrator for DDoS defense training can be operated.
도 6은 본 발명에 따른 DDoS 방어훈련 방법의 실시예를 설명하기 위한 흐름도이다.6 is a flowchart illustrating an embodiment of a DDoS defense training method according to the present invention.
본 발명에 따른 DDoS 방어훈련 방법의 실시예는 도 6에 나타낸 바와 같이, 커맨드 센터 프로세스부(110)는 DDoS 방어훈련에 따른 방어 능력을 체크하고자 하는 타겟 시스템 서버(200)에 대한 DDoS 공격을 명령한다(S100). 그러면 타겟 헬스 체커 프로세스부(Target Health Checker Process)(130)는 커맨드 센터 프로세스부(110)로부터의 공격 시작 명령 시 방어훈련을 수행할 타겟 시스템 서버(200)에 대하여 공격 패킷을 생성하는 도커 컨테이너부(Docker Container)(150)의 에이전트(151)로 타겟 시스템 서버(200)에 대한 DDoS 공격을 수행하도록 한다.In an embodiment of the DDoS defense training method according to the present invention, as shown in FIG. 6, the command
DDoS 방어훈련을 받는 타겟 시스템 서버(200)의 타겟 시스템 모니터(210)는 타겟 시스템 서버(200)에 대한 피해상황 정보를 리포트 프로세스부(140)로 보고한다(S110). 즉 리포트 프로세스부(140)는 타겟 시스템 서버(200)를 모니터링하는 타겟 시스템 모니터(210)로부터 타겟 시스템 서버(200)에 대한 피해상황을 보고받아 DDoS 방어 훈련 중인 타겟 시스템 서버(200)의 피해상황 상태 즉 훈련이나 테스트 중인 타겟 시스템 서버(200)의 임계치 정보나 시간에 대한 피해 유무를 커맨드 센터 프로세스부(110)로 보고한다.The target system monitor 210 of the
커맨드 센터 프로세스부(110)에서는 미리 설정된 프로그램에 따른 타겟 시스템 서버(200)이 피해유무를 판단하여(S120), 피해가 없는 경우 공격량을 증가시키고(S130), 피해가 있는 경우 재공격 여부를 미리 입력된 DDoS 공격 툴에 따라 판단한다(S140).In the command
판단결과(S140), 설정된 임계치에 도달하지 않은 경우 커맨드 센터 프로세스부(110)는 타겟 시스템 서버(200)에 대한 공격량을 축소(S150)하도록 제어한다(S110).As a result of the determination (S140), when the set threshold is not reached, the command
그러나 판단결과(S140) 설정된 임계치에 도달하였다면 커맨드 센터 프로세스부(110)는 타겟 시스템 서버(200)에 대한 공격을 중지하고, 리포트 프로세스부(140)를 통해 결과를 도출한다(S160). 또한 도출된 결과 및 DDoS 방어훈련을 받는 타겟 시스템 서버(200)에 대한 프로세스는 데이터베이스(120)에 저장된다.However, if the determination result (S140) reaches the set threshold, the command
이상과 같은 예로 본 발명을 설명하였으나, 본 발명은 반드시 이러한 예들에 국한되는 것이 아니고, 본 발명의 기술사상을 벗어나지 않는 범위 내에서 다양하게 변형 실시될 수 있다. 따라서 본 발명에 개시된 예들은 본 발명의 기술 사상을 한정하기 위한 것이 아니라 설명하기 위한 것이고, 이러한 예들에 의하여 본 발명의 기술 사상의 범위가 한정되는 것은 아니다. 본 발명의 보호 범위는 아래의 청구범위에 의하여 해석되어야 하며, 그와 동등한 범위 내에 있는 모든기술 사상은 본 발명의 권리범위에 포함되는 것으로 해석되어야 한다. Although the present invention has been described with the above examples, the present invention is not necessarily limited to these examples, and various modifications may be made without departing from the spirit of the present invention. Accordingly, the examples disclosed in the present invention are not intended to limit the technical idea of the present invention, but to explain the technical idea, and the scope of the technical idea of the present invention is not limited by these examples. The scope of protection of the present invention should be interpreted by the following claims, and all technical ideas within the scope equivalent thereto should be interpreted as being included in the scope of the present invention.
100 : 커맨드 센터 서버 110 : 커맨드 센터 프로세스부
120 : 데이터베이스 130 : 타겟 헬스 체커 프로세스부
140 : 리포트 프로세스부 150 : 도커 컨테이너부
151 : 에이전트 152 : 네트워크
200 : 타겟 시스템 서버 210 : 타겟 시스템 모니터100: command center server 110: command center processing unit
120: database 130: target health checker process unit
140: report process unit 150: docker container unit
151: agent 152: network
200: target system server 210: target system monitor
Claims (4)
DDoS 방어훈련에 대한 타겟 시스템 서버(200)의 DDoS 방어 훈련 정보가 저장되는 데이터베이스(120);
상기 타겟 시스템 서버(200)에 대하여 상기 커맨드 센터 프로세스부(110)로부터의 공격 시작 명령 시 공격 패킷을 생성하는 도커 컨테이너부(Docker Container)(150)의 에이전트들(151)이 상기 타겟 시스템 서버(200)로 DDoS 공격을 수행하도록 제어하는 타겟 헬스 체커 프로세스부(Target Health Checker Process)(130);
상기 타겟 시스템 서버(200)를 모니터링하는 타겟 시스템 모니터(210)로부터 상기 타겟 시스템 서버(200)에 대한 피해상황을 보고받아 DDoS 방어 훈련 중인 타겟 시스템 서버(200)의 피해상황 상태를 리포트하는 리포트 프로세스부(140); 및
상기 타겟 시스템 서버(200)에 대한 DDoS 공격을 수행하는 에이전트(151)들과 네트워크(152)가 구성되는 도커 컨테이너부(Docker Container)(150);를 포함하는 커맨드 센터 서버(100)와,
상기 커맨드 센터 서버(100)에 의해 DDoS 방어훈련을 수행받는 상기 타겟 시스템 서버(200);로 구성되되,
상기 커맨드 센터 서버(100)는 관리자를 1명으로 운용할 수 있도록 단일 서버에서 봇넷(Botnet)으로 구현하고,
상기 훈련 및 테스트용의 DDoS 모의 공격을 위한 툴은,
Simple Flooding Attack을 통해 GET Flooding, SYN Flooding, UDP Flooding 및 ICMP Flooding과 같은 알려진 공격이 가능하도록 구성되고, Service Vulnerability Attack을 통해 CC Attack, Slowloris 같은 서비스의 취약점을 이용한 DOS공격이 가능하도록 구현되며,
Log Console을 통해 실시간 공격현황 보기가 가능하고, 공격횟수 및 지연시간 지정을 통한 공격의 강도의 지정이 가능하며, 공격 방식 및 GUI에 대하여 Python을 활용한 빠른 Customize 제공이 가능하도록 구현되고,
상기 도커 컨테이너부(Docker Container)(150)의 상기 에이전트(151)는 복수개로 구성되어 다수의 타겟 시스템 서버(200)에 대하여 각각의 에이전트들이 DDoS 공격을 수행하거나, 복수의 에이전트들이 하나 이상의 타겟 시스템 서버(200)에 대한 DDoS 공격을 수행하도록 하는 것을 특징으로 하는 DDoS 방어훈련 시스템.
A command center processing unit 110 for controlling the start and end of a DDoS attack against the target system server 200 to check the defense capability according to the DDoS defense training for training and testing;
A database 120 in which DDoS defense training information of the target system server 200 for DDoS defense training is stored;
Agents 151 of a Docker container 150 that generate an attack packet when an attack start command from the command center processing unit 110 to the target system server 200 is commanded to the target system server ( A target health checker process 130 for controlling to perform a DDoS attack by 200);
Report process of receiving a report of the damage situation to the target system server 200 from the target system monitor 210 monitoring the target system server 200 and reporting the damage situation of the target system server 200 undergoing DDoS defense training Part 140; And
A command center server 100 including a Docker container 150 in which agents 151 and a network 152 that perform a DDoS attack on the target system server 200 are configured; and
The target system server 200 receiving DDoS defense training by the command center server 100; consisting of,
The command center server 100 is implemented as a botnet in a single server so that one administrator can operate,
The tool for the DDoS simulation attack for training and testing,
It is configured to enable known attacks such as GET Flooding, SYN Flooding, UDP Flooding, and ICMP Flooding through Simple Flooding Attack, and implemented to enable DOS attack using vulnerabilities of services such as CC Attack and Slowloris through Service Vulnerability Attack.
Real-time attack status can be viewed through the Log Console, attack strength can be specified by specifying the number of attacks and delay time, and the attack method and GUI can be quickly customized using Python.
The agent 151 of the Docker Container 150 is composed of a plurality of agents, and each agent performs a DDoS attack against a plurality of target system servers 200, or a plurality of agents are used to perform a DDoS attack, DDoS defense training system, characterized in that to perform a DDoS attack on the server 200.
커맨드 센터 프로세스부(110)가 DDoS 방어훈련에 따른 방어 능력을 체크하고자 하는 타겟 시스템 서버(200)에 대한 DDoS 공격을 명령함에 따라 타겟 헬스 체커 프로세스부(Target Health Checker Process)(130)는 커맨드 센터 프로세스부(110)로부터의 공격 시작 명령 시 방어훈련을 수행할 상기 타겟 시스템 서버(200)에 대하여 공격 패킷을 생성하는 도커 컨테이너부(Docker Container)(150)의 에이전트(151)로 타겟 시스템 서버(200)에 대한 DDoS 공격을 수행하도록 제어하는 단계(S100);
DDoS 방어훈련을 받는 상기 타겟 시스템 서버(200)의 타겟 시스템 모니터(210)는 타겟 시스템 서버(200)에 대한 피해상황 정보를 리포트 프로세스부(140)로 보고하는 단계(S110); 및
상기 커맨드 센터 프로세스부(110)에서는 미리 설정된 프로그램에 따른 타겟 시스템 서버(200)의 피해유무에 따라 공격량을 증가시키거나(S130), 피해가 있는 경우 재공격 여부를 미리 입력된 DDoS 공격 툴에 따라 판단하여(S140), 설정된 임계치에 도달하지 않은 경우 상기 커맨드 센터 프로세스부(110)는 타겟 시스템 서버(200)에 대한 공격량을 축소(S150)하도록 제어하고(S110), 설정된 임계치에 도달하였다면 상기 커맨드 센터 프로세스부(110)는 상기 타겟 시스템 서버(200)에 대한 공격을 중지하고, 리포트 프로세스부(140)를 통해 상기 타겟 시스템 서버(200)의 방어능력 결과를 도출하는 단계(S160);를 포함하여 이루어지되,
상기 도커 컨테이너부(Docker Container)(150)의 상기 에이전트(151)는 복수개로 구성되어 다수의 타겟 시스템 서버(200)에 대하여 각각의 에이전트들이 DDoS 공격을 수행하거나, 복수의 에이전트들이 하나 이상의 타겟 시스템 서버(200)에 대한 DDoS 공격을 수행하는 것을 특징으로 하는 DDoS 방어훈련 방법.A DDoS defense training method using the DDoS defense training system according to claim 1,
As the command center processing unit 110 orders a DDoS attack against the target system server 200 to check the defense capability according to the DDoS defense training, the target health checker process 130 When the attack start command from the process unit 110 is commanded, the target system server ( Controlling to perform a DDoS attack on 200) (S100);
The target system monitor 210 of the target system server 200 receiving DDoS defense training reports the damage situation information on the target system server 200 to the report processing unit 140 (S110); And
The command center processing unit 110 increases the amount of attack according to the presence or absence of damage to the target system server 200 according to a preset program (S130), or if there is damage, whether or not to re-attack is entered in the DDoS attack tool. It is determined accordingly (S140), and if the set threshold is not reached, the command center processing unit 110 controls to reduce the attack amount against the target system server 200 (S150) (S110), and if the set threshold is reached The command center processing unit 110 stopping the attack on the target system server 200 and deriving a defense capability result of the target system server 200 through the report processing unit 140 (S160); Including,
The agent 151 of the Docker Container 150 is composed of a plurality of agents, and each agent performs a DDoS attack against a plurality of target system servers 200, or a plurality of agents are used to perform a DDoS attack, or DDoS defense training method, characterized in that performing a DDoS attack on the server 200.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| KR1020180152486A KR102170982B1 (en) | 2018-11-30 | 2018-11-30 | DDoS defense training system and method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| KR1020180152486A KR102170982B1 (en) | 2018-11-30 | 2018-11-30 | DDoS defense training system and method |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| KR20200065739A KR20200065739A (en) | 2020-06-09 |
| KR102170982B1 true KR102170982B1 (en) | 2020-10-28 |
Family
ID=71082529
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| KR1020180152486A KR102170982B1 (en) | 2018-11-30 | 2018-11-30 | DDoS defense training system and method |
Country Status (1)
| Country | Link |
|---|---|
| KR (1) | KR102170982B1 (en) |
Citations (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR101534192B1 (en) * | 2014-12-08 | 2015-07-08 | 한국인터넷진흥원 | System for providing cybersecurity realtime training against attacks and method thereof |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20060027748A (en) * | 2004-09-23 | 2006-03-28 | 한국전자통신연구원 | Dynamic simulation system and method reflecting user's input on network security simulation |
| KR101092090B1 (en) | 2010-07-07 | 2011-12-12 | 삼성에스디에스 주식회사 | SYSTEM AND METHOD FOR RESPONDING DDoS OFFENSIVE |
| KR101420196B1 (en) | 2013-01-18 | 2014-07-18 | 한남대학교 산학협력단 | METHOD AND APPARATUS FOR RESPONDING DDoS OFFENSIVE |
-
2018
- 2018-11-30 KR KR1020180152486A patent/KR102170982B1/en active IP Right Grant
Patent Citations (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR101534192B1 (en) * | 2014-12-08 | 2015-07-08 | 한국인터넷진흥원 | System for providing cybersecurity realtime training against attacks and method thereof |
Also Published As
| Publication number | Publication date |
|---|---|
| KR20200065739A (en) | 2020-06-09 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10230761B1 (en) | Method and system for detecting network compromise | |
| US10362048B2 (en) | Distributed online wireless security test system | |
| CN103842965B (en) | Malware analysis system | |
| US20160241574A1 (en) | Systems and methods for determining trustworthiness of the signaling and data exchange between network systems | |
| US20170339190A1 (en) | Device-specific packet inspection plan | |
| US10693904B2 (en) | System and method for information security threat disruption via a border gateway | |
| US20230156032A1 (en) | Non-Disruptive Diagnostic and Attack Testing Methods and Systems | |
| EP3145150A1 (en) | Cyber defence and network traffic management using virtualized emulation of network resources | |
| Dondossola et al. | Effects of intentional threats to power substation control systems | |
| EP3145149B1 (en) | Cyber defence and network traffic management using emulation of network resources | |
| US8763121B2 (en) | Mitigating multiple advanced evasion technique attacks | |
| Berbecaru et al. | TLS-Monitor: A monitor for TLS attacks | |
| Riegler et al. | A distributed MAPE-K framework for self-protective IoT devices | |
| CN112787985B (en) | Vulnerability processing method, management equipment and gateway equipment | |
| KR102170982B1 (en) | DDoS defense training system and method | |
| EP3144840A1 (en) | Computer security system | |
| US11563753B2 (en) | Security surveillance system and security surveillance method | |
| Hadarics et al. | Mathematical Model of Distributed Vulnerability Assessment | |
| US20170346844A1 (en) | Mitigating Multiple Advanced Evasion Technique Attacks | |
| US11108800B1 (en) | Penetration test monitoring server and system | |
| Lei et al. | Detecting root-level endpoint sensor compromises with correlated activity | |
| US20180091527A1 (en) | Emulating network traffic | |
| Ekoramaradhya et al. | A Novel DevSecOps Model for Robust Security in an MQTT Internet of Things | |
| KR102545705B1 (en) | SYSTEM OF DETECTION AND DEFENSING AGAINST DDoS ATTACK AND METHOD THEREOF | |
| KR20170079528A (en) | Network device and method for session processing control thereof |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| E902 | Notification of reason for refusal | ||
| E701 | Decision to grant or registration of patent right | ||
| GRNT | Written decision to grant |