KR20080028381A - 타겟 희생자 자체-식별 및 제어에 의해 ｉｐ네트워크들에서 서비스 거부 공격들에 대한 방어 방법 - Google Patents

타겟 희생자 자체-식별 및 제어에 의해 ｉｐ네트워크들에서 서비스 거부 공격들에 대한 방어 방법 Download PDF

Info

Publication number
KR20080028381A
KR20080028381A KR1020077030525A KR20077030525A KR20080028381A KR 20080028381 A KR20080028381 A KR 20080028381A KR 1020077030525 A KR1020077030525 A KR 1020077030525A KR 20077030525 A KR20077030525 A KR 20077030525A KR 20080028381 A KR20080028381 A KR 20080028381A
Authority
KR
South Korea
Prior art keywords
address
source
destination
packets
pairs
Prior art date
Application number
KR1020077030525A
Other languages
English (en)
Other versions
KR101217647B1 (ko
Inventor
에릭 헨리 그루스
Original Assignee
루센트 테크놀러지스 인크
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 루센트 테크놀러지스 인크 filed Critical 루센트 테크놀러지스 인크
Publication of KR20080028381A publication Critical patent/KR20080028381A/ko
Application granted granted Critical
Publication of KR101217647B1 publication Critical patent/KR101217647B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/22—Arrangements for preventing the taking of data from a data transmission channel without authorisation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/141—Denial of service attacks against endpoints in a network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/146—Tracing the source of attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

공격의 타겟 희생자가 공격의 존재를 인식하고 이의 소스를 식별하는 서비스 거부 공격에 대해 방어하는 방법 및 장치에 관한 것이다. 서비스를 희생자에게 제공하는 캐리어 네트워크는 하나 이상의 IP(인터넷 프로토콜) 소스/목적지 IP 어드레스 쌍들을 희생자로부터 자동으로 수신하고 나서 식별된 소스 어드레스로부터 식별된 목적지 어드레스로 패킷들을 전송을 제한(예를 들어, 차단)한다. 이 캐리어는 네트워크에 포함되는 독립형 박스로서 또는 네트워크에 이미 존재하는 다른 종래 네트워크 요소들로 포함되는 라인 카드로서 이 필터링 성능을 구현할 수 있다. 차단될 소스/목적지 어드레스 쌍들은 보안 서명들을 사용하여 그리고 희생자로부터 캐리어 네트워크로 리던턴트 커넥션들(redundant connections)을 사용하여 희생자로부터 유용하게 통신되어 혼잡된 네트워크 상황들하에서 조차도 수신을 보장한다.
Figure P1020077030525
캐리어 네트워크, 라인 카드, 소스 어드레스, 목적지 어드레스, 좀비 기계

Description

타겟 희생자 자체-식별 및 제어에 의해 ＩＰ 네트워크들에서 서비스 거부 공격들에 대한 방어 방법{METHOD FOR DEFENDING AGAINST DENIAL OF SERVICE ATTACKS IN IP NETWORKS BY TARGET VICTIM SELF-IDENTIFICATION AND CONTROL}
관련된 출원에 대한 교차 참조
본 출원은 본 발명의 양수인에게 공통으로 할당된 E.Groose 및 T. Woo에 의해 출원된 발명의 명칭이 "Method And Apparatus For Defending Against Denial Of Service Attacks In IP Networks By Target Victim Self-Identification And Control"인 공동 계류중인 미국 특허 출원 일련 번호_____________에 관련된다.
본 발명은 일반적으로 인터넷 프로토콜(IP) 네트워크들과 같은 패킷 기반 통신 네트워크들에서 컴퓨터 보안 분야에 관한 것이며, 특히 타겟 희생자의 캐리어 네트워크 서비스 제공자가 악의의 패킷들을 식별하기 위하여 타겟 희생자 자신으로부터 자동으로 수신되는 소스/목적지 IP 어드레스 쌍들의 스팩(specification)에 기초하여 악의 있는 패킷들의 라우팅을 제어하는 상기 네트워크들에서의 서비스 거부 공격들에 대한 방어를 위한 방법 및 장치에 관한 것이다.
매일 수천개의 새로운 "좀비들(zombies)"이 하이재킹된 PC들(개인용 컴퓨터들)의 풀(pool)에 가입하여 이메일 사용자들에게 스팸을 보내고, 이-커머스 사이트 들, 정부 자원들과 이외 다른 네트워크 기반구조에 대한 서비스 거부(DoS) 공격들을 론칭한다. 실제로, 매일 170,000만 개 정도의 좀비 기계들이 인터넷에 부가되는 것으로 추정된다. 서비스 거부(DoS) 공격들은 특히 제한된 자원들이 합법적 이용 대신에 공격자들에 할당할 필요가 있을 때 주요 서비스를 파괴시킬 수 있다. 이와 같은 공격들은 2004년에 $26,000,000 이상의 손실을 발생시킨 것으로 추정된다. 공격 기계들은 통상적으로 원격 마스터들에 의해 제어되는 좀비 기계들이고, 전형적으로 인터넷으로 방대한 수의 IP(인터넷 프로토콜) 패킷들을 공격의 타겟 희생자에게 전송함으로써 손상을 입힌다. 이와 같은 공격들을 부추기는 범죄자는 소기업을 쓰러뜨리고자 하는 10대부터 대기업으로부터 돈을 탈취하고자 하는 국제 범죄 조직들에까지 이른다.
현재, 이와 같은 서비스 거부 공격들에 대한 방어를 위한 2가지 공통적으로 사용되는 접근법들, 즉 주로 수동 접근법 및 자동화된 접근법이 존재한다. 제1 접근법은 캐리어가 보고된 공격 소스를 식별하고 네트워크를 통해서 공격의 일부분인 패킷들을 희생자가 수신하는 것을 막기 위해 보호벽을 조장하는 요청과 결합되어, 희생자의 서비스 제공자(즉, 캐리어)에게 공격의 수동(예를 들어, 전화)보고에 앞서, 최종 사용자(즉, 타겟 희생자)에 의한 공격의 존재의 수동 식별을 필요로 한다. 가장 전형적으로, 이와 같은 접근법은 상기 소스로부터의 임의의 패킷들(또는 공격의 존재를 식별하고 보고하는 특정 공격 희생자로 향하는 소스로부터의 적어도 임의의 패킷들)의 수용 거부에 앞서, 공격 패킷들의 소스를 식별하는 캐리어를 발생시킬 것이다.
서비스 거부 공격들에 대한 방어를 위한 제2 접근법은 보호될 최종 사용자를 향하는 모든 패킷을 통과시키는 복잡한 "패킷 워셔(packet washer)" 또는 "스크러버(scrubber)" 필터들을 서비스 제공자가 포함할 필요가 있는 더욱 자동화된 프로세스를 제공한다. 즉, 주어진 최종 사용자의 트래픽 모두는 이와 같은 필터를 통해서 라우팅되도록 인터넷 라우팅 테이블들에 대한 변화가 이루어지는데, 이와 같은 필터는 패킷이 악의적인지 여부를 결정하기 위한 시도시에 각 패킷을 순서로 검사한다. 이것이 악의적이지 않은 것으로 나타내면, 최종 사용자로 전달되지만, 악의적인 것으로 나타나면, 이는 필터링 제거되고 폐기된다.
그러나, 이들 방법들 각각은 상당한 제한들을 갖는다. 제1 접근법은 실질적인 수동 중재(intervention)를 필요로 하고 이미 상당한 손상을 겪을 때까지 공격의 문제를 종종 처리할 수 없다. 그리고, 제2 접근법은 패킷들의 애플리케이션 분석에 레버리지할 수 없는데, 그 이유는 종종 타겟만이 패킷의 데이터 내용을 추출하여 분석할 수 있기 때문이다. (예를 들어, 암호 프로토콜들이 사용되면, 이는 단지 인코딩된 패킷 데이터를 디코딩할 수 있는 최종 목적지이다). 게다가, 희생자의 애플리케이션에 대한 레버리지된 공격이 과다 대역폭만을 기초로 하는 것이 아니라, 오히려 특정 유형들의 기능적인 요청들로부터 발생될 수 있다. 따라서, 서비스 거부 공격들의 문제에 대한 해법이 필요로 되는데, 이 공격들은 즉각적으로 인식되며, 식별되고 (바람직하게는 수동 중재 없이) 중지된다.
본 발명은 서비스 거부 공격의 존재를 인식하기 위한 최적의 장소가 (그 자체로 공격들을 식별하고 처리하기 위한 최종 동기를 갖는) 타겟 희생자인 반면, 공격에 대해 방어하기 위한 최적의 장소가 네트워크 (즉, 캐리어의 네트워크) 내에 있다는 것을 인식한다. 이와 같이, 본 발명의 원리들을 따르면, 2개의 상술된 종래 기술의 방법들 각각의 이점들은 대응하는 단점들 없이 유용하게 실현될 수 있다. 특히, 본 발명은 서비스 거부 공격에 대해 방어하기 위한 방법 및 장치를 제공하는데, 주어진 타겟 희생자를 서비스하는 캐리어 네트워크는 이렇게 하기 위하여 타겟 희생자로부터 자동화된 명령들에 기초하여 소스로부터 타겟 희생자로 악의있는 패킷들의 전송을 제한한다. 특히, 타겟 희생자는 공격의 존재를 인식하며, 공격의 소스를 식별하고 특정 소스/목적지 IP 어드레스 쌍들에 기초하여 악의있는 패킷들을 식별하는 방법을 캐리어 네트워크에 자동으로 표시한다고 추정된다.
특히, 본 발명은 희생자에 패킷 기반 통신 서비스를 제공하는 인터넷 프로토콜(IP) 기반 캐리어 네트워크로 구현되는 타겟 희생자에 대한 서비스 거부 공격에 대한 방어를 위한 방법 및 장치를 제공한다. 본 발명의 방법(또는 장치)은 서비스 거부 공격이 행해진다고 주장하는 희생자로부터 자동화된 표시를 수신하는 단계(또는 수단); 소스 IP 어드레스 및 목적지 IP 어드레스(목적지 IP 어드레스는 희생자와 관련된 IP 어드레스들 중 하나)을 포함하는 IP 어드레스들의 하나 이상의 쌍들을 희생자로부터 수신하는 단계(또는 수단); 희생자로부터 수신된 IP 어드레스들의 쌍들 중 하나의 소스 IP 어드레스 및 목적지 IP 어드레스에 매칭하는 소스 IP 어드레스 및 목적지 IP 어드레스를 갖는 IP 패킷들을 식별하기 위하여 네트워크를 통해서 IP 패킷 트래픽을 모니터하는 단계(또는 수단); 및 식별된 IP 패킷들(즉, 상기 희생자로부터 수신된 IP 어드레스들의 쌍들 중 하나의 소스 IP 어드레스 및 목적지 IP 어드레스에 매칭하는 소스 IP 어드레스 및 목적지 IP 어드레스를 갖는 패킷들)의 전송을 제한(예를 들어, 차단)하는 단계(또는 수단)을 포함한다.
도1은 본 발명의 실시예에 따른 서비스 거부 공격에 대해 방어하기 위한 장치를 사용하는 네트워크 환경을 도시한 도면.
도2는 본 발명의 실시예에 따른 서비스 거부 공격들에 대해 방어하기 위한 방법의 순서도.
본 발명의 실시예에 따르면, 좀비 공격 프로세서(Zombie Attack Processor)(이하부터, "재퍼(Zapper)")는 공격자들이 캐리어로 디나운스(denounce)함으로써 서비스 거부 공격의 희생자가 "푸시 백(push back)"하도록 하는 새로운 유형의 보안 장치를 제공하는데, 이는 응답시 차단될 소스/목적지 IP 어드레스 쌍들의 테이블을 갱신할 것이다. 특히, 공격이 발생되었다는 것을 인식할 때, 희생자는 공격의 일부로 간주되는 패킷들에 규정된 소스 및 목적지 IP 어드레스들의 하나 이상의 쌍들을 식별하고 이들 IP 어드레스 쌍들을 차단을 위한 캐리어로 통신할 것이다.
본 발명의 특정 실시예들을 따르면, 공격자(즉, 식별된 소스 IP 어드레스 또는 어드레스들)는 네트워크로부터 완전하게 컷오프하는 것을 필요로 하는 것이 아니라 패킷들을 희생자(즉, 식별된 목적지 IP 어드레스 또는 어드레스들)로만 전송 하는 것을 금지할 수 있다는 점에 유의하라. 이는 식별된 소스 IP 어드레스 또는 어드레스들은 희생자에 대해 주어진 공격을 위하여 인수받는 합법적인 사용자(즉, 좀비)를 표시하는 경우에 특히 유용할 수 있다. 따라서, 인수받은 기계의 소유자는 합법적인 용도를 위하여 시스템을 계속 사용할 수 있는 반면에, 그럼에도 불구하고 희생자에 대해 (합법적인 사용자에게 알려지지 않음) 행해진 공격이 유용하게 훼방받는다. 게다가, 본 발명의 실시예들을 따른 기술은 또한 주어진 희생자에 의해 공격자들의 과도하게 열정적인 식별로부터 유용하게 보호된다는 점에 유의하라. 본 발명의 원리들을 따르면, 공격의 식별은 명백한 희생자의 판단으로 남게 되기 때문에, 주어진 희생자로의 유일한 트래픽을 컷오프하거나 억제하는 것이 유용하다.
디넌시에이션 프로토콜(denunciation protocol)은 보안 서명들을 포함함으로써 재퍼 기반구조 그 자체가 서비스 거부 공격을 론칭하도록 사용될 수 없다. 게다가, 이 프로토콜은 캐리어 네트워크로의 리던턴트 커넥션들 뿐만 아니라 리던턴트 UDP(사용자 데이터그램 프로토콜)을 유용하게 이용하여, 혼잡된 네트워크 조건들 하에서조차도 전달을 보장하도록 한다. (UDP는 당업자에게 매우 친숙한 IP 통신 프로토콜이다). 네트워크 프로세서들 및 메모리들의 진보들은 희생자 또는 캐리어 중 어느 하나에 의해 수동 중재를 필요로 하지 않고 초기 라우터들의 용량을 넘어서 이와 같은 방어가 잠재적으로 많은 수의 공격자들로 확대될 수 있도록 함으로써, 매우 적절하게 응답할 수 있다.
본 발명의 다양한 실시예에 따르면, 이와 같은 재퍼링 필터링 엔진은 캐리어 네트워크에 포함되는 독립형 상자로서 또는 대안적으로 네트워크에 이미 존재하는 다른 종래 네트워크 요소들로 포함되는 라인 카드로서 구현될 수 있다. 게다가, 본 발명의 특정 실시예들을 따르면, 재퍼 필터는 공격 기원들에 비교적 근접한 위치에 있는 네트워크 내의 캐리어에 의해 유용하게 전개될 수 있거나, 공격으로부터 프리미엄 고객들(premium customers)을 유용하게 방어하도록 초기에 배치될 수 있다.
본 발명의 다양한 실시예들을 따르면, 차단될 IP 어드레스 쌍 엔트리들은 타임 아웃(즉, 소정의 경과된 시간 기간 후 자동으로 제거된다)될 수 있거나 대안적으로 명백하게 발부된 유예들(reprieves)에 의해 명백하게 될 수 있다. 이 방식으로, 네트워크는 가비지(garbage) 수집 알고리즘들을 이용할 필요 없이 클린 상태로 유용하게 리턴될 것이다. 예시적으로, 디나운서들(즉, 공격에 대한 식별 및 보호할 수 있는 캐리어 네트워크의 고객들)에는 예를 들어 제한된 수의 "치트들(chits)"(진입되거나 차단될 소스/목적지 IP 어드레스 쌍들), 즉, 예를 들어, 십만개 정도가 제공될 수 있는데, 이는 주어진 고객이 예를 들어 주어진 서비스 제공자(즉, 캐리어)를 다루는 비지니스 량에 비례하는 것에 기초한다.
게다가, 본 발명의 특정 실시예에 따르면, 네트워크 진단은, 패킷이 차단된 소스/목적지 IP 어드레스 쌍을 포함하는 것으로 식별되어서 드롭될 때마다 예를 들어 소정 확률로 ICMP(당업자에게 익히 알려진 Internet Control Message Protocol) 도달될 수 없는 메시지를 예시적인 재퍼가 리턴시킴으로써 유용하게 제공된다. 이와 같은 에러 리턴은 본 발명의 일 실시예에 따르면 차단된 패킷의 전송자가 이와 같은 패킷들에 대한 차단 요청을 누가 하는지에 관한 상세한 설명(details)에 대해 데이터베이스에 질의하는 코드를 포함하고 가능한 이와 같은 요청에 대한 이유들을 포함한다.
그리고, 본 발명의 특정 실시예들을 따르면, 보충 툴들(supplementary tools)이 또한 유용하게 제공될 수 있다. 예를 들어, 이와 같은 툴들은 레버리지된 서비스 거부 공격들의 인식을 위한 인터넷 서버 플러그-인들, 다양한 IDS 시스템들(인트루젼 검출 시스템들)로의 링크들, 네트워크 진단용 데이터베이스(상기 논의 참조) 및 주어진 캐리어의 기반구조 내에서 재퍼 기능성의 배치를 위한 지침을 제공하기 위한 방법들을 포함할 수 있다. 이들 보충적인 툴들 중 다양한 툴을 제공하는 본 발명의 예시적인 실시예들은 본원의 설명과 관련하여 당업자에게 명백할 것이다.
잠재적으로 많은 수(예를 들어, 수백만들)의 매우 간단한 룰들에 기초하여 동작하는 것을 제외하면, 본 발명의 특정 실시예들을 따른 재퍼 필터링 메커니즘의 동작은 종래의 파이어월(firewall)과 유사하다는 점에 유의하라. 특히, 재퍼 룰들은 "주어진 패킷의 소스 IP 어드레스가 a.b.c.d이고 패킷의 목적지 IP 어드레스가 w.x.y.z인 경우, 패킷을 차단(즉, 드롭)"하는 형태로 표현될 수 있다.
본 발명의 다른 예시적인 실시예들을 따르면, 주어진 소스 및 목적지 IP 어드레스로 패킷들의 전송을 금지하는 것이 아니라, 재퍼 필터는 이와 같은 패킷들을 탈우선화(de-prioritize) 할 수 있다. 즉, 필터링 메커니즘은 이와 같은 패킷들에 낮은 라우팅 우선순위를 할당하거나 이와 같은 패킷들에 대해 패킷 레이트 제한을 실시할 수 있다. 어느 경우든, 주어진 소스 및 목적지 IP 어드레스들을 갖는 패킷들은 트래픽에 상당한 영향을 미칠 수 없으므로, 희생자에 대해서 더이상 성공적인 서비스 거부 공격을 하지 못할 것이다.
본 발명의 다양한 실시예들을 따르면, 공격 검출은 간결도 또는 복잡도를 변화시키는 알고리즘들에 의해 희생자가 유용하게 인식할 수 있는데, 이들 많은 알고리즘들은 당업자에게 명백하다. 예를 들어, 본 발명의 예시적인 실시예에 따르면, 애플리케이션 로그들이 검사될 수 있고 공격은 단일 식별된 소스 또는 다수의 식별된 소스들 중 하나로부터 매우 높은 트래픽 레벨들(예를 들어, 고 패킷 레이트들)의 존재만에 기초하여 식별될 수 있다. (이는 서비스 거부 공격의 존재를 식별하는 종래의 방법이고 당업자에게 친숙하다는 점에 유의하라)
그러나, 본 발명의 또 다른 실시예에 따르면, 패킷 컨텐츠 분석 기반 애플리케이션은 예를 들어 비존재 데이터베이스 요소들을 위한 빈번한 데이터베이스 검색들을 한다는 것을 인식하며; 어떤 사람이 다수의 요청들을 시작할 수 있는 것보다 더 높은 레이트로 발생되는 명백하게 사람으로부터의 다수의 요청들이 존재한다는 것을 인식; 구문론적으로 무효한 요청들을 식별하며; 정상적으로 발생하는 활동도의 동작에서 특정한 민감한 시간(sensitive times)에서 트래픽의 의심스러운 트래픽 량을 식별하는 것과 같은 의심스러운 특성을 갖는 패킷들의 순서들 또는 패킷들을 식별하도록 수행될 수 있다. (예를 들어 증권 거래 웹 사이트가 긴급한 증권 거래 동안 민감한 시간에서 특히 파괴적인 트래픽을 통지하면 의심스러운 패킷들의 후자의 클래스의 예가 식별될 수 있다). 그리고 본 발명의 다른 실시예들에 따르면, 예를 들어 상술된 상황들 중 하나 이상을 포함할 수 있는 가능한 공격의 다수의 상이한 인덱스들은 더욱 복잡한 분석에서 유용하게 결합되어 공격의 존재를 식 별한다.
도1은 본 발명의 실시예에 따른 서비스 거부 공격에 대해 방어하기 위한 장치를 사용하는 네트워크 환경을 도시한다. 이 도면은 타겟 희생자(11)(이는 예를 들어 은행 또는 다른 금융 기관일 수 있다)를 도시한다. 타겟 희생자(11)는 이와 관련된 하나 이상의 IP 어드레스들(도시되지 않음)을 갖는 것으로 추정된다는 점에 유의하라. 또한, 본 발명의 원리들을 따르면 서비스 거부 공격이 타겟 희생자(11)에 대해 행해지는지를 결정하기 위하여 본 발명의 실시예에 따라서 동작하는 공격 검출기(12)가 타겟 희생자(11)와 관련된다.
캐리어 네트워크(13), 즉 타겟 희생자(11)에 서비스를 제공하는 네트워크 캐리어는 다양한 소스들로부터 IP 패킷들을 수신하고 이들을 타겟 희생자(11)로 전송한다. 도면에 도시된 바와 같이, 희생자로 전송되는 IP 패킷들은 실제로 서비스 거부 공격과 관련되고 많은 수의 좀비 기계들(14)에 의해 전송된다. 캐리어 네트워크(13)는 또한 본 발명의 실시예에 따른 서비스 거부 공격들에 대해 유용하게 방어하는 재퍼(15)를 포함한다.
특히, 본 발명의 실시예에 따라 동작시, 재퍼(15)는 서비스 거부 공격이 타겟 희생자(11)에 대해 행해지는지를 결정할 때 공격 검출기(12)로부터 하나 이상의 소스/목적지 IP 어드레스 쌍들을 수신한다. 따라서, 캐리어 네트워크(13)는 소스 IP 어드레스 및 목적지 IP 어드레스가 임의의 수신된 소스/목적지 IP 어드레스 쌍들 중 어느 것에 매칭하는 IP 패킷들의 전송을 유용하게 제한(예를 들어, 차단)함으로써, 희생자(11)를 공격하는 좀비들(14)로부터 서비스 거부 공격을 제한시킨다. 재퍼(15)는 리던던트 커넥션(17)을 통해서 공격 검출기(12)로부터 소스/목적지 IP 어드레스 쌍들을 유용하게 수신한다는 점에 유의하라. 좀비들(14)로부터 관련되지 않은 서버들(16)로 전송되는 IP 패킷들이 영향받지 않도록 하는 것이 유용하다는 점에 유의하라.
도2는 본 발명의 실시예에 따른 서비스 거부 공격들에 대해 방어하기 위한 방법의 순서도를 도시한다. 도2의 방법은 주어진 타겟 희생자에 서비스하고 서비스 거부 공격이 주어진 타겟 희생자에 대해 행해진다는 표시를 수신함으로써 (블록(21)에 도시된 바와 같이) 시작되는 네트워크 캐리어에서 수행된다. 그 후(블록(22)에 도시된 바와 같이), 네트워크 캐리어는 서비스 거부 공격을 훼방하도록 차단되어야 하는 IP 패킷들을 표시하는 하나 이상의 소스/목적지 IP 어드레스 쌍들을 수신한다. (예시적으로, 소스 IP 어드레스들은 공격하는 "좀비(zombie)" 기계들의 어드레스들이고 목적지 IP 어드레스들은 타겟 희생자 자체와 관련된 어드레스들이다). 다음에(블록(23)에 도시된 바와 같이), 네트워크 캐리어는 소스 및 목적지 IP 어드레스들이 수신된 소스/목적지 IP 어드레스 쌍드 중 하나와 매칭하는 IP 패킷들을 식별하도록 IP 패킷 트래픽을 모니터한다. 그리고, 최종적으로(블록(24)에서 도시된 바와 같이), 네트워크 캐리어는 식별된 IP 패킷들을 차단함으로써, 타겟 희생자에 대한 서비스 거부 공격을 훼방한다.
상세한 설명에 대한 부록
상기 논의 모두는 단지 본 발명의 일반적인 원리들을 도시한 것이라는 점에 유의하여야 한다. 본원에 명백하게 설명되거나 도시되지 않았지만, 본 발명의 원리 들을 구체화하고 원리 및 범위 내에 포함되는 다양한 다른 배열들을 고안할 수 있다는 것을 당업자는 인식할 것이다. 예를 들어, 본 발명이 특히 인터넷 프로토콜(IP) 네트워크들에 대해서 설명되었지만, 사용된 특정 통신 프로토콜이 본 발명의 원리들에 관련되지 않으므로 본 발명은 패킷들이 소스 및 이와 관련된 목적지 어드레스가 네트워크를 통해서 전송되는 임의의 데이터 패킷 기반 네트워크의 컨텍스트에 동일한 방식으로 사용될 수 있다는 것이 당업자에게 명백할 것이다.
게다가, 본원에 인용된 모든 예들 및 조건부 언어는 원리적으로 본 기술을 진행시키는 본 발명가에 의해 기여된 개념들 및 본 발명의 원리들을 독자가 이해하도록 하기 위한 것이지 이와 같이 특별히 인용된 예들 및 조건들로 제한되는 것으로서 해석되지 않아야 한다. 게다가, 본 발명의 인용된 원리들, 양상들 및 실시예들 뿐만 아니라 이들의 특정 예들의 모든 진술 내용은 구조적이고 기능적인 등가물 둘 다를 포함한다. 이와 같은 등가물들은 현재 알려져 있는 등가물들뿐만 아니라 장차 개발될 등가물들, 즉 구조에 관계없이 동일한 기능을 수행하도록 개발된 임의의 소자들을 포함한다.

Claims (10)

  1. 타겟 희생자에 대한 서비스 거부 공격들에 대해 방어하기 위한 완전 자동화된 방법으로서, 상기 방법은 IP 패킷들을 타겟 희생자에 전송함으로써 상기 타겟 희생자로 패킷 기반 통신 서비스들을 제공하는 패킷 기반 캐리어 네트워크에서 구현되며, 상기 타겟 희생자는 자신과 연관된 하나 이상의 IP 어드레스들을 갖는, 서비스 거부 공격들에 대해 방어하기 위한 완전 자동화된 방법에 있어서,
    서비스 거부 공격이 행해진다고 주장하는 상기 타겟 희생자로부터 자동화된 표시를 수신하는 단계;
    전송이 제한되도록 하는 IP 패킷들의 표시하는 IP 어드레스들의 하나 이상의 쌍들을 상기 타겟 희생자로부터 수신하는 단계로서, 상기 IP 어드레스들의 쌍들 각각은 소스 IP 어드레스 및 목적지 IP 어드레스를 포함하며, 상기 목적지 IP 어드레스는 상기 타겟 희생자와 연관된 상기 IP 어드레스들 중 하나인, 상기 IP 어드레스들의 쌍들을 수신하는 단계;
    상기 타겟 희생자로부터 수신된 상기 IP 어드레스들의 쌍들 중 하나에 포함된 상기 소스 IP 어드레스 및 상기 목적지 IP 어드레스와 동일한 소스 IP 어드레스 및 목적지 IP 어드레스를 갖는 IP 패킷들을 식별하기 위하여 상기 캐리어 네트워크의 적어도 일부를 통해서 IP 패킷 트래픽을 모니터하는 단계; 및
    전송이 제한되는 IP 패킷들의 표시와 상기 타겟 희생자로부터 수신된 상기 IP 어드레스들의 쌍들 중 하나에 포함된 상기 소스 IP 어드레스 및 상기 목적지 IP 어드레스와 동일한 소스 IP 어드레스 및 목적지 IP 어드레스를 갖는 상기 식별된 IP 패킷들의 전송을 제한하는 단계를 포함하는, 서비스 거부 공격들에 대해 방어하기 위한 완전 자동화된 방법.
  2. 제1항에 있어서, 상기 타겟 희생자로부터 수신된 IP 어드레스들의 상기 쌍들 중 하나에 포함된 상기 소스 IP 어드레스 및 상기 목적지 IP 어드레스와 동일한 소스 IP 어드레스 및 목적지 IP 어드레스를 갖는 상기 식별된 IP 패킷들의 전송을 제한하는 단계는 상기 식별된 IP 패킷들의 전송을 금지하는 단계를 포함하는, 서비스 거부 공격들에 대해 방어하기 위한 완전 자동화된 방법.
  3. 제1항에 있어서, 상기 타겟 희생자로부터 수신된 IP 어드레스들의 상기 쌍들 중 하나에 포함된 상기 소스 IP 어드레스 및 상기 목적지 IP 어드레스와 동일한 소스 IP 어드레스 및 목적지 IP 어드레스를 갖는 상기 식별된 IP 패킷들의 전송을 제한하는 단계는 상기 식별된 IP 패킷들의 라우팅 우선순위를 낮추는 단계를 포함하는, 서비스 거부 공격들에 대해 방어하기 위한 완전 자동화된 방법.
  4. 제1항에 있어서, 상기 타겟 희생자로부터 수신된 IP 어드레스들의 상기 쌍들 중 하나에 포함된 상기 소스 IP 어드레스 및 상기 목적지 IP 어드레스와 동일한 소스 IP 어드레스 및 목적지 IP 어드레스를 갖는 상기 식별된 IP 패킷들의 전송을 제한하는 단계는 단지 미리 결정된 패킷 레이트로 상기 식별된 IP 패킷들의 전송을 제한하는 단계를 포함하는, 서비스 거부 공격들에 대해 방어하기 위한 완전 자동화된 방법.
  5. 제1항에 있어서, IP 어드레스들의 하나 이상의 쌍들을 상기 타겟 희생자로부터 수신하는 상기 단계는 보안 서명을 사용하여 IP 어드레스들의 하나 이상의 쌍들을 상기 타겟 희생자로부터 수신하는 단계를 포함하는, 서비스 거부 공격들에 대해 방어하기 위한 완전 자동화된 방법.
  6. 제1항에 있어서, IP 어드레스들의 하나 이상의 쌍들을 상기 타겟 희생자로부터 수신하는 상기 단계는 상기 타겟 희생자로부터 리던던트 커넥션(redundant connection)을 사용하여 IP 어드레스들의 하나 이상의 쌍들을 상기 타겟 희생자로부터 수신하는 단계를 포함하는, 서비스 거부 공격들에 대해 방어하기 위한 완전 자동화된 방법.
  7. 제1항에 있어서, IP 어드레스들의 하나 이상의 쌍들을 상기 타겟 희생자로부터 수신하는 상기 단계는 리던던트 통신 프로토콜을 사용하여 IP 어드레스들의 하나 이상의 쌍들을 상기 타겟 희생자로부터 수신하는 단계를 포함하는, 서비스 거부 공격들에 대해 방어하기 위한 완전 자동화된 방법.
  8. 제1항에 있어서, 상기 IP 어드레스들의 쌍들 중 하나가 상기 타겟 희생자로 부터 수신된 이후 미리 결정된 시간 기간이 경과된 후 상기 타겟 희생자로부터 수신된 상기 IP 어드레스들 쌍들 중 하나에 포함된 상기 소스 IP 어드레스 및 상기 목적지 IP 어드레스와 동일한 소스 IP 어드레스 및 목적지 IP 어드레스를 갖는 상기 식별된 IP 패킷들 중 하나 이상의 전송의 제한을 종료하는 단계를 더 포함하는, 서비스 거부 공격들에 대해 방어하기 위한 완전 자동화된 방법.
  9. 제1항에 있어서,
    전송이 더이상 제한되지 않는 IP 패킷들을 표시하는 IP 어드레스들의 하나 이상의 쌍들을 상기 타겟 희생자로부터 수신하는 단계; 및
    전송이 더이상 제한되지 않는 IP 패킷들을 표시하고 상기 타겟 희생자로부터 수신된 IP 어드레스들의 쌍들 중 하나에 포함된 상기 소스 IP 어드레스 및 상기 목적지 IP 어드레스와 동일한 소스 IP 어드레스 및 목적지 IP 어드레스를 갖는 상기 IP 패킷들의 전송의 제한을 중지하는 단계를 더 포함하는, 서비스 거부 공격들에 대해 방어하기 위한 완전 자동화된 방법.
  10. 제1항에 있어서, 전송이 제한되는 IP 패킷들을 표시하고 상기 타겟 희생자로부터 수신된 IP 어드레스들의 쌍들 중 하나에 포함된 상기 소스 IP 어드레스 및 목적지 IP 어드레스와 동일한 소스 IP 어드레스 및 목적지 IP 어드레스를 갖는 상기 식별된 IP 패킷들 중 하나 이상의 상기 소스 IP 어드레스로 도달할 수 없는 메시지를 다시 전송하는 단계를 더 포함하는, 서비스 거부 공격들에 대해 방어하기 위한 완전 자동화된 방법.
KR1020077030525A 2005-08-05 2006-08-02 특정 소스/목적지 ｉｐ 어드레스 쌍들에 기초한 ｉｐ 네트워크들에서 서비스 거부 공격들에 대한 방어 방법 및 장치 KR101217647B1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US11/197,841 2005-08-05
US11/197,841 US7889735B2 (en) 2005-08-05 2005-08-05 Method and apparatus for defending against denial of service attacks in IP networks based on specified source/destination IP address pairs

Publications (2)

Publication Number Publication Date
KR20080028381A true KR20080028381A (ko) 2008-03-31
KR101217647B1 KR101217647B1 (ko) 2013-01-02

Family

ID=37440673

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020077030525A KR101217647B1 (ko) 2005-08-05 2006-08-02 특정 소스/목적지 ｉｐ 어드레스 쌍들에 기초한 ｉｐ 네트워크들에서 서비스 거부 공격들에 대한 방어 방법 및 장치

Country Status (7)

Country Link
US (1) US7889735B2 (ko)
EP (1) EP1911243B1 (ko)
JP (1) JP4768021B2 (ko)
KR (1) KR101217647B1 (ko)
CN (1) CN101213812B (ko)
AT (1) ATE544283T1 (ko)
WO (1) WO2007019213A1 (ko)

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7747244B2 (en) * 2003-01-23 2010-06-29 Research In Motion Limited Methods and apparatus for re-establishing communication for a wireless communication device after a communication loss in a wireless communication network
US7661136B1 (en) * 2005-12-13 2010-02-09 At&T Intellectual Property Ii, L.P. Detecting anomalous web proxy activity
US8327297B2 (en) 2005-12-16 2012-12-04 Aol Inc. User interface system for handheld devices
US20070157316A1 (en) * 2005-12-30 2007-07-05 Intel Corporation Managing rogue IP traffic in a global enterprise
US8646038B2 (en) * 2006-09-15 2014-02-04 Microsoft Corporation Automated service for blocking malware hosts
US8898276B1 (en) * 2007-01-11 2014-11-25 Crimson Corporation Systems and methods for monitoring network ports to redirect computing devices to a protected network
JP4877107B2 (ja) * 2007-07-06 2012-02-15 ブラザー工業株式会社 情報配信システムにおける端末装置及び情報処理プログラム、並びに端末装置の情報処理方法
US8588056B1 (en) * 2009-04-15 2013-11-19 Sprint Communications Company L.P. Elimination of unwanted packets entering a restricted bandwidth network
US9148376B2 (en) 2010-12-08 2015-09-29 AT&T Intellectual Property I, L.L.P. Method and system for dynamic traffic prioritization
US8644177B2 (en) 2010-12-16 2014-02-04 Blackberry Limited Methods and apparatus for use in controlling data traffic for a wireless mobile terminal using a wireless access point (AP)
US8966622B2 (en) * 2010-12-29 2015-02-24 Amazon Technologies, Inc. Techniques for protecting against denial of service attacks near the source
CN105741510A (zh) * 2016-03-17 2016-07-06 云丁网络技术(北京)有限公司 一种基于无线信号的智能报警方法及其智能报警系统
US11750622B1 (en) 2017-09-05 2023-09-05 Barefoot Networks, Inc. Forwarding element with a data plane DDoS attack detector
US11108812B1 (en) 2018-04-16 2021-08-31 Barefoot Networks, Inc. Data plane with connection validation circuits
CN110535844B (zh) * 2019-08-20 2021-09-28 北京网思科平科技有限公司 一种恶意软件通讯活动检测方法、系统及存储介质
CN115514501A (zh) * 2021-06-03 2022-12-23 中国移动通信集团四川有限公司 一种封堵网络攻击的方法和装置
CN113452692A (zh) * 2021-06-24 2021-09-28 北京卫达信息技术有限公司 一种防御网络攻击的方法

Family Cites Families (31)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5198607A (en) * 1992-02-18 1993-03-30 Trw Inc. Laser anti-missle defense system
US5907485A (en) * 1995-03-31 1999-05-25 Sun Microsystems, Inc. Method and apparatus for flow control in packet-switched computer system
US6611521B1 (en) * 1998-07-14 2003-08-26 International Business Machines Corporation Data link layer extensions to a high latency wireless MAC protocol
US6594268B1 (en) * 1999-03-11 2003-07-15 Lucent Technologies Inc. Adaptive routing system and method for QOS packet networks
JP2001057554A (ja) * 1999-08-17 2001-02-27 Yoshimi Baba クラッカー監視システム
SE518422C2 (sv) 2000-03-10 2002-10-08 Ericsson Telefon Ab L M Förfarande och anordning för punkt-till-punktförbindelser i ett kommunikationsnät
JP2002073433A (ja) * 2000-08-28 2002-03-12 Mitsubishi Electric Corp 侵入検知装置及び不正侵入対策管理システム及び侵入検知方法
CN1751473A (zh) * 2000-09-01 2006-03-22 Tut系统公司 用于实现基于策略的网络业务管理的方法和系统
US6944673B2 (en) * 2000-09-08 2005-09-13 The Regents Of The University Of Michigan Method and system for profiling network flows at a measurement point within a computer network
US7188366B2 (en) * 2000-09-12 2007-03-06 Nippon Telegraph And Telephone Corporation Distributed denial of service attack defense method and device
WO2002025402A2 (en) 2000-09-20 2002-03-28 Bbnt Solutions Llc Systems and methods that protect networks and devices against denial of service attacks
US7301899B2 (en) * 2001-01-31 2007-11-27 Comverse Ltd. Prevention of bandwidth congestion in a denial of service or other internet-based attack
US8402129B2 (en) * 2001-03-21 2013-03-19 Alcatel Lucent Method and apparatus for efficient reactive monitoring
WO2003001333A2 (en) 2001-06-20 2003-01-03 Arbor Networks, Inc., Detecting network misuse
US7028179B2 (en) 2001-07-03 2006-04-11 Intel Corporation Apparatus and method for secure, automated response to distributed denial of service attacks
US20030037141A1 (en) 2001-08-16 2003-02-20 Gary Milo Heuristic profiler software features
JP3876687B2 (ja) * 2001-10-30 2007-02-07 ソニー株式会社 通信処理装置、および通信処理方法、並びにコンピュータ・プログラム
US7197009B1 (en) * 2002-03-06 2007-03-27 Sprint Communications Company L.P. Delay variation based routing in communication systems
US20040054925A1 (en) * 2002-09-13 2004-03-18 Cyber Operations, Llc System and method for detecting and countering a network attack
US7472421B2 (en) 2002-09-30 2008-12-30 Electronic Data Systems Corporation Computer model of security risks
KR100523483B1 (ko) * 2002-10-24 2005-10-24 한국전자통신연구원 네트워크에서의 유해 트래픽 탐지 및 대응 시스템 및 방법
GB0315156D0 (en) 2003-06-28 2003-08-06 Ibm Identification system and method
US8171562B2 (en) * 2003-08-26 2012-05-01 Oregon Health & Science University System and methods for protecting against denial of service attacks
KR100502068B1 (ko) * 2003-09-29 2005-07-25 한국전자통신연구원 네트워크 노드의 보안 엔진 관리 장치 및 방법
JP2005130190A (ja) * 2003-10-23 2005-05-19 Nippon Telegr & Teleph Corp <Ntt> 攻撃パケット防御システム
JP3784799B2 (ja) * 2003-11-13 2006-06-14 日本電信電話株式会社 攻撃パケット防御システム
KR100609684B1 (ko) * 2003-12-26 2006-08-08 한국전자통신연구원 네트워크 시스템에서의 서비스 거부 공격 방지 장치 및 그방법
US7436770B2 (en) * 2004-01-21 2008-10-14 Alcatel Lucent Metering packet flows for limiting effects of denial of service attacks
US7523499B2 (en) * 2004-03-25 2009-04-21 Microsoft Corporation Security attack detection and defense
US7725708B2 (en) * 2004-10-07 2010-05-25 Genband Inc. Methods and systems for automatic denial of service protection in an IP device
US7936682B2 (en) * 2004-11-09 2011-05-03 Cisco Technology, Inc. Detecting malicious attacks using network behavior and header analysis

Also Published As

Publication number Publication date
WO2007019213A1 (en) 2007-02-15
ATE544283T1 (de) 2012-02-15
JP4768021B2 (ja) 2011-09-07
KR101217647B1 (ko) 2013-01-02
EP1911243B1 (en) 2012-02-01
US20070030850A1 (en) 2007-02-08
CN101213812A (zh) 2008-07-02
CN101213812B (zh) 2011-08-03
JP2009504100A (ja) 2009-01-29
US7889735B2 (en) 2011-02-15
EP1911243A1 (en) 2008-04-16

Similar Documents

Publication Publication Date Title
KR101217647B1 (ko) 특정 소스/목적지 ｉｐ 어드레스 쌍들에 기초한 ｉｐ 네트워크들에서 서비스 거부 공격들에 대한 방어 방법 및 장치
KR101067781B1 (ko) 타겟 희생자 자체-식별 및 제어에 의해 ｉｐ 네트워크들에서 서비스 거부 공격들에 대한 방어 방법 및 장치
Wheeler et al. Techniques for cyber attack attribution
JP4490994B2 (ja) ネットワークセキュリティデバイスにおけるパケット分類
CN101589595B (zh) 用于潜在被污染端系统的牵制机制
US8561188B1 (en) Command and control channel detection with query string signature
KR101231975B1 (ko) 차단서버를 이용한 스푸핑 공격 방어방법
Ganesh Kumar et al. Improved network traffic by attacking denial of service to protect resource using Z-test based 4-tier geomark traceback (Z4TGT)
US20060075491A1 (en) Network overload detection and mitigation system and method
JP4774307B2 (ja) 不正アクセス監視装置及びパケット中継装置
KR100684602B1 (ko) 세션 상태전이를 이용한 시나리오 기반 침입대응 시스템 및그 방법
Razumov et al. Developing of algorithm of HTTP FLOOD DDoS protection
KR101118398B1 (ko) 트래픽 방어 방법 및 장치
Pilli et al. Data reduction by identification and correlation of TCP/IP attack attributes for network forensics
Rm et al. A comprehensive approach for network security
Amran et al. Metrics for network forensics conviction evidence
Mavrommatis Confronting and intrusion detection techniques of cyber-attacks in wired and wireless communication networks
KR20190041324A (ko) Ddos 공격 차단 장치 및 방법
JP4710889B2 (ja) 攻撃パケット対策システム、攻撃パケット対策方法、攻撃パケット対策装置、及び攻撃パケット対策プログラム
Selvaraj et al. Enhancing intrusion detection system performance using firecol protection services based honeypot system
CN115622754A (zh) 一种检测并防止mqtt漏洞的方法、系统和装置
Khan Critical Study and Survey of IDS form Malicious Activities using SNORT
Inácio et al. Zombie Identification Port
JP2004363915A (ja) ＤｏＳ攻撃対策システムおよび方法およびプログラム

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20151218

Year of fee payment: 4

FPAY Annual fee payment

Payment date: 20161216

Year of fee payment: 5

LAPS Lapse due to unpaid annual fee