WO2011013947A2 - 분산서비스거부 공격 차단 시스템 및 방법 - Google Patents

분산서비스거부 공격 차단 시스템 및 방법 Download PDF

Info

Publication number
WO2011013947A2
WO2011013947A2 PCT/KR2010/004830 KR2010004830W WO2011013947A2 WO 2011013947 A2 WO2011013947 A2 WO 2011013947A2 KR 2010004830 W KR2010004830 W KR 2010004830W WO 2011013947 A2 WO2011013947 A2 WO 2011013947A2
Authority
WO
WIPO (PCT)
Prior art keywords
ddos
ddos attack
pattern
packet
attack
Prior art date
Application number
PCT/KR2010/004830
Other languages
English (en)
French (fr)
Other versions
WO2011013947A3 (ko
Inventor
마정우
이수선화
김춘곤
Original Assignee
(주)잉카인터넷
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from KR1020100070320A external-priority patent/KR101135437B1/ko
Application filed by (주)잉카인터넷 filed Critical (주)잉카인터넷
Publication of WO2011013947A2 publication Critical patent/WO2011013947A2/ko
Publication of WO2011013947A3 publication Critical patent/WO2011013947A3/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service

Definitions

  • the present invention relates to a system and method for blocking distributed service denial attack, and more particularly, to a system and method for blocking a distributed service denial (DDoS) attack in real time.
  • DDoS distributed service denial
  • DDoS Distributed Denial of Service
  • 1 is a diagram illustrating a DDoS attack system.
  • the attacker PC 11 installs a tool for attacking DDoS, that is, a DDoS virus, and infects a plurality of computers.
  • a plurality of computers 12a, 12b, 12c infected with the DDoS virus receive a command from the attacker PC 11 or simultaneously send a huge amount of packets to the target server 13 at a predetermined time.
  • a client computer when a client computer sends a request packet to a server, the server must respond to the request packet to the client computer. Therefore, a large number of computers infected with the DDoS virus (hereinafter referred to as 'infected computers') 12a, 12b, and 12c exceed the processing amount of the target server 13 to the target server 13. If the request packet is sent at the same time, the target server 13 does not process it and causes system paralysis.
  • the DDoS virus that infects the infected computers 12a, 12b, and 12c must be treated.
  • the process of treating the DDoS virus is similar to the process of treating the existing computer virus.
  • the DDoS virus is collected, a vaccine is developed to treat the DDoS virus, and the DDoS antivirus is applied to the infected computer. After downloading, DDoS antivirus should run on the infected computer.
  • an object of the present invention is to detect the pattern of the DDoS attack when a DDoS attack on the target server is detected, the DDoS virus of the infected computer Providing a system and method for blocking a DDoS attack in real time by determining whether an outbound packet sent from an infected computer is a DDoS attack pattern even before being cured and blocking the transmission of an outbound packet having a DDoS attack pattern. It is for.
  • Distributed service denial attack blocking system for achieving the above object, by analyzing the packets inbound from the client computer to the target server to analyze the pattern including the destination IP address and DDoS attack method of the DDoS attack packet And a update server for generating a DDoS attack blocking module including the pattern of the DDoS attack packet and installing the DDoS attack blocking module to the client computers, wherein the DDoS attack blocking module is installed in the client computer. And compares the pattern of the packet outbound from the client computer with the pattern of the DDoS attack packet to block transmission of the outbound packet if it is the same.
  • the distributed denial of service attack blocking method by analyzing the packets inbound from the client computer to the target server DDoS pattern for detecting the pattern including the destination IP address and DDoS attack method of the DDoS attack packet A detection step and an update step of generating a DDoS attack blocking module including the pattern of the DDoS attack packet and installing the DDoS attack blocking module on the client computers, wherein the DDoS attack blocking module is installed on the client computer and is installed on the client computer.
  • the outbound packet is compared with the pattern of the outbound packet by comparing the pattern of the outbound packet with the outbound packet.
  • the pattern of the DDoS attack packet inbound to the target server is analyzed, and the update server installs the DDoS attack blocking module on the infected computer.
  • the DDoS attack blocking module installed in the infected computer blocks outbound packets having the same pattern as the DDoS attack pattern, thereby executing the DDoS attack in real time while the DDoS attack by the infected computers is performed. There is an effect that can be blocked.
  • the DDoS attack is blocked by the infected computer itself, thereby preventing a system paralysis of the target server due to the DDoS attack. There is.
  • the present invention it is possible to quickly collect information about the DDoS virus, so that the DDoS antivirus can be developed quickly, and the infected computer user can recognize the DDoS virus infection and respond quickly to the DDoS attack. There is an effect that can prevent.
  • 1 is a diagram illustrating a DDoS attack system.
  • Figure 2 is a block diagram showing a DDoS attack blocking system according to an embodiment of the present invention.
  • Figure 2 is a block diagram showing a DDoS attack blocking system according to an embodiment of the present invention.
  • the attacker PC 11 infects a plurality of infected computers 12a, 12b, and 12c with a DDoS virus, and a plurality of infected computers 12a, 12b, and 12c infected with the DDoS virus are the target servers 13 DDoS attacks that send a large amount of request packets.
  • the DDoS attack method is various, such as Internet Control Message Protocol (ICMP) Smurf attack, IP Spoofing, Transmission Control Protocol (TCP) SYN Flooding, HTTP connection full flooding.
  • ICMP Internet Control Message Protocol
  • TCP Transmission Control Protocol
  • HTTP connection full flooding HTTP connection full flooding.
  • the infected computer transmits any kind of request packet which causes the target server to respond. In general, if the same request packet is transmitted from the same source IP address to the same destination IP address more than 20 times a second, it is determined as a DDoS attack.
  • the DDoS pattern detection unit 21 is installed at the network input terminal of the attack target server 13.
  • the DDoS pattern detecting unit 21 analyzes all request packets inbound from the infected computers 12a, 12b, and 12c and the non-infected computer 20 to the target server 13, and indicates whether or not the DDoS attack packet is a pattern. Analyze For example, if the same request packet is continuously inbound more than 20 times a second from the same source IP address, it is recognized as a DDoS attack packet and the DDoS attack pattern (destination address, DDoS attack method, etc.) of the DDoS attack packet is detected. Analyze
  • the DDoS pattern detecting unit 21 provides the analyzed DDoS attack pattern to the update server 22.
  • the update server 22 generates a DDoS attack blocking module that reflects the DDoS attack pattern and updates it in real time to all the computers, that is, the infected computers 12a, 12b, and 12c and the non-infected computer 20.
  • This DDoS attack blocking module compares the outbound packet pattern and the DDoS attack pattern of the computer where the DDoS attack blocking module is installed, and blocks outbound packets of the same pattern as the DDoS attack pattern from being sent out. In addition, it performs a function of forcibly terminating the process of generating and sending an outbound packet having the same pattern as the DDoS attack pattern.
  • the infected computers 12a, 12b, 12c and the non-infected computer 20 are client computers with antivirus software having a normal automatic update function activated. These computers periodically request an update module from the update server 22.
  • the update server 22 downloads the DDoS attack blocking module to the infected computers 12a, 12b, and 12c and the non-infected computer 20 in response to the request of the update module of each computer.
  • the DDoS attack blocking module downloaded and installed on the infected computers 12a, 12b, and 12c and the non-infected computer 20, respectively, compares the outbound packet pattern and the DDoS attack pattern to the outside from the corresponding computer. Block outbound packets with the same pattern as the DOS attack pattern.
  • the DDoS attack blocking module installed in the infected computers 12a 12b and 12c blocks the transmission of the outbound packet and terminates the process of generating the outbound packet.
  • the DDoS attack blocking module monitors and blocks outbound packets.
  • the DDoS attack blocking module hooks to monitor outbound packets on the second data link layer or the third network layer of the OSI layer. Install routines so that packet filtering is implemented. Of course, hooking routines can be set up to further monitor inbound packets in addition to outbound packets.
  • the hooking routine intercepts the outbound packet at the data link layer or network layer of OSI before the outbound packet is sent out, and compares the pattern of the outbound packet with the pattern of DDoS attack packet. If it is the same, the outbound packet is blocked. If the two patterns are not identical, the outbound packet is sent.
  • the DDoS attack blocking module notifies the user that his computer is infected with DDoS virus and takes appropriate action (disable the infected computer, the National Intelligence Service). Or contact the National police Agency Cyber Investigation Unit.
  • the update server can collect information about the DDoS virus in a timely manner, and develop the DDoS antivirus vaccine sooner.
  • the non-infected computer 20 since the non-infected computer 20 does not attack the target server 13, the pattern of the outbound packet transmitted from the non-infected computer 20 is different from the attack pattern of the DDoS. In this case, the non-infected computer DDoS block module installed in (20) will not work.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

이 발명은 분산서비스거부(DDoS) 공격을 실시간으로 차단하는 시스템 및 방법에 관한 것이다. 이 발명에 따른 분산서비스거부 공격 차단시스템은, 클라이언트 컴퓨터들로부터 공격대상서버로 인바운드되는 패킷들을 분석하여 디도스 공격패킷의 목적지 IP 주소와 디도스 공격방식을 포함한 패턴을 검출하는 디도스 패턴 검출부와, 상기 디도스 공격패킷의 패턴을 포함한 디도스공격차단모듈을 생성하여 상기 클라이언트 컴퓨터들에게 설치하는 업데이트서버를 포함하고, 상기 디도스공격차단모듈은 상기 클라이언트 컴퓨터에 설치되어 상기 클라이언트 컴퓨터로부터 아웃바운드되는 패킷의 패턴과 상기 디도스 공격패킷의 패턴을 비교하여 동일하면 상기 아웃바운드 패킷의 송출을 차단하도록 된다.

Description

분산서비스거부 공격 차단 시스템 및 방법
이 발명은 분산서비스거부 공격 차단 시스템 및 방법에 관한 것으로서, 보다 상세하게는 분산서비스거부(DDoS) 공격을 실시간으로 차단하는 시스템 및 방법에 관한 것이다.
분산서비스거부(DDoS ; Distributed Denial of Service, 이하 '디도스'라 함) 공격은 엄청난 양의 데이터를 특정 서버에 한꺼번에 보내 해당 서버에 부하가 걸리도록 함으로써 서비스를 못하게 하는 일종의 해킹 방법이다.
이 디도스 공격은 2000년 2월 아마존, 이베이, 야후 등 전자상거래 관련 사이트들이 공격을 받아 운영할 수 없는 사건이 발생하면서 일반인들에게 알려지기 시작했고, 2001년 7월에는 윈도2000과 윈도NT 서버를 경유해 미국 백악관의 사이트를 디도스(DDoS) 공격 방법으로 마비시키는 웜바이러스 '코드레드'의 변종인 '코드레드Ⅱ'가 등장해 전 세계를 긴장시키기도 했다.
한편, 국내에서는　2003년 1월에 디도스(DDoS)가 KT 전화국 DNS 서버를 공격해 공격 2시간 만에 일부 전화국 서버 접속 성공률을 10%로 하락시킨 뒤 하나로통신, 두루넷 등 다른 인터넷 서비스 공급자(ISP)들과 SK텔레콤, KTF, LG텔레콤 등 무선인터넷 사업자들의 망에도 트래픽 증가를 유발시켜 사실상 인터넷 대란이 발생했었다. 가장 최근 2009년 7월에는 국내 주요 공공기관, 은행권, 주요 포탈사이트와 미국 백악관을 포함한 주요 기관들이 디도스(DDoS) 공격을 받아 해당 웹서버의 서비스가 지연되거나 중단된 바 있다.
도 1은 디도스 공격 시스템을 도시한 도면이다.
먼저 공격자 PC(11)는 다수의 컴퓨터에게 디도스 공격을 위한 도구 즉, 디도스 바이러스를 설치하여 감염시킨다. 디도스 바이러스에 감염된 다수의 컴퓨터들(12a, 12b, 12c)은 공격자 PC(11)의 명령을 받거나 미리 설정된 시간에 공격대상서버(13)에게 엄청난 분량의 패킷을 동시에 송출한다.
컴퓨터 통신규약상 임의의 클라이언트컴퓨터가 임의의 서버에게 요청패킷을 전송하면 해당 서버는 그 클라이언트컴퓨터에게 반드시 해당 요청패킷에 대한 응답을 해야 한다. 그렇기 때문에 디도스 바이러스에 감염된 다수의 컴퓨터(이하, '감염컴퓨터'라 함)들(12a, 12b, 12c)이 공격대상서버(13)에게 공격대상서버(13)의 처리 분량을 넘어서는 엄청난 분량의 요청패킷을 동시에 송출하면, 공격대상서버(13)는 이를 처리하지 못하고 시스템 마비를 일으킨다.
이러한 디도스 공격을 근본적으로 차단하려면 감염컴퓨터(12a, 12b, 12c)를 감염시킨 디도스 바이러스를 치료해야 한다. 디도스 바이러스를 치료하는 과정도 기존의 컴퓨터 바이러스를 치료하는 과정과 유사한데, 먼저 디도스 바이러스를 수집하고, 그 디도스 바이러스를 치료하기 위한 백신을 개발하고, 감염컴퓨터에 그 디도스 바이러스 백신이 다운로딩 된 후 감염컴퓨터에서 디도스 바이러스 백신이 구동되어야 한다.
그러나, 디도스 공격이 발생하더라도 디도스 바이러스를 수집하고 그 디도스 바이러스를 치료하기 위한 백신을 개발하기까지 긴 시간이 소요(최근 2009년 7월에 발생한 디도스 공격을 수행한 디도스 바이러스 백신을 개발하기까지 72시간이 소요)되기 때문에, 그 기간동안에는 디도스 공격이 행해질 것을 미리 알더라도 이를 차단할 수 없는 문제점이 있다.
즉, 공격대상서버가 감염컴퓨터들에 의해 디도스 공격을 당하는 동안에는 감염컴퓨터들의 디도스 공격을 차단시킬만한 아무런 방법이 없기 때문에 공격대상서버는 속수무책으로 당할 수밖에 없는 문제점이 있다.
이 발명은 상술한 종래기술의 문제점을 해결하기 위하여 안출된 것으로서, 이 발명의 목적은 공격대상서버에 대한 디도스 공격이 감지되면 해당 디도스 공격의 패턴을 검출하고, 감염컴퓨터의 디도스 바이러스가 치료되기 전이라도 감염컴퓨터로부터 송출되는 아웃바운드 패킷이 디도스 공격 패턴인지를 판단하여 디도스 공격 패턴을 가지는 아웃바운드 패킷의 송출을 차단함으로써, 실시간으로 디도스 공격을 차단하는 시스템 및 방법을 제공하기 위한 것이다.
상기한 목적을 달성하기 위한 이 발명에 따른 분산서비스거부 공격 차단 시스템은, 클라이언트 컴퓨터들로부터 공격대상서버로 인바운드되는 패킷들을 분석하여 디도스 공격패킷의 목적지 IP 주소와 디도스 공격방식을 포함한 패턴을 검출하는 디도스 패턴 검출부와, 상기 디도스 공격패킷의 패턴을 포함한 디도스공격차단모듈을 생성하여 상기 클라이언트 컴퓨터들에게 설치하는 업데이트서버를 포함하고, 상기 디도스공격차단모듈은 상기 클라이언트 컴퓨터에 설치되어 상기 클라이언트 컴퓨터로부터 아웃바운드되는 패킷의 패턴과 상기 디도스 공격패킷의 패턴을 비교하여 동일하면 상기 아웃바운드 패킷의 송출을 차단하도록 된 것을 특징으로 한다.
또한, 이 발명에 따른 분산서비스거부 공격 차단 방법은, 클라이언트 컴퓨터들로부터 공격대상서버로 인바운드되는 패킷들을 분석하여 디도스 공격패킷의 목적지 IP 주소와 디도스 공격방식을 포함한 패턴을 검출하는 디도스 패턴 검출단계와, 상기 디도스 공격패킷의 패턴을 포함한 디도스공격차단모듈을 생성하여 상기 클라이언트 컴퓨터들에게 설치하는 업데이트단계를 포함하고, 상기 디도스공격차단모듈은 상기 클라이언트 컴퓨터에 설치되어 상기 클라이언트 컴퓨터로부터 아웃바운드되는 패킷의 패턴과 상기 디도스 공격패킷의 패턴을 비교하여 동일하면 상기 아웃바운드 패킷의 송출을 차단하도록 된 것을 특징으로 한다.
이상과 같이 이 발명에 따르면 감염컴퓨터들에 의한 디도스 공격이 행해지는 것이 감지되면 공격대상서버로 인바운드되는 디도스 공격패킷의 패턴을 분석하고, 업데이트서버가 감염컴퓨터에 디도스공격차단모듈을 설치하고, 감염컴퓨터에 설치되는 디도스공격차단모듈이 디도스 공격패턴과 동일한 패턴을 가지는 아웃바운드 패킷의 송출을 차단함으로써, 감염컴퓨터들에 의한 디도스 공격이 행해지는 동안에 실시간으로 해당 디도스 공격을 차단할 수 있는 효과가 있다.
또한, 이 발명에 따르면 디도스 바이러스 백신을 개발하어 디도스 바이러스가 치료되기 전이라도 감염컴퓨터 자체적으로 디도스 공격이 차단되어 디도스 공격으로 인한 공격대상서버의 시스템 마비를 사전에 방지할 수 있는 효과가 있다.
아울러, 이 발명에 따르면 디도스 바이러스에 대한 정보를 신속하게 수집할 수 있기 때문에 디도스 바이러스 백신을 신속하게 개발할 수 있고, 감염컴퓨터 사용자가 디도스 바이러스 감염사실을 인지하고 신속하게 대처함으로써 디도스 공격을 방지할 수 있는 효과가 있다.
도 1은 디도스 공격 시스템을 도시한 도면이다.
도 2는 이 발명의 한 실시예에 따른 디도스 공격 차단 시스템을 도시한 블록도이다.
이하, 첨부된 도면을 참조하며 이 발명의 한 실시예에 따른 분산서비스거부 공격 차단 시스템 및 방법을 상세하게 설명한다.
도 2는 이 발명의 한 실시예에 따른 디도스 공격 차단 시스템을 도시한 블록도이다.
공격자 PC(11)가 다수의 감염컴퓨터들(12a, 12b, 12c)을 디도스 바이러스로 감염시키고, 디도스 바이러스에 감염된 다수의 감염컴퓨터들(12a, 12b, 12c)이 공격대상서버(13)에게 많은 양의 요청패킷을 송출하는 디도스(DDoS) 공격을 한다.
이때, 디도스 공격 방식은 ICMP(Internet Control Message Protocol) 스머프(Smurf) 공격, IP 스푸핑(Spoofing), TCP(Transmission Control Protocol) SYN 플루딩(Flooding), HTTP 커넥션 풀루딩 등 다양하다. 각 디도스 공격 방식에 따라 감염컴퓨터들은 공격대상서버로 하여금 응답을 하도록 하는 임의의 종류의 요청패킷을 전송한다. 통상적으로 동일한 출발지 IP 주소로부터 동일한 목적지 IP 주소로 1초에 20회 이상 동일한 종류의 요청패킷이 전송되면 디도스 공격으로 판단한다.
이 발명은 공격대상서버(13)의 네트워크 입력단에 디도스 패턴 검출부(21)를 설치한다. 이 디도스 패턴 검출부(21)는 감염컴퓨터들(12a, 12b, 12c) 및 비감염컴퓨터(20)로부터 공격대상서버(13)로 인바운드되는 모든 요청패킷들을 분석하여 디도스 공격패킷인지 여부와 그 패턴을 분석한다. 예컨대, 동일한 출발지 IP 주소로부터 1초에 20회 이상 동일한 요청패킷이 연속하여 인바운드되면 이를 디도스 공격패킷으로 인지하고 이 디도스 공격패킷의 디도스 공격패턴(목적지 주소, 디도스 공격 방법 등)을 분석한다.
디도스 패턴 검출부(21)는 분석된 디도스 공격패턴을 업데이트서버(22)에게 제공한다. 업데이트서버(22)는 디도스 공격패턴이 반영된 디도스공격차단모듈을 생성하여 모든 컴퓨터들 즉, 각 감염컴퓨터들(12a, 12b, 12c) 및 비감염컴퓨터(20)에게 실시간 업데이트한다. 이 디도스공격차단모듈은 그 디도스공격차단모듈이 설치된 컴퓨터의 아웃바운드 패킷의 패턴과 디도스 공격 패턴을 비교하여, 디도스 공격 패턴과 동일한 패턴의 아웃바운드 패킷이 외부로 송출되는 것을 차단하고, 디도스 공격 패턴과 동일한 패턴의 아웃바운드 패킷을 생성하여 송출하는 프로세스를 강제 종료시키는 기능을 수행한다.
감염컴퓨터들(12a, 12b, 12c)과 비감염컴퓨터(20)는 통상적인 자동업데이트 기능이 활성화된 백신소프트웨어가 설치된 클라이언트 컴퓨터로서, 이 컴퓨터들은 업데이트서버(22)에게 주기적으로 업데이트 모듈을 요청하고, 업데이트서버(22)는 각 컴퓨터들의 업데이트 모듈의 요청에 대한 응답으로 각 감염컴퓨터들(12a, 12b, 12c)과 비감염컴퓨터(20)에게 디도스공격차단모듈을 다운로딩한다.
감염컴퓨터들(12a, 12b, 12c)과 비감염컴퓨터(20)에 각각 다운로딩되어 설치된 디도스공격차단모듈은 해당 컴퓨터로부터 외부로 송출되는 아웃바운드 패킷의 패턴과 디도스 공격패턴을 비교하고, 디도스 공격패턴과 동일한 패턴의 아웃바운드 패킷을 차단한다.
예컨대, 감염컴퓨터들(12a 12b, 12c)는 공격대상서버(13)에 대한 디도스 공격을 하고 있기 때문에, 감염컴퓨터들(12a 12b, 12c)에서 송출되는 대부분의 아웃바운드 패킷의 패턴은 디도스 공격패턴과 동일한 것이다. 이럴 경우, 감염컴퓨터들(12a 12b, 12c)에 설치된 디도스공격차단모듈은 해당 아웃바운드 패킷의 송출을 차단하고, 해당 아웃바운드 패킷을 생성하고 있는 프로세스를 종료시킨다.
디도스공격차단모듈이 아웃바운드 패킷을 감시하고 차단하는 과정을 보다 상세하게 설명하면, 디도스공격차단모듈은 OSI 레이어 중 2번째 데이터링크 레이어 또는 3번째 네트워크 레이어에 아웃바운드 패킷을 감시하기 위한 후킹루틴을 설치하여 패킷 필터링이 구현되도록 한다. 물론, 후킹루틴이 아웃바운드 패킷 이외에 인바운드 패킷을 더 감시하도록 더 설치할 수도 있다.
후킹루틴은 아웃바운드 패킷이 외부로 송출되기 전에 OSI의 데이터링크 레이어 또는 네트워크 레이어에서 아웃바운드 패킷을 가로채기를 하고, 해당 아웃바운드 패킷의 패턴과 디도스 공격패킷의 패턴을 비교하여, 두 패턴이 동일하면 해당 아웃바운드 패킷의 송출을 차단하고 두 패턴이 동일하지 않으면 해당 아웃바운드 패킷을 송출시킨다.
또한, 이렇게 아웃바운드 패킷을 디도스 공격패킷으로 인지하고 차단한 경우, 디도스공격차단모듈은 사용자에게 자신의 컴퓨터가 디도스 바이러스에 감염된 상태임을 알리고 적절한 조치(해당 감염컴퓨터의 사용 중지, 국가정보원이나 경찰청사이버수사대에 문의)를 취할 수 있도록 안내한다.
또한, 이렇게 아웃바운드 패킷을 디도스 공격패킷으로 인지하고 차단한 경우, 그 아웃바운드 패킷을 생성한 프로세스의 복사본이나 해당 프로세스를 생성한 파일을 검색하여 이를 업데이트서버에게 보낸다. 이렇게 함으로써, 업데이트서버는 디도스 바이러스에 대한 정보를 조속한 시간 내에 수집할 수 있고, 디도스 바이러스 백신을 보다 빠른 시일 내에 개발할 수 있다.
한편, 비감염컴퓨터(20)는 공격대상서버(13)에 대한 디도스 공격을 하지 않고 있기 때문에, 비감염컴퓨터(20)로부터 송출되는 아웃바운드 패킷의 패턴은 디도스 공격패턴과 다르고, 이럴 경우 비감염컴퓨터(20)에 설치된 디도스공격차단모듈은 동작하지 않을 것이다.
이상에서 본 발명에 대한 기술사상을 첨부도면과 함께 서술하였지만, 이는 본 발명의 가장 양호한 실시예를 예시적으로 설명한 것이지 본 발명을 한정하는 것은 아니다. 또한, 이 기술분야의 통상의 지식을 가진 자라면 누구나 본 발명의 기술사상의 범주를 이탈하지 않는 범위 내에서 다양한 변형 및 모방이 가능함은 명백한 사실이다.

Claims (12)

  1. 클라이언트 컴퓨터들로부터 공격대상서버로 인바운드되는 패킷들의 출발지 IP 주소와 수신 횟수를 분석하여 디도스 공격 여부를 판단하고 디도스 공격패킷의 목적지 IP 주소와 디도스 공격방식을 포함한 디도스 공격패턴을 검출하는 디도스 패턴 검출부와,
    상기 디도스 공격패턴을 포함한 디도스공격차단모듈을 생성하여 상기 클라이언트 컴퓨터들에게 설치하는 업데이트서버를 포함하고,
    상기 디도스공격차단모듈은 상기 클라이언트 컴퓨터에 설치되어 상기 클라이언트 컴퓨터로부터의 아웃바운드 패킷의 패턴과 상기 디도스 공격패턴을 비교하여 동일하면 상기 아웃바운드 패킷의 송출을 차단하도록 된 것을 특징으로 하는 분산서비스거부 공격 차단 시스템.
  2. 제 1 항에 있어서, 상기 디도스공격차단모듈은 상기 상기 디도스 공격패킷의 패턴과 동일한 패턴을 가지는 상기 아웃바운드 패킷을 생성한 프로세스를 강제 종료시키도록 된 것을 특징으로 하는 분산서비스거부 공격 차단 시스템.
  3. 제 1 항에 있어서, 상기 디도스공격차단모듈은 상기 클라이언트 컴퓨터의 데이터링크 레이어에서 패킷 필터링이 이루어지도록 하는 것을 특징으로 하는 분산서비스거부 공격 차단 시스템.
  4. 제 1 항에 있어서, 상기 디도스공격차단모듈은 상기 클라이언트 컴퓨터의 네트워크 레이어에서 패킷 필터링이 이루어지도록 하는 것을 특징으로 하는 분산서비스거부 공격 차단 시스템.
  5. 제 1 항에 있어서, 상기 디도스공격차단모듈은 상기 아웃바운드 패킷의 패턴과 상기 디도스 공격패턴이 동일하면 디도스 바이러스 감염 상태를 출력하도록 된 것을 특징으로 하는 분산서비스거부 공격 차단 시스템.
  6. 제 1 항에 있어서, 상기 디도스공격차단모듈은 상기 아웃바운드 패킷의 패턴과 상기 디도스 공격패턴이 동일하면 상기 아웃바운드 패킷을 생성한 프로세스의 복사본 또는 상기 이웃바운드 패킷을 생성한 프로세스를 생성한 파일 복사본을 상기 업데이트서버에게 제공하도록 된 것을 특징으로 하는 분산서비스거부 공격 차단 시스템.
  7. 클라이언트 컴퓨터들로부터 공격대상서버로 인바운드되는 패킷들의 출발지 IP 주소와 수신 횟수를 분석하여 디도스 공격 여부를 판단하고 디도스 공격패킷의 목적지 IP 주소와 디도스 공격방식을 포함한 디도스 공격패턴을 검출하는 디도스 패턴 검출단계와,
    상기 디도스 공격패턴을 포함한 디도스공격차단모듈을 생성하여 상기 클라이언트 컴퓨터들에게 설치하는 업데이트단계를 포함하고,
    상기 디도스공격차단모듈은 상기 클라이언트 컴퓨터에 설치되어 상기 클라이언트 컴퓨터로부터 아웃바운드되는 패킷의 패턴과 상기 디도스 공격패킷의 패턴을 비교하여 동일하면 상기 아웃바운드 패킷의 송출을 차단하도록 된 것을 특징으로 하는 분산서비스거부 공격 차단 방법.
  8. 제 7 항에 있어서, 상기 디도스공격차단모듈은 상기 디도스 공격패킷의 패턴과 동일한 패턴을 가지는 상기 아웃바운드 패킷을 생성한 프로세스를 강제 종료시키도록 된 것을 특징으로 하는 분산서비스거부 공격 차단 방법.
  9. 제 7 항에 있어서, 상기 디도스공격차단모듈은 상기 클라이언트 컴퓨터의 데이터링크 레이어에서 패킷 필터링이 이루어지도록 하는 것을 특징으로 하는 분산서비스거부 공격 차단 방법.
  10. 제 7 항에 있어서, 상기 디도스공격차단모듈은 상기 클라이언트 컴퓨터의 네트워크 레이어에서 패킷 필터링이 이루어지도록 하는 것을 특징으로 하는 분산서비스거부 공격 차단 방법.
  11. 제 7 항에 있어서, 상기 디도스공격차단모듈은 상기 아웃바운드 패킷의 패턴과 상기 디도스 공격패턴이 동일하면 디도스 바이러스 감염 상태를 출력하도록 된 것을 특징으로 하는 분산서비스거부 공격 차단 방법.
  12. 제 7 항에 있어서, 상기 디도스공격차단모듈은 상기 아웃바운드 패킷의 패턴과 상기 디도스 공격패턴이 동일하면 상기 아웃바운드 패킷을 생성한 프로세스의 복사본 또는 상기 이웃바운드 패킷을 생성한 프로세스를 생성한 파일 복사본을 상기 업데이트서버에게 제공하도록 된 것을 특징으로 하는 분산서비스거부 공격 차단 방법.
PCT/KR2010/004830 2009-07-27 2010-07-23 분산서비스거부 공격 차단 시스템 및 방법 WO2011013947A2 (ko)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
KR20090068541 2009-07-27
KR10-2009-0068541 2009-07-27
KR10-2010-0070320 2010-07-21
KR1020100070320A KR101135437B1 (ko) 2009-07-27 2010-07-21 분산서비스거부 공격 차단 시스템 및 방법

Publications (2)

Publication Number Publication Date
WO2011013947A2 true WO2011013947A2 (ko) 2011-02-03
WO2011013947A3 WO2011013947A3 (ko) 2011-04-21

Family

ID=43529827

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2010/004830 WO2011013947A2 (ko) 2009-07-27 2010-07-23 분산서비스거부 공격 차단 시스템 및 방법

Country Status (1)

Country Link
WO (1) WO2011013947A2 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102868993A (zh) * 2011-07-05 2013-01-09 中兴通讯股份有限公司 一种实现双号自动漫游的方法、系统和装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020032854A1 (en) * 2000-09-12 2002-03-14 Chen Eric Yi-Hua Distributed denial of service attack defense method and device
KR20040057257A (ko) * 2002-12-26 2004-07-02 한국과학기술정보연구원 분산서비스거부 공격 대응 시스템 및 방법과 그프로그램을 기록한 기록매체
KR20050066049A (ko) * 2003-12-26 2005-06-30 한국전자통신연구원 네트워크 시스템에서의 서비스 거부 공격 방지 장치 및 그방법

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020032854A1 (en) * 2000-09-12 2002-03-14 Chen Eric Yi-Hua Distributed denial of service attack defense method and device
KR20040057257A (ko) * 2002-12-26 2004-07-02 한국과학기술정보연구원 분산서비스거부 공격 대응 시스템 및 방법과 그프로그램을 기록한 기록매체
KR20050066049A (ko) * 2003-12-26 2005-06-30 한국전자통신연구원 네트워크 시스템에서의 서비스 거부 공격 방지 장치 및 그방법

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102868993A (zh) * 2011-07-05 2013-01-09 中兴通讯股份有限公司 一种实现双号自动漫游的方法、系统和装置
CN102868993B (zh) * 2011-07-05 2017-09-12 中兴通讯股份有限公司 一种实现双号自动漫游的方法、系统和装置

Also Published As

Publication number Publication date
WO2011013947A3 (ko) 2011-04-21

Similar Documents

Publication Publication Date Title
JP4083747B2 (ja) ＤｏＳ攻撃の検出及び追跡を行うシステム及び方法
KR101156005B1 (ko) 네트워크 공격 탐지 및 분석 시스템 및 그 방법
KR20130124692A (ko) 유해 트래픽의 필터링 정보 관리 시스템 및 그 방법
WO2008040223A1 (fr) Procédé de filtrage de données nocives transférées entre un terminal et un hôte de destination dans un réseau
JP2006243878A (ja) 不正アクセス検知システム
KR100973076B1 (ko) 분산 서비스 거부 공격 대응 시스템 및 그 방법
JP2004302538A (ja) ネットワークセキュリティシステム及びネットワークセキュリティ管理方法
WO2021112494A1 (ko) 엔드포인트에 기반한 관리형 탐지 및 대응 시스템과 방법
CN112398829A (zh) 一种电力系统的网络攻击模拟方法及系统
CN106487790A (zh) 一种ack flood攻击的清洗方法及系统
KR101887544B1 (ko) Sdn 기반의 마이크로 서버 관리 시스템에 대한 네트워크 공격 차단 시스템
KR100722720B1 (ko) 내부 네트워크 사용자 인증과 패킷 제어 기능을 가진 보안게이트웨이 시스템 및 운용 방법
KR20200109875A (ko) 유해 ip 판단 방법
KR101006372B1 (ko) 유해 트래픽 격리 시스템 및 방법
Han et al. State-aware network access management for software-defined networks
CN110995586B (zh) 一种bgp报文的处理方法、装置、电子设备及存储介质
RU2304302C2 (ru) Способ обработки сетевых пакетов для обнаружения компьютерных атак
JP2006060599A (ja) アプリケーションサービス拒絶攻撃防御方法及びシステム並びにプログラム
CN112671781A (zh) 基于rasp的防火墙系统
WO2011013947A2 (ko) 분산서비스거부 공격 차단 시스템 및 방법
AU2001293762B2 (en) Method, data carrier, computer system and computer programme for the identification and defence of attacks on server systems of network service providers and operators
KR20130009130A (ko) 좀비 피씨 및 디도스 대응 장치 및 방법
WO2013089395A1 (ko) 시그니쳐 기반 무선 침입차단시스템
KR101135437B1 (ko) 분산서비스거부 공격 차단 시스템 및 방법
KR101358794B1 (ko) 이상 패킷 차단 시스템 및 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10804660

Country of ref document: EP

Kind code of ref document: A2

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 10804660

Country of ref document: EP

Kind code of ref document: A2