WO2015012422A1 - '2차원 매트릭스 기반 분산 접속망'을 이용한 ddos 공격 대응 및 비지니스 연속성 (business continuity ) 보장 방안 - Google Patents

'2차원 매트릭스 기반 분산 접속망'을 이용한 ddos 공격 대응 및 비지니스 연속성 (business continuity ) 보장 방안 Download PDF

Info

Publication number
WO2015012422A1
WO2015012422A1 PCT/KR2013/006606 KR2013006606W WO2015012422A1 WO 2015012422 A1 WO2015012422 A1 WO 2015012422A1 KR 2013006606 W KR2013006606 W KR 2013006606W WO 2015012422 A1 WO2015012422 A1 WO 2015012422A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
access
attack
system configuration
matrix
Prior art date
Application number
PCT/KR2013/006606
Other languages
English (en)
French (fr)
Inventor
김항진
Original Assignee
Kim Hangjin
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Kim Hangjin filed Critical Kim Hangjin
Priority to PCT/KR2013/006606 priority Critical patent/WO2015012422A1/ko
Publication of WO2015012422A1 publication Critical patent/WO2015012422A1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service

Definitions

  • the present invention relates to a 2D matrix-based distributed access network construction method for guaranteeing business continuity.
  • the present invention provides a problem of availability due to a failure in a massive distributed denial of service attack (DDoS) or access path. When it occurs, it relates to an effective response method, early detection method of the command center and its device.
  • DDoS distributed denial of service attack
  • Dos denial of service
  • An attack that causes a request above the acceptable value to prevent a normal user's service from responding to the request, causing a fatal blow to the service's availability.
  • the attack is not intended to infiltrate a particular computer, delete, change, or steal data or information, but only to prevent the target server from providing other legitimate signals or services.
  • DDoS attacks occur, a large amount of garbage traffic, which is tens or hundreds of times the threshold value that can be accommodated on the network, flows into the network, depleting resources of the entire network and damaging service availability.
  • the 'Giga Internet' which is commercialized under the 'Giga Internet Promotion Plan' (hosted by the Korea Communications Commission and the Korea Information Agency), is used as an attacking zombie, a bandwidth attack 10 times larger than the current attack can occur. Theoretically, 1000 zombies will cause a bandwidth attack of 1 terabytes. (For reference, in the case of 7.7 in 2009, more than 200,000 zombies were announced. Source: Information Protection Agency announced.) To cope with this, there is an economic problem that requires huge investments.
  • cyber gangsters who specialize in the purpose of monetary extortion
  • cyber gangsters are rapidly increasing the attack frequency and the degree of attack, and the targets are being expanded.
  • the DDoS equipment for responding to the threat is mostly provided to the server resources to respond to the attack, and also has a limit in the case of the attack traffic bypass method provided by large network operators such as communication companies.
  • Korean Patent No. 076996 discloses a technique for blocking all traffic transmitted to an attack target to the guardian in order to protect against an overload condition on a node of a distributed network, but this also has the disadvantage of blocking normal traffic as well. .
  • Korea Patent Registration 10-1038673 is the Internet interworking network (Internet Exchange section; network in Figure 2) that is connected to each carrier in the case of large-scale attack is blocked as soon as the resources are very narrow, in this case the carrier with a blocking system If the traffic is excessive to the specific destination address among the outgoing traffic from other carriers to secure the resources of the Internet interworking area, the IP is routed to the destination IP. Consequently, the connection to the server in the other carrier is not a normal service.
  • Internet interworking network Internet Exchange section; network in Figure 2
  • Korean Patent Registration 10-1038673 if the attack detection system does not immediately detect and change the routing path, a considerable amount of attack traffic has already flowed into the right turn, and the service is likely to be disabled. In addition, the attacker cannot bypass the attack defense and continue to maintain it. Therefore, the attacker may seriously damage the service continuity if the attacker repeatedly attacks such as waiting for it to return to the normal path and then attacking again.
  • Korean Patent No. 10-1038673 in a cloud environment where the server address is changed frequently, or in an environment where abnormal traffic is analyzed based on a baseline based on normal traffic due to a business promotion during a specific period of time, The likelihood of false detection is very high.
  • the present invention has been made to solve the above-mentioned problems, and the object of the present invention is to prevent ⁇ continuity of the business '' as much as possible by blocking the source server from the risk of service availability due to problems such as DDoS attack and connection path.
  • DDoS correspondence service providing method for one or more origin server
  • a terminal authentication unit step for authenticating the terminal (a) a terminal authentication unit step for authenticating the terminal; (b) a download step of downloading the terminal security module when the authentication of the terminal is completed; (c) Based on the unique information of the terminal transmitted through the terminal security module (access tank, MAC address, hard disk serial number, access ID, etc .; A proxy management unit for calculating a connection path (PMS: Proxy Management System; hereinafter referred to as 'PMS'); (d) the terminal security module periodically checks whether the normal access is made through the assigned access path, and if the normal access is not established, switching to the pre-allocated 'next access path'; (e) retrieving the attack commander (CC) using connection path distribution.
  • PMS Proxy Management System
  • the original server Prior to the step (a), the original server is not exposed and only a plurality of connections are exposed, thereby placing the original server in a non-exposure section that is not directly targeted by the attack.
  • Step (c) may include: (c1) receiving information of a terminal; (c2) generating a two-dimensional matrix for distributing 'n-th order connection path' to 'm group' using unique information of the terminal transmitted in step (c1); (c3) characterized in that the access paths are matched with different IP addresses or URLs in 'n coordinates' of the matched two-dimensional metric in step (c2).
  • the step (d) may include: (d1) calculating a predetermined threshold by checking, by the terminal, whether the installed terminal security module is normally connected through the assigned access path; (d2) automatically switching the access to the 'next path' if the threshold value set in step (d1) is exceeded; (d3) characterized in that it comprises a step for preparing to detect the n-th connection path of the terminal with a malicious intention in the process of (d2).
  • Step (e) comprises: (e1) attack proxy detection step; (e2) collecting 'terminal unique information' of the accessor connected to (e1); (e3) characterized in that it comprises the step of extracting the attack commander (CC) based on the 'unique information of the terminal' collected in the (e2).
  • FIG. 3 is a diagram schematically illustrating a 'DDoS countermeasure using a 2D matrix-based distributed access network' according to an embodiment of the present invention.
  • the present invention is a 'DDoS countermeasure using a 2D matrix-based distributed access network', the terminal unit 100, the authentication unit 200, the download unit 300, PMS unit 400, two-dimensional The matrix connection unit 500 and the original server unit 600 are included.
  • the authentication unit 200, the download unit 300, the PNS unit 400, the two-dimensional matrix connection unit 500 is located in the 'exposure section' is distributed in plurality.
  • FIG. 4 illustrates a two-dimensional matrix-based distributed access network according to an embodiment of the present invention.
  • Figure is a schematic diagram showing the procedure for the 'DDoS countermeasures used.
  • the security module when the connection is started to authenticate the terminal (s200), when the authentication is completed normally download the terminal security module (s300), the security module via the authentication unit 200 to the PMS unit 400 Connect.
  • the security module transmits 'terminal sharing information' to the PMS 400, and the PMS 400 calculates and generates two-dimensional coordinates 'n difference' for a unique access path based on the 'terminal sharing information'. Transfer to the terminal security module (s401 ⁇ 405).
  • the terminal receiving the 'n-th order' connection path communicates by connecting to the origin server 600 through one of the plurality of 'two-dimensional matrix connection units' (s500).
  • the terminal unit 100 periodically checks the connection activity by the connection path activity checking unit 510 (s 511). Visit well-known sites in the middle to check whether they are connected (s 521). This determines whether or not to assign a "next access route.”
  • FIG. 5 is a diagram illustrating a 'two-dimensional connection matrix generation process' using 'terminal specific information' in the PMS 100.
  • the 'terminal 100' transmits a unique value (ip address, Mac address, hard disk serial number, etc.) of each terminal to the 'PMS unit 400' (401).
  • the PMS 400 generates the two-dimensional connection path coordinates of the 'n-th order' using the eigenvalues of the 'terminal unique information' (402).
  • 'm' may be set to 'subtract' as 'n' increases.
  • the two-dimensional matrix may be in the form of a rectangle that gradually decreases from first to nth order as well as a square.
  • the PMS assigns different IP addresses or URLs to the two-dimensional matrixes (n, m) made according to the above-described steps, and each terminal allocates and distributes n emergency access paths differently.
  • the IP of 175.167.196.249 becomes the matrix (6,5).
  • a user with address connects form a matrix as shown in the figure.
  • the 12 digits of the IP address can be processed in reverse or reverse order. If you do it in reverse order,
  • connection address 175.167.196.249
  • connection address 175.167.196.249
  • 6,1 You get one coordinate. This coordinate is calculated through each different connection path (URL) or IP address and delivered to the terminal through the terminal security module.
  • FIG. 6 is a diagram illustrating a process of switching a next access path in case of a connection failure.
  • the terminal unit 100 checks the connection path activity checking server and the connection path activation state through the currently assigned connection path, even during normal communication with the connection part 500 (511).
  • the terminal unit measures the time and checks whether the incommunication state exceeds a set threshold value (512).
  • the access path is changed to 'next access path' (531).
  • FIG. 7 is a diagram illustrating an attack command extraction process using a two-dimensional matrix connection.
  • the accessor addresses of the attacked proxies are collected (515), and the intersection is obtained to obtain 'terminal specific information'.
  • connection activity checking server 510 evicts the connection terminal information from the attack proxy. While the attack is executed “n” times, the probability of attack command is narrowed by "(1 / m) n"% ".
  • the group is reduced to 1/10 per round, so if the 5th continuous attack occurs as below, the 'attack commander' can be searched.
  • a '2D matrix distributed access cloud' as a target of attack, it is possible to respond quickly and effectively to a large-scale attack, which is the biggest challenge such as DDoS attack, which is rapidly spreading recently. Provides a very effective way to extract.
  • 1 is a view for explaining a DDoS response method applying the conventional sinkhole technology.
  • FIG. 2 is a view for explaining a DDOS corresponding method in a backbone network using a conventional BGP.
  • FIG. 3 is a diagram schematically illustrating a 'configuration for DDOS correspondence using a 2D matrix access network' according to an embodiment of the present invention.
  • FIG. 4 is a diagram schematically illustrating a 'procedure for DDOS correspondence using a 2D matrix access network' according to an embodiment of the present invention.
  • FIG. 5 is a diagram illustrating a process for generating a two-dimensional connection matrix using terminal specific information according to an embodiment of the present invention.
  • FIG. 6 is a diagram illustrating a process of switching to a next access path in case of a connection failure according to an embodiment of the present invention.
  • FIG. 7 is a diagram illustrating an attack command extraction process using a 2D matrix connection unit according to an embodiment of the present invention.
  • terminal 200 authentication unit 300: download unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

본 발명은 '2차원 매트릭스 기반의 분산 접속망'을 기반으로 한 서비스의 연속성 보장 방안을 개시한다. 보다 상세하게는 노출된 서비스 구간에 대한 분산 서비스 공격 (Distributed Denial of Service Attack, 이하 DDoS ) 이나 장애로 인한 '서비스의 가용성' 의 잠재위협에 대비하여, 시스템의 구성을 단말부,분산 접속부, 원본서버부로 분리하여 전체적 장애를 줄이고 서비스 연속성을 비용효과적으로 확보하는 방안에 관한 것이다. 본 발명의 실시에 따르면, 단말부에서 보안모듈이 설치되면 자동적으로 접속경로가 일정한 규칙에 따라 분산되어 분산접속부를 통해서 원본서버부와 통신을 하며, 원본서버부는 공격자에게 아예 노출이되지 않고 단말부와 교신하게 된다. 본 발명의 바람직한 실시예에 따르면, 분산접속망의 동적운영기술과 보안요소기술을 융합하여 DDoS와 같은 위협에 대한 막대한 투자와 다양한 서비스 가용성에 대한 잠재 위협 요소에 의한 문제를 한꺼번에 해결하는 효과가 있다.

Description

'2차원 매트릭스 기반 분산 접속망’을 이용한 DDOS 공격 대응 및 비지니스 연속성 (BUSINESS CONTINUITY ) 보장 방안
본 발명은 비즈니스 연속성 ( Business Continuity ) 보장을 위한 2차원 매트릭스 기반 분산 접속망 구축방안 관한 것으로 특히, 대규모 분산 서비스 공격 (Distributed Denial of Service attack, DDoS ) 이나 접속경로에서 장애로 인하여 가용성 ( availability ) 문제가 발생하는 경우 , 이에 대한 효율적인 대응 방법 및 공격 명령자 ( Command Center) 의 조기색출 방안 및 그 장치에 관한 것이다 .
네트워크 상에서 외부로부터 내부 시스템으로 유입되는 트래픽에는 네트워크를 위협하는 여러 공격들이 존재하게 된다. 따라서, 이러한 공격들을 차단하여 양호한 네트워크 망을 유지하기 위해 보안장비가 상기 내부 시스템에 설치된다. 또한, 이러한 공격 유형으로는 네트워크 대역폭(bandwidth)을 위협하는 Dos(Denial of Service), DDos(Distributed Denial of Service) 등이 대표적이다.
최근 비지니스 연속성에 가장 치명적인 위협이 되는 Dos(Denial of Service) 공격은 여러 대의 컴퓨터를 일제히 동작하게 하여 특정 사이트를 공격하는 사이버 공격 방식의 하나로, 한 명 또는 그 이상의 사용자가 네트워크의 리소스와 시스템의 리소스를 수용치 이상의 요구를 발생시켜서 정상적인 사용자의 서비스에 요청에 반응하지 못하도록 만드는 공격으로 서비스의 가용성에 치명적인 타격을 끼친다.
상기 공격은 특정 컴퓨터에 침투해 자료나 정보를 삭제, 변경 또는 절취하는 것을 목적으로 하는 것이 아니라 타겟 서버가 다른 정당한 신호나 서비스를 제공하지 못하도록 방해하는 작용만 한다. 즉 DDoS공격이 발생하면 네트워크 상에서 수용할 수 있는 임계치의 수십 배 또는 수백 배에 달하는 대량의 쓰레기 트래픽 ( Garbage traffic ) 이 네트워크에 유입되어 망 전체의 자원을 고갈시켜 서비스 가용성에 타격을 끼친다.
상기 네트워크 대역폭 공격의 경우, 전산자원이 집적되어 있는 데이터센터 ( Data Center ) 에서는 더욱더 문제가 심각하다. 타겟이 된 서버 뿐만 아니라 그 서버와 네트워크 전산자원을 공유하고 있는 이웃 서버들 ( Neighbor Servers ) 이 같이 영향을 받게 되어 안정적인 망 운영에 치명적인 악영향을 끼친다.
‘기가 인터넷 추진계획 ‘ ( 2009.7 방송통신위원회와 한국정보화진흥원 주관) 에 따라 상용화되고 있는 ‘기가 인터넷’이 공격용 좀비로 악용되는 경우, 지금의 공격보다 10배나 확대된 대역폭 공격을 발생이 가능하다. 이론적으로는 좀비 1000개이면 1Tera Byte의 대역폭 공격량이 유발된다. ( 참고로 2009년 7.7 사태의 경우 좀비 가동숫자가 20 여만개로 발표 , 출처 : 정보호호진흥원 발표) 이에 대응하기 위해서는 엄청난 투자가 병행되어야 하는 경제적인 문제가 있다.
상기 공격의 가장 큰 문제는 공격 명령자 ( CC: Command Center ) 가 누구인지 파악하는 것이 현실적으로 불가능하다는 것이다.
최근에는 금전적 갈취를 목적으로 전문적으로 공격 대행하는 사이버갱스터 ( Cyber Gangster) 의 출현으로 공격빈도와 공격의 정도가 급속히 증가하고 공격대상이 광범위하게 확대되고 있어 문제의 심각성이 갈수록 높아지고 있다.
인터넷으로 서비스를 제공하는 인터넷서비스 제공자들이나 공신력이 중요한 정부기관 , 동시 진행이 중요한 인터넷수험이나 투표 ,선거 관련 사이트 등에서는 상기 공격 등에 대한 철저한 대비가 되지 않으면 ‘비즈니스 연속성’ 에 치명적인 위협이 될 가능성이 빠르게 상승하여 인터넷 기반으로 빠르게 전환하고 있는 사회에 큰 혼란이 야기 될 수 있다.
또한, 상기 위협을 대응하기 위한 DDoS 장비 등은 주로 서버의 자원을 공격에 대응하는 장비 위로 제공되는 것이 대부분이며 통신사 등 대규모 네트웍 운영사에서 제공하는 공격 트래픽 우회차단 방식의 경우도 한계를 보유하고 있다.
한국등록특허 076996은 분산 네트워크의 노드 상의 과부하 조건으로부터 보호하기 위해 공격 타겟에 전송되는 모든 트래픽을 보호자에게 우회하여 차단하는 기술을 개시하고 있으나, 이는 정상 트래픽 또한 차단하게 된다는 단점이 도면 1과 같이 있다.
한국등록특허 10-1038673 은 대규모 공격의 경우, 각 통신사의 연동되어 있는 인터넷 연동망 ( Internet Exchange 구간; 도면 2에서 네트워크 )은 그 자원이 매우 협소하므로 가장 빨리 차단이 되는데 이 경우 차단 시스템이 갖춰진 통신사가 아닌 타 통신사에서 인터넷연동구간 자원 확보를 위해서 외부로 나가는 트래픽중 특정 목적 주소로 트래픽이 과도하게 되면 그 목적 아이피를 블랙홀 라우팅하게 됨으로써 결론적으로 타 통신사에 있는 서버로의 접속은 정상적인 서비스가 안 된다.
한국등록특허 10-1038673에서 공격탐지시스템이 탐지 , 라우팅 경로 변경이 순식간에 일어나지 않으면 우회전에 공격트래픽이 이미 상당량이 유입되어 서비스는 이미 불능인 상태가 될 가능성이 높다. 또한 공격방어망으로 우회를 해서 계속 유지를 할 수 없으므로 공격자는 다시 정상경로로 돌아올때까지 기다렸다가 다시 공격하는 등 주기적 반복적으로 공격하는 경우, 서비스 연속성에 심각한 타격을 끼칠 수 있다..
한국등록 특허 10-1038673에서 서버 주소 (Server IP) 가 수시로 변경되는클라우드 환경이나 특정 기간 동안에 사업프로모션으로 인해서 평사시의 트래픽을 기반으로 한 베이스라인 ( baseline ) 을 기반으로 비정상 트래픽을 분석하는 환경에서는 오탐(False detection)의 가능성이 매우 높다 .
한국등록 특허 10-2010-0066170 에서 출발지 주소 ( Source IP address )를 변조한 3단계 악수기법 ( 3 way hand shaking) 을 사용하는 TCP 공격에 효과적으로 대응이 가능하나 대역폭 공격을 유발하는 ICMP와 UDP와 같이 TCP 가 아닌 다른 프로토콜의 경우는 대응이 곤란하다 .
한국등록 특허 10-2011-0049282 의 도면 16에서 대규모 대역폭 공격이 발생하면 20번 대의 네트워크 단계에서 대역폭이 수용 한계를 수십 또는 수 백배를 초과한 쓰레기 트래픽 ( Garbage Traffic ) 이 점유한 상태가 되어 버린다.. 따라서 대역폭 공격의 경우는 한국등록특허 10-1038673 에서와 같이 최고층 백본( Back Bone) 단계가 아닌 아래 단계인 900번과 700 번 단계에서 제어하는 것은 현실적으로 효율성이 없다.
한국등록 특허 10-2011-0034530 의 [0031] 에서와 같이 기 접속한 ‘출발지 주소 ( source IP) ‘를 히스토리 기반으로 도면 2와 같이 분류하는 방식을 취하고 있다. 그러나 최근의 은행의 인터넷 뱅킹이나 증권사의 홈트레이딩 시스템 ( HTS) 등의 접속에서 스마트폰 등을 이용한 모바일 망을 통한 접속이 70%를 상회하고 있다. 이 모바일 망은 접속하는 할 때 마다 또는 이동 중 로밍 ( Roaming )에 따라서 출발지 주소 ( source IP ) 를 기준으로 삼기에는 모바일 환경에서 적합하지 않다.
본 발명은 전술한 문제점을 해결하기 위해 안출된 것으로, DDoS 공격과 접속경로에서 문제 등으로 인한 서비스 가용성에 위해가 원본서버로 가해지는 것을 원천적으로 차단하여 ‘비즈니스의 연속성’ 을 최대한 보장하는데 목적이 있다
전술한 목적을 달성하기 위해, 하나이상의 원본 서버에 대한 DDoS 대응 서비스 제공방법은,
(a) 단말기의 인증을 하기 위한 단말 인증부단계; (b) 단말기의 인증이 완료되면 단말보안모듈을 내려주는 다운로드 단계 ; (c) 단말보안모듈을 통해 전달된 단말기의 고유정보 ( 접속수조 ,맥주소- MAC Address, 하드 디스크 일련번호 , 접속 ID 등 ; 이하 ‘단말기 고유정보’라 함 ) 를 근거로 ‘n차’의 접속경로를 산출하는 플록시 관리부 ( PMS : Proxy Management System ; 이하 ‘PMS’ 라고 함) ; (d) 단말보안모듈은 할당된 접속경로를 통해서 정상적인 접속이 되는지 여부를 수시로 점검하여 정상접속이 안 되는 경우는 기 할당된 ‘차기 접속경로’ 로 전환하는 단계 ; (e) 접속경로 분산을 이용해서 공격명령자 ( CC ) 를 색출하는 단계를 포함한다 .
상기 단계 (a) 이전에, 원본서버는 노출되지 않고 ‘다수의 접속부’ 만이 노출됨으로써 원본서버를 공격의 직접 타겟이 되지 않는 ‘비노출구간’에 위치하는 것을 특징으로 한다 .
상기 단계 (c )는, (c1) 단말기의 정보를 전송받는 단계 ; (c2) 상기 단계 (c1)에서 전송된 단말기의 고유정보를 이용해서 구현하고자 하는 ‘n 차의 접속경로’를 ‘ m 그룹’ 으로 분산하는 2차원 매트릭스를 생성하는 단계 ; (c3 ) 상기 단계 (c2)에서 매칭된 2차원 매트릭의 ‘n 차의 좌표’에 접속경로가 각기 상이한 IP 주소 또는 URL 로 매칭이 되는 단계를 포함하는 것을 특징으로 한다.
상기 단계 (d)는, (d1) 설치된 단말보안모듈이 할당된 접속경로를 통해서 정상접속 되는지를 단말기에서 점검하여 일정 임계치를 산출하는 단계 ; ( d2) 상기 (d1)에서 설정된 임계치를 초과하는 경우 자동으로 ‘차기 경로’로 접속을 전환하는 단계 ; (d3) 상기 (d2)의 과정에서 악의적인 의도로 단말의 n 차 접속경로 부정 검출을 하고자 하는 것에 대비하기 위한 단계를 포함하는 것을 특징으로 한다.
상기 단계 (e)는, (e1) 피 공격 플록시 탐지 단계 ; (e2) 상기 (e1)에 접속한 접속자의 ‘단말기 고유정보’를 수집하는 단계 ; (e3) 상기 (e2)에서 수집된 ‘단말기의 고유정보’를 기초로 공격명령자( CC) 를 색출하는 단계를 포함하는 것을 특징으로 한다 .
이하, 도면을 참조하여 본 발명의 바람직한 실시예에 따른 ‘2차원매트릭스 기반의 분산 접속망을 이용한 DDoS 대응 과 공격명령자 색출 방안 및 그 장치 ‘을 설명한다. 이에 앞서, 본 명세서 및 청구범위에 사용된 용어나 단어는 통상적이거나 사전적인 의미로 한정해서 해석되어서는 아니 되며, 발명자는 그 자신의 발명을 가장 최선의 방법으로 설명하기 위해 용어의 개념을 적절하게 정의할 수 있다는 원칙에 입각하여 본 발명의 기술적 사상에 부합하는 의미와 개념으로 해설되어야만 한다. 따라서, 본 명세서에 기재된 실시예와 도면에 도시된 구성은 본 발명의 가장 바람직한 일 실시예에 불과할 뿐이고 본 발명의 기술적 사상을 모두 대변하는 것을 아니므로, 본 출원시점에 있어서 이들을 대체할 수 있는 다양한 균등물과 변형예들이 있을 수 있음을 이해하여야 한다.
도 3은 본 발명의 실시예에 따른 ‘2차원매트릭스 기반의 분산 접속망을 이용한 DDoS 대응 방안’을 개략적으로 도시한 도면이다.
도시한 바와 같이, 본 발명은 ‘2차원매트릭스 기반의 분산 접속망을 이용한 DDoS 대응 방안’ 으로서 , 단말부 (100) , 인증부 ( 200 ) , 다운로드부(300) , PMS부 (400) , 2차원매트릭스접속부(500) ,원본서버부(600) 를 포함한다.
상기에서 원본서버부( 600)만은 ‘비노출구간’에 위치하고 있어서 원본서버부가 직접적인 공격의 대상이 되지는 않는다 .
상기에서 인증부 (200) , 다운로드부 ( 300) , PNS 부(400) , 2차원매트릭스 접속부(500) 는 ‘노출구간’에 위치하며 복수 개로 분산되어있다 .
도 4는 본 발명의 실시예에 따른 ‘2차원매트릭스 기반의 분산 접속망을
이용한 DDoS 대응방안'에 대한 진행 절차를 개략적으로 도시한 도면이다.
도시한 바와 같이, 접속이 시작되면 단말기에 대한 인증을 하고 ( s200 ),정상적으로 인증을 마치면 단말보안모듈을 다운로드 받는다 (s300) , 보안모듈은 인증부(200)를 경유하여 PMS 부(400) 로 접속한다. 보안모듈은 ‘단말기공유정보’를 PMS (400) 에 전달하고 PMS (400)은 이 ‘단말기공유정보’를 기초로 고유의 접속경로에 대한 2차원 좌표를 ‘n 차’를 연산 , 생성시키고 이를 단말보안모듈에게 전달한다 (s401 ~ 405 ).
‘n차’의 접속경로를 전달받는 단말기는 다수의 ‘2차원매트릭스 접속부’ 중 하나의 접속경로(s 500) 를 통하여 원본서버 (600) 로 접속하여 통신한다.
또한, 접속한 이후에도 단말부 ( 100) 는 접속경로활성점검부 (510) 으로 접속활성여부를 주기적으로 점검 ( s 511) 하여 일정 임계치 이상 접속이 유지 되지 않은 경우 , 접속장애 구간 확인을 위해서 일반 인터넷 중 기 정해진 잘 알려진 사이트를 방문하여 접속 여부를 확인한다 ( s 521 ) . 이 결과에 따라 ‘차기 접속경로’를 할당할 것인지 아닌지 여부를 결정된다 .
상기 절차에 따라 원본서버로 접속 여부가 결정이 된다 .
도 5는 PMS (100) 부에서 ‘단말고유정보’를 이용하여 ‘2차원 접속 매트릭스 생성 과정”을 도시한 도면이다 .
도시한 바와 같이, ‘단말부(100)’는 ‘PMS부 (400)’ 에게 각 단말기의 고유값 ( ip 주소 , Mac 주소 , 하드디스크 시리얼 번호 등 ) 을 전달한다 ( 401). PMS(400)는 ‘단말고유정보’의 고유값을 이용하여 ‘n차’의 2차원 접속경로 좌표를 생성한다 ( 402 ) .
상세하게는, ‘단말고유정보’의 각 자리숫자를 분할하고자 하는 그룹의 수 ( 이후 ‘m’ 으로 표시) 나눈 값의 나머지 ( Mod 값) 을 구하여 산출한다. 이를 배당하고자 하는 비상경로의 차 수 ( 이후 'n' 으로 표시) 만큼을 산출한다. 이를 통해서 각 클라이언트의 고유값에 따라 X축에 ' n ' , Y 축에 'm' 으로 구성된 2차원 매트릭스(n,m)를 완성한다 (도면 403) .
여기서 운영의 효율성을 위해서 'm' 은 'n' 이 증가함에 따라 '차감변수'로 설정할 수도 있다 . 이에 따라 2차원매트릭스는 정사각형 뿐만 아니라 1차에서 n차로 갈수록 순차적으로 작아지는 직사각형의 형태로 될 수도 있다.
전술한 단계에 따라 만들어진 ‘2차원 매트릭스 ( n,m)’ 에 PMS 는 이 차원 좌표에 각각 상이한 IP 주소 또는 URL 을 할당하여 각 단말기가 n차의 비상접속 경로를 상이하게 할당하여 분산한다.
상세하게 예를 들어보면 비상경로를 6차 ( n = 6 ) 에 걸쳐 확보하고 사용자 그룹 5개 그룹 ( m = 5 ) 을 하는 매트릭스를 구성하면 매트릭스 (6,5) 를 구성하게 175.167.196.249 라는 IP주소를 가진 사용자가 접속하는 경우 그림과 같이 매트릭스를 형성한다 . IP 주소 12자리를 정순 또는 역순으로 처리하면 된다. 역순으로 처리하는 경우,
1차는 Mod ( 9.5 ) = 3 으로 매칭되는 매트릭스는 ( 1 . 3)
2차는 Mod ( 4.5 ) = 4 으로 매칭되는 매트릭스는 ( 2. 4)
3차는 Mod ( 2.5 ) = 2 으로 매칭되는 매트릭스는 ( 3. 2)
4차는 Mod ( 6.5 ) = 1 으로 매칭되는 매트릭스는 ( 4. 1)
5차는 Mod ( 9.5 ) = 4 으로 매칭되는 매트릭스는 ( 5. 4 )
6차는 Mod ( 1.5 ) = 1 으로 매칭되는 매트릭스는 ( 6. 1)
로 대응이 된다. 175.167.196.249 라는 접속 주소를 가진 단말기는 ( 1,3) , (2,4) , (3,2),(4,1),(5,4),(6,1) 이라는 6차의 고유한 좌표를 확보하게 된다. 이 좌표는 각 상이한 접속경로 ( URL )이나 IP 주소를 산정하여 단말기에게 단말보안모듈을 통해서 전달이 된다.
도 6은 ‘접속부 장애시 차기 접속경로 전환 과정’을 도시한 도면이다 .
도시한 바와 같이, 단말부(100) 는 접속부(500) 과 정상적으로 교신하는 중에도 접속경로활성점검서버와 접속경로 활성 상태를 현재 할당된 접속경로를 통해서 점검한다 (511).
공격 등으로 인하여 경로로 작동하던 플록시가 통신불능 상태가 되어 교신이 안되는 경우, 단말부에서는 그 시간을 측정하여 통신불능상태가 설정된 임계치 값이 초과하는지를 점검한다 ( 512).
전술한 단계에서 임계치 값이 초과하게 되면 ‘차기 접속경로’로 접속경로를 변경한다 ( 531) .
전술한 단계에서 공격이 지속적으로 발생하더라도 n 차로 접속을 시도하는 동안 , 접속자의 그룹을 구분한 'm'값에 따라 단말부의 고유값이 각 차수에 따라 분산되어 정상 접속자 그룹은 그대로 서비스를 유지하고 장애가 발생한 플록시만 다음 차수로 이동하여 서비스를 재개하게 되므로 서비스 가용성을 효과적으로 확보 할 수 있다.
상세하게는 , 2차원 접속망 좌표 ( 1.2) 가 공격을 당하게 되면 좌표 ( 1.1),(1.3),…(1.m) 은 그대로 서비스가 되고 있다. 따라서 매 비상경로가 가동되는 차수마다 서비스가 단절이 ‘1/m’ 만큼 줄어들게 되므로 ‘n차’ 만큼 비상경로를 확보하게 되면 ‘(1/m)n ‘만큼만 장애로 서비스가 장애가 생기므로 결국은 ‘(1-(1/m)n) %’ 만큼의 가용성 확보가 가능할 뿐만 아니라 2차원 구성을 통해서 서비스의 안정적인 서비스 확보에 있어서 기존방식과 비교할 수 없는 효과를 확보가 가능하다.
전술한 단계에서, 단말부에 기 할당된 비상접속 경로를 악의적으로 파악하기 위해서 고의로 통신을 차단하고 클라이언트가 차기 차수로 자동 할당하는 접속경로를 파악하는 것을 예방하기 위해서 '구글, facebook' 등 잘 알려진 다수의 URL 로 접속을 시도하여 전부 또는 일부가 정상 통신이 되는 경우에만 '2차 어플리케이션 통신 프록시 IP주소' 로 접속하여 통신 경로를 확보한다 (521)
전술한 단계에서 다수의 유명한 URL 접속도 차단된 경우는 인터넷접속이 아예 안 되는 상황이거나 또는 고의적으로 접속을 차단한 경우로 보고 단말부(100)는 ‘차기 접속 경로’로 전환을 수행하지 않는다.
도면 7은 ‘ 2차원 매트릭스 접속부를 이용한 공격명령자 색출 과정’을 도시한 도면이다 .
도시한 바와 같이, 지속적인 공격자를 색출하기 위해서는 공격 당한 플록시들의 접속자 주소를 수집하여 ( 515 ) 그 교집합을 구하여 ‘단말고유정보’를 확보하여 색출한다.
상세하게는, 공격자가 지속적인 공격을 수행할 때 자신이 접속하는 경로가 몇 개로 분산되는지 예측할 수 없으므로 지속적인 공격을 위해서 'n 차'로 할당 받는 플록시를 지속적으로 추적하며 공격하게 된다. 접속부 활성점검서버 ( 510) 은 피공격 플록시에서 접속단말 정보를 축출한다. 공격이‘n’차 수행되는 동안, 공격명령자의 확도가 ‘(1/m)n ‘% 만큼 확도가 좁혀진다.
상세하게 예를 들면, 비상경로 차수를 10차로 하고 분산 그룹을 10차로 한 매트릭스 ( 10 , 10 ) 인 경우, 10nano 까지 확도가 좁혀지므로 ‘할당 받는 사용자 * 10 nano’ 까지 좁혀진다.
동시에 접속한 사용자가 100,000 명의 할당을 받은 경우, 1회차 마다 그룹이 1/10 으로 줄어들므로 아래와 같이 5차의 지속 공격을 발생시켜면 즉각 '공격명령자' 색출이 가능하다.
1회차에 100,000 에서 10,000 으로
2회차에 10,000 에서 1,000 으로
3회차에 1,000 에서 100 으로
4회차에 100 에서 10 명으로
5회차에 10 명에서 1명으로 축출이 된다.
본 발명에 실시 예에 따르면 ‘2차원 매트릭스 분산접속 클라우드’ 를 이용하여 공격의 타겟으로 분산으로 함으로써 최근 급속히 확산되는 DDoS 공격등의 가장 큰 난제인 대규모의 공격에 대한 대응과 그 공격자를 신속하고 효과적으로 색출하는 매우 효과적인 방안을 제공한다.
도 1은 종래의 싱크홀 기술을 적용한 DDoS 대응방법을 설명하기 위한 도면이다.
도 2는 종래의 BGP를 이용한 백본망에서 DDOS 대응방법을 설명하기 위한 도면이다.
도 3는 본 발명의 실시예에 따른 ‘2차원매트릭스 접속망을 이용한 DDOS 대응을 위한 구성’을 개략적으로 도시한 도면이다.
도 4는 본 발명의 실시예에 따른 ‘2차원매트릭스 접속망을 이용한 DDOS 대응을 위한 절차’를 개략적으로 도시한 도면이다.
도 5는 본 발명의 실시예에 따른 ‘단말고유정보를 이용하여 2차원 접속 매트릭스 생성 과정’을 도시한 도면이다 .
도 6은 본 발명의 실시예에 따른 ‘접속부 장애시 차기 접속경로 전환 과정’을 도시한 도면이다
도 7은 볼 발명의 실시예에 따른 ‘ 2차원 매트릭스접속부를 이용한 공격명령자 색출 과정’을 도시한 도면이다 .
<도면의 주요부분에 대한 부호의 설명>
100 : 단말부 200 : 인증부 300 : 다운로드부
400 : PMS부 500 : 접속부 600 : 원본서버부

Claims (12)

  1. DDoS 공격과 같은 서비스 가용성 공격에 대비하여 안정적인 서비스 가용성을 확보하기 위해서 ‘도면 3’ 과 같이 원본서버 ( Origin Server)를 노출구간에서 비 노출구간으로 배치하고 공격자에게 원본서버가 공개되지 않도록 서비스의 안정성과 비지니스 연속성을 보장하는 특징을 보유한 시스템 구성
  2. DDoS 공격 등으로부터 서비스의 가용성과 연속성을 위하여 단말부와 서버 사이에 ' 비지니스 가용성을 위해 다수의 2차원 ( m*n ) 매트릭스 분산 접속망 ' 배치하고 다수 차수의 접속경로를 2차원적으로 이원화하여 공격을 분산하는 특징을 보유한 시스템 구성
  3. 청구항 2에서 접속자 마다 접속하는 경로가 상이하고 접속자가 자신에게 할당된 접속경로 외에는 다른 접속 경로를 인지하지 못하도록 하여 공격의 목표인 ‘접속부’가 전체적으로 노출되지 않는 특징을 보유한 시스템 구성
  4. 청구항 2에서 공격받는 접속망으로 접속한 접속자들만 다시 2차, 3차 , n 차 분산함으로써 접속경로를 매번 진행될 때 마다 정상 접속자의 숫자가 늘어나 ‘(1-(1/m)n) %’ 만큼의 가용성 확보하는 특징을 보유한 시스템 구성
  5. 청구항 2에 있어서 접속망을 분산하는데 있어서 분할하고자 하는 그룹의 수 ' m' 그리고 할당하고자 하는 비상경로의 수인 'n' 을 이용한 2차원 매트릭스 접속경로의 좌표를 산출하는 특징을 보유한 시스템 구성
  6. 청구항 5에 있어서 분할하고자 하는 그룹 'm' 이 고정수 또는 차감변수로 2차원 매트릭스가 정 사각형 또는 직 사각형 형식으로 구성되는 특징을 보유한 시스템
    구성
  7. ‘분산접속경로생성’에 있어서 ‘단말고유정보 ( ip 주소 , Mac 주소 , 하드디스크 시리얼 번호 등 )’를 이용하여 각 단말기별로 상이한 접속경로를 생성하는 특징을 보유한 시스템 구성
  8. 청구항 7에 있어서 ‘분산접속경로생성’에 있어서 ‘단말고유정보’의 각 자리수를 분할하고자 하는 그룹의 수 ‘m’ 으로 나눈 나머지 값 ( Mod ) 로 고유한 접속경로를 산출하는 특징을 보유한 시스템 구성
  9. ‘2차원 매트릭스 ( n,m)’ 에 PMS가 보유한 각기 상이한 IP 주소들 또는 각기 상이한 URL 을 할당하여 n차의 비상접속 경로를 단말기보안모듈에 일괄 부여하는 특징을 보유한 시스템 구성
  10. 청구항 9에 있어서 '악의적 접속경로 파악' 을 예방하기 위해서 '구글, facebook' 등 잘 알려진 다수의 URL 로 접속을 시도하여 정상통신이 되는 경우에만 기 할당된 차기 접속경로로 전환하는 특징을 보유한 시스템 구성
  11. 단말부와 접속부 간의 활성여부를 단말부에서 측정하여 임계치 값을 초과하는 경우는 서버쪽의 개입없이 단말부에서 차기 접속경로로 독자적으로 전환하는 특징을 보유한 시스템 구성
  12. 지속적인 공격 타겟을 추적하여 공격하는 경우, 2차원 매트릭스를 이용하여 추적공격을 수행한 접속 기록을 이용하여 공격자를 추적한다. 'n'차에 걸쳐 추적 공격을 하는 경우 공격자는 전체 접속자중에서 ‘(1/m)n ‘% 만큼 확도가 좁혀가면서 공격자를 추적하는 특징을 보유한 시스템 구성
PCT/KR2013/006606 2013-07-24 2013-07-24 '2차원 매트릭스 기반 분산 접속망'을 이용한 ddos 공격 대응 및 비지니스 연속성 (business continuity ) 보장 방안 WO2015012422A1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/KR2013/006606 WO2015012422A1 (ko) 2013-07-24 2013-07-24 '2차원 매트릭스 기반 분산 접속망'을 이용한 ddos 공격 대응 및 비지니스 연속성 (business continuity ) 보장 방안

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/KR2013/006606 WO2015012422A1 (ko) 2013-07-24 2013-07-24 '2차원 매트릭스 기반 분산 접속망'을 이용한 ddos 공격 대응 및 비지니스 연속성 (business continuity ) 보장 방안

Publications (1)

Publication Number Publication Date
WO2015012422A1 true WO2015012422A1 (ko) 2015-01-29

Family

ID=52393449

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2013/006606 WO2015012422A1 (ko) 2013-07-24 2013-07-24 '2차원 매트릭스 기반 분산 접속망'을 이용한 ddos 공격 대응 및 비지니스 연속성 (business continuity ) 보장 방안

Country Status (1)

Country Link
WO (1) WO2015012422A1 (ko)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107426132A (zh) * 2016-05-23 2017-12-01 腾讯科技（深圳）有限公司 网络攻击的检测方法和装置
CN109257384A (zh) * 2018-11-14 2019-01-22 济南百纳瑞信息技术有限公司 基于访问节奏矩阵的应用层DDoS攻击识别方法
CN109450841A (zh) * 2018-09-03 2019-03-08 中新网络信息安全股份有限公司 一种基于云+端设备按需联动模式的大规模DDoS攻击检测与防御系统及防御方法
CN112187784A (zh) * 2020-09-25 2021-01-05 绿盟科技集团股份有限公司 一种网络信息匹配方法、装置及可读存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101027725B1 (ko) * 2009-12-29 2011-04-12 주식회사 피앤피시큐어 가용성 보장을 위한 프록시 기반의 보안시스템
WO2011099773A2 (ko) * 2010-02-10 2011-08-18 주식회사 유섹 분산 서비스 거부 공격에 대한 공격 트래픽 방어 시스템 및 그 방법
KR20120006134A (ko) * 2010-07-12 2012-01-18 아주대학교산학협력단 멀티-홉 네트워크에서의 라우팅 경로 설정 방법 및 이를 위한 장치
WO2013065887A1 (ko) * 2011-10-31 2013-05-10 한국인터넷진흥원 이동통신망의 보안 시스템
WO2013094837A1 (ko) * 2011-12-19 2013-06-27 주식회사 솔박스 해시 함수 결과를 이용한 서버 부하 분산 처리 방법 및 그 장치

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101027725B1 (ko) * 2009-12-29 2011-04-12 주식회사 피앤피시큐어 가용성 보장을 위한 프록시 기반의 보안시스템
WO2011099773A2 (ko) * 2010-02-10 2011-08-18 주식회사 유섹 분산 서비스 거부 공격에 대한 공격 트래픽 방어 시스템 및 그 방법
KR20120006134A (ko) * 2010-07-12 2012-01-18 아주대학교산학협력단 멀티-홉 네트워크에서의 라우팅 경로 설정 방법 및 이를 위한 장치
WO2013065887A1 (ko) * 2011-10-31 2013-05-10 한국인터넷진흥원 이동통신망의 보안 시스템
WO2013094837A1 (ko) * 2011-12-19 2013-06-27 주식회사 솔박스 해시 함수 결과를 이용한 서버 부하 분산 처리 방법 및 그 장치

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107426132A (zh) * 2016-05-23 2017-12-01 腾讯科技（深圳）有限公司 网络攻击的检测方法和装置
CN107426132B (zh) * 2016-05-23 2019-09-17 腾讯科技（深圳）有限公司 网络攻击的检测方法和装置
CN109450841A (zh) * 2018-09-03 2019-03-08 中新网络信息安全股份有限公司 一种基于云+端设备按需联动模式的大规模DDoS攻击检测与防御系统及防御方法
CN109257384A (zh) * 2018-11-14 2019-01-22 济南百纳瑞信息技术有限公司 基于访问节奏矩阵的应用层DDoS攻击识别方法
CN109257384B (zh) * 2018-11-14 2020-12-04 济南百纳瑞信息技术有限公司 基于访问节奏矩阵的应用层DDoS攻击识别方法
CN112187784A (zh) * 2020-09-25 2021-01-05 绿盟科技集团股份有限公司 一种网络信息匹配方法、装置及可读存储介质
CN112187784B (zh) * 2020-09-25 2022-12-16 绿盟科技集团股份有限公司 一种网络信息匹配方法、装置及可读存储介质

Similar Documents

Publication Publication Date Title
WO2011010823A2 (ko) 클라우드 컴퓨팅을 이용한 ＤＤｏＳ 공격 탐지 및 차단 방법 및 서버
US11863570B2 (en) Blockchain-based network security system and processing method
KR101812403B1 (ko) SDN에서의 DoS공격 방어시스템 및 이의 구현방법
WO2012153913A1 (ko) 차단서버를 이용한 스푸핑 공격 방어방법
SE524963C2 (sv) Nod och mobil anordning för ett mobiltelekommunikationsnätverk som tillhandahåller intrångsdetektering
CN111431881B (zh) 一种基于windows操作系统的诱捕节点实现方法及装置
CN101803305A (zh) 网络监视装置、网络监视方法及网络监视程序
WO2015012422A1 (ko) &#39;2차원 매트릭스 기반 분산 접속망&#39;을 이용한 ddos 공격 대응 및 비지니스 연속성 (business continuity ) 보장 방안
Kolomoitcev et al. The fault-tolerant structure of multilevel secure access to the resources of the public network
Yoon Using whitelisting to mitigate DDoS attacks on critical internet sites
Alhaj et al. Analysis of security attacks in SDN network: A comprehensive survey
Bandi et al. FastMove: Fast IP switching moving target defense to mitigate DDoS attacks
WO2024106789A1 (ko) 인공지능 기반 암호 트래픽내 악성 패킷 판단 장치 및 방법
Vijayalakshmi et al. IP traceback system for network and application layer attacks
Ahmed et al. Security & privacy in software defined networks, issues, challenges and cost of developed solutions: a systematic literature review
WO2023234629A1 (ko) 양자난수 암호화키 생성방법
Yao et al. Security in software-defined-networking: A survey
Mutaher et al. OPENFLOW CONTROLLER-BASED SDN: SECURITY ISSUES AND COUNTERMEASURES.
WO2013089395A1 (ko) 시그니쳐 기반 무선 침입차단시스템
CN110581843B (zh) 一种拟态Web网关多应用流量定向分配方法
Sakhawat et al. Agent‐based ARP cache poisoning detection in switched LAN environments
Jin et al. Mitigating HTTP GET Flooding attacks through modified NetFPGA reference router
Hamdani et al. Detection of DDOS attacks in cloud computing environment
CN114697136B (zh) 一种基于交换网络的网络攻击检测方法与系统
Al-Mwald et al. Detection and Prevention of ARP Cache Poisoning in Advanced Persistent Threats Using Multiphase Validation and Firewall

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13889855

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205A DATED 10.06.2016)

122 Ep: pct application non-entry in european phase

Ref document number: 13889855

Country of ref document: EP

Kind code of ref document: A1