WO2016108415A1 - 네트워크 보안 장비 및 그것의 디도스 공격 탐지 방법 - Google Patents

네트워크 보안 장비 및 그것의 디도스 공격 탐지 방법 Download PDF

Info

Publication number
WO2016108415A1
WO2016108415A1 PCT/KR2015/011783 KR2015011783W WO2016108415A1 WO 2016108415 A1 WO2016108415 A1 WO 2016108415A1 KR 2015011783 W KR2015011783 W KR 2015011783W WO 2016108415 A1 WO2016108415 A1 WO 2016108415A1
Authority
WO
WIPO (PCT)
Prior art keywords
source
bit
index
destination
ddos
Prior art date
Application number
PCT/KR2015/011783
Other languages
English (en)
French (fr)
Inventor
문종욱
Original Assignee
주식회사 시큐아이
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 시큐아이 filed Critical 주식회사 시큐아이
Publication of WO2016108415A1 publication Critical patent/WO2016108415A1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Definitions

  • the present invention relates to a network system, and more particularly, to a network security apparatus and a method thereof for detecting a DDoS attack by consuming a minimal amount of resources (processor (CPU), memory,
  • a Distributed Denial of Service (DDoS) attack is an excessive traffic volume or session, such as SYN Flooding, TCP Session Flooding, HTTP Get Flooding, Is an attack that prevents normal network services (for example, Internet service) from being performed normally due to lack of resources of the network infrastructure of the Internet section.
  • DDoS Distributed Denial of Service
  • the lack of resources of the network infrastructure includes the depletion of the line bandwidth itself, the overcapacity of network equipment such as routers and load balancing switches, and the overloading of security equipment such as firewalls and IPS.
  • various techniques for detecting and blocking various DDoS attacks are various techniques for detecting and blocking various DDoS attacks.
  • resource consumption such as memory, processor, and power is increased There was a problem.
  • a network security apparatus includes a collector for collecting a fluctuation amount of a source IP for each of processors, an analyzer for calculating a deduce index by summing up fluctuation amounts of the source IPs, And a determiner for determining whether the DDoS attack has occurred through the determination of whether the DDoS attack has occurred or not.
  • the collector includes collectors for collecting variations in the source IP of the packets being processed for each of the processors, each of the collectors being characterized by being located in a processor for the source- .
  • the collector samples the source IP of the received packet, and acquires the sampled source IP and the variation according to the bit change of the source IP of the currently received packet through an exclusive-OR (XOR) operation .
  • XOR exclusive-OR
  • the descriptive index represents a bit change amount of a 32-bit source IP address in an IPv4 address system, and indicates a source IP address of 128 bits in an address system of IPv6 (IPv6) And a bit change amount.
  • the analyzer accumulates the source IP variance every predetermined period, obtains the sum of the total source IP bit changes through a bitwise OA operation, and sets the value of 1 based on the sum of the source IP bit changes And the number of bits is set to the index index.
  • a method for detecting a DDoS attack of a network security device includes the steps of collecting a fluctuation amount of a source IP of a packet to be processed for each of the processors, calculating a dedex index by summing up fluctuation amounts of the source IPs, And determining whether the DDoS attack has occurred by determining whether the DDoS index exceeds a threshold value for determining a DDoS attack.
  • the collecting may include sampling a source IP of a packet received at each of the processors, and performing an exclusive-OR of the variation according to the bit change of the source IP of the sampled source IP and the currently- XOR) operation.
  • the descriptive index represents a bit change amount of a 32-bit source IP address in an IPv4 address system, and indicates a source IP address of 128 bits in an address system of IPv6 (IPv6) And a bit change amount.
  • the step of calculating includes accumulating the collected variation amount of the source IP every predetermined period, obtaining a sum of the total source IP bit changes through a bitwise OR operation, And setting the number of bits set to 1 based on the sum to the index index.
  • a network device includes a collector for collecting a variation amount of a destination IP for each of processors, an analyzer for calculating a worm propagation index through summing up the fluctuation amount of the destination IP, And a determiner for determining whether or not the worm propagation is generated by determining whether the propagation index exceeds a threshold value for detection of worm propagation.
  • collectors are provided for collecting variations in the destination IP of the packets being processed for each of the processors, wherein each of the collectors is located within the processor for the purpose of measuring the amount of variance of the destination IP.
  • the collector samples the destination IP of the received packet, and acquires the sampled destination IP and the variation according to the bit change of the destination IP of the currently received packet through an exclusive-OR (XOR) operation .
  • XOR exclusive-OR
  • the analyzer accumulates the destination IP fluctuation every predetermined period, obtains the sum of the overall destination IP bit changes through a bitwise OA operation, and sets the value of 1 based on the sum of the destination IP bit changes And the number of bits is set to the worm propagation index.
  • the network security device of the present invention can reduce resource consumption such as a memory and a processor by detecting a DDoS attack based on a bit change of a source IP (SIP).
  • SIP source IP
  • FIG. 1 illustrates a network security device according to an embodiment of the present invention
  • FIG. 2 illustrates a network security module according to an embodiment of the present invention
  • FIG. 3 illustrates an implementation of a network security appliance according to an embodiment of the present invention
  • FIG. 4 is a flow chart illustrating the operation of a collector according to an embodiment of the present invention.
  • FIG. 5 is a flowchart showing the operation of the analyzer according to the embodiment of the present invention.
  • FIG. 6 is a flowchart illustrating an operation of the determiner according to an embodiment of the present invention.
  • the present invention provides a network security apparatus that reduces resource consumption for detecting a DDoS attack.
  • FIG. 1 is a block diagram of a network security device according to an embodiment of the present invention.
  • a network security appliance 100 includes a collector 110, an analyzer 120, and a determiner 130.
  • the collector 110 may include a plurality of collectors and collects a variation amount of a source IP (SIP) from a plurality of processors.
  • the processor includes a central processing unit (CPU), and will be referred to as a CPU hereinafter for convenience of explanation.
  • the collector 110 outputs the fluctuation amount of the collected source IP to the analyzer.
  • the collector 110 may be composed of N collectors 111, 112, 113, and 114 corresponding to N CPUs for source IP variation collection for each of a plurality of CPUs.
  • the analyzer 120 calculates the DDoS Index by summing the variations of the source IPs collected for each CPU.
  • This DDoS Index represents a bit change amount of a 32-bit source IP address in the address system of IPv4, and a bit change amount of a source IP of 128 bits in the address system of IPv6 (IPv6) .
  • the analyzer 120 outputs the digox index to the determiner 130.
  • the determiner 130 determines whether a DDoS Index exceeds a threshold based on a preset threshold. The determiner 130 determines that there is a DDoS attack if the DDoS index exceeds the threshold value, and determines that there is no DDoS attack if the DDoS index does not exceed the threshold value. The determiner 130 outputs a security policy decision signal according to the DoDOS attack. At this time, the security policy decision signal can be used as a signal for determining the security level.
  • the network security apparatus 100 proposed in the present invention detects a DDoS attack based on a bit change of a source IP (SIP), thereby consuming less memory, The processing operation is reduced.
  • the network security appliance 100 reduces the power consumption for detecting the DoDoS attack due to the reduction of memory and processing operations due to use of the bit change of the source IP.
  • FIG. 2 illustrates a network security module according to an embodiment of the present invention.
  • the network security module 200 includes a security policy determination unit 210, a first security policy module 221, and a second security policy module 222.
  • the security policy determination unit 210 receives the security policy determination signal output through the determiner 130. According to the control of the security policy decision signal, the security policy decision unit 210 can control the packet flow such that the security policy can be implemented in one of the first security policy module 221 or the second security policy module 222 have.
  • the first security policy module 221 sets a security policy corresponding to a relatively low security level as compared with the second security policy module 222. [ If the determiner 130 does not detect a DOS attack, it may output a security policy determination signal for setting a low security level (relative to the case of detecting a DOS attack) to the security policy determination unit 210 . At this time, the first security policy module 221 operates.
  • the second security policy module 222 sets a security policy corresponding to a relatively higher security level than the first security policy module 221.
  • the determiner 130 detects a DOS attack, it can output a security policy determination signal for setting a high security level (relative to the case where the DOS attack is not detected) to the security policy determination unit. At this time, the second security policy module operates.
  • the network security module 200 may be included in the network security appliance 100 although the network security module 200 is described as being separate from the network security appliance 100 for convenience of explanation.
  • FIG. 3 illustrates an implementation of a network security appliance according to an embodiment of the present invention.
  • the network security device 100 is implemented through the CPUs 310, 321, 322 and 323.
  • the control CPU (CPU 0) 310 may be implemented on the CPU analyzer 120 and the determiner 130.
  • the control CPU (CPU0) 310 corresponds to the CPU group on the control path.
  • N CPUs 321, 322, and 323 may each include a collector 110, i.e., N collectors 111, 112, and 114, respectively.
  • the N CPUs 321, 322, and 323 may include a network security module 200 for establishing a security policy according to the presence or absence of a DDoS attack.
  • the N CPUs 321, 322, and 323 correspond to the CPU group on the data path.
  • the memory 330 may store information collected through the collector 110, information generated during operation of the analyzer 120 and the determiner 130.
  • the memory 330 is described as being connected to the control CPUs (CPU0 and 310) for convenience of explanation, it may be implemented through a memory (not shown) connected to each of the CPUs 321, 322 and 323 have.
  • FIG. 4 is a flowchart illustrating the operation of the collector 110 according to an embodiment of the present invention.
  • the collector 110 receives the packet and proceeds to step 420 (step 410).
  • the collector 110 samples the source IP of the received packet and proceeds to step 430 (step 420). At this time, the collector 110 may obtain the number (Cn) of the CPU that sampled the source IP and store it in the memory 330 through the field of SAMPLE (Cn).
  • the collector 110 determines whether a sampling interval is newly started (operation 430).
  • step 430 if the sampling interval is newly started, the collector 110 proceeds to step 440.
  • the collector 110 replaces the sampled source IP, and proceeds to step 410 (step 440). At this time, the collector 110 sets SAMPLE (Cn) to the replaced source IP.
  • step 430 if the sampling interval is not newly started, the collector 110 proceeds to step 450.
  • the collector 110 calculates the bit change of the sampled source IP and the currently input source IP by an exclusive-OR (XOR) operation, and proceeds to step 460 (step 450).
  • XOR exclusive-OR
  • the collector 110 stores the calculated bit change information as a marker MARKER (Cn), and proceeds to step 410 (step 460).
  • the marker can be expressed by the following equation (1).
  • 'de notes a sum (OR) (for example, bit-wise OR) operation and
  • ⁇ 'de notes an exclusive-or (XOR) operation.
  • the source IP of the current session (the current incoming packet) is referred to as the source IP of the sampling session sample every time thereafter, And performs an exclusive logical OR (XOR) operation.
  • XOR exclusive logical OR
  • the DDoS detection proposed in the present invention can be applied to a method of transmitting a large amount of traffic volume from some source IPs and a method of transmitting traffic from an excessive session among a method of transmitting traffic from an excessive session.
  • collector 110 may correspond to the operation of each of the collectors 111, 112, 113, and 114 that collect variation of the source IP for one CPU. Accordingly, since the above-described operation procedure is performed by each of the CPUs 321, 322, and 323, it is possible to provide excellent scalability since there is no need to compete for shared resources of multicores. Also, the amount of computation required to collect information for the DDoS attack detection is very small, and only a small amount of memory is required for the number of CPUs regardless of the amount of traffic and session amount.
  • FIG. 5 is a flowchart illustrating the operation of the analyzer according to the embodiment of the present invention.
  • the analyzer 120 determines whether it is a preset check period (step 510). Accordingly, the analyzer 120 accumulates the information of the collector 110 every predetermined period to acquire the final DDoS Index.
  • step 510 the analyzer 120 proceeds to step 520 if it is a preset check period.
  • step 520 the analyzer 120 accumulates the bit difference for each CPU, and proceeds to step 530 (step 520). Accordingly, the analyzer 120 accumulates the sum of bit changes of the entire source IP through a bit-wise OR operation on the MARKER (Cn) values obtained up to now by the collector 110. This can be expressed by the following equation (2).
  • step 510 the analyzer 120 proceeds to step 510 and checks whether it is a check period at predetermined time intervals.
  • the analyzer 120 stores the number of bits based on the cumulative value (the sum of the source IP bit changes) as a DDoS index, and then proceeds to step 540. At this time, the analyzer 120 adds the number of bits set to 1 in the AGGREGATOR and stores the sum as a DDoS Index.
  • the analyzer 120 initializes the marker (MARKER (Cn)), which is information that is already collected, for processing of the next cycle, and proceeds to step 510 (step 540).
  • the analyzer 120 may acquire a DDoS index for each check period (for example, 1 second, 1 minute, 1 hour, etc.), and if all of the DDoS indexes are used, .
  • a DDoS index for each check period for example, 1 second, 1 minute, 1 hour, etc.
  • additional memory is occupied by MARKER (Cn) and AGGERATOR variable corresponding to each cycle.
  • MARKER (Cn) and AGGERATOR variable corresponding to each cycle.
  • the amount of memory used for these variables is also small.
  • FIG. 6 is a flowchart illustrating an operation of the determiner according to an embodiment of the present invention.
  • the determiner 130 determines whether the DDoS Index output from the analyzer 120 has a preset threshold value or not, in step 710.
  • the DDoS Index is a value obtained by accumulating output information of the collector 110 at intervals of a predetermined period through the analyzer 120.
  • the threshold value may be set to a value input according to the user control, or may be set using at least one of a time average value, a daily average value, a weekly average value, and a monthly average value of a specific interval.
  • step 710 If the deadose index in step 710 exceeds the threshold, the determiner 130 proceeds to step 720.
  • the determiner 130 detects an attack and proceeds to step 740 (step 720).
  • step 710 If it is determined in step 710 that the data index does not exceed the threshold value, the determiner 130 proceeds to step 730.
  • the determiner 130 detects the attack and proceeds to step 710 (step 730). At this time, the determiner 130 operates to maintain the level of the security policy because no DDoS attack is detected.
  • the determiner 130 outputs a security policy determination signal to increase the level of the security policy according to the detection of the DDoS attack, and proceeds to step 710 (step 740). At this time, a security policy whose security level is raised by the outputting security policy decision signal can be set.
  • the network security device proposed in the present invention does not need to record and manage all the traffic information for detection of the DDoS attack.
  • it can be used for various kinds of IDS attack detection with an application having a pre-alarm function.
  • the source IP is used for the DDoS attack detection.
  • a destination IP can be used instead of the source IP.
  • the collector collects the variation of the destination IP for each of the processors.
  • the collector collects the variation of the destination IP of the packet being processed for each of the processors, and the collector may include a plurality of collectors for measuring the variation of the destination IP within each of the processors.
  • the collector can sample the destination IP of the received packet based on a predetermined time interval and acquire the variation amount according to the bit change of the destination IP of the sampled destination IP and the current incoming packet through the exclusive OR (XOR) operation.
  • the collector can output the fluctuation amount of the destination IP to the analyzer.
  • the analyzer calculates the Worm propagation Index by summing the variation of the destination IP.
  • the analyzer accumulates the fluctuation amount of the destination IP every predetermined period to acquire the sum of the overall destination IP bit changes by the bitwise OA operation and calculates the number of bits set to 1 based on the sum of the destination IP bit changes as the worm propagation index Setting.
  • the determiner may then detect the worm propagation by determining whether the worm propagation index exceeds a threshold set for worm propagation detection.
  • the worm radio wave detection can be implemented by performing similar structures and operations as a whole except for the difference using the destination IP in the DDoS attack detection method, and therefore detailed operation will be described with reference to FIGS. 1 to 6 .

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

본 발명은 네트워크 보안 장비에 관한 것이다. 본 발명의 네트워크 보안 장비는 프로세서들 각각에 대한 소스 아이피의 변동량을 수집하는 수집기, 소스 아이피의 변동량의 합산을 통해 디도스 인덱스를 계산하는 분석기, 및 디도스 인덱스가 디도스 공격의 판단을 위한 임계값을 초과하는지의 판단을 통해 디도스 공격 발생 유무를 판단하는 판단기를 포함한다.

Description

네트워크 보안 장비 및 그것의 디도스 공격 탐지 방법
본 발명은 네트워크 시스템에 관한 것으로서, 특히 최소한의 자원(프로세서(CPU), 메모리 등) 소모만으로 디도스(DDoS) 공격을 탐지하기 위한 네트워크 보안 장비 및 그것의 디도스 공격 탐지 방법에 관한 것이다.
디도스(DDoS: Distributed Denial of Service) 공격은 에스와이엔 플로딩(SYN Flooding), 티시피 세션 플로딩(TCP Session Flooding), 에이치티티피 겟 플로딩(HTTP Get Flooding) 등의 과도한 트래픽 볼륨 또는 세션량으로 인터넷 구간의 네트워크 인프라의 자원 부족을 통해 정상적인 네트워크 서비스(일 예로, 인터넷 서비스)를 정상적으로 이루어지지 못하도록 하는 공격이다.
이때, 네트워크 인프라의 자원 부족은 회선 대역폭 자체의 고갈, 라우터 및 부하 분산 스위치와 같은 네트워크 장비의 처리 능력 초과, 방화벽 및 IPS와 같은 보안 장비의 과부하 등을 포함한다. 이로 인해, 다양한 디도스 공격을 탐지 및 차단하는 다양한 기술이 존재하지만 이를 탐지하기 위해서 대량의 세션 정보를 일일이 모두 감시 관찰하는 형태로 판단 동작하기 때문에 메모리, 프로세서, 전력과 같은 자원 소모가 증가하게 되는 문제점이 있었다.
본 발명의 목적은 디도스(DDoS) 공격 탐지를 위한 메모리, 프로세서와 같은 자원 소모를 감소시킨 네트워크 보안 장비 및 그것의 디도스 공격 탐지 방법을 제공함에 있다.
본 발명에 따른 네트워크 보안 장비는 프로세서들 각각에 대한 소스 아이피의 변동량을 수집하는 수집기, 상기 소스 아이피의 변동량의 합산을 통해 디도스 인덱스를 계산하는 분석기, 및 상기 디도스 인덱스가 디도스 공격의 판단을 위한 임계값을 초과하는지의 판단을 통해 상기 디도스 공격 발생 유무를 판단하는 판단기를 포함한다.
이 실시 예에 있어서, 상기 수집기는 상기 프로세서들 각각에 대해 처리되는 패킷의 소스 아이피의 변동량을 수집하는 수집부들을 포함하고, 상기 수집부들 각각은 소스 아이피의 변동량 측정을 위한 프로세서 내에 위치하는 것을 특징으로 한다.
이 실시 예에 있어서, 상기 수집기는 수신된 패킷의 소스 아이피를 샘플링하고, 샘플링된 소스 아이피와 현재 유입된 패킷의 소스 아이피의 비트 변화에 따른 상기 변동량을 배타적 논리합(XOR) 연산을 통해 획득하는 것을 특징으로 한다.
이 실시 예에 있어서, 상기 디도스 인덱스는 아이피브이 4(IPv4)의 주소체계에서 32비트 크기의 소스 아이피의 비트 변화량을 나타내고, 아이피브이 6(IPv6)의 주소체계에서 128비트 크기의 소스 아이피의 비트 변화량을 나타내는 것을 특징으로 한다.
이 실시 예에 있어서, 상기 분석기는 미리 결정된 주기마다 상기 소스 아이피 변동량을 누적시켜 비트 와이즈 오아 연산을 통해 전체적인 소스 아이피 비트 변화의 합을 획득하고, 상기 소스 아이피 비트 변화의 합에 근거하여 1로 설정된 비트의 개수를 상기 디도스 인덱스로 설정하는 것을 특징으로 한다.
본 발명에 따른 네트워크 보안 장비의 디도스 공격 탐지 방법은 프로세서들 각각에 대해 처리되는 패킷의 소스 아이피의 변동량을 수집하는 단계, 상기 소스 아이피의 변동량의 합산을 통해 디도스 인덱스를 계산하는 단계, 및 상기 디도스 인덱스가 디도스 공격의 판단을 위한 임계값을 초과하는지의 판단을 통해 상기 디도스 공격 발생 유무를 판단하는 단계를 포함한다.
이 실시 예에 있어서, 상기 수집하는 단계는 프로세서 각각에 수신된 패킷의 소스 아이피를 샘플링하는 단계, 및 상기 샘플링된 소스 아이피와 현재 유입된 패킷의 소스 아이피의 비트 변화에 따른 상기 변동량을 배타적 논리합(XOR) 연산을 통해 획득하는 단계를 포함한다.
이 실시 예에 있어서, 상기 디도스 인덱스는 아이피브이 4(IPv4)의 주소체계에서 32비트 크기의 소스 아이피의 비트 변화량을 나타내고, 아이피브이 6(IPv6)의 주소체계에서 128비트 크기의 소스 아이피의 비트 변화량을 나타내는 것을 특징으로 한다.
이 실시 예에 있어서, 상기 계산하는 단계는 미리 결정된 주기마다 상기 수집된 소스 아이피의 변동량을 누적시켜 비트 와이즈 오아 연산을 통해 전체적인 소스 아이피 비트 변화의 합을 획득하는 단계, 및 상기 소스 아이피 비트 변화의 합에 근거하여 1로 설정된 비트의 개수를 상기 디도스 인덱스로 설정하는 단계를 포함한다.
본 발명에 따른 네트워크 장비는 프로세서들 각각에 대한 목적지 아이피(Destination IP)의 변동량을 수집하는 수집기, 상기 목적지 아이피의 변동량의 합산을 통해 웜 전파 인덱스(Worm propagation Index)를 계산하는 분석기, 및 상기 웜 전파 인덱스가 웜 전파 탐지를 위한 임계값을 초과하는지의 판단을 통해 상기 웜 전파 발생 유무를 판단하는 판단기를 포함한다.
이 실시 예에 있어서, 상기 프로세서들 각각에 대해 처리되는 패킷의 목적지 아이피의 변동량을 수집하는 수집부들을 포함하고, 상기 수집부들 각각은 목적지 아이피의 변동량 측정을 위한 프로세서 내에 위치하는 것을 특징으로 한다.
이 실시 예에 있어서, 상기 수집기는 수신된 패킷의 목적지 아이피를 샘플링하고, 샘플링된 목적지 아이피와 현재 유입된 패킷의 목적지 아이피의 비트 변화에 따른 상기 변동량을 배타적 논리합(XOR) 연산을 통해 획득하는 것을 특징으로 한다.
이 실시 예에 있어서, 상기 분석기는 미리 결정된 주기마다 상기 목적지 아이피 변동량을 누적시켜 비트 와이즈 오아 연산을 통해 전체적인 목적지 아이피 비트 변화의 합을 획득하고, 상기 목적지 아이피 비트 변화의 합에 근거하여 1로 설정된 비트의 개수를 상기 웜 전파 인덱스로 설정하는 것을 특징으로 한다.
본 발명의 네트워크 보안 장비는 소스 아이피(SIP: Source IP)의 비트 변화에 근거하여 디도스(DDoS) 공격을 탐지함에 따라 메모리, 프로세서와 같은 자원 소모를 감소시킬 수 있다.
도 1은 본 발명의 실시 예에 따른 네트워크 보안 장비를 도시한 도면,
도 2는 본 발명의 실시 예에 따른 네트워크 보안 모듈을 도시한 도면,
도 3은 본 발명의 실시 예에 따른 네트워크 보안 장비의 구현을 도시한 도면,
도 4는 본 발명의 실시 예에 따른 수집기의 동작을 도시한 순서도,
도 5는 본 발명의 실시 예에 따른 분석기의 동작을 도시한 순서도, 및
도 6은 본 발명의 실시 예에 따른 판단기의 동작을 도시한 순서도이다.
이하, 본 발명에 따른 바람직한 실시 예를 첨부한 도면을 참조하여 상세히 설명한다. 하기의 설명에서는 본 발명에 따른 동작을 이해하는데 필요한 부분만이 설명되며 그 이외 부분의 설명은 본 발명의 요지를 모호하지 않도록 하기 위해 생략될 것이라는 것을 유의하여야 한다.
본 발명은 디도스(DDoS) 공격을 탐지하기 위한 자원 소모를 감소시킨 네트워크 보안 장비를 제공한다.
도 1은 본 발명의 실시 예에 따른 네트워크 보안 장비를 도시한 도면이다.
도 1을 참조하면, 네트워크 보안 장비(100)는 수집기(110), 분석기(120), 및 판단기(130)를 포함한다.
수집기(110)는 복수의 수집부를 포함할 수 있으며, 복수의 프로세서들로부터 소스 아이피(SIP: Source IP)의 변동량을 수집한다. 여기서, 프로세서는 일 예로 중앙 처리 장치(Central Processing Unit, 이하 'CPU'라 칭하기로 함)를 포함하며, 설명의 편의를 위하여 하기에서는 CPU라 칭하기로 한다. 수집기(110)는 수집된 소스 아이피의 변동량을 분석기로 출력한다.
수집기(110)는 복수의 CPU들 각각에 대해 소스 아이피 변동량 수집을 위해 N개의 CPU들에 대응되는 N개의 수집부들(111, 112, 113, 114)로 구성될 수 있다.
분석기(120)는 CPU별로 수집된 소스 아이피의 변동량을 합산하여 디도스 인덱스(DDoS Index)를 계산한다. 이러한 디도스 인덱스(DDoS Index) 는 아이피브이4(IPv4)의 주소체계에서 32비트 크기의 소스 아이피의 비트 변화량을 나타내고, 아이피브이 6(IPv6)의 주소체계에서 128비트 크기의 소스 아이피의 비트 변화량을 나타낸다. 분석기(120)는 디도스 인덱스를 판단기(130)로 출력한다.
판단기(130)는 미리 설정된 임계값(threshold)에 근거하여 디도스 인덱스(DDoS Index)가 임계값을 초과하는지를 판단한다. 판단기(130)는 디도스 인덱스가 임계값을 초과하면 디도스 공격이 존재하는 것으로 판단하고, 디도스 인덱스가 임계값을 초과하지 않으면, 디도스 공격이 존재하지 않는 것으로 판단한다. 판단기(130)는 디도스 공격 여부에 따른 보안 정책 결정 신호를 출력한다. 이때, 보안 정책 결정 신호는 보안 레벨을 결정하기 위한 신호로 사용될 수 있다.
이를 통해, 본 발명에서 제안된 네트워크 보안 장비(100)는 소스 아이피(SIP: Source IP)의 비트 변화에 근거하여 디도스(DDoS) 공격을 감지함에 따라 메모리 소모가 적고, 디도스 공격 감지를 위한 처리 동작이 감소한다. 또한, 네트워크 보안 장비(100)는 소스 아이피의 비트 변화를 이용함에 따른 메모리 및 처리 동작 감소로 인해 디도스 공격 감지를 위한 전력 소모가 감소한다.
도 2는 본 발명의 실시 예에 따른 네트워크 보안 모듈을 도시한 도면이다.
도 2를 참조하면, 네트워크 보안 모듈(200)은 보안 정책 결정부(210), 제1 보안 정책 모듈(221), 및 제2 보안 정책 모듈(222)을 포함한다.
보안 정책 결정부(210)는 판단기(130)를 통해 출력된 보안 정책 결정 신호를 수신한다. 보안 정책 결정 신호의 제어에 따라 보안 정책 결정부(210)는 제1 보안 정책 모듈(221) 또는 제2 보안 정책 모듈(222) 중 하나로 보안 정책이 구현될 수 있도록 패킷의 흐름 제어 등을 할 수 있다.
제1 보안 정책 모듈(221)은 제2 보안 정책 모듈(222)에 비하여 상대적으로 낮은 보안 레벨에 대응되는 보안 정책이 설정된다. 판단기(130)가 디도스 공격을 감지하지 못한 경우, 낮은 보안 레벨(디도스 공격 감지한 경우에 비해 상대적으로) 설정을 위한 보안 정책 결정 신호를 보안 정책 결정부(210)로 출력할 수 있다. 이때, 제1 보안 정책 모듈(221)이 동작한다.
제2 보안 정책 모듈(222)은 제1 보안 정책 모듈(221)에 비하여 상대적으로 높은 보안 레벨에 대응되는 보안 정책이 설정된다. 판단기(130)가 디도스 공격을 감지한 경우, 높은 보안 레벨(디도스 공격을 감지하지 못한 경우에 비해 상대적으로) 설정을 위한 보안 정책 결정 신호를 보안 정책 결정부로 출력할 수 있다. 이때, 제2 보안 정책 모듈이 동작한다.
네트워크 보안 모듈(200)은 설명의 편의를 위하여 네트워크 보안 장비(100)와 구분된 것으로 설명되지만, 네트워크 보안 모듈(200)은 네트워크 보안 장비(100)에 포함될 수도 있다.
도 3은 본 발명의 실시 예에 따른 네트워크 보안 장비의 구현을 도시한 도면이다.
도 3을 참조하면, 네트워크 보안 장비(100)가 CPU들(310, 321, 322, 323)을 통해 구현된 경우를 예시적으로 나타낸 것이다. 이때, 제어 CPU(CPU0)(310)는 CPU분석기(120)와 판단기(130) 상에 구현될 수 있다. 제어 CPU(CPU0)(310)는 제어 경로 상의 CPU 그룹에 대응된다.
N개의 CPU들(321, 322, 323)은 내부에 수집기(110), 즉 N개의 수집부들(111, 112, 114)을 각각 포함할 수 있다. 또한, N개의 CPU들(321, 322, 323)은 내부에 디도스 공격 여부에 따른 보안 정책 설정을 위해 각각 네트워크 보안 모듈(200)을 포함할 수 있다. N개의 CPU들(321, 322, 323)은 데이터 경로 상의 CPU 그룹에 대응된다.
한편, 메모리(330)는 수집기(110)를 통해 수집된 정보, 분석기(120)와 판단기(130)의 동작 중에 발생되는 정보를 저장할 수 있다. 여기서, 메모리(330)는 설명의 편의를 위하여 제어 CPU(CPU0)(310)에 연결된 것을 기준으로 설명하지만, CPU들(321, 322, 323) 각각에 연결된 메모리(미도시)를 통해 구현될 수도 있다.
하기에서 도 4 내지 도 6을 참조하여, 네트워크 보안 장비(100)의 수집기(110), 분석기(120), 및 판단기(130)의 동작을 상세히 설명하기로 한다.
도 4는 본 발명의 실시 예에 따른 수집기(110)의 동작을 도시한 순서도이다.
도 4를 참조하면, 수집기(110)는 패킷을 수신하고, 420단계로 진행한다(410단계).
수집기(110)는 수신된 패킷의 소스 아이피를 샘플링하고, 430단계로 진행한다(420단계). 이때, 수집기(110)는 소스 아이피를 샘플링한 CPU의 번호(Cn)를 함께 획득하고, SAMPLE(Cn)의 필드를 통해 메모리(330)에 저장할 수 있다.
수집기(110)는 샘플링 구간이 새로 시작되었는지 판단한다(430단계).
430단계의 판단결과, 샘플링 구간이 새로 시작된 경우, 수집기(110)는 440단계로 진행한다.
수집기(110)는 샘플링한 소스 아이피를 교체하고, 410단계로 진행한다(440단계). 이때, 수집기(110)는 SAMPLE(Cn)을 교체된 소스 아이피로 설정한다.
430단계의 판단결과, 샘플링 구간이 새로 시작되지 않은 경우, 수집기(110)는 450단계로 진행한다.
수집기(110)는 샘플링된 소스 아이피와 현재 유입된 소스 IP의 비트 변화를 배타적 논리합(XOR) 연산으로 계산하고 460단계로 진행한다(450단계).
수집기(110)는 계산된 비트 변화 정보를 마커(MARKER(Cn))로 저장하고, 410단계로 진행한다(460단계). 여기서, 마커는 하기의 수학식 1과 같이 나타낼 수 있다.
Figure PCTKR2015011783-appb-M000001
여기서, '│'는 합산(OR)(일 예로, 비트 와이즈 오아(bit-wise OR)) 연산을 나타내고, '^'는 배타적 논리합(XOR) 연산을 나타낸다.
예를 들어, 일정 주기를 간격으로 첫 번째 세션 정보를 샘플링 세션 샘플로 결정한 경우, 이후 패킷이 유입될 때마다 샘플링 세션 샘플의 소스 아이피를 기준으로, 현재 세션(현재 유입된 패킷)의 소스 아이피를 배타적 논리합(XOR) 연산한다.
예를 들면, 샘플링 세션 샘플의 소스 아이피가 'aaa.aaa.aaa.aaa'이고, 현재 세션의 소스 아이피가 'bbb.bbb.bbb.bbb'이면, 두 소스 아이피들 간에 배타적 논리합(XOR) 연산을 통해 'ccc.ccc.ccc.ccc'로 변화된 비트를 감지할 수 있다.
이후에 섹션 정보들에 대한 소스 아이피들에 대해서도 동일한 배타적 논리합(XOR) 연산을 수행함에 따라 이전값과 합산된다.
따라서, 본 발명에서 제안된 DDoS 탐지는 몇몇 소스 아이피로부터 다량의 트래픽 볼륨을 전송하는 방식과 과도한 세션으로부터 트래픽을 전송하는 방식 중에서 과도한 세션으로부터 트래픽을 전송하는 방식 감지에 적용될 수 있다.
여기서는 수집기(110)를 기준으로 설명하였으나, 하나의 CPU에 대해 소스 아이피의 변동량을 수집하는 수집부들(111, 112, 113, 114) 각각의 동작에 대응될 수 있다. 따라서, 상술한 동작 절차는 CPU별(321, 322, 323)로 각각 수행됨에 따라 멀티 코어의 공유 자원 경쟁이 필요 없으므로 우수한 확장성을 제공할 수 있다. 또한, 디도스 공격 탐지를 위한 정보 수집에 필요한 연산량은 매우 적고, 유입된 트래픽량과 세션량에 무관하게 CPU 개수만큼의 소량의 메모리만을 필요로 한다.
도 5는 본 발명의 실시 예에 따른 분석기의 동작을 도시한 순서도이다.
도 5를 참조하면, 분석기(120)는 미리 설정된 체크 주기인지 확인한다(510단계). 이를 통해, 분석기(120)는 미리 설정된 주기마다 수집기(110)의 정보를 누적시켜 최종 디도스 인덱스(DDoS Index)를 획득할 수 있다.
510단계에서, 미리 설정된 체크 주기이면, 분석기(120)는 520단계로 진행한다.
520단계에서, 분석기(120)는 각 CPU별로 비트 차이를 누적하고, 530단계로 진행한다(520단계). 이를 통해, 분석기(120)는 수집기(110)에서 현재까지 획득한 MARKER(Cn) 값을 모두 비트 와이즈 오아(bit-wise OR) 연산을 통해서 전체적인 소스 아이피의 비트 변화의 합을 누적한다. 이는 하기의 수학식 2와 같이 나타낼 수 있다.
Figure PCTKR2015011783-appb-M000002
510단계에서 미리 설정된 체크 주기가 아니면, 분석기(120)는 510단계로 진행하여 일정 시간 간격으로 체크 주기인지 확인한다.
분석기(120)는 누적된 값(소스 아이피 비트 변화의 합)에 근거한 비트 개수를 디도스 인덱스(DDoS Index)로 저장하고 540단계로 진행한다(530단계). 이때, 분석기(120)는 AGGREGATOR에서 1로 설정된 비트의 개수를 합산하여 디도스 인덱스(DDoS Index)로 저장한다.
분석기(120)는 다음주기의 처리를 위해서 기존의 수집한 정보인 마커(MARKER(Cn))를 초기화하고 510단계로 진행한다(540단계).
한편, 분석기(120)는 체크 주기별(일 예로, 1초, 1분, 1시간 등)로 디도스 인덱스(DDoS Index)를 획득하고, 이를 모두 사용하면 디도스 탐지 성능을 더욱 향상시킬 수 있다. 이때, 각 주기에 대응되는 MARKER(Cn)과 AGGERATOR 변수로 인해 추가적인 메모리를 점유하게 된다. 하지만, 이와 같은 변수를 위해 사용되는 메모리량도 소량이다.
도 6은 본 발명의 실시 예에 따른 판단기의 동작을 도시한 순서도이다.
도 6을 참조하면, 판단기(130)는 미리 설정된 임계값을 가지고 있으며, 분석기(120)를 통해 출력된 디도스 인덱스(DDoS Index)가 임계값을 초과하였는지 판단한다(710단계). 이때, 디도스 인덱스(DDoS Index)는 분석기(120)에서 통해 미리 설정된 주기를 간격으로 수집기(110)의 출력 정보를 누적하여 획득한 값이다. 또한, 임계값은 사용자 제어에 따라 입력된 값으로 설정되거나 특정한 구간의 시간 평균값, 일 평균값, 요일별 평균값, 월별 평균값 중 적어도 하나를 활용하여 설정될 수 있다.
710단계의 디도스 인덱스가 임계값을 초과하면, 판단기(130)는 720단계로 진행한다.
판단기(130)는 공격 감지하고, 740단계로 진행한다(720단계).
710단계의 판단결과 디도스 인덱스가 임계값을 초과하지 않으면, 판단기(130)는 730단계로 진행한다.
판단기(130)는 공격을 미감지하고 710단계로 진행한다(730단계). 이때, 판단기(130)는 디도스 공격이 감지되지 않음으로 보안 정책의 레벨을 유지하도록 동작한다.
판단기(130)는 디도스 공격 감지에 따른 보안 정책의 레벨을 높이기 위하여 보안 정책 결정 신호를 출력하고, 710단계로 진행한다(740단계). 이때, 출력되는 보안 정책 결정 신호에 의해 보안 레벨이 상승된 보안 정책이 설정될 수 있다.
이와 같이, 본 발명에서 제안된 네트워크 보안 장비는 디도스 공격의 탐지를 위해 모든 트래픽 정보를 기록 관리할 필요가 없으며, 소스 아이피만을 활용함에 따라 세션 공격 상황에서 매우 적은 메모리 사용 및 프로세서 사용으로도 디도스 공격을 탐지할 수 있다. 이로 인해, 프리 알람(pre-alarm) 기능을 갖는 응용으로 다양한 디도스 공격 탐지에 활용될 수 있다.
한편, 본 발명에서는 디도스 공격 탐지를 위해 소스 아이피를 이용하는 것을 일 예로 설명하고 있으나, 웜 전파(Worm propagation) 탐지를 위해 소스 아이피를 대신하여 목적지 아이피(DIP: Destination IP)를 이용할 수 있다.
여기서, 수집기는 프로세서들 각각에 대한 목적지 아이피의 변동량을 수집한다. 이를 위해, 수집기는 프로세서들 각각에 대해 처리되는 패킷의 목적지 아이피의 변동량을 수집하며, 수집기는 프로세서들 각각 내부에서 목적지 아이피의 변동량을 측정하는 수집부를 복수개 포함할 수 있다. 수집기는 일정 시간 간격을 기준으로 수신된 패킷의 목적지 아이피를 샘플링하고 샘플링된 목적지 아이피와 현재 유입된 패킷의 목적지 아이피의 비트 변화에 따른 변동량을 배타적 논리합(XOR) 연산을 통해 획득할 수 있다. 수집기는 목적지 아이피의 변동량을 분석기로 출력할 수 있다.
분석기는 목적지 아이피의 변동량의 합산을 통해 웜 전파 인덱스(Worm propagation Index)를 계산한다. 분석기는 미리 결정된 주기마다 목적지 아이피의 변동량을 누적시켜 비트 와이즈 오아 연산을 통해 전체적인 목적지 아이피 비트 변화의 합을 획득하고, 목적지 아이피 비트 변화의 합에 근거하여 1로 설정된 비트의 개수를 웜 전파 인덱스로 설정한다.
이후, 판단기는 웜 전파 인덱스가 웜 전파 탐지를 위해 설정된 임계값을 초과하는지의 판단을 통해 웜 전파 탐지를 검출할 수 있다.
이와 같이, 웜 전파 탐지는 디도스 공격 탐지 방식에서 목적지 아이피를 이용하는 차이점을 제외하면 전반적으로 유사한 구조 및 동작의 수행을 통해 구현될 수도 있으므로 상세한 동작은 도 1 내지 도 6의 설명을 참조하기로 한다.
한편, 본 발명의 상세한 설명에서는 구체적인 실시 예에 관하여 설명하였으나, 본 발명의 범위에서 벗어나지 않는 한도 내에서 여러 가지 변형이 가능함은 물론이다. 그러므로 본 발명의 범위는 상술한 실시 예에 국한되어 정해져서는 안되며 후술하는 특허청구범위뿐만 아니라 이 발명의 특허청구범위와 균등한 것들에 의해 정해져야 한다.

Claims (13)

  1. 프로세서들 각각에 대한 소스 아이피(Source IP)의 변동량을 수집하는 수집기;
    상기 소스 아이피의 변동량의 합산을 통해 디도스 인덱스(DDoS Index)를 계산하는 분석기; 및
    상기 디도스 인덱스가 디도스(DDoS) 공격의 판단을 위한 임계값을 초과하는지의 판단을 통해 상기 디도스 공격 발생 유무를 판단하는 판단기를 포함하는 네트워크 보안 장비.
  2. 제 1 항에 있어서,
    상기 수집기는 상기 프로세서들 각각에 대해 처리되는 패킷의 소스 아이피의 변동량을 수집하는 수집부들을 포함하고,
    상기 수집부들 각각은 소스 아이피의 변동량 측정을 위한 프로세서 내에 위치하는 것을 특징으로 하는 네트워크 보안 장비.
  3. 제 1 항에 있어서,
    상기 수집기는 수신된 패킷의 소스 아이피를 샘플링하고, 샘플링된 소스 아이피와 현재 유입된 패킷의 소스 아이피의 비트 변화에 따른 상기 변동량을 배타적 논리합(XOR) 연산을 통해 획득하는 것을 특징으로 하는 네트워크 보안 장비.
  4. 제 1 항에 있어서,
    상기 디도스 인덱스는 아이피브이4(IPv4)의 주소체계에서 32비트 크기의 소스 아이피의 비트 변화량을 나타내고, 아이피브이6(IPv6)의 주소체계에서 128비트 크기의 소스 아이피의 비트 변화량을 나타내는 것을 특징으로 하는 네트워크 보안 장비.
  5. 제 1 항에 있어서,
    상기 분석기는 미리 결정된 주기마다 상기 소스 아이피 변동량을 누적시켜 비트 와이즈 오아 연산을 통해 전체적인 소스 아이피 비트 변화의 합을 획득하고, 상기 소스 아이피 비트 변화의 합에 근거하여 1로 설정된 비트의 개수를 상기 디도스 인덱스로 설정하는 것을 특징으로 하는 네트워크 보안 장비.
  6. 네트워크 보안 장비의 디도스(DDoS) 공격 탐지 방법에 있어서,
    프로세서들 각각에 대해 처리되는 패킷의 소스 아이피(Source IP)의 변동량을 수집하는 단계;
    상기 소스 아이피의 변동량의 합산을 통해 디도스 인덱스(DDoS Index)를 계산하는 단계; 및
    상기 디도스 인덱스가 디도스 공격의 판단을 위한 임계값을 초과하는지의 판단을 통해 상기 디도스 공격 발생 유무를 판단하는 단계를 포함하는 디도스 공격 탐지 방법.
  7. 제 6 항에 있어서,
    상기 수집하는 단계는
    프로세서 각각에 수신된 패킷의 소스 아이피를 샘플링하는 단계; 및
    상기 샘플링된 소스 아이피와 현재 유입된 패킷의 소스 아이피의 비트 변화에 따른 상기 변동량을 배타적 논리합(XOR) 연산을 통해 획득하는 단계를 포함하는 디도스 공격 탐지 방법.
  8. 제 6 항에 있어서,
    상기 디도스 인덱스는 아이피브이4(IPv4)의 주소체계에서 32비트 크기의 소스 아이피의 비트 변화량을 나타내고, 아이피브이6(IPv6)의 주소체계에서 128비트 크기의 소스 아이피의 비트 변화량을 나타내는 것을 특징으로 하는 디도스 공격 탐지 방법.
  9. 제 6 항에 있어서,
    상기 계산하는 단계는
    미리 결정된 주기마다 상기 수집된 소스 아이피의 변동량을 누적시켜 비트 와이즈 오아 연산을 통해 전체적인 소스 아이피 비트 변화의 합을 획득하는 단계; 및
    상기 소스 아이피 비트 변화의 합에 근거하여 1로 설정된 비트의 개수를 상기 디도스 인덱스로 설정하는 단계를 포함하는 디도스 공격 탐지 방법.
  10. 프로세서들 각각에 대한 목적지 아이피(Destination IP)의 변동량을 수집하는 수집기;
    상기 목적지 아이피의 변동량의 합산을 통해 웜 전파 인덱스(Worm propagation Index)를 계산하는 분석기; 및
    상기 웜 전파 인덱스가 웜 전파 탐지를 위한 임계값을 초과하는지의 판단을 통해 상기 웜 전파 발생 유무를 판단하는 판단기를 포함하는 네트워크 보안 장비.
  11. 제 10 항에 있어서,
    상기 프로세서들 각각에 대해 처리되는 패킷의 목적지 아이피의 변동량을 수집하는 수집부들을 포함하고,
    상기 수집부들 각각은 목적지 아이피의 변동량 측정을 위한 프로세서 내에 위치하는 것을 특징으로 하는 네트워크 보안 장비.
  12. 제 10 항에 있어서,
    상기 수집기는 수신된 패킷의 목적지 아이피를 샘플링하고, 샘플링된 목적지 아이피와 현재 유입된 패킷의 목적지 아이피의 비트 변화에 따른 상기 변동량을 배타적 논리합(XOR) 연산을 통해 획득하는 것을 특징으로 하는 네트워크 보안 장비.
  13. 제 10 항에 있어서,
    상기 분석기는 미리 결정된 주기마다 상기 목적지 아이피 변동량을 누적시켜 비트 와이즈 오아 연산을 통해 전체적인 목적지 아이피 비트 변화의 합을 획득하고, 상기 목적지 아이피 비트 변화의 합에 근거하여 1로 설정된 비트의 개수를 상기 웜 전파 인덱스로 설정하는 것을 특징으로 하는 네트워크 보안 장비.
PCT/KR2015/011783 2014-12-31 2015-11-04 네트워크 보안 장비 및 그것의 디도스 공격 탐지 방법 WO2016108415A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR20140195076 2014-12-31
KR10-2014-0195076 2014-12-31

Publications (1)

Publication Number Publication Date
WO2016108415A1 true WO2016108415A1 (ko) 2016-07-07

Family

ID=56284527

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2015/011783 WO2016108415A1 (ko) 2014-12-31 2015-11-04 네트워크 보안 장비 및 그것의 디도스 공격 탐지 방법

Country Status (1)

Country Link
WO (1) WO2016108415A1 (ko)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107800668A (zh) * 2016-09-05 2018-03-13 华为技术有限公司 一种分布式拒绝服务攻击防御方法、装置及系统
RU2676021C1 (ru) * 2017-07-17 2018-12-25 Акционерное общество "Лаборатория Касперского" Система и способ определения DDoS-атак
CN112464548A (zh) * 2020-07-06 2021-03-09 中国人民解放军军事科学院评估论证研究中心 对抗单位的动态分配装置
CN113079184A (zh) * 2021-04-29 2021-07-06 福建奇点时空数字科技有限公司 一种基于主机安全层级配置的sdn动目标防御实现方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20060049821A (ko) * 2004-07-09 2006-05-19 인터내셔널 비지네스 머신즈 코포레이션 네트워크 내에서의 분산 서비스 거부(ＤＤｏＳ) 공격의식별 및 이러한 공격에 대한 방어 방법
KR20100049470A (ko) * 2008-11-03 2010-05-12 고려대학교 산학협력단 공격 탐지 방법 및 장치
KR20130009130A (ko) * 2011-07-14 2013-01-23 루멘소프트 (주) 좀비 피씨 및 디도스 대응 장치 및 방법
KR101427412B1 (ko) * 2014-04-17 2014-08-08 (주)지란지교소프트 데이터 유출 방지를 위한 악성 코드 탐색 방법 및 장치
KR101446280B1 (ko) * 2013-03-26 2014-10-01 건국대학교 산학협력단 인터미디어트 드라이버를 이용한 변종 악성코드 탐지 및 차단 시스템 및 그 방법

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20060049821A (ko) * 2004-07-09 2006-05-19 인터내셔널 비지네스 머신즈 코포레이션 네트워크 내에서의 분산 서비스 거부(ＤＤｏＳ) 공격의식별 및 이러한 공격에 대한 방어 방법
KR20100049470A (ko) * 2008-11-03 2010-05-12 고려대학교 산학협력단 공격 탐지 방법 및 장치
KR20130009130A (ko) * 2011-07-14 2013-01-23 루멘소프트 (주) 좀비 피씨 및 디도스 대응 장치 및 방법
KR101446280B1 (ko) * 2013-03-26 2014-10-01 건국대학교 산학협력단 인터미디어트 드라이버를 이용한 변종 악성코드 탐지 및 차단 시스템 및 그 방법
KR101427412B1 (ko) * 2014-04-17 2014-08-08 (주)지란지교소프트 데이터 유출 방지를 위한 악성 코드 탐색 방법 및 장치

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107800668A (zh) * 2016-09-05 2018-03-13 华为技术有限公司 一种分布式拒绝服务攻击防御方法、装置及系统
CN107800668B (zh) * 2016-09-05 2020-09-08 华为技术有限公司 一种分布式拒绝服务攻击防御方法、装置及系统
RU2676021C1 (ru) * 2017-07-17 2018-12-25 Акционерное общество "Лаборатория Касперского" Система и способ определения DDoS-атак
CN112464548A (zh) * 2020-07-06 2021-03-09 中国人民解放军军事科学院评估论证研究中心 对抗单位的动态分配装置
CN112464548B (zh) * 2020-07-06 2021-05-14 中国人民解放军军事科学院评估论证研究中心 对抗单位的动态分配装置
CN113079184A (zh) * 2021-04-29 2021-07-06 福建奇点时空数字科技有限公司 一种基于主机安全层级配置的sdn动目标防御实现方法

Similar Documents

Publication Publication Date Title
WO2011010823A2 (ko) 클라우드 컴퓨팅을 이용한 ＤＤｏＳ 공격 탐지 및 차단 방법 및 서버
CN108063765B (zh) 适于解决网络安全的sdn系统
WO2016108415A1 (ko) 네트워크 보안 장비 및 그것의 디도스 공격 탐지 방법
RU164629U1 (ru) Электронный модуль защиты от сетевых атак на базе сетевого процессора np-5
JP4556981B2 (ja) ネットワーク監視装置及びネットワーク監視方法
US8634717B2 (en) DDoS attack detection and defense apparatus and method using packet data
WO2010064799A2 (en) Countering against distributed denial-of-service (ddos) attack using content delivery network
US20070248084A1 (en) Symmetric connection detection
KR20130068631A (ko) 고속 패킷 처리를 위한 네트워크 프로세서 기반 2단계 침입탐지장치 및 방법
WO2015129934A1 (ko) 명령제어채널 탐지장치 및 방법
WO2014038737A1 (ko) 모니터링 및 필터링 정책을 이용한 네트워크 트래픽 관리 시스템 및 그 방법
KR20110067264A (ko) 네트워크 이상징후 탐지장치 및 방법
CN111314328A (zh) 网络攻击防护方法、装置、存储介质及电子设备
WO2013122360A1 (ko) 모바일 애플리케이션 동적 네트워크 패턴 분석 방법 및 시스템과 기록매체
JP6502902B2 (ja) 攻撃検知装置、攻撃検知システムおよび攻撃検知方法
CN1878141A (zh) 网络控制装置及其控制方法
Wang et al. Efficient and low‐cost defense against distributed denial‐of‐service attacks in SDN‐based networks
CN115955347A (zh) 一种入侵防御规则处理方法、装置、设备及介质
KR101469285B1 (ko) 정책기반 라우팅을 이용한 선택적인 인터넷 트래픽 분석 시스템 및 그 방법
WO2013027920A1 (ko) 실시간 대용량 트래픽 분석 분산시스템 및 분산시스템에서 트래픽을 실시간으로 분석하는 방법
CN113765846B (zh) 一种网络异常行为智能检测与响应方法、装置及电子设备
JP2017147558A (ja) 攻撃検知装置、攻撃検知システムおよび攻撃検知方法
US11895146B2 (en) Infection-spreading attack detection system and method, and program
KR20110067871A (ko) Ｉｐ 망에서 ｏａｍ 패킷을 이용한 트래픽 감시 및 제어를 위한 네트워크 액세스 장치 및 방법
CN114938308B (zh) 基于地址熵自适应阈值检测IPv6网络攻击的方法及装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15875509

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 15875509

Country of ref document: EP

Kind code of ref document: A1