C4.5 알고리즘을 이용한 DNS 트래픽 기반 DRDoS 탐지 기법 = Detection Technique of DRDoS based on DNS Traffic Using C4.5 Algorithm

국문 초록 (Abstract)

전 세계적으로 인터넷 사용이 대중화됨에 따라 인터넷을 기반으로 하는 다양한 서비스들이 등장하였다. 온라인 민원처리, 인터넷 뱅킹, 온라인 쇼핑, 온라인 광고 등 일상생활에 밀접하게 연관된 서비스들이 인터넷을 통해 손쉽게 사용할 수 있는 시대가 되었다. 인터넷을 이용해 다양한 서비스를 편리하게 사용할 수 있게 되었지만 개인정보, 금융정보 등을 노리는 다양한 사이버공격 역시 증가하게 됐다. 이러한 위협적인 사이버공격 중에 DDoS(distributed denial of service) 공격은 지속적으로 발생하고 있다.

DDoS 공격은 공격자를 추적하기 어렵고, 피해자 입장에서 방어하기 어려운 점 때문에 대표적인 사이버공격이 되었다. 최근 DDoS 공격에서 발전된 DRDoS(distributed reflection denial of service) 공격 모델이 지속적으로 증가하고 있다. DDoS 공격은 좀비PC로 이루어진 봇넷(Botnet)을 이용하지만 DRDoS 공격은 인터넷에 노출된 정상적인 서비스를 제공 중인 DNS 서버, NTP 서버, IoT기기 등을 악용한다. 공격자 입장에서 악성코드 배포를 통해 좀비PC를 수집하는 것보다 공격에 악용할 수 있는 취약한 서버, IoT기기 등을 찾는 것이 효율적이기 때문에 DRDoS 공격이 증가하고 있다. 이러한 DRDoS 공격은 DNS, NTP, CHARGEN, SSDP 등의 프로토콜을 이용해 수행되고 있고 이중 대표적인 공격은 DNS 기반 DRDoS 공격이다.

이에 본 논문에서는 DNS 기반 DRDoS 공격에 대해 효과적으로 탐지 가능한 방법을 제안한다. 먼저 DNS 정상 트래픽과 DNS 기반 DRDoS 공격 트래픽의 차이점을 분석하고 이를 근거로 패킷 길이, 응답 리소스 레코드 수, 권한 리소스 레코드 수를 탐지 척도로 제시한다. 그리고 제안한 척도를 c4.5 알고리즘에 적용해 DNS 기반 DRDoS 공격 탐지 방법을 제안한다. 본 연구의 결과는 기존 DRDoS 방어연구의 한계점을 극복하고 DNS기반 DRDoS 탐지에 효과적인 방법을 제안함으로써 지속적으로 증가하고 있는 DNS 기반 DRDoS 공격을 방어하는데 기여할 것으로 기대된다.

목차 (Table of Contents)

• 1. 서론1
• 가. 연구 배경 및 목적 1
• 나. 연구 내용 및 논문의 구성 2
• 2. 관련 연구 3
• 가. DRDoS 공격 개요 3
• 1) DRDoS 공격 구조 및 분류 3
• 2) DRDoS 공격 동향 6
• 나. DNS 및 NTP 기반 DRDoS 공격 10
• 1) DNS 기반 DRDoS 공격 10
• 2) NTP 기반 DRDoS 공격 12
• 다. DRDoS 방어연구 21
• 1) 순위 상관 기반 DRDoS 공격 탐지 21
• 2) 단순 응답 패킷 확인을 통한 DRDoS 공격 탐지 21
• 3) 히스토리 기반 IP필터링을 이용한 DDoS 공격 방어 23
• 4) 기존연구의 한계 및 제안방법의 목표 24
• 3. DNS 기반 DRDoS 탐지척도 선정 및 탐지방법 25
• 가. DNS 기반 DRDoS 트래픽 분석 25
• 1) DNS 패킷 구조 25
• 2) DNS 트래픽 분석 27
• 나. DNS 기반 DRDoS 탐지척도 선정 및 탐지방법 34
• 1) DNS 기반 DRDoS 탐지척도 선정 34
• 2) DNS 기반 DRDoS 탐지방법 37
• 4. 실험 및 결과 39
• 가. DNS 기반 DRDoS 탐지룰 생성 39
• 나. DNS 기반 DRDoS 탐지 실험결과 50
• 5. 결론 및 향후 연구 50
• 참고문헌 52
• 영문초록 56