Dos - DDoS (Distributed Denial of Service)

DDoS기법, 해킹기법 (스니핑, 스푸핑, 세션하이재킹). 대응기술/방법

111응용 4-2, 99응용 1-5, 99응용 4-4, 93관리 1-2, 89관리 4-4, 84응용 1-13

 

1) 중소기업의 78%가 지난 한 해 동안 적어도 한 번의 디도스 공격을 받았다. 이 기업들 중 86%는 두 번 이상의 공격을 받았고 34%는 5번 이상의 공격을 받았다. 

 

2) 디도스 공격을 받은 업체들 중 38%는 멀웨어 공격도 같이 받았다. 디도스 공격을 당할 정도면 다른 공격에도 당할 가능성이 높다는 것이다.

 

3) 디도스 공격으로 고객 데이터의 32%가 탈취 당했다. 뉴스타가 조사해본 결과 이 데이터는 PCI나 HIPAA 등의 규정에 의해 보호를 받는 것이었다.

 

4) 20%의 기업은 랜섬웨어 공격도 함께 겪었다. 

 

5) 절반 이상인 52%는 디도스 공격을 탐지하는 데에 3시간 이상 걸렸다. 탐지 후 43%가 대응을 하는 데 3시간 이상이 걸렸다. 

 

테라급 디도스 공격 방어 역량 향상, 사이버위협정보공유시스템 고도화

정보보호 수준 강화 측면에서는 금융권 디도스(DDoS) 공격 대응 역량 강화, 사이버 위협정보공유 시스템 자동화 등을 계획하고 있다.

글로벌 클라우드 보안업체와의 공조 대응 서비스와 더불어 비상대응센터의 기존 방어능력을 초과하는 대규모 공격 방어를 목표로 테라급 방어 시스템을 구축한다.

금보원과 금융사 간 사이버위협정보공유체계를 현재 단방향에서 양방향으로 개선하고, 자동화를 확보하기 위해 올해 시스템 구축과 시범테스트를 수행할 예정이다. 내년부터 본격적으로 금융사 시스템과 자동화 연동을 추진할 방침이다.

 

 

(https://byline.network/2018/07/17-18/

금융보안 레그테크·빅데이터 중개 플랫폼 구축…AI 보안관제 기술 개발 - Byline Network

 

 

1. DDoS: 서비스에 대한 정당한 접근을 방해 또는 차단하고자 네트워크에 분산되어 있는 많은

             에이전트를 이용하여 공격대상서버에 동시에 과도한 서비스 요청을 발생시키는 공격

             - 은닉분산공격, 방어 어려움, Ransom 공격

2. DDoS의 구성요소                               

  - Hacker, Master, Attacker, Agent(좀비), Victim(공격대상)

  - P2P, 홈페이지, 사회공학을 통해 Agent유포

 

3. DDoS의 공격유형 및 공격기법                   

  (1) UDP 및 ICMP기반: Smurfing DoS 공격 (IP,ICMP 이용)

  (2) TCP Flag 기반공격 : TCP SYN Flooding 공격 (3-Way Handshake)

  (3) SYN Flooding 공격 : L4/L7의 세션or커넥션 고갈

  (4) SYN or HTTP flooding : SYN반복, 반복 페이지 요청

 

4. DDoS의 공격대응방안

  (1) PPS 증가 : ACL적용, IP차단(RFC1918,NULL라우팅), SYN프록시적용

  (2) 웹서비스 지연 : 서버설정, 변경웹서버증설, 공격IP차단

  (3) 대용량 트래픽 : 불필요한 서비스차단(UDP,ICMP), DNS 서버 다중화, 공격IP차단

 

5. DDoS의 공격대응 아키텍쳐                   

  (1) Out-Of-Path 방식 : 공격트래픽 우회, 대용량 네트워크, 관리자 모니터링, 오탐율 낮음

  (2) Inline 방식 : 기존 회선수 만큼 설치, 소규모 네트워크, 자동감지, 오탐율 높음

  (3) 싱크홀 방식 연계와 사이버 대피소 운영

  (4) URL차단 / IP차단 / Port Protocol 차단

 

* DDoS공격 방어장비

1) 아웃오브패스(Out-of-Path) 방식

- 네트워크 회선 바깥에서 패킷을 감시하고, Ddos 패킷 유입시 별도의 제어장비와 연동 방어

2) 인라인(Inline) 방식

- 네트워크 회선상에서 직접 통과하는 패킷을 실시간 감시와 동시에 차단하는 방법

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

ㄴ

1. DDoS(분산서비스거부) 공격의 개요

가. DDoS(분산서비스거부) 공격의 개념

• 다수의 좀비PC를 통해 네트워크 혹은 애플리케이션이 필요로 하는 각종 컴퓨팅 자원(CPU 혹은 메모리)을 고갈시킴으로써 일반 사용자들이 정상적으로 접근하지 못하도록 방해하는 공격

나. DDoS (분산서비스거부) 공격의 공격벡터

구분	공격벡터	내용
3-4계층	볼륨공격	네트워크 대역폭 고갈, 혼잡 발생시켜 흐름지연.
	TCP상태고갈공격	대량의 연결 시도하여 네트워크장비의 connection state table 고갈
7계층	애플리케이션 계층공격	적은 양의 트래픽으로 가장 효과적인 공격을 시도. 예측하거나 공격완화 방법이 어려움.

• 최근에는 기존의 볼륨공격방식에서 애플리케이션 방식 등을 이용한 지능화된 DDoS 유행

2. DDoS의 공격 기법

가. DDoS 공격기법

• 악성코드 유포, 은닉, 해킹등을 이용하여 좀비 PC(봇넷)을 형성한 후 일시에 공격

나. DDoS 공격의 유형 (공격형태)

공격유형	공격기법	내용
Flooding 공격	SYN Flooding	TCP 3Way Handshake 악용
	ICMP Flooding	Ping 응답 브로드캐스팅 집중
Connection 공격	HTTP Connection	HTTP daemon의 기하급수적 증가
	TCP Connection	Application Input Queue 마비
Application 공격	SIP 공격	지속적 호 설정 Request
	CC 공격	HTML Header의 Cache Control 공격

다. DDoS 공격의 유형 (공격대상)

공격유형	공격기법	설명
대역폭 소진 공격	UDP/ICMP Traffic Flooding	UDP프로토콜 취약점 이용 UDP/ICMP flooding, DNS query flooding 등
	TCP Traffic Flooding	TCP 프로토콜 취약점 이용 TCP Traffic Flooding, SYN Flooding, SYN+ACK Flooding등
	IP Flooding	IP 계층의 취약점을 이용하여 서비스 거부 공격 Land Attack, Tear Drop, HTTP Connection 등
서비스 마비공격	HTTP Traffic Flooding	HTTP 트래픽 혼잡을 유도하여 서비스 마비 HTTP Get flooding, CC Attack 등
	HTTP Header/Option Spoofing	HTTP header/option을 스푸핑하여 서버 과부하 유발 Slowloris, Pyloris, Slow HTTP POST DOS, Slow HTTP Read DOS 등

3. DDoS 기술 및 대응방안

가. DDoS 기술 (대응 기술)

관점	대응기술	대응방안 상세
라우터설정	Sink hole Routing	ACL 이용한 블랙홀 라우팅으로 차단
	라우터 필터링	네트워크 출/입 트래픽 필터링(Ingress/Egress 패킷 필터링)
	CAR 기능이용	단위시간당 일정량의 패킷만 허용
보안장비	방화벽	방화벽의 포트 필터링 기능이용
	IDS / IPS	DDoS 공격 탐지 및 차단
	DPI	패킷 Payload 까지 검사하여 필터링
네트워크	로드 밸런싱	이중화, 삼중화 부하분산을 통해 네트워크 성능강화
	서비스별 대역폭제한	서비스별 대역폭을 제한하여 공격에 따른 서비스 피해를 최소화
	안정적인 네트워크 설계	취약시스템이 존재하지 않도록 하고, SPoF 가 존재하지 않도록 네트워크 설계

나. DDoS 대응방안

관점	대응방안	대응방안 상세
공격예방 (좀비PC방지)	Ingress/Egress Filtering	네트워크 출/입 트래픽 필터링
	라우터 기반 Filtering	BGP Prefix 정보 기반 공격 경로 필터링
	SAVE 프로토콜	소스 IP 주소범위 관련 정보수집/차단
공격탐지	Limited Session	세션 임계치 기반 공격 탐지
	SPADE	동시 확률 측정을 통한 이상 패킷 결정
	Snort	트래픽 감시/분석 프로그램
공격반응	대리응답	사전 3way handshaking 으로 검증
	허니팟	공격 트래픽은 널 처리로 패킷드롭
	부하분산	애니캐스트 기반 부하분산, Netflow + DPI 적용

• 최근 고도화/지능화되고 잇는 DDos 공격 대응을 위해 예방/탐지/반응 등 다계층 보안 대응으로 DDoS 대응 필요

4. DDoS 공격 최근 동향 및 대응 방안

동향	동향 상세	대응방안
지능화, 은닉화	정상유저와 구별하기 어려운 서비스 마비 공격 다수	은닉형 공격자 근원지 역추적기술 개발
미라이봇넷 등 봇넷 유형 다변화	IoT 디바이스, 모바일 기기, 스마트 가전등 다양한 좀비 를 이용한 DDoS 공격	대역폭, 자원 및 응용 별로 방어 전략 수립
신기술 이용한 DDoS	클라우드 등 신기술을 이용한 공격	빅데이터, Secaas 등 신기술로 방어.

• 다양한 방법과 새로운 기술을 이용한 외부 공격에 대해 지속적인 대응 방안 연구 필요.