DDoS 대응장비보안기능요구사항 2010. 1 IT 보안인증사무국
목차 1. 소개 1 1.1 참고 1 1.2 목적및범위 1 1.3 문서구조 2 2. DDoS 공격유형및대응기술 3 2.1 DDoS 공격유형 3 2.2 DDoS 대응장비구성방식 6 3. DDoS 공격대응을위한보안기능 7 4. DDoS 대응장비시험방법 8
1. 1.1 소개 참조 본요구사항의식별정보는다음과같다. 1.2 목적 최근 7.7 DDoS 대란등 DDoS 공격이이슈화되고있는상황에서 DDoS 대응장비에 대한보안기능및시험방법에대한정의및기준이불명확하여 DDoS 개발업체및도입 기관에서장비개발및도입에어려움을겪고있다. 따라서, DDoS 대응장비의보안기능요구사항및시험방법을정의한 DDoS 대응장비보안기능가이드 를개발하여다음과같은도움을주고자한다. 개발업체는본가이드를통해 DDoS 대응보안기능을참조하여보안기능을구현하고, 시험방법에따라구현된보안기능의적절성을점검하는데도움을받을수있다. 도입기관은본가이드를통해 DDoS 대응장비도입기준을정하고, 대응장비의 BMT 조건및기준을정하는데도움을받을수있다. 평가기관은본가이드를통해수있다. 일반인은본가이드를통해얻는데도움을받을수있다. DDoS DDoS 대응장비의보안기능을평가하는데도움을받을 공격유형및대응기능에대한일반적인지식을 -1-
1.3 문서구조 본가이드는 4 장으로구성된다. 1 장은가이드소개로문서참조정보, 가이드작성배경및목적에대해설명한다. 2장은일반적인 DDoS 공격유형과 DDoS 대응장비구성방식을설명한다. 3장은 DDoS 공격대응을위한보안기능을설명한다. 4장은 DDoS 대응장비의제품사양을검증하고보안기능을시험하는방법에대해설명한다. -2-
2. DDoS 2.1 DDoS 공격유형및대응장비구성방식 공격유형 DDoS(Distributed Denial of Service, 분산서비스거부) 는해킹방식의하나로서여러대의공격자를분산배치하고이들이특정서버에많은양의접속시도를동시에수행하여시스템이정상적인서비스를제공할수없도록마비시켜, 결국다른이용자가정상적으로서비스를이용할수없도록만드는공격방식이다. DDoS 공격은일반적으로 Flood 공격, 응용계층공격, 단편화공격유형으로분류할수있다. 다음은유형별대표적인 DDoS 공격이다. 구분대표적인 DDoS 공격 - TCP Syn Flood - TCP Syn-Ack Flood 단일 - TCP Ack Flood - TCP Fin Flood - ICMP Flood - UDP Flood Flood 공격 - TCP Multi-connection - ICMP+UDP Flood - ICMP+TCP Flood 혼합 - UDP+TCP Flood - ICMP+UDP+TCP Flood 등단일Flood 공격혼합 응용계층공격 단일 - Valid HTTP GET Flood - Invalid HTTP GET Flood - CC(Cache Control) - DNS Query Flood - 저대역폭 HTTP DoS 혼합 - CC+TCP Flood 등응용계층공격혼합 Flood - TCP Flood - UDP Flood - ICMP Flood 등단일Flood 공격 단편화공격 응용계층 - CC(Cache Control) 등응용계층공격 혼합 - ICMP+UDP Flood - ICMP+TCP Flood - UDP+TCP Flood - ICMP+UDP+TCP Flood - CC+TCP Flood 등 Flood 및응용계층공격혼합 -3-
다음은위의표에서서술된유형별 DDoS 공격에대한설명이다. 단일 Flood 공격 TCP Syn Flood TCP/IP의 3-way HandShaking 에기반을둔공격으로, 공격자는공격대상서버에게접속을요청하는 TCP Syn 패킷을대량으로전송하여공격대상서버가 Ack 패킷을받기위해 TCP Syn-Ack 응답패킷을전송한다. 공격자는 TCP Syn-Ack 패킷에응답하지않음으로써공격대상서버에 반만열린(Half Open) 연결이대량으로생성되어시스템자원을고갈시켜정상적인서비스를제공할수없게방해하는 DDoS 공격유형이다. TCP Syn-Ack Flood 송신자를공격대상서버주소로설정한 TCP Syn 패킷을전송하여해당패킷을받은수신자는 TCP Ack 패킷을받을때까지공격대상서버주소로 TCP Syn-Ack 응답패킷을계속전송한다. TCP Syn 패킷을전송하지않은공격대상서버는이를무시하게되고계속되는 TCP Syn-Ack 패킷에대응함으로써시스템자원이고갈시켜정상적인서비스를제공할수없게방해하는 DDoS 공격유형이다. TCP Ack Flood TCP Ack 패킷을대량으로공격대상서버로전송하여공격대상서버의시스템자원고갈을유도하는 DDoS 공격유형이다. TCP Fin Flood Reset 발생으로 위조된출발지주소와포트, Fin 플래그를설정하여대량의패킷을전송하여공격대상서버의정상적인서비스제공할수없게방해하는 DDoS 공격유형이다. ICMP Flood 대량의하게하는 UDP Flood Echo Request(PING) 을공격대상서버에보냄으로서버퍼오버플로우를발생 DDoS 공격유형이다. UDP의비연결성및비신뢰성때문에공격이용이한방법으로패킷사이즈를줄려대량의 UDP 패킷을공격대상서버로전송하여공격대상서버의네트워크자원을 소모시키는 DDoS 공격유형이다. -4-
TCP Multi-connection 정상적인 TCP 3-way HandShaking을통해공격대상서버의 TCP 연결을증가시켜공격대상서버의자원을소모시키는 DDoS 공격유형이다. 혼합 Flood 공격 단일 Flood 공격유형을조합하여공격대상서버로전송시키는 DDoS 공격유형이다. 단일응용계층공격 Valid HTTP GET Flood 정상적인 HTTP GET 요청을대량으로공격대상서버에전송하여다른정상적인 GET 요청을정상적으로처리할수없게방해하는 DDoS 공격유형이다. HTTP Invalid HTTP GET Flood 비정상적인 HTTP GET 요청을대량으로공격대상서버에전송하여다른정상적인 GET 요청을정상적으로처리할수없게방해하는 DDoS 공격유형이다. HTTP CC(Cache Control) Cache-Control은웹페이지의캐싱을위해정의되는값으로보통서버가클라이언트에게페이지를제공할때캐싱을요청하기위해사용되며, 클라이언트가서버에게페이지를요청할때는통상적으로사용되지않는값으로, RFC 문서에서는클라이언트와서버측모두사용되어있도록정의되어있다. 이에따라, 공격자가 HTTP User-agent 헤더의 Cache-Control 값을비정상적으로조작하여공격대상서버에게웹페이지를요청하면캐싱을요청하지않았기때문에공격대상서버는비정상적으로동작하게되어서비스를정상적으로제공할수없게되는 DDoS 공격유형이다. DNS Query Flood 공격대상서버(DNS 서버) 로대량의변조된 Query를전송하여DNS 서비스의정상운용을불가능하게하는 DDoS 공격유형이다. 저대역폭 HTTP DoS 공격대상서버(HTTP 서버) 의연결제한을모두소진시키도록적은양의대역폭만을사용하여공격대상서버에연결을시도한후해당연결이영구히지속되게만드는공격방법으로연결제한을소진시키는 DDoS 공격유형이다. -5-
혼합응용계층공격 단일응용계층공격을조합하거나응용계층공격과 Flood 공격을조합하여공격대상서버로전송시키는 DDoS 공격유형으로최근에많이발생하고있다. 단편화공격 Flood 공격및응용계층공격에사용되는패킷을단편화하여공격대상서버의부하를증가시키거나, 공격대상서버의허용된값보다초과된수의단편화된 IP 패킷을전송하여공격대상서버의오버플로우를유발시키는공격으로해당서버에어떤새로운사용자도접속하지못하게하는 DDoS 공격유형이다. 2.2 DDoS 대응장비구성방식 DDoS 대응장비는장비의성능( 대응용량포함) 에따라백본망, 액세스망, 사용자망구간등에설치운용될수있다. DDoS 대응장비의설치운영방식에따라일반적으로 Inline 방식과 Out-of-path 방식으로구분할수있으며, 기설치된침입차단시스템등네트워크보안장비와의역할구분과 DDoS 대응장비성능및장비수량에따라 DDoS 대응장비설치위치와구성방식이다양해질수있다. Inline 방식과 Out-of-path 방식은일반적으로다음과같이구성될수있다. Inline 방식 기존물리적회선가운데 DDoS 대응장비가설치되는방식으로, DDoS 대응장비로유 입되는트래픽을모니터링하여 DDoS 공격을직접탐지하고차단한다. -6-
Out-of-path 방식 물리적회선구성바깥에 DDoS 탐지장비및차단장비가설치되는방식으로, 미러링장비를통해유입된트래픽을 DDoS 탐지장비( 센서) 에서분석하고, DDoS 차단장비에서해당 DDoS 공격을차단한다. 3. DDoS 공격대응을위한보안기능 DDoS 대응장비는다음과같은보안기능을구현해야하며, 4장의 DDoS 대응장비의시험방법에따라제품사양을검증하고보안기능을시험해야한다. 구분 대응기능( 탐지/ 차단) 추적기능 보안기능 - Flood 공격, 단편화된 Flood 공격, 응용계층공격등 DDoS 공격에대해탐지및차단 최소한 2.1절에서식별된 DDoS 공격탐지및차단 - 신규 DDoS 공격대응을위한트래픽분석( 학습) 및탐지/ 차단규칙생성( 사용자정의) - 탐지및차단된트래픽( 패킷) 에대한감사기록생성기능 - 알람기능 - 트래픽모니터링기능 로그인기능 - 관리자에대한식별및인증기능 관리기능 - 정책설정및감사기록조회등보안관리기능 -7-
DDoS 대응장비의보안기능에대한설명은다음과같다. 탐지기능 DDoS 공격을탐지할수있는기능을제공해야하며, 최소한 2.1절의유형별대표적인 DDoS 공격을탐지할수있어야한다. 또한트래픽학습기능을제공하여신규 DDoS 공격에대한탐지기능을제공해야한다. 차단기능 탐지된 DDoS 공격을차단할수있는기능을제공해야하며, 최소한 2.1절의유형별대표적인 DDoS 공격을차단해야한다. 또한, 학습기능을통해정의된신규 DDoS 공격을차단하는기능을제공해야한다. 추적기능 DDoS 공격을탐지하고차단한트래픽( 패킷) 에대해감사기록을생성할수있는기능을제공해야하며, 관리자설정에따라탐지및차단에대한알람기능을제공해야한다. 또한, 트래픽을모니터링할수있는기능을제공해야한다. 로그인기능 보안정책설정, 감사기록조회등인가된관리자에의해보안관리가될수있도록인가된관리자를식별하고인증할수있는로그인기능을제공해야한다. 관리기능 DDoS 대응장비보안기능( 탐지기능, 차단기능, 추적기능, 로그인기능) 동작을위한보안정책을설정하고조회할수있는보안관리기능을제공해야한다. 4. DDoS 대응장비시험방법 DDoS 공격은네트워크및서비스자원의부하를증가시키는특성을가지고있기때문에 DDoS 대응장비는침입방지시스템등기존네트워크보안장비보다성능적인측면이중시되고있다. 따라서, DDoS 대응장비의성능이보안기능에영향을미치기때문에보안기능을시험하기에앞서제품의사양을검증해야하며, 검증된제품사양을기반으로 DDoS 대응장비의보안기능을시험해야한다. -8-
DDoS 대응장비의제품사양검증및보안기능시험방법은다음과같다. 제품사양검증트래픽 트래픽유형대상트래픽부하 정상트래픽내부서버단편화된 UDP DDoS 대응장비용량의 100% 보안기능시험트래픽( 탐지및차단) 트래픽유형대상트래픽부하 공격트래픽피해서버 DDoS공격유형별트래픽 DDoS 대응장비용량의 90% 피해서버동작확인피해서버 HTTP 1 tps 정상트래픽내부서버 HTTP DDoS 대응장비용량의 5~10% 제품사양및보안기능시험에대한세부항목은다음과같다. 시험항목 제품사양검증 항목 공격트래픽탐지/ 차단 세부항목 - 처리율(Throughput) - 패킷지연(Packet Latency) - 최대연결수(Max Connection) - 패킷손실율(Packet Loss) - 공격패킷탐지시간 - 공격패킷차단시간 - 공격패킷차단율 - 정상패킷성공률 - 공격대상서버의성공률 - 탐지및차단로그생성 -9-