Internet Attack Visualization on High-Speed Networks

국문 초록 (Abstract)

인터넷상의 수많은 트래픽 정보 중에서 악성 트래픽 정보를 빠르게 감지하는 것은 그 정보의 방대함 때문에 쉽지 않다. 공격시각화(Attack Visualization) 기법은 이런 수많은 정보 중에서 악성 트래픽 정보를 좀 더 쉽게 인지하게 함으로써 새로운 공격에 대해서 빠른 대응과 피해 최소화를 하는데 활용할 수 있다. 본 연구에서는 평행좌표계(Parallel Coordinates)를 이용해 공격시각화를 하여, 분산 서비스 거부 공격, 웜, 스캐닝 공격 등 인터넷상에 알려진, 혹은 알려지지 않은 새로운 공격들에 대해 빠른 대응을 하기위한 기술 연구를 하였으며, 각 공격들의 특정 시각화 패턴을 감지하고 이를 알려주는 이상탐지(anomaly detection) 시각화 시스템 PCAV를 구현하였다. PCAV 시스템을 통해 네트워크 관리자는 실시간으로 트래픽 정보와 공격들의 시각화 정보를 원격에서도 모니터링하고 이를 통해 즉시 대응하는 것이 가능하다. 또한, 이전에 발생한 공격들의 시각화 정보를 확인하고 이를 분석하는 것과, 알려지지 않은 공격이 발생했을지라도 그 공격의 시각적 패턴이 나타났을 때 즉각 공격 서명(signature)으로 활용 하는 것이 가능하다.

다국어 초록 (Multilingual Abstract)

This research presents PCAV (Parallel Coordinates Attack Visualizer), a real-time visualization system for detecting large-scale Internet attacks including Internet worms, DDoS attacks and network scanning activities. PCAV displays network traffic on the plane of parallel coordinates using the source IP address, destination IP address, destination port and the average packet length in a flow. These four values are used to draw each flow as a connected line on the plane and surprisingly a group of lines form a particular shape in case of attack. Thus, a simple but novel way of displaying traffic reveals ongoing attacks. From the fact that numerous types of attacks form a specific pattern of graphs, we have developed nine signatures and their detection mechanism using an efficient hashing algorithm. Using the graphical signatures, PCAV can quickly detect new attacks and enables network administrators to instantly recognize and respond to the attacks. Another strength of PCAV comes from handling flows instead of packets. Per-flow visualization greatly reduces the processing time and further provides compatibility with legacy routers which export flow information such as NetFlow in Cisco routers. We have demonstrated the effectiveness of PCAV using real traffic evaluation and the result of evaluation shows that PCAV greatly detects several attacks even if types of attacks are different or not, under gigabit speed network with high accuracy

목차 (Table of Contents)

• Contents
• 1. Abstract
• 2. Introduction
• 3. Attack Visualization
• 3.1 Benefits of Attack Visualization
• 3.2 Attack Characteristics
• 3.3 Four fields as Attack Parameters
• 3.4 Per-flow Visualization
• 3.5 Parallel Coordinates
• 4. Parallel Coordinates Attack Visualization
• 4.1 Attack Signatures
• 4.2 System Design
• 4.3 Attack Detection Algorithm
• 5. Evaluation
• 5.1 Case Study
• 5.2 Stress Test
• 5.3 Multiple Attack Test
• 5.4 False Alarms
• 5.5 Reflection of attack
• 6. Related Works
• 7. Conclusion
• 국문 요약
• Reference
• List of Figures
• 1. Rescaled attack graphs
• 2. System design of PCAV
• 3. PCAVflow data generated from sensor
• 4. Attack detection algorithm in the analyzer
• 5. Reported attack graphs
• 6. Processing ratio of PCAV
• 7. Detecting ratio of multiple attack test
• 8. Interference relationship of each attack
• 9. Approximated detecting ratio graph
• 10. False alarm test
• 11. False alarms of worm
• 12. Reflections
• List of Tables
• 1. Properties of famous worms
• 2. Attack signatures of nine attacks
• 3. Comparisons of data structures
• 4. Parameters in evaluation
• 5. Notable reflections