SYN 패킷 Port Pattern 기반의 NAT 내부 호스트 식별 및 DDoS/DoS 공격 탐지 알고리즘에 관한 연구 = A Study on NATted Host Identification and DDoS/DoS Attack Detection Algorithm based on Port Patterns of SYN Packets

국문 초록 (Abstract)

인터넷의 발달로 인하여 인터넷 사용자가 증가하였고 그로 인해 최근 IPv4의 부족 문제로 IPv6가 제안되었지만, 현실적인 문제들로 인하여 활성화되지 않고 있다. 이러한 문제를 해결하기 위해 NAT(Network Address Translation)가 제안되었으며, 가정이나 사무실에서는 적은 비용으로 여러 호스트에서 인터넷을 사용하기 위하여 NAT 공유기를 많이 사용하고 있다.
ISP(Internet Service Provider) 입장에서는 NAT를 통해 많은 호스트들이 연결되어 트래픽을 증가시킬 수 있다는 문제를 가지게 되었고, 내부 사설 주소를 외부로부터 보호하는 기능을 제공하여 NAT에 연결된 네트워크의 토폴로지를 숨김으로써 관리자의 네트워크 접근 통제를 우회하거나, 해커들로 하여금 공인 IP 주소 공간에서 자신의 존재를 숨기기 위한 수단으로 사용되어 NAT 내부 호스트에서 DDoS/DoS 등의 공격 발생시 정확한 근원지 파악 및 대응이 어려워지고 있다.
본 논문에서는 NAT 내부 호스트를 탐지하기 위하여 제안된 선행 연구의 문제점 및 한계점을 분석하고, SYN 패킷의 Port 패턴을 활용한 NAT 내부 호스트 탐지 알고리즘을 제안하여 실험 결과를 비교 분석한다.
제안하는 알고리즘인 NHDI(NATted Host Detection and Identification Algorithm)는 SYN 패킷의 도착 순서에 따라 헤더 정보(Source IP, Source Port, IP ID)를 추출하고, Port Pattern을 식별하여 그룹핑을 함으로써 해당 IP 주소의 NAT 여부를 판단하고 NAT 내부 호스트를 식별한다. 식별된 호스트 그룹을 기반으로 향후 ISP 차원에서의 NAT 내부 호스트 관리 및 공격 발생시 대응이 가능하다. 또한 DDoS/DoS 탐지 및 대응 알고리즘으로 확장하여 NAT 내부 호스트에서 발생한 DDoS/DoS 공격 탐지 및 대응이 가능하도록 한다.
지금까지 선행 연구된 알고리즘의 경우 패킷의 제한적인 일부 헤더 정보만을 활용하거나 모든 패킷의 정보를 활용하기 때문에 계산량 및 정확도 부분에서 문제점이 있지만, 본 논문에서 제안하는 알고리즘은 선택적으로 패킷 정보를 활용함으로써 계산량은 줄이고 정확도는 높이는 두 가지 부분 모두 만족시키고 있다.
제안하는 알고리즘 검증을 위해 다양한 NAT 환경에서 기존 알고리즘과 비교 실험하여 그 결과를 나타내고, 추가적으로 제안하는 알고리즘으로 식별된 호스트 그룹을 기반으로 DDoS/DoS 공격 탐지 실험을 수행하여 그 결과를 보인다. 실험 결과를 바탕으로 제안하는 알고리즘을 이용하여 NAT 내부 호스트 탐지 및 식별 및 DDoS/DoS 공격 탐지 및 대응이 가능하다는 것을 증명한다.

다국어 초록 (Multilingual Abstract)

IPv6 was spotlighted as a solution for the IPv4 address exhaustion as internet usage has been increasing, however, it’s not being commercialized widely due to many realistic reasons. To solve this problem, NAT(Network Address Translation) has been suggested and NAT routers are being widely used at homes and offices in order to use more internet devices with less money.
As for an ISP(Internet Service Provider), data traffic would be increased since there might be lots of unknown hosts behind a NAT and ISPs have difficulties in detecting and responding to DDoS/DoS attacks from NATted hosts because NAT hides network topologies of inner hosts and sidesteps access controls of network administrators and it’s also used for hiding their IP addresses by hackers.
In this paper, we analyze the uppermost limits and problems of past studies on NAT detection and then, suggest a new algorithm using Port patterns of SYN packets.
NHDI(NATted Host Detection and Identification Algorithm) that we propose extracts header information (Source IP, Source Port, IP ID) from the packets according to the arrival sequence of SYN packets, groups them by analyzing port patterns, and detects and identifies a NATted host. Based on identified host groups, ISPs would be able to control NATted hosts and respond to attacks. Also, this can be extended to a DDos/DoS Detection and Response Algorithm which is able to detect and respond to intrusions from the host behind the NAT.
Because existing algorithms restrictively use header information in data packets or process entire packets in a data stream, those algorithms have low accuracy and the huge amount of calculation. Our suggested algorithm, however, selectively uses packet information so it reduces calculation, but increases accuracy at the same time.
We’ve experimented with our algorithm in various NAT settings so that we could compare it with the other existing algorithms and we also performed DDoS/DoS Attack Detection Tests with the host groups identified and classified by this algorithm. With the test results, we proved that our suggested algorithm had better performance in NATted Host Detection and DDoS/DoS Intrusion Detection and Response.

목차 (Table of Contents)

• Ⅰ. 서론 1
• II. 관련 연구 4
• 2.1 NAT 분류 및 동작 메커니즘 4
• 2.1.1 일반적인 방식에 따른 분류 4
• 2.1.2 Mapping 방식에 따른 분류 8
• 2.1.3 NAT 동작 메커니즘 13
• 2.2 NAT 내부 호스트 식별 기술 19
• 2.2.1 IP ID Field를 이용한 Host 탐지 19
• 2.2.2 추가적인 IP Header 정보를 이용한 Host 탐지 23
• 2.3 DDoS/DoS 공격 유형 및 탐지·대응 기술 30
• 2.3.1 DDoS/DoS 공격 유형 분류 30
• 2.3.2 DDoS/DoS 공격 탐지 및 차단 기술 32
• III. 제안하는 SYN 패킷 Port Pattern 기반의 NAT 내부 호스트 식별
• 및 DDoS/DoS 공격 탐지 알고리즘 36
• 3.1 기존 NAT 탐지 알고리즘(IP ID를 이용한 탐지)에 대한 고찰 36
• 3.1.1 기존 NAT 탐지 알고리즘 36
• 3.1.2 기존 NAT 탐지 알고리즘의 문제점 및 한계 40
• 3.2 제안하는 NHDI(NATted Host Detection & Identification
• Algorithm) 알고리즘 42
• 3.2.1 3-Way Handshake 42
• 3.2.2 NAT 장비에서의 Port 할당 방식 확인 44
• 3.2.3 NAT/Non-NAT SYN Port 그래프 비교 45
• 3.2.4 NHDI Basic Concept 52
• 3.2.5 NHDI 53
• 3.3 DDoS/DoS 탐지 알고리즘 55
• 3.3.1 DDoS/DoS 트래픽의 특징 55
• 3.3.2 제안하는 DDoS/DoS 공격 탐지 알고리즘 57
• IV. 실험 및 평가 60
• 4.1 실험 환경 및 실험 방법 60
• 4.2 Non-NATted Hosts (Case 1) 61
• 4.2.1 기존 NAT 탐지 알고리즘 62
• 4.2.2 SYN 패킷의 Port 패턴을 활용한 NAT 탐지 알고리즘 64
• 4.3 NATted Hosts (Case 2) 67
• 4.3.1 기존 NAT 탐지 알고리즘 68
• 4.3.2 SYN 패킷의 Port 패턴을 활용한 NAT 탐지 알고리즘 69
• 4.4 NATted & Non-NATted Hosts (Case 3) 72
• 4.4.1 기존 NAT 탐지 알고리즘 73
• 4.4.2 SYN 패킷의 Port 패턴을 활용한 NAT 탐지 알고리즘 74
• 4.5 알고리즘 성능 평가 및 비교 77
• 4.6 경원대학교 네트워크 NAT 내부 호스트 탐지 80
• 4.7 호스트 식별 그룹 기반 DDoS/DoS 공격 탐지 82
• 4.7.1 Source IP 변화 산정을 통한 IP Spoofing 공격 탐지 83
• 4.7.2 트래픽 Volume 기반 DDoS/DoS 공격 탐지 86
• Ⅴ. 결론 90
• 참고문헌 92
• ABSTRACT 94