[정보보안기사] PART 02-2 . 네트워크 (DoS,DDoS,DRDoS 공격)

 

DoS 와 DDoS 의 차이 

DoS: 공격자가 단일 컴퓨터를 이용하여 공격 / DDoS: 공격자가 분산된 다수의 컴퓨터(좀비PC)들을 이용하여 공격 

 

Ping Of Death Attack 

Ping 명령을 통해 ICMP 패킷을 아주 크게 전송 ->MTU에 의해 단편화 발생  -> 재조합시 많은 부하 발생 

 

Land Attack 

출발지와 목적지 IP가 같은 패킷 , 무한루프 상태  

 

Smurf Attack 

출발지 IP 를 희생자 IP 로 위조한 후 증폭네트워크로 ICMP Echo Request 브로드캐스트  

다수의 ICMP Echo Reply 가 희생자에게 전달 -> 서비스 거부 유발  

대응책1. 동일한 ICMP Echo Reply패킷 다량 발생시 침입차단시스템을 통해 차단 

   2. 다른 네트워크로부터 자신의 네트워크로 들어오는 Directed Broadcast 패킷 허용하지 않도록 라우터 설정 

   no ip directed-broadcast 

   3. 브로드캐스트 주소로 전송된 ICMP Echo Request 메시지는 응답하지 않도록 시스템 설정 

 

TearDrop Attack 

IP 단편화의 오프셋 값을 서로 중첩되도록 조작하여  재조합 과정에서 부하 발생 

 

IP 단편화의 취약점을 이용한 우회 공격 

Tiny Fragment 

최초의 단편을 아주 작게 만들어 패킷 필터링 장비를 우회 

( 목적지 포트가 포함되지 않게 아주 작게 )   첫번째 단편 (목적지 포트 없음 ) 통과 -> 

첫 번째 단편이 허용 -> 두번째 단편(목적지 포트 있음) 통과 -> 단편들이 재조합되어 목적지 포트로 연결  

2) 공격자가 패킷을 소형 단편화하여 tiny fragment 공격을 수행하는 이유 

2) 쪼개진 패킷을 재조합하는 기능을 제공하지 않는 방화벽의 경우 이렇게 다수로 쪼개진 패킷을 탐지하거나 차단할 수 없는 약점이 있기 때문임. 

3) Tiny fragment 공격 대응 방법 

3-1) 단편화된 패킷을 재조합하는 기능이 있는 방화벽을 사용 

3-2) Port 번호가 포함되어 있지 않을 정도로 분할된 패킷은 필터링 장비(IDS, IPS)에서 탐지 or 차단. 

Fragment Overlap 

첫번째 단편에는 허용하는 목적지 포트 , 두번째 단편에는 공격자가 연결하기를 원하는 목적지 포트  

재조합시 두 번째 단편의 포트가 첫 번째 단편의 포트를 덮어쓸수 있도록 두번째 단편 오프셋 조작  

대응책 

단편화된 패킷을 재조합하는 기능이 있는 방화벽을 사용  

포트 번호가 포함되어 있지 않을 정도로 분할된 패킷은 필터링 장비(IDS,IPS) 에서 탐지 or 차단  

 

Slow 계열 공격 유형 

Slow HTTP Header DoS(Slowloris 공격) 

헤더의 개행문자 ( 0d0a , CRLF ) 필드 부분을 조작 

빈 라인 ( 요청 헤더의 끝을 의미 ) 을 전달하지 않고 지속적으로 천천히 불필요한 정보를 전달하는 공격  

웹서버는 요청 헤더부를 모두 수신해야 처리가 가능  / 모두 수신할때까지 연결상태 유지 -> 연결 자원 소진 

빈라인(Empty Line)을 전송하지 않고 연결을 지속  

 

Slow HTTP POST DoS(RUDY 공격) 

POST는 전송할 데이터의 크기를 설정가능, Content-Length를 크게 설정후 소량의 데이터 지속적 전송   

명시된 크기만큼 데이터를 모두 수신하기 위해 연결 상태 유지 

가용량을 소진 , 다른 클라이언트 정상적인 서비스 요청을 처리 불가능  

대응 : 연결 타임아웃 , 읽기 타임아웃 설정 

Slow HTTP Read DoS 공격 

TCP의 흐름제어 : 수신 가능한 양만큼만 데이터를 전송하는 방식 

Window 필드 : 수신 가능한 여유 공간의 크기  

TCP 헤더의 Window 필드를 0 으로 조작 -> 서버는 송신측의 여유 공간이 생길때까지 대기  

연결을 지속적으로 유지 -> 가용량 소진  

 

DRDoS 공격 

공격자는 출발지 IP를 희생자 IP로 위조  

다수의 반사서버로 요청정보를 전송 

희생자는 반사서버로부터 다수의 응답을 받아 서비스 거부 상태  

 

Unicast RPF ( Reverse Path Forwarding ) 

인터페이스로 유입되는 패킷의 출발지 IP주소가 위변조되었는지 여부를 점검하는 기술 

1. 유입된 패킷의 출발지 IP주소를 목적지 IP주소로 설정 

2. 라우팅 테이블을 이용해 패킷 전송 경로를 점검 

3. 패킷이 동일한 인터페이스로 전송된다면 출발지 IP주소가 위조되지 않은 정상 패킷으로 판단 

 

TCP 기반 DRDoS 

출발지 IP를 희생자 IP로 위조하여 반사서버에 다수의 SYN 패킷 전송  

증폭된 대량의 SYN+ACK 응답 패킷이 희생자에 전달  

증폭되는 이유 – 응답이 없을 경우 재전송 수행  

 

DNS 증폭 DRDoS 공격 

출발지 IP를 희생자 IP로 위조  

요청 대비 응답이 큰(증폭되는) DNS 질의 타입(ANY,TXT) 을 요청   

 

 공격자들이 이 기법(DRDoS)을 사용하는 이유  

출발지 IP가 위조되고, 반사 서버를 통해 공격이 수행되므로 공격의 출처를 파악하기 어려움. 특히 UDP는 별도의 인증 절차가 없으므로 공격 수행이 용이함 

다수의 좀비 PC를 동원하지 않더라도 대량의 공격 패킷을 만들어 낼 수 있어 효율이 높음. DNS 질의 타입(ANY,TXT) 으로 하면 응답이 증폭 

 

IP 스푸핑 ( 출발지 IP를 위조 ) 에 대응할 수 있는 라우터의 주요 기법  

1. Ingress 패킷 필터링 : 외부에서 내부 네트워크로 들어오는 패킷에 대해 출발지 IP를 체크  

외부에 존재 할 수 없는 사설 IP , 루프백 IP 등 인터넷 상에서 사용되지 않는 IP 대역을 필터링 

2. Egress 패킷 필터링 : 내부에서 외부 네트워크로 나가는 패킷에 대해 출발지 IP 를 체크 

내부에서 사용하고 있는 IP주소가 아니라면 위조된 주소로 판단하여 필터링  

3. Unicast RPF(Reverse Path Forwarding) : 라우터로 유입된 패킷의 출발지 IP에 대해 라우팅 테이블을 이용하여 

유입된 인터페이스로 다시 전송되는지 여부를 체크 ( 역경로reverse path가 존재하는지 체크 )