소프트웨어 정의망에서 공격 그래프 기반의 침입감내 기술 (Attack Graph Based Intrusion Tolerance Method in Software-Defined Networks)

서지정보

· 발행기관 : 한국통신학회
· 수록지 정보 : 한국통신학회논문지 / 46권 / 6호 / 983 ~ 992페이지
· 저자명 : 김혜진, 윤승현, 김성환, 임혁

초록

사이버 보안 침해가 발생한 네트워크 자원은 네트워크 정보와 취약점 특성이 악용되어 주변 자원에 이차적인피해를 줄 수 있다. 침입감내 기술은 이와 같은 침해 상황에도 제공 중인 서비스를 지속적으로 유지시킬 수 있다.
본 논문에서 제안하는 침입감내 기술은 베이지안 공격 그래프 (Bayesian Attack Graph, BAG)를 활용하여 차후악용될 수 있는 자원들을 추정한 후, 소프트웨어 정의망 (Software-Defined Networks, SDN) 제어기로 추정된 자원들의 IP 주소, MAC 주소 등을 변경시켜 공격의 확산을 막는다. 또한, 소프트웨어 정의망과 가상화 기술을 활용하여 공격 피해가 예상되는 자원들만을 복구시킴으로써, 제공 중인 서비스의 성능 저하를 최소화시킨다. 제안하는침입감내 기술의 효율성을 검증하기 위해, 베이지안 공격 그래프에서 공격 경로를 무작위로 생성한 다음, 침입감내 알고리즘을 적용하여 공격 경로를 예측할 수 있는지 비교 분석하였다. 실험 결과를 통해, 제안하는 침입감내기술이 공격 피해 가능성이 높은 노드를 성공적으로 추정하고 해당 자원의 네트워크 주소 변경 및 서비스 복구를선별적으로 수행하여, 적은 침입감내 수행 오버헤드로 높은 서비스 지속성을 제공할 수 있음을 보였다.

영어초록

The intrusion tolerance method can provide sustainable services in case of cybersecurity breaches. We propose a network intrusion tolerance method that identifies compromised nodes by utilizing Bayesian attack graphs (BAGs) and changes the IP/MAC addresses of the nodes to prevent the spread of attacks. Furthermore, we leverage software-defined networks (SDN) and virtualization technologies to recover only the resources that are expected to be compromised in order to minimize the performance degradation of the services. To validate the efficiency of the proposed intrusion tolerance technique, we generate a set of random attack paths and investigate how accurately the attack paths can be predicted by the proposed method in comparison with other methods. Experimental results show that the proposed intrusion tolerance method can successfully estimate attack-prone nodes and selectively perform the network address change and the service recovery of the nodes, resulting in high service persistence with low intrusion-tolerance overhead.

참고자료

· 없음