랜덤 쿼리 문자열 DoS 공격을 방지하는 간단한 가십 기반 방어

초록

본 논문은 CDN 엣지 서버가 원본 서버에 무작위 쿼리 문자열이 포함된 요청을 전달하는 취약점을 이용한 DoS 공격을 탐지하기 위해, 엣지 서버 간에 가볍게 정보를 교환하는 가십 프로토콜을 제안한다. 원본 서버는 잘못된 쿼리 문자열을 감지하면 엣지 서버에 경고를 보내고, 엣지 서버는 이를 가십으로 전파한다. 일정 기간 내에 일정 비율 이상의 경고가 수집되면 공격으로 판단하고, 이후 쿼리 문자열이 포함된 요청을 차단한다. 시뮬레이션 결과, 적은 오버헤드로 높은 탐지율을 보이며 오탐율도 낮은 것을 확인하였다.

상세 분석

이 논문은 현재 상용 CDN이 HTTP 요청에 포함된 쿼리 문자열을 무시하고, 해당 문자열이 새로워 보이면 원본 서버에 다시 요청을 전달하는 구조적 결함을 악용한 “랜덤 쿼리 문자열 DoS” 공격을 상세히 분석한다. 공격자는 다수의 엣지 서버에 동일한 대용량 파일을 요청하면서 매번 무작위 쿼리 문자열을 추가하고, 파일 전송이 시작된 직후 연결을 끊는다. 원본 서버는 이러한 요청을 정상적인 파일 전송으로 처리하므로, 엣지 서버는 파일 사본을 계속해서 받아야 하고, 원본 서버는 급격히 증가한 트래픽으로 인해 서비스 거부 상태에 빠진다. 기존 방어책은 원본 서버에서 IP 기반 차단이나 쿼리 문자열을 전혀 허용하지 않는 정책을 제시하지만, 이는 CDN의 유연성을 크게 저해한다.

저자들은 이러한 상황을 완화하기 위해 가십 기반 탐지 메커니즘을 제안한다. 핵심 아이디어는 원본 서버가 “잘못된 쿼리 문자열”을 감지했을 때, 해당 엣지 서버에 경고 플래그를 포함한 응답을 반환하고, 엣지 서버는 이를 다른 엣지 서버에게 무작위 확률 v 로 전파한다. 각 엣지 서버는 일정 시간 창 Δ 내에 수신한 경고 메시지 수를 집계하고, 전체 엣지 서버 수 S 로 나눈 값이 사전에 정의된 임계값 θ 을 초과하면 공격이 진행 중이라고 판단한다.

알고리즘 1은 푸시 기반 가십을 구현한다. 각 엣지 서버는 경고를 받으면, 매 시뮬레이션 스텝마다 확률 v 로 다른 엣지 서버에게 동일 메시지를 전송한다. 이 방식은 복잡한 상태 동기화 없이도 네트워크 전반에 빠르게 정보를 확산시킬 수 있다. 또한, 가십 메시지는 경고 집합만을 포함하도록 크기를 제한함으로써 네트워크 오버헤드를 최소화한다.

시뮬레이션은 C 기반 이산 이벤트 시뮬레이터로 구현되었으며, 엣지 서버 수(1075), 공격 발생 확률 P_attack (0.11.0), 정상 오류 발생 확률 P_error (0.01), 가십 전파 확률 v (0.50.9), 시간 창(10100) 등 다양한 파라미터를 변형하였다. 결과는 엣지 서버 수가 증가할수록 탐지 단계가 앞당겨지고, 가십 전파 확률이 0.5 이상이면 거의 동일한 탐지율을 보임을 확인했다. 또한, 임계값 θ 를 0.5로 설정했을 때 오탐율이 거의 0에 가까워, 정상 트래픽에서 발생하는 오류 쿼리 문자열이 공격으로 오인되지 않음을 입증했다.

이 접근법의 장점은 원본 서버와 엣지 서버의 기존 동작을 크게 변경하지 않으며, 가십 프로토콜 자체가 경량이기 때문에 CDN 전체 성능에 미치는 부정적 영향이 미미하다는 점이다. 그러나 가십 전파 지연이나 네트워크 파편화가 심한 환경에서는 경고가 충분히 전파되지 않아 탐지 지연이 발생할 가능성이 있다. 또한, 공격자가 가십 메시지를 차단하거나 위조하는 경우 방어 메커니즘이 무력화될 위험도 존재한다. 향후 연구에서는 인증된 가십 메시지 전송, 동적 임계값 조정, 그리고 엣지 서버 간 신뢰도 모델링 등을 통해 이러한 한계를 보완할 수 있을 것이다.