실제 시험 문제 27

이 글에서 익힐 것

• DoS·DDoS·reflection·amplification을 구분한다.

• UDP source IP spoofing이 가능한 이유를 이해한다.

• bot, resolver, victim 각 역할과 packet 방향을 정확히 그린다.

• amplification factor를 요청·응답 크기로 계산한다.

• DNSSEC의 authenticity와 availability 공격을 구분한다.

• 공격의 전제조건과 실질 방어책을 설명한다.

Four core terms

• DDoS

  여러 분산된 공격원으로 victim의 availability를 훼손.

• Reflection

  공격자가 직접 victim에게 답을 보내지 않고 제3자 DNS server가 victim에게 response를 보내게 함.

• Amplification

  작은 query 하나가 더 큰 response를 만들므로 공격자가 보낸 traffic보다 victim이 받는 traffic이 커짐.

• IP spoofing

  packet header의 source IP를 bot 주소가 아니라 Alice 주소로 위조해 response 목적지를 Alice로 만듦.

왜 그런지 이해하기

• 전통적 DNS query는 주로 UDP를 사용한다.

• UDP에는 TCP의 3-way handshake처럼 상대가 source address를 실제로 소유했는지 먼저 확인하는 연결 설정이 없다.

• 공격 network가 egress source-address validation을 하지 않으면 bot이 Alice IP를 source로 넣은 packet을 보낼 수 있다.

• Resolver는 packet header를 믿고 response를 source IP인 Alice에게 보낸다.

• DNS가 TCP로 fallback할 수 있어도 amplification 공격의 핵심은 spoof 가능한 UDP response다.

Actors

• Eve

  botnet에 공격 명령을 내리고 query type/domain을 선택.

• Bots

  Alice source IP로 위조한 작은 DNS queries를 다수 생성.

• Open recursive resolvers 또는 응답 가능한 DNS servers

  질의를 처리하고 위조된 source인 Alice에게 큰 responses를 반사.

• Alice/my.server.com

  질의하지 않았지만 대량 DNS responses를 받아 availability를 잃는 victim.

단계별로 따라가기

1. Step

   0. 준비

   Detail

   Eve는 많은 bot과 외부에서 질의를 받아주는 DNS resolver/server 목록, 그리고 큰 응답을 만드는 질의를 준비한다.

2. Step

   1. 명령

   Detail

   Eve → Botnetz: Alice 서버를 target으로 attack하라는 control message. 시험 그림에 선택적으로 표시.

3. Step

   2. 위조 query

   Detail

   각 bot → 여러 DNS resolvers: UDP DNS query, IP source=Alice의 IP, destination=resolver:53. 실제 sender는 bot이지만 header에는 Alice가 sender처럼 보인다.

4. Step

   3. 처리

   Detail

   Resolver는 query를 정상 처리하고 response를 생성한다. 요청보다 큰 RRset·DNSSEC data 등이 response에 포함될 수 있다.

5. Step

   4. 반사 응답

   Detail

   DNS resolvers → Alice: large DNS responses. Resolver는 공격 의도를 몰라도 위조 source 때문에 reflector가 된다.

6. Step

   5. 피해

   Detail

   수천 resolver의 응답이 Alice로 집중되어 inbound bandwidth, firewall/CPU 등을 소진하고 정상 사용자가 접속하지 못한다.

Arrow diagram template

• Eve ── attack command ──▶ Botnetz

• Bot₁ ─┐

• Bot₂ ─┼─ UDP DNS query, spoofed source IP = Alice ──▶ Open DNS Resolver₁…N

• Botₙ ─┘

• Resolver₁ ─┐

• Resolver₂ ─┼─ large DNS responses ──▶ Alice / my.server.com

• Resolverₙ ─┘

• Alice: unsolicited amplified traffic → bandwidth exhaustion → unavailable

Amplification math

Preconditions

• bot이 있는 network에서 spoofed source IP packet이 외부로 나갈 수 있어야 한다.

• DNS resolver/server가 공격자 요청에 응답해야 한다. 무제한 open recursion은 특히 위험하다.

• query가 요청보다 충분히 큰 response를 유발해야 한다.

• 많은 bot·reflector와 victim으로 모이는 경로가 있어야 실질적인 DDoS 규모가 된다.

Dnssec effect

• DNSSEC는 RRSIG·DNSKEY 등으로 DNS data의 origin authenticity와 integrity를 검증한다.

• 공격 query가 legitimate record를 요청하는 것 자체를 금지하지 않는다.

• Resolver는 위조된 source IP가 실제 Alice인지 DNSSEC로 검사하지 않는다. DNSSEC는 IP source authentication 프로토콜이 아니다.

• 서명·키 record가 response에 추가되어 byte size가 커지면 amplification factor가 더 커질 수 있다.

• 따라서 DNSSEC 사용은 공격을 자동 차단하지 않으며, 경우에 따라 공격에 이용되는 response 크기를 늘릴 수 있다.

• 결론은 'DNSSEC가 나쁘다'가 아니다. DNS data authenticity라는 다른 보안 목표를 해결하며 운영자는 amplification 방어를 별도로 적용해야 한다.

어떻게 방어하는가

• 어떻게 방어하는가

  BCP 38 / ingress-egress filtering

  Where

  ISP/access network

  Effect

  자신의 주소 대역이 아닌 spoofed source packet이 나가지 못하게 해 reflection의 근본 전제를 차단.

• 어떻게 방어하는가

  Open recursion 제한

  Where

  Recursive resolver operator

  Effect

  신뢰된 client/network에만 recursion을 제공해 reflector 악용을 줄임.

• 어떻게 방어하는가

  Response Rate Limiting(RRL)

  Where

  DNS server

  Effect

  동일 victim/pattern으로 나가는 response 속도를 제한.

• 어떻게 방어하는가

  Minimal responses와 불필요한 large response 축소

  Where

  DNS configuration

  Effect

  amplification factor를 낮춤.

• 어떻게 방어하는가

  DDoS scrubbing/Anycast/CDN

  Where

  Victim/서비스 운영

  Effect

  대량 traffic을 분산·필터링하지만 source spoofing 근본 해결과는 다름.

문제를 푸는 순서

1. 1단계: 세 주체 Botnetz, DNS resolvers, Alice를 배치한다.

2. 2단계: bot→resolver 화살표에 'small UDP DNS query'와 'source IP spoofed as Alice'를 반드시 쓴다.

3. 3단계: resolver→Alice 화살표에 'large DNS response'를 쓴다.

4. 4단계: Alice availability/bandwidth exhaustion을 표시한다.

5. 5단계: reflection과 amplification이라는 용어를 붙인다.

6. 6단계: DNSSEC는 authenticity 제공, spoofing/flooding 미차단, response 확대 가능이라고 별도 답한다.

스스로 확인하기

• bot packet의 실제 sender와 header source는 각각 누구인가?

  실제 sender는 bot이고 header source IP는 Alice로 spoof된다.

• 왜 resolver response가 bot이 아니라 Alice로 가는가?

  UDP query의 source IP가 Alice 주소로 위조됐기 때문이다.

• 60-byte query가 3000-byte response를 만들면 amplification factor는?

  50.

• DNSSEC가 이 공격을 막지 못하는 가장 핵심 이유는?

  DNS data를 인증할 뿐 UDP/IP source address를 인증하거나 flooding을 차단하지 않기 때문이다.

• source spoofing을 직접 줄이는 network 방어는?

  BCP38 ingress/egress source-address filtering.

설명의 근거

• Gedächtnisprotokoll Computersystemsicherheit WS2025_26.md, Networking / DNS, 5-(c), 6 Punkte.

• Vorlesung 08 Domain Name System — DNS amplification/reflection 및 DNSSEC.

• Übung 5 Lösung — DNS attacks와 방어.

이 문제가 어려운 이유

짧은 문제 문장 ‘Eve가 Botnetz로 Alice의 server my.server.com을 DNS-Amplification-Angriff로 unerreichbar하게 만들려 한다. Botnetz, DNS-Resolver, Alice server 사이 communication을 표시하고 DNSSEC 사용 시 달라지는지 설명하라.’ 안에 정의, 조건, 처리 순서가 압축되어 있습니다. 아래 예시에서는 이를 한 단계씩 펼쳐 확인합니다.