Abstract

Internet traffic has been significantly increasing due to the development of information and communication networks and the growing numbers of cell phone users that access networks. This paper connects to this issue by presenting a way to detect and analyze a typical DDoS attack that results in Internet breaches and network attacks, which are on the increase. To achieve this goal, we improve features and GUI of the existing ATMSim analysis package and use it. This package operates on a network flow-based analysis method, which means that normal traffic collected through an internal LAN at the Korean Bible University campus as well as anomaly traffic with DDoS attacks are generated. Self-similarity processes are used to analyze normal and anomaly traffic that are collected and generated from the improved ATMSim. Our numerical results obtained from three Hurst parameter estimate techniques show that there is quantitatively a significant difference between normal traffic and anomaly traffic from a self-similarity perspective.

최근 정보통신망의 발전과 스마트 폰의 대량 보급으로 인하여 인터넷 트래픽이 기하급수적으로 증가하고 있다. 이와 관련하여, 본 논문은 증가하고 있는 인터넷 침해사고와 네트워크 공격 중 대표적인 DDoS 공격에 대해서 탐지 및 분석한다. 이를 위해 네트워크 플로우 정보를 바탕으로 동작할 수 있도록 기존의 ATMSim 분석 패키지의 기능과 GUI를 개선하고, 이를 이용하여 캠퍼스 내부 LAN을 통해 대량으로 유입되는 정상적인 트래픽과 DDoS 공격이 포함된 비정상 트래픽을 생성한다. 수집 생성된 정상 비정상 트래픽의 특성을 분석하기 위해서 자기유사성 추정 기법을 이용하여, 그래픽 분석 및 Hurst 파라메터 (자기유사성 파라메터) 추정량 분석결과 정상 트래픽과 비정상 트래픽이 자기유사성 관점에서 추정치 Hurst 값이 높음을 보여 주고 있다.

Keywords

• Anomaly traffic;
• self-similarity;
• Hurst parameter;
• ATMSim;
• DDoS attack

• 비정상 트래픽;
• 자기유사성;
• Hurst 파라메터;
• DDoS 공격;