DDoS 차단 장비(IG2000) 테스트

SYN Flooding 테스트
일시 : 2008년 1월 10일  오전 11시 30분경
장소 : KISA(한국인터넷정보보호진흥원) 랩실

Ⅰ.개요
1.장비 구성 :
Spirent Communications Avalche 2500(Client)
Spirent Communications Reflector 2500(Server)
Spirent Communications SmartBits 6000B(Attacker)
IG2000(Intruguard)
Bypass Switch
Switch 1Gbps 3EA
Management Console PC 2EA

2.Traffic 형태
1)정상 traffic : 530M(1,000 Connections/Second)
2)D-Dos traffic(SYN Flooding) : 300M

Ⅱ.테스트 진행 순서
1.일반 환경에서 D-DoS 공격
2.IG2000 가동(Guard)후 D-DoS 공격
3.D-DoS 공격 진행중 IG2000 가동(Guard)
4.IG2000 가동(Guard) 상태에서 D-DoS 공격 --> IG2000 가동(Guard) 중단 --> IG2000  재가동(Guard)

Ⅲ. 동영상 화면 구성
1)좌측상단 : 클라이언트 상황
2)우측상단 : 서버 상황
3)좌측하단 : 공격 트래픽 확인 및 공격 트래픽 차단 확인 Excel 표
4)우측하단 : 공격 작동 스위치 및 공격 환경설정

Ⅳ. 클라이언트 그래프 내용
1)녹색 : 클라이언트에서 서버 접속 성공 트래픽
2)청색 : 클라이언트에서 서버 접속 시도 트래픽
3)적색 : 클라이언트에서 서버 접속 실패 트래픽
4)황색 : 클라이언트 서버 접속 지연시간

Ⅴ. 화면 구성의 중요 포인트
1)초당 1,000 Connection이 정상 시도와 성공이 되는지 확인(매초 1,000명의 클라이언트가 정보를 요청하고, 매초 1,000명의 클라이언트가 접속을 종료하는 상태)
2)무 방어 상태에서 공격을 받을 때, 서버 측의 들어오는 트래픽이 850Mbps 정도 되고, 나가는 트래픽이 현저히 줄어들어 서비스 불가상태 확인
3)방어 상태에서 공격을 받을 때, 서버 측에 들어오는 트래픽이 15Mbps 정도(정상 시도 트래픽만) 되고, 나가는 트래픽이 500Mbps 정도 유지되며 서비스 유지 상태 및 지연시간 확인
4)무 방어 상태에서 공격을 받는 중에 방어 모드로 전환시, 신규 컨넥션이 정상적으로 이루어지고, 네트워크가 정상화 되는지 확인
5)우측 하단의 공격 트래픽 확인 Excel 표에서 공격 트래픽이 흐름과 차단을 수치로 확인