[DDoS] ICMP Flooding (+패킷 분석)

ICMP Flooding은 인터넷환경에서 오류에 관한 처리를 지원하는 역할을 한다. 
라우터와 같은 네트워크 장비에서 패킷을 전송할 떄, 해당 패킷이 목적지 호스트까지 도달하지 못한다거나 
목적지 호스트가 정상적으로 동작하지 않을 떄 에러 메시지를 응답하여 오류 상황을 알려주는 역할을 한다

ICMP header

ICMP는 오류에 관한 내용을 Type과 Code의 값으로 구분한다

주로 사용하는 Type과 Code 값들이다.

ICMP는 프로토콜을 ICMP를 사용한다는 점을 뺴고는 UDP Flooding과 유사하다

.pcap파일

1) 메시지 타입에서 Type 8, Code0에 해당하는Echo Request가 사용된 것을 알수있다. 
2) 데이터의 크기는 1442로 큰 크기이며 테이터가 xxxxxxxx로 되어있는데 의미 없는 값으로 보아 
   패킷 크기를 의도적으로 크게 만들기 위한 목적으로 간주할 수 있다.
3) 출발지 아이피를 보면 무작위 형태의 아이피임을 보고 스푸핑(spoofing)한 상태인 것을 알 수 있다

 

 

ICMP대응방안

UDPFlooding과 같아 회선 대역폭을 고갈시키는 대역폭 공격이라 UDP Flooding이랑 똑같다

• 충분한 네트워크 대역폭 확보
• 위조된 IP차단
• 출발지 IP별 임계치 기반 차단
• Fragmentation 패킷 차단
• 서버 대역폭 및 가용량 확대
• Anycast를 이용한 대응
• Ingress필터링과 Egress 필터링