[논문]사용되지 않는 포트를 이용하여 해커를 허니팟으로 리다이렉트하는 시스템 설계 및 구현

김익수; 김명호

doi:10.13089/jkiisc.2006.16.5.15

사용되지 않는 포트를 이용하여 해커를 허니팟으로 리다이렉트하는 시스템 설계 및 구현
Design and Implementation of an Unused Ports-based Decoy System to Redirect Hackers toward Honeypots 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.16 no.5, 2006년, pp.15 - 24

초록
AI-Helper

많은 컴퓨터 보안 시스템들은 공격 시그너처를 기반으로 해커에 대응하기 때문에 가능한 빠르고 정확하게 새로운 공격 정보를 수집하는 것이 중요하다. 이러한 이유로 허니팟과 허니팟 팜에 관한 연구가 활발히 진행되고 있다. 그러나 해커들은 IP 주소가 할당된 서버를 직접 공격하는 성향이 높기 때문에, 허니팟과 허니팟 팜은 많은 공격 정보를 수집할 수 없다. 이에 본 논문에서는 사용되지 않는 포트를 이용하여 해커를 허니팟으로 리다이렉트하는 시스템을 제안한다. 이 시스템은 해커를 유인하기 위해 일반 서버의 사용되지 않는 포트를 유인포트로 사용한다 이 포트는 서비스를 위한 포트가 아니기 때문에 이 포트로의 모든 접근은 비정상적인 행위로 간주되어 허니팟으로 리다이렉트 된다. 결국 제안 시스템은 허니팟이 아닌 실제 서버를 공격하는 해커들의 공격 정보를 수집할 수 있게 한다.

Abstract ▼ AI-Helper

Many computer security systems use the signatures of well-known attacks to respond to hackers. For these systems, it is very important to get the accurate signatures of new attacks as soon as possible. For this reason, honeypots and honeypot farms have been actively researched. However, they can only collect a small amount of information because hackers have a strong tendency to directly attack servers of which IP addresses are allocated. In this paper, we propose an unused ports-based decoy system to redirect hackers toward honeypots. This system opens unused ports to lure hackers. All interactions with the unused ports are considered as suspect, because the ports aren't those for real service. Accordingly, every request sent to the unused ports is redirected to a honeypot. Consequently, this system enables honeypots to collect information about hackers attacking real servers other than themselves.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문에서는 사용되지 않는 포트를 이용하여 해커를 허니팟으로 리다이렉트하는 시스템을 제안한다. 이 시스템은 해커를 유인하기 위해 일반 서버의 사용되지 않는 포트를 이용하며, 우리는 이러한 기능을 가지는 포트들을 유인 포트라 부를 것이다.
본 논문에서는 해커의 공격을 식별하기 위해 예약된 IP 주소를 사용하지 않고, 일반 서버의 사용되지 않는 포트를 이용하여 해커를 허니팟으로 리다이렉트하는 시스템을 제안하였다. 허니팟과 허니팟 팜의 기본 아이디어는 사용되지 않는 IP 주소 중에서 미리 선택된 IP 주소로의 접근은 공격일 가능성이 높다는 것이다.
브라질 허니팟 연합과 침해사고 대응팀 간의 상호협력은 다른 나라에서는 찾아볼 수 없는 독특한 특징이다. 분산 허니팟 프로젝트의 목표는 브라질의 인터넷 공간에서 침해사고 탐지, 사건 연관관계, 트렌드 분석 등의 능력을 배양하기 위한 것이다. 대부분의 브라질 IP 주소 공간을 대상으로 하되 서로간의 상호작용은 분산 허니팟 네트워크로 구성되어 있다.

가설 설정

. 접근 제어 모듈 : 서버는 유인 포트를 열어둠으로써 해커에 의해 발생할 수 있는 네트워크 부하를 최소화해야 한다. 이 모듈은 유인 포트들로부터 유입되는 네트워크 트래픽을 감시하고, 과도한 트래픽으로부터 서버를 보호하기 위해 패킷 포워딩 모듈의 패킷 처리량을 조절한다.

제안 방법

XXX. 1 ~ XXX.XXX.XXX.254의 범위에서 포트 번호와 IP 주소를 임의로 선택하여 네트워크 스캔을 하며, 이때 허니팟에 패킷이 전달된 회수를 측정함으로써 제안 시스템의 성능을 평가하였다.
이 때 관리자는 해당 포트를 먼저 닫아야 하는데, 이는 포트 관리 모듈을 통해 가능해진다. 관리자가 닫고자 하는 포트 번호를 입력하면, 포트 관리 모듈은 fuser 리눅스 명령어를 통해 해당 포트를 사용하고 있는 프로세스의 ID를 조사한다. 이후 포트 관리 모듈은 패킷 포워딩 모듈에게 해당 프로세스를 종료하기 위한 명령과 프로세스 ID를 함께 보내며, 메시지를 수신한 패킷 포워딩 모듈은 SIGKILL 시그널을 보냄으로써 프로세스를 종료한다.
그림에서 해커는 실제 IP 주소가 할당된 서버 A와 B에 접속 시도를 하고 있기 때문에 리플렉터가 해커의 공격 시도를 식별할 수 없다. 그러나 제안 시스템은 사용되고 있지 않은 포트로의 요청을 해커의 공격으로 판단하여 허니팟 팜으로 리 다이렉트 한다. 그림 2에서 서버 A는 웹 서비스를 위한 80번 포트와 해커를 유인하기 위한 21번 포트를함께 열어두고 있으며, 서버 B는 웹 서비스를 위한 80번 포트와 해커를 유인하기 위한 23번 포트를 열어두고 있다.
잘 알려진 서비스를 위해서는 예약된 0-1023번 포트가 주로 사용되기 때문에, 해커들은 0-1023번 사이의 열린 포트들을 공격한다. 따라서 제안 시스템은 해커의 공격을 허니팟 팜으로 리다이렉트하기 위해서 일반 서버의 0-1023번 포트 중 현재 인터넷 서비스를 위해 사용되고 있지 않은 포트를 이용한다.
따라서 포트 스캔 모듈은 해커를 유인하기 위한 포트를 결정하기 위해 0-1023번 포트들의 사용 여부를 조사한다. 리눅스에서 netstat 명령어는 현재 시스템의 네트워크 상태를 보여주는 명령어로서, 포트 스캔 모듈은 이 명령어를 이용하여 열린 포트의 목록을 생성한다.
이 모듈은 유인 포트들로부터 유입되는 네트워크 트래픽을 감시하고, 과도한 트래픽으로부터 서버를 보호하기 위해 패킷 포워딩 모듈의 패킷 처리량을 조절한다. 또한, 유인 포트에 접근한 해커가 서비스 포트에 접근하는 것을 제한하기 위해 허니팟 팜으로 리다이렉트하는 IP-tables 룰을 생성한다.
이에 우리는 앞서 제시한 공격 시나리오를 제안 시스템에 적용하기 위해 특정 IP 주소를 공격하거나 특정 공격 패턴을 갖는 인터넷 웜 대신. 랜덤 패킷 생성기를 구현하고 실험하였다. 랜덤 패킷 생성기는 포트 번호 0 ~ 1023, IP 주소 XXX.
허니팟으로 리다이렉트된 모습이다. 앞선 공격을 통해 생성한 hacker 계정을 이용하여 피해 서버에 로그인을 한 후, 사용자 권한을 루트 권한으로 변경하였으며 ifconfig 명령어를 통해 IP 주소를 확인하였다. IP 주소가 XXX.
각 실험마다 같은 환경에서 패킷 수집 회수가 다른 이유는 랜덤 패킷 생성기가 랜덤 함수를 이용하여 임의의 IP 주소와 포트번호를 결정하기 때문이다. 이에 기존 시스템과 제안 시스템의 비교를 위해서 각 실험에서의 평균값을 구하고, 이 값을 이용하여 각 시스템의 성능을 비교하였다. 기존의 허니팟 팜 환경에 비해 제안 시스템이 설치된 서버 1 대가 추가되었을 경우 약 28%, 2대의 경우 58%, 3 대의 경우 81%의 공격 정보 수집 능력이 향상된 것을 알 수 있다.
공격에 성공한 해커는 더 많은 서버들을 공격하기 위해 인터넷 웜과 같은 자동화 된 공격 프로그램을 이용한다. 인터넷 웜은 보안상 취약한 여러 서버들을 찾기 위해 네트워크 스캔을 하며 취약한 서비스 데몬 프로그램이 실행중인 서버를 발견하여 공격을 시도한다.
유인 포트는 서비스를 위한 포트가 아니기 때문에 이 포트로의 모든 접근은 비정상적인 행위로 간주되어 허니팟으로 리다이렉트 된다. 제안 시스템은 허니팟 팜 환경에서 리플렉터가 식별하지 못하는 많은 해커들의 공격을 허니팟 팜으로 리다이렉트하기 때문에 실제 서버를 공격하는 해커들의 공격 정보를 수집할 수 있게 한다. 특히, 이 시스템은 일반 사용자의 서비스 포트에 대한 접근은 허용하지만 사용되지 않는 포트에 접근했던 해커들이 서비스 포트에 접근하는 행위를 막아준다.

대상 데이터

33. 23, 26, 32번의 패킷을 수집하였으며, 허니팟 팜과 제안시스템에서도 패킷 수집 회수에 차이가 발생하는 것을 볼 수 있다. 각 실험마다 같은 환경에서 패킷 수집 회수가 다른 이유는 랜덤 패킷 생성기가 랜덤 함수를 이용하여 임의의 IP 주소와 포트번호를 결정하기 때문이다.

성능/효과

이에 기존 시스템과 제안 시스템의 비교를 위해서 각 실험에서의 평균값을 구하고, 이 값을 이용하여 각 시스템의 성능을 비교하였다. 기존의 허니팟 팜 환경에 비해 제안 시스템이 설치된 서버 1 대가 추가되었을 경우 약 28%, 2대의 경우 58%, 3 대의 경우 81%의 공격 정보 수집 능력이 향상된 것을 알 수 있다. 특히, 제안 시스템은 더 많은 해커들의 정보를 수집하기 위해 추가적인 허니팟 설치를 필요로 하지 않으며.
수 있다. 실험에서도 알 수 있듯이 제안 시스템이 설치된 서버가 증가할수록 허니팟 팜은 해커의 공격 정보를 수집할 수 있는 가능성이 높아졌다. 또한, 더 많은 해커들의 정보를.
제안 시스템은 IP 주소가 할당된 서버에 설치되어 해커의 공격을 식별하기 때문에 허니팟을 직접 공격하지 않는 해커와 허니팟 팜 환경에서 리플렉터가 식별하지 못하는 해커의 공격을 허니팟 팜으로 리 다이렉트할 수 있다. 실험에서도 알 수 있듯이 제안 시스템이 설치된 서버가 증가할수록 허니팟 팜은 해커의 공격 정보를 수집할 수 있는 가능성이 높아졌다.
리다이렉트된 해커는 허니팟의 존재를 인식하지 못하며, 해커의 모든 불법적인 행동은 허니팟에 의해 기록된다. 통합된 환경을 제공하는 허니팟 팜은 사용하지 않는 IP 주소를 이용하여 더 많은 해커들의 공격 정보를 수집할 수 있으며, 보안을 위해 설치해야 할 침입 탐지시스템과 방화벽의 비용은 물론, 보안 관리를 위한 시간과 인력 낭비를 줄일 수 있다. 그러나 해커가 예약된 IP 주소가 아닌 실제 서버에 할당된 주소로 접근할 경우에는 리플렉터가 해커를 허니팟 팜으로 리다이렉트할 수 없기 때문에 다수의 해커에 관한 공격 정보를 수집할 수 없는 문제가 있다.
수집하기 위해 추가적인 허니팟의 설치나 해커의 공격을 식별하기 위한 여분의 IP 주소를 필요로 하지 않는다. 특히, 제안 시스템은 유인포트에 접근했던 해커를 허니팟 팜으로 리 다이렉트하기 때문에 해커가 서비스 데몬 프로그램을 공격하는 것을 막을 수 있다.

후속연구

많은 해커들의 공격 정보를 수집하기 위해서는 윈도우즈 운영체제에서도 동작하는 시스템을 구축하는 것이 중요하다. 향후 과제로는 윈도우즈 기반의 서버 및 클라이언트에서도 동작하는 시스템을 구축하는 것이며, 일반 사용자들도 쉽게 제안 시스템을 설치 및 관리할 수 있는 그래픽 인터페이스 기능을 추가하는 것이다.

참고문헌 (12)

Martin Roesch, 'Snort-Lightweight Intrusion Detection for Networks', Proceedings of the LISA, 1999
Brian Laing, Jimmy Alderson, How to Guide: Implementing a Network Based Inrusion Detection System, Internet Security System, 2000
L. Spitzner, Know Your Enemy: Sebek2 A Kernel Based Data Capture Tool, http://www.honeynet.org, 2003
Xing-Yun He, Knok-Yan, Siu-Leung Chung, Chi-Hung Chi, Jia-Guang Sun, 'Real-Time Emulation of Intrusion Victim in HoneyFarm,' Proceedings of the AWCC, 3309, pp. 143-154, Nov 2004
Miyoung Kim, Misun Kim, Youngsong Mun, 'Design and Implementation of the HoneyPot System with Focusing on the Session Redirection', Proceedings of the ICCSA, 3043, pp. 262-269, May 2004
John G. Levine, Julian B. Grizzard, Henry L. Owen, 'Using Honeynets to Protect Large Enterprise Networks,' IEEE Security and Privacy, 2, pp. 74-75, 2004
Joseph Reves, Sonia Panchen, Traffic Monitoring with Packet-Based Sampling for Defense against Security Threats
L. Spitzer, Honeypots: Tracking Hackers, Addison-Wesley, 2002
L. Spitzer, Honeypot Farms, http://www.securityfocus.com/infocus/1720, 2003
브라질 사이버테러 정보보호 현황 및 대응기구, 국가사이버안전센터, Monthly 사이버 시큐리티 1월호
A. Machie, J. Roculan, R. Russell, M. V. Velzen, Nimda Worm Analysis, Security Focus, Tech. Rep, Incident Analysis, 2001
A. Machie, R. Russell, Code Red Worm, Security Focus, Tech. Rep, Incident Analysis, 2001

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증