[논문]윈도우 악성코드 분류 방법론의 설계

서희석; 최중섭; 주필환

doi:10.13089/jkiisc.2009.19.2.83

[국내논문] 윈도우 악성코드 분류 방법론의 설계
Design of Classification Methodology of Malicious Code in Windows Environment 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.19 no.2, 2009년, pp.83 - 92

서희석 (한국기술교육대학교) , 최중섭 (한국정보보호진흥원) , 주필환 (한국정보보호진흥원)

초록
AI-Helper

인터넷 기술의 발전과 더불어 다양한 악성코드들이 제작되고 있다. 본 연구에서는 윈도우 환경에서 동작하는 악성코드를 분류하기 위한 방법론을 제시하고 시험용 분류 시스템을 소개한다. 악성코드는 매일 수천 건씩 발생하고 있으며 이를 체계적으로 분류하여 발견된 바이러스가 기존의 악성코드와 어느 정도 유사한지에 대한 판단기준을 설정할 필요가 있다. 변종인 경우에는 이전 악성코드와의 유사성이 어느 정도인지에 대한 유사도 제시가 필요할 것이다 이러한 분석은 악성코드 분석가들의 업무 노드를 줄여줄 수 있을 뿐만 아니라, 악성코드 분석가들의 성향에 따라 다르게 분석될 수 있는 오류를 줄여 줄 수 있다. 본 연구에서는 악성코드를 크게 9개의 그룹으로 분류하고, 이를 다시 그룹의 특성이 맞는 여러 개의 클러스터로 구분하였다. 악성코드가 소속되는 각각의 클러스터에서는 기준점을 기반으로 악성코드의 유사도가 계산되며, 이 유사도에 의해서 악성코드 분석가들은 기존의 악성코드와 새로운 악성코드의 유형 및 관련 정도를 파악하게 된다.

Abstract ▼ AI-Helper

As the innovative internet technologies and multimedia are being rapidly developed, malicious codes are a remarkable new growth part and supplied by various channel. This project presents a classification methodology for malicious codes in Windows OS (Operating System) environment, develops a test classification system. Thousands of malicious codes are brought in every day. In a result, classification system is needed to analyzers for supporting information which newly brought malicious codes are a new species or a variety. This system provides the similarity for analyzers to judge how much a new species or a variety is different to the known malicious code. It provides to save time and effort, to less a faulty analysis. This research includes the design of classification system and test system. We classify the malicious codes to 9 groups and then 9 groups divide the clusters according to the each property.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

감염대상을 갖고 있지 않다는 면에서 바이러스와 다소 차이가 있지만, 나쁜 의도로 만들어진 프로그램이라는 것을 일반인들에게 쉽게 인식시키기 위해서 보통 웜 바이러스라고 통용된다. 실제 목적은 사용자의 합법적인 권한을 사용해 시스템의 방어체제에 침투하여 접근이 허락되지 않는 정보를 획득하는 것이다. 웜은 자기 스스로의 증식을 목적으로 하는데 , 보통은 파일 스스로 그런 기능을 가지고 있거나 윈도우의 운영체제인 경우 시스템 등에 자기 자신을 감염시킨다.
사용자가 의심하지 않고 그 프로그램을 실행하게 되면 실제 기대했던 기능을 수행한다. 실제 목적은 사용자의 합법적인 권한을 사용해 시스템의 방어체제에 침해하여 접근이 허락되지 않는 정보를 획득하는 것이다. 전자 메일 메시지와 함께 전송되는 전자 메일 첨부 파일을 통해 주로 확산된다.

제안 방법

내용은 아래와 같이 구성되어 있다. 분석가가 수행할 수 있는 기본적인 분석사항만을 포함하여 구성하였으며 여러 개의 내용이 있는 경우는 기본적으로 토큰 (세미콜론 사용";”)을 사용하여 입력할 수 있도록 구성하였다.
정해진 배점 방식에 따라 기존의 악성코드와 새로운 악성코드의 유사도를 계산할 수 있다. 각각의 클러스터에 포함되는 악성코드의 개수가 증가함에 따라 각 클러스터 내에서 비교해야하는 악성코드의 개수가 증가하게 되는데 이러한 부분에서 성능을 개선하기 위하여 각 클러스터 내에 기준점 되는 악성코드를 선정하였다. 이 기준점을 우선 비교하여 유사도 검색에 있어서 성능 향상을 꾀할 수 있다.
자기 복제와 파일 감염이 특징인 바이러스를 포함하는 더 넓은 개념이라고 할 수 있다. 본 논문에서는 악성 코드를 그 특성에 따라 총 9개 분류〔11-18〕하였으며 각각의 특징은 아래와 같다.
본 논문에서는 악성코드를 크게 9개의 그룹으로 분류하고, 이를 다시 그룹의 특성이 맞는 여러 개의 클러스터로 구분하였다. 악성코드가 소속되는 각각의 클러스터에서는 기준점을 기반으로 악성코드의 유사도가 계산되며, 이 유사도에 의해서 악성코드 분석가들은 기존의 악성코드와 새로운 악성코드의 유형 및 관련 정도를 파악하게 된다.
본 연구에서는 9개의 그룹에 대하여 각각의 정량적인 배점기준을 정하고 이에 따라서 점수를 부여하였다. 〔표 15〕는 트로이목마의 점수를 계산하기 위한 배점표이다.
본 연구에서는 악성코드를 총 9개의 그룹으로 나누었다. 각 그룹에 포함되어 있는 악성코드는 그 특징 에 따라 클러스터로 구분이 되는데 이렇게 클러스터를 만든 이유는 최소한의 기준을 맞추기 위함이다.
본 연구진은 악성코드를 크게 9개의 그룹으로 분류하고 각 그룹에 대해서 여러 개의 클러스터를 구성하였다. 이렇게 나누어진 그룹에 대한 유사도 계산 알고리즘이 정해지고.
새롭게 분석된 악성코드와 기존의 악성코드와의 비교를 위하여 각각의 그룹별로 점수를 계산하는 방법을 사용하였다.
각 클러스터에는 수천 수만개의 악성코드가 존재할 수 있다. 이러한 상황에서 새로운 악성코드를 분석하여 기존의 악성코드와 유사도를 비교하는 것은 검색의 효율이 떨어질 수 있으므로, 기준점을 두어 기준점과 비교를 하여 가장 유사도가■ 높은 기준점 내의 악성코드들만을 대상으로 유사도를 비교해 보게 된다. 모든 악성코드는 이러한 기준점에 매달리게 된다.

후속연구

향후 계획으로는 설계된 악성코드 분석 시스템을 바탕으로 방대한 양의 악성코드 DB를 구축하고, 유사도 검색을 위한 보다 유연한 인터페이스를 개발하고자 한다.

참고문헌 (18)

정진성,"최근의 보안 패러다임 변화와 2004년 악성코드 동향",정보과학회지,23(1),pp8-14,2005년 1월

원문보기 상세보기
박회환, 박대우,"Windows 시스템 파일에 기생하는 악성코드의 치료 방법 연구,"한국 컴퓨터 정보학회 학술대회 논문집,14(2).PP255-262, 2006년 12월
신회수,"4월 인터넷 침해사고 민원접수, 처리현황 및 분석",월간 정보보호뉴스,Vol.128, No.5, pp12-13, 2008년 5월
안철수 연구소,"악성코드 동향 분석 보고서",ASEC 리포트, pp2-13, 2008년 4월
http://www.trendmicro.co.kr/
http://www.ahnlab.com/
http://www.hauri.co.kr/
최준호, 곽효승, 공현장, 김판구, 이병권, 오은숙,"악성코드 분류 및 명명법에 관한 연구",정보과학회지,20(11).pp24-29,2002년 11월
염용진, 배병철,"악성 프로그램의 진화",정보통신연구진흥원,1244호,pp36-42,2006년 5월
장영준, 차민석, 정진성, 조시행,"악성코드 동향과 그 미래 전망".정보보호학회지,18(3).pp1-16, 2008년 6월

원문보기 상세보기
NVD: National Vulnerability Database - http://nvd.nist.gov
CVE: Common Vulnerabilities and Exposures - http://cve.mitre.org
CVSS: Common Vulnerability Scoring System - http://www.first.org/cvss
http://www.kasperskylab.co.kr/
http://www.wikipedia.org/
http://ko.wikipedia.org/
http://cafe.naver.com/malzero.cafe/
http://cafe.naver.com/securityplus.cafe/

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

[국내논문] 윈도우 악성코드 분류 방법론의 설계
Design of Classification Methodology of Malicious Code in Windows Environment 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약
AI-Helper

문제 정의

제안 방법

후속연구

참고문헌 (18)

이 논문을 인용한 문헌

저자의 다른 논문 :

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

연관된 기능

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

[국내논문] 윈도우 악성코드 분류 방법론의 설계 Design of Classification Methodology of Malicious Code in Windows Environment 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

후속연구

참고문헌 (18)

이 논문을 인용한 문헌

저자의 다른 논문 :

서희석 (36) 최중섭 (8) 주필환 (1)

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

연관된 기능

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

[국내논문] 윈도우 악성코드 분류 방법론의 설계
Design of Classification Methodology of Malicious Code in Windows Environment 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper