[논문]HTTP Outbound Traffic을 이용한 개선된 악성코드 탐지 기법

최병하; 조경산

doi:10.9708/jksci.2009.14.9.047

초록
AI-Helper

웹을 통해 유포되는 악성코드는 다양한 해킹 기법과 혼합되어 진화되고 있지만, 이의 탐지 기법은 해킹 기술의 발전과 신종 악성코드에 제대로 대응하지 못하고 있는 실정이다. 본 논문에서는 악성코드와 이의 유포 특성의 분석에 따라 탐지 시스템이 갖추어야 할 요구사항을 정의하고, 이를 기반으로 HTTP Outbound Traffic을 감시하여 악성코드의 유포를 실시간으로 탐지하는 개선된 탐지 기법을 제안한다. 제안 기법에서는 악성코드를 유포하는 것으로 입증된 HTML 태그와 자바스크립트 코드를 시그니쳐로 IDS에 설정한다. 실제 침입된 환경에서의 검증 분석을 통해 제안 기법이 기존 기법에 비해 요구 사항의 만족에 우수하고 악성코드에 대한 높은 탐지율을 보임을 제시한다.

Abstract ▼ AI-Helper

Malicious codes, which are spread through WWW are now evolved with various hacking technologies However, detecting technologies for them are seemingly not able to keep up with the improvement of hacking and newly generated malicious codes. In this paper, we define the requirements of detecting syste...

Malicious codes, which are spread through WWW are now evolved with various hacking technologies However, detecting technologies for them are seemingly not able to keep up with the improvement of hacking and newly generated malicious codes. In this paper, we define the requirements of detecting systems based on the analysis of malicious codes and their spreading characteristics, and propose an improved detection scheme which monitors HTTP Outbound traffic and detects spreading malicious codes in real time. Our proposed scheme sets up signatures in IDS with confirmed HTML tags and Java scripts which spread malicious codes. Through the verification analysis under the real-attacked environment, we show that our scheme is superior to the existing schemes in satisfying the defined requirements and has a higher detection rate for malicious codes.

Keyword

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문은 이러한 문제점을 해결하기 위해 HTTP Outbound Traffic을 감시하여 사용자 컴퓨터가 악성 코드에 감염되기 이전에 악성코드의 유포를 실시간으로 탐지하는 기 '법을 제안한다.
이러한 분석을 토대로. 본 논문에서는 기존의 문제점을 해결하고 새로운 탐지 시스템의 필요를 만족하기 위해 표 2와 같은 요구 사항을 제시한다.
본 연구에서는 홈페이지를 변조해서 유포하는 악성코드에 대한 분석 결과를 근거로 대응 방안에 대한 요구 사항을 제시하고, 이를 만족시키는 효율적인 악성코드 탐지 기법을 제안하였다.

가설 설정

2) 탐지를 위해 시스템 자원을 너무 많이 소모한다. 3) 오탐율이 상당히 존재한다.
소모한다. 3) 오탐율이 상당히 존재한다.

제안 방법

본 장에서는 앞 장의 4 절에서 제시된 요구 사항을 만족시키기 위해 HTTP Outbound Traffic을 감시하여 악성코드를 유포하는 HTML 태그와 자바스크립트 코드를 실시간으로 탐지하는 개선된 탐지 기법을 제안한다.
본 연구에서 제안하는 악성코드의 탐지는 ⑰의 단계에서 수행되며, 그림 1의 IDS와 같은 위치에서 탐지하여 서버 쪽의 HTTP Outbound Traffic의 패킷 속에 악성코드를 유포하는 코드가 존재하는지 확인한다.
1에서 악성코드를 유포하는 HTML 태그와 자바스크립트 코드를 분석하였다. 분석 결과를 기반으로 악성코드를 유포할 수 있는 대표적인 시그너쳐를 표 3과 표 4와 같이 제안한다.
2) 앞 절에서 제시된 시그너쳐들로 구성된 규칙모음을 근거로, Snort로 이루어진 IDS 엔진이 패킷들을 하나씩 살펴본다.
그리고 “제안 탐지 시스템'은 공개 소스 IDS 인 Snort를 사용하여 유출되는 패킷을 분석한 후 본 연구의 시그너쳐에 따른 유포패턴을 확인했을 경우 경고를 일으키게 한다. 또한 패킷 캡쳐 기능이 있는 winpcap 라이브러리를 설치하여 캡쳐된 패킷을 Snort가 분석할 수 있도록 구성한다. 클라이언트 PC는 가상서버시스템의 외부에 설치한다.
또한 더 다양한 형태의 탐지율을 분석하기 위해 인터넷에 악성코드를 유포하는 것으로 알려져 있는 웹페이지의 HTML 소스를 복사하여 탐지 대상 시스템에 동일하게 생성시킨 후이를 탐지하는 기법으로 추가적인 테스트를 하였다. 표 9는 악성코드를 탐지하는 백신과의 탐지율을 비교한 결과이다.
나머지 5 건은 악성코드 숙주서버가 곧바로 치료되었으므로 신종 악성코드인지 확인하지 못하였다. 반면에 제안 기법은 악성코드 자체가 아닌 유포를 탐지하므로 신종 악성코드도 탐지되었다. 제안 탐지 시스템이 탐지 못한 1건은 IFRAME 태그의 SRC 속성값이 외부가 아닌 자기자신의 도메인을 가르키며 악성코드가 유포가 되는 것으로, 그 서버 자신이 악성코드 숙주 서버인 것으로 추정되며, 현재 가리키는 웹페이지 주소가 치료되어 확실한 원인은 분석할 수는 없다.

성능/효과

4) SCRIPT 태그는 자바스크립트를 정의하는 태그로써 자바스크립트 함수들을 독립된 파일로 만들어 SRC 속성으로 호출할 수 있다. 이를 이용하여 해커들은 SRC 속성이 외부도메인의 파일을 참조케 하여 악성코드를 유포한다.
셋째, 최근 중국에서 클릭 몇 번으로 초보자도 SQL Injection을 쉽게 할 수 있는 툴인 HDSI, EFSQL, NBSI, WIS 등이 제작되었다. 이를 이용하여 데이터베이스의 내용을 조작하여 유포한다〔8〕.
표 9는 악성코드를 탐지하는 백신과의 탐지율을 비교한 결과이다. 비교대상은 네이버 PC그린의 카스피스키 엔진으로 33%를 탐지하였고 제안 탐지 시스템은 91.6%의 우수한 탐지율을 보인다. 백신 탐지율이 낮은 원인의 일부는 신종 악성 코드를 탐지하지 못하기 때문이다.
제안 기법은 XSS의 시그너쳐와 일부 동일하므로 XSS 탐지 기법으로 전환하는 것도 용이하다. 또한 개인정보 유출도 추가적인 시그너쳐를 만들면 HTTP Outbound Traffic으로 탐지 가능하므로 향후 연구로 제시한다.

후속연구

제안 기법은 특정한 웹서버를 통한 악성코드의 유포를 탐지하는 기법이므로 광범위한 영역에서보다는 한정된 인트라넷에 더 효율적이며, 향후 악성코드의 새로운 유포 기술의 등장에 대한 대응이 요구된다. 또한 본 연구에서는 현재 구현할 수 있는 제한된 환경에서의 분석만을 제시했는데 연구의 체계적인 검증을 위해서는 더욱 다양한 유형의 악성코드 유포환경을 구축하여 검사할 필요가 있다.
대한 대응이 요구된다. 또한 본 연구에서는 현재 구현할 수 있는 제한된 환경에서의 분석만을 제시했는데 연구의 체계적인 검증을 위해서는 더욱 다양한 유형의 악성코드 유포환경을 구축하여 검사할 필요가 있다.
기법으로 전환하는 것도 용이하다. 또한 개인정보 유출도 추가적인 시그너쳐를 만들면 HTTP Outbound Traffic으로 탐지 가능하므로 향후 연구로 제시한다.

참고문헌 (17)

김미선, 김진보, 양형초, 김용민, 서재현, "웹 2.0과 Ajax 보안 취약점," 정보과학회지, 제 25권, 제 10호, 43-48쪽, 2007년 10월.
한국정보보호 진흥원, "2009년 1월 인터넷침해사고 동향 및 분석 월보," 2009년 2월.
안철수 연구소, http://blog.ahnlab.com/ahnlab/576.
Joanna Rutkowska, "Introducing Stealth Malware Taxonomy," COSEINC Advanced Malware Labs, November, 2006
우종우, 하경휘, "시그너처 패턴기반의 악성코드 탐색도구의 개발," 한국컴퓨터 정보학회논문지, 제 10권 제 6호, 127-135쪽, 2005년 12월.
한국정보보호진흥원, "웹 해킹을 통한 악성 코드 유포 사이트 사고 사례," 2005년 6월.
김대유, 김정태, "홈페이지에 삽입된 악성코드 및 피싱과 파밍탐지를 위한 웹 로봇의 설계 및 구현," 한국해양정보통신학회논문지, 제 12권, 제 11호, 1993-1998쪽, 2008년 11월.

원문보기 상세보기
최상명, "중국발 해킹 위협과 대응방안," 순천향대학원 석사학위논문, 2008년 8월.
한국정보보호진흥원, "Muma, Hantian Trojan 분석," 2005년 8월.
한국정보보호진흥원, "2006년 9월 인터넷 침해사고 동향 및 분석월보," 2006년 10월.
한국정보보호진흥원, "자동화된 SQL Injection 공격을 통한 악성코드 대량 삽입 수법 분석 (Mass SQL Injection)," 2008년 12월.
한국정보보호진흥원, "웹쉘의 현황 및 분석," 2007년 2월.
손우용, 송정길, "통합보안 관리시스템의 침입탐지 및 대응을 위한 보안 정책 모델," 한국컴퓨터정보학회논문지, 제 9권, 제 2호, 81-87쪽, 2004년 6월.

원문보기 상세보기
우종우, 하경휘, "시그너처 패턴기반의 악성코드 탐색도구의 개발," 한국컴퓨터정보학회논문지, 제 10권, 제 6호, 127-135쪽, 2005년 12월.

원문보기 상세보기
서정택, "가상환경을 이용한 악성코드 탐지기술," 정보보호학회지, 제 17권, 제 4호, 74-82쪽, 2007년 8월.

원문보기 상세보기
양경철, 이수연, 박원형, 박광철, 임종인, "전자우편을 이용한 악성코드 유포방법 분석 및 탐지에 관한 연구," 정보보호학회논문지, 제19권, 제1호, 93-101쪽, 2009년 2월.
박준홍, 최병호, 고대식, "행동패턴을 이용한 실시간 악성프로그램 탐지", 한국정보기술학회논문지, 제6권, 제6호, 124-130쪽, 2008년 12월.

상세보기

이 논문을 인용한 문헌

저자의 다른 논문 :

활용도 분석정보

상세보기

다운로드

내보내기

활용도 Top5 논문

해당 논문의 주제분야에서 활용도가 높은 상위 5개 콘텐츠를 보여줍니다.
더보기 버튼을 클릭하시면 더 많은 관련자료를 살펴볼 수 있습니다.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

[국내논문] HTTP Outbound Traffic을 이용한 개선된 악성코드 탐지 기법
An Improved Detecting Scheme of Malicious Codes using HTTP Outbound Traffic 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

Keyword

AI 본문요약
AI-Helper

문제 정의

가설 설정

제안 방법

성능/효과

후속연구

참고문헌 (17)

이 논문을 인용한 문헌

저자의 다른 논문 :

활용도 분석정보

활용도 Top5 논문

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

연관된 기능

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

[국내논문] HTTP Outbound Traffic을 이용한 개선된 악성코드 탐지 기법 An Improved Detecting Scheme of Malicious Codes using HTTP Outbound Traffic 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

Keyword

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

가설 설정

제안 방법

성능/효과

후속연구

참고문헌 (17)

이 논문을 인용한 문헌

저자의 다른 논문 :

최병하 (5) 조경산 (32)

활용도 분석정보

활용도 Top5 논문 더보기

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

연관된 기능

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

[국내논문] HTTP Outbound Traffic을 이용한 개선된 악성코드 탐지 기법
An Improved Detecting Scheme of Malicious Codes using HTTP Outbound Traffic 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper

활용도 Top5 논문