[논문]피싱사이트 실시간 탐지 기법

사준호; 이상진

doi:10.13089/jkiisc.2012.22.4.819

피싱사이트 실시간 탐지 기법
Real-time Phishing Site Detection Method 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.22 no.4, 2012년, pp.819 - 825

사준호 (고려대학교 정보보보연구원) , 이상진 (고려대학교 정보보보연구원)

초록
AI-Helper

최근 대다수 피싱사이트는 원시사이트(피싱사이트가 사칭하는 기관의 공식 웹사이트)와 유사하게 보이기 위해 원시사이트의 이미지, 게시글 등 컨텐츠를 링크하여 화면에 표시한다. 본 논문은 이러한 유형의 피싱사이트에 사용자가 접속하는 경우 피싱사이트의 URL이 HTTP referer 헤더필드를 통해 원시사이트로 유입되는 특성을 이용하여 피싱사이트를 실시간 탐지하는 시스템을 제안한다. 제안된 시스템은 원시사이트에 유입된 HTTP 트래픽을 아웃오브패스 (out-of-path) 방식으로 수집하여 분석함으로써 홈페이지 실운영 환경에 대한 영향을 최소화하였으며, 원시사이트를 참조한 웹 사이트의 URL에 대해 휴리스틱 분석을 실시함으로써 피싱사이트를 실시간으로 탐지할 수 있도록 설계하였다. 제안된 시스템을 피싱사이트 표적이 되고 있는 국내 모 기관 홈페이지에 적용한 결과 6일 동안 40개의 피싱사이트를 탐지하였다.

Abstract ▼ AI-Helper

Nowadays many phishing sites contain HTTP links to victim web-site's contents such as images, bulletin board etc. to make the phishing sites look more real and similar to the victim web-site. We introduce a real-time phishing site detection system which makes use of the characteristic that the phishing sites' URLs flow into the victim web-site via the HTTP referer header field when the phishing site is visited. The detection system is designed to adopt an out-of-path network configuration to minimize effect on the running system, and a phishing site source code analysis technique to alert administrators in real-time when phishing site is detected. The detection system was installed on a company's web-site which had been targeted for phishing. As result, the detection system detected 40 phishing sites in 6 days of test period.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문에서는 이러한 피싱사이트들 중 대다수가 원시사이트와 유사하게 보이기 위해 원시사이트의 이미지, 게시글 등 컨텐츠를 피싱사이트에 링크하는 것을 이용하여 원시사이트에 유입되는 HTTP referer 헤더필드 트래픽 분석을 통해 피싱사이트를 실시간 탐지하는 시스템을 설계하고자 한다. 시스템은 데이터 수집, 분석 및 리포팅 등 일련의 과정을 실시간으로 자동화하여 실시함으로써 피싱사이트 조기 발견이 가능하며, 사후에는 수집된 로그의 분석을 통해 피셔의 IP주소 확보에도 중요한 단서를 제공해 줄 것으로 생각한다.
탐지시스템은 원시사이트로 유입되는 HTTP 트래픽을 분석함으로써 실시간으로 피싱사이트를 탐지하기 위한 목적으로 제작하였다. 따라서 웹 사이트 규모가 큰 경우 이에 해당하는 대용량 네트워크 트래픽을 실시간으로 분석할 수 있어야 하며, 트래픽은 응용계층의 HTTP 헤더를 분석하기 때문에 시스템에 부하가 크게 발생할 수 있으므로 효율적인 화이트리스트(white-list) 관리를 통한 프로그램 성능 및 로그 관리가 중요하다.

제안 방법

도메인 화이트리스트 비교 시 서브도메인을 가진 도메인(예, ime.korea.ac.kr과 cist.korea.ac.kr) 은 서로 다른 도메인으로 구분되는 문제점을 해결하기 위해 도메인의 유효도메인[14](예, blog. naver.com의 경우 naver.com, www.korea .ac.kr의 경우 korea.ac.kr)을 추출하여 비교한다.
불필요한 트래픽 분석 및 로그 수집을 최소화하기 위해 수집된 HTTP 헤더에서 referer 헤더필드의 도메인이 화이트리스트에 존재하는지 비교한다. 화이트리스트와 일치하는 경우 해당 HTTP 헤더에 대한 분석을 중단하고 없는 경우에는 로그에 기록할 HTTP 헤더필드의 값들을 추출하여 로그에 기록한다([그림 2]의 과정 4).
실운영 시스템에 대한 영향을 최소화하기 위해 [그림 3]과 같이 미러링(mirroring) 포트 또는 TAP장비를 이용해 아웃오브패스 방식으로 웹 서버에 유입되는 네트워크 트래픽을 수집하며, 분석 트래픽량의 최소화를 위해 웹 서버로 유입되는 인바운드 트래픽 중 HTTP GET과 POST 요청의 헤더를 수집한 뒤 다시 referer 헤더필드를 포함하는 헤더만을 걸러내어 다음 분석단계를 수행한다([그림 2]의 과정 1,2,3).
위의 특징을 이용하여 원시사이트에서 웹 서버로 유입되는 HTTP 요청 트래픽을 수집하고 HTTP referer 헤더필드의 URL 값들을 분석함으로써 원시사이트를 링크한 피싱사이트의 실시간 탐지가 가능하다.

대상 데이터

4장에서 제안한 시스템을 검증하기 위해 2011년 10월 3일 21시부터 10월 9일 21시까지 피싱사이트의 주 표적이 되고 있는 국내 모 홈페이지의 DMZ 구간에 시스템을 적용하여 실험하였다.
탐지시스템은 시스템 부하를 줄이기 위해 최소한의 로그만을 수집한다. 피싱사이트 탐지와 사후 피셔의 IP주소 추정 등 사고 분석을 위해 [표 1]의 헤더필드 항목들을 로그에 기록한다([그림 2]의 과정 5).

성능/효과

”(마침표)의 개수, 로그인 폼 존재여부로 구성된 8가지 항목을 분석하는 방법으로 100개 정상 웹 사이트와 100개 피싱사이트에 대해 실험한 결과 89% 정탐율과 1%의 오탐율을 보였다.
실험 결과는 [표 3]과 같다. 144시간 동안 총 457개의 원시사이트를 링크하고 있는 홈페이지 도메인이 발견되었으며, 이 중 42개 도메인이 4장 5절의 탐지기준에 의해 피싱사이트 도메인으로 판별되었다. 457개 전체 도메인에 접속하여 육안으로 확인한 결과 실제 피싱사이트는 40개였는데, 40개 모두 탐지기준에 의해 피싱사이트로 판별된 42개 도메인에 포함되어 있어 탐지기준을 통한 피싱사이트 판별의 정확도가 100%에 달하는 것으로 나타났다.
144시간 동안 총 457개의 원시사이트를 링크하고 있는 홈페이지 도메인이 발견되었으며, 이 중 42개 도메인이 4장 5절의 탐지기준에 의해 피싱사이트 도메인으로 판별되었다. 457개 전체 도메인에 접속하여 육안으로 확인한 결과 실제 피싱사이트는 40개였는데, 40개 모두 탐지기준에 의해 피싱사이트로 판별된 42개 도메인에 포함되어 있어 탐지기준을 통한 피싱사이트 판별의 정확도가 100%에 달하는 것으로 나타났다. 나머지 2개 도메인은 정상 사이트이나 원시사이트의 링크를 5개 이상 포함하고 있어 피싱사이트로 오탐된 것으로, 이로 인한 오탐율은 0.
Johns Hopkins 대학과 구글의 연구진은 URL 구조를 분석하여 피싱사이트를 식별하는 방안을 소개하였다[7]. 로지컬회귀법과 구글의 페이지랭크(Page Rank), 도메인 기반 특징 분석, URL 키워드 비교 방법으로 2,508개 URL을 대상으로 실험한 결과 95.8%의 정탐율과 1.2%의 오탐율을 보임으로써 탐지방법의 효과성을 증명하였다. 하지만 이 방안은 공격자가 URL 패턴을 조금만 변경하여도 탐지율이 크게 저하될 수 있는 한계점이 존재한다.
탐지시스템 로그를 분석한 결과 34개(85%) 피싱사이트에 접속한 사용자의 IP주소는 모두 중국 IP주소로 나타났으며, 4개(10%)는 한국, 나머지 2개는 피싱사이트 자체(홍콩, 미국)의 IP주소로 나타났다. 분석 결과 한국 IP주소는 4개 모두 국내 웹 서버가 피셔들에 의해 경유지로 사용된 것이며, 피싱사이트의 IP주소 2개는 피셔가 피싱사이트 서버에 원격으로 접속하여 테스트하는 과정에 발생된 것으로 확인되었다. 즉, 탐지된 40개 피싱사이트 모두 피셔가 최초로 접속할 당시 탐지된 것으로 국내 피해자가 접속하기 이전에 성공적으로 탐지되었음을 알 수 있다.
위의 실험 결과가 증명하듯 본 논문에서 제안한 시스템은 피셔가 피싱사이트를 개설한 뒤, 피해자가 접속하기 이전에 실시간으로 높은 정확도로 피싱사이트를 탐지할 수 있음을 확인하였다. 본 논문에서 실험한것처럼 시스템을 피싱의 표적이 될 수 있는 기관의 관제센터 또는 웹 서버 DMZ 구간에 설치하거나 또는 기존 IDS 장비 등의 확장 모듈로 개발하여 적용한다면 실운영 시스템에 영향을 최소화하면서 효과적으로 피싱사이트를 탐지해 낼 수 있을 것이며, 궁극적으로는 피싱사이트로 인한 개인정보 유출 및 금전적 손실을 방지하는데 기여할 수 있을 것으로 생각된다.
분석 결과 한국 IP주소는 4개 모두 국내 웹 서버가 피셔들에 의해 경유지로 사용된 것이며, 피싱사이트의 IP주소 2개는 피셔가 피싱사이트 서버에 원격으로 접속하여 테스트하는 과정에 발생된 것으로 확인되었다. 즉, 탐지된 40개 피싱사이트 모두 피셔가 최초로 접속할 당시 탐지된 것으로 국내 피해자가 접속하기 이전에 성공적으로 탐지되었음을 알 수 있다.
탐지시스템 로그를 분석한 결과 34개(85%) 피싱사이트에 접속한 사용자의 IP주소는 모두 중국 IP주소로 나타났으며, 4개(10%)는 한국, 나머지 2개는 피싱사이트 자체(홍콩, 미국)의 IP주소로 나타났다. 분석 결과 한국 IP주소는 4개 모두 국내 웹 서버가 피셔들에 의해 경유지로 사용된 것이며, 피싱사이트의 IP주소 2개는 피셔가 피싱사이트 서버에 원격으로 접속하여 테스트하는 과정에 발생된 것으로 확인되었다.

후속연구

위의 실험 결과가 증명하듯 본 논문에서 제안한 시스템은 피셔가 피싱사이트를 개설한 뒤, 피해자가 접속하기 이전에 실시간으로 높은 정확도로 피싱사이트를 탐지할 수 있음을 확인하였다. 본 논문에서 실험한것처럼 시스템을 피싱의 표적이 될 수 있는 기관의 관제센터 또는 웹 서버 DMZ 구간에 설치하거나 또는 기존 IDS 장비 등의 확장 모듈로 개발하여 적용한다면 실운영 시스템에 영향을 최소화하면서 효과적으로 피싱사이트를 탐지해 낼 수 있을 것이며, 궁극적으로는 피싱사이트로 인한 개인정보 유출 및 금전적 손실을 방지하는데 기여할 수 있을 것으로 생각된다.
본 논문에서는 이러한 피싱사이트들 중 대다수가 원시사이트와 유사하게 보이기 위해 원시사이트의 이미지, 게시글 등 컨텐츠를 피싱사이트에 링크하는 것을 이용하여 원시사이트에 유입되는 HTTP referer 헤더필드 트래픽 분석을 통해 피싱사이트를 실시간 탐지하는 시스템을 설계하고자 한다. 시스템은 데이터 수집, 분석 및 리포팅 등 일련의 과정을 실시간으로 자동화하여 실시함으로써 피싱사이트 조기 발견이 가능하며, 사후에는 수집된 로그의 분석을 통해 피셔의 IP주소 확보에도 중요한 단서를 제공해 줄 것으로 생각한다.
net 등 최상위 도메인(Top Level Domain)의 존 파일(zone file)을 후이즈(whois) 정보와 함께 데이터베이스화하여 유사도메인을 사용하는 피싱사이트를 검출하는 방안도 존재한다[12]. 이 방안은 도메인에 일정 패턴이 존재하는 피싱사이트 조기 발견에 매우 효과적이나 도메인에 일정 패턴이 존재하지 않거나 존 파일을 외부에 공개하지 않는 도메인(.cn, .ru, .in 등)을 사용하는 피싱사이트의 탐지에는 한계가 있다.
”(마침표)의 개수, 로그인 폼 존재여부로 구성된 8가지 항목을 분석하는 방법으로 100개 정상 웹 사이트와 100개 피싱사이트에 대해 실험한 결과 89% 정탐율과 1%의 오탐율을 보였다. 이 연구는 페이지 소스코드 분석을 통한 피싱사이트 탐지의 효과성을 증명하였으나, 페이지 분석에 소요되는 시간이 길며, TF-IDF 산법의 특성상 영어를 제외한 아시아국가 언어의 웹 사이트 분석에 한계점이 존재한다.

질의응답

핵심어	질문	논문에서 추출한 답변
	HTTP referer 헤더필드는 무엇을 제공하는가?	RFC2616(HTTP/1.1)[13]에 정의된 HTTP referer 헤더필드는 클라이언트가 서버로 요청을 전송할 때 해당 요청이 어떠한 소스 URL에서 참조되었는지 알려주는 기능을 제공한다. 이는 일반 웹 브라우저(인터넷익스플로러, 파이어폭스, 크롬 등)들에서 기본으로 준수하고 있으며, 링크를 통해 전송되는 모든 HTTP 요청의 헤더필드에 “Referer: 절대URI\|상대URI“ 형식으로 전송된다.
	URL 구조를 분석하여 피싱사이트를 식별하는 방안의 한계점은 무엇인가?	2%의 오탐율을 보임으로써 탐지방법의 효과성을 증명하였다. 하지만 이 방안은 공격자가 URL 패턴을 조금만 변경하여도 탐지율이 크게 저하될 수 있는 한계점이 존재한다.
	피싱사이트는 무엇을 의미하는가?	피싱사이트는 정부기관, 금융회사 등 신뢰할 수 있는 기관의 웹 사이트를 사칭하여 인터넷 사용자의 주민번호, 비밀번호, 신용카드 정보 등 개인정보를 탈취하는 악의적인 웹 사이트를 의미한다. 피셔(phisher, 피싱사이트 사기범)는 신뢰할 수 있는 기관들의 웹 사SMS 등을 발송하여 피해자들이 피싱사이트에 접속하여 개인정보를 입력하도록 유도한다.

참고문헌 (15)

R. Manning, "Phishing Activity Trends Report 1st Half 2011," Anti-Phishing Working Group, pp. 3-7, Jul. 2011.
사이버테러대응센터, "공공기관 사칭 피싱사이트 주의보 발령," http://www.police.go.kr/announce/newspdsView.do?idx97235, 2011년 7월.
한국인터넷진흥원, "웹체크 시스템," http://webcheck.kisa.or.kr/, 2010년.
Google, "Google Safe Browsing for Firefox," http://www.google.com/tools/firefox/safebrowsing/faq.html, 2007.
Microsoft, "Microsoft, Internet Explorer Phishing Filter," http://windows.microsoft.com/en-US/windows-vista/Phishing-Filter-frequently-asked-questions, Aug. 2010.
C. Ludl, S. McAllister, E. Kirda, and C. Kruegel, "On the effectiveness of techniques to detect phishing sites," DIMVA '07, pp. 20-39, Jul. 2007.
S. Garera, N. Provos, M. Chew, and Rubin, "A framework for detection and measurement of phishing attacks," WORM '07, pp. 1-8, Nov. 2007.
Y. Zhang, J. Hong, and L. Cranor, "CANTINA: A content-based approach to detecting phishing web sites," WWW '07, pp. 639-648, May 2007.
M. Jakobsson and S. Myers, Phishing and Countermeasures: Understanding the Increasing Problem of Electronic Identity Theft, Wiley, pp 48-49, Dec. 2006.
A. Kumar, "Referer Analysis - Mining for a Phisher's Traces," http://phishtrails.blogspot.com/2006/06/referer-analysis-mining-for-phishers.html, Jun. 2006.
R. Rasmussen, "Global Phishing Survey: Trends and Domain Name Use in 1H2011," Anti-Phishing Working Group, pp. 9, Nov. 2011.
사준호, "국내 피싱사이트 주요특징 및 대응방안," 금융보안연구원 이슈리포트, 20, pp 6, 2011년 11월.
R. Fielding, J. Gettys, J. Mogul, H. Frystyk, L. Masinter, P. Leach, and T. Berners-Lee, "Hypertext Transfer Protocol -- HTTP/1.1," RFC 2616, Network Working Group, Jun. 1999.
M. Still, "Python effective TLD library," http://www.stillhq.com/python/etld/000001.html, Oct. 2009.
Wikipedia, "X-Forwarded-For," http://en.wikipedia.org/wiki/X-Forwarded-For, Mar. 2012.

저자의 다른 논문 :

LOADING...

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

피싱사이트 실시간 탐지 기법
Real-time Phishing Site Detection Method 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약
AI-Helper

문제 정의

제안 방법

대상 데이터

성능/효과

후속연구

질의응답

참고문헌 (15)

이 논문을 인용한 문헌

저자의 다른 논문 :

연구과제 타임라인

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

피싱사이트 실시간 탐지 기법 Real-time Phishing Site Detection Method 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

대상 데이터

성능/효과

후속연구

질의응답

참고문헌 (15)

이 논문을 인용한 문헌

저자의 다른 논문 :

이상진 (213)

연구과제 타임라인

전체(0) 논문(0) 특허(0) 보고서(0)

전체(0) 논문(0) 특허(0) 보고서(0)

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

피싱사이트 실시간 탐지 기법
Real-time Phishing Site Detection Method 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper