[논문]인터넷 주소 등록기관을 활용한 피싱 URL 분석 연구

강지윤; 조은정; 이시형

문제 정의

본 논문에서는 악성 URL 탐지를 위해 URL의 등록 기관 및 주소를 검증하는 방법을 제시하였다. 이를 위해, 인터넷 주소 등록기관의 WHOIS 데이터베이스를 활용한다.
우리는 이러한 기존 솔루션의 문제점을 보완하는 인터넷 주소 등록기관을 통한 악성 URL 탐지 기법을 제안한다. 제안하는 방식은 인터넷 주소 등록기관의 WHOIS 데이터베이스로부터 접속지의 주소 및 등록 기관을 확인함으로써 주어진 URL의 진위 여부를 판별한다.

가설 설정

만약 공격자가 Wu 를 가장한 피싱 사이트 Wf 를 설치한 후, 사용자가 Wf에 대신 접속하도록 유도한다면, 사용자가 입력한 정보는 고스란히 공격자의 손에 들어가 악의적인 목적에 사용될 수 있다. 이와 같이 사용자가 피싱 사이트 Wf에 접속하도록 유도하는 방법은 (i)접속지 호스트네임의 변조, (ii)접속지 IP 주소의 변조가 있다. 먼저 2.

제안 방법

기존의 피싱 탐지 기법들이 본 논문에서 제안하는 Whois 기반 기법과 어떤 차이점과 유사점이 있는지 비교 분석한다.
본 장에서는 2.2절에서 기술된 기존의 탐지 솔루션들을 보완하여 2.1절에 제기된 문제들을 해결할 수 있는 인터넷 주소 등록기관을 통한 접속지 검증 기법을 제안한다.
검사한 IP 주소가 WHOIS 데이터에 정확히 등록되지 않았거나, 해당 기관의 서버가 다른 서비스 제공자의 네트워크에서 운영되는 경우도 있기 때문이다. 악성일 경우를 판별하기 위해 추가로 WHOIS 질의를 하며, 특히 수신된 메시지에 실려온 최초 URL의 등록 국가를 조사한다. 등록 국가가 한국 이외인 경우 악성일 가능성이 높은 것으로 판명한다.
이를 위해, 인터넷 주소 등록기관의 WHOIS 데이터베이스를 활용한다. 제시된 방법은 수신된 메시지 내의 웹 주소와 WHOIS의 결과로 얻은 등록기관명, 등록국가명을 비교 하여, 악성 URL 여부를 판단한다. 현재 제안된 방법을 Android 및 PC 환경에서 구현 중에 있으며, 웹 주소가 담긴 메시지를 사용자가 열람함과 동시에 메시지에서 추출된 정보를 whois정보와 비교하고, Toast기능 등을 통해 악성 URL일 가능성을 미리 알려주어 접속을 방지할 계획이다.
우리는 이러한 기존 솔루션의 문제점을 보완하는 인터넷 주소 등록기관을 통한 악성 URL 탐지 기법을 제안한다. 제안하는 방식은 인터넷 주소 등록기관의 WHOIS 데이터베이스로부터 접속지의 주소 및 등록 기관을 확인함으로써 주어진 URL의 진위 여부를 판별한다. WHOIS 데이터베이스는 인터넷 주소 등록기관에 의해 관리되므로 등록 및 정보 갱신에 소요되는 비용이 낮으며, 최종 접속지의 IP 주소를 검증하므로, IP 주소의 변조 여부도 검증 가능하다.
추가적으로, 위조 가능성이 있는 URL도 Whois 데이터베이스를 통해 소속정보를 확인해 보았다. 피해정보 사이트에 악성으로 보고된 주소 중 표 1에 나열된 기관을 언급한 32개 URL의 등록 국가를 WHOIS 데이터베이스를 통해 확인 해 보았다.

대상 데이터

① 12개의 평가 대상 사이트는 Google 검색 엔진에서 키워드 ‘은행’ 으로 검색하였을 때, 상위로 검색되는 사이트들로 선정되었다.
본 논문에서는 악성 URL 탐지를 위해 URL의 등록 기관 및 주소를 검증하는 방법을 제시하였다. 이를 위해, 인터넷 주소 등록기관의 WHOIS 데이터베이스를 활용한다. 제시된 방법은 수신된 메시지 내의 웹 주소와 WHOIS의 결과로 얻은 등록기관명, 등록국가명을 비교 하여, 악성 URL 여부를 판단한다.
본 장에서는 주소등록기관을 통한 검증의 정확도를 12개 정상 URL 및 32개 악성 URL을 대상으로 평가하였으며, 정상 URL의 경우 90% 이상의 정확도로, 악성 URL의 경우 80% 이상의 정확도로 판별해 낼 수 있음을 보았다. 정상 URL 샘플로 국내 12개 은행 사이트의 URL을 사용하였으며, 악성 URL 샘플로는 피해사례로 보고된 24개 URL을 사용하였다 [9].
다만, 한 사이트에 대해서는 판별에 도움되는 정보를 얻을 수 없었다 (하나은행 ⇨ KT1)). 표 1에 평가에 사용된 12개 은행 사이트에 대한 결과를 요약하였다.
추가적으로, 위조 가능성이 있는 URL도 Whois 데이터베이스를 통해 소속정보를 확인해 보았다. 피해정보 사이트에 악성으로 보고된 주소 중 표 1에 나열된 기관을 언급한 32개 URL의 등록 국가를 WHOIS 데이터베이스를 통해 확인 해 보았다. 확인 결과, 27개의 URL(84.

성능/효과

(iii) M 내에 주어진 URL UM과 비교하여, UG≠ UM인 경우 피싱의 가능성이 있다고 판단한다.
국내 12개 은행 사이트를 대상으로 최종 접속 IP주소의 등록기관을 확인해 보았으며, 90% 이상의 정확도로 정상 여부를 판별해 낼 수 있음을 검증할 수 있었다. 정확도 평가 방법은 다음과 같다.
①~④ 에 따른 평가 결과, 12개 은행 사이트 중 11개 사이트에 대해 위의 ③에 해당하는 결과, 즉 제안된 시스템을 사용해 ‘피싱 가능성을 탐지할 수 있음‘을 알 수있었다. 또한, 두 사이트에 대해서는 Whois를 통해 얻은 기관명이 실제 기관명과 정확히 일치하지는 않으나 피싱 가능성 판별에 도움이 되는 정보를 제공함을 볼 수 있었다 (우리카드 ⇨ 한빛은행, 신한카드 ⇨ LG카드). 다만, 한 사이트에 대해서는 판별에 도움되는 정보를 얻을 수 없었다 (하나은행 ⇨ KT1)).
본 장에서는 주소등록기관을 통한 검증의 정확도를 12개 정상 URL 및 32개 악성 URL을 대상으로 평가하였으며, 정상 URL의 경우 90% 이상의 정확도로, 악성 URL의 경우 80% 이상의 정확도로 판별해 낼 수 있음을 보았다. 정상 URL 샘플로 국내 12개 은행 사이트의 URL을 사용하였으며, 악성 URL 샘플로는 피해사례로 보고된 24개 URL을 사용하였다 [9].
제안된 Whois기반 탐지 기법의 또 다른 장점은, 등록·인증과정 없이 개방되어 사용가능한 Whois 및 DNS 서비스에 기반하므로, 제3의 인증기관을 통한 탐지에 비해 등록·인증에 소요되는 시간, 비용을 크게 줄일 수 있다.
WHOIS 데이터베이스는 인터넷 주소 등록기관에 의해 관리되므로 등록 및 정보 갱신에 소요되는 비용이 낮으며, 최종 접속지의 IP 주소를 검증하므로, IP 주소의 변조 여부도 검증 가능하다. 제안된 방식은 총 12개의 정상 URL (12개 은행 사이트) 및 32개 악성 URL을 대상으로 평가되었으며, 90% 이상의 정상 URL 및 80% 이상의 비정상 URL의 위조 여부를 정확히 판별할 수 있음을 보였다.
이들의 등록기관 역시 표 1에 나열된 등록기관이 아니었다. 즉, 제안된 방법을 통해 악성임을 판명 가능했다.
평가 결과를 요약하면, 현존하는 은행 사이트에 대해 8-90% 이상의 정확도로 피싱 여부를 탐지할 수 있음을 검증할 수 있었다. 즉, 제안된 탐지기법을 활용하면 IP 변조 공격이 진행되는 경우에도 기존 탐지기법들(2.2절)에 비해 피싱 사이트에 접속할 가능성을 크게 감소 시킬 수 있다.
하지만 다음과 같은 두 가지 문제점이 있으며, 본 논문에서 제안하는 Whois 기반 검증이 함께 사용된다면 이와 같은 문제점을 보완 할 수 있다. 첫째, DNS 스푸핑 공격시에는 접속 URL U가 정상 사이트 주소로 검증되더라도, 사용자는 여전히 피싱 사이트에 접속 할 수 있다. Google 기반 탐지는 U의 진위 여부만을 검증하나, DNS 스푸핑 공격은 이에 대응하는 IP 주소를 조작하기 때문이다.
만약 S≠O인 경우 악성 URL일 가능성이 있는 것으로 판단하고 추가 검증과정을 진행한다. 최초 제공된 웹 주소 W의 등록 기관을 Whois 데이터베이스에 질의하여, 등록 국가를 확인하며, 등록 국가가 한국 이외의 지역인 경우 악성의 가능성이 높은 것으로, 그렇지 않은 경우 악성의 가능성이 상대적으로 낮은 것으로 판명한다.
평가 결과를 요약하면, 현존하는 은행 사이트에 대해 8-90% 이상의 정확도로 피싱 여부를 탐지할 수 있음을 검증할 수 있었다. 즉, 제안된 탐지기법을 활용하면 IP 변조 공격이 진행되는 경우에도 기존 탐지기법들(2.
피해정보 사이트에 악성으로 보고된 주소 중 표 1에 나열된 기관을 언급한 32개 URL의 등록 국가를 WHOIS 데이터베이스를 통해 확인 해 보았다. 확인 결과, 27개의 URL(84.4%) 이 중국, 인도를 포함한 국외에서 등록되었음을 확인할 수 있었다. 이들의 등록기관 역시 표 1에 나열된 등록기관이 아니었다.

후속연구

반면, Whois 데이터베이스는 소규모 기관의 기관명까지 항상 명확히 제공해주지는 않으므로, 중간규모 이상의 기관 (예) /28 또는 이보다 큰 주소를 할당받은 기관) 에 대한 주소 변조 탐지에 사용이 제한될 수 있다. 따라서 Whois 데이터베이스를 이용한 탐지기법에 기존 대응방안인 검색엔진(구글)기반의 대응방안을 접목시킨다면 좀 더 효과적으로 대응할 수 있을 것으로 예측된다.
제시된 방법은 수신된 메시지 내의 웹 주소와 WHOIS의 결과로 얻은 등록기관명, 등록국가명을 비교 하여, 악성 URL 여부를 판단한다. 현재 제안된 방법을 Android 및 PC 환경에서 구현 중에 있으며, 웹 주소가 담긴 메시지를 사용자가 열람함과 동시에 메시지에서 추출된 정보를 whois정보와 비교하고, Toast기능 등을 통해 악성 URL일 가능성을 미리 알려주어 접속을 방지할 계획이다. Whois 기반 탐지는 기존대응방안에서 수행하는 호스트네임의 변조 여부에 대한 검사뿐 아니라, 최종적으로 접속이 일어나는 IP 주소에 대한 변조 검사도 동시에 수행함으로써, 호스트네임 및 IP의 변조 모두를 탐지한다는 장점이 있다.

핵심어	질문	논문에서 추출한 답변
	리스트 기반 검증에서는 무엇이 일어나면 피싱으로 판단하는가?	리스트 기반 검증에서는 기존에 보고된 피싱 사이트의 URL들을 포함해 블랙리스트(Blacklist) LB를 생성한 후, LB에 포함된 URL로 접속이 일어난다면 피싱으로 판단한다 [2]. 블랙리스트와 반대 개념으로, 화이트리스트(Whitelist) 기반 탐지 기법도 존재한다.
	WHOIS는 무엇인가?	WHOIS는 네트워크 정보 센터 (NIC)가 관리하고 있는 통신만에 관한 정보 제공 서비스로 전 세계 각 기관들이 할당 받은 (i) IP 정보 및 등록한 (ii) 호스트네임 정보를 관리한다 (예) 1.1.
	파밍공격과 같은 문제를 방지하기 위해 제안된 대표적인 검증 기법에는 무엇이 있는가?	이러한 문제를 방지하기 위해 다양한 검증 기법들이 제안되었다. 이중 대표적인 두 가지 방법은 (i) 접속지로부터 전자서명(digital signature)을 받아 정상 사이트임을 검증하거나 [2], (ii) 피해가 보고된 허위 주소의 목록을 만들에 접속지 주소를 이와 비교함으로써 악성 여부를 확인하는 것이다 [2,4]. 하지만 전자서명은 접속지가 제 3의 기관에 미리 등록된 경우만 인증 가능하며, 허위 주소의 목록 역시 접속지가 목록에 미리 등록된 경우만 악성 여부를 확인 가능하다.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

인터넷 주소 등록기관을 활용한 피싱 URL 분석 연구 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper

문제 정의

가설 설정

제안 방법

대상 데이터

성능/효과

후속연구

질의응답

참고문헌 (9)

이 논문을 인용한 문헌

저자의 다른 논문 :

관련 콘텐츠

원문 보기

원문 URL 링크

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

인터넷 주소 등록기관을 활용한 피싱 URL 분석 연구 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

가설 설정

제안 방법

대상 데이터

성능/효과

후속연구

질의응답

참고문헌 (9)

이 논문을 인용한 문헌

저자의 다른 논문 :

이시형 (1)

관련 콘텐츠

원문 보기

원문 URL 링크

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

초록
AI-Helper

AI 본문요약
AI-Helper