[논문]ARP spoofing 바이러스에 감염된 단말을 효율적으로 분리하기 위한 네트워크 관리시스템의 설계

고봉구; 정성종; 조기환

doi:10.6109/jkiice.2013.17.3.641

[국내논문] ARP spoofing 바이러스에 감염된 단말을 효율적으로 분리하기 위한 네트워크 관리시스템의 설계
A Design of Network Management System for Efficiently Isolating Devices Infected with ARP Spoofing Virus 원문보기

한국정보통신학회논문지 = Journal of the Korea Institute of Information and Communication Engineering, v.17 no.3, 2013년, pp.641 - 648

고봉구 (전북대학교 정보전산원) , 정성종 (전북대학교 IT정보공학과) , 조기환 (전북대학교 컴퓨터공학부(클라우드오픈R&D센터))

초록
AI-Helper

ARP spoofing 공격은 자신의 MAC 주소를 다른 컴퓨터의 MAC인 것처럼 속이는 공격유형이다. 네트워크 장비의 상태를 관찰함으로써 ARP spoofing 바이러스에 감염 PC를 찾아내 전산망으로부터 분리하는 형태로 대응하고 있다. 그러나 전산망 관리자의 수작업에 의한 대응은 시간과 정확성에서 한계를 지닌다. 본 논문은 ARP spoofing 공격의 수작업에 의한 대응 과정을 분석하고, 관리자의 지속적인 관찰을 대체할 수 있는 네트워크 관리시스템을 제안한다. ARP 분석기와 차단명령 발송기를 설계하여 기존 시스템에 추가함으로써 더욱 빠르고 정확하게 감염 PC를 찾아내는 기반을 제공한다. 그 결과로 전산망 서비스 중단을 최소화하고 네트워크 관리의 편의성을 높인다.

Abstract ▼ AI-Helper

ARP spoofing is a typical Internet attack, in which an attacker sends data by changing his's MAC address with the other's one. Currently, this attack is usually dealt with separating the attacking PCs infected with ARP spoofing virus, by keeping network devices investigating by the network manager. However, this manual process has some limitations in time and accuracy. This paper proposes a new network management system to replace the effort of network manager who has to keep on inspecting the network. Along with designing an ARP analyzer and a disconnection notifier and adding them into the existing network management system, the proposed system provides a basement to identify and notify the PC infected by an ARP spoofing virus with fast and high accuracy. As a result, it is expected to minimize the network break off and to make easy the network management.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

먼저 일반적으로 현재 적용되고 있는 ARP spoofing 공격에 대한 대응절차를 분석하다. ARP spoofing에 감염된 PC를 식별하는 과정과, 감염됨 PC를 전산망에서 분리하여 전산망 서비스를 재개하기 위한 전산망 관리자가 수행하는 절차를 살펴본다. 다음으로 ARP 분석기를 기반으로 공격을 식별하고 원격에서 공격 PC를 분리하는 차단명령 발송기로 구성된 자동화된 네트워크 관리시스템을 설계를 제시한다.
신뢰성을 갖는 ARP 테이블 유지를 위해서는 기존 ARP 프로토콜 변경 없이는 쉽게 해결되지 않을 것으로 예상된다. 본 논문에서는 기존의 네트워크 관리시스템에 자동화 도구를 추가하여 ARP spoofing에 감염된 PC를 식별하고 전산망에서 자동적으로 분리하는 시스템을 제안하였다. 이는 전산망 서비스의 중단 시간을 최소화함을 목적으로 하고 있다.
본 논문은 네트워크 관리시스템을 기반으로 ARP spoofing 공격에 대해 효과적으로 대응하기 위한 방안을 제시한다. 먼저 일반적으로 현재 적용되고 있는 ARP spoofing 공격에 대한 대응절차를 분석하다.
또한 공격에 대한 대응 과정에서 여러 장비가 연계되고, 각종 table의 내용에 근거하여 관리자가 판단하고 차단하고 재가동하고 절차를 수행하는 관리자의 능력, 시간, 그리고 노력에 따라서 대응 결과는 다르게 된다. 이러한 전산망 관리자에 의한 수동적 대응의 한계를 해결하고자 본 논문에서는 자동화 대응을 수행하는 네트워크 관리시스템을 제시한다.

제안 방법

또한 MAC table은 VLAN, MAC Address, Type, Ports 등의 정보로 구성된다. MAC 주소의 중복여부를 구현하기 위해 ARP 분석기가 ARP table 및 MAC table 정보를 받으면 일정기준으로 정렬하여 MAC 주소를 비교하여 같은지 여부를 판단한다. 이러한 과정에서 일부만 중복되고 있는지 전체가 중복되고 있는지를 판단할 수 있다.
이는 ARP spoofing 바이러스가 해당 건물에 빠르게 확산될 것을 대비하여 즉시 감염된 PC의 고립화 및 분리가 필요하기 때문이다. 그리고 해당 건물에 백신을 원격으로 최신 버전으로 업데이트하고 바이러스 검사를 실시하고 해당 건물의 서비스 재개 여부를 판단한다.
ARP spoofing에 감염된 PC를 식별하는 과정과, 감염됨 PC를 전산망에서 분리하여 전산망 서비스를 재개하기 위한 전산망 관리자가 수행하는 절차를 살펴본다. 다음으로 ARP 분석기를 기반으로 공격을 식별하고 원격에서 공격 PC를 분리하는 차단명령 발송기로 구성된 자동화된 네트워크 관리시스템을 설계를 제시한다. 제시된 시스템은 더욱 빠르고 정확하게 감염 PC를 찾아내는 기반을 제공함으로써 전산망 서비스 중단을 최소화하고 관리의 편의성을 높이는 기반을 제공한다.
본 논문은 네트워크 관리시스템을 기반으로 ARP spoofing 공격에 대해 효과적으로 대응하기 위한 방안을 제시한다. 먼저 일반적으로 현재 적용되고 있는 ARP spoofing 공격에 대한 대응절차를 분석하다. ARP spoofing에 감염된 PC를 식별하는 과정과, 감염됨 PC를 전산망에서 분리하여 전산망 서비스를 재개하기 위한 전산망 관리자가 수행하는 절차를 살펴본다.
이러한 현실적인 제약을 완화하기 위하여 ARP spoofing 바이러스에 감염된 단말을 자동으로 분리하는 네트워크 관리시스템을 구축함으로써 작업을 빠르고 일괄적으로 수행하는 보다 적극적이고 자동화된 시스템에 대한 필요성이 최근 제시되고 있다. 본 논문에서 제안된 시스템은 여러 장비 정보를 분석하여, 판단하고, 실행하는 일련의 과정을 전산망 관리자의 직관에 의존하기 보다는 자동화 도구를 활용하는 접근이다. 제안된 네트워크 관리 시스템은 기존의 네트워크 관리시스템에 ARP 분석기과 전산망접속 차단명령 발송기를 추가함으로써 구성된다.
본 논문에서 제안된 시스템은 여러 장비 정보를 분석하여, 판단하고, 실행하는 일련의 과정을 전산망 관리자의 직관에 의존하기 보다는 자동화 도구를 활용하는 접근이다. 제안된 네트워크 관리 시스템은 기존의 네트워크 관리시스템에 ARP 분석기과 전산망접속 차단명령 발송기를 추가함으로써 구성된다.
제안한 네트워크 관리시스템은 기존에 사용하고 있는 네트워크 관리시스템에 자동화 도구를 추가하는 공격에 대응하는 접근이다. 따라서 위에서 분석한 2가지 접근에 대비하여 상대적으로 전산망 규모와 상관없이 적용될 수 있는 확장성과 범용성을 갖는다.
제안한 시스템은 공격에 대한 추후 대응을 중심으로 설계되어 본질적으로 수동적인 입장의 한계를 지닌다. 바이러스 감염을 방지하는 적극적인 수단과 제안한 시스템의 연결 방안에 대한 설계를 추가할 계획이다.

성능/효과

감염 PC가 있는 전산망에서 감염 PC를 고립함으로서 정상적인 PC는 전산망이용에 문제가 없다. 따라서, 감염PC를 발견 시 강제적으로 전산망에서 분리함으로서 정상PC 사용자에게는 바로 인터넷을 이용할 수 있게 하고, 감염 PC 사용자는 PC를 치료하여 전산망을 사용할 수 있게 함으로 장비에 대한 투자 없이 피해를 최소화 할 수 있다. 이에 수동적인 방법으로 관리자가 L2 스위치, L3 스위치, MAC 관리 장비 등 여러 장비의 상황을 파악하여 대처하였는데 이를 자동화하여 서비스 중단을 최소화하고 관리의 편의성을 높일 수 있다.
다음으로 ARP 분석기를 기반으로 공격을 식별하고 원격에서 공격 PC를 분리하는 차단명령 발송기로 구성된 자동화된 네트워크 관리시스템을 설계를 제시한다. 제시된 시스템은 더욱 빠르고 정확하게 감염 PC를 찾아내는 기반을 제공함으로써 전산망 서비스 중단을 최소화하고 관리의 편의성을 높이는 기반을 제공한다.

후속연구

그러나 ARP spoofing 공격이 발생한 이후에 대응하는 소극적인 접근 방법이다. 또한 감염된 PC를 발견하는 과정에서 전산망 및 보안에 관련된 경험과 지식이 대응의 품질에 큰 영향을 미치는 한계를 갖는다.
제안한 시스템은 공격에 대한 추후 대응을 중심으로 설계되어 본질적으로 수동적인 입장의 한계를 지닌다. 바이러스 감염을 방지하는 적극적인 수단과 제안한 시스템의 연결 방안에 대한 설계를 추가할 계획이다.
표 2는 본 연구와 유사한 기존연구들을 비교분석한 결과가 제시하고 있다. 제안한 네트워크 관리시스템은 향후IPv6, 무선랜, 다양한 mobile 단말(스마트폰, 아이패드 등 테블릿 PC, 노트북 등)을 고려하면 재설계 되어야 할 것이다.
차단할 port가 정해지면 차단명령 발송기로 port를 차단할 수 있도록 신호를 보낼 수 있다. 제안한 네트워크 관리시스템은 향후는 NAC(Network Access Control)과 연동하면 더 쉽게 구현할 수 있을 것이다.

질의응답

핵심어	질문	논문에서 추출한 답변
	ARP spoofing 공격이란?	ARP spoofing 공격은 자신의 MAC 주소를 다른 컴퓨터의 MAC인 것처럼 속이는 공격유형이다. 네트워크 장비의 상태를 관찰함으로써 ARP spoofing 바이러스에 감염 PC를 찾아내 전산망으로부터 분리하는 형태로 대응하고 있다.
	ARP 프로토콜은 어디에서 동작하는가?	즉, 공격자가 MAC 주소에 대해 묻고 응답하는 ARP 패킷을 조작하여 다른 컴퓨터의 MAC인 것처럼 속이는 공격유형이다. ARP 프로토콜은 동일한 IP 주소를 사용하는 로컬네트워크에서 동작한다. 따라서 공격자는 심각한 네트워크 트래픽을 유발하여 해당 로컬네트워크의 정상적인 통신이 불가능하게 방해하거나, 심지어는 속임을 당한 컴퓨터로 위장하여 정상적인 통신에 참여하는 효과를 기대하고 공격한다[2][12].
	ARP spoofing 공격에 어떻게 대응하고 있는가?	ARP spoofing 공격은 자신의 MAC 주소를 다른 컴퓨터의 MAC인 것처럼 속이는 공격유형이다. 네트워크 장비의 상태를 관찰함으로써 ARP spoofing 바이러스에 감염 PC를 찾아내 전산망으로부터 분리하는 형태로 대응하고 있다. 그러나 전산망 관리자의 수작업에 의한 대응은 시간과 정확성에서 한계를 지닌다.

참고문헌 (14)

인터넷침해대응센터, 인터넷 침해사고 동향 분석 및 월보, http://www.krcert. or.kr
D. Bruschi, A. Ornaghi, and E. Rosti, "S-ARP: a Secure Address Resolution Protocol," Proc. on 19th Annual Computer Security Applications, pp. 66-74, Dec. 2003
N. Hubballi, S. Biswas, S. Roopa, R. Ratti, and S. Nandi, "LAN Attack Detection using Discrete Event Systems," ISA Transactions, vol. 50, no. 1, pp. 119-300, 2011

상세보기
서우일, 박현민, 최병석, 박재현, "TCP Connection ARP Spoofing/Hijacking에 대한 탐지 및 추적에 대한 연구," 2000년도 정보통신산업진흥원 추계종합 학술발표회 논문집
신윤호, 임광혁, 임을규, "TCP/IP환경에 기반한 SCADA 시스템의 ARP Spoofing 공격 가능성 연구," 한국사이버테러정보전학회, 정보보안논문지, 제9권, 제3호, pp. 9-17, 2009. 9

상세보기
G. Hao and G. Tao, "Principle of and Protection of man-in-the-middle Attack based on ARP Spoofing," Journal of Information Processing Systems, vol. 5, no. 3, pp. 131-134. Sept. 2009

원문보기 상세보기
서우석, 전문석, "통합보안정책 알고리즘 적용에 따른 최적화 방어 시스템 구축에 관한 연구," 한국정보보호학회 논문지, 제21권, 제4호, 2011. 8
홍승표, 오명진, 이수연, 이상준 "신뢰적인 ARP 테이블의 운영을 통한 ARP 스푸핑 공격에 대한 효율적인 방어 기법," 정보과학회 논문지: 컴퓨팅의 실제 및 레터, 제17권 제1호, pp. 26-30, 2011. 1
V. Ramachandran and S. Nandi, "Detecting ARP Spoofing: An Active Technique," Proc. on ICISS, pp. 239-250, 2005
정인환, "자동노드 인식 기능을 갖는 ARP 스푸핑을 이용한 인터넷 차단기," 한국인터넷방송통신학회 논문지, 제11권, 제6호, pp. 93-106, 2011. 12

원문보기 상세보기
이승재, ARP Spoofing과 Network Sniffing 연동 공격의 탐지 및 추적에 관한 연구, 성균관대학교, 정보통신대학원, 석사학위논문, 2006
이보만, 박대우, "해외에서 Proxy Server를 연동한 우회적인 공격기법 연구," 한국해양정보통신학회 춘계학술대회 논문집, pp.432-435, 2011
J. Koo, S. Ahn, Y. Lim, and Y. Mun, "Evaluation of Network Blocking Algorithm Based on ARP Spoofing and Its Application," LNCS 3481, pp. 177-186, 2005
J. Bae, S. Ahn, and J. Chung, "Network Access Control and Management using ARP Spoofing in Various Windows Environment," Proc. on Information Science and Applications (ICISA), pp. 1-10, 2011

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증