[논문]트래픽 분석을 통한 악성코드 감염PC 및 APT 공격탐지 방안

손경호; 이태진; 원동호

doi:10.13089/jkiisc.2014.24.3.491

초록
AI-Helper

최근, 지능화된 공격기법을 통한 사이버테러가 지속적으로 발생하고 있으며 특히, 알려지지 않은 신종 악성코드를 사용하기에 탐지 및 대응이 매우 어렵다. 본 논문에서는 대용량 데이터 분석을 통해, 악성코드 침투단계 이후에, 좀비PC와 공격자와 통신을 사전탐지, 대응하는 알고리즘 개발 및 상용환경에서 검증하였다. 향후, 알고리즘의 고도화, 대용량 데이터 처리기술 적용을 통해, APT 공격의 탐지성능이 향상될 것으로 예상한다.

Abstract ▼ AI-Helper

Recently, cyber terror has been occurred frequently based on advanced persistent threat(APT) and it is very difficult to detect these attacks because of new malwares which cannot be detected by anti-virus softwares. This paper proposes and verifies the algorithms to detect the advanced persistent th...

Recently, cyber terror has been occurred frequently based on advanced persistent threat(APT) and it is very difficult to detect these attacks because of new malwares which cannot be detected by anti-virus softwares. This paper proposes and verifies the algorithms to detect the advanced persistent threat previously through real-time network monitoring and combinatorial analysis of big data log. In the future, APT attacks can be detected more easily by enhancing these algorithms and adapting big data platform.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

2단계 준비가 완료되면, 특정 시점에 개인정보 유출, 서버파괴 등의 목적을 가진 악성코드를 추가 설치하여 원하는 목적을 달성한다. 본 논문에서는 2단계에서 이상징후를 탐지하고, 감염PC를 조치함으로써 침해사고를 사전에 예방하는 것을 목표로 한다. Fig.
본 논문에서는 특정 조직·기업 대상으로 발생하는 APT 공격을 탐지하기 위해, 악성코드 감염PC와 공격자가 운영하는 C&C서버와의 비정상 트래픽을 탐지하는 3가지 탐지 알고리즘을 제시하고, 검증을 수행하였다.
이는 대용량 보안로그를 처리하기 위한 실질적인 인프라 또는 플랫폼이 제대로 갖춰지기 이전에 연구들로 본 연구에서는 빅데이터 플랫폼을 구축해 로그의 교차·상관 분석을 검증함으로써 APT 공격을 좀 더 효율적으로 탐지하기 위한 방안을 제시하고자 한다.
이에 본 논문에서는 보안 이벤트 연관분석 기술의 장단점을 비교하고, APT공격을 효과적으로 탐지하기 위한 알고리즘을 제안하고, 제안된 알고리듬을 실제 네트웍에 대해서 그 효과를 검증한다. 본 논문의 구성은 다음과 같다.

제안 방법

NoSQL에 저장된 데이터는 이상징후 탐지로직에 따른 결과를 효과적으로 분석하기 위해 개발된 Scheme으로 Batch 작업을 통해, 이상징후 관련 정보를 조회·분석을 수행하고, 이상징후로 판단될 때 원본 데이터가 저장된 HDFS를 통해 검증을 수행한다.
대용량 네트워크 트래픽에서의 이상공격 탐지를 위해, 트래픽 수집 서버, HDFS 기반 데이터 저장을 위한 Master Node 1대, Slave Node 6대로 구성했을 때 데이터 처리성능을 측정하였다. 시험결과, 각 flow를 개별적으로 수집하면, 24,210 packets/s가 처리가능한데, 10개 패킷을 묶어서 한번에 처리할 경우, 101,748 packets/s 처리 성능을 보였다.
본 논문에서는 특정 조직·기업 대상으로 발생하는 APT 공격을 탐지하기 위해, 악성코드 감염PC와 공격자가 운영하는 C&C서버와의 비정상 트래픽을 탐지하는 3가지 탐지 알고리즘을 제시하고, 검증을 수행하였다. 또한, 1Gbps 환경에서 탐지 알고리즘 구축을 위해 HDFS 기반 플랫폼 및 배치처리를 위한 NO SQL을 이용하였다. 개발 결과물은 상용환경에서 모두 검증해야 하지만, 알고 있는 공격유형의 set을 발생시키기 어려운 한계가 있었다.
본 논문에서 제안한 시스템을 상용환경의 A업체에 적용하여, 시험결과를 도출하였다. 시험환경은 직원수가 45명 정도 수준(PC, 스마트폰 포함 약 100대)이며, 일평균 Outbound 패킷수는 14만~37만, Inbound 패킷수는 8~25만 정도이며, Outbound 트래픽에서 볼 때, Destination IP의 수는 일평균 3만~8만 정도 수준이다.
스캐닝 시도의 경우, Source IP, Destination IP가 동일하고, 각각 다른 20개 이상의 Port번호가 사용된 경우를 분석하였는데, 이번 시험환경에서는 탐지되지 않았다. 이는 대규모 빅데이터 환경에서 장기간 데이터에 대해 분석하는 것이 필요할 것으로 예상된다.
시험환경은 직원수가 45명 정도 수준(PC, 스마트폰 포함 약 100대)이며, 일평균 Outbound 패킷수는 14만~37만, Inbound 패킷수는 8~25만 정도이며, Outbound 트래픽에서 볼 때, Destination IP의 수는 일평균 3만~8만 정도 수준이다. 이러한 트래픽 환경에서 분석 서버는 5-Tuples, HTTP Request URI, HTTP Response Filetype, 세션당 PPS, BPS 등 Anomaly 탐지로직에 필요한 데이터를 추출하여 검증하였다.

성능/효과

이는 패킷의 평균크기를 576Byte로 가정해보면[20], 약 58MByte/s의 데이터 수집이 가능하였다. 1Gbps 환경에서 평균 트래픽이 40%일 경우, 3MByte/s 수준에 해당하므로, 1Gbps 환경에서 제안한 시스템이 원활히 동작함을 확인하였다.
개발된 시스템이 적용된 상용환경 A업체의 경우, 직원수가 45명 정도 수준(PC, 스마트폰 포함 약 100대)이며, 일평균 Outbound 패킷수는 14만~37만, Inbound 패킷수는 8~25만 정도이며, Outbound 트래픽에서 볼 때, Destination IP의 수는 일평균 3만~8만 정도 수준이다. 이러한 트래픽 환경에서 분석 서버는 5-Tuples, HTTP Request URI, HTTP Response Filetype, 세션당 PPS, BPS 등 Anomaly 탐지로직에 필요한 데이터를 추출한다.
대용량 네트워크 트래픽에서의 이상공격 탐지를 위해, 트래픽 수집 서버, HDFS 기반 데이터 저장을 위한 Master Node 1대, Slave Node 6대로 구성했을 때 데이터 처리성능을 측정하였다. 시험결과, 각 flow를 개별적으로 수집하면, 24,210 packets/s가 처리가능한데, 10개 패킷을 묶어서 한번에 처리할 경우, 101,748 packets/s 처리 성능을 보였다. 이는 패킷의 평균크기를 576Byte로 가정해보면[20], 약 58MByte/s의 데이터 수집이 가능하였다.

후속연구

기술적으로는 최초 악성코드 침투단계에서는 악성 URL 탐지기술, 악성URL에서 수집된 악성코드 및 이메일 첨부파일 대상 악성코드 분석기술, 악성코드 유입이 탐지될 경우, 관련된 내부 감염PC 탐지기술, 악성코드 분석을 통한 C&C(Command & Control;공격명령제어서버) 탐지 및 C&C로 접속하는 내부 감염PC 추가 탐지/조치 기술 등 조직 내부로 유입되는 전채널 대상 악성코드 탐지가 필요하다. 또한, 내부에 악성코드 감염PC를 확보한 단계에서는, 내부망 구성도 파악, 주요 시스템 접속계정 습득, 추가 악성코드 설치 등을 위해 수일에서 수개월 이상 탐색 실시함으로 조직 내 알려지지 않은 취약점/악성코드 등에 대한 탐지를 위해 대용량 보안 이벤트 연관분석을 통해 감염PC에서의 이상징후 탐지/대응 필요하다.
또한, 장기간 데이터를 안정적으로 분석하기 위해 주기적 이상징후 분석을 위한 시간주기를 설정하는 등의 배치처리 정책은 누적된 데이터의 크기, 분석 Scheme의 복잡성, 분석 요구사항, 비용 등에 따라 달라진다. 향후 빅데이터 플랫폼에서 장기간 운영하면서 이상징후 탐지할 수 있는 기술개발을 진행할 예정이다.
개발 결과물은 상용환경에서 모두 검증해야 하지만, 알고 있는 공격유형의 set을 발생시키기 어려운 한계가 있었다. 향후, APT공격에 사용된 실제 샘플을 같이 발생시켜 검증하는 과정이 필요하며, 시험결과에 대한 통계, 시각화 기능 보완이 필요하다.

질의응답

핵심어	질문	논문에서 추출한 답변
	APT공격이란?	20 사이버 테러는 공격자가 특정대상을 겨냥해 명확한 목표를 두고 지능적, 지속적으로 은밀히 공격을 가하여 정보를 수집하고 유출하는 방법인 지능형 지속위협(APT, Advanced Persistent Threat) 공격을 통해 이루어졌다. APT공격은 알려지지 않은 다양한 공격기법을 활용하여 기존이 보안솔루션(예, Anti-Virus제품 등)을 우회하고, 장기간에 걸쳐 취약점을 찾는 등을 통해 이뤄지는 공격으로 기존의 보안기술 및 제품으로 이를 찾아내고 대응하는 것은 어려운 실정이다. Fig.
	APT공격의 공통적인 특성은 무엇인가?	‘13년 3월 20일 발생한 해킹사고도 최초 해커가 피해회사의 취약한 서버 또는 직원 PC를 장악한 후, 백신업데이트 서버 등에 S/W 업데이트 파일로 위장한 악성코드(하드디스크 파괴형) 설치하고, 백신업데이트 서버는 내부 PC에 악성코드를 유포하였고, 감염된 내부 PC에서 특정 시각 이후에 하드디스크 손상을 발생시킨 전형적인 APT공격의 양상을 보였다. 이런 APT공격의 공통적인 특성으로 ⓛ HTTP 백도어 통신, ② 시스템 내부에서의 감염 확산, ③ 동시 업데이트(예: P2P), ④ SSL통신 및 USB 등을 통한 정보 수집 및 전달 형태로 APT 공격은 “탐지하지 어려운, 조용한 공격”으로 알려져 있다. 이러한 공통적인 형태에 대해 시스템 측면에서 대책을 수립하기 위해서는 먼저 조직 내의 시스템에 대한 공격의 구체적인 흐름을 분석해야 한다.
	APT 공격 프로세스는 어떠한 단계로 이루어지는가?	[1단계] APT 공격은 공격자가 내부 사용자가 방문하는 웹사이트 또는 이메일을 통해, 악성코드를 감염시켜 내부에 감염PC를 만들고, [2단계] 조직내부 네트워크 등 인프라 정보를 수집하고, [3단계] 계정정보 탈취, 악성코드 감염등을 통해 취약한 시스템·서버 등에 침입 한 후, [4단계] 공격자의 명령을 받아, 내부 정보유출 및 시스템 파괴 등의 단계로 이뤄지고 있다.

참고문헌 (20)

Elshoush, H. Tagelsir, and I. M. Osmank, "Alert correlation in collaborative intelligent intrusion detection systems - A survey," Applied Soft Computing In Press, 2011.
K. Julisch, "Mining alarm clusters to improve alarm handling efficiency," Proceedings of the 17th Annual Conference on Computer Security Applications, 2001.
S. Cheung, U. Lindqvist, and M.W. Fong, "Modeling multistep cyber attacks for scenario recognition," DARPA Information Survivability Conference and Exposition, pp.284-292, 2003.
H. Debar, and A. Wespi, "Aggregation and correlation of intrusion detection alerts," Proceedings of the International Symposium on Recent Advances in Intrusion Detection, pp.85-103, 2001.
B. Morin, L. Me, H. Debar, and M. Ducasse, "M2D2: A formal data model for IDS alert correlation," Proc. Recent Advances in Intrusion Detection, pp.115-137, 2002
P. Ning, Y. Cui, and D. Reeves, "Analyzing intensive intrusion alerts via correlation," Proceedings of the International Symposium on the Recent Advances in Intrusion Detection, pp. 74-94. 2002.
P. Ning, Y. Cui, and D.S. Reeves, "Constructing attack scenarios through correlation of intrusion alerts," Proc. ACM Conf. Computer and Comm. Security, pp. 245-254, 2002.
F. Cuppens, "Managing alerts in a multi- intrusion detection environment," 17th Annual Computer Security Applications Conference, 2001.
X. Qin, and W. Le, "Statistical causality of infosec alert data," Proceedings of Recent Advances in Intrusion Detection, 2003.
W.L. Xinzhou Qin, "Statistical causality analysis of infosec alert data," Lecture Notes in Computer Science, 2003.
A.Valdes and K. Skinner, "Probabilistic alert correlation," RAID 2001.
O.Dain and R.Cunninghan, "Building scenarios from a heterogeneous alert stream," IEEE Workshop on Information Assurance and Security, 2001.
Munsun Shin, Eunhui Kim, Hosung Mun, Keunho Ryu and Kiyoung Kim, "Data mining based alarm data analysis implementation," KCC : database 31(1), 2004.2.
F. Xiao, S. Jin and X. Li, "A novel data mining-based method for alert reduction and analysis," Journal of Network, vol. 5, no. 1, 2010, pp. 88-97.
Ning P and Cui Y (2002), "An intrusion alert correlator based on prerequisites of intrusions," TR-2002-01
S. Noel and S. Jajodia, "Correlating intrusion events and building attack scenarios through attack graph distance," In Proceedings of the 20th Annual Computer Security Applications Conference (ACSAC'04), 2004.
C. Abad, Y. Li, K. Lakkaraju, X. Yin, and W. Yurcik. "Correlation between netFlow system and network views for intrusion detection in workshop on link analysis," Counter-terrorism, and Privacy held in conjunction with the SIAM International Conference on Data Mining, 2004.
Suhyung Lee, Hyochan Bang, Byunghwan Jang and Jungchan Na, "Security event processing for effective analysis," Electronics and Telecommunications Trends, 22(1), 2007.2.
A. Rao and S. Zang, "HBase-0.20.0 performance evaluation, "http://cloudepr.blogspot.com/2009_08_01_archive.html
Rishi Sinha, et.al, "Internet packet size distributions: some observations," Technical Report ISI-TR-2007-643, USC/Information Sciences Institute, May, 2007

이 논문을 인용한 문헌

저자의 다른 논문 :

LOADING...

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

트래픽 분석을 통한 악성코드 감염PC 및 APT 공격탐지 방안
Design for Zombie PCs and APT Attack Detection based on traffic analysis 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약
AI-Helper

문제 정의

제안 방법

성능/효과

후속연구

질의응답

참고문헌 (20)

이 논문을 인용한 문헌

저자의 다른 논문 :

연구과제 타임라인

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

트래픽 분석을 통한 악성코드 감염PC 및 APT 공격탐지 방안 Design for Zombie PCs and APT Attack Detection based on traffic analysis 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

성능/효과

후속연구

질의응답

참고문헌 (20)

이 논문을 인용한 문헌

저자의 다른 논문 :

손경호 (3) 이태진 (6) 원동호 (199)

연구과제 타임라인

전체(0) 논문(0) 특허(0) 보고서(0)

전체(0) 논문(0) 특허(0) 보고서(0)

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

트래픽 분석을 통한 악성코드 감염PC 및 APT 공격탐지 방안
Design for Zombie PCs and APT Attack Detection based on traffic analysis 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper