[논문]의사결정트리 기반 머신러닝 기법을 적용한 멜트다운 취약점 동적 탐지 메커니즘

이재규; 이형우

doi:10.22156/cs4smb.2018.8.6.209

초록
AI-Helper

본 논문은 동적 샌드박스 도구를 이용하여 최근 급증하고 있는 멜트다운(Meltdown) 악성코드를 사전에 검출 및 차단하는 방법을 제시하였다. 멜트다운 공격 취약점에 대한 패치가 일부 제공되고 있으나 여전히 해당 시스템의 성능 저하 등의 이유로 의도적으로 패치를 적용하지 않는 경우가 많다. 이와 같이 적극적인 패치가 적용되지 않은 인프라를 위해 머신러닝 기법을 이용하여 기존의 시그니처 탐지 방식의 한계를 극복하는 방법을 제시하였다. 우선 멜트다운의 원리를 이해하기 위해 가상 메모리, 메모리 권한 체크, 파이프 라이닝과 추측 실행, CPU 캐시 등 4가지의 운영체제 구동 방식을 분석하고 이를 토대로 멜트다운 악성코드에 리눅스 strace 도구를 활용하여 데이터를 추출하는 메커니즘을 제공하였으며 이를 기반으로 의사 결정 트리 기법을 적용하여 멜트다운 악성코드를 판별하는 메커니즘을 구현하였다.

Abstract ▼ AI-Helper

In this paper, we propose a method to detect and block Meltdown malicious code which is increasing rapidly using dynamic sandbox tool. Although some patches are available for the vulnerability of Meltdown attack, patches are not applied intentionally due to the performance degradation of the system....

In this paper, we propose a method to detect and block Meltdown malicious code which is increasing rapidly using dynamic sandbox tool. Although some patches are available for the vulnerability of Meltdown attack, patches are not applied intentionally due to the performance degradation of the system. Therefore, we propose a method to overcome the limitation of existing signature detection method by using machine learning method for infrastructures without active patches. First, to understand the principle of meltdown, we analyze operating system driving methods such as virtual memory, memory privilege check, pipelining and guessing execution, and CPU cache. And then, we extracted data by using Linux strace tool for detecting Meltdown malware. Finally, we implemented a decision tree based dynamic detection mechanism to identify the meltdown malicious code efficiently.

주제어

표/그림 (15)

그림 Fig. 1. CVE-2017-5754 Detail
그림 Fig. 2. Intel, AMD CPU Interrupt rollback point
그림 Fig. 3. Meltdown Attack Flowchart
그림 Fig. 4. Meltdown attack Assembly language(x86)
그림 Fig. 5. cache Locality of reference
그림 Fig. 6. Physical Memory and Virtual Memory
그림 Fig. 7. x86_64 linux kernel map
그림 Fig. 8. page fault handler
그림 Fig. 9. Page Fault Handler
그림 Fig. 10. open_process.py
그림 Fig. 11. Meltdown Attack Detection Result
그림 Fig. 12. filter_addr.py
그림 Fig. 13. Meltdown attack detection with decision tree
표 Table 1. Threshold value variation with load
표 Table 2. Signature vs Heuristic vs Decision Tree

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

취약점 패치 버전이 등장하였으나 성능 저하의 이유로 내부 시스템 혹은 성능에 영향이 민감한 IoT 장비에 대해서는 의도적으로 패치를 실행하지 않는 경우가 많다. 따라서 패치가 되지 않은 인프라를 위해 의사 결정 트리기반 머신러닝 기법을 적용하여 멜트다운 취약점을 동적으로 탐지하며 기존 시그니처 탐지 방식의 한계를 극복하는 방법을 제시하고자 한다.
본 논문에서는 의사 결정 트리 기반 머신러닝 기법을 적용하여 기존 시그니처 탐지 방식의 한계를 극복하는 방법을 제시하였다. 리눅스 strace 도구를 활용하여 멜트다운 기반 악성코드로부터 추출되는 데이터를 탐지한 다음, python 기반 휴리스틱 기법을 사용한 탐지 스크립트를 개발하였다.
이에 본 논문에서는 멜트다운 악성코드를 동적으로 탐지하기 위해 일차적으로 샌드박스에서 사전에 차단하는 방법을 제시하였다. 또한 검출 성능을 향상시키기 위해서 의사결정트리 기반 머신러닝 기법을 적용하였다.

제안 방법

strace, ps 명령어를 사용하여 탐지 도구를 제작 하였다. process_list.py는 현재 실행 중인 프로세스들의 pid를 가져 오도록 구현하였고, open_process.py는 프로세스를 strace로 추적하여 SEGV_MAPERR가 발생 하는지 확인하며, filter_addr.py는 SEGV_MAPERR가 발생한 주소가 커널 영역인지 그리고 주기적으로 발생하는지 또한 인접한 주소들에서 발생하는지 확인하도록 구현하였다. Fig.
strace, ps 명령어를 사용하여 탐지 도구를 제작 하였다. process_list.
리눅스 strace 도구를 활용하여 멜트다운 기반 악성코드로부터 추출되는 데이터를 탐지한 다음, python 기반 휴리스틱 기법을 사용한 탐지 스크립트를 개발하였다. 그리고 악성코드에 대해서 X축 변수에 커널 참조 값, y축 변수에 참조 회수를 설정 한 다음 의사결정 트리를 이용하여 멜트다운 여부를 결정하는 임계치를 측정하는 더욱더 개선된 메커니즘을 제시하였다. 마지막으로 부하 테스트를 통해 프로세스 스위치가 많은 상황에서 임계치가 올라가는 것을 확인하였고 시그니처 기반 탐지[8] 및 휴리스틱 기반 탐지 방법[9]과 본 연구에서 제시한 결정트리 기반 탐지 방식을 각각 비교하였다.
먼저 si_addr이 커널 영역인지 확인한다. 그리고 주기적으로 발생하는지를 확인한다. 마지막으로 si_addr에 나타나는 주소들이 인접해 있는지 확인한다.
이에 본 논문에서는 멜트다운 악성코드를 동적으로 탐지하기 위해 일차적으로 샌드박스에서 사전에 차단하는 방법을 제시하였다. 또한 검출 성능을 향상시키기 위해서 의사결정트리 기반 머신러닝 기법을 적용하였다. 취약점 패치 버전이 등장하였으나 성능 저하의 이유로 내부 시스템 혹은 성능에 영향이 민감한 IoT 장비에 대해서는 의도적으로 패치를 실행하지 않는 경우가 많다.
본 논문에서는 의사 결정 트리 기반 머신러닝 기법을 적용하여 기존 시그니처 탐지 방식의 한계를 극복하는 방법을 제시하였다. 리눅스 strace 도구를 활용하여 멜트다운 기반 악성코드로부터 추출되는 데이터를 탐지한 다음, python 기반 휴리스틱 기법을 사용한 탐지 스크립트를 개발하였다. 그리고 악성코드에 대해서 X축 변수에 커널 참조 값, y축 변수에 참조 회수를 설정 한 다음 의사결정 트리를 이용하여 멜트다운 여부를 결정하는 임계치를 측정하는 더욱더 개선된 메커니즘을 제시하였다.
그리고 악성코드에 대해서 X축 변수에 커널 참조 값, y축 변수에 참조 회수를 설정 한 다음 의사결정 트리를 이용하여 멜트다운 여부를 결정하는 임계치를 측정하는 더욱더 개선된 메커니즘을 제시하였다. 마지막으로 부하 테스트를 통해 프로세스 스위치가 많은 상황에서 임계치가 올라가는 것을 확인하였고 시그니처 기반 탐지[8] 및 휴리스틱 기반 탐지 방법[9]과 본 연구에서 제시한 결정트리 기반 탐지 방식을 각각 비교하였다. 비교 결과 본 연구에서 제시한 기법은 기존 검출 방법과 달리 의사 결정 트리 방식 기반으로 구동하여 Hash bypass 및 Access count bypass 문제점을 해결할 수 있다는 것을 확인할 수 있었고, 따라서 기존 기법보다 향상된 검출 성능을 제공한다.

이론/모형

몇몇 입력 변수를 바탕으로 목표 변수의 값을 예측하는 모델을 생성하는 것이 결정트리의 목표이다. 결정트리를 구성하는 각 노드에서 최적의 부분값을 찾아내기 위해 휴리스틱 기법을 사용한다.

성능/효과

4) 필터링 결과 만약 멜트다운 악성 프로세스라면 "meltdown"을 출력한다.
따라서 이 경우 파일시스템 I/O 쪽에서 영향을 크게 받을 것으로 예상되며, 리눅스 OS 패치 전후의 테스트 결과에 따르면 성능이 절반 이하로 크게 감소한 경우도 보고되었으며, SQL DB와 컴파일러, 데이터베이스 서버 등에서 성능 저하가 크게 나타나는 것으로 알려졌다.
마지막으로 부하 테스트를 통해 프로세스 스위치가 많은 상황에서 임계치가 올라가는 것을 확인하였고 시그니처 기반 탐지[8] 및 휴리스틱 기반 탐지 방법[9]과 본 연구에서 제시한 결정트리 기반 탐지 방식을 각각 비교하였다. 비교 결과 본 연구에서 제시한 기법은 기존 검출 방법과 달리 의사 결정 트리 방식 기반으로 구동하여 Hash bypass 및 Access count bypass 문제점을 해결할 수 있다는 것을 확인할 수 있었고, 따라서 기존 기법보다 향상된 검출 성능을 제공한다.
실시간 meltdown 탐지를 위해 (1) 현재 실행중인 프로세스에 strace로 attach하고, (2) attach 후 일정시간 동안 발생한 시그널 데이터를 추출하며, (3) 의사결정트리기반 머신러닝 기법을 적용하여 나온 임계치를 filter_addr.py에 적용하였으며 최종적으로 멜트다운 공격을 판별할 수 있었다. 향후 서버 부하 또는 스펙에 따른 모델을 각각 만들어 샌드박스에 적용한다면 더욱더 개선된 탐지가 가능할 것이다.

후속연구

py에 적용하였으며 최종적으로 멜트다운 공격을 판별할 수 있었다. 향후 서버 부하 또는 스펙에 따른 모델을 각각 만들어 샌드박스에 적용한다면 더욱더 개선된 탐지가 가능할 것이다.

질의응답

핵심어	질문	논문에서 추출한 답변
	시그널이란 무엇인가?	멜트다운 공격은 권한이 없는 영역에 접근을 시도하기 때문에 시그널이 발생할 수밖에 없다. 시그널이란 프로세스 또는 프로세스 그룹간 통신을 위해 사용하는 통신 기법중 하나이다. Fig.
	휴리스틱 탐지의 문제점은 무엇인가?	휴리스틱 탐지는 임계치를 엔지니어 임의로 설정하기에 접근 시도 회수를 변경하면 우회가 가능하다. 하지만 결정트리는 서버에 부하, 스펙에 맞는 모델을 제시하기에 커널 주소 접근 시도 회수 임계치 변경에 따른 우회를 막을 수 있다.
	멜트다운 취약점이 AMD와는 달리 Intel CPU에서만 발생하는 이유는 무엇 때문인가?	멜트다운 취약점은 Intel CPU 기반 시스템에서 주로 발생하고 AMD CPU에서 발생하지 않는다. 그 이유는 두 기업의 비순차적 명령어 처리(Out-of-order Execution)기술의 차이에서 발생한다. 두 기업 모두 명령어의 처리율을 높이기 위해 각각의 명령어를 병렬로 구동시켜 처리 흐름을 유지하는 파이프 라이닝(Pipe lining) 기술을 사용한다.

참고문헌 (12)

M. Lipp. et al. (2018). "Meltdown: Reading Kernel Memory from User Space. https://meltdownattack.com/meltdown.pdf.
CVE-2017-5754 Detail, NIST (2017). https://nvd.nist.gov/vuln/detail/CVE-2017-5754.
paboldin. (2018). meltdown-exploit. github. https://github.com/paboldin/meltdown-exploit.
Timing attack, WIKIPEDIA. (2018). https://en.wikipedia.org/wiki/Timing_attack.
S. J. Paek & J. M. Choi. (2015). Linux Kernel Internal, ArtStudio Book.
Recommendation for countermeasures against OpenSSL vulnerability (HeartBleed). KrCert, https://www.krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence20884.
Decision tree learning, WIKIPEDIA. (2018).https://en.wikipedia.org/wiki/Decision_tree_learning.
I. Erez, M. Daniel, A. Yoav, G. Aviv & O. Ben. (2018). Detection of the Meltdown and Spectre Vulnerability. Check Point Research. https://research.checkpoint.com/detection-meltdown-spectre-vulnerabilities-using-checkpoint-cpu-level-technology/
Code Pierce. (2018). Detecting Spectre and Meltdown Using Hardware Performance Counters. ENDGAME Online Website (Our Blog). https://www.endgame.com/blog/technical-blog/detecting-spectre-and-meltdown-using-hardware-performance-counters
S. Hong & Y. J. Seo. (2016). Countermeasure of Sniffing Attack: Survey. Journal of Convergence Society for SMB, 6(2), 31-36. DOI : 10.22156/CS4SMB.2016.6.2.031

원문보기 상세보기
H. J. Mun, S. H. Choi & Y. C. Hwang. (2016). Effective Countermeasure to APT Attacks using Big Data. Journal of Convergence Society for SMB, 6(1), 17-23. DOI : 10.22156/CS4SMB.2016.6.1.017

원문보기 상세보기
M. S. Gu1 & Y. Z. Li. (2015). A Study of Countermeasures for Advanced Persistent Threats attacks by malicious code. Journal of Convergence Society for SMB, 5(4), 37-42.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

의사결정트리 기반 머신러닝 기법을 적용한 멜트다운 취약점 동적 탐지 메커니즘
Meltdown Threat Dynamic Detection Mechanism using Decision-Tree based Machine Learning Method 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

주제어

표/그림 (15)

표/그림 (15)

AI 본문요약
AI-Helper

문제 정의

제안 방법

이론/모형

성능/효과

후속연구

질의응답

참고문헌 (12)

이 논문을 인용한 문헌

저자의 다른 논문 :

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

연관된 기능

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

의사결정트리 기반 머신러닝 기법을 적용한 멜트다운 취약점 동적 탐지 메커니즘 Meltdown Threat Dynamic Detection Mechanism using Decision-Tree based Machine Learning Method 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

주제어

표/그림 (15) 모든 표/그림 보기

표/그림 (15) 슬라이드로 보기

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

이론/모형

성능/효과

후속연구

질의응답

참고문헌 (12)

이 논문을 인용한 문헌

저자의 다른 논문 :

이형우 (78)

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

연관된 기능

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

의사결정트리 기반 머신러닝 기법을 적용한 멜트다운 취약점 동적 탐지 메커니즘
Meltdown Threat Dynamic Detection Mechanism using Decision-Tree based Machine Learning Method 원문보기

초록
AI-Helper

표/그림 (15)

표/그림 (15)

AI 본문요약
AI-Helper