[논문]사용자 경험을 고려한 규칙기반 악성 URL 탐지 라이브러리 개발

김보민; 한예원; 김가영; 김예분; 김형종

doi:10.13089/jkiisc.2020.30.3.481

초록
AI-Helper

악성 URL의 전송을 통한 악성코드 전파 및 불법적 정보 수집은 정보보안 분야의 가장 큰 위협 중의 하나이다. 특히, 최근 스마트폰의 보급으로 인하여 사용자들이 악성 URL에 노출될 확률이 더욱 높아지고 있다. 또한, 악성 URL을 노출 시키는 방법 역시 다양해 지고 있어서 이를 탐지하는 것이 점점 어려워지고 있다. 본 논문은 악성 URL에 대한 사용자의 경험에 대한 설문을 진행한 후, 이를 고려하여 악성 URL을 규칙기반으로 탐지하기 위한 라이브러리 개발 연구를 다루고 있다. 특히, 본 연구에서는 독자적인 규칙을 기반으로 악성 URL을 탐지 하기 위해 Rule-set을 정의하고, Rule-chain을 생성하여 악성 URL 탐지의 확장성을 제시하고 있다. 또한 어떤 애플리케이션에서도 활용이 가능한 라이브러리 형태로의 개발을 통해 다양한 응용프로그램에서 활용할 수 있도록 하였다.

Abstract ▼ AI-Helper

The malicious URLs which can be used for sending malicious codes and illegally acquiring private information is one of the biggest threat of information security field. Particularly, recent prevalence of smart-phone increases the possibility of the user's exposing to malicious URLs. Since the way of...

The malicious URLs which can be used for sending malicious codes and illegally acquiring private information is one of the biggest threat of information security field. Particularly, recent prevalence of smart-phone increases the possibility of the user's exposing to malicious URLs. Since the way of hiding the URL from the user is getting more sophisticated, it is getting harder to detect it. In this paper, after conducting a survey of the user experiences related to malicious URLs, we are proposing the rule-based malicious URL detection method. In addition, we have developed java library which can be applied to any other applications which need to handle the malicious URL. Each class of the library is implementation of a rule for detecting a characteristics of a malicious URL and the library itself is the set of rule which can have the chain of rule for deteciing more complicated situation and enhancing the accuracy. This kinds of rule based approach can enhance the extensibility considering the diversity of malicious URLs.

주제어

표/그림 (16)

그림 Fig. 1. URL from Unknown person
그림 Fig. 2. 'AtMark' Rule Class Definition
표 Table 1. HypoChain URL-based Rule
그림 Fig. 4. Operation principle of Rule-chain
그림 Fig. 3. Overrided 'rule()' method of 'ATag' Rule
표 Table 2. HypoChain HTML-based Rule
그림 Fig. 6. Code of 'TLD' Chain
그림 Fig. 5. Code of 'upperAuthority' Chain
표 Table 3. Description of Chain 1.~5.
표 Table 4. Description of Chain 6.~8.
그림 Fig. 7. Code of 'fastPage' Chain
그림 Fig. 8. Operation principle of HypoChain
표 Table 5. Description of Chain 9.
그림 Fig. 9. Method of adding new Rule
그림 Fig. 10. Code of Calling HypoChain checkURL() method
그림 Fig. 11. Outputs of Malicious Probability

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

개발 결과를 통해 ‘탐지규칙 추가의 용이성’ 및 ‘Rule-chain 생성 통한 효과성’에 대해 제시하고자 한다.
2’ 라이브러리 개발에 대한 연구과정 및 결과를 제시한다. 라이브러리 개발을 통해자바 기반의 다양한 메신저 플랫폼에 쉽게 이식할 수있도록 확장성 및 호환성을 제공하고자 한다.
WebKit API를 활용한 연구는 모바일 전용 악성 링크에 대해서 아직판별할 수 없으며[14], 기존의 모바일에서 탐지용으로 쓰이는 모바일 악성 사이트 차단 앱은 사용자가앱을 설치하지 않으면 탐지 자체가 불가능하다는 한계점이 있다. 이를 통해, 소스코드를 최대한 간결하게 구현하며, 모바일뿐만 아니라 어느 소프트웨어에서든 적용이 가능한 악성 URL 탐지 라이브러리 개발에 대한 필요성을 느껴 본 연구를 진행하였다. 악성 URL의 특징을 추출하여 이론적으로 정리해놓은선제 연구는 URL 주소 자체 및 HTML 소스코드를 기반으로 특징을 나누어 정리하고 있다[5][6].

가설 설정

본 연구는 기존의 악성 URL의 특징에 대한 신뢰성 있는 이론 연구를 바탕으로 한다는 가정하에 기술을 개발하였다. 개발 결과를 통해 ‘탐지규칙 추가의 용이성’ 및 ‘Rule-chain 생성 통한 효과성’에 대해 제시하고자 한다.

제안 방법

악성 URL의 특징을 추출하여 이론적으로 정리해놓은선제 연구는 URL 주소 자체 및 HTML 소스코드를 기반으로 특징을 나누어 정리하고 있다[5][6].HypoChain1.1.2 라이브러리는 선제 연구의 이론을 활용하여, 악성 탐지규칙 구현 및 Rule-chain체계를 완성하였다. 이는 기존 탐지 방법에 비해 코드 구현이 비교적 간단하여 최신 악성 사이트의 특징을 바로 반영할 수 있다는 효율성을 제시한다.
HypoChain1.1.2 라이브러리에 포함되어 있는Jsoup라이브러리를 이용하여 입력된 URL의 HTML데이터를 가져오는 작업을 진행한다. Jsoup 라이브러리의 JsoupAnsytTask 클래스 객체를 생성하고execute()메소드를 실행한다.
‘공유된 URL에 대한 당신의 행동 특성’이라는 제목의 설문이 진행되었으며, ‘카카오톡, 페이스북 메시지, 문자 등을 통해 상대방이 공유한 URL(링크)를받아본 경험이 있다면, 평소에 어떻게 행동하는지?’,‘악성 URL 판단을 위한 메신저상의 대화를 읽어 들일 수 있는 권한을 활용할 것인지?’에 대해 물었다.각 질문은 송신자를 잘 아는 경우(Well-knownperson), 송신자를 잘 알지 못하는 경우(Unknown person)에 대해 각각 응답을 받았으며, 두 가지 측면에서 연구의 유효성을 제시해볼 수있다.
본 논문에서는 규칙기반 지식 표현 체계를 가지고사이트의 악성 확률을 반환해주는‘HypoChain1.1.2’ 라이브러리 개발에 대한 연구과정 및 결과를 제시한다.
jar’ 형식으로 포맷팅한다. 이렇게 하여 생성된 HypoChain1.1.2 라이브러리 파일을 Android 환경에 적용하여 테스트 프로젝트를 생성하였다.

대상 데이터

4%)의 응답을 받았다. 그중SNS의 이용이 가장 활발한 20대의 응답이 주를 이루었다.
2 라이브러리의 전반적인동작 원리를 나타내고 있다. 라이브러리 개발 환경은Eclipse IDE를 활용했으며, 이는 크게 4개의 클래스및 외부 라이브러리로 나눌 수 있다.
본 연구가 시작되기 전, 연구의 필요성을 제시하기 위해 간단한 객관식 문항 5개로 이루어진 설문조사를 실시한 바가 있다. 총 167명의 설문을 받았으며, 10대(7.8%), 20대(80.8%), 30대(1.8%),40대(4.2%), 50대(5.4%)의 응답을 받았다. 그중SNS의 이용이 가장 활발한 20대의 응답이 주를 이루었다.

성능/효과

따라서, 0%의 결과는 해당 URL이 총 9개의Rule-chain 중 0개의 Rule-chain을 만족했다는 의미이고, 33%의 결과는 총 3개의 Rule-chain에 대해 충족되었다고 볼 수 있다.
’라는 문항으로 구성되었다. 설문 결과 지인의 메시지에 대해서는 61.1%가 권한을 허용하고자 하였고, 지인이 아닌 경우 66.5%로 권한을 허용한다고 하였다. 이러한 설문을 기반으로 만일 HypoChain 라이브러리의 탐지 기준을 통해 악성 URL을 100% 탐지할 수있다면, 메시지에 대한 읽기 권한을 허용한 각각61.
5%로 권한을 허용한다고 하였다. 이러한 설문을 기반으로 만일 HypoChain 라이브러리의 탐지 기준을 통해 악성 URL을 100% 탐지할 수있다면, 메시지에 대한 읽기 권한을 허용한 각각61.1%, 66.5%의 이용자에게 정확한 자동탐지 능력을 제공할 수 있다고 예측할 수 있다.
첫 번째 테스트 결과,“https://comic.naver.com/index.nhn” URL의악성 탐지 정도는 0%로 출력이 되었다.

후속연구

HypoChain은 현재 데모 버전으로 1.1.2버전 개발단계에 있지만, 추후 탐지율을 높이기 위해 최신 악성 사이트의 동향을 파악하여 Rule을 추가할 계획이다. 버전을 업그레이드하여 탐지율을 높인 다음Github과 같은 코드 공유 사이트에 라이브러리 파일을 올려 무료로 배포할 계획이다.
2버전 개발단계에 있지만, 추후 탐지율을 높이기 위해 최신 악성 사이트의 동향을 파악하여 Rule을 추가할 계획이다. 버전을 업그레이드하여 탐지율을 높인 다음Github과 같은 코드 공유 사이트에 라이브러리 파일을 올려 무료로 배포할 계획이다.
추후 Rule 추가에 따른 Rule-chain의 조합이 다양해질수록, 반환된 확률값은 더 정확해질 수 있다.

질의응답

핵심어	질문	논문에서 추출한 답변
	패턴 매칭은 무엇인가?	악성 URL을 통한 악성코드 감염 및 개인정보 침해를 방지하기 위한 많은 기존 연구들이 존재한다.한국인터넷 진흥원에서는 2005년부터 악성코드 은닉웹사이트를 탐지하기 위한 ‘MCFinder’을 사용하고있으며, 이는 악성 사이트의 은닉 기법 및 경유지,유포지 정보 등을 패턴으로 등록하여, 패턴과의 일치여부를 비교하고 탐지하는 ‘패턴 매칭’ 방식으로 구현되어있다[13]. WebKit API를 활용한 연구도 존재한다.
	Rule-chain의 내부 규칙을 통해 얻을 수 있는 점은 무엇인가?	체인은 ‘and’ 혹은 ‘or’ 조건으로 연결 될 수있으며, ‘and’ 와 ‘or’ 조건이 모두 사용될 수도 있다. 이러한 규칙의 연결을 통해 악성 URL 여부에대한 정확도를 제시하고, 탐지의 정확성을 높이게 된다.
	기존 모바일 악성 사이트 차단 앱의 한계점은?	‘MCFinder’는 최신 악성 사이트마다 특징을 모두 추출하여 ‘패턴화’해야 하므로, 소스코드를 처음부터 끝까지 구현해야 한다[13]. WebKit API를 활용한 연구는 모바일 전용 악성 링크에 대해서 아직판별할 수 없으며[14], 기존의 모바일에서 탐지용으로 쓰이는 모바일 악성 사이트 차단 앱은 사용자가앱을 설치하지 않으면 탐지 자체가 불가능하다는 한계점이 있다. 이를 통해, 소스코드를 최대한 간결하게 구현하며, 모바일뿐만 아니라 어느 소프트웨어에서든 적용이 가능한 악성 URL 탐지 라이브러리 개발에 대한 필요성을 느껴 본 연구를 진행하였다.

참고문헌 (16)

Dongwon Seo, Arindam Khan, and Heejo Lee, "A study on detecting malcodes distribution sites," Korean Information Processing Society, 15(2), pp. 1-4, Nov. 2008
Jiho Cho, "A study on smishing detection technique using taintdroid," Convergence Security Journal, 15(1), pp. 3-9, Feb. 2015
Ho-Kyoung Shin, Ji-Myoung Shin, and Ho Lee, "A study on the factors infulencing information sharing in the social network services," Journal of Information Management, 42(1), pp. 137-156, Jan, 2011
Java Jsoup Library, "Jsoup Library", https://www.jsoup.org/, Mar. 7. 2020
Core, "Phishing websites features", https://core.ac.uk/download/pdf/30732240.pdf, Mar, 2020
Wan Nurulsafawati Wan Manan, Abdul Ghani Ali Ahmed, and Mohd Nizam Mohmad Kahar, Intelligent Computing& Optimization, pp. 210-218, Springer International Publishing, Jan, 2019
Ram B.Basnet, Andrew H. Sung, and Quingzhong Liu, "Learning to detect phishing urls," International Journal of Research in Engineering and Technology, vol. 3, no. 6, pp. 11-24, June, 2014

상세보기
Yong-bum Cha, "Proactive response against smishing using shorten url," Journal of Digital Forensics, 9(1), pp. 19-31, June, 2015
Ji-sun Park, "Based on url pattern analysis preventive measures against harmful sites," Master's Thesis, Konkuk University, Nov. 2018
KISA, Malware Hidden Site Detection Trend Report[The first half of 2019], Jul, 2019
KISA, Malware Hidden Site Detection Trend Report[The second half of 2019], Jan, 2020
CJLOGITICS, "CJ Parcel Service", https://www.cjlogistics.com/ko/newsroom/notice/NR_00000010, Mar. 7, 2020
Jeong-Wu Ha, Hyu-Kang Kim, Jong-in Lim, "Research on malicious code hidden website detection method through whitelist-based malicious code behavior analysis," Journal of The Korea Institute of Information Security and Cryptology(JKIISC), 21(4), pp. 61-75, Aug. 2011
Jae-Kyung Park, "A study of realtime malware url detection & prevention in mobile environment," Journal of The Korea Society of Computer and Information, 20(6), pp. 37-42, June. 2015
Anhlab, "V3 mobile security," https://www.ahnlab.com/kr/site/product/productView.do?prodSeq19, Mar 25, 2020
Pill App, "EST Security",https://www.estsecurity.com/, Mar. 26, 2020

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

사용자 경험을 고려한 규칙기반 악성 URL 탐지 라이브러리 개발
Development of Rule-Based Malicious URL Detection Library Considering User Experiences 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

주제어

표/그림 (16)

표/그림 (16)

AI 본문요약
AI-Helper

문제 정의

가설 설정

제안 방법

대상 데이터

성능/효과

후속연구

질의응답

참고문헌 (16)

이 논문을 인용한 문헌

저자의 다른 논문 :

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

사용자 경험을 고려한 규칙기반 악성 URL 탐지 라이브러리 개발 Development of Rule-Based Malicious URL Detection Library Considering User Experiences 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

주제어

표/그림 (16) 모든 표/그림 보기

표/그림 (16) 슬라이드로 보기

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

가설 설정

제안 방법

대상 데이터

성능/효과

후속연구

질의응답

참고문헌 (16)

이 논문을 인용한 문헌

저자의 다른 논문 :

김형종 (37)

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

사용자 경험을 고려한 규칙기반 악성 URL 탐지 라이브러리 개발
Development of Rule-Based Malicious URL Detection Library Considering User Experiences 원문보기

초록
AI-Helper

표/그림 (16)

표/그림 (16)

AI 본문요약
AI-Helper