[논문]공공기관 실제 사례로 보는 랜섬웨어 탐지 방안에 대한 연구

박용주; 김휘강

doi:10.13089/jkiisc.2023.33.3.499

공공기관 실제 사례로 보는 랜섬웨어 탐지 방안에 대한 연구
A Study on Ransomware Detection Methods in Actual Cases of Public Institutions 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.33 no.3, 2023년, pp.499 - 510

박용주 (고려대학교 정보보호대학원) , 김휘강 (고려대학교 정보보호대학원)

초록
AI-Helper

최근 지능적이고 고도화된 사이버 공격은 악성코드가 포함된 파일을 이용하여 공공기관의 전산망을 공격하거나 정보를 유출하는 공격으로 그 피해가 커지고 있다. 다양한 정보 보호시스템이 구축된 공공기관에서도 기존의 시그니처 기반이나 정적 분석을 기반으로 하는 악성코드 및 랜섬웨어 파일 탐지하는 방식을 사용하는 경우는 알려진 공격은 탐지가 가능하나 알려지지 않은 동적 및 암호화 공격에 대해서는 취약하다. 본 연구에서 제안하는 탐지 방안은 공공기관에서 실제로 사용하는 정보보호시스템 중 악성코드 및 랜섬웨어를 탐지할 수 있는 시스템의 탐지 결과 데이터를 추출한 후 결합하여 여러 가지 속성을 도출해 내고, 머신러닝 분류 알고리즘을 통해 도출한 속성들이 어떻게 분류되고 어떤 속성이 분류 결과와 정확도 향상에 중대한 영향을 미치는지 실험을 통해 결과를 도출한다. 본 논문의 실험 결과에서는 특정 속성이 포함된 경우와 포함되지 않은 경우 알고리즘마다 상이하지만, 특정 속성이 포함된 학습에서는 정확도가 높아지는 결과를 보였으며 추후 정보보호시스템의 랜섬웨어 파일 및 이상행위 탐지 알고리즘 제작 시 속성 선택에 활용할 수 있을 것으로 기대한다.

Abstract ▼ AI-Helper

Recently, an intelligent and advanced cyber attack attacks a computer network of a public institution using a file containing malicious code or leaks information, and the damage is increasing. Even in public institutions with various information protection systems, known attacks can be detected, but unknown dynamic and encryption attacks can be detected when existing signature-based or static analysis-based malware and ransomware file detection methods are used. vulnerable to The detection method proposed in this study extracts the detection result data of the system that can detect malicious code and ransomware among the information protection systems actually used by public institutions, derives various attributes by combining them, and uses a machine learning classification algorithm. Results are derived through experiments on how the derived properties are classified and which properties have a significant effect on the classification result and accuracy improvement. In the experimental results of this paper, although it is different for each algorithm when a specific attribute is included or not, the learning with a specific attribute shows an increase in accuracy, and later detects malicious code and ransomware files and abnormal behavior in the information protection system. It is expected that it can be used for property selection when creating algorithms.

주제어

표/그림 (12)

그림 Fig. 1. Network diagram
표 Table 1. Representative system by section
그림 Fig. 2. Various logs from Security Systems
그림 Fig. 3. Machine learning produces
표 Table 2. Delete word
표 Table 3. Feature Extraction
표 Table 4. Detailed properties
표 Table 5. Dataset
표 Table 6. Classification evaluation metrics
표 Table 7. Performance comparison of machine learning algorithms(NOT Included sip, dip, id)
표 Table 8. Performance comparison of machine learning algorithms(Included sip, dip, id)
그림 Fig. 4. Future detection system

AI 본문요약
AI-Helper

문제 정의

본 논문은 기관에서 운영 중인 이기종 보안시스템의 로그 데이터를 결합하여 데이터셋을 만들고 이를 기반으로 보안시스템이 악성파일을 탐지한 결과의 오용탐지, 미탐지 분류를 위한 가장 최적의 속성을 찾아낸다. 이를 위해 대표적인 분류 알고리즘을 통해 보안시스템에서 악성코드 및 랜섬웨어를 탐지한 결과를 정상과 비정상 조건 관계 분석하여 악성파일 탐지 정확도를 결정할 수 있는 방안을 제안한다.
본 연구에서는 파일 또는 URL을 분석하거나 특정 알고리즘의 정확도 분석이 아닌 악성코드 및 랜섬웨어를 탐지할 때 여러 정보보안시스템에서 발생한 탐지 데이터를 추출해 결합한 다음 그 데이터를 활용하여 속성을 도출해 내고 어떠한 속성 조합이 탐지 정확도를 높이는지 확인하고자 한다. 그 방법으로 이 기종 정보보안시스템에서 결합한 데이터를 전처리를 통해 학습시킬 데이터를 만들고, 속성들의 조합을 상이하게 알고리즘에 적용함으로써 그 결과 값을 통해 최상의 속성 조합을 찾아낸다.

제안 방법

이기종 시스템 간의 로그는 내용이 모두 다르고 수집하는 형태가 다르기 때문에 가급적 공통으로 포함된 데이터를 속성으로 선정했으며, [Table 4]와 같이 속성이 분류되었다. 각 시스템 로그에서 공통으로 기록하고 있는 탐지 날짜, 출발지 IP(송신지), 목적지IP(피해PC), 부서, 직위, 직원(수신자) 사원번호, 직원(수신자) 이름, 탐지 파일 이름을 선정하고 관련 시스템, 감염 타입을 따로 지정해 분류해 주었다.
본 논문에서 제안하는 랜섬웨어 탐지 방안은 현재 기관에서 운영 중인 보안시스템 중Spam-filter, Anti-Virus, Malicious URLfilter, File-Transfer system, Ramsomware detection system의 랜섬웨어 및 악성코드 탐지 로그를 수집된 데이터의 용량에 따라1년 사이의 (2021년 ~2022년) 기간으로 설정하여 추출한다.
본 논문에서는 보안시스템의 악성코드 탐지 및 차단 능력을 확인하기 위해 기관에서 운영 중인 시스템의 로그를 추출 후 JOIN을 통해 통합 데이터셋을 만들고, 그 속성 중 최적의 성능을 낼 수 있도록 세분화하여 분류 알고리즘을 통해 학습하였으며, 실제 기관에서 악성코드에 감염된 데이터를 기반으로 검증하는 작업을 수행했다.
본 논문에서는 사이버 위협이 증가하고 있는 현시대에 정부의 정책을 준수해야하는 공공기관이 정보 보안 체계를 적절하게 유지하고 있다는 가정하에 보안시스템들의 로그 내용을 바탕으로 탐지 능력을 확인하고, 문제점을 도출한 뒤 탐지 능력을 높이는 방법을 제안했다.
머신러닝 학습에서 학습 성과를 높이기 위해서는 속성 선택이 중요하다. 본 연구에서는 알고리즘별 정확도를 높이기 위한 속성 선택을 위해 결합한 데이터의 속성들의 상관관계를 분석했다. 분석에 사용한 Attribute Evaluator는 ReliefAttributeEval이며, 속성의 연관성을 평가하기 위해 인스턴스 기반의 학습을 이용하는 Relief를 이용해 속성 선택 방법이다.
본 논문은 기관에서 운영 중인 이기종 보안시스템의 로그 데이터를 결합하여 데이터셋을 만들고 이를 기반으로 보안시스템이 악성파일을 탐지한 결과의 오용탐지, 미탐지 분류를 위한 가장 최적의 속성을 찾아낸다. 이를 위해 대표적인 분류 알고리즘을 통해 보안시스템에서 악성코드 및 랜섬웨어를 탐지한 결과를 정상과 비정상 조건 관계 분석하여 악성파일 탐지 정확도를 결정할 수 있는 방안을 제안한다.
정상(Nomal)과 비정상(Abnomal)의 분류는 보안시스템에서 허가되거나(Allow) 일반 파일 및 URL이라고 분류된 내역에 대해 정상 판정을 하였고, 탐지내역 중 악성파일, 멀웨어, 악성 URL 등 허가되지 않은(Deny) 탐지내역에 대해선 비정상 판정을 하였다.

대상 데이터

기관의 네트워크 구성은 크게 인터넷 영역, 망 연계 영역, 내부망(업무망) 영역으로 나눌 수 있으며, 다양한 보안시스템으로 이루어져 있지만 본 논문에서는 시그니처 기반으로 악성파일을 탐지할 수 있는 시스템의 로그를 연구 데이터로 사용했다. Fig.
본 논문에서 과적합을 방지하고 최적화된 성능을 발휘하기 위해 3장에서 전처리한 데이터 중 8개의 속성을 추출하였다. 이기종 시스템 간의 로그는 내용이 모두 다르고 수집하는 형태가 다르기 때문에 가급적 공통으로 포함된 데이터를 속성으로 선정했으며, [Table 4]와 같이 속성이 분류되었다.
실험에 사용한 연구데이터는 현재 운영 중인 보안시스템 로그를 사용하였으며, 지도학습 알고리즘은 중 WEKA의 분류 알고리즘을 선택했다. 연구데이터 셋 속성에서 단순 탐지명, 파일 이름 등을 사용한 데이터에서는 비교적 낮은 정확도를 보여주었으며, 발신자의 ip, 수신자의 ip, 직원의 사번, 이름 등의 고유성을 가진 속성을 추가하여 학습시킨 결과에서는 높은 정확도를 보여주었다.

데이터처리

구성된 학습 데이터를 각 분류 알고리즘에 대해 10-폴드 교차검증(10-fold cross validation)으로 성능 평가를 수행하였다. 비교분석을 위한 알고리즘은 WEKA에 탑재된 J48, JRip, IBk, LibSMV, NavieBayes 5개 알고리즘을 사용했다.

이론/모형

구성된 학습 데이터를 각 분류 알고리즘에 대해 10-폴드 교차검증(10-fold cross validation)으로 성능 평가를 수행하였다. 비교분석을 위한 알고리즘은 WEKA에 탑재된 J48, JRip, IBk, LibSMV, NavieBayes 5개 알고리즘을 사용했다. 또한 Malicious-site filter의 경우 접속 빈도가 너무 높아 동일 URL이 초당 몇천 건씩 발생하고, 랜섬웨어 탐지의 경우는 반대로 탐지 및 차단 빈도가 낮은 점을 고려해 데이터의 양을 조정했다.
첫 번째, 트리 분류기(Tree classifier)는 결정트리 학습법을 사용하며 어떠한 값에 대한관측값과 목푯값을 연결해주는 예측 모델로 결정트리를 사용한다. 대표적인 알고리즘은 ID3, C5.
학습 및 검증, 테스트하며 모델 분류의 정확도를 판단하기 위해 정확도(Accuracy), TP Rate(True Positive Rate), FP Rate (False Positive Rate), 정밀도(Precision), 재현율(Recall), F-measure(F1-score) 지표를 활용하여 예측모형별 성능을 측정 분석하고, 예측 유효성은 TP Rate, FP Rate, Accuracy, Recall, Precision, F-measure, ROC(Receiver Operating Characteristic) Area를 평가지표로 활용한다.

성능/효과

따라서 [Table 7]의 제안 알고리즘 중 J48, JRip이 좋은 성능을 보여주고 있지만 공격자나 피해자를 구분할 수 있는 고유 속성을 제외하고 결과를 측정한 결과 전반적으로 낮은 수치의 정확도를 보여주고 있으며 이는 탐지 패턴을 분류할 때 사용하는 분류 항목과 악성 파일명이 한정되어 있고, 탐지한 내역을 분류하는데 단순 탐지한 내역의 시그니처 매칭으로는 정확도가 낮다는 것을 보여준다.
실험에 사용한 연구데이터는 현재 운영 중인 보안시스템 로그를 사용하였으며, 지도학습 알고리즘은 중 WEKA의 분류 알고리즘을 선택했다. 연구데이터 셋 속성에서 단순 탐지명, 파일 이름 등을 사용한 데이터에서는 비교적 낮은 정확도를 보여주었으며, 발신자의 ip, 수신자의 ip, 직원의 사번, 이름 등의 고유성을 가진 속성을 추가하여 학습시킨 결과에서는 높은 정확도를 보여주었다. 실험에서 도출된 결과를 보면 공격자가 이메일, 악성파일 유포 URL, 파일명 등은 수정 용이하고 시그니처 패턴을 우회할 수 있는 다양한 형태로 수정할 수 있기 때문에 탐지에 어려움이 있다.
하지만 공격하는 곳이나 피해받는 곳의 고유 속성을 적용한 결과 기존 속성보다 분류 정확도를 향상시킬 수 있었다. 이러한 결과는 현재 이기종의 시스템이 다중으로 보호하는 형태로 구간별 탐지 및 차단하고 있지만 머신러닝 실험을 통해 확인한 결과 단순 비교 탐지는 오용탐지 및 미탐지 내역을 가지고 있다는 것을 보았다. 이는 앞으로 시그니처 기반의 보안시스템이 가지고 있는 한계를 극복하기 위해 발신자나 주로 공격당하는 직원의 정보를 이용해 이 상행위를 탐지하고, 공격당하더라도 사후 대응을 위한 체계를 구축해 대응해야 한다.
실험에서 도출된 결과를 보면 공격자가 이메일, 악성파일 유포 URL, 파일명 등은 수정 용이하고 시그니처 패턴을 우회할 수 있는 다양한 형태로 수정할 수 있기 때문에 탐지에 어려움이 있다. 하지만 공격하는 곳이나 피해받는 곳의 고유 속성을 적용한 결과 기존 속성보다 분류 정확도를 향상시킬 수 있었다. 이러한 결과는 현재 이기종의 시스템이 다중으로 보호하는 형태로 구간별 탐지 및 차단하고 있지만 머신러닝 실험을 통해 확인한 결과 단순 비교 탐지는 오용탐지 및 미탐지 내역을 가지고 있다는 것을 보았다.

후속연구

그 외에도 Java 기반으로 만들어진 WEKA 프로그램을 통해 실험을 진행함에 따라 다양한 라이브러리 적용이나 전처리 과정, 메모리 부족 등의 제한이 있었다. 추후에는 파이썬(Python), 아나콘다3(Anaconda3), 판다스(Padas) 등 머신러닝 툴을 활용해 실시간 악성URL 탐지 학습, 동적분석을 통한 랜섬웨어 파일 분석 등을 연구할 필요가 있다.
또한 랜섬웨어를 탐지하고 분석하는 대부분의 연구들은 악성코드를 포함하고 있는 파일을 리버싱을 통해 특성을 파악하고 행동을 분석하거나 사이트 URL과 같은 유입경로를 분석하여 탐지되는 경로의 특성을 찾아낸다. 하지만 이러한 연구들은 기존에 공개된 악성코드나 랜섬웨어 파일이거나 알려진 악성 URL 주소를 분석하는 연구로 이상 탐지나 새로운 형태의 공격 분석에는 한계가 있다.

참고문헌 (19)

Korea Internet & Security Agency,"？2021 Information Security Survey Report," Jan. 2021.
Tae ho Kim, "Feature Selection Optimization in Unsupervised Learning for Insider threat Detection,"？Korea University master thesis, Jun.2018.
Hong Koo Kang, Sam Shin Shin, Dae Yeob Kim, Soon Tai Park, "Design and Implementation of Malicious URL Prediction System based on Multiple Machine Learning Algorithms", Journal of Korea Multimedia Society Vol. 23, No. 11,pp. 1396-1405, Nov. 2020.
In Jae Son, Huy Kang Kim, ,"A Study on the Abnormal Behavior Detection Model through Data Transfer", Journal of The Korea Institute of？Information Security &Cryptology VOL.30, NO.4, Aug. 2020.
Hyun Song Jang, "Data-mining Based？Anomaly Detection in Document？Management System," Journal of？Knowledge Information Technology？and Systems(JKITS), Vol. 10, No. 4,？pp. 465-473, Aug. 2015.
Hae-dong Kim, "Insider Threat？Detection based on User Behavior？Model and Novelty Detection？Algorithms", Journal of the Korean？Institute of Industrial Engineers？Vol.43, No.4, pp. 276-278, Aug. 2017.
Eldardiry, H., Sricharn, k., Liu, j.,？Hanley, J., Price, B., Brdiczka, O., &？Bart, E., "Multi-source fusion for？anomaly detection: using across-domain and across-timepeer-group？consistency checks", Palo Alto？Research Center, Jun. 2014.
Le Zhang, Jingbo Zhu, and Tianshun？Yao, "An Evaluation of statistical？spam filtering techniques," ACM？Transaction on Asian Language？Information Processing, 2006.
Vangelis Metsis, "Spam Filtering with？NaiveBayes-Which Naive Bayes?,"？CEAS, June. 2006.
Miae Oh, "A Study on anomaly？detection based on MachineLearning",？Korea Institute for Health and Social？Affairs, Dec. 2018.
Moo-Hun Lee, Min-Gyu Kim,？"Meteorological Information Analysis？Algorithm based on Weight for？Outdoor Activity Decision-Making",？Mar. 2016.
William W. Cohen, "Fast Effective？Rule Induction", International？Conference on Machine Learning, pp.？15-123, July. 1995.
Indre Zliobaite, Albert Bifet, Bernhard Pfahringer, and Geoff Holmes, "Active learning with drifting streaming data", IEEE Transactions on Neural？Networks and Learning Systems, Vol.25, No. 1, pp. 27-39, Jan. 2013.
N. Bhatia, "Survey of Nearest Neighbor Techniques", International？Journal of Computer Science and Information Security, Vol. 8, No. 2, Jul. 2010.
D. Aha, D. Kibler, "Instance-based learning algorithms". Machine Learning. pp. 37-66, Jan. 1991.
Deza, M.; Deza, E. "Encyclopedia of Distances", Springer-Verlag, pp.94, Jan. 2009.
David M. J. Tax, Robert Duin, and Dick De Ridder, "Classification, Parameter Estimation and State Estimation: An Engineering Approach Using MATLAB", John Wiley and Sons. pp. 440, Sep. 2004.
S.S. Keerthi, S.K. Shevade, C. Bhattacharyya, K.R. K. Murthy," Improvements to Platt's SMO Algorithm for SVM Classifier Design", Neural Computation. Vol. 13, No. 3,pp. 637-649. Mar. 2001.

상세보기
George H. John, Pat Langley, "Estimating Continuous Distributions in Bayesian Classifiers", Eleventh Conference on Uncertainty in Artificial Intelligence, San Mateo, pp.338-345, Aug. 1995.

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증