[논문]Bloom Filter를 이용한 악성 코드 탐지 방안

이상훈; 허환조; 김효곤; 최린

Bloom Filter를 이용한 악성 코드 탐지 방안
Filtering of Malicious Codes using Bloom Filter 원문보기

이상훈 (고려대학교) , 허환조 (고려대학교) , 김효곤 (고려대학교) , 최린 (고려대학교)

바이러스로 시작된 악성 코드는 웜이라는 형태로 발전하였다. 인터넷 망의 고속화와 확장에 의해 웜의 전파 속도와 감염 범위는 증가하였지만, 아직까지 웜을 차단할 수 있는 획기적인 방법은 개발되지 않았고, 웜에 의한 피해는 갈수록 치명적인 결과를 낳고 있다. 본고에서는 Bloom Filter［1］를 이용한 content filtering 방법을 제안한다. 실험을 통해, 이미 알려진 웜에 대한 Bloom Filter의 성능을 검증하였으며, 알려지지 않은 웜에 대한 Bloom Filter의 적용 방법도 제안한다.

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본고에서는 이러한 악성 코드의 공격에 대응하기 위해, Bloom Filte「를 이용한 새로운 content filtering 방법을 제안한다. 미 방법은 pattern matching에 기반을 둔 기존의 content filtering 방법과는 달리 두 가지 장점을 가진다.
속도와 false-positive 두 가지 관정에서 Bloom Filtere 가능성에 대해 논했다. Bloom Filte「는 900MHz의 CPU률 이용해 서도 기가비트급에 가까운 처리 속도毎 보장할 수 있었다.

가설 설정

① No polymorphism : 웜은 하나의 형태를 가지고, 변형 울 생산하지 않는다.
총 호스트 중 웜에 취약한 호스트는 총 10만개이며 웜 패킷믈 전송받은 호스트는 1초 후부터 웜 패킷을 전송한다. 또한 hashing 지연은 패킷의 宣름에 영향을 주지 않을 만큼 작다고 가정하였다.

제안 방법

알려지지 않은 웜의 가장 큰 위협은 그것이 확산되기 전에는 웜의 signature를 정의하기 힘들다는 점이다. 그래서 본고에서 제안하는 방법은 웜의 일반적인 전파 특성을 -감염된 패킷의 전송 수가 기하급수적으로 증가- 이용한다. 이를 위해 Bloom Filte「에 카운터를 추가했고, 그 구조는 [그림 1]과 같다.

대상 데이터

각 함수의 성능을 비교하기 위해, 950MHz AMD Duron CPU와 384MB 메모리상에서 7000개의 signature와 백만 개의 단 일 패킷을 사용했다. [표 1]은 연산 시간에 대한 실험 결과룔 나 타내는데, 표에서 연산 시간은 각각의 hash 함수룔 사웅한 키값 생성지연과 주어진 키값을 이용한 filtering 지연이 포함된다.
실험에서는 실제 웜이 아닌 임의로 생성한 signatured 사용했고, 몇 가지 제약조건이 있었다. 앞으로, 이러한 문제에 관해 추가적인 실험이 필요하고, 실제 네트워크 상에서의 성능과 개선점에 대한 연구가 필요하다.
웜에 감염된 호스트는 PRNG1 함수를 사용해서 초당 4000개의 목적 주소를 생성하고, 생성된 주소를 향해 웜 패킷을 전송한다. 총 호스트 중 웜에 취약한 호스트는 총 10만개이며 웜 패킷믈 전송받은 호스트는 1초 후부터 웜 패킷을 전송한다. 또한 hashing 지연은 패킷의 宣름에 영향을 주지 않을 만큼 작다고 가정하였다.

성능/효과

[표 1]은 연산 시간에 대한 실험 결과룔 나 타내는데, 표에서 연산 시간은 각각의 hash 함수룔 사웅한 키값 생성지연과 주어진 키값을 이용한 filtering 지연이 포함된다. 결과에 [파르면 Bit Extraction 함수를 사용했을 때 가장 성능이 탁월했다.
첫째로, 티oom Filtei■는 hash 함수률 사용하므로 기존의 pattern mat사)ing 방법에 비해 속도가 빠르다. 두 번째는, Bloom Filter는 알려진 웡뿐만 아니라 알려지지 않은 웜도 차단할 수 있다는 점이다.
웜이 라우터에 의해 차단되기 전研지 3기에 따른 감염된 호스트의 수는 [표 3}과 같다. 실험에 따르면 라우터는 웜이 전파되기 시작한 후 1분 이내에 충분히 웜을 차단할 수 있었으며, 웜의 전파를 억제함으로써 감염 수를 아주 낮게 줄일 수 있었다. 즉, 알려지지 않은 웜이 전파되기 시작한 경우, 새로운 웜에 대한 적절한 대응책이 나오기 이전의 피해를 크게 줄일 수 있음을 뜻하다.
미 방법은 pattern matching에 기반을 둔 기존의 content filtering 방법과는 달리 두 가지 장점을 가진다. 첫째로, 티oom Filtei■는 hash 함수률 사용하므로 기존의 pattern mat사)ing 방법에 비해 속도가 빠르다. 두 번째는, Bloom Filter는 알려진 웡뿐만 아니라 알려지지 않은 웜도 차단할 수 있다는 점이다.

후속연구

실험에서는 실제 웜이 아닌 임의로 생성한 signatured 사용했고, 몇 가지 제약조건이 있었다. 앞으로, 이러한 문제에 관해 추가적인 실험이 필요하고, 실제 네트워크 상에서의 성능과 개선점에 대한 연구가 필요하다.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

Bloom Filter를 이용한 악성 코드 탐지 방안
Filtering of Malicious Codes using Bloom Filter 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper

문제 정의

가설 설정

제안 방법

대상 데이터

성능/효과

후속연구

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

Bloom Filter를 이용한 악성 코드 탐지 방안 Filtering of Malicious Codes using Bloom Filter 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

가설 설정

제안 방법

대상 데이터

성능/효과

후속연구

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

Bloom Filter를 이용한 악성 코드 탐지 방안
Filtering of Malicious Codes using Bloom Filter 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper