초록 ▼

1. 커널 백도어 설치를 방지하고 기 설치된 커널 백도어를 탐지하는 시스템의 개발.
2. IP 역추적을 통한 보다 능동적인 공격자 추적 시스템의 개발
LKM 백도어의 위험성은 탐지가 매우 어렵다는 것이다. 탐지가 어려운 이유는 LKM이 커널 소스를 변경시키는 힘을 가지고 있기 때문에 LKM 백도어가 자신을 커널에 부착한 후, 자신의 존재를 탐지하는데 사용될 수 있는 커널 코드 부분을 변경하기 때문이다. 본 연구는 커널 백도어의 설치 방지와 이미 설치된 커널 백도어의 탐지 및 공격자에 대한 역추적에 대해 수행되었으며 각각

1. 커널 백도어 설치를 방지하고 기 설치된 커널 백도어를 탐지하는 시스템의 개발.
2. IP 역추적을 통한 보다 능동적인 공격자 추적 시스템의 개발
LKM 백도어의 위험성은 탐지가 매우 어렵다는 것이다. 탐지가 어려운 이유는 LKM이 커널 소스를 변경시키는 힘을 가지고 있기 때문에 LKM 백도어가 자신을 커널에 부착한 후, 자신의 존재를 탐지하는데 사용될 수 있는 커널 코드 부분을 변경하기 때문이다. 본 연구는 커널 백도어의 설치 방지와 이미 설치된 커널 백도어의 탐지 및 공격자에 대한 역추적에 대해 수행되었으며 각각의 연구내용은 다음과 같다. 커널 백도어의 설치 방지는 모듈이 설치되기 전에 modutils의 insmod에서 모듈의 바이너리 코드를 직접 분석하여 악성코드가 존재하는지를 탐지하는 방법을 취하였다. 기 설치된 커널 백도어의 탐지는 커널자체가 이미 백도어에 의해 변경되었다면 커널의 판단을 신뢰할 수 없기 때문에 커널의 분석파워를 사용할 수 없다는 문제점이 존재한다.
따라서 상대적으로 공격자의 공격을 받을 가능성이 적고 암호화 등에 의해 방어가 용이한 커널 부트 이미지를 신뢰할 수 있다는 가정하에 다른 모든 정보를 공격자가 변경했을 때에도 커널 백도어를 탐지하는 방법에 대해 연구하였다. 나아가 공격자에 대한 역추적 기법을 개발하여 수동적으로 백도어를 탐지하는데 그치지 않고 공격자를 찾아냄으로써 추후 공격을 미리 차단하는 효과를 볼 수 있도록 했다.
가. 논문지 발표
“Tagged Fragment Marking Scheme with Distance-weighted Sampling for a Fast IP Traceback”, Lecture Notes in Computer Science (accepted and published in 2003.4)
“중재 쓰레드와 지연캐싱에 의한 스퀴드 프락시서버의 성능향상에 관한 연구”, 정보 처리학회논문지 (정보처리학회논문지 10-C 권, 1호 2003.2)
나. 학술대회 발표
“원본 이미지 비교에 의한 커널 백도어 검사 및 복구”, 정보과학회 추계학술대회 (제 29권 2호, p562 - p564)
“Marking Algorithm 기반 IP 역추적의 공격 진원지 발견 기법”, 정보과학회 춘계학술 대회 (제 29권 1호, p 814-816)

Abstract ▼

1. Block kernel backdoor installation and detect existing LKM backdoor
2. Back-trace attackers via IP backtrace
Backdoor is a secrete program installed by an intruder who uses it to access the system without proper authorization. LKM(Loadable Kernel Modules) backdoor is a particularly elusive

1. Block kernel backdoor installation and detect existing LKM backdoor
2. Back-trace attackers via IP backtrace
Backdoor is a secrete program installed by an intruder who uses it to access the system without proper authorization. LKM(Loadable Kernel Modules) backdoor is a particularly elusive backdoor. It is elusive because LKM has the power to modify the kernel itself and simple system calls to detect LKM's are useless. We propose an LKM backdoor prevention/detection system with following objects: 1) no modification on kernel, 2) handling modification on external variables including sys_call_table, 3) being able to detect existing backdoors, and 4) allowing normal modules. To satisfy these objects, we propose an LKM prevention technique based on modutils modification, and an LKM detection technique based on kernel image re-building."modutils" modification technique monitors
which external variables the target module accesses and modifies, and detects a dangerous one based on it. Kernel image rebuilding looks out the executable file of the currently running operating system, rebuilds the image, and compares it with the running kernel in terms of major external variables and kernel code. Based on this information, it tries to determine whether the current kernel has been manipulated or not.
Kernel backdoor is very difficult to detect because it has the power to modify the kernel itself. Any server on internet is a possible victim of this attack. Kernel backdoor, therefore, will become the major attack technique in the near future. Korea has a widespread, well-built internet infra-structure, which makes the country a preferable target for intermediate base camp of internatioanl hacking attack.
Our study will develop a system that a user can easily install and detect kernel backdoors.

목차 Contents

• Ⅰ. 연구계획 요약문...3
• 1. 국문요약문...3
• Ⅱ. 연구결과 요약문...4
• 1. 국문요약문...4
• 2. 영문요약문...5
• Ⅲ. 연구내용...6
• 1. 서론...6
• 2. 연구방법 및 이론...7
• 3. 결과 및 고찰...18
• 4. 결론...18
• 5. 인용문헌...19