Sophisticated scanning detect ion mechanism

정교한 스캐닝 탐지 방법

해킹사고가 증가하면서 시스템이 스캐닝(Scanning)당하는 사례도 증가하고 있다. 이는 해커들이 해킹의 전단계로 해킹하고자 하는 호스트(목적호스트)의 취약점을 파악하기 위하여 스캐닝하기 때문이다. 따라서 호스트가 스캐닝 당하는 것을 정확하게 탐지할 수 있다면 해킹이 이루어지는 것을 미연에 방지 할 수 있다. 또한 스캐닝 단계에서 해커는 목적호스트와 패킷을 계속 주고받아야함으로 자신의 IP 주소 등의 정보를 속이기 어렵다. 그래서 목적호스트는 차후 스캐닝한 해커의 IP를 이용해서 해커를 추적할 수도 있다. 하지만 기존의 스캐닝 대응 및 탐지방법은 이러한 정보를 사용하지 못하고 있다. 기존의 탐지 방법은 단순히 단시간 내에 발생하는 SIN, FIN패킷의 양을 바탕으로 스캐닝을 판단한다. 하지만 단시간 내에 대량의 패킷을 사용하여 스캐닝을 하는 경우는 대부분 홀을 이용한 경우이며 소량의 패킷만을 사용하여 스캐닝을 하는 경우는 탐지하지 못한다. 본 논문에서는 이러한 정교한 스캐닝을 탐지하기 위해서 들어온 패킷의 양이 적더라도 TCP 상태 다이어그램(TCP state diagram)의 순서에 맞지 않게 들어올 경우, 닫힌 포트로 들어오는 경우를 파악하여 스캐닝을 탐지하는 방법을 제시하고자 한다.