초록
최근 인터넷 상에서 빈번하게 발생하는 내부 정보와 개인 정보 유출과 같은 보안 사고들은 보안을 고려하지 않고 개발된 웹 애플리케이션의 취약점을 이용하는 방법으로 빈번하게 발생한다. 웹 애플리케이션의 공격들에 대한 탐지는 기존의 방화벽과 침입 탐지 시스템들의 공격 탐지 방법으로는 탐지가 불가능하며 서명기반의 침입 탐지 방법으로는 새로운 위협과 공격에 대한 탐지에 한계가 있다. 따라서 웹 애플리케이션 공격 탐지 방법에 대한 많은 연구들이 웹 트래픽 분석을 이동하는 비정상행위 기반 탐지 방법을 이용하고 있다. 비정상행위 탐지 방법을 사용하는 최근의 웹 방화벽에 관한 연구들은 웹 트래픽의 정확한 분석 방법, 패킷의 애플리케이션 페이로드 검사로 인한 성능 문제 개선, 그리고 다양한 네트워크 보안장비들의 도입으로 발생하는 통합관리 방법과 비용 문제 해결에 중점을 두고 있다. 이를 해결하기 위한 방법으로 통합 위협 관리 시스템이 등장 하였으나 부족한 웹 보안 기능과 높은 도입 비용으로 최근의 애플리케이션 공격들에 대해 정확한 대응을 하지 못하고 있는 현실이다. 본 연구에서는 이러한 문제점들을 해결하기 위해 웹 클라이언트의 요청에 포함된 파라미터 값의 길이에 대한 실시간 분석을 이용하여 공격 가능성을 탐지하는 비정상행위 탐지방법을 제안하고, 애플리케이션 데이터 검사로 발생하는 성능 저하 문제를 해결할 수 있는 다중 계층 웹 필터를 적용한 웹 애플리케이션 방화벽 시스템을 설계하고 구현하였다. 제안된 시스템은 저가의 시스템이나 레거시 시스템에 적용 가능하도록 설계하여 추가적인 보안장비 도입으로 야기되는 비용 문제를 해결할 수 있도록 하였다.
Recently, the leakage of confidential information and personal information is taking place on the Internet more frequently than ever before. Most of such online security incidents are caused by attacks on vulnerabilities in web applications developed carelessly. It is impossible to detect an attack on a web application with existing firewalls and intrusion detection systems. Besides, the signature-based detection has a limited capability in detecting new threats. Therefore, many researches concerning the method to detect attacks on web applications are employing anomaly-based detection methods that use the web traffic analysis. Much research about anomaly-based detection through the normal web traffic analysis focus on three problems - the method to accurately analyze given web traffic, system performance needed for inspecting application payload of the packet required to detect attack on application layer and the maintenance and costs of lots of network security devices newly installed. The UTM(Unified Threat Management) system, a suggested solution for the problem, had a goal of resolving all of security problems at a time, but is not being widely used due to its low efficiency and high costs. Besides, the web filter that performs one of the functions of the UTM system, can not adequately detect a variety of recent sophisticated attacks on web applications. In order to resolve such problems, studies are being carried out on the web application firewall to introduce a new network security system. As such studies focus on speeding up packet processing by depending on high-priced hardware, the costs to deploy a web application firewall are rising. In addition, the current anomaly-based detection technologies that do not take into account the characteristics of the web application is causing lots of false positives and false negatives. In order to reduce false positives and false negatives, this study suggested a realtime anomaly detection method based on the analysis of the length of parameter value contained in the web client's request. In addition, it designed and suggested a WAF(Web Application Firewall) that can be applied to a low-priced system or legacy system to process application data without the help of an exclusive hardware. Furthermore, it suggested a method to resolve sluggish performance attributed to copying packets into application area for application data processing, Consequently, this study provide to deploy an effective web application firewall at a low cost at the moment when the deployment of an additional security system was considered burdened due to lots of network security systems currently used.
