The Journal of Korean Institute of Communications and Information Sciences (한국통신학회논문지)

The Korean Institute of Commucations and Information Sciences (한국통신학회)
권호 표지
DOI QR코드

DOI QR Code

Research on OS fingerprinting Method for Real-time Traffic Analysis System

실시간 트래픽 분석을 위한 운영체제 판별 방법에 관한 연구

  • 이현신 (고려대학교 컴퓨터정보학과 네트워크관리연구실) ;
  • 김명섭 (고려대학교 컴퓨터정보학과 네트워크관리연구실)
  • Received : 2011.03.04
  • Accepted : 2011.05.02
  • Published : 2011.05.31
Download PDF
⟨ Previous Next ⟩

Abstract

The Internet has become an essential part in our modern life by providing useful information. So, the volume of Internet traffic has been increasing rapidly, which emphasizes the importance of network traffic analysis for effective network operation and management. Signature based analysis have been commonly used, but it is shown that the increase of signatures due to the increase of applications causes the performance degradation of real-time traffic analysis on high-speed network links. In this paper, we propose OS fingerprinting method for real-time traffic analysis. The previous problems can be solved by utilizing the OS information. The OS fingerprinting method for real-time traffic analysis, proposed in this paper, conducts under passive mode, and improves the limitation of a previous method such as low completeness and accuracy. In this paper, we enlarged an input data to improve completeness, and used the User-Agent field in HTTP packet to extract various OS signatures. Also, we changed an input data from packet to flow to improve accuracy.

현대인의 삶에서 인터넷은 다양한 정보를 제공하는 필수 요소가 되었다. 이에 따라 네트워크 트래픽은 폭발적으로 증가하였고, 효율적 네트워크 관리를 위해 네트워크 트래픽 분석의 중요성이 강조되고 있다. 네트워크 트래픽 분석 방법 중 시그니쳐 기반의 분석 방법론이 많이 사용되고 있으며, 이는 다양한 응용의 증가로 시그니쳐의 탐색 공간 증가에 따라 실시간 트래픽 분석에 문제점이 나타나고 있다. 운영체제 정보를 활용하면 해당 운영체제에서 사용되는 응용의 시그니쳐만을 검색하도록 함으로써 앞선 문제점을 해결할 수 있다. 본 논문에서는 실시간 트래픽 분석을 위한 효과적인 운영체제 판별 방법을 제안한다. 본 논문에서 제안하는 운영체제 판별 방법은 실시간 트래픽 분석에 적합한 가볍고 빠른 수동형 방법을 사용하였으며, 기존 수동형 방법이 가지는 분석률과 정확성이 낮은 문제를 해결하였다. 분석률을 향상시키기 위해 입력데이터를 확장시켰으며, 운영체제 판별을 위한 시그니쳐를 HTTP의 User-Agent를 이용하여 생성함으로써 다양한 운영체제에 대한 시그니쳐를 추출하였다. 또한 기존 패킷 기반의 분석을 플로우 단위의 분석으로 변경함으로써 정확성을 향상시켰다.

Keywords

References

  1. 유재학, 박준상, 이한성, 임영희, 김명섭, 박대희, "다차원 데이터 큐브 모델에서의 네트워크 트래픽 분석", 2010년도 정보과학회 추계학술대회, 단국대, pp.100-105, Nov., 5, 2010.
  2. 오영석, 박준상, 윤성호, 박진완, 이상우, 김명섭, "멀티 레벨 기반의 응용 트래픽 분석 방법", 통신학회논문지 Vol.35 No.8, pp.1170-1178, Aug., 2010.
  3. Chenjie Gu, Shunyi Zhuan, Yanfei Sun, Junrong Yan, "Multi-levels Traffic Classification Technique", ICFCC 2010 Vol1, Wuhan, pp.448-452, May., 21-24, 2010.
  4. Li Jun, Zhang Shunyi, Lu Yanqing, Yan Junrong, "Hybrid Internet Traffic Classification Technique", Journal of Electronics Vol 26 No.1, China, pp.101-112, Jan., 2009.
  5. "OS Fingerprinting", http://en.wikipedia.org/wiki/OS_Fingerprinting
  6. "nmap", http://nmap.org
  7. Greg Taleck, "Ambiguity Resolution via Passive OS Fingerprinting", RAID 2003, pp.192-206, 2003
  8. "p0f", http://lcamtuf.coredump.cx/p0f.shtml
  9. "SynFP", http://www.gomor.org/bin/view/Sinfp/WebHome
  10. http://support.microsoft.com/kb/314053
  11. 박상훈, 박진완, 김명섭, "Flow 기반 실시간 트래픽 수집 및 분석 시스템", 정보처리학회 추계학술대회, 목포대학교, 전주, pp.1061, Nov., 9-10, 2007.
  12. 윤성호, 노현구, 김명섭, "TMA(Traffic Measurement Agent)를 이용한 인터넷 응용 트래픽 분류", 통신학회 하계종합학술발표회, 라마다플라자호텔, pp.618, Jul., 2-4, 2008.
  13. J.Caballero, S. Venkataraman, P.Poosankam, M.G. Kang, D.Song, and A. Blum, "FiG : Automatic Fingerprint Generation", NDSS, February, 2007.
  14. Jun-Sang Park, Sung-Ho Yoon, and Myung-Sup Kim, "Software Architecture for a Lightweight Payload Signature-based Traffic Classification System," Proc. of the Traffic Monitoring and Analysis (TMA) Workshop 2011, LNCS6613, Vienna, Austria, pp.136-149, Apr., 27, 2011.
  15. Young J. Won, Byung-Chul Park, Hong-Taek Ju, Myung-Sup Kim, and James W. Hong, "A Hybrid Approach for Accurate Application Traffic Identification," IEEE/IFIP Workshop on End-to-End Monitoring Techniques and Services (E2EMON) 2006, Vancouver, Canada, pp.1-8, Apr., 3, 2006.

Cited by

  1. An Intelligent Improvement of Internet-Wide Scan Engine for Fast Discovery of Vulnerable IoT Devices vol.10, pp.5, 2018, https://doi.org/10.3390/sym10050151