Journal of the Korea Institute of Information Security & Cryptology (정보보호학회논문지)

Korea Institute of Information Security and Cryptology (한국정보보호학회)
권호 표지
DOI QR코드

DOI QR Code

Novel Anomaly Detection Method for Proactive Prevention from a Mobile E-finance Accident with User"s Input Pattern Analysis

모바일 디바이스에서의 전자금융사고 예방을 위한 사용자입력패턴분석 기반 이상증후 탐지 방법

  • 서호진 (고려대학교, 정보보호대학원) ;
  • 김휘강 (고려대학교, 정보보호대학원)
  • Received : 2010.12.02
  • Accepted : 2011.05.13
  • Published : 2011.08.31
Download PDF
⟨ Previous Next ⟩

Abstract

With the increase in the use of mobile banking service, mobile banking has become an attractive target to attackers. Even though many security measures are applied to the current mobile banking service, some threats such as physical theft or penetration to a mobile device from remote side are still remained as unsolved. With aiming to fill this void, we propose a novel approach to prevent e-financial incidents by analyzing mobile device user's input patterns. This approach helps us to distinguish between original user's usage and attacker's usage through analyzing personal input patterns such as input time-interval, finger pressure level on the touch screen. Our proposed method shows high accuracy, and is effective to prevent the e-finance incidents proactively.

모바일 디바이스(mobile device)를 통한 전자금융거래가 급속하게 증가하면서 이를 대상으로 한 공격시도도 점차 늘어나고 있다. 다양한 보안수단들이 적용되고 있지만, 모바일뱅킹(mobile banking)에 사용되는 디바이스에 원격으로 침입을 한 뒤 공격하는 방법 및 디바이스를 물리적으로 획득하여 전자금융사고를 유발할 수 있는 위험이 여전히 존재한다. 본 논문에서는 모바일 디바이스에서의 전자금융사고 예방 대책으로 개인별 입력패턴을 분석하여 본인에 의한 전자금융거래 시도인지 유무를 판단하여 선제적으로 대응할 수 있는 방안을 제안한다. 화면 터치(touch)를 통해 입력하는 모바일 디바이스의 특성상 터치 시간이나 압력 등의 패턴(pattern)은 개인별로 차이가 있으므로 이를 모니터링(monitoring) 함으로써 정상적인 모바일뱅킹 고객과 공격자를 구분할 수 있다. 본 논문에서 제시된 방안의 효용성을 증명하기 위해 모바일 디바이스에서의 개인별 입력패턴 정보를 실제 수집하여 실험하였고, 실험결과 입력패턴 정보 분석을 통해 전자금융사고를 효과적으로 예방할 수 있음을 확인하였다. 또한, 본 논문에서는 이러한 입력패턴 정보의 모니터링을 이용하여 불법적인 전자금융거래에 실시간으로 대응하는 방안도 제안한다.

Keywords

References

  1. 한국은행, "2010년 3/4분기 국내 인터넷뱅킹서비스 이용 현황," 2010년 10월.
  2. "Mobile Security Report 2009", McAfee, 2009. http://www.mcafee.com/us/resources/reports/
  3. "Zeus Strikes Mobile Banking," BankInfo Security, Oct. 2010. http://www.bankinfo security.com/articles.php?art_id=3005
  4. A. Castiglione, R.D. Prisco, and A. De Santis, "Do Your Trust Your Phone?," EC-Web 2009, LNCS 5692, pp. 50-61, 2009.
  5. A.D. Schmidt, F. Peters, F. Lamour, C. Scheel, S.A. Çamtepe, and S. Albayrak, "Monitoring Smart phones for Anomaly Detection," Mobile Network and Applications, vol. 14, no. 1, pp. 92-106, Nov. 2008.
  6. 금융감독원, "최근 5년간 전산보안사고 내역 및 처리현황," 2009년 9월.
  7. 김소이, "전자금융사고 발생유형 및 대응현황," 금융결제원, 지급결제와 정보기술, pp. 34-62, 2009년 10월.
  8. P. Hanaeek, K. Malinka, and J. Schafer, "e-Banking Security - A Comparative Study," IEEE A&E SYSTEMS MAGAZINE, vol. 25, no. 1, pp. 29-34, Apr. 2010.
  9. B.R. Cha, K.J. Kim, and H.S. Na, "Random Password Generation of OTP System using Changed Location and Angle of Fingerprint Features," IEEE 8th International Conference on Computer and Information Technology 2008, pp. 420-425, Jul. 2008.
  10. J. Nie and X. Hu, "Mobile Banking Information Security and Protection Methods," Computer Science and Software Engineering International Conference, pp. 587-590, Dec. 2008.
  11. J. Mantyjärvi, K. Nybergh, J. Himberg, and K. Hjelt, "Touch Detection System for Mobile Terminals," Mobile HCI 2004, LNCS 3160, pp. 331-336, 2004.
  12. L. Xie, X. Zhang, J.P. Seifert, and S. Zhu, "pBMDS: A Behavior-based Malware Detection System for Cellphone Devices," Third ACM Conference on Wireless Network Security, pp. 37-48, Sep. 2010.
  13. R. Hecht-Nielsen, "Theory of the Backpropagation Neural Network," International Joint Conference on Neural Network, pp. 593-605, Jun. 1989.
  14. J.I. Miinnix, "Fault Tolerance of the Backpropagation Neural Network Trained on Noisy Inputs," International Joint Conference on Neural Network, pp. 847-852, Jun. 1992.
  15. B. Schneier, "Two-Factor Authentication : Too Little, Too Late," AprilRisks, Communication of the ACM, vol. 48, no. 4, pp. 27, Apr. 2005. https://doi.org/10.1145/1053291.1053309
  16. M Wu, S Garfinkel, and B Miller, "Secure Web Authentication with Mobile Phones," DIMACS Workshop on Usable Privacy and Security Software, pp. 9-10, Jul. 2004.
  17. F Aloul, S Zahidi, and W El-Hajj, "Two Factor Authentication Using Mobile Phones," IEEE/ACS International Conference on Computer Systems and Applications, pp. 641-644, May. 2009.
  18. P Ho and J Armington, "A Dual-Factor Authentication System Featuring Speaker Verification and Token Technology," AVBPA 2003, LNCS 2688, pp. 128-136, 2003.
  19. C Mulliner, "Fuzzing the Phone in your Phone," TU-Berlin/T-Labs. BlackHat USA, Jun. 2009, http://www.blackhat.com/ presentations /bh-usa-09/MILLER/
  20. "ZeuS Variants Targeting Mobile Banking," F-Secure, Sep. 2010, http:// www.f-secure.com /weblog/archives/00002037.html.
  21. Alyuda, "Alyuda Neuro Intelligence," http://www.alyuda.com/neural-networks-software.html
  22. N.L. Clarke and S.M. Furnell, "Advanced user authentication for mobile devices," Computers & Security, vol. 26, no. 2, pp. 109-119, Mar. 2007. https://doi.org/10.1016/j.cose.2006.08.008