Detecting Rogue AP using k-SVM method

k-SVM을 이용한 Rogue AP 탐지 기법 연구

Abstract

Under only authorized AP is allowable environment, rogue AP which is generated by a smartphone tethering can be a serious security breach. To solve rogue AP problem, this paper proposes classifying algorithm of Kernel Support Vector Machine using features of RTT data. Through our experiment, we can detect rogue AP from LTE mobile network.

인가된 AP(Access Point)에 대해서만 사용을 허용하는 무선 통신 환경에서, 스마트폰의 테더링(tethering) 기능에 의한 로그 AP(rogue AP) 사용은 자료 유출과 같은 심각한 보안 문제를 발생시킨다. 이에 본 논문은 홉(hop) 간 RTT 값을 특징점(Feature)으로 하고 분류기로 k-SVM(Kernel Support Vector Machine)를 사용하여 로그 AP를 탐지하는 방법을 제안한다. 실험을 통해 유선 네트워크를 이용하여 설치한 일반 AP와 LTE 망을 활용하여 설치된 로그 AP 간의 구분이 가능함을 보였다.

I. 서론

업무 효율성과 편의성을 극대화시키기 위해 많은 기업들이 AP(Access Point)를 이용해 무선 인터넷을 통한 네트워크 접근환경을 제공한다. 무선 인터넷 환경에서는 네트워크상에서 전달되는 패킷을 외부에서 모을 수 있기 때문에 이를 대비해 IEEE 802.11i[1] 또는 WPA와 같이 보안을 고려한 통신 환경을 사용한다.

IEEE 802.11i 프로토콜은 인가되지 않은 사용자들이 무선 네트워크를 사용하는 것으로부터 막기 위해 통신 내용의 암호화 및 접근을 위한 사전 인증 과정을 제공한다[2]. 하지만, 이런 보안 메커니즘을 사용하는 환경에서도 로그 AP와 같은 우회방법을 통하면 사용자의 AP 접근을 제어할 수 없다. 이 논문에서는 로그 AP를 모바일 기기에 AP 기능을 제공하는 소프트웨어를 사용하여 AP의 기능을 수행하는 단말기를 의미한다.

로그 AP는 무선 네트워크에서 중대한 보안 취약점을 제공한다. 로그 AP를 설치한 공격자는 로그 AP에 접근한 사용자의 기기들을 대상으로 패킷을 수집하여 개인 정보를 모으고 중간자 공격(man-in-the-middle attack)을 수행하여 웹 페이지 변조, 세션 하이재킹, 인증서 도난 같은 피해를 발생 시킬 수 있다[3].

로그 AP를 설치하기 위해서는 과거에는 별도의 무선 네트워크를 구축해야 하므로 공격이 어려웠지만, 현재 스마트폰과 태블릿 PC의 확산으로 3G 또는 LTE 네트워크를 사용해서 손쉽게 모바일 AP를 설치할 수 있게 되었으며 이렇게 만들어진 모바일 AP는 기존의 AP들과 달리 내부 인증 체제를 우회하여 외부 네트워크와 쉽게 연결 할 수 있으므로 외부로의 자료 유출을 차단하는 보안 정책 속에서도 모바일 AP를 사용하여 제한 사항들을 무력화 시킬 수 있다. 또한 사용자가 악의적으로 모바일 AP를 생성하지 않았더라도 잠재적인 보안 취약성들로 인해 공격 대상이 될 수 있다[4].

현재 상용화 된 로그 AP 탐지 방법들 대부분은, 서버에서 로그 AP를 탐지하는 방법이여서 AP 와 클라이언트를 통제하기 위해 네트워크 전반에 걸쳐 적용하기 힘든 요구사항들이 발생되었다. 그리고 로그 AP는 서버의 통제를 받지 않고 사용자를 공격할 수 있기 때문에 클라이언트 측면에서의 로그 AP를 탐지할 수 있는 해결책이 필요하다.

이에 본 논문은 클라이언트에서 개선된 RTT(Round Trip Time)을 원 데이터로 사용하여, 특징점들을 도출하여 수학적으로 가장 뛰어난, 기계학습의 일종인 k-SVM을 이용해 로그 AP를 탐지하고자 한다.

본 논문은 다음의 내용으로 구성되어 있다. 2장에서 관련연구를 통해 현재까지 진행되어 오고 있는 로그 AP의 탐지 방법과 3장에서 제안 방법으로 사용되는 기계학습 알고리즘인 k-SVM에 대해 알아보고 4장에서 제안하는 알고리즘을 통해 효과적 로그 AP를 탐지하는 방법과 5장에서 로그 AP를 탐지한 결과를 확인하고, 마지막 6장에서 향후 과제를 정리한다.

II. 기존 연구 - 로그 AP를 탐지하는 방법

비인가된 로그 AP를 찾는 이전 연구들의 대부분은 MAC 주소와 같은 AP 자체의 정보를 이용하는 방법[5-13]과 유무선 네트워크 간의 특성을 이용한 방법[14-17], 두 가지 방법으로 나누어진다.

2.1 AP의 정보를 이용하는 방법

로그 AP를 찾는 방법으로 MAC 주소, SSID 나 제조업체와 같은 AP에 기재된 하드웨어 정보를 이용한 방법이 있다. 이 방법은 인가된 AP들에 대해 그들의 하드웨어 정보들을 저장하고 이 정보들을 바탕으로 확인되고 있는 시스템에 연결된 AP들을 주기적으로 검사하여 로그 AP를 탐지한다. [5]에 의하면 무선 네트워크를 위한 프레임워크인 DAIR(Dense Array of Inexpensive Radios) 시스템에서 에어 모니터(Air Monitor)라고 불리는 USB 감지기를 사용해 AP 정보를 수집하고 이를 데이터베이스(DB)에 저장하여 관리하는 방법을 제안하였다. [6]에서는 MAC 주소, SSID, 채널, 그리고 신호 세기와 같은 정보로 비 인가된 로그 AP를 탐지하는 방법을 제시하였다.

현재 에어디펜스(Airdefence)[7], 넷스텀블러(Netstumber)[8], 로그스캐너(Roguescanner)[9]과 같은 하드웨어 정보 기반 스캐너들이 존재하며 이들은 사용자에게 위협이 될 수 있는 AP들의 목록을 생성하여 사용자에게 제공한다. 이들의 장점은 짧은 시간에 정보를 제공할 수 있고 낮은 오탐율을 가지고 있다는 것이다. 하지만, 이런 네트워크 스캐너들이 가지는 단점으로 AP들을 주기적으로 검사를 해야 하며 AP에 저장된 하드웨어 정보는 악의적인 공격자에 의해 변형되어 검사시 이를 우회할 수 있다.

다른 방법으로 [10-12]에서와 같이 감지기를 통한 위치 기반 정보로 로그 AP를 탐지하는 방식이다. AP의 존재가 예상하지 못한 곳에서 확인 되었을 때, 이를 로그 AP로 탐지하는 것이다. 현재의 위치 판단 기술을 사용하면 3-5m의 정확도를 가지고 무선 AP 위치를 판단 할 수 있다[13]. 문제는 위치 측정을 위해 추가적인 탐지 장비가 필요하며 AP의 위치 이동이 활발한 대규모 네트워크나 조직에서는 이를 적용하기가 힘들다. 그리고 단순히 한 위치에서만 국한되어서 동작하지 않은 모바일 AP의 특성상 위치 기반 정보를 가지고 로그 AP를 탐지한다는 것은 탐지의 의미가 없다.

2.2 유선과 무선네트워크의 특징을 이용하는 방법

네트워크의 특정 정보를 사용해 로그 AP를 탐지하는 다른 방법으로 대개의 로그 AP들은 이미 존재하는 일반 AP나 라우터에 연결되어 사용하므로, 추가적인 홉(hop)이 존재하는지의 여부를 검사하는 방식이다. 추가 홉이 있는지 여부를 판단하기 위해 [14]에서는 실제 네트워크상에서 추출한 2개의 패킷간의 시간차를 이용했다. 이와 유사하게 [15,16] 에서는 TCP-ACK 패킷 쌍의 시간차를 사용하였다. 좀 더 탐지율을 높이기 위해 [17]에서는 DNS (Domain Name System) 서버로 전달하는 임의의 패킷들로 인해 발생되는 RTT값을 계산하여 특정 기준을 넘었을 때 이를 로그 AP로 탐지하는 방법을 사용했다. 이 방법을 통하면 AP의 정보를 기록하는 데이터베이스를 유지할 필요가 없지만, 지정된 DNS 서버와 같은 특정 측정 대상 서버를 지정해야 하는 부담이 생긴다. 그리고 RTT값을 조작해 탐지를 우회하는 것을 어렵게 할 수 있으나, LTE 망과 802.11ac과 같이 고속 무선 네트워크를 사용하는 모바일 AP 사용 환경에서 RTT값을 효과적으로 선정, 계산하지 않으면 로그 AP를 탐지할 수 없는 문제점이 존재한다.

III. SVM(Support Vector Machine)

3.1 기계학습

기계학습(machine learning)은 분류할 데이터를 사용하여, 파라미터를 설정하는 방법을 의미한다. 즉, 이들 데이터를 사용하여 학습하고 학습에 사용되지 않은 데이터를 탐지/분류하는 방법이다[18]. 기계 학습은 데이터 학습 과정을 통해 시스템 모델을 구성하는 표상화(representation) 과정과 구성된 시스템이 확인되지 않은 데이터를 분류하는데 적절한지의 여부를 관여하는 일반화(generalization) 과정이 포함된다[19].

3.2 SVM 개요

전통적인 학습 접근 방법은 학습 데이터-셋(data-set)에 대한 오차(error)를 줄이는 것에 기반하는 경험적 위험 최소화(ERM)를 목표로 하고 있다. SVM은 이와 반대로 구조적 위험 최소화(SRM)를 기반으로 하는 통계적 학습 이론을 기반으로 하고 있으며, 또한 신경망 네트워크(neural network) 알고리즘에 비해 확인되지 않은 시험 데이터-셋에 대해 더 좋은 일반화 능력을 가지고 있다[20].

SVM의 기본 원리는 SVM 입력 패턴들을 교사학습방법(supervised learning)을 통해 두 개의 클래스인 {+1, -1}로 분류하는 것으로 시작된다. 훈련 집단이 두 클래스로 분류가 되면, 이를 포함하는 훈련 패턴들을 분리하는 초월면(hyperplane)을 결정할 수 있다. 이때의 초월면이란 각 집단을 분리 할 수 있는 절단 평면을 말한다. 이 평면을 결정하는 경계 패턴들을 서포트 백터(support vector) 라고 한다. 모든 서포트 백터는 초월면으로부터 같은 최소 거리에 위치해야 하지만, 선형으로 분리되는 경우가 거의 드물기 때문에 이때의 초월면과 서포트 백터는 제약 식 (constraint equation)을 갖는 최적 문제의 해로부터 구해낼 수 있다. 최적 해는 각 클래스의 서포트 백터 사이의 거리인 마진(margin)을 최대화 하는 것과 오차를 최소화 하는 것인데 둘 사이에는 트레이드-오프(trade-off) 관계를 가지고 있으며, 이는 정규화된 파라미터에 의해 조정된다. 각 훈련 과정은 제약 식을 갖는 이차 최적 문제 (quadratic programming)를 해결하는 방법과 기본적으로 같다[21-23].

3.3 분류를 위한 SVM

훈련 데이터 {(x_i, d_i), i = 1, 2, ..., N} 으로 주어졌다면, x_i는 두 클래스 {+1 , -1} 중 하나에 속하며, d_i ∈ {-1, 1}은 해당 클래스를 표시하는 라벨 역할을 수행한다. SVM은 각 클래스들을 구분하는 최적의 분리 경계면에 인접한 점들과의 거리(margin)을 최대화 한다. 따라서 최적의 분리 경계면을 f(x) = w^tx + b 로 지정하면. f(x) 와 서포트 백터 간의 거리를 1/∥w∥로 표시할 수 있다. SVM은 ∥w∥² 값을 최소화하여, 분리 간격을 최대화하는 최적 분리면을 찾는다. 이 문제는 다음과 같은 식으로 표현 할 수 있다.

#(1)

이 문제를 라그랑주 배수 (lagrange multipliers)로서 쌍대화(dual problem) 시키면 아래의 이차 문제가 된다.

#(2)

선형 분리경계면으로 완전히 분리할 수 없는 서로 겹쳐져 있는 패턴의 경우에는 슬랙 변수(slack variable)(ξ)을 이용한다. 이를 통해 식(1)에서 아래의 모델과 같이 표현 될 수 있다.

#(3)

위 식(3) 의 d_i(< w,x_i >+b)≥1-ξ_i 에서 ξ_i=0(∀_i)이면 모든 패턴을 완전하게 분리 할 수 있다는 것을 의미한다. 그러나 대부분의 패턴은 선형적(linear)으로 분리가 되지 않게 되어 있다. 따라서 비선형(nonlinear) 패턴을 분리하기 위해 비선형 패턴의 입력 공간을 선형 패턴의 특징 공간(feature space)으로 전환한다.

즉, x_i⇒Φ(x_i) 에서 커널 함수(kernel function) K(x_i,x_j)=Φ(x_i) • Φ(x_j)를 정의하면 비선형 패턴을 분리하기 위한 모델은 식(1),(2),(3)으로부터 아래와 같이 표현된다.

#(4)

여기서 C는 식 (3) 에서의 패널티 파라미터(penalty parameter) 이다. 위의 모델에서 라그랑주 배수 i를 구하면 특징 공간에서 가장 평평한 함수인 아래 식 (5)를 구할 수 있다.

#(5)

k-SVM에서 사용하는 커널 함수로는 여러 가지가 있지만 일반적으로 다음과 같은 함수들 중 선택 될 수 있다[24].

이렇게 최적화된 시스템에서 w를 구하면 식 (5)에 의해, 임의 x는 {-1, 1} 중 하나로 분류 된다.

Table 1. Kernel function

IV. 제안하는 로그 AP 탐지 방안

4.1 탐지 방법 개요

본 장에서는 일반 AP와 로그 AP 간에 존재하는 RTT값을 사용하여 추출한 특징값을 사용하고, 분류 방법으로는 k-SVM 학습 방법을 제안한다. 정상 AP 의 RTT값과 로그 AP의 RTT값을 구분하기 위해 여러 SVM 커널 함수들을 적용하여 최적의 분리 경계면을 찾는다. 이 과정에서 로그 AP와 일반 AP를 구분하는 것과 같은 결과를 얻게 된다. 이후에 설명할 트레이스라우트(traceroute) 수행 정보에서 얻게 될 RTT값을 통해 정상 AP의 RTT값과 로그 AP 의 RTT값을 구분할 수 있는 방법을 제시한다.

Fig. 1.은 유선 네트워크로 연결된 일반 AP와 로그 AP로 정의한 LTE 망을 사용한 모바일 AP 간의 차이를 보여준다. 두 AP 모두 공통적으로 (1) 영역에서 와이파이(Wi-Fi)를 통해 클라이언트와 AP 간에 무선으로 연결된다. (2) 영역에서 일반 AP는 유선을 사용하는 네트워크(통상적으로 라우터)에 연결되는 반면, 모바일 AP는 기지국과 게이트웨이(gateway) 등 두 개의 노드를 걸쳐 일반 공중 네트워크에 바로 연결되어 있다[25]. 이로 인해 IEEE 802.11 무선 네트워크(Wi-Fi) 의 지연시간 (latency)은 약 1ms 이며 이어서 연결되는 유선 네트워크 또한 비슷한 지연 시간을 가진다[26]. 반면 LTE 망에서의 지연 시간은 10-20ms 정도[27]로 와이파이망과 차이가 있다. 또한 Fig. 1.에서 LTE 망에서의 eNodeB과 같은 무선 기지국이 존재함으로 인해 이런 차이는 더욱 분명해진다. 따라서 (2) 영역에서 유선망으로 연결된 AP에 비해 로그 AP는 인터넷 프로토콜(IP)를 지원하는 일련의 노드들을 지나면서 지연시간이 증가하게 된다.

Fig.1. Diagram of difference between normal AP and rogue AP using LTE

4.2 특징점 선정(Feature Selection)

4.1 에서 본 것과 같이, 로그 AP 와 일반 AP 간의 지연시간 차이는 평균값과 분산이 로그 AP가 일반 AP 보다 크다는 것을 의미한다. 다시 말해, RTT값 이 무선 기지국을 통해 증가하고, 신호 상태에 따라 일정치 않게 되어 로그 AP는 일반 AP와 구분 된다.

RTT값은 트레이스라우트의 수행결과[28]에서 얻을 수 있다. 이 과정에서 각 홉당 패킷 수신 시간을 n회 측정하여 이들의 평균과 분산을 특징점으로 한다. 로그 AP가 일반 AP와 달리 무선 기지국에 의해 영향 받기 시작하는 첫 번째 홉의 RTT값과 두 AP를 통해 공통으로 응답 받는 최소 홉 위치에서 측정되는 RTT값의 평균과 분산 각각의 차이를 특징점으로 지정한다.

4.3 RTT 측정 알고리즘

LTE 망을 사용하는 로그 AP를 탐지하기 위한 알고리즘은 Table 2.과 같다. 먼저 공인된 IP를 대상으로 트레이스라우트를 수행하여 해당 호스트로 전달되는 Packet의 경로와 응답 시간을 기록한다. 라우터 에서 ICMP TTL expired packet을 전달하지 않는 홉이 있을 수 있으므로 홉 1 이후로 이 패킷을 받을 수 있는 최소 홉 N을 찾는다. 일반 AP 와 로그 AP 간 공통으로 확인되는 최소 홉 N을 찾았으면, 홉 1과 홉 N간에 측정된 n개의 RTT값의 평균과 분산 차이를 각각 구한다. 이 두 홉 간의 평균과 분산의 차이를 학습하여 로그 AP를 탐지한다.

Table 2. RTT estimation and data-set generation algorithm

* RTT_(i,j)hopN= M 개의 트레이스라우트 결과들에서 i 번째 결과 중, 홉 N 에서 n회 시간측정하여 얻은 RTT 값들에 서의 j 번째 측정된 RTT 값

Table 3. Feature selection using RTT value

V. 로그 AP 및 일반 AP 탐지 실험 및 결과

5.1 특징점 추출(Feature Extraction)

학습 및 테스트에 사용되는 RTT값은 네트워크를 사용하는 동안 지속적으로 습득할 수 있다. 데이터 습득이 많아지면 실험의 정확성이 높아지지만 공간 효율이 떨어지며 SVM의 특징상 작은 데이터에도 효과적으로 동작하므로[29] Table. 4.와 같이 학습 및 테스트를 위해 각 AP 당 지정된 데이터들을 수집하여 이를 데이터-셋으로 구성하고 실험하였다. 평균 및 분산을 계산하기 위해 각 데이터당 추출 회수 n은 3을 사용하였다.

Table 4. SVM test data-set using RTT

5.2 로그 AP 탐지 실험 환경

로그 AP 탐지 실험에 앞서 k-SVM을 실행하기 위한 데이터-셋을 구성하기 위해 Table 4.의 데이터 수집방안과 Fig. 2.의 실험 방안을 정했으며, 데이터 수집 과정에 로그 AP와 일반 AP 모두 MS 윈도우(MS Windows)에서 제공하는 트레이스라우트 도구인 tracert.exe를 사용하였다.

Fig.2. Rogue AP detection using SVM

본 실험에서는 구성된 데이터-셋을 대상으로 k-SVM을 수행하기 위해 Accord.Net[30] 프레임워크(framework)에서 제공하는 SVM 라이브러리(library)를 사용하였으며, 커널 함수에서 사용하는 파라미터는 폴리노미널(polynomial)을 제외하고[31]를 이용하여 계산하였다.

실험 데이터는 아래 Table 5.와 같은 장비를 사용했으며 로그 AP는 LTE 스마트폰의 테더링 기능을 이용해 만들어진 모바일 AP를 통해 수집된 데이터를 사용하였다.

Table 5. Testing device

5.3 실험결과

홉 간 응답시간의 연관성을 고려하여 일반 AP와 로그 AP 간의 특성을 학습한 뒤, 이후 각 시험 데이터를 대상으로 탐지 과정을 수행 하였다. 실험 결과 라플라시안 커널(Laplacian kernel)을 사용하여 형성된 k-SVM의 Fig. 3.과 같이 오류 없이 100% 두 그룹을 분리할 수 있는 경계면이 생성되었으며, Fig. 4.과 같은 초월면을 가질 수 있었다.

Fig.3. Result of learning data

Fig.4. Generated hyperplane by SVM using Laplacian kernel

또한, Table 6.은 국내 대표 통신사들의 데이터를 사용하여 k-SVM으로 탐지 시험한 결과를 보여 준다.이 때 사용한 커널은 학습 데이터 생성 시 사용했던 파라미터를 사용하였으며 이 결과에서도 라플라시안 커널이 비교적 잘 맞는 것으로 확인되었다.

Table 6. Rogue AP detection result

^* Negative: Rogue AP, Positive: Normal AP, Polynomial Kernel의 Degree = 3, FP: False Positive(%), FN: False Negative(%), TC: Total Correctness(%)

VI. 결론

본 논문에서는 LTE망을 사용하는 로그 AP를 탐지하기 위해 RTT값을 특징점으로 하는 k-SVM 알고리즘 제안하였다. 제안한 알고리즘을 통해 수집한 데이터를 정해진 분류기를 이용하여 분류 및 학습을 수행하였고 학습 과정을 수행한 뒤 실험 데이터를 통 해 로그 AP 탐지 할 수 있음을 확인 하였다. 향후 보다 다양한 통신 환경에서 생성되는 로그 AP에 대응하기 위해 라우팅 알고리즘과 SVM 이외에 신경망과 같은 기법에 대한 비교 검증 실험과 학습 및 테스트 셋을 확장하고 제약 조건 인자에 대해 더 정확하고 유연한 결과 도출을 위한 연구가 필요하다.