Convergence Security Journal (융합보안논문지)

Korea convergence Security Association (한국융합보안학회)
권호 표지

A Study on Secure Model based Virtualization for Web Application Security

웹 어플리케이션 보안을 위한 가상화 기반 보안 모델

  • 양환석 (중부대학교/정보보호학과) ;
  • 유승재 (중부대학교/정보보호학과)
  • Received : 2014.05.30
  • Accepted : 2014.06.27
  • Published : 2014.06.30
Download PDF
⟨ Previous Next ⟩

Abstract

Utilization of web application has been widely spread and complication in recent years by the rapid development of network technologies and changes in the computing environment. The attack being target of this is increasing and the means is diverse and intelligent while these web applications are using to a lot of important services. In this paper, we proposed security model using virtualization technology to prevent attacks using vulnerabilities of web application. The request information for query in a database server also can be recognized by conveying to the virtual web server after ID is given to created session by the client request and the type of the query is analyzed in this request. VM-Master module is constructed in order to monitor traffic between the virtual web servers and prevent the waste of resources of Host OS. The performance of attack detection and resource utilization of the proposed method is experimentally confirmed.

네트워크 기술의 빠른 발전과 컴퓨팅 환경의 변화로 인하여 웹 어플리케이션 활용 분야가 최근 몇 년 사이에 광범위하게 넓어졌으며 복잡해졌다. 이러한 웹 어플리케이션이 중요한 서비스에 많이 사용되면서, 이를 대상으로 한 공격도 증가하고 있으며, 그 방법도 다양해지고 지능화되고 있다. 본 논문에서는 웹 어플리케이션의 취약점을 이용한 공격을 막기 위해 가상화 기술을 이용한 보안 모델을 제안하였다. 제안한 모델에서는 클라이언트 요청에 의해 생성되는 세션에 ID를 부여한 후 해당 요청에서 쿼리 유형을 분석하여 해당 가상 웹 서버에 전달함으로써 데이터베이스 서버에서도 쿼리에 대한 요청 정보를 인지할 수 있도록 하였다. 그리고 가상 웹 서버들 사이의 트래픽을 감시하고, Host OS의 자원 낭비를 줄이기 위해 VM-Master 모듈을 구성하였다. 제안한 기법의 공격탐지 및 자원 활용의 우수한 성능은 실험을 통하여 확인할 수 있었다.

Keywords

References

  1. Adam Kie˙zun, Philip J. Guo, Karthick Jayaraman, Michael D. Ernst, "Automatic Creation of SQL Injection and Cross-Site Scripting Attacks," ICSE‟09, May 16-24, 2009,
  2. Gonzalez, J. M., Paxson, V., and Weaver N., "Shunting: a hardware/so ware architecture for exible, high-performance network intrusion prevention," In Conference on Computer and Communications Security (CCS), pp.129-149, 2007.
  3. Fogla, P. and Lee, W., "Evading network anomaly detection systems: formal reasoning and practical techniques. In Proc of. ACM Conference on Computer and Communications Security (CCS), pp.59-68, 2006.
  4. D. Scott and R. Sharp, "Avstracting Application-Level Web Security," Proc. 11th Int'l Conf. World Wide Web, pp.396-407, 2002.
  5. Kruegel C., Mutz D., Valeur F., and Vigna G., "On the detection of anomalous system call arguments," In Proc. of European Symposium on Research in Computer Security, pp.326-343, 2003.
  6. W. R. Cook and S. Rai, "Safe Query Objects: Statically Typed Objects as Remotely Executable Queries," Proc. 27th Int'l Conf. Software Eng. pp.97-106, 2005.
  7. Klo M., Brefeld U., Dusse, P., Gehl C., and Laskov P., "Automatic feature selection for anomaly detection," In Proc. of ACM Workshop on Artical Intelligence for Security (AISEC), pp.71-76, 2008.