A Study for Task Detection Acquiring Abnormal Permission in Linux

The Purpose of local system attacks is to acquire administrator's(root) privilege shell through the execution of the malicious program or change the flow of the program. This acquiring shell through attack is still valid approach method and it is difficult to cope with improving each of vulnerability because the attacker can select various forms of attack. Linux allocate a set of credentials when login, in order to manage user permissions. Credentials were issued and managed by the kernel directly, and also the kernel ensures that any change cannot be occurred outside of kernel. But, user's credentials that acquired root privilege through system attacks occurs a phenomenon that does not remain consistent. In this paper we propose a security module to detect a security threats that may cause to users and tasks by analysis user task execution and inconsistency credentials.

리눅스의 비정상 권한 획득 태스크의 탐지방법 연구

로컬 시스템에 대한 공격은 프로그램의 흐름을 변경하거나, 악의적인 프로그램의 실행을 통해 관리자 권한의 쉘을 획득하는 것을 목적으로 한다. 공격을 통해 쉘을 실행하는 방법은 현재까지도 유효한 방법이며, 공격자는 다양한 형태로 공격을 수행하기 때문에 각각의 취약점을 개선하는 것으로는 대처가 어렵다. 리눅스는 사용자 권한 관리를 위해 로그인 시에 커널이 발급하는 권한의 집합인 자격증명을 할당한다. 자격증명은 커널이 직접 발급 및 관리하고, 커널 외부에서 변경되지 않을 것을 보장한다. 그러나 시스템 공격을 수행하여 관리자 권한을 획득한 사용자는 자격증명 일관성이 유지되지 않는 현상이 발생한다. 본 논문에서는 이러한 자격증명이 불일치한 사용자의 태스크 실행 요청을 분석하여 보안 위협이 발생할 수 있는 사용자와 태스크를 탐지하는 보안 모듈을 제안한다.