• 정보보호학회논문지
• /
• 제17권1호
• /
• pp.57-66
• /
• 2007

스캐닝 웜은 네트워크 관리자가 미처 대응하기 전에 넓게 전파되므로 차단하기 힘들고 그 피해가 상당히 크다. 따라서 자동으로 스캐닝 웜의 발생을 탐지하고 이에 대응할 수 있는 방법이 필요하다. 본 논문에서는 스캐닝 웜의 트래픽 특성을 분석하여 정상 트래픽과 이상 트래픽을 구분할 수 있는 탐지 알고리즘을 제안한다. 스캐닝 웜의 탐지를 위해 variance, VMR 및 correlation coefficient를 이용하는 방법을 제안하고, 시뮬레이션을 통해 기존의 방법과 성능을 비교하였다. 그 결과 기존의 방법에 비하여 간단한 계산을 통해 스캐닝 웜의 효율적인 탐지가 가능함을 확인하였다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2009년도 춘계학술발표대회
• /
• pp.1482-1485
• /
• 2009

DDoS 공격은 네트워크 보안에 큰 피해를 미치는 공격기법의 하나로써, 국내외로 많은 피해를 유발하고 있으며, 최근에도 DDoS 공격에 의한 피해는 빈번하게 보고되고 있다. DDoS 공격은 실제 공격에 앞서 웜과 악성 BOT을 이용하여 공격을 직접 수행할 호스트를 감염시킨다. 웜과 악성 BOT이 타깃 호스트를 감염시키기 전에 반드시 수행하는 것이 취약점에 대한 스캐닝이다. 본 논문에서는 웜과 악성 BOT의 스캐닝 행위에 초점을 맞추어 DDoS 공격으로부터 안전한 네트워크를 구축하기 위한 역 IP spoofing을 이용한 DDoS 웜 스캐닝 트래픽의 처리기법을 제안한다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2005년도 가을 학술발표논문집 Vol.32 No.2 (1)
• /
• pp.82-84
• /
• 2005

기존의 웜 탐지는 중요한 네트워크 소스의 폭주라 스위치 라우터 및 말단 시스템에서의 변동 효과를 가지고 공격을 판단했었다. 하지만 최근의 인터넷 웜은 발생 초기에 대응하지 못하면 그 피해의 규모가 기하급수적으로 늘어난다. 또한 방어하기가 어려운 서비스 거부 공격을 일으킬 수 있는 간접 공격의 주범이 될 수 있다는 정에서 웜의 탐지와 방어는 인터넷 보안에 있어서 매우 중요한 사안이 되었다. 본 논문에서는 이미 알려진 공격뿐 아니라 새로운 웜의 스캐닝 공격을 탐지하기 위하여, 패턴 분류 문제에 있어서 우수한 성능을 보이는 Support Vector Machine(SVM)[1]을 사용하여 인터넷 웜의 스캐닝 공격을 탐지하는 시스템 모델을 제안한다.

• 한국정보과학회논문지:정보통신
• /
• 제35권6호
• /
• pp.474-481
• /
• 2008

스캐닝 웜은 자기 스스로 복제가 가능하며 네트워크를 통해서 짧은 시간 안에 아주 넓은 범위에 걸쳐 전파되므로 네트워크의 부하를 증가시켜 심각한 네트워크 혼잡현상을 일으킨다. 따라서 실시간으로 스캐닝 웜을 탐지하기 위해 많은 연구가 진행되고 있으나 대부분의 연구가 패킷 헤더 정보를 이용하는 방법에 중점을 두고 있으며, 이 방법은 네트워크의 모든 패킷을 검사해야 하므로 비효율적이며 탐지시간이 오래 걸린다는 단점이 있다. 따라서 본 논문에서는 네트워크 트래픽량, 트래픽량의 미분값, 트래픽량의 평균 미분값, 트래픽량의 평균 미분값과 평균 트래픽량의 곱에 대한 variance를 통해 스캐닝 웜을 탐지하는 기법을 제안한다. 실제 네트워크에서 측정한 정상 트래픽과 시뮬레이터로 생성한 웜 트래픽에 대해 성능을 분석한 결과, 기존의 탐지기법으로는 탐지되지 않는 코드레드와 슬래머를 제안한 탐지기법으로 탐지할 수 있었다. 또한 탐지속도를 측정한 결과 웜 발생초기에 모두 탐지가 되었는데, 슬래머는 발생 후 4초만에 탐지되었으며, 코드레드와 위티는 발생한지 11초만에 탐지되었다.

• 전자공학회논문지CI
• /
• 제47권5호
• /
• pp.67-74
• /
• 2010

최근에는 일반적인 웜의 확산 특성을 분석하여 이를 이용해 웜으로 의심되는 트래픽을 사전에 차단하는 방법이 활발히 연구되고 있다. 그러나 아직 구체적인 모델링 방법에 대한 명확한 기준이 없으며, 급변하는 웜의 특성을 반영한 사전 탐지가 쉽지 않은 실정이다. 이에 본 논문에서는 현재 제시되어 있는 웜의 탐지 모델들을 분석하였고, 웜의 확산 과정에 있어서 새로운 감염대상을 찾기 위한 스캐닝 방법이 가장 주요한 요소임을 확인하였다. 이를 바탕으로, Lovgate, Blaster, Sasser 3가지 웜의 확산 과정시 스캐닝 방법을 분석하였고, 분석한 내용을 바탕으로 각각의 프로파일을 구축하였다. 구축된 스캐닝 프로파일 기법을 적용한 웜의 탐지 모델을 시뮬레이션 함으로써 실제 웜의 확산 과정을 예측해 본다. 또한 제안 기법의 검증을 위해 실제 테스트 베드를 구축하고 제안 모델을 적용하여 탐지 가능성을 확인하였다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2006년도 춘계학술발표대회
• /
• pp.521-524
• /
• 2006

인터넷 사용의 급증과 함께 Code-Red나 Slammer와 같은 웜이 급격히 확산 되고 있으며 네트워크를 통해 스스로 전파되면서 네트워크 자원을 고갈시킴으로써 문제가 더욱 심각해지고 있다. 이에 따라 웜을 탐지하기 위한 많은 방법들이 제시되었다. 본 논문에서는 DoS 탐지를 위해 고안 된 트래픽 비율 분석법을 이용하여 정상 네트워크와 웜이 발생 시키는 스캐닝 관련 행위에 대한 패킷 비율을 비교하였다. 이 방법을 통해 네트워크 내에서 웜에 감염된 호스트를 찾아내고 오탐지율을 최소화하는 방법과 웜 전파 행위를 탐지해 내는 방법에 대해서 제안한다. 또한 실제 네트워크에서 수집된 트래픽으로부터 웜의 특성을 분석해 본 결과 최근 웜들의 전파방식을 분석 할 수 있었다.

• 융합보안논문지
• /
• 제6권4호
• /
• pp.75-82
• /
• 2006

인터넷 웜은 1.25 인터넷 대란의 경우에서도 알 수 있듯이 네트워크를 마비시키고, 정보를 유출하는 등 여러 가지 피해를 준다. 본 논문에서는 이를 예방하기 위하여 자신의 PC에서 인터넷 웜을 탐지하고 자동 대응을 수행할 수 있는 방안을 제시하였다. 인터넷 웜의 특징인 트래픽 기반 네트워크 스캐닝을 탐지하여 이에 대한 대응을 수행하며, 웜에 감염된 프로세스를 중단시키고, 해당 트래픽이 외부로 유출되는 것을 방지하며, 웜에 감염된 실행파일을 고립시키고 특정위치에 이동함으로써, 사후에 웜에 대한 조사를 원활히 수행할 수 있도록 구성하였다. 이런 방식은 알려지지 않은 웜의 탐지에도 유용하며, 이를 통해 안정적인 네트워크 운영이 가능할 것이다.

• 정보보호학회논문지
• /
• 제17권5호
• /
• pp.73-86
• /
• 2007

웜에 의한 사이버 위협이 증가함에 따라 원의 전파 특성을 분석하기 위한 웡 전파 모델링 기법들이 연구되고 있다. 대표적인 예로 수학적 모델링 기법인 Epidemic, AAWP(Analytical Active Worm Propagation Modeling), 및 LAAWP(Local AAWP) 등의 모델링 기법들이 제시되었다. 하지만, 이들 기존 모델링 기법들은 대부분 Ipv4 전체 네트워크를 대상으로 하는 랜덤 스캐닝 기법에 대해서만 모델링이 가능하며, 웜에 대한 인간의 대응활동인 보안패치 및 백신프로그램 업데이트 등의 행위를 표현하는데 한계점을 가지고 있다. 이에 본 논문에서는 AAWP와 LAAWP 모델링 기법들의 수식과 파라미터를 확장하는 모델로 ALAAWP(Advanced LAAWP Modeling)를 제안한다. 제안하는 모델은 웜 모델링에 있어 네트워크 및 스캐닝 기법 표현에 유연성을 가지며, 다양한 파라미터의 추가를 통하여 월의 전파에 의한 피해정도 및 방어대책의 적절성 검증에 효과적으로 이용이 가능하다.

• 융합보안논문지
• /
• 제8권4호
• /
• pp.173-181
• /
• 2008

최근 웜에 의한 사이버 위협이 증가함에 따라 웜의 확산 특성을 분석하기 위한 전파 모델이 연구되고 있다. 대표적인 예로 수학적 모델링 기법인 Epidemic(SI), KM(Kermack-MeKendrick), Two-Factor, AAWP(Analytical Active Worm Propagation)등의 모델 기법들이 제시되었다. 하지만, 기존 모델 방법들은 대부분 코드레드와 같은 네트워크를 대상으로 하는 랜덤 스캐닝 기법에 대해서만 모델링이 가능하다. 또한 거시적인 분석만 가능하고 특정 위협에 대해 예측하는데 한계점을 가지고 있다. 따라서 본 논문에서는 과거의 위협 발생 데이터를 근거로 하여 Mass SQL Injection 같은 사이버위협에 적용 가능한 마코브 체인(markov chain) 기반 예측 방법을 제시한다. 이를 통하여 각 위협별 발생 확률 및 발생빈도를 예측할 수 있다.

• 한국정보과학회논문지:정보통신
• /
• 제36권3호
• /
• pp.173-183
• /
• 2009

본 논문에서는 엔트로피에 기반한 이상징후 탐지 시스템을 제안한다. 엔트로피는 시스템의 무질서정도를 측정하는 지표로써, 이상징후 출현 시 네트워크의 엔트로피는 급증한다. 네트워크를 IP와 포트번호를 기준으로 분류하여, 패킷별로 역학을 관찰하고 엔트로피를 각각 측정한다. 분산서비스거부공격이나 웜, 스캐닝 등의 네트워크 공격 출현 시 패킷 교환과정이 정상적일 때와는 다르므로 엔트로피를 통하여 기존기법 보다 높은 탐지율로 이상징후를 탐지할 수 있다. 본 논문에서는 다수의 원과 서비스거부공격을 포함한 데이터 셋을 수집하여 제안기법을 검증하였다. 또한 지수평활법, Holt-winters 등의 시계열예측 기법과 주성분분석을 이용한 이상징후 탐지 기법과 정확도 측면에서 비교한다. 본 논문에서 제안한 기법으로 웜, 서비스거부공격 등의 이상징후 탐지에 있어 오탐지율을 낮출 수 있다.