• 정보보호학회논문지
• /
• 제28권2호
• /
• pp.397-405
• /
• 2018

악성코드로 의심되는 프로세스를 효과적으로 탐지하기 위해서 블랙리스트 기반으로 제작된 도구들이 가장 보편적으로 사용되고 있다. 블랙리스트 기반의 도구는 기존에 발견된 악성코드의 특징을 추출한 후 이를 이용하여 악성행위를 하는 것으로 추정하는 프로세스와 비교한다. 그러므로 기존에 알려진 악성코드를 탐지하기에는 가장 효과적이지만 악성코드 변종을 탐지하는 것은 한계가 있다. 이런 문제를 해결하기 위해서 블랙리스트와 반대개념인 화이트리스트기반 도구의 필요성이 대두되었다. 화이트리스트기반의 도구는 악성코드 프로세스의 특징을 추출하는 것이 아닌, 신뢰할 수 있는 프로세스를 수집해놓고, 검사하는 프로세스가 신뢰할 수 있는 프로세스인지를 확인한다. 즉, 악성코드가 신규 취약점을 이용해 만들어지거나 변종 악성코드가 등장하더라도 신뢰 프로세스목록에 없기 때문에 효과적으로 악성코드를 탐지해낼 수 있다. 본 논문에서는 macOS 운영체제에서 신뢰할 수 있는 프로세스를 수집하는 연구를 통해 효과적으로 화이트리스트를 구축하는 방법을 제시하고자 한다.

• 정보보호학회논문지
• /
• 제29권2호
• /
• pp.431-438
• /
• 2019

파일리스 악성코드는 악성 행위를 수행할 페이로드의 흔적을 은닉하기 위해 메모리 주입 공격을 이용한다. 메모리 주입 공격 중 프로세스 할로윙이라는 이름의 공격은 시스템 프로세스 등을 일시정지 상태로 생성시킨 다음, 해당 프로세스에 악성 페이로드를 주입시켜 정상 프로세스인 것처럼 위장해 악성행위를 수행하는 방법이다. 본 논문은 프로세스 할로윙 공격이 발생했을 경우, 악성 행위 실제 수행 여부와 상관없이 메모리 주입 여부를 검출할 수 있는 방법을 제안한다. 메모리 주입이 의심되는 프로세스와 동일한 실행 조건을 갖는 복제 프로세스를 실행시키고, 각 프로세스 가상 메모리 영역에 속해있는 데이터 집합을 퍼지 해시를 이용해 비교한 다음 유사도를 산출한다.

• 정보화정책
• /
• 제24권4호
• /
• pp.68-78
• /
• 2017

악성코드는 나날이 복잡해지고 다양화되어 단순한 정보유출에서부터 시스템에 대한 심각한 피해를 유발하는 실정에 이르렀다. 이러한 악성코드를 탐지하기 위해 코드분석에 역공학을 이용하는 많은 연구가 진행되었지만, 악성코드 개발자도 분석방법을 우회하는 다양한 기법을 활용함으로써 코드분석을 어렵게 하였다. 특히, 악성코드의 감염여부조차 판단하기 어려운 루트킷 기법들이 진화하고 있고, 악성코드가 이 기법들을 흡수함으로써 그 문제의 심각성은 더욱 커지고 있다. 따라서 본 논문에서는 분석기법들을 우회하는 악성코드에 재빠르게 대응하기 위한 분석 프로세스를 설계하였다. 설계된 프로세스를 통하여 악성코드의 탐지를 더욱 효율적으로 할 수 있을 것으로 사료된다.

• 정보보호학회지
• /
• 제27권6호
• /
• pp.29-32
• /
• 2017

현대 사회에서 주요 사회적 이슈가 되는 CCTV, 네트워크 프린터, 스마트 가전기기 등 IoT 장비 해킹 사고의 발생 횟수 및 피해 규모는 지속적으로 증가하고 있다. 최근 침해사고 사례를 살펴보면, 엔드포인트에 해당하는 IoT 장비의 허술한 보안대책으로 인하여 악성코드 설치 및 실행을 탐지하지 못한 피해가 대부분이다. 이로 인해 IoT 장비에 대한 악성 프로세스 실행 제어 제품이 개발되어 도입되는 추세이지만, 아직까지 안전성 평가에 대한 연구가 부족한 실정이다. 따라서 본 논문에서는 IoT 장비에 대한 악성 프로세스 실행 제어 제품의 기본 보안요구사항을 식별하고, 필요한 시험항목과 시험 시 유의사항에 대해 제안한다.

• 정보보호학회논문지
• /
• 제30권1호
• /
• pp.75-86
• /
• 2020

최근 윈도우즈 운영체제 환경에서 악성코드가 고도화됨에 따라 악의적인 행위를 수행하는 주체가 프로세스가 아닌 경우가 많이 발생하고 있다. 운영체제에 기본적으로 탑재된 프로세스 등에 삽입되어 동작하는 악성코드는 DLL/코드 인젝션과 같은 방식으로 스레드 단위로 동작한다. 이 경우 프로세스 단위로 악성 유무를 진단 및 차단하는 것은 시스템 운영에 심각한 문제를 야기할 수도 있다. 본 논문에서는 프로세스 기반 모니터링 정보를 사용하여 프로세스의 악성유무를 판단하고 차단하는 방법이 가지고 있는 문제점을 나열하고 그에 대한 개선된 방안을 제시한다.

• 한국정보통신학회:학술대회논문집
• /
• 한국정보통신학회 2015년도 춘계학술대회
• /
• pp.706-707
• /
• 2015

최근 인터넷 사용이 급증함에 따라 통신망을 통한 악성코드의 감염 경로가 다양해지고 있다. 특히, 봇(Bot)에 의한 공격은 주로 C&C(command-and-control)서버에서 이루어지는데, C&C서버가 IP 형태로 운영되므로 IP를 차단하는 방식을 통해 보안을 유지할 수밖에 없었다. 그러나 공격자들 역시 이러한 서버 차단을 회피하기 위해 우회적인 방법으로 접속을 시도하는 등 차츰 지능화되고 있다. 이러한 악성코드는 사용자의 시스템에 침입하면, 실행이 되는 동안 일반적인 검출방법으로는 검출해 내기가 쉽지 않다. 따라서 본 논문에서는 악성코드 감염에 의한 피해 확산을 방지하기 위해 보안에 이전트 기반의 악성프로세스 검출시스템 모델을 제시하고자 한다.

• 한국컴퓨터정보학회논문지
• /
• 제19권1호
• /
• pp.85-94
• /
• 2014

본 논문에서는 사용자 시스템이 악성 프로그램에 의해 피해를 입은 후 시그니처나 보안 패치가 나오기 전에 피해를 최소화하기 위한 방법으로 파일 DNA 기반의 행위 패턴 분석을 통한 탐지 기법을 연구하였다. 기존의 네트워크 기반의 패킷 탐지기법과 프로세스 기반 탐지 기법의 단점을 보완하여 제로데이 공격을 방어하고 오탐지를 최소화하기 위해 파일 DNA 기반 탐지기법을 적용하였다. 파일 DNA 기반 탐지기법은 악성코드의 비정상 행위를 네트워크 관련 행위와 프로세스 관련 행위로 나누어 정의하였다. 사용자 시스템에서 작동되는 프로세스의 중요한 행위와 네트워크 행위를 정해진 조건에 의해 검사 및 차단하며, 프로세스 행위, 네트워크 행위들이 조합된 파일 DNA를 기반하여 악성코드의 행위 패턴의 유사도를 분석하여 위험경고 및 차단을 통한 대응 기법을 연구하였다.

• 한국통신학회논문지
• /
• 제35권3B호
• /
• pp.431-439
• /
• 2010

탐지룰을 기반으로 하는 보안 시스템들은 신종 인터넷 웜에 대응할 수 없다는 문제가 있다. 본 논문에서는 탐지룰을 사용하지 않고 인터넷 웜 공격으로부터 서버를 보호하는 악성 프로세스 및 실행파일 제거 시스템을 제안한다. 제안 시스템은 보호대상서버와 동일한 서비스 프로그램을 구동하면서 인터넷 웜에 의한 멀티캐스팅 공격을 탐지하는 제어서버와 제어서버의 지시에 따라 보호대상서버에 생성된 악성 프로세스와 악성 실행파일을 제거하는 에이전트로 구성된다. 제안 시스템은 탐지룰을 사용하지 않기 때문에 신종 인터넷 웜에 효과적으로 대응할 수 있으며, 기존의 보안 시스템들과 통합될 경우 보안을 더욱 강화할 수 있다.

• 인터넷정보학회논문지
• /
• 제14권2호
• /
• pp.61-71
• /
• 2013

지금까지 인터넷 웜에 대응하기 위한 다양한 연구가 진행되어 왔다. 대부분의 인터넷 웜 탐지 및 차단 시스템은 탐지룰을 이용하여 인터넷 웜 공격에 대응하지만 새로운 인터넷 웜에 대응할 수 없는 문제가 있다. 이에 인터넷 웜의 멀티캐스트 특징을 이용한 악성 프로세스 제어 시스템이 제안되었다. 하지만 이 시스템은 서비스를 제공해야 할 서버의 수가 많을수록 시스템 구축비용이 증가하고 부분적 공격 유형의 인터넷 웜 공격 탐지 확률이 낮다. 본 논문에서는 악성 프로세스 제어 시스템의 구축비용을 절감하고, 부분적 공격 유형의 인터넷 웜 공격 탐지 확률을 높일 수 있는 보안 프레임워크를 제안한다. 제안된 보안 프레임워크에서는 가상머신을 이용하여 제어서버 구축비용을 줄이며, 사용되지 않는 여분의 IP 주소를 동적으로 인터넷 웜 공격 탐지에 이용함으로써 부분적 공격 유형의 인터넷 웜 공격 탐지 확률을 증가시킬 수 있다. 결국 제안된 보안 프레임워크는 비교적 낮은 비용으로 새로운 유형의 다양한 인터넷 웜에 효과적으로 대응할 수 있다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2023년도 춘계학술발표대회
• /
• pp.392-393
• /
• 2023

매년 급증하는 악성코드(malware)로 인해 기업, 공공기관 등 다수의 PC가 있는 대상까지 피해 사례가 늘고 있다. 악성코드로 인한 침해사고 흔적에서 비정상적인 동작을 한 프로세스를 찾는 기술은 해당 PC의 침해 여부 판단, 사후 대응 등 사이버 보안에 기여할 수 있을 것이다. 본 연구에서는 최근접 이웃 방법을 활용하여 시스템 메모리 데이터에서 비정상 프로세스를 검출하는 방안을 제시한다. 또한 실험을 통해 제안 방법이 정확도 및 여러 지표에서 우수한 성능을 달성함을 보였다.