• Proceedings of the Korean Information Science Society Conference
• /
• 2005.07a
• /
• pp.133-135
• /
• 2005

인터넷에서 일어나는 침해사고 중에서 웜에 의한 피해가 가장 심각하다. 2001 년 Code Red 웜의 출현과 2003 년 SQL Slammer 웜의 출현 이후로 웜에 감염된 이후에 행동 양상을 탐지하여 대응하는 것은 웜의 피해를 최소화 하기에는 역부족이다. 웜에 의해서 감염이 되기 이전에 웜을 탐지하여 조기에 대처하는 것이 무엇보다 중요하다. 또한 이미 알려져 있는 웜에 대한 행동양상을 이용한 웜의 탐지는 신종 웜의 출현 주기가 급격히 짧아지는 현실에 능동적으로 대처할 수 없다. 현재까지 발생한 인터넷 웜은 감염시킬 대상을 선택함에 있어서 랜덤 생성기를 사용하였으며 향후 나타날 웜도 빠른 확산과 자신의 위치를 드러내지 않기 위해 랜덤 스케닝 방식을 사용할 것이다. 본 연구는 네트워크의 연결들을 행렬로 표현하고, 이 행렬의 랭크(rank)값을 구하여 랜덤성 체크를 하는 방식으로, 웜으로 인한 트래픽에서 발생하는 랜덤성을 탐지할 수 있도록 하였다. 이 방법은 네트워크에서 알려지지 않은 신종 웜을 탐지하도록 하므로, 웜에의한 확산을 조기 탐지할 수 있게 하고, 더불어 웜의 피해를 최소화 하는 것을 목적으로 한다.

• Review of KIISC
• /
• v.16 no.1
• /
• pp.64-74
• /
• 2006

가장 통상적인 사이버 공격 형태는 컴퓨터 네트워크에 대한 공격으로 악성 코드가 이용된다 이 중에서도 웜에 의한 공격이 현재의 고도로 네트워크화 된 환경에서 심각한 위협이 되고 있다. 인터넷 웜의 효시인 모리스가 발표된 이후로 웜에 대한 많은 연구가 이루어지고 있으나, 웜의 공격을 사전에 방지하기 위한 확실한 대책이 없는 실정이다. 최근에 웜의 대응 기술 중의 하나로 웜의 빠른 확산을 방지하기 위하여 트래픽 율(rate)을 제한하는 방법에 많은 관심이 집중되고 있다. 따라서 본 논문에서는 웜 공격에 따른 특성을 분석하고, 웜의 확산을 막기 위하여 사용되는 Rate-limiting을 포함하여, 봉쇄(containment) 기술에 대하여 제시하고자 한다.

• Journal of the Korea Institute of Information and Communication Engineering
• /
• v.19 no.12
• /
• pp.2858-2864
• /
• 2015

Internet worms have been the major Internet threats may disclose important information and can bring about faults of computer systems, which spread with the fastest speed among malicious codes. Simultaneously spreading multiple worms and its variants are revealing the limitation of conventional responses based on single worms. In order to defend them effectively, it is necessary to study how multiple worms propagate and what factors affect worm spreading. In this paper, we improve the existed single worm spreading models and try to describe the correct spreads of multiple worms. Thus we analyze the spreading effects of multiple worms and its variants by various experiments.

• Electronics and Telecommunications Trends
• /
• v.20 no.1 s.91
• /
• pp.9-16
• /
• 2005

최초의 인터넷 웜(worm)으로 불리는 Morris 웜이 1988년 11월에 발표된 이래로 현재까지 많은 웜 공격이 발생되고 또 발표되어 왔다. 초기의 웜은 작은 규모의 네트워크에서 퍼지는 정도였으며, 실질적인 피해를 주는 경우는 거의 없었다. 그러나 2001년 CodeRed 웜은 인터넷에 연결된 많은 컴퓨터들을 순식간에 감염시켜 많은 피해를 발생시켰으며 그 이후 2003년 1월에 발생한 Slammer 웜은 10분이라는 짧은시간안에 75,000여 대 이상의 호스트를 감염시키고 네트워크 자체를 마비시켰다. 특히 Slammer 웜은 국내에서 더욱 유명하다. 명절 구정과 맞물려 호황을 누리던 인터넷 쇼핑 몰, 은행 거래 등을 일시에 마비시켜 버리면서 경제적으로도 막대한 피해를 우리에게 주었다. 이런 웜을 막기 위해서 많은 보안 업체들이나서고 있으나, 아직은 사전에 웜의 피해를 막을만한 확실한 대답을 얻지 못하고 있다. 본 문서에서는 현재 웜의 발생 초기 단계를 탐지하고 이를 피해가 커지기 이전에 막기 위한 연구들을 설명할 것이다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2005.11a
• /
• pp.10-12
• /
• 2005

인터넷 및 네트워크가 급격하게 발전함에 따라 많은 피해가 발생하고 있으며, 이러한 피해중 웜은 많은 장비 및 네트워크 상의 위협을 준다 이러한 위협이 되는 웜을 잘 대처하기 위해서는 웜의 행동자체에 대한 파악을 반드시 해야 하고 이에 선행 연구작업으로써 웜 분류는 반드시 실시되어야 한다. 외국의 웜 분류 연구중 UC Berkeley와 시만텍사의 분류방안을 살펴보고 그러한 분류 방안에 기반한 트래픽 및 웜 행동 패턴을 기준으로 전파특성과 웜의 행동 단계별 기준하에 재정립 및 분류 기법을 제안하겠다. 이러한 웜의 분류는 차후 시뮬레이터 모듈의 구현과 칵 모듈의 조합을 통한 구체적인 웜 모델링에 대한 연구의 기초가 된다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2005.11a
• /
• pp.901-904
• /
• 2005

인터넷이 생활과 밀접하게 연결되면서 인터넷에 대한 공격이 엄청난 피해를 야기시킬 수 있게 되었다. 웜은 스스로를 복제하여 인터넷 상의 취약한 호스트들을 공격하여 여러가지 피해를 야기시키고 있다. 웜을 탐지하고 방어하기 위해 inbound/outbound 스캔률 검사, 웜 시그니처 검사와 같은 네트워크 기반 침입탐지 방법과 웜 생성 파일 검사, 파일 무결성 검사와 같은 호스트 기반 침입탐지 방법이 제안되었다. 하지만 단일 시스템에서의 웜 탐지는 한계가 있을 뿐만 아니라 대응에 있어서도 더딜 수 밖에 없다. 본 논문에서는 웜 탐지 시스템을 분산 배치시킴으로써 탐지의 정확성을 확보하였고 웜 경보를 모든 웜 탐지 시스템에 송신함으로써 대응에 있어 신속성을 제공해준다. 뿐만 아니라 취약성 데이터베이스를 통해 최신으로 갱신만되어 있다면 제로데이 공격에도 대응할 수 있는 메커니즘을 제공한다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2005.07a
• /
• pp.214-216
• /
• 2005

현재 인터넷 웜에 관한 관심과 연구가 활발해 지면서 인터넷 웜 전파 특성 시뮬레이션 방법에 관한 연구가 많이 진행 되고 있다. 하지만, 연구 되어온 기법들은 대부분 웜의 스캔기법과 같은 웜 자체에 전파 되는 알고리즘에 대해서만 고려한 시뮬레이션 환경을 제시 하였다. 웜의 특성 상 좀더 실제 네트워크 환경과 비슷한 환경을 제공 하려면, 웜의 전파 알고리즘 외에, 각 호스트들에 취약점 패치 유무, 타깃 호스트들의 Computing Power, 각 네트워크의 밴드위스 & 지연시간, 네트워크 별 보안 장비(방화벽, IPS)의 유무 등 여러 가지 웜 전파에 영향을 미치는 요소들이 존재한다. 따라서 본 연구에서는 먼저 웜의 전파에 영향을 미치는 요소를 특성에 따라 크게 4가지로 분류 해보고, 이를 효율적으로 시뮬레이션 환경에 적용 할 수 있는 방안을 제안한다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2012.06a
• /
• pp.98-100
• /
• 2012

모바일 웜의 전파 속도는 시간이 지날수록 급격히 빨라진다. 급속도로 전파하는 웜을 억제하기 위한 연구가 계속 진행되어 왔다. 기존 연구 중 하나로 소셜 네트워크를 그래프(Graph)로 표현하고 분할한 뒤 각 파티션의 대표노드(Key Node)를 선택해 웜 패치를 전파하는 기법이 있다. 이 기법은 패치 전파 속도를 웜 전파 속도보다 빠르게 해서 웜을 억제 시킨다. 하지만 이 기법에서는 대표노드에 가중치(Weight)가 낮은 간선(Edge)이 연결 될 수 있거나 대표노드가 없는 파티션이 생길 수 있다. 잘못된 대표노드 선정은 패치 전파속도를 저하시키고 웜 억제를 지연시킬 수 있다. 본 논문에서는 페이지랭크를 이용해서 대표노드를 선정하는 개선된 소셜 네트워크 기반의 웜 패칭 기법을 제안한다. 제안 기법은 웜 패칭 전략에 사용할 수 있도록 수정한 페이지랭크를 각 파티션에 적용해서 대표노드를 선정한다. 파티션마다 전파 능력이 가장 높은 노드가 대표노드로 선정되기 때문에 웜 패치 전파 속도를 향상시킬 수 있다.

• Review of KIISC
• /
• v.15 no.2
• /
• pp.74-82
• /
• 2005

오늘날 네트워크 보안 기술은 해커의 침입 탐지 및 제어, 분산 서비스 거부 공격의 방지 등 많은 분야에서 발전하여 왔다. 그러나, 최근 많은 문제를 발생시키면서 등장한 인터넷 웜은 기존의 네트워크 보안 장비들을 무력화시키며 인터넷 상에 연결된 많은 호스트들을 감염시키고 동시에 네트워크 자원을 소모시켜 버렸다. 실상 초기의 웜은 작은 규모의 네트워크에서 퍼지는 정도 일뿐 심각한 피해를 주는 경우는 거의 없었고 따라서 이에 대해서 심각한 대비책 등을 생각하지는 않았다. 그러나 2001년 발생한 CodeRed 웜은 인터넷에 연결된 많은 컴퓨터들을 순식간에 감염시켜 많은 경제적, 물질적 피해를 발생시켰고, 그 이후 2003년 1월에 발생한 Stammer 웜은 10분이라는 짧은 순간 안에 75000 여대 이상의 호스트를 감염시키고 네트워크 자체를 마비시켰다. 특히 Stammer 월은 국내에서 많은 피해를 유발시켰기에 더더욱 유명하다. 명절 구정과 맞물려 호황을 누리던 인터넷 쇼핑 몰과, 인터넷 금융 거래를 수행하던 은행 전산소 등을 일시에 마비시켜 버리면서 경제적으로도 실질적인 막대한 피해를 우리에게 주었다. 이런 웜을 막기 위해서 많은 보안 업체 및 연구소들이 나서고 있으나, 아직은 사전에 웜의 피해를 막을만한 확실한 대답을 얻지 못하고 있다. 본 논문에서는, 현재 수행하고 있는 여러 웜의 탐지기법에 대해서 조사한 결과를 설명하고, 이어서 본 연구소에서 수행하고 있는 웜의 탐지 기법에 대해서 설명하고 간단한 탐지 결과를 보일 것이다.

• The Journal of the Korea Contents Association
• /
• v.6 no.12
• /
• pp.155-162
• /
• 2006

It was well known that how much seriously the Internet worm such as the Code Red had an effect on our daily activities. Recently the rapid growth of the Internet speed will produce more swift damage us in a short term period. In order to defend against future worm, we need to understand the propagation pattern during the lifetime of worms. In this paper, we analyze the propagation pattern of the Code Red worm by a computer simulation. In particular, we show that an existing simulation result about the number of infectious hosts does not match the observed data, and then we introduce a factor of revised human countermeasures into the simulation. We also show the simulation results presenting the importance of patching and pre-patching of the Internet worm.