• 한국콘텐츠학회논문지
• /
• 제7권11호
• /
• pp.94-101
• /
• 2007

본 논문에서는 알려지지 않은 변형 웜을 탐지하기 위한 방법을 제안한다. 그 방법으로, 페이로드 영역에서 시그니쳐 생성 방안들을 패턴인식 알고리즘으로 연구되었던 Suffix Tree중에서 Longest Common Subsequence(LCSeq) 기법을 이용하여 새로운 시그니쳐를 자동적으로 생성할 수 있는 프로그램을 설계하여 구현하였다. 테스트를 통해 코드레드 웜과 님다 웜의 변종을 검출하는 과정을 보여주고 기존 snort의 시그니쳐와 LCSeq를 이용해 생성된 시그니쳐를 비교 평가하였다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2003년도 가을 학술발표논문집 Vol.30 No.2 (1)
• /
• pp.796-798
• /
• 2003

바이러스로 시작된 악성 코드는 웜이라는 형태로 발전하였다. 인터넷 망의 고속화와 확장에 의해 웜의 전파 속도와 감염 범위는 증가하였지만, 아직까지 웜을 차단할 수 있는 획기적인 방법은 개발되지 않았고, 웜에 의한 피해는 갈수록 치명적인 결과를 낳고 있다. 본고에서는 Bloom Filter［1］를 이용한 content filtering 방법을 제안한다. 실험을 통해, 이미 알려진 웜에 대한 Bloom Filter의 성능을 검증하였으며, 알려지지 않은 웜에 대한 Bloom Filter의 적용 방법도 제안한다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2003년도 봄 학술발표논문집 Vol.30 No.1 (C)
• /
• pp.127-129
• /
• 2003

최근 인터넷의 폭발적인 확장에 따라서 웹 서버의 절대 개수가 증가하였으며 웹 바이러스에 의만 웹 서버의 공격도 빈번해졌다. 바이러스의 무제한 자기 증식이라는 특성에 따라 인터넷상의 공격 패킷의 증가로 인하여 네트워크가 마비되고, 특히 IIS가 DoS공격으로 인하여 많은 피해를 입었다. 이에 따라 웜 바이러스의 공격을 방어하기 위한 많은 방법이 제시되었는데, 본 논문에서는 윙 바이러스의 공격 패턴을 분석하여 웜 바이러스의 공격 패턴의 특성이 어떠한지를 연구하였다. 대부분의 웜 바이러스 공격이 IIS에는 유효하지만 유닉스 시스템에서는 무력한 점을 이용하여 UNIX 시스템에서 구동되는 Apache 웹 서버의 로그 정보를 사용하여 웜 바이러스의 공격 패턴을 분석하였다 분석 결과 웜 바이러스의 공격 패턴은 Hurst 상수 H에 의만 자기 유사성을 나타내는 것을 알 수 있었다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2010년도 추계학술발표대회
• /
• pp.1252-1255
• /
• 2010

기존의 단일 시그니쳐를 이용한 악성 코드 침입 탐지 시스템은 자신의 컨텐츠를 변형시키는 변형웜을 잡기에는 적합하지 않다. 변형웜을 탐지하기 위한 노력으로 변형웜에 적합한 시그니쳐를 만들기 위한 노력이 있어왔다. 이 연구는 기존의 변형웜 탐지 시그니쳐 방법들을 분석하고 비교하여, 상호 보완적인 멀티 시그니쳐 방법을 제안한다. 이 방법은 정확도 높은 변형웜 탐지 시스템을 구성하기 위한 근본 기술로 활용될 것으로 기대한다.

• 전자공학회논문지CI
• /
• 제47권5호
• /
• pp.67-74
• /
• 2010

최근에는 일반적인 웜의 확산 특성을 분석하여 이를 이용해 웜으로 의심되는 트래픽을 사전에 차단하는 방법이 활발히 연구되고 있다. 그러나 아직 구체적인 모델링 방법에 대한 명확한 기준이 없으며, 급변하는 웜의 특성을 반영한 사전 탐지가 쉽지 않은 실정이다. 이에 본 논문에서는 현재 제시되어 있는 웜의 탐지 모델들을 분석하였고, 웜의 확산 과정에 있어서 새로운 감염대상을 찾기 위한 스캐닝 방법이 가장 주요한 요소임을 확인하였다. 이를 바탕으로, Lovgate, Blaster, Sasser 3가지 웜의 확산 과정시 스캐닝 방법을 분석하였고, 분석한 내용을 바탕으로 각각의 프로파일을 구축하였다. 구축된 스캐닝 프로파일 기법을 적용한 웜의 탐지 모델을 시뮬레이션 함으로써 실제 웜의 확산 과정을 예측해 본다. 또한 제안 기법의 검증을 위해 실제 테스트 베드를 구축하고 제안 모델을 적용하여 탐지 가능성을 확인하였다.

• 한국인터넷방송통신학회논문지
• /
• 제13권1호
• /
• pp.71-76
• /
• 2013

웜이란 시스템의 취약점을 탐색하고 취약한 시스템을 공격하여 훼손시키는 독립형 프로그램으로서, 네트워크를 통하여 자신을 복제하고 확산한다. 본 논문에서는 웜 탐지 및 차단 방법을 연구하였다. 먼저 가상 시뮬레이션 테스트베드인 Deterlab 환경에서 Codered II 웜 트래픽을 발생시켰다. 이 트래픽을 Earlybird를 이용하여 의심스러운 부분을 식별한 후, Wireshark를 통해 분석하여 Snort 규칙을 작성하였다. 다음으로 Codered II 웜 트래픽에, 앞에서 작성된 Snort 규칙을 적용함으로써, 생성된 로그 파일의 확인을 통해, 정상적으로 웜 탐지가 이루어짐을 확인할 수 있었다.

• 한국통신학회논문지
• /
• 제37권3B호
• /
• pp.212-218
• /
• 2012

인터넷 웜은 컴퓨터 네트워크를 이용하여 자기 자신을 자동으로 복제해서 전파하는 프로그램이다. 컴퓨터간의 네트워크 연결이 증가함에 따라 인터넷 웜은 급격해 확산되었고 큰 위협으로 남아있다. 코드 레드, 님다, 슬레머 같은 인터넷 웜의 특성과 이들의 활동을 억제하는 방법을 찾기 위해서 웜이 전파되는 특성을 연구하려는 많은 시도가 있었다. 네트워크 특징들이 인터넷 웜 전파에 미치는 영향은 모델의 간단성과 유사성 때문에 주로 의학계에서 사용되는 전염병 전파 모델을 이용하여 모델링이 되었다. 이런 의학계 모델링은 널리 사용되면서 여러 개선된 모델들이 다양하게 제안되었다. 우리는 이전의 제안된 모델들의 문제점을 분석한 후 통계적 방법을 사용하여 정확도를 높이는 새로운 방법의 웜 전파 모델링을 제안한다.

• 디지털콘텐츠
• /
• 9호통권136호
• /
• pp.26-29
• /
• 2004

세계적인 바이러스 백신업체 트렌드마이크로의 스티브창 CEO는 올해 초“앞으로 어떤 형태의 웜이 대형 사고를 칠 것 같으냐”라는질문에“모바일 분야에서 대형 사고가 있을 것이다”고 말한 바 있다. 그는“휴대폰이 PC처럼 바뀌고 있고 또 네트워크로 연결돼 있기 때문에 이곳을 겨냥한 웜이 등장할 가능성은 매우 높다”고 경고했다. 스티브창의 경고는 최근 현실로 나타났다. 심비안OS를 탑재한 휴대폰을 노린‘카비르’웜이 모습을 드러낸 것이다. 다행히 이번 웜은‘애교성’에 그쳤지만‘휴대폰 대국’인 우리나라에는‘적색경보’로 다가온다. 앞으로 좀더‘강한 놈’의 등장은 이제 시간문제로 부상했기 때문이다. 이에 앞으로 결코 바이러스로부터 안전하지 못한 휴대폰을 방어하기 위해 각계가 안전대책 현황을 점검한다.

• 정보처리학회논문지C
• /
• 제13C권7호
• /
• pp.821-830
• /
• 2006

전 세계적으로 큰 피해를 주는 웜을 탐지하고 필터링 하는 것은 인터넷 보안에서 큰 이슈중의 하나이다. 웜을 탐지하는 하나의 방법으로서 리눅스 넷필터 커널 모듈이 사용된다. 웜을 탐지하는 기본 동작으로서 스트링 매칭은 네트웍 상으로 들어오는 패킷을 미리 정의된 웜 시그니쳐(Signature, 패턴)와 비교하는 것이다. 웜은 하나의 패킷 혹은 2개(혹은 그 이상의) 연속된 패킷에 나타난다. 이때, 웜의 일부분은 첫 번째 패킷에 있고 나머지 부분은 연속된 패킷 안에 있다. 웜 패턴의 최대 길이가 1024 바이트를 넘지 않는다고 가정하면, 2048 바이트의 길이를 가지는 2개의 연속된 패킷에 대해서 스트링 매칭을 수행해야만 한다. 이렇게 하기 위해, 리눅스 넷필터는 버퍼에 이전 패킷을 저장하고 버퍼링된 패킷과 현재의 패킷을 조합한 2048 바이트 크기의 스트링에 대해 매칭을 수행한다. 웜 탐지 시스템에서 다루어야 하는 동시 연결 개수의 수가 늘어날수록 버퍼(메모리)의 총 크기가 증가하고 스트링 매칭 속도가 감소하게 된다. 이에 본 논문에서는 메모리 버퍼 크기를 줄이고 스트링 매칭의 속도를 증가시키는 버퍼를 이용하지 않는 스트링 매칭 방식을 제안한다. 제안된 방식은 이전 패킷과 시그니쳐(Signature)의 부분 매칭 결과만을 저장하고 이전 패킷을 버퍼링하지 않는다. 부분 매칭 정보는 연속된 패킷에서 웜을 탐지하는데 사용된다. 제안된 방식은 리눅스 넷필터 모듈을 수정하여 구현하였고, 기존 리눅스 넷필터 모듈과 비교하였다. 실험 결과는 기존 방식에 비해 25%의 적은 메모리 사용량 및 54%의 속도 향상을 가짐을 확인하였다.

• 정보보호학회논문지
• /
• 제17권3호
• /
• pp.43-53
• /
• 2007

인터넷에 대한 의존도가 증가하면서 인터넷 웜에 대한 연구의 필요성이 증가하게 되었다. 인터넷 웜을 연구하는 데 가장 많이 사용하는 방법 중의 하나는 시뮬레이션인데, 대규모 네트워크상에서 동작하는 웜을 시뮬레이션 하는 데에는 성능, 확장성 등의 문제가 발생한다. 이에 본 논문에서는 대규모 인터넷 웜, 특히 RCS(Random Constant Spreading) 특성을 갖는 웜을 시뮬레이션 할 때 발생하는 문제점을 줄여, 효율적인 시뮬레이션이 가능하도록 하는 hybrid 모델링 방법을 제안하였다. 본 논문에서 제안하는 hybrid모델은 epidemic모델과 유체 모델을 사용한 모델링 네트워크와 패킷 네트워크의 연동을 통하여 시뮬레이션을 수행하도록 하였으며, 이로 인하여 일반적인 모델링 기법의 장점인 빠른 수행 시간을 가짐과 동시에 패킷 네트워크를 이용하여 동적으로 인자값을 업데이트할 수 있게 되었다. 또한, 한 번의 시뮬레이션을 통해 모델링 네트워크로부터 거시적인 정보와 패킷 네트워크로부터 세부적인 정보를 모두 얻을 수 있다. 그리고 본 논문에서는 RCS 특성을 가지는 웜의 한 종류인 코드레드 웜에 대한 실험을 수행하여 hybrid 모델의 적합성을 보여주었다.