• 디지털융복합연구
• /
• 제11권12호
• /
• pp.381-386
• /
• 2013

안드로이드 플랫폼에서의 새로운 변종 악성코드가 기하급수적으로 증가함에 따라 보다 빠르고 능동적인 대처방안이 필요하다. 본 연구에서는 안드로이드 플랫폼에 High-Interaction 클라이언트 허니팟을 적용하였다. 시스템 적용방안을 위하여 전체 흐름을 설계하고 각 세부모듈의 기능을 분석하여 안드로이드 플랫폼에 최적화 하였다. 제안하는 시스템은 기존 PC 환경의 High-Interaction 클라이언트 허니팟의 장점을 모두 갖추고 있으며 관리 서버와 저장 서버를 분리하여 보다 유연하고 확장된 형태로 설계되었다.

• 한국정보과학회논문지:컴퓨팅의 실제 및 레터
• /
• 제15권12호
• /
• pp.1003-1007
• /
• 2009

Drive-by download와 같은 클라이언트 측 공격은, 악의적인 서버와 상호작용하거나 악의적인 데이터를 처리하는 클라이언트 애플리케이션의 취약점을 대상으로 이루어진다. 전형적인 공격은 특정 브라우저 취약점을 악용하는 악성 웹 페이지와 관련된 웰 기반 공격으로, 클라이언트 시스템에 멀웨어를 실행하거나 클라이언트의 제어를 악의적인 서버에게 완전히 넘겨주기도 한다. 이러한 공격을 방어하기 위해, 본 논문에서는 Capture-HPC를 이용하여 가상 머신에서 실행기반으로 악성 웹 페이지를 탐지하는 고 상호작용(high interaction) 클라이언트 허니팟을 구축하였다. 이 실행기반 탐지 시스템을 이용하여 악성 웰 페이지를 탐지하고 분류하였다. 또한 가상머신의 이미지 개수 및 한 가상머신에서 동시 수행하는 브라우저 수에 따른 시스템 성능을 분석하였다. 실험 결과, 가상머신의 이미지 수는 하나이고 동시 수행하는 브라우저의 수가 50개일 때 시스템이 적은 리버팅 오버헤드를 유발하여 더 나은 성능을 보였다.

• 전자공학회논문지
• /
• 제51권11호
• /
• pp.127-133
• /
• 2014

다양한 악성코드로부터 정보자산을 보호하기 위해서 허니팟 시스템을 구축한다. 허니팟 시스템은 내부 시스템이 공격받지 않도록 공격을 유인하는 목적으로 설계되거나, 악성코드 정보를 수집하기 위한 목적으로 설계된다. 그러나 기존의 하니팟은 정보 수집을 목적으로 구축되었기 때문에 위장서버 혹은 위장 클라이언트 서버를 구축하거나 위장 콘텐츠를 제공하여 공격자의 유입을 적극적으로 유도하도록 설계되었다. 그러나 위장서버구축의 경우는 빈번한 디스크 입출력으로 약 1년 주기로 하드웨어를 재설치하여야 하고, 위장 클라이언트 서버를 구축하는 경우는 획득한 정보 분석의 자동화에는 한계가 있기 때문에 전문 인력 확보와 같은 운영상의 문제가 있다. 이처럼 기존 허니팟의 하드웨어적인 문제와 운영상의 문제들을 해결 및 보완할 수 있도록 본 연구에서는 하이브리드 허니팟을 제안하였다. 제안한 하이브리드 허니팟은 허니월, 분석서버, 통합콘솔을 두고 공격유형을 2가지 유형으로 분류하여 처리한다. 유형1인 고수준 상호작용서버와 유형2인 저수준 상호작용서버를 동작하도록 하여 위장(유인용)과 거짓응답(에뮬레이션)이 공통스위치 영역에 연계되도록 설계하였다. 이러한 하이브리드 허니팟은 허니월의 저수준 허니팟과 고수준 허니팟을 동작하도록 한다. 분석서버는 해킹유형을 해쉬값으로 변환하고 이를 상관분석 알고리즘으로 분리하여 허니월에 전송한다. 통합모니터링 콘솔은 지속적인 모니터링을 실시하므로 최신 해킹기법과 공격 툴에 대한 정보 분석뿐만 아니라 악성코드에 대한 선제적인 보안대응 효과를 제공할 수 있을 것으로 기대한다.

• 정보보호학회논문지
• /
• 제22권3호
• /
• pp.667-677
• /
• 2012

악성코드 유포자들은 웹 어플리케이션 취약점 공격을 이용해 주로 악성코드를 유포한다. 이러한 공격들은 주로 악성링크를 통해 이루어지며, 이를 탐지하고 분석하는 연구가 활발히 이루어지고 있다. 하지만, 현재의 악성링크 탐지 시스템은 대부분 시그니처 기반이어서 난독화 된 악성링크는 탐지가 거의 불가능하고 알려진 취약점은 백신을 통해 공격을 사전에 방지 할 수 있지만 알려지지 않은 취약점 공격은 사전 방지가 불가능한 실정이다. 이러한 한계점을 극복하기 위해 기존의 시그니처 기반 탐지 방법을 지양하고 행위기반 탐지 시스템에 관한 연구가 이루어지고 있다. 하지만 현재 개발된 탐지 시스템은 현실적으로 제약사항이 많아 실제로 활용하기에는 한계가 있다. 본 논문에서는 이와 같은 한계를 극복하고 탐지 효율을 높일 수 있는 새로운 웹 브라우저 기반 악성행위 탐지 시스템인 WMDS (Web-browser based Malicious behavior Detection System)를 소개 하고자 한다.

• 한국전자통신학회논문지
• /
• 제8권6호
• /
• pp.863-871
• /
• 2013

최근 정보통신 기술의 발전으로 국가 주요 핵심 기반시설(Critical National Infrastructure)의 제어시스템에 대한 개방형 프로토콜 적용 및 외부 시스템과의 연계 등이 점차 증가되고 있다. 이러한 추세는 국가 핵심 기반시설이 사이버 침해 및 공격에 따른 위협에 노출됨은 물론 사이버 테러 및 해킹, 바이러스 등에 의해 원격 조작 및 통제되는 경우 심각한 위험에 빠질 수 있음을 의미한다. 본 논문에서는 최근 IT분야의 화두로 떠오르고 있는 가상화(Virtualization)기술을 적용하여 기존 허니넷 시스템의 장점을 유지하면서 허니넷 시스템의 자원문제, 구축 및 운영관리 문제를 줄일 수 있는 가상 허니넷 모델을 제시하였다. 또한 공격의도 확인기반의 데이터 분석 및 수집기법, 포커스 지향(Focus-Oriented) 분석기법을 제시하여 운영비용을 최소화할 수 있는 가상 허니넷 모델을 제안하였다. 제안된 모델을 기반으로 서비스 공격의도 확인 기반의 호스트 및 데이터 수집 기법, 네트워크 공격패턴 시각화 기법 등을 적용한 가상 허니넷 기반의 신종공격 탐지시스템인 Cybertrap을 설계하고 구현하였다. 또한, 제안된 시스템의 시험을 위한 테스트베드를 구축하였고, 일련의 실험을 통해 시스템의 기능 및 성능을 평가하였다.