• 한국정보기술응용학회:학술대회논문집
• /
• 한국정보기술응용학회 2005년도 6th 2005 International Conference on Computers, Communications and System
• /
• pp.161-164
• /
• 2005

As the power of influence of the Internet grows steadily, attacks against the Internet can cause enormous monetary damages nowadays. A worm can not only replicate itself like a virus but also propagate itself across the Internet. So it infects vulnerable hosts in the Internet and then downgrades the overall performance of the Internet or makes the Internet not to work. To response this, worm detection and prevention technologies are developed. The worm detection technologies are classified into two categories, host based detection and network based detection. Host based detection methods are a method which checks the files that worms make, a method which checks the integrity of the file systems and so on. Network based detection methods are a misuse detection method which compares traffic payloads with worm signatures and anomaly detection methods which check inbound/outbound scan rates, ICMP host/port unreachable message rates, and TCP RST packet rates. However, single detection methods like the aforementioned can't response worms' attacks effectively because worms attack the Internet in the distributed fashion. In this paper, we propose a design of distributed worm detection system to overcome the inefficiency. Existing distributed network intrusion detection systems cooperate with each other only with their own information. Unlike this, in our proposed system, a worm detection system on a network in which worms select targets and a worm detection system on a network in which worms propagate themselves cooperate with each other with the direction-aware information in terms of worm's lifecycle. The direction-aware information includes the moving direction of worms and the service port attacked by worms. In this way, we can not only reduce false positive rate of the system but also prevent worms from propagating themselves across the Internet through dispersing the confirmed worm signature.

• 한국정보과학회논문지:컴퓨팅의 실제 및 레터
• /
• 제14권5호
• /
• pp.517-521
• /
• 2008

웜은 사람의 개입 없이 취약점이 존재하는 네트워크 서비스에 대한 공격을 시행하고 사용자가 원치 않는 패킷을 복사 및 전파하는 악성코드이다. 기존의 웜 탐지 기법은 주로 시그너쳐 기반의 방식이 주를 이루었으나 조기탐지의 한계로 인해 최근에는 웜 전파의 행동 특성을 감지하는 방식이 각광 받고 있다. 본 논문에서는 웜 행동 주기와 감염 체인으로 대표되는 웜의 행위적 특성을 탐지하고 대응할 수 있는 분산 웜 탐지 및 방지 방법을 제안하고, 제안된 탐지 및 방지 모델 적용 시 웜의 감염 속도가 감소되는 현상을 시뮬레이션을 통해 증명한다. 제안하는 웜 탐지모델은 규모가 큰 시그너쳐 데이타베이스가 필요하지 않을 뿐더러 컴퓨팅 파워가 비교적 적게 소요되므로, 개인용 컴퓨터 뿐 아니라 유비쿼터스와 모바일 환경과 같이 개별 기기가 낮은 컴퓨팅 파워를 가지는 상황에도 적합하다.

• 한국정보과학회논문지:컴퓨팅의 실제 및 레터
• /
• 제12권6호
• /
• pp.339-348
• /
• 2006

최근 자동화된 공격기법에 의한 인프라 피해 사례가 급증하면서 효율적 대응 기법에 대한 연구가 활발히 진행되고 있다. 특히, 패킷을 통한 네트워크 서비스의 취약성을 공격하는 웜의 전파 메커니즘은 빠른 전파 속도로 인해 네트워크 대역폭 및 노드 가용성에 심각한 피해를 일으키고 있다. 이전 웜 탐지 기법들은 주로 시그너처 기반의 미시적 접근방식이 주를 이루었으나 높은 오탐지율과 조기탐지의 한계로 인해 최근에는 웜 전파의 특징에 기인한 거시적 접근 방식이 각광을 받고 있다. 본 논문에서는 패킷 마킹을 통해 웜 행동 사이클과 감염 체인으로 대표되는 웜의 행위적 특성을 탐지하고 대응할 수 있는 분산 웜 탐지 모델을 제안한다. 제안하는 웜 탐지 모델은 기존 모델들이 지닌 확장성의 한계를 분산된 호스트들의 협업적 대응으로 해결할 수 있을 뿐만 아니라, 웜 탐지에 필수적인 감염 정보만을 처리함으로써 개별 호스트의 프로세싱 오버헤드를 감소시킬 수 있다. 그리고 본 논문에서 제안하는 탐지 모델 적용 시 조기 탐지 결과로 인해 웜의 감염 속도가 시간의 경과에 따라 감소되는 현상과 호스트 간의 협업적 대응에 의해 전체 호스트의 면역성이 증가되는 현상을 시뮬레이션을 통해 증명하였다.

• 한국정보과학회논문지:컴퓨팅의 실제 및 레터
• /
• 제15권9호
• /
• pp.675-684
• /
• 2009

인터넷 웜은 분산 서비스 거부 공격 등을 통해 트래픽 장애를 유발하므로 인터넷 인프라를 사용 불능으로 만들 수 있고, 침입 기능을 갖고 있어 중요 서버를 장악하여 개인의 정보를 유출시키는 등 치명적인 피해를 일으키고 있다. 그러나 이러한 인터넷 웜을 탐지하여 대응하는 기존의 기법은 웜의 지역화된 특징만을 이용하거나 이미 알려진 웜에만 대응 가능한 단점을 지니고 있다. 본 논문에서는 알려지지 않은 웜을 상대적으로 빠른 시점에 탐지하기 위해 웜의 거시적 행위 특성을 추출하여 탐지하는 기법을 제안 한다. 이를 위해 원의 거시적인 행위를 논리적으로 정의하고, IP 패킷 환경에서 호스트간 직접적으로 전파 되는 웜을 탐지하는 기법을 제시하며, 이 기법이 실제 적용 되었을 때 웜 확신의 억제 효과를 시뮬레이션을 통해 보인다. IP 패킷 환경은 응답 시간에 대해 민감하므로 제안된 기법이 구현되었을 때 요구하는 시간을 측정하여 제시하고, 이를 통해 상대적으로 큰 오버헤드 없이 제안된 기법이 구현될 수 있음을 보인다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2007년도 가을 학술발표논문집 Vol.34 No.2 (A)
• /
• pp.114-115
• /
• 2007

• 한국통신학회논문지
• /
• 제41권2호
• /
• pp.277-284
• /
• 2016

인터넷 서비스의 질을 떨어뜨리고 온라인 범죄를 유발시키는 네트워크 공격들은 오늘날 현대 사회에서 해결해야 될 문제 중 하나이다. 이러한 문제 해결을 위해 시그니처 IDS(Intrusion Detection System)라는 침입 탐지 시스템이 개발되었지만 이들은 기존에 알려진 유형의 공격만 탐지해 낸다. 결과적으로 알려지지 않은 공격들에 대해서는 탐지하지 못하기 때문에 네트워크 공격 탐지를 위한 근본적인 해결책이라 할 수 없다. 본 논문에서는 시그니처 IDS의 단점을 보완하고자 K-평균 알고리즘 기반의 네트워크 유해트래픽 탐지 방법을 제안한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2005년도 추계학술발표대회 및 정기총회
• /
• pp.901-904
• /
• 2005

인터넷이 생활과 밀접하게 연결되면서 인터넷에 대한 공격이 엄청난 피해를 야기시킬 수 있게 되었다. 웜은 스스로를 복제하여 인터넷 상의 취약한 호스트들을 공격하여 여러가지 피해를 야기시키고 있다. 웜을 탐지하고 방어하기 위해 inbound/outbound 스캔률 검사, 웜 시그니처 검사와 같은 네트워크 기반 침입탐지 방법과 웜 생성 파일 검사, 파일 무결성 검사와 같은 호스트 기반 침입탐지 방법이 제안되었다. 하지만 단일 시스템에서의 웜 탐지는 한계가 있을 뿐만 아니라 대응에 있어서도 더딜 수 밖에 없다. 본 논문에서는 웜 탐지 시스템을 분산 배치시킴으로써 탐지의 정확성을 확보하였고 웜 경보를 모든 웜 탐지 시스템에 송신함으로써 대응에 있어 신속성을 제공해준다. 뿐만 아니라 취약성 데이터베이스를 통해 최신으로 갱신만되어 있다면 제로데이 공격에도 대응할 수 있는 메커니즘을 제공한다.

• 대한전자공학회논문지TC
• /
• 제43권7호
• /
• pp.72-83
• /
• 2006

웜 확산이나 자동화된 공격 도구에 의한 DDoS(Distributed Denial of Service) 공격은 도메인 경계를 넘어 통신 경로를 공유하는 정당한 사용자의 접근을 방해하기 때문에 지엽적인 도메인 차원의 방어와 대응은 현실적인 해결책이 되지 못한다. 더욱이 발신지 IP 주소를 위조하거나 정당한 발신지 IP 주소를 가지고 bogus 패킷을 과도하게 전송시키는 DDoS 공격은 정당한 사용자의 접근을 식별할 수 없게 한다. 본 논문에서는 이러한 문제점을 해결하기 위해 이웃하는 도메인간에 DDoS 공격 플로우를 식별하고 공격자 추적과 대응을 협업하는 분산 네트워크 보안관리 기법을 제시한다. 본 논문에서는 인터넷이 다수의 도메인으로 이루어져 있고 각 도메인에는 하나의 이상의 도메인 보안 관리자가 있다고 가정한다. 분산된 도메인 보안 관리자는 자신의 도메인 경계 라우터와 물리적 회선을 공유하면서 도메인 안팎으로 유통되는 공격성 패킷들을 식별하고 이웃하는 도메인 보안 관리자와 공격 발원지 추적 및 대응을 위한 메시지 교환을 수행한다. 도메인 보안 관리자를 구현하고 테스트베드를 통해 실험한 결과 지엽적인 도메인 차원의 탐지 및 대응에 비하여 탐지의 정확성 (FPR: False Positive Rate, FNR: False Negative Rate)과 대응 효과 (NPSR: Normal Packet Survival Rate)가 우수하였다.

• 한국컴퓨터정보학회논문지
• /
• 제11권6호
• /
• pp.185-192
• /
• 2006

인터넷 웜과 같은 DDoS(Distribute Denial of Service Attack) 공격에 사용되는 네트워크 트래픽과 정상적인 서비스를 위한 네트워크 트래픽을 구분해 내는 것은 쉽지 않다. 정상적인 패킷을 유해 트래픽으로 판단하고 유해 트래픽의 공격자의 의도대로 서비스를 못하는 경우가 발생하므로, 인터넷 웜과 DDoS 공격으로부터 시스템을 보호하기 위해서는 공격 트래픽에 대한 정확한 분석과 탐지가 우선되어야 한다. IPv6 환경으로 전환될 때 발생하는 유해 트래픽에 대한 연구가 미약한 상태이므로, 본 논문에서는 IPv6 환경에서 NETWIB로 공격을 수행하고 공격 트래픽을 모니터링한 후 MIB(Management Information Base) 객체를 지수평활법을 적용하여 예측치 구한 후 임계치를 산정하여 공격을 판별한다.

• 인터넷정보학회논문지
• /
• 제13권2호
• /
• pp.41-49
• /
• 2012

스마트 폰 이용자의 급격한 증가에 따른 무선 네트워크의 지원 및 모바일 환경은 언제 어디서나 네트워크를 이용할 수 있게 되었다. 이러한 인터넷 망의 발달로 인해 네트워크 트래픽이 급증함으로써 네트워크를 통한 분산서비스 공격, 인터넷 웜, 이메일 바이러스 등의 다양한 악의적인 공격이 증가되고 이에 따른 패턴이 급격하게 증가하는 추세이다. 기존 연구에서 침입탐지시스템인 Snort 2.1.0 룰의 약 2,000개 패턴으로 M-바이트 점핑 윈도우 알고리즘을 적용한 결과를 분석하였다. 하지만 점핑 윈도우 알고리즘은 패턴의 길이와 수에 큰 영향을 받기 때문에 더 긴 패턴과 더 많은 패턴을 갖는 새로운 환경(Snort 2.9.0)에서 TCAM 룩업 횟수와 TCAM 메모리 크기에 대한 새로운 분석이 필요하다. 이 논문에서는 Snort-2.9.0 룰에서 약 8,100개의 패턴을 이용하여 윈도우 크기별 TCAM 룩업 횟수와 TCAM의 크기를 시뮬레이션 했고 그 결과를 분석하였다. Snort 2.1.0에서는 16-바이트 윈도우에서 9Mb의 TCAM이 최적을 효과를 낼 수 있는 반면, Snort 2.9.0에서는 16-바이트 윈도우에서 18Mb TCAM 4개를 캐스케이딩으로 연결할 경우 최적의 효과를 낼 수 있다.