• 정보보호학회논문지
• /
• 제29권6호
• /
• pp.1327-1337
• /
• 2019

IoT 시장의 성장과 더불어 linux 아키텍쳐를 사용하는 디바이스들에 대해 악성코드 보안 위협이 꾸준히 증가하고 있다. 하지만, Mirai 등의 심각한 보안피해를 야기한 주요 악성코드들을 제외하면 linux 악성코드에 대한 보안 커뮤니티의 관련 기술이나 연구는 전무한 수준이다. 또한, IoT 환경의 디바이스, 벤더, 아키텍쳐 등의 다양성이 더욱 심화됨에 따라 linux 악성코드 대응 난이도 또한 심화되고 있다. 따라서, 본 논문에서는 linux 아키텍쳐의 주요 포맷인 ELF를 분석하고 이를 기반으로 한 분석 시스템과, IoT 환경을 고려한 바이너리 기반의 분석 시스템을 제안한다. ELF 기반의 분석 시스템은 상대적으로 고속으로 다수의 악성코드에 대해 전처리 분류 할 수 있으며 상대적으로 저속의 바이너리 기반의 분석 시스템은 전처리 하지 못한 데이터에 대해 모두 분류 가능하다. 이러한 두 개의 프로세스는 서로 상호보완되어 효과적으로 linux 기반의 악성코드를 분류할 수 있을 것이라 기대한다.

• 한국산학기술학회논문지
• /
• 제21권9호
• /
• pp.634-642
• /
• 2020

사물인터넷(IoT) 기기의 확산으로 인해 다양한 아키텍처가 존재하는 Linux 운영체제의 활용이 증가하였다. 이에 따라 Linux 기반의 IoT 기기에 대한 보안 위협이 증가하고 있으며 기존 악성코드를 기반으로 한 변종 악성코드도 꾸준히 등장하고 있다. 본 논문에서는 시각화한 ELF(Executable and Linkable Format) 파일의 바이너리 데이터를 영상처리 기법 중 LBP(Local Binary Pattern)와 Median Filter를 적용하여 CNN(Convolutional Neural Network)모델로 악성코드를 분류하는 시스템을 제안한다. 실험 결과 원본 이미지의 경우 98.77%의 점수로 가장 높은 정확도와 F1-score를 보였으며 재현율도 98.55%의 가장 높은 점수를 보였다. Median Filter의 경우 99.19%로 가장 높은 정밀도와 0.008%의 가장 낮은 위양성률을 확인하였으며 LBP의 경우 전반적으로 원본과 Median Filter보다 낮은 결과를 보였음을 확인하였다. 원본과 영상처리기법별 분류 결과를 다수결로 분류했을 경우 원본과 Median Filter의 결과보다 정확도, 정밀도, F1-score, 위양성률이 전반적으로 좋아졌음을 확인하였다. 향후 악성코드 패밀리 분류에 활용하거나 다른 영상처리기법을 추가하여 다수결 분류의 정확도를 높이는 연구를 진행할 예정이다.

• 한국정보과학회논문지:컴퓨팅의 실제 및 레터
• /
• 제14권6호
• /
• pp.589-593
• /
• 2008

오늘날 모바일 기기들의 발전과 통신망의 고속화, 광역화와 함께 사용자의 중요한 정보를 유출하거나 특정 기기의 사용을 방해하는 보안 위협도 점점 증가하고 있다. 모바일 기기에서 널리 사용될 것이라 예상되는 임베디드 리눅스 또한 이러한 보안 위협으로부터 안전하지 못하다. 본 논문에서는 임베디드 리눅스를 위협하는 악성 프로그램의 특징에 대해 알아보고 그에 대한 대응책으로 임베디드 시스템의 특성을 고려한 서명 검증 방식을 이용한 악성 프로그램 차단 시스템을 제안한다. 제안하는 시스템은 악성 프로그램 검사 엔진 서버와 LSM 기반의 커널 모듈로 구현된 시스템으로 구성되며, 메모리에 상주하여 악성 프로그램을 감시하는 일반적인 실시간 감시 프로그램과는 달리, 커널 레벨에서 프로그램이 실행되는 순간 파일의 변조 여부를 검사하여 악성 프로그램의 실행을 사전 차단한다. 실험을 통해 제안한 시스템이 적은 오버헤드로 악성 프로그램의 실행을 효과적으로 사전 차단하는 것을 확인하였다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제14권8호
• /
• pp.3420-3436
• /
• 2020

Due to the increasing number of malicious software (also known as malware), methods for sharing threat information are being studied by various organizations. The Malware Attribute Enumeration and Characterization (MAEC) format of malware is created by analysts, converted to Structured Threat Information Expression (STIX), and distributed by using Trusted Automated eXchange of Indicator Information (TAXII) protocol. Currently, when sharing malware analysis results, analysts have to manually input them into MAEC. Not many analysis results are shared publicly. In this paper, we propose an automated MAEC conversion technique for sharing analysis results of malicious Android applications. Upon continuous research and study of various static and dynamic analysis techniques of Android Applications, we developed a conversion tool by classifying parts that can be converted automatically through MAEC standard analysis, and parts that can be entered manually by analysts. Also using MAEC-to-STIX conversion, we have discovered that the MAEC file can be converted into STIX. Although other researches have been conducted on automatic conversion techniques of MAEC, they were limited to Windows and Linux only. In further verification of the conversion rate, we confirmed that analysts could improve the efficiency of analysis and establish a faster sharing system to cope with various Android malware using our proposed technique.

• 인터넷정보학회논문지
• /
• 제21권1호
• /
• pp.45-55
• /
• 2020

정보 통신 기술의 발달로 인해 매년 신종/변종 악성코드가 급격히 증가하고 있으며 최근 사물 인터넷과 클라우드 컴퓨팅 기술의 발전으로 다양한 형태의 악성코드가 확산되고 있는 추세이다. 본 논문에서는 운영체제 환경에 관계없이 활용 가능하며 악성행위와 관련된 라이브러리 호출 정보를 나타내는 문자열 정보를 기반으로 한 악성코드 분석 기법을 제안한다. 공격자는 기존 코드를 활용하거나 자동화된 제작 도구를 사용하여 악성코드를 손쉽게 제작할 수 있으며 생성된 악성코드는 기존 악성코드와 유사한 방식으로 동작하게 된다. 악성 코드에서 추출 할 수 있는 대부분의 문자열은 악성 동작과 밀접한 관련이 있는 정보로 구성되어 있기 때문에 텍스트 마이닝 기반 방식을 활용하여 데이터 특징에 가중치를 부여해 악성코드 분석을 위한 효과적인 Feature로 가공한다. 가공된 데이터를 기반으로 악성여부 탐지와 악성 그룹분류에 대한 실험을 수행하기 위해 다양한 Machine Learning 알고리즘을 이용해 모델을 구축한다. 데이터는 Windows 및 Linux 운영체제에 사용되는 파일 모두에 대해 비교 및 검증하였으며 악성탐지에서는 약93.5%의 정확도와 그룹분류에서는 약 90%의 정확도를 도출하였다. 제안된 기법은 악성 그룹을 분류시 각 그룹에 대한 모델을 구축할 필요가 없기 때문에 단일 모델로서 비교적 간단하고 빠르며 운영체제와 독립적이므로 광범위한 응용 분야를 가진다. 또한 문자열 정보는 정적분석을 통해 추출되므로 코드를 직접 실행하는 분석 방법에 비해 신속하게 처리가능하다.

• 한국정보통신학회:학술대회논문집
• /
• 한국정보통신학회 2017년도 추계학술대회
• /
• pp.330-334
• /
• 2017

Container 기반 가상화 환경에서는 가상 실행 환경 들이 호스트 OS를 공유함으로써 기존 가상화가 수반하는 오버헤드를 감소시키고, 가상 실행 환경 간의 isolation을 보장한다. 이로 인해 최근 embedded device와 같은 system 자원이 제한적인 환경에서도 서로 다른 가상 실행 환경 또는 호스트 실행 환경의 자원에 대한 접근을 차단할 수 있는 sandboxing의 목적으로 활발히 연구 및 적용되고 있다. 하지만, 가상 실행 환경들이 공유하는 호스트 OS 및 호스트 실행 환경에 존재하는 보안 취약점이 있을 경우 이를 악용한 공격자가 가상 실행 환경으로의 접근 및 제어를 할 수 있게 되는 보안 위협이 존재하여 이의 방지에 대한 필요성이 증가하였다. 본 논문에서는 가상 실행 환경에 대한 임의 접근 및 비인가 행위를 차단하기 위해 가상 실행 환경접근 권한 모델을 정의하고 이를 제어하는 Container 접근 제어 기법을 제안한다. 또한, 공격자의 Container 접근 제어 기능 무력화 방지를 위해 커널 드라이버 인증 기법을 제안한다. 제안된 기법은 Linux 커널에 구현 및 테스트되었으며, 가상 실행 환경에 대한 임의 접근 및 비인가 행위 차단 결과를 보인다.

• 한국인터넷방송통신학회논문지
• /
• 제16권3호
• /
• pp.21-28
• /
• 2016

디지털 포렌식 조사에서 파일의 시간정보는 중요한 의미를 가진다. 리눅스의 Ext4(Extended File System 4) 환경에서 획득할 수 있는 파일의 시간정보는 파일 접근 시간(Access Time), 수정 시간(Modification Time), Inode 변경 시간(Change Time), 삭제 시간(Deletion Time), 생성 시간(Creation Time)이다. 일반적으로 파일의 생성, 수정, 복사 등 여러 가지 행위에 따라 시간 정보가 변화되며, 증거 분석을 위해 행위에 따른 파일 시간변화에 대한 연구가 필요하다. 본 논문에서는 리눅스 Ext4 환경에서 파일 및 폴더의 다양한 행위에 따른 시간정보를 분석하였고 이를 이용하여 악성코드의 실제 감염시간과 파일의 변조 여부를 확인하는 방안을 연구하였다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2007년도 가을 학술발표논문집 Vol.34 No.2 (A)
• /
• pp.106-107
• /
• 2007

• 인터넷정보학회논문지
• /
• 제17권5호
• /
• pp.33-42
• /
• 2016

Pin은 프로그램 동적 분석 도구를 생성할 수 있는 프레임워크로, 리눅스와 윈도우에서 사용자 영역의 프로그램 분석을 수행할 수 있게 한다. 역공학 방지 프로그램이나 악성코드는 프로그램 분석을 방해하는 안티디버깅이 적용되어 있기 때문에 Pin을 사용한 분석이 어렵다. 본 논문에서는 Pin을 이용해서 프로그램에 적용된 안티디버깅을 우회하여 동적 분석을 진행할 수 있는 Pin 플러그인 프로그램을 설계한 내용과 구현한 내용을 제안한다. Pin 탐지 안티디버깅을 우회할 수 있는 각각의 Pin 코드를 작성하고, Pin 코드를 하나로 합쳐 여러 안티디버깅을 우회할 수 있는 Pin 도구를 구현한다. 구현된 Pin 도구는 안티디버깅을 지원하는 프로텍터로 생성한 파일로 안티디버깅 우회 실험을 진행한다. 본 기법은 추후에 발견되는 안티디버깅 우회 코드 작성의 참고자료가 될 것이고 발견된 안티디버깅에 맞춰 수정 후 추가 적용이 가능할 것으로 예상된다.

• 융합보안논문지
• /
• 제6권3호
• /
• pp.21-28
• /
• 2006

초창기 보안은 침입차단시스템에 국한되었지만 현재에는 안티바이러스, 침입 탐지 및 방화벽과 같은 관련 정보보안 솔루션들이 많아지면서 이기종의 정보보안제품들의 효율적인 관리를 위한 통합보안관리시스템이 개발 운영되고 있다. 최근에는 통합보안관리체계를 넘어서서 웜 바이러스 해킹 등 아직 일어나지 않는 사이버 위협을 관리해 능동적으로 방어할 수 있는 위협관리시스템이 보안업계의 새로운 관심분야로 떠오르고 있다. 이러한 정보보호제품의 변화에 따라 수집정보도 다양화되어가고 있으며 사이버 위협을 관리하기 위해서는 과거의 정보보안제품들로부터의 수집되는 정량적인 이벤트 로그들뿐 아니라 Microsoft, linux, 오라클과 같은 범용 어플리케이션들의 취약점 정보, 웜 바이러스 등의 악성 코드 정보, 또한 국제적 분쟁으로 인한 사이버징후와 같은 보안 뉴스들의 정성적인 정보가 필요하다. 본 논문에서는 사이버위협 관리를 위한 정보수집의 일환으로 정량적인 정보와 정성적인 정보를 수집하는 인터넷 위협 및 취약점정보 자동수집기를 설계, 구현하였다. 제안된 수집기는 사이버위협을 관리하는데 있어 정량적인 정보 뿐 아니라 정성적인 정보를 함께 수집함으로써 사이버위협 판단의 정확성을 높이고 아직 발생하지 않은 사이버 위협에 사전에 대응하기 위한 정보로 이용될 수 있다.