• 인터넷정보학회논문지
• /
• 제18권6호
• /
• pp.35-46
• /
• 2017

최근 사이버보안에서 악성코드를 이용한 공격은 메일에 악성코드를 첨부하여 이를 사용자가 실행하도록 유도하여 공격을 수행하는 형태가 늘어나고 있다. 특히 문서형태의 파일을 첨부하여 사용자가 쉽게 실행하게 되어 위험하다. 저자 분석은 NLP(Neutral Language Process) 및 텍스트 마이닝 분야에서 연구되어지고 있는 분야이며, 특정 언어로 이루어진 텍스트 문장, 글, 문서를 분석하여 작성한 저자를 분석하는 방법들은 연구하는 분야이다. 공격 메일의 경우 일정 공격자에 의해 작성되어지기 때문에 메일 내용 및 첨부된 문서 파일을 분석하여 해당 저자를 식별하면 정상메일과 더욱 구별된 특징들을 발견할 수 있으며, 탐지 정확도를 향상시킬 수 있다. 본 논문에서는 기존의 기계학습 기반의 스팸메일 탐지 모델에서 사용되는 특징들과 문서의 저자 분석에 사용되는 특징들로부터 공격메일을 분류 및 탐지를 할 수 있는 feature vector 및 이에 적합한 IADA2(Intelligent Attack mail Detection based on Authorship Analysis)탐지 모델을 제안하였다. 단순히 단어 기반의 특징들로 탐지하던 스팸메일 탐지 모델들을 개선하고, n-gram을 적용하여 단어의 시퀀스 특성을 반영한 특징을 추출하였다. 실험결과, 특징의 조합과 특징선택 기법, 적합한 모델들에 따라 성능이 개선됨을 검증할 수 있었으며, 제안하는 모델의 성능의 우수성과 개선 가능성을 확인할 수 있었다.

• 정보보호학회논문지
• /
• 제28권2호
• /
• pp.357-367
• /
• 2018

현대 사회의 정보 기술이 발전함에 따라 시스템의 중요 정보를 탈취하거나 파괴하는 목적을 가진 다양한 악성코드도 함께 발전하고 있다. 그 중 사용자의 자원을 접근하지 못하게 하는 대표적인 악성코드로 랜섬웨어가 있다. 암호화를 수행하는 랜섬웨어에 대해 탐지하는 연구는 최근에 계속해서 진행되고 있으나, 공격을 한 이후에 손상된 파일을 복구하는 추가적인 방안은 제안되지 않고 있다. 또한 기존 연구에서는 암호화가 여러 번에 걸쳐 진행되는 것을 고려하지 않고 유사도 비교 기법을 사용했기 때문에 정상적인 행위로 인식할 가능성이 높다. 따라서 본 논문에서는 파일 시스템을 제어하는 필터 드라이버를 구현하며, 랜섬웨어의 암호화 패턴 분석을 기반으로 검증된 유사도 비교 기법을 수행한다. 이에 접근한 프로세스의 악의적 유무를 탐지하고 클라우드 스토리지를 기반으로 손상된 파일을 복구하는 시스템을 제안하고자 한다.

• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제2권9호
• /
• pp.405-412
• /
• 2013

최근의 웹은 구현 방법과 이용 패턴이 변화되면서 서로 연결되고 융합되는 형태로 변화하였다. 서비스가 진화되고 사용자 경험이 향상되었으나 다양한 출처의 검증되지 않은 웹자원들이 서로 결합되어 보안 위협이 가중되었다. 이에 웹 확장의 역기능을 억제하고 안전한 웹서비스를 제공하기 위해 확장된 대상에 대한 안전성 진단이 필요하다. 본 논문에서는 웹사이트의 안전한 운영을 위해 안전진단을 외부 링크까지 확장하여, 진단 대상을 선별하고 지속적으로 진단하여 악성페이지를 탐지하고 웹사이트의 안전성을 확보하기 위한 스케줄링 방안을 제안한다. 진단 대상의 접속 인기도, 악성사이트 의심도, 검사 노후도 등의 특징을 추출하고 이를 통해 진단 순서를 도출하여 순서에 따라 웹페이지를 수집하여 진단한다. 실험을 통해 순차적으로 반복 진단하는 것보다 순위에 따라 진단 주기를 조정하는 것이 중요도에 따라 악성페이지 탐지에 효과적임을 확인하였다.

• 한국통신학회논문지
• /
• 제41권8호
• /
• pp.877-889
• /
• 2016

본 논문에서는 인지 라디오 네트워크를 구성하는 기본요소와, 그를 위협하는 공격 유형에 대하여 살펴본다. 특히, SSDF (Spectrum Sensing Data Falsification) 공격에 대하여 자세히 살펴보고, 이를 극복하기 위한 해법을 제시한다. SSDF 공격은 실현하기 쉬운 반면, 이를 탐지하고 대응하기 위하여 많은 노력이 필요하다. 본 논문에서 제안하는 기법은 악의적인 사용자와 그들의 센싱 리포트를 구분해 내기 위하여 이상 탐지 (Anomaly Detection) 기술을 사용 한다. 제안하는 기법의 유효성을 검증하기 위하여 시뮬레이션을 수행 하였으며, 그 결과 비정상적인 센싱 리포트를 효과적으로 구분해 내고 활성화 된 주 사용자(Primary User)를 정확히 탐지해 내는 것을 확인 할 수 있었다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제14권5호
• /
• pp.2236-2257
• /
• 2020

Ransomware is malicious software that encrypts the user-related files and data and holds them to ransom. Such attacks have become one of the serious threats to cyberspace. The avoidance techniques that ransomware employs such as obfuscation and/or packing makes it difficult to analyze such programs statically. Although many ransomware detection studies have been conducted, they are limited to a small portion of the attack's characteristics. To this end, this paper proposed a framework for the behavioral-based dynamic analysis of high survivable ransomware (HSR) with integrated valuable feature sets. Term Frequency-Inverse document frequency (TF-IDF) was employed to select the most useful features from the analyzed samples. Support Vector Machine (SVM) and Artificial Neural Network (ANN) were utilized to develop and implement a machine learning-based detection model able to recognize certain behavioral traits of high survivable ransomware attacks. Experimental evaluation indicates that the proposed framework achieved an area under the ROC curve of 0.987 and a few false positive rates 0.007. The experimental results indicate that the proposed framework can detect high survivable ransomware in the early stage accurately.

• International Journal of Computer Science & Network Security
• /
• 제22권7호
• /
• pp.389-396
• /
• 2022

Smartphones are growing more susceptible as technology develops because they contain sensitive data that offers a severe security risk if it falls into the wrong hands. The Android OS includes permissions as a crucial component for safeguarding user privacy and confidentiality. On the other hand, mobile malware continues to struggle with permission misuse. Although permission-based detection is frequently utilized, the significant false alarm rates brought on by the permission-based issue are thought to make it inadequate. The present detection method has a high incidence of false alarms, which reduces its ability to identify permission-based attacks. By using permission features with intent, this research attempted to improve permission-based detection. However, it creates an excessive number of features and increases the likelihood of false alarms. In order to generate the optimal number of features created and boost the quality of features chosen, this research developed an intersection feature approach. Performance was assessed using metrics including accuracy, TPR, TNR, and FPR. The most important characteristics were chosen using the Correlation Feature Selection, and the malicious program was categorized using SVM and naive Bayes. The Intersection Feature Technique, according to the findings, reduces characteristics from 486 to 17, has a 97 percent accuracy rate, and produces 0.1 percent false alarms.

• 한국게임학회 논문지
• /
• 제15권4호
• /
• pp.69-78
• /
• 2015

온라인 게임 산업이 급격히 성장함에 따라 경제적 이득을 목적으로 한 악성 행위가 증가되고 있다. 본 논문에서는 온라인 게임 내 악성 행위 중 높은 비중을 차지하는 게임 봇 탐지를 위한 모티베이션 기반 ERG 이론을 적용한 탐지 방법을 제안한다. 기존에 연구된 행위 기반 탐지 기법들이 특정 행위들을 특성치로 선정하여 분석하였다면, 본 논문에서는 모티베이션 이론을 적용하여 행위 분석을 수행하였다. 실제 MMORPG의 데이터를 분석하여 본 결과, 온라인 게임 내에서도 정상 사용자는 실제 세계와 마찬가지로 모티베이션과 관련된 ERG 이론이 잘 적용되는 것을 확인하였다. 반면에, 게임 봇은 정상 사용자와 다르게 특정 목적을 위한 행동 패턴이 나타나기 때문에 모티베이션 이론을 적용하여 탐지할 경우 정상 사용자와는 다른 행동 패턴을 보이는 것을 발견하였다. 이를 통해 ERG 이론을 적용한 봇 탐지 방법을 국내 7위의 규모의 게임에 적용하여 봇 제재 리스트와 교차 분석한 결과, 99.74% 의 정확도로 정상 사용자와 봇을 분류할 수 있었다.

• 정보보호학회논문지
• /
• 제13권2호
• /
• pp.115-125
• /
• 2003

본웹 서비스는 일반적으로 침입 차단 시스템에 의해 통제되지 않은 채 외부에 공개되어 있어 공격의 수단으로 이용될 수 있고, 다양한 웹 어플리케이션의 특성에 따라 많은 형태의 취약성을 내포하고 있다. 본 논문에서는 웹 서비스의 정상적인 이용 사례를 모델링하고, 이와 다른 사용례를 보이는 이상 사례를 베이지언 추정 기법을 이용하여 통계적으로 찾아내는 SAD(Session Anomaly Detection)을 제안한다. SAD의 성능을 평가하기 위하여 1개월간 수집된 웹로그 자료를 이용하였고 침입은 웹 스캐너 프로그램(Whisker)을 이용하여 수행하였다. 기존 NIDS인 Snort를 이용한 실험 결과 평균적으로 36%의 탐지율을 보인 반면 SAD의 경우 윈도우 사이즈, 훈련데이터의 크기, 이상탐지 필터, 웹토폴로지 정보의 이용유무에 따라 다소 차이는 있지만 전반적으로 90%가 넘는 탐지율을 보여 주었다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2011년도 한국컴퓨터종합학술대회논문집 Vol.38 No.1(D)
• /
• pp.109-110
• /
• 2011

악성코드는 루트킷, Anti-VM/디버깅, 실행압축 등 기술사용으로 점차 지능화된 형태로 발전하고 있다. 이에 대응하기 위해, user 및 kernel level에서의 다양한 행위 기반 분석기술이 연구되고 있으나, 이를 회피하는 악성코드가 지속적으로 출현하고 있다. 본 논문에서는 Taint Analysis 기반 악성코드 탐지방안을 제시한다. 본 대응기술은 공격자에 의해 회피하기 어렵고, 의심스러운 데이터 유형별 선별적 분석이 가능하여 행위 기반 대응기술의 한계를 보완할 수 있다.

• International Journal of Computer Science & Network Security
• /
• 제22권5호
• /
• pp.277-283
• /
• 2022

Email phishing has become very prevalent especially now that most of our dealings have become technical. The victim receives a message that looks as if it was sent from a known party and the attack is carried out through a fake cookie that includes a phishing program or through links connected to fake websites, in both cases the goal is to install malicious software on the user's device or direct him to a fake website. Today it is difficult to deploy robust cybersecurity solutions without relying heavily on machine learning algorithms. This research seeks to detect phishing emails using high-accuracy machine learning techniques. using the WEKA tool with data preprocessing we create a proposed methodology to detect emails phishing. outperformed random forest algorithm on Naïve Bayes algorithms by accuracy of 99.03 %.