• 융합보안논문지
• /
• 제15권1호
• /
• pp.69-82
• /
• 2015

고도화되고 지능화가 예상되는 사이버 침해대응에 대해 효율적으로 대응키 위해서는 악성코드의 공격에 대해 기존 방어적 대응형태에서 공격적 전환개념이 요구되기에 이러한 환경을 근간으로 연구한 결과 기존의 OS, APPLICATION SYSTEM 등의 각 영역별 SINGLE-MODE 체계의 구조대비 Real-time에 의한 공통 전수 취약점 탐지 분석 개념으로 다단계기반의 탐지 및 분석개념(MPSM)을 연구하였다. 동시에 필요시 해당 정보자산과 직접적인 단독접속형태의 취약점 탐지 및 분석을 위해 API 기반의 전용하드웨어 플랫폼형태의 방안이 요구되어 짐과 동시에 이를 위해서는 H/W 및 S/W의 분리된 현재와 같은 2중화된 형태가 아닌 일체형의 H/W 타입의 플랫폼구조 기반 형태로 설계됨과 동시에 병행되어 빅데이타 분석에 의한 정보보안의 포렌직 측면을 고려할 시 항시 모니터링 되고 관리할 수 있는 구조로 연동 설계 등에 대해 제안하였다.

• 한국컴퓨터정보학회논문지
• /
• 제16권1호
• /
• pp.125-132
• /
• 2011

웹 기반 공격에 대한 대응책으로 계층적 웹 보안 시스템이 있지만 다양한 혼합 및 우회 공격에는 제대로 대응하지 못하는 실정이다. 본 논문은 웹 공격에 의해 발생하는 악성코드 유포, XSS, 웹쉘 생성, URL Spoofing, 개인 정보유출 등의 증상을 HTTP outbound traffic의 감시를 통해 실시간으로 탐지하는 효율적인 기법을 제안한다. 제안 기법은 다양한 웹 공격에 의해 생성되는 HTML 태그와 Javascript 코드를 분석하여 설정한 시그너처를 outbound traffic과 비교 검색하여 웹 공격을 탐지한다. 실제 침입 환경에서의 검증 분석을 통해, 계층적 보안 시스템과 결합된 제안기법이 우회된 웹 공격에 대한 탐지능력이 탁월함을 보인다.

• 정보보호학회논문지
• /
• 제26권5호
• /
• pp.1313-1322
• /
• 2016

최근 인터넷을 통한 공공 기관이나 금융권에 대한 바이러스 및 해킹 공격이 더욱 지능화, 고도화되고 있다. 특히, 지능형 지속 공격인 APT(Advanced Persistent Threat)가 중요한 사이버 위협으로 주목을 받았는데 이러한 APT 공격은 기본적으로 네트워크상에서 악성 코드의 유포를 통해 이루어진다. 본 논문에서는 스마트 제조 산업에서 사용할 수 있도록 네트워크상에서 전송되는 PE(Portable Executable) 파일을 효과적으로 탐지하고 추출하여 악성코드 분석을 효과적으로 할 수 있는 방법을 제안하였다. PE 파일만 고속으로 추출하여 저장하는 기능을 공개 침입 탐지 툴인 Snort의 전처리기단에서 구현한 후 이를 하드웨어 센서 장치에 탑재하여 실험한 결과, 네트워크상에서 전송되는 악성 의심 코드인 PE 파일을 정상적으로 탐지하고 추출할 수 있음을 확인하였다.

• 정보보호학회논문지
• /
• 제33권3호
• /
• pp.499-510
• /
• 2023

최근 지능적이고 고도화된 사이버 공격은 악성코드가 포함된 파일을 이용하여 공공기관의 전산망을 공격하거나 정보를 유출하는 공격으로 그 피해가 커지고 있다. 다양한 정보 보호시스템이 구축된 공공기관에서도 기존의 시그니처 기반이나 정적 분석을 기반으로 하는 악성코드 및 랜섬웨어 파일 탐지하는 방식을 사용하는 경우는 알려진 공격은 탐지가 가능하나 알려지지 않은 동적 및 암호화 공격에 대해서는 취약하다. 본 연구에서 제안하는 탐지 방안은 공공기관에서 실제로 사용하는 정보보호시스템 중 악성코드 및 랜섬웨어를 탐지할 수 있는 시스템의 탐지 결과 데이터를 추출한 후 결합하여 여러 가지 속성을 도출해 내고, 머신러닝 분류 알고리즘을 통해 도출한 속성들이 어떻게 분류되고 어떤 속성이 분류 결과와 정확도 향상에 중대한 영향을 미치는지 실험을 통해 결과를 도출한다. 본 논문의 실험 결과에서는 특정 속성이 포함된 경우와 포함되지 않은 경우 알고리즘마다 상이하지만, 특정 속성이 포함된 학습에서는 정확도가 높아지는 결과를 보였으며 추후 정보보호시스템의 랜섬웨어 파일 및 이상행위 탐지 알고리즘 제작 시 속성 선택에 활용할 수 있을 것으로 기대한다.

• 지능정보연구
• /
• 제18권1호
• /
• pp.125-141
• /
• 2012

본 연구는 최근 그 중요성이 한층 높아지고 있는 침입탐지시스템(IDS, Intrusion Detection System)의 침입탐지모형을 개선하기 위한 방안으로 유전자 알고리즘에 기반한 새로운 통합모형을 제시한다. 본 연구의 제안모형은 서로 상호보완적 관계에 있는 이분류 모형인 로지스틱 회귀분석(LOGIT, Logistic Regression), 의사결정나무(DT, Decision Tree), 인공신경망 (ANN, Artificial Neural Network), 그리고 SVM(Support Vector Machine)의 예측결과에 적절한 가중치를 부여해 최종 예측결과를 산출하도록 하였는데, 이 때 최적 가중치의 탐색을 위한 방법으로는 유전자 알고리즘을 사용한다. 아울러, 본 연구에서는 1차적으로 오탐지율을 최소화하는 최적의 모형을 산출한 뒤, 이어 비대칭 오류비용 개념을 반영해 오탐지로 인해 발생할 수 있는 전체 비용을 최소화할 수 있는 최적 임계치를 탐색, 최종적으로 가장 비용 효율적인 침입탐지모형을 도출하고자 하였다. 본 연구에서는 제안모형의 우수성을 확인하기 위해, 국내 한 공공기관의 보안센서로부터 수집된 로그 데이터를 바탕으로 실증 분석을 수행하였다. 그 결과, 본 연구에서 제안한 유전자 알고리즘 기반 통합모형이 인공신경망이나 SVM만으로 구성된 단일모형에 비해 학습용과 검증용 데이터셋 모두에서 더 우수한 탐지율을 보임을 확인할 수 있었다. 비대칭 오류비용을 고려한 전체 비용의 관점에서도 단일모형으로 된 비교모형에 비해 본 연구의 제안모형이 더 낮은 비용을 나타냄을 확인할 수 있었다. 이렇게 실증적으로 그 효과가 검증된 본 연구의 제안 모형은 앞으로 보다 지능화된 침입탐지시스템을 개발하는데 유용하게 활용될 수 있을 것으로 기대된다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제6권5호
• /
• pp.1445-1462
• /
• 2012

While botnets are used for various malicious activities, it is well known that they are widely used for email spam. Though the spam filtering systems currently in use block IPs that send email spam, simply blocking the IPs of zombie PCs participating in a botnet is not enough to prevent the spamming activities of the botnet because these IPs can easily be changed or manipulated. This IP blocking is also insufficient to prevent crimes other than spamming, as the botnet can be simultaneously used for multiple purposes. For this reason, we propose a system that detects botnets and zombie PCs based on email spam analysis. This study introduces the concept of "group pollution level" - the degree to which a certain spam group is suspected of being a botnet - and "IP pollution level" - the degree to which a certain IP in the spam group is suspected of being a zombie PC. Such concepts are applied in our system that detects botnets and zombie PCs by grouping spam mails based on the URL links or attachments contained, and by assessing the pollution level of each group and each IP address. For empirical testing, we used email spam data collected in an "email spam trap system" - Korea's national spam collection system. Our proposed system detected 203 botnets and 18,283 zombie PCs in a day and these zombie PCs sent about 70% of all the spam messages in our analysis. This shows the effectiveness of detecting zombie PCs by email spam analysis, and the possibility of a dramatic reduction in email spam by taking countermeasure against these botnets and zombie PCs.

• 융합보안논문지
• /
• 제19권1호
• /
• pp.11-17
• /
• 2019

최근 인터넷 기술을 악용하는 행위로 인하여 경제적, 정신적 피해가 증가하고 있다. 특히, 신규로 제작되거나 변형된 악성코드는 기존의 정보보호 체계를 우회하여 사이버 보안 위협의 기본 수단으로 활용되고 있다. 이를 억제하기 위한 다양한 연구가 진행되었지만, 실제 악성코드의 많은 비중을 차지하는 소규모 실행 파일에 대한 연구는 미진한 편이다. 본 연구에서는 기존에 알려진 소규모 실행 파일의 특징을 데이터마이닝 기법으로 분석하여 알려지지 않은 악성코드 탐지에 활용할 수 있는 모델을 제안한다. 데이터 마이닝 분석 기법에는 나이브베이지안, SVM, 의사결정나무, 랜덤포레스트, 인공신경망 등 다양하게 수행하였으며, 바이러스토탈의 악성코드 검출 수준에 따라서 개별적으로 정확도를 비교하였다. 결과적으로 분석 파일 34,646개에 대하여 80% 이상의 분류 정확도를 검증하였다.

• 한국정보통신학회논문지
• /
• 제26권6호
• /
• pp.907-913
• /
• 2022

전 세계 스마트폰 이용자 중 약 70%가 안드로이드 운영체제 기반 스마트폰을 사용하고 있으며 이러한 안드로이드 플랫폼을 표적으로 한 악성 앱이 지속적으로 증가하고 있다. 구글은 증가하는 안드로이드 대상 악성코드에 대응하기 위해 'Google Play Protect'를 제공하여 악성 앱이 스마트폰에 설치되는 것을 방지하고 있으나, 아직도 많은 악성 앱들이 정상 앱처럼 위장하여 구글 플레이스토어에 등록되어 선량한 일반 사용자의 스마트폰을 위협하고 있다. 하지만 일반 사용자가 악성 앱을 점검하기에는 상당한 전문성이 필요하기에 대부분 사용자는 안티바이러스 프로그램에 의존하여 악성 앱을 탐지하고 있다. 이에 본 논문에서는 앱에서 쉽게 확인이 가능한 카테고리와 권한만을 활용하여 앱의 불필요한 악성 권한을 분류하고 분류한 권한을 통해 악성 앱을 쉽게 검출할 수 있는 방법을 제안한다. 제안된 방법은 '상용 악성 앱 검출 프로그램'과 미탐율·오탐율 측면에서 비교 분석하여 성능 수준을 제시하고 있다.

• 사물인터넷융복합논문지
• /
• 제9권1호
• /
• pp.1-7
• /
• 2023

랜섬웨어에 의해 개인용 단말 또는 서버 등이 감염되는 사례가 급증하고 있다. 랜섬웨어는 자체 개발한 암호화 모듈을 이용하거나 기존의 대칭키/공개 키 암호화 모듈을 결합하여 공격자만이 알고 있는 키를 이용하여 피해 시스템 내에 저장된 파일을 불법적으로 암호화 하게 된다. 따라서 이를 복호화 하기 위해서는 사용된 키 값을 알아야만 하며, 복호화 키를 찾는 과정에 많은 시간이 걸리므로 결국 금전적인 비용을 지불하게 된다. 이때 랜섬웨어 악성코드는 대부분 바이너리 파일 내에 은닉된 형태로 포함되어 있어 프로그램 실행시 사용자도 모르게 악성코드에 감염된다. 그러므로 바이너리 파일 형태의 랜섬웨어 공격에 대응하기 위해서는 사용된 암호화 모듈에 대한 식별 과정이 필요하다. 이에 본 연구에서는 바이너리 파일 내 은닉된 악성코드에 적용 된 암호화 모듈을 역분석하여 탐지하고 식별할 수 있는 메커니즘을 연구하였다.

• 정보보호학회논문지
• /
• 제27권2호
• /
• pp.251-258
• /
• 2017

랜섬웨어를 비롯한 대부분의 악성코드들은 Windows 운영체제를 대상으로 제작된다. 점유율이 높은 운영체제를 목표로 삼아야 그만큼 피해가 더 커지기 때문이다. 하지만 최근 몇 년 전부터 MacOS의 운영체제의 점유율이 꾸준히 증가하고 있다. 사람들에게 점점 많이 사용되기 시작하면서 MacOS운영체제에서 동작하는 악성코드의 수도 점점 늘어나고 있는 상황이다. 랜섬웨어는 2015년부터 우리나라에 많이 알려지기 시작했으며 점차 피해사례도 증가하고 있다. 2016년 3월에 MacOS용 랜섬웨어가 발견되는 등 더 이상 MacOS도 랜섬웨어로부터 자유롭지 않은 상황이다. 앞으로 계속 발생 할 랜섬웨어에 대처하기 위해서 본 논문은 랜섬웨어를 탐지하기 위한 방법으로 랜섬웨어가 암호화 한 파일의 확장자를 변경하는 것을 이용하였다. 사용자에 의해 확장자가 변경되는 것과 랜섬웨어 프로세스에 의해 확장자가 변경되는 것을 구분함으로써 랜섬웨어 프로세스를 탐지하고 차단하는 방법을 연구했다.