• 한국콘텐츠학회논문지
• /
• 제7권11호
• /
• pp.94-101
• /
• 2007

본 논문에서는 알려지지 않은 변형 웜을 탐지하기 위한 방법을 제안한다. 그 방법으로, 페이로드 영역에서 시그니쳐 생성 방안들을 패턴인식 알고리즘으로 연구되었던 Suffix Tree중에서 Longest Common Subsequence(LCSeq) 기법을 이용하여 새로운 시그니쳐를 자동적으로 생성할 수 있는 프로그램을 설계하여 구현하였다. 테스트를 통해 코드레드 웜과 님다 웜의 변종을 검출하는 과정을 보여주고 기존 snort의 시그니쳐와 LCSeq를 이용해 생성된 시그니쳐를 비교 평가하였다.

• 한국산학기술학회논문지
• /
• 제7권6호
• /
• pp.1206-1213
• /
• 2006

자기 전파하는 웜들의 속도가 사람이 대응하는 속도 보다 매우 빠르기 때문에 zero-day 웜들을 봉쇄하기 위해서는 웜 시그니쳐의 빠른 검출과 자동생성이 필수적이다. 본 논문에서는 웜 공격에 대응 할 수 있는 시그니쳐 자동생성 방법을 제안하고, 제안한 방법의 프로토타입을 구현하여 DHT 기반 네트워크에 적용하여 웜 시그니쳐를 생성함으로써 제안한 방법의 유효성을 보이도록 한다.

• 대한기계학회:학술대회논문집
• /
• 대한기계학회 2005년도 창립60주년 기념 추계 학술대회
• /
• pp.104.2-104.2
• /
• 2005

• 정보처리학회논문지C
• /
• 제13C권7호
• /
• pp.821-830
• /
• 2006

전 세계적으로 큰 피해를 주는 웜을 탐지하고 필터링 하는 것은 인터넷 보안에서 큰 이슈중의 하나이다. 웜을 탐지하는 하나의 방법으로서 리눅스 넷필터 커널 모듈이 사용된다. 웜을 탐지하는 기본 동작으로서 스트링 매칭은 네트웍 상으로 들어오는 패킷을 미리 정의된 웜 시그니쳐(Signature, 패턴)와 비교하는 것이다. 웜은 하나의 패킷 혹은 2개(혹은 그 이상의) 연속된 패킷에 나타난다. 이때, 웜의 일부분은 첫 번째 패킷에 있고 나머지 부분은 연속된 패킷 안에 있다. 웜 패턴의 최대 길이가 1024 바이트를 넘지 않는다고 가정하면, 2048 바이트의 길이를 가지는 2개의 연속된 패킷에 대해서 스트링 매칭을 수행해야만 한다. 이렇게 하기 위해, 리눅스 넷필터는 버퍼에 이전 패킷을 저장하고 버퍼링된 패킷과 현재의 패킷을 조합한 2048 바이트 크기의 스트링에 대해 매칭을 수행한다. 웜 탐지 시스템에서 다루어야 하는 동시 연결 개수의 수가 늘어날수록 버퍼(메모리)의 총 크기가 증가하고 스트링 매칭 속도가 감소하게 된다. 이에 본 논문에서는 메모리 버퍼 크기를 줄이고 스트링 매칭의 속도를 증가시키는 버퍼를 이용하지 않는 스트링 매칭 방식을 제안한다. 제안된 방식은 이전 패킷과 시그니쳐(Signature)의 부분 매칭 결과만을 저장하고 이전 패킷을 버퍼링하지 않는다. 부분 매칭 정보는 연속된 패킷에서 웜을 탐지하는데 사용된다. 제안된 방식은 리눅스 넷필터 모듈을 수정하여 구현하였고, 기존 리눅스 넷필터 모듈과 비교하였다. 실험 결과는 기존 방식에 비해 25%의 적은 메모리 사용량 및 54%의 속도 향상을 가짐을 확인하였다.

• 한국정보기술응용학회:학술대회논문집
• /
• 한국정보기술응용학회 2005년도 6th 2005 International Conference on Computers, Communications and System
• /
• pp.161-164
• /
• 2005

As the power of influence of the Internet grows steadily, attacks against the Internet can cause enormous monetary damages nowadays. A worm can not only replicate itself like a virus but also propagate itself across the Internet. So it infects vulnerable hosts in the Internet and then downgrades the overall performance of the Internet or makes the Internet not to work. To response this, worm detection and prevention technologies are developed. The worm detection technologies are classified into two categories, host based detection and network based detection. Host based detection methods are a method which checks the files that worms make, a method which checks the integrity of the file systems and so on. Network based detection methods are a misuse detection method which compares traffic payloads with worm signatures and anomaly detection methods which check inbound/outbound scan rates, ICMP host/port unreachable message rates, and TCP RST packet rates. However, single detection methods like the aforementioned can't response worms' attacks effectively because worms attack the Internet in the distributed fashion. In this paper, we propose a design of distributed worm detection system to overcome the inefficiency. Existing distributed network intrusion detection systems cooperate with each other only with their own information. Unlike this, in our proposed system, a worm detection system on a network in which worms select targets and a worm detection system on a network in which worms propagate themselves cooperate with each other with the direction-aware information in terms of worm's lifecycle. The direction-aware information includes the moving direction of worms and the service port attacked by worms. In this way, we can not only reduce false positive rate of the system but also prevent worms from propagating themselves across the Internet through dispersing the confirmed worm signature.

• 한국정보과학회논문지:컴퓨팅의 실제 및 레터
• /
• 제14권5호
• /
• pp.517-521
• /
• 2008

웜은 사람의 개입 없이 취약점이 존재하는 네트워크 서비스에 대한 공격을 시행하고 사용자가 원치 않는 패킷을 복사 및 전파하는 악성코드이다. 기존의 웜 탐지 기법은 주로 시그너쳐 기반의 방식이 주를 이루었으나 조기탐지의 한계로 인해 최근에는 웜 전파의 행동 특성을 감지하는 방식이 각광 받고 있다. 본 논문에서는 웜 행동 주기와 감염 체인으로 대표되는 웜의 행위적 특성을 탐지하고 대응할 수 있는 분산 웜 탐지 및 방지 방법을 제안하고, 제안된 탐지 및 방지 모델 적용 시 웜의 감염 속도가 감소되는 현상을 시뮬레이션을 통해 증명한다. 제안하는 웜 탐지모델은 규모가 큰 시그너쳐 데이타베이스가 필요하지 않을 뿐더러 컴퓨팅 파워가 비교적 적게 소요되므로, 개인용 컴퓨터 뿐 아니라 유비쿼터스와 모바일 환경과 같이 개별 기기가 낮은 컴퓨팅 파워를 가지는 상황에도 적합하다.

• 한국통신학회논문지
• /
• 제41권2호
• /
• pp.277-284
• /
• 2016

인터넷 서비스의 질을 떨어뜨리고 온라인 범죄를 유발시키는 네트워크 공격들은 오늘날 현대 사회에서 해결해야 될 문제 중 하나이다. 이러한 문제 해결을 위해 시그니처 IDS(Intrusion Detection System)라는 침입 탐지 시스템이 개발되었지만 이들은 기존에 알려진 유형의 공격만 탐지해 낸다. 결과적으로 알려지지 않은 공격들에 대해서는 탐지하지 못하기 때문에 네트워크 공격 탐지를 위한 근본적인 해결책이라 할 수 없다. 본 논문에서는 시그니처 IDS의 단점을 보완하고자 K-평균 알고리즘 기반의 네트워크 유해트래픽 탐지 방법을 제안한다.

• 한국정보과학회논문지:컴퓨팅의 실제 및 레터
• /
• 제12권6호
• /
• pp.339-348
• /
• 2006

최근 자동화된 공격기법에 의한 인프라 피해 사례가 급증하면서 효율적 대응 기법에 대한 연구가 활발히 진행되고 있다. 특히, 패킷을 통한 네트워크 서비스의 취약성을 공격하는 웜의 전파 메커니즘은 빠른 전파 속도로 인해 네트워크 대역폭 및 노드 가용성에 심각한 피해를 일으키고 있다. 이전 웜 탐지 기법들은 주로 시그너처 기반의 미시적 접근방식이 주를 이루었으나 높은 오탐지율과 조기탐지의 한계로 인해 최근에는 웜 전파의 특징에 기인한 거시적 접근 방식이 각광을 받고 있다. 본 논문에서는 패킷 마킹을 통해 웜 행동 사이클과 감염 체인으로 대표되는 웜의 행위적 특성을 탐지하고 대응할 수 있는 분산 웜 탐지 모델을 제안한다. 제안하는 웜 탐지 모델은 기존 모델들이 지닌 확장성의 한계를 분산된 호스트들의 협업적 대응으로 해결할 수 있을 뿐만 아니라, 웜 탐지에 필수적인 감염 정보만을 처리함으로써 개별 호스트의 프로세싱 오버헤드를 감소시킬 수 있다. 그리고 본 논문에서 제안하는 탐지 모델 적용 시 조기 탐지 결과로 인해 웜의 감염 속도가 시간의 경과에 따라 감소되는 현상과 호스트 간의 협업적 대응에 의해 전체 호스트의 면역성이 증가되는 현상을 시뮬레이션을 통해 증명하였다.

• 한국통신학회논문지
• /
• 제35권3B호
• /
• pp.431-439
• /
• 2010

탐지룰을 기반으로 하는 보안 시스템들은 신종 인터넷 웜에 대응할 수 없다는 문제가 있다. 본 논문에서는 탐지룰을 사용하지 않고 인터넷 웜 공격으로부터 서버를 보호하는 악성 프로세스 및 실행파일 제거 시스템을 제안한다. 제안 시스템은 보호대상서버와 동일한 서비스 프로그램을 구동하면서 인터넷 웜에 의한 멀티캐스팅 공격을 탐지하는 제어서버와 제어서버의 지시에 따라 보호대상서버에 생성된 악성 프로세스와 악성 실행파일을 제거하는 에이전트로 구성된다. 제안 시스템은 탐지룰을 사용하지 않기 때문에 신종 인터넷 웜에 효과적으로 대응할 수 있으며, 기존의 보안 시스템들과 통합될 경우 보안을 더욱 강화할 수 있다.

• 대한전자공학회논문지TC
• /
• 제43권7호
• /
• pp.93-103
• /
• 2006

컨텐츠를 기반으로 인터넷 웜등의 유해 패킷을 네트워크에서 차단하는 기술은 탐지의 정확도와 네트워크 성능의 한계 극복 이라는 두 가지 문제에 초점이 맞추어져 있다. 특히 멀티 기가비트 성능을 기본으로 하는 현재의 전달 네트워크에서 고속으로 웜 트래픽을 차단하는 능력이 주요 이슈로 대두되고 있다. 본 논문은 라우터 혹은 방화벽과 같은 통신 및 보안 장비에 주요 기술로 사용되는 네트워크 프로세서 환경에서 멀티 기가비트 수준으로 고속 원 필터링이 가능한 구현 구조를 제안한다. 고속 원 필터링을 위한 설계의 특징으로는 네트워크 프로세서가 가지는 내부 레지스터와 메모리의 자원 한계점을 극복하기 위하여 Bloom Filter를 활용하였고, 특히 버퍼 오버플로우 기법을 이용하는 웹들에 대해 단순 패턴매칭 뿐만 아니라, 유해 코드의 길이 검사를 수용할 수 있는 구조로 시그너처 관리가 확장 가능하도록 설계되었다. 설계된 고속 웜-필터링 구조를 기가비트 이더넷 인터페이스를 가진 Intel IXP 네트워크 프로세서 플랫폼에서 마이크로 코드형태로 구현하였고, 알려진 원들이 포함된 트래픽을 사용하여 그 성능을 분석하였다.