• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2009년도 춘계학술발표대회
• /
• pp.1482-1485
• /
• 2009

DDoS 공격은 네트워크 보안에 큰 피해를 미치는 공격기법의 하나로써, 국내외로 많은 피해를 유발하고 있으며, 최근에도 DDoS 공격에 의한 피해는 빈번하게 보고되고 있다. DDoS 공격은 실제 공격에 앞서 웜과 악성 BOT을 이용하여 공격을 직접 수행할 호스트를 감염시킨다. 웜과 악성 BOT이 타깃 호스트를 감염시키기 전에 반드시 수행하는 것이 취약점에 대한 스캐닝이다. 본 논문에서는 웜과 악성 BOT의 스캐닝 행위에 초점을 맞추어 DDoS 공격으로부터 안전한 네트워크를 구축하기 위한 역 IP spoofing을 이용한 DDoS 웜 스캐닝 트래픽의 처리기법을 제안한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2016년도 추계학술발표대회
• /
• pp.275-276
• /
• 2016

기존의 HTML의 경우 미디어 재생, 3D 그래픽 처리, 웹 소켓 통신 등을 위해서는 Silverlight나 Active-X와 같은 비 표준 플러그인을 설치해야만 구현할 수 있었다. 하지만, 차세대 웹 표준인 HTML5에서는 별도의 플러그인 설치 없이 자바스크립트의 신규 기능만으로 미디어 재생 등과 같은 동적인 기능을 구현할 수 있다. 이처럼 HTML5에서 자바스크립트 기능이 강화됨에 따라 이를 악용한 신종 사이버 공격의 위협이 증가 하고 있다. 기존의 악성 코드 공격과는 달리 사용자 단말에 어떠한 감염도 없이, 악성 스크립트를 삽입한 웹 페이지 접속만으로 악성 행위를 유발하기 때문에 기존의 보안기술로는 탐지에 한계가 존재한다. 이에 본 논문에서는 로컬 프록시를 활용하여, 사용자 단말에서 송/수신되는 HTTP 트래픽을 수집하고, 이를 분석하여, 악성 자바스크립트를 탐지 및 차단하고, 나아가서 난독화 된 악성 자바스크립트를 탐지하는 방법을 제안하고자 한다.

• 한국통신학회논문지
• /
• 제29권5B호
• /
• pp.491-497
• /
• 2004

본 논문에서는, 인터넷 백본 네트워크상에서 악성의 네트워크 공격 트래픽을 고립시킴으로서 네트워크 인프라를 보호하기 위한 트래픽 제어 방법을 제안한다. 제안된 방법은 개별 플로우 또는 개별 패킷들에 기반을 둔 기존의 방법들과 달리 제안된 공격 탐지 및 제어 방법은 집합된 트래픽 수준에서 운영되므로 계산의 복잡성을 현저히 줄일 수 있으므로 네트워크 공격에 대한 전역 인프라 구축에 활용 가능하다. 실험 결과는 제안된 방법에 의한 트래픽 제어가 네트워크 공격이 이루어질 시 정상 트래픽과 네트워크 자원들을 적절히 보호할 수 있음을 보여준다.

• 한국콘텐츠학회논문지
• /
• 제9권4호
• /
• pp.131-141
• /
• 2009

현재 일반화되어 있는 침입탐지 시스템의 경우 중요한 서버의 보안에 유용한 호스트기반 IDS는 합법적인 사용자의 불법행위를 모니터링 가능하고 운영체계와 밀접히 결합하여 보다 정교한 모니터링, 네트워크 환경과 상관없이 사용가능 하다는 장점이 있지만 비용의 증가와 침입탐지를 위한 처리에 해당 시스템 자원소모, 네트워크 기반의 공격에 취약하며 IDS오류 시 해당 호스트의 기능이 마비될 수 있다. 네트워크기반 IDS는 네트워크 엑세스 지점에만 설치하여 비용점감 및 네트워크 자원에 대한 오버 헤드감소, 공격에 노출될 가능성이 낮으며 네트워크 환경에 관계없이 사용가능하지만 대용량의 트래픽 처리에 어려움과 제한된 탐지능력, 알려지지 않은 악성코드나 프로그램에 대처능력이 떨어지는 한계를 가지고 있다. 본 논문에서는 이러한 보안 솔루션들 중에서 개인용 방화벽을 활용하는 데스크톱 보안과 함께 적용하여 개인용 컴퓨터의 보안능력을 향상시키는 유출 트래픽 분석기반 침입탐지시스템의 설계 및 구현을 목적으로 한다. 침입이 발생하고 새로운 패턴의 악성 프로그램이 정보의 유출을 시도하는 행위를 탐지하여 차단함으로써 컴퓨터나 네트워크의 심각한 손실을 감소시킬 수 있다.

• 융합보안논문지
• /
• 제10권1호
• /
• pp.9-17
• /
• 2010

인트라넷의 네트워크는 악성트래픽의 확산과 분산을 차단하는 역할이 수행되는 영역이다. 네트워크 구조상에서는 트래픽 소통경로상에서 악성코드 침투와 보안차단기능이 수행된다. 네트워크보안 아키텍쳐란 침투와 보안차단기능이 수행되는 네트워크 구조상에서의 트래픽처리 영역과 그룹을 차별화하여 구분시키는 개념이다. 인트라넷 네트워크 아키텍쳐는 보안도메인은 영역과 가능을 기준으로 차별화가 가능하고 따라서 도메인별로 차별화된 보안 메커니즘이 개발되고 적용되어야한다. 본 논문는 네트워크 아키텍쳐의 보안 취약성을 진단하고 네트워크는 구조적으로 어떤 가준으로 보안 도메인이 설정되어야하는가에 대한 방법론 개발을 위해 네트워크 형상(Topology) 결정 요소, 보안 아키텍쳐 설정기준, 구조도 선택기준, 차단위치 결정, 경로 방역망 구성기준을 도출한다. 설계된 방법론을 적용할 경우 전통적인 네트워크 구조상에서보다 바이러스 차단 효율이 증대되고 있음이 실험을 통해 입증한다. 따라서 아키텍쳐 영역기준에 따라 차별화된 차단기능이 필요하며 보안 메커니즘 개발이 요구되고 있음을 본 연구를 통해 제시하고자한다.

• 정보처리학회논문지C
• /
• 제14C권3호
• /
• pp.199-208
• /
• 2007

유비쿼터스 네트워크 환경에서 개인정보의 유출은 다양한 사이버 범죄를 야기하며 개인정보의 상품화로 프라이버시의 침해가 증가하므로 개인정보의 유출을 탐지하는 것은 매우 중요하다. 본 논문은 네트워크의 트래픽 특성을 기반으로 한 개인정보 유출 탐지 기법을 제안하고자 한다. 실제 대학망에서 정상 상태의 트래픽을 수집하여 트래픽의 특성을 분석함으로써 네트워크 트래픽이 자기유사성을 지님을 확인하였다. 개인정보의 유출을 시도하는 악성코드의 사전정보수집단계를 모사한 비정상적인 트래픽에 대하여 정상 트래픽에서의 자기유사성과의 변화를 살펴봄으로써 이상을 조기 감지할 수 있었다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2009년도 추계학술발표대회
• /
• pp.607-608
• /
• 2009

최근 7.7 DDoS 대란과 폭발적인 SPAM 발송과 같은 다양한 봇넷의 악성행위는 정보 시스템에 막대한 악영향을 미친다. 특히, 봇넷의 구조적 특징인 좀비PC의 제어는 네트워크 환경에서는 다양한 악성 행위를 유발한다. 때문에, 봇넷 탐지와 관련한 다양한 연구가 시도되었지만, 탐지의 한계점을 지니고 있다. 즉, 기존의 봇넷 탐지 방법은 임의의 임계값을 설정하고, 그 값을 벗어나는 시점에서 경고를 보내어 탐지하게 된다. 하지만, 전문가에 의한 임계값 설정은 자칫 오탐율과 미탐율을 야기할 수 있다. 따라서, 본 논문에서는 봇넷 탐지를 보다 능동적으로 하기 위하여 특정 타임 윈도우 구간동안의 봇넷이 유발하는 네트워크 트래픽을 분석하고 마르코프 체인을 응용한 학습을 하여 능동적으로 적용 가능한 임계값을 측정 방법론에 대하여 고찰하고자 한다.

• 정보과학회지
• /
• 제33권6호
• /
• pp.61-65
• /
• 2015

• 정보보호학회논문지
• /
• 제22권4호
• /
• pp.869-882
• /
• 2012

웹 서비스의 증가와 자동화된 공격 도구의 발달로 최근 대부분의 악성코드 유포 경로는 웹 서비스를 통하여 이루어지고 있다. 또한 웹의 기본 언어인 자바스크립트를 이용한 난독화 기법을 통해 악성코드 은닉 사이트의 URL이나 공격 코드를 숨기기 때문에, 기존 패턴 매칭 기반의 네트워크 보안 솔루션으로는 탐지에 한계가 존재하게 된다. 이를 해결하기 위하여 사용자의 웹브라우저에서 악성 자바스크립트를 탐지하기 위한 여러 방안이 제시되었지만, 최근 APT공격과 같이 특정 기업이나 조직 네트워크에 침투하기 위한 고도화된 공격에 대응하기에는 한계가 존재한다. 이런 유형의 공격에 대응하기 위해, 외부에서 유입되는 트래픽에 대해 난독화된 악성코드가 웹을 통해 유입되는지 일괄적인 탐지가 필요하며, 기존 패턴 매칭 기반 솔루션에서 탐지율의 한계를 극복하기 위해 난독화된 자바스크립트를 복호화 하여 숨겨진 악성코드를 탐지할 수 있는 새로운 방법이 필요하다. 본 논문에서는 오픈소스인 Jsunpack-n[1] 을 개량하여 자바스크립트의 함수 오버라이딩 기법과 별도의 자바스크립트 인터프리터를 통해 악성코드에 적용된 난독화 기법에 상관없이 숨겨진 악성코드를 자동적으로 탐지할 수 있는 도구를 제안한다.

• 한국통신학회논문지
• /
• 제41권12호
• /
• pp.1771-1779
• /
• 2016

오늘날 인터넷으로 연결된 세상은 그물망처럼 정교해지고 있으며 이러한 환경은 사이버 테러범으로 불리는 사이버 공격자들에게 더없이 좋은 공격 환경을 제공해 주고 있다. 이에 따라 사이버 공격 횟수는 매년 크게 증가하고 있으며 네트워크 모니터링 분야에서는 악성행위 및 사이버 공격트래픽을 찾아내려는 많은 연구들이 이루어지고 있다. 하지만 사이버 공격트래픽은 매 공격마다 알려지지 않는 새로운 형태의 트래픽이 발생하며 이는 사이버 공격트래픽 탐지를 어렵게 한다. 본 논문에서는 트래픽 데이터를 구성하는 플로우 정보 사이의 연관 관계를 정의하고, 연관성이 높은 플로우를 연쇄적으로 그룹화 하여 사이버 공격트래픽의 발생원을 추적하는 방법을 제안한다. 본 논문에서 제안한 사이버 공격트래픽 발생원 추적방법을 실제로 발생했던 사이버 공격 트래픽에 적용한 결과 신뢰할 만한 수준의 결과를 얻을 수 있었다.