• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2011년도 춘계학술발표대회
• /
• pp.941-944
• /
• 2011

컴퓨팅 환경에서 각종 보안 위협들의 핵심에는 악성 실행파일들이 있다. 전통적인 시그니처 기반의 보안 시스템들은 악의적인 실행파일들 중에서 알려지지 않은 것들에 대해서는 런타임 탐지에 어려움이 있다. 그러한 이유로 런타임 탐지를 위해 시그니처가 필요 없는 정적, 동적 분석 방법들이 다각도로 연구되어 왔으며, 특히 악성 실행파일을 실제 실행한 후 그 동작상태를 모니터링 하는 행위기반 동적 분석방법들이 많은 발전을 이루어왔다. 그러나 대부분의 행위기반 분석방법들은 단순히 몇 가지 행위나 비순차적인 분석정보를 제공하기 때문에, 차후 악성여부를 최종 판단하는 방법론에 적용하기에는 그 분석정보가 충분하지 않다. 본 논문에서는 악성 실행파일이 실행되는 동안 발생할 수 있는 행위들을 분류하고, 이를 모니터링 하는 프로토타입 프로그램을 구현하였다. 또한, 악성 실행파일을 직접 실행하는 것은 제한된 컴퓨팅 환경에서 이루어지기 때문에, 실제 악성 실행파일을 모니터링 한 결과를 토대로 행위기반 모니터링 방법이 극복해야 될 이슈들에 대해서도 언급하고 있다.

• 한국정보통신학회:학술대회논문집
• /
• 한국정보통신학회 2018년도 추계학술대회
• /
• pp.306-308
• /
• 2018

제안 논문은 딥러닝 알고리즘을 이용해 모바일 환경에서 변종 악성코드 탐지 알고리즘을 제안한다. 안드로이드 기반의 행위 기반의 악성코드 탐지 방법의 문제점을 해결하기 위해 시그니처 기반 악성코드 탐지방법과 머신 러닝(Machine Learning)기법을 활용한 실시간 악성파일 탐지 알고리즘을 통해 높은 탐지율을 증명하였다.

• 정보보호학회논문지
• /
• 제21권1호
• /
• pp.213-219
• /
• 2011

스마트폰 시장이 급속하게 성장함에 따라 보안위협도 동시에 증가하고 있다. 가장 큰 스마트폰 보안위협 중 하나는 스마트폰 마켓에 안전성이 검증되지 않은 어플리케이션이 유통되고 있다는 점이다. 안드로이드 마켓의 경우 어플리케이션 검증을 수행하지 않아 악성 어플리케이션이 유통되고 있는 상황이다. 이와 같이 마켓을 통해 유포되는 악성 어플리케이션에 대응하기 위해서는 안드로이드 어플리케이선의 악성 행위 여부를 탐지할수 있는 기술이 필요하다. 본 논문에서는 안드로이드 어플리케이션의 악성행위를 탐지할 수 있는 분석 방법을 제안하고 구현내용을 소개하고자 한다.

• 한국멀티미디어학회논문지
• /
• 제13권5호
• /
• pp.754-762
• /
• 2010

최근 악성 문서파일이 첨부된 이메일을 특정인에게 발송하여 중요자료를 절취하는 형태의 해킹사고가 지속적으로 발생하고 있다. 이러한 공격에는 공격 성공률 향상과 바이러스 백신의 탐지회피를 위해 주로 제로데이 취약점이 이용되고 있으며, 적절한 사회공학적 기법이 병행되는 것이 일반적이다. 본 논문에서는 조직으로 유입되는 이메일 첨부 문서파일에 대한 행위기반 악성문서 탐지기술이 적용된 이메일 백신 클라우드 시스템을 제안한다. 이메일에 포함된 문서파일을 추출하여 이메일 백신 클라우드 시스템에 전달하면, 백신 클라우드에서 시그니쳐 기반 분석 및 행위기반 분석을 통해 악성코드 포함 여부를 판단 후 악성코드를 제거한다. 행위분석 과정에서 의도하지 않은 실행파일 생성, 프로세스 실행, 레지스트리 엔트리 접근, 인터넷 접속시도 등이 발견되면 악성문서로 판단하게 된다. 본 논문에서 제시된 이메일 백신 클라우드 시스템은 악성문서 첨부 이메일의 유입을 효과적으로 차단함으로써 중요자료 유출 등의 각종 사이버테러 예방에 도움이 될 것으로 기대 된다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2018년도 추계학술발표대회
• /
• pp.185-188
• /
• 2018

네트워크 환경 및 인터넷 활용폭이 다양해지면서 고도화되고 진보적인 보안위협이 발생되고 있으며 발생량도 점차 증가하고 있다. 이에 따라, 네트워크 침입탐지 시스템, 악성행위 탐지 시스템, 웹 방화벽, 안티바이러스 등도 점차 진보된 악성행위를 탐지하는 데 있어 불충분해짐에 따라 기업과 기관 및 보안담당자들은 직관적인 정보를 제공하는 End-Point 로그 수집 및 모니터링으로 변화를 시도하고 있다. 이에 따라, 본 논문에서는 Anti-Virus 및 침입 탐지 시스템(IDS), APT, 윈도우 감사로그를 상호 비교하여 보안분석 시스템보다 윈도우 감사로그가 보안위협 및 침해사고를 모니터링하는 면에서 더욱 직관적이고 빠른 대응이 가능하다는 것을 증명한다.

• 정보처리학회논문지C
• /
• 제19C권3호
• /
• pp.185-190
• /
• 2012

최근 웹페이지를 통해 악성코드를 유포하는 공격 방법이 이용되면서, 인터넷을 이용하는 사용자들이 웹페이지에 접속하는 것만으로 악성코드에 감염되는 위험에 노출되어 있다. 특히 웹페이지를 통한 악성코드 유포 방법은 사용자가 인지하지 못하는 사이 악성코드를 다운로드하고 실행하게 된다. 본 논문에서는 기존의 분석서버를 이용한 탐지 방법의 한계점을 보완하기 위해, 사용자 영역에서의 실시간 행위 분석을 방법을 사용하여 정상적인 실행 흐름을 벗어난 비정상 다운로드 파일의 실행을 탐지하고 차단하는 시스템을 제안한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2011년도 추계학술발표대회
• /
• pp.984-987
• /
• 2011

모바일 보안이 이슈화 됨에 따라 안티 바이러스 소프트웨어를 제공하는 벤더들은 시그니쳐 기반의 모바일 안티 바이러스 제품들을 제공하고 있다. 시그니쳐 기반의 악성코드 탐지 방식은 새로운 방식의 악성코드를 탐지 하지 못하는 단점 때문에, 악성코드 행위 자체를 분석하는 악성코드 동적 및 혼합분석이 연구되고 있다. 본 논문에서는 자원의 제약이 있는 모바일 플랫폼에서 동적 행위 분석 및 정적분석을 혼합한 혼합 분석을 클라우드 환경에서 처리하는 프레임워크를 제안하고자 한다.

• 정보보호학회논문지
• /
• 제21권4호
• /
• pp.61-75
• /
• 2011

최근 DDoS공격용 좀비, 기업정보 및 개인정보 절취 등 각종 사이버 테러 및 금전적 이윤 획득의 목적으로 웹사이트를 해킹, 악성코드를 은닉함으로써 웹사이트 접속PC를 악성코드에 감염시키는 공격이 지속적으로 증가하고 있으며 은닉기술 및 회피기술 또한 지능화 전문화되고 있는 실정이다. 악성코드가 은닉된 웹사이트를 탐지하기 위한 현존기술은 BlackList 기반 패턴매칭 방식으로 공격자가 악성코드의 문자열 변경 또는 악성코드를 변경할 경우 탐지가 불가능하여 많은 접속자가 악성코드 감염에 노출될 수 밖에 없는 한계점이 존재한다. 본 논문에서는 기존 패턴매칭 방식의 한계점을 극복하기 위한 방안으로 WhiteList 기반의 악성코드 프로세스 행위분석 탐지기술을 제시하였다. 제안방식의 실험 결과 현존기술인 악성코드 스트링을 비교하는 패턴매칭의 MC-Finder는 0.8%, 패턴매칭과 행위분석을 동시에 적용하고 있는 구글은 4.9%, McAfee는 1.5%임에 비해 WhiteList 기반의 악성코드 프로세스 행위분석 기술은 10.8%의 탐지율을 보였으며, 이로써 제안방식이 악성코드 설치를 위해 악용되는 웹 사이트 탐지에 더욱 효과적이라는 것을 증명할 수 있었다.

• 정보보호학회논문지
• /
• 제16권3호
• /
• pp.17-28
• /
• 2006

우회기법을 사용하는 변종 악성코드의 출현은 바이러스 백신에 의한 탐지를 우회하여 확산을 가속화시키고 있다. 만일 보안 취약점 패치가 되지 않고, 바이러스 백신 패턴에 포함되지 않았을 경우에 신종 웜은 수분 내에 단위 네트워크상의 시스템을 감염시킬 수 있으며, 다른 지역 네트워크로의 확산도 가능하다. 따라서 변종 및 신종 악성코드에 대한 기존의 패턴기반 탐지 및 치료 방식에는 한계가 있다. 본 논문에서는 실행 압축의 우회기법을 사용한 악성코드에 대하여 행위기반의 정적 및 동적 분석에 의한 탐지패턴을 생성하고, 동적 탐지에 의한 변종 및 신종에 대한 탐지 방법을 제안한다. 또한 동적 탐지에서의 유사도 비교를 위한 방법을 제안하여 시스템의 중요자원에 접근하는 실행압축 기법을 사용하는 바이러스의 탐지가 가능함을 보인다.

• 한국컴퓨터정보학회논문지
• /
• 제18권11호
• /
• pp.125-136
• /
• 2013

본 논문에서는 SSL VPN을 기반으로 사용자 인증과 사용자 단말의 무결성을 검증할 수 있는 네트워크 접근제어 기술을 제안한다. 사용자 단말이 VPN을 이용해 내부 네트워크에 접속할 때 사용자 인증과 사용자 단말의 보안패치, 바이러스 백신 등의 보안 서비스를 확인하는 안전성 검사를 수행한다. 그리고 변종의 악성코드를 탐지하기 위해 사용자 단말의 윈도우 API 정보를 통한 행위패턴을 바탕으로 악성코드를 탐지하고, 탐지의 신뢰도를 높이기 위해 순서패턴의 유사도를 비교하여 변종의 악성코드를 탐지하여 외부의 보안 위협으로부터 시스템을 보호한다.