인터넷에서 일어나는 침해사고 중에서 웜에 의한 피해가 가장 심각하다. 2001 년 Code Red 웜의 출현과 2003 년 SQL Slammer 웜의 출현 이후로 웜에 감염된 이후에 행동 양상을 탐지하여 대응하는 것은 웜의 피해를 최소화 하기에는 역부족이다. 웜에 의해서 감염이 되기 이전에 웜을 탐지하여 조기에 대처하는 것이 무엇보다 중요하다. 또한 이미 알려져 있는 웜에 대한 행동양상을 이용한 웜의 탐지는 신종 웜의 출현 주기가 급격히 짧아지는 현실에 능동적으로 대처할 수 없다. 현재까지 발생한 인터넷 웜은 감염시킬 대상을 선택함에 있어서 랜덤 생성기를 사용하였으며 향후 나타날 웜도 빠른 확산과 자신의 위치를 드러내지 않기 위해 랜덤 스케닝 방식을 사용할 것이다. 본 연구는 네트워크의 연결들을 행렬로 표현하고, 이 행렬의 랭크(rank)값을 구하여 랜덤성 체크를 하는 방식으로, 웜으로 인한 트래픽에서 발생하는 랜덤성을 탐지할 수 있도록 하였다. 이 방법은 네트워크에서 알려지지 않은 신종 웜을 탐지하도록 하므로, 웜에의한 확산을 조기 탐지할 수 있게 하고, 더불어 웜의 피해를 최소화 하는 것을 목적으로 한다.
최근 자동화된 공격기법에 의한 인프라 피해 사례가 급증하면서 효율적 대응 기법에 대한 연구가 활발히 진행되고 있다. 특히, 패킷을 통한 네트워크 서비스의 취약성을 공격하는 웜의 전파 메커니즘은 빠른 전파 속도로 인해 네트워크 대역폭 및 노드 가용성에 심각한 피해를 일으키고 있다. 이전 웜 탐지 기법들은 주로 시그너처 기반의 미시적 접근방식이 주를 이루었으나 높은 오탐지율과 조기탐지의 한계로 인해 최근에는 웜 전파의 특징에 기인한 거시적 접근 방식이 각광을 받고 있다. 본 논문에서는 패킷 마킹을 통해 웜 행동 사이클과 감염 체인으로 대표되는 웜의 행위적 특성을 탐지하고 대응할 수 있는 분산 웜 탐지 모델을 제안한다. 제안하는 웜 탐지 모델은 기존 모델들이 지닌 확장성의 한계를 분산된 호스트들의 협업적 대응으로 해결할 수 있을 뿐만 아니라, 웜 탐지에 필수적인 감염 정보만을 처리함으로써 개별 호스트의 프로세싱 오버헤드를 감소시킬 수 있다. 그리고 본 논문에서 제안하는 탐지 모델 적용 시 조기 탐지 결과로 인해 웜의 감염 속도가 시간의 경과에 따라 감소되는 현상과 호스트 간의 협업적 대응에 의해 전체 호스트의 면역성이 증가되는 현상을 시뮬레이션을 통해 증명하였다.
웜은 사람의 개입 없이 취약점이 존재하는 네트워크 서비스에 대한 공격을 시행하고 사용자가 원치 않는 패킷을 복사 및 전파하는 악성코드이다. 기존의 웜 탐지 기법은 주로 시그너쳐 기반의 방식이 주를 이루었으나 조기탐지의 한계로 인해 최근에는 웜 전파의 행동 특성을 감지하는 방식이 각광 받고 있다. 본 논문에서는 웜 행동 주기와 감염 체인으로 대표되는 웜의 행위적 특성을 탐지하고 대응할 수 있는 분산 웜 탐지 및 방지 방법을 제안하고, 제안된 탐지 및 방지 모델 적용 시 웜의 감염 속도가 감소되는 현상을 시뮬레이션을 통해 증명한다. 제안하는 웜 탐지모델은 규모가 큰 시그너쳐 데이타베이스가 필요하지 않을 뿐더러 컴퓨팅 파워가 비교적 적게 소요되므로, 개인용 컴퓨터 뿐 아니라 유비쿼터스와 모바일 환경과 같이 개별 기기가 낮은 컴퓨팅 파워를 가지는 상황에도 적합하다.
인터넷 웜 조기 탐지 기법의 대표적인 기술 중 하나인 바이러스 쓰로틀링[5, 6]은 호스트에서 생성되는 접속 요청 패킷을 지연시킴으로써 인터넷 웜의 전파를 줄이는 방법이다. 그러나 기존 바이러스 쓰로틀링은 웜의 발생 시기를 판단하는데 있어서 지연된 접속 요청 패킷의 개수만을 이용한다. 이 때문에 낮은 비율로 웜 패킷을 생성시키는 인터넷웜의 경우에는 웜 탐지 시간이 느린 단점을 가지고 있다. 본 논문에서는 이러한 단점을 해결하기 위해서 지연 큐 길이의 가중치 평균(Weighted Average Queue Length)를 구하고, 그것의 성향을 반영하여 웜 탐지 시간을 단축하고자 한다. 뿐만 아니라 본 논문에서 제안한 알고리즘은 지연큐 변화 성향 반영으로 생길 수 있는 웜 탐지의 오판 가능성을 낮추도록 설계되었다. 그리고 실제 실험을 통해서 본 논문에서 제안한 알고리즘의 성능을 평가한다.
인터넷 웜(worm)의 전파속도는 매우 빠르기 때문에, 발생초기에 웜의 전파를 탐지하여 막지 못하면 큰 피해를 초래 할 수 있다. 새로운 세션에 대한 연결요청을 일정 비율이하로 제한함으로써 웜의 발생여부를 탐지하는 바이러스 쓰로틀링(virus throttling)[6, 7]은 대표적인 웜 조기탐지 기술 중의 하나이다. 대부분의 기존 기술은 지연 큐 관리에 있어서 동일한 수신 IP 주소들을 개별적으로 처리함으로써 웜 탐지의 오판 가능성을 증가시켰고, 지연 큐가 가득 찼을 때에만 웜이 발생했다고 판단하는 단순 판단 기법을 사용했다. 본 논문은 지연 큐에서 동일 수신 IP 주소들을 하나의 연결 리스트로 묶어 별도로 관리함으로써 동일 수신 IP들을 중복하여 지연 큐에 저장하지 않는 이차원 지연 규 관리방안을 제안한다. 개선된 바이러스 쓰로틀링은 지연 큐 길이 산정 시동일 수신 IP 주소들을 중복하여 계산하지 않기 때문에 웜 탐지 오류를 줄일 수 있다. 그리고 동일한 크기의 지연 큐를 가지고도 웜 탐지시간을 줄이고 웜 패킷 전송 수를 줄일 수 있는 가중치 평균 큐 길이 기반의 새로운 웜 탐지 알고리즘을 제안한다. 지연 큐 길이 산정 시 현재의 큐 길이 뿐 아니라 과거의 큐 길이를 반영하는 방법이 웜의 발생 가능성을 사전에 예측하여 기존 기법보다 빠르게 웜을 탐지할 수 있음을 실험을 통해 확인하였다.
Code Red, Nimda 등 최근 인터넷웜(Internet Worm)에 의한 침입은 방화벽시스템, 침입탐지시스템 등 보안제품이 존재하는 네트워크에서도 적절한 대책이 되지 않은 경향을 보이고 있다. 침입차단시스템을 통과할 수 있는 신종 취약점을 이용한 침입에는 오용방지방법(Misuse Detection)에 의한 침입탐지시스템이 침입패턴을 업데이트하기 전에 이미 네트 워크에 피해를 입힐 가능성이 크게 증가하는 것이다. 향후에도 크게 증가할 것으로 보이는 인터넷웜 공격 등에는 침입차단시스템, 침입탐지시스템 등 보안제품의 로그기록 상황과 네트워크의 보안상태를 지속적으로 감시함으로서 조기에 침입을 탐지할 수 있다. 본 논문에서는 신종 웜 공격에 의한 침입이 발생되었을 때 IDS가 탐지하지 못하는 상황에서도 침입의 흔적을 조기에 발견할 수 있는 네트워크 보안 상태변수확인방법(Network Security Parameter Matching Method)을 제안하고자 한다.
연결요청(connection request) 패킷의 전송비율을 일정 비율 이하로 제한함으로써 월 발생을 탐지하는 바이러스 쓰로틀링(virus throttling)은 대표적인 웜 조기 탐지 기술 중의 하나이다. 기존 바이러스 쓰로틀링은 비율 제한기의 주기를 고정시키고 지연 큐 길이를 감시하여 웜 발생 여부를 판단한다. 본 논문에서는 가중치 평균 지연 큐 길이를 적용하여 비율 제한기의 주기를 자율적으로 조절하는 알고리즘을 제안하고, 가중치 평균 지연 큐 길이에 따른 다양한 주기결정 기법을 제시한다. 실험결과 제안 알고리즘은 웜 탐지시간에는 크게 영향을 미치지 않으면서도 연결설정 지연시간을 단축하여 사용자가 느끼는 불편함을 줄여 줄 수 있음을 확인하였다.
바이러스 감속기(virus throttling)은 연결요청 패킷의 전송비율을 일정 비율 이하로 제한함으로써 웜을 탐지하는 대표적인 조기 웜 탐지 기술 중의 하나이다. 기존 바이러스 감속기 연구에서는 웜 탐지시간에는 크게 영향을 미치지 않으면서도 연결설정 지연시간을 단축시키기 위해 가중치 평균 지연 큐 길이를 적용하여 비율 제한기의 주기를 자율적으로 조절하였다. 기존 연구에서는 비율 제한기의 최소주기를 고정하고 또한 주기 값을 감소시키다가 다시 증가시키기 시작하는 반환점도 미리 고정하였다. 그러나 이러한 두 성능결정 요소는 웜 탐지시간과 연결 설정 지연에 서로 다른 영향을 미친다. 따라서 본 논문에서는 가변 비율 제한기의 최소주기와 반환점이 어떤 영향을 미치는지 실험을 통해 분석하고, 상황에 따라 이들 성능결정 요소들의 값을 결정할 수 있는 방안을 제시하고자 한다. 제안된 방법은 성능결정 요소를 고정시킨 기존 방법보다는 웜 탐지시간이나 연결설정 지연시간 단축에 더 효율적이라는 사실을 실험을 통해 확인하였다.
특정 또는 불특정 네트워크를 공격 대상으로 하는 인터넷 웜, 분산서비스거부 공격 등의 출현과 가공할 파괴력으로 인해 네트워크에 대한 보안 요구가 점차 증가하고 있다. 침입탐지시스템 등의 네트워크 보안 솔루션은 네트워크 공격에 대한 감시 및 차단 등의 기능을 제공하며 기술적인 진화를 거듭하고 있지만, 근본적인 한계로써 국부 감시로 인한 불명확성과 오탐에 의한 보안경보$^{1)}$ 플러딩 등이 지적되고 있다. 특히 보안경보의 플러딩 현상은 네트워크 보안 상태를 정확하게 판단하는 것을 방해함으로써 조기경보체제의 구축을 어렵게 하는 요인이 되고 있다. 최근 이러한 부분을 극복하기 위해 보안경보 간의 상호 연관성 분석에 대한 연구가 활발해 지고 있다. 본 논문에서는 보안경보에 대한 연관성 분석 동향에 대해서 논의한다. 또한 보안경보의 집단화(aggregation)를 이용한 네트워크 공격 상황 분석방안에 대해서도 논의한다. 보안경보의 집단화를 이용한 공격 상황 분석은 엄청나게 발생하는 보안경보로부터 조기경보를 위한 공격 정보의 판별과 광역 네트워크상에서 이상 현상의 탐지를 가능하게 한다. 이와 더불어 현재 ETRI에서 개발 중에 있는 네트워크 공격 상황 분석기인 NASA(Network Attack Situation Analyzer)에 대해서도 간략히 소개한다.
최근 사회적인 이슈인 악성 트래픽 인한 네트워크 마비, 전자거래 방해 등과 같이 단시간내에 엄청난 국가적인 손실이 될수 있는 악성 웜, 바이러스에 대한 대처 능력은 보안관리에 매우 중요한 요소임은 자명하다. 이와 관련, 사이버위협에 대한 신속한 대처능력을 확보하기 위해 조기 예 경보시스템에 대한 많은 연구가 이루어지고 있으나, 기술적인 문제와 함께 시스템의 효용성에 대한 한계 때문에 실용적인 연구가 가시화되지 못하고 있는 실정이다. 본 논문에서는 위와 같은 문제를 해결하기 위하여 대형네트워크에서 기존 보안장비에 의한 검출과는 별도로 사이버 위협 조기예경보만을 위한 조기탐지기법에 대해서 연구하였다. 실제 대형네트워크에서 허니넷 (Honeynet)기반의 모듈을 적용한 사이버예경보시스템을 설계하여 대형 네트워크에서 본 모듈이 약성 트래픽에 대해 얼마나 효과적으로 대처 할수 있는지에 대해 연구하였다.
본 웹사이트에 게시된 이메일 주소가 전자우편 수집 프로그램이나
그 밖의 기술적 장치를 이용하여 무단으로 수집되는 것을 거부하며,
이를 위반시 정보통신망법에 의해 형사 처벌됨을 유념하시기 바랍니다.
[게시일 2004년 10월 1일]
이용약관
제 1 장 총칙
제 1 조 (목적)
이 이용약관은 KoreaScience 홈페이지(이하 “당 사이트”)에서 제공하는 인터넷 서비스(이하 '서비스')의 가입조건 및 이용에 관한 제반 사항과 기타 필요한 사항을 구체적으로 규정함을 목적으로 합니다.
제 2 조 (용어의 정의)
① "이용자"라 함은 당 사이트에 접속하여 이 약관에 따라 당 사이트가 제공하는 서비스를 받는 회원 및 비회원을
말합니다.
② "회원"이라 함은 서비스를 이용하기 위하여 당 사이트에 개인정보를 제공하여 아이디(ID)와 비밀번호를 부여
받은 자를 말합니다.
③ "회원 아이디(ID)"라 함은 회원의 식별 및 서비스 이용을 위하여 자신이 선정한 문자 및 숫자의 조합을
말합니다.
④ "비밀번호(패스워드)"라 함은 회원이 자신의 비밀보호를 위하여 선정한 문자 및 숫자의 조합을 말합니다.
제 3 조 (이용약관의 효력 및 변경)
① 이 약관은 당 사이트에 게시하거나 기타의 방법으로 회원에게 공지함으로써 효력이 발생합니다.
② 당 사이트는 이 약관을 개정할 경우에 적용일자 및 개정사유를 명시하여 현행 약관과 함께 당 사이트의
초기화면에 그 적용일자 7일 이전부터 적용일자 전일까지 공지합니다. 다만, 회원에게 불리하게 약관내용을
변경하는 경우에는 최소한 30일 이상의 사전 유예기간을 두고 공지합니다. 이 경우 당 사이트는 개정 전
내용과 개정 후 내용을 명확하게 비교하여 이용자가 알기 쉽도록 표시합니다.
제 4 조(약관 외 준칙)
① 이 약관은 당 사이트가 제공하는 서비스에 관한 이용안내와 함께 적용됩니다.
② 이 약관에 명시되지 아니한 사항은 관계법령의 규정이 적용됩니다.
제 2 장 이용계약의 체결
제 5 조 (이용계약의 성립 등)
① 이용계약은 이용고객이 당 사이트가 정한 약관에 「동의합니다」를 선택하고, 당 사이트가 정한
온라인신청양식을 작성하여 서비스 이용을 신청한 후, 당 사이트가 이를 승낙함으로써 성립합니다.
② 제1항의 승낙은 당 사이트가 제공하는 과학기술정보검색, 맞춤정보, 서지정보 등 다른 서비스의 이용승낙을
포함합니다.
제 6 조 (회원가입)
서비스를 이용하고자 하는 고객은 당 사이트에서 정한 회원가입양식에 개인정보를 기재하여 가입을 하여야 합니다.
제 7 조 (개인정보의 보호 및 사용)
당 사이트는 관계법령이 정하는 바에 따라 회원 등록정보를 포함한 회원의 개인정보를 보호하기 위해 노력합니다. 회원 개인정보의 보호 및 사용에 대해서는 관련법령 및 당 사이트의 개인정보 보호정책이 적용됩니다.
제 8 조 (이용 신청의 승낙과 제한)
① 당 사이트는 제6조의 규정에 의한 이용신청고객에 대하여 서비스 이용을 승낙합니다.
② 당 사이트는 아래사항에 해당하는 경우에 대해서 승낙하지 아니 합니다.
- 이용계약 신청서의 내용을 허위로 기재한 경우
- 기타 규정한 제반사항을 위반하며 신청하는 경우
제 9 조 (회원 ID 부여 및 변경 등)
① 당 사이트는 이용고객에 대하여 약관에 정하는 바에 따라 자신이 선정한 회원 ID를 부여합니다.
② 회원 ID는 원칙적으로 변경이 불가하며 부득이한 사유로 인하여 변경 하고자 하는 경우에는 해당 ID를
해지하고 재가입해야 합니다.
③ 기타 회원 개인정보 관리 및 변경 등에 관한 사항은 서비스별 안내에 정하는 바에 의합니다.
제 3 장 계약 당사자의 의무
제 10 조 (KISTI의 의무)
① 당 사이트는 이용고객이 희망한 서비스 제공 개시일에 특별한 사정이 없는 한 서비스를 이용할 수 있도록
하여야 합니다.
② 당 사이트는 개인정보 보호를 위해 보안시스템을 구축하며 개인정보 보호정책을 공시하고 준수합니다.
③ 당 사이트는 회원으로부터 제기되는 의견이나 불만이 정당하다고 객관적으로 인정될 경우에는 적절한 절차를
거쳐 즉시 처리하여야 합니다. 다만, 즉시 처리가 곤란한 경우는 회원에게 그 사유와 처리일정을 통보하여야
합니다.
제 11 조 (회원의 의무)
① 이용자는 회원가입 신청 또는 회원정보 변경 시 실명으로 모든 사항을 사실에 근거하여 작성하여야 하며,
허위 또는 타인의 정보를 등록할 경우 일체의 권리를 주장할 수 없습니다.
② 당 사이트가 관계법령 및 개인정보 보호정책에 의거하여 그 책임을 지는 경우를 제외하고 회원에게 부여된
ID의 비밀번호 관리소홀, 부정사용에 의하여 발생하는 모든 결과에 대한 책임은 회원에게 있습니다.
③ 회원은 당 사이트 및 제 3자의 지적 재산권을 침해해서는 안 됩니다.
제 4 장 서비스의 이용
제 12 조 (서비스 이용 시간)
① 서비스 이용은 당 사이트의 업무상 또는 기술상 특별한 지장이 없는 한 연중무휴, 1일 24시간 운영을
원칙으로 합니다. 단, 당 사이트는 시스템 정기점검, 증설 및 교체를 위해 당 사이트가 정한 날이나 시간에
서비스를 일시 중단할 수 있으며, 예정되어 있는 작업으로 인한 서비스 일시중단은 당 사이트 홈페이지를
통해 사전에 공지합니다.
② 당 사이트는 서비스를 특정범위로 분할하여 각 범위별로 이용가능시간을 별도로 지정할 수 있습니다. 다만
이 경우 그 내용을 공지합니다.
제 13 조 (홈페이지 저작권)
① NDSL에서 제공하는 모든 저작물의 저작권은 원저작자에게 있으며, KISTI는 복제/배포/전송권을 확보하고
있습니다.
② NDSL에서 제공하는 콘텐츠를 상업적 및 기타 영리목적으로 복제/배포/전송할 경우 사전에 KISTI의 허락을
받아야 합니다.
③ NDSL에서 제공하는 콘텐츠를 보도, 비평, 교육, 연구 등을 위하여 정당한 범위 안에서 공정한 관행에
합치되게 인용할 수 있습니다.
④ NDSL에서 제공하는 콘텐츠를 무단 복제, 전송, 배포 기타 저작권법에 위반되는 방법으로 이용할 경우
저작권법 제136조에 따라 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처해질 수 있습니다.
제 14 조 (유료서비스)
① 당 사이트 및 협력기관이 정한 유료서비스(원문복사 등)는 별도로 정해진 바에 따르며, 변경사항은 시행 전에
당 사이트 홈페이지를 통하여 회원에게 공지합니다.
② 유료서비스를 이용하려는 회원은 정해진 요금체계에 따라 요금을 납부해야 합니다.
제 5 장 계약 해지 및 이용 제한
제 15 조 (계약 해지)
회원이 이용계약을 해지하고자 하는 때에는 [가입해지] 메뉴를 이용해 직접 해지해야 합니다.
제 16 조 (서비스 이용제한)
① 당 사이트는 회원이 서비스 이용내용에 있어서 본 약관 제 11조 내용을 위반하거나, 다음 각 호에 해당하는
경우 서비스 이용을 제한할 수 있습니다.
- 2년 이상 서비스를 이용한 적이 없는 경우
- 기타 정상적인 서비스 운영에 방해가 될 경우
② 상기 이용제한 규정에 따라 서비스를 이용하는 회원에게 서비스 이용에 대하여 별도 공지 없이 서비스 이용의
일시정지, 이용계약 해지 할 수 있습니다.
제 17 조 (전자우편주소 수집 금지)
회원은 전자우편주소 추출기 등을 이용하여 전자우편주소를 수집 또는 제3자에게 제공할 수 없습니다.
제 6 장 손해배상 및 기타사항
제 18 조 (손해배상)
당 사이트는 무료로 제공되는 서비스와 관련하여 회원에게 어떠한 손해가 발생하더라도 당 사이트가 고의 또는 과실로 인한 손해발생을 제외하고는 이에 대하여 책임을 부담하지 아니합니다.
제 19 조 (관할 법원)
서비스 이용으로 발생한 분쟁에 대해 소송이 제기되는 경우 민사 소송법상의 관할 법원에 제기합니다.
[부 칙]
1. (시행일) 이 약관은 2016년 9월 5일부터 적용되며, 종전 약관은 본 약관으로 대체되며, 개정된 약관의 적용일 이전 가입자도 개정된 약관의 적용을 받습니다.