• 정보처리학회논문지C
• /
• 제13C권1호
• /
• pp.11-18
• /
• 2006

최근의 해킹사고에서 침입자는 피해시스템에서 자신의 IP주소 노출을 피하기 위하여 피해시스템을 직접 공격하지 않고 Stepping stone(경유지)을 이용하여 경유지 우회 공격을 수행한다. 본 논문에서는 현재 네트워크 환경에서 Stepping stone을 이용한 경유지 우회 공격시 공격자의 근원지 주소를 추적하기 위한 알고리즘을 설계한다. 침입자 추적은 크게 두 가지 분류로 나뉘어 진다. 첫째는 IP Packet traceback, 둘째는 Connection traceback 이다. 본 논문에서는 Connection traceback에 공격을 다루며, 운영체제의 프로세스 구조를 이용하여 공격자 또는 Stepping stone을 구분하여 침입자의 위치를 추적한다.

• 한국컴퓨터정보학회논문지
• /
• 제16권1호
• /
• pp.125-132
• /
• 2011

웹 기반 공격에 대한 대응책으로 계층적 웹 보안 시스템이 있지만 다양한 혼합 및 우회 공격에는 제대로 대응하지 못하는 실정이다. 본 논문은 웹 공격에 의해 발생하는 악성코드 유포, XSS, 웹쉘 생성, URL Spoofing, 개인 정보유출 등의 증상을 HTTP outbound traffic의 감시를 통해 실시간으로 탐지하는 효율적인 기법을 제안한다. 제안 기법은 다양한 웹 공격에 의해 생성되는 HTML 태그와 Javascript 코드를 분석하여 설정한 시그너처를 outbound traffic과 비교 검색하여 웹 공격을 탐지한다. 실제 침입 환경에서의 검증 분석을 통해, 계층적 보안 시스템과 결합된 제안기법이 우회된 웹 공격에 대한 탐지능력이 탁월함을 보인다.

• 정보처리학회논문지C
• /
• 제13C권4호
• /
• pp.397-404
• /
• 2006

소프트웨어 공격이 성공하기 위해서는 공격 코드가 프로그램의 주소 공간에 주입된 후 프로그램의 제어 흐름이 공격 코드 위치로 변경되어야 한다. 프로그램의 주소 공간 중 코드 영역은 실행 중에 변경이 불가능하므로 공격 코드가 주입될 수 있는 곳은 데이터 영역 밖에 없다. 따라서 데이터 영역으로 프로그램의 제어가 변경될 경우 주입된 공격 코드로 제어가 옮겨 가는 공격이 발생한 것으로 판단할 수 있다. 따라서 본 논문에서는 프로그램의 제어 흐름과 관련된 CALL, JMP, RET 명령어의 목적 주소를 검사하여 제어가 옮겨갈 목적 주소가 프로그램의 실행 코드가 저장된 텍스트 영역이 아닌 데이터 영역일 경우 소프트웨어 공격이 발생한 것으로 간주하는 소프트웨어 공격 탐지 기법을 제안하였다. 제안된 방법을 이용하면 함수의 복귀주소뿐만 아니라 함수포인터, longjmp() 버퍼 등 프로그램 제어 흐름과 관련된 모든 데이터가 변경되었는지 점검할 수 있었기 때문에 기존 기법들보다 더 많은 종류의 공격을 탐지할 수 있었다.