• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2002년도 가을 학술발표논문집 Vol.29 No.2 (3)
• /
• pp.292-294
• /
• 2002

인터넷 사용의 급증과 함께 Code-Red나 Nimda와 같은 서비스 거부 공격형 웜 바이러스가 급격히 확산되고 있으며 이로 인한 피해가 급증하고 있다. 이러한 웜 바이러스 대부분 일정 패턴의 HTTP 요청을 가지고 있으며 이러한 HTTP 요청 패턴을 확인하면 현재 감염된 클라이언트를 확인 할 수 있다. 그러나 새로운 웜 바이러스의 출현 시에는 기존에 분석한 요청 패턴만으로는 감염된 클라이언트의 확인이 불가능하다. 따라서 본 논문에서는 프락시 서버를 이용하여 실시간으로 바이러스 패턴을 분석하여 그 HTTP 요청 패턴과, 감염된 클라이언트 정보를 관리자에게 전송하며 자동으로 해당 클라이언트 및 해당 패턴에 대한 요청을 차단하여 바이러스의 확산을 막는 시스템을 제안한다.

• 정보보호학회논문지
• /
• 제21권1호
• /
• pp.39-52
• /
• 2011

서버의 응용계층에 대한 DDoS 공격은 매우 적은 량의 패킷으로 효과적인 공격이 가능하며, 공격 트래픽이 정상 트래픽과 유사하여 탐지가 매우 어렵다. 하지만 HTTP 응용계층 공격 트래픽에는 사용자 의도에 의한 특성이 있음을 찾았다. 정상 사용자와 DDoS 공격자는 동일하게 TCP 계층에서 세션을 맺는다. 이후 최소 한번의 HTTP Get 요구 패킷을 발생한다. 정상적인 HTTP 요구는 서버의 응답을 기다리지만 공격자는 Get 요청 직후 세션을 종료한다. 이러한 행위는 사용자 의도에 의한 차이로 해석할 수 있다. 본 논문에서는 이러한 차이를 기반으로 응용계층 분산서비스 거부 공격 탐지 알고리즘을 제안하였다. 제안된 알고리즘은 정상 네트워크와 봇 기반 분산서비스거부 공격 툴에서 발생한 트래픽으로 실험되었으며, 거의 오탐 없이 HTTP-Get 공격을 탐지함을 보여 주였다.

• 컴퓨터교육학회논문지
• /
• 제14권6호
• /
• pp.65-73
• /
• 2011

최근 사이버공격을 보면 전세계 해킹공격 트랜드로 APT 공격이 지속 발생하고 있다. 특히, HTTP Get Flooding 공격은 사이버공격기법 중 가장 효과적인 공격 중 하나이다. 기존의 HTTP Get Flooding 공격 기술에 대해 알아보고 ATP 공격 특성을 결합한 새로운 공격 기술을 제안한다. 본 논문은 HTTP Get Flooding 기술을 이용하여 효과적인 APT 공격 도구 제작 관한 내용이다. 이 공격도구를 통해 지속적인 DDoS 공격에 대한 적극적 방어 대책이 필요하다.

• 정보보호학회논문지
• /
• 제22권4호
• /
• pp.809-817
• /
• 2012

OSI 7계층 DDoS 공격 기법중 하나인 HTTP POST DDoS 공격은 서버의 자원을 고갈시켜 정상적인 서비스를 방해하는 서비스 거부 공격 기법이다. 이 공격은 적은 양의 공격 트래픽만으로도 효과적인 공격이 가능하며 정상적인 TCP 연결을 이용하고 있어 정상적인 사용자 트래픽과 공격 트래픽을 구분하는 것이 어렵다. 본 논문에서는 HTTP POST DDoS 공격에 대한 대응 방안으로 비정상 HTTP POST 트래픽 탐지 알고리즘과 HTTP POST 페이지별 Content-Length 제한기법을 제안한다. 제안한 방안은 HTTP POST 공격도구인 r-u-dead-yet과 자체 개발한 공격 도구를 이용하여 HTTP POST DDoS 공격을 오탐 없이 탐지 대응하였음을 보여주었다.

• 정보처리학회논문지C
• /
• 제18C권3호
• /
• pp.127-134
• /
• 2011

악성 봇넷은 DDoS(Distributed Denial of Service) 공격이나 각종 스팸 메시지 발송, 개인 정보 탈취, 클릭 사기 등 많은 악성 행위에 이용되고 있다. 이를 방지하기 위해 많은 연구가 선행되었지만 악성 봇넷 또한 진화하여 탐지 시스템을 회피하고 있다. 특히 최근에는 어플리케이션 계층의 취약성을 공략한 HTTP GET 공격이 주로 사용되고 있다. 한국전자통신연구원에서 개발한 ALADDIN 시스템의 ALAB(Application Layer Attack detection Block)는 서비스 거부 공격 HTTP GET, Incomplete GET Request flooding 공격을 탐지하는 알고리즘이 적용된 탐지 시스템이다. 본 논문에서는 ALAB 탐지 알고리즘의 Incomplete GET 탐지 알고리즘을 확장하고 장기간 조사한 정상적인 패킷 및 공격 패킷들의 분석을 통해 최적 threshold를 도출하여 ALAB 알고리즘의 유효성을 검증한다.

• 스마트미디어저널
• /
• 제12권2호
• /
• pp.66-75
• /
• 2023

최근 기업 및 공공기관 정보시스템의 클라우드 전환이 가속화되면서 클라우드 환경에서 운영되는 웹 애플리케이션이 증가하고 있다. 클라우드 웹 애플리케이션에 대한 전통적인 네트워크 공격은 대량의 패킷으로 네트워크 자원을 고갈시키는 DoS(Denial of Service) 공격이 대표적이지만, 최근에는 애플리케이션 자원을 고갈시키는 HTTP DoS 공격도 증가하고 있어 이에 대응하기 위한 보안기술 마련이 필요하다. 특히, HTTP DoS 공격 중, 저대역폭으로 수행되는 공격은 네트워크 자원을 고갈시키지 않기 때문에 네트워크 메트릭을 모니터링 하는 전통적인 보안 솔루션으로 탐지하는 것이 어렵다. 본 논문에서는 클라우드 웹 애플리케이션에 HTTP DoS 공격을 주입하면서 웹 서버의 애플리케이션 메트릭을 수집하고, 이를 머신러닝 기반으로 학습하여 공격을 탐지하는 새로운 탐지 모델을 제안한다. 애플리케이션 메트릭으로는 아파치 웹 서버의 18종을 수집하였고, 5종의 머신러닝 모델과 2종의 딥러닝 모델을 사용하여 수집한 데이터를 학습하였다. 또한, 6종의 네트워크 메트릭을 추가로 수집 및 학습하고, 제안된 애플리케이션 메트릭 기반 모델과 성능을 비교함으로써 애플리케이션 메트릭 기반 머신러닝 모델의 우수성을 검증한다. HTTP DoS 공격 중, 저대역폭으로 수행되는 RUDY 공격과 고대역폭으로 수행되는 HULK 공격을 제안된 모델로 탐지한 결과, 두 공격 탐지에 있어서 애플리케이션 메트릭 기반 머신러닝 모델의 F1-Score가 네트워크 메트릭 기반의 모델보다 각각 약 0.3, 0.1 높은 것을 확인하였다.

• 정보보호학회논문지
• /
• 제19권4호
• /
• pp.51-61
• /
• 2009

최근 인터넷 상에서 봇넷을 이용한 사이버 공격이 증가하고 있으며, 이러한 공격들은 금전적 이득을 목적으로 하고 있어 범죄화 양상을 보이고 있다. 봇넷을 이용하는 사이버 공격으로는 스팸 발송, 분산서비스 거부(DDoS) 공격, 악성코드 및 맬웨어(malware) 전파, 피싱, 개인정보 유출 등이 있다. IRC나 HTTP 봇넷과 같은 중앙 봇넷은 그 탐지나 완화 방법의 연구가 다수 존재하지만, P2P 봇넷에 대한 연구는 아직 초기 단계이다. 본 논문에서는 다양한 네트워크 공격의 능동적 분석에 활용되는 허니넷을 이용하여 P2P 기반 Storm 봇 중의 하나안 Peacomm 봇이 발생시키는 트래픽을 분석하였다. 그 결과 Peacomm 봇이 P2P를 통해 광범위한 외부 네트워크의 좀비를 대상으로 다량의 UDP 패킷을 발생시키는 것을 확인하였다. 또한 이를 통해 Peacomm 붓이 봇넷의 규모를 유지하거나 확장한다는 것을 알 수 있었다. 이는 P2P 봇넷을 탐지하고 완화시킬 수 있는 대응기술 마련의 기초로써 사용될 수 있을 것으로 기대된다.