• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2015년도 춘계학술발표대회
• /
• pp.384-387
• /
• 2015

하이퍼바이저를 이용한 가상화 검사(Virtual Machine Introspection)의 하나인 Gibraltar[2]는 자동으로 무결성 명세서를 생성할 수 있고, 보안 위협이 높아지고 있는 데이터 영역에 대해서도 방어가 가능하다는 점에 존재하는 어떤 보안 도구보다 효과적인 시스템으로 여겨지고 있다. 본 연구에서는 루트킷 탐지 도구인 Gibraltar를 Linux/ARM 3.14 버전에서 구현하고, 커널 메모리 자료 구조 추출 자동화 툴을 개발함으로써 기존 연구의 문제점을 해결하여 성능을 개선하였다. 이를 바탕으로 향후 Gibraltar 연구의 추가 개선 방향을 제시한다.

• 정보화정책
• /
• 제24권4호
• /
• pp.68-78
• /
• 2017

악성코드는 나날이 복잡해지고 다양화되어 단순한 정보유출에서부터 시스템에 대한 심각한 피해를 유발하는 실정에 이르렀다. 이러한 악성코드를 탐지하기 위해 코드분석에 역공학을 이용하는 많은 연구가 진행되었지만, 악성코드 개발자도 분석방법을 우회하는 다양한 기법을 활용함으로써 코드분석을 어렵게 하였다. 특히, 악성코드의 감염여부조차 판단하기 어려운 루트킷 기법들이 진화하고 있고, 악성코드가 이 기법들을 흡수함으로써 그 문제의 심각성은 더욱 커지고 있다. 따라서 본 논문에서는 분석기법들을 우회하는 악성코드에 재빠르게 대응하기 위한 분석 프로세스를 설계하였다. 설계된 프로세스를 통하여 악성코드의 탐지를 더욱 효율적으로 할 수 있을 것으로 사료된다.

• JSTS:Journal of Semiconductor Technology and Science
• /
• 제15권1호
• /
• pp.48-59
• /
• 2015

In recent years, there are increasing threats of rootkits that undermine the integrity of a system by manipulating OS kernel. To cope with the rootkits, in Vigilare, the snoop-based monitoring which snoops the memory traffics of the host system was proposed. Although the previous work shows its detection capability and negligible performance loss, the problem is that the proposed design is not acceptable in recent commodity mobile application processors (APs) which have become de facto the standard computing platforms of smart devices. To mend this problem and adopt the idea of snoop-based monitoring in commercial products, in this paper, we propose a snoop-based monitor design called S-Mon, which is designed for the AP platforms. In designing S-Mon, we especially consider two design constraints in the APs which were not addressed in Vigilare; the unified memory model and the crossbar switch interconnect. Taking into account those, we derive a more realistic architecture for the snoop-based monitoring and a new hardware module, called the region controller, is also proposed. In our experiments on a simulation framework modeling a productionquality device, it is shown that our S-Mon can detect the rootkit attacks while the runtime overhead is also negligible.

• 정보과학회 컴퓨팅의 실제 논문지
• /
• 제23권8호
• /
• pp.504-509
• /
• 2017

부팅 과정의 보안성은 대단히 중요하다. 최근의 루트킷이나 가상머신 등을 이용한 공격은 부팅 과정에 대한 무결성이 보장되지 않으면, 어떠한 운영체제 수준의 보안도 무력화할 수 있음을 보여준다. 세종 정부청사 해킹 사례에서도 부팅 과정의 무결성이 보장되지 않음으로 인해, 해커는 윈도즈 운영체제 사용자의 개인패스워드 인증 과정을 모두 건너뛰고 중요 데이터 파일을 탈취, 변조하였다. 본 논문에서는 리눅스 부팅과정에서의 무결성을 보장하기 위하여 기존의 secure boot와 measured boot를 분석하고, 이들의 취약점 및 한계성을 개선하는 부팅방법을 제안한다. 제시하는 부팅에서는 펌웨어가 전체 부팅과정에서 실행되는 모든 부트로더와 커널의 무결성을 검증하도록 하였으며, 외부 TPM 장치에 부팅과정의 무결성을 기록함으로써 바이오스 설정 변경이나 부팅과정에서의 설정 변조 등을 추적할 수 있다.

• 정보보호학회논문지
• /
• 제23권3호
• /
• pp.479-490
• /
• 2013

최근 삼성 갤럭시 노트 및 갤럭시 탭 10.1 등 안드로이드 기반 상용 모바일 단말을 대상으로 정상 어플리케이션인 것처럼 오픈 마켓에 배포된 악성 어플리케이션에 의한 공격들이 급증하고 있다. 공격자는 정상적인 어플리케이션에 악성코드를 삽입하여 상용 모바일 단말에 대한 루팅(Rooting) 공격을 수행한 후, 단말 내 저장된 사용자의 SMS, 전화번호부 등 개인정보와 공인인증서 등과 같은 금융정보를 외부 서버로 유출시키는 공격을 수행하게 된다. 따라서 상용 모바일 단말에 대한 악성코드 감염 여부를 판별하고 루팅 공격을 탐지 및 대응하기 위한 기법이 필요하다. 이에 본 논문에서는 안드로이드 기반 상용 모바일 단말에 대한 루팅 공격 기법에 대해 분석하고 이를 토대로 모니터링 데몬(Daemon)을 이용하여 상용 단말 내 공격 이벤트를 추출 및 수집하여 악성 어플리케이션으로 인한 공격에 능동적으로 대응하는 기법을 제시하였다.

• 한국항행학회논문지
• /
• 제16권1호
• /
• pp.41-53
• /
• 2012

최근 악성코드에 의한 피해가 개인이나 기업으로부터 기관이나 국가 차원으로 진화하고 있고 악성코드가 사용하는 기술 역시 점점 고도화되고 다양한 기법들을 흡수하여 매우 지능적으로 발전하고 있다. 한편, 보안전문가들은 시그니쳐 탐색 등의 정적 분석과 역공학 등의 동적 분석으로 이에 대응하고 있지만 이는 새로이 출현하는 지능적인 악성코드에 긴급히 대처하기에는 부족함이 있다. 따라서, 악성코드들의 행위 분석에 앞서 대개의 악성코드들이 가지는 감염절차 및 파일 은닉기법에 대한 분석을 우선적으로 수행하고 이를 토대로 재빠른 초동분석이 이루어진 후 그 무력화 방법을 포함한 제반 상세분석이 이루어질 것이 요구된다. 따라서 본 논문에서는 악성코드의 초기 진압을 위하여 요구되는 감염 절차의 분석과 파일 은닉기법의 분석 방안을 연구하였으며 그 과정에서 스팸메일을 발송하는 것으로 가장 널리 알려진 Rustock을 대상으로 실험하였다. 실험 결과를 통하여, 향후 새로이 출현하는 악성코드에 대한 재빠른 대처가 가능할 것으로 판단된다.

• 정보보호학회논문지
• /
• 제26권5호
• /
• pp.1151-1160
• /
• 2016

TrustZone의 시큐어 타이머를 이용한 커널 루트킷 탐지 시스템은 커널로부터 분리되고, 독립된 환경에서 커널을 보호할 수 있기 때문에 모니터링 시스템의 무결성을 보장할 수 있다. 하지만, 물리 메모리 주소를 기반으로, 커널 메모리를 주기적으로 모니터링하기 때문에 일시적인 공격에 취약하며, 페이지 테이블을 변조하여 가상-물리 메모리 주소 변환을 조작하는 공격을 탐지할 수 없다는 단점이 있다. 이를 해결하기 위해, 본 논문에서는 Snoop기반의 커널 검사 시스템을 제안한다. 이 시스템은 커널 메모리를 실시간으로 보호하기 위해 Snooper를 이용하여 모니터링 하며, 프로세스의 컨텍스트 스위칭 시마다 커널 페이지를 검사하여 주소 변환 공격 여부를 검증한다. 커널 검사 시스템은 TizenTV에서 구현되었으며, 실험결과들은 제안된 커널 검사 시스템이 커널 메모리 및 해당 페이지 테이블을 실시간으로 보호하며, 4.67%정도의 성능만 저하시킨다는 것을 보여준다.

• 정보보호학회논문지
• /
• 제31권4호
• /
• pp.661-674
• /
• 2021

커널을 변조하는 루트킷과 같은 악성코드가 만약 메모리 분석을 회피하기 위한 메커니즘을 추가하게 될 경우, 분석이 어려워지거나 불가능하게 되면서 분석가의 판단에 악영향을 미칠 수 있다. 따라서 향후 고도화된 커널 변조를 통해 탐지를 우회하는 루트킷과 같은 악성코드에 선제적으로 대응하고자 한다. 이를 위해 공격자의 관점에서 윈도우 커널에서 사용되는 주요 구조체를 분석하고, 커널 객체를 변조할 수 있는 방법을 적용하여 메모리 덤프 파일에 변조를 진행하였다. 변조 결과 널리 사용되는 메모리 분석 도구에서 탐지가 되지 않는 것을 실험을 통해 확인하였다. 이후 분석가의 관점에서 변조 저항성의 개념을 사용하여 변조를 탐지할 수 있는 소프트웨어 형태로 만들어 기존 메모리 분석 도구에서 탐지되지 않는 영역에 대해 탐지 가능함을 보인다. 본 연구를 통해 선제적으로 커널 영역에 대해 변조를 시도하고 정밀 분석이 가능하도록 인사이트를 도출하였다는 데 의의가 있다 판단된다. 하지만 정밀 분석을 위한 소프트웨어 구현에 있어 필요한 탐지 규칙을 수동으로 생성해야 한다는 한계점이 존재한다.

• 정보보호학회논문지
• /
• 제21권4호
• /
• pp.89-100
• /
• 2011

그간 디지털 포렌식의 활성 시스템 분석 분야의 한 화두는 물리 메모리 이미지 분석이었다. 물리 메모리 분석은 프로세스를 은닉을 하더라도 그 데이터를 물리 메모리에서 확인할 수 있고 메모리에 존재하는 사용자의 행위를 발견할 수 있어 분석 결과의 신뢰성을 높이는 등 디지털 포렌식 분석에 큰 도움이 되고 있다. 하지만 메모리 분석 기술 대부분이 윈도우 운영체제 환경에 초점이 맞추어져 있다. 이는 분석 대상의 다양성을 고려하였을 때 타 운영체제에 대한 메모리 분석이 필요하게 되었음을 의미한다. Mac OS X는 윈도우에 이어 두 번째로 높은 점유율을 가진 운영체제로 부팅 시 커널 이미지를 물리 메모리에 로딩하면서 운영체제가 구동하고 주요 정보를 커널이 관리한다. 본 논문은 Mac OS X의 커널 이미지가 저장하고 있는 심볼 정보를 이용한 물리 메모리 분석 방법을 제안하고, 제안한 내용을 토대로 물리 메모리 이미지에서 프로세스 정보와 마운트된 장치 정보, 커널 버전 정보, 외부 커널 모듈정보(KEXT)와 시스템 콜 목록 정보의 추출 방법을 보인다. 추가적으로 사례 분석을 통해 물리 메모리 분석의 효용성을 입증한다.

• 정보보호학회논문지
• /
• 제25권4호
• /
• pp.863-872
• /
• 2015

커널 루트킷은 운영체제의 컴포넌트 사이의 통신을 가로채거나 수정할 수 있기 때문에, 운영 체제의 무결성을 훼손시킬 수 있는 가장 위협적이고 널리 퍼진 위협 중 하나로 인식되고 있다. 커널 루트킷이 이미 커널 권한을 획득하였기 때문에 루트킷이 설치된 공간에서 커널을 보호하는 것은 안전하지 않다. 따라서 커널보호 시스템은 커널과 동일한 공간으로부터 독립적이어야만 한다. 루트킷을 탐지하기 위해 많은 연구들이 수행되어 왔지만 다른 연구들과 달리 TrustZone 기반 연구는 커널과 동일한 공간으로부터 분리되고, 독립된 공간에서 커널을 보호하는 것이 가능하다. 하지만 제안된 방법들은 커널보호 시스템을 완전히 독립시킬 수 없는 단점이 있다. 이러한 이유로, 우리는 TrustZone의 시큐어 타이머를 이용한 효율적인 커널 검사 시스템을 제안한다. 이 시스템은 레퍼런스의 무결성을 보장하기 위해 커널 원본 이미지인 vmlinux을 활용하여 측정하였다. 또한, 보호영역 크기에 대한 유연성을 제공함으로써 효율적으로 커널보호 시스템을 운영하는 것이 가능하다. 실험 결과들은 제안된 커널보호 시스템이 완전히 독립되어 운영되고, 런타임동안 최대 6%정도의 성능만 저하시킨다는 것을 보여준다.