엔트로피를 이용한 ShellCode 탐지 방법
Detecting ShellCode Using Entropy
0
조회
0
다운로드
3
인용
0
참고문헌
키워드
초록
해커들은 웹 사이트를 해킹 또는 경유 사이트를 운영하는 등 다양한 방법으로 목적을 달성하기 위한 해킹을 시도한다. 악성코드를 웹 사이트에 업로드하여 경유 사이트를 만드는 경우 해당 사이트에 접속하는 사용자는 좀비 PC가 되어 아이디와 패스워드 및 개인 정보가 대량 유출되고 해킹된 개인정보들은 다른 해킹 방법에 사용되고 있다. 기존의 탐지기법은 Snort rule을 사용하여 패턴을 IDS/IPS 장비에 입력하여 네트워크에서 패턴이 일치되면 탐지하는 기법으로 동작하고 있다. 하지만 입력된 패턴을 벗어난 공격을 하였을 경우 IDS/IPS 장비에서는 탐지하지못하고 정상적인 행위로 간주하여 사용자 PC를 감염시킨다. 공격자는 패턴 탐지 방법의 취약점을 찾아 ShellCode를 진화시킨다. 진화된ShellCode 공격에 대응하여 악의적인 공격을 탐지 및 대응할 수 있는 방법의 제시가 필요한 실정이다. 본 논문은 정보량 측정을 통한ShellCode를 탐지하는 방법에 관한 연구이며, 기존의 보안 장비를 우회하여 사용자PC에 공격 시도를 탐지하는 방법을 제시한다.
Abstract
Hackers try to achieve their purpose in a variety of ways, such as operating own website and hacking a website. Hackers seize alarge amount of private information after they have made a zombie PC by using malicious code to upload the website and it would beused another hacking. Almost detection technique is the use Snort rule. When unknown code and the patterns in IDS/IPS devices arematching on network, it detects unknown code as malicious code. However, if unknown code is not matching, unknown code would benormal and it would attack system. Hackers try to find patterns and make shellcode to avoid patterns. So, new method is needed to detectthat kinds of shellcode. In this paper, we proposed a noble method to detect the shellcode by using Shannon’s information entropy.
참고문헌 (11)
- Young Jun Kum, "Hiding Shellcode in the 24But BMP Image", Korea Institute of Information Security & Cryptology, 10(2), pp.100~103 (2009)
- YoungHan Choi, "Detecting Heap-Spraying Code Injection Attacks in Malicious Web Pages Using Runtime Execution", IEICE Transactions, 95-B(5), pp.1711~1721 (2012)
- "History_of_Buffer_Overflow" (2008)[URL]
- 정구현, "엔트로피를 이용한 실행 압축 해제 기법 연구", 한국정보기술학회논문지, 7(1), pp.232~238 (2009), 한국정보기술학회
- Hyundo PARK, "Detecting Unknown Worms using Randomness Check", IEICE TRANSACTIONS on Communications, E90-B(4), pp.894~903 (2007)
- Thomas C. Schmidt, "context-adaptive entropy analysis as a lightweight detector of zero-day shellcode on mobiles", PACM WiSec (2011), ACM
- "oxforddictionaries.com"[URL]
- C. E. SHANNON, "Prediction and Entropy of Printed English By C. E. SHANNON", Bell Sys. Tech. Jour., 30, pp.51~64 (1951)
- Lyda R, "Using Entropy Analysis to Find Encrypted and Packed Malware", IEEE Security and Privacy, 5(2), pp.40~45 (2011)
- "sourcefire snort rule"[URL]
- F. Schmitt, "Detecting JavaScript-based attacks in PDF documents", Proceedings of the 10th Annual Conference on Privacy, Security and Trust (PST) (2012)