웹셸 탐지를 위한 TF-IDF 및 응답 용량 변동 기반 사용자 행위 임베딩
User Behavior Embedding via TF-IDF-BVC for Web Shell Detection
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
웹 애플리케이션의 수요가 나날이 늘어남에 따라 보안 관제 측면의 중요성도 증가하고 있다. 특히 원격으로 서버에 접근하여 악의적인 명령 수행을 수행하는 웹셸 공격은 피해 범위가 넓고 피해 사례 수가 증가하고 있어, 웹 서버 관제 시 웹셸 탐지 능력은 필수적이다. 기존의 웹 방화벽과 같은 보안장비는 우회 가능성이 있으며, 알려지지 않은 공격에 취약하기 때문에 전체 로그 데이터로부터 정상 상태를 정의하고, 이에서 벗어난 비정상 상태를 탐지하는 이상 탐지 기법이 요구된다. 본 연구에서는 웹 서버의 access log에서 웹 서버에 접근한 사용자별 행동 특성을 벡터화하여 정상 상태를 정의하고, 이를 벗어난 비정상 상태, 즉 웹셸 공격을 탐지하는 TF-IDF 기반의 임베딩 기법을 제안한다. 본 기법은 응답 용량의 변동을 고려하여 사용자 행동을 보다 정교하게 임베딩함으로써, 웹셸 공격과 같은 비정상 상태를 효과적으로 탐지할 수 있다.
Abstract
As the demand for web applications grows, the importance of security control increases, particularly for detecting webshell attacks that remotely access servers and execute malicious commands. Existing security measures, like web firewalls, can be bypassed and are vulnerable to unknown attacks. Therefore, an anomaly detection technique is needed to define normal behavior from log data and detect deviations. This study proposes a TF-IDF-based embedding technique to vectorize user behavior from web server access logs, thereby defining normal states and detecting anomalies, such as web shell attacks. The proposed method incorporates byte variation count to provide a more refined embedding of user behavior, enabling effective detection of abnormal states like web shell attacks.
참고문헌 (10)
- Hannousse, A., "A deep learner model for multi-language webshell detection", Int. J. Inf. Secur, 22, pp.47~61 (2023)
- T. Dinh Tu, "Webshell detection techniques in web applications", Fifth International Conference on Computing, Communications and Networking Technologies (ICCCNT), pp.1~7 (2014)
- Hwaseong Lee, "Novelty Detection on Web-server Log Dataset", Journal of the Korea Institute of Information and Communication Engineering, 10(2), pp.100~103 (2012)
- Cholong Yoo, "A Study on Threat Detection based on User Behavior Model Using System Event Logs of Endpoint Security Solution", Journal of the Korean Institute of Industrial Engineers, 46(6), pp.637~649 (2020)
- J. Liang, "Anomaly-Based Web Attack Detection: A Deep Learning Approach", the International ACM Conference on Network, Communication and Computing, pp.80~85 (2017)
- Jungwon Kim, "Ensemble Model for Detecting Abnormal Symptoms of IT Infrastructure using Time Series Access Log Data", Journal of KIISE, 48(9), pp.1035~1043 (2021)
- Berlin, K., "Malicious Behavior Detection Using Windows Audit Logs", Proceedings of the 8th ACM Workshop on Artificial Intelligence and Security, pp.35~44 (2015)
- Kim, H. D., "Insider Threat Detection based on User behavior Model and Novelty Detection Algorithms", Journal of the Korean Institute of Industrial Engineers, 43(4), pp.276~287 (2019)
- S.M. Bellovin, "Augmented encrypted key exchange", Proceedings of the 1st ACM Conference on Computer and Communications Security, pp.244~250 (1993)
- Session-Based Webshell Detection Using Machine Learning in Web Logs, "Wu, Yixin", Security and Communication Networks, 11~ (2019)