본문 바로가기
KERD
논문KCI 등재

ATT&CK 기반 공격체인 구성을 통한 APT 공격탐지 시스템 구현

Implementation of an APT Attack Detection System through ATT&CK-Based Attack Chain Reconstruction

이경식|박용우|조성영
한국정보보호학회 (Korea Institute Of Information Security And Cryptology)|2022.06|정보보호학회논문지 (Journal of The Korea Institute of Information Security and Cryptology)|제32권 제3호|pp. 527-545|DOI https://doi.org/10.13089/JKIISC.2022.32.3.527

1

조회

0

다운로드

4

인용

0

참고문헌

키워드

ReconstructionAPTMITRE ATT&CKTTPsAttack Chain
주제분류컴퓨터학

초록

본 연구에서는 조직화된 공격 주체가 수행하는 APT 공격을 효과적으로 탐지하기 위하여, 공격체인을 구성하여 공격을 탐지하는 시스템을 구축하였다. 공격체인 기반 APT 공격 탐지 시스템은 다양한 호스트 및 네트워크 모니터링 도구에서 생성하는 이벤트를 수집하고 저장하는 ‘이벤트 수집 및 저장부’, 이벤트로부터 MITRE ATT&CK®에 정의된 공격기술 수준의 단위공격을 탐지하는 ‘단위공격 탐지부’, 단위공격으로 생성된 이벤트로부터 Provenance Graph 기반의 인과관계 분석을 수행하여 공격체인을 구성하는 ‘공격체인 구성부’로 구성하였다. 시스템을 검증하기 위하여 테스트베드를 구축하고 MITRE ATT&CK Evaluation 프로그램에서 제공하는 모의공격 시나리오를 수행하였다. 실험 결과 모의공격 시나리오에 대해 공격체인이 효과적으로 구성되는 것을 확인하였다. 본 연구에서 구현한 시스템을 이용하면, 공격을 단편적인 부분으로 이해하기보다 공격의 진행 흐름 관점에서 이해하고 대응할 수 있을 것이다.

Abstract

In order to effectively detect APT attacks performed by well-organized adversaries, we implemented a system to detect attacks by reconstructing attack chains of APT attacks. Our attack chain-based APT attack detection system consists of ‘events collection and indexing’ part which collects various events generated from hosts and network monitoring tools, ‘unit attack detection’ part which detects unit-level attacks defined in MITRE ATT&CK® techniques, and ‘attack chain reconstruction’ part which reconstructs attack chains by performing causality analysis based on provenance graphs. To evaluate our system, we implemented a test-bed and conducted several simulated attack scenarios provided by MITRE ATT&CK Evaluation program. As a result of the experiment, we were able to confirm that our system effectively reconstructed the attack chains for the simulated attack scenarios. Using the system implemented in this study, rather than to understand attacks as fragmentary parts, it will be possible to understand and respond to attacks from the perspective of progress of attacks.

참고문헌 (50)

  1. "Transparent Computing (Archived)"[URL]
  2. Casual, adaptive, distributed, and efficient tracing system (CADETS), "Amanda Strnad", BAE Systems, ~, pp.AFRL-RY-WP-TR-2019-0115 (2019)
  3. ClearScope : Full stack provenance graph generation for transparent computing on mobile devices, "Michaell Gordon", Massachusetts Institute of Technology, ~, pp.AFRL-RY-WP-TR-2020-0013 (2020)
  4. Mitigating advanced and persistent threat(APT)damage by reasoning with provenance in large enterprise network(MARPLE)Program, "Josyula Rao", International Business Machines Corporation, ~, pp.AFRL-RY-WP-TR-2019-0285 (2020)
  5. A diagnostics approach for persistence threat detection(ADAPT), "Ryan Wright", Galois, Inc., ~, pp.AFRL-RY-WP-TR-2019-0140 (2019)
  6. Tracking and analysis of causality at enterpriselevel(TRACE), "Gabriela Ciocarlie", SRI International, ~, pp.ARFL-RY-WP-TR-2019-0337 (2022)
  7. "STIX Version 2.1 Specification"[URL]
  8. "Naval Information Warfare Systems Command (NAVWAR) Awards FireEye First Place in Network Threat Detection Challenge"[URL]
  9. "Attack Flow"[URL]
  10. "ATT&CK"[URL]
  11. "PEStudio"[URL]
  12. "TTPs #6 Target Watering Hole Attack Strategy Analysis" (2021)[URL]
  13. Alfonso Valdes, "Probabilistic alert correlation", International Workshop on Recent Advances in Intrusion Detection(RAID), pp.54~68 (2001)
  14. Frédéric Cuppens, "Managing alerts in a multi-intrusion detection environment", Proceedings of the 17th Annual Computer Security Applications Conference, pp.22~31 (2001)
  15. Hervé Debar, "Aggregation and correlation of intrusion-detection alerts", International Workshop on Recent Advances in Intrusion Detection(RAID), pp.85~103 (2001)
  16. Peng Ning, "Analyzing intensive intrusion alerts via correlation", International Workshop on Recent Advances in Intrusion Detection(RAID), pp.74~94 (2002)
  17. Frédéric Cuppens, "Alert correlation in a cooperative intrusion detection framework", Proceedings 2002 IEEE Symposium on Security and Privacy, pp.202~215 (2002)
  18. Faeiz Alserhani, "MARS: multi-stage attack recognition system", 2010 24th IEEE International Conference on Advanced Information Networking and Applications (AINA), pp.753~759 (2010)
  19. Benjamin Morin, "M2D2 : A formal data model for IDS alert correlation", International Workshop on Recent Advances in Intrusion Detection(RAID), pp.115~137 (2002)
  20. Steven T. Eckmann, "STATL : An attack language for state-based intrusion detection", Journal of computer security, 10(1-2), pp.71~103 (2002)
  21. Bin Zhu, "Alert correlation for extracting attack strategies", International Journal on Network Security, 3(3), pp.244~258 (2006)
  22. Hanli Ren, "An online adaptive approach to alert correlation", International Conference on Detection of Intrusions and Malware, and Vulnerability Assessment, pp.153~172 (2010)
  23. Samuel T. King, "Enriching intrusion alerts through multi-host causality", Proceedings of Network and Distributed System Security Symposium (NDSS) (2005)
  24. Samuel T. King, "Backtracking intrusions", Proceedings of the 2003 Symposium on Operating Systems Principles, pp.223~236 (2003)
  25. Md Nahid Hossain, "SLEUTH:Real-time attack scenario reconstruction from COTS audit data", 26th USENIX Security Symposium (USENIX Security 17), pp.487~504 (2017)
  26. Sadegh M. Milajerdi, "HOLMES: Real-time APT detection through correlation of suspicious information flows", 2019 IEEE Symposium on Security and Privacy, pp.1137~1152 (2019)
  27. Chunlin Xiong, "CONAN : A practical real-time APT detection system With high accuracy and efficiency", IEEE Transactions on Dependable and Secure Computing, 19(1), pp.551~565 (2020)
  28. Kexin Pei, "HERCULE : Attack story reconstruction via community discovery on correlated log graph", Proceedings of the 32nd Annual Conference on Computer Security Applications, pp.583~595 (2016)
  29. Jun Zeng, "WATSON : Abstracting behaviors from audit logs via aggregation of contextual semantics", Proceedings of the 28th Annual Network and Distributed System Security Symposium (NDSS), pp.1~18 (2021)
  30. Cesar Ghali, "Needle in a haystack : Mitigating content poisoning in named-data networking", Proceedings of NDSS workshop on security of emerging networking technologies (SENT) (2014)
  31. Yang Ji, "Enabling refinable cross-host attack investigation with efficient data flow tagging and tracking", 27th USENIX Security Symposium(USENIX Security ’18), pp.1705~1722 (2018)
  32. Shiqing Ma, "Kernel-supported cost-effective audit logging for causality tracking", 2018 USENIX Annual Technical Conference (USENIX ATC 18), pp.241~254 (2018)
  33. "MITRE ATT&CK, Data Source"[URL]
  34. "OSSEM Detection Model (DM)"[URL]
  35. "Microsoft Sysinternals Sysmon"[URL]
  36. "Sysmon Config"[URL]
  37. "auditd"[URL]
  38. "Suricata"[URL]
  39. "Zeek"[URL]
  40. "Elastic Common Schema"[URL]
  41. "Elastic Stack"[URL]
  42. "CAR (Cyber Analytics Repostory)"[URL]
  43. "Sigma"[URL]
  44. "Elastic Detection Ruels"[URL]
  45. "pfsense"[URL]
  46. "Pupy"[URL]
  47. "PoshC2"[URL]
  48. "Metasploit"[URL]
  49. "ATT&CK Evaluatio ns"[URL]
  50. "Adversary Emulation Library"[URL]

관련 논문AI추천

APT 공격 탐지를 위한 공격 경로 및 의도 인지 시스템김남욱, 엄정호(사)디지털산업정보학회 · (사)디지털산업정보학회 논문지2020 · 제16권 제1호MITRE ATT&CK을 이용한 APT 공격 스코어링 방법 연구박용우, 신찬호, 이건호, 이경식, 조성영, 최창희한국정보보호학회 · 정보보호학회논문지2022 · 제32권 제4호사이버 전투실험 분석을 위한 MITRE ATT&CK 기반의 시스템 구성 및 방법론 연구안명길, 이정륜한국컴퓨터정보학회 · 한국컴퓨터정보학회논문지2020 · 제25권 제8호MITRE ATT&CK 및 D3FEND를 활용한 효율적인 정보보호 솔루션 도입 방안 연구신강식, 조호묵한국정보보호학회 · 정보보호학회논문지2025 · 제35권 제4호사이버 공격 모델링 기술의 효과적인 시각화 및 MITRE ATT&CK을 활용한 정보 전달 강화이석원, 이재호한국컴퓨터정보학회 · 한국컴퓨터정보학회논문지2025 · 제30권 제8호사이버 보안 훈련을 위한 ATT&CK 기반 사이버 위협 모의 기술 연구김동화, 김용현, 안명길, 이희조한국컴퓨터정보학회 · 한국컴퓨터정보학회논문지2020 · 제25권 제9호

이 간행물의 다른 논문 (10건)

AND 연산자 축적을 통한 경량 S-boxes 생성 방법김종성, 전용진pp. 465-475이벤트 소싱 패턴과 블록 체인을 활용한 모바일 게임 클라이언트 메모리 조작 방지 방안박영호, 박지훈pp. 477-486TPMP : ARM TrustZone을 활용한 DNN 추론 과정의 기밀성 보장 기술송수현, 박성환, 권동현pp. 487-499파워쉘 기반 악성코드에 대한 역난독화 처리와 딥러닝 기반 탐지 방법유효곤, 이상근, 조규환, 정호진pp. 501-511수정 가능한 블록체인 기반 권한 변경 및 접근 제어 시스템이연주, 최재현, 노건태, 정익래pp. 513-525
원문 보기