파일 시스템 모니터링을 통한 클라우드 스토리지 기반 랜섬웨어 탐지 및 복구 시스템
Ransomware Detection and Recovery System Based on Cloud Storage through File System Monitoring
2
조회
0
다운로드
2
인용
0
참고문헌
키워드
초록
현대 사회의 정보 기술이 발전함에 따라 시스템의 중요 정보를 탈취하거나 파괴하는 목적을 가진 다양한 악성코드도 함께 발전하고 있다. 그 중 사용자의 자원을 접근하지 못하게 하는 대표적인 악성코드로 랜섬웨어가 있다. 암호화를 수행하는 랜섬웨어에 대해 탐지하는 연구는 최근에 계속해서 진행되고 있으나, 공격을 한 이후에 손상된 파일을 복구하는 추가적인 방안은 제안되지 않고 있다. 또한 기존 연구에서는 암호화가 여러 번에 걸쳐 진행되는 것을고려하지 않고 유사도 비교 기법을 사용했기 때문에 정상적인 행위로 인식할 가능성이 높다. 따라서 본 논문에서는파일 시스템을 제어하는 필터 드라이버를 구현하며, 랜섬웨어의 암호화 패턴 분석을 기반으로 검증된 유사도 비교기법을 수행한다. 이에 접근한 프로세스의 악의적 유무를 탐지하고 클라우드 스토리지를 기반으로 손상된 파일을 복구하는 시스템을 제안하고자 한다.
Abstract
As information technology of modern society develops, various malicious codes with the purpose of seizing or destroyingimportant system information are developing together. Among them, ransomware is a typical malicious code that preventsaccess to user's resources. Although researches on detecting ransomware performing encryption have been conducted a lot inrecent years, no additional methods have been proposed to recover damaged files after an attack. Also, because thesimilarity comparison technique was used without considering the repeated encryption, it is highly likely to be recognized asa normal behavior. Therefore, this paper implements a filter driver to control the file system and performs a similaritycomparison method that is verified based on the analysis of the encryption pattern of the ransomware. We propose a systemto detect the malicious process of the accessed process and recover the damaged file based on the cloud storage.
참고문헌 (14)
- A. Kharraz, "Unveil: a large-scale, automated approach to detecting ransomware", 25th USENIX Security Symposium, pp.757~772 (2016)
- A. Kharraz, "Cutting the gordian knot: a look under the hood of ransomware attacks", Detection of Intrusions and Malware, and Vulnerability Assessment:12th International Conference, pp.3~24 (2015)
- [URL]
- "Microsoft Tech Report"[URL]
- "AhnLab Tech Report"[URL]
- N. Scaife, "Cryptolock (and drop it): stopping ransomware attacks on user data", 2016 IEEE 36th International Conference on Distributed Computing Systems (ICDCS), pp.303~3112 (2016)
- V. Roussev, "Data fingerprinting with similarity digests", Sixth IFIP WG 11.9 International Conference on Digital Forensics, pp.207~226 (2010)
- J. Lin, "Divergence measures based on the shannon entropy", IEEE Transactions on Information Theory, 37(1), pp.145~151 (1991)[DOI]
- J. Kornblum, "Identifying almost identical files using context triggered piecewise hashing", Digital Investigation, 3(9), pp.91~97 (2006)[DOI]
- V. Roussev, "An evaluation of forensic similarity hashes", Digital Investigation, 8(8), pp.34~41 (2011)[DOI]
- "Govdocs1 Report"[URL]
- [URL]
- B. Bloom, "Space-Time Trade-offs in Hash Coding with Allowable Errors", Communications of the ACM, 13(7), pp.422~426 (1970)[DOI]
- 하상민, "클라우드 기반 랜섬웨어 복구 시스템 설계 및 구현", 정보보호학회논문지, 27(3), pp.521~530 (2017), 한국정보보호학회[DOI]