본문 바로가기
KERD
논문KCI 등재

Native API 빈도 기반의 퍼지 군집화를 이용한 악성코드 재그룹화 기법연구

Malicious Codes Re-grouping Methods using Fuzzy Clustering based on Native API Frequency

문종섭|조재익|권오철|배성재
한국정보보호학회 (Korea Institute Of Information Security And Cryptology)|2008.12|정보보호학회논문지 (Journal of The Korea Institute of Information Security and Cryptology)|제18권 제6호|pp. 115-128

1

조회

0

다운로드

8

인용

0

참고문헌

주제분류컴퓨터학

초록

Native API(Application Programming Interfaces)는 관리자 권한에서 수행되는 system call의 일종으로 관리자 권한을 획득하여 공격하는 다양한 종류의 악성코드를 탐지하는데 사용된다. 이에 따라 Native API의 특징을 기반으로한 탐지방법들이 제안되고 있으며 다수의 탐지방법이 교사학습(supervised learning) 방법의 기계학습(machine learning)을 사용하고 있다. 하지만 Anti-Virus 업체의 분류기준은 Native API의 특징점을 반영하지 않았기 때문에 교사학습을 이용한 탐지에 적합한 학습집합을 제공하지 못한다. 따라서 Native API를 이용한 탐지에 적합한 분류기준에 대한 연구가 필요하다. 본 논문에서는 정량적으로 악성코드를 분류하기 위해 Native API를 기준으로 악성코드를 퍼지 군집화하여 재그룹화하는 방법을 제시한다. 제시하는 재그룹화 방법의 적합성은 기계학습을 이용한 탐지성능의 차이를 기존 분류방법을 결과와 비교하여 검증한다.

Abstract

The Native API is a system call which can only be accessed with the authentication of the administrator. It can be used to detect a variety of malicious codes which can only be executed with the administrator's authority. Therefore, much research is being done on detection methods using the characteristics of the Native API. Most of these researches are being done by using supervised learning methods of machine learning. However, the classification standards of Anti-Virus companies do not reflect the characteristics of the Native API. As a result the population data used in the supervised learning methods are not accurate. Therefore, more research is needed on the topic of classification standards using the Native API for detection. This paper proposes a method for re-grouping malicious codes using fuzzy clustering methods with the Native API standard. The accuracy of the proposed re-grouping method uses machine learning to compare detection rates with previous classifying methods for evaluation.

참고문헌 (28)

  1. 국가사이버안전센터, "2008 국가정보보호백서" (2008), 국가사이버안전센터
  2. R. Sadoddin, "A Comparative Study of Unsupervised Machine Learning and Data Mining Techniques for Intrusion Detection", pp.404~418 (2007), Berlin
  3. SB. Cho, "Efficient anomaly detection by modeling privilege flows using hidden Markov model", Computer & Security, 22(1), pp.45~55 (2003)
  4. 김미희, "데이터 마이닝을 이용한 공격 탐지 메커니즘의 실험적 비교 연구", 한국통신학회논문지C, 31(2C), pp.208~218 (2006), 한국통신학회
  5. Greg Hoglund, "Rootkits: Subverting the Windows Kernel" (2006), Pearson Education, Inc
  6. Michael Bailey, "Automated classification and analysis of internet malware", RAID '07, pp.178~197 (2007)
  7. N Idika, "A Survey of Malware Detection Techniques", cs.purdue.edu (2007)
  8. 강태우, "API call의 단계별 복합분석을 통한 악성코드 탐지", 정보보호학회논문지, 17(6), pp.89~98 (2007), 한국정보보호학회
  9. Seung-Hyun Paek, "The Architecture of Host-based Intrusion Detection Model Generation System for the Frequency Per System Call", ICHIT06, 2(2), pp.277~283 (2006)
  10. NetHost-Sensor: Monitoring a target host's application via system call, "A.A. Abimbola", Information Security Technical Report, 166~175 (2006)
  11. NK Boora, "Efficient Algorithms for Intrusion Detection", ICDCIT 2004, pp.346~352 (2004)
  12. R Battistoni, "A Host Intrusion Prevention System for Windows Operating System", ESORICS 2004, pp.352~368 (2004)
  13. 박한샘, "Gath-Geva 알고리즘을 이용한 유전자 발현 데이터의 분석", 한국정보과학회 2004년도 봄 학술발표논문집, 통권 : 31, pp.253~255 (2004)
  14. "Fuzzy clustering and data analysis toolbox"[URL]
  15. 배성재, 권오철, 문종섭, 임종인, “Windows 악성코드 탐지를, "Windows 악성코드 탐지를 위한 Native API 빈도에 기반한 접근 방법에 관한 연구", 2008 한국컴퓨터종합학술대회 논문집, 통권 : 35, pp.132~133 (2008)
  16. M Wang, "Native API Based Windows Anomaly Intrusion Detection Method Using SVM", SUTC '06 (2006)
  17. 2000 Native API Reference, "Windows NT", pp.2000, Gary Nebbett
  18. "INSIDE THE NATIVE API"[URL]
  19. "Kaspersky lab"[URL]
  20. "Offensive Computing"[URL]
  21. "Weka"[URL]
  22. N Ye, "Probabilistic Techniques for Intrusion Detection Based on Computer Audit Data", Man and Cybernetics Part A IEEE Transactions on, 31(4), pp.266~274 (2001)
  23. 전영준, "퍼지 알고리즘의 융합에 의한 다중분광 영상의 패턴분류", 정보과학회논문지 : 소프트웨어 및 응용, 32(7), pp.674~682 (2005), 한국정보과학회
  24. Sergios Theodoridis, "Konstantinos Koutroumbas, Pattern Recognition 3rd Edition" (2006), Academic Press
  25. "CME(Common Malware Enumeration)"[URL]
  26. Ross Quinlan, "C4.5: Programs for Machine Learning" (1993), Morgan Kaufmann Publishers
  27. Sukhan Lee, "BAYESNET: Bayesian classification network based on biased randomcompetition using Gaussian kernels", Neural Networks, IEEE International Conference on, 통권 : 3, pp.1354~1359 (1993)
  28. Yihua Liao, "Use of K-Nearest Neighbor classifier for intrusion detection", Computers & Security, 21(5), pp.439~448 (2002)

관련 논문AI추천

API 콜 시퀀스와 Locality Sensitive Hashing을 이용한 악성코드 클러스터링 기법에 관한 연구고동우, 김휘강한국정보보호학회 · 정보보호학회논문지2017 · 제27권 제1호API 호출 빈도를 이용한 악성코드 패밀리 탐지 및 분류 방법김형식, 조우진한국정보보호학회 · 정보보호학회논문지2021 · 제31권 제4호API 호출 구간 특성 기반 악성코드 탐지 기술김동엽, 최상용한국정보보호학회 · 정보보호학회논문지2022 · 제32권 제4호API Call Time Interval을 활용한 머신러닝 기반의 악성코드 탐지권헌영, 조영민한국정보보호학회 · 정보보호학회논문지2020 · 제30권 제1호효율적인 악성코드 분류를 위한 최적의 API 시퀀스 길이 및 조합 도출에 관한 연구김규일, 김희석, 박학수, 송중석, 최지연한국정보보호학회 · 정보보호학회논문지2014 · 제24권 제5호API 특성 정보기반 악성 애플리케이션 식별 기법김현기, 이정현, 이정환, 정문규, 조태주한국정보보호학회 · 정보보호학회논문지2016 · 제26권 제1호

이 간행물의 다른 논문 (11건)

유한체 에서 효율적으로 제곱근을 구하는 알고리즘들최두호, 한동국, 김호원, 임종인pp. 3-1664-비트 프로세서에서 AES 고속 구현박일환, 정창호pp. 51-62수동형 RFID 시스템에 적합한 효율적인 상호 인증 프로토콜 설계원태연, 박춘식, 이동훈, 천지영pp. 63-74권한인증서를 이용한 도메인간의 사용자 인증방안김지홍, 김창규, 지준웅pp. 75-84보안 이웃 탐색 프로토콜 성능 향상 기법에 관한 연구박진호, 임을규pp. 85-96
원문 보기