N-gram을 활용한 DGA-DNS 유사도 분석 및 APT 공격 탐지
DGA-DNS Similarity Analysis and APT Attack Detection Using N-gram
0
조회
0
다운로드
3
인용
0
참고문헌
키워드
초록
APT(Advanced Persistent Threat) 공격에서 감염 호스트와 C&C(Command and Control) 서버 간 통신은 공격 대상의 내부로 침입하기 위한 핵심단계이다. 공격자는 C&C 서버를 통해 다수의 감염 호스트를 제어하고, 침입 및 공격 행위를 지시하는데, 이 단계에서 C&C 서버가 노출되면 공격은 실패할 수 있다. 따라서 최근의경우 DGA(Domain Generation Algorithm)를 통해 C&C 서버의 DNS를 짧은 시간 간격으로 교체하여 탐지를 어렵게 하고 있다. 특히 하루에도 500만개 이상 새로 등록되는 DNS 전부를 검증하고 탐지하는 것은 매우 어렵다. 이러한 문제점을 해결하기 위해 본 논문에서는 정상 DNS와 DGA를 통해 생성된 DNS(DGA-DNS)의 형태적유사도(similarity) 분석을 이용한 DGA-DNS 탐지와 이를 통해 APT 공격 징후로 판단하는 모델을 제시하고 유효성을 검증한다.
Abstract
In an APT attack, the communication stage between infected hosts and C&C(Command and Control) server is the keystage for intrusion into the attack target. Attackers can control multiple infected hosts by the C&C Server and directintrusion and exploitation. If the C&C Server is exposed at this stage, the attack will fail. Therefore, in recent years, theDomain Generation Algorithm (DGA) has replaced DNS in C&C Server with a short time interval for making detectiondifficult. In particular, it is very difficult to verify and detect all the newly registered DNS more than 5 million times aday. To solve these problems, this paper proposes a model to judge DGA-DNS detection by the morphological similarityanalysis of normal DNS and DGA-DNS, and to determine the sign of APT attack through it, then we verify its validity.
참고문헌 (18)
- Sul-Hwa Im, "APT status and new malicious code countermeasures", Review of KISSC(Korea Institute of Information Security and Cryptology), 24(2), pp.63~72 (2014)
- "Building threat intelligence to detect APTs in lateral movement" (2013)[URL]
- 문대성, "APT 공격 탐지를 위한 호스트 기반 특징 표현 방법", 정보보호학회논문지, 24(5), pp.839~850 (2014), 한국정보보호학회[DOI]
- "CCleanup: A vast number of machines at risk,” Cisco Talos Report" (2017)[URL]
- "Security trend analysis with DNS" (2017)[URL]
- D. Truong, "Detecting domain-flux botnet based on DNS traffic features in managed network", Security and Communication Networks, 9(14), pp.2338~2347 (2016)
- R. Sharifnya, "DFBotKiller : domain-flux botnet detection based on the history of group activities and failures in DNS traffic", Digital Investigation, 12, pp.15~26 (2015)
- 임선희, "DNS 트래픽 기반의 사이버 위협 도메인 탐지", 한국통신학회논문지B, 37(11), pp.1082~1089 (2012), 한국통신학회
- J. Raghuram, "Unsupervised, low latency anomaly detection of algorithmically generated domain names by generative probabilistic modeling", Journal of Advanced Research, 5(4), pp.423~433 (2014)
- Z. Wei-wei, "Detecting machine generated domain names based on morpheme features", Proceedings of the 1st International Workshop on Cloud Computing and Information Security(CCIS 2013), pp.408~411 (2013)
- H. Crawford, "Kwyjibo : automatic domain name generation", Software : Practice and Experience, 38(14), pp.1561~1567 (2008)
- S. Marchal, "Semantic based DNS forensics", IEEE International Workshop on Information Forensics and Security (WIFS 2012), pp.91~96 (2012)
- H. Wallach, "Topic modeling: beyond bag-of-words", Proceedings of the 23rd International Conference on Machine Learning (ICML 2006), pp.977~984 (2006)
- 임현일, "k-gram의 근사 매칭을 이용한 이진 프로그램의 비교 방법", 정보과학회 컴퓨팅의 실제 논문지, 18(4), pp.288~299 (2012), 한국정보과학회[DOI]
- 권희준, "Multi N-gram을 이용한 악성코드 분류 시스템", 보안공학연구논문지, 9(6), pp.531~542 (2012), 보안공학연구지원센터
- Myung-Gwon Hwang, "Domain n-gram construction and its application", Proceedings of the Korea Information Science Society Conference, 37(2C), pp.47~51 (2010)
- "Amazon Alexa Top Sites"[URL]
- A. Sood, "A taxonomy of domain-generation algorithms", IEEE Security & Privacy Magazine, 14(4), pp.46~53 (2016)