효율적인 보안관제 수행을 위한 다크넷 트래픽 기반 악성 URL 수집 및 분석방법 연구
A Study on Collection and Analysis Method of Malicious URLs Based on Darknet Traffic for Advanced Security Monitoring and Response
0
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
국내･외 해킹공격 전담 대응조직(CERTs)들은 침해사고 피해 최소화 및 사전예방을 위해 탐지패턴 기반의 보안장비 등을 활용하여 사이버공격에 대한 탐지·분석·대응(즉, 보안관제)을 수행하고 있다. 그러나 패턴기반의 보안관제체계는 해킹공격을 탐지 및 차단하기 위해 미리 정의된 탐지규칙에 근거하여 알려진 공격에 대해서만 대응이 가능하기 때문에 신·변종 공격에 대한 대응은 어려운 실정이다. 최근 국내·외에서는 기존 보안관제의 이러한 문제점을 극복하기 위해다크넷이라는 기술을 활용한 연구가 주목을 받고 있다. 다크넷은 미사용 중인 IP주소의 집합을 의미하며, 실제 시스템이 존재하지 않는 다크넷으로 유입된 패킷들은 악성코드에 감염된 시스템이나 해커에 의한 공격행위로 간주 될 수 있다. 따라서 본 연구에서는 효율적인 보안관제 수행을 위한 다크넷 트래픽 기반의 악성 URL 수집 및 분석방법을 제안한다. 제안방법은 국내 연구기관의 협력을 통해 확보한 8,192개(C클래스 32개)의 다크넷으로 유입된 전체 패킷을 수집하였으며, 정규표현식을 사용하여 패킷에 포함된 모든 URL을 추출하고 이에 대한 심층 분석을 수행하였다. 본 연구의분석을 통해 얻어진 결과는 대규모 네트워크에서 발생하고 있는 사이버 위협상황에 대한 신속･정확한 관측이 가능할 뿐만 아니라 추출한 악성 URL을 보안관제에 적용(보안장비 탐지패턴, DNS 싱크홀 등)함으로서 해킹공격에 대한 사이버위협 대응체계를 고도화하는데 목적을 둔다.
Abstract
Domestic and international CERTs are carrying out security monitoring and response services based on security devices forintrusion incident prevention and damage minimization of the organizations. However, the security monitoring and responseservice has a fatal limitation in that it is unable to detect unknown attacks that are not matched to the predefined signatures. In recent, many approaches have adopted the darknet technique in order to overcome the limitation. Since the darknet means aset of unused IP addresses, no real systems connected to the darknet. Thus, all the incoming traffic to the darknet can beregarded as attack activities. In this paper, we present a collection and analysis method of malicious URLs based on darkenttraffic for advanced security monitoring and response service. The proposed method prepared 8,192 darknet 1) space and extracted all of URLs from the darknet traffic, and carried out in-depth analysis for the extracted URLs. The analysis results cancontribute to the emergence response of large-scale cyber threats and it is able to improve the performance of the securitymonitoring and response if we apply the malicious URLs into the security devices, DNS sinkhole service, etc.
참고문헌 (15)
- Eto, M., "nicter :A Large-Scale Network Incident Analysis System", Proc. of the First Workshop on Building Analysis Datasets and Gathering Experience Returns for Security(BADGERS ‘11), pp.37~45 (2011)
- Kim, H., "“A Methodology for Multipurpose DNS Sinkhole Analyzing Double Bounce Emails," Proc. on ICONIP 2013", LNCS, 8226, pp.609~616 (2013)
- Spitzner, L., "The Honeynet Project:trapping the hackers", Magazine of Security & Privacy, pp.15~23 (2003), IEEE
- Choi, S., "A Fusion Framework of IDS Alerts and Darknet Traffic for Effective Incident Monitoring and Response", Journal of Applied Mathematics & Information Science, pp.245~251 (2013)
- Egele, M., "A survey on automated dynamic malware-analysis techniques and tools", Journal of ACM Computing Surveys, 44(2) (2012)
- Abbasi, F., H, "Experiences with a Generation III virtual Honeynet", Proc. of the Telecommunication Networks and Applications Conference(ATNAC‘09), pp.1~6 (2009)
- Abbasi, F., H, "Intrusion detection in Honeynets by compression and hashing", Proc. of the Telecommunication Networks and Application Conference (ATNAC‘10), pp.96~101 (2010)
- Bailey, M., "Data Reduction for the Scalable Automated Analysis of Distributed Darknet Traffic", Proc. of the 5th ACM SIGCOMM conference on Internet Measurement(IMC‘05), pp.239~252 (2005)
- Lee, H., "Enhanced Sinkhole System by Improving Post-processing Mechanism", LNCS, 6485, pp.469~480 (2010)
- Willenms, C., "Toward Automated Dynamic Malware Analysis Using CW Sandbox", Journal of IEEE Security and Privacy, 5(2) (2007)
- Qiu, H., "Static malware detection with Segmented Sandboxing", Proc. of 8th International Conference on the Malicious and Unwanted Software (MALWARE'13), pp.132~141 (2013)
- Nakao, K., "Practical Correlation Analysis Between Scan and Malware Proles Against Zero-day Attacks Based on Darknet Monitoring", Journal of IEICE Transactions on Information and System E, 92(5), pp.787~798 (2009)
- 김영백, "DNS 싱크홀에 기반한 새로운 악성봇 치료 기법", 정보보호학회논문지, 18(6), pp.107~114 (2008), 한국정보보호학회
- Harrop, W., "Defining and Evaluating Greynets(Sparse Darknets)", Proc. of the IEEE conference on Local Computer Networks 30th Anniversary(LCN'05), pp.344~350 (2005)
- Harrop, W, "Gerynets: a definition and evaluation of sparsely populated darknets", Proc. of the ACM SIGCOMM workshop on Mining network data(MineNet'05), pp.171~172 (2005)