스레드 기반 모니터링을 통한 악의적인 행위 주체 추적 및 차단에 관한 연구
A Study on the Tracking and Blocking of Malicious Actors through Thread-Based Monitoring
1
조회
0
다운로드
3
인용
0
참고문헌
키워드
초록
최근 윈도우즈 운영체제 환경에서 악성코드가 고도화됨에 따라 악의적인 행위를 수행하는 주체가 프로세스가 아닌 경우가 많이 발생하고 있다. 운영체제에 기본적으로 탑재된 프로세스 등에 삽입되어 동작하는 악성코드는 DLL/코드 인젝션과 같은 방식으로 스레드 단위로 동작한다. 이 경우 프로세스 단위로 악성 유무를 진단 및 차단하는 것은 시스템 운영에 심각한 문제를 야기할 수도 있다. 본 논문에서는 프로세스 기반 모니터링 정보를 사용하여 프로세스의 악성유무를 판단하고 차단하는 방법이 가지고 있는 문제점을 나열하고 그에 대한 개선된 방안을 제시한다.
Abstract
With the recent advancement of malware, the actors performing malicious tasks are often not processes. Malicious codeinjected into the process that is installed by default in the operating system works thread by thread in the same way asDLL / code injection. In this case, diagnosing and blocking the process as malicious can cause serious problems withsystem operation. This white paper lists the problems of how to use process-based monitoring information to identify andblock the malicious state of a process and presents an improved solution.
참고문헌 (18)
- 이명철, "패스트 데이터 기반 실시간 비정상 행위 탐지 시스템", 정보보호학회논문지, 25(5), pp.1027~1041 (2015), 한국정보보호학회[DOI]
- "Filter Manager and Minifilter Driver Architecture" (2020)[URL]
- "Process Monitor" (2020)[URL]
- "CmRegisterCallbackEx" (2020)[URL]
- "PsSetCreateProcessN otifyRoutineEx" (2020)[URL]
- "PsSetCreateThreadNo tifyRoutine" (2020)[URL]
- "Fileless malware" (2020)[URL]
- "Server" (2020)[URL]
- "Reflective DLL Injection" (2020)[URL]
- "CRITICAL_OBJECT_T ERMINATION" (2020)[URL]
- Raymond J. Canzanese, Jr, "Detection and classification of malicious processes using system call analysis", Doctor, Philosophy, pp.2015
- "PsGetCurrentProcessId" (2020)[URL]
- "PsGetCurrentThreadId" (2020)[URL]
- "CreateRemoteThread" (2020)[URL]
- "Hash table" (2020)[URL]
- "CryptoLocker" (2020)[URL]
- "GandCrab" (2020)[URL]
- "SymmyWare" (2020)[URL]