• 한국통신학회논문지
• /
• 제32권5B호
• /
• pp.277-285
• /
• 2007

본 논문에서는 2003년 국내 뿐만 아니라 전세계의 인터넷망에서의 심각한 소통장애를 일으켰던 슬래머 웜 보안공격의 전파과정에 대한 새로운 통신망 모델을 제시하고 NS-2를 이용한 시뮬레이터를 구현하여 웜 보안공격에 의한 전파과정을 분석하였다. 기존 DN-AN모델을 Abstract network-Abstract network(AN-AN)모델로 추상화함으로써 국내 뿐만 아니라 전 세계의 수많은 호스트를 대상으로 한 대규모 인터넷망에 대하여 최초의 웜 패킷이 국내의 인터넷 국제관문국으로 유입된 시점부터 국내의 망이 포화되는 전 과정을 시간대별로 분석할 수 있는 NS-2용 시뮬레이터를 구현하였다. 또한 구현된 시뮬레이터는 감염된 국내의 호스트에 의해 국외의 호스트를 감염시키는 과정도 분석 가능하였다. 시뮬레이션 결과 290초만에 8,848개의 국내 호스트가 감염되었고, 308초만에 66,152개의 국외 호스트가 감염되었다. 또한 공격시 수행되는 웜 감염 전파과정에 의해 국내로 유입되거나 국외로 유출되는 웜 감염패킷들은 국제관문국에서 각각 154초와 135초내에 포화됨을 알 수 있었다.

• 전자통신동향분석
• /
• 제20권1호통권91호
• /
• pp.9-16
• /
• 2005

최초의 인터넷 웜(worm)으로 불리는 Morris 웜이 1988년 11월에 발표된 이래로 현재까지 많은 웜 공격이 발생되고 또 발표되어 왔다. 초기의 웜은 작은 규모의 네트워크에서 퍼지는 정도였으며, 실질적인 피해를 주는 경우는 거의 없었다. 그러나 2001년 CodeRed 웜은 인터넷에 연결된 많은 컴퓨터들을 순식간에 감염시켜 많은 피해를 발생시켰으며 그 이후 2003년 1월에 발생한 Slammer 웜은 10분이라는 짧은시간안에 75,000여 대 이상의 호스트를 감염시키고 네트워크 자체를 마비시켰다. 특히 Slammer 웜은 국내에서 더욱 유명하다. 명절 구정과 맞물려 호황을 누리던 인터넷 쇼핑 몰, 은행 거래 등을 일시에 마비시켜 버리면서 경제적으로도 막대한 피해를 우리에게 주었다. 이런 웜을 막기 위해서 많은 보안 업체들이나서고 있으나, 아직은 사전에 웜의 피해를 막을만한 확실한 대답을 얻지 못하고 있다. 본 문서에서는 현재 웜의 발생 초기 단계를 탐지하고 이를 피해가 커지기 이전에 막기 위한 연구들을 설명할 것이다.

• 한국정보통신학회논문지
• /
• 제12권1호
• /
• pp.81-86
• /
• 2008

최근 빠른 속도로 확산되는 Code Red Worm, Slammer Worm과 같은 인터넷웜은 인터넷에 서 주요한 위협이 되고 있다. 이러한 인터넷 웜을 막기 위해서는 웜의 확산 방식과 웜 확산에 영향을 끼치는 인터넷 환경을 이해하는 것이 필수적이다. 본 논문은 인터넷 환경에 따른 웜 확산의 정확한 모델링을 그 목표로 한다. 이를 위하여 다양한 실험을 통하여 주소 체계와 인터넷 속도에 따른 웜 확산의 양상을 분석한다.

• 한국통신학회논문지
• /
• 제32권8B호
• /
• pp.529-538
• /
• 2007

본 논문에서는 2003년 전 세계의 인터넷망에서의 심각한 소통 장애를 일으켰던 슬래머 웜 보안공격의 전파 전과정을 NS-2를 이용한 시뮬레이터로 분석하였다. 기존 연구에서는 Detailed Network-Abstract Network(DN-AN) 모델 기반의 Abstract Network-Abstract Network(AN-AN)모델을 이용한 분석이 수행되었다. 이러한 AN-AN모델은 패킷 레벨까지 정확한 분석이 가능하지만, 초기 300초의 감염구간을 모의실험 하는데 240시간이 소요되는 시간상 문제점이 있었다. 본 논문에서는 이러한 문제점을 해결하기 위한 축소된 모델링 기법을 제시하여 모의실험에 필요한 소요시간을 단축함으로써 소통 장애가 일어난 3.5시간을 107시간에 분석할 수 있었다. 아울러 기존 분석에서는 감염 호스트가 인위적인 치료나 격리 조치가 있을 때까지는 모두 동작하는 것으로 가정하였지만, 슬래머의 과도한 감염 트래픽으로 중계 라우터의 동작이 중지되는 현상에 의해 해당 장비가 감염과정에서 자연적으로 격리되는 격리율 0.00022도 함께 고려하였다. 모의실험 결과, 국제관문국의 국외$\Longrightarrow$국내방향은 4,787초에 정상 상태로 돌아온 반면, 국내$\Longrightarrow$국외방향이 3.5시간동안 포화가 되어 소통 장애가 지속됨을 알 수 있었다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2005년도 추계학술발표대회 및 정기총회
• /
• pp.1011-1014
• /
• 2005

1.25 대란을 일으켰던 SQL Slammer 웜과 최근 IRCBot웜을 비롯한 다양한 악성코드들은 보안 취약점을 이용하여 전파되고 있다. 이러한 공격의 대부분은 사전에 보안패치를 적용하는 것만으로 막을 수 있기 때문에, 네트워크의 각 시스템들이 최신 패치 버전으로 업데이트 되었는지 점검하고 필요한 보안패치를 분배하는 자동화된 도구의 필요성은 강조되어 왔다. 본 논문에서는 보안패치 관리도구가 관리대상 컴퓨터의 취약점을 분석하는 방안을 제시하고, 제시한 방안을 적용한 보안패치 관리도구를 설계 및 구현하였다.

• 한국정보과학회논문지:정보통신
• /
• 제35권6호
• /
• pp.474-481
• /
• 2008

스캐닝 웜은 자기 스스로 복제가 가능하며 네트워크를 통해서 짧은 시간 안에 아주 넓은 범위에 걸쳐 전파되므로 네트워크의 부하를 증가시켜 심각한 네트워크 혼잡현상을 일으킨다. 따라서 실시간으로 스캐닝 웜을 탐지하기 위해 많은 연구가 진행되고 있으나 대부분의 연구가 패킷 헤더 정보를 이용하는 방법에 중점을 두고 있으며, 이 방법은 네트워크의 모든 패킷을 검사해야 하므로 비효율적이며 탐지시간이 오래 걸린다는 단점이 있다. 따라서 본 논문에서는 네트워크 트래픽량, 트래픽량의 미분값, 트래픽량의 평균 미분값, 트래픽량의 평균 미분값과 평균 트래픽량의 곱에 대한 variance를 통해 스캐닝 웜을 탐지하는 기법을 제안한다. 실제 네트워크에서 측정한 정상 트래픽과 시뮬레이터로 생성한 웜 트래픽에 대해 성능을 분석한 결과, 기존의 탐지기법으로는 탐지되지 않는 코드레드와 슬래머를 제안한 탐지기법으로 탐지할 수 있었다. 또한 탐지속도를 측정한 결과 웜 발생초기에 모두 탐지가 되었는데, 슬래머는 발생 후 4초만에 탐지되었으며, 코드레드와 위티는 발생한지 11초만에 탐지되었다.

• 한국사이버테러정보전학회:학술대회논문집
• /
• 한국사이버테러정보전학회 2004년도 제1회 춘계학술발표대회
• /
• pp.327-331
• /
• 2004

급속도로 발전한 인터넷으로 인해 새로운 사이버 세상이 실현되었으나 인터넷의 발전으로 인한 각종 침해사고 역시 크게 증가하고 있다. 과거에는 다양한 형태의 침해 사건들이 발생하더라도 피해 범위가 국지적이었다. 그러나, 최근에는 그 피하 범위가 광범위해 지고 있다. 특히, 지난 2003년에 발생한 1.25 인터넷 대란으로 인해 전국의 인터넷 망이 마비되었다. 이는 바이러스와 해킹의 기술이 통합되어 윈도우 시스템의 취약점을 이용해 자동화된 복제 및 확산을 수행함으로써 발생한 결과였다. 이와 같이, 최근 빈번하게 발생하는 각종 인터넷 웜은 주로 개인용 PC에 설치된 MS-Window 운영체제를 주 공격 대상으로 하고 있다 즉, 개인용 PC의 문제로 인해 인터넷 전체가 마비될 수 있는 문제가 1.25 인터넷 대란을 통해 발견된 것이다. 이에, 본 논문에서는 개인용 PC에 설치하여 다양한 형태의 인터넷 웜이 더 이상 확산되지 않도록 하는 '인터넷 웜 확산 방지 시스템'을 설계하고 구현한 결과를 논의하도록 한다. 논의하도록 한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2006년도 춘계학술발표대회
• /
• pp.521-524
• /
• 2006

인터넷 사용의 급증과 함께 Code-Red나 Slammer와 같은 웜이 급격히 확산 되고 있으며 네트워크를 통해 스스로 전파되면서 네트워크 자원을 고갈시킴으로써 문제가 더욱 심각해지고 있다. 이에 따라 웜을 탐지하기 위한 많은 방법들이 제시되었다. 본 논문에서는 DoS 탐지를 위해 고안 된 트래픽 비율 분석법을 이용하여 정상 네트워크와 웜이 발생 시키는 스캐닝 관련 행위에 대한 패킷 비율을 비교하였다. 이 방법을 통해 네트워크 내에서 웜에 감염된 호스트를 찾아내고 오탐지율을 최소화하는 방법과 웜 전파 행위를 탐지해 내는 방법에 대해서 제안한다. 또한 실제 네트워크에서 수집된 트래픽으로부터 웜의 특성을 분석해 본 결과 최근 웜들의 전파방식을 분석 할 수 있었다.

• 전자통신동향분석
• /
• 제19권2호통권86호
• /
• pp.28-36
• /
• 2004

컴퓨터 바이러스에 의한 시스템 마비와 해킹을 통한 정보파괴나 도용 등과 같은 직접적인 부작용은 물론 인터넷상의 익명성을 이용한 악의적 정보유포나 개인정보의 유출 등을 포함하는 간접적 피해사례도 급격히 증가하고 있는 추세이다. 이와 같은 정보화 혁명의 부작용은 정보화의 진전에 따라 그 파괴력도 비례적으로 증가하고 있음이 실증적으로 드러나고 있다. 1994년부터 국가적 차원에서 초고속정보통신망 구축을 시작한 이래, 세계적인 인터넷 선도국가로 도약한 우리나라가 1.25 SQL Slammer Worm 대란의 가장 큰 피해국이라는 사실이 단적인 예라고 하겠다. 이에 본 논문에서는 정보보호산업의 선진국인 미국, 유럽, 일본에 대한 정보보호 정책을 살펴봄으로써 향후 우리의 정보보호정책 수립에 도움을 주고자 한다.

• Journal of Communications and Networks
• /
• 제10권1호
• /
• pp.89-97
• /
• 2008

Anomaly detection systems playa significant role in protection mechanism against attacks launched on a network. The greatest challenge in designing systems detecting anomalous exploits is defining what to measure. Effective yet simple, Shannon entropy metrics have been successfully used to detect specific types of malicious traffic in a number of commercially available IDS's. We believe that Renyi entropy measures can also adequately describe the characteristics of a network as a whole as well as detect abnormal traces in the observed traffic. In addition, Renyi entropy metrics might boost sensitivity of the methods when disambiguating certain anomalous patterns. In this paper we describe our efforts to understand how Renyi mutual information can be applied to anomaly detection as an offline computation. An initial analysis has been performed to determine how well fast spreading worms (Slammer, Code Red, and Welchia) can be detected using our technique. We use both synthetic and real data audits to illustrate the potentials of our method and provide a tentative explanation of the results.