랜섬웨어 탐지를 위한 머신러닝 기반 암호화 행위 감지 기법

황윤철 대한산업경영학회 2023 산업융합연구 Vol.21 No.12

최근 등장하는 랜섬웨어들은 다양한 공격 기법과 다양한 경로를 통해 공격을 수행하고 있어 조기 탐지와 방어에 많 은 어려움을 겪고 있으며, 그 피해 규모도 날로 증가하고 있다. 따라서 본 논문에서는 효과적인 랜섬웨어 탐지를 위하여 파일 암호화와 암호화 패턴을 머신러닝 기반으로 하는 감지 기법을 제안한다. 파일 암호화는 랜섬웨어가 공격하는데 필수적으로 사용하는 기능으로 암호 행위와 암호화 패턴을 분석함으로써 랜섬웨어를 탐지하고 랜섬웨어의 특정 변종이나 새로운 유형의 랜섬웨어를 탐지할 수 있기 때문에 랜섬웨어 공격을 식별하고 차단하는 데 매우 효과적이다. 제안한 머신러닝 기반의 암호화 행위 감지 기법은 암호화 특성과 암호화 패턴 특성을 추출하여 머신러닝 기반의 분류기를 통해 각각 학습을 시켜 해당 행위에 대한 탐지를 진행하고 최종 결과는 두 분류기의 평가 결과를 기반으로 앙상블 분류기에서 랜섬웨어 유무를 판별하여 좀 더 정 확도를 높였다. 또한, 제안한 기법을 numpy와 pandas, 파이썬의 사이킷런 라이브러리를 사용하여 구현하여 평가지표를 사 용한 성능를 평가한 결과 평균적으로 94%,의 정확도와 95%의 정밀도, 93%의 재현률과 95%의 F1 스코어가 산출되었다. 성 능 평가 결과를 보면 암호화 행위 감지를 통해 랜섬웨어 탐지가 가능하다는 것을 확인할 수 있었고 랜섬웨어의 사전 탐지를 위해 제안한 기법의 성능을 높이기 위한 연구도 계속해서 진행되어야 한다. Recent ransomware attacks employ various techniques and pathways, posing significant challenges in early detection and defense. Consequently, the scale of damage is continually growing. This paper introduces a machine learning-based approach for effective ransomware detection by focusing on file encryption and encryption patterns, which are pivotal functionalities utilized by ransomware. Ransomware is identified by analyzing password behavior and encryption patterns, making it possible to detect specific ransomware variants and new types of ransomware, thereby mitigating ransomware attacks effectively. The proposed machine learning-based encryption behavior detection technique extracts encryption and encryption pattern characteristics and trains them using a machine learning classifier. The final outcome is an ensemble of results from two classifiers. The classifier plays a key role in determining the presence or absence of ransomware, leading to enhanced accuracy. The proposed technique is implemented using the numpy, pandas, and Python's Scikit-Learn library. Evaluation indicators reveal an average accuracy of 94%, precision of 95%, recall rate of 93%, and an F1 score of 95%. These performance results validate the feasibility of ransomware detection through encryption behavior analysis, and further research is encouraged to enhance the technique for proactive ransomware detection.

사전 탐지와 예방을 위한 랜섬웨어 특성 추출 및 분류

황윤철 대한산업경영학회 2023 산업융합연구 Vol.21 No.9

최근 들어 개인, 기업, 국가 등 사회 전반에 랜섬웨어에 의한 피해가 급증하고 있으며 그 규모도 점차 커지고 있다. 랜섬웨어는 사용자 컴퓨터 시스템에 침입하여 사용자의 중요 파일들을 암호화하여 사용자가 해당 파일들을 사용하지 못하게하고 그 댓가로 금품을 요구하는 악의적인 소프트웨어이다. 랜섬웨어는 기타 다른 악의적인 코드들에 비해 공격기법이 다양하고 정교하여 탐지가 어렵고 피해 규모가 크기 때문에 정확한 탐지와 해결 방법이 필요하다. 정확한 랜섬웨어를 탐지하기 위해서는 랜섬웨어의 특성들로 학습한 탐지 시스템의 추론엔진이 요구된다. 따라서 본 논문에서는 랜섬웨어의 정확한 탐지를위해 랜섬웨어가 가지는 특성을 추출하여 분류하는 모델을 제안하고 추출된 특성들의 유사성을 계산하여 특성의 차원을 축소한 다음 축소된 특성들을 그룹화하여 랜섬웨어의 특성으로 공격 도구, 유입경로, 설치파일, command and control, 실행파일, 획득권한, 우회기법, 수집정보, 유출기법, 목표 시스템의 상태 변경으로 분류하였다. 분류된 특성을 기존 랜섬웨어에 적용하여 분류의 타당성을 증명하였고, 차후에 이 분류기법을 이용해 학습한 추론엔진을 탐지시스템에 장착하면 새롭게 등장하는신종과 변종 랜섬웨어도 대부분 탐지할 수 있다. Recently, there has been a sharp increase in the damages caused by ransomware across various sectors of society, including individuals, businesses, and nations. Ransomware is a malicious software that infiltrates user computer systems, encrypts important files, and demands a ransom in exchange for restoring access to the files. Due to its diverse and sophisticated attack techniques, ransomware is more challenging to detect than other types of malware, and its impact is significant. Therefore, there is a critical need for accurate detection and mitigation methods. To achieve precise ransomware detection, an inference engine of a detection system must possess knowledge of ransomware features. In this paper, we propose a model to extract and classify the characteristics of ransomware for accurate detection of ransomware, calculate the similarity of the extracted characteristics, reduce the dimension of the characteristics, group the reduced characteristics, and classify the characteristics of ransomware into attack tools, inflow paths, installation files, command and control, executable files, acquisition rights, circumvention techniques, collected information, leakage techniques, and state changes of the target system. The classified characteristics were applied to the existing ransomware to prove the validity of the classification, and later, if the inference engine learned using this classification technique is installed in the detection system, most of the newly emerging and variant ransomware can be detected.

대규모 네트워크 망에서 효율적인 보안정책관리를 위한 정책기반 보안관리모델

황윤철,엄남경,이상호,Hwang, Yoon-Cheol,Um, Nam-Kyeong,Lee, Sang-Ho 한국통신학회 2003 韓國通信學會論文誌 Vol.28 No.1B

정보보호 기술이 부분적, 폐쇄적, 개별적 개발에서 개방적, 광역적, 통합적으로 변모해 감에 따라 각각의 보안시스템을 구조적으로 통일하고 분산된 관리 방법을 일원화하기 위한 연구의 필요성이 증대되었다 그러나 아직까지는 각각의 보안시스템을 하나로 통합시켜 관리할 수 있는 공통된 프레임워크가 존재하지 않는다 따라서 이 논문에서는 각각의 보안 시스템을 체계적으로 관리하고 분산된 관리 방법을 일원화 할 수 있는 정책기반 네트워크 보안 관리 모델을 제시한다. As Information Security Technology has become rather transparent, wide, and integrated than in part, exclusive, and separated, A necessity of the study about integrating the separated distributed security systems into one module, has grown However, there is no integrated framework which can manage all separate security systems as one integrated one yet. Accordingly, we propose a new policy based network admirustrative model in this paper which can integrate individual security systems and distributed control way into one effectively.

계층적 구조의 보안 정책 모델과 연동 방식 설계

황윤철,이용주,이종태,이상호 한국통신학회 2001 韓國通信學會論文誌 Vol.26 No.8

인터넷 서비스의 다양화와 네트워크의 대형화로 인하여 서브 도메인(Subdomain) 및 도메인을 포함한 인터넷 전체에 걸쳐 적용할 수 있는 계층적 구조의 보안 모델의 정의와 이 모델을 기반으로 하는 보안 정책 프로토콜의 표준화가 요구되고 있다. 이 논문에서는 기존 보안 정책 서버 구조를 기존의 Internet-Draft 문서를 통해 분석하고 그것을 바탕으로 계층적 보안 정책 구조를 제시한 후 보안 정책 연동 프로토콜을 설계한다. 이를 위해 보안정책 프로토콜을 확장하고 그룹개념을 위한 질의와 레코드를 확장 설계하고 계층적 보안 모델에서 효과적인 보안정책 상속 및 수정을 위한 갱신 레코드를 정의한다. 또한 동일한 정책 속성을 갖는 호스트들의 모임을 그룹으로 정의하고, 이 개념을 기반으로 효율적인 연동 메커니즘을 설계한다.

오픈 플랫폼을 이용한 .Net 기반 융합 하이패스 시스템 설계 및 구현

황윤철,조선문 한국지식정보기술학회 2013 한국지식정보기술학회 논문지 Vol.8 No.5

In recent years, due to the rapid increase of vehicles delay and congestion from the main road occurs frequently. Because of the establishment of a new road, finding a route to the destination has been very difficult, so the use of high-pass and the navigation are increasing. Thus, in this paper, by considering the user's convenience and economy, Convergence HiPass (C-HiPass) system which fused High-pass and navigation is proposed and implemented. C-HiPass system is designed and implemented to fuse high-pass technology and navigation capabilities by being based on .Net using Arduino. In addition, as we developed it to show driving record according to user-convenience, it can gives us the effect to maximize the user-convenience.

체계적인 보안 정책 관리를 위한 계층적 보안 모델 설계

황윤철,엄남경,장재웅,이상호 충북대학교 컴퓨터정보통신 연구소 2001 컴퓨터정보통신연구 Vol.9 No.1

인터넷 서비스의 다양화와 인터넷을 구성하는 네트워크의 대형화로 인해 다양한 특성을 갖는 구성요소와 환경 등의 요인으로 시스템간의 거래에 대한 보안정책 설정 및 제어가 어려운 문제로 등장하고 있다. 보안 정책 기술이란 인터넷상에서 정보보호 기능을 구현할 때 적용하는 정책들에 대한 검색, 접근제어, 분배 및 처리하는 기술을 의미한다. 이 논문에서는 이러한 현실적인 문제를 해결하기 위해 대형화되어 가는 인터넷 전체에 걸쳐 효율적으로 적용할 수 있는 계층적 구조의 보안 정책 모델을 설계한다. Security policy association and control about transaction between systems must be hard problem to solve because of the environment and composite factors with variable properties by diversity of internet service and enlarging a scale of organizing internet. Security policy technique means retrieval, access, control, distribute and process technique about adoptable policies when implementation is information security function on internet. In this paper, to solve this actual problems, Design of a hierarchical structure security policy model applicable to internet.

인증시스템을 위한 얼굴인식 기술 : 서베이

황윤철,문형진,이재욱 중소기업융합학회 2015 융합정보논문지 Vol.5 No.3

능동적 탐지 대응을 위한 지능적 침입 상황 인식 추론 시스템 설계

황윤철,문형진 중소기업융합학회 2022 융합정보논문지 Vol.12 No.4

현재 스마트폰의 급격한 보급과 IoT을 대상으로 활성화로 인해 소셜네트워크 서비스를 이용하여 악성코드 를 유포하거나 지능화된 APT와 랜섬웨어 등과 같은 지능적인 침입이 진행되고 있고 이로 인한 피해도 이전의 침입 보다는 많이 심각해지고 커지고 있는 실정이다. 따라서 본 논문에서는 이런 지능적인 악성 코드로 이루어지는 침입 행위를 탐지하기 위하여 지능적인 침입 상황 인식 추론 시스템을 제안하고, 제안한 시스템을 이용하여 지능적으로 진행되는 다양한 침입 행위를 조기에 탐지하고 대응하게 하였다. 제안 시스템은 이벤트 모니터와 이벤트 관리기, 상황 관리기, 대응 관리기, 데이터베이스로 구성되어 있으며 각 구성 요소들 사이에 긴밀한 상호 작용을 통해 기존 에 인식하고 있는 침입 행위를 탐지하게 하고 새로운 침입 행위에 대해서는 학습을 통해 추론 엔진의 성능을 개선 하는 기능을 통하여 탐지하게 하였다. 또한, 지능적인 침입 유형인 랜섬웨어를 탐지하는 시나리오 통하여 제안 시 스템이 지능적인 침입을 탐지하고 대응함을 알 수 있었다. At present, due to the rapid spread of smartphones and activation of IoT, malicious codes are disseminated using SNS, or intelligent intrusions such as intelligent APT and ransomware are in progress. The damage caused by the intelligent intrusion is also becoming more consequential, threatening, and emergent than the previous intrusion. Therefore, in this paper, we propose an intelligent intrusion situation-aware reasoning system to detect transgression behavior made by such intelligent malicious code. The proposed system was used to detect and respond to various intelligent intrusions at an early stage. The anticipated system is composed of an event monitor, event manager, situation manager, response manager, and database, and through close interaction between each component, it identifies the previously recognized intrusive behavior and learns about the new invasive activities. It was detected through the function to improve the performance of the inference device. In addition, it was found that the proposed system detects and responds to intelligent intrusions through the state of detecting ransomware, which is an intelligent intrusion type.

지능적 탐지 모델을 위한 악의적인 코드의 특징 정보 추출 및 분류

황윤철 대한산업경영학회 2022 산업융합연구 Vol.20 No.5

최근에는 발전하는 정보통신 기술을 이용하여 악의적인 코드들이 제작되고 있고 이를 기존 탐지 시스템으로는 탐지하는게 역부족인 실정이다. 이러한 지능적이고 악의적인 코드를 정확하고 효율성 있게 탐지하고 대응하기 위해서는 지능적 탐지 모델이 필요하다. 그리고, 탐지 성능을 최대로 높이기 위해서는 악의적인 코드의 주요 특징 정보 집합으로 훈련하는 것이 중요하다. 본 논문에서는 지능적 탐지 모델을 설계하고 모델 훈련에 필요한 데이터를 변환, 차원축소, 특징 선택 단계를 거쳐 주요 특징 정보 집합으로 생성하는 기법을 제안하였다. 그리고 이를 기반으로 악의적인 코드별로 주요 특징 정보를 분류하였다. 또한, 분류된 특징 정보들을 기반으로 변형되거나 새로 등장하는 악의적인 코드를 분석하 고 탐지하는데 사용할 수 있는 공통 특징 정보를 도출하였다. 제안된 탐지 모델은 제한된 수의 특성 정보로 학습하여 악의적인 코드를 탐지하기에 탐지 시간과 대응이 빨리 이루어져 피해를 크게 줄일 수 있다. 그리고, 성능 평가 결과 값은 학습 알고리즘에 따라 약간 차이가 나지만 악의적인 코드 대부분을 탐지할 수 있음을 평가로 알 수 있었다. In recent years, malicious codes are being produced using the developing information and communication technology, and it is insufficient to detect them with the existing detection system. In order to accurately and efficiently detect and respond to such intelligent malicious code, an intelligent detection model is required, and in order to maximize detection performance, it is important to train with the main characteristic information set of the malicious code. In this paper, we proposed a technique for designing an intelligent detection model and generating the data required for model training as a set of key feature information through transformation, dimensionality reduction, and feature selection steps. And based on this, the main characteristic information was classified by malicious code. In addition, based on the classified characteristic information, we derived common characteristic information that can be used to analyze and detect modified or newly emerging malicious codes. Since the proposed detection model detects malicious codes by learning with a limited number of characteristic information, the detection time and response are fast, so damage can be greatly reduced and Although the performance evaluation result value is slightly different depending on the learning algorithm, it was found through evaluation that most malicious codes can be detected.

1930년대 가족사. 년대기소설 연구

황윤철 우리말글학회 1991 우리말 글 Vol.9 No.-