소스 레벨 리눅스 커널 취약점에 대한 특성 분류 및 상관성 분석

고광선(Kwangsun Ko),장인숙(In-Sook Jang),강용혁(Yong-hyeog Kang),이진석(Jin-Seok Lee),엄영익(Young Ik Eom) 한국정보보호학회 2005 정보보호학회논문지 Vol.15 No.3

컴퓨터 운영체제가 가지는 취약점을 분석하고 분류하는 연구는 취약점을 이용한 익스플로잇을 방어할 수 있는 직접적인 보안기술에는 해당하지 않지만, 운영체제의 보안성 향상을 위한 보안기술 개발에 우선순위를 부여할 수 있다는 점에서 매우 중요한 연구 분야로 볼 수 있다. 그러나 최근 리눅스 운영체제에 대한 활용도에 비하여 리눅스 커널이 가지고 있는 취약점에 대한 연구는 몇몇 커뮤니티에서 운영하는 인터넷 사이트에 단순한 취약점 정보 및 분류기준만 제공되고 있을 뿐, 리눅스 커널이 가지는 근본적인 취약점에 대한 자세한 분석 작업은 수행되고 있지 않다. 따라서 본 논문에서는 1999년부터 2004년까지 6년 동안 SecurityFocus 사이트에 공개된 124개의 리눅스 커널 취약점에 대하여 커널 버전별로 몇 가지 항목을 기준으로 특성 분류 및 상관성 분석을 실시하고자 한다. 이러한 연구결과는 리눅스 커널 취약점을 악용한 익스플로잇의 공격 특성을 예측하고 주요 취약점이 커널 내부의 어떤 영역에서 발견되는 지를 확인하는데 이용할 수 있다. Although the studies on the analysis and classification of source-level vulnerabilities in operating systems are not direct and positive solutions to the exploits with which the host systems are attacked, It is important in that those studies can give elementary technologies in the development of security mechanisms. But, whereas Linux systems are widely used in Internet and intra-net environments recently, the information on the basic and fundamental vulnerabilities inherent in Linux systems has not been studied enough. In this paper, we propose characteristic classification and correlational analyses on the source-level vulnerabilities in Linux kernel that are opened to the public and listed in the SecurityFocus site for 6 years from 1999 to 2004. This study may contribute to expect the types of attacks, analyze the characteristics of the attacks abusing vulnerabilities, and verify the modules of the kernel that have critical vulnerabilities.

단계적 비정상 트래픽 대응 기법 설계 및 이론적 분석

고광선(Kwangsun Ko),강용혁(Yong-hyeog Kang),엄영익(Young Ik Eom) 한국정보보호학회 2006 정보보호학회논문지 Vol.16 No.1

Nimda, Code Red, 그리고 SQL Slammer 등과 같은 원에 의한 피해 사례가 증가하면서 이를 방어하기 위한 대응 기술 연구가 활발히 진행되고 있다. 본 논문에서는 웜에 의해 발생한 비정상 트래픽을 효과적으로 차단할 수 있는 네트워크 대역폭 조절 방식의 단계적 대응 시스템 설계 내용을 보이고, 기존 패턴 기반 비정상행위탐지 방식의 이원적 (True/False) 대응 기법과 이론적으로 비교하고자 한다. 일정 시간동안 특정 네트워크를 통과하는 정상 트래픽 비율과 오탐지 트래픽 비율을 비교 기준으로 하여 두 가법을 이론적으로 비교한 결과, 임의의 시간 동안 전체 네트워크 트래픽에서 비정상 트래픽이 차지하는 비율을 β라고 할 경우, 이원적 대응 기법에 비하여 단계적 대융 기법의 평균 정상 트래픽 비율은 (1+β)/2만큼 증가하고, 평균 오탐지 트래픽 비율은 (1+β)/2만큼 감소함을 알 수 있었다. Recently, there is much abnormal traffic driven by several worms, such as Nimda, Code Red, SQL Slammer, and so on, making badly severe damage to networks. Meanwhile, diverse prevention schemes for defeating abnormal traffic have been studied in the academic and commercial worlds. In this paper, we present the structure of a stepwise intrusion prevention system that is designed with the feature of putting limitation, on the network bandwidth of each network traffic and dropping abnormal traffic, and then compare the proposed scheme with a pre-existing scheme, which is a True/False based an anomaly prevention scheme for several worm-patterns. There are two criteria for comparison of the schemes, which are Normal Traffic Rate (NTR) and False Positive Rate (FPR). Assuming that the abnormal traffic rate of a specific network is β during a predefined time window, it is known that the average NTR of our stepwise intrusion prevention scheme increases by the factor of (1+β)/2 than that of True/False based anomaly prevention scheme and the average FPR of our scheme decrease by the factor of (1+β)/2.

IPv6 환경에서 비정상 IPSec 트래픽 대응 보안 시스템 설계

김가을(Kaeul Kim),고광선(Kwangsun Ko),경계현(Gyehyeon Gyeong),강성구(Seong-Goo Kang),엄영익(Young Ik Eom) 한국정보보호학회 2006 정보보호학회논문지 Vol.16 No.4

IPv6 네트워크에서는 기본 보안 메커니즘인 IPSec 메커니즘을 사용함으로써, 통신 양자 간에 전송되는 데이터에 대한 무결성 및 기밀성을 보장하고, 데이터와 통신 주체에 대한 인증을 실시할 수 있다. 그러나 IPSec 메커니즘을 악용하여 대량의 비정상 트래픽(세션설정 단계 또는 통신 단계의 비정상 IPSec 트래픽)을 전송하였을 경우, IPSec 메커니즘 자체에서 해당 패킷을 차단하는 데 한계가 있다. 본 논문에서는 IPv6 네트워크 환경에서 IPSec 메커니즘의 ESP 확장헤더에 의해 암호화된 패킷의 비정상 여부를 복호화 없이 IPSec 세션테이블과 설정테이블을 이용하여 탐지함으로써, 성능향상을 가질 수 있는 효과적인 보안 시스템에 대한 설계 내용을 보이고자 한다. 또한 설계는 단계적 대응 메커니즘를 기반으로 한다. The IPSec is a basic security mechanism of the IPv6 protocol, which can guarantee an integrity and confidentiality of data that transmit between two corresponding hosts. Also, both data and communication subjects can be authenticated using the IPSec mechanism. However, it is difficult that the IPSec mechanism protects major important network from attacks which transmit mass abnormal IPSec traffic in session-configuration or communication phases. In this paper, we present a design of the security system that can effectively detect and defeat abnormal IPSec traffic, which is encrypted by the ESP extension header, using the IPSec Session and Configuration table without any decryption. This security system is closely based on a multi-tier attack mitigation mechanism which is based on network bandwidth management and aims to counteract DDoS attacks and DoS effects of worm activity.

IPv6 환경에서 해쉬 함수 기반 강건한 주소 생성 및 검증 기법

경계현(Gyehyeon Gyeong),고광선(Kwangsun Ko),엄영익(Young Ik Eom) 한국정보보호학회 2007 정보보호학회논문지 Vol.17 No.1

IPv6 프로토콜은 네트워크에 참여하는 노드가 별도의 관리자 작업 없이 자동으로 주소를 생성하는 방법을 제공하며, 생성된 주소는 사용되기 전에 유일성 검증을 위하여 Duplication Address Detection(DAD) 메커니즘을 수행한다. 하지만 검증 과정에서 악의적인 노드의 공격에 의해 이미 사용하고 있는 주소로 판단되어 주소 생성이 실패할 가능성이 존재한다. 따라서 본 논문에서는 해쉬 함수를 기반으로 주소를 생성하고 검증함으로써, 빠르고 강건한 주소 생성과 및 검증 메커니즘을 보인다. 이 기법은 공항, 터미널, 회의실과 같이 많은 노드들의 무선 네트워크 참여가 빈번한 공공장소에서 SEND 메커니즘보다 더욱 효과적으로 주소 생성 및 검증을 할 수 있다. The IPv6 protocol provides the method to automatically generate an address of a node without additional operations of administrators, Before the generated address is used, the duplicate address detection (DAD) mechanism is required in order to verify the address. However, during the process of verification of the address, it is possible for a malicious node to send a message with the address which is identical with the generated address, so the address can be considered as previously used one; although the node properly generates an address, the address cannot be used. In this paper, we present a strong scheme to perform the DAD mechanism based on hash functions in IPv6 networks. Using this scheme, many nodes, which frequently join or separate from wireless networks in public domains like airports, terminals, and conference rooms, can effectively generate and verify an address more than the secure neighbor discovery (SEND) mechanism.

리눅스 커널 변수 취약성에 대한 소스레벨 발견 방법론

김재광(Jaekwang Kim),고광선(Kwangsun Ko),강용혁(Yong-hyeog Kang),엄영익(Young Ik Eom) 한국정보보호학회 2005 정보보호학회논문지 Vol.15 No.6

오늘날 리눅스 운영체제는 임베디드 시스템, 라우터, 대규모 서버에 이르기까지 다양한 분야에 사용되고 있다. 이는 리눅스 운영체제가 추구하는 커널 소스 공개 정책이 시스템 개발자들에게 여러 가지 이점을 주기 때문이다. 하지만 시스템 보안 측면에서 볼 때, 리눅스 커널 소스 공개는 보안상 문제점을 발생시킬 수 있는데, 만일 누군가가 리눅스 기반의 시스템을 공격하려 한다면 그 공격자는 리눅스 커널의 취약성을 이용하여 쉽게 시스템을 공격할 수 있기 때문이다. 현재까지 소프트웨어의 취약성을 분석하는 방법은 많이 있었지만 기존의 방법들은 방대한 크기의 리눅스 커널 소스에서 취약성을 발견하기에 적합하지 않다. 본 논문에서는 소스레벨 리눅스 커널 변수 취약성을 발견하는 방법론으로 Onion 메커니즘을 제안한다. Onion 메커니즘은 두 단계로 이루어져 있는데, 첫 번째 단계는 패턴매칭 방법을 이용하여 취약 가능성이 있는 변수들을 선정하는 단계이고, 두 번째 단계는 선정된 변수들의 취약 여부를 시스템 콜 트리를 이용해 검사하는 단계이다. 또한 본 논문에서 제안한 방법론을 이미 알려진 두 가지 소스레벨 취약성에 적용한 결과를 보인다. In these days, there are various uses of Linux such as small embedded systems, routers, and huge servers, because Linux gives several advantages to system developers by allowing to use the open source code of the Linux kernel. On the other hand, the open source nature of the Linux kernel gives a bad influence on system security. If someone wants to exploit Linux-based systems, the attacker can easily do it by finding vulnerabilities of their Linux kernel sources. There are many kinds of existing methods for finding source-level vulnerabilities of softwares, but they are not suitable for finding source-level vulnerabilities of the Linux kernel which has an enormous amount of source code. In this paper, we propose the Onion mechanism as a methodology of finding source-level vulnerabilities of Linux kernel variables. The Onion mechanism is made up of two steps. The first step is to select variables that may be vulnerable by using pattern matching mechanism and the second step is to inspect vulnerability of each selected variable by constructing and analyzing the system call trees. We also evaluate our proposed methodology by applying it to two well-known source-level vulnerabilities.

6in4 터널링 메커니즘 기반 자동 터널 연결 기법 설계

경계현(Gyehyeon Gyeong),고광선(Kwangsun Ko),엄영익(Young Ik Eom) 한국통신학회 2006 한국통신학회 학술대회논문집 Vol.2006 No.11

비정상 트래픽 제어 프레임워크를 위한 퍼지로직 기반의 포트스캔 공격 탐지기법

김재광 ( Jaekwang Kim ),김가을 ( Kaeul Kim ),고광선 ( Kwangsun Ko ),강용혁 ( Yong-hyeog Kang ),엄영익 ( Young Ik Eom ) 한국정보처리학회 2005 한국정보처리학회 학술대회논문집 Vol.12 No.1

비정상 행위에 대한 true/false 방식의 공격 탐지 및 대응방법은 높은 오탐지율(false-positive)을 나타내기 때문에 이를 대체할 새로운 공격 탐지방법과 공격 대응방법이 연구되고 있다. 대표적인 연구로는 트래픽 제어 기술을 이용한 단계적 대응방법으로, 이 기술은 비정상 트래픽에 대해 단계적으로 대응함으로써 공격의 오탐지로 인하여 정상 서비스를 이용하는 트래픽이 차단되지 않도록 하는 기술이다. 비정상 트래픽 중 포트스캔 공격은 네트워크 기반 공격을 위해 공격대상 호스트의 서비스 포트를 찾아내는 공격으로 이 공격을 탐지하기 위해서는 일정 시간동안 특정 호스트의 특정 포트에 보내지는 패킷 수를 모니터링 하여 임계치와 비교하는 방식의 true/false 방식의 공격 탐지방법이 주로 사용되었다. 비정상 트래픽 제어 프레임워크(Abnormal Traffic Control Framework)는 true/false 방식의 공격 탐지방법을 이용하여 공격이 탐지되었을 때, 처음에는 트래픽 제어로 대응하고 같은 공격이 재차 탐지되었을 때, 차단하여 기존의 true-false 방식의 공격 탐지 및 대응방법이 가지는 높은 오탐지율을 낮춘다. 하지만 포트스캔 공격의 특성상, 공격이 탐지된 후 바로 차단하지 못하였을 경우, 이미 공격자가 원하는 모든 정보를 유출하게 되는 문제가 있다. 본 논문에서는 기존의 True/False 방식의 포트스캔 공격 탐지방법에 퍼지 로직 개념을 추가하여 공격 탐지의 정확성을 높이고 기존의 탐지방법을 이용하였을 때보다 신속한 트래픽 제어 및 차단을 할 수 있는 방법을 제안한다.

실시간 운영체제의 우선순위 역전 현상에 대한 해결 기법

김인혁(Inhyuk Kim),김재광(Jaekwang Kim),고광선(Kwangsun Ko),엄영익(Young Ik Eom) 한국정보과학회 2005 한국정보과학회 학술발표논문집 Vol.32 No.2

실시간 운영체제는 정해진 시간 내에 작업처리를 완료해야 하는 분야에 주로 사용되고 있으며, 최적의 실시간 운영체제를 설계 및 개발하기 위해서는 반드시 필요한 몇 가지 조건들이 있다. 본 논문에서는 실시간 운영체제에 필요한 조건 중에서 우선순위 역전 현상을 해결하는 기법을 제안한다. 기존에 우선순위 역전 현상을 해결하기 위하여 Basic Priority Inheritance 프로토콜, Priority Ceiling Emulation 프로토콜 등이 제안되었다. 그러나 이러한 기법들은 복잡한 형태의 우선순위 역전 현상에 대해서는 해결이 불가능하거나, 실행 시 비효율성 등의 문제가 발생하기 때문에 실제로는 여러 가지 기법들과 혼용되어 사용되었다. 이에 본 논문에서는 재귀적인 형태의 자료구조를 사용하여 우선순위 역전 현상을 효과적으로 해결하는 기법을 보이고, 기존 기법들과 비교한다.

IPv6 주소자동설정 기능을 악용한 서비스거부공격 대응 기법

강성구(Seong Goo Kang),김재광(Jaekwang Kim),고광선(Kwangsun Ko),엄영익(Young Ik Eom) 한국정보과학회 2004 한국정보과학회 학술발표논문집 Vol.31 No.2Ⅰ

IPv6 프로토콜은 현재 인터넷 프로토콜로 사용되고 있는 IPv4 프로토콜이 가지고 있는 주소 고갈 문제, 미흡한 QoS 지원, 그리고 다양한 보안 문제를 해결하도록 설계되었다. 이 중에서 이동기기의 원활한 IPv6 네트워크와의 접속을 위하여 IPv6 프로토콜에서는 주소자동설정 기능이 추가되었으나, 이 기능을 악용한 서비스거부 공격 발생 가능성이 존재한다. 이에 본 논문에서는 IPv6 프로토콜의 주소자동설정 기능을 악용한 서비스거부공격에 대응할 수 있는 메커니즘으로써 RA 메시지에 일회용 키를 사용하는 방법을 제안 한다.

IPv6 프로토콜의 DAD 메커니즘을 위한 해쉬 함수 기반 주소검증 기법

이주창(Joochang Lee),강성구(Seong-Goo Kang),고광선(Kwangsun Ko),엄영익(Young Ik Eom) 한국통신학회 2006 한국통신학회 학술대회논문집 Vol.2006 No.11