WhiteList 기반의 악성코드 행위분석을 통한 악성코드 은닉 웹사이트 탐지 방안 연구

국문 초록 (Abstract)

최근 DDoS공격용 좀비, 기업정보 및 개인정보 절취 등 각종 사이버 테러 및 금전적 이윤 획득의 목적으로 웹사이트를 해킹, 악성코드를 은닉함으로써 웹사이트 접속PC를 악성코드에 감염시키는 공격이 지속적으로 증가하고 있으며 은닉기술 및 회피기술 또한 지능화·전문화되고 있는 실정이다. 악성코드가 은닉된 웹사이트를 탐지하기 위한 현존기술은 웹사이트를 대상으로 이미 분석된 은닉 악성코드의 문자열 포함 여부 등을 점검하는 BlackList 방식으로 공격자가 악성코드의 스트링(문자열) 변경 또는 악성코드를 변경할 경우 탐지가 불가능함에 따라 많은 접속자가 악성코드 감염에 노출될 수 밖에 없는 한계점이 존재한다. 본 논문은 실시간 다수 웹사이트를 대상으로 웹브라우저로 인해 실행되는 파일의 프로세스에 대한 WhiteList 기반 행위분석 기술을 통해 악성코드의 스트링 점검이 불가능한 플래시(SWF) 파일과 같은 바이너리(binary)파일을 이용한 악성코드 은닉, 악성코드 노출 회피를 위한 난독화 및 탐지 우회를 위한 유포지·경유지의 변경 등 공격형태에 영향을 받지 않으며, Anti-Virus에 패턴화 되지 않는 신규 악성코드를 탐지함으로써 대응 전략을 수립하기 위한 도구로 활용이 가능한 새로운 기술방안을 제안하고 구현하였다. 제안 방식의 실험 결과 현존기술인 악성코드 스트링을 비교하는 패턴매칭의 MC-Finder는 0.8%, 패턴매칭과 행위분석을 동시에 적용하고 있는 구글社는 4.9%, McAfee社는 1.5%임에 비해 WhiteList 기반의 악성코드 프로세스 행위분석 기술은 10%의 탐지율이 나타났다. 본 논문에서는 기존 악성코드 은닉 웹 사이트의 탐지기술의 한계점을 보완할 수 있는 기술적 방안 제안을 통해 웹사이트 접속에 따른 악성코드 감염피해를 최소화하고 국가적 차원의 지속적인 대응을 통해 우리나라의 인터넷 보안에 도움이 되었으면 한다.

목차 (Table of Contents)

• Ⅰ. 서 론 1
• Ⅱ. 관련 연구 4
• 2.1 웹 사이트를 악용한 악성코드 은닉 공격 개념 4
• 2.1.1 악성코드 유포 방식 및 감염 절차 4
• 2.1.2 악성코드 은닉 기법 6
• 2.2 Moshchuk 10
• 2.3 Honey Monkey 10
• 2.4 MC-Finder Malicious Code Finder 11
• 2.5 구글社 악성코드은닉사이트 탐지 13
• 2.6 McAfee社 SiteAdvisor 15
• 2.7 가상화 기반의 Dynamic Analysis 시스템 15
• 2.8 기타 18
• 2.9 관련 연구 종합 19
• Ⅲ. WhiteList 기반의 악성코드 분석을 통한 악성코드은닉사이트 탐지 방안 제안 21
• 3.1 기능 요구사항 21
• 3.2 공격 형태의 변화와 무관한 악성코드 행위분석 탐지 방안 22
• 3.3 신속한 악성코드사이트 탐지 방안 25
• 3.4 백신 패턴에 등록되지 않은 신종 악성코드 탐지 방안 28
• 3.5 사용자 사용 환경을 고려한 대단위 웹 사이트 점검 방안 36
• Ⅳ. WhiteList 기반의 악성코드 분석을 통한 악성코드은닉사이트 탐지 모델 38
• Ⅴ. 제안 모델의 시험 운영 결과 및 분석 42
• 5.1 제안 시스템의 시험운영 환경 42
• 5.2 제안방식의 결과 및 비교 분석 43
• 5.2.1 결과 43
• 5.2.2 기존 방식과의 비교 분석 44
• Ⅵ. 결 론 및 향후 연구 방향 51
• 참 고 문 헌. 52