은닉 IP 주소 기반의 웹 접속 로그 분석을 통한 사이버 정찰행위 모델링

국문 초록 (Abstract)

최근 사이버공격은 지속적으로 증가하고 있으며, 공격에 대한 신속한 대응을 위해 공격행위를 사 전에 인지하는 것이 중요한 요소로 부각되고 있다. 그러나 일반적으로 공격자는 자신의 공격을 은닉 하기 위해 VPN, Proxy 등을 이용하여 자신의 IP를 숨기는 기법을 활용하고 있어 공격행위의 사전 인 지가 쉽지 않다. 이에 본 논문에서는 은닉 IP를 통해 접속한 공격자의 웹 로그를 수집 및 분석하여 은닉 IP 기반의 사이버 정찰행위 패턴을 모델링할 수 있는 기법을 제안한다. 수집된 웹 로그는 소셜 네트워크분석(SNA, Social Network Analysis) 및 K-means 클러스터링 기법을 이용하였으며, 정상적 인 행위자의 웹 로그와의 비교를 통해 은닉 IP를 사용하는 공격자의 정찰행위가 정상 행위와는 확연하게 차별화됨을 검증한다.

다국어 초록 (Multilingual Abstract)

Recently, cyber attacks are constantly increasing, and the recognition of cyber attacks beforehand has risen in prominence for the rapid response. However, since the attackers generally use hidden IP via VPN or Proxy to hide their actions and origins, it is not easy to recognize their attacks in advance. To address this problem, in this paper, we propose an approach to extract the cyber reconnaissance activity pattern of the attacker who uses hidden IP. We first collected the web logs that generated by the attackers who had accessed certain web pages using hidden IP. Then we analysed the collected web logs based on SNA(Social Network Analysis) and K-means clustering algorithm, and extracted some differentiated behavior patterns. We also compare the extracted behavior patterns and the normal behavior patterns of general web users to verify the differences of them.

목차 (Table of Contents)

• 요약
• Abstract
• 1. 서론
• 2. 관련연구
• 2.1 웹 로그 수집 및 분석
• 2.2 소셜 네트워크 분석 및 K-means 클러스터링
• 3. IP 은닉 웹로그 수집 및 분석을 통한 사이버 정찰행위 모델링 기법
• 3.1 사이버 정찰행위 모델링 절차
• 3.2 IP 은닉 요청에 대한 웹 로그 수집
• 3.3 IP 은닉 웹 로그 분석에 의한 공격자 정찰 행위 모델링
• 4. 실험 및 결과
• 4.1 실험환경
• 4.2 로그수집 및 분석 결과
• 5. 결론
• References

참고문헌 (Reference)

1 김성희, "사회 연결망 분석 연구동향 및 정보학 분야에서의 활용가능성에 관한 연구" 한국정보관리학회 27 (27): 71-87, 2010

2 김완주, "사이버 방어작전 프레임워크 기반의 공격그룹 분류 및 공격예측 기법" 한국정보과학회 20 (20): 317-328, 2014

3 "i2"

4 Kwon, Shinil, "Web robot detection based on pattern-matching technique" 38 (38): 118-126, 2012

5 J.T. Kim, "Technical Trends of the Cyber Attack Traceback" 93-103, 2014

6 MacQueen, James, "Some methods for classification and analysis of multivariate observations" 1967

7 Y. H. Kim, "Social Network Analysis" PARKYOUNGSA 2011

8 김동석, "SNA 기반 C4I체계 네트워크 효과 평가 알고리즘" 한국정보과학회 40 (40): 243-250, 2013

9 "R"

10 "Python"

11 "NetworkX"

12 Hyoyoung Lim, "Malware Classification Method Based on Sequence of Traffic Flow" 2015

13 Eric M. Hutchins, "Lockheed Martin Corporation White Paper" 2010

14 Lloyd, Stuart P., "Least squares quantization in PCM" 28 (28): 129-137, 1982

15 Tan, Pang-Ning, "Intelligent Technologies for Information Analysis" Springer Berlin Heidelberg 193-222, 2004

16 Freeman, Linton C., "Centrality in social networks conceptual clarification" 1 (1): 215-239, 1978

17 Jason Holcomb, "Applying the Cyber Kill Chain to ICS:Part 1" Digital Bond

18 AlNoamany, Yasmin A., "Access patterns for robots and humans in web archives" 2013

19 NIS, "2015 National Information Security White Paper" 2015