<332E20BAF2B5A5C0CCC5CDB8A620C0CCBFEBC7D B0F8B0DDBDC3B5B5BFA120B4EBC7D120C8BFB0FAC0FBC0CE20B4EBC0C020B9E6BEC82E687770>

Size: px

Start display at page:

Download "<332E20BAF2B5A5C0CCC5CDB8A620C0CCBFEBC7D B0F8B0DDBDC3B5B5BFA120B4EBC7D120C8BFB0FAC0FBC0CE20B4EBC0C020B9E6BEC82E687770>"

쳥아 구
6 years ago
Views:

1 중소기업융합학회논문지제 6 권제 1 호 pp , 2016 ISSN DOI : 빅데이터를이용한 APT 공격시도에대한효과적인대응방안 문형진 1, 최승현 1, 황윤철 2* 1 백석대학교정보통신학부, 2 한국교통대학교정보공학과 Effective Countermeasure to APT Attacks using Big Data Hyung-Jin Mun 1, Seung-Hyeon Choi 1, Yooncheol Hwang 2* 1 Division of Information & Communication, Baekseok University 2 Department of computer science and information Engineering, Korea National University of Transportation 요약최근에스마트폰을비롯한다양한단말기를통한인터넷서비스가가능해졌다. ICT 발달로인해기업과공공기관에서크고작은해킹사고가발생하는데그공격의대부분은 APT공격으로밝혀졌다. APT공격은공격의목적을달성하기위해지속적으로정보를수집하고, 장기간동안공격대상의취약점을분석하거나악성코드를다양한방법으로감염시키고, 잠복하고있다가적절한시기에자료를유출하는공격이다. 본논문에서는 APT 공격자가짧은시간에타겟시스템에침입하기위해빅데이터기술을이용하는정보수집기법을살펴보고빅데이터를이용한공격기법을보다효율적으로방어할수있는기법을제안하고평가한다. 키워드 : 중소기업정보시스템, APT 공격, 빅데이터, 하둡 Abstract Recently, Internet services via various devices including smartphone have become available. Because of the development of ICT, numerous hacking incidents have occurred and most of those attacks turned out to be APT attacks. APT attack means an attack method by which a hacker continues to collect information to achieve his goal, and analyzes the weakness of the target and infects it with malicious code, and being hidden, leaks the data in time. In this paper, we examine the information collection method the APT attackers use to invade the target system in a short time using big data, and we suggest and evaluate the countermeasure to protect against the attack method using big data. Key Words : SMB Information System, APT Attack, Big Data, Hadoop 1. 서론 최근에많은기업과공공기관을대상으로해킹사고가빈번하게발생하고있다. 최근의주요해킹공격에사용되는있는기법이바로 APT(Advanced Persistent Threat) 공격이다 [1]. APT공격은새로운공격기술이아니라기존에존재하는공격기법들을복합적이고지능적으로사용하여장기간동안특정목적을가지고대상을공격하기위해시도이다. 공격목적은정보시스템의정 Received Revised Accepted Published * Corresponding author : Yooncheol Hwang (dolpin98@nate.com) 보유출또는시스템의서비스중단시키는것을포함한다. 목적을달성하기위해서공격자는공격대상의다양한정보를수집하고이를활용하여장시간동안해당시스템의취약점을분석하여복합적으로공격을시도하거나신종악성코드를감염시켜공격시점을기다리면서잠복한다. 공격자는공격대상의 IT 인프라를장악하고, 공격대상의재방문을용이하게만들기위해악성코드등을설치한다. 장기간동안특정목적을위해공격이진행되 17

2 중소기업융합학회논문지제 6 권제 1 호 지만공격대상은이를인지하지못하고지나치는경우가많다. 뿐만아니라 APT 공격은특정목적을달성한후에흔적을지우면서공격하기때문에쉽게공격여부를확인하기어렵다. 성공적인 APT 공격을위해서는정보시스템의많은정보를수집하고, 분석하는단계를걸치기때문에많은시간이소요된다. 공격자입장에서는공격대상의정보수집및분석단계의소요시간을최소화하는것이공격의성패를좌우하는요소이다. 특히공격자는 Google Search Engine 을대체할목적으로구글에서만든빅데이터플랫폼인 Nutch 를이용하면타겟시스템의양질정보를수집할수있고, 수집된정보를기반으로공격을시도하면단시간에공격이가능하다. 따라서본논문에서는타겟시스템의정보를수집하고분석하는시간을단축하기위해빅데이터를이용한공격시나리오를제시하고, 이에대한효과적인대응기법을제안한다. 본논문의구성은다음과같다. 2장에서는빅데이터와하둡플랫폼에대해설명하고, 3장에서는빅데이터를이용한 APT 공격시나리오를소개하고, 4장에서는공격에대한대응하는방법을논의한후 5장에서결론및향후연구로끝을맺는다. 2. 관련연구 2.1 빅데이터빅데이터는디지털환경에서다양한단말기를통해생성되는많은양의데이터를의미하며, 최근에는데이터의형태가수치뿐만아니라문자와영상처럼데이터의종류도다양해지고있다. 이런데이터들은저장되지않았거나저장되더라도분석하지못하고버리게되는경우도많았지만최근빅데이터기술의발달로대량의데이터를통해가치있는정보로생성되고있다. IT 기관에서빅데이터를 Table 1과같이정의하고있다 [2]. 빅데이터는규모, 변화, 속도, 복잡성등다양한특징을가지고있고의미없던데이터가처리및분석을통해가치를창출하는정보로변환하는기술이다. 시간의흐름속에서 IT는하드웨어에서소프트웨어로, 소프트웨어에서데이터로이동하기시작하였고, 데이터의단순분석보다데이터속에내포하고있는가치에초점을두고발전하기시작되었다 [2]. 빅데이터가장점만가지는것은아니다. Yun은빅데이터가가지는위험요인에대해유형별로분류를제시하였다 [3]. 정보화사회에서위험요인에대한인식하면서이를해결할수있는기술개발을함께도모해야한다. Table 1. Big Data Definition and Feature Organization Forrester SERI Gartner SAS Nomura LAB Definition and Feature Volume, Velocity, Variety Large-scale data with diversity Data to create economic value Sum of Large-scale data Technology and tools related to Large-scale data 3V : Volume, Variety, Complexity Volume : Large scale of data Variety : Diversification of the types of different data from the increase of the types of data such as log history, social and location information Complexity : The types of data vary being related to non-structured data, the difference of data storage mode, and duplication issue. Control and management method for complex data is necessary. 4V : Volume, Variety, Velocity, Value Volume, Variety similar to Gartner Velocity : Real time information increase regarding sensor, monitoring, IoT information, and streaming, Data generated in real time, Importance of the speed to process and analyze Value : A new value creation Three components of big data Human resource and organization to process big data Data process, collection, analysis techniques Data resource Widespread application of three elements to real life with the characteristics of data and the development of computing power 18

3 빅데이터를이용한 APT 공격시도에대한효과적인대응방안 2.2 하둡생태계하둡은다중컴퓨터분산프레임워크로대표적인공개소프트웨어다. 하둡은여러개의 PC를연결하여마치하나인것처럼묶어대용량데이터를처리하는기술로, 하둡은수천대의분산된 x86 장비에대용량파일을저장하는기능을제공하는분산파일시스템 (Distribute File System) 과저장된파일데이터를분산된서버의 CPU와메모리자원을이용해쉽고빠르게분석할수있는컴퓨팅플랫폼인맵리듀스 (MapReduce) 로구성되어있다. 하둡은하나의마스터와여러개의슬레이브로구성된아키텍처를갖는다. 이런하둡에대한여러가지측면에서장점이있기때문에하둡이빅데이터처리와분석을위한플랫폼시장에서사용되기시작하였다. 기본적으로하둡플랫폼은 MapReduce 과 HDFS (Hadoop Distributed File System) 를지원하지만분석과저장의기능만으로는빅데이터를제대로활용하기어려워서이런부분을보완하기위해하둡생태계 (Hadoop ECO system) 가만들어졌다. 기화, 분산환경을구성하는서버환경설정을통합관리한다. Oozie 는하둡작업을관리하는워크플로우시스템이다. HBase는 HDFS 기반의컬럼기반의 DB로 BigTable 논문을기반으로개발되어분산클러스터관리및복구기능수행한다. Pig는하이레벨언어로데이터분석플랫폼으로대규모병렬처리에사용된다. Elastic Search 는아파치 Lucene 기반분산형태인오픈소스검색엔진으로짧은대기시간에검색및인덱스갱신이가능하다. Mahout 는하둡기반데이터마이닝의중요한알고리즘을구현한오픈소스이다. Hive는하둡기반의 dataware-housing을위한솔루션이다. 2.3 하둡플랫폼 Fig. 2는 HDFS 의기본개념도로서파일을 64Mbyte 단위로나누어분산저장하는시스템으로빠르고, 안정적이다. HDFS 는네임노드와데이터노드로분리되어데이터노드에장애발생시새로운데이터노드를추가하여시스템을안전적으로유지하도록설계되었다 [6,7]. Fig. 1. Hadoop Ecosystem Fig. 1은하둡생태계를나타낸그림이다 [4]. 각각의프로그램은아래와같은기능을수행한다 [5,6]. Flume 는방대한양의데이터수집기능을수행하여하둡파일시스템에저장한다. Sqoop는 RDBMS 에서하둡으로데이터이전을위해설계된프로그램으로기존레거시시스템의데이터를하둡에로딩하거나처리결과를 RDBMS 에저장한다. Zookeeper는분산환경에서서버간에상호조정서비스를제공한다. 로드분산처리, 처리결과의동 Fig. 2. Key Map of HDFS Fig. 3은 MapReduce 의단순개념도를나타낸것이다 [6-8]. MapReduce 는하나의큰데이터를여러개의조각으로나누는 Map 함수와처리된결과를하나로취합하여결과를도출하는 Reduce 함수로구성된다. 데이터를입력받아 Map 함수를통해 Key-Value 의형태로저장하고, Reduce 함수는중간데이터를 Key 중심으로재분류하는분석한다. 19

4 중소기업융합학회논문지제 6 권제 1 호 ➂ 해커자신이작성한해킹시나리오대로 APT 공격을수행한다. ➃ 해킹성공시정보시스템을장악하고, 정보시스템의정보유출또는정보파괴등해커가원하는특정목적을수행한다. 3.2 하둡을이용한정보수집및분석시나리오 Fig. 3. Key Map of MapReduce 3. 빅데이터를이용한 APT공격시나리오 3.1 일반적인 APT공격시나리오 Fig. 4. APT Scenario Fig. 4는일반적으로해커가 APT 공격하는시나리오를나타낸것이다. 다음의단계를통해공격을수행한다. ➀ 해커가구글등의검색엔진등을활용하여직접정보시스템의정보를수집한다. ➁ 해커가수집된모든정보를분석한다. 정보시스템의열려진포트가무엇인지, 정보시스템의운영체제등웹서버를분석한다. 게시판등에서업로드제한이있는지, 취약점이있는시스템을사용하는지여부를판단한다. 업로드제한이없다면웹쉘 (Web shell) 의업로드가가능하다면해킹시나리오가가능하다. Fig. 5. Information collection and analysis using Hadoop Fig. 5는하둡을이용하여정보수집및분석하는시나리오를나타낸것이다. 다음과같은과정을수행한다. ➀ 인터넷상의모든데이터를수집하기위해설계된 Nutch 를이용하여해당정보시스템의모든정보를수집한다. ➁ 수집된정보를하둡에존재하는 MapReduce 에정보를전달한다. MapReduce 는사용자가직접원하는데이터를분석할수있도록프로그래밍할수있다. ➂ 분석된파일을 HDFS(Hadoop Distributed File System) 에안전하게분산저장한다. 3.3 빅데이터를이용한 APT공격시나리오 APT 공격은공격자가공격대상인시스템으로부터공격을위한정보를수집하고, 적절한시기가도래했을때공격을시도한다. 하지만이런경우 APT 공격의장기간의준비시간이소요된다. 하지만, 하둡을이용하여정보수집하고, 분석한결과를이용한공격, 즉, 빅데이터를이용한발전된 APT 공격을시도한다면짧은시간내에공격이가능하게된다. Fig. 6은빅데이터를이용한발전된 APT 공격시나리오를단계별로나타낸것이다. 20

빅데이터를이용한 APT 공격시도에대한효과적인대응방안 4. APT 공격차단기법 Fig. 6. APT Step Attack Scenario APT 공격을효과적으로막을수있는방법은기관내의정보시스템의접근가능한컨텐츠를중요도에따라분류하고, 외부에서접근가능한데이터와접근이가능하지않는데이터로나누어관리해야한다.

5 빅데이터를이용한 APT 공격시도에대한효과적인대응방안 4. APT 공격차단기법 Fig. 6. APT Step Attack Scenario APT 공격을효과적으로막을수있는방법은기관내의정보시스템의접근가능한컨텐츠를중요도에따라분류하고, 외부에서접근가능한데이터와접근이가능하지않는데이터로나누어관리해야한다. 침입공격이성공했을경우에도중요한데이터를접근할때접근권한을 SSO 인증이아닌 2 인증기법 (2 factor) 을적용함으로써접근을차단해야한다. 웹으로접근가능한정보이외에도 DB에저장된정보에대한보호기법을적용하는것도필요하다 [9]. 공격자가정보시스템의취약점을이용하여 DB관리자권한을취득한경우에는 DB 의모든정보를열람, 유출이가능하기때문이다 [9-11]. Fig 7처럼이를해결하기위해민감하고, 중요한데이터에한하여따로암호화하여저장하고, 암호화키는따로저장함으로써 DB 관리자권한으로취득한공격자가정보접근이나유출을막을수있다. 특히, 공격자의공격기법이나패턴, 유출피해정도확인등을위해 DB의접근이나 sql관련명령어에대한로그파일을저장하고, 공격자가로그파일을접근할수없도록분산저장하거나백업파일을물리적인분리가필요하다. ➀ 공격자는 Hadoop을이용하여정보시스템에대한정보를수집한다. ➁ Hadoop을이용해수집된대규모의정보를분석한다. 분석된정보를통해정보시스템에서사용하는시스템이나프로그램등을알아내고, 그에따른취약점을도출한다. Hadoop를이용하여정보시스템의취약점을짧은시간내에도출한다. 도출된취약점을이용하여해킹시나리오를작성한다. ➂ 해커는 Hadoop을이용해만든해킹시나리오를가지고 APT 공격을수행한다. ➃ 해킹하여정보시스템을장악하여원하는정보를유출하거나정보파괴등해커가의도한특정목적을수행한다. 빅데이터를이용한 APT 공격은짧은시간내에취약점을찾아내고, 그에따른공격시나리오를작성하여짧은시간내에공격이가능하다. Fig. 7. APT Attack Step and Response 5. 결론현재빅데이터기술은불확실성, 리스크, 융합등미래사회에대응하는역할을수행하면서새로운기회요인을창출하고있다 [12,13]. 2011년이머징기술하이프사이클 (hype cycle) 에서 Gartner는빅데이터를기술발생단계 (technology trigger) 로분류하고있다 [14]. 다양한단말기를통해생산되는데이터를이용하여가치있는 21

중소기업융합학회논문지제 6 권제 1 호 정보를생성할수있는빅데이터는마케팅, 스포츠, 의료, 금융등전분야에서사용되고있다. 개인정보보호조치가취해지지않을경우빅데이터에개인의위치, 진료, 금융정보등이담겨있기때문에 APT 공격에노출될수있다. 빅데이터기술은활용도가급격하게확장되어공격자역시빅데이터기술을적절하게이용할경우짧은시간에다양한공격이가능하다.

Y. Kim, Countermeasure for Prevention and Detection against Attacks to SMB Information System - A Survey, Journal of the Convergence Society for SMB, Vol. 5, No. 2, pp. 1-6, Jun. 2015. [2] Y. I. Cho, Understanding and Major Issues of Big Data, Journal of Korean Associastion for Regional Information Society, Vol.

6 중소기업융합학회논문지제 6 권제 1 호 정보를생성할수있는빅데이터는마케팅, 스포츠, 의료, 금융등전분야에서사용되고있다. 개인정보보호조치가취해지지않을경우빅데이터에개인의위치, 진료, 금융정보등이담겨있기때문에 APT 공격에노출될수있다. 빅데이터기술은활용도가급격하게확장되어공격자역시빅데이터기술을적절하게이용할경우짧은시간에다양한공격이가능하다. 본연구에서는그위험성을알리고, 빅데이터를이용한공격에대한대응방안연구필요성을제기한다. 빅데이터를통해, 공격뿐만아니라공격자의패턴을빅데이터를통해찾아낼경우공격도구가아닌공격차단도구로활용이가능하다. 향후연구로는빅데이터를이용한공격자의공격패턴을실시간으로찾아내어패턴기반침입탐지시스템에적용하는것이필요하다. REFERENCES [1] H. J. Mun, Y. C. Hwang, H. Y. Kim, Countermeasure for Prevention and Detection against Attacks to SMB Information System - A Survey, Journal of the Convergence Society for SMB, Vol. 5, No. 2, pp. 1-6, Jun [2] Y. I. Cho, Understanding and Major Issues of Big Data, Journal of Korean Associastion for Regional Information Society, Vol. 16, No. 3, pp , [3] S. O. Yun, A Study on the Classification of Risks Caused by Big Data, Journal of Korean Associastion for Regional Information Society, Vol. 16, No. 2, pp , [4] The Big Data Blog, /the-hadoop-ecosystem-overview, [5] Hadoop ECO system, [6] D. S. Park, Big Data Computing Technology, Hanbit, [7] H. J. Lee, Use of Big Data Hadoop Platform, Journal of The Korean Institute of Communication Sciences, Vol.29, No.11 pp , [8] K. -H. Lee, W. J. Park, K. S. Cho, W. Ryu, The MapReduce framework for Large-scale Data Analysis: Overview and Research Trends, Journal of Electronics and telecommunications trends(etri), Vol. 28, No. 6, pp , Dec. 2013, [9] H. J. Mun. A Role based Personal Sensitive Information Protection with Subject Policy, PhD Thesis of Computer Science Paper. Chungbuk University, Korea, [10] H. J. Mun, S. J. Oh, Injecting Subject Policy into Access Control for Strengthening the Protection of Personal Information, Wireless Personal Communications, Vol. 89, Issue. 3. pp , Aug [11] H. J. Mun, K. M. Lee, S. H. Lee, Person -Wise Privacy Level Access Control for Personal Information Directory Services, Embedded and Ubiquitous Computing, Volume 4096 of the series Lecture Notes in Computer Science, pp , [12] NIA, The World to evolve into a Big Data- Global Advanced Cases of Big Data, National Information Society Agency Big Data Strategy Research Center, [13] NIA. Big Data : Global teen Advanced Cases, National Information Society Agency Big Data Strategy Research Center, [14] Y. I. Cho, The Big Data Technology and major of Issues in the smart era, Institute of Control, Robotics and Systems, Vol. 18, No. 4, pp , 저자소개문형진 (Hyung-Jin Mun) [ 정회원 ] 2008년 2월 : 충북대학교전자계산학 ( 이학박사 ) 2008년 3월 ~ 현재 : 백석대학교강사 < 관심분야 > : 프라이버시보호, 네트워크및웹보안최승현 (Seung-Hyeon Choi) [ 학생회원 ] 2015년 3월 ~ 현재 : 백석대학교정보통신학부재학 < 관심분야 > : 정보통신, 네트워크 22

7 빅데이터를이용한 APT 공격시도에대한효과적인대응방안 황윤철 (Yooncheol Hwang) [ 정회원 ] 2008년 2월 : 충북대학교전자계산학 ( 이학박사 ) 2000년 3월 현재 : 한국교통대학교 ( 경기도의왕 ) 외래교수 < 관심분야 > : 네트워크및웹보안, 침입방지시스템 23

강의지침서 작성 양식

강의지침서 작성 양식 정보화사회와 법 강의지침서 1. 교과목 정보 교과목명 학점 이론 시간 실습 학점(등급제, P/NP) 비고 (예:팀티칭) 국문 정보화사회와 법 영문 Information Society and Law 3 3 등급제 구분 대학 및 기관 학부(과) 전공 성명 작성 책임교수 법학전문대학원 법학과 최우용 2. 교과목 개요 구분 교과목 개요 국문 - 정보의 디지털화와 PC,