09-박광연_21M hwp

Transcription

1 J. Internet Comput. Serv. ISSN (Print) / ISSN (Online) Copyright c 2022 KSII 윈도우 PE 포맷바이너리데이터를활용한 Bidirectional LSTM 기반경량악성코드탐지모델 Bidirectional LSTM based light-weighted malware detection model using Windows PE format binary data 박광연 1 이수진 2* Kwang-Yun PARK Soo-Jin LEE 요 약 軍 PC 의 99% 는윈도우운영체제를사용하고있어안전한국방사이버공간을유지하기위해서는윈도우기반악성코드의탐지및대응이상당히중요하다. 본연구에서는윈도우 PE(Portable Executable) 포맷의악성코드를탐지할수있는모델을제안한다. 탐지모델을구축함에있어서는탐지의정확도보다는급증하는악성코드에효율적으로대처하기위한탐지모델의신속한업데이트에중점을두었다. 이에학습속도를향상시키기위해복잡한전처리과정없이최소한의시퀀스데이터만으로도악성코드탐지가가능한 Bidirectional LSTM(Long Short Term Memory) 네트워크를기반으로탐지모델을설계하였다. 실험은 EMBER2018 데이터셋을활용하여진행하였으며, 3 가지의시퀀스데이터 (Byte-Entropy Histogram, Byte Histogram, String Distribution) 로구성된특성집합을모델에학습시킨결과 90.79% 의 Accuracy 를달성하였다. 한편, 학습소요시간은기존탐지모델대비 1/4 로단축되어급증하는신종악성코드에대응하기위한탐지모델의신속한업데이트가가능함을확인하였다. 주제어 : Bidirectional LSTM, 윈도우 PE 포맷악성코드탐지, EMBER2018 ABSTRACT Since 99% of PCs operating in the defense domain use the Windows operating system, detection and response of Window-based malware is very important to keep the defense cyberspace safe. This paper proposes a model capable of detecting malware in a Windows PE (Portable Executable) format. The detection model was designed with an emphasis on rapid update of the training model to efficiently cope with rapidly increasing malware rather than the detection accuracy. Therefore, in order to improve the training speed, the detection model was designed based on a Bidirectional LSTM (Long Short Term Memory) network that can detect malware with minimal sequence data without complicated pre-processing. The experiment was conducted using the EMBER2018 dataset, As a result of training the model with feature sets consisting of three type of sequence data(byte-entropy Histogram, Byte Histogram, and String Distribution), accuracy of 90.79% was achieved. Meanwhile, it was confirmed that the training time was shortened to 1/4 compared to the existing detection model, enabling rapid update of the detection model to respond to new types of malware on the surge. keyword : Bidirectional LSTM, Windows PE malware, Detection, EMBER 서론 최근국내ㆍ외를막론하고표적형랜섬웨어및사회기 반시설을겨냥한사이버공격이급증하고있다. 그리고코 1 Cyber Warfare(Integrated course), Korea National Defense Univ., Chungcheongnam-do, 33021, Korea. 2 Dept. of National Defense Science, Korea National Defnese Univ., Chungcheongnam-do, 33021, Korea. * Corresponding author (cyberkma@gmail.com) [Received 8 October 2021, Reviewed 2 November 2021, Accepted 7 December 2021] 로나로인해전환되고있는업무환경에서필수도구가된원격접속 VPN 인프라및스마트폰을겨냥한사이버위협역시증가하고있다 [1]. 국방영역에대한사이버위협도해마다증가하고있다. 軍을대상으로하는사이버공격시도는지난 2016년 3,150건에서 2019년에는 9,121건으로 3배이상증가하는추세를보이고있다. 특히 2016년에는국방망해킹사건으로인해대규모의군사기밀유출까지경험하였다. 최근들어서는 4차산업혁명핵심기술을기반으로스마트국방을구현하기위해 IoT장비및스마트기기들을전력체계들에적용시키는사례가늘고있어軍에대한사이버위 Journal of Internet Computing and Services(JICS) Feb.: 23(1):

2 협의영향력이점차증가하고있다. 지난 2017년한국국방연구원 (KIDA) 에서軍에서사용중인 PC의 MS 윈도우제품의존도실태를확인한결과우리軍의 PC 99% 가윈도우운영체제를설치및운용하고있음을확인하였다 [2]. 이조사결과는국방사이버공간을안전하게보호하기위해서는윈도우운영체제에대한사이버공격대비책을구비하는것이무엇보다도중요함을의미한다. 이에본연구에서는윈도우실행프로그램의표준인 PE 포맷의악성코드를효율적으로탐지할수있는방안을제시하고자한다. 한편 2021년 4월맥아피 (Mcafee) 에서발표한보고서에의하면, 2020년에발견된윈도우운영체제기반의신종악성코드가약 3억 2천만건 ( 일일평균 87.6만건 ) 에달한다 [3]. 이렇듯급증하는신종악성코드에능동적으로대응하기위해서는탐지규칙을신속하게업데이트할수있어야한다. 만약인공지능을기반으로악성코드를탐지하고자시도한다면탐지모델이새롭게출현하는악성코드를적시에학습해야만한다. 그러나인공지능의특성상학습하지않은데이터는처리할수없으므로탐지모델이신종악성코드를학습하기이전에는이를탐지해낼수없다는한계가존재한다. 따라서이러한한계를극복하기위해서는신종악성코드를빠르게학습할수있는탐지모델을개발해야한다. 이에본연구에서는, 신속한탐지모델을개발하기위해간단한전처리와최소한의특성을사용하여학습하는방안을최우선으로고려하였다. 먼저, 윈도우 PE 포맷의실행파일로부터추가적인구문분석없이원시특성을추출한다. 원시특성을추출하기위해 H. Anderson등이공개프로젝트인 "youarespecial" 를통해제안했던 PEFeatureExtractor를활용하여시계열데이터로구성된 3 가지의특성집합 (Byte-Entropy Histogram, Byte Histogram, String Distribution) 을추출하였다 [4]. 그리고시계열데이터분석을위해이전정보를현재의문제해결에활용하는 RNN 모델을적용하였다. 그러나 RNN 모델의경우시계열데이터의시퀀스 (sequence) 길이가길어지면기울기소실 (gradient vanishing) 이발생하는한계로인해제한적인학습데이터만선택이가능하다. 따라서이러한문제를보완한 LSTM을적용하여시퀀스길이가긴데이터도활용할수있도록탐지모델을설계하였다. 본논문의구성은다음과같다. 2장에서는윈도우 PE 포맷과 Bidirectional LSTM에대해간략하게살펴본다. 3 장에서는연구에활용한 EMBER2018 데이터셋에대해설명하고, 4장에서제안하는탐지모델의작동개념을기 술한다. 5 장에서는 EMBER2018 데이터셋을대상으로진 행한실험결과를분석하고, 마지막으로 6 장에서결론을 맺는다. 2. 관련연구 2.1 윈도우 PE 포맷 윈도우운영체제에서의 exe, dll 등의실행파일또는이 미지파일들은 PE 포맷을따르고있다. PE 포맷은헤더와 섹션으로구분되며구조는 ( 그림 1) 과같다 [5]. ( 그림 1) 윈도우 PE 포맷구조 (Figure 1) Structure of Windows PE Format PE 포맷으로작성된실행파일에는소스코드외에도 전역 / 정적변수정보, Import/Export API 정보, 타임스탬프 값, 메모리로드위치및크기등다양한정보들이포함되 어있다. 따라서윈도우악성코드를분석하기위해서는 PE 포맷에대한이해가필수적이다 Bidirectional LSTM 네트워크 LSTM 네트워크는 Simple-RNN 네트워크에서긴시퀀 스를가지는데이터를학습할경우기울기가발산하거나 (blow up) 사라지는 (vanish) 문제를해결하기위해고안되 었다 [6]. LSTM 에서 Simple-RNN 의한계를극복하기위한핵심 개념은 ( 그림 2) 에서보는바와같이게이트 (gate) 와셀 (cell) 의구조를도입했다는점이다. 각게이트는기억셀 주변의데이터흐름을제어하는역할을담당한다. 3 개의 게이트는각기다른파라미터를활용하여입력값을받으

3 며, 하이퍼볼릭탄젠트 (tanh) 활성화함수를거치는경로 까지포함하여총 4 개의파라미터셋을학습한다 [7]. 이와같은 LSTM 네트워크는많은시퀀스를지닌데이 터의패턴을학습할수있어언어번역및시계열데이터 분석과같은분야에주로활용됨은물론, 네트워크트래 픽분석, 행동탐지, 정적파일분석과같은문제에도적 용할수있다. 프로그램코드역시언어와마찬가지로순 서가중요하기때문에시계열데이터로볼수있으며 LSTM 네트워크를통해학습시킬수있다 [8]. ( 그림 2) LSTM Cell 구조 [7] (Figure 2) Structure of LSTM Cell[7] 그러나 LSTM 네트워크는한방향으로만셀정보를전 달하기때문에입력데이터를입체적으로해석하는것이 제한된다. 이러한문제점을보완하기위해등장한 Bidirectional LSTM 네트워크는 ( 그림 3) 과같이정방향과 역방향모두 2 번에걸쳐데이터를학습하여 LSTM 네트 워크에비해더욱많은패턴에대한학습이가능하다 [9]. 샘플분석에투입되는인력과시간이과다하여신속한대응이제한되는한계가존재하였다. 그러나기계학습및 DNN(Deep Neural Network) 기법이사이버보안분야에적용되면서부터는시그니처를분석하고이를데이터베이스에등록시키는학습과정이자동화되어보안인력에의존했던기존방식보다더욱효율적인대처가가능하게되었다. 기계학습및 DNN을활용하기위해서는충분한양의악성코드와양성프로그램의샘플들이필요하며, 악성프로그램탐지모델에게학습을시키기위해서는이러한샘플들로부터적절한특성을추출하는것이무엇보다중요하다. 특히 LSTM에서활용하기위해서는의미있는시퀀스를지닌특성을선정해야한다. 이윤석 (2020) 은 FUSE 형식파일의동적분석을통해시스템호출정보를추출하여 LSTM 모델로악성코드를분류하는기법을제안하였다. 해당기법은기계학습기법 (HMM:47.5%, SVM:87.4%) 들과비교했을때보다향상된 92.2% 의 Accuracy를달성하였다 [10]. Joshua Saxe 등 (2015) 은 PE 포맷파일에서 1,024바이트단위로엔트로피 (entropy) 값과블록해쉬값을추출하여각각 X, Y축 16개로매핑 (mapping) 하는 2차원평면을구성하였다. 이를 2-Layer DNN을활용하여이진분류를시도하였으며, 95% 의 Accuracy를달성하였다 [11]. M. Ahmadi 등 (2016) 은 2015 MS Malware Challenge 데이터셋에서 10,000바이트단위로엔트로피값을산출하여악성코드패밀리를분류하였으며, 99.77% 의 Accuracy를달성하였다 [12]. 3. EMBER2018 Dataset 3.1. 구성 ( 그림 3) Bidirectional LSTM 네트워크 (Figure 3) Bidirectional LSTM Network 2.3. PE 포맷바이너리분석을통한특성추출 본연구에서는윈도우 PE 포맷악성코드분석을위해 EMBER2018 데이터셋을사용한다. 해당데이터셋은 100 만개의윈도우 PE 포맷파일데이터를포함하고있으며, 이는다시 800,000개의학습용데이터셋과 200,000개의평가용 (test) 데이터셋으로구분된다. 본연구에서는정상파일 (Benign) 또는악성코드 (Malware) 로구분되지못한미분류 (Unlabeled) 데이터 200,000개를제외한 600,000개의학습용데이터셋을이용하였다 [13]. 악성코드를탐지하기위한시도의일환으로파일시그니처기반탐지방법이주로사용되었으나, 바이러스의 한국인터넷정보학회 (23 권 1 호 ) 89

4 3.2. 특성집합 특성집합 (feature set) 은같은범주 (Domain) 의정보를 갖고있는특성의집합이며하나의특성집합은여러개 의특성집합들로나누어질수있다. EMBER2018 데이 터셋은 8 개의특성집합을포함하고있으며, 각특성집 합이의미하는바는 ( 표 1) 에서보는바와같다 [13]. ( 표 1) EMBER2018 데이터셋의특성집합 (Table 1) Feature Sets of EMBER2018 Dataset 특성집합 포함정보 특성수 General 파일크기, Import/Export 함수개수, 리소스정보등 10 Header 타임스탬프, 플랫폼정보, 이미지버전, 링커버전등 62 Imports Import 함수및소스라이브러리 1,280 Exports Export 함수및소스라이브러리 128 Section 섹션이름, 크기, 섹션특징문자열목록등 255 Byte Histogram 바이트값의발생빈도값 256 Byte-entropy 바이트단위엔트로피산출값 Histogram 256 Strings 문자열수및평균길이, 출력이가능한문자열히스토그램, 출력가능한문자열엔트로피값등 104 총 계 2,351 본연구에서는위의특성집합들중 LSTM 으로분석이 용이한시퀀스형태를가지는특성집합만을선택하여학 습에활용한다. 이에, 학습에활용한 Byte-Entropy Histogram, Byte Histogram 과 Strings 특성집합에포함된 String Distribution 특성집합에대해설명한다 Byte-Entropy Histogram 바이트값 X 와엔트로피값 H 에대하여 의 결합분포값을산출한데이터이다. 값을산출하기위해 서는고정길이의슬라이딩윈도우 (sliding window) 내바 이트값의발생빈도에대한엔트로피 H 값을계산해야 한다. EMBER2018 데이터셋에서는 2,048 바이트단위로 슬라이딩윈도우크기를지정하였으며, 1,024 바이트단위 로스텝을이동한다. 이를통해한개의파일당 크기의엔트로피배열이생성된다 [14] Byte Histogram 바이트값의발생빈도를나타내기위해파일크기를 토대로정규화하여 256 바이트단위로히스토그램에저장 한다. 일반적으로파일의바이트분포는악성코드여부를 판단하는중요한지표가된다. 그이유는압축또는난독 화된프로그램파일의경우파일의정규분포값이높게 관측되기때문이다 [13] String Distribution 0x20( 공백 ) 과 0x7f(del) 사이의 ASCII 값또는 C:\, HKEY_, 와같은특수한단어를포함한문자열중 에서최소한 5 개이상연속된것을토대로분포값을산출한 다. 이는앞서언급한 Byte Histogram 값과는별도의정보를 제공한다.[14] EMBER2018 데이터셋에서는 Strings 특성 집합중에서 String Distribution 을별도의 96 개의시퀀스로 구분하고있다. 4. Bidirectional LSTM 기반악성코드탐지모델 4.1. 탐지모델작동개념 윈도우 PE 포맷실행파일에서 Byte Histogram, Byte-Entropy Histogram, String Distribution 의 3 가지특성집합을추출한 다. EMBER2018 데이터셋의경우 Hyrum Anderson 이제 안한 PEFeatureExtractor 를 [4] 이용하여원시특성과 PE 포 맷테이블의각데이터들을구문분석 (Parsing) 한특성을 각각추출하였다. 이후추출된특성집합들을 LSTM 네트워크에입력할 수있도록 3 차원배열로데이터를가공하고사전에학습 된 Bidirectional LSTM 모델을통해악성코드여부를평가 한다. 이러한과정을순서대로표현한모델작동개념은 ( 그림 4) 와같다. ( 그림 4) Bidirectional LSTM 기반악성코드탐지모델 (Figure 4) Bidirectional LSTM based Malware Detection Model

5 4.2. 데이터전처리 LIEF(Library to Instrument Executable Formats) 라이브러리를사용하여윈도우 PE 포맷실행파일의바이너리값을불러온이후 JSON(JavaScript Object Notation) 형식으로변환한다. 이후 PEFeatureExtractor는 JSON 형식으로변환된실행파일정보를전달받아 3가지원시특성집합 (Byte-Entropy Histogram, Byte Histogram, Printable String Distribution) 의클래스를생성하고시퀀스데이터를 Numpy 1차원배열로구성하여저장한다. Bidirectioinal LSTM 네트워크는 Keras 로구현하였다. 이네트워크에서는 3차원배열을입력받기때문에, 추출한원시특성집합을 ( 그림 5) 와같은배열로변환해야한다. 미분류데이터 200,000개를제외한 600,000개를사용하였으며, 검증용 (validation) 데이터셋은학습용데이터셋의 10%(60,000개 ) 를추출하여구성하였다. 학습시 Batch 크기는 256으로, 학습률은 로설정하였다. 실험에사용된시스템은 Nvidia GTX 1660( 메모리 6GB) 가장착된환경에서구성하였고, 학습시간은 5시간 30분이소요되었다. 5.2 실험결과 3가지특성집합을달리사용하며실험을수행하였으며, 그결과는 ( 표 2) 와같다. 모든특성집합들을사용하였을때가장우수한 90.79% 의 Accuracy를달성하였다. ( 그림 5) LSTM 네트워크입력자료구조 (Figure 5) Structure of Input Data for LSTM Network 이때, Byte Histogram 및 Byte-Entropy Histogram 값의시 퀀스길이 (256 개 ) 와 String Distribution 의시퀀스길이 (96 개 ) 가 다르기때문에, String Distribution 에해당하는행의나머지 160 개의값을 0' 으로추가하는제로패딩 (zero padding) 을 수행한다. 5. 실험및결과 5.1 실험방법 본연구에서는 Keras 라이브러리를활용하여한개의 레이어당 200 개의셀을지닌 Bidirectional LSTM 레이어 2 개를연결하여탐지모델을구성하였다. 한개의셀은 256 개의시퀀스로이루어진특성집합 3 개를입력받는다. 해 당모델의출력층은이진분류를위해시그모이드 (sigmoid) 활성함수를사용하며, 최적화함수는 RMSprop, 오차함수는 Binary crossentropy 를사용하였다. 모델학습을위해서는학습용데이터셋 800,000 개중 ( 표 2) 특성집합별탐지모델성능비교 (Table 2) Comparison of Detection Model Performance by Feature Set 특성집합 Accuracy F1-score % % % , % , % , % , 2, % :Byte-Entropy Histogram, 2:Byte Histogram, 3:String Distribution EMBER2018 데이터셋을활용했던기존연구들을살 펴보면, 먼저 H. S. Anderson 등 [14] 이기계학습모델인 LightGBM 을이용하였다. 악성코드를정상파일로잘못 판별하는오탐율 (False Positive Rate : FPR) 이 0.1% 미만이 되도록평가결과에서악성코드여부를결정하는기준임 계값을조정한경우 92.99% 의 Accuracy 를달성하였다. 한 편, 오탐율이 1% 미만이되도록임계값을조정한경우에 는 98.2% 의 Accuracy 를달성하였다. S. Parmanik 등 [15] 은 CNN 과 Feed Forward Network 을이용하여학습시킨결과 각각 0.95 와 0.97 의 F1-score 및 Precision 을달성하였다. 위의실험결과를기준으로기존연구들과비교했을경 우에는제안하는 Bidirectional LSTM 기반모델의성능이 다소떨어지는것으로보일수도있다. 그러나기존연구 들에서활용된모델들은모든특성집합 (8 개, 7.52GB) 을 사용하였으며, 기계학습기반탐지모델의경우에는 GPU (Titan X) 2 개를병렬연결한시스템을이용하여 23 시간 한국인터넷정보학회 (23 권 1 호 ) 91

6 동안학습시켰다. 그에비해제안모델은 3 가지특성집합 (3.43GB) 만사용하였으며, 상대적으로적은자원 (GTX 1660) 을가진시스템상에서도 5 시간 30 분만에학습을완 료하였다. ( 표 3) 기존연구와의성능비교 (Table 3) Comparison of Performance with Existing Studies 모델탐지성능학습시간 LightGBM 0.1% FPR 92.99%(Accuracy) 23시간 [14] 1% FPR 98.2%(Accuracy) 0.95 CNN[15] (F1-score, precision) ㆍ Feed Forward 0.97 Network[15] (F1-score, precision) Proposed Model (Bi-LSTM) 6. 결론 90.79%(Accuracy) (F1-score) 5 시간 30 분 본연구에서는윈도우 PE 포맷형식의악성코드를검 출하기위해시퀀스데이터를활용하여 Bidirectional LSTM 기반탐지모델을제안하였다. 해당모델의학습에 는 EMBER2018 데이터셋을사용하였으며, 기존연구들 은기계학습, CNN, Feed Forward Network 등을사용하여 이진분류를시도했던것과는달리시퀀스데이터를 Bidirectional LSTM 네트워크에학습시켜악성코드와정 상파일을분류하였다. ( 표 3) 에서보는바와같이기존연구에서제시된탐지 모델과의분류성능을비교해본결과 90.79% 의 Accuracy 를보여기존모델보다탐지정확도는다소낮게나타났 다. 그러나기존모델이 8 개의특성집합전체를사용한 것에비해제안모델은 3 개의특성집합만을사용하였음 에도비교적우수한성능을달성하였다. 그리고학습시간은기존연구대비획기적으로감소하 였다. 서론에서전술한바와같이 2020 년기준윈도우운 영체제기반의신종악성코드가일평균 87.6 만건이발생 한다는점을고려하면 [3], 기존연구에서제시한기계학 습기반탐지모델의학습시간 (23 시간 ) 으로는실시간으로 발생하는신종악성코드를제시간에학습하는것이불가 능하다. 반면, 제안모델은기존모델에비해최소한의특 성집합을활용하기때문에학습시간이기존모델대비 약 1/4 로단축되었다. 이러한결과는신종악성코드에대 응하기위해탐지모델의업데이트주기를단축시킬수 있음을시사한다. 향후에는본연구에서활용한 3 가지특성집합이외에 추가적인특성집합을활용하여학습시간은증가시키지 않으면서 Accuracy 를높일수있는방안에대해계속연 구를진행할예정이다. 또한, 저전력소모와휴대성이요 구되는무기체계에도적용이가능하도록모델을보다경 량화시킬수있는방안을연구하고자한다. 참고문헌 (Reference) [ 1 ] KISA, 2021 First Half KISA Cyber Security Issue Report, =3431&attach_file_id=EpF3431.pdf [ 2 ] Shim Seung-bae, Military introduction direction and tasks of Open O.S, 33 rd SPRi Forum, [ 3 ] Mcafee, "Mcafee ATR Threats Report 4.21", ts/apr-2021.html [ 4 ] Clarence Chio, David Freeman, "Machine Learning and Security", pp. 175, O'Reilly Media, Inc., [ 5 ] R. Kath, The Portable Executable File Format from Top to Bottom, MSDN Libary, Microsoft Corporation, mp/doc/pefile2.html [ 6 ] S. Hocheriter, J. Schmidhuber, Long short-term memory, Nneurl computation 9, no. 8, pp , [ 7 ] Yukinaga Azuma, Introduction to core deep learning, onlybook, [ 8 ] J. Saxe, H. Sanders, Malware Data Science, Youngjin, [ 9 ] Mike Schuster, Kuldip K. Paliwal, Bidirectional Recurrent Neural Networks, IEEE Transactions on signal processing, Vol. 45, No. 11, [ 9 ] Yunseok Rhee, Malicious Code Detection Method Using LSTM Learning on the File Access Behavior, The Journal of Korean Institute of Information Technology, Vol.18, no. 2, pp.25-32,

7 [10] J. Saxe, K. Berlin, Deep neural network based malware detection using two dimensional binary program features, th International Conference on Malicious and Unwanted Software(MALWARE), pp , [11] M. Ahmadi, D. Ulyanov, S. Semenov, M. Trofimov, G. Giacinto, Novel Feature Extraction, Selection and Fusion for Effective Malware Family Classification, In Proceedings of the 6th ACM CODASPY 18, pp , [12] Y. Oyama, T. Miyashita, H. Kokubo, Identifying Useful Features for Malware Detection in the Ember Dataset, th International Symposium on Computing and Networking Workshops(CANDARW). IEEE, pp , [13] H. S. Anderson, P. Roth, EMBER: An Open Dataset for Training Static PE Malware Machine Learning Models, arxiv preprint arxiv: , [14] S. Parmanik, H. Teja, EMBER Analysis of Malware Dataset Using Convolutional Neural Networks, rd International Conference on Inventive Systems and Control(ICISC), pp , 저자소개 박광연 (Kwang-yun Park) 2010 년육군사관학교컴퓨터공학과 ( 공학사 ) 2020 년 ~ 현재국방대학교사이버전협동과정 ( 공학석사 ) 관심분야 : 국방보안정책, 사이버보안, 딥러닝 edig1097@gmail.com 이수진 (Soo-jin Lee) 1992 년육군사관학교전산학과 ( 공학사 ) 1996 년연세대학교대학원컴퓨터과학과 ( 공학석사 ) 2006 년한국과학기술원전산학과 ( 공학박사 ) 2006 년 ~ 현재국방대학교국방과학학과교수관심분야 : 국방보안정책, 사이버안보, 인공지능 cyberkma@gmail.com 한국인터넷정보학회 (23 권 1 호 ) 93