엔터프라이즈네트워크에서인터넷웜의실시간탐지방법 포항공과대학교정보통신대학원정보통신학과 분산시스템과네트워크관리연구실 2005 년 12 월 21 일 조룡권 rone@postech.ac.kr
목차 서론 연구의필요성과목표 관련연구 인터넷웜탐지알고리즘 웜트래픽발생툴 알고리즘의검증 네트워크에서의탐지결과분석 결론 (2)
서론 (1) 인터넷웜은전파속도가빠르고네트워크의마비를일으킴 1988년 Morris 웜의탄생 2001년 CodeRed 웜의대량전파 2003년 Slammer웜의인터넷대란 인터넷웜의정의 네트워크를통해사용자의개입이없이스스로복사전파하면서취약점이있는서비스를공격하는악성코드 (3)
인터넷웜의트래픽특성 프로토클 : TCP/UDP 취약점이용 : Destination Port 스캐닝 : 순차적 / 랜덤 타겟선정 : 전역 / 부분 / 로컬 스캐닝속도 서론 (2) 탐지방법의연구동향 인터넷전역에서의탐지 Signature를이용한 IDS 시스템 엔터프라이즈네트워크에서의탐지 (4)
연구의필요성과목표 연구의필요성 : 글로벌네트워크가아닌엔터프라이즈네트워크에서실시간탐지가필요하다. Signature 에근거한방법이아닌 Traffic Behavior 에근거한탐지하는방법이필요하다. 연구의목표 : 엔터프라이즈네트워크에서실시간으로 Traffic Behavior 에근거한인터넷웜을탐지하는방법을제시한다. 연구의내용 : 엔터프라이즈네트워크에적합한 traffic behavior 에근거한실시간탐지방법을제안 탐지방법의검증을위하여인터넷웜트래픽 Generator 를개발 탐지알고리즘을검증및실제엔터프라이즈네트워크에구현하고탐지결과의분석 (5)
관련연구 (1) Signature 에의한탐지방법 Misuse IDS (signature based detection) 새로운웜에대한탐지가불가능하다. Signature 대조과정이많은처리시간을요한다. Snort, Bro Upgraded misuse IDS 2004, Bharath, Design of a System for Real-Time Worm Detection, IEEE symposium of High Performance Interconnections 2004 Signature의 Update로웜의signature확보가가능하다. 실시간탐지방법 인터넷웜이발생한후짧은시간내에탐지 짧은시간내에대량의트래픽을처리 (6)
관련연구 (2) 인터넷전역을대상으로하는탐지방법 수학적모델링방법 2003, C.C.Zou, Monitoring and Early Warning for Internet Worms, ACM Conference on Computer and Communications Security (CCS 03) 2003, Chen, Modeling the Spread of Active Worms WORM 2003 on Network Security ICMP type 3 메시지를이용한탐지방법 2002,George Bakos, Early Detection of Internet Worm Activity by Metering ICMP Destination Unreachable Messages, The International Society for Optical Engineering (SPIE) 대형보안업체의웜로그를수집하는방법 Symantec, CAIDA 같은보안관련연구단체에서전세계웜의로그를수집하여분석하는방법 (7)
관련연구 (3) 엔터프라이네트워크를대상으로하는탐지방법 Destination-Source Correlation 알고리즘 2004, Gu, Worm Detection, Early Warning and Response Based on Local Victim Information, Annual Computer Security Applications Conference (ACSAC 2004) Honey-Pot을이용한탐지방법 2004, Christian Kreibich, Jon Crowcroft, Honeycomb-Creating Intrusion Detection Signatures Using Honeypots, ACM SIGCOMM Computer Communications 2004 (8)
인터넷웜탐지알고리즘 (1) 취약점이존재하는서비스 ( 목적지포트 ) 스캐닝속도 ( 한호스트에서대량의스캐닝트래픽발생 ) Suspicious List: Scanning Rate이임계치값을넘는3-tuple flow 3-tuple flow: 같은 Destination Port, Source Host, Protocol을가지고있는패킷의집합 목적지주소의분포 ( 랜덤 / 순차적 ) Sequential Worm: 순차적 : 목적지주소가순차적이다 Random Worm: 랜덤 : 할당되지않는 IP 주소에대한스캐닝 (IANA IPv4 Allocation Table 사용 ) 높은목적지주소의분산도 해당포트의목적지주소의분산도가높다 Ingress 트래픽에서해당목적지포트의목적지주소의분산도이용 (9)
인터넷웜탐지알고리즘 (2) (10)
인터넷웜탐지알고리즘 (3) 시스템의구조 (11)
WTG 개발의필요성 웜트래픽발생툴 (1) 인터넷웜의특성파악을위해필요하다. 실제인터넷웜트래픽을확보하기어렵다. Simulate을통한방법의한계 IDS나 Firewall 의검증에필요하다. 제안한 IDS 알고리즘검증 Penetration Testing Worm Traffic Generator User Friendly GUI 인터넷웜트래픽특성패러미터선택 Parameter Aggregation 웜성격을결정하고 Thread를생성하고제어 Traffic Generation 패킷을생성하고트래픽을발생 (12)
User Friendly Interface Java Swing based 웜트래픽발생툴 (2) Major Worm 의선택 패러미터에의한선택 (13)
웜트래픽발생툴 (3) Parameter Aggregation Major Worms Slammer Worm: {UDP 1434, Global Random, Bandwidth-limited, No interval time} CodeRed: {TCP 80, Global Random, 300 or 600 packets/interval, 21s interval} Blaster: {TCP 135, Local Sequential, Up to 300 packets/interval, 20s interval} Parameters Protocol (TCP/UDP) Destination Ports Scanning Rate Scanning Property (Random/Sequential) Scanning Targets (Global/Local) Number of host infected (Thread) Traffic Generation Destination IP Generation Packet manipulation IP header /TCP/ UDP 패킷 Send Packets (RAW Socket) (14)
실험환경 Worm Detection System 알고리즘의검증 (1) Worm Traffic Generator Firewall Bridge 검증에사용된트래픽 Global-Random Scanning Traffic Global-Sequential Scanning Traffic Local Random/Sequential Scanning Traffic DPNM 연구실에구축한실험환경 (15)
알고리즘의검증 (2) Global-Random 웜트래픽의탐지 UDP-1434-Random-Global-unlimited 웜트래픽 2005년 12월 17일 12:23분 WDS 탐지결과 UDP Random 웜의목적지주소분포 300 250 두번째바이트주소 200 150 100 50 0 0 50 100 150 200 250 300 첫바이트주소 WDS 에서수집된웜트래픽 (16)
Global-Sequential 웜의탐지 알고리즘의검증 (3) TCP-SYN-Sequential-Global-20s Interval Scanning 2005년 12월 17일 1시 37분 300 Sequential Worm 의목적지주소 마지막 Octet 의값 250 200 150 100 50 WDS 에서수집된 Sequential 웜트래픽 0 1 101 201 패킷개수 (17)
알고리즘의검증 (4) Local Random/Sequential 웜트래픽탐지 2005 년 12 월 17 일 04:31, 04:33 로컬랜덤웜의 3,4 Octet 분포 4 번째 Octet 의분포 300 250 200 150 100 50 3,4 번째 Octet 의분포 300 250 200 150 100 50 로컬 Sequential 웜의목적지주소 3id Octet 4th Octet 0 0 50 100 150 200 250 300 3 번째 Octet 의분포 0 1 101 201 301 401 501 601 701 801 901 패킷의개수 (18)
네트워크에서의탐지환경 트래픽의수집과웜탐지시스템 (WDS) Optical Tap 1Gbps Optical Links Campus Network Core Switch Internet Routers Internet Worm Detection System (19)
네트워크에서의탐지결과 (1) 2005년 12월 20일 21:00에탐지된 Suspicious List 20개의 Suspicious hosts와 6개의 Suspicious ports 1개의웜에감염된호스트 (20)
네트워크에서의탐지결과 (2) 인터넷웜에감염된호스트는 UDP 5445 포트로 1965 개의순차적스캐닝패킷을발생하였다. (21)
네트워크에서의탐지결과 (3) 2005년 12월 20일 01:58에탐지된랜덤스캐닝웜 2307개의랜덤목적지주소에 8713개의스캐닝패킷을발생 (22)
결론 요약 엔터프라이즈네트워크에적합한실시간인터넷웜의탐지알고리즘을제시하고알고리즘을검증하였다. 인터넷웜트래픽 Generator를개발하였다. 인터넷웜의탐지시스템을실제로구현하여 네트워크에적용하였다. 앞으로의과제 새로운웜에대응하는방법에대한더깊은연구가필요하다. 다양한범위의엔터프라이즈네트워크에서의실험이필요하다. Ingress Network에서탐지방법의연구가더필요하다. (23)
감사합니다! (24)