박대우 * Extraction of Forensic Evidence and Hacking Attacks about IP-PBX Dea-Woo Park* 이논문은 2013 년도호서대학교의재원으로학술연구비지원 (No. 2013-0026) 을받아수행된연구임 요 약 인터넷전화는기존의일반전화인 PSTN 에비해통신비용이저렴하고사용이편리하여인터넷전화의사용이확산되고있다. 광대역통합망 (BCN) 구축일환으로인터넷사업자 (KT, SKT, LGU+) 가행정기관에모든전화망을인터넷전화로전환하고있다. 또한일반인들도사용하는인터넷전화서비스를하고있다. 본논문에서는인터넷전화에서사용되는 IETF SIP 기반 IP-PBX 에해킹공격에대한분석을하고연구를한다. 인터넷전화시스템과똑같이구축되어있는테스트베드에서 IP-PBX 에대한해킹공격을실시하고결과를분석하여포렌식증거를추출하는연구를한다. 인터넷전화를해킹하여범죄에사용되었을때법적효력을가지는포렌식증거로사용할수있는방법을제시한다. ABSTRACT Internet phone, communication cost and easy-to-use low-cost compared to the PSTN is a mobile phone of a conventional, and use of the Internet phone is spreading. Construction as part of the broadband convergence network(bcn), Internet service provider(kt, SKT, LGU+) has converted to Internet phone telephone network to all government agencies. In addition, members of the public also have an Internet phone service that you are using. In this paper, we analyze the hacking attack on IP-PBX in the IETF SIP-based that are used in Internet telephony, to the study. The test bed is constructed in the same way as the Internet telephone system to perform studies carried hacking attacks on IP-PBX, analyze the results and to extract evidence forensics. When used in crime by hacking the Internet telephone, we propose a method which can be used as evidence in forensic having legal effect. 키워드 IP-PBX, 해킹공격, 공격분석, 취약점 Key word IP-PBX, Hacking Attack, Attack Analysis, Vulnerabilities * 종신회원 : 호서대학교 (prof_pdw@naver.com) 접수일자 : 2013. 05. 01 심사완료일자 : 2013. 05. 24 Open Access http://dx.doi.org/10.6109/jkiice.2013.17.6.1360 This is an Open Access article distributed under the terms of the Creative Commons Attribution Non-Commercial License(http://creativecommons.org/li censes/by-nc/3.0/) which permits unrestricted non-commercial use, distribution, and reproduction in any medium, provided the original work is properly cited. Copyright C The Korea Institute of Information and Communication Engineering.
Ⅰ. 서론 Ⅱ. 관련연구 인터넷전화는국내외에인터넷망으로연결되어있으면사용이가능하다. 특히 PC, 노트북이나이동단말을이용하여인터넷망을이용하여전화통화를하기때문에기존의 PSTN에비해상대적으로통화료가싸고, 쉽게사용이가능하다. 2012년 6월, 국내모여행사의 VoIP가해킹돼미국, 영국등지에서국제전화가사용되면서수천만원의피해가발생했다. 미국에서도정부, 기업용교환기대상과금우회공격으로피해액만 55억달러에달했던것으로추정되고있다. 보안이취약한무선랜 (Wi-Fi) 접속장치 (AP) 등을해킹해인터넷전화의통화내용을불법적으로청취하는도청의위험성도끊임없이제기되고있다. 디도스공격에도인터넷전화가활용되기도한다. 악성코드에감염된스마트폰이나인터넷전화를이용해인터넷전화교환기를공격해서비스를마비시키는방식이다. 지난 2009년에도국제해커가국내의한업체인터넷전화를해킹해 1억원이넘는국제전화요금을유발시키기도했다. 전문가들은이들이인터넷전화교환기 (IPBX) 에설정된암호를알아내교환기에접속한뒤국제전화를거는수법을사용하는것으로추정하고있다 [1]. 2009년 9월, CitiBank 영국지점과연동된 SIP-gateway 및 IP-PBX 대상으로무작위 INVITE 해킹공격이발생하였다. IP-PBX에대한모든메시지의 Contact 필드 IP는 217.23.7.47 ( 포르투갈 ) 로고정되어있었다. 이와같은 IP-PBX에대한공격을통해 Scan을시도하고원하는 IP-PBX의정보를탈취하여국내외인터넷전화에대한서비스오용, 불법과금등피해를유발할수있다 [2]. 본논문에서는인터넷전화에서사용되는 IETF SIP 기반 IP-PBX에대한해킹공격을실시하고분석하여포렌식증거를추출하는연구이다. 인터넷전화시스템이구축되어있는인터넷전화테스트베드에서 IP-PBX에대한해킹공격을하여해킹공격에대한결과를분석하고취약점을도출하여안전한인터넷전화를위하여취약점을개선하는보안대책을제시한다. 2.1. IP-PBX IP-PBX(Internet Protocol-Private Automatic Branch exchange) 는네트워크에서데이터망을이용하여음성데이터와비디오데이터를전달할수있도록 PSTN (Public Switched Telephone Network) 과연동되는사설교환기이다. IP-PBX의하드웨어는서버로써동작하며일반적으로사용되는 X86서버에 IP-PBX 소프트웨어를설치해서 PBX로동작을하게한다. IP-PBX는 RJ-45 커넥터를통해스위치에연결이되어, 호처리, 가입자수용, 부가서비스등의 PBX와같은역할을한다. 그러나 PBX 와같이 PSTN을연결하는기능은 Voice Gateway가한다. 음성사서함과같이리소스가많이필요한부가서비스의경우에는별도의서버를사용하여독립적으로수행한다 [3][4]. 그림 1은 IP-PBX와 IP Phone사이에동작원리를나타낸것이다. 그림 1. IP-PBX 와 IP Phone 간동작원리 Fig. 1 Operation principle between IP-PBX and IP Phone 2.2. IP-PBX 기능 IP-PBX 기능중하나는호처리 (Call Processing) 이다. 전화를걸고받을때, 시그널 (Signal) 과미디어 (Media) 로두가지형태의패킷이만들어진다. 시그널은발신자전화번호, 수신자전화번호, 코덱, IP Address등, 음성이외의모든전화를위한정보를담고있다. 반면미디어는정해진코덱으로인코딩된음성을 RTP(Real 1361
한국정보통신학회논문지제 17 권제 6 호 Time Protocol) 로전송하게된다. 시그널은 SIP(Session Initiation Protocol), H.323, MGCP(Media Gateway Control Protocol), SCCP(Signalling Connection Control Part) 등의다양한종류가있으며, 각시그널링프로토콜은각각용도나환경에맞게사용된다 [5][6]. IP-PBX는호처리이외에도 IP Phone, Voice Gateway 등의등록및 Control, Dial Plan을보유및관리, 전화기부가서비스제공, 디렉토리서비스, 프로그래밍인터페이스제공등다양한기능을수행한다 [7]. Ⅲ. IP-PBX 해킹공격 그림 3. 외부망에서공격시도 Fig. 3 Attempt of attack from external network 3.1. IP-PBX 스캐닝공격 IP-PBX의정보를알아내기위해스캐닝을통해그림 2와같이실시하여 IP-PBX의정보를검색한다. 3.2. IP-PBX 에 Invite Flooding 공격 그림 4. PBX 에대한 Invite Flood 공격시도 Fig. 4 Invite Flood attack attempts to PBX 그림 2. 스캐닝을통한 IP-PBX 정보검색 Fig. 2 Scanning through the information retrieval of IP-PBX 해당 IP-PBX는내부망과외부망에서접속이가능하여외부망에서 Invite Flood공격을시도하였다. 스캐닝을통해 IP-PBX의 IP를알아내고해당 IP로접속을시도한다. 또한외부망에서해당 IP-PBX의 IP를통하여접속이가능한지확인한다. 그림 3과같이내부망및외부망에서모두접속이가능한것을확인하였고, 전체웹페이지가플래시로구성되어있으며, 플래시의경우에는디컴파일을통하여공격이가능하다. Ⅳ. IP-PBX 해킹에대한포렌식증거추출 4.1. IP-PBX 해킹자료분석기본적으로외부에서모든공격시나리오가실시되었다. 그림 5는외부에서접속할수있는기본 IP를통해스캐닝을하였고취약점을분석하였다. 1362
그림 7. 불특정 Source IP 에대한경로추적 Fig. 7 Trace the route for unspecified Source IP address 그림 5. 스캐닝을통한 VoIP 보안장비와 NAT 장비취약점분석 Fig. 5 Vulnerability analysis NAT equipment and VoIP security equipment with a scan 스캐닝을통해알아낸 VoIP 보안장비와 NAT장비의 IP주소를파악하여취약점에대한공격을실시하였다. 4.2. IP-PBX 포렌식증거추출그림 6은테스트베드네트워크모니터링상에서 ARP 현황을보여주는것으로미사용 IP가발견되었다. 4.3. IP-PBX 포렌식보고서인터넷전화에서포렌식증거자료는법정에서인정하는수사관이인증된포렌식툴과포렌식기술과포렌식증거자료를생성하고, 백업프로그램을통해추출할수있는증거자료의원본성과무결성을입증하기위해 Hash 함수값을비교하여, 무결성을입증한자료를보고서에같이제출한다. Ⅴ. 결론 그림 6. 여러 Source IP 로부터접근시도 Fig. 6 Attempts to access from various Source IP address 그림 7은 L3 스위치에서모니터된것으로 190.16.xxx. xxx는테스트베드에서사용하지않는 IP대역으로확인되었고, 210.103.xxx.xxx는단말이나서버에서사용하지않고있는 IP로모니터링되었다. 인터넷전화에서교환기역할을하고있는 IP-PBX에대한해킹공격을위해스캐닝을시도하고원하는 IP-PBX의 IP 정보와관리자권한을탈취하여인터넷전화에대한서비스오용, 불법과금등의해킹공격을하고, 외부망에서접속을하여사용자계정생성등의해킹결과를분석하여취약점을도출하였다. 서비스오용, 불법과금등의해킹공격에대한법정에증거자료로사용하기위해해당 IP-PBX의공격증거자료를포렌식을통해자료를추출하고포렌식자료를생성하여포렌식보고서를작성한다. 포렌식보고서는법적증거자료로사용하여해킹공격자에게법적인책임을줄수있는연구를하였고해킹공격에대한보안방안을제시하였다. 1363
한국정보통신학회논문지제 17 권제 6 호 감사의글본연구는 2013년도호서대학교지원본부의지원에의하여이루어진연구로서, 관계부처에감사드립니다.(No. 2013-0026) 참고문헌 [1] 박태우기자, 한달전화료 5천300만원? 인터넷국제전화해킹 주의보 ', 부산일보, http://news20. busan.com/, 2012년 6월. [2] 천우성, 박대우, 윤경배, IP-PBX에대한해킹공격분석연구, 한국해양정보통신학회종합학술대회논문집, Vol.15, No.2, p.273-276, 2011년 10월. [3] Q. F. Liu, H. H. Zhou, and Y. J. Qin, "Design and Implementation of SIP Phone Based on SCTP and DCCP", Telecommunication Engineering, pp.32-36, Jan. 2008. [ 4 ] B. C. Zhang, Q. L. He, and K. Qu, "The Design and Realization of Distance Teaching System Based on SIP Protocol", Microelectronics & Computer, pp. 150-153, March 2007. [ 5 ] A. Johnston, R. Sparks, C. Cunningham, S.Donovan, and K. Summers, "Session Initiation Protocol Service Examples", draft-ietf-sip-pingservice-examples-07, pp. 1-168, July 2004. [ 6 ] A. B. Roach, "Session Initiation Protocol(SIP)- Specific Event Notification", RFC 3265, pp. 1-38, June 2002. [ 7 ] W. Lu, W. Zeng, " The Research of Asterisk-An Open Source PBX", Computer Systems Applications, pp. 80-83, Feb. 2007. 저자소개 박대우 (Dea-Woo Park) 1998년 2월 : 숭실대학교컴퓨터학과 ( 공학석사 ) 2004년 2월 : 숭실대학교컴퓨터학과 ( 공학박사 ) 2004년 2월 : 숭실대학교겸임교수 2006년 2월 : 정보보호진흥원 (KISA) 선임연구원 2007년 3월 ~ 현재 : 호서대학교벤처전문대학원교수 관심분야 : Hacking, CERT/CC, 침해사고대응, e-discovery, Forensic, 사이버국방, 정보보호, 유비쿼터스네트워크보안, WiBro 보안, VoIP보안, 스마트폰및이동단말보안 1364