최근 해킹현황 및 해킹기술

해킹및바이러스예방 2002. 7. 26 정현철 / 한국정보보호진흥원 hcjung@certcc.or.kr Korea CERT Coordination Center Korea Information Security Agency

목차 해킹바이러스의이해 해킹바이러스현황과사례 환경변화와해킹바이러스동향 계층적인방어 사고예방 접근통제 계정 / 패스워드보안 최소한의서비스제공 프로그램패치 취약점점검 바이러스예방 침해사고대응 -2- KRnet 2002

해킹바이러스의이해 해킹 정보시스템을파괴 마비시키거나정상적인운용을방해하는행위 정보시스템에침투하여정보를위조 변조 파괴하거나유출하는등의모든행위 Hacker VS. Cracker(Intruder) 바이러스 컴퓨터의프로그램이나실행가능한부분을변형하여, 여기에자기자신또는자기자신의변형을복사하는명령어들의조합 생물학적인바이러스가자기자신을복제하는유전인자를가지고있는것처럼컴퓨터바이러스도자기자신을복사하는명령어를가지고있음차 -3- KRnet 2002

해킹바이러스의이해 일반적인해킹절차 Network/System Vulner. OS vers./network Topology Service Information etc. Various Exploit Script Using Server Config. Fault Password Cracking Consolidation(rootkit) Continuation(Sniffer) Metastasis(Another Attack) Attack Attack Information Gathering Penetration Metastasis of Attack Security Product Information Stealth/Advanced Scan-Tech. Gaining more Influence on Society Distributed/Automatic Hacking & Virus Consolidation Forming Parallel Attack Chaining Overwhelm whole Internet Various Consolidation Unpredictable Metastasis -4- KRnet 2002

해킹바이러스의이해 Script kiddies 가능한손쉬운방법으로특정대상없이해킹을시도하는부류 특정공격대상이없어대규모네트워크를대상으로스캔공격 인터넷에서쉽게구할수있는해킹 Script 이용 수많은공격도구를자유자재로구사하여공격가능 대부분의경우 root를획득하여자랑하는것이목적 가장일반적이며경계하여야할위협 ( 공격의 90% 이상 ) -5- KRnet 2002

해킹바이러스의이해 인터넷웜 (Internet Worm) 바이러스와해킹의특징보유 인터넷웜의번식과정 대상시스템선택 취약점스캔및공격 원격접속및자신복제 홈페이지변조등파괴행위 24시간이내에전세계전파 1988년 Morris 인터넷웜이최초 -6- KRnet 2002

해킹바이러스의이해 2001 년주요인터넷웜 Worm OS Vulnerability Month Ramen Linux ftp, LPRng, rpc.statd 2001. 1. Li0n Unix, Linux bind 2001. 3. Carko Solaris Solaris snmpxdmid 2001. 4. Sadmind/IIS Solaris, Windows Sadmin, IIS Unicode 2001. 5. Cheese Linux Li0n Backdoor 2001. 5. Red Linux bind, LPRng 2001. 6. CodeRed Windows ISAPI ida.dll 2001. 7. CodeBlue Windows IIS Unicode Traversal 2001. 9. Nimda Windows IIS Unicode Traversal 2001. 9. -7- KRnet 2002

해킹바이러스의이해 2001 년주요바이러스 Rank Virus Type Count 1 Win32/Nimda I-Worm 16,665 2 Win32/Sircam.worm I-Worm 12,216 3 Win32/Funlove.4099 Win32 11,372 4 I-Worm/Winint Trojan 2,827 5 Win32/CIH Win95 2,705 6 Win32/Nimda.D I-Worm 2,205 7 I-Worm/Hybris I-Worm 1,754 8 I-Worm/Hybris.spiral I-Worm 1,190 9 Win32/Weird Win32 1,187 10 I-Worm/Navidad I-Worm 1,127 Others 11,785-8- Total 65,033 KRnet 2002

해킹바이러스현황과사례 해킹바이러스증가추이 6000 5000 4000 Hacking New Virus 5,333 3000 2000 1,943 2,059 1000 0 572 64 256 158276 379 572 194 68 1997 1998 1999 2000 2001 2002.5. -9- KRnet 2002

해킹바이러스현황과사례 CodeRed infected Top 10 Countries Country US KR CN TW CA UK DE AU JP NL # hosts 157,694 37,948 18,141 15,124 12,469 11,918 11,762 8,587 8,282 7,771 <Source : http://www.caida.org/> Top 10 Source Countries for Nimda Attacking Country US CA NL KR IT NO BR GR CN Laos # Attacks 519,987 72,150 35,318 22,274 12,389 12,306 6,023 5,805 4,904 3,754 <Source : SecurityFocus > Top 10 Attack Sources by Country(2001.Q3-Q4) Country US KR CN DE FR CA TW IT Great Britain % Attacks 29.6 8.8 7.8 5.9 4.5 3.9 2.6 2.5 2.5 2.0-10- KRnet 2002 JP <Source : Riptech Report >

E 신문사홈페이지해킹 (1999) -11- KRnet 2002

5 개교육대학홈페이지해킹 (1999) -12- KRnet 2002

H 신문사홈페이지해킹 -13- KRnet 2002

O 티켓판매사고객정보유출 (2000. 6.) -14- KRnet 2002

미국테러사건관련홈페이지해킹 (2001. 9.) -15- KRnet 2002

2002 월드컵관련 D 통신사홈페이지해킹 (2002. 6.) -16- KRnet 2002

환경변화와해킹바이러스동향 인터넷이용자증가 (Unit : 1,000) Internet Users PC 방 01 : 24,380 금융 에너지 95 : 366 행정 물류 국방 교육 -17- KRnet 2002 Year

환경변화와해킹바이러스동향 획일화된시스템네트워크환경 많은중소업체와개인이저가의 Linux Server, Windows 서버사용 인터넷웜의주요공격플랫폼 Linux : Ramen Worm, Li0n Worm, Red Worm, Windows : CodeRed, Nimda, 다수의동일한 Application 사용 BIND, Sendmail, Apache, -18- KRnet 2002

환경변화와해킹바이러스동향 PC 에대한공격증가 개인용컴퓨팅성능향상 대부분 ADSL, Cable Modem 등을통해인터넷에연결 백신업데이트가늦고패치를하지않음 보안마인드부재 -19- KRnet 2002

환경변화와해킹바이러스동향 공격기법의고도화 해킹과바이러스의구분이모호해지고있음 Hacking Tech. Scan & Exploit DoS Backdoor Nimda Code Red Virus Tech. Auto infection Trojanhorse Information 유출 1992 1993.. 1996.. 1998 1999 2000 2000 1999 1998... 1995 1987-20- KRnet 2002

환경변화와해킹바이러스동향 24 시간내에전세계감염 Auto Scanning & Exploit Using Vulnerability, E-mail, Shared folder 홈페이지방문, 메일확인만으로감염가능 Nimda Worm, Badtrans, 사고의대규모화와글로벌화 -21- KRnet 2002

계층적인방어 - 위협, 취약점, 대책 - 정보시스템보안은취약성을찾아내고, 시스템을위협으로부터보호 Threat Vulnerability Countermeasure Information System -22- KRnet 2002

계층적인방어 Network Host Application Info -23- KRnet 2002

계층적인방어 - 인터넷환경에서보안 - PC 접근통제 바이러스방지기술 네트워크취약성점검시스템 네트워크침입탐지시스템 PC 서버시스템 Small Remote Offices PC LAN 내부사용자및외부강화정책 인증시스템 LOG Server 안전진단 / 관리 서버시스템 암호기술 VPN 지원침입차단시스템 DBMS VPN 지원 ROUTER VPN (Turnelling) 인터넷 재택근무 Mobile Users -24- KRnet 2002

사고예방 최소한의서비스설치 접근통제 계정 / 패스워드보안 프로그램패치 취약점점검 바이러스예방 침해사고대응 -25- KRnet 2002

최소한의서비스설치 최소한의운영체제와응용프로그램설치 Default 설치금지 구동중인 Process 목록 -26- KRnet 2002

최소한의서비스설치 취약한서비스 FTP Telnet BIND finger NFS RPC 서비스 : rpc.ruserd, rstatd, rwalld R 서비스 : rshd, rlogin, rwhod, rexec etc 서비스제거 /etc/inetd.conf 필요하지않는서비스 comment out(# 처리 ) rc 디렉토리의불필요한데몬실행중지 -27- KRnet 2002

접근통제 최소한의포트만 Open Deny unless explicitly allowed 네트워크 / 호스트접근통제 열려진포트목록 -28- KRnet 2002

접근통제 Top 10 Target Port < 자료 :http://www.dshield.org/ > -29- KRnet 2002

네트워크접근통제 Router, Firewall 접근통제 <CISCO Router 의접근통제규칙 > access list list {permit:deny} protocol source source-mask destination destination-mask [operator operand] list : 100 ~ 199, protocol : tcp, udp, icmp operator : lt(less than), eq(equal to), gt(greater thean), neq(not equal to) operand : service port number for destination access-list 145 permit tcp any any established access-list 145 permit tcp any host 123.1.2.1 eq telnet log access-list 145 permit tcp any host 123.1.2.2 eq 80 access-list 145 permit udp any host 123.1.2.3 eq domain access-list 145 deny ip any any # interface Serial0 configure-interface # ip access-group 145 in -30- KRnet 2002

접근통제 호스트접근통제 TCP Wrapper, Ipchains 등 <TCP Wrapper 의접근통제규칙 > daemon_list : client_list [ : shell_command ] /etc/hosts.allow : 접근허용리스트 /etc/hosts.deny : 접근거부리스트 /etc/hosts.deny ALL : ALL : spawn (/usr/sbin/safe_finger @%h /bin/mail -s 'Rejected %d(%p) from %h to suwon-c' root hcjung@certcc.or.kr)& /etc/hosts.allow ALL : LOCAL, 210.234.222. -31- KRnet 2002

계정 / 패스워드보안 불필요한모든계정제거예 ) guest, test, 패스워드가없거나취약한계정제거예 ) 1234, hcjung12, sky, 패스워드관리및진단도구 npasswd, crack,... /etc/passwd -32- KRnet 2002

프로그램패치 모든 OS 및응용프로그램에는 Bug 존재 보안관련패치 (Patch) 는필수 Caldera OpenLinux -- ftp://ftp.caldera.com/pub/ Deban Linux -- http://www.debian.org/security/ DEC -- http://www.service.digital.com/patches/index.html FreeBSD -- ftp://ftp.freebsd.org/pub/freebsd/ HP -- http://us-support.external.hp.com/ IBM -- http://service.software.ibm.com/support/rs6000 NT -- http://www.microsoft.com/security/default.asp OpenBSD -- http://www.openbsd.org/errata.html RedHat Linux -- http://www.redhat.com/apps/support/errata/index.html SCO -- ftp://ftp.sco.com/sse/ SGI -- ftp://sgigate.sgi.com/patches/ Sun -- http://sunsolve.sun.com/pub-cgi/show.pl?target=patches/patch-access/ -33- KRnet 2002

취약점점검 네트워크보안취약점점검 네트워크를통하여시스템의취약점을조사 / 분석 nmap, ISS, SATAN, mscan, sscan, SuperScan,... 시스템취약점점검 시스템내부에서보안상문제점을검사하는도구 COPS, Tiger,... <Super Scan> -34- KRnet 2002

바이러스예방 백신프로그램의주기적인업데이트및점검 ( 자동설정권고 ) 백신프로그램의실시간감시기능사용 네트워크단위에서바이러스차단 E-mail 첨부파일실행시주의 폴드공유제한및패스워드설정 운영체제및웹브라우져패치 중요한데이터는정기적으로백업 -35- KRnet 2002

Contact Points Tel : (02)118 Fax : 405-5119 침해사고대응 -CERTCC-KR- Email : cert@certcc.or.kr Http://www.certcc.or.kr Become Member of Consortium http://www.concert.or.kr -36- KRnet 2002

Q & A -37- KRnet 2002