WO2015129934A1 - 명령제어채널 탐지장치 및 방법 - Google Patents

명령제어채널 탐지장치 및 방법 Download PDF

Info

Publication number
WO2015129934A1
WO2015129934A1 PCT/KR2014/001551 KR2014001551W WO2015129934A1 WO 2015129934 A1 WO2015129934 A1 WO 2015129934A1 KR 2014001551 W KR2014001551 W KR 2014001551W WO 2015129934 A1 WO2015129934 A1 WO 2015129934A1
Authority
WO
WIPO (PCT)
Prior art keywords
distribution
sessions
control channel
command control
connection
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/KR2014/001551
Other languages
English (en)
French (fr)
Other versions
WO2015129934A8 (ko
Inventor
김혁준
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NARU SECURITY Inc
Original Assignee
NARU SECURITY Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NARU SECURITY Inc filed Critical NARU SECURITY Inc
Priority to US15/120,526 priority Critical patent/US10218725B2/en
Publication of WO2015129934A1 publication Critical patent/WO2015129934A1/ko
Publication of WO2015129934A8 publication Critical patent/WO2015129934A8/ko
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/142—Denial of service attacks against network infrastructure

Definitions

  • the present invention relates to a command control channel detection apparatus and method.
  • Attacks through the command control channel are advanced persistent attacks.
  • the attacker stays in the target network for several months and conducts information gathering, internal network attack, system destruction, and information leakage.
  • Most of the target network is protected by a firewall or an intrusion detection device. Therefore, an attacker sends an email with malicious code to the target system, or installs a malicious file as the target system during internet surfing, and invades the target system. Secure the intrusion path.
  • the internal network device infected by the attacker rather than continuously maintaining the command control channel, the internal network device infected by the attacker periodically attempts to connect to the attacker located outside to create the command control channel.
  • the intrusion detection device detects the command control channel based on the technical characteristics of the command control channel. In other words, the intrusion detection device so far detects the command control channel by using known information such as a specific signature or a malicious Internet address.
  • these detection methods detect known malicious behaviors, they can only detect low-level attacks that mimic the attack methods already used, and are difficult to detect attacks using the new command control channel. Therefore, a new detection method that can cope with the recent attack method is required.
  • An object of the present invention is to provide a command control channel detection apparatus and method for detecting a command control channel based on connection information of sessions connected between an internal network and an external network.
  • An apparatus for detecting a command control channel connected between a communication device of a first network and an attacker device of a second network wherein at least one communication device of the first network and at least one of the second network are detected.
  • Session log collection unit for collecting the log information of the sessions generated between one communication device, an analysis unit for generating the test data for each session based on the log information, and calculates the distribution of the test data based on the test data of the sessions
  • a determination unit for extracting an inspection data value corresponding to an abnormal distribution from the inspection data distribution based on the abnormal distribution determination criteria and estimating sessions related to the extracted inspection data value as a command control channel.
  • the inspection data may include at least one of a connection period, a connection holding time, and a transmission / reception data size.
  • the inspection data distribution may include any one of a connection period distribution including the number of sessions per connection period, a connection maintenance time distribution including the number of sessions by connection maintenance time, and a data size distribution including the number of sessions by transmission and reception data size.
  • the determination unit may determine a test data value having a number of sessions above a predetermined reference in the access period distribution as an abnormal distribution.
  • the determination unit may determine a test data value having a number of sessions above a predetermined reference in the connection holding time distribution as an abnormal distribution.
  • the determination unit may determine a test data value having a number of sessions above a predetermined reference in the data size distribution as an abnormal distribution.
  • the determination unit may estimate sessions corresponding to an abnormal distribution in at least two of the connection period distribution, the connection holding time distribution, and the data size distribution as a command control channel.
  • the log information may include at least one of a source information, a destination information, a timestamp, a connection holding time, and a transmission / reception data size of each session.
  • a command control channel detecting apparatus detects a command control channel connected between a communication apparatus of a first network and an attacker apparatus of a second network, the apparatus comprising: at least one communication apparatus of the first network; Generating test data for each session based on log information of sessions generated between at least one communication device of the second network, calculating test data distribution based on test data of the sessions, and abnormal distribution determination criteria Extracting a test data value corresponding to an abnormal distribution from the test data distribution, and estimating sessions related to the extracted test data value as a command control channel.
  • the inspection data may include at least one of a connection period, a connection holding time, and a transmission / reception data size.
  • the inspection data distribution may include any one of a connection period distribution including the number of sessions per connection period, a connection maintenance time distribution including the number of sessions by connection maintenance time, and a data size distribution including the number of sessions by transmission and reception data size.
  • the abnormal distribution determination criterion is a reference value related to the number of sessions, and extracting test data values corresponding to the abnormal distribution may determine a test data value having a session number greater than or equal to the reference value in the test data distribution as an abnormal distribution. .
  • the extracting of the test data values corresponding to the abnormal distribution may include extracting test data values corresponding to the abnormal distribution from each of at least two distributions of the access period distribution, the connection holding time distribution, and the data size distribution.
  • the estimating to the command control channel may estimate sessions corresponding to an abnormal distribution in both of the at least two distributions based on the extracted test data values.
  • a command control channel detecting apparatus detects a command control channel connected between a first communication apparatus and a second communication apparatus, wherein the first communication apparatus connects to the second communication apparatus. Collecting log information of generated sessions, generating test data for each session based on the log information, obtaining test data distribution related to the number of sessions per test data based on the test data of the sessions, and Determining whether there is a test data value having a number of sessions above a predetermined criterion in the test data distribution, and if the test data value having a number of sessions above a predetermined criterion exists, estimating the second communication device as an attacker device; It includes.
  • the inspection data may include at least one of a connection period, a connection holding time, and a transmission / reception data size.
  • the inspection data distribution may include any one of a connection period distribution including the number of sessions per connection period, a connection maintenance time distribution including the number of sessions by connection maintenance time, and a data size distribution including the number of sessions by transmission and reception data size.
  • a normal communication session can be distinguished from a malicious connection by analyzing a communication session necessarily created for the command control channel. Therefore, according to the embodiment of the present invention, even an attack without a signature can detect an attack by the command control channel. According to the embodiment of the present invention, it is possible to effectively cope with an increasingly sophisticated internal network attack. According to the embodiment of the present invention, since the modified attack or the encrypted traffic can be detected, the internal network attack can be detected regardless of the attack method.
  • FIG. 1 is a diagram schematically illustrating a network related to a command control channel detecting apparatus according to an embodiment of the present invention.
  • FIG. 2 is a graph exemplarily illustrating periodic connection characteristics of a command control channel.
  • FIG. 3 is a graph exemplarily illustrating a connection period distribution according to an embodiment of the present invention.
  • FIG. 5 is a graph exemplarily illustrating a connection holding time distribution according to an embodiment of the present invention.
  • FIG. 6 is a graph exemplarily illustrating a data size distribution according to an embodiment of the present invention.
  • FIG. 7 is a block diagram of a command control channel detection apparatus according to an embodiment of the present invention.
  • FIG. 8 is a flowchart illustrating a command control channel detection method according to an embodiment of the present invention.
  • FIG. 1 is a diagram schematically illustrating a network related to a command control channel detecting apparatus according to an embodiment of the present invention.
  • a network includes a network device 10, an external network 20, an internal network 30, and a command control channel detector (hereinafter referred to as a “detector device”) 100.
  • the attacker device 200 is located in the external network 20. Therefore, since the attacker connects to the attack target network 30 from the outside of the attack target network 30, the attacker is divided into the outer network 20 and the inner network 30, and the outer network 20 and the inner network 30. Are distinguished by the network device 10.
  • the network device 10 is a gateway to the internal network 30, and separates the external network 20 and the internal network 30.
  • the network device 10 may be a gateway or a switch.
  • the detection device 100 is located between the external network 20 and the internal network 30.
  • the detection device 100 may be implemented in the network device 10 or may be implemented separately from the network device 10.
  • the internal network 30 includes a plurality of communication devices 300, 400, 500, and 600.
  • the attacker device 200 accesses the internal network 30 in various ways, thereby communicating the internal network 30.
  • Make the device an attacking device For example, the attacker device 200 may infect internal network communication devices through a mail or a program to which malicious code is attached. The infected device periodically connects with the attacker device 200 to receive a command and becomes an attack performing device that performs an operation according to the command.
  • the attack performing device is the communication device 300.
  • the attack performing apparatus 300 periodically connects to the attacker apparatus 200. Then, the attacker device 200 and the attack execution device 300 is connected to the command control channel. The attacker device 200 transmits a command to the attack performing device 300 through the command control channel and receives the information. That is, an external attacker must connect the communication device and command control channel of the internal network to access internal assets continuously.
  • the detection apparatus 100 detects the command control channel by analyzing the session information.
  • the detection apparatus 100 collects session information by monitoring sessions connected between the external network 20 and the internal network 30.
  • the session refers to a connection created for data exchange between two communication devices.
  • the session information is various logs related to the session, and includes session start information, destination information, time stamp, connection holding time, transmission / reception data size, and the like.
  • Origin information includes origin address, origin port and the like.
  • the destination information includes a destination address, a destination port, and the like.
  • the detection apparatus 100 generates session-specific inspection data based on the session information.
  • the inspection data includes at least one of a connection period, a connection holding time, and a transmission / reception data size.
  • the detection apparatus 100 calculates an inspection data distribution of the monitored sessions. That is, the detection apparatus 100 includes a connection period distribution including the number of sessions (frequency) per connection period, a connection maintenance time distribution including the number of sessions by connection maintenance time, and a data size distribution including the number of sessions by data size. Calculate
  • the detection apparatus 100 estimates sessions having the inspection data value as the command control channel when there are inspection data values showing a frequency higher than or equal to a predetermined reference in the inspection data distribution. In this case, the detection apparatus 100 may determine a command control channel by combining a plurality of inspection data distributions.
  • FIG. 2 is a graph illustrating a periodic connection characteristic of a command control channel
  • FIG. 3 is a graph illustrating an access period distribution according to an embodiment of the present invention.
  • the command control channel is periodically connected. Communication between normal communication devices does not have a periodicity, but the attack performing device 300 periodically connects to a specific server as shown in FIG. 2 according to a malicious code installed therein.
  • the detection apparatus 100 detects the command control channel based on the inspection data distribution instead of the time domain graph. This may be called an analysis through a frequency domain graph.
  • the detection apparatus 100 calculates an access period distribution of sessions.
  • the access period distribution may be represented by a cumulative number of sessions in which the horizontal axis corresponds to the access period value and the vertical axis corresponds to the access period value.
  • a session having an access period of about 520 seconds or more exists over a predetermined criterion.
  • the detection apparatus 100 may estimate sessions having an access period of about 520 seconds as a command control channel, and estimate an external network device related to the session estimated as the command control channel as an attacker device.
  • the detection apparatus 100 may determine that a secret command control channel of a relatively long period (about 9 minutes) is maintained in order to reduce the detectability occurring when an attacker communicates in a short period.
  • the detection apparatus 100 may filter the sessions in various ways based on the session information, and make a connection period distribution graph using the filtered sessions.
  • the connection period distribution graph may include only the connection period distribution of sessions related to one destination address or one source address.
  • the access period distribution graph may include all access period distributions of all sessions.
  • the detection apparatus 100 may extract an access period distribution of sessions related to the communication device 200.
  • the detection apparatus 100 may estimate the communication device 200 as the attacking device when the number of sessions having a connection period near a specific value is greater than or equal to a predetermined criterion.
  • FIG. 4 is a graph exemplarily illustrating a normal connection hold time characteristic
  • FIG. 5 is a graph exemplarily showing a connection hold time distribution according to an embodiment of the present invention.
  • connection holding time is less than or equal to a predetermined criterion
  • connection maintaining time is more than or equal to a predetermined criterion. That is, the connection maintenance time of the normal session has a long tail pattern.
  • the connection holding time may vary depending on the purpose of the connection.
  • command control channel that is programmed and mechanically generated can have a fixed connection hold time.
  • command control channel may be maintained for a long time to allow an attacker to make a reverse channel through the command control channel.
  • the detection apparatus 100 calculates a connection maintenance time distribution of sessions.
  • the connection maintenance time distribution may be represented by a cumulative number of sessions whose horizontal axis is a connection holding time value and a vertical axis corresponding to the connection holding time value.
  • the detection apparatus 100 may estimate sessions having a connection holding time of about 20 seconds as a command control channel, and estimate an external network device related to the session estimated as the command control channel as an attacker device.
  • the detection apparatus 100 may create a connection holding time distribution graph using various filtered sessions based on the session information.
  • the connection hold time distribution graph may include only the connection hold time distribution of sessions related to one destination address or one source address.
  • the connection retention time distribution graph may include all connection retention time distributions of all sessions.
  • Methods for determining whether an abnormality is in the connection maintenance time distribution may vary, and a criterion for determining the abnormality is preset in the detection apparatus 100.
  • the connection holding time distribution by the normal session may be set as the reference distribution, and when the reference distribution and the shape differ by more than a predetermined reference, the distribution may be determined as an abnormal distribution.
  • the distribution may be determined as an abnormal distribution.
  • FIG. 6 is a graph exemplarily illustrating a data size distribution according to an embodiment of the present invention.
  • the detection apparatus 100 calculates a distribution size of transmission and reception data of sessions.
  • the transmission / reception data size distribution may be represented by a cumulative number of sessions whose horizontal axis corresponds to a data size value and the vertical axis corresponds to a data size value.
  • the transmission / reception data size may include an outbound data size from the internal network and an inbound data size from the external network.
  • a session connected between the attacking device and the attacking device may exhibit a data size distribution having a dominant number of sessions at a constant data size as shown in FIG. 7.
  • the transmission and reception data sizes are different.
  • FIG. 7 is a block diagram of a command control channel detection apparatus according to an embodiment of the present invention.
  • the detection apparatus 100 includes a session log collection unit 110, an analysis unit 130, and a determination unit 150.
  • the session log collection unit 110 collects log information of sessions generated between the internal network communication devices and the external network communication devices.
  • the analyzer 130 generates inspection data for each session based on the log information.
  • the inspection data includes at least one of a connection period, a connection holding time, and a transmission / reception data size.
  • the analysis unit 130 calculates inspection data distribution using inspection data of each session.
  • the analysis unit 130 calculates at least one of a connection period distribution including the number of sessions by connection period, a connection maintenance time distribution including the number of sessions by connection maintenance time, and a data size distribution including the number of sessions by data size.
  • the determination unit 150 extracts inspection data values corresponding to the abnormal distribution from the inspection data distribution based on the abnormal distribution determination criteria.
  • the determination unit 150 may determine an inspection data value having a frequency or a frequency ratio of a predetermined criterion or more in the inspection data distribution as abnormal.
  • the determination unit 150 may determine abnormally the test data value that differs from the reference distribution by a predetermined reference or more in the test data distribution.
  • the determination unit 150 estimates sessions related to the extracted test data value as a command control channel.
  • the determination unit 150 may detect a command control channel by combining a plurality of inspection data distributions.
  • FIG. 8 is a flowchart illustrating a command control channel detection method according to an embodiment of the present invention.
  • the detection apparatus 100 collects information of sessions connected between the external network 20 and the internal network 30 (S110).
  • the session information is various logs related to the session, and includes session start information, destination information, time stamp, connection holding time, transmission / reception data size, and the like.
  • the detection apparatus 100 generates session-specific inspection data based on the session information (S120).
  • the inspection data includes at least one of a connection period, a connection holding time, and a transmission / reception data size.
  • the detection apparatus 100 calculates distribution of inspection data by using inspection data of each session (S130).
  • the detection apparatus 100 calculates at least one of a connection period distribution including the number of sessions by connection period, a connection maintenance time distribution including the number of sessions by connection maintenance time, and a data size distribution including the number of sessions by data size.
  • the detection apparatus 100 extracts inspection data values corresponding to the abnormal distribution from the inspection data distribution based on the abnormal distribution determination criteria (S140).
  • the detection apparatus 100 estimates sessions related to the extracted test data value as a command control channel (S150).
  • the detection apparatus 100 may detect a command control channel by combining a plurality of inspection data distributions.
  • the communication characteristics of the command control channel necessarily created for the internal network attack are analyzed to distinguish between normal and malicious connections. Therefore, according to the embodiment of the present invention, even an attack without a signature can detect an attack by the command control channel. According to the embodiment of the present invention, it is possible to effectively cope with the increasingly sophisticated form of attacking the internal network. According to the embodiment of the present invention, since the modified attack or the encrypted traffic can be detected, the internal network attack can be detected regardless of the attack method.
  • the embodiments of the present invention described above are not only implemented through the apparatus and the method, but may be implemented through a program for realizing a function corresponding to the configuration of the embodiments of the present invention or a recording medium on which the program is recorded.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)
  • Maintenance And Management Of Digital Transmission (AREA)

Abstract

명령제어채널 탐지장치는 제1망의 적어도 하나의 통신장치와 제2망의 적어도 하나의 통신장치 사이에 생성되는 세션들의 로그 정보를 수집하는 세션 로그 수집부, 상기 로그 정보를 기초로 세션별 검사 데이터를 생성하고, 상기 세션들의 검사 데이터를 기초로 검사 데이터 분포를 계산하는 분석부, 그리고 비정상 분포 판단 기준을 기초로 상기 검사 데이터 분포에서 비정상 분포에 해당하는 검사 데이터 값을 추출하고, 추출한 검사 데이터값에 관계된 세션들을 명령제어채널로 추정하는 판단부를 포함한다.

Description

명령제어채널 탐지장치 및 방법
본 발명은 명령제어채널 탐지장치 및 방법에 관한 것이다.
최근 분산서비스거부공격을 기점으로 하여 서비스거부공격, 개인정보 해킹사건, 금융 기관 해킹사건, 그리고 사이버테러 등의 다양한 타겟 공격이 증가하고 있다. 이러한 공격을 수행한 주체 및 공격 방법은 다양하나, 공격대상 네트워크 외부와 공격대상 네트워크 내부가 명령제어채널로 연결되어 공격을 수행하는 공통점이 있다.
명령제어채널을 통한 공격은 지능형지속공격(Advanced Persistent attacks) 이다. 공격자는 수개월에 걸쳐 공격대상 네트워크에 머무르며 정보수집, 내부망공격, 시스템파괴, 정보유출 등의 행위를 수행한다. 공격대상 네트워크는 대부분 방화벽이나 침입탐지장치로 보호되므로, 공격자는 악성코드가 첨부된 메일을 공격대상 시스템으로 발송하거나, 인터넷서핑 중 악성파일을 공격대상 시스템으로 설치하여, 공격대상 시스템으로 침입하는 초기침입 경로를 확보한다.
특히, 최근에는 지속적으로 명령제어채널을 유지하는 것이 아니라, 공격자에 의해 감염된 내부망 장치가 외부에 위치한 공격자에게 접속을 주기적으로 시도하여 명령제어채널을 생성한다.
지금까지의 침입탐지장치는 명령제어채널의 기술적 특성을 기초로 명령제어채널을 탐지한다. 즉, 지금까지의 침입탐지장치는 특정 시그니처나 악성 인터넷 주소와 같이 이미 알려진 정보를 사용하여 명령제어채널을 탐지한다. 그러나, 이러한 탐지 방법은 이미 알려진 악성행위를 탐지하므로, 이미 사용된 공격방법을 모사하는 낮은 수준의 공격만 탐지할 수 있을 뿐, 새로운 기법의 명령제어채널을 사용하는 공격을 탐지하기 어렵다. 따라서, 최근의 공격 방법에 대응할 수 있는 새로운 탐지방법이 요구된다.
본 발명이 해결하고자 하는 과제는 내부망과 외부망 사이에 연결된 세션들의 접속 정보를 기초로 명령제어채널을 탐지하는 명령제어채널 탐지장치 및 방법을 제공하는 것이다.
본 발명의 한 실시예에 따라 제1망의 통신장치와 제2망의 공격자 장치 사이에 연결된 명령제어채널을 탐지하는 장치로서, 상기 제1망의 적어도 하나의 통신장치와 상기 제2망의 적어도 하나의 통신장치 사이에 생성되는 세션들의 로그 정보를 수집하는 세션 로그 수집부, 상기 로그 정보를 기초로 세션별 검사 데이터를 생성하고, 상기 세션들의 검사 데이터를 기초로 검사 데이터 분포를 계산하는 분석부, 그리고 비정상 분포 판단 기준을 기초로 상기 검사 데이터 분포에서 비정상 분포에 해당하는 검사 데이터 값을 추출하고, 추출한 검사 데이터값에 관계된 세션들을 명령제어채널로 추정하는 판단부를 포함한다.
상기 검사 데이터는 접속 주기, 접속 유지 시간, 그리고 송수신 데이터 크기 중 적어도 어느 하나를 포함할 수 있다.
상기 검사 데이터 분포는 접속 주기별 세션수를 포함하는 접속 주기 분포, 접속 유지 시간별 세션수를 포함하는 접속 유지 시간 분포, 송수신 데이터 크기별 세션수를 포함하는 데이터 크기 분포 중 어느 하나를 포함할 수 있다.
상기 판단부는 상기 접속 주기 분포에서 일정 기준 이상의 세션수를 가지는 검사 데이터 값을 비정상 분포로 판단할 수 있다.
상기 판단부는 상기 접속 유지 시간 분포에서 일정 기준 이상의 세션수를 가지는 검사 데이터 값을 비정상 분포로 판단할 수 있다.
상기 판단부는 상기 데이터 크기 분포에서 일정 기준 이상의 세션수를 가지는 검사 데이터 값을 비정상 분포로 판단할 수 있다.
상기 판단부는 상기 접속 주기 분포, 상기 접속 유지 시간 분포, 그리고 상기 데이터 크기 분포 중 적어도 두 개의 분포에서 비정상 분포에 해당하는 세션들을 명령제어채널로 추정할 수 있다.
상기 로그 정보는 각 세션의 출발지 정보, 목적지 정보, 타임스탬프, 접속 유지 시간, 송수신 데이터 크기 중 적어도 하나를 포함할 수 있다.
본 발명의 다른 실시예에 따른 명령제어채널 탐지장치가 제1망의 통신장치와 제2망의 공격자 장치 사이에 연결된 명령제어채널을 탐지하는 방법으로써, 상기 제1망의 적어도 하나의 통신장치와 상기 제2망의 적어도 하나의 통신장치 사이에 생성되는 세션들의 로그 정보를 기초로 세션별 검사 데이터를 생성하는 단계, 상기 세션들의 검사 데이터를 기초로 검사 데이터 분포를 계산하는 단계, 비정상 분포 판단 기준을 기초로 상기 검사 데이터 분포에서 비정상 분포에 해당하는 검사 데이터 값을 추출하는 단계, 그리고 추출한 검사 데이터값에 관계된 세션들을 명령제어채널로 추정하는 단계를 포함한다.
상기 검사 데이터는 접속 주기, 접속 유지 시간, 그리고 송수신 데이터 크기 중 적어도 어느 하나를 포함할 수 있다.
상기 검사 데이터 분포는 접속 주기별 세션수를 포함하는 접속 주기 분포, 접속 유지 시간별 세션수를 포함하는 접속 유지 시간 분포, 송수신 데이터 크기별 세션수를 포함하는 데이터 크기 분포 중 어느 하나를 포함할 수 있다.
상기 비정상 분포 판단 기준은 세션수에 관계된 기준값이고, 상기 비정상 분포에 해당하는 검사 데이터 값들을 추출하는 단계는 상기 검사 데이터 분포에서 상기 기준값 이상의 세션수를 가지는 검사 데이터값을 비정상 분포로 판단할 수 있다.
상기 비정상 분포에 해당하는 검사 데이터 값들을 추출하는 단계는 상기 접속 주기 분포, 상기 접속 유지 시간 분포, 그리고 상기 데이터 크기 분포 중 적어도 두 개의 분포 각각에서 비정상 분포에 해당하는 검사 데이터 값들을 추출하고, 상기 명령제어채널로 추정하는 단계는 추출한 검사 데이터 값들을 기초로 상기 적어도 두 개의 분포 모두에서 비정상 분포에 해당하는 세션들을 명령제어로 추정 할 수 있다.
본 발명의 또 다른 실시예에 따른 명령제어채널 탐지장치가 제1 통신장치와 제2 통신장치 사이에 연결된 명령제어채널을 탐지하는 방법으로써, 상기 제1 통신장치가 상기 제2 통신장치에 접속하여 생성된 세션들의 로그 정보를 수집하는 단계, 상기 로그 정보를 기초로 세션별 검사 데이터를 생성하는 단계, 상기 세션들의 검사 데이터를 기초로 검사 데이터별 세션수에 관계된 검사 데이터 분포를 획득하는 단계, 상기 검사 데이터 분포에서 일정 기준 이상의 세션수를 가지는 검사 데이터 값이 존재하는지 판단하는 단계, 그리고 상기 일정 기준 이상의 세션수를 가지는 검사 데이터 값이 존재하는 경우, 상기 제2 통신장치를 공격자 장치로 추정하는 단계를 포함한다.
상기 검사 데이터는 접속 주기, 접속 유지 시간, 그리고 송수신 데이터 크기 중 적어도 어느 하나를 포함할 수 있다.
상기 검사 데이터 분포는 접속 주기별 세션수를 포함하는 접속 주기 분포, 접속 유지 시간별 세션수를 포함하는 접속 유지 시간 분포, 송수신 데이터 크기별 세션수를 포함하는 데이터 크기 분포 중 어느 하나를 포함할 수 있다.
본 발명의 실시예에 따르면 명령제어채널을 위해 반드시 생성되는 통신 세션을 분석하여 정상 접속과 악의적 접속을 구분할 수 있다. 따라서, 본 발명의 실시예에 따르면 시그니처가 없는 공격이라도 명령제어채널에 의한 공격을 탐지할 수 있다. 본 발명의 실시예에 따르면 점점 정교하게 진화하고 있는 내부망 공격에 대해서도 효과적으로 대응할 수 있다. 본 발명의 실시예에 따르면 변형된 공격이나 암호화된 트래픽에 대해서도 탐지할 수 있으므로, 공격 방법에 관계없이 내부망공격을 탐지할 수 있다.
도 1은 본 발명의 한 실시예에 따른 명령제어채널 탐지장치에 관계된 네트워크를 개략적으로 설명하는 도면이다.
도 2는 명령제어채널의 주기적 접속 특성을 예시적으로 나타내는 그래프이다.
도 3은 본 발명의 한 실시예에 따른 접속 주기 분포를 예시적으로 나타내는 그래프이다.
도 4는 정상적인 접속 유지 시간 특성을 예시적으로 나타내는 그래프이다.
도 5는 본 발명의 한 실시예에 따른 접속 유지 시간 분포를 예시적으로 나타내는 그래프이다.
도 6은 본 발명의 한 실시예에 따른 데이터 크기 분포를 예시적으로 나타내는 그래프이다.
도 7은 본 발명의 한 실시예에 따른 명령제어채널 탐지장치의 블록도이다.
도 8은 본 발명의 한 실시예에 따른 명령제어채널 탐지 방법의 흐름도이다.
아래에서는 첨부한 도면을 참고로 하여 본 발명의 실시예에 대하여 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자가 용이하게 실시할 수 있도록 상세히 설명한다. 그러나 본 발명은 여러 가지 상이한 형태로 구현될 수 있으며 여기에서 설명하는 실시예에 한정되지 않는다. 그리고 도면에서 본 발명을 명확하게 설명하기 위해서 설명과 관계없는 부분은 생략하였으며, 명세서 전체를 통하여 유사한 부분에 대해서는 유사한 도면 부호를 붙였다.
명세서 전체에서, 어떤 부분이 어떤 구성요소를 "포함"한다고 할 때, 이는 특별히 반대되는 기재가 없는 한 다른 구성요소를 제외하는 것이 아니라 다른 구성요소를 더 포함할 수 있는 것을 의미한다.
이제 도면을 참고하여 본 발명의 실시예에 따른 명령제어채널 탐지장치 및 방법에 대해 설명한다.
도 1은 본 발명의 한 실시예에 따른 명령제어채널 탐지장치에 관계된 네트워크를 개략적으로 설명하는 도면이다.
도 1을 참고하면, 네트워크는 네트워크 장치(10), 외부망(20), 내부망(30), 그리고 명령제어채널 탐지장치(앞으로 "탐지장치"라고 한다)(100)로 구성된다. 여기서, 공격자 장치(200)는 외부망(20)에 위치한다고 가정한다. 따라서, 공격자가 공격 대상망(30)의 외부에서 공격 대상망(30)에 접속하기 때문에 외부망(20)과 내부망(30)으로 구분한 것이며, 외부망(20)과 내부망(30)은 네트워크 장치(10)에 의해 구분된다.
네트워크 장치(10)는 내부망(30)으로 통하는 관문으로서, 외부망(20)과 내부망(30)을 분리한다. 네트워크 장치(10)는 게이트웨이나 스위치 등일 수 있다. 탐지장치(100)는 외부망(20)과 내부망(30) 사이에 위치한다. 탐지장치(100)는 네트워크 장치(10)에 구현되거나, 네트워크 장치(10)와 별도로 구현될 수 있다.
내부망(30)은 복수의 통신장치(300, 400, 500, 600)를 포함한다.
만약, 네트워크 장치(10)가 방화벽 등을 통해 외부에서 내부자산으로 직접 접속하는 것을 차단하는 경우, 공격자 장치(200)는 다양한 방법으로 내부망(30)에 접근하여, 내부망(30)의 통신장치를 공격 수행 장치로 만든다. 예를 들면, 공격자 장치(200)는 악성코드가 첨부된 메일이나 프로그램을 통해 내부망 통신장치들을 감염시킬 수 있다. 감염된 장치는 공격자 장치(200)와 주기적으로 접속하여 명령을 수신하고, 명령에 따른 동작을 수행하는 공격 수행 장치가 된다. 여기서, 공격 수행 장치는 통신장치(300)로 가정한다.
공격 수행 장치(300)는 주기적으로 공격자 장치(200)에 접속한다. 그러면, 공격자 장치(200)와 공격 수행 장치(300)는 명령제어채널로 연결된다. 공격자 장치(200)는 명령제어채널을 통해 공격 수행 장치(300)에게 명령을 전달하고, 정보를 수신한다. 즉, 외부에 존재하는 공격자는 내부의 자산에 지속으로 접근하기 위해 반드시 내부망의 통신장치와 명령제어채널을 연결해야 한다.
탐지장치(100)는 세션 정보를 분석하여 명령제어채널을 탐지한다. 탐지장치(100)는 외부망(20)과 내부망(30) 사이에 연결되는 세션들을 모니터링하여 세션 정보를 수집한다. 여기서 세션은 두 통신 장치 사이의 데이터 교환을 위해 생성된 연결(connection)을 의미한다. 세션 정보는 세션에 관계된 각종 로그로서, 세션의 출발지 정보, 목적지 정보, 타임스탬프, 접속 유지 시간, 송수신 데이터 크기 등을 포함한다. 출발지 정보는 출발지 주소, 출발지 포트 등을 포함한다. 목적지 정보는 목적지 주소, 목적지 포트 등을 포함한다.
탐지장치(100)는 세션 정보를 기초로 세션별 검사 데이터를 생성한다. 검사 데이터는 접속 주기, 접속 유지 시간, 그리고 송수신 데이터 크기 중 적어도 하나를 포함한다.
탐지장치(100)는 모니터링한 세션들의 검사 데이터 분포를 계산한다. 즉, 탐지장치(100)는 접속 주기별 세션수(빈도)(frequency)를 포함하는 접속 주기 분포, 접속 유지 시간별 세션수를 포함하는 접속 유지 시간 분포, 데이터 크기별 세션수를 포함하는 데이터 크기 분포를 계산한다.
탐지장치(100)는 검사 데이터 분포에서 일정 기준 이상의 빈도를 보이는 검사 데이터값이 있는 경우, 해당 검사 데이터값을 가진 세션들을 명령제어채널로 추정한다. 이때, 탐지장치(100)는 복수의 검사 데이터 분포를 종합하여 명령제어채널을 결정할 수 있다.
도 2는 명령제어채널의 주기적 접속 특성을 예시적으로 나타내는 그래프이고, 도 3은 본 발명의 한 실시예에 따른 접속 주기 분포를 예시적으로 나타내는 그래프이다.
도 2를 참고하면, 명령제어채널은 주기적으로 연결된다. 정상 통신 장치 사이의 통신은 주기성을 가지고 있지 않지만, 공격 수행 장치(300)는 내부에 설치된 악성코드에 따라 도 2와 같이 주기적으로 특정 서버에 접속한다.
그러나, 사람은 도 2와 같은 시간 영역(Time Domain) 그래프를 보고 직관적으로 주기적 접속을 알 수 있으나, 탐지장치(100)는 주기적 접속을 판단하기 어렵다.
따라서, 탐지장치(100)는 시간 영역 그래프 대신, 검사 데이터 분포를 기초로 명령제어채널을 탐지한다. 이를 주파수 영역(Frequency Domain) 그래프를 통한 분석이라고 부를 수 있다.
도 3을 참고하면, 탐지장치(100)는 세션들의 접속 주기 분포를 계산한다. 접속 주기 분포는 가로축이 접속 주기값이고, 세로축이 접속 주기값에 해당하는 누적 세션 수로 표시될 수 있다.
도 3의 접속 주기 분포를 보면, 접속 주기가 520초 근처인 세션이 일정 기준 이상 존재한다. 이를 통해 탐지장치(100)는 접속 주기가 520초 근처인 세션들을 명령제어채널로 추정할 수 있고, 명령제어채널로 추정한 세션에 관계된 외부망 장치를 공격자 장치로 추정할 수 있다. 이러한 접속 주기 분포를 통해, 탐지장치(100)는 공격자가 짧은 주기로 통신할 때 발생하는 탐지가능성을 낮추기 위해 비교적 긴 주기(약 9분)의 은밀한 명령제어채널을 유지하는 것으로 판단할 수 있다.
접속 주기 분포는 통계적 정보이므로, 탐지장치(100)는 세션 정보들을 기초로 다양하게 세션들을 필터링하고, 필터링한 세션들을 이용하여 접속 주기 분포 그래프를 만들 수 있다. 예를 들어, 접속 주기 분포 그래프는 하나의 목적지 주소, 또는 하나의 출발지 주소에 관계된 세션들의 접속 주기 분포만을 포함할 수 있다. 또는 접속 주기 분포 그래프는 전체 세션들의 접속 주기 분포를 모두 포함할 수 있다.
예를 들어, 탐지장치(100)는 통신 장치(200)에 관계된 세션들의 접속 주기 분포를 추출할 수 있다. 탐지장치(100)는 접속 주기가 특정 값 근처인 세션 수가 일정 기준 이상이면, 통신 장치(200)를 공격 수행 장치로 추정할 수 있다.
도 4는 정상적인 접속 유지 시간 특성을 예시적으로 나타내는 그래프이고, 도 5은 본 발명의 한 실시예에 따른 접속 유지 시간 분포를 예시적으로 나타내는 그래프이다.
도 4를 참고하면, 정상 사용자가 개별적인 목적을 위해 특정 서버에 접속하는 경우, 대부분 접속 유지 시간이 일정 기준 이하이고, 접속 유지 시간이 일정 기준 이상인 연결이 약간 존재한다. 즉, 정상 세션의 접속 유지 시간은 롱테일 패턴을 가진다. 또한, 접속 유지 시간은 접속 목적에 따라 다양할 수 있다.
그러나, 프로그램되어 기계적으로 생성되는 명령제어채널은 접속 유지 시간이 고정될 수 있다. 또한, 명령제어채널은 장기간 유지되어 공격자가 명령제어채널을 통해 역방향 접속(Reverse Channel)을 하도록 할 수 있다.
도 5를 참고하면, 탐지장치(100)는 세션들의 접속 유지 시간 분포를 계산한다. 접속 유지 시간 분포는 가로축이 접속 유지 시간값이고, 세로축이 접속 유지 시간값에 해당하는 누적 세션 수로 표시될 수 있다.
도 5의 접속 유지 시간 분포를 보면, 접속 유지 시간이 20초 근처인 세션이 일정 기준 이상 존재한다. 이를 통해 탐지장치(100)는 접속 유지 시간이 20초 근처인 세션들을 명령제어채널로 추정할 수 있고, 명령제어채널로 추정한 세션에 관계된 외부망 장치를 공격자 장치로 추정할 수 있다.
접속 유지 시간 분포는 통계적 정보이므로, 탐지장치(100)는 세션 정보들을 기초로 다양하게 필터링된 세션들을 이용하여 접속 유지 시간 분포 그래프를 만들 수 있다. 예를 들어, 접속 유지 시간 분포 그래프는 하나의 목적지 주소, 또는 하나의 출발지 주소에 관계된 세션들의 접속 유지 시간 분포만을 포함할 수 있다. 또는 접속 유지 시간 분포 그래프는 전체 세션들의 접속 유지 시간 분포를 모두 포함할 수 있다.
접속 유지 시간 분포에서 비정상 여부를 판단하는 방법은 다양할 수 있고, 비정상 여부를 판단하는 기준은 탐지장치(100)에 미리 설정된다. 예를 들면, 정상 세션에 의한 접속 유지 시간 분포를 기준 분포로 설정하고, 기준 분포와 모양이 일정 기준 이상 차이가 나는 경우 분포를 비정상 분포로 판단할 수 있다. 또는 도 5와 같이, 일정 기준 이상의 접속 유지 시간을 가진 세션 수가 일정 기준 이상 존재하는 경우 이 분포를 비정상 분포로 판단할 수 있다.
도 6은 본 발명의 한 실시예에 따른 데이터 크기 분포를 예시적으로 나타내는 그래프이다.
도 6을 참고하면, 탐지장치(100)는 세션들의 송수신 데이터 크기 분포를 계산한다. 송수신 데이터 크기 분포는 가로축이 데이터 크기값이고, 세로축이 데이터 크기값에 해당하는 누적 세션 수로 표시될 수 있다. 송수신 데이터 크기는 내부망에서 외부망으로 나가는(outbound) 데이터 크기와 외부망에서 내부망으로 들어오는(inbound) 데이터 크기를 포함할 수 있다.
공격자에 의해 설치된 악성코드는 공격자가 언제라도 접속할 수 있도록 지속적으로 공격자 장치로 통신 연결을 시도한다. 이때, 지속적인 세션을 생성하더라도 실제 공격자가 명령제어채널을 통해 공격을 수행한 세션은 상대적으로 적다. 즉, 공격 수행 장치와 공격 장치 사이의 통신은 주로 세션을 맺기 위한 목적으로 수행된다. 따라서, 세션을 맺기 위해 주고 받는 데이터는 거의 고정적이므로, 전달되는 데이터 크기(데이터량)는 큰 변화가 없다.
이러한 명령제어채널의 특징에 따라, 공격 수행 장치와 공격 장치 사이에 연결된 세션은 도 7과 같이 일정한 데이터 크기에서 지배적인 세션수를 가진 데이터 크기 분포를 보일 수 있다. 반면, 공격자에 의해 프로그램된 연결이 아니라, 일반적인 사용자가 인터넷에 접속하거나 다운로드를 받는 경우, 송수신 데이터 크기가 제각각이다.
도 7은 본 발명의 한 실시예에 따른 명령제어채널 탐지장치의 블록도이다.
도 7을 참고하면, 탐지장치(100)는 세션 로그 수집부(110), 분석부(130), 그리고 판단부(150)를 포함한다.
세션 로그 수집부(110)는 내부망 통신장치들과 외부망 통신장치들 사이에 생성되는 세션들의 로그 정보를 수집한다.
분석부(130)는 로그 정보를 기초로 세션별 검사 데이터를 생성한다. 검사 데이터는 접속 주기, 접속 유지 시간, 그리고 송수신 데이터 크기 중 적어도 하나를 포함한다.
분석부(130)는 각 세션의 검사 데이터를 이용하여 검사 데이터 분포를 계산한다. 분석부(130)는 접속 주기별 세션수를 포함하는 접속 주기 분포, 접속 유지 시간별 세션수를 포함하는 접속 유지 시간 분포, 데이터 크기별 세션수를 포함하는 데이터 크기 분포 중 적어도 하나를 계산한다.
판단부(150)는 비정상 분포 판단 기준을 기초로 검사 데이터 분포에서 비정상 분포에 해당하는 검사 데이터 값들을 추출한다. 판단부(150)는 검사 데이터 분포에서 일정 기준 이상의 빈도 또는 빈도율을 가지는 검사 데이터 값을 비정상으로 판단할 수 있다. 판단부(150)는 검사 데이터 분포에서 기준 분포와 일정 기준 이상 차이가 나는 검사 데이터 값을 비정상으로 판단할 수 있다.
판단부(150)는 추출한 검사 데이터값에 관계된 세션들을 명령제어채널로 추정한다. 판단부(150)는 복수의 검사 데이터 분포를 종합하여 명령제어채널을 탐지할 수 있다.
도 8은 본 발명의 한 실시예에 따른 명령제어채널 탐지 방법의 흐름도이다.
도 8을 참고하면, 탐지장치(100)는 외부망(20)과 내부망(30) 사이에 연결되는 세션들의 정보를 수집한다(S110). 세션 정보는 세션에 관계된 각종 로그로서, 세션의 출발지 정보, 목적지 정보, 타임스탬프, 접속 유지 시간, 송수신 데이터 크기 등을 포함한다.
탐지장치(100)는 세션 정보를 기초로 세션별 검사 데이터를 생성한다(S120). 검사 데이터는 접속 주기, 접속 유지 시간, 그리고 송수신 데이터 크기 중 적어도 하나를 포함한다.
탐지장치(100)는 각 세션의 검사 데이터를 이용하여 검사 데이터 분포를 계산한다(S130). 탐지장치(100)는 접속 주기별 세션수를 포함하는 접속 주기 분포, 접속 유지 시간별 세션수를 포함하는 접속 유지 시간 분포, 데이터 크기별 세션수를 포함하는 데이터 크기 분포 중 적어도 하나를 계산한다.
탐지장치(100)는 비정상 분포 판단 기준을 기초로 검사 데이터 분포에서 비정상 분포에 해당하는 검사 데이터 값들을 추출한다(S140).
탐지장치(100)는 추출한 검사 데이터값에 관계된 세션들을 명령제어채널로 추정한다(S150). 탐지장치(100)는 복수의 검사 데이터 분포를 종합하여 명령제어채널을 탐지할 수 있다.
이와 같이, 본 발명의 실시예에 따르면 내부망 공격을 위해 반드시 생성되는 명령제어채널의 통신 특성을 분석하여 정상 접속과 악의적 접속을 구분한다. 따라서, 본 발명의 실시예에 따르면 시그니처가 없는 공격이라도 명령제어채널에 의한 공격을 탐지할 수 있다. 본 발명의 실시예에 따르면 점점 정교하게 진화하고 있는 내부망 공격 형태에 대해서도 효과적으로 대응할 수 있다. 본 발명의 실시예에 따르면 변형된 공격이나 암호화된 트래픽에 대해서도 탐지할 수 있으므로, 공격 방법에 관계없이 내부망공격을 탐지할 수 있다.
이상에서 설명한 본 발명의 실시예는 장치 및 방법을 통해서만 구현이 되는 것은 아니며, 본 발명의 실시예의 구성에 대응하는 기능을 실현하는 프로그램 또는 그 프로그램이 기록된 기록 매체를 통해 구현될 수도 있다.
이상에서 본 발명의 실시예에 대하여 상세하게 설명하였지만 본 발명의 권리범위는 이에 한정되는 것은 아니고 다음의 청구범위에서 정의하고 있는 본 발명의 기본 개념을 이용한 당업자의 여러 변형 및 개량 형태 또한 본 발명의 권리범위에 속하는 것이다.

Claims (16)

  1. 제1망의 통신장치와 제2망의 공격자 장치 사이에 연결된 명령제어채널을 탐지하는 장치로서,
    상기 제1망의 적어도 하나의 통신장치와 상기 제2망의 적어도 하나의 통신장치 사이에 생성되는 세션들의 로그 정보를 수집하는 세션 로그 수집부,
    상기 로그 정보를 기초로 세션별 검사 데이터를 생성하고, 상기 세션들의 검사 데이터를 기초로 검사 데이터 분포를 계산하는 분석부, 그리고
    비정상 분포 판단 기준을 기초로 상기 검사 데이터 분포에서 비정상 분포에 해당하는 검사 데이터 값을 추출하고, 추출한 검사 데이터값에 관계된 세션들을 명령제어채널로 추정하는 판단부
    를 포함하는 명령제어채널 탐지장치.
  2. 제1항에서,
    상기 검사 데이터는
    접속 주기, 접속 유지 시간, 그리고 송수신 데이터 크기 중 적어도 어느 하나를 포함하는 명령제어채널 탐지장치.
  3. 제2항에서,
    상기 검사 데이터 분포는
    접속 주기별 세션수를 포함하는 접속 주기 분포, 접속 유지 시간별 세션수를 포함하는 접속 유지 시간 분포, 송수신 데이터 크기별 세션수를 포함하는 데이터 크기 분포 중 어느 하나를 포함하는 명령제어채널 탐지장치.
  4. 제3항에서,
    상기 판단부는
    상기 접속 주기 분포에서 일정 기준 이상의 세션수를 가지는 검사 데이터 값을 비정상 분포로 판단하는 명령제어채널 탐지장치.
  5. 제3항에서,
    상기 판단부는
    상기 접속 유지 시간 분포에서 일정 기준 이상의 세션수를 가지는 검사 데이터 값을 비정상 분포로 판단하는 명령제어채널 탐지장치.
  6. 제3항에서,
    상기 판단부는
    상기 데이터 크기 분포에서 일정 기준 이상의 세션수를 가지는 검사 데이터 값을 비정상 분포로 판단하는 명령제어채널 탐지장치.
  7. 제3항에서,
    상기 판단부는
    상기 접속 주기 분포, 상기 접속 유지 시간 분포, 그리고 상기 데이터 크기 분포 중 적어도 두 개의 분포에서 비정상 분포에 해당하는 세션들을 명령제어채널로 추정하는 명령제어채널 탐지장치.
  8. 제1항에서,
    상기 로그 정보는
    각 세션의 출발지 정보, 목적지 정보, 타임스탬프, 접속 유지 시간, 송수신 데이터 크기 중 적어도 하나를 포함하는 명령제어채널 탐지장치.
  9. 명령제어채널 탐지장치가 제1망의 통신장치와 제2망의 공격자 장치 사이에 연결된 명령제어채널을 탐지하는 방법으로써,
    상기 제1망의 적어도 하나의 통신장치와 상기 제2망의 적어도 하나의 통신장치 사이에 생성되는 세션들의 로그 정보를 기초로 세션별 검사 데이터를 생성하는 단계,
    상기 세션들의 검사 데이터를 기초로 검사 데이터 분포를 계산하는 단계,
    비정상 분포 판단 기준을 기초로 상기 검사 데이터 분포에서 비정상 분포에 해당하는 검사 데이터 값을 추출하는 단계, 그리고
    추출한 검사 데이터값에 관계된 세션들을 명령제어채널로 추정하는 단계
    를 포함하는 명령제어채널 탐지방법.
  10. 제9항에서,
    상기 검사 데이터는
    접속 주기, 접속 유지 시간, 그리고 송수신 데이터 크기 중 적어도 어느 하나를 포함하는 명령제어채널 탐지방법.
  11. 제10항에서,
    상기 검사 데이터 분포는
    접속 주기별 세션수를 포함하는 접속 주기 분포, 접속 유지 시간별 세션수를 포함하는 접속 유지 시간 분포, 송수신 데이터 크기별 세션수를 포함하는 데이터 크기 분포 중 어느 하나를 포함하는 명령제어채널 탐지방법.
  12. 제11항에서,
    상기 비정상 분포 판단 기준은 세션수에 관계된 기준값이고,
    상기 비정상 분포에 해당하는 검사 데이터 값들을 추출하는 단계는
    상기 검사 데이터 분포에서 상기 기준값 이상의 세션수를 가지는 검사 데이터값을 비정상 분포로 판단하는 명령제어채널 탐지방법.
  13. 제11항에서,
    상기 비정상 분포에 해당하는 검사 데이터 값들을 추출하는 단계는
    상기 접속 주기 분포, 상기 접속 유지 시간 분포, 그리고 상기 데이터 크기 분포 중 적어도 두 개의 분포 각각에서 비정상 분포에 해당하는 검사 데이터 값들을 추출하고,
    상기 명령제어채널로 추정하는 단계는
    추출한 검사 데이터 값들을 기초로 상기 적어도 두 개의 분포 모두에서 비정상 분포에 해당하는 세션들을 명령제어로 추정하는 명령제어채널 탐지방법.
  14. 명령제어채널 탐지장치가 제1 통신장치와 제2 통신장치 사이에 연결된 명령제어채널을 탐지하는 방법으로써,
    상기 제1 통신장치가 상기 제2 통신장치에 접속하여 생성된 세션들의 로그 정보를 수집하는 단계,
    상기 로그 정보를 기초로 세션별 검사 데이터를 생성하는 단계,
    상기 세션들의 검사 데이터를 기초로 검사 데이터별 세션수에 관계된 검사 데이터 분포를 획득하는 단계,
    상기 검사 데이터 분포에서 일정 기준 이상의 세션수를 가지는 검사 데이터 값이 존재하는지 판단하는 단계, 그리고
    상기 일정 기준 이상의 세션수를 가지는 검사 데이터 값이 존재하는 경우, 상기 제2 통신장치를 공격자 장치로 추정하는 단계
    를 포함하는 명령제어채널 탐지방법.
  15. 제14항에서,
    상기 검사 데이터는
    접속 주기, 접속 유지 시간, 그리고 송수신 데이터 크기 중 적어도 어느 하나를 포함하는 명령제어채널 탐지방법.
  16. 제15항에서,
    상기 검사 데이터 분포는
    접속 주기별 세션수를 포함하는 접속 주기 분포, 접속 유지 시간별 세션수를 포함하는 접속 유지 시간 분포, 송수신 데이터 크기별 세션수를 포함하는 데이터 크기 분포 중 어느 하나를 포함하는 명령제어채널 탐지방법.
PCT/KR2014/001551 2014-02-25 2014-02-26 명령제어채널 탐지장치 및 방법 Ceased WO2015129934A1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US15/120,526 US10218725B2 (en) 2014-02-25 2014-02-26 Device and method for detecting command and control channel

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2014-0022130 2014-02-25
KR1020140022130A KR102137089B1 (ko) 2014-02-25 2014-02-25 명령제어채널 탐지장치 및 방법

Publications (2)

Publication Number Publication Date
WO2015129934A1 true WO2015129934A1 (ko) 2015-09-03
WO2015129934A8 WO2015129934A8 (ko) 2015-11-05

Family

ID=54009240

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2014/001551 Ceased WO2015129934A1 (ko) 2014-02-25 2014-02-26 명령제어채널 탐지장치 및 방법

Country Status (3)

Country Link
US (1) US10218725B2 (ko)
KR (1) KR102137089B1 (ko)
WO (1) WO2015129934A1 (ko)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10218725B2 (en) 2014-02-25 2019-02-26 Naru Security, Inc. Device and method for detecting command and control channel
WO2021063068A1 (zh) * 2019-09-30 2021-04-08 全球能源互联网研究院有限公司 运维管控、运维分析方法、装置、系统及存储介质

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016169623A1 (en) * 2015-04-24 2016-10-27 Nokia Solutions And Networks Oy Mitigation of malicious software in a mobile communications network
US10721212B2 (en) * 2016-12-19 2020-07-21 General Electric Company Network policy update with operational technology
JP6972714B2 (ja) * 2017-07-04 2021-11-24 富士通株式会社 データ取得プログラム、装置、及び方法
US10462187B2 (en) * 2017-08-28 2019-10-29 General Electric Company Network security policy configuration based on predetermined command groups
KR102423126B1 (ko) * 2018-10-26 2022-07-21 삼성전자주식회사 전자 장치 및 그 제어 방법
US11070982B1 (en) 2020-04-15 2021-07-20 T-Mobile Usa, Inc. Self-cleaning function for a network access node of a network
US11824881B2 (en) 2020-04-15 2023-11-21 T-Mobile Usa, Inc. On-demand security layer for a 5G wireless network
US11444980B2 (en) 2020-04-15 2022-09-13 T-Mobile Usa, Inc. On-demand wireless device centric security for a 5G wireless network
US11799878B2 (en) 2020-04-15 2023-10-24 T-Mobile Usa, Inc. On-demand software-defined security service orchestration for a 5G wireless network
US11206542B2 (en) 2020-05-14 2021-12-21 T-Mobile Usa, Inc. 5G cybersecurity protection system using personalized signatures
US11115824B1 (en) 2020-05-14 2021-09-07 T-Mobile Usa, Inc. 5G cybersecurity protection system
US11057774B1 (en) 2020-05-14 2021-07-06 T-Mobile Usa, Inc. Intelligent GNODEB cybersecurity protection system
US11582259B1 (en) * 2021-11-23 2023-02-14 Radware Ltd. Characterization of HTTP flood DDoS attacks
US11552989B1 (en) 2021-11-23 2023-01-10 Radware Ltd. Techniques for generating signatures characterizing advanced application layer flood attack tools
CN118301022B (zh) * 2022-12-27 2025-11-18 锐捷网络股份有限公司 一种会话数超限检测的方法及装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20050090640A (ko) * 2004-03-09 2005-09-14 유넷시스템주식회사 유해 트래픽 분석 시스템 및 방법
KR20090005662A (ko) * 2007-07-09 2009-01-14 주식회사 엘지씨엔에스 이상 트래픽 차단 장치 및 방법
KR20110009811A (ko) * 2009-07-23 2011-01-31 충남대학교산학협력단 감사자료 기반의 웹공격 이벤트 추출 시스템 및 방법

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7627893B2 (en) * 2005-10-20 2009-12-01 International Business Machines Corporation Method and system for dynamic adjustment of computer security based on network activity of users
JP2010102385A (ja) * 2008-10-21 2010-05-06 Kddi Corp ユーザ分類装置、広告配信装置、ユーザ分類方法、広告配信方法、およびプログラム
US8301786B2 (en) * 2010-02-10 2012-10-30 Cisco Technology, Inc. Application session control using packet inspection
US20150205957A1 (en) * 2010-11-29 2015-07-23 Biocatch Ltd. Method, device, and system of differentiating between a legitimate user and a cyber-attacker
US8966059B2 (en) * 2011-04-06 2015-02-24 Microsoft Technology Licensing, Llc Cached data detection
US10061860B2 (en) * 2011-07-29 2018-08-28 Oath Inc. Method and system for personalizing web page layout
KR102137089B1 (ko) 2014-02-25 2020-07-23 (주)나루씨큐리티 명령제어채널 탐지장치 및 방법

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20050090640A (ko) * 2004-03-09 2005-09-14 유넷시스템주식회사 유해 트래픽 분석 시스템 및 방법
KR20090005662A (ko) * 2007-07-09 2009-01-14 주식회사 엘지씨엔에스 이상 트래픽 차단 장치 및 방법
KR20110009811A (ko) * 2009-07-23 2011-01-31 충남대학교산학협력단 감사자료 기반의 웹공격 이벤트 추출 시스템 및 방법

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10218725B2 (en) 2014-02-25 2019-02-26 Naru Security, Inc. Device and method for detecting command and control channel
WO2021063068A1 (zh) * 2019-09-30 2021-04-08 全球能源互联网研究院有限公司 运维管控、运维分析方法、装置、系统及存储介质

Also Published As

Publication number Publication date
US20170013004A1 (en) 2017-01-12
US10218725B2 (en) 2019-02-26
KR20150100383A (ko) 2015-09-02
WO2015129934A8 (ko) 2015-11-05
KR102137089B1 (ko) 2020-07-23

Similar Documents

Publication Publication Date Title
WO2015129934A1 (ko) 명령제어채널 탐지장치 및 방법
JP5518594B2 (ja) 内部ネットワーク管理システム及び内部ネットワーク管理方法及びプログラム
CN105409164B (zh) 通过使用硬件资源来检测网络业务中的矛盾的根套件检测
CN104937886B (zh) 日志分析装置、信息处理方法
KR101236822B1 (ko) Ａｒｐ록킹 기능을 이용한 ａｒｐ스푸핑 공격 탐지 방법과 그 방법을 실행하기 위한 프로그램이 기록된 기록매체
US20150143454A1 (en) Security management apparatus and method
WO2012153913A1 (ko) 차단서버를 이용한 스푸핑 공격 방어방법
US20160366171A1 (en) Extraction criterion determination method, communication monitoring system, extraction criterion determination apparatus and extraction criterion determination program
WO2015102446A1 (ko) 왕복 시간 변화를 이용하여 익명 네트워크를 통한 우회 접속을 탐지하는 방법
US20210058411A1 (en) Threat information extraction device and threat information extraction system
WO2015194829A2 (ko) 인터넷 접속 요청을 하는 클라이언트 단말의 인터넷 접속 요청 트래픽으로부터 동일한 공인 ip를 이용하는 사설 네트워크상의 복수개의 클라이언트 단말 중에서 추가 비지정 도메인 네임을 구비한 웹서버에 의해 선별된 디바이스의 대수를 검출하는 방법 및 공인 ip 공유 상태의 디바이스의 선별적인 검출 시스템
JP2014123996A (ja) ネットワーク監視装置及びプログラム
EP3144845B1 (en) Detection device, detection method, and detection program
JP3790486B2 (ja) パケット中継装置、パケット中継システムおよびオトリ誘導システム
WO2018056582A1 (ko) 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법
WO2014058158A1 (ko) 온라인 서비스로 제공되는 저작 콘텐츠의 보호를 위한 콘텐츠 유통 로그 에이전트 및 운영방법
CN116827674A (zh) 一种基于网络通信安全的防护方法
KR100651749B1 (ko) 알려지지 않은 악성 트래픽 탐지 방법 및 그 장치
US11451584B2 (en) Detecting a remote exploitation attack
WO2012002613A1 (ko) 모바일 기기의 악성 코드가 생성하는 네트워크 데이터를 제어하는 네트워크 데이터 제어 장치 및 네트워크 데이터 제어 방법
KR100862321B1 (ko) 시그니처를 사용하지 않는 네트워크 공격 탐지 및 차단방법 및 장치
KR101074198B1 (ko) 유해 트래픽 발생 호스트 격리 방법 및 시스템
CN119299232B (zh) 一种异构网络中实现统一威胁管理的方法及系统
WO2014107028A1 (ko) 악성코드 침입 방지시스템 및 악성코드 침입 방지시스템의 동작 방법
KR20070073293A (ko) 다중 포트를 지원하는 침입 방지 시스템 및 그 침입 방지 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14883708

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 15120526

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14883708

Country of ref document: EP

Kind code of ref document: A1