[논문 리뷰] An Information-Theoretical View of Network-Aware Malware Attacks

Zesheng Chen, Chuanyi Ji|ArXiv.org|2008. 05. 06.

Network Security and Intrusion Detection참고 문헌 23인용 수 4

한 줄 요약

이 논문은 레니 엔트로피를 사용하여 비균일한 취약 호스트 분포가 네트워크 인식 멀웨어 확산에 미치는 영향을 정보 이론 프레임워크로 정량화함으로써, 네트워크 인식 멀웨어가 무작위 스캐너보다 비균일성 요인만큼 빠른 감염 속도를 달성할 수 있음을 보여준다. 또한, 취약 호스트가 집합적으로 존재하는 한, 호스트 기반 보호 조치나 IPv6 도입이 제한적인 저항력을 보이며, 이는 네트워크 인식 멀웨어가 IPv6 환경에서도 잠재적인 제로데이 위협이 될 수 있음을 시사한다.

ABSTRACT

This work investigates three aspects: (a) a network vulnerability as the non-uniform vulnerable-host distribution, (b) threats, i.e., intelligent malwares that exploit such a vulnerability, and (c) defense, i.e., challenges for fighting the threats. We first study five large data sets and observe consistent clustered vulnerable-host distributions. We then present a new metric, referred to as the non-uniformity factor, which quantifies the unevenness of a vulnerable-host distribution. This metric is essentially the Renyi information entropy and better characterizes the non-uniformity of a distribution than the Shannon entropy. Next, we analyze the propagation speed of network-aware malwares in view of information theory. In particular, we draw a relationship between Renyi entropies and randomized epidemic malware-scanning algorithms. We find that the infection rates of malware-scanning methods are characterized by the Renyi entropies that relate to the information bits in a non-unform vulnerable-host distribution extracted by a randomized scanning algorithm. Meanwhile, we show that a representative network-aware malware can increase the spreading speed by exactly or nearly a non-uniformity factor when compared to a random-scanning malware at an early stage of malware propagation. This quantifies that how much more rapidly the Internet can be infected at the early stage when a malware exploits an uneven vulnerable-host distribution as a network-wide vulnerability. Furthermore, we analyze the effectiveness of defense strategies on the spread of network-aware malwares. Our results demonstrate that counteracting network-aware malwares is a significant challenge for the strategies that include host-based defense and IPv6.

연구 동기 및 목표

• 비균일한 취약 호스트 분포가 네트워크 취약점을 어떻게 악용할 수 있는지 이해하기 위해.
• 정보 이론을 사용하여 취약 호스트 분포의 불균형성과 멀웨어 확산 속도 간의 관계를 정량화하기 위해.
• 호스트 기반 보호 및 IPv6 도입과 같은 일반적인 방어 전략이 네트워크 인식 멀웨어에 대해 얼마나 효과적인지 평가하기 위해.
• 비균일성 분포를 악용함으로써 네트워크 인식 멀웨어가 근사 최적의 감염 속도를 달성할 수 있음을 입증하기 위해.

제안 방법

• 비균일성 요인은 두 번째 순서의 레니 엔트로피로 정의되며, 샤논 엔트로피보다 취약 호스트 분포의 불균형성을 더 효과적으로 측정한다.
• 논문은 멀웨어 스캐닝을 확률적 유행병 과정으로 모델링하고, 감염 속도를 다양한 순서의 레니 엔트로피와 연결한다.
• 분석적 표현을 유도하여 네트워크 인식 멀웨어의 감염 속도를 취약 호스트 위치에 대한 불확실성(레니 엔트로피)과 연결한다.
• 다섯 개의 대규모 측정 데이터를 활용하여 비균일성 요인을 계산하였으며, 다양한 네트워크 및 응용 분야에서 일관되게 높은 값을 보였다.
• 국소 스캐닝과 수정된 순차 스캐닝의 감염 속도를 무작위 스캐닝과 비교하여 모델을 검증하였으며, 거의 이상적인 성능 향상을 보였다.
• 서브넷 감염 속도를 외삽하여 IPv6의 멀웨어 확산에 미치는 영향을 분석하였으며, 클러스터링이 지속된다면 IPv6가 네트워크 인식 멀웨어를 본질적으로 느리게 하지 않는다는 것을 보여주었다.

실험 결과

연구 질문

• RQ1 취약 호스트 분포의 비균형성을 멀웨어 확산에 미치는 영향을 반영할 수 있는 방식으로 어떻게 정량화할 수 있는가?
• RQ2 네트워크 인식 멀웨어가 감염 속도 측면에서 무작위 스캐닝 멀웨어보다 얼마나 뛰어나게 성능을 내는가?
• RQ3 다양한 무작위 스캐닝 알고리즘은 레니 엔트로피와 같은 정보 이론적 측정치와 어떻게 관련이 있는가?
• RQ4 호스트 기반 방어 조치나 IPv6 도입이 네트워크 인식 멀웨어의 위협을 효과적으로 완화할 수 있는가?
• RQ5 비균일한 취약 호스트 분포를 악용할 때 멀웨어 감염 속도의 이론적 상한선은 무엇인가?

주요 결과

• 두 번째 순서의 레니 엔트로피를 기반으로 한 비균일성 요인은 다섯 개의 실측 데이터 세트에서 일관되게 높은 값을 보이며, 취약 호스트의 집합적 존재를 시사한다.
• 네트워크 인식 멀웨어는 초기 확산 단계에서 무작위 스캐닝 멀웨어보다 비균일성 요인만큼 빠른 감염 속도를 확보할 수 있다.
• 국소 스캐닝과 수정된 순차 스캐닝은 최적의 중요도 스캐닝과 유사한 감염 속도를 달성하여 비균일성 분포를 근사적으로 최적화하는 것을 보여준다.
• IPv6에서 /32 스마트 스캐너의 감염 속도는 2.2×10⁻³초당로 추정되며, 이는 IPv4의 코드 레드 v2 웜(5×10⁻⁴)보다 빠르며, 이는 IPv6가 이러한 위협을 본질적으로 느리게 하지 않는다는 것을 보여준다.
• 호스트 기반 방어 조치는 거의 완전한 배포가 이루어져야 효과적이며, 취약 호스트가 여전히 집합적으로 존재한다면 IPv6는 거의 저항력을 보이지 않아, 네트워크 인식 멀웨어가 IPv6 환경에서 잠재적인 제로데이 위협이 될 수 있다.
• 정보 이론적 프레임워크는 취약 호스트 분포에서 추출된 정보 비트와 실제로 멀웨어의 확산 속도 사이의 관계를 성공적으로 연결하였다.