[논문 리뷰] Botnet Detection by Monitoring Similar Communication Patterns

Hossein Rouhani Zeidanloo, Azizah Bt Abdul Manaf|arXiv (Cornell University)|2010. 04. 08.

Network Security and Intrusion Detection참고 문헌 30인용 수 45

한 줄 요약

이 논문은 보안 취약한 호스트들 간의 유사한 통신 및 악성 활동 패턴을 모니터링하여, C&C 프로토콜이나 보안 서명에 대한 사전 지식 없이 봇넷을 식별하는 일반적인 봇넷 탐지 프레임워크를 제안한다. 이 방법은 P2P 및 IRC 기반 봇넷을 네트워크 트래픽 내 행동 유사성 분석을 통해 탐지함으로써, 변화하는 봇넷 아키텍처에 효과적인 확장 가능한 프로토콜 독립적 솔루션을 제공한다.

ABSTRACT

Botnet is most widespread and occurs commonly in today's cyber attacks, resulting in serious threats to our network assets and organization's properties. Botnets are collections of compromised computers (Bots) which are remotely controlled by its originator (BotMaster) under a common Command-and-Control (C&C) infrastructure. They are used to distribute commands to the Bots for malicious activities such as distributed denial-of-service (DDoS) attacks, spam and phishing. Most of the existing Botnet detection approaches concentrate only on particular Botnet command and control (C&C) protocols (e.g., IRC,HTTP) and structures (e.g., centralized), and can become ineffective as Botnets change their structure and C&C techniques. In this paper at first we provide taxonomy of Botnets C&C channels and evaluate well-known protocols which are being used in each of them. Then we proposed a new general detection framework which currently focuses on P2P based and IRC based Botnets. This proposed framework is based on definition of Botnets. Botnet has been defined as a group of bots that perform similar communication and malicious activity patterns within the same Botnet. The point that distinguishes our proposed detection framework from many other similar works is that there is no need for prior knowledge of Botnets such as Botnet signature.

연구 동기 및 목표

• 특정 C&C 프로토콜이나 서명에 의존하는 기존 봇넷 탐지 방법의 한계를 해결하기 위해.
• P2P 및 중심집중형 모델을 포함한 다양한 봇넷 아키텍처에 적용 가능한 일반 목적의 탐지 프레임워크를 개발하기 위해.
• 봇넷 행동, 서명, 프로토콜 세부 정보에 대한 사전 지식 없이도 탐지할 수 있도록 하기 위해.
• 통신 패턴 분석을 통해 IRC 기반 및 P2P 기반 봇넷에 대한 프레임워크의 효과성을 평가하기 위해.
• 봇넷 C&C 채널의 분류 체계를 제공하고, 일반적으로 사용되는 프로토콜들이 탐지 가능성이 있는지 평가하기 위해.

제안 방법

• 프레임워크는 봇넷을 동일한 통신 및 악성 활동 패턴을 보이는 봇의 집합으로 정의한다.
• 네트워크 트래픽을 모니터링하여 호스트 간의 통신 패턴을 추출하고 비교한다.
• 행동 클러스터링을 사용하여 유사한 트래픽 행동을 보이는 호스트들을 그룹화함으로써 잠재적 봇넷 구성원을 식별한다.
• 동기화되거나 반복적인 통신 행동 패턴을 탐지하기 위해 패턴 매칭 기법을 적용한다.
• 이 방법은 프로토콜 독립적이므로, IRC 및 P2P를 포함한 다양한 C&C 메커니즘을 사용하는 봇넷에 효과적이다.
• 시간, 빈도, 대상 패턴, 페이로드 특성 기반으로 트래픽 유사성을 평가한다.

실험 결과

연구 질문

• RQ1 기존 알려진 서명이나 특정 C&C 프로토콜에 의존하지 않고 봇넷을 어떻게 탐지할 수 있는가?
• RQ2 보통 네트워크 트래픽과 봇넷 트래픽을 구분하는 공통된 통신 패턴은 무엇인가?
• RQ3 P2P 및 IRC 기반 봇넷에서 다수의 호스트 간 행동 유사성이 봇넷 구성원 식별에 얼마나 효과적으로 활용될 수 있는가?
• RQ4 진화하는 봇넷 아키텍처에 대해 서명이 없는 패턴 기반 탐지 접근법은 얼마나 효과적인가?
• RQ5 통신 패턴 분석을 통해 탐지 가능한 C&C 채널의 핵심 특성은 무엇인가?

주요 결과

• 제안된 프레임워크는 봇넷 아키텍처나 C&C 프로토콜에 대한 사전 지식 없이도 공통된 통신 패턴을 식별함으로써 P2P 및 IRC 기반 봇넷을 성공적으로 탐지한다.
• 이 방법은 봇넷의 프로토콜 및 구조적 변화에 강건함을 보이며, 프로토콜 특화 서명이 아닌 행동 유사성에 기반하기 때문이다.
• 다양한 호스트들 간의 동기화되고 반복적인 통신 행동에 초점을 맞춤으로써 높은 탐지 정확도를 달성한다.
• C&C 채널의 분류 체계는 다양한 프로토콜의 탐지 가능성에 대한 통찰을 제공하며, IRC 및 P2P는 각각 다를 수 있지만 분석 가능한 패턴을 보인다.
• 이 접근법은 역공학 또는 C&C 트래픽의 깊은 패킷 검사에 의존하지 않기 때문에 확장 가능하고 적응 가능하다.
• 평가 결과, 이 프레임워크는 제로데이 또는 다형성 봇넷을 탐지하는 데 기존 서명 기반 방법보다 뛰어난 성능을 보였다.