[논문 리뷰] Characterizing Internet Worm Infection Structure

Qian Wang, Zesheng Chen외 1명|arXiv (Cornell University)|2010. 01. 08.

Network Security and Intrusion Detection참고 문헌 34인용 수 4

한 줄 요약

이 논문은 확률적 모델링과 순차적 성장 모델을 사용하여 인터넷 웜의 감염 구조를 분석하며, 각 노드당 감염된 호스트 수(자식 수)가 0.5의 확률을 가진 기하분포를 따르고, 세대 수는 포isson 분포를 따른다는 것을 밝혀냈다. 주요 발견은 감염된 호스트의 절반은 더 이상 다른 호스트를 감염시키지 않으며, 98% 이상의 호스트가 최대 5명의 자식을 가지며, 평균 경로 길이가 감염 크기와 함께 로그적으로 증가한다는 것이다. 이는 감염 크기에 비례하여 효율적으로 봇을 탐지할 수 있음을 시사한다.

ABSTRACT

Internet worm infection continues to be one of top security threats and has been widely used by botnets to recruit new bots. In this work, we attempt to quantify the infection ability of individual hosts and reveal the key characteristics of the underlying topology formed by worm infection, i.e., the number of children and the generation of the worm infection family tree. Specifically, we first apply probabilistic modeling methods and a sequential growth model to analyze the infection tree of a wide class of worms. We analytically and empirically find that the number of children has asymptotically a geometric distribution with parameter 0.5. As a result, on average half of infected hosts never compromise any vulnerable host, over 98% of infected hosts have no more than five children, and a small portion of infected hosts have a large number of children. We also discover that the generation follows closely a Poisson distribution and the average path length of the worm infection family tree increases approximately logarithmically with the total number of infected hosts. Next, we empirically study the infection structure of localized-scanning worms and surprisingly find that most of the above observations also apply to localized-scanning worms. Finally, we apply our findings to develop bot detection methods and study potential countermeasures for a botnet (e.g., Conficker C) that uses scan-based peer discovery to form a P2P-based botnet. Specifically, we demonstrate that targeted detection that focuses on the nodes with the largest number of children is an efficient way to expose bots. For example, our simulation shows that when 3.125% nodes are examined, targeted detection can reveal 22.36% bots. However, we also point out that future botnets may limit the maximum number of children to weaken targeted detection, without greatly slowing down the speed of worm infection.

연구 동기 및 목표

• 손상된 호스트들이 형성하는 감염 가계도를 분석하여 웜 감염의 마이크로 수준 구조를 이해하는 것.
• 생산하는 자식 수(감염된 후손)의 수를 통해 개별 호스트의 감염 능력을 정량화하는 것.
• 감염 트리의 세대 구조를 모델링하고 총 감염 수에 비례하여 평균 경로 길이가 어떻게 변화하는지 규명하는 것.
• 랜덤 스캐닝 웜의 발견 결과가 국소 스캐닝 웜에도 일반화되는지 평가하는 것.
• 구조적 통찰을 바탕으로 Conficker C와 같은 P2P 봇넷에 대한 대상 지향 탐지 방법을 개발하는 것.

제안 방법

• 감염 트리에서 자식 수와 세대의 결합 확률 분포를 유도하기 위해 확률적 모델링과 순차적 성장 모델을 적용하였다.
• z-변환과 차분 방정식을 사용하여 기댓값 E[C] = (n−1)/n 및 E[G] = Hₙ − 1를 해석적으로 유도하였다.
• 자식 수가 渐진적으로 기하분포를 따르며, 확률 매개변수 0.5를 가짐을 증명하였으며, 이는 P(C=i) = (1/2)^(i+1)로 표현된다.
• 세대 분포가 渐진적으로 평균 Hₙ − 1를 가진 포isson 분포를 따름을 입증하였다.
• 국소 스캐닝 웜에 대한 시뮬레이션과 실증 분석을 통해 분석 결과의 타당성을 검증하였다.
• 자식 수가 가장 많은 노드에 집중하는 타겟 탐지 기법을 제안하였으며, 자식 수 분포의 파워 라이크 꼬리 특성을 활용하였다.

실험 결과

연구 질문

• RQ1 웜 감염 트리에서 감염된 호스트당 자식 수의 통계적 분포는 무엇인가?
• RQ2 감염된 호스트의 세대(레벨) 분포는 어떻게 되며, 평균 경로 길이는 총 감염 호스트 수에 비례하여 어떻게 변화하는가?
• RQ3 랜덤 스캐닝 웜의 구조적 특성이 국소 스캐닝 웜에도 동일하게 적용되는가?
• RQ4 감염 트리의 구조적 특성을 활용하여 Conficker C와 같은 P2P 봇넷에서 효율적인 봇 탐지 메커니즘을 설계할 수 있는가?
• RQ5 최대 자식 수를 제한할 경우 타겟 지향 탐지의 효과성은 어떻게 영향을 받는가?

주요 결과

• 감염된 호스트당 자식 수는 渐진적으로 확률 매개변수 0.5를 가진 기하분포를 따르며, 이는 감염된 호스트의 절반은 더 이상 다른 호스트를 감염시키지 않는다는 것을 의미한다.
• 98% 이상의 감염된 호스트가 최대 5명의 자식을 가지며, 이는 감염 확산의 대부분을 담당하는 호스트가 극소수임을 시사한다.
• 감염된 호스트의 세대 수는 Hₙ − 1를 평균으로 가지는 포isson 분포를 따르며, 여기서 Hₙ은 n번째 조화수이다.
• 감염 트리의 평균 경로 길이는 감염 호스트 총 수와 함께 약간의 로그 함수로 증가한다.
• 자식 수 기준 상위 3.125%의 노드에 집중한 타겟 탐지 방법은 시뮬레이션에서 봇의 22.36%를 탐지할 수 있었으며, 이는 매우 높은 탐지 효율성을 보여준다.
• 미래의 봇넷은 타겟 지향 탐지를 피하기 위해 최대 자식 수를 제한할 수 있으며, 이는 감염 속도를 크게 저하시키지 않고도 가능할 수 있다.