[논문 리뷰] Detection and Prevention of New and Unknown Malware using Honeypots

Shishir Kumar, Durgesh Pant|ArXiv.org|2009. 12. 11.

Network Security and Intrusion Detection참고 문헌 6인용 수 5

한 줄 요약

이 논문은 기존에 알려지지 않은 악성코드를 위해 실시간으로 악성코드 방지 서명(치료제)를 생성하고 확산하는 허니팟 기반의 새로운 시스템을 제안한다. 이 시스템은 악성코드의 자체 확산 메커니즘을 모방하여, 기존 보안 솔루션이 대응하기 전에 신속하게 새로운 및 제로데이 위협을 억제할 수 있도록 한다. 자가 복제 가능한 방어 수단으로서 작동함으로써, 시스템은 새로운 악성코드에 대해 실시간으로 즉각적인 대응이 가능해진다.

ABSTRACT

Security has become ubiquitous in every domain today as newly emerging malware pose an ever-increasing perilous threat to systems. Consequently, honeypots are fast emerging as an indispensible forensic tool for the analysis of malicious network traffic. Honeypots can be considered to be traps for hackers and intruders and are generally deployed complimentary to Intrusion Detection Systems (IDS) and Intrusion Prevention Systems (IPS) in a network. They help system administrators perform a rigorous analysis of external and internal attacks on their networks. They are also used by security firms and research labs to capture the latest variants of malware. However, honeypots would serve a slightly different purpose in our proposed system. We intend to use honeypots for generating and broadcasting instant cures for new and unknown malware in a network. The cures which will be in the form of on-the-fly anti-malware signatures would spread in a fashion that is similar to the way malware spreads across networks. The most striking advantage of implementing this technology is that an effective initial control can be exercised on malware. Proposed system would be capable of providing cures for new fatal viruses which have not yet been discovered by prime security firms of the world.

연구 동기 및 목표

• 기존 검사 기법으로는 회피하는 새로운 악성코드의 증가하는 위협에 대응하기 위해.
• 보안 기업에서 서명 업데이트에 걸리는 지연을 극복하기 위해 신속한 대응을 가능하게 하기 위해.
• 허니팟을 단순한 감시 수단이 아닌, 치료제를 생성하고 확산시키는 능동적 방어 수단으로 활용하기 위해.
• 자기 복제 가능한 악성코드 방지 서명을 통해 제로데이 악성코드를 신속하게 차단하기 위해.
• 기존의 IDS/IPS 시스템과 실시간 자동 대응 기능을 갖춘 능동적 방어 모델을 보완하기 위해.

제안 방법

• 네트워크 내에 허니팟을 배치하여 새로운 악성코드 변종을 유인하고 캡처한다.
• 캡처된 악성코드의 동작을 분석하여 실시간으로 즉각적인 악성코드 방지 서명(치료제)를 생성한다.
• 실제 악성코드가 네트워크를 통해 확산되는 패턴을 모방하는 치료제의 확산 메커니즘을 설계한다.
• 치료제가 감염되었거나 취약한 시스템에 신속하고 자율적으로 배포되도록 보장한다.
• 기존 네트워크 보안 인fra와 통합하여 치료제의 자동 배포를 가능하게 한다.
• 허니팟의 함정 역할을 통해 감지뿐만 아니라 서명 배포를 통한 능동적 중립화를 실현한다.

실험 결과

연구 질문

• RQ1 허니팟은 감지 외에도 악성코드 방지 서명을 능동적으로 확산시켜 알려지지 않은 악성코드를 중화시킬 수 있는가?
• RQ2 자기 복제 가능한 치료제가 기존 방어 수단이 대응하기 전에 네트워크를 통해 얼마나 효과적으로 퍼져나갈 수 있는가?
• RQ3 치료제가 정확하고 안전하다는 것을 보장하기 위한 메커니즘은 무엇인가? 특히 오류 검출이나 의도하지 않은 시스템 영향을 방지하기 위해.
• RQ4 치료제가 공격자에 의해 악용되거나 오용되는 것을 방지하기 위해 시스템은 어떻게 제어를 유지하는가?
• RQ5 기존 서명 기반 방어 수단에 비해 이 방법은 신규 악성코드의 취약 기간을 얼마나 줄일 수 있는가?

주요 결과

• 제안된 시스템은 실시간으로 악성코드 방지 서명을 생성하고 확산시켜 새로운 악성코드에 즉각 대응할 수 있다.
• 악성코드의 확산 방식을 모방함으로써, 전통적인 보안 업데이트보다 빠르게 취약한 시스템에 도달할 수 있다.
• 허니팟 기반 접근법은 기존 IDS/IPS 시스템과 보완되는 능동적 방어 레이어를 제공한다.
• 주요 보안 기업이 인식하기 전에 치명적인 알려지지 않은 바이러스의 치료제를 제공할 수 있다.
• 자율적이고 자기 복제 가능한 방어 서명을 통해 제로데이 위협의 복구 시간을 단축시키는 실현 가능한 메커니즘이 입증되었다.
• 이 방법은 허니팟이 네트워크 보안에서 감지 및 능동적 대응 도구로 기능하는 새로운 패러다임을 수립한다.