[논문 리뷰] Hands Off my Database: Ransomware Detection in Databases through Dynamic Analysis of Query Sequences

Lukas Iffländer, Alexandra Dmitrienko외 3명|arXiv (Cornell University)|2019. 07. 15.

Advanced Malware Detection Techniques참고 문헌 35인용 수 6

한 줄 요약

이 논문은 데이터베이스에서 서버 측 랜섬웨어를 런타임으로 탐지하는 첫 번째 시스템인 DIMAQS를 제안한다. 색상이 부여된 페트리 네트워크(CPNs)를 사용하여 모든 사용자 연결을 통해 동적 쿼리 시퀀스를 분석하며, MySQL 플러그인 프로토타입에서 100% 정확도를 달성하면서 성능 오버헤드가 5% 미만이었다. 이는 위셔 스타일 랜섬웨어가 특징으로 하는 악성 삭제 및 삽입 패턴을 거짓 경고 없이 정확히 식별한다.

ABSTRACT

Ransomware is an emerging threat which imposed a \$ 5 billion loss in 2017 and is predicted to hit \$ 11.5 billion in 2019. While initially targeting PC (client) platforms, ransomware recently made the leap to server-side databases - starting in January 2017 with the MongoDB Apocalypse attack, followed by other attack waves targeting a wide range of DB types such as MongoDB, MySQL, ElasticSearch, Cassandra, Hadoop, and CouchDB. While previous research has developed countermeasures against client-side ransomware (e.g., CryptoDrop and ShieldFS), the problem of server-side ransomware has received zero attention so far. In our work, we aim to bridge this gap and present DIMAQS (Dynamic Identification of Malicious Query Sequences), a novel anti-ransomware solution for databases. DIMAQS performs runtime monitoring of incoming queries and pattern matching using Colored Petri Nets (CPNs) for attack detection. Our system design exhibits several novel techniques to enable efficient detection of malicious query sequences globally (i.e., without limiting detection to distinct user connections). Our proof-of-concept implementation targets MySQL servers. The evaluation shows high efficiency with no false positives and no false negatives and very moderate performance overhead of under 5%. We will publish our data sets and implementation allowing the community to reproduce our tests and compare to our results.

연구 동기 및 목표

• MySQl, MongoDB, Cassandra와 같은 데이터베이스를 대상으로 하는 서버 측 랜섬웨어의 새로운 위협에 대응하기 위해.
• 사용자 세션에 종속되지 않고 전역적으로 악성 쿼리 시퀀스를 식별할 수 있는 런타임 탐지 메커니즘을 개발하기 위해.
• 기존의 클라이언트 측 랜섬웨어 탐지 기법은 데이터를 암호화하는 것이 아니라 삭제하는 데이터베이스 위셔에 적용되지 않는다는 점을 해결하기 위해.
• 기존 데이터베이스 시스템과 호환되는 확장 가능하고 효율적이며 확장 가능한 탐지 프레임워크를 설계하기 위해.
• 재현 가능성을 위해 오픈소스 데이터셋과 코드를 제공하는 MySQL용 프로토타입 구현을 제공하기 위해.

제안 방법

• 색상이 부여된 페트리 네트워크(CPNs)를 사용하여 악성 공격 행동을 쿼리 시퀀스로 모델링함으로써, 여러 사용자 연결을 통해 패턴 매칭이 가능하도록 한다.
• 시스템 복잡도를 감소시키고 탐지 효율을 향상시키기 위해 CPN 형식에 새로운 기법을 도입한다.
• 기존 데이터베이스 서버에 원활하게 통합될 수 있도록 탐지 로직을 MySQL 플러그인으로 구현한다.
• 런타임 중 실시간 쿼리 시퀀스를 캡처하고 정상 행동과의 이탈 여부를 분석한다.
• 사전 정의된 공격 모델과 비교하여 쿼리 패턴(예: 데이터 열거, 테이블 삭제, 랜섬 메시지 삽입 등)의 규칙 기반 매칭을 수행한다.
• 효율적인 상태 표현 및 쿼리 처리를 통해 성능 오버헤드를 최소화한다.

실험 결과

연구 질문

• RQ1 쿼리 시퀀스의 동적 분석은 높은 정확도와 낮은 오버헤드로 데이터베이스 내 서버 측 랜섬웨어 공격을 탐지할 수 있는가?
• RQ2 사용자 세션에 종속되지 않고 전역적으로 악성 쿼리 패턴을 모니터링할 수 있는 탐지 시스템은 어떻게 설계할 수 있는가?
• RQ3 색상이 부여된 페트리 네트워크는 데이터베이스 워크로드 내에서 복잡한 다단계 랜섬웨어 공격 시퀀스를 모델링하고 탐지하는 데 얼마나 확장 가능한가?
• RQ4 제안된 솔루션은 허용 가능한 성능 오버헤드를 유지하면서도 높은 탐지 정밀도(거짓 경고 또는 누락 없음)를 달성할 수 있는가?
• RQ5 이 프레임워크는 랜섬웨어를 초월해 다른 종류의 악성 데이터베이스 쿼리 시퀀스를 탐지하는 데도 확장 가능한가?

주요 결과

• DIMAQS는 실제 랜섬웨어 공격 패턴 평가에서 거짓 경고나 거짓 음성 없이 100% 탐지 정확도를 달성했다.
• 최적화되지 않은 구현에서도 시스템의 성능 오버헤드가 5% 미만이었으며, 이는 강력한 실용 가능성 잠재력을 보여준다.
• 색상이 부여된 페트리 네트워크의 사용으로 모든 사용자 연결을 통해 악성 쿼리 시퀀스의 전역 탐지가 가능해졌으며, 이는 이전 접근 방식의 세션 기반 제한을 극복했다.
• 솔루션은 MySQL 플러그인으로 배포 가능하여 기존 데이터베이스 인fra구조에 쉽게 통합할 수 있다.
• 저자들은 재현 가능성을 위해 데이터셋과 구현 코드를 공개했다.
• 프레임워크는 랜섬웨어를 초월해 유사한 패턴 매칭 기법을 사용하여 다른 악성 쿼리 패턴을 탐지하는 데도 확장 가능하다.