[논문 리뷰] Hybrid spreading of the Internet worm Conficker.

Changwang Zhang, Shi Zhou외 1명|arXiv (Cornell University)|2014. 06. 22.

Network Security and Intrusion Detection참고 문헌 7인용 수 1

한 줄 요약

이 논문은 네트워크 측정 데이터를 사용하여 Conficker의 하이브리드 확산 메커니즘—국소, 근접, 글로벌 탐색을 조합한 방식—을 분석하기 위한 수학적 모델을 제안한다. 이는 높은 감염성을 유도하는 다각적 전략에 기인하며, 이론적 대응 조치는 존재하지만 실제 구현은 어려움을 겪고 있어 유사한 웜에 대비한 방어 전략의 개선이 시급하다는 점을 드러낸다.

ABSTRACT

Conficker is a computer worm which erupted on the Internet in 2008. It is unique in combining three different spreading strategies: local probing, neighbourhood probing, and global probing. We propose a mathematical model to infer the worm’s parameters from network measurement data. We reveal that it is the mixture of spreading mecha-nisms that makes Conficker one of the most infectious worms, as it is extremely efficient at exploiting any weakness present on the Internet. We show that potential measures to limit the spread of the worm work in theory but are dif-ficult to implement in practice. Our work calls for new and more effective strategies to defend against Conficker-like worms. 1

연구 동기 및 목표

• 인터넷 전역에서 Conficker가 빠르게 확산되는 메커니즘을 이해하기 위해.
• Conficker의 확산에서 국소, 근접, 글로벌 탐색의 병합 효과를 모델링하기 위해.
• 실제 네트워크 측정 데이터로부터 웜의 핵심 매개변수를 추론하기 위해.
• 이론적 대응 조치의 실용적 구현 가능성을 평가하기 위해.
• Conficker와 유사한 하이브리드 웜에 대비한 새로운, 더 효과적인 방어 전략의 필요성을 규명하기 위해.

제안 방법

• 국소, 근접, 글로벌 탐색이라는 Conficker의 세 가지 별도의 확산 전략을 표현하기 위한 수학적 모델을 개발한다.
• 모델의 매개변수를 校정하고 추론하기 위해 네트워크 측정 데이터를 사용한다.
• 각 확산 메커니즘의 기여도 비율을 추정하기 위해 통계적 추론 기법을 적용한다.
• 다양한 설정에서의 웜 확산 시뮬레이션을 통해 효율성과 확장성을 평가한다.
• 이론적 억제 전략을 모델 예측 결과와 비교하여 실용적 타당성을 평가한다.

실험 결과

연구 질문

• RQ1 국소, 근접, 글로벌 탐색 메커니즘이 결합되어 Conficker의 높은 감염률에 어떻게 기여하는가?
• RQ2 Conficker의 확산에서 각 확산 전략의 상대적 효과를 결정짓는 매개변수는 무엇인가?
• RQ3 왜 Conficker에 대한 이론적 대응 조치는 실제 환경에서 효과가 없을까?
• RQ4 Conficker의 하이브리드 확산 전략이 얼마나 높은 내성과 확산 능력을 향상시키는가?
• RQ5 유사한 다중 벡터 확산 방식을 가진 웜을 억제하기 위해 어떤 새로운 방어 전략이 필요한가?

주요 결과

• Conficker의 하이브리드 확산 전략은 동시에 여러 네트워크 접근점을 활용함으로써 감염성을 크게 증가시킨다.
• 국소, 근접, 글로벌 탐색의 조합은 취약한 시스템을 신속하게 식별하고 악용할 수 있도록 한다.
• 이론적 억제 전략은 존재하지만 실제 환경 구현에 있어 중대한 과제에 직면해 있다.
• 모델은 네트워크 측정 데이터로부터 핵심 확산 매개변수를 성공적으로 추론하여 정확성을 검증하였다.
• 연구 결과는 Conficker와 같은 다중 벡터 웜에 대비한 새로운, 적응형 방어 기반 기법의 긴급한 필요성을 강조한다.