[논문 리뷰] I Trust my Zombies: A Trust-enabled Botnet

Emmanouil Vasilomanolakis, Jan Wolf외 3명|TUbilio (Technical University of Darmstadt)|2017. 12. 11.

Network Security and Intrusion Detection참고 문헌 12인용 수 3

한 줄 요약

이 논문은 분산형 봇넷을 위한 신뢰 기반 메커니즘을 제안하여, 감염된 컴퓨터(좀비)가 계산 기반 신뢰 모델을 활용해 모니터링 센서를 자율적으로 탐지하고 블랙리스트에 등재할 수 있도록 한다. 베이지안 추론과 이베이 모델을 영감으로 한 신뢰 지표를 활용함으로써, 기존의 P2P 봇넷 대비 센서의 인지도를 97% 이상 감소시켜 탐지 및 정보 수집에 대한 저항력을 크게 향상시킨다.

ABSTRACT

Defending against botnets has always been a cat and mouse game. Cyber-security researchers and government agencies attempt to detect and take down botnets by playing the role of the cat. In this context, a lot of work has been done towards reverse engineering certain variants of malware families as well as understanding the network protocols of botnets to identify their weaknesses (if any) and exploit them. While this is necessary, such an approach offers the botmasters the ability to quickly counteract the defenders by simply performing small changes in their arsenals. We attempt a different approach by actually taking the role of the Botmaster, to eventually anticipate his behavior. That said, in this paper, we present a novel computational trust mechanism for fully distributed botnets that allows for a resilient and stealthy management of the infected machines (zombies). We exploit the highly researched area of computational trust to create an autonomous mechanism that ensures the avoidance of common botnet tracking mechanisms such as sensors and crawlers. In our futuristic botnet, zombies are both smart and cautious. They are cautious in the sense that they are careful with whom they communicate with. Moreover, they are smart enough to learn from their experiences and infer whether their fellow zombies are indeed who they claim to be and not government agencies' spies. We study different computational trust models, mainly based on Bayesian inference, to evaluate their advantages and disadvantages in the context of a distributed botnet. Furthermore, we show, via our experimental results, that our approach is significantly stronger than any technique that has been seen in botnets to date.

연구 동기 및 목표

• P2P 봇넷에서 연구자 및 경찰 기관의 모니터링 노력에 대응하고 이를 완화하는 데 도전하는 문제를 해결하기 위해.
• 중앙 집중식 C2 인프라와 그에 수반되는 단일 장애 지점에 의존하지 않는 내성적이고 분산된 봇넷 관리 시스템을 개발하기 위해.
• 좀비 컴퓨터가 동료의 신뢰성을 자율적으로 평가하고 행동 증거를 바탕으로 잠재적 센서나 크롤러를 식별할 수 있도록 하기 위해.
• 계산 기반 신뢰 모델이 P2P 봇넷에서 모니터링 도구의 가시성과 성공률을 줄이는 데 얼마나 효과적인지 평가하기 위해.
• 신뢰 기반 메커니즘이 기존의 그래프 이론 기반 또는 프로토콜 이상 탐지 기반의 방식보다 열등한 대안이 아니라 뛰어난 대안임을 입증하기 위해.

제안 방법

• P2P 봇넷 내에서 이웃 봇의 신뢰성을 평가하기 위해 베이지안 추론 기반의 계산 기반 신뢰 모델을 도입한다.
• 봇이 정기적으로 인사 메시지를 교환함으로써 연결성을 유지하고 이웃의 정당성을 검증하는 데 사용되는 이웃 목록(NL) 메커니즘을 사용한다.
• 각 봇이 관찰된 행동, 예를 들어 응답 일관성과 메시지의 진위성에 기반해 신뢰 점수를 유지하는 명성 시스템을 구현한다.
• 이베이 모델을 영감으로 한 신뢰 모델을 적용하여 동적으로 신뢰 값을 정량화하고 갱신함으로써 봇이 의심스러운 노드를 탐지하고 격리할 수 있도록 한다.
• 신뢰할 수 없는 피어를 이웃 목록에서 제거하여 센서와의 통신을 방지하는 블랙리스트 메커니즘을 구현한다.
• 정기적으로 이웃을 탐색하고 응답이 없거나 신뢰할 수 없는 노드를 확인된 노드로 교체하는 멤버십 관리(MM) 사이클을 사용한다.

실험 결과

연구 질문

• RQ1 계산 기반 신뢰 모델은 P2P 봇넷 환경에서 정상적인 봇과 모니터링 센서를 효과적으로 구분할 수 있는가?
• RQ2 베이지안 추론의 통합은 기존의 프로토콜 수준의 이상 탐지 방식에 비해 센서 노드 탐지 능력을 어떻게 향상시키는가?
• RQ3 신뢰 기반 메커니즘은 연구자나 경찰 기관이 배치한 센서의 가시성과 효과성을 어느 정도 감소시킬 수 있는가?
• RQ4 모의 봇넷 환경에서 실제의 변화율과 악성 조작 조건 하에서도 제안된 시스템은 어떻게 성능을 발휘하는가?
• RQ5 다양한 신뢰 모델(예: 이베이 모델 대 비기본 명성 모델)은 센서 탐지 정확도와 봇넷의 내성에 어떤 영향을 미치는가?

주요 결과

• 제안된 신뢰 기반 메커니즘은 원래의 Sality 봇넷 프로토콜 대비 센서의 인지도를 97% 이상 감소시켜 연구자들이 네트워크 정보를 수집하는 능력을 크게 제한했다.
• 이베이 모델을 영감으로 한 신뢰 모델은 불확실성을 모델링하고 새로운 증거에 기반해 신념을 갱신할 수 있는 능력 덕분에 기본 명성 시스템보다 센서 노드 탐지 및 격리에서 뛰어난 성능을 보였다.
• 계산 기반 신뢰는 중앙 집중식 제어나 사전 정의된 서명에 의존하지 않고도 자율적이고 분산된 피어 검증을 가능하게 했다.
• 행동 일관성에 기반해 동적으로 신뢰 점수를 갱신함으로써, 시스템은 고도의 변화율과 악성 탐색 조건 하에서도 센서 배치에 대비한 내성을 보였다.
• 결과적으로, 신뢰 기반 메커니즘이 기존의 방식보다 뛰어난 진전을 이룬다는 것이 입증되었으며, 이러한 적응형 방어 기반으로 인해 기존의 기술은 점점 회피 가능해지고 있다.
• 본 연구는 기존의 센서 기반 접근 방식이 이러한 내성적이고 신뢰 인식 기반의 봇넷에 효과가 없어지면서, 더 스파이어스러운 새로운 모니터링 기술의 급한 필요성을 드러냈다.