[논문 리뷰] Message Type Identification of Binary Network Protocols using Continuous Segment Similarity

Stephan Kleber, Rens W. van der Heijden외 1명|arXiv (Cornell University)|2020. 02. 07.

Network Security and Intrusion Detection참고 문헌 23인용 수 2

한 줄 요약

이 논문은 특성 벡터 비교에 기반한 연속 세그먼트 유사도를 사용하여 이진 네트워크 프로토콜의 메시지 유형을 식별하는 새로운 방법을 제안한다. Hirschberg 정렬과 DBSCAN 군집화, 자동 설정을 결합하여 수동 파rameter 조정을 제거한다. 이 방법은 이전 방법들에 비해 더 높은 정확도와 성능을 달성하여 메시지 유형 식별에 우수한 성능을 발휘한다.

ABSTRACT

Protocol reverse engineering based on traffic traces infers the behavior of unknown network protocols by analyzing observable network messages. To perform correct deduction of message semantics or behavior analysis, accurate message type identification is an essential first step. However, identifying message types is particularly difficult for binary protocols, whose structural features are hidden in their densely packed data representation. We leverage the intrinsic structural features of binary protocols and propose an accurate method for discriminating message types. Our approach uses a similarity measure with continuous value range by comparing feature vectors where vector elements correspond to the fields in a message, rather than discrete byte values. This enables a better recognition of structural patterns, which remain hidden when only exact value matches are considered. We combine Hirschberg alignment with DBSCAN as cluster algorithm to yield a novel inference mechanism. By applying novel autoconfiguration schemes, we do not require manually configured parameters for the analysis of an unknown protocol, as required by earlier approaches. Results of our evaluations show that our approach has considerable advantages in message type identification result quality and also execution performance over previous approaches.

연구 동기 및 목표

• 밀도 높은 데이터 패킹으로 인해 구조적 특성이 가림을 당하는 이진 네트워크 프로토콜에서 메시지 유형 식별의 과제를 해결하기 위해.
• 이전 방법에서 확장성에 장애가 되는 수동으로 설정된 파rameter가 필요로 하지 않는 자동화된 접근법을 개발하기 위해.
• 이산 바이트 수준 비교 대비 연속 유사도 측정을 활용하여 이진 프로토콜의 구조적 패턴을 더 잘 인식하기 위해.
• 알 수 없는 이진 프로토콜에서 메시지 유형 추론의 정확도와 실행 성능을 향상시키기 위해.
• 트래픽 트레이스에서 메시지 의미를 정확하게 분류하여 신뢰할 수 있는 프로토콜 역설계를 가능하게 하기 위해.

제안 방법

• 각 요소가 원시 바이트 값이 아니라 구조적 속성을 나타내는 특성 벡터를 메시지 필드에서 구성한다.
• 정확한 매칭 방법이 감추는 미세한 구조적 패턴을 탐지하기 위해 특성 벡터 간의 연속 유사도 측정을 적용한다.
• 소량의 변형이 있을 경우에도 견고한 비교가 가능한 Hirschberg 정렬을 사용하여 메시지 세그먼트 간의 유사도 점수를 계산한다.
• 연속 유사도 점수를 기반으로 메시지를 유형별로 군집화하기 위해 DBSCAN 군집화를 적용하며, 자동으로 군집 수를 탐지한다.
• 수동 입력 없이도 군집화 파rameter를 동적으로 조정하는 자동 설정 기법을 도입하여 알 수 없는 프로토콜에의 배포를 가능하게 한다.
• 유사도 계산, 군집화, 파arameter 자동 조정을 통합한 유일한 추론 파이프라인을 구축하여 메시지 유형 식별에 활용한다.

실험 결과

연구 질문

• RQ1 기존의 바이트 수준 매칭이 실패할 경우, 이진 네트워크 프로토콜의 구조적 패턴을 어떻게 효과적으로 인식할 수 있는가?
• RQ2 이산적 값 비교에 비해 연속 유사도 측정이 메시지 유형 식별 정확도를 향상시킬 수 있는가?
• RQ3 자동 파arameter 설정이 알 수 없는 프로토콜에서 메시지 유형 추론의 확장성과 사용성에 얼마나 기여하는가?
• RQ4 실제 트래픽 트레이스에서 기존 방법들과 비교해 본다면, 제안된 방법의 성능과 정확도는 어떻게 되는가?
• RQ5 Hirschberg 정렬은 이진 프로토콜 메시지의 유사도 측정 향상에 어떤 역할을 하는가?

주요 결과

• 제안된 방법은 특히 복잡한 이진 프로토콜에서 이전 방법들에 비해 훨씬 높은 정확도를 달성한다.
• 연속 유사도 측정의 사용은 정확한 매칭 방법이 감추는 구조적 패턴을 더 잘 탐지할 수 있도록 한다.
• 자동 설정 기법은 수동 파arameter 조정이 필요 없음을 성공적으로 제거하여 알 수 없는 프로토콜에 대한 사용성 향상에 기여한다.
• Hirschberg 정렬과 DBSCAN의 통합은 다양한 메시지 구조에 걸쳐 군집 품질과 강건성을 향상시킨다.
• 실행 성능가 뛰어나 실시간 또는 대규모 프로토콜 분석에 적합하다.
• 평가 결과는 본 방법이 결과 품질과 계산 효율성 면에서 기존 방법을 모두 뛰어넘음을 확인한다.