[논문 리뷰] Nepenthes Honeypots based Botnet Detection

Sanjeev Kumar, Rakesh Sehgal외 2명|arXiv (Cornell University)|2013. 03. 13.

Network Security and Intrusion Detection참고 문헌 12인용 수 8

한 줄 요약

이 논문은 사전 및 공용 네트워크에서 봇넷 활동을 식별하고 분석하기 위해 네펜테스 하이퍼포트를 사용하는 하이퍼포트 기반 봇넷 탐지 프레임워크를 제안한다. 자동화된 악성코드 수집 및 악성코드 방지 소프트웨어 스캐닝을 통해 시스템은 알려진 봇넷을 성공적으로 탐지했으며, 분산된 공격 데이터 간의 효과적인 상관관계를 확립하여 봇넷 탐지 및 조기 경고를 위한 확장 가능한 솔루션을 제공한다.

ABSTRACT

The numbers of the botnet attacks are increasing day by day and the detection of botnet spreading in the network has become very challenging. Bots are having specific characteristics in comparison of normal malware as they are controlled by the remote master server and usually dont show their behavior like normal malware until they dont receive any command from their master server. Most of time bot malware are inactive, hence it is very difficult to detect. Further the detection or tracking of the network of theses bots requires an infrastructure that should be able to collect the data from a diverse range of data sources and correlate the data to bring the bigger picture in view. In this paper, we are sharing our experience of botnet detection in the private network as well as in public zone by deploying the nepenthes honeypots. The automated framework for malware collection using nepenthes and analysis using anti-virus scan are discussed. The experimental results of botnet detection by enabling nepenthes honeypots in network are shown. Also we saw that existing known bots in our network can be detected.

연구 동기 및 목표

• 명령을 받기 전까지 비활성 상태를 유지하는 스텔스 봇넷 악성코드를 탐지하는 데 증가하는 과제를 해결한다.
• 다양한 네트워크 소스에서 수집한 데이터를 집계하고 상관관계를 맺어 포괄적인 봇넷 가시성을 확보하기 위한 확장 가능한 인프라를 개발한다.
• 실제 환경에서의 네펜테스 하이퍼포트 배포를 통해 알려진 봇넷 행동을 식별하는 데 그 효과성을 평가한다.
• 악성코드 방지 소프트웨어 스캐닝을 활용한 자동화된 악성코드 수집 및 분석을 통해 탐지 정확도를 향상시킨다.
• 네트워크 방어자가 봇넷 인프라를 사전에 탐지하고 연구할 수 있도록 실용적인 프레임워크를 제공한다.

제안 방법

• 사전 및 공용 네트워크 영역에 네펜테스 하이퍼포트를 배포하여 취약한 시스템을 시뮬레이션한다.
• 봇넷에 감염된 클라이언트와의 상호작용에서 악성코드 샘플을 자동으로 수집한다.
• 수집된 악성코드를 분석하고 알려진 봇넷 서명을 식별하기 위해 악성코드 방지 스캐닝 도구를 통합한다.
• 여러 하이퍼포트 인스턴스에서 유입된 텔레메트리 데이터를 상관관계화하여 봇넷 명령-제어 활동을 나타내는 패턴을 탐지한다.
• 하이퍼포트 데이터를 활용해 봇넷 통신 행동 및 인프라를 재구성한다.
• 행동 분석을 통해 이전에 알려지지 않았거나 발견되지 않은 봇넷 변종을 탐지하기 위해 프레임워크를 활용한다.

실험 결과

연구 질문

• RQ1 네펜테스 하이퍼포트는 사전 및 공용 네트워크 환경에서 봇넷 활동을 효과적으로 탐지할 수 있는가?
• RQ2 자동화된 악성코드 수집 및 악성코드 방지 스캐닝은 알려진 봇넷 가문을 식별하는 데 얼마나 효과적인가?
• RQ3 하이퍼포트 텔레메트리 데이터는 얼마나 잘 상관관계화되어 더 큰 봇넷 인프라 및 명령-제어 패턴을 드러내는가?
• RQ4 시스템은 원격 명령을 수신하기 전까지 무역 상태를 유지하는 봇넷 악성코드를 탐지할 수 있는가?
• RQ5 실제 환경 배포에서 하이퍼포트 기반 탐지 시스템의 확장성과 신뢰성은 어느 정도인가?

주요 결과

• 네펜테스 하이퍼포트 배포를 통해 사전 및 공용 네트워크 영역에서 알려진 봇넷 가문을 성공적으로 탐지했다.
• 자동화된 악성코드 수집 및 악성코드 방지 스캐닝을 통해 알려진 봇넷 서명에 대해 높은 재현율을 기반으로 악성 패킷을 효율적으로 식별할 수 있었다.
• 여러 하이퍼포트 인스턴스에서 유입된 텔레메트리 데이터의 상관관계 분석을 통해 중심화된 봇넷 명령-제어 인프라와 일치하는 패턴을 발견했다.
• 원격 명령을 수신하기 전까지 비활성 상태를 유지하는 봇넷 악성코드를 탐지하는 데에도 시스템의 효과성이 입증되었다.
• 통신 프로토콜 및 C2 채널 특성과 같은 봇넷 행동에 대한 실질적인 통찰을 제공했다.
• 이러한 접근법은 기업 및 네트워크 방어 아키텍처에 통합하기 위해 확장 가능하고 실용적이며, 사전 위협 탐지에 효과적임을 입증했다.