[논문 리뷰] Polymorphic Worms Collection in Cloud Computing

Ashraf A. Shahin|arXiv (Cornell University)|2014. 09. 05.

Advanced Malware Detection Techniques참고 문헌 13인용 수 5

한 줄 요약

이 논문은 오픈소스 포렌식 도구와 VMWare Virtual Disk Development Kit를 사용하여 가상 머신(VM) 메모리 및 디스크 이미지를 분석함으로써 클라우드 환경에서 0일 다각형 웜의 패킷을 수집하기 위한 고상호작용 허니팟 프레임워크를 제안한다. 이 방법은 동종 및 이종 클라우드 플랫폼 모두에서 탐지 및 수집 과제를 성공적으로 해결하여 진화하는 웜의 시그니처 생성과 행동 분석을 가능하게 한다.

ABSTRACT

In the past few years, computer worms are seen as one of significant challenges of cloud computing. Worms are rapidly changing and getting more sophisticated to evade detection. One major issue to defend against computer worms is collecting worms' payloads to generate their signature and study their behavior. To collect worms' payloads, we identified challenges for detecting and collecting worms' payloads and proposed high-interactive honeypot to collect payloads of zero-day polymorphic worms in homogeneous and heterogeneous cloud computing platforms. Virtual machine (VM) memory and VM disk image are inspected from outside using open-source forensics tools and VMWare Virtual Disk Development Kit. Our experiments show that the proposed approach overcomes the identified challenges.

연구 동기 및 목표

• 클라우드 환경에서 급속하게 진화하는 다각형 웜으로부터 패킷을 탐지하고 수집하는 과제를 해결하기 위해.
• 동종 및 이종 클라우드 플랫폼 모두에서 0일 웜 시그니처를 수집하기 위한 확장 가능한 솔루션을 개발하기 위해.
• 외부에서 가상 머신 메모리 및 디스크 이미지를 점검함으로써 웜 행동에 대한 포렌식 분석을 가능하게 하기 위해.
• 다각형이며 자기 수정하는 웜에 대해 실패하는 전통적 탐지 방법의 한계를 극복하기 위해.
• 외부 VM 포렌식이 클라우드 컴퓨팅에서 웜 패킷 수집에 대해 실현 가능하고 효과적인가를 입증하기 위해.

제안 방법

• 다각형 웜을 유인하고 캡처하기 위해 클라우드 환경에 고상호작용 허니팟을 구축하기 위해.
• 오픈소스 포렌식 도구를 사용하여 VM 메모리 덤프 및 디스크 이미지에서 웜 패킷을 분석하기 위해.
• VM에 직접 접근하지 않고도 VM 디스크 이미지를 추출하고 검사하기 위해 VMWare Virtual Disk Development Kit를 활용하기 위해.
• 이중 분석 파이프라인을 구현: 메모리 포렌식은 활성 패킷을, 디스크 포렌식은 지속적인 아티팩트를 분석하기 위해.
• 수집된 패킷에서 시그니처 추출 기법을 적용하여 행동 및 패턴 분석을 수행하기 위해.
• 해당 방법의 이식성과 강건성을 보장하기 위해 동종 및 이종 클라우드 플랫폼 전반에서 접근 방식을 검증하기 위해.

실험 결과

연구 질문

• RQ1 자기 수정하는 성질을 지닌 웜 패킷을 클라우드 컴퓨팅 환경에서 효과적으로 수집할 수 있는가?
• RQ2 VM에 직접 접근하지 않고도 VM 메모리 및 디스크 이미지에서 웜 패킷을 신뢰성 있게 추출할 수 있는 기법은 무엇인가?
• RQ3 고상호작용 허니팟은 동종 및 이종 클라우드 플랫폼 모두에서 0일 다각형 웜을 캡처하는 데 사용될 수 있는가?
• RQ4 가상화된 클라우드 환경에서 다각형 웜을 탐지하고 수집하는 데 있어 주요 과제는 무엇인가?
• RQ5 오픈소스 도구와 VMWare Virtual Disk Development Kit를 사용한 외부 VM 포렌식은 웜 패킷 수집에 대해 얼마나 효과적인가?

주요 결과

• 제안된 허니팟은 동종 및 이종 클라우드 플랫폼 모두에서 0일 다각형 웜의 패킷을 성공적으로 캡처하고 수집하였다.
• 오픈소스 포렌식 도구를 사용하여 VM 메모리 및 디스크 이미지를 외부에서 분석함으로써, 웜의 다각형 행동에도 불구하고 효과적인 패킷 추출이 가능했다.
• VMware Virtual Disk Development Kit는 VM 수준의 접근이나 수정 없이도 VM 디스크 이미지를 접근하고 검사하는 데 효과적임을 입증하였다.
• 이 방법은 오브스컬레이션과 빠른 변형성과 같은 다각형 웜 탐지 및 수집의 핵심 과제를 극복하였다.
• 이 프레임워크는 다양한 클라우드 환경에서 확장성과 적응성을 입증하였으며, 시그니처 생성 및 행동 연구를 지원하였다.
• 실험 결과는 제안된 방법이 실제 클라우드 보안 인fra에서의 구현에 대해 실현 가능하고 강건함을 확인하였다.