[논문 리뷰] Review of Peer-to-Peer Botnets and Detection Mechanisms

Khoh Choon Hwa, Selvakumar Manickam외 1명|arXiv (Cornell University)|2022. 07. 17.

Network Security and Intrusion Detection인용 수 4

한 줄 요약

이 논문은 피어 투 피어(P2P) 봇넷 아키텍처, 명령 및 제어(C&C) 메커니즘, 그리고 탐지 기법에 대한 종합적인 검토를 제공하며, 각 기법의 강점, 한계, 실시간 탐지 과제를 분석한다. 그래프 기반, 데이터 마이닝, 머신러닝, 일반적 프레임워크를 평가한 결과, 진화하는 봇넷을 실시간으로 신뢰할 만하게 탐지할 수 있는 단일 방법은 존재하지 않으며, 이는 실시간으로 적응 가능한 탐지 시스템의 긴급한 필요성을 강조한다.

ABSTRACT

Cybercrimes are becoming a bigger menace to both people and corporations. It poses a serious challenge to the modern digital world. According to a press release from 2019 Cisco and Cybersecurity Ventures, Cisco stopped seven trillion threats in 2018, or 20 billion threats every day, on behalf of its clients. According to Cybersecurity Ventures, the global cost of cybercrime will reach \$6 trillion annually by 2021, which is significantly more than the annual damage caused by all natural disasters and more profitable than the global trade in all major illegal narcotics put together. Malware software, including viruses, worms, spyware, keyloggers, Trojan horses, and botnets, is therefore frequently used in cybercrime. The most common malware employed by attackers to carry out cybercrimes is the botnet, which is available in a variety of forms and for a variety of purposes when attacking computer assets. However, the issue continues to exist and worsen, seriously harming both enterprises and people who conduct their business online. The detection of P2P (Peer to Peer) botnet, which has emerged as one of the primary hazards in network cyberspace for acting as the infrastructure for several cyber-crimes, has proven more difficult than regular botnets using a few existing approaches. As a result, this study will explore various P2P botnet detection algorithms by outlining their essential characteristics, advantages and disadvantages, obstacles, and future research.

연구 동기 및 목표

• P2P 봇넷의 수명 주기, 분류 체계, 통신 구조를 분석하기 위해.
• 핵심 성능 차원을 기준으로 그래프 기반, 데이터 마이닝, 머신러닝, 일반적 프레임워크 등 기존 탐지 기법을 평가하기 위해.
• 현재 탐지 접근법의 핵심적 한계, 특히 오프라인 분석에 대한 의존도와 낮은 확장성 문제를 규명하기 위해.
• 실시간으로 적응 가능한 탐지 시스템의 긴급한 필요성을 강조하기 위해. 이는 트래픽의 실시간 분석 및 분류 능력을 갖춘 시스템을 의미한다.
• P2P 봇넷 탐지 분야의 열린 과제와 연구 격차를 요약하여 향후 연구의 기초를 마련하기 위해.

제안 방법

• 탐지 기법의 분류 체계를 활용한 P2P 봇넷 탐지 기법에 대한 체계적 검토: 그래프 기반(예: BotGrep), 데이터 마이닝, 머신러닝, 일반적 프레임워크(예: BotMiner).
• 그래프 기반 탐지 분석: P2P 봇넷 트래픽을 네트워크 그래프로 모델링하고, Kademlia 기반 토폴로지 패턴을 이용해 구조적 이질성을 탐지한다.
• 데이터 마이닝 기법 적용: 특징 추출(예: API 호출, 바이너리 문자열, 프로그램 동작) 후 클러스터링 또는 지도 학습 모델을 활용한 분류 수행.
• 머신러닝 기반 탐지 평가: 랜덤 포레스트를 통해 흐름 기반 특징을 추출하고, 실시간 네트워크 트래픽 분류를 위한 지도 학습 적용.
• BotMiner와 같은 일반적 프레임워크 평가: 패킷 및 흐름 수준 상관관계에 기반해 봇넷 행동을 탐지하지만, 확장성은 제한됨.
• 기준에 따라 탐지 방법 비교: 알려진/알 수 없는 봇넷 탐지 능력, 암호화된 C&C 채널 대응 능력, 실시간 기능, 정확도 등을 고려하여 성능 요약 표를 활용.

실험 결과

연구 질문

• RQ1 P2P 봇넷 아키텍처는 탈중앙화된 C&C 메커니즘 측면에서 설계 및 통신 구조에서 어떻게 다를까?
• RQ2 그래프 기반, 데이터 마이닝, 머신러닝 기반 탐지 방법의 주요 강점과 한계는 무엇인가? 특히 P2P 봇넷 식별에 있어.
• RQ3 기존 탐지 기법은 왜 진화하는 봇넷 트래픽을 일관되게 실시간으로 탐지하지 못하는가?
• RQ4 암호화된 명령 및 제어 채널 또는 알려지지 않은 위협 패밀리를 가진 봇넷을 탐지하는 데 있어 주요 과제는 무엇인가?
• RQ5 확장성 있고 실시간이며 적응 가능한 P2P 봇넷 탐지 기술을 실현하기 위해 해결해야 할 핵심 연구 격차는 무엇인가?

주요 결과

• BotGrep와 같은 그래프 기반 탐지 방법은 네트워크 트래픽을 그래프로 모델링하고, 특히 Kademlia 기반 토폴로지에서의 구조적 이질성을 탐지함으로써 P2P 봇넷을 효과적으로 식별한다.
• 데이터 마이닝 기반 접근법은 API 호출 및 바이너리 패턴과 같은 동적 특징을 추출함으로써 높은 탐지 정확도를 달성하지만, 고품질의 학습 데이터가 필요하고 모델 품질에 민감하다.
• 흐름 기반 특징과 랜덤 포레스트를 활용한 머신러닝 기반 탐지 기법은 실시간 네트워크 트래픽 분류를 가능하게 하지만, 특징 공학 및 모델 훈련의 질에 크게 의존한다.
• BotMiner와 같은 일반적 프레임워크는 소규모 환경에서는 효과적이지만, 세밀한 패킷 및 흐름 분석에 의존함으로써 확장성에 뚜렷한 한계를 가진다.
• 단일 탐지 방법으로도 알려진 봇넷과 알려지지 않은 봇넷을 동시에 일관되게 식별하는 데는 실패하며, 특히 C&C 채널이 암호화되거나 프로토콜이 가로막혀 있을 경우 더욱 심각한 문제를 노출한다.
• 현재 대부분의 탐지 기법은 오프라인, 배치 중심이며 실시간 적응 능력이 부족하여, 급속도로 진화하는 P2P 봇넷 위협에 대비하는 데 핵심적인 격차를 만들어 냈다.