[논문 리뷰] BitAV: Fast Anti-Malware by Distributed Blockchain Consensus and Feedforward Scanning

Charles Noyes|arXiv (Cornell University)|2016. 01. 07.

Advanced Malware Detection Techniques참고 문헌 21인용 수 73

한 줄 요약

BitAV는 분산된 블록체인 기반의 악성코드 방지 시스템으로, 분산된 합의와 피드포워드 스캐닝을 통해 메모리 사용량을 줄이며 악성코드 탐지 속도를 14배 빠르게 구현한다. 신뢰할 수 없는 서명 배포를 위한 새로운 블록체인 변종과 계층적 블룸 필터를 통한 O(1) 검색을 활용해 스캐닝 처리량을 350MB/s 이상으로 끌올리고, 산업 표준 대비 업데이트 전파 시간을 500% 단축시켰다.

ABSTRACT

I present the design and implementation of a novel anti-malware environment called BitAV. BitAV allows for the decentralization of the update and maintenance mechanisms of the software, traditionally performed by a central host, and uses a staggered scanning mechanism in order to improve performance. The peer-to-peer network maintenance mechanism lowered the average update propagation speed by 500% and is far less susceptible to targeted denial-of-service attacks. The feedforward scanning mechanism significantly improved end-to-end performance of the malware matching system, to a degree of an average 14x increase, by decomposing the file matching process into efficient queries that operate in verifiably constant time.

연구 동기 및 목표

• 모어의 법칙이 지속되더라도 네트워크 처리량 증가에 비해 스캐닝 속도가 따라가지 못하는 악성코드 방지 성능 정체 문제를 해결하기 위해.
• 중앙 집중식 업데이트 서버에 의존하는 기존 서명 기반 방화벽 시스템의 확장성 및 중앙집중화 리스크를 극복하기 위해.
• 분산된 암호학적 검증 가능한 업데이트를 통해 신속하고 확장성 있고 신뢰할 수 없는 악성코드 탐지 시스템을 설계하기 위해.
• 고정시간(O(1)) 서명 매칭을 가능하게 하는 새로운 피드포워드 스캐닝 메커니즘을 통해 종단 간 스캐닝 성능을 향상시키기 위해.
• 표적적 DDoS 공격과 편향된 위협 인텔리전스로부터 회복력 있는 커뮤니티 주도형 오픈소스 악성코드 방지 아키텍처를 만들기 위해.

제안 방법

• 중앙 기관에 의존하지 않고도 분산된 신뢰할 수 없는 악성코드 서명 배포를 가능하게 하는 새로운 블록체인 변종을 활용하기 위해.
• 두 계층의 블룸 필터 구조(캐시 효율성이 높은 블룸 필터 위에 더 비싼 블룸리 필터를 구현)를 사용해 파일 매칭을 O(1) 시간 쿼리로 분해하는 피드포워드 스캐닝 메커니즘을 구현하기 위해.
• 대량의 파일 버퍼에서 서명을 생성하기 위해 CUDA 가속 MD5 해싱을 적용해 성능을 크게 향상시키기 위해.
• 피어 간 업데이트 전파를 위한 P2P 네트워크를 설계해 중앙 집중형 서버 의존도를 낮추고 DDoS 공격에 대한 내성을 높이기 위해.
• 실세계 시뮬레이션을 위해 AWS 인스턴스와 허니팟을 사용해 전파 속도를 측정하고 BitAV의 업데이트 지연 시간을 산업 표준 솔루션과 비교하기 위해.
• 참여 노드 간 자연스러운 P2P 네트워크 구조의 발생을 시각화하고 검증하기 위해 사회망 분석(OpenOrd 알고리즘)을 적용하기 위해.

실험 결과

연구 질문

• RQ1 중앙 집중식 업데이트 모델 대비 분산형 블록체인 기반 시스템이 악성코드 서명 전파 속도를 더 빠르게 할 수 있는가?
• RQ2 계층적 블룸 필터를 활용한 피드포워드 스캐닝이 저메모리 사용량을 유지하면서도 서명 매칭 시간을 O(1)로 줄일 수 있는가?
• RQ3 P2P 네트워크 아키텍처가 악성코드 방지 시스템에서 표적적 DDoS 공격에 대해 얼마나 높은 내성을 확보하는가?
• RQ4 BitAV의 스캐닝 속도와 업데이트 전파 성능은 상용 및 오픈소스 악성코드 방지 솔루션과 비교해 어떻게 다른가?
• RQ5 커뮤니티 주도형 암호학적으로 검증 가능한 업데이트 메커니즘이 편향을 제거하고 악성코드 서명 포함에 대한 신뢰를 높출 수 있는가?

주요 결과

• BitAV는 기존 방법 대비 평균 14배 빠른 종단 간 스캐닝 성능을 기록했으며, 처리량은 350MB/s를 초과했다.
• 피드포워드 스캐닝 메커니즘이 O(1) 서명 검색 시간을 가능하게 하여 지연 시간과 메모리 오버헤드를 크게 감소시켰다.
• BitAV는 산업 표준 솔루션 대비 평균 업데이트 전파 시간을 500% 단축시켜 신규 악성코드 위협에 대한 반응성을 높였다.
• 시험 과정에서 P2P 네트워크 구조가 자연스럽게 형성되었으며, 사회망 분석을 통해 이를 확인했고, 이는 강력한 분산성과 자율적 조직화를 시사한다.
• 업데이트 및 유지보수 파이프라인에 단일 장애 지점이 없어 DDoS 공격에 매우 높은 내성을 보였다.
• VirusTotal API와 자체 허니팟을 활용한 실세계 테스트를 통해 BitAV가 상용 솔루션보다 신규 악성코드 샘플을 훨씬 더 빨리 탐지하는 것으로 확인되었다.