[논문 리뷰] Zero Botnets: An Observe-Pursue-Counter Approach

Jeremy Kepner, Jonathan Bernays외 23명|arXiv (Cornell University)|2022. 01. 16.

Network Security and Intrusion Detection인용 수 10

한 줄 요약

이 논문은 실시간 감시, 추적 및 악성 봇넷의 차단을 위한 협력적 네트워크 관측소와 시스템 분석을 통해 봇넷을 제로로 줄이기 위해 '관찰-추적-대응'(Observe-Pursue-Counter, OPC) 아키텍처를 제안한다. 이 접근법은 기술적 타당성을 입증하고 권한과 액세스와 관련된 정책적 질문을 좁혀내며, 글로벌 협력과 향상된 네트워크 과학을 통해 봇넷이 없는 인터넷을 실현할 것을 주장한다.

ABSTRACT

Adversarial Internet robots (botnets) represent a growing threat to the safe use and stability of the Internet. Botnets can play a role in launching adversary reconnaissance (scanning and phishing), influence operations (upvoting), and financing operations (ransomware, market manipulation, denial of service, spamming, and ad click fraud) while obfuscating tailored tactical operations. Reducing the presence of botnets on the Internet, with the aspirational target of zero, is a powerful vision for galvanizing policy action. Setting a global goal, encouraging international cooperation, creating incentives for improving networks, and supporting entities for botnet takedowns are among several policies that could advance this goal. These policies raise significant questions regarding proper authorities/access that cannot be answered in the abstract. Systems analysis has been widely used in other domains to achieve sufficient detail to enable these questions to be dealt with in concrete terms. Defeating botnets using an observe-pursue-counter architecture is analyzed, the technical feasibility is affirmed, and the authorities/access questions are significantly narrowed. Recommended next steps include: supporting the international botnet takedown community, expanding network observatories, enhancing the underlying network science at scale, conducting detailed systems analysis, and developing appropriate policy frameworks.

연구 동기 및 목표

• 사이버 범죄, 영향력 작전, 인프라 공격을 가능하게 하는 악성 봇넷의 증가하는 위협에 대응하기 위해.
• 국제 정책 및 기술 협력을 이끄는 데 통합 목표가 되는 '제로 봇넷'의 글로벌 비전을 수립하기 위해.
• 봇넷 완화를 위한 관찰-추적-대응(OPC) 아키텍처의 기술적 타당성을 분석하기 위해.
• 시스템 수준 분석을 통해 권한, 액세스 및 관할권과 관련된 핵심 정책 질문을 좁혀내기 위해.
• 글로벌 봇넷 제거 능력을 강화하기 위한 실행 가능한 다음 단계를 제안하기 위해.

제안 방법

• 관찰-추적-대응(OPC) 프레임워크는 실시간 네트워크 모니터링(관찰), 봇넷 행동의 자동 추적(추적), 그리고 조율된 방어 조치(대응)를 통합한다.
• 네트워크 관측소는 글로벌 인프라 전역에서 텔레메트리 데이터를 수집하고 상관관계를 분석하여 이례적인 봇넷 활동을 탐지한다.
• 시스템 분석을 통해 봇넷의 동역학을 모델링하고 OPC 아키텍처의 확장성과 내구성 평가에 활용한다.
• 이 접근법은 기존의 네트워크 과학과 분산 데이터 수집을 활용하여 대규모이고 다국적 범위의 감지 및 대응을 가능하게 한다.
• 수색 작전을 위한 역할, 책임 및 법적 액세스 프로토콜을 정의하기 위해 정책 프레임워크를 동시에 개발한다.
• 모의 실험과 사례 연구를 통해 기술적 타당성과 운영 제약 조건을 검증하기 위해 아키텍처를 평가한다.

실험 결과

연구 질문

• RQ1 국제 네트워크 전역에서 다국적 협력 기반의 대규모 관찰-추적-대응 아키텍처가 봇넷을 효과적으로 감지하고 차단할 수 있는가?
• RQ2 다국적 범위의 봇넷 제거를 가능하게 할 때 발생하는 기술적 및 정책적 과제는 무엇이며, 이를 체계적으로 해결할 수 있는가?
• RQ3 네트워크 관측소는 어떻게 확장하고 통합되어야 하며, 봇넷 활동에 대한 실시간 가시성을 제공할 수 있는가?
• RQ4 시스템 분석과 모델링은 제로 봇넷 목표의 타당성을 검증하는 데 어떤 역할을 하는가?
• RQ5 OPC 프레임워크를 운영 가능하게 하기 위해 필요한 정책적 유인과 국제 협력 메커니즘은 무엇인가?

주요 결과

• 관찰-추적-대응(OPC) 아키텍처는 대규모 봇넷 감지 및 차단에 있어 기술적으로 타당성이 있다.
• 시스템 분석은 권한 및 네트워크 데이터 액세스와 관련된 해결되지 않은 정책 질문의 범위를 크게 좁혀낸다.
• 효과적인 봇넷 제거를 위해서는 글로벌 협력과 표준화된 네트워크 관측소가 필수적이다.
• 이 프레임워크는 DDoS, 스팸 메일, 랜섬웨어, 광고 사기 등 다양한 봇넷 활동의 감지를 지원한다.
• 논문은 주요 다음 단계로 네트워크 관측소 확장, 네트워크 과학 강화, 정책 프레임워크 개발을 규명한다.
• 이 접근법은 협력적이고 증거 기반의 조치를 통해 꿈의 목표인 제로 봇넷을 햖थ한 실현 가능한 길을 제공한다.