KR20150078972A - 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응 시스템 및 방법 - Google Patents

Abstract

본 발명의 실시 예에 따른 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응 시스템은 전체 모듈의 운영 관리 및 감사를 지원하는 기능 감사 모듈과, 시스템 상태 감사의 대상 범위를 정의하고, 공격 유효성 판단 기준 정책을 관리하는 감사 정책 모듈과, 상기 감사 정책 모듈에서 정의한 감사 대상 범위를 호출하여, 감사 대상의 상태 감사를 수행하고, 감사 위반 행위를 탐지한 경우 공격의 유효성을 판단하고 이의 공격 유형과 피해 범위를 분석하는 시스템 상태 감사 모듈 및 상기 시스템 상태 감사 모듈로부터 상기 공격 분석 결과를 수신하여 해당 공격에 매칭하는 대응 방안을 도출하고, 상기 대응 방안을 이행하는 감사 위반 대응 모듈을 포함하는 것을 특징으로 한다.

Description

행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응 시스템 및 방법{USING BEHAVIOR-BASED ANALYSIS TECHNIQUES FOR ADVANCED PERSISTENT THREAT ATTACK DETECTION AND RESPONSE, SYSTEM AND METHOD FOR THEREOF}

본 발명은 컴퓨터 시스템에 대한 보안 기술에 관한 것으로 특히, 지능적 지속 공격(APT: Advanced Persistent Threat) 공격 행위의 탐지 및 대응 자동화에 관한 것이다.

APT(Advanced Persistent Threat)은 공격의 목적 달성을 위해 지능화된 지속적 위협을 의미한다. 공격 대상 시스템에 보안 기술이 적용되어 있는 경우, 보안 기술을 무력화시키기 위한 우회 공격 기술의 개발과 침투 시도를 지속하여 목적을 달성하고, 그 결과로 대규모 피해를 야기한다.

최근 국내외의 대규모 공격 피해 사례로 인해, APT가 악성코드 또는 웹쉘에 의한 공격으로 축소 해석되고 있다. 그러나 최종 목적의 달성을 위해 시도되는 모든 공격 유형이 APT 공격에 해당된다. 따라서 APT 공격은 시스템에 발생할 수 있는 모든 공격 유형을 포함한다.

최근 금전적 이득을 목적으로 하는 랜섬 공격과 정치, 이념적 목적 달성을 위한 핵티비즘 공격이 급격히 증가하고 있다. 일반적으로 이와 같이 공격의 동기가 뚜렷한 경우는 목적 달성을 위하여 지능적 지속 공격(APT)을 수행하게 된다.

현재 APT 공격 대응을 위한 로컬/네트워크 보안 기술은 악성코드 또는 웹쉘 탐지 분야로 감사 범위가 제한적이다. 따라서, 다양한 유형의 APT 공격에 대응하기는 어렵다. 또한 이와 같은 보안 기술은 사회공학 및 우회공격 기법에 의해 무력화될 수 있다.

본 발명은 상기한 문제점을 해결하기 위해 발명된 것으로, 그 목적은 다양한 유형의 지능적 지속 공격(APT)의 탐지 및 대응 자동화를 통하여 컴퓨터 시스템의 무결성 및 보안성을 확보하는 데 있다.

상기한 기술적 과제를 달성하기 위한 본 발명의 실시예에 따른 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응 시스템은, 전체 모듈의 운영 관리 및 감사를 지원하는 기능 감사 모듈과, 시스템 상태 감사의 대상 범위를 정의하고, 공격 유효성 판단 기준 정책을 관리하는 감사 정책 모듈과, 상기 감사 정책 모듈에서 정의한 감사 대상 범위를 호출하여, 감사 대상의 상태 감사를 수행하고, 감사 위반 행위를 탐지한 경우 공격의 유효성을 판단하고 이의 공격 유형과 피해 범위를 분석하는 시스템 상태 감사 모듈 및 상기 시스템 상태 감사 모듈로부터 상기 공격 분석 결과를 수신하여 해당 공격에 매칭하는 대응 방안을 도출하고, 상기 대응 방안을 이행하는 감사 위반 대응 모듈로 구성되는 것을 특징으로 한다.

본 발명의 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응 시스템에 의하면, 지능적 지속 공격(APT)의 탐지 및 대응 자동화를 통하여 컴퓨터 시스템의 무결성 및 보안성을 확보할 수 있는 효과가 있다.

도 1은 본 발명에서 구현되는 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응을 실행하는 소프트웨어의 구성도,
도 2는 각 소프트웨어 구성의 기능 및 역할을 도시하는 블록도.
도 3은 본 발명의 실시 예에 따른 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응 방안을 설명하기 위한 순서도.

본 발명을 충분히 이해하기 위해서 본 발명의 바람직한 실시예를 첨부 도면을 참조하여 설명한다. 본 발명의 실시예는 여러 가지 형태로 변형될 수 있으며, 본 발명의 범위가 아래에서 상세히 설명하는 실시예로 한정되는 것으로 해석되어서는 안 된다. 본 실시예는 당업계에서 평균적인 지식을 가진 자에게 본 발명을 보다 완전하게 설명하기 위하여 제공 되는 것이다. 따라서 도면에서의 요소의 형상 등은 보다 명확한 설명을 강조하기 위해서 과장되어 표현될 수 있다. 각 도면에서 동일한 부재는 동일한 참조부호로 도시한 경우가 있음을 유의하여야 한다. 또한, 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 공지 기능 및 구성에 대한 상세한 기술은 생략된다.

이하, 첨부된 도면을 참조하여 본 발명의 바람직한 실시 예를 설명함으로써, 본 발명의 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응 시스템 및 그 방법을 상세히 설명한다.

본 발명에서는 시스템 전역의 상태와 행위를 분석하여 다양한 유형의 지능적 지속 공격을 탐지한다. 탐지된 공격을 분석하여 해당 공격 유형을 판단하고, 이에 적합한 공격 차단 및 피해 복원 방안을 제시하며, 디지털 포렌식(digital forensic)을 위한 공격자 추적 및 증적 정보를 수집한다.

본 발명 기술은 보호 대상 시스템에서 운영되는 소프트웨어로 구현된다.

도 1은 본 발명에서 구현되는 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응을 실행하는 소프트웨어의 구성을 나타내고, 도 2는 각 소프트웨어 구성의 기능 및 역할을 도시한다.

도 1 및 도 2를 참조하면, 본 발명의 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응 시스템은 기능 감사 모듈(110), 감사 정책 모듈(120), 시스템 상태 감사 모듈(130) 및 감사 위반 대응 모듈(140)을 포함하여 구성된다.

기능 감사 모듈(110)은 지능적 지속 공격(APT) 탐지 및 대응 소프트웨어의 시작 및 종료를 처리할 수 있도록 지원한다. 그리고 기능 감사 모듈(110)은 세부 모듈 즉, 감사 정책 모듈(120), 시스템 상태 감사 모듈(130) 및 감사 위반 대응 모듈(140)의 시작 및 종료를 처리하도록 지원한다. 또한, 기능 감사 모듈(110)은 상기 세부 모듈의 동작 상태를 감시하고, 상기 세부 모듈에서 발생되는 이벤트를 수집하고, 관리하는 역할을 한다. 이 뿐만 아니라 기능 감사 모듈(110)은 사용자에 의해 발생된 이벤트를 수집 및 관리하는 역할을 한다.

감사 정책 모듈(120)은 시스템 상태 감사의 대상 범위를 정의하고, 공격 유효성 판단 기준 정책을 관리한다. 여기서 공격 유효성 판단 기준 정책을 관리한다는 것은 공격 유효성 판단 기준 정책을 생성하고, 저장하며, 수정하거나, 삭제하는 등의 관리 방법을 말한다. 감사 정책 모듈(120)에 저장된 감사 정책의 유형은 네트워크 감사 정책, 웹 소스코드 감사정책, 프로세스 감사정책, 사용자 입력 감사정책, 파일 감사정책 및 디렉토리 감사정책을 포함할 수 있으며, 시스템을 감사하는 정책으로서 그 종류는 이에 한정하지 않을 수 있다.

시스템 상태 감사 모듈(130)은 감사 정책 모듈(120)에서 정의한 감사 대상 범위를 호출하여, 감사 대상의 상태 감사를 수행한다. 시스템 상태 감사 수행 중 감사 위반 행위를 탐지할 경우, 공격의 유효성을 판단하고, 이에 유효하다고 판단된 공격은 공격 유형과 피해 범위를 분석하여, 분석된 결과를 감사 위반 대응 모듈(140)로 전송한다. 여기서 시스템 상태 감사 범위는 네트워크 상태 감사, 웹 소스코드 상태 감사, 프로세스 상태 감사, 사용자 입력 상태 감사, 파일 상태 감사, 디렉토리 상태 감사를 포함할 수 있으며, 보안을 위한 시스템 감사 범위에 해당하는 다른 영역에 대해서도 확장할 수 있다.

한편, 감사 정책 위반 행위로서 탐지 가능한 예를 들면, 웹 소스코드 변조를 탐지하거나, 웹쉘 생성 및 삽입을 탐지하거나, 비인가 계정 생성, 수정 및 삭제 중 적어도 하나를 탐지하거나, 임시 디렉토리 내 비인가 파일 생성을 탐지하거나, 예약 작업의 변조를 탐지하거나, 시스템 접근 통제 정책의 변조를 탐지하거나, 사용자 입력에 대한 비인가 행위를 탐지하거나, 네트워크 경로 변조를 탐지하거나, 원격 공격자의 쉘(shell) 접속(Bind Shell/Reverse Shell)을 탐지하거나, 비인가 프로세스 실행을 탐지하거나, 시스템/응용 프로그램 주요 설정 변조를 탐지하거나, 시스템/응용 프로그램 로그의 훼손을 탐지하는 등 이중 적어도 하나일 수 있다.

감사 위반 대응 모듈(140)은 시스템 상태 감사 모듈(130)로부터 공격 분석 결과를 수신하여 해당 공격에 적합한 대응 방안을 도출하고, 대응 방안의 이행을 수행하는 역할을 한다. 감사 위반 대응 모듈(140)을 통해 이행 가능한 대응 방안은 예를 들어, 각 위반 유형에 적합한 공격을 차단하거나, 각 위반 유형에 적합한 시스템을 원상 복구하거나, 각 위반 유형에 적합한 증거 정보(증적)을 수집하거나, 각 위반 유형에 적합한 공격자를 추적하는 방안 등이 있으며, 이외에 다양한 방안이 추가될 수 있다.

도 3은 본 발명의 실시 예에 따른 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응방안을 설명하기 위한 순서도이다.

도 3을 참조하면, 본 발명의 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응을 위한 시스템 운용 방법은 먼저 310 단계에서 기능 감사 모듈(110)에 의해 각 모듈을 시작하고 상태를 감사한다. 구체적으로 사용자 요청에 의한 시작 신호 발생 시 기능 감사 모듈(110)은 이를 감지하여 지능적 지속 공격 탐지 및 대응 소프트웨어를 구동시킨다. 그리고, 감사 정책 모듈(120), 시스템 상태 감사 모듈(130), 감사 위반 대응 모듈(140)의 동작 상태를 감시한다. 사용자는 감사 정책 모듈(120)을 통해 감사 대상 범위 및 감사 정책을 항시 생성하거나 수정하거나 삭제 등의 관리를 할 수 있다.

다음으로 320 단계에서 시스템 상태 감사 모듈(130)에 의해 감사 정책 모듈(120)로부터 감사 정책을 로드한다. 상기 감사 정책은 감사 대상 범위와 공격 유효성 판단 기준을 의미한다. 상기 로드되는 감사 정책의 유형은 네트워크 감사 정책, 웹 소스코드 감사정책, 프로세스 감사정책, 사용자 입력 감사정책, 파일 감사정책 및 디렉토리 감사정책 등 중 적어도 하나를 포함할 수 있으며, 시스템을 감사하는 정책으로서 그 종류는 이에 한정하지 않을 수 있다.

한편, 사용자에 의한 정책 관리 이벤트 발생 시, 기능 감사 모듈(110)에 이벤트를 저장하고, 시스템 상태 감사 모듈(130)로 재호출 명령을 전달한다. 시스템 상태 감사 모듈(130)은 이를 참조하여 감사 정책 모듈(120)로부터 감사 정책을 재호출한다.

다음으로 330 단계에서 시스템 상태 감사 모듈(130)에 의해 시스템 상태 감사를 수행한다. 즉, 시스템 상태 감사 모듈(130)은 감사 정책 모듈(120)에서 정의한 감사 대상 범위를 호출하여, 감사 대상의 상태 감사를 수행한다. 여기서 시스템 상태 감사 범위는 네트워크 상태 감사, 웹 소스코드 상태 감사, 프로세스 상태 감사, 사용자 입력 상태 감사, 파일 상태 감사, 디렉토리 상태 감사를 포함할 수 있으며, 보안을 위한 시스템 감사 범위에 해당하는 다른 영역에 대해서도 확장할 수 있다.

다음으로 340 단계에서 시스템 상태 감사 중 감사 정책의 위반 행위를 탐지했을 경우, 위반 행위의 공격 유효성을 판단한다. 반면 위반 행위가 발생 되지 않는 경우, 330 단계를 유지한다.

350 단계에서 감사 위반행위의 공격 유효성이 판단되는 경우, 공격 유형 및 피해 범위의 분석을 수행하고, 분석 결과를 감사 위반 대응 모듈(140)로 전송한다.

다음으로 360 단계에서 감사 위반 대응 모듈(140)은 시스템 상태 감사 모듈(130)로부터 수신한 공격 분석 결과를 이용하여, 공격 유형에 적합한 공격 차단, 시스템 원상 복구, 증거 수집, 공격자 추적 등 중 적어도 하나의 대응 방안을 이행하고, 대응 방안 이행 결과인 공격 분석 정보 및 대응 방안 이행 결과를 기능 감사 모듈(110)로 전송한다. 여기서 대응 방안 이행 범위는 사용자에 의해 설정 가능하다.

370 단계에서 기능 감사 모듈(110)은 수신받은 공격 분석 정보 및 대응 방안 이행 결과를 저장하고 관리한다.

380 단계에서 사용자에 의해 종료 신호 발생 전까지 310 단계 내지 380 단계를 반복 수행하고, 사용자에 의한 종료 신호가 발생하면, 390 단계에서 소프트웨어를 종료한다.

이상에서 설명된 본 발명의 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응 시스템 및 방법의 실시 예는 예시적인 것에 불과하며, 본 발명이 속한 기술분야의 통상의 지식을 가진 자라면 이로부터 다양한 변형 및 균등한 타 실시예가 가능하다는 점을 잘 알 수 있을 것이다. 그러므로 본 발명은 상기의 상세한 설명에서 언급되는 형태로만 한정되는 것은 아님을 잘 이해할 수 있을 것이다. 따라서 본 발명의 진정한 기술적 보호 범위는 첨부된 특허청구범위의 기술적 사상에 의해 정해져야 할 것이다. 또한, 본 발명은 첨부된 청구범위에 의해 정의되는 본 발명의 정신과 그 범위 내에 있는 모든 변형물과 균등물 및 대체물을 포함하는 것으로 이해되어야 한다.

Claims (5)

1. 전체 모듈의 운영 관리 및 감사를 지원하는 기능 감사 모듈;
   시스템 상태 감사의 대상 범위를 정의하고, 공격 유효성 판단 기준 정책을 관리하는 감사 정책 모듈;
   상기 감사 정책 모듈에서 정의한 감사 대상 범위를 호출하여, 감사 대상의 상태 감사를 수행하고, 감사 위반 행위를 탐지한 경우 공격의 유효성을 판단하고 이의 공격 유형과 피해 범위를 분석하는 시스템 상태 감사 모듈; 및
   상기 시스템 상태 감사 모듈로부터 상기 공격 분석 결과를 수신하여 해당 공격에 매칭하는 대응 방안을 도출하고, 상기 대응 방안을 이행하는 감사 위반 대응 모듈을 포함하는 것을 특징으로 하는, 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응 시스템.
2. 제1항에 있어서, 상기 감사 정책 모듈은,
   네트워크, 웹 소스코드, 프로세스, 사용자 입력, 파일, 디렉토리 중 적어도 하나를 감사하기 위한 정책을 포함하는 것을 특징으로 하는, 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응 시스템.
3. 제1항에 있어서, 상기 시스템 상태 감사 모듈은,
   웹 소스코드 변조, 웹쉘 생성 및 삽입, 비인가 계정 생성, 수정, 삭제, 임시 디렉토리 내 비인가 파일 생성, 예약 작업의 변조, 시스템 접근 통제 정책의 변조, 사용자 입력에 대한 비인가 행위, 네트워크 경로 변조, 원격 공격자의 쉘 접속, 비인가 프로세스 실행, 시스템/응용 프로그램 주요 설정 변조 및 시스템/응용 프로그램 로그의 훼손 중 적어도 하나를 감사 정책 위반 행위로 탐지하는 것을 특징으로 하는, 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응 시스템.
4. 제1항에 있어서, 상기 감사 위반 대응 모듈은,
   상기 해당 공격에 대한 대응방안으로서 각 위반 유형에 매칭하는 공격 차단, 시스템 원상 복구, 증거 정보 수집, 공격자 추적 중 적어도 하나를 이행하는 것을 특징으로 하는, 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응 시스템.
5. 지능적 지속 공격 탐지 및 대응 소프트웨어를 실행하는 단계;
   감사 대상 범위 및 공격 유효성 판단 기준을 호출하는 단계;
   상기 감사 대상 범위에 따라 시스템 상태를 감사하는 단계;
   상기 감사 결과, 위반 행위 탐지 시, 위반 행위의 공격 유효성을 판단하는 단계;
   상기 공격 유효성이 판단된 경우, 공격 유형 및 피해 범위를 분석하는 단계;
   상기 분석 결과를 이용하여 공격 유형에 미리 매칭된 대응방안을 이행하는 단계; 및
   상기 대응 방안 이행 결과를 저장하는 단계를 포함하는 것을 특징으로 하는, 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응방법.

Images