네트워크 방어 시뮬레이터 설계 및 구현

임을규,윤주범,이철원 한국통신학회 2004 韓國通信學會論文誌 Vol.29 No.4

악성코드 동향 및 분석 방법

임을규(Eul Gyu Im) 한국정보과학회 2023 정보과학회지 Vol.41 No.1

임베디드 장비 펌웨어 분석 방법

임을규(Eul Gyu Im) 한국정보과학회 2016 정보과학회지 Vol.34 No.1

인터넷 공격 시나리오 표현을 위한 개선된 공격 트리 모델

임을규(Eul Gyu Im),서정택(Jung-Taek Seo),윤주범(Joo-Beom Yun),김도환(Do-Whan Kim),이철원(Cheol-Won Lee),최경희(Kyung-Hee Choi) 한국통신학회 2003 한국통신학회 학술대회 및 강연회 Vol.2003 No.4

프로세스 가상 메모리 데이터 유사성을 이용한 프로세스 할로윙 공격 탐지

임수민,임을규 한국정보보호학회 2019 정보보호학회논문지 Vol.29 No.2

Fileless malware uses memory injection attacks to hide traces of payloads to perform malicious works. During thememory injection attack, an attack named “process hollowing” is a method of creating paused benign process like systemprocesses. And then injecting a malicious payload into the benign process allows malicious behavior by pretending to be anormal process. In this paper, we propose a method to detect the memory injection regardless of whether or not the malicious action isactually performed when a process hollowing attack occurs. The replication process having same execution condition as theprocess of suspending the memory injection is executed, the data set belonging to each process virtual memory area iscompared using the fuzzy hash, and the similarity is calculated. 파일리스 악성코드는 악성 행위를 수행할 페이로드의 흔적을 은닉하기 위해 메모리 주입 공격을 이용한다. 메모리주입 공격 중 프로세스 할로윙이라는 이름의 공격은 시스템 프로세스 등을 일시정지 상태로 생성시킨 다음, 해당 프로세스에 악성 페이로드를 주입시켜 정상 프로세스인 것처럼 위장해 악성행위를 수행하는 방법이다. 본 논문은 프로세스 할로윙 공격이 발생했을 경우, 악성 행위 실제 수행 여부와 상관없이 메모리 주입 여부를 검출할 수 있는 방법을 제안한다. 메모리 주입이 의심되는 프로세스와 동일한 실행 조건을 갖는 복제 프로세스를 실행시키고, 각 프로세스 가상 메모리 영역에 속해있는 데이터 집합을 퍼지 해시를 이용해 비교한 다음 유사도를 산출한다.

RFID 시스템을 위한 상호 인증 프로토콜

강부중,임을규 보안공학연구지원센터 2008 보안공학연구논문지 Vol.5 No.5

RFID란 Radio Frequency Identification의 약자로 식품, 동물, 사물 등 다양한 개체의 정보를 관리, 사용자 인증, 요금 지불 등에 활용될 수 있는 차세대 기술이다. 하지만, RFID에서 사용되는 태그는 극히 제한적인 리소스만 사용할 수 있어, 기존의 보안 기법을 지원할 수 없다. 이런 이유로 현재의 RFID 태그는 잠재적으로 많은 위험성을 안고 있으며, 그 결과 태그 소지자의 개인 정보가 유출될 수 있으며 경제적인 손해를 입을 수도 있다. 이러한 보안상의 취약점을 해결하고자, 본 논문에서는 타임 스탬프를 이용하여 태그와 리더 그리고 후미 시스템 간의 상호 인증을 제공하는 프로토콜을 제안한 다. 이 프로토콜은 RFID 시스템의 객체인 태그와 리더 그리고 후미(back-end) 서버가 각자 서로를 인증하며, 인증된 객체들 사이에서만 데이터를 주고받음으로써 불필요한 정보 유출과 태그 복제 등을 방지할 수 있다.

인 메모리 악성코드 인젝션 기술의 언 패킹기법

배성일,임을규 (사)한국스마트미디어학회 2019 스마트미디어저널 Vol.8 No.1

At the opening ceremony of 2018 Winter Olympics in PyeongChang, an unknown cyber-attack occurred. Themalicious code used in the attack is based on in-memory malware, which differs from other malicious code in itsconcealed location and is spreading rapidly to be found in more than 140 banks, telecommunications andgovernment agencies. In-memory malware accounts for more than 15% of all malicious codes, and it does not storeits own information in a non-volatile storage device such as a disk but resides in a RAM, a volatile storage deviceand penetrates into well-known processes (explorer.exe, iexplore.exe, javaw.exe). Such characteristics make itdifficult to analyze it. The most recently released in-memory malicious code bypasses the endpoint protection anddetection tools and hides from the user recognition. In this paper, we propose a method to efficiently extract thepayload by unpacking injection through IDA Pro debugger for Dorkbot and Erger, which are in-memory maliciouscodes. 2018년 평창 동계 올림픽 개막식에서 출처를 알 수 없는 사이버공격이 발생하였다. 해당 공격에서 사용된 악성코드는 인 메모리 악성코드로 기존 악성코드와 은닉하는 장소가 다르며, 140개 이상의 은행, 통신, 정부 기관에서 발견될 정도로 빠르게 확산되고 있다. 인 메모리 악성코드는 전체 악성코드의 15%이상을 차지하며 매우 심각한 피해를 주고 있다. 비휘발성 저장장치로알려진 하드디스크에 자신의 정보를 저장하는 것이 아닌 휘발성 저장장치 인 램의 특정 메모리영역인 프로세스에 삽입하여악성행위를 일으키는 악성코드를 인 메모리 악성코드라고 지칭한다. 결과적으로 자신의 정보를 남기지 않아 메모리 탐지 도구를 우회하여 악성코드 분석가들의 분석을 어렵게 한다. 또한 현대 메모리는 갈수록 크기가 증가해 메모리 탐지 도구를 사용하여메모리전체를 보기 힘들다. 따라서 본 논문에서는 인 메모리 악성코드인 Dorkbot과 Erger를 대상으로 IDA Pro 디버거를 통해인젝션을 언 패킹하여 효율적으로 페이로드를 산출하는 방법을 제안한다.

RFID 시스템을 위한 상호 인증 프로토콜

강부중,임을규 보안공학연구지원센터(JSE) 2008 보안공학연구논문지 Vol.5 No.4

RFID란 Radio Frequency Identification의 약자로 식품, 동물, 사물 등 다양한 개체의 정보를 관리, 사용자 인증, 요금 지불 등에 활용될 수 있는 차세대 기술이다. 하지만, RFID에서 사용되는 태그는 극히 제한적인리소스만 사용할 수 있어, 기존의 보안 기법을 지원할 수 없다. 이런 이유로 현재의 RFID 태그는 잠재적으로 많은 위험성을 안고 있으며, 그 결과 태그 소지자의 개인 정보가 유출될 수 있으며 경제적인 손해를 입을 수도 있다. 이러한 보안상의 취약점을 해결하고자, 본 논문에서는 타임 스탬프를 이용하여 태그와 리더 그리고 후미 시스템 간의 상호 인증을 제공하는 프로토콜을 제안한다. 이 프로토콜은 RFID 시스템의 객체인 태그와 리더 그리고 후미(back-end) 서버가 각자 서로를 인증하며, 인증된 객체들 사이에서만 데이터를 주고 받음으로써 불필요한 정보 유출과 태그 복제 등을 방지할 수 있다. Radio Frequency Identification(RFID) is a widely used technology to manage various items, to authenticate a person, or to make payments. A tag used for RFID has limited resources, and, as a result, general security mechanism cannot be directly applied. Attacks on RFID systems can cause revelation of privacy information or financial damages. This paper proposes a mutual authentication protocol for RFID systems. The proposed protocol can authenticate RFID tags and readers as well as back-end servers. The proposed mutual authentication protocol can prevent unnecessary revelation of data stored in tags, readers, and back-end servers.

보안 이웃 탐색 프로토콜 성능 향상 기법에 관한 연구

박진호,임을규 한국정보보호학회 2008 정보보호학회논문지 Vol.18 No.6

Neighbor Discovery(ND) protocol is used to exchange an information of the neighboring nodes on the same link in the IPv6 protocol environment. For protecting the ND protocol, firstly utilizing Authentication Header(AH) of the IPsec protocol was proposed. But the method has some problems-uses of key exchange protocol is not available and it is hard to distribute manual keys. And then secondly the SEcure Neighbor Discovery(SEND) protocol which protects all of the ND message with digital signature was proposed. However, the digital signature technology on the basis of public key cryptography system is commonly known as requiring high cost, therefore it is expected that there is performance degradation in terms of the availability. In the paper, to improve performance of the SEND protocol, we proposed a modified CGA(Cryptographically Generated Address) which is made by additionally adding MAC(Media Access Control) address to the input of the hash function. Also, we proposed cache mechanism. We compared performance of the methods by experimentation. 이웃 탐색(Neighbor Discovery) 프로토콜은 IPv6 프로토콜 사용 환경에서 동일 링크에 연결된 노드 사이에 이웃 노드에 관한 정보를 교환하는데 사용되는 프로토콜이다. 처음으로 제안되었던 IPsec 프로토콜의 인증 헤더(Authentication Header)를 이용한 이웃 탐색 프로토콜 보호 방법은 키 교환 프로토콜을 사용할 수 없고 수동적 키 분배의 어려움이 있는 문제점이 있었다. 그 후 모든 이웃 탐색 메시지를 디지털 서명(Digital Signature)으로 보호하는 보안 이웃 탐색(SEND) 프로토콜이 제안되었다. 그렇지만 공개키 암호화 시스템을 기반으로 한 디지털 서명 기술은 일반적으로 고비용이 드는 것으로 알려져 있어 가용성 측면에서 상당한 성능 저하가 있을 것으로 예상된다. 본 논문에서는 보안 이웃 탐색 프로토콜의 가용성을 개선시키기 위해 CGA(Cryptographically Generated Addresses) 주소 생성 과정에서 해시 함수 입력에 MAC(Media Access Control) 주소를 추가하는 Modified CGA 기법과 캐시를 활용하는 방법을 제안하였으며, 실험을 통해 기존 방법과의 성능 차이를 비교하였다.

RNN 알고리즘을 이용한 보행분석 기반 개인 인증방법 구현

한중수,임을규 한국정보과학회 2018 정보과학회 컴퓨팅의 실제 논문지 Vol.24 No.7

Many types of individual recognition techniques have been developed such as the use of a password, ID card, fingerprint recognition, vein recognition, and iris recognition. In the case of a password or ID card, while it is simple to implement, it can be easily imitated or captured and neutralized. In the case of fingerprint recognition, vein recognition, and iris recognition, specific equipment and user registration procedures are required in the corresponding equipment. In this paper, we study the accelerometer sensor data of android devices using Recurrent Neural Network (RNN) and analyze individual recognition through arm motion analysis during walking. 개인 인증 기법에는 비밀번호, 또는 ID카드부터 지문인식, 정맥인식, 홍채인식 등 다수가 존재한다. 비밀번호나 ID카드의 경우 간단하게 구현이 되지만, 이는 쉽게 모방되거나 탈취되어 무력화될 수 있다. 지문인식, 정맥인식, 그리고 홍채인식의 경우 별도의 장비와 해당 장비에서의 사용자 등록 절차가 필요하다. 본 논문에서는 RNN(Recurrent Neural Network)을 이용해 안드로이드 기기의 가속도센서를 학습하여 보행 시 팔 동작 분석을 통한 개인 인증을 분석을 진행한다.