무선 프로토콜 자동 분석기 연구 및 개발 = Research and Development of Wireless Protocol Automatic Analyzer

다국어 초록 (Multilingual Abstract)

Automatic Protocol Reverse Engineering (APRE) defines automatic analysis of the format, semantics, and parameters of an unknown protocol. APRE can be used to detect malware that is distributed on the network, or for security and suitability verification of protocols that have been defined own their own. Conventional APRE studies have been conducted mostly on text-based protocols and wired protocols. As the number of wireless devices increases, there is an increasing need for a protocol analyzer for wireless protocols. Therefore, in this paper, research and development of the protocol automatic analyzer were performed by considering the characteristics of the wireless protocols. For the analysis of the wireless protocol, this study analyzed the messages in binary units.
We propose a method to calculate the message distance by assigning a weight according to the packet acquisition time interval to perform clustering among similar messages. As a result of collecting and analyzing the messages according to the IEEE 802.11 protocol using the proposed method, we could correctly classify 95.1% message types among 800messages, and the degree of conciseness was 3.6. By using one of the existing APRE tools, Netzob, 92.1% precision was obtained with the conciseness of 3.5.
Consequently, the proposed method showed better performance than Netzob.

국문 초록 (Abstract)

자동 프로토콜 역공학이란 비공개 프로토콜의 포맷, 의미, 파라미터를 자동적으로 분석하는 것을 의미한다. 자동 프로토콜 역공학은 네트워크 상에서 유포되는 악성코드를 탐지하기 위해 사용되거나 자체적으로 규약한 프로토콜에 대한 보안성, 적절성 검증을 위해 사용될 수 있다. 기존의 자동 프로토콜 역공학 관련 연구는 텍스트 기반 프로토콜과 유선 프로토콜을 대상으로 많이 진행되었다. 무선 기기가 증가함에 따라, 무선 프로토콜을 대상으로 한 프로토콜 자동 분석기 연구의 필요성이 증대되고 있다. 따라서, 본 논문에서는 무선 프로토콜의 특성을 반영한 프로토콜 자동분석기 연구 및 개발을 진행하였다. 무선 프로토콜 분석을 위해 본 연구에서는 바이너리 단위로 메시지를 분석하였다. 유사한 메시지들끼리 군집화를 수행하기 위해 패킷 수집 시간 간격에 따른 가중치를 부여하여 메시지 거리를 계산하는 기법을 제안한다.
본 연구에서 제시한 기법을 통해 IEEE 802.11 프로토콜을 따르는 메시지를 수집하여 분석한 결과, 800개의 메시지들 중 95.1%의 메시지의 타입을 정확히 분류해낼 수 있었으며, 간결도는 3.6 이었다. 기존 프로토콜 자동 분석기인 Netzob을 이용하여 분석한 결과 정밀도는 92.1%, 간결도는 3.5로 본 논문에서 제안한 기법이 더 좋은 성능을 보인다.

참고문헌 (Reference)

1 J. Cache, "Wright, Hacking exposed wireless: wireless security secrets & solutions" McGraw-Hill 2007

2 G. Tenebro, "W32. waledac threat analysis" 2009

3 E. Research, "USRP N2x0 Series Device Manual"

4 T. Berson, "Skype security evaluation" 31 : 2005

5 V. M. Igure, "Security issues in SCADA networks" 25 (25): 498-506, 2006

6 J. Antunes, "Reverse engineering of protocols from network traces" 169-178, 2011

7 J. -Z. Luo, "Position-based automatic reverse engineering of network protocols" 36 (36): 1070-1077, 2013

8 G. Starnberger, "Overbot : a botnet protocol based on Kademlia" 13-, 2008

9 IEEE Computer Society, "IEEE 802.11: Wireless LAN medium access control and physical layer specifications"

10 The GNU Radio Foundation, "GNU Radio"

11 G. Bossert, "Exploiting Semantic for the Automatic Reverse Engineering of Communication Protocols" 2014

12 W. Cui, "Discoverer : Automatic Protocol Reverse Engineering from Network Traces" 1-14, 2007

13 Y. Wang, "Biprominer : Automatic mining of binary protocol features" 179-184, 2011

14 D. Andriesse, "An analysis of the zeus peer-to-peer protocol" VU University Amsterdam 2013

15 M. Lynn, "Advanced 802.11 attack" Black Hat Briefings 2002

16 J. Narayan, "A survey of automatic protocol reverse engineering tools" 48 (48): 40-, 2016

17 Y. Wang, "A semantics aware approach to automated reverse engineering unknown protocols" 1-10, 2012