Detecting malicious domain names and web links in network traffic

국문 초록 (Abstract)

도메인 이름 (DNS) 이나 웹상의 링크 (URL)들은 많은 사이버 공격을 수행하는 데에 사용되고 있다. 악성도메인의 경우 봇넷에 의해 공격을 수행하기위한 수단으로 이용되고 있을 뿐만 아니라 봇넷을 운용하는 데에 있어서도 다양한 방법으로 이용이 되고 있다. URL의 경우 스팸이나 피싱 그리고 악성코드 감염등에 많이 이용이 되고 있다. 본 연구에서는 인터넷 상에 존재하는 다양한 도메인 이름과 웹링크 중에서 악의적인 목적으로 사용되는 것들을 탐지하기 위한 연구를 수행하였다. 특히 1) 봇넷에 의해 사용되는 도메인이름 2) 스팸, 피싱, 악성코드 감염에 이용이 되는 웹링크를 탐지하는 기술 개발을 중점적으로 수행하였다. 악성 도메인이나 웹링크 탐지와 관련해서는 많은 연구들이 수행되었다. 하지만 대부분의 기술들은 블랙리스트나 휴리스틱 알고리즘에 기반하는 기술들이라 그 한계점을 갖는다. 행위기반의 탐지를 수행하는 기법들도 다수 개발이 되었으나, 탐지의 회피가 쉽거나 트래픽의 내용을 확인해야하기 때문에 대규모 네트워크에서 실시간의 탐지가 불가능하고 소규모 네트워크에서 탐지를 수행하더라도 탐지에 많은 시간이 걸린다. 악성 URL 탐지의 경우 각각의 악성 URL을 탐지하는 기술들은 개발이 되었으나 다양한 악성 URL을 탐지하고 그 종류들을 구분하는 기법은 거의 없다. 봇넷에 의해 이용되는 악성 도메인 탐지의 경우 봇넷이 근본적으로 갖고 있는 그룹행위 특성을 이용한 탐지가 가능하다. 본 연구에서는 이러한 그룹행위 특성을 보이는 악성 도메인의 탐지를 수행하고 뿐만 아니라 머신러닝 기법을 이용하여 악성 도메인을 클러스터링 할 수 있는 기술을 개발하였다. 악성 URL의 탐지를 위해서 텍스트 패턴, 링크 구조, 웹페이지 컨텐츠, DNS 정보, 네트워크 트래픽을 이용하여 다양한 종류의 feature들을 개발하여 악성 URL을 탐지하고 그 종류를 구분하는 기술을 개발하였다. 연구에서 개발한 기술들의 평가를 위해 다양한 실제 네트워크에서 트래픽 데이터를 수집하여 이를 실험에 이용하였다. 실험 결과를 통해 개발된 악성 도메인 탐지 기술을 이용해 대규모 네트워크에서도 실시간으로 행위기반 탐지가 가능하며 회피가 어려움을 알 수 있다. 특히 악성 URL의 탐지에서는 98%이상의 정확도로 탐지가 가능하며, 93%이상의 정확도로 종류를 구분하는 것이 가능하다.

목차 (Table of Contents)

• Abstract
• 1. Introduction
• 2. Related Work
• 2.1 Non-Machine Learning Botnet Detection
• 2.2 Machine Learning Based Botnet Detection
• 2.3 Non-Machine Learning Malicious URL Detection
• 2.4 Machine Learning-Based Malicious URL Detection
• 3. Malicious Domain Name and Web Link Detection Mechanisms
• 3.1 Botnet Related Domain Detection Mechanism
• 3.2 Malicious URL Detection Mechanism
• 4. Evaluation and Analysis
• 4.1 Evaluation of Malicious Domain Detection Mecahnism
• 4.2 Evaluation of Malicious URL Detection Mechanism
• 5. Conclusion
• Reference