다크트레이스 성공 사례 - Sality 봇네트 감염 공격

작성자 : DSSa / 날짜 : 2017. 12. 27. 20:46 / 카테고리 : 차세대 위협감지 - 다크트레이스



호주에 위치한 금융 서비스 회사와의 POV 기간 동안, 다크트레이스(Darktrace) 면역 시스템은 멀웨어에 감염된 공격자에 악용되고 있는 듯한 행동을 하는 컴퓨터를 발견해냈습니다. 기존 솔루션들로는 발견되지 않았던 해당 현상은, 다크트레이스에 의해서 탐지가 되어 비이상적인 행동을 탐지하고 추적을 시작한 것입니다.


가장 비이상적인 행동으로는 먼저, 현재 어떠한 합법적 온라인 서비스를 제공하지 않는 "parked" 웹사이트에 접속을 시도 했다는 것입니다. 활성화 되어 있지 않는 웹사이트는 악성코드를 확산하는 데에 공격자들로부터 종종 사용되기도 하기 때문입니다. 공격자는 Sality 봇넷 명령 및 제어 센터를 호스팅하는 다른 사이트에 방문자를 리디렉션 하기 위한 방법으로 악용하고 있었던 것이였습니다.




Sality는 이러한 인프라를 이용하여 스팸을 보내거나 통신을 가로채고 중요한 데이터를 갈취하거나 중요한 웹 서버를 감염시키는 것으로 알려져 있습니다.


다크트레이스는 회사 내 디바이스 중 하나가 암호화된 채널을 통해서 이 웹사이트와 통신하는 것을 발견하였고, 숨겨진 내용은 그 이상의 명령을 포함하는 페이로드가 포함되어 있었습니다.


이번 위협은 다크트레이스의 Suspicious Domain 모델에 포착되었습니다. Suspicious Domain이란 악의적인 활동이나 감염원을 가리키는 외부 인프라의 요소를 식별하는데에 사용되며, 사용된 웹사이트는 정기적으로 사용되지 않았던 웹사이트로 비 정상적인 행위에 식별이 되어 경고창에 뜨게 된 것입니다.



이번 위협으로 보이듯이, 다크트레이스의 면역시스템은 외부로 나가는 모든 통신들 또한 모니터하고 또한, 초기에 위협을 탐지 해내므로 더 큰 위협이나 손상이 일어나기 전에 보안팀에 알려 초기 대응이 가능하도록 했습니다.


위에서 다크트레이스 POV 기간 중에서 발견한 악성 봇넷 탐지와 같이, 다른 보안 솔루션으로는 탐지할 수 없는 영역까지 다크트레이스는 탐지할 수 있습니다. 기존 시그니처 기반에서는 절대 탐지할 수 없는 부분은 존재할 수 밖에 없습니다.


머신러닝을 통해 정상/비정상 여부를 판단하는 머신러닝 기반의 보안솔루션의 도입은 앞으로 존재하는 모든 위협에 대한 방어가 가능하게 합니다.



다크트레이스는 차세대 위협탐지 시스템으로 삼성에서도 투자한 유망한 기업입니다. 다크트레이스는 세계 일류의 사이버보안 기업으로써 다양한 수상경력을 가지고 있습니다. 당사의 기업 면역 시스템은 캠브리지 대학의 전문가들이 개발한 머신러닝과 수학적인 알고리즘을 바탕으로 이전에 확인되지 않은 위협을 탐지하여 반응합니다.



다크트레이스는 사전에 정의되어 있는 규칙이나 시그니처를 사용하지 않는 대신 네트워크 내 장비, 사용자 및 네트워크의 삶의 패턴을 자동적으로 파악하여, 타 보안 시스템을 우회하며 진화하는 위협을 탐지하고 방어합니다.


애너지 및 공익사업, 금융 서비스, 무선통신, 보건, 제고, 소매 및 운송을 비롯한 여러 분야에서 세계 유수 기업들이 다크트레이스의 솔루션을 도입하고 있습니다. 다크트레이스는 영국 캠브리지와 미국 샌프란시스코에 각각 본사를 두고 있으며, 오클랜드, 런던, 밀라노, 뭄바이, 파리, 서울, 싱가포르, 시드니, 도큐, 토론토 및 워싱턴 DC를 비롯하여 전세계적으로 23개의 사무소가 있습니다.



다크트레이스의 기업 면역 시스템은 내부자의 위협을 포함하여 네트워크에서 발생하는 사이버 위협을 탐지하고 대응 할 수 있습니다. 첨단 머신러닝과 고급 수학의 무장한 기업 면역 시스템은 모든 사용자, 장치, 네트워크들의 삶의 패턴을 자동으로 학습합니다.




이러한 자가 학습 기술은 네트워크 활동에 대한 종합적 가시성을 제공하여 기업이 위협적인 사이버 공격에 선제적으로 대응하고 위험요소를 완화 시킬 수 있도록 도와줍니다.


다크트레이스(Darktrace)는? 차세대 엔터프라이즈 면역 시스템입니다.

1. 네트워크 및 사용자, 디바이스의 다양한 행위에 대한 자동학습

위협에 대한 개별 요소들의 종합적인 연관상태를 분석하고 학습하여 정상상태와 비정상적인 상태를 식별한 후 규칙이나 시그니처를 기반으로 한 전통적인 시스템이 탐지하지 못한 위협과 공격을 식별합니다. 시스템은 네트워크의 정상적인 상태를 학습하여 위협에 민감하고 반응하고 대응할 수 있는 보안 '면역체계'를 강화할 수 있습니다.


2. 네트워크, 사용자, 디바이스에 대한 수학적 확률엔진의 비정상적 행위 '순환적 확률 추론'

베이지안 순한 확률 모형 (RBE), 순차적 몬테카를로, 라쏘 모델을 통해 고객 네트워크를 사용하는 사용자 및 디바이스 행위에 대한 수학적인 확률을 계산하여 지속적으로 정상 상태를 확인하고 계산합니다.


이러한 인체의 면역기능을 응용한 네트워크, 사용자, 디바이스 기반 정상행위학습기반의 건강한 면역체계 구축




위 사례는 국내 전자상거래 업체의 개인정보 유출사태에 대한 로드맵입니다. 위 내용을 보시면 기존 보안 솔루션이 가진 한계점을 파악할 수 있습니다.


만약, 해당 전자상거래 업체에 다크트레이스 보안 솔루션이 설치되어 있었다면 어떻게 되어 있었을 까요?


국내 전자상거래 업체 해킹 사건 다크트레이스 가상 탐지 시나리오

A. "우리가족" 멀웨어의 Beaconing 파악
- 단 한번도 접속한적 없는 PC가 (확률 ??%)

- 동일 그룹내 접속 이력이 없는 IP에 (확률 ??%)

- 비 정상적인 시간에 (확률 ??%)

- 비 정상적인 주기로 접속을 시도할 경우 (확률 ??%)


B. lelowutil.exe의 악성 행위 파악

- 평소에 접속하지 않던 PC가 내부 서버에 접속 (확률 ??%)

- 평소에 다운 받지 않은 용량의 데이터를 내부 서버로부터 다운로드 (확률 ??%)

- 서버에는 평소에 보내지 않던 PC로 데이터 전송 (확률 ??%)


C. lelowutil.exe의 업로드 파악

- 평소에 접속을 맺지 않는 IP로 (확률 ??%)

- 동일 그룹내에서 접속한 적이 없는 IP로 (확률 ??%)

- 평소에 보낸 적이 없던 데이터를 전송 (확률 ??%)


위 사례와 같이 비정상과 정상을 구분하여 탐지하고 판단하는 탐지 기법에는 비지도학습 기반의 머신러닝 기술이 탑재되어 있습니다.


다크트레이스의 머신러닝 엔진은 사람의 개입을 최소화하고 현재 많은 보안 대응 체계가 채택하고 있는 시그니처와 룰기반의 접근방법을 따르지 않습니다.

◈ Thought 사고 - 과거와 정보를 학습하며 판단에 필요한 인사이트를 제시합니다.

◈ Real Time 실시간 - 시스템은 현재 시점을 분석합니다.

◈ Self-Improving 자가개선 - 새롭게 학습되는 정보를 통해 스스로 개선해 나갑니다.




비지도학습 

 지도학습

 - 학습 시 출력값에 대한 정보 없이(교사 없이) 진행되는 학습

 - 군집화, 밀도 추정, 차원축소, 특징 추출 등이 필요한

   문제에 적합

 - 출력 결과 값을 미리 알려주는 교사가 존재하는 학습법

 - 주로 인식, 분류, 진리, 예측 등의 문제 해결에 적합함

 - 동물과 관련된 데이터가 입력되면 수집된 데이터로부터

   특징을 추출
 - 군집화, 추정을 통해 서로 다른 종으로 구분하여 분류

 파충류, 포유류 등 종에 대한 분류지표와 기준을 이미 입력시킨 후 컴퓨터로 하여금 어떤 종이 파충류인지 또는 포유류 인지 분류





(주) 아이마켓코리아
김 경 일

과장 │ IT 솔루션 영업팀

TEL 02-3708-8254
E-mail : raykim7@imarketkorea.com
서울특별시 강남구 삼성동 삼성로512 삼성동빌딩 16층 우)135-090



Trackbacks 0 / Comments 0

Blog Information

아이마켓코리아

보안솔루션, HSM, 인증보안, DLP 솔루션, 암호화 장비, 기업서버 판매, 보메트릭

공지사항

블로그 검색

Calendar

«   2019/12   »
1 2 3 4 5 6 7
8 9 10 11 12 13 14
15 16 17 18 19 20 21
22 23 24 25 26 27 28
29 30 31        

방문자 통계

  • 전체 : 386,854
  • 오늘 : 18
  • 어제 : 83
(주) 아이마켓코리아
주소 : 서울시 강남구 삼성로 512 삼성동빌딩 16층
대표이사 : 남인봉 | 사업자등록번호 : 104-81-58502
TEL : 02-3708-8254 | Mail : raykim7@imarketkorea.com
Copyright © imarketkorea.Co,Ltd All Rights Reserved.