네트워크기반 분석 봇 감염여부 탐지
■ DDoS 대응 시스템
한국트렌드마이크로(지사장 박상현)가 출시한 좀비PC 탐지 및 치료솔루션(TMS2.5)은 네트워크 기반의 분석을 통해 엔드포인트의 봇 감염 여부를 탐지하고 자동 치료한다.
봇은 공격자에 의해 원격 조정되는 좀비PC를 만들어 DDoS에 공격에 이용할 뿐 아니라, 외부의 호스트와 교신해 내부의 기밀 정보를 유출시키고 PC 기능까지 마비시키는 문제를 일으킨다.
봇은 기존 바이러스와 달리 네트워크 통신을 통해 활동하거나 다른 프로그램이 구동할 때 편승해서 활동하는 등 다양한 양태를 가짐으로써 일반적인 파일 기반의 패턴 매칭에 의존하는 백신으로는 끊임없이 생성되는 신종 봇에 효과적 대응이 어렵다. 또 비정상적인 트래픽을 탐지하는 침입방지시스템(IPS)의 경우에는 일부 정상적 웹 접속을 통한 봇 통신을 탐지 할 수 없는 한계가 존재한다.
한국트렌드마이크로는 자사의 탐지장비가 5개의 탐진 엔진을 가동시켜 외부 컨트롤서버(C&C)와의 통신을 위한 인터넷주소, 웹에서 다운로드 되는 악성코드, 특정 포트를 통해 외부와 교신하는 내용 등이 고스란히 남겨지게 되면 이 원시파일로그의 상관관계를 분석해 봇이나 바이러스 여부를 가려낸다고 설명했다. 탐지장비는 클라우드 보안센터와 연계해 실시간 시그니처를 생성하며 네트워크 행위기반 탐지를 위한 자체 룰을 업데이트 한다. 이렇게 탐지된 봇 정보는 즉시 치료장비로 전송된다.
또 이 회사의 치료장비에서는 탐지로그를 기반으로 자동 치료패턴을 생성하며 사용자단(엔드포인트)에 설치돼 있는 에이전트를 통해 파일 제거 및 프로세스를 치료하는 명령을 전달한다. 감염된 PC의 상태와 치료내역은 모니터링 화면을 통해 즉각 조회할 수 있으며 엔드포인트로부터 수동스캔을 통해 봇 감염여부를 진단할 수도 있게 돼 있다.
한국트렌드마이크로는 자사의 솔루션을 통한 탐지 및 치료결과가 별도의 포탈서버에 전송이 돼 모니터화면을 통해 각 사업부별 혹은 사이트별 집계결과를 확인할 수 있고 전자우편을 통해 일간, 주간, 월간 단위 리포트를 받아볼 수 있다고 설명했다.
특히 좀비PC 탐지 및 치료솔루션의 가장 큰 특징은 치료 모듈을 제공한다는 점이라고 한다. 기존의 다른 안티 봇넷 솔루션 대부분은 가상화 실행 등 파일기반 분석에 특화돼 봇 감염 PC 탐지보다 유입되는 바이러스를 수집ㆍ분석하는 허니팟에 더 가까운 형태를 보였다.
트렌드마이크로의 솔루션은 정상 트래픽 속에서 이뤄지는 외부 통신을 탐지하는 기술을 핵심으로 자동치료모듈을 제공해 다른 솔루션과 차별화 된다.
더불어 글로벌 3대 보안 기업인 트렌드마이크로의 전 세계 보안 정보를 바탕으로 해외등 원격지의 지점 감염 현황을 모니터링 해 즉각적으로 치료할 수 있도록 지원한다.
트렌드마이크로의 좀비PC 탐지 및 치료솔루션은 교육과학부의 DDoS 대응 체계 구축 사업의 솔루션으로 선정, 교육과학부 산하 35개 기관에 공급된 바 있다.
한국트렌드마이크로(지사장 박상현)가 출시한 좀비PC 탐지 및 치료솔루션(TMS2.5)은 네트워크 기반의 분석을 통해 엔드포인트의 봇 감염 여부를 탐지하고 자동 치료한다.
봇은 공격자에 의해 원격 조정되는 좀비PC를 만들어 DDoS에 공격에 이용할 뿐 아니라, 외부의 호스트와 교신해 내부의 기밀 정보를 유출시키고 PC 기능까지 마비시키는 문제를 일으킨다.
봇은 기존 바이러스와 달리 네트워크 통신을 통해 활동하거나 다른 프로그램이 구동할 때 편승해서 활동하는 등 다양한 양태를 가짐으로써 일반적인 파일 기반의 패턴 매칭에 의존하는 백신으로는 끊임없이 생성되는 신종 봇에 효과적 대응이 어렵다. 또 비정상적인 트래픽을 탐지하는 침입방지시스템(IPS)의 경우에는 일부 정상적 웹 접속을 통한 봇 통신을 탐지 할 수 없는 한계가 존재한다.
한국트렌드마이크로는 자사의 탐지장비가 5개의 탐진 엔진을 가동시켜 외부 컨트롤서버(C&C)와의 통신을 위한 인터넷주소, 웹에서 다운로드 되는 악성코드, 특정 포트를 통해 외부와 교신하는 내용 등이 고스란히 남겨지게 되면 이 원시파일로그의 상관관계를 분석해 봇이나 바이러스 여부를 가려낸다고 설명했다. 탐지장비는 클라우드 보안센터와 연계해 실시간 시그니처를 생성하며 네트워크 행위기반 탐지를 위한 자체 룰을 업데이트 한다. 이렇게 탐지된 봇 정보는 즉시 치료장비로 전송된다.
또 이 회사의 치료장비에서는 탐지로그를 기반으로 자동 치료패턴을 생성하며 사용자단(엔드포인트)에 설치돼 있는 에이전트를 통해 파일 제거 및 프로세스를 치료하는 명령을 전달한다. 감염된 PC의 상태와 치료내역은 모니터링 화면을 통해 즉각 조회할 수 있으며 엔드포인트로부터 수동스캔을 통해 봇 감염여부를 진단할 수도 있게 돼 있다.
한국트렌드마이크로는 자사의 솔루션을 통한 탐지 및 치료결과가 별도의 포탈서버에 전송이 돼 모니터화면을 통해 각 사업부별 혹은 사이트별 집계결과를 확인할 수 있고 전자우편을 통해 일간, 주간, 월간 단위 리포트를 받아볼 수 있다고 설명했다.
특히 좀비PC 탐지 및 치료솔루션의 가장 큰 특징은 치료 모듈을 제공한다는 점이라고 한다. 기존의 다른 안티 봇넷 솔루션 대부분은 가상화 실행 등 파일기반 분석에 특화돼 봇 감염 PC 탐지보다 유입되는 바이러스를 수집ㆍ분석하는 허니팟에 더 가까운 형태를 보였다.
트렌드마이크로의 솔루션은 정상 트래픽 속에서 이뤄지는 외부 통신을 탐지하는 기술을 핵심으로 자동치료모듈을 제공해 다른 솔루션과 차별화 된다.
더불어 글로벌 3대 보안 기업인 트렌드마이크로의 전 세계 보안 정보를 바탕으로 해외등 원격지의 지점 감염 현황을 모니터링 해 즉각적으로 치료할 수 있도록 지원한다.
트렌드마이크로의 좀비PC 탐지 및 치료솔루션은 교육과학부의 DDoS 대응 체계 구축 사업의 솔루션으로 선정, 교육과학부 산하 35개 기관에 공급된 바 있다.
