초록 열기/닫기 버튼
최근 보안 분야에서는 다양한 공격 기술을 효과적으로 탐지하고 대응하기 위한 연구개발이 활발하게 이루어지고 있다. 대부분의 기존 솔루션들은 운영체제 동작 과정에서 발생하는 이벤트들을 실시간으로 모니터링하거나 보조 저장장치에 저장되는 아티팩트들을 주기적으로 확인하는 등의 방법을 활용하고 있다. 하지만, 다양한 솔루션들이 실제 환경에 적용되고 있음에도 불구하고 악성코드들을 완벽하게 방어하지 못하는 상황이기 때문에, 기존 방어 기술의 기능적 한계점을 보완하기 위한 새로운 관점의 탐지 방법을 연구할 필요가 있다. 이에, 본 논문에서는 시스템 메모리를 대상으로 악성코드가 실행될 때 생성되는 다양한 아티팩트들의 특징을 활용한 공격 기술 탐지 방안을 제안한다. 구체적으로, MITRE ATT&CK에서 분류한 공격 기술들을 체계적으로 탐지하기 위해서 EQL(Event Query Language)을 활용하여 메모리 아티팩트를 공격 탐지 규칙으로 정규화하고 이를 활용하는 프로토타입 시스템을 개발한다.
Recently, research and development has been actively conducted in the security field to effectively detect and respond to various attack techniques. Most existing solutions utilize methods such as monitoring events that occur during operating system operations in real time or periodically checking artifacts stored on secondary storage devices. However, it is necessary to study new perspective detection methods to supplement functional limitations of existing defense techniques, as various solutions are not fully protected against malicious codes despite being applied in real-world environments. Thus, in this paper, we propose a novel perspective attack technique detection method that utilizes the characteristics of various memory (RAM) artifacts generated by the execution of malicious code. Specifically, to systematically detect attack techniques classified by MITRE ATT&CK, this work normalizes attack detection rules for memory artifacts using Event Query Language (EQL), and develops a prototype system based on it.
키워드열기/닫기 버튼
Digital Forensics, Memory Analysis, Malware, MITRE ATT&CK
