명확한 프로토콜 사양 추출을 위한 프로토콜 리버스 엔지니어링 방법 = A Method of Protocol Reverse Engineering for Clear Protocol Specification Extraction

다국어 초록 (Multilingual Abstract)

Today, the amount of Internet traffic is increasing and new applications and malicious behavior continue to appear rapidly. Many of the complex and diverse protocols that occur under these situations, are unknown or proprietary protocols that are at least documented. For efficient network management and network security, analysis the structure of the unknown protocol must precede. Many protocol reverse engineering methods have been proposed for this purpose, but each of method has its own limitations. To address these drawbacks, in this paper proposes a method for clear protocol reverse engineering based on network traces analysis. The proposed method can extract highly intuitive and elaborative outputs which are Field Format, Message Format, Flow Format, and protocol state machine of the unknown protocol. We demonstrate the superiority of the method through an example of the HTTP protocol.

국문 초록 (Abstract)

인터넷 트래픽 발생량이 비대해지고, 새로운 응용 및 악성 행위가 지속적으로 출현함에 따라 이를 분석해야할 트래픽이 급증하고 있다. 이러한 환경 하에 발생하는 복잡 다양한 프로토콜 중 다수는 알려지지 않았거나 최소한으로 문서화되어 있는 비공개 프로토콜이다. 효율적인 네트워크 관리 및 보안을 위해 비공개 프로토콜의 구조 분석은 반드시 선행되어야 한다. 이를 위해 많은 프로토콜 리버스 엔지니어링 방법론이 제안되었지만, 적용하기에 각기 다른 단점이 존재한다. 이러한 단점을 해결하기 위해 본 논문에서는 네트워크 트레이스 분석 기반의 명확한 프로토콜 리버스 엔지니어링 시스템을 위한 방법론을 제안한다. 제안하는 방법론은 비공개 프로토콜의 직관적이며 정교한 Field Format, Message Format, Flow Format과 유한 상태 머신을 출력할 수 있다. 본 논문에서는 HTTP 프로토콜의 예를 통해 제안하는 방법론의 우수성을 설명한다.

참고문헌 (Reference)

• 1 심규석, "최신 네트워크 응용 분류를 위한 자동화 페이로드시그니쳐 업데이트 시스템" 한국통신학회 42 (42): 98-107, 2017
• 2 구영훈, "네트워크 트래픽 분석을 이용한 연쇄적 사이버공격트래픽의 발생원 추적 방법" 한국통신학회 41 (41): 1771-1779, 2016
• 3 W. Cui, "Tupni: Automatic Reverse Engineering of Input Formats" 2008
• 4 M. Beddoe, "The Protocol Informatics Project"
• 5 C. Leita, "ScriptGen: An Automated Script Generation Tool for HoneyD" 200-214, 2005
• 6 정우석, "SCADA 네트워크 다양성을 반영한 플로우 화이트리스트 생성" 한국통신학회 42 (42): 1167-1174, 2017
• 7 W. Cui, "Protocol-Independent Adaptive Replay of Application Dialog" 2006
• 8 P. M. Comparetti, "Prospex: Protocol Specification Extraction" 2009
• 9 J. Caballero, "Polyglot : Automatic Extraction of Protocol Message Format using Dynamic Binary Analysis" 2007
• 10 R. Agrawal, "Mining Sequential Pattern" 3-14, 1995
• 11 M.-H. Kim, "Major Security Vulnerabilities and Security Accident Trends in 2016"
• 12 Y. Wang, "Inferring Protocol State Machine From Network Traces" 2011
• 13 A. Tridgell, "How Samba Was Written"
• 14 N. Borisov, "Generic Application-Level Protocol Analyzer and its Language" 2007
• 15 J. Caballero, "Automatic Protocol Reverse-Engineering: Message Format Extraction and Field Semantics Inference" Elsevier 57 (57): 451-474, 2013
• 16 I. Bernudez, "Automatic Protocol Field Inference for Deeper Protocol Understanding" 2015
• 17 J. Narayan, "A Survey of Automatic Protocol Reverse Engineering Tools" 48 (48): 2016
• 18 M. Shevertalov, "A Reverse Engineering Tool for Extracting Protocols of Networked Applications" 229-238, 2007
• 19 S. Morgan, "5 stats of cyber security in 2017"