Earticle

프로토콜 reverse-engineering 기술은 unknown protocol 의 스펙을 추출하기 위해서 보통 표준화된 방법이 없어서 대부분 수동으로 스펙을 분석하거나 반자동 방식으로 이를 분석한다. 만약 unknown protocol의 근간이 되는 프로토콜을 알 수 있다면, 이를 이용하여 스펙을 분석할 수 있으므로 자동화되고 정확한 분석이 가능할 것이다. 학습되지 않은 프로토콜을 분류하기 위해서는 특징추출은 매우 중요한 단계 중의 하나이다. 본 논문은 기존 프로토콜을 변형한 프로토콜에 대해서 높은 성능을 갖는 분류기를 개발하기 위해서 몇 가지 특징 추출 알고리즘을 제안하고, 프로토콜의 형태 변화에 강인한 특징추출 알고리즘을 제안한다. 성능 검증을 위해서 8개 공개 프로토콜을 대상으로 학습을 수행하고 이를 변형한 프로토콜을 대상으로 성능 측정을 진행하였다.

On today, Protocol reverse-engineering technique can be used to extract the specification of an unknown protocol. However, there is no standardized method, and in most cases, the extracting process is executed manually or semi-automatically. If the information about the structure of an unknown protocol could be acquired in advance, it would be easy to conduct reverse engineering. the feature extraction is an important step in unknown protocol classification. However, in this paper, we present a comparison several feature extraction techniques and suggests a method of feature extraction algorithm for recognizing unknown protocol. In order to verify the performance of the proposed system, we performed the training using eight open protocols to evaluate the performance using unknown data.

최근 복잡하고 지능화된 다양한 악성코드가 지속해서 출현하면서 악성코드와 명령을 주고받는 C&C(Command & Control) 서버도 증가하였다. 봇넷과 C&C 서버의 통신 프로토콜 분석은 봇넷을 깊이 있게 이해하고, 방어하는 데 필수적이다. 이러한 비공개 통신 프로토콜을 분석하기 위한 통신 프로토콜 역공학 분석 기법은 네트워크 기반의 분석 방법과 실행 기반의 분석 방법으로 구분할 수 있다. 본 논문에서는 각 기법의 연구 동향을 파악하고, 더욱 향상된 성능을 위해, Anti-VM 대응 환경, 가상의 C&C 서버 역할을 할 수 있는 Fakenet-ng와 Pintool 기반의 동적 분석 도구인 Protocol Tracer를 개발하여 네트워크 기반과 실행 기반의 분석 방법을 혼합한 하이브리드 분석 방식의 분석환경을 구성하였고, 실험을 통해 도출한 분석환경으로부터 기존환경의 데이터보다 양적 및 질적으로 향상된 결과를 확인하였다.

With the advent of a variety of complex and intelligent malicious code these days, the number of C&C (command and control) servers exchanging commands with malicious code is also increasing. Analysis of communication protocols between botnets and C & C servers is essential for a deeper understanding and defense of botnets. The communication protocol reverse engineering analysis method for analyzing such a closed communication protocol can be divided into a network-based analysis method and an execution-based analysis method. In this paper, we have developed a protocol tracer, a dynamic analysis tool based on Fakenet-ng and Pintool, to understand the research trends of each method and further improve its performance. It acts as an Anti-VM responsive environment and virtual. C&C server. We constructed a hybrid analysis environment that combines analysis methods and execution, and improved the results quantitatively and qualitatively from the analysis environment obtained by the experiment compared to the data of the existing environment.

최근 위성 통신의 중요성이 높아지면서, 위성 통신의 보안 강화, 취약점 분석 등을 목적으로 하는 위성 프로토콜 역공학의 필요성이 커지고 있다. 위성 프로토콜에는 제한된 주파수 대역, 낮은 신호 대 잡음비 등의 위성 통신 환경의 특성으로 비트 단위 필드들이 존재하기 때문에 기존 바이트 단위 프로토콜 역공학 기법으로는 구조 복원이 어렵다. 본 논문에서는 정보이론 기반의 필드 분할 및 병합 기법을 제안하여, 바이트 내부 뿐 아니라 바이트 경계에 걸친 비트 단위 필드까지 정밀하게 식별할 수 있도록 하였다. 제안 방법의 효과를 검증하기 위해 CCSDS 표준 프로토콜 및 큐브위성에 사용되는 프로토콜, 변형된 프로토콜, 잡음이 포함된 데이터 등 다양한 환경에서 실험을 수행하였다. 실험 결과, 제안 방법은 표준 프로토콜, 변형 프로토콜, 잡음 환경에서 각각 0.65, 0.57, 0.59의 F1 score를 기록하며 기존 기법 대비 우수한 성능을 보였다. 또한 분석 패킷 개수가 1000개인 경우에도 분석 소요 시간이 15초 이내로 측정되어, 실제 환경에서 적용 가능함을 확인하였다.

With the growing importance of satellite communications, the need for satellite protocol reverse engineering aimed at enhancing security and analyzing vulnerabilities has also increased. Due to the characteristics of the satellite communication environment-such as limited frequency bandwidth and low signal-to-noise ratio-bit-level fields are present, making it difficult to reconstruct protocol structures using conventional byte-level protocol reverse engineering techniques. In this paper, we propose an information-theoretic field segmentation and merging method that enables precise identification of bit-level fields not only within bytes but also across byte boundaries. To verify the effectiveness of the proposed approach, we conducted experiments in various environments, including CCSDS standard protocols, protocol used in Cubesat, variants of space packet protocol, and data containing noise. Experimental results show that the proposed method achieved F1 scores of 0.65, 0.57, and 0.59 in standard protocols, modified protocols, and noisy environments, respectively, demonstrating superior performance compared to existing techniques. Moreover, the execution time for 1,000 packets remains under 15 seconds, which confirms that the method can be applied effectively in practical settings.

본 논문에서는, 패킷 모니터링을 이용하여 모바일 환경에서 페이스북 서버와 클라이언트의 어플리케이션간의 동작을 분석하고 페이스북 Graph API 를 사용하여 프로토콜을 분석하였다. 페이스북 프로토콜의 분석결과는 향후 다양한 플랫폼에서 페이스북 사용과 게이트웨이 서버와 페이스북 서버간의 통신 기능을 수행하는데 활용하고자 한다.

본 논문에서는, 패킷 모니터링을 이용하여 모바일 환경에서 페이스북 서버와 클라이언트의 어플리케이션간의 동작을 분석하고 페이스북 Graph API 를 사용하여 프로토콜을 분석하였다. 페이스북 프로토콜의 분석결과는 향후 다양한 플랫폼에서 페이스북 사용과 게이트웨이 서버와 페이스북 서버간의 통신 기능을 수행하는데 활용하고자 한다.