| 1 |
1
네트워크 상의 트래픽을 분석하여 상기 네트워크 상에 존재하는 각 호스트들의 상호 피투피 연결정보를 수집하는 과정;상기 수집된 정보를 이용하여 각 호스트들이 피투피(peer-to-peer) 기반으로 상호 연결되어 형성되는 전체 피투피 네트워크에 관한 정보를 구성하는 과정;상기 구성된 피투피 네트워크에 관한 정보를 이용하여 상기 피투피 네트워크의 반경, 상기 피투피 네트워크 내에서 클라이언트와 서버로 동시에 동작하는 호스트의 비율 및 호스트들의 평균 확산속도를 추정하는 과정; 및상기의 추정된 네트워크 반경, 동시동작 호스트의 비율 및 호스트의 평균 확산속도 중 하나 이상이 각각의 특정한 임계치를 초과하는 경우 상기의 피투피 네트워크는 피투피 봇넷(botnet)으로 단정하는 과정을 포함하는 피투피 봇넷 탐지 방법
|
| 2 |
2
제 1 항에 있어서,상기 수집과정에서는 상기 트래픽 내의 패킷을 분석하여 서버포트번호, 연결을 요청하는 클라이언트 호스트, 연결을 제공하는 서버 호스트 및 연결이 설정된 시각에 관한 정보를 수집하는 것을 특징으로 하는 피투피 봇넷 탐지 방법
|
| 3 |
3
제 2 항에 있어서,상기 피투피 네트워크에 관한 정보는 상기 패킷을 분석하여 수집한 서버포트번호, 클라이언트 호스트, 서버 호스트 및 연결이 설정된 시각에 관한 정보를 이용하여, 각 서버포트를 기반으로 연결 그래프를 생성 및 갱신하여 구성되는 것을 특징으로 하는 피투피 봇넷 탐지 방법
|
| 4 |
4
제 3 항에 있어서,상기의 연결 그래프 형태로 구성하는 과정은상기 패킷을 분석하여 결정된 서버포트번호, 클라이언트 호스트, 서버 호스트 및 연결이 설정된 시간을 이용하여,(1)해당 포트에 대한 연결 그래프가 없는 경우 연결 그래프를 생성하는 과정; 및(2)클라이언트 호스트와 서버 호스트를 연결그래프의 호스트들과 비교하여(a)클라이언트 호스트와 서버 호스트 모두가 연결그래프에 없는 경우, 연결그래프에 클라이언트 호스트의 정보, 서버 호스트의 정보, 및 연결그래프의 속성값을 추가하고(b)서버 호스트만 연결그래프에 있는 경우, 클라이언트 호스트의 정보를 추가하고 연결그래프의 속성값을 갱신하며,(c)클라이언트 호스트만 연결그래프에 있는 경우, 서버 호스트의 정보를 추가하고 연결그래프의 속성값을 갱신하는 연결 그래프 갱신 과정을 포함하는 것을 특징으로 하는 피투피 봇넷 탐지 방법
|
| 5 |
5
제 4 항에 있어서,상기의 연결그래프의 갱신 과정은(a)클라이언트 호스트와 서버 호스트 모두가 연결그래프에 없는 경우, 클라이언트 호스트의 레벨은 0으로 설정하고,서버 호스트의 레벨은 1로 설정하며, 각 호스트의 연결시각은 모두 연결이 허용된 시각으로 설정하고,(b)서버 호스트만 연결그래프에 있는 경우, 클라이언트 호스트의 레벨은 서버 호스트의 레벨보다 한 단계 낮은 값으로 설정하고, 클라이언트 호스트의 연결시각은 연결이 허용된 시각으로 설정하고,(c)클라이언트 호스트만 연결그래프에 있는 경우, 서버 호스트의 레벨은 클라이언트 호스트의 레벨보다 한 단계 높은 값으로 설정하고, 서버 호스트의 연결시각은 연결이 허용된 시각으로 설정하는 것을 특징으로 하는 피투피 봇넷 탐지 방법
|
| 6 |
6
제 5 항에 있어서,상기의 추정과정은 특정 포트에 대해 완성된 연결그래프를 이용하여, 네트워크 반경은 네트워크 내의 최대레벨과 최소레벨간의 차이로 추정하고, 클라이언트 호스트 동시동작 호스트의 비율은 전체 호스트의 개수에 대한 동시동작 호스트의 개수의 비율로 추정하고, 평균확산속도는 최소레벨에서 최대레벨까지의 레벨평균확산속도의 평균으로 추정하는 것을 특징으로 하는 피투피 봇넷 탐지 방법
|
| 7 |
7
제 6항에 있어서,상기의 최대레벨은 해당 레벨의 호스트 개수가 에지 레벨 임계치를 초과하는 것에 한하는 것을 특징으로 하는 피투피 봇넷 탐지 방법
|
| 8 |
8
제 6 항에 있어서,상기의 레벨평균확산속도는 모든 호스트 중에서 확산속도 편차 임계치를 초과하는 확산속도를 가지는 호스트를 제외한 나머지 호스트들의 확산속도의 평균으로 하는 것을 특징으로 하는 피투피 봇넷 탐지 방법
|
| 9 |
9
제 1 항 내지 8 항 중 어느 하나의 피투피 봇넷 탐지 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체
|
