북한 운영체제 붉은별 3.0 침입탐지 규칙 분석 (An Analysis of Intrusion Detection Rule of Redstar 3.0 in North Korea)

서지정보

· 발행기관 : 한국정보과학회
· 수록지 정보 : 정보과학회 컴퓨팅의 실제 논문지 / 27권 / 1호 / 48 ~ 54페이지
· 저자명 : 황규섭, 강동수

초록

북한은 잘 알려진 인터넷 고립 국가이다. 그럼에도 불구하고 소니해킹, 워너크라이 공격 등 사이버전 능력을 과시하고 있다. 이러한 능력을 자체 소프트웨어 개발에도 활용하여 붉은별 3.0 OS를 개발하였다. 붉은별 3.0 OS에는 오픈 소스인 Snort를 적용하였고 북한의 상황에 적합하게 Snort 변수 및 탐지 규칙을 수정하였다. Snort 변수는 총 28개를 추가로 선언하고 탐지 규칙은 관리자 및 사용자 권한 탈취 방지, 멜웨어 등 공격을 탐지하는 것에 중점을 두고 있으며 패킷 발생량 기반 탐지는 거의 모든 패킷을 탐지 하도록 설정하였다. 결론적으로 붉은별 3.0 OS Snort는 일반적인 Snort 탐지 규칙과 다르게 폐쇄적이며 더욱 강화된 감시를 기반으로 운영되고 있음을 확인할 수 있다.

영어초록

North Korea is a well-known, isolated country from Internet networks. Nevertheless, North Korea has cyber warfare capabilities such as Sony Hacking and WannaCry attacks. North Korea has used its cyber warfare capabilities to develop its software, the Red Star 3.0 OS. The Red Star 3.0 OS has an open-source, Snort, and modified Snort variables and detection rules to suit the situation in North Korea. A total of 28 additional Snort variables were declared, and detection rules focused on detecting attacks such as administrator and user privilege-taking prevention, malware, etc., and packet-generated-based detection was established to detect nearly all packets. In conclusion, it can be confirmed that the Red Star 3.0 OS Snort, unlike the usual Snort detection rules, is operating on a closed, more enhanced monitoring basis.

참고자료

· 없음