• 수정
• 삭제
• 답변
• 글쓰기

마이크로소프트가 악성 코드를 배포하는 웹 사이트를 인터넷에서 잡아내기 위한 프로젝트 스트라이더 허니몽키를 공개했다.

마이크로소프트 연구소의 사이버보안 및 시스템 관리 그룹이 공개한 기술 문서에는 자동으로 웹을 순시(Automated Web Patrol)를 하도록 하는 개념을 설명하고 패치를 차등적으로 적용한 다수의 가상 윈도우 XP 시스템을 사용해서 악성 코드를 배포하는 웹사이트를 찾아내고 있는 것에 대해서 언급되고 있다.

마이크로소프트는 이를 통해서 287개의 사이트를 통한 752개의 URL을 허니몽키 프로젝트 개시 이후 1달만에 색출해 냈다고 밝혔다. 이 사이트에는 윈도우 XP 시스템을 감염시키는 활동이 감지되었으며 여기에는 완전히 패치가 설치된 윈도우 XP SP2를 감염시키는 사이트도 1개 있었다고 한다.

허니멍키 프로젝트는 초기에 12-25대의 가상 머신을 사용해서 악성 코드로 감염을 시키는 사이트들이 미끼로 물도록 하는 방법으로 웹 순시를 시작했으며 패치 레벨이 다른 여러 대의 가상 머신을 사용해서 사이트 감염의 위험도를 추적하는 몽키 프로그램 파이프라인으로 구성하도록 했다고 마이크로소프트는 밝혔다. 또한 스트라이더 플라이트 데이터 레코더란 프로그램으로 모든 파일과 레지스트리 기록을 저장하도록 하는 블랙 박스 개념을 도입했다고.

허니몽키는 의심이되는 URL에 대해서 브라우져 창을 띄우고 수분간 대기하도록 하는데, 대화상자에서 어떠한 소프트웨어 설치를 허용하지 않도록 설정되어 있으며 브라우져의 임시 폴더에 저장되는 실행파일을 감지하고 이것을 통보하도록 되어 있다. 이로 인해서 허니몽키는 기존 알려진 결함을 노린 공격과 또한 알려지지 않은 결함을 노린 공격에 대한 기록을 같이 보유할 수 있게 되고 각각 다른 패치 수준에 따른 공격 역시 감지할 수 있게 된다.

또한 여기에는 실행 파일의 생성 없이도 보안 공격이 가능한 ASEP(Auto Start Extensibility Point)에 대한 감지 기능도 포함되며 루트킷 같은 잠입형 악성코드를 감지하는 도구도 포함되어 있다.

허니멍키가 악성 사이트를 방문해서 감염되게 되면 관련 정보를 저장하고 이를 중앙 관리 시스템인 ‘멍키 컨트롤러‘에 전송한 후 가상 머신은 자동적으로 말소되고 다시 깨끗한 새 가상 머신을 동작시켜 웹 순시를 지속하게 된다. 허니몽키 프로젝트를 시작해서 테스트한 결과 완전하게 패치된 윈도우 XP 시스템은 사용자의 행동 없이도 악성코드에 감염될 수 있는 가능성이 타 시스템에 비해서 현저하게 낮았다고 마이크로소프트는 밝혔다.

마이크로소프트는 앞으로 허니몽키 시스템을 확장, 수백대의 가상 시스템을 구동하여 24시간 보안 공격을 감행하고 악성코드를 배포하는 사이트에 대한 정보를 수집하며 이에 대한 대처를 실시간으로 세울 수 있도록 하는 시스템을 구축할 예정이다. 또한 주요 검색 엔진 사이트에서 링크를 타고 연결되는 사이트들에 대해서 이 악성코드 배포 사이트와 연계 여부도 감시를 시작하게 된다.

장기적으로 마이크로소프트는 전자 메일과 연계된 피싱 사기등을 막는 전체적인 인터넷 보안 순시 시스템으로 이를 확장할 계획이며 패치 배포의 중요성을 판단하고 악성 코드 배포 출처를 찾아서 차단하는데 이를 사용할 계획이다.