취약성 점검 코드를 자동으로 생성하는 에이전트를 통한 통합 취약성 분석 시스템

악의의 침입자는 일반적으로 시스템의 취약성을 분석하고 발견된 취약성을 이용하여 시스템에 침입한다. 그러므로 보안 관리자는 악의의 침입자로부터 시스템을 보호하기 위해서 주기적으로 시스템의 취약성들을 분석하여 가능한 빠른 시간 내에 해당 취약성들을 제거해 주어야 한다. 기존의 시스템 취약성 분석 방법은 주로 네트웍 기반 취약성 분석 도구에 의존해 왔다. 하지만, 네트웍 기반 취약성 분석 도구는 대상 시스템과의 네트웍 통신을 통해 얻을 수 있는 제한된 정보만을 이용하여 취약성을 점검하기 때문에 네트웍 통신을 통해 접근할 수 없는 시스템 내부 취약성에 대한 검사는 불가능하다. 시스템의 모든 취약성을 정확하게 점검하기 위해서는 호스트 기반 취약성 분석 도구를 사용해야 한다. 하지만, 호스트 기반 취약성 분석 도구는 시스템의 운영체제의 종류와 버전에 따라 다르게 구현해야 하기 때문에 많은 호스트들을 관리 해야하는 보안 관리자가 호스트 기반 취약성 분석 도구를 사용하는 것은 불가능하다. 본 논문에서는 에이전트 기반 취약성 분석 도구인 ISMAEL을 제안하여 프로토타입을 구현하였다. ISMAEL에서 매니저는 대상 시스템에 설치된 에이전트에게 취약성 여부를 판단할 수 있는 정보를 제공하고, 에이전트는 그 정보를 근거로 자신에게 맞는 취약성 분석 코드를 자동으로 생성하여 취약성을 점검한다. 해당 취약성의 점검 결과는 다시 매니저에 XML 형태로 전해진다. 이와 같은 구조를 통해 여러 운영체제로 에이전트를 포팅하는 것이 쉬워질 뿐만 아니라 취약성 점검 항목들이 추가되더라도 매니저의 수정이나 에이전트의 수정이 거의 필요 없게 된다. 우리는 ISMAEL의 프로토타입을 구현하고 실제로 적용해 봄으로써 이것이 효율적임을 알 수 있었다.

Malicious attackers generally attempt to intrude the target systems by taking advantage of existing system vulnerabilities and executing readily available code designed to exploit blown vulnerabilities. To the network security administrators, the rat and minimal step in providing adequate network security is to identify existing system vulnerabilities and patch them as soon as possible. Network-based vulnerability analysis scanners (NVAS), although widely used by network security engineers, have shortcomings in that they depend on limited information that is available and generally do not have access to hast-specific information. Host-based vulnerability analysis scanner (HVAS) can serve as an effective complement to NVAS. However, implementations of HVAS differ from one platform to another and from one version to another. Therefore, to security engineers who often have to maintain a large number of heterogeneous network of hosts, it is impractical to develop and manage a large number of HVAS. In this paper, we propose an agent-based architecture named ISMAEL and describe its prototype implementation. Manager process provides various agent processes with descriptiom on vulnerabilities to check, and an agent process automatically generates, compiles, and executes an Java code to determine if the target system is vulnerable or not. The result is sent back to the manager process, and data exchange occurs in % format. Such architecture provides maximal portability when managing a group of heterogeneous hosts and vulnerability database needs to be kept current because the manager process need not be modified, and much of agent process remains unchanged. We have applied the prototype implementation of ISMAEL and found it to be effective.