공기 정보를 이용한 비정상 SIP 패킷 공격탐지 기법

Abstract

SIP(Session Initiation Protocol)는 IP 기반의 VoIP(Voice over IP) 서비스를 실현하기 위한 시그널링 프로토콜이다. 그러나 SIP 프로토콜은 기존의 IP 망을 활용하기 때문에 많은 보안 취약점이 존재한다. 특히 SIP 헤더의 정보를 변경하여 전송하는 SIP Malformed 메시지 공격 같은 경우 VoIP 서비스의 오작동을 유발하거나, 악성코드를 삽입하여 SIP 클라이언트 시스템내 개인정보를 유출하는 등 심각한 문제점을 보이고 있어 이에 대한 대체 방안이 제시되어야 한다. 이에 본 논문에서는 SIP Malformed 메시지 공격탐지에 대한 기존의 연구를 분석하고, 언어 처리에서 단어의 연관성을 분석하는 기법으로 사용되는 공기 정보(Co-occurrence Information)와 네트워크에서 발생하는 실제 SIP 세션 상태 정보를 반영하여 SIP 연관규칙 패턴을 생성하는 기법을 제안하였다. 본 논문에서 제안한 공기정보 기반 SIP 연관규칙 패턴을 이용하여 SIP 비정상메시지 공격을 탐지한 결과 평균 87%의 탐지율을 보였다. SIP (Session Initiation Protocol) is a signaling protocol to provide IP-based VoIP (Voice over IP) service. However, many security vulnerabilities exist as the SIP protocol utilizes the existing IP based network. The SIP Malformed message attacks may cause malfunction on VoIP services by changing the transmitted SIP header information. Additionally, there are several threats such that an attacker can extract personal information on SIP client system by inserting malicious code into SIP header. Therefore, the alternative measures should be required. In this study, we analyzed the existing research on the SIP anomaly message detection mechanism against SIP attack. And then, we proposed a Co-occurrence based SIP packet analysis mechanism, which has been used on language processing techniques. We proposed a association rule generation and an attack detection technique by using the actual SIP session state. Experimental results showed that the average detection rate was 87% on SIP attacks in case of using the proposed technique.