Log4Shell-vulnerability-CVE-2021-44228-

이 저장소는 Log4Shell 취약점(CVE-2021-44228)에 대한 심층 분석을 제공하며, 로그 데이터에서 악용 시도를 탐지하기 위한 머신러닝 기반 접근 방식을 구현합니다.

데이터 수집 및 소스

사용된 데이터셋:

• **Zeek Security Dataset**의 공개 로그
• **DShield**의 허니팟 로그
• Metasploit 및 Kali Linux를 사용한 맞춤형 공격 시뮬레이션
• 여기에서 데이터셋 다운로드: Log4Shell Logs

데이터셋 설명

• 전체 데이터셋 크기: 80 MB
• 학습 데이터: 70% (56 MB)
• 테스트 데이터: 30% (24 MB)
• 전체 로그 수: 1,000,000
• 악성 로그: 300,000
• 정상 로그: 700,000

샘플 로그 데이터셋 (log4shell_logs.csv)

피처 엔지니어링

• 로그 정규화: 타임스탬프 변환, 필드 추출
• 정규식 기반 피처 추출: jndi, ldap, rmi, dns 패턴 식별
• 텍스트 벡터화: TF-IDF 기반 피처 변환

위협 탐지를 위한 머신러닝 모델

• 알고리즘: Random Forest 분류기
• 평가 지표: 정확도(Accuracy), 정밀도(Precision), 재현율(Recall), F1 점수(F1-score)

모델 학습을 위한 Python 코드

결과 및 성능 분석

테스트 결과:

• 정밀도(Precision): 98%
• 재현율(Recall): 95%
• F1 점수(F1-score): 96%
• 오탐률(False Positive Rate): 3%

기존 연구와의 비교:

• 기존의 규칙 기반 SIEM 시스템은 80-85% 정확도를 보입니다.
• 우리의 머신러닝 기반 접근법은 96% 정확도를 달성하여 탐지율을 크게 향상시킵니다.
• 딥러닝 기반 방법과 비교할 때, 우리의 Random Forest 모델은 유사한 정밀도를 달성하면서도 더 빠르고 해석 가능합니다.

정밀도-재현율 곡선

혼동 행렬

결론 및 향후 작업

결론:

• Random Forest 모델은 높은 정밀도로 Log4Shell 위협을 효과적으로 탐지합니다.
• JNDI 패턴 인식을 활용한 피처 추출은 정확도를 향상시킵니다.
• 실제 로그에는 적대적 회피(adversarial evasion)가 포함될 수 있으므로 추가적인 튜닝이 필요합니다.

향후 작업:

• 이상 탐지를 위한 딥러닝(LSTM, Transformer 기반 모델) 구현.
• 실시간 로그 처리 파이프라인(예: ELK 스택, Apache Kafka) 통합.
• 탐지를 기타 로그 기반 CVE 취약점으로 확장.

사용 방법

1. 저장소를 클론합니다:
   root@kitploit:~

   git clone https://github.com/yourgithub/Log4Shell-Threat-Detection.git
   cd Log4Shell-Threat-Detection
   

2. 의존성을 설치합니다:
   root@kitploit:~

   pip install -r requirements.txt
   

3. 모델 학습 스크립트를 실행합니다:
   root@kitploit:~

   python scripts/model_training.py
   

4. results/ 폴더에서 탐지 결과를 분석합니다.