• Review of KIISC
• /
• v.15 no.3
• /
• pp.69-75
• /
• 2005

특정 또는 불특정 네트워크를 공격 대상으로 하는 인터넷 웜, 분산서비스거부 공격 등의 출현과 가공할 파괴력으로 인해 네트워크에 대한 보안 요구가 점차 증가하고 있다. 침입탐지시스템 등의 네트워크 보안 솔루션은 네트워크 공격에 대한 감시 및 차단 등의 기능을 제공하며 기술적인 진화를 거듭하고 있지만, 근본적인 한계로써 국부 감시로 인한 불명확성과 오탐에 의한 보안경보$^{1)}$ 플러딩 등이 지적되고 있다. 특히 보안경보의 플러딩 현상은 네트워크 보안 상태를 정확하게 판단하는 것을 방해함으로써 조기경보체제의 구축을 어렵게 하는 요인이 되고 있다. 최근 이러한 부분을 극복하기 위해 보안경보 간의 상호 연관성 분석에 대한 연구가 활발해 지고 있다. 본 논문에서는 보안경보에 대한 연관성 분석 동향에 대해서 논의한다. 또한 보안경보의 집단화(aggregation)를 이용한 네트워크 공격 상황 분석방안에 대해서도 논의한다. 보안경보의 집단화를 이용한 공격 상황 분석은 엄청나게 발생하는 보안경보로부터 조기경보를 위한 공격 정보의 판별과 광역 네트워크상에서 이상 현상의 탐지를 가능하게 한다. 이와 더불어 현재 ETRI에서 개발 중에 있는 네트워크 공격 상황 분석기인 NASA(Network Attack Situation Analyzer)에 대해서도 간략히 소개한다.

• Journal of the Korea Society of Computer and Information
• /
• v.18 no.12
• /
• pp.27-34
• /
• 2013

In wireless sensor networks, sensors need to communicate with each other to send their sensing data to the administration node and so they are susceptible to many attacks like garbage packet injection that cannot be prevented by using traditional cryptographic approaches. A behavior-based detection is used to defend against such attacks in which some specialized monitoring nodes overhear the communications of their neighbors to detect bad packets. As monitoring nodes use more energy, it is desirable to use the minimal number of monitoring nodes to cover the whole or maximal part of the network. The monitoring nodes can either be selected among the deployed normal nodes or differ in type from normal nodes. In this study, we have developed an algorithm for selecting the predefined number of monitoring nodes needed to cover the maximum number of normal nodes when the different types of normal nodes and monitoring nodes are deployed. We also have investigated experimentally how the number of monitoring nodes and their transmission range affect the connection ratio of the monitoring nodes and the coverage of the normal nodes.

• Journal of the Korea Convergence Society
• /
• v.10 no.12
• /
• pp.17-22
• /
• 2019

Network attack analysis and visualization methods using network traffic session data detect network anomalies by visualizing the sender's and receiver's IP addresses and the relationship between them. The traffic flow is a critical feature in detecting anomalies, but simply visualizing the source and destination IP addresses symmetrically from up-down or left-right would become a problematic factor for the analysis. Also, there is a risk of losing timely security situation when designing a visualization interface without considering the temporal characteristics of time-series traffic sessions. In this paper, we propose a visualization interface and analysis method that visualizes time-series traffic data by using the radial axis, divide IP addresses into network and host portions which then projects on the cylindrical coordinate system that could effectively monitor network attacks. The proposed method has the advantage of intuitively recognizing network attacks and identifying attack activity over time.

• Proceedings of the Korean Information Science Society Conference
• /
• 2007.06d
• /
• pp.25-28
• /
• 2007

최근 인터넷에서는 붓넷을 기반으로 한 스팸 발송, 분산 서비스 거부 공격 등이 급증하고 있으며 이는 인터넷 기반 서비스에 큰 위협이 되고 있다. 간접 통신 메커니즘을 사용하는 봇넷 공격에 대한 근본적인 대응을 지원하는 역추적 기술의 개발이 필요하다. 본 논문에서는 메모리 감시 기반의 봇넷 역추적 기술을 제안한다. 이 기술은 메모리 감시 기술을 이용하여 봇 서버의 행위를 감시하며, 네트워크 감시를 통하여 봇 서버로 감염된 허니팟이 오용될 위험성을 낮춘다. 또한 봇 서버 정보에 대한 자동분석기능을 제공하여 공격탐지와 동시에 봇넷의 C&C 서버를 빠르게 추적한다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2011.06d
• /
• pp.248-251
• /
• 2011

무선 센서 네트워크는 다양한 응용 분야와 환경에 배치되기 때문에, 악의적인 목적을 가진 사용자의 공격에 손쉽게 노출되어 있다. 선택적 전달 공격은 센서 네트워크에서 발생 할 수 있는 가장 대표적인 라우팅 공격 중의 하나로, 데이터 패킷의 정상적인 전달을 차단하여 상황 인지 및 이에 대한 대응을 지연시킨다. 기존에 제안된 탐지 기법은 패킷 전달 경로 상에 감시 노드를 선정하고, 패킷이 전송 될 때마다 인증메시지를 소스 노드에게 전송하여 공격 발생 여부를 탐지한다. 하지만, 패킷을 전송할 때 마다 공격 탐지를 수행하기 때문에 한정된 에너지를 바탕으로 동작하는 센서 네트워크에 적합하지 못하다. 본 논문에서는 탐지율을 충분히 유지하면서도 높은 에너지 효율성 위해 센서 네트워크의 특성을 고려한 선택적 전달 공격 탐지 기법을 제안한다. 제안하는 기법에서는 기존 기법에서와 같이 즉시 탐지를 수행하는 대신에 패킷 전송 시간을 고려한 네트워크 모니터링을 수행하고, 공격 받았을 가능성이 있는 경로에 대해서만 지연탐지를 수행한다. 본 논문의 우수성을 보이기 위해서 시뮬레이션을 통해 성능 평가를 수행하였으며, 그 결과 기존 기법에 비해 탐지율이 평균 약 15% 향상되었고, 네트워크의 에너지 소모량이 평균 약 54% 감소하였다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2004.05a
• /
• pp.1007-1010
• /
• 2004

본 논문에서는 분산 서비스거부 공격(DDoS)이 발생할 때 네트워크 트래픽의 특성을 분석하기 위해서 트래픽 비율분석법(TRA: Traffic Rate Analysis)을 제안하고 트래픽 비율분석법을 통해서 분석된 다양한 유형의 DDoS 공격의 특성을 기계학습(Machine Learning)을 이용해서 DDoS 공격의 탐지규칙을 생성하고 그 성능을 측정하였다. 트래픽 비율분석법은 감시대상 네트워크 트래픽에서 특정한 유형의 트래픽의 발생비율을 나타내며 TCP flag rate 와 Protocol rate 로 구분된다. 트래픽 비율분석법을 적용한 결과 각각의 DDoS 공격 유형에 따라서 매우 독특한 특성을 가짐을 발견하였다. 그리고, 분석된 데이터를 대상으로 세 개의 기계학습 방법(C4.5, CN2, Na?ve Bayesian Classifier)을 이용해서 DDoS 공격의 탐지규칙을 생성하여 DDoS 공격의 탐지에 적용했다. 실험결과, 본 논문에서 제안된 트래픽 비율분석법과 기계학습을 통한 DDoS 공격의 탐지방법은 매우 높은 수준의 성능을 나타냈다.

• Proceedings of the Korea Institutes of Information Security and Cryptology Conference
• /
• 2001.11a
• /
• pp.153-156
• /
• 2001

Code Red, Nimda 등 최근 인터넷웜(Internet Worm)에 의한 침입은 방화벽시스템, 침입탐지시스템 등 보안제품이 존재하는 네트워크에서도 적절한 대책이 되지 않은 경향을 보이고 있다. 침입차단시스템을 통과할 수 있는 신종 취약점을 이용한 침입에는 오용방지방법(Misuse Detection)에 의한 침입탐지시스템이 침입패턴을 업데이트하기 전에 이미 네트 워크에 피해를 입힐 가능성이 크게 증가하는 것이다. 향후에도 크게 증가할 것으로 보이는 인터넷웜 공격 등에는 침입차단시스템, 침입탐지시스템 등 보안제품의 로그기록 상황과 네트워크의 보안상태를 지속적으로 감시함으로서 조기에 침입을 탐지할 수 있다. 본 논문에서는 신종 웜 공격에 의한 침입이 발생되었을 때 IDS가 탐지하지 못하는 상황에서도 침입의 흔적을 조기에 발견할 수 있는 네트워크 보안 상태변수확인방법(Network Security Parameter Matching Method)을 제안하고자 한다.

• Review of KIISC
• /
• v.17 no.2
• /
• pp.80-89
• /
• 2007

네트워크 트래픽에서 비정상(anomaly)을 탐지하는 것은 아주 중요하지만 아직 완전히 해결되지 않은 문제이다. 비정상 유형을 관찰하기 위하여 일반적으로 트래픽 플로(traffic flow)를 감시한다. 트래픽 플로는 여러 가지 네트워크 트래픽의 형태를 제시한다. 이런 트래픽 플로의 집합에 대한 분석은 매우 복잡한 문제이고, 또한 트래픽 플로 수집을 위해서는 많은 자원이 소요된다. 본 논문에서는 비정상 트래픽 유형을 공격 형태 및 트래픽 플로 두 가지의 다른 측면에서 제시하고 그 특성을 기술한다. 그리고 앞으로 나타날 새로운 웜 공격 유형에 대하여도 제시한다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2004.10a
• /
• pp.367-369
• /
• 2004

허니팟은 공격자들이 쉽게 공격할 수 있는 시스템이나 네트워크를 구성하여, 악성해커나 스크립트 키드들이 어떻게 시스템을 침입하고 공격하는지 감시할 수 있도록 구성되어 있는 시스템을 말한다. 일반적으로 허니팟은 방화벽과 로그 기록 등으로 감사기능을 수행하는데, 악성해커는 그 로그마저 복구할 수 없도록 삭제하는 경우도 있기 때문에 독립적인 추적 시스템이 필요하다. 본 논문에서는 LKM(Linux Kernel Module)기법을 이용한 키로거를 통해 공격자가 세션 상에서 입력하는 모든 키보드 내용을 기록하여 공격자의 행동을 쉽고 빠르게 분석하는 원격 키스트로크 모니터링 시스템을 설계해 보았다.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.22 no.6
• /
• pp.1315-1324
• /
• 2012

Security visualization is a form of the data visualization techniques in the field of network security by using security-related events so that it is quickly and easily to understand network traffic flow and security situation. In particular, the security visualization that detects the abnormal situation of network visualizing connections between two endpoints is a novel approach to detect unknown attack patterns and to reduce monitoring overhead in packets monitoring technique. However, the session-based visualization doesn't notice a difference between normal traffic and attacks that they are composed of similar connection pattern. Therefore, in this paper, we propose an efficient session-based visualization method for analyzing and detecting between normal server activities and attacks by using the IP address splitting and port attributes analysis. The proposed method can actually be used to detect and analyze the network security with the existing security tools because there is no dependence on other security monitoring methods. And also, it is helpful for network administrator to rapidly analyze the security status of managed network.