• 융합보안논문지
• /
• 제21권3호
• /
• pp.13-23
• /
• 2021

공격자의 무기가 점차 지능화 및 고도화되고 있어 기존 백신만으로는 보안 사고를 막을 수 없으므로 endpoint까지 보안 위협이 검토되고 있다. 최근 endpoint를 보호하기 위한 EDR 보안 솔루션이 등장했지만, 가시성에 중점을 두고 있으며, 이에 대한 탐지 및 대응 기술은 부족하다. 본 논문에서는 보안 관리자 관점에서 효과적인 분석과 분석 대상을 선별하기 위해 실 환경 EDR 이벤트 로그를 사용하여 지식 기반 MITRE ATT&CK 및 AutoEncoder 기반 Anomaly Detection 기술을 종합적으로 사용하여 이상 공격징후를 탐지한다. 이후, 탐지된 이상 공격징후는 보안 관리자에게 로그정보와 함께 alarm을 보여주며, 레거시 시스템과의 연계가 가능하다. 실험은 5일에 대한 EDR 이벤트 로그를 하루 단위로 탐지했으며, Hybrid Analysis 검색을 통해 이를 검증한다. 따라서, EDR 이벤트 로그 기반 언제, 어떤 IP에서, 어떤 프로세스가 얼마나 의심스러운지에 대한 결과를 산출하며, 산출된 의심 IP/Process에 대한 조치를 통해 안전한 endpoint 환경을 조성할 것으로 기대한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2009년도 춘계학술발표대회
• /
• pp.1511-1514
• /
• 2009

이기종(異機種) 시스템환경에서 발생하는 수많은 로그 데이터는 중요도에 따라 실시간 로그 분석이 필요하고 대용량의 로그 데이터의 경우 특정 시간내에 로그 분석 처리를 종료해야만 한다. 보안에 관련된 로그 정보의 경우 실시간 분석과 빠른 통계 처리를 요구할 것이며, 대용량의 비실시간성 로그 분석의 경우 로그 분석 및 통계처리를 주어진 특정 시간 내에 하여야 한다. 본 논문에서는 로그 데이터의 중요도에 따른 실시간 로그 분석 처리와 비실시간 대용량 통계 로그의 로그 분석 처리 마감 시간을 충족하는 로그 분석 스케줄링 정책을 제안한다.

• 정보보호학회논문지
• /
• 제9권3호
• /
• pp.13-26
• /
• 1999

인터넷의 급속한 발전과 함께 정보 시스템의 보안 위협인 침입 사고도 급증하고 있다. 보다 강 화된 보안 메커니즘이 요구되고 있다. 시스템 로그 분석은 이런 침입 사실을 탐지하고 침입 자를 추적하 기 위해 필수적인 과정이나 로그 자료의 종류와 형태의 다양함으로 인해 자동화된 로그 수 집 및 분석이 현실적으로 어려운 상태이다. 우리는 침입 추적에 필요한 로그 자료의 형태를 정의하고 방 대한 로그 자 료로부터 효율적으로 로그수집, 분석할수 있는 도구를 설계 및 구현하였다. 이 논문에서는 개발된 도구 를 사용하여 실제 침입 추적을 한 경험을 소개하고 도구의 향후 개선 방향을 제시한다 Widespread use of Internet despite numerous positive aspects resulted in increased number of system intrusions and the need for enhanced security mechanisms is urgent. Systematic collection and analysis of log data are essential in intrusion investigation. Unfortunately existing logs are stored in diverse and incompatible format thus making an automated intrusion investigation practically impossible. We examined the types of log data essential in intrusion investigation and implemented a tool to enable systematic collection and efficient analysis of voluminous log data. Our tool based on RBDMS and SQL provides graphical and user-friendly interface. We describe our experience of using the tool in actual intrusion investigation and explain how our tool can be further enhanced.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2003년도 가을 학술발표논문집 Vol.30 No.2 (1)
• /
• pp.877-879
• /
• 2003

인터넷의 급속한 보급으로 인하여 많은 웹 서버들이 생겨나게 되었다. 이러한 웹 서버의 관리와 운영에 모니터링 시스템이 많이 쓰이고 있다. 대부분의 모니터링 시스템들은 각 서버의 자원 활용 상태나 서비스의 가용성에 대한 정보를 제공하고 있지만 웹 서버의 또 다른 문제인 해킹에 대한 정보는 제공되지 않고 있다. 이것은 해킹에 대한 예방이 기존의 보안 솔루션으로 가능했기 때문인데, 요즘 화두가 되고 있는 웹 해킹에 대해서는 기존의 보안 솔루션으로 예방이 어려워지고 있다. 이러한 문제점을 해결하기 위해 본 논문에서는 웹 애플리케이션의 취약성에 대해 알려주고 웹 해킹 시도로 의심되는 행위에 대한 로그를 제공해 주는 모니터링 시스템을 구현한다. 구체적으로 웹 애플리케이션 언어들 중에서 많이 쓰이는 PHP에 대한 웹 해킹 취약성에 대하여 조사하여 웹 애플리케이션의 취약성 정보를 제공해 주고 웹 해킹 의심로그를 생성해 주는 시스템을 구현한다. 구현된 시스템은 관리되는 서버의 웹 애플리케이션의 취약성을 알 수 있고 웹 해킹 시도로 의심되는 로그를 남겨줌으로써 웹 서버 관리자에게 웹 해킹에 대한 보안성 향상에 필요한 정보를 제공해주는 이점이 있다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2007년도 추계학술발표대회
• /
• pp.1115-1118
• /
• 2007

BitLocker는 2006년에 Microsoft가 새롭게 출시한 운영체제인 Windows Vista에서 처음 사용되는 보안 메커니즘이다. 기존의 다양한 운영체제에서 사용되는 보안 메커니즘은 기본적으로 사용자가 로그인한 후 로그인한 사용자의 데이터를 바탕으로 파일에 대한 암호화, 데이터에 접근에 관한 권한 확인과 같은 방법을 사용하여 데이터를 보호했다. 하지만 이러한 보안 메커니즘은 물리적으로 접근하는 공격방법에는 취약하고, 플랫폼 자체에 대한 신뢰성이 부족하기 때문에 새롭게 Microsoft에서 새롭게 제안하는 보안 메커니즘인 BitLocker는 디스크 자체를 암호화 해서 보호하는 새로운 메커니즘이다. 본 논문에서는 Windows Vista에서 사용되는 새로운 보안 메커니즘인 BitLocker의 운영 메커니즘에 대해서 분석하고 이를 바탕으로 Windows 보안 메커니즘에 대한 취약점을 검증하기 위한 기존 자료로 활용하였다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2010년도 추계학술발표대회
• /
• pp.1194-1196
• /
• 2010

클라우드 컴퓨팅 환경에서 가상머신에 침입 탐지 시스템을 사용하는 것은 중대한 트레이드-오프를 갖는다. 강력한 보안 서비스를 적용할 경우 시스템의 성능이 저하될 수 있으며, 시스템 성능을 위해 보안 서비스의 수준을 낮출 경우 시스템이 안전하지 못할 수 있다. 또한, 클라우드 컴퓨팅 시스템의 경우 짧은 시간 동안 엄청난 양의 보안 로그가 쌓이기 때문에 무작정 보안 로그를 작성하는 것은 비효율적이다. 본 논문에서는 사용자 행위를 기준으로 비정상 정도를 판단하고 이를 바탕으로 멀티-레벨의 보안 서비스를 제공할 수 있는 방안을 제안한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2020년도 추계학술발표대회
• /
• pp.420-423
• /
• 2020

본 연구에서는 민간기업들이 전체적인 보안관제 인프라를 구축 할 수 있도록 오픈소스 빅데이터 솔루션을 이용하여 보안관제 체계를 구축하는 방법을 기술한다. 특히, 보안관제 시스템을 구축할 때 비용·개발시간을 단축 할 수 있는 하나의 방법으로 무료 오픈소스 빅데이터 분석 솔루션 중 하나인 Elastic Stack을 활용하여 인프라를 구축했으며, 산업에 많이 도입되는 제품인 Splunk와 비교실험을 진행했다. Elastic Stack을 활용해 보안로그를 단계별로 수집-분석-시각화 하여 대시보드를 만들고 대용량 로그를 입력 후 검색속도를 측정하였다. 이를 통해 Elastic Stack이 Splunk를 대체 할 수 있는 빅데이터 분석 솔루션으로서의 가능성을 발견했다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2021년도 추계학술발표대회
• /
• pp.1144-1147
• /
• 2021

코로나19 대유행으로 인해 전 세계가 원격으로 일상을 옮겨가면서 인터넷 트래픽량이 증가하고 보안 위협 또한 높아졌다. 높은 보안성이 요구되는 현 상황에 대응하기 위해 본 논문에서는 Suricata와 Elastic Stack, Kafka를 이용해 보안관제 로그 분석시스템을 구축하였다. 실시간으로 공격을 탐지하고 로그를 수집해 유의미한 데이터를 도출하여 시각화한다. 또한 시각화 한 대시보드를 제공함으로써 사용자는 공격의 위험도를 파악할 수 있고 앞으로의 공격을 대비할 수 있다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2014년도 추계학술발표대회
• /
• pp.540-543
• /
• 2014

수많은 데이터를 사용하는 기업 및 기관들은 전용 데이터베이스를 구축하여 모든 정보들을 저장, 관리하고 있다. 개인정보를 포함하여 비인가된 중요 정보들이 저장되어있음에도 불구하고 대부분의 경우 데이터베이스에 대한 보안적용이 되어있지 않거나 아주 미비한 상태이다. 보안사고의 대부분이 데이터베이스에 저장된 중요 정보가 유출되는 점을 보았을 때 데이터베이스 자체에 대한 보안시스템을 구축하여 예방하는 것이 보안사고의 피해를 막을 수 있는 가장 핵심적인 방법이라 할 수 있다. 이에 본 연구에서는 네트워크 패킷을 모니터링하여 데이터베이스의 성능에 영향을 미치지 않고 보안기능을 수행할 수 있는 Sniffing 을 이용한 방안을 제안한다. 제안 보안시스템은 별도의 하드웨어에서 기능을 수행하며 운영 중인 데이터베이스에 서비스의 중단 없이 보안시스템을 구축할 수 있도록 하였다. Sniffing 방식에서 접근제어 기능을 수행 할 수 있도록 알고리즘 설계를 하였으며 감사 로그를 기록할 때 가장 많은 부분을 차지하는 SQL 에 대해 MD5 해시함수를 적용하여 해당 로그에 대한 데이터크기를 크게 줄일 수 있었다. 운영중인 데이터베이스 환경에 영향을 주지 않으면서 높은 수준의 감사성능을 제공하고 다양한 보안 정책을 간단하게 적용할 수 있도록 구현하였으므로 데이터베이스에 저장된 중요정보의 유출을 예방하고, 보안사고가 일어났을 때 추적 및 증거자료로 활용할 수 있을 것이다.

• 융합보안논문지
• /
• 제15권2호
• /
• pp.33-41
• /
• 2015

보안성 향상을 위한 안전한 리눅스 시스템은 자료의 불법적인 유출과 위 변조를 막고 사용 원칙에 위배되는 행위의 추적을 위한 감사(audit)능력을 가지고 있어야 한다. 또한 시스템 관리 및 운영자의 책임과 사용자의 행위를 명확히 구분 지울 수 있는 로그관리가 반드시 이루어 져야 할 것이다. 본 논문에서는 리눅스 시스템의 보안 로그를 분석하여 침입차단 및 탐지에 활용하는 방법을 제안하였다. 이를 통해 시스템의 침입차단 상태와 침입탐지 상태, 그리고 파일 시스템의 무결성 변화를 실시간 확인하여 신속히 시스템의 문제를 해결할 수 있어 시스템의 신뢰성 향상에 크게 기여하게 될 것이다.