• Journal of KIISE:Information Networking
• /
• v.36 no.3
• /
• pp.173-183
• /
• 2009

We present a real-time monitoring system for detecting anomalous network events using the entropy. The entropy accounts for the effects of disorder in the system. When an abnormal factor arises to agitate the current system the entropy must show an abrupt change. In this paper we deliberately model the Internet to measure the entropy. Packets flowing between these two networks may incur to sustain the current value. In the proposed system we keep track of the value of entropy in time to pinpoint the sudden changes in the value. The time-series data of entropy are transformed into the two-dimensional domains to help visually inspect the activities on the network. We examine the system using network traffic traces containing notorious worms and DoS attacks on the testbed. Furthermore, we compare our proposed system of time series forecasting method, such as EWMA, holt-winters, and PCA in terms of sensitive. The result suggests that our approach be able to detect anomalies with the fairly high accuracy. Our contributions are two folds: (1) highly sensitive detection of anomalies and (2) visualization of network activities to alert anomalies.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2003.05c
• /
• pp.2197-2200
• /
• 2003

인터넷의 사용이 증가함에 따라 여러 가지 유형의 인터넷 공격이 자주 발생하고 있다. 특히 다양한 서비스 거부 공격이나 분산 서비스 거부 공격들은 최근의 여러 공격 사례에서 발견되고 있어 그 위험성이 크게 나타나고 있다. 이러한 공격들에 대해 대처하기 어려운 이유들 중 하나는, 공격자가 IP 패킷을 조작하여 자신의 IP 주소를 속임으로써 공격의 근원지 파악을 어렵게 한다는 것이다. 이에, 조작된 IP 패킷을 사용한 공격에 대해 그 근원지를 파악할 수 있도록 하는, IP 역추적 연구의 필요성이 대두되었다. 본 논문에서는 이러한 IP 역추적 연구의 시도들 중 그 유용성이 인정되어 많은 연구자들에 의해 지속적인 개선이 이루어지고 있는, 확률적 패킷 마킹 기법을 기반으로 한 확장된 기법을 제안한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2004.05a
• /
• pp.1221-1224
• /
• 2004

최근 사회적으로 큰 문제로 대두되는 네트워크기반 공격들은 공격 대상 시스템으로 하여금 정상 서비스가 불가능하도록 하는 서비스거부 (분산서비스거부 포함) 공격이 주를 이루며, 이러한 공격에는 기본적으로 패킷의 출발지 IP 주소를 위장하는 IP spoofing 기술이 사용된다. 본 논문에서는 현재까지 상용라우터에 적용되어 있는 IP spoofing 방지 기술과 리눅스시스템에서 제공하는 IP spoofing 방지 기술 그리고 연구논문으로 제시된 IP spoofing 방지 기술을 분석하고, 이를 토대로 IP spoofing 기술을 사용한 공격자의 패킷을 초기에 차단하는 IP spoofing 방지 라우터 프레임웍을 제안한다.

• Journal of the Korea Convergence Society
• /
• v.12 no.5
• /
• pp.9-16
• /
• 2021

Due to the prolonged infectious disease of COVID-19 worldwide, there are various security threats due to network attacks on Internet of Things devices that are vulnerable to telecommuting. Initially, users of Internet of Things devices were exploited for vulnerabilities in Remote Desktop Protocol, spear phishing and APT attacks. Since then, the technology of network attacks has gradually evolved, exploiting the simple service discovery protocol of Internet of Things devices, and DRDoS attacks have continued to increase. Existing SSDPs are accessible to unauthorized devices on the network, resulting in problems with information disclosure and amplification attacks on SSDP servers. To compensate for the problem with the authentication procedure of existing SSDPs, we propose a hash-based SSDP that encrypts server-specific information with hash and adds authentication fields to both Notify and M-Search message packets to determine whether an authorized IoT device is present.

• Proceedings of the Korea Multimedia Society Conference
• /
• 2003.11a
• /
• pp.128-131
• /
• 2003

최근 인터넷을 대상으로 한 네트워크 공격의 공격 경향은 분산 환경에서 다수 공격자의 대규모 분산 서비스 거부 공격(DoS)의 출현 및 해외 해커들의 국내 전산망을 우회 루트로 활용한 사례의 증가 등 고도화된 불법 행위가 점차 벙죄의 강력한 수단으로 이용되는 추세에 있다. 본 논문은 기존 네트워크 노드기반의 침입탐지시스템에서 효율성과 사용자 편의성을 보완하기 위하여 자기 복제가 가능한 이동 에이전트를 적용하여 호스트 간 자율적인 이동을 통해 관리자에게 네트워크 모니터링을 제공하고 침입을 탐지하는 침입탐지시스템을 제안하였다.

• Journal of KIISE:Information Networking
• /
• v.37 no.5
• /
• pp.339-350
• /
• 2010

Despite lots of efforts to obtain an accurate picture of structure at the level of individual ASes, there is a few application works using the AS-level Internet topology. In this paper, we show that the power-law fits the number of down-stream customer ASes very well and also present the distributions of AS links with the "public view" from UCLA IRL laboratory. Moreover, we obtain the distributions of source-destination pairs of routing hops for two sites in Korea and the United States, and then we propose a new method to decide the randomness of Internet traffic using the obtained distributions and the BGP valley-free routing policy. The randomness of traffic must be a portent of outbreak of the distributed denial-of-service attacks.

• Proceedings of the KAIS Fall Conference
• /
• 2010.05a
• /
• pp.214-217
• /
• 2010

DDoS(distributed denial of service)공격은 1990년 중반에 처음 나타나기 시작하여 1,2세대 네트워크 자체에 대한 트래픽 폭주형태의 공격에서부터 3세대 봇넷을 이용하여 특정 서버와 특정서비스를 마비시키기 위한 공격을 거쳐 4세대의 분산 형식의 C&C를 이용하는 공격의 유형으로 발전 하고 있다. DDoS공격은 점점 지능화 되고 있으며 기존의 IDS(Intrusion Detection System) 시스템을 이용한 탐지방법으로 공격을 탐지하기에는 어려움이 존재한다. 본 논문은 IDS시스템을 보다 더 지능화시키기 위한 논문으로 IDS는 내부시스템으로부터 쿼리를 넘겨받아 업데이트를 수행하고 업데이트를 수행함과 동시에 라우터에게 C&C서버로부터 나오는 패킷을 차단하도록 알려 준다. 즉, IDS에서 일어나는 False Negative문제를 줄여줌으로써 DDoS 공격에 대하여 Zombie시스템을 생성하지 못하도록 하고자 하는데 그 목적이 있으며 점점 지능화되어 가고 있는 DDoS공격에 대하여 차단을 하고자 하는 방향성을 제시하고 있다.

• Review of KIISC
• /
• v.19 no.3
• /
• pp.46-57
• /
• 2009

분산 서비스 거부(DDoS: Distributed Denial of Service) 공격이 인터넷에 대하여 거대한 위협을 제공하고 있으며, 이에 대한 대응책들이 많이 제시되었다. 그러나 공격의 복잡성과 다양성으로 인하여 어떤 대응 기법이 효과적인지도 상당히 혼란스럽게 되었다. 공격자들은 보안 시스템을 우회하기 위하여 꾸준히 공격도구들을 변경하고 있으며, 이에 대한 방패로써 연구자들 역시 새로운 공격에 대한 대응책을 강구하고 있다. 따라서 본 논문에서는 DDoS 기술동향, DDoS 공격 및 대응 기법에 대한 분류법 및 DDoS 대응 기법의 과제에 대하여 기술하고자 한다. 이를 통하여 효과적인 DDoS 공격 대응책을 수립하는데 필요한 기초 자료로 활용하고자 한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2005.05a
• /
• pp.1237-1240
• /
• 2005

인터넷의 급속한 발달과 그 중요성이 날로 증가하면서 인터넷은 우리생활의 일부가 되었다. 따라서 네트워크에서 환경에서의 침입은 빠르게 증가하고 있으며 그 피해 또한 커지고 있다. 서비스 거부공격, 분산서비스거부 공격, 웜 등은 악의적인 의도로 호스트나 네트워크의 자원을 고갈 시키는등 심각한 문제를 초래하고 있다. 또한 중요한 서버의 공격으로 인해 시스템이 다운되면 서비스를 하지 못하게 됨으로 사용자에게 불편을 초래할 뿐만 아니라 막대한 비용의 손실도 발생한다. 따라서 본 논문에서는 벡터를 이용하여 지역 네트워크망으로 들어오는 트래픽의 비정상 증가를 분석함으로 침입을 탐지하고 위험수위를 결정하는 방법을 제안한다.

• The Journal of Korean Institute of Communications and Information Sciences
• /
• v.32 no.2B
• /
• pp.90-99
• /
• 2007

It might be more efficient that detections of distributed denial of service (DDoS) attacks are done in backbone domain than in individual local networks or links. However, because existing schemes for detecting DDoS attack symptoms have been focused on individual packets or flows, they require much higher computational complexities. In this paper, we propose an efficient method to detect DDoS attack symptoms in backbone networks. Unlike conventional schemes focused on individual packets or flows, the proposed method is carried at aggregate traffic level. So, our proposed schemes can be operated with very lower computational complexity, and can be run in very high-speed backbone networks.