• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2003년도 춘계학술발표논문집 (하)
• /
• pp.2001-2004
• /
• 2003

비정상 행위의 탐지를 위한 침입탐지 시스템의 성능을 좌우하는 가장 큰 요인들은 패킷의 손실없는 수집과 해당 도메인에 알맞은 분류 기법이라 할 수 있다. 본 논문에서는 기존의 탐지엔진에 적용된 알고리즘의 부류에서 벗어나 Instance 기반의 알고리즘인 IBL(Instance Based Learning)을 선택하여 학습시간의 단축과 패턴생성에 따른 분류근거의 명확성을 고려였다. 또한, 기존 IBL에 포함되어 있는 Symbolic value 의 거리계산 방식에서 네트워크의 로우 데이터인 패킷을 처리하는데 따르는 문제를 해결하기 위해 VDM(Value Difference Matrix)을 사용함으로써 탐지률을 향상시킬 수 있었다. Symbolic value간의 거리계산에 따른 성능향상의 정도를 알아보기 위해 VDM 적용 유무에 따른 실험결과와 탐지엔진에 적용되었던 알고리즘들인 COWEB 과 C4.5를 이용한 결과를 비교분석 하였다.

• 한국지능시스템학회:학술대회논문집
• /
• 한국지능시스템학회 2007년도 추계학술대회 학술발표 논문집
• /
• pp.357-361
• /
• 2007

비정상 트래픽 제어 프레임워크에 적용된 비정상 트래픽 제어 기술은 침입, 분산서비스거부 공격, 포트스캔 공격과 같은 비정상 행위의 트래픽을 제어하는 공격 대응 방법이다. 이 대응 방법은 비정상 행위에 대한 true-false 방식의 공격 대응 방법이 가지는 높은 오탐율(false-positive rate)을 낮출 수 있다는 장점이 있지만, 공격 지속시간에만 의존하여 비정상 트래픽을 판단하기 때문에, 공격에 대한 신속한 대응을 하지 못한다는 한계를 가지고 있다. 이에 본 논문에서는 비정상 트래픽 제어 프레임워크에 퍼지 로직을 적용하여 신속한 공격 대응이 가능한 포트스캔 공격 탐지 기법을 제안한다.

• 한국정보과학회논문지:정보통신
• /
• 제29권6호
• /
• pp.674-684
• /
• 2002

기존 침입탐지시스템에서는 구현의 용이성 때문에 오용침입탐지 기법이 주로 사용되었지만, 새로운 침입에 대처하기 위해서는 궁극적으로 비정상행위탐지 기법이 요구된다. 그 중 HMM기법은 생성메커니즘을 알 수 없는 이벤트들을 모델링하고 평가하는 도구로서 다른 침입탐지기법에 비해 침입탐지율이 높은 장점이 있다. 하지만 높은 성능에 비해 정상행위 모델링 시간이 오래 걸리는 단점이 있는데, 본 논문에는 실제 해킹에 사용되고 있는 다양한 침입패턴을 분석하여 권한이동시의 이벤트 추출방법을 이용한 모델링 기법을 제안하였고 이를 통하여 모델링 시간과 False-Positive 오류를 줄일 수 있는 지 평가해 보았다. 실험결과 전체 이벤트 모델링에 비해 탐지율이 증가하였고 시간 또한 단축됨을 알 수 있었다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2006년도 한국컴퓨터종합학술대회 논문집 Vol.33 No.1 (C)
• /
• pp.313-315
• /
• 2006

최근 인터넷 공격은 웹 서비스 환경에서 다양한 공격 유형들이 인터넷상에서 나타나고 있는 실정이다. 특히 인터넷 웜이나 기타 알려지지 않은 공격이 대중을 이루고 있어 기존의 정보 보호 기술로는 한계에 다다르고 있으며 이미 알려진 공격을 탐지하는 오용탐지 기술로는 적절하게 대응하기 어려워진 상태이다. 또한, 웹 서비스 이용이 확대되고 사용자 요구에 맞게 변화하면서 인터넷상의 노출된 웹 서비스는 공격자들에게 있어 주공격 대상이 되고 있다. 본 논문에서는 웹 기반의 트래픽 유형을 분석하고 각 유형에 따른 이상 징후를 파악할 수 있는 비정상 탐지 모델을 정의하여 정상 트래픽 모델과 비교함으로써 현재 트래픽의 이상 정도를 평가하고 탐지 및 규칙생성, 추가하는 HTTP 트래픽 기반의 비정상행위 탐지 시스템을 설계하고 구현하였다.

• 정보과학회 논문지
• /
• 제44권4호
• /
• pp.417-422
• /
• 2017

비정상행위 탐지는 데이터로부터 특징을 추출하여 정상 행위 모델을 만들어, 이 정상 모델로부터 얼마나 벗어나 있는 가를 찾아내어 탐지하는 기법이다. 즉, 특정 기기가 생성하는 데이터를 기반으로 기기의 오류를 탐지하거나 사회망 데이터에서의 사용자 행위 변화를 찾아내어 비정상행위를 탐지하는 데 활용할 수 있다. 본 논문에서는 순위 상관 계수를 이용하여 건물 내의 기기의 비정상적인 데이터를 탐지하고자 한다. 에너지 절약 문제에 대한 관심이 높아짐에 따라 에너지를 효율적으로 사용하기 위해 여러방법들이 제안되었다. IT 기술의 발달과 더불어 공조 시스템(HVAC)이 건물에 도입되어 활용되고 있으며, 이 시스템을 통하여 에너지 소비의 문제점을 찾고 에너지를 효율적으로 관리할 수 있다. 따라서 본 논문은 공조 시스템에 속한 각 기기간의 순위 관계 변화를 관찰함으로써 이상 현상 탐지의 효율성을 높이는 방법을 제안하며, 사회망 데이터 내에서의 비정상행위 탐지 가능성도 함께 제안한다.

• 한국컴퓨터정보학회논문지
• /
• 제19권1호
• /
• pp.85-94
• /
• 2014

본 논문에서는 사용자 시스템이 악성 프로그램에 의해 피해를 입은 후 시그니처나 보안 패치가 나오기 전에 피해를 최소화하기 위한 방법으로 파일 DNA 기반의 행위 패턴 분석을 통한 탐지 기법을 연구하였다. 기존의 네트워크 기반의 패킷 탐지기법과 프로세스 기반 탐지 기법의 단점을 보완하여 제로데이 공격을 방어하고 오탐지를 최소화하기 위해 파일 DNA 기반 탐지기법을 적용하였다. 파일 DNA 기반 탐지기법은 악성코드의 비정상 행위를 네트워크 관련 행위와 프로세스 관련 행위로 나누어 정의하였다. 사용자 시스템에서 작동되는 프로세스의 중요한 행위와 네트워크 행위를 정해진 조건에 의해 검사 및 차단하며, 프로세스 행위, 네트워크 행위들이 조합된 파일 DNA를 기반하여 악성코드의 행위 패턴의 유사도를 분석하여 위험경고 및 차단을 통한 대응 기법을 연구하였다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2004년도 봄 학술발표논문집 Vol.31 No.1 (A)
• /
• pp.262-264
• /
• 2004

시스템 호출 감사자료기반 기계학습기법을 사용한 프로그램 행위 학습방법은 효과적인 호스트기반 침입탐지 방법이며, 특히 신경망은 기존 연구 중 가장 좋은 성능을 보였다. 하지만 보통의 신경망은 그 구조를 찾기 위한 방법이 알려져 있지 않아 침입탐지에 효과적인 구조를 찾기 위해서는 많은 시간이 요구된다. 본 논문에서는 기존 신경망 기반 침입탐지시스템의 단점을 보완하고 성능을 향상시키기 위해 진화신경망을 이용한 방법을 제안한다. 진화 신경망은 신경망의 구조와 가중치를 동시에 학습하기 때문에 일반 신경망보다 빠른 시간 내에 더 좋은 성능의 신경망을 얻을 수 있다는 장점이 있다. 1999년의 DARPA IDEVAL자료로 실험한 결과 기존의 연구보다 좋은 성능을 보여 진화신경망이 침입탐지에 효과적임을 확인할 수 있었다.

• 정보보호학회지
• /
• 제18권5호
• /
• pp.62-72
• /
• 2008

인터넷 뱅킹은 인터넷을 통해 금융 업무를 처리하는 시스템으로, 시 공간적 제약이 없어 이용자가 크게 증가하고 있지만 인터넷을 기반으로 한 웹 공격으로 인하여 많은 위협을 받고 있다. 인터넷 뱅킹은 서비스를 제공하는 은행에 따라 사용자 인터페이스와 처리 방법이 매우 다양하므로, 인터넷 뱅킹 시스템을 목표로 한 웹 공격을 탐지하기 위해서는 해당 인터넷 뱅킹 서비스의 특징을 반영할 수 있는 고유의 패턴을 생성해야 한다. 본 논문에서는 서열 정렬 알고리즘을 이용하여 인터넷 뱅킹 이용에 대한 정상 및 비정상 패턴을 자동으로 생성하여 웹 공격을 탐지하고 분석하는 방법을 제안한다. 제시한 방법의 성능 평가를 위하여, 모의 인터넷 뱅킹 프로그램을 설치한 후 정상적인 이용과 웹 공격을 시도한 자료를 구분하여 수집하고 유사도를 측정하였다. 실험결과 제안된 기법이 오탐율이 낮고 탐지 성능 또한 뛰어남을 확인하였다. 그리고 전문가의 도움 없이 정상 패턴과 비정상 패턴을 생성할 수 있어 효율적으로 변형된 공격이나 새로운 공격을 차단하고 비정상 행위에 판단에 대한 근거를 제시할 수 있음을 보였다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2005년도 춘계학술발표대회
• /
• pp.1185-1188
• /
• 2005

비정상 행위에 대한 true/false 방식의 공격 탐지 및 대응방법은 높은 오탐지율(false-positive)을 나타내기 때문에 이를 대체할 새로운 공격 탐지방법과 공격 대응방법이 연구되고 있다. 대표적인 연구로는 트래픽 제어 기술을 이용한 단계적 대응방법으로, 이 기술은 비정상 트래픽에 대해 단계적으로 대응함으로써 공격의 오탐지로 인하여 정상 서비스를 이용하는 트래픽이 차단되지 않도록 하는 기술이다. 비정상 트래픽 중 포트스캔 공격은 네트워크 기반 공격을 위해 공격대상 호스트의 서비스 포트를 찾아내는 공격으로 이 공격을 탐지하기 위해서는 일정 시간동안 특정 호스트의 특정 포트에 보내지는 패킷 수를 모니터링 하여 임계치와 비교하는 방식의 true/false 방식의 공격 탐지방법이 주로 사용되었다. 비정상 트래픽 제어 프레임워크(Abnormal Traffic Control Framework)는 true/false 방식의 공격 탐지방법을 이용하여 공격이 탐지되었을 때, 처음에는 트래픽 제어로 대응하고 같은 공격이 재차 탐지되었을때, 차단하여 기존의 true-false 방식의 공격 탐지 및 대응방법이 가지는 높은 오탐지율을 낮춘다. 하지만 포트스캔 공격의 특성상, 공격이 탐지된 후 바로 차단하지 못하였을 경우, 이미 공격자가 원하는 모든 정보를 유출하게 되는 문제가 있다. 본 논문에서는 기존의 True/False 방식의 포트스캔 공격 탐지방법에 퍼지 로직 개념을 추가하여 공격 탐지의 정확성을 높이고 기존의 탐지방법을 이용하였을 때보다 신속한 트래픽 제어 및 차단을 할 수 있는 방법을 제안한다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2001년도 봄 학술발표논문집 Vol.28 No.1 (A)
• /
• pp.769-771
• /
• 2001

침입의 궁극적 목표는 루트 권한의 획득이라고 할 수 있는데 최근 유행하고 있는 버퍼플로우(Buffer Over flow)등이 대표적이다. 최근 날로 다양화되는 이런 침입방법들에 대응하기 위해 비정상행위 탐지기법 연구가 활발한데 대표적인 방법으로는 통계적 기법과 전문가시스템, 신경망 등을 들 수 있다. 본 논문에서 제안하는 침입탐지시스템은 권한 이동 관련 이벤트의 추출 기법을 이용하여 Solaris BSM 감사 기록에서 추출된 정보 이벤트들을 수집한 후 은닉 마르코프 모델(HMM)로 모델링하여 정상행위 모델들을 만든다. 추론 및 판정시에는 이미 만들어진 정상행위 모델을 사용하여 새로 입력된 사용자들의 시퀀스를 비교 평가하고, 이를 바탕으로 정상 권한이동과 침입시의 권한이동의 차이를 비교하여 침입여부를 판정한다. 실험결과 HMM만을 사용한 기존 시스템에 비해 유용함을 알 수 있었다.