• Proceedings of the Korea Information Processing Society Conference
• /
• 2004.05a
• /
• pp.1059-1062
• /
• 2004

최근 여러 종류의 네트워크 공격들이 기업이나 연구소, 학교 심지어는 가정에까지 심각한 위협을 주고 있다. 이러한 공격을 침입 탐지 시스템으로 탐지하고 있지만, 기존의 침입 탐지 시스템은 본질적으로 패킷 수집의 능력이 떨어질 뿐만 아니라 과도한 패킷이 유입될 때 제 기능을 발휘하지 못하게 된다. 본 논문에서는 이러한 침입 탐지 시스템의 성능에 대한 문제점을 개선하기 위해 패킷 헤더 정보를 이용하여 시스템의 부하를 줄이고, 어떤 공격이 들어오는지를 파악할 수 있는 시스템을 제안한다. 본 논문을 통해서 각각의 공격툴을 탐지하는 기법과 알려지지 않은 공격에 대한 탐지룰을 생성하는 연구에 많은 도움을 줄 것으로 예상한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2009.11a
• /
• pp.653-654
• /
• 2009

인터넷전화의 활성화와 더불어 SIP 프로토콜의 사용이 증가하고 있다. 최근 DDoS 공격이 주요위협으로 이슈가 되고 있으며, 향후 SIP관련 서비스 대상 서비스 거부 공격 위협도 증가할 것으로 예상된다. 본 논문에서는 SIP 프로토콜의 특성을 이용한 SIP서비스 거부 공격들의 유형을 살펴보고, SIP 프로토콜의 특성을 이용한 서비스거부 공격 탐지를 위한 고려사항을 바탕으로 분석시스템 아키텍처를 제안한다. SIP서비스 거부공격의 유형은 분류 기준에 따라 다양할 수 있으나, 본 논문에서는 SIP 프로토콜의 특성을 이용한 공격 기법을 대상으로 한다. SIP서비스 거부 공격 트래픽 분석을 위해 정보수집, 정보분석, 정보관리 기능을 고려한다.

• Review of KIISC
• /
• v.22 no.1
• /
• pp.14-19
• /
• 2012

홈랜드 시큐리티는 비군사적 위협으로부터의 국토안보를 의미하며, 정보보호, 물리보안, 무인경비, 산업 및 재해방지시스템 등을 연계하여 사이버 공격, 산업기술 유출 및 국제테러 등에 효과적으로 대응하는 IT 기반의 융 복합 분야를 통칭하고 있다. 홈랜드 시큐리티의 주요 영역은 여러 가지 분류가 가능할 수 있지만, 항공보안, 대량수송보안, 해양보안, 인프라보안, 사이버보안, 국경보안, 대테러 첩보, 비상대응 등으로 구분할 수 있다. 홈랜드 시큐리티의 영역중 사물지능통신이 제한적으로 활용되고 있으며 향후 활용이 확대될 것으로 예상되는 분야 중 하나는 스마트그리드를 포함한 사회기반시설 분야이다. 사회기반시설은 이미 사이버 보안위협에 노출되어 있으며, 향후 사물지능통신이 보편화되면 사회기반시설은 사이버공격의 핵심대상으로 더욱 부각될 것으로 예상된다. 본 고에서는 사회기반시설의 사물지능통신 현황 및 향후 전망을 살펴보고, 사회기반시설에 대한 사이버 보안위협 사례와 대응 현황에 대해서 소개한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2002.04b
• /
• pp.927-930
• /
• 2002

본 논문에서는 중요 프로세스(privileged process)의 시스템 호출 순서(system call sequence)를 이용한 침입탐지 시스템을 제안한다. 기존 연구의 정상행위 기반 침입탐지 시스템은 정상행위를 모델링하여 시스템을 구성하고, 이와 비교를 통해 프로세스의 이상(anomaly) 여부를 결정한다. 이러한 방법은 모델링되지 않은 미지의 행위에 대한 적절한 판단을 행할 수 없으므로, 높은 오류율(false-positive/negative)을 보인다. 본 논문에서는 현재까지 알려진 공격에서 공통적으로 나타나는 윈도우들을 수집하여 침입예상윈도우를 구축하고, 이를 기존의 침입탐지 시스템에 부가적으로 사용하여 효과적으로 오류율(false-positive/negative)을 낮출 수 있음을 보인다. 실험 결과 제안된 방법을 통한 침입탐지는 기존의 방법에 비해 공격 탐지율은 증가하고 정상행위에 대한 오류율은 감소하였다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2020.05a
• /
• pp.286-289
• /
• 2020

정보통신 기술의 발달로 무분별한 사이버 공격에 노출되어 있기 때문에 정보보안의 기술이 중요해지고 있다. 이중 침입 탐지 시스템은 방화벽과 더불어 시스템 및 네트워크 보안을 위한 대표적인 수단으로, 현재까지 네트워크 기반인 NIDS와 호스트 기반인 HIDS에 대한 많은 연구가 이루어졌다. 이러한 침입 탐지에 대한 CTI(Cyber Threat Intelligence)를 공유하기 위해 다양한 CTI 프레임워크를 사용하여 CTI 정보를 공유하는 연구가 진행되고 있다. 이에 본 논문에서는 CVE기반의 OpenIOC와 Snort 및 OSSEC에서 생성된 Raw Data를 결합하여 새로운 CTI 프레임 워크를 제안한다. 제안된 시스템을 테스트하기 위해서는 CVE 분석을 기반으로한 Kali Linux로 공격을 진행한다, 이를 통해 생성된 데이터는 시간이 지남에 따라 축적된 데이터를 저장 및 검색을 위해 대규모 분산 처리 시스템과도 결합이 필요할 것으로 예상되며 추후 딥러닝 기술을 활용하면 지능형 지속 위협을 분석하는데 용이할 것으로 예상된다.

• The KIPS Transactions:PartC
• /
• v.10C no.3
• /
• pp.253-264
• /
• 2003

This paper presents the analytic model of Distributed Denial-of-Service (DDoS) attacks in two settings: the normal Web server without any attack and the Web server with DDoS attacks. In these settings, we measure TCP flag rate, which is expressed in terms of the ratio of the number of TCP flags, i.e., SYN, ACK, RST, etc., packets over the total number of TCP packets, and Protocol rate, which is defined by the ratio of the number of TCP (UDP or ICMP) packets over the total number of W packets. The experimental results show a distinctive and predictive pattern of DDoS attacks. We wish our approach can be used to detect and prevent DDoS attacks.

• Proceedings of the Korean Information Science Society Conference
• /
• 2012.06a
• /
• pp.68-70
• /
• 2012

피쳐폰(Feature Phone)이 주를 이루던 초기 3G(Third Generation)는 사용자의 데이터 사용량이 많지 않았다. 그러나 스마트폰이 등장하면서 데이터를 이용한 서비스의 다양화, 저렴한 데이터 요금 정책으로 데이터 사용량이 대폭 증가하였다. 이동통신사가 예상하지 못한 데이터 사용량 증가로 3세대 망의 새로운 보안상 취약점이 나타났고 이를 이용한 DoS(Denial of Service) 공격이 발생하고 있다. 본 논문에서는 3세대 망에서 나타날 수 있는 DoS 공격의 하나인 DCH(Dedicated Channel) 고갈형 DoS 공격에 대한 논의하고 정상 사용자의 패킷 사용 패턴을 이용한 탐지 기법을 제안한다.

• Proceedings of the Korea Institutes of Information Security and Cryptology Conference
• /
• 2006.06a
• /
• pp.486-489
• /
• 2006

최근까지 IPv4/IPv6 혼재 네트워크에서 서로 다른 네트워크에 존재하는 다수의 호스트들 간 통신이 가능하도록 지원해주는 기술에 대해 많은 연구가 진행되고 있으며, 대표적인 연구 분야로는 듀얼스택 메커니즘, 터널링 메커니즘, 그리고 프로토콜 변환 메커니즘이 있다. 본 논문에서는 듀얼스택과 터널링 메커니즘에서 예상되는 세 개의 공격에 대한 실험내용을 보이고자 한다. 실험 순서는 먼저 IPv4/IPv6 혼재 네트워크를 위한 실험망을 구축하고, 구축된 실험망에서 각 메커니즘별 공격 결과를 보임으로써 해당 공격이 발생할 수 있다는 실질적이면서 구체적인 근거를 제시하도록 구성되어 있다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2017.11a
• /
• pp.299-301
• /
• 2017

현대사회에서는 사이버 해킹 공격이 많이 일어나고 있다. 공격이 증가함에 따라 이를 다양한 방법으로 방어하고 탐지하는 연구가 많이 이루어지고 있다. 본 논문은 OpenIOC, STIX, MMDEF 등과 같은 공격자의 방법론 또는 증거를 식별하는 기술 특성 설명을 수집해 놓은 표현들을 기반을 머신러닝과 logstash라는 로그 수집기를 결합하는 새로운 시스템을 제안한다. 시스템은 pc에 공격이 가해졌을 때 로그 수집기를 사용하여 로그를 수집한 후에 로그의 속성 값들의 리스트를 가지고 머신러닝 알고리즘을 통해 학습시켜 분석을 진행한다. 향후에는 제안된 시스템을 실시간 처리 머신러닝 알고리즘을 사용하여 필요로그정보의 구성을 해주면 자동으로 로그정보를 수집하고 필터와 출력을 거쳐 학습을 시켜 자동 침입탐지시스템으로 발전할 수 있을 것이라 예상된다.

• Electronics and Telecommunications Trends
• /
• v.23 no.1 s.109
• /
• pp.145-152
• /
• 2008

공격자의 주요 목적은 원격 호스트의 제어 권한을 얻는 것이다. 이것은 공격자가 원격호스트의 컨트롤 플로를 변경시켜 악의적인 코드를 임의로 실행시킬 수 있는 취약한 서비스가 존재하기 때문에 가능하다. 공격자들이 원격 호스트의 제어 권한을 얻기 위한 일반적인 방법은 취약한 서비스를 대상으로 쉘코드(shellcode) 전송을 통해서이다. 네트워크 기반 최신의 공격 탐지 기술들이 점점 사용영역을 넓혀가면서 이를 회피하기 위해 쉘코드들도 진화를 계속하고 있으며, 최근 2~3년 전부터 폴리몰픽(polymorphism)과 메타몰픽(metamorphism) 기법의 사용이 활발해지고 있다. 본 고에서는 이중, 쉽게 이용할 수 있는 엔진들이 많이 알려져 있어 그 예상 피해가 심각하리라 생각되는 폴리몰픽 형태의 쉘코드가 가지는 특징 및 이를 탐지하기 위한 최신 기술들을 소개한다.