• Proceedings of the Korea Information Processing Society Conference
• /
• 2017.04a
• /
• pp.820-821
• /
• 2017

최근 전자상거래의 활성화로 인해 전자금융거래에서 불법/이상 행위로 인한 피해규모가 증가하고 그 수법이 다양해지고 있다. 본 논문에서는 동적 그래프 처리 기술인 스트리밍 그래프 데이터에 대한 서브그래프 매칭 기술과 그래프 가시화 기술을 활용하여 불법/이상 행위를 탐지하는 클라이언트-서버 아키텍처 기반의 프레임워크를 설계한다. 그리고 불법/이상 행위를 탐지하는데 활용될 수 있는 기반 기술인 동적 그래프 매칭 기술과 그래프 가시화 기술의 최신 동향을 리뷰하고 최신 기술이 가진 한계 및 이슈를 제시한다.

• The Journal of the Institute of Internet, Broadcasting and Communication
• /
• v.17 no.4
• /
• pp.11-17
• /
• 2017

Organizations are experiencing an ever-growing concern of how to prevent confidential information leakage from internal employees. Those who have authorized access to organizational data are placed in a position of power that could well be abused and could cause significant damage to an organization. In this paper, we investigate the task of detecting such insider through a method of modeling a user's normal behavior in order to detect anomalies in that behavior which may be indicative of an data leakage. We make use of Hidden Markov Models to learn what constitutes normal behavior, and then use them to detect significant deviations from that behavior. Experiments have been made to determine the optimal HMM parameters and our result shows detection capability of 20% false positive and 80% detection rate.

• Journal of the Korea Academia-Industrial cooperation Society
• /
• v.17 no.9
• /
• pp.440-446
• /
• 2016

Military secrets or confidential data of any organization are extremely important assets. They must be discluded from outside. To do this, methods for detecting anomalous attacks and intrusions inside the network have been proposed. However, most anomaly-detection methods only cover aspects of intrusion from outside and do not deal with internal leakage of data, inflicting greater damage than intrusions and attacks from outside. In addition, applying conventional anomaly-detection methods to data exfiltration creates many problems, because the methods do not consider a number of variables or the internal network environment. In this paper, we describe issues considered in data exfiltration detection for anomaly detection (DEDfAD) to improve the accuracy of the methods, classify the methods as profile-based detection or machine learning-based detection, and analyze their advantages and disadvantages. We also suggest future research challenges through comparative analysis of the issues with classification of the detection methods.

• Proceedings of the Korean Information Science Society Conference
• /
• 2006.10c
• /
• pp.616-620
• /
• 2006

한 해에도 수많은 해킹 사고가 발생하고 있고, 이 중에서 웹 해킹이 차지하는 비율은 급격하게 증가하고 있다. 또한 최근의 해킹 동향을 분석해 보았을 때 웹 해킹의 비율은 더욱 증가할 것이라고 예상된다. HTTP 프로토콜을 이용한 공격의 특성 상 정상행위와 비정상 행위의 구분이 어렵다. 따라서 웹 서비스에 특화된 침입탐지 시스템이 요구된다. 또한 웹 사이트 관리자는 빠른 탐지와 대응을 위해 이상 행위에 대한 신속하고 정확한 인식을 필요로 한다. 본 논문에서는 이러한 필요성을 기반으로 Location-based Visualization Tool을 제안한다. 웹 사용 현황 및 이상행위에 대해 시각적인 정보를 제공하기 위해 웹 서버의 access log를 분석하여 이상 행위를 탐지하였고, IP정보를 기반으로 지역 정보의 시각화를 구현하였다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2002.04b
• /
• pp.927-930
• /
• 2002

본 논문에서는 중요 프로세스(privileged process)의 시스템 호출 순서(system call sequence)를 이용한 침입탐지 시스템을 제안한다. 기존 연구의 정상행위 기반 침입탐지 시스템은 정상행위를 모델링하여 시스템을 구성하고, 이와 비교를 통해 프로세스의 이상(anomaly) 여부를 결정한다. 이러한 방법은 모델링되지 않은 미지의 행위에 대한 적절한 판단을 행할 수 없으므로, 높은 오류율(false-positive/negative)을 보인다. 본 논문에서는 현재까지 알려진 공격에서 공통적으로 나타나는 윈도우들을 수집하여 침입예상윈도우를 구축하고, 이를 기존의 침입탐지 시스템에 부가적으로 사용하여 효과적으로 오류율(false-positive/negative)을 낮출 수 있음을 보인다. 실험 결과 제안된 방법을 통한 침입탐지는 기존의 방법에 비해 공격 탐지율은 증가하고 정상행위에 대한 오류율은 감소하였다.

• Convergence Security Journal
• /
• v.1 no.1
• /
• pp.57-68
• /
• 2001

Computer security is considered important because of the side effect generated from the expansion of computer network and rapid increase of the use of computer. Intrusion Detection System(IDS) has been an active research area to reduce the risk from intruders. In this paper, the Hybrid Intrusion Detection System(HIDS) based biometric immuntiy collects and filters audit data by misuse detection is innate immune, and anomaly detection is acquirement immune in multi-hosts. Since, collect and detect audit data from one the system in molt-hosts, it is design and implement of the intrusion detection system which has the immuntiy the detection intrusion in one host possibly can detect in multi-hosts and in the method of misuses detection subsequently.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2017.04a
• /
• pp.781-784
• /
• 2017

본 논문에서는 최근 금융, 보험 등에서 빈번하게 발생하는 불법/이상 행위를 탐지하기 위해 데이터 그래프에서 사용자가 찾고자 하는 이상 패턴을 찾아 결과를 보여주는 그래프 가시화 툴을 제안한다. 개발한 툴은 정점과 간선 추가 및 삭제 등의 유용한 기능을 제공하기 때문에, 동적 그래프에 대한 불법/이상 행위 탐지를 위한 응용 프로그램에서도 널리 사용될 수 있을 것이다.

• Proceedings of the Korean Institute of Information and Commucation Sciences Conference
• /
• 2004.05b
• /
• pp.391-394
• /
• 2004

Change of paradigm of network attack technique was begun by fast extension of the latest Internet and new attack form is appearing. But, Most intrusion detection systems detect informed attack type because is doing based on misuse detection, and active correspondence is difficult in new attack. Therefore, to heighten detection rate for new attack pattern, visibilitys to apply human immunity mechanism are appearing. In this paper, we create self-file from normal behavior profile about network packet and embody self recognition algorithm to use self-nonself discrimination in the human immune system to detect anomaly behavior. Sense change because monitors self-file creating anomaly detector based on Negative Selection Algorithm that is self recognition algorithm's one and detects anomaly behavior. And we achieve simulation to use DARPA Network Dataset and verify effectiveness of algorithm through the anomaly detection rate.

• The KIPS Transactions:PartC
• /
• v.10C no.4
• /
• pp.397-404
• /
• 2003

Intrusion detection techniques based on program behavior can detect potential intrusions against systems by analyzing system calls made by demon programs or root-privileged programs and building program profiles. But there is a drawback : large profiles must be built for each program. In this paper, we apply $X^2$ distance-based multivariate analysis to profiling program behavior and detecting abnormal behavior in order to reduce profiles. Experiment results show that profiles are relatively small and the detection rate is significant.

• Journal of Internet Computing and Services
• /
• v.4 no.2
• /
• pp.69-80
• /
• 2003

Program Behavior Intrusion Detection Technique analyses system calls that called by daemon program or root authority, constructs profiles, and detectes modificated anomaly intrusions effectively. In this paper, the relation among system calls of processes is represented by bayesian network and Multiple Sequence Alignment. Program behavior profiling by Bayesian Network classifies modified anomaly intrusion behaviors, and detects anomaly behaviors. we had simulation by proposed normal behavior profiling technique using UNM data.