• The KIPS Transactions:PartC
• /
• v.10C no.6
• /
• pp.799-808
• /
• 2003

Existing security solutions such as Firewell and IDS (Intrusion Detection System) have a trouble in getting accurate detection rate about new attack and can not block interior attack. That is, existing securuty solutions have various shortcomings. Shortcomings of these security solutions can be supplemented with mechanism which guarantees an availability of systems. The mechanism which guarantees the survivability of node is various, we approachintrusion telerance using real time response mechanism. The monitoring code monitors related resources of system for survivability of vulnerable systm continuously. When realted resources exceed threshold, monitoring and response code is deployed to run. These mechanism guarantees the availability of system. We propose control mathod about resource monitoring. The monitoring code operates with this method. The response code may be resident in active node for availability or execute a job when a request is occurred. We suggest the node survivability mechanism that integrates the intrusion tolerance mechanism that complements the problems of existing security solutions. The mechanism takes asvantage of the automated service distribution supported by Active Network infrastructure instead of passive solutions. The mechanism takes advantage of the automated service distribution supported by Active Network infrastructure instead of passive system reconfiguration and patch.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2001.10b
• /
• pp.927-930
• /
• 2001

정보 시스템의 눈부신 발전과 인터넷의 급속한 보급으로 인하여 누구나 웹상에서 그들의 정보 요구를 충족할 수 있게 되었다. 그러나 웹상에서의 정보 교환의 폭발적 증가로 인한 시스템의 중요 정보 및 자원 유출이 심각한 문제로 대두 되고 있다. 그러므로 관리자가 시스템에서 보유하고 있는 자원의 유출을 방지하고 시스템의 사용 원칙에 위배되는 해킹 행위를 추적하기 위한 감사 기능이 제공되어야 한다. 이에 본 논문에서는 감사 추적의 중요한 정보가 되는 유닉스 시스템의 로그 파일을 자동적으로 분석하는 시스템(WALAS)을 설계하였다. WALAS 는 UNIX 시스템 내의 방대한 로그정보의 최적화를 통해 관리자가 해킹이나 사용자의 잘못된 시스템 사용 등을 효율적으로 감시하고 조사, 분석하는데 있어서의 자동화된 로그 파일 분석 시스템이다. WALAS는 관리 대상 호스트의 로그 정보로부터 보안 정보를 추출하여 침입을 판단하며 침입으로 판정되면, 이를 웹 기반의 관리자 인터페이스로 전달하게 된다. 또한 방대한 양의 로그 정보를 적절히 분류하고 분석하며, 실시간으로 호스트 로그 파일을 모니터링하여 침입 발견 시 관리자의 즉각적 대응이라는 이점을 제공한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2001.10b
• /
• pp.1053-1056
• /
• 2001

시스템들은 시스템에서 발생한 일들에 대한 기록을 로그의 형식으로 남긴다. 이러한 로그들은 여러가지 목적으로 작성되어지며 이용되어진다. 그러나 로그 기록은 침입탐지뿐 아니라 여러 가지 목적을 가지고 이루어진다. 그러한 로그들 역시 침입 탐지에 사용한 수 있는 많은 정보가 있음에도 불구하고 사용되지 않고 버려지고 있음이 현실이다. 본 논문에서는 침입 탐지를 위하여 이러한 로그들을 적극적으로 이용함을 목적으로 한다. 또한 최근의 공격형태의 변화로 인해 하나의 시스템관점이 아닌 네트워크 관점에서의 탐지와 대응이 필요하게 되었다. 이를 위해 공격에 이용된 시스템들을 파악하고 그들의 정보를 이용한 수 있게 함으로써 상호 협력이 가능케 한다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2003.04a
• /
• pp.449-451
• /
• 2003

인터넷 인구의 확산과 개방된 시스템 환경속에서 네트웍과 시스템에 대한 침해사고 건수가 날로 증가하고 있는 가운데 최근 국내 인터넷망 대부분이 다운되는 등 그 피해 규모도 점차 막대해지고 있다. 이에 따라 침해 사고에 대해 사고 발생 즉시 민첩하게 대응하여 피해를 최소화하고, 더 나아가서는 사고를 미연에 방지하기 위한 보안 관련 시스템들에 관한 연구가 활발히 진행되고 있다. 본 연구에서는 보안관련 솔루션 중에 하나인 침입탐지시스템(IDS: Intrusion Detection System)에 대해 살펴보고, IDS의 탐지방식 중 비정상탐지(Anomaly Detection)분야에 은닉 마르코프 모델(HMM: Hidden Markov Model)을 적용하여 사용자별로 명령어 사용 패턴을 프로파일링하는 HMM 기반 비정상 침입탐지 시스템을 제안하고자 한다. 실험결과 자신의 데이터에 대해서는 평균 93% 이상의 만족할만한 탐지 정확도를 보였고, 다른 사용자의 데이터에 대해서는 모델마다 다소 차이를 나타냈다.

• Proceedings of the Korea Multimedia Society Conference
• /
• 2003.11b
• /
• pp.529-532
• /
• 2003

침입 탐지를 위하여 수집되는 네트웍 트래픽은 보통 분석 처리 프로그램으로 입력되기 위해 수치적으로 표현된다. 이러한 데이터로부터 그 가운데 드러나는 경향을 한 눈에 발견하는 데에는 어려움이 있어, 이에 대해 프로토콜, 서비스 및 세션 등을 기준으로 분류하는 처리를 수행한 결과를 바탕으로 세세한 분석과정을 거치는 것이 일반적이다. 네트웍 트래픽 데이터를 도시하여 그 추이를 직관적으로 살필 수 있게 한다면 여러 기준에 따라 분류된 각 트래픽이 가지는 특징을 쉽게 발견할 수 있다. 이러한 트래픽 추이와 특징 파악의 용이함은 트래픽에서 비정상적인 부분을 식별해내는 것을 쉽게 한다 이것은 시스템 관리자가 현재 해당 시스템에 설치되어 작동되고 있는 침입탐지 시스템이나 방화벽 시스템에 대해 독립적으로 편리하게 네트웍 트래픽의 특징을 살피고 이상을 발견할 수 있도록 하며, 경고되거나 차단되지 않은 이상에 대해 신속히 대응할 기회를 준다. 이에 본 연구에서는 네트웍 트래픽들의 특징을 설명할 수 있는 요소들을 조합하여 표현함으로써 네트웍 트래픽의 특징과 이상 파악에 편리한 데이터 도시 방법을 제안한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2005.11a
• /
• pp.1067-1070
• /
• 2005

컴퓨터와 네트워크의 보급이 일반화되면서 인터넷을 통한 정보 전달이 일상생활처럼 되고 있다. 또한 인터넷, 무선통신, 그리고 자료 교환에 대한 증가로 인해 다른 사용자와 접속하기 위한 방식은 빠르게 변화하고 있다. 그러나 기존의 침입 차단 시스템과 침입 탐지 시스템과 같은 시스템 외부방어 개념의 보안 대책은 전산망 내의 중요한 정보 및 자원을 보호함에 있어서 그 한계를 갖는다. 본 논문에서는 해킹으로 판단되는 침입에 대하여 라우터의 구조적 변경 없이 효율적으로 역추적 하기 위해서 ICMP 역추적 메시지(ICMP Traceback Message)를 이용한 ICMP 기반의 역추적 시스템을 설계한다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2002.10d
• /
• pp.394-396
• /
• 2002

최근 인가되지 않은 컴퓨터에 대한 접근이 사회적으로 커다란 문제로 대두되고 있으며, 점차 파괴적인 상황으로까지 악화되어 가고 있다. 따라서 이러한 침입 행위에 대해 침입자들을 추적하여 경고를 줄 수 있는 보다 능동적인 대응이 필요하게 되었다. 이 문제에 대한 많은 해결책이 제시 되었으나 완벽한 대안이 되지는 못하고 있는 실정이며, 오히려 대부분의 경우 숙련된 시스템 관리자의 경험에 의존하는 경향이다. 따라서 침입의 경우에 대비해 어떠한 새로운 상황이 발생하더라도 시스템을 유지할 수 있도록 시스템 관리자들을 훈련시킬 필요가 있다. 본 논문에서는 시스템 관리자들을 훈련하기 위하여 시뮬레이션 기반의 공격자 추적 시스템을 제안한다. 본 시스템은 가상의 지역 네트워크 환경에서 시스템의 간섭 없이 약속된 시나리오에 의한 공격 경로를 분석하고 다양한 형태의 공격 형태를 연습하고 배우는 기능을 제공한다. 이 시스템은 두 가지 주요 문제에 대해 학생들을 훈련시킨다. 첫째, 공격 형태를 발견하는 것이며, 둘째, 다양한 로그 데이터를 분석하여 공격이 이루어진 흔적을 발견해 내는 것이다. 시스템의 테스트 영역은 LINUX 기반의 환경으로 그 범위는 다양한 형태들의 로그 데이터들을 종합하여 분석하는 것으로 제한 한다.

• 한국IT서비스학회:학술대회논문집
• /
• 2009.05a
• /
• pp.361-364
• /
• 2009

침입의 방법이 점차 치밀해지고 다양해짐에 따라 새로운 방식의 침입 탐지 기법 역시 지속적으로 요구되어진다. 기존의 오용 탐지 방법론은 탐지율은 뛰어나지만 새로운 침입형태에 대한 대응 능력이 부족하다. 이러한 단점을 보완하고자 등장한 것이 비정상 행위 탐지 방법론이다. 하지만 현재까지의 연구는 네트워크나 서버 OS, 데이터베이스 등 각 개별 분야에 대해서만 진행되고 있어 그 탐지 능력에 한계가 있다. 본 논문에서는 이러한 한계를 극복하고자 사용자의 네트워크 및 운영체제 로그를 통합 하고, 데이터마이닝 기법 중 빈발 패턴 마이닝 기법을 이용한 보다 정확한 비정상 행위 탐지 기술을 제안한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2003.11c
• /
• pp.1961-1964
• /
• 2003

NIDS 구조의 근본적인 결함을 이용하는 공격기법과 또한 우회하는 공격기법이 많이 개발 되고 있다. 이러한 NIDS에 대한 공격기법의 해결로 HIDS가 사용 될 수 있으나 HIDS 또한 서비스 하는 시스템 자체 내에 탑재하기 때문에 시스템에 많은 부하를 준다. 따라서 NIDS의 많은 장점들을 유지하면서도 NIDS의 한계를 극복하고 HIDS로써 시스템에 않은 과부하를 주지 않는 새로운 HIDS 모델을 제시한다. 제안된 HIDS는 특성상 모든 곳에서의 접속을 허용하므로 보안이 취약한 Web 서버의 보안 강화를 목적으로 설계되었다. 또한, Web 서버는 Web Service라는 특정 목적안을 위해 운영되기 때문에 HIDS를 설치하더라도 Web 공격에 대해서안 고려함으로써 HIDS의 부하를 상당히 줄일 수 있다. 본 논문에서 제안하는 HIDS는 Linux 운영체제의 Kernel에서 TCP Stream을 추출하여 이를 감사 자료로써 사용하여 침입탐지를 한다. Linux 서버의 자체적인 호스트 방화벽과 연동하여 침입에 따른 대응을 한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2002.04b
• /
• pp.899-902
• /
• 2002

본 논문에서는 정책기반의 네트워크 보안 프레임워크 내에서 동작하는 침입자 역 추적 방안을 제안하고, 필요한 기능 구성요소에 대해 논한다. 제안한 역 추적 방안에서는 라우터, 스위치 등과 같은 기존의 네트워크 노드에서 tracing 기능을 직접 수행하지 않고도 위조된 유해 패킷의 송신 근원지 파악이 가능하다. 특히 정책기반의 네트워크 보안 프레임워크 내의 구성요소(보안제어서버, 보안게이트웨이)만으로 근원지 주소를 파악할 수 있기 때문에 망 구성 환경에 영향을 받지 않으며 네트워크 서비스 성능에 영향을 끼치지 않고도 침입 근원지를 파악하여 대응 할 수 있는 능동적인 보안 기능이 가능하다.