• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2003년도 추계학술발표논문집 (하)
• /
• pp.1957-1960
• /
• 2003

최근 분산 서비스거부 공격에 의한 특정 서버의 기능 마비, 더 나아가 네트워크 전체를 마비시키는 사례가 증가하고 있다. 이로 인한 피해의 심각성을 고려해 볼 때 적절한 대응이 시급한 실정이지만, 공격 특성상 공격을 탐지해 내기가 어렵다는 문제점이 있다. 본 논문에서는 분산 서비스거부 공격의 패턴을 파악하여 공격을 효과적으로 탐지할 수 있는 방법을 제안하였다. 공격 패턴 파악을 위해서 시스코사에서 개발한 Netflow 데이터를 이용하여 트래픽을 분석하고, 그 결과로 분산 서비스거부 공격의 효과적인 탐지에 공헌도가 큰 속성들을 추출하였다. 실제 인터넷 망에 연결된 라우터에서 수집한 Netaow 데이터와 분석에 의해 추출된 속성을 기반으로 데이터 마이닝 기술을 이용하여 공격 탐지의 성능을 측정하였다.

• 융합보안논문지
• /
• 제21권2호
• /
• pp.11-18
• /
• 2021

대다수의 기업은 유무형의 자산을 보호하기 위한 방안으로, IT서비스망에 다양한 보안 장비를 구축하여 정보보호 모니터링을 수행하고 있다. 그러나 서비스 망 고도화 및 확장 과정에서 보안 장비 투자와 보호해야 할 자산이 증가하면서 전체 서비스망에 대한 공격 노출 모니터링이 어려워지는 한계가 발생하고 있다. 이에 대응하기 위한 방안으로 외부자의 공격과 장비 불법통신을 탐지할 수 있는 다양한 연구가 진행되었으나, 대규모 서비스망에 대한 효과적인 서비스 포트 오픈 감시 및 불법 통신 모니터링 체계 구축에 대한 연구는 미진한 편이다. 본 연구에서는 IT서비스망 전체 데이터 흐름의 관문이 되는 네트워크 백본장비의 'Netflow 통계 정보'를 분석하여, 대규모 투자 없이 광범위한 서비스망의 정보 유출 및 불법 통신 시도를 감시할 수 있는 프레임워크를 제안한다. 주요 연구 성과로는 Netflow 데이터에서 운영 장비의 텔넷 서비스 오픈 여부를 6개의 ML 머신러닝 알고리즘으로 판별하여 분류 정확도 F1-Score 94%의 높은 성능을 검증하였으며, 피해 장비의 불법 통신 이력을 연관하여 추적할 수 있는 모형을 제안하였다.

• 한국멀티미디어학회논문지
• /
• 제7권10호
• /
• pp.1389-1399
• /
• 2004

현대의 통신망은 점점 그 규모가 커지고, 구조의 복잡성이 증가하고 있다. 이러한 통신망의 성능을 최 적화하여 사용자들이 요구하는 서비스 품질을 보장해 주는 성능관리의 기능이 절실히 요구되고 있다. 현재 성능관리의 주요 기능이 되는 트래픽에 대한 분석을 위해서 넷플로우(NetFlow), RMON,그리고 패킷을 캡처하는 방법이 쓰이고 있지만 통합적인 관점의 해결책은 되지 못한다. 본 논문에서는 다양한 전송기술(Multi-technology), 다양한 장치 제조사(Multi-vender) 장비들의 성능관리를 가능케 할 수 있도록 통합적인 통신망 성능관리 구조를 제시하고, 그에 따라 성능관리 시스템을 설계하고 구현하였다.

• 한국정보통신학회논문지
• /
• 제8권5호
• /
• pp.995-1003
• /
• 2004

오늘날 인터넷의 백본 발달과 더불어 수많은 응용 서비스들이 사용되고 있다. 이러한 응용 서비스는 인터넷 초기 출현 시에는 웹, 파일전달, 이메일 등의 well-known 포트를 사용한 서비스가 주축을 형성하였다. 그러나 최근 인터넷의 폭발적인 사용과 다양한 컨텐츠의 요구로 unwell-known 포트를 사용한 서비스가 매우 많이 등장하였다. 인터넷 트래픽을 모니터링하여 (un)well-known 포트를 사용하는 패킷의 PDU 정보의 분석 후, 응용 서비스의 유형 및 통계 정보를 구하는 기법은 트래픽 분석자에게 매우 유용한 정보이다. 본 논문에서는 우선 TCP와 UDP 위에서 동작하는 (un)well-known 포트를 사용하는 패킷들의 통계 정보를 ethereal에서 제시된 netflow 및 tcpdump 기법으로 수집하여, 사용빈도가 높은 포트의 응용 서비스 제시와 동작과정을 분석하였다. 이후 분석된 응용 서비스의 면밀한 통계를 위해 원시 데이터 트래픽을 수집하는 에이전트와 에이전트로부터 전달받은 트래픽을 BNF(Backus-Naur Form) 기법을 활용하여 서버에 적용하는 과정을 제안하였다. 또한 제안된 과정을 안동대학교 네트워크 환경에 적용하여 인터넷 트래픽 서비스 유형과 웅용 서비스의 면밀한 통계 결과를 제시하여 트래픽 분석자에게 매우 유용한 정보를 제공하였다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2005년도 가을 학술발표논문집 Vol.32 No.2 (1)
• /
• pp.529-531
• /
• 2005

본 논문은 한국을 비롯하여 미국, 러시아 중국 등 4개국을 연결하는 글로벌 과학기술협업연구망인 글로리아드의 활용도를 측정하여 망의 유지, 보수 및 관리를 도와주며 망의 사용국가, 사용성격 등을 분석하는데 유용하게 사용할 수 있도록 하기 위하여 한국과학기술정보연구원에서 수행하고 있는 글로벌 과학기술협업연구망 구축사업의 일환인 글로리아드-한국 링크 활용도 모니터링 시스템 (GMON-KR) 개발 연구를 소개한다. GMON-KR은 넷플로우(Netflow) 기반의 트래픽 모니터링 시스템으로써 넷플로우 데이터를 분석하여 웹페이지 기반의 테이블과 그래프로 결과를 보여주며 10분을 주기로 결과 값을 자동으로 갱신한다. 또한, 분석 결과 값을 데이터베이스에 저장하므로 추후에 원하는 정보를 추출해낼 수 있다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2002년도 가을 학술발표논문집 Vol.29 No.2 (3)
• /
• pp.280-282
• /
• 2002

최근 업무 전산화로 인한 분산 컴퓨팅 환경이 확대되고 네트워크 기반의 응용 서비스들이 다양하게 개발됨에 따라 네트워크 트래픽은 증가 일로에 있으며 어느 호스트에서 어떤 형태의 트래픽이 얼마만큼 유발되는지를 알아내는 일은 한정된 네트워크 자원을 효율적으로 활용하는데 매우 중요한 일이 되었다. 하지만, 현재의 네트워크관리시스템들은 트래픽 모니터링에 따른 통계값 제공 등의 단순 평면적인 정보만을 제공할 뿐, 네트워크를 정밀 분석하고 그에 따른 대책을 마련하기에는 미약하다. 따라서 효율적인 네트워크 자원 활용을 위하여 네트워크 트래픽을 자세히 분석하며, 네트워크 계층별, 지역별, 호스트별 및 응용 서비스 별로 트래픽을 측정 및 분석할 수 있는 시스템의 개발이 필요하다. 본 논문은 한국전력데이터통신망을 대상으로 네트워크 트래픽의 발원지로부터 목적지까지의 백본 및 LAN 구간에서의 트래픽을 플로우별로 수집, 분석할 수 있는 트래픽 분석 시스템을 설계 및 구현하였다본 시스템은 트래픽 측정을 위해 백본에서는 Netflow 기능을 이용하며, LAN 구간에서는 패킷 캡처 방식의 Probe를 이용한다. 이때 기존의 패킷 캡처 방식의 기능을 개선하여 이를 플로우화 함으로써 LAN구간에서도 동일한 인터페이스를 통하여 네트워크 트래픽을 분석할 수 있게 하였다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2003년도 가을 학술발표논문집 Vol.30 No.2 (3)
• /
• pp.79-81
• /
• 2003

오늘날 인터넷의 백본 발달과 더불어 수많은 응용 서비스들이 사용되고 있다. 이러한 응용 서비스는 인터넷 초기 출현 시에는 웹, 파일전달, 이메일 등의 well­known 서비스가 주축을 형성하였다. 그러나 최근 인터넷의 폭발적인 사용과 다양한 컨텐츠의 요구로 unwell­known 서비스가 매우 많이 등장하였다. 또한 인터넷에서 작동하는 트랙픽을 모니터링하여 (un)well­known 포트를 사용하는 패킷의 PDU 정보를 보고서 응용 서비스의 유형을 찾는 기법은 트래픽 분석자에게 매우 유용한 정보이다. 본 논문에서는 TCP와 UDP 위에서 동작하는 (un)well­known 포트를 사용하는 패킷의 PDU 정보에 의한 응용 서비스의 유형을 찾는 트래픽 분석 기법을 수행하였다. 이러한 분석을 위하여 수많은 트래픽 중 활용도가 많은 응용 서비스를 추출하기 위하여, 안동대학교 네트워크에서는 ethereal에서 제시된 netflow 및 tcpdump 기법을 활용하였다. 추출된 트래픽의 분석을 위하여 그 서비스를 PC에서 구동시켜 ethereal 트래픽 분석장치로 모니터링하여 분석하였다.

• 전자통신동향분석
• /
• 제30권4호
• /
• pp.120-128
• /
• 2015

최근 인터넷의 거대화와 더불어 기본적으로 ISP의 오버헤드를 최소화하는 요구사항을 만족시켜 줄 수 있는 역추적기술 보장에 큰 비중을 두고 있으며, 현재 또는 차세대 인터넷에서 적용 가능한 역추적기술이 필요하다. 본 논문은 사이버 표적공격(Advanced Persistent Threats: APT)에 적용 가능한 역추적(Traceback)기술에 대한 동향을 살펴본다. 특히 기존 IP 및 TCP Connection 기반 역추적방법 중 Network 기반 Connection 추적기술인 Timing-based Approach에 대해서 상세히 살펴보며 아울러 본 논문에서 제안하는 Netflow 기반의 ON-OFF 모델 확장을 통한 Timing-based Connection Traceback Approach의 기술적 적용을 통하여 공격 시스템의 위치와 실제 해킹을 시도하는 해커의 위치가 서로 다르다 하더라도 실제 해커의 위치인 공격 근원지를 추적할 수 있는 기술적 가능성 및 전망을 소개한다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제10권6호
• /
• pp.2801-2816
• /
• 2016

Owing to their low scalability, weak support on big data, insufficient data collaborative analysis and inadequate situational awareness, the traditional methods fail to meet the needs of the security data analysis. This paper proposes visualization methods to fuse the multi-source security data and grasp the network situation. Firstly, data sources are classified at their collection positions, with the objects of security data taken from three different layers. Secondly, the Heatmap is adopted to show host status; the Treemap is used to visualize Netflow logs; and the radial Node-link diagram is employed to express IPS logs. Finally, the Labeled Treemap is invented to make a fusion at data-level and the Time-series features are extracted to fuse data at feature-level. The comparative analyses with the prize-winning works prove this method enjoying substantial advantages for network analysts to facilitate data feature fusion, better understand network security situation with a unified, convenient and accurate mode.

• 정보처리학회논문지C
• /
• 제11C권7호
• /
• pp.993-998
• /
• 2004

웜 바이러스 및 분산서비스거부 공격의 등장으로 침해사고의 공격대상 및 피해범위는 특정 시스템이나 서비스에서 벗어나 네트워크 자체의 장애 및 마비로 확대되고 있다. 이러한 공격 형태는 가장 강력하고 빈번하게 발생하고 있으며, 특히 공격의 경유지로 이용될 인터넷서비스제공자들은 심각한 피해를 입을 수 있다. 그러나 이러한 웜 바이러스 및 분산서비스거부 공격의 빠른 전파속도로 인해 다수의 시스템에서 동시에 발생하는 것이 일반적인 반면에 네트워크 차원의 대응은 네트워크 관리자에 의한 수동적으로 이루어져 대응 속도가 느리고 전체 발생량을 처리할 수 없는 형편이다. 이에 따라 본 논문에서는 원 바이러스 및 분산서비스거부 공격 발생 여부 및 공격자(공격자 IP 주소)를 자동으로 탐지 할 수 있는 방안을 제시한다.