• 융합보안논문지
• /
• 제16권5호
• /
• pp.41-48
• /
• 2016

본 논문은 플로우 시각화 기반의 네트워크 보안 상황 감시 방법인 VisFlow를 제안하며, 기존 트래픽 플로우 시각화 기술의 단점인 대량 트래픽 발생 시의 직관성 상실 문제, 대칭적 주소 공간에 의한 반사현상 문제, 종단간 연결 의미의 상실 문제를 해결하고자 한다. VisFlow는 단순하고 효율적인 보안 시각화 인터페이스로써 플로우 시각화 기술을 활용하여 개별적인 트래픽 데이터들에서는 볼 수 없었던 다양한 네트워크 현상들을 패턴으로 형상화하고 관리 네트워크 내의 보안 상황을 실시간으로 분석 및 감시하는 방법이다. 트래픽 플로우의 포트 역할 분석 방법을 이용하여 노드 유형과 중요 정보를 식별 분류하고, 분류된 정보는 중요도에 따라 2D/3D 공간 상에 단순화 및 강조하여 표시함으로써 직관성과 실용성을 높인다. 또한, IP주소값에 기반한 비대칭적 노드 배치를 통해 반사현상 문제를 해결하고 노드간의 연결선을 활용하여 종단간의 세션 의미를 유지함으로써 정보성은 높인다. 관리자는 VisFlow를 통해 방대한 트래픽 데이터를 쉽게 탐색하고 전체 네트워크 상황을 직관적으로 파악함으로써 네트워크 보안 상황을 효과적으로 감시할 수 있다.

• 한국융합학회논문지
• /
• 제10권12호
• /
• pp.17-22
• /
• 2019

네트워크 트래픽 세션 데이터를 이용한 공격 분석 및 시각화 방법들은 세션 데이터 내의 송신지 및 수신지 IP주소 및 연결관계를 시각화하여 네트워크 이상 현상들을 감시한다. 트래픽의 송수신 방향은 이상 현상을 탐지하는데 있어서 매우 중요한 특징이지만, 단순히 송신지와 수신지 IP주소를 좌·우 또는 상·하 대칭적으로 시각화하는 것은 분석을 난해하게 만드는 요소가 된다. 또한, 시계열적인 트래픽 세션들의 시간 특성을 고려하지 않고 시각화 인터페이스를 설계할 경우에는 시간별 보안 상황 정보가 손실되는 위험을 감수해야 한다. 본 논문에서는 방사축을 이용하여 시계열 트래픽 데이터를 시각화하고 IP주소를 네트워크 부분과 호스트 부분으로 분할 및 원통좌표계에 표출시켜 효과적으로 네트워크 공격을 감시할 수 있는 시각화 인터페이스와 분석 방법을 제안하고자 한다. 제안하는 방법은 네트워크 공격을 직관적으로 인지하고 공격 활동을 시간흐름에 따라 파악할 수 있는 장점을 가진다.

• 정보보호학회논문지
• /
• 제30권4호
• /
• pp.693-704
• /
• 2020

기업의 네트워크가 대규모화되고 보안시스템 수가 많아짐에 따라 엄청난 양의 보안시스템 이벤트로부터 이상 트래픽을 신속하게 탐지하기란 쉽지 않다. 본 논문에서는 방화벽 등 정보보호 시스템의 보안이벤트를 실시간 탐지하고 분석할 수 있는 트래픽 시각화 분석시스템(FDANT-PCSV)를 제안한다. FDANT-PCSV는 보안이벤트 중 5가지 인자(출발지 IP, 목적지 IP, 목적지 포트, 패킷 길이, 처리상태)를 이용한 Parallel Coordinates 시각화와 4가지 인자(출발지 IP, 목적지 IP, 이벤트 수, 데이터 크기)를 이용한 Sankey 시각화로 구성된다. 또한, 빅데이터 기반 SIEM을 이용하기 때문에 인터넷 및 인트라넷에서 발생하는 네트워크 공격과 네트워크 장애 트래픽을 실시간 탐지할 수 있다. FDANT-PCSV는 사이버 보안 관제요원과 네트워크 관리자가 네트워크 이상 트래픽을 빠르고 쉽게 탐지하여 네트워크 위협에 신속히 대응할 수 있도록 해준다.

• 정보보호학회논문지
• /
• 제22권6호
• /
• pp.1315-1324
• /
• 2012

보안 이벤트 시각화 기법은 기존의 시각화 기술을 네트워크 보안 분야에 적용한 형태로써 네트워크 보안과 관련있는 이벤트를 사용하여 네트워크의 트래픽 흐름과 보안 상황을 쉽고 빠르게 분석 및 탐지하는 기술이다. 특히 종단간의 연결 이벤트인 세션을 시각화하여 네트워크 이상 상황을 탐지하는 기술은 상대적으로 패킷 감시 기법에서 발생하는 오버헤드를 줄일 수 있고 알려지지 않은 공격 패턴들은 쉽게 탐지할 수 있어서 좋은 해결책이 되고 있다. 하지만, 서버들의 정상 활동과 네트워크 공격이 종단간의 유사한 연결 패턴을 가질 경우 세션 기반의 시각화 기법들은 공격 상황과 정상 상황을 구분하는 기능이 매우 취약하다. 따라서 본 논문에서는 세션 기반 시각화 기법에서 서버들의 정상 활동과 네트워크 공격 상황을 상세하게 구분할 수 있는 IP 주소 분할 표시 분석 방법 및 포트 특성 분석 방법을 제안하고자 한다. 제안하는 세션 기반의 공격 시각화 탐지 방법은 다른 공격 탐지 방법들과는 의존성이 없기 때문에 기존의 다양한 네트워크 공격 분석 및 탐지에 활용될 수 있고, 또한 네트워크 관리자에게는 현재 네트워크에서 발생되는 보안 위협을 보다 빠르게 판단할 수 있도록 도움을 준다.

• ETRI Journal
• /
• 제42권3호
• /
• pp.366-375
• /
• 2020

The network traffic prediction of a smart substation is key in strengthening its system security protection. To improve the performance of its traffic prediction, in this paper, we propose an improved gravitational search algorithm (IGSA), then introduce the IGSA into a wavelet neural network (WNN), iteratively optimize the initial connection weighting, scalability factor, and shift factor, and establish a smart substation network traffic prediction model based on the IGSA-WNN. A comparative analysis of the experimental results shows that the performance of the IGSA-WNN-based prediction model further improves the convergence velocity and prediction accuracy, and that the proposed model solves the deficiency issues of the original WNN, such as slow convergence velocity and ease of falling into a locally optimal solution; thus, it is a better smart substation network traffic prediction model.

• 정보보호학회논문지
• /
• 제27권1호
• /
• pp.25-38
• /
• 2017

국가 주요 기반 시설을 포함하여 보안사고 발생 시 심각한 피해를 발생시킬 수 있는 산업 제어시스템의 특성에 의해 세계적으로 많은 보안 침해 사고가 발생하고 있다. 따라서 산업 제어시스템 네트워크에 오가는 트래픽은 감시되고, 분석되어 공격을 사전에 파악하거나 사고 이후 재빠른 대응을 수행할 수 있어야 한다. 본 논문에서는 제어시스템 프로토콜인 DNP3를 대상으로 모든 공격의 가능성을 갖는 트래픽들을 대상으로 합리적인 의심이 가능하도록 네트워크 포렌식 관점에서 시각화를 연구를 수행해 정상행위기반 룰을 정의하고 시각화 요구사항을 도출했다. 이를 기반으로 제어시스템 네트워크상에 캡처된 패킷 파일을 대상으로 DDoS와 같은 급작스런 네트워크 트래픽의 변화를 일으키는 경우 혹은 정상행위를 위반한 공격이 탐지 가능한 시각화 도구를 개발했고, 디지털본드 패킷과 같이 치명적인 공격이 포함된 네트워크상에서 성공적으로 비정상행위 탐지를 수행하였다.

• 정보보호학회논문지
• /
• 제19권3호
• /
• pp.107-117
• /
• 2009

네트워크 관리자가 침입 탐지 시스템, 방화벽 등의 보안 장비에서 발생하는 경보 메시지를 통하여 네트워크에서 이상 현상이 발생하였는지를 인지하고, 이상 현상이 실제 네트워크 보안 위협인지를 판단하기 위해서는 경보 메시지와 관련된 트래픽을 검색하고 분석하는 등의 일련의 작업이 필요하다. 하지만 보안 장비에서 발생되는 경보 메시지의 양이 많을 뿐만 아니라, 네트워크 관리자가 관련 트래픽을 검색하고 분석하는데 많은 시간이 소요되는 등의 문제점이 있다. 따라서 본 논문에서는 보안 이벤트 시각화 기술을 사용하여 네트워크의 보안 상황을 보다 빠르고 효과적으로 분석 할 수 있는 방법을 제안한다. 제안된 방법의 경우 전체 IP주소 공간에서 트래픽의 흐름을 표현하기 때문에 네트워크 관리자가 현재 네트워크에서 발생되는 보안 위협을 보다 빠르게 판단할 수 있도록 도와준다.

• ETRI Journal
• /
• 제33권5호
• /
• pp.770-779
• /
• 2011

Security quad and cube (SQC) is a network attack analyzer that is capable of aggregating many different events into a single significant incident and visualizing these events in order to identify suspicious or illegitimate behavior. A network administrator recognizes network anomalies by analyzing the traffic data and alert messages generated in the security devices; however, it takes a lot of time to inspect and analyze them because the security devices generate an overwhelming amount of logs and security events. In this paper, we propose SQC, an efficient method for analyzing network security through visualization. The proposed method monitors anomalies occurring in an entire network and displays detailed information of the attacks. In addition, by providing a detailed analysis of network attacks, this method can more precisely detect and distinguish them from normal events.

• 디지털산업정보학회논문지
• /
• 제11권4호
• /
• pp.47-60
• /
• 2015

In this paper, we propose a simple and useful method using a port role to visualize the network attacks. The port role defines the behavior of the port from the source and destination port number of network session. Based on the port role, the port provides the brief security features of each node as an attacker, a victim, a server, and a normal host. We have automatically classified and identified the type of node based on the port role and security features. We detected and visualized the network attacks using these features of the node by the port role. In addition, we are intended to solve the problems with existing visualization technologies which are the reflection problem caused an undirected network session and the problem caused decreasing of distinct appearance when occurs a large amount of the sessions. The proposed method monitors anomalies occurring in an entire network and displays detailed information of the attacker, victim, server, and hosts. In addition, by providing a categorized analysis of network attacks, this method can more precisely detect and distinguish them from normal sessions.

• 지적과 국토정보
• /
• 제48권1호
• /
• pp.201-213
• /
• 2018

최근 우리나라의 경우 교통사고 예방활동으로 자동차 보유에 따른 교통사고 발생건수는 지속적으로 감소하고 있지만, 서울의 경우 다른 지역에 비해 자동차 1만대 대비 사고 건수는 전국에서 광주와 함께 가장 높게 나타나고 있다. 인적 재난인 교통사고를 예방하기 위한 다양한 연구들이 진행되어 왔다. 특히 교통사고에 대한 공간적 분석을 연구한 초기 연구들은 교통사고 클러스터 지역을 확인하기 위해 행정구역 별 교통사고 건수를 집계하거나, 커널밀도 방법을 통해 밀도를 추정하여 분석하는 경우가 다수를 이루었다. 그러나 교통사고는 도로를 따라 발생하는 사건이기 때문에 도로상에서 교통사고 다발구간을 찾는 것이 더 의미가 있을 수 있다. 따라서 본 연구는 도로 네트워크를 따라 교통사고 집중 지역을 찾고자 하였다. 본 연구에서는 2가지 방법으로 교통사고를 가장 가까운 도로 네트워크에 할당한 뒤, Getis-Ord $Gi^*$에 의한 핫스팟 분석을 통해 교통사고 다발구간을 분석하였다. 하나는 10m 단위의 일정한 도로 링크를 중심으로 분석을 수행하였으며, 다른 하나는 도로구간별 단위 길이 당 평균 교통사고를 계산하여 교통사고 밀집구간을 분석하였다. 첫 번째 방법에 의한 분석 결과 교통사고가 집중되는 특정 도로 구간을 명확하게 확인할 수 있는 반면, 두 번째 방법에 의한 분석 결과 도로링크의 특성에 따라 교통사고 집중지역이 길게 나타나는 특징을 확인할 수 있었다. 두 방법에 의한 교통사고 다발구간이 다르게 나타나는 것을 알 수 있으며, 향후 해당 지역의 교통환경을 분석하고 개선하기 위해서는 보다 명확한 구간을 파악하는 것이 유의미할 수 있다.