• 한국지능시스템학회논문지
• /
• 제18권5호
• /
• pp.679-684
• /
• 2008

느린 포트스캔 공격 탐지는 네트워크 보안에서 중요한 분야 중 하나이다. 본 논문에서는 퍼지 룰을 이용한 비정상 트래픽 컨트롤 프레임워크를 이용한 느린 포트스캔 공격을 탐지하고 대응하는 방법을 제안한다. 비정상 트래픽 컨트롤 프레임워크는 침입차단 시스템으로 동작하면서 의심 단계의 네트워크 트래픽을 대응하는 기능을 가진다. 본 논문에서 제안하는 방법은 공격 혹은 공격 의심 트래픽에 대해 단계적 대응을 한다. 먼저 의심 단계에 있는 트래픽에 대해 대역폭을 줄여 서비스를 하다가 최종적으로 공격으로 판명되면 트래픽을 차단한다. 본 논문에서는 제안한 방법을 프레임워크에 구축하고 실험을 통해 느린 포트스캔 공격에 효과적임을 보인다.

• 정보보호학회논문지
• /
• 제19권3호
• /
• pp.107-117
• /
• 2009

네트워크 관리자가 침입 탐지 시스템, 방화벽 등의 보안 장비에서 발생하는 경보 메시지를 통하여 네트워크에서 이상 현상이 발생하였는지를 인지하고, 이상 현상이 실제 네트워크 보안 위협인지를 판단하기 위해서는 경보 메시지와 관련된 트래픽을 검색하고 분석하는 등의 일련의 작업이 필요하다. 하지만 보안 장비에서 발생되는 경보 메시지의 양이 많을 뿐만 아니라, 네트워크 관리자가 관련 트래픽을 검색하고 분석하는데 많은 시간이 소요되는 등의 문제점이 있다. 따라서 본 논문에서는 보안 이벤트 시각화 기술을 사용하여 네트워크의 보안 상황을 보다 빠르고 효과적으로 분석 할 수 있는 방법을 제안한다. 제안된 방법의 경우 전체 IP주소 공간에서 트래픽의 흐름을 표현하기 때문에 네트워크 관리자가 현재 네트워크에서 발생되는 보안 위협을 보다 빠르게 판단할 수 있도록 도와준다.

• 정보처리학회논문지C
• /
• 제14C권3호
• /
• pp.209-220
• /
• 2007

침입방지 시스템(IPS, Intrusion Prevention System)은 인라인모드(in-line mode)로 네트워크에 설치되어, 네트워크를 지나는 패킷 또는 세션을 검사하여 만일 그 패킷에서 공격이 감지되면 해당 패킷을 폐기하거나 세션을 종료시킴으로서 외부의 침입으로부터 네트워크를 보호하는 시스템을 의미한다. IPS에서 주로 사용되는 시그너처 기반 필터링에서는 침입방지시스템을 통과하는 패킷의 페이로드와 시그너처라고 불리는 공격패턴들과 비교하여 같으면 그 패킷을 폐기한다. 시그너처의 개수가 증가함에 따라 하나의 들어온 패킷에 대하여 요구되는 패턴 매칭 시간은 증가하게 되어 패킷지연 없이 동작하는 고성능 침입탐지시스템을 개발하는 것이 어렵게 되었다. 본 논문에서는 패턴 매칭 시간을 시그너처의 개수와 무관하게 하기 위하여 시그너처 해싱 기반에 기반한 고성능 침입방지시스템을 제안한다. 제안한 방식을 리눅스 커널 모듈 형태로 PC에서 구현하였고 월 발생기, 패킷발생기, 스마트비트라는 네트워크 성능 측정기를 이용하여 시험하였다. 실험결과에 의하면 기존 방식에서는 시그너처 개수가 증가함에 따라 성능이 저하되었지만 본 논문에서 제안한 방식은 성능이 저하되지 않았다.

• Journal of Information Processing Systems
• /
• 제13권3호
• /
• pp.559-572
• /
• 2017

Cyberbullying has been an emerging issue in recent years where research has revealed that users generally spend an increasing amount of time in social networks and forums to keep connected with each other. However, issue arises when cyberbullies are able to reach their victims through these social media platforms. There are different types of cyberbullying and like traditional bullying; it causes victims to feel overly selfconscious, increases their tendency to self-harm and generally affects their mental state negatively. Such situations occur due to security issues such as user anonymity and the lack of content restrictions in some social networks or web forums. In this paper, we highlight the existing solutions, which are Intrusion Prevention System and Intrusion Detection System from a number of researchers. However, even with such solutions, cyberbullying acts still occurs at an alarming rate. As such, we proposed an alternative solution that aims to prevent cyberbullying activities at a younger age, e.g., young children. The application would provide an alternative method to preventing cyberbullying activities among the younger generations in the future.

• 제어로봇시스템학회:학술대회논문집
• /
• 제어로봇시스템학회 2003년도 ICCAS
• /
• pp.2101-2105
• /
• 2003

Recently the number of Internet users has very sharply increased, and the number of intrusions has also increased very much. Consequently, security products are being developed and adapted to prevent systems and networks from being hacked and intruded. Even if security products are adapted, however, hackers can still attack a system and get a special authorization because the security products cannot prevent a system and network from every instance of hacking and intrusion. Therefore, the researchers have focused on an active hacking prevention method, and they have tried to develop a traceback system that can find the real location of an attacker. At present, however, because of the characteristics of Internet - diversity, anonymity - the real-time traceback is very difficult. To over-come this problem the Network-based Real-Time Connection Traceback System (NRCTS) was proposed. But there is a security problem that the victim system can be hacked during the traceback. So, in this paper, we propose modified NRCTS with connection redirection technique. We call this traceback system as Connection Redirected Network-based Real-Time Connection Traceback System (CR-NRCTS).

• 한국컴퓨터정보학회논문지
• /
• 제24권5호
• /
• pp.27-33
• /
• 2019

One of serious security threats is a botnet-based attack. A botnet in general consists of numerous bots, which are computing devices with networking function, such as personal computers, smartphones, or tiny IoT sensor devices compromised by malicious codes or attackers. Such botnets can launch various serious cyber-attacks like DDoS attacks, propagating mal-wares, and spreading spam e-mails over the network. To establish a botnet, attackers usually inject malicious URLs into web source codes stealthily by using data hiding methods like Javascript obfuscation techniques to avoid being discovered by traditional security systems such as Firewall, IPS(Intrusion Prevention System) or IDS(Intrusion Detection System). Meanwhile, it is non-trivial work in practice for software developers to manually find such malicious URLs which are hidden in numerous web source codes stored in web servers. In this paper, we propose a security defense system to discover such suspicious, malicious URLs hidden in web source codes, and present experiment results that show its discovery performance. In particular, based on our experiment results, our proposed system discovered 100% of URLs hidden by Javascript encoding obfuscation within sample web source files.

• 한국정보기술응용학회:학술대회논문집
• /
• 한국정보기술응용학회 2005년도 6th 2005 International Conference on Computers, Communications and System
• /
• pp.161-164
• /
• 2005

As the power of influence of the Internet grows steadily, attacks against the Internet can cause enormous monetary damages nowadays. A worm can not only replicate itself like a virus but also propagate itself across the Internet. So it infects vulnerable hosts in the Internet and then downgrades the overall performance of the Internet or makes the Internet not to work. To response this, worm detection and prevention technologies are developed. The worm detection technologies are classified into two categories, host based detection and network based detection. Host based detection methods are a method which checks the files that worms make, a method which checks the integrity of the file systems and so on. Network based detection methods are a misuse detection method which compares traffic payloads with worm signatures and anomaly detection methods which check inbound/outbound scan rates, ICMP host/port unreachable message rates, and TCP RST packet rates. However, single detection methods like the aforementioned can't response worms' attacks effectively because worms attack the Internet in the distributed fashion. In this paper, we propose a design of distributed worm detection system to overcome the inefficiency. Existing distributed network intrusion detection systems cooperate with each other only with their own information. Unlike this, in our proposed system, a worm detection system on a network in which worms select targets and a worm detection system on a network in which worms propagate themselves cooperate with each other with the direction-aware information in terms of worm's lifecycle. The direction-aware information includes the moving direction of worms and the service port attacked by worms. In this way, we can not only reduce false positive rate of the system but also prevent worms from propagating themselves across the Internet through dispersing the confirmed worm signature.

• 한국융합학회논문지
• /
• 제8권8호
• /
• pp.51-57
• /
• 2017

무선 센서 네트워크는 자원 제약적인 센서 노드들로 구성되는 네트워크로, 분산 서비스 거부 공격, 라우팅 공격 등 다양한 악의적인 공격이 발생될 수 있다. 본 논문에서는 소프트웨어 정의 네트워킹 기술과 보안 기술을 융합하여 무선 센서 네트워크에 발생하는 다양한 공격을 탐지하고 방어하는 기법을 제안한다. 제안 기법에서는 서버에 있는 침입 탐지 및 방지 시스템이 SDN 컨트롤러를 통해 전달되는 오픈플로우 스위치의 로그 정보들을 축적하여 침입을 탐지하며, 침입을 탐지했을 때 오픈플로우 프로토콜을 이용하여 오픈플로우 스위치에 해당 침입에 대한 대응방안을 설정함으로써 침입을 방지할 수 있다. 본 논문에서는 분산 서비스 거부 공격 및 라우팅 공격 발생 시 침입 탐지 및 방지를 보임으로써 제안기법의 타당성을 보였다. 제안기법은 다른 기법과 달리 중앙 집중 서버에서 그래프 모델과 침입 탐지 모델을 융합하여 효과적이고 메시지 효율적으로 다양한 침입을 탐지하고 방지할 수 있다.

• 한국정보통신학회:학술대회논문집
• /
• 한국해양정보통신학회 2010년도 추계학술대회
• /
• pp.434-437
• /
• 2010

시그니처 기반 필터링(Signature based filtering)은 이미 알려진 공격으로부터 방어하는 방법으로, 침입방지 시스템을 통과하는 패킷의 페이로드와 시그니처라 불리는 공격 패턴들과 비교하여 같으면 그 패킷을 폐기한다. 그러나 시그니처의 개수가 증가함에 따라 하나의 들어온 패킷에 대하여 요구되는 패턴 매칭 시간은 증가하게 되어 패킷의 지연현상이 발생한다. 고성능 침입방지 시스템을 위해서는 보다 효율적인 패턴 매칭 알고리즘이 필요하며, 패턴 매칭의 수행 성능 향상을 위해 가장 중요한 부분은 처리해야 하는 패킷이 도착했을 때, 해당 패킷의 데이터를 룰의 시그니처와 비교하는 횟수를 줄이는데 있다. 이에 본 논문에서는 고성능 침입방지 시스템의 개발을 위해 기존의 제안된 시그니처 해싱 기반의 침입방지 시스템에 패킷 분류를 위한 다차원 검색을 튜플 공간이라는 이차원 공간을 이용하여 검색하는 튜플 공간 패킷 분류 알고리즘과 블룸 필터를 적용한 패턴 매칭 방법을 제안한다.

• 한국멀티미디어학회논문지
• /
• 제9권8호
• /
• pp.1037-1044
• /
• 2006

실제 대규모 네트워크에서 사이버 공격으로 인한 보안시스템의 성능을 검증하기는 어렵다. 일반적으로 새로운 보안시스템이나 공격기법은 시뮬레이션을 통해 검증을 한다. 본 논문에서는 보안시스템 및 공격기법을 시뮬레이션 하기 위해 SSFNet을 사용하였다. SSFNet은 프로세스 기반 사건 중심 시뮬레이션 시스템이면서, 대규모 네트워크를 쉽게 표현할 수 있는 장점을 가지고 있다. 하지만 보안시스템이나 패킷을 조작할 수 있는 API를 제공하고 있지 않다. 본 논문에서는 보안 시스템으로 주로 사용하고 있는 방화벽과 IPS 클래스를 개발하여 SSFNet 구성요소로 추가하였다. 방화벽은 패킷 필터링 기반 보안 방화벽 시스템을 모델링하였다. IPS는 탐지 기능과 이상 패킷에 대한 드롭 기능을 가지고 있다. 확장된 SSFNet내에 네트워크를 모델링하여 방화벽과 IPS의 기능을 검증하였다. 방화벽은 패킷의 주소와 포트의 규칙을 통해 패킷을 차단하였다. 그리고 라우터에 기술된 IPS의 로그화면을 통해 패킷의 상태와 이상 패킷이 차단되는 것을 확인하였다.