• 한국정보통신학회논문지
• /
• 제26권8호
• /
• pp.1205-1212
• /
• 2022

산업제어시스템 (ICS)을 공격 대상으로 하는 사이버 보안 위협들이 지속적으로 증가하는 추세이며 특히 발전, 가스, 정유 시설과 같은 국가 기반시설에서 발생할 수 있는 사이버 보안 사고는 인명 손실 및 대형 화재와 같이 재난 수준의 사고로 이어질 수 있다. 제어시스템을 목표로 하는 사이버 공격에 효과적으로 대응하기 위해서는 ICS 환경을 고려한 다 계층 방어 전략이 필요하며, 특히 제어 망과 IT 환경에서 발생하는 보안 로그들을 통합된 환경에서 운영하는 전략은 기반시설 침해사고 대응에 있어 효과적인 역할을 한다. 본 연구에서는 제어 망에서 발생하는 보안 로그들을 IT 환경에서 운영하는 SIEM (Security Information and Event Management)으로 전송 하는 방법으로 OPC 프로토콜을 활용하는 방안을 소개하고, 이를 통하여 IEC 62443에서 정의하는 제어시스템 전 계층 (Level 0 ~ Level 4)에서 발생하는 이벤트를 통합할 수 있는 보안 로그 서버 구축 방안을 제시한다.

• 정보보호학회논문지
• /
• 제34권2호
• /
• pp.263-279
• /
• 2024

클라우드 마이그레이션 증가와 함께 클라우드 컴퓨팅 환경에서의 보안 위협도 급증하고 있다. 이에 효율적인 사고조사를 수행하기 위한 로그 데이터 분석의 중요성이 강조되고 있다. 클라우드 환경에서는 서비스 다양성과 간편한 리소스 생성 등의 특성으로 인해 대량의 로그 데이터가 생성된다. 이로 인해 사고 발생 시 어떤 이벤트를 조사해야 하는지 판단하기 어렵고, 방대한 데이터를 모두 확인하려면 상당한 시간과 노력이 필요하다. 따라서 데이터를 효율적으로 조사하기 위한 분석체계가 필요하다. AWS(Amazon Web Services)의 로깅 서비스인 CloudTrail은 계정에서 발생한 모든 API 호출이벤트로그를 수집한다. 그러나 사고 발생 시 어떤 로그를 분석해야 하는지 판단하기 위한 인사이트 제공 역할은 부족하다. 본 논문에서는 Cloud Matrix와 이벤트 정보를 연계하여 사고 조사를 효율적으로 수행할 수 있도록하고, 이를 기반으로 사용자 행위 로그 이벤트의 발생 빈도 및 공격 정보를 동시에 확인할 수 있는 자동화 분석프레임 워크를 제안한다. 이를 통해 ATT&CK Framework를 기반으로 주요 이벤트를 식별하고, 사용자 행위를 효율적으로 파악함으로써 클라우드 사고 조사에 기여할 것으로 기대한다.

• 융합보안논문지
• /
• 제21권3호
• /
• pp.13-23
• /
• 2021

공격자의 무기가 점차 지능화 및 고도화되고 있어 기존 백신만으로는 보안 사고를 막을 수 없으므로 endpoint까지 보안 위협이 검토되고 있다. 최근 endpoint를 보호하기 위한 EDR 보안 솔루션이 등장했지만, 가시성에 중점을 두고 있으며, 이에 대한 탐지 및 대응 기술은 부족하다. 본 논문에서는 보안 관리자 관점에서 효과적인 분석과 분석 대상을 선별하기 위해 실 환경 EDR 이벤트 로그를 사용하여 지식 기반 MITRE ATT&CK 및 AutoEncoder 기반 Anomaly Detection 기술을 종합적으로 사용하여 이상 공격징후를 탐지한다. 이후, 탐지된 이상 공격징후는 보안 관리자에게 로그정보와 함께 alarm을 보여주며, 레거시 시스템과의 연계가 가능하다. 실험은 5일에 대한 EDR 이벤트 로그를 하루 단위로 탐지했으며, Hybrid Analysis 검색을 통해 이를 검증한다. 따라서, EDR 이벤트 로그 기반 언제, 어떤 IP에서, 어떤 프로세스가 얼마나 의심스러운지에 대한 결과를 산출하며, 산출된 의심 IP/Process에 대한 조치를 통해 안전한 endpoint 환경을 조성할 것으로 기대한다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제14권12호
• /
• pp.4909-4926
• /
• 2020

Cyberattacks penetrate the server and perform various malicious acts such as stealing confidential information, destroying systems, and exposing personal information. To achieve this, attackers perform various malicious actions by infecting endpoints and accessing the internal network. However, the current countermeasures are only anti-viruses that operate in a signature or pattern manner, allowing initial unknown attacks. Endpoint Detection and Response (EDR) technology is focused on providing visibility, and strong countermeasures are lacking. If you fail to respond to the initial attack, it is difficult to respond additionally because malicious behavior like Advanced Persistent Threat (APT) attack does not occur immediately, but occurs over a long period of time. In this paper, we propose a technique that detects an unknown attack using an event log without prior knowledge, although the initial response failed with anti-virus. The proposed technology uses a combination of AutoEncoder and 1D CNN (1-Dimention Convolutional Neural Network) based on semi-supervised learning. The experiment trained a dataset collected over a month in a real-world commercial endpoint environment, and tested the data collected over the next month. As a result of the experiment, 37 unknown attacks were detected in the event log collected for one month in the actual commercial endpoint environment, and 26 of them were verified as malicious through VirusTotal (VT). In the future, it is expected that the proposed model will be applied to EDR technology to form a secure endpoint environment and reduce time and labor costs to effectively detect unknown attacks.

• 스마트미디어저널
• /
• 제7권4호
• /
• pp.70-78
• /
• 2018

정보시스템에서 정보 보안의 중요성이 강조됨에 따라 이에 대응하기 위해 많은 기업이 보안 솔루션을 도입하고 있다. 하지만 많은 예산을 들여도 이를 관리하는 보안 관제가 없으면 제대로 기능하지 못하게 된다. 보안 관제는 문제 발생 시 빠른 대처가 필수적이며, 관제 목적에 맞는 적절한 시각화 대시보드를 설계하여 필요한 정보를 빠르게 전달할 수 있도록 할 필요가 있다. 본 논문에서는 오픈소스 Elastic Stack을 이용하여 보안 로그를 시각화 하는 방법을 제시하고, 관제 목적에 적합한 대시보드로 구현함으로써 제시된 방법이 네트워크 보안 관제에 적합함을 보인다. 대시보드는 비정상적인 트래픽 증가와 공격 경로 분석 등의 목적으로 효과적으로 활용될 수 있음을 확인하였다.

• 융합보안논문지
• /
• 제2권2호
• /
• pp.109-121
• /
• 2002

정보기술의 발달로 보안사고가 증가되면서 침입차단 시스템, 침입탐지 시스템 및 가상 사설망 등의 기능이 통합된 보안 관리 시스템(ESM)의 개발에 대한 요구가 증가되고 있다. 그러나, 불행하게도 개발자들은 관련 표준의 미비로 어려움을 겪어왔다. 최근 ISTF가 침입차단 시스템 및 침입탐지 시스템의 로그 형식 표준을 발표하였으나 실제적으로 효율적인 ESM을 위해서는 이벤트 및 제어 메시지 등의 추가적인 표준 개발이 요구된다. 본 연구는 ISTF 표준을 분석하고 침입차단 시스템 및 침입탐지 시스템의 이벤트 및 제어 표준을 제안하고자 하며, 본 연구 결과는 ESM의 개발과 지속적인 관련 표준 개발에 도움이 될 것이다.

• 예술인문사회 융합 멀티미디어 논문지
• /
• 제8권5호
• /
• pp.303-314
• /
• 2018

지난 수년간, 정부 기관 및 기업들은 취약성을 악용하고 운영을 혼란시키며 중요한 정보를 훔칠 수 있도록 은밀하고 정교하게 설계된 사이버공격에 대하여 적절한 대응을 못하고 있는 상태이다. 보안정보 및 이벤트 관리(SIEM)는 이러한 사이버 공격에 대응할 수 있는 유용한 도구이지만, 시중에서 판매되고 있는 SIEM 솔루션은 매우 비싸며 사용하기가 어렵다. 그래서 우리는 차세대 보안 솔루션을 제공하기 위한 연구 및 개발을 진행하여 기본적인 SIEM 기능을 구현하게 되었으며 우리는 호스트로 부터 실시간 로그 수집과 집계 및 분석에 중점을 두었다. 이 툴은 포렌식을 위한 로그데이터의 파싱과 검색을 제공한다. 이는 기존의 단순한 로그관리 이외에 침입을 탐지하고 보안이벤트의 순위를 이용하여 사용자에게 경고를 할 수 있다. 이러한 보안정보의 운영과 시각화를 위해 Elastic Stack를 사용하였는데, Elastic Stack은 대량의 데이터로부터 정보를 탐색하고 상관관계를 식별하며 모니터링을 위한 풍부한 시각화를 생성 할 수 있는 유용한 툴이다. 본 논문에서는 취약성으로부터 정보를 수집하는 기능을 SIEM에 추가하는 방식을 제안하였다. 호스트를 공격하며 보안정보관리 체계를 기반으로 모니터링, 경고 및 보안감사에 대한 실시간 사용자의 대응을 확인할 수 있었다.

• 인터넷정보학회논문지
• /
• 제19권6호
• /
• pp.73-82
• /
• 2018

We often experience complex presence of files within the compute environment. It could be an end-user's desktop environment or a professional part of file management. We would like to suggest one way to manage these different cases of duplicate files. It is a rule-based file management tool, and we want to use it as a tool to consolidate facility management log files. In this paper, we will describe the rule-based file management tools and show examples of how files are managed using them. We are interested in the management of the disaster environment and would like to apply this method to the management of log data related to facilities to be considered in the event of a disaster.

• 한국전자통신학회논문지
• /
• 제14권2호
• /
• pp.369-376
• /
• 2019

본고에서는 제4차 산업혁명시대의 새로운 사이버보안 인텔리전스 서비스에 대응하는 지능형 정부 연구측면에서 바람직한 미래형 전자정부의 새로운 모습을 찾았다. 특히 제4차 산업혁명시대의 주요 특징인 중앙화 및 지능화의 측면에서 빅데이터 사이버보안기술에 주목하여 미래형 전자정부의 전략방안에 대해 고찰하였다. 연구결과 빅데이터를 활용한 보안분석기술이 적용되는 보다 고도화된 상관관계 분석을 통한 기존의 한계를 뛰어넘는 시스템 마련을 제시하였다. 제4차 산업혁명시대에 적합한 보안 정보 및 이벤트 관리 시스템 구축 측면에서 IT 시스템에서 발생하는 로그정보를 빅데이터 분석 기술을 적용해 보안 위협 여부를 선제적으로 탐지하는 인공지능과 같은 지능형의 고도화된 SIEM(Security Information & Event Management) 시스템 마련을 제안하였다. 제안된 시스템이 구현되면 제4차 산업혁명시대의 전자정부 보안에 있어 중앙화 및 집중화된 빅데이터 대상 확대, 증가된 데이터에 따른 처리속도 및 탐지 후의 대응까지 보다 지능화된 차원에서 선제적으로 기능할 수 있다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2020년도 춘계학술발표대회
• /
• pp.154-156
• /
• 2020

보안업무를 수행하는 담당자로서 사이버 피해 여부를 파악하기 위한 가장 중요한 업무 중의 하나는 피해를 입은 시스템과 서비스에서 발생되는 다양한 로그들을 정확하게 분석하는 것이다. 그러나 해당 기관이 보안로그를 전문적으로 분석하는 SIEM(Security Information and Event Management)과 같은 솔루션이 없을 경우 보안업무 담당자가 피해 시스템에서 추출된 로그만 가지고 직접 분석하여 공격여부를 판단하기는 쉽지 않다. 따라서 본 논문에서는 정규표현식을 이용하여 다양한 시스템의 로그를 쉽고 정확하게 분석하는 방법을 제시한다.