• 한국컴퓨터정보학회논문지
• /
• 제9권4호
• /
• pp.157-165
• /
• 2004

본 논문에서는 현재 증가하고 있는 웹 서비스 공격을 정확하고 빠르게 탐지할 수 있고, 잘못된 공격탐지를 줄여줄 수 있는 웹서버 보안관리시스템을 제안한다. 이 시스템은 여러 단위보안모듈들의 결과를 실시간으로 수집하고 상호연관성 분석과정을 통해 탐지의 정확성을 향상시킨다. 단위보안모듈은 네트웍기반 침입탐지시스템 모듈, 파일무결성 검사 모듈, 시스템로그분석 모듈 그리고 웹로그분석 모듈로 구성되며, 그리고 각각의 단위보안모듈들의 결과에 연관성을 부여하여 실시간으로 분석하는 상호연관성 분석 모듈이 있다. 제안한 시스템은 공격탐지의 정확성 뿐 아니라 단위보안모듈의 추가 그리고 상호연관성 분석의 범위확장이 용이한 프레임워크를 제공한다. 그리고 제안한 시스템의 단위보안모듈 중 침입탐지시스템 모듈은 다중 쓰레드 기반으로 Snort를 재구성하여 보다 빠른 공격 탐지 시간을 갖는다. 처리량이 많은 단위보안모듈의 처리시간을 단축함으로서 웹서버 보안관리시스템 처리 성능을 향상시킬 수 있다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제12권8호
• /
• pp.3946-3965
• /
• 2018

Network anomaly detection in Software Defined Networking, especially the detection of DDoS attack, has been given great attention in recent years. It is convenient to build the Traffic Matrix from a global view in SDN. However, the monitoring and management of high-volume feature-rich traffic in large networks brings significant challenges. In this paper, we propose a moving window Principal Components Analysis based anomaly detection and mitigation approach to map data onto a low-dimensional subspace and keep monitoring the network state in real-time. Once the anomaly is detected, the controller will install the defense flow table rules onto the corresponding data plane switches to mitigate the attack. Furthermore, we evaluate our approach with experiments. The Receiver Operating Characteristic curves show that our approach performs well in both detection probability and false alarm probability compared with the entropy-based approach. In addition, the mitigation effect is impressive that our approach can prevent most of the attacking traffic. At last, we evaluate the overhead of the system, including the detection delay and utilization of CPU, which is not excessive. Our anomaly detection approach is lightweight and effective.

• 인터넷정보학회논문지
• /
• 제9권6호
• /
• pp.37-48
• /
• 2008

VoIP 서비스는 IP망에서 SIP 프로토콜을 이용하여 음성 데이터를 전송하는 기술이다. SIP 프로토콜은 IP망을 이용하여 다양한 음성과 멀티미디어 서비스를 제공하고 저렴한 통신 비용에 대한 장점 때문에 빠르게 보급되고 있다. 하지만 SIP 프로토콜은 IP기반 위협에 그대로 노출된다는 한계를 가지기 때문에 이에 대한 대처방안이 제시되어야 한다. 기존의 여러 보안 메커니즘이 존재하지만 새로운 방식의 SIP 공격에 즉각 대응하지 못하고, 프로토콜 서비스 지연시간의 문제와 시스템의 과부화의 단점을 해결하지 못하고 있다. 이에 본 연구에서는 기존의 프록시 서버 앞단에 새로운 가상 프록시 서버를 두어 SIP 세션에 대한 상태정보를 분석하고 비정상적인 행위를 효율적으로 탐지하는 방법을 제시하였다. 본 연구에서 제시한 상태정보 기반 가상 프록시 서버(Stateful Virtual Proxy Server) 시스템의 성능평가 결과 최소한의 트래픽 전송지연만으로도 SIP 메시지 폭주(Message Flooding) 공격을 탐지할 수 있었다.

• 융합보안논문지
• /
• 제13권2호
• /
• pp.155-163
• /
• 2013

Connection hijacking은 TCP 스트림을 자신의 머신을 거치게 리다이렉션 할 수 있는 TCP 프로토콜의 취약성을 이용한 적극적 공격 (Active Attack)이다. 리다이렉션을 통해 침입자는 SKEY와 같은 일회용 패스워드나 Kerberos와 같은 티켓 기반 인증 시스템에 의해 제공되는 보호 메커니즘을 우회할 수 있다. TCP 접속은 누군가 접속로 상에 TCP 패킷 스니퍼나 패킷 생성기를 가지고 있다면 대단히 취약하다. 스니퍼의 공격으로부터 방어하기 위하여 일회용 패스워드나 토큰 기반 인증과 같은 사용자 식별 스킴이 사용되어지고 있다. 이들은 안전하지 않은 네트워크상에서 스니핑으로부터 패스워드를 보호하지만 이러한 방법들은 데이터 스트림을 암호화하거나 사인하지 않는 한 적극적인 공격으로부터 여전히 취약하다. 많은 사람들이 적극적 공격은 대단히 어렵고 그만큼 위협도 적을 것이라고 생각하고 있지만 여기서는 이러한 환상을 깰 수 있도록 유닉스 호스트에 성공적으로 침입한 대단히 적극적 공격을 제시한다. 최근 이론적으로 알려진 이 취약점을 공격할 수 있는 도구가 인터넷 상에 공개되어 이에 대한 대책이 요구되고 있다. 본 논문에서는 무선네트워크 상에서 침입자탐지 분석기법에 대하여 제안한다.

• 정보보호학회논문지
• /
• 제24권5호
• /
• pp.839-850
• /
• 2014

3.20 사이버 테러 등 APT 공격이 사회적, 경제적으로 막대한 피해를 초래함에 따라 APT 공격을 방어하기 위한 기술적인 대책이 절실히 요구되고 있으나, 시그너쳐에 기반한 보안 장비로는 대응하는데 한계가 있다. 이에 본 논문에서는 기존 시그너쳐 기반 침입탐지 시스템의 한계를 극복하기 위해서 호스트 PC에서 발생하는 행위정보를 기반으로 악성코드를 탐지하는 방법을 제안한다. 먼저, 악성코드와 정상 실행파일을 구분하기 위한 39개의 특성인자를 정의하고, 악성코드 및 정상 실행파일이 실행되는 동안 발생하는 870만 개의 특성인자 데이터를 수집하였다. 또한, 수집된 데이터에 대해 각 특성인자의 발생빈도를 프로세스 ID 별로 재구성하여 실행파일이 호스트에서 실행되는 동안의 행위정보를 83차원의 벡터로 표현하였다. 특히, 자식 프로세스에서 발생하는 특성인자 이벤트의 발생빈도를 포함함으로써 보다 정확한 행위정보의 표현이 가능하였다. C4.5 결정트리 방법을 적용하여 악성코드와 정상파일을 분류한 결과 각각 2.0%의 오탐률과 5.8%의 미탐률을 보였다.

• 정보처리학회논문지A
• /
• 제8A권4호
• /
• pp.331-338
• /
• 2001

네트워크가 보편화되면서 사이버 공간을 이용한 테러가 전 세계적으로 발생하고 있다. IP Fragmentation은 이 기종 네트워크 환경에서 IP 패킷의 효율적인 전송을 보장해주고 있지만, 몇 가지 보안 문제점을 가지고 있다. 불법 침입자는 이러한 IP Fragmentation의 취약점을 이용해 IP Spoofing, Ping of Death, ICMP 등의 공격 기술을 이용하여 시스템에 불법적으로 침입하거나 시스템의 정상적인 동작을 방해한다. 최근에는 IP Fragmentation을 이용한 서비스 거부공격 외에도 이를 이용하여 패킷 필터링 장비나 네트워크 기반의 침입탐지시스템을 우회할 수 있는 문제점이 대두되고 있다. 본 논문에서는 패킷 재 조합 기능을 제공하지 못하는 일부 라우터나 네트워크 기반의 침입탐지시스템들에서 불법 사용자가 패킷을 다수의 데이터 그램으로 나누어 공격할 때, 이를 탐지하거나 차단하지 못하는 경우에 대비하여 실시간 접근 로그 파일을 생성하고, 시스템 관리자가 의사결정을 할 수 있도록 함과 동시에 시스템 스스로 대처할 수 있는 시스템을 구현하여 타당성을 검증하고, 그에 따른 기대효과를 제시하고자 한다.

• 정보처리학회논문지C
• /
• 제13C권4호
• /
• pp.397-404
• /
• 2006

소프트웨어 공격이 성공하기 위해서는 공격 코드가 프로그램의 주소 공간에 주입된 후 프로그램의 제어 흐름이 공격 코드 위치로 변경되어야 한다. 프로그램의 주소 공간 중 코드 영역은 실행 중에 변경이 불가능하므로 공격 코드가 주입될 수 있는 곳은 데이터 영역 밖에 없다. 따라서 데이터 영역으로 프로그램의 제어가 변경될 경우 주입된 공격 코드로 제어가 옮겨 가는 공격이 발생한 것으로 판단할 수 있다. 따라서 본 논문에서는 프로그램의 제어 흐름과 관련된 CALL, JMP, RET 명령어의 목적 주소를 검사하여 제어가 옮겨갈 목적 주소가 프로그램의 실행 코드가 저장된 텍스트 영역이 아닌 데이터 영역일 경우 소프트웨어 공격이 발생한 것으로 간주하는 소프트웨어 공격 탐지 기법을 제안하였다. 제안된 방법을 이용하면 함수의 복귀주소뿐만 아니라 함수포인터, longjmp() 버퍼 등 프로그램 제어 흐름과 관련된 모든 데이터가 변경되었는지 점검할 수 있었기 때문에 기존 기법들보다 더 많은 종류의 공격을 탐지할 수 있었다.

• 정보보호학회논문지
• /
• 제32권5호
• /
• pp.975-986
• /
• 2022

딥러닝은 이미지 처리에 있어 우수한 성능을 보여주며 큰 주목을 받고 있지만, 입력 데이터에 대한 변조를 통해 모델이 오분류하게 만드는 적대적 공격에 매우 취약하다. 적대적 공격을 통해 생성된 적대적 예제는 사람이 식별하기 어려울 정도로 최소한으로 변조가 되며 이미지의 전체적인 시각적 특징은 변하지 않는다. 딥러닝 모델과 달리 사람은 이미지의 여러 특징을 기반으로 판단하기 때문에 적대적 예제에 속지 않는다. 본 논문은 이러한 점에 착안하여 이미지의 색상, 모양과 같은 시각적이고 상징적인 특징인 Symbolic Representation을 활용한 적대적 예제 탐지 방법을 제안한다. 입력 이미지에 대한 분류결과에 대응하는 Symbolic Representation과 입력 이미지로부터 추출한 Symbolic Representation을 비교하여 적대적 예제를 탐지한다. 다양한 방법으로 생성한 적대적 예제를 대상으로 탐지성능을 측정한 결과, 공격 목표 및 방법에 따라 상이하지만 specific target attack에 대하여 최대 99.02%의 탐지율을 보였다.

• 정보처리학회논문지C
• /
• 제11C권6호
• /
• pp.711-718
• /
• 2004

일반적으로 패킷 샘플링은 네트워크의 관리 및 보안 등의 목적으로 네트워크를 통과하는 패킷들 중 일부만을 수집하여 분석하는 기법이다. 본 논문에서는 분산 서비스 거부(DDoS) 공격을 효율적으로 탐지하고 트래픽 분석 성능을 높이기 위해, DDoS 공격 탐지 기술에 다양한 패킷 샘플링 기법들을 적용하고 이들이 DDoS 탐지 성능에 어떠한 영향을 미치는지 비교 분석한다. 트래픽 특성 분석을 위해 DDoS 탐지 기법의 하나인 기존의 트래픽 비율 분석법을 사용하여 실험하였다. 실험 결과 DDoS 공격 탐지를 위한 패킷 샘플링 기법의 사용은 모든 패킷을 조사하지 않고도 기존의 트래픽 비율 분석법과 비슷한 성능을 보이는 것을 확인할 수 있었으며, DDoS 공격 탐지의 정확성을 유지하면서도 분석 트래픽양을 현저히 줄인 수 있었다.

• 융합보안논문지
• /
• 제19권5호
• /
• pp.19-24
• /
• 2019

MANET은 이동 노드로만 구성되어 있기 때문에 기존의 유선 환경에서의 라우팅 프로토콜을 그대로 적용할 수 없다. 따라서 이러한 특성이 고려된 라우팅 프로토콜이 필요하다. 특히 라우팅 단계에서 악의적인 노드들을 배제하지 못한다면 네트워크 성능은 크게 떨어질 수 밖에 없다. 본 논문에서는 라우팅 성능을 향상시키기 위해 영역기반 침입탐지 기법을 제안하였다. 제안한 기법에서는 전체 네트워크를 일정한 영역으로 분할한 후 영역관리 노드를 이용하여 영역내 공격 탐지가 이루어지도록 하였으며, 멤버 노드로부터 수신한 완료 메시지를 이용하여 서로간 협업을 통해 경로상에 존재하는 공격 노드를 탐지할 수 있는 방법을 제안하였다. 그리고 탐지한 공격노드 정보를 블록체인에 저장하여 공유함으로써 네트워크에 참여하는 모든 노드들이 공격노드 정보를 공유할 수 있도록 하는 방법을 적용하였다. 제안한 기법의 성능 평가는 기존의 보안 라우팅 기법들과 비교 실험하였으며, 실험을 통해 제안한 기법의 우수한 성능을 확인할 수 있었다.