• 인터넷정보학회논문지
• /
• 제18권6호
• /
• pp.35-46
• /
• 2017

최근 사이버보안에서 악성코드를 이용한 공격은 메일에 악성코드를 첨부하여 이를 사용자가 실행하도록 유도하여 공격을 수행하는 형태가 늘어나고 있다. 특히 문서형태의 파일을 첨부하여 사용자가 쉽게 실행하게 되어 위험하다. 저자 분석은 NLP(Neutral Language Process) 및 텍스트 마이닝 분야에서 연구되어지고 있는 분야이며, 특정 언어로 이루어진 텍스트 문장, 글, 문서를 분석하여 작성한 저자를 분석하는 방법들은 연구하는 분야이다. 공격 메일의 경우 일정 공격자에 의해 작성되어지기 때문에 메일 내용 및 첨부된 문서 파일을 분석하여 해당 저자를 식별하면 정상메일과 더욱 구별된 특징들을 발견할 수 있으며, 탐지 정확도를 향상시킬 수 있다. 본 논문에서는 기존의 기계학습 기반의 스팸메일 탐지 모델에서 사용되는 특징들과 문서의 저자 분석에 사용되는 특징들로부터 공격메일을 분류 및 탐지를 할 수 있는 feature vector 및 이에 적합한 IADA2(Intelligent Attack mail Detection based on Authorship Analysis)탐지 모델을 제안하였다. 단순히 단어 기반의 특징들로 탐지하던 스팸메일 탐지 모델들을 개선하고, n-gram을 적용하여 단어의 시퀀스 특성을 반영한 특징을 추출하였다. 실험결과, 특징의 조합과 특징선택 기법, 적합한 모델들에 따라 성능이 개선됨을 검증할 수 있었으며, 제안하는 모델의 성능의 우수성과 개선 가능성을 확인할 수 있었다.

• 융합보안논문지
• /
• 제13권6호
• /
• pp.11-16
• /
• 2013

이동 노드는 임의로 이동을 하며, 라우터와 호스트 기능을 동시에 수행해야 한다. 노드들의 이러한 특성은 다양한 공격의 잠재적 위협 요소가 되고 있다. 특히 그중에서도 악의적인 노드가 패킷 손실을 유발시키는 블랙 홀 공격은 가장 중요한 문제 중에 하나이다. 본 논문에서는 블랙 홀 공격의 효율적인 탐지를 위하여 모든 노드에서 감시 테이블을 이용한 분산적 탐지와 클러스터를 기반으로 한 협업 탐지 기법을 제안하였다. 제안하는 기법에서는 공격 탐지의 정확도를 향상시키기 위하여 4단계의 과정으로 이루어진 로컬 탐지와 협업 탐지 과정으로 나누어 수행한다. 협업 탐지를 위해 클러스터 헤드는 블랙 홀 리스트를 이용하였다. Ns-2 시뮬레이터를 이용하여 제안한 기법의 성능을 평가하였으며, 실험결과에서 제안한 기법의 우수한 성능을 확인할 수 있었다.

• 정보처리학회논문지C
• /
• 제12C권6호
• /
• pp.827-838
• /
• 2005

DDoS는 네트워크나 개인 호스트를 위협하는 대표적인 공격 트래픽이다. DDoS 공격은 특정한 패턴을 가지고 있지 않기 때문에 탐지가 어려울 뿐 아니라, TNF2K와 같은 간단한 도구로 공격이 가능하여, 현재 추진 중인 BcN 환경에서도 그 심각성이 초래될 수 있다. 이러한 DDoS 를 탐지하기 위한 메커니즘이나 알고리즘은 많이 개발되었다. 하지만 DDoS의 근원지를 판별하고 대응하는 것이 아닌, 단지 방어 지점에서 전체 한계치를 낮추거나 리키버킷처럼 수용 능력 이상의 패킷을 폐기하는 방법으로 네트워크나 개인 호스트를 보호한다. 무분별하게 전체 트래픽을 줄이는 것은 네트워크의 자원을 고갈시키지는 않지만, 정상적인 클라이언트가 공격당하고 있는 호스트에 연결을 할 수가 없다. 이를 위해 여러 단계의 테스트를 통해 합법적인 검증 IP 테이블을 만들고, 검증 IP 테이블에 있는 소스 IP를 제외한 나머지 트래픽을 차단한다면 DDoS 공격에 대해서 대응을 하면서 정상적인 클라이언트의 연결을 보호 할 수 있다. 제안된 메커니즘을 Linux Zebra라우터환경에서 구현되었다.

• 한국정보통신학회:학술대회논문집
• /
• 한국해양정보통신학회 2004년도 춘계종합학술대회
• /
• pp.391-394
• /
• 2004

인터넷의 급속한 확장으로 인해 네트워크 공격기법의 패러다임의 변화가 시작되었으며 새로울 공격 형태가 나타나고 있으나 대부분의 침입 탐지 기술은 오용 탐지 기술을 기반으로 하는 시스템이주를 이루고 있어 알려진 공격 유형만을 탐지하고, 새로운 공격에 능동적인 대응이 어려운 실정이다. 이에 새로운 공격 유형에 대한 탐지력을 높이기 위해 인체 면역 메커니즘을 적용하려는 시도들이 나타나고 있다. 본 논문에서는 데이터 마이닝 기법을 이용하여 네트워크 패킷에 대한 정상 행위 프로파일을 생성하고 생성된 프로파일을 자기공간화 하여 인체면역계의 자기, 비자기 구분기능을 이용해 자기 인식 알고리즘을 구현하여 이상행위를 탐지하고자 한다. 자기인식 알고리즘의 하나인 Negative Selection Algorithm을 기반으로 anomaly detector를 생성하여 자기공간을 모니터하여 변화를 감지하고 이상행위를 검출한다. DARPA Network Dataset을 이용하여 시뮬레이션을 수행하여 침입 탐지율을 통해 알고리즘의 유효성을 검증한다.

• 인터넷정보학회논문지
• /
• 제11권6호
• /
• pp.73-86
• /
• 2010

최근 웹 공격 기술의 발달로 인하여 기존 웹 로그 분석에 통한 공격 탐지 기술뿐만 아니라 웹 방화벽 로그, 웹 IDS 및 시스템 이벤트 로그 등과 같이 다수의 웹 관련 감사 자료를 이용하여 웹 시스템에 대한 공격 이벤트를 분석하고 비정상 행위를 탐지할 필요가 있다. 따라서 본 연구에서는 웹 서버에서 생성되는 IIS 웹 로그 정보와 웹 방화벽 및 웹 IDS 시스템에서 생성되는 이벤트 로그 정보 등을 이용하여 일차적으로 통합 로그를 생성하고 이를 이용하여 웹 공격을 탐지할 수 있는 시스템을 설계 및 구현하였다. 본 연구에서 제안한 시스템은 다중 웹 세션에 대한 분석 과정을 수행하고 웹 시스템 공격과 관련된 연관성을 분석하여 대용량의 웹 로그 및 웹 IDS/방화벽 정보를 대상으로 효율적 공격 탐지 기능을 제공하도록 하였다. 본 연구에서 제시한 시스템을 사용할 경우 능동적이고 효율적인 웹 로그 공격 이벤트 분석 및 웹 공격을 탐지할 수 있는 장점이 있다.

• 한국콘텐츠학회:학술대회논문집
• /
• 한국콘텐츠학회 2004년도 춘계 종합학술대회 논문집
• /
• pp.273-277
• /
• 2004

본 논문에서는 최근에 빈번하게 발생하는 트래픽 폭주 공격에 대해 대응하기 위하여 기존의 SNMP를 이용하는 트래픽 폭주공격 탐지방법을 향상시키기 위해 임계값 $\varepsilon$와 임계값 $\theta$을 사용하였다. 임계치에 따라서 트래픽 분석을 실행시킴으로써 시스템 자원을 보다 효율적으로 이용하기 위한 방법을 제시하였다.

• 디지털산업정보학회논문지
• /
• 제6권2호
• /
• pp.199-207
• /
• 2010

Recently, large amount of information in IDS(Intrusion Detection System) can be un manageable and also be mixed with false prediction error. In this paper, we propose a data mining methodology for IDS, which contains uncertainty based on training process and post-processing analysis additionally. Our system is trained to classify the existing attack for misuse detection, to detect the new attack pattern for anomaly detection, and to define border patter between attack and normal pattern. In experimental results show that our approach improve the performance against existing attacks and new attacks, from 0.62 to 0.84 about 35%.

• Journal of Information Processing Systems
• /
• 제17권4호
• /
• pp.675-689
• /
• 2021

Nowadays, cloud computing is being adopted for more organizations. However, since cloud computing has a virtualized, volatile, scalable and multi-tenancy distributed nature, it is challenging task to perform attack detection in the cloud following conventional processes. This work proposes a solution which aims to collect web server logs by using Flume and filter them through Spark Streaming in order to only consider suspicious data or data related to denial-of-service attacks and reduce the data that will be stored in Hadoop Distributed File System for posterior analysis with the frequent pattern (FP)-Growth algorithm. With the proposed system, we can address some of the difficulties in security for cloud environment, facilitating the data collection, reducing detection time and consequently enabling an almost real-time attack detection.

• International Journal of Computer Science & Network Security
• /
• 제21권12spc호
• /
• pp.415-426
• /
• 2021

The implementation of iris biometrics on smartphone devices has recently become an emerging research topic. As the use of iris biometrics on smartphone devices becomes more widely adopted, it is to be expected that there will be similar efforts in the research community to beat the biometric by exploring new spoofing methods and this will drive a corresponding requirement for new liveness detection methods. In this paper we addresses the problem of presentation attacks (Spoofing) against the Iris Recognition System on mobile devices and propose novel Presentation Attack Detection (PAD) method which suitable for mobile environment.

• International Journal of Computer Science & Network Security
• /
• 제22권6호
• /
• pp.67-74
• /
• 2022

One type of network security breach is the availability breach, which deprives legitimate users of their right to access services. The Denial of Service (DoS) attack is one way to have this breach, whereas using the Intrusion Detection System (IDS) is the trending way to detect a DoS attack. However, building IDS has two challenges: reducing the false alert and picking up the right dataset to train the IDS model. The survey concluded, in the end, that using a real dataset such as MAWILab or some tools like ID2T that give the researcher the ability to create a custom dataset may enhance the IDS model to handle the network threats, including DoS attacks. In addition to minimizing the rate of the false alert.