• 한국통신학회논문지
• /
• 제34권1B호
• /
• pp.47-55
• /
• 2009

최근의 네트워크 침입탐지 시스템에서는 침입이 의심되는 패킷을 나타내는 데 정규표현식이 사용되고 있다. 고속 네트워크를 통해서 입력되는 패킷을 실시간으로 검사하기 위해서는 하드웨어 기반 패턴 매칭이 필수적이며 변화되는 패턴 규칙을 다루기 위해서는 FPGA와 같은 재구성 가능한 디바이스를 사용하는 것이 바람직하다. FPGA의 동작 속도 제한으로 바이트 단위의 패킷 검사로는 실시간 검사를 할 수 없는 경우에 이를 해결하기 위해서 여러 바이트 단위로 검사하는 것이 필요하다. 본 논문에서는 정규표현식 패턴 매칭을 n바이트 단위로 처리하는 하드웨어의 구조와 설계 방법을 제시하고 이에 대한 패턴 매칭 회로 생성기를 구현한다. Snort 규칙에 대해 FPGA로 합성된 하드웨어는 n=4일 때에 규칙에 따라서 $2.62{\sim}3.4$배의 처리 속도 향상을 보였다.

• 한국융합학회논문지
• /
• 제9권11호
• /
• pp.15-21
• /
• 2018

본 논문에서는 단일 클래스만을 학습하여 네트워크 침입탐지 시스템 상에서 새로운 비정상 행위를 탐지하는 것을 목표로 한다. 분류 성능 평가를 위해 KDD CUP 1999 데이터셋을 사용한다. 단일 클래스 분류는 정상 클래스만을 학습하여 공격 클래스를 분류해내는 비지도 학습 방법 중 하나이다. 비지도 학습의 경우에는 학습에 네거티브 인스턴스를 사용하지 않기 때문에 상대적으로 높은 분류 효율을 내는 것이 어렵다. 하지만, 비지도 학습은 라벨이 없는 데이터를 분류하는데 적합한 장점이 있다. 본 연구에서는 서포트벡터머신 기반의 단일 클래스 분류기와 밀도 추정 기반의 단일 클래스 분류기를 사용한 실험을 통해 기존에 없던 새로운 공격에 대한 탐지를 한다. 밀도 추정 기반의 분류기를 사용한 실험이 상대적으로 더 좋은 성능을 보였고, 신규 공격에 대해 낮은 FPR을 유지하면서도 약 96%의 탐지율을 보인다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2017년도 춘계학술발표대회
• /
• pp.217-219
• /
• 2017

나날이 증가하는 해킹의 위협에 따라 이를 방어하기 위한 침임 탐지 시스템과 로그 수집 분야에서 많은 연구가 진행되고 있다. 이러한 연구들로 인해 다양한 종류의 침임 탐지 시스템이 생겨났으며, 이는 다양한 종류의 침입 탐지 시스템에서 서로의 단점을 보안할 필요성이 생기게 되었다. 따라서 본 논문에서는 네트워크 기반인 NIDS(Network-based IDS)와 호스트 기반인 HIDS(Host-based IDS)의 장단점을 가진 Hybrid IDS을 구성하기 위해 NIDS와 HIDS의 로그 데이터 통합을 위해 실시간 로그 처리에 특화된 Kafka를 이용하고, 실시간 분석에 Spark Streaming을 이용하여 통합된 로그를 분석하게 되며, 실시간 전송 도중에 발생되는 데이터 유실에 대해 별도로 저장되는 Hadoop의 HDFS에서는 데이터 유실에 대한 보장을 하는 실시간 Hybrid IDS 분석 시스템에 대한 설계를 제안한다.

• 정보보호학회논문지
• /
• 제13권2호
• /
• pp.115-125
• /
• 2003

본웹 서비스는 일반적으로 침입 차단 시스템에 의해 통제되지 않은 채 외부에 공개되어 있어 공격의 수단으로 이용될 수 있고, 다양한 웹 어플리케이션의 특성에 따라 많은 형태의 취약성을 내포하고 있다. 본 논문에서는 웹 서비스의 정상적인 이용 사례를 모델링하고, 이와 다른 사용례를 보이는 이상 사례를 베이지언 추정 기법을 이용하여 통계적으로 찾아내는 SAD(Session Anomaly Detection)을 제안한다. SAD의 성능을 평가하기 위하여 1개월간 수집된 웹로그 자료를 이용하였고 침입은 웹 스캐너 프로그램(Whisker)을 이용하여 수행하였다. 기존 NIDS인 Snort를 이용한 실험 결과 평균적으로 36%의 탐지율을 보인 반면 SAD의 경우 윈도우 사이즈, 훈련데이터의 크기, 이상탐지 필터, 웹토폴로지 정보의 이용유무에 따라 다소 차이는 있지만 전반적으로 90%가 넘는 탐지율을 보여 주었다.