• 한국군사과학기술학회지
• /
• 제17권4호
• /
• pp.456-462
• /
• 2014

Infrared(IR) guided heat-seeking missiles uses IR emissions from aircraft to detect and track a target. Due to passive characteristic of the IR guidance, early detection of the missile is difficult and it is significant threat to aircraft survivability. Therefore, IR signature prediction of the aircraft is an important aspect of the stealth technology. In this study, we simulated IR signature of the aircraft in real atmospheric conditions. Aircraft surface temperature distribution was calculated by using RadthermIR code. Based on temperature distribution, IR radiance and BRDF(Bidirectional Reflectance Distribution Function) image were simulated for different weather(seasonal) and background(sky/soil) conditions. The IR contrast tendencies are not aligned with surface temperature or magnitude of target IR radiance. Therefore, it is essential to simulate IR signature with various conditions and background to acquire reliable database.

• 정보보호학회논문지
• /
• 제32권2호
• /
• pp.181-192
• /
• 2022

신종 악성코드의 등장은 기존 시그니처 기반의 악성코드 탐지 기법들을 무력화시키며 여러 분석 방지 보호 기법들을 활용하여 분석가들의 분석을 어렵게 하고 있다. 시그니처 기반의 기존 연구는 악성코드 제작자가 쉽게 우회할 수 있는 한계점을 지닌다. 따라서 본 연구에서는 악성코드 자체의 특성이 아닌, 악성코드에 적용될 수 있는 패커의 특성을 활용하여, 단시간 내에 악성코드에 적용된 패커의 분석 방지 보호 기법을 탐지하고 분류해낼 수 있는 머신러닝 모델을 구축하고자 한다. 본 연구에서는 패커의 분석 방지 보호 기법을 적용한 악성코드 바이너리를 대상으로 n-gram opcode를 추출하여 TF-IDF를 활용함으로써 피처(feature)를 추출하고 이를 통해 각 분석 방지 보호 기법을 탐지하고 분류해내는 머신러닝 모델 구축 방법을 제안한다. 본 연구에서는 실제 악성코드를 대상으로 악성코드 패킹에 많이 사용되는 상용 패커인 Themida와 VMProtect로 각각 분석 방지 보호 기법을 적용시켜 데이터셋을 구축한 뒤, 6개의 머신러닝 모델로 실험을 진행하였고, Themida에 대해서는 81.25%의 정확도를, VMProtect에 대해서는 95.65%의 정확도를 보여주는 최적의 모델을 구축하였다.

• Journal of Information Processing Systems
• /
• 제6권4호
• /
• pp.481-500
• /
• 2010

The Internet explosion and the increase in crucial web applications such as ebanking and e-commerce, make essential the need for network security tools. One of such tools is an Intrusion detection system which can be classified based on detection approachs as being signature-based or anomaly-based. Even though intrusion detection systems are well defined, their cooperation with each other to detect attacks needs to be addressed. Consequently, a new architecture that allows them to cooperate in detecting attacks is proposed. The architecture uses Software Agents to provide scalability and distributability. It works in two modes: learning and detection. During learning mode, it generates a profile for each individual system using a fuzzy data mining algorithm. During detection mode, each system uses the FuzzyJess to match network traffic against its profile. The architecture was tested against a standard data set produced by MIT's Lincoln Laboratory and the primary results show its efficiency and capability to detect attacks. Finally, two new methods, the memory-window and memoryless-window, were developed for extracting useful parameters from raw packets. The parameters are used as detection metrics.

• 정보보호학회논문지
• /
• 제29권5호
• /
• pp.1027-1037
• /
• 2019

기존의 사이버 공격 탐지 솔루션은 일반적으로 시그니처 기반 내지 악성행위 분석을 통한 방식의 탐지를 수행하므로, 알려지지 않은 방식에 의한 공격은 탐지하기 어렵다는 한계가 있다. 시스템에서는 상시로 발생하는 다양한 정보들이 시스템의 상태를 반영하고 있으므로, 이들 정보를 수집하여 정상상태를 학습하고 이상상태를 탐지하는 방식으로 알려지지 않은 공격을 탐지할 수 있다. 본 논문은 정상상태 학습 및 탐지에 활용하기 위하여 문자열을 그 순서와 의미를 보존하며 정량적 수치로 변환하는 머신러닝 임베딩(Embedding) 기법과 이상상태의 탐지를 위하여 다수의 정상데이터에서 소수의 비정상 데이터를 탐지하는 머신러닝 이상치 탐지(Novelty Detection) 기법을 이용하여 사이버 공격에 의한 시스템 이상상태를 탐지하는 방안을 제안한다.

• 스마트미디어저널
• /
• 제8권4호
• /
• pp.25-32
• /
• 2019

인터넷의 발달로 많은 정보에 쉽게 접근할 수 있게 되었지만, 이에 따라 악의적인 목적을 가진 프로그램의 침입 경로가 다양해졌다. 그리고 전통적인 시그니처 기반 백신은 변종 및 신종 악성코드의 침입을 탐지하기 어렵기 때문에 많은 사용자들이 피해를 입고 있다. 시그니처로 탐지할 수 없는 악성코드는 분석가가 직접 실행시켜 행위를 분석해 볼 수 있지만, 변종의 경우 대부분의 행위가 유사하여 비효율적이라는 문제점이 있다. 본 논문에서는 변종이 대부분의 행위가 유사하다는 것에 착안하여 기존 악성코드와의 행위 유사성을 이용한 탐지 방법을 제안한다. 제안 방법은 변종들이 공통적으로 가지는 행위 대상과 유사한 행위 대상을 갖는 프로그램을 탐지하는 것이다. 1,000개의 악성코드를 이용해 실험한 결과 변종의 경우 높은 유사도를 보이고, 아닐 경우 낮은 유사도를 보여 행위 유사도로 변종을 탐지할 수 있음을 보였다.

• 정보과학회 논문지
• /
• 제45권2호
• /
• pp.106-112
• /
• 2018

최근 악성코드를 이용한 사이버 공격이 급증하고 있다. 피해가 늘어남에 따라 수 년간 다양한 방식의 악성코드 탐지 기법들이 연구되고 있으며, 최근 공격 그룹 판별을 위한 다양한 프로파일링 등장하고 있다. 본 논문은 악성코드 탐지가 아닌 특정 악성코드를 사용하는 공격 그룹에 대한 판별을 주목적으로 하며, 판별에 각 공격 그룹이 사용하는 악성코드에 대한 문자열 및 코드 시그니처를 이용한다. 탐지 기법을 구현하기 위해 야라(Yara)를 사용하였으며, 공격 그룹에서 주로 사용되는 원격 관리 도구(RAT, Remote Access Tool)를 대상으로 연구를 진행했다. 또한 탐지율 증가를 위하여 악성코드 패킹 여부 확인 및 해제 기술을 추가하였다. 본 논문은 최근 공격 그룹들이 주로 사용하는 원격 관리 도구를 대상으로 악성코드와 패커의 주요 특징 시그니처를 이용해 룰셋(Ruleset)을 작성하고 작성한 룰셋을 기반으로 원격관리 도구 탐지 및 공격 그룹 판별 가능성에 대해 다룬다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제11권1호
• /
• pp.396-413
• /
• 2017

Dynamically checking the integrity of software at run-time is always a hot and difficult spot for trusted computing. Control-flow integrity is a basic and important safety property of software integrity. Many classic and emerging security attacks who introduce illegal control-flow to applications can cause unpredictable behaviors of computer-based systems. In this paper, we present a software-based approach to checking violation of control flow integrity at run-time. This paper proposes a high-performance and low-overhead software control flow checking solution, control flow checking at virtual edges (CFCVE). CFCVE assigns a unique signature to each basic block and then inserts a virtual vertex into each edge at compile time. This together with insertion of signature updating instructions and checking instructions into corresponding vertexes and virtual vertexes. Control flow faults can be detected by comparing the run-time signature with the saved one at compile time. Our experimental results show that CFCVE incurs only 10.61% performance overhead on average for several C benchmark programs and the average undetected error rate is only 9.29%. Compared with previous techniques, CFCVE has the characteristics of both high fault coverage and low memory and performance overhead.

• 한국정보기술응용학회:학술대회논문집
• /
• 한국정보기술응용학회 2005년도 6th 2005 International Conference on Computers, Communications and System
• /
• pp.161-164
• /
• 2005

As the power of influence of the Internet grows steadily, attacks against the Internet can cause enormous monetary damages nowadays. A worm can not only replicate itself like a virus but also propagate itself across the Internet. So it infects vulnerable hosts in the Internet and then downgrades the overall performance of the Internet or makes the Internet not to work. To response this, worm detection and prevention technologies are developed. The worm detection technologies are classified into two categories, host based detection and network based detection. Host based detection methods are a method which checks the files that worms make, a method which checks the integrity of the file systems and so on. Network based detection methods are a misuse detection method which compares traffic payloads with worm signatures and anomaly detection methods which check inbound/outbound scan rates, ICMP host/port unreachable message rates, and TCP RST packet rates. However, single detection methods like the aforementioned can't response worms' attacks effectively because worms attack the Internet in the distributed fashion. In this paper, we propose a design of distributed worm detection system to overcome the inefficiency. Existing distributed network intrusion detection systems cooperate with each other only with their own information. Unlike this, in our proposed system, a worm detection system on a network in which worms select targets and a worm detection system on a network in which worms propagate themselves cooperate with each other with the direction-aware information in terms of worm's lifecycle. The direction-aware information includes the moving direction of worms and the service port attacked by worms. In this way, we can not only reduce false positive rate of the system but also prevent worms from propagating themselves across the Internet through dispersing the confirmed worm signature.

• 융합보안논문지
• /
• 제11권1호
• /
• pp.57-69
• /
• 2011

국방통합보안관제체계 내에는 자체 개발된 시스템을 포함하여 다양한 오용탐지 기반의 상용 침입탐지시스템들이 운용되고 있다. 오용탐지 방식에 기반해서 운용되는 침입탐지시스템의 경우 침입탐지 패턴의 업데이트 주기나 질적수준에 따라 서로 상이한 능력을 가지며, 이러한 상이성은 침입탐지시스템들 간의 통합과 협동탐지를 더욱 어렵게 만든다. 이에 본 논문에서는 국방통합보안관제체계 내에서 운용되는 이기종 침입탐지시스템들 간의 통합과 협업탐지를 위한 기반을 마련하기 위해 이기종 침입탐지시스템들이 새롭게 생성한 탐지규칙을 서로 전파하고 적용할 수 있는 기법을 제안하고, 구현 및 실험을 통해 제안된 탐지규칙 교환 기법의 국방환경 가능성을 입증한다.

• 한국멀티미디어학회논문지
• /
• 제11권3호
• /
• pp.315-322
• /
• 2008

비디오 데이터베이스에서 복사본의 위치를 검출하기 위해서는 비디오의 특징(signature)이 비디오의 재편집(reediting), 채널 잡음, 시간적인 프레임 율(frame rate) 변화에 강한 특성을 지녀야 한다. 여러 가지 시그네쳐중 하나인 오디널(ordinal) 시그네쳐는 평균 명암도 값을 구하는 고정 윈도우(fixed window) $N{\times}N$의 크기에 따라 프레임의 공간적인 특징을 나타내기 어렵다. 본 논문은 인터넷상에서 이미 배포된 비디오, 위조된 비디오의 검출을 위해 키 프레임으로 정합하지 않고 연속적인 비디오 프레임에서 공간의 변화특성인 기존의 오디널을 개선한 변형된 robust 오디널 특징을 제안하였다. Robust 오디널은 2차원 벡터 구조를 가지고 있어 비디오의 잡음과 프레임 율의 변화에 강한 특성을 가지고 있으며, 검색공간인 R-트리 공간에서 MBR 형태로 표현될 수 있다. 또한 비디오 복사 검출에 필수적인 대용량 데이터베이스 검색에 적합한 R-트리 구조를 이용하여 정확히 정합되는 프레임의 위치를 찾아내고, n차원 입력의 구조를 가지고 있는 R-트리의 입력으로 robust 오디널 특징이 적합하게 사용되었다. 실험결과 비디오 정합율이 향상되고 대용량 데이터베이스에 알맞은 특징을 가지고 있음을 확인하였다.