• 정보처리학회논문지:소프트웨어 및 데이터공학
• /
• 제9권12호
• /
• pp.411-418
• /
• 2020

정보보안을 위한 IDS(Intrusion Detection Systems)는 통상적으로 서명기반(signature based) 침입탐지시스템과 이상기반(anomaly-based) 침입 탐지시스템으로 분류한다. 이 중에서도 네트워크에서 발생하는 트래픽 데이터를 기계학습으로 분석하는 이상기반 IDS 연구가 활발하게 진행됐다. 본 논문에서는 공격 유형 학습에 사용되는 데이터에 존재하는 희소 클래스 문제로 인한 성능 저하를 해결하기 위한 전처리 방안에 대해 연구했다. 희소 클래스(Rare Class)와 준 희소 클래스(Semi Rare Class)를 기준으로 데이터를 재구성하여 기계학습의 분류 성능의 개선에 대하여 실험했다. 재구성된 3종의 데이터 세트에 대하여 Wrapper와 Filter 방식을 연이어 적용하는 하이브리드 특징 선택을 수행한 이후에 Quantile Scaler로 정규화를 처리하여 전처리를 완료한다. 준비된 데이터는 DNN(Deep Neural Network) 모델로 학습한 후 TP(True Positive)와 FN(False Negative)를 기준으로 분류 성능을 평가했다. 이 연구를 통해 3종류의 데이터 세트에서 분류 성능이 모두 개선되는 결과를 얻었다.

• 인터넷정보학회논문지
• /
• 제13권2호
• /
• pp.41-49
• /
• 2012

스마트 폰 이용자의 급격한 증가에 따른 무선 네트워크의 지원 및 모바일 환경은 언제 어디서나 네트워크를 이용할 수 있게 되었다. 이러한 인터넷 망의 발달로 인해 네트워크 트래픽이 급증함으로써 네트워크를 통한 분산서비스 공격, 인터넷 웜, 이메일 바이러스 등의 다양한 악의적인 공격이 증가되고 이에 따른 패턴이 급격하게 증가하는 추세이다. 기존 연구에서 침입탐지시스템인 Snort 2.1.0 룰의 약 2,000개 패턴으로 M-바이트 점핑 윈도우 알고리즘을 적용한 결과를 분석하였다. 하지만 점핑 윈도우 알고리즘은 패턴의 길이와 수에 큰 영향을 받기 때문에 더 긴 패턴과 더 많은 패턴을 갖는 새로운 환경(Snort 2.9.0)에서 TCAM 룩업 횟수와 TCAM 메모리 크기에 대한 새로운 분석이 필요하다. 이 논문에서는 Snort-2.9.0 룰에서 약 8,100개의 패턴을 이용하여 윈도우 크기별 TCAM 룩업 횟수와 TCAM의 크기를 시뮬레이션 했고 그 결과를 분석하였다. Snort 2.1.0에서는 16-바이트 윈도우에서 9Mb의 TCAM이 최적을 효과를 낼 수 있는 반면, Snort 2.9.0에서는 16-바이트 윈도우에서 18Mb TCAM 4개를 캐스케이딩으로 연결할 경우 최적의 효과를 낼 수 있다.

• 한국지능시스템학회논문지
• /
• 제13권4호
• /
• pp.491-498
• /
• 2003

The advanced computer network technology enables connectivity of computers through an open network environment. There has been growing numbers of security threat to the networks. Therefore, it requires intrusion detection and prevention technologies. In this paper, we propose a network based intrusion detection model using FCM(Fuzzy Cognitive Maps) that can detect intrusion by the DoS attack detection method adopting the packet analyses. A DoS attack appears in the form of the Probe and Syn Flooding attack which is a typical example. The SPuF(Syn flooding Preventer using Fussy cognitive maps) model captures and analyzes the packet informations to detect Syn flooding attack. Using the result of analysis of decision module, which utilized FCM, the decision module measures the degree of danger of the DoS and trains the response module to deal with attacks. For the performance comparison, the "KDD′99 Competition Data Set" made by MIT Lincoln Labs was used. The result of simulating the "KDD′99 Competition Data Set" in the SPuF model shows that the probe detection rates were over 97 percentages.

• 정보처리학회논문지D
• /
• 제16D권6호
• /
• pp.921-926
• /
• 2009

소프트웨어가 이미 배포되어 사용되고 있는 경우, 상황에 따라 소프트웨어에 내재된 취약성은 심각한 사회적, 경제적 영향을 미칠 수 있다. 그러므로 소프트웨어의 취약성은 개발 단계에서부터 충분한 고려가 필요하다. 소프트웨어의 모델 및 시뮬레이션은 소프트웨어의 개발 단계에서 사용될 수 있는 취약성 검사를 위한 테스트 정책의 하나로 고려될 수 있다. 본 논문에서는 해당 방법의 사용 가능성 확인을 위해 톨레미를 이용하여 DNS 시스템의 행동 양식을 모델링하고 이를 시뮬레이션 하였다. 실험 결과에 따르면 기존에 알려진 DNS 서버의 취약성이 효과적으로 검출되고 있음을 확인할 수 있었고, 이는 모델 및 시뮬레이션이 취약성 테스팅에 사용 가능함을 의미한다.

• 산업경영시스템학회지
• /
• 제43권4호
• /
• pp.217-228
• /
• 2020

The ROK Army must detect the enemy's location and the type of artillery weapon to respond effectively at wartime. This paper proposes a radar positioning model by applying a scenario-based robust optimization method i.e., binary integer programming. The model consists of the different types of radar, its available quantity and specification. Input data is a combination of target, weapon types and enemy position in enemy's attack scenarios. In this scenario, as the components increase by one unit, the total number increases exponentially, making it difficult to use all scenarios. Therefore, we use partial scenarios to see if they produce results similar to those of the total scenario, and then apply them to case studies. The goal of this model is to deploy an artillery locating radar that maximizes the detection probability at a given candidate site, based on the probability of all possible attack scenarios at an expected enemy artillery position. The results of various experiments including real case study show the appropriateness and practicality of our proposed model. In addition, the validity of the model is reviewed by comparing the case study results with the detection rate of the currently available radar deployment positions of Corps. We are looking forward to enhance Korea Artillery force combat capability through our research.

• 시큐리티연구
• /
• 제60호
• /
• pp.113-135
• /
• 2019

대한민국 국회는 "가"급 국가중요시설임에도 불구하고 테러 발생에 대한 가능성과 국회 청사내 집회 및 시위와 금지물품 반입은 점점 증가하고 있으며, 열린국회를 지향함으로써 많은 출입문 개방과 다수의 이용자로 인해 출입통제에 있어 취약점이 많다고 할 수 있다. 또한, 국회를 공격함으로써 얻게 되는 상징적인 효과는 매우 높지만 보안관리 수준은 상대적으로 매우 낮아 테러 공격의 대상이 될 가능성이 매우 높다. 이러한 보안상의 취약점을 해결하기 위해서는 제3선인 외곽에서부터의 적절한 출입통제시스템을 운용해야 한다. 하지만 외곽에서 적절한 출입통제가 이루어지지 않고 있으며, 외곽 경비를 담당하고 있는 국회경비대는 2023년 의무경찰 폐지에 따라 2020년 6월에 철수할 예정이므로 이에 따른 외곽 경비 대체 방안과 더불어 외곽 경호·경호경비시스템을 강화할 수 있는 방안을 조속히 마련할 필요가 있다. 이에 따라 본 연구에서는 국회사무처 보안 분야 담당 공무원 114명을 대상으로 외곽 경호·경비시스템에 대한 인식조사를 실시하였다. 연구 결과 국회 외곽에서 위협상황이 발생할 가능성이 높다고 인식하고 있으며, 지능형 영상감지 시스템 및 침입탐지시스템과 드론 등 4차 산업혁명 기술 도입에 긍정적으로 인식하고 있다. 또한, 3선 경호 체계를 중장기적으로 일원화하고 전담부서를 설치하는 방안에 대해 긍정적으로 인식하고 있으며, 국회경비대 대체 방안으로는 청원경찰이 가장 높은 응답률을 보였고, 중장기적으로 의회경찰을 도입하는 것에 긍정적으로 인식하고 있다.

• 정보처리학회논문지A
• /
• 제12A권2호
• /
• pp.87-94
• /
• 2005

패턴 매칭(Pattern Matching)은 네트워크 침입방지 시스템에서 가장 중요한 부분의 하나며 많은 연산을 필요로 한다. 날로 증가되는 많은 수의 공격 패턴을 다루기 위해, 네트워크 침입방지 시스템에서는 회선 속도로 들어오는 패킷을 처리 할 수 있는 다중 패턴 매칭 방법이 필수적이다. 본 논문에서는 현재 많이 사용되고있는 네트워크 침입방지 및 탐지 시스템인 Snort와 이것의 패턴 매칭 특성을 분석한다. 침입방지 시스템을 위한 패턴 매칭 방법은 다양한 길이를 갖는 많은 수의 패턴과 대소문자 구분 없는 패턴 매칭을 효과적으로 다룰 수 있어야 한다. 또한 여러 개의 입력 문자들을 동시에 처리 할 수 있어야 한다. 본 논문에서 Shift-OR 패턴 매칭 알고리즘에 기반을 둔 다중 패턴 매칭 하드웨어 가속기를 제시하고 여러 가지 가정 하에서 성능 측정을 하였다. 성능 측정에 따르면 제시된 하드웨어 가속기는 현재 Snort에서 사용되는 가장 빠른 소프트웨어 다중 패턴 매칭 보다 80배 이상 빠를 수 있다.

• 정보보호학회논문지
• /
• 제26권5호
• /
• pp.1223-1234
• /
• 2016

제어시스템은 국가기반시설 및 산업분야 전반에 걸쳐 이용되기 때문에 사이버 공격을 받게 될 경우 공공분야에 직접적인 피해가 발생할 수 있다. 이러한 이유로, 제어시스템에 대한 보안요구사항이 제안되고 있으며 전자제어시스템보안 가이드라인에 따라 외부망과 분리된 환경으로 운용되고 있다. 그럼에도 불구하고 스턱스넷(Stuxnet)과 같이 제어시스템을 겨냥한 악성코드가 지속적으로 발견되고 있으며, 신 변종 악성코드의 등장으로 실시간 탐지의 어려움과 자료유출등의 보안위협이 지속적으로 발생되고 있다. 본 논문에서는, 안전한 제어시스템 환경 제공을 위한 트래픽 분석망 도입에 대해 제안한다. 이를 위해 제어시스템에서 발생 가능한 보안위협들을 분석하고, 이러한 보안위협에 대응하기 위한 보안기능들에 대하여 도출한다.

• 정보처리학회논문지C
• /
• 제14C권3호
• /
• pp.209-220
• /
• 2007

침입방지 시스템(IPS, Intrusion Prevention System)은 인라인모드(in-line mode)로 네트워크에 설치되어, 네트워크를 지나는 패킷 또는 세션을 검사하여 만일 그 패킷에서 공격이 감지되면 해당 패킷을 폐기하거나 세션을 종료시킴으로서 외부의 침입으로부터 네트워크를 보호하는 시스템을 의미한다. IPS에서 주로 사용되는 시그너처 기반 필터링에서는 침입방지시스템을 통과하는 패킷의 페이로드와 시그너처라고 불리는 공격패턴들과 비교하여 같으면 그 패킷을 폐기한다. 시그너처의 개수가 증가함에 따라 하나의 들어온 패킷에 대하여 요구되는 패턴 매칭 시간은 증가하게 되어 패킷지연 없이 동작하는 고성능 침입탐지시스템을 개발하는 것이 어렵게 되었다. 본 논문에서는 패턴 매칭 시간을 시그너처의 개수와 무관하게 하기 위하여 시그너처 해싱 기반에 기반한 고성능 침입방지시스템을 제안한다. 제안한 방식을 리눅스 커널 모듈 형태로 PC에서 구현하였고 월 발생기, 패킷발생기, 스마트비트라는 네트워크 성능 측정기를 이용하여 시험하였다. 실험결과에 의하면 기존 방식에서는 시그너처 개수가 증가함에 따라 성능이 저하되었지만 본 논문에서 제안한 방식은 성능이 저하되지 않았다.

• 정보보호학회논문지
• /
• 제29권1호
• /
• pp.175-185
• /
• 2019

보안관제는 여러 정보를 수집하고 그 정보를 분석하는 과정에서 유효한 결과 값을 도출함으로써 사이버 침해로부터 IT시스템을 지켜내는 것이다. 현재 보안관제는 단편적인 정보만을 가지고 사이버 위협 정보를 분석하는 것에서 벗어나, 많은 데이터를 바탕으로 체계적이고 종합적인 관점의 분석을 가능케 하는 SIEM(Security Information Event Management) 장비 사용으로 매우 효과적으로 수행하고 있다. 하지만, 이런 보안관제도 보안 인력의 수작업으로 사이버 공격을 분석하여 대응하고 있다. 따라서 뛰어난 보안장비가 있더라도, 사용자에 따라 결과가 달라질 수 있게 된다. 본 연구는 정보제공을 포함하면서도 특성 있는 웹 서비스를 운영하는 사이트인 경우, 특성 정보 분석을 통해 보안 관제의 기준점을 제시하고, 이를 바탕으로 단계적인 분석과 효과적인 필터링이 가능한 유형 발굴 및 적용을 통해 집중 보안관제할 수 있는 모델을 제안한다. 이 모델을 사용한다면 효과적으로 공격을 탐지하고, 분석 및 차단 방안을 마련할 수 있을 것이다.