• Journal of KIISE
• /
• v.41 no.12
• /
• pp.1035-1049
• /
• 2014

This paper presents a new method to detect attack patterns in security-critical systems, based on a new notion of Behavior Ontology. Generally security-critical systems are large and complex, and they are subject to be attacked in every possible way. Therefore it is very complicated to detect various attacks through a semantic structure designed to detect such attacks. This paper handles the complication with Behavior Ontology, where patterns of attacks in the systems are defined as a sequences of actions on the class ontology of the systems. We define the patterns of attacks as sequences of actions, and the attack patterns can then be abstracted in a hierarchical order, forming a lattice, based on the inclusion relations. Once the behavior ontology for the attack patterns is defined, the attacks in the target systems can be detected both semantically and hierarchically in the ontology structure. When compared to other attack models, the behavior ontology analysis proposed in this paper is found to be very effective and efficient in terms of time and space.

• Journal of Internet Computing and Services
• /
• v.22 no.4
• /
• pp.1-11
• /
• 2021

As the Internet developed, various and complex cyber attacks began to emerge. Various detection systems were used outside the network to defend against attacks, but systems and studies to detect attackers inside were remarkably rare, causing great problems because they could not detect attackers inside. To solve this problem, studies on the lateral movement detection system that tracks and detects the attacker's movements have begun to emerge. Especially, the method of using the Remote Desktop Protocol (RDP) is simple but shows very good results. Nevertheless, previous studies did not consider the effects and relationships of each logon host itself, and the features presented also provided very low results in some models. There was also a problem that the model could not explain why it predicts that way, which resulted in reliability and robustness problems of the model. To address this problem, this study proposes an interpretable RDP-based lateral movement detection system using page rank algorithm and SHAP(Shapley Additive Explanations). Using page rank algorithms and various statistical techniques, we create features that can be used in various models and we provide explanations for model prediction using SHAP. In this study, we generated features that show higher performance in most models than previous studies and explained them using SHAP.

• Journal of Digital Convergence
• /
• v.11 no.3
• /
• pp.273-277
• /
• 2013

Phishing attacks have been implemented in smarter, more advanced ways with the passage of time. Hackers use intelligent phishing attacks to take over computers and to penetrate internal networks in major organizations. So, in this paper, a model for a prevention of phishing attack spread is conceptual designed in order to protect internal users and sensitive or important information from sophisticated phishing attacks. Internal users simultaneously utilize both external web and organizational mail services. And hackers can take the both side equally as a vector. Thus, packets in each service must be monitored and stored to recognize threatening elements from both sides. The model designed in this paper extends the mail server based security structure used in conventional studies for the protection of Internet mail services accessed by intranet users. This model can build a list of phishing sites as the system checks e-mails compared to that of the method that directly intercepts accesses to phishing sites using a proxy server, so it represents no standby time for request and response processes.

• Annual Conference of KIPS
• /
• 2003.11c
• /
• pp.1751-1754
• /
• 2003

액티브 네트워크는 프로그램을 담은 액티브 패킷을 사용하여 네트워크에 프로그램이 가능하도록 함으로써 네트워크와 서비스에 유연성을 제공하는 새로운 접근방법이다. 그러나 액티브 패킷의 실행 능력은 액티브 노드에 새로운 취약성을 생성하며, 이러한 취약성을 이용한 공격은 액티브 패킷의 이동성을 이용하여 네트워크 전역에 쉽게 전파될 수 있다. 이러한 공격을 미리 방지하기 위해서는 기존의 취약성 분석 모델보다 향상된 모델이 필요하다. 본 논문에서는 액티브 네트워크 기반에서의 취약성 분석 모델의 요구사항을 기술하고, 요구사항을 수용할 수 있는 분산 취약성 분석 모델에 대해서 기술하고자 한다. 분산 취약성 분석 모델은 네트워크에 뛰어난 확장 적응성을 제공할 것이다.

• Annual Conference of KIPS
• /
• 2006.05a
• /
• pp.853-856
• /
• 2006

MANET 에서 노드들은 스스로 네트워크를 관리 해야하기 때문에 노드간의 협동과 신뢰관계가 필수적이다. 여기서 보안은 MANET 에서의 중요한 이슈중 하나이고 키인증는 보안에 핵심요소 이다. 하지만 동적인 토폴로지, 자원의 제약, 고정된 인프라의 부재는 MANET 에서의 키인증를 어렵게 하는 요인이 된다. 이러한 MANET 에 PKI 를 적용하기 위하여 클러스터 라우팅 기반의 자율분배 키인증 모델을 제안한다. 이 모델은 공개키 링 테이블에 형성된 노드와는 CA 없이 언제든지 신뢰된 통신을 할 수 있어 다른 노드에 적게 의존함으로 해서 DoS 공격과 같은 특정 노드를 무력화 시키는 공격에 효율적으로 동작한다.

• Annual Conference of KIPS
• /
• 2003.05c
• /
• pp.2049-2052
• /
• 2003

인터넷의 급속한 발전으로 인한 유용성 이면에는, 공공 시스템에 대한 악의적인 침입에 따른 피해가 날로 증가되고 있다. 이에 대비하기 위한 침입 탐지 시스템들이 소개되고 있으나, 공격의 형태가 다양하게 변화되고 있기 때문에 침입탐지 시스템도 이에 대비할 수 있도록 지속적인 연구 노력이 필요하다. 최근의 다양한 연구노력 중에는 데이터 마이닝 기법을 이용하여 침입자의 정보를 분석하는 연구가 활발히 진행되고 있다. 본 논문에서는 데이터 마이닝 기법을 사용하여 KDD CUP 99의 훈련 집합(Training Set)을 기반으로 효과적인 분류를 하기 위한 모델을 제시하였다. 제시된 모델에서는 휴리스틱을 적용하여 효과적으로 필요한 데이터를 생성할 수 있었으며, 또한 각 공격 유형마다 분류자를 두어 보다 정확하고 효율적인 탐지가 가능하도록 하였다.

• Annual Conference of KIPS
• /
• 2018.10a
• /
• pp.260-263
• /
• 2018

현재까지 공항에서의 체크인 시스템은 기본적으로 서버-클라이언트(Server-Client)방식으로 구동되어져왔다. 서버-클라이언트 방식에서 서버는 단일실패지점이기 때문에 천재지변이나 공격자에 의해 서버마비와 같은 문제가 생기면 체크인 시스템 전체가 마비될 수 있다. 뿐만 아니라 실제 해커에 의해 항공사 중앙 서버가 공격을 받게 되면, 서버가 관리하는 항공사 데이터들의 무결성이 훼손될 수도 있다. 따라서 단일 실패지점에 대한 위협을 제거함과 동시에 저장된 데이터들의 무결성을 유지하는 방법을 논의할 필요가 있다. 그 중 하나로 블록체인 기술을 이용한 탈중앙화 시스템(Decentralized System) 모델을 적용하는 방법이 있다. 본 논문에서는 스마트 계약을 이용한 블록체인 기반 공항 체크인 시스템에 대한 모델을 제안한다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2006.10a
• /
• pp.484-489
• /
• 2006

Private Matching은 각기 다른 두 참여자 (two-party)가 가진 데이터의 교집합 (intersection)을 구하는 문제이다. Private matching은 보험사기 방지시스템 (insurance fraud detection system), 의료정보 검색, 항공기 탐승 금지자 목록 (Do-not-fly list) 검색 등에 이용될 수 있으며 다자간의 계산 (multiparty computation)으로 확장하면 전자투표, 온라인 게임 등에도 이용될 수 있다. 2004년 Freedman 등은 이 문제를 확률적 (probabilistic)으로 해결하는 프로토콜 (protocol) [1]을 제안하고 악의적인 공격자 (malicious adversary) 모델과 다자간 계산으로 확장하였다. 이 논문에서는 기존의 프로토콜을 결정적 (deterministic) 방법으로 개선하여 Semi-Honest 모델에서 결과의 정확성을 보장하는 한편, 이를 악의적인 공격자 모델에 확장하여 신뢰도와 연산속도를 향상시키는 새로운 프로토콜을 제안한다.

• Annual Conference of KIPS
• /
• 2014.04a
• /
• pp.401-403
• /
• 2014

초고속 인터넷 망이 발달함에 따라 다양한 서비스들에 대한 사용자의 요구가 증가되었다. 보통 사용자들은 여러 서비스 사이트를 이용함에 있어 여러 개의 아이디와 패스워드를 기억하여 사용한다. 이러한 불편함을 해결하고 관리측면에서 효과적인 방법으로 제안된 인증 시스템이 SSO(Single Sign-On)이다. SSO 인증 모델 중 브로커 기반의 경우 중앙집중식 시스템 관리를 사용하여 인증 연산처리의 효율성을 증가시키는 장점을 가지고 있으며, 대표적으로 Kerberos 인증이 있다. 하지만 전통적인 Kerberos 인증은 패스워드 공격 및 재전송 공격에 비교적 심각한 위험성을 가지고 있어 그에 대한 연구가 활발히 진행되었다. 이에 본 논문에서는 기존방식의 문제점을 해결하여 보다 개선된 브로커 기반 SSO 인증 모델을 제안하였다.

• The KIPS Transactions:PartC
• /
• v.12C no.4 s.100
• /
• pp.609-616
• /
• 2005

Signature-based Intrusion Detection has many false positive and many difficulties to detect new and changed attacks. Alpha-cut is introduced which reduces false positive with a combination of signature-based IDS and machine learning-based IDS in prior paper [1]. This research is a study of a succession of Alpha-cut, and we introduce Beta-rick in which attacks can be detected but cannot be detected in single signature-based detection. Alpha-cut is a way of increasing detection accuracy for the signature based IDS, Beta-pick is a way which decreases the case of treating attack as normality. For Alpha-cut and Beta-pick we use XIBL as a learning algorithm and also show the difference of result of Sd.5. To describe the value of proposed method we apply Alpha-cut and Beta-pick to signature-based IDS and show the decrease of false alarms.