• Proceedings of the Korean Institute of Intelligent Systems Conference
• /
• 2003.05a
• /
• pp.197-201
• /
• 2003

해킹을 방지하기 위한 목적으로 개발된 보안 도구들 중 네트워크 취약점을 검색할 수 있도록 만들어진 프로그램들이 있다. 네트워크 취약점을 자동 검색해 주는 보안 관리 도구를 역이용하여 침입하고자 하는 시스템의 보안 취약점 정보를 알아내는데 사용하여, 알아낸 정보들을 가지고 공격 대상을 찾는데 활용하고 있다. 해킹 수법들에는 서비스 거부 공격, 버퍼오버플로우 공격 등이 있다. 따라서, 해커들이 침입하기 위하여 취약점을 알아내려고 의도하는 침입시도들을 탐지하여 침입이 일어나는 것을 사전에 방어할 수 있는 침입시도탐지가 적극적인 예방차원에서 더욱 필요하다. 본 논문에서는 이러한 취약점을 이용하여 침입시도를 하는 사전 공격형태인 서비스 거부 공격 중 TCP 프로토콜을 사용하는 Syn Flooding 공격에 대하여 패킷분석을 통하여 탐지하고 탐지된 경우 실제 침입의 위험수준을 고려하여 시스템관리자가 대처하는 방어수준을 적절히 조절하여 침입의 위험수준에 따른 방어대책이 가능한 침입시도 방지 모델을 제시한다.

• Annual Conference of KIPS
• /
• 2015.04a
• /
• pp.362-365
• /
• 2015

DDoS 공격의 빈도와 규모가 계속 증가하고 있으며 그에 따른 피해와 파급도 커지고 있다. 최근 동향에서 봇넷을 이용한 패킷 플루딩 공격이 여전히 상위 공격순위를 차지하고 있다. 공격유형으로는 TCP SYN, UDP fragment 및 SSDP 플루딩 공격 등이 여전히 강세를 보이고 있다. 이러한 공격들은 source IP가 변조된 악의적인 패킷을 대량으로 발생시켜서 공격대상 네트워크 인프라를 마비시킨다. DDoS 공격 탐지를 위해서는 내부로 유입되는 초당 패킷수와 사용자와 서버간의 연결이 네트워크 플로우수의 변화를 관측하는 것이 필요하며 방어를 위해 트래픽 제어 기술이 필요하다. 이에 본 논문에서는 네트워크 서비스 분석 및 제어 기술인 DPI/QoS 솔루션을 이용한 플로우 기반의 DDoS 탐지 및 방어 시스템을 제안한다. 네트워크 모니터링과 제어를 위하여 사용하던 DPI/QoS 솔루션에 DDoS 탐지 및 방어기능을 추가함으로써 효율성 및 경제성에서 강점을 가질 것으로 기대한다.

• Annual Conference of KIPS
• /
• 2005.05a
• /
• pp.1225-1228
• /
• 2005

본 논문에서는 DDoS 공격 패킷을 사전에 탐지하고 트래픽 제어를 하기위한 방안을 제안한다. 제안된 모델은 공격대상에서 멀리 떨어 진 라우터에서 낮은 임계치를 적용하여 탐지 하게 되며 지역 연합 모델을 통한 지역적인 방어 행동을 취하게 된다. 사전에 취해지는 방어 행동으로 인해 본 시스템은 좋은 성능을 발휘 할 것이다. 시스템의 각 지역연합들은 DDoS 공격의 악의 적인 트래픽의 양을 줄이는 것에 기여 할 것이다.

• Proceedings of the Korea Multimedia Society Conference
• /
• 2003.11a
• /
• pp.1-4
• /
• 2003

최근에 침입 탐지 시스템은 네트워크 보안의 강화를 위해서 방화벽과 침입탐지 시스템 상호간의 연동으로 침입자의 연결 상태를 차단하는 방법도 개발되었다. 하지만 방화벽뿐만 아니라 침입탐지 시스템도 공격자에 의한 우회공격에 대해서는 아직 상당부분 방어할 수 없다. 또한 우회공격 탐지 모듈도 기존의 IDS와 Rule의 중복이 불가피하다. 본 논문은 취약점 진단 스크립트를 통해 IDS의 취약점 진단 후 IDS우회탐지공격 시스템의 Rule을 최적화 하여 우회공격을 효율적으로 탐지 해내는 시스템을 제안한다.

• Proceedings of the Korean Society of Computer Information Conference
• /
• 2017.01a
• /
• pp.129-130
• /
• 2017

DoS 공격은 증가하고 있지만 비용이 많이 들다보니 제대로 된 방어를 하지 못 하고 공격을 당하는 경우도 많다. 저렴한 DoS 방어 시스템의 필요성이 절실하다. 본 논문에서는 저 대역폭 DoS 공격을 방어하는 시스템 개발을 하고자 한다. 방어시스템의 물리적 구조는 듀얼 홈 게이트웨이 구조를 사용하며, DoS 탐지 방법으로는 일반적인 상황에서의 인 바운드되는 프로토콜별 패킷의 값을 세어 그 값을 평균값과 비교하여 탐지하며, 1초 단위로 IP와 SYN, FIN 플래그 값을 세어 그 값을 평균값과 비교하여 탐지하며, 2초 단위로 IP와 SYN, FIN 플래그 값을 세어 임계값을 넘어서면 차단하는 방식을 사용한다.

• Annual Conference of KIPS
• /
• 2020.05a
• /
• pp.490-493
• /
• 2020

오늘날 정보통신 기술이 급격하게 발달하면서 IT 인프라에서 보안의 중요성이 높아졌고 동시에 APT(Advanced Persistent threat)처럼 고도화되고 다양한 형태의 공격이 증가하고 있다. 점점 더 고도화되는 공격을 조기에 방어하거나 예측하는 것은 매우 중요한 문제이며, NIDS(Network-based Intrusion Detection System) 관련 데이터 분석만으로는 빠르게 변형하는 공격을 방어하지 못하는 경우가 많이 보고되고 있다. 따라서 HIDS(Host-based Intrusion Detection System) 데이터 분석을 통해서 위와 같은 공격을 방어하는데 현재는 침입탐지 시스템에서 생성된 데이터가 주로 사용된다. 하지만 데이터가 많이 부족하여 과거에 생성된 DARPA(Defense Advanced Research Projects Agency) 침입 탐지 평가 데이터 세트인 KDD(Knowledge Discovery and Data Mining) 같은 데이터로 연구를 하고 있어 현대 컴퓨터 시스템 특정을 반영한 데이터의 비정상행위 탐지에 대한 연구가 많이 부족하다. 본 논문에서는 기존에 사용되었던 데이터 세트에서 결여된 스레드 정보, 메타 데이터 및 버퍼 데이터를 포함하고 있으면서 최근에 생성된 LID-DS(Leipzig Intrusion Detection-Data Set) 데이터를 이용한 분석 비교 연구를 통해 앞으로 호스트 기반 침입 탐지 데이터 시스템의 나아갈 새로운 연구 방향을 제시한다.

• Smart Media Journal
• /
• v.4 no.4
• /
• pp.24-32
• /
• 2015

Recently, SDN is actively used as datacenter networks and gradually increase its applied areas. Along with this change of networking environment, research of deploying network security systems on SDN becomes highlighted. Especially, systems for detecting network flooding attacks by monitoring every packets through ports of OpenFlow switches have been proposed. However, because of the centralized management of a SDN controller which manage multiple switches, it may be substantial overhead that the attack detection system continuously monitors all the flows. In this paper, a sampling based network flooding attack detection and prevention system is proposed to reduce the overhead of monitoring packets and to achieve reasonable functionality of attack detection and prevention. The proposed system periodically takes sample packets of network flows with the given sampling conditions, analyzes the sampled packets to detect network flooding attacks, and block the attack flows actively by managing the flow entries in OpenFlow switches. As network traffic sampler, sFlow agent is used, and snort, an opensource IDS, is used to detect network flooding attack from the sampled packets. For active prevention of the detected attacks, an OpenDaylight application is developed and applied. The proposed system is evaluated on the local testbed composed with multiple OVSes (Open Virtual Switch), and the performance and overhead of the proposed system under various sampling condition is analyzed.

• Proceedings of the Korean Society of Computer Information Conference
• /
• 2010.07a
• /
• pp.525-526
• /
• 2010

2000년 대규모 DDoS 공격이래, 2009년 7월 7일 국가주요정부기관 및 인터넷 포털, 금융권 등의 웹사이트 대상으로 1차, 2차, 3차로 나누어 대규모 사이버 공격이 발생하였다. 지속적으로 발전되는 행태를 보이고 DDoS 공격에 대해 본 논문에서는 계층적인 침입탐지시스템을 설계하였다. 네트워크 패킷을 분석하기 위해 e-Watch, NetworkMiner등의 패킷, 프로토콜 분석도구를 이용하여 TCP/IP의 Layer별 공격을 분석한 후 패킷의 유입량, 로그정보, 접속정보, Port, Address 정보를 분석하고 계층침입에 대한 방어를 수행하도록 설계하였다. 본 논문은 DDoS(Distributed Denial of Service)에 대한 패킷 전송에 대해 계층적인 방어를 통해 보다 안정적인 패킷수신이 이루어진다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2005.11a
• /
• pp.82-84
• /
• 2005

기존의 웜 탐지는 중요한 네트워크 소스의 폭주라 스위치 라우터 및 말단 시스템에서의 변동 효과를 가지고 공격을 판단했었다. 하지만 최근의 인터넷 웜은 발생 초기에 대응하지 못하면 그 피해의 규모가 기하급수적으로 늘어난다. 또한 방어하기가 어려운 서비스 거부 공격을 일으킬 수 있는 간접 공격의 주범이 될 수 있다는 정에서 웜의 탐지와 방어는 인터넷 보안에 있어서 매우 중요한 사안이 되었다. 본 논문에서는 이미 알려진 공격뿐 아니라 새로운 웜의 스캐닝 공격을 탐지하기 위하여, 패턴 분류 문제에 있어서 우수한 성능을 보이는 Support Vector Machine(SVM)[1]을 사용하여 인터넷 웜의 스캐닝 공격을 탐지하는 시스템 모델을 제안한다.

• Proceedings of the Korean Information Science Society Conference
• /
• 1999.10c
• /
• pp.297-299
• /
• 1999

방화벽은 외부 네트워크와 내부 네트워크 사이의 액세스를 제안하는 한 가지 방법이라고 할 수 있다. 기존의 방화벽은 침입자에 의한 공격을 탐지하기 어려웠다. 이러한 문제점을 개선하여 본 논문은 분산 환경에서의 침입탐지를 제안함으로써 침입자에 의한 공격을 방어하는 방화벽 시스템의 설계를 제안하고자 한다.