• The KIPS Transactions:PartC
• /
• v.12C no.7 s.103
• /
• pp.1007-1014
• /
• 2005

A generation of rules or patterns for detecting attacks from network is very difficult. Detection rules and patterns are usually generated by Expert's experiences that consume many man-power, management expense, time and so on. This paper proposes statistical methods that effectively detect intrusion and attacks without expert's experiences. The methods are to select useful measures in measures of network connection(session) and to detect attacks. We extracted the network session data of normal and each attack, and selected useful measures for detecting attacks using relative entropy. And we made probability patterns, and detected attacks using likelihood ratio testing. The detecting method controled detection rate and false positive rate using threshold. We evaluated the performance of the proposed method using KDD CUP 99 Data set. This paper shows the results that are to compare the proposed method and detection rules of decision tree algorithm. So we can know that the proposed methods are useful for detecting Intrusion and attacks.

• Proceedings of the Korean Information Science Society Conference
• /
• 2003.04a
• /
• pp.380-382
• /
• 2003

현재 네트워크 보안 취약점을 자동으로 검색해주는 다양한 도구들이 인터넷에 공개되어 있어 이러한 도구들을 이용한 취약점 정보수집 및 네트워크 검색공격으로 비롯된 해킹사고가 크게 증가하고 있다. 이와 같은 검색 공격에 대한 탐지 시스템은 "False-Positive(실제 공격이 아닌데 공격이라고 탐지)"와 "False-Negative(실제 공격인데 공격이 아니라고 탐지)"를 줄이는 것이 중요하다. 그러나 현재 공개되어 있는 실시간 스캔 탐지 시스템은 오탐율이 높을 분만 아니라 다양한 스캔 기법에 대해서 탐지를 할 수 없는 것이 사실이다. 본 논문에서는 다양한 포트스캐닝 기법기반의 공격에 대해서 탐지 가능하고 오탐율을 최소화한 실시간 스캔 탐지 시스템을 구현한다.실시간 스캔 탐지 시스템을 구현한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2014.04a
• /
• pp.506-509
• /
• 2014

최근 클라우드 서비스의 발전으로 인해 네트워크 트래픽이 폭발적으로 증가함에 따라 네트워크를 보다 효율적으로 관리하는 방법들에 대한 필요성이 제기되었고 해결책으로 소프트웨어 정의 네트워크(Software-Defined Network: SDN)가 제안되었다. 네트워크 구조가 기존보다 효율적인 SDN으로 변화함에 따라 보안 기술들도 함께 변화하고 있는데 본 논문에서는 보안 기술들 중 SDN을 이용한 네트워크 공격 탐지 기법들을 패킷 분석 기반과 임계값 기반으로 분류하고 보안성과 자원 사용에 대한 효율성 측면에서 분석하였다. 본 논문의 분석 결과를 통해 앞으로의 SDN 기반 네트워크 공격 탐지 기법들의 연구 방향을 제시하고 향후 새로운 SDN 기반 네트워크 공격 탐지 기법 연구와 탐지 시스템 구현에 기틀을 마련한다.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.22 no.6
• /
• pp.1315-1324
• /
• 2012

Security visualization is a form of the data visualization techniques in the field of network security by using security-related events so that it is quickly and easily to understand network traffic flow and security situation. In particular, the security visualization that detects the abnormal situation of network visualizing connections between two endpoints is a novel approach to detect unknown attack patterns and to reduce monitoring overhead in packets monitoring technique. However, the session-based visualization doesn't notice a difference between normal traffic and attacks that they are composed of similar connection pattern. Therefore, in this paper, we propose an efficient session-based visualization method for analyzing and detecting between normal server activities and attacks by using the IP address splitting and port attributes analysis. The proposed method can actually be used to detect and analyze the network security with the existing security tools because there is no dependence on other security monitoring methods. And also, it is helpful for network administrator to rapidly analyze the security status of managed network.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2015.04a
• /
• pp.362-365
• /
• 2015

DDoS 공격의 빈도와 규모가 계속 증가하고 있으며 그에 따른 피해와 파급도 커지고 있다. 최근 동향에서 봇넷을 이용한 패킷 플루딩 공격이 여전히 상위 공격순위를 차지하고 있다. 공격유형으로는 TCP SYN, UDP fragment 및 SSDP 플루딩 공격 등이 여전히 강세를 보이고 있다. 이러한 공격들은 source IP가 변조된 악의적인 패킷을 대량으로 발생시켜서 공격대상 네트워크 인프라를 마비시킨다. DDoS 공격 탐지를 위해서는 내부로 유입되는 초당 패킷수와 사용자와 서버간의 연결이 네트워크 플로우수의 변화를 관측하는 것이 필요하며 방어를 위해 트래픽 제어 기술이 필요하다. 이에 본 논문에서는 네트워크 서비스 분석 및 제어 기술인 DPI/QoS 솔루션을 이용한 플로우 기반의 DDoS 탐지 및 방어 시스템을 제안한다. 네트워크 모니터링과 제어를 위하여 사용하던 DPI/QoS 솔루션에 DDoS 탐지 및 방어기능을 추가함으로써 효율성 및 경제성에서 강점을 가질 것으로 기대한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2003.05c
• /
• pp.2041-2044
• /
• 2003

네트워크에서 발생하는 다양한 침입 중에서 서비스거부공격(DoS Attack. Denial-of-Service Attack)이란 공격자가 침입대상 시스템의 시스템 자원과 네트워크 자원을 악의적인 목적으로 소모시키기 위하여 대량의 패킷을 보냄으로써 정상 사용자로 하여금 시스템이 제공하는 서비스를 이용하지 못하도록 하는 공격을 의미한다. 기존 연구에서는 시스템과 네트워크가 수신한 패킷을 분석한 후 네트워크 세션정보를 생성하여 DoS 공격을 탐지하였다. 그러나 이 기법은 공격자가 분산서비스거부공격(DDoS Attack: Distributed DoS Attack)을 하게 되면 분산된 세션정보가 생성되기 때문에 침입을 실시간으로 탐지하기에는 부적절하다. 본 논문에서는 시스템이 가지고 있는 자윈 중에서 DDoS 공격을 밭을 때 가장 민감하게 반응하는 시스템 자원을 모니터링 함으로써 DDoS 공격을 실시간으로 탐지할 수 있는 모델을 제안한다 제안 모델은 시스템이 네트워크에서 수신한 패킷을 처리하는 과정에서 소모되는 커널 메모리 소비량을 감사자료로 이용한 네트워치기반 비정상행위탐지(networked-based anomaly detection)모델이다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2012.06c
• /
• pp.304-306
• /
• 2012

IDS는 네트워크를 통해 외부에서 들어오는 공격을 감지하고 차단하는 시스템으로 Snort는 대표적으로 널리 이용되고 있는 비상업적 IDS이다. Snort는 서버로 들어오는 패킷과 침입탐지 규칙을 비교하여 네트워크 공격을 탐지한다. 네트워크 공격이 다양해지고 인터넷 사용이 증가하면서 탐지할 대상이 많아졌기 때문에 Snort의 성능을 유지하기 어려워지고 있다. 따라서 소프트웨어적으로 탐지엔진의 알고리즘을 성능을 향상시키거나 하드웨어적으로 패킷처리 능력을 향상시키는 연구가 진행되고 있다. 본 논문에서는 소프트웨어나 하드웨어적인 성능 향상과는 달리 침입탐지 규칙에 기반하여 이를 좀 더 명확하고 효율적으로 정하고 관리하여 Snort의 성능을 향상시키는 접근방법을 제안하였다. 이를 위해 우선적으로 Snort의 침입탐지 규칙에 대해 분석하였고 그 중 개선할 수 있는 Snort 규칙에 대해서 새로운 침입탐지 규칙을 제안을 하였다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2004.05a
• /
• pp.1007-1010
• /
• 2004

본 논문에서는 분산 서비스거부 공격(DDoS)이 발생할 때 네트워크 트래픽의 특성을 분석하기 위해서 트래픽 비율분석법(TRA: Traffic Rate Analysis)을 제안하고 트래픽 비율분석법을 통해서 분석된 다양한 유형의 DDoS 공격의 특성을 기계학습(Machine Learning)을 이용해서 DDoS 공격의 탐지규칙을 생성하고 그 성능을 측정하였다. 트래픽 비율분석법은 감시대상 네트워크 트래픽에서 특정한 유형의 트래픽의 발생비율을 나타내며 TCP flag rate 와 Protocol rate 로 구분된다. 트래픽 비율분석법을 적용한 결과 각각의 DDoS 공격 유형에 따라서 매우 독특한 특성을 가짐을 발견하였다. 그리고, 분석된 데이터를 대상으로 세 개의 기계학습 방법(C4.5, CN2, Na?ve Bayesian Classifier)을 이용해서 DDoS 공격의 탐지규칙을 생성하여 DDoS 공격의 탐지에 적용했다. 실험결과, 본 논문에서 제안된 트래픽 비율분석법과 기계학습을 통한 DDoS 공격의 탐지방법은 매우 높은 수준의 성능을 나타냈다.

• The KIPS Transactions:PartC
• /
• v.8C no.5
• /
• pp.543-550
• /
• 2001

In this paper, an improved detection system for the network vulnerability scan attacks is proposed. The proposed system improves the methodology for detecting the network vulnerability scan attacks and provides a global detection and response capability that can counter attacks occurring across an entire network enterprize. Through the simulation, we show that the proposed system can detect vulnerable port attacks, coordinated attacks, slow scans and slow coordinated attacks. We also show our system can achieve more global and hierarchical response to attacks through the correlation between server and agents than a stand-alone system can make.

• Proceedings of the KIEE Conference
• /
• 2008.07a
• /
• pp.1913-1914
• /
• 2008

최근 유비쿼터스 네트워크에 대한 관심이 높아지고 있다. 하지만 유비쿼터스 네트워크는 무선으로 데이터를 전송함으로서 특성상 쉽게 침입자들로부터 침입을 당할 수 있는 보안 문제가 중요하게 대두되고 있다. 이에 따라 강력한 침입탐지 기술에 대한 요구가 증가되고 있다. 본 논문에서는 갈수록 늘어나는 새로운 변형 공격에 대한 탐지를 위하여 LBG-SVDD을 이용한 침입탐지 기법을 제안한다. LBG-SVDD은 새로운 변형 공격 침입 탐지가 발견되었을 때, 새로운 변형 공격 형태에 대한 빠른 학습 훈련을 통해 공격 침입 탐지를 할 수 있다.