• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2012년도 추계학술발표대회
• /
• pp.884-887
• /
• 2012

전력시스템은 외부 망과 독립적으로 운영되는 폐쇄 망에서 점차 외부 망과의 연계됨으로써 외부 요소에 의한 위협, 다차원적인 시스템 취약성에 노출되고 있다. 서비스 거부 공격은 전력시스템에 매우 치명적이기 때문에 가장 중요한 가용성을 확실히 보장하기 위한 시스템과 네트워크의 운영 및 관리를 통한 보안 대책이 필요하게 되었다. 기존의 네트워크 트래픽만으로 분석하여 이상징후를 탐지하는 방식에 한계가 있기 때문에 본 논문에서는 전력시스템의 네트워크 상태와 엔드 시스템 상태 특성을 실시간 모니터링하고 분석하여 비정상 네트워크 접근을 탐지할 수 있는 시스템을 설계하였다.

• 한국산학기술학회논문지
• /
• 제10권4호
• /
• pp.811-817
• /
• 2009

IT 시스템 기반의 네트워크 환경의 급속한 발전은 지속적인 연구방향의 중요한 이슈의 결과이다. 침입시도 탐지는 관심분야의 하나인 것이다. 최근에 다양한 기술을 기반으로 하는 침입시도탐지들이 제안되고 있으나 이러한 기술은 여러 형태의 침입시도의 패턴 중에 한가지 형태 및 시스템에 적용이 가능한 것이다. 또한 새로운 형태 침입시도를 탐지하지 못하고 있다. 그러므로 새로운 형태를 인식하는 침입탐지 관련 기술이 요구되어 지고 있다. 본 연구에서는 퍼지인식도와 비정상 트래픽 분석을 이용한 네트워크 기반의 침입탐지기법(NePID)을 제안한다. 이 제안은 패킷 분석을 통하여 서비스거부공격과 유사한 침입시도를 탐지하는 것이다. 서비스거부공격은 침입시도의 형태를 나타내며 대표적인 공격으로는 syn flooding 공격이 있다 제안한 기법은 syn flooding을 탐지하기 위하여 패킷정보를 수집 및 분석한다. 또한 피지인식도와 비정상 트래픽 분석을 적용하여 판단모듈의 분석 결과를 토대로 기존의 서비스 거부 공격의 탐지 툴과의 비교분석을 하였으며 실험데이터로는 MIT Lincoln 연구실의 IDS 평가데이터 (KDD'99)를 이용하였다. 시뮬레이션 결과 최대평균 positive rate는 97.094% 탐지율과 negative rate는 2.936%을 얻었으며 이 결과치는 KDD'99의 우승자인 Bernard의 결과치와 유사한 수준의 값을 나타내었다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2005년도 춘계학술발표대회
• /
• pp.1237-1240
• /
• 2005

인터넷의 급속한 발달과 그 중요성이 날로 증가하면서 인터넷은 우리생활의 일부가 되었다. 따라서 네트워크에서 환경에서의 침입은 빠르게 증가하고 있으며 그 피해 또한 커지고 있다. 서비스 거부공격, 분산서비스거부 공격, 웜 등은 악의적인 의도로 호스트나 네트워크의 자원을 고갈 시키는등 심각한 문제를 초래하고 있다. 또한 중요한 서버의 공격으로 인해 시스템이 다운되면 서비스를 하지 못하게 됨으로 사용자에게 불편을 초래할 뿐만 아니라 막대한 비용의 손실도 발생한다. 따라서 본 논문에서는 벡터를 이용하여 지역 네트워크망으로 들어오는 트래픽의 비정상 증가를 분석함으로 침입을 탐지하고 위험수위를 결정하는 방법을 제안한다.

• 한국컴퓨터산업학회논문지
• /
• 제6권5호
• /
• pp.715-724
• /
• 2005

최근 들어 폐쇄 환경에서 동작하던 많은 주요 시스템들이 웹 서비스를 제공하면서 호스트는 물론 제공되는 웹기반의 서비스들이 쉽게 공격의 주요 대상이 되고 있다. 뿐만 아니라 웹 컨텐츠나 어플리케이션의 다양성은 새로운 공격 기술을 개발하는 원인이 되기도 한다. 반면 기존의 오용기반 탐지 기법으로는 공격 기술의 발전 속도를 따라가지 못할 뿐더러 새로운 보안 위협을 처리하는 능력이 없다. 따라서 기존의 공격 유형과 함께 새롭게 개발되는 공격과 침입을 탐지하고 대처할 수 있는 기술이 연구되고 개발되고 있다. 본 논문에서는 HTTP 트래픽 패턴과 패킷 정보를 분석하여 HTTP 트래픽 모델에서의 비정상 행위 발생을 실험하였으며, 그 실험 결과를 적용하여 비정상행위를 탐지 가능한 HTTP 트래픽 모델을 설계하고 구현하였다.

• 한국정보과학회논문지:정보통신
• /
• 제35권6호
• /
• pp.474-481
• /
• 2008

스캐닝 웜은 자기 스스로 복제가 가능하며 네트워크를 통해서 짧은 시간 안에 아주 넓은 범위에 걸쳐 전파되므로 네트워크의 부하를 증가시켜 심각한 네트워크 혼잡현상을 일으킨다. 따라서 실시간으로 스캐닝 웜을 탐지하기 위해 많은 연구가 진행되고 있으나 대부분의 연구가 패킷 헤더 정보를 이용하는 방법에 중점을 두고 있으며, 이 방법은 네트워크의 모든 패킷을 검사해야 하므로 비효율적이며 탐지시간이 오래 걸린다는 단점이 있다. 따라서 본 논문에서는 네트워크 트래픽량, 트래픽량의 미분값, 트래픽량의 평균 미분값, 트래픽량의 평균 미분값과 평균 트래픽량의 곱에 대한 variance를 통해 스캐닝 웜을 탐지하는 기법을 제안한다. 실제 네트워크에서 측정한 정상 트래픽과 시뮬레이터로 생성한 웜 트래픽에 대해 성능을 분석한 결과, 기존의 탐지기법으로는 탐지되지 않는 코드레드와 슬래머를 제안한 탐지기법으로 탐지할 수 있었다. 또한 탐지속도를 측정한 결과 웜 발생초기에 모두 탐지가 되었는데, 슬래머는 발생 후 4초만에 탐지되었으며, 코드레드와 위티는 발생한지 11초만에 탐지되었다.

• 한국컴퓨터정보학회논문지
• /
• 제17권5호
• /
• pp.21-28
• /
• 2012

최근 들어, 네트워크 트래픽 공격에 대한 탐지 기술의 필요성이 꾸준히 증가되고 있는 실정이다. 본 논문에서는 네트워크 트래픽 데이터의 헤더파일에서 송신자의 IP와 포트, 그리고 수신자의 IP와 포트 정보를 2차원의 영상으로 시각화하고 분석하여 이상패턴을 효과적으로 분석하는 새로운 방법을 제안한다. 제안된 방법에서는 먼저 송신자와 수신자의 IP 정보를 받아들여 4개의 2차원 영상을 생성하고, 포트 정보를 받아들여 1개의 2차원 영상을 생성한다. 그런 다음, 각 영상 내의 트래픽 데이터를 분석하여 패턴의 주요 특징을 추출하는데, 트래픽의 공격을 나타내는 선형 패턴과 높은 명암값을 가지는 패턴을 추출하여 트래픽의 유형이 정상 트래픽, DDoS, 그리고 DoS인지를 자동으로 검출한다. 성능을 비교 분석하기 위한 실험에서는 제안된 네트워크 트래픽의 이상현상 검출 방법이 기존의 방법에 비해서 보다 우수하다는 것을 보여준다.

• 인터넷정보학회논문지
• /
• 제9권6호
• /
• pp.27-35
• /
• 2008

무선 장치의 확산으로, 무선 애드 혹 망(MANETs, Mobile Ad-hoc NETworks)은 매우 흥미롭고 중요한 기술이 되고 있다. 그러나 MANET은 유선망 보다 더 견고하지 못하다. 유선망을 위하여 설계된 기존의 보안 메커니즘은 새로운 패러다임에서 재 설계되어야 한다. 본 논문에서, 우리는 MANET에서 비정상 행위 탐지 문제를 논의한다. 우리의 연구의 초점은 새로운 또는 알려지지 않은 공격을 탐지할 수 있는 비정상 행위 탐지 모델을 자동적으로 구축하는 기법에 있다. 제안하는 방법은 정상 트래픽에서 특징간 상관 관계 패턴을 포착하기 위하여 러프 집합에 기초한 교차 특징 분석을 수행한다. 제안하는 방법의 성능은 시뮬레이션을 통하여 평가되었다. 그 결과, 제안하는 방법의 성능이 특징 속성값의 확률에 기반 하는 교차 특징 분석을 사용하는 Huang의 방법 보다 성능이 우수함을 보였다. 따라서 제안하는 방법이 비정상 행위를 효율적으로 탐지한다는 것을 알 수 있었다.

• 정보보호학회논문지
• /
• 제27권1호
• /
• pp.25-38
• /
• 2017

국가 주요 기반 시설을 포함하여 보안사고 발생 시 심각한 피해를 발생시킬 수 있는 산업 제어시스템의 특성에 의해 세계적으로 많은 보안 침해 사고가 발생하고 있다. 따라서 산업 제어시스템 네트워크에 오가는 트래픽은 감시되고, 분석되어 공격을 사전에 파악하거나 사고 이후 재빠른 대응을 수행할 수 있어야 한다. 본 논문에서는 제어시스템 프로토콜인 DNP3를 대상으로 모든 공격의 가능성을 갖는 트래픽들을 대상으로 합리적인 의심이 가능하도록 네트워크 포렌식 관점에서 시각화를 연구를 수행해 정상행위기반 룰을 정의하고 시각화 요구사항을 도출했다. 이를 기반으로 제어시스템 네트워크상에 캡처된 패킷 파일을 대상으로 DDoS와 같은 급작스런 네트워크 트래픽의 변화를 일으키는 경우 혹은 정상행위를 위반한 공격이 탐지 가능한 시각화 도구를 개발했고, 디지털본드 패킷과 같이 치명적인 공격이 포함된 네트워크상에서 성공적으로 비정상행위 탐지를 수행하였다.

• 정보보호학회논문지
• /
• 제17권1호
• /
• pp.57-66
• /
• 2007

스캐닝 웜은 네트워크 관리자가 미처 대응하기 전에 넓게 전파되므로 차단하기 힘들고 그 피해가 상당히 크다. 따라서 자동으로 스캐닝 웜의 발생을 탐지하고 이에 대응할 수 있는 방법이 필요하다. 본 논문에서는 스캐닝 웜의 트래픽 특성을 분석하여 정상 트래픽과 이상 트래픽을 구분할 수 있는 탐지 알고리즘을 제안한다. 스캐닝 웜의 탐지를 위해 variance, VMR 및 correlation coefficient를 이용하는 방법을 제안하고, 시뮬레이션을 통해 기존의 방법과 성능을 비교하였다. 그 결과 기존의 방법에 비하여 간단한 계산을 통해 스캐닝 웜의 효율적인 탐지가 가능함을 확인하였다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2011년도 춘계학술발표대회
• /
• pp.713-716
• /
• 2011

인터넷 유저가 증가하면서 DDoS 공격은 인터넷 안정성에 매우 중요한 위협을 가하고 있다. 서비스 거부 공격이란 서비스를 제공하는데 있어 필요한 컴퓨팅 및 통신 자원을 고갈시키는 공격으로 원천적으로 해결하기가 매우 힘든 것으로 알려져 있다. 인터넷과 같은 대규모 망을 대상으로 한 네트워크 공격은 효과적인 탐지 방법이 요구된다. 그러므로 대규모 망에서 침입 탐지 시스템은 효율적인 실시간 탐지가 필요하다. 본 논문에서는 DDoS 공격에 따른 비정상적인 트래픽 범람을 방지하고 합법적인 트래픽 전송을 보장하기 위하여 엔트로피기반의 DDoS 공격 대응 기법을 제안한다. OPNET을 이용해 구현한 결과 DDoS 공격중에 원활한 서비스를 제공할 수 있는 것을 확인하였다.