• 정보처리학회논문지C
• /
• 제12C권7호
• /
• pp.1007-1014
• /
• 2005

최근 네트워크가 발전함에 따라 네트워크의 취약점을 이용한 침입과 공격이 많이 발생하고 있다. 네트워크에서 공격과 침입을 탐지하기 위해 규칙을 만들거나 패턴을 생성하는 것은 매우 어렵다. 대부분 전문가의 경험에 의해서 만들어지고, 많은 인력, 비용, 시간을 소비하고 있다. 본 논문에서는 전문가의 경험 없이 네트워크의 공격 행위를 효과적으로 탐지하기 위해서 네트워크 연결기반의 정보를 이용한 척도선정 기법과 탐지기법을 제안한다. 정상과 각 공격의 네트워크 연결 데이터를 추출하고, 상대 복잡도를 이용하여 복잡도의 임계값 설정함으로써 공격 탐지에 유용한 척도를 선정한다. 그리고 선정된 척도를 바탕으로 확률패턴을 생성하고 우도비 검증을 이용해 공격을 탐지한다. 이 탐지방법으로 임계값 조절에 따라 탐지율과 오탐율을 조절할 수 있었다. KDD CUP 99 데이터를 이용하여 공격행위를 분석, 분류하고, 결정트리 알고리즘의 규칙기반 탐지 결과와 비교함으로써 본 논문에서 제시한 기법이 유용함을 확인하였다.

• 한국게임학회 논문지
• /
• 제11권1호
• /
• pp.121-129
• /
• 2011

온라인 게임에서 오토 프로그램 또는 봇 프로그램으로 인하여 다양한 게임 서비스 피해사례가 발생하고 있다. 특히, 게임 머니 및 아이템의 비정상적인 수집은 게임이 가지는 본연의 재미를 잃어버리게 되고, 궁극적으로 게임 생명주기에 결정적 악영향을 미치게 된다. 본 논문은 게임 봇 감지를 위해 게임 행위 변화 패턴을 수집하고 분석하여 봇 탐지 방법에 적용한다. 인간의 게임 행위 변화 정보와 봇의 게임 행위 변화 정보를 이용하여 유사정도를 측정하고, 봇 탐지 기법에 활용하는 것이다. 실험에서는 서비스 중인 온라인 게임을 이용하여 사용자와 봇의 모델을 생성하고 유사성을 판별하였으며 적절한 결과를 확인하였다.

• 한국정보통신학회논문지
• /
• 제7권5호
• /
• pp.978-985
• /
• 2003

시스템에서 사용 패턴의 다양화 때문에 비정상 행위 탐지 IDS를 구현하는 것은 오용탐지 IDS를 구현하는 것보다 많은 어려움이 있다. 따라서 상용화되어 있는 대부분의 IDS는 오용 탐지 방법에 의한 것이다. 그러나 이러한 오용 탐지 방법에 의한 IDS는 변형된 침입 패턴이 발생할 경우 탐지해내 지 못한다는 단점을 가지고 있다. 본 논문에서는 감사데이터간의 침입 관계를 가지고 침입을 탐지하기 위해 데이터 마이닝 기법을 적용한다. 분산되어 있는 IDS에서의 에이전트는 시스템을 감시할뿐만 아니라 로그데이터까지 수집할 수 있다. 침입탐지시스템의 핵심인 탐지정확도를 높이기 위해 긍정적 결함이 최소화 되어야 한다. 따라서 감사데이터 학습단계에서 변형된 침입 패턴을 예측하기 위해서 데이터 마이닝 알고리즘을 적용한다.

• 한국정보과학회논문지:정보통신
• /
• 제31권6호
• /
• pp.556-565
• /
• 2004

알려지지 않은 악성 코드의 수행에 의한 피해를 막는 방법으로 프로그램의 실행 환경을 제한하는 '샌드박스' 기법이 많이 쓰여져 왔다. 코드의 비정상 행위를 탐지하는 이 기법은 구현 방식에 따라 적용성(configurability)과 편리성(ease of use) 간의 양면성(trade-off)을 가진다. 기존의 MAPbox는 이 두 가지를 동시에 만족 키기 위해 프로그램의 클래스별로 특정 샌드박스를 두는 클래스별 샌드박스 적용 기법을 사용한다[1]. 그러나, 이 방법은 정적으로 클래스의 수와 특성이 결정되므로 적용성에 한계가 있다. 본 논문에서는 MAPbox의 개념에 동적 클래스 생성 기능을 추가함으로써 적용성을 높이는 기법을 소개하고 이를 구현한다. 새로이 생성된 클래스에는 적절한 접근 제어를 가한다. MAPbox에 비해 적용성이 높아진 예로 MAPbox에서는 정상행위이지만 비정상행위로 판단되는 경우가 제안된 기법을 통해 올바르게 판단됨을 보인다. 또한 이 기법을 분석하고 실제로 구현하기 위해 어떠한 문제를 해결하였는지 보인다.

• 한국항행학회논문지
• /
• 제17권6호
• /
• pp.816-822
• /
• 2013

최근 악성코드의 다양화와 변종 발생 주기가 기존대비 지극히 단시간에 이루어지고 있으며, 네트워크 환경 또한 기존 보다 그 속도와 데이터 전송량이 급격히 증가하고 있다. 따라서 기존 침입 탐지 연구 및 비정상 네트워크 행위 분석 연구와 같이 정상과 비정상 네트워크 환경을 구성하여 데이터를 수집 분석하는 것은 현실적으로 환경 구성에 어려움이 많다. 본 논문에서는 기존 단순 네트워크 환경이 아닌 근래 많이 연구가 진행되고 서비스가 활발히 이루어지고 있는 클라우드 환경에서의 악성코드 분석 데이터 수집을 통하여 보다 효과적으로 데이터를 수집하고 분석하였다. 또한 단순한 악성 코드 행위가 아닌 DNS 스푸핑이 포함된 봇넷 클라이언트와 서버를 적용하여 보다 실제 네트워크와 유사한 환경에서 악성 코드 데이터를 수집하고 분석하였다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2003년도 춘계학술발표논문집 (하)
• /
• pp.2041-2044
• /
• 2003

네트워크에서 발생하는 다양한 침입 중에서 서비스거부공격(DoS Attack. Denial-of-Service Attack)이란 공격자가 침입대상 시스템의 시스템 자원과 네트워크 자원을 악의적인 목적으로 소모시키기 위하여 대량의 패킷을 보냄으로써 정상 사용자로 하여금 시스템이 제공하는 서비스를 이용하지 못하도록 하는 공격을 의미한다. 기존 연구에서는 시스템과 네트워크가 수신한 패킷을 분석한 후 네트워크 세션정보를 생성하여 DoS 공격을 탐지하였다. 그러나 이 기법은 공격자가 분산서비스거부공격(DDoS Attack: Distributed DoS Attack)을 하게 되면 분산된 세션정보가 생성되기 때문에 침입을 실시간으로 탐지하기에는 부적절하다. 본 논문에서는 시스템이 가지고 있는 자윈 중에서 DDoS 공격을 밭을 때 가장 민감하게 반응하는 시스템 자원을 모니터링 함으로써 DDoS 공격을 실시간으로 탐지할 수 있는 모델을 제안한다 제안 모델은 시스템이 네트워크에서 수신한 패킷을 처리하는 과정에서 소모되는 커널 메모리 소비량을 감사자료로 이용한 네트워치기반 비정상행위탐지(networked-based anomaly detection)모델이다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2013년도 추계학술발표대회
• /
• pp.638-639
• /
• 2013

Anymon Plus(ver 3.0)은 통합 로그 분석 시스템으로 대용량 로그 및 빅데이터의 실시간 수집 저장 분석할 수 있는 제품(초당 40,000 이벤트 처리)으로서, 방화벽 로그 분석을 통한 비정상 네트워크 행위 탐지, 웹 로그 분석을 통한 사용 패턴 분석, 인터넷 쇼핑몰 사기 주문 분석 및 탐지, 내부 정부 유출 분석 및 탐지 등과 같은 다양한 분야로 응용이 확대되고 있다. 본 논문에서는 보안관련 인프라 로그를 분석하고 예측하여 예상 보안사고 시기에 집중적 경계를 통한 선제적 대응을 모색하기 위해 통계적 이론에 기반한 통합 로그 분석 시스템을 개발하기 위해, 회귀분석 및 시계열 분석이 가능한 예측 엔진 시스템을 설계하고 구현한다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2001년도 가을 학술발표논문집 Vol.28 No.2 (1)
• /
• pp.661-663
• /
• 2001

침입탐지 시스템은 내부자의 불법적인 사용, 오용 또는 외부 침입자에 의한 중요 정보 유출 및 변경을 알아내는 것으로서 각 운영체제에서 사용자가 발생시킨 키워드, 시스템 호출, 시스템 로그, 사용시간, 네트워크 패킷 등의 분석을 통하여 침입여부를 결정한다. 본 논문에서 제안하는 침입탐지시스템은 권한 이동 관련 이벤트 추출 기법을 이용하여 사용자의 권한이 바뀌는 일정한 시점만큼 기록을 한 후 HMM모델에 적용시켜 평가한다. 기존 실험에서 보여주었던 데이터의 신뢰에 대한 단점을 보완하기 위해 다량의 정상행위 데이터와 많은 종류의 침입유형을 적용해 보았고, 그 밖에 몇 가지 단점들을 수정하여 기존 모델에 비해 향상된 성능을 보이는지를 평가하였다 실험 결과 호스트기반의 침입에 대해서 매우 좋은 탐지율을 보여 주었고 F-P error(false positive error) 또한 매우 낮은 수치를 보여 주었다.

• 융합보안논문지
• /
• 제18권5_1호
• /
• pp.45-51
• /
• 2018

데이터의 활용도와 중요성이 점차 높아짐에 따라 데이터와 관련된 사고와 피해는 점점 증가 하고 있으며, 특히 내부자에 의한 사고는 그 위험성이 더 높다. 이런 내부자의 공격은 전통적인 보안 시스템으로 방어하기 힘들어, 규칙 기반의 이상 행동 탐지 방법이 널리 활용되어오고 있다. 하지만, 새로운 공격 방식 및 새로운 환경과 같이 변화에 유연하게 적응하지 못하는 문제점을 가지고 있다. 본 논문에서는 이에 대한 해결책으로서 통계적 마르코프 모델 기반의 적응형 이상 이동 탐지 프레임워크를 제안하고자 한다. 이 프레임워크는 사람의 이동에 초점을 맞추어 내부자에 의한 위험을 사전에 탐지한다. 이동에 직접적으로 영향을 주는 환경 요소와 지속적인 통계 학습을 통해 변화하는 환경에 적응함으로써 오탐지와 미탐지를 최소화하도록 설계되었다. 프레임워크를 활용한 실험에서는 0.92의 높은 F2-점수를 얻을 수 있었으며, 나아가 정상으로 보여지지만, 의심해볼 이동까지 발견할 수 있었다. 통계 학습과 환경 요소를 바탕으로 행동과 관련된 데이터와 모델링 알고리즘을 다양화 시켜 적용한다면 보다 더 범위 넓은 비정상 행위에 대해 탐지할 수 있는 확장성을 제공한다.

• KNOM Review
• /
• 제21권2호
• /
• pp.18-25
• /
• 2018

사토시 나타모토에 의해 블록체인 기술이 개발되고 비트코인이 새로운 암호화폐 시장을 개척한 이후 여러 암호 화폐들이 등장하고 그 수와 규모는 나날이 증가하고 있다. 또한 블록체인 기술의 익명성과 여러 취약점을 이용한 범죄들이 발생하고 있으며 이에 취약점 개선과 범죄 예방을 위한 많은 연구들이 진행되고 있으나 범죄를 저지르는 사용자들을 탐지해내기엔 역부족이다. 따라서 네트워크 내 자금 세탁, 자금 탈취 등 이상 행위를 탐지 하는 것은 매우 중요하며 이에 본 논문에서는 비트코인 네트워크의 트랜잭션 및 유저 그래프의 특징들을 수집하고 이로부터 통계정보를 추출한 후 이를 로그 스케일 상에서 플롯으로 나타낸다. 시각화된 플롯을 Densification Power Law와 Power Degree Law에 따라 분석하고 결과적으로 비트코인 네트워크 내 비정상 트랜잭션 및 비정상 유저를 포함하는 이상 탐지에 적절한 특징들을 제시한다.