• Proceedings of the Korean Information Science Society Conference
• /
• 2003.10a
• /
• pp.874-876
• /
• 2003

전산 시스템에 대한 침입에 대응하기 위하여 시스템 호출 감사자료 척도를 사용하여 은닉 마르코프 모델(HMM)에 적용하는 비정상행위 기반 침입탐지 시스템에 대한 연구가 활발하다. 하지만, 이는 일정한 임계간 이하의 비정상행위만을 감지할 뿐, 어떠한 유형의 침입인지를 판별하지 못한다. 이에 Viterbi 알고리즘을 이용하여 상태 시퀀스를 분석하고, 공격 유형별 표준 상태시퀀스와의 유사성을 측정하여 유형을 판별할 수 있는데, 외부 혹은 내부 환경에 따라 상태 시퀀스가 항상 규칙적으로 추출될 수 없기 때문에, 단순 매칭으로 침입 유형을 판별하기가 어렵다. 본 논문에서는 이러한 문제를 해결하기 위하여 시퀀스의 변형을 효과적으로 고려하는 편집거리(Edit distance)를 이용하여 어떠한 유형의 침입이 발생하였는지를 판별하는 방법을 제안한다. 본 논문에서는 루트권한을 취득하기 위한 대표적인 침입유형으로 가장 널리 쓰이는 버퍼오버플로우 공격에 대해 실험하였는데, 그 결과 세부적인 침입 유형을 잘 판별할 수 있음을 확인하였다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2005.11a
• /
• pp.130-132
• /
• 2005

초고속 네트워크의 폭발적인 확산과 함께 네트워크 침입 사례 또한 증가하고 있다. 이를 검출하기 위한 방안으로 침입 탐지 시스템에 대한 관심과 연구 또한 증가하고 있다. 네트워크 침입을 탐지위한 방법으로 기존의 알려진 공격을 찾는 오용 탐지와 비정상적인 행위를 탐지하는 방법이 존재한다. 본 논문에서는 이를 혼합한 하이브리드 형태의 새로운 침입 탐지 시스템을 제안한다. 기존의 혼합된 방식과는 다르게 네트워크 데이터의 모델링과 탐지를 위해 가우시안 혼합 모델을 사용한다. 가우시안 혼합 모델에 기반한 침입 탐지 시스템의 성능을 평가하기 위해 DARPA'99 데이터에 적용하여 실험하였다. 실험 결과 정상과 공격은 확연히 구분되는 결과를 나타내었으며, 공격 간의 분류도 상당 수 가능하였다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2004.04a
• /
• pp.256-258
• /
• 2004

전산화로 인해 컴퓨터 시스템에 대한 불법적 침입이 증가하고, 해킹으로 인한 피해가 급증하게 됨으로 인해 침입탐지시스템에 대한 많은 연구와 개발이 이루어지고 있다. 지금까지의 침입탐지시스템 성능은 기존에 알려진 침입패턴을 가지고 평가를 해왔기 때문에 새로운 침입에 대한 탐지능력을 측정할 수 없는 취약성이 있다. 본 논문에서는 침입탐지시스템의 성능 평가를 위해서 새롭고 다양한 침입패턴을 만들기 위한 방법으로 대화형 유전자 알고리즘을 이용하여 침입패턴을 생성하는 방법을 제안한다. 생성된 침입패턴은 사람에 의해 적합도가 평가되고 높은 점수를 가진 침입패턴의 가용성을 검증하기 위해 오용탐지방법을 사용하는 침입탐지시스템인 LinSTAT에 적용하여 보았다. 실험결과 생성된 침입패턴의 약 43%정도는 탐지되는데, 탐지되지 않은 57%는 새로운 침입패턴이라 할 수 있다.

• Proceedings of the Korea Multimedia Society Conference
• /
• 2003.05b
• /
• pp.314-317
• /
• 2003

기존의 침입탐지 시스템에서는 오용탐지모델이 널리 사용되고 있다. 이 모델은 낮은 오판율(False Alarm rates)을 가지고 있으나, 새로운 공격에 대해 전문가시스템(Expert Systems)에 의한 규칙추가를 필요로 한다. 그리고 그 규칙과 완전히 일치되는 시그너처만 공격으로 탐지하므로 변형된 공격을 탐지하지 못한다는 문제점을 가지고 있다 본 논문에서는 이러한 문제점을 보완하기 위해 주성분분석(Principle Component Analysis; 이하 PCA)과 서포트 벡터 머신(Support Vector Machines; 이하 SVM)을 이용한 침입탐지 시스템을 제안한다. 네트워크 상의 패킷은 PCA를 이용하여 결정된 주성분 공간에서 해석되고, 정상적인 흐름과 비정상적인 흐름에 대한 패킷이미지패턴으로 정규화 된다. 이러한 두 가지 클래스에 대한 SVM 분류기를 구현한다. 개발하는 침입탐지 시스템은 알려진 다양한 침입유형뿐만 아니라, 새로운 변종에 대해서도 분류기의 유연한 반응을 통하여 효과적으로 탐지할 수 있다.

• 한국IT서비스학회:학술대회논문집
• /
• 2009.05a
• /
• pp.361-364
• /
• 2009

침입의 방법이 점차 치밀해지고 다양해짐에 따라 새로운 방식의 침입 탐지 기법 역시 지속적으로 요구되어진다. 기존의 오용 탐지 방법론은 탐지율은 뛰어나지만 새로운 침입형태에 대한 대응 능력이 부족하다. 이러한 단점을 보완하고자 등장한 것이 비정상 행위 탐지 방법론이다. 하지만 현재까지의 연구는 네트워크나 서버 OS, 데이터베이스 등 각 개별 분야에 대해서만 진행되고 있어 그 탐지 능력에 한계가 있다. 본 논문에서는 이러한 한계를 극복하고자 사용자의 네트워크 및 운영체제 로그를 통합 하고, 데이터마이닝 기법 중 빈발 패턴 마이닝 기법을 이용한 보다 정확한 비정상 행위 탐지 기술을 제안한다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2003.04a
• /
• pp.359-361
• /
• 2003

기존의 오용 기반 침입탐지 시스템에서는 변형되거나 새로운 해킹 방법에 대한 지속적인 탐지패턴을 지원해 주어야 하는 단점이 있다. 이러한 변형되거나 알려지지 않은 공격에 대한 탐지는 비정상행위 탐지 방법으로 본 논문에서는 컴퓨터 면역시스템의 부정 및 긍정선택 방법과 가중치의 특성을 이용하였다. 즉, 알리진 공격으로부터 특성을 추출하여 알려지지 않은 공격에 대응할 수 있도록 특성을 변경하는 방법을 사용하였다. 이러한 방법으로 공격 특성을 추출하고 특성 추출에 사용하지 않은 다른 공격에 대한 탐지를 실험한 결과 u2r 공격인 buffer overflow 공격과 race condition 공격에 대하여 정확한 탐지가 이루어짐을 보였다.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.13 no.5
• /
• pp.91-104
• /
• 2003

A masquerader is someone who pretends to be another user while invading the target user's accounts, directories, or files. The masquerade attack is the most serious computer misuse. Because, in most cases, after securing the other's password, the masquerader enters the computer system. The system such as IDS could not detect or response to the masquerader. The masquerade detection is the effort to find the masquerader automatically. This system will detect the activities of a masquerader by determining that user's activities violate a profile developed for that user with his audit data. From 1988, there are many efforts on this topic, but the success of the offers was limited and the performance was unsatisfactory. In this report we propose efficient masquerade detection system using SVM which create the user profile.

• KIPS Transactions on Computer and Communication Systems
• /
• v.5 no.12
• /
• pp.471-480
• /
• 2016

Recently, the damage of cyber attack toward infra-system, national defence and security system is gradually increasing. In this situation, military recognizes the importance of cyber warfare, and they establish a cyber system in preparation, regardless of the existence of threaten. Thus, the study of Intrusion Detection System(IDS) that plays an important role in network defence system is required. IDS is divided into misuse and anomaly detection methods. Recent studies attempt to combine those two methods to maximize advantagesand to minimize disadvantages both of misuse and anomaly. The combination is called Hybrid IDS. Previous studies would not be inappropriate for near real-time network environments because they have computational complexity problems. It leads to the need of the study considering the structure of IDS that have high detection rate and low computational cost. In this paper, we proposed a Hybrid IDS which combines C4.5 decision tree(misuse detection method) and Weighted K-means algorithm (anomaly detection method) hierarchically. It can detect malicious network packets effectively with low complexity by applying mutual information and genetic algorithm based efficient feature selection technique. Also we construct upgraded the the hierarchical structure of IDS reusing feature weights in anomaly detection section. It is validated that proposed Hybrid IDS ensures high detection accuracy (98.68%) and performance at experiment section.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.12 no.4
• /
• pp.29-39
• /
• 2002

In general, the intrusion detection method of anomalous behaviors has high false alarm rate which contains false-positive and false-negative. To increase the sensitivity of intrusion detection, we propose a method of aggregate detection to reduce false alarm rate by using correlation between misuse activity detection sensors and anomalous ones. For each normal behavior and anomalous one, we produce the reflection rate between the result from one sensor and another in off-line. Then, we apply this rate to the result of real-time detection to reduce false alarm rate.

• Journal of the Korea Society of Computer and Information
• /
• v.9 no.1
• /
• pp.37-43
• /
• 2004

Expasion of computer network and rapid growth of Internet have made computer security very important. As one of the ways to deal with security risk, much research has been made on Intrusion Detection System(IDS). The paper, also, addresses the issue of intrusion detection, but especially with Neuro-Fuzzy model. By applying the fuzzy logic which is known to deal with uncertainty to Anomaly Intrusion, it not only overcomes the difficulty of Misuse Intrusion, but also ultimately aims to detect the intrusions yet to be known.