• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2022년도 춘계학술발표대회
• /
• pp.531-534
• /
• 2022

승차 공유, 카풀, 렌터카의 이용률이 증가하면서 많은 사용자가 동일한 차량에 로컬 액세스 할 수 있는 시나리오가 더욱 보편화됨에 따라 차량 네트워크에 대한 공격 가능성이 커지고 있다. 차량용 CAN Bus Network에 대한 DoS(Denial of Service), Fuzzy Attack 및 Replay Attack과 같은 공격은 일부 ECU(Electronic Controller Unit) 비활성 및 작동 불능 상태를 유발한다. 에어백, 제동 시스템과 같은 필수 시스템이 작동 불가 상태가 되어 운전자에게 치명적인 결과를 초래할 수 있다. 차량 네트워크 침입 탐지를 위하여 많은 연구가 진행되고 있으나, 기존 화이트리스트를 이용한 탐지 방법은 새로운 유형의 공격이 발생하거나 희소성이 높은 공격일 때 탐지하기 어렵다. 본 논문에서는 인공신경망 기반의 CAN 버스 네트워크 침입 탐지 기법을 제안한다. 제안하는 침입 탐지 기법은 2단계로 나누어 진다. 1단계에서 정상 패킷 분포를 학습한 VAE 모형이 이상 탐지를 수행한다. 이상 패킷으로 판정될 경우, 2단계에서 인코더로부터 추출된 잠재변수와 VAE의 재구성 오차를 이용하여 공격 유형을 분류한다. 분류 결과의 신뢰점수(Confidence score)가 임계치보다 낮을 경우 학습하지 않은 공격으로 판단한다. 본 연구 결과물은 정보보호 연구·개발 데이터 첼린지 2019 대회의 차량 이상징후 탐지 트랙에서 제공하는 정상 및 3종의 차량 공격시도 패킷 데이터를 대상으로 성능을 평가하였다. 실험을 통해 자동차 제조사의 규칙이나 정책을 사전에 정의하지 않더라도 낮은 오탐율로 비정상 패킷을 탐지해 낼 수 있음을 확인할 수 있다.

• 인터넷정보학회논문지
• /
• 제23권5호
• /
• pp.79-85
• /
• 2022

이상 탐지는 일반적인 사용자들의 데이터 집합 속에서 비정상적인 데이터 흐름을 파악하여 미리 차단하는 방법이다. 기존에 알려진 방식은 이미 알려진 공격의 시그니처를 활용하여 시그니처 기반으로 공격을 탐지 및 방어하는 방식인데, 이는 오탐율이 낮다는 장점이 있지만 제로 데이 취약점 공격이나 변형된 공격에 대해서는 매우 취약하다는 점이 문제점이다. 하지만 이상 탐지의 경우엔 오탐율이 높다는 단점이 존재하지만 제로 데이 취약점 공격이나 변형된 공격에 대해서도 식별하여 탐지 및 차단할 수 있다는 장점이 있어 관련 연구들이 활발해지고 있는 중이다. 본 연구에서는 이 중 이상 탐지 메커니즘에 대해 다뤘다. 앞서 말한 단점인 높은 오탐율을 보완하며 그와 더불어 이상 탐지와 분류를 동시에 수행하는 새로운 메커니즘을 제안한다. 본 연구에서는 여러 알고리즘의 특성을 고려하여 5가지의 구성으로 실험을 진행하였다. 그 결과로 가장 우수한 정확도를 보이는 모델을 본 연구의 결과로 제안하였다. Extra Tree와 Three layer ANN을 동시에 적용하여 공격 여부를 탐지한 후 공격을 분류된 데이터에 대해서는 Extra Tree를 활용하여 공격 유형을 분류하게 된다. 본 연구에서는 NSL-KDD 데이터 세트에 대해서 검증을 진행하였으며, Accuracy는 Normal, Dos, Probe, U2R, R2L에 대하여 각각 99.8%, 99.1%, 98.9%, 98.7%, 97.9%의 결과를 보였다. 본 구성은 다른 모델에 비해 우수한 성능을 보였다.

• 한국컴퓨터정보학회논문지
• /
• 제27권7호
• /
• pp.101-108
• /
• 2022

본 논문은 다수의 사물인터넷 단말에서 보편적으로 수집할 수 있는 시스템 및 네트워크 메트릭을 학습하여 각 사물의 경험데이터를 기반으로 서비스거부 및 분산반사 서비스거부 공격을 탐지하는 침입 탐지 모델을 제안한다. 먼저, 공격 시나리오 유형별로 각 사물에서 37종의 시스템 및 네트워크 메트릭을 수집하고, 이를 6개 유형의 머신러닝 모델을 기반으로 학습하여 사물인터넷 공격 탐지 및 분류에 가장 효과적인 모델 및 메트릭을 분석한다. 본 논문의 실험을 통해, 랜덤 포레스트 모델이 96% 이상의 정확도로 가장 높은 공격 탐지 및 분류 성능을 보이는 것을 확인하였고, 그 다음으로는 K-최근접 이웃 모델과 결정트리 모델의 성능이 우수한 것을 확인하였다. 37종의 메트릭 중에는 모든 공격 시나리오에서 공격의 특징을 가장 잘 반영하는 CPU, 메모리, 네트워크 메트릭 5종을 발견하였으며 큰 사이즈의 패킷보다는 빠른 전송속도를 갖는 패킷이 사물인터넷 네트워크에서 서비스거부 및 분산반사 서비스거부 공격 특징을 더욱 명확히 나타내는 것을 실험을 통해 확인하였다.

• 한국통신학회논문지
• /
• 제31권2C호
• /
• pp.208-218
• /
• 2006

본 논문에서는 최신의 공격 유형을 잘 분류해 내고, 기존 공격의 변형이나 새로운 공격에도 탐지 가능하도록 데이터 마이닝 기법을 이용한 공격 탐지 모델 생성 방법들을 소개하고, 다양한 실험을 통해 탐지율 및 탐지 시간 측면에서 이 모델들의 성능을 비교한다. 이러한 탐지 모델을 생성하는데 중요한 요소로 데이터, 속성, 탐지 알고리즘을 꼽을 수 있는데, 실제 네트워크에서 수집된 NetFlow 데이터와 대량의 KDD Cup 1999 데이터를 사용하였다. 또한 탐지 알고리즘으로서 단일 지도/비지도학습 데이터 마이닝 기법 및 결합된 방법을 이용하여 탐지 모델을 생성, 비교 실험하였다. 시험 결과, 결합된 지도학습 알고리즘을 사용한 경우 모델링 시간은 길었지만 가장 탐지율이 높았고, 모든 경우 탐지 시간이 1초 내외로 실시간 탐지 가능성을 입증할 수 있었다. 또한 새로운 공격에 대한 이상탐지 결과로도 92$\%$ 이상의 탐지율을 보임으로 탐지 가능성을 입증할 수 있었고, SOM 기법을 사용하는 경우에는 새로운 공격이 기존 어느 공격에 유사한 특성을 갖는지에 대한 부과적인 정보도 제공하였다.

• 한국정보과학회논문지:정보통신
• /
• 제32권3호
• /
• pp.279-290
• /
• 2005

최근 분산 서비스거부 공격에 대한 피해사례가 증가하면서 빠른 탐지와 적절한 대응 메커니즘에 대한 필요성이 대두되었다. 그러나 지금까지 제안된 기존 보안 메커니즘은 이러한 공격들에 대해 충분한 대응책을 제공하지 못하고, 일부 공격에만 유효하거나 공격의 일부 변형에도 취약점을 갖고 있다. 그러므로 본 논문에서는 최신의 분산 서비스거부 공격 유형 잘 분류해 낼 수 있고, 기존 공격의 변형이나 새로운 공격에도 탐지 가능하도록 데이타 마이닝 기법을 이용한 탐지 구조를 제안한다. 이 탐지 구조는 이미 발견된 공격을 유형별로 분류할 수 있도록 모델링하는 오용탐지모듈과, 공격의 일반적인 특성을 이용 하여 새로운 유형의 공격을 발견할 수 있도록 모델링하는 이상탐지모듈로 구성되어 있다. 이렇게 오프라인으로 생성된 탐지 모델을 통해 실시간 트래픽 데이타를 이용한 탐지 구조를 갖고 있다. 본 논문에서는 실제 네트워크의 상황을 잘 반영시켜 모델링을 하고 시험하기 위해 실제 네트워크에서 사용중인 액세스 라우터에서 NetFlow 데이타를 수집하여 이용하였다. NetFlow는 많은 전처리 과정 없이 플로우 기반의 통계 정보를 제공하므로 분산 서비스거부 공격 분석에 유용한 정보를 제공한다. 또한 공격 트래픽을 수집하기 위하여 잘 알려진 공격 툴을 이용하여 실제 공격 트래픽에 대한 해당 액세스 라우터에서의 공격 NetFlow 데이타를 수집하였다. 시험 결과, 이러한 트래픽을 이용하여 두가지 데이타 마이닝 기법을 결합한오용탐지모듈의 높은 탐지율을 얻을 수 있었고, 새로운 공격에 대한 이상탐지모듈의 탐지 가능성을 입증할 수 있었다., 10kg/10a 파종에서 바랭이, 명아주, 별꽃, 12kg/10a 파종에서는 명아주, 바랭이, 새포아풀 순위였다. 이상의 시험결과를 볼 때, 제주지역에서의 Creeping bent-grass의 적정 파종량은 10kg/10a으로 판단된다.$\cdot$하순에 조파하는 것이 바람직할 것으로 판단된다.d real time PCR을 이용하여 DBP 유전자를 증폭하는 새로운 방법으로 말라리아를 Semi-quantitative 하게 검출할 수 있음을 보였다.C로 확인 결과 retention time 3.36에 single peak를 나타내 단일 물질임을 확인할 수 있었다. 분리된 활성물질을 GC-MS(m/z)로 분석한 결과 m/z 222에서 base peak로 나타났으며 이 spectrum으로 NIST library 검색을 실시 한 결과, $C_{12}H_{14}O_4$의 diethyl phtalate로 시사되었다. C-NMR과 1H-NMR을 실시한 결과 참비름에서 분리한 물질은 구조식 $C_{12}H_{14}O_6$인 diethyl phtalate로 동정되었다. 특히 노인인구의 비율이 높은 읍면지역 및 섬지역의 음주문화는 주로 식사를 하면서 반주로 마시는 경우가 많아 음주가 일상화 되어 있다고할 수 있다. 따라서 음주로 인한 질병 예방이나 치료를 목적으로 건강식품을 섭취한다는 인식은 하지 않고 있다. 본 연구결과 통영시에 포함되어 있는 읍면 및 섬지역은 노령화가 가속화되고 있으며,도시의 생활권에서 벗어나 의료혜택을 충분히 받지 못하는 열악한 환경에 놓여 있는 실정 이다

• 정보보호학회논문지
• /
• 제30권3호
• /
• pp.429-442
• /
• 2020

최근 침해사고에서 오피스 문서를 통한 공격 비중이 높아지고 있다. 오피스 문서 어플리케이션의 보안이 점차 강화되어왔음에도 불구하고 공격기술의 고도화, 사회공학 기법의 복합적 사용으로 현재도 오피스 문서를 통한 공격이 유효하다. 본 논문에서는 악성 OOXML(Office Open XML) 문서 탐지 방법과 탐지를 위한 프레임워크를 제안한다. 이를 위해 공격에 사용된 악성파일과 정상파일을 악성코드 저장소와 검색엔진에서 수집하였다. 수집한 파일들의 악성코드 유형을 분석하여 문서 내 악성 여부를 판단하는데 유의미한 의심 개체요소 6가지를 구분하였으며, 악성코드 유형별 개체요소 탐지 방법을 제안한다. 또한, 탐지 방법을 바탕으로 OOXML 문서 기반 악성코드 탐지 프레임워크를 구현하여 수집된 파일을 분류한 결과 악성 파일셋 중 98.45%에 대해 탐지함을 확인하였다.

• 한국콘텐츠학회논문지
• /
• 제5권5호
• /
• pp.172-181
• /
• 2005

유해 트래픽의 최근 유형은 트래픽 폭주 공격에서 더 발전되어 웜, 봇과 같이 다양화, 지능화, 은닉화, 자동화되어 기존의 방법으로는 탐지하기 어렵다. SNMP 기반의 추이 분석 방법은 인터넷 사용의 큰 비중을 차지하고 있는 정상적인 P2P(메신저, 파일 공유) 및 기타 응용 프로그램 사용 시 유해 트래픽으로 분류하는 문제점과, 웜 및 봇과 같은 발전된 유해 트래픽을 분석해내지 못하는 큰 취약점을 가지고 있다. 제안한 방법은 프로토콜 추이 및 포트 트래픽 분석 방법을 적용하였다. 발생된 트래픽을 프로토콜, well-known포트, P2P포트, 기존 공격 포트, 특정 포트로 분류하고 이상 가중치를 적용하며, 실험 결과 P2P 트래픽 분석, 웜 및 봇 탐지, 트래픽 폭주 공격 등을 효과적으로 검출 할 수 있었다.

• 정보처리학회논문지:소프트웨어 및 데이터공학
• /
• 제9권12호
• /
• pp.411-418
• /
• 2020

정보보안을 위한 IDS(Intrusion Detection Systems)는 통상적으로 서명기반(signature based) 침입탐지시스템과 이상기반(anomaly-based) 침입 탐지시스템으로 분류한다. 이 중에서도 네트워크에서 발생하는 트래픽 데이터를 기계학습으로 분석하는 이상기반 IDS 연구가 활발하게 진행됐다. 본 논문에서는 공격 유형 학습에 사용되는 데이터에 존재하는 희소 클래스 문제로 인한 성능 저하를 해결하기 위한 전처리 방안에 대해 연구했다. 희소 클래스(Rare Class)와 준 희소 클래스(Semi Rare Class)를 기준으로 데이터를 재구성하여 기계학습의 분류 성능의 개선에 대하여 실험했다. 재구성된 3종의 데이터 세트에 대하여 Wrapper와 Filter 방식을 연이어 적용하는 하이브리드 특징 선택을 수행한 이후에 Quantile Scaler로 정규화를 처리하여 전처리를 완료한다. 준비된 데이터는 DNN(Deep Neural Network) 모델로 학습한 후 TP(True Positive)와 FN(False Negative)를 기준으로 분류 성능을 평가했다. 이 연구를 통해 3종류의 데이터 세트에서 분류 성능이 모두 개선되는 결과를 얻었다.