• Proceedings of the Korea Information Processing Society Conference
• /
• 2001.04a
• /
• pp.387-390
• /
• 2001

최근 세계적으로 유수한 인터넷 사이트들의 해킹으로 인해 네트워크 보안의 중요성이 강조되고 있다. 네트워크 보안을 위해 방화벽보다는 좀더 신뢰성이 높은 네트워크 및 시스템에 대한 보안 솔루션으로 침입 탐지 시스템(Intrusion Detection System)이 차세대 보안 솔루션으로 부각되고 있다. 본 논문에서는 기존의 IDS의 단점이었던 호스트 레벨에서 확장된 분산환경에서의 실시간 침입 탐지는 물론 이기종간의 시스템에서도 탐지가 가능한 새로운 IDS 모델을 제안 설계하였다. 그리고, 프로토타입을 구현하여 그 타당성을 검증하였다. 이를 위해 서로 다른 이기종에서 분산 침입 탐지에 필요한 강사 파일을 자동적으로 추출하기 위해서 패턴 추출 에이전트를 이용하였다.

• Journal of KIISE:Databases
• /
• v.34 no.6
• /
• pp.473-482
• /
• 2007

Network-based IDS(Intrusion Detection System) gathers network packet data and analyzes them into attack or normal. They raise alarm when possible intrusion happens. But they often output a large amount of low-level of incomplete alert information. Consequently, a large amount of incomplete alert information that can be unmanageable and also be mixed with false alerts can prevent intrusion response systems and security administrator from adequately understanding and analyzing the state of network security, and initiating appropriate response in a timely fashion. So it is important for the security administrator to reduce the redundancy of alerts, integrate and correlate security alerts, construct attack scenarios and present high-level aggregated information. False alarm rate is the ratio between the number of normal connections that are incorrectly misclassified as attacks and the total number of normal connections. In this paper we propose a false alarm classification model to reduce the false alarm rate using classification analysis of data mining techniques. The proposed model can classify the alarms from the intrusion detection systems into false alert or true attack. Our approach is useful to reduce false alerts and to improve the detection rate of network-based intrusion detection systems.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2001.10b
• /
• pp.969-972
• /
• 2001

컴퓨터망의 확대 및 컴퓨터 이용의 증가에 따른 부작용으로 컴퓨터 보안 문제가 중요하게 대두되고 있다. 이에 따라 침입자들로부터 침입을 줄이기 위한 침입탐지 시스템에 관한 연구가 활발히 논의 되고 있다. 본 논문에서 IDS 모델들의 소개와 새로운 IDS의 모델을 제시하고 단위 침입 행동별로 학습된 모니터링 프로세서에서 전송되는 사용자 위협 메시지에 대한 처리를 담당하는 조정자 에이전트 시스템을 설계하고자 한다. 본 논문에 제안된 조정자는 안정화된 메시지 처리 문제 뿐 아니라 기존 모델의 에이전트간 협력 작업에 의해 처리되었던 침입판단 기능 및 모니터링 프로세서들의 관리 기능 또한 수행하도록 한다. 그리고 시스템의 유연성 및 확장성 향상을 하도록 하였다.

• Proceedings of the Korean Institute of Information and Commucation Sciences Conference
• /
• 2008.05a
• /
• pp.658-661
• /
• 2008

As network security is coming up with significant problem after the major Internet sites were hacked nowadays, IDS(Intrusion Detection System) is considered as a next generation security solution for more trusted network and system security. We propose the new IDS model which can detect intrusion in the expanded distribute environment in host level, drawback of existing IDS, and implement prototype. We used pattern extraction agent so that we extract automatically audit file needed in intrusion detection even in other platforms.

• Proceedings of the Korean Information Science Society Conference
• /
• 1999.10c
• /
• pp.315-317
• /
• 1999

네트워크 호스트에 대한 해킹의 기본 단계로서 포트 스캐닝이 사용된다. 최근에는 TCP의 보안 취약성과 구현상의 버그를 이용한 스텔스 스캐닝 기법이 소개되었다. 본 논문에서는 스텔스 스캐닝의 원리에 대해 살펴보고, 자동화된 침입 탐지 및 보고 시스템의 구현을 위한 포트 스캐닝 탐지 기법으로서 스캐닝 성향 계수를 제안한다. 그리고 에이전트 기반 해킹 탐지 시스템의 모델을 제시함으로써 포트 스캐닝 탐지기능과 로그 분석 기능이 상호 유기적으로 사용 가능함을 보인다.

• Journal of KIISE:Information Networking
• /
• v.28 no.4
• /
• pp.489-497
• /
• 2001

In the coming age of information warfare, information security patterns take on a more offensive than defensive stance. It is necessary to develop an active form of offensive approach to security protection in order to guard vital information infrastructures and thwart hackers. Information security products need to support an automatic response facility without human intervention in order to minimize damage to the attacked system and cope with the intrusion immediately. This paper presents an automatic intrusion response model which is developed on a Self-Extension Monitoring. It also proposes an ARTEMIS(Advanced Realtime Emergency Management and Intruder Identification System), which is designed and implemented based on the suggested model. The Self-Extension Monitoring using self-protection and replication minimizes spatial limitations on collection of monitoring information and intruder tracing. It enhances the accuracy of intrusion detection and tracing.

• Proceedings of the KAIS Fall Conference
• /
• 2010.05a
• /
• pp.459-462
• /
• 2010

최근 네트워크의 발달로 인해 네트워크 감사데이터의 양이 점점 증가하고 있다. 이렇게 증가하는 네트워크 감사데이터를 능동적이고 효율적으로 분석하기 위한 연구가 진행되고 있다. 하지만 지금까지의 연구들은 특정 침입탐지시스템에 제한되어 데이터 마이닝 기법을 적용하여 감사데이터를 분석하고 침입탐지모델을 구축하는 연구였다. 따라서 이 논문에서는 특정 침입탐지시스템에 의존하지 않고 감사데이터를 효율적으로 분석하여 알려지지 않은 공격패턴이나 규칙들을 발견하여 보안정책 실행시스템에서 활용할 수 있도록 하기위한 감사데이터 분석 마이너를 설계하고 구현하였다. 보안관리자는 구현된 감사데이터 마이너를 이용하여 원하는 정보를 가공 추출하여 고수준의 의미추출에 이용할 수 있다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2003.11c
• /
• pp.1961-1964
• /
• 2003

NIDS 구조의 근본적인 결함을 이용하는 공격기법과 또한 우회하는 공격기법이 많이 개발 되고 있다. 이러한 NIDS에 대한 공격기법의 해결로 HIDS가 사용 될 수 있으나 HIDS 또한 서비스 하는 시스템 자체 내에 탑재하기 때문에 시스템에 많은 부하를 준다. 따라서 NIDS의 많은 장점들을 유지하면서도 NIDS의 한계를 극복하고 HIDS로써 시스템에 않은 과부하를 주지 않는 새로운 HIDS 모델을 제시한다. 제안된 HIDS는 특성상 모든 곳에서의 접속을 허용하므로 보안이 취약한 Web 서버의 보안 강화를 목적으로 설계되었다. 또한, Web 서버는 Web Service라는 특정 목적안을 위해 운영되기 때문에 HIDS를 설치하더라도 Web 공격에 대해서안 고려함으로써 HIDS의 부하를 상당히 줄일 수 있다. 본 논문에서 제안하는 HIDS는 Linux 운영체제의 Kernel에서 TCP Stream을 추출하여 이를 감사 자료로써 사용하여 침입탐지를 한다. Linux 서버의 자체적인 호스트 방화벽과 연동하여 침입에 따른 대응을 한다.

• The Journal of the Institute of Internet, Broadcasting and Communication
• /
• v.21 no.4
• /
• pp.15-23
• /
• 2021

In most hacking attacks, hackers intrudes inside for a long period of time and attempts to communicate with the outside using a circumvent connection to achieve purpose. research in response to advanced and intelligent cyber threats has been mainly conducted with signature-based detection and blocking methods, but recently it has been extended to threat hunting methods. attacks from organized hacking groups are advanced persistent attacks over a long period of time, and bypass remote attacks account for the majority. however, even in the intrusion detection system using intelligent recognition technology, it only shows detection performance of the existing intrusion status. therefore, countermeasures against targeted bypass rwjqthrwkemote attacks still have limitations with existing detection methods and threat hunting methods. in this paper, to overcome theses limitations, we propose a model that can detect the targeted circumvent connection remote attack threat of an organized hacking group. this model designed a threat hunting process model that applied the method of verifying the origin IP of the remote circumvent connection, and verified the effectiveness by implementing the proposed method in actual defense information system environment.

• KIPS Transactions on Software and Data Engineering
• /
• v.10 no.11
• /
• pp.449-456
• /
• 2021

An intrusion detection system is a technology that detects abnormal behaviors that violate security, and detects abnormal operations and prevents system attacks. Existing intrusion detection systems have been designed using statistical analysis or anomaly detection techniques for traffic patterns, but modern systems generate a variety of traffic different from existing systems due to rapidly growing technologies, so the existing methods have limitations. In order to overcome this limitation, study on intrusion detection methods applying various machine learning techniques is being actively conducted. In this study, a comparative study was conducted on data preprocessing techniques that can improve the accuracy of anomaly detection using NGIDS-DS (Next Generation IDS Database) generated by simulation equipment for traffic in various network environments. Padding and sliding window were used as data preprocessing, and an oversampling technique with Adversarial Auto-Encoder (AAE) was applied to solve the problem of imbalance between the normal data rate and the abnormal data rate. In addition, the performance improvement of detection accuracy was confirmed by using Skip-gram among the Word2Vec techniques that can extract feature vectors of preprocessed sequence data. PCA-SVM and GRU were used as models for comparative experiments, and the experimental results showed better performance when sliding window, skip-gram, AAE, and GRU were applied.