• Annual Conference of KIPS
• /
• 2020.05a
• /
• pp.490-493
• /
• 2020

오늘날 정보통신 기술이 급격하게 발달하면서 IT 인프라에서 보안의 중요성이 높아졌고 동시에 APT(Advanced Persistent threat)처럼 고도화되고 다양한 형태의 공격이 증가하고 있다. 점점 더 고도화되는 공격을 조기에 방어하거나 예측하는 것은 매우 중요한 문제이며, NIDS(Network-based Intrusion Detection System) 관련 데이터 분석만으로는 빠르게 변형하는 공격을 방어하지 못하는 경우가 많이 보고되고 있다. 따라서 HIDS(Host-based Intrusion Detection System) 데이터 분석을 통해서 위와 같은 공격을 방어하는데 현재는 침입탐지 시스템에서 생성된 데이터가 주로 사용된다. 하지만 데이터가 많이 부족하여 과거에 생성된 DARPA(Defense Advanced Research Projects Agency) 침입 탐지 평가 데이터 세트인 KDD(Knowledge Discovery and Data Mining) 같은 데이터로 연구를 하고 있어 현대 컴퓨터 시스템 특정을 반영한 데이터의 비정상행위 탐지에 대한 연구가 많이 부족하다. 본 논문에서는 기존에 사용되었던 데이터 세트에서 결여된 스레드 정보, 메타 데이터 및 버퍼 데이터를 포함하고 있으면서 최근에 생성된 LID-DS(Leipzig Intrusion Detection-Data Set) 데이터를 이용한 분석 비교 연구를 통해 앞으로 호스트 기반 침입 탐지 데이터 시스템의 나아갈 새로운 연구 방향을 제시한다.

• Journal of the Korea Computer Industry Society
• /
• v.6 no.5
• /
• pp.715-724
• /
• 2005

Recently many important systems that used to be operated in a closed environment are now providing web services and these kinds of web-based services are often an easy and common target of attacks. In addition, the great variety of web content and applications cause the development of new various intrusion technologies, while the misuse-based intrusion detection technology cannot keep the peace with the attacks and it seems to lack the capability to deal with such various new security threats, As a result it is necessary to research and develop new types of detection technologies that can detect newly developed attacks and intrusions as well as to be able to deal with previous types of exploits. In this paper, a HTTP traffic model is tested for its anomaly by using a HTTP request traffic pattern analysis and the field information analysis of the HTTP packet. Consequently, the HTTP traffic models by applying anomaly tests is designed and established.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.27 no.1
• /
• pp.25-38
• /
• 2017

Many security threats are occurring around the world due to the characteristics of industrial control systems that can cause serious damage in the event of a security incident including major national infrastructure. Therefore, the industrial control system network traffic should be analyzed so that it can identify the attack in advance or perform incident response after the accident. In this paper, we research the visualization technique as network forensics to enable reasonable suspicion of all possible attacks on DNP3 control system protocol, and define normal action based rules and derive visualization requirements. As a result, we developed a visualization tool that can detect sudden network traffic changes such as DDoS and attacks that contain anormal behavior from captured packet files on industrial control system network. The suspicious behavior in the industrial control system network can be found using visualization tool with Digital Bond packet.

• Proceedings of the Korean Information Science Society Conference
• /
• 2005.07a
• /
• pp.127-129
• /
• 2005

신분위장공격 탐지는 오랫동안 연구되어 왔지만 실제 시스템에 적용되어 사용되기에는 여전이 높은 오탐지율(false alarm)과 낮은 탐지력(detecion rate)이 가장 큰 문제였다. 유닉스 시스템에서 신분위장공격을 탐지하기 위하여 사용자의 유닉스 명령어 행위를 프로파일링하고 정상 프로파일링에서 벗어난 권한 도용을 탐지하는 방법을 사용한다. 본 연구에서는 신분위장공격 탐지 시스템의 탐지력을 높이기 위하여 순서 정보를 반영한 SVM 커널 기법을 고찰하고 실험 결과를 정리하였다.

• Review of KIISC
• /
• v.29 no.3
• /
• pp.14-21
• /
• 2019

인터넷 상에서 개인정보보호 등 안전성 강화를 위해 암호통신이 지속적으로 증가하고 있다. 특히, 해커들도 사이버공격 행위 은닉 및 탐지기법 우회를 목적으로 암호통신을 적극 활용하는 추세이다. 이러한 상황에서, 네트워크 트래픽 상에서 평문형태의 패턴매칭을 통해 사이버공격을 탐지하는 기존의 방법으로는 한계점에 당면한 상황이다. 따라서, 본 논문에서는 암호통신 기반 사이버공격을 효과적으로 탐지하기 위하여 인공지능 및 설명가능 인공지능 기술을 접목하기 위한 연구 개발 동향을 소개한다.

• Review of KIISC
• /
• v.18 no.5
• /
• pp.62-72
• /
• 2008

인터넷 뱅킹은 인터넷을 통해 금융 업무를 처리하는 시스템으로, 시 공간적 제약이 없어 이용자가 크게 증가하고 있지만 인터넷을 기반으로 한 웹 공격으로 인하여 많은 위협을 받고 있다. 인터넷 뱅킹은 서비스를 제공하는 은행에 따라 사용자 인터페이스와 처리 방법이 매우 다양하므로, 인터넷 뱅킹 시스템을 목표로 한 웹 공격을 탐지하기 위해서는 해당 인터넷 뱅킹 서비스의 특징을 반영할 수 있는 고유의 패턴을 생성해야 한다. 본 논문에서는 서열 정렬 알고리즘을 이용하여 인터넷 뱅킹 이용에 대한 정상 및 비정상 패턴을 자동으로 생성하여 웹 공격을 탐지하고 분석하는 방법을 제안한다. 제시한 방법의 성능 평가를 위하여, 모의 인터넷 뱅킹 프로그램을 설치한 후 정상적인 이용과 웹 공격을 시도한 자료를 구분하여 수집하고 유사도를 측정하였다. 실험결과 제안된 기법이 오탐율이 낮고 탐지 성능 또한 뛰어남을 확인하였다. 그리고 전문가의 도움 없이 정상 패턴과 비정상 패턴을 생성할 수 있어 효율적으로 변형된 공격이나 새로운 공격을 차단하고 비정상 행위에 판단에 대한 근거를 제시할 수 있음을 보였다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2001.10a
• /
• pp.646-648
• /
• 2001

최근의 침입이나 공격들은 광범위한 망의 이용과 긴 시간을 두고 공격을 행하는 추세로 발전하고 있다. 이러한 공격들에 대한 탐지 및 대응을 위하여 침입탐지 시스템들은 시스템에 걸쳐 있는 정보의 공유, 침입이나 공격에 적극 대응하기 위한 자원의 이용 등의 상호협력이 요구되고 있다. 본 논문에서는 시스템에서 기록하는 많은 종류의 로그 정보를 침입 탐지에 이용할 수 있는 정보만을 추출하고 분석하여 저장함으로써, 침입 탐지 시스템이 이용할 수 있게 하고, 다른 시스템에서 정보를 필요로 할 때 제공할 수 있으며, 또한 침입이라 간주되어지는 행위에 대하여 대응하기 위한 추적 및 정보 수집 그리고 접속 거부 등을 행하는 Agent 시스템의 설계 및 개발을 목적으로 한다. 이를 위해 리눅스 시스템 기반 하에서 로그를 기록하는 SYSLOG, 발생한 시스템 콜 정보를 기록하는 LSM, 망에서 시스템으로 들어오는 패킷을 분석하는 Pcap Library를 이용한 로그 등을 통합하는 과정을 설명하고, 침입탐지 시스템에 의해서 침입이라 판단되었을 경우, DART Agent가 그 경로를 역추적하고 여러 시스템에 걸쳐 있는 정보들을 수집하는 과정, 고리고 공격에 대한 대응을 하는 과정을 설명한다.

• Journal of the Korea Society of Computer and Information
• /
• v.18 no.12
• /
• pp.27-34
• /
• 2013

In wireless sensor networks, sensors need to communicate with each other to send their sensing data to the administration node and so they are susceptible to many attacks like garbage packet injection that cannot be prevented by using traditional cryptographic approaches. A behavior-based detection is used to defend against such attacks in which some specialized monitoring nodes overhear the communications of their neighbors to detect bad packets. As monitoring nodes use more energy, it is desirable to use the minimal number of monitoring nodes to cover the whole or maximal part of the network. The monitoring nodes can either be selected among the deployed normal nodes or differ in type from normal nodes. In this study, we have developed an algorithm for selecting the predefined number of monitoring nodes needed to cover the maximum number of normal nodes when the different types of normal nodes and monitoring nodes are deployed. We also have investigated experimentally how the number of monitoring nodes and their transmission range affect the connection ratio of the monitoring nodes and the coverage of the normal nodes.

• Journal of the Korea Institute of Information and Communication Engineering
• /
• v.23 no.10
• /
• pp.1311-1319
• /
• 2019

Currently, the web environment is a commonly used area for sharing information and conducting business. It is becoming an attack point for external hacking targeting on personal information leakage or system failure. Conventional signature-based detection is used in cyber threat but signature-based detection has a limitation that it is difficult to detect the pattern when it is changed like polymorphism. In particular, injection attack is known to the most critical security risks based on web vulnerabilities and various variants are possible at any time. In this paper, we propose a novelty detection technique to detect abnormal state that deviates from the normal state on web-server log dataset(WSLD). The proposed method is a machine learning-based technique to detect a minor anomalous data that tends to be different from a large number of normal data after replacing strings in web-server log dataset with vectors using machine learning-based embedding algorithm.

• Annual Conference of KIPS
• /
• 2011.04a
• /
• pp.971-974
• /
• 2011

본 논문에서는 대용량 네트워크에 비정상적인 트래픽이 유입이 되거나 나가는 경우 패킷 기반의 비정상 트래픽의 탐지와 분석이 가능토록 하는 시스템을 설계하고 구현하였다. 본 논문에서 구현한 시스템은 네트워크상의 이상 행위를 탐지하기 위하여, DDoS HTTP Get Flooding 공격 탐지 알고리즘을 적용하고, NetFPGA를 이용하여 라우터 단에서 패킷을 모니터링하며 공격을 탐지한다. 본 논문에서 구현한 시스템은 Incomplete Get 공격 타입의 Slowloris 봇과, Attack Type-2 공격 타입의 BlackEnergy, Netbot Vip5.4 봇에 높은 탐지율을 보였다.