• 한국산학기술학회논문지
• /
• 제10권4호
• /
• pp.811-817
• /
• 2009

IT 시스템 기반의 네트워크 환경의 급속한 발전은 지속적인 연구방향의 중요한 이슈의 결과이다. 침입시도 탐지는 관심분야의 하나인 것이다. 최근에 다양한 기술을 기반으로 하는 침입시도탐지들이 제안되고 있으나 이러한 기술은 여러 형태의 침입시도의 패턴 중에 한가지 형태 및 시스템에 적용이 가능한 것이다. 또한 새로운 형태 침입시도를 탐지하지 못하고 있다. 그러므로 새로운 형태를 인식하는 침입탐지 관련 기술이 요구되어 지고 있다. 본 연구에서는 퍼지인식도와 비정상 트래픽 분석을 이용한 네트워크 기반의 침입탐지기법(NePID)을 제안한다. 이 제안은 패킷 분석을 통하여 서비스거부공격과 유사한 침입시도를 탐지하는 것이다. 서비스거부공격은 침입시도의 형태를 나타내며 대표적인 공격으로는 syn flooding 공격이 있다 제안한 기법은 syn flooding을 탐지하기 위하여 패킷정보를 수집 및 분석한다. 또한 피지인식도와 비정상 트래픽 분석을 적용하여 판단모듈의 분석 결과를 토대로 기존의 서비스 거부 공격의 탐지 툴과의 비교분석을 하였으며 실험데이터로는 MIT Lincoln 연구실의 IDS 평가데이터 (KDD'99)를 이용하였다. 시뮬레이션 결과 최대평균 positive rate는 97.094% 탐지율과 negative rate는 2.936%을 얻었으며 이 결과치는 KDD'99의 우승자인 Bernard의 결과치와 유사한 수준의 값을 나타내었다.

• 융합보안논문지
• /
• 제19권4호
• /
• pp.181-188
• /
• 2019

최근 Anomaly 기반 침입탐지시스템에서의 탐지 기준점 생성을 위해 인공지능 기술을 적용하려는 시도가 활발하게 진행되고 있다. 그러나 인공지능 기술의 적용을 제안한 기존 연구들은 대부분 인공 신경망의 구조 개선과 최적의 하이퍼파라미터 값을 찾는데 중점을 두고 있으며, 학습 데이터의 잘못된 구성으로 인해 발생할 수 있는 다양한 문제점들은 해결하지 못하고 있다. 이에 본 논문에서는 학습 데이터의 잘못된 구성으로 인해 나타날 수 있는 주요 문제점을 실험을 통해 식별하고 학습 데이터의 재구성을 통해 그러한 문제점을 개선함으로써 침입탐지 성능을 향상시킬 수 있는 방안을 제안한다.

• 한국컴퓨터산업학회논문지
• /
• 제6권5호
• /
• pp.715-724
• /
• 2005

최근 들어 폐쇄 환경에서 동작하던 많은 주요 시스템들이 웹 서비스를 제공하면서 호스트는 물론 제공되는 웹기반의 서비스들이 쉽게 공격의 주요 대상이 되고 있다. 뿐만 아니라 웹 컨텐츠나 어플리케이션의 다양성은 새로운 공격 기술을 개발하는 원인이 되기도 한다. 반면 기존의 오용기반 탐지 기법으로는 공격 기술의 발전 속도를 따라가지 못할 뿐더러 새로운 보안 위협을 처리하는 능력이 없다. 따라서 기존의 공격 유형과 함께 새롭게 개발되는 공격과 침입을 탐지하고 대처할 수 있는 기술이 연구되고 개발되고 있다. 본 논문에서는 HTTP 트래픽 패턴과 패킷 정보를 분석하여 HTTP 트래픽 모델에서의 비정상 행위 발생을 실험하였으며, 그 실험 결과를 적용하여 비정상행위를 탐지 가능한 HTTP 트래픽 모델을 설계하고 구현하였다.

• 정보보호학회논문지
• /
• 제12권5호
• /
• pp.63-73
• /
• 2002

최근에 컴퓨터 침입으로 인한 피해가 날로 증가하고 있으며 다양한 침입 기법들이 새롭게 개발되고 있다. 따라서 침입자들의 행위를 효과적으로 탐지하기 위해서 기존의 오용탐지 방법과 더불어 비정상행위 모델의 적용에 대한 많은 연구가 진행되었다. 본 논문에서는 네트워크를 통해서 수신되는 패킷에 대한 정상행위 패턴을 생성하기 위해서 패킷 내 뿐만 아니라 패킷간의 연관성을 탐사하는 새로운 연관 규칙 알고리즘을 제안한다. 이와 더불어 다양한 실험을 통해서 본 논문에서 제안된 비정상행위 판정시스템에서 탐지율을 최대화 할 수 있는 임계치 값들을 제시한다. 결과적으로 효과적인 비정상행위 판정이 가능하다.

• 정보보호학회논문지
• /
• 제16권6호
• /
• pp.111-121
• /
• 2006

인터넷이 빠르게 성장함에 따라 네트워크 공격기법이 변화되고 새로운 공격 형태가 나타나고 있다. 네트워크상에서 알려진 침입의 탐지는 효율적으로 수행되고 있으나 알려지지 않은 침입에 대해서는 오탐지(false negative)나 과탐지(false positive)가 너무 높게 나타난다. 또한, 네트워크상에서 지속적으로 처리되는 대량의 패킷에 대하여 실시간적인 탐지와 새로운 침입 유형에 대한 대응방법과 인지능력에 한계가 있다. 따라서 다양한 대량의 트래픽에 대해서 탐지율을 높이고 과탐지를 감소할 수 있는 방법이 필요하다. 본 논문에서는 네트워크 기반의 이상 침입 탐지 시스템에서 과탐지를 감소하고, 침입 탐지 능력을 향상시키기 위하여 다차원 연관 규칙 마이닝과 수정된 부정 선택 알고리즘(Negative Selection Algorithm)을 결합한 다중 레벨 이상 침입 탐지 기술을 제안한다. 제안한 알고리즘의 성능 평가를 위하여 기존의 이상 탐지 알고리즘과 제안된 알고리즘을 수행하여, 각각의 과탐지율을 평가, 제시하였다.

• 인터넷정보학회논문지
• /
• 제7권3호
• /
• pp.119-132
• /
• 2006

지금까지 잘 알려진 네트워크 기반 보안 기법들은 공격에 수동적이고 우회한 공격이 가능하다는 취약점을 가지고 있어 인라인(in_line) 모드의 공격에 능동적 대응이 가능한 오용탐지 기반의 침입방지시스템의 출현이 불가피하다. 하지만 오용탐지 기반의 침입방지시스템은 탐지 규칙에 비례하여 과도한 오경보(False Alarm)를 발생시켜 정상적인 네트워크 흐름을 방해하는 잘못된 대응으로 이어질 수 있어 기존 침입탐지시스템보다 더 위험한 문제점을 갖고 있으며, 새로운 변형 공격에 대한 탐지가 미흡하다는 단점이 있다. 본 논문에서는 이러한 문제를 보완하기 위해 오용탐지 기반의 침입방지시스템과 Anomaly System 중의 하나인 서포트 벡터 머신(Support Vector Machines; 이하 SVM)을 이용한 침입방지시스템 기술을 제안한다. 침입 방지시스템의 탐지 패턴을 SVM을 이용하여 진성경보만을 처리하는 기법으로 실험결과 기존 침입방지시스템과 비교하여, 약 20% 개선된 성능결과를 보였으며, 제안한 침입방지시스템 기법을 통하여 오탐지를 최소화하고 새로운 변종 공격에 대해서도 효과적으로 탐지 가능함을 보였다.

• 한국지능시스템학회논문지
• /
• 제14권4호
• /
• pp.451-456
• /
• 2004

징후 기반의 침입 탐지 시스템은 일정한 침입 탐지 규칙을 구성하여 라이브러리에 저장한 후 새로운 입력에 대해 규칙과 패턴 매칭을 하여 침입 여부를 판정한다. 그러나 징후(규칙)를 기반으로 하는 침입 탐지 시스템은 통상적으로 크게 2가지의 제약을 갖는다. 첫 번째는 침입에 대한 규칙을 구성하지 못할 경우 그에 따른 FN 오류(false negative error)가 발생할 수 있으며, 두 번째는 규칙의 다양성을 확보하기 위해서 많은 규칙을 구성하게 되었을 경우 그에 소요되는 자원의 규모가 커진다는 점이다. 이에 본 논문에서는 생체 면역 세포의 생성 과정인 부정 선택을 공학적으로 모델링하여 변형 인식부를 구성하고 이를 후보 개체군으로 하여 유전자 알고리즘을 이용해 진화시킴으로서 변이적인 침입에 대해 탐지 가능한 변형 인식부의 학습 알고리즘을 제안한다. 제안한 알고리즘은 컴퓨터 시뮬레이션을 통하여 그 유효성을 입증한다.

• 디지털산업정보학회논문지
• /
• 제6권1호
• /
• pp.1-12
• /
• 2010

Recently, large amount of information in IDS(Intrusion Detection System) can be un manageable and also be mixed with false prediction error. In this paper, we propose a data mining methodology for IDS, which contains uncertainty based on training process and post-processing analysis additionally. Our system is trained to classify the existing attack for misuse detection, to detect the new attack pattern for anomaly detection, and to define border patter between attack and normal pattern. In experimental results show that our approach improve the performance against existing attacks and new attacks,from 0.62 to 0.84 about 35%.

• 한국지능정보시스템학회:학술대회논문집
• /
• 한국지능정보시스템학회 2007년도 추계학술대회
• /
• pp.514-519
• /
• 2007

컴퓨터 네트워크 모니터링에 의한 보안장비는 많은 트래픽 자료를 분석하여, 이상유무를 판단하고, 대응해야 한다. 기존의 보안장비들은 이미 알려진 패턴에 대한 규칙을 이용하는 오용탐지방법(misuse detection)과 의미를 파악하기 어려운 많은 자료들을 제시하고 있는데 머물고 있다. 보다 나은 보안을 위해서는 정상적인 동작에서 벗어나는 이상징후를 탐지하여 침입을 탐지하는 이상탐지방법(anomaly detection)의 채용이 필요하고, 보안장비에서 제시되는 많은 트래픽 자료들은 보안전문가의 전문적인 분석이 필요하다. 본 연구에서는 데이터마이닝 기법을 이용한 이상탐지방법과 보안전문가의 전문적인 보안지식에 의한 분석, 대응, 관리를 위한 지식처리 기법을 사용할 수 있는 지능형 IPS(intrusion Detection System) 프레임워크를 제안한다.

• International Journal of Fuzzy Logic and Intelligent Systems
• /
• 제8권4호
• /
• pp.316-321
• /
• 2008

Advanced computer network technology enables computers to be connected in an open network environment. Despite the growing numbers of security threats to networks, most intrusion detection identifies security attacks mainly by detecting misuse using a set of rules based on past hacking patterns. This pattern matching has a high rate of false positives and can not detect new hacking patterns, which makes it vulnerable to previously unidentified attack patterns and variations in attack and increases false negatives. Intrusion detection and analysis technologies are thus required. This paper investigates the asymmetric costs of false errors to enhance the performances the detection systems. The proposed method utilizes the network model to consider the cost ratio of false errors. By comparing false positive errors with false negative errors, this scheme achieved better performance on the view point of both security and system performance objectives. The results of our empirical experiment show that the network model provides high accuracy in detection. In addition, the simulation results show that effectiveness of anomaly traffic detection is enhanced by considering the costs of false errors.