• 한국정보통신설비학회:학술대회논문집
• /
• 한국정보통신설비학회 2008년도 정보통신설비 학술대회
• /
• pp.364-367
• /
• 2008

Many different types of network equipments are deployed in a large-scale IP network. In this operating environment, network service providers suffer from difficulty in controlling various equipments simultaneously in case network faults happen in their overall or regional network due to physical link failure or abnormal traffic. This paper presents a policy-based methodology to control many different types of network equipments at the same time in abnormal cases. The key idea is that NMS(Network Management System) keeps vendor-neutral control policies in normal times and that when an abnormal case occurs in network, NMS transforms the selected policy into vendor-specific control commands and enforces them to various equipments simultaneously.

• 한국컴퓨터정보학회논문지
• /
• 제17권5호
• /
• pp.21-28
• /
• 2012

최근 들어, 네트워크 트래픽 공격에 대한 탐지 기술의 필요성이 꾸준히 증가되고 있는 실정이다. 본 논문에서는 네트워크 트래픽 데이터의 헤더파일에서 송신자의 IP와 포트, 그리고 수신자의 IP와 포트 정보를 2차원의 영상으로 시각화하고 분석하여 이상패턴을 효과적으로 분석하는 새로운 방법을 제안한다. 제안된 방법에서는 먼저 송신자와 수신자의 IP 정보를 받아들여 4개의 2차원 영상을 생성하고, 포트 정보를 받아들여 1개의 2차원 영상을 생성한다. 그런 다음, 각 영상 내의 트래픽 데이터를 분석하여 패턴의 주요 특징을 추출하는데, 트래픽의 공격을 나타내는 선형 패턴과 높은 명암값을 가지는 패턴을 추출하여 트래픽의 유형이 정상 트래픽, DDoS, 그리고 DoS인지를 자동으로 검출한다. 성능을 비교 분석하기 위한 실험에서는 제안된 네트워크 트래픽의 이상현상 검출 방법이 기존의 방법에 비해서 보다 우수하다는 것을 보여준다.

• 정보보호학회논문지
• /
• 제16권1호
• /
• pp.55-63
• /
• 2006

Nimda, Code Red, 그리고 SQL Slammer 등과 같은 웜에 의한 피해 사례가 증가하면서 이를 방어하기 위한 대응 기술 연구가 활발히 진행되고 있다. 본 논문에서는 웜에 의해 발생한 비정상 트래픽을 효과적으로 차단할 수 있는 네트워크 대역폭 조절 방식의 단계적 대응 시스템 설계 내용을 보이고, 기존 패턴 기반 비정상행위탐지 방식의 이원적(True/False) 대응 기법과 이론적으로 비교하고자 한다. 일정 시간동안 특정 네트워크를 통과하는 정상 트래픽 비율과 오탐지 트래픽 비율을 비교 기준으로 하여 두 기법을 이론적으로 비교한 결과, 임의의 시간 동안 전체 네트워크 트래픽에서 비정상 트래픽이 차지하는 비율을 $\beta$라고 할 경우, 이원적 대응 기법에 비하여 단계적 대응 기법의 평균 정상트래픽 비율은 (1+$\beta$)/2만큼 증가하고, 평균 오탐지 트래픽 비율은 (1+$\beta$)/2만큼 감소함을 알 수 있었다.

• Journal of the Korean Data and Information Science Society
• /
• 제16권4호
• /
• pp.979-987
• /
• 2005

In this research we study conventional and new statistical methods to analyse and detect outliers in network traffic and we apply the nonlinear time series model to make better performance of detecting abnormal traffic rather the linear time series model to compare the performances of the two models.

• 한국인공지능학회지
• /
• 제11권2호
• /
• pp.19-27
• /
• 2023

In recent times, an exponential increase in Internet traffic has been observed as a result of advancing development of the Internet of Things, mobile networks with sensors, and communication functions within various devices. Further, the COVID-19 pandemic has inevitably led to an explosion of social network traffic. Within this context, considerable attention has been drawn to research on network traffic analysis based on machine learning. In this paper, we design and develop a new machine learning framework for network traffic analysis whereby normal and abnormal traffic is distinguished from one another. To achieve this, we combine together well-known machine learning algorithms and network traffic analysis techniques. Using one of the most widely used datasets KDD CUP'99 in the Weka and Apache Spark environments, we compare and investigate results obtained from time series type analysis of various aspects including malicious codes, feature extraction, data formalization, network traffic measurement tool implementation. Experimental analysis showed that while both the logistic regression and the support vector machine algorithm were excellent for performance evaluation, among these, the logistic regression algorithm performs better. The quantitative analysis results of our proposed machine learning framework show that this approach is reliable and practical, and the performance of the proposed system and another paper is compared and analyzed. In addition, we determined that the framework developed in the Apache Spark environment exhibits a much faster processing speed in the Spark environment than in Weka as there are more datasets used to create and classify machine learning models.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2018년도 추계학술발표대회
• /
• pp.362-364
• /
• 2018

Predicting network traffic volume has become a popular topic recently due to its support in many situations such as detecting abnormal network activities and provisioning network services. Especially, predicting the volume of the next upcoming traffic from the series of observed recent traffic volume is an interesting and challenging problem. In past, various techniques are researched by using time series forecasting methods such as moving averaging and exponential smoothing. In this paper, we propose a long short-term memory neural network (LSTM) based network traffic volume prediction method. The proposed method employs the changing rate of observed traffic volume, the corresponding time window index, and a seasonality factor indicating the changing trend as input features, and predicts the upcoming network traffic. The experiment results with real datasets proves that our proposed method works better than other time series forecasting methods in predicting upcoming network traffic.

• 한국산업정보학회논문지
• /
• 제11권3호
• /
• pp.34-39
• /
• 2006

트래픽 패턴-맵(Pattern-Map)은 전체/세부 도메인별 보안 상황을 근원지/목적지 IP 주소 범위로 이루어진 그리드 상에 표현하여 관리자에게 네트워크 보안상황을 실시간으로 인지시키는 도구이다. 각각의 그리드는 근원지-목적지간의 연결을 의미하며, 최다 점유를 차지하는 트래픽의 포트를 식별력을 갖는 색으로 표현한다. 이상 트래픽 현상의 검출은 가로 및 세로 열에 나타난 동일 색의 막대그래프(포트)의 개수와 그것의 합에 따라 결정되며, 그 결과로 선택된 세로 열과 가로 열을 활성화시켜 관리자에게 그 현상을 인지시킨다. 일반적으로 인터넷 웜이 발생할 경우에는 특정 근원지 열이 활성화되고, DDoS와 같은 현상은 목적지 열이 활성화되는 특징이 있다

• 한국컴퓨터정보학회논문지
• /
• 제14권4호
• /
• pp.69-76
• /
• 2009

인터넷을 구성하는 IP 기반의 네트워크 구성은 다양한 회사의 라우터와 스위치 장비들로 구성되어 있다. 다양한 장비의 구성은 웜, 바이러스, DDoS 등과 같은 유해트래픽을 필터링하기 위하여 각 회사마다 서로 다른 형태의 문자 명령어 기반인 CLI가 주로 사용되고 있어 관리 및 제어의 복잡성이 높다. 이의 대안으로 IETF에서는 XML 기반으로 구성관리 표준을 NETCONF 작업 그룹에서 제정하고 있지만, NETCONF의 명령어 처리 단계에서 처리되는 명령어 몇 가지만 표준으로 정의되어 있고, 유해트래픽을 차단하기 위한 XML 명령어는 각 회사 장비마다 서로 다르게 되어 있으므로 이 기종 장치간의 일관된 제어 명령어 처리가 어렵다. 본 논문에서는 이 기종 장치의 일관된 제어 명령어를 통하여 네트워크로 유입되는 유해트래픽을 싱크홀 라우터로 우회시키고, 유입된 트래픽을 대상으로 유해성 여부를 판단하여 다양한 공격을 효과적으로 차단할 수 있는 제어시스템을 설계하여, 유해트래픽으로 부터 보호되고, 보다 안정된 네트워크 효율을 높일 수 있는 방법을 제안하였다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제8권4호
• /
• pp.1307-1323
• /
• 2014

With the exhaustion of global IPv4 addresses, IPv6 technologies have attracted increasing attentions, and have been deployed widely. Meanwhile, new applications running over IPv6 networks will change the traditional traffic characteristics obtained from IPv4 networks. Traditional models obtained from IPv4 cannot be used for IPv6 network monitoring directly and there is a need to investigate those changes. In this paper, we explore the flow features of IPv6 traffic and compare its difference with that of IPv4 traffic from flow level. Firstly, we analyze the differences of the general flow statistical characteristics and users' behavior between IPv4 and IPv6 networks. We find that there are more elephant flows in IPv6, which is critical for traffic engineering. Secondly, we find that there exist many one-way flows both in the IPv4 and IPv6 traffic, which are important information sources for abnormal behavior detection. Finally, in light of the challenges of analyzing massive data of large-scale network monitoring, we propose a group flow model which can greatly reduce the number of flows while capturing the primary traffic features, and perform a comparative measurement analysis of group users' behavior dynamic characteristics. We find there are less sharp changes caused by abnormity compared with IPv4, which shows there are less large-scale malicious activities in IPv6 currently. All the evaluation experiments are carried out based on the traffic traces collected from the Northwest Regional Center of CERNET (China Education and Research Network), and the results reveal the detailed flow characteristics of IPv6, which are useful for traffic management and anomaly detection in IPv6.

• International Journal of Computer Science & Network Security
• /
• 제21권7호
• /
• pp.159-168
• /
• 2021

Detecting cyber-attacks using machine learning or deep learning is being studied and applied widely in network intrusion detection systems. We noticed that the application of deep learning algorithms yielded many good results. However, because each deep learning model has different architecture and characteristics with certain advantages and disadvantages, so those deep learning models are only suitable for specific datasets or features. In this paper, in order to optimize the process of detecting cyber-attacks, we propose the idea of building a new deep learning network model based on the association and combination of individual deep learning models. In particular, based on the architecture of 2 deep learning models: Convolutional Neural Network (CNN) and Long Short Term Memory (LSTM), we combine them into a combined deep learning network for detecting cyber-attacks based on network traffic. The experimental results in Section IV.D have demonstrated that our proposal using the CNN-LSTM deep learning model for detecting cyber-attacks based on network traffic is completely correct because the results of this model are much better than some individual deep learning models on all measures.