근 실시간 조건을 달성하기 위한 효과적 속성 선택 기법 기반의 고성능 하이브리드 침입 탐지 시스템

이우솔 ( Woosol Lee ),오상윤 ( Sangyoon Oh ) 한국정보처리학회 2016 정보처리학회논문지. 컴퓨터 및 통신시스템 Vol.5 No.12

최근 국가 기반 시스템, 국방 및 안보 시스템 등에 대한 사이버 공격의 피해 규모가 점차 커지고 있으며, 군에서도 사이버전에 대한 중요성을 인식하고 전·평시 구분 없이 대비하고 있다. 이에 네트워크 보안에서 탐지와 대응에 핵심적인 역할을 하는 침입 탐지 시스템의 중요성이 증대되고 있다. 침입 탐지 시스템은 탐지 방법에 따라 오용 탐지, 이상 탐지 방식으로 나뉘는데, 근래에는 두 가지 방식을 혼합 적용한 하이브리드 침입 탐지 방식에 대한 연구가 진행 중이다. 그렇지만 기존 연구들은 높은 계산량이 요구된다는 점에서 근 실시간 네트워크 환경에 부적합하다는 문제점이 있었다. 본 논문에서는 기존의 하이브리드 침입 탐지 시스템의 성능 문제를 보완할 수 있는 효과적인 속성 선택 기법을 적용한 의사 결정 트리와 가중 K-평균 알고리즘 기반의 고성능 하이브리드 침입 탐지 시스템을 제안하였다. 상호 정보량과 유전자 알고리즘 기반의 속성 선택 기법을 적용하여 침입을 더 빠르고 효율적으로 탐지할 수 있으며, 오용 탐지 모델과 이상 탐지 모델을 위계적으로 결합하여 구조적으로 고도화된 하이브리드 침입 탐지 시스템을 제안하였다. 실험을 통해 제안한 하이브리드 침입 탐지 시스템은 98.68%로 높은 탐지율을 보장함과 동시에, 속성 선택 기법을 적용하여 고성능 침입 탐지를 수행할 수 있음을 검증하였다. Recently, the damage of cyber attack toward infra-system, national defence and security system is gradually increasing. In this situation, military recognizes the importance of cyber warfare, and they establish a cyber system in preparation, regardless of the existence of threaten. Thus, the study of Intrusion Detection System(IDS) that plays an important role in network defence system is required. IDS is divided into misuse and anomaly detection methods. Recent studies attempt to combine those two methods to maximize advantagesand to minimize disadvantages both of misuse and anomaly. The combination is called Hybrid IDS. Previous studies would not be inappropriate for near real-time network environments because they have computational complexity problems. It leads to the need of the study considering the structure of IDS that have high detection rate and low computational cost. In this paper, we proposed a Hybrid IDS which combines C4.5 decision tree(misuse detection method) and Weighted K-means algorithm (anomaly detection method) hierarchically. It can detect malicious network packets effectively with low complexity by applying mutual information and genetic algorithm based efficient feature selection technique. Also we construct upgraded the the hierarchical structure of IDS reusing feature weights in anomaly detection section. It is validated that proposed Hybrid IDS ensures high detection accuracy (98.68%) and performance at experiment section.

Few-Shot Learning을 사용한 호스트 기반 침입 탐지 모델

박대경 ( Park Daekyeong ),신동일 ( Shin Dongil ),신동규 ( Shin Dongkyoo ),김상수 ( Kim Sangsoo ) 한국정보처리학회 2021 정보처리학회논문지. 소프트웨어 및 데이터 공학 Vol.10 No.7

현재 사이버 공격이 더욱 지능화됨에 따라 기존의 침입 탐지 시스템(Intrusion Detection System)은 저장된 패턴에서 벗어난 지능형 공격을 탐지하기 어렵다. 이를 해결하려는 방법으로, 데이터 학습을 통해 지능형 공격의 패턴을 분석하는 딥러닝(Deep Learning) 기반의 침입 탐지 시스템 모델이 등장했다. 침입 탐지 시스템은 설치 위치에 따라 호스트 기반과 네트워크 기반으로 구분된다. 호스트 기반 침입 탐지 시스템은 네트워크 기반 침입 탐지 시스템과 달리 시스템 내부와 외부를 전체적으로 관찰해야 하는 단점이 있다. 하지만 네트워크 기반 침입 탐지 시스템에서 탐지할 수 없는 침입을 탐지할 수 있는 장점이 있다. 따라서, 본 연구에서는 호스트 기반의 침입 탐지 시스템에 관한 연구를 수행했다. 호스트 기반의 침입 탐지 시스템 모델의 성능을 평가하고 개선하기 위해서 2018년에 공개된 호스트 기반 LID-DS(Leipzig Intrusion Detection-Data Set)를 사용했다. 해당 데이터 세트를 통한 모델의 성능 평가에 있어서 각 데이터에 대한 유사성을 확인하여 정상 데이터인지 비정상 데이터인지 식별하기 위해 1차원 벡터 데이터를 3차원 이미지 데이터로 변환하여 재구성했다. 또한, 딥러닝 모델은 새로운 사이버 공격 방법이 발견될 때마다 학습을 다시해야 한다는 단점이 있다. 즉, 데이터의 양이 많을수록 학습하는 시간이 오래 걸리기 때문에 효율적이지 못하다. 이를 해결하기 위해 본 논문에서는 적은 양의 데이터를 학습하여 우수한 성능을 보이는 Few-Shot Learning 기법을 사용하기 위해 Siamese-CNN(Siamese Convolutional Neural Network)을 제안한다. Siamese-CNN은 이미지로 변환한 각 사이버 공격의 샘플에 대한 유사성 점수에 의해 같은 유형의 공격인지 아닌지 판단한다. 정확성은 Few-Shot Learning 기법을 사용하여 정확성을 계산했으며, Siamese-CNN의 성능을 확인하기 위해 Vanilla-CNN(Vanilla Convolutional Neural Network)과 Siamese-CNN의 성능을 비교했다. Accuracy, Precision, Recall 및 F1-Score 지표를 측정한 결과, Vanilla-CNN 모델보다 본 연구에서 제안한 Siamese-CNN 모델의 Recall이 약 6% 증가한 것을 확인했다. As the current cyber attacks become more intelligent, the existing Intrusion Detection System is difficult for detecting intelligent attacks that deviate from the existing stored patterns. In an attempt to solve this, a model of a deep learning-based intrusion detection system that analyzes the pattern of intelligent attacks through data learning has emerged. Intrusion detection systems are divided into host-based and network-based depending on the installation location. Unlike network-based intrusion detection systems, host-based intrusion detection systems have the disadvantage of having to observe the inside and outside of the system as a whole. However, it has the advantage of being able to detect intrusions that cannot be detected by a network-based intrusion detection system. Therefore, in this study, we conducted a study on a host-based intrusion detection system. In order to evaluate and improve the performance of the host-based intrusion detection system model, we used the host-based Leipzig Intrusion Detection-Data Set (LID-DS) published in 2018. In the performance evaluation of the model using that data set, in order to confirm the similarity of each data and reconstructed to identify whether it is normal data or abnormal data, 1D vector data is converted to 3D image data. Also, the deep learning model has the drawback of having to re-learn every time a new cyber attack method is seen. In other words, it is not efficient because it takes a long time to learn a large amount of data. To solve this problem, this paper proposes the Siamese Convolutional Neural Network (Siamese-CNN) to use the Few-Shot Learning method that shows excellent performance by learning the little amount of data. Siamese-CNN determines whether the attacks are of the same type by the similarity score of each sample of cyber attacks converted into images. The accuracy was calculated using Few-Shot Learning technique, and the performance of Vanilla Convolutional Neural Network (Vanilla-CNN) and Siamese-CNN was compared to confirm the performance of Siamese-CNN. As a result of measuring Accuracy, Precision, Recall and F1-Score index, it was confirmed that the recall of the Siamese-CNN model proposed in this study was increased by about 6% from the Vanilla-CNN model.

인간의 면역체계 시스템을 적용한 침입 탐지자 생성 모델

신미예,최신형,이상호 중소기업정보기술융합학회 2012 융합정보논문지 Vol.2 No.2

본 논문에서는 침입탐지 방법 중 오용탐지모델에서 오용탐지율을 향상시키기 위하여 인간의 면역 시스템을 적용한 탐지자 생성 모델을 제안 한다. DARPA에서 제공된 sendmail 데이터에 대하여 10CV 방법을 이용하였다. 정상 적인 시스템 호출을 비정상적인 시스템 호출로 판단하거나 비정상 시스템 호출을 정상적인 시스템 호출로 판단하는 오용 탐지율을 실험하고 분석하였다. 실험에서 임의의 비정상적인 시스템 호출만으로 생성된 탐지자와 임시 탐지자 중에서 정상적인 시스템 호출을 ‘비정상’이라고 판단하거나 비정상적인 시스템 호출을 ‘정상’이라고 판단하는 임시 탐지자를 제거한 탐지자를 생성하여 실험하였다. 실험에서 임의의 비정상 시스템 호출만을 탐지자로 선택한 오용 탐지율보다 면역 시스템을 적용한 탐지자의 오용 탐지율이 0.3% 향상되었다.

MongoDB 기반의 분산 침입탐지시스템 성능 평가

한효준,김혁호,김양우 한국정보처리학회 2019 정보처리학회논문지. 컴퓨터 및 통신시스템 Vol.8 No.12

Due to the development and increased usage of Internet services such as IoT and cloud computing, a large number of packets are being generated on the Internet. In order to create a safe Internet environment, malicious data that may exist among these packets must be processed and detected quickly. In this paper, we apply MongoDB, which is specialized for unstructured data analysis and big data processing, to intrusion detection system for rapid processing of big data security events. In addition, building the intrusion detection system(IDS) using some of the private cloud resources which is the target of protection, elastic and dynamic reconfiguration of the IDS is made possible as the number of security events increase or decrease. In order to evaluate the performance of MongoDB – based IDS proposed in this paper, we constructed prototype systems of IDS based on MongoDB as well as existing relational database, and compared their performance. Moreover, the number of virtual machine has been increased to find out the performance change as the IDS is distributed. As a result, it is shown that the performance is improved as the number of virtual machine is increased to make IDS distributed in MongoDB environment but keeping the overall system performance unchanged. The security event input rate based on distributed MongoDB was faster as much as 60%, and distributed MongoDB-based intrusion detection rate was faster up to 100% comparing to the IDS based on relational database. IoT, 클라우드 컴퓨팅과 같은 인터넷 서비스의 발전과 사용량의 증가로 인해 수많은 패킷들이 인터넷상에서 빠르게 생성되고 있다. 안전한 인터넷 사용 환경을 만들기 위해서는 이 수많은 패킷 중에 존재할 수 있는 악성 데이터의 빠른 처리가 이뤄져야 한다. 본 논문에서는 빅데이터 보안 이벤트의 신속한 처리를 위해 비정형 데이터 분석과 빅데이터 처리에 특화된 MongoDB를 침입탐지시스템에 적용하였다. 또한 보호 대상인 사설 클라우드의 일부 자원을 이용하여 침입탐지시스템을 구축함으로써 증가 또는 감소하는 보안 이벤트 수에 따라 탄력적으로 컴퓨팅 자원 재구성이 가능하도록 하였다. 본 논문에서 제안하는 MongoDB 기반 침입탐지시스템의 성능을 평가하기 위하여 MongoDB 기반의 침입탐지시스템과 기존의 관계형 데이터베이스를 기반으로 한 침입탐지시스템의 프로토타입을 구축하고 성능을 비교하였다. 또한 분산화 구성에 따른 성능 변화를 확인하기 위하여 가상머신의 수를 변경하며 성능 변화를 확인하였다. 그 결과 전체적으로 MongoDB 환경에서 동일한 성능의 시스템을 분산화시켜 가상 머신의 수를 증가시킬수록 침입탐지시스템의 성능이 향상되는 것을 확인하였다. 분산 MongoDB 기반의 보안 이벤트 저장 속도가 관계형 데이터베이스 기반에 비해 최대 60%, 그리고 분산 MongoDB 기반의 침입 데이터 탐지 속도가 관계형 데이터베이스 기반에 비해 최대 100% 빠른 결과를 얻었다.

학습을 통한 탐지 모델 생성 시스템

김선영,오창석 한국콘텐츠학회 2003 한국콘텐츠학회논문지 Vol.3 No.1

본 논문에서는 탐지 모델을 자동 생성하여 인력, 시간에서의 효율성과 오탐율을 향상시키는 학습을 통한 탐지 모델 생성 시스템을 제안한다. 제안된 탐지 모델 생성 시스템은 agent 시스템과 manager 시스템으로 구성되고 agent 시스템은 탐지 모델 데이터베이스를 기반으로 센서의 역활을 수행하고 manager 시스템에서는 탐지 모델 생성과 모델 분산의 역할을 수행한다. 모델 생성은 유전적 알고리즘에 의해 기존의 정형화된 포맷의 탐지 모델을 학습시켜 모델을 생성하고 새로운 탐지 모델로 적용할 수 있다. 실험 결과에 따라 제안된 데이터 마이닝 기반의 탐지 모델 생성 시스템은 기존의 침입 탐지 시스템보다 효율적으로 침입을 탐지하였다. 구현된 시스템으로 인하여 새로운 유형의 침입 시 탐지 모델 생성과, False-Positive율의 감소를 가져와 기존 침입 탐지 시스템의 성능을 개선하여 탐지모델 생성 시스템을 제안한다. In this paper, We propose detection mood generation system using learning to generate automatically detection model. It is improved manpower, efficiency in time. Proposed detection model generator system is consisted of agent system and manager system. Model generation can do existing standardization by genetic algorithm because do model generation and apply by new detection model. according to experiment results, detection model generation using learning proposed sees more efficiently than existing intrusion detection system. When intrusion of new type occur by implemented system and decrease of the False-Positive rate, improve performance of existing intrusion detection system.

비대칭 오류 비용을 고려한 SVM 기반 지능형 침입탐지모형 개발

이현욱,안현철 한국지능정보시스템학회 2011 한국지능정보시스템학회 학술대회논문집 Vol.2011 No.5

최근 인터넷 사용의 증가에 따라 네트워크에 연결된 시스템에 대한 악의적인 해킹과 침입이 빈번하게 발생하고 있으며, 각종 시스템을 운영하는 정부기관, 관공서, 기업 등에서는 이러한 해킹 및 침입에 의해 치명적인 타격을 입을 수 있는 상황에 놓여 있다. 이에 따라 인가되지 않았거나 비정상적인 활동들을 탐지, 식별하여 적절하게 대응하는 침입탐지 시스템에 대한 관심과 수요가 높아지고 있으며, 침입탐지시스템의 예측성능을 개선하려는 연구 또한 활발하게 이루어지고 있다. 본 연구 역시 침입탐지시스템의 예측성능을 개선하기 위한 새로운 지능형 침입탐지모형을 제안한다. 본 연구의 제안모형은 비교적 높은 예측력을 나타내면서 동시에 일반화 능력이 우수한 것으로 알려진 Support Vector Machine(SVM)을 기반으로, 비대칭 오류비용을 함께 고려하여 침입을 효과적으로 차단할 수 있도록 설계되었다. 제안모형의 우수성을 확인하기 위해, 기존 기법인 로지스틱 회귀분석, 의사결정나무, 인공신경망과의 결과를 비교하였으며 그 결과 제안하는 SVM 모형이 다른 기법에 비해 상대적으로 우수한 성과를 보임을 확인할 수 있었다.

분산 환경에서의 침입방지를 위한 통합보안 관리 시스템 설계

이창우(Chang-Woo Lee),김석훈(Seok-Hun Kim),송정길(Jung-Gil Song) 한국컴퓨터정보학회 2006 韓國컴퓨터情報學會論文誌 Vol.11 No.2

인터넷의 사용자 증가와 네트워크 환경이 점점 복잡해지고 제공되는 서비스 및 사용자의 요구사항들이 다양해짐에 따라 안정적이고 효과적인 환경을 유지하기 위한 서비스 운용관리는 점점 어려워지고 있다. 또한 초창기 보안은 침입차단시스템에 국한되었지만, 최근에는 침입탐지시스템(IDS), 침입차단시스템(Firewall), 시스템 보안, 인증 등 관련 솔루션이 대거 등장함에 따라 통합 관리가 중요시되어 지고 있다. 따라서 대규모 네트워크 환경에서 다양한 형태의 침입을 탐지하기 위해서는 호스트 혹은 네트워크 기반에서의 감시 및 탐지, 침입 여부에 대한 판정과 더불어, 각 시스템이 제공하는 침입 정보의 통합 분석을 통하여 광범위한 분석을 가능하게 하는 통합 보안 관리 시스템의 개발이 필요하다. . 따라서, 본 논문에서는 보안 시스템간의 통합보안 관리를 위하여 각 시스템 사이에 침입 정보를 교환하고 정보 전송을 제어할 수 있는 통합 보안 관리 시스템을 제안하고자 한다. The service use management for keeping up stable and effective environment is hard little by little by according to increase of internet user and being complicated network environment of the Internet little by little, being various of the requirements of the service which is provided and the user demand. And the beginning flag security was limited in IDS, But recently the integrated civil management is coming to be considered seriously according to adventting IDS, Firewall, Security of system. The development of integrated security civil management system to analyze widely through observation and detection at Network or host base, the judgment of attack, and integrated analysis of infiltration information is necessary because of detecting the various type attack.

혼합형 침입 탐지 시스템에서 데이터 및 정책 전달 통신 모델과 성능 평가

장정숙,전용희,장종수,손승원,Jang, Jung-Sook,Jeon, Yong-Hee,Jang, Jong-Soo,Sohn, Seung-Won 한국정보처리학회 2003 정보처리학회논문지 C : 정보통신,정보보안 Vol.10 No.6

Much research efforts are being exerted for the study of intrusion detection system(IDS). However little work has been for the communication medels and performance eveluation of the IDS. Here we present a communication framework for doing hybrid intrusion detection in which agents are used for local intrusion detections with a centralized data anaysis componenta for a global intrusion detection at multiple domains environment. We also assume the combination of host-based and network-based intrusion detection systems in the oberall framework. From the local domain, a set of information such as alert, and / or log data are reported to the upper level. At the root of the hierarchy, there is a global manager where data coalescing is performed. The global manager delivers a security policy to its lower levels as the result of aggregation and correlation of intrusion detection alerts. In this paper, we model the communication mechanisms for the hybrid IDS and develop a simular using OPNET modeller for the performance evaluation of transmission capabillities for the delivery of data and policy. We present and compare simulation results based on several scenarios focuding on communication delay. 침입 탐지 시스템에 대하여 많은 연구 노력들이 진행되고 있다. 그러나 침입 탐지 시스템의 모델과 성능 평가에 대한 작업은 거의 찾아 볼 수 없다. 본 논문에서는 지역적인 침입 탐지를 위한 에이전트들과 전역적인 침입 탐지를 위한 집중 데이터 분석 컴포넌트를 가지고 있는 다중 도메인 환경에서 혼합 침입 탐지를 위한 통신 프레임워크를 제안한다. 또한 전체적인 프레임워크에서 호스트 기반과 네트워크 기반 침입 탐지 시스템의 결합을 가정한다. 지역 도메인에서 경보와 로그 데이터 같은 정보 집합은 상위 레벨로 보고 된다. 계위의 루트에는 데이터 합동을 수행하는 전역 매니저가 있다. 전역 매니저는 침입 탐지 경보의 집합과 상호관련의 결과로 보안 정책을 하위 레벨로 전달하게 된다. 본 논문에서는 혼합 침입 탐지 시스템을 위한 통심 메커니즘을 모델링하고 데이터 및 정책 전달을 위한 전송 능력의 성능 평가를 위하여 OPNET 모델러를 이용한 시뮬레이터를 개발한다. 여러 가지 시나리오에 기반하여 통신 지연에 초점을 두고 모의실험 결과를 제시하고 비교한다.

IDS의 성능 향상을 위한 패킷 폐기 방안

문종욱,김종수,정기현,임강빈,주민규,최경희,Moon, Jong-Wook,Kim, Jong-Su,Jung, Gi-Hyun,Yim, Kang-Bin,Joo, Min-Kyu,ChoI, Kyung-Hee 한국정보처리학회 2002 정보처리학회논문지 C : 정보통신,정보보안 Vol.9 No.4

침입탐지시스템에 대해 많은 연구가 이루어지고 있지만 이들 연구는 침입탐지시스템내의 탐지 소프트웨어의 알고리즘에만 국한되어 있다. 하지만, 침입탐지시스템의 탐지 알고리즘이 우수하더라도 침입에 해당하는 단서인 패킷을 손실하게 되면 해당 침입을 탐지해내지 못하게 된다. 본 논문에서는 침입 탐지 시스템의 하드웨어적인 한계와 탐지 소프트웨어의 거대화에 따른 시스템 부하로 인해서 자연히 발생하게 되는 패킷 손실을 줄이기 위해서 탐지 시스템에 불필요한 패킷으로 분류될 수 있는 패킷을 미리 폐기함으로써 얻을 수 있는 탐지 시스템의 성능 향상을 다룬다. 실험 결과에 따르면 제안한 방법에 의해서 패킷 손실인 줄어들어 실제 공격에 대한 탐지율이 개선되었다. Although many researches on IDS (Intrusion Detection System) have been performed, the most of them are limited to the algorithm of detection software. However, even an IDS with superior algorithm can not detect intrusion, if it loses packets which nay have a clue of intrusions. In this paper, we suggest an efficient wav to improve the performance of IDS by reducing packet losses occurred due to hardware limitation and abundant processing overhead introduced by massive detection software itself. The reduction in packet losses is achieved by dropping hacking-free packets. The result shows that this decrease of packet losses leads an IDS to improve the detection rate of real attack.

센서 기반 침입 탐지 시스템의 설계와 구현

최종무,조성제,Choi, Jong-Moo,Cho, Seong-Je 한국정보처리학회 2005 정보처리학회논문지 C : 정보통신,정보보안 Vol.12 No.6

The information stored in the computer system needs to be protected from unauthorized access, malicious destruction or alteration and accidental inconsistency. In this paper, we propose an intrusion detection system based on sensor concept for defecting and preventing malicious attacks We use software sensor objects which consist of sensor file for each important directory and sensor data for each secret file. Every sensor object is a sort of trap against the attack and it's touch tan be considered as an intrusion. The proposed system is a new challenge of setting up traps against most interception threats that try to copy or read illicitly programs or data. We have implemented the proposed system on the Linux operating system using loadable kernel module technique. The proposed system combines host~based detection approach and network-based one to achieve reasonably complete coverage, which makes it possible to detect unknown interception threats. 컴퓨터 시스템에 저장된 정보는 불법적인 접근, 악의적인 파괴 및 변경, 우연적인 불일치 등으로부터 보호되어야 한다. 본 논문에서는 이러한 공격을 탐지하고 방어할 수 있는 센서기반 침입탐지시스템을 제안한다. 제안된 시스템은 각 중요 디렉터리에 센서 파일을 각 중요 파일에 센서 데이터를 설치한다. 이들 센서 객체는 일종의 덫으로서, 센서 객체에 대한 접근은 침입이라고 간주된다. 이를 통해 불법적으로 정보를 복사하거나 빼내 가려는 가로채기 위협을 효과적으로 방어할 수 있다. 제안된 시스템은 리눅스 시스템 상에서 적재 가능한 커널 모듈(LKM: Loadable Kernel Module) 방식을 사용하여 구현되었다. 본 시스템은 폭 넓은 침입탐지를 위해 호스트 기반의 탐지 기법과 네트워크 기반의 탐지 기법을 서로 결합함으로써 잘 알려지지 않은 가로재기 공격도 탐지 가능하게 하였다.