훈련데이터의 속성 재배열 방법에 따른 CNN 기반의 IDS 성능 비교

박휘랑(Hweerang Park),조영호(Youngho Cho) 한국산학기술학회 2023 한국산학기술학회논문지 Vol.24 No.3

CNN(Convolutional Neural Networks)은 이미지의 특징을 추출하는 방법을 사용하여 이미지 분류에 좋은 성능을 보이는 딥러닝 모델이다. CNN은 사이버보안 분야의 IDS(Intrusion Detection System) 연구에서도 활발히 활용되고 있다. CNN 기반의 IDS(CNN IDS) 구축을 위해서는 문자열로 구성된 IDS 데이터를 이미지 형태로 변환하는 전처리 과정을 거쳐야 한다. 기존의 CNN IDS 연구들을 살펴보면 훈련데이터의 속성(Feature) 순서의 변경 없이 그대로 배치하여 훈련하는 방식만을 사용했으나, 다른 CNN 연구들을 살펴보면 전처리 과정에서 다양한 속성 재배열 방법을 사용하고 있다. 따라서, 본 연구에서는 CNN에서 활용되고 있는 다양한 속성 재배열 방법들을 CNN IDS의 훈련데이터에 적용하여 CNN IDS의 성능 변화에 대한 연구를 수행하였다. 실험결과, NSL-KDD 데이터세트에 랭크넷(Ranknet) 속성 재배열 방법을 적용했을 때 CNN IDS의 정확도가 기본 속성 배열 방식에 비해 최대 3.7%P의 성능이 향상됨을 확인하였고 이를 통해서 기본 배치 방식은 정확성 측면에서 최적이 아님을 확인하였다. CNN (Convolutional Neural Networks) is a deep learning model that performs well in image classification using a method of extracting features of images. CNN is used widely in IDS (Intrusion Detection System) research. The IDS dataset composed of strings must be converted into images in the preprocessing process to construct a CNN-based IDS (CNN IDS). According to the survey, existing CNN IDS studies do not change the order of the features of the training data, while in other CNN research fields, various feature rearrangement methods are used in the preprocessing process. Therefore, this study compared a CNN-IDS by applying multiple feature rearrangement methods to the training data of CNN IDS. According to the experimental results, when the RankNet feature rearrangement method is applied to the NSL-KDD dataset, the accuracy of CNN IDS was improved by up to 3.7%P compared to the basic feature arrange method. Therefore, the basic arrangement method in CNN IDS is not the best choice in terms of classification accuracy.

C4ISR 체계 IDS의 성능 향상 방안

최준성,국광호 한국사이버테러정보전학회 2012 융합보안 논문지 Vol.12 No.4

C4ISR 체계는 군사작전 지휘통제를 위한 중요 수단이다. 그러므로, 지휘통제체계의 마비를 위한 각종 변형된 사이버 테러 시도에 노출되기 쉽다. 일반적인 정보체계는 IDS와 방화벽을 주요 정보보호 수단으로 활용하고 있으며, C4ISR 체 계 역시 IDS와 방화벽을 주요 정보보호 수단으로 활용하고 있다. 그러나, IDS의 예상외의 행위패턴에 대한 잦은 오탐지 와 변형된 공격패턴에 대한 미탐지로 인해 C4ISR 체계에서의 IDS의 활용이 제한되고 있다. 이번 연구에서는 IDS 탐색 과정에서 변형 공격패턴이나 예상 외의 패턴을 자동 생성하는 IDS 구조를 제안한다. 제안하는 IDS 구조는 패턴의 생성 과 검증을 통해 오탐지 또는 미탐지를 감소시킴으로써, C4ISR 체계에서의 정보보호를 향상시킬 것을 기대한다.

GPT를 활용한 MQTT 기반 IDS 우회 방법

이소원,김병찬,최선오 한국정보기술학회 2024 한국정보기술학회논문지 Vol.22 No.12

사물인터넷(IoT)은 경량 프로토콜인 MQTT(Message Queuing Telemetry Transport)를 통해 기기 간의 원활한 통신을 지원하며, 효율성과 확장성 등의 장점으로 인해 다양한 분야에서 활용되고 있다. 그러나 IoT가 확산되며 네트워크 보안 문제도 야기되고 있으며, 특히 MQTT 트래픽의 경량성과 비표준화된 특성, 그리고 공격 기법의 지속적인 진화로 인해 기존 침입 탐지 시스템(IDS)은 이러한 트래픽을 효과적으로 탐지하는 데 한계를 드러내고 있다. 본 연구에서는 IDS의 탐지 성능을 향상시키는데 활용할 수 있도록 GPT(Generative Pre-trained Transformers) 같은 생성 인공지능(AI)를 활용하여 IDS 탐지를 회피할 수 있는 MQTT 데이터를 생성하는 방법을 제안한다. 전처리된 정상 MQTT 데이터를 기반으로 GPT 모델을 학습시켜 데이터를 생성하고, 악성 MQTT 데이터를 merge 함으로써 IDS 탐지를 우회할 수 있는 데이터를 생성하였다. 생성된 데이터는 IDS의 취약점을 분석하고, 탐지 성능 개선을 위한 학습 데이터 강화 및 모델 설계에 활용될 것을 기대한다. The Internet of Things(IoT) supports seamless communication between devices through the lightweight protocol Message Queuing Telemetry Transport(MQTT), which is widely applied across various fields due to its advantages in efficiency and scalability. However, the rapid expansion of IoT has raised significant network security concerns. In particular, the lightweight and non-standardized characteristics of MQTT traffic, coupled with the continuous evolution of attack techniques, have exposed the limitations of existing Intrusion Detection Systems(IDS) in effectively detecting such traffic. This study proposes a method for generating MQTT data capable of evading IDS detection by leveraging Generative AI, specifically Generative Pre-trained Transformers(GPT), to enhance IDS detection performance. By training a GPT model on preprocessed normal MQTT data, malicious MQTT data were merged and synthesized to create datasets capable of bypassing IDS detection. The generated data are expected to facilitate the analysis of IDS vulnerabilities and contribute to improving detection performance through the enhancement of training data and model design.

인동소염방(忍冬消炎方)이 만성 비세균성 전립선염 Rat 모델에서 혈액 및 세포조직의 변화에 미치는 영향

이종빈 ( Jong Bin Lee ),황석연 ( Seock Yeon Hwang ),조충식 ( Chung Sik Cho ) 대전대학교 한의학연구소 2011 혜화의학회지 Vol.20 No.1

Background: Although chronic non-bacterial prostatitis is increasing, it is hard to treat effectively. In western medicine, antimicrobials drug, α-adreno-ceptor antagonists, anti-inflammatory drugs, tricyclic antidepressants and anticholinergic agents are used commonly, but chronic prostatitis/chronic pelvic pain syndromes is confusing and frustrating for urologist. IDS(Indongsoyeom-bang) is used in treatment of chronic prostatitis/chronic pelvic pain syndromes. And it is reported that GLS(Gleditsiae spina) and TOF(Toosendan fructus) components of IDS have significant effect on protection of the glandular epithelial cells. Objective: In this study was conducted to investigate the therapeutic effects and action machanism of IDS in the rat model of non-bacterial prostatitis induced by castration and testosterone treatment. Methods: We observed six experimental objects of normal group, control group, testosterone group, and IDS 50㎎/㎏, 200㎎/㎏, 400㎎/㎏ group. Rats were treated with 17 β-estradiol after castration for induction of experimental non-bacterial prostatitis, which is similar to human chronic prostatitis in histophatological profiles. IDS and testosterone were administered as an experimental specimen and a positive control, respectively. The prostates were evaluated by histological parameters including the epithelial score and epithelio-stromal ratio for glandular damage. Also, the prostates were observed by Hematological alterations of WBC, RBC, hemoglobin and platelet. Results: While prostates of control rats revealed severe acinar gland atrophy and stromal proliferation, the rats treated with IDS-50 showed a diminished range of the tissue damage. Epithelial score was improved in IDS than that of the control. The epithelio-stromal ratio was lower in IDS when compared to that of the control. Also, the examination of bloods were not observed hematological change. Conclusion: These finding suggests that IDS may protects the glandular epithelial cells. We concluded that IDS could be a useful remedy agent for treating chronic non-bacterial prostatitis.

Signature-Based IDS의 PCRE 성능 개선 방안

한지용(Jiyong Han),이인복(Inbok Lee),한정희(Junghee han) 한국정보과학회 2013 정보과학회논문지 : 시스템 및 이론 Vol.40 No.2

최근 폭발적인 인터넷 사용의 증가와 맞물려 발생하는 보안 문제들에 대응하기 위한 시스템으로 Signature-Based 방식의 IDS가 각광받고 있다. 변형이 많고 고정 문자열로 표현될 수 없는 공격들을 탐지하기 위해 IDS에서는 Perl 호환 정규 표현식(PCRE) 엔진을 지원하고 있으나 속도가 느려 표본 문자열(Sample String) 등의 편법을 사용하고 있는 현실이다. 본 논문에서는 시그니쳐 기반 IDS의 PCRE 탐지 성능을 높이기 위한 방법으로 중복되는 PCRE를 가진 시그니쳐 규칙들의 병합과 PCRE를 가진 규칙의 Just-in-Time (JIT) 컴파일을 제안하고, 실험을 통하여 제안된 방법의 효율성을 검증하였다. Recently Signature-Based IDS is being spotlighted as a solution for security problems of arising explosive Internet use. For detecting the variant attacks which cannot be expressed as a static string like buffer overflow attack, IDS supports Perl Compatible Regular Expression (PCRE) engine. However, because of the relatively low speed of the PCRE engine, IDS uses sample string method as an expedient in reality. In this paper, we suggest PCRE rule merging and application of the PCRE JIT compilation to Signature-Based IDS, and verified the efficiency of proposed methods by simulation.

그레이홀 공격이 있는 MANET에서 IDS 성능 분석

김영동(Young Dong Kim) 한국전자통신학회 2016 한국전자통신학회 논문지 Vol.11 No.11

MANET 라우팅 기능에 혼란을 초래하여 네트워크 전송기능을 저하시키는 악성공격에 대한 대응수단으로 IDS가 사용된다. 본 논문에서는 전송패킷의 일부를 공격대상으로 하는 그레이홀 공격이 있는 MANET에서 IDS가 전송성능에 미치는 영향을 분석하고, 그레이홀 공격에 대한 효과적인 IDS 조건을 살펴본다. 성능분석은 NS-2를 기반으로 하는 컴퓨터 시뮬레이션을 사용하며, VoIP를 응용서비스로 하여 전송성능을 측정한다. 음성전송의 표준전송품질척도인 MOS, CCR, 종단간지연 등을 성능측정 및 분석 파라미터로 사용한다. IDS can be used as a countermeasure for malicious attacks which cause degrade of network transmission performance by disturbing of MANET routing function. In this paper, effects of IDS for transmission performance on MANET under grayhole attacks which has intrusion objects for a part of transmissions packets, some suggestion for effective IDS will be considered. Computer simulation based on NS-2 is used for performance analysis, performance is measured with VoIP(: Voice over Internet Protocol) as an application service. MOS(: Mean Opinion Score), CCR(: Call Connection Rate) and end-to-end delay is used for performance parameter as standard transmission quality factor for voice transmission.

Windows IM Driver의 HFP 필터를 통한 IDS 성능 향상

김성윤,김경식 제주대학교 공과대학 첨단기술연구소 2002 尖端技術硏究所論文集 Vol.13 No.2

This thesis propose a system that designed and implemented to overcome efficiently the bottleneck occurring in IDS(Intrusion Detection System). IDS must analyze all incoming packets to detect the signatures of intrusion. With a single packet to fail analyze, it may lose a critical clue of intrusion and fail to detect an intrusion. The proposed system is developed at the layer of IM(Intermediate) driver in MS(Microsoft) Windows. Most of packet capture modules used in IDS is developed in protocol driver layer. and then the proposed system is independent of various IDS. The proposed system can analyze all of packets existing in a fast ethernet network and filter HFP(Hacking-Free-Packet) completely. The performance of IDS using the proposed system is improved by increasing the amount of web traffic due to heavy network traffic.

기계학습 기반 IDS 보안이벤트 분류 모델의 정확도 및 신속도 향상을 위한 실용적 feature 추출 연구

신익수(Iksoo Shin),송중석(Jungsuk Song),최장원(Jangwon Choi),권태웅(Taewoong Kwon) 한국정보보호학회 2018 정보보호학회논문지 Vol.28 No.2

인터넷의 성장과 함께 각종 취약점을 악용한 사이버 공격들이 지속적으로 증가하고 있다. 이러한 행위를 탐지하기 위한 방안으로 침입탐지시스템(IDS; Intrusion Detection System)이 널리 사용되고 있지만, IDS에서 발생하는 많은 양의 오탐(정상통신을 공격행위로 잘못 탐지한 보안이벤트)은 여전히 해결되지 않은 문제로 남아있다. IDS 오탐 문제를 해결하기 위한 방법으로 기계학습 알고리즘을 통한 자동분류 연구가 진행되고 있지만 실제 현장 적용을 위해서는 정확도와 데이터 처리속도 향상을 위한 연구가 더 필요하다. 기계학습 기반 분류 모델은 다양한 요인에 의해서 그 성능이 결정된다. 최적의 feature를 선택하는 것은 모델의 분류 성능 및 정확성 향상에 크게 영향을 미치기 때문에 기계학습에서 매우 중요한 부분을 차지한다. 본 논문에서는 보안이벤트 분류 모델의 성능 향상을 위해 기존 연구에서 제안한 기본 feature에 추가로 10종의 신규 feature를 제안한다. 본 논문에서 제안하는 10종의 신규 feature는 실제 보안관제센터 전문 인력의 노하우를 기반으로 고안된 것으로, 모델의 분류 성능을 향상시킬 뿐만 아니라 단일 보안이벤트에서 직접 추출 가능하기 때문에 실시간 모델 구축도 가능하다. 본 논문에서는 실제 네트워크 환경에서 수집된 데이터를 기반으로 제안한 신규 feature들이 분류 모델 성능 향상에 미치는 영향을 검증하였으며, 그 결과, 신규 feature가 모델의 분류 정확도를 향상시키고 오탐지율을 낮춰주는 것을 확인할 수 있었다. With the development of Internet, cyber attack has become a major threat. To detect cyber attacks, intrusion detection system(IDS) has been widely deployed. But IDS has a critical weakness which is that it generates a large number of false alarms. One of the promising techniques that reduce the false alarms in real time is machine learning. However, there are problems that must be solved to use machine learning. So, many machine learning approaches have been applied to this field. But so far, researchers have not focused on features. Despite the features of IDS alerts are important for performance of model, the approach to feature is ignored. In this paper, we propose new feature set which can improve the performance of model and can be extracted from a single alarm. New features are motivated from security analyst’s know-how. We trained and tested the proposed model applied new feature set with real IDS alerts. Experimental results indicate the proposed model can achieve better accuracy and false positive rate than SVM model with ordinary features.

GOOSE 프로토콜 환경에서 Snort 기반의 침입 탐지 시스템 개발

김형동(Hyeong-Dong Kim),김기현(Ki-Hyun Kim),하재철(Jae-Cheol Ha) 한국정보보호학회 2013 정보보호학회논문지 Vol.23 No.6

디지털 변전 자동화 시스템의 국제 표준인 IEC 61850에서는 IED(Intelligent Electronic Device)간의 상호 통신을 위해 GOOSE(Generic Object Oriented Substation Event) 프로토콜을 사용하고 있다. 그러나 GOOSE 프로토콜은 TCP/IP 프로토콜과 유사하게 이더넷에 기반하여 운용되므로 다양한 형태의 보안 위협에 노출되어 있다. 따라서 본 논문에서는 소프트웨어 기반의 공개 침입 탐지 시스템(Intrusion Detection System)으로 사용되는 Snort를 이용하여 GOOSE 프로토콜에 대한 IDS를 개발하였다. 개발된 IDS에는 디코딩 과정과 전처리 과정을 통해 GOOSE 패킷에 대한 키워드 탐색 기능과 DoS 공격 탐지 기능이 구현되어 있다. 또한, GOOSE 네트워크 실험 환경을 구축하고 GOOSE 패킷 생성 및 송?수신 실험으로 통해 IDS 시스템이 정상적으로 동작함을 확인하였다. The GOOSE(Generic Object Oriented Substation Event) is used as a network protocol to communicate between IEDs(Intelligent Electronic Devices) in international standard IEC 61850 of substation automation system. Nevertheless, the GOOSE protocol is facing many similar threats used in TCP/IP protocol due to ethernet-based operation. In this paper, we develop a IDS(Intrusion Detection System) for secure GOOSE Protocol using open software-based IDS Snort. In this IDS, two security functions for keyword search and DoS attack detection are implemented through improvement of decoding and preprocessing component modules. And we also implement the GOOSE IDS and verify its accuracy using GOOSE packet generation and communication experiment.

유출트래픽 분석기반의 침입탐지시스템 설계 및 구현

신동진(Dong-Jin Shin),양해술(Hae-Sool Yang) 한국콘텐츠학회 2009 한국콘텐츠학회논문지 Vol.9 No.4

현재 일반화되어 있는 침입탐지 시스템의 경우 중요한 서버의 보안에 유용한 호스트기반 IDS는 합법적인 사용자의 불법행위를 모니터링 가능하고 운영체계와 밀접히 결합하여 보다 정교한 모니터링, 네트워크환경과 상관없이 사용가능하다는 장점이 있지만 비용의 증가와 침입탐지를 위한 처리에 해당 시스템 자원소모, 네트워크 기반의 공격에 취약하며 IDS오류 시 해당 호스트의 기능이 마비될 수 있다. 네트워크기반 IDS는 네트워크 엑세스 지점에만 설치하여 비용점감 및 네트워크 자원에 대한 오버헤드감소, 공격에 노출될 가능성이 낮으며 네트워크 환경에 관계없이 사용가능하지만 대용량의 트래픽 처리에 어려움과 제한된 탐지능력, 알려지지 않은 악성코드나 프로그램에 대처능력이 떨어지는 한계를 가지고 있다. 본 논문에서는 이러한 보안 솔루션들 중에서 개인용 방화벽을 활용하는 데스크톱 보안과 함께 적용하여 개인용 컴퓨터의 보안능력을 향상 시키는 유출 트래픽 분석기반 침입탐지시스템의 설계 및 구현을 목적으로 한다. 침입이 발생하고 새로운 패턴의 악성 프로그램이 정보의 유출을 시도하는 행위를 탐지하여 차단함으로써 컴퓨터나 네트워크의 심각한 손실을 감소시킬 수 있다. An increasing variety of malware, such as worms, spyware and adware, threatens both personal and business computing. Remotely controlled bot networks of compromised systems are growing quickly. This paper proposes an intrusion detection system based outflow traffic analysis. Many research efforts and commercial products have focused on preventing intrusion by filtering known exploits or unknown ones exploiting known vulnerabilities. Complementary to these solutions, the proposed IDS can detect intrusion of unknown new malware before their signatures are widely distributed. The proposed IDS is consists of a outflow detector, user monitor, process monitor and network monitor. To infer user intent, the proposed IDS correlates outbound connections with user-driven input at the process level under the assumption that user intent is implied by user-driven input. As a complement to existing prevention system, proposed IDS decreases the danger of information leak and protects computers and networks from more severe damage.