인터넷 이용자의 수와 접속된 호스트들의 수가 증가함에 따라 불법적인 침입과 악의적인 의도의 시스템 훼손 시도가 늘고 있으며, 단일 시스템을 대상으로 하는 공격에서 네트워크 인프라를 위협할 수 있는 대규모 공격 형태로 변화하고 있다. 이러한 불법적인 행동을 감 ...

인터넷 이용자의 수와 접속된 호스트들의 수가 증가함에 따라 불법적인 침입과 악의적인 의도의 시스템 훼손 시도가 늘고 있으며, 단일 시스템을 대상으로 하는 공격에서 네트워크 인프라를 위협할 수 있는 대규모 공격 형태로 변화하고 있다. 이러한 불법적인 행동을 감시하고 추가적인 피해의 확산을 막고자 하는 보안 요소 중의 하나가 바로 침입탐지시스템이다.
침입탐지시스템은 실시간적이고 지속적인 탐지, 새로운 침입 유형에 대한 지속적인 학습 능력, 결함 허용 관리 기능, 과탐지 감소 등의 중요 요구사항을 갖는다. 이러한 침입 탐지 시스템의 요구에 따라 현재 다양한 침입 탐지기법과 모델들에 대한 연구가 꾸준히 진행되고 있으나, 컴퓨터 시스템 및 네트워크의 복잡성, 대상 시스템의 취약성, 새로운 불법 침입 기법들의 개발 등으로 어떤 기법이나 모델도 완전하지 못한 실정이다.
특히, 정상적인 행위 정보를 기준으로 침입 여부를 결정하는 이상 탐지 기법은 알려지지 않은 새로운 침입을 탐지할 수 있다는 장점을 가지고 있지만, 정상 행위 정보의 불완전성으로 인하여 정상 행위 패턴을 침입으로 간주하는 과탐지(False Positive) 오류가 많다는 단점을 갖는다. 따라서 기존의 이상 탐지 시스템이 갖고 있는 과탐지 문제를 최소화하고, 침입탐지시스템이 요구하는 실시간적이고 지속적인 탐지, 결함 허용 관리 기능을 갖춘 이상 탐지 기술 개발이 필요하다.
본 논문에서는 인공 면역 시스템을 이용한 네트워크 기반의 적응적 이상 침입 탐지 기법을 제안하였다. 제안한 이상 침입 탐지 기법은 네트워크 패킷 데이터에 대해 정상 프로파일을 생성한 후, 인공 면역 시스템 기법을 적용하여 탐지 패턴을 생성하고 이상 행위를 탐지한다. 탐지 패턴은 탐지 과정에서 지속적으로 자동 갱신되어, 새로운 행위에 대해서도 탐지가 가능하며 같은 침입에 대해서는 더욱 빠르게 탐지한다.
제안한 이상 침입 탐지 시스템은 MS-SQL 2005, Micro SOft Visual Studio 2005를 사용하여 구현하였으며, KDD CUP 99 데이터셋에 적용하여 시뮬레이션을 수행하였다. 이상 탐지 기법으로 사용되고 있는 다른 기법들과의 비교 분석을 통하여 성능을 검증하였으며 실험 결과 기존 알고리즘에 비하여 과탐지가 감소되고 데이터베이스 갱신시 탐색 시간이 감소함을 확인할 수 있었다.

연구결과 :

제안한 시스템은 KDD CUP 99 데이터 셋의 네트워크 훈련 데이터와 테스트 데이터를 사용하여 시뮬레이션을 수행하고, 기존 알고리즘과의 비교를 통하여 성능을 평가하였다. 다양한 파라미터의 설정과 반복된 실험 과정을 통하여, 기존에 사용되는 단일 레벨 ...

연구결과 :

제안한 시스템은 KDD CUP 99 데이터 셋의 네트워크 훈련 데이터와 테스트 데이터를 사용하여 시뮬레이션을 수행하고, 기존 알고리즘과의 비교를 통하여 성능을 평가하였다. 다양한 파라미터의 설정과 반복된 실험 과정을 통하여, 기존에 사용되는 단일 레벨 알고리즘에 비하여, 제시한 다중 레벨 탐지 알고리즘이 과탐지를 감소할 수 있음을 보였다.
현재 이루어지는 모든 침입 패턴을 알 수 없을 뿐만 아니라 새로운 변종 공격들이 생성되고 있기 때문에, 제안한 이상 탐지 시스템에서도 완벽하게 과탐지를 제거할 수는 없으며, 완전한 정상 행위 및 침입 패턴 구축을 통한 완전한 침입 탐지 시스템 구축은 매우 어려운 문제이다. 또한 연관 규칙 마이닝을 이용한 프로파일 생성시 최소 지지도와 최소 신뢰도의 임계값에 따라 탐지 결과가 달라질 수 있으며 각각의 탐지자에 대한 한계값 및 파라미터의 값에 많은 영향을 받음을 알 수 있다. 따라서, 추후 다양한 네트워크 환경에서의 패킷 데이터군에 대한 실험과 다양한 한계값의 설정에 따른 실험을 지속적으로 수행하고 알고리즘을 최적화하여 탐지 시간을 줄이고, 효율적이고 신뢰성있는 이상 탐지에 대한 연구가 진행되어야 할 것이다.

활용방안 및 추후 연구방향 :

제안한 시스템은 단일 네트워크에서 발생하는 패킷에 대한 이상 탐지를 위한 방법으로 수행되었으나, 각각의 침입 탐지 시스템들이 탐지 패턴의 동적인 공유를 통하여 침입에 대한 면역력을 향상시킬 수 있도록 분산 IDS 환경에 접목시켜 침입 탐지의 성능을 향상시킬 수 있을 것으로 기대된다.
추후 연구 방향은 제안된 적응적 이상 탐지 기술을 분산 IDS에 접목하고, 침입 방지 시스템과 연계할 수 있는 방안에 대해 연구하고자 한다.