IT 기술의 발달로 컴퓨터와 인터넷에 대한 의존도가 높아지고 있다. 컴퓨터와 인터넷의 사용량이 증가함에 따라 사이버공격 또한 증가하는 추세이다. 보안관제에서는 하루에도 수백 수천만 건의 공격으로 의심되는 이벤트가 발생한다. 이는 보안관제사가 분석하기에는 너무나 많은 양이다. 하지만 더 큰 문제는 공격으로 의심되는 이벤트가 대부분은 실제 공격이 아닌 오탐이라는 사실이다. 보안관제사는 공격 이벤트를 분석해야 하지만 IDPS(Intrusion Detection and Prevention System)에서 발생하는 오탐이벤트가 보안관제사들에게 ...
IT 기술의 발달로 컴퓨터와 인터넷에 대한 의존도가 높아지고 있다. 컴퓨터와 인터넷의 사용량이 증가함에 따라 사이버공격 또한 증가하는 추세이다. 보안관제에서는 하루에도 수백 수천만 건의 공격으로 의심되는 이벤트가 발생한다. 이는 보안관제사가 분석하기에는 너무나 많은 양이다. 하지만 더 큰 문제는 공격으로 의심되는 이벤트가 대부분은 실제 공격이 아닌 오탐이라는 사실이다. 보안관제사는 공격 이벤트를 분석해야 하지만 IDPS(Intrusion Detection and Prevention System)에서 발생하는 오탐이벤트가 보안관제사들에게 알람 피로 (Alert Fatigue) 현상을 유발한다. 이를 해결하기 위해 보안관제사들은 간단한 규칙 기반으로 오탐이 많이 발생하는 이벤트의 알람을 무시하는 방법을 도입한다. 하지만 이 방법은 실제 공격 이벤트들도 자동으로 무시할 수 있게 만드는 치명적 단점을 갖는다. 본 논문에서는 이러한 문제점을 해결하기 위해 인공지능과 빅데이터 시대에 걸맞게 머신러닝과 딥러닝을 도입하여 보안관제에서 겪는 문제를 해결한다.
최근 논문에서는 IDPS에서 탐지된 이벤트가 실제 공격인지를 판별하는 딥러닝 모델이 제안되었으며, 하루에 수백 수천만 건이 발생하는 보안관제 빅데이터를 자동으로 분석 할 수 있는 가능성을 보여주었다. 하지만 인공지능을 도입한 후 여러 가지 새로운 문제점이 발생하였다. 첫째, 지도학습방식 경우 학습데이터의 라벨이 필수적으로 필요하다. 하지만 빅데이터를 라벨링하는 과정은 많은 시간과 비용을 발생시킨다. 둘째, 기존 논문에서 제안된 모델들은 높은 정확도를 보여주지만 모델이 예측한 결과가 과연 신뢰성이 있는지에 대한 의구심이 제기되고 있다. 본 논문은 이러한 문제를 해결하고자 두 가지 새로운 기술을 제안한다. 첫째, 보안관제 이벤트의 컨텐츠를 기반으로 클러스터링을 수행하여 오탐이 많이 발생하는 이벤트를 안전하게 제거할 수 있는 기술을 제안한다. 둘째, 모델의 신뢰성 향상을 위해 예측값 신뢰구간 적용 방식과 학습데이터 클러스터링 기반의 신뢰성 추정 방식을 제안한다. 두 방식은 이진분류기 모델이 예측한 결과에 자신 없어 하는 경우를 탐지하여 해당 이벤트는 예측불가로 처리하여 모델에게 예측을 맡기지 않는다. 따라서, 모델이 틀릴 확률이 높은 이벤트를 먼저 식별하여 미탐 발생을 줄일 수 있다.
본 논문에서 제안하는 기술들을 검증하기 위해서 국내 보안관제센터에서 장기간 수집된 몇백만 건 이상의 침입탐지 이벤트 데이터를 사용하여 실험을 진행했다. 제안된 기술을 적용하면 규칙 기반 오탐 제거보다 f1-스코어가 48% 향상된 것을 확인할 수 있었으며, 기존 이진분류모델 보다 f1-스코어가 150% 향상된 것을 볼 수 있었다. 제안 기술은 라벨링에 엄청난 소모를 하지 않을 수 있다는 점에서 국내외 많은 보안관제센터에 실무적 도움이 될 것으로 기대된다.
IT 기술의 발달로 컴퓨터와 인터넷에 대한 의존도가 높아지고 있다. 컴퓨터와 인터넷의 사용량이 증가함에 따라 사이버공격 또한 증가하는 추세이다. 보안관제에서는 하루에도 수백 수천만 건의 공격으로 의심되는 이벤트가 발생한다. 이는 보안관제사가 분석하기에는 너무나 많은 양이다. 하지만 더 큰 문제는 공격으로 의심되는 이벤트가 대부분은 실제 공격이 아닌 오탐이라는 사실이다. 보안관제사는 공격 이벤트를 분석해야 하지만 IDPS(Intrusion Detection and Prevention System)에서 발생하는 오탐이벤트가 보안관제사들에게 알람 피로 (Alert Fatigue) 현상을 유발한다. 이를 해결하기 위해 보안관제사들은 간단한 규칙 기반으로 오탐이 많이 발생하는 이벤트의 알람을 무시하는 방법을 도입한다. 하지만 이 방법은 실제 공격 이벤트들도 자동으로 무시할 수 있게 만드는 치명적 단점을 갖는다. 본 논문에서는 이러한 문제점을 해결하기 위해 인공지능과 빅데이터 시대에 걸맞게 머신러닝과 딥러닝을 도입하여 보안관제에서 겪는 문제를 해결한다.
최근 논문에서는 IDPS에서 탐지된 이벤트가 실제 공격인지를 판별하는 딥러닝 모델이 제안되었으며, 하루에 수백 수천만 건이 발생하는 보안관제 빅데이터를 자동으로 분석 할 수 있는 가능성을 보여주었다. 하지만 인공지능을 도입한 후 여러 가지 새로운 문제점이 발생하였다. 첫째, 지도학습방식 경우 학습데이터의 라벨이 필수적으로 필요하다. 하지만 빅데이터를 라벨링하는 과정은 많은 시간과 비용을 발생시킨다. 둘째, 기존 논문에서 제안된 모델들은 높은 정확도를 보여주지만 모델이 예측한 결과가 과연 신뢰성이 있는지에 대한 의구심이 제기되고 있다. 본 논문은 이러한 문제를 해결하고자 두 가지 새로운 기술을 제안한다. 첫째, 보안관제 이벤트의 컨텐츠를 기반으로 클러스터링을 수행하여 오탐이 많이 발생하는 이벤트를 안전하게 제거할 수 있는 기술을 제안한다. 둘째, 모델의 신뢰성 향상을 위해 예측값 신뢰구간 적용 방식과 학습데이터 클러스터링 기반의 신뢰성 추정 방식을 제안한다. 두 방식은 이진분류기 모델이 예측한 결과에 자신 없어 하는 경우를 탐지하여 해당 이벤트는 예측불가로 처리하여 모델에게 예측을 맡기지 않는다. 따라서, 모델이 틀릴 확률이 높은 이벤트를 먼저 식별하여 미탐 발생을 줄일 수 있다.
본 논문에서 제안하는 기술들을 검증하기 위해서 국내 보안관제센터에서 장기간 수집된 몇백만 건 이상의 침입탐지 이벤트 데이터를 사용하여 실험을 진행했다. 제안된 기술을 적용하면 규칙 기반 오탐 제거보다 f1-스코어가 48% 향상된 것을 확인할 수 있었으며, 기존 이진분류모델 보다 f1-스코어가 150% 향상된 것을 볼 수 있었다. 제안 기술은 라벨링에 엄청난 소모를 하지 않을 수 있다는 점에서 국내외 많은 보안관제센터에 실무적 도움이 될 것으로 기대된다.
As the use of computer and internet network increases, cyber-threats are also on the rise. It leads hundreds of millions of suspicious attack events occur every day, and that exceeds the daily analysis capacity of security operators. The important thing is that most of these events are falsely detec...
As the use of computer and internet network increases, cyber-threats are also on the rise. It leads hundreds of millions of suspicious attack events occur every day, and that exceeds the daily analysis capacity of security operators. The important thing is that most of these events are falsely detected events, and these false positive events cause alert-fatigue problem to security operators. To solve this problem, rule-based algorithms are commonly used to ignore these events. However, this is not good for solving that problem as it causes false-negative. In a recent paper, a deep learning model has been proposed to determine whether an event detected in IDPS is an actual attack. The models suggested in that paper shows high accuracy, but it is hard to know whether predicted results are reliable. In this paper, we propose a new method to remove falsely detected events more safely. This method is based on clustering of the content of security device’s events. And we also suggest second method to determine the confidence interval of the existing malicious event detection discrimination model using clustering that mentioned in this paper. To verify the new technology, the experiment was conducted using more that millions of intrusion detection event data that collected over a long period of time at a local security control center. Proposed technology shows 48% improvement of f1-score compared to rule-based technology and 150% improvement of f1-score compared to conventional binary classification models. This result shows the technology suggested in this paper is expected to help many security control centers by reducing money and time that needed for labeling.
As the use of computer and internet network increases, cyber-threats are also on the rise. It leads hundreds of millions of suspicious attack events occur every day, and that exceeds the daily analysis capacity of security operators. The important thing is that most of these events are falsely detected events, and these false positive events cause alert-fatigue problem to security operators. To solve this problem, rule-based algorithms are commonly used to ignore these events. However, this is not good for solving that problem as it causes false-negative. In a recent paper, a deep learning model has been proposed to determine whether an event detected in IDPS is an actual attack. The models suggested in that paper shows high accuracy, but it is hard to know whether predicted results are reliable. In this paper, we propose a new method to remove falsely detected events more safely. This method is based on clustering of the content of security device’s events. And we also suggest second method to determine the confidence interval of the existing malicious event detection discrimination model using clustering that mentioned in this paper. To verify the new technology, the experiment was conducted using more that millions of intrusion detection event data that collected over a long period of time at a local security control center. Proposed technology shows 48% improvement of f1-score compared to rule-based technology and 150% improvement of f1-score compared to conventional binary classification models. This result shows the technology suggested in this paper is expected to help many security control centers by reducing money and time that needed for labeling.
AI-Helper
※ AI-Helper는 부적절한 답변을 할 수 있습니다.