선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
문제 정의
- 본 논문은 프로파일의 크기를 작게 유지하면서 탐지율을 높이기 위해 X2 거리기반다변량분석 기법을 응용하였다. O' 기법에서는 프로그램이 정상적으로 동작할 때 발생시키 는 각 시스템 호출들의 발생 빈도를 측정하여 평균적인 발 상 빈도 분포를 그 프로그램의 행위 프로파일로 구축하고, 乂2 거리기반 다변량 분석 기법을 이용하여 프로파일에서 많이 벗어나는 시스템 호출들을 판별하여 프로그램의 세션별 로 이상행위를 탐지한다.
제안 방법
- 뉴 멕시코 대학(University of New Mexico)의 Forrest 연 구팀에서는 UNIX 기반 운영체제(특히, Solaris 2.5)데서 루 트 권한으로 실행되고 빈번히 침입 공격의 통로로。.용되는 주요 프로그램들, 즉 sendmail 데몬, ftpd, Ipd, named, inetd 등에 대해서, 이들 프로그램들이 운영되는 도중 발생하는 시스템 호출들을 추적하여 데이터베이스로 구축하였다[18].
- 정상적인 동작시 수행된 시스템 호출 자료에서 UNM-sen dmai'daemone Forrest 연구팀에서 수집한 것이고, cert- sendmail-daemone CERT에서 수집한 것이다. sendmail 데 몬 프로그램은 장기간 운영되면서 각 메일 관련 서비스를 요청나아 이를 처리하는데, 본 논문에서는 이러한 하나의 처리나정을 세션으로 규정하였다. UNM-sendmail-daemon 의 /우 이러한 세션이 52개로 구성되어 있다.
- X? 거리기반 다변량 분석기법을 이용한 프로그램 행위 프 로파일링의 성능을 평가하기 위해 뉴 멕시코 대학의 send- mail 데몬 프로그램의 시스템 호출 자료를 대상으로 실험 하였고, N-gram 기법과 비교 분석하였다.
- 시스템 호출 정보에는 시스템 호출 종류, 프로세스 번호, 매개 변수 등이 포함되는데 프로그램 행위 프로파일을 간결하게 하기 위해 시스템 호출 종류만을 고려한다. 그리고 프로그 램이 정상적으로 운용될 때 발생한 시스템 호출들을 종류 에 따라 발생 빈도를 측정하기 위해 프로그램이 정상적으 로 동작할 때 발생하는 시스템 호출들을 학습 데이터로 구 성하고, MEWMA(multivariate exponentially weighted moving average technique)[1 기에 따라 학습 데이터내의 각 시스템 호출을 다음과 같이 벡터(X], X% ..., X*)로 표현한다. 여기서 ne 서로 다른 종류의 시스템 호출의 개수이다.
- 먼저 정상적인 시스템 호출들로 구성된 UNM-sendmaib daemon으로부터 각 시스템 호출을 벡터 X = (X” X2, ..., Xi84)로 표현하여 평균 벡터를 구하고, 이 평균 벡터를 이용하여 각 trace의 X? 거리를 구하였다.<표 2>는 각 trace 의 X?거리를 보여준다.
- 본 논문에서는 N-gram 기법의 탐지율을 떨어뜨리지 않 으면시, N-gram 기법의 문제점인 프로파일의 크기를 줄이 기 위해 시스템 호출들의 발생 확률에 유의하여 X2 거리기반 다변량 분석 기법을 응용하였다.
- 본 는문에서는 프로그램 행위 프로파일링에 거리기반 다변량 분석 기법을 적용하여 프로파일의 크기를 작게 유 지하도록 시도하였다. 즉, 여러 시스템 호출 정보 중에서 시스티 호출 종류만을 이용하여, 프로그램이 정상적으로 운 용될 때 발생되는 시스템 호출들을 간결한 형태의 행위 벡 터로 표현하고, X2 거리기반 다변량 분석 기법을 이용하여 세션빌로 이상 행위를 탐지하는 척도를 제시하였다.
- 이 임계치를 이용하여 각 trace의 SSR을 구하면<표 3>과 같다. 정상행위 의 trace로서 UNM-sendmail-daemone 프로파일 구축에 이용되었기 때문에 제외하고, 또 다른 정상행위의 trace인 cert-sendmail-daemon에 대해 SSR을 구하였고, 이때 SSR 값은 그 trace에 포함된 52개의 세션들의 SSR을 평균한 값 이다.
- 본 는문에서는 프로그램 행위 프로파일링에 거리기반 다변량 분석 기법을 적용하여 프로파일의 크기를 작게 유 지하도록 시도하였다. 즉, 여러 시스템 호출 정보 중에서 시스티 호출 종류만을 이용하여, 프로그램이 정상적으로 운 용될 때 발생되는 시스템 호출들을 간결한 형태의 행위 벡 터로 표현하고, X2 거리기반 다변량 분석 기법을 이용하여 세션빌로 이상 행위를 탐지하는 척도를 제시하였다. 성능 평가를 위해, UNIX 환경에서 정상적으로 운용된 sendmail 데몬 프로그램의 시스템 호출들과 sendmail 데몬 프 로그리에 각종 공격이 이루어질 때 발생하는 시스템 志출 정보W을 대상으로 실험한 결과, N-gram 기법보다 프로파 일의 크■기는 훨씬 줄이면서 탐지율도 다소 높게 나타났다.
대상 데이터
- 정상적인 동작시 수행된 시스템 호출 자료에서 UNM-sen dmai'daemone Forrest 연구팀에서 수집한 것이고, cert- sendmail-daemone CERT에서 수집한 것이다. sendmail 데 몬 프로그램은 장기간 운영되면서 각 메일 관련 서비스를 요청나아 이를 처리하는데, 본 논문에서는 이러한 하나의 처리나정을 세션으로 규정하였다.
데이터처리
- O' 기법에서는 프로그램이 정상적으로 동작할 때 발생시키 는 각 시스템 호출들의 발생 빈도를 측정하여 평균적인 발 상 빈도 분포를 그 프로그램의 행위 프로파일로 구축하고, 乂2 거리기반 다변량 분석 기법을 이용하여 프로파일에서 많이 벗어나는 시스템 호출들을 판별하여 프로그램의 세션별 로 이상행위를 탐지한다. 성능 평가를 위해 sendmail 프로 그램이 정상적으로 동작할 때 발생하는 시스템 호출들과 공격을 받았을 때 발생하는 시스템 호출들에 대해 실험 결과를 제시하고 N-gram 기법과 비교하여 분석하였다. 실험 결과, 프로파일의 크기는 크게 감소시키면서 N-gram 기법 보다 다소 높은 탐지율을 보였다.
이론/모형
- 따라서 이러한 시스템 호출들은 정상행위의 시스템 호출들 에 비해 정상행위 프로파일, 즉 정상적인 시스템 호출들의 평균적인 발생빈도로부터 매우 거리가 멀 것이다. 프로그램 의 기대되는 행위로부터 벗어나는 시스템 호출들을 판정하기 위해 X2 거리기반 다변량 분석 기법을 적용한다. 식 (2) 에서 각 변수를 시스템 호출들의 종류, 기대치를 발생빈도 평균벡터, 관측치를 발생한 시스템 호출로 대체하여 다음과 같이 X? 거리를 계산한다.
성능/효과
- 08에 이르렀을 때 비로소 100%의 탐지율을 보인다. 결과적으로 다변량 분석 기법의 경우, N-gram 기법에 비해 더 적은 오탐율 상에서 온전한 탐지율(100%)에 수렴함을 확인할 수 있다. 즉, 다변 량 분석 기법은 최종 이상행위 임계값에 대해 N-gram 기 법보다 덜 취약하다고 할 수 있다.
- 즉, 여러 시스템 호출 정보 중에서 시스티 호출 종류만을 이용하여, 프로그램이 정상적으로 운 용될 때 발생되는 시스템 호출들을 간결한 형태의 행위 벡 터로 표현하고, X2 거리기반 다변량 분석 기법을 이용하여 세션빌로 이상 행위를 탐지하는 척도를 제시하였다. 성능 평가를 위해, UNIX 환경에서 정상적으로 운용된 sendmail 데몬 프로그램의 시스템 호출들과 sendmail 데몬 프 로그리에 각종 공격이 이루어질 때 발생하는 시스템 志출 정보W을 대상으로 실험한 결과, N-gram 기법보다 프로파 일의 크■기는 훨씬 줄이면서 탐지율도 다소 높게 나타났다.
- 성능 평가를 위해 sendmail 프로 그램이 정상적으로 동작할 때 발생하는 시스템 호출들과 공격을 받았을 때 발생하는 시스템 호출들에 대해 실험 결과를 제시하고 N-gram 기법과 비교하여 분석하였다. 실험 결과, 프로파일의 크기는 크게 감소시키면서 N-gram 기법 보다 다소 높은 탐지율을 보였다.
- ne 벡터의 크기이다. 즉, 두 기법 므두 시 간복잡도는 프로파일의 크기에 비례하는데, 다변량 븐석 기법을 이용하여 프로파일의 크기를 작게 유지하면서 결과적 으로 시간복잡도를 줄일 수 있다. 이는 실시간 침입탐지 측면에서 다변량 분석 기법이 더 유리하다고 할 수 있다.
후속연구
- 향후 연구과제로서 UNIX 환경에서 빈번히 공격의 대상 이 되그 있는 다른 프로그램들에 대해서도 실험을 확대할 것이고, 프로그램이 전형적으로 수행하는 다양한 행위들을 고려하여 각각의 전형적인 행위들에 대한 시스템 호출들간의 특징을 도출하여 탐지율과 탐지의 적시성(timely alarm) 을 향상시키는 방안에 대해 연구하는 것이다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.