선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
문제 정의
- 본 논문은 이러한 사태를 미연에 방지하기 위한 일환으로 네트워크 상태이상 탐지방법을 제안한다. 기존의 분산 서비스 거부공격에 대한 탐지 방법은 각 패킷을 보고, 해당 패킷이 공격 패킷인지 여부를 판별함으로써, 네트워크 내부의 컴퓨터가 외부로 공격을 하고 있는지, 혹은 외부로부터 공격을 받고 있는지 여부를 판단한다.
- 본 논문은 특정 시간단위로 네트워크 스냅샷을 만들어, 네트워크의 이상상태를 탐지하는 방법을 제안했다. 제안한 방법은 특정 시간 동안의 패킷 버퍼에 대한 클러스터링을 통해 네트워크의 상태를 정의하고, 이를 네트워크 스냅샷이라고 하였다.
제안 방법
- 즉 AsourceIP-AdestinationIP등의 계산을 통해 특징 값을 구하였다. 그 이유는 IP는 원래 4바이트 값으로 전송되어지나, 4바이트 값에 대한 차를 구하면 동일한 서브넷에서의 움직임인지, 혹은 요청메시지 및 응답메시지인지에 대한 표현이 안될 것이라 판단하여 각각에 대한 값을 특징 값으로 하였다. 그 다음 출발지 IP와 도착지 IP는 각 특징 값을 인덱스화하여, 특징 값으로 사용하였다.
- 앞서 설명한 것과 마찬가지로, 학습 단계의 경우에는 사전에 수집된 패킷 데이터를 사용하며, 분류 단계에서는 실시간으로 수집되는 패킷 데이터를 이용한다. 그러나 본 논문에서는 실험을 위해서 사전에 수집된 패킷 데이터에서 일부를 학습 데이터로, 나머지를 분류 데이터로 나누어 사용하였다.
- 첫 단계는 IPsweep을 이용하여 미 공군 기지 내부의 호스트를 스캐닝 하였다. 두 번째 단계에서는 각 호스트에 대해 sadmind 데몬의 실행 여부를 스캐닝 하였으며, 세번째 단계에서 버퍼오버플로우(buffer overflow) 공격을 통해 sadmind를 공격하여 호스트로 침입하였다. 네 번째 단계에서는 해당 호스트에 분산 서비스 거부 공격을 하기 위해 Mstream을 설치하였으며, 마지막 단계에서 분산 서비스 공격을 수행한다.
- 그렇다면 패킷의 시간간격이 좁혀질 것이라 판단하여 해당 특징을 추가하였다. 또한 IP에 대한 특징 4개를 설명하면, 아이피 주소가 A.B.C.D로 이루어져 있을 때, 각 출발지 및 도착지 IP에 대해 각각의 동일한 위치에 해당하는 값의 차를 구하였다. 즉 AsourceIP-AdestinationIP등의 계산을 통해 특징 값을 구하였다.
- 그 다음 출발지 IP와 도착지 IP는 각 특징 값을 인덱스화하여, 특징 값으로 사용하였다. 또한 도착지 포트는 특정 서비스에 대한 패킷 여부를 판별할 수 있기 때문에 특징으로 선정하였으며, 시퀀스 값과 윈도우 사이즈, 최상위 프로토콜 등은 패킷에 대한 오류여부와 패킷 사이즈의 변화 등을 분석하기 위해 추가하였다.
- 그러나 이러한 방법은 네트워크 특성에 매우 제한적이며, 진화하는 공격이나 새롭게 발생하는 네트워크 공격 유형에 유연한 대처가 어렵다는 문제가 있다. 본 논문에서 제안하는 방법은 특정 공격을 분류하지는 못하지만, 네트워크의 상태 이상 정도를 파악하여 알람을 울림으로써, 기존의 공격은 물론이고, 알려지지 않은 공격 등에 대한 네트워크 및 보안 담당자의 빠른 대응을 유도할 수 있는 방안을 제시한다.
- 본 논문에서 제안한 방법에 따르면, 패킷 윈도우를 구성한 다음의 단계로 네트워크 스냅샷을 생성하기 위해 클러스터링을 수행한다. 클러스터링을 수행하기 위해서는 각 패킷 윈도우에 속한 패킷 데이터로부터 특징벡터를 추출해야 한다.
- 본 논문에서는 네트워크의 이상상태를 탐지하기 위해서 베이지안 분류기를 사용하였다. 베이지안 분류기는 식 (2)와 같은 베이스 정리(bayes theorem)를 이용한 확률기반의 분류기이다[11-13].
- 우선 모든 실험에서 시간적인 요소를 배재하고, 정상 스냅샷과 비정상 스냅샷으로 나누어 7:3의 비율로 학습 데이터와 실험 데이터를 구성하였고, 학습 및 탐지 테스트를 1,000회 수행하였다.
- 이를 가지고 우리는 2가지 실험을 수행하였다.
- 제안한 방법은 특정 시간 동안의 패킷 버퍼에 대한 클러스터링을 통해 네트워크의 상태를 정의하고, 이를 네트워크 스냅샷이라고 하였다. 이후 이들 스냅샷의 변화에 대한 분류를 통해 네트워크 이상상태를 탐지하는 방법을 제안하였다.
- 제안하는 방법의 단계는 크게 학습과 분류, 두 단계로 이루어지며, 두 단계 모두는 수집한 패킷 데이터로부터 네트워크 스냅샷을 생성하는 과정은 동일하다.
- 본 논문은 특정 시간단위로 네트워크 스냅샷을 만들어, 네트워크의 이상상태를 탐지하는 방법을 제안했다. 제안한 방법은 특정 시간 동안의 패킷 버퍼에 대한 클러스터링을 통해 네트워크의 상태를 정의하고, 이를 네트워크 스냅샷이라고 하였다. 이후 이들 스냅샷의 변화에 대한 분류를 통해 네트워크 이상상태를 탐지하는 방법을 제안하였다.
- D로 이루어져 있을 때, 각 출발지 및 도착지 IP에 대해 각각의 동일한 위치에 해당하는 값의 차를 구하였다. 즉 AsourceIP-AdestinationIP등의 계산을 통해 특징 값을 구하였다. 그 이유는 IP는 원래 4바이트 값으로 전송되어지나, 4바이트 값에 대한 차를 구하면 동일한 서브넷에서의 움직임인지, 혹은 요청메시지 및 응답메시지인지에 대한 표현이 안될 것이라 판단하여 각각에 대한 값을 특징 값으로 하였다.
- 이 데이터는 크게 5 단계를 통해 수집되었다. 첫 단계는 IPsweep을 이용하여 미 공군 기지 내부의 호스트를 스캐닝 하였다. 두 번째 단계에서는 각 호스트에 대해 sadmind 데몬의 실행 여부를 스캐닝 하였으며, 세번째 단계에서 버퍼오버플로우(buffer overflow) 공격을 통해 sadmind를 공격하여 호스트로 침입하였다.
대상 데이터
- Entry Point : 학습 단계의 경우 사전에 수집된 패킷 덤프 데이터를, 분류 단계의 경우에는 실시간 패킷 데이터를 수집한다. 본 논문에서는 실험을 위해 테스트 데이터 역시 사전에 수집된 데이터를 이용하였다.
- 본 실험을 위해서 MIT/LL의 DARPA 2000 Dataset을 실험 데이터로 사용하였다[14]. DARPA 2000 Dataset은 Mstream을 이용한 분산 서비스 거부 공격을 포함하는 네트워크 트래픽 데이터와 솔라리스 BSM 감사 데이터로 이루어져 있다.
- 우선 실험에 사용된 DARPA 2000 Dataset의 총 패킷 개수는 74,480개 이다. 본 논문에서 제안하는 방법을 통해 실험한 결과는 다음과 같다.
- 본 논문에서 제안하는 방법을 통해 실험한 결과는 다음과 같다. 이 데이터는 총 904.348018초 동안 수집되었으며, 약 1,800 개의 네트워크 스냅샷을 생성하였다. 또한 95.
- 첫 번째 실험은 DARPA 2000 Dataset 만을 사용하였으며, 두 번째 실험은 웹 서비스, TELNET, FTP, SSH, 메신저 등을 사용하는 공개된 환경에서 데이터를 약 900초 동안 수집하여, 적절한 수정을 거친 뒤, 첫 번째 실험에서 사용한 DARPA 2000 Dataset과 혼합하여 데이터 셋을 구성하였다. 이 때, 데이터필드는 모두 삭제하였으며, 데이터를 수집한 노드를 기준으로 상위 2바이트가 같은(XXX.
데이터처리
- Paul Barford 등[4]은 네트워크 트래픽 플로우를 분석하여 트래픽의 특성을 분류하는 논문을 제시하였다. 이들은 논문에서 FlowScan을 이용하여 연구를 수행하였으며, 수집된 트래픽 데이터에 대해 사전에 정의한 3가지 분류로 그룹화하고, 시계열분석(time series)를 통해 분석하였으며, 비정상 데이터에 대해 웨이블렛 분석을 적용하여 서비스 거부공격에 대한 탐지실험을 수행하였다. Xei Xiong 등[5]은 발산지수(Lyapunov exponent)와 시계열 분석을 이용한 네트워크 이상탐지 방법을 제시하였다.
이론/모형
- 또한 변수의 개수가 많으며, 각 변수 당 경우의 수가 많아질 경우 분류 결과에 대한 신뢰도가 낮아진다. 따라서 본 논문에서는 나이브 베이지안(naive bayesian)을 사용하며, 앞서 설명한 단점을 보강하기 위해 각 변수의 경우의 수를 입력 값으로 받아 한정짓도록 한다. 이 방법을 수식으로 나타내면 식 (3)과 같다.
- 본 논문에서는 네트워크 스냅샷을 생성하기 위한 클러스터링 방법으로 K-평균 클러스터링(k-means clustering)을 사용하였다. K-평균 클러스터링은 각 클러스터의 중심점과 오브젝트 사이의 유클리드 거리에 기반을 둔 방법으로써 기준점에서 가까운 곳의 데이터들을 하나의 클러스터로 묶는 방법을 사용한다.
- 실험에는 WEKA[15] 3.6.5 64Bit를 사용하였으며, 나이브 베이지안을 사용하여 분류 실험을 진행하였다.
성능/효과
- 3%였다. 각각의 데이터를 분석해보면, 정상상태를 이상상태라고 잘못 판단한 경우는 P2P와 관련된 패킷의 급증으로 인해 전체적인 스냅샷 내 패킷 수가 급증하였고, 여러 호스트로부터 단일 호스트로 트래픽이 집중되었던 것으로 나타났다. 또한 이상상태인데 정상상태로 판단된 경우는 네트워크 스냅샷 내 전체적인 패킷수가 증가하여, 서비스 거부 공격으로 인한 급격한 패킷 증가 패턴이 일부 들어간 경우에는 큰 영향을 주지 못했기 때문으로 생각된다.
- 비현실적인 데이터를 이용한 실험이었던 첫 번째와는 달리, 두 번째 실험의 경우 공개된 네트워크에서 데이터를 수집하여 첫 번째 데이터와 병합하였기 때문에, 첫 번째보다 현실의 상황과 비슷하다고 할 수 있다. 이 실험에서는 정상상태를 이상상태로 잘못 판단한 비율이 약 1.8%이며, 이상상태를 정상상태라고 잘못 판단한 비율이 약 1.3%였다. 각각의 데이터를 분석해보면, 정상상태를 이상상태라고 잘못 판단한 경우는 P2P와 관련된 패킷의 급증으로 인해 전체적인 스냅샷 내 패킷 수가 급증하였고, 여러 호스트로부터 단일 호스트로 트래픽이 집중되었던 것으로 나타났다.
- 첫 번째 실험의 경우, 정상상태와 이상상태를 모두 100% 정확하게 판단하였는데, 이는 특정 도착지 IP로 동일한 패킷이 급격히 발생하였으며, 초당 패킷 수 역시 급격히 증가하였기 때문에 완벽히 탐지된 것으로 분석되었다. 즉, 정상상태와 이상상태가 확연히 다른 형태를 가졌기 때문에 각각의 상태를 정확하게 판단할 수 있었다.
후속연구
- 그 동안의 데이터마이닝 등을 이용한 침입탐지 연구는 실험에 사용한 학습 데이터와 실험 데이터 모델에 의존하여, 실제 환경에서의 성능이 결정되는데 반해, 본 논문에서 제안하는 방법은 추가적으로 해당 네트워크 환경을 학습하고, 특정 상황에 대해 이전의 상태들과 비교하여 비정상 여부를 판단하기 때문에 비교적 다양한 환경에 대해 효과적일 것으로 예상된다. 또한 본 연구 결과물은 네트워크의 이상상태를 탐지한다는 특성 때문에 보안 분야 이외에 네트워크 관리 분야에서도 사용될 수 있을 것으로 기대된다.
- 따라서 보다 여러 가지 상황을 염두에 두고 네트워크 상태 탐지를 하려한다면, K-평균 클러스터링의 클러스터 개수인 K 값을 적절히 실험을 거쳐 크게 하거나, 자동적으로 결정할 수 있도록 하는 알고리즘이 필요하며, 클러스터링 분석의 경우도 단순한 계산치 만이 아닌, 중심점 사이의 거리, 클러스터의 평균 면적, 데이터의 분산 등 보다 다양한 분석을 통해 정확도를 높일 수 있을 것으로 생각된다. 또한, 시계열 분석 (time series)을 통해 각 네트워크의 시간적(계절별, 월별, 주간별, 시간별 특성)이고, 공간적인(네트워크) 특성을 분석해내서 탐지 기법에 반영한다면 보다 좋은 탐지율을 가지는 결과를 가져올 것으로 예상된다.
- 그 동안의 데이터마이닝 등을 이용한 침입탐지 연구는 실험에 사용한 학습 데이터와 실험 데이터 모델에 의존하여, 실제 환경에서의 성능이 결정되는데 반해, 본 논문에서 제안하는 방법은 추가적으로 해당 네트워크 환경을 학습하고, 특정 상황에 대해 이전의 상태들과 비교하여 비정상 여부를 판단하기 때문에 비교적 다양한 환경에 대해 효과적일 것으로 예상된다. 또한 본 연구 결과물은 네트워크의 이상상태를 탐지한다는 특성 때문에 보안 분야 이외에 네트워크 관리 분야에서도 사용될 수 있을 것으로 기대된다.
- 예를 들어 서비스거부공격이 발생한다면 특정 IP 및 포트로 발송되는 패킷의 양이 급격히 증가할 것이다. 또한 하나의 패킷 윈도우 안에 다른 패킷에 비해 출발지IP와 도착지IP의 차이 값이 동일한 패킷의 비율이 증가하게 될 것이다.
- 따라서 보다 여러 가지 상황을 염두에 두고 네트워크 상태 탐지를 하려한다면, K-평균 클러스터링의 클러스터 개수인 K 값을 적절히 실험을 거쳐 크게 하거나, 자동적으로 결정할 수 있도록 하는 알고리즘이 필요하며, 클러스터링 분석의 경우도 단순한 계산치 만이 아닌, 중심점 사이의 거리, 클러스터의 평균 면적, 데이터의 분산 등 보다 다양한 분석을 통해 정확도를 높일 수 있을 것으로 생각된다. 또한, 시계열 분석 (time series)을 통해 각 네트워크의 시간적(계절별, 월별, 주간별, 시간별 특성)이고, 공간적인(네트워크) 특성을 분석해내서 탐지 기법에 반영한다면 보다 좋은 탐지율을 가지는 결과를 가져올 것으로 예상된다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.