기업 대부분은 사업 연속성을 위협하는 기밀정보 유출을 방지하기 위해 DRM, 메일 필터링, DLP, USB 보안 등 다양한 보안 시스템 구축에 투자를 아끼지 않고 있다. 그러나, 기업이 기밀정보의 유출 및 관련 사건을 인지한 시점에는 해당 직원이 이미 '퇴직'해 인사적 조치가 어렵고 관련 증거도 퇴직과 함께 사라져 버리는 경우가 많다. 그런 측면에서 퇴직 징후를 미리 탐지하고 사전 조치를 하는 것은 매우 중요하다. 데이터의 최소 단위인 파일을 대상으로 이루어지는 사용자 행위를 기록하는 DRM로그를 활용하면, 퇴직 예측이 장 단기적으로 가능하므로 유출 행위를 예방하고 사후 증적으로도 활용할 수 있다. 이 연구는 직원의 퇴직 징후를 예측해 사전에 모니터링하는 프로세스를 수립함으로써, 퇴직자의 기밀 유출로 인한 기업 손실을 최대한 방지할 수 있는 방안을 제시한다.
기업 대부분은 사업 연속성을 위협하는 기밀정보 유출을 방지하기 위해 DRM, 메일 필터링, DLP, USB 보안 등 다양한 보안 시스템 구축에 투자를 아끼지 않고 있다. 그러나, 기업이 기밀정보의 유출 및 관련 사건을 인지한 시점에는 해당 직원이 이미 '퇴직'해 인사적 조치가 어렵고 관련 증거도 퇴직과 함께 사라져 버리는 경우가 많다. 그런 측면에서 퇴직 징후를 미리 탐지하고 사전 조치를 하는 것은 매우 중요하다. 데이터의 최소 단위인 파일을 대상으로 이루어지는 사용자 행위를 기록하는 DRM 로그를 활용하면, 퇴직 예측이 장 단기적으로 가능하므로 유출 행위를 예방하고 사후 증적으로도 활용할 수 있다. 이 연구는 직원의 퇴직 징후를 예측해 사전에 모니터링하는 프로세스를 수립함으로써, 퇴직자의 기밀 유출로 인한 기업 손실을 최대한 방지할 수 있는 방안을 제시한다.
Most companies are willing to spend money on security systems such as DRM, Mail filtering, DLP, USB blocking, etc., for data leakage prevention. However, in many cases, it is difficult that legal team take action for data case because usually the company recognized that after the employee had left. ...
Most companies are willing to spend money on security systems such as DRM, Mail filtering, DLP, USB blocking, etc., for data leakage prevention. However, in many cases, it is difficult that legal team take action for data case because usually the company recognized that after the employee had left. Therefore perceiving one's resignation before the action and building up adequate response process are very important. Throughout analyzing DRM log which records every single file's changes related with user's behavior, the company can predict one's resignation and prevent data leakage before those happen. This study suggests how to prevent for the damage from leaked confidential information throughout building the DRM monitoring process which can predict employee's resignation.
Most companies are willing to spend money on security systems such as DRM, Mail filtering, DLP, USB blocking, etc., for data leakage prevention. However, in many cases, it is difficult that legal team take action for data case because usually the company recognized that after the employee had left. Therefore perceiving one's resignation before the action and building up adequate response process are very important. Throughout analyzing DRM log which records every single file's changes related with user's behavior, the company can predict one's resignation and prevent data leakage before those happen. This study suggests how to prevent for the damage from leaked confidential information throughout building the DRM monitoring process which can predict employee's resignation.
* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.
문제 정의
사람의 행위를 한 가지 패턴만으로 파악하기 어려운 점이 존재하지만, DRM 로그를 이용한 이상행위 탐지는 퇴직자를 예측하는데 충분한 정보를 제공한다. 본 논문의 연구는 일반적인 상황 하에서 퇴직자를 사전에 예측할 수 있음을 밝혔다.
본 연구에서는 임직원 약 200명 규모의 연구소에서 발생한 2년 6개월의 DRM 로그를 활용해 퇴직 징후 탐지와 모니터링 기간을 분석했다. 해당 기간동안 실제 퇴사한 16명과 나머지 임직원을 대상으로 했으며, 이 중에서 학습 기간 및 로그가 충분하지 않은 대상자를 제외해 퇴직자 14명과 재직자 170명을 분석했다.
본 연구에서는 임직원의 평소 삭제/출력 활동을 수용하기 위해 최초 6개월 동안의 DRM 로그를 학습한다. 이후 지속적으로 6개월 구간을 슬라이딩하는 방식으로 당일 발생한 이벤트 로그가 최근 6개월 간의 활동과 비교해 특이했는지를 확인한다.
하지만, PC에 DRM 설치 사실을 인지한 정보 유출자는 이를 우회하고자 하므로 사용자의 행위를 통계적으로 분석·패턴화해 유출 가능성이 높은 사용자를 사전에 선별·모니터링하는 방법이필요하다. 이 연구는 DRM 로그를 분석함으로써 기밀 유출 가능성이 높은 사용자, 특히 퇴직 예정자를 사전에 판별해 조치함으로써 유출 가능성 및 유출 리스크를 현저히 낮추는데 목적이 있다.
가설 설정
‘삭제’와 ‘탐지’에서 이상값이 모두 탐지된 경우에만 ‘퇴직 징후’로써 유효한 탐지라는 가설을 수립했다.
7. 강화 모니터링 기간이 만료된 이후에는 평시 모니터링으로 전환한다.
제안 방법
1. 평소 임직원의 업무 및 행동 패턴을 정립하기 위해 6개월(180일)동안 DRM 로그를 학습한다.
2. 6개월 후 부터 ‘삭제’ 이벤트에서 이상 행위가 탐지되는지를 최근 6개월간의 데이터를 대상으로 일일 모니터링한다.
앞서 설명한 바와 같이 퇴직 예정자는 데이터를 저장한 후 ‘삭제’를 실시하며, 각종 보안 통제와 DRM 우회를 위해 ‘인쇄’를 실시한다는 점을 바탕으로 ‘삭제’와 ‘인쇄’ 행위를 분석 대상으로 한다.
본 연구에서는 임직원의 평소 삭제/출력 활동을 수용하기 위해 최초 6개월 동안의 DRM 로그를 학습한다. 이후 지속적으로 6개월 구간을 슬라이딩하는 방식으로 당일 발생한 이벤트 로그가 최근 6개월 간의 활동과 비교해 특이했는지를 확인한다. 학습과 모니터링 기간을 6개월로 설정한 이유는 최소한 반기(6개월)를 모니터링해야만 업무의 특성을 파악할 수 있기 때문이다.
합리적인 탐지 기준일을 도출하기 위해 퇴직 이전 100일을 기준일로 그 기간 안에 탐지된 마지막 이벤트를 찾고 직전 이벤트가 10일 이내에 발생했을 경우 이를 추가 수용했으며, 수용된 이벤트의 직전 이벤트도 동일한 방식으로 포함해 퇴직 징후를 파악할 수 있는 최초 시기를 분석했다. 퇴직자 14명의 데이터를 분석한 결과, Fig.
‘예외’가 아닌 경우로 판단되면 해당 임직원에 대한 강화모니터링을 100일 동안 진행한다. 회사에 존재하는 다양한 보안 통제(DLP, 웹 프록시, DNS, 방화벽 등)을 통해 접근 사이트(예. 이직 관련 사이트), 이메일 또는 메신저, 저장매체 등을 통해 정보 유출 시도가 있는지를 모니터링한다. 이 때 수집된 다양한 출처의 로그는 추후 혹시 발생할지 모를 정보 유출 사고(법정 소송)에 대응할 수 있도록 일정기간 동안 별도로 보존한다.
대상 데이터
본 연구에서는 퇴직의 핵심 징후인 ‘삭제’와 ‘인쇄’ 행위만을 분석 대상으로 한다.
재직자의 시뮬레이션은 탐지율이 높았던 재직자 1과 재직자 2를 대상으로 했으며, 2명 모두 6회의 모니터링 전환이 발생했다. 즉, 앞서 언급한 바와 같이 실무 환경에서는 모니터링과 즉각적인 현황 파악을 통해 예외 처리가 가능하다는 점과 오탐이 되더라도 1인당 최대 6회(2년 6개월간) 발생한다는 점에서 실무 환경에서 감내할 수 있는 예외 수준으로 판단된다.
본 연구에서는 임직원 약 200명 규모의 연구소에서 발생한 2년 6개월의 DRM 로그를 활용해 퇴직 징후 탐지와 모니터링 기간을 분석했다. 해당 기간동안 실제 퇴사한 16명과 나머지 임직원을 대상으로 했으며, 이 중에서 학습 기간 및 로그가 충분하지 않은 대상자를 제외해 퇴직자 14명과 재직자 170명을 분석했다.
이론/모형
정규분포를 이용한 이상탐지기법은 이상값이 평균과 정규분포에 큰 영향을 미쳐 적합하지 않았다.[4] 본 논문에서는 [5][6]에서 설명하고 있는 MAD의 우수성(붕괴점(Breakdown point)[7]이 표준 편차, Interquartile Range보다 높음)과 탐지 비교 결과를 바탕으로 MAD 기법을 이용한다. MAD를 구하는 방법은 아래 수식(1)과 같이 표본 데이터에서 중간값(Median)을 구한 후, 각 데이터에서 중간값을 뺀 다음 절대값으로 바꾼 결과값에 대해 다시 중간값을 구함으로써 MAD 값을 얻을 수 있다[8].
이상행위 탐지 분석 기법은 표준 편차(Standard Deviation)를 이용한 탐지 기법과 MAD(Median Absolute Deviation) 기법을 적용했다. 실험 과정에서 표준 편차를 이용한 이상행위 탐지는 오탐율이 높아 민감도(sensitivity)가 낮은 MAD 기법을 채택했다. 정규분포를 이용한 이상탐지기법은 이상값이 평균과 정규분포에 큰 영향을 미쳐 적합하지 않았다.
이상행위 탐지 분석 기법은 표준 편차(Standard Deviation)를 이용한 탐지 기법과 MAD(Median Absolute Deviation) 기법을 적용했다. 실험 과정에서 표준 편차를 이용한 이상행위 탐지는 오탐율이 높아 민감도(sensitivity)가 낮은 MAD 기법을 채택했다.
성능/효과
6. 강화모니터링으로 전환된 이후 추가적인 이상 행위 탐지 이벤트가 10일 이내(a) 발생할 경우 모니터링 기간을 추가 이벤트가 탐지된 기간(a)만큼 연장한다. 그 이후에 탐지된 이벤트 역시 10일 이내일 경우 동일한 방식으로 모니터링 기간을 연장하며, 10일을 초과한 이벤트가 발생한 경우 그 이후는 더 이상 모니터링 기간을 연장하지 않는다.
DRM 로그는 정보 유출 탐지 관점에서 여러 보안 통제 로그 중에서 중요도가 높은 정보 원천이다. 사람의 행위를 한 가지 패턴만으로 파악하기 어려운 점이 존재하지만, DRM 로그를 이용한 이상행위 탐지는 퇴직자를 예측하는데 충분한 정보를 제공한다. 본 논문의 연구는 일반적인 상황 하에서 퇴직자를 사전에 예측할 수 있음을 밝혔다.
재직자 170명에 대한 이상행위를 탐지한 결과, Fig. 4와 같이 86%(147명)의 재직자가 1회 이상 이상행위를 한 것으로 탐지되었다. 재직자의 탐지가 다수 있다는 점으로 인해 퇴직 징후 탐지에 오탐이 잦다고 문제를 제기할 수 있다.
합리적인 탐지 기준일을 도출하기 위해 퇴직 이전 100일을 기준일로 그 기간 안에 탐지된 마지막 이벤트를 찾고 직전 이벤트가 10일 이내에 발생했을 경우 이를 추가 수용했으며, 수용된 이벤트의 직전 이벤트도 동일한 방식으로 포함해 퇴직 징후를 파악할 수 있는 최초 시기를 분석했다. 퇴직자 14명의 데이터를 분석한 결과, Fig. 3과 같이 평균 약 95일 이전에 이상 행위가 탐지되었으며, 100일 동안 평균 8회(최소 2회에서 최대 21회)의 이상행위가 탐지되었다. 즉, 퇴직 징후가 발견된 후 기본적으로 100일간의 모니터링을 실시하면 퇴직자의 정보 유출을 사전에 탐지해 대응할 수 있을 것으로 기대할 수 있다.
질의응답
핵심어
질문
논문에서 추출한 답변
법무부 통계 자료에 따른 기술 유출 범죄 사건 발생 추이는 어떻습니까?
이로 인해 기업의 기밀 유출을 육안으로 즉시 확인할수 없는 경우가 많다. 법무부 통계 자료에 따르면, 검찰이 처리한 기술 유출 범죄 사건은 99년 총 39건 (95명)에서 09년 292건(807명)으로 꾸준히 증가했다[1]. 또한, 산업기술보호센터의 발표에 따르면 국내 기술의 해외 불법 유출 사례가 04년 26건에서 10년 41건을 기록한 이후 2013년까지 급증하고 있다.
IT 기술이 발전함으로써 주요 기밀의 형태는 어떻게 변했나요?
최근 IT 기술 발전으로 기업이 소유하고 있는 주요 기밀은 종이 같은 물리적인 형태에서 벗어나 전자파일, 이진 데이터 등의 논리적 형태로 변모했다. 이로 인해 기업의 기밀 유출을 육안으로 즉시 확인할수 없는 경우가 많다.
이상행위 탐지 분석 기법으로 표준 편차를 이용하지 않고 MAD 기법을 사용한 이유는?
이상행위 탐지 분석 기법은 표준 편차(Standard Deviation)를 이용한 탐지 기법과 MAD(Median Absolute Deviation) 기법을 적용했다. 실험 과정에서 표준 편차를 이용한 이상행위 탐지는 오탐율이 높아 민감도(sensitivity)가 낮은 MAD 기법을 채택했다. 정규분포를 이용한 이상탐지기법은 이상값이 평균과 정규분포에 큰 영향을 미쳐 적합하지 않았다.
참고문헌 (11)
Youngwoo Lee, "Trade secrets, keep it using the electronic fingerprint!," http://www.ytn.co.kr/_ln/0103_201009090008502441, YTN, 9, Aug. 2010.
"Unfair Competition Prevention and Trade Secret Protection Act", http://www.law.go.kr/lsInfoP.do?lsiSeq142374, The National Law Information Center, 30, Jul. 2013
"Report on the Current Status of SMEs' Management of Industrial Confidential Information," Small & Medium Company Administration, pp.15, Jun. 2007.
Christophe Leys and Christophe Ley, etc., "Detecting outliers: Do not use standard deviation around the mean, use absolute deviation around the median," Journal of Experimental Social Psychology, pp. 1, Mar. 2013.
Christophe Leys and Christophe Ley, etc., "Detecting outliers: Do not use standard deviation around the mean, use absolute deviation around the median," Journal of Experimental Social Psychology, pp.2, Mar. 2013.
Francisco Augusto Alcaraz Gracia. "Tests to identify Outliers in Data Series," MATLAB 7.8, 18, Aug. 2010
Sagar S. Sabade, Duncan M. Walker, "Evaluation of Effectiveness of Median of Absolute Deviations Outlier Rejectionbased IDDQ Testing for Burn-in Reduction",
"A Comprehensive guide to Data Exploration," http://www.analyticsvidhya.com/blog/2015/02/outliers-detection-treatment-dataset/, Analytics Vidhya, 10, Jan. 2016
※ AI-Helper는 부적절한 답변을 할 수 있습니다.