본 논문은 플로우 시각화 기반의 네트워크 보안 상황 감시 방법인 VisFlow를 제안하며, 기존 트래픽 플로우 시각화 기술의 단점인 대량 트래픽 발생 시의 직관성 상실 문제, 대칭적 주소 공간에 의한 반사현상 문제, 종단간 연결 의미의 상실 문제를 해결하고자 한다. VisFlow는 단순하고 효율적인 보안 시각화 인터페이스로써 플로우 시각화 기술을 활용하여 개별적인 트래픽 데이터들에서는 볼 수 없었던 다양한 네트워크 현상들을 패턴으로 형상화하고 관리 네트워크 내의 보안 상황을 실시간으로 분석 및 감시하는 방법이다. 트래픽 플로우의 포트 역할 분석 방법을 이용하여 노드 유형과 중요 정보를 식별 분류하고, 분류된 정보는 중요도에 따라 2D/3D 공간 상에 단순화 및 강조하여 표시함으로써 직관성과 실용성을 높인다. 또한, IP주소값에 기반한 비대칭적 노드 배치를 통해 반사현상 문제를 해결하고 노드간의 연결선을 활용하여 종단간의 세션 의미를 유지함으로써 정보성은 높인다. 관리자는 VisFlow를 통해 방대한 트래픽 데이터를 쉽게 탐색하고 전체 네트워크 상황을 직관적으로 파악함으로써 네트워크 보안 상황을 효과적으로 감시할 수 있다.
본 논문은 플로우 시각화 기반의 네트워크 보안 상황 감시 방법인 VisFlow를 제안하며, 기존 트래픽 플로우 시각화 기술의 단점인 대량 트래픽 발생 시의 직관성 상실 문제, 대칭적 주소 공간에 의한 반사현상 문제, 종단간 연결 의미의 상실 문제를 해결하고자 한다. VisFlow는 단순하고 효율적인 보안 시각화 인터페이스로써 플로우 시각화 기술을 활용하여 개별적인 트래픽 데이터들에서는 볼 수 없었던 다양한 네트워크 현상들을 패턴으로 형상화하고 관리 네트워크 내의 보안 상황을 실시간으로 분석 및 감시하는 방법이다. 트래픽 플로우의 포트 역할 분석 방법을 이용하여 노드 유형과 중요 정보를 식별 분류하고, 분류된 정보는 중요도에 따라 2D/3D 공간 상에 단순화 및 강조하여 표시함으로써 직관성과 실용성을 높인다. 또한, IP주소값에 기반한 비대칭적 노드 배치를 통해 반사현상 문제를 해결하고 노드간의 연결선을 활용하여 종단간의 세션 의미를 유지함으로써 정보성은 높인다. 관리자는 VisFlow를 통해 방대한 트래픽 데이터를 쉽게 탐색하고 전체 네트워크 상황을 직관적으로 파악함으로써 네트워크 보안 상황을 효과적으로 감시할 수 있다.
In this paper we propose a new method of security visualization, VisFlow, using traffic flows to solve the problems of existing traffic flows based visualization techniques that were a loss of end-to-end semantics of communication, reflection problem by symmetrical address coordinates space, and int...
In this paper we propose a new method of security visualization, VisFlow, using traffic flows to solve the problems of existing traffic flows based visualization techniques that were a loss of end-to-end semantics of communication, reflection problem by symmetrical address coordinates space, and intuitive loss problem in mass of traffic. VisFlow, a simple and effective security visualization interface, can do a real-time analysis and monitoring the situation in the managed network with visualizing a variety of network behavior not seen in the individual traffic data that can be shaped into patterns. This is a way to increase the intuitiveness and usability by identifying the role of nodes and by visualizing the highlighted or simplified information based on their importance in 2D/3D space. In addition, it monitor the network security situation as a way to increase the informational effectively using the asymmetrical connecting line based on IP addresses between pairs of nodes. Administrator can do a real-time analysis and monitoring the situation in the managed network using VisFlow, it makes to effectively investigate the massive traffic data and is easy to intuitively understand the entire network situation.
In this paper we propose a new method of security visualization, VisFlow, using traffic flows to solve the problems of existing traffic flows based visualization techniques that were a loss of end-to-end semantics of communication, reflection problem by symmetrical address coordinates space, and intuitive loss problem in mass of traffic. VisFlow, a simple and effective security visualization interface, can do a real-time analysis and monitoring the situation in the managed network with visualizing a variety of network behavior not seen in the individual traffic data that can be shaped into patterns. This is a way to increase the intuitiveness and usability by identifying the role of nodes and by visualizing the highlighted or simplified information based on their importance in 2D/3D space. In addition, it monitor the network security situation as a way to increase the informational effectively using the asymmetrical connecting line based on IP addresses between pairs of nodes. Administrator can do a real-time analysis and monitoring the situation in the managed network using VisFlow, it makes to effectively investigate the massive traffic data and is easy to intuitively understand the entire network situation.
* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.
문제 정의
본 논문에서는 네트워크 상황을 감시하기 위한 시각화 인터페이스인 VisFlow의 2가지 IP주소 배치 방법에 대해 설계 및 제안하고자 한다. 첫 번째는 플로우 데이터들을 간단하게 단순화시켜 네트워크 상황을 신속히 감시할 수 있는 시각화 인터페이스로 IP주소의 2D 공간 배치 방법이고, 두 번째는 서브네트워크와 호스트들을 세밀하게 감시할 수 있는 IP주소의 3D 공간 배치 방법이다.
본 논문에서는 단순하고 효율적인 보안 시각화인 터페이스인 VisFlow를 제안하고자 한다. 이는 트래픽 플로우의 포트 역할 분석 방법을 이용하여 노드 유형과 중요 정보를 식별하여 분류하고[4], 분류된 정보는 중요도에 따라 강조 표시 및 단순화함으로써 직관성과 실용성을 높이는 방법이다.
본 논문은 트래픽 플로우 시각화를 이용한 네트워크 상황 감시 도구인 VisFlow를 설계 및 구현하였다. 기존 트래픽 플로우 기반 시각화 기술들의 문제점인 종단간 연결 의미 상실 문제, 대칭적 주소 공간에 의한 반사현상 문제, 대량 트래픽 발생 시의 직관성 상실 문제를 근본적으로 해결하고자 VisFlow의 설계 단계에서부터 IP주소 공간 배치와 종단간 연결 의미를 중점적으로 다루었다.
제안 방법
본 논문은 트래픽 플로우 시각화를 이용한 네트워크 상황 감시 도구인 VisFlow를 설계 및 구현하였다. 기존 트래픽 플로우 기반 시각화 기술들의 문제점인 종단간 연결 의미 상실 문제, 대칭적 주소 공간에 의한 반사현상 문제, 대량 트래픽 발생 시의 직관성 상실 문제를 근본적으로 해결하고자 VisFlow의 설계 단계에서부터 IP주소 공간 배치와 종단간 연결 의미를 중점적으로 다루었다. 또한, 대량의 플로우가 발생할 경우 에도 중요 노드들을 강조하는 방법으로 직관성을 제공하도록 인터페이스를 설계했다.
기존 트래픽 플로우 기반 시각화 기술들의 문제점인 종단간 연결 의미 상실 문제, 대칭적 주소 공간에 의한 반사현상 문제, 대량 트래픽 발생 시의 직관성 상실 문제를 근본적으로 해결하고자 VisFlow의 설계 단계에서부터 IP주소 공간 배치와 종단간 연결 의미를 중점적으로 다루었다. 또한, 대량의 플로우가 발생할 경우 에도 중요 노드들을 강조하는 방법으로 직관성을 제공하도록 인터페이스를 설계했다. VisFlow의 구현과 실제 네트워크 환경의 플로우 데이터를 이용하여 실험한 결과, VisFlow를 통해 전술한 문제들을 해결하였고 네트워크 상황들을 감시할 수 있었다.
본 논문에서 제안한 트래픽 플로우 시각화 기술은 단순하지만 직관성을 높여 네트워크 상황 정보를 빠르게 제공한 방법으로써 트래픽 플로우 이외에 다른 보안이벤트(네트워크관리시스템, 공격탐지시스템, 공격 대응시스템 등의 이벤트)와 동작하여 활용할 수 있다. 또한, 보안관제 분야의 네트워크 상황 감시뿐만 아니라 공격 분석을 수행하는데 있어서도 기여할 것으로 사료된다.
대상 데이터
실험 데이터는 와 같이 UDP 1434 포트를 이용한 Slammer Worm 공격을 비롯한 각종 스캐닝 공격들이 포함되어 있으며, DDoS 공격은 자체 제작한 공격 도구를 이용하여 발생시켰다.
실험에 사용된 데이터는 한국과학기술정보연구원의 라우터(KREONET과 미국의 StarTap 구간)를 통해 수집한 Netflow v5 데이터이다. 실험 데이터는 <표 2>와 같이 UDP 1434 포트를 이용한 Slammer Worm 공격을 비롯한 각종 스캐닝 공격들이 포함되어 있으며, DDoS 공격은 자체 제작한 공격 도구를 이용하여 발생시켰다.
포트번호의 범위는 216 (65,536)개로써 매우 다양할 수 있으므로 색상과 매핑하여 데이터셋 속에서 규칙성과 특이성을 발견할 수 있도록 한다. 프로토콜은 tcp, udp, icmp와 같이 주요 프로토콜별로 빈도순으로 색인화하고 해당 프로토콜 선택하여 프로토콜에 따른 현상들을 감시한다.
성능/효과
또한, 대량의 플로우가 발생할 경우 에도 중요 노드들을 강조하는 방법으로 직관성을 제공하도록 인터페이스를 설계했다. VisFlow의 구현과 실제 네트워크 환경의 플로우 데이터를 이용하여 실험한 결과, VisFlow를 통해 전술한 문제들을 해결하였고 네트워크 상황들을 감시할 수 있었다.
후속연구
본 논문에서 제안한 트래픽 플로우 시각화 기술은 단순하지만 직관성을 높여 네트워크 상황 정보를 빠르게 제공한 방법으로써 트래픽 플로우 이외에 다른 보안이벤트(네트워크관리시스템, 공격탐지시스템, 공격 대응시스템 등의 이벤트)와 동작하여 활용할 수 있다. 또한, 보안관제 분야의 네트워크 상황 감시뿐만 아니라 공격 분석을 수행하는데 있어서도 기여할 것으로 사료된다. 향후에는 VisFlow와 네트워크관리시스템, 공격탐지시스템, 공격대응시스템, 그리고 보안관제시스템과의 연동을 위한 접속 인터페이스를 정의 및 구현하고 실제 연동을 통해 효용성을 극대화할 계획이다.
또한, 보안관제 분야의 네트워크 상황 감시뿐만 아니라 공격 분석을 수행하는데 있어서도 기여할 것으로 사료된다. 향후에는 VisFlow와 네트워크관리시스템, 공격탐지시스템, 공격대응시스템, 그리고 보안관제시스템과의 연동을 위한 접속 인터페이스를 정의 및 구현하고 실제 연동을 통해 효용성을 극대화할 계획이다.
질의응답
핵심어
질문
논문에서 추출한 답변
플로우 기반의 시각화 방법들이 네트워크 이상 현상들을 효율적으로 표시하는 이유는 무엇인가?
플로우 기반의 시각화 방법들은 세션 데이터 내의 출발지 IP주소와 목적지 IP주소의 연결관계를 이용하여 네트워크 이상 현상들을 효율적으로 표시한다[5, 6, 7]. 이는 네트워크 공격이 출발지 (공격자)와 목적지(피해자) 사이의 연결 행위, 즉 두 주체간의 방향성을 갖는 연결 표현이기 때문이다. 그 러므로 플로우 기반 분석 도구를 개발하는데 있어서 출발지 IP주소, 목적지 IP주소, 그리고 방향성은 매우 중요한 요소가 된다.
네트워크 트래픽 시각화 기술은 무엇인가?
네트워크 트래픽 시각화 기술은 정보 시각화 (Information Visualization) 기법을 사용하여 네트워크 트래픽 데이터들을 시각적 인터페이스 상에 의미있게 표시하고 네트워크 상황 정보를 사용자에게 전달하는 기법이다[1]. 시각화 기술은 한정된 공간 내에 많은 트래픽 데이터들을 동시에 표시할 수 있기 때문에 방대한 양의 트래픽 데이터들을 직관적으로 분석하는데 유용하다.
시각화 기술이 방대한 양의 트래픽 데이터들을 직관적으로 분석하는데 유용한 이유는 무엇인가?
네트워크 트래픽 시각화 기술은 정보 시각화 (Information Visualization) 기법을 사용하여 네트워크 트래픽 데이터들을 시각적 인터페이스 상에 의미있게 표시하고 네트워크 상황 정보를 사용자에게 전달하는 기법이다[1]. 시각화 기술은 한정된 공간 내에 많은 트래픽 데이터들을 동시에 표시할 수 있기 때문에 방대한 양의 트래픽 데이터들을 직관적으로 분석하는데 유용하다. 또한, 개별적인 트래픽 데이터들에서는 볼 수 없었던 다양한 네트워크 현상들을 패턴으로 형상화할 수 있으므로 사용자는 쉽게 네트워크 상황을 파악할 수 있다[2, 3].
참고문헌 (12)
E.L. Malecot, M. Kohara, Y. Hori, and K. Sakurai, "Interactively Combining 2D and 3D Visualization for Network Traffic Monitoring," Proceedings of the 3rd International Workshop on Visualization for Computer Security, pp. 123-127, 2006.
장범환, "종단간의 유사 연결 패턴을 갖는 정상 서버 활동과 공격의 구분 및 탐지 방법," 정보보호학회논문지, Vol. 22, No. 6, pp. 1315-1324, 2012.
A. Giani, I.G.D. Souza, V. Berk, and G. CybenkoI, "Attribution and Aggregation of Network Flows for Security Analysis," Proceedings of the 2006 CERT FloCon Workshop, pp. 1-4, 2006.
E.W. Bethel, S. Campbell, E. Dart, K. Stockinger, and K. Wu, "Accelerating Network Traffic Analytics Using Query-Driven Visualization," Proceedings of the 2006 IEEE Symposium on Visual Analytics Science and Technology, pp. 115-122, 2006.
R. Ball, G.A. Fink, and C. North, "Home-Centric Visualization of Network Traffic for Security Administration," Proceedings of the 2004 ACM Workshop on Visualization and Data Mining for Computer Security, pp. 55-64, 2004.
Y. Hu, "Adaptive Flow Aggregation-A New Solution for Robust Flow Monitoring under Security Attacks," Proceedings of the 10th IEEE/IFIP on Network Operations and Management Symposium, pp. 424-435, 2006.
K. Lakkaraju, W. Yurcik, and A.J. Lee, "NVisionIP: Netflow Visualizations of System State for Security Situational Awareness," Proceedings of the 2004 ACM Workshop on Visualization and Data Mining for Computer Security, pp. 65-72, 2004.
X. Yin, W. Yurcik, and A. Slagell, "The Design of VisFlowConnect-IP: A Link Analysis System for IP Security Situational Awareness," Proceedings of the 3rd IEEE International Workshop on Information Assurance, pp. 141-153, 2005.
T. Taylor, D. Paterson, J. Glanfield and et al., "FloVis: Flow visualization system," Conference For Homeland Security, 2009. CATCH'09. Cybersecurity Applications & Technology, pp. 186-198, 2009.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.