[논문]기계학습 기반 내부자위협 탐지기술: RNN Autoencoder를 이용한 비정상행위 탐지

하동욱; 강기태; 류연승

doi:10.13089/jkiisc.2017.27.4.763

초록
AI-Helper

최근 몇 년 동안 지속적으로 개인정보유출, 기술유출 사고가 빈번하게 발생하고 있다. 조사에 따르면 이러한 유출 사고의 주체로 가장 많은 부분을 차지하고 있는 것이 조직 내부에 있는 '내부자'로, 내부자에 의한 기술유출은 조직에 막대한 피해를 주기 때문에 점점 더 중요한 문제로 여겨지고 있다. 본 논문에서는 내부자위협을 방지하기 위해 기계학습을 이용하여 직원들의 일반적인 정상행위를 학습하고, 이에 벗어나는 비정상 행위를 탐지하기 방법에 대한 연구를 하고자 한다. Neural Network 모델 중 시계열 데이터의 학습에 적합한 Recurrent Neural Network로 구성한 Autoencoder를 구현하여 비정상 행위를 탐지하는 방법에 대한 실험을 진행하였고, 이 방법에 대한 유효성을 검증하였다.

Abstract ▼ AI-Helper

In recent years, personal information leakage and technology leakage accidents are frequently occurring. According to the survey, the most important part of this spill is the 'insider' within the organization, and the leakage of technology by insiders is considered to be an increasingly important is...

In recent years, personal information leakage and technology leakage accidents are frequently occurring. According to the survey, the most important part of this spill is the 'insider' within the organization, and the leakage of technology by insiders is considered to be an increasingly important issue because it causes huge damage to the organization. In this paper, we try to learn the normal behavior of employees using machine learning to prevent insider threats, and to investigate how to detect abnormal behavior. Experiments on the detection of abnormal behavior by implementing an Autoencoder composed of Recurrent Neural Network suitable for learning time series data among the neural network models were conducted and the validity of this method was verified.

주제어

AI 본문요약
AI-Helper

문제 정의

본 논문에서는 지속적으로 발생하고 있는 유출사고의 주된 원인인 내부자 위협을 방지하기 위해 비정 상행위를 탐지하는 방법에 대하여 연구를 진행 하였다. 기존의 HMM과 클러스터링에 의한 탐지 연구는 현재의 상태를 예측할 때 이전 상태에만 의존한다는 모델 자체의 한계와 1주일 단위로 탐지를 진행하여 비정상행위 탐지가 낮다는 한계와 결과를 보고 직관 적으로 비정상행위를 알아내기 어렵다는 한계가 있었다.

제안 방법

우리의 실험에서는 인공 신경망 모델 중 입력 값의 순서를 고려하여 학습을 하는 RNN의 속성을 이용한 Autoencoder를 구현하여 HMM보다 긴 의존성을 갖고 일단위로 내부자 위협을 탐지해내는 모델을 만들고, 모델을 통해 나온 값을 통해 쉽게 정상행위와 비정상행위를 구분할 수 있는 방법 대해 실험을 진행 하였다. 실험 데이터로는 내부자위협 연구에서 널리 사용되고 있는 CERT dataset을 이용하였다.

대상 데이터

우리의 실험에서는 인공 신경망 모델 중 입력 값의 순서를 고려하여 학습을 하는 RNN의 속성을 이용한 Autoencoder를 구현하여 HMM보다 긴 의존성을 갖고 일단위로 내부자 위협을 탐지해내는 모델을 만들고, 모델을 통해 나온 값을 통해 쉽게 정상행위와 비정상행위를 구분할 수 있는 방법 대해 실험을 진행 하였다. 실험 데이터로는 내부자위협 연구에서 널리 사용되고 있는 CERT dataset을 이용하였다. Autoencoder의 입력 값과 출력 값이 같다는 성질을 이용해 사용자의 정상 행위 패턴을 학습한 후, 입력 값과 출력 값의 차이(loss)를 구하여 비정상 행위를 탐지해 냈다.
CERT dataset은 카네기 멜론 대학의 CERT 부서에서 제공하는 내부자위협 연구 데이터로 가상의 기업에 다니고 있는 내부자들의 데이터들이 담겨져 있고, 내부자들 중엔 악의적 의도를 갖고 회사에 피해를 주는 행위를 하는 악의적 내부자도 존재한다[10]. 현재 r1버전부터 r6버전까지 나왔으며 우리의 실험에서는 r4.2를 이용하였다. r4.

성능/효과

주 단위가 아닌 일 단위 탐지 결과로 95%이상의 민감도를 보였고, loss 값을 이용하여 직관적인 비정상행위의 분류에 성공하였다. 이는 기존의 연구와 비교하여 더 쉽고 빠르게 비정상행위를 탐지하여 조치를 취할 수 있다는 점에서 기존의 모델보다 좋은 성능을 갖고 있다고 말할 수 있다.
Autoencoder의 입력 값과 출력 값이 같다는 성질을 이용해 사용자의 정상 행위 패턴을 학습한 후, 입력 값과 출력 값의 차이(loss)를 구하여 비정상 행위를 탐지해 냈다. 주 단위가 아닌 일 단위 탐지 결과로 95%이상의 민감도를 보였고, loss 값을 이용하여 직관적인 비정상행위의 분류에 성공하였다. 이는 기존의 연구와 비교하여 더 쉽고 빠르게 비정상행위를 탐지하여 조치를 취할 수 있다는 점에서 기존의 모델보다 좋은 성능을 갖고 있다고 말할 수 있다.

후속연구

향후에 본 논문에서 발생한 미탐과 과탐의 문제를 해결하기 위해 더욱 다양한 탐지 지표(파일의 중요도, 접속 pc, 누구에게 메일을 보냈는지, 어느 웹 사이트에 접속을 하였는지 등)를 이용하여 더 높은 성능을 나타내는 탐지 모델을 개발할 예정이며, 다른 기계학습 모델과의 결합을 고려하여 연구를 할 계획이다. 또한 특정 행위의 반복에 의한 악의적 행동에 대한 탐지를 penalty를 적용하는 방법 외에 학습 데이터 구성과 관련된 연구가 필요하며 반복적인 학습을 통해 과탐을 줄이는 방법 또한 고려해 볼 필요가 있다.
그러나 CERT dataset의 시나리오 5의 경우 파일을 웹에 올리는 행위로 우리의 실험에서는 웹사이트에 접속하는 행위 외에 어떤 웹사이트에 접근하는지, 웹사이트에서 어떤 행위를 하는지 알 수 없기 때문에 탐지해 낼 수 없었다. 향후에 본 논문에서 발생한 미탐과 과탐의 문제를 해결하기 위해 더욱 다양한 탐지 지표(파일의 중요도, 접속 pc, 누구에게 메일을 보냈는지, 어느 웹 사이트에 접속을 하였는지 등)를 이용하여 더 높은 성능을 나타내는 탐지 모델을 개발할 예정이며, 다른 기계학습 모델과의 결합을 고려하여 연구를 할 계획이다. 또한 특정 행위의 반복에 의한 악의적 행동에 대한 탐지를 penalty를 적용하는 방법 외에 학습 데이터 구성과 관련된 연구가 필요하며 반복적인 학습을 통해 과탐을 줄이는 방법 또한 고려해 볼 필요가 있다.

질의응답

핵심어	질문	논문에서 추출한 답변
	HMM이란 무엇인가?	가장 대표적인 방법으로는 Hidden Markov Model(HMM)을 사용하여 탐지하는 모델이다. HMM은 일련의 순차적인 성질을 내포하고 있는 데이터를 다루는 문제에 잘 적용 될 수 있는 모델로써, 음성데이터와 같은 순차적 데이터를 인식하는데 널리 사용되어 왔다. Tabish Rashid 등[3]은 HMM을 이용한 내부자위협 탐지에 대한 연구를 하였다.
	HMM을 이용한 모델의 단점의 예시로는 무엇이 있는가?	HMM을 이용한 [3]의 실험에 서는 사용자의 행위를 1주일 단위로 탐지를 해내는 방식으로 진행하였기 때문에, 탐지의 효율성이 떨어지는 문제가 발생 할 수 있다. 예를 들어, 월요일에 발생한 위협 행위가 금요일이 지나서야 탐지가 되기 때문에 이미 중요 데이터는 외부로 유출될 가능성이 크다.
	RNN이란 무엇인가?	RNN은 인공신경망의 모델 중 한 종류로써 입력으로 이전의 입력과 함께 현재의 입력을 고려하게 되는 신경망 모델로, 시계열 데이터 학습에 적합한 알고리즘 이다. 기존의 일반적인 신경망 모델은 입력으로 현재의 하나의 입력만 처리하였기 때문에 입력순서에 독립적이라고 말할 수 있지만 RNN은 현재의 입력과 이전의 입력을 함께 고려하기 때문에 입력순서에 종속적인 성질을 나타낸다.

참고문헌 (14)

M.B.Salem, S.Hershkop, and S.J.Stolfo. "A Survey of Insider Attack Detection research," Advances in Information Security, vol.39 pp 69-90, Aug. 2007
Financial Security Institute, 2017 Top 10 issue report in Financial IT Security. Jan. 2017
T.Rashid, I.Agrafiotis, and J.R.C. Nurse, "A New Take on Detecting Insider Threats: Exploring the Use of Hidden Markov Models," Proceedings of the 8th ACM CCS International Workshop on Managing Insider Security Threats, pp. 47-56, Oct. 2016
P.Parveen and B.Thuraisingham, "Unsupervised incremental sequence learning for insider threat detection," Proceedings of 2012 IEEE International Conference on Intelligence and Security Informatics, pp.141-143, Jun. 2012
Hyun-Song Jang, "Data-mining Based Anomaly Detection in Document Management System," Journal of the Knowledge Information Technology and Systems(JKITS), 10(4), pp. 465-473, Aug. 2015
Jun-hong Kime, Min-sik, Hae-dong Kim, Su-hyun Cho, Phil-sung Kang, Dae-woo Lee, Kyung-ah Yang, and Ki-hun Kim, "Methodology about Insider Threat Detect Technic Using Anomaly Detection," Proceedings of the Korean Institute Of Industrial Engineers(KIIE) Fall Conference, pp 1217-1249, Nov. 2016
O.Bradiczka, J.Liu, B.Price, J.Shen, A.Patil,　R.Chow, E.Bart, and N.Ducheneaut, "Proactive Insider Threat Detection through Graph Learning and Psychological Context," Proceedings of the 2012 IEEE Symposium on Security and Privacy Workshops, pp.142-149, May, 2012
Department of Homland Security(DHS), "Combating the Insider Threat," May. 2014
Young-Hwan Lim, Jun-Suk Hong, Kwang Ho Kook, and Won Hyung Park, "A Study on Insider Behavior Scoring System to Prevent Data Leaks," Jouranl of the Information and Security, 15(5), pp.77-86, Sep. 2015
Insider Threat Tools - The CERT Divisio n. [Online]. Available: "https://www.cert.org/insider-threat/tools/"
Bong-Goo Park, "Anomaly Detection Performance Analysis of Neural Networks using Soundex Algorithm and N-gram Techniques based on System Calls," Journal of the Internet Computing and Services(JICS), 6(5) pp. 45-56, Oct. 2005
M.Goldstein and S.Uchida, "A Comparative Evaluation of Unsupervised Anomaly Detection Algorithms for Multivariate Data," PLOS ONE vol.11 no.4 http://dx.doi.org/10.1371/journal.pone.0152173 Apr. 2016

상세보기
H.Kaur, G.Singh, and J.Minhas, " A Review of Machine Learning based Anomaly Detection Techniques," Journal of Computer Applications Technology and Research vol.2-issue 2, pp 185-187, Jul. 2013
X.Xu, Machine Learning for Sequential Behavior Modeling and Prediction. Machine Learning, Abdelhamid Mellouk and Abdennacer Chebira (Ed.), InTech. Jan. 2009

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

기계학습 기반 내부자위협 탐지기술: RNN Autoencoder를 이용한 비정상행위 탐지
Detecting Insider Threat Based on Machine Learning: Anomaly Detection Using RNN Autoencoder 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약
AI-Helper

문제 정의

제안 방법

대상 데이터

성능/효과

후속연구

질의응답

참고문헌 (14)

이 논문을 인용한 문헌

저자의 다른 논문 :

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

연관된 기능

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

기계학습 기반 내부자위협 탐지기술: RNN Autoencoder를 이용한 비정상행위 탐지 Detecting Insider Threat Based on Machine Learning: Anomaly Detection Using RNN Autoencoder 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

대상 데이터

성능/효과

후속연구

질의응답

참고문헌 (14)

이 논문을 인용한 문헌

저자의 다른 논문 :

류연승 (15)

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

연관된 기능

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

기계학습 기반 내부자위협 탐지기술: RNN Autoencoder를 이용한 비정상행위 탐지
Detecting Insider Threat Based on Machine Learning: Anomaly Detection Using RNN Autoencoder 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper