[논문]인공신경망 알고리즘을 통한 사물인터넷 위협 탐지 기술 연구

오성택; 고웅; 김미주; 이재혁; 김홍근; 박순태

문제 정의

보안에 대한 전문 지식이 부족한 사물인터넷 기기 사용자는 침해사고의 발생여부조차 인지하기 어려우며, 인지하여도 대응하기가 쉽지 않다. 본 논문에서는 이러한사물인터넷 환경적 특성을 고려하여 사용자의 개입 없이 사물인터넷 장치의 네트워크 패킷 정보를 활용하여위협을 탐지하며 다양하고 리소스가 제한된 사물인터넷기기들을 대상으로 이뤄지는 위협의 탐지와 대응을 위한 인공신경망 알고리즘 기반의 탐지 기술을 제안한다.

가설 설정

결과는 그림 6, 7, 8과같다. 첫 번째 실험의 경우 오토인코더의 표현층 차원수를 20으로 설정하였으며, 두 번째 실험의 경우 오토인코더의 표현층 차원 수를 10으로 설정하였으며, 세번째 실험의 경우 오토인코더의 표현층 차원 수를 5로설정하였다. 오토인코더와 소프트맥스의 학습률은0.

제안 방법

네트워크 트래픽 데이터에서 가공하여 공격 탐지에유효한 41개 특성으로 구성되어 있다. 4가지 유형(기본, 패킷 콘텐츠, 타임 윈도우, 호스트)으로 분류하였으며, IP주소와 Port 정보는 포함되어 있지 않다. 본 논문에서는 5튜플 정보와 패킷 길이와 연관된 특성을 위주로 분석하였다.
플러딩 공격에는 ICMP 프로토콜의 특정 Type과 Code의 패킷을 이용하므로 ICMP의 Type과 Code 필드 부분을 특성 정보로 활용하였다.ICMP를 통한 플러딩 같은 특수한 공격 상황에서ICMP 패킷의 비율이 늘어나며 다른 패킷 대비 ICMP패킷의 비율 또한 특성 정보로 활용하였다.
공개된 공격 도구를 활용하여 사물인터넷 공격 데이터 셋을 그림 4와 같이 생성하였다. Pyrai, LOIC,scapy를 활용한 스크립트를 활용하여 임의의 PC에서 공격을 수행한 후 IP, MAC 주소를 수정하여 사물인터넷 환경에서 발생한 것처럼 보이도록 조작하였다.
본 논문에서 분석한 공격 유형 중에 ARP 스푸핑 공격이 있다. ARP 스푸핑 공격의 특성상 ARP 패킷이발생하고 이 발생된 패킷의 ARP operation 정보를 활용하면 해당 공격을 탐지할 수 있다.
본 논문에서 제안하는 연구를 위해 1차적으로 네트워크 패킷 데이터로부터 특성을 추출하였지만 몇 개의특성이 조합되었을 때 패킷의 특성을 더욱 잘 나타낼수도 있기 때문에 이러한 가능성을 염두에 두어 오토인코더를 활용하였다. 감시 네트워크와 사물인터넷 환경을 세팅하여 크지 않은 규모의 로컬 네트워크에서 여러개의 오토인코더를 앙상블 하여 공격을 효과적으로 탐지할 수 있음을 기존 연구를 통하여 확인하였다[3].
본 논문에서 제안하는 탐지 모델의 구조는 오토인코더의 디코더 부분을 대신하여 소프트맥스 함수를 표현계층에 연결한 구조이며, 비지도 학습 방식의 오토인코더의 결과를 소프트맥스 함수에서 9개 세부 공격으로탐지한다. 본 논문에서 제안한 탐지 모델의 성능 검증을 위해 총 3번의 실험을 하였으며, 학습 데이터와 검증 데이터의 비율은 9:1, 데이터가 많은 클래스를 랜덤샘플링 하여 비율을 낮추었다.
본 논문에서 제안하는 탐지 모델의 구조는 오토인코더의 디코더 부분을 대신하여 소프트맥스 함수를 표현계층에 연결한 구조이며, 비지도 학습 방식의 오토인코더의 결과를 소프트맥스 함수에서 9개 세부 공격으로탐지한다. 본 논문에서 제안한 탐지 모델의 성능 검증을 위해 총 3번의 실험을 하였으며, 학습 데이터와 검증 데이터의 비율은 9:1, 데이터가 많은 클래스를 랜덤샘플링 하여 비율을 낮추었다. 결과는 그림 6, 7, 8과같다.
4가지 유형(기본, 패킷 콘텐츠, 타임 윈도우, 호스트)으로 분류하였으며, IP주소와 Port 정보는 포함되어 있지 않다. 본 논문에서는 5튜플 정보와 패킷 길이와 연관된 특성을 위주로 분석하였다.
기존 DARPA‘98 침입탐지시스템 평가 프로그램에서 수집된 데이터를 기반으로 만들어진 KDDCUP(KDD'99)에서 중복된 레코드를 삭제하고, 크기를줄여 특정 공격에 치우치게 학습되지 않도록 가공한데이터 셋 이다[1]. 분류 알고리즘이 bias 되지 않은 결과를 도출할 수 있도록 중복된 레코드를 제거하였다.학습 및 검증 데이터 셋에서 적절한 수의 레코드를 사용할 수 있으며, 학습 셋은 125,973건, 검증 셋은 22,544건의 레코드로 축소하였다.
사물인터넷환경에서 가장 많이 발견되는 공격 유형을 탐지할 수있다. 사물인터넷 환경에서의 침입탐지 논문들에서 공통적으로 다루고 있는 공격 유형들을 분석하였고 인공신경망 학습을 위하여 사물인터넷 환경에서의 대표적인 공격 중 실제로 이를 재현할 수 있는 공격을 선정하였다[4-9]. 대표적인 분류로는 Probing, R2L(Remoteto Local), U2R(User to Root), Denial ofService(DoS)이며, U2R의 경우 네트워크상에서 확인하기 어려운 공격이기에 제외하였다.
이를 위해 사물인터넷 환경에서 주로 발생하는 위협에 대해 분석하고분석정보를 통해 탐지를 위한 특성 정보를 도출하였으며, 오토인코더의 인코더 부분과 소프트맥스 함수를 연결하여 위협을 식별하였다. 오토인코더가 사물인터넷네트워크 패킷을 효율적으로 압축할 수 있다고 판단하였고, 공격의 탐지를 위하여 오토인코더를 지도학습 기반의 분류기로 확장할 수 있도록 소프트맥스 함수를연결하여 모델을 생성하였다.
오토인코더의 인코더 출력 값을 N개의 클래스로 분류하기 위해 소프트맥스 함수를 적용하였다. 정상 패킷과 공격 패킷의 주요한 특징을 추출하여 패킷의 종류를 분류할 수 있다.
사물인터넷 환경에서의 주로 발생하는 공격은미라이 봇넷 공격이다. 이러한 분산 서비스 거부 공격유형에 집중된 특성 정보를 추출하였다. 전송된 패킷간의 시간차를 특성정보로 활용하거나 출발지와 목적지의 주소정보 간의 패킷 수와 같이 기존 연구에서도본 논문에서 분석한 특성정보와 유사한 특성을 활용하고 있다[10-11].
본 논문에서 제안하는 인공신경망 기반의 사물인터넷 위협 탐지 기술은 오토인코더 신경망 구조와 소프트맥스 함수의 적용을 통해 비지도 학습 방식인 오토인코더의 결과를 소프트맥스 함수에 연결하여 탐지하고자 하는 위협을 분류하는 기술이다. 이를 위해 사물인터넷 환경에서 주로 발생하는 위협에 대해 분석하고분석정보를 통해 탐지를 위한 특성 정보를 도출하였으며, 오토인코더의 인코더 부분과 소프트맥스 함수를 연결하여 위협을 식별하였다. 오토인코더가 사물인터넷네트워크 패킷을 효율적으로 압축할 수 있다고 판단하였고, 공격의 탐지를 위하여 오토인코더를 지도학습 기반의 분류기로 확장할 수 있도록 소프트맥스 함수를연결하여 모델을 생성하였다.
각 샘플들은 ‘정상’ 또는 ‘공격’으로 분류되어 있으며, 그림 3과 같이 39개의 다른 공격 유형은4개의 클래스로 분류할 수 있다. 정상, DoS, Probe,R2L, U2R 총 5개 클래스로 분류하였다.
ICMP 공격에는 Ping 플러딩, ICMP echo 플러딩,smurf 공격 등이 있다. 플러딩 공격에는 ICMP 프로토콜의 특정 Type과 Code의 패킷을 이용하므로 ICMP의 Type과 Code 필드 부분을 특성 정보로 활용하였다.ICMP를 통한 플러딩 같은 특수한 공격 상황에서ICMP 패킷의 비율이 늘어나며 다른 패킷 대비 ICMP패킷의 비율 또한 특성 정보로 활용하였다.
그렇기 때문에 공격을 탐지하는데 있어 특성 정보가 크게 달라지기 어려운 부분이 있다. 하지만 사물인터넷 환경에 특화된 특성 정보를 연구를 통해 분석하였다. 사물인터넷 환경에서의 주로 발생하는 공격은미라이 봇넷 공격이다.

대상 데이터

기존 DARPA‘98 침입탐지시스템 평가 프로그램에서 수집된 데이터를 기반으로 만들어진 KDDCUP(KDD'99)에서 중복된 레코드를 삭제하고, 크기를줄여 특정 공격에 치우치게 학습되지 않도록 가공한데이터 셋 이다[1].
특성 연구를 통하여 추출된 특성 정보를 오토인코더 알고리즘을 활용하여 한 번 더 압축하여 표현하였고, 좀 더 성능을 보완할 수 있었다. 본 논문에서는 24개의 특성정보를 추출하였으며, 이중 4개의 특성정보는 One Hot 인코딩을 통하여 26개 특성 정보를늘려 총 46개 특성 정보를 활용한다.
분류 알고리즘이 bias 되지 않은 결과를 도출할 수 있도록 중복된 레코드를 제거하였다.학습 및 검증 데이터 셋에서 적절한 수의 레코드를 사용할 수 있으며, 학습 셋은 125,973건, 검증 셋은 22,544건의 레코드로 축소하였다. 총 42개의 특성으로 41개의 서로 다른 특성과 1개의 분류한 공격 클래스로구성되어 있으며, 각 특성들은 다른 데이터 유형을 갖고 있다[2].

성능/효과

최근 5G 네트워크가 크게 발달되면서 사물인터넷의 활용도가 커지며 관련 시장이 급격히 확대되고 있다. 시장조사업체 IHS마켓의 분석 결과에 따르면 전 세계 사물인터넷 장비대수는 2020년 400억대에서 2030년1,400억대로 급증할 것으로 전망되고 있으며, 또한 전세계 사물인터넷 2019년 상반기 지출은 7,265억 달러로 전년대비 17.1% 증가하였으며 19-23년 기대 연평균성장률은 12.6%에 달한다. 하지만 이와 관련하여 침해 사고의 규모도 매우 커질 것으로 예측되고 있다.
아직은 사물인터넷 네트워크상에서 실제 사물인터넷 데이터 셋을 활용한 침입탐지 모델에대한 연구가 충분히 많이 이루어지지는 않았기에 어떤모델이 사물인터넷 침입 탐지에 적합하다고 판단하기어려우며, 어떤 특성 정보가 기존 환경과 달리 사물인터넷 환경에 특히 적합하다고 선정하기도 어려운 부분이 있었다. 특성 연구를 통하여 추출된 특성 정보를 오토인코더 알고리즘을 활용하여 한 번 더 압축하여 표현하였고, 좀 더 성능을 보완할 수 있었다. 본 논문에서는 24개의 특성정보를 추출하였으며, 이중 4개의 특성정보는 One Hot 인코딩을 통하여 26개 특성 정보를늘려 총 46개 특성 정보를 활용한다.

핵심어	질문	논문에서 추출한 답변
	기계학습이란 무엇인가?	기계학습은 명시적으로 작성된 프로그램에 따라 동작하는 것이 아닌 데이터로부터 학습을 통해 작업을수행할 수 있도록 가르치는 것이다. 이러한 기계학습은인공지능의 한 분야로 컴퓨터가 여러 데이터를 이용하여 학습한 내용을 바탕으로 예측이나 결정을 도출하기위해 특정한 모델을 구축한다.
	사물인터넷이란 무엇인가?	사물인터넷은 여러 사물들에 정보통신기술이 접목되어 인터넷을 통해 실시간으로 데이터를 공유하는 기술이다. 실생활에서 흔히 사용되는 가전제품 등을 인터넷과 연결하여 사용자가 원격에서 다양한 정보를 확인하고 사물의 제어를 할 수 있는 것이 큰 특징이다.
	사물인터넷의 특징은 무엇인가?	사물인터넷은 여러 사물들에 정보통신기술이 접목되어 인터넷을 통해 실시간으로 데이터를 공유하는 기술이다. 실생활에서 흔히 사용되는 가전제품 등을 인터넷과 연결하여 사용자가 원격에서 다양한 정보를 확인하고 사물의 제어를 할 수 있는 것이 큰 특징이다. 최근 5G 네트워크가 크게 발달되면서 사물인터넷의 활용도가 커지며 관련 시장이 급격히 확대되고 있다.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

인공신경망 알고리즘을 통한 사물인터넷 위협 탐지 기술 연구 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper

문제 정의

가설 설정

제안 방법

대상 데이터

성능/효과

질의응답

이 논문을 인용한 문헌

저자의 다른 논문 :

연구과제 타임라인

관련 콘텐츠

원문 보기

원문 URL 링크

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

인공신경망 알고리즘을 통한 사물인터넷 위협 탐지 기술 연구 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

가설 설정

제안 방법

대상 데이터

성능/효과

질의응답

이 논문을 인용한 문헌

저자의 다른 논문 :

오성택 (5) 고웅 (4) 김미주 (7) 이재혁 (2)

연구과제 타임라인

전체(0) 논문(0) 특허(0) 보고서(0)

전체(0) 논문(0) 특허(0) 보고서(0)

관련 콘텐츠

원문 보기

원문 URL 링크

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

초록
AI-Helper

AI 본문요약
AI-Helper