[논문]IP 주소 기반 사이버공격 실시간 및 통계적 가시화 방법

문형우; 권태웅; 이준; 류재철; 송중석

doi:10.13089/jkiisc.2020.30.3.465

IP 주소 기반 사이버공격 실시간 및 통계적 가시화 방법
A Real-Time and Statistical Visualization Methodology of Cyber Threats Based on IP Addresses 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.30 no.3, 2020년, pp.465 - 479

문형우 (한국과학기술정보연구원) , 권태웅 (한국과학기술정보연구원) , 이준 (한국과학기술정보연구원) , 류재철 (충남대학교) , 송중석 (한국과학기술정보연구원)

초록
AI-Helper

국내·외 기업 및 기관들은 사이버위협으로부터 자신들의 IT 인프라를 안전하게 보호하기 위해 24시간/365일 모니터링 및 대응할 수 있는 보안관제센터를 활용하고 있다. 하지만, 현재 대부분의 보안관제센터는 전문 인력에 의한 수동분석과 텍스트 기반의 보안관제체계에 의존하는 태생적인 한계점을 안고 있다. 이러한 보안관제체계의 문제점들을 극복하기 위해 가시화 기술을 활용한 사이버위협 탐지·분석 연구가 활발하게 진행되고 있지만 이들 연구의 대부분은 보안관제 분야에 최적화되어 있지 않고, 많은 경우에 개별 기관에서만 활용할 수 있다는 제한이 따랐다. 따라서 본 논문에서는 보안관제 분야의 최종 목표인 실제 공격자 IP를 탐지할 수 있을 뿐만 아니라, 보안관제센터에서도 활용할 수 있는 새로운 가시화 방법론을 제안한다. 본 논문에서 제안하는 가시화 방법론의 핵심은 보안이벤트를 발생시킨 공격자(IP)의 행위정보를 실시간 및 추적(통계) 분석을 가능하게 하는 것이다. 제안된 가시화 방법론을 기반으로 개발된 시스템을 실제 보안관제센터에 성공적으로 적용하였으며, 실제 운영을 통해 다양한 공격자 IP를 탐지 및 분석하는데 성공함으로써 본 논문에서 제안한 가시화 방법론의 실용성 및 유효성을 검증했다.

Abstract ▼ AI-Helper

Regardless of the domestic and foreign governments/companies, SOC (Security Operation Center) has operated 24 hours a day for the entire year to ensure the security for their IT infrastructures. However, almost all SOCs have a critical limitation by nature, caused from heavily depending on the manual analysis of human agents with the text-based monitoring architecture. Even though, in order to overcome the drawback, technologies for a comprehensive visualization against complex cyber threats have been studying, most of them are inappropriate for the security monitoring in large-scale networks. In this paper, to solve the problem, we propose a novel visual approach for intuitive threats monitoring b detecting suspicious IP address, which is an ultimate challenge in cyber security monitoring. The approach particularly makes it possible to detect, trace and analysis of suspicious IPs statistically in real-time manner. As a result, the system implemented by the proposed method is suitably applied and utilized to the real-would environment. Moreover, the usability of the approach is verified by successful detecting and analyzing various attack IPs.

주제어

표/그림 (19)

그림 Fig. 1. Examples of Visualization for Security Events
그림 Fig. 2. Visualization example from DAEDALUS-VIZ[21]
그림 Fig. 3. Conceptual image of the proposed visualization methodology
그림 Fig. 4. Conceptual image of attack behavior (statistics) on IP
그림 Fig. 5. Conceptual image for attack behavior of IP according to the change of time (in 1-minute increments)
표 Table 1. Description of 10 Attack Behaviors
그림 Fig. 6. Representative cases of attack behavior
표 Table 2. Five statistical information
그림 Fig. 7. Overall screen of visualization system
표 Table 3. Main Software and Hardware specifications for Development and Execution of the proposed Visualization System
그림 Fig. 8. Display of IP address
그림 Fig. 9. 10 kinds of statistical information
그림 Fig. 10. Risk scores of all 500 IP addresses (Top 20)
그림 Fig. 11. Remove and Addition of IP addresses
그림 Fig. 12. Attack behaviors of each IP address in the long term(1day ~ 1year)
그림 Fig. 13. Example of visualization for suspicious threats (malware)
그림 Fig. 14. Monitoring result from traditional text-based alert system
그림 Fig. 15. Example of visualization for suspicious threats (cryptocurrency miner)
그림 Fig. 16. Example of visualization for suspicious threats (port scanning)

질의응답

핵심어	질문	논문에서 추출한 답변
	DAEDALUS-VIZ란?	반면, DAEDALUS-VIZ[21]는 실시간 분석환경을 지원하는 다크넷 보안관제를 위한 가시화 시스템이 다. 특히 내/외부 다기관에 걸친 트래픽을 모두 감시하고 침해위협 행위를 검출하는 알고리즘을 설계함으로써 범용성 있는 보안관제 환경을 구축 가능하게 하였다.
	사이버위협으로부터 IT 인프라를 보호하기 위한 기업 및 기관들의 대처는?	랜섬웨어, 지능형 지속 위협(APT), 분산서비스 거부(DDoS), 멀웨어(malware)등의 사이버위협은 해마다 지능화·고도화되고 있으며, 이로 인한 실제 피해대상 및 규모 또한 광범위하게 확대되고 있다. 국내·외 기업 및 기관들은 사이버위협으로부터 자신들의 IT 인프라를 안전하게 보호하기 위해 24시간 /365일 모니터링 및 대응할 수 있는 보안관제센터를 자체적으로 운영 하거나 전문기업을 통한 아웃소싱 (outsourcing)을 이용하고 있다. 그 결과 국내 보안관제 서비스의 규모는 매년 약 10% 이상 급격히 성장 중이며[1][2], 뿐 만 아니라 캐나다, 독일, 영국, 미국 등의 해외 주요국가에서도 기업의 84%, 대기업 중 약 91%가 보안관제센터를 구축 및 운영 하고 있다[3].
	보안관제센터가 사이버위협에 신속하고 정확하게 대응하는 것이 어려운 이유는?	특히 네트워크의 규모와 속도가 급격하게 발전함에 따라 이를 효율적으로 모니터링 할 수 있는 방법과 도구들이 요구되었지만 여전히 전통적인 텍스트기 반의 보안관제체계가 유지되고 있으며, 이로 인해 급증하는 보안이벤트에 효과적으로 대응하지 못 하고 있다. 보안관제요원들 또한 가시성 부족 및 과중한 업무 등을 보안관제의 효율성 저해의 요인으로 지적 하였다[4][5].

참고문헌 (21)

Korea Information Security Industry Association (KISIA), Annual report for 2019: Survey for information security industry in korea, 2019.
Korea Information Security Industry Association (KISIA), The First Annual report for 2019: Industry trend of information security report, 2019.
McAfee Labs, Quarterly Threat Report for 2016: McAfee labs threats report, Dec. 2016.
Ponemon Institute Research, Analyst Research Report for 2019: Improving the effectiveness of the SOC, June. 2019.
Endance, Research Report for 2019: Challenges of managing and securing the network, 2019.
Imperva, Survey for 2108: 27 Percent of IT professionals receive more than 1 million security alerts daily, May. 2018.
Demisto, The second annual state of incident response report for 2018: The state of SOAR report, 2018.
Enterprise Management Associates (EMA), White Paper for 2017: InfoBrief: a day in the life of a cyber security pro, May. 2017.
Lee Dong-Gun, Kim, Huy Kang, and Kim, Eunjin, "Study on security log visualization and security threat detection using RGB palette," The Journal of the Korea Institute of Information Security & Cryptology, 25(1), pp. 61-73, Feb. 2015

원문보기 상세보기
Park, Jae-Beom, Kim, Huy Kang, and Kim, Eunjin, "Design and implementation of the honeycomb structure visualization system for the effective security situational awareness of large-scale networks," The Journal of the Korea Institute of Information Security & Cryptology, 24(6), pp. 1197-1213, Dec. 2014

원문보기 상세보기
Koo Bon-Hyun, Cho kyu-Hyung, Cho Sang-Hyun, and Moon Jong-Sub, "Real-time web attack detection visualization tool design and implementation using HTTP header information," Proceedings of the Korea Institutes of Information Security and Cryptology Conference, pp. 637-640, June. 2006
Girardin, Luc, "An eye on network intruder-administrator shootouts," Proceedings of the Workshop on Intrusion Detection and Network Monitoring, pp. 19-28, 1999.
K.Nyarko, T.Capers, C.Scott, and K.Ladeji-Osias, "Network intrusion visualization with NIVA, an intrusion detection visual analyzer with haptic integration," Proceedings 10th Symposium on Haptic Interfaces for Virtual Environment and Teleoperator Systems. HAPTICS 2002, pp. 277-284, Mar. 2002.
Y.Zhao, F.Zhou, X.Fan, X.Liang, and Y.Liu, "IDSRadar: a real-time visualization framework for IDS alerts," Science China Information Sciences, vol. 56, no. 8, pp. 1-12, 2013.

상세보기
Roesch, Martin, "Snort: Lightweight intrusion detection for networks," In Proceedings of the 13th USENIX conference on System administration (LISA '99), vol. 99, no. 1, pp. 229-238, Nov. 1999.
Koike, Hideki, and Kazuhiro Ohno, "SnortView: visualization system of snort logs," Proceedings of the 2004 ACM workshop on Visualization and data mining for computer security, pp. 143-147, 2004.
K.Abdullah, C.P.Lee, G.Conti, J.A.Copeland, and J.Stasko, "IDS rainStorm: visualizing IDS alarms," IEEE Workshop on Visualization for Computer Security, 2005. (VizSEC 05), pp. 1-10, 2005.
Shiravi, Hadi, Ali Shiravi, and Ali A.Ghorbani, "IDS alert visualization and monitoring through heuristic host selection," Proceedings of the 12th International Conference on Information and Communications Security, pp. 445-458, 2010.
F.Fischer, J.Fuchs, F.Mansmann, and D.A.Keim, "BANKSAFE: A visual situational awareness tool for large-scale computer networks: VAST 2012 challenge award: Outstanding comprehensive submission, including multiple vizes," In 2012 IEEE Conference on Visual Analytics Science and Technology (VAST), pp. 257-258, Oct. 2012.
T.Itoh, H.Takakura, A.Sawada and K.Koyamada, "Hierarchical visualization of network intrusion detection data," In IEEE Computer Graphics and Applications, vol. 26, no. 2, pp. 40-47, 2006.
D.Inoue, M.Eto, K.Suzuki, M.Suzuki, and K.Nakao, "DAEDALUS-VIZ: novel real-time 3D visualization for darknet monitoring-based alert system," Proceedings of the ninth international symposium on visualization for cyber security, pp. 72-79, Oct. 2012.

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증