[논문]자료 전송 데이터 분석을 통한 이상 행위 탐지 모델의 관한 연구

손인재; 김휘강

doi:10.13089/jkiisc.2020.30.4.647

초록
AI-Helper

최근 국가·공공기관 등 중요자료(개인정보, 기술 등)가 외부로 유출되는 사례가 증가하고 있으며, 조사에 따르면 정보유출 사고의 주체로 가장 많은 부분을 차지하고 있는 것이 대부분 권한이 있는 내부자로써 조직의 주요 자산에 비교적 손쉽게 접근할 수 있다는 내부자의 특성으로 외부에서의 공격에 의한 기술유출에 비해 보다 더 큰 피해를 일으킬 수 있다. 이번 연구에서는 업무망과 인터넷망의 분리된 서로 다른 영역(보안영역과 비(非)-보안영역 등)간의 자료를 안전하게 전송해주는 망간 자료전송시스템 전송 로그, 이메일 전송 로그, 인사정보 등 실제 데이터를 이용하여 기계학습 기법 중 지도 학습 알고리즘을 통한 이상 행위 탐지를 위한 최적화된 속성 모델을 제시하고자 한다.

Abstract ▼ AI-Helper

Recently, there has been an increasing number of cases in which important data (personal information, technology, etc.) of national and public institutions are leaked to the outside world. Surveys show that the largest cause of such leakage accidents is "insiders." Insiders of organization with the ...

Recently, there has been an increasing number of cases in which important data (personal information, technology, etc.) of national and public institutions are leaked to the outside world. Surveys show that the largest cause of such leakage accidents is "insiders." Insiders of organization with the most authority can cause more damage than technology leaks caused by external attacks due to the organization. This is due to the characteristics of insiders who have relatively easy access to the organization's major assets. This study aims to present an optimized property selection model for detecting such abnormalities through supervised learning algorithms among machine learning techniques using actual data such as CrossNet data transfer system transmission log, e-mail transmission log, and personnel information, which safely transmits data between separate areas (security area and non-security area) of the business network and the Internet network.

Keyword

표/그림 (15)

그림 Fig. 1. Types of Intrusion in Accident Damage Experience
표 Table 1. File Extension Classification
표 Table 2. File Extension Classification Rate
표 Table 3. Compression File Size Classification Rate
그림 Fig. 2. Morphological Analysis Technique Algorithm
표 Table 4. File Name Classification Rate
표 Table 5. Multilayer Perceptron Parameter
표 Table 6. Learning Data Model Definition
표 Table 7. Learning Data Model Performance Result
그림 Fig. 7. Employee Type Attribute Distribution Plot
그림 Fig. 3. File Name Classification Attribute Distribution Plot
그림 Fig. 4. Extension Classification Attribute Distribution Plot
그림 Fig. 5. Employee Rank Attribute Distribution Plot
그림 Fig. 6. Employee Years Attribute Distribution Plot
표 Table 8. True Positive Rate

AI 본문요약
AI-Helper

문제 정의

본 논문에서는 날로 심각해지는 내부자 위협 중에서도 가장 큰 위협인 정보유출을 탐지 및 예측하기 위한 방안을 제안한다. 정보유출 탐지 및 예측을 하기 위해 망간 자료전송시스템 로그, 이메일 전송 로그, 인사정보를 이용하여 내부자의 이상 행위 정보를 탐지하고 분석 하였으며 지도 학습 알고리즘을 통한 이상 행위 탐지를 위한 최적화된 속성 모델을 제시하고자 한다.
본 연구에서는 내부자 이상 행위가 늘어나고 있고, 국가, 공공기관의 경우 전자문서 혹은 각종 기밀이 포함된 자료들이 일단 유출되면 매우 다양한 경로를 통해 급속도로 전파되어 막대한 피해가 발생하기 때문에 이러한 사고를 미연에 방지하고자 기계학습 알고리즘을 이용한 내부자 이상 행위 탐지 방법을 제안하고 검증하였다.

제안 방법

본 논문에서는 날로 심각해지는 내부자 위협 중에서도 가장 큰 위협인 정보유출을 탐지 및 예측하기 위한 방안을 제안한다. 정보유출 탐지 및 예측을 하기 위해 망간 자료전송시스템 로그, 이메일 전송 로그, 인사정보를 이용하여 내부자의 이상 행위 정보를 탐지하고 분석 하였으며 지도 학습 알고리즘을 통한 이상 행위 탐지를 위한 최적화된 속성 모델을 제시하고자 한다.
본 연구에서는 13개 입력층과 1개의 출력층으로 구성된 다층 퍼셉트론의 은닉층의 개수를 변경하며 성능 및 정확도에 변화가 있는지 실험을 진행 한다.

대상 데이터

본 연구에 사용된 데이터는 망간 자료전송시스템의 2년(2018년~2019년) 동안 사용자 PC 자료를 업무망에서 인터넷망으로 전송한 로그이며, 이메일 전송 로그 및 인사정보 데이터도 포함 되어 있다.
제안한 이상 행위 탐지모델을 검증하기 위해서 전체 학습 데이터 24개월 중 임의로 선정한 12개월 데이터를 각각 분리하여 검증 데이터로 사용 하였다. 검증 방법은 Table 6과 동일한 속성으로 학습 데이터 모델 수행 결과에서 각 학습 모델별 TP Rate 비율이 제일 높았던 다층 퍼셉트론 파리미터 은닉층(Hidden Layer) 개수를 동일하게 설정하고 TP Rate를 측정하였다.

데이터처리

본 연구에서 자료 전송 이상 행위 탐지 모델의 분류정확도는 TP Rate(True Positive Rate : 진양성율), FP Rate (False Positive Rate : 위양성률), Accuracy(정확도), Recall(재현율), Precision(정밀도), F-measure 지표를 활용하여 예측모형별 성능을 측정 분석하고, 예측유효성은 TP Rate, FP Rate, Accuracy, Recall, Precision, F-measure, ROC(Receiver Operating Characteristic) Area 지표를 활용하여 예측모형별 성능을 측정 분석하였다. 예측모형 성능평가 결과 중 최종 판정을 위해 최우선으로 고려하는 분석지표는 예측유효성의 경우 ROC Area 지표이다[18].

이론/모형

본 연구는 탐지 모델 개발을 위해 활용한 머신러닝 분석 알고리즘은 다층 퍼셉트론(Multilayer Perceptron)을 이용하였다. 다층 퍼셉트론은 활성화 함수의 개수가 은닉층의 개수에 따라 증가하게 되어 출력을 위해 계산해야 하는 값들이 늘어나게 되는데, 이러한 복잡한 계산식 덕분에 단층 퍼셉트론이 해결 할 수 없는 다양한 문제들을 해결 할 수 있게 된다[16].

성능/효과

본 연구의 탐지 모델 주요 특징으로는 파일명 속성의 기타와 미분류, 확장자 속성의 압축과 미분류, 직급 속성에서는 중간 직급, 년차 속성은 3년 미만과 20년 이상 근속, 직원 구분 속성은 계약직에서 이상 징후가 더 많이 분포 되었다. 또한, 권한을 가진 내부자들이 자료 유출을 시도하기 위해 주로 퇴직자의 경우 파일 확장자를 변조시키거나 대용량 파일로 압축하는 등 이상 행위를 하여 회사 메일 또는 상용 메일로 전송하였으며, 퇴직일자가 가까워질수록 정상 사용자의 비해 자료 전송 빈도수가 높아지는 것을 확인할 수 있었다.
본 연구의 탐지 모델 주요 특징으로는 파일명 속성의 기타와 미분류, 확장자 속성의 압축과 미분류, 직급 속성에서는 중간 직급, 년차 속성은 3년 미만과 20년 이상 근속, 직원 구분 속성은 계약직에서 이상 징후가 더 많이 분포 되었다. 또한, 권한을 가진 내부자들이 자료 유출을 시도하기 위해 주로 퇴직자의 경우 파일 확장자를 변조시키거나 대용량 파일로 압축하는 등 이상 행위를 하여 회사 메일 또는 상용 메일로 전송하였으며, 퇴직일자가 가까워질수록 정상 사용자의 비해 자료 전송 빈도수가 높아지는 것을 확인할 수 있었다.
Model 1은 Hidden Layer가 5개 일 때 정확도(TP Rate : 0.598)가 제일 높고, Model 2은 3개 일 때 정확도(TP Rate : 0.695)가 제일 높고, Model 3은 5개 일 때 정확도(TP Rate : 0.443)가 제일 높고, Model 4은 5개 일 때 정확도(TP Rate : 0.690)가 제일 높고, Model 5은 a개 일 때 정확도(TP Rate : 0.586)가 제일 높고, Model 6은 20개 일 때 정확도(TP Rate : 0.684)가 제일 높고, Model 7은 15개 일 때 정확도(TP Rate : 0.701)가 제일 높고, Model 8은 20개 일 때 정확도(TP Rate : 0.701)가 제일 높았다.

후속연구

마지막으로 업무망에서 인터넷망으로 자료 전송시 기관의 특성에 따라 보안정책이 상이할 수 있지만 대용량 파일, 압축 파일, 퇴직 예정자, 미분류 등 본 논문에서 주요 특징으로 분류된 속성들에 대한 보안정책을 재확인 할 필요가 있으며, 추가적으로 파일용량 및 확장자 제한 등 보안을 강화할 필요가 있다.
본 논문에서 탐지 모델의 정확도를 높이기 위해서는 기존에 이용한 탐지 지표 보다 더욱 다양한 탐지지표(파일명과 본문 내용의 일치성, 확장자 세분화, 파일 사이즈 그룹화, 추가 인사 정보 등)가 필요해 보이며, 더 나아가 매체제어 솔루션, 단말 이상행위 탐지 및 대응 솔루션(EDR), 출력물 시스템 로그 등 다양한 정보보호시스템의 로그 데이터를 이용하여 연구해 본다면 좀 더 정확한 탐지율을 높힐 수 있을 것이다.
그 외에도 기존에 알려진 다른 기계학습 알고리즘을 이용하여 다양한 테스트를 진행 해보거나, 두 개 이상의 기계학습 알고리즘을 결합하여 사용하는 앙상블 방법의 연구를 통해 내부자의 이상행위의 적합한 알고리즘을 제안하고 조직의 중요한 내부 정보를 좀 더 안전하게 지킬 수 있는 연구를 할 필요가 있다.

질의응답

핵심어	질문	논문에서 추출한 답변
	퍼셉트론이 동작하는 방식은 무엇과 매우 유사한가?	퍼셉트론은 딥러닝의 기원이 되는 알고리즘으로서 다수의 신호를 입력으로 받아 하나의 신호를 출력한 다. 퍼셉트론이 동작하는 방식은 인간의 뇌 구조와 매우 유사한데, 각 입력 값과 가중치의 곱을 모두 합한 값을 활성화 함수를 통해 판단하여 해당 뉴런을 활성화 할지 하지 않을 지를 결정한다[15].
	지도학습 기법의 성능 평가방법에는 무엇이 있는가?	지도학습 기법의 성능 평가방법은 여러 가지가 있을 수 있다. 가장 대표적인 것이 각종 분류 및 예측의 정확도(Accuracy)가 있고, 이 외에도 수행 속도, 강건성(Robustness), 확장성(Scalability) 그리고 해석력(Interpretability) 등이 있다[14].
	데이터 마이닝은 무엇인가?	데이터 마이닝은 데이터베이스(Database)에 저장되어 있는 수많은 양의 데이터로부터 각 데이터의 유용한 의미를 가진 상간관계 정보를 추출하여 분석 하는 방법이며 기계 학습은 전반적인 데이터 마이닝의 기술적인 환경을 제공하고 있다. 학습에는 지도학습, 비지도학습, 강화학습이 있다[11].

참고문헌 (18)

Korea Internet & Security Agency, "2018 Information Security Survey Report," Apr. 2019.
National Intelligence Service, "National Public Institutions Security Conformity Validation Guide," Jun. 2017.
CERT Insider Threat, http://www.cert.org/insider_threat/
Jang-hyuk Ko, "A Study on the Analysis of Insider Behavior Based on Machine Learning for Information Leak Detection," Aug. 2018.
Hyun-Song Jang, "Data-mining Based Anomaly Detection in Document Management System," Oct. 2015.
Young-baek Kwon, In-seok Kim, "A Study on Anomaly Signal Detection and Management Model Uing Big Data," JIIBC, vol. 16, no. 6, pp. 287-294, Dec. 2016.

원문보기 상세보기
Hae-dong Kim, "Insider Threat Detection based on User Behavior Model and Novelty Detection Algorithms," Korea University, Aug. 2017.
Ho-Jin Lee "Feature Selection Practice for Unsupervised Learning of Credit Card Fraud Detection," Korea University, Feb. 2017.
Pallabi Parveen, Nate McDanial, Varun S. Hariharan, "Unsupervised Ensemble based Learning for Insider Threat Detection," Sep. 2012.
Eldardiry, H., Sricharn,k.,Liu, j., Hanley,J., Price,B., Brdiczka, O., & Bart,E., "Multi-source fusion for anomaly detection: using across-domain and across-time peer-group consistency checks," Jun. 2014.
Tae-ho Kim, "Feature Selection Optimization in Unsupervised Learning for Insider threat Detection," Korea University, Jun. 2018.
Mi-ae Oh, "A Study on Social security Big Data Analysis and Prediction Model based on Machine Learning," Korea Institute for Health and Social Affairs, Dec. 2017.
Wikipedia, "machine learning", https://en.wikipedia.org/wiki/Weka_(machine_learning)
Turban, E., J. E. Aronson, and T. P. Liang, "Decsion Support Systems and Intelligent Systems, (7th Edition)," Prentice Hall Inc., Apr. 2004.
Jason Roell, "From Fiction to Reality: A Beginner's Guide to Artificial Neural Networks," Jun. 2017.
Jayesh Bapu Ahire, "The XOR Problem in Neural Networks," Dec. 2017.
KoNLPy Library, https://konlpy.org/k o/latest/
Jong-hyun Lee, "Exploring the Prediction Model of Underachieving Ratio in Middle School Mathematics Using Machine Learning," Feb. 2020.

이 논문을 인용한 문헌

저자의 다른 논문 :

활용도 분석정보

상세보기

다운로드

내보내기

활용도 Top5 논문

해당 논문의 주제분야에서 활용도가 높은 상위 5개 콘텐츠를 보여줍니다.
더보기 버튼을 클릭하시면 더 많은 관련자료를 살펴볼 수 있습니다.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

[국내논문] 자료 전송 데이터 분석을 통한 이상 행위 탐지 모델의 관한 연구
A Study on the Abnormal Behavior Detection Model through Data Transfer Data Analysis 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

Keyword

표/그림 (15)

표/그림 (15)

AI 본문요약
AI-Helper

문제 정의

제안 방법

대상 데이터

데이터처리

이론/모형

성능/효과

후속연구

질의응답

참고문헌 (18)

이 논문을 인용한 문헌

저자의 다른 논문 :

활용도 분석정보

활용도 Top5 논문

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

[국내논문] 자료 전송 데이터 분석을 통한 이상 행위 탐지 모델의 관한 연구 A Study on the Abnormal Behavior Detection Model through Data Transfer Data Analysis 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

Keyword

표/그림 (15) 모든 표/그림 보기

표/그림 (15) 슬라이드로 보기

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

대상 데이터

데이터처리

이론/모형

성능/효과

후속연구

질의응답

참고문헌 (18)

이 논문을 인용한 문헌

저자의 다른 논문 :

김휘강 (92)

활용도 분석정보

활용도 Top5 논문 더보기

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

[국내논문] 자료 전송 데이터 분석을 통한 이상 행위 탐지 모델의 관한 연구
A Study on the Abnormal Behavior Detection Model through Data Transfer Data Analysis 원문보기

초록
AI-Helper

표/그림 (15)

표/그림 (15)

AI 본문요약
AI-Helper

활용도 Top5 논문