[논문]FDANT-PCSV: Parallel Coordinates 및 Sankey 시각화를 이용한 신속한 이상 트래픽 탐지

한기훈; 김휘강

doi:10.13089/jkiisc.2020.30.4.693

FDANT-PCSV: Parallel Coordinates 및 Sankey 시각화를 이용한 신속한 이상 트래픽 탐지
FDANT-PCSV: Fast Detection of Abnormal Network Traffic Using Parallel Coordinates and Sankey Visualization 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.30 no.4, 2020년, pp.693 - 704

초록
AI-Helper

기업의 네트워크가 대규모화되고 보안시스템 수가 많아짐에 따라 엄청난 양의 보안시스템 이벤트로부터 이상 트래픽을 신속하게 탐지하기란 쉽지 않다. 본 논문에서는 방화벽 등 정보보호 시스템의 보안이벤트를 실시간 탐지하고 분석할 수 있는 트래픽 시각화 분석시스템(FDANT-PCSV)를 제안한다. FDANT-PCSV는 보안이벤트 중 5가지 인자(출발지 IP, 목적지 IP, 목적지 포트, 패킷 길이, 처리상태)를 이용한 Parallel Coordinates 시각화와 4가지 인자(출발지 IP, 목적지 IP, 이벤트 수, 데이터 크기)를 이용한 Sankey 시각화로 구성된다. 또한, 빅데이터 기반 SIEM을 이용하기 때문에 인터넷 및 인트라넷에서 발생하는 네트워크 공격과 네트워크 장애 트래픽을 실시간 탐지할 수 있다. FDANT-PCSV는 사이버 보안 관제요원과 네트워크 관리자가 네트워크 이상 트래픽을 빠르고 쉽게 탐지하여 네트워크 위협에 신속히 대응할 수 있도록 해준다.

Abstract ▼ AI-Helper

As a company's network structure is getting bigger and the number of security system is increasing, it is not easy to quickly detect abnormal traffic from huge amounts of security system events. In this paper, We propose traffic visualization analysis system(FDANT-PCSV) that can detect and analyze security events of information security systems such as firewalls in real time. FDANT-PCSV consists of Parallel Coordinates visualization using five factors(source IP, destination IP, destination port, packet length, processing status) and Sankey visualization using four factors(source IP, destination IP, number of events, data size) among security events. In addition, the use of big data-based SIEM enables real-time detection of network attacks and network failure traffic from the internet and intranet. FDANT-PCSV enables cyber security officers and network administrators to quickly and easily detect network abnormal traffic and respond quickly to network threats.

주제어

표/그림 (27)

그림 Fig. 1. 3D view of FRuVATS visualization[3]
그림 Fig. 2. A Main view of honeycomb structure vi-sualization[4]
그림 Fig. 3. RGB palette visualization dashboard[5]
그림 Fig. 4. Spline parallel coordinates representation as one of the new features of PCCT[6]
그림 Fig. 5. Real-life attack graphs using PCAV[7]
표 Table 1. Typical attributes of flow-based data such as Netflow using a network switch
그림 Fig. 6. Data processing and visualization using Big-data based SIEM(SPLUNK)
그림 Fig. 7. Design structure of FDANT-PCSV visual-ization system
그림 Fig. 8. Parallel coordinates security visuali-zation of FDANT-PCSV
그림 Fig. 9. Sankey visualization showing number of events and traffic size of firewall
그림 Fig. 10. Interactive dashboard of FDANT-PCSV
표 Table 2. Information of FDANT-PCSV dash-board using big data based SIEM(SPLUNK)
그림 Fig. 11. FDANT-PCSV correlation
그림 Fig. 12. FDANT-PCSV Diagram (a) 10-minutes diagram before abnormal traffic removal (b) 24-hour diagram before abnormal traffic removal (c) 24-hour diagram after abnormal traffic removal
표 Table 3. network traffic visualization system comparison(PCAV vs. FDANT-PCSV)
그림 Fig. 13. Comparison of daily events in A fire-wall before and after abnormal traffic removal
표 Table 4. Abnormal traffic through the "A" fire-wall measured for 10 minutes
표 Table 5. Weekday "A" firewall total traffic vs. abnormal traffic using big data-based SIEM
그림 Fig. 14.(a) 1-minute traffic of SIEM(include B-firewall traffic)
그림 Fig. 14.(b) Daily traffic of SIEM(include B-firewall traffic)
그림 Fig. 14.(c) Daily traffic of SIEM(include abnormal traffic of B-firewall traffic)
그림 Fig. 14.(d) Daily traffic of SIEM(after removing abnormal B-firewall traffic)
그림 Fig. 15. Comparison of daily events in B fire-wall before and after abnormal traffic removal
그림 Fig. 16. Detection of web and port scans coming into the Internet using FDANT-PCSV
표 Table 6. Weekday "B" firewall total traffic vs. abnormal traffic using big data-based SIEM
그림 Fig. 17. Intelligent slow host scan and port scan traffic detection using FDANT-PCSV (a) 1-minute (b) 5-minute (c) 1-day (d) 8-day
그림 Fig. 18. Automatic detection of flow-based network scanning attacks using FDANT-PCSV

참고문헌 (9)

C. Wu, S. Sheng, and X. Dong, "Research on visualization systems for DDoS attack detection," 2018 IEEE Interna- tional Conference on Systems, Man, and Cybernetics, pp. 2986-2991 January. 2019.
R. Marty, Applied Security Visualization, Pearson Education, Inc, Crawfordsville, 2008.
Hyung Seok Kim, Suk Jun Ko, Dong Seong Kim, and Huy Kang Kim, "Firewall ruleset visualization analysis tool based on segmentation," 2017 IEEE Symposium on Visualization for Cyber Security(VizSec), Oct. 2017.
Jae Beom Park, Huy Kang Kim, and Eun Jin Kim, "Design and implementation of the honeycomb structure visualization system for the effective security situational awareness of large-scale networks," Journal of The Korea Institute of Information Security & Cryptology, 24(6), pp.1197-1213, Dec. 2014.

원문보기 상세보기
Dong Gun Lee, Huy Kang Kim, and Eun Jin Kim, "Study on security log visualization and security threat detection using RGB Palette," Journal of The Korea Institute of Information Security & Cryptology, 25(1), pp. 61-73, Feb. 2015.

원문보기 상세보기
Y. Okada, "Time-tunnel: 3D Visualization Tool and Its Aspects as 3D Parallel Coordinates," 2018 22nd International Conference Information Visualization, pp. 56-57, December. 2018.
H. Choi, H. Lee, and H. Kim, "Fast detection and visualization of network attacks on parallel coordinates," Computers and Security, vol. 28, no. 5, pp. 276-288, July. 2009.

상세보기
V.T. Guimaraes, C.M.D.S. Freitas, R. Sadre, L.M.R. Tarouco, and L.Z. Granville, "A Survey on Information Visualization for Network and Service Management," IEEE Communication surveys & tutorials, vol. 18, no. 1, 2016.
M. Ring, D. Landes, and A. Hotho, "Detection of slow port scans in flow-based network traffic," PLOS ONE, vol. 13, no. 9, , Article number. e0204507, September. 2018.

상세보기

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증