초록

용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

침입탐지시스템은 침입탐지 기법에 따라 크게 오용탐지시스템과 비정상행위탐지시스템으로 나뉜다. 비정상 행위 탐지시스템은 정상사용행위를 모델링한 후 현재 관찰중인 행위가 정상에서 벗어나는지를 검사한다. 시스템 사용시 발생하는 각 이벤트는 동시에 여러 가지 정보를 담고있으므로 여러 각도에서 모델링될 수 있다. 따라서 여러 결과를 종합해서 판정의 안정성을 높을 수 있다. 본 논문에서는 이벤트의 시스템호출에 평가결과와 BSM감사정보 중 시스템호출관련 정보, 파일 접근관련 정보, 이 둘을 모두 고려한 정보를 통합한 평가결과를 투표방식으로 결합하여 판정하는 기법을 제안하였다. 실험결과 두 모델을 별도로 적용하는 경우보다 나아진 판정성능을 보여주었다.

침입탐지시스템은 침입탐지 기법에 따라 크게 오용탐지시스템과 비정상행위탐지시스템으로 나뉜다. 비정상 행위 탐지시스템은 정상사용행위를 모델링한 후 현재 관찰중인 행위가 정상에서 벗어나는지를 검사한다. 시스템 사용시 발생하는 각 이벤트는 동시에 여러 가지 정보를 담고있으므로 여러 각도에서 모델링될 수 있다. 따라서 여러 결과를 종합해서 판정의 안정성을 높을 수 있다. 본 논문에서는 이벤트의 시스템호출에 평가결과와 BSM감사정보 중 시스템호출관련 정보, 파일 접근관련 정보, 이 둘을 모두 고려한 정보를 통합한 평가결과를 투표방식으로 결합하여 판정하는 기법을 제안하였다. 실험결과 두 모델을 별도로 적용하는 경우보다 나아진 판정성능을 보여주었다.

AI 본문요약

엑셀 다운로드 AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

• 연구 주제
• 연구 방법
• 연구 결과

문제 정의

• 본 논문에서는 사용자 이벤트의 여러 변량을 HMM을 사용하여 모델링한 후각 변량에서 생성돤 결과를 투표 방식에 의해 결합하는 기법을 제안하였다. 실험 결과에서 보듯이 다 중 변량올 결합한 결과 오판율을 줄일 수 있어 더 안정적인 판정을 내릴 수 있었다.
• 따라서 여러가지 변량들에서 나오는 정보를 종합적으로 고려할 수 있는 틀이 필요하다. 본 논문에서는 투표 방식을 이용해서 각 변량의 평가값을 통합하는 기법을 제안한다.

제안 방법

• 다중 모델 결합 실험에서는 시스템 호출을 사용한 경우와 SOM을 이용하여 가장 좋은 성능을 보인 3가지 변량을 축약한 경우의 평가값을 투표 방식을 이용해서 결합하였다. 투표 방식으로는 만장일 礼 다수결, OR 방식을 사용하였으며 시스템 호출과 SOM 축약에 동일한 가중치를 부여하였다
• 두 번째는 BSM을 통해 얻을 수 있는 정보 중 시스템 호출 관련(시스템 호출 ID, 시스템 호출 반환값, 시스템 호출 반환 상태), 프로세스 관련(프로세스. ID, IPC ID, IPC permission, exit value, exit status), 파일 접근 관련(중요 파일 접근 여부-, 중요 경로 접근 여부, 파일 접근 모드, 인자길이)등을 각각 추출한 후 SOM을 통해 축약한 정보를 사용하였다.
• 본 논문에서 개발하는 침입 탐지 시스템은 그림 1과 같이 데이터 필터링과 데이터 축약을 담당하는 전처리 모듈과 정상행위 모델링과 추론 및 판정을 담당하는 비정상 행위 판정 모듈로 구성된다. 모델 학습을 통해 정상행위를 프로파일 데이터베이스로 구축하여 판정 시 사용한다.
• 변량별로 임계값이 다를 수 있으므로 투표 방식에서는 각 변량에서 가장 좋은 성능을 보인 결과만을 가지고 평가했다. 탐지율의 경우에는 모두 100%를 보였으므로 투표에 의해서 변경된 부분은 없다.
• 본 논문에서 개발하는 침입 탐지 시스템은 그림 1과 같이 데이터 필터링과 데이터 축약을 담당하는 전처리 모듈과 정상행위 모델링과 추론 및 판정을 담당하는 비정상 행위 판정 모듈로 구성된다. 모델 학습을 통해 정상행위를 프로파일 데이터베이스로 구축하여 판정 시 사용한다.
• 따라서 사용자의 행위 시퀀스에 기반해서 사용자의 행위를 설명하고 특성을 파악할 수 있는 모델을 구축할 수 있다면 이를 기반으로 정상행위를 모델링한 후 사용자의 행위가 정상행위인지 판정할 수 있다. 본 논문에서는 음성인식 및 여러 분야에서 알려지지 않은 대상을 모델링하는데 널리 쓰이고 있는 HMM을 사용자의 정상행위 모델링과 비정상 행위의 판정에 적용한다.
• 이 평가값들을 토대로 칩입 여부를 판정하기 위해서 다중 모델을 결합하기 위한 방법이 필요하다. 본 시스템에서는 모델별로 침입 여부를 결정한 후 투표 방식올 사용하여서 모델들의 결정사항들을 결합하고 있다. 투표 방식을 적용할 때는 모델들의 신뢰도에 따라 투표가 중치 临이 부여되고, 원하는 결과에 따라 투표의 집계방 식을 결정한다.
• 전처리에서는 크게 두 가지 변량을 추출하였다. 첫 번째는 사용자의 시스템 호출을 사용하였다. 모든 시스템 호출 번호가 다 사용되지 않으므로 통계적으로 빈도가 높은 49개의 시스템 호출에 대해 0부터 48번까지의 번호를 부여하였고 그 밖의 시스템 호출은 49번을 부여하여 총 50개의 축약된 시스템 호출번호를 사용하였다.
• 다중 모델 결합 실험에서는 시스템 호출을 사용한 경우와 SOM을 이용하여 가장 좋은 성능을 보인 3가지 변량을 축약한 경우의 평가값을 투표 방식을 이용해서 결합하였다. 투표 방식으로는 만장일 礼 다수결, OR 방식을 사용하였으며 시스템 호출과 SOM 축약에 동일한 가중치를 부여하였다

대상 데이터

• 첫 번째는 사용자의 시스템 호출을 사용하였다. 모든 시스템 호출 번호가 다 사용되지 않으므로 통계적으로 빈도가 높은 49개의 시스템 호출에 대해 0부터 48번까지의 번호를 부여하였고 그 밖의 시스템 호출은 49번을 부여하여 총 50개의 축약된 시스템 호출번호를 사용하였다.
• 실험 데이터로는 한 명의 사용자가 1주일간 발생시킨 데이터를 사용하였다. 주사용 프로그램은 문서 편집기와 컴파일러, 그리고 사용자가 작성한 프로그램이었다.
• 주사용 프로그램은 문서 편집기와 컴파일러, 그리고 사용자가 작성한 프로그램이었다. 학습 데이터와 테스트 데이터 모두 10, 000개를 사용했으며, 테스트 데이터에는 침입을 17차례가 포함되어 있다.

성능/효과

• 본 논문에서는 사용자 이벤트의 여러 변량을 HMM을 사용하여 모델링한 후각 변량에서 생성돤 결과를 투표 방식에 의해 결합하는 기법을 제안하였다. 실험 결과에서 보듯이 다 중 변량올 결합한 결과 오판율을 줄일 수 있어 더 안정적인 판정을 내릴 수 있었다.

후속연구

• 시퀀스의 생성에 있어 중요한 것은 이전에 발생한 이벤트와의 연관성을 잃지 않고 새로운 시퀀스를 생성하는 것이다. 본 논문에서는 하나의 이벤트가 발생하면 이 전 시퀀스를 슬라이딩 하여 완전 중복시키는 방법을 사용하였는데 완전 중복 이외의 시퀀스 생성 방법과 비교 검토가 수행되어야 할 것이다. 시퀀스의 길이에 있어서도 모든 행동이 동일한 길이의 시퀀스로 표현되지 않을 수 있으므로 여러 시퀀스 길이를 동시에 고려할 필요가 있다.
• 모델링에 있어서는 모델 수와는 별도로 모델링 수준에 대한 고려도 필요하다. 현재 저수준의 BSM 감사기록을 사용하고 있지만 농일 한 저수준의 이벤트 정보가 고 수준의 사용자의 도나 시간의 변화에 따라 다르게 해석될 수 있으므로 고수준의 문맥 특성을 반영할 수 있는 모델링 방법에 대한 연구가 보충되어야 할 것이다.

본문요약 정보가 도움이 되었나요? 예 아니오 제출

이 논문을 인용한 문헌

더보기