초록

용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

시스템 호출 감사자료기반 기계학습기법을 사용한 프로그램 행위 학습방법은 효과적인 호스트기반 침입탐지 방법이며, 특히 신경망은 기존 연구 중 가장 좋은 성능을 보였다. 하지만 보통의 신경망은 그 구조를 찾기 위한 방법이 알려져 있지 않아 침입탐지에 효과적인 구조를 찾기 위해서는 많은 시간이 요구된다. 본 논문에서는 기존 신경망 기반 침입탐지시스템의 단점을 보완하고 성능을 향상시키기 위해 진화신경망을 이용한 방법을 제안한다. 진화 신경망은 신경망의 구조와 가중치를 동시에 학습하기 때문에 일반 신경망보다 빠른 시간 내에 더 좋은 성능의 신경망을 얻을 수 있다는 장점이 있다. 1999년의 DARPA IDEVAL자료로 실험한 결과 기존의 연구보다 좋은 성능을 보여 진화신경망이 침입탐지에 효과적임을 확인할 수 있었다.

시스템 호출 감사자료기반 기계학습기법을 사용한 프로그램 행위 학습방법은 효과적인 호스트기반 침입탐지 방법이며, 특히 신경망은 기존 연구 중 가장 좋은 성능을 보였다. 하지만 보통의 신경망은 그 구조를 찾기 위한 방법이 알려져 있지 않아 침입탐지에 효과적인 구조를 찾기 위해서는 많은 시간이 요구된다. 본 논문에서는 기존 신경망 기반 침입탐지시스템의 단점을 보완하고 성능을 향상시키기 위해 진화신경망을 이용한 방법을 제안한다. 진화 신경망은 신경망의 구조와 가중치를 동시에 학습하기 때문에 일반 신경망보다 빠른 시간 내에 더 좋은 성능의 신경망을 얻을 수 있다는 장점이 있다. 1999년의 DARPA IDEVAL자료로 실험한 결과 기존의 연구보다 좋은 성능을 보여 진화신경망이 침입탐지에 효과적임을 확인할 수 있었다.

AI 본문요약

엑셀 다운로드 AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

• 연구 주제
• 연구 방법
• 연구 결과

문제 정의

• 본 논문에서는 기존 신경망 기반 침입탐지시스템의 단점을 보 완하고 성능을 향상시키기 위해 진화신경망올 이용한 방법을 제 안한다. 초기 신경망 자동 설계에 관한 연구에서는 다양한 컨스 트럭티브(constructive) 알고리즘과 가지치기(pruning) 알고리즘 이 사용되었다μ].
• 본 논문에서는 기존의 신경망 기반 비정상행위탐지 방법의 단점 울 극복하기 위하여 진화신경망올사용하는 방법을 제안하였다. 제안한 침입탐지 방법은 분류기의 구조와 가중치가 진화 알고리즘에 의해 동시에 학습되 므로 기존의 고정 된 구조를 사용하는 방법보다 더 좋은 성능을 기대할 수 있는데 실제 벤치마크 데이터에 의한 테 스트에서 기존의 방법보다 좋은 결과를 보였다 향후 연구로는 진화 된 신경망의 구조를 분석하여 침입탐지에 좋은 구조가 어떤 것인지 밝혀내는 작업이 필요하겠다.
• 본 논문에서는 시스템 호출 감사자료를 사용하여 프로그램 행 동올 관찰하였다. 프로그램 행동학습과 시스템 호출 시퀀스 데이터를 통한 침입탐지는 다음과 같이 정리될 수 있다.

제안 방법

• 이를 위해서는 침입발생시 일어나는 지역적이며 연속적인 평가값 추 이의 변화를 탐지해내는 것이 중요하다. 그러기 위해서는 현재 시퀀스의 평가 값 뿐만 아니라 이전 시퀀스의 평가 값도 같이 반영하는 것이 필요한데 본 논문에서는 이를 위해 다음과 같은 방법으로 시퀀스의 평가값을 결정하였다.。:은 침입을 나타내는 출력 노드의 값는 정상을 나타내는 출력 노드의 값, wltw2, 33는 각 값의 가중치를 나타낼 때, 시간 /의 시퀀스의 평가 값 电는 다음과 같은 식에 의해 결정된다.
• 이 데이터는 denial-of-service(DoS), probe, remote-to-local (R2L), user-to-root (U2R)의 4가지 종류의 공격올 담고 있는데 본 논문에서는 프로그램의 오동작을 일으켜 비정상적인 프로그 램 행동올 유도하는 U2R공격을 탐지하는데 초점올 두어 실험하였다. 따라서 본 논문에서는 U2R공격의 주된 공격 대상이 되는 SETUID권한을 가지는 프로그램만의 실행을 모니터링 하였는데 모니터되는 프로그램의 수는 총 51가지이다.
• 각 프로그램별로 다른 신경망이 사용되므로 침입과 정상행위 의 결정경계가 모두 다르다. 따라서 하나의 임계값을 전체 신경 망 집합에 사용하는 것은 문제가 있는데 본 논문에서는 이를 해 결하기 위하여 통계적인 방법을 사용하여 각 신경망의 평가 값을 정규화하였다. me 학습데이터 평가 값의 평균, 衫는 표준 편차라 할 때 정규화된 평가 값 凡는 다음과 같이 계산된다.
• 따라서 대부분의 경우 유사한 옹용 분야에서 사용했던 경험에 기반하여 시도와 오류 과정의 반복을 통해서 설계되기 때문에, 기계학습 기법올 이용한 침입 탐지는 학습단계에서 매우 많은 시간이 소요되는 단점이 있다. 본 논문에서는 기존 기계학습 기반 침입탐지기법의 단점올 극 복하기 위하여 진화신경망을 사용하였다. 진화신경망은분류기 의 구조와 내부의 가중치를 동시에 학습하기 때문에 일반적인 기계 학습방법보다 빠른 시간 내에 좋은 성능의 분류기를 얻을 수 있다는 장점이 있다.
• 제안하는 기법의 성능을 시험하기 위해 MIT Lincoln Lab 에서 제공하는 1999년 DARPA IDEVAL데이터를 사용하였다 [3]. 이 데이터는 denial-of-service(DoS), probe, remote-to-local (R2L), user-to-root (U2R)의 4가지 종류의 공격올 담고 있는데 본 논문에서는 프로그램의 오동작을 일으켜 비정상적인 프로그 램 행동올 유도하는 U2R공격을 탐지하는데 초점올 두어 실험하였다. 따라서 본 논문에서는 U2R공격의 주된 공격 대상이 되는 SETUID권한을 가지는 프로그램만의 실행을 모니터링 하였는데 모니터되는 프로그램의 수는 총 51가지이다.
• 이렇게 표현된 신경망을 학습 데이터로 테스트해 올바르게 분 류한 샘플이 많은 신경망이 높은 적합도를 가지도록 인식률을 사용하여 적합도를 계산하였다.
• 일반적인 MLP와 진화신경망의 학습시간을 비교하여 보았다. 실험은 Intel Pentium Zeon 2.

대상 데이터

• 1999년 IDEVAL 데이터는 총 5주 분량의 감사자료를 제공하 는데 그 중 1-3주는 학습 데이터이고 4-5주는 테스트 데이터이다. 본 논문에서는 침입이 들어 있지 않은 1, 3주 데이터를 학습데 이터로 사용하였고 4, 5주를 테스트데이터로 사용하였다.
• 1999년 IDEVAL 데이터는 총 5주 분량의 감사자료를 제공하 는데 그 중 1-3주는 학습 데이터이고 4-5주는 테스트 데이터이다. 본 논문에서는 침입이 들어 있지 않은 1, 3주 데이터를 학습데 이터로 사용하였고 4, 5주를 테스트데이터로 사용하였다. 테스 트 데이터에는 4가지종류의 U2R공격이 총 11번 포함되어 있다.
• MLP의 경우 은닉노드수를 10부터 60개까지 변 화시키며 5000epoch까지 학습시켰고 진화신경망의 경우 15개의 은닉노드를 가지는 20개체의 신경망을 100세대까지 진화시켜보 았다. 사용한 데이터는 login프로그램의 학습데이터로 총 1905개의 시퀀스로 이루어져 있다.
• 유전연산자로는 교차와 돌연변이가 사용되었다. 교차연산은 임의의 은닉노드를 하나 선택한 후 그 노드를 중심으로 두 신경 망의 구조를 교환하며, 돌연변이 연산은 임의의 노드를 추가 또는 삭제하는 형태로 이루어진다.
• 하지만 이를 모두 다 사용할 경우 문제의 복잡도가 너무 커지므로 자주 사용되는 46개의 시스템 호출로 축약하여 사용하였다. 제안하는 기법의 성능을 시험하기 위해 MIT Lincoln Lab 에서 제공하는 1999년 DARPA IDEVAL데이터를 사용하였다 [3]. 이 데이터는 denial-of-service(DoS), probe, remote-to-local (R2L), user-to-root (U2R)의 4가지 종류의 공격올 담고 있는데 본 논문에서는 프로그램의 오동작을 일으켜 비정상적인 프로그 램 행동올 유도하는 U2R공격을 탐지하는데 초점올 두어 실험하였다.
• BSM 감사자료에는 약 280여개의 시스템 호출 이벤트가 들어 있다. 하지만 이를 모두 다 사용할 경우 문제의 복잡도가 너무 커지므로 자주 사용되는 46개의 시스템 호출로 축약하여 사용하였다. 제안하는 기법의 성능을 시험하기 위해 MIT Lincoln Lab 에서 제공하는 1999년 DARPA IDEVAL데이터를 사용하였다 [3].

데이터처리

• 일반적인 MLP와 진화신경망의 학습시간을 비교하여 보았다. 실험은 Intel Pentium Zeon 2.4GHz Dual 프로세서, 1GB RAM 의 하드웨어와 솔라리스9 운영체제 하에서 10번 실행한 후 평균 값을 취하였다. MLP의 경우 은닉노드수를 10부터 60개까지 변 화시키며 5000epoch까지 학습시켰고 진화신경망의 경우 15개의 은닉노드를 가지는 20개체의 신경망을 100세대까지 진화시켜보 았다.

이론/모형

• 신경망의 유전자형 표현방법으로는 행렬기반의 표현을 사용하였다. N개의 노드를 가진 신경망은 NxN 크기의 정방행렬에 연결 정보와 가중치를 동시에 표시하여 나타내어진다.

성능/효과

• 그림 3은 진화신경망의 진화과정올 보여준다. 세대가 거듭될 수록 신경망의 적합도가 증가하여 진화알고리즘이 좀 더 좋은 신경망의 구조를 찾아낼 수 있음을 확인하였다. 최대 적합도는 0.
• 실험결과(표 1) 기존의 방법과 같이 각 신경망올 10개씩 학습 시칸 후 그 중 가장 좋은 것을 선택하는 방법올 쓸 경우 약 17시간 50분이 걸리게 된다. 그러나 진화신경망올 사용한 경우는 약 1시간 1유분밖에 걸리지 않았다.
• Ghosh 등의 시스템 호출 감사자료와 비man 신경망을 사용한 방법이었다[4]. 이 탐지 시스템은 100% 탐지율에서 하루에 3개의 false alarm을 보였다[2丄 이와 비교해 보았을 때 진화 알고리즘을 이용해 신경 망의 구조를 결정하는 것이 시행착오를 통해서 결정하는 것보다 더 짧은 시간 안에 효과적인 구조를 찾아낼 수 있음을 확인하였
• Ghosh 등의 신경망올 사용한 방법이다[2]. 전통적인 전방 향 오류 역전파 알고리즘올 사용하는 다층 신경망과 Elman recunent 신경망이 사용되었는데 1998년과 1999년의 DARPA IDEVAL 데이터를 사용하여 실험한 결과 Elman 신경망의 성능 이 더 뛰어나 신경망의 구조가 침입탐지 성능에 큰 영향을 미치는 젓을 확인할 수 있었다. 그러나 이 경우에도 많은 수의 신경 망올 학습시킨 후 가장 좋은 것을 선택하는 시행착오에 의한 방법이 사용되어 정상행위 학습에 많은 시간이 소요된다.
• 호스트기반 비정상행위 탐지에는 프로그램의 행동을 분석하는 방법이 많이 사용되고 있다. 정상 프로그램의 행동올 학습하고 이와는 상이한 행동올 침입으로 잡아대는 문제는 일반적인 인공지능의 이진분류문제로 바꾸어 볼 수 있어 규칙 학습, 신경 망, 통계적 방법, 은닉 마크로프 모델 등의 기계학습 방법이 많이 사용되어 좋은 성능을 보였다.
• 그러나 진화신경망올 사용한 경우는 약 1시간 1유분밖에 걸리지 않았다. 진화알고리즘올 통한방법이 구조를 최적화시킬 수 있는 장점올 가지면서도 학습시간면에서도 기존의 방법보다 나은 것을 알 수 있었다.
• 세대가 거듭될 수록 신경망의 적합도가 증가하여 진화알고리즘이 좀 더 좋은 신경망의 구조를 찾아낼 수 있음을 확인하였다. 최대 적합도는 0.9에서 수렴하여 학습데이터를 90%정도 인식률로 분류할 수 있음올 알 수 있었다.

후속연구

• 제안한 침입탐지 방법은 분류기의 구조와 가중치가 진화 알고리즘에 의해 동시에 학습되 므로 기존의 고정 된 구조를 사용하는 방법보다 더 좋은 성능을 기대할 수 있는데 실제 벤치마크 데이터에 의한 테 스트에서 기존의 방법보다 좋은 결과를 보였다 향후 연구로는 진화 된 신경망의 구조를 분석하여 침입탐지에 좋은 구조가 어떤 것인지 밝혀내는 작업이 필요하겠다. 또한 종분화 방법에 의해 진화된 상호 보완적 인 다중 신경망을 결합하는 방법올 이용하면 좀 더 좋은 성능 올기대할 수 있을 것이다.
• 본 논문에서는 기존의 신경망 기반 비정상행위탐지 방법의 단점 울 극복하기 위하여 진화신경망올사용하는 방법을 제안하였다. 제안한 침입탐지 방법은 분류기의 구조와 가중치가 진화 알고리즘에 의해 동시에 학습되 므로 기존의 고정 된 구조를 사용하는 방법보다 더 좋은 성능을 기대할 수 있는데 실제 벤치마크 데이터에 의한 테 스트에서 기존의 방법보다 좋은 결과를 보였다 향후 연구로는 진화 된 신경망의 구조를 분석하여 침입탐지에 좋은 구조가 어떤 것인지 밝혀내는 작업이 필요하겠다. 또한 종분화 방법에 의해 진화된 상호 보완적 인 다중 신경망을 결합하는 방법올 이용하면 좀 더 좋은 성능 올기대할 수 있을 것이다.

본문요약 정보가 도움이 되었나요? 예 아니오 제출

이 논문을 인용한 문헌

더보기