[논문]기계학습 기법에 의한 비정상행위 탐지기반 IDS의 성능 평가

노영주; 조성배

문제 정의

본 논문에서는 비정상행위 탐지방식을 사용한 최적의침입탐지시스템 구현을 위해 정상 행위 모델링 방법에 따른 성능을 비교 분석하였다.
본 연구에서는 기존에 HMM모델을 이용할 경우 시간이너무 많이 걸린다는 단점을 극복하고 좀 더 좋은 탐지율을얻기 위해권한이동 침입 탐지 시스템을 이용하여 다양한탐지 모듈별 성능을 비교하였다. 시스템은 크게 전처리, 정상행위 모델링, 추론기법으로 나눌 수 있다.

제안 방법

43%에서 100%의 침입탐지율을 보인다. HMM을 이용한 실험에서는 다른 방법들과 실험 데이터 적용에 동일성을 위해 시퀀스의 길이를 27로고정하고 최적의 탐지를 위해 상태 수를 5, 7, 10, 15로 변경해가며 실험해 보았匸卜. 실험 결과 2.
총 침입탐지율은 2478%로서 시스템에서 발생하는 시스템 호출이다양하게 발생되며 단순히 거리에 의해서는 시퀀스의 비교가 되지 않음을 알 수 있다. MLP 방법은 학습의 효과를 최대화하기 위해 은닉 충의 노드 수를 10, 15, 18, 20개로각각 설정하고 학습세대수를 200부터 10000까지 조정하여학습하였다. 침입 탐지를 위한 최상의 MLP는 27-20-2의구조를 가지고 10000번 반복을 통해 얻어졌다.
작업이 필요하다[5]. 본 논문에서 추출된 다량의 레코드 정보 중 UID, EUID, 소유권, 시스템호출 이벤트 등을 사용한다. 순서적으로 생성되는 이벤트는 일정 크기의윈도우를 옆으로 이동시켜가면서 윈도우 크기만한 시퀀스로 추출하였다.
본 논문에서 추출된 다량의 레코드 정보 중 UID, EUID, 소유권, 시스템호출 이벤트 등을 사용한다. 순서적으로 생성되는 이벤트는 일정 크기의윈도우를 옆으로 이동시켜가면서 윈도우 크기만한 시퀀스로 추출하였다.
이를 위해본 연구에서는 사용자와 그룹 모두의 권한이동을 탐지하였다. 이렇게 추출된 일정한 크기의 시퀀스 정보를 동등 매칭, 다층 퍼셉트론, 은닉 마르코프 모델을 통해 정상행위 학습을 한다. 동등 매칭은 저장된 시퀀스와 입력된 시퀀스간거리를 비교하여 침입을 판정하므로 다양한 시퀀스에 대한 판정을 제대로 수행하지 못한다.
하지 만 수집한 공격행위 분석시 사용자의 변화뿐만 아니라 때로는 그룹 사용자가 변화하여 시스템을침범 후 관리자 권한을 획득하는 경우가 있다. 이를 위해본 연구에서는 사용자와 그룹 모두의 권한이동을 탐지하였다. 이렇게 추출된 일정한 크기의 시퀀스 정보를 동등 매칭, 다층 퍼셉트론, 은닉 마르코프 모델을 통해 정상행위 학습을 한다.
MLP 방법은 학습의 효과를 최대화하기 위해 은닉 충의 노드 수를 10, 15, 18, 20개로각각 설정하고 학습세대수를 200부터 10000까지 조정하여학습하였다. 침입 탐지를 위한 최상의 MLP는 27-20-2의구조를 가지고 10000번 반복을 통해 얻어졌다. 침입판정율은 false-positive 오류율이 0.
침입 탐지시스템의 구조는 그림 1과 같이 전처리 과정에서 정상행위모델인 프로파일을 생성하고 이를 이용해 침입판정 과정에서 침입 탐지를 한다. 전처리 과정은 모델링을 위한 정상 행위 감사자료를 필터링하고 축약한 후 정상행위 모델을 생성하며, 침입 판정 과정은 프로세스들의 행위궤적을 필터링하고 축약하여 전처리 과정에서 생성한정상행위 모델과의 비교를 통해 진행된다[4L
하나의 시스템 호출에 대해 기록되는 정보는 다양하지만권한이동 모델에 적용하기 위해 UID, EUID, 소유권, 시스템호출 이벤트를 추출하여 사용한다. 순서적 이벤트를 처리하기 위해서는 고정된 단위로 이벤트를 분할할 필요가있는데 슬라이딩 윈도우 방식을 사용하여 수집된 시퀀스중 권한이 이동되는 시첨과 관계된 시퀀스만을 추출해 정상행위 모델을 생성하는 자료로 이용한다[7L
0, L 이을 나타내는 두개로 구성되었다. 학습은 200번부터 10000번까지 반복 학습을 하였고, 각각 10회 반복하였다.

대상 데이터

비정상행위 침입 탐지를 위해 동둥매칭과 다층퍼셉셉트론 방법에서 사용한 데이터는 정상 행위와 대웅되는 비정상행위 시퀀스를 랜덤 발생기로 만들어 사용하였다.
사용된 MLP는 입력충, 출력층 그리고 한개의 은닉층으로 구성되었으며, 입력층의 노드 수는 27개, 은닉층의 노드수는 10〜20개를 두었고, 출력층 노드 수는, 정상일때 [1.0, 0.0] 침입일 때 [0.0, L 이을 나타내는 두개로 구성되었다. 학습은 200번부터 10000번까지 반복 학습을 하였고, 각각 10회 반복하였다.
주 사용 프로그램은 메일 서버, 홈페이지 접속, 유닉스 명령어 실행, FTP 데이터 전송, 그리고 사용자가 작성한 프로그램이었다. 생성된 사용자 이벤트는 모두 767, 237개였으며 테스트에서는 6명의 사용자가 참가하였고, 그중 3명이 총 17개의 Exploit에 대해서 2〜3번씩 침입을 시도하였다. 총 767, 237개의 이벤트중 권한이동과 관련된 이벤트의 수는 5, 950개이다.
시스템은 크게 전처리, 정상행위 모델링, 추론기법으로 나눌 수 있다. 전처리 부분은 SunOS에서 지원하는 BSM 모듈을 이용하여 Audit 데이터를 추출한다. 현재 BSM에서 사용되는 이벤트들은시스템 콜, 시간, ruid, euid, rgid, egid, 등이다.
학습 데이터는 한 달 동안 7명의 사용자가 발생시킨 정상행위 데이터를 사용하였다. 주 사용 프로그램은 메일 서버, 홈페이지 접속, 유닉스 명령어 실행, FTP 데이터 전송, 그리고 사용자가 작성한 프로그램이었다.

이론/모형

정상 행위 모델링을 위하여 전처리 단계에서 생성된 정상행위 시퀀스와 랜덤 생성기로 생성된 비정상행위 시퀀스를 기반으로 역전파(backpropagatkm) 알고리즘을 이용하여 MLP를 학습시킨다[11]. 역전파 신경망에 적용하기위해슬라이딩 윈도우 방식으로 27개씩 나뉘어진 정상행위와비정상행위 시퀀스를 입력한 후 다음 식에 와해 계산한다.

성능/효과

동등 매칭은 저장된 시퀀스와 입력된 시퀀스간거리를 비교하여 침입을 판정하므로 다양한 시퀀스에 대한 판정을 제대로 수행하지 못한다. 다층 퍼셉트론을 이용한 침입 탐지 결과는 적은 false-positive율을 보이면서 높은 탐지율을 나타내었다. 그러나 시퀀스가 가지고 있는 시간적 정보를 반영하지 못한다는 단점이 발생하게 된다.
HMM을 이용한 실험에서는 다른 방법들과 실험 데이터 적용에 동일성을 위해 시퀀스의 길이를 27로고정하고 최적의 탐지를 위해 상태 수를 5, 7, 10, 15로 변경해가며 실험해 보았匸卜. 실험 결과 2.44%의 false-positive 오류율에서 100%의 침입 탐지율을 보였다.
보여주고 있다. 실험 결과 EM 방법은 매우 저조한 침입탐지율과 높은 false-positive 오류율을 보였다. 총 침입탐지율은 2478%로서 시스템에서 발생하는 시스템 호출이다양하게 발생되며 단순히 거리에 의해서는 시퀀스의 비교가 되지 않음을 알 수 있다.
실험 결과 EM 방법은 매우 저조한 침입탐지율과 높은 false-positive 오류율을 보였다. 총 침입탐지율은 2478%로서 시스템에서 발생하는 시스템 호출이다양하게 발생되며 단순히 거리에 의해서는 시퀀스의 비교가 되지 않음을 알 수 있다. MLP 방법은 학습의 효과를 최대화하기 위해 은닉 충의 노드 수를 10, 15, 18, 20개로각각 설정하고 학습세대수를 200부터 10000까지 조정하여학습하였다.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

기계학습 기법에 의한 비정상행위 탐지기반 IDS의 성능 평가
Performance Evaluation of IDS based on Anomaly Detection Using Machine Learning Techniques 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper

문제 정의

제안 방법

대상 데이터

이론/모형

성능/효과

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

기계학습 기법에 의한 비정상행위 탐지기반 IDS의 성능 평가 Performance Evaluation of IDS based on Anomaly Detection Using Machine Learning Techniques 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

대상 데이터

이론/모형

성능/효과

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

기계학습 기법에 의한 비정상행위 탐지기반 IDS의 성능 평가
Performance Evaluation of IDS based on Anomaly Detection Using Machine Learning Techniques 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper