시간 기반의 비정상 행위 침입탐지 모델 설계 (A Design of Time-based Anomaly Intrusion Detection Model)

서지정보

· 발행기관 : 한국정보통신학회
· 수록지 정보 : 한국정보통신학회논문지 / 15권 / 5호 / 1066 ~ 1072페이지
· 저자명 : 신미예, 정윤수, 이상호

초록

시스템 호출 순서에 대한 관계를 분석하는 방법은 정상적인 시스템 호출 순서를 일정한 크기로 시스템 호출 순서를 분할하여 진을 생성하여 탐지자로 사용한다. 시스템 호출의 매개변수를 고려하는 방법은 매개변수의 길이에 대한 평균과 표준편차를 이용하여 탐지자로 사용한다. 시스템 호출 순서만을 고려한 모델은 시스템 호출 순서는 정상이지만 포맷 스트링 공격과 같이 매개변수의 값만 변하는 공격을 탐지할 수 없으며, 시스템 호출 매개변수만을 고려한 모델은 매개변수 각각을 고려하므로 공격이 시작되지 않은 구간에서 획득한 정보에 의해 긍정적 결함률이 높게 나타나는 문제점이 있다. 이러한 문제점을 해결하기 위해 공격과 관련된 시스템 호출의 여러 속성들을 동시에 고려하는 접근 방법으로서 연속적인 시스템 호출 순서 및 매개변수를 그룹(Group)화하여 보다 효율적으로 학습 및 탐지하는 방법이 필요하다. 이 논문에서는 비정상적인 행위를 정상적인 행위로 판단하는 긍정적 결함률을 개선하기 위하여 시스템 호출 순서 및 매개변수에 시간 개념을 적용하여 시스템 호출 순서 및 매개변수의 비정상행위를 탐지한다. 실험 결과 제안 기법은 DARPA 데이터 셋을 사용한 실험에서 시스템 호출의 긍정적 결함률은 시간을 고려하지 않은 시스템 호출 순서 모델보다 시간을 고려한 시스템 호출 순서 모델의 긍정적 결함률이 13% 향상되었다.

영어초록

In the method to analyze the relationship in the system call orders, the normal system call orders are divided into a certain size of system call orders to generates gene and use them as the detectors. In the method to consider the system call parameters, the mean and standard deviation of the parameter lengths are used as the detectors. The attack of which system call order is normal but the parameter values are changed, such as the format string attack, cannot be detected by the method that considers only the system call orders, whereas the model that considers only the system call parameters has the drawback of high positive defect rate because of the information obtained from the interval where the attack has not been initiated, since the parameters are considered individually. To solve these problems, it is necessary to develop a more efficient learning and detecting method that groups the continuous system call orders and parameters as the approach that considers various characteristics of system call related to attacking simultaneously. In this article, we detected the anomaly of the system call orders and parameters by applying the temporal concept to the system call orders and parameters in order to improve the rate of positive defect, that is, the misjudgment of anomaly as normality. The result of the experiment where the DARPA data set was employed showed that the proposed method improved the positive defect rate by 13% in the system call order model where time was considered in comparison with that of the model where time was not considered.

참고자료

· 없음