시간 기반의 비정상 행위 침입탐지 모델 설계 = A Design of Time-based Anomaly Intrusion Detection Model

국문 초록 (Abstract)

시스템 호출 순서에 대한 관계를 분석하는 방법은 정상적인 시스템 호출 순서를 일정한 크기로 시스템 호출 순서를 분할하여 진을 생성하여 탐지자로 사용한다. 시스템 호출의 매개변수를 고려하는 방법은 매개변수의 길이에 대한 평균과 표준편차를 이용하여 탐지자로 사용한다. 시스템 호출 순서만을 고려한 모델은 시스템 호출 순서는 정상이지만 포맷 스트링 공격과 같이 매개변수의 값만 변하는 공격을 탐지할 수 없으며, 시스템 호출 매개변수만을 고려한 모델은 매개변수 각각을 고려하므로 공격이 시작되지 않은 구간에서 획득한 정보에 의해 긍정적 결함률이 높게 나타나는 문제점이 있다. 이러한 문제점을 해결하기 위해 공격과 관련된 시스템 호출의 여러 속성들을 동시에 고려하는 접근 방법으로서 연속적인 시스템 호출 순서 및 매개변수를 그룹(Group)화하여 보다 효율적으로 학습 및 탐지하는 방법이 필요하다. 이 논문에서는 비정상적인 행위를 정상적인 행위로 판단하는 긍정적 결함률을 개선하기 위하여 시스템 호출 순서 및 매개변수에 시간 개념을 적용하여 시스템 호출 순서 및 매개변수의 비정상행위를 탐지한다. 실험 결과 제안 기법은 DARPA 데이터 셋을 사용한 실험에서 시스템 호출의 긍정적 결함률은 시간을 고려하지 않은 시스템 호출 순서 모델보다 시간을 고려한 시스템 호출 순서 모델의 긍정적 결함률이 13% 향상되었다.

다국어 초록 (Multilingual Abstract)

In the method to analyze the relationship in the system call orders, the normal system call orders are divided into a certain size of system call orders to generates gene and use them as the detectors. In the method to consider the system call parameters, the mean and standard deviation of the parameter lengths are used as the detectors. The attack of which system call order is normal but the parameter values are changed, such as the format string attack, cannot be detected by the method that considers only the system call orders, whereas the model that considers only the system call parameters has the drawback of high positive defect rate because of the information obtained from the interval where the attack has not been initiated, since the parameters are considered individually. To solve these problems, it is necessary to develop a more efficient learning and detecting method that groups the continuous system call orders and parameters as the approach that considers various characteristics of system call related to attacking simultaneously. In this article, we detected the anomaly of the system call orders and parameters by applying the temporal concept to the system call orders and parameters in order to improve the rate of positive defect, that is, the misjudgment of anomaly as normality. The result of the experiment where the DARPA data set was employed showed that the proposed method improved the positive defect rate by 13% in the system call order model where time was considered in comparison with that of the model where time was not considered.

참고문헌 (Reference)

1 이종성, "특권프로세스의 시스템 호출 추적을 사용하는 침입 탐지 시스템의 설계:면역 시스템 접근" 181-206, 1999

2 이종성, "특권 프로세스의 시스템 호출 추적을 통한 침입 탐지:면역시스템 접근" 한국항공대학교 2000

3 신미예, "타임 윈도우 기반의 T-N2SCD 탐지 모델 구현" 한국정보통신학회 13 (13): 2341-2348, 2009

4 신미예, "유전 알고리즘 기법을 이용한 HA 모델 설계" 한국컴퓨터정보학회 14 (14): 159-166, 2009

5 박봉구, "시스템 호출 기반의 사운덱스 알고리즘을 이용한 신경망과 N-gram 기법에 대한 이상 탐지 성능 분석" 한국인터넷정보학회 6 (6): 45-56, 2005

6 황현욱, "감사로그 상관관계를 통한 호스트기반의 침입탐지시스템" 한국정보보호학회 13 (13): 81-90, 2003

7 C. Kruegel, "On the Detection of Anomalous System Call Arguments" 2003

8 M. Markou, "Novelty detection : a review-part 1: statistical approaches" 83 (83): 2481-2497, 2003

9 D. Wagner, "Mimicry attacks on host based intrusion detection systems" 2002

10 G. Tandon, "Learning rules from system call arguments and sequences for anomaly detection" 20-29, 2003

11 G. Casas-Garriga, "ISSA : An integreated system for sequence analysis" Universitat Paderborn 2005

12 E. Tsyrklevich, "Dynamic detection and prevention of race conditions in file accesses" 17-17, 2003

13 J. B. D. Cabrera, "Detection and classification of intrusion and faults using sequences of system calls" 30 (30): 2001

14 S.Forrest, "Computer Immunology[review article]" 40 (40): 176-187, 2007

15 Anil Somayaji, "Automated response using systemcall delays" 2000

16 N.Ye, "An anomaly detection technique based on a chi-square statistic for detecting intrusions into information systems" 17 (17): 105-112, 2001

17 S. Forrest, "A Sense of Self for Unix Process" IEEE Computer Society Press 120-128, 1996