한국정보통신학회 논문지 (Journal of the Korea Institute of Information and Communication Engineering)
Current Result Document :
| 한글제목(Korean Title) |
시간 기반의 비정상 행위 침입탐지 모델 설계 |
| 영문제목(English Title) |
A Design of Time-based Anomaly Intrusion Detection Model |
| 저자(Author) |
신미예
정윤수
이상호
Mi-Yea Shin
Yoon-Su jeong
Sang-Ho Lee
|
| 원문수록처(Citation) |
VOL 15 NO. 05 PP. 1066 ~ 1072 (2011. 05) |
한글내용
(Korean Abstract) |
시스템 호출 순서에 대한 관계를 분석하는 방법은 정상적인 시스템 호출 순서를 일정한 크기로 시스템 호출 순서를 분할하여 진을 생성하여 탐지자로 사용한다. 시스템 호출의 매개변수를 고려하는 방법은 매개변수의 길이에 대한 평균과 표준편차를 이용하여 탐지자로 사용한다. 시스템 호출 순서만을 고려한 모델은 시스템 호출 순서는 정상이지만 포맷 스트링 공격과 같이 매개변수의 값만 변하는 공격을 탐지할 수 없으며, 시스템 호출 매개변수만을 고려한 모델은 매개변수 각각을 고려하므로 공격이 시작되지 않은 구간에서 획득한 정보에 의해 긍정적 결함률이 높게 나타나는 문제점이 있다. 이러한 문제점을 해결하기 위해 공격과 관련된 시스템 호출의 여러 속성들을 동시에 고려하는 접근 방법으로서 연속적인 시스템 호출 순서 및 매개변수를 그룹(Group)화하여 보다 효율적으로 학습 및 탐지하는 방법이 필요하다. 이 논문에서는 비정상적인 행위를 정상적인 행위로 판단하는 긍정적 결함률을 개선하기 위하여 시스템 호출 순서 및 매개변수에 시간 개념을 적용하여 시스템 호출 순서 및 매개변수의 비정상행위를 탐지한다. 실험 결과 제안 기법은 DARPA 데이터 셋을 사용한 실험에서 시스템 호출의 긍정적 결함률은 시간을 고려하지 않은 시스템 호출 순서 모델보다 시간을 고려한 시스템 호출 순서 모델의 긍정적 결함률이 13% 향상되었다.
|
영문내용
(English Abstract) |
In the method to analyze the relationship in the system call orders, the normal system call orders are divided into a certain size of system call orders to generates gene and use them as the detectors. In the method to consider the system call parameters, the mean and standard deviation of the parameter lengths are used as the detectors. The attack of which system call order is normal but the parameter values are changed, such as the format string attack, cannot be detected by the method that considers only the system call orders, whereas the model that considers only the system call parameters has the drawback of high positive defect rate because of the information obtained from the interval where the attack has not been initiated, since the parameters are considered individually. To solve these problems, it is necessary to develop a more efficient learning and detecting method that groups the continuous system call orders and parameters as the approach that considers various characteristics of system call related to attacking simultaneously. In this article, we detected the anomaly of the system call orders and parameters by applying the temporal concept to the system call orders and parameters in order to improve the rate of positive defect, that is, the misjudgment of anomaly as normality. The result of the experiment where the DARPA data set was employed showed that the proposed method improved the positive defect rate by 13% in the system call order model where time was considered in comparison with that of the model where time was not considered.
|
| 키워드(Keyword) |
호스트기반 침입탐지
시스템 호출 순서
시스템 호출 매개변수
긍정적 결함
부정적 결함
Host based IDS
System call sequence
System call argument
false-positive
false-negative
|
| 파일첨부 |
PDF 다운로드
|
