보안관제 효율성 제고를 위한 실증적 분석 기반 보안이벤트 자동검증 방법
An Auto-Verification Method of Security Events Based on Empirical Analysis for Advanced Security Monitoring and Response;
0
조회
0
다운로드
7
인용
0
참고문헌
키워드
초록
국내 사이버공격 대응 전담조직(CERT)들은 탐지패턴 기반의 보안장비(IDS, TMS 등)를 활용하여 사이버 침해공격에대한 탐지·대응을 수행하고 있다. 특히, 공공･연구기관의 경우 국가정보원(NIS) 내 국가사이버안전센터(NCSC)를중심으로 30여개의 부문 보안관제 센터가 구축･운영되고 있으며, 주로 침해위협수집시스템(TMS)을 활용하여 사이버공격에 대한 탐지･분석･대응을 수행하고 있다. 그러나 현재의 보안관제 체계에서는 대량의 보안이벤트가 보안장비에의해 발생되고 있을 뿐만 아니라, 보안관제 요원이 보안이벤트에 대한 실제 공격여부를 판단하기 위해서는 추가적인 분석작업을 수행해야 하므로 보안이벤트 전체에 대한 대응이 현실적으로 불가능한 실정이다. 또한 현재의 보안관제 업무는보안관제 요원이 보유한 전문지식 및 경험에만 전적으로 의존하고 있기 때문에 특정 보안이벤트에만 분석이 집중되는업무편중 현상이 발생하며, 이로 인해 기존에 알려지지 않은 새로운 해킹 공격기술에 대한 대응능력이 부족하다. 따라서본 논문은 실시간 보안관제 및 침해대응 활동의 효율성을 극대화하고 대규모 해킹공격에 대한 조기대응 역량을 강화하기 위해 실제 해킹공격에 대한 실증적 분석에 기반한 대용량 보안이벤트 자동검증 방법을 제안한다.
Abstract
Domestic CERTs are carrying out monitoring and response against cyber attacks using security devices(e.g., IDS, TMS, etc)based on signatures. Particularly, in case of public and research institutes, about 30 security monitoring and response centers arebeing operated under National Cyber Security Center(NCSC) of National Intelligence Service(NIS). They are mainly using ThreatManagement System(TMS) for providing security monitoring and response service. Since TMS raises a large amount of securityevents and most of them are not related to real cyber attacks, security analyst who carries out the security monitoring andresponse suffers from analyzing all the TMS events and finding out real cyber attacks from them. Also, since the securitymonitoring and response tasks depend on security analyst's know-how, there is a fatal problem in that they tend to focus onanalyzing specific security events, so that it is unable to analyze and respond unknown cyber attacks. Therefore, we proposeautomated verification method of security events based on their empirical analysis to improve performance of security monitoringand response.
참고문헌 (15)
- Yu, D., ""A Novel Framework for Alert Correlation and Understading," Proc. on ACNS 2004", LNCS, 3089, pp.452~466 (2004)
- Debar, H., "Aggregation and Correlation of Intrusion-Detection Alerts", Proc. on the 4th International Symposium on Recent Advances in Intrusion Detection (RAID), pp.85~103 (2001), Springer Verlang
- Giacinto, G., ""Alarm Clustering for Intrusion Detection Systems in Computer Networks," Proc. on MLDM 2005", LNAI, 3587, pp.184~193 (2005)
- Ning, P., "Analyzing Intensive Intrusion Alerts via Correlation", Proc. on the 5th International Symposium on Recent Advances in Intrusion Detection (RAID), pp.74~94 (2002), Springer Verlang
- Y. Livnat, "Visual Correlation for Situational Awareness", Proc. of IEEE 2000 Symp. on Information Visualization (InfoVis), pp.95~102 (2005)
- K. Lakkaraju, "NVisionIP: Netflow Visualization of System State for Security Situational Awareness", Proc. of VizSEC 2004, pp.65~72 (2004), ACM Press
- "Science&Technology Security Center"[URL]
- Ning, P., "Constructing Attack Scenarios through Correlation of Intrusion Alerts", Proc. on the 9th ACM conference on Computer and Communications Security, pp.245~254 (2002)
- Ning, P., "Building Attack Scenarios through Integration of Complementary Alert Correlation Methods", Proc. on the 11th Annual Network and Distributed System Security (NDSS '04), pp.97~111 (2004)
- Ning, P., "Techniques and Tools for Analyzing Intrusion Alerts", ACM Transactions on Information and System Security, pp.274~318 (2004)
- Al-Mamory, S.O., "IDS Alerts Correlation Using Grammar-based Approach", Journal in Computer Virology, 5(4), pp.271~282 (2008)
- Song, J., "A Generalized Feature Extraction Scheme to Detect 0-Day Attacks via IDS Alerts", Proc. on SAINT 2008, pp.51~56 (2008), IEEE CS Press
- 이호섭, "클러스터 정보를 이용한 네트워크 이상상태 탐지방법", 정보보호학회논문지, 22(3), pp.545~552 (2012), 한국정보보호학회
- Pedro Casa, "Unsupervised Network Intrusion Detection Systems: Detecting the Unknown without Knowledge", Computer Communications Journal of Elsevier, pp.772~783 (2012)
- A study on generalization of Fault-Injection Analysis tools, "HoonJae Lee", Dongseo University Industry-Academic Cooperation Foundation, ~, pp.2013-046 (2013)