패스트 데이터 기반 실시간 비정상 행위 탐지 시스템
Real-time Abnormal Behavior Detection System based on Fast Data
1
조회
0
다운로드
2
인용
0
참고문헌
키워드
초록
최근, Verizon(2010), 농협(2011), SK컴즈(2011), 그리고 3.20 사이버 테러(2013)와 같이 소중한 정보가누출되고 자산에 피해가 발생한 후에야 보안 공격을 인지하는 APT (Advanced Persistent Threat) 공격 사례가 증가하고 있다. 이러한 APT 공격을 해결하고자 이상 행위 탐지 기술 관련 연구가 일부 진행되고 있으나, 대부분알려진 악성 코드의 시그너쳐 기반으로 명백한 이상 행위를 탐지하는데 초점을 맞추고 있어서, 장기간 잠복하며 제로데이 취약점을 이용하고, 새로운 또는 변형된 악성 코드를 일관되게 사용하는 APT 공격에는 취약하여, 미탐율이굉장히 높은 문제들을 겪고 있다. APT 공격을 탐지하기 위해서는 다양한 소스로부터 장기간에 걸쳐 대규모 데이터를 수집, 처리 및 분석하는 기술과, 데이터를 수집 즉시 실시간 분석하는 기술, 그리고 개별 공격들 간의 상관(correlation) 분석 기술이 동시에 요구되나, 기존 보안 시스템들은 이러한 복잡한 분석 능력이나 컴퓨팅 파워, 신속성 등이 부족하다. 본 논문에서는 기존 시스템들의 실시간 처리 및 분석 한계를 극복하기 위해, 패스트 데이터 기반 실시간 비정상 행위 탐지 시스템을 제안한다.
Abstract
Recently, there are rapidly increasing cases of APT (Advanced Persistent Threat) attacks such as Verizon(2010), Nonghyup(2011), SK Communications(2011), and 3.20 Cyber Terror(2013), which cause leak of confidential information and tremendous damage to valuable assets without being noticed. Several anomaly detection technologies were studied to defend the APT attacks, mostly focusing on detection of obvious anomalies based on known malicious codes’ signature. However, they are limited in detecting APT attacks and suffering from high false-negative detection accuracy because APT attacks consistently use zero-day vulnerabilities and have long latent period. Detecting APT attacks requires long-term analysis of data from a diverse set of sources collected over the long time, real-time analysis of the ingested data, and correlation analysis of individual attacks. However, traditional security systems lack sophisticated analytic capabilities, compute power, and agility. In this paper, we propose a Fast Data based real-time abnormal behavior detection system to overcome the traditional systems’ real-time processing and analysis limitation.
참고문헌 (31)
- 2010 data breach investigations report, "Verizon", ~ (2010)
- Colin Tankard, "Advanced persistent threats and how to monitor and deter them", Network Security, 2011(8), pp.16~19 (2011)
- Paul Giura, "Using large scale distributed computing to unveil advanced persistent threats", Science Journal, 1(3), pp.93~105 (2012)
- "Apache Hadoop Project"[URL]
- "Apache Storm Project"[URL]
- "Splunk"[URL]
- General Dynamics, "Proposal for R&D support of DARPA cyber genome program", ~ (2010)
- Sung-Hwan Ahn, "Big data analysis system concept for detecting unknown attacks", ICACT 2014, pp.269~272 (2014)
- Kim Jonghyeon, "Trend of cyber security technology using Big Data", Electronic Communication Trend Analysis, 28 (2013)
- 문대성, "APT 공격 탐지를 위한 호스트 기반 특징 표현 방법", 정보보호학회논문지, 24(5), pp.839~850 (2014), 한국정보보호학회[DOI]
- M. A. Beyer, "Big data is only the beginning of extreme information management" (2011), Gartner
- Ashish Thusoo, "Hive – a warehousing solution over a Map-Reduce framework", VLDB 2009, 2(2), pp.1626~1629 (2009)
- NIST, "Guide for conducting risk assessments" (2009), Special Publication
- Symantec, "Symantec internet security threat report" (2011), Symantec
- Art Coviello, "Open letter to RSA customers", ~ (2011)
- "Big data"[URL]
- "Lambda Architecture"[URL]
- Hyunjoo Kim, "Abnormal behavior detection technique based on big data", Lecture Notes in Electrical Engineering, 301, pp.553~563 (2014)
- "IBM QRadar"[URL]
- "McAfee ESM"[URL]
- "IBM Security Intelligence with Big Data"[URL]
- Yeonhee Lee, "Toward scalable Internet traffic measurement and analysis with Hadoop", ACM SIGCOMM Computer Communication Review, 43(1), pp.6~13 (2013)
- Daesu Choi, "Large quantity of security log analysis using MapReduce", Journal of the Korean Institute of Information Technology, 9 (2011)
- Ting-Fang Yen, "Beehive : large-scale log analysis for detecting suspicious activity in enterprise networks", ACSAC 2013, pp.199~208 (2013)
- Ioan Raicu, "Falkon : a fast and light-weight task execution framework", ACM, 2007, pp.(43), ~
- "computing"[URL]
- Alissa Lorentz, "Big data, fast data, smart data", WIRED (2013)
- DCIG, "2014-2015 SIEM appliance buyer’s guide", ~ (2014)
- IBM, "IBM Security QRadar SIEM - product overview", ~ (2013)
- "ArcSight ESM 7425" (2015)[URL]
- Splunk, "Splunk performance guide v2.1", ~ (2015)