본문 바로가기
KERD
논문KCI 등재

공격 이벤트 유형과 발생 빈도를 활용한 호스트 기반 이상 탐지 성능 향상 기법

Techniques for Improving Host-based Anomaly Detection Performance using Attack Event Types and Occurrence Frequencies

김승현|최대선|이주연
한국컴퓨터정보학회 (The Korean Society Of Computer And Information)|2023.11|한국컴퓨터정보학회논문지 (Journal of The Korea Society of Computer and Information)|제28권 제11호|pp. 89-101|DOI https://doi.org/10.9708/jksci.2023.28.11.089

0

조회

0

다운로드

0

인용

0

참고문헌

키워드

Feature extractionAnomaly Detection특성 추출이상행위탐지LANL2015HBOSLogon Type
주제분류컴퓨터학

초록

사이버 공격으로 인한 국가, 기업 등의 피해를 막기 위해 공격자의 접근을 사전에 감지하는 이상탐지 기술이 꾸준히 연구되어왔다. 외부 혹은 내부에서 침입하는 공격들을 즉각적으로 막기 위해실행시간의 감축과 오탐지 감소는 필수불가결하다. 본 연구에서는 공격 이벤트의 유형과 빈도가 이상 탐지 정탐률 향상 및 오탐률 감소에 영향을 미칠 것으로 가설을 세우고, 검증을 위해 Los Alamos National Laboratory의 2015년 로그인 로그 데이터셋을 사용하였다. 전처리 된 데이터를 대표적인 이상행위 탐지 알고리즘에 적용한 결과, 공격 이벤트 유형과 빈도를 동시에 적용한 특성을 사용하는 것이 이상행위 탐지의 오탐률과 수행시간을 절감하는데 매우 효과적임을 확인하였다.

Abstract

In order to prevent damages caused by cyber-attacks on nations, businesses, and other entities, anomaly detection techniques for early detection of attackers have been consistently researched. Real-time reduction and false positive reduction are essential to promptly prevent external or internal intrusion attacks. In this study, we hypothesized that the type and frequency of attack events would influence the improvement of anomaly detection true positive rates and reduction of false positive rates. To validate this hypothesis, we utilized the 2015 login log dataset from the Los Alamos National Laboratory. Applying the preprocessed data to representative anomaly detection algorithms, we confirmed that using characteristics that simultaneously consider the type and frequency of attack events is highly effective in reducing false positives and execution time for anomaly detection.

참고문헌 (53)

  1. 박상민, "사이버공격 의도분석을 통한 공격유형 분류에 관한 연구 - 사이버공격의 정치·경제적 피해분석을 중심으로 -", 정보보호학회논문지, 27(1), pp.103~113 (2017), 한국정보보호학회[DOI]
  2. Ministry of SMEs and Startups, "2022 Survey on the State of Technology Protection in Small and Medium-sized Enterprises", ~ (2022)
  3. Min Seonhee, "Virtual Currency Exchange 'GDAC' Hit by Hacking, 23% of Custodial Assets Stolen", Yonhap News, ~ (2023)
  4. 2023 Sonicwall Cyber Threat Report, "Sonicwall", ~
  5. Fatma Hachmi, "Enhancing the Accuracy of Intrusion Detection Systems by Reducing the Rates of False Positives and False Negatives Through Multi-objective Optimization", Journal of Network and Systems Management, 27(1), pp.93~120 (2019), Springer Science and Business Media LLC[DOI]
  6. A. D. Kent, "Comprehensive, multi-source cyber-security events data set", Los Alamos National Lab, ~ (2015)
  7. 임선영, "로그인 로그를 활용한 이상 탐지 성능 향상을 위한 기능화 방법", 한국통신학회논문지, 47(1), pp.58~65 (2022), 한국통신학회[DOI]
  8. Xiaohong Guan, "Fast intrusion detection based on a non-negative matrix factorization model", Journal of Network and Computer Applications, 32(1), pp.31~44 (2009), Elsevier BV[DOI]
  9. G. Tandon, "Machine learning for host-based anomaly detection", PhD, pp.2008
  10. Y. Qing, "An Intrusion Detection Approach Based on System Call Sequences and Rules Extraction", 2010 2nd International Conference on E-business and Information System Security, pp.1~4 (2010)
  11. Ding Yuxin, "Feature representation and selection in malicious code detection methods based on static system calls", Computers & Security, 30(6-7), pp.514~524 (2011), Elsevier BV[DOI]
  12. Miao Xie, "Evaluating Host-Based Anomaly Detection Systems: Application of the Frequency-Based Algorithms to ADFA-LD", Network and System Security, pp.542~549 (2014), Springer International Publishing[DOI]
  13. Junaid Arshad, "A novel intrusion severity analysis approach for Clouds", Future Generation Computer Systems, 29(1), pp.416~428 (2013), Elsevier BV[DOI]
  14. Wael Khreich, "Combining heterogeneous anomaly detectors for improved software security", Journal of Systems and Software, 137, pp.415~429 (2018), Elsevier BV[DOI]
  15. Dit-Yan Yeung, "Host-based intrusion detection using dynamic and static behavioral models", Pattern Recognition, 36(1), pp.229~243 (2003), Elsevier BV[DOI]
  16. Darren Mutz, "Anomalous system call detection", ACM Transactions on Information and System Security, 9(1), pp.61~93 (2006), Association for Computing Machinery (ACM)[DOI]
  17. 윤지영, "베이지안 확률 및 폐쇄 순차패턴 마이닝 방식을 이용한 설명가능한 로그 이상탐지 시스템", 인터넷정보학회논문지, 22(2), pp.77~87 (2021), 한국인터넷정보학회
  18. Yann LeCun, "Deep learning", Nature, 521(7553), pp.436~444 (2015), Springer Science and Business Media LLC[DOI]
  19. D. Kwon, "An Empirical Study on Network Anomaly Detection Using Convolutional Neural Networks", ICDSC, pp.595~1598 (2018)
  20. S. Lv, "Intrusion Prediction With System-Call Sequence-to-Sequence Model", IEEE Access, 6, pp.71413~71421 (2018)
  21. Czangyeob Kim, "Intrusion Detection Based on Sequential Information Preserving Log Embedding Methods and Anomaly Detection Algorithms", IEEE Access, 9, pp.58088~58101 (2021), Institute of Electrical and Electronics Engineers (IEEE)[DOI]
  22. Sang-Hyun. Oh, "Anomaly Detection based on Clustering User's Behaviors", The transactions of the Korea Information Processing Society, 7(8), pp.2411~2420 (2000)
  23. G. Kaiafas, "Detecting malicious authentication events trustfully", NOMS, pp.1~6 (2018)
  24. E. Aghaei, "Machine Learning for Host-based Misuse and Anomaly Detection in UNIX Environment", PhD, pp.2017
  25. H. Siadati, "Detecting structurally anomalous logins within enterprise networks", Proceedings of the 2017ACM SIGSAC Conference on Computer and Communications Security, pp.273~1284 (2017)
  26. Q. Liu, "Latte: Large-Scale Lateral Movement Detection", MILCOM, pp.1~6 (2018)
  27. M. Meijerink, "Anomaly-based detection of lateral movement in a microsoft windows environment", Master’s, pp.2019
  28. Elham Besharati, "LR-HIDS: logistic regression host-based intrusion detection system for cloud environments", Journal of Ambient Intelligence and Humanized Computing, 10(9), pp.3669~3692 (2018), Springer Science and Business Media LLC[DOI]
  29. Brian A. Powell, "Detecting malicious logins as graph anomalies", Journal of Information Security and Applications, 54, pp.102557~ (2020), Elsevier BV[DOI]
  30. Gideon Creech, "A Semantic Approach to Host-Based Intrusion Detection Systems Using Contiguousand Discontiguous System Call Patterns", IEEE Transactions on Computers, 63(4), pp.807~819 (2014), Institute of Electrical and Electronics Engineers (IEEE)[DOI]
  31. K. M. Tan, "Why 6? Defining the operational limits of stide, an anomaly-based intrusion detector", Proceedings 2002 IEEE Symposium on Security and Privacy, pp.188~201 (2002)
  32. Miao Xie, "Evaluating host-based anomaly detection systems: A preliminary analysis of ADFA-LD", CISP, 3, pp.1711~1716 (2013)
  33. S. A. Maske, "Advanced anomaly intrusion detection technique for host based system using system call patterns", International Conference on Inventive Computation Technologies, 2, pp.1~4 (2016)
  34. 박경선, "다양한 데이터 전처리 기법 기반 침입탐지 시스템의이상탐지 정확도 비교 연구", 정보처리학회 논문지, 10(11), pp.449~456 (2021), 한국정보처리학회
  35. 유승태, "다양한 데이터 전처리 기법과 데이터 오버샘플링을 적용한 GRU 모델 기반 이상 탐지 성능 비교", 정보보호학회논문지, 32(2), pp.201~211 (2022), 한국정보보호학회[DOI]
  36. Ming Liu, "Host-Based Intrusion Detection System with System Calls", ACM Computing Surveys, 51(5), pp.1~36 (2018), Association for Computing Machinery (ACM)[DOI]
  37. Alexander D. Kent, "Cyber security data sources for dynamic network research", Dynamic Networks and Cyber-Security, pp.37~65 (2016), WORLD SCIENTIFIC (EUROPE)[DOI]
  38. Steven A. Hofmeyr, "Intrusion detection using sequences of system calls", Journal of Computer Security, 6(3), pp.151~180 (1998), IOS Press[DOI]
  39. R. P. Lippmann, "Evaluating intrusion detection systems: the 1998 DARPA off-line intrusion detection evaluation", Proceedings DARPA Information Survivability Conference and Exposition, 2, pp.12~26 (2000)
  40. S. S. Murtaza, "A host-based anomaly detection approach by representing system calls as states of kernel modules", ISSRE, pp.431~440 (2013)
  41. G. Creech, "Generation of a new IDS test dataset:Time to retire the KDD collection", 2013 IEEE Wireless Communications and Networking Conference (WCNC) (2013)
  42. W. Haider, "Generating realistic intrusion detection system dataset based on fuzzy qualitative modeling", Journal of Network and Computer Applications, 87, pp.185~192 (2017), Elsevier BV[DOI]
  43. I. J. King, "Euler: Detecting Network Lateral Movement via Scalable Temporal Graph Link Prediction", Proceedings 2022 Network and Distributed System Security Symposium (2022)
  44. Eric Muhati, "Hidden-Markov-Model-Enabled Prediction and Visualization of Cyber Agility in IoT Era", IEEE Internet of Things Journal, 9(12), pp.9117~9127 (2022), Institute of Electrical and Electronics Engineers (IEEE)[DOI]
  45. E. Muhati, "Adversarial Machine Learning for Inferring Augmented Cyber Agility Prediction", INFOCOM WKSHPS, pp.1~6 (2021)
  46. 윤지영, "PageRank 특징을 활용한 RDP기반 내부전파경로 탐지 및 SHAP를 이용한 설명가능한 시스템", 인터넷정보학회논문지, 22(4), pp.1~11 (2021), 한국인터넷정보학회
  47. M. T. Wojnowicz, "Easy Variational Inference for Categorical Models via an Independent Binary Approximation", International Conference on Machine Learning, pp.23857~23896 (2022)
  48. 심기천, "비지도 학습 기반 오토인코더를 사용한 내부자 이상 행위 탐지 방법", 디지털콘텐츠학회논문지, 24(8), pp.1929~1936 (2023), 한국디지털콘텐츠학회
  49. Mwamba Kasongo Dahouda, "A Deep-Learned Embedding Technique for Categorical Features Encoding", IEEE Access, 9, pp.114381~114391 (2021), Institute of Electrical and Electronics Engineers (IEEE)[DOI]
  50. "PassMark" (2023)[URL]
  51. Y. Zhao, "Pyod : A python toolbox for scalable outlier detection", Journal of Machine Learning Research, 20, pp.1~7 (2019)
  52. F. Pedregosa, "Scikit-learn : Machine learning in Python", the Journal of machine Learning research, 12, pp.2825~2830 (2011)
  53. Dan Jiang, "A Novel Framework for Semiconductor Manufacturing Final Test Yield Classification Using Machine Learning Techniques", IEEE Access, 8, pp.197885~197895 (2020), Institute of Electrical and Electronics Engineers (IEEE)[DOI]

관련 논문AI추천

침입탐지 알고리즘 성능 최적화 및 평가 방법론 개발김홍윤, 신대철(사)디지털산업정보학회 · (사)디지털산업정보학회 논문지2012 · 제8권 제1호패킷간 연관 관계를 이용한 네트워크 비정상행위 탐지오상현, 이원석한국정보보호학회 · 정보보호학회논문지2002 · 제12권 제5호기계학습 기반 IDS 보안이벤트 분류 모델의 정확도 및 신속도 향상을 위한 실용적 feature 추출 연구권태웅, 송중석, 신익수, 최장원한국정보보호학회 · 정보보호학회논문지2018 · 제28권 제2호침입탐지시스템의 정확도 향상을 위한 개선된 데이터마이닝 방법론최윤정(사)디지털산업정보학회 · (사)디지털산업정보학회 논문지2010 · 제6권 제1호네트워크 침입탐지를 위한 계층적 하이브리드 모형윤한성(사)디지털산업정보학회 · (사)디지털산업정보학회 논문지2025 · 제21권 제4호이종의 침입탐지센서 관련성을 이용한 통합탐지의 민감도 향상 방법김민수, 김용민, 김홍근, 노봉남한국정보보호학회 · 정보보호학회논문지2002 · 제12권 제4호

이 간행물의 다른 논문 (24건)

유방암 분류를 위한 전이학습 기반 DNN-SVM 하이브리드 모형조귀래, 김영순, 임동훈, 백범수pp. 1-11LSTM-Autoencoder기반 특징추출과 재구성을 사용한 수온 예측 연구송구득, 박수현pp. 13-20Deep SVDD 알고리즘 기반의 품질 검사 시스템 설계김승우, 김정준, 전광우, 강전성, 지성철, 정현준pp. 21-28A Comparative Study on Data Augmentation Using Generative Models for Robust Solar Irradiance Prediction김대성진, 김보영, 이지민, 문지훈, 오진영pp. 29-42시간적, 공간적 특성을 활용하는 딥러닝기반 고무의 레오미터 품질 적합성 검사 모델장용훈, 이명섭, 이복동, 박재현pp. 43-52
원문 보기