Snort 기반 탐지 규칙의 유사성 분석 프로그램 개발 및 활용
Development and Application of a Similarity Analysis Program for Snort-based Detection Rules
0
조회
0
다운로드
4
인용
0
참고문헌
키워드
초록
네트워크를 이용한 공격이 점점 다양해지고 정밀해지면서 침입 탐지 시스템에서 사용하는 탐지규칙도 많아지고 복잡해지고 있다. 하지만 탐지규칙을 효율적으로 통합하고 관리하기가 어려워 중복되거나 유사한 탐지규칙의 수가 급속히 늘어나고 있으며, 이는 침입 탐지 시스템의 효율성을 크게 저하하는 원인이 되고 있다. 본 논문에서는 탐지규칙의 유사도를 측정하는 프로그램을 개발하고 이를 이용하여 대표적인 침입탐지 시스템인 Snort에서 사용되는 탐지규칙의 유사성을 분석한다. 유사도 측정 프로그램은 최장 공통부분 문자열 알고리즘과 서열 정렬 알고리즘을 사용하여 중복되거나 유사한 탐지규칙을 찾는다. 분석 결과, Snort의 탐지규칙 5,843개에서 중복되거나 비슷한 탐지규칙 1,377개를 찾았고 이들을 유사성에 따라 분류하였다. 또한, 탐지규칙 세 개를 개별적으로 분석하고 개선안을 제시하였다.
Abstract
Network attacks become more and more diverse and precise, and thus detection rules also become numerous and complicated in network intrusion detection systems. Since, however, the detection rules are difficult to unify and manage efficiently, duplicate or similar rules are increasing. Moreover, these rules reduce the performance of the intrusion detection systems. In this paper, we develop a program for evaluating the similarity of detection rules and analyze, using the program, the similarity of detection rules used in Snort, a representative intrusion detection system. The program finds duplicate or similar rules based on a longest common subsequence algorithm and a sequence alignment algorithm. In our analysis, we found 1,377 duplicate or similar detection rules among 5,843 rules of Snort and classified the duplicate or similar rules according to their similarities. Furthermore, we analyze three rules individually and propose improvements on them.
참고문헌 (21)
- J. Mirkovic, "A taxonomy of DDoS attack and DDoS defense mechanisms", ACM SIGCOMM Computer Communication Review, 34(2), pp.39~53 (2004)
- C. Tankard, "Advanced Persistent threats and how to monitor and deter them", Network security, 2011(8), pp.16~19 (2011)
- Guide to intrusion detection and prevention systems (idps), "K. Scarfone", NIST special publication, ~ (2007)
- M. Alicherry, "High speed pattern matching for network IDS", IPS, 2006, ~
- 김영호, "k-오차문제를 위한 4-러시안 알고리즘의 계산 단계 병렬화", 한국차세대컴퓨팅학회 논문지, 9(2), pp.78~88 (2013), 한국차세대컴퓨팅학회
- M. Roesh, "Snort: Light weight Intrusion Detection for Networks", LISA. 1999, 99, pp.229~238 (1999)
- 양환석, "침입탐지시스템 성능향상을 위한 룰 적용에 관한 연구", 한국차세대컴퓨팅학회 논문지, 5(3), pp.43~49 (2009), 한국차세대컴퓨팅학회
- S. Chakrabarti, "Study of snort-based IDS", Proceedings of the International Conference and Workshop on Emerging Trends in Technology (2010), ACM
- "Common Vulnerability and Exposures (CVE)"[URL]
- "Bugtraq"[URL]
- L. Bergroth, "A survey of Longest Commnon Subsequence Algorithms", String Processing and Information Retrieval, 2000. SPIRE 2000, Proceedings. Seventh International Symposium on. IEEE, pp.39~48 (2000)
- 윤현철, "동적 최장공통비상위문자열 문제 해결 알고리즘", 한국차세대컴퓨팅학회 논문지, 6(6), pp.35~43 (2010), 한국차세대컴퓨팅학회
- T. H. Cormen, "Introduction to algorithms, 3rd edition" (2009), The MIT Press
- D.G. Higgins, "CLUSTAL: a package for performing multiple sequence alignment on microcomputer", Gene, 73(1), pp.237~244 (1988)
- "Java program language and platform"[URL]
- "Java GUI design application"[URL]
- "RealNetworks RealPlayer IVR Handling Heap Buffer Overflow"[URL]
- C. Cowan, "StackGuard: Automatic Adaptive Detection and Prevention of Buffer- Overflow Attacks", Usenix Security, 98 (1998)
- "RealNetworks RealPlayer RecordClip Parameter Injection Code Execution"[URL]
- "CA Total Defense Suite UNCWS Unassign Function Roles Stored Procedure SQL Injection"[URL]
- W. Halfond, "AMNESIA: analysis and monitoring for NEutralizing SQL-injection attacks", Proceeding of the 20th IEEE, 2005, 174.~183[DOI]