침입탐지 방법론

오용탐지

침입 탐지 방법론의 오용 탐지 방법에는 전문가 시스템, 시그니처 분석, 페트리 넷, 상태전이분석,

신경망, 유전 알고리즘 총 6가지의 방법론이 존재한다. 각 방법론에 대한 설명으론 아래와 같다.

① 전문가 시스템

- 서명 분석 방법론과 마찬가지로 지식 기반 접근을 이용한 탐지 방법론이다. 우선순위 기반으로 수립된 규칙 집합과 감사 증적의 사건들을 비교하여 침입을 탐지한다. 감사 데이터에 대한 추상적인 단계를 부여하며 각 공격 유형에 대한 지식을 규칙 집합으로 표현한다. 추론 엔진은 사실로 변환된 감사 사건과 규칙 집합을 비교하며 규칙 집합의 관리를 위하여 규칙 기반 언어를 사용한다. 1992년 벨기에에서 발표된 전문가 시스템 기반의 침입탐지시스템인 ASAX는 RUSSEL이라는 규칙 기반 언어를 사용하며 1.0버전이 공개용으로 배포되고 있다.

② 시그니처 분석

지식 기반 접근 방식을 이용하는 침입 탐지 방법론으로서 침입 양상에 대하여 의미적인 단계를 부여하고 이에 대한 광범위한 정보를 축적한다. 감사 증적으로부터 감사 사건을 직접 검색하여 감사 사건의 기록 순서, 기록 패턴 등을 축적된 정보와 비교하여 침입을 탐지한다. 상용 침입탐지시스템 제품에 자주 적용되는 방법론이다. 대표적인 서명 분석 방식의 공개용 네트워크 기반 침입탐지시스템으로서 ‘Snort’이 있다.

③ 페트리 넷

- 퍼듀대학교에서 개발한 지식 기반 침입 탐지 방법론이다. CPNs를 사용하여 침입탐지시스템의 행위를 모델링하고 있다. 페트리 넷은 복잡하고 분산된 시스템을 추상화된 모델을 정립하는 데 매우 유용하며 페트리 넷을 이용하여 침입탐지시스템을 모델링 할 때 개념적으로 단순화가 가능하고 도식적인 표현이 가능하므로 복잡한 침입탐지시스템의 행위들의 집단화, 분류, 상관관계 등을 매우 효과적으로 설명할 수 있다.

퍼듀대학교의 COAST 프로젝터의 하나로 개발된 IDIOT 시스템은 페트리 넷 기반의 침입 패턴 매칭 엔진을 탑재하여 효과적인 오용탐지 기능을 제공한다.

④ 상태 전이 분석

- 침입을 상태 전이의 집합으로 표현한 상태 전이 다이어그램을 통하여 침입 탐지 과정을 분석하는 방법론으로서 UCSB에서 개발하였다. 제품으로는 1992년도에 발표된 USTAT, 1997년에 발표된 NSTAT등이 있다.

⑤ 신경망

일반적으로 신경망은 컴퓨터가 인간 두뇌의 학습 기능을 갖게 하기 위하여 고안되었다. 신경망은 생물학적 신경단위인 뉴런을 모델링한 유닛들과 유닛 사이의 가중치 연결들로 구성된다. 신경망은 불완전하고 다양한 입력의 해석, 패턴 인식, 학습, 분류, 일반화, 추상화 등이 필요한 분야에 유용하게 활용되고 있다. 특히 논리적이고 분석적인 기법을 활용해서도 시뮬레이션하기 어려운 인간의 문제 해결에도 효과적으로 활용되고 있다. 신경망을 이용한 침입탐지시스템은 다양한 행위 예들로부터 침입을 탐지할 수 있고 자동 학습 기능이 있어서 변화하는 공격 패턴에 대하여 능동적으로 대처할 수 있지만 구현이 어려워서 널리 사용되지는 않고 있다.

⑥ 유전 알고리즘

자연선택의 원리와 자연계의 생물 유전학에 기본을 두며 모든 생물은 주어진 다양한 환경 속에서 적응함으로써 살아남는다는 다윈 적자생존의 이론을 기본 개념으로 한다. GSSATA는 패턴 매칭에서 생기는 문제를 해결하기 위하여 공격 시나리오부터 시간에 대한 개념을 제거하고 여기에 존 헬린드가 제안한 유전 알고리즘을 사용하였다.