규칙-기반 침입탐지(오용 침입탐지)

- 시스템 로그, 네트워크 입력정보, 알려진 침입방법, 비정상적인 행위 패턴 등의

특징을 비교하여 탐지하는 방법이다.

- 기존의 침입방법을 데이터베이스에 저장해 두었다가 사용자 행동 패턴이 기존의

침입 패턴과 일치하거나 유사한 경우 침입이라 판단한다.

- 새로운 공격이나 침입 방법이 출현하였을 경우에 그에 맞는 공격 패턴을 생성하여 추가한다.

시그니처 예

- 루트(root) 사용자 이름으로 Telnet 로그인 시도

- 시스템 프로그램 복제 시도

- 패스워드 파일 복제 시도

장점

1. 오탐률(False Positive)이 낮음

2. 전문가 시스템(추론 기반 지식 베이스) 이용

3. 트로이목마, 백도어 공격 탐지 가능

단점

1. 새로운 공격 탐지를 위해 지속적인 공격 패턴 갱신 필요

2. 패턴에 없는 새로운 공격에 대해서는 탐지 불가능(Zero day Attack)

False Positive

- 합법적인 사용자를 침입자로 판단 (침입자의 행동을 높게 잡았을 경우)

- 침입이 아닌 합법적인 사용도 침입으로 오인

False Negatives

- 침입자를 합법적인 사용자로 판단(침입자의 행동을 좁게 잡았을 경우)

-침입을 하였는데도 침입인지 모름)

통계적 변형(행위 기반) 탐지 (비정상 행위 침입탐지 / 이상 탐지)

- 관찰된 사건들을 정상적인 행위에 대한 정의들과 비교하여 심각한 수준의

일탈 행위를 식별하는 과정

-- 시스템과 사용자의 정상적인 행위 패턴을 프로파일로 생성하고 시스템상에 행위가

프로파일 범위를 벗어날 경우 침입으로 탐지 정상적인 행위를 한 데이터를

기반으로 기준을 작성함(i/o사용량, 로그인 횟수, 패킷량 등등)

- 정량적인 분석, 통계적 분석 이용

장점

1. 인공지능 알고리즘 사용으로 스스로 판단하여 수작업의 패턴 업데이트 불필요

2. 오용 탐지 기법보다 데이터베이스 관리가 용이하고 알려지지 않은 공격

(Zero day Attack) 탐지가 가능

3. 침입 이외에 시스템 운용상의 문제점 발견할 수 있음.

단점

1. 오탐률(False Positive)이 높음

2. 정상과 비정상 구분을 위한 임계치 설정이 어려움

대응방법

1. 수동적 대응 방법

- 대량의 정보를 수집하는 형태를 취하거나 필요한 경우에 권한을 가진 사용자들에게

보다 엄격한 조치를 취할 수 있도록 통보하는 형태(대부분의 IDS가 사용)

- 주로 침입을 피하거나 무시하는 방법, 상세한 분석, 조치를 취할 수 있도록 도움이 되는

정보를 수집하는 이벤트 기록방법 또는 전자우편 SNMP 트랩 등을 이용하여 침입과 관련된

정보를 보안 관리자에게 보고하는 방법 등이 있다.

SNMP 트랩

- 만일 비정상적인 무엇인가를 찾아내면 관리자에게 경고 메시지를 송신하는 것

2. 능동적 대응 방법

- 침입에 대해 가장 빨리 실행할 수 있는 행동으로 침입에 대한 손실을 줄일 수 있게 함

- 신중한 고려와 정확한 검증이 없다면 혼란을 방생시키거나 서비스를 제공할 수 없는 오경보 발생

1. 침입탐지 시스템(Intrusion Detection System) 개요

- 침입 패턴 정보를 데이터베이스에 저장하고 지능형 엔진을 사용하여 네트워크나 시스템의 침입을 실시간으로 모니터링할 수 있거 침입탐지 여부를 확인하는 보안 시스템.

- 조직 IT 시스템의 기밀성, 무결성, 가용성을 침해하고, 보안 정책을 위반하는 침입 사건을 사전 또는 사후에 감시, 탐지, 대응하는 보안 시스템임.

- 컴퓨터 시스템의 비정상적인 사용, 오용, 남용 등을 가능하면 실시간으로 탐지하는 시스템.

(1) 침입차단 시스템 차단 방법

정보 수집

· 침입탐지를 하기 위한 근원적인 자료들을 수집

· 자료원에 따라 NIDS와 HIDS로 나누어짐

정보 가공 및 축약

· 불필요한 정보 제거(침입과 관련 없는 정보 제거)

· 침입 판정을 위한 최소한의 정보만 남김(분석의 복잡도를 감소)

침입 분석 및 탐지

· 축약된 정보를 기반으로 침입 여부를 분석, 탐지

· 방식에 따라 오용탐지와 이상 탐지로 나누어짐

보고 및 조치

· 침입탐지 후 적절한 보고 및 대응 조치

· 다른 보안장비(방화벽) 등과 연계

(2) 침입탐지 방법

구분

오용탐지(Misuse)

비정상탐지(Anomaly)

동작 방식

시그니처(Signature) 기반, 지식(Knowledge) 기반

프로파일(Profile) 기반, 행동(Behavior) 기반

통계(Statistical) 기반

침입판단 방법

· 미리 정의된 Rule에 매칭

· 이미 정립된 공격패턴을 미리 입력하고 매칭

· 미리 학습된 사용자 패턴에 어긋남

· 정삭적, 평균적 상태를 기준, 급격한 변화 있을때 침입판단

사용 기술

패턴 비교, 전문가시스템

신경망, 통계적 방법, 특징 추출

장점

· 빠른 속도, 구현이 쉬움, 이해가 쉬움

· False Positive가 낮음

· 알려지지 않은 공격(Zero Day Attack) 대응 가능

· 사용자가 미리 공격 패턴을 정의할 필요 없음

단점

· False Negative가 큼

· 알려지지 않은 공격탐지 불가

· 대량의 자료 분석에 부적함

· 정상인지, 비정상인지 결정하는 임계치 설정이 어려움

· False Positive가 큼

· 구현이 어려움

※ False Positive : false(+)로 표현, 공격이 아닌데도 공격이라고 오판하는 것.

※ False Negative : false(-)로 표현, 공격이지만 공격이 아니라고 오판하는 것.

(3) 침입탐지 시스템 분류

구분

NIDS(Network based IDS)

HIDS(Host based IDS)

동작

· 네트워크에 흐르는 패킷들을 검사, 침입 판단

· 방화벽 외부의 DMZ나 방화벽 내부의 네트워크 모두 배치 가능

· 시스템상에 설치, 사용자가 시스템에서 행하는 행위, 파일의 체크를 통해 침입 판단

· 주로 웹서버, DB 서버 등의 중요 서버에 배치

Promiscuous 모드로 동작하는 네트워크 카드나 스위치

시스템 로그, 시스템 콜, 이벤트 로그

탐지 가능 공격

스캐닝, 서비스 거부 공격(DoS), 해킹

내부자에 의한 공격, 바이러스, 웜, 트로이 목마, 백도어

장점

· 네트워크 자원의 손실 및 패킷의 변조가 없음

· 거의 실시간으로 탐지가 가능함

· 감시 영역이 하나의 네트워크 서브넷으로서 HIDS에 비해 큼

· 침입의 성공 여부 식별이 가능함

· 실제 해킹 및 해킹시도 판단이 용이

· 주로 S/W적으로 서버와 같은 시스템에 인스톨되며, 설치 및 관리가 간단함

단점

· 부가 장비가 필요함(스위치 등)

· 암호화된 패킷은 분석 불가

· False Positive가 높음

· 오탐으로 인해 정상적인 세션이 종료

· DoS의 경우 대응이 불가능(탐지만 가능)

· 능동적인 대응 기능 미비

· 감시 영역이 하나의 시스템으로 한정됨

· 탐지 가능한 공격에 한계가 있음(주로 이벤트 로그만 탐지)

· 오탐으로 인해 정상적인 사용자가 자신의 계정을 사용할 수 없는 문제

* Hybrid IDS : NIDS + HIDS, 단일 호스트를 출입하는 네트워크 패킷을 검색 시스템의 이벤트, 데이터, 디렉터리, 레지스트리에서 공격 여부를 감시하여 보호.

(4) IDS의 지식기반 탐지 기법과 행위기반 탐지 기법

지식기반 탐지 기법

· 전문가 시스템

· 시그니처 분석

· 페트리넷

· 상태전이

· 신경망

· 유전 알고리즘

행위기반 탐지 기법

· 통계적 방법

· 전문가 시스템

· 신경망

· 컴퓨터 면역학

· 데이터 마이닝

.