침입탐지시스템의 오용탐지 기법이 사용하는 6가지 방법론을 나열하고 해당 방법론에 대한 설명을 서술하시오.

전문가시스템(Expert System) : 공격에 관한 규칙 집합을 가지고 있어 감사 이벤트가 전문가 시스템 내에서 의미를 가지는 사실로 변환이 되고 공격 유형에 대한 지식들을 규칙 집합으로 표현한다. 추론 엔진(inference engine)은 사실(fact)로 변환된 감사 사건과 규칙 집합을 비교하며 규칙 집합의 관리를 위하여 규칙 기반 언어(rule based language)를 사용한다. 1992년, 벨기에에서 발표된 전문가 시스템 기반의 침입탐지시스템인 ASAX(Advanced Security audit trail Analysis on uniX)는 RUSSEL(RUle baSed Sequence Evaluation Language)이라는 규칙 기반 언어를 사용하며 1.0 버전이 공개용으로 배포되고 있다.

규칙 기반 비정상행위 탐지 방법론으로서 사용 패턴을 표현하는 규칙 집합을 사용하여 침입을 탐지한다. Los Alamos National Laboratory에서 개발한 Wisdom & Sense는 사용자 행위를 주기적으로 기록하여 통계적인 사용자 프로파일을 구축한다. 공격자가 해당 사용자의 권한으로 해당 사용자의 일상적인 행위를 벗어나는 행위를 하는 경우 해당 사용자 프로파일에 근거하여 이를 탐지한다. ComputerWatch data reduction 도구는 AT&T Bell 연구소의 SSD(Secure Systems Department)에서 AT&T System V/MLS 시스템의 다단계 보안 기능의 제공을 위하여 개발되었다. ComputerWatch는 시스템의 행위가 기록된 감사 증적 데이터로부터 통계적인 기법을 사용하여 비정상적인 행위를 탐지해 낼 수 있다.

시그니처분석(Signature Analysis) : 지식 기반 접근(knowledge based approach) 방식을 이용하는 침입 탐지 방법론으로서 침입 양상에 대하여 의미적인 단계를 부여하고 이에 대한 광범위한 정보를 축적한다. 감사 증적으로부터 감사 사건을 직접 검색하여 감사 사건의 기록 순서, 기록 패턴 등을 축적된 정보와 비교하여 침입을 탐지한다. 상용 침입탐지시스템 제품에 자주 적용되는 방법론이다.

페트리넷(Petri-net) : 퍼듀(Purdue)대학교에서 개발한 지식 기반 침입 탐지 방법론이다. Colored Petri-Nets(CPNs)을 사용하여 침입탐지시스템의 행위를 모델링하고 있다. 페트리 넷은 복잡하고 분산된 시스템을 추상화한 모델을 정립하는데 매우 유용하며 페트리 넷을 이용하여 침입탐지시스템을 모델링 할 경우 개념적으로 단순화가 가능하고 도식적인 표현이 가능하므로 복잡한 침입탐지시스템의 행위들의 집단화(gathering), 분류(classification), 상관 관계(correlation) 등을 매우 효과적으로 설명할 수 있다. 퍼듀대학교의 COAST(Computer Operations, Audit, and Security Technology) 프로젝트의 일환으로 개발된 IDIOT(Intrusion Detection In Our Time) 시스템은 페트리 넷 기반의 침입 패턴 매칭 엔진을 탑재하여 효과적인 오용 탐지 기능을 제공한다.

상태전이분석(State Transition Analysis) : 침입을 상태 전이의 집합으로 표현한 상태 전이 다이어그램(state transition diagram)을 통하여 침입 탐지 과정을 분석하는 방법론으로서 UCSB(University of California, Santa Barbara)에서 개발하였다. 제품으로는 1992년도에 발표된 USTAT(A Real-time Intrusion Detection System for Unix), 1997년에 발표된 NSTAT(A Model-based Real-time Network Intrusion Detection System) 등이 있다.

신경망(Neural Network) : 일반적으로 신경망은 컴퓨터가 인간 두뇌의 학습 기능을 갖게 하기 위하여 고안되었다. 신경망은 생물학적 신경단위인 뉴런을 모델링한 유닛(unit)들과 유닛 사이의 가중치 연결 (weighted-connection)들로 구성된다. 신경망은 불완전하고 다양한 입력의 해석, 패턴 인식(pattern recognition), 학습, 분류, 일반화, 추상화 등이 필요한 분야에 유용하게 활용되고 있다. 특히, 논리적이고 분석적인 기법을 활용해서도 시뮬레이션하기 어려운 인간의 문제 해결에도 효과적으로 활용되고 있다. 신경망을 이용한 침입탐지시스템은 다양한 행위 예들로부터 침입을 탐지할 수 있고 자동 학습 기능이 있어서 변화하는 공격 패턴에 대하여 능동적으로 대처할 수 있지만 구현이 어려워서 널리 사용되지는 않고 있다.

유전 알고리즘(Genetic algorithm) :  알려진 공격방식인 비정상행위(시그니처패턴,rules 등)을 등록해놓고 해당하는 행위를 탐지 & 정상 행위들을 분석하고 통계적으로 이를 벗어나는 행위들을 탐지