	오용탐지	비정상행위탐지
동작원리	- 이미 알려진 공격방식,비정상행위등을 탐지 ( 시그니처 기반, 룰 기반, 지식 기반 )	- 정상 행위들(프로파일)을 정의하고 통계적으로 분석하여 이를 벗어나는 행위들을 탐지
알고리즘	- 알려진 공격방식인 비정상행위(시그니처패턴,rules 등)을 등록해놓고 해당하는 행위를 탐지	- 정상 행위들을 분석하고 통계적으로이를 벗어나는 행위들을 탐지
장점	- 오탐률이 낮다. - False Positive가 낮다. - 속도가 빠르다	- 새로나온 공격패턴( 제로데이 공격 )을 탐지할 수 있다.
단점	- False Negative가 크다. ( 새로운 공격패턴은 탐지할 수 없으며 정상행위로 간주하기 때문 )	- False Positive가 크다. - 로그파일, 통계 등을 전부 분석하므로 속도가 느리다.

오용탐지와 비정상행위탐지 비교표

False Positive : 정상 행위를 해커의 공격이라 착각하는것

False Negative : 해커의 공격을 정상 행위라 착각하는것

침입탐지시스템의 개념

- IDS는 IntrusionDetectionSystem의 약자입니다. 해석하면 말 그대로 침입탐지시스템입니다.

- 어떤 침입탐지시스템인지에 따라서 역할이 다르지만 (N-IDS,H-IDS) 하는 일은 이상행동을 탐지하고 알리는 역할을 합니다.

- 탐지 알고리즘에는 오용탐지기법과 비정상행위탐지기법이 있습니다.

오용탐지 (Misuse)

- 비정상 행위(시그니처 패턴)를 정하고 그 행위를 탐지한다.

장점 : 비정상행위탐지에 비해 속도가 빠르다.

단점 : 정해진 비정상 행위만 탐지가능하기 때문에 새로나온 패턴의 공격을 탐지할 수 없다.

비정상 행위탐지 (Anomaly)

- 정상 행위에 대한 자료값,통계 등을 통해 이에 벗어나는 행동을 탐지한다.

장점 : 새로나온 패턴의 공격을 감지할 수 있다.

단점 : 오용탐지에 비해 속도가 느리다.[출처] 침입탐지시스템(IDS)의 개념과 탐지종류|

N-IDS

- IDS의 앞에 N(Network)이 붙어서 네트워크 기반의 IDS 입니다.

- 여러 위치에 배치될 수 있지만 1순위로 배치되는 위치는 FireWall(방화벽)의 뒤에 배치됩니다.

- N-IDS는 성능이 우선입니다. 외부망으로부터의 엄청난 데이터들을 다 검사해야하므로 성능이 좋고 속도가 빨라야 합니다. 그러므로 주로 오용탐지기법을 사용합니다.

- 미러링 방식과 인라인 방식이 있습니다.

- 네트워크 기반이므로 네트워크 외부망 ( 간단히 인터넷이라 표현했지만 라우터 등의 게이트웨이를 뜻합니다. ) 에서 들어오는 데이터들이 FireWall을 거쳐서 들어오고 바로 IDS를 만나는 구조입니다. IDS가 정상으로 탐지해야 스위치를 통과해 네트워크 망으로 갈 수 있습니다. 즉, 외부의 데이터는 무조건 IDS를 거쳐서 들어가야 합니다. 장점은 침입자의 공격을 사전에 대응할 수 있다는 것이고, 단점은 서비스가 느리다는 것입니다. 모든 데이터가 IDS의 검사를 받아야 하므로 당연히 느립니다.

반면, N-IDS(네트워크기반 침입탐지시스템)의 미러링 방식은 외부의 데이터가 무조건 IDS를 거쳐서 들어가는 것이 아니라 일단은 스위치를 거치고 네트워크 망에 진입할 수 있습니다. 그리고 그 데이터를 스위치와 미러링한 IDS장비에서 탐지를 하고 만약 공격이라 판단되면 연결을 끊는 것입니다.

장점은 속도가 빠르다는 것입니다. 모든 데이터가 IDS의 검사를 받고 통과하려면 사용자에게 서비스하는 속도가 느려지기 때문에 일단 통과를 시키고 미러링을 통해 보안관제를 하는 것입니다. 따라서, 서비스 사용자는 끊김없이 서비스를 사용할 수 있습니다.

단점은, 일단 통과를 시키고 사후 대처를 하는 것이기 때문에 해커의 공격을 허용했다는 것입니다. 이를 보완하기 위해서 허니팟을 설치하기도 합니다.

H-IDS

- H-IDS는 H(Host)이므로 호스트 기반의 침입탐지시스템입니다.

- N-IDS에서는 탐지할 수 없었던 트로이 목마, 버퍼 오버플로우 등의 호스트 기반의 공격들을 탐지할 수 있습니다.

- 모든 로그와, 통계 등을 세밀하게 분석하므로 속도가 느립니다.(주로 비정상행위탐지기법을 사용함) 그러므로 모든 호스트 ( pc, 서버 등 )에 설치하는 것은 비효율적입니다. 따라서 철저한 보안이 필요한 중요한 호스트에 설치합니다.

N-IDS와 H-IDS의 연계방식

N-IDS와 H-IDS를 따로 쓰는것은 아닙니다. 네트워크 기반과 호스트 기반에서 모두 침입탐지를 해야하며, 서로 연계하는 방식을 사용합니다.

현재 네트워크를 통한 침입을 탐지하기 위한 N-IDS와 중요한 호스트에 H-IDS가 설치되어 있습니다. 중요 호스트에서의 IDS는 실시간으로 분석을 하며 탐지를 합니다. 만약 비정상행위를 탐지하여 해커의 공격을 알아냈다면 이 정보를 N-IDS에 등록합니다. 따라서 H-IDS가 분석한 내용을 네트워크기반에서 사전에 오용탐지를 할 수 있습니다. 이런 식의 연계방식은 IDS의 속도문제를 효율적으로 해결할 수 있고, 실시간으로 탐지하기 용이하다는 장점이 있습니다.

규칙-기반 침입탐지(오용 침입탐지)

- 시스템 로그, 네트워크 입력정보, 알려진 침입방법, 비정상적인 행위 패턴 등의

특징을 비교하여 탐지하는 방법이다.

- 기존의 침입방법을 데이터베이스에 저장해 두었다가 사용자 행동 패턴이 기존의

침입 패턴과 일치하거나 유사한 경우 침입이라 판단한다.

- 새로운 공격이나 침입 방법이 출현하였을 경우에 그에 맞는 공격 패턴을 생성하여 추가한다.

시그니처 예

- 루트(root) 사용자 이름으로 Telnet 로그인 시도

- 시스템 프로그램 복제 시도

- 패스워드 파일 복제 시도

장점

1. 오탐률(False Positive)이 낮음

2. 전문가 시스템(추론 기반 지식 베이스) 이용

3. 트로이목마, 백도어 공격 탐지 가능

단점

1. 새로운 공격 탐지를 위해 지속적인 공격 패턴 갱신 필요

2. 패턴에 없는 새로운 공격에 대해서는 탐지 불가능(Zero day Attack)

False Positive

- 합법적인 사용자를 침입자로 판단 (침입자의 행동을 높게 잡았을 경우)

- 침입이 아닌 합법적인 사용도 침입으로 오인

False Negatives

- 침입자를 합법적인 사용자로 판단(침입자의 행동을 좁게 잡았을 경우)

-침입을 하였는데도 침입인지 모름

저는 이 부분을 예를 들어 뭐든 행동을 하는 즉, 합법이든 불법이든 행동으로 잡았기에

False Positive로 생각 행동조차 하지 않으면 Negative로 외우고 있습니다.

보안에선 안 하는 것보다 일단 하는 게 나으니깐요.

또 저는 제로데이 공격 같은 경우 Postitive는 잡으니깐 이상 탐지

반대로 오용 탐지는 못 잡기 때문에 Positive가 낮고(융통성이 좋다고 생각)

그리고 오용 탐지 이렇게 외우고 있습니다.

최대한 외구기 쉽게요 나중에야 이제 개념이 완전히 정리가 되겠지만 이전에 외우려고 할 때는 잘 안되더라고요

이 부분이 Positive가 낮고 이상 탐지는 높고 이 부분이 잘 안 외워져서 이렇게 외웠습니다.

통계적 변형(행위 기반) 탐지 (비정상 행위 침입탐지 / 이상 탐지)

- 관찰된 사건들을 정상적인 행위에 대한 정의들과 비교하여 심각한 수준의

일탈 행위를 식별하는 과정

-- 시스템과 사용자의 정상적인 행위 패턴을 프로파일로 생성하고 시스템상에 행위가

프로파일 범위를 벗어날 경우 침입으로 탐지 정상적인 행위를 한 데이터를

기반으로 기준을 작성함(i/o사용량, 로그인 횟수, 패킷량 등등)

- 정량적인 분석, 통계적 분석 이용

장점

1. 인공지능 알고리즘 사용으로 스스로 판단하여 수작업의 패턴 업데이트 불필요

2. 오용 탐지 기법보다 데이터베이스 관리가 용이하고 알려지지 않은 공격

(Zero day Attack) 탐지가 가능

3. 침입 이외에 시스템 운용상의 문제점 발견할 수 있음.

단점

1. 오탐률(False Positive)이 높음

2. 정상과 비정상 구분을 위한 임계치 설정이 어려움

종류
1.전문가 시스템

2.신경망

3.시그니처분석

4.패트리넷

5.상재전이 분석

6.유전 알고리즘

7.지식기반

이상입니다.