WO2013027970A1 - 네트워크의 이상증후를 탐지하는 장치 및 방법 - Google Patents
네트워크의 이상증후를 탐지하는 장치 및 방법 Download PDFInfo
- Publication number
- WO2013027970A1 WO2013027970A1 PCT/KR2012/006549 KR2012006549W WO2013027970A1 WO 2013027970 A1 WO2013027970 A1 WO 2013027970A1 KR 2012006549 W KR2012006549 W KR 2012006549W WO 2013027970 A1 WO2013027970 A1 WO 2013027970A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- network
- similarity
- self
- security
- attribute information
- Prior art date
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/14—Network analysis or design
- H04L41/142—Network analysis or design using statistical or mathematical methods
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/04—Processing captured monitoring data, e.g. for logfile generation
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
Definitions
- the present invention relates to an apparatus and method for detecting abnormal symptoms of a network, and more particularly, to an apparatus and method for detecting abnormal attacks and abnormal symptoms in real time based on a self-similarity using a pattern of constant and repetitive networks, and a network.
- the present invention relates to a method for detecting abnormal attacks and abnormal symptoms in real time using a statistical process control chart in a environment where traffic or security events are normally distributed, and a recording medium recording the methods.
- Intrusion detection is a technology that detects intrusions that threaten the security of an information system.
- Intrusion detection systems are generally used from internal and external sources that threaten the system. It detects the operation of the and informs the administrator. To do this, intrusion detection systems must be able to detect all kinds of malicious network traffic and computer usage that traditional firewalls cannot detect. Thus, the intrusion detection system detects network attacks on vulnerable services and data driven attacks in applications, privilege escalation and intruder logins, access to critical files by intruders, and malware. Host-based attacks, such as computer viruses, Trojan horses, and worms.
- intrusion detection techniques can be classified into two types: anomaly based intrusion detection and misuse detection.
- Anomaly detection is a way to consider an invasion when the state of the network or system exhibits abnormal behavior that is different from the normal statistical behavior of the past.
- Misuse detection detects when the state of the network or system matches a preset attack pattern. It's a way of thinking.
- the anomaly detection method uses a statistical approach or predictive modeling and is known to be useful for detecting unexpected attacks that are not defined in existing security systems, such as unknown attacks or attacks that bypass security devices. .
- Self-similarity is a concept based on fractal theory, which means a self-similar phenomenon that looks or behaves the same when viewed at different magnifications or at different scales. In summary, it refers to a phenomenon in which parts resemble the whole. For example, when observing a certain time zone of a network, if the change in traffic volume in the rescaled time is similar to the change in traffic volume in the entire time zone, there is a self-similarity. do.
- statistical process control refers to a method of identifying quality and process status using statistical data and analytical techniques to manage production according to the desired condition and quality of the desired producer / manager. do.
- statistical process control activities include process quality maintenance activities and improvement activities. Therefore, statistical process control activity is a quality control activity that detects the occurrence of process abnormality in advance and finds and eliminates the avoidance factor or prevents it in advance.
- the first technical problem to be solved by the present invention is to solve the problem that it is impossible to detect a new type of attack or bypass attack in which a pattern is not known only by a misuse detection method for detecting an intrusion of a network or a system based on a preset pattern, It solves the inconvenience of having to constantly update error patterns by a group of experts, and overcomes the limitations of not being able to detect attacks from inside the network and system.
- the present invention solves the problem of not being able to detect an unknown form of attack in a situation where the possibility of attack increases in the operation of the SCADA system, and solves the economic difficulty of having an expensive system for detecting abnormal symptoms. I want to solve it.
- the second technical problem to be solved by the present invention is to solve the problem that the abnormal symptom detection method has a high false positive rate in conventional intrusion detection techniques, and statistical process control is limited to simple process or quality control In order to overcome the limitations and to overcome the administrative inconvenience caused by the absence of a means for intuitively and visually providing information on the security situation of the current network or system.
- a method for detecting an abnormal symptom of the network by a detection device having at least one processor in a network Setting a threshold for the self-similarity by measuring self-similarity in advance from at least one attribute information indicating a traffic state; Measuring magnetic similarity in real time from the one or more attribute information in the network; And comparing the measured real-time self-similarity value with the set threshold value to determine whether the network is abnormal.
- the setting of the threshold for the self-similarity may include measuring one or more attribute information representing the traffic state of the network at regular time intervals from the normal state. Making; Calculating a sample mean and variance from the measured attribute information; Calculating a parameter for the persistence of the statistical phenomenon of the network traffic using the calculated variance and the time interval; And setting a predetermined magnification of the calculated parameter as a threshold for the self similarity.
- the attribute information may include packet information of the network, attribute information of a security state of a system in the network, or state of the network and the system. At least one of the function values it represents.
- the apparatus for detecting an abnormal symptom of a network a threshold value set in advance by measuring the self-similarity from one or more attribute information indicating the traffic state of the network in a normal state Storage unit for storing; A measuring unit measuring magnetic similarity in real time from the at least one attribute information in the network; And a determination unit to determine whether the network is abnormal by comparing the measured real-time self-similarity value with the set threshold value.
- the storage unit of the apparatus for detecting an abnormal symptom of the network may measure one or more attribute information representing the traffic state of the network at regular time intervals from the normal state, and sample average from the measured attribute information. And calculating a variance, calculating a parameter for the persistence of the statistical phenomenon of the network traffic using the calculated variance and the time interval, and setting a predetermined magnification of the calculated parameter as a threshold for the self similarity. Save it.
- a method for detecting an abnormal symptom receiving a security attribute indicating the state of the network or system in a normal state, the latest occurrence time of the attribute, Classifying the input security attribute by the frequency of occurrence of the attribute and the total amount of occurrence of the attribute; Calculating statistical process control according to the classified security attributes and setting a threshold range for the calculated statistical process control chart; Calculating a position in a statistical process control chart in real time from the security attribute of the network or system according to the classified security attribute; And determining whether an abnormality with respect to the network or system is determined by checking whether the location of the security attribute calculated in real time exists within the set threshold range.
- the security attribute is generated according to a normal distribution.
- the statistical process control chart may set an average of a sample for the security attribute to a center line and set a predetermined magnification of the standard deviation of the sample to the threshold range. have.
- the statistical process control chart sets the threshold range by a predetermined magnification of the mean of the sample for the security attribute so that the variation range of the security attribute is within the threshold range. Can be.
- the statistical process control chart may set an average of a failure rate of a sample for the security attribute to a center line and set the standard deviation of the distribution of the failure rate to the threshold range. Can be.
- a method of detecting abnormal symptoms of the network may include visualizing the calculated statistical process control chart and comparing the security attributes of the network where the abnormal symptoms are detected with the set threshold range to visualize the statistical process control. It further includes the step of displaying on the figure.
- the following provides a computer-readable recording medium having recorded thereon a program for executing the above-described methods for detecting abnormal symptoms on a computer.
- the embodiments of the present invention measure the network's self-similarity in the normal state in advance and compare the set threshold with the measured network's self-similarity value in real time, thereby detecting a new type of attack or a bypassing attack whose pattern is unknown. It can also detect attacks from the outside and inside of networks and systems, without continual updates to error patterns or a separate group of experts, reducing false positive rates and improving the accuracy of intrusion detection.
- the SCADA system does not require any additional hardware, and is flexible to heterogeneous equipments due to system and protocol-independent characteristics.
- embodiments of the present invention receive a security attribute indicating a state of the network or system in a normal state, calculate a statistical process control chart according to a security attribute classified by a recent occurrence time, frequency of occurrence and total amount of occurrence, and then generate a real-time statistical process.
- the accuracy of the abnormal symptom detection method can be improved, and the statistical process control chart can be used as the control means of the abnormal symptom detection and visualized and provided to the administrator so that the user can obtain information on the current security situation of the network or system Can be provided intuitively.
- FIG. 1 is a view for explaining the self-similarity of network traffic appearing in a network environment in which embodiments of the present invention are implemented.
- FIG. 2 is a view illustrating a comparison of a traffic graph of a general network and a traffic graph of a network in which embodiments of the present invention are implemented.
- FIG. 3 is a flowchart illustrating a method of detecting an abnormal symptom of the network by a detection device having at least one processor in a network according to an embodiment of the present invention.
- FIG. 4 is a flowchart illustrating in more detail a process of setting a threshold for self similarity in the method of FIG. 3 according to an embodiment of the present invention.
- FIG. 5 is a diagram illustrating a process of calculating a snapshot vector, which is an example of attribute information indicating a state of a system, in a method of detecting an abnormal symptom of a network according to an embodiment of the present invention.
- FIG. 6 is a block diagram illustrating an apparatus for detecting an abnormal symptom of a network according to an embodiment of the present invention.
- FIG. 7 is a flowchart illustrating a method of detecting an abnormal symptom of a network according to another embodiment of the present invention.
- FIG. 8 is a diagram illustrating a method of classifying and sorting security attributes representing a state of a network in the abnormal symptom detection method of FIG. 7 according to another embodiment of the present invention.
- FIG. 9 is a view for explaining a statistical process control diagram in connection with the abnormal symptoms detection method of FIG. 7 according to another embodiment of the present invention.
- FIG. 10 is a diagram illustrating a method of displaying a security attribute of a network in which an abnormal symptom is detected on a visualized statistical process control diagram in the abnormal symptom detection method of FIG. 7 according to another embodiment of the present invention in comparison with a threshold range; FIG. .
- a method of detecting an abnormal symptom of a network by a detection device having at least one processor in a network includes one or more attributes indicating a traffic state of the network in a normal state. Measuring a self-similarity in advance from information to set a threshold for the self-similarity; Measuring magnetic similarity in real time from the one or more attribute information in the network; And comparing the measured real-time self-similarity value with the set threshold value to determine whether the network is abnormal.
- the method for detecting an abnormal symptom receiving a security attribute indicating the state of the network or system in the normal state, the recent occurrence time of the attribute, the frequency of occurrence of the attribute and the Classifying the input security attribute by the total amount generated; Calculating statistical process control according to the classified security attributes and setting a threshold range for the calculated statistical process control chart; Calculating a position in a statistical process control chart in real time from the security attribute of the network or system according to the classified security attribute; And determining whether an abnormality with respect to the network or system is determined by checking whether the location of the security attribute calculated in real time exists within the set threshold range.
- FIG. 1 is a view for explaining the self-similarity of network traffic appearing in a network environment in which embodiments of the present invention are implemented, the horizontal axis represents time, the vertical axis represents the traffic load (traffic load). That is, FIG. 1 sees system or network traffic as time series data and derives self-similarity therefrom.
- the time series refers to a variable representing an independent variable called time. For example, data observed in order in time such as yearly, quarterly, monthly, daily, or hourly may be regarded as time series data.
- time lag between observation points plays an important role.
- the time series is represented by Equation 1 below using time t as a subscript.
- time series data In time series data, the current state is correlated with the past and future states. Associations in such time series data may be expressed as autocorrelation functions. Autocorrelation refers to which type of time series is repeated over time in the time series, that is, self-correlating.
- the autocorrelation function is a function that shows a similar degree of the observed results at each of two different time points t 1 , t 2 (or, t, t + ⁇ ).
- the autocorrelation function R may be expressed as Equation 2 below.
- R represents an autocorrelation function and E represents an average.
- the normal probability process is a generic term for a probability process that has some kind of normality with respect to time staggering, and is roughly classified into a strong top process and a contracted top process.
- Embodiments of the present invention utilize network traffic without abnormal symptoms, i.e., without abnormal intrusion from the system and the network, in a normal state (meaning a normal probability process). Suggest ways to detect abnormal symptoms. A more detailed method of applying these attributes to self-similarity from a practical point of view will be described in detail later with reference to FIG. 4.
- FIG. 2 is a view illustrating a comparison of a traffic graph of a general network and a traffic graph of a network in which embodiments of the present invention are implemented.
- Embodiments of the present invention are commonly implemented in an environment according to a specification having a network pattern having a self-similarity in a steady state, and such steady state network traffic may include a plurality of network traffics having different scales with respect to time. It is assumed that changes have similar magnetic similarities to each other.
- SCADA Supervisory Control and Data Acquisition
- SCADA system is a system that collects, receives, records, and displays status information data of a remote device to a remote terminal unit so that the central control system can monitor and control the remote device.
- many of the key core infrastructures managed in the country such as power generation, transmission and distribution facilities, water and sewage facilities, petrochemical plants, high-speed trains, gas, steel processing plants, and factory automation facilities, are operated and managed by a number of SCADA systems.
- the network traffic of these SCADA systems shows a constant and regular pattern, and the degree of self-similarity is larger and clearer than that of general network traffic.
- Intrusion detection methodology by measuring the self-similarity to be presented through embodiments of the present invention below is advantageous to apply to a special environment called a SCADA system. Due to the nature of SCADA systems that require uninterrupted operation, it is difficult to install additional security solutions and security devices. In most security tool setup and operating system updates, rebooting to activate the solution is inevitable, causing the infrastructure to shut down. If a security tool incorrectly judges a normal state as an intrusion, significant social damage can occur, including downtime and loss of critical data. For this reason, it is difficult to apply an agent in the system in the SCADA system environment for availability and failure prevention. This is a major reason to avoid direct and proactive responses to SCADA systems in operation. In addition, it is important to avoid ways that can cause a load on the system for smooth operation.
- [A] of FIG. 2 shows the number of packets according to the time observed for about 1 hour from 16:27:56 to 17:26:49 on June 27, 2011, at the Korea University hacking Technology Laboratory Computer. The figure which showed an aspect. Actions taken during this period include normal web surfing or messenger activity. In general, network traffic is inconsistent due to various behaviors of a user, but is known to have self-similarity.
- [B] of FIG. 2 is a diagram showing traffic patterns of about 1 hour observed in a specific SCADA system in Korea. Compared with [A] of FIG. 2, it can be seen that the traffic pattern is fairly regular and constant. Since the SCADA system is a closed network with a special purpose, communication protocols and communication subjects are limited, so that network traffic has a certain form. Therefore, the property of self similarity is large compared to general network traffic.
- the protocol used for SCADA communication adopts various methods such as DNP (Distributed Network Protocol), Modbus, Harris, TCP / IP, and Intercontrol Center Communications Protocol (ICCP).
- DNP Distributed Network Protocol
- Modbus Modbus
- Harris Harris
- TCP / IP Intercontrol Center Communications Protocol
- ICCP Intercontrol Center Communications Protocol
- multiple protocols may be mixed in a system.
- a method of using pattern matching that can be utilized for intrusion detection, a method of detecting a network pattern according to a fixed network device, or a method of using a separate rule-based monitoring system are all used.
- Intrusion detection of this SCADA system has a problem that the detection process is complicated or additional hardware equipment is required.
- the smart grid proposes a power system using a distributed method to centralize an existing power grid and improve the inefficiency of a one-way management method.
- SCADA system When the SCADA system is connected to a commercial network and operated, the possibility of the attack increases further because the path for hackers to invade is expanded / extended.
- SCADA system is attacked by hackers due to the nature of the application field and scale, damage may occur, large-scale human injury or economic damage may occur.
- embodiments of the present invention presented below propose a method for detecting abnormal symptoms of network traffic by measuring self-similarity from the traffic generated in the SCADA network has a constant and repetitive pattern. . That is, in SCADA network, since the statistical characteristic can be defined in units of time, intrusion detection can be performed using the property of self-similarity in which the statistical characteristic is repeated like a fractal structure. Intrusion detection using this self-similarity does not require any additional equipment or modeling process, unlike the conventional intrusion detection method mentioned above. In addition, because it is not equipment-dependent, it has the advantage that it can be applied anywhere once the intrusion detection system is implemented.
- SCADA system is only one example of an environment in which embodiments of the present invention can be implemented, and is not necessarily limited to a SCADA system. Therefore, those skilled in the art to which the present invention belongs, as seen in the SCADA system exemplified above, refers to an environment having a constant and repetitive network pattern (that is, an environment in which self-similarity is apparent). It will be appreciated that various embodiments can be flexibly applied as long as the basic idea of the invention remains the same. Hereinafter, embodiments of the present invention will be described in detail with reference to the accompanying drawings. Like reference numerals in the drawings refer to like elements.
- FIG. 3 is a flowchart illustrating a method of detecting an abnormal symptom of the network by a detection device having at least one processor in a network according to an embodiment of the present invention.
- the network of this embodiment has a network pattern of constant and repetitive self similarity.
- the network of this embodiment has strong magnetic similarity in steady state. Intrusion under these circumstances changes the degree of self-similarity as the state of network traffic changes. That is, the detection method of FIG. 3 may detect whether an intrusion occurs using this characteristic.
- the detection apparatus sets a threshold for self-similarity by measuring in advance self-similarity from one or more attribute information indicating a traffic state of the network in a normal state.
- you select data targets to observe determine what data to observe for one or more of the network conditions or within the system, and determine whether to analyze the observed data. For example, when the state of the network is to be observed, the information about the packet or the information about the traffic will be analyzed. As another example, when the state of the system is to be observed, an event log loaded into an operating system (OS) may be an analysis target. When the measurement / analysis target is determined, specific attribute information of the data to be observed and analyzed is selected.
- OS operating system
- the packet size, the number of packets per hour, or the packet occurrence time may be selected as attributes. If the system status is targeted, EventID or SID (Security ID) among various event logs can be selected. ) May be selected as the attribute.
- the self similarity should be measured from the selected attribute information.
- This self-similarity can be characterized and quantified with specific parameters for the persistence of statistical phenomena of network traffic.
- To calculate the self-similarity we extract data at regular time intervals for the attributes, set them as samples, and calculate the mean and variance for these samples. Since the calculated self-similarity value is for the steady-state network traffic, it will have a relatively high self-similarity compared to a normal network or a network in which abnormal symptoms exist. Therefore, from this, an arbitrary threshold value for determining the presence or absence of abnormal symptoms is set.
- step 320 the detection apparatus measures magnetic similarity in real time from the one or more attribute information in the network. That is, step 320 corresponds to a process of detecting abnormal symptoms in an actual network.
- the attribute information for measuring the self similarity will naturally be the attribute information selected in step 310. Observation and analysis of the same attribute information enables the comparison of the magnetic similarity measured in real time in the current network with the steady state magnetic similarity calculated in step 310.
- the detection apparatus compares the real-time self-similarity value measured in operation 320 with the threshold value set in operation 310 to determine whether the network is abnormal.
- the real-time self-similarity value is compared with the preset threshold, and as a result of the comparison, when the real-time self-similarity value is lower than the set threshold, it may be determined that there is an error in the network.
- the real-time self-similarity value is out of the range of the threshold value, and this can be regarded as an intrusion.
- the detection apparatus includes at least one processor for performing a series of operations to be described above.
- a processor calculates an average and a variance from sample data extracted from various attribute information of a network or a system, and sets a threshold by calculating magnetic similarity from the calculation result.
- the processor compares the set threshold with the current self-similarity calculated in real time to determine whether the network is abnormal.
- the detection apparatus may further include a memory used as a space for the operation itself or temporary storage in the process of performing the series of operations by the processor described above.
- additional software code may be utilized to perform these operations via the processor and memory described above.
- FIG. 4 is a flowchart illustrating a process of setting a threshold for self similarity in the method of FIG. 3 according to an embodiment of the present invention in more detail, and illustrates only 310 of FIG. 3.
- the description will focus on the calculation process of the parameter that quantifies the self-similarity, but the overlapping description will be outlined.
- the method of numerically expressing the self-similarity may be implemented through various technical means, but the following embodiments will be described by illustrating Hurst parameters. Although the Hurst parameter is used as a means of numerical expression of the self similarity, those skilled in the art can recognize that the means of expressing the self similarity is not limited to the Hearst parameter.
- the detection apparatus measures one or more attribute information representing the traffic state of the network at regular time intervals in the normal state.
- the detection apparatus calculates a sample mean and variance from the measured attribute information.
- step 313 the detection apparatus calculates a parameter for the persistence of the statistical phenomenon of network traffic using the variance calculated in step 312 and the time interval of step 311.
- the general definition of a probabilistic process with self-similarity is based on direct scaling of continuous time variables. If the probabilistic process x (t) has a statistical characteristic such as a -H x (at) for any real a (> 0), then x (t) is statistical with the Hurst parameter H (0.5 ⁇ H ⁇ 1). This process is called self-similarity. This relationship can be expressed by three conditions, such as the following equations (3) to (5).
- Equation 3 represents an average
- Equation 4 represents a variance
- Equation 5 represents an autocorrelation
- H is the main measure of magnetic similarity.
- H is a measure of the persistence of statistical phenomena.
- An H value of 0.5 means no self-similarity, and close to 1 means a greater degree of persistence or long-term dependence and a greater degree of self-similarity.
- the newly defined X (m) corresponds to a stochastic process consisting of averaging the original time sequence X to the non-overlapping block size m.
- the Hurst parameter It is called a stochastic process with quadratic self-similarity in the strict sense or asymptotic sense Equations 7 and 8 represent conditions in a strict sense and conditions in an asymptotic sense, respectively.
- Equation 9 The variance of the sample mean of the probabilistic process is given by Equation 9.
- Equation 10 Taking a log value (log) on both sides of Equation (9) is arranged as shown in Equation 10 below.
- Hearst parameter H is expressed by Equation 11 below.
- Is the logarithm of the variance of the sample mean.
- a measure of self-similarity is the sampling of data that is aggregated at regular time intervals, the logarithm of the logarithm of the time interval and the variance of the sample mean, and the sample variance over various time intervals. This is accomplished by calculating the Hurst parameter from the slope of the regression line derived through the regression analysis between the logarithmic values of.
- step 314 the detection apparatus sets a constant magnification of the parameter calculated in step 313 as a threshold for self similarity. This magnification can be determined experimentally from the appropriate magnification of the magnetic similarity to the measured steady state.
- the attribute information observed as a detection target in the detection process may be selected from at least one of packet information of a network, attribute information of a security state of a system in a network, or a function value indicating a state of a network and a system. have.
- attribute information may be obtained from at least one of a packet in the network or an event log of a system in the network.
- state information about network traffic can be obtained from various measurements of the packet.
- state information about the system may be particularly focused on state information about the security of the system.
- SID Security ID
- the SID is a unique number given to each user or workgroup on a Windows NT server.
- the internal credential that is created when a user logs on is called an access token, which contains security IDs for the logged on user and all the workgroups to which the user belongs. A copy of the access token is assigned to every process initiated by that user.
- EventID may be used as attribute information indicating the state of the system.
- EventIDs recorded in the event log especially security-related events, will be relevant for detecting abnormal symptoms.
- Table 1 which is cited below, is an excerpt of the EventID defined for the Windows server and some of the descriptions.
- the EventIDs in Table 1 related to security are 529 and 539.
- the attribute information on the security status of the system for detecting abnormal symptoms may include at least one of a unique identifier (security ID, SID) information or a security event information (EventID) of the system and a user accessing the system. It is preferable to include.
- a function representing a system or network state can also be utilized as attribute information for detecting abnormal symptoms.
- a function (g) indicating the number of occurrences of the SID and the EventID described above or a specific vector indicating the state of the system and the network may be utilized.
- Such a function (g) and a vector may be expressed as in Equations 12 and 13 below.
- Equation (12) is a grouping of SIDs and EventIDs and expressed as a function value.
- the function of Equation 12 may be used to represent 'login failure count' of 'Manager A' as a group.
- the vector of Equation 13 expresses the function value of Equation 12 by grouping various object identifiers and event types into one group, and can represent all the properties of the system at one time. Corresponds to the snapshot vector.
- FIG. 5 is a diagram illustrating a process of calculating a snapshot vector, which is an example of attribute information indicating a state of a system, in a method of detecting an abnormal symptom of a network according to an embodiment of the present invention.
- EventID and SID related to security are selected. It can be seen that the selected attribute information is expressed as a function (g) indicating the number of occurrences of the SID and the EventID, and from this, a snapshot vector representing the overall state of the system can be derived.
- a function value representing the state of the system is a function value representing the number of occurrences of the unique identifier information and security event information of the system or the number of occurrences of the security event information of the system. It is preferable to include at least one of a snapshot vector grouping all the objects of the function value.
- FIG. 6 is a block diagram illustrating an apparatus 600 for detecting an abnormal symptom of a network according to an exemplary embodiment of the present invention, and includes a storage unit 10, a measurement unit 20, and a determination unit 30.
- an event log 25 for recording the state of the network 23 to be detected by the detection device 600 and the state inside the system is additionally shown.
- the network of the present embodiment also conforms to a standard having a network pattern of constant and repetitive self-similarity.
- Each of the device configurations illustrated in FIG. 6 corresponds to respective steps of the detection method described above with reference to FIG. 3, and only an overview thereof is briefly described.
- the storage unit 10 measures a self-similarity in advance from one or more attribute information representing the traffic state of the network in a normal state, and stores a threshold value set.
- the storage unit 10 measures one or more attribute information representing the traffic state of the network at regular time intervals in a normal state, calculates a sample mean and variance from the measured attribute information, and uses the calculated variance and time interval.
- the storage unit 10 may be implemented as various recording media capable of storing a threshold set in the form of electronic data.
- the measuring unit 20 measures the magnetic similarity in real time from the one or more attribute information in the network 23.
- attribute information can be obtained by extracting various attribute values known from the network packet or querying the data already recorded in the event log 25 through software, and such attribute extraction method is conventional in the art. It can be realized by a person with knowledge through various technical means commonly used in the technical field.
- the determination unit 30 compares the real-time self-similarity value measured by the measurement unit 20 with the threshold value stored in the storage unit 10 to determine whether the network 23 is abnormal.
- a new type of attack or circumvention in which a pattern is not known by measuring a network's self similarity in a steady state in advance and comparing the measured self similarity value of the network measured in real time.
- Enables detection of attacks detects attacks from outside and inside the network and systems without constant updating of error patterns or separate groups of experts, reduces false positive rates and improves the accuracy of intrusion detection .
- the SCADA system does not require any additional hardware, and is flexible to heterogeneous equipments due to system and protocol-independent characteristics.
- the above-described embodiments of the present invention proposed an intrusion detection methodology based on self-similarity based on the fact that the SCADA system has a regular and regular network traffic pattern.
- This configuration was devised using the phenomenon that the self-similarity is violated when an intrusion situation occurs in the SCADA network having a certain pattern. Therefore, the intrusion detection methodology using the self-similarity proposed by the above embodiments can be suitably used for SCADA systems.
- Existing security systems do not reflect the unique protocol scheme and characteristics of SCADA system, which limits intrusion detection. Direct response security technologies are not suitable for SCADA system environments where downtime is not allowed.
- the intrusion detection method does not require setting of additional equipment or modeling, and monitors the change in the self-similarity of the entire system through traffic monitoring at the network stage, thereby causing the system to stop working or inducing load. Risks do not exist. Self-similarity measures can also detect advanced symptoms based on statistically normal behavior to detect advanced hacking techniques that bypass unknown attacks or security tools.
- Intrusion detection is a technology that detects intrusions that threaten the security of an information system.
- Intrusion detection systems are generally used from internal and external sources that threaten the system. It detects the operation of the and informs the administrator. To do this, intrusion detection systems must be able to detect all kinds of malicious network traffic and computer usage that traditional firewalls cannot detect. Thus, the intrusion detection system detects network attacks on vulnerable services and data driven attacks in applications, privilege escalation and intruder logins, access to critical files by intruders, and malware. Host-based attacks, such as computer viruses, Trojan horses, and worms.
- intrusion detection techniques can be classified into two types: anomaly based intrusion detection and misuse detection.
- Anomaly detection is a way to consider an invasion when the state of the network or system exhibits abnormal behavior that is different from the normal statistical behavior of the past.
- Misuse detection detects when the state of the network or system matches a preset attack pattern. It's a way of thinking.
- the anomaly detection method uses a statistical approach or predictive modeling and is known to be useful for detecting unexpected attacks that are not defined in existing security systems, such as unknown attacks or attacks that bypass security devices. .
- materials and technical tools that can be used to detect abnormal symptoms include statistics, expert systems, neural networks, computer immunology and data mining. And HMM (hidden Markov models).
- statistical-based detection methodology is the most widely applied methodology in intrusion detection systems, and statistical characteristics and related formulas are used to estimate the probability of intrusion.
- statistical values which can be mean, variance, standard deviation, etc.
- state variables related to security are calculated and used as the basis for judgment for intrusion determination.
- an abnormal symptom detection method may appear to have a high false positive rate due to its nature, and embodiments of the present invention may reduce the false-positive rate by using RFM (recency, frequency, monetary value) analysis techniques and statistical processes.
- RFM retention, frequency, monetary value
- Embodiments of the present invention to be described below further include a visualization reporting technology that effectively fuses intrusion detection technology, RFM analysis, and statistical process management techniques, and can easily and intuitively present the result to a user. That is, embodiments of the present invention detect abnormal symptoms based on statistical methods, and then visualize and report them to the user. In particular, the combination of RFM analysis techniques and statistical process control techniques can significantly reduce the false positive rate that occurs in abnormal symptom detection techniques, thereby enabling reliable analysis. In addition, the visualization technology based on the statistical process control chart not only recognizes the security situation but also presents the situation and result of abnormal symptom detection to the user. Helps you understand the state of
- FIG. 7 is a flowchart illustrating a method of detecting an abnormal symptom of a network by a detection device having at least one processor according to another embodiment of the present invention, and includes the following steps.
- Step 710 the detection apparatus receives a security attribute indicating a state of a network or a system in a normal state, and classifies the security attribute input by the recent occurrence of the security attribute, the frequency of occurrence of the security attribute, and the total amount of the security attribute. do.
- Step 710 is a step of collecting the target data to be observed by the detection device, the target data may include packet information or system log information of the network.
- security attributes are available security attributes, and in UNIX systems, wtmpx, utmpx, last log, history log It will be available security attributes such as, syslog, messages, secure log, authlog, pacct, ftp / http log. Furthermore, information such as user behavior information can also be utilized as a security attribute that can detect abnormal symptoms of a system, user, database or network.
- the present embodiment utilizes an RFM analysis technique to extract a feature from security attributes and collect information necessary for analysis from the extracted feature.
- RFM is a technique for evaluating the behavior and value of a customer based on three metrics: recent recency, frequency, and monetary value.
- Marketing or customer relationship management (CRM) It is a concept used in the back.
- the RFM analysis technique is applied by replacing the customer's behavior with an event related to security, out of the usual use.
- each classification / measurement of the RFM analysis is the latest occurrence of the security attribute, the frequency of occurrence of the security attribute, and the total amount of occurrence of the security attribute.
- the classified security attributes are then used to calculate a statistical process control chart in step 720.
- These security attributes are generated according to a normal distribution. In other words, in the embodiments of the present invention described below, it is assumed that a statistical process control chart is applied to the data following a normal distribution. In other words, network traffic or security events are normally distributed (central theorem).
- the detection apparatus calculates statistical process control according to the classified security attributes in operation 710 and sets a threshold range for the calculated statistical process control chart.
- statistical process control is a statistical technique proposed as a means for discovering and managing patterns of processes that may occur due to various causes of quality variation in the field of quality control (QC).
- the network traffic is replaced with a single management process, and is used as a management tool for detecting an abnormal symptom that may occur depending on the cause of the quality change (which means the security attribute of various security events). .
- the detection apparatus calculates a statistical process control chart from the security attributes collected / classified according to the RFM analysis technique, and sets a range of levels that can be considered normal behavior within the calculated process control chart as a threshold range.
- This threshold range may be set experimentally based on various security attributes of network traffic measured under steady state, and may be appropriately modified and applied according to the level of security maintenance and user demand.
- an embodiment of the present invention collects and classifies traffic or security events of a network in a normal state, and calculates a statistical process control chart and a threshold range therefrom. As previously assumed, network traffic or security events follow a normal distribution, so statistical process control charts apply to data that follow a normal distribution. Thus, if there is no intrusion in the network, the newly measured security attributes will still be within the range according to the normal distribution. That is, it will not exceed the set threshold range.
- the detection apparatus calculates a location in the statistical process control chart in real time from the security attributes of the network or the system according to the security attributes classified in operation 710 based on the above principles.
- the detection apparatus determines whether an abnormality is detected in the network or system by checking whether the location of the security attribute calculated in real time in operation 730 exists within a threshold range set in operation 720.
- the above-described statistical process control chart is used as the basis for the determination of abnormal symptoms by comparing / analyzing the previously learned normal behavior and the current measured security attributes. Now, if abnormal symptoms are determined, they are reported to the user.
- the detection apparatus includes at least one processor for performing a series of operations to be described above. These processors classify various security attributes of a network or system according to specific criteria, and calculate and set statistical process control charts and threshold ranges. In addition, the processor calculates a location in the statistical process control chart from the security attributes of the network in real time and compares / checks the threshold range to determine whether the network is abnormal. Furthermore, the detection apparatus may further include a memory used as a space for the operation itself or temporary storage in the process of performing the series of operations by the processor described above. Of course, additional software code may be utilized to perform these operations via the processor and memory described above.
- RFM analysis refers to a method of diagnosing a user's pattern by using three factors, R (recency), F (frequency), and M (Monetary).
- R (Recency) refers to when the security-related event occurred most recently
- F (Frequency) refers to the frequency / frequency at which the security-related event occurred.
- M (Monetary) is the total amount of security-related events, and quantitative values such as a login time interval (duration) value at the time of login or an average CPU usage according to a login attempt.
- the security attribute may be selected from at least one of packet information of a network or attribute information of a security state of a system in a network.
- the security attribute may be obtained from at least one of a packet in the network or an event log of a system in the network.
- the collected security attributes are classified according to their criteria and sorted as necessary.
- three criteria of R (Recency), F (Frequency), and M (Monetary) may be used as independent variables, or may be connected and used in a dependent relationship according to each required order.
- FIG. 8 introduces an example of a method of connecting and using these three criteria in a series of orders, other embodiments of the present invention are not limited to the example as shown in FIG. It is possible to flexibly adopt and adopt the method of using the method independently and aligning these criteria.
- the detection apparatus may sort the target data in descending order based on the latest date and time, and then classify the sorted data into a plurality of groups of the same size. . For example, if you classify into five groups, 20% of the data per individual group will be included. The resulting values of each individual group are calculated for this classified data.
- the result value means meaningful data related to security to be grasped from individual data. For example, the number of failed logins or the degree of query load due to network access may be the result. Of course, these results can be appropriately selected and varied depending on the security-related issues you want to identify.
- the detection apparatus may sort the target data in descending order based on the average occurrence frequency for each period.
- the subsequent procedure is like a series of processing procedures for the latest occurrence of the security attribute described above.
- the detection apparatus may sort the target data in descending order based on an average of the total amount of occurrences for each period.
- the subsequent procedure is like a series of processing procedures for the latest occurrence of the security attribute described above.
- each of these groups may be used as an analysis target, but if necessary, the groups may be connected and sorted according to the purpose of analysis.
- the order of R, F, and M, which are the criteria for sorting, may also be changed as necessary, and the weights may be assigned to each group. That is, through the RFM analysis technique, the security attributes according to the present embodiment may be classified according to the characteristics of each detailed group, and the attributes of the corresponding group may be confirmed through the result values of the individual groups.
- the statistical process control chart includes a horizontal axis representing time and a vertical axis extending up and down about a center line CL.
- the upper control limit (UCL) allowed in the process is set at a certain position away from the center in the positive direction of the vertical axis, and also in the negative direction of the vertical axis from the center.
- Lower control limit (LCL) is set.
- the upper control limit and the lower control limit mean an allowable variation in quality under the variation of output variables (attributes) produced through the process, and the critical area is determined by both. That is, as shown in FIG.
- the points occurring over time indicate that the process is within an acceptable range and that the quality of the current process is properly managed. If anomalies occur in these statistical process charts, the point of quality appears outside of the control range (critical range), and these anomalies cause the dispersion to worsen.
- embodiments of the present invention may utilize various types of control charts, such as X-bar charts, R-charts, or P-charts.
- control charts such as X-bar charts, R-charts, or P-charts.
- (X-bar chart) can be used.
- Quality characteristics Is distributed according to the central limit theorem. Since the distribution is close to the normal distribution, there is an advantage that the properties of the normal distribution can be used as it is.
- the upper management limit and the lower management limit of are defined as in Equation 14 below.
- Equation (14) Means the center line of the chart, that is, the mean or target of the previous sample, Of the specimen ( (Standard deviation).
- the statistical process control chart in this example sets the mean of the sample for the security attribute to the center line and will be a multiple of the sample's standard deviation (e.g., three times the standard deviation above and below the center line).
- the critical range By setting the critical range to (), it is possible to manage abnormal symptoms of the security state of the network or system.
- R-chart can be used.
- R-charts can be used to manage variations in the pattern data area.
- the observed range of a particular pattern is the difference between the largest observation and the smallest observation in the sample.
- the upper management limit and the lower management limit of the R-chart are defined as in Equation 15 below.
- the statistical process control chart in this embodiment is a critical range by a certain magnification (e.g., three times the standard deviation) of the mean for the security attribute so that the variation of the security attribute is within the threshold range.
- P-chart can be used.
- P-chart is used when the process is controlled by nonconforming product rate, and is a defect rate control chart with binomial distribution. If the quality characteristics represented by the coefficient value, that is, the defective rate, are used, even if the product has several quality characteristics to be managed items, it is possible to manage them at the same time by using a P-chart by dividing them into defective / good products. That is, in this embodiment, the P-chart measures whether the pattern of the user / network related to security is normal or not. In this case, it is a random variable that calculates the failure rate of the sample by examining the number of failures or successes of security-related actions (for example, login attempts).
- the upper management limit and the lower management limit of the P-chart are defined as in Equation 16 below.
- Equation 16 Is the standard deviation of the distribution of failure rates, n is the size of the sample, Is the centerline of the control chart, and represents the average failure rate or target value in the past.
- the statistical process control chart in this embodiment sets the mean of the sample's failure rate for the security attributes to a centerline and sets the critical deviation of the distribution of the failure rate to the critical range so that the abnormal symptoms of the security status of the network or system can be determined.
- FIG. 10 is a diagram illustrating a method of displaying a security attribute of a network in which an abnormal symptom is detected on a visualized statistical process control diagram in the abnormal symptom detection method of FIG. 7 according to another embodiment of the present invention in comparison with a threshold range; FIG. .
- the security visualization technique to be achieved in this embodiment is to visualize a large amount of events occurring in a network or a system in real time so that an administrator can intuitively recognize a security situation such as detection of an attack, classification of an unknown attack type, and detection of an abnormal condition.
- the visualization techniques employed in this detection method can be situations (intrusions or attacks) occurring in the current network, such as data selection and collection, feature factor extraction, correlation analysis, data mining, pattern analysis, and event visualization. In addition to notifying.), It also provides a technical means to visualize security events to inform the security situation from current sensing information. Therefore, in the present embodiment, the detection apparatus visualizes the previously calculated statistical process control chart, and compares the security attribute of the network where the abnormal symptom is detected with the preset threshold range and displays it on the visualized statistical process control chart.
- an upper management limit (UCL) and a lower management limit (LCL) are set based on the center line CL, and a statistical process control diagram calculated according to three criteria (1, 2, and 3) is shown. can confirm.
- Each of these statistical process charts is normally distributed, and the result values of the currently detected security attributes are displayed on the statistical process charts.
- FIG. 10 indicates that anomaly was detected outside the critical range (more accurately, the upper limit of management in FIG. 10). That is, in the present embodiment, the detection apparatus compares the security attribute of the currently detected network with a preset threshold range to determine whether there is an abnormality, and displays the result on the visualized statistical process control chart.
- embodiments of the present invention by receiving a security attribute indicating the state of the network in the normal state, by calculating a statistical process control chart according to the security attributes classified according to a specific criterion by comparing the real-time statistical process control chart
- a statistical process control chart according to the security attributes classified according to a specific criterion by comparing the real-time statistical process control chart
- it can be visualized and provided to the administrator so that users can intuitively provide information on the current security situation of the network or system. can do.
- embodiments of the present invention also serve to provide ideas for detecting and studying intrusions from a new perspective through visual data analysis.
- inventions of the present invention can be implemented by computer readable codes on a computer readable recording medium.
- the computer-readable recording medium includes all kinds of recording devices in which data that can be read by a computer system is stored.
- Examples of computer-readable recording media include ROM, RAM, CD-ROM, magnetic tape, floppy disks, optical data storage devices, and the like, which may also be implemented in the form of carrier waves (for example, transmission over the Internet). Include.
- the computer readable recording medium can also be distributed over network coupled computer systems so that the computer readable code is stored and executed in a distributed fashion.
- functional programs, codes and code segments for implementing the present invention can be easily inferred by programmers in the art to which the present invention belongs.
- Embodiments of the present invention detect a new type of attack or bypass attack in which a pattern is not known by measuring a network's self-similarity in a steady state in advance and comparing a measured threshold value with a network's self-similarity value measured in real time. It is possible to detect attacks from the outside and inside of the network and system without continuous updating of error patterns or a separate group of experts, can reduce false positive rate and improve the accuracy of intrusion detection.
- embodiments of the present invention by receiving a security attribute indicating the state of the network in the normal state, calculates the statistical process control chart according to the security attributes classified according to a specific criterion, and compares the real-time statistical process control chart, abnormal symptoms detection
- the user can intuitively provide information on the current security situation of the network or system.
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Mining & Analysis (AREA)
- Physics & Mathematics (AREA)
- Algebra (AREA)
- General Physics & Mathematics (AREA)
- Mathematical Analysis (AREA)
- Mathematical Optimization (AREA)
- Mathematical Physics (AREA)
- Probability & Statistics with Applications (AREA)
- Pure & Applied Mathematics (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
네트워크의 이상증후를 탐지하는 장치, 방법 및 그 방법을 기록한 기록매체에 관한 기술이 개시된다. 본 발명에 따른 네트워크의 이상증후를 탐지하는 방법은, 정상 상태에서 네트워크의 트래픽(traffic) 상태를 나타내는 하나 이상의 속성 정보로부터 자기 유사성(self-similarity)을 미리 측정하여 자기 유사성에 대한 임계값을 설정하고, 네트워크에서 하나 이상의 속성 정보로부터 실시간으로 자기 유사성을 측정하며, 측정된 실시간 자기 유사성 값과 미리 설정된 임계값를 비교하여 네트워크에 대한 이상 여부를 판단한다.
Description
본 발명은 네트워크의 이상증후를 탐지하는 장치 및 방법에 관한 것으로, 특히 일정하고 반복적인 네트워크의 패턴을 이용한 자기 유사성에 기초하여 비정상적인 공격 및 이상증후를 실시간으로 탐지할 수 있는 장치 및 방법, 그리고 네트워크 트래픽이나 보안 이벤트가 정규분포에 따르는 환경에서 통계적 공정 관리도를 이용하여 비정상적인 공격 및 이상증후를 실시간으로 탐지할 수 있는 방법 및 그 방법들을 기록한 기록매체에 관한 것이다.
침입 탐지(intrusion detection)라 함은 정보 시스템의 보안을 위협하는 침입 행위가 발생할 경우 이를 탐지하는 기술로서, 침입 탐지 시스템(intrusion detection system, IDS)은 일반적으로 시스템에 대한 위협이 되는 내부 및 외부로부터의 조작을 탐지하여 관리자에게 알려준다. 이를 위해 침입 탐지 시스템은 전통적인 방화벽이 탐지할 수 없는 모든 종류의 악의적인 네트워크 트래픽 및 컴퓨터 사용을 탐지할 수 있어야 한다. 따라서, 침입 탐지 시스템이 탐지하는 대상은, 취약한 서비스에 대한 네트워크 공격과 애플리케이션에서의 데이터 처리 공격(data driven attack), 권한 상승(privilege escalation) 및 침입자 로그인, 침입자에 의한 주요 파일 접근, 멀웨어(malware)(컴퓨터 바이러스, 트로이 목마, 웜 등)과 같은 호스트 기반 공격을 포함한다.
이러한 침입 탐지 기술은 크게 이상증후 탐지법(anomaly based intrusion detection)과 오용 탐지법(misuse detection)의 두 가지로 분류될 수 있다. 이상증후 탐지법은 네트워크 또는 시스템의 상태가 과거의 통계적 정상 행위와 다른 비정상 행위를 보일 경우 이를 침입으로 간주하는 방법이며, 오용 탐지법은 네트워크 또는 시스템의 상태가 미리 설정된 공격 패턴과 일치할 경우 이를 침입으로 간주하는 방법이다. 특히, 이상증후 탐지법은 통계에 기반하는 접근법 또는 예측 모델링을 활용하며, 알려지지 않은 공격이나 보안 장치를 우회하는 공격 등 기존의 보안 시스템에서 정의하고 있지 않은 예상치 못한 공격을 탐지할 때 유용하다고 알려져 있다.
이러한 이상증후 탐지를 위해서는 통계적 데이터를 활용하게 되는데, 이러한 통계적 데이터를 구축하는 기반 이론으로는 자기 유사성(self-similarity)이 활용될 수 있다. 자기 유사성은 프랙탈(fractal) 이론에 기초한 개념으로, 차원(dimension) 상의 서로 다른 확대비율이나 서로 다른 스케일(scale)에서 보았을 때, 동일하게 보이거나 동일하게 행동하는 자기 유사한 현상을 의미한다. 요약하건대, 부분이 전체를 닮는 현상을 말한다. 예를 들면, 어떠한 네트워크의 특정 시간대를 관찰하였을 때, 규모를 축소한 시간대(rescaled time)에서의 트래픽 양의 변화 형태가 전체 시간대에서의 트래픽 양의 변화 형태와 유사한 현상을 보이면, 자기 유사성이 있다고 한다.
한편, 전통적으로 생산 활동으로 획득되는 생산 제품에 관한 품질을 관리하고자 하는 다양한 노력의 일환으로 행해진 통계적인 품질 관리(statistical quality control)는 시장성 있는 제품을 가장 경제적으로 생산하기 위해서 생산 활동의 모든 단계에서 통계적인 방법을 응용하고자 하는 시도에도 접근되었다.
이와 관련하여, 통계적 공정 관리(statistical process control, SPC)는 통계적 자료와 분석 기법으로 품질과 공정의 상태를 파악하여 원하는 생산자/관리자가 희망하는 상태 및 품질에 따라 생산이 이루어지도록 관리하는 방법을 의미한다. 즉, 통계적 공정 관리 활동이라 함은, 공정 품질 유지 활동과 개선 활동을 포함한다. 따라서, 통계적 공정 관리 활동은 공정의 이상이 발생한 것을 사전 탐지하여 기피 요인은 찾아 제거하거나, 이를 사전에 예방하는 품질 관리 활동이다.
통계적 공정 관리에 있어서, 과거에는 주로 산포를 줄이고자 하는 노력이 이루어졌으나, 최근에는 목표치의 설정 또는 달성 방법의 변경 정도를 연구하여 공정의 능력이나 공정에 수반되는 다양한 인자들이 적절하게 설정되어 있는지 여부를 분석하는 활동을 포함하여 통계적 방법을 활용하여 공정의 상태를 관리하는 과정 전부를 포괄하는 추세이다.
본 발명이 해결하고자 하는 첫 번째 기술적 과제는 미리 설정된 패턴에 기초하여 네트워크 내지 시스템의 침입을 탐지하는 오용 탐지법만으로는 패턴이 알려지지 않은 새로운 형태의 공격이나 우회 공격에 대한 탐지가 불가능한 문제점을 해결하고, 지속적으로 전문가 집단에 의해 오류 패턴을 갱신하여야만 하는 불편함을 해소하며, 네트워크 및 시스템 내부로부터의 공격을 탐지할 수 없는 한계를 극복하고자 한다.
나아가, 본 발명은 SCADA 시스템의 운용에 있어서 공격 가능성이 증대하고 있는 상황 하에서 미리 알려지지 않은 형태의 공격을 탐지할 수 없는 문제점을 해결하고, 이상증후 탐지를 위해 고가의 시스템을 구비하여야만 하는 경제적 어려움을 해소하고자 한다.
또한, 본 발명이 해결하고자 하는 두 번째 기술적 과제는, 종래의 침입 탐지 기술들에 있어서 이상증후 탐지법이 높은 오탐율을 갖는 문제점을 해결하고, 통계적 공정 관리도가 단순한 공정 내지 품질 관리에 국한되어 활용되는 한계를 극복하며, 현재의 네트워크 또는 시스템의 보안 상황에 대한 정보를 직관적이고 시각적으로 제공할 수 있는 수단이 존재하지 않음으로써 발생하는 관리상의 불편함을 해소하고자 한다.
상기 첫 번째 기술적 과제를 해결하기 위하여, 본 발명의 일 실시예에 따른 네트워크에서 적어도 하나의 프로세서(processor)를 구비한 탐지 장치가 상기 네트워크의 이상증후를 탐지하는 방법은, 정상 상태에서 상기 네트워크의 트래픽(traffic) 상태를 나타내는 하나 이상의 속성 정보로부터 자기 유사성(self-similarity)을 미리 측정하여 상기 자기 유사성에 대한 임계값을 설정하는 단계; 상기 네트워크에서 상기 하나 이상의 속성 정보로부터 실시간으로 자기 유사성을 측정하는 단계; 및 상기 측정된 실시간 자기 유사성 값과 상기 설정된 임계값를 비교하여 상기 네트워크에 대한 이상 여부를 판단하는 단계를 포함한다.
일 실시예에 따른 상기 네트워크의 이상증후를 탐지하는 방법에서, 상기 자기 유사성에 대한 임계값을 설정하는 단계는, 상기 정상 상태에서 일정 시간 간격으로 상기 네트워크의 트래픽 상태를 나타내는 하나 이상의 속성 정보를 측정하는 단계; 상기 측정된 속성 정보로부터 표본 평균 및 분산을 산출하는 단계; 상기 산출된 분산과 상기 시간 간격을 이용하여 상기 네트워크 트래픽의 통계적 현상의 지속성에 대한 파라미터(parameter)를 산출하는 단계; 및 상기 산출된 파라미터의 소정 배율을 상기 자기 유사성에 대한 임계값으로 설정하는 단계를 포함한다.
일 실시예에 따른 상기 네트워크의 이상증후를 탐지하는 방법에서, 상기 속성 정보는, 상기 네트워크의 패킷(packet) 정보, 상기 네트워크 내의 시스템의 보안 상태에 대한 속성 정보 또는 상기 네트워크와 상기 시스템의 상태를 나타내는 함수 값 중 적어도 하나이다.
상기 기술적 과제를 해결하기 위하여, 본 발명의 일 실시예에 따른 네트워크의 이상증후를 탐지하는 장치는, 정상 상태에서 상기 네트워크의 트래픽 상태를 나타내는 하나 이상의 속성 정보로부터 자기 유사성을 미리 측정하여 설정된 임계값을 저장하는 저장부; 상기 네트워크에서 상기 하나 이상의 속성 정보로부터 실시간으로 자기 유사성을 측정하는 측정부; 및 상기 측정된 실시간 자기 유사성 값과 상기 설정된 임계값를 비교하여 상기 네트워크에 대한 이상 여부를 판단하는 판단부를 포함한다.
일 실시예에 따른 상기 네트워크의 이상증후를 탐지하는 장치의 상기 저장부는, 상기 정상 상태에서 일정 시간 간격으로 상기 네트워크의 트래픽 상태를 나타내는 하나 이상의 속성 정보를 측정하고, 상기 측정된 속성 정보로부터 표본 평균 및 분산을 산출하고, 상기 산출된 분산과 상기 시간 간격을 이용하여 상기 네트워크 트래픽의 통계적 현상의 지속성에 대한 파라미터를 산출하며, 상기 산출된 파라미터의 소정 배율을 상기 자기 유사성에 대한 임계값으로 설정하여 저장한다.
상기 두 번째 기술적 과제를 해결하기 위하여, 본 발명의 다른 실시예에 따른 이상증후를 탐지하는 방법은, 정상 상태에서 네트워크 또는 시스템의 상태를 나타내는 보안 속성을 입력받고, 상기 속성의 최근 발생 시기, 상기 속성의 발생 빈도 및 상기 속성의 발생 총량별로 상기 입력된 보안 속성을 분류하는 단계; 상기 분류된 보안 속성에 따라 통계적 공정 관리도(statistical process control)를 산출하고, 산출된 통계적 공정 관리도에 대한 임계 범위를 설정하는 단계; 상기 분류된 보안 속성에 따라 상기 네트워크 또는 시스템의 상기 보안 속성으로부터 실시간으로 통계적 공정 관리도 내의 위치를 산출하는 단계; 및 상기 실시간으로 산출된 보안 속성의 위치가 상기 설정된 임계 범위 내에 존재하는지 여부를 검사하여 상기 네트워크 또는 시스템에 대한 이상 여부를 판단하는 단계를 포함한다.
다른 실시예에 따른 상기 이상증후를 탐지하는 방법에서, 보안 속성은 정규분포에 따라 발생한다.
다른 실시예에 따른 상기 이상증후를 탐지하는 방법에서, 상기 통계적 공정 관리도는, 상기 보안 속성에 대한 표본의 평균을 중앙선으로 설정하고, 상기 표본의 표준편차의 소정 배율만큼을 상기 임계 범위로 설정할 수 있다.
다른 실시예에 따른 상기 이상증후를 탐지하는 방법에서, 상기 통계적 공정 관리도는, 상기 보안 속성의 변동 범위가 상기 임계 범위 내에 있도록 상기 보안 속성에 대한 표본의 평균의 소정 배율만큼을 상기 임계 범위로 설정할 수 있다.
다른 실시예에 따른 상기 이상증후를 탐지하는 방법에서, 상기 통계적 공정 관리도는, 상기 보안 속성에 대한 표본의 실패율의 평균을 중앙선으로 설정하고, 상기 실패율의 분포의 표준편차만큼을 상기 임계 범위로 설정할 수 있다.
다른 실시예에 따른 상기 네트워크의 이상증후를 탐지하는 방법은, 상기 산출된 통계적 공정 관리도를 시각화하고, 상기 이상증후가 감지된 네트워크의 보안 속성을 상기 설정된 임계 범위와 비교하여 상기 시각화된 통계적 공정 관리도 상에 표시하는 단계를 더 포함한다.
나아가, 이하에서는 상기 기재된 이상증후를 탐지하는 방법들을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체를 제공한다.
본 발명의 실시예들은 정상 상태에서 네트워크의 자기 유사성을 미리 측정하여 설정된 임계값과 실시간으로 측정된 네트워크의 자기 유사성 값을 비교함으로써, 패턴이 알려지지 않은 새로운 형태의 공격이나 우회 공격에 대한 탐지가 가능하고, 오류 패턴에 대한 지속적인 갱신 내지 별도의 전문가 집단 없이도 네트워크 및 시스템의 외부 및 내부로부터의 공격을 탐지할 수 있으며, 오탐율을 감소시키고 침입 탐지의 정확도를 향상시킬 수 있다.
나아가, 본 발명의 실시예들을 SCADA 시스템에 적용함에 있어서 별도의 추가적인 하드웨어를 필요로 하지 않을 뿐만 아니라, 시스템 및 규약에 독립적인 특성으로 인해 이기종의 장비들에 유연한 적용이 가능하다.
한편, 본 발명의 실시예들은 정상 상태에서 상기 네트워크 또는 시스템의 상태를 나타내는 보안 속성을 입력받고, 최근 발생 시기, 발생 빈도 및 발생 총량별로 분류된 보안 속성에 따라 통계적 공정 관리도를 산출하여 실시간 통계적 공정 관리도와 비교함으로써, 이상증후 탐지법의 정확도를 향상시키고, 통계적 공정 관리도를 이상증후 탐지의 관리 수단으로써 활용하여 이를 시각화하여 관리자에게 제공함으로써, 사용자로 하여금 현재의 네트워크 또는 시스템의 보안 상황에 대한 정보를 직관적으로 제공할 수 있다.
도 1은 본 발명의 실시예들이 구현되는 네트워크 환경에서 나타나는 네트워크 트래픽의 자기 유사성을 설명하기 위한 도면이다.
도 2는 일반적인 네트워크의 트래픽 그래프와 본 발명의 실시예들이 구현되는 네트워크의 트래픽 그래프를 비교하여 도시한 도면이다.
도 3은 본 발명의 일 실시예에 따른 네트워크에서 적어도 하나의 프로세서를 구비한 탐지 장치가 상기 네트워크의 이상증후를 탐지하는 방법을 도시한 흐름도이다.
도 4는 본 발명의 일 실시예에 따른 도 3의 방법에서 자기 유사성에 대한 임계값을 설정하는 과정을 보다 구체적으로 도시한 흐름도이다.
도 5는 본 발명의 일 실시예에 따른 네트워크의 이상증후를 탐지하는 방법에서 시스템의 상태를 나타내는 속성 정보 중 일례인 스냅샷 벡터(snapshot vector)를 산출하는 과정을 설명하기 위한 도면이다.
도 6은 본 발명의 일 실시예에 따른 네트워크의 이상증후를 탐지하는 장치를 도시한 블록도이다.
도 7은 본 발명의 다른 실시예에 따른 네트워크의 이상증후를 탐지하는 방법을 도시한 흐름도이다.
도 8은 본 발명의 다른 실시예에 따른 도 7의 이상증후 탐지 방법에서 네트워크의 상태를 나타내는 보안 속성을 분류하고 정렬하는 방법을 예시한 도면이다.
도 9는 본 발명의 다른 실시예에 따른 도 7의 이상증후 탐지 방법과 관련하여 통계적 공정 관리도를 설명하기 위한 도면이다.
도 10은 본 발명의 다른 실시예에 따른 도 7의 이상증후 탐지 방법에서 이상증후가 감지된 네트워크의 보안 속성을 임계 범위와 비교하여 시각화된 통계적 공정 관리도 상에 표시하는 방법을 예시한 도면이다.
본 발명의 일 실시예에 따른 네트워크에서 적어도 하나의 프로세서(processor)를 구비한 탐지 장치가 상기 네트워크의 이상증후를 탐지하는 방법은, 정상 상태에서 상기 네트워크의 트래픽(traffic) 상태를 나타내는 하나 이상의 속성 정보로부터 자기 유사성(self-similarity)을 미리 측정하여 상기 자기 유사성에 대한 임계값을 설정하는 단계; 상기 네트워크에서 상기 하나 이상의 속성 정보로부터 실시간으로 자기 유사성을 측정하는 단계; 및 상기 측정된 실시간 자기 유사성 값과 상기 설정된 임계값를 비교하여 상기 네트워크에 대한 이상 여부를 판단하는 단계를 포함한다.
또한, 본 발명의 다른 실시예에 따른 이상증후를 탐지하는 방법은, 정상 상태에서 네트워크 또는 시스템의 상태를 나타내는 보안 속성을 입력받고, 상기 속성의 최근 발생 시기, 상기 속성의 발생 빈도 및 상기 속성의 발생 총량별로 상기 입력된 보안 속성을 분류하는 단계; 상기 분류된 보안 속성에 따라 통계적 공정 관리도(statistical process control)를 산출하고, 산출된 통계적 공정 관리도에 대한 임계 범위를 설정하는 단계; 상기 분류된 보안 속성에 따라 상기 네트워크 또는 시스템의 상기 보안 속성으로부터 실시간으로 통계적 공정 관리도 내의 위치를 산출하는 단계; 및 상기 실시간으로 산출된 보안 속성의 위치가 상기 설정된 임계 범위 내에 존재하는지 여부를 검사하여 상기 네트워크 또는 시스템에 대한 이상 여부를 판단하는 단계를 포함한다.
상기된 첫 번째 기술적 과제를 해결하기 위해 제안된 본 발명의 실시예들을 설명하기에 앞서, 우선 본 발명의 실시예들이 구현되는 네트워크 트래픽의 특징에 대해 소개하고, 이러한 실시예들이 구현되는 환경의 특징으로부터 안출될 수 있는 본 발명의 기본적인 아이디어를 제시하고자 한다.
도 1은 본 발명의 실시예들이 구현되는 네트워크 환경에서 나타나는 네트워크 트래픽의 자기 유사성을 설명하기 위한 도면으로서, 가로축은 시간을 나타내고, 세로축은 트래픽 부하(traffic load)를 나타낸다. 즉, 도 1은 시스템이나 네트워크 트래픽을 시계열 데이터로 보고, 이로부터 자기 유사성을 도출해낸다. 여기서, 시계열이란 시간이라는 독립 변수에 대해 어떠한 변수를 나타내는 것을 말한다. 예를 들어, 연도별, 분기별, 월별, 일별 또는 시간별 등 시간의 흐름에 따라 순서대로(ordered in time) 관측되는 데이터는 시계열(time series) 데이터라고 볼 수 있다.
이러한 시계열 자료를 분석할 때, 관측 시점들 사이의 간격(시차: time lag)이 중요한 역할을 한다. 시계열은 시간 t를 하첨자로 하여 다음의 수학식 1과 같이 표현된다.
이러한 시계열 데이터에 기반하여 자기 상관과 자기 상관 함수에 대해 살펴보자.
시계열 데이터에서 현재의 상태는 과거 및 미래의 상태와 서로 연관되어 있다. 이러한 시계열 데이터 내의 연관 관계는 자기 상관 함수로 표현될 수 있다. 자기 상관이란 어떠한 하나의 시계열이 시계열 내에서 시간에 따라 반복되는 유형, 즉 스스로 상관이 있는지를 나타낸다.
보다 구체적으로, 자기 상관 함수는 두 개의 서로 다른 시점 t1, t2 (또는, t, t+τ라고 표현될 수 있다.) 각각에서 관찰한 결과가 유사한 정도를 나타낸 함수이다. 자기 상관 함수 R은 다음의 수학식 2와 같이 표현될 수 있다.
여기서, R은 자기 상관 함수를 나타내고, E는 평균을 나타낸다.
이제, 이러한 자기 상관을 정량화하여 표현하기 위해 확률적 표현을 도입하여 설명하도록 한다.
정상 확률 과정이란, 시간의 엇갈림에 대하여 어떤 종류의 정상성을 지니는 확률 과정의 총칭을 말하며, 강정상(强定常) 과정과 약정상(弱定常) 과정으로 대별된다. 확률 과정 {X(t)}에 대하여 X(t1), X(t2), ..., X(tn)의 결합 분포와 X(t1+τ), X(t2+τ), ..., X(tn+τ)의 결합 분포가 항상 일치할 때, 이 과정을 강정상 확률 과정이라고 한다. 이에 반해, X(t)의 평균 E(X(t))와 X(t)X(t+τ)의 평균 E(X(t)X(t+τ))가 모두 t와 관계없을 때, 이 과정을 약정상 확률 과정이라고 한다.
이하에서 제시될 본 발명의 실시예들은 이상증후가 없는, 즉 시스템 및 네트워크로부터의 비정상적인 침입이 없는 네트워크 트래픽이 정상 상태(정상 확률 과정에 따르는 것을 의미한다.)에 있음을 이용하여, 네트워크 트래픽의 이상증후를 탐지하는 방법을 제안한다. 보다 실천적인 관점에서 이러한 속성을 자기 유사성에 적용하는 구체적인 방법은 이후 도 4를 통해 자세히 설명하기로 한다.
도 2는 일반적인 네트워크의 트래픽 그래프와 본 발명의 실시예들이 구현되는 네트워크의 트래픽 그래프를 비교하여 도시한 도면이다.
본 발명의 실시예들은 공통적으로 정상 상태에서 자기 유사성을 갖는 네트워크 패턴을 갖는 규격에 따른 환경에서 구현되며, 이러한 정상 상태의 네트워크 트래픽은, 시간에 대한 스케일(scale)을 달리하는 복수 개의 네트워크 트래픽의 변화가 서로 유사한 자기 유사성을 갖는다는 것을 전제로 한다. 이하에서는 이러한 규격의 일례로서, 본 발명의 실시예들은 SCADA(Supervisory Control and Data Acquisition) 시스템을 예시하여 설명하도록 한다.
SCADA 시스템이란, 원격 장치의 상태 정보 데이터를 원격 단말 장치(remote terminal unit)로 수집, 수신, 기록 및 표시하여 중앙 제어 시스템으로 하여금 원격 장치를 감시하고 제어하도록 하는 시스템이다. 현재, 발전, 송배전시설, 상하수도 시설, 석유화학 플랜트, 고속 전철, 가스, 제철 공정 시설 및 공장 자동화 시설 등 국가에서 관리하는 중요 핵심 기반 시설은 상당수 SCADA 시스템으로 운영되고 관리되고 있다. 이러한 SCADA 시스템의 네트워크 트래픽은 일정하고 규칙적인 양상을 보이며, 자기 유사성 정도가 일반 네트워크 트래픽에 비해 크고 뚜렷하게 나타난다.
이하에서 본 발명의 실시예들을 통해 제시될 자기 유사성 측정을 통한 침입탐지 방법론은 SCADA 시스템이라는 특수한 환경에 적용하기 유리하다. 중단 없는 운영이 이루어져야 하는 SCADA 시스템의 특성상 추가적인 보안 솔루션과 보안 장치의 설치가 어렵다. 대부분의 보안 도구 설정 과정과 운영체제의 업데이트 과정에는 해당 솔루션의 활성화를 시키기 위한 리부팅(rebooting)이 불가피하기 때문에 기반 시설의 운영이 중단될 수도 있다. 보안 도구가 정상적인 상태를 침입 상황으로 잘못 판단할 경우에는 기반 시설의 운영 중단과 중요 데이터 손실 등 막대한 사회적 피해가 발생할 수 있다. 이러한 점들 때문에 SCADA 시스템 환경에서는 가용성과 장애유발 방지를 위해서 시스템 내에 에이전트(agent)를 설치하는 방식이 현실적으로 적용하기 어려운 것이다. 이는 현재 운영 중인 SCADA 시스템에 대한 직접적이고 적극적인 대응을 피해야 하는 주요 원인이다. 또한, 원활한 작동을 위해 시스템에 부하를 유발할 수 있는 방식은 지양해야 한다.
도 2의 [A]는 고려대학교 해킹대응기술 연구실 컴퓨터에서 2011년 6월 27일 16시 25분 56초부터 17시 26분 49초까지 약 1시간 동안 관찰한 시간에 따른 패킷(packet) 개수의 양상을 나타낸 도면이다. 이 기간 동안 이루어진 행위는 정상적인 웹서핑 내지 메신저 활동 등을 포함한다. 일반적으로 네트워크 트래픽은 사용자의 다양한 행위에 의해 일정하지 않은 트래픽 양상을 보이나, 자기 유사성의 특성을 갖는 것으로 알려져 있다.
도 2의 [B]는 한국의 특정 SCADA 시스템에서 관측된 약 1시간 동안의 트래픽 양상을 도시한 도면이다. 앞서 도 2의 [A]와 비교하여 볼 때, 상당히 규칙적이고 일정한 트래픽 양상을 보임을 알 수 있다. SCADA 시스템은 특수한 목적을 가지는 폐쇄망이므로 통신 프로토콜과 통신 주체 등이 한정되어 있어서, 네트워크 트래픽은 일정한 형태를 띄게 된다. 따라서, 자기 유사성의 성질이 일반 네트워크 트래픽에 비해 크다는 특징을 갖는다.
SCADA 통신에 사용되는 규약은 일반적인 인터넷 통신과는 달리 DNP(Distributed Network Protocol), Modbus, Harris, TCP/IP, ICCP(Intercontrol Center Communications Protocol) 등 다양한 방식들이 채용되며, 각 규약들은 시스템의 구조와 제어 등급 및 계측/제어 대상에 따라서 결정됨으로써 하나의 시스템 내에 다수의 규약들이 혼용되기도 한다.
통상적으로 침입 탐지를 위해 활용될 수 있는 패턴 매칭(pattern matching)을 이용하는 방법, 고정된 네트워크 장비에 따른 네트워크 패턴을 감지하는 방법 내지 규칙(rule) 기반의 별도의 모니터링 시스템을 사용하는 방법 등은 모두 본 SCADA 시스템의 침입 탐지에 있어서 탐지의 과정이 복잡하거나 추가적인 하드웨어 장비가 요구되는 문제점을 갖는다.
현재 대부분의 국가는 SCADA 시스템을 폐쇄 망에서 운영하고 있고, 벤더 고유의 운영체제 및 프로토콜을 사용하고 있으나, 비용 대 효과의 측면을 극대화하기 위해 상용망에 연결하여 운영하는 노력이 시도되고 있다. 그 예로 스마트 그리드(smart grid)는 기존 전력망의 중앙 집중화, 일방향인 관리 방식의 비효율성을 개선하기 위해 분산 방식을 활용한 전력 시스템을 제안하고 있다. 이러한 SCADA 시스템을 상용망에 연결하여 운영할 경우, 기존에 비해 해커(hacker)가 침입할 수 있는 경로가 확대/확장되므로 그 공격의 가능성은 더욱 증가하게 된다. 또한, 적용 분야 및 규모의 특성상 SCADA 시스템이 해커로부터 공격을 받아 피해가 발생하게 될 경우, 대규모 인명 피해 내지 경제적 피해가 발생할 우려가 있다.
이러한 환경 하에서 다양한 공격 경로를 예상할 수 있어야 하므로 SCADA 시스템에 대한 알려지지 않은 공격(제로데이 공격: Zeroday Attack)도 효과적으로 탐지하여야 하며, 탐지에 대한 정확도와 신뢰도를 높일 필요성이 있다. 앞서 검토한 바와 같이 기존의 시스템 보안 방법들은 탐지의 과정이 복잡하거나 추가적인 장비를 갖춰야 하는 등의 문제점이 존재한다. 또한, 이상증후 탐지를 위해 복잡한 과정을 수행해야 하거나, 추가적인 비용이 발생하게 되며, 탐지를 위해 지속적으로 상태에 대한 모니터링과 갱신을 수행해야 한다.
따라서, 이하에서 제시되는 본 발명의 실시예들은 SCADA 네트워크에서 발생하는 트래픽이 일정하고 반복적인 패턴을 갖는다는 것에 착안하여, 이로부터 자기 유사성을 측정함으로써 네트워크 트래픽의 이상증후를 탐지하는 방법을 제안한다. 즉, SCADA 네트워크에서는 시간 단위로 통계 특성치를 정의할 수 있으므로, 통계 특성치가 프렉탈 구조처럼 반복되는 자기 유사성의 성질을 이용하여 침입 탐지를 수행할 수 있다. 이러한 자기 유사성을 이용한 침입 탐지는 앞서 언급한 통상적인 침입 탐지 방법과는 달리, 추가적인 장비나 모델링 과정을 필요로 하지 않는다. 뿐만 아니라, 장비에 의존적이지 않기 때문에 일단 침입 탐지 시스템이 구현되면 어디에나 적용될 수 있다는 장점을 갖는다.
다만, 이러한 SCADA 시스템은 본 발명의 실시예들이 구현될 수 있는 환경의 일례일 뿐, 반드시 SCADA 시스템에 한정되지는 않는다. 따라서, 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자는, 이상에서 예시한 SCADA 시스템과 같이 일정하고 반복적인 네트워크 패턴을 갖는 환경(즉, 자기 유사성의 성질이 뚜렷하게 나타나는 환경을 말한다.)에서 본 발명의 기본적인 아이디어가 동일하게 유지되는 한, 다양한 실시예들을 유연하게 적용하는 것이 가능함을 알 수 있다. 이하에서는 도면을 참조하여 본 발명의 실시예들을 구체적으로 설명한다. 도면들에서 동일한 참조 번호들은 동일한 구성 요소를 지칭한다.
도 3은 본 발명의 일 실시예에 따른 네트워크에서 적어도 하나의 프로세서(processor)를 구비한 탐지 장치가 상기 네트워크의 이상증후를 탐지하는 방법을 도시한 흐름도이다. 앞서 전제한 바와 같이, 본 실시예의 네트워크는 일정하고 반복적인 자기 유사성의 네트워크 패턴을 갖는다. 따라서, 본 실시예의 네트워크는 정상 상태에서 강한 자기 유사성을 갖는다. 이러한 환경 하에서 침입이 발생하면 네트워크 트래픽의 상태가 변화하면서 자기 유사성의 정도가 변화한다. 즉, 도 3의 탐지 방법에서는 이러한 특성을 이용하여 침입 발생 여부를 탐지할 수 있다.
310 단계에서, 탐지 장치는 정상 상태에서 네트워크의 트래픽(traffic) 상태를 나타내는 하나 이상의 속성 정보로부터 자기 유사성(self-similarity)을 미리 측정하여 자기 유사성에 대한 임계값을 설정한다. 이 단계에서는 관측할 데이터 대상을 선정하고, 네트워크 상태 또는 시스템 내부 중 하나 이상의 대상에 대해 어떠한 데이터를 관측하고, 관측된 데이터를 분석할 지 여부를 결정한다. 예를 들어, 네트워크의 상태를 관측 대상으로 할 경우, 패킷에 관한 정보 내지 트래픽에 대한 정보가 분석 대상이 될 것이다. 또 다른 예로서, 시스템의 상태를 관측 대상으로 할 경우, 운영체제(operating system, OS) 내에 적재되는 이벤트 로그(event log)가 분석 대상이 될 수도 있다. 이렇게 측정/분석 대상이 결정되면, 관측하고 분석할 데이터의 구체적인 속성 정보를 선택한다. 만약 네트워크의 상태를 대상으로 할 경우, 패킷 크기, 시간 당 패킷 개수 또는 패킷 발생 시간 등이 속성으로서 선택될 수 있으며, 만약 시스템의 상태를 대상으로 할 경우, 다양한 이벤트 로그 중 EventID 또는 SID(Security ID) 등이 속성으로서 선택될 수 있다.
이제, 선택된 속성 정보로부터 자기 유사성을 측정하여야 한다. 이러한 자기 유사성은 네트워크 트래픽의 통계적 현상의 지속성에 대한 특정 파라미터로 특성화, 수치화될 수 있다. 자기 유사성을 산출하기 위해서는 속성에 대해 일정한 시간 간격으로 데이터를 추출하여 표본으로 설정하고, 이러한 표본에 대한 평균과 분산을 산출한다. 이렇게 산출된 자기 유사성 값은 정상 상태의 네트워크 트래픽에 대한 값이므로, 통상적인 네트워크나 이상증후가 존재하는 네트워크에 비해 상대적으로 높은 자기 유사도를 가질 것이다. 따라서, 이로부터 이상증후의 유무를 판단하기 위한 임의의 임계값을 설정한다.
320 단계에서, 탐지 장치는 네트워크에서 하나 이상의 속성 정보로부터 실시간으로 자기 유사성을 측정한다. 즉, 320 단계는 실제 네트워크에서 이상증후를 감지하는 과정에 해당한다. 이 때, 자기 유사성을 측정하는 속성 정보는 당연히 앞서 310 단계에서 선택된 속성 정보가 될 것이다. 동일한 속성 정보에 대한 관측과 분석을 통해 현재의 네트워크에서 실시간으로 측정되는 자기 유사성과 310 단계를 통해 산출된 정상 상태의 자기 유사성 값을 비교할 수 있게 된다.
330 단계에서, 탐지 장치는 320 단계를 통해 측정된 실시간 자기 유사성 값과 310 단계를 통해 설정된 임계값를 비교하여 네트워크에 대한 이상 여부를 판단한다. 이 경우, 실시간 자기 유사성 값과 미리 설정된 임계값를 비교하고, 비교 결과, 실시간 자기 유사성 값이 설정된 임계값보다 낮은 경우, 네트워크에 이상이 있다고 결정할 수 있다. 즉, 현재의 네트워크에 불법적인 침입이 존재하는 경우 실시간 자기 유사성 값이 임계값의 범위를 벗어나게 되므로 이러한 경우를 침입으로 간주할 수 있는 것이다.
본 실시예에서 탐지 장치는 이상에서 기술될 일련의 연산을 수행하기 위한 적어도 하나의 프로세서를 구비한다. 이러한 프로세서는 네트워크 또는 시스템의 다양한 속성 정보로부터 추출된 표본 데이터로부터 평균과 분산을 연산하고, 연산 결과로부터 자기 유사성을 산출하여 임계값을 설정한다. 또한, 프로세서는 설정된 임계값과 실시간으로 산출된 현재의 자기 유사성을 비교하여 네트워크의 이상 여부를 판단하는 역할을 수행한다. 나아가 탐지 장치는 상기된 프로세서가 일련의 연산을 수행하는 과정에서 연산 그 자체 또는 임시 저장을 위한 공간으로서 사용되는 메모리(memory)를 더 포함할 수 있다. 물론, 이들 연산들을 상기된 프로세서와 메모리를 통해 수행하기 위해 부가적인 소프트웨어 코드(software code)가 활용될 수 있음은 당연하다.
도 4는 본 발명의 일 실시예에 따른 도 3의 방법에서 자기 유사성에 대한 임계값을 설정하는 과정을 보다 구체적으로 도시한 흐름도로서, 도 3의 310 단계만을 발췌하여 도시하였다. 여기서는 자기 유사성을 수치화한 파라미터의 산출 과정에 집중하여 설명하되, 중복되는 설명에 대해서는 약술하도록 한다. 자기 유사성을 수치화하여 표현하는 방법은 다양한 기술적 수단을 통해 구현될 수 있으나, 이하의 실시예들에서는 허스트 파라미터(Hurst parameter)를 예시하여 설명하도록 한다. 비록 이러한 자기 유사성의 수치화 표현의 수단으로 허스트 파라미터를 활용하고 있으나, 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자는 자기 유사성의 표현 수단이 허스트 파라미터로 한정되지 않음을 알 수 있다.
311 단계에서, 탐지 장치는 정상 상태에서 일정 시간 간격으로 네트워크의 트래픽 상태를 나타내는 하나 이상의 속성 정보를 측정한다.
다음으로 312 단계에서, 탐지 장치는 측정된 속성 정보로부터 표본 평균 및 분산을 산출한다.
이어서 313 단계에서, 탐지 장치는 312 단계를 통해 산출된 분산과 311 단계의 시간 간격을 이용하여 네트워크 트래픽의 통계적 현상의 지속성에 대한 파라미터(parameter)를 산출한다.
자기 유사성을 갖는 확률 과정의 일반적 정의는 연속 시간 변수의 직접적인 스케일링에 근간을 두고 있다. 확률 과정 x(t)가 임의의 실수 a (> 0)에 대하여 a-Hx(at)와 같은 통계적 특징을 지니면, x(t)는 허스트 파라미터 H (0.5 < H < 1)를 갖는 통계적 자기 유사성을 갖는 프로세스라 한다. 이 관계는 다음의 수학식 3 내지 수학식 5와 같은 세 가지 조건에 의해서 표현될 수 있다.
상기된 수학식 3은 평균을 나타내고, 수학식 4는 분산을 나타내며, 수학식 5는 자기 상관을 나타낸다. 여기서 허스트 파라미터 H는 자기 유사성의 주요 척도이다. 다시 말해, H는 통계적 현상의 지속성에 대한 척도이다. H 값이 0.5이면 자기 유사성이 없음을 의미하고, 1에 가까우면 지속의 정도 또는 장기간 의존성의 정도가 크며 자기 유사성 정도가 큼을 의미한다.
좀 더 현실적이고 포괄적인 자기 유사성을 정의하기 위해서는 평균 μ, 분산 σ2 , 자기 상관 함수 r(k)~k-βL(k)를 갖는 약정상 확률과정에 대한 허스트 파라미터 측정을 생각해 본다. 각각의 m = 1, 2, ...에 대해 다음의 수학식 6과 같은 확률 정상 과정 X(m) 을 정의한다.
새롭게 정의한 X(m)은 원래의 시간 수열 X를 non-overlapping 블록 크기 m 으로 평균한 것들로 이루어진 확률 과정에 해당한다.
정상 확률 과정 X가 아래의 수학식 7 및 수학식 8의 조건을 만족할 때, 허스트 파라미터 를 가진 엄격한 의미에서의 또는 점근적 의미에서의 2차 자기 유사성을 가지는 확률 과정이라고 한다. 수학식 7과 수학식 8은 각각 엄격한 의미에서의 조건과 점근적인 의미에서의 조건을 나타낸다.
이제, 이러한 이해에 기초하여 허스트 파라미터를 산출하는 과정을 설명한다. 확률 과정의 표본 평균의 분산은 다음의 수학식 9와 같다.
수학식 9의 양변에 로그값(log)을 취하면 아래의 수학식 10과 같이 정리된다.
이 때, 는 , 즉 표본 평균의 분산의 로그값을 나타낸다. 또한, 는 시간 간격의 로그값을 나타낸다. 즉, 허스트 파라미터는 산출된 분산의 로그(log) 값과 시간 간격의 로그 값의 회귀 분석에 의한 회귀선의 기울기 값에 따른다.
요약하건대, 자기 유사성의 측정이란, 일정 시간 간격으로 데이터를 통합한 표본을 추출하고, 시간 간격(time interval)의 로그값과 표본 평균의 분산의 로그값을 산출하며, 다양한 시간 간격에 따른 표본 분산의 로그값 사이의 회귀 분석을 통해 도출된 회귀선의 기울기 값을 통해 허스트 파라미터를 산출함으로써 이루어진다.
마지막으로 314 단계에서, 탐지 장치는 313 단계를 통해 산출된 파라미터의 일정 배율을 자기 유사성에 대한 임계값으로 설정한다. 이러한 배율은 측정된 정상 상태에 대한 자기 유사성의 적정 배율을 실험을 통해 결정할 수 있을 것이다.
한편, 상기된 탐지 과정에서 탐지 대상으로 관측되는 속성 정보는, 네트워크의 패킷(packet) 정보, 네트워크 내의 시스템의 보안 상태에 대한 속성 정보 또는 네트워크와 시스템의 상태를 나타내는 함수 값 중 적어도 하나로 선택될 수 있다. 이러한 속성 정보는 네트워크 내의 패킷 또는 네트워크 내의 시스템의 이벤트 로그(event log) 중 적어도 하나로부터 획득될 수 있다. 각각의 대표적인 3가지 속성들을 보다 구체적으로 설명하면 다음과 같다.
첫째, 네트워크 트래픽에 대한 상태 정보는 패킷에 관한 다양한 측정값으로부터 획득될 수 있다.
둘째, 시스템에 대한 상태 정보는 특히 시스템의 보안에 대한 상태 정보에 집중할 수 있을 것이다. 일례로 탐지 대상 시스템으로 마이크로소프트(Microsoft®)사의 윈도우즈(Windows®) 시스템을 가정하면, 이러한 시스템 상태에 관한 속성 정보는 SID(Security ID)가 활용될 수 있다. SID는 윈도우즈 NT 서버에서, 각 사용자나 작업 그룹에게 부여되는 고유한 번호이다. 사용자가 로그온(log-on)하면 만들어지는 내부 보안 카드를 액세스 토큰(access token)이라고 하는데, 여기에 로그온한 사용자와 그 사용자가 속한 모든 작업 그룹들에 관한 보안 ID들이 담겨져 있다. 액세스 토큰의 사본은 그 사용자에 의해 개시된 모든 프로세스에 할당된다.
또한, 윈도우즈 서버에서는 시스템의 상태를 나타내는 속성 정보로서 EventID가 활용될 수도 있을 것이다. 이벤트 로그에 기록된 다양한 EventID 중, 특히 보안에 관련된 이벤트가 이상증후 탐지에 관해 의미가 있을 것이다. 다음에 인용되는 표 1은 윈도우즈 서버에 대해 정의된 EventID와 그에 대한 설명 중 일부를 발췌하여 예시한 것으로서, 표 1에서 보안과 관련된 것의 EventID는 529 및 539이다.
요약하건대, 이상증후 탐지를 위한 시스템의 보안 상태에 대한 속성 정보는, 시스템에 접근하는 사용자 및 작업 그룹에 부여되는 고유 식별자(security ID, SID) 정보 또는 시스템의 보안 이벤트 정보(EventID) 중 적어도 하나를 포함하는 것이 바람직하다.
셋째, 시스템이나 네트워크 상태를 나타내는 함수도 이상증후 탐지를 위한 속성 정보로서 활용될 수 있다. 예를 들어, 앞서 설명한 SID와 EventID의 발생 횟수를 나타내는 함수 (g) 또는 시스템 및 네트워크의 상태를 나타내는 특정 벡터(vector)를 활용할 수 있을 것이다. 이러한 함수 (g)와 벡터는 다음의 수학식 12 및 수학식 13과 같이 표현될 수 있다.
수학식 12의 함수는 SID와 EventID를 그룹으로 묶어 하나의 함수 값으로 표현한 것으로서, 예를 들어 '관리자 A'의 '로그인 실패 횟수'를 하나의 그룹으로 나타내는데 활용될 수 있다.
수학식 13의 벡터는 수학식 12의 함수 값을 다양한 객체 식별자 및 이벤트 유형을 하나의 그룹으로 묶어 표현한 것으로서, 한 시점의 시스템의 모든 속성들을 일괄하여 나타낸 수 있다는 점에서 시스템 및 네트워크의 상태에 대한 스냅샷 벡터(snapshot vector)에 해당한다.
도 5는 본 발명의 일 실시예에 따른 네트워크의 이상증후를 탐지하는 방법에서 시스템의 상태를 나타내는 속성 정보 중 일례인 스냅샷 벡터(snapshot vector)를 산출하는 과정을 설명하기 위한 도면이다. 도 5를 참조하면, 시스템 내에 기록되는 이벤트 로그의 다양한 유형들이 예시되어 있으며, 본 실시예에서는 보안과 관련된 EventID와 SID를 선택하였다. 선택된 속성 정보들을 SID와 EventID의 발생 횟수를 나타내는 함수 (g)로서 표현하고, 이로부터 시스템의 전체 상태를 총괄하여 표현하는 스냅샷 벡터를 도출할 수 있음을 볼 수 있다.
요약하건대, 시스템의 상태를 나타내는 함수 값은, 시스템에 접근하는 사용자 및 작업 그룹에 부여되는 고유 식별자 정보 및 시스템의 보안 이벤트 정보의 발생 횟수를 나타내는 함수 값 또는 시스템의 보안 이벤트 정보의 발생 횟수를 나타내는 함수 값의 모든 객체를 그룹화한 스냅샷 벡터(snapshot vector) 중 적어도 하나를 포함하는 것이 바람직하다.
도 6은 본 발명의 일 실시예에 따른 네트워크의 이상증후를 탐지하는 장치(600)를 도시한 블록도로서, 저장부(10), 측정부(20) 및 판단부(30)를 포함한다. 또한, 탐지 장치(600)의 탐지 대상이 되는 네트워크(23)의 상태와 시스템 내부의 상태를 기록하는 이벤트 로그(25)가 추가적으로 도시되었다. 이 때, 본 실시예의 네트워크 역시 일정하고 반복적인 자기 유사성의 네트워크 패턴을 갖는 규격에 따른다고 전제한다. 도 6에 도시된 각각의 장치적 구성들은 앞서 도 3을 통해 설명한 탐지 방법의 각각의 단계들에 대응되는 것으로, 여기서는 그 개요만을 간략하게 소개한다.
저장부(10)는 정상 상태에서 네트워크의 트래픽 상태를 나타내는 하나 이상의 속성 정보로부터 자기 유사성을 미리 측정하여 설정된 임계값을 저장한다. 이러한 저장부(10)는, 정상 상태에서 일정 시간 간격으로 네트워크의 트래픽 상태를 나타내는 하나 이상의 속성 정보를 측정하고, 측정된 속성 정보로부터 표본 평균 및 분산을 산출하고, 산출된 분산과 시간 간격을 이용하여 네트워크 트래픽의 통계적 현상의 지속성에 대한 파라미터를 산출하며, 산출된 파라미터의 일정 배율을 자기 유사성에 대한 임계값으로 설정하여 저장한다. 따라서, 이러한 저장부(10)는 전자적 데이터의 형태로 설정된 임계값을 저장할 수 있는 다양한 기록 매체로 구현될 수 있을 것이다.
측정부(20)는 네트워크(23)에서 하나 이상의 속성 정보로부터 실시간으로 자기 유사성을 측정한다. 이러한 속성 정보는 네트워크 패킷으로부터 알려진 다양한 속성 값을 추출하거나, 소프트웨어를 통해 이미 이벤트 로그(25)에 기록된 데이터를 조회함으로써 획득될 수 있으며, 이러한 속성 추출 방법은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자가 해당 기술 분야에서 통용되는 다양한 기술적 수단을 통해 구현 가능한 것이다.
판단부(30)는 측정부(20)를 통해 측정된 실시간 자기 유사성 값과 저장부(10)에 저장된 임계값를 비교하여 네트워크(23)에 대한 이상 여부를 판단한다.
상기된 본 발명의 다양한 실시예들에 따르면, 정상 상태에서 네트워크의 자기 유사성을 미리 측정하여 설정된 임계값과 실시간으로 측정된 네트워크의 자기 유사성 값을 비교함으로써, 패턴이 알려지지 않은 새로운 형태의 공격이나 우회 공격에 대한 탐지가 가능하고, 오류 패턴에 대한 지속적인 갱신 내지 별도의 전문가 집단 없이도 네트워크 및 시스템의 외부 및 내부로부터의 공격을 탐지할 수 있으며, 오탐율을 감소시키고 침입 탐지의 정확도를 향상시킬 수 있다. 나아가, 본 발명의 실시예들을 SCADA 시스템에 적용함에 있어서 별도의 추가적인 하드웨어를 필요로 하지 않을 뿐만 아니라, 시스템 및 규약에 독립적인 특성으로 인해 이기종의 장비들에 유연한 적용이 가능하다.
특히, 상기된 본 발명의 실시예들은 SCADA 시스템이 일정하고 규칙적인 네트워크 트래픽 패턴을 가지고 있음에 착안하여 자기 유사성에 기반한 침입탐지 방법론을 제안하였다. 이러한 구성은 일정한 패턴을 갖는 SCADA 네트워크에서 침입 상황이 발생하였을 때, 뚜렷하게 자기 유사성이 무너지는 현상을 이용하여 안출된 것이다. 따라서, 상기된 실시예들이 제안하는 자기 유사성을 이용한 침입탐지 방법론은 SCADA 시스템에 적합하게 활용될 수 있다. 기존의 보안 시스템들은 SCADA 시스템의 독자적인 프로토콜 체계와 특성을 반영하지 않아 침입 탐지에 한계가 있다. 직접적인 대응 방식의 보안 기술은 작동의 중단이 허용되지 않는 SCADA 시스템 환경에는 부적합하다. 이상과 같은 이유로 본 실시예들에 따른 침입 탐지 방법은 추가적인 장비나 모델링 등의 설정을 필요로 하지 않고 네트워크 단에서 트래픽 모니터링을 통해 전체 시스템의 자기유사도 변화를 감시하므로 시스템의 작동 중단, 부하 유발 등의 위험 요소가 존재하지 않는다. 또한, 자기 유사성 측정을 통해 통계적인 정상 행위를 기반으로 이상증후를 탐지함으로써 알려지지 않은 공격이나 보안 도구를 우회하는 고도의 해킹 기술도 탐지할 수 있다.
이상에서 상기된 첫 번째 기술적 과제를 해결하기 위한 실시예들을 기술하였다. 이제, 상기된 두 번째 기술적 과제를 해결하기 위해 제안된 본 발명의 다른 실시예들을 설명하기에 앞서, 우선 본 발명의 다른 실시예들이 구현되는 기술 분야, 즉 침입 탐지 기술의 개괄에 대해 소개하고, 이러한 실시예들이 구현되는 환경의 특징으로부터 안출될 수 있는 본 발명의 기본적인 아이디어를 제시하고자 한다.
침입 탐지(intrusion detection)라 함은 정보 시스템의 보안을 위협하는 침입 행위가 발생할 경우 이를 탐지하는 기술로서, 침입 탐지 시스템(intrusion detection system, IDS)은 일반적으로 시스템에 대한 위협이 되는 내부 및 외부로부터의 조작을 탐지하여 관리자에게 알려준다. 이를 위해 침입 탐지 시스템은 전통적인 방화벽이 탐지할 수 없는 모든 종류의 악의적인 네트워크 트래픽 및 컴퓨터 사용을 탐지할 수 있어야 한다. 따라서, 침입 탐지 시스템이 탐지하는 대상은, 취약한 서비스에 대한 네트워크 공격과 애플리케이션에서의 데이터 처리 공격(data driven attack), 권한 상승(privilege escalation) 및 침입자 로그인, 침입자에 의한 주요 파일 접근, 멀웨어(malware)(컴퓨터 바이러스, 트로이 목마, 웜 등)과 같은 호스트 기반 공격을 포함한다.
이러한 침입 탐지 기술은 크게 이상증후 탐지법(anomaly based intrusion detection)과 오용 탐지법(misuse detection)의 두 가지로 분류될 수 있다. 이상증후 탐지법은 네트워크 또는 시스템의 상태가 과거의 통계적 정상 행위와 다른 비정상 행위를 보일 경우 이를 침입으로 간주하는 방법이며, 오용 탐지법은 네트워크 또는 시스템의 상태가 미리 설정된 공격 패턴과 일치할 경우 이를 침입으로 간주하는 방법이다. 특히, 이상증후 탐지법은 통계에 기반하는 접근법 또는 예측 모델링을 활용하며, 알려지지 않은 공격이나 보안 장치를 우회하는 공격 등 기존의 보안 시스템에서 정의하고 있지 않은 예상치 못한 공격을 탐지할 때 유용하다고 알려져 있다.
이와 관련하여, 이상증후 탐지를 위해 활용될 수 있는 재료 및 기술적 수단으로는 통계(statistics), 전문가 시스템(expert system), 신경망(neural networks), 컴퓨터 면역학(computer immunology), 데이터 마이닝(data mining) 및 HMM(hidden Markov models) 등이 존재한다. 이 중, 특히 통계 기반 탐지 방법론은 침입 탐지 시스템에서 가장 많이 적용되는 방법론으로서, 통계적인 특징 및 관련 공식을 사용하여 침입 가능성을 추정하게 된다. 즉, 보안과 관련된 다양한 상태 변수의 통계적 수치(평균, 분산, 표준편차 등이 될 수 있다.)를 산출하여 침입 판정을 위한 판단의 근거로서 활용한다.
다만, 이러한 이상증후 탐지법은 그 속성상 오탐율이 높게 나타날 수 있는데, 본 발명의 실시예들은 이러한 오탐율(false-positive)을 낮추기 위해 RFM(recency, frequency, monetary value) 분석 기법과 통계적 공정 관리 기법을 도입하여 새로운 탐지 방법을 제안하고자 한다. 각각의 개별 기술 요소들은 이후 도 7 내지 도 9를 통해 구체적으로 설명한다.
한편, 수집되고 분석된 데이터를 사용자 내지 관리자에게 효과적으로 보고할 수 있는 다양한 기법들이 존재한다. 이 중, 시각화 보고 기술은 보고하고자 하는 데이터를 가공하여 사용자에게 직관적인 영상으로 제공함으로써, 보다 신속하고 정확한 판단을 돕는다. 네트워크 또는 시스템 보안과 관련하여, 기존의 보안 관제 기술들은 현재의 네트워크 상황에 대한 많은 양의 정보를 제공하는데 집중할 뿐, 이러한 보고 내용에 대한 이해와 판단은 전적으로 사용자에게 의존하였다. 이로 인해, 상당한 보안 전문 지식이 없을 경우, 사용자는 현재의 네트워크 또는 시스템의 상황을 정확하게 이해하거나, 앞으로 변화하는 보안 상태를 예측하는 것이 용이하지 않았다. 결과적으로, 고도의 전문가가 아닌 이상 이러한 보안 관제 시스템을 효과적으로 활용할 수 없을 뿐만 아니라, 해당 분야의 전문가 역시 이러한 보안 관련 정보를 분석하고 예측하는데 많은 시간이 소요되었다. 따라서, 각종 침입 탐지와 관련하여 실시간으로 네트워크 또는 시스템을 감시, 분석 및 대응하기 위한 효과적인 보안 관제 서비스가 필요하며, 신속하고 정확한 판단에 도움을 줄 수 있는 시각화 도구가 요청된다.
이하에서 제시될 본 발명의 실시예들은 침입 탐지 기술과 RFM 분석, 통계적 공정 관리 기법을 효과적으로 융합하되, 그 결과를 사용자에게 쉽고 직관적으로 제시할 수 있는 시각화 보고 기술을 추가적으로 포함한다. 즉, 본 발명의 실시예들은 통계적 방법에 기반하여 이상증후를 탐지한 후, 이를 시각화하여 사용자에게 보고한다. 특히, RFM 분석 기법과 통계적 공정 관리 기법을 결합함으로써 이상증후 탐지 기법에서 발생하는 오탐율을 크게 낮출 수 있으며, 이로 인해 신뢰도 높은 분석이 가능하다. 또한, 통계적 공정 관리도에 기초한 시각화 기술을 통해 단순한 보안 상황을 인지시키는 정도에 그치는 것이 아니라, 이상증후 탐지의 상황과 그 결과를 사용자에게 제시할 수 있으며, 전문 지식이 부족한 사용자도 현재의 네트워크 내지 시스템의 상태를 쉽게 이해하도록 돕는다.
이하에서는 도면을 참조하여 본 발명의 실시예들을 구체적으로 설명한다.
도 7은 본 발명의 다른 실시예에 따른 적어도 하나의 프로세서(processor)를 구비한 탐지 장치가 네트워크의 이상증후를 탐지하는 방법을 도시한 흐름도로서, 다음과 같은 단계들을 포함한다.
710 단계에서, 탐지 장치는 정상 상태에서 네트워크 또는 시스템의 상태를 나타내는 보안 속성을 입력받고, 보안 속성의 최근 발생 시기, 보안 속성의 발생 빈도 및 보안 속성의 발생 총량별로 이상에서 입력된 보안 속성을 분류한다. 이러한 710 단계는 탐지 장치가 관측하고자 하는 대상 데이터를 수집하는 단계로서, 이러한 대상 데이터에는 네트워크의 패킷(packet) 정보 또는 시스템 로그(system log) 정보가 포함될 수 있다.
이하에서 기술되는 실시예들은 710 단계에서 입력 값으로 사용되는 보안 속성을 네트워크의 보안 상태를 나타내는 이벤트에 집중하여 예시하고 있으나, 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자는 본 발명의 다양한 실시예들에서 이러한 입력 값이 단지 네트워크의 보안 이벤트에 제약되지 않으며, 다양한 시스템 속성 중 어느 하나가 될 수 있음을 알 수 있다. 예를 들어, 이러한 보안 속성이란 시스템의 이벤트 로그를 활용하여 파악이 가능하며, 다양한 운영체제에서 각각의 시스템으로부터 적합하게 선택될 수 있다. 예를 들어 윈도우즈 운영체제의 경우, 어플리케이션 로그(application log), 시스템 로그(system log), 시큐리티 로그(security log) 등이 활용 가능한 보안 속성이며, UNIX 시스템의 경우, wtmpx, utmpx, last log, history log, syslog, messages, secure log, authlog, pacct, ftp/http log 등의 활용 가능한 보안 속성이 될 것이다. 나아가, 사용자 행태 정보와 같은 정보 역시 시스템, 사용자, 데이터베이스 또는 네트워크의 이상 증후를 탐지할 수 있는 보안 속성으로 활용 가능하다.
데이터를 분류함에 있어서, 본 실시예는 RFM 분석 기법을 활용하여, 보안 속성들로부터 특징을 추출하고, 추출된 특징으로부터 분석에 필요한 정보를 수집한다. 통상적으로 RFM 은 최근 발생 시기(recency), 발생 빈도(frequency) 및 발생 금액(monetary value)의 3가지 측정 기준들에 따라 고객의 행동과 가치를 평가하는 기법으로서, 마케팅 또는 CRM(customer relationship management) 등에서 활용되는 개념이다. 그러나, 본 실시예에서는 이러한 통상적인 활용에서 벗어나, 고객의 행위를 보안과 관련된 이벤트로 치환하여 RFM 분석 기법을 적용하였다. 따라서, RFM 분석의 각각의 분류/측정 기준은 보안 속성의 최근 발생 시기, 보안 속성의 발생 빈도 및 보안 속성의 발생 총량이 된다.
이렇게 분류된 보안 속성은 이후 720 단계에서 통계적 공정 관리도를 산출하는데 활용되는데, 이러한 보안 속성은 정규분포에 따라 발생한다. 즉, 이하에서 기술되는 본 발명의 실시예들에서 통계적 공정 관리도는 정규 분포를 따르는 데이터에 대해 적용된다고 전제한다. 다시 말해, 네트워크 트래픽이나 보안 이벤트는 정규 분포에 따른다(중심극한정리).
720 단계에서, 탐지 장치는 710 단계를 통해 분류된 보안 속성에 따라 통계적 공정 관리도(statistical process control)를 산출하고, 산출된 통계적 공정 관리도에 대한 임계 범위를 설정한다. 앞서 설명한 바와 같이 통계적 공정 관리는, 품질 관리(quality control, QC) 분야에서 품질 변동에 대한 다양한 원인으로 인해 발생할 수 있는 공정의 패턴을 발견하고, 이를 관리하기 위한 수단으로서 제시된 통계 기법이다. 그러나, 본 실시예에서는 네트워크 트래픽을 하나의 관리 공정으로 치환시켜, 품질 변동에 대한 원인(다양한 보안 이벤트의 보안 속성을 의미한다.)에 따라 발생할 수 있는 이상증후를 탐지하는 관리도구로서 활용하고자 한다.
이를 위해, 탐지 장치는 RFM 분석 기법에 따라 수집/분류된 보안 속성들로부터 통계적 공정 관리도를 산출하고, 산출된 공정 관리도 내에서 정상 행위라고 간주될 수 있는 수준의 범위를 임계 범위로서 설정한다. 이러한 임계 범위는 정상 상태에서 측정된 네트워크 트래픽의 다양한 보안 속성에 기초하여 실험적으로 설정될 수 있으며, 보안 유지의 수준 및 사용자의 요구에 따라 적절히 변형하여 적용될 수 있을 것이다.
따라서, 일단 통계적 공정 관리도가 산출되고, 이에 대한 임계 범위가 설정되면, 새롭게 측정된 네트워크 또는 시스템의 보안 속성이 산출된 공정 관리도의 어느 위치에 해당하는지를 파악함으로써 그 적절한 관리 수준(이상증후가 존재하는지 여부를 의미한다.)을 파악할 수 있다. 상기된 710 단계 및 720 단계를 통해 본 발명의 실시예는 정상 상태에서 네트워크의 트래픽이나 보안 이벤트를 수집하여 분류한 후, 이로부터 통계적 공정 관리도와 임계 범위를 산출한다. 앞서 전제한 바와 같이 네트워크 트래픽이나 보안 이벤트는 정규 분포에 따르므로, 통계적 공정 관리도는 정규 분포를 따르는 데이터에 대해 적용된다. 따라서, 네트워크 내에 별다른 침입이 없을 경우, 여전히 새롭게 측정된 보안 속성 역시 정규 분포에 따른 범위 내에 존재할 것이다. 즉, 설정된 임계 범위를 넘지 않을 것이다.
730 단계에서, 탐지 장치는 이상과 같은 원리에 기초하여 710 단계를 통해 분류된 보안 속성에 따라 네트워크 또는 시스템의 보안 속성으로부터 실시간으로 통계적 공정 관리도 내의 위치를 산출한다.
740 단계에서, 탐지 장치는 730 단계를 통해 실시간으로 산출된 보안 속성의 위치가 720 단계를 통해 설정된 임계 범위 내에 존재하는지 여부를 검사하여 네트워크 또는 시스템에 대한 이상 여부를 판단한다.
즉, 730 단계 및 740 단계에서는, 앞서 산출된 통계적 공정 관리도를 통해 과거 학습된 정상 행위와 현재의 측정된 보안 속성을 비교/분석함으로써 이상증후 판단의 근거로 삼는다. 이제, 이상증후가 판단되었다면, 이를 사용자에게 보고하게 된다.
본 실시예에서 탐지 장치는 이상에서 기술될 일련의 연산을 수행하기 위한 적어도 하나의 프로세서를 구비한다. 이러한 프로세서는 네트워크 또는 시스템의 다양한 보안 속성을 특정 기준에 따라 분류하고, 통계적 공정 관리도와 임계 범위를 산출 및 설정한다. 또한, 프로세서는 실시간으로 네트워크의 보안 속성으로부터 통계적 공정 관리도 내의 위치를 산출하여 임계 범위와 비교/검사함으로써 네트워크의 이상 여부를 판단하는 역할을 수행한다. 나아가 탐지 장치는 상기된 프로세서가 일련의 연산을 수행하는 과정에서 연산 그 자체 또는 임시 저장을 위한 공간으로서 사용되는 메모리(memory)를 더 포함할 수 있다. 물론, 이들 연산들을 상기된 프로세서와 메모리를 통해 수행하기 위해 부가적인 소프트웨어 코드(software code)가 활용될 수 있음은 당연하다.
도 8은 본 발명의 다른 실시예에 따른 도 7의 이상증후 탐지 방법에서 네트워크의 상태를 나타내는 보안 속성을 분류하고 정렬하는 방법을 예시한 도면이다. 앞서 간단히 소개한 바와 같이 RFM 분석 기법이란 R(Recency), F(Frequency), M(Monetary)의 3가지 판단 요소(factor)를 이용하여 사용자의 패턴을 진단해 내는 방법을 말한다. 이러한 RFM 분석 기법을 본 발명에 적용하는 구현의 측면에서, R(Recency)은 보안과 관련된 이벤트가 가장 최근에 언제 발생했는지를 의미하고, F(Frequency)는 보안과 관련된 이벤트가 어떤 주기/빈도로 발생했는지를 의미하며, M(Monetary)은 보안과 관련된 이벤트의 발생 총량으로서, 로그인(login)시 로그인 시간 간격(duration) 값 또는 로그인 시도에 따른 CPU 평균 사용량과 같은 정량적인 값을 의미한다.
이러한 보안 속성은, 네트워크의 패킷(packet) 정보 내지 네트워크 내의 시스템의 보안 상태에 대한 속성 정보 중 적어도 하나로 선택될 수 있다. 따라서, 보안 속성은 네트워크 내의 패킷 또는 네트워크 내의 시스템의 이벤트 로그(event log) 중 적어도 하나로부터 획득될 수 있다. 이제 이렇게 수집된 보안 속성을 각각의 기준에 따라 분류하고, 필요에 따라서는 정렬한다. 이 때, R(Recency), F(Frequency), M(Monetary)의 3가지 기준은 각각 독립적인 변수로서 사용될 수도 있으며, 각각의 필요한 순서에 따라 종속적인 관계로 연결하여 사용할 수도 있다. 도 8에서는 이러한 3가지 기준을 일련의 순서에 따라 연결하여 활용하는 방법의 일례를 소개하고 있으나, 본 발명의 다른 실시예들에서는 도 8과 같은 일례에 제한되지 않으며, 상황에 따라 각각의 분류 기준을 독립적으로 활용하는 방법과 이들 기준을 정렬하여 사용하는 방법 등을 유연하게 변형하여 채택하는 것이 가능하다.
첫째, 보안 속성의 최근 발생 시기와 관련하여, 본 실시예에 따른 탐지 장치는 대상 데이터를 최근 날짜 및 시간을 기준으로 내림차순 정렬한 다음, 정렬된 데이터를 복수 개의 동일한 크기의 그룹으로 분류할 수 있다. 예를 들어, 5개의 그룹으로 분류할 경우, 개별 그룹당 20%의 데이터가 포함될 것이다. 이렇게 분류된 데이터에 대해 각 개별 그룹의 결과 값을 산출한다. 이 때의 결과 값이란 개별 데이터로부터 파악하고자 하는 보안에 관련된 의미있는 데이터를 의미한다. 예를 들어, 로그인 실패 횟수 또는 네트워크 접근에 따른 질의 부하(query load)의 정도 등이 이러한 결과 값이 될 수 있다. 물론 이러한 결과 값은 파악하고자 하는 보안 관련 이슈에 따라 적절히 선택되고 달라질 수 있다.
둘째, 보안 속성의 발생 빈도와 관련하여, 본 실시예에 따른 탐지 장치는 대상 데이터를 기간별 평균 발생 빈도를 기준으로 내림차순 정렬할 수 있다. 이후의 절차는 상기된 보안 속성의 최근 발생 시기에 대한 일련의 처리 절차와 같다.
셋째, 보안 속성의 발생 총량과 관련하여, 본 실시예에 따른 탐지 장치는 대상 데이터를 기간별 발생 총량의 평균을 기준으로 내림차순 정렬할 수 있다. 이후의 절차는 상기된 보안 속성의 최근 발생 시기에 대한 일련의 처리 절차와 같다.
이상과 같은 과정을 통해 보안 속성에 대해 분류된 R, F, M 값을 도출할 수 있으며, 이들 분류된 그룹에 대해서는 필요에 따라 특정 그룹 코드를 부여하여 전자적 처리를 용이하게 할 수 있다. 도 8에는 이러한 기준에 따라 각각 5개의 그룹으로 분류한 결과를 예시하고 있으며, 분류된 R, F M의 그룹들을 재차 순차적으로 연결하여 정렬한 결과를 도시하였다. 따라서, 총 분류된 그룹은 125(=5*5*5)개이며, 각각의 그룹들에는 편의상 그룹 코드를 부여하였다. 본 실시예에서는 이들 그룹들 각각을 분석의 대상으로 활용할 수도 있으나, 필요에 따라서는 이들 그룹을 연결하여 정렬함으로써 분석하고자 하는 목적에 따라 활용할 수 있다. 정렬의 기준이 되는 R, F, M의 순서 역시 필요에 따라 달라질 수 있을 뿐만 아니라, 각 그룹에 가중치를 달리하여 부여할 수 있음은 물론이다. 즉, 이러한 RFM 분석 기법을 통해 본 실시예에 따른 보안 속성을 각각의 세부 그룹 특성에 따라 분류하고, 개별 그룹의 결과 값을 통해 해당 그룹의 속성을 확인할 수 있다.
도 9는 본 발명의 다른 실시예에 따른 도 7의 이상증후 탐지 방법과 관련하여 통계적 공정 관리도를 설명하기 위한 도면이다. 도 9에 도시된 바와 같이 통계적 공정 관리도는 시간을 의미하는 가로축과 중심선(center line, CL)을 중심으로 상/하로 연장되는 세로축을 포함한다. 이 때, 중심으로부터 세로축의 양(+)의 방향으로 일정 위치만큼 떨어진 곳에 해당 공정에서 허용되는 관리 상한선(upper control limit, UCL)이 설정되고, 중심으로부터 세로축의 음(-)의 방향으로 역시 마찬가지로 관리 하한선(lower control limit, LCL)이 설정된다. 이러한 관리 상한선과 관리 하한선은 공정을 통해 생산되는 산출물 변인(속성)의 변동 하에서 품질의 변동이 허용되는 한도를 의미하는 것으로, 양자에 의해 임계 영역이 결정되게 된다. 즉, 도 9에 도시된 바와 같이 시간의 흐름에 따라 각각 발생하는 지점(point)들은 해당 공정이 허용 범위 내에 있으며, 현재의 공정의 품질이 적절하게 관리되고 있음을 나타낸다. 만약 이러한 통계적 공정 관리도에서 이상 요인이 발생할 경우, 품질을 나타내는 지점은 관리 범위(임계 범위) 외에서 나타나게 되며, 이러한 이상 요인들에 의해 산포가 악화되게 된다.
이상과 같은 원리를 차용하여 본 발명의 다른 실시예들에서 네트워크 트래픽을 하나의 관리 공정으로 간주하면, 네트워크 또는 시스템의 보안 속성을 관찰하고, 이로부터 통계적 공정 관리도를 산출하며, 적절한 임계 범위를 설정한다. 앞서 전제한 바와 같이 통계적 공정 관리도는 정규 분포를 따르는 데이터에 대해 적용되며, 본 발명의 실시예들이 대상으로 하는 네트워크 트래픽이나 보안 이벤트는 정규 분포를 따른다고 가정하였으므로, 만약 측정된 보안 속성이 설정된 관리 상한 또는 관리 하한의 영역을 벗어난 경우가 감지된다면 현재의 네트워크 또는 시스템 내에 이상원인(Anomaly)이 존재한다고 판단할 수 있다.
통계적 공정 관리도의 활용 및 구현의 측면에서, 본 발명의 실시예들은 X-bar chart, R-chart 또는 P-chart 등의 다양한 유형의 관리도를 활용할 수 있다. 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자는 본 탐지 장치를 통해 분석하고자 하는 데이터의 특성에 따라 적절한 관리도를 선택하여 효과적으로 이상증후를 탐지할 수 있다. 이하에서는 각각의 유형을 간략하게 소개하도록 한다.
첫째, (X-bar chart)를 활용할 수 있다. 는 길이, 무게, 시간, 강도 성분, 수확률 등과 같이 데이터가 연속적인 계량치로 나타나는 공정을 관리할 때 사용하며 정규분포를 따르는 자료의 평균치 관리도이다. 특히, 를 이용하게 되면 품질 특성치 가 정규분포가 아닌 다른 분포를 하는 경우에도 중심극한정리에 따라 는 정규분포에 가까운 분포를 하게 되므로 정규분포의 성질을 그대로 이용할 수 있는 장점이 있다. 이러한, 의 관리 상한선과 관리 하한선은 다음의 수학식 14와 같이 정의된다.
요약하건대, 본 실시예에서 통계적 공정 관리도는, 보안 속성에 대한 표본의 평균을 중앙선으로 설정하고, 표본의 표준편차의 일정 배율(예를 들어, 중앙선의 상/하로 표본의 표준편차의 3배가 될 것이다.)만큼을 임계 범위로 설정함으로써 네트워크 또는 시스템의 보안 상태의 이상증후를 관리할 수 있다.
둘째, R-chart를 활용할 수 있다. R-chart는 패턴 데이터 영역의 변동을 관리하기 위해 사용될 수 있다. 여기서, 특정 패턴의 관찰된 범위는 표본 내의 가장 큰 관찰값에서 가장 작은 관찰값 사이의 차이이다. 이러한 R-chart의 관리 상한선과 관리 하한선은 다음의 수학식 15와 같이 정의된다.
요약하건대, 본 실시예에서 통계적 공정 관리도는, 보안 속성의 변동 범위가 임계 범위 내에 있도록 보안 속성에 대한 표본의 평균의 일정 배율(예를 들어, 표준편차의 3배가 될 것이다.)만큼을 임계 범위로 설정함으로써 네트워크 또는 시스템의 보안 상태의 이상증후를 관리할 수 있다.
셋째, P-chart를 활용할 수 있다. P-chart는 공정을 부적합품률에 의해 관리할 경우 사용하며, 이항분포를 따르는 불량률 관리도이다. 계수치로 나타내는 품질특성, 즉 불량률을 이용하게 되면 관리항목이 되는 품질 특성이 여러 개가 있는 제품이라도 불량품/양호품으로 구분하여 P-chart만으로 이들을 동시에 관리할 수 있다. 즉, 본 실시예에서 P-chart는 보안과 관련된 사용자/네트워크의 패턴이 정상인지 아닌지를 측정한다. 이 경우, 보안과 관련된 행동(예를 들어, 로그인 시도가 될 수 있다.)의 실패 또는 성공의 수를 검사하여 표본의 실패 비율을 계산한 것을 확률 변수로 갖는다. 이러한 P-chart의 관리 상한선과 관리 하한선은 다음의 수학식 16과 같이 정의된다.
요약하건대, 본 실시예에서 통계적 공정 관리도는, 보안 속성에 대한 표본의 실패율의 평균을 중앙선으로 설정하고, 실패율의 분포의 표준편차만큼을 임계 범위로 설정함으로써 네트워크 또는 시스템의 보안 상태의 이상증후를 관리할 수 있다.
도 10은 본 발명의 다른 실시예에 따른 도 7의 이상증후 탐지 방법에서 이상증후가 감지된 네트워크의 보안 속성을 임계 범위와 비교하여 시각화된 통계적 공정 관리도 상에 표시하는 방법을 예시한 도면이다.
본 실시예에서 달성하고자 하는 보안 시각화 기술은 네트워크나 시스템 상에서 발생되는 방대한 양의 이벤트를 실시간으로 시각화함으로써 공격의 탐지, 알려지지 않은 공격 유형 분류, 이상 상태의 발견 등 보안 상황을 관리자가 직관적으로 인지할 수 있도록 하는 것이다. 이를 위해 본 탐지 방법에 채택하고 있는 시각화 기술은 데이터 선정 및 수집, 특성 인자 추출, 연관성 분석, 데이터마이닝, 패턴분석, 이벤트 시각화 등과 같이 현재의 네트워크에서 발생하고 있는 상황(침입 또는 공격이 될 수 있다.)을 알려주는 것뿐만 아니라, 보안 이벤트를 시각화하여 현재의 감지 정보로부터 보안 상황을 알려줄 수 있는 기술적 수단을 제공한다. 따라서, 본 실시예에서 탐지 장치는 앞서 산출된 통계적 공정 관리도를 시각화하고, 이상증후가 감지된 네트워크의 보안 속성을 미리 설정된 임계 범위와 비교하여 시각화된 통계적 공정 관리도 상에 표시한다.
도 10을 참조하면, 중앙선(CL)을 기준으로 관리 상한선(UCL)과 관리 하한선(LCL)이 설정되어 있으며, 3개의 기준(1, 2, 3)에 따라 산출된 통계적 공정 관리도가 도시되어 있음을 확인할 수 있다. 이들 통계적 공정 관리도는 각각 정규분포에 따르며, 현재 감지된 보안 속성의 결과 값이 통계적 공정 관리도 상에 표시되었다. 이 때, 도 10에는 임계 범위(도 10에서 보다 정확하게는 관리 상한선을 의미한다.)를 벗어나 이상증후(anomaly)가 감지되었음이 표시되었다. 즉, 본 실시예에서, 탐지 장치는 현재 감지된 네트워크의 보안 속성을 미리 설정된 임계 범위와 비교하여 이상 여부를 판단하고, 그 결과를 시각화된 통계적 공정 관리도 상에 표시한다.
상기된 본 발명의 다른 실시예들에 따르면, 정상 상태에서 상기 네트워크의 상태를 나타내는 보안 속성을 입력받고, 특정 기준에 따라 분류된 보안 속성에 따라 통계적 공정 관리도를 산출하여 실시간 통계적 공정 관리도와 비교함으로써, 이상증후 탐지법의 정확도를 향상시키고, 통계적 공정 관리도를 이상증후 탐지의 관리 수단으로써 활용하여 이를 시각화하여 관리자에게 제공함으로써, 사용자로 하여금 현재의 네트워크 또는 시스템의 보안 상황에 대한 정보를 직관적으로 제공할 수 있다. 나아가, 본 발명의 실시예들은 시각적인 데이터 분석을 통해 새로운 관점에서 침입을 탐지하고 연구할 수 있도록 아이디어를 제공하는 역할도 한다.
한편, 본 발명의 실시예들은 컴퓨터로 읽을 수 있는 기록 매체에 컴퓨터가 읽을 수 있는 코드로 구현하는 것이 가능하다. 컴퓨터가 읽을 수 있는 기록 매체는 컴퓨터 시스템에 의하여 읽혀질 수 있는 데이터가 저장되는 모든 종류의 기록 장치를 포함한다.
컴퓨터가 읽을 수 있는 기록 매체의 예로는 ROM, RAM, CD-ROM, 자기 테이프, 플로피디스크, 광 데이터 저장장치 등이 있으며, 또한 캐리어 웨이브(예를 들어 인터넷을 통한 전송)의 형태로 구현하는 것을 포함한다. 또한, 컴퓨터가 읽을 수 있는 기록 매체는 네트워크로 연결된 컴퓨터 시스템에 분산되어, 분산 방식으로 컴퓨터가 읽을 수 있는 코드가 저장되고 실행될 수 있다. 그리고 본 발명을 구현하기 위한 기능적인(functional) 프로그램, 코드 및 코드 세그먼트들은 본 발명이 속하는 기술 분야의 프로그래머들에 의하여 용이하게 추론될 수 있다.
이상에서 본 발명에 대하여 그 다양한 실시예들을 중심으로 살펴보았다. 본 발명에 속하는 기술 분야에서 통상의 지식을 가진 자는 본 발명이 본 발명의 본질적인 특성에서 벗어나지 않는 범위에서 변형된 형태로 구현될 수 있음을 이해할 수 있을 것이다. 그러므로 개시된 실시예들은 한정적인 관점이 아니라 설명적인 관점에서 고려되어야 한다. 본 발명의 범위는 전술한 설명이 아니라 특허청구범위에 나타나 있으며, 그와 동등한 범위 내에 있는 모든 차이점은 본 발명에 포함된 것으로 해석되어야 할 것이다.
본 발명의 실시예들은, 정상 상태에서 네트워크의 자기 유사성을 미리 측정하여 설정된 임계값과 실시간으로 측정된 네트워크의 자기 유사성 값을 비교함으로써, 패턴이 알려지지 않은 새로운 형태의 공격이나 우회 공격에 대한 탐지가 가능하고, 오류 패턴에 대한 지속적인 갱신 내지 별도의 전문가 집단 없이도 네트워크 및 시스템의 외부 및 내부로부터의 공격을 탐지할 수 있으며, 오탐율을 감소시키고 침입 탐지의 정확도를 향상시킬 수 있다.
또한, 본 발명의 실시예들은, 정상 상태에서 네트워크의 상태를 나타내는 보안 속성을 입력받고, 특정 기준에 따라 분류된 보안 속성에 따라 통계적 공정 관리도를 산출하여 실시간 통계적 공정 관리도와 비교함으로써, 이상증후 탐지법의 정확도를 향상시키고, 통계적 공정 관리도를 이상증후 탐지의 관리 수단으로써 활용하여 이를 시각화하여 관리자에게 제공함으로써, 사용자로 하여금 현재의 네트워크 또는 시스템의 보안 상황에 대한 정보를 직관적으로 제공할 수 있다.
Claims (13)
- 소정 규격에 따른 네트워크에서 적어도 하나의 프로세서(processor)를 구비한 탐지 장치가 상기 네트워크의 이상증후를 탐지하는 방법에 있어서,정상 상태에서 상기 네트워크의 트래픽(traffic) 상태를 나타내는 하나 이상의 속성 정보로부터 자기 유사성(self-similarity)을 미리 측정하여 상기 자기 유사성에 대한 임계값을 설정하는 단계;상기 네트워크에서 상기 하나 이상의 속성 정보로부터 실시간으로 자기 유사성을 측정하는 단계; 및상기 측정된 실시간 자기 유사성 값과 상기 설정된 임계값를 비교하여 상기 네트워크에 대한 이상 여부를 판단하는 단계를 포함하는 방법.
- 제 1 항에 있어서,상기 자기 유사성에 대한 임계값을 설정하는 단계는,상기 정상 상태에서 일정 시간 간격으로 상기 네트워크의 트래픽 상태를 나타내는 하나 이상의 속성 정보를 측정하는 단계;상기 측정된 속성 정보로부터 표본 평균 및 분산을 산출하는 단계;상기 산출된 분산과 상기 시간 간격을 이용하여 상기 네트워크 트래픽의 통계적 현상의 지속성에 대한 파라미터(parameter)를 산출하는 단계; 및상기 산출된 파라미터의 소정 배율을 상기 자기 유사성에 대한 임계값으로 설정하는 단계를 포함하는 방법.
- 제 2 항에 있어서,상기 파라미터는 허스트(Hurst) 파라미터이고,상기 허스트 파라미터는 상기 산출된 분산의 로그(log) 값과 상기 시간 간격의 로그 값의 회귀 분석에 의한 회귀선의 기울기 값에 따르는 것을 특징으로 하는 방법.
- 제 1 항에 있어서,상기 속성 정보는,상기 네트워크의 패킷(packet) 정보, 상기 네트워크 내의 시스템의 보안 상태에 대한 속성 정보 또는 상기 네트워크와 상기 시스템의 상태를 나타내는 함수 값 중 적어도 하나인 것을 특징으로 하는 방법.
- 제 4 항에 있어서,상기 시스템의 보안 상태에 대한 속성 정보는,상기 시스템에 접근하는 사용자 및 작업 그룹에 부여되는 고유 식별자(security ID, SID) 정보; 또는상기 시스템의 보안 이벤트 정보(EventID); 중 적어도 하나를 포함하는 것을 특징으로 하는 방법.
- 제 4 항에 있어서,상기 시스템의 상태를 나타내는 함수 값은,상기 시스템에 접근하는 사용자 및 작업 그룹에 부여되는 고유 식별자 정보 및 상기 시스템의 보안 이벤트 정보의 발생 횟수를 나타내는 함수 값; 또는상기 발생 횟수를 나타내는 함수 값의 모든 객체를 그룹화한 스냅샷 벡터(snapshot vector); 중 적어도 하나를 포함하는 것을 특징으로 하는 방법.
- 제 1 항에 있어서,상기 속성 정보는,상기 네트워크 내의 패킷 또는 상기 네트워크 내의 시스템의 이벤트 로그(event log) 중 적어도 하나로부터 획득하는 것을 특징으로 하는 방법.
- 제 1 항에 있어서,상기 네트워크에 대한 이상 여부를 판단하는 단계는,상기 측정된 실시간 자기 유사성 값과 상기 설정된 임계값를 비교하는 단계; 및상기 비교 결과, 상기 측정된 실시간 자기 유사성 값이 상기 설정된 임계값보다 낮은 경우, 상기 네트워크에 이상이 있다고 결정하는 단계를 포함하는 단계;
- 제 1 항에 있어서,상기 정상 상태의 네트워크 트래픽은, 시간에 대한 스케일(scale)을 달리하는 복수 개의 네트워크 트래픽의 변화가 서로 유사한 자기 유사성을 갖는 것을 특징으로 하는 방법.
- 제 1 항에서 있어서,상기 소정 규격은 일정하고 반복적인 자기 유사성의 네트워크 패턴을 갖는 SCADA(Supervisory Control and Data Acquisition) 시스템인 것을 특징으로 하는 방법.
- 제 1 항 내지 제 10 항 중에 어느 한 항의 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
- 일정하고 반복적인 자기 유사성의 네트워크 패턴을 갖는 소정 규격에서 상기 네트워크의 이상증후를 탐지하는 장치에 있어서,정상 상태에서 상기 네트워크의 트래픽 상태를 나타내는 하나 이상의 속성 정보로부터 자기 유사성을 미리 측정하여 설정된 임계값을 저장하는 저장부;상기 네트워크에서 상기 하나 이상의 속성 정보로부터 실시간으로 자기 유사성을 측정하는 측정부; 및상기 측정된 실시간 자기 유사성 값과 상기 설정된 임계값를 비교하여 상기 네트워크에 대한 이상 여부를 판단하는 판단부를 포함하는 장치.
- 제 12 항에 있어서,상기 저장부는,상기 정상 상태에서 일정 시간 간격으로 상기 네트워크의 트래픽 상태를 나타내는 하나 이상의 속성 정보를 측정하고,상기 측정된 속성 정보로부터 표본 평균 및 분산을 산출하고,상기 산출된 분산과 상기 시간 간격을 이용하여 상기 네트워크 트래픽의 통계적 현상의 지속성에 대한 파라미터를 산출하며,상기 산출된 파라미터의 소정 배율을 상기 자기 유사성에 대한 임계값으로 설정하여 저장하는 것을 특징으로 하는 장치.
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US14/239,733 US20150304346A1 (en) | 2011-08-19 | 2012-08-17 | Apparatus and method for detecting anomaly of network |
Applications Claiming Priority (4)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
KR1020110082787A KR101281460B1 (ko) | 2011-08-19 | 2011-08-19 | 통계적 공정 관리도를 이용하여 이상증후를 탐지하는 방법 |
KR10-2011-0082786 | 2011-08-19 | ||
KR10-2011-0082787 | 2011-08-19 | ||
KR1020110082786A KR101281456B1 (ko) | 2011-08-19 | 2011-08-19 | 자기 유사성을 이용한 scada 네트워크의 이상증후를 탐지하는 장치 및 방법 |
Publications (1)
Publication Number | Publication Date |
---|---|
WO2013027970A1 true WO2013027970A1 (ko) | 2013-02-28 |
Family
ID=47746647
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
PCT/KR2012/006549 WO2013027970A1 (ko) | 2011-08-19 | 2012-08-17 | 네트워크의 이상증후를 탐지하는 장치 및 방법 |
Country Status (2)
Country | Link |
---|---|
US (1) | US20150304346A1 (ko) |
WO (1) | WO2013027970A1 (ko) |
Cited By (8)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN104238543A (zh) * | 2013-06-18 | 2014-12-24 | 三星Sds株式会社 | 时间序列形式的传感数据的不良图案检验方法及其装置 |
US20170093907A1 (en) * | 2015-09-28 | 2017-03-30 | Verizon Patent And Licensing Inc. | Network state information correlation to detect anomalous conditions |
KR20180096335A (ko) * | 2017-02-21 | 2018-08-29 | 아주대학교산학협력단 | 네트워크의 비정상행위 시각화 방법 및 장치 |
CN110166464A (zh) * | 2019-05-27 | 2019-08-23 | 北京信息科技大学 | 一种内容中心网络兴趣泛洪攻击的检测方法及*** |
CN110401955A (zh) * | 2019-09-06 | 2019-11-01 | 江门职业技术学院 | 一种移动网络恶意节点检测方法及*** |
CN114650167A (zh) * | 2022-02-08 | 2022-06-21 | 联想(北京)有限公司 | 一种异常检测方法、装置、设备及计算机可读存储介质 |
US11936668B2 (en) | 2021-08-17 | 2024-03-19 | International Business Machines Corporation | Identifying credential attacks on encrypted network traffic |
DE102022125399A1 (de) | 2022-09-30 | 2024-04-04 | Bundesdruckerei Gmbh | Detektieren eines Angriffs auf ein zu schützendes Computersystem |
Families Citing this family (50)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US10356106B2 (en) | 2011-07-26 | 2019-07-16 | Palo Alto Networks (Israel Analytics) Ltd. | Detecting anomaly action within a computer network |
EP2946332B1 (en) * | 2013-01-16 | 2018-06-13 | Palo Alto Networks (Israel Analytics) Ltd | Automated forensics of computer systems using behavioral intelligence |
US9817884B2 (en) * | 2013-07-24 | 2017-11-14 | Dynatrace Llc | Method and system for real-time, false positive resistant, load independent and self-learning anomaly detection of measured transaction execution parameters like response times |
WO2015128613A1 (en) | 2014-02-28 | 2015-09-03 | British Telecommunications Public Limited Company | Malicious encrypted network traffic identification |
WO2015128612A1 (en) | 2014-02-28 | 2015-09-03 | British Telecommunications Public Limited Company | Malicious encrypted traffic inhibitor |
EP3111612B1 (en) | 2014-02-28 | 2018-03-21 | British Telecommunications public limited company | Profiling for malicious encrypted network traffic identification |
US9467467B2 (en) * | 2014-12-08 | 2016-10-11 | Ca, Inc. | Detection of privilege escalation vulnerabilities using bag of words |
KR20160095856A (ko) * | 2015-02-04 | 2016-08-12 | 한국전자통신연구원 | 새로운 공격 유형의 자동 탐지 및 공격 유형 모델 갱신을 통한 지능형 침입 탐지 시스템 및 방법 |
US10594707B2 (en) | 2015-03-17 | 2020-03-17 | British Telecommunications Public Limited Company | Learned profiles for malicious encrypted network traffic identification |
US10778700B2 (en) | 2015-03-17 | 2020-09-15 | British Telecommunications Public Limited Company | Malicious encrypted network traffic identification using fourier transform |
US10389641B2 (en) | 2015-03-31 | 2019-08-20 | British Telecommunications Public Limited Company | Network operation |
US11336534B2 (en) * | 2015-03-31 | 2022-05-17 | British Telecommunications Public Limited Company | Network operation |
US10075461B2 (en) | 2015-05-31 | 2018-09-11 | Palo Alto Networks (Israel Analytics) Ltd. | Detection of anomalous administrative actions |
US10536357B2 (en) | 2015-06-05 | 2020-01-14 | Cisco Technology, Inc. | Late data detection in data center |
US10142353B2 (en) | 2015-06-05 | 2018-11-27 | Cisco Technology, Inc. | System for monitoring and managing datacenters |
US10713140B2 (en) | 2015-06-10 | 2020-07-14 | Fair Isaac Corporation | Identifying latent states of machines based on machine logs |
GB2541034A (en) | 2015-07-31 | 2017-02-08 | British Telecomm | Network operation |
US10360093B2 (en) * | 2015-11-18 | 2019-07-23 | Fair Isaac Corporation | Detecting anomalous states of machines |
US10375095B1 (en) * | 2015-11-20 | 2019-08-06 | Triad National Security, Llc | Modeling behavior in a network using event logs |
GB2545744A (en) * | 2015-12-24 | 2017-06-28 | British Telecomm | Malicious network traffic identification |
US10931689B2 (en) * | 2015-12-24 | 2021-02-23 | British Telecommunications Public Limited Company | Malicious network traffic identification |
EP3394784B1 (en) * | 2015-12-24 | 2020-10-07 | British Telecommunications public limited company | Malicious software identification |
EP3394783B1 (en) * | 2015-12-24 | 2020-09-30 | British Telecommunications public limited company | Malicious software identification |
CN105656693B (zh) * | 2016-03-15 | 2019-06-07 | 南京联成科技发展股份有限公司 | 一种基于回归的信息安全异常检测的方法及*** |
US11159549B2 (en) | 2016-03-30 | 2021-10-26 | British Telecommunications Public Limited Company | Network traffic threat identification |
EP3437290B1 (en) | 2016-03-30 | 2020-08-26 | British Telecommunications public limited company | Detecting computer security threats |
US10491454B2 (en) * | 2016-06-03 | 2019-11-26 | Vmware, Inc. | Methods and systems to diagnose anomalies in cloud infrastructures |
US10686829B2 (en) | 2016-09-05 | 2020-06-16 | Palo Alto Networks (Israel Analytics) Ltd. | Identifying changes in use of user credentials |
US10771483B2 (en) | 2016-12-30 | 2020-09-08 | British Telecommunications Public Limited Company | Identifying an attacked computing device |
WO2018178028A1 (en) | 2017-03-28 | 2018-10-04 | British Telecommunications Public Limited Company | Initialisation vector identification for encrypted malware traffic detection |
US11228616B2 (en) * | 2017-12-06 | 2022-01-18 | Qatar Foundation | Methods and systems for monitoring network security |
US10999304B2 (en) | 2018-04-11 | 2021-05-04 | Palo Alto Networks (Israel Analytics) Ltd. | Bind shell attack detection |
CN108400995B (zh) * | 2018-06-07 | 2020-12-22 | 北京广成同泰科技有限公司 | 一种基于流量模式比对的网络攻击识别方法及识别*** |
EP3623980B1 (en) | 2018-09-12 | 2021-04-28 | British Telecommunications public limited company | Ransomware encryption algorithm determination |
EP3623982B1 (en) | 2018-09-12 | 2021-05-19 | British Telecommunications public limited company | Ransomware remediation |
EP3850514B1 (en) | 2018-09-12 | 2023-09-20 | British Telecommunications public limited company | Encryption key seed determination |
US11316872B2 (en) | 2019-01-30 | 2022-04-26 | Palo Alto Networks (Israel Analytics) Ltd. | Malicious port scan detection using port profiles |
US11184378B2 (en) | 2019-01-30 | 2021-11-23 | Palo Alto Networks (Israel Analytics) Ltd. | Scanner probe detection |
US11184377B2 (en) | 2019-01-30 | 2021-11-23 | Palo Alto Networks (Israel Analytics) Ltd. | Malicious port scan detection using source profiles |
US11070569B2 (en) | 2019-01-30 | 2021-07-20 | Palo Alto Networks (Israel Analytics) Ltd. | Detecting outlier pairs of scanned ports |
US11184376B2 (en) | 2019-01-30 | 2021-11-23 | Palo Alto Networks (Israel Analytics) Ltd. | Port scan detection using destination profiles |
US11288378B2 (en) * | 2019-02-20 | 2022-03-29 | Saudi Arabian Oil Company | Embedded data protection and forensics for physically unsecure remote terminal unit (RTU) |
CN110113336B (zh) * | 2019-05-06 | 2020-11-13 | 四川英得赛克科技有限公司 | 一种用于变电站网络环境的网络流量异常分析与识别方法 |
US11012492B1 (en) | 2019-12-26 | 2021-05-18 | Palo Alto Networks (Israel Analytics) Ltd. | Human activity detection in computing device transmissions |
US11509680B2 (en) | 2020-09-30 | 2022-11-22 | Palo Alto Networks (Israel Analytics) Ltd. | Classification of cyber-alerts into security incidents |
CN112291239B (zh) * | 2020-10-29 | 2021-09-07 | 东北大学 | 一种面向scada***的网络物理模型及其入侵检测方法 |
US12039017B2 (en) | 2021-10-20 | 2024-07-16 | Palo Alto Networks (Israel Analytics) Ltd. | User entity normalization and association |
US11695643B1 (en) | 2021-10-28 | 2023-07-04 | Rapid7, Inc. | Statistical control rules for detecting anomalies in time series data |
US11799880B2 (en) | 2022-01-10 | 2023-10-24 | Palo Alto Networks (Israel Analytics) Ltd. | Network adaptive alert prioritization system |
CN114500241B (zh) * | 2022-04-15 | 2022-09-23 | 荣耀终端有限公司 | 一种异常复位处理的方法及终端设备 |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20060067240A1 (en) * | 2004-09-25 | 2006-03-30 | Kim Hyun J | Apparatus and method for detecting network traffic abnormality |
US20070206498A1 (en) * | 2005-11-17 | 2007-09-06 | Chang Beom H | Network status display device and method using traffic flow-radar |
US20100135157A1 (en) * | 2008-12-02 | 2010-06-03 | Kim Sang Wan | Method and apparatus for controlling traffic according to user |
US20100150008A1 (en) * | 2007-03-08 | 2010-06-17 | Seon Gyoung Sohn | Apparatus and method for displaying state of network |
Family Cites Families (10)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20030097439A1 (en) * | 2000-10-23 | 2003-05-22 | Strayer William Timothy | Systems and methods for identifying anomalies in network data streams |
US20030084328A1 (en) * | 2001-10-31 | 2003-05-01 | Tarquini Richard Paul | Method and computer-readable medium for integrating a decode engine with an intrusion detection system |
US7321555B2 (en) * | 2003-04-16 | 2008-01-22 | International Business Machines Corporation | Multilevel analysis of self-similar network traffic |
US8549638B2 (en) * | 2004-06-14 | 2013-10-01 | Fireeye, Inc. | System and method of containing computer worms |
US20060047807A1 (en) * | 2004-08-25 | 2006-03-02 | Fujitsu Limited | Method and system for detecting a network anomaly in a network |
US8095979B2 (en) * | 2007-01-26 | 2012-01-10 | Microsoft Corporation | Analysis of event information to perform contextual audit |
EP1983714A1 (en) * | 2007-04-20 | 2008-10-22 | Nokia Siemens Networks Oy | Method for detection of malign instrusions in a communication system and related detector |
US8639797B1 (en) * | 2007-08-03 | 2014-01-28 | Xangati, Inc. | Network monitoring of behavior probability density |
WO2009128905A1 (en) * | 2008-04-17 | 2009-10-22 | Siemens Energy, Inc. | Method and system for cyber security management of industrial control systems |
US8726383B2 (en) * | 2011-02-14 | 2014-05-13 | Ca, Inc. | Flow data for security intrusion detection |
-
2012
- 2012-08-17 WO PCT/KR2012/006549 patent/WO2013027970A1/ko active Application Filing
- 2012-08-17 US US14/239,733 patent/US20150304346A1/en not_active Abandoned
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20060067240A1 (en) * | 2004-09-25 | 2006-03-30 | Kim Hyun J | Apparatus and method for detecting network traffic abnormality |
US20070206498A1 (en) * | 2005-11-17 | 2007-09-06 | Chang Beom H | Network status display device and method using traffic flow-radar |
US20100150008A1 (en) * | 2007-03-08 | 2010-06-17 | Seon Gyoung Sohn | Apparatus and method for displaying state of network |
US20100135157A1 (en) * | 2008-12-02 | 2010-06-03 | Kim Sang Wan | Method and apparatus for controlling traffic according to user |
Cited By (11)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN104238543A (zh) * | 2013-06-18 | 2014-12-24 | 三星Sds株式会社 | 时间序列形式的传感数据的不良图案检验方法及其装置 |
US20170093907A1 (en) * | 2015-09-28 | 2017-03-30 | Verizon Patent And Licensing Inc. | Network state information correlation to detect anomalous conditions |
US10021130B2 (en) * | 2015-09-28 | 2018-07-10 | Verizon Patent And Licensing Inc. | Network state information correlation to detect anomalous conditions |
KR20180096335A (ko) * | 2017-02-21 | 2018-08-29 | 아주대학교산학협력단 | 네트워크의 비정상행위 시각화 방법 및 장치 |
KR101976395B1 (ko) * | 2017-02-21 | 2019-05-09 | 아주대학교산학협력단 | 네트워크의 비정상행위 시각화 방법 및 장치 |
CN110166464A (zh) * | 2019-05-27 | 2019-08-23 | 北京信息科技大学 | 一种内容中心网络兴趣泛洪攻击的检测方法及*** |
CN110166464B (zh) * | 2019-05-27 | 2021-10-15 | 北京信息科技大学 | 一种内容中心网络兴趣泛洪攻击的检测方法及*** |
CN110401955A (zh) * | 2019-09-06 | 2019-11-01 | 江门职业技术学院 | 一种移动网络恶意节点检测方法及*** |
US11936668B2 (en) | 2021-08-17 | 2024-03-19 | International Business Machines Corporation | Identifying credential attacks on encrypted network traffic |
CN114650167A (zh) * | 2022-02-08 | 2022-06-21 | 联想(北京)有限公司 | 一种异常检测方法、装置、设备及计算机可读存储介质 |
DE102022125399A1 (de) | 2022-09-30 | 2024-04-04 | Bundesdruckerei Gmbh | Detektieren eines Angriffs auf ein zu schützendes Computersystem |
Also Published As
Publication number | Publication date |
---|---|
US20150304346A1 (en) | 2015-10-22 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
WO2013027970A1 (ko) | 네트워크의 이상증후를 탐지하는 장치 및 방법 | |
CN108429651B (zh) | 流量数据检测方法、装置、电子设备及计算机可读介质 | |
Ye et al. | Computer intrusion detection through EWMA for autocorrelated and uncorrelated data | |
EP1741223B1 (en) | Method, apparatus and computer program for distinguishing relevant network security threats using comparison of refined intrusion detection audits and intelligent security analysis | |
CN114584405B (zh) | 一种电力终端安全防护方法及*** | |
US20060259968A1 (en) | Log analysis system, method and apparatus | |
CN108040493A (zh) | 利用低置信度安全事件来检测安全事故 | |
CN112799358B (zh) | 一种工业控制安全防御*** | |
KR101281456B1 (ko) | 자기 유사성을 이용한 scada 네트워크의 이상증후를 탐지하는 장치 및 방법 | |
JPH08506947A (ja) | 事象相関 | |
KR101281460B1 (ko) | 통계적 공정 관리도를 이용하여 이상증후를 탐지하는 방법 | |
CN114298558B (zh) | 电力网络安全研判***及其研判方法 | |
CN113468022B (zh) | 一种对产品集中监控的自动化运维方法 | |
CN116204386B (zh) | 应用服务关系自动识别及监控方法、***、介质和设备 | |
CN116185757B (zh) | 机房能耗智能监测*** | |
Soller et al. | Predicting machine errors based on adaptive sensor data drifts in a real world industrial setup | |
JP6972429B1 (ja) | プラント管理方法及びプラント設計装置 | |
Ten et al. | Anomaly extraction and correlations for power infrastructure cyber systems | |
Sun et al. | Accurate Anomaly Interval Recognition and Fault Classification by Pattern Mining and Clustering | |
WO2017026825A1 (ko) | 체인룰 기반 내부자 불법 행위 탐지 장치 및 방법 | |
Zhao et al. | Multi-stage Location for Root-Cause Metrics in Online Service Systems | |
WO2021235594A1 (ko) | 비상용 발전기 원격 모니터링 시스템 | |
WO2017047951A1 (ko) | 엔터프라이즈 비즈니스 서비스 레벨의 통합 모니터링 방법 및 시스템 | |
WO2020255512A1 (ja) | 監視システム、および、監視方法 | |
CN118363819A (zh) | 一种对边缘计算设备的监测*** |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 12825647 Country of ref document: EP Kind code of ref document: A1 |
|
NENP | Non-entry into the national phase |
Ref country code: DE |
|
WWE | Wipo information: entry into national phase |
Ref document number: 14239733 Country of ref document: US |
|
122 | Ep: pct application non-entry in european phase |
Ref document number: 12825647 Country of ref document: EP Kind code of ref document: A1 |