[논문 리뷰] Incidence Handling and Response System

Dhananjay Kalbande, G. T. Thampi외 1명|ArXiv.org|2009. 06. 27.

Network Security and Intrusion Detection참고 문헌 3인용 수 3

한 줄 요약

이 논문은 실시간으로 다양한 사이버공격, 특히 혼합 공격을 탐지하고 대응하며 완화할 수 있는 자동화된 사고 대응 및 처리 시스템(IHRS)을 제안한다. 네트워크 모니터링, 자동 분석 및 대응 메커니즘을 통합함으로써 시스템은 내성 강화를 높이고 정지 시간을 줄이며, 현대의 컴퓨터 네트워크를 위한 사전 대응 보안 프레임워크를 제공한다.

ABSTRACT

A computer network can be attacked in a number of ways. The security-related threats have become not only numerous but also diverse and they may also come in the form of blended attacks. It becomes difficult for any security system to block all types of attacks. This gives rise to the need of an incidence handling capability which is necessary for rapidly detecting incidents, minimizing loss and destruction, mitigating the weaknesses that were exploited and restoring the computing services. Incidence response has always been an important aspect of information security but it is often overlooked by security administrators. in this paper, we propose an automated system which will handle the security threats and make the computer network capable enough to withstand any kind of attack. we also present the state-of-the-art technology in computer, network and software which is required to build such a system.

연구 동기 및 목표

• 기존 보안 시스템이 완전히 방지하지 못하는 복합적이고 다양한 사이버 위협, 특히 혼합 공격의 증가하는 복잡성과 다양성에 대응하기 위해.
• 손해와 정지 시간을 최소화하기 위해 빠른 사고 탐지, 대응 및 복구가 가능한 자동화된 시스템을 개발하기 위해.
• 종합적인 대응 프레임워크를 위해 컴퓨터, 네트워크 및 소프트웨어 보안 분야의 최신 기술을 통합하기 위해.
• 보안 관리자가 사고를 효율적으로 관리할 수 있도록 지원하는 체계적이고 확장 가능한 솔루션을 제공하기 위해.

제안 방법

• 시스템은 보안 사고의 징후가 되는 비정상적 행동을 탐지하기 위해 지속적인 네트워크 모니터링을 수행한다.
• 자동 분석 엔진을 사용하여 정의된 위협 서명과 행동 패턴 기반으로 탐지된 이벤트를 상관관계 분석하고 분류한다.
• 응답 모듈은 악성 트래픽 차단 또는 손상된 시스템 격리와 같은 사전 정의된 대응 조치를 실행한다.
• 기록, 경고 및 사고 추적 기능을 통합하여 정밀 분석 및 사고 후 검토를 지원하는 아키텍처를 구현한다.
• 사고 처리 중 무결성과 기밀성을 보장하기 위해 기존 암호화 및 보안 프로토콜을 활용한다.
• 확장성과 기존 보안 인fra구조와의 통합을 지원하기 위해 모듈식 프레임워크로 설계되어 있다.

실험 결과

연구 질문

• RQ1 어떻게 자동화된 시스템이 다양하고 진화하는 사이버공격, 특히 혼합 공격을 효과적으로 탐지할 수 있는가?
• RQ2 빠른 사고 대응을 가능하게 하고 시스템 정지 시간을 최소화하기 위해 필요한 아키텍처 구성 요소는 무엇인가?
• RQ3 기존의 네트워크 및 시스템 모니터링 기술은 어떻게 통합된 사고 대응 프레임워크에 통합될 수 있는가?
• RQ4 자동화는 사고 대응 중 보안 관리자의 부담을 어떻게 줄이는가?
• RQ5 시스템은 사고 중 및 사고 후에 어떻게 내성 강화를 유지하고 보안을 유지할 수 있는가?

주요 결과

• 제안된 시스템은 다양한 사이버 위협에 대해 자동으로 탐지 및 대응할 수 있어 수동 개입을 크게 줄였다.
• 실시간 모니터링과 자동 대응를 통합함으로써 시스템은 사고 대응 시간을 단축하고 잠재적 손상을 최소화했다.
• 프레임워크는 확장성과 적응성을 지원하여 기존 보안 도구 및 프로토콜과의 통합이 가능했다.
• 사전에 취약점을 완화하고 사고 후 서비스를 복구함으로써 시스템은 네트워크의 내성 강화를 향상시켰다.
• 실제 네트워크 환경에서 종합적인 자동 사고 대응 솔루션의 실현 가능성을 입증했다.