[논문 리뷰] Intrusion Detection System Using Advanced Honeypots

Deep Kumar, T. Ramajujam|ArXiv.org|2009. 06. 27.

Network Security and Intrusion Detection참고 문헌 4인용 수 11

한 줄 요약

이 논문은 고속 트래픽 환경에서 위험 감지의 정확도를 높이고 가짜 경고를 줄이기 위해 환영기반 감지 시스템을 제안한다. 지능형 환영기 메커니즘을 통해 정상 사용자 트래픽와 공격자에 의해 생성된 트래픽를 구분함으로써, 낮은 지연 시간과 높은 확장성을 달성하였으며, 스트레스 테스트를 통해 실제 환경 하중 조건 하에서도 효과성을 입증하였다.

ABSTRACT

The exponential growth of Internet traffic has made public servers increasingly vulnerable to unauthorized accesses and intrusions. In addition to maintaining low latency for the client, filtering unauthorized accesses has become one of the major concerns of a server maintainer. This implementation of an Intrusion Detection System distinguishes between the traffic coming from clients and the traffic originated from the attackers, in an attempt to simultaneously mitigate the problems of both latency and security. We then present the results of a series of stress and scalability tests, and suggest a number of potential uses for such a system. As computer attacks are becoming more and more difficult to identify the need for better and more efficient intrusion detection systems increases. The main problem with current intrusion detection systems is high rate of false alarms. Using honeypots provides effective solution to increase the security.

연구 동기 및 목표

• 증가하는 인터넷 트래픽과 사이버 위협 속에서 공용 서버 보안을 강화하는 데 도전하는 문제를 해결하기 위해.
• 기존의 인트루전 감지 시스템에서 흔히 발생하는 높은 가짜 경고 비율을 줄이기 위해.
• 정상 사용자와 공격자 간을 구분할 수 있는 확장성 있고 낮은 지연 시간을 가진 인트루전 감지 메커니즘을 개발하기 위해.
• 시스템의 성능을 스트레스와 확장성 조건 하에서 평가하기 위해.
• 환영기를 현대적 인트루전 감지 시스템의 핵심 구성 요소로 실용적으로 적용할 수 있음을 입증하기 위해.

제안 방법

• 시스템은 서버 환경 내에 전략적으로 배치된 고도화된 환영기를 활용하여 악성 트래픽를 유인하고 분석한다.
• 행위 패턴을 기반으로 정상 클라이언트 요청과 공격자에 의해 생성된 트래픽를 구분하기 위해 트래픽 분류 기법을 사용한다.
• 지연 시간을 최소화하기 위해 아키텍처를 설계하여, 정상 사용자 요청이 검출 메커니즘에 의해 방해받지 않도록 한다.
• 시스템 성능을 평가하기 위해 시뮬레이션된 고속 트래픽 워크로드를 사용하여 스트레스 및 확장성 테스트를 실시한다.
• 실제 공격를 감지하고 분석할 확률을 높이기 위해 위장 전략을 환영기 설계에 통합한다.
• 최소한의 수정으로 기존 서버 인프라를 활용하여 환영기 구성 요소를 통합한다.

실험 결과

연구 질문

• RQ1 어떻게 환영기를 인트루전 감지 시스템에 효과적으로 통합하여 가짜 경고 비율을 낮출 수 있는가?
• RQ2 고속 네트워크 트래픽 하에서 고도화된 환영기 기반 시스템이 낮은 지연 시간을 유지할 수 있는 정도는 어느 정도인가?
• RQ3 정상 및 악성 트래픽의 증가하는 볼륨에 노출되었을 때 시스템의 확장성은 어떻게 되는가?
• RQ4 실제 스트레스 조건 하에서 시스템의 성능 특성은 어떠한가?
• RQ5 환영기 트리거 신호를 사용하여 시스템은 정상 사용자와 실제 공격자 간을 신뢰성 있게 구분할 수 있는가?

주요 결과

• 제안된 시스템은 환영기 메커니즘을 통해 오직 의심스러운 트래픽만을 격리하고 분석함으로써 가짜 경고를 성공적으로 줄였다.
• 스트레스 테스트를 통해 시스템이 고속 트래픽 조건 하에서도 낮은 지연 시간을 유지함을 확인하였으며, 정상 사용자 성능에 영향을 주지 않았다.
• 시스템은 높은 확장성을 입증하였으며, 감지 정확도에 심각한 저하 없이 증가하는 부하를 처리할 수 있었다.
• 환영기 통합으로 이전에 알려지지 않았거나 제로데이 공격 패tern을 감지하는 데 크게 기여하였다.
• 결과적으로 환영기가 인트루전 감지에서 효과적인 위장 전략과 초기 경고 계층으로 기능한다는 점이 입증되었다.
• 테스트 결과를 통해 시스템 아키텍처가 실제 배포 환경에 적합하고 유연함을 입증하였다.