[논문 리뷰] New Use Cases for Snort: Cloud and Mobile Environments

Emre Ertürk, Mayank Kumar|arXiv (Cornell University)|2018. 02. 07.

Network Security and Intrusion Detection참고 문헌 1인용 수 4

한 줄 요약

이 논문은 클라우드 및 모바일 환경에서 전통적인 방화벽을 초월해 보안을 강화하기 위해 가상 머신 기반의 IDS로 Snort를 구현하는 것을 제안한다. Snort를 마이크로소프트 아웃소프트에서 Ubuntu Server 16.04에 설정하고, 클라우드 워크로드에서 침입을 탐지하는 데 효과성을 검증하며, 클라우드 네트워크 내부의 위협 탐지를 강화하기 위해 VM 간 분산된 IDS 배포를 주장한다.

ABSTRACT

First, this case study explores an Intrusion Detection System package called Snort (provided by Cisco Systems) in a cloud environment. Snort is an open source and highly scalable signature-based intrusion detection system. Here, Snort is deployed on Ubuntu Server 16.0.4 running on a virtual machine within a Microsoft Azure cloud system. This paper provides details on installing Snort on the virtual machine and configuring it for intrusion detection. The architecture here is based on a VM integrated IDS on Azure and demonstrates how a VM instance in the cloud can be secured through an IDS. Firewalls may be considered the first line of defense but they fail to secure systems from inside attacks. Next, two other areas (where Snort is less widely used) are briefly explored, namely library systems and mobile devices. Finally, this paper makes further recommendations on how a cloud network can be secured by distributed placement of the IDS and on each VM instances.

연구 동기 및 목표

• 클라우드 기반 가상 머신 환경에서 Snort가 침입 탐지 시스템으로서의 효과성을 평가하기 위해.
• 전통적인 네트워크 보안을 초월해 스마트폰 기기 및 도서관 시스템과 같은 신규 분야로 Snort의 적용을 확장하기 위해.
• 각 개별 VM 인스턴스에 Snort를 설치하여 분산된 IDS 아키텍처를 제안함으로써 내부 위협 탐지 능력을 향상시키기 위해.
• 마이크로소프트 아웃소프트에서 Ubuntu Server에 Snort를 배포하고 설정하는 실용적인 가이드를 제공하기 위해.
• Snort가 가상화 및 모바일 환경을 보호하는 확장 가능한 오픈소스 솔루션으로 기능할 수 있음을 입증하기 위해.

제안 방법

• 마이크로소프트 아웃소프트 클라우드 인프라 내에서 Ubuntu Server 16.04를 가상 머신으로 배포하여 Snort를 구현하기 위해.
• 네트워크 트래픽을 모니터링하고 알려진 공격 패tern을 탐지하기 위해 서명 기반 IDS로 Snort를 구성하기 위해.
• 내부 및 외부 트래픽을 모두 모니터링하기 위해 클라우드 아키텍처에 VM 통합 보안 레이어로 IDS를 통합하기 위해.
• 방화벽만으로는 충분하지 않은 클라우드 환경에서 침입 탐지 능력을 평가하기 위해.
• 가상 머신 간의 수평 이동과 내부 위협을 탐지하기 위해 각 VM 인스턴스에 Snort를 설치하는 분산 배포 모델을 제안하기 위해.
• 확장성과 유지보수성을 확보하기 위해 오픈소스 도구와 표준 설정 관행을 사용하기 위해.

실험 결과

연구 질문

• RQ1 클라우드 기반 가상 머신 환경에서 Snort를 효과적으로 배포하고 설정하는 방법은 무엇인가?
• RQ2 클라우드 워크로드를 보호하기 위해 방화벽에만 의존할 경우의 한계는 무엇이며, Snort는 이를 어떻게 보완할 수 있는가?
• RQ3 Snort는 스마트폰 기기나 도서관 시스템과 같은 비전통적 환경에서도 적용 가능할 수 있는가?
• RQ4 클라우드 네트워크에서 여러 VM에 Snort IDS 인스턴스를 분산 배포함으로써 얻는 이점은 무엇인가?
• RQ5 VM 통합 Snort 배포 방식은 내부 위협 및 수평 이동 공격 탐지 능력을 어떻게 향상시키는가?

주요 결과

• Snort는 가상화된 인프라에서 알려진 공격 패턴을 성공적으로 탐지하여 서명 기반 IDS로서의 실현 가능성을 입증했다.
• 마이크로소프트 아웃소프트 내 Ubuntu Server 16.04에 Snort를 배포한 것은 클라우드 기반 침입 탐지에 대해 실현 가능하고 확장 가능한 방법임을 입증했다.
• 방화벽만으로는 클라우드 시스템, 특히 내부 위협에 대해 충분하지 않으며, Snort와 같은 추가 탐지 레이어의 필요성을 강조한다.
• VM 인스턴스 간에 Snort를 분산 배포함으로써 내부 네트워크 트래픽에 대한 가시성이 크게 향상되고 수평 이동 탐지 능력이 향상된다.
• 이 연구는 Snort가 전통적인 네트워크 경계를 초월해 스마트폰 및 도서관 네트워크와 같은 특수 시스템으로 효과적으로 확장될 수 있음을 확인한다.
• Snort는 깊이 있는 패킷 검사와 실시간 위협 탐지를 제공함으로써 방화벽과 함께 층위 보안 모델을 지원한다.