일반기술

스크립트를 이용한 침입탐지경보의 정규화 기술

침입탐지 경보는 침입으로 의심되는 활동에 대해 침입탐지시스템에 의해 생성되는 침입 정보를 의미한다. 이러한 침입탐지 경보는 매우 유사한 정보를 포함하고 있으나 그 형태는 제품별로 다양하다. 본 기술은 다양한 형태의 침입탐지 경보에 대해 IDMEF 형태의 형식 정규화와 CVE에 기반한 공격명 정규화 기능을 제공한다. 또한 스크립트의 추가로 새로운 형식의 침입탐지 경보에 대한 정규화를 제공함으로써 높은 확장성을 갖는다.침입탐지 경보는 침입으로 의심되는 활동에 대해 침입탐지시스템 (이하 IDS; Intrusion Detection System)에 의해 생성되는 침입 정보를 의미한다. 그러나 이러한 침입탐지 경보는 매우 유사한 정보를 포함하고 있으면서도 그 형태는 IDS 시스템 별로 매우 다양하다. -벤더 자체적인 포맷으로부터 UNIX syslog 형태의 포맷 -SNMP MIB 형태의 포맷 -SMTP mail 형태의 포맷 -비록 동일한 포맷 구조를 사용한다 하더라도, 포맷 내부에 사용되는 표현 방식 또한 IDS에 따라 가지각색의 포맷 이러한 다양한 포맷은 다수의 IDS 시스템으로부터 생성된 침입탐지 경보의 저장 및 관리에 장애 요인으로 작용하고 있다. 따라서 이러한 장애 요인의 극복을 위한 침입탐지 경보의 정규화 기능을 제공해야 한다. 따라서 본 XIAN(eXtensible Intrusion Alert Normalizer) 기술 이전은 다양한 형태의 침입탐지 경보에 대해 다양한 포맷으로 수집되는 침입탐지 경보에 대한 저장 및 표현의 일관성을 유지하기 위한 포맷의 통일하며, 침입탐지 경보 간의 상호 연관성 분석을 위한 침입 명칭 및 심각도 표현에 대한 통일성을 갖는 정규화 기능을 달성할 수 있도록 함에 있다