일반기술

컴퓨터 네트워크상에서 악성 봇과 웜의 탐지에 이용되는 탐지척도의 자동 선정 방법

본 발명은 인터넷상의 각종 봇(BOT)과 웜(WORM) 바이러스들을 효율적으로 탐지하기 위한 탐지척도선정방법에 관한 것으로 더욱 상세하게는 규칙기반 프로파일링에 의한 네트워크 레벨에서의 오용행위 탐지기법을 적용하여 봇과 웜바이러스를 탐지하기 위한 방법에 관한 것으로서 패킷 데이터의 헤더부분을 탐색하는 단계; 상기 헤더정보에서 척도를 선정하는 단계; 상기 분리된 세션에서 공격과 정상행위 분포 사이의 거리를 계산하는 단계; 상기 계산 결과에서 PDD(PROBABILITY DISTRIBUTION DISTANCE)가 임계값 보다 큰 탐지척도만을 선정하는 단계; 상기 선정된 탐지척도의 속성을 정의하는 단계; 상기 속성중 웜 또는 봇으로 판단되는 속성을 추출하는 단계;에 의해 이루어진다.본 발명은 프로토콜 헤더 정보의 분석에 기반한 TCP 세션의 통계적인 정보들을 이용해서 규칙기반의 공격패턴을 자동으로 생성하기 위하여 데이터 마이닝의 연구 영역에 해당하는 이산적(Discrete) 척도와 연속적(Continuous) 척도의 분류(Classification)가 가능한 의사결정나무(Decision Tree)를 이용한 규칙기반 공격패턴의 자동 생성 모델을 제시하고 이를 이용한 공격 분류 방법을 제한다.본 발명에서 이용한 의사결정나무 알고리즘으로는 C4.5 알고리즘을 활용하였으며 이 나무 모델에 의하여 생성되는 규칙을 이용하여 공격의 특성이 정의된 패턴으로 정형화할 수 있다. 더 나아가, 의사결정나무 모델이 가지는 예측/추론 능력 및 각 노드의 가중치 정보를 이용하여 알려지지 않은 변칙적인 공격에 있어서도 탐지가 가능한 유연한 패턴을 생성시킬 수 있으며 정상과는 구분되는 효과적인 악성 봇과 웜의 탐지패턴 자동 생성 방법을 제공할 수 있다.