Snort 기반 탐지 규칙의 유사성 분석 프로그램 개발 및 활용

국문 초록 (Abstract)

네트워크를 이용한 공격이 점점 다양해지고 정밀해지면서 침입 탐지 시스템에서 사용하는 탐지규칙도 많아지고 복 잡해지고 있다. 하지만 탐지규칙을 효율적으로 통합하고 관리하기가 어려워 중복되거나 유사한 탐지규칙의 수가 급 속히 늘어나고 있으며, 이는 침입 탐지 시스템의 효율성을 크게 저하하는 원인이 되고 있다. 본 논문에서는 탐지규 칙의 유사도를 측정하는 프로그램을 개발하고 이를 이용하여 대표적인 침입탐지 시스템인 Snort에서 사용되는 탐 지규칙의 유사성을 분석한다. 유사도 측정 프로그램은 최장 공통부분 문자열 알고리즘과 서열 정렬 알고리즘을 사용 하여 중복되거나 유사한 탐지규칙을 찾는다. 분석 결과, Snort의 탐지규칙 5,843개에서 중복되거나 비슷한 탐지규 칙 1,377개를 찾았고 이들을 유사성에 따라 분류하였다. 또한, 탐지규칙 세 개를 개별적으로 분석하고 개선안을 제 시하였다.

다국어 초록 (Multilingual Abstract)

Network attacks become more and more diverse and precise, and thus detection rules also become numerous and complicated in network intrusion detection systems. Since, however, the detection rules are difficult to unify and manage efficiently, duplicate or similar rules are increasing. Moreover, these rules reduce the performance of the intrusion detection systems. In this paper, we develop a program for evaluating the similarity of detection rules and analyze, using the program, the similarity of detection rules used in Snort, a representative intrusion detection system. The program finds duplicate or similar rules based on a longest common subsequence algorithm and a sequence alignment algorithm. In our analysis, we found 1,377 duplicate or similar detection rules among 5,843 rules of Snort and classified the duplicate or similar rules according to their similarities. Furthermore, we analyze three rules individually and propose improvements on them.

목차 (Table of Contents)

• 요약
• Abstract
• 1. 서론
• 2. 관련 연구
• 2.1 네트워크 침임 탐지 시스템과 Snort
• 2.2 최장 공통 부분문자열 알고리즘
• 2.3 서열 정렬
• 3. 유사도 측정 프로그램 개발
• 3.1 주요 기능
• 3.2 설계 및 구현
• 4. 유사도 측정 프로그램 활용
• 4.1 탐지규칙의 분석 및 분류
• 4.2 탐지규칙의 개별 정밀 분석 및 개선
• 5. 결론
• 참고문헌

참고문헌 (Reference)

• 1 양환석, "침입탐지시스템 성능향상을 위한 룰 적용에 관한 연구" 한국차세대컴퓨팅학회 5 (5): 43-49, 2009
• 2 윤현철, "동적 최장공통비상위문자열 문제 해결 알고리즘" 한국차세대컴퓨팅학회 6 (6): 35-43, 2010
• 3 김영호, "k-오차문제를 위한 4-러시안 알고리즘의 계산 단계 병렬화" 한국차세대컴퓨팅학회 9 (9): 78-88, 2013
• 4 S. Chakrabarti, "Study of snort-based IDS" ACM 2010
• 5 C. Cowan, "StackGuard: Automatic Adaptive Detection and Prevention of Buffer- Overflow Attacks" 98 : 1998
• 6 M. Roesh, "Snort: Light weight Intrusion Detection for Networks" 99 : 229-238, 1999
• 7 "RealNetworks RealPlayer RecordClip Parameter Injection Code Execution" TELUS Security Labs
• 8 "RealNetworks RealPlayer IVR Handling Heap Buffer Overflow" TELUS Security Labs
• 9 "Java program language and platform"
• 10 "Java GUI design application"
• 11 T. H. Cormen, "Introduction to algorithms, 3rd edition" The MIT Press 2009
• 12 M. Alicherry, "High speed pattern matching for network IDS/ IPS" 2006
• 13 K. Scarfone, "Guide to intrusion detection and prevention systems (idps)" NIST special publication 2007
• 14 "Common Vulnerability and Exposures (CVE)" MITRE corporation
• 15 D.G. Higgins, "CLUSTAL: a package for performing multiple sequence alignment on microcomputer" 73 (73): 237-244, 1988
• 16 "CA Total Defense Suite UNCWS Unassign Function Roles Stored Procedure SQL Injection" TELUS Security Labs
• 17 "Bugtraq"
• 18 C. Tankard, "Advanced Persistent threats and how to monitor and deter them" 2011 (2011): 16-19, 2011
• 19 W. Halfond, "AMNESIA: analysis and monitoring for NEutralizing SQL-injection attacks" ACM 174.-183, 2005
• 20 J. Mirkovic, "A taxonomy of DDoS attack and DDoS defense mechanisms" 34 (34): 39-53, 2004
• 21 L. Bergroth, "A survey of Longest Commnon Subsequence Algorithms" 39-48, 2000