KR101009482B1 - 웜 탐지 방법 및 장치 - Google Patents
웜 탐지 방법 및 장치 Download PDFInfo
- Publication number
- KR101009482B1 KR101009482B1 KR1020090013412A KR20090013412A KR101009482B1 KR 101009482 B1 KR101009482 B1 KR 101009482B1 KR 1020090013412 A KR1020090013412 A KR 1020090013412A KR 20090013412 A KR20090013412 A KR 20090013412A KR 101009482 B1 KR101009482 B1 KR 101009482B1
- Authority
- KR
- South Korea
- Prior art keywords
- matrix
- traffic
- time
- rank value
- normal
- Prior art date
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
- H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1425—Traffic logging, e.g. anomaly detection
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Virology (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
Description
m | 32 | 64 | 128 | 256 | 512 | 1024 |
γ | 0.063 | 0.041 | 0.025 | 0.014 | 0.008 | 0.005 |
Claims (16)
- 네트워크로 유입되는 트래픽을 수집하는 트래픽 수집단계와;제1 시각에 개시되는 제1 시간 영역에서의 상기 트래픽의 특성을 나타낸 제1 트래픽 행렬과, 상기 제1 시간 영역의 종료시각인 제2 시각에 개시되는 제2 시간 영역에서의 상기 트래픽의 특성을 나타낸 제2 트래픽 행렬과, 상기 제2 시간 영역의 종료시각인 제3 시각에 개시되는 제3 시간 영역에서의 상기 트래픽의 특성을 나타낸 제3 트래픽 행렬을 생성하는 트래픽 행렬 생성단계와;상기 제1 시간 영역, 상기 제2 시간 영역 및 상기 제3 시간 영역에서의 정상적인 플로우에 대응되는 행렬 성분을 소거하되, 상기 정상적인 플로우 중 상기 제2 시각의 정각에 종료되거나 개시된 플로우 및 상기 제3 시각에 종료된 플로우에 대응되는 행렬 성분도 소거하여 정상 트래픽 소거 행렬을 생성하는 정상 트래픽 소거 단계와;상기 정상 트래픽 소거 행렬의 랭크값을 계산하는 랭크값 계산 단계 및;상기 랭크값을 바탕으로 상기 네트워크의 상태를 판단하는 네트워크 상태 판단 단계를 포함하는 웜 탐지 방법.
- 제1항에 있어서,상기 정상 트래픽 소거 단계는,상기 제2 트래픽 행렬과 상기 제3 트래픽 행렬을 배타적 논리합하여 제1 행 렬을 얻는 단계와;상기 제1 행렬과 상기 제1 트래픽 행렬을 논리곱하여 제2 행렬을 얻는 단계를 더 포함하며,이 때 상기 정상 트래픽 소거 행렬은 상기 제1 행렬과 상기 제2 행렬을 배타적 논리합한 행렬인 웜탐지방법.
- 제1항에 있어서,상기 트래픽 행렬 생성 단계에서, 상기 트래픽 수집단계에서 특정 플로우가 수집된 경우, 상기 제1 트래픽 행렬, 상기 제2 트래픽 행렬 및 상기 제3 트래픽 행렬의 상기 플로우의 IP 주소에 대응되는 행렬 성분이 0으로부터 1로 변경되는 웜 탐지 방법.
- 제1항에 있어서,상기 랭크값 계산 단계에서, 상기 랭크값은 상기 정상 트래픽 소거 행렬에 가우스 소거법을 적용하여 얻어지는 0이 아닌 행의 개수인 웜 탐지 방법.
- 제1항에 있어서,상기 네트워크 상태 판단단계에서, 상기 랭크값이 소정의 기준값보다 큰 경우 상기 네트워크는 웜에 감염된 것으로 판단되는 웜 탐지 방법.
- 제1항에 있어서,상기 네트워크 상태 판단단계에서, 상기 랭크값이 0에 근접한 값으로 급격하게 감소하는 경우, 상기 네트워크는 웜에 감염된 것으로 판단되는 웜 탐지 방법.
- 제6항에 있어서,상기 기준값은 상기 정상 트래픽 소거 행렬이 랜덤 행렬이 아닐 특정 확률에 대한 최대 랭크값인 웜 탐지 방법.
- 네트워크로 유입되는 트래픽을 수집하는 트래픽 수집부와;제1 시각에 개시되는 제1 시간 영역에서의 상기 트래픽의 특성을 나타낸 제1 트래픽 행렬과, 상기 제1 시간 영역의 종료시각인 제2 시각에 개시되는 제2 시간 영역에서의 상기 트래픽의 특성을 나타낸 제2 트래픽 행렬과, 상기 제2 시간 영역 의 종료시각인 제3 시각에 개시되는 제3 시간 영역에서의 상기 트래픽의 특성을 나타낸 제3 트래픽 행렬을 생성하는 트래픽 행렬 생성부와;상기 제1 시간 영역, 상기 제2 시간 영역 및 상기 제3 시간 영역에서의 정상적인 플로우에 대응되는 행렬 성분을 소거하되, 상기 정상적인 플로우 중 상기 제2 시각에 종료되거나 개시된 플로우 및 상기 제3 시각에 종료된 플로우에 대응되는 행렬 성분도 소거하여 정상 트래픽 소거 행렬을 생성하는 정상 트래픽 소거부와;상기 정상 트래픽 소거 행렬의 랭크값을 계산하는 랭크값 계산부 및;상기 랭크값을 바탕으로 상기 네트워크의 상태를 판단하는 네트워크 상태 판단부를 포함하는 웜 탐지 장치.
- 제9항에 있어서,상기 정상 트래픽 소거부는,상기 제2 트래픽 행렬과 상기 제3 트래픽 행렬을 배타적 논리합하여 제1 행렬을 얻고, 상기 제1 행렬과 상기 제1 트래픽 행렬을 논리곱하여 제2 행렬을 얻은 후,상기 제1 행렬과 상기 제2 행렬을 배타적 논리합하여 상기 정상 트래픽 소거 행렬을 얻는 웜 탐지 장치.
- 제9항에 있어서,상기 트래픽 행렬 생성부는, 상기 트래픽 수집단계에서 특정 플로우가 수집 된 경우, 상기 제1 트래픽 행렬, 상기 제2 트래픽 행렬 및 상기 제3 트래픽 행렬의 상기 플로우의 IP 주소에 대응되는 행렬 성분을 0으로부터 1로 변경하는 웜 탐지 장치.
- 제9항에 있어서,상기 랭크값 계산부는, 상기 정상 트래픽 소거 행렬에 가우스 소거법을 적용하여 얻어지는 0이 아닌 행의 개수를 상기 랭크값으로 계산하는 웜 탐지 장치.
- 제9항에 있어서,상기 네트워크 상태 판단부는, 상기 랭크값이 소정의 기준값보다 큰 경우상기 네트워크가 웜에 감염된 것으로 판단하는 웜 탐지 장치.
- 제9항에 있어서,상기 네트워크 상태 판단부는, 상기 랭크값이 급속히 0으로 수렴하는 경우, 상기 네트워크가 웜에 감염된 것으로 판단하는 웜 탐지 장치.
- 제14항에 있어서, 상기 기준값은 상기 정상 트래픽 소거 행렬이 랜덤 행렬이 아닐 확률에 대한 최대 랭크값인 웜 탐지 장치.
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US12/388,170 US8151350B2 (en) | 2008-11-03 | 2009-02-18 | Method and device for detecting unknown network worms |
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
KR1020080108352 | 2008-11-03 | ||
KR20080108352 | 2008-11-03 |
Publications (2)
Publication Number | Publication Date |
---|---|
KR20100049471A KR20100049471A (ko) | 2010-05-12 |
KR101009482B1 true KR101009482B1 (ko) | 2011-01-25 |
Family
ID=42275922
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
KR1020090013412A KR101009482B1 (ko) | 2008-11-03 | 2009-02-18 | 웜 탐지 방법 및 장치 |
Country Status (1)
Country | Link |
---|---|
KR (1) | KR101009482B1 (ko) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR101455293B1 (ko) * | 2013-03-28 | 2014-10-31 | 고려대학교 산학협력단 | 캐시 공격 탐지 장치 및 방법 |
Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR20070050726A (ko) * | 2005-11-12 | 2007-05-16 | 한국전자통신연구원 | 랜덤화한 프로베니우스 분해방법을 이용한 차분 공격 방지방법 및 그 장치 |
KR100745613B1 (ko) * | 2006-03-20 | 2007-08-02 | 고려대학교 산학협력단 | 네트워크 감시를 수행하는 장치 및 프로그램이 저장된 기록매체 |
-
2009
- 2009-02-18 KR KR1020090013412A patent/KR101009482B1/ko active IP Right Grant
Patent Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR20070050726A (ko) * | 2005-11-12 | 2007-05-16 | 한국전자통신연구원 | 랜덤화한 프로베니우스 분해방법을 이용한 차분 공격 방지방법 및 그 장치 |
KR100745613B1 (ko) * | 2006-03-20 | 2007-08-02 | 고려대학교 산학협력단 | 네트워크 감시를 수행하는 장치 및 프로그램이 저장된 기록매체 |
Non-Patent Citations (1)
Title |
---|
한국컴퓨터종합학술대회2005 박현도 외1인, "랜덤성을 이용한 알려지지 않은 신종 웜에 대한 탐지 기법, 논문집 Vol.32. No.1 pp. 133-135.* |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR101455293B1 (ko) * | 2013-03-28 | 2014-10-31 | 고려대학교 산학협력단 | 캐시 공격 탐지 장치 및 방법 |
Also Published As
Publication number | Publication date |
---|---|
KR20100049471A (ko) | 2010-05-12 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
Collins et al. | Using uncleanliness to predict future botnet addresses | |
Sridharan et al. | Connectionless port scan detection on the backbone | |
US8341740B2 (en) | Method and system for identifying enterprise network hosts infected with slow and/or distributed scanning malware | |
Law et al. | You can run, but you can't hide: an effective statistical methodology to trace back DDoS attackers | |
US8151350B2 (en) | Method and device for detecting unknown network worms | |
Tellenbach et al. | Beyond shannon: Characterizing internet traffic with generalized entropy metrics | |
Kim et al. | Real-time visualization of network attacks on high-speed links | |
KR101009482B1 (ko) | 웜 탐지 방법 및 장치 | |
Moustafa et al. | RCNF: Real-time collaborative network forensic scheme for evidence analysis | |
Li et al. | Detecting smart, self-propagating Internet worms | |
KR100745613B1 (ko) | 네트워크 감시를 수행하는 장치 및 프로그램이 저장된 기록매체 | |
KR20210018802A (ko) | 접속 모듈을 타깃으로 하는 공격 흐름들을 필터링하는 방법 | |
Kannan et al. | Analyzing Cooperative Containment of Fast Scanning Worms. | |
Collins et al. | On the limits of payload-oblivious network attack detection | |
Zhou et al. | Limiting self-propagating malware based on connection failure behavior | |
Berthier et al. | The deployment of a darknet on an organization-wide network: An empirical analysis | |
Nagaonkar et al. | Detecting stealthy scans and scanning patterns using threshold random walk | |
Bou-Harb et al. | On detecting and clustering distributed cyber scanning | |
Kim et al. | Detecting DDoS attacks using dispersible traffic matrix and weighted moving average | |
He et al. | Early warning of active worms based on multi-similarity | |
Kawaguchi et al. | Detection of silent worms using anomaly connection tree | |
Xiang et al. | Online accumulation: reconstruction of worm propagation path | |
Ringberg et al. | Evaluating the potential of collaborative anomaly detection | |
Park et al. | Detecting unknown worms using randomness check | |
Chen et al. | Scalable long-term network forensics for epidemic attacks |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A201 | Request for examination | ||
E902 | Notification of reason for refusal | ||
E701 | Decision to grant or registration of patent right | ||
GRNT | Written decision to grant | ||
FPAY | Annual fee payment |
Payment date: 20140110 Year of fee payment: 4 |
|
FPAY | Annual fee payment |
Payment date: 20150108 Year of fee payment: 5 |
|
FPAY | Annual fee payment |
Payment date: 20160111 Year of fee payment: 6 |
|
FPAY | Annual fee payment |
Payment date: 20170403 Year of fee payment: 7 |
|
FPAY | Annual fee payment |
Payment date: 20180108 Year of fee payment: 8 |
|
FPAY | Annual fee payment |
Payment date: 20190107 Year of fee payment: 9 |
|
FPAY | Annual fee payment |
Payment date: 20200113 Year of fee payment: 10 |