KR20180079049A - Detection system of cyber information leaking action - Google Patents

Detection system of cyber information leaking action Download PDF

Info

Publication number
KR20180079049A
KR20180079049A KR1020160184412A KR20160184412A KR20180079049A KR 20180079049 A KR20180079049 A KR 20180079049A KR 1020160184412 A KR1020160184412 A KR 1020160184412A KR 20160184412 A KR20160184412 A KR 20160184412A KR 20180079049 A KR20180079049 A KR 20180079049A
Authority
KR
South Korea
Prior art keywords
data
behavior
ontology
model
component
Prior art date
Application number
KR1020160184412A
Other languages
Korean (ko)
Other versions
KR101923996B1 (en
Inventor
임원기
권구형
고장혁
이종언
Original Assignee
국방과학연구소
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 국방과학연구소 filed Critical 국방과학연구소
Priority to KR1020160184412A priority Critical patent/KR101923996B1/en
Publication of KR20180079049A publication Critical patent/KR20180079049A/en
Application granted granted Critical
Publication of KR101923996B1 publication Critical patent/KR101923996B1/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/88—Detecting or preventing theft or loss
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/145—Network analysis or design involving simulating, designing, planning or modelling of a network

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Mathematical Physics (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Computer And Data Communications (AREA)

Abstract

The present invention relates to a system which defines a behavior model for extracting acts which an insider leaks inside information to the outside in a cyber network environment, and extracts leaking acts, and particularly, to a system implementing method which identifies and defines acts leaking inside information to the outside in a cyber environment, and, through a meaning-based behavior modelling which a system and a human can understand, finally analyzes meanings of data packets, and based on the same, extracts a data packet leaking inside information to the outside to prevent inside information from being leaked to the outside in a cyber environment. The system comprises: a data management module which collects data on a network, and, based on a pre-defined behavior model and a risk standard defined in each behavior model, defines the collected data and individual information leakage act; an ontology management module which generates an ontology model based on the data defined as the individual information leakage act, and extracts data corresponding to the individual leakage act among the collected data on the network based on the generated ontology model.

Description

사이버 정보 유출 행위 추출 시스템{DETECTION SYSTEM OF CYBER INFORMATION LEAKING ACTION}DETECTION SYSTEM OF CYBER INFORMATION LEAKING ACTION [0002]

본 발명은 사이버 네트워크 환경에서 내부자가 내부의 정보를 외부로 유출하는 행위를 추출하기 위한 행위 모델 정의 및 행위를 추출하는 시스템에 관한 것으로, 특히 사이버 환경에서 내부의 정보를 외부로 유출하는 행위를 식별 및 정의하고, 시스템과 사람이 이해할 수 있는 의미기반 행위 모델링을 통하여, 최종적으로는 데이터 패킷의 의미를 분석하고 이를 기반으로 내부의 정보가 외부로 유출되는 데이터 패킷을 추출하여 사이버 환경에서 내부의 정보가 외부로 유출되는 것을 사전에 방지하기 위한 시스템 구현 방법에 관한 것이다.The present invention relates to a system for extracting an action model definition and an action for extracting an action of an insider leaking internal information in the cyber network environment, and more particularly, And semantic-based behavior modeling that can be understood by the system and people. Finally, the semantics of the data packet is analyzed and the data packet in which the internal information is leaked out is extracted based on the semantic-based behavior modeling. To the outside of the apparatus.

최근 사이버 환경에서 내부의 정보를 외부로 유출하는 범죄행위가 빈번하게 발생하고 있다. 이러한 사이버 환경에 대한 정보 보호에 관련된 유출 및 침입 범죄 행위는 기존 조직화된 집단에서의 특정 시스템 또는 서버에 접근하여 정보를 유출하는 방법에서 회사 내 또는 조직 내의 일원이 내부(회사 또는 조직)의 정보를 외부로 유출하는 행위로 그 범위가 점차 넓어지고 있다. 또한, 유출되는 정보의 범위도 기밀 정보, 민감 정보, 개인 정보 등 다양해지고 있다.In recent cyber environment, criminal activities that leak internal information to the outside frequently occur. The leakage and intrusion crime related to the protection of information about cyber environment is a method of accessing a specific system or a server in an existing organized group to disclose information to a member in the company or an organization, The scope of this is gradually expanding to the outside. In addition, the range of information that is leaked is also becoming diverse, including confidential information, sensitive information, and personal information.

특히, 기존 조직화된 사이버 범죄 행위와 달리, 회사 내 또는 조직 내의 일원이 내부의 정보를 외부로 유출하는 행위는 해당 방법, 기간 등을 예측할 수 없으며, 개인의 동기에 따라 결의 시점이 다르기 때문에, 이를 방지하기 위하여, 사전 예방 및 예측이 매우 중요하다. In particular, unlike existing organized cybercrime activities, the act of outsourcing internal information within a company or organization can not predict the method, period, etc., and the timing of resolution depends on the individual's motivation. In order to prevent, prevention and prediction are very important.

회사 내 또는 조직 내의 일원이 내부의 정보를 외부로 유출하는 행위를 사전에 예방 또는 예측하기 위해서는 해당 사용자의 일련의 행위를 지속적으로 관찰하는 것이 요구된다. 이에, 종래에는, 사이버 환경에서 내부의 정보를 외부로 유출하는 행위를 식별하기 위한 일반적인 관찰 방법은 사이버 환경에서 발생되는 모든 데이터를 실시간 또는 특정 기간 단위로 수집하고, 이를 분석하여, 해당 행위에 대한 발생 여부를 판단하는 것이다. 하지만 사이버 환경에서는 인터넷 또는 네트워크를 이용하여 수행되는 다양한 행위 (업무, 검색, 여가 등)로 인한 방대한 데이터가 발생되기 때문에 관찰을 통하여 특정 정보 유출 행위를 식별해내는 것은 불가능하다.In order to prevent or predict the outflow of internal information within a company or organization, it is necessary to observe a series of actions of the user. Conventionally, a general observation method for identifying an activity of leakage of internal information in the cyber environment is to collect all the data generated in the cyber environment in units of real time or specific period, analyze the data, It is judged whether or not it occurs. However, in the cyber environment, it is impossible to identify specific information leakage activity through observation because a large amount of data is generated due to various actions (work, search, leisure, etc.) performed using the Internet or a network.

본 발명은 사이버 환경에서 내부의 구성원이 내부 정보를 외부로 유출하는 것을 사전에 방지 또는 예방하는 것을 일 목적으로 한다. An object of the present invention is to prevent or prevent internal information from being leaked to the outside in the cyber environment.

또한, 본 발명은 사이버 환경에서 수집된 데이터를 기반으로, 사이버 정보 유출 행위를 추출하는 시스템을 제공하는 것을 또 다른 목적으로 한다. It is another object of the present invention to provide a system for extracting a cyber information leakage behavior based on data collected in a cyber environment.

본 발명은 네트워크 상에서 데이터를 수집하고, 상기 수집된 데이터를 기 정의된 행위 모델 및 각 행위 모델에 정의된 위험 수준에 근거하여, 개별 정보 유출 행위를 정의하는 데이터 관리 모듈과 상기 개별 정보 유출 행위로 정의된 데이터들에 근거하여, 온톨로지 모델 생성하고, 상기 생성된 온톨로지 모델에 근거하여, 네트워크 상에 수집된 데이터들 중 개별 유출 행위에 해당하는 데이터를 추출하는 온톨로지 관리 모듈을 포함한다. The present invention relates to a data management module for collecting data on a network and defining the individual information leakage behavior based on the predefined behavior model and the risk level defined in each behavior model, And an ontology management module for generating an ontology model based on the defined data and extracting data corresponding to the individual outflow behavior among the data collected on the network based on the generated ontology model.

일 실시 예에 있어서, 상기 데이터 관리 모듈은 개별 정보 유출 행위를 정의하는 행위 정의 컴포넌트와 네트워크 상에서 발생한 데이터를 수집하는 데이터 수집 컴포넌트 및 상기 네트워크 상에서 수집된 데이터를 행위 정의 컴포넌트로 로드하는 행위 모델 파일 로드 컴포넌트(106)를 포함하는 것을 특징으로 한다. In one embodiment, the data management module includes a behavior definition component that defines an individual information outflow behavior, a data collection component that collects data generated on the network, and an action model file load that loads data collected on the network into the behavior definition component. And a component (106).

일 실시 예에 있어서, 상기 기 정의된 행위 모델은 Host, 목적지 IP, 프로토콜 타입, 전송 타입, 파일 타입, 파일 이름, URL, HTTP 타입, 메시지, 메일 제목, 참조인, 숨은 참조인, 받는 사람 이메일 주소 및 첨부 파일 중 적어도 하나의 항목이 포함된 데이터로 구성된 것을 특징으로 한다. In one embodiment, the predefined behavioral model includes a host, a destination IP, a protocol type, a transmission type, a file type, a file name, a URL, an HTTP type, a message, An address, and an attached file.

일 실시 예에 있어서, 상기 온톨로지 관리 모듈은 행위 정의 컴포넌트로부터 정의된 개별 정보 유출 행위에 근거하여, 의미 기반의 온톨로지 모델을 생성하는 온톨로지 생성 컴포넌트, 상기 데이터 수집 컴포넌트에서 수집된 데이터 중 개별 정보 유출 행위에 해당하는 데이터를 추출하는 의미 기반 행위 검색 컴포넌트, 및 상기 의미 기반 행위 검색 컴포넌트에서 추출된 데이터를 의미 관계 모델을 기반으로 해석하기 위한 의미 해석 컴포넌트를 포함하는 것을 특징으로 한다. In one embodiment, the ontology management module includes an ontology generation component that generates a semantic-based ontology model based on the individual information outflow behavior defined from the behavior definition component, And a semantic analysis component for analyzing the extracted data from the semantic-based behavior search component based on the semantic relationship model.

일 실시 예에 있어서, 상기 사이버 정보 유출 행위 추출 시스템은 온톨로지 모델과 온톨로지 그래프가 저장하는 온톨로지 데이터베이스를 더 포함하는 것을 특징으로 한다. In one embodiment, the cyber information leakage behavior extracting system further includes an ontology database stored by the ontology model and the ontology graph.

일 실시 예에 있어서, 상기 온톨로지 관리 모듈은 상기 온톨로지 데이터베이스에 존재하는 온톨로지 데이터와 상기 추출된 데이터 간의 관계를 해석하고, 상기 해석 결과에 근거하여, 상기 추출된 데이터가 개별 정보 유출 행위에 해당하는지 여부를 판단하는 것을 특징으로 한다. In one embodiment, the ontology management module analyzes the relationship between ontology data and the extracted data existing in the ontology database, and based on the analysis result, determines whether the extracted data corresponds to an individual information outflow behavior .

이러한 본 발명은 사이버 환경에서 회사 내 또는 조직 내에 존재하는 내부자가 내부의 기밀 정보, 민감 정보, 개인 정보 등을 외부로 유출하는 것을 발생 및 수집되는 데이터를 기반으로 해당 데이터가 포함하는 의미를 분석하여, 내부의 정보가 외부로 유출되는 행위를 쉽고 효율적으로 식별할 수 있는 효과가 있다.In the present invention, an insider existing in a company or an organization in the cyber environment analyzes the meaning contained in the data based on the data generated and collected by the internal leakage of confidential information, sensitive information, personal information, , It is possible to easily and efficiently identify the behavior of the internal information leaked to the outside.

또한, 본 발명은 해당 시스템의 사용자(또는 관리자)가 자신이 속해 있는 환경의 특성에 맞게 행위 및 데이터 구조에 대한 정보를 정의할 수 있으며, 이를 통하여 특정 조직에 맞춰 동작 가능한 행위 모델을 생성하는 효과가 있다. In addition, the present invention allows a user (or a manager) of a corresponding system to define information on an action and a data structure in accordance with the characteristics of the environment to which the user belongs, thereby generating an action model that can be operated in accordance with a specific organization .

도 1은 본 발명에 따른 사이버 정보 유출 행위 추출 시스템 구성을 나타낸 블록도이다.
도 2는 본 발명에 따른 사이버 정보 유출 행위 추출 시스템의 동작 시 유출 결과에 대한 예시도이다.
도 3은 본 발명에 따른 사이버 정보 유출 행위 추출 시스템에서 사용자는 데이터 포맷의 일 예를 나타낸 도면이다.
도 4는 개별 정보 유출 행위의 판별을 위한 온톨로지 모델을 나타낸 도면이다.
도 5는 네트워크 상에서 수집된 데이터를 온톨로지 모델을 통하여 가공한 개별 객체 간의 관계의 표현이다.1 is a block diagram showing a configuration of a system for extracting a cyber information leakage action according to the present invention.
FIG. 2 is a diagram illustrating an outflow result in operation of the cyber information leakage activity extracting system according to the present invention. FIG.
FIG. 3 is a diagram illustrating an example of a data format of a user in the cyber information leakage activity extraction system according to the present invention.
4 is a diagram showing an ontology model for discriminating individual information leakage behavior.
5 is a representation of the relationship between individual objects processed through an ontology model on data collected on a network.

이하, 첨부된 도면을 참조하여 본 명세서에 개시된 실시 예를 상세히 설명하되, 도면 부호에 관계없이 동일하거나 유사한 구성요소는 동일한 참조 번호를 부여하고 이에 대한 중복되는 설명은 생략하기로 한다. 이하의 설명에서 사용되는 구성요소에 대한 접미사 "모듈" 및 "부"는 명세서 작성의 용이함만이 고려되어 부여되거나 혼용되는 것으로서, 그 자체로 서로 구별되는 의미 또는 역할을 갖는 것은 아니다. 또한, 본 명세서에 개시된 실시 예를 설명함에 있어서 관련된 공지 기술에 대한 구체적인 설명이 본 명세서에 개시된 실시 예의 요지를 흐릴 수 있다고 판단되는 경우 그 상세한 설명을 생략한다. 또한, 첨부된 도면은 본 명세서에 개시된 실시 예를 쉽게 이해할 수 있도록 하기 위한 것일 뿐, 첨부된 도면에 의해 본 명세서에 개시된 기술적 사상이 제한되지 않으며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다. Hereinafter, embodiments of the present invention will be described in detail with reference to the accompanying drawings, wherein like reference numerals are used to designate identical or similar elements, and redundant description thereof will be omitted. The suffix "module" and " part "for the components used in the following description are given or mixed in consideration of ease of specification, and do not have their own meaning or role. In the following description of the embodiments of the present invention, a detailed description of related arts will be omitted when it is determined that the gist of the embodiments disclosed herein may be blurred. It is to be understood that both the foregoing general description and the following detailed description are exemplary and explanatory and are intended to provide further explanation of the invention as claimed. , ≪ / RTI > equivalents, and alternatives.

제1, 제2 등과 같이 서수를 포함하는 용어는 다양한 구성요소들을 설명하는데 사용될 수 있지만, 상기 구성요소들은 상기 용어들에 의해 한정되지는 않는다. 상기 용어들은 하나의 구성요소를 다른 구성요소로부터 구별하는 목적으로만 사용된다.Terms including ordinals, such as first, second, etc., may be used to describe various elements, but the elements are not limited to these terms. The terms are used only for the purpose of distinguishing one component from another.

어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다.It is to be understood that when an element is referred to as being "connected" or "connected" to another element, it may be directly connected or connected to the other element, . On the other hand, when an element is referred to as being "directly connected" or "directly connected" to another element, it should be understood that there are no other elements in between.

단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. The singular expressions include plural expressions unless the context clearly dictates otherwise.

본 출원에서, "포함한다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.In the present application, the terms "comprises", "having", and the like are used to specify that a feature, a number, a step, an operation, an element, a component, But do not preclude the presence or addition of one or more other features, integers, steps, operations, elements, components, or combinations thereof.

본 발명은 내부의 정보를 외부로 유출하는 개별 정보 유출 행위를 사전에 식별 및 정의하는 수단으로 온톨로지(ontology)를 사용한다. 상기 온톨로지는 단어와 단어 간의 관계들로 구성된 일종의 사전으로, 단어들이 계층적으로 표현되어 있으며, 추가 단어의 확장이 가능하도록 추론 규칙이 포함되어 있는 웹 기반의 지식 처리 및 공유 모델이다. The present invention uses an ontology as a means for previously identifying and defining an individual information leakage operation that causes internal information to leak to the outside. The ontology is a kind of dictionary composed of relations between words and words. It is a web-based knowledge processing and sharing model in which words are hierarchically represented and inference rules are included so that additional words can be extended.

이하에서는 본 발명에 따른 온톨로지를 활용하여, 사이버 정보 유출 행위 추출 시스템에서 내부 정보를 유출하는 행위를 검출하기 위한 방법에 대하여 설명한다. Hereinafter, a method for detecting an activity of leakage of internal information in the cyber information leakage activity extraction system using the ontology according to the present invention will be described.

도 1을 참조하면, 본 실시 예에 따른 사이버 정보 유출 행위 추출 시스템(100)은 노트북, 컴퓨터, 서버 등을 포함한 컴퓨팅 장치에 의하여 구현될 수 있다. Referring to FIG. 1, the system 100 for extracting cyber information leakage behavior according to the present embodiment may be implemented by a computing device including a notebook computer, a server, and the like.

상기 사이버 정보 유출 행위 시스템(100)은 사용자(또는 관리자)에 의하여 정의된 개별 유출 행위 정보와 사이버 환경에서 수집된 데이터를 관리하는 데이터 관리 모듈(101)과, 상기의 데이터 관리 모듈(101)에서 수집된 데이터를 기반으로 온톨로지(ontology) 기반의 행위 모델을 생성 및/또는 관리하기 위한 온톨로지 관리 모듈(102), 온톨로지 기반의 행위 모델과 관련된 온톨로지 데이터들을 저장하기 위한 온톨로지 데이터베이스(103)로 구성된다. 여기에서, 사용자 또는 관리자는 정보 유출을 막기 위하여, 사이버 정보 유출 행위 시스템(100)을 사용하는 사람을 의미한다. The cyber information leakage operation system 100 includes a data management module 101 for managing individual leakage information defined by a user (or a manager) and data collected in a cyber environment, An ontology management module 102 for creating and / or managing an ontology-based behavior model based on the collected data, and an ontology database 103 for storing ontology data related to an ontology-based behavior model . Here, a user or an administrator refers to a person who uses the cyber information leakage behavior system 100 to prevent information leakage.

상기 데이터 관리 모듈(101)은 사이버 정보 유출 행위 시스템(100)의 모든 데이터들을 통합적으로 관리하도록 형성될 수 있다. The data management module 101 may be configured to integrally manage all the data of the cyber information leakage activity system 100.

도 1을 참조하면, 상기 데이터 관리 모듈(101)은 개별 정보 유출 행위를 정의하는 행위 정의 컴포넌트(104), 사이버 환경에서 발생한 데이터를 수집하는 데이터 수집 컴포넌트(105), 데이터를 불러오기 위한 행위 모델 파일 로드 컴포넌트(106)로 구성된다. 1, the data management module 101 includes an action definition component 104 that defines an individual information outflow behavior, a data collection component 105 that collects data generated in the cyber environment, an action model And a file load component 106.

상기 행위 정의 컴포넌트(104)는 데이터를 분석하고, 분석 결과를 이용하여, 개별 정보 유출 행위를 정의한다. 여기에서, 데이터는 네트워크 상에서 임의의 구성원이 인터넷을 이용하거나, 로컬 네트워크를 이용하여 문서 다운로드 또는 업로드를 수행하는 경우, 발생하는 네트워크 패킷 데이터이다.The behavior defining component 104 analyzes the data and uses the analysis results to define the individual information outflow behavior. Here, the data is network packet data that occurs when any member on the network uses the Internet or performs document downloading or uploading using the local network.

본 발명에서의 사이버 정보 유출 행위 시스템을 사용하는 사용자는 온톨로지를 이용한 개별 정보 유출 행위를 정의하기 위하여, 사이버 환경에서 내부 정보를 외부로 유출하기 위한 행위 모델 및 각 행위에 대한 위험 수준을 정의한다. 상기 행위 모델은 내부 정보를 유출할 위험이 있는 임의의 구성원의 사이버 행위로써, 대표적으로, 프린터 행위, 검색 행위 및 접근 행위가 포함된다. 상기 위험 수준은 각 행위에 대한 내부 정보의 유출 위험도를 나타내는 지표로써, 최소 위험 정도를 나타내는 회피, 중간 위험 정도를 나타내는 의심, 최고 위험 정도를 나타내는 변칙으로 정의될 수 있다. A user who uses the cyber information leakage behavior system according to the present invention defines a behavior model for leakage of internal information in the cyber environment and a risk level for each activity in order to define individual information leakage behavior using the ontology. The behavior model is a cyber behavior of any member who is at risk of leakage of internal information, and typically includes a printer action, a search action, and an access action. The risk level is an indicator of the risk of leakage of internal information for each action. It can be defined as an avoidance indicating the degree of risk, a suspicion indicating the degree of intermediate risk, and an anomaly indicating the degree of the highest risk.

한편, 본 발명에서는, 상기 행위 모델 및 위험 수준에 대한 데이터들은 액셀 포맷으로 정의될 수 있다. 보다 구체적으로, 사용자는 액셀 포맷을 활용하여, 사전에 행위 모델을 정의하고, 상기 행위 모델 별 위험 수준을 설정할 수 있다. 다만, 본 발명은 이에 한정되는 것이 아니라, 액셀 포맷 이외에도 다양한 데이터 형식이 사용될 수 있으나, 설명의 편의를 위하여, 액셀 포맷을 기준으로 설명한다. Meanwhile, in the present invention, the data on the behavior model and the risk level can be defined in an accelerated format. More specifically, the user can define the behavior model in advance and set the risk level for each behavior model using the accelerator format. However, the present invention is not limited to this, and various data formats other than the accelerator format may be used. However, for the sake of convenience, the accelerator format will be described with reference to the accelerator format.

예를 들어, 도 3을 참조하면, 상기 엑셀 포맷으로 정의된 데이터에는 Host, 목적지 IP, 프로토콜 타입, 전송 타입, 파일 타입, 파일 이름, URL, HTTP 타입, 메시지, 메일 제목, 참조인, 숨은 참조인, 받는 사람 이메일 주소, 첨부 파일 항목 중 적어도 하나의 항목이 포함될 수 있다. 상기 엑셀 포맷으로 정의된 데이터에 포함된 항목들은 사용자(또는 관리자)의 사용 환경에 맞추어 추가되거나 삭제될 수 있다. For example, referring to FIG. 3, data defined in the Excel format includes a host, a destination IP, a protocol type, a transmission type, a file type, a file name, a URL, an HTTP type, A recipient email address, and an attachment item may be included. The items included in the data defined in the Excel format may be added or deleted according to the usage environment of the user (or the administrator).

상기 행위 정의 컴포넌트(104)는 상기 엑셀 포맷으로 정의된 데이터를 기 설정된 알고리즘에 근거하여 분석하고, 분석 결과를 이용하여 개별 정보 유출 행위를 사전에 정의할 수 있다. The action definition component 104 analyzes the data defined in the Excel format based on a predetermined algorithm, and can predefine the individual information leakage behavior using the analysis result.

상기 데이터 수집 컴포넌트(105)는 상기 정의된 개별 정보 유출 행위를 기반으로 실제 사이버 환경에서 발생하는 데이터를 수집할 수 있다. 보다 구체적으로, 데이터 수집 컴포넌트(105)는 상기 정의된 개별 정보 유출 행위를 기반으로, 사이버 환경에서 발생하는 데이터들 중 상기 정의된 개별 정보 유출 행위에 해당하는 데이터들을 선별적으로 수집할 수 있다. The data collection component 105 may collect data generated in an actual cyber environment based on the defined individual information leakage behavior. More specifically, the data collection component 105 can selectively collect data corresponding to the defined individual information outflow behavior among data generated in the cyber environment, based on the defined individual information outflow behavior.

상기 행위 모델 파일 로드 컴포넌트(106)는 특정 파일을 로드할 수 있다. 즉, 상기 행위 모델 파일 로드 컴포넌트(106)는 상기 행위 정의 컴포넌트(104)가 개별 정보 유출 행위를 정의하도록, 상기 엑셀 포맷으로 정의된 데이터를 상기 행위 정의 컴포넌트(104)에 전달할 수 있다. 보다 구체적으로 상기 행위 모델 파일 로드 컴포넌트(106)는 사이버 정보 유출 행위 추출 시스템(100)으로부터 상기 엑셀 포맷으로 정의된 데이터를 로드(load)하는 기능을 담당한다. The behavior model file load component 106 may load a specific file. That is, the behavior model file load component 106 may communicate data defined in the Excel format to the behavior definition component 104 such that the behavior definition component 104 defines an individual information outflow behavior. More specifically, the behavior model file load component 106 functions to load data defined in the Excel format from the cyber information leakage behavior extraction system 100.

상기 온톨로지 관리 모듈(102)는 데이터 관리 모듈(101)로부터 개별 정보 유출 행위를 수신하고, 상기 수신된 개별 정보 유출 행위에 근거하여, 의미 기반의 온톨로지 모델을 생성하도록 형성될 수 있다. The ontology management module 102 may be configured to receive the individual information outflow behavior from the data management module 101 and generate a semantic-based ontology model based on the received individual information outflow behavior.

도 1을 참조하면, 상기 온톨로지 관리 모듈(102)은 행위 정의 컴포넌트(104)로부터 정의된 개별 정보 유출 행위에 근거하여, 의미 기반의 온톨로지 모델을 생성하는 온톨로지 생성 컴포넌트(107), 상기 데이터 수집 컴포넌트(105)에서 수집된 데이터 중 개별 정보 유출 행위에 해당하는 데이터를 추출하는 의미 기반 행위 검색 컴포넌트(108), 상기 의미 기반 행위 검색 컴포넌트(108)에서 추출된 데이터를 의미 관계 모델을 기반으로 해석하기 위한 의미 해석 컴포넌트(109)로 구성된다.1, the ontology management module 102 includes an ontology generation component 107 for generating a semantic-based ontology model based on the individual information outflow behavior defined from the behavior definition component 104, A semantic-based behavior retrieval component 108 for extracting data corresponding to an individual information outflow behavior among data collected by the semantic-based behavior retrieval component 105, and a semantic-based behavior retrieval component 108 for analyzing data extracted from the semantic- And a semantic analysis component 109 for the semantic analysis.

상기 온톨로지 생성 컴포넌트(107)는 행위 정의 컴포넌트(104)에서 정의된 개별 정보 유출 행위를 온톨로지 그래프에 근거하여, 온톨로지 모델을 생성할 수 있다. 여기에서, 온톨로지 그래프는 개별 정보 유출 행위를 탐지하기 위하여 사전에 정의된 그래프이다. 예를 들어, 도 4과 같이, 온톨로지 그래프는 개별 정보 유출 행위 간에 및/또는 개별 정보 유출 행위와 관련된 데이터 간의 관계 정보를 나타내는 그래프이다. The ontology generation component 107 can generate an ontology model based on the ontology graph of the individual information outflow behavior defined in the behavior definition component 104. [ Here, the ontology graph is a predefined graph for detecting individual information leakage behavior. For example, as shown in FIG. 4, the ontology graph is a graph showing relationship information between data related to individual information outflow behavior and / or data related to individual information outflow behavior.

보다 구체적으로, 온톨로지 생성 컴포넌트(107)는 네트워크 상에서 발생한 데이터 각각에 대응되는 개별 객체를 생성한다. 여기에서, 개별 객체는 온톨로지 그래프를 형성하는 데이터를 의미한다. 그리고, 온톨로지 생성 컴포넌트(170)는 상기 생성된 개별 객체에 근거하여, 온톨로지 그래프를 정의하고, 상기 정의된 온톨로지 그래프를 활용하여, 온톨로지 모델을 생성할 수 있다. More specifically, the ontology generation component 107 generates individual objects corresponding to data generated on the network. Here, an individual object means data forming an ontology graph. The ontology generation component 170 may define an ontology graph based on the generated individual objects, and generate an ontology model using the defined ontology graph.

도 4를 참조하면, 본 발명의 일 실시 예에 따른 온톨로지 모델은 개별 정보 유출 행위의 판별을 위하여, 그림과 같이 사전에 정의될 수 있다. 보다 구체적으로, 본 발명은 데이터를 속성(property)를 기준으로 분류하고, 이러한 속성에 따라 데이터와 데이터 간의 관계 정보를 생성할 수 있다. 이러한 온톨로지 모델을 생성하는 방법은 종래 기술로써 본 명세서에서는 그 구체적인 설명은 생략한다. Referring to FIG. 4, an ontology model according to an embodiment of the present invention can be defined in advance as shown in FIG. More specifically, the present invention can classify data on the basis of properties, and generate relationship information between data and data according to these attributes. The method for generating such an ontology model is the prior art, and a detailed description thereof will be omitted herein.

그리고, 도 5를 참조하면, 온톨로지 생성 컴포넌트(107)는 상기 도 4와 같이, 정의된 온톨로지 모델에 근거하여, 개별 객체 간의 관계 정보를 생성할 수 있다. Referring to FIG. 5, the ontology generation component 107 can generate relationship information between individual objects based on the defined ontology model, as shown in FIG.

상기 의미 기반 행위 검색 컴포넌트(108)는 상기 온톨로지 그래프에 근거하여, 상기 데이터 수집 컴포넌트(105)에서 수집된 데이터 중 개별 정보 유출 행위에 해당하는 데이터를 추출한다. Based on the ontology graph, the semantic-based behavior search component 108 extracts data corresponding to the individual information outflow among the data collected by the data collection component 105.

상기 의미 해석 컴포넌트(109)는 온톨로지 데이터베이스(103)에 존재하는 온톨로지 데이터와 상기 의미 기반 행위 검색 컴포넌트(108)에서 추출된 데이터 간의 관계를 해석한다. 보다 구체적으로, 상기 의미 해석 컴포넌트(109)는 온톨로지 모델과 상기 추출된 데이터를 비교하여, 상기 검색된 개별 정보 유출 행위가 실제로 개별 정보 유출 행위에 해당하는지 여부를 판단할 수 있다. The semantic analysis component 109 analyzes the relationship between the ontology data existing in the ontology database 103 and the data extracted from the semantic-based behavior search component 108. More specifically, the semantic analysis component 109 compares the extracted data with the ontology model to determine whether the searched individual information leakage operation actually corresponds to an individual information leakage operation.

도 2를 참조하면, 본 발명은 상기 의미 해석 컴포넌트(109)에서 해석한 결과 값을 시각적으로 출력할 수 있다. 예를 들어, 컴퓨팅 장치에 구비된 모니터에는 개별 정보 유출 행위로 판단된 데이터들이 출력될 수 있다. 따라서, 사용자(또는 관리자)는 개별 정보 유출 행위가 있었는지 여부를 직관적으로 확인할 수 있다. Referring to FIG. 2, the present invention can visually output the result interpreted by the semantic analysis component 109. For example, data determined as an individual information leakage operation may be output to a monitor provided in the computing apparatus. Accordingly, the user (or the manager) can intuitively confirm whether or not the individual information leakage occurred.

상기 온톨로지 데이터베이스(103)에는 온톨로지 모델과 온톨로지 그래프가 저장될 수 있다. The ontology database 103 may store an ontology model and an ontology graph.

이상에서는 본 발명에 따른 사이버 정보 유출 행위 추출 시스템(100)에서, 개별 정보 유출 행위를 추출하는 방법에 대하여 설명하였다. 이를 통하여, 사용자(또는 관리자)는 실시간으로 모든 사람들을 감시하지 않더라도, 내부 정보가 유출되었는지 여부를 확인할 수 있다. 따라서, 본 발명은 내부 정보의 유출을 방지할 뿐만 아니라, 내부 정보의 유출을 확인하기 위하여 소요되는 시간과 비용을 획기적으로 감소시킬 수 있다. In the foregoing, a method of extracting the individual information leakage behavior in the cyber information leakage behavior extraction system 100 according to the present invention has been described. Through this, the user (or the manager) can confirm whether or not the internal information is leaked even if the user does not monitor all the people in real time. Therefore, the present invention can dramatically reduce the time and cost required for confirming the leakage of the internal information as well as preventing leakage of the internal information.

Claims (6)

네트워크 상에서 데이터를 수집하고, 상기 수집된 데이터를 기 정의된 행위 모델 및 각 행위 모델에 정의된 위험 수준에 근거하여, 개별 정보 유출 행위를 정의하는 데이터 관리 모듈과;
상기 개별 정보 유출 행위로 정의된 데이터들에 근거하여, 온톨로지 모델 생성하고, 상기 생성된 온톨로지 모델에 근거하여, 네트워크 상에 수집된 데이터들 중 개별 유출 행위에 해당하는 데이터를 추출하는 온톨로지 관리 모듈을 포함하는 사이버 정보 유출 행위 추출 시스템.A data management module for collecting data on the network and defining the collected data according to a predefined behavior model and a risk level defined in each behavior model;
An ontology management module for generating an ontology model based on the data defined as the individual information outflow behavior and extracting data corresponding to the individual outflow behavior among the data collected on the network based on the generated ontology model; Cyber information leakage behavior extraction system. 제1항에 있어서,
상기 데이터 관리 모듈은
개별 정보 유출 행위를 정의하는 행위 정의 컴포넌트,
네트워크 상에서 발생한 데이터를 수집하는 데이터 수집 컴포넌트, 및
상기 네트워크 상에서 수집된 데이터를 행위 정의 컴포넌트로 로드하는 행위 모델 파일 로드 컴포넌트(106)를 포함하는 것을 특징으로 하는 사이버 정보 유출 행위 추출 시스템. The method according to claim 1,
The data management module
An action definition component that defines an individual information leakage behavior,
A data collection component for collecting data occurring on the network, and
And a behavior model file load component (106) for loading the collected data on the network into a behavior definition component. 제1항에 있어서,
상기 기 정의된 행위 모델은
Host, 목적지 IP, 프로토콜 타입, 전송 타입, 파일 타입, 파일 이름, URL, HTTP 타입, 메시지, 메일 제목, 참조인, 숨은 참조인, 받는 사람 이메일 주소 및 첨부 파일 중 적어도 하나의 항목이 포함된 데이터로 구성된 것을 특징으로 하는 사이버 정보 유출 행위 추출 시스템. The method according to claim 1,
The predefined behavioral model
Data including at least one of Host, destination IP, protocol type, transmission type, file type, file name, URL, HTTP type, message, mail title, referent, blind carbon copy, recipient email address and attachment And the cyber information leakage behavior extracting system. 제1항에 있어서,
상기 온톨로지 관리 모듈은
행위 정의 컴포넌트로부터 정의된 개별 정보 유출 행위에 근거하여, 의미 기반의 온톨로지 모델을 생성하는 온톨로지 생성 컴포넌트,
상기 데이터 수집 컴포넌트에서 수집된 데이터 중 개별 정보 유출 행위에 해당하는 데이터를 추출하는 의미 기반 행위 검색 컴포넌트, 및
상기 의미 기반 행위 검색 컴포넌트에서 추출된 데이터를 의미 관계 모델을 기반으로 해석하기 위한 의미 해석 컴포넌트를 포함하는 것을 특징으로 하는 사이버 정보 유출 행위 추출 시스템. The method according to claim 1,
The ontology management module
An ontology generation component that generates a semantic-based ontology model based on the individual information leakage behavior defined from the behavior definition component,
A semantic-based behavior retrieval component for extracting data corresponding to the individual information leakage behavior from the data collected by the data collection component, and
And a semantic analysis component for analyzing the data extracted from the semantic-based behavior search component based on a semantic relation model. 제1항에 있어서,
상기 사이버 정보 유출 행위 추출 시스템은
온톨로지 모델과 온톨로지 그래프가 저장하는 온톨로지 데이터베이스를 더 포함하는 것을 특징으로 하는 사이버 정보 유출 행위 추출 시스템. The method according to claim 1,
The cyber information leakage activity extraction system
Further comprising an ontology database stored by the ontology model and the ontology graph. 제5항에 있어서,
상기 온톨로지 관리 모듈은
상기 온톨로지 데이터베이스에 존재하는 온톨로지 데이터와 상기 추출된 데이터 간의 관계를 해석하고,
상기 해석 결과에 근거하여, 상기 추출된 데이터가 개별 정보 유출 행위에 해당하는지 여부를 판단하는 것을 특징으로 하는 사이버 정보 유출 행위 추출 시스템.6. The method of claim 5,
The ontology management module
Analyzing a relationship between ontology data existing in the ontology database and the extracted data,
And determining whether the extracted data corresponds to an individual information leakage operation based on the analysis result.
KR1020160184412A 2016-12-30 2016-12-30 Detection system of cyber information leaking action KR101923996B1 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020160184412A KR101923996B1 (en) 2016-12-30 2016-12-30 Detection system of cyber information leaking action

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020160184412A KR101923996B1 (en) 2016-12-30 2016-12-30 Detection system of cyber information leaking action

Publications (2)

Publication Number Publication Date
KR20180079049A true KR20180079049A (en) 2018-07-10
KR101923996B1 KR101923996B1 (en) 2018-11-30

Family

ID=62915934

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020160184412A KR101923996B1 (en) 2016-12-30 2016-12-30 Detection system of cyber information leaking action

Country Status (1)

Country Link
KR (1) KR101923996B1 (en)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110750710A (en) * 2019-09-03 2020-02-04 深圳壹账通智能科技有限公司 Wind control protocol early warning method and device, computer equipment and storage medium

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20120069130A (en) * 2010-12-20 2012-06-28 (주)유비엔 A realtime monitoring method based on log data
KR20150084123A (en) * 2014-01-13 2015-07-22 한국전자통신연구원 Apparatus and method for detecting abnormal behavior

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20120069130A (en) * 2010-12-20 2012-06-28 (주)유비엔 A realtime monitoring method based on log data
KR20150084123A (en) * 2014-01-13 2015-07-22 한국전자통신연구원 Apparatus and method for detecting abnormal behavior

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110750710A (en) * 2019-09-03 2020-02-04 深圳壹账通智能科技有限公司 Wind control protocol early warning method and device, computer equipment and storage medium

Also Published As

Publication number Publication date
KR101923996B1 (en) 2018-11-30

Similar Documents

Publication Publication Date Title
US11194905B2 (en) Affectedness scoring engine for cyber threat intelligence services
US11032304B2 (en) Ontology based persistent attack campaign detection
Mittal et al. Cybertwitter: Using twitter to generate alerts for cybersecurity threats and vulnerabilities
US11082434B2 (en) Inferring temporal relationships for cybersecurity events
US9336388B2 (en) Method and system for thwarting insider attacks through informational network analysis
US7996374B1 (en) Method and apparatus for automatically correlating related incidents of policy violations
Rastogi et al. Malont: An ontology for malware threat intelligence
US11985142B2 (en) Method and system for determining and acting on a structured document cyber threat risk
US20140337974A1 (en) System and method for semantic integration of heterogeneous data sources for context aware intrusion detection
Arogundade et al. An ontology-based security risk management model for information systems
US9141692B2 (en) Inferring sensitive information from tags
US10482240B2 (en) Anti-malware device, anti-malware system, anti-malware method, and recording medium in which anti-malware program is stored
KR101444308B1 (en) System for early informing a leakage of information
Perera et al. Cyberattack prediction through public text analysis and mini-theories
US20120102112A1 (en) System and method for detection and prevention of spam in tagging systems
CN111813960A (en) Data security audit model device and method based on knowledge graph and terminal equipment
Noever Classifier suites for insider threat detection
Nouh et al. Towards designing a multipurpose cybercrime intelligence framework
CN109684863A (en) Data leakage prevention method, device, equipment and storage medium
WO2022265803A1 (en) Likelihood assessment for security incident alerts
KR20180013270A (en) Automatic generation method of Indicators of Compromise and its application for digital forensic investigation of cyber attack and System thereof
KR101923996B1 (en) Detection system of cyber information leaking action
CN116881962A (en) Security monitoring system, method, device and storage medium
Safarzadeh et al. A novel and comprehensive evaluation methodology for SIEM
Nagashree et al. An early risk detection and management system for the cloud with log parser

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
AMND Amendment
E601 Decision to refuse application
AMND Amendment
X701 Decision to grant (after re-examination)
GRNT Written decision to grant