침입 탐지 시스템

3. 침입 방지 시스템 (IPS)

침입 방지 시스템(IPS, Intrusion Prevention System)은 침입 탐지 시스템(IDS)의 기능을 확장한 것으로, 단순 침입 탐지를 넘어 능동적으로 공격을 차단하고 방어하는 역할을 수행한다. 이는 마치 경보만 울리는 것이 아니라 직접 도둑을 쫓아내는 경비원과 같다.

IPS는 네트워크를 통과하는 트래픽을 실시간으로 샅샅이 살펴보고, 공격으로 의심되는 패턴이 발견되면 즉시 조치를 취한다. 이러한 조치에는 다음과 같은 것들이 있다.^[6]

• 공격 차단: 공격 트래픽을 네트워크에 들어오지 못하게 막는다.
• 악성 패킷 제거: 해로운 데이터 조각을 골라내어 제거한다.
• 연결 재설정: 공격자와의 연결을 강제로 끊어버린다.
• IP 주소 차단: 특정 IP 주소에서 오는 트래픽을 막아, 추가 공격을 예방한다.

3. 1. IPS의 분류

• 네트워크 기반 침입 방지 시스템(NIPS): 네트워크 전체를 모니터링하며, 프로토콜 활동을 분석하여 의심스러운 트래픽을 탐지한다.
• 무선 침입 방지 시스템(WIPS): 무선 네트워크를 모니터링하며, 무선 네트워킹 프로토콜을 분석하여 의심스러운 트래픽을 탐지한다.
• 네트워크 동작 분석(NBA): 네트워크 트래픽을 검사하여 분산 서비스 거부(DDoS) 공격, 특정 형태의 멀웨어, 정책 위반 등 비정상적인 트래픽 흐름을 유발하는 위협을 식별한다.
• 호스트 기반 침입 방지 시스템(HIPS): 단일 호스트에 설치되는 소프트웨어 패키지로, 해당 호스트 내에서 발생하는 이벤트를 분석하여 의심스러운 활동을 탐지한다.

네트워크 기반 IDPS와 NBA는 모두 네트워크를 감시하지만, 전자는 주로 네트워크 경계에 설치되어 통신을 감시하고, NBA는 조직 LAN 내에 설치되어 LAN 내 통신을 감시한다는 차이점이 있다.

4. 침입 탐지 시스템의 구성 요소

침입 탐지 시스템(IDS)은 네트워크 방화벽 외부 또는 내부에 배치할 수 있다. 방화벽 외부에 배치하면 인터넷에서 유입되는 잡음과 포트 스캔, 네트워크 매퍼와 같은 공격을 방어하고, OSI 모델 4~7계층을 모니터링하여 시그니처 기반 탐지를 수행한다.^[27] 이는 방화벽을 통과한 실제 침입 대신 시도된 침입을 알려주어 오탐을 줄이고, 공격 발견 시간을 단축시킨다.^[27] 고급 IDS는 방화벽과 통합되어 라우팅 및 브리지 모드에서 여러 보안 컨텍스트를 제공하여 운영 복잡성을 줄이기도 한다.^[27]

네트워크 내부에 IDS를 배치하면 내부 공격이나 의심스러운 활동을 탐지할 수 있다.^[27] 이는 사용자가 보안 위험을 초래하거나, 이미 침입한 공격자가 자유롭게 활동하는 것을 방지한다.^[27] 강력한 인트라넷 보안은 해커의 권한 조작 및 에스컬레이션을 어렵게 만든다.^[27]

IDPS는 주로 다음과 같은 기능을 갖는다.

• 이벤트 감시, 분석 및 원치 않는 활동 식별^[58]
• 관측한 이벤트 정보 기록 (로컬 기록, SIEM 연계)^[58]
• 보안 관리자에게 중요 이벤트 통지 (이메일, 페이저, 전용 UI, SNMP 트랩, syslog, 사용자 스크립트 등)^[58]
• 보고서 작성 (감시 이벤트 개요, 상세 정보 등)^[58]
• 보안 프로파일 갱신 기능^[58]

• IPS 자체에 의한 공격 저지 (네트워크 접속/세션 종료, 사용자 계정/IP 주소 차단, 리소스 차단)^[58]
• 다른 장비의 보안 설정 변경 (라우터/스위치/방화벽 규칙 변경, 패치 자동 적용)^[58]
• 공격 무해화 (멀웨어 첨부 파일 제거, 프록시 기능, 정규화)^[58]

로그는 로컬과 집중 로그 서버 양쪽에 보관하여 데이터 완전성과 가용성을 확보하는 것이 좋다.^[61] 정확한 분석을 위해 NTP 등으로 모든 구성 요소 간 시간 일관성을 유지해야 한다.^[61]

IDPS 구성 요소 간 통신은 조직 표준 네트워크 또는 IDPS 관리 전용 네트워크를 이용한다. 관리 전용 네트워크는 IDPS 자체 공격 방지, 표준 네트워크 문제 발생 시에도 감시/분석 가능하나 비용이 증가한다.^[61] VLAN 분리는 비용 절감하나 물리적 분리만큼 안전하지 않고 네트워크 포화 위험이 높다.^[61]

오픈 소스 IDPS인 Snort의 관리 서버는 다음과 같다.^[62]

IDPS는 패킷 캡처에 pcap, BPF 등을 사용한다.^[62] 상용 IDPS는 대량 트래픽 처리를 위해 전용 NIC를 사용하기도 한다.^[62]

4. 1. 센서/에이전트

• 네트워크 기반 시스템 (NIDS): 센서는 모니터할 네트워크 또는 DMZ, 네트워크 경계의 초크 포인트(choke point)에 위치한다. 모든 네트워크 트래픽의 흐름을 캡처하여 각 패킷 내용을 분석해 악의적인 트래픽을 탐지한다.
• 호스트 기반 시스템 (HIDS): 센서는 주로 설치된 호스트의 모든 활동을 감시하는 소프트웨어 에이전트로 구성된다.
• 하이브리드 시스템: 위의 두 가지 방식을 결합한 형태이다. 호스트 에이전트 데이터와 네트워크 정보를 결합하여 네트워크를 종합적으로 관찰한다.

4. 2. 관리 서버

4. 3. 데이터베이스 서버

4. 4. 콘솔

5. 침입 탐지 시스템의 한계

잡음은 침입 탐지 시스템(IDS)의 효율성을 심각하게 제한할 수 있다. 소프트웨어 버그로 생성된 잘못된 패킷, 손상된 DNS 데이터, 그리고 유출된 로컬 패킷은 거짓 경보율을 상당히 높일 수 있다.^[28]

실제 공격 횟수가 거짓 경보 횟수보다 훨씬 적은 것은 드문 일이 아니다. 실제 공격 횟수는 종종 거짓 경보 횟수보다 훨씬 적어서 실제 공격이 종종 놓치고 무시된다.^[28]

많은 공격은 대개 구식이 된 특정 버전의 소프트웨어를 대상으로 한다. 위협을 완화하기 위해서는 지속적으로 변경되는 시그니처 라이브러리가 필요하다. 구식 시그니처 데이터베이스는 IDS를 새로운 전략에 취약하게 만들 수 있다.^[28]

시그니처 기반 IDS의 경우, 새로운 위협이 발견된 후 해당 시그니처가 IDS에 적용되기까지 지연이 발생한다. 이 지연 시간 동안 IDS는 위협을 식별할 수 없다.^[24]

취약한 식별 및 인증 메커니즘이나 네트워크 프로토콜의 취약점을 보완할 수 없다. 공격자가 취약한 인증 메커니즘으로 인해 접근 권한을 얻으면 IDS는 적대자가 어떠한 부정 행위를 하는 것을 막을 수 없다.

암호화된 패킷은 대부분의 침입 탐지 장치에서 처리되지 않는다. 따라서 암호화된 패킷은 더 심각한 네트워크 침입이 발생할 때까지 발견되지 않은 채 네트워크 침입을 허용할 수 있다.

침입 탐지 소프트웨어는 네트워크로 전송되는 IP 패킷과 관련된 네트워크 주소를 기반으로 정보를 제공한다. 이는 IP 패킷에 포함된 네트워크 주소가 정확할 경우 유용하다. 그러나 IP 패킷에 포함된 주소는 위조되거나 섞일 수 있다.

NIDS 시스템의 특성상, 그리고 캡처된 프로토콜을 분석해야 할 필요성 때문에 NIDS 시스템은 네트워크 호스트가 취약할 수 있는 것과 동일한 프로토콜 기반 공격에 취약할 수 있다. 잘못된 데이터와 TCP/IP 스택 공격은 NIDS를 충돌시킬 수 있다.^[29]

클라우드 컴퓨팅의 보안 조치는 사용자의 개인 정보 보호 요구 사항의 변화를 고려하지 않는다.^[30] 그들은 사용자가 회사인지 개인인지에 관계없이 모든 사용자에게 동일한 보안 메커니즘을 제공한다.^[30]

6. 침입 탐지 시스템의 발전

침입 탐지 시스템(IDS)의 개념은 1980년 국가안보국(National Security Agency)의 제임스 앤더슨(James Anderson)이 처음 제시했다. 그는 관리자가 감사 추적(audit trail)을 검토하는 데 도움을 주는 도구 세트를 제안했다.^[31] 감사 추적에는 사용자 액세스 로그, 파일 액세스 로그, 시스템 이벤트 로그 등이 있다.

1986년 도로시 E. 데닝(Dorothy E. Denning)은 피터 G. 노이만(Peter G. Neumann)의 도움을 받아 오늘날 많은 시스템의 기반이 되는 IDS 모델을 발표했다.^[33] 이 모델은 이상 징후 탐지를 위해 통계를 사용했으며, SRI 인터내셔널에서 침입 탐지 전문가 시스템(IDES)이라는 초기 IDS 개발로 이어졌다. IDES는 썬 마이크로시스템즈(Sun Microsystems) 워크스테이션에서 실행되었으며, 사용자 및 네트워크 수준 데이터를 모두 고려했다.^[34] IDES는 알려진 침입 유형을 탐지하는 규칙 기반 전문가 시스템과 사용자, 호스트 시스템 및 대상 시스템 프로필 기반 통계적 이상 징후 탐지 구성 요소를 사용하는 이중 접근 방식을 채택했다.

이후 다양한 IDS가 개발되었는데, 주요 내용은 다음과 같다.

"IDES: 침입자 탐지를 위한 지능형 시스템"의 저자인 테레사 F. 런트는 IDES에 인공 신경망을 추가할 것을 제안했다.^[34]

2015년에는 비에가스 등이 사물 인터넷(IoT) 응용을 위한 시스템 온 칩(SoC)을 목표로 하는 이상 징후 기반 침입 탐지 엔진을 제안했다. 이 엔진은 머신 러닝을 이상 징후 탐지에 적용하여 에너지 효율성을 높였다.^[51]

참조

_[1] 웹사이트 What is an Intrusion Detection System (IDS)? https://www.checkpoi[...] Check Point Software Technologies 2023-01-01
_[2] 서적 Cyber and Chemical, Biological, Radiological, Nuclear, Explosives Challenges: Threats and Counter Efforts https://books.google[...] Springer 2017-10-30
_[3] 간행물 Intrusion Detection Systems: A Survey and Taxonomy http://neuro.bstu.by[...] 2000-01-01
_[4] 서적 Computer Security: Protecting Digital Resources https://books.google[...] Jones & Bartlett Learning 2009-06-23
_[5] 서적 Honeypots and Routers: Collecting Internet Attacks https://books.google[...] CRC Press 2015-12-02
_[6] 서적 Network and System Security https://books.google[...] Elsevier 2013-08-26
_[7] 서적 Computer and Information Security Handbook https://books.google[...] Morgan Kaufmann 2009-05-04
_[8] 서적 Intrusion detection systems http://worldcat.org/[...] "[U.S. Dept. of Commerce, Technology Administration, National Institute of Standards and Technology]" 2001-01-01
_[9] 논문 Network intrusion detection system: A systematic study of machine learning and deep learning approaches http://dx.doi.org/10[...] 2020-10-16
_[10] 논문 Network intrusion detection system: A systematic study of machine learning and deep learning approaches https://onlinelibrar[...] 2021-01-01
_[11] 서적 2017 International Carnahan Conference on Security Technology (ICCST) IEEE 2017-01-01
_[12] 서적 2018 International Joint Conference on Neural Networks (IJCNN) IEEE 2018-01-01
_[13] 서적 2017 9th Computer Science and Electronic Engineering (CEEC) IEEE 2017-01-01
_[14] 서적 Network World https://books.google[...] IDG Network World Inc 2003-09-15
_[15] 서적 Network and Data Security for Non-Engineers https://books.google[...] CRC Press 2016-08-19
_[16] 웹사이트 A Comparison Between Signature Based and Anomaly Based Intrusion Detection Systems http://www.iup.edu/W[...] 2008-12-04
_[17] 서적 Network Security: Current Status and Future Directions https://books.google[...] John Wiley & Sons 2007-02-09
_[18] 논문 Effective anomaly intrusion detection system based on neural network with indicator variable and rough set reduction 2013-11-01
_[19] 웹사이트 Gartner report: Market Guide for User and Entity Behavior Analytics https://www.gartner.[...] 2015-09-01
_[20] 웹사이트 Gartner: Hype Cycle for Infrastructure Protection, 2016 https://www.gartner.[...]
_[21] 웹사이트 Gartner: Defining Intrusion Detection and Prevention Systems https://www.gartner.[...] 2016-09-20
_[22] 논문 Guide to Intrusion Detection and Prevention Systems (IDPS) http://csrc.ncsl.nis[...] 2007-02-01
_[23] 논문 Intrusion detection system: A comprehensive review https://www.scienced[...] 2013-01-01
_[24] 서적 Principles of Information Security https://archive.org/[...] Course Technology
_[25] 서적 2021 22nd International Arab Conference on Information Technology (ACIT) 2021-12-01
_[26] 웹사이트 IDS Best Practices https://cybersecurit[...] 2020-06-26
_[27] 웹사이트 IDS Placement - CCIE Security https://www.ccexpert[...] 2020-06-26
_[28] 서적 Security Engineering: A Guide to Building Dependable Distributed Systems https://archive.org/[...] John Wiley & Sons
_[29] 웹사이트 Limitations of Network Intrusion Detection https://www.giac.org[...] 2023-12-17
_[30] 논문 Multi-tenant intrusion detection system for public cloud (MTIDS) http://dx.doi.org/10[...] 2018-09-01
_[31] 논문 Computer Security Threat Monitoring and Surveillance https://csrc.nist.go[...] 1980-04-15
_[32] 논문 An Undetectable Computer Virus 2000-01-01
_[33] 문서 An Intrusion Detection Model 1986-05-01
_[34] 문서 IDES: An Intelligent System for Detecting Intruders 1990-11-22
_[35] 문서 Detecting Intruders in Computer Systems 1993-01-01
_[36] 간행물 "Expert Systems in Intrusion Detection: A Case Study" 1988-10
_[37] 간행물 "Haystack: An Intrusion Detection System" 1988-12
_[38] 학술지 Silver Bullet Talks with Becky Bace https://web.archive.[...] 2017-04-18
_[39] 간행물 "Detection of Anomalous Computer Session Activity" 1989-05
_[40] 간행물 "Adaptive Real-time Anomaly Detection Using Inductively Generated Sequential Patterns" 1990
_[41] 간행물 "A Network Security Monitor" 1990
_[42] 간행물 "A UNIX Prototype for Intrusion and Anomaly Detection in Secure Networks" 1990
_[43] 간행물 "The ComputerWatch Data Reduction Tool" 1990
_[44] 간행물 "DIDS (Distributed Intrusion Detection System) -- Motivation, Architecture, and An Early Prototype" 1991-10
_[45] 간행물 "A Phased Approach to Network Intrusion Detection" 1991
_[46] 서적 "Intrusion Detection: An Introduction to Internet Surveillance, Correlation, Trace Back, Traps, and Response" Intrusion.Net Books, Sparta, New Jersey 1999
_[47] 서적 "Snort IDS and IPS Toolkit" Syngress 2007
_[48] 간행물 "ADAM: Detecting Intrusions by Data Mining" 2001-06-05
_[49] 웹사이트 Intrusion Detection Techniques for Mobile Wireless Networks http://www.cc.gatech[...]
_[50] 문서 Intrusion Detection Techniques for Mobile Wireless Networks http://www.cc.gatech[...]
_[51] 학술지 Towards an Energy-Efficient Anomaly-Based Intrusion Detection Engine for Embedded Systems 2017-01-01
_[52] 서적 2015 IEEE International Symposium on Circuits and Systems (ISCAS) 2015-05-01
_[53] 서적 2014 IEEE Computer Society Annual Symposium on VLSI 2014-07-01
_[54] 웹사이트 Towards an Energy-Efficient Anomaly-Based Intrusion Detection Engine for Embedded Systems https://secplab.ppgi[...]
_[55] 웹사이트 IDS（Intrusion Detection System）とは https://atmarkit.itm[...] ＠IT 2018-10-29
_[56] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[57] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[58] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[59] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[60] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[61] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[62] 문서 佐々木他2014
_[63] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[64] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[65] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[66] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[67] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[68] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[69] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[70] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[71] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[72] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[73] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[74] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[75] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[76] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[77] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[78] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[79] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[80] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[81] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[82] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[83] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[84] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[85] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[86] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[87] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[88] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[89] 문서 NIST SP800-94 侵入検知および侵入防止システム（IDPS）に関するガイド
_[90] 웹사이트 Molochフルパケットキャプチャー、セッションログ型 https://molo.ch/ 2020-07-21