| 1 |
1
일정기간 네트워크 트래픽을 수집하고 분석하여 저장하는 트래픽 수집 및 종합부;상기 일정기간 수집된 트래픽으로부터 특성 필터를 이용하여 트래픽 특성 벡터를 생성하는 트래픽 특성 벡터 생성부;상기 생성된 트래픽 특성 벡터와 사전 정의된 웜 트래픽 특성 프로파일의 각 유형과의 유사도 점수를 생성하는 유사도 분석부;상기 사전 정의된 웜 트래픽 특성 프로파일의 유형에 대해 생성된 유사도 점수를 이용하여 트래픽 유형을 결정하는 트래픽 유형 결정부;상기 결정된 트래픽 유형의 유사도 점수를 사전 정의된 심각도 판정 점수 범위와 비교하여 심각도 등급을 판정하는 심각도 판정부; 및상기 판정 결과에 따른 대응 및 경보를 수행하는 대응 및 경보 수행부를 포함하여 구성되는 것을 특징으로 하는 유형별 트래픽 특성 분류를 통한 인터넷 웜 트래픽 탐지 시스템
|
| 2 |
2
제 1항에 있어서, 상기 트래픽 수집 및 종합부는,네트워크 트래픽의 다양한 기본 정보들인 근원지 IP, 목적지 IP, 근원지 포트, 목적지 포트, 패킷 길이, 프로토콜, 플래그 정보를 포함한 기본 정보를 수집하고, 데이터베이스에 저장하여 상기 트래픽 특성 벡터 생성부에서 분석에 활용하도록 지원하는 것을 특징으로 하는 유형별 트래픽 특성 분류를 통한 인터넷 웜 트래픽 탐지 시스템
|
| 3 |
3
제 1항에 있어서, 상기 트래픽 특성 벡터 생성부는,특성 필터의 추가 또는 삭제가 가능하며, 일정시간 수집된 트래픽 정보를 이용하여 근원지 IP 주소, 목적지 IP 주소, 근원지 포트 번호, 목적지 포트 번호, 패킷 길이, 프로토콜, 패킷의 플래그, 근원지 IP 주소-목적지 IP 주소를 포함하는 단순 통계치 및 단순 통계 항목에 대한 엔트로피를 특성 값으로 생성하는 것을 특징으로 하는 유형별 트래픽 특성 분류를 통한 인터넷 웜 트래픽 탐지 시스템
|
| 4 |
4
제 1항에 있어서, 상기 유사도 분석부는,코사인 유사도, Jaccard 유사도를 포함하는 다양한 유사도 분석 방법에 의해서 유사도를 계산하는 것을 특징으로 하는 유형별 트래픽 특성 분류를 통한 인터넷 웜 트래픽 탐지 시스템
|
| 5 |
5
제 1항에 있어서, 상기 대응 및 경보 수행부는,상기 트래픽 유형 결정부에서 결정된 웜 트래픽 유형별로 상기 심각도 판정부에서 결정된 심각도 등급에 해당하는 대응 방안을 수행하고, 관리자에게 화면 팝업, 전자메일, 단문 메시지를 통해 경보를 알리는 것을 특징으로 하는 유형별 트래픽 특성 분류를 통한 인터넷 웜 트래픽 탐지 시스템
|
| 6 |
6
트래픽 특성 분류를 통한 인터넷 웜 트래픽 탐지 및 유형 분류, 심각도 판정 및 경보를 수행하는 방법에 있어서, 사전에 인터넷 웜에 대한 그룹화를 수행하여 그룹별로 트래픽 특성 벡터를 정의한 웜 트래픽 특성 프로파일을 구성하는 단계;일정기간 수집한 트랙픽에 대한 특성 벡터를 생성하여 사전 정의된 그룹별 트래픽 특성 벡터와 유사도 비교를 수행하여 가장 높은 유사도 점수를 가지는 웜 트래픽 유형을 결정하는 단계;상기 결정된 트래픽 유형의 유사도 점수에 대해 정상에서 심각까지의 사전 정의된 심각도 판정 등급별 기준 점수와 비교하여 심각도를 판정하는 단계;상기 결정된 트래픽 유형의 심각도 등급에 대한 대응 방안을 제공하고, 사용자 경보의 유무를 판단하는 단계; 및 상기 사용자 경보의 유무 판단결과, 사용자 경보가 필요할 경우, 사전 정의된 웜 트래픽 유형 및 위험 등급별 대응 방안을 수행하고, 경보 수단을 통하여 관리자에게 경보를 수행하는 단계를 포함하여 이루어지는 것을 특징으로 하는 유형별 트래픽 특성 분류를 통한 인터넷 웜 트래픽 탐지 방법
|
| 7 |
7
제 6항에 있어서, 상기 사용자 경보의 유무 판단결과, 사용자 경보가 필요 없는 경우, 정상 트래픽으로 간주하는 것을 특징으로 하는 유형별 트래픽 특성 분류를 통한 인터넷 웜 트래픽 탐지 방법
|
| 8 |
8
제 6항에 있어서,사전 정의된 웜 트래픽 특성 프로파일의 유형별 특성 벡터를 조정하여 설치기간에 맞도록 초기 조정하는 단계를 포함하는 것을 특징으로 하는 유형별 트래픽 특성 분류를 통한 인터넷 웜 트래픽 탐지 방법
|
| 9 |
9
제 8항에 있어서, 상기 웜 트래픽 특성 프로파일을 초기 조정하는 단계는,패킷을 수집하고 수집된 패킷의 헤더를 분석하여 트래픽 기본 정보를 생성하는 단계; 상기 생성된 트래픽 기본 정보를 트래픽 기본 정보 데이터베이스에 저장하는 단계; 상기 수집된 트래픽 기본 정보를 이용하여 유형별 트래픽 특성 값을 생성하여 특성값 데이터베이스에 저장하는 단계; 웜 트래픽 특성 프로파일 생성기간이 완료되었는지 판단하고, 판단결과 웜 트래픽 특성 프로파일 생성 기간이 완료된 경우, 상기 특성값 데이터베이스를 이용하여 설치 기관의 평시 트래픽에 대한 특성값 프로파일을 생성하는 단계; 및설치 기관의 평시 트래픽의 특성값을 이용하여 상기 저장된 유형별 트래픽 특성 값을 조정하여 웜 트래픽 특성 프로파일을 구성하는 단계를 포함하여 이루어지는 것을 특징으로 하는 유형별 트래픽 특성 분류를 통한 인터넷 웜 트래픽 탐지 방법
|
| 10 |
10
제 9항에 있어서, 상기 판단 결과, 웜 트래픽 특성 프로파일 생성기간이 완료되지 않은 경우,상기 패킷 수집 단계로 리턴하여 웜 트래픽 특성 프로파일 생성기간이 완료될 때까지 정해진 일정 시간동안 반복적으로 수행하는 것을 특징으로 하는 유형별 트래픽 특성 분류를 통한 인터넷 웜 트래픽 탐지 방법
|
| 11 |
11
제 9항에 있어서, 상기 평시 트래픽 특성은,설치되는 기관의 트래픽의 특성을 일정기간 동안 운영한 결과로서의 트래픽 특성을 나타내는 것을 특징으로 하는 유형별 트래픽 특성 분류를 통한 인터넷 웜 트래픽 탐지 방법
|
