침입탐지 시스템
침입탐지 시스템(IDS : Intrusion Detection System)은
컴퓨터 시스템에 발생한 행위에 대한 분석을 통해 침입을
탐지하고 이에 적절한 보고 및 대응을 하는 시스템을 말한다.
침입탐지 시스템의 기능을 크게 나누어 보면 탐지대상으로부터
발생하는 데이터를 수집하고 이를 의미있는 정보로 가공,
축약한 다음, 분석하여 침입여부를 판정한다. 이후 이에
대한 적절한 보고 및 대응이 이루어지게 된다.
침입탐지 시스템의 일반적인 분류에 대해 두 가지 측면으로
살펴보면 침입모델에 따른 분류와 수집대상이 되는 데이터의
위치에 따른 분류로 볼 수 있다.
침입모델에 따른 분류는 다시 비정상적인 행위에 대한
침입탐지(anomaly detection)와 오용침입탐지(misuse detection)로
나뉜다. 비정상적인 행위에 대한 침입탐지(anomaly detection)은
시스템 또는 사용자의 행위가 정상적인 행위로부터 벗어났을 때를
탐지하는 방법으로 정상적인 행위에 대한 정보가 부족하고나
잘못되었을 경우 정상적 행의에 대한 정보가 부족하거나
잘못되었을 때 긍정적인 결함(false positive)라고 할 수 있다.
반면 오용침입탐지(misuse detection)는 이미 알고 있는
침입에 대한 패턴 등을 통해 침입을 탐지하는 방법인데
침입에 대한 분석 및 판정을 위해 전문가 시스템이나
상태전이 분석(State Transition Analysis) 등을 사용한다.
만약 잘못된 판정이 생겼을 경우 긍정적 결함(false positive)과
부정적 결함(false negative)이 발생된다.
수집대상이 되는 데이터의 위치에 따른 분류는 다시 호스트
기반 침입탐지와 다중호스트 기반 침입탐지와 다중호스트 기반
침입탐지는 탐지대상이 되는 시스템의 OS(Operating System)에서
발생되는 정보(로그인 정보, 시스템 로그 정보등)를 이용하여
침입을 탐지하게 되며, 시스템내의 파일이나 실행코드에 대해서
탐지할 수 있도록 스캐너를 결합할 수 있다.
다중 호스트 기반 침입탐지는 탐지대상 시스템의 OS와
밀접한 관계가 있으므로 자세한 모니터링이 가능하고
내부자에 의한 침입도 추적할 수 있다. 그러나 탐지대상 시스템
자체의 선능을 저하시킬 수 있다는 단점을 가진다.
네트워크 기반 침입탐지는 네트워크 기반의 공격을 탐지하여
네트워크기반 구조를 보호한다. 대부분의 경우 탐지대상이
되는 모든 패킷을 분석할 수 있는 엑세스 포인트에 설치되며
패킷의 헤더나 트래픽 양, 데이터에 대한 분석 등을 통하여
침입을 탐지한다. 그러나 VPN과 같은 환경에서 패킷이
암호화되어 있는 경우 분석이 어렵고 네트워크 트래픽이 많은
경우 실시간 분석이 어렵다는 단점이 있다.
현재 침입차단 시스템 제품의 분석에 따르면 침입모델에 따른
분류의 경우 오용 침입탐지 시스템이 가장 많이 쓰이고 있는
것을 알 수 있는데, 이는 비정상적인 행위에 대한 침입탐지에서
정상적인 행위의 데이터가 계속적으로 변함에 따라
이를 분석하고 판단할 시스템의 구성이 어렵기 때문이다.
상용 제품의 경우 정상적인 행위의 정보를 위해
자원사용시간, 네트워크 접속수, CPU 사용량 등 통계에
기반하여 자료를 추출하는 정도이고, 사용자의 정상적인
행위에 대한 모델링을 위하여 신경망, Data Mining 등의
방법에 대해 연구 중에 있다. 수집대상이 되는 데이터의
위치에 따른 분류의 경우에는 네트워크 기반의 침입탐지
시스템이 선호되고 있는데 네트워크 기반의 침입탐지가 탐지대상
시스템의 부하가 없고 TCP/IP와 같은 프로토콜을 이용하여
이기종의 시스템을 관리할 수 있기 때문이다.