-
-
公开(公告)号：KR1020170108330A
公开(公告)日：2017-09-27
申请号：KR1020160032041
申请日：2016-03-17
Applicant: 한국전자통신연구원
CPC classification number: G06F21/566 , G06N5/022
Abstract: 본발명은악성코드탐지장치및 방법에관한것이다. 본발명에따른장치는, 악성코드와정상실행프로그램들의행위를구분하여특정할수 있는특성인자를정의하고, 미리수집된악성코드를실행하여생성된프로세스에의해호출되는 API 호출이벤트중 상기정의된특성인자에해당하는 API 호출이벤트를 API 호출시퀀스로변환하며, 변환된 API 호출시퀀스의행위에대한유사도에따라행위패턴을생성하여행위패턴 DB에저장하는행위패턴생성부, 및타겟프로세스가실행되는경우, 상기타겟프로세스에의해호출되는 API 호출이벤트중 상기정의된특성인자에해당하는 API 호출이벤트를 API 호출시퀀스로변환하고, 변환된 API 호출시퀀스와상기행위패턴 DB에저장된시퀀스의행위에대한유사도에따라악성코드인지를판단하는악성코드탐지부를포함한다.
Abstract translation: 恶意代码检测装置和方法本发明涉 设备根据本发明，所述感染与定义性质。该参数特定的正常执行程序的行为的分离，即通过由运行恶意软件产生的过程调用的API调用事件的定义的属性预先收集 API调用转换为所述事件时，该参数的API调用顺序，行为模式生成单元，并存储在行为模式目标过程DB执行以产生与相似度为转换后的API调用序列充当按照行为模式 ，相似的API调用事件的目标是由该过程调用，所述API调用转换为对应于所定义的特性参数与API调用序列的事件的程度，并将其转换API调用序列与存储在模式DB的序列动作的动作 以及用于检测恶意代码的恶意代码检测单元。
-
公开(公告)号：KR100885293B1
公开(公告)日：2009-02-23
申请号：KR1020060121829
申请日：2006-12-04
Applicant: 한국전자통신연구원
CPC classification number: H04L41/28 , H04L41/0631 , H04L41/22 , H04L63/1425 , H04L63/20
Abstract: 본 발명은 현재 상기 네트워크의 보안 상황을 실시간으로 용이하게 판단할 수 있게 해주는 네트워크 보안 상황 표시 장치 및 그 방법에 관한 것으로서, 네트워크 보안 장치들로부터 원시 보안 이벤트 정보를 수집하는 보안 이벤트 수집부, 상기 보안 이벤트 수집부에 의하여 수집된 원시 보안 이벤트 정보를 분석하여 보안 이벤트에 해당하는 특성 데이터를 추출하는 보안 이벤트 분석부 및 상기 보안 이벤트 분석부에서 추출된 보안 이벤트 특성 데이터들 사이의 상관관계를 디스플레이할 수 있도록, 상기 추출된 보안 이벤트의 아이피 주소 정보를 아이피 주소 맵상으로 매핑하고, 상기 추출된 보안 이벤트의 근원지 포트, 목적지 포트 및 프로토콜 정보를 프로토콜 큐브 상에 매핑하여 3차원 화면으로 시각화하는 3D 시각화 표시부를 포함하여 구성된다.
네트워크, 보안 이벤트, 3D 시각화, 특성 데이터-
公开(公告)号：KR1020080050919A
公开(公告)日：2008-06-10
申请号：KR1020060121829
申请日：2006-12-04
Applicant: 한국전자통신연구원
CPC classification number: H04L41/28 , H04L41/0631 , H04L41/22 , H04L63/1425 , H04L63/20
Abstract: An apparatus and a method for displaying a network security state are provided to enable a network security manager to recognize easily the current network security state by visualizing important attributes of the security events three dimensionally. An apparatus for displaying a network security state includes a security event collector(110), a security event analysis unit(120) and a 3D visualization unit(130). The security event collector collects raw data on security events from network security devices. The security event analysis unit analyzes the raw data on the security events collected by the security event collector, and extracts feature data in correspondence with the specific security event. The 3D visualization unit outputs three dimensionally correlation of the security event feature data, extracted by the security event analysis unit, to a display unit.
Abstract translation: 提供一种用于显示网络安全状态的装置和方法，以使得网络安全管理者能够通过三维地可视化安全事件的重要属性来容易地识别当前的网络安全状态。 用于显示网络安全状态的装置包括安全事件收集器（110），安全事件分析单元（120）和3D可视化单元（130）。 安全事件收集器收集来自网络安全设备的安全事件的原始数据。 安全事件分析单元分析由安全事件收集器收集的安全事件的原始数据，并根据特定安全事件提取特征数据。 3D可视化单元将由安全事件分析单元提取的安全事件特征数据的三维相关输出到显示单元。
-
公开(公告)号：KR100832536B1
公开(公告)日：2008-05-27
申请号：KR1020060108893
申请日：2006-11-06
Applicant: 한국전자통신연구원
Abstract: 본 발명은, 대규모 네트워크에서 발생되는 공격에 따른 보안 관리 방법 및 장치에 관한 것으로서, 대규모 네트워크 내에 산재되어 있는 다수의 라우터로부터 트래픽 정보를 실시간으로 수집하여 상기 수집된 트래픽 정보들에서 특성 정보를 추출하고, 추출된 특성 정보를 통해 실시간으로 각 공격 유형을 탐지하여 탐지된 각 공격 유형별로 계층 구조를 갖는 다중 해쉬 테이블에 저장된 트래픽 통계 정보를 이용하여 공격 상황을 분석 및 인지함으로써 현재 보안 상황을 실시간으로 보다 정확하게 파악할 수 있으며, 이에 따라 공격 유형 간의 정보 중복을 완전히 배제시킬 수 있고, 탐지 오판율을 줄일 수 있는 효과가 있다.
대규모 네트워크, 공격 유형 탐지, 공격 상황 인지, 트래픽 정보, 트래픽 수신기, 트래픽 분류기, 트래픽 분석기, 해쉬 테이블, 해쉬 키, 해쉬엔트리.-
Patent Agency Ranking
公开(公告)号：KR100772177B1
公开(公告)日：2007-11-01
申请号：KR1020060112962
申请日：2006-11-15
Applicant: 한국전자통신연구원
CPC classification number: H04L63/1416
Abstract: A method and a device for generating an intrusion detection event for testing a security function are provided to simply test the security function of products and systems related to security without real hacking or generation and intrusion of attack packets by generating the intrusion detection events for various situations. A method for generating an intrusion detection event for testing a security function is composed of steps for setting a basic information list for generating the intrusion detection event(S100); setting a basic template of the intrusion detection event(S110); selecting specific basic information in the set basic information list(S120); generating a virtual intrusion detection event by inserting the chosen basic information into the basic template(S130); and transmitting the generated virtual intrusion detection event to a security system to be tested(S140).
Abstract translation: 提供了一种用于生成用于测试安全功能的入侵检测事件的方法和设备，以简单地测试与安全相关的产品和系统的安全功能，而无需真正的黑客入侵或攻击包的生成和入侵，并通过生成针对各种情况的入侵检测事件 。 用于生成用于测试安全功能的入侵检测事件的方法包括用于设置用于生成入侵检测事件的基本信息列表的步骤（S100）; 设置入侵检测事件的基本模板（S110）; 在设定的基本信息列表中选择特定的基本信息（S120）; 通过将所选择的基本信息插入到基本模板中来生成虚拟入侵检测事件（S130）; 以及将生成的虚拟入侵检测事件发送到要测试的安全系统（S140）。
-
公开(公告)号：KR100656351B1
公开(公告)日：2006-12-11
申请号：KR1020050084658
申请日：2005-09-12
Applicant: 한국전자통신연구원
IPC: G06F15/00
Abstract: A device and a method for analyzing risk management based on network vulnerability evaluation are provided to increase analysis performance by considering relation between alarm data and vulnerability information, analyze correlation with a current countermeasure policy in addition, and use only the actually needed alarm data. A preprocessor(300) discriminates an attack type of the alarm data generated in the network according to a source/destination IP(Internet Protocol), an attack name, and presence of a port number according to a service sort. A database processor(350) collects and stores the vulnerability information for network assets by using a vulnerability analyzer. A correlation analyzer(310) associates the alarm data according to the presence of the destination IP, the attack name, and the port number, and opening of the port with the presence of the stored vulnerability information for the asset. A countermeasure processor(330) generates or revokes an alarm depending on an association result, and generates the countermeasure policy corresponding to the alarm.
Abstract translation: 本发明提供一种基于网络脆弱性评估的风险管理分析装置和方法，通过考虑告警数据与脆弱性信息的关系，增加分析性能，并与当前的对策策略进行关联分析，仅使用实际需要的告警数据。 预处理器（300）根据服务类别根据源/目的地IP（互联网协议），攻击名称和端口号的存在来区分在网络中产生的警报数据的攻击类型。 数据库处理器（350）通过使用漏洞分析器收集和存储网络资产的漏洞信息。 相关性分析器（310）根据目的IP的存在，攻击名称和端口号以及端口的开放将警报数据与存在所存储的资产的漏洞信息相关联。 对策处理器（330）根据关联结果生成或撤消警报，生成与该警报对应的对策策略。
-
公开(公告)号：KR100651746B1
公开(公告)日：2006-12-01
申请号：KR1020050110358
申请日：2005-11-17
Applicant: 한국전자통신연구원
IPC: H04L12/22
Abstract: A network state display device using traffic flow-radar and a method thereof are provided to intuitively display harmful traffic and abnormality which deteriorate the performance of a network by analyzing and extracting predetermined traffic characteristics, thus the current network state can be easily recognized. A traffic characteristic extractor(110) calculates flow occupancy ratios of each traffic characteristic by targeting on overall flows, micro-flows and macro-flows in reference to traffic information on each traffic characteristic of protocols, transmitting/receiving host addresses, ports, and network addresses collected by an external traffic information collector, and stores the calculated values. A traffic state display(120) displays the calculated and stored occupancy ratios of the traffic characteristic flows as dots on a radar. A traffic abnormality decider(130) decides whether a network is abnormal by referring to the radar, and if an abnormal state occurs, the decider(130) detects and reports a type of the abnormal state and abnormal traffic or harmful traffic which causes the abnormal state.
Abstract translation: 提供一种使用交通流量雷达的网络状态显示装置及其方法，以通过分析和提取预定的交通特征来直观地显示损害网络性能的有害交通和异常，因此可以容易地识别当前网络状态。 交通特征提取器（110）通过针对关于协议的每个通信量特征的交通信息，发送/接收主机地址，端口和网络的整体流量，微流量和宏流量来计算每个通信量特性的流量占用率 由外部交通信息收集器收集的地址，并存储计算出的值。 交通状况显示（120）将计算并存储的交通特征流的占用率显示为雷达上的点。 业务异常判定器（130）通过参考雷达判定网络是否异常，并且如果发生异常状态，则判定器（130）检测并报告异常状态的类型和异常业务或导致异常的有害业务 州。
-
公开(公告)号：KR100628317B1
公开(公告)日：2006-09-27
申请号：KR1020040101086
申请日：2004-12-03
Applicant: 한국전자통신연구원
CPC classification number: H04L63/1416 , G06F21/552 , G06F21/85 , H04L63/1441
Abstract: 본 발명에 의한 네트워크 공격상황 탐지 장치는 접속하고 있는 네트워크의 경보를 수신한 후 소정의 경보 데이터로 가공하여 출력하는 경보수신부; 상기 가공된 경보 데이터의 속성 및 발생 빈도를 기초로 상기 네트워크의 공격상황을 분석하는 경보처리부; 상기 네트워크의 상황을 분석할 수 있는 기본 데이터를 유지하며 상기 경보처리부에 제공하는 메모리부; 및 외부 장치로 상기 분석 결과를 송신하고 상기 공격상황의 판단시 기초가 되는 소정의 임계치를 수신한 후 상기 경보처리부로 출력하여 상기 메모리부에 저장하도록 하는 인터페이스부;를 포함하는 것을 특징으로 하며, 네트워크의 경보를 처리하기 위한 해쉬 엔진과 탐지 엔진을 네트워크 공격 상황으로 분류한 데이터 집합과 동일한 수로 병렬 구성함으로써, 네트워크의 공격 상황을 방대한 양의 침입 탐지 경보로부터 실시간으로 탐지해낼 수 있다.
네트워크 공격상황 분석, 침입탐지 경보 연관성 분석, 고성능 공격상황 탐지-
公开(公告)号：KR100617310B1
公开(公告)日：2006-08-30
申请号：KR1020040077621
申请日：2004-09-25
Applicant: 한국전자통신연구원
IPC: H04L1/20
CPC classification number: H04L41/5032 , H04L41/142 , H04L41/145 , H04L43/16 , H04L63/1425
Abstract: 본 발명에 의한 네트워크 이상 징후 감지 장치는 네트워크 이상 징후 감지 장치는 네트워크상의 적어도 하나 이상의 트래픽 수집 지점에서 수집된 트래픽을 가공하는 전처리부; 상기 트래픽의 특성에 따라 정상 상태의 트래픽을 모델링하는 프로파일러; 상기 트래픽을 기초로 적어도 하나 이상의 임계치를 생성하여 출력하는 분석모델부; 및 상기 네트워크상의 전체 트래픽중에서 상기 트래픽의 상대적 비율과 상기 임계치를 비교하여 상기 네트워크의 이상여부를 판단하는 분석부;를 포함하는 것을 특징으로 하며 전체 트래픽에 대한 상대적인 비율을 이용한 분석 방법과 볼륨에 기반한 분석 방법을 혼합하여 사용함으로써 비율이 제공하는 트래픽 양의 상대성과 볼륨이 제공하는 절대성의 특성을 모두 고려하여 이상 상태를 판단함으로써 보다 신뢰성 있는 판단을 제공할 수 있다.
네트워크 트래픽 분석, 이상 징후 감지, 상대적 비율, 모비율
-
-
-
-
-
-
-
-
-
Search Results
37
records
(took 0.024 seconds)
