데이터 마이닝이란 무엇인가?
데이터 마이닝(Data Mining)은 통계학 및 수학적 기법을 포함한 패턴 인식 기술을 활용하여, 대용량 저장소에 보관된 데이터 속에서 유용한 새로운 상관관계, 패턴, 추세를 발견하는 과정입니다. 이는 사실적인 데이터셋을 분석해 예상치 못한 관계를 찾아내고, 데이터 소유자에게 논리적이면서도 실질적으로 도움이 되는 방식으로 기록을 요약하는 작업을 의미합니다.
네트워크 보안과 침입 탐지의 필요성
우리의 컴퓨터 시스템과 정보는 끊임없는 위협에 노출되어 있습니다. 웹의 폭발적인 성장과 함께 침입·공격에 사용되는 도구와 기법에 대한 접근성이 높아지면서, 침입 탐지(Intrusion Detection)와 침입 방지(Intrusion Prevention)는 네트워크 시스템의 필수 구성 요소로 자리 잡았습니다.
여기서 침입(Intrusion)이란 네트워크 자원(예: 사용자 계정, 파일 시스템, 시스템 커널 등)의 기밀성, 무결성 또는 가용성을 위협하는 일련의 행위 전체를 의미합니다.
IDS와 IPS의 차이점
침입 탐지 시스템(IDS)과 침입 방지 시스템(IPS)은 모두 네트워크 트래픽과 시스템 성능을 모니터링하여 악성 활동을 감지한다는 공통점이 있습니다. 그러나 두 시스템의 가장 큰 차이는 대응 방식에 있습니다. IDS는 탐지된 위협을 기록·보고하는 반면, IPS는 인라인(in-line) 방식으로 배치되어 식별된 침입을 능동적으로 차단하거나 방어할 수 있습니다.
침입 방지 시스템(IPS)의 주요 역할은 다음과 같습니다.
- 악성 활동 인식
- 해당 활동에 대한 데이터 로깅
- 악성 활동 차단 또는 중단 시도
- 활동 내역 문서화
침입 탐지·방지의 두 가지 핵심 방식
대부분의 침입 탐지 및 방지 시스템은 시그니처 기반 탐지(Signature-based Detection) 또는 이상 기반 탐지(Anomaly-based Detection) 방식을 사용합니다.
1. 시그니처 기반 탐지 (Signature-based Detection)
시그니처 기반 탐지는 도메인 전문가가 사전에 정의하고 고정해 둔 공격 패턴, 즉 '시그니처'를 활용하는 방식입니다. 시그니처 기반 IPS는 네트워크 트래픽을 지속적으로 모니터링하며 이러한 시그니처와 일치하는 패턴이 있는지 검사합니다.
일치하는 패턴이 발견되면 IDS는 해당 이상 징후를 보고하고, IPS는 보다 적극적인 대응 조치를 취합니다. 다만 시스템 환경은 끊임없이 변하기 때문에, 새로운 애플리케이션 버전이 출시되거나 네트워크 구성이 변경될 때마다 시그니처를 수작업으로 갱신해야 하는 부담이 따릅니다.
이 방식의 가장 큰 한계는 시그니처와 일치하는 사례만 인식할 수 있다는 점입니다. 즉, 새로운 침입 기법이나 이전에 알려지지 않은 공격은 탐지할 수 없습니다.
2. 이상 기반 탐지 (Anomaly-based Detection)
이상 기반 탐지는 정상적인 네트워크 행동에 대한 모델(프로파일, Profile)을 구축하고, 이 프로파일에서 크게 벗어나는 새로운 패턴을 식별하는 방식입니다. 이러한 편차는 실제 침입일 수도 있고, 단순히 프로파일에 추가해야 할 새로운 정상 행동일 수도 있습니다.
이상 탐지의 가장 큰 장점은 아직 관찰된 적 없는 새로운 침입까지 탐지할 수 있다는 것입니다. 다만 일반적으로 분석가가 편차 목록을 직접 검토하여 어떤 것이 실제 침입인지 판별해야 하며, 높은 오탐(False Positive) 비율이 이상 탐지의 주요 제약 요소로 꼽힙니다. 한편, 새로운 침입 패턴을 시그니처 집합에 추가하면 시그니처 기반 탐지의 성능을 지속적으로 개선할 수 있습니다.