본 논문은 SOM과 HMM을 이용하여 시스템 호출 수준에서 순서기반의 비정상행위 탐지 센서를 구현하였다. 그리고, 시스템 호출에서 중요한 정보가 무엇이고 임계값은 어떻게 설정해야하는 지를 분석하였다. 본 논문에서 사용한 SOM의 새로운 필터링 규칙과 축약 규칙은 HMM의 입력 크기를 줄일 수 있었다. 이러한 축약은 HMM기반 비정상행위 탐지의 실시간 처리능력을 보장해 준다. 또한, 비정상행위 수라는 개념을 도입하여 HMM의 탐지결과에 대한 민감성을 둔화시켜서, 사용자가 탐지결과를 쉽게 이해하고 false-positive를 줄이는 효과가 있었다. 그리고, 능동적으로 threshold 값을 조정하여 시스템 상황에 따라 탐지센서가 적응할 수 있도록 하였다.
In this paper, we implement sequence-based anomaly detection sensor using SOM and HMM, and analyze what is important information in system call and how a threshold is decided. The new filtering and reduction rules of SOM reduces the input size of HMM. This gives real-time processing to HMM-based anomaly detection sensor. Also, we introduced an anomaly count into the sensor. Due to lessened sensibility, a user easily understand easily the detection information and false-positive was decreased. And the active coordination of the threshold value makes the detection sensor adapt according to the system condition.
