침입탐지/방지시스템 (Intrusion Detection/Prevention System (IDS/IPS))
쉽게 풀면
건물 경비 시스템에 비유하면, IDS는 CCTV처럼 수상한 움직임을 감지해서 경고를 울리는 역할이고, IPS는 경비원이 실제로 문을 걸어 잠그거나 침입자를 막는 역할과 비슷합니다. 즉 IDS는 '알려주는' 시스템이고 IPS는 '막아주는' 시스템입니다. 실제 환경에서는 두 기능이 하나의 장비나 소프트웨어에 함께 구현되는 경우가 많습니다.
왜 중요한가
IDS/IPS는 네트워크 보안의 핵심 방어 계층으로, 시그니처 기반 탐지와 이상 탐지(anomaly detection)를 비교하거나 머신러닝을 접목한 탐지 정확도 향상 연구에서 기본 프레임으로 자주 등장합니다. 침해사고 대응 체계를 논할 때도 필수적으로 언급되는 구성 요소입니다.
논문에서는 이렇게 쓰입니다
새로 만든 탐지 방법이 기존 방식보다 잘못된 경고(오탐)를 덜 낸다는 것을 실험으로 확인했다는 뜻입니다.
공격으로 판단된 트래픽을 사람이 개입하지 않아도 즉시 막아주는 기능을 넣었다는 내용입니다.
조금 더 깊게 보면
탐지 방식은 크게 알려진 공격 패턴과 비교하는 시그니처(오용) 기반 방식과, 정상 행위 기준에서 벗어난 것을 찾는 이상 탐지 방식으로 나뉩니다. 최근에는 지도학습·비지도학습 모델을 활용해 알려지지 않은 공격(제로데이)까지 탐지하려는 연구가 이어지고 있으며, 탐지 성능은 흔히 정탐률과 오탐률의 균형으로 평가됩니다. 탐지 성능은 흔히 정밀도와 재현율을 함께 고려한 F1 점수로 평가되며, 실제 운영 환경에서는 오탐으로 인한 분석 인력의 피로도(알림 피로)도 중요한 고려 요소로 다뤄집니다. 암호화된 트래픽이 늘어나면서 페이로드 대신 트래픽 흐름의 통계적 특성을 이용하는 탐지 방식도 함께 연구되고 있습니다. IDS는 탐지된 공격을 관리자에게 알리는 데 그치지만 IPS는 탐지 즉시 트래픽을 차단하거나 세션을 종료하는 능동적 대응까지 수행한다는 점에서 역할이 구분됩니다. 탐지 방식은 알려진 공격 패턴과 비교하는 시그니처 기반 방식과 정상 트래픽과의 편차를 탐지하는 이상행위 기반 방식으로 나뉩니다.
주의할 점
IPS는 자동 차단 기능 때문에 오탐이 발생하면 정상 트래픽까지 차단해 서비스 장애를 일으킬 수 있어, 탐지 정확도와 운영 정책 설계가 중요합니다.
암호화 트래픽이 대세가 된 오늘날에는 페이로드 검사가 제한되기 때문에, 메타데이터나 행위 패턴 기반 탐지로 무게중심이 옮겨가는 추세입니다. IPS는 오탐(false positive) 발생 시 정상 트래픽까지 차단할 위험이 있어, 탐지 정확도와 정책 튜닝이 방화벽보다 훨씬 세밀하게 요구됩니다.