침입탐지시스템 (Intrusion Detection System)

한 줄 정의: 네트워크나 시스템에서 발생하는 비정상적인 활동이나 공격 징후를 탐지하여 관리자에게 알리는 보안 시스템입니다.

쉽게 풀면

건물에 설치된 CCTV와 동작 감지 센서가 수상한 움직임을 포착해 경비실에 알리는 것과 비슷합니다. 침입탐지시스템은 네트워크를 오가는 트래픽이나 컴퓨터 안에서 일어나는 활동을 계속 지켜보다가, 알려진 공격 패턴이나 평소와 다른 이상 행동을 발견하면 관리자에게 경고를 보냅니다. 다만 CCTV가 도둑을 직접 막지는 못하듯이, 전통적인 침입탐지시스템도 공격을 막기보다는 탐지하고 알리는 데 중점을 둡니다.

왜 중요한가

사전에 모든 공격을 막을 수는 없기 때문에, 공격이 실제로 발생했을 때 이를 빠르게 알아채는 능력은 피해를 최소화하는 데 핵심적입니다. 정보보안학에서는 오탐(false positive)과 미탐(false negative)을 줄이면서 새로운 유형의 공격까지 탐지할 수 있는 방법, 특히 머신러닝 기반 이상탐지 기법이 활발히 연구됩니다.

논문에서는 이렇게 쓰입니다

"제안된 침입탐지시스템은 딥러닝 기반 분류 모델을 이용하여 알려지지 않은 공격 유형에 대해서도 높은 탐지율을 보였다."

기존 규칙 기반 방식과 달리 새로운 공격 유형까지 학습을 통해 탐지할 수 있었다는 의미입니다.

"본 연구는 시그니처 기반 침입탐지시스템과 이상탐지 기반 침입탐지시스템의 오탐률을 비교 분석하였다."

서로 다른 탐지 방식 간의 정확도 차이를 실험적으로 비교했다는 뜻입니다.

조금 더 깊게 보면

침입탐지시스템은 크게 알려진 공격 패턴(시그니처)과 비교하는 오용탐지(misuse detection) 방식과, 정상 행위 기준에서 벗어난 것을 탐지하는 이상탐지(anomaly detection) 방식으로 나뉩니다. 설치 위치에 따라 네트워크 전체를 감시하는 네트워크 기반(NIDS)과 개별 호스트를 감시하는 호스트 기반(HIDS)으로도 구분됩니다.

주의할 점

침입탐지시스템은 기본적으로 탐지와 경보에 초점을 맞추므로, 실시간 차단까지 수행하려면 침입방지시스템(IPS)과 함께 구성하는 경우가 많습니다.