9가지 사례로 익히는 고급 스파크 분석(2판): 현실 세계 빅데이터로 배우는 데이터 과학과 머신러닝

138

9가지 사례로 익히는 고급 스파크 분석 (2판)

5.3

네트워크 침입

뉴스를 보면 소위 사이버 공격이 점점 늘어나고 있다. 어떤 공격은 정상적인 네트워크 접근을

방해할 목적으로 대량의 네트워크 트래픽을 쏟아붓는다. 또 다른 공격은 네트워크 소프트웨어

의 취약점을 공격하여 승인되지 않은 권한을 확보하려고 시도한다. 트래픽을 이용한 공격은 매

우 명확한 상황인 데 비해, 익스플로잇

Exploit

이라고도 하는 취약점 공격을 감지하기란 네트워크

요청들의 거대한 건초 더미에서 바늘 찾기와 같을 수 있다.

몇몇 취약점 공격의 행동 패턴은 알려져 있다. 예를 들어 지속적으로 빠르게 모든 포트에 접근

해보는 일은 정상적인 소프트웨어가 할 만한 행동은 아니지만, 침입자라면 컴퓨터에서 악용할

만한 서비스를 찾기 위해서 맨 처음 하는 일반적인 행위다.

만약 짧은 시간에 원격 호스트가 서로 다른 포트에 접근한 횟수를 집계할 수 있다면 포트 스캐

닝 공격을 꽤 잘 예측할 수 있는 특징을 가진 것이다. 몇 건 정도는 아마도 정상이겠지만, 수백

건이 되면 공격일 것이다. 전송하고 수신한 바이트의 수,

TCP

오류 등 네트워크 연결과 관련한

다른 특징도 동일한 방식을 활용해서 다른 종류의 침입을 탐지할 수도 있다.

하지만 알려지지 않은 미지의 패턴이라면 어떨까? 지금까지 한 번도 알려진 적이 없어서 분류

된 적도 없는 그런 공격이 가장 큰 위협일 수 있다. 잠재적 네트워크 침입을 찾아내는 일은 이

상 탐지에 해당한다. 이런 경우는 침입 행위로 알려져 있지는 않지만, ...