A Featurization Method to Improve Anomaly Detection Performance Using Login Logs
Sun-Young Im, Sang-soo Kim, Shinwoo Shim, Sung-mo Koo, Byoungmo Cho, Kwangsoo Kim, Taekyu Kim · 한국통신학회논문지 · 2022
이상 로그인 탐지는 기업들의 데이터를 보호하고 안전한 시스템을 구축하기 위한 필수 요소이다. 공격자가 올바른 암호를 입력하고 성공적으로 서버에 로그인을 하면 시스템에서 유의미한 정보를 찾기 시작한다. 이때 계정의 이상 로그인 행위를 탐지하여 해당 계정의 권한을 제한하거나 취소시키면 시스템의 손실을 감소시킬 수 있다. 본 연구에서는 로그인 로그를 활용하여 이상 로그인 탐지 성능 향상을 위한 데이터 전처리 방법을 연구하였다. 출발지 사용자, 출발지 도메인, 출발지 컴퓨터, 도착지 사용자, 도착지 도메인, 도착지 컴퓨터, 인증 유형, 로그온 유형, 로그온/로그오프 상태, 로그인 성공/실패 여부를 기준으로 동일한 이벤트가 반복되는 횟수를 산출하여 각 이벤트마다 빈도수(frequency) 헤더를 생성하였다. 그리고 출발지 사용자, 도착지 사용자, 인증 유형, 로그온 유형, 빈도수 헤더의 데이터에 대해 원-핫 인코딩을 수행하였다. 인코딩을 수행한 후 6개의 이상 탐지 알고리즘(ABOD, HBOS, IForest, KNN, LOF, OCSVM)을 적용하여 제안 방법 적용 전과 후를 비교하여 AUC가 43% 이상(최대 50%), TPR이 86% 이상(최대 93%) 성능이 향상된 것을 확인할 수 있었다.