Several network attacks, such as distributed denial of service (DDoS) attack, presents a very serious threat to the stability of the internet. The threat posed by network attacks on large networks, such as the internet, demands effective detection method. Therefore, a simple intrusion detection system on large-scale backbone network is needed for the sake of real-time detection, preemption and detection efficiency. In this paper, in order to discriminate attack traffic from legitimate traffic on backbone links, we suggest a relatively simple statistical measure, entropy, which can track value frequency. Because according to network attacks, there should be unusual value frequency in source IP, destination IP and destination port, we observe changes of entropy value for three selected packet attributes. In order to evaluate our detecting algorithm, we experimented with 2000 DARPA Intrusion Detection Scenario Specific Data Sets. The result shows that network attack packets show anomalies in entropy values of selected packet attributes. In other words, there is conspicuous distinction of entropy values between attack traffic and legitimate traffic. And also according to the type of the network attacks, there are significant differences of the entropy values. Therefore, we can identify what kind of attack it is as well as detecting the attack traffic using entropy value.
DDoS(분산 서비스 공격)를 비롯한 여러 가지 네트워크 공격들이 오늘날 인터넷의 안정성에 커다란 위협을 가하고 있다. 인터넷과 같은 대규모 망을 대상으로 한 이러한 네트워크 공격들의 위협을 막기 위해선 효율적인 공격탐지 방법이 절실히 요구된다. 그러므로 실시간 탐지, 예방 그리고 탐지 효율성을 위해서는 대규모 기간망에서 적용 가능한 간단한 칩입탐지 시스템이 필요하다고 할 수 있겠다. 정상 트래픽과 공격 트래픽을 구분해내기 위해서 이 논문에서는 값의 빈번함을 추적할 수 있는 비교적 간단한 통계치인 엔트로피를 제시한다. 네트워크 공격에 따라서 소스 IP, 목적지 IP 그리고 목적지 포트에서 비정상적인 값의 빈번함이 발생하므로, 우리는 이 세가지 패킷 속성의 엔트로피 값의 변화를 관찰하였다. 이 탐지방법의 평가를 위한 실험에는 2000DARPA 데이터가 사용되었다. 실험결과 네트워크 공격 패킷은 세가지 패킷 속성의 엔트로피 값에서 이상을 나타내었다. 다시 말해, 정상 패킷과 공격 패킷의 엔트로피 값에는 현저한 차이가 있음을 실험결과 확인할 수 있었다. 또한 네트워크 공격의 종류에 따라서도 엔트로피 값의 뚜렷한 차이가 있음을 확인하였다. 그러므로 우리는 엔트로피 값을 이용하여 네트워크 공격을 탐지해 낼 수 있을 뿐만 아니라, 그것이 어떤 공격인지까지도 규명해 낼 수 있음을 실험결과 확인하였다.
