A Study on Dynamic Configuration of Attacker Blocking Time through Linux Log Analysis

네트워크 방화벽은 외부의 보안 공격으로부터 내부 자원을 보호하는 핵심 보안 요소이지만, 방화벽 규칙이 증가하면 성능이 저하되고 관리 부담이 늘어나는 문제가 있다. 특히, 소규모 방화벽은 수용 가능한 규칙의 수가 제한되어 있어 장기간 지속되는 다수의 공격을 효과적으로 방어하기 어렵다. 본 연구는 방화벽 규칙의 유효 시간을 동적으로 설정할 수 있는 MALP(More Attack, Longer Penalty) 알고리즘을 제안하여 소규모 방화벽이 갖는 규칙 수용 공간의 부족과 성능 저하 문제를 완화하고자 한다. 제안한 알고리즘은 호스트 기반 침입탐지 시스템에서 수집한 Linux 로그 데이터를 분석하여 얻은 공격 유형별 공격 차단 간격 등의 공격 특성을 활용하여 차단 시간을 설정하고, 벌칙 시간에 추가 공격이 탐지되면 차단 시간을 늘려가는 방식으로 동작한다. 모의 환경에서 수행된 테스트 결과 제안한 알고리즘의 성능 이득은 약 81.22%로, 적은 수의 필터 규칙으로도 보안 공격을 효과적으로 차단할 수 있었다.