오용탐지(Misure)과 비정상탐지(Anomaly) 차이

오용탐지 : 공격 패턴에 대한 정보를 학습시켜 만약 그 패턴이 식별될 경우 침입이라고 판단.

비정상행위 : 사용자의 평소 행위패턴을 AI 기술로 학습시켜 그 패턴이 아닌 다른 패턴일 경우 침입이라고 판단.

 

	오용탐지	비정상탐지
동작 방식	지식기반(시그니처기반)	Profile기반(행위기반)
침입 탐지 방법	이미 정렵된 공격패턴으로 탐지	평균을 기반으로 탐지, 미리 학습된 사용자 패턴
장점	낮은 False Positive, 빠른 속도와 구현 용이, 탐지 내용이 진짜 공격이라고 확실한 판단 가능	Zeroday 공격에 대응 가능하다, 항상 일정한 행위를(정상행위) 하는 경우에 확실한 효과.
단점	Zero day attack에 취약, 대량 자료 분석에 적합하지 않음, 높은 False Negative	높은 False Positive, 어려운 구현

 

※False Negative : 공격인데(Negative) 공격이 아니라고 판단하는 것.

※False Positive : 공격이 아닌데(Positive) 공격이라고 판단하는 것.

※Zero day attack : 취약점에 대한 패치가 이루어지지 않은, 즉 알려지지 않은 공격을 의미한다.