AI Security Suite

NIDS — 네트워크 침입 탐지

패킷을 플로우로 바꾸고 여러 모델로 점수화하므로 한 모델이 혼자 판단하지 않습니다.

• pcap + 실시간 캡처
• 53개 플로우 특징
• 다수결 투표

• pcap 파일(스트리밍) 또는 실시간 인터페이스(Scapy AsyncSniffer, 선택적 BPF 필터)를 읽습니다.
• TCP 상태 요약(SF / S0 / REJ / RST / OTH)과 30초 비활성 타임아웃을 가진 양방향 플로우를 만듭니다.
• 최근 2초와 최근 100개 연결의 창 특징 — NSL-KDD 의 count / srv_count / serror_rate 와 같은 의미입니다.
• 각 모델은 “클수록 위험”으로 점수를 내고, min_votes 개 이상(기본: 과반)이 동의하면 경보를 냅니다.
• 경보에는 심각도(high = 모든 모델 동의), 공격 유형 힌트(SYN 플러드, 포트 스캔, 호스트 스윕, UDP 플러드, 무차별 대입, 통계적 이상), 핵심 특징 값이 담깁니다.

HIDS — 호스트 로그 이상 탐지

호스트의 정상 auth.log / syslog 가 어떤 모습인지 학습하고, 새롭거나 폭주하는 패턴을 표시합니다.

• auth.log / syslog
• 26개 특징
• Isolation Forest

• 시간대(sin/cos), 메시지 템플릿 희소도, 보안 키워드 13종, IP별 60초 창의 이벤트·실패·시도 계정 수 등을 특징으로 씁니다.
• 임계값 = 정상 학습 로그 점수의 99 백분위수(설정 가능).
• 경보마다 기여도가 큰 특징을 보여 줍니다. 예: ip_fail_window → 무차별 대입.
• 공격이 없었다고 판단되는 기간으로 학습하며, 며칠~몇 주의 로그를 권장합니다.

악성코드 스캐너

정적, 규칙, 평판, 행위 신호를 파일 실행 없이 하나의 설명 가능한 판정으로 합칩니다.

• PE · XGBoost · SHAP
• YARA
• VirusTotal(해시만)

• PE 특징 55개 기반 정적 ML. SHAP 값이 어떤 특징이 점수를 올리거나 내렸는지 보여 줍니다.
• 폴더의 YARA 규칙을 사용합니다(예시 규칙 7개 포함: EICAR, UPX, 높은 엔트로피, 인젝션 API, 랜섬 문자열, 인코딩된 PowerShell, 서명 없음).
• 동적 분석은 외부 샌드박스(Cuckoo/CAPE)가 만든 report.json 만 읽습니다.
• 종합 점수 = max(신호 × 가중치). 0.8 이상 악성, 0.5 이상 의심, 그 외 정상. “정상”은 증거를 찾지 못했다는 뜻이며 보증이 아닙니다.
• PE 파일만 ML 분석하며, 스크립트·문서·ELF 는 YARA 와 VirusTotal 만 적용됩니다.

실시간 선제 방어

v1.1 은 위협을 받아 정책으로 판단하고 대응하는 엔진을 더했으며, 브레이크는 기본으로 걸려 있습니다.

• 입력원 5종
• 대응 6종
• 기본 dry-run

• 입력: scapy 스니핑, pcap 재생, /proc/net/tcp 폴링, auth.log 추적, 기존 악성코드 스캐너에 연결되는 파일 감시(watchdog).
• 대응: IP 차단(nft / iptables / netsh, TTL, 허용 목록), 속도 제한, 파일 격리, 프로세스 종료·계정 잠금(둘 다 기본 꺼짐), 경보.
• 정책 예시: 포트 스캔 75 → 즉시 차단, 사용자 열거 40 → 경보만, SSH 무차별 대입 80, SYN 플러드 90, 악성 파일 100.
• 분산·위조 SYN 플러드는 피해자 오차단을 막기 위해 경보만 냅니다(syn_flood_target).
• 운영 명령: list-blocks, unblock, rollback, gc, restore, verify-audit, self-test, simulate.

모니터링 UI · 보고서

엔진이 보고 한 일을 확인하고, 경영진이나 감사인에게 읽기 쉬운 보고서를 전달합니다.

• 로컬 웹 UI
• HTML · JSON · CSV · DOCX

• Python 표준 라이브러리만으로 만든 대시보드: 외부 CDN·글꼴·스크립트가 없고 5초마다 갱신됩니다.
• 타일, 60분 추이, 종류별 이벤트, 상위 공격자 IP, 위험 점수, 차단 목록, 격리 파일, 최근 이벤트와 감사 기록.
• 기본 바인드는 127.0.0.1 이며 다른 주소는 토큰이 필수입니다. 해제·복구 버튼은 --allow-actions 가 있어야 합니다.
• 보고서: 일간, 주간(7일), 기간 지정. HTML 은 자체 완결형이며 감사 체인 상태를 포함하고, CSV 는 수식 주입을 무력화합니다.