# DPI (Deep Packet Inspection)
📌 개념
DPI는 네트워크 트래픽을 패킷 단위로 깊이 분석하여 애플리케이션 수준까지 검사하는 기술입니다.
일반적인 방화벽이나 라우터는 IP와 포트까지만 확인하는 DPI는 패킷 안의 데이터(payload)까지 분석합니다.
⚙️ 동작 방식
1. 패킷을 수신하면 DPI 엔진이 헤더뿐 아니라 본문(payload)까지 파싱
2. 패턴 매칭, 시그니처 기반 분석, 이상 행위 탐지를 통해 악성 트래픽 여부 판단
3. 필요 시 패킷 차단, 로깅, 경고 등의 조치 수행
🧪 예시
1. HTTP 80포트로 전달된 트래픽을 DPI가 분석
2. 본문에서 cmd.exe 실행 흔적이나 powershell -enc 같은 이상한 문자열 탐지
3. 정상적인 웹 요청이 아닌 명령 실행 시도라고 판단하여 차단
# AI 기반 이상 탐지 모델 (AI-based Anomaly Detection)
📌 개념
AI 기반 이상 탐지는 머신러닝이나 딥러닝을 활용해 '정상 행위'를 학습하고 거기서 벗어나는 행위를 이상(Anomaly)으로 판단하는 보안 기법입니다.
⚙️ 동작 방식
1. 과거의 정상 트래픽, 접속 패턴, 시스템 로그 등을 학습 (비지도 학습 기반)
2. 실시간으로 들어오는 데이터와 비교
3. 평소와 다른 비정상적인 행위가 발생하면 경고
ex : 비정상 포트 사용, 트래픽 폭주, 시간대 외 접속 등
🧪 예시
1. 일반적으로 직원 A는 오전 9~6시 사이에만 사내에서 접속
2. 어느 날, 새벽 2시에 해외에서 로그인 시도
3. AI 모델이 "이건 기존 패턴과 다르다"고 판단 → 이상 탐지 경고 발생
