KR102178305B1

KR102178305B1 - IoT 네트워크 접근을 제어하는 보안 시스템

Info

Publication number: KR102178305B1
Application number: KR1020190106136A
Authority: KR
Inventors: 김유진; 장윤주; 한유석
Original assignee: 주식회사 에어큐브
Priority date: 2019-08-28
Filing date: 2019-08-28
Publication date: 2020-11-13
Also published as: PH12019000409A1

Abstract

본 발명은 IoT 네트워크 접근을 제어하는 보안 시스템에 관한 것이다. 구체적으로 본 발명은 IoT 장치 및 IoT 장치를 통해 IoT 네트워크에 대한 접근을 제어하기 위한 보안 시스템에 관한 것이다. 본 발명의 일 실시 예에 따른 IoT(Internet of Things) 보안 시스템은 적어도 하나의 IoT 장치, 적어도 하나의 IoT 장치로부터 데이터 패킷을 수집하고, 데이터 패킷을 기초로 식별 정보를 획득하고, 적어도 하나의 IoT 장치를 통한 IoT 네트워크 접근을 제어하는 네트워크 보안 장치, 네트워크 보안 장치로부터 식별 정보를 수신하면, 식별 정보를 등록하는 관리 서버 및 관리 서버로부터 식별 정보를 수신하면, 식별 정보를 기초로 네트워크 접근에 대한 제어 정책을 결정하기 위한 어플리케이션이 설치된 사용자 단말을 포함한다.

Description

IoT 네트워크 접근을 제어하는 보안 시스템{Security system for controlling IoT network access}

본 발명은 IoT 네트워크 접근을 제어하는 보안 시스템에 관한 것이다. 구체적으로 본 발명은 IoT 장치 및 IoT 장치를 통해 IoT 네트워크에 대한 접근을 제어하기 위한 보안 시스템에 관한 것이다.

일반적인 기업 내의 네트워크 환경은 내부 네트워크에 접속되는 모든 IoT 장치에 대해 신뢰성을 확인하고 접속 여부를 제어하는 보안시스템을 구축하고 있다. 이러한 보안 시스템은 네트워크에 접근하는 새로운 IoT 장치가 신뢰 과정(On-boarding)을 수행하도록 강제하는 보안기능이 적용된다.

이와 같은 강제화 기능이 적용되는 IoT 장치는 사용자 PC와 스마트폰과 같이 웹 브라우저(Web browser)를 사용하는 장치이다. 보안시스템은 IoT 장치에 웹 리디렉션(Web redirection) 기능을 적용하여 사용자가 접속을 위해 필요한 절차를 수행하도록 안내한다. 이후, 보안시스템은 절차가 완료된 IoT 장치들을 네트워크 접근을 허가해주는 과정을 진행한다.

반면, 대부분의 IoT 장치는 스마트폰 등과 달리 사용자가 직접 네트워크 접근 과정에서 개입할 수 있는 기능을 제공하지 않는 경우가 많다. 네트워크로 접근하는 IoT 장치의 탐지 방법 및 해당 IoT 장치 상세 정보 확인 방법이 표준화되어 있지 않기 때문에, 네트워크 보안 관리자는 접근 제어를 위한 신뢰 확인 절차를 수행하는 것이 현실적으로 어렵다.

특히, 가정 내의 네트워크 환경은 기업 내 네트워크보다 보안을 위한 체계가 갖추어지지 않기 때문에, 가정 내의 네트워크 환경의 보안적인 위협은 상대적으로 더 크다. 가정 내 많은 가전제품이 사용자가 인식하지 못한 채 인터넷에 연결되고 있다. 또한, 가정 내 많은 가전제품을 통해 인터넷을 통한 악의적인 접근이 가능한 실정이다.

일례로, 해커는 가정 내 설치된 IP 카메라를 해킹하여 개인 영상을 무단으로 수집하기도 하고, 출입문을 원격에서 개폐하거나, 센서의 값을 변경하여 오작동하도록 하는 등의 IoT 장치를 통한 보안 위협을 수행할 수 있다. 또 다른 예로, 해커가 숙박 업소 내에 몰래 소형 IP camera(IoT 장치)를 설치한 후, 숙박하는 사람들의 개인 영상을 불법적으로 인터넷으로 중계하여 문제가 된 적이 있다.

상술한 보안 위협은 외부에서 네트워크 내 IoT 장치를 제어할 수 있도록 외부 노드의 네트워크 접근을 허용하고 있다는 공통적인 취약성에 기인한다. 이 경우, 네트워크에 허가 받지 않은 IoT 장치의 네트워크 접근을 차단하는 기능이 수행되고 있었다면, 상술한 문제를 막을 수 있었을 것이다.

반면, 종래의 IoT 장치의 보안 문제에 대한 해결책은 IoT 장치 자체의 보안 방법에 관한 것이 주류를 이루고 있다. 다시 말해, 종래의 해결책은 IoT 장치의 보안 기능에만 치중되어 있고, 해당 장치가 설치된 이후 발생할 수 있는 네트워크 접근 측면의 보안 방법은 간과되고 있다.

이에 따라, IoT 장치 자체의 보안 대책보다는 IoT 장치가 연결되어 있는 네트워크에 대한 보안 대책이 필요하다.

본 발명은 상술한 필요성에 따른 것으로, IoT 장치를 네트워크에 연결하여 사용할 때, 해당 IoT 장치와 연결되는 네트워크 패킷에 대해 네트워크 관리 주체가 통제권을 가지고 신뢰확인을 절차를 수행한 후 신뢰된 연결만을 허용하도록 접속 제어하는 보안 장치 및 시스템을 제공하는 것을 목적으로 한다.

그러나 이러한 과제는 예시적인 것으로, 이에 의해 본 발명의 범위가 한정되는 것은 아니다.

본 발명의 일 실시 예에 따른 IoT(Internet of Things) 보안 시스템은, 적어도 하나의 IoT 장치; 상기 적어도 하나의 IoT 장치로부터 데이터 패킷을 수집하고, 상기 데이터 패킷을 기초로 식별 정보를 획득하고, 상기 적어도 하나의 IoT 장치를 통한 IoT 네트워크 접근을 제어하는 네트워크 보안 장치; 상기 네트워크 보안 장치로부터 상기 식별 정보를 수신하면, 상기 식별 정보를 등록하는 관리 서버; 및 상기 관리 서버로부터 상기 식별 정보를 수신하면, 상기 식별 정보를 기초로 네트워크 접근에 대한 제어 정책을 결정하기 위한 어플리케이션이 설치된 사용자 단말; 을 포함한다.

또한, 상기 식별 정보는 상기 적어도 하나의 IoT 장치 및 상기 적어도 하나의 IoT 장치를 통해 상기 IoT 네트워크에 접근하는 네트워크 노드 중 적어도 하나의 식별 정보를 포함한다.

또한, 상기 어플리케이션은 상기 적어도 하나의 식별 정보와 관련된 UI를 사용자 단말에 표시하고, 상기 사용자 단말의 사용자는 상기 UI를 통해 상기 제어 정책을 결정하고, 상기 사용자 단말은 상기 제어 정책을 상기 관리 서버로 전송하고, 상기 관리 서버는 수신된 상기 제어 정책을 등록하고 상기 제어 정책을 상기 네트워크 보안 장치로 전송하고, 상기 네트워크 보안 장치는 상기 수신된 제어 정책을 기초로 상기 적어도 하나의 IoT 장치를 통한 IoT 네트워크 접근을 제어한다.

또한, 상기 제어 정책은 상기 적어도 하나의 IoT 장치를 통한 IoT 네트워크 접근 허용과 관련된 설정을 포함한다.

또한, 상기 관리 서버는 상기 사용자 단말을 통해 결정된 상기 제어 정책에 대한 히스토리 정보를 기초로 제어정책 패턴을 획득하고, 상기 네트워크 보안 장치로 상기 제어정책 패턴을 전송하고, 상기 네트워크 보안 장치는 상기 제어정책 패턴에 대응되도록 상기 적어도 하나의 IoT 장치를 통한 IoT 네트워크 접근을 제어한다.

전술한 것 외의 다른 측면, 특징, 이점은 이하의 발명을 실시하기 위한 구체적인 내용, 청구범위 및 도면으로부터 명확해질 것이다.

상기한 바와 같이 이루어진 본 발명의 일 실시예에 따르면, IoT 장치를 사용하는 사용자가 IoT 네트워크 및 IoT 장치에 접근하는 시도에 대한 가시성을 높일 수 있고, 이를 통해 IoT 네트워크 및 IoT 장치에 접근하는 불법적 시도를 용이하게 확인하고 대응할 수 있다는 효과가 있다.

또한, 본 발명에 의하면 사용자가 결정한 네트워크 접근 정책과 관련하여, 보안 위협 정도 및 보안 적용 상황을 지능적으로 분석하여 패턴화할 수 있다. 이를 통해, 보안 위협에 자동 대응 환경을 제공함으로써, 네트워크 관리의 편리성이 강화될 수 있다.

물론 이러한 효과에 의해 본 발명의 범위가 한정되는 것은 아니다.

도 1은 본 발명의 일 실시예예 따른 사물 인터넷(이하 IoT; Internet of Things) 네트워크 보안 시스템을 설명하기 위한 시스템도이다.
도 2는 본 발명의 일 실시예에 따른 네트워크 보안 장치의 구성요소를 설명하기 위한 간단한 블록도이다.
도 3은 본 발명의 일 실시예에 따른 네트워크 보안 장치가 IoT 장치를 식별하고, 제어 정책에 따라 IoT 네트워크에 대한 제어를 수행하는 방법을 설명하기 위한 간단한 흐름도이다.
도 4는 본 발명의 일 실시예에 따른 네트워크 보안 장치가 IoT 네트워크에 접근하려는 네트워크 노드를 식별하고, 제어 정책에 따라 IoT 네트워크에 대한 제어를 수행하는 방법을 설명하기 위한 간단한 흐름도이다.
도 5는 본 발명의 일 실시예에 따른 IoT 네트워크 보안 시스템의 IoT 장치 등록 및 제어 정책 결정하는 방법을 설명하기 위한 시퀀스 도이다.
도 6은 본 발명의 일 실시예에 따른 IoT 네트워크 보안 시스템의 IoT 장치를 통한 네트워크 노드에 대한 접근 제어 정책 결정하는 방법을 설명하기 위한 시퀀스 도이다.
도 7 및 도 8은 본 발명의 일 실시예에 따른 네트워크 보안 장치가 제어 정책을 수행하는 것을 예시적으로 설명하기 위한 시퀀스 도이다.
도 9는 본 발명의 일 실시예에 따른 IoT 네트워크 보안 시스템의 IoT 서비스 제공 방법을 설명하기 위한 흐름도이다.
도 10a 내지 도 10c는 본 발명의 일 실시예에 따른 사용자 단말에 설치되는 IoT 접근 제어 어플리케이션의 사용자 인터페이스를 예시적으로 도시한 도면이다.
도 11a 내지 도 11c는 본 발명의 일 실시예에 따른 관리 서버의 사용자 인터페이스를 예시적으로 도시한 도면이다.

이하, 본 개시의 다양한 실시예가 첨부된 도면과 연관되어 기재된다. 본 개시의 다양한 실시예는 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는바, 특정 실시예들이 도면에 예시되고 관련된 상세한 설명이 기재되어 있다. 그러나 이는 본 개시의 다양한 실시예를 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 개시의 다양한 실시예의 사상 및 기술 범위에 포함되는 모든 변경 및/또는 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다. 도면의 설명과 관련하여, 유사한 구성요소에 대해서는 유사한 참조 부호가 사용되었다.

본 개시의 다양한 실시예에서, "포함하다." 또는 "가지다." 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.

본 개시의 다양한 실시예에서 "또는" 등의 표현은 함께 나열된 단어들의 어떠한, 그리고 모든 조합을 포함한다. 예를 들어, "A 또는 B"는, A를 포함할 수도, B를 포함할 수도, 또는 A 와 B 모두를 포함할 수도 있다.

본 개시의 다양한 실시예에서 사용된 "제1", "제2", "첫째", 또는 "둘째" 등의 표현들은 다양한 실시예들의 다양한 구성요소들을 수식할 수 있지만, 해당 구성요소들을 한정하지 않는다. 예를 들어, 상기 표현들은 해당 구성요소들의 순서 및/또는 중요도 등을 한정하지 않으며, 한 구성요소를 다른 구성요소와 구분하기 위해 사용될 수 있다.

어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 상기 어떤 구성요소가 상기 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 상기 어떤 구성요소와 상기 다른 구성요소 사이에 새로운 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다.

본 개시의 실시 예에서 "모듈", "유닛", "부(part)" 등과 같은 용어는 적어도 하나의 기능이나 동작을 수행하는 구성요소를 지칭하기 위한 용어이며, 이러한 구성요소는 하드웨어 또는 소프트웨어로 구현되거나 하드웨어 및 소프트웨어의 결합으로 구현될 수 있다. 또한, 복수의 "모듈", "유닛", "부(part)" 등은 각각이 개별적인 특정한 하드웨어로 구현될 필요가 있는 경우를 제외하고는, 적어도 하나의 모듈이나 칩으로 일체화되어 적어도 하나의 프로세서로 구현될 수 있다.

일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥상 가지는 의미와 일치하는 의미가 있는 것으로 해석되어야 하며, 본 개시의 다양한 실시예에서 명백하게 정의되지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.

이하에서, 첨부된 도면을 이용하여 본 발명의 다양한 실시 예들에 대하여 구체적으로 설명한다.

도 1은 본 발명의 일 실시예예 따른 사물 인터넷(이하 IoT; Internet of Things) 네트워크 보안 시스템을 설명하기 위한 시스템도이다.

도 1을 참조하면, 본 발명의 네트워크 보안 시스템(10)은 적어도 하나의 IoT 장치(100), IoT 네트워크 장치(210), 네트워크 보안 장치(220), 관리 서버(300), 적어도 하나의 사용자 단말(400) 및 IoT 서비스 서버(500)를 포함할 수 있다.

적어도 하나의 IoT 장치(100)는 동작 센서, 온도 센서, 냉난방 감지 센서, 출입문 혹은 창문 감시(개폐) 센서, 스마트 가습기, CCTV, 스마트 냉장고, 스마트폰, 태블릿 PC, 보일러, TV 등 다양한 장치를 포함할 수 있다. 이러한 IoT 장치(100)는 IoT 서비스를 지원하는 네트워크 내 분산되어 해당 네트워크 내 상태 및 주변 환경을 실시간으로 모니터링하고, 네트워크를 통해 보고할 수 있다.

IoT 네트워크 장치(210)는 IoT 네트워크 내 IoT 장치들과 인터넷(예로, IoT 서비스 서버, 500)과의 통로(관문) 역할을 한다. 적어도 하나의 IoT 장치(100)는 인터넷과 연결되어 있는 IoT 네트워크 장치(210)와 저전력 무선통신 방식을 사용할 수 있다.

본 발명의 IoT 네트워크 장치(210)는 IoT 허브(Hub), IoT 게이트웨이(Gateway) 등으로 구현될 수 있으나, 이에 한정하지 않는다.

또한, 본 발명의 저전력 무선통신 방식은 Z-Wave, ZigBee, 900M등의 다양한 저전력 무선 통신 방식을 사용할 수 있으나, 이에 한정하지 않는다. 예를 들면 저전력 무선통신 방식은 6LoWPAN, AMQP(Advanced Message Queuing Protocol)　, 블루투스, 셀룰러 데이터, CoAP(Constrained Application Protocol), DDS(Data Distribution Service), 홈킷(HomeKit), IoT비티(IoTivity), JSON-LD(JavaScript Object Notation for Linked Data), 로라WAN(LoRaWAN), MQTT(MQ Telemetry Transport), NFC(Near-field Communication), 물리 웹　, SCADA(Supervisory Control and Data Acquisition), 시그폭스　, SMS　, 쓰레드(Thread)　, TR-069(Technical Report 069), 위브(Weave), 웹 씽 모델(Web Thing Model), XMPP(eXtensible Messaging and Presence Protocol), 지그비(Zigbee)　, 지웨이브(Z-wave) 중 적어도 하나를 통해 구현될 수 있다.

네트워크 보안 장치(220)는 IoT 네트워크에 접속하는 적어도 하나의 IoT 장치(100)들의 패킷 전송을 차단하고, 사용자의 접근 허용 명령에 기초하여 연결을 허용하는 제어 장치일 수 있다. 즉, 네트워크 보안 장치(220)는 IoT 네트워크 상 IoT 서비스 서버(500)와의 입출 데이터 패킷을 수집하고, 제어 정책에 따라 대응할 수 있다.

본 발명의 네트워크 보안 장치(220)는 IoT 네트워크 장치(210)와 별도의 장치로 구현될 수 있으나, 이는 일 예에 불과하고 하나의 장치로 통합되어 구현될 수 있다. 이에 대하여는 추후 자세히 설명한다.

본 발명의 관리 서버(300)는 사용자의 식별 정보, 해당 사용자가 소유한 IoT 네트워크에 설치된 네트워크 보안 장치(220)의 식별 정보, 해당 사용자의 단말(400)에 설치된 어플리케이션의 식별 정보를 등록 및 저장할 수 있다. 또한, 관리 서버(300)는 접속 제어 절차 수행에 따른 로그 및 제어 정책을 저장하고 관리할 수 있다.

본 발명의 일 실시예에 따른 관리 서버(300)는 사용자가 IoT 네트워크 상 수행한 정보 처리 히스토리를 저장할 수 있다. 예를 들면, 관리 서버(300)는 사용자가 제1 IoT 장치에 대한 네트워크 허용 여부, 추가 설정 여부에 대한 히스토리 정보를 저장할 수 있고, 히스토리 정보를 기초로 패턴 정보를 획득할 수 있다. 이에 대하여는 추후에 구체적으로 설명하기로 한다.

사용자 단말(400)은 적어도 하나의 IoT 장치(100)를 통해 수집된 센싱 정보 등을 기초로 IoT 네트워크에 대한 현 상황을 사용자에게 제공하기 위한 구성이다. 또한, 사용자는 사용자 단말(400)을 통해 적어도 하나의 IoT 장치(100)를 제어할 수 있다.

본 발명에 기재된 사용자는 네트워크 보안관련 전문지식이 없는 일반 사용자로 IoT 장치(100)가 연결되는 IoT 네트워크의 소유자(Location Owner)일 수 있다. 또한, 사용자는 IoT 네트워크를 제어하기 위한 어플리케이션을 사용자 단말(400)에 설치할 수 있고, 어플리케이션을 통해 설치된 IoT 장치(100)의 네트워크 접근 제어 및 IoT 장치(100)로 접근하려는 요청에 대한 제어를 수행할 수 있다.

이때, 어플리케이션은 상술한 바와 같이. 사용자 단말(400)에 설치되어 네트워크 보안 장치(220)를 통해 탐지된 IoT 장치(100) 및 IoT 네트워크를 통해 데이터를 전송을 시도하는 네트워크 노드의 정보를 표시하기 위한 것일 수 있다. 본 발명의 일 실시예에 따른 어플리케이션은 관리 서버(300)와의 통신을 위해 사용자 단말(400) 출고 시에 설치된 것일 수도 있고, 관리 서버(300)에서 제공하는 서비스 플랫폼에서 다운로드되어 설치된 것 수도 있다.

본 발명의 일 실시예에 따르면, 사용자 단말(400)은 관리 서버(300)에서 제공하는 어플리케이션이 설치될 수 있고, 어플리케이션을 통해 IoT 네트워크에 접근하는 IoT 장치 및 네트워크 노드에 대한 정보를 사용자에게 제공할 수 있다. 또한, 사용자 단말(400)은 사용자로부터 IoT 장치 및 네트워크 노드에 대한 네트워크 접근 허용 여부를 관리 서버(300)로 전송할 수 있다.

한편, 사용자 단말(400)은 IoT 네트워크 내 IoT 장치(100), IoT 네트워크 장치(210) 및 IoT 서비스 서버(500)와 통신이 가능하다면, IoT 장치(100)를 제어하고자 하는 어떠한 단말기도 가능하고, 관리 서버(300)와의 통신을 위한 어플리케이션을 탑재하여 상호 간에 통신을 수행할 수 있다. 예를 들어, 사용자 단말(400)은 스마트폰, 데스크탑 PC 등 표시부 및 통신 수단을 구비하는 다양한 전자제품 등으로 구현될 수 있다.

IoT 서비스 서버(500)는 IoT 서비스를 제공하기 위한 적어도 하나의 서버를 포함할 수 있다. 여기서, IoT 서비스는 인간과 사물, 서비스 세 가지 분산된 환경 요소에 대해 인간의 명시적 개입 없이 상호 협력적으로 센싱, 네트워킹, 정보 처리 등 지능적 관계를 형성하는 사물 공간 연결망의 개념이다.

본 발명의 IoT 서비스 서버(500)는 네트워크 접근에 대한 정책에 대응하는 제어 신호를 네트워크 보안 장치(220)로부터 수신하고, 제어 신호에 기초하여 IoT 장치(100)로 제공할 서비스를 네트워크 보안 장치(220)로 전송할 수 있다.

한편, 도 1에서는 네트워크 보안 장치(220)와 IoT 네트워크 장치(210)가 서로 분리된 별도의 구성으로 구현(분리형)된 것을 도시하였으나, 이는 일 예에 불과하다. 본 발명의 네트워크 보안 장치(220)는 IoT 네트워크 장치(210)와 별도의 구성으로써 IoT 네트워크 장치(210)에 탑재되어 구현(탑재형)될 수 있다. 또한, 본 발명의 또 다른 실시예에 따르면 IoT 네트워크 장치(210)와 하나의 구성으로 통합되어 구현(통합형)될 수 있다.

구체적으로, 본 발명의 일 실시예에 따른 분리형 네트워크 보안 장치는 IoT 네트워크 장치(210)와 별도의 전용 장치로 구현되며, IoT 네트워크 장치(210)와 IoT 서비스 서버(500)의 중간 접점의 역할을 하도록 설치될 수 있다. 분리형 네트워크 보안 장치(220)는 IoT 네트워크 장치(210)에 물리적으로 연결될 수 있고, 이에 따라 기존의 IoT 서비스 환경의 변화 없이 적용 가능하다는 장점이 있다.

본 발명의 일 실시예에 따른 탑재형 네트워크 보안 장치는 IoT 네트워크 장치(210)의 확장기능을 이용하여 필수 기능요건을 준수하도록 구현될 수 있다. 탑재형 네트워크 보안 장치는 SDN(Software-Defined Network) 기능의 IoT 네트워크 장치(210)에 적용될 수 있다. 탑재형 네트워크 보안 장치는 IoT 네트워크 장치(210)에 별도의 장치가 설치될 필요가 없으므로 간결하고 효율적인 구현이 가능하다는 장점이 있다.

통합형 네트워크 보안 장치는 IoT 네트워크 장치(210)의 펌웨어(Firmware)를 수정하여 네트워크 장비와 보안장치 기능을 동시에 수행하도록 최적화함으로써 구현될 수 있다. 본 발명의 통합형 네트워크 보안 장치의 경우, 도 1의 IoT 네트워크 장치(210) 및 네트워크 보안 장치(220)가 수행하는 모든 기능을 통합하여 수행할 수 있다.

이하에서는 설명의 편의를 위해, 네트워크 보안 장치(220)는 통합형 네트워크 보안 장치로 구현된 실시예를 전제로 설명하기로 한다.

도 2는 본 발명의 일 실시예에 따른 네트워크 보안 장치의 구성요소를 설명하기 위한 간단한 블록도이다.

도 2를 참조하면, 본 발명의 네트워크 보안 장치(220)는 메모리(221), 통신부(222) 및 프로세서(223)를 포함할 수 있다.

메모리(221)는 프로세서(223)의 처리 또는 제어를 위한 프로그램 등 전반의 동작을 위한 다양한 데이터를 저장할 수 있다. 특히, 메모리(221)는 관리 서버(300)를 통해 수신한 사용자의 제어 정책에 대한 정보를 포함할 수 있다. 또한, 메모리(221)는 IoT 서비스 서버(500)로부터 수신한 IoT 서비스에 대한 데이터를 저장할 수 있다.

메모리(221)는 비휘발성 메모리, 휘발성 메모리, 플래시메모리(flash-memory), 하드디스크 드라이브(HDD) 또는 솔리드 스테이트 드라이브(SSD) 등으로 구현될 수 있다. 메모리(221)는 프로세서(223)에 의해 액세스 되며, 프로세서(223)에 의한 데이터의 쓰기(write)/읽기(read)/삭제(erase)/갱신(update) 등이 수행될 수 있다.

통신부(222)는 IoT 네트워크 상 계류하는 데이터 패킷을 수집할 수 있다. 구체적으로, 통신부(222)는 IoT 장치(100)로부터 출력되는 데이터 패킷을 수집할 수 있다. 나아가 통신부(222)는 적어도 하나의 IoT 장치(100), 관리 서버(300) 및 IoT 서비스 서버(500)와 데이터를 송수신할 수 있다.

통신부(222)는 다양한 유형의 통신방식에 따라 다양한 유형의 외부 장치와 통신을 수행하는 구성일 수 있다. 통신부(222)는 와이파이칩, 블루투스 칩, 무선 통신 칩, NFC 칩 중 적어도 하나를 포함할 수 있으나 이에 한정하지 않는다. 프로세서(223)는 통신부(222)를 이용하여 외부 서버 또는 각종 외부 장치와 통신을 수행할 수 있다.

상술한 바와 같이 도 2에서는 통합형 네트워크 보안 장치로 구현된 것을 전제로 설명하였으나, 실시예에 따라 분리형 또는 탑재형인 경우 통신부(222)는 IoT 네트워크 장치(210)에 포함된 구성일 수 있음은 물론이다.

프로세서(223)는 네트워크 보안 장치(220)를 전반적으로 제어하기 위한 구성이다. 구체적으로, 프로세서(223)는 메모리(221)에 저장된 각종 프로그램을 이용하여 네트워크 보안 장치(220)의 전반적인 동작을 제어한다.

특히, 프로세서(223)는 관리 서버(300)로부터 수신되는 데이터(예로, 사용자 명령에 대응하는 신호)를 기초로, IoT 장치(100)로부터 출력되는 데이터 패킷을 IoT 서비스 서버(500)로 전송 및 IoT 서비스 서버(500)로부터 수신되는 데이터 패킷을 IoT 장치(100)로 전송할지 여부를 판단할 수 있다.

또한, 프로세서(223)는 IoT 네트워크 장치(210), 관리 서버(300) 및 IoT 서비스 서버(500) 중 적어도 두 개 간의 데이터 통신을 수행하기 위해 통신부(222)를 제어할 수 있다.

본 발명의 일 실시 예에 따라, 프로세서(223)는 디지털 신호를 처리하는 디지털 시그널 프로세서(digital signal processor(DSP), 마이크로 프로세서(microprocessor), TCON(Time controller)으로 구현될 수 있다. 다만, 이에 한정되는 것은 아니며, 중앙처리장치(central processing unit(CPU)), MCU(Micro Controller Unit), MPU(micro processing unit), 컨트롤러(controller), 어플리케이션 프로세서(application processor(AP)), 또는 커뮤니케이션 프로세서(communication processor(CP)), ARM 프로세서 중 하나 또는 그 이상을 포함하거나, 해당 용어로 정의될 수 있다. 또한, 프로세서(223)는 프로세싱 알고리즘이 내장된 SoC(System on Chip), LSI(large scale integration)로 구현될 수도 있고, FPGA(Field Programmable gate array) 형태로 구현될 수도 있다.

한편, 본 발명의 프로세서(223)는 IoT 장치(100)가 IoT 네트워크 접근을 요청하면, 메모리(221)에 저장된 ACL(Access Control List) 기반 보안 모델을 이용하여 먼저 적용할 수 있는 IoT 장치(100)의 목록을 확인하여 운영의 처리 여부를 결정할 수 있다.

이때, ACL(Access Control List) 또는 접근 제어 목록은 개체나 개체 속성에 적용되어 있는 허가 목록을 말한다. 이 목록은 누가 또는 무엇이 객체 접근 허가를 받는지, 어떠한 작업이 객체에 수행되도록 허가를 받을지를 지정하고 있다. 전형적인 ACL에서 목록 안의 각 항목은 주제나 운영을 지정한다.

즉, 프로세서(223)는 복수의 IoT 장치(100)로부터 네트워크 접근 요청을 수신하면, ACL(Access Control List) 상 먼저 적용할 수 있는 IoT 장치(100)에 대하여 관리 서버(300)로 데이터 전송 등 프로세스를 처리할 수 있다.

다만, 이에 한정하지 않으며, 본 발명의 프로세서(223)는 메모리(221)에 저장된 iptables을 이용하여 IoT 장치(100)의 네트워크 접근을 위해 상승된 권한을 요구할 수 있다. iptables는　시스템 관리자가　리눅스 커널　방화벽(다른　넷필터　모듈로 구현됨)이 제공하는 테이블들과 그것을 저장하는 체인, 규칙들을 구성할 수 있게 해주는　사용자 공간　응용 프로그램이다. 각기 다른 커널 모듈과 프로그램들은 현재 다른 프로토콜을 위해 사용되는데, iptables는 IPv4에, ip6tables는 IPv6에, arptables는　ARP에, ebtables는　이더넷 프레임에 적용된다.

도 3은 본 발명의 일 실시예에 따른 네트워크 보안 장치가 IoT 장치를 식별하고, 제어 정책에 따라 IoT 네트워크에 대한 제어를 수행하는 방법을 설명하기 위한 간단한 흐름도이다.

네트워크 보안 장치(220)는 IoT 네트워크에 계류하는 데이터 패킷을 수집할 수 있다(S310). 이후, 네트워크 보안 장치(220)는 데이터 패킷을 기초로 IoT 장치(100)를 식별할 수 있다(S320). 다만, 이는 일예에 불과하고, 네트워크 보안 장치(220)는 데이터 패킷을 기초로 IoT 장치(100)로 접속하고자 하는 네트워크 노드에 대한 정보를 식별할 수 있다.

네트워크 보안 장치(220)는 식별된 IoT 장치(100) 및/또는 네트워크 노드의 정보를 관리 서버(300)로 전송할 수 있다(S330). 관리 서버(300)는 식별된 IoT 장치(100) 및/또는 네트워크 노드에 대한 정보를 사용자 단말(400)로 전송할 수 있고, 사용자는 사용자 단말(400)에 설치된 어플리케이션을 통해 식별된 IoT 장치(100) 및/또는 네트워크 노드에 대한 네트워크 접근 제어 정책을 결정할 수 있다.

사용자 단말(400)로부터 제어 정책을 수신한 관리 서버(300)는 제어 정책을 서버에 등록 및 갱신할 수 있고, 네트워크 보안 장치(220)로 제어 정책에 대응되는 신호를 전송할 수 있다.

IoT 장치(100) 및/또는 네트워크 노드에 대한 제어 정책을 수신한 네트워크 보안 장치(220)는 제어 정책에 대응하는 프로세스를 수행할 수 있다(S340). 예를 들어, 네트워크 접근 제어를 허용하는 제어 정책을 수신한 경우, 네트워크 보안 장치(220)는 IoT 장치(100)를 통해 수신한 데이터 패킷을 IoT 서비스 서버(500)로 전송할 수 있고, IoT 서비스 서버(500)로부터 수신한 IoT 서비스와 관련된 데이터 패킷을 IoT 장치(100)로 전송할 수 있다.

도 4는 본 발명의 일 실시예에 따른 네트워크 보안 장치가 IoT 네트워크에 접근하려는 네트워크 노드를 식별하고, 제어 정책에 따라 IoT 네트워크에 대한 제어를 수행하는 방법을 설명하기 위한 간단한 흐름도이다.

도 4를 참조하면, 네트워크 보안 장치(220)는 IoT 장치(100)를 통해 IoT 네트워크에 연결을 요청하는 데이터 패킷을 수신할 수 있다(S410). 구체적으로, 네트워크 보안 장치(220)는 IoT 장치(100)에 대하여 인바운드(Inbound) 트래픽 감시를 수행할 수 있고, IoT 장치(100)를 통한 네트워크 노드(node)의 연결 요청을 수신할 수 있다.

네트워크 보안 장치(220)는 IoT 네트워크에 접근을 요청하는 네트워크 노드를 식별할 수 있다(S420). 구체적으로, 네트워크 보안 장치(220)는 인바운드 트래픽 감시를 통해 접근을 요청하는 네트워크 노드가 기존의 네트워크 노드가 아닌 새로운 노드인지 여부를 판단할 수 있다.

네트워크 보안 장치(220)는 식별할 네트워크 노드 정보를 관리 서버(300)로 전송할 수 있다(S430). 특히 IoT 네트워크에 접근을 요청하는 네트워크 노드가 새로운 네트워크 노드 또는 외부 네트워크 노드인 경우, 네트워크 보안 장치(220)는 이에 대한 정보를 관리 서버(300)로 전송할 수 있다.

이후, 네트워크 보안 장치(220)는 식별한 네트워크 노드에 대한 제어 정책을 수신하고, 이에 대응하는 네트워크 제어를 수행할 수 있다(S440). 구체적으로, 사용자 단말(400)의 어플리케이션을 통해 결정된 제어 정책에 대한 정보는 관리 서버(300)를 통해 네트워크 보안 장치(220)로 수신된 것일 수 있다.

더욱 구체적으로, 사용자는 사용자 단말(400)의 어플리케이션을 통해 IoT 네트워크에 접근하려는 네트워크 노드에 대하여 IoT 네트워크 접근 여부에 대한 제어 정책을 결정할 수 있다. 네트워크 노드에 대한 제어 정책은 관리 서버(300)를 통해 네트워크 보안 장치(220)로 전송될 수 있다.

네트워크 보안 장치(220)는 제어 정책에 대응하는 네트워크 제어를 수행할 수 있다. 예를 들어, 네트워크 노드에 대한 제어 정책이 접근 금지에 해당하는 경우 네트워크 보안 장치(220)는 식별된 네트워크 노드의 IoT 장치(100)를 통한 네트워크를 차단할 수 있다.

상술한 바에 따르면, 네트워크 보안 장치(220)는 신뢰가 확보되지 않은 네트워크 노드를 통한 IoT 네트워크 접근에 대하여 사용자가 용이하게 확인 및 제어할 수 있다는 효과가 있다.

도 5는 본 발명의 일 실시예에 따른 IoT 네트워크 보안 시스템의 IoT 장치 등록 및 제어 정책 결정하는 방법을 설명하기 위한 시퀀스 도이다.

도 5를 참조하면, 사용자 단말(400)은 관리 서버(300)와 통신이 가능한 어플리케이션을 설치할 수 있다(S510). 이때, 어플리케이션은 관리 서버(300)가 제공하는 플랫폼을 통해 다운로드된 것일 수 있으나, 이에 한정하지 않고 다양한 수단을 통해 다운로드 및 설치된 것일 수 있다.

사용자 단말(400)은 설치된 어플리케이션을 통해 사용자 식별 정보 및 네트워크 보안 장치 식별 정보에 대한 등록을 관리 서버(300)에 요청할 수 있다. 즉, 사용자 단말(400)은 어플리케이션을 통해서 제어할 네트워크 보안 장치(220) 정보를 입력할 수 있다.

관리 서버(300)는 사용자 단말(400)로부터 수신한 사용자 식별 정보 및 네트워크 보안 장치(220) 식별 정보를 서버상 DB에 매칭하여 등록할 수 있다. 이에 따라, 사용자 단말(400)은 어플리케이션을 통해서 네트워크 보안 장치(220)의 IoT 네트워크가 수행할 접근 제어 정책을 결정할 수 있다.

한편, 적어도 하나의 IoT 장치(100)는 IoT 네트워크에 접근하기 위해서 네트워크 데이터 패킷을 전송할 수 있다(S540). 네트워크 보안 장치(220)는 네트워크 데이터 패킷을 수집할 수 있고, 수집된 데이터 패킷을 기초로 IoT 장치(100)를 식별할 수 있다.

본 발명의 일 실시예에 따른 네트워크 보안 장치(220)는 식별된 IoT 장치(100)가 기존에 IoT 네트워크에 접근한 히스토리가 있는 경우, 네트워크 접근을 허용할 수 있다. 또한, 본 발명의 일 실시예에 따른 네트워크 보안 장치(220)는 해당 IoT 장치(100)에 관하여 네트워크 접근을 허용하는 제어 정책이 있는 경우, IoT 장치(100)를 통한 네트워크 접근을 허용할 수 있다.

네트워크 보안 장치(220)는 IoT 장치에 대한 식별 정보를 관리 서버(300)에 전송할 수 있다. 관리 서버(300)는 IoT 장치에 대한 식별 정보를 등록하고(S570), IoT 장치에 대한 식별 정보 및 이와 관련된 상세 정보를 사용자 단말(400)로 전송할 수 있다(S580).

구체적으로, 본 발명의 일 실시예에 따른 관리 서버(300)는 IoT 장치에 대한 식별 정보를 기초로 IoT 장치에 대한 상세 정보를 획득할 수 있다. 예를 들면, 관리 서버(300)는 IoT 장치가 IoT 네트워크에 접근을 시도한 횟수, 빈도 등에 대한 정보, IoT 장치에 대하여 사용자가 결정한 제어 정책 히스토리, IoT 장치에 대하여 기설정된 제어 정책 정보(예를 들면, 자동 접근 허용 정책) 등을 상세 정보로 획득할 수 있다.

다만, 상술한 상세 정보는 일 예에 불과하며, 본 발명의 상세 정보는 이외에도 다양한 정보를 포함할 수 있다. 일 예로, 관리 서버(300)는 IoT 장치(100)에 대한 보안 위협 정도를 평가하여 상세 정보로 획득할 수 있다.

구체적으로 관리 서버(300)는 상기 IoT 장치(100)에 대하여, 상기 사용자 단말(400)을 통해 결정된 제어 정책 히스토리를 기초로 보안 위협 정보를 획득할 수 있다. 또한, 관리 서버(300)는 상기 사용자 단말(400) 외에 적어도 하나의 사용자 단말을 통해 결정된 제어 정책을 기초로 보안 위협 정보를 획득 및 업데이트할 수 있다. 예를 들어, 상기 IoT 장치(100)에 대한 히스토리가 네트워크 차단 제어 정책 횟수 및 빈도가 높은 것으로 판단된 경우, 관리 서버(300)는 높은 보안 위협 정보를 상세 정보로 획득할 수 있다.

사용자 단말(400)은 수신한 IoT 장치 식별 정보 및 상세 정보를 어플리케이션을 통해 사용자에게 제공할 수 있다. 사용자는 어플리케이션을 통해 IoT 장치의 네트워크 접근 여부에 대한 제어 정책을 결정할 수 있다(S590).

구체적으로, 사용자 단말(400)의 어플리케이션은 IoT 장치 식별 정보 및 이와 관련된 상세 정보를 사용자에게 제공하기 위한 UI를 표시할 수 있다. 또한, 사용자 단말(400)의 어플리케이션은 사용자가 제어 정책에 대한 설정 및 추가 설정을 수행할 수 있도록 구성된 UI를 표시할 수 있다. 이에 대하여는 도 10a 내지 도 10c에서 추가적으로 설명한다.

사용자 단말(400)은 어플리케이션을 통해 결정된 제어 정책 및 추가 설정을 관리 서버(300)로 전송할 수 있고(S591), 관리 서버(300)는 IoT 장치(100)에 대한 제어 정책 및 추가 설정을 등록 및 갱신할 수 있다(S592).

이때, 제어 정책은 IoT 장치(100)의 IoT 네트워크 접근 허용 여부, 식별된 IoT 장치(100)의 이후의 IoT 네트워크 접근 시도에 대한 네트워크 접근 자동 허용 여부 등을 포함할 수 있다. 구체적으로, 제어 정책은 IoT 네트워크 접근 차단, IoT 네트워크 접근 허용하고 이후 접근 시도가 있는 경우 허용 여부 요청 및 IoT 네트워크 접근 허용하고 이후 접근 시도가 있는 경우 네트워크 접근 자동 허용 등을 포함할 수 있다. 또한, 추가 설정은 자동 허용 기간, 네트워크 접근 범위 등을 포함할 수 있으나 이에 한정하지 않는다.

관리 서버(300)는 제어 정책 및 추가 설정에 대응되는 신호를 네트워크 보안장치(220)로 전송할 수 있고(S593), 네트워크 보안 장치(220)는 이를 기초로 프로세스를 수행할 수 있다(S594). 예를 들어, 결정된 제어 정책이 식별된 IoT 장치(100)에 대하여 네트워크 접근을 허용하는 것인 경우, 네트워크 보안 장치(220)는 IoT 장치(100)와 IoT 서비스 서버(500) 간 네트워크 데이터 패킷 교환이 가능하도록 제어 정책을 수행할 수 있다.

도 6은 본 발명의 일 실시예에 따른 IoT 네트워크 보안 시스템의 IoT 장치를 통한 네트워크 노드에 대한 접근 제어 정책 결정하는 방법을 설명하기 위한 시퀀스 도이다.

도 6을 참조하면, IoT 장치(100)는 네트워크 접근 요청을 네트워크 보안 장치(220)로 전송할 수 있다. 예를 들어, 네트워크 노드는 IoT 장치(100)를 통해서 IoT 네트워크에 접근을 시도할 수 있다. 이때, 네트워크 노드는 네트워크 노드에 대한 식별 정보를 포함한 데이터 패킷을 통해 IoT 네트워크에 접근 요청을 수행할 수 있다(S610).

네트워크 보안 장치(220)는 네트워크 노드 식별 정보를 기초로 네트워크 노드를 식별할 수 있다(S620). 네트워크 보안 장치(220)는 식별된 네트워크 노드가 기존에 IoT 네트워크에 포함되었던 노드인지 여부를 판단할 수 있다.

본 발명의 일 실시예에 따른 네트워크 보안 장치(220)는 식별된 네트워크 노드가 기존에 IoT 네트워크에 접근한 히스토리가 있는 경우, IoT 장치(100)를 통한 네트워크 접근을 허용할 수 있다. 또한, 본 발명의 일 실시예에 따른 네트워크 보안 장치(220)는 해당 네트워크 노드에 관하여 네트워크 접근을 허용하는 제어 정책이 있는 경우, IoT 장치(100)를 통한 네트워크 접근을 허용할 수 있다.

본 발명의 네트워크 보안 장치(220)는 IoT 네트워크에 접근을 시도하는 모든 네트워크 노드에 대한 식별 정보를 관리 서버(300)로 전송할 수 있다(S630). 즉, 네트워크 보안 장치(220)는 네트워크 노드에 대한 식별 정보를 관리 서버(300)에 전송할 수 있다.

관리 서버(300)는 네트워크 노드에 대한 식별 정보를 등록할 수 있고, 네트워크 노드에 대한 식별 정보를 기초로 상세 정보를 획득할 수 있다. 예를 들면, 관리 서버(300)는 네트워크 노드가 IoT 네트워크에 접근을 시도한 횟수, 빈도 등에 대한 정보, 네트워크 노드에 대하여 사용자가 결정한 제어 정책 히스토리, 네트워크 노드에 대하여 기설정된 제어 정책 정보(예를 들면, 자동 접근 허용 정책) 등을 상세 정보로 획득할 수 있다.

다만, 상술한 상세 정보는 일 예에 불과하며, 본 발명의 상세 정보는 이외에도 다양한 정보를 포함할 수 있다. 일 예로, 관리 서버(300)는 네트워크 노드에 대한 보안 위협 정도를 평가하여 상세 정보로 획득할 수 있다.

구체적으로 관리 서버(300)는 상기 네트워크 노드에 대하여, 상기 사용자 단말(400)을 통해 결정된 제어 정책 히스토리를 기초로 보안 위협 정보를 획득할 수 있다. 또한, 관리 서버(300)는 상기 사용자 단말(400) 외에 적어도 하나의 사용자 단말을 통해 결정된 제어 정책을 기초로 보안 위협 정보를 획득 및 업데이트할 수 있다. 예를 들어, 상기 네트워크 노드에 대한 히스토리가 네트워크 차단 제어 정책 횟수 및 빈도가 높은 것으로 판단된 경우, 관리 서버(300)는 높은 보안 위협 정보를 상세 정보로 획득할 수 있다.

관리 서버(300)는 네트워크 노드의 IoT 네트워크 접근 허용 요청 신호를 사용자 단말(400)로 전송할 수 있다(S640). 이때, IoT 네트워크 접근 허용을 요청하는 신호는 관리 서버(300)가 수신한 네트워크 노드 식별 정보 및 네트워크 노드에 대한 상세 정보를 포함할 수 있다.

사용자 단말(400)은 수신한 네트워크 노드 식별 정보 및 상세 정보를 어플리케이션을 통해 사용자에게 제공할 수 있다. 사용자는 어플리케이션을 통해 네트워크 노드의 네트워크 접근 여부에 대한 제어 정책을 결정할 수 있다(S650).

구체적으로, 사용자 단말(400)의 어플리케이션은 네트워크 노드 식별 정보 및 이와 관련된 상세 정보를 사용자에게 제공하기 위한 UI를 표시할 수 있다. 또한, 사용자 단말(400)의 어플리케이션은 사용자가 제어 정책에 대한 설정 및 추가 설정을 수행할 수 있도록 구성된 UI를 표시할 수 있다. 이에 대하여는 도 10a 내지 도 10c에서 추가적으로 설명한다.

이후, 사용자 단말(400)은 사용자로부터 네트워크 접근 허용 여부에 대한 제어 정책 및 추가 설정을 결정하는 명령을 수신하면, 결정된 제어 정책을 관리 서버(300)로 전송할 수 있다(S670).

이때, 제어 정책은 식별된 네트워크 노드의 IoT 네트워크 접근 허용 여부, 식별된 네트워크 노드의 이후의 IoT 네트워크 접근 시도에 대한 네트워크 접근 자동 허용 여부 등을 포함할 수 있다. 구체적으로, 제어 정책은 IoT 네트워크 접근 차단, IoT 네트워크 접근 허용하고 이후 접근 시도가 있는 경우 허용 여부 요청 및 IoT 네트워크 접근 허용하고 이후 접근 시도가 있는 경우 네트워크 접근 자동 허용 등을 포함할 수 있다. 또한, 추가 설정은 자동 허용 기간, 네트워크 접근 범위 등을 포함할 수 있으나 이에 한정하지 않는다.

관리 서버(300)는 제어 정책 및 추가 설정을 등록 및 갱신할 수 있고(S670), 제어 정책 및 추가 설정에 대응하는 신호를 네트워크 보안 장치(220)로 전송할 수 있다(S680). 이후, 네트워크 보안 장치(220)는 수신한 신호에 대응하는 프로세스를 수행할 수 있다(S690). 예를 들어, 제어 정책이 해당 네트워크 노드에 대한 네트워크 접근을 차단하는 것이면, 네트워크 보안 장치(220)는 IoT 장치(100)를 통한 네트워크 노드의 네트워크 접근을 차단할 수 있다.

도 7 및 도 8은 본 발명의 일 실시예에 따른 네트워크 보안 장치가 제어 정책을 수행하는 것을 예시적으로 설명하기 위한 시퀀스 도이다.

도 7을 참조하면, 네트워크 보안 장치(220)는 IoT 장치(100)로부터 네트워크 접근 요청을 수신할 수 있다(S710). 이때, 네트워크 접근 요청은 IoT 장치(100)의 네트워크 등록 요청을 포함할 수 있고, IoT 장치(100)를 통한 네트워크 노드의 네트워크 접근을 포함할 수 있다.

네트워크 보안 장치(220)는 상기 IoT 장치(100) 및/또는 네트워크 노드에 대한 제어 정책에 따른 네트워크 접근 허용 여부를 판단할 수 있다. 이때, 제어 정책은 도 5 및 도 6과 같이 사용자 단말(400)에 설치된 어플리케이션을 통해 실시간으로 결정되는 제어 정책일 수 있다. 다만, 이에 한정하지 않으며, 상기 IoT 장치(100) 및/또는 네트워크 노드에 대하여 기결정된 제어 정책이 존재하는 경우, 네트워크 보안 장치(220)는 그에 대응하여 네트워크 접근 허용 여부를 판단할 수 있다.

도 7에서는 실시간으로 결정된 제어 정책 또는 기결정된 제어 정책이 상기 IoT 장치(100) 및/또는 네트워크 노드에 대한 IoT 네트워크 접근을 거부하는 실시예를 도시하며, 네트워크 보안 장치(220)는 제어 정책에 대응하여 네트워크 접근을 차단할 수 있다(S720).

반면, 도 8은 실시간으로 결정된 제어 정책 또는 기결정된 제어 정책이 상기 IoT 장치(100) 및/또는 네트워크 노드에 대한 IoT 네트워크 접근을 허용하는 실시예를 도시한다.

네트워크 보안 장치(220)는 IoT 장치(100)로부터 네트워크 접근 요청을 수신할 수 있다(S810). 이때, 네트워크 접근 요청은 IoT 장치(100)의 네트워크 등록 요청을 포함할 수 있고, IoT 장치(100)를 통한 네트워크 노드의 네트워크 접근을 포함할 수 있다.

기결정된 제어 정책 또는 실시간으로 결정되는 제어 정책이 IoT 장치(100) 및/또는 네트워크 노드에 대하여 네트워크를 허용하는 것으로 판단되면(S820), 네트워크 보안 장치(220)는 IoT 서비스 서버(500)로 IoT 서비스를 요청할 수 있다(S830). IoT 서비스 서버(500)는 IoT 장치(100)와 네트워크 연결되어, 요청하는 서비스를 제공할 수 있다(S840).

도 9는 본 발명의 일 실시예에 따른 IoT 네트워크 보안 시스템의 IoT 서비스 제공 방법을 설명하기 위한 흐름도이다.

도 9를 참조하면, 네트워크 보안 장치(220)는 IoT 장치(100)로부터 네트워크 접근 요청을 수신할 수 있다(S910). 상술한 바와 같이, 네트워크 접근 요청은 IoT 장치(100)의 네트워크 등록 요청 및 IoT 장치(100)를 통한 네트워크 노드의 IoT 네트워크 접근 요청을 포함할 수 있다.

본 발명의 일 실시예에 따른 네트워크 보안 장치(220)는 해당 IoT 장치(100)가 기등록된 장치인지 여부를 판단할 수 있다(S920). 나아가, 네트워크 보안 장치(220)는 해당 IoT 장치(100)에 대하여 네트워크 접근을 자동으로 허용하는 제어 정책이 존재하는지 여부를 판단할 수 있다. 이때, 제어 정책은 실시간으로 사용자에 의해 설정된 것일 수도 있고, 네트워크 보안 장치(220)의 메모리에 저장된 것일 수도 있다.

해당 IoT 장치(100)가 기등록된 것이고, 해당 IoT 장치(100)에 대해 네트워크 접근을 허용하는 제어 정책이 존재하는 경우, 네트워크 보안 장치(220)는 접근을 요청하는 네트워크 노드가 기등록된 것인지 판단할 수 있다(S930). 나아가, 네트워크 보안 장치(220)는 해당 네트워크 노드에 대하여 네트워크 접근을 자동으로 허용하는 제어 정책이 존재하는지 여부를 판단할 수 있다. 이때, 제어 정책은 실시간으로 사용자에 의해 설정된 것일 수도 있고, 네트워크 보안 장치(220)의 메모리에 저장된 것일 수도 있다.

해당 네트워크 노드가 기등록된 것이고, 해당 네트워크 노드에 대해 네트워크 접근을 허용하는 제어 정책이 존재하는 경우, 네트워크 보안 장치(220)는 IoT 서비스 서버(500)에 IoT 장치(100)를 연결하고 IoT 서비스를 제공할 수 있다(S940).

한편, 해당 IoT 장치(100)가 기등록되지 않은 경우 및/또는 해당 IoT 장치(100)에 대해 네트워크 접근을 차단하는 제어 정책이 존재하는 경우, 네트워크 보안 장치(220)는 사용자 단말(400)로 해당 IoT 장치(100)의 등록 및 네트워크 접근 제어 정책 결정을 요청할 수 있다.

사용자가 해당 IoT 장치(100)의 등록 및 네트워크 접근을 허용하는 경우(S950-Y), 네트워크 보안 장치(220)는 접근을 요청하는 네트워크 노드가 기등록된 것인지 판단할 수 있다(S930).

해당 네트워크 노드가 기등록되지 않은 경우 및/또는 해당 네트워크 노드에 대해 네트워크 접근을 차단하는 제어 정책이 존재하는 경우, 네트워크 보안 장치(220)는 사용자 단말(400)로 해당 네트워크 노드의 등록 및 네트워크 접근 제어 정책 결정을 요청할 수 있다.

이후, 사용자가 네트워크 노드의 등록 및 네트워크 접근을 허용하는 경우(S960-Y), 네트워크 보안 장치(220)는 IoT 서비스 서버(500)에 IoT 장치(100) 및 네트워크 노드를 연결하고 IoT 서비스를 제공할 수 있다(S940).

상술한 실시예에 따라, 본 발명은 신뢰성이 확보된 IoT 장치 및 네트워크 노드에게만 IoT 네트워크를 제공할 수 있다는 효과가 있다.

도 10a 내지 도 10c는 본 발명의 일 실시예에 따른 사용자 단말에 설치되는 IoT 접근 제어 어플리케이션의 사용자 인터페이스를 예시적으로 도시한 도면이다.

도 10a를 참조하면, 기등록된 사용자는 본 발명의 어플리케이션을 통해 IoT 네트워크에 로그인할 수 있다. 본 발명의 어플리케이션은 승인 요청된 IoT 장치(100)의 수를 표시하는 UI(1011), 네트워크 보안 장치(220 또는 IAC; IoT Access Controller) 관리를 위한 UI(1012) 등을 표시할 수 있다. 또한, 어플리케이션은 신뢰 가능한 IoT 장치 현황에 대한 UI(1010)을 표시할 수 있다.

이에 따라, 본 발명의 어플리케이션은 사용자로 하여금 IoT 네트워크의 전반적인 관리를 위한 정보를 용이하게 취득할 수 있게 하는 효과가 있다.

도 10b를 참조하면, 본 발명의 어플리케이션은 승인 요청된 IoT 장치(100)의 수를 표시하는 UI(1011)를 선택하면, 승인 요청 리스트(1020)를 표시할 수 있다.

승인 요청 리스트(1020)는 승인 요청 IoT 장치(예를 들면, Apple Mobile Device)에 대한 식별 정보를 포함할 수 있다. 또한, 상기 승인 요청 리스트(1020)에는 승인 요청한 IoT 장치(예를 들면, Apple Mobile Device)에 대한 네트워크 접근 제어 정책을 결정하는 제1 UI(1021) 및 제2 UI(1022)를 포함할 수 있다. 사용자가 제1 UI(1021)를 선택하면, 네트워크 보안 시스템(10)은 제1 UI에 대응하는 제1 정책에 따라 승인 요청한 IoT 장치를 IoT 네트워크에 연결할 수 있다.

예를 들면, 제1 UI(1021)에 대응하는 제1 정책은 일주일 단위로 1시간 동안 자동으로 연결을 허용하는 제어 정책일 수 있다. 제2 UI(1022)에 대응하는 제2 정책은 네트워크를 차단하는 것일 수 있으나, 이는 일예에 불과하다. 본 발명의 제어 정책은 다양한 기간 단위를 기준으로 자동 연결을 수행하는 것일 수도 있고, 연결 요청이 있을 때마다 승인 요청을 수행하는 것일 수도 있으나 이에 한정하지 않는다.

본 발명의 어플리케이션은 사용자가 IoT 장치 현황에 대한 UI(1010)을 선택하면, IoT 장치에 대한 리스트(1023)를 표시할 수 있다. 다만, 이는 일 예에 불과하며, 어플리케이션은 다양한 방법을 통해 IoT 리스트(1023)를 사용자에게 제공할 수 있음은 물론이다. IoT 리스트(1023)는 네트워크 보안 시스템(10)에 연결된 IoT 장치의 식별 정보 개요(1024)를 표시할 수 있다. 본 발명의 일 실시예에 따른 IoT 리스트(1023)는 네트워크 접근 시도 횟수에 비례하여 가중치를 부여하고, 부여된 가중치가 높은 순서대로 IoT 장치를 순차적으로 표시할 수 있다.

이와 같이 본 발명은 IoT 장치를 통한 IoT 네트워크 이용 패턴을 반영함으로써, 네트워크 관리의 편리성이 강화될 수 있다.

본 발명의 어플리케이션은 사용자가 IoT 장치의 식별 정보 개요(1024)를 선택하면, 해당 IoT 장치에 대한 상세 설정을 위한 UI(1025)를 표시할 수 있다. 구체적으로, 사용자는 상세 설정을 위한 UI(1025)를 통해 상기 IoT 장치의 인바운드(inbound) 감시 및 아웃바운드(outbound) 감시에 대한 설정을 수행할 수 있다.

상술한 바와 같이, 사용자는 어플리케이션을 통해 적어도 하나의 IoT 장치(100)들에 대한 각각의 네트워크 접근 제어 정책을 결정할 수 있으며, 이에 따라 적어도 하나의 IoT 장치(100)에 대하여 자동 네트워크 접근을 허용하도록 제어 정책을 결정할 수 있다. 이에 따라, 본 발명에 따른 어플리케이션은 자동 네트워크 연결 승인 IoT 장치 목록(1026)을 표시할 수 있다.

한편, 본 발명의 일 실시예에 따른 어플리케이션은 제1 IoT 장치에 대한 승인 요청 후 인바운드 감시, 아웃바운드 감시 및/또는 자동승인 설정 등에 대한 패턴을 분석할 수 있다. 본 발명의 어플리케이션은 관리 서버(300)에 저장된 히스토리를 기초로 분석한 패턴에 대응되도록 추가 설정을 자동으로 수행할 수 있다. 즉, 어플리케이션은 적어도 하나의 IoT 장치(100)에 대한 설정 히스토리 내역을 실시간으로 관리 서버(300)로 전송할 수 있다.

또 다른 예시에 따르면 관리 서버(300)는 설정 히스토리 내역을 기초로 패턴을 분석하고, 분석한 패턴에 대한 정보를 네트워크 보안 장치(220)로 전송할 수 있다. 네트워크 보안 장치(220)는 수신한 제어 정책 패턴을 기초로 네트워크 접근을 제어할 수 있다. 이후, 네트워크 보안 장치(220)는 관리 서버(300)를 통해 사용자 단말(400) 및 어플리케이션으로 네트워크 접근 제어 수행 결과를 전송할 수 있다.

구체적으로, 관리 서버(300)는 제1 IoT 장치에 대한 인바운드 감시 온(on), 아웃바운드 감시 오프(off) 및 일주일간 자동 승인하는 패턴 정보를 획득한 경우, 네트워크 보안 장치(220)는 제1 IoT 장치에 대한 사용자의 승인 후, 인바운드 감시 온(on), 아웃바운드 감시 오프(off) 및 일주일간 자동 승인되도록 자동으로 추가 설정을 수행할 수 있다. 이후, 네트워크 보안 장치(220)는 자동으로 추가 설정된 내역을 관리 서버(300)로 전송할 수 있다. 관리 서버(300)는 자동 설정된 내역을 등록하고, 사용자 단말(400)로 자동 설정된 내역에 대한 정보를 전송할 수 있다. 사용자 단말(400)의 어플리케이션은 수신한 자동 설정된 내역에 대한 정보를 사용자에 제공할 수 있다.

한편, 본 발명의 일 실시예에 따르면, 사용자는 자동 설정된 내역에 대한 정보를 확인 후, 어플리케이션을 통해 자동 설정된 제어 정책을 변경하도록 사용자 명령을 입력할 수 있다. 이 경우, 변경된 제어 정책 정보는 관리 서버(300)로 전송될 수 있고, 관리 서버(300)는 변경된 제어 정책 정보를 서버에 등록할 수 있다. 이때, 변경된 제어 정책 정보는 추후 제1 IoT 장치를 통한 네트워크 접근 요청이 있는 경우, 관리 서버(300)가 자동 설정을 위한 히스토리 정보로 사용될 수 있다.

한편, 관리 서버(300)는 변경된 제어 정책 정보를 네트워크 보안 장치(220)로 전송할 수 있고, 네트워크 보안 장치(220)는 변경된 제어 정책 정보에 기초하여 네트워크 접근을 제어할 수 있다.

본 발명의 또 다른 실시예에 따르면, 제2 IoT 장치에 대하여 네트워크 차단하는 패턴 정보를 획득한 경우, 어플리케이션은 제2 IoT 장치에 대한 승인 요청이 있는 경우, 네트워크를 자동으로 차단하고, 사용자에게 차단 수행 내역을 제공할 수 있다.

본 발명에 의하면 사용자가 결정한 네트워크 접근 정책과 관련하여, 보안 위협 정도 및 보안 적용 상황을 지능적으로 분석하여 패턴화할 수 있다. 이를 통해, 보안 위협에 자동 대응 환경을 제공함으로써, 네트워크 관리의 편리성이 강화될 수 있다.

도 10c를 참조하면, 사용자는 본 발명의 어플리케이션을 통해 네트워크 보안 장치(220) 또는 IAC(IoT Access Controller)의 네트워크 등록을 관리할 수 있다. 구체적으로, 사용자는 어플리케이션을 통해 관리 서버(300)에 사용자 단말(400) 및 사용자 정보를 등록할 수 있고, 사용자 단말(400)에 연동되기 위한 네트워크 보안 장치(220) 또는 IAC(IoT Access Controller)를 등록할 수 있다.

예를 들어, IoT 네트워크 상에 사용자 단말(400)과 연동을 요청하는 네트워크 보안 장치(220)가 탐지되면, 어플리케이션은 'IAC 연동 요청을 받았습니다.'라는 안내문구(1030)를 표시할 수 있고, 연동을 승인 또는 거절하기 위한 UI(1031)을 표시할 수 있다.

또한, 본 발명의 어플리케이션은 연동을 요청한 네트워크 보안 장치(220) 또는 이미 연동 중인 네트워크 보안 장치(220)에 대한 정보(1032)를 표시할 수 있다. 본 발명의 어플리케이션을 통해 사용자는 네트워크 보안 장치(220)의 W/B 체크 주기, 전원, 업그레이드 및 연결 해제에 대한 설정 변경을 수행할 수 있다.

한편, 본 발명의 일 실시예에 따른 어플리케이션은 제1 IAC에 대한 승인 요청 후 사용자의 대응 패턴을 분석할 수 있다. 본 발명의 어플리케이션은 관리 서버(300)에 저장된 히스토리를 기초로 분석한 패턴에 대응되도록 추가 프로세스를 수행할 수 있다. 즉, 어플리케이션은 적어도 하나의 IoT 장치(100)에 대한 대응 히스토리 내역을 실시간으로 관리 서버(300)로 전송할 수 있다. 또 다른 예시에 따르면, 관리 서버(300)는 대응 히스토리 내역을 기초로 패턴을 분석하고, 분석한 패턴에 대한 정보를 사용자 단말(400) 및 어플리케이션으로 전송할 수 있다.

제1 IAC에 대한 패턴 정보를 획득한 경우, 어플리케이션은 제1 IAC에 대한 연결 여부를 자동으로 수행할 수 있다. 예를 들어, 제1 IAC에 대하여 네트워크 차단하는 패턴 정보를 획득한 경우, 어플리케이션은 제1 IAC에 대한 승인 요청이 있는 경우, 네트워크를 자동으로 차단하고, 사용자에게 차단 수행 내역을 제공할 수 있다.

도 11a 내지 도 11c는 본 발명의 일 실시예에 따른 관리 서버의 사용자 인터페이스를 예시적으로 도시한 도면이다.

도 11a 내지 도 11c를 참조하면, 본 발명의 관리 서버(300)의 사용자 인터페이스는 IoT 네트워크에 포함된 IoT 장치(IoT 장비, 100), IAC(네트워크 보안 장치, 220) 및 어플리케이션을 관리하기 위한 목록을 포함할 수 있다.

특히, 도 11a의 IoT 장치 목록(1110) 실시예는 IoT 네트워크에 포함된 제1 네트워크 보안 장치(예로, 1층 개발부 IAC)와 연결된 적어도 하나의 IoT 장치(100)들의 현황을 표시하는 것을 도시한다.

제1 표시목록(1111)은 제1 네트워크 보안 장치에 연결된 IoT 장치는 핸드폰, 가습기, CCTV를 포함하는 것을 표시하며, 제2 표시목록(1112)은 승인된 장비의 현황에 대하여 차트의 영역으로 표시한다.

또한, IoT 장치 목록(1110)은 승인된 IoT 장치 리스트(1113), 승인된 IoT 장치와 관련된 인바운드(inbound) 감시 현황 리스트(1114) 및 승인된 IoT 장치와 관련된 아웃바운드(outbound) 감시 현황 리스트(1115)를 포함할 수 있다.

도 11b의 IAC 목록(1120) 실시예는 IoT 네트워크에 연결에 등록을 요청하는 IAC(네트워크 보안 장치)에 대한 현황을 표시하는 것을 도시한다.

본 발명의 일 실시예에 따른 IAC 목록(1120)은 등록된 IAC 현황(1121), IAC의 전원 온/오프 현황(1122)을 표시할 수 있다. 나아가, IAC 목록(1120)은 승인 대기 중인 IAC 리스트(1123)을 표시할 수 있다.

도 11c의 앱 관리 목록(1130) 실시예는 제2 네트워크 보안 장치(예로, 1층 전산팀 IAC, 1131)와 연결된 어플리케이션에 대한 현황을 표시하는 것을 도시한다.

본 발명의 일 실시예에 따른 어플리케이션 목록(1132)은 제2 네트워크 보안장치와 연동되도록 등록된 어플리케이션이 설치된 사용자 단말(400) 및 사용자의 식별 정보 현황을 표시할 수 있다. 구체적으로, 어플리케이션 목록(1132)은 사용자가 속한 부서, 승인요청일시 및 승인일시 등 다양한 정보를 포함할 수 있다.

상술한 바와 같은 실시예를 통해, 본 발명은 IoT 장치, 네트워크 보안 장치, 어플리케이션 및 어플리케이션이 설치된 사용자 단말에 대한 정보 현황을 표시함으로써 네트워크 관리의 편리성 강화를 제공할 수 있다.

이와 같이 본 발명은 도면에 도시된 실시예를 참고로 설명되었으나 이는 예시적인 것에 불과하며, 당해 기술분야에서 통상의 지식을 가진 자라면 이로부터 다양한 변형 및 균등한 다른 실시예가 가능하다는 점을 이해할 것이다. 따라서 본 발명의 진정한 기술적 보호 범위는 첨부된 청구범위의 기술적 사상에 의하여 정해져야 할 것이다.

100: IoT 장치
210: IoT 네트워크 장치
220: 네트워크 보안 장치
221: 메모리
222: 통신부
223: 프로세서
300: 관리 서버
400: 사용자 단말
500: IoT 서비스 서버

Claims

IoT(Internet of Things) 보안 시스템에 있어서,
적어도 하나의 IoT 장치;
상기 적어도 하나의 IoT 장치로부터 데이터 패킷을 수집하고, 상기 데이터 패킷을 기초로 식별 정보를 획득하고, 상기 적어도 하나의 IoT 장치를 통한 IoT 네트워크 접근을 제어하는 네트워크 보안 장치;
상기 네트워크 보안 장치로부터 상기 식별 정보를 수신하면, 상기 식별 정보를 등록하는 관리 서버; 및
상기 관리 서버로부터 상기 식별 정보를 수신하면, 상기 식별 정보를 기초로 네트워크 접근에 대한 제어 정책을 결정하기 위한 어플리케이션이 설치된 사용자 단말; 을 포함하고,
상기 제어 정책은 상기 적어도 하나의 IoT 장치를 통한 IoT 네트워크 접근 허용과 관련된 설정을 포함하고,
상기 어플리케이션은 결정된 제어 정책을 실시간으로 상기 관리 서버로 전송하고,
상기 관리 서버는 상기 결정된 제어 정책에 대한 히스토리 정보를 기초로 제어정책 패턴을 획득하고, 상기 네트워크 보안 장치로 상기 제어정책 패턴을 전송하고,
상기 제어정책 패턴은 상기 IoT 네트워크 접근 허용에 대한 히스토리 정보에 대응하여 상기 적어도 하나의 IoT 장치 각각에 대한 네트워크 연결을 자동으로 수행 또는 차단하는 패턴이고,
상기 네트워크 보안 장치는 상기 제어정책 패턴에 대응되도록 상기 적어도 하나의 IoT 장치를 통한 IoT 네트워크 접근을 제어하는 IoT 보안 시스템.
제1항에 있어서,
상기 식별 정보는 상기 적어도 하나의 IoT 장치 및 상기 적어도 하나의 IoT 장치를 통해 상기 IoT 네트워크에 접근하는 네트워크 노드 중 적어도 하나의 식별 정보를 포함하는 IoT 보안 시스템.
제1항에 있어서,
상기 어플리케이션은 상기 적어도 하나의 식별 정보와 관련된 UI를 사용자 단말에 표시하고, 상기 사용자 단말의 사용자는 상기 UI를 통해 상기 제어 정책을 결정하고,
상기 사용자 단말은 상기 제어 정책을 상기 관리 서버로 전송하고, 상기 관리 서버는 수신된 상기 제어 정책을 등록하고 상기 제어 정책을 상기 네트워크 보안 장치로 전송하고, 상기 네트워크 보안 장치는 상기 수신된 제어 정책을 기초로 상기 적어도 하나의 IoT 장치를 통한 IoT 네트워크 접근을 제어하는 IoT 보안 시스템.
삭제
삭제