KR100352520B1 - Firewall system and method for protecting network elements in data communication network - Google Patents
Firewall system and method for protecting network elements in data communication network Download PDFInfo
- Publication number
- KR100352520B1 KR100352520B1 KR1020000063906A KR20000063906A KR100352520B1 KR 100352520 B1 KR100352520 B1 KR 100352520B1 KR 1020000063906 A KR1020000063906 A KR 1020000063906A KR 20000063906 A KR20000063906 A KR 20000063906A KR 100352520 B1 KR100352520 B1 KR 100352520B1
- Authority
- KR
- South Korea
- Prior art keywords
- data
- data communication
- computer terminal
- hacking
- communication network
- Prior art date
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L45/00—Routing or path finding of packets in data switching networks
- H04L45/70—Routing based on monitoring results
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
본 발명은 데이터통신망을 매개하여 접속된 클라이언트측/서버측 컴퓨터단말의 전단에 설치되어 그 데이터통신망을 통해 식별데이터(즉, 해킹방지코드)를 교환하여 그 식별데이터가 정상적인 경우에만 컴퓨터단말측의 데이터경로를 개방하도록 하면서, 운영서버가 컴퓨터단말의 상태를 모니터링하여 데이터통신망을 통한 데이터통신을 원격적으로 스위칭제어함으로써 해킹의 원천적인 방지가 가능하도록 하기 위한 데이터통신네트워크에서의 해킹방지장치와 그 방법에 관한 것이다.The present invention is installed at the front end of the client-side / server-side computer terminal connected via the data communication network, and exchanges identification data (ie, hacking prevention code) through the data communication network, An anti-hacking device in a data communication network for allowing the operation server to monitor the state of a computer terminal and remotely control and control the data communication through the data communication network to open a data path, thereby enabling the fundamental prevention of hacking. It is about a method.
본 발명에 따르면, 데이터통신망과 클라이언트측/서버측 컴퓨터단말의 사이에 개재된 해킹방지유니트의 디코더는 데이터통신망을 통해 수취되는 식별데이터를 디코딩하게 되고, 그 디코딩결과를 제어부가 메모리에 등록된 식별데이터로부터 검색하여 정상적인 경우에만 상기 컴퓨터단말의 데이터경로를 개방시켜 데이터통신이 가능하게 된다. 또, 본 발명에 따르면 데이터통신망을 매개하여 운영서버가 해킹방지유니트에 연계된 컴퓨터단말의 현재상태에 대한 모니터링을 실행하여 그 데이터통신의 제한이 필요한 경우에는 해당하는 운영서버의 식별데이터와 네트워크제어ON/OFF데이터를 전송하게 되고, 그 해킹방지유니트는 상기 운영서버로부터의 네트워크제어ON/OFF데이터에 기초하여 상기 컴퓨터단말에 대한 데이터통신망의 접속을 제한하거나 해제하는 제어가 가능하게 된다.According to the present invention, the decoder of the anti-hacking unit interposed between the data communication network and the client / server computer terminal decodes the identification data received through the data communication network, and the decoding result is identified by the controller in the memory. Data communication is possible by retrieving the data and opening the data path of the computer terminal only in the normal case. Further, according to the present invention, when the operation server monitors the current state of the computer terminal linked to the hacking prevention unit through the data communication network, and the data communication is restricted, identification data and network control of the corresponding operation server are required. The ON / OFF data is transmitted, and the hacking prevention unit can control to limit or release the connection of the data communication network to the computer terminal based on the network control ON / OFF data from the operation server.
Description
본 발명은 데이터통신네트워크에서의 해킹방지장치와 그 방법에 관한 것으로, 보다 상세하게는 하드웨어적인 데이터링크층에서의 보안과 소프트웨어적인 보안을 결합하여 해킹을 방지하면서 불량한 클라이언트측/서버측 컴퓨터단말에 대한 원격적인 데이터통신의 제어가 가능하도록 하기 위한 데이터통신네트워크에서의 해킹방지장치와 그 방법에 관한 것이다.The present invention relates to a hacking prevention device and a method thereof in a data communication network, and more particularly, to a bad client-side / server-side computer terminal while preventing hacking by combining security at the data link layer of the hardware and software security. The present invention relates to an anti-hacking device and a method for preventing remote data communication.
현재, 전자 및 통신기술의 비약적인 발전에 따라 초고속 정보통신망을 매개하여 대량의 정보를 교환하는 데이터통신이 구현되어 대량의 정보를 고속으로 교환하는 일이 가능한 상황이다.At present, due to the rapid development of electronic and communication technology, data communication for exchanging a large amount of information through a high-speed information communication network is implemented, so that a large amount of information can be exchanged at high speed.
그러한 데이터통신네트워크에 포함되는 서버측 컴퓨터단말 및/또는 클라이언트측 컴퓨터단말에 대해서는 정보통신망의 통신로 점유를 요구하고 인증하기 위해 통상적으로 사용자 식별코드(User ID)와 비밀번호(Password)가 부여되게 된다.Server-side computer terminals and / or client-side computer terminals included in such data communication networks are usually given a user ID and password to request and authenticate the communication channel occupancy of the information communication network. .
따라서, 데이터통신망을 매개하여 정보통신서비스를 제공하는 서버측 컴퓨터단말(즉, 정보제공서버)에 대해서는 다양한 분야의 업무를 관장하는 기관이라든지 기업체 또는 개인이 정보통신망(예컨대 인터넷통신망)을 통해 다수의 클라이언트측 컴퓨터단말이 접속되어 필요한 정보의 교환이라든지 검색 및 카피(즉, 다운로드)가 가능하게 된다.Therefore, for server-side computer terminals (i.e., information providing servers) that provide information and communication services through a data communication network, a large number of organizations, organizations, or individuals through information and communication networks (for example, Internet communication networks) are in charge of various organizations. The client-side computer terminal is connected to enable the exchange of necessary information, search and copy (i.e. download).
통상적으로, 데이터통신망을 매개하여 온라인적으로 접속되는 서버측 컴퓨터단말 및/또는 클라이언트측 컴퓨터단말에 대해서는 사용자 식별코드와 비밀번호를 인지하는 경우 데이터통신네트워크의 구성요소 또는 통신경로상의 장애에 의하지 않고서는 필요한 경우마다 온라인접속이 가능하게 된다.In general, server-side computer terminals and / or client-side computer terminals that are connected online through a data communication network, when user identification codes and passwords are recognized, are not affected by components of the data communication network or obstacles in the communication path. Online access is available whenever necessary.
따라서, 그러한 정보통신서비스의 허점을 악용하여 기관, 기업체, 개인의 정보통신시스템에 불법적으로 침입하여 해당하는 컴퓨터단말의 데이터베이스에 보관된 데이터 자원의 파괴라든지 변경 및/또는 다운로드를 받는 소위 '해킹'이 빈번하게 발생되는 실정이다.Thus, the so-called 'hacking', which exploits the loopholes of such information and communication services, illegally invades organizations, companies and individuals' information and communication systems, and destroys, modifies and / or downloads data resources stored in the database of the corresponding computer terminal. This is a frequent occurrence.
즉, 정보통신망에 온라인적으로 접속된 어떠한 데이터통신시스템에 대해 해커는 해킹프로그램을 사용하여 데이터통신시스템의 데이터베이스에 라인접속함으로써 그 데이터베이스에 포함된 자원을 파괴하거나 변경 또는 다운로드하여 불법적으로 악용하게 된다.In other words, for any data communication system connected online to the information communication network, the hacker uses a hacking program to connect to the database of the data communication system to destroy, change or download the resources contained in the database to illegally exploit it. .
따라서, 그러한 점을 고려하여 최근에는 데이터통신시스템에 해킹방지를 위한 해킹방지체계(Firewall)의 구축에 상당한 노력과 수고가 필요한 실정이다.Therefore, in consideration of such a point, in recent years, considerable efforts and efforts are required to construct a hacking prevention system (Firewall) for hacking prevention in a data communication system.
도 1은 종래의 일예에 따른 해킹방지체계가 갖추어진 데이터통신망을 설명하는 도면이다.1 is a view illustrating a data communication network equipped with a hacking prevention system according to a conventional example.
도면에서, 참조부호 10으로 표시된 호스트 컴퓨터단말은 데이터통신라인(12)과 라우터(14)를 매개하여 개별적인 클라이언트측 컴퓨터단말(16)에 접속되는 바, 그 컴퓨터단말(16)에는 공중적인 억세스가 가능한 웹서버기능부(18)와 전자우편(E-mail)기능부(20)가 포함됨과 더불어 해커의 해킹을 방지하기 위한해킹방지기능부(22)가 갖추어지게 된다.In the figure, the host computer terminal indicated by reference numeral 10 is connected to the individual client-side computer terminal 16 via the data communication line 12 and the router 14, and the computer terminal 16 has public access. Possible web server function unit 18 and E-mail function unit 20 are included, and a hacking prevention function unit 22 for preventing hackers is provided.
또, 상기 컴퓨터단말(16)의 내부적인 망 포트(Internal network port)(24)에는 예컨대 근거리통신망(LAN)을 포함하는 내부통신망(26)을 매개하여 데이터통신단말(28) 및/또는 데이터베이스(30)가 접속된다.In addition, the internal network port 24 of the computer terminal 16 has a data communication terminal 28 and / or a database (for example, via an internal communication network 26 including a local area network (LAN)). 30) is connected.
따라서, 도 1에 도시된 데이터통신망에서는 상기 해킹방지기능부(22)에 의해 데이터통신망(12)을 매개하는 해킹이라든지 내부통신망(26)을 매개하는 해킹의 방지효과를 달성하게 된다.Therefore, in the data communication network shown in FIG. 1, the hacking prevention function unit 22 achieves the prevention of hacking that mediates the data communication network 12 or the hacking that mediates the internal communication network 26.
그러나, 도 1에 도시된 해킹방지기능부(22)에 의한 해킹방지체계는 대개 소프트웨어(프로그램)적으로 구현됨으로 말미암아 해커가 그 프로그램을 해독하게 되면 그 프로그램적인 해킹방지체계에 의한 해킹방지효과는 기대할 수 없게 된다.However, since the hacking prevention system by the hacking prevention function unit 22 shown in FIG. 1 is usually implemented in software (program), if a hacker decrypts the program, the hacking prevention effect by the programmatic hacking prevention system is You cannot expect it.
그러한 점에서, 해커에 의한 해킹을 방지하기 위해서는 보다 복잡한 체계를 갖는 해킹방지프로그램을 지속적으로 개발해야만 할 뿐만 아니라 데이터통신시스템에 대한 보안성 높은 해킹방지체계의 구축에 상당한 노력과 비용이 소용된다는 불리함이 있게 된다.In this regard, in order to prevent hacking by hackers, it is necessary not only to continuously develop a hacking prevention program with a more complicated system, but also to use a considerable amount of effort and cost in constructing a secure hacking prevention system for a data communication system. There is a ship.
더구나, 현재에는 망운영자가 불법적인 정보의 억세스를 위한 해킹의도를 갖거나 불량한 정보를 대량으로 유포하는 경우 또는 유용하지 않은 정보를 제공하는 정보제공사이트에 접속되는 컴퓨터단말에 대한 원격적인 제어가 불가능한 실정이고, 그에 따라 불량한 징후를 보이는 컴퓨터단말에 대한 데이터통신의 제한제어가 효과적으로 실행되지는 못하는 실정이어서, 초기적인 해킹방지기능의 수행에 취약한 상태이다.Moreover, at present, network operators have remote control of computer terminals connected to information providing sites that provide hacking intentions to access illegal information, disseminate bad information in large quantities, or provide useful information. The situation is impossible, and therefore, the restriction control of data communication with respect to the computer terminal showing the bad symptom is not effectively executed, and thus it is vulnerable to the initial hacking prevention function.
따라서, 본 발명은 상기한 종래 기술의 사정을 감안하여 이루어진 것으로, 그 주목적은 데이터통신망에 접속된 서버측 컴퓨터단말과 클라이언트측 컴퓨터단말의 사이에 특정한 식별데이터를 교환하도록 해서 정확한 식별데이터가 인지되는 경우에만 컴퓨터단말에 대한 데이터경로가 개방되도록 허용함으로써 해킹의 원천적인 방지를 달성하도록 된 데이터통신네트워크에서의 해킹방지장치와 그 방법을 제공하는 것이다.Accordingly, the present invention has been made in view of the above-described prior art, and its main purpose is to exchange specific identification data between a server-side computer terminal and a client-side computer terminal connected to a data communication network so that accurate identification data can be recognized. It is an object of the present invention to provide an anti-hacking device and a method in a data communication network that allow the data path to a computer terminal to be opened only to achieve hacking prevention.
본 발명의 다른 목적은 데이터통신망에 접속된 서버측 컴퓨터단말과 클라이언트측 컴퓨터단말의 사이에서 불량한 컴퓨터단말에 대한 원격적인 통신제어가 가능하도록 함으로써 해킹의 예방이 가능하도록 하기 위한 데이터통신네트워크에서의 해킹방지장치와 그 방법을 제공하는 것이다..Another object of the present invention is to enable hacking in a data communication network to prevent hacking by enabling remote communication control of a poor computer terminal between a server-side computer terminal and a client-side computer terminal connected to the data communication network. To provide a prevention device and a method thereof.
상기한 목적을 달성하기 위해, 본 발명의 제 1실시예에 따른 바람직한 양태에 따르면 데이터통신망과 클라이언트/서버측 컴퓨터단말의 사이에 개재되어 망접속부로부터 수취되는 식별데이터를 디코딩하는 디코더와; 수취대상의 식별데이터가 미리 등록된 메모리; 상기 디코더에 의해 디코딩된 식별데이터와 상기 메모리에 등록된 식별데이터를 비교하여 데이터경로를 스위칭제어하는 제어부; 및, 상기 제어부의 스위칭제어에 응답하여 상기 컴퓨터단말로의 데이터경로를 스위칭하는 LAN-PCI인터페이스를 갖추어 구성된 데이터통신네트워크에서의 해킹방지장치가 제공된다.In order to achieve the above object, according to a preferred aspect of the present invention, there is provided a decoder for decoding identification data interposed between a data communication network and a client / server-side computer terminal and received from a network connection; A memory in which identification data of a recipient is registered in advance; A control unit for switching the data path by comparing the identification data decoded by the decoder with the identification data registered in the memory; And a LAN-PCI interface for switching the data path to the computer terminal in response to the switching control of the control unit.
바람직하게, 상기 식별데이터는 해당하는 해킹방지장치의 시리얼번호를 포함하여 구성된다.Preferably, the identification data includes the serial number of the corresponding hacking prevention device.
본 발명의 제 1실시예에 따른 다른 실시양태에 따르면, 데이터통신망을 매개하여 데이터통신을 위한 접속을 실행하는 단계와, 상기 데이터통신을 위해 전송되는 식별데이터를 수취하여 그 식별데이터의 수취여부를 판단하는 단계, 상기 식별데이터가 수취된 상태에서 그 식별데이터와 미리 등록된 식별데이터를 상호 비교하는 단계, 상기 식별데이터의 비교결과에 기초하여 후단의 컴퓨터단말에 대한 데이터경로를 스위칭제어하는 단계로 이루어진 데이터통신네트워크에서의 해킹방지방법이 제공된다.According to another embodiment according to the first embodiment of the present invention, a step of performing a connection for data communication via a data communication network, receiving identification data transmitted for the data communication, and receiving the identification data Determining, comparing the identification data with previously registered identification data when the identification data is received, and switching control of a data path to a later computer terminal based on a comparison result of the identification data. An anti-hacking method is provided in a data communication network.
본 발명에 따르면, 상기 식별데이터는 해당하는 해킹방지장치의 시리얼No를 포함하게 되고, 그 시리얼No의 비교결과에 따라 상기 데이터경로를 스위칭제어하게 된다.According to the present invention, the identification data includes a serial No of the corresponding hacking prevention device, and switches the data path according to the comparison result of the serial No.
또, 상기 식별데이터가 비정상적으로 수취되는 경우와 식별데이터가 상기 미리 등록된 식별데이터와 일치하지 않는 경우에는 상기 데이터경로를 OFF시키게 된다.Further, when the identification data is abnormally received and when the identification data does not match the previously registered identification data, the data path is turned off.
본 발명의 제 2실시예에 따르면, 데이터통신망을 매개하여 상호 데이터통신이 가능한 클라이언트측/서버측 컴퓨터단말이 접속된 데이터통신망에 있어서, 상기 데이터통신망을 매개하여 원격적으로 컴퓨터단말을 모니터링하여 그 모니터링결과에 의거하여 상기 컴퓨터단말의 원격적인 데이터통신의 ON/OFF제어를 실행하는 운영서버와; 상기 데이터통신망을 매개하여 상기 운영서버에 접속되어 그 후단의 컴퓨터단말의 실제적인 ON/OFF제어를 실행하는 해킹방지유니트를 포함하여 구성된 데이터통신네트워크에서의 해킹방지장치가 제공된다.According to a second embodiment of the present invention, in a data communication network to which client / server computer terminals capable of mutual data communication via a data communication network are connected, the computer terminal is monitored remotely via the data communication network. An operation server for performing ON / OFF control of remote data communication of the computer terminal based on a monitoring result; An anti-hacking device is provided in a data communication network including a hacking prevention unit connected to the operation server via the data communication network to perform actual ON / OFF control of a later computer terminal.
바람직하게, 상기 식별데이터는 상기 컴퓨터단말에 연계된 해킹방지유니트의 시리얼No로 구성된다.Preferably, the identification data is composed of a serial No of the hacking prevention unit associated with the computer terminal.
또, 상기 운영서버에는 상기 해킹방지유니트의 시리얼No와 ID, 비밀번호와 ID가 등록됨과 더불어 그 해킹방지유니트를 매개하여 상기 컴퓨터단말에 대한 데이터통신의 상태를 모니터링하기 위한 네트워크상태뷰기능과 네트워크제어ON/OFF기능이 포함된다.In addition, a serial status and ID, password, and ID of the hacking prevention unit are registered in the operation server, and a network status view function and network control for monitoring the status of data communication for the computer terminal through the hacking prevention unit. ON / OFF function is included.
또, 상기 해킹방지유니트는 상기 운영서버로부터의 식별데이터를 디코딩하는 디코더와, 그 디코더에서 디코딩된 식별데이터를 메모리에 미리 등록된 식별데이터와 비교하여 상기 컴퓨터단말에 대한 데이터경로를 스위칭제어하기 위한 제어부, 그 제어부의 제어하에 상기 컴퓨터단말의 데이터경로를 스위칭하는 LAN카드 및, 상기 제어부에 의한 데이터경로 스위칭을 위한 OS프로그램이 저장된 하드디스크드라이브를 포함하여 구성된다.The anti-hacking unit may further include a decoder for decoding identification data from the operation server, and comparing the identification data decoded by the decoder with identification data previously registered in a memory for switching control of the data path for the computer terminal. A control unit, a LAN card for switching the data path of the computer terminal under the control of the control unit, and a hard disk drive in which an OS program for switching the data path by the control unit are stored.
본 발명의 제 2실시예에 따른 다른 실시양태에 따르면, 데이터통신망을 매개하여 운영서버와 해킹방지유니트가 접속된 상태에서 상기 운영서버에서 그 해킹방지유니트에 연계되는 컴퓨터단말의 상태를 모니터링하는 단계와, 상기 모니터링의 결과 데이터경로의 스위칭OFF제어 대상의 컴퓨터단말의 데이터경로제어를 위한 데이터를 상기 해킹방지유니트에 전달하는 단계, 상기 해킹방지유니트에서는 상기 운영서버로부터 전달된 데이터에서 식별데이터를 기초로 상기 컴퓨터단말의 데이터통신을 스위칭제어하는 데이터통신네트워크에서의 해킹방지방법이 제공된다.According to another embodiment according to the second embodiment of the present invention, a step of monitoring a state of a computer terminal linked to the hacking prevention unit in the operation server while the operation server and the hacking prevention unit are connected through a data communication network; And transmitting data for data path control of the computer terminal of the switching OFF control target of the data path as a result of the monitoring to the hacking prevention unit, wherein the hacking prevention unit is based on the identification data in the data transmitted from the operation server. A hacking prevention method in a data communication network for switching and controlling data communication of the computer terminal is provided.
바람직하게, 상기 운영서버는 상기 모니터링 대상의 컴퓨터단말의 식별데이터로서 시리얼No와 ID데이터, 비밀번호와 ID데이터를 관장함과 더불어 상기 해킹방지유니트에 대한 컴퓨터단말의 데이터경로제어를 위한 네트워크제어ON/OFF기능과 상기 컴퓨터단말의 현재 상태를 모니터링하기 위한 네트워크상태뷰기능을 실행하게 된다.Preferably, the operation server controls serial No and ID data, password and ID data as identification data of the computer terminal of the monitoring target, and network control ON / control for data path control of the computer terminal for the hacking prevention unit. An OFF function and a network status view function for monitoring the current status of the computer terminal are executed.
또, 상기 운영서버에 의해 상기 해킹방지유니트를 매개하여 상기 컴퓨터단말에 대한 스위칭제어는 상기 데이터통신망을 통한 데이터통신의 ON/OFF제어이다.Further, the switching control of the computer terminal by the operation server via the hacking prevention unit is ON / OFF control of data communication through the data communication network.
상기한 본 발명에 따른 데이터통신네트워크에서의 해킹방지장치와 그 방법에 의하면, 데이터통신망과 클라이언트측/서버측 컴퓨터단말의 사이에 개재된 해킹방지유니트의 디코더는 데이터통신망을 통해 수취되는 식별데이터를 디코딩하게 되고, 그 디코딩결과를 제어부가 메모리에 등록된 식별데이터로부터 검색하여 정상적인 경우에만 상기 컴퓨터단말의 데이터경로를 개방시켜 데이터통신이 가능하게 된다.According to the hacking prevention apparatus and method in the data communication network according to the present invention described above, the decoder of the hacking prevention unit interposed between the data communication network and the client side / server side computer terminal receives the identification data received through the data communication network. When the decoding result is retrieved from the identification data registered in the memory, the controller opens the data path of the computer terminal only in the normal case, thereby enabling data communication.
또, 본 발명에 따르면 데이터통신망을 매개하여 운영서버가 해킹방지유니트에 연계된 컴퓨터단말의 현재상태에 대한 모니터링을 실행하여 그 데이터통신의 제한이 필요한 경우에는 해당하는 운영서버의 식별데이터와 네트워크제어ON/OFF데이터를 전송하게 되고, 그 해킹방지유니트는 상기 운영서버로부터의 네트워크제어ON/OFF데이터에 기초하여 상기 컴퓨터단말에 대한 데이터통신망의 접속을 제한하거나 해제하는 제어가 가능하게 된다.Further, according to the present invention, when the operation server monitors the current state of the computer terminal linked to the hacking prevention unit through the data communication network, and the data communication is restricted, identification data and network control of the corresponding operation server are required. The ON / OFF data is transmitted, and the hacking prevention unit can control to limit or release the connection of the data communication network to the computer terminal based on the network control ON / OFF data from the operation server.
도 1은 종래의 일예에 따른 데이터통신네트워크에서의 해킹방지장치의 구성을 설명하는 블록도,1 is a block diagram illustrating a configuration of an hacking prevention apparatus in a data communication network according to a conventional example;
도 2는 본 발명의 제 1실시예에 따른 데이터통신네트워크에서의 해킹방지장치의 구성을 나타낸 블록도,2 is a block diagram showing a configuration of an hacking prevention apparatus in a data communication network according to a first embodiment of the present invention;
도 3은 도 2에 도시된 본 발명에 따른 데이터통신네트워크에서의 해킹방지장치에 적용되는 데이터구조를 설명하는 도면,3 is a view for explaining a data structure applied to the hacking prevention apparatus in the data communication network according to the present invention shown in FIG.
도 4는 본 발명에 따른 데이터통신네트워크에서의 해킹방지장치의 작용을 설명하는 플로우차트,4 is a flowchart illustrating the operation of the hacking prevention apparatus in the data communication network according to the present invention;
도 5는 본 발명의 제 2실시예에 따른 데이터통신네트워크에서의 해킹방지장치의 개략적인 블록구성도이다.5 is a schematic block diagram of a hacking prevention device in a data communication network according to a second embodiment of the present invention.
*도면의 주요부분에 대한 부호의 설명** Description of the symbols for the main parts of the drawings *
10: 호스트 컴퓨터단말, 12: 데이터통신망,10: host computer terminal, 12: data communication network,
40: 해킹방지유니트, 44: 디코더,40: anti-hacking unit, 44: decoder,
46: 제어부, 48: 메모리,46: control unit, 48: memory,
100: 운영서버, 110: 데이터통신망,100: operation server, 110: data communication network,
120: 해킹방지유니트.120: Anti-hacking unit.
이하, 본 발명에 대해 첨부도면을 참조하여 상세하게 설명한다.Hereinafter, with reference to the accompanying drawings, the present invention will be described in detail.
도 2는 본 발명의 바람직한 제 1실시예에 따른 데이터통신네트워크에서의 해킹방지장치의 구성을 나타낸 도면으로, 참조부호 40으로 표시된 해킹방지장치는 예컨대 클라이언트측 컴퓨터단말이나 서버측 컴퓨터단말과 데이터통신망의 사이에 개재되어 정상적인 식별데이터(즉, 해킹방지코드; 예컨대 그 해킹방지장치의 시리얼번호라든지 특정 주파수의 식별코드 등)가 수취되는 경우에만 데이터경로의 스위칭ON제어를 실행하는 반면 비정상적인 식별데이터인 경우에는 그 데이터경로의 스위칭OFF제어를 실행하여 비정상적인 접속의도(즉, 해킹 또는 크랙킹)에 대한 원천적인 접속을 방지하는 역할을 행하게 된다.Fig. 2 is a diagram showing the configuration of an hacking prevention device in a data communication network according to a first preferred embodiment of the present invention. The hacking prevention device indicated by reference numeral 40 is, for example, a data communication network with a client-side computer terminal or a server-side computer terminal. The switching ON control of the data path is executed only when normal identification data (i.e., hacking prevention code; for example, the serial number of the hacking prevention device or the identification code of a specific frequency, etc.) intervened between the two. In this case, the switching OFF control of the data path is executed to prevent the original connection to the abnormal connection intention (i.e., hacking or cracking).
즉, 도 1에 도시된 해킹방지장치(40)는 데이터통신망(도 2에서는 도시 생략)에 해당하는 해킹방지장치(40)의 접속을 위한 예컨대 RJ45컨넥터를 포함하는 망접속부(42)와, 그 망접속부(42)를 매개하여 수신되는 데이터패킷으로부터 상기 식별데이터를 디코딩하는 디코더(44), 상기 디코더(44)로부터 디코딩된 식별데이터를 기초로 데이터경로의 스위칭ON/OFF제어를 실행하는 제어부(46), 그 제어부(46)에 의해 데이터경로의 스위칭ON/OFF제어를 실행하도록 식별데이터가 미리 등록된 예컨대 EEPROM으로 이루어진 메모리(48) 및, X-tal발진부(50a)로부터 발진된 신호를 기초로 상기 망접속부(42)를 매개하여 수신되는 데이터패킷을 상기 제어부(46)의 제어하에 후단의 컴퓨터단말(도시 생략)측으로 전달하는 LAN-PCI인터페이스(50)를 포함하여 구성된다.That is, the hacking prevention device 40 shown in FIG. 1 includes a network connection part 42 including, for example, an RJ45 connector for connection of an hacking prevention device 40 corresponding to a data communication network (not shown in FIG. 2), and A decoder 44 which decodes the identification data from the data packet received via the network connection unit 42, and a controller which performs switching ON / OFF control of the data path based on the identification data decoded from the decoder 44 ( 46) On the basis of the memory 48 made of, for example, EEPROM, and the signal oscillated from the X-tal oscillation section 50a, in which identification data is registered in advance so as to execute switching ON / OFF control of the data path by the control section 46; And a LAN-PCI interface 50 for transmitting the data packet received through the network connection unit 42 to a later computer terminal (not shown) under the control of the control unit 46.
여기서, 본 발명에 적용되는 식별데이터의 구성은 도 3에 예시되는 바, 그해킹방지코드로서의 식별데이터에는 어드레스 레인지(Address range)와 개시코드, 국가(Country)코드, 제 1∼제 5의 ID코드 및 프로그램소오스(Program source)코드가 포함된다.Here, the configuration of the identification data applied to the present invention is illustrated in FIG. 3, and the identification data as the hacking prevention code includes an address range, a start code, a country code, and first to fifth IDs. Code and Program source code are included.
상기 제 1∼제 5의 ID코드로서는 예컨대 그 적용환경에 따라 대표적인 그룹명이 할당되고, 제 2의 ID코드로서는 그 대표적인 그룹에 포함되는 서브그룹명(예컨대 회사명)이 할당되며, 제 3의 ID코드로서는 그 서브그룹을 구성하는 하위개념의 팀이 할당되며, 제 4의 ID코드로서는 상기 팀에 구성되는 부서가 할당되고, 제 5의 ID코드로서는 그 부서에 소속되는 개인이 할당되는 바, 그 ID코드는 환경에 적응적으로 변경가능함은 물론이다.As the first to fifth ID codes, for example, a representative group name is assigned according to the application environment, and as the second ID code, a subgroup name (for example, a company name) included in the representative group is assigned, and a third ID is assigned. As a code, a team of sub-concepts constituting the subgroup is assigned. As a fourth ID code, a department composed of the team is assigned, and as a fifth ID code, an individual belonging to the department is assigned. Of course, the ID code can be adapted to the environment.
상기한 구성의 본 발명에 따른 데이터통신네트워크에서의 해킹방지장치의 작용에 대해 도 4에 도시된 플로우차트를 참조하여 상세하게 설명한다.The operation of the hacking prevention device in the data communication network according to the present invention having the above configuration will be described in detail with reference to the flowchart shown in FIG.
먼저, 특정한 클라이언트측 컴퓨터단말에 대해 데이터통신망을 매개하여 접속이 시도되는 경우, 상기 해킹방지장치(40)의 전단에 설치되는 라우터(도시 생략)에 의한 데이터처리절차가 실행된다. 즉, 상기 데이터통신망을 매개하여 데이터스트림이 수취되는 바(도 4의 단계 60), 그 데이터 스트림에 포함된 네트워크 어드레스의 번역이 이루어지게 된다(도 4의 단계 62).First, when a connection is attempted to a specific client-side computer terminal via a data communication network, a data processing procedure by a router (not shown) installed in front of the hacking prevention device 40 is executed. That is, as the data stream is received through the data communication network (step 60 in FIG. 4), the network address included in the data stream is translated (step 62 in FIG. 4).
그 네트워크 어드레스의 번역이 이루어지고나면 IP어카운팅을 실행한 후(도 4의 단계 64), 프래그먼트 코드(Fragment code)의 체크과정이 실행된다(도 4의 단계 66).After the translation of the network address is performed, the IP accounting is executed (step 64 in FIG. 4), and then a check process of the fragment code is executed (step 66 in FIG. 4).
그리고나서, 도 4의 단계 68에서 데이터패킷상태를 체크하여 정상적인 경우에 IP의 필터링을 실행하게 된다(도 4의 단계 70).Then, in step 68 of FIG. 4, the data packet state is checked and IP filtering is performed in the normal case (step 70 of FIG. 4).
상기 IP의 필터링이 행해지고나서 상기 디코더(44)는 도 3에 도시된 식별코드를 디코딩하여 상기 제어부(46)에 인가하게 되고, 그에 따라 상기 제어부(46)는 식별코드를 체크하게 된다(도 4의 단계 72).After the filtering of the IP is performed, the decoder 44 decodes the identification code shown in FIG. 3 and applies it to the control unit 46. Accordingly, the control unit 46 checks the identification code (FIG. 4). Step 72).
상기 식별코드의 체크결과에서 식별코드데이터가 검출되는 경우 상기 제어부(6)는 상기 디코더(44)에서 디코딩된 식별코드로부터 시리얼No가 포함된 상태인지를 판단(도 4의 단계 78)하여 그 시리얼No가 포함된 상태이면 도 4의 단계 80으로 진행하여 상기 메모리(48)에서 그 검출된 시리얼No에 대응하는 데이터를 검색하게 된다.When identification code data is detected from the check result of the identification code, the controller 6 determines whether or not the serial No is included from the identification code decoded by the decoder 44 (step 78 of FIG. 4) to determine the serial number. If No is included, the process proceeds to step 80 of FIG. 4 and searches for data corresponding to the detected serial No in the memory 48.
그 검색결과 상기 시리얼No가 정상인 경우(즉, 도 4의 단계 82에서 YES), 상기 제어부(46)는 단계 84에서 상기 LAN-PCI인터페이스(50)에 대해 컴퓨터단말측으로 데이터가 통과되도록 데이터경로를 설정해주게 된다(도 6의 단계 84).As a result of the search, if the serial No is normal (i.e., YES in step 82 of FIG. 4), the control section 46 sets the data path so that the data passes through the LAN-PCI interface 50 to the computer terminal side in step 84. (Step 84 of FIG. 6).
그에 대해, 상기 단계 74에서의 판단결과 식별코드데이터가 검출되지 않거나 상기 단계 78에서 시리얼No가 검출되지 않는 경우 및 상기 단계 82에서 상기 시리얼No가 비정상적인 경우에는 단계 86에서 상기 LAN-PCI인터페이스(50)를 제어하여 상기 컴퓨터단말측으로 데이터가 통과되지 못하도록 데이터블럭킹처리를 실행하게 된다.In contrast, when the identification code data is not detected in the step 74 or the serial No is not detected in the step 78 and the serial No is abnormal in the step 82, the LAN-PCI interface 50 in step 86 is performed. ) To execute the data blocking process so that data does not pass to the computer terminal side.
따라서, 본 발명의 제 1실시예에 따르면 해당하는 해킹방지장치(40)가 데이터통신망과 컴퓨터단말측의 사이에 개재된 상태에서 정상적인 식별데이터가 검출되지 않게 되면 컴퓨터단말측으로의 데이터경로를 완전히 차단해버리게 됨에 따라 외부적인 또는 내부적인 해킹이 방지될 수 있게 된다.Therefore, according to the first embodiment of the present invention, if the corresponding hacking prevention device 40 is interposed between the data communication network and the computer terminal side, and normal identification data is not detected, the data path to the computer terminal side is completely blocked. By doing so, external or internal hacking can be prevented.
도 5는 본 발명의 제 2실시예에 따른 데이터통신네트워크에서의 해킹방지장치의 구성을 나타낸 도면으로, 본 실시예에서는 운영서버가 다수의 클라이언트측 컴퓨터단말의 상태를 모니터링하여 불법적인 정보의 유포라든지 해킹의 의도가 감지되는 경우 그 컴퓨터단말의 데이터통신을 원격적으로 차단하는 기능을 갖게 된다.5 is a diagram showing the configuration of an anti-hacking device in a data communication network according to a second embodiment of the present invention. In this embodiment, an operation server monitors the state of a plurality of client-side computer terminals to distribute illegal information. If a hacking intention is detected, the computer terminal has a function to remotely block data communication.
도면에서, 참조부호 100은 운영서버를 나타내는 바, 그 운영서버(100)에는 관리대상의 컴퓨터단말의 식별데이터로서의 시리얼No와 ID데이터, 비밀번호 및 ID데이터가 등록저장됨과 더불어 네트워크제어 ON/OFF기능과 네트워크 상태 뷰(Network state view)기능을 갖추게 된다.In the drawing, reference numeral 100 denotes an operation server, which stores serial No, ID data, password, and ID data as identification data of a computer terminal to be managed, and also controls network ON / OFF. And network state view.
또, 그 운영서버(100)에 대해 데이터통신망(110)을 매개하여 원격적으로 억세스가 가능한 해킹방지유니트(120)는 데이터통신을 위한 LAN카드(122)와, 그 LAN카드(122)에 대해 데이터입력/출력포트(124)를 매개하여 접속되어 본 발명에 따른 운영서버(100)에 의한 원격제어를 위한 OS프로그램이 저장된 컴퓨터단말측의 하드디스크드라이브(126)을 포함하게 됨과 더불어, 상기 LAN카드(122)를 통해 수취되는 데이터스트림으로부터 식별데이터를 디코딩하기 위한 디코더(128), 그 디코더(128)의 디코딩결과를 기초로 상기 LAN카드(122)를 통한 데이터통신을 ON/OFF제어하기 위한 제어부(130), 해당하는 해킹방지유니트(120)에 대한 식별데이터가 등록된 메모리(132)를 포함하여 구성된다.In addition, the anti-hacking unit 120 that can be accessed remotely via the data communication network 110 with respect to the operation server 100 is a LAN card 122 for data communication and the LAN card 122 It is connected via a data input / output port 124 and includes a hard disk drive 126 of the computer terminal side for storing the OS program for remote control by the operation server 100 according to the present invention, the LAN Decoder 128 for decoding the identification data from the data stream received through the card 122, for ON / OFF control of the data communication through the LAN card 122 based on the decoding result of the decoder 128 The control unit 130, the identification data for the anti-hacking unit 120 is configured to include a memory 132 registered.
또, 상기 해킹방지유니트(120)에는 스위칭허브(130)를 매개하여 단일 또는다수의 컴퓨터단말이 접속됨과 더불어 그 스위칭허브(130)를 통해 상기 데이터통신망을 통해 데이터통신을 실행하기 위한 라우터(140)가 접속된다.In addition, the hacking prevention unit 120 is connected to a single or multiple computer terminals via a switching hub 130, and the router 140 for executing data communication through the data communication network through the switching hub 130 ) Is connected.
따라서, 도 5에 도시된 본 발명의 제 2실시예에 따른 데이터통신네트워크에서의 해킹방지장치에 의하면, 상기 해킹방지유니트(120)는 상기한 제 1실시예에서 설명한 해킹방지장치(40)와 유사한 작용을 통해 해킹방지기능을 수행하여 정상적인 식별데이터의 인식하에서만 데이터통신망(110)을 매개하여 상기 스위칭허브(130)에 접속된 컴퓨터단말이 데이터통신이 실행되도록 허용하게 된다.Therefore, according to the hacking prevention device in the data communication network according to the second embodiment of the present invention shown in Figure 5, the hacking prevention unit 120 and the hacking prevention device 40 described in the first embodiment By performing a similar hacking prevention function, the computer terminal connected to the switching hub 130 via the data communication network 110 is allowed to execute data communication only under the recognition of normal identification data.
그 경우, 상기 운영서버(100)는 상기 네트워크상태뷰의 기능에 의해 해당하는 컴퓨터단말의 현재 상태에 대한 모니터링이 가능하게 되는 바, 그 상태에서 특정한 컴퓨터단말이 불법적인 정보를 유포하기 위한 시도가 감지되거나 불량한 URL에 접속이 이루어진 경우 또는 다른 컴퓨터단말에 대한 해킹시도가 감지되는 경우에는 그 컴퓨터단말에 연결된 해킹방지유니트(120)의 식별데이터로서의 시리얼No와 ID, 비밀번호와 ID를 검색하여 그 운영서버(100)의 식별데이터와 네트워크제어 ON/OFF기능의 제어데이터를 상기 데이터통신망(110)을 통해 해당하는 해킹방지유니트(120)에 전달하게 되고, 그에 따라 해당하는 해킹방지장치(120)의 디코더(128)에서 그 식별데이터를 디코딩하여 상기 제어부(130)에 인가하게 되면 그 제어부(130)는 상기 하드디스크드라이브(126)에 저장된 OS프로그램의 지원하에 상기 식별데이터를 상기 메모리(132)에서 검색하여 대응하는 데이터의 존재여부를 확인하게 된다.In this case, the operation server 100 is capable of monitoring the current state of the corresponding computer terminal by the function of the network status view, in which state a particular computer terminal attempts to distribute illegal information. When access is made to a detected or bad URL, or when a hacking attempt is detected on another computer terminal, the serial No, ID, password, and ID as identification data of the hacking prevention unit 120 connected to the computer terminal are searched and operated. The identification data of the server 100 and the control data of the network control ON / OFF function are transmitted to the corresponding hacking prevention unit 120 through the data communication network 110, and accordingly the hacking prevention device 120 When the decoder 128 decodes the identification data and applies the decoded data to the controller 130, the controller 130 transmits the identification data to the hard disk drive 126. Retrieving the stored identifying data with the support of the OS program in the memory 132 is to check for the presence of the corresponding data.
따라서, 상기 제어부(130)는 상기 식별데이터가 미리 등록된 데이터로 판단되면 상기 운영서버(100)의 네트워크제어OFF기능에 따라 상기 LAN(122)의 데이터경로를 OFF제어하게 되고, 그에 따라 상기 컴퓨터단말에 대한 데이터통신망의 접속이 제한되게 된다.Therefore, if it is determined that the identification data is pre-registered data, the controller 130 controls the data path of the LAN 122 to be OFF according to the network control OFF function of the operation server 100, and accordingly the computer The connection of the data communication network to the terminal is limited.
그에 대해, 상기 운영서버(100)는 상기한 네트워크제어OFF제어와 유사한 과정을 통해 해당하는 해킹방지유니트(120)에 의한 컴퓨터단말의 ON제어를 실행하여 데이터통신의 재개를 허용하는 처리도 가능하게 된다.On the other hand, the operation server 100 also executes the ON control of the computer terminal by the corresponding hacking prevention unit 120 through a process similar to the network control OFF control described above to enable processing to allow resumption of data communication. do.
따라서, 본 실시예에 의하면 해킹방지장치를 통해 접속된 컴퓨터단말이 불법적인 정보를 유포하거나 불량한 URL에 접속된 경우 또는 해킹의 의도가 감지되는 컴퓨터단말에 대해 그 해킹방지장치의 OFF제어에 의해 데이터통신을 제한할 수 있게 된다.Therefore, according to the present embodiment, when a computer terminal connected through a hacking prevention device distributes illegal information or is connected to a bad URL, or the computer terminal for which hacking intention is detected, the data is controlled by the OFF control of the hacking prevention device. Communication can be restricted.
한편, 본 발명은 상기한 실시예들로 한정되지는 않고 발명의 기술적 요지 및 요점을 일탈하지 않는 범위내에서 다양한 변경 및 변형실시가 가능함은 물론이다.Meanwhile, the present invention is not limited to the above-described embodiments, and various changes and modifications can be made without departing from the technical gist and gist of the invention.
상기한 바와 같이, 본 발명에 따른 데이터통신네크워크에서의 해킹방지장치와 그 방법에 의하면 데이터통신망과 클라이언트측 또는 서버측 컴퓨터단말의 사이에 개재되어 식별데이터가 정상적으로 인지되는 경우에만 데이터통신을 위한 데이터경로를 개방시키게 됨에 따라 해킹의도에 대한 원천적인 차단이 가능하게 된다.As described above, the hacking prevention device and method in the data communication network according to the present invention provide data for data communication only when identification data is normally recognized between the data communication network and the client or server side computer terminal. As the path is opened, the original blocking of hacking intention is possible.
또, 본 발명에 따르면 운영서버에서 해킹방지유니트에 대한 ON/OFF제어가 가능하게 됨에 따라 부적절한 정보를 유포하거나 불량한 인터넷사이트에 접속하려는경우 또는 해킹의사를 보이는 컴퓨터단말에 대한 데이터통신경로를 차단하는 일이 가능하게 된다.In addition, according to the present invention, the ON / OFF control for the hacking prevention unit is enabled in the operation server, so that when distributing inappropriate information or attempting to access a bad Internet site or blocking a data communication path to a computer terminal showing hacking intention, Work is possible.
Claims (12)
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| KR1020000063906A KR100352520B1 (en) | 2000-10-30 | 2000-10-30 | Firewall system and method for protecting network elements in data communication network |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| KR1020000063906A KR100352520B1 (en) | 2000-10-30 | 2000-10-30 | Firewall system and method for protecting network elements in data communication network |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| KR20020033278A KR20020033278A (en) | 2002-05-06 |
| KR100352520B1 true KR100352520B1 (en) | 2002-09-11 |
Family
ID=19696087
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| KR1020000063906A KR100352520B1 (en) | 2000-10-30 | 2000-10-30 | Firewall system and method for protecting network elements in data communication network |
Country Status (1)
| Country | Link |
|---|---|
| KR (1) | KR100352520B1 (en) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR100475970B1 (en) * | 2002-07-06 | 2005-03-10 | 주식회사 잉카인터넷 | Method for controlling network access in gateway |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR100498747B1 (en) * | 2000-11-25 | 2005-07-01 | 엘지전자 주식회사 | Integration security system of local network |
| KR20030033383A (en) * | 2001-10-22 | 2003-05-01 | 주식회사 윈스테크넷 | service system for security and method thereof |
-
2000
- 2000-10-30 KR KR1020000063906A patent/KR100352520B1/en not_active IP Right Cessation
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR100475970B1 (en) * | 2002-07-06 | 2005-03-10 | 주식회사 잉카인터넷 | Method for controlling network access in gateway |
Also Published As
| Publication number | Publication date |
|---|---|
| KR20020033278A (en) | 2002-05-06 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US8200818B2 (en) | System providing internet access management with router-based policy enforcement | |
| US8239933B2 (en) | Network protecting authentication proxy | |
| JP4911018B2 (en) | Filtering apparatus, filtering method, and program causing computer to execute the method | |
| US8799441B2 (en) | Remote computer management when a proxy server is present at the site of a managed computer | |
| US9436820B1 (en) | Controlling access to resources in a network | |
| CN101802837B (en) | System and method for providing network and computer firewall protection with dynamic address isolation to a device | |
| US9160614B2 (en) | Remote computer management using network communications protocol that enables communication through a firewall and/or gateway | |
| US7827547B1 (en) | Use of a dynamically loaded library to update remote computer management capability | |
| US11146559B2 (en) | Method and device for determining network device status | |
| CN116471109B (en) | Data transmission method, system, first end and control equipment | |
| JP5972995B2 (en) | Security management system and security management method having multiple relay servers | |
| US20030208694A1 (en) | Network security system and method | |
| US20070011452A1 (en) | Multi-level and multi-factor security credentials management for network element authentication | |
| US9635017B2 (en) | Computer network security management system and method | |
| US8200794B1 (en) | Primitive functions for use in remote computer management | |
| KR100352520B1 (en) | Firewall system and method for protecting network elements in data communication network | |
| US20060168239A1 (en) | Secure client/server data transmission system | |
| KR200188478Y1 (en) | Hardware firewall system for protecting network elements in data communication network | |
| JP2007287097A (en) | Access control system and method therefor | |
| JP2002091600A (en) | Method and device for preventing and controlling network remote input by using caller id | |
| KR102150484B1 (en) | An access authentication system using onetime password for enhancing security | |
| KR20030080412A (en) | method of preventing intrusion from an exterior network and interior network | |
| JP2005092723A (en) | Terminal device and connection device for connecting terminal device to target device | |
| CN108632090B (en) | Network management method and system | |
| CN108156157B (en) | Self-adaptive compatible method and device for monitoring equipment |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A201 | Request for examination | ||
| E701 | Decision to grant or registration of patent right | ||
| GRNT | Written decision to grant | ||
| LAPS | Lapse due to unpaid annual fee |