KR100767589B1

KR100767589B1 - 디렉티드 디퓨젼 기반의 센서 네트워크를 위한 퍼지 로직침입 탐지 기법

Info

Publication number: KR100767589B1
Application number: KR1020060067981A
Authority: KR
Inventors: 조대호; 지상훈
Original assignee: 성균관대학교산학협력단
Priority date: 2006-07-20
Filing date: 2006-07-20
Publication date: 2007-10-17

Abstract

본 발명은 제한된 자원을 갖는 센서 네트워크 환경에서 서비스를 거부시키는 형태의 공격 및 이와 유사한 형태의 공격을 탐지하고 그 탐지 성능을 높이기 위한 기술에 관한 것으로, 사전에 설계된 퍼지 규칙 기반 시스템(Fuzzy Rule-based System)을 기지 노드(Base Station) 또는 특정한 탐지 노드(Master Node)에 탑재하여 센서 네트워크의 가용성을 감소시키는 외부로부터의 침입을 탐지하고 막대한 정보의 피해를 예방하기 위한 방법에 관한 것이다.

이에 따라 본 발명에서는, 침입을 탐지하기 위하여 전역 탐지(Global Detection)와 지역 탐지(Local Detection)의 두 가지 형태로 분류하였으며, 전역 탐지를 위해서는 공격의 특징과 공격과 유사한 형태의 일반적 상황을 고려하여 설계된 퍼지 규칙 기반 시스템이 사용되었고, 지역 탐지를 위해서는 센서 노드의 비정상적인 행위나 침입으로 간주되는 행동을 감지하기 위한 비정상 탐지 모듈(Anomaly Detection Module)이 사용되었다. 각 센서 노드는 정보 수집이나 메시지 전달 과정에서 발생하는 비정상 행위를 비정상 탐지 모듈을 통하여 감지하고, 이러한 정보를 퍼지 규칙 기반 시스템이 탑재된 기지 노드나 탐지 노드에게 전달함으로서, 최종적으로 공격인지의 여부와 대략적인 공격의 형태를 파악할 수 있도록 한다. 퍼지 시스템을 이용한 침입 탐지 기법은 높은 탐지 성능을 확보하여 센서 네트워크의 보안성을 증대시킬 수 있으며, 불필요한 경고 메시지에 따른 에너지 소비를 감소시킬 수 있다.

Description

디렉티드 디퓨젼 기반의 센서 네트워크를 위한 퍼지 로직 침입 탐지 기법{Fuzzy Logic Anomaly Detection Scheme for Directed Diffusion based Sensor Networks}

도 1은 무선 센서 네트워크(Wireless Sensor Network)의 전체적인 구조를 도시한다.

도 2는 디렉티드 디퓨젼(Directed Diffusion) 라우팅 알고리즘의 메시지 전달 과정을 도시하는 것으로서, 도 2a는 요청메시지(Interest Message) 전달, 도 2b는 기울기(Gradient) 설정 및 도 2c는 강화된 경로(Reinforced Path)를 이용한 데이터 메시지 전달을 각각 도시한다.

도 3은 디렉티드 디퓨젼 기반의 센서 네트워크에서 퍼지 시스템을 이용한 비정상 탐지 기법(Anomaly Detection Scheme)의 전체적인 구조를 도시한다.

도 4는 서비스 거부 공격(Denial of Service Attack)에 대한 비정상 탐지 기법 및 탐지 모듈의 구성 요소를 도시한다.

도 5는 센서 노드의 비정상 행위 감지를 위한 비정상 탐지 모듈(Anomaly Detection Module)의 처리 과정을 도시한다.

도 6은 퍼지 규칙 기반 컨트롤러(Fuzzy Controller)의 구조를 도시한다.

도 7은 퍼지 컨트롤러(Fuzzy Controller)의 입·출력 변수를 위한 멤버쉽 함 수를 나타내는 것으로서, 도 7a 내지 7g는 각각 노드 에너지 레벨(Node Energy Level), 이웃 노드 리스트(Neighbor Node List), 전송 에러율(Error Rate in the Transmission), 메시지 전송율(Message Transmission Rate), 탐지 레벨 1(Detection Level 1), 탐지 레벨 2(Detection Level 2) 및 최종 탐지 레벨(Integrated Detection Level)을 도시한다.

* 도면의 주요 부분에 대한 부호의 설명 *

1 : 기지 노드(Base Station) 2 : 센서 필드(Sensor Field)

3 : 센서 노드(Sensor Node) 4 : 이벤트 감지 센서 노드(Sensed Node)

5 : 인터넷(Internet) 6 : 요청 메시지(Interest Message)

7 : 탐지 노드(Master Node)

8 : 비정상 행위 감지 센서 노드(Sensor Node that monitors anomaly)

9 : 광고 메시지(Advertisement Message)

10 : 정보 메시지(Inform Message) 11 : 보고 메시지(Alarm Message)

12 : 퍼지 컨트롤러(Fuzzy Controller)

13 : 비정상 탐지 모듈(Anomaly Detection Module)

본 발명은 제한된 자원을 갖는 센서 네트워크 환경에서 다양한 방법을 이용하여 센서 네트워크의 가용성을 감소시키고 에너지를 소비시키는 서비스 거부 공격 및 이와 유사한 형태의 공격들을 탐지하기 위한 기법에 관한 것으로, 더욱 상세하게는 센서 네트워크에서 비정상 행위를 탐지하기 위하여 각 센서 노드에 비정상 탐지 모듈을 설치하여 침입으로 간주되는 행위들을 모듈에 정의된 요소에 따라 감지하는 지역 탐지 부분과 여기서 생성되는 정보 메시지를 기지 노드 또는 탐지 노드에 탑재된 퍼지 컨트롤러를 이용하여 공격인지 아닌지의 여부를 판단하도록 하는 전역 탐지 부분으로 나누어 구성함으로서 보다 높은 탐지 성능을 확보할 수 있도록 하는 것이다.

이는 센서 네트워크의 환경 속에서 비정상적인 행위가 공격인지 또는 공격과 유사한 일반적인 상황인지의 여부를 판단하는 방법으로, 이를 위하여 몇 개의 성능이 우수한 탐지 노드 및 기지 노드를 배치함으로서 주변의 센서 노드들로부터 비정상 행위에 대한 정보를 수집하고, 이러한 정보를 기반으로 퍼지 컨트롤러가 사전에 설계된 멤버쉽 함수의 상관관계에 따라 탐지 레벨을 결정할 수 있도록 한다. 퍼지 시스템에 의해 결정된 이 탐지 레벨 값은 보다 높은 탐지 성능을 확보함으로서 센서 네트워크의 보안성을 증대시키고, 이에 따라 불필요하게 발생되는 사용자 알람의 빈도수를 감소시킴으로서 에너지 효율성을 향상시킬 수 있게 한다.

현재의 컴퓨팅 환경이 유비쿼터스 컴퓨팅(Ubiquitous Computing) 환경으로 발전하면서 초소형의 전자 기기 시스템 기술과 저 전력의 디지털 기기의 발전이 가속화되었으며, 이러한 기술의 진보는 센서 네트워크의 가능성을 보여주었다. 센서 네트워크는 다양한 응용 분야에 대하여 경제적으로 실용 가능한 해결방안으로, 가까운 미래에 활용될 수 있는 새로운 기술로 대두되었다. 센서 네트워크란 감지 (Sensing), 처리(Processing) 그리고 무선통신(Wireless Communication) 능력을 갖는 소형 센서 노드들로 구성된 네트워크를 말하는 것으로, 일반적으로 특정한 정보를 필요로 하는 곳에 수백 또는 수천 개 이상의 센서 노드와 기지 노드를 배치함으로서 이루어지는 형태를 말한다. 센서 노드들은 주변의 정보를 수집하여 기지 노드까지 전달하며, 기지 노드는 수집된 데이터를 인터넷과 같은 기존 통신 인프라와 연결하여 사용자가 접근할 수 있도록 해준다. 유비쿼터스 컴퓨팅 환경에서 이와 같은 능력을 갖는 센서 네트워크는 다양한 응용분야에 적용하기 위한 기술로서 많은 기대를 받고 있으며, 아래와 같은 응용분야가 그 대표적인 사례라고 할 수 있다.

ㆍ 홈 네트워크

ㆍ 군사적 목적을 위한 적군 감시

ㆍ 위험 지역의 오염물질 추적

ㆍ 자연 생태계 환경 감시

ㆍ 교통량, 건물, 교량 감시

ㆍ 산업 공정 감시

유비쿼터스 컴퓨팅 환경의 장비들은 일반적으로 매우 제한적인 컴퓨팅 자원을 가지므로 센서 네트워크의 센서 노드들도 점점 초소형화와 경량화를 지향하고 있다. 이러한 센서 네트워크를 여러 분야에 걸쳐 적절히 활용하기 위해서는 에너지 소비 문제의 해결과 보안상 취약할 수밖에 없는 특성에 대한 보안 기술의 개발이 이루어져야 하는데, 특히 센서 네트워크가 중요한 인프라나 재산적 가치를 갖는 대 상을 보호하거나 감시하는 경우라면 보안 기술의 필요성은 더욱 중요하다고 할 수 있다. 그러나 현재 센서 네트워크는 무선 통신의 브로드캐스트(Broadcast) 특성과 노드의 낮은 가격을 유지함으로서 제한되는 하드웨어적 구성 때문에 제대로 갖춰진 보안 시스템이 개발되지 못하였으며, 이러한 이유로 인하여 기존의 복잡한 방법과는 달리 가급적 간단하고 단순한 방법을 이용하여 보안 요구사항을 분석하고 시스템을 설계해야 한다.

본 발명은 상기와 같은 문제를 해결하기 위하여 안출된 것으로, 본 발명의 목적은 보안상 취약한 약점을 갖는 무선 센서 네트워크를 안전하게 사용하기 위하여 다양한 공격의 특징을 분석함으로서 침입에 의한 막대한 피해를 예방하거나 대응할 수 있는 침입 탐지 시스템 기술을 제공하는 것이다.

또한 본 발명의 목적은 인증기술과 같은 암호 기술로는 방어하기 힘든 에너지 소비 공격이나 서비스를 중단시키는 형태의 공격 혹은 물리적인 공격 등을 복잡한 암호 기술을 이용하지 않고도 방어하거나 예방할 수 있으므로 보안성에 대한 효율성을 높이는 것이다.

이에 따라 본 발명에서는 센서 네트워크의 보안성을 증대시키기 위하여 퍼지 규칙 기반의 시스템을 적용하여 보다 높은 탐지 성능을 갖는 비정상 탐지 기법을 제시하며, 퍼지 컨트롤러는 센서 네트워크 환경에서 침입을 탐지하기 위한 척도로 4가지의 요소를 입력으로 사용하여 공격 여부를 판단하게 된다. 이웃 노드들로부터 수집된 데이터 분석을 기반으로 하는 퍼지 로직 비정상 탐지 기법은 센서 네트워크의 취약한 환경과 다양한 침입에도 불구하고 높은 탐지 성능 확보와 탐지 레벨에 따른 공격 유형 파악이 가능하도록 할 수 있다. 높은 탐지 성능은 공격의 여부를 정확하게 파악함으로서 센서 네트워크의 가용성을 줄이거나 부족한 자원을 고갈시키는 침해 등에 대해서 적절히 대응할 수 있으며, 또한 퍼지를 적용함으로서 공격이 아닌 경우에 발생할 수 있는 거짓 경고를 완화시켜 불필요한 에너지 소비를 감소시킬 수 있을 것으로 기대된다. 이는 에너지가 부족한 센서 네트워크의 문제점 해결과 관련하여 침입 탐지를 통한 보안성 강화 및 에너지 효율성을 높일 수 있다.

이하, 본 발명의 일실시예를 첨부된 도면을 참조하여 설명한다.

도 1은 센서 네트워크(Sensor Network)의 전체적인 구조도로서, 센서 네트워크는 기지 노드(1), 센서 필드(2), 센서 노드(3), 이벤트 감지 센서 노드(4), 인터넷(5) 그리고 사용자 등으로 구성된다.

기지 노드(1)는 외부와의 연결 역할을 하며, 직접 연결된 사용자나 인터넷(5)으로 연결된 원격지의 사용자로부터 작업에 대한 요청을 받고 요청 메시지(6)를 구성한다. 또한 수집된 정보를 취합하고 저장하여 사용자에게 제공하는 역할을 한다. 기지 노드(1)는 일반적인 센서 노드(3)보다 우수한 노드이거나 일반 PC 혹은 PDA와 같은 무선 단말기가 될 수 있다. 센서 필드(2)는 센서 노드(3)들이 배치되는 곳을 말하며, 일반적으로 정보를 필요로 하는 곳을 나타낸다. 센서 노드(3)는 센서 필드(2)에 배치된 소형의 노드를 말하는 것으로 실제 센서 네트워크를 구성하는 무선 장치이며, 사물을 감지할 수 있는 기능과 제한적이지만 기본적인 처리 및 저장 능력과 통신 능력을 갖는다. 각각의 센서 노드(3) 하나는 제한된 자원 문제로 인하여 큰 능력을 가질 수 없으나 다수개의 노드가 집합으로 이루질 경우에는 다양한 기능을 발휘할 수 있다. 이벤트 감지 센서 노드(4)는 기지 노드(1)에서 전달한 요청 메시지(6)(도 2)에 따라 목표가 되는 사물이나 주변 환경을 감지한 센서 노드(3)를 나타내며, 이러한 노드는 수집된 정보를 기지 노드(1)에게 전달함으로서 사용자가 원하는 데이터를 제공할 수 있도록 한다. 인터넷은 센서 네트워크를 이용하여 수집된 정보를 원격의 사용자에게 제공하기 위한 수단으로 일반적으로는 기지 노드(1)에 연결되어 사용자와의 연결 고리 역할을 한다.

도 2는 본 발명을 이해하기 위한 배경지식으로서, 센서 네트워크의 라우팅 프로토콜 중 멀티 홉 기반의 평면 라우팅 프로토콜인 디렉티드 디퓨전(Directed Diffusion)을 나타내고 있다. 이 프로토콜은 요청 메시지 전달, 기울기 설정(Gradient Setup), 강화된 경로(Reinforced Path)를 이용한 데이터 메시지 전달의 3 단계를 거쳐 동작하며, 기지 노드(1), 센서 노드(3), 이벤트 감지 센서 노드(4), 요청 메시지(6), 그리고 메시지 전달을 위한 라우팅 경로와 강화된 라우팅 경로 등으로 구성된다. 디렉티드 디퓨젼의 목적은 기지 노드(1)에서 생성된 요청 메시지(6)를 센서 필드(2)에 위치한 노드에게 전달하여 특정 지역의 데이터를 수집하는데 있다.

도 2a의 요청 메시지 전달 단계에서는 사용자가 원하는 정보에 따라 기지 노드(1)가 요청 메시지(6)를 생성하고 이웃한 다른 센서 노드(3)들에게 무선 통신 방식으로 메시지를 전달하는 과정을 보여준다. 도 2b의 기울기 설정 단계에서는 요 청 메시지(6)가 이웃한 노드들을 통하여 전달되는 과정에서 역 방향으로 기울기를 형성하는 과정을 보여주는데, 기울기란 데이터의 전달 방향과 속성 값을 나타내기 위한 것으로 라우팅 경로를 형성하기 위한 작업이다. 기지 노드(1)에서 생성된 요청 메시지(6)의 전달과 동시에 모든 센서 노드(3)들은 이웃한 노드들과 기울기를 형성하며, 이 과정은 목표 지역의 센서 노드에게 메시지가 도달할 때까지 계속된다. 도 2c의 강화된 경로를 이용한 데이터 메시지 전달 단계에서는 요청 메시지(6)가 목표 지역의 센서 노드에게 전달된 후, 이에 따라 수집된 정보를 데이터 메시지로 생성하여 기지 노드(1)에게 전달하는 과정을 보여준다. 이 과정에서 해당 노드들은 데이터 메시지를 기울기가 형성된 이웃 노드들 중에서 하나를 선택하여 전달하는데, 여러 경로 중 한 경로를 선택하여 데이터 메시지를 전달하게 된다. 경로를 선택하는 과정에서는 주로 에너지 효율성이나 거리 또는 데이터 전달 상태를 판단하여 경로를 선택하며, 이와 같이 선택된 하나의 단일 경로 전송 방식을 강화된 라우팅 경로라 한다. 이 후 이벤트 감지 센서 노드(4)는 강화된 경로를 통하여 데이터 메시지를 기지 노드(1)에 전달한다.

도 3은 디렉티드 디퓨젼 라우팅 프로토콜 기반의 센서 네트워크에서 퍼지 시스템을 이용한 비정상 탐지 기법(Anomaly Detection Scheme)의 전체적인 구조를 보여주며, 이는 기지 노드(1), 탐지 노드(7) 그리고 센서 노드(3)로 구성된다. 본 발명에서는 침입을 탐지하기 위하여 지역 탐지(Local Detection)와 전역 탐지(Global Detection)의 두 가지 형태로 구분하는데, 지역 탐지는 각각의 센서 노드(3)에서 발생하는 비정상 행위를 탐지하는 것을 나타내며, 전역 탐지는 비정상 행 위를 탐지한 각각의 센서 노드(3)들로부터 수신된 정보를 취합함으로서 센서 네트워크에 발생한 비정상 행위가 실제 공격인지의 여부를 판단하는 것을 나타낸다. 보다 자세하게는 외부로부터의 침입을 탐지하기 위하여 기존의 센서 네트워크의 구성과 달리 일반적인 센서 노드(3) 이외에 상대적으로 성능과 자원이 우수한 탐지 노드(7)를 배치함으로서 비정상 행위가 공격인지의 여부를 판단할 수 있도록 하는 것이다. 기지 노드(1)와 탐지 노드(7)는 퍼지 규칙 기반의 시스템이 적용된 퍼지 컨트롤러(12)를 이용함으로서 센서 네트워크에 발생하는 침입을 탐지할 수 있는데, 이를 위하여 주변의 센서 노드들로부터 비정상 행위에 대한 정보를 수집하고 취합된 정보를 입력으로 이용한다. 사용자의 요청에 따라 기지 노드(1)에서 생성된 요청 메시지(6)가 센서 필드(2)에 배치된 센서 노드(3)들을 향하여 전송되면, 이와 함께 탐지 노드(7)는 자신의 위치와 관련 정보를 표현하는 광고 메시지(9)를 생성하여 이웃 노드들에게 전달한다. 광고 메시지(9)를 수신한 센서 노드(3)들은 비정상 행위와 같이 공격으로 간주되는 행동 감지하였을 때, 이에 대한 내용을 표현하는 정보 메시지(10)를 생성하여 탐지 노드(7)에게 전달한다. 이를 위하여 각 센서 노드(3)들은 비정상 탐지 모듈(13)을 탑재하게 되며, 모듈에 정의된 요소에 따라 공격으로 간주되는 행동 패턴을 감지한 노드는 비정상 행위 탐지 노드(8)가 된다. 이와 같은 형태의 탐지 과정을 지역 탐지로 구분한다. 주변 이웃들로부터 수신된 정보 메시지(10)는 탐지 노드(7) 또는 기지 노드(1)에 수신되어 퍼지 컨트롤러(12)를 통하여 공격의 여부를 판단하며, 만약 공격의 경우에는 기지 노드(1)의 사용자에게 보고 메시지(11)를 전달함으로서 침입을 알리고, 공격이 아닌 경우는 이 후 발생할 수 있는 공격 상황과 비교하기 위하여 저장소에 기록된다. 이와 같은 형태의 탐지 과정은 전역 탐지로 구분한다.

도 4는 서비스 거부 공격(Denial of Service) 및 센서 네트워크의 자원을 소비시키는 공격에 대한 비정상 탐지 기법 및 탐지 모듈의 구성요소를 나타낸다. 센서 노드(3)에 탑재된 비정상 탐지 모듈(13)은 4가지의 탐지 요소를 이용하는데, 이는 센서 노드의 에너지 레벨(Node Energy Level), 이웃 노드 리스트(Neighbor Node List), 전송 에러율(Error Rate in the Transmission) 그리고 메시지 전송율(Message Transmission Rate)로 구성된다. 이러한 요소들은 퍼지 컨트롤러(12)의 입력 변수로 사용하기 위한 주요 데이터로 활용되며, 도면에서 표현한 것과 같이 하나의 노드의 비정상 행위만이 아닌 주변에 이웃한 여러 노드들의 보고된 정보를 취합하기 때문에 보다 정확한 탐지율을 확보할 수 있다. 비정상 행위 탐지 노드(8)는 정보 메시지(10)를 멀티 홉 기반으로 탐지 노드(7)에게 전달하며 자신의 아이디와 발생 시간 그리고 위치 정보를 기록하여 다른 노드와 구별한다. 탐지 노드(7)는 주변의 이웃 노드들로부터 수신된 정보 메시지(10)를 단위 시간 별로 구분하고 메시지에 포함된 데이터를 퍼지 컨트롤러(12)의 입력값으로 사용한다.

도 5는 센서 노드의 비정상 행위를 감지하기 위한 비정상 탐지 모듈(Anomaly Detection Module)의 처리 과정을 보여준다. 탐지 모듈에 정의된 4개의 요소는 물리 계층에서 시작하여 응용 계층을 통해 단계별로 수신된 메시지를 검사하고, 만약 비정상 행위가 탐지되면 최종적으로 보고 메시지(10)를 생성하여 탐지 노드(7)에게 전송한다. 도 5에서는 퍼지 컨트롤러(12)의 입력값에 대한 데이터의 흐름과 수신된 메시지의 정상 여부를 판단하는 데이터의 흐름으로 나누어 표현하였다. 센서 노드 에너지 레벨은 센서 노드(3)의 잔여 에너지양을 표현하는 요소로서, 에너지 레벨의 갑작스런 감소는 대량의 불필요한 데이터나 라우팅 메시지를 노드에 전송함으로서 자원을 고갈시키는 공격의 형태로 볼 수 있다. 센서 노드의 에너지 레벨 검사는 물리 계층에서 이루어지며 확인을 마친 이후에는 다음 계층인 전송 계층으로 데이터를 보내게 된다. 전송 계층에서는 전송 에러율을 검사하는데, 전송 에러율은 특정한 공격자가 임의로 노드 간 링크를 파괴하거나 메시지 라우팅에 간섭함으로서 발생하는 전송 시 에러 발생률을 의미한다. 자연적인 현상이나 잡음 등에 의해서 발생할 수 있는 전송 실패율과는 그 빈도수나 피해가 다르므로 이러한 특징을 분석함으로서 공격인지의 여부와 공격의 형태를 파악할 수 있다. 전송 에러율을 발생시키는 형태의 공격은 주로 선택적 전송 공격(Selective Forwarding), 라디오 전파 간섭(Radio Interference) 및 라우팅 경로 간섭 형태의 공격 등으로 분류될 수 있다. 전송 에러율을 확인하는 방법으로는 CRC를 검사하는 방법과 고정 패킷 사이즈를 이용하여 비교하는 방법 그리고 응용 데이터 유닛과 패킷에 포함된 목적지 필드 및 핸들링 필드를 검사하는 방법이 있다. 네트워크 계층에서는 이웃 노드 리스트와 메시지 전송율 요소에 대한 비정상 감시 작업이 이루어지는데 이웃 노드 리스트에 관한 내용은 다음과 같다. 요청 메시지(6) 전달과 라우팅 경로 설정 과정에서 센서 노드(3)들은 서로 이웃하는 노드에게 메시지를 전달함으로서 이웃 노드 리스트를 생성할 수 있다. 각 센서 노드가 유지하는 이웃 노드 리스트는 라디오 전송 범위 이내에 위치한 이웃 노드와의 관계를 나타내는 것으로, 그 이웃 노드 의 수가 증가 하거나 감소하여 초기 리스트와 상이한 경우 이는 노드의 불법 복제 및 전파 간섭과 같은 특정한 공격이나 혹은 물리적인 파괴에 의한 비정상 행위로 간주할 수 있다. 그러나 센서 네트워크는 열악한 환경이나 네트워크 혼잡이 많은 지역 혹은 자연적인 간섭 현상이 많은 지역에 배치될 수 있으므로 이웃 노드 리스트의 변화를 반드시 공격에 의한 침입이라고 단정할 수 없다. 예를 들어, 리스트의 수가 증가하는 경우는 외부의 침입자가 센서 네트워크에 참여한 것과 새로운 노드를 추가한 경우가 될 수 있고, 리스트의 수가 감소하는 경우는 물리적인 파괴 공격과 단순한 자연 현상에 의한 전송 실패일 수도 있다. 네트워크 전송 계층에서 검사하는 다른 요소로는 메시지 전송율이 있는데, 이 요소는 센서 노드(3)와 이웃 노드들의 평균 메시지 수신율을 나타낸다. 각 센서 노드(3)에서 이웃 노드로부터 수신된 메시지는 그 이웃 노드에 대한 통계치를 계산하기 위하여 사용되고 이 후 수신되는 메시지는 사전에 계산된 통계 자료와 비교하게 된다. 만약 새롭게 수신되는 메시지가 기존의 통계 자료에 부합되는 경우에는 정상적인 상황으로 간주되어 다시 새로운 통계치를 계산하는데 사용되며, 이전에 사용된 통계 자료는 메모리에서 삭제시킨다. 또한 각 노드는 수신되는 메시지의 시간을 기록함으로서 메시지 전송율에 대한 최근 데이터를 유지할 수 있다. 메시지 전송율은 요청 메시지 과다 전송(Hello Flood), 센서 노드 복제(Node Impersonation), 자원 고갈(Resource Depletion)과 다양한 서비스 거부 형태의 공격 등에 대한 주요한 특징을 나타낸다.

도 6은 퍼지 규칙 기반 시스템이 적용된 퍼지 컨트롤러(Fuzzy Controller)의 구조를 나타내는 것으로 비정상 행위 감지 노드(8)로부터 전달된 정보 메시지 (10)의 데이터를 수집하여 감지된 비정상 행위가 공격인지의 여부를 판단한다. 퍼지 컨트롤러(12)는 4개의 입력 변수와 3개의 출력 변수로 구성되는데, 입력 변수는 정보 메시지(10)에 포함된 요소를 사용하며, 출력 변수는 2개의 중간 탐지 모듈과 이로부터 출력된 값을 이용하는 최종 탐지 모듈로 이루어진 계층 구조를 갖는다. 퍼지 컨트롤러(12)는 메시지에 포함된 4개의 값을 입력 파라미터로 사용하는데, 각각 노드 에너지 레벨과 이웃 노드 리스트는 시빌 공격 모듈(Sybil attack Module)에 입력되고 에러 전송율과 메시지 전송율은 서비스 거부 공격 모듈(DoS type attack Module)에 입력된다. 노드 에너지 레벨과 이웃 노드 리스트는 인가되지 않은 노드가 마치 실제 노드인 것처럼 위장하여 전송되는 메시지의 라우팅 경로를 바꾸거나 실제 중요한 메시지가 전송되지 못하도록 하는 시빌 공격인지에 대한 여부를 결정하는 상관관계를 갖는다. 시빌 공격 모듈은 두 요소간의 적절한 값을 비교하여 사전에 설계된 퍼지 멤버쉽 함수를 이용하여 탐지 레벨 1에 해당하는 값을 출력한다. 이는 이웃 노드 리스트에 변화가 생겼을 경우 센서 노드의 잔여 에너지가 어느 정도 인가를 판단하여 공격인지의 여부를 결정하는 것으로, 보다 자세하게는 이웃 노드의 수가 감소할 경우 공격이 아닌 에너지 부족 현상으로 인한 비정상 행위가 발생할 것을 고려해 볼 수 있다. 전송 에러율과 메시지 전송율은 서비스 거부 공격 모듈의 입력 파라미터로 사용되는데, 이는 노드 간 서비스를 거부시키는 다양한 공격 방법을 탐지하기 위한 것이다. 서비스 거부 공격 모듈은 두 요소 간의 상관관계를 이용하여 실제 공격인지 전송 에러인지를 판단하게 된다. 이 과정을 통해 탐지 레벨 2에 대한 값이 출력되면, 마지막으로 통합 탐지 모듈(Integrated Detection Module)을 통해 실제 공격인지의 여부와 공격의 피해가 어느 정도인지를 나타내는 최종 탐지 값이 출력된다.

도 7은 퍼지 컨트롤러(Fuzzy Controller)의 입·출력 변수를 위한 멤버쉽 함수를 나타내며, 도 7a, 7b, 7c, 및 7d는 입력 함수를 도 7e, 7f 및 7g는 출력 함수를 표현한다. 이러한 멤버쉽 함수들은 센서 네트워크에서 발생하는 비정상 행위에 대한 특징들을 분석하여 설계한 것으로 서로간의 상관관계를 통해 공격인지 혹은 일반적인 상황인지를 결정하는 역할을 한다.

퍼지 컨트롤러에서 사용되는 멤버쉽 함수의 변수(Linguistic Variable)는 다음의 표1 내지 7과 같이 표현된다.

노드 에너지 레벨
노드 에너지 레벨 매우 낮음 (node Energy level Very Low)	EVL
노드 에너지 레벨 낮음 (node Energy level Low)	EL
노드 에너지 레벨 중간 (node Energy level Medium)	EM
노드 에너지 레벨 높음 (node Energy level High)	EH

이웃 노드 리스트
비정상 이웃 노드비 매우 낮음 (illegal Neighbor node ratio Very Low)	NVL
비정상 이웃 노드비 낮음 (illegal Neighbor node ratio Low)	NL
비정상 이웃 노드비 중간 (illegal Neighbor node ratio Medium)	NM
비정상 이웃 노드비 높음 (illegal Neighbor node ratio High)	NH
비정상 이웃 노드비 매우 높음 (illegal Neighbor node ratio Very High)	NVH

전송 에러율
라디오 소스 에러 등급비 매우 낮음 (Radio resource error rating ratio Very Low)	RVL
라디오 소스 에러 등급비 낮음 (Radio resource error rating ratio Low)	RL
라디오 소스 에러 등급비 중간 (Radio resource error rating ratio Medium)	RM
라디오 소스 에러 등급비 높음 (Radio resource error rating ratio High)	RH

메시지 전송율
메시지 버퍼 오버플로우비 매우 낮음 (message buffer Overflow ratio Very Low)	OVL
메시지 버퍼 오버플로우비 낮음 (message buffer Overflow ratio Low)	OL
메시지 버퍼 오버플로우비 중간 (message buffer Overflow ratio Medium)	OM
메시지 버퍼 오버플로우비 높음 (message buffer Overflow ratio High)	OH

탐지 레벨 1
탐지 레벨 서비스 거부 (Detection level Denial Of service)	DDO
탐지 레벨 주변 노이즈 (Detection level environmental NOise)	DNO
탐지 레벨 기타 공격 (Detection level other ATtack)	DAT
탐지 레벨 추가 노드 (Detection level ADditional node)	DAD

탐지 레벨 2
탐지 레벨 주변 노이즈 (Detection level environmental NOIse)	DNOI
탐지 레벨 링크 에러 (Detection level LiNK error)	DLNK
탐지 레벨 네트워크 공격 (Detection level NETwork attack)	DNET
탐지 레벨 서비스 거부 (Detection level Denial Of Service)	DDOS

최종 탐지 레벨
최종 탐지 레벨 정상 (final detection level NORmal)	NOR
최종 탐지 레벨 최저 (final detection level MINimal)	MIN
최종 탐지 레벨 경고 (final detection level WARning)	WAR
최종 탐지 레벨 주목 (final detection level NOTiceable)	NOT
최종 탐지 레벨 심함 (final detection level SERious)	SER

예를 들어, 노드 에너지 레벨의 값이 EL이고 이웃 노드 리스트의 값이 NH라면, 탐지 레벨 1은 DNO 값보다 크거나 작은 값을 결정할 수 있다. 그리고 만약, 전송 에러율의 값이 RVL이고 메시지 전송율의 값이 OM이면, 탐지 레벨 2는 DNET 값보다 크거나 작은 값을 결정할 수 있다. 이에 따라 결정된 두개의 중간 탐지 결과값은 각각 최종 탐지 레벨을 결정하기 위하여 다시 입력으로 사용된다. 이 최종 탐지 레벨은 MIN 값보다 크거나 작은 값을 결정할 수 있으며, 이 값을 통하여 실제 공격이 이루어진 것인지의 여부를 판단할 수 있다. 게다가 최종 탐지 레벨 값은 센서 네트워크에 발생한 공격의 대략적인 종류와 그 피해를 확인하는데 활용할 수 있다.

이상에서 설명한 것은 본 발명에 따른 하나의 실시예를 설명한 것이며, 본 발명은 상기한 실시예에 한정되지 않고, 이하의 청구범위에서 청구하는 바와 같이 본 발명의 요지를 벗어남이 없이 당해 발명이 속하는 분야에서 통상의 지식을 가진 자가 변경실시 가능한 범위까지 본 발명의 범위에 있다고 할 것이다.

상기의 설명에서와 같이, 본 발명에 의한 퍼지 로직 비정상 탐지 기법을 디 렉티드 디퓨젼 기반의 센서 네트워크에 이용하면 제한된 자원을 갖는 센서 노드의 서비스를 제한하거나 자원을 고갈시키는 공격 등에 대해서 효과적으로 대응할 수 있다. 이는 다양한 공격 특징들을 분석하여 비정상 행위를 감지하고, 이렇게 수집된 정보들을 기반으로 사전에 설계된 퍼지 로직을 이용하여 보다 높은 탐지율을 확보할 수 있다. 그 결과 공격에 대한 정확한 탐지가 가능하여 외부로부터의 공격을 예방할 수 있고, 공격이 아닌 일반적인 상황의 변화인 경우에는 적절한 상황대처를 함으로서 불필요한 에너지의 손실을 줄일 수 있다. 본 발명에 의하여 센서 네트워크는 재산적 가치를 갖는 대상이나 중요한 인프라를 보호할 경우에 보다 안전하게 운용할 수 있으며, 만약 네트워크에 침입이 발생되었을 경우라도 이를 탐지하여 대처함으로서 치명적인 정보 손실이나 피해를 예방할 수 있다. 또한 정확한 탐지 성능을 갖는 퍼지 로직 비정상 탐지 기법은 불필요한 정보의 전달 즉, 공격이 발생하지 않았으나 공격으로 오해하여 사용자에게 빈번하게 보고하는 행위를 감소시킴에 따라 보다 효율적인 에너지 소비가 예상된다.

Claims

사용자로부터 작업에 대한 요청을 받고 요청 메시지를 구성하며, 수집된 정보를 취합하고 저장하여 사용자에게 제공하는 기지 노드;

센서 필드에 배치되어 실제 센서 네트워크를 구성하는 유니트로서, 사물을 감지할 수 있고 기본적인 처리 및 저장 능력과 통신 능력을 갖는 다수의 센서 노드; 및

상기 기지 노드 및 상기 각각의 센서 노드들 사이에 연결되어 주변의 센서 노드로부터 비정상 행위에 대한 정보를 수집하고 취합하여 이를 기지 노드에 전송하는 다수의 탐지 노드를 포함하는 센서 네트워크의 퍼지 로직 기반 침입 탐지 장치.
제 1항에 있어서, 상기 각각의 센서 노드는 정의된 요소에 따라 공격으로 간주되는 행동 패턴을 감지하는 비정상 탐지 모듈을 포함하는 것을 특징으로 하는 센서 네트워크의 퍼지 로직 기반 침입 탐지 장치.
제 1항에 있어서, 상기 기지 노드 및 탐지 노드에 탑재되어 상기 센서 노드로부터 수신된 정보를 기초로 공격의 여부를 판단하여, 공격의 경우에는 사용자에게 메시지를 전달함으로써 침입을 알리고, 공격이 아닌 경우에는 이 후 발생할 수 있는 공격 상황과 비교하기 위하여 저장소에 기록하도록 하는 퍼지 컨트롤러를 포 함하는 것을 특징으로 하는 센서 네트워크의 퍼지 로직 기반 침입 탐지 장치.
제 2항에 있어서, 센서 노드의 비정상 탐지 모듈은:

센서 노드의 잔여 에너지량을 나타내는 에너지 레벨(Node Energy Level) 검사;

이웃 노드 리스트의 변화를 나타내는 이웃 노드 리스트(Neighbor Node List) 검사;

전송 에러율을 나타내는 전송 에러율(Error Rate in the Transmission) 검사; 및

평균 메시지 수신율을 나타내는 메시지 전송율(Message Transmission Rate) 검사를 수행하는 것을 특징으로 하는 센서 네트워크의 퍼지 로직 기반 침입 탐지 장치.
제 4항에 있어서, 상기 센서 노드의 에너지 레벨 검사는 물리 계층에서 이루어지는 것을 특징으로 하는 센서 네트워크의 퍼지 로직 기반 침입 탐지 장치.
제 4항에 있어서, 상기 센서 노드의 전송 에러율 검사는 전송 계층에서 이루어지는 것을 특징으로 하는 센서 네트워크의 퍼지 로직 기반 침입 탐지 장치.
제 4항에 있어서, 상기 센서 노드의 이웃 노드 리스트 검사 및 메시지 전송 율 검사는 네트워크 계층에서 이루어지는 것을 특징으로 하는 센서 네트워크의 퍼지 로직 기반 침입 탐지 장치.
제 3항에 있어서, 상기 퍼지 컨트롤러는:

상기 비정상 탐지 모듈로부터의 노드 에너지 레벨과 이웃 노드 리스트가 입력되는 시빌 공격 모듈;

상기 비정상 탐지 모듈로부터의 에러 전송율과 메시지 전송율이 입력되는 서비스 거부 공격 모듈; 및

상기 시빌 공격 모듈과 서비스 거부 공격 모듈과 연결되어 최종 탐지 값을 출력하는 통합 탐지모듈을 포함하는 것을 특징으로 하는 센서 네트워크의 퍼지 로직 기반 침입 탐지 장치.
제 8항에 있어서, 상기 시빌 공격 모듈은 노드 에너지 레벨과 이웃 노드 리스트 요소간의 적절한 값을 비교하여 사전에 설계된 퍼지 멤버쉽 함수를 이용하여 탐지 레벨을 출력하는 것을 특징으로 하는 센서 네트워크의 퍼지 로직 기반 침입 탐지 장치.
제 8항에 있어서, 상기 서비스 거부 공격 모듈은 에러 전송율과 메시지 전송율 요소간의 상관관계를 이용하여 실제 공격인지 전송 에러인지를 판단하는 것을 특징으로 하는 센서 네트워크의 퍼지 로직 기반 침입 탐지 장치.
삭제
삭제
기지 노드에서 생성된 요청 메시지를 센서 필드에 배치된 센서 노드에 전송하는 단계;

탐지 노드가 자신의 위치와 관련 정보를 표현하는 메시지를 이웃 노드에 전달하는 단계;

각각의 센서 노드에서 발생하는 비정상 행위를 탐지하여 탐지 노드에게 전달하는 단계;

각각의 센서 노드로부터 수신된 정보를 취합하여 공격 여부를 판단하는 단계; 및

만약 공격을 판단하였을 경우, 기지 노드의 사용자에게 침입을 알리는 메시지를 전달하는 단계; 및

만약 공격이 아닌 경우로 판단하였을 경우, 이 후 발생할 수 있는 공격 상황과 비교하기 위하여 저장소에 기록하는 단계를 포함하는 센서 네트워크에서 퍼지 로직 기반의 침입 탐지 방법.
제 13항에 있어서, 각각의 센서 노드에서는 잔여 에너지량을 나타내는 에너지 레벨(Node Energy Level) 검사, 이웃 노드 리스트의 변화를 나타내는 이웃 노드 리스트(Neighbor Node List) 검사, 전송 에러율을 나타내는 전송 에러율(Error Rate in the Transmission) 검사 및 평균 메시지 수신율을 나타내는 메시지 전송율(Message Transmission Rate) 검사를 수행하는 것을 특징으로 하는 센서 네트워크의 퍼지 로직 기반 침입 탐지 방법.
제 14항에 있어서, 상기 탐지 노드는 노드 에너지 레벨과 이웃 노드 리스트를 비교하여 사전에 설계된 퍼지 멤버쉽 함수를 이용하여 공격 여부를 판단하는 것을 특징으로 하는 센서 네트워크의 퍼지 로직 기반 침입 탐지 방법.
제 14항에 있어서, 상기 탐지 노드는 전송 에러율과 메시지 전송율간의 상관관계를 이용하여 공격 여부를 판단하는 것을 특징으로 하는 센서 네트워크의 퍼지 로직 기반 침입 탐지 방법.