KR100772177B1 - 보안 기능 시험을 위한 침입 탐지 이벤트 생성 방법 및장치 - Google Patents

Abstract

본 발명은 다양한 공격 상황을 시뮬레이션하여 보안 관련 시스템의 성능을 보다 효율적으로 시험할 수 있도록 하는 보안기능 시험을 위한 침입 탐지 이벤트 생성 방법 및 장치에 관한 것으로, 침입 탐지 이벤트의 생성에 필요한 기본 정보 목록과, 침입 탐지 이벤트의 기본 템플릿을 설정하고, 상기 설정된 기본 정보 목록에서 특정 기본 정보를 선택하여, 상기 기본 템플릿 내에 삽입하여 가상의 침입 탐지 이벤트를 생성하고, 상기 생성된 가상의 침입 탐지 이벤트에 대한 성능 검사를 하고자 하는 보안 시스템으로 전송함으로써, 실제 해킹이나 공격 패킷의 생성 및 침입 없이도 다양한 공격 상황을 시뮬레이션하여 보안 기능을 시험해 볼 수 있도록 한다.

침입, 탐지, 공격, 보안, 침입 탐지 이벤트

Description

보안 기능 시험을 위한 침입 탐지 이벤트 생성 방법 및 장치{Method and apparatus for generating intrusion detection event to test security function}

도 1은 일반적인 컴퓨터 혹은 네트워크의 보안 관리 시스템의 구성을 도시한 블럭도,

도 2는 본 발명에 의한 침입 탐지 이벤트 생성 방법을 나타내는 흐름도,

도 3은 본 발명에 의한 침입 탐지 이벤트 생성 과정을 상세히 나타낸 흐름도,

도 4는 본 발명에 의한 침입 탐지 이벤트 생성 장치를 나타낸 블럭도,

도 5는 본 발명에 의한 보안 시스템의 시험 과정을 나타낸 도면이다.

본 발명은 다양한 공격 상황을 시뮬레이션하여 보안 관련 시스템의 성능을 보다 효율적으로 시험할 수 있도록 하는 보안 기능 시험을 위한 침입 탐지 이벤트 생성 방법 및 장치에 관한 것이다.

최근 컴퓨터 및 네트워크의 이용이 급증하면서, 바이러스, 웜, 해킹과 같은 컴퓨터 및 네트워크 공격들도 양적인 면에서 폭발적인 증가를 보이고 있으며, 질적인 면에서도 단순한 방어 수단(defense method)으로서는 차단하기 힘든 복잡하고 혼합된 형태(blended type)로 진화하고 있다. 더하여, 이러한 공격은 컴퓨터와 관련된 혹은 네트워크에 연결된 모든 단말기(terminal)들, 즉, 비즈니스(business)에 관련된 시스템뿐만 아니라 개인이 사용하는 시스템도 공격을 받을 수 있다.

따라서 이에 맞추어 다양한 공격들을 효과적으로 방어하고 차단하기 위한 보안 관련 시스템이 개발되고 있다.

도 1은 일반적인 보안 시스템을 나타낸 도면으로서, 공격자가 특정 호스트(10) 또는 네트워크를 공격하면, 침입 탐지 시스템(20)에서 이러한 침입을 탐지하여 침입 탐지 이벤트를 생성하여 통합 보안 관리 시스템(30)으로 전달하고, 이러한 침입 탐지 이벤트에 근거하여 상기 통합 보안 관리 시스템(30)은 공격 상황 및 대응 방법을 분석한다.

상기에서 침입 탐지 이벤트는 일반적으로 상술한 침입 탐지 시스템 또는 침입 방지 시스템에서 네트워크나 호스트에 대한 공격, 침입, 피해 상황의 발생을 탐지하여, 그 정보를 보안 관리자나 다른 시스템으로 전달하기 위하여 생성하는 것이다.

상기 침입 탐지 시스템(20)은 호스트 혹은 네트워크상에서 발생하는 각종 사건들을 종합 및 분석하여 공격자에 의한 침입 활동을 발견하고, 이를 관리자에게 통보하거나 적절하게 대응하는 시스템으로서, 그 종류에는 호스트 단위에 설치되어 각 호스트에 대한 침입만을 탐지하는 호스트 기반의 침입 탐지 시스템과, 서브 네트워크 전체에 대한 감시를 수행하여 해당 서비스 네트워크 상의 침입을 발견 및 통보하는 네트워크 기반의 침입 탐지 시스템이 있다.

이러한 침입 탐지 시스템의 동작은, 시스템 사용 내역이나 패킷 정보들을 수집하는 정보 수집 단계, 상기 수집된 정보에서 침입 여부를 판정하기 위한 정보들만을 추출하는 정보 가공 및 축약 단계, 상기 가공 및 축약된 정보를 분석하여 침입 여부를 판단하는 침입 분석 및 탐지 단계, 그리고 침입으로 판단되면 관련 정보를 관리자 혹은 통합 보안 관리 시스템으로 보고하여 적절한 조치를 취하도록 하는 조치 단계로 이루어진다.

이러한 보안 관련 시스템의 개발과 함께, 개발된 보안 시스템들이 정상적으로 동작하는지, 실제 침입이 발생한 경우 적절한 대응이 가능한지를 알기 위한 성능 시험이 요구된다.

종래의 보안 시스템의 성능 시험은, 기존의 네트워크 시험 장비를 이용하여 공격 패킷을 생성하거나 직접 해킹을 시도한 후, 이를 바탕으로 보안 시스템의 대응 방식을 시험하는 형태로 진행되었다.

위 방법 중에서 기존의 네트워크 시험 장비를 이용하여 보안 시스템을 시험하는 경우에는 시험을 위해 생성하는 공격 패킷이 실제 공격 패킷과 유사하기는 하나 많은 부분에서 실제 공격과는 다르다는 한계가 있었으며, 또한 다수의 공격 패킷을 생성하여 동일한 공격만을 반복적으로 전송하는 것이 전부였기 때문에, 실제 공격 환경과는 큰 차이가 있었다.

한편, 직접 해킹을 시도하여 시험을 하는 방식은, 다양한 공격을 시도하기 위하여 많은 시간이 소요된다는 단점이 있다.

본 발명은 상술한 문제점을 해결하기 위하여 제안된 것으로서, 그 목적은, 다양한 공격 상황을 시뮬레이션하여 보안 관련 시스템의 성능을 보다 효율적으로 시험할 수 있도록 하는 보안 기능 시험을 위한 침입 탐지 이벤트 생성 방법 및 장치를 제공하는 것이다.

상기와 같은 본 발명의 목적을 달성하기 위하여, 본 발명의 보안 기능 시험을 위한 침입 탐지 이벤트 생성 방법은

침입 탐지 이벤트의 생성에 필요한 기본 정보 목록을 설정하는 단계;

침입 탐지 이벤트의 기본 템플릿을 설정하는 단계;

상기 설정된 기본 정보 목록에서 특정 기본 정보를 선택하는 단계;

상기 선택된 기본 정보를 상기 기본 템플릿 내에 삽입하여 가상의 침입 탐지 이벤트를 생성하는 단계; 및

상기 생성된 가상의 침입 탐지 이벤트에 대한 성능 검사를 하고자 하는 보안 시스템으로 전송하는 단계를 포함하는 것을 특징으로 한다.

또한, 상기 목적을 달성하기 위한 다른 구성 수단으로서, 본 발명은,

침입 탐지 이벤트의 생성에 필요한 기본 정보 목록을 설정하는 단계;

침입 탐지 이벤트의 기본 템플릿을 설정하는 단계;

상기 설정된 기본 정보 목록에서 특정 기본 정보를 선택하는 단계;

상기 선택된 기본 정보를 상기 기본 템플릿 내에 삽입하여 가상의 침입 탐지 이벤트를 생성하는 단계; 및

상기 생성된 가상의 침입 탐지 이벤트에 대한 성능 검사를 하고자 하는 보안 시스템으로 전송하는 단계를 수행하도록 설계된 프로그램을 기록한 컴퓨터를 판독할 수 있는 기록 매체를 제공한다.

또한, 상기 목적을 달성하기 위한 다른 구성 수단으로서, 본 발명의 보안 기능 시험을 위한 침입 탐지 이벤트 생성 장치는,

침입탐지 이벤트 생성을 위한 기본 정보 및 침입 탐지 이벤트 생성 요구를 입력받는 입력부;

침입탐지 이벤트 생성을 위한 기본 정보 목록 및 침입 탐지 이벤트의 기본 템플릿을 저장하는 저장부;

상기 입력부로부터 입력된 침입 탐지 이벤트 생성을 위한 기본 정보들을 상기 저장부에 저장하고, 상기 입력부를 통해 이벤트 생성 요구가 입력되면 상기 저장부에 저장된 기본 정보들 중 임의의 정보를 선택하여 침입 탐지 이벤트의 기본 템플릿에 삽입하여 가상의 침입 탐지 이벤트를 생성하는 이벤트 생성부; 및

상기 이벤트 생성부에서 생성된 침입 탐지 이벤트에 대한 보안 기능을 검사할 보안 관련 시스템으로 전송하는 전송부를 포함하는 것을 특징으로 한다.

바람직하게, 상기 침입 탐지 이벤트의 생성에 필요한 기본 정보 목록은, 공격 시스템의 IP 주소 목록과, 피해 시스템의 IP 주소 목록과, 피해 시스템의 포트 번호 목록과, 통신에 사용된 네트워크 프로토콜의 목록 중에서 하나 이상을 포함하는 것을 특징으로 한다.

이하 첨부된 도면을 참조하여 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자가 본 발명을 용이하게 실시할 수 있는 바람직한 실시 예를 상세히 설명한다. 다만, 본 발명의 바람직한 실시 예에 대한 동작 원리를 상세하게 설명함에 있어 관련된 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략한다.

또한, 도면 전체에 걸쳐 유사한 기능 및 작용을 하는 부분에 대해서는 동일한 도면 부호를 사용한다.

도 2는 본 발명의 바람직한 실시 예에 따른 침입 탐지 이벤트 생성 방법을 나타낸 흐름도이다.

도 2를 참조하면, 본 발명은 보안 기능 시험을 위한 침입 탐지 이벤트의 생성을 위하여, 먼저 침입 탐지 이벤트의 생성에 필요한 기본 정보들의 선택 가능한 목록을 입력받아 저장한다(S100).

상기 침입 탐지 이벤트는 앞서 설명한 바와 같이, 침입 탐지 시스템에서 네트워크나 시스템에 대한 공격, 침입, 피해 상황의 발생을 탐지하여 그 정보를 전달 하기 위한 메시지로서, 상기 이벤트를 생성하는 제품의 종류에 따라서 포함되는 내용과 형식이 다를 수 있으며, 국제 표준화 단체인 IETF(Internet Engineering Task Force)에 의해 표준화된 침입 탐지 메시지 교환 형식(IDMEF: Intrusion Detection Message Exchange Format)도 존재한다.

그러나 상술한 바와 같이, 침입 탐지 이벤트의 형식과 내용의 다양성에도 불구하고, 공통으로 존재하는 중요 정보가 존재한다. 이에는 공격 시스템의 IP 주소와, 피해 시스템의 IP 주소, 피해 시스템의 포트 번호, 통신에 사용된 프로토콜이 해당된다.

따라서, 상기 단계 S100에서는 이와 같이 침입 탐지 이벤트의 생성을 위해 반드시 요구되는 기본 정보들의 목록, 즉, 공격 시스템의 IP 주소와, 피해 시스템의 IP 주소, 피해 시스템의 포트 번호, 통신에 사용된 프로토콜의 목록을 저장하는 것이 바람직하다. 이때 저장되는 정보들, 즉 피해 시스템의 IP 주소와, 포트 번호, 프로토콜은 테스트용 정보로서, 기능 검사 대상인 보안 관련 시스템에서 관리하는 시스템의 실제 정보를 이용하는 것이 바람직하며, 상기 공격 시스템의 IP 주소는 임의 값으로 설정된다. 도 3에서, 부호 31 내지 34는 상기 단계 S100에서 등록되어 저장되는 기본 정보 목록을 나타내는 것으로서, 부호 31은 공격 시스템의 IP 주소 목록이고, 부호 32는 피해 시스템의 IP 주소 목록이고, 부호 33은 피해 시스템의 포트 번호 목록이고, 부호 34는 통신에 사용된 프로토콜 목록이다.

더하여, 본 발명은, 생성하려는 침입 탐지 이벤트들의 기본 템플릿을 설정한다(S110). 이때, 상기 기본 템플릿은, 검사 대상 보안 관련 시스템에서 사용하는 침입 탐지 이벤트의 형식에 따라서 설정되는 것이 바람직하다. 도 3에서 부호 35는 상기 단계 S110에서 설정된 침입 탐지 이벤트의 기본 템플릿이다.

상기와 같이 기본 정보들과 기본 템플릿이 설정되면, 저장된 기본 정보들 중에서 임의의 정보들을 선택한다(S120). 예를 들어, 하나 이상의 피해 시스템의 IP 주소와, 하나 이상의 피해 시스템의 포트번호, 통신 프로토콜, 하나 이상의 공격 시스템의 IP 주소를 각각 선택한다.

그리고, 상기 선택된 정보들을 상기 설정된 기본 템플릿 내에 삽입하여 가상의 침입 탐지 이벤트를 생성한다(S130).

도 3의 부호 36은 상기 단계 S130에서 생성되는 가상의 침입 탐지 이벤트의 일 예를 나타낸다. 상기 생성된 침입 탐지 이벤트(36)는, 공격 시스템의 IP 주소가 a이고, 피해 시스템의 IP 주소가 e이고, 피해 시스템의 포트 번호는 i이고, 사용된 통신 프로토콜은 j인 침입 상황을 알린다.

이때, 상기 침입 탐지 이벤트에 삽입되는 기본 정보들을 조정함으로써, 다양한 형태의 침입 탐지 상황에 대한 이벤트를 생성할 수 있다.

예를 들어, 공격 및 피해 시스템의 아이피 주소를 여러 개 삽입하고, 피해 시스템의 포트번호 및 프로토콜을 하나만 입력함으로써, 웜 바이러스(worm virus)의 침입시에 나타나는 침입 탐지 이벤트를 생성할 수 있다. 같은 방식으로, 상기 기본 템플릿 내에 삽입되는 정보들을 조정함으로써, 스캔이나 분산 서비스 거부 공격(DDOS: Distributed Denial of Service attack)이 탐지된 경우와 같은 침입 탐지 이벤트를 생성할 수 있다.

이렇게 생성된 가상의 침입 탐지 이벤트는 성능 검사를 하고자 하는 보안 관련 시스템(예를 들어, 도 1의 통합 보완 관리 시스템(30))으로 전송된다(S140).

이를 수신한 보안 관련 시스템은 수신된 침입 탐지 이벤트를 분석하여 컴퓨터 및/또는 네트워크에 공격이 발생한 것으로 인식하여, 공격을 분석하고 조치를 취하게 된다. 따라서, 상기 가상의 침입 탐지 이벤트를 수신한 보안 관련 시스템의 대응 방식을 확인함으로써, 보안 관련 시스템의 성능을 테스트해 볼 수 있다.

상술한 바와 같은 침입 탐지 이벤트 생성 방법을 보안 시스템의 성능 검사 시험에 적용함으로써, 실제 공격 패킷을 발생시키고, 해당 공격 패킷을 탐지하는 과정없이, 보안 시스템의 성능 검사를 위한 다양한 공격 상황을 시뮬레이션하여, 보안 시스템의 기능을 시험해 볼 수 있다.

상기 설명한 침입 탐지 이벤트 생성 방법은, 컴퓨터 시스템에서 실행되는 프로그램으로 구현될 수 있으며, 상기 도 2에 각 단계를 수행하도록 설계된 프로그램은 보안 관련 시스템의 성능을 검사하는 장치 혹은 성능 검사용 컴퓨터 시스템에 설치됨으로써, 성능 검사를 위한 다양한 침입 탐지 이벤트를 생성하여, 다양한 공격 상황에 대한 보안 시스템의 대응을 검사할 수 있다.

도 4는 본 발명의 제2 실시 예에 따른 침입 탐지 이벤트 생성 장치를 나타낸 블록도이다.

도 4를 참조하면, 본 발명의 침입 탐지 이벤트 생성 장치(40)는, 침입탐지 이벤트 생성을 위한 기본 정보 및 침입 탐지 이벤트 생성 요구를 입력받는 입력부(41)와, 침입탐지 이벤트 생성을 위한 기본 정보 및 침입 탐지 이벤트의 기본 템플릿을 저장하는 저장부(42)와, 상기 입력부(41)로부터 입력된 침입 탐지 이벤트 생성을 위한 기본 정보를 상기 저장부(42)에 저장시키고, 상기 입력부(41)를 통해 이벤트 생성 요구가 입력되면 상기 저장부(42)에 저장된 기본 정보들 중 임의의 정보를 선택하여 침입 탐지 이벤트의 기본 템플릿에 삽입하여 가상의 침입 탐지 이벤트를 생성하는 이벤트 생성부(43)와, 상기 이벤트 생성부(43)에서 생성된 침입 탐지 이벤트에 대한 보안 기능을 검사할 보안 관련 시스템으로 전송하는 전송부(44)를 포함한다.

상기 입력부(41)는 사용자가 키보드와 같은 입력 수단을 이용하여 직접 입력한 침입 탐지 이벤트 생성을 위한 기본 정보를 입력받거나, 다른 시스템(바람직하게는, 보안 기능 검사 시스템)으로부터 검사에 사용가능한 기본 정보들을 입력받을 수 있다.

상기 입력부(41)를 통해 입력되어, 저장부(42)에 저장되는 침입 탐지 이벤트 생성을 위한 기본 정보는, 앞서 설명한 바와 같이, 공격 시스템의 IP 주소들과, 피해 시스템의 IP 주소들과, 피해 시스템의 포트 번호들과, 네트워크 프로토콜들로 이루어지며, 이는 도 3의 부호 31 내지 34에 도시된 바와 같다.

상기 이벤트 생성부(43)는 저장부(42)에 저장되어 있는 침입 탐지 이벤트의 기본 템플릿을 가져오고, 더하여, 상기 저장부(42)에 저장된 침입 탐지 이벤트 생성을 위한 기본 정보 목록 중에서 임의의 정보를 선택하고, 상기 템플릿에 삽입하 여 가상의 침입 탐지 이벤트를 생성한다.

이때, 상기 템플릿에 삽입할 기본 정보는 임의로 선택될 수 있으며, 또는 순차적으로 선택될 수 있다.

더하여, 앞서 설명한 바와 같이, 상기 이벤트 생성부(43)는 상기 침입 탐지 이벤트에 삽입되는 기본 정보들을 조정함으로써, 다양한 형태의 침입 탐지 상황에 대한 이벤트를 생성할 수 있다. 즉, 공격 및 피해 시스템의 아이피 주소를 여러 개 삽입하고, 피해 시스템의 포트번호 및 프로토콜을 하나만 입력함으로써, 웜 바이러스(worm virus)의 침입 시에 나타나는 침입 탐지 이벤트를 생성하거나, 같은 방식으로, 상기 기본 템플릿 내에 삽입되는 정보들을 조정함으로써, 스캔이나 분산 서비스 거부 공격(DDOS: Distributed Denial of Service attack)이 탐지된 경우와 같은 침입 탐지 이벤트를 생성할 수 있다.

도 5는 본 발명에 의한 침입 탐지 이벤트 생성 장치를 이용하여, 소정의 보안 시스템의 보안 기능을 시험하는 상황을 예시한 도면이다.

도 5에 도시된 바와 같이, 통합 보안 관리 시스템(30)의 보안 기능을 시험하고자 하는 경우, 직접 해킹하거나 공격 패킷을 생성하여 전송할 필요없이, 본 발명에 따른 침입 탐지 이벤트 생성 장치(40)에서 가상의 침입 탐지 이벤트를 생성하여 통합 보안 관리 시스템(30)으로 전송한 후, 상기 통합 보안 관리 시스템(30)에서의 대응을 확인함으로써, 보안 기능의 시험이 가능해진다.

이상에서 설명한 본 발명은 전술한 실시 예 및 첨부된 도면에 의해 한정되는 것이 아니고, 본 발명의 기술적 사상을 벗어나지 않는 범위 내에서 여러 가지 치환, 변형 및 변경할 수 있다는 것이 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 작업자에게 있어 명백할 것이다.

상술한 바와 같이, 본 발명은 실제로 네트워크나 시스템에 대한 침입과 그에 대한 탐지가 없는 상태에서 가상의 침입 탐지 이벤트를 생성하는 것으로서, 이를 이용함으로써 보안 관련 제품이나 시스템의 보안 기능 시험을 간단하게 수행할 수 있으며, 더하여, 다양한 상황의 침입 탐지 이벤트를 생성함으로써 실제 해킹이나 공격 패킷의 생성 및 침입과 같은 복잡한 절차를 거치지 않고도 다양한 공격 상황을 시뮬레이션하여 시험할 수 있는 우수한 효과가 있다.

Claims (4)

1. 침입 탐지 이벤트의 생성에 필요한 기본 정보 목록을 설정하는 단계;

   침입 탐지 이벤트의 기본 템플릿을 설정하는 단계;

   상기 설정된 기본 정보 목록에서 특정 기본 정보를 선택하는 단계;

   상기 선택된 기본 정보를 상기 기본 템플릿 내에 삽입하여 가상의 침입 탐지 이벤트를 생성하는 단계; 및

   상기 생성된 가상의 침입 탐지 이벤트에 대한 성능 검사를 하고자 하는 보안 시스템으로 전송하는 단계를 포함하는 것을 특징으로 하는 보안 기능 시험을 위한 침입 탐지 이벤트 생성 방법.
2. 제1항에 있어서, 상기 침입 탐지 이벤트의 생성에 필요한 기본 정보 목록은,

   공격 시스템의 IP 주소 목록과, 피해 시스템의 IP 주소 목록과, 피해 시스템의 포트 번호 목록과, 통신에 사용된 네트워크 프로토콜의 목록 중에서 하나 이상을 포함하는 것을 특징으로 하는 보안 기능 시험을 위한 침입 탐지 이벤트 생성 방법.
3. 침입탐지 이벤트 생성을 위한 기본 정보 및 침입 탐지 이벤트 생성 요구를 입력받는 입력부;

   침입탐지 이벤트 생성을 위한 기본 정보 목록 및 침입 탐지 이벤트의 기본 템플릿을 저장하는 저장부;

   상기 입력부로부터 입력된 침입 탐지 이벤트 생성을 위한 기본 정보들을 상기 저장부에 저장하고, 상기 입력부를 통해 이벤트 생성 요구가 입력되면 상기 저장부에 저장된 기본 정보들 중 임의의 정보를 선택하여 침입 탐지 이벤트의 기본 템플릿에 삽입하여 가상의 침입 탐지 이벤트를 생성하는 이벤트 생성부; 및

   상기 이벤트 생성부에서 생성된 침입 탐지 이벤트를 보안 기능을 검사할 보안 관련 시스템으로 전송하는 전송부를 포함하는 보안 기능 시험을 위한 침입 탐지 이벤트 생성 장치.
4. 제3항에 있어서, 상기 침입 탐지 이벤트의 생성에 필요한 기본 정보 목록은,

   공격 시스템의 IP 주소 목록과, 피해 시스템의 IP 주소 목록과, 피해 시스템의 포트 번호 목록과, 통신에 사용된 네트워크 프로토콜의 목록 중에서 하나 이상을 포함하는 것을 특징으로 하는 보안 기능 시험을 위한 침입 탐지 이벤트 생성 장치.

Images