KR100807933B1

KR100807933B1 - 에이알피 스푸핑 감지 시스템 및 감지 방법과 그 방법이저장된 컴퓨터 판독가능 저장매체

Info

Publication number: KR100807933B1
Application number: KR1020060118337A
Authority: KR
Inventors: 구준모
Original assignee: 엘지노텔 주식회사
Priority date: 2006-11-28
Filing date: 2006-11-28
Publication date: 2008-03-03

Abstract

라우팅 장치의 스푸핑(spoofing) 감지 시스템 및 감지 방법을 개시한다. 일 실시예에 따르면, ARP(Address Resolution Protocol) 스푸핑을 감지할 때, ARP 테이블의 ARP 정보뿐만 아니라 패킷이 입력되는 포트 정보를 이용하여 패킷의 ARP 스푸핑을 감지함으로써, 비정상적이거나, 악의적인 패킷들을 효과적으로 차단할 수 있다. 또한, 라우팅 장치내에 애플리케이션 서버가 존재하는 경우, ARP 스푸핑을 감지할 때, ARP 테이블의 정보와 수집된 패킷의 ARP 정보가 일치하고 포트 정보가 상이한 경우, 애플리케이션 서버의 서버 정보와 다시 비교하여 일치하면 ARP 테이블에 저장된 기존 ARP를 스푸핑으로 간주하고 ARP 테이블의 기존 ARP를 현재 수집한 패킷의 ARP로 갱신하고, 일치하지 않으면 현재 패킷을 ARP 스푸핑 패킷으로 간주한다. 또한, ARP 스푸핑 패킷에 대해, 블러킹 처리, 알람 처리, 맥 주소 테이블 고정 처리의 3가지 방식 중 하나를 선택하여 패킷의 처리를 제한할 수 있다. 이러한 기능을 통하여, L3스위치/라우터와 같은 라우팅 장치에서 ARP정보와 포트 정보를 이용하여 ARP 스푸핑을 감지하여 스푸핑 패킷을 처리함으로써 비정상적이거나, 악의적인 패킷들을 효과적으로 차단할 수 있게 된다.

라우팅 장치, 에이알피, 스푸핑 감지

Description

에이알피 스푸핑 감지 시스템 및 감지 방법과 그 방법이 저장된 컴퓨터 판독가능 저장매체{SYSTEM AND METHOD FOR DETECTING ARP SPOOFING AND COMPUTER READABLE STORAGE MEDIUM STORING PROGRAM FOR DETECTING ARP SPOOFING}

도 1은 로컬망에서의 ARP 처리 동작 구성도,

도 2는 원격망에서의 ARP 처리 동작 구성도,

도 3은 일반적인 ARP 패킷의 구조도,

도 4는 일 실시예에 따른 라우팅 장치의 스푸핑 감지 시스템의 구성도,

도 5는 스푸프 리스트 저장부에 저장되는 데이터 구조도,

도 6은 ARP/포트 테이블에 저장되는 데이터 구조도,

도 7은 일 실시예에 따른 라우팅 장치의 스푸핑 감지 방법의 순서도,

2 : L3 스위치/라우터 10 : 애플리케이션 서버

20 : 하드웨어 테이블 21 : 스푸프 리스트 저장부

23 : 맥 주소 테이블 25 : ARP/포트 테이블

27 : 멀티캐스트 라우팅 테이블 29 : 라우팅 테이블

30 : 스푸핑 감지 시스템 31 : 패킷 수집부

33 : ARP 스푸핑 감지부 35 : 서비스 제한 결정부

37 : 테이블 갱신부 39 : 블러킹부

41 : 알람부

본 발명은 라우팅 장치에 관한 것으로, 보다 상세하게는 라우팅 장치에서 에이알피(이하 ARP'라 칭함) 스푸핑을 감지하는 감지 시스템 및 감지 방법에 관한 것이다.

일반적으로, ARP(Address Resolution Protocol)는 LAN(Local Area Network)상에서 IP 주소(Internet Protocol Address)를 가지고 이더넷 주소인 맥 주소(MAC address)를 얻어오는 프로토콜이다. ARP에 따르면, 네트워크 내에 ARP 패킷을 브로드캐스팅하여, 그 네트워크에 연결되어 있는 ARP 패킷에 대해 응답한 컴퓨터의 IP와 맥 주소를 알 수 있다.

여기서, ARP 패킷 구조(100)는 도 3에 도시된 바와 같이, 하드웨어 종류, 프로토콜 종류, HLen, PLen, 작동, 송신자 HA(Hardware Address), 송신자 IP, 대상 HA, 대상 IP와 같은 필드들을 포함한다. 하드웨어 종류 필드(16bit)는 하드웨어 네트워크의 종류를 나타내고, 프로토콜 종류 필드(111)는 상위계층 프로토콜 종류를 나타낸다. 또한, HLen 필드는 하드웨어 주소의 길이고, PLen 필드는 프로토콜 주소의 길이이다. 작동 필드(113)는 ARP 요청일 경우 '1'로, ARP 응답일 경우 '2'로 설정이 된다. 송신자 HA 필드(115)에는 송신자 하드웨어 어드레스 즉, 맥 주소가 들어가고, 송신자 IP 필드(117)에는 송신자 IP 주소가 들어간다. 대상 HA 필드(119) 에는 수신자의 맥 주소가 들어가고, 대상 IP 필드(121)에는 수신자의 IP 주소가 들어간다.

ARP의 동작과정은 다음과 같다. 로컬의 호스트에 패킷을 전송하는 경우는, 도 1에 도시된 바와 같이, 호스트 A(101)가 IP 주소의 물리적 네트워크 주소를 알아내고자 할 때, 호스트 A(101)는 IP 주소를 가지고 있는 호스트에게 물리적 네트워크 주소를 보내주도록 요청하는 특별한 패킷을 브로드캐스트한다. 호스트 B(103)를 포함한 모든 호스트들은 모두 이 요청을 받게 된다. 만약, 호스트 B(103)만이 자기의 IP 주소를 인식하고 자기의 물리적 네트워크 주소가 포함된 응답 메시지를 다시 호스트 A(101)로 보내어, 호스트 A(101)가 이 응답 메시지를 받으면, 호스트 A(101)는 이 물리적 네트워크 주소를 이용하여 인터넷 패킷을 호스트 B(103)에게 직접 보내주게 된다.

또한, 원격의 호스트에 패킷을 전송하는 경우는 도 2에 도시된 바와 같다. 호스트 A(101)는 우선 호스트 B(103)의 IP와 서브넷 마스크를 논리합 비교를 해서 호스트 B(103)의 IP가 호스트 A(101)의 네트웍에 있는지 확인하여, 호스트 B(103)가 원격 호스트이면, 호스트 A(101)는 패킷을 기본 게이트웨이로 보내기 위해 ARP 테이블에서 기본 게이트웨이의 IP 주소/맥 주소의 매핑을 확인한다. 그 후 기본 게이트웨이의 맥 주소를 알게 되면 게이트웨이로 패킷을 전송하게 된다. 만일 지정된 기본 게이트웨이의 매핑 값이 ARP 테이블에 없을 경우(예를 들어, ARP 테이블은 20분 정도 통신을 하지 않게 되면 해당 호스트의 IP 주소/맥 주소 매핑 값을 지운다.) 기본 게이트웨이 주소에 대한 ARP 요청을 브로드캐스트하게 된다. 기본 게이트 웨이인 라우터1(120)에서 호스트 A(101)의 ARP 요청을 받아 ARP 응답을 통해 IP 주소와 맥 주소를 호스트 A(101)에게 알려준다. 그 후, 호스트 A(101)는 기본 게이트웨이로 패킷을 전송한다. 호스트 A(101)로부터 패킷을 받은 라우터1(120)은 우선 호스트 A(101)에서와 같이 이 패킷의 목적지 주소가 로컬인지 원격인지를 확인하게 되고, 만일 로컬 컴퓨터이면 ARP 테이블을 찾아보고 ARP 테이블에 없을 경우 브로드케스팅을 하여 맥 주소를 얻는다. 그러나, 목적지 주소가 로컬이 아닌 원격임을 확인하게 되면, 라우터1(120)은 라우팅 테이블을 확인한 후 해당하는 라우터2(130)에 다시 ARP 요청을 보내 해당 라우터2(130)의 맥 주소를 파악한 다음, 패킷을 해당 라우터2(130)로 전송하게 된다. 마지막에 패킷을 전달받은 라우터2(130)는 ARP 테이블을 확인한 후 브로드 캐스팅하는 과정으로 호스트 B(103)의 맥 주소를 알아내어 호스트 B(103)에게 패킷을 전달한다.

한편, ARP 스푸핑은 원래 위조된 ARP 응답 패킷을 특정 컴퓨터로 전송함으로써, 특정 컴퓨터의 패킷들이 자신의 컴퓨터로 전송되도록 하는 일종의 해킹 기법이다. ARP 스푸핑이 사용자 컴퓨터인 호스트(host)와 호스트 간에 이루어지면 상대방 호스트가 ARP 스푸핑을 보낸 호스트로 패킷을 보낸다. 그러나, ARP 스푸핑을 받는 장치가 라우터나 L3 스위치인 경우에, 라우터나 L3 스위치가 잘못된 목적지로 패킷을 보내게 되어, 라우터나 L3 스위치에 연결된 호스트가 인터넷이 전혀 접속되지 상황이 초래될 수 있다.

종래 기술 중, ARP 스푸핑 감지 기술은 방식에 따라 2가지로 나눌 수 있다. 첫 번째는 DHCP(Dynamic Host Configuration Protocol) 패킷을 이용하는 방식이고, 두 번째는 IP와 ARP/RARP(Reverse ARP)를 이용하는 방식이다.

DHCP 패킷을 이용하는 방식은, DHCP 패킷을 수집하는 장치, DHCP 패킷 분석 장치, ARP 스푸핑 감지 장치로 구성된 시스템을 이용한다. DHCP 패킷을 이용한 ARP 스푸핑 감지 기술은, DHCP 서버에서 IP를 할당하면, IP 주소와 연관된 맥 주소를 데이터베이스로 관리한다. 이후 이 데이터베이스에 저장된 맥 주소에 대응되지 않는 ARP를 감지하는 경우에는, 이를 ARP 스푸핑으로 간주한다.

한편, IP와 ARP/RARP를 이용하는 방식은, IP 패킷 수집 장치, IP 패킷 분석 장치, RARP 전송 장치, ARP 스푸핑 감지 장치로 구성된 시스템을 이용한다. IP와 ARP/RARP를 이용한 ARP 스푸핑 감지 기술은, 시스템에서 수신된 IP 패킷이 로컬 네트워크의 IP(또는 MAC)주소와 동일한지 감지해서, 동일하지 않으면 RARP를 보내 응답이 없으면 ARP 스푸핑으로 감지한다.

그러나, DHCP 패킷을 이용한 ARP 스푸핑 감지 기술은 다음과 같은 문제점이 있다. 즉, ARP 스푸핑 감지를 위해, 맥 주소와 IP 주소의 연관성을 감지하기 때문에, DHCP 서버에서 할당된 IP와 대응되는 맥 주소를 모두 동일하게 하여 ARP 스푸핑 한다면, 스푸핑을 받는 장치에서는 ARP 스푸핑을 감지하지 못한다.

그리고, IP와 ARP/RARP 패킷을 이용한 ARP 스푸핑 감지 기술은, 다음과 같은 문제점이 있다. 즉, ARP 스푸핑을 하는 호스트와 ARP 스푸핑을 당하는 호스트가 같은 인터페이스(네트워크)에 위치한다면, 패킷을 수신한 장치에서는, 패킷의 IP를 통해 그 패킷이 네트워크 내에서 발생되어 전송된 것인지 여부를 판단하여 로컬이 아니면(즉, 네트워크의 외부로부터 유입된 경우이면) 해당 패킷을 버리므로, 외부 로부터 유입된 패킷을 이용한 ARP 스푸핑을 감지하지 못한다.

한편, ARP 스푸핑 감지에 따른 후속 절차로서 유입되는 패킷과 관련된 서비스를 제한하는 기술들이 사용되는데, 여기에는 맥 주소 블러킹(blocking)과, 포트 블러킹(port blocking) 등이 있다. 두 가지 기술 모두 맥/포트의 일치 여부를 판단하는 장치와, 블러킹 장치로 구성되어 있다. 맥 주소 블러킹 기술은 패킷의 소스(source) 맥이 블러킹으로 설정된 맥과 같으면 해당 패킷을 버리는 기술이다. 그리고, 포트 블러킹 기술은 해당 포트로 들어오는 패킷을 버리는 기술이다.

이러한 종래의 서비스 제한 기술에 따르면, ARP 스푸핑과 관련된 패킷을 전송하는 호스트에 대한 서비스를 중단하므로, ARP 스푸핑을 잘못 감지하거나, 사용자의 실수에 의해 서비스가 막히게 되면, 사용자 불만의 원인이 될 수 있다. 따라서, 사용자에 대한 불만을 줄이기 위해서는 ARP 스푸핑 감지에 기초한 적절한 조건에 따른 서비스 블러킹의 기술이 필요하다.

본 발명의 목적은, ARP 정보뿐만 아니라 패킷이 입력되는 포트 정보를 이용하여 ARP 스푸핑 패킷을 감지함으로써, 비정상적이거나 악의적인 패킷들을 효과적으로 차단 가능한 라우팅 장치의 ARP 스푸핑 감지 시스템 및 방법을 제공하는 것이다.

본 발명의 다른 목적은 애플리케이션 서버가 있는 경우에, 애플리케이션 서버의 서버 정보와 포트 정보를 이용하여 비정상적이거나 악의적인 패킷을 차단 가능한 라우팅 장치의 ARP 스푸핑 감지 시스템 및 방법을 제공하는 것이다.

또한, 본 발명은 ARP 스푸핑 패킷에 대해, 블러킹 처리, 알람 처리, 맥 주소 테이블 고정 처리의 3가지 방식 중 하나를 선택하여 패킷의 처리를 제한할 수 있는 라우팅 장치의 스푸핑 감지 시스템 및 감지 방법을 제공하는 것이다.

일 실시예에 따르면, 라우팅 장치의 스푸핑 감지 시스템 및 감지 방법이 제공된다. 이 방법에 따르면, ARP 스푸핑을 감지할 때, ARP 테이블의 ARP 정보와 패킷이 입력되는 포트 정보를 이용하여 패킷의 ARP 스푸핑을 감지함으로써, 비정상적이거나, 악의적인 패킷들을 효과적으로 차단할 수 있다. 또한, 라우팅 장치내에 애플리케이션 서버가 존재하는 경우, ARP 스푸핑을 감지할 때, ARP 테이블의 정보와 수집된 패킷의 ARP 정보가 일치하고 포트 정보가 상이한 경우, 애플리케이션 서버의 IP 할당 정보와 다시 비교하여 일치하면 ARP 테이블에 저장된 기존 ARP를 스푸핑으로 간주하여 ARP 테이블의 기존 ARP를 현재 수집한 패킷의 ARP로 갱신하고, 일치하지 않으면 현재 패킷을 ARP 스푸핑 패킷으로 간주한다. 또한, ARP 스푸핑 패킷에 대해 블러킹 처리, 알람 처리, 맥 주소 테이블 고정 처리의 3가지 방식 중 하나를 이용하여 패킷의 처리를 제한한다.

이하 첨부된 도면을 참조하여 본 발명의 다양한 실시예들에 대해 상세히 설명한다. 다만, 이하의 설명에서 본 발명의 요지를 불필요하게 흐릴 우려가 있는 경우에는 널리 알려진 기능이나 구성에 관한 구체적 설명은 생략하기로 한다.

이하에서 설명하는 실시예는, L3 스위치/라우터 상에서 직접 ARP 스푸핑 패킷을 감지하는 방법이 구현되며, 사용자 별로 다른 포트를 사용한다고 가정한다. 또한, 일 실시예에 따른 시스템에서, 애플리케이션 서버가 설치될 수 있으며, 애플리케이션 서버는 IP-TV 방송 서비스에 사용되는 멀티캐스트 서버이며, PIM(Protocol Independent Multicast) 서버와, IGMP(Internet Group Management Protocol) 서버를 포함할 수 있다. 이 실시예에서, L3 스위치/라우터는 멀티캐스트 서버와 멀티캐스트 테이블을 포함할 수 있다.

일 실시예에 따라, 도 4에 도시된 바와 같이, L3 스위치/라우터(4)는 스위칭 칩셋(미도시)과, 라우팅을 수행하기 위한 라우팅 테이블(29)과 멀티 캐스트 라우팅 테이블(27) 및 맥 주소 테이블(23), ARP/포트 테이블(25), 스푸프 리스트 저장부(21)로 구성된 하드웨어 테이블(20)을 포함한다. 라우팅 테이블(29)은 OSI 프로토콜 계층 중에서 IP 레이어를 통해 패킷이 지나가야 할 경로를 알려주는 테이블이고, 맥 주소 테이블(21)은 맥 레이어를 통해 패킷이 지나가야 할 경로를 알려주는 것으로 맥 주소와 포트 정보를 저장하는 테이블이다. 멀티캐스트 라우팅 테이블(27)은 멀티캐스트 패킷이 지나가야할 경로를 알려주는 테이블이다. 그리고, L3 스위치/라우터(4)는 ARP 스푸핑 감지 시스템(30)을 더 포함한다. ARP 스푸핑 감지 시스템(30)은, 도 4에 도시된 바와 같이, 패킷 수집부(31), ARP 스푸핑 감지부(33), 서비스 제한 결정부(35), 테이블 갱신부(37), 알람(Alarm)부(41), 블러킹부(39)를 포함한다.

패킷 수집부(31)는 패킷을 수집하는 장치로서, 패킷을 수집하면, ARP 스푸핑 감지부(33)가 ARP/포트 테이블(25)과 애플리케이션 서버(멀티 캐스트 서버, DHCP 서버)(10)로부터 정보를 얻어, ARP가 스푸핑되었는지 감지한다.

ARP 스푸핑 감지부(33)가 ARP가 스푸핑되었다고 감지하면, 서비스 제한 결정부(35)가 테이블을 갱신할 것인지 알람을 할 것인지, 블러킹을 할 것인지 결정해서 해당 블록에 알려준다.

일 실시예에서, L3 스위치/라우터(4)에는 ARP/포트 테이블(25)과 스푸프 리스트 저장부(21)가 더 마련된다.

스푸프 리스트 저장부(21)에는 과거에 감지된 스푸핑 ARP 정보가 저장된다. 스푸프 리스트 저장부(21)에 저장되는 스푸핑 ARP 정보 데이터 구조(50)는, 도 5에 도시된 바와 같이, 맥 주소와 IP 주소 및 포트를 포함한다.

ARP/포트 테이블(25)에는 IP 주소와 맥 주소 및 패킷이 입력되는 포트 번호가 함께 저장된다. 일 실시예에서, ARP/포트 테이블(25)은 IP 주소와 맥 주소만을 저장하는 기존의 ARP 테이블이 아닌 별도로 관리되는 ARP 테이블이다. 기존의 ARP 테이블은 ARP 에이징(aging) 시간 이후 ARP 정보가 삭제되는데, 일반적인 경우 ARP 에이징 시간이 약 20분 정도이기 때문에 ARP 스푸핑 검사에서 사용하기가 힘들다. 도 4의 L3스위치/라우터에는 별도의 ARP 테이블로서 ARP/포트 테이블만을 나타내었다. ARP/포트 테이블(25)에 저장되는 ARP 데이터 구조(60)은 도 6에 도시된 바와 같이, 맥 주소, IP 주소, 포트번호, 에이징 시간을 포함한다.

다시 도 4를 참조하면, 패킷 수집부(31)에서 패킷을 수신한 후, ARP 스푸핑 감지부(33)는 수집된 패킷으로부터 송신자 HA, 송신자 IP, 대상 HA, 대상 IP를 추출하고, 패킷의 IP 및 MAC 주소와, 패킷이 수집된 포트의 조합이, 스푸핑(Spoofing) 리스트 저장부(21)에 등록되어 있는지 확인하여 리스트에 있으면, 패 킷을 버린다.

ARP 스푸핑 감지부(33)는 수집된 패킷의 IP 및 MAC 주소와, 패킷이 수집된 포트의 조합이 스푸프 리스트 저장부(21)에 없는 것으로 판별한 경우, 수집된 패킷이 ARP를 나타내는 정보를 포함하는지 체크하여 ARP 패킷인지 확인해서, ARP 패킷이 아니면, 정상 패킷으로 처리한다. 그러나, ARP 스푸핑 감지부(33)는 수집된 패킷이 ARP 패킷이면, 애플리케이션 서버(10)가 존재하는지 판단한다. 애플리케이션 서버(10)의 일 실시예로서, DHCP 서버 또는 멀티캐스트 서버의 한 종류인 PIM 서버가 있는지 확인한다. 확인결과, DHCP 서버 또는 PIM 서버가 있으면, DHCP 서버로부터 DHCP의 IP 할당 정보를 가져오고, PIM 서버로부터 PIM의 그룹 할당 정보를 가져와 일시 저장한다. 이 정보들은 추후 정상적인 ARP와 스푸프 ARP를 선택하기 위해 사용될 수 있다.

이후에, ARP 스푸핑 감지부(33)는 수신된 ARP 패킷과 동일한 기존 ARP가 ARP/포트 테이블(25)에 등록되어 있는지 확인하여, 등록되어 있는 경우, 포트가 일치하는지 여부를 확인한다. 포트가 일치하지 않으면, 상술한 애플리케이션 서버(10)로부터 가져온 서버 정보를 이용한다. 즉, ARP 스푸핑 감지부(33)는, ARP/포트 테이블(25)의 ARP 정보와 수집된 패킷의 ARP 정보가 일치하고 포트 정보가 상이한 경우, 애플리케이션 서버(10)로부터 가져온 서버 정보(IP 할당 정보 또는 그룹 할당 정보)와 수집된 패킷의 ARP 정보를 다시 비교하여 일치하면, ARP/포트 테이블(25)에 저장된 기존 ARP를 스푸핑으로 간주하여, 해당되는 라우팅 테이블(29), 멀티캐스트 테이블(27), ARP 테이블(25), 맥 주소 테이블(21)을 수집된 패킷의 ARP 정보에 맞추어 갱신한다. 그러나, ARP 스푸핑 감지부(33)는, 애플리케이션 서버(10)로부터 가져온 서버 정보(IP 할당 정보 또는 그룹 할당 정보)와 수집된 패킷의 ARP 정보가 일치하지 않으면 현재 패킷을 ARP 스푸핑 패킷으로 간주한다.

또한, ARP 스푸핑 감지부(33)는 수집된 패킷을 ARP 스푸핑으로 감지하면, 서비스 제한 결정부(35)를 설정하여, 블러킹 처리, 알람 처리, 맥 주소 테이블 고정 처리의 3가지 방식 중 하나를 이용하여 패킷의 처리를 제한한다. 즉, 서비스 제한 결정부(35)는 블러킹부(37)를 제어하여, ARP 스푸핑으로 판단된 해당 포트와 해당하는 맥 주소와 일치하는 패킷을 버리는 처리를 하거나, 알람부(41)를 통해 사용자 관리 화면에 경보 정보를 보내거나, 맥 주소 테이블(23)의 갱신을 막는 처리를 한다. 여기서, 맥 주소 테이블(23)의 갱신을 막는 것은, 해당되는 맥 주소 테이블을 일정 시간동안 갱신되지 않도록 설정함으로써, 기존 사용자가 서비스를 이용하는데 문제가 되지 않게 하는 것이다.

도 7은 일 실시예에 따른 ARP 스푸핑 방법의 순서도이다. 도 7에 도시된 바와 같이, ARP 스푸핑 시스템이 패킷을 수집한다(S1). 수집한 패킷의 IP 주소, 맥 주소 및 포트의 조합이 예를 들어 도 6에 도시된 바와 같은 ARP 데이터 구조(즉, 스푸프 리스트)와 일치하는지 판단한다(S3). 스푸프 리스트에 존재하면, 패킷을 버리고(S4), 스푸프 리스트에 존재하지 않으면 패킷 구조에서 작동 필드를 체크하여, ARP 패킷인지 판단한다(S5). ARP 패킷에 해당하면, DHCP/PIM 서버가 존재하는지 여부를 판단하여(S7), DHCP/PIM 서버가 존재하면, DHCP/PIM 서버로부터 서버 정보(IP할당 정보/그룹 할당 정보)를 수신한다(S9). 수집된 ARP 패킷의 IP 주소, 맥 주소 가 ARP/포트 테이블(25)에 존재하는지 판단하여(S11), ARP 패킷의 IP 주소, 맥 주소가 ARP/포트 테이블(25)에 존재하면, 패킷이 수집된 포트와 ARP/포트 테이블(25)에 저장된 포트가 일치하는지 판단한다(S13). 판단결과 일치하면, 정상 ARP로 간주하여 처리하고(S14), 일치하지 않으면 서버 정보(IP할당 정보/그룹 할당 정보)의 IP 주소, 맥 주소가 ARP 패킷의 IP 주소, 맥 주소와 일치하는지 판단하여(S15), 일치하면 ARP/포트 테이블(25)에 저장된 기존 ARP를 스푸핑으로 간주하고(S16), 수집된 패킷의 IP 주소와 맥 주소 및 수집된 포트로 ARP/포트 테이블(25)을 갱신한다(S17). 그러나, 서버 정보(IP할당 정보/그룹 할당 정보)의 IP 주소, 맥 주소가 ARP 패킷의 IP 주소, 맥 주소와 일치하지 않으면, 수집된 패킷을 ARP 스푸핑 패킷으로 간주하고(S18), 설정된 서비스 제한 처리를 수행한다(S19).

한편, DHCP/PIM 서버가 존재하지 않으면, 패킷이 수집된 포트와 ARP/포트 테이블(25)에 저장된 포트가 일치하는지 판단한다(S21). 판단결과 일치하면, 정상 ARP로 간주하여 처리하고, 일치하지 않으면, 수집된 패킷을 ARP 스푸핑 패킷으로 간주하고(S23), 설정된 서비스 제한 처리를 수행한다(S25). 서비스 제한 처리의 일 실시예로, 스푸핑 감지부가 서비스 제한 결정부(35)를 설정하여, 블러킹 처리, 알람 처리, 맥 주소 테이블 고정 처리의 3가지 방식 중 하나를 이용하여 패킷의 처리를 제한한다. 즉, 서비스 제한 결정부(35)는 맥 주소 테이블(23)을 고정하여 갱신을 막는 처리를 하거나, 블러킹부(37)를 제어하여 ARP 스푸핑으로 판단된 해당 포트와 해당하는 맥 주소와 일치하는 패킷을 버리는 처리를 하거나, 알람부(41)를 통해 사용자 관리 화면에 경보 정보를 보낼 수 있다.

따라서, 일 실시예에 따르면, ARP 스푸핑을 감지할 때, ARP 테이블의 ARP 정보와 패킷이 입력되는 포트 정보를 이용하여 패킷의 ARP 스푸핑을 감지함으로써, 비정상적이거나, 악의적인 패킷들을 효과적으로 차단할 수 있다. 또한, 라우팅 장치내에 애플리케이션 서버가 존재하는 경우, ARP 스푸핑을 감지할 때, ARP 테이블의 정보와 수집된 패킷의 ARP 정보가 일치하고 포트 정보가 상이한 경우, 애플리케이션 서버의 IP 할당 정보와 다시 비교하여 일치하면 ARP 테이블에 저장된 기존 ARP를 스푸핑으로 간주하여 ARP 테이블의 기존 ARP를 현재 수집한 패킷의 ARP로 갱신하고, 일치하지 않으면 현재 패킷을 ARP 스푸핑 패킷으로 간주한다.

한편, 다른 실시예로서, 복수의 L2스위치가 L3스위치/라우터에 연결되거나, 복수의 L3스위치가 L3스위치/라우터에 연결되는 경우, 상위의 스위치/라우터는 하위의 스위치의 포트 정보를 알 수 없다. 따라서, 하위의 L2스위치가 맥 주소 정보를 IPC(Inter Process Communication)를 통해 상위의 L3스위치/라우터로 전달하거나, 하위의 L3스위치가 IPC(Inter Process Communication)를 통해 ARP 포트 정보를 상위의 L3스위치/라우터로 전달함으로써, L3스위치/라우터가 사용자 컴퓨터에 바로 연결되어 있지 않아도 본 실시예를 적용할 수 있다.

본 발명 및 그 다양한 기능적 구성요소들은 특정 실시예들로 설명되었으나, 본 발명은 하드웨어, 소프트웨어, 펌웨어, 미들웨어 또는 이들의 조합으로 구현될 수 있으며, 시스템, 서브시스템, 구성요소들 또는 이들의 서브 구성요소들로 활용될 수 있음을 이해해야 한다. 소프트웨어로 구현되는 경우, 본 발명의 요소들은 필요한 작업들을 수행하기 위한 명령어들/코드 세그먼트들이다. 프로그램 또는 코드 세그먼트들은 프로세서 판독 가능 매체와 같은 머신 판독 가능 매체, 컴퓨터 프로그램 제품 내에 저장될 수 있으며, 또는 캐리어 웨이브로 구체화되는 컴퓨터 데이터 신호 또는 캐리어에 의해 변조된 신호에 의해 전송 매체 또는 통신 링크를 통해 전송될 수 있다. 머신 판독 가능 매체 또는 프로세서 판독 가능 매체는 머신(예컨대, 프로세서, 컴퓨터 등)에 의해 판독되고 실행 가능한 형태로 정보를 저장 또는 전송할 수 있는 임의의 매체를 포함할 수 있다.

또한, 본 명세서에서는 본 발명이 일부 실시예들과 관련하여 설명되었지만, 본 발명이 속하는 기술분야의 당업자가 이해할 수 있는 본 발명의 정신 및 범위를 벗어나지 않는 범위에서 다양한 변형 및 변경이 이루어질 수 있다는 점을 알아야 할 것이다. 또한, 그러한 변형 및 변경은 본 명세서에 첨부된 특허청구의 범위 내에 속하는 것으로 생각되어야 한다.

이러한 구성에 의하여, L3스위치/라우터와 같은 라우팅 장치에서 ARP정보와 포트 정보를 이용하여 ARP 스푸핑을 감지하여 스푸핑 패킷을 처리함으로써 악의적인 패킷들을 효과적으로 차단 가능한 라우팅 장치의 스푸핑 감지 시스템 및 감지 방법이 제공된다. 또한, ARP 스푸핑 패킷에 대해, 블러킹 처리, 알람 처리, 맥 주소 테이블 고정 처리의 3가지 방식 중 하나를 선택하여 패킷의 처리를 제한할 수 있는 라우팅 장치의 스푸핑 감지 시스템 및 감지 방법이 제공된다.

Claims

맥 주소와 포트 정보를 저장하는 맥 주소 테이블을 포함하는 라우팅 장치의 에이알피(ARP) 스푸핑 감지 시스템으로서,

아이피 주소와 맥 주소 및 포트 정보가 저장되는 에이알피/포트 테이블과,

패킷을 수집하는 패킷 수집부와,

에이알피 스푸핑 패킷의 처리를 제한하는 서비스 제한 결정부와,

상기 패킷 수집부에서 수집된 패킷이 에이알피 패킷이면, 상기 수집된 패킷과 상기 에이알피/포트 테이블의 아이피 주소와 맥 주소 및 포트를 비교하여 모두 일치하면 정상 에이알피 패킷으로 간주하고,

상기 아이피 주소와 맥 주소가 동일하고 포트만이 상이하면, 상기 라우팅 장치에 연결된 애플리케이션 서버로부터 아이피 할당와 그룹 할당 정보 중 적어도 어느 하나를 포함하는 서버 정보를 수신하며, 상기 수집된 패킷의 아이피 주소와 맥 주소가 상기 서버 정보와 일치하지 않으면, 상기 수집된 패킷을 에이알피 스푸핑 패킷으로 간주하고, 상기 서비스 제한 결정부를 제어하여 상기 맥 주소 테이블이 일정 시간동안 갱신되지 않도록 제한하는 에이알피 스푸핑 감지부를 포함하는 라우팅 장치의 에이알피 스푸핑 감지 시스템.
제1항에 있어서,

상기 에이알피/포트 테이블을 갱신하기 위한 테이블 갱신부를 더 포함하며,

상기 에이알피 스푸핑 감지부는,

상기 수집된 패킷의 아이피 주소와 맥 주소가 상기 서버 정보와 일치하면 상기 에이알피/포트 테이블에 저장된 기존의 에이알피를 스푸핑으로 간주하여, 상기 서비스 제한 결정부를 통해 상기 테이블 갱신부를 제어하여, 상기 수집된 패킷의 아이피와 맥 주소 및 포트 정보로 에이알피/포트 테이블을 갱신하는, 라우팅 장치의 에이알피 스푸핑 감지 시스템.
삭제
제2항에 있어서,

상기 에이알피 스푸핑 패킷을 차단하는 블러킹부를 더 포함하며,

상기 에이알피 스푸핑 감지부는, 상기 수집된 패킷의 아이피 주소와 맥 주소가 상기 애플리케이션 서버 정보와 일치하지 않으면, 상기 수집된 패킷을 에이알피 스푸핑 패킷으로 간주하고, 상기 서비스 제한 결정부를 통해 상기 블러킹부를 제어하여, 해당하는 포트 및 맥 주소와 일치하는 패킷을 버리는, 라우팅 장치의 에이알피 스푸핑 감지 시스템.
제4항에 있어서,

ARP 스푸프 정보가 저장되는 스푸프 리스트 저장부와,

상기 수집된 패킷의 IP 주소, 맥 주소 및 포트가 상기 스푸프 리스트 저장부에 저장되어 있으면 상기 서비스 제한 결정부를 통해 상기 블러킹부를 제어하여, 상기 수집된 패킷을 버리는, 라우팅 장치의 에이알피 스푸핑 감지 시스템.
제2항에 있어서,

상기 애플리케이션 서버는 멀티캐스트 서버와 DHCP 서버 중 적어도 어느 하나를 포함하는, 라우팅 장치의 에이알피 스푸핑 감지 시스템.
아이피 주소와 맥 주소 및 포트 정보가 저장되는 에이알피/포트 테이블과 맥 주소 테이블을 포함하는 라우팅 장치의 에이알피 스푸핑 감지 방법으로서,

패킷을 수집하는 단계,

상기 패킷이 에이알피 패킷인지 판단하는 단계,

상기 패킷이 에이알피 패킷이면 상기 패킷의 아이피 주소와 맥 주소 및 포트를 상기 에이알피/포트 테이블과 비교하는 단계,

상기 수집된 패킷과 상기 에이알피/포트 테이블의 아이피 주소와 맥 주소 및 포트가 모두 일치하면 정상 에이알피 패킷으로 처리하는 단계,

상기 수집된 패킷과 상기 에이알피/포트 테이블의 아이피 주소와 맥 주소가 동일하고 포트만이 상이하면 상기 라우팅 장치에 연결된 애플리케이션 서버로부터 아이피 할당 정보와 그룹 할당 정보 중 적어도 어느 하나를 포함하는 서버 정보를 수신하는 단계,

상기 수집된 패킷의 아이피 주소와 맥 주소가 상기 서버 정보와 일치하지 않으면, 상기 수집된 패킷을 에이알피 스푸핑 패킷으로 간주하는 단계, 및

상기 맥 주소 테이블이 일정 시간동안 갱신되지 않도록 하는 단계를 포함하는, 라우팅 장치의 에이알피 스푸핑 감지 방법.
제7항에 있어서,

상기 수집된 패킷의 아이피 주소와 맥 주소가 상기 애플리케이션 서버의 서버 정보와 일치하는지 판단하는 단계와,

상기 판단결과 일치하면 상기 에이알피/포트 테이블에 저장된 기존의 에이알피를 스푸핑으로 간주하고, 상기 수집된 패킷의 아이피와 맥 주소로 에이알피/포트 테이블을 갱신하는 단계를 더 포함하는, 라우팅 장치의 에이알피 스푸핑 감지 방법.
삭제
제8항에 있어서,

상기 수집된 패킷의 아이피 주소와 맥 주소가 상기 서버 정보와 일치하지 않으면, 상기 수집된 패킷을 에이알피 스푸핑 패킷으로 간주하는 단계와,

해당하는 포트 및 맥 주소와 일치하는 패킷을 버리는 단계를 더 포함하는, 라우팅 장치의 에이알피 스푸핑 감지 방법.
제7항에 있어서,

에이알피 스푸프 정보가 저장되는 스푸프 리스트를 마련하는 단계와,

상기 수집된 패킷의 아이피 주소와 맥 주소 및 포트가 상기 스푸프 리스트에 저장되어 있으면 상기 수집된 패킷을 버리는 단계를 더 포함하는, 라우팅 장치의 에이알피 스푸핑 감지 방법.
제8항에 있어서,

상기 애플리케이션 서버는 멀티캐스트 서버와, DHCP 서버 중 적어도 어느 하나를 포함하는, 라우팅 장치의 에이알피 스푸핑 감지 방법.
제7항 내지 제8항, 제10항 내지 제12항 중 어느 한 항의 방법을 수행하는 컴퓨터 실행가능 명령어들을 저장하는 컴퓨터 판독가능 저장매체.