KR100924310B1

KR100924310B1 - 공격 패킷 차단 장치와 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치 및 라우터

Info

Publication number: KR100924310B1
Application number: KR1020090009546A
Authority: KR
Inventors: 남재권
Original assignee: 오픈스택 주식회사
Priority date: 2009-02-06
Filing date: 2009-02-06
Publication date: 2009-10-29

Abstract

본 발명은 공격 패킷 차단 장치와 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치 및 라우터에 관한 것으로 더욱 상세하게는 SIP(Session Initiation Protocol)와 RTP(Real Time Protocol)를 사용하는 멀티미디어 통화 서비스에서 공격 멀티미디어 패킷을 효과적으로 차단할 수 있는 공격 패킷 차단 장치와 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치 및 라우터에 관한 것이다.

본 발명에 따른 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치는 네트워크를 통해 수신되는 패킷을 분석하여 지정된 경로로 수신되는 패킷만을 수신 허용하고 이외의 패킷을 차단하되, 네트워크를 통해 전송되는 패킷을 수신하여 출력하고 통화시 음성/영상 및 데이터 패킷을 통화 연결된 상대방 단말기로 송출하는 송수신부와; 공격 패킷 차단을 위한 수신 허용 정보가 저장되는 액세스 컨트롤 리스트(ACL: Access Control List)와; 멀티미디어 통화 장치로부터 전송되는 대기 또는 통화 상태와 대응되는 수신 허용 정보를 수신하여 상기 ACL에 재설정하는 수신 허용 정보 설정부와; 상기 송수신부를 통해 수신된 패킷을 분석하여 상기 ACL에 저장된 수신 허용 정보와 비교하고, 비교 결과에 따라 해당 패킷을 허용 또는 차단하는 제어부를 포함하여 구성된다.

Description

공격 패킷 차단 장치와 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치 및 라우터{Apparatus, multi-media communication terminal and router that can drop attacking packets}

인터넷 기반의 네트워크 기술의 발달로 인하여 종래의 공중전화교환망(PSTN)에서 VoIP(Voice over Internet Protocol), V2IP(Voice and Video over IP) 방식에 의한 통화가 세계적으로 점차로 증가하고 있는 추세이다. VoIP/V2IP 는 IP 망에서 음성, 영상 또는 데이터를 송수신하여 통화를 가능하게 하는 통신기술로써 확장성이 뛰어나며 기존 PSTN 전화에 비하여 요금도 저렴한 장점이 있다. 기존에는 주로 음성만을 지원하는 VoIP/V2IP가 주류를 이루었으나 최근 네트워크 망이 고도화되고 영상을 처리할 수 있는 효율적인 SoC(System on Chip) 들이 등장함에 따라 영상까 지 지원을 하는 V2IP도 점차 증가 추세에 있다. V2IP 는 MoIP(Multimedia over IP)라 하기도 한다.

VoIP/V2IP의 프로토콜은 H.323, SIP, MGCP, MEGACO가 있는데, 현재 우리나라에서는 기존의 주류인 H.323에서 SIP로 전환되고 있는 추세이다. VoIP/V2IP 서비스를 구현하는 방법은 다이얼 패드처럼 단순히 컴퓨터만 있으면 되는 경우도 있고, 시스코(CISCO) 등 전문 네트워크 장비회사에서 판매하는 IP전화기나 전용 라우터 등을 사용할 수도 있다. 이러한 VoIP/V2IP 단말기는 VoIP/V2IP 서비스 사업자별로 계정을 부여받아 설정하여 사용할 수 있다.

상술한 VoIP/V2IP를 이용한 멀티미디어 통화의 패킷은 RTP를 통해 전송되며, 통화를 위한 세션 설정은 H.323 또는 SIP에 의해 이루어지고 있다. 이렇게 통화 패킷이 전송되거나 세션 설정을 하는 과정에서 임의의 SIP 메세지 또는 RTP 패킷이 데이터 흐름상에 침투하여 대기 중이거나 통화 중인 VoIP/V2IP 단말기에서 장애를 일으키는 경우가 발생하는데 이렇게 임의의 SIP 메세지 또는 RTP 패킷을 통해 이루어지는 장애를 DoS(Denial of Service) 공격이라 한다.

DoS(Denial of Service) 공격의 대표적인 예로는 SIP Flooding 공격과, RTP Flooding, RTP Injection 공격 등이 있다. SIP Flooding 공격은 VoIP/V2IP 단말기에 다수의 SIP 메세지를 보냄으로써, VoIP/V2IP 단말기가 정상적으로 동작하지 못하게 하여 VoIP/V2IP 단말기를 다운시키는 공격 유형이다.

RTP Flooding 공격은 통화중인 VoIP/V2IP 단말기에 다수의 RTP 패킷을 보냄으로써, 그 패킷 처리량으로 인하여 VoIP/V2IP 단말기를 다운시키거나 통화에 장애 를 일으키는 공격 유형이다.

RTP Injection 공격은 통화중인 VoIP/V2IP 단말기에 통화 상대방이 아닌 다른 VoIP/V2IP 단말기의 RTP 패킷이 수신되어 통화자 사이의 통화가 방해되는 공격 유형이다.

이러한 다양한 DoS(Denial of Service) 공격을 방지하고자 VoIP/V2IP 단말기단에서 SIP 메세지나 RTP 패킷을 소프트웨어적으로 차단하는 방법이 사용되었다. 이러한 종래의 방법은 VoIP/V2IP 단말기가 수신된 SIP 메세지나 RTP 패킷을 확인하고, 해당 SIP 메세지나 RTP 패킷이 적법한 경로를 통해 전송된 것일 경우 패스하고 그렇지 않을 경우 차단하는 것이다.

이때 VoIP/V2IP 단말기는 차단 대상이 되는 IP/PORT 정보를 등록/관리하는 블랙리스트를 구비하고, 수신된 SIP 메세지나 RTP 패킷을 전송한 단말기의 IP/PORT 정보를 블랙리스트로부터 검색하여 블랙리스트에 존재하는 경우 이를 차단하는 방법을 사용하였다.

그러나 상술한 종래 기술은 물리적인 차단 방법이 아닌 소프트웨어적으로 차단하는 방법이고, VoIP/V2IP 단말기가 수신된 다수의 SIP 메세지나 RTP 패킷을 일일이 블랙리스트에 존재하는지 확인하여야 하므로 VoIP/V2IP 단말기의 자원 사용 효율에 영향을 주게 되며, 이에 따라 VoIP/V2IP 단말기의 본질 기능인 멀티미디어 통화에 영향을 미칠 수 있는 단점을 갖는다.

본 발명은 이러한 문제점을 해결하기 위해 창안된 것으로 그 목적은 별도의 공격 패킷을 차단할 수 있는 공격 패킷 차단 장치를 멀티미디어 통화 장치 또는 라우터에 부가함으로써, 소프트웨어적으로 차단하는 것이 아닌 물리적으로 공격 패킷을 차단하여 멀티미디어 통화 장치의 자원 사용 효율 저하 없이 효과적으로 공격 패킷을 차단할 수 있는 공격 패킷 차단 장치와 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치 및 라우터를 제공하는 데 있다.

나아가, 멀티미디어 통화 장치의 통화 또는 대기 여부에 따라 서로 다른 규칙을 통해 효과적으로 공격 패킷을 차단하도록 하여 차단 효율을 증가시킬 수 있는 공격 패킷 차단 장치와 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치 및 라우터를 제공하는 데 있다.

상술한 본 발명에 따른 공격 패킷 차단 장치는 네트워크를 통해 수신되는 패킷을 분석하여 지정된 경로로 수신되는 패킷만을 수신 허용하고 이외의 패킷을 차단하되, 네트워크를 통해 전송되는 패킷을 수신하여 출력하고 통화시 음성/영상 및 데이터 패킷을 통화 연결된 상대방 단말기로 송출하는 송수신부와; 공격 패킷 차단을 위한 수신 허용 정보가 저장되는 액세스 컨트롤 리스트(ACL: Access Control List)와; 멀티미디어 통화 장치로부터 전송되는 대기 또는 통화 상태와 대응되는 수신 허용 정보를 수신하여 ACL에 재설정하는 수신 허용 정보 설정부와; 송수신부 를 통해 수신된 패킷을 분석하여 ACL에 저장된 수신 허용 정보와 비교하고, 비교 결과에 따라 해당 패킷을 허용 또는 차단하는 제어부를 포함하여 구성된다.

여기서 수신 허용 정보는 패킷을 송출한 소스 IP 및 포트, 해당 패킷을 수신할 목적지 IP 및 포트 정보로 구현된다. 제어부는 송수신부에 의해 패킷이 수신되면 해당 패킷을 분석하여 ACL에 저장된 수신 허용 정보를 확인하고, 확인 결과에 따라 ACL에 저장된 수신 허용 정보 이외의 경로를 통해 수신된 패킷은 차단한다.

이에 따라 본 발명에 따른 공격 패킷 차단 장치는 물리적으로 공격 패킷을 차단하여 멀티미디어 통화 장치의 자원 사용 효율 저하 없이 효과적으로 공격 패킷을 차단할 수 있도록 한다.

또한, 본 발명에 따른 공격 패킷 차단 장치는 멀티미디어 통화 장치 또는 라우터에 물리적으로 결합되어 수신되는 공격 패킷을 차단할 수 있다. 공격 패킷 차단 장치가 멀티미디어 통화 장치에 물리적으로 결합된 경우에는 멀티미디어 통화 장치의 CPU와 공격 패킷 차단 장치는 로컬 버스 등으로 연결될 수 있으며, 라우터에 공격 패킷 차단 장치가 물리적으로 결합되어 있는 경우에는 멀티미디어 통화 장치와 공격 패킷 차단 장치는 네트워크로 연결되어 있다.

부가적으로 라우터에 존재하는 공격 패킷 장치의 ACL에는 해당 라우터와 연결된 다수의 멀티미디어 통화 장치별 수신 허용 정보가 저장된다.

또한, 본 발명에 따른 공격 패킷 차단 장치는 통화 또는 대기 상태에 따라 서로 다른 수신 허용 정보를 갱신 저장하고, 이에 따라 수신된 패킷을 차단한다. 공격 패킷 차단 장치는 탑재된 멀티미디어 통화 장치가 통화 대기 상태일 경우에는 등록된 프록시 서버 IP로부터 전송되는 SIP 메세지만을 통과시키고 나머지 IP를 가진 SIP 메세지는 차단시킨다.

한편, 통화중일 경우에 공격 패킷 차단 장치는 수신되는 SIP 메세지가 등록된 프록시 서버의 IP 또는 통화중인 상대방 단말기의 IP를 가진 SIP 메세지만을 통과시키고, RTP 패킷의 경우 상대방 단말기의 IP를 가진 RTP 패킷만을 선별적으로 통과시키고 나머지 패킷에 대해서는 전부 차단한다. 또한, 통화가 종료되면, 공격 패킷 차단 장치는 다시 대기 상태의 수신 허용 정보를 ACL에 재설정한다.

본 발명에 따른 공격 패킷 차단 장치와 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치 및 라우터는 소프트웨어적으로 차단하는 것이 아닌 물리적으로 공격 패킷을 차단하여 멀티미디어 통화 장치의 자원 사용 효율 저하 없이 효과적으로 공격 패킷을 차단할 수 있는 장점을 갖는다.

본 발명에 따른 공격 패킷 차단 장치와 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치 및 라우터는 멀티미디어 통화 장치의 통화 또는 대기 여부에 따라 서로 다른 규칙을 통해 효과적으로 공격 패킷을 차단하도록 하여 차단 효율을 증가시킬 수 있는 장점을 갖는다.

전술한, 그리고 추가적인 본 발명의 양상들을 첨부된 도면을 참조하여 설명되는 바람직한 실시 예들을 통하여 더욱 명백해질 것이다. 이하에서는 본 발명을 이러한 실시 예를 통해 당업자가 용이하게 이해하고 재현할 수 있도록 상세히 설명 하기로 한다.

도 1은 본 발명의 바람직한 일 실시 예에 따른 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치를 포함하는 멀티미디어 통화 시스템을 개략적으로 도시한 개요도이다. 도시된 바와 같이, 본 발명에 따른 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치를 포함하는 멀티미디어 통화 시스템은 상대방 단말기(100)와 본 발명에 따른 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치(300)와, 프록시 서버(Proxy Server)(200)를 포함하여 구성된다.

상대방 단말기(100)는 예를 들면, VoIP/V2IP를 통해 음성/영상 통화 및 데이터의 송수신이 가능하고, 그 외관이 전화기와 유사한 VoIP/V2IP 전용 단말기로 구현될 수 있으며, 부가적으로는 가령 예를 들면 이에 국한하지는 않지만 인터넷과 연결된 퍼스널 컴퓨터, 랩탑(laptop), 모바일 기기, 스마트폰(smart phone), PMP, 내비게이션(navigation) 등으로도 구현될 수도 있다.

프록시 서버(200)는 클라이언트와 서버 사이에서 데이터를 중계하는 역할을 하는 서버로써, 클라이언트가 자신을 통해서 다른 네트워크 서비스에 간접적으로 접속할 수 있게 해 주는 네트워크 서비스를 제공하는 서버이다. 서버와 클라이언트 사이에서 중계기로서 대리로 통신을 수행하는 기능을 가리켜 '프록시', 그 중계 기능을 하는 것을 프록시 서버(200)라고 부른다.

본 발명에서 프록시 서버(200)는 상대방 단말기(100)로부터 전송되는 SIP 메세지 또는 RTP 패킷을 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치(300)로 전송하고, 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치(300)로부터 전송되는 SIP 메세지 또는 RTP 패킷을 상대방 단말기(100)로 전송한다.

프록시 서버(200)를 통해 송수신 되는 SIP(Session Initiation Protocol) 메세지 또는 RTP(Real Time Protocol) 패킷은 발신지의 IP 및 Port 정보와 도착지의 IP 및 Port 정보가 헤더에 기재되어 있다. 이에 따라 프록시 서버(200)는 예를 들면, SIP 메세지 또는 RTP 패킷을 수신하여 목적지 IP 및 Port를 확인하여 전송한다.

도 1을 참조하여 설명하면, 상대방 단말기(100)가 본 발명에 따른 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치(300)와 통화 연결을 위한 SIP 메세지를 송출하면, 프록시 서버(200)는 해당 SIP 메세지를 수신하여 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치(300)로 전송한다. 이때 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치(300)로 전송되는 SIP 메세지에는 전송자의 IP, 프록시 서버(200)의 IP가 포함되어 있다. 이에 따라 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치(300)는 SIP 메세지를 확인하여 상대방 단말기(100)와 영상 통화를 위한 세션을 설정함으로써, 영상 통화가 이루어지도록 한다.

공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치(300)는 상대방 단말기(100)와 그 외부 형상이 유사하고, VoIP/V2IP를 통해 음성/영상 통화 및 데이터의 송수신을 통해 영상 통화가 가능한 VoIP/V2IP 전용 단말기로 구현될 수 있으며, 네트워크를 통해 프록시 서버(200)로부터 전송되는 패킷을 수신하여 분석하고 지정된 경로로 수신되는 패킷만을 수신 허용하는 공격 패킷 차단 장치를 구비하고 있다.

도 2는 본 발명의 바람직한 일 실시 예에 따른 공격 패킷 차단 장치를 포함하는 멀티미디어 통화 장치를 개략적으로 도시한 블럭도이다. 도시된 바와 같이, 본 발명에 따른 공격 패킷 차단 장치를 포함하는 멀티미디어 통화 장치(300)는 크게 음성, 영상 통화를 위한 전화기의 기본 구성과, 화자의 영상을 촬상하여 출력하는 카메라(313)와, 화자의 음성을 입력받아 출력하고, 다자간 영상 통화 또는 영상 회의시 상대방의 음성 데이터를 수신하여 출력하는 음성 입출력부(314)와, 수신된 영상 데이터를 디스플레이하는 표시부(315)와, 통화 연결된 다수의 VoIP/V2IP 단말기로부터 수신되는 영상 및/또는 음성 데이터 또는 카메라(313)와 음성 입출력부(314)에 의해 입력되는 영상 및/또는 음성 데이터를 처리하는 데이터 처리부(316)와, 영상 통화 전반을 제어하는 통화 제어부(317)를 포함하는 영상 통화 수단(310)과; 네트워크를 통해 수신되는 패킷을 분석하여 지정된 경로로 수신되는 패킷만을 수신 허용하고, 이외의 패킷을 차단하는 공격 패킷 차단 장치(330)를 포함한다.

전화기의 기본 구성은 착신 신호 수신 시 사용자에게 알리는 벨, 전화를 받고 끊음을 위한 후크, 전화 번호 또는 사용자의 조작 명령의 입력을 위한 다수의 숫자키와 기능키를 포함하는 입력 버튼(312) 등이 될 수 있다. 또한, 공격 패킷 차단 장치(330), 상대방 단말기(100) 및 프록시 서버(200)와 SIP 메세지 또는 RTP 패킷을 송수신하기 위한 통신부(311)를 포함한다.

카메라(313)는 예들 들면, 퍼스널 컴퓨터 또는 랩톱에 사용될 수 있는 웹 캠으로 구현될 수 있으며, 추가로 구매하여 멀티미디어 통화 장치(300)에 탈부착 될 수도 있으나 더욱 바람직하게는 멀티미디어 통화 장치(300)에 일체로 구비될 수 있다. 카메라(313)는 멀티미디어 통화 장치(300) 사용자의 영상을 촬영하여 데이터 처리부(316)로 송출한다.

음성 입출력부(314)는 멀티미디어 통화 장치(300)의 송수화기와 유사하게 형성될 수 있으며, 멀티미디어 통화 장치(300)가 가령 퍼스널 컴퓨터 또는 랩탑 컴퓨터 등으로 구현될 경우 컴퓨터에 연결된 마이크, 스피커와 같은 음성 입출력 수단이 될 수 있다.

음성 입출력부(314)는 멀티미디어 통화 장치(300)의 사용자로부터 입력되는 가청음을 전기적인 신호로 변환하여 데이터 처리부(316)로 송출하고, 통신부(311)를 통해 데이터 처리부(316)에 의해 처리된 음성 데이터를 수신하여 가청음으로 변환하여 출력한다.

표시부(315)는 예를 들면, LCD와 같은 액정표시장치로 구현될 수 있으며, 멀티미디어 통화 장치(300)가 퍼스널 컴퓨터, 랩탑(laptop)로 구현될 경우 해당 컴퓨터와 연결된 모니터가 될 수 있다. 표시부(315)는 상대방 단말기(100)로부터 전송되는 사용들의 영상 또는 동영상, 이미지와 같은 영상 데이터가 표시되며, 멀티미디어 통화 장치(300)의 사용 상태를 디스플레이하게 된다.

데이터 처리부(316)는 예를 들면, 디지털 신호 처리를 위한 DSP(Digital Signal Processor)로 구현될 수 있으며, 사용자 단말기로부터 전송되는 RTP 패킷을 디코딩하여 영상이나 동영상, 이미지와 같은 영상 데이터와 음성 데이터를 출력한다.

통화 제어부(317)는 예들 들면, 연산을 위한 마이크로 프로세서와 그 주변 회로가 물리적으로 하나의 칩에 집적화된 마이크로 컨트롤러로 구현될 수 있으며, 영상 통화 수단(310) 전반을 제어하여 음성/영상 통화 및 데이터의 송수신이 이루어지도록 한다.

이러한 영상 통화 수단(310)은 이미 공지되어 사용되고 있는 구성이므로 영상 통화 과정과 같은 상세한 설명은 생략하기로 한다.

공격 패킷 차단 장치(330)는 네트워크를 통해 수신되는 패킷을 분석하여 지정된 경로로 수신되는 패킷만을 수신 허용하고, 이외의 패킷을 차단하는 공격 패킷 차단한다. 이러한 공격 패킷 차단 장치(330)는 네트워크를 통해 전송되는 패킷을 수신하여 출력하고 통화시 음성/영상 및 데이터 패킷을 통화 연결된 상대방 단말기(100)로 송출하는 송수신부(331)와, 공격 패킷 차단을 위한 수신 허용 정보가 저장되는 액세스 컨트롤 리스트(ACL: Access Control List)(332)와, 송수신부(331)를 통해 수신된 패킷을 분석하여 ACL(332)에 저장된 수신 허용 정보와 비교하고 비교 결과에 따라 해당 패킷을 허용 또는 차단하는 제어부(333)를 포함한다.

송수신부(331)는 예를 들면, 네트워크 모듈로 구현될 수 있으며, 프록시 서버(200)를 통해 전송되는 SIP 메세지 또는 RTP 패킷을 수신하여 제어부(333)로 송출하고, 영상 통화 수단(310)으로부터 전송되는 음성/영상 및 데이터 패킷을 상대방 단말기(100)로 전송하기 위해 프록시 서버(200)로 전송한다.

액세스 컨트롤 리스트(ACL)(332)는 공격 패킷 차단을 위한 수신 허용 정보가 저장되며, 더욱 구체적으로는 송수신부(331)로부터 전송되는 SIP 메세지 또는 RTP 패킷을 선택적으로 차단하기 위한 규칙 목록이다. 여기서 ACL(332)에 저장되는 수신 허용 정보는 패킷을 송출한 소스 IP 및 포트, 해당 패킷을 수신할 목적지 IP 및 포트 정보를 포함한다. 이러한 ACL(332)은 제어부(333)로부터 전송되는 수신 허용 정보를 저장하고, 저장된 수신 허용 정보는 제어부(333)에 의해 액세스 제어된다.

제어부(333)는 예들 들면, 연산을 위한 마이크로 프로세서와 그 주변 회로가 물리적으로 하나의 칩에 집적화된 마이크로 컨트롤러로 구현될 수 있으며, 송수신부(331)에 의해 수신된 SIP 메세지 또는 RTP 패킷을 분석하여 해당 SIP 메세지 또는 RTP 패킷에 포함된 패킷을 송출한 소스 IP 및 포트, 해당 패킷을 수신할 목적지 IP 및 포트 정보를 추출하고, 추출된 정보를 ACL(332)에서 조회하여 수신 허용 정보에 존재할 경우 해당 SIP 메세지 또는 RTP 패킷을 영상 통화 수단(310)의 통화 제어부(317)로 전송하고, ACL(332)에 존재하지 않으면 차단한다.

따라서, 지정된 경로 즉, ACL(332)에 저장된 수신 허용 정보와 동일한 IP 및 Port를 가진 송신자로부터 전송되는 SIP 메세지 또는 RTP 패킷만을 영상 통화 장치로 전송하고, 나머지 SIP 메세지 또는 RTP 패킷은 공격 패킷으로 간주하여 차단함으로써, 소프트웨어적으로 차단하는 것이 아닌 물리적으로 공격 패킷을 차단하여 멀티미디어 통화 장치(300)의 자원 사용 효율 저하 없이 효과적으로 공격 패킷을 차단할 수 있는 장점을 갖는다.

본 발명의 추가적인 양상에 따라 본 발명에 따른 공격 패킷 차단 장치(330)는 음성 및/또는 영상 통화를 위한 영상 통화 수단(310)으로부터 전송되는 대기 또 는 통화 상태와 대응되는 수신 허용 정보를 수신하여 ACL(332)에 재설정하는 수신 허용 정보 설정부(334)를 더 포함한다.

또한, 수신 허용 정보 설정부(334)는 통화 완료시 영상 통화 수단(310)으로부터 전송되는 통화 완료 신호에 따라 대기 상태와 대응되는 수신 허용 정보를 ACL(332)에 재설정하는 것을 특징으로 한다.

통화 제어부(317)는 통화중이 아닌 대기(Idle) 상태일 경우에 송수신부(331)를 통해 수신된 SIP 메세지 또는 RTP 패킷 중 프록시 서버(200)를 통해서만 즉, 프록시 서버(200)의 IP를 가진 SIP 메세지 또는 RTP 패킷만을 수신을 허용하고, 프록시 서버(200)의 IP가 아닌 SIP 메세지 또는 RTP 패킷은 차단하도록 대기 상태의 수신 허용 정보를 수신 허용 설정부로 출력한다.

이는 대기 상태일 경우 본 발명에 따른 멀티미디어 통화 장치(300)로 수신되는 공격 패킷이 아닌 SIP 메세지 또는 RTP 패킷은 프록시 서버(200)로부터 전송되는 SIP 메세지 또는 RTP 패킷뿐이기 때문이다. 이에 따라 통화 제어부(317)는 대기 상태일 경우 규칙 1과 같은 규칙 목록을 공격 패킷 차단 장치(330)로 전송하고, 공격 패킷 차단 장치(330)의 수신 허용 정보 설정부(334)는 이를 수신하여 ACL(332)에 등록한다.

[규칙 1]

if ((destination IP == ip1 && destination port == port1) && source ip != ip2)) {drop the packets}

규칙 1에서는 destination IP가 ip1이고 destination port가 port1 이며, source ip가 ip2가 아닐 경우에는 수신된 패킷을 차단하도록 되어 있다. 즉, 대기 상태에서는 ip2를 가지는 프록시 서버(200)로부터 전송되는 이외의 패킷은 전부 차단하도록 하는 것이다.

또한, 수신 허용 정보 설정부(334)는 통화 상태 즉, 도 1에서 상대방 단말기(100)와 본 발명에 따른 멀티미디어 통화 장치(300)가 통화중일 경우에 프록시 서버(200)와 상대방 단말기(100)로부터 전송되는 SIP 메세지 또는 RTP 패킷만을 수신이 허용되도록 통화 상태의 수신 허용 정보를 수신 허용 설정부로 출력한다.

이는 통화 상태일 경우 본 발명에 따른 멀티미디어 통화 장치(300)로 수신되는 공격 패킷이 아닌 SIP 메세지 또는 RTP 패킷은 프록시 서버(200)와 통화 연결된 상대방 단말기(100)로부터 전송되는 SIP 메세지 또는 RTP 패킷뿐이기 때문이다. 이에 따라 통화 제어부(317)는 통화 상태일 경우 규칙 2와 같은 규칙 목록을 공격 패킷 차단 장치(330)로 전송하고, 공격 패킷 차단 장치(330)의 수신 허용 정보 설정부(334)는 이를 수신하여 ACL(332)에 등록한다.

[규칙 2]

if ((destination IP == ip1 && destination port == port1) && (source ip != ip2 && source ip != ip3)) {drop the packets}

if ((destination IP == ip1 && destination port set A) && (source ip != ip3 )) {drop the packets}

규칙 2에서 통화 상태일 때 SIP Listening port로 들어오는 packet 인 경우는 source가 프록시 서버(200)의 IP, 혹은 상대방 단말기(100)의 IP인 경우만 수신을 허용하도록 하고 있다. 또한, RTP 패킷의 경우에는 본 발명의 멀티미디어 통화 장치(300)의 RTP Listening port로 들어오는 packet인 경우는 source가 상대방 단말기(100)의 RTP의 IP인 경우만 수신을 허용하도록 하고 있다.

즉, 통화 상태일 경우에 수신되는 SIP 메세지 또는 RTP 패킷 중 프록시 서버(200) 또는 상대방 단말기(100)로부터 전송되는 이외의 패킷은 전부 차단하도록 하는 것이다.

통화가 종료되면, 통화 제어부(317)는 대기 상태의 수신 허용 정보를 다시 수신 허용 정보 설정부(334)로 전송하여 다시 대시 상태에서의 공격 패킷을 차단하도록 한다.

이하에서는 상술한 본 발명의 바람직한 일 실시 예에 따른 공격 패킷 차단 장치(330)의 공격 패킷 차단 과정을 설명하기로 한다.

도 3은 본 발명의 바람직한 일실시 예에 따른 공격 패킷 차단 과정을 개략적으로 도시한 흐름도이다. 도시된 바와 같이, 공격 패킷 차단 장치(330)의 수신 허용 정보 설정부(334)는 통화 제어부(317)로부터 대기 상태의 수신 허용 정보가 수신되면(S101), 대기 상태의 수신 허용 정보를 ACL(332)에 등록한다(S103).

송수신부(331)는 SIP 메세지 또는 RTP 패킷이 수신되면(S105), 이를 제어부(333)로 출력하고, 제어부(333)는 해당 SIP 메세지 또는 RTP 패킷에 포함된 목적지 IP와 Port를 확인한다. 확인 결과 해당 SIP 메세지 또는 RTP 패킷의 목적지가 자신일 경우 source IP를 다시 확인하고, 해당 source IP가 ACL(332)에 저장된 source IP와 동일할 경우, 적법한 SIP 메세지 또는 RTP 패킷이라 판단하고(S107), 이를 영상 통화 수단(310)의 통화 제어부(317)로 출력한다(S109). 동일하지 않을 경우에는 해당 SIP 메세지 또는 RTP 패킷을 차단한다(S111).

통화 제어부(317)는 수신 허용된 SIP 메세지를 수신하여 상대방 단말기(100)와 통화를 위한 세션을 설정하고, 수신 허용 정보 설정부(334)로 통화 상태의 수신 허용 정보를 전송한다. 이때 통화 상태의 수신 허용 정보는 프록시 서버(200)와 통화 연결된 상대 단말기의 IP 및 Port 정보를 포함한다.

수신 허용 정보 설정부(334)는 통화 제어부(317)로부터 통화 상태의 수신 허용 정보가 수신되면(S113), 기 저장된 대기 상태의 수신 허용 정보를 ACL(332)에서 삭제하고, 통화 상태의 수신 허용 정보를 저장한다(S115).

통화 중에 송수신부(331)는 SIP 메세지 또는 RTP 패킷이 수신되면(S117), 이를 제어부(333)로 출력하고, 제어부(333)는 해당 SIP 메세지 또는 RTP 패킷에 포함된 목적지 IP와 Port를 확인한다. 확인 결과 해당 SIP 메세지 또는 RTP 패킷의 목적지가 자신일 경우 source IP와 Port를 다시 확인하고, 해당 source IP와 Port가 수신 허용 정보에 저장된 source IP 및 Port와 동일할 경우 적법한 SIP 메세지 또는 RTP 패킷이라 판단하고(S119), 이를 영상 통화 수단(310)의 통화 제어부(317)로 출력하고(S121), 동일하지 않을 경우 차단함으로써(S123), 공격 패킷의 영향 없이 연결된 상대방 단말기(100)와 음성/영상 및 데이터 통화가 가능하도록 한다.

통화가 종료되면, 통화 제어부(317)는 상대방 단말기(100)와 연결된 세션을 종료하고, 수신 허용 정보 설정부(334)로 다시 대기 상태의 수신 허용 정보를 전송한다. 이에 따라 수신 허용 정보 설정부(334)는 대기 상태의 수신 허용 정보가 수신되면(S125), 기 저장된 통화 상태의 수신 허용 정보를 ACL(332)에서 삭제하고, 대기 상태의 수신 허용 정보를 저장한다(S127).

멀티미디어 통화 장치(300)의 전원이 꺼지거나 사용자로부터 종료 명령이 입력되면, 공객 패킷 차단 장치(330)는 그 구동을 종료한다(S129).

본 발명의 또 다른 양상에 따라 본 발명에 따른 공격 패킷 차단 장치는 라우터에 물리적으로 위치하여 해당 라우터와 연결된 다수의 멀티미디어 통화 장치(300)로 공격 패킷이 전송되는 것을 효과적으로 차단할 수 있다. 도 4는 본 발명의 또 다른 양상에 따른 공격 패킷 차단 기능을 갖는 라우터를 포함하는 멀티미디어 통화 시스템을 개략적으로 도시한 개요도이다. 도시된 바와 같이, 본 발명의 또 다른 양상에 따른 공격 패킷 차단 장치(330)는 다수의 멀티미디어 통화 장치(300)와 연결된 라우터(500)에 위치할 수 있다. 이에 따라 본 발명의 공격 패킷 차단 기능을 가진 라우터(500)는 연결된 멀티미디어 통화 장치(300)별로 지정한 수신 허용 정보에 따라 네트워크를 통해 수신되는 패킷을 분석하여 지정한 경로로 수신되는 패킷만을 수신 허용하고 이외의 패킷을 차단하는 공격 패킷 차단 장치(330)를 포함하되, 공격 패킷 차단 장치(330)가 네트워크를 통해 전송되는 패킷을 수신하여 출력하고 멀티미디어 통화 장치(300)로부터 전송되는 음성/영상 및 데이터 패킷을 통화 연결된 상대방 단말기(100)로 송출하는 송수신부(511)와; 멀티미디어 통화 장치(300)별 수신 허용 정보가 저장되는 액세스 컨트롤 리스트(ACL: Access Control List)(512)와; 송수신부(511)를 통해 수신된 패킷을 분석하여 ACL(512)에 저장된 멀티미디어 통화 장치(300)별 수신 허용 정보와 비교하고 비교 결과에 따라 해당 패킷을 허용 또는 차단하는 제어부(513)를 포함한다.

부가적으로 공격 패킷 차단 통화 장치는 상기 멀티미디어 통화 장치로부터 전송되는 대기 또는 통화 상태와 대응되는 수신 허용 정보를 수신하여 상기 ACL(512)에 재설정하는 수신 허용 정보 설정부(514)를 더 포함한다.

본 발명의 또 다른 양상에 따른 공격 패킷 차단 기능을 갖는 라우터(500)에 구비된 공격 패킷 차단 장치(330)의 액세스 컨트롤 리스트(512)는 도 1 내지 도 3을 통해 설명한 멀티미디어 통화 장치(300)에 구비된 ACL(512)와는 달리 복수의 멀티미디어 통화 장치(300)별로 지정된 수신 허용 정보가 테이블 형식으로 저장된다. 즉, 멀티미디어 통화 장치(300)의 식별 정보별로 수신 허용 정보가 저장되는 것이다.

또한, 제어부(513) 역시 송수신부(511)를 통해 수신된 SIP 메세지 또는 RTP 패킷을 수신하여 해당 SIP 메세지 또는 RTP 패킷에서 destination IP과 Port를 추출하여 수신할 멀티미디어 통화 장치(300)를 판단한다. 멀티미디어 통화 장치(300)가 판단되면, 제어부(513)는 수신된 SIP 메세지 또는 RTP 패킷에 포함된 패킷을 송출한 소스 IP 및 포트 정보를 추출하고, 추출된 정보를 ACL(512)에서 조회하여 해당 멀티미디어 통화 장치(300)의 수신 허용 정보에 존재할 경우 해당 SIP 메세지 또는 RTP 패킷을 영상 통화 수단(310)의 통화 제어부(513)로 전송하고, ACL(512)에 존재하지 않으면 차단한다.

그외의 구성의 설명은 도 1 내지 도 3을 통해 설명한 따른 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치(300)와 동일하므로 그 상세한 설명은 생략하기로 하고, 이하에서는 상술한 본 발명의 바람직한 일 실시 예에 따른 공격 패킷 차단 기능을 갖는 라우터(500)의 공격 패킷 차단 과정을 설명하기로 한다.

본 발명의 또따른 양상에 따른 공격 패킷 차단 기능을 갖는 라우터(500)에서 이루어지는 공격 패킷 차단 과정을 설명하면 다음과 같다. 네트워크를 통해 해당 라우터(500)와 연결된 멀티미디어 통화 장치(300)로부터 대기 상태의 수신 허용 정보가 수신되면, 수신 허용 정보 설정부(514)는 해당 멀티미디어 통화 장치(300)의 식별 정보 예를 들면, 멀티미디어 통화 장치(300)의 IP 및 Port 또는 전화번호별로 대기 상태의 수신 허용 정보를 ACL(512)에 등록한다.

송수신부(511)는 통화 연결을 위한 SIP 메세지 또는 RTP 패킷이 상대방 단말기(100)로부터 수신되면, 이를 제어부(513)로 출력하고, 제어부(513)는 해당 SIP 메세지 또는 RTP 패킷에 포함된 목적지 IP와 Port를 확인하여, 자신에게 수신 허용 정보를 등록한 멀티미디어 통화 장치(300)를 판단한다.

해당 SIP 메세지 또는 RTP 패킷이 수신될 멀티미디어 통화 장치(300)가 선정되면, 해당 SIP 메세지 또는 RTP 패킷의 source IP를 다시 확인하고, 해당 source IP 수신 허용 정보에 저장된 source IP와 동일할 경우 적법한 SIP 메세지 또는 RTP 패킷이라 판단하고, 이를 선정된 멀티미디어 통화 장치(300)로 출력하고, 동일하지 않을 경우 차단한다.

멀티미디어 통화 장치(300)는 SIP 메세지를 수신하여 상대방 단말기(100)와 통화를 위한 세션을 설정하고, 수신 허용 정보 설정부(514)로 통화 상태의 수신 허용 정보를 전송한다. 이때 통화 상태의 수신 허용 정보는 프록시 서버(200)와 통화 연결된 상대 단말기의 IP 및 Port 정보를 포함한다.

수신 허용 정보 설정부(514)는 멀티미디어 통화 장치(300)로부터 통화 상태의 수신 허용 정보가 수신되면, 기 저장된 대기 상태의 수신 허용 정보를 ACL(512)에서 삭제하고, 통화 상태의 수신 허용 정보를 저장한다.

통화 중에 송수신부(511)는 SIP 메세지 또는 RTP 패킷이 수신되면, 이를 제어부(513)로 출력하고, 제어부(513)는 해당 SIP 메세지 또는 RTP 패킷에 포함된 목적지 IP와 Port를 확인한다. 확인 결과 해당 SIP 메세지 또는 RTP 패킷의 목적지가 현재 통화중인 멀티미디어 통화 장치(300)일 경우 source IP와 Port를 확인하고, source IP와 Port가 해당 멀티미디어 통화 장치(300)의 수신 허용 정보에 저장된 source IP 및 Port와 동일할 경우 적법한 SIP 메세지 또는 RTP 패킷이라 판단하며, 이를 멀티미디어 통화 장치(300)로 출력하고, 동일하지 않을 경우 차단함으로써, 공격 패킷의 영향 없이 연결된 상대방 단말기(100)와 음성/영상 및 데이터 통화가 가능하도록 한다.

통화가 종료되면, 멀티미디어 통화 장치(300)는 상대방 단말기(100)와 연결된 세션을 종료하고, 수신 허용 정보 설정부(514)로 다시 대기 상태의 수신 허용 정보를 전송한다. 이에 따라 수신 허용 정보 설정부(514)는 해당 멀티미디어 통화 장치(300)의 기 저장된 통화 상태의 수신 허용 정보를 ACL(512)에서 삭제하고, 대기 상태의 수신 허용 정보를 저장한다.

도 1은 본 발명의 바람직한 일 실시 예에 따른 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치를 포함하는 멀티미디어 통화 시스템을 개략적으로 도시한 개요도이다.

도 2는 본 발명의 바람직한 일 실시 예에 따른 공격 패킷 차단 장치를 포함하는 멀티미디어 통화 장치를 개략적으로 도시한 블럭도이다.

도 3은 본 발명의 바람직한 일실시 예에 따른 공격 패킷 차단 과정을 개략적으로 도시한 흐름도이다.

도 4는 본 발명의 또 다른 양상에 따른 공격 패킷 차단 기능을 갖는 라우터를 포함하는 멀티미디어 통화 시스템을 개략적으로 도시한 개요도이다.

Claims

네트워크를 통해 수신되는 패킷을 분석하여 지정된 경로로 수신되는 패킷만을 수신 허용하고, 이외의 패킷은 차단하는 공격 패킷 차단 장치를 포함하며, 상기 공격 패킷 차단 장치는 통화 완료시 통화 수단으로부터 전송되는 통화 완료 신호에 따라 대기 상태와 대응되는 수신 허용 정보를 액세스 컨트롤 리스트(ACL: Access Control List)에 재설정하는 것을 특징으로 하는 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치.
청구항 1에 있어서, 상기 공격 패킷 차단 장치가:

네트워크를 통해 전송되는 패킷을 수신하여 출력하고, 통화시 음성/영상 및 데이터 패킷을 통화 연결된 상대방 단말기로 송출하는 송수신부와;

공격 패킷 차단을 위한 수신 허용 정보가 저장되는 상기 ACL과;

상기 송수신부를 통해 수신된 패킷을 분석하여 ACL에 저장된 수신 허용 정보와 비교하고, 비교 결과에 따라 해당 패킷을 허용 또는 차단하는 제어부를 포함하는 것을 특징으로 하는 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치.
청구항 2에 있어서, 상기 수신 허용 정보가:

패킷을 송출한 소스 IP 및 포트, 해당 패킷을 수신할 목적지 IP 및 포트인 것을 특징으로 하는 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치.
청구항 3에 있어서, 상기 공격 패킷 차단 장치가:

음성 통화수단 또는 음성 및 영상 통화수단으로부터 전송되는 대기 또는 통화 상태와 대응되는 수신 허용 정보를 수신하여 상기 ACL에 재설정하는 수신 허용 정보 설정부를 더 포함하는 것을 특징으로 하는 공격 패킷 차단 기능을 갖는 멀티미디어 통화 장치.
삭제
연결된 멀티미디어 통화 장치별로 지정한 수신 허용 정보에 따라 네트워크를 통해 수신되는 패킷을 분석하여 지정한 경로로 수신되는 패킷만을 수신 허용하고, 이외의 패킷을 차단하는 공격 패킷 차단 장치를 포함하며, 상기 공격 패킷 차단 장치는 통화 완료시 통화 수단으로부터 전송되는 통화 완료 신호에 따라 대기 상태와 대응되는 수신 허용 정보를 액세스 컨트롤 리스트(ACL: Access Control List)에 재설정하는 것을 특징으로 하는 공격 패킷 차단 기능을 가진 라우터.
청구항 6에 있어서, 상기 공격 패킷 차단 장치가:

네트워크를 통해 전송되는 패킷을 수신하여 출력하고, 상기 멀티미디어 통화 장치로부터 전송되는 음성/영상 및 데이터 패킷을 통화 연결된 상대방 단말기로 송출하는 송수신부와;

상기 멀티미디어 통화 장치별 수신 허용 정보가 저장되는 상기 ACL과;

상기 송수신부를 통해 수신된 패킷을 분석하여 상기 ACL에 저장된 멀티미디어 통화 장치별 수신 허용 정보와 비교하고, 비교 결과에 따라 해당 패킷을 허용 또는 차단하는 제어부를 포함하는 것을 특징으로 하는 공격 패킷 차단 기능을 가진 라우터.
청구항 7에 있어서, 상기 수신 허용 정보가:

패킷을 송출한 소스 IP 및 포트, 해당 패킷을 수신할 목적지 IP 및 포트인 것을 특징으로 하는 공격 패킷 차단 기능을 가진 라우터.
청구항 8에 있어서, 상기 공격 패킷 차단 장치가:

상기 멀티미디어 통화 장치로부터 전송되는 대기 또는 통화 상태와 대응되는 수신 허용 정보를 수신하여 상기 ACL에 재설정하는 수신 허용 정보 설정부를 더 포함하는 것을 특징으로 하는 공격 패킷 차단 기능을 가진 라우터.
삭제
네트워크를 통해 수신되는 패킷을 분석하여 지정된 경로로 수신되는 패킷만을 수신 허용하고, 이외의 패킷을 차단하되,

네트워크를 통해 전송되는 패킷을 수신하여 출력하고, 통화시 음성/영상 및 데이터 패킷을 통화 연결된 상대방 단말기로 송출하는 송수신부와;

공격 패킷 차단을 위한 수신 허용 정보가 저장되는 액세스 컨트롤 리스트(ACL: Access Control List)와;

멀티미디어 통화 장치로부터 전송되는 대기 또는 통화 상태와 대응되는 수신 허용 정보를 수신하여 상기 ACL에 재설정하는 수신 허용 정보 설정부와;

상기 송수신부를 통해 수신된 패킷을 분석하여 상기 ACL에 저장된 수신 허용 정보와 비교하고, 비교 결과에 따라 해당 패킷을 허용 또는 차단하는 제어부를 포함하며,

통화 완료시 통화 수단으로부터 전송되는 통화 완료 신호에 따라 대기 상태와 대응되는 수신 허용 정보를 상기 ACL에 재설정하는 것을 특징으로 하는 공격 패킷 차단 장치.
청구항 11에 있어서, 상기 수신 허용 정보가:

패킷을 송출한 소스 IP 및 포트, 해당 패킷을 수신할 목적지 IP 및 포트인 것을 특징으로 하는 공격 패킷 차단 장치.