KR101034389B1 - 패킷 내 시그니처 위치에 따른 시그니처 검색 방법 - Google Patents

Abstract

패킷 내 시그니처 위치에 따른 시그니처 검색 방법이 개시된다. 시그니처 검색 방법은 패킷의 페이로드에서 시그니처(signature)와 비교될 서브 페이로드를 추출하는 단계; 추출된 서브 페이로드와 추출된 서브 페이로드의 페이로드 내 위치 정보인 오프셋(offset)으로 구성되는 검색 키를 생성하는 단계; 및 TCAM 엔트리에 생성된 검색 키가 매칭되는지 확인하기 위한 TCAM 매칭을 수행하는 단계;를 포함한다. 이에 의해 패킷 페이로드 내의 특정 위치에 존재해야 하는 시그니처 검색에 소요되는 시간을 단축할 수 있다.

Description

패킷 내 시그니처 위치에 따른 시그니처 검색 방법{Signature searching method according to signature location in packet}

네트워크 장치에 관한 것으로, 특히 네트워크 회선을 통해 입력되는 패킷의 페이로드 내 시그니처(signature)를 검색하는 방법에 관한 것이다.

최근 초고속 네트워크의 보급에 따른 보안 장비의 성능 요구 사항은 점점 높아가고 있다. 기존의 네트워크 장치는 패킷 내에 특정 시그니처 매칭을 통해 침입탐지, 패킷 필터 기능들을 수행한다. 이러한 기능은 소프트웨어 방식, 하드웨어와 소프트웨어 조합 방식, 하드웨어 방식을 통해 구현된다. 그리고 네트워크 속도의 증가 및 침입 방식의 다양화에 따라 시그니처 매칭에 관한 여러 요구사항들이 나오고 있고, 특히 고속 시그니처 매칭 처리 및 패킷 내의 특정 위치와 특정 범위에 따른 시그니처 매칭 기술이 요구되고 있으며, 이러한 요구사항을 만족시키기 위하여 여러가지 방법들이 논의되고 구현되고 있다.

특히 이와 같은 요구사항을 만족시키기 위하여, 방화벽이나 침입탐지시스템과 같은 고속 패킷 처리 시스템에서는 패킷과 보안 정책과의 일치 여부를 고속으로 알기 위하여 TCAM(Ternary Content Addressable Memory)과 같은 하드웨어 기술을 점차 적용하고 있다. TCAM은 패킷의 페이로드(payload) 내에서 시그니처(signature)를 고속으로 검색하기 위해 사용하는 것으로, TCAM에 시그니처를 설정하고 패킷의 헤더와 패이로드를 매칭시킴으로써 고속 시그니처 매칭을 구현하는데 사용하고 있다. 또한 시그니처 매칭한 결과를 토대로 매칭된 시그니처가 패킷의 특정 위치, 특정 범위에 매칭이 되었는지를 판단하기 위하여 시그니처 범위 검색 절차를 소프트웨어 및 하드웨어 기반으로 수행하고 있다. 이러한 TCAM 매칭 후 추가적으로 시그니처의 범위를 검색하기 때문에, 많은 검색 시간을 소요하게 되며, 고속의 성능을 요구하는 네트워크 장치에서 그 고속성을 저해하는 중요한 요인이 되고 있다.

시그니처 검색 및 시그니처 범위 검색을 하나의 단계로 처리함으로써, 시그니처 검색 및 시그니처 범위 검색에 소요되는 시간 단축을 통해 고속 시그니처 검색 방법을 제공함에 목적이 있다.

전술한 기술적 과제를 달성하기 위한 패킷 내 시그니처 검색 방법은 패킷의 페이로드에서 시그니처(signature)와 비교될 서브 페이로드를 추출하는 단계; 추출된 서브 페이로드와 추출된 서브 페이로드의 페이로드 내 위치 정보인 오프셋(offset)으로 구성되는 검색 키를 생성하는 단계; 및 TCAM 엔트리에 생성된 검색 키가 매칭되는지 확인하기 위한 TCAM 매칭을 수행하는 단계;를 포함한다. 여기서 TCAM 엔트리는 페이로드 내 시그니처가 위치해야 하는 정보인 오프셋과 시그니처로 구성됨을 특징으로 한다.

TCAM 엔트리에 시그니처와 오프셋을 설정함에 따라 한 단계의 TCAM 매칭으로 시그니처 검색 및 범위 검색을 동시에 수행함으로써, 시그니처 검색 및 시그니처 범위 검색에 소요되는 시간을 단축하여 고속으로 시그니처를 검색하는 효과가 창출한다.

전술한, 그리고 추가적인 본 발명의 양상들은 첨부된 도면을 참조하여 설명 되는 바람직한 실시예들을 통하여 더욱 명백해질 것이다. 이하에서는 본 발명을 이러한 실시예를 통해 당업자가 용이하게 이해하고 재현할 수 있도록 상세히 설명하기로 한다.

우선 다음과 같이 용어를 정의한다.

- 페이로드(payload) : 시그니처 유무를 확인하기 위한 대상이 되는 원본 데이터

- 시그니처(signature) : 매칭하고자 하는 데이터이며, TCAM 엔트리에 설정됨

- 서브 페이로드(sub payload) : 시그니처와 비교되는 데이터이며, 페이로드에서 시그니처 크기에 맞게 추출되는 데이터

- 오프셋(offset) : 패킷의 페이로드 내에서 시그니처가 위치해야 하는 정보이며, TCAM 엔트리에 설정됨

- 검색 키(search key) : 페이로드에서 추출한 서브 페이로드와 오프셋의 조합으로 시그니처 검색을 위한 데이터로 사용됨

도 1은 본 발명의 일 실시예에 따른 오프셋 구조도이다.

오프셋 항목은 효율적인 시그니처 검색을 위해 TCAM 엔트리에 시그니처가 페이로드 내에서 위치해야 하는 정보이며, TCAM 엔트리에 추가 설정된다. 일 예로, 페이로드 길이가 1500byte라고 가정하면, TCAM 엔트리 및 search key에 설정되는 오프셋은 도 1에 도시된 바와 같이 총 35bit가 된다. 도 1에 도시된 오프셋은 제1 비트군, 제2비트군을 포함하는 비트열이다. 여기서 제2비트군은 제2-1비트군과 제2-2비트군으로 나뉘어 있다. 제1비트군은 최초 1bit부터 10bit까지이고, 제2-1비트군은 11bit부터 20bit까지이며, 제2-2비트군은 21bit부터 35bit까지이다. 1~10bits의 각 bit는 150byte 단위로 페이로드의 시작점부터 순차적으로 페이로드의 마지막까지 나타내기 위한 bit이고, 11~ 20bits의 각 bit는 150byte 단위로 표시된 1~10bit를 15byte 크기로 나누어서 표시하기 위한 bit이며, 21~35bits의 각 bit는 15byte 단위로 표시된 10~19bit를 1byte 크기로 나누어서 표시하기 위한 bit이다. 그리고 참고로, 도 1에서는 총 세 개의 비트군들로 구성된 오프셋을 예시되었으나, 페이로드의 전체 길이에 따라 총 비트군 수는 두 개가 될 수도 있으며, 네 개 이상이 될 수도 있다.

도 2는 본 발명의 일 실시예에 따른 검색 키 구조도이다.

검색 키는 페이로드에서 시그니처 크기에 맞게 추출된 서브 페이로드와 오프셋으로 구성되며, TCAM 매칭 과정에서 시그니처 검색을 위한 데이터로 사용된다. 여기서 오프셋은 페이로드에서 서브 페이로드의 위치 정보를 표시한다.

도 3은 본 발명의 일 실시예에 따른 서브 페이로드에 대한 오프셋 구조도이다.

페이로드의 1000번째 위치에서 서브 페이로드를 추출하였을 경우, 오프셋은 도 3과 같이 설정된다. 즉 제1비트군에서는 7번째 비트가 유효비트 ‘1’로 설정되고 나머지는 무효비트 ‘0’으로 설정되며, 제2-1비트군에서는 7번째 비트가 유효비트 ‘1’로 설정되고 나머지는 무효비트 ‘0’으로 설정된다. 그리고 제2-2비 트군에서는 11번째 비트가 유효비트 ‘1’로 설정되고 나머지는 무효비트 ‘0’으로 설정된다.

도 4는 본 발명의 일 실시예에 따른 TCAM 엔트리 구조도이다.

TCAM 엔트리는 시그니처와 오프셋으로 구성된다. 오프셋은 페이로드에서 시그니처가 위치해야 하는 정보이며, 다음의 3가지 조건으로 설정할 수 있다.

① 정해진 오프셋에서 시그니처가 매칭되어야 하는 경우

② 정해진 오프셋보다 시그니처가 뒤쪽에서 매칭되어야 하는 경우

③ 정해진 오프셋보다 시그니처가 앞쪽에서 매칭되어야 하는 경우

도 5는 본 발명의 일 실시예에 따른 정해진 오프셋에 시그니처가 매칭되어야 할 경우의 TCAM 엔트리 구조 예시도이다.

시그니처가 특정 오프셋 위치에서 매칭이 되어야 하는 경우에 각 비트군에 하나의 유효비트만을 정의하여 오프셋을 설정할 수 있으며, TCAM 엔트로 1개로 설정하는 것이 가능하다. 예를 들어 시그니처가 페이로드 내의 오프셋(1000) 위치에서 매칭이 되어야 하는 경우, 도 5와 같이 제1비트군의 7번째 비트를 유효비트로 설정하고 제2-1비트군의 7번째 비트를 유효비트로 설정하며 제2-2비트군의 11번째 비트를 유효비트로 설정하면 된다.

도 6, 7, 8은 본 발명의 일 실시예에 따른 정해진 오프셋보다 시그니처가 뒤쪽에서 매칭되어야 할 경우의 TCAM 엔트리 구조 예시도이다.

시그니처가 특정 오프셋보다 뒤쪽에서 매칭이 되어야 하는 경우에, 오프셋 값에 따라서 TCAM 엔트리의 오프셋은 1개에서 최대 3개까지 설정될 수 있다. 도 6 에서와 같이 오프셋 값이 0~8bit에 위치하고 10~18bit에 위치하면, TCAM 엔트리는 3개가 설정된다. 예를 들어 오프셋 값이 1000일 경우, TCAM 엔트리의 오프셋은 3개가 설정된다. (a)는 오프셋의 범위를 1001~1004로 설정한 것이고, (b)는 오프셋의 범위를 1005~1049로 설정한 것이며, (c)는 오프셋의 범위를 1050~1499로 설정한 것이다. 참고로 ‘x’는 무관심 비트(don't care bit)를 의미한다. 예를 들어 TCAM 엔트리의 n번째 bit가 무관심 비트로 설정되면, 검색 키의 n번째 bit의 값에 상관없이 n번째 bit는 매칭된 것으로 간주한다.

도 7에서와 같이 오프셋 값이 0~8bit에 위치하고 19bit에 위치하거나, 9bit에 위치하고 10~18bit에 위치하면 TCAM 엔트리는 2개가 설정된다. 예를 들어 오프셋 값이 1450일 경우, TCAM 엔트리의 오프셋은 2개가 설정된다. (a)는 오프셋의 범위를 1451~1454로 설정한 것이고, (b)는 오프셋의 범위를 1455~1499로 설정한 것이다.

도 8에서와 같이 오프셋 값이 9bit에 위치하고 19bit에 위치하면, TCAM 엔트리는 1개가 설정된다. 예를 들어 오프셋 값이 1487일 경우, TCAM 엔트리의 오프셋은 1개가 설정되며, (a)와 같다. (a)는 오프셋의 범위를 1488~1499로 설정한 것을 나타낸다.

도 9, 10, 11은 본 발명의 일 실시예에 따른 정해진 오프셋보다 시그니처가 앞쪽에서 매칭되어야 할 경우의 TCAM 엔트리 구조 예시도이다.

시그니처가 특정 오프셋보다 뒤쪽에서 매칭이 되어야 하는 경우에, 오프셋 값에 따라서 TCAM 엔트리는 1개에서 최대 3개까지 설정될 수 있다. 도 6에서와 같 이 오프셋 값이 1~9bit에 위치하고 11~19bit에 위치하면, TCAM 엔트리는 3개가 설정된다. 예를 들어 오프셋 값이 1010이고 시그니처 크기가 10이면 offset(1000)=offset(1010)-signature(10)이 되며, 이 경우 TCAM 엔트리의 오프셋은 (a), (b), (c)와 같다. (a)는 오프셋의 범위를 990~1000로 설정한 것이고, (b)는 오프셋의 범위를 900~989로 설정한 것이며, (c)는 오프셋의 범위를 0~899로 설정한 것이다.

도 10에서와 같이 오프셋 값이 1~9bit에 위치하고 10bit에 위치하거나, 0bit에 위치하고 11~19bit에 위치하면 TCAM 엔트리는 2개가 설정된다. 예를 들어 오프셋 값이 920이고 시그니처 크기가 10이면 offset(910)=offset(920)-signature(10)이 되며, 이 경우 TCAM 엔트리의 오프셋은 (a), (b)와 같다. (a)는 오프셋의 범위를 900~910으로 설정한 것이고, (b)는 오프셋의 범위를 0~899로 설정한 것이다.

도 11에서와 같이 오프셋 값이 0bit에 위치하고 10bit에 위치하면 TCAM 엔트리는 1개가 설정된다. 예를 들어 오프셋 값이 14이고 시그니처 크기가 10이면 offset(4)=offset(14)-signature(10)이 되며, 이 경우 TCAM 엔트리의 오프셋은 (a)와 같다. (a)는 오프셋의 범위를 0~4으로 설정한 것을 나타낸다.

도 12는 본 발명의 일 실시예에 따른 패킷 내 시그니처 검색 방법의 흐름도이다.

알려진 바와 같이, 패킷 내 시그니처를 검색하기 위한 프로세스는 라우터와 같은 네트워크 장치나 방화벽, 침입 차단 시스템, 침입 탐지 시스템과 같은 네트워크 보안 장치에서 수행된다. 이하에서는 편의상 라우터에서 시그니처를 검색하는 것으로 가정한다. 라우터는 네트워크 회선을 통해 전달된 패킷을 수신하고, 통상의 절차에 따라 수신된 패킷을 파싱(parsing)한다. 그 다음 라우터는 시그니처 검색을 위해 패킷의 페이로드에서 시그니처 크기에 맞게 서브 페이로드를 추출한다(단계 S100). 그리고 서브 페이로드에 대한 오프셋을 생성하고(단계 S200), 이를 서브 페이로드와 결합하여 검색 키를 생성한다(단계 S300). 이후, 라우터는 생성한 검색 키에 대해 TCAM 매칭을 수행한다(단계 S400).

TCAM 매칭 과정에서 검색 키와의 매칭 비교 대상인 TCAM 엔트리는 도 4와 같은 구조를 갖는다. 그리고 TCAM의 오프셋은 시그니처가 정해진 오프셋에서 매칭되어야 하는지, 정해진 오프셋보다 시그니처가 뒤쪽에서 매칭되어야 하는지, 아니면 정해진 오프셋보다 시그니처가 앞쪽에서 매칭되어야 하는지에 따라 도 5에서부터 도 11까지 예시된 것과 같이 설정된다.

이제까지 본 발명에 대하여 그 바람직한 실시예들을 중심으로 살펴보았다. 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자는 본 발명이 본 발명의 본질적인 특성에서 벗어나지 않는 범위에서 변형된 형태로 구현될 수 있음을 이해할 수 있을 것이다. 그러므로 개시된 실시예들은 한정적인 관점이 아니라 설명적인 관점에서 고려되어야 한다. 본 발명의 범위는 전술한 설명이 아니라 특허청구범위에 나타나 있으며, 그와 동등한 범위 내에 있는 모든 차이점은 본 발명에 포함된 것으로 해석되어야 할 것이다.

도 1은 본 발명의 일 실시예에 따른 오프셋 구조도.

도 2는 본 발명의 일 실시예에 따른 검색 키 구조도.

도 3은 본 발명의 일 실시예에 따른 서브 페이로드에 대한 오프셋 구조도.

도 4는 본 발명의 일 실시예에 따른 TCAM 엔트리 구조도.

도 5는 본 발명의 일 실시예에 따른 정해진 오프셋에 시그니처가 매칭되어야 할 경우의 TCAM 엔트리 구조 예시도.

도 6, 7, 8은 본 발명의 일 실시예에 따른 정해진 오프셋보다 시그니처가 뒤쪽에서 매칭되어야 할 경우의 TCAM 엔트리 구조 예시도.

도 9, 10, 11은 본 발명의 일 실시예에 따른 정해진 오프셋보다 시그니처가 앞쪽에서 매칭되어야 할 경우의 TCAM 엔트리 구조 예시도.

도 12는 본 발명의 일 실시예에 따른 패킷 내 시그니처 검색 방법의 흐름도.

Claims (6)

1. 네트워크 보안장치가 패킷 내 시그니처를 검색하는 방법에 있어서,

   상기 네트워크 보안장치가 패킷의 페이로드에서 시그니처(signature)와 비교될 서브 페이로드를 추출하는 단계;

   상기 네트워크 보안장치가 상기 서브 페이로드의 페이로드 내 위치 정보인 오프셋을 생성하는 단계;

   상기 네트워크 보안장치가 상기 추출된 서브 페이로드와 상기 생성된 오프셋으로 구성되는 검색 키를 생성하는 단계; 및

   상기 네트워크 보안장치가 TCAM(Ternary Content Addressable Memory) 엔트리에 상기 생성된 검색 키가 매칭되는지 확인하기 위한 TCAM 매칭을 수행하는 단계;

   를 포함하는 것을 특징으로 하는 패킷 내 시그니처 검색 방법.
2. 제1항에 있어서,

   상기 TCAM 엔트리는 상기 페이로드 내 시그니처가 위치해야 하는 정보인 오프셋과 시그니처로 구성됨을 특징으로 하는 패킷 내 시그니처 검색 방법.
3. 제2항에 있어서,

   상기 오프셋은 페이로드 크기를 시작부터 끝까지 순차적으로 일정단위로 나타내기 위한 다수의 비트들로 이루어지는 제1비트군과, 상기 제1비트군의 이후에 위치하며 이전 비트군의 각 비트가 나타내는 단위 크기를 그보다 작은 단위로 순차적으로 나타내기 위한 다수의 비트들로 이루어지는 적어도 하나의 제2비트군으로 구성되는 비트열임을 특징으로 하는 패킷 내 시그니처 검색 방법.
4. 제3항에 있어서,

   상기 오프셋을 생성하는 단계는, 상기 제1비트군과 상기 적어도 하나의 제2비트군으로 구성되는 비트열의 각각의 비트군에 속하는 하나의 비트를 유효 비트로 설정함을 특징으로 하는 패킷 내 시그니처 검색 방법.
5. 제3항에 있어서,

   시그니처가 특정 오프셋 위치에서 매칭이 되어야 하는 경우에, 상기 TCAM 엔트리에 속하는 오프셋은 그 각각의 비트군에 속하는 하나의 비트만이 유효 비트로 설정되어 있음을 특징으로 하는 패킷 내 시그니처 검색 방법.
6. 제3항에 있어서,

   시그니처가 특정 오프셋보다 뒤쪽에서 혹은 앞쪽에서 매칭이 되어야 하는 경우에, 상기 TCAM 엔트리에 속하는 오프셋을 구성하는 비트들 중 적어도 일부 비트는 무관심 비트(don't care bit)로 설정되어 있음을 특징으로 하는 패킷 내 시그니처 검색 방법.

Images