KR101186873B1 - 시그니쳐 기반 무선 침입차단시스템 - Google Patents

Abstract

본 발명은 효과적으로 무선으로 침입하는 신호를 탐지하고, 차단할 수 있는 시그니쳐 기반 무선 침입차단시스템을 제공한다. 본 발명은 시그니쳐 기반 무선 침입차단 시스템의 동작방법에 있어서, 무선 데이터 패킷을 수집하는 단계; 상기 수집된 무선 데이터 패킷을 분석하는 단계; 및 상기 분석된 결과에 대응하는 파일을 제공하는 단계를 포함하며, 상기 무선 데이터 패킷을 분석하는 단계는 패킷 검증을 위해 무선 위협 분석을 수행하고, 프로토콜 공격 분석을 수행하는 전처리 단계와, 침입탐지 엔진은 제공되는 정책을 검색하여, 하나의 정책을 선택하고, 그 선택된 정책에 따라 침입 차단 동작을 수행하는 단계를 포함하는 것을 특징으로 하는 시그니쳐 기반 무선 침입차단 시스템의 동작방법을 제공한다.

Description

시그니쳐 기반 무선 침입차단시스템{Wireless intrusion protecting system based on signature}

본 발명은 방법에 무선침입차단 시스템에 관한 것으로, 시그니쳐 기반 무선 침입차단시스템에 관한 것이다.

일반적으로, 인터넷의 급속한 발전과 보급으로 네트워크 환경은 점점 거대해지고 있으며, 인터넷의 간편하고 편리한 네트워크 접속과 제공하고 있는 다양한 서비스로 인하여 그 형태가 복잡해지고 있다. 그러나 인터넷 상에서의 바이러스, 해킹, 시스템 침입, 시스템 관리자 권한 획득, 침입사실 은닉, 서비스 거부공격 등과 같은 다양한 형태의 네트워크 공격으로 인해 인터넷은 항상 해킹의 위험에 노출되어 인터넷에 대한 침해가 증가하고 있고, 공공기관과 사회기반시설 및 금융 기관은 피해 규모가 점점 증가하며 그 영향력이 크다. 이러한 인터넷 보안문제를 해결하기 위해 바이러스 백신, 방화벽, 통합 보안 관리, 침입탐지시스템 등의 네트워크 보안 기술이 필요함에 있다.

무선 인터넷 통신을 위한 무선랜 시스템은 무선랜 액세스 포인트(Wireless LAN Access Point, AP)와 무선랜 단말을 포함한다. 액세스 포인트(AP)는 액세스 포인트 장치라는 장비를 설치하여 사용하고 있다. 무선랜 단말은 액세스 포인트에서 제공되는 정보를 전달받아 다음 단으로 제공하는 기능을 한다. 현재 주로 사용하는 엑세스 포인트 장치는 무선 트래픽에 대한 전송, 네트워크 지원 기능만을 제공하기 때문에, 무선으로 칩입되는 해킹 정보를 필터링하고 있지 못하다.

최근에는 유선과 무선을 이용한 통합형 네트워크 시스템이 널리 개발되고 적용되고 있다. 유선으로 접근하는 유해 트래픽을 안정적으로 차단하는 것도 어렵지만, 무선으로 접근하는 유해 트래픽을 안정적으로 차단하는 것은 더 어렵다. 이를 해결하기 위해 침입 차단 시스템이 개발되고 있지만, 아직은 신뢰성있게 무선으로 침입하는 해킹 패킷을 차단하는 침입 차단 시스템은 개발되고 있지 않다.

본 발명은 효과적으로 무선으로 침입하는 신호를 탐지하고, 차단할 수 있는 시그니쳐 기반 무선 침입차단시스템을 제공한다.

본 발명은 시그니쳐 기반 무선 침입차단 시스템의 동작방법에 있어서, 무선 데이터 패킷을 수집하는 단계; 상기 수집된 무선 데이터 패킷을 분석하는 단계; 및 상기 분석된 결과에 대응하는 파일을 제공하는 단계를 포함하며, 상기 무선 데이터 패킷을 분석하는 단계는 패킷 검증을 위해 무선 위협 분석을 수행하고, 프로토콜 공격 분석을 수행하는 전처리 단계와, 침입탐지 엔진은 제공되는 정책을 검색하여, 하나의 정책을 선택하고, 그 선택된 정책에 따라 침입 차단 동작을 수행하는 단계를 포함하는 것을 특징으로 하는 시그니쳐 기반 무선 침입차단 시스템의 동작방법을 제공한다.

또한, 상기 무선 위협분석은 ARP 스푸핑, 맥 스푸핑, 비인증 액세스 포인트 및 안티 스텀블러 방법을 포함하는 것을 특징으로 한다.

또한, 상기 프로토콜 공격분석은 플러딩 상황을 이용한 분석 포트 스캔을 이용한 분석 및 분할을 이용한 분석 포함하는 것을 특징으로 한다.

또한, 상기 침입탐지엔진은 블랙리스트, 화이트리스트 및 그레이 리스트를 이용하는 것을 특징으로 한다.

본 발명에 의해 무선 침입차단시스템은 정책 검색 기능을 구비하고 있어, 보다 효과적으로 정책을 무선침입을 차단하는 동작에 적용할 수 있으며, 그로 인해 더 신뢰성있게 해킹 신호를 탐지하고 차단할 수 있다.

도1은 본 발명을 설명하기 위한 것으로 침입차단 시스템을 나타내는 블록도.
도2는 본 발명의 실시예에 따른 무선침입 차단 시스템의 동작 흐름도.

이하, 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자가 본 발명의 기술적 사상을 용이하게 실시할 수 있을 정도로 상세히 설명하기 위하여, 본 발명의 가장 바람직한 실시예를 첨부된 도면을 참조하여 설명하기로 한다.

도1은 본 발명을 설명하기 위한 것으로 침입차단 시스템을 나타내는 블럭도이다.

도1을 참조하여 살펴보면, 침입차단 시스템은 다수의 센서(12)와 매니저(13)를 포함한다. 센서(12)는 다수 개가 구비되며, 유무선 네트워크 시스템이 배치된 지역적 특성에 따라 그 개수가 정해질 수 있다. 또한, 센서(12)가 배치되는 위치도 유무선 네크워크 망이 배치된 지역적 특성에 따라 달라질 수 있다.

센서(12)는 AP(11)가 무선 단말기(10)로부터 전송받아 전달하게 되는 데이터 또는 무선 단말기(10)에 요청에 의해 전송하게 되는 데이터를 센싱하게 된다. 매니저(13)는 센서(12)를 통해 제공되는 데이터 패킷이 악성인지 아닌지를 센서가 검사하도록 제어하고, 그 결과에 따라 무선 단말기(10)가 계속해서 유무선 네트워크에 접속되는 것을 허용할지 말지를 제어한다. 도1에 도시된 바와 같이, 네트워크가 설치된 구역에 따라 각각 그에 대응하는 센서를 두고, 각 그룹화된 센서를 각 매니저가 제어하고 있다.

도2는 본 발명의 실시예에 따른 무선침입 차단 시스템의 동작 흐름도이다. 특히, 도2는 무선 snort 내부 처리과정에 대해 도시되어 있다.

도2를 참조하여 살펴보면, 본 실시예에 따른 무선침입 차단 시스템은 먼저 무선 데이터 패킷을 수집한다(S1). 여기서 수집하는 무선 데이터 패킷은 무선 단말기(10)에서 요청하여 AP(12)에서 무선 단말기(10)로 제공하는 무선 데이터 패킷일 수도 있으며, 무선 단말기(10)로부터 제공되어 AP(11)가 수신하여 네트워크 시스템으로 전송되는 데이터 패킷일 수도 있다.

이어서, 수집된 무선 데이터 패킷을 분석하기 시작한다(S2).

이어서, 전처리기에서 수집된 무선 데이터 패킷을 검증한다(S3). 수집된 무선 데이터 패킷을 이용하여 무선위협 분석과 프로토콜 공격 분석을 수행한다.

무선위협 분석은 ARP 스푸핑(arp spoofing), 맥 스푸핑(Mac spoofing), 비인증 액세스 포인트(rogue Access Point, rogue AP), 안티 스텀블럭(anti-stumbler) 방식을 포함한다.

ARP(Address Resolution Protocol)는 LAN(Local Area Network)상에서 IP 주소(Internet Protocol Address)를 가지고 이더넷 주소인 맥 주소(MAC address)를 얻어오는 프로토콜이다. 네트워크 내에 ARP 패킷을 브로드캐스팅하여, 그 네트워크에 연결되어 있는 ARP 패킷에 대해 응답한 컴퓨터의 IP와 맥 주소를 알 수 있다.

ARP 스푸핑은 원래 위조된 ARP 응답 패킷을 특정 컴퓨터로 전송함으로써, 특정 컴퓨터의 패킷들이 자신의 컴퓨터로 전송되도록 하는 일종의 해킹 기법이다. ARP 스푸핑이 사용자 컴퓨터인 호스트(host)와 호스트 간에 이루어지면 상대방 호스트가 ARP 스푸핑을 보낸 호스트로 패킷을 보낸다. 그러나 ARP 스푸핑을 받는 장치가 라우터나 L3 스위치인 경우에, 라우터나 L3 스위치가 잘못된 목적지로 패킷을 보내게 되어, 라우터나 L3 스위치에 연결된 호스트가 인터넷이 전혀 접속되지 상황이 초래될 수 있다.

ARP 스푸핑 감지 기술은 방식에 따라 2가지로 나눌 수 있다. 첫 번째는 DHCP(Dynamic Host Configuration Protocol) 패킷을 이용하는 방식이고, 두 번째는 IP와 ARP/RARP(Reverse ARP)를 이용하는 방식이다.

두 번째는 IP와 ARP/RARP(Reverse ARP)를 이용하는 방식이다. DHCP 패킷을 이용하는 방식은, DHCP 패킷을 수집하는 장치, DHCP 패킷 분석 장치, ARP 스푸핑 감지 장치로 구성된 시스템을 이용한다. DHCP 패킷을 이용한 ARP 스푸핑 감지 기술은, DHCP 서버에서 IP를 할당하면, IP 주소와 연관된 맥 주소를 데이터베이스로 관리한다. 이후 이 데이터베이스에 저장된 맥 주소에 대응되지 않는 ARP를 감지하는 경우에는, 이를 ARP 스푸핑으로 간주한다.

한편, IP와 ARP/RARP를 이용하는 방식은, IP 패킷 수집 장치, IP 패킷 분석 장치, RARP 전송 장치, ARP 스푸핑 감지 장치로 구성된 시스템을 이용한다. IP와 ARP/RARP를 이용한 ARP 스푸핑 감지 기술은 시스템에서 수신된 IP 패킷이 로컬 네트워크의 IP(또는 MAC)주소와 동일한지 감지해서, 동일하지 않으면 RARP를 보내 응답이 없으면 ARP 스푸핑으로 판단한다.

맥 스푸핑 기술은 맥(MAC)이나 아이피(IP) 어드레스를 속이는 DDoS 공격의 일종이다. 만약 이와 같은 DDoS 공격이 일어난다면 짧은 시간 내에 DDoS 공격을 가하는 호스트컴퓨터를 찾아낸다는 것은 대단히 곤란해져 버리고 만다. 왜냐하면, 대체로 거짓 DDoS 패킷(Spoofed DDoS Packet)은 진정한 맥이나 아이피 어드레스를 가지고 있지 않아서 패킷 그 자체를 관찰(분석)하는 것에 의해 패킷이 어디로부터 왔는지를 결정하는 것이 불가능하다.

비인증 액세스 포인트(rogue Access Point, rogue AP)는 회사내의 보안 정책을 따르지 않는 개인적으로 설치된 액세스포인트(AP)를 말한다. 특히 기업의 무선랜 환경에서는 일반 사용자가 개인적으로 설치한 무선 AP틀 통해 외부나 불법 침입자가 들어와 내부 직원과 같은 자격으로 모든 자원에 접촉할 수 있게 되기 때문에 아무리 기업의 보안시설에 투자를 했어도 한순간에 무용지물화 될 수 있다. rogue AP는 기업 내부에서 불법 AP 설치를 규제하거나 스위치상에 802.1x 인증을 두어 AP를 인증하여 방지하는 방법이 있다. 하지만 정확한 rogue AP 방지를 위해서는 관리자가 분석기를 가지고 AP 도달거리 범위를 돌아다니며 감지하는 등의 직접적이고 물리적인 감시가 최선의 방법이다.

스텀블러(Network Stumbler)는 AP를 검색한 하는 도구중 하나로서, AP가 무인증인지 아닌지 알 수 있는 도구이다.

계속해서 살펴보면, 프로토콜 공격 분석을 수행한다. 프로토콜 공격분석은 플러딩 상황(a flooding situation)을 이용한 방법, 포트 스캔(port scan)을 이용하는 방법, 분할(Fragmentation)을 이용하는 방법을 이용한다.

플러딩 공격(flooding attack)은 인터넷상의 서버를 목표로 삼아 디스에이블링(disabling)시키기 위하여 최근에 자주 이용되어 왔다. 플러딩 공격은 유저가 서버를 오버로딩(overloading)시켜서 이로 인해 서버를 디스에이블링시킬 의도로 상대적으로 짧은 시간동안 서버로 다수의 요청(request)을 전송하는 경우에 발생한다. 악의의 유저로 부터의 패킷(packet)의 플러딩은 잘못 구성된 시스템(misconfigured system)으로부터의 패킷의 플러딩이 서버를 오버로딩시킬 수 있는 것과 동일한 방식으로 서버를 오버로딩시킬 수 있다.

포트 스캔(port scan)은 네트워크를 통해 서버에 연속적으로 억세스하며, 보안상의 약점(씨큐리티홀)을 찾는 행위이다. 인터넷상에서 공개된 서버 컴퓨터는 TCP/IP 라고 하는 통신 규약(프로토콜)에 따라서 작동하고 있는데, 보통 포트(Port)라 불리는 접속 창구를 여러 개 준비하여 이용자로부터 접속을 기다린다. 포트 스캔은 이 포트에 순차적으로 액세스하여 서버 내에서 작동하고 있는 어플리케이션 소프트와 OS의 종류를 조사하여, 침입로가 될 수 있는 취약한 포트가 있는지를 조사하는 행위이다. 포트 스캔 결과, 시큐리티홀이 발견되면 침입용 프로그램을 사용해서 부정침입이 이루어지는 경우가 많이 있다. 네트워크 관리자가 자신이 관리하는 시스템에 약점이 없는지를 조사하기 위해서 포트 스캔을 시행할 수 있다. 포트스캔을 받는 서버에는 통신이력(억세스 로그)에 포트스캔이라고 여겨지는 수상한 기록이 남게 되며, 간격을 두고 스캔을 시행하는 등 포트스캔을 은폐하는 공작을 하는 경우도 있다.

분할(Fragmentation)은 근거리 무선 통신장치에서 IP 패킷 등을 분할(Fragmentation)하여 사이즈를 줄임으로써 상대적으로 작은 사이즈의 패킷을 지원하는 근거리 무선 네트워크에서 데이터를 송수신할 수 있도록 하는 데 사용되는 방법이다.

이어서 계속해서 살펴보면, 침임탐지 엔진을 가동한다. 침입탐지 엔진은 제공되는 정책이 어떤 것인지 검색하고(S4), 사용할 정책을 정한다.

정책(룰)을 검색하는 것은 침입 탐지 및 차단동작에 필요한 필터링 정책, 침입 탐지 정책, 접근제어 정책 등의 정책을 검색하고, 현재 필요한 정책(룰)을 선택하는 과정을 말한다.

정책이 정해지면 그 정책에 맞게 동작하는데, 예를 들어, 접근 제어 정책을 참조하여 허가받지 않은 사용자의 시스템 사용을 막고 모든 주체는 객체에 접근할 수 있는 권한을 가진 경우에만 접근이 가능하도록 하고, 그 결과를 로그 파일에 저장 하게 하는 것이다.

이어서, 무선 데이터 패킷이 해킹을 위한 침입 데이터인지 판별하기 위한 침입차단 동작을 수행한다(S5). 이때에는 블랙리스트(black list), 화이트 리스트(white list), 및 그래이 리스트(gray list)를 이용한다.

블랙리스트는 상태가 불량하거나 도난당한 이동단말기의 리스트이며, 화이트 리스트는 상태가 양호한 모든 이동단말기의 리스트이며, 그래이 리스트는 불명확한 이동단말기의 리스트이다.

침입차단 엔진이 동작을 완료하면 로그파일을 생성하고 사용자에게 알려준다(S6).

무선침입차단 시스템은 자체적으로 저장된 정책 기반을 가진 차단 방식을 수행한다. 즉, 내부적으로 저장된 하나의 정책만을 이용하여 무선침입차단 동작을 수행하는 것이다.

그러나, 본 발명에 의한 무선침입차단 시스템은 시그니쳐(탐지정책 또는 룰)을 자체 제작 및 배포하는 기능이 가능도록 개발되었다. 또한, 블랙리스트와 화이트 리스트, 그레이 리스트 등을 포함하여, 차단, 임시 차단 및 임시 허용 등의 기능을 수행하도록 설계되어 졌다. 따라서 효과적으로 필요한 정책을 쉽게 반영하여 무선침입차단 동작을 수행할 수 있다.

이상에서 대표적인 실시예를 통하여 본 발명에 대하여 상세하게 설명하였으나, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자는 상술한 실시예에 대하여 본 발명의 범주에서 벗어나지 않는 한도 내에서 다양한 변형이 가능함을 이해할 것이다. 그러므로 본 발명의 권리범위는 설명된 실시예에 국한되어 정해져서는 안되며, 후술하는 특허청구범위뿐만 아니라 이 특허청구범위와 균등한 것들에 의해 정해져야 한다.

Claims (4)

1. 시그니쳐 기반 무선 침입차단 시스템의 동작방법에 있어서,
   무선 데이터 패킷을 수집하는 단계;
   상기 수집된 무선 데이터 패킷을 분석하는 단계; 및
   상기 분석된 결과에 대응하는 파일을 제공하는 단계를 포함하며,
   상기 무선 데이터 패킷을 분석하는 단계는
   패킷 검증을 위해 무선 위협 분석을 수행하고, 프로토콜 공격 분석을 수행하는 전처리 단계와,
   침입탐지 엔진은 제공되는 정책을 검색하여, 하나의 정책을 선택하고, 그 선택된 정책에 따라 침입 차단 동작을 수행하는 단계를 포함하고,
   상기 침입탐지 엔진은 침입 탐지 및 차단동작에 필요한 필터링 정책, 침입 탐지 정책, 접근제어 정책 및 외부에서 추가적으로 입력된 정책 중 어느 하나 이상을 검색하며,
   상기 침입탐지 엔진은 단말기에 대한 블랙리스트, 화이트리스트 및 그레이 리스트를 이용하는 것을 특징으로 하는 시그니쳐 기반 무선 침입차단 시스템의 동작방법.
   
2. 제 1 항에 있어서
   상기 무선 위협분석은
   ARP 스푸핑, 맥 스푸핑, 비인증 액세스 포인트 및 안티 스텀블러 방법을 포함하는 것을 특징으로 하는 시그니쳐 기반 무선 침입차단 시스템의 동작방법.
   
3. 제 1 항에 있어서,
   상기 프로토콜 공격분석은 플러딩 상황을 이용한 분석, 포트 스캔을 이용한 분석 및 분할을 이용한 분석 포함하는 것을 특징으로 하는 시그니쳐 기반 무선 침입차단 시스템의 동작방법.
   
4. 삭제

Images