KR101382526B1 - 맥 스푸핑 방지를 위한 네트워크 보안방법 및 보안시스템 - Google Patents

맥 스푸핑 방지를 위한 네트워크 보안방법 및 보안시스템 Download PDF

Info

Publication number
KR101382526B1
KR101382526B1 KR1020120138157A KR20120138157A KR101382526B1 KR 101382526 B1 KR101382526 B1 KR 101382526B1 KR 1020120138157 A KR1020120138157 A KR 1020120138157A KR 20120138157 A KR20120138157 A KR 20120138157A KR 101382526 B1 KR101382526 B1 KR 101382526B1
Authority
KR
South Korea
Prior art keywords
information
terminal
communication terminal
user terminal
mac address
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
KR1020120138157A
Other languages
English (en)
Inventor
이상준
함성윤
Original Assignee
유넷시스템주식회사
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 유넷시스템주식회사 filed Critical 유넷시스템주식회사
Priority to KR1020120138157A priority Critical patent/KR101382526B1/ko
Application granted granted Critical
Publication of KR101382526B1 publication Critical patent/KR101382526B1/ko
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/10—Active monitoring, e.g. heartbeat, ping or trace-route
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Cardiology (AREA)
  • General Health & Medical Sciences (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

본 발명은 네트워크 보안방법 및 보안시스템에 관한 것이다. 더욱 상세하게는 무선랜 환경에서 등록된 사용단말의 MAC 주소를 알아내어, 공격단말이 자신의 MAC 주소를 숨기고 등록된 사용단말의 MAC 주소로 위장하여 정보를 유출하는 행위를 하는 MAC 스푸핑을 방지하기 위한 보안 시스템 및 보안 방법에 관한 것이다.
백본(Back Bone)에 기지국, 중계기, AP(Access Point) 및 사용자단말을 포함하는 통신단말이 연결되어 있는 네트워크에 있어서, 상기 통신단말에 접속하려는 사용자단말을 포함하는 상기 통신단말의 감시를 위하여 설치된 센서부에 의하여 상기 사용자단말을 포함하는 통신단말의 고유의 하드웨어 정보를 포함하는 단말정보를 수집하는 정보수집 단계; 상기 센서부에 의하여 수집된 사용자단말을 포함하는 통신단말의 상기 단말정보(제 1정보)를 무선침입방지 시스템(WIPS: Wireless Intrusion Protecting System) 서버에 저장하는 정보저장 단계; 상기 센서부에 의하여 상기 사용자단말을 포함하는 통신단말 및 새로운 통신단말(이하 전체 단말)을 감시하는 위법감시 단계; 상기 위법감시 단계에서 수집된 전체단말의 고유의 하드웨어 정보를 포함하는 단말정보(제 2정보)를 상기 WIPS 서버에 전송하는 정보전송 단계; 상기 통신단말 중에서 무단의 침입단말 또는 무단의 접속단말(이하 위법단말) 여부를 판단하는 위법판단 단계; 를 포함하는 것을 특징으로 하는 보안 방법.

Description

맥 스푸핑 방지를 위한 네트워크 보안방법 및 보안시스템{NETWORK SECURITY METHOD AND SYSTEM FOR PREVENTING MAC SPOOFING}
본 발명은 네트워크 보안방법 및 보안시스템에 관한 것이다. 더욱 상세하게는 무선랜 환경에서 등록된 사용단말의 MAC 주소를 알아내어, 공격단말이 자신의 MAC 주소를 숨기고 등록된 사용단말의 MAC 주소로 위장하여 정보를 유출하는 행위를 하는 MAC 스푸핑을 방지하기 위한 보안 시스템 및 보안 방법에 관한 것이다.
무선랜은 공기를 전송매체로 사용하는 서비스의 특성상 많은 취약점이 존재하게 된다. 또한, 불특정 다수의 신호수신이 가능함으로 인해 도청이 가능하고, 무선전파를 전송하는 무선 장비에 대한 공격이 가능하다. 또한, 유선랜에서 존재하는
여러 가지 공격 기법이 사용가능하다.
유선랜보다 많은 위험에 노출되어 있는 무선랜 시스템, 특히 AP(Access Point)에서 무선랜 시스템에 접속하는 많은 사용단말 중에서 공격단말을 파악하여 정보 유출을 방지하려는 방안으로, MAC 스푸핑을 방지하기 위한 보안 방법 및 보안 시스템에 관한 기술이 연구되고 있다.
또한, 공격단말이 사용단말인 경우도 있지만, 불법으로 설치된 AP(Access Point)를 포함하는 통신단말이 불법으로 설치된 경우에도 문제가 된다.
본 발명은 상술한 문제점을 해결하기 위한 것으로, MAC 주소 필터링 단계에서, 정상단말의 MAC 주소가 공격단말에 노출되어 공격단말이 무선랜에 침입하는 것을 미리 파악하여, MAC 스푸핑에 의한 피해를 방지하는데 그 목적이 있다.
상기한 바와 같은 목적을 달성하기 위한, 본 발명에 따른 맥 스푸핑 방지를 위한 보안 방법은, 백본(Back Bone)에 기지국, 중계기, AP(Access Point) 및 사용자단말을 포함하는 통신단말이 연결되어 있는 네트워크에 있어서, 상기 통신단말에 접속하려는 사용자단말을 포함하는 상기 통신단말의 감시를 위하여 설치된 센서부에 의하여 상기 사용자단말을 포함하는 통신단말의 고유의 하드웨어 정보를 포함하는 단말정보를 수집하는 정보수집 단계; 상기 센서부에 의하여 수집된 사용자단말을 포함하는 통신단말의 상기 단말정보(제 1정보)를 무선침입방지 시스템(WIPS: Wireless Intrusion Protecting System) 서버에 저장하는 정보저장 단계; 상기 센서부에 의하여 상기 사용자단말을 포함하는 통신단말 및 새로운 통신단말(이하 전체 단말)을 감시하는 위법감시 단계; 상기 위법감시 단계에서 수집된 전체단말의 고유의 하드웨어 정보를 포함하는 단말정보(제 2정보)를 상기 WIPS 서버에 전송하는 정보전송 단계; 상기 통신단말 중에서 무단의 침입단말 또는 무단의 통신단말(이하 위법단말) 여부를 판단하는 위법판단 단계; 를 포함하는 것을 특징으로 한다.
또한, 상기 단말정보(제 1정보 또는 제 2정보)는, 상기 사용자단말이 상기 통신단말에 접속되는 단계에 앞서서, 상기 통신단말에 의해 전송된 Probe Request 패킷을 수신한 상기 사용자단말이 Probe Response 패킷을 전송하는 단계에서 얻어지는 양방향의 Probe 패킷에 관한 정보에서 추출되는 것을 특징으로 한다.
또한, 상기 단말정보(제 1정보 또는 제 2정보)는, 상기 사용자단말 및 통신단말의 MAC 주소 및 이와 연계된 고유의 하드웨어 정보인 것을 특징으로 한다.
또한, 상기 침입판단 단계는, 상기 정보저장 단계의 저장정보인 MAC 주소 및 이와 연계된 고유의 하드웨어 정보(제 1정보)와 상기 정보전송 단계에서 전송받은 정보인 MAC 주소 및 이와 연계된 고유의 하드웨어 정보(제 2정보)를 비교하여 판단하는 것을 특징으로 한다.
상기한 바와 같은 목적을 달성하기 위한, 본 발명에 따른 맥 스푸핑 방지를 위한 보안 시스템은, 백본(Back Bone)에 기지국, 중계기, AP(Access Point) 및 사용자단말을 포함하는 통신단말이 연결되어 있는 네트워크에 있어서, 상기 통신단말에 접속하려는 사용자단말을 포함하는 상기 통신단말을 감시하여 상기 사용자단말을 포함하는 통신단말의 고유의 하드웨어 정보를 포함하는 단말정보를 보안 서버에 전송하는 센서부와 상기 단말정보를 전송받아 저장하고 무단의 위법단말 여부를 판단하는 무선 침입방지 시스템 (WIPS: Wireless Intrusion Protecting System) 서버를 포함하되, 상기 센서부는, 상기 통신단말에 접속하려는 사용자 단말을 포함하는 상기 통신단말의 감시를 위하여 패킷을 수집하는 패킷수집모듈; 상기 패킷수집모듈에서 수집된 패킷에서 고유의 하드웨어 정보를 포함하는 상기 단말정보를 추출하는 정보추출모듈; 상기 추출된 단말정보를 상기 WIPS 서버에 전송하는 정보전송모듈; 을 구비하고, 상기 WIPS 서버는, 상기 센서부에서 전송하는 단말정보를 수신하는 정보수신모듈; 상기 수신된 단말정보를 저장하는 정보저장모듈; 상기 정보저장모듈에 저장된 단말정보(제 1정보)를 기초로 상기 사용자단말을 포함하는 통신단말(이하 전체단말)이 무단의 위법단말인지를 판단하는 위법판단모듈; 및 상기 센서부 및 정보수신모듈, 정보저장모듈, 위법판단모듈을 포함하는 상기 WIPS 서버를 제어하는 제어모듈; 을 포함하는 것을 특징으로 한다.
또한, 상기 단말정보는, 상기 사용자단말이 상기 통신단말에 접속되는 단계에 앞서서, 상기 통신단말에 의해 전송된 Probe Request 패킷을 수신한 상기 사용자단말이 Probe Response 패킷을 전송하는 단계에서 얻어지는 양방향의 Probe 패킷에 관한 정보에서 추출된 상기 사용자단말 및 통신단말의 MAC 주소 및 이와 연계된 고유의 하드웨어 정보인 것을 특징으로 한다.
또한, 상기 위법판단모듈은, 상기 단말정보(제 1정보)와 제 1정보의 저장 이후에 상기 센서로부터 전송받은 통신단말에 관한 MAC 주소 및 이와 연계된 고유의 하드웨어 정보(제 2정보)를 비교하여 판단하는 것을 특징으로 한다.
이상에서 설명한 바와 같이 본 발명에 의하면, 무선랜 환경에서 등록되지 않은 공격단말이 노출된 MAC 주소를 이용하여 무선랜 시스템에 침입하는 것을 파악하고 침입을 차단하여 공격단말의 해킹 행위를 미리 방지하는 효과가 있다.
도 1은 본 발명의 하나의 실시예로서 MAC 스푸핑이 일어나는 무선랜 환경을 도시하고 있다.
도 2는 본 발명의 하나의 실시예로서 MAC 스푸핑 방지를 위한 보안 방법의 각 단계를 도시하고 있다.
도 3은 본 발명의 하나의 실시예로서 MAC 스푸핑 방지를 위한 보안 시스템을 위한 센서부의 블록도이다.
도 4는 본 발명의 하나의 실시예로서 MAC 스푸핑 방지를 위한 보안 시스템을 위한 WIPS 서버의 블록도이다.
본 발명의 바람직한 실시예에 대하여 첨부된 도면을 참조하여 더 구체적으로 설명하되, 이미 주지된 기술적 부분에 대해서는 설명의 간결함을 위해 생략하거나 압축하기로 한다.
무선랜은 사용의 편리함으로 인해 점차 많은 분야에 걸쳐 활용되고 있다. 무선랜의 가장 큰 장점은 무엇보다도 이동성에 있다고 할 수 있다. 국내 유선 인터넷 서비스는 2006년을 기점으로 포화상태에 있지만, 무선 인터넷 사용자는 꾸준한 증가세를 보이고 있다.
하지만 무선랜은 많은 장점과 동시에 무선 서비스의 특성상 존재하게 되는 다수의 보안 취약점을 가지고 있으며, 이런 문제점을 해결하기 위해 다양한 보안관련 기술이 개발 및 적용되고 있다. 하지만, 그에 반해 무선랜 사용자의 보안인식은 여전히 부족한 상태로, 매년 개인정보유출 등의 보안사고가 반복적으로 발생하고 있는 상황이다.
스니핑(Sniffing)은 게이트웨이 하부에 연결되는 서브넷에서 IP 주소와 MAC 주소로 구성되는 ARP 테이블을 변조함으로써 변조된 MAC 주소를 갖는 대상 단말기가 수신해야할 패킷 정보를 중간에 가로채는 해킹 행위이다. 스니핑의 종류로 에이알피 스푸핑(ARP Spoofing), 에이알피 리디렉트(ARP Redirect), 맥 스푸핑(MAC Spoofing)이 있다. 맥 스푸핑(MAC Spoofing)을 맥 듀프리케이팅(MAC Duplicating)이라고도 한다.
일반적으로 ARP(Address Resolution Protocol)는 네트워크 상에서의 노드들의 이더넷(Ethernet) 주소와 IP 주소를 서로 연결시켜주는 DNS 역할을 하는 프로토콜이다. 즉, 로컬 랜(LAN)상의 단말기(A)가 단말기(B)와 통신을 하고자 할 때, 단말기(A)는 단말기(B)의 이더넷 주소를 얻어내기 위해 단말기(B)의 IP 주소를 이용하여 ARP 요청(Request) 패킷을 로컬 랜(LAN) 상에 브로드캐스트(Broadcast)하게 된다. 이때, 단말기(A)의 ARP 요청을 수신한 단말기(B)는 자신의 IP와 일치함을 확인하고, 단말기(A)에게 자신의 이더넷 주소를 포함한 ARP 응답(Reply) 패킷을 전송함으로써 상호 통신이 이루어지게 된다. 로컬 랜상의 단말기(A)는 네트워크상에서 단말기(B)의 IP 주소를 이용하여 이더넷 주소인 MAC 주소를 알아내기 위해 ARP 요청 패킷을 전송하는 것이다. 여기서 MAC 주소란 이더넷 카드의 물리적인 주소로서 48비트의 크기를 갖고 하드웨어인 이더넷 카드의 읽기용 기억장치(ROM)에 기록된다. 상대적으로 IP 주소를 논리적인 주소라고 한다.
그러나, ARP는 본래 이더넷 네트워크상에서 특정 IP 주소를 갖는 상대 사용자의 MAC address를 찾는데 사용되는 프로토콜로서, 일반적으로 패킷을 발생시키는 사용자에 대한 인증 방안이 마련되어 있지 않다.
이러한 ARP의 취약점으로서 ARP 패킷의 출발지에 대한 인증과정이 없기 때문에 쉽게 목적지 단말에 대한 ARP 테이블 변조 공격이 가능한데, 이 공격은 동일 서브넷내의 단말에게 게이트웨이 IP주소에 대한 MAC주소 응답시 게이트웨이 MAC주소 대신 공격자 단말의 MAC주소를 담은 ARP Reply 패킷 정보를 해당 단말에게 강제적으로 전송한다. 이러면 해당 단말에서는 "게이트웨이 IP 주소-게이트웨이 MAC주소" 쌍이 "게이트웨이 IP 주소-공격자 단말 MAC주소" 쌍의 ARP 테이블 내용으로 강제적으로 변경됨으로써, 해당 단말이 게이트웨이로 패킷을 전송할 때 실질적으로 공격자 단말로 패킷을 전송하게 된다. 이러한 공격기법을 ARP Cache 정보를 임의로 바꾼다고 하여 ARP Cache Poisoning 또는 ARP Spoofing 공격이라고 한다.
이는 이미 오래전부터 꾸준히 발생하고 있는 공격으로, 최근에는 웹을 통해 악성코드를 유포시키고, ARP Poisoning 전용도구를 이용하여 동일 네트워크 내에 있는 다른 PC 단말들을 추가로 감염시키는 유형들이 많이 발생하고 있으며, ARP Poisoning을 통하여 동일한 내부 네트워크에 연결된 다른 단말에서 행하여지는 여러 가지 패킷들을 훔쳐봄으로써 단말내 자료 유출 및 웹 서비스 컨텐츠 정보의 조작이 가능하게 되는 문제가 발생된다.
한편, ARP를 이용하는 다양한 공격 방법에 대하여 설명하면, 다음과 같다.
첫째, 게이트웨이를 통하여 연결된 가입자망과 상위망 사이에서 일어나는 게이트웨이 공격이다. 가입자망 이외의 망에 속해 있는 공격 단말기가 해당 가입자망의 게이트웨이 IP주소를 알아내어 ARP 요청 패킷을 브로드캐스트하게 되고, ARP 요청 패킷을 전달받은 가입자망의 단말기는 이 요청에 대하여 ARP 응답 패킷을 유니캐스트 함으로써 가입자망의 게이트웨이의 IP주소와 MAC주소가 ARP 요청 패킷을 보낸 공격 단말기로 전송된다. 공격단말기는 알아낸 게이트웨이의 IP주소와 새로운 MAC주소를 조합하여 이를테면 요청받은 게이트웨이 MAC주소가 아닌 자신의 MAC주소로 교체하여 새로운 ARP 응답 패킷을 특정의 가입자망의 단말기로 전송하게 된다. ARP 응답 패킷을 전송받은 특정의 가입자망의 단말기는 게이트웨이의 MAC주소를 공격자 단말의 MAC주소로 갱신한다. 다른 가입자망에서 게이트웨이를 통하여 공격대상 단말로 보내려는 모든 패킷의 목적지 MAC주소는 공격자 단말의 MAC주소가 되어 해당 패킷들이 공격자 단말로 전달된다. 공격자 단말은 이를 훔쳐본 후 공격대상 단말에게 전송하거나 다른 가입자망으로 다시 보내주거나 버릴 수 있게 된다.
둘째, 다른 방법으로 스위치 공격에 대한 것이 있는데, 동일 가입자망에 존재하는 또 다른 가입자에 대한 공격으로 공격자가 가입자망 서브넷의 모든 IP 주소에 대하여 ARP 요청을 해서 해당 가입자망에 존재하는 또 다른 가입자의 IP 주소와 MAC주소를 습득하며, 공격자가 알아낸 IP 주소 중 공격대상으로 삼은 가입자의 IP 주소와 공격자 자신의 MAC주소로 위조된 ARP 응답 패킷을 만들어서 다른 가입자들과 게이트웨이에 전송한다.
이렇게 만들어진 ARP 응답 패킷을 전달받은 게이트웨이의 다른 가입자들은 공격대상이 되는 가입자의 IP 주소에 대응하는 MAC주소가 실제 공격대상 가입자의 MAC주소가 아닌 공격자의 MAC주소인 것으로 ARP 테이블을 업데이트하고, 공격대상 가입자에게 전달되어야 하는 모든 패킷들의 이더넷 목적지 MAC주소는 공격자의 MAC주소로 변경된다. 따라서 MAC주소가 변경되면 이후 공격대상 가입자에게 전달되어야할 모든 패킷들은 공격자에게 전달된다.
즉, 공격자는 받은 패킷을 모두 훔쳐보고 공격대상 가입자의 개인정보를 습득하여 추후 해킹에 사용할 수 있으며, 전달받은 패킷들을 공격자가 공격대상 가입자에게 재전송하지 않을 경우 공격대상 가입자는 네트워크가 두절된다.
셋째, 다른 방법으로 MAC 주소 자체를 위조하는 맥 스푸핑(MAC Spoofing)이라는 공격 방법이 있다. 본 발명의 하나의 실시예로서, 도 1에서 만약 사용단말3에서 사용단말1의 트래픽을 스니핑하고 싶다면 사용단말3에서 사용단말1의 MAC주소와 같은 MAC 정보로 설정을 하는 방법이 바로 맥 스푸핑(MAC Spoofing) 즉, 맥 듀프리케이팅(MAC Duplicating)이다. "ifconfig" 명령어를 이용하면 이는 어렵지 않게 설정할 수 있는데, 이를테면 도 1에서 단말3(eth0)의 주소가 00-00-0C-34-B2-58인 경우 이를 00-00-0C-34-B2-54으로 설정 설정하고자 한다면 먼저 ifconfig eth0 down 으로 eth0 인터페이스를 다운시킨 후 ifconfig eth0 hw ether 00-00-0C-34-B2-54 up 와 같이 실행하면 eth0 인터페이스의 MAC 정보를 변경할 수 있다. 이러한 경우 스위치 또는 AP(Access Point)를 혼란시켜 두 포트 모두 같은 MAC 주소를 가진 것처럼 인식하게 되며 스위치는 또는 AP(Access Point)는 사용단말1로 보낼 트래픽을 사용잔말1 및 사용단말3 모두에게 발송하게 되는 것이다. 데이터는 두 포트 모두에게 보내어지므로 사용단말3에서는 IP 포워딩을 설정할 필요가 없다.
위와 같은 MAC 주소 변조 행위는, 첫 번째는 dummy 환경에서는 모든 패킷을 브로드캐스트(Broadcast)하여 직접적인 통신과는 관계없는 다른 사용단말에서도 다른 시스템의 패킷을 캡처할 수 있다는 특성을 이용한 것이고, 두 번째는 인터넷의 표준 프로토콜로 사용중인 TCP/IP의 전송 방식이 암호화하지 않은 Plain text(평문)를 사용한다는 점을 이용한 것이다.
본 발명은 상기의 MAC Spoofing 공격 방법을 차단하기 위한 것으로서 방법과 시스템으로 구성되어 있다. 이하 MAC Spoofing 방지를 위한 보안 방법에 대하여 설명한다.
본 발명에서 사용되는 통신단말은 기지국, 중계기, AP(Access Point), SW(Switch), 유선단말기 및 사용단말을 포함하는 포괄적인 개념이며, "스테이션"이라고도 한다.
<보안 방법>
본 발명의 맥 스푸핑(MAC Spoofing) 방지를 위한 보안방법은, 맥 스푸핑 방지를 위한 센서부와 서버를 포함하는 시스템을 이용한다. 상기 서버는 무선 침입 방지 시스템(Wireless Intrusion Protection System, 이하 WIPS 서버) 서버이다.
본 발명의 맥 스푸핑(MAC Spoofing) 방지를 위한 보안 방법에 대한 일련의 단계가 도 2에 도시되어 있다.
도 1의 본 발명에 따른 하나의 실시예에서, AP(Access Point)를 중심으로 무선랜에 접속하려는 사용단말1 내지 사용단말3이 있고, 사용단말1 및 사용단말2는 등록된 정상단말(이하 정상단말)이다. 정상단말의 MAC 주소는 WIPS 서버에 저장되어 있는 것이 바람직하다. 한편 사용단말3은 정상단말이 아닌 공격단말에 해당한다. 해당 사용단말의 MAC 주소가 도 1에 표시되어 있으며, 각각의 사용단말은 자기 자신의 고유한 하드웨어를 가지고 있으며 각각의 사용단말의 하드웨어 정보는 서로 다른 것이 특징이다. AP(Access Point) 상위로 연결되는 복수의 통신단말이 있다. 복수의 통신단말은 게이트웨이(Gate way)를 포함한다. 그 밖에 통신단말에는 스위치, 허브 등으로 대표되는 중계기, 및 라우터 등의 기지국을 포함하는 계념이다. 게이트웨이(Gate way)에는 보안 서버인 WIPS 서버가 연결되어 있다. 상기 WIPS 서버는 백본에 연결되는 것도 가능하다. 상기 게이트웨이(Gate way) 상위로는 백본이 존재한다.
1. 정보수집 단계(S201)
통신단말의 감시를 위하여 센서부가 설치된다. 감시대상이 되는 통신단말은 기지국, 중계기, AP(Access Point) 및 접속을 시도하는 통신단말, 즉 사용자단말을 포함한다. 상기 설치되는 센서부는 각각의 통신단말마다 설치되는 것이 바람직하나 트래픽의 양에 따라 더 많은 센서부를 설치하는 것도 가능하다. 센서부의 설치 장소는 사용자단말의 접속이 많은 지점 및 통신단말이 설치된 장소와 같아도 또는 달라도 무방하다. 설치된 센서부는 AP(Access Point) 등의 통신단말에 접속을 시도하는 사용자단말을 포함하는 상기 전체 통신단말에 대한 정보를 수집하는 역할을 한다.
본 발명의 하나의 실시예로서, 무선랜에 접속하려는 사용자단말을 위하여 AP(Access Point)에서는 SSID(Service Set Identifier)가 포함된 정보를 브로드캐스트 형태로 AP(Access Point)의 통신 가능 지역에 전송하게 된다. 상기 브로드캐스트를 Probe Request라고 한다. 상기 Probe Request 패킷을 수신한 사용자단말은 Probe Response 패킷을 상기 AP(Access Point)에 전송하게 되면서 무선랜이 연결된다. 상기 Probe Response 패킷에는 접속을 시도하려는 사용자단말의 MAC 주소 및 이와 연계된 고유의 하드웨어 정보가 포함되는 것이 특징이다. 또한, 상기 Probe Request에는 접속을 당하는 통신단말의 MAC 주소 및 이와 연계된 고유의 하드웨어 정보가 포함되는 것이 특징이다.
상기 접속을 시도하려는 사용자단말이 전송한 Probe Response 패킷을 수신한 AP(Access Point)는 상기 사용자단말에 대한 정보에서 해당 사용자단말의 MAC 주소와 이와 연계된 고유의 하드웨어 정보를 추출하여 WIPS 서버로 전송하는 것이 바람직하다. 상기 추출과정이 WIPS 서버측에서 일어나는 것도 가능하지만, 많은 센서부로부터 수신되는 정보를 처리하기 때문에 센서부가 이를 담당하고, 상기 WIPS 서버는 센서를 제어한다.
2. 정보저장 단계(S202)
상기 센서부에 의하여 수집된 사용자단말을 포함하는 통신단말에 대한 정보 즉, 통신단말의 MAC 주소 및 이와 연계된 고유의 하드웨어 정보가 서버에 저장되는 단계이다.
여기서 MAC 주소란 이더넷 카드의 물리적인 주소로서 48비트의 크기를 갖고 하드웨어인 이더넷 카드의 읽기용 기억장치(ROM)에 기록된다. MAC 주소는 이더넷 카드를 제조하는 회사에 대한 정보 및 제품에 대한 정보를 포함하는 것으로서 이더넷 카드의 고유한 정보임에도 불구하고, 상기 언급한 것처럼 사용단말에서는 자신의 MAC 주소를 변경하는 것이 가능하다. 또한, 전속을 당하는 통신단말 중에는 불법으로 설치되는 통신단말이 있을 수 있다.
고유의 하드웨어 정보는 Probe Request 패킷 및 Probe Response 패킷을 전송하는 통신단말의 고유의 하드웨어 정보를 말한다. 다시 말하면, 하드웨어 정보는 통신단말이 가지고 있는 전반적인 시스템에 관한 하드웨어 정보를 말한다. 하나의 실시예로서 동일한 AP(Access Point)에 접속하려는 두 대의 사용자단말이 같은 회사에서 제조된 동일한 사양의 노트북일지라도, 상기 노트북을 구성하는 이더넷 카드를 비롯하여 구성 하드웨어는 제품의 일련번호가 다를 것이므로, 동일한 하드웨어 정보를 가지고 있는 사용자단말 또는 통신단말이 존재하는 것은 대단히 희박하다.
상기 통신단말이 전송하는 Probe 패킷은 센서의 패킷수집모듈(110)에서 수집되고, 상기 수집된 패킷으로부터 정보추출모듈(120)에서 MAC 주소 및 이와 연계된 고유의 하드웨어 정보가 추출되며, 정보전송모듈(130)에 의하여 상기 단말정보가 WIPS 서버(200)의 정보수신모듈(210)에 전송된다.
전송된 상기 단말정보는 WIPS 서버(200)의 정보저장모듈(220)에 저장된다. 상기 센서 및 WIPS 서버(200)의 동작은 WIPS 서버(200)의 제어모듈(240)에 의하여 제어된다.
3. 위법감시 단계(S203)
본 발명의 위법감시 단계는 상기 정보수집 단계를 포함하는 개념이다. 초기의 통신단말 및 이후에 새롭게 등록된 통신단말에 대한 단말정보는 상기 정보수집단계를 통하여 상기 WIPS 서버(200)에 등록된다. 상기 통신단말이 등록된 이후의 새로운 통신단말, 즉 새롭게 접속하는 사용자단말과 새롭게 설치되는 통신단말을 더 포함하는 전체 통신단말이 위법감시 단계의 대상이다.
기존의 통신단말의 MAC 주소의 변경 또는 하드웨어 정보의 변경으로 인한 단말정보 업데이트는 등록에 의하여 가능하므로, WIPS 서버에 저장된 단말정보의 교체가 가능하다.
본 발명의 하나의 실시예로서, 도 1에서 사용자단말3이 자신의 MAC 주소를 사용자단말1의 MAC 주소로 변경하여 AP(Access Point)에 전송하는 경우에, MAC 주소 변경에 의한 맥 스푸핑(MAC Spoofing)을 어떻게 감지하는지 알아본다.
도 4에서 WIPS 서버(200)의 정보저장모듈(220)에는 사용자단말1의 MAC 주소 및 이와 연계된 고유한 하드웨어정보가 저장되어있다. 사용자단말3이 사용자단말1의 MAC 주소와 동일한 MAC 주소로 AP(Access Point)에 접속한다. 상기 접속을 당하는 AP(Access Point)와 사용자단말3은 Probe Request 패킷 및 Probe Response 패킷을 전송하여 접속 단계를 진행한다. 이 과정에서 상기 AP(Access Point) 및 사용자단말3의 MAC 주소 및 이와 연계된 고유한 하드웨어정보를 포함하는 단말정보가 센서에 의하여 감지된다.
4. 정보전송 단계(S204)
센서(100)의 정보추출모듈(120)은 상기 감지된 단말정보로부터 해당 통신단말의 MAC 주소 및 이와 연계된 고유한 하드웨어 정보를 추출하여 WIPS 서버로 전송한다.
5. 위법판단 단계(S205)
상기 추출된 단말정보를 수신한 WIPS 서버는 이미 저장된 사용자단말1의 단말정보와 사용자단말3의 단말정보를 비교한다. 상기 두 대의 통신단말에서 사용자단말1의 하드웨어와 사용자단말3의 하드웨어는 동일하지 않다. 상기 통신단말의 하드웨어가 동일하지 않음에도 불구하고 상기 통신단말의 MAC 주소가 동일하다는 것이 서버의 의하여 감지된다. 일련의 단계를 통하여 WIPS 서버는 맥 스푸핑을 감지 할 수 있다.
또 다른 실시예로서, 불법의 AP(Access Point) 등이 설치되는 경우에도, 기존에 등록된 AP(Access Point)와 공통된 MAC 주소를 갖는 불법의 AP(Access Point)가 설치되어도, 하드웨어 정보까지 동일한 불법의 AP(Access Point)가 설치되는 것은 희박할 것이므로, 상기 일련의 과정을 통하여 불법 AP(Access Point) 설치 여부가 WIPS 서버에 의하여 판단될 수 있다.
본 발명의 맥 스푸핑(MAC Spoofing) 방지를 위한 보안 방법에 대한 일련의 단계가 도 2에 도시되어 있다.
<보안 시스템>
본 발명에 따른 맥 스푸핑(MAC Spoofing) 방지를 위한 보안 시스템의 하나의 실시예에 대하여 설명한다.
도 3 및 도 4에서, 본 발명의 시스템은 센서부(100) 및 WIPS 서버(200)를 포함한다. 상기 센서부(100)는 패킷수집모듈(110), 정보추출모듈(120) 및 정보전송모듈(130)을 포함하는 구성이다. 상기 WIPS 서버(200)는 정보수신모듈(210), 정보저장모듈(220), 위법판단모듈(230) 및 제어모듈(240)을 포함하는 구성이다.
상기 센서부(100)는 WIPS 서버(200)의 제어모듈(240)의 제어를 받는다. 통신단말 즉, 접속되는 사용자단말 및 모든 통신단말을 포함하는 단말의 전송 패킷을 감시하여 단말정보를 추출, 단말정보를 서버로 전송하는 역할을 한다.
상기 WIPS 서버는 상기 센서부(100)를 제어하고, 센서로부터 전송받은 통신단말의 단말정보를 기초로 하여 위법단말 여부를 판단하는 역할을 한다.
본 발명의 하나의 실시예로서, 도 1에서 사용자단말1 및 사용자단말2의 단말정보가 WIPS 서버(200)의 정보저장모듈(220)에 저장되어 있다.
사용자단말3이 자신의 MAC 주소를 사용자단말1의 MAC 주소와 동일한 MAC 주소로 변조를 하여 AP(Access Point)에 접속을 시도한다. 접속단계에서 사용자단말3과 AP(Access Point)는 Probe 패킷을 주고 받는다. 상기 전송되는 Probe Request 패킷에는 AP(Access Point)의 MAC 주소 및 이와 연계된 고유의 하드웨어 정보가 포함되어 있으며, Probe Response 패킷에는 사용잔단말3의 MAC 주소 및 이와 연계된 고유의 하드웨어 정보가 포함되어 있다.
센서(100)의 패킷수집모듈(110)이 상기 패킷을 수집한다. 수집된 패킷으로부터 정보추출모듈(120)에 의하여 단말정보가 추출된다. 상기 단말정보는 해당 통신단말의 MAC 주소 및 이와 연계된 고유의 하드웨어 정보이다. 추출된 단말정보는 정보전송모듈(130)에 의하여 WIPS 서버의 정보수신모듈(210)에 전송된다.
WIPS 서버의 정보저장모듈(220)은 상기 전송받은 단말정보를 저장한다.
이미 저장되어 있는 상기 사용자단말1의 단말정보를 기초로 하여 상기 전송된 사용자단말3의 단말정보를 비교하여 위법단말 여부를 판단하는 일은 위법판단모듈(230)에 의하여 행해진다.
상기 센서부(100) 및 WIPS 서버(200)의 각 모듈의 동작은 서버의 제어모듈(240)에 의하여 제어된다.
위에서 설명한 바와 같이 본 발명에 대한 구체적인 설명은 첨부된 도면을 참조한 실시예에 의해서 이루어졌지만, 상술한 실시예는 본 발명의 바람직한 예를 들어 설명하였을 뿐이기 때문에, 본 발명이 상기의 실시예에만 국한되는 것으로 이해되어져서는 아니 되며, 본 발명의 권리범위는 후술하는 청구범위 및 그 등가개념으로 이해되어져야 할 것이다.
100 : 센서부
110 : 패킷수집모듈
120 : 정보추출모듈
130 : 정보전송모듈
200 : WIPS 서버
210 : 정보수신모듈
220 : 정보저장모듈
230 : 위법판단모듈
240 : 제어모듈

Claims (7)

  1. 백본(Back Bone)에 기지국, 중계기, AP(Access Point) 및 사용자단말을 포함하는 통신단말이 연결되어 있는 네트워크에 있어서, 상기 통신단말에 접속하려는 사용자단말을 포함하는 상기 통신단말의 감시를 위하여 설치된 센서부에 의하여 상기 사용자단말을 포함하는 통신단말의 고유의 하드웨어 정보를 포함하는 단말정보를 수집하는 정보수집 단계;
    상기 센서부에 의하여 수집된 사용자단말을 포함하는 통신단말의 상기 단말정보(제 1정보)를 무선침입방지 시스템(WIPS: Wireless Intrusion Protecting System) 서버에 저장하는 정보저장 단계;
    상기 센서부에 의하여 상기 사용자단말을 포함하는 통신단말 및 새로운 통신단말(이하 전체 단말)을 감시하는 위법감시 단계;
    상기 위법감시 단계에서 수집된 전체단말의 고유의 하드웨어 정보를 포함하는 단말정보(제 2정보)를 상기 WIPS 서버에 전송하는 정보전송 단계;
    상기 통신단말 중에서 무단의 침입단말 또는 무단의 통신단말(이하 위법단말) 여부를 판단하는 위법판단 단계; 를 포함하며,
    상기 단말정보(제 1정보 또는 제 2정보)는,
    상기 사용자단말이 상기 통신단말에 접속되는 단계에 앞서서, 상기 통신단말에 의해 전송된 Probe Request 패킷을 수신한 상기 사용자단말이 Probe Response 패킷을 전송하는 단계에서 얻어지는 양방향의 Probe 패킷에 관한 정보에서 추출되는 것을 특징으로 하는 보안방법.
  2. 삭제
  3. 제 1항에 있어서
    상기 단말정보(제 1정보 또는 제 2정보)는,
    상기 사용자단말 및 통신단말의 MAC 주소 및 이와 연계된 고유의 하드웨어 정보인 것을 특징으로 하는 보안방법.
  4. 제 1항 또는 제 3항 중 어느 한 항에 있어서,
    상기 위법판단 단계는,
    상기 정보저장 단계의 저장정보인 MAC 주소 및 이와 연계된 고유의 하드웨어 정보(제 1정보)와 상기 정보전송 단계에서 전송받은 정보인 MAC 주소 및 이와 연계된 고유의 하드웨어 정보(제 2정보)를 비교하여 판단하는 것을 특징으로 하는 보안방법.
  5. 백본(Back Bone)에 기지국, 중계기, AP(Access Point) 및 사용자단말을 포함하는 통신단말이 연결되어 있는 네트워크에 있어서, 상기 통신단말에 접속하려는 사용자단말을 포함하는 상기 통신단말을 감시하여 상기 사용자단말을 포함하는 통신단말의 고유의 하드웨어 정보를 포함하는 단말정보를 보안 서버에 전송하는 센서부와 상기 단말정보를 전송받아 저장하고 무단의 위법단말 여부를 판단하는 무선 침입방지 시스템 (WIPS: Wireless Intrusion Protecting System) 서버를 포함하되,
    상기 센서부는,
    상기 통신단말에 접속하려는 사용자 단말을 포함하는 상기 통신단말의 감시를 위하여 패킷을 수집하는 패킷수집모듈;
    상기 패킷수집모듈에서 수집된 패킷에서 고유의 하드웨어 정보를 포함하는 상기 단말정보를 추출하는 정보추출모듈;
    상기 추출된 단말정보를 상기 WIPS 서버에 전송하는 정보전송모듈; 를 구비하고,
    상기 WIPS 서버는,
    상기 센서부에서 전송하는 단말정보를 수신하는 정보수신모듈;
    상기 수신된 단말정보를 저장하는 정보저장모듈;
    상기 정보저장모듈에 저장된 단말정보(제 1정보)를 기초로 상기 사용자단말을 포함하는 통신단말(이하 전체단말)이 무단의 위법단말인지를 판단하는 위법판단모듈; 및
    상기 센서부 및 정보수신모듈, 정보저장모듈, 위법판단모듈을 포함하는 상기 WIPS 서버를 제어하는 제어모듈; 을 포함하며,
    상기 단말정보는,
    상기 사용자단말이 상기 통신단말에 접속되는 단계에 앞서서, 상기 통신단말에 의해 전송된 Probe Request 패킷을 수신한 상기 사용자단말이 Probe Response 패킷을 전송하는 단계에서 얻어지는 양방향의 Probe 패킷에 관한 정보에서 추출된 상기 사용자단말 및 통신단말의 MAC 주소 및 이와 연계된 고유의 하드웨어 정보인 것을 특징으로 하는 보안 시스템.
  6. 삭제
  7. 제 5항에 있어서,
    상기 위법판단모듈은,
    상기 단말정보(제 1 정보)와 제 1 정보의 저장 이후에 상기 센서로부터 전송받은 통신단말에 관한 MAC 주소 및 이와 연계된 고유의 하드웨어 정보(제 2 정보)를 비교하여 판단하는 것을 특징으로 하는 보안 시스템.
KR1020120138157A 2012-11-30 2012-11-30 맥 스푸핑 방지를 위한 네트워크 보안방법 및 보안시스템 Active KR101382526B1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020120138157A KR101382526B1 (ko) 2012-11-30 2012-11-30 맥 스푸핑 방지를 위한 네트워크 보안방법 및 보안시스템

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020120138157A KR101382526B1 (ko) 2012-11-30 2012-11-30 맥 스푸핑 방지를 위한 네트워크 보안방법 및 보안시스템

Publications (1)

Publication Number Publication Date
KR101382526B1 true KR101382526B1 (ko) 2014-04-07

Family

ID=50656912

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020120138157A Active KR101382526B1 (ko) 2012-11-30 2012-11-30 맥 스푸핑 방지를 위한 네트워크 보안방법 및 보안시스템

Country Status (1)

Country Link
KR (1) KR101382526B1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101661749B1 (ko) 2015-05-04 2016-10-04 에스케이텔레콤 주식회사 비콘 신호 처리 장치, 방법 및 이를 위한 기록매체

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20060070309A (ko) * 2004-12-20 2006-06-23 한국전자통신연구원 무선 네트워크에 대한 공격을 탐지하기 위한 침입 탐지센서 및 무선 네트워크 침입 탐지 시스템 및 방법
KR100790375B1 (ko) * 2006-06-08 2008-01-02 한국정보통신주식회사 침입차단 장치와 침입차단을 위한 프로그램을 기록한 것을특징으로 하는 기록매체
KR20080108806A (ko) * 2007-06-11 2008-12-16 스콥정보통신 주식회사 무선랜 침입 방지 시스템 및 방법
KR20100027529A (ko) * 2008-09-02 2010-03-11 스콥정보통신 주식회사 무선랜 침입 방지 시스템 및 방법

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20060070309A (ko) * 2004-12-20 2006-06-23 한국전자통신연구원 무선 네트워크에 대한 공격을 탐지하기 위한 침입 탐지센서 및 무선 네트워크 침입 탐지 시스템 및 방법
KR100790375B1 (ko) * 2006-06-08 2008-01-02 한국정보통신주식회사 침입차단 장치와 침입차단을 위한 프로그램을 기록한 것을특징으로 하는 기록매체
KR20080108806A (ko) * 2007-06-11 2008-12-16 스콥정보통신 주식회사 무선랜 침입 방지 시스템 및 방법
KR20100027529A (ko) * 2008-09-02 2010-03-11 스콥정보통신 주식회사 무선랜 침입 방지 시스템 및 방법

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101661749B1 (ko) 2015-05-04 2016-10-04 에스케이텔레콤 주식회사 비콘 신호 처리 장치, 방법 및 이를 위한 기록매체

Similar Documents

Publication Publication Date Title
US7970894B1 (en) Method and system for monitoring of wireless devices in local area computer networks
CN105681272B (zh) 一种移动终端钓鱼WiFi的检测与抵御方法
US8638762B2 (en) System and method for network integrity
Dabrowski et al. The messenger shoots back: Network operator based IMSI catcher detection
KR101429177B1 (ko) 불법 ａｐ 검출 시스템 및 그의 검출 방법
US7710933B1 (en) Method and system for classification of wireless devices in local area computer networks
CN104580152A (zh) 一种防护wifi钓鱼的保护方法及系统
WO2006026099A2 (en) An automated sniffer apparatus and method for wireless local area network security
CN102438028A (zh) 一种防止dhcp服务器欺骗的方法、装置及系统
KR102323712B1 (ko) Wips 센서 및 wips 센서를 이용한 불법 무선 단말의 침입 차단 방법
CN102571719A (zh) 入侵检测系统及其检测方法
CN103327484A (zh) 一种无线局域网中清除非法ap的方法
KR20130005973A (ko) 네트워크 보안시스템 및 네트워크 보안방법
KR20140035600A (ko) 무선 침입방지 동글 장치
KR101001900B1 (ko) Ａｒｐ 공격 감지 방법 및 이를 이용한 시스템
WO2010027121A1 (en) System and method for preventing wireless lan intrusion
KR101186876B1 (ko) 유무선 통합시스템에서 실시간 침입차단 방법
KR101382526B1 (ko) 맥 스푸핑 방지를 위한 네트워크 보안방법 및 보안시스템
US8724506B2 (en) Detecting double attachment between a wired network and at least one wireless network
US9100429B2 (en) Apparatus for analyzing vulnerability of wireless local area network
CN105704716A (zh) VoWi-Fi网络的接入方法及接入装置
KR101083727B1 (ko) 무선 네트워크 보안 장치 및 그 방법
CN107969004B (zh) 联网系统、联网方法
KR101335293B1 (ko) 내부 네트워크 침입 차단 시스템 및 그 방법
KR101382527B1 (ko) 에이알피 포이즈닝 방지를 위한 네트워크 보안방법 및 보안시스템

Legal Events

Date Code Title Description
A201 Request for examination
PA0109 Patent application

Patent event code: PA01091R01D

Comment text: Patent Application

Patent event date: 20121130

PA0201 Request for examination
E902 Notification of reason for refusal
PE0902 Notice of grounds for rejection

Comment text: Notification of reason for refusal

Patent event date: 20131112

Patent event code: PE09021S01D

E701 Decision to grant or registration of patent right
PE0701 Decision of registration

Patent event code: PE07011S01D

Comment text: Decision to Grant Registration

Patent event date: 20140326

GRNT Written decision to grant
PR0701 Registration of establishment

Comment text: Registration of Establishment

Patent event date: 20140401

Patent event code: PR07011E01D

PR1002 Payment of registration fee

Payment date: 20140401

End annual number: 3

Start annual number: 1

PG1601 Publication of registration
FPAY Annual fee payment

Payment date: 20180402

Year of fee payment: 5

PR1001 Payment of annual fee

Payment date: 20180402

Start annual number: 5

End annual number: 5

FPAY Annual fee payment

Payment date: 20190312

Year of fee payment: 6

PR1001 Payment of annual fee

Payment date: 20190312

Start annual number: 6

End annual number: 6

PR1001 Payment of annual fee

Payment date: 20200401

Start annual number: 7

End annual number: 7

PR1001 Payment of annual fee

Payment date: 20210401

Start annual number: 8

End annual number: 8

PR1001 Payment of annual fee

Payment date: 20220120

Start annual number: 9

End annual number: 9

PR1001 Payment of annual fee

Payment date: 20240110

Start annual number: 11

End annual number: 11

PR1001 Payment of annual fee

Payment date: 20250331

Start annual number: 12

End annual number: 12