KR101447685B1 - 전송패킷 내용정보 기반 감염 이동단말의 탐지 및 제어 장치 - Google Patents

Abstract

본 발명은 감염된 이동단말을 격리시키는 기술에 있어서, 보다 구체적으로는 이동통신망과 연동하는 타 통신망에서 전송패킷의 내용정보를 기준으로 이동단말의 감염 여부를 검사한 후에 그 검사결과를 이동통신망에 제공함으로써 그 이동통신망에서 해당 감염 이동단말을 격리하도록 해주는 전송패킷 내용정보 기반 감염 이동단말의 탐지 및 제어 장치에 관한 것으로, 이동단말에 통신서비스를 제공하는 이동통신망과 서비스서버에 통신서비스를 제공하는 타 통신망 사이의 패킷 교환 구간에서 업로드 트래픽 또는 다운로드 트래픽의 패킷들을 인증패킷과 전송패킷으로 분리하고, 상기 전송패킷 중 감염 전송패킷의 전송을 차단하는 패킷처리부와, 상기 패킷 교환 구간에서 상기 업로드 트래픽 또는 상기 다운로드 트래픽의 패킷들에 대한 내용정보에 기준하여 상기 감염 전송패킷을 검출하는 감염탐지 차단부와, 상기 인증패킷을 사용하여 상기 이동단말에 대한 단말식별번호를 최신 값으로 갱신하고, 상기 감염 전송패킷에 포함된 식별번호에 대응되는 상기 최신 값을 상기 이동통신망에 전송하여 상기 이동단말에 할당된 무선자원의 해제를 요청하는 단말제어부로 구성되는 것이 특징인 발명이다.

Description

전송패킷 내용정보 기반 감염 이동단말의 탐지 및 제어 장치 {Apparatus of detecting and controlling infected mobile terminal based on content information of transmission packet}

본 발명은 감염된 이동단말을 격리시키는 기술에 관한 것으로, 보다 구체적으로는 이동통신망과 연동하는 타 통신망에서 전송패킷의 내용정보를 기준으로 이동단말의 감염 여부를 검사한 후에 그 검사결과를 이동통신망에 제공함으로써 그 이동통신망에서 해당 감염 이동단말을 격리하도록 해주는 전송패킷 내용정보 기반감염 이동단말의 탐지 및 제어 장치에 관한 것이다.

이동단말의 상용화 이후에 그의 사용 대상이 전 연령대로 확산되고 또한 이동단말에 관련된 기술이 계속 발전하고 있다.

더욱이 이동단말의 구조적 기능적 발전에 따라 그에 저장되는 데이터나 어플리케이션 또한 대용량화와 다변화 양상을 보이고 있다.

최근에는, 정보 보안에 기반하여 모바일 뱅킹 서비스이나 모바일 주식거래 서비스 등이 가능해졌다.

이와 같은 이동단말 기술과 그에 기반하는 서비스가 발전하는 것에 비해, 이동단말 사용자의 보안인식이나 보안지식은 아직 부족한 실정이며, 또한 운영업체들에 의해 마련된 이동단말에 대한 보안 체계는 제자리 걸음을 면치 못하고 있는 실정이다.

특히, 최근 출시되는 이동단말은 다양한 서비스 기능과 대용량화를 추구하고 있어서, 그 이동단말에는 개인정보나 뱅킹정보 등 특별히 보안이 요구되는 정보가 저장되어 있다. 그럼에도 그들을 보호하기 위한 보안 기술은 미미한 수준이어서 그들의 유출 시 심각한 피해가 발생될 수 있다.

또한, 최근에는 사용자가 원하지 않는 내용을 포함하는 데이터를 대량으로 무작위 배포하는 비정상 정보의 전송이 확산되고 있으며, 그의 확산은 이동단말의 감염 우려를 가중시키고 있다.

한편, 이동단말의 보안을 위해 전용 백신소프트웨어가 개발되어 그를 이동단말에 설치함으로써 어느 정도 문제점을 해소하고는 있으나, 해커들의 백신소프트웨어 회피 기술도 날로 발전하고 있는 상황에서 이동단말의 전용 백신소프트웨어만으로는 안정된 보안을 실현할 수 없는 실정이다.

결국, 다른 강력한 대응 방안을 마련하는 것이 바람직한데, 그에 가장 효과적인 방안으로는 통신서비스망 자체에서 이동통신 제어장비가 정보 유출이나 비정상적인 접근을 탐지하고 그를 차단하는 것이다.

그러나 이동통신 제어장비들은 이동단말과 GGSN(Gateway GPRS Support Node)과 같은 패킷 교환기 간에 전송하는 과정에서 데이터를 단지 암호화 또는 복호화만 처리하고 있다. 이는 데이터의 검증 없이 또한 데이터 내용에는 관여하지 않고 또한 망 자원을 고려하지 않고 전송하는 방식이어서 전송 효율성은 높일 수 있겠으나 이동통신망에 전송되는 데이터의 보안성 및 이동통신서비스의 안정성을 확보할 수는 없다.

본 발명의 목적은 상기한 점을 감안하여 안출한 것으로, 특히 이동통신망과 타 통신망 사이의 패킷 교환 구간에서 전송패킷의 내용정보를 기준으로 이동단말의 감염 여부를 검사하고, 그 검사결과에 따라 그 이동통신망에서 그 감염된 이동단말을 격리하게 해주는 전송패킷 내용정보 기반 감염 이동단말의 탐지 및 제어 장치를 제공하는 데 있다.

상기한 목적을 달성하기 위한 본 발명에 따른 전송패킷 내용정보 기반 감염 이동단말의 탐지 및 제어 장치의 특징은, 이동단말에 통신서비스를 제공하는 이동통신망과 서비스서버에 통신서비스를 제공하는 타 통신망 사이의 패킷 교환 구간에서 업로드 트래픽 또는 다운로드 트래픽의 패킷들을 인증패킷과 전송패킷으로 분리하고, 상기 전송패킷 중 감염 전송패킷의 전송을 차단하는 패킷처리부와, 상기 패킷 교환 구간에서 상기 업로드 트래픽 또는 상기 다운로드 트래픽의 패킷들에 대한 내용정보에 기준하여 상기 감염 전송패킷을 검출하는 감염탐지 차단부와, 상기 인증패킷을 사용하여 상기 이동단말에 대한 단말식별번호를 최신 값으로 갱신하고, 상기 감염 전송패킷에 포함된 식별번호에 대응되는 상기 최신 값을 상기 이동통신망에 전송하여 상기 이동단말에 할당된 무선자원의 해제를 요청하는 단말제어부로 구성되는 것이다.

바람직하게, 상기 패킷처리부는 튜플 정보에 해당하는 다수 식별번호가 차단 대상으로 등록된 차단리스트와, 상기 이동단말의 튜플 정보에 대응하여 상기 이동단말에 대한 제1통신자원의 정보와 상기 이동단말에 현재 할당된 제1통신자원 량, 그리고 상기 서비스서버의 튜플 정보에 대응하여 상기 서비스서버에 대한 제2통신자원의 정보와 상기 서비스서버에 현재 할당된 제2통신자원 량이 등록된 자원관리테이블을 구비할 수 있다. 여기서, 상기 튜플 정보는 프로토콜, 프로토콜 식별번호, 출발지 IP 주소, 목적지 IP 주소, 출발지 포트번호, 그리고 목적지 포트번호를 포함할 수 있다.

보다 바람직하게, 상기 패킷처리부는 상기 전송패킷에 포함되는 IP 주소가 상기 차단리스트에서 검색됨에 따라 상기 전송패킷을 상기 감염 전송패킷으로 분류할 수 있다.

보다 바람직하게, 상기 감염탐지 차단부는 상기 패킷 교환 구간에 전송되는 패킷들의 내용정보를 기준으로 딥 패킷 인스펙션(DPI) 처리를 실시하고, 상기 딥 패킷 인스펙션(DPI) 처리의 결과에서 추출한 내용정보가 특정 감염 패턴을 포함하는 경우에 해당 전송패킷을 상기 감염 전송패킷으로 분류할 수 있다. 여기서, 상기 감염탐지 차단부는 상기 감염 전송패킷에 포함된 식별번호를 상기 패킷처리부에 제공하고, 상기 패킷처리부는 상기 감염탐지 차단부로부터 제공받은 식별번호를 상기 차단리스트에 등록할 수 있다.

보다 바람직하게, 상기 패킷처리부는 상기 감염 전송패킷에 포함된 식별번호를 사용하여, 상기 제1통신자원 또는 상기 제2통신자원 중에서 상기 감염 전송패킷에 대해 할당된 통신자원의 정보를 상기 자원관리테이블에서 삭제할 수 있다.

바람직하게, 상기 감염탐지 차단부는 다수 서비스서버에서 제공하는 서비스 카테고리를 분류하여 정의하고, 각 서비스 카테고리별 정상적인 서비스서버의 식별번호를 포함하고, 각 서비스 카테고리별 내용정보 샘플을 포함하는 인증리스트를 구비하되, 상기 업로드 트래픽 또는 상기 다운로드 트래픽의 전송패킷에 대해 딥 패킷 인스펙션(DPI)를 실시하고, 상기 딥 패킷 인스펙션(DPI)를 통해 추출된 내용정보와 상기 전송패킷을 전송한 특정 서비스서버의 식별번호 간의 상관성을 상기 인증리스트에 기준하여 검사하고, 상기 검사 결과에 근거하여 상기 감염 전송패킷을 검출할 수 있다. 그에 따라, 상기 감염탐지 차단부는 상기 딥 패킷 인스펙션(DPI)를 통해 추출된 내용정보에 대응되는 특정 서비스 카테고리의 내용정보 샘플을 검색하고, 상기 검색된 내용정보 샘플에 대응되는 식별번호를 상기 전송패킷에 포함되는 식별번호와 비교하고, 상기 비교된 두 식별번호들이 불일치하면, 상기 전송패킷을 상기 감염 전송패킷으로 분류할 수 있다.

바람직하게, 상기 단말제어부는 상기 패킷처리부 또는 상기 감염탐지 차단부로부터 상기 감염 전송패킷에 포함된 식별번호를 제공받을 수 있다.

바람직하게, 상기 단말제어부는 상기 최신 값을 상기 이동단말에 대한 상기 무선자원의 할당 또는 해제를 제어하는 기기 식별 레지스터(EIR)로 전송할 수 있다.

바람직하게, 상기 단말식별번호는 IMSI(International Mobile Station Equipment Identity)일 수 있다.

본 발명에 따르면, 이동단말에 통신서비스를 제공하는 이동통신망과 그 이동통신망과 연동하는 타 통신망 사이의 패킷 교환 구간에서 전송패킷의 내용정보를 기준으로 딥 패킷 인스펙션(DPI: Deep Packet Inspection) 처리를 실시하여 이동단말의 감염 여부를 검사하고, 그 검사결과에 따라 해당하는 감염 이동단말을 격리시킬 수 있도록 지원함으로써, 이동통신망에서 감염된 이동단말을 효과적으로 격리하게 도와준다.

또한, 전송패킷의 내용정보를 기준으로 신규 세션 설정이나 대역에 대한 신규 할당을 관리하므로, 이미 제공되고 있는 서비스에 영향을 최소화하면서 망의 부하를 급격히 가중시키는 신규 세션 증가나 대역에 대한 신규 사용량 증가를 효과적으로 차단한다. 그에 따라, 전체 통신망의 안정성을 유지해주는 효과가 있다.

도 1은 본 발명의 일 실시 예에 따른 감염 이동단말의 탐지 및 제어 장치와, 이동단말에 서비스를 제공하는 이동통신망과, 그 이동통신망과 연동하는 인터넷의 구성을 나타낸 시스템 구성도.
도 2는 본 발명의 일 실시 예에 따른 감염 이동단말의 탐지 및 제어 장치의 패킷처리부의 구성을 나타낸 블록다이어그램.
도 3은 본 발명의 일 실시 예에 따른 감염 이동단말의 탐지 및 제어 장치의 감염탐지 차단부의 구성을 나타낸 블록다이어그램.
도 4는 본 발명의 일 실시 예에 따른 감염 이동단말의 탐지 및 제어 장치의 단말제어부의 구성을 나타낸 블록다이어그램.

본 발명의 다른 목적, 특징 및 이점들은 첨부한 도면을 참조한 실시 예들의 상세한 설명을 통해 명백해질 것이다.

이하, 첨부된 도면을 참조하여 본 발명의 실시 예의 구성과 그 작용을 설명하며, 도면에 도시되고 또 이것에 의해서 설명되는 본 발명의 구성과 작용은 적어도 하나의 실시 예로서 설명되는 것이며, 이것에 의해서 상기한 본 발명의 기술적 사상과 그 핵심 구성 및 작용이 제한되지는 않는다.

이하, 첨부한 도면을 참조하여 본 발명에 따른 전송패킷 내용정보 기반 감염 이동단말의 탐지 및 제어 장치의 바람직한 실시 예를 자세히 설명하며, 이하 설명에서는 이동단말을 감염 이동단말로 정의하므로, 이동단말과 감염 이동단말을 동일한 부호로 설명한다.

도 1은 본 발명의 일 실시 예에 따른 감염 이동단말의 탐지 및 제어 장치와, 이동단말에 서비스를 제공하는 이동통신망과, 그 이동통신망과 연동하는 인터넷의 구성을 나타낸 시스템 구성도이다.

도 1을 참조하면, 본 발명의 장치는 크게 패킷처리부(210)와, 감염탐지 차단부(220)와, 단말제어부(230)로 구성된다.

본 발명에 따른 감염 이동단말의 탐지 및 제어 장치는 이동단말(100)에 통신서비스를 제공하는 이동통신망과 그 이동통신망과 연동하는 타 통신망 사이의 패킷 교환 구간에 구비된다. 여기서, 이동통신망은 동기방식 이동통신망이나 비동기방식 이동통신망 중 어느 하나일 수 있다. 이동통신망으로는 CDMA2000 1x(Code Division Multiple Access 2000 1x), CDMA2000 1xEVDO(Code Division Multiple Access 2000 1x Evolution Data Only), GPRS(General Packet Radio Services), UMTS(Universal Mobile Telecommunications System), UTRAN(Universal Terrestrial Radio Access Network), EDGE(Enhanced Data for GSM Evolution), WiFi, WiMax 및 WiBro 중 어느 하나일 수 있으며, 본 발명에서는 GPRS를 일 예로 설명하나 그에 한정하지는 않는다. 또한 이동통신망과 연동하는 타 통신망은 유선통신망인 것이 바람직하며, 그 유선통신망으로는 인터넷, LAN(Local Area Network), 원거리 통신망(WAN), 디지털 가입자 회선(DSL) 네트워크 및 케이블 네트워크 중 어느 하나일 수 있으며, 본 발명에서는 서비스서버(300)에 통신서비스를 제공하는 인터넷을 일 예로 설명하나 그에 한정하지는 않는다.

이동통신망은 패킷 교환기로써 GGSN(110)을 구비하며, 이동통신망에서 이동단말(100)의 무선자원을 할당 또는 해제하는 제어 장비인 기기 식별 레지스터(Equipment Identity Register; 이하, EIR)(120)을 구비한다. 또한, 도 4에 도시된 바와 같이 이동통신망 인증서버(130)을 구비할 수 있다.

이동통신망과 연동하는 타 통신망으로써 인터넷은 다양한 유선망 서비스를 제공하는 서비스서버(300)를 구비할 수 있다.

본 발명에 따른 장치는 이동통신망과 인터넷 사이의 패킷 교환 구간에서 업로드 트래픽 또는 다운로드 트래픽에 대해 전송패킷의 내용정보를 기준으로 딥 패킷 인스펙션(Deep Packet Inspection; 이하, DPI) 처리를 실시하여 그 전송패킷의 감염 여부를 검사하고, 그 검사결과에 따라 감염된 이동단말(100)을 이동통신망에서 격리시킬 수 있도록 그 이동통신망에 그 검사결과에 따른 정보를 제공한다. 그에 따라, 이동통신망에서 제공받은 이동단말(100)의 식별정보를 사용하여 해당하는 감염 이동단말(100)을 격리시킨다.

본 발명의 장치는 크게 패킷처리부(210)와, 감염탐지 차단부(220)와, 단말제어부(230)로 구성되며, 감염탐지 차단부(220)가 업로드 트래픽 또는 다운로드 트래픽의 전송패킷에 대한 내용정보를 기준으로 감염 전송패킷을 판별하며, 단말제어부(230)가 감염탐지 차단부(220)에서 제공된 식별정보를 사용하여 이동통신망에 이동단말(100)에 대한 식별번호를 제공한다.

도 2는 본 발명의 일 실시 예에 따른 감염 이동단말의 탐지 및 제어 장치의 패킷처리부의 구성을 나타낸 블록다이어그램이고, 도 3은 본 발명의 일 실시 예에 따른 감염 이동단말의 탐지 및 제어 장치의 감염탐지 차단부의 구성을 나타낸 블록다이어그램이고, 도 4는 본 발명의 일 실시 예에 따른 감염 이동단말의 탐지 및 제어 장치의 단말제어부의 구성을 나타낸 블록다이어그램이다.

도 2를 참조하면, 패킷처리부(210)는 인증패킷분리모듈(211)과 블랙리스트모듈(212)과 자원관리모듈(213)과 패킷출력모듈(214)로 구성되며, 블랙리스트모듈(212)은 차단리스트(212a)를 구비하고 자원관리모듈(213)은 자원관리테이블(213a)을 구비한다.

패킷처리부(210)의 인증패킷분리모듈(211)은 이동통신망과 인터넷 사이의 패킷 교환 구간에 전송되는 트래픽(업로드 트래픽 또는 다운로드 트래픽)의 패킷들을 인증패킷과 전송패킷으로 분리한다. 여기서 인증패킷은 이동단말의 인증정보를 포함하는 패킷이고, 전송패킷은 인증정보 이외의 사용자정보를 포함하는 패킷으로 정의한다.

인증패킷분리모듈(211)은 업로드 트래픽의 패킷이 인증정보를 포함하는 인증패킷인 경우에, 그 인증패킷을 단말제어부(230)에 구비되는 이동단말정보 업데이트모듈(231)에 제공한다. 여기서, 인증패킷은 이동통신망 인증서버(130)로부터 제공되는 것이 바람직하며, 인증패킷분리모듈(211)은 인증패킷에서 추출한 인증정보와 그의 식별정보를 단말제어부(230)에 구비되는 이동단말정보 업데이트모듈(231)에 제공하는 것이 바람직하다.

또한, 인증패킷분리모듈(211)은 업로드 트래픽 또는 다운로드 트래픽의 패킷이 전송패킷인 경우에, 그 전송패킷에 포함되는 식별정보를 추출한다.

블랙리스트모듈(212)은 인증패킷분리모듈(211)에서 추출한 전송패킷의 식별번호 즉, IP 주소를 사용하여 그 전송패킷의 적정성 여부를 검사하되, 그 적정성 검사는 블랙리스트모듈(212)에 구비되는 차단리스트(212a)에 등록된 차단 대상의 식별정보를 금번에 추출한 전송패킷의 식별번호와 비교함으로써 실시된다. 특히, 전송패킷의 식별번호(예, IP 주소)가 차단리스트(212a)에 등록되어 있는지를 검색하여 전송패킷을 정상 전송패킷과 감염 전송패킷으로 분류한다.

예로써, 블랙리스트모듈(212)은 전송패킷에 포함되는 IP 주소가 차단리스트(212a)에서 검색됨에 따라, 해당 전송패킷을 감염 전송패킷으로 분류한다.

차단리스트(212a)는 이동통신망과 인터넷 사이의 패킷 교환 구간에 전송되는 트래픽(업로드 트래픽 또는 다운로드 트래픽)의 패킷들 중 차단 대상의 식별정보를 포함한다. 차단리스트(212a)는 인증패킷분리모듈(211)에서 추출한 식별정보와, 그 식별정보를 포함하는 전송패킷에 대해 감염탐지 차단부(220)에서 제공하는 검사 결과를 토대로 작성된다. 즉, 감염탐지 차단부(220)가 전송패킷의 내용정보를 기준으로 DPI 처리를 실시하여 감염 전송패킷에 대한 정보를 제공하면, 블랙리스트모듈(212)은 그 감염 전송패킷의 식별정보를 차단리스트(212a)에 등록한다.

일 예로, 감염탐지 차단부(220)에서 실시된 전송패킷의 내용정보에 대한 DPI처리 결과에 기반하여 감염 전송패킷에 포함된 출발지 IP 주소와 목적지 IP 주소를 차단 대상으로 하여 차단리스트(212a)에 등록한다. 다시 말해서, 차단리스트(212a)에는 다수 출발지 IP 주소에 해당하는 식별번호 또는 다수 목적지 IP 주소에 해당하는 식별번호가 차단 대상으로 등록될 수 있다.

한편, 차단리스트(212a)는 영구적 보존 특성을 갖는 부분과 일시적 보존 특성을 갖는 부분으로 구분될 수 있다. 즉, 일부 식별번호에 대해서는 영구적으로 보존하여 해당 식별번호를 사용하는 서비스를 영구적으로 차단하며, 다른 식별번호에 대해서는 일정 기간 동안만 보존하여 그 정해진 기간 이후에는 해당 식별번호를 사용하는 서비스를 허용한다.

블랙리스트모듈(212)에서 실시된 전송패킷의 적정성 검사 결과는 자원관리모듈(213)에 제공되며, 또한 감염 전송패킷에 포함된 식별번호를 단말제어부(230)에 제공된다. 예로써, 블랙리스트모듈(212)은 감염 전송패킷에 포함되는 출발지 IP 주소 또는 목적지 IP 주소 중에서 이동단말(100)에 할당된 IP 주소를 단말제어부(230)에 전달한다.

여기서, 블랙리스트모듈(212)는 전송패킷의 적정성 검사 결과에서 전송패킷이 감염 전송패킷으로 확인됨에 따라 그 감염 전송패킷에 포함된 이동단말(100)의 식별번호를 단말제어부(230)에 제공한다. 예로써, 블랙리스트모듈(212)은 업로드 트래픽의 전송패킷이 감염 전송패킷인 경우에는 그 감염 전송패킷에 포함된 출발지 IP 주소를 단말제어부(230)에 전달하며, 다운로드 트래픽의 전송패킷이 감염 전송패킷인 경우에는 그 감염 전송패킷에 포함된 목적지 IP 주소를 단말제어부(230)에 전달한다.

자원관리모듈(213)은 이동통신망과 인터넷 사이의 패킷 교환 구간에서 전송되는 트래픽(업로드 트래픽 또는 다운로드 트래픽)을 위해 설정되는 통신자원을 관리하기 위한 자원관리테이블(213a)을 생성한다. 여기서, 자원관리모듈(213)에 구비되는 자원관리테이블(213a)은 세션자원이나 대역자원과 같은 통신자원의 생성 및 삭제를 관리하기 위한 것이다. 예로써, 자원관리모듈(213)은 패킷 전송을 위한 신규 세션이 이동통신망 또는 인터넷에 설정(establish)됨에 따라 그 신규 세션정보를 자원관리테이블(213a)에 생성하며, 패킷 전송이 완료됨에 따라 세션을 해제할 시에 그 세션정보를 자원관리테이블(213a)에서 삭제한다.

또한, 자원관리모듈(213)은 블랙리스트모듈(212)의 적정성 검사 결과를 사용하여 자원관리테이블(213a)을 관리한다. 즉, 자원관리모듈(213)은 블랙리스트모듈(212)에서 분류된 감염 전송패킷에 할당된 통신자원의 정보를 자원관리테이블(213a)에서 삭제한다.

블랙리스트모듈(212)에서 감염 전송패킷으로 확인된 적정성 검사 결과가 제공되는 경우에, 자원관리모듈(213)은 그 감염 전송패킷에 대해 등록되어 있던 세션자원 정보를 자원관리테이블(213a)에서 삭제시킨다.

자원관리테이블(213a)의 정보에 대한 생성 및 삭제는 자원관리모듈(213)이 실시할 수 있다. 자원관리모듈(213)은 튜플 정보 기준으로 자원관리테이블(213a)을 관리하는데, 튜플(tuple) 정보는 프로토콜, 프로토콜 식별번호(ID), 출발지 IP 주소, 목적지 IP 주소, 출발지 포트 번호, 목적지 포트 번호 등을 포함할 수 있다.

차단리스트(212a)와 자원관리테이블(213a) 간의 상관 관계를 설명하면, 차단리스트(212a)에는 전술된 튜플 정보에 해당하는 다수 식별번호가 차단 대상으로 등록되며, 자원관리테이블(213a)에는 튜플 정보에 대응하여 이동단말(100)에 대한 제1통신자원의 정보와 이동단말(100)에 현재 할당된 제1통신자원 량, 그리고 튜플 정보에 대응하여 서비스서버(300)에 대한 제2통신자원의 정보와 서비스서버(300)에 현재 할당된 제2통신자원 량이 등록된다. 여기서, 제1통신자원 량은 이동단말(100)에 대해 현재 할당된 세션 개수이고, 제2통신자원 량은 서비스서버(300)에 대해 현재 할당된 세션 개수일 수 있다. 또는, 제1통신자원 량은 이동단말(100)에 대해 현재 할당된 대역자원 량이고, 제2통신자원 량은 서비스서버(300)에 대해 현재 할당된 대역자원 량일 수 있다.

그에 따라, 블랙리스트모듈(212)은 전송패킷 내의 프로토콜, 프로토콜 식별번호(ID), 출발지 IP 주소, 목적지 IP 주소, 출발지 포트 번호, 목적지 포트 번호 등이 차단리스트(212a)에 등록되어 있는지를 검색하고, 그 검색 결과에 따라 감염 전송패킷을 분류한다.

그리고, 자원관리모듈(213)은 감염 전송패킷에 대해 할당된 제1통신자원이나 제2통신자원에 대한 정보를 자원관리테이블(213a)에서 삭제한다.

일 예로써, 블랙리스트모듈(212)이 감염 전송패킷에 포함된 IP 주소를 전달함에 따라, 자원관리모듈(213)은 자원관리테이블(213a)에 그 전달된 IP 주소가 등록되어 있는지를 검색하고, 그 검색 결과에 따라 제1통신자원 또는 제2통신자원 중에서 감염 전송패킷에 대해 할당된 통신자원의 정보를 자원관리테이블(213a)에서 삭제한다.

본 발명은 프로토콜, 출발지 IP 주소, 목적지 IP 주소, 출발지 포트 번호, 목적지 포트 번호를 포함하는 5-튜플 정보를 기준으로 적용한다.

패킷출력모듈(214)은 이동통신망에서 인터넷으로의 업로드 트래픽의 전송패킷이 감염되지 않은 정상 전송패킷인 경우에, 그 정상 전송패킷을 인터넷으로 전송한다. 인터넷에서 이동통신망으로의 다운로드 트래픽의 전송패킷이 감염되지 않은 정상 전송패킷인 경우에, 그 정상 전송패킷을 이동통신망의 GGSN(110)으로 전송한다. 그러나, 블랙리스트모듈(212)에서 실시된 전송패킷의 적정성 검사 결과 또는 감염탐지 차단부(220)에서 DPI 처리에 기준한 감염 여부 검사 결과로부터, 업로드 트래픽 또는 다운로드 트래픽의 전송패킷이 감염 전송패킷인 경우에는 해당하는 감염 전송패킷의 전송을 차단한다.

도 3을 참조하면, 감염탐지 차단부(220)는 내용기반탐지모듈(221)과, 행위기반탐지모듈(222)로 구성되며, 행위기반탐지모듈(222)은 인증리스트(222a)를 구비한다.

내용기반탐지모듈(221) 또는 행위기반탐지모듈(222)는 업로드 트래픽 또는 다운로드 트래픽에 대해 전송패킷의 내용정보를 기준으로 DPI처리를 실시하여 전송패킷의 감염 여부를 검사하고, 감염 전송패킷에 포함되는 식별정보를 블랙리스트모듈(212)에 제공한다. 블랙리스트모듈(212)은 내용기반탐지모듈(221) 또는 행위기반탐지모듈(222)로부터 제공받은 식별정보를 차단리스트(212a)에 등록한다. 또한 자원관리모듈(213)은 차단리스트(212a)에 기준하여 감염 전송패킷에 할당된 통신자원의 정보를 자원관리테이블(213a)에서 삭제한다.

내용기반탐지모듈(221)은 패킷처리부(210)의 인증패킷분리모듈(211)로부터 제공된 전송패킷에 대해 DPI 처리를 실시한다. 그 DPI 처리의 결과 전송패킷의 내용정보가 알려진 감염 패턴을 포함하면, 해당 전송패킷을 감염 전송패킷으로 분류한다.

행위기반탐지모듈(222)은 패킷처리부(210)의 인증패킷분리모듈(211)로부터 제공된 전송패킷에 대해 DPI 처리를 실시하고, 그 DPI 처리의 결과로 추출된 내용정보의 특성을 인증리스트(222a)를 통해 검색하여 감염 전송패킷을 분류한다.

상세하게, 행위기반탐지모듈(222)은 전송패킷에 대한 DPI 처리를 실시하여 그 전송패킷의 내용정보가 인증리스트(222a)에 포함되는 정상적인 서비스 내용인지를 검색한다. 즉, 전송패킷의 내용정보가 인증리스트(222a)에 포함되는 정상적인 서비스 내용으로 검색되지 않으면, 행위기반탐지모듈(222)은 해당 전송패킷을 감염 전송패킷으로 분류한다. 여기서, 인증리스트(222a)는 서비스서버에서 제공하는 서비스 카테고리를 분류하여 정의하고, 각 서비스 카테고리별 서비스서버의 식별번호를 포함하고, 또한 각 서비스 카테고리별 내용정보 샘플을 포함한다.

행위기반탐지모듈(222)은 DPI 처리를 통해 추출한 전송패킷의 내용정보를 사용하여 인증리스트(222a)를 검색하고, 그 검색결과에 따른 카테고리의 내용정보 샘플에 대응되는 식별번호와 전송패킷 내의 식별번호를 비교하여 감염 전송패킷을 검출한다. 상세하게, 행위기반탐지모듈(222)은 인증리스트(222a)의 검색을 통해 전송패킷 내의 식별번호가 그 전송패킷의 내용정보를 전송하는 출발지 IP 주소로써 정당한 식별번호를 가지는지를 검사한다.

예로써, 행위기반탐지모듈(222)은 DPI 처리를 통해 추출한 전송패킷의 내용정보를 사용하여 인증리스트(222a)에서 대응되는 내용정보 샘플을 검색한다. 이어, 검색된 내용정보 샘플에 대응되는 식별번호를 전송패킷에 포함되는 식별번호와 비교한다. 그 비교 결과에서 비교된 식별번호가 불일치하면, 행위기반탐지모듈(222)은 그 전송패킷을 감염 전송패킷으로 분류한다.

이와 같이, 본 발명에서는 DPI 처리를 통해 추출된 전송패킷의 내용정보와 그 전송패킷을 전송한 서비스서버의 식별번호 간의 상관성을 인증리스트(222a)에 기준하여 검사하고, 그 검사 결과에 근거하여 전송패킷의 감염 여부를 결정한다.

예로써, 전송패킷의 내용정보가 금융거래내역이면서 그 전송패킷에 포함된 식별번호 중 출발지 IP 주소가 금융관련서버의 주소가 아닌 경우에는 해당 전송패킷을 감염 전송패킷으로 판정한다. 이어, 그 전송패킷이 감염 전송패킷으로 정의됨에 따라, 블랙리스트모듈(212)이 감염 전송패킷에 포함된 식별번호를 차단리스트(212a)에 등록한다.

또다른 예로써, 업로드 트래픽으로 전송되는 전송패킷의 내용정보가 금융거래내역이면서 그 전송패킷에 포함된 식별번호 중 목적지 IP 주소가 금융관련서버의 주소가 아닌 경우에는 해당 전송패킷을 감염 전송패킷으로 판정한다.

한편, 내용기반탐지모듈(221) 또는 행위기반탐지모듈(222)은 감염 전송패킷에 포함된 식별번호를 단말제어부(230)에 제공하여 이동통신망에서 해당 이동단말(100)을 격리시킬 수 있도록 제어한다.

도 4를 참조하면, 단말제어부(230)는 이동단말정보 업데이트모듈(231)과 감염단말제어요청모듈(232)로 구성되며, 이동단말정보 업데이트모듈(231)은 이동단말매핑테이블(231a)을 구비한다.

단말제어부(230)는 패킷처리부(210) 및 감염탐지 차단부(220)와 연동하여 이동단말(100)이 이동통신망에서 격리되도록 그 이동통신망에 그 이동단말(100)의 단말식별번호를 제공한다. 그 단말식별번호는 이동단말(100)에 고유하게 부여되는 고유식별번호와 그 이동단말(100)의 트래픽을 위해 임시로 할당된 임시식별번호를 포함할 수 있다. 여기서, 고유식별번호는 이동단말의 모바일식별번호(Mobile Identification Number)나 기기일렬번호(Equipment Serial Number) 등일 수 있으며, 임시식별번호는 IMSI(International Mobile Station Identity) 등일 수 있다.

이동단말정보 업데이트모듈(231)은 이동단말(100)의 식별번호 또는 IP 주소 등에 대응하여 단말식별번호가 등록된 이동단말매핑테이블(231a)을 구비한다.

이동단말정보 업데이트모듈(231)은 패킷처리부(210)의 인증패킷분리모듈(211)에서 제공하는 인증패킷을 사용하여 이동단말매핑테이블(231a)에 이동단말(100)의 단말식별번호를 신규로 등록하거나 이미 등록된 이동단말(100)의 단말식별번호를 최신 값으로 갱신한다. 그에 따라 이동단말매핑테이블(231a)은 이동단말(100)의 최신 단말식별번호를 유지한다.

예로써, 패킷처리부(210)는 이동단말(100)에 대한 서비스 시작과 종료 시에 이동통신망 인증서버(130)와 인증 어카운트 정보를 교환할 수 있다. 그에 따라, 이동단말정보 업데이트모듈(231)은 패킷처리부(210)의 인증패킷분리모듈(211)에서 분리된 인증패킷을 사용하여 이동단말(100)의 단말식별번호를 추가 또는 삭제하는 방식으로 이동단말(100)의 동작 식별정보에 대한 최신 값을 유지한다. 여기서, 인증 어카운트 정보가 전술된 바와 같이 패킷처리부(210)의 인증패킷분리모듈(211)에서 제공하는 인증패킷이다.

블랙리스트모듈(212)에서 전송패킷이 감염 전송패킷으로 분류됨에 따라, 감염단말제어요청모듈(232)은 블랙리스트모듈(212)로부터 그 감염 전송패킷에 포함된 식별번호 즉, 출발지 IP 주소 또는 목적지 IP 주소를 수신하며, 그 식별번호에 대응되는 이동단말(100)의 최신 값(즉, 최신 단말식별번호)을 이동단말매핑테이블(231a)에서 읽어 들인 후에, 이동단말(100)에 할당된 이동통신망의 무선자원을 해제하도록 그 읽어 들인 최신 값을 이동통신망에 전송한다.

또한, 내용기반탐지모듈(221) 또는 행위기반탐지모듈(222)로부터 감염 전송패킷에 포함된 식별번호 즉, 출발지 IP 주소 또는 목적지 IP 주소를 수신하며, 그 식별번호에 대응되는 이동단말(100)의 최신 값(즉, 최신 단말식별번호)을 이동단말매핑테이블(231a)에서 읽어 들인 후에, 이동단말(100)에 할당된 이동통신망의 무선자원을 해제하도록 그 읽어 들인 최신 값을 이동통신망에 전송한다.

감염단말제어요청모듈(232)은 이동단말매핑테이블(231a)에서 읽어 들인 최신 값을 이동통신망의 제어 장비인 EIR(120)에 제공한다.

이동통신망의 EIR(120)은 이동통신망에서 이동단말(100)에 대한 무선자원을 할당 또는 해제하는 제어 장비로써, EIR(120)은 감염단말제어요청모듈(232)로부터 수신한 이동단말(100)의 최신 단말식별번호(예로써, IMSI)를 사용하여 이동단말 상태정보(IMEI-Status)를 격리 대상으로 갱신한다. 또한 EIR(120)은 HLR(Home Location Register)과 연동하여 격리 대상인 이동단말(100)이 점유한 무선자원을 해제시킨다. 또한 그 이동단말(100)에 대한 식별정보를 블랙리스트에 등록하여 재인증되지 않도록 제어한다.

지금까지 본 발명의 바람직한 실시 예에 대해 설명하였으나, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자는 본 발명의 본질적인 특성을 벗어나지 않는 범위 내에서 변형된 형태로 구현할 수 있을 것이다.

그러므로 여기서 설명한 본 발명의 실시 예는 한정적인 관점이 아니라 설명적인 관점에서 고려되어야 하고, 본 발명의 범위는 상술한 설명이 아니라 특허청구범위에 나타나 있으며, 그와 동등한 범위 내에 있는 모든 차이점은 본 발명에 포함되는 것으로 해석되어야 한다.

100: 이동단말 110: GGSN
120: EIR 130: 이동통신망 인증서버
210: 패킷처리부 211: 인증패킷분리모듈
212: 블랙리스트모듈 212a: 차단리스트
213: 자원관리모듈 213a: 자원관리테이블
214: 패킷출력모듈 220: 감염탐지 차단부
221: 내용기반탐지모듈 222: 행위기반탐지모듈
230: 단말제어부 231: 이동단말정보 업데이트모듈
231a: 이동단말매핑테이블 232: 감염단말제어요청모듈
300: 서비스서버

Claims (12)

1. 이동단말에 통신서비스를 제공하는 이동통신망과 서비스서버에 통신서비스를 제공하는 타 통신망 사이의 패킷 교환 구간에서 업로드 트래픽 또는 다운로드 트래픽의 패킷들을 인증패킷과 전송패킷으로 분리하고, 상기 전송패킷 중 감염 전송패킷의 전송을 차단하는 패킷처리부;
   상기 패킷 교환 구간에서 상기 업로드 트래픽 또는 상기 다운로드 트래픽의 패킷들에 대한 내용정보에 기준하여 상기 감염 전송패킷을 검출하는 감염탐지 차단부; 그리고
   상기 인증패킷을 사용하여 상기 이동단말에 대한 단말식별번호를 최신 값으로 갱신하고, 상기 감염 전송패킷에 포함된 식별번호에 대응되는 상기 최신 값을 상기 이동통신망에 전송하여 상기 이동단말에 할당된 무선자원의 해제를 요청하는 단말제어부로 구성되되,
   상기 단말제어부는,
   상기 패킷처리부 또는 상기 감염탐지 차단부로부터 상기 감염 전송패킷에 포함된 식별번호를 제공받는 것을 특징으로 하는 전송패킷 내용정보 기반 감염 이동단말의 탐지 및 제어 장치.
2. 제 1 항에 있어서, 상기 패킷처리부는,
   튜플 정보에 해당하는 다수 식별번호가 차단 대상으로 등록된 차단리스트와,
   상기 이동단말의 튜플 정보에 대응하여 상기 이동단말에 대한 제1통신자원의 정보와 상기 이동단말에 현재 할당된 제1통신자원 량, 그리고 상기 서비스서버의 튜플 정보에 대응하여 상기 서비스서버에 대한 제2통신자원의 정보와 상기 서비스서버에 현재 할당된 제2통신자원 량이 등록된 자원관리테이블을 구비하는 것을 특징으로 하는 전송패킷 내용정보 기반 감염 이동단말의 탐지 및 제어 장치.
3. 제 2 항에 있어서, 상기 튜플 정보는 프로토콜, 프로토콜 식별번호, 출발지 IP 주소, 목적지 IP 주소, 출발지 포트번호, 그리고 목적지 포트번호를 포함하는 것을 특징으로 하는 전송패킷 내용정보 기반 감염 이동단말의 탐지 및 제어 장치.
4. 제 2 항에 있어서, 상기 패킷처리부는,
   상기 전송패킷에 포함되는 IP 주소가 상기 차단리스트에서 검색됨에 따라 상기 전송패킷을 상기 감염 전송패킷으로 분류하는 것을 특징으로 하는 전송패킷 내용정보 기반 감염 이동단말의 탐지 및 제어 장치.
5. 제 2 항에 있어서, 상기 감염탐지 차단부는,
   상기 패킷 교환 구간에 전송되는 패킷들의 내용정보를 기준으로 딥 패킷 인스펙션(DPI) 처리를 실시하고, 상기 딥 패킷 인스펙션(DPI) 처리의 결과에서 추출한 내용정보가 특정 감염 패턴을 포함하는 경우에 해당 전송패킷을 상기 감염 전송패킷으로 분류하는 것을 특징으로 하는 전송패킷 내용정보 기반 감염 이동단말의 탐지 및 제어 장치.
6. 제 5 항에 있어서,
   상기 감염탐지 차단부는 상기 감염 전송패킷에 포함된 식별번호를 상기 패킷처리부에 제공하고,
   상기 패킷처리부는 상기 감염탐지 차단부로부터 제공받은 식별번호를 상기 차단리스트에 등록하는 것을 특징으로 하는 전송패킷 내용정보 기반 감염 이동단말의 탐지 및 제어 장치.
7. 제 2 항에 있어서, 상기 패킷처리부는,
   상기 감염 전송패킷에 포함된 식별번호를 사용하여, 상기 제1통신자원 또는 상기 제2통신자원 중에서 상기 감염 전송패킷에 대해 할당된 통신자원의 정보를 상기 자원관리테이블에서 삭제하는 것을 특징으로 하는 전송패킷 내용정보 기반 감염 이동단말의 탐지 및 제어 장치.
8. 제 1 항에 있어서, 상기 감염탐지 차단부는,
   다수 서비스서버에서 제공하는 서비스 카테고리를 분류하여 정의하고, 각 서비스 카테고리별 정상적인 서비스서버의 식별번호를 포함하고, 각 서비스 카테고리별 내용정보 샘플을 포함하는 인증리스트를 구비하되,
   상기 업로드 트래픽 또는 상기 다운로드 트래픽의 전송패킷에 대해 딥 패킷 인스펙션(DPI)를 실시하고, 상기 딥 패킷 인스펙션(DPI)를 통해 추출된 내용정보와 상기 전송패킷을 전송한 특정 서비스서버의 식별번호 간의 상관성을 상기 인증리스트에 기준하여 검사하고, 상기 검사 결과에 근거하여 상기 감염 전송패킷을 검출하는 것을 특징으로 하는 전송패킷 내용정보 기반 감염 이동단말의 탐지 및 제어 장치.
9. 제 8 항에 있어서, 상기 감염탐지 차단부는,
   상기 딥 패킷 인스펙션(DPI)를 통해 추출된 내용정보에 대응되는 특정 서비스 카테고리의 내용정보 샘플을 검색하고,
   상기 검색된 내용정보 샘플에 대응되는 식별번호를 상기 전송패킷에 포함되는 식별번호와 비교하고,
   상기 비교된 두 식별번호들이 불일치하면, 상기 전송패킷을 상기 감염 전송패킷으로 분류하는 것을 특징으로 하는 전송패킷 내용정보 기반 감염 이동단말의 탐지 및 제어 장치.
10. 삭제
11. 제 1 항에 있어서, 상기 단말제어부는,
    상기 최신 값을 상기 이동단말에 대한 상기 무선자원의 할당 또는 해제를 제어하는 기기 식별 레지스터(EIR)로 전송하는 것을 특징으로 하는 전송패킷 내용정보 기반 감염 이동단말의 탐지 및 제어 장치.
12. 제 1 항에 있어서, 상기 단말식별번호는 IMSI(International Mobile Station Equipment Identity)인 것을 특징으로 하는 전송패킷 내용정보 기반 감염 이동단말의 탐지 및 제어 장치.

Images