KR101467942B1

KR101467942B1 - 고속 어플리케이션 인지 시스템 및 처리 방법

Info

Publication number: KR101467942B1
Application number: KR1020130045537A
Authority: KR
Inventors: 박철정
Original assignee: 주식회사 윈스
Priority date: 2013-04-24
Filing date: 2013-04-24
Publication date: 2014-12-02
Also published as: US20140321468A1; KR20140127037A; US9444729B2

Abstract

본 발명은 고속 어플리케이션 인지 시스템 및 처리 방법에 관한 것으로, 보다 구체적으로는 어플리케이션 분석정보를 실시간으로 캐싱 테이블(cashing table)에 업데이트하여 패킷의 헤더정보 검색만으로 어플리케이션을 인지하고, 그에 따른 제어정책을 수행하는 처리 방법에 관한 것이다. 본 발명의 고속 어플리케이션 인지 시스템 및 처리 방법은, 어플리케이션 분석정보를 실시간으로 캐싱하여 패킷의 헤더정보 검색만으로 어플리케이션 인지하고, 그에 따른 제어정책을 수행함으로써 고속으로 어플리케이션을 처리할 수 있는 효과를 가진다. 따라서 본 발명의 고속 어플리케이션 인지 및 처리 방법은 10 기가바이트(GB) 이상의 대용량 트래픽에 대해서도 적용될 수 있다. 또한 서브세션테이블을 활용하여 어플리케이션 정보를 승계하고 그에 따른 제어정책을 수행함으로써 호스트의 처리부하를 최소화하여 어플리케이션 인지 및 처리 성능을 향상시킬 수 있다.

Description

고속 어플리케이션 인지 시스템 및 처리 방법{Fast Application Recognition System and Processing Method Therof}

본 발명은 고속 어플리케이션 인지 시스템 및 처리 방법에 관한 것으로, 보다 구체적으로는 어플리케이션 분석정보를 실시간으로 캐싱 테이블(cashing table)에 업데이트하여 패킷의 헤더정보 검색만으로 어플리케이션을 인지하고, 그에 따른 제어정책을 수행하는 고속 어플리케이션 인지 시스템 및 처리 방법에 관한 것이다.

기존 네트워크 보안장비는 아이피(IP) 및 티시피 헤더(TCP header)만을 이용한 보안위험성을 감시하고 제어하여 왔다. 그러나 터널(tunnel) 또는 프락시(proxy) 기술 발전 및 어플리케이션의 웹(web) 통합화에 따라서 단순한 패킷(packet)의 아이피/티시피 헤더(header) 정보만으로 실제 네트워크의 보안위험성을 판단하기 어려워지고 있다. 이러한 문제를 해결하기 위해 차세대 보안장비들은 아이피/티시피 헤더 정보뿐만 아니라 데이터헤더에 존재하는 어플리케이션까지 인지하고 해당 어플리케이션에 정의된 정책으로 제어하는 기술인 딥패킷인스팩션(DPI, Deep Packet Inspection)을 탑재하여 네트워크의 보안성을 강화하고 있다. 또한 이러한 딥패킷인스팩션은 트래픽 관리분야에서 대중적으로 사용하던 기술로써 일반적으로 네트워크 가시성을 높여주는 기술로 주로 활용되어 왔으며, 특히 요즘에는 서비스/장치/디바이스 제어기술 및 빌링기술로 점차 발전되고 있다. 그러나, 이러한 다양한 장점에도 불구하고 딥패킷인스팩션 기술은 패킷레벨 탐지/제어가 아닌 세션/어플리케이션 레벨의 분석/제어하기 위해 많은 시스템자원을 요구하고 있어, 대용량 패킷을 전수 검사해야 하는 네트워크 보안장비에 적용되지 못하는 문제가 있다.

대한민국 공개특허 공보 제10-2010-0073135호, 2010.07.01.

상기와 같은 문제점을 해결하기 위하여 본 발명은, 어플리케이션 인지 기반 패킷 제어 수행 시 시스템 자원 소모를 최소화 하기위해, 패킷의 헤더정보 검색만으로 어플리케이션을 인지하고 그에 따른 제어정책에 맞게 제어정보를 출력하고, 통계정보만을 호스트에 전송함으로써 호스트 부하를 최소화하면서 전수 패킷에 대한 어플리케이션 인지제어를 고속으로 처리할 수 있는 고속 어플리케이션 인지 시스템 및 처리 방법을 제공하는 것을 목적으로 한다.

상기 목적을 달성하기 위해 본 발명은,

입력된 패킷을 버퍼링하고 제어정보에 따라서 외부로 출력하는 출력관리부;

상기 출력관리부로부터 패킷을 전송받아 헤더 정보에 대응되는 제어정보를 추출하고, 추출된 제어정보를 상기 출력관리부로 리턴하는 전처리경로선정부;

상기 전처리경로선정부에서 처리되지 않은 패킷을 전송받아 제1 패턴 데이터베이스를 이용하여 상기 패킷의 패턴에 대응되는 제어정보를 추출하고, 추출된 제어정보를 상기 출력관리부로 리턴하는 1차처리부; 및

상기 전처리경로선정부와 상기 1차처리부의 제어정보에 따라 상기 출력관리부로부터 패킷을 전송받아 제2 패턴 데이터베이스를 이용하여 상기 패킷의 패턴에 대응되는 제어정보를 추출하고, 추출된 제어정보를 상기 출력관리부로 리턴하는 통계제어부를 포함하는 고속 어플리케이션 인지 시스템을 제공한다.

또한, 상기 목적을 달성하기 위하여 본 발명은,

입력된 패킷을 버퍼링하고 제어정보에 따라 외부로 전송하는 출력관리단계;

상기 출력관리단계로부터 전송받은 패킷의 헤더 정보에 대응되는 제어정보를 추출하고, 추출된 제어정보를 리턴하는 전처리경로선정단계;

상기 전처리경로설정단계에서 처리되지 않은 패킷을 전송받아 제1 패턴 데이터베이스를 이용하여 상기 패킷의 패턴에 대응되는 제어정보를 추출하고, 추출된 제어정보를 리턴하는 1차처리단계; 및

상기 전처리경로선정단계와 상기 1차처리단계의 제어정보에 따라 상기 출력관리단계로부터 패킷을 전송받아 제2 패턴 데이터베이스를 이용하여 상기 패킷의 패턴에 대응되는 제어정보를 추출하고, 추출된 제어정보를 리턴하는 통계제어단계를 포함하는 것을 특징으로 하는 고속 어플리케이션 처리 방법을 제공한다.

본 발명의 고속 어플리케이션 인지 시스템 및 처리 방법은, 어플리케이션 분석정보를 실시간으로 캐싱(cashing)하여 패킷의 헤더정보 검색만으로 어플리케이션을 인지하고, 그에 따른 제어정책을 수행함으로써 고속으로 어플리케이션을 처리할 수 있는 효과를 가진다. 또한, 패킷의 헤더 정보와 어플리케이션 아이디를 통한 간단한 검색을 호스트와 별도의 하드웨어를 통해 수행함으로써, 호스트의 부하를 최소화시키는 효과를 가진다. 따라서 본 발명의 고속 어플리케이션 인지 및 처리 방법은 10 기가바이트(GB) 이상의 대용량 트래픽에 대해서도 적용될 수 있다. 또한 서브세션테이블을 활용하여 어플리케이션 정보를 승계하고 그에 따른 제어정책을 수행함으로써 호스트의 처리부하를 최소화하여 어플리케이션 인지 및 처리 성능을 향상시킬 수 있다.

도 1은 본 발명의 일실시예에 따른 고속 어플리케이션 인지 시스템을 개략적으로 나타낸 구성도이다.
도 2는 본 발명의 일실시예에 따른 고속 어플리케이션 인지 시스템의 출력관리부 구성을 개략적으로 나타낸 구성도이다.
도 3은 본 발명의 일실시예에 따른 고속 어플리케이션 인지 시스템의 전처리경로선정부 구성을 개략적으로 나타낸 구성도이다.
도 4는 본 발명의 일실시예에 따른 고속 어플리케이션 인지 시스템의 1차처리부 구성을 개략적으로 나타낸 구성도이다.
도 5는 본 발명의 일실시예에 따른 고속 어플리케이션 인지 시스템의 통계제어부 구성을 개략적으로 나타낸 구성도이다.
도 6은 본 발명의 일실시예에 따른 고속 어플리케이션 처리 방법을 나타낸 흐름도이다.

이하, 첨부된 도면을 참조하여 본 발명의 고속 어플리케이션 인지 시스템 및 처리 방법을 상세하게 설명한다. 우선 각 도면의 구성 요소들에 참조 부호를 부가함에 있어서, 동일한 구성 요소들에 대해서는 비록 다른 도면상에 표시되더라도 가능한 한 동일한 부호를 가지도록 하고 있음에 유의해야 한다. 또한, 본 발명을 설명함에 있어, 관련된 공지 구성 또는 기능에 대한 구체적인 설명이 본 발명의 요지를 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명은 생략한다. 또한, 이하에서 본 발명의 실시예를 설명할 것이나, 본 발명의 기술적 사상은 이에 한정하거나 제한되지 않고 다양하게 변형되어 실시될 수 있음은 물론이다.

도 1은 본 발명의 일실시예에 따른 고속 어플리케이션 인지 시스템을 개략적으로 나타낸 구성도이다. 도 1을 참조하면, 본 발명의 일실시예에 따른 고속 어플리케이션 인지 시스템은 출력관리부(110), 전처리경로선정부(120), 1차처리부(130) 및 통계제어부(140)를 포함할 수 있다.

출력관리부(110)는 외부에서 입력된 패킷을 버퍼링하고 제어정보에 따라서 외부로 출력하는 기능을 수행할 수 있다. 이때, 우선적으로 패킷 정보를 전처리경로선정부(120)로 전송할 수 있으며, 전처리경로선정부(120)는 단계적인 처리 모듈을 통해 입력된 패킷 정보에 대응되는 제어정보를 추출하여, 출력관리부(110)로 리턴할 수 있다. 전처리경로선정부(120)에서 처리되지 않은 패킷은 1차처리부(130)에서 심플(simple) 패턴 데이터베이스를 이용하여 처리할 수 있으며, 패킷 정보에 대응되는 제어정보를 추출하여 출력관리부(110)로 전송할 수 있다.

전처리경로선정부(120)와 1차처리부(130)에서 처리되지 않은 패킷과, 전처리경로선정부(120) 또는 1차처리부(130)에서 리턴된 제어정보가 상위 단계에서 재처리하는 것을 의미하는 경우, 출력관리부(110)는 해당 패킷을 통계제어부(140)로 전송하고, 통계제어부(140)에서는 풀(full) 패턴 데이터베이스를 활용하여 패킷을 처리하고, 그 처리 결과인 제어정보를 출력관리부(110)로 리턴할 수 있다.

상기 출력관리부(110), 전처리경로선정부(120) 및 1차처리부(130)는 어플리케이션 인지 하드웨어에서, 통계제어부는 호스트에서 처리될 수 있으며, 이 경우 호스트의 부하를 최소화 할 수 있다는 장점을 가진다. 다만, 하드웨어 구성은 사용자 환경에 따라 달리 할 수 있는 것이므로, 이에 제한되는 것은 아니다.

도 2는 본 발명의 일실시예에 따른 고속 어플리케이션 인지 시스템의 출력관리부(110) 구성을 개략적으로 나타낸 구성도이다. 도 2를 참조하면, 외부에서 입력된 패킷은 입력1차버퍼모듈(112)에 저장되고, 입력1차버퍼모듈(112)은 저장된 패킷을 전처리경로선정부(120)로 전송하여 그 제어정보가 리턴되면, 리턴된 제어정보에 따라 저장된 패킷을 출력버퍼모듈(114) 또는 입력2차버퍼모듈(116)로 이동시키는 기능을 수행할 수 있다. 예를 들어, 전처리경로선정부(120)는 '차단', '출력', '상위처리', '매칭되지 않음' 의 제어정보를 리턴할 수 있으며, 출력관리부(110)는 전처리경로선정부(120)로부터 리턴된 제어정보가 '차단'인 경우 패킷을 입력1차버퍼모듈(112)로부터 출력버퍼모듈(114)로 이동시키지 않고 차단하고, '출력'인 경우 패킷을 출력버퍼모듈(114)로 이동시킬 수 있다. 리턴된 제어정보가 '상위처리'인 경우 패킷을 입력2차버퍼모듈(116)로 이동시킬 수 있으며, '매칭되지 않음'인 경우 1차처리부(130)의 제어정보에 따라 패킷을 출력 또는 차단할 수 있으나, 상기 제어정보의 종류에 제한되는 것은 아니다.

입력2차버퍼모듈(116)에 저장된 패킷은 통계제어부(140)로 전송될 수 있으며, 출력관리부(110)는 통계제어부(140)로부터 리턴되는 제어정보에 따라 입력2차버퍼모듈(116)에 저장된 패킷을 출력버퍼모듈(114)로 전송하거나 차단하는 기능을 수행할 수 있다.

출력버퍼모듈(114)은 저장된 패킷을 주기적으로 외부로 출력하는 기능을 수행할 수 있다.

도 3은 본 발명의 일실시예에 따른 고속 어플리케이션 인지 시스템의 전처리경로선정부(120) 구성을 개략적으로 나타낸 구성도이다. 도 3을 참조하면, 전처리경로선정부(120)는 데이터패킷 판별모듈(121), 정적리스트 처리모듈(123), 서브세션 처리모듈(125), 동적리스트 처리모듈(127) 및 전처리통계모듈(129)을 포함할 수 있으며, 상기 모듈들을 통해 입력된 패킷이 제어가 필요한 데이터 패킷인지 여부에 대해 1차적으로 판별하는 과정, 정적리스트와 비교하는 과정, 및 어플리케이션 캐싱테이블(서브세션테이블, 전처리어플리케이션아이디테이블)을 이용하여 패킷을 인지하는 과정을 순차적으로 수행함으로써 패킷 인지 및 제어를 수행할 수 있다.

데이터패킷 판별모듈(121)은 출력관리부(120)에서 입력된 패킷을 판별하여, 일정한 경우에는 출력관리부(110)로 '출력' 이라는 제어정보를 전송하고, 그 외의 경우에는 패킷을 정적리스트 처리모듈(123)로 전송하는 기능을 수행할 수 있다.

데이터패킷 판별모듈(121)이 출력관리부(110)로 '출력' 이라는 제어정보를 전송하는 경우로는, 해당 패킷이 데이터 헤더의 길이가 '0'인 제어패킷이거나, 엔진에서 어플리케이션인지 여부에 관심을 가지지 않는 패킷인 경우, 예를 들어 L2/L3 제어 패킷, 세션 연결을 위한 제어 패킷인 경우가 포함될 수 있으나, 이에 제한되는 것은 아니다.

데이터패킷 판별모듈(121)은 출력관리부(110)로 '출력' 이라는 제어정보를 전송하는 경우, 패킷의 통계정보를 전처리통계모듈(129)로 전송하는 기능을 포함할 수 있다. 처리된 패킷의 통계정보를 전처리통계모듈(129)로 전송하고, 에플통계제어부(140) 등의 상위 단에서 추가 처리가 진행되지 않도록 함으로써, 상위 단 처리부하를 최소화할 수 있다. 이때, 패킷의 통계정보는, 5튜플 해싱(hashing)값 이외에도 패킷 크기, 데이터 크기, 패킷 간 시간 간격, 전송 순서 등에 관한 정보를 포함할 수 있으나, 이에 제한되는 것은 아니다. 상기 '5튜플'은, 소스 아이피(Source IP), 목적지 아이피(Destination IP), 소스 포트(Source Port), 목적지 포트(Destination Port) 및 프로토콜(Protocol) 정보로 구성된 패킷 정보를 의미하는 것이다.

정적리스트 처리모듈(123)은 데이터패킷 판별모듈(121)로부터 전송받은 패킷을 운용자(operator)가 설정한 리스트와 비교한 후, 해당 패킷이 리스트 상에 존재하는 경우에는 '출력' 또는 '차단' 이라는 제어정보를 출력관리부(110)로 전송하고, 해당 패킷이 리스트 상에 존재하지 않는 경우에는 서브세션 처리모듈(125)로 패킷을 전송하는 기능을 수행할 수 있다.

본 시스템의 운용자는 미리 출력을 허용할 패킷과 허용하지 않을 패킷을 리스트로 만들어 사용할 수 있다. 예를 들어, 상기 리스트는 출력을 허용할 패킷의 리스트인 화이트리스트(WL)와, 드롭시키고자 하는 패킷의 리스트인 블랙리스트(BL)를 포함할 수 있다. 이 경우 정적리스트 처리모듈(123)은 데이터패킷 판별모듈(121)로부터 전송받은 패킷이 화이트리스트(WL)에 포함되어 있는 경우, '출력'의 제어정보를 출력관리부(110)로 전송할 수 있으며, 해당 패킷이 블랙리스트(BL)에 포함되어 있는 경우, '차단'의 제어정보를 출력관리부(110)로 전송하여 해당 패킷을 드롭시키는 기능을 수행할 수 있다. 이때, 상기 리스트에는 패킷의 5튜플 값 중 어느 하나 이상의 값이 포함될 수 있으나, 이에 제한되는 것은 아니다.

서브세션 처리모듈(125)은 상기 리스트에 해당되지 않아 정적리스트 처리모듈(123)에 의해 처리되지 않는 패킷을 전달받은 후, 해당 패킷의 서버 해싱값을 만들어서, 이에 매칭되는 제어정보가 존재하는 경우 해당 제어정보를 출력 관리부(110)로 전송하고, 매칭되는 제어정보가 존재하지 않는 경우 패킷을 동적리스트 처리모듈(127)로 전달하는 기능을 수행할 수 있다.

서버 해싱값은 패킷의 소스(source) 아이피와 목적지(destination) 포트 정보를 포함할 수 있다. 웹 접속시 전송되는 다수의 광고 및 팝업과 관련된 세션들의 경우 소스(source) 아이피와 목적지(destination) 포트가 동일하며, 또한 자주 바뀌지 않는 특징을 가진다. 따라서, 전송된 패킷의 소스(source) 아이피와 목적지(destination) 포트의 해싱 값인 서버 해싱값을 기준으로 서브세션테이블을 검색하는 경우, 전처리경로선정부(120)의 부하를 최소화할 수 있다.

서버 해싱값에 매칭되는 제어정보를 검색하기 위해서, 서버 해싱값과 제어정보를 포함하는 서브세션테이블이 사용될 수 있다. 서브세션테이블은 서버 해싱값, 목적지 아이피, 5튜플 해싱값, 제어정보를 포함할 수 있으나, 이에 제한되는 것은 아니다. 이때, 서버 해싱값에 매칭되는 제어정보를 탐색하기 위해서, 먼저 입력된 패킷의 서버 해싱값에 매칭되는 서브세션테이블이 존재하는지 탐색한 후, 동시에 목적지 아이피가 동일한 값을 가지는지 판단하여, 서버 해싱값과 목적지 아이피가 동일한 경우에 한하여 5튜플 해싱값에 정의된 제어정보를 출력관리부(110)로 전송할 수 있으나, 서버 해싱값에 매칭되는 제어정보를 검색하기 위해서는 다양한 방법이 사용될 수 있는 것으로, 이러한 순서나 방식에 제한되는 것은 아니다.

또한 서브세션테이블은, 통계제어부(140)로부터 추가/삭제된 서브세션 정보를 실시간으로 업데이트하여 동기화 할 수 있다. 예를 들어, 24시간 내에 업데이트가 없을 경우 해당 서브세션을 서브세션테이블로부터 제거하여 정확도를 높일 수 있으나, 이에 제한되는 것은 아니다.

서브세션 처리모듈(125)은 패킷의 제어정보를 출력관리부(110)로 전송하는 경우, 패킷의 통계정보를 전처리통계모듈(129)로 전송하는 기능을 더 포함할 수 있다.

동적리스트 처리모듈(127)은 서브세션 처리모듈(125)에 의하여 처리되지 않은 패킷을 서브세션 처리모듈(125)로부터 전달받은 후, 해당 패킷에 매칭되는 제어정보를 출력관리부(110)로 전송하는 기능을 수행할 수 있다.

패킷에 매칭되는 제어정보를 검색하기 위해서, 전처리어플리케이션아이디테이블이 사용될 수 있다. 이때, 전처리어플리케이션아이디테이블은, 5튜플 해싱값, 제어정보를 포함할 수 있다.

동적리스트 처리모듈(127)은 전송된 패킷이 이미 어플리케이션 아이디가 판명되고 제어정보가 존재하는 세션과 동일한지 여부를 확인하기 위하여, 전송된 패킷의 5튜플값을 산출하여 대응되는 전처리어플리케이션아이디테이블을 검색한다. 동적리스트 처리모듈(127)은 대응되는 전처리어플리케이션아이디테이블이 존재할 경우 어플리케이션 아이디 분석을 하지 않고 검색된 5튜플에 정의된 제어정보를 승계하여 출력관리부(110)로 리턴하고, 대응되는 전처리어플리케이션아이디테이블이 존재하지 않는 경우 어플리케이션 아이디 검색을 위하여 1차처리부(130)에 패킷을 전송하는 형태로 제어기능을 수행할 수 있다. 상기 어플리케이션 아이디는, 각 어플리케이션의 고유식별번호를 의미하는 것으로, 각 패킷은 패턴 정보에 대응되는 어플리케이션 아이디를 가질 수 있다. 이때, 어플리케이션 아이디는 '그룹명+숫자'로 표현될 수 있으며, 예를 들어 'mail1', 'mail2', 'game101', 'messenger17' 형태로 표현될 수 있으나, 이에 제한되는 것은 아니다.

전처리어플리케이션아이디테이블은 통계제어부에서 전처리 어플리케이션 아이디가 업데이트되면, 대응되는 5튜플 해싱값과 제어정보를 업데이트 하는 방식으로, 실시간으로 동기화될 수 있다.

전처리어플리케이션아이디테이블의 제어정보에는 '출력', '차단', '상위처리' 3가지로 정보가 포함될 수 있다. 상기 제어정보는 입력된 패킷에 대한 분석된 어플리케이션 아이디를 가지고 있는 경우에 출력되는 제어정보로, 제어정보가 '출력' 또는 '차단'인 경우는 전치리경로선정부(120)에서 패킷의 제어를 수행하게 되며, 제어정보가 '상위처리'인 경우는 전처리경로선정부(120)에서 다른 기능을 수행하기 위해서 패킷을 상위 단에 해당하는 통계제어부(140)로 전송하라는 의미를 가진다.

동적리스트 처리모듈(127)은 전달받은 패킷에 매칭되는 전처리어플리케이션아이디테이블이 존재하지 않는 경우, '매칭되지 않음'을 의미하는 제어정보를 출력 관리부(110)로 전송할 수 있다.

동적리스트 처리모듈(127)은 패킷의 제어정보를 출력 관리부(110)로 전송하는 경우, 패킷의 통계정보를 전처리통계모듈(129)로 전송하는 기능을 더 포함할 수 있다. 이때, 통계정보는 5튜플 해싱값을 포함할 수 있다.

전처리통계모듈(129)은 전처리경로선정부(120)의 각 모듈(121, 123, 125, 127)로부터 전달받은 패킷의 통계정보를, 5튜플 해싱값 기준으로 통계제어부(140)로 전달하여, 통계제어부(140)의 통계 데이터베이스를 업데이트 하는 기능을 수행할 수 있다.

도 4는 본 발명의 일실시예에 따른 고속 어플리케이션 인지 시스템의 1차처리부(130) 구성을 개략적으로 나타낸 구성도이다. 도 4를 참조하면, 1차처리부(130)는 분산처리선정모듈(132)과 어플리케이션 아이디 심플검색모듈(134)을 포함할 수 있으며, 자주 사용되는 심플 어플리케이션 패턴을 분산 검색하는 기능을 수행할 수 있다.

분산처리선정모듈(132)은 전처리경로선정부(120)에서 입력된 패킷을 5튜플값을 기준으로, 세션유지기반의 분산 병렬 처리할 수 있도록 세션을 분산하는 기능을 수행할 수 있다. 예를 들어, 패킷의 5튜플 해싱값이 같은 경우 동일한 어플리케이션 아이디 심플검색모듈(134)로 전송하여, 동일한 심플 패턴 데이터베이스가 사용되도록 할 수 있으나, 이에 제한되는 것은 아니다.

심플검색모듈(134)은 입력된 패킷의 데이터 정보로부터 패턴을 추출하여, 심플 패턴 데이터베이스에 대응되는 패킷의 어플리케이션 아이디를 검색하고, 검색결과 값이 존재할 경우 정의된 제어정보를 출력관리부(110)로 전송할 수 있다. 또한 심플검색모듈(134)은, 어플리케이션인지1차통계모듈을 통해 처리한 패킷의 5튜플, 5튜플 해싱값, 어플리케이션 아이디 및 통계정보를 통계제어부(140)로 전송하여, 전처리경로선정부(120)의 서브세션테이블을 생성/업데이트하도록 할 수 있다.

심플검색모듈(134)은 입력된 패킷의 패턴이 심플 패턴 데이터베이스로부터 검색되지 않아 검색결과 값이 존재하지 않을 경우, 출력관리부(110)로 '매칭되지 않음' 이라는 제어정보를 제공할 수 있다. 이 경우, 출력관리부(110)는 해당 패킷을 입력1차버퍼모듈(112)로부터 입력2차버퍼모듈(116)로 전송할 수 있으며, 입력2차버퍼모듈(116)은 통계제어부(140)로 해당 패킷을 전송하여 상위 단의 처리를 진행하도록 할 수 있다.

검색 처리지연을 최소화 하고 검색 히트율을 높이기 위하여, 심플 패턴 데이터베이스에는 설정된 시간 이내에 문턱값 이상으로 자주 사용되는 어플리케이션 패턴만을 등록할 수 있다. 예를 들어, 통계제어부(140)의 업데이트 시스템을 통해 1일 1회 업데이트 할 수 있으며, 24시간 이내에 히트율이 높은 탑(top) 200개 어플리케이션 패턴만을 업데이트하는 방식이 사용될 수 있다. 이렇게 자주 사용되는 어플리케이션 패턴만을 등록하여 검색하는 경우, 전체 트래픽의 50 % ~ 70 %의 어플리케이션 아이디 구분이 가능하며, 호스트에서 처리하는 트래픽 양을 최소화 시킬 수 있다. 단, 상기 히트율이 높은 탑 어플리케이션은 하드웨어 사양에 따라 달라질수 있으며, 또한 어플리케이션심플 패턴 데이터베이스의 구성과 업데이트 방식은 전체 트래픽 양과 처리 목적에 따라 달라질 수 있는 것으로, 이에 제한되는 것은 아니다.

도 5는 본 발명의 일실시예에 따른 고속 어플리케이션 인지 시스템의 통계제어부(140) 구성을 개략적으로 나타낸 구성도이다. 도 5를 참조하면, 통계제어부(140)는, 2차처리모듈(142), 세션테이블 관리모듈(144) 및 업데이트모듈(146)을 포함할 수 있다.

2차처리모듈(142)은 전처리경로선정부(120) 및 1차처리부(130)가 상세분석을 요청한 패킷 또는 어플리케이션 아이디가 정의되지 않은 패킷을 출력관리부(110)로부터 전송받아, 풀(full) 패턴 데이터베이스 검색을 통해 해당 패킷의 어플리케이션 아이디와 제어정보를 추출하는 제어기능을 수행할 수 있다. 이때, 풀 패턴 데이터베이스는 모든 패킷의 패턴과 매칭되는 어플리케이션 아이디가 정의된 테이블을 포함할 수 있으나, 그 구성 형식에 제한이 있는 것은 아니다.

2차처리모듈(142)에서 추출된 정보들과 패킷의 통계정보는, 세션테이블 관리모듈(144)로 제공될 수 있으며, 세션테이블 관리모듈(144)은 전처리경로선정부(120)에서 수행된 5튜플 기반의 통계정보와 제어결과를 업데이트 하거나, 1차처리부(130) 및 2차처리모듈(142)에서 처리된 5튜플 기반의 어플리케이션 아이디, 통계정보와 제어결과를 업데이트하는 기능을 수행할 수 있다.

세션테이블 관리모듈(144)은 출력관리부(110)에서 입력된 신규 패킷에 대한 세션테이블을 생성하는 기능을 수행할 수 있으며, 추가된 세션테이블 정보는 업데이트모듈(146)로 전송될 수 있다. 또한, 세션테이블 관리모듈(144)은, 통계정책 데이터베이스에 저장된 어플리케이션 아이디 기준의 통계제어 정책정보를 참조하여 제어기능을 수행할 수 있으며, 제어된 패킷에 대한 통계정보를 저장할 수 있다.

업데이트모듈(146)은 전처리된 어플리케이션 아이디의 업데이트를 통해 전처리경로선정부(120) 동적리스트 처리모듈(127)의 전처리어플리케이션아이디테이블 정보를 실시간으로 업데이트할 수 있으며, 서브세션 업데이트를 통해 전처리경로선정부(120) 서브세션 처리모듈(125)의 서브세션테이블 정보를 실시간으로 업데이트할 수 있다. 또한, 업데이트모듈(146)은, 자주 사용되는 어플리케이션 아이디의 패턴을 추출하여 어플리케이션 아이디 심플검색모듈(134)의 심플 패턴 데이터베이스를 업데이트할 수 있다. 예를 들어, 1일 주기로 가장 많이 사용되는 어플리케이션 아이디의 패턴을 심플 패턴 데이터베이스에 업데이트할 수 있으나, 이에 제한되는 것은 아니다.

본 발명의 일실시예에 따르면, 출력관리부(110)는 2차처리모듈(142)과 세션테이블 관리모듈(144)에 동시에 패킷을 전송하거나, 2차처리모듈(142)에만 패킷을 전송할 수 있다. 전자의 경우, 2차처리모듈(142)의 처리지연과 무관하게 세션테이블 관리모듈(144)에서 통계 및 패킷 제어를 제공함으로써, 고속 처리가 가능하게 된다. 반면 후자의 경우, 2차처리모듈(142)에서 패킷의 어플리케이션 아이디를 검색하여 세션테이블 관리모듈(144)로 전송하면, 기존 처리된 세션에 대한 통계정보 및 세션정보에 어플리케이션 아이디 정보를 추가할 수 있으므로, 통계 및 제어의 정확성을 높일 수 있다.

도 6은 본 발명의 일실시예에 따른 고속 어플리케이션 처리 방법을 나타낸 흐름도이다. 도 6을 참조하면, 본 발명의 일실시예에 따른 고속 어플리케이션 처리 방법은, 입력된 패킷을 버퍼링하고 제어정보에 따라 외부로 전송하는 출력관리단계(S210), 출력관리단계로(S210)부터 전송받은 패킷의 헤더 정보에 대응되는 제어정보를 추출하고, 추출된 제어정보를 출력관리단계(S210)로 리턴하는 전처리경로선정단계(S220), 전처리경로설정단계에서 처리되지 않은 패킷을 전송받아 심플(simple) 패턴 데이터베이스를 이용하여 상기 패킷의 패턴에 대응되는 제어정보를 추출하고, 추출된 제어정보를 출력관리단계(S210)로 리턴하는 1차처리단계(S230), 및 전처리경로선정단계(S220)와 1차처리단계(S230)의 제어정보에 따라 출력관리단계(S210)로부터 패킷을 전송받아 풀(full) 패턴 데이터베이스를 이용하여 패킷의 패턴에 대응되는 제어정보를 추출하고, 추출된 제어정보를 출력관리단계(S210)로 리턴하는 통계제어단계(S240)를 포함할 수 있다. 이때, 각 단계는 상기 출력관리부(110), 전처리경로선정부(120), 1차처리부(130) 및 통계제어부(140)의 기능을 수행할 수 있다.

본 발명의 일실시예에 따르면, 출력관리단계(S210), 전처리경로선정단계(S220) 및 1차처리단계(S230)는 어플리케이션 인지 하드웨어에서 수행되고, 통계제어단계(S240)는 호스트에서 수행될 수 있다.

이상의 설명은 본 발명의 기술 사상을 예시적으로 설명한 것에 불과한 것으로서, 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자라면 본 발명의 본질적인 특성에서 벗어나지 않는 범위에서 다양한 수정 및 변형이 가능할 것이다. 또한, 본 발명에 개시된 실시예들은 본 발명의 기술 사상을 한정하기 위한 것이 아니라 설명하기 위한 것이고, 이러한 실시예에 의하여 본 발명의 기술 사상의 범위가 한정되는 것은 아니다. 따라서, 본 발명의 보호 범위는 아래의 청구범위에 의하여 해석되어야 하며, 그와 동등한 범위 내에 있는 모든 기술 사상은 본 발명의 권리범위에 포함되는 것으로 해석되어야 할 것이다.

Claims

입력된 패킷을 버퍼링하고 제어정보에 따라서 외부로 출력하는 출력관리부;
상기 출력관리부로부터 패킷을 전송받아 헤더 정보에 대응되는 제어정보를 추출하고, 추출된 제어정보를 상기 출력관리부로 리턴하는 전처리경로선정부;
상기 전처리경로선정부에서 처리되지 않은 패킷을 전송받아 제1 패턴 데이터베이스를 이용하여 상기 패킷의 패턴에 대응되는 제어정보를 추출하고, 추출된 제어정보를 상기 출력관리부로 리턴하는 1차처리부; 및
상기 전처리경로선정부와 상기 1차처리부의 제어정보에 따라 상기 출력관리부로부터 패킷을 전송받아 제2 패턴 데이터베이스를 이용하여 상기 패킷의 패턴에 대응되는 제어정보를 추출하고, 추출된 제어정보를 상기 출력관리부로 리턴하는 통계제어부를 포함하는 어플리케이션 인지 시스템.
제1항에 있어서,
상기 출력관리부는,
입력된 패킷을 버퍼링하여 상기 전처리경로선정부로 전송하고, 제어정보를 리턴받는 입력1차버퍼모듈;
상기 제어정보에 따라 상기 입력1차버퍼모듈로부터 패킷을 전송받고, 상기 통계제어부로 전송하여 제어정보를 리턴받는 입력2차버퍼모듈; 및
상기 입력1차버퍼모듈의 제어정보와 상기 입력2차버퍼모듈의 제어정보에 따라 상기 입력1차버퍼모듈 또는 상기 입력2차버퍼모듈로부터 패킷을 전송받고, 외부로 출력하는 기능을 수행하는 출력버퍼모듈을 포함하는 것을 특징으로 하는 어플리케이션 인지 시스템.
제1항에 있어서,
상기 전처리경로선정부는 서버 해싱값, 목적지(destination) 아이피, 5튜플 해싱값, 제어정보 중에서 선택된 어느 하나 이상의 데이터필드를 포함하는 캐싱 테이블을 이용하여 제어정보를 추출하는 것을 특징으로 하는 어플리케이션 인지 시스템.
제1항에 있어서,
상기 전처리경로선정부는,
상기 출력관리부에서 패킷을 전송받아 데이터 패킷인지 여부를 1차적으로 판별하여 대응되는 제어정보를 추출하고, 추출된 제어정보를 상기 출력관리부로 리턴하는 데이터패킷 판별모듈;
상기 데이터패킷 판별모듈에서 처리되지 않은 패킷을 전송받아 정적 리스트와 비교하여 출력이 허용된 패킷인지 여부를 2차적으로 판별하고, 대응되는 제어정보를 상기 출력관리부로 리턴하는 정적리스트 처리모듈;
상기 정적리스트 처리모듈에서 처리되지 않은 패킷을 전송받아, 서버 해싱값을 포함하는 캐싱 테이블을 이용하여 대응되는 제어정보를 추출하고, 추출된 제어정보를 상기 출력관리부로 리턴하는 서브세션 처리모듈; 및
상기 서브세션 처리모듈에서 처리되지 않은 패킷을 전송받아, 5튜플 해싱값을 포함하는 캐싱 테이블을 이용하여 대응되는 제어정보를 추출하고, 추출된 제어정보를 상기 출력관리부로 리턴하는 동적리스트 처리모듈을 포함하는 것을 특징으로 하는 어플리케이션 인지 시스템.
제4항에 있어서,
상기 정적리스트 처리모듈에서 사용되는 상기 정적 리스트는 출력을 허용시키고자 하는 패킷의 리스트 및 출력을 차단시키고자 하는 패킷의 리스트를 포함하는 것을 특징으로 하는 어플리케이션 인지 시스템.
제4항에 있어서,
상기 서브세션 처리모듈은 서버 해싱값, 목적지(destination) 아이피, 5튜플 해싱값 및 제어정보를 포함하는 캐싱 테이블을 이용하여 입력된 패킷에 대응되는 제어정보를 추출하는 것을 특징으로 하는 어플리케이션 인지 시스템.
제6항에 있어서,
상기 서브세션 처리모듈은 상기 입력된 패킷의 서버 해싱값에 매칭되는 캐싱 테이블의 목적지(destination) 아이피가 상기 패킷의 목적지(destination) 아이피와 동일한 경우, 5튜플 해싱값에 대응되는 제어정보를 추출하는 것을 특징으로 하는 어플리케이션 인지 시스템.
제4항에 있어서,
상기 동적리스트 처리모듈은 5튜플 해싱값 및 제어정보를 포함하는 캐싱 테이블을 이용하여 입력된 패킷에 대응되는 제어정보를 추출하는 것을 특징으로 하는 어플리케이션 인지 시스템.
제3항 내지 제8항 중 어느 한 항에 있어서,
상기 서버 해싱값은 소스(source) 아이피 및 목적지(destination) 포트 정보를 포함하는 것을 특징으로 하는 어플리케이션 인지 시스템.
제1항에 있어서.
상기 1차처리부는,
입력된 패킷이 분산 처리될 수 있도록 세션 분산 기능을 수행하는 분산처리선정모듈; 및
제1 패턴 데이터베이스를 이용하여 상기 패킷의 패턴에 대응되는 제어정보를 추출하고, 추출된 제어정보를 상기 출력관리부로 리턴하는 심플검색모듈을 포함하는 것을 특징으로 하는 어플리케이션 인지 시스템.
제10항에 있어서.
상기 심플검색모듈은 상기 패킷의 패턴에 대응되는 어플리케이션 아이디를 상기 제1 패턴 데이터베이스로부터 검색하여 대응되는 제어정보를 추출하고, 추출된 제어정보를 상기 출력관리부로 리턴하는 것을 특징으로 하는 어플리케이션 인지 시스템.
제11항에 있어서,
상기 제1 패턴 데이터베이스는 설정된 시간 이내에 문턱값 이상 사용되는 어플리케이션 패턴을 포함하는 것을 특징으로 하는 어플리케이션 인지 시스템.
제1항에 있어서,
상기 통계제어부는,
입력된 패킷의 패턴에 대응되는 어플리케이션 아이디를 제2 패턴 데이터베이스로부터 검색하여 대응되는 제어정보를 추출하고, 추출된 제어정보를 상기 출력관리부로 전송하는 2차처리모듈; 및
상기 2차처리모듈, 상기 전처리경로선정부 및 상기 1차처리부의 처리 결과를 전송받아 통계정책 데이터베이스를 업데이트하고, 상기 통계정책 데이터베이스로부터 상기 입력된 패킷의 패턴에 대응되는 제어정보를 추출하여 상기 출력관리부로 전송하는 세션테이블관리모듈을 포함하는 것을 특징으로 하는 어플리케이션 인지 시스템.
제13항에 있어서,
상기 2차처리모듈은 상기 전처리경로선정부 및 상기 1차처리부가 상세분석을 요청한 패킷 또는 처리되지 않은 패킷을 상기 출력관리부로부터 입력받는 것을 특징으로 하는 어플리케이션 인지 시스템.
제13항에 있어서,
상기 통계제어부는,
통계정책 정보를 기초로 상기 전처리경로선정부 및 상기 1차처리부의 캐싱 테이블을 실시간으로 업데이트 하는 업데이트모듈을 더 포함하는 것을 특징으로 하는 어플리케이션 인지 시스템.
제1항에 있어서,
상기 출력관리부, 상기 전처리경로선정부 및 상기 1차처리부는 어플리케이션 인지 하드웨어를 통해 구현되고, 상기 통계제어부는 호스트를 통해 구현되는 것을 특징으로 하는 어플리케이션 인지 시스템.
입력된 패킷을 버퍼링하고 제어정보에 따라 외부로 전송하는 출력관리단계;
상기 출력관리단계로부터 전송받은 패킷의 헤더 정보에 대응되는 제어정보를 추출하고, 추출된 제어정보를 리턴하는 전처리경로선정단계;
상기 전처리경로선정단계에서 처리되지 않은 패킷을 전송받아 제1 패턴 데이터베이스를 이용하여 상기 패킷의 패턴에 대응되는 제어정보를 추출하고, 추출된 제어정보를 리턴하는 1차처리단계; 및
상기 전처리경로선정단계와 상기 1차처리단계의 제어정보에 따라 상기 출력관리단계로부터 패킷을 전송받아 제2 패턴 데이터베이스를 이용하여 상기 패킷의 패턴에 대응되는 제어정보를 추출하고, 추출된 제어정보를 리턴하는 통계제어단계를 포함하는 것을 특징으로 하는 어플리케이션 인지 처리 방법.
제17항에 있어서,
상기 출력관리단계, 상기 전처리경로선정단계 및 상기 1차처리단계는 어플리케이션 인지 하드웨어에서 수행되고, 상기 통계제어단계는 호스트에서 수행되는 것을 특징으로 하는 어플리케이션 인지 처리 방법.