KR101542028B1 - 동적 컴퓨터 네트워크에서 데이터를 통신하기 위한 라우터 - Google Patents

동적 컴퓨터 네트워크에서 데이터를 통신하기 위한 라우터 Download PDF

Info

Publication number
KR101542028B1
KR101542028B1 KR1020147033724A KR20147033724A KR101542028B1 KR 101542028 B1 KR101542028 B1 KR 101542028B1 KR 1020147033724 A KR1020147033724 A KR 1020147033724A KR 20147033724 A KR20147033724 A KR 20147033724A KR 101542028 B1 KR101542028 B1 KR 101542028B1
Authority
KR
South Korea
Prior art keywords
network
router
module
identification parameter
identification
Prior art date
Application number
KR1020147033724A
Other languages
English (en)
Other versions
KR20150013659A (ko
Inventor
웨인 비. 스미스
Original Assignee
해리스 코포레이션
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 해리스 코포레이션 filed Critical 해리스 코포레이션
Publication of KR20150013659A publication Critical patent/KR20150013659A/ko
Application granted granted Critical
Publication of KR101542028B1 publication Critical patent/KR101542028B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/02—Topology update or discovery
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • H04L63/0414—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden during transmission, i.e. party's identity is protected against eavesdropping, e.g. by using temporary identifiers, but is known to the other party or parties involved in the communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Abstract

사용을 위한 라우터(110) 및 방법(1300)이 개시된다. 라우터는 데이터 패킷을 네트워크(100, 1200)에 연결된 컴퓨팅 디바이스로 수신하고 보내기 위한 입력 및 출력 회로(1604, 1605)를 포함한다. 라우터는 또한 이어지는 패킷을 위한 경로를 갖는 특정 패킷의 목적지와 관련된 다수의 표를 저장하도록 구성된 메모리(1618)를 포함한다. 라우터는 거짓 식별 파라미터를 특정하는 데이터 패킷을 정확하게 보낼 수 있다. 라우터는 또한 데이터 패킷을 보내도록 사용된 라우팅 프로토콜을 동적으로 변경할 수 있다. 라우터는 또한 라우터의 메모리에 저장된 표에 거짓 정보를 특정하는 식별 파라미터 중 적어도 하나의 비교에 기반해서 다수의 출력 포트 중 하나에 데이터 패킷을 보낼 수 있다.

Description

동적 컴퓨터 네트워크에서 데이터를 통신하기 위한 라우터{ROUTER FOR COMMUNICATING DATA IN A DYNAMIC COMPUTER NETWORK}
본 발명의 배열은 컴퓨터 네트워크 보안, 그리고 더 구체적으로 네트워크가 악의적인 공격에 대해 방어하도록 동적으로 전환가능한 컴퓨터 네트워크의 두 개 이상의 논리 서브영역 사이에 통신하기 위한 시스템에 관한 것이다.
현재 사이버 인프라의 주된 취약점은 정적 특성이다. 자산은 영구적이거나 드물게 변하는 신원확인을 받아들이고, 적들이 네트워크를 조사하고, 맵핑하고 취약점을 이용할 거의 무제한적인 시간을 허용한다. 부가적으로, 이들 고정된 개체 사이를 오고가는 데이터가 캡처되고 속성화될 수 있다. 사이버 보안에 대한 현재의 접근은 고정자산 주위에 방화벽 및 침입 검출 시스템과 같은 기술을 위치시키고, 도중에 데이터를 보호하도록 암호화를 사용한다. 그러나, 이러한 전통적인 접근은 공격자에게 고정된 목표를 제공하기 때문에 근본적으로 결함을 갖고 있다. 오늘날 세계적으로 연결된 통신 인프라에서, 정적 네트워크는 취약한 네트워크이다.
방위고등연구계획국(DARPA) 정보 보증(IA) 프로그램은 동적 네트워크 방어의 영역에서 최초 연구를 수행했다. 기법은 네트워크를 관찰하는 어떤 장래의 적들을 혼동시키려는 목적을 위해 미리-지정된 네트워크 집단에 공급하는 인터넷 프로토콜(IP) 어드레스 공간을 동적으로 재할당하는 정보 보증 프로그램에 따라 개발되었다. 이러한 기법은 동적인 네트워크 어드레스 변환(DYNAT)으로 불린다. DYNAT 기술의 개요는 적들의 지능을 방해하는 동적인 접근(2001)으로 명명된 DARPA에 의해 공개된 논문에 제시되었다.
본 발명의 목적은 동적 컴퓨터 네트워크에서의 사용을 위한 라우터 및 방법을 제공하는 것이다.
본 발명의 실시예는 동적 컴퓨터 네트워크에서의 사용을 위한 라우터에 관한 것이다. 라우터는 데이터 통신을 수신하도록 구성된 적어도 하나의 입력 포트에 연결된 입력 회로를 포함한다. 라우터은 또한 적어도 하나의 표를 저장하도록 데이터 통신 및 메모리를 전송하도록 구성된 출력 포트에 연결된 출력 회로를 포함한다. 적어도 하나의 처리 유니트는 라우팅 방법을 수행하도록 제공되고 구성된다. 그 라우팅 방법은 소스 컴퓨팅 디바이스 및 목적지 컴퓨팅 디바이스와 연관된 두 개 이상의 식별 파라미터를 포함하는 데이터 통신을 수신하는 것을 포함한다. 식별 파라미터의 세트는 거짓 정보를 특정한다. 프로세싱 유니트는 복수의 출력 포트 중 하나로 데이터 통신을 라우팅한다. 데이터 통신을 위한 경로는 거짓 정보를 특정하는 식별 파라미터 중 적어도 하나에 대응하는 적어도 하나의 참 정보에 따른 데이터 통신을 위한 정확한 라우팅이다. 참 정보는 거짓 정보에 비해서 다르다.
본 발명은 또한 라우터를 사용하여 연결된 논리 네트워크 사이에 데이터를 통신하기 위한 방법에 관한 것이다. 그 방법은 라우터의 입력 포트 중 하나에서 데이터 통신을 수신하는 것에 의해 시작할 수 있다. 다수의 가변 경로가 결정된다. 경로는 결정된 가변 경로로부터 의사랜덤하게 선택된다. 그 방법은 선택된 경로에 기반해서 라우터의 출력 포트를 통해 데이터 통신을 라우팅하는 것으로 이어진다.
본 발명은 라우터를 사용하여 연결된 논리 네트워크 사이에 데이터를 통신하기 위한 방법을 제공한다.
실시예는 다음의 도면을 참조하여 설명될 것이고, 동일한 도면 부호는 도면에 걸쳐 동일한 개체를 나타내며, 여기서:
도 1은 본 발명을 이해하기에 유용한 컴퓨터 네트워크의 실시예이다.
도 2는 식별 파라미터의 특정 조작을 수행하도록 본 발명에 사용될 수 있는 모듈의 실시예이다.
도 3은 도 1에서의 네트워크를 특징화하는 것을 돕도록 사용될 수 있는 툴을 이해하기에 유용한 도면이다.
도 4는 도 1에서의 모듈을 위한 동적 설정을 선택하기에 유용할 수 있는 그래픽 유저 인터페이스의 대화 상자의 실시예이다.
도 5는 도 1에서 각각의 모듈과 연관된 활성 상태 및 바이패스 상태의 시퀀스를 선택하도록 사용될 수 있는 그래픽 유저 인터페이스의 대화 상자의 실시예이다.
도 6은 미션 플랜이 도 1에서의 네트워크에서 복수의 모듈에 전달될 수 있는 방식을 이해하기에 유용한 도표이다.
도 7은 도 6에 도시된 바와 같이 미션 플랜을 선택하고 모듈에 미션 플랜을 전달하도록 사용될 수 있는 그래픽 유저 인터페이스의 대화 상자의 실시예이다.
도 8은 도 1에서 모듈의 동작을 이해하기에 유용한 흐름도이다.
도 9는 미션 플랜을 생성하고 로딩하는 것에 관련해서 네트워크 제어 소프트웨어 어플리케이션(NCSA)의 동작을 이해하기에 유용한 흐름도이다.
도 10은 도 1에서 모듈을 실행하기에 유용할 수 있는 컴퓨터 아키텍처의 블록도이다.
도 11은 도 1에서 네트워크 관리 컴퓨터(NAC)를 실행하도록 사용될 수 있는 컴퓨터 아키텍처의 블록도이다.
도 12는 본 발명을 이해하기에 유용한 컴퓨터 네트워크의 실시예이다.
도 13은 도 1에서 라우터의 동작을 이해하기에 유용한 흐름도이다.
도 14는 도 1에서 라우터의 동작을 이해하기에 유용한 흐름도이다.
도 15는 도 1에서 라우터의 동작을 이해하기에 유용한 흐름도이다.
도 16은 본 발명에 따라 데이터 패킷을 라우팅하기 위한 방법을 실행하도록 사용될 수 있는 라우터의 실시예이다.
도 17은 수정될 수 있는 식별 파라미터의 유형의 일부를 이해하기에 유용한 표이다.
본 발명은 첨부된 도면을 참조하여 설명된다. 도면은 축척에 따라 그려지지 않고 그들은 단지 즉각적으로 본 발명을 도시하도록 제공된다. 본 발명의 여러 측면은 도시를 위해 예시적인 어플리케이션을 참조하여 아래에 설명된다. 다수의 특정 세부사항, 관계, 및 방법은 본 발명의 완전한 이해를 제공하도록 제시된다는 것이 이해될 수 있다. 그러나 해당 기술분야의 당업자는 본 발명이 특정 세부사항 중 하나 이상 없이 또는 다른 방법으로 실시될 수 있다는 것을 용이하게 인지할 것이다. 다른 실시예에서, 공지된 구조 또는 동작은 본 발명을 모호하게 하는 것을 회피하도록 구체적으로 도시되지 않는다. 본 발명은 일부 동작이 다른 순서로 그리고/또는 다른 동작 또는 이벤트와 동시에 발생할 수 있기 때문에 동작 또는 이벤트의 도시된 순서에 의해 한정되지 않는다. 또한, 모든 도시된 동작 또는 이벤트가 본 발명에 따른 방법론을 실행하도록 요구되는 것은 아니다.
또한 여기에 사용된 용어가 특정 실시예를 설명하는 목적을 위한 것이고 본 발명을 한정하도록 의도되지 않는다는 것이 인지될 수 있다. 여기 사용된 바와 같이, 단수형 "어(a)", "언(an)" 및 "상기(the)"는 문맥이 달리 명백하게 지시하지 않는다면, 복수형 역시 포함하도록 의도된다. 또한, 용어 "포함하는(including)", "포함하다(includes)", "갖는(having)", "갖다(has)", "함께(with)", 또는 그것의 변형이 상세한 설명 및/또는 청구항에 사용된다면, 그러한 용어는 용어 "포함하는(comprising)"과 유사한 방식으로 포함하도록 의도된다.
또한, 달리 정의되지 않는다면, 여기에 사용된 모든 용어(기술적이고 과학적인 용어를 포함)는 본 발명이 속하는 해당 기술분야의 당업자에 의해 흔히 이해되는 바와 동일한 의미를 가진다. 공통으로 사용된 사전에 정의된 이들과 같은 용어는 관련 기술의 문맥에서의 의미에 일치하는 의미를 갖는 바와 같이 해석될 수 있고 여기에 강조해서 그렇게 정의되지 않으면 이상화되거나 지나치게 형식적인 관점에서 해석되지 않는다는 것이 더 이해될 수 있다.
식별 애자일 컴퓨터 네트워크
이제 도 1에 대해 언급하면서, 복수의 컴퓨팅 디바이스를 포함하는 예시적인 컴퓨터 네트워크(100)의 다이어그램이 도시되어 있다. 컴퓨팅 디바이스는 클라이언트 컴퓨터(101-103), 네트워크 관리 컴퓨터(NAC)(104), 서버(111, 112), 네트워크 허브(108, 109), 라우터(110), 및 브릿지(115)를 포함할 수 있다. 클라이언트 컴퓨터는 종래의 태블릿, 노트북, 랩탑 또는 데스크탑 컴퓨터와 같은 네트워크 서비스를 요구할 수 있는 임의 유형의 컴퓨팅 디바이스일 수 있다. 라우터(110)는 컴퓨터 네트워크 사이에 데이터 패킷을 라우팅하는 종래의 라우팅 디바이스일 수 있다. 허브(108, 109)는 해당 기술분야에 공지된 바와 같은 종래의 허브 디바이스(예, 이더넷 허브)이다. 서버(111, 112)는 클라이언트 컴퓨터(101-103)에 의해 사용된 다양한 컴퓨팅 서비스를 제공할 수 있다. 예를 들어, 서버(111, 112)는 클라이언트 컴퓨터(101-103)에 의해 사용된 컴퓨터 파일의 공유된 저장을 위한 위치를 제공하는 파일 서버일 수 있다.
컴퓨터 네트워크(100)용 통신 미디어는 유선, 무선 또는 그 둘 모두일 수 있으나, 단순함을 위해 그리고 본 발명을 모호하게 하는 것을 피하기 위해 유선 네트워크로 여기에 설명될 수 있다. 네트워크는 통신 프로토콜을 사용하여 데이터를 통신할 것이다. 해당 기술분야에 공지된 바와 같이, 통신 프로토콜은 네트워크를 통해 데이터를 통신하도록 사용된 포맷 및 룰을 정의한다. 도 1에서 컴퓨터 네트워크(100)는 현재 공지되거나 장래에 공지될 임의 통신 프로토콜 또는 프로토콜의 조합을 사용할 수 있다. 예를 들어, 컴퓨터 네트워크(100)는 그러한 통신에 적합한 공지된 이더넷 프로토콜을 사용할 수 있다. 대안적으로, 네트워크는 인터넷 프로토콜 스위트(종종 TCP/IP로 언급됨), SONET/SDH, 또는 비동기 전송 모드(ATM) 통신 프로토콜과 같은, 다른 프로토콜을 이용할 수 있다. 일부 실시예에서, 이들 통신 프로토콜 중 하나 이상은 조합해서 사용될 수 있다. 하나의 네트워크 토폴로지가 도 1에 도시됨에도, 본 발명은 이점에서 제한되지 않는다. 대신에, 버스 네트워크, 스타 네트워크, 링 네트워크 또는 메쉬 네트워크와 같은 임의 유형의 적합한 네트워크 토폴로지가 사용될 수 있다.
본 발명은 일반적으로 데이터가 제 1 컴퓨팅 디바이스로부터 제 2 컴퓨팅 디바이스로 전달되는 컴퓨터 네트워크(예, 컴퓨터 네트워크(100)에서)에서 데이터를 통신하기 위한 방법에 관한 것이다. 네트워크 내의 컴퓨팅 디바이스는 다중 식별 파라미터로 표현된다. 여기에 사용된, 어구 "식별 파라미터"는 인터넷 프로토콜(IP) 어드레스, 미디어 액세스 제어(MAC) 어드레스, 포트 넘버 등과 같은 아이템을 포함할 수 있다. 그러나, 본 발명은 이 점에서 한정되지 않고, 식별 파라미터는 또한 네트워크 노드를 특징화하기에 유용하고 다양한 다른 정보를 포함할 수 있다. 여기에 고려되는 다양한 유형의 식별 파라미터가 아래에 더 구체적으로 논의된다. 본 발명의 배열은 네트워크 내의 하나 이상의 컴퓨팅 디바이스를 위한 그러한 식별 파라미터 중 하나 이상을 조작하기 위한 이동 타킷 기술(MTT)의 사용을 포함한다. 이러한 기법은 그러한 컴퓨팅 디바이스의 통신 패턴 및 네트워크 어드레스를 가장한다. 여기에 설명된 바와 같은 식별 파라미터의 조작은 네트워크에서 데이터 통신과 관련해서, 즉, 데이터가 네트워크에서 제 1 컴퓨터(예, 클라이언트 컴퓨터(101))로부터 네트워크에서 제 2 컴퓨터(예, 클라이언트 컴퓨터(102))로 통신될 때 일반적으로 수행된다. 따라서, 조작되는 식별 파라미터는 소스 컴퓨팅 디바이스(데이터가 발생된 디바이스) 및 목적지 컴퓨팅 디바이스(데이터가 보내질 디바이스)의 이들을 포함할 수 있다. 통신되는 식별 파라미터의 세트는 식별 파라미터 세트(IDP 세트)로 여기에 언급된다. 이러한 개념이 IDP 세트(120)가 데이터 패킷(미도시)의 일부분으로서 클라이언트 컴퓨터(101)에 의해 송신되는 것을 나타내는, 도 1에 도시된다.
본 발명의 배열에 따른 프로세스는 컴퓨터 네트워크 내의 제 1 위치에서 소스 및/또는 목적지 컴퓨팅 디바이스의 하나 이상의 식별 파라미터를 특정하는 데이터 패킷 또는 데이터그램에 포함된 값을 선택적으로 수정하는 것을 포함한다. 식별 파라미터는 미션 플랜에 따라서 수정된다. 그러한 수정이 수행되는 위치는 모듈(105-107, 113, 114) 중 하나의 위치와 일반적으로 일치할 것이다. 도 1에 대해 다시 한 번 더 언급하면서, 모듈(105, 106, 107, 113, 114)이 그러한 네트워크에서 노드를 포함하는 다양한 컴퓨팅 디바이스 사이의 컴퓨터 네트워크에 개재된다는 것이 관찰될 수 있다. 이들 위치에서, 모듈 인터셉트 데이터 패킷 통신은 식별 파라미터의 필요한 조작을 수행하고, 송신 경로를 따라 데이터 패킷을 재송신한다. 대안적인 실시예에서, 모듈(105, 106, 107, 113, 114)은 유사한 기능을 수행할 수 있지만, 컴퓨팅 디바이스 중 하나 이상에 직접적으로 일체화될 수 있다. 예를 들어, 모듈은 클라이언트 컴퓨터(101, 102, 103), 서버(111, 112), 허브(108, 109) 및/또는 라우터(110) 내에 일체화될 수 있다.
부가적으로, 네트워크는 라우터(110)를 통해 연결된, 때때로 서브-네트워크 또는 서브넷으로 언급되는 다수의 논리 서브영역으로 나누어질 수 있다. 엔터프라이즈 네트워크는 외부 호스트에 보일 수 있는 것으로부터 네트워크의 토폴로지를 숨기고, 다른 네트워크 프로토콜을 사용하여 네트워크를 연결하며, 서브넷 레벨 상의 네트워크 어드레싱 스킴을 분리하여 관리하고, 제한된 데이터 연결로인한 서브넷을 가로지른 데이터 트래픽의 관리를 가능하게 하고, 그리고 그와 유사한 것을 포함하지만, 그들로 한정되지 않는 다양한 관리 또는 기술적 이유로 인해 다수의 서브넷으로 나누어질 수 있다. 서브넷팅은 해당 기술분야에 공지되어 있고 더 구체적으로 설명되지 않을 것이다.
도 1에 대해 다시 언급하면서, 컴퓨터 네트워크(100)는 두 개의 논리 네트워크, 즉 제 1 논리 네트워크(130) 및 제 2 논리 네트워크(132)로 나누어진다. 여기에 사용된 바와 같은, 어구 "논리 네트워크"는 컴퓨터 네트워크의 임의의 논리 서브영역을 말한다. 실시예에서, 논리 네트워크(130, 132)는 라우터(110)를 통해 연결된다. 라우터(110)는 논리 네트워크 사이에, 즉, 클라이언트 컴퓨터(101)로부터 클라이언트 컴퓨터(103)로, 트래픽을 지향하는데 책임이 있다. 라우터(110)는 또한 제 2 네트워크(124)에 결합된 네트워크(100)에 연결된 임의의 호스트로부터 트래픽을 지향하는데 책임이 있다. 도 1에 도시된 실시예에서, 네트워크(100)로부터 제 2 네트워크(124)로 라우팅된 트래픽은 브릿지(115)를 통해 통과한다. 위의 모듈에 대해서, 브릿지(115)의 기능성은 라우터(110) 내에 일체화될 수 있다.
모듈(105)의 기능 블록도의 실시예가 도 2에 도시된다. 모듈(106-107, 113, 114)은 유사한 기능 블록도를 가질 수 있지만, 본 발명이 이 점에서 한정되지 않는다는 것이 이해되어야만 한다. 도 2에 도시된 바와 같이, 모듈(105)은 각각이 각각의 네트워크 인터페이스 디바이스(204, 205)에 대응할 수 있는 적어도 두 개의 데이터 포트(201, 202)를 가진다. 포트(201)에 수신된 데이터는 네트워크 인터페이스 디바이스(204)에서 처리되고 입력 버퍼(210)에 임시 저장된다. 프로세서(215)는 입력 버퍼(210)에 포함된 입력 데이터 패킷에 접근하고 여기에 설명된 바와 같은 식별 파라미터의 임의 필요한 조작을 수행한다. 수정된 데이터 패킷은 출력 버퍼(212)로 통과되고 이어서 네트워크 인터페이스 디바이스(205)를 사용하여 포트(202)로부터 송신된다. 유사하게, 포트(202)에 수신된 데이터는 네트워크 인터페이스 디바이스(205)에서 처리되고 입력 버퍼(208)에 임시 저장된다. 프로세서(215)는 입력 버퍼(208)에 포함된 입력 데이터 패킷에 접근하고 여기에 설명된 바와 같은 식별 파라미터의 임의 필요한 조작을 수행한다. 수정된 데이터 패킷은 출력 버퍼(206)로 통과되고 이어서 네트워크 인터페이스 디바이스(204)를 사용하여 포트(201)로부터 송신된다. 각각의 모듈에서, 식별 파라미터의 조작은 메모리(218)에 저장된 미션 플랜(220)에 따라 프로세서(215)에 의해 수행된다.
모듈은 그것이 양방향으로 동작하도록 바람직하게 구성된다는 것이 도 2로부터 이해될 것이다. 그러한 실시예에서, 모듈은 특정 데이터 패킷의 소스에 따라서, 다른 수정 기능을 실행할 수 있다. 각각의 모듈에서 동적인 수정 기능은 특정 데이터 패킷의 소스 컴퓨팅 디바이스에 따라 미션 플랜에서 특정될 수 있다. 모듈은 임의의 적합한 수단에 의해 데이터 패킷의 소스를 결정할 수 있다. 예를 들어, 데이터 패킷의 소스 어드레스는 이러한 목적을 위해 사용될 수 있다.
네트워크(100) 내의 선택된 모듈에서, 프로세서(215)는 참 식별 파라미터 값 대신에 사용될 하나 이상의 거짓 식별 파라미터 값을 판단할 것이다. 프로세서는 하나 이상의 참 식별 파라미터 값을 의사랜덤 함수에 의해 바람직하게 특정되는 하나 이상의 거짓 식별 파라미터 값으로 변환할 것이다. 이러한 변환에 이어서, 모듈은 송신 경로를 따라서 수정된 패킷 또는 데이터그램을 네트워크의 다음의 노드로 보낼 것이다. 통신 경로에서 이어지는 포인트에서, 그러한 네트워크 통신을 모니터링하는 적은 네트워크 상에 통신하는 컴퓨팅 디바이스의 식별에 관한 거짓 또는 부정확한 정보를 발견할 것이다.
바람직한 실시예에서, 의사랜덤 함수에 의해 특정된 거짓 식별 파라미터는 하나 이상의 트리거 이벤트의 발생에 따라서 변화된다. 트리거 이벤트는 프로세서(215)가 참 식별 파라미터가 변환되는 거짓 식별 파라미터 값의 새로운 세트를 발생시키도록 의사랜덤 함수를 사용하게 한다. 따라서, 트리거 이벤트는 여기에 설명된 거짓 식별 파라미터의 동적인 변화에 관한 토대로서 역할한다. 트리거 이벤트는 아래에 더 구체적으로 논의된다. 그러나 식별 파라미터에 관한 거짓값의 새로운 세트를 선택하기 위한 트리거 이벤트가 시간의 경과 및/또는 특정 네트워크 이벤트의 발생에 기반할 수 있다는 것이 언급되어야만 한다. 트리거 이벤트는 또는 사용자 명령에 의해 시작될 수 있다.
위에 설명된 식별 파라미터의 변환은 사이버 공격을 막는 목적을 위해 컴퓨터 네트워크(100)를 전환시키는 하나의 방식을 제공한다. 바람직한 실시예에서, 프로세서(215)에 의해 실행된 미션 플랜(220)은 또한 컴퓨터 네트워크가 전환할 수 있는 방식의 특정 다른 측면을 제어할 것이다. 예를 들어, 미션 플랜(220)은 식별 파라미터의 동적 선택이 조작된다는 것을 특정할 수 있다. 동적인 선택은 어느 식별 파라미터가 수정을 위해 선택되는지의 선택 및/또는 선택되는 그러한 식별 파라미터의 수를 포함할 수 있다. 이러한 가변적인 선택 프로세스는 컴퓨터 네트워크(100)에 대해 침투하거나 습득하려는 적의 노력을 더 막을 수 있도록 사용될 수 있는 추가된 불특정성 또는 변동성의 특성을 제공한다. 이러한 기법의 실시예로서, 제 1 시간 기간 동안, 모듈이 각각의 데이터 패킷의 목적지 IP 어드레스 및 목적지 MAC 어드레스를 수정할 수 있다는 것을 고려한다. 제 2 시간 기간 동안, 모듈은 각각의 데이터 패킷에서 소스 IP 어드레스 및 소스 호스트 네임을 조작할 수 있다. 시간의 제 3 기간 동안, 모듈은 소스 포트 넘버 및 소스 사용자 네임을 조작할 수 있다. 식별 파라미터의 선택에서 변화는 동시에 발생할 수 있다(모든 선택된 식별 파라미터는 동시에 변화된다). 대안적으로, 식별 파라미터의 선택에서의 변화는 비동기로 발생할 수 있다(선택된 식별 파라미터의 그룹은 개별 식별 파라미터가 선택된 식별 파라미터의 그룹으로부터 추가되거나 제거됨에 따라 점차적으로 변한다).
의사랜덤 함수는 바람직하게 거짓값으로 조작되거나 변환될 식별값의 선택을 결정하도록 사용된다. 달리 말해서, 모듈은 의사랜덤 함수에 의해 선택된 식별 파라미터만을 변환할 것이다. 바람직한 실시예에서, 의사랜덤 함수에 의해 특정된 식별 파라미터의 선택은 트리거 이벤트의 발생에 따라 변화된다. 트리거 이벤트는 프로세서(215)가 거짓 식별 파라미터로 변환될 식별 파라미터의 새로운 선택을 발생시키도록 의사랜덤 함수를 사용하게 한다. 따라서, 트리거 이벤트는 여기에 설명된 식별 파라미터의 선택의 동적인 변화를 위한 토대로서 역할한다. 특히, 식별 파라미터의 값은 또한 의사랜덤 알고리즘에 따라 변화될 수 있다.
그 모듈은 또한 사이버 공격을 막는 목적을 위해 컴퓨터 네트워크를 전환하는 제 3의 방법을 유리하게 제공할 수 있다. 구체적으로, 각각의 모듈에 로딩된 미션 플랜은 식별 파라미터의 수정 또는 변환이 발생할 수 있는 네트워크 내의 위치를 동적으로 변하게 할 수 있다. 클라이언트 컴퓨터(101)로부터 클라이언트 컴퓨터(102)로 보내진 IDP 세트(120)에서 식별 파라미터의 수정이 모듈(105)에서 발생할 수 있다는 것을 고려한다. 이러한 조건은 IDP 세트(120)가 새로운 또는 수정된 IDP 세트(122)로 변환되도록 IDP 세트(120)에 포함된 식별 파라미터가 모듈(105)에서 조작되는 도 1에 도시된다. IDP 세트(122)에서 식별 파라미터의 적어도 일부는 IDP 세트(120)에서의 식별 파라미터에 비해 다르다. 그러나 그러한 변환이 발생하는 위치는 또한 바람직하게 미션 플랜에 의해 제어된다. 따라서, IDP 세트(120)의 조작은 예를 들어, 모듈(105)에서 대신에 모듈(113, 114)에서 때때로 발생할 수 있다. 식별 파라미터의 조작이 발생하는 위치를 선택적으로 변경하는 이러한 능력은 컴퓨터 네트워크의 전환 능력에 더 중요한 특성을 부가한다.
식별 파라미터가 수정되는 위치에서 동적인 변화는 각각의 모듈의 동작 상태를 선택적으로 제어하는 것에 의해 용이해진다. 그 목적을 위해, 각각의 모듈의 동작 상태는 바람직하게 (1) 데이터가 현재의 미션 플랜에 따라 처리되는 활성 상태, 및 (2) 모듈이 존재하지 않았던 것처럼 패킷이 모듈을 통해 흐를 수 있는 바이패스 상태를 포함한다. 동적인 수정이 수행되는 위치는 선택적으로 특정 모듈이 활성 상태에 있게 하고 특정 모듈이 대기 상태에 있게 하는 것에 의해 제어된다. 위치는 조정된 방식으로 모듈의 현재 상태를 동적으로 변경하는 것에 의해 동적으로 변화될 수 있다.
미션 플랜은 식별 파라미터가 조작될 컴퓨터 네트워크(100) 내의 위치를 결정하기 위한 미리 정해진 시퀀스를 포함할 수 있다. 식별 파라미터가 조작될 위치는 때때로 트리거 이벤트에 의해 지시된 시퀀스를 따라 변할 것이다. 예를 들어, 트리거 이벤트는 여기에 설명된 바와 같은 식별 파라미터의 조작 또는 변환을 위한 새로운 위치로의 천이를 야기할 수 있다. 따라서, 트리거 이벤트는 식별 파라미터가 수정되는 위치에서 변화의 발생을 위한 토대로서 역할하고, 미리 정해진 시퀀스는 어디에 새로운 위치가 있을지를 결정한다.
앞서 언급한 것으로부터, 데이터 패킷이 거짓 식별 파라미터를 포함하도록 모듈에서 수정된다는 것이 인지될 것이다. 컴퓨터 네트워크 내의 일부 포인트에서, 식별 파라미터를 참값으로 복원하는 것이 필요하고, 그래서 식별 파라미터는 특정 네트워크 프로토콜에 따라 의도된 기능을 적절하게 수행하도록 사용될 수 있다. 따라서, 본 발명의 배열은 또한 제 2 위치(즉, 제 2 모듈)에서 미션 플랜에 따라 식별 파라미터에 대해 할당된 값을 동적으로 수정하는 것을 포함한다. 제 2 위치에서 수정은 식별 파라미터를 수정하도록 제 1 위치에서 사용된 프로세스의 역을 핵심적으로 포함한다. 따라서 제 2 위치에서 모듈은 거짓값 식별 파라미터를 그들의 참값으로 다시 복구하거나 변환할 수 있다. 이러한 동작을 달성하기 위해, 제 2 위치에서 모듈은 적어도 (1) 변환될 식별 파라미터 값의 선택, 및 (2) 거짓값에서 참값으로의 선택된 식별 파라미터의 정확한 변환을 결정할 수 있어야만 한다. 사실상, 이러한 프로세스는 식별 파라미터 선택 및 그러한 식별 파라미터 값에 영향을 준 변화를 결정하도록 사용된 의사랜덤 프로세스 또는 프로세스들의 역을 포함한다. 역변환 단계는 도 1에 도시되고, 여기서 IDP 세트(122)는 모듈(106)에서 수신되고, IDP 세트(122)에서의 식별 파라미터 값은 원래 또는 참값으로 다시 변환되거나 조작된다. 이러한 시나리오에서, 모듈(106)은 식별 파라미터 값을 IDP 세트(120)의 것으로 다시 변환한다.
특히, 모듈은 그것이 수신하는 각각의 데이터 통신에 적용하기 위한 적절한 변환 또는 조작을 결정하는 일부 방식을 가져야만 한다. 바람직한 실시예에서, 이러한 결정은 수신된 데이터 통신 내에 포함된 적어도 소스 어드레스 식별 파라미터를 검토하는 것에 의해 수행된다. 예를 들어, 소스 어드레스 식별 파라미터는 소스 컴퓨팅 디바이스의 IP 어드레스를 포함할 수 있다. 소스 컴퓨팅 디바이스의 참 식별이 알려지면, 모듈은 어떤 조치를 취할 필요가 있는지를 결정하기 위해 미션 플랜(또는 미션 플랜으로부터 유도된 정보)을 참고한다. 예를 들어, 이들 조치는 특정 참 식별 파라미터 값을 거짓 식별 파라미터 값으로 변환하는 것을 포함할 수 있다. 대안적으로, 이러한 변화는 거짓 식별 파라미터 값을 참 식별 파라미터 값으로 다시 변환하는 것을 포함할 수 있다.
특히, 수신된 데이터 통신에 포함된 소스 어드레스 식별 파라미터 정보가 거짓값으로 변화되는 예가 있을 것이다. 이러한 환경에서, 데이터 통신을 수신하는 모듈은 데이터 통신의 소스의 식별을 즉시 결정할 수 없을 것이다. 그러나, 통신을 수신했던 모듈은 그러한 예에서 소스 컴퓨팅 디바이스를 여전히 식별할 수 있다. 이것은 특정 시간 동안 사용 시에 모든 그러한 거짓 소스 어드레스 식별 파라미터 값을 나열하는 룩-업-테이블(LUT)과 거짓 소스 어드레스 식별 파라미터 값을 비교하는 것에 의해 수신 모듈에서 달성된다. LUT는 또한 거짓 소스 어드레스 값에 대응하는 참 소스 어드레스 식별 파라미터 값의 목록을 포함한다. LUT는 미션 플랜에 의해 직접적으로 제공될 수 있거나 미션 플랜 내에 포함된 정보에 의해 발생될 수 있다. 둘 중 어느 한 경우에, 참 소스 어드레스 식별 파라미터 값의 식별화는 LUT로부터 쉽게 결정될 수 있다. 참 소스 어드레스 식별 파라미터가 결정되면, 그때 데이터 통신을 수신했던 모듈은 식별 파라미터에 어떤 조작이 요구되는지를 (미션 플랜에 기반해서) 결정하도록 이러한 정보를 사용할 수 있다.
특히, 미션 플랜은 또한 식별 파라미터가 참값으로 복구되는 제 2 위치에서의 변화를 특정할 수 있다. 예를 들어, 식별 파라미터가 모듈(105)을 포함하는 제 1 위치에서 동적으로 수정되는 것을 가정한다. 미션 플랜은 참값으로의 식별 파라미터의 복구가 설명된 바와 같이 모듈(106)에서 발생하는 것을 특정할 수 있지만, 대신에 동적인 수정이 모듈(113, 114)에서 발생하는 것을 대안적으로 특정할 수 있다. 일부 실시예에서, 그러한 조작이 발생하는 위치는 미리 정의된 시퀀스에 따라 미션 플랜에 의해 동적으로 결정된다. 미리 정의된 시퀀스는 식별 파라미터의 조작이 발생하는 위치 또는 모듈의 시퀀스를 결정할 수 있다.
다른 위치에서 동적 수정을 포함하는 천이는 바람직하게 트리거 이벤트에 따라 일어난다. 따라서, 미리 정의된 시퀀스는 데이터 조작이 발생하는 위치의 패턴 또는 시퀀스를 결정하고, 트리거 이벤트는 하나의 위치로부터 다음으로의 천이를 야기하기 위한 토대로서 역할한다. 트리거 이벤트는 아래에 더 구체적으로 논의되지만; 트리거 이벤트가 시간의 경과, 사용자 제어 및/또는 특정 네트워크 이벤트의 발생에 기반할 수 있다는 것이 언급되어야만 한다. 제 2 위치(즉, 식별 파라미터가 참값으로 되돌아가는 곳)의 선택에 대한 제어는 제 1 위치에 관해 위에 설명된 바와 동일한 방식으로 영향받을 수 있다. 구체적으로, 둘 이상의 모듈의 동작 상태는 활성 상태와 바이패스 상태 사이에 토글링될 수 있다. 식별 파라미터의 조작은 활성 동작 상태를 갖는 모듈에서만 발생할 것이다. 바이패스 동작 상태를 갖는 모듈은 수정 없이 데이터 패킷을 단순히 통과시킬 것이다.
대안적인 방법 역시 식별 파라미터의 조작이 발생할 위치를 제어하도록 사용될 수 있다. 예를 들어, 네트워크 관리자는 미션 플랜에서 식별 파라미터가 참값에서 거짓값으로 변환될 수 있는 여러 가능한 모듈을 정의할 수 있다. 트리거 이벤트의 발생 시에, 새로운 위치는 의사랜덤 함수를 사용하고, 의사랜덤 함수를 위한 시드값으로 트리거 시간을 사용하는 것에 의해 여러 모듈 가운데로부터 선택될 수 있다. 각각의 모듈이 동일한 최초 시드 값을 사용하여 동일한 의사랜덤 함수를 실행한다면 그때 각각의 모듈은 동일한 의사랜덤 값을 계산할 것이다. 트리거 시간은 (GPS 시간 또는 시스템 클록 시간과 같은) 클록 시간에 기반해서 결정될 수 있다. 이 방식으로, 각각의 모듈은 그것이 현재 식별 파라미터의 조작이 발생해야만 하는 활성 위치인지 여부를 독립적으로 결정할 수 있다. 유사하게, 네트워크 관리자는 미션 플랜에서 동적인 조작이 식별 파라미터를 정확하거나 참인 값으로 되돌리는 여러 가능한 모듈을 정의할 수 있다. 어느 모듈이 이러한 목적을 위해 사용되는가에 대한 선택 역시 여기에 설명된 바와 같이 트리거 시간 및 의사랜덤 함수에 따라 결정될 수 있다. 식별 파라미터 조작이 발생할 위치 또는 모듈을 결정하기 위한 다른 방법 역시 가능하다. 따라서, 본 발명은 여기에 설명된 특정 방법으로 한정되는 것으로 의도되지 않는다.
특히, 식별 함수가 조작되는 제 1 및/또는 제 2 위치의 위치를 변경하는 것은 네트워크 통신 경로를 따라 제 1 및 제 2 위치 사이의 물리적 거리를 변경하는 것을 종종 초래할 것이다. 제 1 및 제 2 위치 사이의 거리는 거리 벡터로서 여기에 언급된다. 거리 벡터는 제 1 및 제 2 위치 사이의 통신 경로에 따른 실제 물리적 거리일 수 있다. 그러나, 제 1 및 제 2 위치 사이의 통신 경로에 존재하는 네트워크 노드의 수를 나타내는 바와 같이 거리 벡터를 생각하는 것은 유용하다. 네트워크 내의 제 1 및 제 2 위치에 대해 다른 위치를 동적으로 선택하는 것은 제 1 및 제 2 위치 사이의 노드의 수를 변경하는 효과를 가질 수 있다는 것이 인지될 것이다. 예를 들어, 도 1에서, 식별 파라미터의 동적인 수정은 모듈(105, 106, 107, 113, 114) 중 선택된 하나에서 실행된다. 동적 수정을 각각 실행하도록 실제로 사용된 모듈은 앞서 설명된 바와 같이 결정된다. 모듈(105)이 식별 파라미터를 거짓값으로 변환하도록 사용되고 모듈(106)이 그들을 참값으로 다시 변환하도록 사용된다면, 그때 모듈(105, 106) 사이에 세 개의 네트워크 노드(108, 110, 109)가 있다. 그러나 모듈(113)이 거짓값으로 변환하도록 사용되고 모듈(114)이 식별 파라미터를 참값으로 다시 변환하도록 사용된다면, 그때 모듈(113, 114) 사이에 단지 하나의 네트워크 노드(110)만이 있다. 따라서, 동적 수정이 발생하는 위치의 위치를 동적으로 변경하는 것은 거리 벡터를 동적으로 변경할 수 있다는 것이 인지될 수 있다. 거리 벡터의 이러한 변동은 여기에 설명된 바와 같이 네트워크 전환 또는 수정에 추가된 가변성의 특성을 제공한다.
본 발명에서, 식별 파라미터 값의 조작, 식별 파라미터의 선택, 및 이들 식별 파라미터가 있는 위치가 전환 파라미터로서 각각 정의된다. 변경이 이들 세 개의 전환 파라미터 중 하나에서 발생할 때마다, 네트워크 전환이 발생했다고 말해질 수 있다. 언제든 이들 세 개의 전환 파라미터 중 하나가 변경되면, 네트워크 전환이 발생했다고 말할 수 있다. 컴퓨터 네트워크(100)에 침투하려는 적들의 노력을 가장 효과적으로 방해하기 위해서, 네트워크 전환은 바람직하게 앞서 설명된 바와 같이 의사랜덤 프로세스에 의해 제어된다. 해당 기술분야의 당업자는 혼돈 프로세스 역시 이러한 기능을 수행하도록 사용될 수 있다는 것을 인지할 것이다. 혼돈 프로세스는 의사랜덤 함수에 비해 기술적으로 다르지만, 본 발명의 목적을 위해, 둘 중 어느 하나가 사용될 수 있고, 그 두 개는 동일한 것으로 간주된다. 일부 실시예에서, 동일한 의사랜덤 프로세스는 전환 파라미터 중 두 개 이상을 동적으로 변경하도록 사용될 수 있다. 그러나, 본 발명의 바람직한 실시예에서, 두 개 이상의 다른 의사랜덤 프로세스가 이들 전환 파라미터 중 둘 이상이 다른 것들과 독립적으로 수정되도록 사용된다.
트리거 이벤트
위에 언급된 바와 같이, 전환 파라미터의 각각에 대한 동적 변경은 적어도 하나의 트리거에 의해 제어된다. 트리거는 변경이 여기 설명된 동적 수정에 관련해서 발생하게 하는 이벤트이다. 달리 말해서, 트리거는 네트워크가 이전 시간에서(즉, 트리거의 발생 전에)와 다른 새로운 방식으로 전환하게 한다는 것이 언급될 수 있다. 예를 들어, 시간의 제 1 기간 동안, 미션 플랜은 IP 어드레스가 값 A로부터 값 B로 변경되게 할 수 있지만; 대신에 이벤트 후에, IP 어드레스는 값 A에서 값 C로 변경될 수 있다. 유사하게, 시간의 제 1 기간 동안 미션 플랜은 IP 및 MAC 어드레스가 수정되게 할 수 있지만; 대신에 트리거 이벤트 후에, 미션 플랜은 MAC 어드레스 및 사용자 네임이 수정되게 할 수 있다. 제 3 실시예로서, 시간의 제 1 기간 동안 미션 플랜은 IDP 세트(120)가 모듈(105)에 도달할 때 식별 파라미터가 변경되게 할 수 있지만; 대신에 트리거 이벤트 후에, IDP 세트(120)가 모듈(113)에 도달할 때 변경되게 할 수 있다.
가장 단순한 형태로 트리거는 사용자 활성화될 수 있거나 단순한 시간 스킴에 기반할 수 있다. 그러한 실시예에서, 각각의 모듈에서 클록 시간은 트리거로서 역할할 수 있다. 예를 들어, 트리거 이벤트는 매 60초 시간 간격의 만료 시에 발생하는 것으로 정의될 수 있다. 그러한 배열에 있어서, 전환 파라미터 중 하나 이상이 미리 정의된 클록 시간에 따라서 매 60초마다 변할 수 있다. 일부 실시예에서, 전환 파라미터의 전부가 변경이 동기화되도록 동시에 변경할 수 있다. 조금 더 복잡한 실시예에서, 시간 기반 트리거 배열 역시 사용될 수 있지만, 다른 고유한 트리거 시간 간격이 각각의 전환 파라미터에 대해 선택될 수 있다. 따라서, 거짓 식별 파라미터 값은 시간 간격 X에서 변경될 수 있고, 식별 파라미터의 선택은 시간 간격 Y에 따라 변할 수 있으며, 그러한 변화가 수행되는 위치는 시간 간격 Z에서 발생할 수 있고, 여기서 X, Y 및 Z는 다른 값이다.
트리거 메커니즘으로서 클록 시간에 의존하는 본 발명의 실시예에서, 인식되지 않은 식별 파라미터로 인해 패킷이 손실되거나 떨어지지 않는다는 것을 보장하도록 다양한 모듈(105, 106, 107, 113, 114)에서 클록 사이에서와 같이 동기화를 제공하는 것이 유리하다는 것이 인지될 것이다. 동기화 방법은 공지되어 있고 임의의 적합한 동기화 메커니즘이 이러한 목적을 위해 사용될 수 있다. 예를 들어, 모듈은 GPS 클록 시간과 같은 매우 정확한 시간 기준을 사용하는 것에 의해 동기화될 수 있다. 대안적으로, 고유한 무선 동기화 신호가 중앙 제어 시설로부터 모듈의 각각으로 방송될 수 있다.
다른 유형의 트리거 역시 본 발명으로 가능하다. 트리거 이벤트는 잠재적 네트워크 보안 위협의 발생 또는 검출에 기반할 수 있다. 본 발명의 실시예에 따라서, 잠재적 보안 위협은 네트워크 보안 소프트웨어 스위트에 의해 식별될 수 있다. 대안적으로, 잠재적 네트워크 보안 위협은 패킷이 네트워크 전환의 현재 상태에 일치하지 않는 하나 이상의 식별 파라미터를 포함하는 모듈(105, 106, 107, 113, 114)에서 데이터 패킷의 수신 시에 식별될 수 있다. 네트워크 보안 위협을 식별하기 위한 토대와 상관없이, 그러한 위협의 존재는 트리거 이벤트로서 역할할 수 있다. 네트워크 보안 위협을 토대로 한 트리거 이벤트는 위에 설명된 시간 기반 트리거에 의해 야기된 이들과 동일한 네트워크 전환의 유형을 야기할 수 있다. 예를 들어, 거짓 식별 파라미터, 식별 파라미터의 선택 및 식별 파라미터 변환의 위치는 네트워크 보안 위협이 검출되는 경우를 제외하고 안정적으로(즉, 변경되지 않고) 유지될 수 있다. 그러한 배열은 예를 들어, 잦은 네트워크 전환이 요구되지 않는 컴퓨터 네트워크에서 선택될 수 있다.
대안적으로, 시간 기간 트리거 이벤트는 네트워크 보안에 대한 잠재적 위협에 기반해서 트리거 이벤트와 조합될 수 있다. 그러한 실시예에서, 보안 위협에 기반한 트리거 이벤트는 시간 기반 트리거에 비해서 네트워크 전환에 다른 효과를 가질 수 있다. 예를 들어, 보안 위협 기반 트리거 이벤트는 그러한 네트워크 보안 위협에 더 공격적으로 대응하도록 네트워크 전환에서 전략적이거나 공격적인 변화를 야기할 수 있다. 그러한 측정의 정밀성은 위협의 성질에 달려 있으나, 다양한 응답을 포함할 수 있다. 예를 들어, 다른 의사랜덤 알고리즘이 선택될 수 있고, 그리고/또는 각각의 IDP 세트(120)에서 조작을 위해 선택된 식별 파라미터의 수는 증가될 수 있다. 시간 기반 트리거를 이미 이용하는 시스템에서, 응답은 또한 네트워크 전환의 빈도를 증가시키는 것을 포함할 수 있다. 따라서, 더 잦은 변화가 (1) 거짓 식별 파라미터 값, (2) 각각의 IDP 세트에서 변화될 식별 파라미터의 선택, 및/또는 (3) 식별 파라미터가 변화되는 제 1 및 제 2 위치의 위치에 대해서 이루어질 수 있다. 따라서, 여기에 설명된 네트워크 전환은 잠재적 네트워크 보안 위협을 식별하고 그에 대응하기 위한 방법을 제공한다.
미션 플랜
본 발명의 바람직한 실시예에 따라서, 여기에 설명된 네트워크 전환은 미션 플랜에 따라 제어된다. 미션 플랜은 네트워크 및 보안 모델에 관한 문맥 내의 기동성을 정의하고 제어하는 개념이다. 그러한 바와 같이, 미션 플랜은 네트워크 관리 컴퓨터(NAC)(104)로부터 각각의 모듈(105-107, 113-114)로 통신되는 데이터 파일로서 표현될 수 있다. 그런 후에 미션 플랜이 식별 파라미터의 조작을 제어하고 네트워크에서 다른 모듈의 동작으로 활동을 조정하도록 각각의 모듈에 의해 사용된다.
바람직한 실시예에 따라서, 미션 플랜은 네트워크가 잠재적 적을 저지하도록 전환하는 방식을 업데이트 또는 변경하도록 네트워크 관리자에 의해 때때로 수정될 수 있다. 그러한 바와 같이, 미션 플랜은 네트워크 관리자에게 네트워크 전환이 네트워크 내에서 발생할 시간, 위치 및 방식에 관한 완벽한 제어를 용이하게 하는 툴을 제공한다. 그러한 업데이트 능력은 네트워크 관리자가 컴퓨터 네트워크의 거동을 현재 동작조건에 맞추고 네트워크에 침입하려는 적의 노력을 더 효과적으로 저지하게 한다. 다중 미션 플랜은 사용자에 의해 정의될 수 있고 네트워크 내의 모듈에 접근가능하도록 저장된다. 예를 들어, 다중 미션 플랜이 NAC(104)에 저장될 수 있고 필요에 따라 모듈에 전달될 수 있다. 대안적으로, 복수의 미션 플랜이 각각의 모듈 상에 저장될 수 있고 네트워크의 보안을 유지할 필요 또는 요구에 따라 활성화될 수 있다. 예를 들어, 네트워크 관리자가 적이 네트워크에 대한 현재의 미션 플랜을 발견했다고 결정하거나 의심하면, 관리자는 미션 플랜을 변경하길 원할 수 있다. 효과적인 보안 절차는 또한 미션 플랜이 주기적으로 변경되는 것을 요구할 수 있다.
미션 플랜을 생성하는 프로세스는 네트워크(100)를 모델링하는 것에 의해 시작할 수 있다. 모델의 생성은 네트워크 커맨드 센터에서 컴퓨터 또는 서버 상에 실행하는 네트워크 제어 소프트웨어 어플리케이션(NCSA)에 의해 용이해진다. 예를 들어, 도 1에 도시된 실시예에서, NCSA는 NAC(104) 상에 실행할 수 있다. 네트워크 모델은 네트워크(100)에 포함되는 다양한 컴퓨팅 디바이스 사이의 데이터 연결 및/또는 관계를 규정하는 정보를 바람직하게 포함한다. NCSA는 그러한 관계 데이터의 진입을 용이하게 하는 적합한 인터페이스를 제공할 것이다. 일 실시예에 따라서, NCSA는 미션 플랜을 규정하도록 사용될 수 있는 표에 데이터의 진입을 용이하게 할 수 있다. 그러나, 바람직한 실시예에서, 그래픽 유저 인터페이스는 이러한 프로세스를 용이하게 하도록 사용된다. 이제 도 3에 대해 언급하면서, NCSA는 네트워크 토포그래피 모델 발생기 툴을 포함할 수 있다. 툴은 네트워크의 다양한 성분의 각각 사이의 관계를 규정하는 것에서 네트워크 관리자를 돕도록 사용된다. 네트워크 토포그래피 툴은 관리자가 커서(304)를 사용하는 것에 의해 네트워크 성분(302)을 드래그 및 드롭할 수 있는 작업공간(300)을 제공한다. 네트워크 관리자는 또한 다양한 네트워크 성분(302) 사이에 데이터 연결(306)을 생성할 수 있다. 이러한 모델링 프로세스의 일부로서, 네트워크 관리자는 모듈(105-107, 113, 114)을 포함하는, 다양한 네트워크 성분에 관한 네트워크 어드레스 정보를 제공할 수 있다.
네트워크가 모델링되면, 그것은 다양한 모듈(105-107, 113, 114)이 거동하고 서로 상호작용하는 방식을 규정하도록 네트워크 관리자에 의해 저장되고 사용될 수 있다. 이제 도 4에 관해 언급하면서, NCSA는 미션 플랜을 더 발전시키도록 사용될 수 있는 대화 상자(400)를 발생시킬 수 있다. 드롭-다운 메뉴(432)는 대화 상자(400)에서의 설정이 적용될 특정 모듈(예, 모듈(105))을 선택하도록 사용될 수 있다. 대안적으로, 네트워크 관리자는 대화 상자(400)에서의 설정이 네트워크 내의 모든 모듈에 적용되도록 의도되는 것을 지시하도록 드롭-다운 메뉴(432)를 사용할 수 있다(예, 드롭-다운 메뉴(432)에서 명령어 "모두(All)"를 선택하는 것에 의해). 프로세스는 식별 파라미터의 고정 세트가 항상 모듈의 각각에서 수정될지 여부, 또는 조작되는 식별 파라미터의 세트가 동적으로 변화될지 여부를 특정하는 것에 의해 계속할 수 있다. 모듈에서 조작될 식별 파라미터의 선택 또는 세트가 동적으로 변하도록 의도된다면, 네트워크 관리자는 그 선호를 나타내도록 체크 상자(401)에 표시할 수 있다. 체크-상자(401)가 표시되지 않는다면, 그때 변경될 식별 파라미터의 세트는 시간에 따라 변하지 않을 고정 세트이다.
대화 상자(400)는 그/그녀가 미션 플랜을 생성하는 목적을 위해 동작하기 원하는 특정 식별 파라미터를 사용자가 선택하도록 하는 탭(402, 404, 406)을 포함한다. 본 개시의 목적을 위해, 대화 상자(400)는 세 개의 식별 파라미터의 동적 변화만을 용이하게 한다. 구체적으로, 이들은 IP 어드레스, MAC 어드레스 및 포트 어드레스를 포함한다. 더 많은 또는 더 적은 식별 파라미터가 추가적인 탭을 제공하는 것에 의해 동적으로 변화될 수 있지만, 언급된 세 개의 식별 파라미터는 본 발명의 개념을 설명하기에 충분하다. 도 4에서, 사용자는 식별 파라미터의 IP 어드레스 유형과 동작하도록 탭(402)을 선택했다. 탭(402) 내에서, 다양한 사용자 인터페이스 제어(408-420)가 선택된 모듈 내의 IP 어드레스의 동적 변화에 관련된 세부사항을 특정하도록 제공된다. 더 많거나 더 적은 제어가 IP 어드레스 유형의 동적 조작을 용이하게 하도록 제공될 수 있고, 도시된 제어는 단지 독자가 본 개념을 이해하는 것을 돕도록 제공된다. 도시된 실시예에서, 네트워크 관리자는 표시된 체크 상자(408): IP 어드레스 호핑을 (예를 들어, 마우스와 같은 포인팅 디바이스로) 선택하는 것에 의해 IP 어드레스의 동적 변화를 가능하게 할 수 있다. 유사하게, 네트워크 관리자는 소스 어드레스, 목적지 어드레스 또는 둘 모두가 변경될지 여부를 지시할 수 있다. 이러한 실시예에서, 소스 및 목적지 어드레스 상자(410, 412) 모두가 선택되어, 어드레스의 모든 유형이 변경되어야함을 나타낸다. 소스 및 목적지 어드레스를 위해 허용된 값의 범위는 목록 상자(422, 424)에서 관리자에 의해 특정될 수 있다.
거짓 IP 어드레스 값을 선택하도록 사용된 특정 의사랜덤 프로세스는 의사랜덤 프로세스를 선택하는 것에 의해 특정된다. 이러한 선택은 상자(414, 415)에서 특정된다. 다른 의사랜덤 프로세스는 다양한 참 무질서도에 대해 다른 복잡도를 가질 수 있고, 관리자는 네트워크(100)의 필요에 가장 적합한 프로세스를 선택할 수 있다.
대화 상자(400)는 또한 네트워크 관리자가 IP 어드레스 식별 파라미터의 동적 변화에 사용될 트리거 유형을 설정하게 한다. 이러한 실시예에서, 사용자는 상자(416)를 선택해서, 시간 기반 트리거가 언제 새로운 거짓 IP 어드레스 값으로 천이될지를 결정하도록 사용되어야 함을 나타낸다. 게다가, 체크상자(418)는 시간 기반 트리거가 주기적 기반으로 발생되어야 함을 나타내도록 선택되었다. 슬라이더(420)는 주기적 시간 기반 트리거의 빈도를 결정하도록 사용자에 의해 조절될 수 있다. 도시된 실시예에서, 트리거 빈도는 시간당 6 트리거 발생(매 10분마다 트리거)과 시간당 120 트리거 발생(매 30초마다 트리거) 사이에 조절될 수 있다. 이러한 실시예에서, 선택은 다른 유형의 트리거에도 이용가능하다. 예를 들어, 대화 상자(402)는 네트워크 관리자가 이벤트 기반 트리거를 선택할 수 있는 체크 상자(428, 430)를 포함한다. 여러 다른 특정 이벤트 유형이 그러한 이벤트 기반 트리거(예, 이벤트 유형 1, 이벤트 유형 2, 등)에 대한 토대를 형성하도록 선택될 수 있다. 이들 이벤트 유형은 다양한 잠재적 컴퓨터 네트워크 보안 위협의 검출을 포함할 수 있다. 도 4에서, 탭(404, 406)은 탭(402)과 유사하지만, 그 안의 제어는 IP 어드레스보다는 MAC 어드레스 및 포트값의 동적 변화에 맞춰진다. 추가적인 탭이 다른 유형의 식별 파라미터의 동적 변화를 제어하기 위해 제공될 수 있다.
미션 플랜은 또한 식별 파라미터가 수정되는 위치를 동적으로 변경하도록 플랜을 특정할 수 있다. 일부 실시예에서, 이러한 가변 위치 특징은 언제 각각의 모듈이 활성 상태 또는 바이패스 상태에 있을지를 규정하는 시퀀스를 조절하는 것에 의해 용이해진다. 따라서, 미션 플랜은 이러한 시퀀스를 특정하는 일부 수단을 유리하게 포함한다. 본 발명의 일부 실시예에서, 이것은 트리거 이벤트의 발생에 의해 분리되는, 정의된 시간 간격 또는 타임 슬롯의 사용을 포함할 수 있다.
이제 도 5에 대해 언급하면서, 대화 상자(500)는 위치 시퀀스와 타이밍 정보의 조정 및 진입을 용이하게 하도록 NCSA에 의해 제공될 수 있다. 대화 상자(500)는 시간 기점(506) 내에 포함될 타임 슬롯(5041-504n)의 수를 선택하기 위한 제어(502)를 포함할 수 있다. 도시된 실시예에서, 네트워크 관리자는 시간 기점당 4개의 타임 슬롯을 규정했다. 대화 상자(500)는 또한 네트워크(100)에 모든 모듈을 포함하는 표(503)를 포함할 수 있다. 나열된 각각의 모듈에 대해, 표는 하나의 시간 기점(506)에 대해 이용가능한 타임 슬롯(5041-5044)의 그래픽 표현을 포함한다. 식별 파라미터가 조작되는 위치에 대한 동적 제어는 각각의 모듈이 활성 또는 바이패스 동작상태에 있는지 여부에 의해 결정된다는 것을 상기한다. 따라서, 그래픽 유저 인터페이스 내에서, 사용자는 커서(508)를 이동하고 특정 모듈이 각각의 타임 슬롯 동안 활성 또는 바이패스 모드에 있는지 여부를 특정하도록 선택할 수 있다. 도시된 실시예에서, 모듈(105)은 타임 슬롯(5041, 5043) 동안 활성이지만, 타임 슬롯(5041, 5044) 동안 바이패스 모드에 있다. 반대로, 모듈(113)은 타임 슬롯(5042, 5044) 동안 활성이지만, 타임 슬롯(5041, 5043) 동안 바이패스 모드에 있다. 도 1을 참조해서, 이것은 식별 파라미터의 조작이 타임 슬롯(5041, 5043) 동안 모듈(105)과 연관된 위치에서 발생하지만, 대신에 타임 슬롯(5042, 5044) 동안 모듈(113)에서 발생한다는 것을 의미한다.
도 5에 도시된 실시예에서, 네트워크 관리자는 모듈(114)이 항상 활성 모드에서 동작하도록 선택했다(즉, 모듈(114)은 모든 타임 슬롯 동안 활성이다). 따라서, 클라이언트 컴퓨터(101)로부터 클라이언트 컴퓨터(103)로 전달된 데이터 통신에 있어서, 데이터 패킷은 모듈(105, 113)에서 교대로 조작될 것이지만, 항상 모듈(114)에서 조작될 것이다. 최종으로, 이러한 실시예에서, 네트워크 관리자는 타임 슬롯(5041-5044) 동안 바이패스 모드에서 모듈(106, 107)을 유지하도록 선택했다. 따라서, 어떠한 식별 파리미터의 조작도 규정된 타임 슬롯 중 어느 것 동안도 이들 모듈에서 수행되지 않을 것이다. 모듈 타이밍이 대화 상자(500)에서 규정되면, 네트워크 관리자는 업데이트된 미션 플랜의 부분으로서 변화를 저장하도록 버튼(510)을 선택할 수 있다. 미션 플랜은 다양한 형태로 저장될 수 있다. 일부 실시예에서, 미션 플랜은 단순한 표 또는 모듈의 거동을 제어하도록 각각의 모듈에 의해 사용될 수 있는 다른 유형의 규정된 데이터 구조로서 저장될 수 있다.
미션 플랜의 분배 및 로딩
여기에 개시된 바와 같은 미션 플랜의 분배 및 로딩이 이제 더 구체적으로 설명될 것이다. 도 1에 대해 다시 한 번 더 언급하면서, 모듈(105-107, 113, 114)이 하나 이상의 위치에서 네트워크(100)에 걸쳐 분배된다는 것이 관찰될 수 있다. 모듈은 그러한 위치에서 통신을 인터셉트하고, 필요한 조작을 수행하고, 네트워크 내의 다른 컴퓨팅 디바이스로 데이터를 보내도록 통신 경로 내에 일체화된다. 앞서 언급된 배열로, 여기에 설명된 모듈의 임의의 필수적인 유지(예, 미션 플랜을 업데이트하기 위한 유지)는 네트워크 통신을 방해할 잠재성을 가질 것인 반면에 모듈은 교체되거나 재프로그램된다. 그러한 방해는 네트워크 서비스의 신뢰성과 이용가능성이 필수적인 많은 상황에서 요구되지 않을 수 있다. 예를 들어, 방해되지 않은 네트워크 작동은 군대, 긴급 서비스 및 비지니스에 의해 사용되는 컴퓨터 네트워크에 있어서 필수적일 수 있다.
방해받지 않는 네트워크 동작을 보장하기 위해, 각각의 모듈은 바람직하게 여러 동작 상태를 가진다. 이들 동작 상태는 (1)모듈이 전원 차단되고 임의 패킷을 처리하지 않는 오프셋 상태, (2)모듈이 미션 플랜에 따라 소프트웨어 스크립트를 인스톨하는 개시 상태, (3)데이터가 현재의 미션 플랜에 따라 처리되는 활성 상태, 및 (4)모듈이 존재하지 않는 것처럼 패킷이 모듈을 통해 흐를 수 있는 바이패스 상태를 포함한다. 모듈은 그것이 활성 상태 또는 바이패스 상태에 있을 때, 모듈이 네트워크 관리자에 의해 제공된 업데이트된 미션 플랜을 수신하고 로딩할 수 있도록 구성된다. 모듈 동작 상태는 예를 들어, NAC(104) 상에서 실행하는 NCSA에 의해 네트워크 관리자에 의해 수동으로 제어될 수 있다. 예를 들어, 사용자는 그래픽 유저 인터페이스 제어 패널의 사용을 통해 다양한 모듈에 대해 동작 상태를 선택할 수 있다. 네트워크의 동작 상태를 제어하기 위한 명령어는 네트워크(100)를 통해 전달되거나, 또는 임의 다른 적합한 수단에 의해 전달될 수 있다. 예를 들어, 분리 유선 또는 무선 네트워크(미도시)가 그러한 목적을 위해 사용될 수 있다.
미션 플랜은 각각의 모듈의 물리적 위치에서 직접적으로 로딩될 수 있거나, 또는 그것은 NCSA로부터 모듈로 전달될 수 있다. 이러한 개념은 미션 플랜(604)이 통신 매체(606)를 통해 NCSA(602)로부터 모듈(105-107, 113, 114)의 각각에 전달되는 것을 나타내는 도 6에 도시된다. 도시된 실시예에서, NCSA 소프트웨어 어플리케이션은 네트워크 관리자에 의해 동작된 NAC(104) 상에 실행한다. 통신 매체는 일부 실시예에서 컴퓨터 네트워크(100)를 사용하는 대역내 시그널링을 포함할 수 있다. 대안적으로, 대역외 네트워크(예, 분리 무선 네트워크)는 NCSA로부터 각각의 모듈로 업데이트된 미션 플랜을 전달하도록 통신 매체(606)로서 사용될 수 있다. 도 7에 도시된 바와 같이, NCSA는 여러 미션 플랜(702) 중 하나의 선택을 용이하게 하도록 대화 상자(700)를 제공할 수 있다. 이들 미션 플랜(702)의 각각은 NAC(104) 상에 저장될 수 있다. 네트워크 관리자는 "미션 플랜 보내기" 버튼(704)을 활성화할 수 있는 후에, 여러 미션 플랜(702) 중 하나로부터 선택할 수 있다. 대안적으로, 복수의 미션 플랜이 각각의 모듈에 전달되고 그곳에 저장될 수 있다. 둘 중 어느 한 시나리오에서, 사용자는 정의된 미션 플랜 중 하나를 활성화하도록 선택할 수 있다.
미션 플랜을 보내는 명령어에 응답해서, 선택된 미션 플랜은 모듈에 전달되는 반면에 그들은 여기 설명된 바와 같이 식별 파라미터의 동적 수정을 능동적으로 수행하도록 구성된 활성 상태에 있다. 그러한 배열은 네트워크가 분명하게 그리고 식별 파라미터를 조작하지 않고 동작하는 동안의 시간을 최소화한다. 그러나, 업데이트된 미션 플랜 역시 모듈에 전달될 수 있는 반면에 그들은 바이패스 모드에 있고, 이러한 접근은 특정 경우에 바람직할 수 있다.
미션 플랜이 모듈에 의해 수신되면, 그것은 모듈 내의 메모리 위치에 자동으로 저장된다. 그런 후에, 모듈은 바이패스 상태에 진입하도록 야기될 수 있고, 여전히 그 상태 동안, 모듈은 새로운 미션 플랜과 연관된 데이터를 로딩할 수 있다. 바이패스 상태에 진입하고 새로운 미션 플랜 데이터를 로딩하는 이러한 프로세스는 미션 플랜의 수신에 응답해서 자동으로 발생할 수 있거나, 또는 네트워크 관리자에 의해 제어된 NCSA 소프트웨어로부터의 명령어에 응답해서 발생할 수 있다. 새로운 미션 플랜은 식별 파라미터 값이 변화되는 방식에서의 변경을 포함한다. 새로운 미션 플랜이 로딩되면, 모듈(105-107, 113, 114)은 데이터 통신 에러가 발생하지 않는 것을 보장하는 동기화된 방식으로 바이패스 모드로부터 활성 모드로 천이될 수 있다. 미션 플랜은 모듈이 활성 모드로 돌아가거나, 또는 네트워크 관리자가 명령어를 다양한 모듈에 전달해서, 그들을 활성 모드에 진입하게 하도록 NCSA를 사용할 수 있을 때의 시간을 특정할 수 있다. 미션 플랜을 업데이트하는 앞서 언급한 프로세스는 컴퓨터 네트워크(100)에 부착된 다양한 컴퓨팅 디바이스 가운데 통신을 방해하지 않고 네트워크 보안 절차에서의 변경을 유리하게 발생하게 한다.
각각의 모듈(105, 106, 107, 113, 114)에서 다양한 식별 파라미터의 동적 조작은 각각의 모듈(105-107, 113, 114) 상에 실행하는 어플리케이션 소프트웨어에 의해 유리하게 제어된다. 그러나, 어플리케이션 소프트웨어의 거동은 미션 플랜에 의해 유리하게 제어된다.
이제 도 8에 대해 언급하면서, 각각의 모듈(105-107, 113, 114)의 동작을 요약하는 흐름도가 제공되어 있다. 혼동을 피하기 위해, 프로세스는 단일 방향으로의 통신에 대해서 설명된다. 예를 들어, 모듈(105)의 경우에, 단일 방향은 클라이언트 컴퓨터(101)로부터 허브(108)로 송신된 데이터를 포함할 수 있다. 그러나, 실행시에, 모듈(105-107, 113, 114)이 양방향으로 동작하는 것이 바람직하다. 프로세스는 모듈이 전원공급될 때 단계(802)에서 시작하고 모듈 어플리케이션 소프트웨어가 여기 설명된 방법을 실행하도록 시작되는 단계(804)로 이어진다. 단계(806)에서, 미션 플랜은 모듈 내의 메모리 위치로부터 로딩된다. 이 점에서, 모듈은 데이터를 처리하기 시작할 준비가 되고 그것이 모듈의 입력 데이터 버퍼로부터 데이터 패킷에 접근하는 단계(808)에서 그렇게 하도록 진행한다. 단계(810)에서, 모듈은 그것이 동작의 바이패스 모드에 있는지를 결정하도록 체크한다. 그렇다면, 단계(808)에서 접근된 데이터 패킷은 데이터 패킷의 임의 수정 없이 단계(812)에서 재송신된다. 모듈이 바이패스 모드에 있지 않다면, 그때 동작의 활성 모드에 있지 않아야만 하고 단계(814)로 이어진다. 단계(814)에서, 모듈은 데이터 패킷이 발생한 소스 노드의 식별을 결정하도록 데이터 패킷을 판독한다. 단계(816)에서, 그것은 소스 노드가 유효한지를 결정하도록 패킷을 검사한다. 특정된 소스 노드가 현재 유효한지를 결정하도록 특정된 소스 노드가 유효 노드의 목록과 비교될 수 있다. 그것이 유효 노드가 아니라면 그때 패킷이 단계(818)에서 폐기된다. 단계(820)에서, 프로세스는 트리거 이벤트가 발생했는지 여부를 결정하도록 확인한다. 트리거 이벤트의 발생은 사용할 거짓 식별값의 선택에 영향을 줄 것이다. 따라서, 단계(822)에서, 모듈은 트리거 정보, 클록 시간 및 미션 플랜 중 하나 이상에 기반해서 사용할 거짓 식별값을 결정한다. 그런 후에 모듈은 그것이 데이터 패킷의 식별 파라미터를 조작하는 단계(826)로 이어진다. 조작이 완료되면, 데이터 패킷은 모듈의 출력 포트로부터 인접한 노드로 재송신된다. 단계(830)에서, 모듈이 전원을 차단하도록 명령될 지 여부에 관한 결정이 이루어진다. 그렇다면, 프로세스는 단계(832)에서 종료한다. 단계(808)에서, 프로세스가 이어지고 다음 데이터 패킷은 모듈의 입력 데이터 버퍼로부터 접근된다.
이제 도 9에 대해 언급하면서, 동적 컴퓨터 네트워크를 관리하도록 여기에 설명된 방법을 요약하는 흐름도가 제공된다. 프로세스는 단계(902)에서 시작하고 네트워크 모델이 생성되는 단계(904)로 이어진다(예, 도 3에 관련해서 도시되고 설명된 바와 같음). 단계(906)에서, 새로운 미션 플랜이 생성될지 여부에 관한 결정이 이루어진다. 그렇다면, 새로운 미션 플랜이 단계(908)에서 생성되고 프로세스는 새로운 미션 플랜이 선택되는 단계(910)로 이어진다. 대안적으로, 단계(906)에서 요구되는 미션 플랜이 이미 생성되었다면, 그때 방법은 기존 미션 플랜이 선택되는 단계(910)로 직접 이어질 수 있다. 단계(912)에서, 미션 플랜은 미션 플랜이 메모리 위치에 저장되는 모듈(예, 모듈(105-107, 113, 114))로 전달된다. 네트워크 관리자가 새로운 미션 모델을 실행할 준비가 될 때, 명령어는 모듈이 여기에 설명된 바와 같이 대기 모드에 진입하게 하는 단계(914)에서 보내진다. 모듈이 이러한 대기 모드에 있는 반면에, 미션 플랜은 단계(916)에 로딩된다. 미션 플랜의 로딩은 미션 플랜이 모듈 상에 실행하는 응용 소프트웨어의 동작을 제어하도록 사용될 있도록 각각의 모듈에서 발생한다. 특히, 미션 플랜은 응용 소프트웨어가 식별 파라미터의 동적 조작을 수행하는 방식을 제어하도록 사용된다. 단계(918)에서, 미션 모듈은 각각의 미션 모듈이 미션 플랜에 따라 식별 파라미터의 조작을 수행하는 활성 동작 모드로 진입하도록 다시 야기된다. 단계(914, 916, 918)는 네트워크 관리자로부터 보내진 특정 명령어에 응답해서 발생할 수 있고, 또는 단계(912)에서 미션 플랜을 수신하는 것에 응답해서 각각의 모듈에서 자동으로 발생할 수 있다. 단계(918) 후에, 모듈은 로딩된 미션 플랜을 따른 처리를 수행하는 것을 계속한다. 단계(920)에서, 프로세스는 사용자가 미션 플랜을 변경할 요구를 나타냈는지 여부를 결정하도록 확인하는 것에 의해 이어지고; 그렇다면, 프로세스는 그것이 위에 설명된 바와 같이 이어지는 단계(906)로 돌아간다. 사용자 또는 네트워크 관리자가 기존 미션 플랜을 변경하기를 원하는 어떠한 지표도 없다면, 그때 프로세스는 단계(922)에서 그것이 종료하도록 지시될지 여부를 결정한다. 그렇다면, 프로세스는 단계(924)에서 종료한다. 종료 명령이 수신되지 않는다면, 프로세스는 단계(920)로 돌아가고 이어진다.
이제 도 10으로 돌아가서, 여기 설명된 식별 파라미터의 조작을 수행하도록 사용될 수 있는 예시적인 모듈(1000)의 컴퓨터 아키텍처를 나타내는 블록도가 제공된다. 모듈(1000)은 버스(1022)를 통해 서로 통신하는, 프로세서(1012)(중앙 처리 장치(CPU)와 같음), 메인 메모리(1020) 및 정적 메모리(1018)를 포함한다. 컴퓨터 시스템(1000)은 모듈의 상태를 나타내도록 액정 디스플레이 또는 LCD와 같은, 디스플레이 유니트(1002)를 더 포함할 수 있다. 모듈(1000)은 또한 모듈이 두 개의 분리 데이터 라인 상에서 동시에 데이터를 수신하고 송신하도록 하는 하나 이상의 네트워크 인터페이스 디바이스(1016, 1017)를 포함할 수 있다. 두 개의 네트워크 인터페이스 포트는 각각의 모듈이 네트워크 상의 두 개의 분리 컴퓨팅 디바이스로부터 수신된 패킷을 동시에 인터셉트하고 재송신하도록 구성된, 도 1에 도시된 배열을 용이하게 한다.
메인 메모리(1020)는 여기에 설명된 방법론, 절차, 또는 기능 중 하나 이상을 실행하도록 구성된 명령어(1008)(예, 소프트웨어 코드) 중 하나 이상의 세트가 저장되는 컴퓨터 판독가능한 저장 매체(1010)를 포함한다. 명령어(1008)는 또한 모듈에 의한 그것의 실행 동안 정적 메모리(1018), 및/또는 프로세서(1012) 내에 완전히 또는 적어도 부분적으로 잔류할 수 있다. 정적 메모리(1018) 및 프로세서(1012)는 또한 기계 판독가능한 매체를 구성할 수 있다. 본 발명의 다양한 실시예에서, 네트워크 환경에 연결된 네트워크 인터페이스 디바이스(1016)는 명령어(1008)를 사용하여 네트워크를 통해 통신한다.
이제 도 11에 대해 언급하면서, 본 발명의 배열에 따른 예시적인 네트워크 관리 컴퓨터(NAC)(114)가 도시되어 있다. NAC는 서버 컴퓨터, 클라이언트 유저 컴퓨터, 개인용 컴퓨터(PC), 태블릿 PC, 랩탑 컴퓨터, 데스크탑 컴퓨터, 제어 시스템 또는 (순차적이거나 그렇지 않으면) 디바이스에 의해 취해질 작업을 특정하는 명령어의 세트를 실행할 수 있는 임의의 다른 디바이스를 포함하는, 다양한 유형의 컴퓨팅 시스템 및 디바이스를 포함할 수 있다. 또한, 단일 컴퓨터가 도 11에 도시되는 반면에, 어구 "NAC"는 여기에 논의된 방법론 중 임의의 하나 이상을 수행하도록 명령의 세트(또는 다중 세트)를 개별적으로 또는 결합해서 실행하는 컴퓨팅 디바이스의 임의의 수집을 포함하는 것으로 이해될 수 있다.
이제 도 11에 대해 언급하면서, NAC(104)는 버스(1122)를 통해 서로 통신하는 중앙 처리 장치(CPU), 디스크 드라이브 유니트(1106), 메인 메모리(1120) 및 정적 메모리(1118)와 같은 프로세서(1112)를 포함한다. NAC(104)는 비디오 디스플레이(예, 액정 디스플레이 또는 LCD), 플랫 패널, 솔리드 스테이트 디스플레이, 또는 음극선관(CRT)와 같은 디스플레이 유니트(1102)를 더 포함할 수 있다. NAC(104)는 사용자 입력 디바이스(1104)(예, 키보드), 커서 제어 디바이스(1114)(예, 마우스) 및 네트워크 인터페이스 디바이스(1116)를 포함할 수 있다.
디스크 드라이브 유니트(1106)는 여기에 설명된 방법론, 절차, 또는 기능 중 하나 이상을 실행하도록 구성된 하나 이상의 명령어의 세트(1108)(예, 소프트웨어 코드)가 저장되는 컴퓨터 판독가능한 저장 매체(1110)를 포함한다. 명령어(1108)는 또한 실행 동안 메인 메모리(1120), 정적 메모리(1118) 내에, 그리고/또는 프로세서(1112) 내에 완전히 또는 적어도 부분적으로 잔류할 수 있다. 메인 메모리(1120) 및 프로세서(1112)는 또한 기계 판독가능한 매체를 구성할 수 있다.
해당 기술분야의 당업자는 도 10에 도시된 모듈 아키텍처 및 도 11에서의 NAC 아키텍처, 각각이 여기에 설명된 방법을 수행하도록 각각 사용될 수 있는 컴퓨팅 디바이스의 단지 하나의 가능한 실시예를 나타낸다는 것을 인지할 것이다. 그러나, 본 발명은 이 점에서 한정되지 않고 임의의 다른 적합한 컴퓨팅 디바이스 아키텍처 역시 한정 없이 사용될 수 있다. 특수 용도의 집적 회로, 프로그래머블 논리 어레이, 및 다른 하드웨어 디바이스를 포함하지만 그들로 한정되지 않는 전용 하드웨어 실행이 여기에 설명된 방법을 실행하도록 유사하게 구성될 수 있다. 다양한 실시예의 장치 및 시스템을 포함할 수 있는 어플리케이션은 다양한 전자 및 컴퓨터 시스템을 폭넓게 포함한다. 일부 실시예는 모듈 사이의 그리고 그들을 통한 관련된 제어 및 데이터 신호를 갖는 두 개 이상의 특정 상호연결된 하드웨어 디바이스에서, 또는 특수 용도의 집적 회로의 일부로서 기능을 실행할 수 있다. 따라서, 예시적인 시스템은 소프트웨어, 펌웨어, 및 하드웨어 실행에 적용가능하다.
본 발명의 다양한 실시예에 따라서, 여기에 설명된 방법은 컴퓨터 판독가능한 저장 매체에서 소프트웨어 프로그램으로서 저장되고 컴퓨터 프로세서 상에 동작하도록 구성된다. 또한, 소프트웨어 실행은 또한 여기에 설명된 방법을 실행하도록 구성될 수 있는 분산 처리, 구성요소/객체 분산 처리, 병렬 처리, 가상 기계 처리를 포함할 수 있지만, 그들로 한정되지 않는다.
컴퓨터 판독가능한 저장 매체(1010, 1110)가 단일 저장 매체인 것으로 도 10 및 도 11에 도시되는 반면에, 용어 "컴퓨터 판독가능한 저장 매체"는 하나 이상의 명령어의 세트를 저장하는 단일 매체 또는 다중 매체(예, 중앙집중 또는 분산 데이터베이스, 및/또는 연관된 캐시 및 서버)를 포함하는 것으로 이해될 수 있다. 용어 "컴퓨터 판독가능한 저장 매체"는 또한 기계에 의한 실행 동안 명령어의 세트를 저장, 인코딩 또는 실행할 수 있고 기계가 본 개시의 방법론 중 임의의 하나 이상을 수행하게 하는 임의의 매체를 포함하는 것으로 이해될 수 있다.
용어 "컴퓨터 판독가능한 매체"는 따라서 하나 이상의 판독 전용(비휘발성) 메모리, 랜덤 액세스 메모리, 또는 다른 재기록가능한(휘발성) 메모리를 하우징하는 메모리 카드 또는 다른 패키지와 같은 솔리드 스테이트 메모리; 디스크 또는 테이프와 같은 자기 광학 또는 광학 매체를 포함하지만, 그들로 한정되지 않도록 취해질 수 있다. 따라서, 본 개시는 여기에 열거된 바와 같은 컴퓨터 판독가능한 매체 중 임의의 하나 이상을 포함하고 그리고 여기에 소프트웨어 실행이 저장되는 인지된 균등물 및 그 차기 매체를 포함하는 것으로 간주된다.
다른 논리 네트워크에 연결된 컴퓨팅 디바이스와의 통신
본 발명의 배열의 또 다른 측면을 설명하기 전에, 종래의 라우터의 동작을 고려하는 것이 유용하다. 도 12에 대해 언급하면서, 라우터의 예시적인 네트워크가 도시되고, 여기서 라우터(1202, 1204, 1206)는 분리 네트워크에 각각 연결되고 도 1의 라우터(110)와 유사하다. 또한 라우터(1202)에 연결된 서버(1210)와 라우터(1206)에 연결된 클라이언트 컴퓨터(1208)가 도시된다. 본 발명을 모호하게 하는 것을 피하기 위해, 각각의 라우터가 연결하는 네트워크와 이들 네트워크 내에 있을 수 있는 네트워크 성분은 도시되지 않는다. 또한, 도 12에 도시된 네트워크 토폴로지는 예시적이고 본 발명의 실시예는 이 점에서 한정되지 않는다.
라우터의 본래 기능은 메모리(예, 도 10의 메인 메모리(1020))에 저장될 수 있는 라우팅 룰의 세트에 따라 트래픽을 향하게 하는 것이다. 예를 들어, 클라이언트 컴퓨터(1208)는 패킷을 서버(1210)에 보낸다. 패킷은 처음에 라우터(1206)에 도달한다. 라우터(1206)는 패킷 헤더를 검사하고 패킷을 위한 최종 목적지가 서버(1210)임을 판정한다. 그런 후에 라우터(1206)는 서버(1210)에 관한 네트워크 어드레스를 검색하고 패킷을 위한 다음 목적지를 결정한다. 예를 들어, 정적 라우팅 프로토콜은 패킷이 최소 수의 홉을 갖는 경로를 따를 수 있는지를 특정할 수 있고, 즉, 최종 목적지를 향해 최소 수의 라우터를 통해 이동할 수 있다. 그러한 시나리오에서 라우팅 표는 패킷이 라우터(1202)로 향해질 수 있음을 특정할 것이다. 그런 후에 라우터(1206)는 라우터(1202)에 연결하는 포트로 패킷을 보낸다. 패킷을 수신 시에, 라우터(1202)는 패킷을 검토하고, 최종 목적지가 서버(1210)임을 결정하며, 그리고 패킷을 서버(1210)에 연결하는 포트로 보낸다.
식별 파라미터의 동적 조작을 위해 여기 설명된 방법이 단일 논리 네트워크, 예를 들어, 제 1 논리 네트워크(130) 내에서 잘 동작할 수 있는 반면에, 그들은 또 다른 논리 네트워크, 예를 들어, 제 2 논리 네트워크(132)에 연결된 컴퓨터와 통신하는데 일부 문제를 나타낸다. 이들 문제는 전체 네트워크(100)가 동일한 미션 플랜에 따라 동작함에도 발생할 수 있다. 그러한 문제의 결과로서, 다른 논리 네트워크 상의 컴퓨터 사이의 통신은 적합한 작업이 취해지지 않는다면 방해받는 경향이 있다. 따라서, 논리 네트워크(130, 132)는 각각의 논리 네트워크(130, 132)에 진입하거나 떠나는 통신을 처리하도록 배열된 적어도 하나의 라우터(110)를 유리하게 포함한다. 라우터(110)는 논리 네트워크(130) 내의 컴퓨팅 디바이스와 논리 네트워크(132) 내의 컴퓨팅 디바이스 사이의 그러한 통신이 에러 없이 발생할 수 있다는 것을 보장한다. 라우터(110)는 도 2에 도시된 바와 같이 모듈의 것과 유사한 기능블록도를 가질 컴퓨팅 디바이스이다. 라우터(110)는 또한 도 10에 도시된 것과 유사한 컴퓨터 아키텍처를 가질 수 있다.
본 발명의 배열의 일 측면에 따라서, 라우터(110)는 거짓 식별 파라미터를 포함하는 데이터 패킷이 그럼에도 적절한 목적지 노드 또는 노드들에 전달됨을 보장하도록 라우팅 동작을 조절하도록 구성된다. 그러한 기본적인 라우팅 기능을 수행하는 것에 더해서, 라우터는 또한 모듈에 대해서 위에 설명된 것과 유사한 방식으로 식별 파라미터의 동적 작업을 수행하도록 구성될 수 있다. 최종으로, 라우터는 패킷의 라우팅 경로가 시간에 따라 의사랜덤 방식으로 그리고/또는 다양한 트리거 조건에 반응해서 변경되는 바와 같이 라우팅 프로세스를 동적으로 변경하도록 구성될 수 있다.
이제 도 13에 대해서 언급하면서, 본 발명을 이해하기에 유용한 흐름도가 제공된다. 프로세스는 라우터가 전원공급될 때 단계(1302)에서 시작하고 라우터 응용 소프트웨어가 여기에 설명된 방법을 실행하도록 시작되는 단계(1304)로 이어진다. 단계(1306)에서, 하나 이상의 미션 플랜이 라우터 내의 메모리 위치로부터 로딩된다. 미션 플랜은 단일 동적 컴퓨터 네트워크 내의 복수의 논리 네트워크의 동적 전환을 규정할 수 있다. 하나 이상의 미션 플랜은 모듈에 관련해서 위에 설명된 바와 유사한 방식으로 라우터가 로딩될 수 있다. 예를 들어, 미션 플랜은 네트워크의 MTT 동작이 가능하지 않게 될 때 로딩될 수 있다. 미션 플랜이 로딩되면, 라우터는 데이터를 처리하기 시작할 준비가 되고 단계(1308)에서 그렇게 하도록 처리하고, 여기서 그것은 라우터의 입력 데이터 버퍼로부터 데이터 패킷에 접근한다.
단계(1310)에서, 라우터는 동작의 MTT 모드가 네트워크에서 가능하게 되었는지 여부를 결정하도록 확인한다. 아니라면(1310: 아니오), 단계(1308)에서 접근된 데이터 패킷은 단계(1312)에서 참 식별 파라미터 값을 포함하는 패킷의 적절한 라우팅을 보장하도록 배열된 정적 라우팅 표를 사용하여 라우터 출력 포트로 향해진다. 달리 말해서, 이러한 모드는 동작의 MTT모드가 활성이지 않고 모든 식별 파라미터가 참값을 갖는 것으로 가정될 때 사용된다. 라우터는 종래의 라우터와 동일한 방식으로 데이터 패킷의 임의의 수정 없이 단계(1312)에서 적절한 라우터 출력 포트로 데이터 패킷을 전달한다. MTT 모드가 가능해지면(1310: 예), 그때 프로세스는 단계(1314)로 이어진다.
네트워크는 얼마나 식별 파라미터가 네트워크에서 현재 조작되고 있는지를 규정하는 일부 MTT 상태를 가질 것이다. 단계(1314)에서, 라우터는 미션 플랜 및 현재의 MTT 상태에 기반해서 거짓 식별 파라미터 값의 현재 상태를 결정한다. 단계(1316)에서, 시스템은 MTT 상태를 변경할 트리거 이벤트가 발생했는지 여부를 결정하도록 주기적으로 확인한다. 트리거 이벤트의 발생에 대해 확인하는 이러한 단계는 클록 신호에 기반해서 도시된 바와 같이 주기적으로 수행될 수 있거나, 또는 그것은 상자(1315) 내에 포함된 프로세스 동안 언제든지 수행될 수 있다. 이것은 트리거 이벤트의 발생이 네트워크에서 현재 사용하고 있는 적절한 거짓 식별값의 계산에 상당한 영향을 줄 수 있기 때문에 중요한 단계이다. 단계(1316)로부터의 정보, 및 네트워크의 MTT 상태에 관한 임의의 다른 적절한 정보가 그때 그때에 네트워크에 의해 사용하고 있는 임의의 MTT 조작의 현재 상태를 결정하도록 사용된다. 예를 들어, 단계(1314)에서, 트리거 이벤트의 발생은 시스템이 그때에 사용 중인 임의의 거짓 식별 파라미터 값, 및 대응하는 참 식별 파라미터 값을 포함하는 업데이트된 상호참조 표를 발생시키게 한다. 식별 파라미터가 거짓인 것에 관한 정보, 및 그러한 식별 파라미터에 관한 참값은 앞서 설명된 의사랜덤 프로세스를 사용하여 결정될 수 있다. 도 13에 도시된 바와 같이, 트리거 이벤트는 처리 단계(1314, 1318, 1320, 1324, 1326, 1328) 중 어느 하나 동안 발생할 수 있고 그때에 현재 MTT 상태(예, 거짓 식별 파라미터 값의 현재 상태)의 즉각적인 재결정을 트리거할 것이다.
선택적으로, MTT 식별 파라미터의 부인 방지는 단계(1314)에서 가능해질 수 있다. 부인 방지는 네트워크 관리자가 언제든지 동적 네트워크에 의해 사용된 MTT 식별을 발견하게 하는 보안 서비스이다. 결과적으로, 네트워크 소스 및 목적지의 식별은 네트워크 트래픽의 식별 파라미터의 잠재적으로 의사랜덤 특성에도 불구하고 인식할 수 있고 책임을 거부하도록 "부인"될 수 없다. 일 실시예에서, 이것은 모든 거짓 식별의 단순한 로깅에 의해 얻어질 수 있다. 그러므로 로깅 기능이 수행되고 그로써 단계(1314)에서 결정된 모든 거짓 식별 파라미터가 예를 들어, 메모리에서 기록된다. 대안적으로, 부인 방지는 의사랜덤 함수의 타임 스탬프된 기록 및 MTT 미션 플랜의 현재 상태와 연관된 시드값을 통해 달성될 수 있다. 이것은 네트워크 관리자가 의사랜덤 함수와 그 시간에 미션 플랜에 의해 사용된 시드값으로부터 네트워크 식별을 "재구성"하도록 네트워크의 동작 동안 언제든지 뒤돌아보도록 한다.
단계(1318)에서, 라우터는 데이터 패킷이 발생된 소스 노드와 목적지 노드의 식별을 결정하도록 데이터 패킷을 판독한다. 수신된 데이터의 소스와 목적지 어드레스 정보는 그것이 라우터가 데이터 통신 내에 포함된 식별 파라미터를 적절히 조작하는 방법을 결정하는 것을 허용할 필요가 있기 때문에 중요하다. 단계(1320)에서, 라우터는 소스 노드가 유효한지 여부를 결정하도록 데이터 패킷을 검사한다. 이것은 현재 사용중인(예, 단계(1314)에서 결정된 바와 같음) 유효 소스 노드의 현재 목록과 데이터 패킷에 특정된 소스 노드를 비교하는 것에 의해 달성될 수 있다. 소스 노드 정보가 유효하지 않다면 그때 패킷은 단계(1322)에서 폐기된다. 단계(1324, 1326)는 더 구체적으로 아래에 논의되는 선택 단계이다.
프로세스는 라우터가 적절한 라우터 출력 포트에 패킷을 향하게 하는 지점에서 단계(1328)로 이어진다. 이러한 단계는 바람직하게 거짓 식별 파라미터를 포함하는 패킷의 적절한 라우팅을 보장하는 적합한 작업을 포함한다. 더 구체적으로, 데이터 통신을 위한 경로는 거짓 식별 파라미터에 대응하는 참 정보에 따른 데이터 통신을 위한 정확한 경로임을 보장한다. 거짓 식별 파라미터에서의 정보가 참 식별 파라미터 값에 일치하지 않을 것이고, 그래서 적절한 조절이 거짓 정보를 수용하도록 이루어져야만 하는 반면에, 여전히 데이터 메시지의 적절한 포워딩을 보장한다는 것을 상기한다. 이러한 문제를 다루는 적어도 두 개의 가능한 방법이 있다. 일부 실시예에서, 단계(1328)는 참 식별 파라미터 값이 패킷에 포함된 임의 거짓 식별 파라미터에 대해 결정된 상호 참조 프로세스를 포함할 수 있다. 예를 들어, 단계(1314)에 발생된 룩-업 테이블은 이러한 목적을 위해 사용될 수 있다. 참값이 그러한 식별 파라미터에 대해 결정되면, 라우터는 특정 패킷에 대한 정확한 라우터 출력 포트를 결정하도록 정적 라우팅 표(즉, 단계(1812)에 사용된 동일한 표)를 사용할 수 있다. 그런 후에, 패킷은 정확한 라우터 출력 포트로 향해질 수 있다. 대안적으로, 조절된 정적 라우팅 표가 단계(1328)에서 사용을 위해 발생될 수 있다. 조절된 정적 라우팅 표는 데이터 패킷에 포함된 거짓 식별 파라미터 정보에 대응하는 정확한 라우팅 포트를 직접적으로 특정할 수 있다. 다른 방법 역시 가능하고 본 발명은 여기에 설명된 두 개의 접근으로 한정되도록 의도되지 않는다.
단계(1330)에서, 라우터가 전원 차단하도록 명령되었는지 여부에 대한 결정이 이루어진다. 그렇다면, 프로세스는 단계(1332)에서 종료하고; 그렇지 않으면, 프로세스는 (1308)로 돌아간다. 단계(1308)에서 프로세스가 이어지고 다음 데이터 패킷이 라우터의 입력 데이터 버퍼로부터 접근된다.
위에 설명된 프로세스에서, 라우터는 거짓 식별 파라미터를 포함하는 데이터 패킷이 그럼에도 적절한 목적지 노드 또는 노드들로 전달됨을 보장하는 라우팅 작업을 수행한다. 그러한 기본적인 라우팅 기능을 수행하는 것에 더해서, 라우터는 또한 모듈에 대해서 위에 설명된 것과 유사한 방식으로 식별 파라미터의 동적인 조작을 수행하도록 구성될 수 있다. 다시 도 13에 대해 언급하면서, 선택 단계(1324)는 미션 플랜과 현재의 동적 네트워크 상태에 따라 식별 파라미터의 동적 조작을 포함할 수 있다. 단계(1324)에서 동작은 위에 설명된 바와 같이 모듈(105-107, 113, 114)에 의해 수행된 식별 파라미터 조작과 유사할 수 있다. 식별 파라미터의 그러한 조작의 완료 시에, 프로세스는 단계(1328)에 관련해서 위에 설명된 바와 같이 핵심적으로 계속할 수 있다. 라우팅 작업은 라우터에 의해 조작된 바와 같이 현재 식별 파라미터 값을 사용하여 수행될 수 있다. 특히, 단계(1324)에서의 조작 작업은 미션 플랜에 따라서 선택적으로 토글링 온 및 오프될 수 있다. 이러한 프로세스는 모듈에 관련해서 위에 설명된 바이패스 모드와 유사하고, 식별 파라미터 조작이 수행되는 네트워크 내의 위치를 변경하는 것을 용이하게 할 수 있다. 동작의 이러한 바이패스 모드는 위에 설명된 바와 같이 단계(1310, 1312)에서 실행될 수 있다. 대안적으로, 단계(1324)는 개별적으로 바이패스될 수 있다.
이제까지 설명된 바와 같은 라우터 프로세스에서, 식별 파라미터가 조작되었지만, 라우팅 프로토콜은 정적이었다. 달리 말해서, 패킷의 라우팅에 대한 룰은 시간에 따라 동일하게 남아있고 이러한 룰은 네트워크의 MTT 상태에서의 변경에 의해 영향받지 않는다. 패킷은 그들이 정적 라우팅 표를 갖는 디폴트 라우팅 시나리오에서 라우팅됨에 따라 동일한 경로 또는 경로들을 따라 항상 라우팅된다. 이들 정적 라우팅 방법에 더해서, 본 발명의 배열은 동적 라우팅을 포함할 수 있다.
동적 라우팅의 개념을 더 완전히 이해하기 위해서, 실시예를 고려하는 것이 유용하다. 도 12를 참조하여 위에 설명된 디폴트 라우팅 시나리오에서, 이러한 경로가 가장 짧은 수의 홉을 갖기 때문에 라우터(1206)는 서버(1210)를 목적지로 하는 패킷을 라우터(1202)로 향하게 한다. 그러나, 본 발명의 동적 라우팅 실시예에서, 각각의 라우터의 포워딩 프로토콜은 패킷이 특정 라우터에 의해 라우팅되는 방식이 시간에 따라(그리고 다른 조건 하에서) 변하도록 동적으로 수정될 수 있다. 라우팅에서의 그러한 변동은 미션 플랜으로 특정되는 정보에 대한 접근 없이 예측가능하지 않을 것이다. 따라서, 미션 플랜은 예를 들어, 때때로 서버(1210)를 목적지로 하는 패킷이 직접적으로 라우터(1202) 대신에 라우터(1204)로 향해짐을 특정할 수 있다. 그런 후에, 패킷은 라우터(1202)로 그리고 최종 목적지, 예를 들어, 서버(1210)로 향해진다. 다른 시간에서, 동일한 서버를 목적지로 하는 패킷은 다른 경로를 가질 수 있다. 동적 라우팅을 포함하는 그러한 실시예에서, 네트워크(1200)를 통해 패킷이 취하는 경로는 네트워크 통신을 모니터링하려고 시도하는 적을 저지하도록 의사랜덤 방식으로 동적으로 변경된다고 언급될 수 있다. 이하에 설명된 동적 라우팅 방법은 임의의 적합한 기법을 사용하여 수행될 수 있고 모든 그러한 기법은 본 발명의 범위에 포함되도록 의도된다. 또한, 라우팅 프로토콜의 동적 수정은 단독으로, 또는 위에 설명된 바와 같이 식별 파라미터의 동적 수정과 관련해서 수행될 수 있다.
이제 도 14에 대해 언급하면서, 위에 설명된 바와 같이, 동적 라우팅 방법을 실행하기 위한 프로세스의 예시적인 실시예를 요약하는 흐름도가 제공되어 있다. 도 14에서의 흐름도는 도 13의 단계(1326)에서 실행될 수 있는 예시적인 처리를 설명한다. 프로세스는 선택 단계(1324) 후에 시작하고, 라우터(110)가 데이터 패킷이 취할 수 있는 실행가능한 경로의 세트를 결정하는 단계(1402)로 이어진다. 실행가능한 경로는 데이터 패킷이 최종 목적지에 도달할 수 있는 임의의 경로일 수 있다. 데이터 패킷에 이용가능한 실행가능한 경로의 수는 네트워크 이용가능성과 서비스 품질 요구사항과 같은 외부 제한에 의해 한정될 수 있다. 모든 이용가능한 경로가 식별되면, 프로세스는 단일 경로가 패킷을 보내도록 선택되는 단계(1404)로 이어진다. 선택된 경로는 미션 플랜에 따라 의사랜덤하게 선택될 수 있다. 경로가 선택되면, 데이터가 위에 설명된 바와 같이 적절한 라우팅 프로토콜을 사용하여 출력 포트로 라우팅되는 도 13의 단계(1328)로 이어진다.
여전히, 여기 설명된 동적 라우팅 방법은 도 14에 도시된 프로세스로 한정되지 않는다는 것이 이해될 수 있다. 또 다른 실시예에서, 미션 플랜에 따른 라우터 동작은 네트워크를 통해 다중 실행가능한 경로를 결정할 수 있다. 라우터는 미션 플랜에 의해 정의된 의사랜덤 알고리즘에 따라서 실행가능한 경로를 가로질러 통신을 분할하고 흩뿌릴 수 있다. 예를 들어, 도 12를 참조하여, 라우터(1206)는 두 개의 패킷으로 분할된 통신을 수신할 수 있다. 미션 플랜에 따라 동작할 때, 라우터(1206)는 라우터(1204)를 통해 하나의 패킷을 보낼 수 있고 다른 패킷은 라우터(1210)로 직접적으로 보낼 수 있다. 그런 후에 통신은 목적지, 예를 들어, 서버(1210)에서 재조립된다. 그러한 실시예에서, 라우터(1206)는 데이터 패킷이 의사랜덤 함수에 따라서 이동하는 경로를 변경할 수 있다. 해당 기술분야의 당업자는 이러한 기법이 임의의 다수의 라우터를 포함하는 네트워크로 조정될 수 있다는 것을 인지할 것이다.
또 다른 실시예에서, 라우터는 패킷이 수신되는 특정 포트에 대한 경로 결정을 토대로 할 수 있다. 예를 들어, 클라이언트 컴퓨터(1208)로부터의 패킷이 위에 설명된 바와 같이 라우터(1206)에서 수신될 수 있고 (1204)로 보내질 수 있다. 본 실시예에 따라서, 동적 라우팅 프로토콜 및/또는 라우터(1204)에서의 표는 라우터(1202)에 연결된 호스트를 목적지로 하는 라우터(1206)로부터 수신된 패킷이 라우터(1206)로 보내지는 것을 특정할 수 있다. 다시 라우터(1206)는 동일한 패킷을 수신하지만, 이번에는 클라이언트 컴퓨터(1208)에 연결하는 포트 대신에 라우터(1204)에 연결하는 포트로부터이다. 동적 라우팅 프로토콜 및/또는 라우터(1206)의 표는 라우터(1202)를 목적지로 하고 라우터(1204)에 연결하는 포트로부터 도달하는 패킷이 라우터(1202)에 직접 향해지는 것을 특정할 수 있다.
특히, 도 14에 관련해서 위에 설명된 동적 라우팅 프로세스는 도 13에 관련해서 설명된 MTT 기능 중 하나 이상을 독립적으로 발생시킬 수 있다. 이제 도 15에 대해 언급하면서, 라우터에 의해 사용된 라우팅 프로토콜이 미션 플랜에 따라 변하는 일 실시예에 따른 라우터(110)의 동작을 요약하는 흐름도가 제공되어 있다. 프로세스는 라우터가 전원공급될 때 단계(1502)에서 시작하고 라우터 응용 소프트웨어가 여기 설명된 방법을 실행하도록 개시되는 단계(1504)로 이어진다. 단계(1506)에서, 하나 이상의 미션 플랜은 라우터 내의 메모리 위치로부터 로딩된다. 이 점에서, 라우터는 데이터를 처리하기 시작할 준비가 되고 단계(1508)에서 그렇게 하도록 진행하고, 여기서 그것은 라우터의 입력 데이터 버퍼로부터 수신된 데이터 패킷에 접근한다. 단계(1510)에서 라우터는 동적 라우팅 모드에서 동작하는지 여부에 관한 결정이 이루어진다. 그렇지 않다면, 프로세스는 단계(1512)로 진행하고 데이터는 종래의 정적 라우팅 프로토콜에 따라 라우팅된다. 대안적으로, 라우터가 동적 라우팅 모드에 따라 동작하면(1510:예), 프로세스는 상자(1513) 내에 포함된 단계(1514-1518)로 진행한다. 단계(1514-1516)는 도 14에 단계(1402-1404)와 유사하다. 따라서, 단계(1514)에서, 라우터(110)는 데이터 패킷이 목적지 노드에 도달하도록 취할 수 있는 네트워크를 통해 실행가능한 경로의 세트를 결정한다. 단계(1516)에서 단일 경로는 미션 플랜에 의해 정의된 의사랜덤 선택 프로세스에 기반해서 패킷을 보내도록 선택된다. 트리거 이벤트의 발생을 위한 확인 역시 단계(1515)에서 발생한다. 도 13에 관련해서 위에 논의된 바와 같이, 단계(1515)에서 결정된 트리거 이벤트는 그때에 현재의 MTT 상태(예, 거짓 식별 파라미터 값의 현재 상태)의 즉각적인 재결정을 트리거할 것이다.
경로가 선택되면, 데이터 패킷은 패킷을 위한 다음 목적지로서 특정된 인접한 노드를 향해 단계(1518)에서 출력 포트로 향해진다. 단계(1520)에서, 라우터가 전원차단하도록 명령되는지 여부에 관한 결정이 이루어진다. 그렇다면, 프로세스는 단계(1522)에서 종료하고; 그렇지 않으면, 프로세스는 단계(1508)로 돌아간다. 단계(1508)에서 프로세스가 이어지고 다음 데이터 패킷이 라우터의 입력 데이터 버퍼로부터 접근된다.
이제 도 16에 대해 언급하면서, 라우터(110)의 블록도가 도시된다. 라우터(110)는 적어도 두 개의 데이터 포트(1601, 1602)를 갖고, 그들의 각각은 각각의 네트워크 인터페이스 디바이스(1604, 1605)에 대응할 수 있다. 도 16에 도시된 바와 같이, 라우터(110)는 복수의 데이터 포트를 가질 수 있고, 각각은 다른 논리 네트워크 및/또는 컴퓨팅 디바이스에 연결한다. 포트(1601) 중 어느 하나에 수신된 데이터는 네트워크 인터페이스 디바이스(1604)에서 처리되고 입력 버퍼(1610)에 일시 저장된다. 프로세서(1615)는 입력 버퍼(1610)에 포함된 입력 데이터 패킷에 접근하고 여기 설명된 바와 같은 임의 필요한 라우팅 절차, 즉, 방향 2 처리(1616)를 수행한다. 수정된 데이터 패킷은 출력 버퍼(1612)로 통과되고 이어서 네트워크 인터페이스 디바이스(1605)를 사용하여 포트(1602)로부터 송신된다. 유사하게, 포트(1602)에 수신된 데이터는 네트워크 인터페이스 디바이스(1605)에서 처리되고 입력 버퍼(1608)에 임시 저장된다. 프로세서(1615)는 입력 버퍼(1608)에 포함된 입력 데이터 패킷에 접근하고 여기 설명된 바와 같은 임의의 필요한 라우팅 절차, 즉, 방향 1 처리(1614)를 수행한다. 수정된 데이터 패킷은 출력 버퍼(1606)로 통과되고 이어서 네트워크 인터페이스 디바이스(1604)를 사용하여 포트(1601)로부터 송신된다. 각각의 모듈에서, 데이터 패킷의 동적 라우팅은 미션 플랜(1620)에 따른 프로세서(1615) 및/또는 메모리(1618)에 저장된 하나 이상의 표(1622)에 의해 수행된다.
라우팅 기능(및 동적 라우팅 프로토콜을 잠재적으로 관리할 필요) 외에, 라우터(110)의 동작은 많은 측면에서 모듈(105-107, 113, 114)의 것과 유사하다. 여전히, 라우터(110)의 동작 역시 일부 방식에서 다르다는 것이 인지될 수 있다. 예를 들어, 모듈과 달리, 라우터는 네트워크가 활성일 때 적어도 종래의 라우팅 기능을 수행할 필요가 항상 있기 때문에 결코 전체적으로 비활성이 아닐 것이다. 여전히, 라우터의 동작의 일부는 모듈과 유사한 방식으로 활성 모드와 비활성 모드 사이에 천이될 수 있다. 예를 들어, 식별 파라미터의 동적 수정을 포함하는 라우터에 의해 수행된 변환 기능(도 13의 단계(1324))은 활성 모드와 비활성(바이패스) 모드 사이에 천이될 수 있다. 활성 모드에 있을 때, 식별 파라미터의 동적 수정은 라우터에 의해 수행될 수 있다. 비활성 또는 바이패스 모드에 있을 때, 라우팅 기능이 여전히 활성임에도 식별 파라미터는 동적으로 수정되지 않는다. 특히, 미션 플랜은 식별 파라미터 조작이 수행되는 위치를 변경하도록 라우터를 사용할 수 있다(모듈에 대해서 위에 설명된 것과 유사한 방식으로). 그러한 작업은 하나 이상의 라우터에 의해 배타적으로 수행될 수 있고, 또는 모듈과 같은 다른 디바이스와 관련해서 수행될 수 있다. 라우터에 의해 사용된 미션 플랜은 새로운 미션 플랜이 로딩될 때의 시간 동안 정적 표가 활성화된 채로 남을 수 있는 종래의 라우팅 기능을 제외하고, 모듈에 대해서 여기에 설명된 것과 유사한 방식으로 업데이트될 수 있다.
라우터에 의해 조작될 식별 파라미터의 선택, 및 그들이 조작되는 방식은 모듈에 대해서 위에 설명된 접근과 유사할 수 있다. 예를 들어, 식별 파라미터의 선택 및 거짓 식별 파라미터 값의 선택은 의사랜덤 프로세스에 의해 결정될 수 있다. 프로세스 및/또는 그러한 프로세스를 위한 시드값은 네트워크와 연관된 미션 플랜에 의해 각각 결정된다. 라우터(110)는 모듈을 참조하여 위에 설명된 바와 같이 하나 이상의 트리거 이벤트의 발생에 따라 조작될 식별 파라미터 값 및/또는 식별 파라미터의 선택에 변화를 줄 것이다. 이들 트리거 이벤트는 시간의 함수로서 발생될 수 있고, 이벤트 또는 그들 모두의 발생에 의해 결정될 수 있다. 여기에 언급된 이벤트의 실시예는 위에 논의된 바와 같이, 사용자 명령어, 타이밍 간격, 및 잠재적 네트워크 보안 위협의 검출을 포함할 수 있다.
변동될 수 있는 식별 파라미터의 유형
이제 도 17에 대해 언급하면서, 모듈(105-107, 113, 114)에 의해 그리고/또는 브릿지(115)에 의해 조작될 수 있는 식별 파라미터의 일부의 목록이 제공되어 있다. 도 17에 나열된 파라미터의 각각은 TCP/IP 통신 프로토콜을 사용하는 네트워크에 포함된 데이터 통신에 포함된다. 도 17에 나열된 정보 유형의 대부분은 해당 기술분야의 당업자에게 공지되어 있다. 그러나, 정보의 각각의 유형에 관한 간략한 설명 및 식별 파라미터로서의 용도가 여기에 제공된다. 또한 각각의 식별 파라미터가 조작될 수 있는 방식의 간략한 논의가 제공된다.
IP 어드레스. IP 어드레스는 네트워크가 공지된 통신용 인터넷 프로토콜을 사용하는 컴퓨터 네트워크에 참여하는 각각의 컴퓨팅 디바이스에 할당된 수치 식별자이다. IP 어드레스는 32 비트이거나 128 비트 넘버일 수 있다. 본 발명의 목적을 위해, IP 어드레스 넘버는 무작위로 선택되는 거짓값으로 변경될 수 있다(예, 의사난수 발생기를 사용). 대안적으로, 거짓 IP 어드레스 값은 거짓값의 미리결정된 목록(예, 미션 플랜에 의해 특정된 목록)으로부터 무작위로 선택될 수 있다. 소스 및 목적지 IP 어드레스는 데이터 패킷의 헤더부에 포함된다. 따라서, 이들 값의 조작은 IP 헤더 정보를 변경하는 패킷 조작 기법을 사용하는 것에 의해 단순히 변경하는 것에 의해 수행된다. 패킷이 제 2 모듈(조작될 수 있는 위치)에 도달할 때, 거짓 IP 어드레스 값은 참값으로 다시 변환된다. 제 2 모듈은 거짓값에 기반해서 참 IP 어드레스 값을 유도하도록 동일한 의사랜덤 프로세스(또는 그것의 역)를 사용한다.
MAC 어드레스. MAC 어드레스는 제조자에 의해 네트워크 인터페이스 디바이스에 할당되고 온보드 ROM에 저장된 고유값이다. 본 발명의 목적을 위해, 소스 및/또는 목적지 MAC 어드레스는 무작위로 선택된 거짓값으로 변경될 수 있다(예, 의사난수 발생기를 사용). 대안적으로, 거짓 MAC 값은 거짓값의 미리결정된 목록으로부터 무작위로 선택될 수 있다(예, 미션 플랜에 의해 특정된 목록). 소스 및 목적지 MAC 어드레스는 데이터 패킷의 헤더부에 포함된다. 따라서, 이들 값의 조작은 각각의 패킷의 이더넷 헤더 정보를 단순히 변경하는 것에 의해 수행된다. 패킷이 제 2 모듈(조작될 수 있는 위치)에 도달할 때, 거짓 MAC 어드레스 값은 그들의 참값으로 다시 변환된다. 패킷을 수신하는 모듈은 거짓값에 기반해서 참 MAC 어드레스 값을 유도하도록 동일한 의사랜덤 프로세스(또는 그것의 역)를 사용할 것이다.
네트워크/서브넷. 일부 실시예에서, IP 어드레스는 단일 식별 파라미터로서 생각할 수 있다. 그러나, IP 어드레스는 네트워크 프리픽스부와 호스트 넘버부를 포함하는 적어도 두 개의 부분을 포함하는 바와 같이 일반적으로 정의된다. 네트워크 프리픽스부는 데이터 패킷이 전달될 네트워크를 식별한다. 호스트 넘버는 근거리통신망(LAN) 내에 특정 노드를 식별한다. 서브 네트워크(때때로 서브넷으로 언급됨)는 IP 네트워크의 논리부이다. 네트워크가 두 개 이상의 서브 네트워크로 나누어지는 곳, IP 어드레스의 호스트 넘버 섹션의 일부는 서브넷 넘버를 특정하도록 사용된다. 본 발명의 목적을 위해, 네트워크 프리픽스, 서브넷 넘버 및 호스트 넘버 각각은 분리 식별 파라미터이도록 생각될 수 있다. 따라서, 이들 식별 파라미터의 각각은 의사랜덤 방식으로 다른 것들과 독립적으로 분리하여 조작될 수 있다. 게다가, 데이터 패킷이 소스 IP 어드레스 및 목적지 IP 어드레스를 포함할 것임이 인지될 것이다. 따라서, 네트워크 프리픽스, 서브넷 넘버 및 호스트 넘버는 의사랜덤 방식으로 조작될 수 있는 총 6개의 다른 가변 식별 파라미터에 대해 소스 IP 어드레스 및/또는 목적지 IP 어드레스에서 조작될 수 있다. 패킷을 수신하는 모듈은 거짓값에 기반한 참 네트워크/서브넷 정보값을 유도하도록 발생 노드로서 동일한 의사랜덤 프로세스(또는 그러한 프로세스의 역)를 사용할 것이다.
TCP 시퀀스. TCP 섹션의 반대편 측면 상에 서로 통신하는 두 개의 클라이언트 컴퓨터는 각각 TCP 시퀀스 넘버를 유지할 것이다. 시퀀스 넘버는 각각의 컴퓨터가 그것이 얼마나 많은 데이터를 전달했는지를 추적하도록 허용한다. TCP 시퀀스 넘버는 세션 동안 전달된 각각의 패킷의 TCP 헤더부에 포함된다. TCP 세션의 시작에서, 최초 시퀀스 넘버값은 무작위로 선택된다. 본 발명의 목적을 위해, TCP 시퀀스 넘버는 의사랜덤 프로세스에 따라 식별 파라미터로서 조작될 수 있다. 예를 들어, TCP 시퀀스 넘버는 무작위로 선택된 거짓값으로 변경될 수 있다(예, 의사난수 발생기를 사용). 패킷이 네트워크의 다른 모듈에 수신될 때(동적으로 변경되는 위치), TCP 시퀀스 넘버는 의사랜덤 프로세스의 역을 사용하여 거짓값에서 다시 참값으로 변환될 수 있다.
포트 넘버. TCP/IP 포트 넘버는 데이터 패킷의 TCP 또는 UDP 헤더부에 포함된다. TCP/IP 통신 프로토콜에 사용된 바와 같은 포트는 해당 기술분야에 공지되어 있고 그러므로 구체적으로 여기에 설명되지 않을 것이다. 포트 정보는 데이터 패킷의 TCP 헤더부 내에 포함된다. 따라서, 포트 정보의 조작은 참 포트값을 거짓 포트값으로 변경하도록 TCP 헤더 정보를 단순히 수정하는 것에 의해 달성된다. 여기에 논의된 다른 식별 파라미터에 있어서, 포트 넘버 정보는 제 1 모듈에서 의사랜덤 프로세스에 따라 거짓값으로 조작되거나 변환될 수 있다. 포트 정보는 추후에 의사랜덤 프로세스의 역을 사용하여, 제 2 모듈에서 거짓값에서 참값으로 변환될 수 있다.
본 발명이 하나 이상의 실행에 대해 도시되고 설명되었지만, 균등한 대안 및 수정이 본 명세서 및 첨부된 도면을 읽고 이해할 때 해당 기술분야의 당업자에 의해 이루어질 것이다. 덧붙여, 본 발명의 특정 특징이 여러 실행 중 하나에 대해서만 개시될 수 있지만, 그러한 특징은 요구될 수 있는 바와 같이 다른 실행 중 하나 이상의 다른 특징과 조합될 수 있고 임의의 소정 또는 특정 어플리케이션에 대해 유리할 수 있다. 따라서, 본 발명의 사상 및 범위는 위에 설명된 실시예 중 어느 하나에 의해 한정되지 않을 것이다. 그보다는, 본 발명의 범위는 다음의 청구항 및 그들의 균등물에 따라 정의될 수 있다.

Claims (12)

  1. 동적 컴퓨터 네트워크에서 라우터로서,
    데이터 통신을 수신하도록 구성된 적어도 하나의 입력 포트에 연결된 입력 회로;
    데이터 통신을 송신하도록 구성된 복수의 출력 포트에 연결된 출력 회로;
    적어도 하나의 표를 저장하기 위한 메모리; 및
    상기 라우터가 현재 식별 파라미터의 조작이 제 1 의사랜덤 프로세스에 기반해서 발생할 수 있는 활성 위치인지 여부를 결정하고;
    상기 라우터가 현재 식별 파라미터의 조작이 발생할 수 있는 활성 위치임이 결정되면, 다음의:
    소스 컴퓨팅 디바이스 및 목적지 컴퓨팅 디바이스와 연관된 복수의 식별 파라미터를 포함하는 데이터 통신을 수신하고, 상기 복수의 식별 파라미터의 세트는 거짓 정보를 특정하며,
    제 2 의사랜덤 프로세스에 따라서 거짓 정보를 갖는 상기 세트에 포함된 상기 식별 파라미터의 선택을 변경하는 것에 의해 상기 세트를 수정하고,
    거짓 정보를 특정하는 상기 복수의 식별 파라미터 중 적어도 하나에 대응하는 적어도 하나의 참 정보에 따라서 상기 데이터 통신을 위한 정확한 경로를 선택하고, 상기 참 정보는 상기 거짓 정보와 비교해 다르고, 그리고
    수정된 상기 데이터 통신을 상기 정확한 경로에 대응하는 상기 복수의 출력 포트 중 하나에 보내는 동작을 수행하는 적어도 하나의 프로세싱 유니트를 포함하는 것을 특징으로 하는 라우터.
  2. 제 1항에 있어서,
    상기 세트에 포함된 상기 식별 파라미터 및 상기 식별 파라미터에 관한 상기 거짓 정보는 상기 동적 컴퓨터 네트워크와 연관된 미션 플랜에 따라 결정되는 것을 특징으로 하는 라우터.
  3. 제 1항에 있어서,
    상기 적어도 하나의 프로세싱 유니트는 상기 식별 파라미터와 연관된 정보를 변경하는 것에 의해 상기 세트를 더 수정하고, 그로써 거짓 정보를 특정하는 상기 복수의 식별 파라미터의 세트 중 적어도 하나의 식별 파라미터가 변경되는 것을 특징으로 하는 라우터.
  4. 제 3항에 있어서,
    상기 정보의 변경은 제 3 의사랜덤 프로세스에 따라 수행되는 것을 특징으로 하는 라우터.
  5. 제 1항에 있어서,
    상기 프로세싱 유니트는 적어도 하나의 트리거 이벤트의 발생 시에 상기 제 2 의사랜덤 프로세스를 더 수정하고,
    상기 트리거 이벤트는 사용자 명령어, 타이밍 간격, 및 잠재적 네트워크 보안 위협의 검출로 구성되는 그룹으로부터 선택되는 것을 특징으로 하는 라우터.
  6. 제 1항에 있어서,
    상기 프로세싱 유니트는 상기 데이터 통신을 위한 상기 정확한 경로로서 특정되는 상기 경로를 동적으로 더 변경하고,
    상기 경로의 상기 동적 변경은 상기 동적 컴퓨터 네트워크와 연관된 미션 플랜에 의해 정의된 제 3 의사랜덤 프로세스에 따라 수행되는 것을 특징으로 하는 라우터.
  7. 동적 컴퓨터 네트워크에 연결된 라우터에서 사용을 위한 방법으로서, 상기 방법은:
    상기 라우터가 현재 식별 파라미터의 조작이 제 1 의사랜덤 프로세스에 기반해서 발생할 수 있는 활성 위치인지 여부를 결정하는 단계;
    소스 컴퓨팅 디바이스 및 목적지 컴퓨팅 디바이스와 연관된 복수의 식별 파라미터를 포함하는 데이터 통신을 수신하는 단계, 상기 복수의 식별 파라미터의 세트는 거짓 정보를 특정하며;
    제 2 의사랜덤 프로세스에 따라 거짓 정보를 갖는 상기 세트에 포함된 상기 식별 파라미터의 선택을 변경하는 것에 의해 상기 세트를 수정하는 단계;
    거짓 정보를 특정하는 상기 복수의 식별 파라미터 중 적어도 하나에 대응하는 적어도 하나의 참 정보에 따라 상기 데이터 통신을 위한 정확한 경로를 선택하는 단계, 상기 참 정보는 상기 거짓 정보와 비교해 다르고; 그리고
    수정된 상기 데이터 통신을 상기 정확한 경로에 대응하는 상기 복수의 출력 포트 중 하나에 보내는 단계를 포함하는 것을 특징으로 하는 방법.
  8. 제 7항에 있어서,
    상기 세트에 포함된 상기 식별 파라미터 및 상기 식별 파라미터에 관한 상기 거짓 정보는 상기 동적 컴퓨터 네트워크와 연관된 미션 플랜에 따라 결정되는 것을 특징으로 하는 방법.
  9. 컴퓨터 네트워크의 복수의 논리 서브영역을 연결하는 라우터에서 사용을 위한 방법으로서, 상기 방법은:
    상기 라우터는 현재 식별 파라미터의 조작이 제 1 의사랜덤 프로세스에 기반해서 발생할 수 있는 활성 위치인지 여부를 결정하는 단계;
    제 1 논리 서브영역에 연결된 복수의 입력 포트 중 하나에서 데이터 통신을 수신하는 단계, 상기 데이터 통신은 소스 컴퓨팅 디바이스 및 목적지 컴퓨팅 디바이스와 연관된 복수의 식별 파라미터를 포함하고, 상기 복수의 식별 파라미터의 세트는 거짓 정보를 특정하며;
    제 2 의사랜덤 프로세스에 따라서 거짓 정보를 갖는 상기 세트에 포함된 상기 식별 파라미터의 선택을 변경하는 것에 의해 상기 세트를 수정하는 단계;
    상기 데이터 통신을 위한 복수의 실행가능한 경로를 결정하는 단계;
    상기 복수의 실행가능한 경로로부터 경로를 무작위로 선택하는 단계; 및
    상기 선택된 경로에 기반해서 제 2 논리 서브영역에 연결된 복수의 출력 포트 중 하나의 출력 포트에 수정된 상기 데이터 통신을 보내는 단계를 포함하는 것을 특징으로 하는 방법.
  10. 제 9항에 있어서,
    상기 경로는 상기 컴퓨터 네트워크와 연관된 미션 플랜에 따라 선택되는 것을 특징으로 하는 방법.
  11. 삭제
  12. 삭제
KR1020147033724A 2012-05-01 2013-04-24 동적 컴퓨터 네트워크에서 데이터를 통신하기 위한 라우터 KR101542028B1 (ko)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US13/461,139 2012-05-01
US13/461,139 US8966626B2 (en) 2012-05-01 2012-05-01 Router for communicating data in a dynamic computer network
PCT/US2013/037888 WO2013165765A1 (en) 2012-05-01 2013-04-24 Router for communicating data in a dynamic computer network

Publications (2)

Publication Number Publication Date
KR20150013659A KR20150013659A (ko) 2015-02-05
KR101542028B1 true KR101542028B1 (ko) 2015-08-04

Family

ID=48289678

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020147033724A KR101542028B1 (ko) 2012-05-01 2013-04-24 동적 컴퓨터 네트워크에서 데이터를 통신하기 위한 라우터

Country Status (5)

Country Link
US (1) US8966626B2 (ko)
KR (1) KR101542028B1 (ko)
CN (1) CN104322027B (ko)
TW (1) TWI464618B (ko)
WO (1) WO2013165765A1 (ko)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10645064B2 (en) * 2015-04-23 2020-05-05 Alcatel Lucent Virtualized application performance through disabling of unnecessary functions
US20170339100A1 (en) * 2016-05-18 2017-11-23 Empire Technology Development Llc Device address update based on event occurrences
US10355853B1 (en) * 2016-08-25 2019-07-16 The United States Of America As Represented By The Secretary Of The Navy Multilayered obstructed brokered (MOB) embedded cyber security architecture
US10362117B1 (en) * 2017-06-28 2019-07-23 Rockwell Collins, Inc. Systems and methods for modified network routing based on modal information
US11012408B2 (en) * 2018-08-22 2021-05-18 International Business Machines Corporation Configuring virtual machine instances using one-to-one mappings
CN110493227B (zh) * 2019-08-20 2021-12-24 上海集成电路研发中心有限公司 一种数据帧传输方法及系统
CN111131169B (zh) * 2019-11-30 2022-05-06 中国人民解放军战略支援部队信息工程大学 一种面向交换网络的动态id隐藏方法
CN113922987B (zh) * 2021-07-12 2022-12-06 北京北斗弘鹏科技有限公司 数据安全传输方法、设备、系统和存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7043633B1 (en) * 2000-08-28 2006-05-09 Verizon Corporation Services Group Inc. Method and apparatus for providing adaptive self-synchronized dynamic address translation
US7739497B1 (en) * 2001-03-21 2010-06-15 Verizon Corporate Services Group Inc. Method and apparatus for anonymous IP datagram exchange using dynamic network address translation
US20110016210A1 (en) * 2007-07-02 2011-01-20 Verizon Patent And Licensing Inc. Method and system for providing automatic disabling of network debugging
US8464334B1 (en) * 2007-04-18 2013-06-11 Tara Chand Singhal Systems and methods for computer network defense II

Family Cites Families (58)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5734649A (en) 1996-05-31 1998-03-31 Bbn Corporation Data packet router
US6052064A (en) 1997-10-30 2000-04-18 Motorola, Inc. Method and apparatus in a wireless messaging system for dynamic creation of directed simulcast zones
US6646989B1 (en) 1998-06-29 2003-11-11 Lucent Technologies Inc. Hop-by-hop routing with node-dependent topology information
US6502135B1 (en) 1998-10-30 2002-12-31 Science Applications International Corporation Agile network protocol for secure communications with assured system availability
WO2000027090A2 (en) 1998-10-30 2000-05-11 Science Applications International Corporation Network protocol for secure communications
US7188180B2 (en) 1998-10-30 2007-03-06 Vimetx, Inc. Method for establishing secure communication link between computers of virtual private network
US7240368B1 (en) 1999-04-14 2007-07-03 Verizon Corporate Services Group Inc. Intrusion and misuse deterrence system employing a virtual network
US6981146B1 (en) 1999-05-17 2005-12-27 Invicta Networks, Inc. Method of communications and communication network intrusion protection methods and intrusion attempt detection system
US6275470B1 (en) 1999-06-18 2001-08-14 Digital Island, Inc. On-demand overlay routing for computer-based communication networks
US6934763B2 (en) 2000-04-04 2005-08-23 Fujitsu Limited Communication data relay system and method of controlling connectability between domains
WO2001091503A2 (en) 2000-05-23 2001-11-29 Invicta Networks, Inc. Systems and methods for communication protection
US7757272B1 (en) 2000-06-14 2010-07-13 Verizon Corporate Services Group, Inc. Method and apparatus for dynamic mapping
US8677505B2 (en) 2000-11-13 2014-03-18 Digital Doors, Inc. Security system with extraction, reconstruction and secure recovery and storage of data
FI110464B (fi) 2001-04-26 2003-01-31 Nokia Corp IP-tietoturva ja liikkuvat verkkoyhteydet
US7085267B2 (en) 2001-04-27 2006-08-01 International Business Machines Corporation Methods, systems and computer program products for translating internet protocol (IP) addresses located in a payload of a packet
US6917974B1 (en) 2002-01-03 2005-07-12 The United States Of America As Represented By The Secretary Of The Air Force Method and apparatus for preventing network traffic analysis
US7114005B2 (en) 2002-02-05 2006-09-26 Cisco Technology, Inc. Address hopping of packet-based communications
US7712130B2 (en) 2002-03-22 2010-05-04 Masking Networks, Inc. Multiconfigurable device masking shunt and method of use
JP3794491B2 (ja) 2002-08-20 2006-07-05 日本電気株式会社 攻撃防御システムおよび攻撃防御方法
US7216359B2 (en) 2002-12-19 2007-05-08 International Business Machines Corporation Secure communication overlay using IP address hopping
US20040255167A1 (en) 2003-04-28 2004-12-16 Knight James Michael Method and system for remote network security management
US7469279B1 (en) 2003-08-05 2008-12-23 Cisco Technology, Inc. Automatic re-provisioning of network elements to adapt to failures
US20050038708A1 (en) 2003-08-10 2005-02-17 Gmorpher Incorporated Consuming Web Services on Demand
WO2005029782A1 (ja) 2003-09-22 2005-03-31 Sharp Kabushiki Kaisha 集線装置、中継制御方法、中継制御プログラム、中継制御プログラムを記録した記録媒体、情報処理装置、ｄｈｃｐサーバ、ｄｈｃｐ処理方法、ｄｈｃｐ処理プログラム、ｄｈｃｐ処理プログラムを記録した記録媒体、および情報処理システム
US7382778B2 (en) 2004-01-05 2008-06-03 Tropos Networks, Inc. Link layer emulation
CN100499540C (zh) 2004-03-03 2009-06-10 三菱电机株式会社 第二层交换网络系统
US20060031394A1 (en) 2004-04-20 2006-02-09 Tazuma Stanley K Apparatus and methods for transparent handling of browser proxy configurations in a network gateway device
ATE480948T1 (de) 2004-09-30 2010-09-15 France Telecom Verfahren und system zum routen in kommunikationsnetzen zwischen einem ersten knoten und einem zweiten knoten
US9383750B2 (en) 2004-12-02 2016-07-05 Lockheed Martin Corporation System for predictively managing communication attributes of unmanned vehicles
US7984163B2 (en) 2005-01-13 2011-07-19 Flash Networks, Inc. Method and system for optimizing DNS queries
US7996894B1 (en) 2005-02-15 2011-08-09 Sonicwall, Inc. MAC address modification of otherwise locally bridged client devices to provide security
US7937756B2 (en) 2005-08-19 2011-05-03 Cpacket Networks, Inc. Apparatus and method for facilitating network security
JP4626811B2 (ja) 2005-09-29 2011-02-09 日本電気株式会社 ポートホッピング検出システム、ポートホッピング検出装置、ポートホッピング検出方法、及びプログラム
US8199677B1 (en) 2005-12-14 2012-06-12 Rockwell Collins, Inc. Distance vector routing via multi-point relays
US7890612B2 (en) 2006-05-08 2011-02-15 Electro Guard Corp. Method and apparatus for regulating data flow between a communications device and a network
JP4732257B2 (ja) 2006-07-07 2011-07-27 富士通株式会社 中継装置、経路制御方法、及び経路制御プログラム
US8136162B2 (en) 2006-08-31 2012-03-13 Broadcom Corporation Intelligent network interface controller
US8189460B2 (en) 2006-12-28 2012-05-29 Cisco Technology, Inc. Method and system for providing congestion management within a virtual talk group
JP2008177714A (ja) 2007-01-17 2008-07-31 Alaxala Networks Corp ネットワークシステム、サーバ、ｄｄｎｓサーバおよびパケット中継装置
US7853998B2 (en) 2007-03-22 2010-12-14 Mocana Corporation Firewall propagation
US7853680B2 (en) 2007-03-23 2010-12-14 Phatak Dhananjay S Spread identity communications architecture
US8301789B2 (en) 2007-06-18 2012-10-30 Emc Corporation Techniques for port hopping
US20090059788A1 (en) 2007-08-29 2009-03-05 Motorola, Inc. Method and Apparatus for Dynamic Adaptation of Network Transport
US8560634B2 (en) 2007-10-17 2013-10-15 Dispersive Networks, Inc. Apparatus, systems and methods utilizing dispersive networking
WO2009052452A2 (en) 2007-10-17 2009-04-23 Dispersive Networks Inc. Virtual dispersive routing
US8539098B2 (en) 2007-10-17 2013-09-17 Dispersive Networks, Inc. Multiplexed client server (MCS) communications and systems
US20090165116A1 (en) 2007-12-20 2009-06-25 Morris Robert P Methods And Systems For Providing A Trust Indicator Associated With Geospatial Information From A Network Entity
CN101521569B (zh) 2008-02-28 2013-04-24 华为技术有限公司 实现服务访问的方法、设备及系统
US8572717B2 (en) 2008-10-09 2013-10-29 Juniper Networks, Inc. Dynamic access control policy with port restrictions for a network security appliance
US9042549B2 (en) 2009-03-30 2015-05-26 Qualcomm Incorporated Apparatus and method for address privacy protection in receiver oriented channels
US8139504B2 (en) 2009-04-07 2012-03-20 Raytheon Bbn Technologies Corp. System, device, and method for unifying differently-routed networks using virtual topology representations
US8553849B2 (en) 2009-06-17 2013-10-08 Avaya Inc. Personal identification and interactive device for internet-based text and video communication services
US20100333188A1 (en) * 2009-06-29 2010-12-30 Politowicz Timothy J Method for protecting networks against hostile attack
US8793792B2 (en) 2010-05-07 2014-07-29 Raytheon Company Time-key hopping
US9225656B2 (en) 2011-02-07 2015-12-29 Brocade Communications Systems, Inc. Quality of service in a heterogeneous network
US9202078B2 (en) 2011-05-27 2015-12-01 International Business Machines Corporation Data perturbation and anonymization using one way hash
US8495738B2 (en) 2011-10-21 2013-07-23 Lockheed Martin Corporation Stealth network node
CN102404740B (zh) * 2011-11-28 2015-07-08 中国电力科学研究院 针对无线传感器网络确认帧攻击的检测和防护方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7043633B1 (en) * 2000-08-28 2006-05-09 Verizon Corporation Services Group Inc. Method and apparatus for providing adaptive self-synchronized dynamic address translation
US7739497B1 (en) * 2001-03-21 2010-06-15 Verizon Corporate Services Group Inc. Method and apparatus for anonymous IP datagram exchange using dynamic network address translation
US8464334B1 (en) * 2007-04-18 2013-06-11 Tara Chand Singhal Systems and methods for computer network defense II
US20110016210A1 (en) * 2007-07-02 2011-01-20 Verizon Patent And Licensing Inc. Method and system for providing automatic disabling of network debugging

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
Atighetchi, Michael, et al. "Adaptive use of network-centric mechanisms in cyber-defense." Object-Oriented Real-Time Distributed Computing, 2003. Sixth IEEE International Symposium on. IEEE, 2003. *
Michalski, John, et al. "Final report for the network security mechanisms utilizing network address translation ldrd project." SAND Rep. SAND2002-3613, Sandia National Laboratory (2002). *

Also Published As

Publication number Publication date
CN104322027B (zh) 2016-03-16
WO2013165765A1 (en) 2013-11-07
CN104322027A (zh) 2015-01-28
KR20150013659A (ko) 2015-02-05
US20130298228A1 (en) 2013-11-07
TWI464618B (zh) 2014-12-11
TW201407407A (zh) 2014-02-16
US8966626B2 (en) 2015-02-24

Similar Documents

Publication Publication Date Title
KR101581155B1 (ko) 섀도우 네트워킹 기법을 사용하여 네트워크에 대한 공격을 식별, 억제 그리고／또는 지연시키기 위한 시스템 및 방법
KR101723715B1 (ko) 컴퓨터 네트워크의 엔터프라이즈 미션 관리를 위한 시스템 및 방법
KR101542028B1 (ko) 동적 컴퓨터 네트워크에서 데이터를 통신하기 위한 라우터
KR101532190B1 (ko) 네트워크 상태를 동적으로 변경하기 위한 시스템 및 방법
US8898782B2 (en) Systems and methods for spontaneously configuring a computer network
WO2013165861A1 (en) Noise, encryption, and decoys for communications in a dynamic computer network
KR101601586B1 (ko) 동적 컴퓨터 네트워크에서 데이터 통신용 스위치
KR101497292B1 (ko) 가변적인 식별 파라미터를 갖는 동적 컴퓨터 네트워크
US8935780B2 (en) Mission management for dynamic computer networks
KR101547080B1 (ko) 동적 컴퓨터 네트워크와의 통신을 위한 브릿지

Legal Events

Date Code Title Description
A201 Request for examination
A302 Request for accelerated examination
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20180713

Year of fee payment: 4