KR101633778B1 - 패킷 데이터의 무결성 보장을 위한 블랙박스를 이용하는 보안 시스템 및 보안시스템 제어방법 - Google Patents

Abstract

본 발명에 따른 보안 시스템은 네트워크 장비를 출입하는 패킷 데이터 및 패킷 데이터에 대한 로그파일을 관리자가 조회는 가능하되, 암호화할 권한을 제한하여 패킷 데이터 또는 로그를 변조할 수 없도록 하여 데이터 무결성을 확보하며, 퍼스널 컴퓨터나 휴대단말기의 시스템 파일이 변동 시, 이를 탐지하고, 관련 파일이 변조되지 않도록 보관하여 사이버 공격에 대한 신뢰성 있는 분석 데이터를 제공한다.

Description

패킷 데이터의 무결성 보장을 위한 블랙박스를 이용하는 보안 시스템 및 보안시스템 제어방법{Security system and control method using black box for guaranteeing data integrity}

본 발명은 패킷 데이터의 무결성 보장을 위한 블랙박스를 이용하는 보안 시스템 및 보안시스템 제어방법에 관한 것으로, 더욱 상세하게는 네트워크 장비에서 바이패스된 패킷 데이터 및 보안 시스템에서 생성되는 시스템 로그에 대한 보안정보를 생성하며, 이 보안정보를 암호화 처리하고 시스템 내부 파일의 위변조를 조사하는 데이터 처리장치와, 암호화된 보안정보를 저장하는 외부 저장장치와, 데이터 처리장치로 암호키를 제공하고, 무결성 판단을 위한 해시값을 관리하는 블랙박스가 상호 연동되면서도 독립적으로 구동토록 함으로써 외부 침입에 대한 저항력을 향상시키고 변조가 불가한, 패킷 데이터의 무결성 보장을 위한 블랙박스를 이용하는 보안 시스템 및 보안시스템 제어방법에 관한 것이다.

퍼스널 컴퓨터, 노트북 및 스마트폰과 같은 휴대단말기를 이용하여 데이터 통신을 수행하는 유무선 네트워크 인프라가 널리 확산되면서 유통, 금융, 전자상거래를 비롯하여 홈네트워크에 이르기까지 생활과 관련된 전 분야에 연관되고 있다.

유무선 네트워크 인프라를 통해 데이터 통신이 증가하고 대중화되는 만큼 사이버 범죄의 수와 종류도 지속적으로 증가하고 있으며, 피해 범위와 피해 액수 또한 증가 추세에 있다.

현재, 네트워크를 통한 사이버 공격은 지능형 지속가능 위협(APT : Advanced Persistent Threat) 공격은 물론 바이러스(Virus), 웜(Worm), 트로이 목마(Troyan) 및 악성코드의 특성을 부분적으로 또는 모두 갖고 있는 복합형 공격이 주류를 이루고 있다.

이러한 사이버 공격에 대처하기 위해서는 외부 인터넷에서 서버나 컴퓨터를 출입하는 패킷 데이터 또는 서버나 컴퓨터 자체에서 생성된 로그(Log)를 분석할 필요가 있다.

그러나, 사이버 공격을 주도하는 공격자는 통상적으로, 서버나 컴퓨터에 침입한 후, 관리자 권한을 획득하는 경우가 많으며, 관리자 권한을 획득 후, 서버나 컴퓨터에 접속한 각종 데이터 및 로그를 삭제하거나 변조하는 경우가 많아 추적이 쉽지 않은 문제가 있다.

다른 한편으로, 네트워크 장비를 출입하는 패킷 데이터를 전수검사 함으로써 사이버 공격을 차단하거나 예방할 수도 있다. 그러나, 네트워크 장비를 출입하는 패킷 데이터의 분석을 위한 장비는 통상, 기가급 캡쳐 성능과 20 ∼ 30 테라바이트의 대용량 저장장치를 구비하는 경우가 많다. 그러나, 이 경우, 매일 수 테라바이트에서 수십 테라바이트에 이르는 대용량의 파일을 장기간 저장하기 곤란하고, 대용량의 데이터 자체를 암호화하지 않으므로 저장된 데이터의 무결성을 보장하기 어려우며, 데이터 저장 용량의 문제를 해결하기 위해 네트워크 장비를 출입하는 패킷 데이터 중 고 위험군의 패킷 데이터만을 선별하여 조사하는 경우, 알려지지 않은 공격 위험에 대한 대응이 어려울 수 있다.

이에 대해 공개특허 10-2001-0045157에서는 암호키 복구 데이터에 대한 해시값을 생성 및 암호화하여 외부에 저장하며, 암호키를 복구 시, 외부 저장수단에 암호화하여 저장된 제1해쉬값을 복호화하고 내부 감사정보에 대해 제2해시값을 복호화하며, 제1해시값과 제2해시값의 비교를 통해 암호키를 복구할 때, 복구된 암호키의 무결성을 검증하는 암호키 복구 정보 관리 방법이 제안된 바 있다. 공개특허 10-2001-00045157에서는 시스템 암호키의 무결성을 검증하여 외부 침입으로부터 시스템을 보호하는 것이 목적이나, 시스템 내에 파일 원본을 보관하므로, 외부로부터의 사이버 공격에 의해 파일 원본이 변조될 우려가 있다.

본 발명의 목적은 네트워크 장비를 출입하는 패킷 데이터를 수집하되, 수집된 패킷 데이터가 변조되지 않도록 암호화 주체, 수집 주체 및 모니터링 주체가 상호 독립적으로 구획되도록 하는 한편, 보안 시스템 내부 파일의 위변조 여부도 수시로 조사할 수 있도록 하여 사이버 공격에 대한 패킷 데이터 및 시스템 로그의 무결성을 향상시키는, 패킷 데이터의 무결성 보장을 위한 블랙박스를 이용하는 보안 시스템 및 보안시스템 제어방법을 제공함에 있다.

상기한 목적은 본 발명에 따라, 제1암호키를 이용하여 네트워크 장비를 통과하는 패킷 데이터 및 시스템 로그를 암호화하여 각각 암호화 데이터 및 암호화 로그를 생성하고 이를 외부 저장장치에 저장하며, 상기 암호화 데이터 및 상기 암호화 로그에 대한 해시(Hash) 값인 패킷 해시값 및 로그 해시값을 생성하는 데이터 처리장치 및 외장매체와 접속하기 위한 터미널 및 내장 메모리를 구비하며, 제2암호키를 이용하여 상기 패킷 해시값 및 상기 로그 해시값에 대한 암호화하여 암호화 패킷 해시값 및 암호화 로그 해시값을 생성하고 상기 내장 메모리에 저장하는 블랙박스를 포함하며, 상기 블랙박스는, 상기 외장매체가 상기 터미널에 접속할 때, 상기 외장매체에서 상기 제1암호키에 대한 제1복호키를 획득하여 상기 암호화 데이터 및 상기 암호화 로그에 접근하고, 상기 시스템 로그는, 상기 데이터 처리장치에서 구동하는 운영체제에 대한 로그인 - 로그 아웃 기록, 상기 운영체제 또는 어플리케이션의 에러 메시지 기록, 실행파일 목록 및 상기 패킷 데이터의 입출 내역 중 적어도 하나에 대한 정보를 포함하는 패킷 데이터의 무결성 보장을 위한 블랙박스를 이용하는 보안 시스템에 의해 달성된다.

삭제

상기한 목적은 본 발명에 따라, 데이터 처리장치 및 외부 저장장치와 접속되며, 외장매체와의 접속을 위한 터미널을 구비하는 블랙박스에 의해 수행되며, 네트워크 장비를 통과하는 패킷 데이터 및 상기 데이터 처리장치의 시스템 로그를 암호화하기 위한 제1암호키를 제공하는 단계, 상기 데이터 처리장치에 설치되는 운영체제, 어플리케이션 및 데이터 중 적어도 하나에 대해 파일 또는 폴더 단위로 시스템 파일 해시값을 생성하는 단계, 상기 데이터 처리장치로부터 상기 시스템파일 해시값 중 변동이 발생한 파일 또는 폴더에 대한 변동정보를 수신하는 경우, 제2암호키를 이용하여 상기 변동정보에 대한 암호화 변동정보를 생성하는 단계, 상기 암호화 변동정보를 상기 블랙박스에 저장하는 단계, 상기 데이터 처리장치로부터 상기 패킷 데이터 및 상기 시스템 로그에 대한 해시값인 패킷 해시값 및 로그 해시값을 획득하는 단계 및 상기 제2암호키를 이용하여 상기 패킷 해시값 및 로그 해시값에 대한 암호화 패킷 해시값 및 암호화 로그 해시값을 생성하는 단계를 포함하며, 상기 외장매체가 상기 터미널에 접속할 때 제공되는 제2복호키를 통해 상기 패킷 해시값 및 상기 로그 해시값에 대해 접근하는 패킷 데이터의 무결성 보장을 위한 블랙박스를 이용하는 보안시스템 제어방법에 의해 달성된다.

삭제

본 발명에 따르면 네트워크 장비를 출입하는 패킷 데이터 및 보안 시스템에서 생성되는 시스템 로그를 관리자가 조회는 가능하되, 암호화할 권한을 제한하여 패킷 데이터 또는 시스템 로그를 변조할 수 없도록 함으로써 데이터 무결성을 확보하며 퍼스널 컴퓨터나 휴대단말기의 시스템 파일이 변동 시, 이를 탐지하고, 관련 파일이 변조되지 않도록 보관하여 사이버 공격에 대한 신뢰성 있는 분석 데이터를 제공할 수 있다.

도 1은 본 발명의 일 실시예에 따른 보안 시스템의 개념도를 도시한다.
도 2와 도 3은 도 1에 도시된 실시예와 대비되는 종래의 보안 시스템의 개념도를 도시한다.
도 4는 도 1의 실시예에서 패킷 데이터 및 시스템 로그의 변조를 인지하는 방법에 대한 참조도면을 도시한다.
도 5는 실시예에 따른 블랙박스의 일 예에 대한 외형도를 도시한다.
도 6은 본 발명에 따른 패킷 데이터의 무결성 보장을 위한 블랙박스를 이용하는 보안시스템의 제어방법에 대한 흐름도를 도시한다.
도 7은 실시예에 따른 패킷 데이터의 무결성 보장을 위한 블랙박스를 이용하는 보안시스템에서 시스템 파일의 위변조 여부를 판단하는 방법에 대한 흐름도를 도시한다.
도 8은 외장매체가 터미널에 접속된 후, 복호키를 이용하여 복호화하는 과정에 대한 흐름도를 도시한다.

이하, 첨부된 도면을 참조하여 본 발명의 바람직한 실시예들을 상세히 설명한다. 이때, 첨부된 도면에서 동일한 구성 요소는 가능한 동일한 부호로 나타내고 있음에 유의한다. 또한, 본 발명의 요지를 흐리게 할 수 있는 공지 기능 및 구성에 대한 상세한 설명은 생략할 것이다. 마찬가지 이유로 첨부 도면에 있어서 일부 구성요소는 과장되거나 생략되거나 개략적으로 도시되었다.

도 1은 본 발명의 일 실시예에 따른 패킷 데이터의 무결성 보장을 위한 블랙박스를 이용하는 보안 시스템(이하, 보안 시스템이라 한다)의 개념도를 도시하고, 도 2와 도 3은 도 1에 도시된 실시예와 대비되는 종래의 보안 시스템의 개념도를 도시한다.

도 1 내지 도 3을 함께 참조하여 설명하면, 먼저, 실시예에 따른 보안 시스템은 네트워크 장비(50)를 통과하는 패킷 데이터를 수집하여 패킷 데이터를 암호화한다. 또한, 실시예에 따른 보안 시스템은 아래의 각 항목에 따른 사항 중 적어도하나를 시스템 로그로서 인식하고, 시스템 로그(System Log)를 암호화할 수 있다.

1) 데이터 처리장치(100)에서 구동되는 운영체제가 생성하는 로그,

2) 데이터 처리장치(100)에 대한 로그인 - 로그 아웃 정보,

3) 데이터 처리장치(100)에서 구동하는 운영체제 또는 어플리케이션의 에러 메시지 기록,

4) 데이터 처리장치(100)에서 구동된 실행파일의 목록 및

5) 패킷 데이터가 네트워크 장비(50)를 통과한 내역.

데이터 처리장치(100)는 패킷 데이터 및 시스템 로그를 암호화하여 외부 저장장치(80)에 저장하여 원시 데이터를 확보한다.

네트워크 장비(50)는 스위치 허브, 라우터, 공유기 또는 기타 유무선 네트워크를 단말기(10a ∼ 10n)에 제공하는 장비 중 패킷 데이터 바이패스(Bypass) 기능을 구비하는 것을 지칭할 수 있는데, 이는 실시예에 따른 보안 시스템이 네트워크 장비(50)를 통과하는 패킷 데이터를 수집할 필요가 있는데 따른다. 여기서, 데이터 바이패스는 네트워크 장비(50)가 외부에서 단말기(10a ∼ 10n)로 패킷 데이터를 전송할 때, 전송되는 패킷 데이터에 대해 미러링된 동일 패킷 데이터를 데이터 처리장치(100)로 제공하는 것을 의미할 수 있다. 즉, 원본 패킷 데이터는 단말기(10a ∼ 10n)로 제공되고, 사본은 데이터 처리장치(100)로 제공하는 것일 수 있다.

데이터 처리장치(100)는 패킷 데이터 및 보안시스템에서 생성되는 시스템 로그 각각에 대해 제1암호키를 적용하여 암호화를 수행하고 암호화된 패킷 데이터 및 암호화된 시스템 로그를 외부 저장장치(80)로 제공하여 저장할 수 있다. 이때, 제1암호키는 블랙박스(200)에서 제공되며, 데이터 처리장치(100) 스스로는 제1암호키를 생성하지 않는다.

데이터 처리장치(100)는 운영체제 및 어플리케이션이 설치되어 구동 가능한 장치로서, 임베디드 장치(Embeded device), 퍼스널 컴퓨터, 서버 컴퓨터 및 노트북과 같은 장치일 수 있으나, 이 외에도 사전에 정해진 암호화 알고리즘을 구동하는 알고리즘 구동 칩(Chip) 또는 정해진 알고리즘에 따라 패킷 데이터 또는 시스템 로그를 암호화하는 암호화 칩(Chip)과 저장매체(예컨대 하드디스크 드라이브(Hard Disk Drive), 플래시 램 또는 SSD(Solid State Disk)로 구성될 수도 있다. 여기서, 데이터 처리장치(100)는 독립적인 운영체제를 구비하고, 독립적인 운영체제를 기반으로 패킷 데이터와 시스템 로그를 암호화하는 것이 바람직하다.

한편, 데이터 처리장치(100)는 패킷 데이터 및 시스템 로그를 암호화하여 암호화 데이터 및 암호화 로그를 생성하고, 생성된 암호화 데이터 및 암호화 로그를 외부 저장장치(80)에 저장할 수 있다.

여기서, 외부 저장장치(80)는 데이터 처리장치(100)와 유선으로 다이렉트 연결되거나, 유무선 네트워크로 연결되는 저장장치를 지칭할 수 있는데, 하드디스크 드라이브 또는 SSD와 같은 저장장치를 중심으로 구성될 수 있다. 외부 저장장치(80) 또한 독립적인 운영체제에 의해 구동하는 독립 장비인 것이 바람직하며, 데이터 처리장치(100)로부터 암호화 데이터 및 암호화 로그를 획득하여 시간에 따라 순차 저장할 수 있다.

또한, 데이터 처리장치(100)는 암호화 데이터 및 암호화 로그 각각에 대해 해시값을 생성하고, 생성된 해시값을 블랙박스(200)로 제공할 수 있다. 데이터 처리장치(100)는 SHA-0, SHA-1, SHA-224, SHA-256, SHA-384, SHA-512, MD2, MD4, MD5 및 HARVAL과 같은 해시 알고리즘을 이용하여 암호화 데이터 및 암호화 로그에 대한 해시값을 생성할 수 있다. 해시값은 데이터 처리장치(100)가 패킷 데이터 및 시스템 로그에 대한 암호화를 수행할 때, 암호화 이후 생성될 수 있으며, 데이터 처리장치(100)는 암호화 데이터 및 암호화 로그 각각에 대해 패킷 해시값 및 로그 해시값을 생성할 수 있다.

패킷 해시값 및 로그 해시값은 블랙박스(200)로 제공되고, 외부 저장장치(80)는 데이터 처리장치(100)에서 패킷 데이터 및 시스템 로그에 대해 암호화한 암호화 데이터 및 암호화 로그를 획득하여 저장할 수 있다. 블랙박스(200)는 데이터 처리장치(100)에서 생성된 패킷 해시값 및 로그 해시값을 내장 메모리(204)에 저장하며, 외장매체(60)와의 연결을 위한 터미널(210)을 구비할 수 있다. 블랙박스(200)는 패킷 해시값 및 로그 해시값을 제2암호키로 암호화하여 암호화 패킷 해시값 및 암호화 로그 해시값을 생성할 수 있다. 생성된 암호화 패킷 해시값 및 암호화 로그 해시값은 블랙박스(200)에 마련되는 내장 메모리(204)에 저장될 수 있다.

여기서, 블랙박스(200)는 데이터 처리장치(100)에서 패킷 데이터 및 시스템 로그를 암호화하는데 이용하는 제1암호키를 데이터 처리장치(100)로 제공할 수 있다. 그러나, 블랙박스(200)는 제1암호키에 대한 복호키를 구비하지 않으므로 외부 침입자가 블랙박스를 공격하여 관리자 권한을 획득하더라도 블랙박스(200)가 제2암호키로 암호화하여 저장해둔 암호화 패킷 해시값 및 암호화 로그 해시값을 해독할 수는 없다.

블랙박스(200)에서 제1암호키를 생성하여 데이터 처리부(100)로 제공하고, 제1암호키에 대한 복호키(이하, "제1복호키"라 한다)는 오프라인 매체인 외장매체(60)에 마련된다. 외장매체(60)는 평상시 블랙박스(200)나 데이터 처리장치(100)는 물론 어떠한 전자기기에도 전기적으로 연결되지 않으므로 외부의 사이버 공격에 의해 해킹되거나 공격당할 위험은 없으며, 이는 블랙박스(200), 데이터 처리장치(100) 및 외부 저장장치(80)가 상호 데이터는 연동되나, 각각은 독립적인 장치인데 기인한다. 예컨대, 외부 침입자가 사이버 공격을 통해 데이터 처리장치(100)를 공격하여 관리자 권한을 획득하였다고 가정할 때, 관리자 권한을 통해 제1암호키를 획득할 수는 있으나, 데이터 처리장치(100) 내부에는 패킷 데이터와 시스템 로그가 존재하지 않으므로 공격 대상이 모호해질 수 있다.

외부 저장장치(80)의 경우, 외부의 사이버 공격이 가해질 경우 암호화된 데이터가 노출될 수 있으나, 외부 저장장치(80) 자체에는 암호화 데이터 및 암호화 로그를 복호화할 정보는 존재하지 않으며, 복호화할 복호키가 어디에 있는지, 어느 경로에 존재하는지를 추측할 정보도 존재하지 않는다. 외부 저장장치(80)는 데이터 처리장치(100)와 연결되므로, 외부 저장장치(80)의 접속 경로는 복호화할 복호키에 대한 정보를 구비하지 않는다. 이는 외부 저장장치(80)에 대한 공격을 통해 외부 공격자가 얻을 것은 없음을 의미한다.

한편, 외부 저장장치(80)와 데이터 처리장치(100)를 동시에 공격하여 관리자 권한을 획득하는 경우에도 제1암호키를 이용한 암호화 알고리즘을 파악하는 것 이상으로 암호화된 암호화 데이터 및 암호화 로그의 위조 및 변조가 곤란하다. 전술한 바와 같이, 데이터 처리장치(100)는 암호화할 때, 해시값도 함께 생성하며, 생성된 해시값은 블랙박스(200)로 제공됨을 언급한 바 있다.

해시값은 데이터 처리장치(100)가 패킷 데이터 및 시스템 로그를 암호화할 때, 암호화 데이터 및 암호화 로그에 대해 생성되어 블랙박스(200)에 저장되는데, 이때, 블랙박스(200)는 패킷 해시값 및 로그 해시값을 별도의 제2암호키로 암호화하여 저장해둔다.

따라서, 외부 저장장치(80) 및 데이터 처리장치(100)를 공격한 외부 사이버 공격자가 제1암호키를 획득하고, 제1암호키를 이용한 암호화 알고리즘으로 외부 저장장치(80)에 저장된 암호화 데이터 및 암호화 로그를 변조하는 경우, 블랙박스(200)에 저장된 암호화 패킷 해시값 및 암호화 로그 해시값을 만족할 수 없으므로 위조 및 변조 사실이 노출된다.

최악의 경우, 데이터 처리장치(100), 외부 저장장치(80) 및 블랙박스(200)가 동시에 외부 공격자에 의해 관리자 권한을 잃는다 하더라도 암호화 패킷 해시값과 암호화 로그 해시값을 복호화하기 위한 복호키(이하, 제2복호키라 한다)나 제2복호키에 관련된 정보는 외부 저장장치(80), 블랙박스(200) 및 데이터 처리장치(100)에 존재하지 않는 바, 외부 공격자가 자신의 침입 흔적을 온전히 지울 수 없으며, 변조하고자 할 경우 변조의 흔적도 남게 된다.

제1복호키와 제2복호키는 "마스터 키"라 불리는 외장매체(60)에 마련되며, 외장매체(60)가 터미널(210)에 접속할 때만 블랙박스(200)로 제1복호키 또는 제2복호키를 블랙박스(200)로 제공할 수 있다. 따라서, 외장매체(60)에 마련되는 제1복호키와 제2복호키는 평상시 외부 사이버 공격에 의해 노출되지 않는다.

여기서, 데이터 처리장치(100)는 RSA, DSA, ECC, Rabin, El-Gamal와 같은 비대칭 암호방식에 따라 패킷 데이터 및 시스템 로그를 암호화할 수 있으며, 제1암호키와 제1복호키 및 제2암호키와 제2복호키는 RSA, DSA, ECC, Rabin, El-Gamal 등과 같은 비대칭암호방식을 사용하는 개인키(private key)와 공개키(public key)를 각각 암호화와 복호화 각각에 대해 서로 다른 용도로 사용되는 특징이 있다.

이때, 블랙박스(200)는 복수의 암호키들로 구성되는 제1암호키 그룹, 제2암호키 그룹을 구비할 수 있으며, 이 경우, 제1암호키 그룹과 제2암호키 그룹에 대응하는 제1복호키 그룹 및 제2복호키 그룹을 구비할 수 있다. 예컨대 블랙박스(200)는 제1암호키 그룹에서 임의의 제1암호키를 선발하여 데이터 처리장치(100)로 제공할 수도 있다. 즉, 블랙박스(200)는 제1암호키 그룹과 제1복호키 그룹에서 시간에 따라 랜덤하게 결정되는 제1암호키와 제2암호키를 획득할 수 있으며, 제1암호키는 데이터 처리장치(100)로 제공하여 데이터 처리장치(100)가 패킷 데이터와 시스템 로그를 암호화할 수 있도록 할 수 있다. 또한, 제2암호키는 데이터 처리장치(100)에서 블랙박스(200)로 제공되는 패킷 해시값 및 로그 해시값을 암호화하는데 이용할 수 있다. 이때, 블랙박스(200)는 제1암호키 그룹과 제1복호키 그룹에 속하는 암호키와 복호키에 대해 고유 식별자를 부여할 수 있는데, 이는 고유 식별자를 통해 암호화 - 복호화를 위해 쌍을 이루는 암호키와 복호키를 식별하는데 이용한다. 예컨대, 블랙박스(200)는 제1암호키 그룹에서 어느 하나의 제1암호키가 선택되는 경우, 제1암호키에 부여된 고유 식별자를 참조하여 제1암호키를 복호화하는데 필요한 제1복호키를 제1복호키 그룹에서 선택할 수 있다.

한편, 외장매체(60)를 터미널(210)에 접속할 때, 블랙박스(200)는 제2복호키를 이용하여 블랙박스(200)에 저장된 암호화 패킷 해시값 및 암호화 로그 해시값을 복호화하여 패킷 해시값 및 로그 해시값에 접근할 수 있다. 이 상태에서 블랙박스(200)는 외장매체(60)의 제1복호키를 이용하여 외부 저장장치(80)에 접근하고, 외부 저장장치(80)에 저장된 암호화 데이터 및 암호화 로그를 패킷 데이터 및 시스템 로그로 복호화할 수 있다.

이후, 블랙박스(200)는 외부 저장장치(80)에 저장된 패킷 데이터 및 시스템 로그를 조회할 수 있는데, 블랙박스(200) 자체는 암호화 능력이 없으므로 블랙박스(200)를 통해서 외부 저장장치(80)에 저장된 패킷 데이터 및 시스템 로그를 변조할 수 없다. 암호화 권한, 저장 권한, 검증 권한 및 복호화 권한이 구분되는 실시예의 보안 시스템 특징에 따라, 마스터 키라 불리는 외장매체(60)를 외부 공격자가 손에 넣는다 하더라도 외장매체(60)를 이용하여 블랙박스(200)에 저장된 암호화 패킷 해시값이나 암호화 로그 해시값을 변경할 수 없고, 마찬가지로 외부 저장장치(80)에 저장된 암호화 데이터 및 암호화 로그를 변경할 수도 없다.

이러한 보안성은 외부 공격자에 의해 복호키나 암호키가 노출되었을 때, 무방비 상태인 통상의 보안 시스템과 차별되는 중요한 특징이라 할 수 있다. 이는 도 2와 도 3을 함께 참조하여 설명하도록 한다.

먼저, 도 2를 참조하면 단일 시스템(컴퓨터, 노트북 또는 휴대단말기 등)으로 구성되는 보안 시스템에는 보안 시스템의 운영체제와 관련된 시스템 파일(System file)이 존재하고, 시스템 파일에 대한 해시값의 목록인 해시 리스트 및 해시 리스트에 대한 검증 값이 파일의 형태로 마련될 수 있다.

시스템 파일의 검증을 위해 시스템 파일을 구성하는 각 파일(file 1 ∼ file n)에 대한 해시값을 생성하여 해시 리스트를 구성하고, 해시 리스트에 포함되는 각 해시값(H1 ∼ Hn)을 기준으로, 시스템 파일의 변경 여부를 판단할 수 있다.

예컨대, 주기적으로 또는 이벤트에 따라 시스템 파일에 대한 해시값을 생성 후, 해시 리스트에 등록된 해시값과 비교하여 동일한 값을 보이면 정해진 검증값을 기록하고 반대의 경우에는 시스템 파일에 대한 변경이 발생한 것으로 판단할 수 있다. 이러한 상태에서 외부 공격자가 시스템 파일과 해시 리스트를 동시에 변조하는 경우 종래의 보안 시스템은 시스템 파일 변조 여부를 판단할 수 없게 된다. 이는 도 3을 함께 참조하여 설명하도록 한다.

도 3을 참조하면, 외부 공격자는 시스템 파일을 구성하는 파일들 중 하나(file 2)를 변조 파일(file 2')로 치환하고, 변조 파일에 대한 해시 리스트의 해시값(H2)을 변조 해시값(H2')로 치환하는 경우 검증값은 정상으로 표현될 수 있다. 다른 한편으로, 시스템 파일(file 2)과 검증값이 정상을 지시하도록 변조할 수도 있다. 이 경우에도 보안 시스템은 외부 공격에 의한 시스템 파일 변조를 판단할 수 없으며, 외부 공격이 종료된 이후에도 외부 공격을 판단할 근거를 잃게 된다.

반면, 도 1의 실시예에 따른 보안 시스템은 시스템 파일(file 2)을 변조할 경우, 외부 공격자가 변조 여부를 감출 수 없다. 이는 도 1과 비교하여 설명하도록 한다.

도 1의 실시예에서 외부 공격자가 데이터 처리장치(100)의 시스템 파일(예컨대 운영체제의 시스템 파일)을 변조하는 경우, 데이터 처리장치(100)의 시스템 파일에 대한 시스템 파일 해시값은 블랙박스(200)에 존재하고, 블랙박스(200)에서 제2암호키에 의해 암호화된 상태로 존재한다.

제2암호키에 의해 암호화된 시스템 파일 해시값을 복호화하기 위해서는 제2복호키가 필요한데, 제2복호키는 외장매체(60)에 마련되는 바, 데이터 처리장치(100)의 시스템 파일을 변조하는 경우, 시스템 파일의 변조 여부를 감출 수 없다. 이는 도 4를 함께 참조하여 설명하도록 한다.

도 4는 도 1의 실시예에서 패킷 데이터 및 시스템 로그의 변조를 인지하는 방법에 대한 참조도면을 도시한다.

도 4를 참조하면, 실시예에 따른 보안 시스템은 물리적으로 분리된 S1 영역 및 S2 영역에 각각 위치하는 블랙박스(200) 및 외부 저장장치(80)를 이용하여 패킷 데이터 및 시스템 로그의 보안성을 유지할 수 있다.

도 4에서 외부 저장장치(80)와 블랙박스(200)는 두 개의 분리된 공간(S1, S2)에 위치한다.

외부 저장장치(80)에 저장된 암호화 데이터 또는 암호화 로그(이하 "E1 정보"라 한다)가 외부 공격자에 의해 제거되고, 이후 변조 정보(이하, "E1' 정보"라 한다)로 대체되는 경우, 데이터 처리장치(100)는 변조 정보(E1' 정보)에 대한 해시값을 산출하고, 이때, 블랙박스(200)로 E1 검증을 위한 해시값을 요청할 수 있다. 이때, 실시예에 따른 보안 시스템의 관리자는 외장매체(60)를 터미널(210)에 장착하고, 블랙박스(200)는 외장매체(60)를 통해 제2복호키를 획득하여 데이터 처리장치(100)로 복호화된 해시값을 제공할 수 있다.

데이터 처리장치(100)는 복호화된 해시값(D1 ∼ D3)과 외부 저장장치(80)의 변조 정보(E1' 정보)의 해시값을 비교하여 외부 저장장치(80)에 저장된 E1 정보의 변조 여부를 판단할 수 있다.

도 5는 실시예에 따른 블랙박스의 일 예에 대한 외형도를 도시한다. 도 5에 대한 설명은 도 1을 함께 참조하여 설명하도록 한다.

도 5를 참조하면, 실시예에 따른 블랙박스는 별도의 임베디드 컴퓨터, 퍼스널 컴퓨터 및 임베디드 컴퓨터나 퍼스널 컴퓨터에 마련되는 슬롯에 장착 가능한 애드온 카드(Add-on card))의 형태로도 구현될 수 있다. 도 5는 애드온 카드의 형상인 경우에 대한 사시도를 도시한 것으로, 기판(201), 제어칩(203), 내장메모리(204), 터미널(210)을 포함하여 구성될 수 있다.

제어칩(203)은 외장매체(60)와의 데이터 송수신 제어를 수행하며, 외장매체(60)가 USB 장치인 경우 제어칩(203)은 USB 호스트 컨트롤러를 내장할 수 있다. 이 경우, 제어칩(203)은 내장되는 USB 호스트 컨트롤러를 이용하여 USB 장치를 제어하며, USB 장치(외장매체)에 기록된 제1복호키 또는 제2복호키에 접근할 수 있다. 제어칩(203)은 외장매체(60)를 통해 제1복호키를 획득 시, 외부 저장장치(80)에 저장된 암호화 데이터 및 암호화 로그를 복호화하여 패킷 데이터 및 시스템 로그를 추출할 수 있다. 반면, 외장매체(60)를 통해 제2복호키를 획득 시, 내장 메모리(204)에 저장된 암호화 패킷 해시값 및 암호화 로그 해시값을 복호화하여 패킷 해시값 및 로그 해시값을 복호화할 수 있다.

제어칩(203)은 데이터 처리장치(100)에서 패킷 해시값 또는 로그 해시값을 요청하는 경우, 이에 응답하여 외장매체(60)에서 제2복호키를 획득하여 내장 메모리(204)에 저장된 암호화 패킷 해시값 및 암호화 로그 해시값을 복호화하고, 데이터 처리장치(100)에서 요청된 암호화 데이터 또는 암호화 로그에 대응하는 해시값을 데이터 처리장치(100)로 제공할 수 있다. 내장 메모리(204)는 비 휘발성의 플래시 메모리로 구성될 수 있으며, 제어칩(203)에서 생성한 암호화 패킷 해시값 또는 암호화 로그 해시값을 저장할 수 있다.

도 6은 본 발명에 따른 보안 시스템 제어방법에 대한 흐름도를 도시한다.

도 6에 대한 설명은 도 1 내지 도 5를 함께 참조하여 설명하도록 한다.

도 6을 참조하면, 실시예에 따른 보안 시스템 제어방법은 먼저, 데이터 처리장치(100)가 네트워크 장비(50)를 통해 바이패스 되는 패킷 데이터 및 데이터 처리장치(100)에서 생성되는 시스템 로그를 획득하고(S201), 블랙박스(200)를 통해 획득한 제1암호키를 이용하여 패킷 데이터 및 시스템 로그를 암호화하여 암호화 데이터 및 암호화 로그를 생성한다(S202). 다음으로, 데이터 처리장치(100)는 패킷 데이터 및 시스템 로그를 암호화할 때, 패킷 데이터와 시스템 로그 각각에 대한 해시값을 생성하는데(S203), 이때 생성되는 해시값은 각각 패킷 해시값 및 로그 해시값이고, 생성된 패킷 해시값 및 로그 해시값은 블랙박스(200)로 전송하여(S204) 저장하도록 한다.

다음으로, 블랙박스(200)는 패킷 해시값 및 로그 해시값을 제2암호키로 암호화하여 암호화 패킷 해시값 및 암호화 로그 해시값을 생성하고(S205), 생성된 암호화 패킷 해시값 및 암호화 로그 해시값을 내장 메모리(204)에 저장할 수 있다(S206). 상기한 과정에 따라 데이터 처리장치(100)와 블랙박스(200)에는 제1암호키와 제2암호키를 복호화하기 위한 제1복호키 및 제2복호키가 존재하지 않는다.

- 외부 저장장치(80)는 암호화 및 복호화와 연관되지 않으며, 다만, 암호화 데이터 및 암호화 로그를 구비한다.

- 데이터 처리장치(100)는 블랙박스(200)에서 제공되는 제1암호키에 의해 패킷 데이터 및 시스템 로그를 암호화하여 외부 저장장치(80)로 전송하며, 제1암호키 및 제1복호키에 대한 정보는 구비하지 아니한다.

- 블랙박스(200)는 제1암호키를 생성하여 데이터 처리장치(100)로 제공하고, 제2암호키로 암호화된 암호화 패킷 해시값 및 암호화 로그 해시값을 구비한다.

- 블랙박스(200)는 데이터 처리장치(100)에서 암호화 데이터 및 암호화 로그에 대한 변동 사항을 발견하고, 변동 사항의 검증을 위해 데이터 처리장치(100)로 패킷 해시값 및 로그 해시값을 제공해야 할 경우, 외장매체(60)를 통해 제1복호키 및 제2복호키를 획득하여 패킷 해시값 및 로그 해시값을 데이터 처리장치(100)로 제공할 수 있다. 그러나, 외장매체(60)에서 제1복호키와 제2복호키를 제공하지 않는 경우에는 데이터 처리장치(100)로 패킷 해시값 및 로그 해시값을 제공할 수 없다.

- 블랙박스(200)는 패킷 데이터, 시스템 로그, 암호화 데이터, 암호화 로그와 같이 패킷 데이터나 시스템 로그 정보를 구비하지 않는다. 블랙박스(200)는 검증을 위한 해시값만을 데이터 처리장치(100)로 제공할 수 있는데, 제공되는 해시값은 패킷 해시값, 로그 해시값 또는 시스템 파일 해시값 중 하나이고, 외부에 노출된다 하더라도, 외부 저장장치(80)에 저장된 암호화 데이터나 암호화 로그는 조회활 수 없다. 이러한 특징에 따라, 실시예에 따른 보안 시스템 제어방법은 3개의 독립장치(외부 저장장치(80), 데이터 처리장치(100) 및 블랙박스(200)) 중 어느 하나 또는 둘에 대해 침입하더라도 원래의 데이터를 식별하기 곤란하며, 만일 식별하였다 하더라도, 외부 침입자가 자신의 접속 로그에 대한 변조가 곤란한 특징이 있다.

도 7은 실시예에 따른 패킷 데이터의 무결성 보장을 위한 블랙박스를 이용하는 보안시스템에서 시스템 파일의 위변조 여부를 판단하는 방법에 대한 흐름도를 도시한다.

도 7에 대한 설명은 도 1 내지 도 5를 함께 참조하도록 한다.

실시예에 따른 시스템 파일의 위변조 여부를 조사하는 제어방법은 먼저, 데이터 처리장치(100)는 보안시스템 내의 모든 파일 또는 폴더에 대한 시스템 파일 해시값을 생성할 수 있다(S211). 여기서, 시스템 파일은 데이터 처리장치(100)에 설치되는 운영체제와 관련된 파일 이외에도, 응용 프로그램에 대한 파일은 물론, 데이터 처리장치(100)에 설치되거나 기록된 모든 유형의 파일을 의미할 수 있다.

다음으로, 데이터 처리장치(100)는 시스템 파일에 대한 시스템 파일 해시값을 이전에 블랙박스(200)에 저장된 시스템 파일 해시값과 비교할 수 있다(S212).

이를 위해, 데이터 처리장치(100)는 사전에 시스템 파일에 대한 각 파일별, 각 폴더별 또는 각 디렉토리별로 해시값을 생성해 두어야 한다. 이후, 데이터 처리장치(100)는 생성된 시스템 파일 해시값을 블랙박스(200)로 제공할 수 있다.

사전에 블랙박스(200)에 저장된 시스템 파일 해시값이 준비된 상태에서 데이터 처리장치(100)는 블랙박스(200)에 저장된 시스템 파일 해시값과 현재 산출된 시스템 파일에 대한 해시값을 비교하여 시스템 파일의 변경 여부를 판단할 수 있다.

이와 같은 비교를 통해 시스템 파일이 시간의 흐름에 따라 변동하였는가를 판단할 수 있는데, 데이터 처리장치(100)의 비교 결과, 블랙박스(200)에 이전에 저장된 시스템 파일 해시값과 현재 데이터 처리장치(100)에서 생성된 동일 폴더. 파일 또는 디렉토리에 대한 시스템 파일 해시값이 차별되는 경우 해당 파일(또는 폴더)에 대한 변동 정보를 블랙박스(200)로 전송할 수 있다(S213). 여기서, 변동 정보는 블랙박스(200)에 저장된 이전의 시스템 파일 해시값과 동일한 값을 갖지 않는 시스템 파일의 명칭, 파일 크기, 파일의 생성일자, 및 파일 접속 이력과 같은 정보를 의미할 수 있다.

변동 정보는 데이터 처리장치(100)에서 블랙박스(200)로 전송되고, 블랙박스(200)는 내장 메모리(204)에 리스트 형태로 저장하여 관리할 수 있다(S214). 이때, 내장 메모리(204)는 한 번 기록된 후, 갱신이 곤란한 형태의 일회성 기록매체인 것이 바람직하다.

이때, 블랙박스(200)는 데이터 처리장치(100)에서 전송된 시스템 파일 해시값을 제2암호키(또는 제1암호키)를 이용하여 암호화하고(S215), 암호화된 시스템 파일 해시값을 블랙박스(200)에 저장하여(S216) 내장 메모리(204)에 순차 저장하고, 각 저장될 때마다 부여되는 식별자를 이용하여 관리될 수 있다.

여기서, 블랙박스(200)는 데이터 처리장치(100)에서 시스템 파일에 대한 위변조 징후를 발견하고, 시스템 파일의 변동 사항을 정밀하게 분석하기 위해 블랙박스(200)로 전체 시스템 파일의 해시값을 요구하는 경우, 외장매체(60)를 통해 제2복호키를 획득하여 보안시스템 설치 시부터 구비된 파일해시값을 제공할 수 있다. 그러나, 외장매체(60)에서 제2복호키를 제공하지 않는 경우에는 데이터 처리장치(100)로 파일해시값을 제공할 수 없다.

도 8은 외장매체가 터미널에 접속된 후, 복호키를 이용하여 복호화하는 과정에 대한 흐름도를 도시한다. 도 8에 대한 설명은 도 1 내지 도 7을 함께 참조하도록 한다.

먼저, 터미널(210)을 통해 외장매체(60)가 접속되면, 블랙박스(200)는 데이터 처리장치(100)의 요청에 따라 제2복호키를 데이터 처리장치(100)에 제공하거나 내장 메모리(204)에 저장된 암호화 패킷 해시값 또는 암호화 로그 해시값을 복호화할 수 있다. 만일, 관리자가 사이버 공격 징후를 발견하고, 그동안 외부 저장장치(80)에 구비된 패킷 데이터 및 시스템 로그에 대한 정밀 분석을 원하는 경우, 데이터 처리장치(100)는 먼저, 암호화 데이터 및 암호화 로그에 대한 변조 여부를 확인하기 위해, 패킷 해시값과 로그 해시값을 요청하는가를 판단한다. 데이터 처리장치(100)에서 패킷 해시값 또는 로그 해시값을 요청하는 경우, 블랙박스(200)는 데이터 처리장치(100)가 제2복호키를 필요로하는 것으로 판단하고(S211), 외장매체(60)로부터 제2복호키를 획득하여, 내장 메모리(204)에 저장된 암호화 패킷 해시값 또는 암호화 로그 해시값을 복호화하여 각각 패킷 해시값 또는 로그 해시값을 추출할 수 있다(S222). 반대로, 데이터 처리장치(100)에 접속한 관리자가 외부 저장장치(80)에 저장된 패킷 데이터나 시스템 로그를 조회하고자 하는 경우, 블랙박스(200)는 데이터 처리장치(100)나 블랙박스(200)에 접속한 관리자가 제1복호키를 요구하는 것으로 판단하고(S223), 외장매체(60)에서 제1복호키를 획득하여 데이터 처리장치(100)로 제공할 수 있다. 데이터 처리장치(100)는 제1복호키를 이용하여 외부 저장장치(80)의 암호화 데이터 및 암호화 로그를 복호화할 수 있다(S224). 이때, 데이터 처리장치(100)는 외부 저장장치(80)에 저장된 패킷 데이터 또는 시스템 로그에 접근할 수 있다(S225).

한편, 본 명세서와 도면에 개시된 본 발명의 실시예들은 본 발명이 기술 내용을 쉽게 설명하고 본 발명의 이해를 돕기 위해 특정 예를 제시한 것일 뿐이며, 본 발명의 범위를 한정하고자 하는 것은 아니다. 여기에 개시된 실시예들 이외에도 본 발명의 기술적 사상에 바탕을 둔 다른 변형예들이 실시 가능하다는 것은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에게 자명한 것이다.

50 : 네트워크 장비 80 : 외부 저장장치
100 : 데이터 처리장치 200 : 블랙박스

Claims (9)

1. 제1암호키를 이용하여 네트워크 장비를 통과하는 패킷 데이터 및 시스템 로그를 암호화하여 각각 암호화 데이터 및 암호화 로그를 생성하고 이를 외부 저장장치에 저장하며, 상기 암호화 데이터 및 상기 암호화 로그에 대한 해시(Hash) 값인 패킷 해시값 및 로그 해시값을 생성하는 데이터 처리장치; 및
   외장매체와 접속하기 위한 터미널 및 내장 메모리를 구비하며, 제2암호키를 이용하여 상기 패킷 해시값 및 상기 로그 해시값에 대한 암호화하여 암호화 패킷 해시값 및 암호화 로그 해시값을 생성하고 상기 내장 메모리에 저장하는 블랙박스;를 포함하며,
   상기 블랙박스는, 상기 외장매체가 상기 터미널에 접속할 때, 상기 외장매체에서 상기 제1암호키에 대한 제1복호키를 획득하여 상기 암호화 데이터 및 상기 암호화 로그에 접근하고, 상기 시스템 로그는, 상기 데이터 처리장치에서 구동하는 운영체제에 대한 로그인 - 로그 아웃 기록, 상기 운영체제 또는 어플리케이션의 에러 메시지 기록, 실행파일 목록 및 상기 패킷 데이터의 입출 내역 중 적어도 하나에 대한 정보를 포함하는 것을 특징으로 하는 패킷 데이터의 무결성 보장을 위한 블랙박스를 이용하는 보안 시스템.
2. 제1항에 있어서,
   상기 블랙박스는,
   상기 외장매체에서 상기 제2암호키에 대한 제2복호키를 획득 시, 상기 제2복호키를 이용하여 상기 암호화 패킷 해시값 및 상기 암호화 로그 해시값을 복호화하여 상기 패킷 해시값 및 상기 로그 해시값을 획득하는 것을 특징으로 하는 패킷 데이터의 무결성 보장을 위한 블랙박스를 이용하는 보안 시스템.
3. 삭제
4. 제1항에 있어서,
   상기 데이터 처리장치는,
   운영체제, 어플리케이션, 및 데이터 중 적어도 하나에 대해 파일 또는 폴더 단위로 시스템파일 해시값을 생성하여 상기 블랙박스로 제공하는 것을 특징으로 하는 패킷 데이터의 무결성 보장을 위한 블랙박스를 이용하는 보안 시스템.
5. 제4항에 있어서,
   상기 데이터 처리장치는,
   상기 시스템파일 해시값 중 상기 블랙박스에 저장된 시스템파일 해시값과 차별되는 항목에 대해 변동 정보를 생성하여 상기 블랙박스로 제공하며,
   상기 블랙박스는 상기 변동정보를 상기 제2암호키에 의해 암호화하여 암호화 변동정보를 생성하고 상기 내장 메모리에 저장하는 것을 특징으로 하는 패킷 데이터의 무결성 보장을 위한 블랙박스를 이용하는 보안 시스템.
6. 데이터 처리장치 및 외부 저장장치와 접속되며, 외장매체와의 접속을 위한 터미널을 구비하는 블랙박스에 의해 수행되며,
   네트워크 장비를 통과하는 패킷 데이터 및 상기 데이터 처리장치의 시스템 로그를 암호화하기 위한 제1암호키를 제공하는 단계;
   상기 데이터 처리장치에 설치되는 운영체제, 어플리케이션 및 데이터 중 적어도 하나에 대해 파일 또는 폴더 단위로 시스템 파일 해시값을 생성하는 단계;
   상기 데이터 처리장치로부터 상기 시스템파일 해시값 중 변동이 발생한 파일 또는 폴더에 대한 변동정보를 수신하는 경우, 제2암호키를 이용하여 상기 변동정보에 대한 암호화 변동정보를 생성하는 단계;
   상기 암호화 변동정보를 상기 블랙박스에 저장하는 단계;
   상기 데이터 처리장치로부터 상기 패킷 데이터 및 상기 시스템 로그에 대한 해시값인 패킷 해시값 및 로그 해시값을 획득하는 단계; 및
   상기 제2암호키를 이용하여 상기 패킷 해시값 및 로그 해시값에 대한 암호화 패킷 해시값 및 암호화 로그 해시값을 생성하는 단계;를 포함하며,
   상기 외장매체가 상기 터미널에 접속할 때 제공되는 제2복호키를 통해 상기 패킷 해시값 및 상기 로그 해시값에 대해 접근하는 것을 특징으로 하는 패킷 데이터의 무결성 보장을 위한 블랙박스를 이용하는 보안시스템 제어방법.
7. 삭제
8. 삭제
9. 제6에 있어서,
   상기 암호화 변동정보는,
   상기 외장매체가 상기 터미널에 접속할 때, 제공되는 제2복호키를 통해 복호화되는 것을 특징으로 하는 패킷 데이터의 무결성 보장을 위한 블랙박스를 이용하는 보안시스템 제어방법.

Images