KR101896453B1 - 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템 - Google Patents

원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템 Download PDF

Info

Publication number
KR101896453B1
KR101896453B1 KR1020180040517A KR20180040517A KR101896453B1 KR 101896453 B1 KR101896453 B1 KR 101896453B1 KR 1020180040517 A KR1020180040517 A KR 1020180040517A KR 20180040517 A KR20180040517 A KR 20180040517A KR 101896453 B1 KR101896453 B1 KR 101896453B1
Authority
KR
South Korea
Prior art keywords
access control
packet
server
gateway
address
Prior art date
Application number
KR1020180040517A
Other languages
English (en)
Inventor
신호철
김대옥
김희천
염창주
이철웅
Original Assignee
주식회사 넷앤드
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 넷앤드 filed Critical 주식회사 넷앤드
Priority to KR1020180040517A priority Critical patent/KR101896453B1/ko
Application granted granted Critical
Publication of KR101896453B1 publication Critical patent/KR101896453B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/141—Setup of application sessions

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

사용자 단말에 설치되어, 서버와 통신하는 통신 어플리케이션의 패킷을 접근통제 게이트웨이로 우회하여 중계하는, 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템에 관한 것으로서, 상기 사용자 단말에 설치되는 네트워크 드라이버로서, 패킷을 수신하여 사전에 저장된 서버주소 리스트로 필터링하고, 필터링된 패킷을 변조하는 네트워크 장치 드라이버; 상기 접근통제 게이트웨이에 접근하여 사용자 인증을 수행하고, 접근할 수 있는 서버에 대한 서버주소 리스트를 수신하는 접근통제 클라이언트; 및, 상기 접근통제 클라이언트에 의해 실행되고 상기 서버주소 리스트를 수신하고, 상기 네트워크 장치 드라이버에 서버주소 리스트 및 자신의 주소(이하 프록시 주소)를 전송하는 접근통제 클라이언트 프록시를 포함하고, 상기 네트워크 장치 드라이버는 필터링된 패킷의 목적주소를 상기 프록시 주소로 변조하고, 상기 접근통제 클라이언트 프록시는 상기 접근통제 게이트웨이와 세션을 설정하고, 변조된 패킷을 수신하여 상기 세션으로 전송하는 구성을 마련한다.
상기와 같은 접근통제 시스템에 의하여, 기존 접근 방식의 변화로 인한 혼선, 정해진 원격 터미널 어플리케이션만 사용하는 문제, 그리고, 비암호화 통신 프로토콜을 사용 시 사용자 단말과 접근통제 시스템과의 보안 문제를 해결할 수 있다.

Description

원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템 { A gateway-based access control system for improving security and reducing constraint of remote access application }
본 발명은 기관의 주요 정보가 적재된 서버의 보안 관리를 위하여, 사용자가 서버에 원격으로 접근하여 작업하는 행위를 보안 정책에 의거하여 통제하고, 추후 감사를 위하여 작업 이력을 적재하는, 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템에 관한 것이다.
또한, 본 발명은 접근통제 시스템이 구축되어, 사용자 단말에서 서버에 접근 시 접근통제 시스템을 경유하더라도 기존의 접근 방식과 동일한 방식을 사용하고 원격접근 터미널 어플리케이션의 제약이 없으며, 비 암호화 통신을 사용 시 사용자 단말과 접근통제 시스템 통신 구간에 암호화 통신이 되도록 구성하는, 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템에 관한 것이다.
현재 국내외 개인정보 유출 및 기관의 서비스 파괴 공격 등의 방어를 위해 서버 원격접근을 사용자 권한별로 통제하는 접근통제 시스템을 도입하여 운영 중이다. 그런데 종래기술에 의한 서버 접근통제 시스템은 사용자 단말과 서버 사이에서 보안 감사를 수행한다[특허문헌 1]. 즉, 종래기술에 따른 접근통제 시스템의 논리적인 구성은 도 1에 나타낸 바와 같다.
즉, 사용자 단말(1)이 서버(3)에 접근하기 위해서는 접근통제 시스템(2)을 경유해야 접근이 가능하고, 서버(3)로 직접 접근하는 세션은 방화벽 등에 의하여 차단한다. 이때, 사용자 단말(1)은 서버(3)에 원격 접근하여 작업을 하기 위해, 접근통제 시스템(2)을 경유해야 하므로, 종래의 시스템은 전용 클라이언트를 제공하여, 원격 접근 시 접근통제 시스템(2)을 경유하도록 유도하는 방식을 사용한다.
이러한 방식은 접근통제 시스템의 전용 클라이언트와 연계되어 지원이 가능한 일부 터미널 어플리케이션만 사용이 가능하고, 연계 지원이 안되는 터미널 어플리케이션은 사용하지 못하는 문제가 존재한다. 또한, 비 암호화 통신(Telnet, FTP,…)을 사용하는 경우 사용자 단말(1)과 접근통제 시스템(2) 간의 통신이 감청이 될 수 있는 보안적인 위험을 가지고 있다.
도 2에서 보는 바와 같이, 종래의 접근통제 시스템은 전용 접근통제 클라이언트 앱을 통해서 다음과 같이 수행된다.
[단계 S1] 먼저, 접근할 서버(3)를 선택하여 더블 클릭을 하면, 연계가 가능한 터미널 어플리케이션이 접근통제 시스템(2)을 접근 목적지로 구성된 파라메터와 함께 실행되어 접근통제 시스템(2)에 접속된다.
이때, 구성되는 파라메터를 예시하면 다음과 같다.
예) putty -target_ip=[접근통제 시스템 IP Address], -protocol=TELNET, -port=23, …
[단계 S2] 다음으로, 접근통제 시스템(2)은 사용자 단말(1)의 연결 요청을 수락하고, 접근에 대한 인가 여부를 확인 및 접근 이력을 기록한다.
[단계 S3] 접근통제 시스템(2)은 실제 서버(3)와의 신규 접속을 수행하며, 사용자 단말(1)과 서버(3)와의 통신 내용을 중계하는 역할을 수행한다.
상기와 같은 종래의 접근 프로세스는 접근통제 시스템이 구축되기전 사용자가 터미널 어플리케이션을 실행하여 원격 접근 명령어와 서버 IP 주소(Address)를 입력(ex: telnet 192.168.0.1)하여 접근하는 방식과 달라 사용에 혼선이 발생하는 문제가 있다.
또한, 종래 기술에 의한 접근통제 시스템에서는, 사용 가능한 터미널 어플리케이션이 파라메터 방식으로 접속 경로를 변경할 수 있는 일부 원격 접근 터미널 어플리케이션(putty, secureCRT,..)으로 한정된다. 즉, 파라메터로 접속 경로를 변경할 수 없는 원격 접근 터미널 어플리케이션(Eclipse, Ultra Edit,…)의 경우 사용할 수 없는 문제가 발생한다.
또한 서버(3)에 접근 시 비 암호화 통신수단, 즉, Telnet, FTP와 같은 프로토콜로 접근할 경우, 사용자 단말(1)과 접근통제 시스템(2) 사이에 악의적 의도를 가진 해커에 의해 통신 내용이 감청 또는 변조될 수 있는 보안 문제를 가지고 있다.
다시 말하면, 종래의 기술은 관리대상 서버에 접근하기 위하여 사용자는 접근통제 시스템과 연계가 가능한 일부 터미널 어플리케이션만을 사용해야 하는 한계가 존재한다. 이로 인해 접근통제 시스템과 연계가 불가한 터미널 어플리케이션을 꼭 사용해야 하는 기관이나 사용자에게는 접근통제 시스템의 보안 기능을 적용할 수 없는 문제가 존재하며, 또한 비 암호화 통신을 이용하여 관리대상 서버에 접근 할 경우 사용자 단말과 접근통제 시스템과의 보안 문제가 존재한다.
한국등록특허 제10-1143847호(2012.05.10.공고)
본 발명의 목적은 상술한 바와 같은 문제점을 해결하기 위한 것으로, 사용자 단말에서 서버에 접근 시 접근통제 시스템을 경유하더라도 기존의 접근 방식과 동일한 방식을 사용하고 원격접근 터미널 어플리케이션의 제약이 없으며, 비 암호화 통신을 사용 시 사용자 단말과 접근통제 시스템 통신 구간에 암호화 통신이 되도록 구성하는, 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템을 제공하는 것이다.
상기 목적을 달성하기 위해 본 발명은 사용자 단말에 설치되어, 서버와 통신하는 통신 어플리케이션의 패킷을 접근통제 게이트웨이로 우회하여 중계하는, 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템에 관한 것으로서, 상기 사용자 단말에 설치되는 네트워크 드라이버로서, 패킷을 수신하여 사전에 저장된 서버주소 리스트로 필터링하고, 필터링된 패킷을 변조하는 네트워크 장치 드라이버; 상기 접근통제 게이트웨이에 접근하여 사용자 인증을 수행하고, 접근할 수 있는 서버에 대한 서버주소 리스트를 수신하는 접근통제 클라이언트; 및, 상기 접근통제 클라이언트에 의해 실행되고 상기 서버주소 리스트를 수신하고, 상기 네트워크 장치 드라이버에 서버주소 리스트 및 자신의 주소(이하 프록시 주소)를 전송하는 접근통제 클라이언트 프록시를 포함하고, 상기 네트워크 장치 드라이버는 필터링된 패킷의 목적주소를 상기 프록시 주소로 변조하고, 상기 접근통제 클라이언트 프록시는 상기 접근통제 게이트웨이와 세션을 설정하고, 변조된 패킷을 수신하여 상기 세션으로 전송하는 것을 특징으로 한다.
또, 본 발명은 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템에 있어서, 상기 네트워크 장치 드라이버는 수신된 패킷의 목적주소가 상기 서버주소 리스트 내에 있는 주소로 판단되면, 상기 프록시 주소로 패킷의 목적주소를 변경하여 변조하는 것을 특징으로 한다.
또, 본 발명은 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템에 있어서, 상기 접근통제 클라이언트 프록시는 수신된 패킷이 서버와 세션을 설정하기 위한 패킷인 경우, 상기 접근통제 게이트웨이와 세션을 설정하되, 해당 서버와 통신을 중계하기 위한 세션을 설정하고, 원래 목적주소가 해당 서버의 주소인 변조된 패킷을 설정된 세션으로 전송하는 것을 특징으로 한다.
또, 본 발명은 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템에 있어서, 상기 접근통제 클라이언트 프록시는 암호화 알고리즘을 이용하여 상기 접근통제 게이트웨이와 암호화 세션을 설정하는 것을 특징으로 한다.
또, 본 발명은 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템에 있어서, 상기 접근통제 클라이언트 프록시는 상기 네트워크 장치 드라이버와 데이터 통신을 할 수 있는 채널을 설정하고, 변조된 패킷을 수신할 때 상기 채널을 통해 해당 변조된 패킷의 원래 목적주소인 서버주소를 전달받는 것을 특징으로 한다.
상술한 바와 같이, 본 발명에 따른 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템에 의하면, 기존 접근 방식의 변화로 인한 혼선, 정해진 원격 터미널 어플리케이션만 사용하는 문제, 그리고, 비암호화 통신 프로토콜을 사용 시 사용자 단말과 접근통제 시스템과의 보안 문제를 해결할 수 있는 효과가 얻어진다.
즉, 본 발명에 의하면, 원격접근 터미널 어플리케이션에 대한 제약이 모두 해소되어, 종래기술에 의해 적용하지 못했던 접근통제 보안 기술을 적용할 수 있으며, 사용자 단말과 접근통제 시스템 간에 암호화 통신이 적용되어 비 암호화 통신 프로토콜에 대한 보안 기능 또한 제공할 수 있다.
도 1은 종래기술에 따른 접근통제 시스템의 논리적인 구성을 나타낸 도면.
도 2는 종래기술에 따른 접근통제 시스템의 접근 통제 방법을 도시한 도면.
도 3은 본 발명을 실시하기 위한 전체 시스템에 대한 구성도.
도 4는 본 발명의 일실시예에 따른 접근통제 클라이언트 프록시의 세부 구성도.
도 5는 본 발명의 일실시예에 따른 네트워크 장치 드라이버의 세부 구성도.
도 6은 본 발명의 일실시예에 따른 접근 통제 시스템의 기능 실행을 설명하는 흐름도.
도 7은 본 발명의 일실시예에 따른 접근 통제 시스템의 접근 통제 방법을 설명하는 흐름도.
이하, 본 발명의 실시를 위한 구체적인 내용을 도면에 따라서 설명한다.
또한, 본 발명을 설명하는데 있어서 동일 부분은 동일 부호를 붙이고, 그 반복 설명은 생략한다.
먼저, 본 발명을 실시하기 위한 전체 시스템의 구성의 예들에 대하여 도 3을 참조하여 설명한다.
도 3에서 보는 바와 같이, 본 발명을 실시하기 위한 전체 시스템은 사용자 단말(10), 서버(40), 및, 서버(40)의 접근을 통제하는 접근통제 게이트웨이(30)로 구성된다. 또한, 사용자 단말(10)에는 통신 어플리케이션(20), 네트워크 장치 드라이버(50), 접근통제 클라이언트(60), 및, 접근통제 클라이언트 프록시(70)가 설치된다. 또한, 사용자 단말(10)과 접근통제 게이트웨이(30)는 네트워크(미도시)를 통해 연결된다.
사용자 단말(10)은 사용자가 사용하는 컴퓨팅 단말로서, PC, 노트북, 태플릿PC 등이다. 또한, 사용자 단말(10)은 네트워크(미도시)를 통해 서버(40) 또는 접근통제 게이트웨이(30)에 연결할 수 있는 네트워크 기능을 보유한다. 또한, 사용자 단말(10)은 어플리케이션 등 프로그램 시스템이 설치되어 실행될 수 있다.
다음으로, 통신 어플리케이션(20)는 사용자 단말(10)에 설치되는 프로그램 시스템으로서, 서버(40)에 접속하기 위한 통신 어플리케이션, 터미널 어플리케이션이다. 즉, 클라이언트는 통신을 하기 위한 통신 프로토콜 기능을 구비한다. 통신 어플리케이션(20)은 실제로 접근통제 게이트웨이(30)를 통해 서버(40)에 접속한다.
특히, 통신 어플리케이션(20)는 통신 프로토콜을 통해 서버(40)에 접속하고 통신을 수행한다. 예를들어, 통신 어플리케이션(20)는 원격접속 프로토콜인 텔넷(TELNET)을 이용하거나, 파일 전송을 위한 FTP(File Transfer Protocol)의 프로토콜에 의한 쉘(Shell)을 통해 작업을 수행한다. 다시 말하면, 통신 어플리케이션(20)은 사용자가 서버(40)에 원격 접근하기 위한 다양한 터미널 툴을 의미한다. 종래기술에 따른 접근통제 방식에서는 파라메터 형식을 지원하는 몇가지 툴(putty, securecrt, xshell,..)만 지원할 수 있으나, 본 발명에서는 사용자가 사용하는 어떠한 툴도 지원이 가능하다.
특히, 통신 어플리케이션(20)는 통신을 수행하는 사용자 레벨의 어플리케이션이고, 통신을 위한 시스템콜(system call)을 운영체제(또는 운영 시스템)에 요청하면, 사용자 단말(10)의 운영체제는 해당 시스템콜 요청을 처리하는데 이때, 네트워크 드라이버를 통해 네트워크에 접속한다. 즉, 통신 어플리케이션(20)은 시스템 레벨의 네트워크 드라이버를 통해 네트워크에 접속하여 통신을 수행한다. 따라서 통신 어플리케이션(20)이 송수신하는 모든 데이터 또는 데이터 패킷은 네트워크 드라이버(미도시)를 거쳐 처리된다(송수신 된다).
다음으로, 서버(40)는 사용자 단말(10) 또는 통신 어플리케이션(20)으로부터 네트워크(미도시)를 통해 접속 요청을 받고, 요청에 따라 접속을 허용하여 통신을 수행시켜준다. 이때, 바람직하게는, 서버(40)는 통신 프로토콜을 통해 통신 어플리케이션(20)과 통신을 수행한다.
또한, 서버(40)는 통신 프로토콜을 이용하여, 통신 어플리케이션(20)으로부터 명령문 등 메시지를 수신하고, 해당 메시지의 명령 또는 요청을 수행하고 그 결과(또는 결과 메시지)를 통신 어플리케이션(20)에 전송한다. 이때, 통신 어플리케이션(20)과, 서버(40) 사이에는 세션이 형성되고, 세션 내에서 접속 요청 또는 메시지, 결과내용 등이 통신 프로토콜을 통해 데이터 패킷으로 송수신된다.
한편, 위에서 설명된 서버(40)와 통신 어플리케이션(20)과의 통신은 직접 연결되어 처리되지 않고, 접근통제 게이트웨이(30)를 통해 연결된다. 즉, 통신 어플리케이션(20)의 요청 메시지는 접근통제 게이트웨이(30)를 통해 서버(40)로 전달되고, 또한, 서버(40)의 응답 메시지도 접근통제 게이트웨이(30)를 통해 통신 어플리케이션(20)에 전달된다.
한편, 바람직하게는, 서버(40)는 방화벽(firewall)이 설치되고, 접근통제 게이트(30)로부터 수신되는 데이터(또는 데이터 패킷)만을 통과시키도록, 통제 정책을 설정할 수 있다. 따라서 사용자 단말(10) 또는 통신 어플리케이션(20)은 직접 서버(50)에 접근할 수 없고 반드시 접근통제 게이트웨이(30)를 통해서만 서버(40)에 접근할 수 있다. 만약 게이트웨이(30)로 패킷 경로를 변경하지 않고 패킷 그대로 서버(40)로 전송되면, 접근통제 구축 조건인 게이트웨이 이외의 서버 접근 경로는 모두 차단하는 방화벽 정책에 의하여 차단되어 접근을 할 수 없다.
다음으로, 네트워크 장치 드라이버(50)는 사용자 단말(10)의 운영체제에 설치되는 네트워크 필터 드라이버로서, 송수신되는 통신 패킷들을 모니터링하고 서버주소 리스트에 속하는 패킷을 탐지하여 변조한다.
일반적으로, 네트워크 드라이버는 사용자 단말(10)의 운영체제(OS)의 시스템 프로그램으로서, 사용자 프로그램에서 요청되는 네트워크 관련 시스템콜을 처리한다. 즉, 네트워크 드라이버는 서버(40)와 통신을 수행해주는 시스템 프로그램으로서, 서버(40)와 세션을 설정하고, 전송할 데이터를 데이터 패킷으로 만들어 서버(40)에 전송하고, 수신한 데이터 패킷을 데이터로 복원한다. 즉, 네트워크를 이용하는 모든 사용자 프로그램은 시스템 프로그램인 네트워크 드라이버를 통해, 데이터 패킷 차원으로 데이터를 송수신한다.
네트워크 장치 드라이버(50)는 네트워크 드라이버의 일부로서, 네트워크 드라이버의 중간에서 필터링 또는 후킹하는 드라이버이며, 통신 어플리케이션(20)에서 전송할 패킷을 검사한다.
이때, 패킷의 헤더정보에는 소스정보(또는 소스주소)와 목적정보(또는 목적주소)로 구성된다. 소스주소는 패킷을 전송하는 소스(source) 또는 통신 어플리케이션(20)의 IP주소와 포트로 구성된다. 또한, 목적주소는 목적(destination) 또는 서버(40)의 IP주소와 포트로 구성된다.
네트워크 장치 드라이버(50)는 데이터 패킷을 검사하여 서버주소 리스트 내의 주소로 전송하는 패킷인지 확인하고, 확인되면 해당 데이터 패킷을 접근통제 클라이언트 프록시(70)의 주소로 패킷의 목적지를 변경한다. 즉, 네트워크 장치 드라이버(50)는 보안 관리가 필요한 서버(40)에 접근하는 데이터 패킷인 경우, 해당 데이터 패킷의 목적지를 변경함으로써, 직접 서버(40)로 전송하지 않고 접근통제 클라이언트 프록시(70)로 우회시킨다.
한편, 네트워크 장치 드라이버(50)는 접근통제 클라이언트 프록시(70)로부터 서버주소 리스트와, 클라이언트 프록시(70)의 주소(이하 프록시 주소)를 수신하여 저장해둔다. 바람직하게는, 네트워크 장치 드라이버(50)는 실행 전에 서버주소 리스트와 프록시 주소를 수신하여 저장해두고, 실행되면 데이터 패킷을 서버주소 리스트로 목적주소(destination address)를 필터링하여, 필터링된 데이터 패킷의 목적주소를 프록시 주소로 변조(변경)한다.
다음으로, 접근통제 클라이언트(60)는 사용자 단말(10)에 설치되는 프로그램(또는 어플리케이션)으로서, 접근통제 게이트웨이(30)에 대한 접근을 위해 사용자 인증을 수행하고, 사용자가 접근할 수 있는 서버(40)에 대한 정보를 사용자에게 제공해준다.
구체적으로, 사용자는 접근통제 클라이언트(60)를 실행하여 접근통제 게이트웨이(30)로부터 사용자 인증을 받는다. 사용자 인증 후, 접근통제 클라이언트(60)는 접근통제 게이트웨이(30)로부터, 게이트웨이를 통해 접근 가능한 서버 정보(이하 서버주소 리스트)를 전달받는다.
접근 가능한 서버주소 리스트는 서버 IP주소, 프로토콜 포트번호 등의 리스트를 획득한다. 예를 들어, { 192.168.0.1:23, 192.168.2.1:23, ... } 등의 리스트를 획득한다.
또한, 사용자 인증이 되면, 접근통제 클라이언트(60)는 접근가능 서버주소 리스트와 함께, 접근통제 클라이언트 프록시(70)를 실행시킨다. 즉, 프록시(70)에 서버주소 리스트를 주고 실행시킨다. 접근통제 클라이언트 프록시(70)는 서버(40)와의 통신 세션에서 우회되는 프록시(proxy) 기능을 수행한다.
다음으로, 접근통제 클라이언트 프록시(70)는 네트워크 장치 드라이버(50)를 실행시키고, 서버주소 리스트 및 자신의 주소(또는 프록시 주소)를 전달하여 필터링하고 변조하게 하고, 네트워크 장치 드라이버(50)로부터 변조된 패킷을 수신하여 접근통제 게이트웨이(30)로 중계한다. 즉, 접근통제 클라이언트 프록시(70)는 사용자 단말(10)에 설치되어, 패킷 또는 통신 세션을 중계하는 프록시 기능을 수행하는 것으로 볼 수 있다. 특히, 바람직하게는, 접근통제 클라이언트 프록시(70)는 사용자 단말(10)에서 독립적인 프로세스로서 작동되는 프로그램 시스템이다.
특히, 네트워크 장치 드라이버(50)가 필터링 해야하는 패킷이 감지될 경우 패킷의 목적지 주소를 프록시 주소로 변경하고, 네트워크 인터페이스 카드(Network Interface Card) 등으로 전달하는 역할만 수행하면, 목적지 주소가 변경된 패킷은 네트워크 카드(Network Interface Card)를 거쳐 로컬에서 대기하는 접근통제 클라이언트 프록시(70)로 전달되게 된다.
앞서 설명한 바와 같이, 네트워크 장치 드라이버(50)가 실행되어 구동되면, 사용자에게 권한이 할당된 서버(40)에 원격 접근 패킷을 전송하려는 것을 감지하고, 접근통제 클라이언트 프록시(70)로 패킷의 경로를 바꿔 전송하게 시킨다.
이때, 접근통제 클라이언트 프록시(70)는 네트워크 장치 드라이버(50)로부터 변조된 패킷을 수신하고, 수신한 패킷을 접근통제 게이트웨이(30)로 전송한다. 즉, 접근통제 클라이언트 프록시(70)는 서버(40)로 전송하려는 패킷을 수신하여, 접근통제 게이트웨이(30)로 우회시킨다.
한편, 이를 위해, 접근통제 클라이언트 프록시(70)는 접근통제 게이트웨이(30)와 통신 암호화 협상(RSA+AES)을 통한 안전한 세션을 수립하고, 수립된 세션을 통해 패킷을 송수신한다. 바람직하게는, 프록시(70)는 패킷을 수신하면 상기 안전한 세션을 수립하고, 전송된 패킷 및 그 이후로 전달되는 패킷들을 수립된 세션으로 전송한다. 즉, 프록시(70)와 게이트웨이(30) 사이에는 RSA 암호 알고리즘, AES(Advanced Encryption Standard) 알고리즘 등 암호 알고리즘을 이용한 암호화 세션을 형성하여, 암호화 통신을 수행한다.
또한, 접근통제 클라이언트 프록시(70)는 수신된 패킷을 접근통제 게이트웨이(30)에 전달해야 하지만, 해당 패킷이 실제 어느 서버에 접근해야 하는지에 대한 목적지 정보를 접근통제 게이트웨이(30)에 전달하지 못할 경우 접근통제 게이트웨이(30)는 전달받은 패킷을 어디가 최종 목적지인지 알 수 없어 패킷을 중계할 수 없게 된다. 따라서, 접근통제 클라이언트 프록시(70)는 패킷이 수신되면, 실제 목적지 정보를 질의하기 위해, 패킷의 소스(Source) 정보 (IP, Client port 번호)를 네트워크 장치 드라이버(50)와 연결된 채널(또는 인터페이스 Interface)을 통해 전달하고, 네트워크 장치 드라이버(50)는 자신이 변조한 패킷의 실제 목적지를 소스(Source) 정보로 탐색하여 실제 목적지 정보를 연결된 채널로 반환하게 된다.
또한, 이때, 접근통제 클라이언트 프록시(70)는 수신된 변조 패킷의 원래 최종 목적지(또는 패킷의 원래 목적주소)를 네트워크 장치 드라이버(50)로부터 채널을 통해 획득한다. 특히, 신규 접속 요청(또는 연결 요청) 이벤트가 발생되면, 네트워크 장치 드라이버(50)에 실제 목적주소를 질의하여 수신한다.
그리고 접근통제 클라이언트 프록시(70)는 해당 패킷의 소스 주소(source address)에 대하여, 연결 요청과 같은 세션을 형성하여, 이후 패킷을 송수신한다.
다음으로, 접근통제 게이트웨이(30)는 사용자 단말(10) 또는 통신 어플리케이션(20)과 서버(40) 사이의 네트워크(미도시) 상에 설치되는 게이트웨이로서, 통신 어플리케이션(20)과 서버(40) 사이를 모니터링하여 중계하거나 차단한다. 이때, 접근통제 게이트웨이(30)는 통신 어플리케이션(20)과 직접 통신하지 않고, 접근통제 클라이언트 프록시(70)를 우회한다. 즉, 접근통제 게이트웨이(30)가 세션을 직접 설정하고 데이터 통신을 수행하는 대상은 접근통제 클라이언트 프록시(70)이다.
즉, 접근통제 게이트웨이(30)는 사용자 단말(10) 상의 접근통제 클라이언트 프록시(70)로부터 수신되는 메시지(또는 데이터 패킷)를 수신하여 서버(40)에 전달하고, 서버(40)로부터 결과(또는 데이터 패킷)를 수신하여 접근통제 클라이언트 프록시(70)로 전달한다.
이때, 접근통제 게이트웨이(30)는 수신되는 메시지를 분석하고, 해당 메시지에 내포하는 명령어 등의 차단 여부를 결정하거나, 통신 내용을 모니터링하고 저장한다. 즉, 사전에 정해진 보안 정책에 따라, 해당 메시지를 서버(40)에 전송하거나 차단하는 등 모니터링하고, 통신 내용을 로그에 기록하고 저장한다.
바람직하게는, 접근통제 게이트웨이(30)는 메시지를 기반으로 사용자 권한별 보안 정책에 따라 인가 여부를 결정하고, 인가된 사용 요청일 경우 실제 서버에 신규로 통신(또는 세션)을 연결하고, 사용자 단말과의 통신을 중계한다. 따라서 접근통제 게이트웨이(30)는 실제 서버(40)에 접근하여 통신을 중계한다.
다음으로, 본 발명의 일실시예에 따른 접근통제 게이트웨이(30)의 세부 구성에 대하여 도 3을 참조하여 보다 구체적으로 설명한다.
앞서 설명한 바와 같이, 본 발명은 사용자 단말(10)의 통신 어플리케이션(20)에서 사용되는 원격 접근 툴의 제약없이 서버(40)에 원격 접근하려는 기술이다. 즉, 서버(40)에 원격 접근하려는 데이터 통신을 접근통제 게이트웨이(30)로 우회시킨다. 이때, 접근통제 게이트웨이(30)는 대상 서버(40)와의 통신을 중계하고, 사용자의 권한별 서버에 사용하는 명령어에 대한 인허가와 작업 전체 내역을 저장할 수 있도록 구성된다.
구체적으로, 사용자 단말에서 원격 접근 터미널 어플리케이션 등 통신 어플리케이션(20)을 통해 서버(30)에 접근하려고 시도하면, 네트워크 장치 드라이버(50)가 서버(30)에 원격접근하는 패킷을 감지하여 접근통제 클라이언트 프록시(70)로 우회하도록 패킷의 목적지를 변경(변조)한다. 접근통제 클라이언트 프록시(70)가 접근통제 게이트웨이(30)와 보안 세션을 설정하여 패킷을 송수신한다. 그러면 접근통제 게이트웨이(30)에서, 원격 접근 터미널 앱(App.) 등 통신 어플리케이션(20)의 제약 및 작업 패턴의 변경 없이 접근통제 보안 기능이 수행된다.
이를 위해, 도 3의 게이트웨이(30)의 세부 구성에서 보는 바와 같이, 본 발명에 따른 접근통제 게이트웨이(30)는 접근통제에 대한 사용자 인증을 수행하는 인증 권한정책부(31), 접근통제 클라이언트 프록시(70)와 암호화 통신을 수행하는 클라이언트 프록시 핸들러(32), 및, 서버(40)와 세션을 설정하여 통신을 수행하는 서버 프록시 핸들러(34)로 구성된다. 또한, 접근 이력 등을 저장하는 로그 저장부(33)를 더 포함하여 구성될 수 있다.
먼저, 인증 권한정책부(31)는 사용자 단말(10)의 접근통제 클라이언트(60)와 데이터 송수신을 하고, 사전에 정해진 권한 정책에 따라 사용자 인증을 수행한다. 그리고 사용자 인증이 성공하면, 해당 사용자가 통신할 수 있는 서버(40) 정보(또는 서버주소 리스트)를 접근통제 클라이언트(60)에 전송한다.
이때 사용자에 대한 서버(40)에서의 인증은 서버 정책(ID/PWD, 인증서 기반)에 따라 별도로 수행된다. 즉, 접근통제 게이트웨이(30)에서 인증이 되었더라도, 각 서버(40)에서 사용자 인증을 별도로 처리한다는 것을 의미한다. 접근통제 게이트웨이(30)에서 사용자 인증을 수행하는 이유는 해당 사용자가 서버에 접근 시, 사용자 접근권한 유무에 따라 접속 중계 여부를 판단하기 위한 것이다.
다시 말하면, 사용자는 접근통제 게이트웨이 인증을 통해서 자신이 접근 가능한 서버주소 리스트를 전송받고, 자신이 권한을 갖은 서버에 접근할 때 접근통제 게이트웨이가 접속을 중계한다. 이때 서버 별로 설정된 인증 정책에 의하여 사용자는 적절한 인증(ID/PWD)을 수행하여야, 각 서버에 접속할 수 있다.
다음으로, 클라이언트 프록시 핸들러(32)는 접근통제 클라이언트 프록시(70)와 암호화 협상(RSA + AES)을 통한 안전한 세션을 수립하고, 수립된 세션을 통해 데이터를 송수신한다.
또한, 서버 프록시 핸들러(34)는 클라이언트 프록시 핸들러(32)와 형성된 세션(이하 클라이언트용 세션)에 대응되는 세션(이하 서버용 세션)을 서버(40)와 형성한다. 즉, 클라이언트용 세션과 서버용 세션은 접근통제 클라이언트 프록시(70)와 서버(40) 사이를 중계하기 위한 세션들이다. 또한, 접근통제 클라이언트 프록시(70)는 통신 어플리케이션(20)을 프록싱하기 때문에, 결국 클라이언트용 세션과 서버용 세션은 통신 어플리케이션(20)과 서버(40) 사이를 중계하는 세션들이다.
다음으로, 로그 저장부(33)는 클라이언트 프록시 핸들러(32)와 서버 프록시 핸들러(34) 사이에서 송수신되는 메시지를 저장하거나, 통신 어플리케이션(20)이 서버(40)에 접근하는 이력 등을 저장한다. 상기와 같은 통신 메시지는 저장되어, 추후 감사 자료로 활용할 수 있도록 한다.
다음으로, 본 발명의 일실시예에 따른 접근통제 클라이언트 프록시(70)의 구성에 대하여 도 4를 참조하여 보다 구체적으로 설명한다.
도 4에서 보는 바와 같이, 본 발명에 따른 접근통제 클라이언트 프록시(70)는 드라이버 통신부(71), 패킷전송부(72), 및, 패킷수신부(73)으로 구성된다.
먼저, 드라이버 통신부(71)는 네트워크 장치 드라이버(50)와 통신하여, 패킷 관련 정보를 교환하는 기능을 수행한다. 즉, 패킷 관련 정보는 패킷을 검출하기 위한 필터링 정보(또는 서버주소 리스트), 실제 패킷 목적지 정보(또는 프록시 주소) 등을 포함한다.
드라이버 통신부(71)는 네트워크 장치 드라이버(50)와 채널을 설정하고, 채널을 통해 데이터를 송수신한다. 클라이언트 프록시(70)가 네트워크 장치 드라이버(50)를 실행시킬 때 얻은 핸들(handle) 등을 통해 형성되는 채널이다.
다음으로, 패킷전송부(72)는 접근통제 게이트웨이(30)와 데이터 통신을 담당하고, 특히, 접근통제 게이트웨이(30)와 암호화 통신 기능을 지원한다.
즉, 패킷전송부(72)는 접근통제 게이트웨이(30)와 암호화 세션을 설정하고, 설정된 세션을 통해 데이터 패킷을 송수신한다.
특히, 패킷전송부(72)는 다수의 통신 어플리케이션(20) 또는 어플리케이션(20)의 세션에 대응되는 접근통제 게이트웨이(30)와의 세션(또는 암호화 세션)을 설정한다. 이때, 패킷전송부(72)는 서버의 목적주소(예를 들어, 192.168.0.180:23)를 기반으로 세션의 프로토콜을 확인하고, 접근통제 게이트웨이(30)와 세션을 설정한다.
다음으로, 패킷수신부(73)는 네트워크 장치 드라이버(50)가 필터링하여 변조한 패킷을 수신하기 위해 대기(감청 Listen 상태)하고, 패킷이 수신되면 해당 패킷을 패킷전송부(72)에 전달한다.
이때, 패킷수신부(73)는 대상 서버(40)에 연결을 요청하는 연결 요청 패킷이 수신되면, 네트워크 장치 드라이버(50)에 요청하여 실제 접속하려는 목적지 정보, 즉, 대상서버의 정보(IP주소 및 접속포트 등)를 획득하고, 수신된 패킷과 함께 획득된 정보를 패킷전송부(72)에 전달한다.
특히, 패킷수신부(73)는 연결 요청 패킷을 수신할 때, 드라이버 통신부(71)를 통해 네트워크 장치 드라이버(50)로부터 원래의 목적주소(또는 서버주소, 서버의 IP주소 및 포트)를 획득한다. 이때, 패킷의 소스주소로 해당 패킷을 송신하는 통신 어플리케이션(또는 세션)을 식별한다.
즉, 패킷수신부(73)는 한 개의 포트만 오픈하고, 다수의 소스(또는 통신 어플리케이션 또는 세션)에 대하여 이벤트 방식으로 처리한다.
다음으로, 본 발명의 일실시예에 따른 네트워크 장치 드라이버(50)의 구성에 대하여 도 5를 참조하여 보다 구체적으로 설명한다.
도 5에서 보는 바와 같이, 본 발명에 따른 네트워크 장치 드라이버(50)는 패킷제어부(51), 어플리케이션 통신부(52), 및, 변조정책 저장부(73)로 구성된다.
먼저, 패킷제어부(51)는 운영체제의 커널 레벨에서 패킷이 네트워크 인터페이스 장치를 통해서 실제 전송되기 전에 패킷을 감시한다. 이때, 패킷제어부(51)는 변조정책 저장부(73)에 저장된 변조정책(또는 서버 리스트)를 참고하여, 관리대상 서버(40)에 접근하려는 패킷을 감지한다. 그리고 패킷제어부(51)는 해당 패킷을 감지하면, 패킷의 목적지 주소를 접근통제 클라이언트 프록시(70)의 패킷수신부(73)의 주소(또는 프록시 주소)로 변조하여 전달하는 역할을 수행한다.
다음으로, 어플리케이션 통신부(52)는 변조할 대상 패킷 정보(또는 서버주소 리스트)를 획득하거나, 변조한 패킷의 원래 최종 목적지 정보(또는 원래 목적주소, 서버주소)를 반환하기 위하여 접근통제 클라이언트 프록시(70)와의 통신하는 역할을 수행한다.
다음으로, 변조정책 저장부(73)는 접근통제 클라이언트 프록시(70)에서 전달받은 패킷 변조 정보(또는 서버주소 리스트)를 저장하고 패킷의 변조 여부를 판단하는 역할을 수행한다.
다음으로, 본 발명의 일실시예에 따른 게이트웨이 방식의 접근통제 방법을 도 6을 참조하여 설명한다.
먼저, 사용자는 접근통제 클라이언트(60)에 사용자 인증을 수행한다(S10).
다음으로, 접근통제 클라이언트(60)는 접근통제 게이트웨이(30)의 인증 권한정책부(31)에 인증 허가 및 접근 가능한 대상서버(40)의 서버주소 리스트를 획득한다(S20). 서버주소 리스트의 주소는 서버의 IP주소나 프로토콜 포트번호를 포함한다. 예를 들어, 서버주소는 192.168.0.1:23, 192.168.2:23 등으로 표현된다.
다음으로, 접근통제 클라이언트(60)는 인증이 성공하면 전달받은 사용자가 접근 가능한 대상서버 리스트(또는 서버주소 리스트)와 함께 접근통제 클라이언트 프록시(70)를 실행한다(S30).
다음으로, 접근통제 클라이언트 프록시(70)는 네트워크의 모든 통신을 감청하는 네트워크 장치 드라이버(50)를 실행하고, 양단 간의 통신을 위하여 채널 연결을 수립한다(S40). 그리고 사용자가 접근 가능한 서버주소 리스트와 자신의 패킷수신부(73)의 정보(또는 프록시 주소)를 전달하여, 패킷 모니터링과 변조 기능을 수행하도록 한다.
보다 구체적으로 전달되는 정보는 다음과 같은 형태로 전달된다. 즉, 서버주소와 변조할 주소(또는 프록시 주소)의 일례가 다음과 같다.
예) 192.168.0.1:23 -> 127.0.0.1:5001
상기 예시에 의하면, 192.168.0.1 번에 23번 포트로 전송되는 패킷이 탐지되면, 패킷의 목적지 주소를 접근통제 클라이언트 프록시(70)의 패킷수신부(73)의 주소(또는 프록시 주소)인 127.0.0.1 번에 5001번 포트로 변조하여 전송한다.
여기까지 사용자가 접근통제 게이트웨이(30)를 경유하여 서버(40)에 접근하기 위한 사전 작업이 완료되며, 실제 사용자의 작업은 접근통제 클라이언트(60)를 통해서 인증하는 작업만 진행한다.
다음으로, 사용자는 기존의 방식과 동일하기 터미널 어플리케이션을 실행하고, 서버로 접근을 시도한다(S50).
다음으로, 네트워크 장치 드라이버(50)는 연결을 시도하는 모든 패킷을 감시하며, 앞서 단계(S40)에서 전달받은 정보(서버주소)와 일치하는 패킷이 존재할 경우 패킷의 목적지 정보(목적지 주소)를 접근통제 클라이언트 프록시(70)의 패킷수신부(73)의 주소(또는 프록시 주소)로 변경하여 전송한다(S60).
다음으로, 클라이언트 프록시(70)는 패킷이 수신되면, 접근통제 게이트웨이(30)와 통신 암호화 협상(RSA + AES)을 통한 안전한 세션을 수립한다(S70). 또한, 전달받은 패킷의 원래 최종 목적지(또는 목적하는 서버주소)를 네트워크 장치 드라이버(50)와 수립된 채널을 통해서 획득하여, 접근통제 게이트웨이(30)에 전달받은 패킷 정보와 함께 전달한다.
이때, 클라이언트 프록시(70)는 연결 요청, 즉, 신규 접속(connect) 요청을 받을 때, 네트워크 장치 드라이버(50)에 실제 목적주소(또는 서버의 목적주소)를 요청하여 수신한다. 이후 세션이 수립되면, 추가적인 목적주소에 대한 질의를 하지 않는다.
다음으로, 접근통제 게이트웨이(30)의 클라이언트 프록시 핸들러(32)는 패킷 정보를 수신하고, 사용자의 작업이력을 저장하기 위해 로그저장부(33)에게 정보를 전송하고, 서버 프록시 핸들러(34)에게 대상 서버(40)에 접근을 요청한다(S80).
다음으로, 서버 프록시 핸들러(34)는 실제 서버(40)에 신규 접속을 수립하고, 발생하는 패킷을 중계하여 사용자 단말(10)과 서버(40)와의 통신이 이루어진다(S90).
보다 구체적인 방법의 흐름이 도 7에 도시되고 있다.
즉, 통신 어플리케이션(20)은 네트워크 장치 드라이버(50)에 의하여 패킷이 변조되어 접근통제 클라이언트 프록시(70)와 세션이 형성된다. 또한, 접근통제 클라이언트 프록시(70)와 접근통제 게이트웨이(30) 사이와, 접근통제 게이트웨이(30)와 서버(40) 사이에 각각 세션이 형성된다. 따라서 상기와 같이 성립된 세션들을 따라 데이터 패킷은 통신 어플리케이션(20), 네트워크 장치 드라이버(50), 접근통제 클라이언트 프록시(70), 접근통제 게이트웨이(30), 서버(40) 간에 송수신된다.
특히, 통신 어플리케이션(20)의 입장에서 패킷을 대상 서버(192.168.2.180: 23)로 보내는 것으로 알고 있으나, 네트워크 장치 드라이버(50)가 패킷을 변조하여, 의도와 다르게 클라이언트 프록시(70)와 세션을 맺게 되고, 클라이언트 프록시(70)-접근통제 게이트웨이(30)-서버(40) 간의 세션들이 수립된다.
본 발명으로 사용자는 사용자 단말(10)에서 접근통제 클라이언트(60)를 통해서 인증 작업만 수행하면, 기존의 방식으로 접근통제를 경유하여 대상 서버(40)에 원격작업 수행이 가능하다.
사용자가 임의의 터미널 어플리케이션 등 통신 어플리케이션(20)을 사용하더라도 실제 서버(40)와 패킷을 송/수신하여 동작한다. 따라서 본 발명이 어플리케이션에 대한 제어가 아닌 패킷 레벨의 제어를 수행하므로, 어플리케이션의 제약 없이 접근통제 기술 적용이 가능하다.
이상, 본 발명자에 의해서 이루어진 발명을 상기 실시 예에 따라 구체적으로 설명하였지만, 본 발명은 상기 실시 예에 한정되는 것은 아니고, 그 요지를 이탈하지 않는 범위에서 여러 가지로 변경 가능한 것은 물론이다.
10 : 사용자 단말 20 : 통신 어플리케이션
30 : 접근통제 게이트웨이 31 : 인증 권한정책부
32 : 클라이언트 프록시 핸들러 33 : 로그 저장부
34 : 서버 프록시 핸들러 40 : 서버
50 : 네트워크 장치 드라이버 51 : 패킷제어부
52 : 어플리케이션 통신부 53 : 변조정책 저장부
60 : 접근통제 클라이언트
70 : 접근통제 클라이언트 프록시 71 : 드라이버 통신부
72 : 패킷전송부 73 : 패킷수신부

Claims (5)

  1. 사용자 단말에 설치되어, 서버와 통신하는 통신 어플리케이션의 패킷을 접근통제 게이트웨이로 우회하여 중계하는, 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템에 있어서,
    상기 사용자 단말에 설치되는 네트워크 필터 드라이버로서, 패킷을 수신하여 사전에 저장된 서버주소 리스트로 필터링하고, 필터링된 패킷을 변조하는 네트워크 장치 드라이버;
    상기 접근통제 게이트웨이에 접근하여 사용자 인증을 수행하고, 접근할 수 있는 서버에 대한 서버주소 리스트를 수신하는 접근통제 클라이언트; 및,
    상기 사용자 단말에 설치되어 독립적인 프로세스로 실행되는 접근통제 클라이언트 프록시로서, 상기 접근통제 클라이언트에 의해 실행되고 상기 서버주소 리스트를 수신하고, 상기 네트워크 장치 드라이버에 서버주소 리스트 및 자신의 주소(이하 프록시 주소)를 전송하는 접근통제 클라이언트 프록시를 포함하고,
    상기 네트워크 장치 드라이버는 필터링된 패킷의 목적주소를 상기 프록시 주소로 변조하여 전송하고,
    상기 접근통제 클라이언트 프록시는 상기 네트워크 장치 드라이버에 의해 프록시 주소로 변조된 패킷을 수신하고,
    상기 접근통제 클라이언트 프록시는 상기 네트워크 장치 드라이버와 데이터 통신을 할 수 있는 채널을 설정하고, 변조된 패킷을 수신할 때 상기 채널을 통해 해당 변조된 패킷의 원래 목적주소인 서버주소를 전달받고,
    상기 접근통제 클라이언트 프록시는 상기 접근통제 게이트웨이와 세션을 설정하되, 변조된 패킷의 목적주소인 서버주소에 대응되는 세션을 설정하고, 변조된 패킷을 수신하여 서버주소에 대응되는 세션으로 전송하는 것을 특징으로 하는 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템.
  2. 제1항에 있어서,
    상기 네트워크 장치 드라이버는 수신된 패킷의 목적주소가 상기 서버주소 리스트 내에 있는 주소로 판단되면, 상기 프록시 주소로 패킷의 목적주소를 변경하여 변조하는 것을 특징으로 하는 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템.
  3. 제1항에 있어서,
    상기 접근통제 클라이언트 프록시는 수신된 패킷이 서버와 세션을 설정하기 위한 패킷인 경우, 상기 접근통제 게이트웨이와 세션을 설정하되, 해당 서버와 통신을 중계하기 위한 세션을 설정하고, 원래 목적주소가 해당 서버의 주소인 변조된 패킷을 설정된 세션으로 전송하는 것을 특징으로 하는 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템.
  4. 제1항에 있어서,
    상기 접근통제 클라이언트 프록시는 암호화 알고리즘을 이용하여 상기 접근통제 게이트웨이와 암호화 세션을 설정하는 것을 특징으로 하는 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템.
  5. 삭제
KR1020180040517A 2018-04-06 2018-04-06 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템 KR101896453B1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020180040517A KR101896453B1 (ko) 2018-04-06 2018-04-06 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020180040517A KR101896453B1 (ko) 2018-04-06 2018-04-06 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템

Publications (1)

Publication Number Publication Date
KR101896453B1 true KR101896453B1 (ko) 2018-09-07

Family

ID=63595007

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020180040517A KR101896453B1 (ko) 2018-04-06 2018-04-06 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템

Country Status (1)

Country Link
KR (1) KR101896453B1 (ko)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101992985B1 (ko) * 2019-01-30 2019-06-26 주식회사 넷앤드 서버간 보안 강화를 위한 하드코딩된 패스워드 및 명령어 통제 기반 접근통제 시스템
KR102017038B1 (ko) * 2019-02-22 2019-09-02 주식회사 넷앤드 패스워드 변경 기능이 구비된 웹 어플리케이션의 접근통제 시스템
KR102024148B1 (ko) * 2019-03-20 2019-09-23 주식회사 넷앤드 파일 전송 시의 파일 데이터를 모니터링 하는 접근통제 시스템
KR102476672B1 (ko) * 2022-06-16 2022-12-12 (주)대영에스텍 5G Massive망에서 비인식 NIC 기능을 갖는 이더넷 드라이버에서 수행되는 주소 변이 방법
KR20230075297A (ko) * 2021-11-22 2023-05-31 주식회사 어썸블리 사용자 네트워크 프로파일 기반 서비스 제공 방법

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20060109001A (ko) * 2005-04-14 2006-10-19 (주) 모두스원 네트워크 보안장치 및 그 방법
KR101214613B1 (ko) * 2012-09-25 2012-12-21 주식회사 피앤피시큐어 접속자의 식별 신뢰도를 높인 프록시 기반의 서버 보안방법과 보안시스템

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20060109001A (ko) * 2005-04-14 2006-10-19 (주) 모두스원 네트워크 보안장치 및 그 방법
KR101143847B1 (ko) 2005-04-14 2012-05-10 (주) 모두스원 네트워크 보안장치 및 그 방법
KR101214613B1 (ko) * 2012-09-25 2012-12-21 주식회사 피앤피시큐어 접속자의 식별 신뢰도를 높인 프록시 기반의 서버 보안방법과 보안시스템

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101992985B1 (ko) * 2019-01-30 2019-06-26 주식회사 넷앤드 서버간 보안 강화를 위한 하드코딩된 패스워드 및 명령어 통제 기반 접근통제 시스템
KR102017038B1 (ko) * 2019-02-22 2019-09-02 주식회사 넷앤드 패스워드 변경 기능이 구비된 웹 어플리케이션의 접근통제 시스템
KR102024148B1 (ko) * 2019-03-20 2019-09-23 주식회사 넷앤드 파일 전송 시의 파일 데이터를 모니터링 하는 접근통제 시스템
KR20230075297A (ko) * 2021-11-22 2023-05-31 주식회사 어썸블리 사용자 네트워크 프로파일 기반 서비스 제공 방법
KR102664208B1 (ko) * 2021-11-22 2024-05-08 주식회사 어썸블리 사용자 네트워크 프로파일 기반 서비스 제공 방법
KR102476672B1 (ko) * 2022-06-16 2022-12-12 (주)대영에스텍 5G Massive망에서 비인식 NIC 기능을 갖는 이더넷 드라이버에서 수행되는 주소 변이 방법

Similar Documents

Publication Publication Date Title
KR101896453B1 (ko) 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템
US11652792B2 (en) Endpoint security domain name server agent
US7308710B2 (en) Secured FTP architecture
KR101992976B1 (ko) Ssh 인증키를 보안 관리하는 ssh 프로토콜 기반 서버 원격 접근 시스템
EP1632862B1 (en) Address conversion method, access control method, and device using these methods
US6076168A (en) Simplified method of configuring internet protocol security tunnels
US8332464B2 (en) System and method for remote network access
US8776208B2 (en) Incorporating network connection security levels into firewall rules
US5699513A (en) Method for secure network access via message intercept
US8065402B2 (en) Network management using short message service
US7474655B2 (en) Restricting communication service
US20050193103A1 (en) Method and apparatus for automatic configuration and management of a virtual private network
US20020129271A1 (en) Method and apparatus for order independent processing of virtual private network protocols
US9210128B2 (en) Filtering of applications for access to an enterprise network
US20020162024A1 (en) Secure multiapplication proxy
WO2012122773A1 (zh) 基于代理网关对访问请求进行控制的方法及装置
CN101399838A (zh) 报文处理方法、装置和系统
KR101896449B1 (ko) 암호화 통신 프로토콜 기반 서버 원격 접근 세션에 대한 보안 감사 및 통제를 위한 접근 통제 시스템
KR20190009497A (ko) 무선 보안 액세스 포인트를 이용한 망분리 장치 및 그 방법
US20050086533A1 (en) Method and apparatus for providing secure communication
CN102185867A (zh) 一种实现网络安全的方法和一种星形网络
US11736516B2 (en) SSL/TLS spoofing using tags
KR102118380B1 (ko) 사용자별 서버 작업 통제 기능을 탑재한 접근통제 시스템
KR101992985B1 (ko) 서버간 보안 강화를 위한 하드코딩된 패스워드 및 명령어 통제 기반 접근통제 시스템
JP4775154B2 (ja) 通信システム、端末装置、プログラム、及び、通信方法

Legal Events

Date Code Title Description
E701 Decision to grant or registration of patent right
GRNT Written decision to grant