KR102000159B1

KR102000159B1 - 불법 위장 단말 식별 장치 및 방법

Info

Publication number: KR102000159B1
Application number: KR1020130158453A
Authority: KR
Inventors: 권혁찬; 안개일; 이석준; 문종식; 정도영; 김신효
Original assignee: 한국전자통신연구원
Priority date: 2013-12-18
Filing date: 2013-12-18
Publication date: 2019-07-16
Also published as: US9420469B2; KR20150071422A; US20150172289A1

Abstract

무선침해방지시스템이 인가되지 않은 AP(Access Point) 및 무선 단말의 접속을 제어함에 있어서 MAC(Media Access Control) 주소를 위/변조한 불법 위장 단말을 식별해 내기 위한 장치 및 방법을 제시한다. 제시된 장치는 무선 단말의 RF 신호를 근거로 MAC 주소와 RSSI값 및 RF 특징값을 수집하는 센서부, 수집되는 MAC 주소와 RSSI값 및 RF 특징값을 저장하는 RF 특징 데이터베이스, 및 센서부로부터의 어느 한 무선 단말의 MAC 검증 요청에 의해 RF 특징 데이터베이스의 정보와 어느 한 무선 단말의 RSSI값 및 RF 특징값을 비교하여 어느 한 무선 단말의 MAC 변조 여부를 식별하는 단말 식별부를 포함한다.

Description

불법 위장 단말 식별 장치 및 방법{Apparatus and method for identifying rogue device}

본 발명은 불법 위장 단말 식별 장치 및 방법에 관한 것으로, 보다 상세하게는 무선랜 환경에서 MAC 주소를 변조한 불법 위장 단말을 식별하기 위한 장치 및 방법에 관한 것이다.

통상적으로, MAC(Media Access Control) 주소는 네트워크 구조에서 MAC 계층에서 네트워크 장치가 갖는 주소로서, 보통 네트워크 카드의 롬(ROM)에 저장되어 있다.

무선침해방지시스템(WIPS: Wireless Intrusion Prevention System)은 무선랜 환경에서의 침해방지시스템이다. 무선침해방지시스템의 주요 기능은 관리도메인내의 인가되지 않은 AP(Access Point) 및 사용자 단말을 탐지하여 이에 대한 접속을 제어하는 기능과, DoS 등의 무선 구간에서의 보안 위협을 탐지/차단하는 기능이 있다. 무선침해방지시스템은 무선랜의 RF 신호를 수집하고, 분석하고, 침입을 차단하기 위해 역공격을 수행하는 무선침해방지센서와 무선랜 인프라의 보안을 종합적으로 관리하는 무선침해방지서버로 구성된다.

무선침해방지시스템은 인가되지 않은 AP 및 사용자 단말을 식별하기 위해 디바이스 고유의 MAC 주소를 이용한다. 사전에 등록된 AP 및 단말의 MAC 주소를 화이트리스트 형태로 관리하고, 새로운 디바이스가 탐지된 경우 탐지된 디바이스의 RF 신호(일반적으로 beacon, probe response 등의 신호)를 분석하여 MAC 주소를 추출한 후 화이트리스트에 있는 주소인지를 확인하는 방법으로 단말의 인가 여부를 판단한다.

그러나, 화이트리스트 기반의 방식은 단말(AP 또는 사용자 단말)이 MAC 주소를 변조하는 경우 이를 탐지할 수 없다. 현재, MAC의 변조 여부를 탐지하기 위한 다음과 같은 방법들이 존재하고 있으나 그 기능이 한정적이다.

첫 번째 방법은, 고정된 위치의 단말(예: 기업용 AP)의 경우, AP의 MAC 값과 현 위치에서의 AP의 RSSI값(무선 신호 강도)을 사전에 등록하고 이후 다른 AP가 인가된 AP의 MAC을 위조한 경우 RSSI값을 비교하여 변조여부를 판단한다. 이 경우 MAC을 변조한 단말이 인가된 AP와 동일한 위치에 설치된 경우 이를 탐지할 수 없다. 또한 방향(위, 아래, 좌, 우)이 다른 경우에도 동일한 RSSI값이 측정될 수 있기 때문에 그 정확도가 높지 않다.

두 번째 방법은, AP의 경우, 사전에 MAC 주소와 AP의 설정 값(예: 보안설정값 - AES2 암호화 사용 등)을 사전에 등록하고, 이후 다른 AP가 인가된 AP의 MAC을 위조한 경우 AP의 설정 값을 비교하는 방법도 있다. 그러나, 이 방법의 경우 설정 값은 임의 조작이 가능하며 인가된 AP의 경우에도 설정값이 바뀔 수 있으므로 정확도가 높지 않다.

관련 선행기술로는, 고정된 위치의 AP의 MAC값과 현 위치에서의 AP의 RSSI값(무선 신호 강도)을 사전에 등록하고 이후 다른 AP가 인가된 AP의 MAC을 위조한 경우 RSSI값을 비교하여 변조여부를 판단하는 내용이, 미국공개특허 제2007-0025313호에 개시되었다.

상술한 미국공개특허 제2007-0025313호의 발명은 위치가 고정된 AP에 대한 MAC 변조 탐지에 초점을 맞춘 것으로서, MAC, RSSI만을 활용하였다.

본 발명은 상기한 종래의 문제점을 해결하기 위해 제안된 것으로, 무선침해방지시스템이 인가되지 않은 AP(Access Point) 및 무선 단말의 접속을 제어함에 있어서 MAC(Media Access Control) 주소를 위/변조한 불법 위장 단말을 식별해 내기 위한 장치 및 방법을 제공함에 그 목적이 있다.

상기와 같은 목적을 달성하기 위하여 본 발명의 바람직한 실시양태에 따른 불법 위장 단말 식별 장치는, 무선 단말의 RF 신호를 근거로 MAC 주소와 RSSI값 및 RF 특징값을 수집하는 센서부; 상기 수집되는 MAC 주소와 RSSI값 및 RF 특징값을 저장하는 RF 특징 데이터베이스; 및 상기 센서부로부터의 어느 한 무선 단말의 MAC 검증 요청에 의해, 상기 RF 특징 데이터베이스의 정보와 상기 어느 한 무선 단말의 RSSI값 및 RF 특징값을 비교하여 상기 어느 한 무선 단말의 MAC 변조 여부를 식별하는 단말 식별부;를 포함한다.

바람직하게, 상기 RF 특징값은 EVM, I/Q 오프셋, 주파수 오프셋, 및 동기 상관관계 중에서 하나 이상을 포함할 수 있다.

바람직하게, 상기 무선 단말은 이동가능한 하나 이상의 사용자 단말로 구성되고, 상기 센서부는 상기 MAC 검증 요청을 하기 전에, 상기 이동가능한 무선 단말의 MAC 주소를 등록받고, 상기 무선 단말의 측정 위치별 위치 정보를 등록받고, 상기 측정 위치별로 상기 무선 단말로부터의 RF 신호내에서 RSSI값과 RF 특징값을 추출하여 수집할 수 있다.

바람직하게, 상기 단말 식별부는 상기 MAC 검증 요청을 수신함에 따라 상기 RF 특징 데이터베이스 내의 해당 어느 한 무선 단말의 MAC 주소에 대한 RSSI값과 EVM값을 기반으로 하는 확률값이 가장 높은 EVM값을 선택하고, 상기 선택한 EVM값과 상기 센서부로부터의 RF 특징값 내의 EVM값과의 비교에 의해 상기 어느 한 무선 단말의 MAC 변조 여부를 식별할 수 있다.

바람직하게, 상기 단말 식별부는 상기 선택한 EVM값과 상기 센서부로부터의 RF 특징값 내의 EVM값이 일치하지 않으면 상기 어느 한 무선 단말이 불법 위장 단말인 것으로 식별할 수 있다.

바람직하게, 상기 단말 식별부는 상기 선택한 EVM값과 상기 센서부로부터의 RF 특징값 내의 EVM값이 특정 범위내에서 일치하지 않으면 상기 어느 한 무선 단말이 불법 위장 단말인 것으로 식별할 수 있다.

바람직하게, 상기 무선 단말은 위치 고정형 AP로 구성되고, 상기 센서부는 상기 MAC 검증 요청을 하기 전에, 상기 고정된 위치의 무선 단말의 RF 신호내에서 MAC 주소, RSSI값, RF 특징값을 추출하여 수집할 수 있다.

바람직하게, 상기 단말 식별부는 상기 MAC 검증 요청을 수신함에 따라 상기 RF 특징 데이터베이스 내의 해당 어느 한 무선 단말의 MAC 주소와 RSSI값과 상기 센서부로부터의 MAC 주소와 RSSI값을 비교하여 MAC 및 RSSI 검증을 실시하고, 상기 검증에 실패하면 상기 RF 특징값을 기반으로 하는 MAC 변조 검증을 실시할 수 있다.

바람직하게, 상기 단말 식별부는 상기 MAC 주소와 RSSI값을 기반으로 하는 검증이 성공하면 RF 특징값을 기반으로 하는 MAC 변조 검증 필요 여부에 따라 RF 특징값 기반의 MAC 변조 검증을 추가로 실시할 수 있다.

바람직하게, 상기 단말 식별부는, MAC 변조된 불법 위장 단말이 식별됨에 따라 3개 이상의 상기 센서부로부터 상기 불법 위장 단말의 RF신호내의 RSSI값 및 RF 특징값을 제공받아 심각측량법으로 상기 불법 위장 단말의 위치를 측위할 수 있다.

한편, 본 발명의 바람직한 실시양태에 따른 불법 위장 단말 식별 방법은, 센서부가, 무선 단말의 RF 신호를 근거로 MAC 주소와 RSSI값 및 RF 특징값을 수집하여 RF 특징 데이터베이스에 저장하는 단계; 및 단말 식별부가, 상기 센서부로부터의 어느 한 무선 단말의 MAC 검증 요청에 의해, 상기 RF 특징 데이터베이스의 정보와 상기 어느 한 무선 단말의 RSSI값 및 RF 특징값을 비교하여 상기 어느 한 무선 단말의 MAC 변조 여부를 식별하는 단계;를 포함한다.

이러한 구성의 본 발명에 따르면, MAC 주소를 위변조하는 불법 위장 단말(AP 및 사용자 단말 포함)의 탐지율을 높여 불법 위장 단말을 통한 내부정보 유출을 방지하고 해킹의 통로를 차단하는 효과를 기대할 수 있다.

도 1은 본 발명의 실시예에 따른 불법 위장 단말 식별 장치의 구성을 나타낸 도면이다.
도 2는 본 발명의 실시예에 따른 불법 위장 단말 식별 방법을 설명하기 위한 플로우차트이다.
도 3은 도 2에 도시된 사전 데이터 수집 절차를 보다 상세하게 설명하기 위한 플로우차트이다.
도 4는 도 2에 도시된 불법 위장 단말 식별 절차를 보다 상세하게 설명하기 위한 플로우차트이다.
도 5는 도 2에 도시된 불법 위장 단말의 위치 식별 절차 설명에 채용되는 도면이다.
도 6은 위치 고정형 AP에 대한 MAC 변조 여부를 검증하는 방법을 설명하기 위한 플로우차트이다.

본 발명은 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시 예들을 도면에 예시하고 상세하게 설명하고자 한다.

그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다.

본 출원에서 사용한 용어는 단지 특정한 실시예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 출원에서, "포함하다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.

다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가지고 있다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥 상 가지는 의미와 일치하는 의미를 가진 것으로 해석되어야 하며, 본 출원에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.

이하, 첨부한 도면들을 참조하여, 본 발명의 바람직한 실시예를 보다 상세하게 설명하고자 한다. 본 발명을 설명함에 있어 전체적인 이해를 용이하게 하기 위하여 도면상의 동일한 구성요소에 대해서는 동일한 참조부호를 사용하고 동일한 구성요소에 대해서 중복된 설명은 생략한다.

도 1은 본 발명의 실시예에 따른 불법 위장 단말 식별 장치의 구성을 나타낸 도면이다.

본 발명의 실시예에 따른 불법 위장 단말 식별 장치(20)는 센서부(10), RF 특징 데이터베이스(12), 및 단말 식별부(14)를 포함한다.

도 1에 도시된 무선 단말(16)의 예로는 위치 고정형 AP(Access Point), 사용자 단말 등이 있을 수 있다. 한편, 도 1에서는 무선 단말(16)을 하나만 도시하였으나, 실제로는 다수의 무선 단말(16)이 존재할 수 있다.

센서부(10)는 무선 단말(16)의 RF 신호를 근거로 MAC 주소와 RSSI값 및 RF 특징값을 수집한다. 예를 들어, 센서부(10)는 단말 식별부(14)에서의 불법 위장 단말 식별 동작을 위한 데이터(즉, 추후에 비교 기준이 되는 데이터)를 미리 수집한다. 즉, 센서부(10)는 사전 데이터 수집을 위해 무선 단말(16)로부터의 RF 신호를 수집한다. 그리고, 센서부(10)는 해당 무선 단말(16)의 RF 신호를 분석하여 MAC 주소, RSSI값, 및 RF 특징값을 추출하여 수집한다. 센서부(10)는 수집한 MAC 주소, RSSI값, 및 RF 특징값을 RF 특징 데이터베이스(12)에 저장한다.

여기서, 만약 사용자 단말을 무선 단말(16)로 한 경우에는 무선 단말(16)은 센서부(10)에서의 사전 데이터 수집을 위해 여러 위치로 이동될 수 있고, 센서부(10)는 사전 데이터 수집을 위해 여러 위치에서의 무선 단말(16)의 RF 신호를 분석하여 MAC 주소, RSSI값, RF 특징값을 수집하고, 이들을 RF 특징 데이터베이스(12)에 저장한다.

만약, 위치 고정형 AP를 무선 단말(16)로 한 경우에는, 센서부(10)는 고정된 위치의 AP에서 송출되는 RF 신호를 분석하여 MAC 주소, RSSI값, RF 특징값을 수집하고, 이들을 RF 특징 데이터베이스(12)에 저장한다.

그리고, 상술한 RF 특징값은 EVM(Error Vector Magnitude), I/Q 오프셋, 주파수 오프셋(Freq. offset), 및 동기 상관관계(SYNC Correlation) 중에서 하나 이상을 포함할 수 있다.

한편, 도 1에서는 센서부(10)를 하나만 도시하였으나, 실제로는 다수의 센서부(10)가 존재할 수 있다.

RF 특징 데이터베이스(12)는 센서부(10)에 의해 수집되는 MAC 주소와 RSSI값 및 RF 특징값을 저장한다.

단말 식별부(14)는 센서부(10)로부터의 특정 무선 단말(즉, 다수의 무선 단말중에서 어느 한 무선 단말)의 MAC 검증 요청에 의해, RF 특징 데이터베이스(12)의 정보와 특정 무선 단말의 RSSI값 및 RF 특징값을 비교하여 해당 특정 무선 단말의 MAC 변조 여부를 식별한다.

예를 들어, 특정 무선 단말(즉, 불법 위장 단말인지를 검증해야 할 단말)이 이동가능한 다수의 사용자 단말 중에서 어느 하나인 경우, 단말 식별부(14)는 MAC 검증 요청을 수신함에 따라 RF 특징 데이터베이스(12) 내의 해당 사용자 단말의 MAC 주소에 대한 RSSI값과 EVM값을 기반으로 하는 확률값이 가장 높은 EVM값을 선택하고, 선택한 EVM값과 센서부(10)로부터의 RF 특징값 내의 EVM값과의 비교에 의해 해당 사용자 단말의 MAC 변조 여부를 식별할 수 있다. 여기서, 단말 식별부(14)는 선택한 EVM값과 센서부(10)로부터의 RF 특징값 내의 EVM값이 일치하지 않으면 해당 사용자 단말이 불법 위장 단말인 것으로 식별할 수 있다. 한편, 단말 식별부(14)는 선택한 EVM값과 센서부(10)로부터의 RF 특징값 내의 EVM값이 특정 범위내에서 일치하지 않으면 해당 사용자 단말이 불법 위장 단말인 것으로 식별할 수도 있다.

다른 예로, 특정 무선 단말(즉, 불법 위장 단말인지를 검증해야 할 단말)이 위치 고정형 AP들 중에서 어느 하나인 경우, 단말 식별부(14)는 MAC 검증 요청을 수신함에 따라 RF 특징 데이터베이스(12) 내의 해당 AP의 MAC 주소와 RSSI값과 센서부(10)로부터의 MAC 주소와 RSSI값을 비교하여 MAC 및 RSSI 검증을 실시한다. 그 MAC 및 RSSI 검증을 실패하면 RF 특징값을 기반으로 하는 MAC 변조 검증을 실시할 수 있다. 물론, 단말 식별부(14)는 MAC 주소와 RSSI값을 기반으로 하는 검증을 성공하면 RF 특징값을 기반으로 하는 MAC 변조 검증을 추가로 실시할 수도 있다.

여기서, RSSI값은 송수신 전력의 비로 정의되며, 수신되는 신호의 강도를 반영하는 값이고 dBm 단위로 표현된다. RSSI는 거리에 따라 지수적으로 감소하는 특성을 가지고 있다.

상술한 도 1에서는 센서부(10)와 단말 식별부(14)를 별개의 구성요소로 하였으나, 센서부(10)와 단말 식별부(14)를 하나의 모듈로 통합시킬 수도 있다.

도 2는 본 발명의 실시예에 따른 불법 위장 단말 식별 방법을 설명하기 위한 플로우차트이다.

본 발명의 실시예에 따른 불법 위장 단말 식별 방법은, 사전 데이터 수집 단계(S10), 불법 위장 단말 식별 단계(S30), 및 불법 위장 단말의 위치 측위 단계(S40)를 포함한다.

먼저, 사전 데이터 수집 단계(S10)는 불법 위장 단말을 식별하기 전에 행해지는 단계이다. 센서부(10)는 사용자 단말 또는 위치 고정형 AP로부터의 RF 신호를 분석하여 MAC 주소, RSSI값, 및 RF 특징값을 수집하여 RF 특징 데이터베이스(12)에 저장한다.

이후, 모든 사용자 단말 또는 위치 고정형 AP에 대한 MAC 주소, RSSI값, 및 RF 특징값 수집이 완료되면(S20에서 "Yes") 불법 위장 단말 식별 단계(S30)를 수행하게 된다. 불법 위장 단말 식별 단계(S30)의 동작은 단말 식별부(14)에서 행해진다. 단말 식별부(14)는 불법 위장 단말인지를 식별하기 위한 대상 단말(즉, 다수의 사용자 단말 중에서 특정 사용자 단말 또는 다수의 위치 고정형 AP 중에서 특정 AP)로부터의 RF 신호를 분석하여 MAC 주소, RSSI값, 및 RF 특징값을 추출한다. 이어, 단말 식별부(14)는 RF 특징 데이터베이스(12)에 기저장되어 있는 정보 중에서 상기 추출된 MAC 주소와 동일한 MAC 주소에 연계된 정보(예컨대, RSSI값 및 RF 특징값)를 그 추출된 MAC 주소, RSSI값, 및 RF 특징값과 비교하여 불법 위장 단말인지를 식별한다.

이와 같이 하여, 불법 위장 단말(즉, MAC 주소를 변조한 AP 또는 사용자 단말)이 발견된 경우에는 그 불법 위장 단말의 물리적 위치를 측위한다(S40). 즉, 단말 식별부(14)는 여러 센서부들에게 해당 단말(즉, 불법 위장 단말)의 위치 측위를 위한 데이터를 요청한다. 그에 따라, 여러 센서부들은 불법 위장 단말에 대하여 자신이 탐지한 RSSI값 및 RF 특징값을 단말 식별부(14)에게 전송하고, 단말 식별부(14)는 이를 이용하여 삼각측량법으로 불법 위장 단말의 물리적 위치를 측위한다.

도 3은 도 2에 도시된 사전 데이터 수집 절차를 보다 상세하게 설명하기 위한 플로우차트이다.

우선, 인가된 단말로 등록하기 전에 사전에 아래와 같은 RF 데이터 수집 단계를 거쳐 관련 데이터를 수집해야 한다.

사용자는 대상 단말의 MAC 주소를 센서부(10)에 등록한다(S11).

이후, 사용자는 대상 단말의 측정 위치를 결정하고, 결정된 위치 정보를 센서부(10)에 등록한다(S12). 예를 들어, 대상 단말의 측정 위치는 1m, 3m, 5m 등등의 간격으로 유지될 수 있다.

사용자는 대상 단말을 결정된 위치로 이동시킨 후 무선통신(무선랜)을 이용한다(S13).

이에 따라, 대상 단말은 RF 신호를 송출하게 되고, 센서부(10)는 대상 단말의 RF 신호를 수집하여 분석한다. 분석 결과, 센서부(10)는 RSSI값과 RF 특징값을 추출하여 수집한다(S14).

이후, 센서부(10)는 등록받은 MAC 주소와 함께 수집한 데이터(즉, RSSI값과 RF 특징값)를 RF 특징 데이터베이스(12)에 저장한다(S15).

여기서, 추출하는 RF 특징값은 EVM(Error Vector Magnitude), I/Q 오프셋, 주파수 오프셋(Freq. offset), 동기 상관관계(SYNC Correlation)와 같은 값들이 될 수 있다. 이와 같은 값 모두를 추출하여 활용할 수도 있고, 일부만 추출하여 활용할 수도 있다. 이는 응용, 성능, 원하는 정확도 등에 따라 관리자가 정할 수 있다.

상술한 S15의 과정을 K번 만큼 반복한다. 여기서, K 값은 관리자가 정할 수 있다.

상술한 대상 단말의 측정할 위치를 모두 측정한 경우에는 종료하고, 그렇지 않은 경우에는 상술한 단계 S12로 이동한다.

도 4는 도 2에 도시된 불법 위장 단말 식별 절차를 보다 상세하게 설명하기 위한 플로우차트이다. 다음과 같은 세부적인 단계를 통해 불법 위장 단말을 식별할 수 있다.

먼저, 센서부(10)가 특정 무선 단말의 RF 신호를 탐지한다(S50).

센서부(10)는 탐지한 특정 무선 단말의 RF 신호를 분석하고(S52), MAC 주소, RSSI값, RF 특징값을 추출하여 수집한다(S54).

이후, 센서부(10)는 수집한 MAC 주소, RSSI값, RF 특징값을 단말 식별부(14)로 전송하고(S56), MAC 검증을 요청한다(S58).

그에 따라, 단말 식별부(14)는 특정 무선 단말의 MAC 변조 여부를 판단하게 되는데, 해당 특정 무선 단말의 현 위치에서 가장 근접한 RF 특징값과 비교한다. 이때, 단말 식별부(14)는 RF 특징 데이터베이스(12)에 기저장된 값을 기반으로 센서부(10)로부터 수신한 MAC 주소에 대하여 p(EVM/RSSI) 값이 가장 높은 EVM값을 선택한다(S60). 여기서, P(EVM/RSSI)는 RSSI값이 주어졌을 때 EVM값일 확률을 의미한다. 확률계산 방식은 기존의 방식들을 사용할 수 있으며, 본 발명에서는 별도로 설명하지 않는다.

그리고 나서, 단말 식별부(14)는 단계 S60에서 선택한 EVM값과 단계 S54에서 센서부(10)에서 수집한 EVM값을 기반으로 MAC 일치성을 검증하여 MAC 변조 여부를 판단한다(S62).

만약, 선택한 EVM값과 센서부(10)로부터의 RF 특징값 내의 EVM값이 일치하면(S64에서 "Yes") 단말 식별부(14)는 특정 무선 단말이 정상적인 단말인 것으로 판단한다(S66).

반대로, 선택한 EVM값과 센서부(10)로부터의 RF 특징값 내의 EVM값이 일치하지 않으면(S64에서 "No") 단말 식별부(14)는 특정 무선 단말이 불법 위장 단말인 것으로 판단한다(S68).

이때, 단순한 값 비교가 아닌 특정 범위내에서 일치하는지를 확인하거나, 기존의 k-NN(Nearest Neighbor), SVM(Support Vector Machine) 등의 분류기를 사용할 수 있다. k-NN(Nearest Neighbor), SVM(Support Vector Machine) 등의 분류기를 사용하는 방식은 별도의 설명을 하지 않더라도 동종업계에 종사하는 자라면 주지의 기술로 충분히 이해할 수 있을 것이다.

상술한 바와 같이, 데이터의 수집/학습 단계에서 무선 단말의 RF 특징값을 수집할 때, 무선 단말의 위치를 이동하며 여러 곳에서 RSSI값 및 RF 특징값을 수집하고, 이후 특정 단말의 MAC 변조 여부를 판단할 때 특정 단말의 현 위치에서 가장 근접한 RF 특징값과 비교하므로 MAC 변조 단말 탐지 성능을 향상시킨다.

도 5는 도 2에 도시된 불법 위장 단말의 위치 식별 절차 설명에 채용되는 도면이다.

단말 식별부(14)가 불법 위장 단말(즉, MAC 주소를 변조한 AP 또는 사용자 단말)(18)을 발견한 경우, 이 불법 위장 단말(18)의 물리적 위치를 측위할 수 있다.

불법 위장 단말(18)을 식별한 경우, 단말 식별부(14)는 센서부(10)들에게 해당 불법 위장 단말(18)의 위치 측위를 위한 데이터를 요청한다. 기존의 방식은 각 센서부가 해당 불법 위장 단말의 RSSI값을 전송하고, 서버는 이 값들을 기초로 삼각측량을 사용하여 위치식별을 하였다.

그러나, 본 발명에서는 RSSI값 뿐 아니라 RF 특징값도 함께 사용하여 위치 측위에 활용한다. 예를 들어, EVM값의 경우에도 위치가 멀어질수록 그 값이 달라지기 때문에 그러한 특성의 활용이 가능하다. 따라서, 미리 실험을 통해 거리에 따른 EVM의 감소량을 측정하고, 이 정보를 기반으로 하는 측위할 단말의 EVM값에 따른 거리정보와 RSSI값을 기반으로 하는 거리정보를 적절히 조합하여 거리를 예측할 수 있다. 즉, 단말 식별부(14)는 여러 센서부(10)들(적어도 3개 이상)에게 불법 위장 단말(18)의 위치 측위를 위한 데이터를 요청한다. 그에 따라, 여러 센서부(10)들은 불법 위장 단말(18)에 대하여 자신이 탐지한 RSSI값 및 RF 특징값을 단말 식별부(14)에게 전송하고, 단말 식별부(14)는 이를 이용하여 해당 불법 위장 단말(18)의 물리적 위치를 측위한다.

이때, 위치를 측위할 불법 위장 단말(18)의 신호가 들리는 센서가 하나 또는 둘인 경우에는 삼각측량이 불가능하다. 이 경우 가장 강한 신호를 듣는 센서 주변이라는 정보 정도로만 측위가 가능하다. 이 방식은 통상적인 방식이므로 별도의 설명을 생략한다.

상술한 바와 같이, 탐지한 MAC 변조 단말의 물리적 위치를 탐지하기 위해 기존에는 RSSI값만으로 삼각 측량 등의 방법을 이용하였으나, 본 발명에서는 RSSI값에 추가로 RF 특징값을 함께 사용하여 측위를 수행하므로 물리적인 위치 탐지율도 향상시킨다.

도 6은 위치 고정형 AP에 대한 MAC 변조 여부를 검증하는 방법을 설명하기 위한 플로우차트이다.

위치 고정형 AP는 기업망에서 관리하는 AP 등과 같이 위치가 고정되어 설치된 AP를 말한다. 이런 경우의 탐지 절차는 다음과 같다.

센서부(10)가 고정된 위치에 있는 AP로부터의 RF 신호를 수신하고, 수신한 RF 신호를 분석하여 MAC 주소, RSSI값, RF 특징값을 수집한다(S70).

센서부(10)는 수집한 MAC 주소, RSSI값, RF 특징값을 RF 특징 데이터베이스(12)에 저장한다(S72). 상술한 S70, S72의 과정을 K번 만큼 반복한다. 여기서, K 값은 관리자가 정할 수 있다.

이와 같이 사전 데이터 수집이 완료된 이후에, 센서부(10)가 특정 AP의 신호를 수신(AP 발견)한 경우(S74에서 "Yes"), 센서부(10)는 해당 특정 AP의 RF 신호 내에서 MAC 주소와 RSSI값을 추출한다(S76). 센서부(10)는 추출한 MAC 주소와 RSSI값을 단말 식별부(14)에게로 전송하고 검증을 요청한다.

그에 따라, 단말 식별부(14)는 수신한 MAC 주소와 RSSI값을 RF 특징 데이터베이스(12)에 기저장되어 있는 데이터와 비교하여 MAC 주소 및 RSSI 검증을 실시한다(S78).

만약, 검증에 성공한 경우(S80에서 "Yes"), 단말 식별부(14)는 추가로 RF 특징값으로 검증할 것인지를 결정한다(S82). 이는 보안 정책에 따라 결정할 수 있다.

만약, 추가 검증이 필요한 경우(S84에서 "Yes")이거나 상기 단계 S80에서 검증 실패인 경우에는 단말 식별부(14)는 RF 특징값을 기반으로 MAC 변조 검증을 실시한다(S86). 이는 특정 AP의 RF 신호에서 추출한 RF 특징값과 RF 특징 데이터베이스(12)에 기저장되어 있는 RF 특징값을 비교함으로써 MAC 변조 검증을 할 수 있다.

상기 단계 S86에서의 검증이 성공한 경우(S88에서 "Yes")에는 단말 식별부(14)는 해당 특정 AP가 정상적인 AP인 것으로 판단한다(S90).

그러나, 상기 단계 S88에서 검증 실패이거나 상기 단계 S84에서 추가 검증이 필요없는 경우에는 단말 식별부(14)는 해당 특정 AP가 불법적인 AP(즉, MAC 변조를 한 AP)인 것으로 판단한다(S92).

상술한 바와 같이, 위치 고정형 AP에 대해서는 RSSI값을 활용하여 1차로 MAC 변조 여부를 탐지한 후, 필요한 경우 2차로 RF 특징값 기반으로 MAC 변조 여부를 탐지할 수 있다.

이상에서와 같이 도면과 명세서에서 최적의 실시예가 개시되었다. 여기서 특정한 용어들이 사용되었으나, 이는 단지 본 발명을 설명하기 위한 목적에서 사용된 것이지 의미 한정이나 특허청구범위에 기재된 본 발명의 범위를 제한하기 위하여 사용된 것은 아니다. 그러므로, 본 기술 분야의 통상의 지식을 가진자라면 이로부터 다양한 변형 및 균등한 타 실시예가 가능하다는 점을 이해할 것이다. 따라서, 본 발명의 진정한 기술적 보호범위는 첨부된 특허청구범위의 기술적 사상에 의해 정해져야 할 것이다.

10 : 센서 12 : RF 특징 데이터베이스
14 : 단말 식별부 16 : 무선 단말
18 : 불법 위장 단말 20 : 불법 위장 단말 식별 장치

Claims

무선 단말의 RF 신호를 근거로 MAC 주소와 RSSI값 및 RF 특징값을 수집하는 센서부;
상기 수집되는 MAC 주소와 RSSI값 및 RF 특징값을 저장하는 RF 특징 데이터베이스; 및
상기 센서부로부터의 어느 한 무선 단말의 MAC 검증 요청에 의해, 상기 RF 특징 데이터베이스의 정보와 상기 어느 한 무선 단말의 RSSI값 및 RF 특징값을 비교하여 상기 어느 한 무선 단말의 MAC 변조 여부를 식별하는 단말 식별부;를 포함하고,
상기 RF 특징값은 EVM, I/Q 오프셋, 주파수 오프셋, 및 동기 상관관계 중에서 하나 이상을 포함하고,
상기 무선 단말은 이동가능한 하나 이상의 사용자 단말로 구성되고,
상기 센서부는 상기 MAC 검증 요청을 하기 전에, 상기 이동가능한 무선 단말의 MAC 주소를 등록받고, 상기 무선 단말의 측정 위치별 위치 정보를 등록받고, 상기 측정 위치별로 상기 무선 단말로부터의 RF 신호내에서 RSSI값과 RF 특징값을 추출하여 수집하는 것을 특징으로 하는 불법 위장 단말 식별 장치.
삭제
삭제
청구항 1에 있어서,
상기 단말 식별부는 상기 MAC 검증 요청을 수신함에 따라 상기 RF 특징 데이터베이스 내의 해당 어느 한 무선 단말의 MAC 주소에 대한 RSSI값과 EVM값을 기반으로 하는 확률값이 가장 높은 EVM값을 선택하고, 상기 선택한 EVM값과 상기 센서부로부터의 RF 특징값 내의 EVM값과의 비교에 의해 상기 어느 한 무선 단말의 MAC 변조 여부를 식별하는 것을 특징으로 하는 불법 위장 단말 식별 장치.
청구항 4에 있어서,
상기 단말 식별부는 상기 선택한 EVM값과 상기 센서부로부터의 RF 특징값 내의 EVM값이 일치하지 않으면 상기 어느 한 무선 단말이 불법 위장 단말인 것으로 식별하는 것을 특징으로 하는 불법 위장 단말 식별 장치.
청구항 4에 있어서,
상기 단말 식별부는 상기 선택한 EVM값과 상기 센서부로부터의 RF 특징값 내의 EVM값이 특정 범위내에서 일치하지 않으면 상기 어느 한 무선 단말이 불법 위장 단말인 것으로 식별하는 것을 특징으로 하는 불법 위장 단말 식별 장치.
청구항 1에 있어서,
상기 무선 단말은 위치 고정형 AP로 구성되고,
상기 센서부는 상기 MAC 검증 요청을 하기 전에, 상기 고정된 위치의 무선 단말의 RF 신호내에서 MAC 주소, RSSI값, RF 특징값을 추출하여 수집하는 것을 특징으로 하는 불법 위장 단말 식별 장치.
청구항 7에 있어서,
상기 단말 식별부는 상기 MAC 검증 요청을 수신함에 따라 상기 RF 특징 데이터베이스 내의 해당 어느 한 무선 단말의 MAC 주소와 RSSI값과 상기 센서부로부터의 MAC 주소와 RSSI값을 비교하여 MAC 및 RSSI 검증을 실시하고, 상기 검증에 실패하면 상기 RF 특징값을 기반으로 하는 MAC 변조 검증을 실시하는 것을 특징으로 하는 불법 위장 단말 식별 장치.
청구항 8에 있어서,
상기 단말 식별부는 상기 MAC 주소와 RSSI값을 기반으로 하는 검증이 성공하면 RF 특징값을 기반으로 하는 MAC 변조 검증 필요 여부에 따라 RF 특징값 기반의 MAC 변조 검증을 추가로 실시하는 것을 특징으로 하는 불법 위장 단말 식별 장치.
청구항 1에 있어서,
상기 단말 식별부는, MAC 변조된 불법 위장 단말이 식별됨에 따라 3개 이상의 상기 센서부로부터 상기 불법 위장 단말의 RF신호내의 RSSI값 및 RF 특징값을 제공받아 심각측량법으로 상기 불법 위장 단말의 위치를 측위하는 것을 특징으로 하는 불법 위장 단말 식별 장치.
센서부가, 무선 단말의 RF 신호를 근거로 MAC 주소와 RSSI값 및 RF 특징값을 수집하여 RF 특징 데이터베이스에 저장하는 단계; 및
단말 식별부가, 상기 센서부로부터의 어느 한 무선 단말의 MAC 검증 요청에 의해, 상기 RF 특징 데이터베이스의 정보와 상기 어느 한 무선 단말의 RSSI값 및 RF 특징값을 비교하여 상기 어느 한 무선 단말의 MAC 변조 여부를 식별하는 단계;를 포함하고,
상기 RF 특징값은 EVM, I/Q 오프셋, 주파수 오프셋, 및 동기 상관관계 중에서 하나 이상을 포함하고,
상기 무선 단말이 이동가능한 하나 이상의 사용자 단말인 경우,
상기 저장하는 단계는, 상기 MAC 검증 요청 이전에 상기 이동가능한 무선 단말의 MAC 주소를 등록받는 단계; 상기 무선 단말의 측정 위치별 위치 정보를 등록받는 단계; 및 상기 측정 위치별로 상기 무선 단말로부터의 RF 신호내에서 RSSI값과 RF 특징값을 추출하여 저장하는 단계;를 포함하는 것을 특징으로 하는 불법 위장 단말 식별 방법.
삭제
삭제
청구항 11에 있어서,
상기 식별하는 단계는,
상기 MAC 검증 요청을 수신함에 따라 상기 RF 특징 데이터베이스 내의 해당 어느 한 무선 단말의 MAC 주소에 대한 RSSI값과 EVM값을 기반으로 하는 확률값이 가장 높은 EVM값을 선택하는 단계;
상기 선택한 EVM값과 상기 센서부로부터의 RF 특징값 내의 EVM값과의 비교에 의해 상기 어느 한 무선 단말의 MAC 변조 여부를 식별하는 단계;를 포함하는 것을 특징으로 하는 불법 위장 단말 식별 방법.
청구항 14에 있어서,
상기 어느 한 무선 단말의 MAC 변조 여부를 식별하는 단계는 상기 선택한 EVM값과 상기 센서부로부터의 RF 특징값 내의 EVM값이 일치하지 않으면 상기 어느 한 무선 단말이 불법 위장 단말인 것으로 식별하는 것을 특징으로 하는 불법 위장 단말 식별 방법.
청구항 14에 있어서,
상기 어느 한 무선 단말의 MAC 변조 여부를 식별하는 단계는 상기 선택한 EVM값과 상기 센서부로부터의 RF 특징값 내의 EVM값이 특정 범위내에서 일치하지 않으면 상기 어느 한 무선 단말이 불법 위장 단말인 것으로 식별하는 것을 특징으로 하는 불법 위장 단말 식별 방법.
청구항 11에 있어서,
상기 무선 단말이 위치 고정형 AP인 경우,
상기 저장하는 단계는, 상기 MAC 검증 요청을 하기 전에, 상기 고정된 위치의 무선 단말의 RF 신호내에서 MAC 주소, RSSI값, RF 특징값을 추출하여 저장하는 것을 특징으로 하는 불법 위장 단말 식별 방법.
청구항 17에 있어서,
상기 식별하는 단계는,
상기 MAC 검증 요청을 수신함에 따라 상기 RF 특징 데이터베이스 내의 해당 어느 한 무선 단말의 MAC 주소와 RSSI값과 상기 센서부로부터의 MAC 주소와 RSSI값을 비교하여 MAC 및 RSSI 검증을 실시하는 단계; 및
상기 검증에 실패함에 따라 상기 RF 특징값을 기반으로 하는 MAC 변조 검증을 실시하는 단계;를 포함하는 것을 특징으로 하는 불법 위장 단말 식별 방법.
청구항 18에 있어서,
상기 식별하는 단계는 상기 MAC 주소와 RSSI값을 기반으로 하는 검증이 성공하면 RF 특징값을 기반으로 하는 MAC 변조 검증 필요 여부에 따라 RF 특징값 기반의 MAC 변조 검증을 실시하는 단계를 추가로 포함하는 것을 특징으로 하는 불법 위장 단말 식별 방법.
청구항 11에 있어서,
상기 단말 식별부가, MAC 변조된 불법 위장 단말이 식별됨에 따라, 3개 이상의 센서부로부터 상기 불법 위장 단말의 RF신호내의 RSSI값 및 RF 특징값을 제공받아 심각측량법으로 상기 불법 위장 단말의 위치를 측위하는 단계를 추가로 포함하는 것을 특징으로 하는 불법 위장 단말 식별 방법.