KR102254693B1

KR102254693B1 - 네트워크 저작기능을 갖는 사이버 보안 훈련 시스템

Info

Publication number: KR102254693B1
Application number: KR1020200143488A
Authority: KR
Inventors: 정광운; 김재용; 장태윤; 박상호
Original assignee: 주식회사 알파인랩
Priority date: 2020-10-30
Filing date: 2020-10-30
Publication date: 2021-05-21

Abstract

본 발명은 네트워크 저작기능을 갖는 사이버 보안 훈련 시스템에 관한 것으로, 네트워크 구성 장비가 배치되어 훈련 네트워크를 생성하고, 훈련 네트워크를 구성하는 네트워크 구성 장비에 적용 가능한 단위 훈련 시나리오 목록을 작성하며, 검증이 완료된 훈련 시나리오를 사용할 수 있도록 활성화하는 시스템 관리자 콘솔;훈련 네트워크의 생성요청을 분석하여 상기 생성요청의 적합성을 판단하고, 훈련 네트워크의 총 필요자원을 계산하여 생성 가능 여부를 판단하고, 요청에 의한 네트워크 구성 장비의 가상머신이나 시뮬레이터를 생성, 종료 및 재시작하는 훈련 네트워크 구동모듈; 사용 가능한 훈련 시나리오를 선택하여 훈련을 생성하고, 훈련 사용자 및 훈련 팀을 구성하며, 훈련 네트워크 구동모듈에 훈련 네트워크 구동요청을 송신한 후 훈련 네트워크 생성결과를 수신하여 구동과정을 실시간으로 모니터링하는 훈련 관리자 콘솔; 브라우저를 이용하여 웹 기반으로 원격접속하고, 훈련 관리자 콘솔로부터 수신한 훈련 피드백 내용을 출력하는 사용자 LMS(Learning Management System); 및 시나리오에 지정된 규칙에 따라 정보 수집, 장악 확장을 포함하는 공격자의 행위를 모사하고, 사용자의 피해행위를 모사하고, 시나리오 구성에 따른 모듈을 탑재하여 최종 악성코드 바이너리를 생성하는 시나리오 구동모듈을 포함한다.

Description

네트워크 저작기능을 갖는 사이버 보안 훈련 시스템{CYBER SECURITY TRAINING SYSTEM HAVING NETWORK WRITING FUNCTION}

본 발명은 네트워크 저작기능을 갖는 사이버 보안 훈련 시스템에 관한 것으로, 특히 네트워크 생성기술을 기반으로 네트워크 저작, 시나리오 저작 및 모의 공격방어 훈련을 모두 제공할 수 있는, 네트워크 저작기능을 갖는 사이버 보안 훈련 시스템에 관한 것이다.

이 배경기술 부분에 기재된 사항은 발명의 배경에 대한 이해를 증진시키기 위하여 작성된 것으로서, 이 기술이 속하는 분야에서 통상의 지식을 가진 자에게 이미 알려진 종래 기술이 아닌 사항을 포함할 수 있다.

훈련 시스템의 주요 대상은 일반 기업의 보안 담당자이며, 사고대응, 분석방법론 및 데이터 보존 등의 각 직무와 상황에 맞는 훈련이 필요하다. 그러나, 단위기술 학습 훈련시스템을 통해 익힐 수 있는 기술은 전체 보안사고에서 최종 단계에 속하는 상세 분석영역으로 해당 분야의 전문가에게만 유용하다.

이와 같은 문제로 인하여, 한국 인터넷 진흥원에서 진행하던 훈련 시스템은 서비스가 종료되었으며, 2014년 이후 시나리오 기반의 훈련방식이 새로운 보안 훈련 시스템으로 자리잡고 있다. 그러나, 현재 보안시장의 훈련 시나리오 기반 훈련 시스템은 임의 시나리오 제작불가, 기업 맞춤형 훈련불가, 공격방어 실시간 훈련불가, 최대 사용자 제한, 기용 시나리오 제한, 비 학습자 중심 훈련, 및 높은 비용 소요의 문제점이 존재한다.

또한, 학습자들은 자신의 기업환경과 맞지 않는 훈련을 하며, 개발사에서 제공한 문제의 답을 찾기 위해 과정이 아닌 결과만을 위한 비 효율적인 학습을 위해 높은 비용을 주고 있으므로, 새로운 패러다임의 훈련 시나리오 기반 훈련 시스템의 개발이 필요한 실정이다.

한국등록특허공보 제10-1534194호

전술한 종래기술의 문제점을 해결하기 위한 것으로, 본 발명은 기존의 훈련 시스템에서 수행되지 못한 네트워크 저작, 훈련 시나리오 저작, 및 모의 공격방어 훈련을 모두 제공할 수 있는, 네트워크 저작기능을 갖는 사이버 보안 훈련 시스템을 제공하는 것을 목적으로 한다.

또한, 본 발명은 실제 기업의 보안 당담자들과 피드백을 통해 설계된 학습자의 효율을 극대화할 수 있는 관리 및 학습 콘텐츠를 제공하여, 낮은 하드웨어 리소스 사용으로 속도와 가격 측면의 경쟁력에서도 우수성을 갖는, 네트워크 저작기능을 갖는 사이버 보안 훈련 시스템을 제공하는 것을 목적으로 한다.

본 발명의 일 실시예에 따른 네트워크 저작기능을 갖는 사이버 보안 훈련 시스템은, 네트워크 구성 장비가 배치되어 훈련 네트워크를 생성하고, 훈련 네트워크를 구성하는 네트워크 구성 장비에 적용 가능한 단위 훈련 시나리오 목록을 작성하며, 검증이 완료된 훈련 시나리오를 사용할 수 있도록 활성화하는 시스템 관리자 콘솔;훈련 네트워크의 생성요청을 분석하여 상기 생성요청의 적합성을 판단하고, 훈련 네트워크의 총 필요자원을 계산하여 생성 가능 여부를 판단하고, 요청에 의한 네트워크 구성 장비의 가상머신이나 시뮬레이터를 생성, 종료 및 재시작하는 훈련 네트워크 구동모듈; 사용 가능한 훈련 시나리오를 선택하여 훈련을 생성하고, 훈련 사용자 및 훈련 팀을 구성하며, 훈련 네트워크 구동모듈에 훈련 네트워크 구동요청을 송신한 후 훈련 네트워크 생성결과를 수신하여 구동과정을 실시간으로 모니터링하는 훈련 관리자 콘솔; 브라우저를 이용하여 웹 기반으로 원격접속하고, 훈련 관리자 콘솔로부터 수신한 훈련 피드백 내용을 출력하는 사용자 LMS(Learning Management System); 및 훈련 시나리오에 지정된 규칙에 따라 정보 수집과 장악 확장을 포함하는 공격자의 행위와 사용자의 피해행위를 모사하고, 훈련 시나리오의 구성에 따른 모듈을 탑재하여 최종 악성코드 바이너리를 생성하는 훈련 시나리오 구동모듈을 포함한다.

여기서, 윈도우에서 발생하는 이벤트 로그, 리눅스 시스템의 주요로그, 및 시뮬레이터 내부에서 발생하는 로그를 수집하는 이벤트 수집모듈을 더 포함한다.

또한, 로그 데이터베이스에 저장된 이벤트 로그를 분석하고, 진행 중인 훈련에 연관된 이벤트 로그를 분석하여 훈련 관리자 콘솔로 송신하며, 최종 유효 이벤트 후 설정시간동안 유효한 행위가 발생하지 않을 때, 훈련 시나리오에 설정된 피드백 내용을 송신하는 훈련 피드백 모듈을 더 포함한다.

또한, 시스템 관리자 콘솔은 단위 훈련 시나리오의 입력값, 출력값 및 순서를 포함하는 옵션값을 지정한다.

또한, 훈련 관리자 콘솔은 훈련 네트워크의 양을 결정한다.

또한, 훈련 피드백 모듈은 훈련 시나리오에 지정된 유효행위를 판단하여 진행 중인 훈련 시나리오에 관련된 리소스를 읽기, 수정 또는 삭제한다.

또한, 훈련 피드백 모듈은 마지막 유효한 이벤트 후 설정시간동안 유효한 행위가 발생하지 않을 때 시나리오에 설정된 피드백 내용을 송신한다.

또한, 훈련 네트워크 구동모듈은 훈련 네트워크를 비 동기적으로 생성한다.

본 발명에 따르면, 기존의 훈련 시스템에서 수행되지 못한 네트워크 저작, 훈련 시나리오 저작, 및 모의 공격방어 훈련을 모두 제공할 수 있다.

또한, 본 발명에 따르면, 실제 기업의 보안 당담자들과 피드백을 통해 설계된 학습자의 효율을 극대화할 수 있는 관리 및 학습 콘텐츠를 제공하여, 낮은 하드웨어 리소스 사용으로 속도와 가격 측면의 경쟁력에서도 우수성을 갖는다.

도 1은 본 발명의 일 실시예에 따른 네트워크 저작기능을 갖는 사이버 보안 훈련 시스템의 구성도이다.
도 2는 본 발명의 일 실시예에 따른 시스템 관리자 콘솔의 주요동작을 나타낸 흐름도이다.
도 3은 본 발명의 일 실시예에 따른 훈련 네트워크 구동모듈의 주요동작을 나타낸 흐름도이다.
도 4는 본 발명의 일 실시예에 따른 훈련 관리자 콘솔의 주요동작을 나타낸 흐름도이다.
도 5는 본 발명의 일 실시예에 따른 사용자 LMS의 주요동작을 나타낸 흐름도이다.
도 6은 본 발명의 일 실시예에 따른 훈련 피드백 모듈의 주요동작을 나타낸 흐름도이다.
도 7은 본 발명의 일 실시예에 따른 학습자 중심의 사용자 LMS 화면이다.

본 발명의 이점 및 특징, 그리고 그것들을 달성하는 방법은 첨부되는 도면과 함께 후술되어 있는 실시예들을 참조하면 명확해질 것이다. 그러나, 본 발명은 이하에서 개시되는 실시예들에 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 수 있다. 단지 실시예들은 본 발명의 개시가 완전하도록 하고, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 발명의 범주를 완전하게 알려주기 위해 제공되는 것이며, 본 발명은 청구항의 범주에 의해 정의될 뿐이다.

도 1을 참조하면, 네트워크 저작기능을 갖는 사이버 보안 훈련 시스템(1000)은, 시스템 관리자 콘솔(100), 훈련 네트워크 구동모듈(200), 훈련 관리자 콘솔 (300), 사용자 LMS(Learning Management System, 400), 훈련 시나리오 구동모듈 (500), 이벤트 수집모듈(600) 및 훈련 피드백 모듈(700)을 포함할 수 있다.

시스템 관리자 콘솔(100), 훈련 네트워크 구동모듈(200), 훈련 관리자 콘솔 (300), 사용자 LMS(Learning Management System, 400), 훈련 시나리오 구동모듈 (500), 이벤트 수집모듈(600) 및 훈련 피드백 모듈(700)은 가상 네트워크를 통해 연결되어 있다.

시스템 관리자 콘솔(100)은 네트워크 관련 장비나 PC와 같은 네트워크 구성 장비가 배치되어 훈련 네트워크를 생성한다(S210). 그리고, 시스템 관리자 콘솔(100)은 네트워크 구조를 검증하여 네트워크 구성장비 사이를 연결하고, 이들 사이의 통신 가능 여부를 검증한 후 구동을 대기한다. 또한, 시스템 관리자 콘솔(100)은 작성된 네트워크 명세서를 내보내기하거나 불러오기할 수 있는 기능을 제공한다.

또한, 시스템 관리자 콘솔(100)은 훈련 네트워크를 구성하는 네트워크 구성 장비에 적용 가능한 단위 훈련 시나리오 목록을 작성한다(S220). 이때, 시스템 관리자 콘솔(100)은 단위 훈련 시나리오의 입력값, 출력값 및 순서를 포함하는 옵션값을 지정한다.

또한, 시스템 관리자 콘솔(100)은 검증이 완료된 훈련 시나리오를 사용할 수 있도록 활성화하고(S230), 훈련 시나리오와 네트워크에 대해 수정 또는 삭제할 수 있는 기능을 제공한다.

훈련 네트워크 구동모듈(200)은 훈련 네트워크의 생성요청을 분석하여 생성요청의 적합성을 판단한다(S310). 그리고, 훈련 네트워크 구동모듈(200)은 훈련 네트워크의 총 필요자원을 계산하여 생성 가능 여부를 판단하고(S320), 요청받은 네트워크 구성장비를 자원분배 알고리즘에 의해 자원서버에 분배한다.

훈련 네트워크 구동모듈(200)은 요청에 의한 네트워크 구성 장비의 가상머신이나 시뮬레이터를 생성, 종료 및 재시작한다(S330). 그리고, 훈련 네트워크 구동모듈(200)은 훈련 네트워크를 비 동기적으로 생성하며, 관리자의 요청시 네트워크 내의 각 구성장비의 상태를 훈련 관리자에게 송신한다.

훈련 관리자 콘솔(300)은 사용 가능한 훈련 시나리오를 선택하여 훈련을 생성한다(S410). 그리고, 훈련 관리자 콘솔(300)은 훈련 사용자 및 훈련 팀을 구성하고(S420), 실제로 필요한 훈련 네트워크의 양을 결정한다. 그리고, 훈련 관리자 콘솔(400)은 훈련 네트워크 구동모듈에 훈련 네트워크 구동요청을 송신한다(S330). 또한, 훈련 관리자 콘솔(300)은 훈련 네트워크 생성결과를 수신하여 구동과정을 실시간으로 모니터링한다.

훈련 관리자 콘솔(300)은 훈련 네트워크의 정상 동작 여부흘 확인하고, 재시작 또는 테스트 등을 관리하는 기능을 갖는다. 그리고, 훈련 관리자 콘솔(300)은 사용자 진행률을 확인하고, 사용자의 단말기에 직접 훈련 가이드를 송신한다.

사용자 LMS(400)는 브라우저(brouser)를 이용하여 웹 기반으로 원격접속하고(S510), 탭 기능을 제공하여 다수의 네트워크 구성장비에 대한 원격접속기능을 갖는다.

사용자 LMS(400)는 훈련 관리자 콘솔(300) 또는 훈련 피드백 모듈(700)로부터 수신한 훈련 피드백 내용을 출력하고(S520), 훈련 화면을 동영상 녹화 후 스토리지 서버(storage server)에 저장한다(S530).

기존의 훈련 시스템은 원격접속을 위해 가상화 프레임 워크의 기본 콘솔 프로그램(예: VM 웨어사의 vSphere Client)을 사용하거나 솔루션 외의 원격제어도구(예: XShell, VNC)를 사용하기 때문에 실시간 분석과정에서의 사용자의 활동정보수집 및 시각적인 분석방향 가이드의 제공이 제한된다.

학습자 중심의 사용자 LMS(400)는 웹 기반으로 구현된 원격 제어 콘솔을 이용하여 분석대상 시스템에 대한 원격접속을 지원하며, 도 7에 도시된 바와 같이 원격 제어 콘솔의 창 우측의 실시간 훈련정보 창을 통해 분석방향 가이드를 제공한다. 분석 가이드는 이벤트 기반 자동 피드백 제공기능으로 인해 구현되며, 정상적인 방향으로 훈련이 진행될 수 있도록 학습자를 유도한다. 이해도가 부족한 학습자들에게는 문제해결방안을 제시한다. 학습자의 모든 분석과정은 사후 강평을 위해 녹화되며, 관리서버에 동영상 파일로 저장된다.

훈련 시나리오 구동모듈(500)은 공격자 구성요소에 탑재되어 초기 장악, C&C 서버 생성과 관리를 수행한다. 그리고, 훈련 시나리오 구동모듈(500)은 훈련 시나리오에 지정된 규칙에 따라 정보 수집과 장악 확장을 포함하는 공격자의 행위와 사용자의 피해행위를 모사한다. 이때, 훈련 시나리오 구동모듈(500)은 주로 사용자의 행위가 필요한 일부 초기 장악 훈련 시나리오 수행에 관여한다.

훈련 시나리오 구동모듈(500)은 훈련 시나리오 구성에 따른 모듈을 탑재하여 최종 악성코드 바이너리를 생성한다. 그리고, 훈련 시나리오 구동모듈(500)은 장악 단계에서 설치되어 공격자 시뮬레이터와 C&C 통신 및 추가 공격을 수행한다.

이벤트 수집모듈(600)은 윈드우즈 이벤트, 리눅스 이벤트, 컨테이너 이벤트 및 시뮬레이터 이벤트를 수집할 수 있다.

윈도우즈 이벤트 수집과 관련하여, 이벤트 수집모듈(600)은 윈도우즈 ETW를 이용하여 윈도우에서 발생하는 모든 이벤트 로그를 수집하고, 훈련 시나리오별 서비스에서 생성되는 서비스의 자체 로그를 수집한다.

리눅스 이벤트 수집과 관련하여, 이벤트 수집모듈(600)은 리눅스 시스템의 주요 로그를 수집하고, 리눅스 커널 후킹을 이용하여 파일 시스템과 관련한 접근, 수정 또는 삭제하는 로그를 수집한다. 그리고, 이벤트 수집모듈(600)은 훈련 시나리오별 서비스에서 생성되는 서비스의 자체 로그를 수집한다.

컨테이너 이벤트 수집과 관련하여, 이벤트 수집모듈(600)은 리눅스 시스템의 주요 로그를 수집하고, 훈련 시나리오별 서비스에서 생성되는 서비스의 자체 로그를 수집한다.

시뮬레이터 이벤트 수집과 관련하여, 이벤트 수집모듈(600)은 시뮬레이터의 내부에 구현되며, 발생되는 모든 로그를 수집하여 로그서버에 저장한다.

훈련 피드백 모듈(700)은 로그 데이터베이스에 저장된 이벤트 로그를 분석하고(S610), 진행 중인 훈련에 연관된 이벤트 로그를 분석하여 훈련 관리자 콘솔(300)로 송신한다.

훈련 피드백 모듈(700)은 훈련에 관련된 이벤트를 분석하여 훈련 시나리오에 지정된 유효한 행위를 판단한다(S620). 이때, 훈련 피드백 모듈(700)은 진행 중인 훈련 시나리오에 관련된 리소스를 읽기, 수정 또는 삭제할 수 있다.

훈련 피드백 모듈(700)은 최종 유효 이벤트 후 설정시간동안 유효한 행위가 발생하지 않을 때, 훈련 시나리오에 설정된 피드백 내용을 송신한다(S630). 이때, 훈련 피드백 모듈(700)은 부분 인증 이후의 과정에 대한 분석방향 가이드를 단계별로 송신한다.

본 발명의 일 실시예에 따른 네트워크 저작기능을 갖는 사이버 보안 훈련 시스템은, 네트워크 생성기술을 기반으로 네트워크 저작, 시나리오 저작 및 모의 공격방어 훈련을 모두 제공할 수 있다.

또한, 실제 기업 보안인력들과 피드백을 통해 설계된 학습자의 효율을 극대화할 수 있는 관리 및 학습 콘텐츠를 제공하며, 낮은 비용의 하드웨어 리소스를 사용하여 속도와 가격 경쟁력에서도 우수성을 갖는다.

또한, 훈련 시나리오 설계시 분석의 필요성에 따라 사용하는 가상화 방식을 결정하여 전체 네트워크를 구성하는데 소요되는 하드웨어 자원을 최소화할 수 있다.

전술한 본 발명의 실시예들은 이해를 돕기 위하여 도면에 도시된 실시예들을 참고로 설명되었으나, 이는 예시적인 것에 불과하며, 당해 분야에서 통상적 지식을 가진 자라면 이로부터 다양한 변형 및 균등한 타 실시예가 가능하다는 점을 이해할 것이다. 따라서, 본 발명의 진정한 기술적 보호 범위는 첨부된 청구범위에 의해 정해져야 할 것이다.

100 : 시스템 관리자 콘솔 200 : 훈련 네트워크 구동모듈
300 : 훈련 관리자 콘솔 400 : 사용자 LMS
500 : 훈련 시나리오 구동모듈 600 : 이벤트 수집모듈
700 : 훈련 피드백 모듈

Claims

네트워크 구성 장비가 배치되어 훈련 네트워크를 생성하고, 상기 훈련 네트워크를 구성하는 네트워크 구성 장비에 적용 가능한 단위 훈련 시나리오 목록을 작성하며, 검증이 완료된 훈련 시나리오를 사용할 수 있도록 활성화하는 시스템 관리자 콘솔;
상기 훈련 네트워크의 생성요청을 분석하여 상기 생성요청의 적합성을 판단하고, 상기 훈련 네트워크의 총 필요자원을 계산하여 생성 가능 여부를 판단하고, 요청에 의한 상기 네트워크 구성 장비의 가상머신이나 시뮬레이터를 생성, 종료 및 재시작하는 훈련 네트워크 구동모듈;
사용 가능한 훈련 시나리오를 선택하여 훈련을 생성하고, 훈련 사용자 및 훈련 팀을 구성하며, 상기 훈련 네트워크 구동모듈에 훈련 네트워크 구동요청을 송신한 후 훈련 네트워크 생성결과를 수신하여 구동과정을 실시간으로 모니터링하는 훈련 관리자 콘솔;
브라우저를 이용하여 웹 기반으로 원격접속하고, 상기 훈련 관리자 콘솔로부터 수신한 훈련 피드백 내용을 출력하는 사용자 LMS(Learning Management System); 및
상기 훈련 시나리오에 지정된 규칙에 따라 정보 수집과 장악 확장을 포함하는 공격자의 행위와 사용자의 피해행위를 모사하고, 상기 훈련 시나리오의 구성에 따른 모듈을 탑재하여 최종 악성코드 바이너리를 생성하는 훈련 시나리오 구동모듈 을 포함하고,
상기 시스템 관리자 콘솔은,
상기 단위 훈련 시나리오의 입력값, 출력값 및 순서를 포함하는 옵션값을 지정 하는 것을 특징으로 하는 네트워크 저작기능을 갖는 사이버 보안 훈련 시스템.
제1항에 있어서,
윈도우에서 발생하는 이벤트 로그, 리눅스 시스템의 주요로그, 및 시뮬레이터 내부에서 발생하는 로그를 수집하는 이벤트 수집모듈을 더 포함하는 것을 특징으로 하는 네트워크 저작기능을 갖는 사이버 보안 훈련 시스템.
제2항에 있어서,
로그 데이터베이스에 저장된 이벤트 로그를 분석하고, 진행 중인 훈련에 연관된 이벤트 로그를 분석하여 상기 훈련 관리자 콘솔로 송신하며, 최종 유효 이벤트 후 설정시간동안 유효한 행위가 발생하지 않을 때, 상기 훈련 시나리오에 설정된 피드백 내용을 송신하는 훈련 피드백 모듈을 더 포함하는 것을 특징으로 하는 네트워크 저작기능을 갖는 사이버 보안 훈련 시스템.
삭제
제1항에 있어서,
상기 훈련 관리자 콘솔은 상기 훈련 네트워크의 양을 결정하는 것을 특징으로 하는 네트워크 저작기능을 갖는 것을 특징으로 하는 사이버 보안 훈련 시스템.
제3항에 있어서,
상기 훈련 피드백 모듈은 상기 훈련 시나리오에 지정된 유효행위를 판단하여 진행 중인 훈련 시나리오에 관련된 리소스를 읽기, 수정 또는 삭제하는 것을 특징으로 하는 사이버 보안 훈련 시스템.
제6항에 있어서,
상기 훈련 피드백 모듈은 최종의 유효한 이벤트 후 설정시간동안 유효한 행위가 발생하지 않을 때 훈련 시나리오에 설정된 피드백 내용을 송신하는 것을 특징으로 하는 사이버 보안 훈련 시스템.
제1항에 있어서,
상기 훈련 네트워크 구동모듈은 상기 훈련 네트워크를 비 동기적으로 생성하는 것을 특징으로 하는 사이버 보안 훈련 시스템.