KR102442520B1 - RRC 연결에서 DoS 공격 대응 방법 및 서버 - Google Patents

RRC 연결에서 DoS 공격 대응 방법 및 서버 Download PDF

Info

Publication number
KR102442520B1
KR102442520B1 KR1020220088278A KR20220088278A KR102442520B1 KR 102442520 B1 KR102442520 B1 KR 102442520B1 KR 1020220088278 A KR1020220088278 A KR 1020220088278A KR 20220088278 A KR20220088278 A KR 20220088278A KR 102442520 B1 KR102442520 B1 KR 102442520B1
Authority
KR
South Korea
Prior art keywords
rrc
base station
rrc connection
tmsi
received
Prior art date
Application number
KR1020220088278A
Other languages
English (en)
Inventor
김도원
박성민
조형진
박영권
김대운
권성문
Original Assignee
한국인터넷진흥원
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 한국인터넷진흥원 filed Critical 한국인터넷진흥원
Priority to KR1020220088278A priority Critical patent/KR102442520B1/ko
Application granted granted Critical
Publication of KR102442520B1 publication Critical patent/KR102442520B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H04W12/122—Counter-measures against attacks; Protection against rogue devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W24/00—Supervisory, monitoring or testing arrangements
    • H04W24/08—Testing, supervising or monitoring using real traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/11—Allocation or use of connection identifiers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/30—Connection release
    • H04W76/38—Connection release triggered by timers

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

DoS 공격 대응 방법은, 컴퓨팅 장치에 의해 수행되는 DoS 공격 대응 방법에 있어서, 단말로부터 수신한 패킷의 프로토콜 및 상기 수신한 패킷의 메시지 유형을 확인하는 단계, 상기 수신한 패킷의 프로토콜이 RRC(Radio Resource Control)이고, 상기 수신한 패킷의 메시지 유형이 RRC 연결 요청이면, 상기 수신한 패킷에 포함된 s-TMSI(serving Temporary Mobile Subscriber Identity) 값을 RRC 연결된 단말의 s-TMSI 값과 비교하는 단계, 상기 비교 결과 상기 수신한 패킷에 포함된 s-TMSI 값과 상기 RRC 연결된 단말의 s-TMSI 값이 서로 동일하면, 대기 타이머의 동작을 시작하는 단계, 및 상기 RRC 연결 요청 메시지를 수신한 시점으로부터 동작한 내부 타이머가 만료되거나, 다른 RRC 연결 요청 메시지를 수신하면, 새로운 베어러(bearer)를 삭제하고 공격의 위험 정도를 나타내는 변수 값을 증가시키는 단계를 포함한다.

Description

RRC 연결에서 DoS 공격 대응 방법 및 서버{RESPONDING METHOD AND SERVER OF DENIAL OF SERVICE ATTACK IN RADIO RESOURCE CONTROL CONNECTION}
본 발명은 RRC 연결에서 DoS 공격 대응 방법 및 서버에 관한 것이다. 보다 구체적으로, 본 발명은 이동 통신 망을 구성하는 기지국과 단말 사이의 RRC 연결 과정에서 발생할 수 있는 DoS 공격에 대응하는 방법 및 그 서버에 관한 것이다.
휴대용 단말은, 고속의 무선 통신을 기반으로 사용자에게 다수의 모바일 서비스를 제공하고 있다. 이러한 모바일 서비스는, 음성 통화 등의 통신 서비스 뿐만 아니라, 의료 서비스, 차량의 자율 주행 등 다양 한 분야에서 활용될 수 있다. 따라서 사용자들이 모바일 서비스를 안전하게 사용하기 위한 보안 기술을 개발하기 위한 다양한 연구가 진행되고 있다.
특히, 단말이 기지국과 연결하기 위해 통신함에 있어서, 악의적인 공격자는 단말과 기지국 간의 통신에 공격을 가하여 이동 통신망의 한정된 무선 자원을 악의적으로 점유하고 있다. 따라서 이러한 공격에 대한 보안 기술의 필요성이 대두되고 있다.
본 발명의 목적은 상기와 같은 문제점을 해결하기 위한 것으로, 단말이 기지국에 무선 연결되지 않고 DoS 상태에 빠지는 것을 방지하는 방법 및 그 장치를 제공하는 것이다.
본 발명의 기술적 과제들은 이상에서 언급한 기술적 과제로 제한되지 않으며, 언급되지 않은 또 다른 기술적 과제들은 아래의 기재로부터 본 발명의 기술 분야에서의 통상의 기술자에게 명확하게 이해될 수 있을 것이다.
상기와 같은 목적을 달성하기 위하여 본 발명의 실시예에 따르면, DoS 공격 대응 방법은, 컴퓨팅 장치에 의해 수행되는 DoS 공격 대응 방법에 있어서, 단말로부터 수신한 패킷의 프로토콜 및 상기 수신한 패킷의 메시지 유형을 확인하는 단계, 상기 수신한 패킷의 프로토콜이 RRC(Radio Resource Control)이고, 상기 수신한 패킷의 메시지 유형이 RRC 연결 요청이면, 상기 수신한 패킷에 포함된 s-TMSI(serving Temporary Mobile Subscriber Identity) 값을 RRC 연결된 단말의 s-TMSI 값과 비교하는 단계, 상기 비교 결과 상기 수신한 패킷에 포함된 s-TMSI 값과 상기 RRC 연결된 단말의 s-TMSI 값이 서로 동일하면, 대기 타이머의 동작을 시작하는 단계, 및 상기 RRC 연결 요청 메시지를 수신한 시점으로부터 동작한 내부 타이머가 만료되거나, 다른 RRC 연결 요청 메시지를 수신하면, 새로운 베어러(bearer)를 삭제하고 공격의 위험 정도를 나타내는 변수 값을 증가시키는 단계를 포함한다.
공격의 위험 정도를 나타내는 변수 값이 임계 횟수에 도달하거나, 상기 RRC 연결 요청 메시지를 수신한 시점으로부터 동작한 제한 타이머가 만료되면, 기지국 운영자에게 경고 알람을 송신하는 단계를 더 포함할 수 있다.
상기 수신한 패킷의 프로토콜이 RRC이고, 상기 수신한 패킷의 메시지 유형이 RRC 연결 설정 완료이면, 기 생성되어 있는 베어러를 삭제하고, 새로운 베어러를 생성하는 단계를 더 포함할 수 있다.
상기 수신한 패킷에 포함된 s-TMSI 값을 RRC 연결된 단말의 s-TMSI 값을 비교하는 단계는, 상기 단말에 RRC 연결 셋업 메시지를 송신하는 단계, 및 상기 RRC 연결 요청 메시지를 수신한 시점으로부터 상기 내부 타이머 및 상기 제한 타이머의 동작을 시작하는 단계를 포함할 수 있다.
상기 비교 결과 상기 수신한 패킷에 포함된 s-TMSI 값과 상기 RRC 연결된 단말의 s-TMSI 값이 서로 동일하지 않으면, 단말로부터 수신하는 패킷을 모니터링하는 단계를 더 포함할 수 있다.
본 발명의 다른 실시예에 따르면, 기지국 서버는, 프로세서, 메모리, 및 상기 메모리에 로드 되고, 상기 프로세서에 의해 실행되는 컴퓨터 프로그램을 포함하되, 상기 컴퓨터 프로그램은, 단말로부터 수신한 패킷의 프로토콜 및 상기 수신한 패킷의 메시지 유형을 확인하는 명령어, 상기 수신한 패킷의 프로토콜이 RRC(Radio Resource Control)이고, 상기 수신한 패킷의 메시지 유형이 RRC 연결 요청이면, 상기 수신한 패킷에 포함된 s-TMSI(serving Temporary Mobile Subscriber Identity) 값을 RRC 연결된 단말의 s-TMSI 값과 비교하는 명령어, 상기 비교 결과 상기 수신한 패킷에 포함된 s-TMSI 값과 상기 RRC 연결된 단말의 s-TMSI 값이 서로 동일하면, 대기 타이머의 동작을 시작하는 명령어, 상기 RRC 연결 요청 메시지를 수신한 시점으로부터 동작한 내부 타이머가 만료되거나, 다른 RRC 연결 요청 메시지를 수신하면, 새로운 베어러를 삭제하고 공격의 위험 정도를 나타내는 변수 값을 증가시키는 명령어, 및 상기 공격의 위험 정도를 나타내는 변수 값이 임계 횟수에 도달하거나, 상기 RRC 연결 요청 메시지를 수신한 시점으로부터 동작한 제한 타이머가 만료되면, 기지국 운영자에게 경고 알람을 송신하는 명령어를 포함한다.
상기 컴퓨터 프로그램은, 상기 수신한 패킷의 프로토콜이 RRC이고, 상기 수신한 패킷의 메시지 유형이 RRC 연결 설정 완료이면, 기 생성되어 있는 베어러를 삭제하고, 새로운 베어러를 생성하는 명령어를 더 포함할 수 있다.
본 발명의 또 다른 실시예에 따르면, 기지국 서버는, 프로그램 코드를 저장하는 메모리에 결합된 프로세서를 포함하는 서버에 있어서, 기지국이 수신하는 패킷을 실시간으로 모니터링하는 패킷 모니터부, 수신한 패킷에서의 s-TMSI와 기존의 s-TMSI를 비교하는 s-TMSI 관리부, 프로토콜이 RRC(Radio Resource Control) 프로토콜이고, 메시지 유형이 RRC 연결 요청인 패킷을 수신한 시점으로부터 내부 타이머 및 제한 타이머를 시작하고, 상기 수신한 패킷에서의 s-TMSI(serving Temporary Mobile Subscriber Identity)가 기존의 s-TMSI인 경우 대기 타이머를 시작하는 타이머 동작부, 프로토콜이 RRC 프로토콜이고, 메시지 유형이 RRC 연결 설정 완료인 패킷을 수신하면, 기존의 베어러를 삭제하고, 새로운 베어러를 생성하는 베어러 관리부, 및 상기 프로토콜이 RRC 프로토콜이고, 메시지 유형이 RRC 연결 요청인 패킷을 수신하면, 사용자 단말에게 송신할 RRC 연결 셋업 메시지를 생성하는 메시지 생성부를 포함한다.
상기 타이머 동작부는, 상기 대기 타이머가 만료되거나, 다른 RRC 연결 요청이 수신되면, 공격의 위험 정도를 나타내는 변수 값을 증가시킬 수 있다.
상기 메시지 생성부는, 상기 공격의 위험 정도를 나타내는 변수 값이 임계 횟수에 도달하거나, 상기 제한 타이머가 만료되면, 기지국 운영자에게 송신할 경고 알람 메시지를 생성할 수 있다.
본 발명은, 단말이 기지국에 무선 연결되지 않고 DoS 상태에 빠지는 것을 방지하기 위하여 기지국에서 기존 사용자의 연결을 일정 시간 유지하거나, RRC 연결 요청 횟수 및 시간을 제한하여, 악의적인 공격자의 RRC 리플레이 공격을 무력화할 수 있다.
또한 본 발명은, 단말의 접속 중단을 방지하여, 단말 사용자의 통신 만족도를 향상시키고, 의료 서비스 또는 자율 주행 분야에서 무선 통신이 안정적으로 이루어질 수 있도록 하여 의료 사고 또는 차량 사고로 인한 심각한 문제가 발생하는 것을 방지할 수 있다.
본 발명의 효과들은 이상에서 언급한 효과로 제한되지 않으며, 언급되지 않은 또 다른 효과들은 아래의 기재로부터 본 발명의 기술 분야에서의 통상의 기술자에게 명확하게 이해될 수 있을 것이다.
도 1은 본 발명의 일 실시예에 따른 DoS 공격 대응 시스템을 도식적으로 도시한 도면이다.
도 2는 사용자 단말과 기지국 간의 RRC 연결 흐름을 나타낸 순서도이다.
도 3은 중간자 공격을 설명하기 위한 본 발명의 일 실시예에 따른 DoS 공격 대응 시스템을 도식적으로 도시한 도면이다.
도 4는 도 3의 가짜 기지국을 이용한 RRC 리플레이 공격을 설명하기 위한 순서도이다.
도 5는 사용자 단말과 대상 기지국 각각이 내부 타이머를 통해 RRC 연결을 관리하는 동작을 설명하기 위한 순서도이다.
도 6은 본 발명의 일 실시예에 따른 DoS 공격 대응 방법을 설명하기 위한 순서도이다.
도 7은 본 발명의 일 실시예에 따른 DoS 공격 대응 방법을 설명하기 위한 순서도이다.
도 8은 본 발명의 일 실시예에 따른 단말 및 기지국 서버를 도식적으로 설명하는 블록도이다.
도 9는 도 8에서 기지국 서버의 프로세서를 설명하기 위한 블록도이다.
본 발명은 취지를 벗어나지 않는 한도에서 다양하게 변경하여 실시할 수 있고, 하나 이상의 실시 예를 가질 수 있다. 그리고 본 발명에서 “발명을 실시하기 위한 구체적인 내용” 및 “도면” 등에 기재한 실시 예는, 본 발명을 구체적으로 설명하기 위한 예시이며, 본 발명의 권리 범위를 제한하거나 한정하는 것은 아니다.
따라서, 본 발명이 속하는 기술 분야의 통상의 지식을 가진 자가, 본 발명의 “발명을 실시하기 위한 구체적인 내용” 및 “도면” 등으로부터 용이하게 유추할 수 있는 것은, 본 발명의 범위에 속하는 것으로 해석할 수 있다.
또한, 도면에 표시한 각 구성 요소들의 크기와 형태는, 실시 예의 설명을 위해 과장되어 표현한 것 일 수 있으며, 실제로 실시되는 발명의 크기와 형태를 한정하는 것은 아니다.
본 발명의 명세서에서 사용되는 용어를 특별히 정의하지 않는 이상, 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자가 일반적으로 이해하는 것과 동일한 의미를 가질 수 있다.
본 발명의 명세서에서, 5G 무선 연결을 위한 Radio Resource Control 프로토콜을 통해 단말과 기지국 간의 무선 채널을 열고 닫는 시그널링 통신을 RRC 연결이라 한다.
이하, 도면을 참조하여 본 발명의 실시 예를 상세하게 설명한다.
도 1은 본 발명의 일 실시예에 따른 DoS 공격 대응 시스템을 도식적으로 도시한 도면이다.
일 실시예에 따른 DoS(Denial of Service) 공격 대응 시스템(1)은, 복수의 셀(Cell)(111_1-111_3)들 중 하나의 셀(예를 들어, 111_1)에 대응하는 하나의 기지국(Serving Base Station)(예에서, 11_1)과 사용자 단말(21) 간의 RRC 연결 과정에서 공격자 단말(22)이 DoS 공격하는 것에 대응하는 시스템일 수 있다. 이하, 사용자 단말(21)에 DoS 공격하기 위해 공격자 단말(22)을 운영하는 자를 공격자라 한다.
DoS 공격 대응 시스템(1)은, 복수의 기지국(11_1-11_3), 사용자 단말(21), 및 공격자 단말(22)를 포함할 수 있다. 사용자 단말(21) 및 공격자 단말(22) 각각은, 네트워크를 통해 복수의 기지국(11_1-11_3) 중 적어도 하나에 연결될 수 있다. 여기서 무선 연결을 제어하는 프로토콜은 RRC(Radio Resource Control) 프로토콜이다.
복수의 기지국(11_1-11_3)의 공통된 동작 및 기술 특징을 설명할 때, 복수의 기지국(11_1-11_3)을 통칭하여 기지국(11)으로 나타낸다. 기지국(11)의 개수는, 도 1에 3개인 것으로 도시하였으나, 이는 설명의 편의를 위한 것이고, 기지국(11)의 개수가 이에 한정되지 않는다. 기지국은, 2 이상의 복수 개일 수 있다. 복수의 기지국(11_1-11_3) 각각의 셀은 복수의 셀(111_1-111_3)로 나타낼 수 있다. 복수의 셀(111_1-111_3)의 공통된 동작 및 기술 특징을 설명할 때, 복수의 셀(111_1-111_3)을 통칭하여 셀(111)로 나타낸다. 셀(111)의 개수는, 도 1에 3개인 것으로 도시하였으나, 이는 설명의 편의를 위한 것이고, 셀(111)의 개수는 기지국(11)의 개수에 따라 증감될 수 있다.
기지국(11)은, eNB(eNodeB) 또는 gNB(gNodeB)로 구성될 수 있다. 여기서 eNB는 LTE 네트워크 또는 5G에서 모바일 단말과 무선으로 통신하는 네트워크에 연결된 무선 기지국이고, eNB는 비독립형(Non-Standalone, NSA)에 사용될 수 있다. gNB는 모바일 단말과 모바일 네트워크 간의 통신을 송수신하는 5G 무선 기지국이고, gNB는 5G 독립형(Standalone, SA)에 사용될 수 있다. 다만 기지국(11)은, 본 예시에 한정되지 않고 5G 이동 통신망에 적용될 수 있는 모든 기지국 중 적어도 하나로 구현될 수 있다.
사용자 단말(21) 및 공격자 단말(22)에서의 단말은, 무선통신이 가능한 이동 단말(User Equipment, UE)일 수 있다. 사용자 단말(21)은, 공격자 단말(22)의 DoS 공격을 받는 주체이다. 사용자 단말(21)은, 공격자 단말(22)에 대응하여 피해자 단말(Victim's UE)로도 나타낼 수도 있다.
사용자 단말(21)은, 사용 가능한 무선 채널을 스캔하고, 신호 강도(Reference Signal Received Power, RSRP)가 가장 강한 신호를 찾아 셀(111)을 검색할 수 있다. 이하, 복수의 셀(111_1-111_3) 중 사용자 단말(21)을 기준으로 가장 강한 신호 강도를 가지는 셀(111_1)을 대상 셀(111_1)이라 하고, 복수의 기지국(11_1-11_3) 중 대상 셀(111_1)에 대응하는 기지국(11_1)을 대상 기지국(11_1)이라 한다.
이하, 도 2를 참조하여 사용자 단말(21)과 대상 기지국(11_1) 간의 RRC 연결 방법을 설명한다.
도 2는 사용자 단말과 기지국 간의 RRC 연결 흐름을 나타낸 순서도이다.
사용자 단말(21)은, 대상 기지국(11_1)에 RRC 연결 요청 메시지를 s-TMSI(serving Temporary Mobile Subscriber Identity)와 함께 송신할 수 있다(S201).
사용자 단말(21)의 사용자(이하, 사용자)는, 고유한 ID와 변경되는 ID를 가지고 시그널링 통신을 수행할 수 있다. 여기서 고유한 ID는 전세계적으로 이동통신 사용자를 유일하게 식별하는 고정되고, 영구적인 ID인 IMSI(International Mobile Subscriber Identifier)일 수 있다. IMSI는, USIM에 저장되며, 유출되는 경우 여러 공격에서 악용될 수 있다. 변경되는 ID는, IMSI 유출을 방지하기 위해 사용되는 임시 ID인 GUTI(Global Unique Temporary Identifier), s-TMSI 등일 수 있다. GUTI는, 코어망 인증 장비로부터 가입자마다 발급되며, TAU 등으로 업데이트하여 새로 할당될 수 있다. 이동 통신망 사업자가 동일한 코어망을 사용하는 경우 각 사용자의 MMEGI가 동일하고, s-TMSI로 가입자가 구분될 수 있다. s-TMSI는, GUTI를 구성하는 MCC, MNC, MMEGI, MMEC, M-TMSI 중 MMEC 및 M-TMSI를 포괄하는 것이다. 사용자 단말(21)은, 변경되는 ID 중 s-TMSI를 활용하여 처리 속도를 향상시킬 수 있다.
대상 기지국(11_1)은, RRC 연결 요청에 대한 응답으로 사용자 단말(21)에 RRC 연결 셋업(RRC Connection Setup) 메시지를 송신할 수 있다(S202).
대상 기지국(11_1)이 RRC 연결 셋업으로 응답하면, 사용자 단말(21)과 대상 기지국(11_1) 간에 무선 베어러(Bearer)가 생성된다. 대상 기지국(11_1)의 응답으로 사용자 단말(21)과 대상 기지국(11_1)은 RRC 연결 모드로 진입할 수 있다(S203).
RRC 연결 모드로 진입한 사용자 단말(21)은, 연결의 성공적인 완료를 확인하기 위하여 RRC 연결 셋업 완료(RRC Connection Setup Complete) 메시지를 대상 기지국(11_1)에 송신할 수 있다(S204). S204 단계에서, RRC 연결 셋업 완료 메시지에는, NAS 시그널링(NAS Signaling) 메시지가 포함될 수 있다.
이처럼, RRC 연결은, 사용자 단말(21)과 대상 기지국(11_1) 간에 3번의 RRC 메시지, 즉 RRC 연결 요청 메시지, RRC 연결 셋업 메시지, 및 RRC 연결 셋업 완료 메시지를 송수신하여 진행하는 3 hand-shake process로 진행된다.
다만, RRC 연결 과정에서 공격자는, 사용자 단말(21)이 가장 신호 강도가 강한 신호를 선택하는 점을 악용하여 가짜 기지국(False Base Station, FBS)을 중간자 공격(Man-in-the-Middle-attack, MiTM) 형태로 구성하여 공격할 수 있다. 또한, RRC 연결 과정에서 공격자는, RRC 리플레이 공격(RRC Replay attack)하여 사용자 단말(21)의 RRC 연결을 해제하고 사용자 단말(21)을 서비스 거부(Denial of Service, DoS) 상태로 전환시킬 수 있다. 이하, 도 3 및 도 4를 참조하여 이동 통신망에서 가짜 기지국을 이용한 중간자 공격 및 RRC 리플레이 공격을 설명한다.
도 3은 중간자 공격을 설명하기 위한 본 발명의 일 실시예에 따른 DoS 공격 대응 시스템을 도식적으로 도시한 도면이다.
본 발명의 일 실시예에 따른 DoS 공격 대응 시스템(1000)은, 사용자 단말(21)과 대상 기지국(11_1) 사이에서 가짜 기지국(False Base Station)(12)이 무선 트래픽을 스니핑하여 중간자 공격할 수 있다. 공격 대응 시스템(1000)은, 사용자 단말(21), 복수의 기지국(11), 가짜 기지국(12), 및 핵심 네트워크(Core Network)(10)를 포함할 수 있다. 가짜 기지국(12)은, 무선 트래픽을 스니핑(Sniffing)하기 위해 사용자 단말(21)과 동일한 셀(11) 내에 위치할 수 있다. 여기서 공격 대응 시스템(1000)은, 스푸핑(Spoofing)된 RRC 메시지를 송신할 수 있는 공격자 단말(22)을 포함할 수 있다. 공격자는, 사용자 단말(21)에 DoS 공격하기 위해 가짜 기지국(12)을 운영할 수 있다. 기지국 운영자는, 기지국(11)과 연결된 핵심 네트워크(10)를 통해 기지국(11)을 운영할 수 있다.
도 4는 도 3의 가짜 기지국을 이용한 RRC 리플레이 공격을 설명하기 위한 순서도이다.
사용자 단말(21)은, RRC 연결 요청 메시지를 s-TMSI와 함께 네트워크를 통해 송신할 수 있다(S401). 여기서 공격자 단말(22)은, 중간자 공격 형태로 사용자 단말(21)이 대상 기지국(11_1)에 송신한 메시지를 이용하여 사용자 단말(21)을 가짜 기지국(12)에 접속하도록 유도하고, 사용자 단말(21)의 s-TMSI를 스니핑할 수 있다. 따라서 사용자 단말(21)의 RRC 연결 요청 메시지는 공격자 단말(22)이 수신할 수 있다.
대상 기지국(11_1)은, 공격자 단말(22)로부터 사용자의 s-TMSI를 포함한 RRC 연결 요청 메시지를 수신할 수 있다(S402). 여기서 사용자는 공격의 피해자이므로, 사용자의 s-TMSI는 "Victim's s-TMSI"로 도시하였다.
대상 기지국(11_1)은, RRC 연결 요청에 대한 응답으로 공격자 단말(22)에 RRC 연결 셋업 메시지를 송신할 수 있다(S403).
대상 기지국(11_1)이 RRC 연결 셋업으로 응답하면, 공격자 단말(22)과 대상 기지국(11_1) 간에 무선 베어러가 생성된다. 대상 기지국(11_1)의 응답으로 공격자 단말(22)과 대상 기지국(11_1)은 RRC 연결 모드로 진입할 수 있다(S404).
또한 사용자 단말(21)의 RRC 연결은 해제될 수 있다(S405). 사용자 단말(21)의 RRC 연결 해제로 사용자 단말(21)은 서비스 거부 상태로 전환될 수 있다.
구체적으로 무선 베어러가 해제되었기 때문에, 사용자 단말(21)은, 대상 기지국(11_1)과의 통신을 계속적으로 실패할 수 있다. 이 때, 사용자 단말(21)은, RLF(Radio Link Failure) 상태로 전환될 수 있다. RLF 상태에서, 사용자 단말(21)은 RRC 연결 재확립 요청(RRC Connection re-establishment request)을 대상 기지국(11_1)에 송신하지만, 대상 기지국(11_1)은 RRC 연결이 해제되었기 때문에 이를 거절할 수 있다. 거절 메시지를 수신한 사용자 단말(21)은, NAS TAU 시그널링(NAS Tracking Area Update Signaling) 절차를 수행할 수 있다. 사용자 단말(21)은 NAS 서비스 요청(NAS Service Request)을 대상 기지국(11_1)에 송신하여 연결을 재설정할 수 있다. 이 때, 연결을 재설정하는 시간(이하, 재설정 시간)이 소요될 수 있다. 예를 들어, 재설정 시간은 약 0.5초이다.
대상 기지국(11_1)은, RRC 연결 모드로 진입한 공격자 단말(22)로부터 연결의 성공적인 완료를 확인하기 위한 RRC 연결 셋업 완료 메시지를 수신할 수 있다(S406). 다만 공격자 단말(22)은, NAS 시그널링 실패로 인해 이후 대상 기지국(11_1)과의 RRC 연결이 해제될 수 있고, 이로서 공격자의 공격이 중단될 수 있다.
공격자는, 공격이 중단된 이후, S402 단계 내지 S406 단계를 반복하여 사용자 단말(21)이 서비스 거부 상태로 유지되도록 공격할 수 있다. 공격자가 S402 단계 내지 S406 단계를 반복하는 공격을 RRC 리플레이 공격이라 한다.
RRC 리플레이 공격 상황에서 사용자 단말(21)이 RRC 연결 셋업 완료 메시지를 대상 기지국(11_1)에 송신하거나, 재설정 시간이 지나면 공격이 중단될 수 있다. 따라서 공격자 단말(22)은, 재설정 시간 미만의 소정의 시간마다 S402 단계 내지 S406 단계를 반복하여, 사용자 단말(21)의 RLF 상태를 계속 유지시킬 수 있다. 예를 들어, 재설정 시간이 0.5초이면, 소정의 시간이 0.4초일 수 있다.
이하, 도 5를 참조하여 사용자 단말(21)과 대상 기지국(11_1) 각각이 RRC 연결 과정에서 내부 타이머를 설정하는 동작을 설명한다.
도 5는 사용자 단말과 대상 기지국 각각이 내부 타이머를 통해 RRC 연결을 관리하는 동작을 설명하기 위한 순서도이다.
사용자 단말(21)은, 대상 기지국(11_1)에 RRC 연결 요청 메시지를 s-TMSI와 함께 송신하면서(S501) 제1 타이머(Ta)를 설정할 수 있다. 제1 타이머(Ta)는, 사용자 단말(21)의 내부 타이머일 수 있다.
대상 기지국(11_1)은, RRC 연결 요청에 대한 응답으로 RRC 연결 셋업 메시지를 사용자 단말(21)에 송신하면서(S502) 제2 타이머(Tb)를 설정할 수 있다. 제2 타이머(Tb)는, 대상 기지국(11_1)의 내부 타이머일 수 있다. RRC 연결 셋업 메시지를 수신하면, 사용자 단말(21)은, 제1 타이머(Ta)를 멈출 수 있다.
사용자 단말(21)은, NAS 서비스 요청(NAS 시그널링)을 포함한 RRC 연결 셋업 완료 메시지를 대상 기지국(11_1)에 송신할 수 있다(S503). RRC 연결 셋업 완료 메시지를 수신하면, 대상 기지국(11_1)은, 제2 타이머(Tb)를 멈출 수 있다.
제1 타이머(Ta) 및 제2 타이머(Tb) 각각이 만료되는 경우, 사용자 단말(21)과 대상 기지국(11_1) 각각은 RRC 연결 절차를 종료하고, 사용자 단말(21)이 가지고 있던 모든 셀 내용 정보는 삭제될 수 있다.
상술한 RRC 리플레이 공격에서, 재설정 시간은, 제2 타이머(Tb)에 따른 시간으로 볼 수 있다.
이러한 RRC 리플레이 공격에 대응하기 위해 일 실시예에서는 기존에 베어러가 생성된 사용자 단말(21)의 RRC 연결을 일정 시간 유지시킬 수 있다. 공격자는, 사용자 단말(21)의 s-TMSI를 도용한 RRC 연결 이후 NAS 시그널링에 실패하여 RRC 연결이 해제될 수 있다. 따라서 공격자의 RRC 연결이 해제될 때까지 기존의 연결을 일정 시간 유지시켜, 사용자 단말(21)의 무선 접속이 지속될 수 있다.
이하, 도 6 및 도 7을 참조하여, RRC 리플레이를 이용한 DoS 공격에 대하여 대응할 수 있는 방법을 설명한다. 일 실시예에 따른 DoS 공격 대응 방법은 컴퓨팅 장치에 의하여 수행될 수 있다. 예를 들어, 일 실시예에 따른 DoS 공격 대응 방법은 도 8의 기지국 서버(113)의 프로세서(1132)에 의하여 수행될 수 있다. 이 때, 일 실시예에 따른 DoS 공격 대응 방법을 수행하는 컴퓨팅 장치는 하나 이상일 수 있다. 이하에서 기지국 서버(113)의 프로세서(1132)에 의하여 수행될 수 있다.
도 6은 본 발명의 일 실시예에 따른 DoS 공격 대응 방법을 설명하기 위한 순서도이다.
사용자 단말(21)은, RRC 연결 요청 메시지를 s-TMSI와 함께 네트워크를 통해 송신할 수 있다(S601). 여기서 공격자 단말(22)은, 중간자 공격 형태로 사용자 단말(21)이 대상 기지국(11_1)에 송신한 메시지를 이용하여 사용자 단말(21)을 가짜 기지국(12)에 접속하도록 유도하고, 사용자 단말(21)의 s-TMSI를 스니핑할 수 있다. 따라서 사용자 단말(21)의 RRC 연결 요청 메시지는 공격자 단말(22)이 수신할 수 있다.
대상 기지국(11_1)은, 공격자 단말(22)로부터 사용자의 s-TMSI를 포함한 RRC 연결 요청 메시지를 수신할 수 있다(S602). 여기서 사용자는 공격의 피해자이므로, 사용자의 s-TMSI는 "Victim's s-TMSI"로 도시하였다.
대상 기지국(11_1)은, RRC 연결 요청에 대한 응답으로 공격자 단말(22)에 RRC 연결 셋업 메시지를 송신할 수 있다(S603). 대상 기지국(11_1)은, RRC 연결 셋업 메시지를 송신한 시점에 대기 타이머(Waiting Timer)를 시작할 수 있다. 또는 대상 기지국(11_1)은, 수신한 패킷에서의 s-TMSI가 기존의 s-TMSI이면, 대기 타이머(Waiting Timer)를 시작할 수 있다. 기존의 s-TMSI는, 대상 기지국(11_1)에서 s-TMSI에 연결된 RRC의 값(value of RRC Connected a UE's s-TMSI in a Base Station)일 수 있다.
대상 기지국(11_1)이 RRC 연결 셋업으로 응답하면, 공격자 단말(22)과 대상 기지국(11_1) 간에 무선 베어러가 생성된다. 대상 기지국(11_1)의 응답으로 공격자 단말(22)과 대상 기지국(11_1)은 RRC 연결 모드로 진입할 수 있다(S604).
대상 기지국(11_1)은, 공격자 단말(22)로부터 RRC 연결 셋업 완료 메시지를 수신할 수 있다(S605).
대상 기지국(11_1)은, 대기 타이머가 지시하는 시간이 소정의 유지 시간에 도달할 때 까지, RRC 연결을 유지할 수 있다(S606). 대상 기지국(11_1)은, 통신 서비스의 영향, 대상 기지국(11_1)의 성능 등을 고려하여 소정의 유지 시간을 초기 정보로 미리 결정할 수 있다.
대상 기지국(11_1)은, 중복된 s-TMSI으로 요청된 기존의 RRC 연결에 대하여 대기 타이머 이상의 유지시간을 가지고 해당 시간 이내에 새로운 RRC 연결이 해제되면, 기존 연결을 유지할 수 있다. 따라서, 대기 타이머가 동작하는 동안, 공격자 단말(22)의 RRC 연결이 해제되면, 사용자 단말(21)의 RRC 연결이 유지될 수 있다.
공격자 단말(22)이 RRC 연결을 시도하고 NAS 시그널링에 실패하여 RRC 해제될 때까지의 대부분의 시간은 대상 기지국(11_1)이 단말에 RRC 연결 셋업 메시지를 송신하고 RRC 연결 셋업 완료 메시지를 수신하기를 기다리는 시간(도 5에서 Tb)이다. 따라서 대상 기지국(11_1)은, 단말에 RRC 연결 셋업 메시지를 송신하고(S603), RRC 연결 셋업 완료 메시지를 수신하기까지(S605)의 시간을 대기 타이머로 측정하고, 대기 타이머와 소정의 임계 대기 시간을 비교할 수 있다. 대기 타이머와 소정의 임계 대기 시간은 대상 기지국(11_1)에 구현되어 있을 수 있다.
또한, 대상 기지국(11_1)은, 추가적으로 제한 시간과 제한 횟수 개념을 활용하여 공격자의 DoS 공격에 대응할 수도 있다. 제한 횟수는, 무선 통신망에 잠재되어 있는 공격의 위험 정도를 지시하는 변수일 수 있다. 이하, 도 7을 참조하여 제한 시간과 제한 횟수 개념을 활용한 DoS 공격 대응 방법을 설명한다.
도 7은 본 발명의 일 실시예에 따른 DoS 공격 대응 방법을 설명하기 위한 순서도이다.
대상 기지국(11_1)은, 대기 시간(Waiting time), 제한 시간(Limit time), 및 제한 횟수(Limit count) 변수를 구성할 수 있다(S701). 대기 시간은, 대상 기지국(11_1)이 RRC 연결 요청을 수신한 시점부터 RRC 연결을 유지하는 기간의 최대 값일 수 있다. 대상 기지국(11_1)은, RRC 연결 요청을 수신한 시점부터 제한 시간 내에 제한 횟수만큼 반복적으로 RRC 연결 요청과 연결 해제가 되는 경우, 기지국 운영자에게 경고 알람을 송신할 수 있다. 이 때, 대상 기지국(11_1)은, 제한 시간 및 제한 횟수 변수를 초기화할 수 있다.
대상 기지국(11_1)은, 수신한 패킷을 모니터링하고, 대기 시간에 대한 대기 타이머(이하, 대기 타이머), 제한 시간에 대한 제한 타이머(이하, 제한 타이머), 및 대상 기지국(11_1)의 내부 시간(Internal time)에 대한 내부 타이머(이하, 내부 타이머) 각각을 확인할 수 있다(S702). 대상 기지국(11_1)은, 대기 타이머, 제한 타이머, 및 내부 타이머 각각이 만료되었는지 확인하고, 대기 타이머가 만료되면, 기존의 베어러를 삭제하고, 제한 타이머가 만료되면 이하의 실시예에 따라 S709 단계를 진행하며, 내부 타이머가 만료되면 이하의 실시예에 따라 S707 단계를 진행할 수 있다. 대기 타이머가 소정의 임계 대기 시간을 초과하면, 대기 타이머는 만료될 수 있다. 제한 타이머가 소정의 임계 제한 시간을 초과하면, 제한 타이머는 만료될 수 있다. 내부 타이머가 소정의 임계 내부 시간을 초과하면, 내부 타이머는 만료될 수 있다. 여기서 임계 대기 시간, 임계 제한 시간, 임계 내부 시간 각각은 초기 정보로 미리 결정될 수 있다.
대상 기지국(11_1)은, 수신한 패킷의 프로토콜이 RRC의 프로토콜이고, 수신한 패킷의 메시지 유형이 RRC 연결 요청 또는 RRC 설정 완료 메시지인지를 확인할 수 있다(S703). 도 7에서는, 설명의 편의를 위해 RRC 연결 요청 메시지를 "MR"으로 표시하고, RRC 설정 완료 메시지를 "MC"로 도시한다.
S703 단계에서, 수신한 패킷의 프로토콜이 RRC의 프로토콜이고, 수신한 패킷의 메시지 유형이 RRC 연결 요청 메시지이면, 대상 기지국(11_1)은, 패킷을 송신한 단말에 RRC 연결 셋업 메시지를 송신할 수 있다. 또한 대상 기지국(11_1)은, 내부 타이머 및 제한 타이머를 시작할 수 있다. S703 단계에서, 수신한 패킷이 RRC 패킷이고, 수신한 메시지의 유형이 RRC 연결 요청 메시지이면, 대상 기지국(11_1)은, 수신한 패킷에서의 s-TMSI가 기존의 s-TMSI인지를 확인할 수 있다(S704). 여기서 RRC 연결 요청 메시지에는 사용자 단말(21)의 s-TMSI가 포함될 수 있다.
S704 단계에서, 수신한 패킷에서의 s-TMSI가 기존의 s-TMSI이면, 대상 기지국(11_1)은, 대기 타이머를 시작할 수 있다(S705). 대상 기지국(11_1)은, 대기 타이머가 지시하는 시간이 소정의 유지 시간에 도달할 때 까지, RRC 연결을 유지할 수 있다.
대기 타이머를 시작한 대상 기지국(11_1)은, RRC 연결 과정 중에 내부 타이머가 만료되었거나 또는 다른 RRC 연결 요청을 수신하였는지 확인할 수 있다(S706).
S706 단계에서, 내부 타이머가 만료되었거나 또는 다른 RRC 연결 요청을 수신한 경우, 대상 기지국(11_1)은, 제한 횟수 변수를 소정의 단위 횟수만큼 증가시키고, 기존의 s-TMSI에 대한 새로운 베어러를 삭제(delete)할 수 있다(S707). 예를 들어, 소정의 단위 횟수는, 1회일 수 있다. 대상 기지국(11_1)은, 내부 타이머가 만료되었거나 또는 다른 RRC 연결 요청을 수신한 경우, 제한 횟수 변수를 1만큼 증가시켜, 무선 통신망에 잠재되어 있는 공격의 위험 정도가 향상되었음을 나타낼 수 있다. 새로운 베어러는, 기존의 s-TMSI에 대하여 대상 기지국(11_1)이 RRC 연결을 위해 생성한 베어러 중 가장 늦게 생성된 베어러일 수 있다.
대상 기지국(11_1)은, 제한 횟수 변수가 임계 횟수에 도달하였거나 또는 제한 타이머가 제한 시간에 도달하여 만료되었는지를 확인할 수 있다(S708).
S708 단계에서, 제한 횟수 변수가 임계 횟수에 도달하였거나 또는 제한 타이머가 제한 시간에 도달하여 만료된 경우, 대상 기지국(11_1)은, 기지국 운영자에게 경고 알람 메시지를 송신할 수 있다(return alarm)(S709). 대상 기지국(11_1)은 경고 알람을 송신하고 일 실시예에 따른 DoS 공격 대응 방법의 단계를 종료할 수 있다. 이 때, 대상 기지국(11_1)은 제한 타이머 및 제한 횟수 각각의 변수를 초기화할 수 있다. 대상 기지국(11_1)이 기지국 운영자에게 송신하는 경고 알람 메시지는 무선 통신망에서 사용자 단말(21)과 대상 기지국(11_1) 간의 RRC 연결 과정에서 DoS 공격을 받았거나 받을 수 있다는 내용의 경고 메시지를 포함할 수 있다. 대상 기지국(11_1)이 기지국 운영자 송신하는 경고 알람 메시지에는, 추가 조치를 요청하는 메시지가 포함될 수 있다.
S704 단계에서 수신한 패킷에서의 s-TMSI가 기존의 s-TMSI가 아닌 경우, S706 단계에서 내부 타이머가 만료되지 않고 다른 RRC 연결 요청을 수신하지도 않은 경우, 또는 S708 단계에서 제한 횟수 변수가 임계 횟수에 도달하지 않고 제한 타이머가 제한 시간에 도달하지도 않은 경우, 대상 기지국(11_1)은, S702를 진행할 수 있다.
S703 단계에서, 수신한 패킷의 프로토콜이 RRC의 프로토콜이고, 수신한 패킷의 메시지 유형이 RRC 연결 설정 완료 메시지이면, 대상 기지국(11_1)은, 기존의 베어러를 삭제하고, 새로운 베어러를 생성할 수 있다(S710). 이 때, 대상 기지국(11_1)은, 대기 타이머를 초기화할 수 있다. 대상 기지국(11_1)은, 수신한 패킷의 RRC 연결 설정 완료 메시지에 따라 새로운 베어러를 생성할 수 있다. 기존의 베어러는, 기존의 s-TMSI에 대하여 대상 기지국(11_1)이 RRC 연결을 위해 기 생성한 베어러일 수 있다.
대상 기지국(11_1)은, 기지국 운영자에게 정상 상태를 지시하는 신호를 송신할 수 있다(return Normal)(S711). 대상 기지국(11_1)은 정상 상태를 지시하는 신호를 송신하고 일 실시예에 따른 DoS 공격 대응 방법의 단계를 종료할 수 있다.
이하, 도 8을 참조하여 본 발명의 일 실시예에 따른 DoS 공격 대응 방법을 위한 단말 및 기지국 서버를 설명한다.
도 8은 본 발명의 일 실시예에 따른 단말 및 기지국 서버를 도식적으로 설명하는 블록도이다.
단말(21)은, 네트워크를 통해 신호를 송수신하는 통신 모듈(2101), 및 통신 모듈(2101)을 제어하는 프로세서(2102)를 포함할 수 있다. 단말(21)은, 통신 모듈(2101)을 통해 기지국(11)에 신호를 송수신할 수 있다. 프로세서(2102)는 단말(21)의 각 구성의 전반적인 동작을 제어할 수 있다.
기지국 서버(113)는, 기지국(11)의 동작을 제어하는 프로세서(1132)를 포함하는 컴퓨팅 시스템일 수 있다. 상술한 기지국(11)의 동작은 기지국 서버(113)가 동작하는 것으로 간주할 수 있다. 기지국 서버(113)는 네트워크를 통해 신호를 송수신하는 통신 모듈(1131), 및 통신 모듈(1131)을 제어하는 프로세서(1132)를 포함할 수 있다. 기지국 서버(113)는, 통신 모듈(1131)을 통해 단말(21)에 신호를 송수신할 수 있다. 프로세서(1132)는 기지국 서버(113)의 각 구성의 전반적인 동작을 제어할 수 있다.
프로세서(1132, 2102)는 CPU(Central Processing Unit), MPU(Micro Processor Unit), MCU(Micro Controller Unit), GPU(Graphic Processing Unit) 또는 본 발명의 기술 분야에 잘 알려진 임의의 형태의 프로세서를 포함하여 구성될 수 있다. 또한, 프로세서(1132, 2102)는 본 발명의 실시예들에 따른 방법을 실행하기 위한 적어도 하나의 애플리케이션 또는 프로그램에 대한 연산을 수행할 수 있다. 도 8에는 각각 하나의 프로세서(1132, 2102)를 도시하였으나, 이는 설명의 편의를 위한 것이고 기지국 서버(113) 및 단말(21) 각각은 하나 이상의 프로세서를 구비할 수 있다.
도 8에 도시하지 않았지만, 장치(21)는, 프로세서(2102)에 의해 수행되는 컴퓨터 프로그램을 로드 하는 메모리와 컴퓨터 프로그램을 저장하는 스토리지를 더 포함할 수 있다. 기지국 서버(113)는, 프로세서(2102)에 의해 수행되는 컴퓨터 프로그램을 로드 하는 메모리와 컴퓨터 프로그램을 저장하는 스토리지를 더 포함할 수 있다. 여기서 기지국 서버(113) 및 단말(21) 각각의 메모리는 각종 데이터, 명령 및/또는 정보를 저장한다. 기지국 서버(113) 및 단말(21) 각각의 메모리는 본 발명의 실시예들에 따른 방법을 실행하기 위하여 스토리지로부터 하나 이상의 프로그램을 로드 할 수 있다. 기지국 서버(113) 및 단말(21) 각각의 메모리는 RAM 과 같은 휘발성 메모리로 구현될 수 있을 것이나, 본 발명의 기술적 범위가 이에 한정되는 것은 아니다. 기지국 서버(113) 및 단말(21) 각각의 스토리지는 상기 하나 이상의 프로그램과 각종 데이터를 비임시적으로 저장할 수 있다. 기지국 서버(113) 및 단말(21) 각각의 스토리지는 ROM(Read Only Memory), EPROM(Erasable Programmable ROM), EEPROM(Electrically Erasable Programmable ROM), 플래시 메모리 등과 같은 비휘발성 메모리, 하드 디스크, 착탈형 디스크, 또는 본 발명이 속하는 기술 분야에서 잘 알려진 임의의 형태의 컴퓨터로 읽을 수 있는 기록 매체를 포함하여 구성될 수 있다. 기지국 서버(113) 및 단말(21) 각각의 컴퓨터 프로그램은 메모리에 로드 될 때 프로세서(1132, 2102)로 하여금 본 발명의 다양한 실시예에 따른 방법/동작을 수행하도록 하는 하나 이상의 명령어를 포함할 수 있다. 즉, 프로세서(1132, 2102)는 상기 하나 이상의 명령어를 실행함으로써, 본 명의 다양한 실시예에 따른 방법/동작들을 수행할 수 있다. 이하, 도 9를 참조하여 기지국 서버(113)의 프로세서(1132)의 세부 구성 별 동작을 설명한다.
도 9는 도 8에서 기지국 서버의 프로세서를 설명하기 위한 블록도이다.
도 9를 참조하면, 프로세서(1132)는, 패킷 모니터부(11321), 메시지 유형 확인부(11322), s-TMSI 관리부(11322), 타이머 동작부(11323), 베어러 관리부(11324), 및 메시지 생성부(11325)를 포함할 수 있다.
패킷 모니터부(11321)는, 대상 기지국(11_1)이 수신하는 패킷을 실시간으로 모니터링할 수 있다. 패킷 모니터부(11321)는, 대상 기지국(11_1)이 수신하는 패킷의 프로토콜 및/또는 메시지 유형을 모니터링할 수 있다. 도 7의 S702 단계에서, 패킷 모니터부(11321)는 수신하는 패킷의 프로토콜을 실시간으로 모니터링할 수 있다. 또한 패킷 모니터부(11321)는, 대상 기지국(11_1)이 수신하는 패킷의 메시지 유형이 RRC 연결 요청 메시지 또는 RRC 설정 완료 메시지인지를 체크할 수 있다. 도 7의 S703 단계에서, 패킷 모니터부(11321)는, 수신한 패킷의 메시지 유형이 RRC 연결 요청 메시지 또는 RRC 설정 완료 메시지인지를 확인할 수 있다.
s-TMSI 관리부(11322)는, 수신한 패킷에서의 s-TMSI와 기존의 s-TMSI를 비교하여 동일한 s-TMSI인지를 확인할 수 있다. 도 7의 S704 단계에서, s-TMSI 관리부(11322)는, 수신한 패킷에서의 s-TMSI가 기존의 s-TMSI인지를 확인할 수 있다.
타이머 동작부(11323)는, 대기 타이머, 제한 타이머, 내부 타이머 각각을 시작하거나, 타이머 각각에 나타난 시간을 확인하거나, 또는 타이머 각각을 초기화할 수 있다. 타이머 동작부(11323)는, 제한 횟수를 카운트하거나, 제한 회수를 초기화할 수 있다. 도 7의 S701 단계에서, 타이머 동작부(11323)는, 대기 시간, 제한 시간, 및 제한 횟수 변수를 구성하고, 제한 시간 및 제한 횟수 변수를 초기화할 수 있다. 또한 도 7의 S702 단계에서, 타이머 동작부(11323)는, 대기 타이머, 제한 타이머, 및 내부 타이머 각각을 확인할 수 있다. 그리고 도 7의 S704 단계에서, 타이머 동작부(11323)는, 내부 타이머 및 제한 타이머를 시작하고, S705 단계에서, 타이머 동작부(11323)는, 대기 타이머를 시작할 수 있다. 또한 도 7의 S707 단계에서, 타이머 동작부(11323)는, 제한 횟수 변수를 증가시킬 수 있고, S708 단계에서는 제한 횟수 변수가 지시하는 횟수 및 제한 타이머가 지시하는 시간을 확인할 수 있다. 그리고 도 7의 S710 단계에서, 타이머 동작부(11323)는, 대기 타이머를 초기화할 수 있다.
베어러 관리부(11324)는, 베어러를 생성하거나 삭제할 수 있다. 도 7의 S707 단계에서, 베어러 관리부(11324)는, 새로운 베어러를 삭제할 수 있다. 또한 도 7의 S707 단계에서, 베어러 관리부(11324)는, 기존의 베어러를 삭제하고 새로운 베어러를 생성할 수 있다.
메시지 생성부(11325)는, 사용자 단말(21)에 송신할 메시지를 생성할 수 있다. 예를 들어, 메시지 생성부(11325)는, RRC 연결 셋업 메시지를 생성하여 통신 모듈(1131)을 통해 사용자 단말(21)에 송신할 수 있다. 도 7의 S704 단계에서, 메시지 생성부(11325)는, RRC 연결 셋업 메시지를 생성하여 통신 모듈(1131)을 통해 사용자 단말(21)에 송신할 수 있다.
메시지 생성부(11325)는, 기지국 운영자에게 송신할 메시지를 생성할 수 있다. 도 7의 S709 단계에서, 메시지 생성부(11325)는, 경고 알람 메시지를 생성하여 통신 모듈(1131)을 통해 기지국 운영자에게 송신할 수 있다. 또한 도 7의 S711 단계에서, 메시지 생성부(11325)는, 정상 상태를 지시하는 신호를 생성하여 통신 모듈(1131)을 통해 기지국 운영자에게 송신할 수 있다.
상술한 본 발명의 실시예들은 다양한 수단을 통해 구현될 수 있다. 예를 들어, 본 발명의 실시예들은 하드웨어, 펌웨어(firmware), 소프트웨어 또는 그것들의 결합 등에 의해 구현될 수 있다.
하드웨어에 의한 구현의 경우, 본 발명의 실시예들에 따른 방법은 하나 또는 그 이상의 ASICs(Application Specific Integrated Circuits), DSPs(Digital Signal Processors), DSPDs(Digital Signal Processing Devices), PLDs(Programmable Logic Devices), FPGAs(Field Programmable Gate Arrays), 프로세서, 컨트롤러, 마이크로 컨트롤러, 마이크로 프로세서 등에 의해 구현될 수 있다.
펌웨어나 소프트웨어에 의한 구현의 경우, 본 발명의 실시예들에 따른 방법은 이상에서 설명된 기능 또는 동작 들을 수행하는 모듈, 절차 또는 함수 등의 형태로 구현될 수 있다. 소프트웨어 코드는 메모리 유닛에 저장되어 프로세서에 의해 구동될 수 있다. 상기 메모리 유닛은 상기 프로세서 내부 또는 외부에 위치하여, 이미 공지된 다양한 수단에 의해 상기 프로세서와 데이터를 주고받을 수 있다.
이상을 통해 본 발명의 실시 예에 대하여 설명하였지만, 본 발명은 상기 실시 예에 한정되지 않고, 본 발명의 취지를 벗어나지 않고 효과를 저해하지 않는 한, 발명의 상세한 설명 및 첨부한 도면의 범위 안에서 다양하게 변경하여 실시할 수 있다. 또한 그러한 실시 예가 본 발명의 범위에 속하는 것은 당연하다.
1, 1000 : DoS 공격 대응 시스템
10 : 핵심 네트워크
11, 11_2, 11_3 : 기지국
11_1 : 대상 기지국
111, 111_2, 111_3 : 셀
111_1 : 대상 셀
113 : 기지국 서버
1131 : 통신 모듈
1132 : 프로세서
11321 : 패킷 모니터부
11322 : s-TMSI 관리부
11323 : 타이머 동작부
11324 : 베어러 관리부
11325 : 메시지 생성부
12 : 가짜 기지국
21 : 사용자 단말
2101 : 통신 모듈
2102 : 프로세서
22 : 공격자 단말

Claims (10)

  1. 컴퓨팅 장치에 의해 수행되는 DoS 공격 대응 방법에 있어서,
    단말로부터 수신한 패킷의 프로토콜 및 상기 수신한 패킷의 메시지 유형을 확인하는 단계;
    상기 수신한 패킷의 프로토콜이 RRC(Radio Resource Control)이고, 상기 수신한 패킷의 메시지 유형이 RRC 연결 요청이면, 상기 수신한 패킷에 포함된 s-TMSI(serving Temporary Mobile Subscriber Identity) 값을 RRC 연결된 단말의 s-TMSI 값과 비교하는 단계;
    상기 비교 결과 상기 수신한 패킷에 포함된 s-TMSI 값과 상기 RRC 연결된 단말의 s-TMSI 값이 서로 동일하면, 대기 타이머의 동작을 시작하는 단계; 및
    상기 RRC 연결 요청 메시지를 수신한 시점으로부터 동작한 내부 타이머가 만료되거나, 다른 RRC 연결 요청 메시지를 수신하면, 새로운 베어러(bearer)를 삭제하고 공격의 위험 정도를 나타내는 변수 값을 증가시키는 단계를 포함하는, DoS 공격 대응 방법.
  2. 제1항에 있어서,
    공격의 위험 정도를 나타내는 변수 값이 임계 횟수에 도달하거나, 상기 RRC 연결 요청 메시지를 수신한 시점으로부터 동작한 제한 타이머가 만료되면, 기지국 운영자에게 경고 알람을 송신하는 단계를 더 포함하는, DoS 공격 대응 방법.
  3. 제2항에 있어서,
    상기 수신한 패킷의 프로토콜이 RRC이고, 상기 수신한 패킷의 메시지 유형이 RRC 연결 설정 완료이면, 기 생성되어 있는 베어러를 삭제하고, 새로운 베어러를 생성하는 단계를 더 포함하는, DoS 공격 대응 방법.
  4. 제2항에 있어서,
    상기 수신한 패킷에 포함된 s-TMSI 값을 RRC 연결된 단말의 s-TMSI 값을 비교하는 단계는,
    상기 단말에 RRC 연결 셋업 메시지를 송신하는 단계; 및
    상기 RRC 연결 요청 메시지를 수신한 시점으로부터 상기 내부 타이머 및 상기 제한 타이머의 동작을 시작하는 단계를 포함하는, DoS 공격 대응 방법.
  5. 제1항에 있어서,
    상기 비교 결과 상기 수신한 패킷에 포함된 s-TMSI 값과 상기 RRC 연결된 단말의 s-TMSI 값이 서로 동일하지 않으면, 단말로부터 수신하는 패킷을 모니터링하는 단계를 더 포함하는, DoS 공격 대응 방법.
  6. 프로세서;
    메모리; 및
    상기 메모리에 로드 되고, 상기 프로세서에 의해 실행되는 컴퓨터 프로그램을 포함하되,
    상기 컴퓨터 프로그램은,
    단말로부터 수신한 패킷의 프로토콜 및 상기 수신한 패킷의 메시지 유형을 확인하는 명령어;
    상기 수신한 패킷의 프로토콜이 RRC(Radio Resource Control)이고, 상기 수신한 패킷의 메시지 유형이 RRC 연결 요청이면, 상기 수신한 패킷에 포함된 s-TMSI(serving Temporary Mobile Subscriber Identity) 값을 RRC 연결된 단말의 s-TMSI 값과 비교하는 명령어;
    상기 비교 결과 상기 수신한 패킷에 포함된 s-TMSI 값과 상기 RRC 연결된 단말의 s-TMSI 값이 서로 동일하면, 대기 타이머의 동작을 시작하는 명령어;
    상기 RRC 연결 요청 메시지를 수신한 시점으로부터 동작한 내부 타이머가 만료되거나, 다른 RRC 연결 요청 메시지를 수신하면, 새로운 베어러를 삭제하고 공격의 위험 정도를 나타내는 변수 값을 증가시키는 명령어; 및
    상기 공격의 위험 정도를 나타내는 변수 값이 임계 횟수에 도달하거나, 상기 RRC 연결 요청 메시지를 수신한 시점으로부터 동작한 제한 타이머가 만료되면, 기지국 운영자에게 경고 알람을 송신하는 명령어를 포함하는, 기지국 서버.
  7. 제6항에 있어서,
    상기 컴퓨터 프로그램은,
    상기 수신한 패킷의 프로토콜이 RRC이고, 상기 수신한 패킷의 메시지 유형이 RRC 연결 설정 완료이면, 기 생성되어 있는 베어러를 삭제하고, 새로운 베어러를 생성하는 명령어를 더 포함하는, 기지국 서버.
  8. 프로그램 코드를 저장하는 메모리에 결합된 프로세서를 포함하는 서버에 있어서,
    기지국이 수신하는 패킷을 실시간으로 모니터링하는 패킷 모니터부;
    수신한 패킷에서의 s-TMSI와 기존의 s-TMSI를 비교하는 s-TMSI 관리부;
    프로토콜이 RRC(Radio Resource Control) 프로토콜이고, 메시지 유형이 RRC 연결 요청인 패킷을 수신한 시점으로부터 내부 타이머 및 제한 타이머를 시작하고, 상기 수신한 패킷에서의 s-TMSI(serving Temporary Mobile Subscriber Identity)가 기존의 s-TMSI인 경우 대기 타이머를 시작하는 타이머 동작부;
    프로토콜이 RRC 프로토콜이고, 메시지 유형이 RRC 연결 설정 완료인 패킷을 수신하면, 기존의 베어러를 삭제하고, 새로운 베어러를 생성하는 베어러 관리부; 및
    상기 프로토콜이 RRC 프로토콜이고, 메시지 유형이 RRC 연결 요청인 패킷을 수신하면, 사용자 단말에게 송신할 RRC 연결 셋업 메시지를 생성하는 메시지 생성부를 포함하는, 기지국 서버.
  9. 제8항에 있어서,
    상기 타이머 동작부는,
    상기 대기 타이머가 만료되거나, 다른 RRC 연결 요청이 수신되면, 공격의 위험 정도를 나타내는 변수 값을 증가시키는, 기지국 서버.
  10. 제9항에 있어서,
    상기 메시지 생성부는,
    상기 공격의 위험 정도를 나타내는 변수 값이 임계 횟수에 도달하거나, 상기 제한 타이머가 만료되면, 기지국 운영자에게 송신할 경고 알람 메시지를 생성하는, 기지국 서버.
KR1020220088278A 2022-07-18 2022-07-18 RRC 연결에서 DoS 공격 대응 방법 및 서버 KR102442520B1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020220088278A KR102442520B1 (ko) 2022-07-18 2022-07-18 RRC 연결에서 DoS 공격 대응 방법 및 서버

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020220088278A KR102442520B1 (ko) 2022-07-18 2022-07-18 RRC 연결에서 DoS 공격 대응 방법 및 서버

Publications (1)

Publication Number Publication Date
KR102442520B1 true KR102442520B1 (ko) 2022-09-13

Family

ID=83286917

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020220088278A KR102442520B1 (ko) 2022-07-18 2022-07-18 RRC 연결에서 DoS 공격 대응 방법 및 서버

Country Status (1)

Country Link
KR (1) KR102442520B1 (ko)

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20220080742A (ko) * 2020-11-25 2022-06-15 주식회사 모비젠 시그널링 DoS 트래픽 탐지 방법 및 장치

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20220080742A (ko) * 2020-11-25 2022-06-15 주식회사 모비젠 시그널링 DoS 트래픽 탐지 방법 및 장치

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
Keewon Kim, et al., Analysis of Deregistration Attacks in 5G Standalone Non-Public Network, Journal of The Korea Society of Computer and Information vol.26, no.9, pp.81-88, 2021.09 *
Solution to Mitigate DDoS Attack based on RAN, 3GPP TSG SA WG3 (Security) Meeting #94 ad-hoc,S3-191029, 2019.03.11 *
김기원 외2, 5G SNPN에서 위장 RRC 연결을 이용한 사용자 DoS 공격 분석, Journal of KIIT Vol.19, No.10, pp.79-85, 2021.10.31 *

Similar Documents

Publication Publication Date Title
US11641601B2 (en) Method, apparatus and device for allowing terminal to move between 4G and 5G networks
US10404677B2 (en) Secure method for MTC device triggering
US8600353B2 (en) Methods and arrangements for communication channel re-establishment
CN107454679B (zh) 处理无线资源控制连结恢复程序的装置及方法
JP7128897B6 (ja) Ｒｒｃ接続の回復方法、装置及びコンピュータ記憶媒体
US11201956B2 (en) Inactive state security support in wireless communications system
US9232440B2 (en) Method and apparatus for controlling system overload in a wireless communication system
WO2018126961A1 (zh) 通信的方法、接入网设备和终端
EP3799461B1 (en) Network validity verification method and device and computer storage medium
US10827557B2 (en) Network access control method and apparatus
EP3598813B1 (en) Information processing method, apparatus, computer readable storage medium and electronic device
WO2019233444A1 (zh) 一种提高ue标识安全性的方法及装置、计算机存储介质
US11882445B2 (en) Authentication system
KR102268370B1 (ko) 접속 해제 방법 및 디바이스
WO2019223774A1 (zh) 一种提高寻呼可靠性的方法及装置、计算机存储介质
KR102442520B1 (ko) RRC 연결에서 DoS 공격 대응 방법 및 서버
US11882105B2 (en) Authentication system when authentication is not functioning
US20220295378A1 (en) Systems and methods for preventing undesired access barring alleviation
US10244455B2 (en) Mobility management procedure initiation method and device
US20170055314A1 (en) Base station and terminal connection management method of base station
US11576232B2 (en) Method for establishing a connection of a mobile terminal to a mobile radio communication network and communication network device
WO2024065438A1 (en) Ue-initiated spcell access
US20240179529A1 (en) Message transmission method and communication apparatus
CN115484598A (zh) 一种通信方法及装置
WO2023133334A2 (en) Managing access control in small data transmission

Legal Events

Date Code Title Description
A302 Request for accelerated examination
E701 Decision to grant or registration of patent right
GRNT Written decision to grant