KR102540094B1 - 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치 - Google Patents

웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치 Download PDF

Info

Publication number
KR102540094B1
KR102540094B1 KR1020220154090A KR20220154090A KR102540094B1 KR 102540094 B1 KR102540094 B1 KR 102540094B1 KR 1020220154090 A KR1020220154090 A KR 1020220154090A KR 20220154090 A KR20220154090 A KR 20220154090A KR 102540094 B1 KR102540094 B1 KR 102540094B1
Authority
KR
South Korea
Prior art keywords
user
access
web
server system
web server
Prior art date
Application number
KR1020220154090A
Other languages
English (en)
Inventor
이기욱
박주영
김범수
윤정훈
Original Assignee
에스지에이솔루션즈 주식회사
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 에스지에이솔루션즈 주식회사 filed Critical 에스지에이솔루션즈 주식회사
Priority to KR1020220154090A priority Critical patent/KR102540094B1/ko
Application granted granted Critical
Publication of KR102540094B1 publication Critical patent/KR102540094B1/ko
Priority to US18/337,128 priority patent/US20240171547A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0245—Filtering by information in the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/51—Discovery or management thereof, e.g. service location protocol [SLP] or web services

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

본 발명은 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치에 관련된 것으로서, 구체적으로는 하나 이상의 웹 서비스가 구동되어 있는 웹 서버 시스템; 및, 웹 서버 시스템 상에 설치되고, 외부 네트워크를 이용하여 웹 서버 시스템이 제공하는 웹 서비스로 접근하려는 사용자의 접근 권한을 확인하여 웹 서버 시스템에서 제공하는 웹 서비스를 사용자에게 제공할지 여부를 결정하는 웹 어플리케이션 프록시;를 포함하되, 웹 어플리케이션 프록시는, 외부의 사용자가 웹 서버 시스템으로 전송하는 리퀘스트 패킷을 수집 및 분석하는 패킷 처리 모듈; 패킷 처리 모듈에서 수집 및 분석된 패킷에서 사용자의 식별 정보를 추출하여, 식별 정보가 추출된 사용자에게 웹 서버 시스템에 대한 접근 권한이 설정되어 있는지 여부를 확인하여, 웹 서버 시스템이 제공하는 웹 서비스에 대한 사용자의 접근을 통제하도록 하는 서비스 통제 모듈; 및, 외부의 통합 정책 관리 서버와 통신하여 갱신된 사용자의 접근 제어 정책과, 갱신된 웹 서비스에 대한 정책을 수집하여 관리하는 외부 정책 관리 모듈;을 포함하는 것을 특징으로 한다.

Description

웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치{USER ACCESS CONTROL AND ACCESS BLOCKING APPARATUS USING WEB APPLICATION PROXY}
본 발명은 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치에 관련된 것으로서, 구체적으로는 외부에서 웹 서비스에 접근하려는 사용자의 접근 권한을 확인하여 허용된 사용자에 대한 접근 제어를 수행하도록 하고, 비허용된 사용자가 웹 서비스로 접근하는 행위를 차단하도록 하는 기술과 관련된 것이다.
최근 코로나 19에 의한 팬데믹 등으로 인해 보다 유연한 근무 체계를 형성하기 위한 목적으로 기업체들의 원격 근무의 수요가 증가하면서 근무 환경의 변화가 발생하고 있다.
일반적으로 원격 근무 시, VPN(Virtual Private Networks)을 통해 기업의 사내 망에 접속하게 되는데, VPN 이용률이 증가하면서 관련된 침해 사고 발생률이 증가하고 있는 것으로 나타났으며, 이러한 침해 사고 발생률의 증가는 외부에서 개인 단말기를 이용하여 기업 내부에서만 접근 가능했던 내부 기업 자원에 대한 접근이 증가하여, 비인가 접근과 같은 보안위협에 노출되기 쉬운 환경이 조성되었기 때문으로 분석되고 있다.
한편 이러한 침해 사고 발생률의 증가는, 종래 한국 공개 특허 제10-2018-0132868호와 같이 원하지 않는 네트워크 접속으로부터 사설 네트워크를 보호하기 위하여 방화벽이 게이트웨이에서 구현되도록 하는 방화벽 기반의 보안 장비를 비롯하여, IDS(Intrusion Detection System), IPS(Intrusion Prevention System)와 같은 보안 장비 기반의 체계에서는 내부는 신뢰한다고 보고 외부에서의 접근을 차단하는 것에 초점이 맞추어져 있어, 내부 사용자의 공격이나 데이터 유출을 방지할 수 없어 대처가 불가능하다는 한계가 존재하였고, 이에 내/외부를 막론하고 임의의 네트워크를 이용하여 기업의 사내 망 등에 접근하는 사용자의 신뢰성 있는 신원을 보장하면서, 최소한의 권한만을 허용해 침해 사고를 줄이기 위한 제로트러스트 기반의 새로운 보안 체계의 개발이 요구되고 있다.
이에 본 발명은 외부 네트워크를 통해 웹 서비스에 접근하려는 사용자의 접근 권한을 확인하여 접근 권한이 설정된 사용자 측에는 웹 서비스에 대한 접근을 허여하고, 접근 권한이 설정되지 아니한 사용자 측에는 웹 서비스에 접근을 불허하여, 네트워크 보안성을 향상시키도록 하는 기술을 제공하는 것에 일 목적이 있다.
또한 본 발명은 제로트러스트 기반의 보안 아키텍처를 구현하여 보다 안전한 원격 근무 환경을 구축하여, 기업 등의 내부 보안성을 증대하면서 동시에 일상 속 업무 효율성 및 활용성을 높이도록 하는 기술을 제공하는 것에 다른 목적이 있다.
상술한 목적을 달성하기 위하여, 본 발명의 일 실시 예에 따른 하나 이상의 프로세서 및 상기 프로세서에서 수행 가능한 명령들을 저장하는 하나 이상의 메모리를 포함하는 컴퓨팅 장치에서 구현되는 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치는, 하나 이상의 웹 서비스가 구동되어 있는 웹 서버 시스템; 및, 웹 서버 시스템 상에 설치되고, 외부 네트워크를 이용하여 웹 서버 시스템이 제공하는 웹 서비스로 접근하려는 사용자의 접근 권한을 확인하여 웹 서버 시스템에서 제공하는 웹 서비스를 사용자에게 제공할지 여부를 결정하는 웹 어플리케이션 프록시;를 포함하되, 웹 어플리케이션 프록시는, 외부의 사용자가 웹 서버 시스템으로 전송하는 리퀘스트 패킷을 수집 및 분석하는 패킷 처리 모듈; 패킷 처리 모듈에서 수집 및 분석된 패킷에서 사용자의 식별 정보를 추출하여, 식별 정보가 추출된 사용자에게 웹 서버 시스템에 대한 접근 권한이 설정되어 있는지 여부를 확인하여, 웹 서버 시스템이 제공하는 웹 서비스에 대한 사용자의 접근을 통제하도록 하는 서비스 통제 모듈; 및, 외부의 통합 정책 관리 서버와 통신하여 갱신된 사용자의 접근 제어 정책과, 갱신된 웹 서비스에 대한 정책을 수집하여 관리하는 외부 정책 관리 모듈;을 포함하는 것을 특징으로 한다.
이때 상술한 패킷 처리 모듈은, 외부 네트워크를 통해 웹 서버 시스템으로 수신된 리퀘스트 패킷을, 커널 영역에서 동작하는 넷필터(Netfilter)를 이용하여 수집하되, 리퀘스트 패킷을 인라인(Inline) 방식으로 수집하는 것이 바람직하다.
또한 상술한 패킷 처리 모듈은, 넷 필터를 이용하여 수집된 패킷들에 대한 트래픽 정보가 수집기(Collector)에 의해 분류되고, 분류된 트래픽 정보를 디코더를 통해 디코딩한 후, 어플리케이션 레이어의 파서를 통해 리퀘스트 패킷을 파싱처리하는 것이 바람직하다.
또한 상술한 서비스 통제 모듈은, 웹 서버 시스템에 대한 접근 제어 정보가 등록된 데이터베이스에서, 식별 정보가 추출된 사용자에 대응되는 식별 정보가 존재하는지 여부를 확인하여 사용자에게 웹 서버 시스템으로의 접근 권한이 설정되어 있는지를 판단하는 1차 접근 권한 판단부; 및, 1차 접근 권한 판단부의 기능 수행 결과, 사용자에게 웹 서버 시스템으로의 접근 권한이 설정되어 있는 것으로 판단된 경우, 웹 서버 시스템에 구동되어 있는 웹 서비스별 접근 통제 리스트를 확인하여 사용자에게 접근 권한이 설정된 것으로 확인된 웹 서비스에 대한 접근만을 허여하는 2차 접근 권한 판단부;를 포함하는 것이 바람직하다.
또한 상술한 서비스 통제 모듈은, 1차 접근 권한 판단부 및 2차 접근 권한 판단부 중 적어도 어느 하나를 포함하는 접근 권한 판단부의 기능 수행 결과, 사용자에 대한 접근 권한이 미설정되어 있는 것으로 판단될 경우, 사용자로부터 수신된 리퀘스트 패킷에 대한 차단(Drop) 명령을 내리도록 하여, 사용자가 웹 서버 시스템 또는 웹 서비스로 접근하는 것에 대한 행위를 차단하도록 하고, 사용자에 대한 접근 권한이 설정되어 있는 것으로 판단될 경우, 사용자로부터 수신된 리퀘스트 패킷에 대한 승인(Accept) 명령을 내리도록 하여, 사용자가 웹 서버 시스템 또는 웹 서비스로 접근하는 것에 대한 행위를 허여하도록 하는 것이 바람직하다.
또한 상술한 외부 정책 관리 모듈은, 외부의 통합 정책 관리 서버와 기 설정된 주기마다 통신하여 갱신된 사용자의 접근 제어 정책과, 갱신된 웹 서비스에 대한 정책을 수집한 후 서비스 통제 모듈과 공유하도록 함으로써, 기 설정된 주기마다 외부 정책 관리 모듈과 서비스 통제 모듈 간의 동기화가 수행되도록 하는 것이 바람직하다.
본 발명의 일 실시 예에 따르면, 본 발명에서는 외부 네트워크를 통해 웹 서비스에 접근하려는 사용자의 접근 권한을 확인하여 접근 권한이 설정된 사용자 측에는 웹 서비스에 대한 접근을 허여하고, 접근 권한이 설정되지 아니한 사용자 측에는 웹 서비스에 접근을 불허하도록 기능함으로써, 접근 권한이 설정되지 않은 미상의 사용자가 웹 서버 시스템 또는 웹 서비스로 접근하는 행위를 차단하여, 네트워크 보안성을 향상시키도록 하는 효과가 있다.
또한, 본 발명의 일 실시 예에 따르면, 본 발명에서는 최근 회사 정책 또는 팬데믹으로 인해 기존 네트워크 경계 외부에서 근무하는 직원, 즉 재택 근무자가 증가하는 등 업무 환경이 변화하는 추세에 맞추어, VPN 또는 공공 Wi-fi 등의 외부 네트워크를 이용하여 기업의 내부 네트워크에 접속하게 되는데, 이때, 웹 어플리케이션 프록시를 이용하여 업무를 수행하는데 필요한 기업 데이터, 서비스 및 리소스에 접근하는 것에 대한 엄격한 접근 제어를 수행하여 제로트러스트 기반의 보안 아키텍처를 구현함으로써, 민감한 데이터의 유출을 방지하고, 사이버 보안의 수준을 강화하는 효과가 있다.
또한 본 발명에서는 상기와 같은 제로트러스트 기반의 보안 아키텍처를 구현하여 접근 요청자에 대한 철저한 검증을 거친 뒤, 최소한의 접근만 허용하는 접근 통제가 이루어지도록 함으로써, 공격이 유입될 수 있는 경로를 좁혀 발생할 수 있는 피해를 최소화할 수 있기 때문에 데이터 침해 사고를 줄이는 동시에 사고 시 발생하는 비용을 줄여 기업의 자산을 보다 효율적으로 보호하면서도, 안전한 보안 모델로서 이용될 수 있다는 효과가 있다.
또한 본 발명의 일 실시 예에 따르면, 본 발명에서는 제로트러스트 기반의 강력한 보안 아키텍처를 구현하여, 보다 안전한 원격 근무 환경을 구축할 수 있으며, 이를 통해 기업 등의 내부 보안성을 증대하는 효과를 제공함과 아울러, 일상 속 업무 효율성 및 활용성이 증대되도록 하는 효과가 있다.
도 1 및 2는 본 발명의 일 실시 예에 따른 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치의 구성도.
도 3은 본 발명의 일 실시 예에 따른 패킷 처리 모듈의 기능 수행에 대한 개념도.
도 4는 본 발명의 일 실시 예에 따라 서비스 통제 모듈에서 사용자의 접근 권한을 단계적으로 수행하는 것에 대한 워크플로우의 예.
도 5는 본 발명의 일 실시 예에 따른 컴퓨팅 장치의 내부 구성의 일 예.
이하에서는, 다양한 실시 예들 및/또는 양상들이 이제 도면들을 참조하여 개시된다. 하기 설명에서는 설명을 목적으로, 하나이상의 양상들의 전반적 이해를 돕기 위해 다수의 구체적인 세부사항들이 개시된다. 그러나, 이러한 양상(들)은 이러한 구체적인 세부사항들 없이도 실행될 수 있다는 점 또한 본 발명의 기술 분야에서 통상의 지식을 가진 자에게 인식될 수 있을 것이다. 이후의 기재 및 첨부된 도면들은 하나 이상의 양상들의 특정한 예시적인 양상들을 상세하게 기술한다. 하지만, 이러한 양상들은 예시적인 것이고 다양한 양상들의 원리들에서의 다양한 방법들 중 일부가 이용될 수 있으며, 기술되는 설명들은 그러한 양상들 및 그들의 균등물들을 모두 포함하고자 하는 의도이다.
본 명세서에서 사용되는 "실시 예", "예", "양상", "예시" 등은 기술되는 임의의 양상 또는 설계가 다른 양상 또는 설계들보다 양호하다거나, 이점이 있는 것으로 해석되지 않을 수도 있다.
또한, "포함한다" 및/또는 "포함하는"이라는 용어는, 해당 특징 및/또는 구성요소가 존재함을 의미하지만, 하나이상의 다른 특징, 구성요소 및/또는 이들의 그룹의 존재 또는 추가를 배제하지 않는 것으로 이해되어야 한다.
또한, 제 1, 제 2 등과 같이 서수를 포함하는 용어는 다양한 구성요소들을 설명하는데 사용될 수 있지만, 상기 구성요소들은 상기 용어들에 의해 한정되지는 않는다. 상기 용어들은 하나의 구성요소를 다른 구성요소로부터 구별하는 목적으로만 사용된다. 예를 들어, 본 발명의 권리 범위를 벗어나지 않으면서 제 1 구성요소는 제 2 구성요소로 명명될 수 있고, 유사하게 제 2 구성요소도 제 1 구성요소로 명명될 수 있다. 및/또는 이라는 용어는 복수의 관련된 기재된 항목들의 조합 또는 복수의 관련된 기재된 항목들 중의 어느 항목을 포함한다.
또한, 본 발명의 실시 예들에서, 별도로 다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가지고 있다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥 상 가지는 의미와 일치하는 의미를 가지는 것으로 해석되어야 하며, 본 발명의 실시 예에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.
본 발명은 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치에 관련된 것으로서, 구체적으로는 외부 네트워크를 통해 웹 서비스에 접근하려는 사용자의 접근 권한을 확인하여 접근 권한이 설정된 사용자 측에는 웹 서비스에 대한 접근을 허여하고, 접근 권한이 설정되지 아니한 사용자 측에는 웹 서비스에 접근을 불허하여, 네트워크 보안성을 향상시키도록 하는 기술을 제공하는 것을 제1 목적으로 하며, 제로트러스트 기반의 보안 아키텍처를 구현하여 보다 안전한 원격 근무 환경을 구축하여, 기업 등의 내부 보안성을 증대하면서 동시에 일상 속 업무 효율성 및 활용성을 높이도록 하는 기술을 제공하는 것을 제2 목적으로 한다.
이하에서는 상기 언급한 목적을 달성하기 위한 본 발명에 대한 더욱 구체적인 설명을 위하여 첨부된 도면을 참조하여 설명을 이어가기로 하며, 하나 이상의 기술적 특징 또는 발명을 구성하는 구성 요소를 설명하기 위하여 다수의 도면이 동시 참조될 수 있을 것이다.
먼저 도 1을 참조하여 웹 어플리케이션 프록시(20)를 이용한 사용자 접근 제어와 접근 차단 장치에 대한 설명을 개진하여 보면, 본 발명의 웹 어플리케이션 프록시(20)를 이용한 사용자 접근 제어와 접근 차단 장치는 주요 구성으로서 하나 이상의 웹 서비스가 구동되어 있는 웹 서버 시스템(10)을 포함하고, 상술한 웹 서버 시스템(10) 상에 설치되며, 외부 네트워크를 이용하여 웹 서버 시스템(10)이 제공하는 웹 서비스로 접근하려는 사용자 단말(1)의 접근 권한을 확인하여 웹 서버 시스템(10)에서 제공하는 웹 서비스를 사용자에게 제공할지 여부를 결정하는 웹 어플리케이션 프록시(20)를 포함한다.
구체적으로 본 발명에서 언급하는 상술한 웹 어플리케이션 프록시(20)는 외부의 사용자가 웹 서버 시스템(10)으로 전송하는 리퀘스트 패킷을 수집 및 분석하는 패킷 처리 모듈(21), 상술한 패킷 처리 모듈(21)에서 수집 및 분석된 패킷에서 사용자의 식별 정보를 추출하여 식별 정보가 추출된 사용자에게 웹 서버 시스템(10)에 대한 접근 권한이 설정되어 있는지 여부를 확인함으로써, 웹 서버 시스템(10)이 제공하는 웹 서비스에 대한 사용자의 접근을 통제하도록 하는 서비스 통제 모듈(22) 및, 외부의 통합 정책 관리 서버(40)와 통신하여 갱신된 사용자의 접근 제어 정책과 갱신된 웹 서비스에 대한 정책을 수집하여 관리하는 외부 정책 관리 모듈(23)을 포함한다.
도 2를 동시 참조하여 더욱 세부적인 설명을 개진하여 보면, 상술한 패킷 처리 모듈(21)은 외부 네트워크를 통해 웹 서버 시스템(10)으로 접근하는 사용자에 의해 송신된 리퀘스트 패킷을 수신하고, 수신된 리퀘스트 패킷을 커널 영역에서 동작하는 넷필터(Netfilter)를 이용하여 수집하되, 상술한 리퀘스트 패킷을 인라인 방식으로 수집하도록 한다.
이때 상술한 리퀘스트 패킷을 인라인 방식(또는 인라인 모드)으로 수집한다는 것은, 웹 서비스 서버로 접근하려는 사용자 단말이 송신한 모든 패킷을 보안 장비를 거쳐 목적지로 전송될 수 있도록 브릿지 형태의 네트워크를 구성하는 것을 일컬으며, 신원 미상의 사용자로부터 수신되는 모든 패킷을 감시하고, 패킷을 통과시키기 전에 패킷에 대한 세부 분석을 수행하여 패킷을 차단할지 또는 승인할지를 결정하기 때문에 높은 수준의 안전성을 보장할 수 있게 된다.
다만, 이러한 인라인 방식의 패킷 분석은, 신원 미상의 사용자로부터 송신되는 모든 패킷을 수신하여 분석을 수행하기 때문에 부하로 인한 장비 장애가 발생할 우려가 있어, 본 발명에서는 물리적인 바이패스 또는 이중화를 통하여 예비 시스템으로 페일 오버(Fail-Over)가 되도록 할 수 있을 것이며, 본 발명은 이에 제한하지 않는다.
한편 상기와 같이 리퀘스트 패킷을 인라인 방식으로 수집한 이후에는, 넷필터를 이용하여 수집된 패킷들에 대한 트래픽 정보를 수집기(Collector)로 1차적으로 분류하고, 분류된 트래픽 정보를 디코더를 통해 디코딩한 후, 어플리케이션 레이어의 파서를 통해 리퀘스트 패킷을 파싱처리하도록 한다.
이때, 상술한 넷필터란, 리눅스 커널 내부의 네트워크 관련 프레임 워크로 주요하게 사설 IP와 공인 IP를 변환해주거나 포트를 변환하는 NAT(Network Address Translation) 기능, 특정 패킷을 차단 또는 허용하도록 하여 서버의 접근 제어 또는 방화벽의 기능을 구현하는 패킷 필터링 기능 및, 필요시 패킷의 헤더 값을 변경하도록 하는 패킷 맹글링(mangling) 기능을 수행한다.
이러한 넷필터는 훅(hook)이라고 불리는 논리적인 패킷 처리 지점을 정의하고 있는데, 처리 시점에 따라 preouting hook, input hook, forward hook, output hook, postrouting hook으로 구분할 수 있고, 특히 input hook과 output hook은 서버 시스템의 로컬 프로세스로 패킷을 전달하거나, 로컬 프로세스에서 외부로 나가는 패킷에 대한 처리를 담당하여 서버 시스템을 보호하기 위한 접근 통제자로서 기능하는 것을 특징으로 한다.
한편 이러한 넷필터의 패킷 필터링 과정에 대하여 보다 상세히 설명하여 보면, 넷필터에서는 지나가는 패킷의 헤더를 분석하여 해당 패킷을 차단(Drop)할지 승인(Accept)할지 여부를 결정하게 된다.
일반적으로 커널 영역에 구비된 필터 테이블에는 Input 체인, Output 체인, Forward 체인으로 구성되는 세가지 기본 체인이 마련되어 있고, 패킷이 한 체인에 이르면 그 패킷의 운명이 결정되게 된다. 일 예로, 일 체인에서 패킷을 차단한다고 명령하면 패킷은 해당 체인에서 삭제되고, 일 체인에서 패킷을 승인한다고 명령하면 패킷은 다음 부분의 체인으로 계속 전달되게 되는 것이다.
물론 상술한 넷필터는 패킷을 단순히 차단 또는 승인하는 명령 이외에도 패킷을 패킷을 목적지로 전달하지 않는 Stolen명령 또는 패킷을 큐로 보내는 Queue명령이 수행될 수도 있을 것이며, 본 발명은 이에 제한하지 않는다.
특히 본 발명에서는 도 3과 같이 커널 영역에서 넷필터를 이용하여 미상의 사용자가 송신하는 리퀘스트 패킷에 대한 통제가 1차적으로 이루어지고, 유저 단에서 패킷 처리 모듈(21)과 연동된 통제 로그 DB(210)의 로그 데이터를 기반으로 패킷 기반의 통제가 2차적으로 이루어지게 되는데, 이때 통제 로그 DB(210)에는 인가되지 않은 외부로부터의 접근이나 침입 사건에 대한 로그 데이터가 저장되어 있어 미상의 사용자가 송신하는 리퀘스트 패킷에 대한 모니터링이 수행되도록 할 수 있으며, 이를 통해 본 발명에서는 보안성이 우수한 보안 모델을 제공할 수 있게 된다는 효과가 있다.
또한 전술한 수집기는 넷필터를 이용하여 수집된 패킷들에 대한 트랙픽 정보를 1차적으로 분류하는데, 이때 트래픽 정보의 분류는 패킷의 헤더를 기준으로 수행될 수 있고, 헤더를 기준으로 분류된 패킷은 디코더를 통해 디코딩된 후, TCP/IP 모델의 가장 높은 추상화 계층인 어플리케이션 레이어의 파서를 통해 디코딩된 패킷에서 원하는 정보(예를 들어 외부 네트워크를 통해 웹 서버 시스템(10)으로 접근하려는 사용자 단말의 식별 정보 및, 사용자가 접근하려는 대상에 대한 정보)만 가공 및 추출하는 파싱(Parsing) 처리가 수행되게 된다.
한편 다음으로 상술한 서비스 통제 모듈(22)은 식별정보가 웹 서버 시스템(10) 또는 웹 서비스에 대한 접근 권한이 사용자에게 설정되어 있는지 여부를 확인하여 사용자의 접근을 통제하도록 기능한다.
이때 도 4를 더 참조하여 보면, 도 4에는 서비스 통제 모듈(22)에서 사용자의접근 권한을 단계적으로 수행하는 것에 대한 워크플로우를 살펴볼 수 있다. 구체적으로, 본 발명의 상술한 서비스 통제 모듈(22)은 웹 서버 시스템(10)에 대한 접근 제어 정보가 등록된 데이터베이스(31)에서 식별 정보가 추출된 사용자에 대응되는 식별 정보가 존재하는지 여부를 확인하여 사용자에게 웹 서버 시스템(10)으로의 접근 권한이 설정되어 있는지를 판단하는 1차 접근 권한 판단부(2201)를 포함한다.
일 실시 예로서, 상술한 1차 접근 권한 판단부(2201)는, 웹 서버 시스템(10)에 대한 접근 제어 정보가 등록된 데이터베이스(31)에 사용자로부터 추출된 식별 정보에 대응되는 식별 정보가 존재하지 않는 것으로 판단될 경우, 사용자가 접근 권한이 없는 악의적 사용자인 것으로 분류하여 사용자로부터 수신된 리퀘스트 패킷에 대한 차단 명령을 내리도록 함으로써, 악의적 사용자로 분류된 사용자가 웹 서버 시스템(10)으로 접근하는 것이 차단되도록 할 수 있다.
또한 다른 실시 예로서, 상술한 서비스 통제 모듈(22)은, 상술한 1차 접근 권한 판단부(2201)와 함께, 1차 접근 권한 판단부(2201)의 기능 수행 결과 웹 서버 시스템(10)에 대한 접근 제어 정보가 등록된 데이터베이스(31)에 사용자로부터 추출된 식별 정보에 대응되는 식별 정보가 존재하는 것으로 판단될 경우, 상기 웹 서버 시스템(10)에 구동되어 있는 하나 이상의 웹 서비스마다의 접근 통제 리스트를 확인하여 사용자에게 접근 권한이 설정된 것으로 확인된 웹 서비스에 대한 접근만을 허여하도록 하는 2차 접근 권한부를 포함할 수 있다.
전술한 1차 접근 권한 판단부(2201)의 메커니즘과 유사하게, 상술한 2차 접근 권한 판단부(2202)는 웹 서비스마다의 접근 통제 리스트를 확인한 결과, 웹 서비스로 접근하려는 리퀘스트 패킷을 송신한 사용자 측에 웹 서비스에 대한 접근 권한이 설정되지 아니한 것으로 판단될 시, 상기 사용자를 악의적인 사용자로 분류하여 사용자가 송신한 리퀘스트 패킷에 대한 차단 명령을 내림으로써 악의적 사용자로 분류된 사용자가 웹 서비스로 접근하는 것을 불허할 수 있다.
물론 2차 접근 권한 판단부(2202)에서는 사용자가 1차 접근 권한 판단부(2201)에서 웹 서버 시스템(10)으로의 접근 권한이 설정된 사용자이고, 동시에 웹 서비스 서버에 구동되어 있는 모든 웹 서비스에 대한 접근 권한이 설정된 사용자인 것으로 판단될 시, 사용자가 송신한 리퀘스트 패킷을 승인 처리하여, 상기 사용자의 웹 서버 시스템(10) 및 웹 서비스에 대한 접근을 허여할 수 있다.
다만, 서비스 통제 모듈(22)에서는, 사용자가 1차 접근 권한 판단부(2201)에서 웹 서버 시스템(10)으로의 접근 권한이 설정된 사용자이나, 웹 서비스 서버에 구동되어 있는 어느 일 웹 서비스에 대한 접근 권한이 설정된 사용자인 것으로 판단될 시, 상기 사용자는 상기 일 웹 서비스를 제외한 타 웹 서비스에 대한 접근이 원천적으로 차단되도록 기능할 수 있을 것이며, 본 발명에서는 이러한 기능 수행에 의하여 웹 서버 시스템(10) 또는 웹 서비스로 접근을 요청하는 사용자에 대한 철저한 검증을 거친 뒤, 최소한의 접근만을 허용하는 접근 통제가 이루어지도록 함으로써, 공격이 유입될 수 있는 경로를 좁혀 발생할 수 있는 피해를 최소화할 수 있다는 효과가 있다.
한편 전술한 외부 정책 관리 모듈(23)에서는 외부의 통합 정책 관리 서버(40)와 기 설정된 주기마다 통신하여 갱신된 사용자의 접근 제어 정책과 갱신된 웹 서비스에 대한 정책을 수집한 후, 서비스 통제 모듈(22)과 갱신된 데이터를 공유하도록 함으로써, 기 설정된 주기마다 외부 정책 관리 모듈(23)과 서비스 통제 모듈(22) 간의 동기화가 수행되도록 함이 바람직하다.
즉 이는 기 설정된 주기(예를 들어 1시간 단위 또는 1일 단위 등)마다 웹 서버 시스템(10)에 대한 사용자의 접근 제어 정책 및 웹 서비스에 대한 정책에 변화가 있는지를 살펴, 접근 권한이 새롭게 설정되었거나, 접근 권한이 중단 또는 상실된 사용자가 존재하는지 여부를 모니터링한다는 것으로, 이를 통해 내/외부를 막론한 위협에 신속히 대처할 수 있는 제로트러스트기반의 보안 아키텍처를 구현할 수 있게 된다는 효과가 있다.
한편 이상의 실시 예에서는 외부 정책 관리 모듈(23)이 기 설정된 주기로 외부의 통합 정책 관리 서버(40)와 통신하여 갱신된 사용자의 접근 제어 정책과 갱신된 웹 서비스에 대한 정책을 수집하는 것에 한정된 설명을 수행하였으나, 본 발명의 다른 실시 예에서는 기 설정된 주기가 아닌 비주기적으로 외부의 통합 정책 관리 서버(40)와 통신하여 갱신된 사용자의 접근 제어 정책과 갱신된 웹 서비스에 대한 정책을 수집할 수도 있을 것이다. 이때 비주기적으로 외부의 통합 정책 관리 서버(40)와 통신하는 것은, 웹 서버 시스템(10)의 관리자 계정으로부터 갱신된 정책 수집에 대한 요청이 수신되었을 때 또는, 랜덤한 주기를 이용하여 갱신된 정책의 수집이 수행되도록 할 수 있을 것이며 본 발명은 이에 제한하지 않는다.
종합적으로 이상에서 설명한 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치에 의하면, 본 발명에서는 외부 네트워크를 통해 웹 서비스에 접근하려는 사용자 단말의 접근 권한을 확인하여 접근 권한이 설정된 사용자 측에는 웹 서비스에 대한 접근을 허여하고, 접근 권한이 설정되지 아니한 사용자 측에는 웹 서비스에 접근을 불허하도록 기능함으로써, 접근 권한이 설정되지 않은 미상의 사용자가 웹 서버 시스템 또는 웹 서비스로 접근하는 행위를 차단하여, 네트워크 보안성을 향상시키도록 하는 효과가 있다.
또한, 본 발명의 일 실시 예에 따르면, 본 발명에서는 최근 회사 정책 또는 팬데믹으로 인해 기존 네트워크 경계 외부에서 근무하는 직원, 즉 재택 근무자가 증가하는 등 업무 환경이 변화하는 추세에 맞추어, VPN 또는 공공 Wi-fi 등의 외부 네트워크를 이용하여 기업의 내부 네트워크에 접속하게 되는데, 이때, 웹 어플리케이션 프록시를 이용하여 업무를 수행하는데 필요한 기업 데이터, 서비스 및 리소스에 접근하는 것에 대한 엄격한 접근 제어를 수행하여 제로트러스트 기반의 보안 아키텍처를 구현함으로써, 민감한 데이터의 유출을 방지하고, 사이버 보안의 수준을 강화하는 효과가 있다.
또한 본 발명에서는 상기와 같은 제로트러스트 기반의 보안 아키텍처를 구현하여 접근 요청자에 대한 철저한 검증을 거친 뒤, 최소한의 접근만 허용하여 접속을 제한하도록 기능함으로써, 공격이 유입될 수 있는 경로를 좁혀 발생할 수 있는 피해를 최소화할 수 있기 때문에 데이터 침해 사고를 줄이는 동시에 사고 시 발생하는 비용을 줄여 기업의 자산을 보다 효율적으로 보호하면서도, 안전한 보안 모델로서 이용될 수 있다는 효과가 있다.
또한 본 발명의 일 실시 예에 따르면, 본 발명에서는 제로트러스트 기반의 강력한 보안 아키텍처를 구현하여, 보다 안전한 원격 근무 환경을 구축할 수 있으며, 이를 통해 기업 등의 내부 보안성을 증대하는 효과를 제공함과 아울러, 일상 속 업무 효율성 및 활용성이 증대되도록 하는 효과가 있다.
이상과 같이 실시 예들이 비록 한정된 실시 예와 도면에 의해 설명되었으나, 해당 기술 분야에서 통상의 지식을 가진 자라면 상기의 기재로부터 다양한 수정 및 변형이 가능할 것이다.
또 다른 한편 도 5를 참조하여 보면, 도 5에서는 본 발명의 일 실시 예에 따른 컴퓨팅 장치의 내부 구성의 일 예를 도시하였으며, 이하의 설명에 있어서, 상술한 도 1 내지 4에 대한 설명과 중복되는 불필요한 실시 예에 대한 설명은 생략하기로 한다.
도 5에 도시한 바와 같이, 컴퓨팅 장치(10000)은 적어도 하나의 프로세서(processor)(11100), 메모리(memory)(11200), 주변장치 인터페이스(peripheral interface)(11300), 입/출력 서브시스템(I/O subsystem)(11400), 전력 회로(11500) 및 통신 회로(11600)를 적어도 포함할 수 있다. 이때, 컴퓨팅 장치(10000)은 촉각 인터페이스 장치에 연결된 유저 단말이기(A) 혹은 전술한 컴퓨팅 장치(B)에 해당될 수 있다.
메모리(11200)는, 일례로 고속 랜덤 액세스 메모리(high-speed random access memory), 자기 디스크, 에스램(SRAM), 디램(DRAM), 롬(ROM), 플래시 메모리 또는 비휘발성 메모리를 포함할 수 있다. 메모리(11200)는 컴퓨팅 장치(10000)의 동작에 필요한 소프트웨어 모듈, 명령어 집합 또는 그밖에 다양한 데이터를 포함할 수 있다.
이때, 프로세서(11100)나 주변장치 인터페이스(11300) 등의 다른 컴포넌트에서 메모리(11200)에 액세스하는 것은 프로세서(11100)에 의해 제어될 수 있다.
주변장치 인터페이스(11300)는 컴퓨팅 장치(10000)의 입력 및/또는 출력 주변장치를 프로세서(11100) 및 메모리 (11200)에 결합시킬 수 있다. 프로세서(11100)는 메모리(11200)에 저장된 소프트웨어 모듈 또는 명령어 집합을 실행하여 컴퓨팅 장치(10000)을 위한 다양한 기능을 수행하고 데이터를 처리할 수 있다.
입/출력 서브시스템(11400)은 다양한 입/출력 주변장치들을 주변장치 인터페이스(11300)에 결합시킬 수 있다. 예를 들어, 입/출력 서브시스템(11400)은 모니터나 키보드, 마우스, 프린터 또는 필요에 따라 터치스크린이나 센서 등의 주변장치를 주변장치 인터페이스(11300)에 결합시키기 위한 컨트롤러를 포함할 수 있다. 다른 측면에 따르면, 입/출력 주변장치들은 입/출력 서브시스템(11400)을 거치지 않고 주변장치 인터페이스(11300)에 결합될 수도 있다.
전력 회로(11500)는 단말기의 컴포넌트의 전부 또는 일부로 전력을 공급할 수 있다. 예를 들어 전력 회로(11500)는 전력 관리 시스템, 배터리나 교류(AC) 등과 같은 하나 이상의 전원, 충전 시스템, 전력 실패 감지 회로(power failure detection circuit), 전력 변환기나 인버터, 전력 상태 표시자 또는 전력 생성, 관리, 분배를 위한 임의의 다른 컴포넌트들을 포함할 수 있다.
통신 회로(11600)는 적어도 하나의 외부 포트를 이용하여 다른 컴퓨팅 장치와 통신을 가능하게 할 수 있다.
또는 상술한 바와 같이 필요에 따라 통신 회로(11600)는 RF 회로를 포함하여 전자기 신호(electromagnetic signal)라고도 알려진 RF 신호를 송수신함으로써, 다른 컴퓨팅 장치와 통신을 가능하게 할 수도 있다.
이러한 도 5의 실시 예는, 컴퓨팅 장치(10000)의 일례일 뿐이고, 컴퓨팅 장치(11000)은 도 5에 도시된 일부 컴포넌트가 생략되거나, 도 5에 도시되지 않은 추가의 컴포넌트를 더 구비하거나, 2개 이상의 컴포넌트를 결합시키는 구성 또는 배치를 가질 수 있다. 예를 들어, 모바일 환경의 통신 단말을 위한 컴퓨팅 장치는 도 5에 도시된 컴포넌트들 외에도, 터치스크린이나 센서 등을 더 포함할 수도 있으며, 통신 회로(1160)에 다양한 통신방식(WiFi, 3G, LTE, Bluetooth, NFC, Zigbee 등)의 RF 통신을 위한 회로가 포함될 수도 있다. 컴퓨팅 장치(10000)에 포함 가능한 컴포넌트들은 하나 이상의 신호 처리 또는 어플리케이션에 특화된 집적 회로를 포함하는 하드웨어, 소프트웨어, 또는 하드웨어 및 소프트웨어 양자의 조합으로 구현될 수 있다.
본 발명의 실시 예에 따른 방법들은 다양한 컴퓨팅 장치를 통하여 수행될 수 있는 프로그램 명령(instruction) 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 특히, 본 실시 예에 따른 프로그램은 PC 기반의 프로그램 또는 모바일 단말 전용의 어플리케이션으로 구성될 수 있다. 본 발명이 적용되는 애플리케이션은 파일 배포 시스템이 제공하는 파일을 통해 이용자 단말에 설치될 수 있다. 일 예로, 파일 배포 시스템은 이용자 단말이기의 요청에 따라 상기 파일을 전송하는 파일 전송부(미도시)를 포함할 수 있다.
이상에서 설명된 장치는 하드웨어 구성요소, 소프트웨어 구성요소, 및/또는 하드웨어 구성요소 및 소프트웨어구성요소의 조합으로 구현될 수 있다. 예를 들어, 실시 예들에서 설명된 장치 및 구성요소는, 예를 들어, 프로세서, 콘트롤러, ALU(arithmetic logic unit), 디지털 신호 프로세서(digital signal processor), 마이크로컴퓨터, FPGA(field programmable gate array), PLU(programmable logic unit), 마이크로프로세서, 또는 명령(instruction)을 실행하고 응답할 수 있는 다른 어떠한 장치와 같이, 하나 이상의 범용 컴퓨터 또는 특수 목적컴퓨터를 이용하여 구현될 수 있다. 처리 장치는 운영 체제(OS) 및 상기 운영 체제상에서 수행되는 하나 이상의 소프트웨어 애플리케이션을 수행할 수 있다.
또한, 처리 장치는 소프트웨어의 실행에 응답하여, 데이터를 접근, 저장, 조작, 처리 및 생성할 수도 있다. 이해의 편의를 위하여, 처리 장치는 하나가 사용되는 것으로 설명된 경우도 있지만, 해당 기술 분야에서 통상의 지식을 가진 자는, 처리 장치가 복수 개의 처리 요소(processing element) 및/또는 복수 유형의 처리 요소를 포함할 수 있음을 알 수 있다. 예를 들어, 처리 장치는 복수 개의 프로세서 또는 하나의 프로세서 및 하나의 콘트롤러를 포함할 수 있다. 또한, 병렬 프로세서(parallel processor)와 같은, 다른 처리 구성(processing configuration)도 가능하다.
소프트웨어는 컴퓨터 프로그램(computer program), 코드(code), 명령(instruction), 또는 이들 중 하나 이상의 조합을 포함할 수 있으며, 원하는 대로 동작하도록 처리 장치를 구성하거나 독립적으로 또는 결합적으로 (collectively) 처리 장치를 명령할 수 있다. 소프트웨어 및/또는 데이터는, 처리 장치에 의하여 해석되거나 처리 장치에 명령 또는 데이터를 제공하기 위하여, 어떤 유형의 기계, 구성요소(component), 물리적 장치, 가상장치(virtual equipment), 컴퓨터 저장 매체 또는 장치에 영구적으로, 또는 일시적으로 구체화(embody)될 수 있다. 소프트웨어는 네트워크로 연결된 컴퓨팅 장치상에 분산되어서, 분산된 방법으로 저장되거나 실행될 수도 있다. 소프트웨어 및 데이터는 하나 이상의 컴퓨터 판독 가능 기록 매체에 저장될 수 있다.
실시 예에 따른 방법은 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 상기 매체에 기록되는 프로그램 명령은 실시 예를 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다. 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광 기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다.
프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다. 상기된 하드웨어 장치는 실시 예의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.
이상과 같이 실시 예들이 비록 한정된 실시 예와 도면에 의해 설명되었으나, 해당 기술 분야에서 통상의 지식을 가진 자라면 상기의 기재로부터 다양한 수정 및 변형이 가능하다. 예를 들어, 설명된 기술들이 설명된 방법과 다른 순서로 수행되거나, 및/또는 설명된 시스템, 구조, 장치, 회로 등의 구성요소들이 설명된 방법과 다른 형태로 결합 또는 조합되거나, 다른 구성요소 또는 균등물에 의하여 대치되거나 치환되더라도 적절한 결과가 달성될 수 있다. 그러므로, 다른 구현들, 다른 실시 예들 및 특허청구범위와 균등한 것들도 후술하는 특허청구범위의 범위에 속한다.

Claims (6)

  1. 하나 이상의 프로세서 및 상기 프로세서에서 수행 가능한 명령들을 저장하는 하나 이상의 메모리를 포함하는 컴퓨팅 장치에서 구현되는 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치에 있어서,
    하나 이상의 웹 서비스가 구동되어 있는 웹 서버 시스템; 및,
    상기 웹 서버 시스템 상에 설치되고, 외부 네트워크를 이용하여 상기 웹 서버 시스템이 제공하는 웹 서비스로 접근하려는 사용자의 접근 권한을 확인하여 상기 웹 서버 시스템에서 제공하는 웹 서비스를 상기 사용자에게 제공할지 여부를 결정하는 웹 어플리케이션 프록시;를 포함하되,
    상기 웹 어플리케이션 프록시는,
    외부의 사용자가 상기 웹 서버 시스템으로 전송하는 리퀘스트 패킷을 수집 및 분석하는 패킷 처리 모듈;
    상기 패킷 처리 모듈에서 수집 및 분석된 패킷에서 상기 사용자의 식별 정보를 추출하여, 식별 정보가 추출된 사용자에게 상기 웹 서버 시스템에 대한 접근 권한이 설정되어 있는지 여부를 확인함으로써, 상기 웹 서버 시스템이 제공하는 웹 서비스에 대한 사용자의 접근을 통제하도록 하는 서비스 통제 모듈; 및,
    외부의 통합 정책 관리 서버와 통신하여 갱신된 사용자의 접근 제어 정책과, 갱신된 웹 서비스에 대한 정책을 수집하여 관리하는 외부 정책 관리 모듈;을 포함하되,
    상기 패킷 처리 모듈은,
    상기 외부 네트워크를 통해 상기 웹 서버 시스템으로 수신된 리퀘스트 패킷을, 커널 영역에서 동작하는 넷필터(Netfilter)를 이용하여 수집하되,
    상기 리퀘스트 패킷을 인라인(Inline) 방식으로 수집하는 것을 특징으로 하는 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치.
  2. 삭제
  3. 제1항에 있어서,
    상기 패킷 처리 모듈은,
    상기 넷 필터를 이용하여 수집된 패킷들에 대한 트래픽 정보가 수집기(Collector)에 의해 분류되고, 분류된 트래픽 정보를 디코더를 통해 디코딩한 후, 어플리케이션 레이어의 파서를 통해 상기 리퀘스트 패킷을 파싱처리하는 것을 특징으로 하는 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치.
  4. 제1항에 있어서,
    상기 서비스 통제 모듈은,
    상기 웹 서버 시스템에 대한 접근 제어 정보가 등록된 데이터베이스에서, 상기 식별 정보가 추출된 사용자에 대응되는 식별 정보가 존재하는지 여부를 확인하여 사용자에게 상기 웹 서버 시스템으로의 접근 권한이 설정되어 있는지를 판단하는 1차 접근 권한 판단부; 및,
    상기 1차 접근 권한 판단부의 기능 수행 결과, 상기 사용자에게 상기 웹 서버 시스템으로의 접근 권한이 설정되어 있는 것으로 판단된 경우, 상기 웹 서버 시스템에 구동되어 있는 웹 서비스별 접근 통제 리스트를 확인하여 상기 사용자에게 접근 권한이 설정된 것으로 확인된 웹 서비스에 대한 접근만을 허여하는 2차 접근 권한 판단부;를 포함하는 것을 특징으로 하는 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치.
  5. 제4항에 있어서,
    상기 서비스 통제 모듈은,
    상기 1차 접근 권한 판단부 및 상기 2차 접근 권한 판단부 중 적어도 어느 하나를 포함하는 접근 권한 판단부의 기능 수행 결과,
    상기 사용자에 대한 접근 권한이 미설정되어 있는 것으로 판단될 경우, 상기 사용자로부터 수신된 리퀘스트 패킷에 대한 차단(Drop) 명령을 내리도록 하여, 상기 사용자가 상기 웹 서버 시스템 또는 상기 웹 서비스로 접근하는 것에 대한 행위를 차단하도록 하고,
    상기 사용자에 대한 접근 권한이 설정되어 있는 것으로 판단될 경우, 상기 사용자로부터 수신된 리퀘스트 패킷에 대한 승인(Accept) 명령을 내리도록 하여, 상기 사용자가 상기 웹 서버 시스템 또는 상기 웹 서비스로 접근하는 것에 대한 행위를 허여하도록 하는 것을 특징으로 하는 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치.
  6. 제1항에 있어서,
    상기 외부 정책 관리 모듈은,
    상기 외부의 통합 정책 관리 서버와 기 설정된 주기마다 통신하여 갱신된 사용자의 접근 제어 정책과, 갱신된 웹 서비스에 대한 정책을 수집한 후 상기 서비스 통제 모듈과 공유하도록 함으로써, 기 설정된 주기마다 상기 외부 정책 관리 모듈과 상기 서비스 통제 모듈 간의 동기화가 수행되도록 하는 것을 특징으로 하는 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치.
KR1020220154090A 2022-11-17 2022-11-17 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치 KR102540094B1 (ko)

Priority Applications (2)

Application Number Priority Date Filing Date Title
KR1020220154090A KR102540094B1 (ko) 2022-11-17 2022-11-17 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치
US18/337,128 US20240171547A1 (en) 2022-11-17 2023-06-19 Apparatus for controlling and blocking user access using web application proxy

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020220154090A KR102540094B1 (ko) 2022-11-17 2022-11-17 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치

Publications (1)

Publication Number Publication Date
KR102540094B1 true KR102540094B1 (ko) 2023-06-05

Family

ID=86764157

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020220154090A KR102540094B1 (ko) 2022-11-17 2022-11-17 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치

Country Status (2)

Country Link
US (1) US20240171547A1 (ko)
KR (1) KR102540094B1 (ko)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008234256A (ja) * 2007-03-20 2008-10-02 Ntt Data Corp 情報処理システム及びコンピュータプログラム
KR20130028323A (ko) * 2011-09-09 2013-03-19 삼성에스디에스 주식회사 네트워크 접근 제어 시스템 및 방법

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008234256A (ja) * 2007-03-20 2008-10-02 Ntt Data Corp 情報処理システム及びコンピュータプログラム
KR20130028323A (ko) * 2011-09-09 2013-03-19 삼성에스디에스 주식회사 네트워크 접근 제어 시스템 및 방법

Also Published As

Publication number Publication date
US20240171547A1 (en) 2024-05-23

Similar Documents

Publication Publication Date Title
El Kafhali et al. Security threats, defense mechanisms, challenges, and future directions in cloud computing
US11184323B2 (en) Threat isolation using a plurality of containers
Hu et al. FLOWGUARD: Building robust firewalls for software-defined networks
KR101535502B1 (ko) 보안 내재형 가상 네트워크 제어 시스템 및 방법
Gai et al. Intrusion detection techniques for mobile cloud computing in heterogeneous 5G
US10558798B2 (en) Sandbox based Internet isolation in a trusted network
US20070266433A1 (en) System and Method for Securing Information in a Virtual Computing Environment
Almutairy et al. A taxonomy of virtualization security issues in cloud computing environments
US8650640B2 (en) Using a declaration of security requirements to determine whether to permit application operations
Sundararajan et al. Preventing Insider attacks in the Cloud
Zhou et al. Context-aware access control model for cloud computing
Sagare et al. Security analysis of SDN routing applications
CN116707980A (zh) 一种基于零信任的免疫安全防御方法
Hong et al. SysFlow: Toward a programmable zero trust framework for system security
US20210014233A1 (en) Dynamically enforcing context sensitive network access control policies
US20170093878A1 (en) Enforcing security for sensitive data on database client hosts
Sengupta et al. A formal methodology for detecting managerial vulnerabilities and threats in an enterprise information system
KR102540094B1 (ko) 웹 어플리케이션 프록시를 이용한 사용자 접근 제어와 접근 차단 장치
KR102345265B1 (ko) 네트워크시스템 및 네트워크시스템에서 수행하는 네트워크 제어 방법
Mukhanov et al. “Common Criteria” and Software-Defined Network (SDN) Security
KR20100067383A (ko) 서버 보안 시스템 및 서버 보안 방법
Deng et al. TNC-UTM: A holistic solution to secure enterprise networks
Gao et al. Operational Security Analysis and Challenge for IoT Solutions
KR102548703B1 (ko) 홈 네트워크 환경에서의 원격 시스템에 대한 접속 제어 방법, 장치 및 컴퓨터-판독가능 기록매체
WO2020182310A1 (en) Method for implementing system state aware security policies

Legal Events

Date Code Title Description
E701 Decision to grant or registration of patent right
GRNT Written decision to grant