KR102657010B1 - 샌드박스 기반의 가상 망 분리 방법 및 시스템 - Google Patents

샌드박스 기반의 가상 망 분리 방법 및 시스템 Download PDF

Info

Publication number
KR102657010B1
KR102657010B1 KR1020230173656A KR20230173656A KR102657010B1 KR 102657010 B1 KR102657010 B1 KR 102657010B1 KR 1020230173656 A KR1020230173656 A KR 1020230173656A KR 20230173656 A KR20230173656 A KR 20230173656A KR 102657010 B1 KR102657010 B1 KR 102657010B1
Authority
KR
South Korea
Prior art keywords
sandbox
network
sdp
server
disk
Prior art date
Application number
KR1020230173656A
Other languages
English (en)
Inventor
김윤제
최태암
Original Assignee
주식회사 심시스글로벌
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 심시스글로벌 filed Critical 주식회사 심시스글로벌
Priority to KR1020230173656A priority Critical patent/KR102657010B1/ko
Application granted granted Critical
Publication of KR102657010B1 publication Critical patent/KR102657010B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0893—Assignment of logical groups to network elements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/12—Discovery or management of network topologies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

실시예들은 샌드박스(sandbox)에 기반한 가상 망 분리 방법 및 시스템을 제시한다. 일 실시예에 따른 상기 시스템은, 외부 프로그램의 접근이 차단되는 샌드박스 디스크 영역 및 상기 샌드박스 디스크 영역과 가상으로 분리된 호스트 영역을 포함하는 시작 호스트 단말, 상기 샌드박스 디스크 영역을 통해 실행된 응용 프로그램을 클라우드 서버와 연결시키고, 상기 호스트 영역을 통해 실행된 응용 프로그램을 인터넷 망과 연결시키는 망분리 운영 서버를 포함할 수 있다.
예를 들어, 시작 호스트 단말은, 샌드박스 무결성 검사 모듈, 망분리 컨트롤 모듈, 샌드박스 컨트롤 모듈, 디스크 모니터링 모듈 및 네트워크 모니터링 모듈을 포함할 수 있다. 샌드박스 무결성 검사 모듈은, 샌드박스 디스크 영역에 대한 무결성을 검사할 수 있다. 망분리 컨트롤 모듈은, 상기 샌드박스 무결성 검사 모듈의 검사 정보를 기반으로 상기 망분리 운영 서버로부터 수신한 설정 정보를 이용하여 가상으로 망을 분리할 수 있다. 샌드박스 컨트롤 모듈은 디스크 드라이버 스택의 최상단에 디스크 모니터링 모듈을 삽입하고, 네트워크 드라이버 스택의 최상단에 네트워크 모니터링 모듈을 삽입할 수 있다. 디스크 모니터링 모듈은, 상기 샌드박스 디스크 영역에서 쓰기 동작이 발생한 응용 프로그램이 허가된 응용 프로그램인지 여부에 따라 상기 쓰기 동작을 제한할 수 있다. 네트워크 모니터링 모듈은 상기 샌드박스 디스크 영역에서 실행된 응용 프로그램이 특정 네트워크와 연결을 시도하는 것에 기반하여 상기 특정 네트워크가 허가된 네트워크인지 여부에 따라 상기 특정 네트워크와 연결을 제한할 수 있다.

Description

샌드박스 기반의 가상 망 분리 방법 및 시스템{METHOD AND SYSTEM FOR SEPARATING A NETWORK VIRTUALLY BASED ON A SANDBOX}
본 개시의 실시예들은 가상 망 분리 기술에 관한 것으로, 샌드박스(sandbox)에 기반한 가상 망 분리 방법 및 시스템에 대한 것이다.
샌드박스(sandbox)는 테스트되지 않은 코드 변경 및 철저한 실험을 격리하는 테스트 환경을 제공하는 기술을 보안에 활용하는 기술이다.
SDP(software-defined perimeter)는 CSA(Cloud Security Alliance)의 워킹 그룹에서 제로 트러스트(zero trust) 환경에 적용 가능한 보안 기술 개발에 대한 규격서를 제정한 보안 기술이다.
SDP의 기본 개념은 애플리케이션 계층이 아니라 네트워크 계층에서 회사 자산 주위에 가상 경계를 형성하고, 사용자 권한이 제한되지만 광범위한 네트워크 액세스를 허용하는 다른 액세스 기반 제어와 차별화된다. 또 다른 주요 차이점은 SDP에서 장치와 사용자 ID를 인증한다는 것이다.
다만, SDP 시스템에서 시작 호스트(Initiating Host), 즉, 사용자의 컴퓨터에 설치된 SDP 클라이언트 프로그램이 악성코드나 멀웨어(malware)에 감염된 경우, SDP 클라이언트 프로그램이 인증을 수행한 후 수락 호스트인 클라우드 서버에 접속하면, 악성코드나 멀웨어가 클라우드 서버에 침입하게 되는 문제가 발생한다.
이에, 샌드박스 기술을 이용한 가상 망 분리를 통해 클라우드 서버에만 접속 가능한 영역과 일반 인터넷에 접속 가능한 영역을 분리하고, 클라우드 서버에만 접속 가능한 영역에서 SDP 클라이언트 프로그램을 실행시키는 방법 및 시스템이 필요하다.
본 개시의 실시예들은, 샌드박스(sandbox) 기반의 가상 망 분리 방법 및 시스템을 제공할 수 있다.
실시예들에서 이루고자 하는 기술적 과제들은 이상에서 언급한 사항들로 제한되지 않으며, 언급하지 않은 또 다른 기술적 과제들은 이하 설명할 다양한 실시예들로부터 당해 기술분야에서 통상의 지식을 가진 자에 의해 고려될 수 있다.
일 실시예에 따른 샌드박스(sandbox)에 기반한 가상 망 분리 시스템은 외부 프로그램의 접근이 차단되는 샌드박스 디스크 영역 및 상기 샌드박스 디스크 영역과 가상으로 분리된 호스트 영역을 포함하는 시작 호스트 단말, 상기 샌드박스 디스크 영역을 통해 실행된 응용 프로그램을 클라우드 서버와 연결시키고, 상기 호스트 영역을 통해 실행된 응용 프로그램을 인터넷 망과 연결시키는 망분리 운영 서버를 포함할 수 있다.
예를 들어, 시작 호스트 단말은, 샌드박스 무결성 검사 모듈, 망분리 컨트롤 모듈, 샌드박스 컨트롤 모듈, 디스크 모니터링 모듈 및 네트워크 모니터링 모듈을 포함할 수 있다. 샌드박스 무결성 검사 모듈은, 샌드박스 디스크 영역에 대한 무결성을 검사할 수 있다. 망분리 컨트롤 모듈은, 상기 샌드박스 무결성 검사 모듈의 검사 정보를 기반으로 상기 망분리 운영 서버로부터 수신한 설정 정보를 이용하여 가상으로 망을 분리할 수 있다. 샌드박스 컨트롤 모듈은 디스크 드라이버 스택의 최상단에 디스크 모니터링 모듈을 삽입하고, 네트워크 드라이버 스택의 최상단에 네트워크 모니터링 모듈을 삽입할 수 있다. 디스크 모니터링 모듈은, 상기 샌드박스 디스크 영역에서 쓰기 동작이 발생한 응용 프로그램이 허가된 응용 프로그램인지 여부에 따라 상기 쓰기 동작을 제한할 수 있다. 네트워크 모니터링 모듈은 상기 샌드박스 디스크 영역에서 실행된 응용 프로그램이 특정 네트워크와 연결을 시도하는 것에 기반하여 상기 특정 네트워크가 허가된 네트워크인지 여부에 따라 상기 특정 네트워크와 연결을 제한할 수 있다.
실시예들에 따르면, 가상 망 분리 시스템에서, 시작 호스트 단말은 샌드박스 무결성 검사 모듈을 통해 샌드박스 디스크 영역에 대한 무결성을 검사하고, 검사 정보와 망분리 운영 서버로부터 수신한 설정 정보를 기반으로 샌드박스 디스크 영역에 대한 무결성을 검증함으로써, 샌드박스 디스크 영역이 오염되었는지 여부를 사전에 검사할 수 있다.
실시예들에 따르면, 가상 망 분리 시스템에서, 시작 호스트 단말은 외부 프로그램의 접근이 차단되는 영역인 샌드박스 디스크 영역에 설치된 SDP 클라이언트 프로그램을 실행시킴으로써, 시작 호스트 단말이 SDP로 구성된 네트워크로만 접근할 수 있다. 이를 통해, 시작 호스트 단말이 SDP로 구성된 네트워크 이외의 네트워크로 접근하는 것을 차단함으로써, SDP에 대한 보안을 강화할 수 있다.
실시예들로부터 얻을 수 있는 효과들은 이상에서 언급된 효과들로 제한되지 않으며, 언급되지 않은 또 다른 효과들은 이하의 상세한 설명을 기반으로 당해 기술분야에서 통상의 지식을 가진 자에게 명확하게 도출되고 이해될 수 있다.
실시예들에 대한 이해를 돕기 위해 상세한 설명의 일부로 포함된, 첨부 도면은 다양한 실시예들을 제공하고, 상세한 설명과 함께 다양한 실시예들의 기술적 특징을 설명한다.
도 1은 기존 망 분리에 대한 개념도이다.
도 2는 일 실시예에 따른 샌드박스와 SDP를 활용한 가상 망 분리에 대한 개념도이다.
도 3은 일 실시예에 따른 샌드박스와 SDP를 활용한 가상 망 분리 방법을 나타낸 개념도이다.
도 4는 일 실시예에 따른 가상 망 분리를 위한 샌드박스에 대한 아키텍쳐를 나타낸 도면이다.
도 5는 일 실시예에 따른 SDP의 아키텍쳐를 나타낸 도면이다.
도 6은 일 실시예에 따른 SDP의 구조를 나타낸다.
도 7은 일 실시예에 따른 윈도우용 SDP 클라이언트의 구성을 나타낸다.
도 8은 일 실시예에 따른 SDP 클라이언트의 구조를 나타낸다.
도 9는 일 실시예에 따른 SDP 클라이언트의 GUI를 나타낸다.
도 10은 일 실시예에 따른 SDP 컨트롤러 IP 주소의 입력 화면을 나타낸다.
도 11은 일 실시예에 따른 SDP 컨트롤러 세션 매니저에 대한 도면이다.
도 12는 일 실시예에 따른 SDP 컨트롤러 세션 매니저에 대한 흐름도이다
도 13은 일 실시예에 따른 아웃바운드 패킷 조사의 상태에 대한 천이도이다.
도 14는 일 실시예에 따른 아웃바운드 패킷 조사에 대한 흐름도이다.
도 15는 일 실시예에 따른 SDP 컨트롤러 구조를 나타낸다.
도 16은 일 실시예에 따른 디바이스 상태의 천이도를 나타낸다.
도 17은 일 실시예에 따른 SDP 게이트웨이의 구조를 나타낸다.
도 18은 일 실시예에 따른 서비스 신청 절차를 나타낸다.
도 19는 일 실시예에 따른 SDP 클라이언트 설치 절차를 나타낸다.
도 20은 일 실시예에 따른 SDP 클라이언트 설치 화면의 구성과 SDP 클라이언트의 실행 화면의 구성을 나타낸다.
도 21은 일 실시예에 따른 SPA 수신 절차를 나타낸다.
도 22는 일 실시예에 따른 디바이스의 유효성을 검증하는 절차를 나타낸다.
도 23은 일 실시예에 따른 서비스 데이터의 전달 절차 및 컴포넌트 사이의 인터렉션을 나타낸다.
도 24는 일 실시예에 따른 서비스 데이터의 전달 절차에 대한 흐름도이다.
도 25는 일 실시예에 따른 SDP 컨트롤러와 SDP 게이트웨이 세션의 설정 절차를 나타낸다.
도 26은 일 실시예에 따른 SDP 컨트롤러와 SDP 게이트웨이 세션의 설정 절차에 대한 흐름도를 나타낸다.
도 27은 일 실시예에 따른 SPA 유효성 검증에 성공한 이후 SDP 컨트롤러와 SDP 게이트웨이 세션의 설정 절차에 대한 흐름도를 나타낸다.
도 28은 각 통신 시간 구간에 따른 메시지의 구성을 나타낸 표이다.
도 29는 일 실시예에 따른 SDP 프로토콜을 나타낸 신호 교환도이다.
도 30는 일 실시예에 따른 SDP 프로토콜의 상용화에 따른 프로토콜을 나타낸 신호 교환도이다.
도 31은 일 실시예에 따른 샌드박스(sandbox) 및 SDP(software-defined perimeter)에 기반한 가상 망 분리 방법을 나타낸다.
도 32는 일 실시예에 따른 샌드박스 영역 설정 모델 및 허용 시간 결정 모델에 대한 예이다.
도 33은 일 실시예에 따른 서버의 구성을 나타내는 블록도이다.
이하의 실시예들은 실시예들의 구성요소들과 특징들을 소정 형태로 결합한 것들이다. 각 구성요소 또는 특징은 별도의 명시적 언급이 없는 한 선택적인 것으로 고려될 수 있다. 각 구성요소 또는 특징은 다른 구성요소나 특징과 결합되지 않은 형태로 실시될 수 있다. 또한, 일부 구성요소들 및/또는 특징들을 결합하여 다양한 실시예들을 구성할 수도 있다. 다양한 실시예들에서 설명되는 동작들의 순서는 변경될 수 있다. 어느 실시예의 일부 구성이나 특징은 다른 실시예에 포함될 수 있고, 또는 다른 실시예의 대응하는 구성 또는 특징과 교체될 수 있다.
도면에 대한 설명에서, 다양한 실시예들의 요지를 흐릴 수 있는 절차 또는 단계 등은 기술하지 않았으며, 당해 기술분야에서 통상의 지식을 가진 자의 수준에서 이해할 수 있을 정도의 절차 또는 단계는 또한 기술하지 아니하였다.
명세서 전체에서, 어떤 부분이 어떤 구성요소를 "포함(comprising 또는 including)"한다고 할 때, 이는 특별히 반대되는 기재가 없는 한 다른 구성요소를 제외하는 것이 아니라 다른 구성요소를 더 포함할 수 있는 것을 의미한다. 또한, 명세서에 기재된 "...부", "...기", "모듈" 등의 용어는 적어도 하나의 기능이나 동작을 처리하는 단위를 의미하며, 이는 하드웨어나 소프트웨어 또는 하드웨어 및 소프트웨어의 결합으로 구현될 수 있다. 또한, "일(a 또는 an)", "하나(one)", "그(the)" 및 유사 관련어는 다양한 실시예들을 기술하는 문맥에 있어서(특히, 이하의 청구항의 문맥에서) 본 명세서에 달리 지시되거나 문맥에 의해 분명하게 반박되지 않는 한, 단수 및 복수 모두를 포함하는 의미로 사용될 수 있다.
이하, 다양한 실시예들에 따른 실시 형태를 첨부된 도면을 참조하여 상세하게 설명한다. 첨부된 도면과 함께 이하에 개시될 상세한 설명은 다양한 실시예들의 예시적인 실시 형태를 설명하고자 하는 것이며, 유일한 실시형태를 나타내고자 하는 것이 아니다.
또한, 다양한 실시예들에서 사용되는 특정(特定) 용어들은 다양한 실시예들의 이해를 돕기 위해서 제공된 것이며, 이러한 특정 용어의 사용은 다양한 실시예들의 기술적 사상을 벗어나지 않는 범위에서 다른 형태로 변경될 수 있다.
도 1은 기존 망 분리에 대한 개념도이다. 도 2는 일 실시예에 따른 샌드박스와 SDP를 활용한 가상 망 분리에 대한 개념도이다.
도 1을 참조하면, 망 분리는 클라이언트(100)에 대해 사설망을 폐쇄망으로 네트워크를 구성함으로써, 외부망으로부터의 침입을 방지하기 위함이 목적이다. 다만, 클라이언트(100)가 공공 클라우드(public cloud) 서버에 접속하기 위해서는 반드시 인터넷을 경유할 수밖에 없는 문제가 발생한다.
이러한 문제를 해결하기 위한 방법으로, 도 1과 같은 환경에서 VDI(virtual desktop infra)를 활용하는 방법이 있으나, VDI는 클라이언트에 설치 시 많은 비용과 시간을 요구한다.
따라서, 도 2를 참조하면, 클라이언트(100)를 샌드박스를 이용하여 인터넷에 접속 가능한 영역과 공공 클라우드 서버에 연결 가능한 영역으로 가상 분리시키고, 공공 클라우드 서버에 연결 가능한 영역에 대해 SDP를 적용시킴으로써, 클라이언트(100)에게 사설망을 폐쇄망처럼 사용하는 효과를 발생시킬 수 있다.
이때, 클라이언트(100)가 전체 네트워크에 접속하게 되어 보안 상의 위험이 존재하는 VPN(Virtual Private Network)의 문제점을 개선하기 위해, SDP는 각 클라이언트(100)마다 개별적인 네트워크 연결을 설정하여 액세스를 관리하며, 각 클라이언트(100)에 대한 신원 확인을 수행함으로써 보안 상의 위험을 감소시킬 수 있다. 또한, SDP는 네트워크 연결을 공유하지 않기 때문에, 클라이언트(100)가 여러 수준의 액세스를 필요로 하는 경우에는 VPN보다 SDP가 더 관리하기가 용이할 수 있다. SDP는 소프트웨어 기반으로 작동하기 때문에 클라우드 및 온프레미스 환경을 독립적으로 보호할 수 있고, 클라이언트(100)의 권한이 명확하게 분리되어 있기 때문에, 각 클라이언트(100)에게 맞춤형 네트워크 연결을 제공할 수 있다.
도 3은 일 실시예에 따른 샌드박스와 SDP를 활용한 가상 망 분리 방법을 나타낸 개념도이다. 도 4는 일 실시예에 따른 가상 망 분리를 위한 샌드박스에 대한 아키텍쳐를 나타낸 도면이다. 도 5는 일 실시예에 따른 SDP의 아키텍쳐를 나타낸 도면이다. 도 3 내지 도 5의 실시예들은 본 개시의 다양한 실시예들과 결합될 수 있다.
도 3을 참조하면, 클라이언트에 설치된 SDP 클라이언트 프로그램(310)이 샌드박싱되고, 클라이언트는 SDP 클라이언트 프로그램(310)을 통해 인터넷을 경유하여 공공 클라우드 서버에 접속할 수 있다.
일반적으로 샌드박스는 컴퓨터 보안에서 시스템 오류 및/또는 소프트웨어 취약성이 확산되는 것을 완화하기 위해 실행 중인 프로그램을 분리하기 위한 보안 메커니즘이다. 예를 들어, 샌드박스는, 호스트 시스템이나 운영 체제에 해를 끼칠 위험 없이 검증되지 않았거나 신뢰할 수 없는 제3자, 공급업체, 사용자 또는 웹사이트에서 테스트되지 않았거나 신뢰할 수 없는 프로그램이나 코드를 실행하기 위해, 외부와 차단된 메모리 영역을 사용할 수 있다. 샌드박스는 하드 디스크 및 메모리 스크래치 공간과 같이 게스트 프로그램이 실행될 수 있도록 엄격하게 제어되는 리소스 세트를 제공할 수 있다. 이때, 네트워크 액세스, 호스트 시스템을 검사하는 기능 또는 입력 장치에서 읽는 기능은 일반적으로 허용되지 않거나 크게 제한될 수 있다. 이렇게 고도로 통제된 환경을 제공한다는 의미에서 샌드박스는 가상화의 구체적인 예로 볼 수 있다. 샌드박스는 소프트웨어가 호스트 장치를 손상시키지 않으면서 바이러스 또는 기타 악성 코드를 포함할 수 있는 확인되지 않은 프로그램을 테스트하기 위해 사용될 수 있다. 예를 들어, 클라이언트가 네트워크와 연결되어 응용 프로그램을 실행할 때 다양한 경로로 악성코드나 멀웨어(malware)가 사용자의 컴퓨터에 설치될 수 있다. 이를 가상화 된 영역인 샌드박스에서 실행되도록 제한함으로써 용이하게 감염 여부를 판단할 수 있고, 다른 곳으로 전염되지 않도록 할 수 있다. 즉, 외부 프로그램으로부터 보호되는 영역이 설정되고, 보호되는 영역에 설치된 프로그램을 동작시킬 수 있다. 보호되는 영역은 다른 파일이나 프로세스로부터 격리되기 때문에, 외부 프로그램으로부터의 침입이 차단될 수 있다.
SDP는 전통적으로 인터넷 시간 구간을 외부적(external), 경계(DMZ, Demilitarized zone), 내부적(internal) 네트워크로 구분하며, 이는 물리적인 장치를 기반으로 한 구분법이다. 전통적인 보안 기법의 한계를 극복하기 위한 방법으로 미 국방성과 정보부서에서 사용하는 보안 기법을 기반으로 상업 용 보안기법인 SDP(Software Defined Perimeter)가 CSA(Cloud Security Alliance) SDP 워킹 그룹(working group)의 연구결과로 탄생하였다. 연구결과로 SDP 규격서를 발표하였고, 기본 개념은 애플리케이션 계층이 아니라 네트워크 계층에서 회사 자산 주위에 가상 경계를 형성하고, 사용자 권한이 제한되지만 광범위한 네트워크 액세스를 허용하는 다른 액세스 기반 제어와 차별될 수 있다. 또다른 주요 차이점은 SDP에서 장치와 사용자 ID를 인증한다는 것이다.
본 개시의 다양한 실시예들은, 샌드박스의 기술적 특징을 역으로 이용하여, 클라이언트가 네트워크를 사용할 때 샌드박스 내의 응용 프로그램만이 SDP로 구성된 네트워크에 접근하도록 구성될 수 있다. 또한, 본 개시의 다양한 실시예들은, 클라이언트가 샌드박스 내에서 SDP로 구성된 네트워크 이외의 네트워크로 접근하는 것을 차단할 수 있다.
도 4를 참조하면, 샌드박스에 기반한 가상 망 분리 시스템은 클라이언트에 해당하는 시작 호스트 단말(410)과 망분리 서비스를 제공하는 망분리 운영 서버(420)를 포함할 수 있다. 예를 들어, 시작 호스트 단말(410)은 SDP의 시작 호스트(initiation host) 역할을 수행하는 단말일 수 있다.
시작 호스트 단말(410)은 외부 프로그램의 접근이 차단되는 샌드박스 디스크 영역 및 샌드박스 디스크 영역과 가상으로 분리된 호스트 영역을 포함할 수 있다. 샌드박스 디스크 영역은 가상 환경에서의 메모리 영역일 수 있다. 호스트 영역은 실제 운영 체제 및 파일 시스템이 위치한 메모리 영역일 수 있다.
시작 호스트 단말(410)은 샌드박스 무결성 검사 모듈(411), 망분리 컨트롤 모듈(412), 샌드박스 컨트롤 모듈(413), 디스크 모니터링 모듈(414) 및 네트워크 모니터링 모듈(415)을 포함할 수 있다.
샌드박스 무결성 검사 모듈(411)은 샌드박스 디스크 영역에 대한 무결성을 검사할 수 있다. 예를 들어, 샌드박스 무결성 검사 모듈(411)은 샌드박스 내 응용 프로그램이 실행되기 이전에 샌드박스 디스크 영역의 오염 가능성을 미리 검사할 수 있다. 예를 들어, 샌드박스 무결성 검사 모듈(411)은 샌드박스 디스크 영역에 대한 검사 정보를 망분리 컨트롤 모듈(412)에게 전달할 수 있다. 검사 정보는 샌드박스 디스크 영역에 대한 처리 지연시간 및 샌드박스 디스크 영역에 대한 복수의 해시 값을 포함할 수 있다. 이를 통해, 샌드박스 디스크 영역이 오염되는 것을 사전에 방지할 수 있다.
망분리 컨트롤 모듈(412)은 샌드박스 무결성 검사 모듈의 검사 정보를 기반으로 망분리 운영 서버(420)로부터 수신한 설정 정보를 이용하여 가상으로 망을 분리할 수 있다. 설정 정보는 무결성 검사를 위한 기준 정보, 허가된 복수의 응용 프로그램에 대한 정보 및 허가된 복수의 네트워크에 대한 정보를 포함할 수 있다.
기준 정보는 최대 처리 지연시간, 복수의 기준 해시 값 및 처리 지연시간에 대한 시간 구간 정보를 포함할 수 있다.
처리 지연시간은 가상 메모리에 저장된 데이터를 읽기 위한 처리를 수행하는 시간을 의미할 수 있다. 샌드박스 디스크 영역에 대한 처리 지연시간은 샌드박스 디스크 영역에 저장된 샘플 데이터를 읽기 위한 처리를 수행하는 시간일 수 있다. 샘플 데이터는 샌드박스 디스크 영역의 무결성을 검증하기 위해 사전 설정된 데이터일 수 있다. 예를 들어, 샌드박스 디스크 영역에 대한 처리 지연시간은 샌드박스 디스크 영역에 저장된 샘플 데이터에 대한 읽기 요청이 전송된 시점부터 샌드박스 디스크 영역에 해당하는 메모리에서 샘플 데이터를 읽고, 읽은 샘플 데이터가 수신되는 시점 사이의 시간일 수 있다. 이때, 처리 지연시간은 수락 호스트 단말의 성능 등에 따라 상이할 수 있다. 예를 들어, 처리 지연시간은 현재 처리 지연시간, 사전 설정된 시간에 대한 평균 처리 지연시간 및 샌드박스 디스크 영역에 대한 액세스 빈도를 포함할 수 있다.
최대 처리 지연시간은 샌드박스 디스크 영역에 저장된 샘플 데이터를 읽기 위한 처리를 정상적으로 수행하기 위해 요구되는 최대 시간일 수 있다. 예를 들어, 최대 처리 지연시간은 수락 호스트 단말의 성능에 따라 상이하게 설정될 수 있다. 예를 들어, 최대 처리 지연시간은 수락 호스트 단말에 대해 사전 설정될 수 있다.
해시 값은 샌드박스 디스크 영역에 저장할 샘플 데이터를 기반으로 해시 함수를 통해 생성될 수 있다. 예를 들어, 해시 값을 생성하기 위해 SHA-256, SHA-512와 같은 해시 함수가 사용될 수 있다. 예를 들어, 해시 값은 샘플 데이터 이외에 샌드박스 디스크 영역에 대한 IP 어드레스 또는 머신 ID 중 적어도 하나를 시드 값으로 포함시켜 해시 값이 생성될 수 있다. 예를 들어, 샘플 데이터는 처리 지연시간에 대한 시간 구간 정보에 포함될 수 있다.
복수의 해시 값은 샌드박스 디스크 영역에 저장할 샘플 데이터의 적어도 일부에 기반하여 생성될 수 있다. 예를 들어, 샘플 데이터 전체(100%), 샘플 데이터의 일부(50%, 30% 등)에 기반하여 복수의 해시 값이 생성될 수 있다. 이때, 복수의 해시 값에서 해시 값의 개수는 사전 설정된 개수일 수 있다. 또는, 예를 들어, 해시 값의 개수는 5개 이하로 랜덤하게 설정될 수 있다.
기준 해시 값은 샌드박스 무결성 검사 모듈(411)에 의해 샌드박스 디스크 영역에 대해 생성된 해시 값을 검증하기 위한 해시 값일 수 있다. 즉, 기준 해시 값은 샌드박스 디스크 영역에 대해 생성된 해시 값과 비교하기 위한 해시 값일 수 있다. 예를 들어, 기준 해시 값은 수락 호스트 단말의 성능에 따라 상이하게 설정될 수 있다. 예를 들어, 기준 해시 값은 수락 호스트 단말에 대해 사전 설정될 수 있다.
복수의 기준 해시 값은 처리 지연시간에 따라 설정된 기준 해시 값을 포함할 수 있다. 예를 들어, 처리 지연시간에 따라 복수개의 지연 레벨로 분류될 수 있다. 처리 지연시간이 제1 시간 구간에 해당하면 아주 낮은 정도의 지연이 발생한 제1 지연 레벨로 분류될 수 있다. 처리 지연시간이 제2 시간 구간에 해당하면 낮은 정도의 지연이 발생한 제2 지연 레벨로 분류될 수 있다. 처리 지연시간이 제3 시간 구간에 해당하면 보통 정도의 지연이 발생한 제3 지연 레벨로 분류될 수 있다. 처리 지연시간이 제4 시간 구간에 해당하면 높은 정도의 지연이 발생한 제4 지연 레벨로 분류될 수 있다. 처리 지연시간이 제5 시간 구간에 해당하면 아주 높은 정도의 지연이 발생한 제5 지연 레벨로 분류될 수 있다. 예를 들어, 복수의 기준 해시 값은 지연 레벨별로 설정된 기준 해시 값을 포함할 수 있다.
처리 지연시간에 대한 시간 구간 정보는 처리 지연시간을 복수개의 지연 레벨로 분류하기 위한 시간 구간 정보일 수 있다. 예를 들어, 처리 지연시간에 대한 시간 구간 정보는 샘플 데이터와 해당 샘플 데이터와 연동된 제1 시간 구간 내지 제5 시간 구간에 해당하는 정보를 포함할 수 있다. 제1 시간 구간 내지 제5 시간 구간에 해당하는 정보는 사전 설정된 범위일 수 있고, 망분리 운영 서버에 사전 저장될 수 있다.
허가된 복수의 응용 프로그램에 대한 정보는 허가된 응용 프로그램을 식별하기 위해 복수의 응용 프로그램 각각에 대한 제1 식별 정보를 포함할 수 있다. 예를 들어, 제1 식별 정보는 프로세스에 대한 식별자, 포트 번호, 프로그램 버전 정보, 실행 파일명, 프로토콜 또는 유저-에이전트(user-agent) 헤더 중 적어도 하나를 포함할 수 있다.
허가된 복수의 네트워크에 대한 정보는 허가된 네트워크를 식별하기 위해 복수의 네트워크 각각에 대한 제2 식별 정보를 포함할 수 있다. 예를 들어, 제2 식별 정보는 IP 주소, MAC 주소, 포트 번호, 프로토콜 또는 DNS 정보 중 적어도 하나를 포함할 수 있다.
예를 들어, 망분리 컨트롤 모듈(412)은 망분리 운영 서버(420)로부터 설정 정보를 수신할 수 있다. 망분리 컨트롤 모듈(412)은 설정 정보에 포함된 허가된 복수의 응용 프로그램에 대한 정보 및 허가된 복수의 네트워크에 대한 정보를 샌드박스 컨트롤 모듈에게 전달할 수 있다. 예를 들어, 망분리 컨트롤 모듈(412)은 검사 정보와 설정 정보에 포함된 기준 정보를 비교하여 샌드박스 디스크 영역에 대한 이상 유무를 결정할 수 있다. 즉, 망분리 컨트롤 모듈(412)은 검사 정보와 설정 정보에 포함된 기준 정보를 비교하여 샌드박스 디스크 영역에 대한 무결성을 최종적으로 검증할 수 있다.
샌드박스 컨트롤 모듈(413)은 디스크 드라이버 스택의 최상단에 디스크 모니터링 모듈을 삽입하고, 네트워크 드라이버 스택의 최상단에 네트워크 모니터링 모듈을 삽입할 수 있다. 여기서, 디스크 드라이버 스택은 디스크와 관련된 하드웨어 및 소프트웨어 구성 요소를 포함할 수 있다. 예를 들어, 디스크 드라이버 스택은 응용 프로그램 레벨, 운영 체제 레벨, 블록 디바이스 드라이버와 디스크 컨트롤러를 포함할 수 있다. 예를 들어, 디스크 드라이버 스택의 최상단은 응용 프로그램 레벨에 해당할 수 있고, 디스크 모니터링 모듈이 응용 프로그램 레벨에 삽입될 수 있다. 여기서, 네트워크 드라이버 스택은 네트워크와 관련된 하드웨어 및 소프트웨어 구성 요소를 포함할 수 있다. 예를 들어, 네트워크 드라이버 스택은 응용 프로그램 레벨, 운영 체제 레벨, OSI 모델에서 각 계층에 해당하는 프로토콜을 포함하는 네트워크 스택 및 네트워크 인터페이스 컨트롤러를 포함할 수 있다. 예를 들어, 네트워크 드라이버 스택의 최상단은 응용 프로그램 레벨에 해당할 수 있고, 네트워크 모니터링 모듈이 응용 프로그램 레벨에 삽입될 수 있다.
예를 들어, 샌드박스 컨트롤 모듈(413)은 샌드박스 디스크 영역에 대한 무결성이 검증된 것을 기반으로 디스크 드라이버 스택의 최상단에 디스크 모니터링 모듈을 삽입하고, 네트워크 드라이버 스택의 최상단에 네트워크 모니터링 모듈을 삽입할 수 있다.
예를 들어, 샌드박스 컨트롤 모듈(413)은 샌드박스 디스크 영역에서 실행된 응용 프로그램이 종료되는 것에 기반하여, 디스크 드라이버 스택에서 상기 디스크 모니터링 모듈이 제거하고, 네트워크 드라이버 스택에서 네트워크 모니터링 모듈을 제거할 수 있다.
디스크 모니터링 모듈(414)은 샌드박스 디스크 영역에서 쓰기 동작이 발생한 응용 프로그램이 허가된 응용 프로그램인지 여부에 따라 상기 쓰기 동작을 제한할 수 있다. 네트워크 모니터링 모듈(415)은 샌드박스 디스크 영역에서 실행된 응용 프로그램이 특정 네트워크와 연결을 시도하는 것에 기반하여 특정 네트워크가 허가된 네트워크인지 여부에 따라 상기 특정 네트워크와 연결을 제한할 수 있다.
망분리 운영 서버(420)는 시작 호스트 단말(410)이 샌드박스 디스크 영역을 통해 실행한 응용 프로그램을 클라우드 서버와 연결시킬 수 있다. 망분리 운영 서버(420)는 시작 호스트 단말(410)이 호스트 영역을 통해 실행한 응용 프로그램을 인터넷 망과 연결시킬 수 있다.
일 실시예에 따르면, 샌드박스 디스크 영역에 대한 처리 지연시간이 최대 처리 지연 시간 미만이고, 복수의 해시 값 중에서 샌드박스 디스크 영역에 대한 처리 지연시간에 매칭된 해시 값과 복수의 기준 해시 값 중에서 상기 처리 지연 시간에 매칭된 기준 해시 값이 일치하는 것에 기반하여 샌드박스 디스크 영역에 대한 무결성이 검증된 것으로 결정될 수 있다.
부가적으로, 예를 들어, 샌드박스 디스크 영역에 대한 처리 지연시간이 최대 처리 지연 시간을 초과하는 경우, 샌드박스 디스크 영역에 대한 무결성의 검증을 수행하지 않을 수 있다. 즉, 샌드박스 디스크 영역에 대한 처리 지연시간이 최대 처리 지연 시간을 초과하면, 샌드박스 디스크 영역에 대해 무결성이 존재하지 않는 것으로 결정될 수 있다.
부가적으로, 예를 들어, 처리 지연시간에 따라 복수개의 지연 레벨로 분류될 수 있다. 예를 들어, 처리 지연시간이 제1 시간 구간에 해당하면 아주 낮은 정도의 지연이 발생한 제1 지연 레벨로 분류될 수 있다. 처리 지연시간이 제2 시간 구간에 해당하면 낮은 정도의 지연이 발생한 제2 지연 레벨로 분류될 수 있다. 처리 지연시간이 제3 시간 구간에 해당하면 보통 정도의 지연이 발생한 제3 지연 레벨로 분류될 수 있다. 처리 지연시간이 제4 시간 구간에 해당하면 높은 정도의 지연이 발생한 제4 지연 레벨로 분류될 수 있다. 처리 지연시간이 제5 시간 구간에 해당하면 아주 높은 정도의 지연이 발생한 제5 지연 레벨로 분류될 수 있다. 예를 들어, 제1 시간 구간 내지 제5 시간 구간은 사전 설정된 범위일 수 있고, 망분리 운영 서버 또는 수락 호스트 단말 중 적어도 하나에 사전 저장될 수 있다.
부가적으로, 예를 들어, 샌드박스 디스크 영역에 저장된 전체 샘플 데이터는 복수의 데이터 시간 구간으로 분할될 수 있다. 이때, 전체 샘플 데이터의 상이한 비율을 차지하는 세그먼트들을 포함하는 복수의 세그먼트 그룹이 설정될 수 있다. 예를 들어, 전체 샘플 데이터의 10%, 30%, 50%, 70% 및 100%의 비율을 차지하는 제1 세그먼트 그룹, 제2 세그먼트 그룹, 제3 세그먼트 그룹, 제4 세그먼트 그룹 및 제5 세그먼트 그룹이 설정될 수 있다. 예를 들어, 복수의 세그먼트 그룹 각각에 대해 해시 값(제1 해시 값 내지 제5 해시 값)이 생성될 수 있다. 예를 들어, 복수의 해시 값은 복수의 세그먼트 그룹 각각에 대해 해시 값을 포함할 수 있다.
부가적으로, 예를 들어, 처리 지연시간이 제1 지연 레벨에 해당하는 경우에는 제5 해시 값, 즉, 전체 샘플 데이터의 100%의 비율을 차지하는 제5 세그먼트 그룹에 기초하여 생성된 해시 값이 매칭될 수 있다. 예를 들어, 제5 해시 값이 복수의 기준 해시 값 중에서 제1 지연 레벨에 해당하는 기준 해시 값이 일치하면, 샌드박스 디스크 영역에 대한 무결성이 검증된 것으로 결정될 수 있다.
예를 들어, 처리 지연시간이 제2 지연 레벨에 해당하는 경우에는 제4 해시 값, 즉, 전체 샘플 데이터의 70%의 비율을 차지하는 제4 세그먼트 그룹에 기초하여 생성된 해시 값이 매칭될 수 있다. 예를 들어, 제4 해시 값과 복수의 기준 해시 값 중에서 제2 지연 레벨에 해당하는 기준 해시 값이 일치하면, 샌드박스 디스크 영역에 대한 무결성이 검증된 것으로 결정될 수 있다.
예를 들어, 처리 지연시간이 제3 지연 레벨에 해당하는 경우에는 제3 해시 값, 즉, 전체 샘플 데이터의 50%의 비율을 차지하는 제3 세그먼트 그룹에 기초하여 생성된 해시 값이 매칭될 수 있다. 예를 들어, 제3 해시 값과 복수의 기준 해시 값 중에서 제3 지연 레벨에 해당하는 기준 해시 값이 일치하면, 샌드박스 디스크 영역에 대한 무결성이 검증된 것으로 결정될 수 있다.
예를 들어, 처리 지연시간이 제4 지연 레벨에 해당하는 경우에는 제2 해시 값, 즉, 전체 샘플 데이터의 30%의 비율을 차지하는 제2 세그먼트 그룹에 기초하여 생성된 해시 값이 매칭될 수 있다. 예를 들어, 제2 해시 값과 복수의 기준 해시 값 중에서 제4 지연 레벨에 해당하는 기준 해시 값이 일치하면, 샌드박스 디스크 영역에 대한 무결성이 검증된 것으로 결정될 수 있다.
예를 들어, 처리 지연시간이 제5 지연 레벨에 해당하는 경우에는 제2 해시 값, 즉, 전체 샘플 데이터의 10%의 비율을 차지하는 제1 세그먼트 그룹에 기초하여 생성된 해시 값이 매칭될 수 있다. 예를 들어, 제1 해시 값과 복수의 기준 해시 값 중에서 제5 지연 레벨에 해당하는 기준 해시 값이 일치하면, 샌드박스 디스크 영역에 대한 무결성이 검증된 것으로 결정될 수 있다.
일 실시예에 따르면, 샌드박스 디스크 영역에서 상기 쓰기 동작이 발생한 응용 프로그램이 허가된 복수의 프로그램에 해당하지 않는 것에 기반하여 상기 쓰기 동작이 제한될 수 있다. 예를 들어, 샌드박스 디스크 영역에서 상기 쓰기 동작이 발생한 응용 프로그램이 허가된 복수의 프로그램에 해당하는 것에 기반하여 상기 쓰기 동작이 수행될 수 있다. 예를 들어, 디스크 모니터링 모듈은 샌드박스 디스크 영역에서 쓰기 동작을 수행한 응용 프로그램에 대한 정보를 샌드박스 컨트롤 모듈에게 전달할 수 있다.
일 실시예에 따르면, 샌드박스 디스크 영역에서 실행된 응용 프로그램이 연결을 시도하는 상기 특정 네트워크가 상기 허가된 복수의 네트워크에 해당하지 않는 것에 기반하여 상기 특정 네트워크와 연결이 제한될 수 있다. 예를 들어, 샌드박스 디스크 영역에서 실행된 응용 프로그램이 연결을 시도하는 상기 특정 네트워크가 상기 허가된 복수의 네트워크에 해당하는 것에 기반하여 상기 특정 네트워크와 연결될 수 있다. 예를 들어, 네트워크 모니터링 모듈은 샌드박스 디스크 영역에서 실행된 응용 프로그램이 연결된 네트워크에 대한 정보를 샌드박스 컨트롤 모듈에게 전달할 수 있다.
도 5를 참조하면, SDP의 구성은 시작 호스트(initiation host), SDP 컨트롤러, 수락 호스트(accepting host)와 서버를 포함할 수 있다.
예를 들어, 시작 호스트는 사용자의 단말에 설치된 SDP 클라이언트 프로그램을 통해 SDP 컨트롤러에 인증을 요청할 수 있다. 이후, SDP 컨트롤러는 시작 호스트에 대한 검증을 마치고, 수락 호스트에게 접속할 시작 호스트에 대한 정보를 전달할 수 있다. 그리고, SDP 컨트롤러는 시작 호스트에게 접속 가능한 수락 호스트와 사용 가능한 서비스에 대한 정보를 전달할 수 있다.
시작 호스트는 전달받은 수락 호스트와 서비스를 위한 데이터 송수신용 채널인 데이터 경로 채널을 형성할 수 있다. 이후, 시작 호스트에 설치된 어플리케이션은 서버가 제공하는 서비스를 이용할 수 있다.
이때, 시작 호스트가 악성코드나 멀웨어에 감염된 경우, 형성된 데이터 경로 채널을 사용하여 서버로 침입이 가능하게 되는 문제가 발생할 수 있기 때문에, 시작 호스트는 SDP 클라이언트 프로그램에 대한 샌드박싱을 통해 사전에 악성코드나 멀웨어로부터 보호할 필요가 있다.
도 6은 일 실시예에 따른 SDP의 구조를 나타낸다. 도 6의 실시예는 본 개시의 다양한 실시예들과 결합될 수 있다.
도 6을 참조하면, SDP 프로토콜의 동작 주체는 SDP 컨트롤러, 시작 호스트 및 수락 호스트를 포함할 수 있다. 이때, 사용자 인증은 서비스를 받고자 하는 조직의 사용자 인증시스템과 연동될 수 있다. 여기서, 사용자 인증 시스템은 서비스를 받고자 하는 고객의 시스템으로 SDP 컨트롤러와 연동하여 인증을 받아야 한다.
도 7은 일 실시예에 따른 윈도우용 SDP 클라이언트의 구성을 나타낸다. 도 8은 일 실시예에 따른 SDP 클라이언트의 구조를 나타낸다. 도 7 및 도 8의 실시예들은 본 개시의 다양한 실시예들과 결합될 수 있다.
도 7을 참조하면, 모든 인바운드(inbound) 및 아웃바운드(outbound) 패킷(packet)에 대해, 윈도우 버젼 8.1 이전의 버젼은 LSP(Layered Service Platform)이 적용될 수 있고, 윈도우 버전 8.1 이후의 버젼은 WFP(Windows Filtering Platform)이 적용될 수 있다. 그리고, 패킷이 LSP 또는 WFP을 거친 이후에 SDP 클라언트를 거치도록 설정될 수 있다. 이때, SDP 클라이언트의 구조는 SDP 클라이언트 GUI(graphical user interface), 로컬 데이터, 아웃바웃드 패킷 조사(outbound packet investigate), 어플리케이션용 패킷 전송자(packet sender to application), 로컬 DNS 서버, SPA 패킷 생성자(SPA packet generator), SDP 컨트롤러 세션 매니저, SDP 게이트웨이 세션 메니저, TLS 계층, 네트워크용 패킷 전송자(packet sender to network), 인바운드 패킷 조사(inbound packet investigate)를 포함하고, 도 8과 같이 구성될 수 있다.
도 9는 일 실시예에 따른 SDP 클라이언트의 GUI를 나타낸다. 도 10은 일 실시예에 따른 SDP 컨트롤러 IP 주소의 입력 화면을 나타낸다. 도 9 및 도 10의 실시예들은 본 개시의 다양한 실시예들과 결합될 수 있다.
도 9를 참조하면, SDP 클라이언트 프로그램이 실행되면 자동으로 트레이(tray)에 진입하도록 설정될 수 있다. 화면의 "start/stop" 버튼의 레이블은 상태에 따라 변화될 수 있다. SDP 클라이언트는 SDP 컨트롤러와 정상적으로 통신이 완료되면, 상태를 표시하는 아이콘이 녹색으로 변화될 수 있다. 사용자가 stop 버튼을 클릭하면, 상태를 표시하는 아이콘이 적색으로 변화될 수 있고, 버튼의 레이블이 start로 변화될 수 있다. 사용자가 "conf" 버튼을 클릭하면, SDP 컨트롤러의 ip 주소를 입력할 수 있는 화면이 디스플레이될 수 있다. 여기서, 특정 버튼을 클릭하면 해당 버튼과 관련된 제어 신호가 입력될 수 있다.
도 10을 참조하면, 사용자가 SDP 컨트롤러와 연결된 상태에서 새로운 SDP 컨트롤러 IP 주소를 입력하고 "적용" 버튼을 클릭하면, 연결된 모든 세션이 종료되고, 프로그램을 시작하는 절차와 동일하게 진행될 수 있다.
도 11은 일 실시예에 따른 SDP 컨트롤러 세션 매니저에 대한 도면이다. 도 12는 일 실시예에 따른 SDP 컨트롤러 세션 매니저에 대한 흐름도이다. 도 11 및 도 12의 실시예들은 본 개시의 다양한 실시예들과 결합될 수 있다.
도 11을 참조하면, SDP 클라이언트 GUI가 SDP 컨트롤러 IP 주소를 아규먼트(argument)로 하여 SDP 컨트롤러 세션 매니저 클래스를 생성할 수 있다.
SDP 컨트롤러 세션 매니저는 TCP 연결이 SDP 컨트롤러와 수행된 후, SPA 생성기로부터 SPA 패킷을 획득할 수 있다. SDP 컨트롤러 세션 매니저는 SPA 패킷을 암호화시키고, 암호화된 SPA 패킷을 네트워크용 패킷 전송자에게 전달할 수 있다. SDP 컨트롤러 세션 매니저는 TLS 계층일 개시할 수 있고, TLS 계층에 디바이스 지문 및 지리적 위치 데이터를 전달할 수 있다. SDP 컨트롤러 세션 매니저는 이벤트 발생을 기다릴 수 있다.
도 12를 참조하면, SDP 컨트롤러 세션 매니저는 GUI 이벤트(예: 세션 종료, SDP 컨트롤러 IP 주소 변경)가 발생하면 GUI 이벤트 핸들러를 통해 제어하게 할 수 있다. SDP 컨트롤러 세션 매니저는 SDP 컨트롤러 이벤트가 발생하면, SDP 컨트롤러 메시지 핸들러를 통해 제어하게 할 수 있다. SDP 컨트롤러 세션 매니저는 타이머 이벤트가 발생하면 타이머 이벤트 핸들러를 통해 제어하게 할 수 있다. 이후, SDP 컨트롤러 세션 매니저는 로그 메시지를 저장하고, 이벤트가 발생하는 것을 기다릴 수 있다.
도 13은 일 실시예에 따른 아웃바운드 패킷 조사의 상태에 대한 천이도이다. 도 14는 일 실시예에 따른 아웃바운드 패킷 조사에 대한 흐름도이다. 도 13 및 도 14의 실시예들은 본 개시의 다양한 실시예들과 결합될 수 있다.
도 13을 참조하면, 특정 이벤트에 따라 아웃바운드 패킷 조사의 상태가 변화될 수 있다. 예를 들어, 프로그램 시작 시 아웃바운드 패킷 조사의 상태가 천이될 수 있다. 예를 들어, SDP 컨트롤 세션 매니저가 SDP 컨트롤러와 연결되고 필요한 정보를 수신하면, SDP 컨트롤 세션 매니저가 아웃바운드 패킷 조사의 상태를 천이시킬 수 있다. 예를 들어, SDP 클라이언트 GUI를 이용하여, 사용자가 SDP 기능의 사용을 중지한 경우, 아웃바운도 패킷 조사의 상태가 천이될 수 있다. 예를 들어, SDP 클라이언트 GUI를 이용하여, 사용자가 SDP 클라이언트 프로그램을 종료한 경우, 아웃바운도 패킷 조사의 상태가 천이될 수 있다.
도 14를 참조하면, 타겟 서버 패킷이 판별될 수 있다. 예를 들어, 패킷의 소스 IP 주소(source ip address)를 하기 표 1과 같은 서비스 테이블 엔트리(service table entry)의 ip 주소와 비교하여 일치하는 것이 있으면, 해당 엔트리 ID가 결정된 이후, 전송 패킷이 SDP 게이트웨이 세션 메니저로 전달될 수 있다.
URL Ip address Service id
www.markany.office 112.20.1.2 100
www.markany.finance 112.20.1.4 101
123.20.4.3 112.20.1.7 102
예를 들어, 서비스 테이블 엔트리의 ID와 일치하는 SDP 게이트웨이 세션 매니저가 없으면, SDP 게이트웨이 세션 매니저가 생성될 수 있다.
예를 들어, 로컬 DNS 서버는 DNS 쿼리 패킷(query packet)을 수신한 후 서비스 테이블 엔트리의 URL과 비교하여 해당되는 엔트리가 있는 경우, 해당 엔트리의 ip 주소를 DNS 쿼리에 대한 응답을 어플리케이션용 패킷 전송자로 전달할 수 있다. 예를 들어, 테이블 엔트리의 URL과 비교하여 해당되는 엔트리가 없는 경우, 로컬 DNS 서버는 패킷을 네트워크용 패킷 전달자로 전송할 수 있다.
예를 들어, SPA 패킷 생성자는 SPA 패킷 생성 요청을 받으면 SPA 패킷 데이터를 생성하여 전달할 수 있다. 여기서, SPA 패킷은 HOTP(RFC 4226)에 근거하여 생성될 수 있다. RFC 4226은 HOTP에 대한 표준 문서이며, HOTP 알고리즘의 구체적인 동작 방식과 사용 가능한 파라미터, 해싱 알고리즘을 포함할 수 있다.
도 15는 일 실시예에 따른 SDP 컨트롤러 구조를 나타낸다. 도 15의 실시예는 본 개시의 다양한 실시예들과 결합될 수 있다.
SDP 컨트롤러 구조는 SDP 컨트롤 매니저, 디바이스 상태 테이블, SDP 클라이언트 세션 매니저, SDP 게이트웨이 세션 매니저, TLS 세션 매니저, TCP 계층, 넷필터(netfilter), IP 계층, 사용자 인증 매니저, SDP 클라이언트 세션 서버, SDP 게이트웨이 세션 서버 및 SDP 로그 서버 클라이언트를 포함하고, 도 15와 같이 구성될 수 있다.
예를 들어, TLS 세션 매니저는 SDP 클라이언트 및 SDP 게이트웨이와 제어 채널을 구성하기 위한 TCP 연결 요청에 대해 수락을 시행하고, 수신한 패킷에 대한 암호를 복호화할 수 있다. 이후, TLS 세션 매니저는 하기 표 2와 같이 수신한 패킷의 AID를 룩업(lookup)함으로써, 패킷을 SDP 클라이언트 또는 SDP 게이트웨이 세션 매니저로 전달할 수 있다.
index AID type state Ip addr Service id URL seed
1 23 C 0
2 101 G 1 192.168.3.10 100 www.markany.office
3 201 G 2 192.168.4.12 101 www.markany.com
예를 들어, 상기 표 2는 SDP 컨트롤러가 처음 실행될 때, DBMS에서 리드하여 메모리에 생성될 수 있다. 또한, 새롭게 사용자나 게이트웨이가 등록되면, DBMS와 디바이스 테이블이 동시에 업데이트될 수 있다.
도 16은 일 실시예에 따른 디바이스 상태의 천이도를 나타낸다. 도 16의 실시예는 본 개시의 다양한 실시예들과 결합될 수 있다.
도 16의 디바이스 상태에 대한 enum은 하기 표 3과 같다.
상태 enum 비 고
idle 0 TCP 연결이 없는 경우
init 1 TCP 연결된 경우
authorization 2 SPA 패킷을 수신한 후 인증 받은 경우
connected 3 상호 TLS 설정이 완료된 경우
예를 들어, SDP 클라이언트 세션 매니저는 TLS 세션 매니저가 전달한 패킷을 SDP 클라이언트 세션 서버의 부하 상태에 따라 분배할 수 있다.
예를 들어, SDP 게이트웨이 세션 매니저는 TLS 세션 매니저가 전달한 패킷을 SDP 게이트웨이 세션 서버의 부하 상태에 따라 분배할 수 있다.
도 17은 일 실시예에 따른 SDP 게이트웨이의 구조를 나타낸다. 도 17의 실시예는 본 개시의 다양한 실시예들과 결합될 수 있다.
SDP 게이트웨이 구조는 클라이언트, SDP 컨트롤러 클라이언트, SDP 클라이언트 세션 매니저, 수락 호스트 세션 매니저, TLS 세션 매니저, TCP 계층, 넷필터(netfilter), IP 계층, SDP 클라이언트 세션 서버, 수락 호스트 세션 서버, 및 SDP 로그 서버 클라이언트를 포함하고, 도 17와 같이 구성될 수 있다.
도 18은 일 실시예에 따른 서비스 신청 절차를 나타낸다. 도 19는 일 실시예에 따른 SDP 클라이언트 설치 절차를 나타낸다. 도 18 및 도 19의 실시예들은 본 개시의 다양한 실시예들과 결합될 수 있다.
예를 들어, 서비스를 신청 절차는 도 18과 같이 진행되어, 클라이언트가 등록될 수 있다. 예를 들어, 사용자가 사용할 이메일 주소는 사용자의 회사 이메일 주소로 변경할 수 없도록 설정될 수 있다.
예를 들어, SDP 클라이언트 설치 절차는 도 19과 같이 진행될 수 있다.
도 20은 일 실시예에 따른 SDP 클라이언트 설치 화면의 구성과 SDP 클라이언트의 실행 화면의 구성을 나타낸다. 도 20의 실시예들은 본 개시의 다양한 실시예들과 결합될 수 있다.
예를 들어, 정상적으로 연결된 경우, 시스템 트레이(tray)로 진입되고, 더블 클릭(double-click)시 팝업되는 화면으로 연결상태 화면이 나타날 수 있다.
예를 들어, 클라이언트 프로그램을 삭제 후 재등록하는 과정은 SDP 클라이언트를 처음 설치하는 과정과 동일하며, 재설치에 대한 처리는 SDP 컨트롤러에 의해 수행될 수 있다.
도 21은 일 실시예에 따른 SPA 수신 절차를 나타낸다. 도 22는 일 실시예에 따른 디바이스의 유효성을 검증하는 절차를 나타낸다. 도 21 및 도 22의 실시예들은 본 개시의 다양한 실시예들과 결합될 수 있다.
예를 들어, SDP 컨트롤러와 SDP 클라이언트의 연결 처리 과정은 도 21과 같이 SPA를 수신하는 절차와 도 22와 같이 디바이스 유효성을 검증하는 절차를 포함할 수 있다.
도 23은 일 실시예에 따른 서비스 데이터의 전달 절차 및 컴포넌트 사이의 인터렉션을 나타낸다. 도 24는 일 실시예에 따른 서비스 데이터의 전달 절차에 대한 흐름도이다. 도 23 및 도 24의 실시예들은 본 개시의 다양한 실시예들과 결합될 수 있다.
예를 들어, 서비스 데이터의 전달 절차는 도 23 및 도 24와 같이 진행될 수 있다.
도 25는 일 실시예에 따른 SDP 컨트롤러와 SDP 게이트웨이 세션의 설정 절차를 나타낸다. 도 26은 일 실시예에 따른 SDP 컨트롤러와 SDP 게이트웨이 세션의 설정 절차에 대한 흐름도를 나타낸다. 도 27은 일 실시예에 따른 SPA 유효성 검증에 성공한 이후 SDP 컨트롤러와 SDP 게이트웨이 세션의 설정 절차에 대한 흐름도를 나타낸다. 도 28은 각 통신 시간 구간에 따른 메시지의 구성을 나타낸 표이다. 도 25 내지 도 28의 실시예들은 본 개시의 다양한 실시예들과 결합될 수 있다.
예를 들어, SDP 컨트롤러와 SDP 게이트웨이는 파워가 온되는 즉시 세션을 설정해야할 수 있다. 그리고, 특별한 사항이 없으면 서비스를 종료할 때까지 해당 세션을 유지해야 할 수 있다. 이때, 세션 설정 절차는 도 25와 같이 진행될 수 있다. 또한, 보다 구체적인 세션 설정 절차는 도 26 및 도 27과 같이 진행될 수 있다.
예를 들어, 통신 메시지의 기본 구성은 커맨드(1바이트), 메시지 길이(2바이트) 및 데이터를 포함할 수 있다. 예를 들어, 각각의 메시지는 도 28과 같이 설정될 수 있다.
예를 들어, 서비스 메시지는 JSON을 사용하여 하기 표 4와 같이 전송될 수 있다.
{ “services”:
[ “port”: “443”,
“id”: “123445678”,
“address”: “100.100.100.100”,
“name”: “SharePoint”
]
}
예를 들어, 시작 호스트 인증 메시지는 JSON을 사용하여 하기 표 5와 같이 전송될 수 있다.
{
“sid”: <256 bit IH session ID>
“seed”: <32 bit SPA seed>,
“counter”: <64 bit SPA counter>,
“user_address”: “123.123.123.123”,
“RSA private key”: “dhfafahfakjhfjhfjahfjhfhfafhajjdfh”
[ “id”: <32 bit service id>
]
}
예를 들어, 로그인 메시지는 로그인 ID(32 바이트) 및 패스워드(32바이트)를 포함할 수 있고, 로그인 ID와 패스워드는 문자열의 끝을 나타내기 위해 null 문자(예: 0)가 사용될 수 있다.예를 들어, 로그인 메시지는 디바이스 하드디스크 ID를 HMAC으로 암호화한 값을 포함할 수 있다.
예를 들어, RSA 키는 SDP 컨트롤러가 사용하는 SPA 패킷을 복호화(decryption)하기 위한 키일 수 있다.
예를 들어, 로그인 응답 상태 코드는 하기 표 6과 같을 수 있다.
code meaning
0x00 정상
0x01 Login id error
0x02 Login passwd error
0x03 Device fingerprint error
도 29는 일 실시예에 따른 SDP 프로토콜을 나타낸 신호 교환도이다. 도 29의 실시예는 본 개시의 다양한 실시예들과 결합될 수 있다.도 29를 참조하면, 시작 호스트는 SDP 컨트롤러에게 TCP 연결을 요청할 수 잇다. 시작 호스트는 SDP 컨트롤러와 연결된 후 HOTP를 포함하는 SPA를 SDP 컨트롤러에게 전송할 수 있다. SDP 컨트롤러는 SPA의 유효성을 확인할 수 있다. 시작 호스트는 SPA 유효성이 확인된 후 상호 TLS에 대한 설정을 SDP 컨트롤러에게 전송할 수 있다. 시작 호스트는 로그인 ID와 패스워드를 SDP 컨트롤러에게 전송할 수 있다. SDP 컨트롤러는 시작 호스트의 신원과 역할을 검증할 수 있다. SDP 컨트롤러는 시작 호스트의 신원과 역할을 검증한 후 시작 호스트에게는 수락 호스트 및 서비스에 대한 정보를 전송하고, 수락 호스트에게는 시작 호스트에 대한 정보를 전송할 수 있다. 시작 호스트는 TCP 연결을 수락 호스트에게 요청할 수 있다. 시작 호스트는 SPA를 수락 호스트에게 전송할 수 있다. 시작 호소는 수락 호스트에게 상호 TLS에 대한 설정을 전송할 수 있다.
도 30은 일 실시예에 따른 SDP 프로토콜의 상용화에 따른 프로토콜을 나타낸 신호 교환도이다. 도 30의 실시예는 본 개시의 다양한 실시예들과 결합될 수 있다.
도 30을 참조하면, SDP 컨트롤러와 수락 호스트는 모든 입력 패킷을 드롭하도록 설정될 수 있다. 이를 통해, SDP 컨트롤러와 수락 호스트가 보이지 않게 될 수 있다. 예를 들어, SDP 컨트롤러는 특정 패킷을 제외한 모든 패킷을 드롭할 수 있다.
시작 호스트는 SDP 컨트롤러와 연결된 후 HOTP를 포함하는 SPA를 SDP 컨트롤러에게 전송할 수 있다. 여기서, HOTP(HMAC-based One-Time Password)의 약자로, HMAC을 기반으로 한 일회용 비밀번호를 의미한다. HMAC(Hash-based Message Authentication Code)은 해시 함수를 기반으로 하는 메시지 인증 코드를 생성하는 알고리즘이다. HMAC은 메시지의 무결성과 인증을 보장하기 위해 사용될 수 있다.
SDP 컨트롤러는 SPA의 유효성을 확인할 수 있다. SDP 컨트롤러는 SPA의 유효성을 확인한 후 핀홀을 생성할 수 있다. 이를 통해, SDP 컨트롤러는 SPA 인증 이후 일정시간 동안 시작 호스트에 대한 접속을 허용할 수 있다. 이때, 패킷을 복제하여 사용할 수 없게 하기 위해 HOTP가 사용될 수 있다.
시작 호스트는 SDP 컨트롤러와 TCP 연결을 수행하고 SDP 컨트롤러와 상호 TLS에 대한 설정을 수행할 수 있다. 시작 호스트는 접속 허용 시간 내에 상호 TLS의 접속을 수행할 수 있다. 이를 통해, MITM(man-in-the-middle) 공격을 방지할 수 있다.
SDP 컨트롤러는 시작 호스트에 대한 디바이스에 대한 증명을 수행할 수 있다. SDP 컨트롤러는 네트워크에 연결된 시작 호스트가 신뢰할 수 있는 디바이스인지 확인할 수 있다.
SDP 컨트롤러는 시작 호스트의 신원과 역할을 검증할 수 있다.
SDP 컨트롤러는 소프트웨어에 대한 증명을 수행할 수 있다. SDP 컨트롤러는 네트워크에 연결된 시작 호스트에 설치된 소프트웨어가 신뢰할 수 있는 소프트웨어인지 확인할 수 있다.
SDP 컨트롤러는 다음과 동적 프로비저닝을 수행할 수 있다. 시작 호스트에게는 수락 호스트 및 서비스에 대한 정보를 전송하고, 수락 호스트에게는 시작 호스트에 대한 정보를 전송할 수 있다. 수락 호스트는 시작 호스트에 대한 핀홀을 생성할 수 있다. 시작 호스트는 TCP 연결을 수락 호스트와 수행할 수 있다. 시작 호스트는 SPA를 수락 호스트에게 전송할 수 있다.
시작 호스트는 수락 호스트와 상호 TLS에 대한 설정을 수행할 수 있다.
한편, 본 개시의 다양한 실시예들에서 가상 망 분리 시스템은 시작 호스트 단말, SDP 컨트롤러 서버 및 수락 호스트 서버를 포함할 수 있다.
시작 호스트 단말은 시작 호스트의 역할을 하는 단말일 수 있다. 예를 들어, 시작 호스트 단말은 스마트폰, 핸드폰, 태블릿 PC, 노트북 컴퓨터(laptop computer), 데스크톱, 착용형 기기(wearable device) 등을 포함하는 다양한 기기로 구현될 수 있다.
예를 들어, 시작 호스트 단말은 프로세서, 메모리, 통신 모듈을 포함할 수 있다. 예를 들면, 프로세서는 소프트웨어(예: 프로그램)를 실행하여 프로세서에 연결된 장치의 적어도 하나의 다른 구성요소(예: 하드웨어 또는 소프트웨어 구성요소)를 제어할 수 있고, 다양한 데이터 처리 또는 연산을 수행할 수 있다. 일실시예에 따르면, 데이터 처리 또는 연산의 적어도 일부로서, 프로세서는 다른 구성요소(예: 통신 모듈)로부터 수신된 명령 또는 데이터를 휘발성 메모리에 저장하고, 휘발성 메모리에 저장된 명령 또는 데이터를 처리하고, 결과 데이터를 비휘발성 메모리에 저장할 수 있다. 일실시예에 따르면, 프로세서는 메인 프로세서 (예: 중앙 처리 장치 또는 어플리케이션 프로세서) 또는 이와는 독립적으로 또는 함께 운영 가능한 보조 프로세서 (예: 그래픽 처리 장치, 신경망 처리 장치(NPU: neural processing unit), 이미지 시그널 프로세서, 센서 허브 프로세서, 또는 커뮤니케이션 프로세서)를 포함할 수 있다. 보조 프로세서는, 예를 들면, 메인 프로세서가 인액티브(예: 슬립) 상태에 있는 동안 메인 프로세서를 대신하여, 또는 메인 프로세서가 액티브(예: 어플리케이션 실행) 상태에 있는 동안 메인 프로세서와 함께, 장치의 구성요소들 중 적어도 하나의 구성요소와 관련된 기능 또는 상태들의 적어도 일부를 제어할 수 있다. 일실시예에 따르면, 보조 프로세서(예: 신경망 처리 장치)는 인공지능 모델의 처리에 특화된 하드웨어 구조를 포함할 수 있다.
시작 호스트 단말에 설치된 다양한 프로그램은 시작 호스트 단말의 메모리에 소프트웨어로서 저장될 수 있으며, 예를 들면, 운영 체제, 미들 웨어 또는 어플리케이션을 포함할 수 있다. 시작 호스트 단말에 설치된 인터페이스는 시작 호스트 단말이 외부 장치와 직접 또는 무선으로 연결되기 위해 사용될 수 있는 하나 이상의 지정된 프로토콜들을 지원할 수 있다.
예를 들어, 메모리는, 장치의 적어도 하나의 구성요소(예: 프로세서)에 의해 사용되는 다양한 데이터를 저장할 수 있다. 데이터는, 예를 들어, 소프트웨어(예: 프로그램) 및, 이와 관련된 명령에 대한 입력 데이터 또는 출력 데이터를 포함할 수 있다. 메모리는, 휘발성 메모리 또는 비휘발성 메모리를 포함할 수 있다.
시작 호스트 단말은 통신 모듈을 통해 외부 장치(예: 서버) 간의 직접(예: 유선) 통신 채널 또는 무선 통신 채널의 수립, 및 수립된 통신 채널을 통한 통신을 수행할 수 있다. 예를 들어, 통신 모듈은 무선 통신 모듈(예: 셀룰러 통신 모듈, 근거리 무선 통신 모듈, 또는 GNSS(global navigation satellite system) 통신 모듈) 또는 유선 통신 모듈(예: LAN(local area network) 통신 모듈, 또는 전력선 통신 모듈)을 포함할 수 있다. 이들 통신 모듈 중 해당하는 통신 모듈은 제 1 네트워크(예: 블루투스, WiFi(wireless fidelity) direct 또는 IrDA(infrared data association)와 같은 근거리 통신 네트워크) 또는 제 2 네트워크(예: 레거시 셀룰러 네트워크, 5G 네트워크, 차세대 통신 네트워크, 인터넷, 또는 컴퓨터 네트워크(예: LAN 또는 WAN)와 같은 원거리 통신 네트워크)를 통하여 외부의 장치와 통신할 수 있다. 이런 여러 종류의 통신 모듈들은 하나의 구성요소(예: 단일 칩)로 통합되거나, 또는 서로 별도의 복수의 구성요소들(예: 복수 칩들)로 구현될 수 있다. 상기 구성요소들 중 적어도 일부는 주변 기기들간 통신 방식(예: 버스, GPIO(general purpose input and output), SPI(serial peripheral interface), 또는 MIPI(mobile industry processor interface))을 통해 서로 연결되고 신호(예: 명령 또는 데이터)를 상호간에 교환할 수 있다.
SDP 컨트롤러 서버는 SDP 컨트롤러의 역할을 하는 서버일 수 있다.
수락 호스트 서버는 수락 호스트의 역할을 하는 서버일 수 있다.
예를 들어, SDP 컨트롤러 서버 및 수락 호스트 서버는 시작 호스트 단말과 접속되며, 접속된 시작 호스트 단말에게 서비스를 제공할 수 있다. 또한, SDP 컨트롤러 서버 및 수락 호스트 서버는 시작 호스트 단말과 관련된 정보를 저장하여 관리할 수도 있다. 이러한 SDP 컨트롤러 서버 및 수락 호스트 서버는 하드웨어적으로는 통상적인 웹 서버(Web Server) 또는 서비스 서버(Service Server)와 동일한 구성을 가질 수 있다. 그러나, 소프트웨어적으로는, C, C++, Java, Python, Golang, kotlin 등 여하한 언어를 통하여 구현되어 여러 가지 기능을 하는 프로그램 모듈(Module)을 포함할 수 있다. 또한, SDP 컨트롤러 서버 및 수락 호스트 서버는 일반적으로 인터넷과 같은 개방형 컴퓨터 네트워크를 통하여 불특정 다수 클라이언트 및/또는 다른 서버와 연결되어 있고, 클라이언트 또는 다른 서버의 작업수행 요청을 접수하고 그에 대한 작업 결과를 도출하여 제공하는 컴퓨터 시스템 및 그를 위하여 설치되어 있는 컴퓨터 소프트웨어(서버 프로그램)를 뜻하는 것이다. 또한, SDP 컨트롤러 서버 및 수락 호스트 서버는, 전술한 서버 프로그램 이외에도, SDP 컨트롤러 서버 및 수락 호스트 서버는 상에서 동작하는 일련의 응용 프로그램(Application Program)과 경우에 따라서는 내부 또는 외부에 구축되어 있는 각종 데이터베이스(DB: Database, 이하 "DB"라 칭함)를 포함하는 넓은 개념으로 이해되어야 할 것이다. 따라서, SDP 컨트롤러 서버 및 수락 호스트 서버는, 데이터를 분류하여 DB에 저장시키고 관리하는데, 이러한 DB는 SDP 컨트롤러 서버 및 수락 호스트 서버의 내부 또는 외부에 구현될 수 있다. 또한, SDP 컨트롤러 서버 및 수락 호스트 서버는, 일반적인 서버용 하드웨어에 윈도우(windows), 리눅스(Linux), 유닉스(UNIX), 매킨토시(Macintosh) 등의 운영체제에 따라 다양하게 제공되고 있는 서버 프로그램을 이용하여 구현될 수 있으며, 대표적인 것으로는 윈도우 환경에서 사용되는 IIS(Internet Information Server)와 유닉스환경에서 사용되는 CERN, NCSA, APPACH, TOMCAT 등을 이용하여 웹 서비스를 구현할 수 있다. 또한, SDP 컨트롤러 서버 및 수락 호스트 서버는, 서비스의 사용자 인증이나 서비스와 관련된 인증 시스템과 연동할 수도 있다.
제1 네트워크 및 제2 네트워크는 단말들 및 서버들과 같은 각각의 노드 상호 간에 정보 교환이 가능한 연결 구조 또는 SDP 컨트롤러 서버 및 수락 호스트 서버와 시작 호스트 단말을 연결하는 망(Network)을 의미한다. 제1 네트워크 및 제2 네트워크는 인터넷(Internet), LAN(Local Area Network), Wireless LAN(Wireless Local Area Network), WAN(Wide Area Network), PAN(Personal Area Network), 3G, 4G, LTE, 5G, Wi-Fi 등이 포함되나 이에 한정되지는 않는다. 제1 네트워크 및 제2 네트워크는 LAN, WAN 등의 폐쇄형 제1 네트워크 및 제2 네트워크일 수도 있으나, 인터넷(Internet)과 같은 개방형인 것이 바람직하다. 인터넷은 TCP/IP 프로토콜, TCP, UDP(user datagram protocol) 등의 프로토콜 및 그 상위계층에 존재하는 여러 서비스, 즉 HTTP(HyperText Transfer Protocol), Telnet, FTP(File Transfer Protocol), DNS(Domain Name System), SMTP(Simple Mail Transfer Protocol), SNMP(Simple Network Management Protocol), NFS(Network File Service), NIS(Network Information Service)를 제공하는 전 세계적인 개방형 컴퓨터 제1 네트워크 및 제2 네트워크 구조를 의미한다.
데이터베이스는 데이터베이스 관리 프로그램(DBMS)을 이용하여 컴퓨터 시스템의 저장공간(하드디스크 또는 메모리)에 구현된 일반적인 데이터구조를 가질 수 있다. 데이터베이스는 데이터의 검색(추출), 삭제, 편집, 추가 등을 자유롭게 행할 수 있는 데이터 저장형태를 가질 수 있다. 데이터베이스는 오라클(Oracle), 인포믹스(Infomix), 사이베이스(Sybase), DB2와 같은 관계형 데이타베이스 관리 시스템(RDBMS)이나, 겜스톤(Gemston), 오리온(Orion), O2 등과 같은 객체 지향 데이타베이스 관리 시스템(OODBMS) 및 엑셀론(Excelon), 타미노(Tamino), 세카이주(Sekaiju) 등의 XML 전용 데이터베이스(XML Native Database)를 이용하여 본 개시의 일 실시예의 목적에 맞게 구현될 수 있고, 자신의 기능을 달성하기 위하여 적당한 필드(Field) 또는 엘리먼트들을 가질 수 있다.
예를 들어, 프로그램은 시작 호스트 단말의 하나 이상의 리소스들을 제어하기 위한 운영 체제, 미들웨어, 또는 상기 운영 체제에서 실행 가능한 어플리케이션을 포함할 수 있다. 프로그램 중 적어도 일부 프로그램은, 예를 들면, 제조 시에 시작 호스트 단말에 프리로드되거나, 또는 사용자에 의해 사용 시 외부 장치, 또는 서버로부터 다운로드되거나 갱신될 수 있다. 프로그램의 전부 또는 일부는 뉴럴 네트워크를 포함할 수 있다.
운영 체제는 시작 호스트 단말의 하나 이상의 시스템 리소스들(예: 프로세스, 메모리, 또는 전원)의 관리(예: 할당 또는 회수)를 제어할 수 있다. 운영 체제는, 추가적으로 또는 대체적으로, 시작 호스트 단말의 다른 하드웨어 디바이스를 구동하기 위한 하나 이상의 드라이버 프로그램들을 포함할 수 있다.
미들웨어는 시작 호스트 단말의 하나 이상의 리소스들로부터 제공되는 기능 또는 정보가 어플리케이션에 의해 사용될 수 있도록 다양한 기능들을 어플리케이션으로 제공할 수 있다. 미들웨어는, 예를 들면, 어플리케이션 매니저, 윈도우 매니저, 리소스 매니저, 파워 매니저, 데이터베이스 매니저, 시큐리티 매니저 등 다양한 매니저를 포함할 수 있다. 어플리케이션 매니저는, 예를 들면, 어플리케이션의 생명 주기를 관리할 수 있다. 윈도우 매니저는, 예를 들면, 화면에서 사용되는 하나 이상의 GUI 자원들을 관리할 수 있다. 리소스 매니저는, 예를 들면, 어플리케이션의 소스 코드 또는 메모리의 공간을 관리할 수 있다. 데이터베이스 매니저는, 예를 들면, 어플리케이션에 의해 사용될 데이터베이스를 생성, 검색, 또는 변경할 수 있다. 시큐리티 매니저는, 예를 들면, 시스템 보안 또는 사용자 인증을 제공할 수 있다. 일 실시예에 따르면, 미들웨어는 동적으로 기존의 구성요소를 일부 삭제하거나 새로운 구성요소들을 추가할 수 있다. 일 실시예에 따르면, 미들웨어의 적어도 일부는 운영 체제의 일부로 포함되거나, 또는 운영 체제와는 다른 별도의 소프트웨어로 구현될 수 있다.
본 명세서에 걸쳐, 뉴럴 네트워크(neural network), 신경망 네트워크, 네트워크 함수는, 동일한 의미로 사용될 수 있다. 뉴럴 네트워크는, 일반적으로 "노드"라 지칭될 수 있는 상호 연결된 계산 단위들의 집합으로 구성될 수 있다. 이러한 "노드"들은, "뉴런(neuron)"들로 지칭될 수도 있다. 뉴럴 네트워크는, 적어도 둘 이상의 노드들을 포함하여 구성된다. 뉴럴 네트워크들을 구성하는 노드(또는 뉴런)들은 하나 이상의 "링크"에 의해 상호 연결될 수 있다.
뉴럴 네트워크 내에서, 링크를 통해 연결된 둘 이상의 노드들은 상대적으로 입력 노드 및 출력 노드의 관계를 형성할 수 있다. 입력 노드 및 출력 노드의 개념은 상대적인 것으로서, 하나의 노드에 대하여 출력 노드 관계에 있는 임의의 노드는 다른 노드와의 관계에서 입력 노드 관계에 있을 수 있으며, 그 역도 성립할 수 있다. 전술한 바와 같이, 입력 노드 대 출력 노드 관계는 링크를 중심으로 생성될 수 있다. 하나의 입력 노드에 하나 이상의 출력 노드가 링크를 통해 연결될 수 있으며, 그 역도 성립할 수 있다.
하나의 링크를 통해 연결된 입력 노드 및 출력 노드 관계에서, 출력 노드는 입력 노드에 입력된 데이터에 기초하여 그 값이 결정될 수 있다. 여기서, 입력 노드와 출력 노드를 상호 연결하는 노드는 가중치를 가질 수 있다. 가중치는 가변적일 수 있으며, 뉴럴 네트워크가 원하는 기능을 수행하기 위해, 사용자 또는 알고리즘에 의해 가변될 수 있다. 여기서, 입력 노드와 출력 노드를 상호 연결하는 에지 또는 링크는 뉴럴 네트워크가 원하는 기능의 수행, 사용자 또는 알고리즘에 의해 가변적으로 적용될 수 있는 가중치를 갖는다. 예를 들어, 하나의 출력 노드에 하나 이상의 입력 노드가 각각의 링크에 의해 상호 연결된 경우, 출력 노드는 상기 출력 노드와 연결된 입력 노드들에 입력된 값들 및 각각의 입력 노드들에 대응하는 링크에 설정된 가중치에 기초하여 출력 노드 값을 결정할 수 있다.
전술한 바와 같이, 뉴럴 네트워크는, 둘 이상의 노드들이 하나 이상의 링크를 통해 상호연결 되어 뉴럴 네트워크 내에서 입력 노드 및 출력 노드 관계를 형성한다. 뉴럴 네트워크 내에서 노드들과 링크들의 개수 및 노드들과 링크들 사이의 연관관계, 링크들 각각에 부여된 가중치의 값에 따라, 신경망 네트워크의 특성이 결정될 수 있다. 예를 들어, 동일한 개수의 노드 및 링크들이 존재하고, 링크들 사이의 가중치 값이 상이한 두 신경망 네트워크가 존재하는 경우, 두 개의 신경망 네트워크들은 서로 상이한 것으로 인식될 수 있다.
도 31은 일 실시예에 따른 샌드박스(sandbox) 및 SDP(software-defined perimeter)에 기반한 가상 망 분리 방법을 나타낸다. 도 30의 실시예는 본 개시의 다양한 실시예들과 결합될 수 있다.
도 31을 참조하면, 단계 S3110에서, 시작 호스트 단말은 샌드박스 디스크 영역에 설치된 SDP 클라이언트 프로그램을 통해 인증 절차를 개시하기 위한 SPA(single packet authentication)를 SDP 컨트롤러 서버에게 전송할 수 있다.
예를 들어, 시작 호스트 단말은 외부 프로그램의 접근이 차단되는 샌드박스 디스크 영역 및 상기 샌드박스 디스크 영역과 가상으로 분리된 호스트 영역을 포함할 수 있다. 예를 들어, 시작 호스트 단말은 망분리 운영 서버로부터 수신한 설정 정보에 기반하여 샌드박스 디스크 영역을 설정할 수 있다. 예를 들어, 망분리 운영 서버가 제공하는 샌드박스 설정 어플리케이션을 통해 샌드박스 디스크 영역이 설정될 수 있다. 샌드박스 설정 어플리케이션은 샌드박스를 설정하는 어플리케이션이며, 시작 호스트 단말에 설치될 수 있다.
예를 들어, 샌드박스 디스크 영역에 SDP 클라이언트 프로그램이 설치될 수 있다. 예를 들어, SDP 클라이언트 프로그램은 망분리 운영 서버에 의해 허가된 응용 프로그램일 수 있다.
얘를 들어, 시작 호스트 단말은 샌드박스 디스크 영역에 설치된 SDP 클라이언트 프로그램을 통해서만 클라우드 서버와 연결될 수 있다. 시작 호스트 단말은 호스트 영역을 통해 인터넷 망과 연결될 수 있다.
예를 들어, 샌드박스 설정 어플리케이션에 의해 시작 호스트 단말 내 SDP 클라이언트 프로그램이 저장된 메모리에 샌드박스가 설정될 수 있다. 샌드박스 설정 어플리케이션에 의해 SDP 클라이언트 프로그램과 관련된 데이터가 하드 디스크 내 저장 공간에 독립적으로 구성되고, 해당 저장 공간을 격리하여 관리될 수 있다.
예를 들어, 시작 호스트 단말이 샌드박스가 설정된 SDP 클라이언트 프로그램을 실행할 때, 외부 프로그램의 접근이 차단될 수 있다. 또한, 예를 들어, 샌드박스 디스크 영역에 대해 허가된 어플리케이션에 대해서만 접근이 가능하도록 설정됨으로써, 샌드박스 디스크 영역 내 데이터를 보호할 수 있다. 이에 따라, 샌드박스 디스크 영역에서 실행되는 SDP 클라이언트 프로그램에 대해 보안 기능을 제공할 수 있다.
일 실시예에 따르면, 망분리 운영 서버 및/또는 샌드박스 설정 어플리케이션은 시작 호스트 단말의 사양에 대한 정보, SDP 클라이언트 프로그램에 대한 정보, SDP 컨트롤러 서버와 인증 절차를 수행하기 위한 정보를 포함하는 수집 정보를 획득할 수 있다.
예를 들어, 시작 호스트 단말의 사양에 대한 정보는 시작 호스트 단말의 프로세서에 대한 정보 및 시작 호스트 단말의 메모리에 대한 정보를 포함할 수 있다. 시작 호스트 단말의 SDP 클라이언트 프로그램에 대한 정보는 SDP 클라이언트 프로그램의 버전, SDP 클라이언트 프로그램의 용량 및 SDP 클라이언트 프로그램의 저장 위치 및 SDP 클라이언트 프로그램의 실행 권한을 포함할 수 있다. SDP 컨트롤러 서버와 인증 절차를 수행하기 위한 정보는 SDP 컨트롤러 서버와 인증 절차에 필요한 인증의 종류 및 SDP 컨트롤러 서버와 인증 절차를 수행하기 위해 필요한 용량을 포함할 수 있다.
예를 들어, 수집 정보를 기반으로 뉴럴 네트워크를 이용하는 샌드박스 영역 설정 모델을 통해 시작 호스트 단말에 샌드박스 디스크 영역이 설정될 수 있다. 예를 들어, 시작 호스트 단말은 샌드박스 설정 어플리케이션을 통해 획득된 수집 정보를 기반으로 뉴럴 네트워크를 이용하는 샌드박스 영역 설정 모델을 통해 시작 호스트 단말에 샌드박스 디스크 영역을 설정할 수 있다.
또는, 예를 들어, 망분리 운영 서버는 시작 호스트 단말에 설치된 샌드박스 설정 어플리케이션을 통해 획득된 수집 정보를 기반으로 뉴럴 네트워크를 이용하는 샌드박스 영역 설정 모델을 통해 시작 호스트 단말에 샌드박스 디스크 영역을 설정할 수 있다. 예를 들어, 망분리 운영 서버는 샌드박스 디스크 영역에 대한 정보를 포함한 설정 정보를 시작 호스트 단말에게 전송할 수 있다.
예를 들어, 수집 정보에 대한 데이터 전처리를 통해 상태 벡터가 생성될 수 있다. 상태 벡터는 프로세서의 클럭 속도, 프로세서의 코어 수, 프로세서의 스레드 수, 프로세서의 캐시 크기, 메모리의 디스크 전송률, 메모리의 지연시간, 메모리의 용량, SDP 클라이언트 프로그램의 용량, 인증 절차와 관련된 용량을 포함할 수 있다. 프로세서의 클럭 속도는 시작 호스트 단말의 프로세서의 클럭 속도이고, 클럭 속도는 초당 처리할 수 있는 명령어의 수일 수 있다. 프로세서의 코어 수는 시작 호스트 단말의 프로세서의 코어 수이고, 코어의 수는 동시에 처리할 수 있는 작업의 수를 나타낼 수 있다. 프로세서의 스레드의 수는 시작 호스트 단말의 프로세서의 스레드 수이고, 스레드의 수는 동시에 실행되는 프로세스의 작은 단위의 수일 수 있다. 각 코어 당 여러 개의 스레드를 지원할 수 있다. 프로세서의 캐시 크기는 시작 호스트 단말의 프로세서의 캐시 크기이다. 메모리의 디스크 전송률은 시작 호스트 단말의 메모리(예: 하드디스크)의 디스크 전송률이고, 데이터를 읽거나 쓰는 속도를 나타내며, 초당 전송되는 데이터의 양일 수 있다. 메모리의 지연시간은 시작 호스트 단말의 메모리의 지연 시간이고, 데이터를 읽거나 쓰기 위해 기다리는 시간일 수 있다. 메모리의 용량은 시작 호스트 단말의 메모리의 용량일 수 있다. SDP 클라이언트 프로그램의 용량은 시작 호스트 단말에 설치된 SDP 클라이언트 프로그램의 용량일 수 있다. 인증 절차와 관련된 용량은 인증 절차에 포함된 복수의 인증 과정 각각에 필요한 용량을 포함할 수 있다.
예를 들어, 샌드박스 영역 설정 모델은 복수의 상태 벡터 및 복수의 정답 샌드박스 디스크 영역에 대한 메모리 공간의 크기로 구성된 각각의 학습 데이터를 이용하여 학습될 수 있다. 샌드박스 영역 설정 모델에 사용되는 뉴럴 네트워크를 제1 뉴럴 네트워크로 지칭할 수 있고, 제1 뉴럴 네트워크는 제1 입력 레이어, 하나 이상의 제1 히든 레이어 및 제1 출력 레이어를 포함할 수 있다. 복수의 상태 벡터 및 복수의 정답 샌드박스 디스크 영역에 대한 메모리 공간의 크기로 구성된 각각의 학습 데이터는 상기 제1 뉴럴 네트워크의 상기 제1 입력 레이어에 입력되어 상기 하나 이상의 제1 히든 레이어 및 제1 출력 레이어를 통과하여 제1 출력 벡터로 출력되고, 상기 제1 출력 벡터는 상기 제1 출력 레이어에 연결된 제1 손실함수 레이어에 입력되고, 상기 제1 손실함수 레이어는 상기 제1 출력 벡터와 각각의 학습 데이터에 대한 정답 벡터를 비교하는 제1 손실함수를 이용하여 제1 손실 값을 출력하고, 상기 제1 뉴럴 네트워크의 파라미터가 상기 제1 손실 값이 작아지는 방향으로 학습될 수 있다.
예를 들어, 상태 벡터가 샌드박스 영역 설정 모델에 입력되면, 샌드박스 디스크 영역에 대한 메모리 공간의 크기가 출력될 수 있다.
예를 들어, 학습 데이터로 사용되는 복수의 상태 벡터 및 복수의 정답 샌드박스 디스크 영역에 대한 메모리 공간의 크기는 하나의 상태 벡터와 하나의 정답 샌드박스 디스크 영역에 대한 메모리 공간의 크기가 하나의 세트로 구성될 수 있다. 예를 들어, 복수 개의 세트가 서버에 사전 저장될 수 있다. 복수 개의 세트는 주기적으로 업데이트될 수 있다. 이를 통해, 샌드박스 영역 설정 모델에 대해 서로 다른 수락 호스트 단말의 사양, 서로 다른 SDP 클라이언트 프로그램 및 서로 다른 인증 절차에 대해 샌드박스 디스크 영역에 대한 메모리 공간의 크기를 결정하도록 학습시킬 수 있다.
부가적으로, 예를 들어, 정답 샌드박스 디스크 영역의 메모리 공간의 크기는 하기 수학식 1에 의해 결정될 수 있다.
상기 수학식 1에서, 상기 Cap은 상기 정답 샌드박스 디스크 영역의 메모리 공간의 크기이고, 상기 rt는 상기 메모리의 디스크 전송률이고, 상기 tl은 상기 메모리의 지연 시간이고, 상기 vclock은 상기 프로세서의 클럭 속도이고, 상기 nc는 상기 프로세서의 코어 수이고, 상기 nt는 상기 프로세서의 스레드 수이고, 상기 sc는 상기 프로세서의 캐시 크기이고, 상기 CSDP는 상기 SDP 클라이언트 프로그램의 용량이고, 상기 n은 상기 인증 절차에 포함된 복수의 인증 과정의 개수이고, 상기 Ci는 i번째 인증 과정에 필요한 용량이고, 상기 Cm은 상기 메모리의 용량이고, 상기 R1은 메모리에 대한 기준 값이고, 상기 R2는 프로세서에 대한 기준 값이고, 상기 Cdef는 메모리 공간의 크기에 대한 기본 값일 수 있다.
예를 들어, 메모리에 대한 기준 값이고, 프로세서에 대한 기준 값 및 메모리 공간의 크기에 대한 기본 값은 시작 호스트 단말에 사전 설정될 수 있다.
이를 통해, 샌드박스 디스크 영역의 메모리 공간의 크기를 항상 동일한 크기로 결정하지 않고, 시작 호스트 단말의 사양과 SDP 클라이언트 프로그램의 용량, 인증 절차에 따른 용량과 같이 다양한 요인들을 고려하여 샌드박스 디스크 영역의 메모리 공간의 크기를 결정하도록 샌드박스 영역 설정 모델을 학습시킬 수 있다.
단계 S3120에서, SDP 컨트롤러 서버는 시작 호스트 단말에 대한 정보를 수락 호스트 서버에게 전송할 수 있다.
예를 들어, SDP 컨트롤러 서버는 인증 절차가 완료된 것에 기반하여, 시작 호스트 단말에 대한 정보를 수락 호스트 서버에게 전송할 수 있다.
시작 호스트 단말에 대한 정보는 접근을 요청하는 시작 호스트 단말에 대한 정보일 수 있다. 예를 들어, 시작 호스트 단말에 대한 정보는 IP 주소, 포트 번호, 사용자 정보 및 인증 정보를 포함할 수 있다. IP 주소는 시작 호스트 단말의 IP 주소일 수 있고, 시작 호스트 단말의 위치를 식별하기 위해 사용될 수 있다. 포트 번호는 시작 호스트 단말의 포트 번호일 수 있고, 시작 호스트 단말의 통신을 관리하기 위해 사용될 수 있다. 특정 포트를 통해 접근하는 시작 호스트 단말에 대한 추가적인 보안 검사나 정책이 적용될 수 있다. 사용자 정보는 시작 호스트 단말의 사용자 정보일 수 있고, 사용자 이름, 이메일 주소, 역할 등 시작 호스트 단말의 사용자를 식별하기 위한 정보를 포함할 수 있다. 인증 정보는 시작 호스트 단말의 인증 정보일 수 있고, 인증서, 토큰 등을 포함할 수 있다.
예를 들어, 수락 호스트 서버는 데이터 경로 터널(data path tunnel)을 통해 시작 호스트 단말에게 서비스를 제공할 수 있다. 데이터 경로 터널은 시작 호스트 단말과 수락 호스트 서버 사이의 데이터 송수신용 채널일 수 있다.
단계 S3130에서, SDP 컨트롤러 서버는 수락 호스트 서버와 관련된 정보를 시작 호스트 단말에게 전송할 수 있다.
예를 들어, 인증 절차가 완료된 것에 기반하여, SDP 컨트롤러 서버는 수락 호스트 서버와 관련된 정보를 시작 호스트 단말에게 전송할 수 있다.
수락 호스트 서버와 관련된 정보는 시작 호스트 단말이 접근하고자 하는 수락 호스트 서버에 대한 정보일 수 있다. 예를 들어, 수락 호스트 서버와 관련된 정보는 IP 주소, 포트 번호, 서비스 식별자 및 인증 정보를 포함할 수 있다. IP 주소는 수락 호스트 서버의 IP 주소이며, SDP 컨트롤러 서버는 수락 호스트 서버의 IP 주소를 통해 시작 호스트 단말의 접근 요청이 수락 호스트 서버에 도달하는지 여부를 확인할 수 있다. 포트 번호는 수락 호스트 서버에 대한 포트 번호이며, 수락 호스트 서버의 통신을 관리하기 위해 사용될 수 있다. 서비스 식별자는 수락 호스트 서버에 의해 제공되는 서비스의 식별자일 수 있다. 예를 들어, 서비스 식별자는 HTTP 서비스, SSH 서비스 또는 데이터 베이스 서비스인지 여부를 나타낼 수 있다. SDP 컨트롤러 서버는 서비스 식별자를 통해 시작 호스트 단말과 수락 호스트 서버 사이의 통신 규칙을 적용할 수 있다. 인증 정보는 수락 호스트 서버에 접근하기 위한 인증 정보일 수 있다.
일 실시예에 따르면, 인증 절차는 다음과 같이 진행될 수 있다.
예를 들어, SDP 컨트롤러 서버는 SPA에 대한 유효성을 검증할 수 있다. 여기서, SPA는 HOTP를 포함할 수 있다. HOTP는 일회용 비밀번호이고, 인증을 위해 사용될 수 있다. 암호 기반 인증 시스템에서 공유된 비밀 키와 카운터 값을 사용하여 HOTP가 생성될 수 있다. 이때, 공유된 비밀 키와 카운터 값은 암호화 해시 함수인 HMAC을 사용하여 처리될 수 있다. 즉, SDP 컨트롤러 서버에서 사용자에게 공유된 비밀 키를 미리 제공할 수 있다. 시작 호스트 단말은 해당 공유된 비밀 키를 저장할 수 있다. 시작 호스트 단말은 카운터 값과 공유된 비밀 키를 결합하여 HMAC을 계산할 수 있고, 계산된 HMAC은 일회용 비밀번호로 사용될 수 있다. 시작 호스트 단말은 생성된 일회용 비밀번호를 SDP 컨트롤러 서버에게 전달하여 인증을 요청할 수 있다. SDP 컨트롤러 서버는 동일한 알고리즘과 공유된 비밀 키를 사용하여 HMAC을 계산할 수 있고, 시작 호스트 단말로부터 수신한 일회용 비밀번호와 계산된 HMAC을 비교하여 인증의 유효성을 확인할 수 있다. 예를 들어, HMAC을 생성하기 위해 사용할 입력 메시지와 비밀 키가 선택될 수 있다. 예를 들어, HMAC은 내부적으로 해시 함수가 사용될 수 있고, 일반적으로는 MD5, SHA-1, SHA-256 등의 암호학적으로 안전한 해시 함수가 선택될 수 있다. 예를 들어, 비밀 키가 내부 해시 함수에 맞게 조정될 수 있다. 이때, 비밀 키가 내부 해시 함수의 블록 크기에 맞추어 처리될 수 있다. 비밀 키를 사용하여 내부 해시 함수가 실행될 수 있다. 이때, 입력 메시지를 해시하고 비밀 키가 함께 조합될 수 있다. 내부적으로 해시 함수의 결과를 사용하여 최종 HMAC이 생성될 수 있다. 내부 해시 함수의 출력을 추가적인 처리를 거친 후, 고정 길이의 HMAC 값이 획득될 수 있다. 시작 호스트 단말이 메시지에 대한 HMAC 값을 생성하여 메시지와 함께 전송하면, SDP 컨트롤러 서버는 동일한 해시 함수와 비밀 키를 사용하여 HMAC을 다시 계산할 수 있고, 계산한 HMAC 값과 수신된 HMAC 값을 비교하여 메시지의 무결성과 인증을 확인할 수 있다.
예를 들어, SPA에 대한 유효성이 검증된 것에 기반하여 SDP 컨트롤러 서버는 시작 호스트 단말에 대한 핀홀을 형성할 수 있다. 핀홀을 통해 시작 호스트 단말의 SDP 컨트롤러 서버에 대한 접속이 접속 허용 시간동안 허용될 수 있다.
여기서, 핀홀은 네트워크 방화벽에서 특정한 서비스 또는 포트로의 제한된 접근을 가능하게 하는 작은 보안 통로를 지칭할 수 있다. 일반적으로 방화벽은 네트워크 내부의 자원을 외부로부터 보호하기 위해 모든 포트와 서비스에 대한 액세스를 제한할 수 있고, 이로 인해 외부에서 내부 자원에 직접 접근하는 것이 차단될 수 있다. 다만, 특정한 상황에서 특정 서비스나 포트에 대한 접근이 필요할 수 있고, 이때, 핀홀이 사용될 수 있다. 즉, 핀홀은 네트워크 방화벽에서 임시적으로 특정 포트를 개방하여 외부의 특정 IP 주소 또는 사용자에게만 접근을 허용하는 보안 통로이고, 핀홀을 통해 외부 사용자나 장치가 특정 서비스에 액세스할 수 있게 될 수 있다. 예를 들어, SDP 컨트롤러 서버는 방화벽 또는 보안 정책에서 특정 포트에 대한 액세스 규칙을 추가할 수 있다. 액세스 규칙을 통해 특정 외부 IP 주소나 사용자에 대한 접근을 허용하도록 설정될 수 있다. SDP 컨트롤러 서버는 방화벽 또는 보안 정책에서 특정 포트로 들어오는 요청을 내부 네트워크의 특정 서버나 장치로 전달하도록 포트 포워딩 설정을 추가할 수 있다. SDP 컨트롤러 서버는 핀홀을 형성하기 위해 허용되는 외부 IP 주소나 사용자에 대한 액세스 제어를 구성할 수 있다.
예를 들어, 접속 허용 시간 내에 시작 호스트 단말과 SDP 컨트롤러 서버 사이의 상호 TLS (transport Layer security)가 수행될 수 있다.
상호 TLS는 클라이언트와 서버 간의 상호 인증과 통신 데이터의 암호화를 제공하는 프로토콜일 수 있다. 일반적으로 TLS는 서버 인증을 위해 사용되지만, 상호 TLS에서는 클라이언트와 서버 모두 서로를 인증할 수 있다.
예를 들어, 시작 호스트 단말은 SDP 컨트롤러 서버에게 연결 요청을 보내면서 시작 호스트 단말의 인증서를 제공할 수 있다. SDP 컨트롤러 서버는 시작 호스트 단말의 인증서를 검증하여 시작 호스트 단말의 신원을 확인할 수 있다. SDP 컨트롤러 서버는 자체 인증서를 시작 호스트 단말에게 제공하여 SDP 컨트롤러 서버의 신원을 증명할 수 있다. 시작 호스트 단말과 SDP 컨트롤러 서버는 상호 인증이 완료된 후, 통신 데이터를 암호화하여 보호할 수 있다.
예를 들어, 상호 TLS에서 PKI(Public Key Infrastructure)를 통해 보안을 강화할 수 있다. PKI는 공개 키, 개인 키, 인증서, 인증 기관으로 구성될 수 있다. 공개 키는 암호화와 서명 검증을 위한 키로, 공개적으로 공유될 수 있다. 개인 키는 암호 해독과 서명 생성을 위한 비밀 키로, 개인적으로 보관될 수 있다. 인증서는 개인 키의 신원을 증명하는 디지털 문서이며, 인증서에는 개인 키의 소유자 정보와 공개 키가 포함될 수 있다. 인증 기관(CA, Certification Authority)은 인증서를 발급하고 관리하는 신뢰할 수 있는 기관으로, 인증 기관은 공개 키에 대한 신원 검증을 수행할 수 있다. PKI는 클라이언트와 서버 간의 상호 인증, 데이터의 암호화, 디지털 서명 등을 지원하여 보안을 강화할 수 있다. SDP에서는 PKI를 통해 클라이언트와 서버 간의 신원을 확인하고, 암호화된 통신을 수행하여 보안을 제공할 수 있다.
상호 TLS가 수행된 후 시작 호스트 단말이 로그인 ID와 패스워드 및 디바이스 지문(device finger print)을 SDP 컨트롤러 서버에게 전송할 수 있다. 예를 들어, 로그인 ID, 패스워드 및 디바이스 지문에 대한 검증을 통해 시작 호스트 단말의 신원 및 역할이 결정될 수 있다. 시작 호스트 단말의 신원 및 역할에 따라 수락 호스트 서버에 대한 접근 권한이 부여될 수 있다.
여기서, 디바이스 지문은 특정 디바이스나 컴퓨터의 고유한 식별 정보를 나타낼 수 있다. 예를 들어, 디바이스 지문은 해당 디바이스의 하드웨어, 소프트웨어, 설정 등 다양한 특징을 기반으로 생성될 수 있다. 예를 들어, 디바이스의 운영 체제, 웹 브라우저 버전, 시간대, 화면 해상도, 설치된 폰트, 플러그인 정보, 네트워크 구성, 소프트웨어 버전, IP 주소, MAC 주소, 브라우저 정보 등이 디바이스 지문을 형성할 수 있다. SDP 컨트롤러 서버는 디바이스 지문을 수집하여 해당 디바이스를 고유하게 식별할 수 있고, 사용자가 이전에 로그인한 기기인지 등을 판단할 수 있다. 예를 들어, SDP 컨트롤러 서버는 디바이스 지문을 분석하여 시작 호스트 단말이 서비스에서 설정한 보안 요구 사항 및 정책을 충족하는지 확인할 수 있다. SDP 컨트롤러 서버는 디바이스 지문이 인증된 장치와 일치하면 시작 호스트 단말에 대한 액세스가 허용되고 보안 연결을 설정할 수 있다. 이때, 디바이스 지문이 인식되지 않거나 보안 문제가 발생하면, 시작 호스트 단말에 대한 액세스가 거부되어 무단 액세스에 대한 추가 보호 계층을 제공할 수 있다.
일 실시예에 따르면, 시작 호스트 단말과 수락 호스트 서버 사이의 상기 데이터 경로 터널이 생성될 수 있다. 예를 들어, 데이터 경로 터널은 수락 호스트 서버와 관련된 정보에 기반하여 생성될 수 있다. 시작 호스트 단말은 데이터 경로 터널을 통해 SPA를 수락 호스트 서버에게 전송할 수 있다. 시작 호스트 단말과 수락 호스트 서버 사이에 상호 TLS가 상기 데이터 경로 터널을 통해 수행될 수 있다.
일 실시예에 따르면, SDP 컨트롤러 서버는 복수의 시작 호스트 단말 각각으로부터 수신한 SPA에 대한 정보와 인증 절차와 관련된 정보를 실시간으로 측정할 수 있다. SPA에 대한 정보는, 복수의 시작 호스트 단말 각각에 대해, 시작 호스트 단말이 SPA를 전송한 전송 시간, SDP 컨트롤러 서버가 SPA를 수신한 수신 시간 및 SPA에 대해 응답한 응답 시간을 포함할 수 있다. 인증 절차와 관련된 정보는 복수의 시작 호스트 단말 각각에 대해, 인증 절차를 개시한 시간 및 인증 절차에 포함된 각각의 인증 과정에 소요된 시간을 포함할 수 있다. 예를 들어, 시작 호스트 단말로부터 SPA를 수신한 시점 이전의 사전 설정된 제1 시간동안 측정된 SPA에 대한 정보와 인증 절차와 관련된 정보 및 시작 호스트 단말로부터 SPA를 수신한 시점 이후의 사전 설정된 제2 시간동안 측정된 SPA에 대한 정보와 인증 절차와 관련된 정보를 기반으로 접속 허용 시간이 결정될 수 있다.
부가적으로, 예를 들어, SDP 컨트롤러 서버는 복수의 시작 호스트 단말 각각에 대해 측정된 SPA에 대한 정보 및 인증 절차와 관련된 정보를 기반으로 뉴럴 네트워크를 사용하는 허용 시간 결정 모델을 통해 시작 호스트 단말에 대한 접속 허용 시간을 결정할 수 있다. 여기서, 시작 호스트 단말에 대한 접속 허용 시간은 시작 호스트 단말에 대한 핀홀을 유지하는 시간일 수 있다.
예를 들어, 복수의 시작 호스트 단말 각각에 대해 측정된 SPA에 대한 정보 및 인증 절차와 관련된 정보를 기반으로 입력 벡터가 생성될 수 있다. 입력 벡터는 복수의 시작 호스트 단말로부터 수신한 SPA의 개수, 평균 패킷 지연 시간, 인증 절차에 대한 처리량 및 인증 과정당 평균 소요 시간을 포함할 수 있다.
예를 들어, 복수의 시작 호스트 단말로부터 수신한 SPA의 개수는 SDP 컨트롤러 서버가 복수의 시작 호스트 단말로부터 사전 설정된 제1 시간 내 수신한 SPA의 개수와 사전 설정된 제2 시간 내 수신한 SPA의 개수를 포함할 수 있다. 사전 설정된 제1 시간은 특정 시작 호스트 단말로부터 SPA를 수신한 시점 이전의 특정 시간으로, 인증 절차에 소요되는 전체 평균 시간으로 결정될 수 있다. 사전 설정된 제2 시간은 특정 시작 호스트 단말로부터 SPA를 수신한 시점 이후의 특정 시간으로, SPA 유효성을 검증하는 평균 시간으로 결정될 수 있다. 특정 시작 호스트 단말은 허용 시간 결정 모델을 통해 접속 허용 시간을 결정하고자 하는 시작 호스트 단말일 수 있다. 인증 절차에 소요되는 전체 평균 시간은 복수의 시작 호스트 단말에 대한 인증 절차를 수행할 때 소요된 전체 시간을 평균한 값일 수 있고, SDP 컨트롤러 서버에 사전 설정될 수 있다. SPA 유효성을 검증하는 평균 시간은 복수의 시작 호스트 단말에 대한 SPA 유효성을 검증할 때 소요되는 시간을 평균한 값일 수 있고, SDP 컨트롤러 서버에 사전 설정될 수 있다.
예를 들어, 평균 패킷 지연 시간은 사전 설정된 제1 시간 내 평균 패킷 지연 시간과 사전 설정된 제2 시간 내 평균 패킷 지연 시간을 포함할 수 있다. 평균 패킷 지연 시간은 복수의 시작 호스트 단말 각각에 대해 SPA를 전송한 시점부터 SDP 컨트롤러 서버가 해당 SPA에 대해 응답한 시점까지의 시간을 평균한 시간일 수 있다.
예를 들어, 인증 절차에 대한 처리량은 사전 설정된 제1 시간 내 인증 절차에 대한 처리량과 사전 설정된 제2 시간 내 인증 절차에 대한 처리량을 포함할 수 있다. 인증 절차에 대한 처리량은 복수의 시작 호스트 단말에 대해 인증 절차동안 처리한 요청 수일 수 있다.
예를 들어, 인증 과정당 평균 소요 시간은 사전 설정된 제1 시간 내 인증 과정당 평균 소요 시간과 사전 설정된 제2 시간 내 인증 과정당 평균 소요 시간을 포함할 수 있다. 인증 과정당 소요 시간은 인증 절차를 진행하는 동안 수행하는 각각의 인증 과정에 대해 소요된 시간으로, 인증 과정당 평균 소요 시간은 복수의 시작 호스트 단말에 대한 인증 과정당 소요 시간을 평균한 시간일 수 있다.
예를 들어, 허용 시간 결정 모델은 복수의 입력 벡터 및 복수의 정답 접속 허용 시간으로 구성된 각각의 학습 데이터를 이용하여 학습될 수 있다. 허용 시간 결정 모델에 사용되는 뉴럴 네트워크를 제2 뉴럴 네트워크로 지칭할 수 있고, 제2 뉴럴 네트워크는 제2 입력 레이어, 하나 이상의 제2 히든 레이어 및 제2 출력 레이어를 포함할 수 있다. 복수의 입력 벡터 및 복수의 정답 접속 허용 시간으로 구성된 각각의 학습 데이터는 상기 제2 뉴럴 네트워크의 상기 제2 입력 레이어에 입력되어 상기 하나 이상의 제2 히든 레이어 및 제2 출력 레이어를 통과하여 제2 출력 벡터로 출력되고, 상기 제2 출력 벡터는 상기 제1 출력 레이어에 연결된 제2 손실함수 레이어에 입력되고, 상기 제2 손실함수 레이어는 상기 제2 출력 벡터와 각각의 학습 데이터에 대한 정답 벡터를 비교하는 제2 손실함수를 이용하여 제2 손실 값을 출력하고, 상기 제2 뉴럴 네트워크의 파라미터가 상기 제2 손실 값이 작아지는 방향으로 학습될 수 있다.
예를 들어, 입력 벡터가 허용 시간 결정 모델에 입력되면, 시작 호스트 단말에 대한 접속 허용 시간이 출력될 수 있다.
예를 들어, 학습 데이터로 사용되는 복수의 입력 벡터 및 복수의 정답 접속 허용 시간은 하나의 입력 벡터와 하나의 정답 접속 허용 시간이 하나의 세트로 구성될 수 있다. 예를 들어, 복수 개의 세트가 서버에 사전 저장될 수 있다. 복수 개의 세트는 주기적으로 업데이트될 수 있다. 이를 통해, 허용 시간 결정 모델에 대해 서로 다른 수락 호스트 단말의 통신 상태, 서로 다른 인증 절차 및 SDP 컨트롤러 서버의 능력을 고려하여 접속 허용 시간을 결정하도록 학습시킬 수 있다.
부가적으로, 예를 들어, 정답 접속 허용 시간은 하기 수학식 2에 의해 결정될 수 있다.
상기 수학식 2에서, 상기 Tallow는 상기 정답 접속 허용 시간이고, 상기 m은 상기 복수의 시작 호스트 단말의 개수이고, 상기 는 가중치이고, 상기 nSPA는 상기 SDP 컨트롤러 서버가 수신한 SPA의 개수이고, 상기 nref는 상기 SDP 컨트롤러 서버가 수신한 SPA의 개수에 대한 기준 개수이고, 상기 trj는 j번째 시작 호스트 단말로부터 수신한 SPA에 대한 응답 시간이고, 상기 n은 상기 인증 절차에 포함된 복수의 인증 과정의 개수이고, 상기 Tij는 j번째 시작 호스트 단말의 i번째 인증 과정에 소요된 시간일 수 있다.
예를 들어, 가중치 및 SDP 컨트롤러 서버가 수신한 SPA의 개수에 대한 기준 개수는 SDP 컨트롤러 서버에 사전 설정될 수 있다. 예를 들어, 가중치는 0.5 이상 1 이하의 값을 포함할 수 있다.
이를 통해, 시작 호스트 단말에 대한 접속 허용 시간을 항상 동일한 시간으로 결정하지 않고, 시작 호스트 단말로부터 SPA를 수신한 시점을 기준으로 현재 처리 중에 복수의 시작 호스트 단말에 대한 통신 상태, SPD 컨트롤러 서버의 성능 및 인증 절차에 따른 소요 시간을 고려하여 시작 호스트 단말에 대한 접속 허용 시간을 결정하도록 허용 시간 결정 모델을 학습시킬 수 있다.
도 32는 일 실시예에 따른 샌드박스 영역 설정 모델 및 허용 시간 결정 모델에 대한 예이다. 도 32의 실시예는 본 개시의 다양한 실시예들과 결합될 수 있다.
도 32를 참조하면, 샌드박스 영역 설정 모델 및 허용 시간 결정 모델은 GRU(gated recurrent unit) 기반 뉴럴 네트워크를 이용한 모델일 수 있다. 여기서, GRU는 RNN(recurrent neural network)를 변형시킨 모델일 수 있다. RNN은 과거 관측 값에 의존하는 구조이므로, 기울기가 소실(vanishing gradient)되거나 기울기가 매우 큰 값(exploding gradient)을 가지게 되는 문제가 발생할 수 있다. 이를 해결하기 위한 모델이 LSTM(long short term memory networks)이며, LSTM 내부의 노드는 메모리 셀로 대체함으로써, 정보를 축적하거나 과거 정보의 일부를 삭제가 가능하며, 상기 RNN의 문제를 보완할 수 있다. 이러한 LSTM의 구조를 간결하게 변형하여 속도를 개선한 모델이 GRU이다.
GRU 기반 뉴럴 네트워크는 입력 레이어(3210), 하나 이상의 히든 레이어(3220) 및 출력 레이어(3230)를 포함할 수 있다.
구체적으로, 상기 하나 이상의 히든 레이어(3220)는 하나 이상의 GRU 블록을 포함하고, 하나의 GRU 블록은 리셋 게이트(reset gate)와 업데이트 게이트(update gate)를 포함할 수 있다. 여기서, 리셋 게이트와 업데이트 게이트는 시그모이드 레이어를 포함할 수 있다. 예를 들어, 시그모이드 레이어는 시그모이드 함수()가 활성화 함수인 레이어일 수 있다. 예를 들어, 리셋 게이트 및 업데이트 게이트를 통해 히든 스테이트가 제어되고, 각 게이트와 입력에 따른 가중치들이 존재할 수 있다.
리셋 게이트는 과거의 정보를 리셋시키며, 이전 히든 레이어를 거쳐 도출된 가중치 r(t)는 수학식 3에 의해 결정될 수 있다.
예를 들어, 복수의 상태 벡터 또는 복수의 입력 벡터가 상기 입력 레이어에 입력되고, 상기 리셋 게이트는 상태 벡터 또는 입력 벡터를 기반으로 생성된 현재 시점의 입력 값(xt)이 입력되면 현재 시점의 가중치 Wr와 내적하고, 상태 벡터 또는 입력 벡터를 기반으로 생성된, 이전 시점의 히든 스테이트(h(t-1))를 이전 시점의 가중치 Ur와 내적하고, 마지막으로 두 값을 합하여 시그모이드 함수에 입력되어 결과가 0과 1 사이의 값으로 출력될 수 있다. 이러한 0과 1 사이의 값을 통해 이전 시점의 히든 스테이트 값을 얼마나 활용할 것인지 결정될 수 있다.
업데이트 게이트는 과거와 현재의 정보에 대한 최신화 비율을 결정하며, z(t)는 현재 시점의 정보의 양으로, 수학식 4에 의해 결정될 수 있다.
예를 들어, 상기 현재 시점의 입력 값(xt)가 입력되면 현재 시점의 가중치 Wz와 내적하고, 상기 이전 시점의 히든 스테이트(h(t-1))는 이전 시점의 가중치 Uz와 내적하고, 마지막으로 두 값을 합하여 시그모이드 함수에 입력됨으로써 결과가 0과 1 사이의 값으로 출력될 수 있다. 그리고 1-z(t)를 직전 시점의 히든 레이어의 정보(h(t-1))에 곱할 수 있다.
이를 통해, z(t)는 현재 정보를 얼마나 사용할지와 1-z(t)를 과거 정보에 대해 얼마나 사용할지를 반영할 수 있다.
리셋 게이트의 결과를 곱하여 현재 시점 t의 정보 후보군이 수학식 5에 의해 결정될 수 있다.
예를 들어, 상기 현재 시점의 입력 값(xt)가 입력되면 현재 시점의 가중치 Wh와 내적한 값과, 상기 이전 시점의 히든 스테이트(h(t-1))는 이전 시점의 가중치 Uh와 내적하고, r(t)를 곱한 값을 합하여 tanh 함수에 입력될 수 있다. 예를 들어, tanh는 비선형 활성화 함수(하이퍼볼릭 탄젠트 함수)를 의미한다.
업데이트 게이트와 후보군의 결과를 결합함으로써, 현재 시점의 히든 레이어의 가중치를 수학식 6에 의해 결정할 수 있다.
예를 들어, 업데이트 게이트의 출력 값 z(t)와 현재 시점의 히든 스테이트(h(t))를 곱한 값과 업데이트 게이트에서 버려지는 값 1-z(t)와 이전 시점의 히든 스테이트(h(t-1))을 곱한 값의 합으로 현재 시점의 히든 레이어의 가중치가 결정될 수 있다.
예를 들어, GRU 기반 뉴럴 네트워크에 대한 가중치 초기화는, 각각의 레이어에 대해, 해당 레이어로 입력되는 입력 값의 개수와 해당 레이어에서 출력되는 출력 값의 개수를 합한 값을 나눈 가중치를 기반으로 수행될 수 있다. 따라서, 가중치의 시작 시점이 적절한 범위 내의 값으로 설정될 수 있다.
상술한 과정을 통해, GRU 기반 뉴럴 네트워크를 학습된 뉴럴 네트워크의 파라미터가 사용될 수 있다.
도 33은 일 실시예에 따른 서버의 구성을 나타내는 블록도이다. 도 33의 일 실시예는 본 개시의 다양한 실시예들과 결합될 수 있다.
도 33에 도시된 바와 같이, 서버(3300)는 프로세서(3310), 통신 모듈(3320) 및 메모리(3330)를 포함할 수 있다. 이때, 서버(3300)는 망분리 운영 서버, SDP 컨트롤러 서버 및 수락 호스트 서버를 포함할 수 있다. 그러나, 도 33에 도시된 구성 요소 모두가 서버(3300)의 필수 구성 요소인 것은 아니다. 도 33에 도시된 구성 요소보다 많은 구성 요소에 의해 서버(3300)가 구현될 수도 있고, 도 33에 도시된 구성 요소보다 적은 구성 요소에 의해 서버(3300)가 구현될 수도 있다. 예를 들어, 일부 실시예에 따른 서버(3300)는 프로세서(3310), 통신 모듈(3320) 및 메모리(3330) 이외에 사용자 입력 인터페이스(미도시), 출력부(미도시) 등을 더 포함할 수도 있다.
프로세서(3310)는, 통상적으로 서버(3300)의 전반적인 동작을 제어한다. 프로세서(3310)는 하나 이상의 프로세서를 구비하여, 서버(3300)에 포함된 다른 구성 요소들을 제어할 수 있다. 예를 들어, 프로세서(3310)는, 메모리(3330)에 저장된 프로그램들을 실행함으로써, 통신 모듈(3320) 및 메모리(3330) 등을 전반적으로 제어할 수 있다. 또한, 프로세서(3310)는 메모리(3330)에 저장된 프로그램들을 실행함으로써, 도 3 내지 도 32에 기재된 서버(3300)의 기능을 수행할 수 있다.
통신 모듈(3320)은, 서버(3300)가 다른 장치(미도시) 및 서버(미도시)와 통신을 하게 하는 하나 이상의 구성요소를 포함할 수 있다. 다른 장치(미도시)는 서버(3300)와 같은 컴퓨팅 장치이거나, 센싱 장치일 수 있으나, 이에 제한되지 않는다. 통신 모듈(3320)은 네트워크를 통해, 다른 전자 장치로부터의 사용자 입력을 수신하거나, 외부 장치로부터 외부 장치에 저장된 데이터를 수신할 수 있다.
예를 들어, 통신 모듈(3320)은 적어도 하나의 장치와 연결을 확립하기 위한 메시지를 송수신할 수 있다. 통신 모듈(3320)은 프로세서(3310)에서 생성된 정보를 서버와 연결된 적어도 하나의 장치에게 전송할 수 있다. 통신 모듈(3320)은 서버와 연결된 적어도 하나의 장치로부터 정보를 수신할 수 있다. 통신 모듈(3320)은 적어도 하나의 장치로부터 수신한 정보에 대응하여, 수신한 정보와 관련된 정보를 전송할 수 있다.
메모리(3330)는, 프로세서(3310)의 처리 및 제어를 위한 프로그램을 저장할 수 있다. 예를 들어, 메모리(3330)는 서버에 입력된 정보 또는 네트워크를 통해 다른 장치로부터 수신된 정보를 저장할 수 있다. 또한, 메모리(3330)는 프로세서(3310)에서 생성된 데이터를 저장할 수 있다. 메모리(3330)는 서버(3300)로 입력되거나 서버(3300)로부터 출력되는 정보를 저장할 수도 있다.
메모리(3330)는 플래시 메모리 타입(flash memory type), 하드디스크 타입(hard disk type), 멀티미디어 카드 마이크로 타입(multimedia card micro type), 카드 타입의 메모리(예를 들어 SD 또는 XD 메모리 등), 램(RAM, Random Access Memory) SRAM(Static Random Access Memory), 롬(ROM, Read-Only Memory), EEPROM(Electrically Erasable Programmable Read-Only Memory), PROM(Programmable Read-Only Memory), 자기 메모리, 자기 디스크, 광디스크 중 적어도 하나의 타입의 저장매체를 포함할 수 있다.
이상에서 설명된 실시예들은 하드웨어 구성요소, 소프트웨어 구성요소, 및/또는 하드웨어 구성요소 및 소프트웨어 구성요소의 조합으로 구현될 수 있다. 예를 들어, 실시예들에서 설명된 장치, 방법 및 구성요소는, 예를 들어, 프로세서, 콘트롤러, ALU(arithmetic logic unit), 디지털 신호 프로세서(digital signal processor), 마이크로컴퓨터, FPGA(field programmable gate array), PLU(programmable logic unit), 마이크로프로세서, 또는 명령(instruction)을 실행하고 응답할 수 있는 다른 어떠한 장치와 같이, 하나 이상의 범용 컴퓨터 또는 특수 목적 컴퓨터를 이용하여 구현될 수 있다. 처리 장치는 운영 체제(OS) 및 상기 운영 체제 상에서 수행되는 하나 이상의 소프트웨어 애플리케이션을 수행할 수 있다. 또한, 처리 장치는 소프트웨어의 실행에 응답하여, 데이터를 접근, 저장, 조작, 처리 및 생성할 수도 있다. 이해의 편의를 위하여, 처리 장치는 하나가 사용되는 것으로 설명된 경우도 있지만, 해당 기술분야에서 통상의 지식을 가진 자는, 처리 장치가 복수 개의 처리 요소(processing element) 및/또는 복수 유형의 처리 요소를 포함할 수 있음을 알 수 있다. 예를 들어, 처리 장치는 복수 개의 프로세서 또는 하나의 프로세서 및 하나의 콘트롤러를 포함할 수 있다. 또한, 병렬 프로세서(parallel processor)와 같은, 다른 처리 구성(processing configuration)도 가능하다.
소프트웨어는 컴퓨터 프로그램(computer program), 코드(code), 명령(instruction), 또는 이들 중 하나 이상의 조합을 포함할 수 있으며, 원하는 대로 동작하도록 처리 장치를 구성하거나 독립적으로 또는 결합적으로(collectively) 처리 장치를 명령할 수 있다. 소프트웨어 및/또는 데이터는, 처리 장치에 의하여 해석되거나 처리 장치에 명령 또는 데이터를 제공하기 위하여, 어떤 유형의 기계, 구성요소(component), 물리적 장치, 가상 장치(virtual equipment), 컴퓨터 저장 매체 또는 장치, 또는 전송되는 신호 파(signal wave)에 영구적으로, 또는 일시적으로 구체화(embody)될 수 있다. 소프트웨어는 네트워크로 연결된 컴퓨터 시스템 상에 분산되어서, 분산된 방법으로 저장되거나 실행될 수도 있다. 소프트웨어 및 데이터는 하나 이상의 컴퓨터 판독 가능 기록 매체에 저장될 수 있다.
실시예에 따른 방법은 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 상기 매체에 기록되는 프로그램 명령은 실시예를 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다. 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다. 상기된 하드웨어 장치는 실시예의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.
이상과 같이 실시예들이 비록 한정된 도면에 의해 설명되었으나, 해당 기술분야에서 통상의 지식을 가진 자라면 상기를 기초로 다양한 기술적 수정 및 변형을 적용할 수 있다. 예를 들어, 설명된 기술들이 설명된 방법과 다른 순서로 수행되거나, 및/또는 설명된 시스템, 구조, 장치, 회로 등의 구성요소들이 설명된 방법과 다른 형태로 결합 또는 조합되거나, 다른 구성요소 또는 균등물에 의하여 대치되거나 치환되더라도 적절한 결과가 달성될 수 있다.
그러므로, 다른 구현들, 다른 실시예들 및 특허청구범위와 균등한 것들도 후술하는 특허청구범위의 범위에 속한다.

Claims (5)

  1. 샌드박스(sandbox)에 기반한 가상 망 분리 시스템에 있어서,
    외부 프로그램의 접근이 차단되는 샌드박스 디스크 영역 및 상기 샌드박스 디스크 영역과 가상으로 분리된 호스트 영역을 포함하는 시작 호스트 단말; 및
    상기 샌드박스 디스크 영역을 통해 실행된 응용 프로그램을 클라우드 서버와 연결시키고, 상기 호스트 영역을 통해 실행된 응용 프로그램을 인터넷 망과 연결시키는 망분리 운영 서버를 포함하되,
    상기 시작 호스트 단말은, 샌드박스 무결성 검사 모듈, 망분리 컨트롤 모듈, 샌드박스 컨트롤 모듈, 디스크 모니터링 모듈 및 네트워크 모니터링 모듈을 포함하고,
    상기 샌드박스 무결성 검사 모듈은, 상기 샌드박스 디스크 영역에 대한 무결성을 검사하고,
    상기 망분리 컨트롤 모듈은, 상기 샌드박스 무결성 검사 모듈의 검사 정보를 기반으로 상기 망분리 운영 서버로부터 수신한 설정 정보를 이용하여 가상으로 망을 분리하고,
    상기 샌드박스 컨트롤 모듈은, 디스크 드라이버 스택의 최상단에 디스크 모니터링 모듈을 삽입하고, 네트워크 드라이버 스택의 최상단에 네트워크 모니터링 모듈을 삽입하고,
    상기 디스크 모니터링 모듈은, 상기 샌드박스 디스크 영역에서 쓰기 동작이 발생한 응용 프로그램이 허가된 응용 프로그램인지 여부에 따라 상기 쓰기 동작을 제한하고,
    상기 네트워크 모니터링 모듈은, 상기 샌드박스 디스크 영역에서 실행된 응용 프로그램이 특정 네트워크와 연결을 시도하는 것에 기반하여 상기 특정 네트워크가 허가된 네트워크인지 여부에 따라 상기 특정 네트워크와 연결을 제한하고,
    상기 망분리 운영 서버로부터 수신한 설정 정보는 무결성 검사를 위한 기준 정보, 허가된 복수의 응용 프로그램에 대한 정보 및 허가된 복수의 네트워크에 대한 정보를 포함하고,
    상기 기준 정보는 최대 처리 지연시간, 복수의 기준 해시 값 및 처리 지연시간을 복수의 지연 레벨로 분류하기 위한 시간 구간 정보를 포함하고,
    상기 검사 정보는 샌드박스 디스크 영역에 대한 처리 지연시간 및 샌드박스 디스크 영역에 대한 복수의 해시 값을 포함하고,
    상기 처리 지연시간이 상기 최대 처리 지연시간 미만이고, 상기 복수의 해시 값 중에서 상기 처리 지연시간에 매칭된 해시 값이 상기 복수의 기준 해시 값 중에서 상기 처리 지연시간에 매칭된 기준 해시 값과 일치하는 것에 기반하여 상기 샌드박스 디스크 영역에 대한 무결성이 검증된 것으로 결정되고,
    상기 샌드박스 디스크 영역에 대한 처리 지연시간은 상기 샌드박스 디스크 영역에 저장된 샘플 데이터를 읽기 위한 처리를 수행하는 시간이고,
    상기 샘플 데이터에 대해 상이한 비율을 차지하는 복수의 세그먼트 그룹이 설정되고,
    상기 복수의 해시 값은 상기 복수의 세그먼트 그룹 각각에 대한 해시 값을 포함하고,
    상기 복수의 기준 해시 값은 상기 복수의 지연 레벨별로 설정된 기준 해시 값을 포함하는,
    상기 샌드박스 디스크 영역에 대한 무결성이 검증된 것을 기반으로 상기 디스크 드라이버 스택의 최상단에 상기 디스크 모니터링 모듈이 삽입되고, 및 상기 네트워크 드라이버 스택의 최상단에 상기 네트워크 모니터링 모듈이 삽입되고,
    상기 샌드박스 디스크 영역에서 상기 쓰기 동작이 발생한 응용 프로그램이 상기 허가된 복수의 프로그램에 해당하지 않는 것에 기반하여 상기 쓰기 동작이 제한되고,
    상기 샌드박스 디스크 영역에서 실행된 응용 프로그램이 연결을 시도하는 상기 특정 네트워크가 상기 허가된 복수의 네트워크에 해당하지 않는 것에 기반하여 상기 특정 네트워크와 연결이 제한되고,
    상기 샌드박스 디스크 영역에서 실행된 응용 프로그램이 종료되는 것에 기반하여, 상기 디스크 드라이버 스택에서 상기 디스크 모니터링 모듈이 제거되고, 및 상기 네트워크 드라이버 스택에서 상기 네트워크 모니터링 모듈을 제거되는,
    가상 망 분리 시스템.
  2. 삭제
  3. 삭제
  4. 제 1항에 있어서,
    데이터 경로 터널(data path tunnel)을 통해 상기 시작 호스트 단말에게 서비스를 제공하는 수락 호스트 서버; 및
    상기 시작 호스트 단말에 대한 인증 절차를 수행하고, 상기 인증 절차가 완료된 상기 시작 호스트 단말과 상기 수락 호스트 서버 사이의 상기 데이터 경로 터널을 생성하기 위한 정보를 송수신하는 SDP(software-defined perimeter) 컨트롤러 서버를 더 포함하되,
    상기 샌드박스 디스크 영역에 SDP 클라이언트 프로그램이 설치되고,
    상기 SDP 클라이언트 프로그램은 상기 허가된 복수의 응용 프로그램에 포함되고,
    상기 시작 호스트 단말이 상기 SDP 클라이언트 프로그램을 통해 인증 절차를 개시하기 위한 SPA(single packet authentication)를 상기 SDP 컨트롤러 서버에게 전송하고,
    상기 인증 절차가 완료된 것에 기반하여, 상기 SDP 컨트롤러 서버가 상기 시작 호스트 단말에 대한 정보를 상기 수락 호스트 서버에게 전송하고,
    상기 인증 절차가 완료된 것에 기반하여, 상기 SDP 컨트롤러 서버가 상기 수락 호스트 서버와 관련된 정보를 상기 시작 호스트 단말에게 전송하고,
    상기 인증 절차가 완료된 이후 상기 시작 호스트 단말과 상기 수락 호스트 서버 사이의 상기 데이터 경로 터널이 생성되는,
    가상 망 분리 시스템.
  5. 제 4항에 있어서,
    상기 인증 절차는,
    상기 SDP 컨트롤러 서버는 상기 SPA에 대한 유효성을 검증하고,
    상기 SPA에 대한 유효성이 검증된 것에 기반하여 상기 SDP 컨트롤러 서버가 상기 시작 호스트 단말에 대한 핀홀을 형성하고,
    상기 핀홀을 통해 상기 시작 호스트 단말의 상기 SDP 컨트롤러 서버에 대한 접속이 접속 허용 시간동안 허용되고,
    상기 접속 허용 시간 내에 상기 시작 호스트 단말과 상기 SDP 컨트롤러 서버 사이의 상호 TLS(transport Layer security)가 수행되고,
    상기 상호 TLS가 수행된 후 상기 시작 호스트 단말이 로그인 ID와 패스워드 및 디바이스 지문(device finger print)을 상기 SDP 컨트롤러 서버에게 전송하고,
    상기 로그인 ID, 상기 패스워드 및 상기 디바이스 지문에 대한 검증을 통해 상기 시작 호스트 단말의 신원 및 역할이 결정되고, 및
    상기 시작 호스트 단말의 신원 및 역할에 따라 상기 수락 호스트 서버에 대한 접근 권한이 부여되는 절차인,
    가상 망 분리 시스템.
KR1020230173656A 2023-12-04 2023-12-04 샌드박스 기반의 가상 망 분리 방법 및 시스템 KR102657010B1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020230173656A KR102657010B1 (ko) 2023-12-04 2023-12-04 샌드박스 기반의 가상 망 분리 방법 및 시스템

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020230173656A KR102657010B1 (ko) 2023-12-04 2023-12-04 샌드박스 기반의 가상 망 분리 방법 및 시스템

Publications (1)

Publication Number Publication Date
KR102657010B1 true KR102657010B1 (ko) 2024-04-12

Family

ID=90679852

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020230173656A KR102657010B1 (ko) 2023-12-04 2023-12-04 샌드박스 기반의 가상 망 분리 방법 및 시스템

Country Status (1)

Country Link
KR (1) KR102657010B1 (ko)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20180080227A (ko) * 2015-11-09 2018-07-11 퀄컴 인코포레이티드 동적 허니팟 시스템
KR102602607B1 (ko) * 2023-07-12 2023-11-16 주식회사 심시스글로벌 샌드박스 및 sdp에 기반한 가상 망 분리 방법 및 시스템

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20180080227A (ko) * 2015-11-09 2018-07-11 퀄컴 인코포레이티드 동적 허니팟 시스템
KR102602607B1 (ko) * 2023-07-12 2023-11-16 주식회사 심시스글로벌 샌드박스 및 sdp에 기반한 가상 망 분리 방법 및 시스템

Similar Documents

Publication Publication Date Title
US11641361B2 (en) Dynamic access control to network resources using federated full domain logon
US10659434B1 (en) Application whitelist using a controlled node flow
US20240121211A1 (en) Systems and methods for continuous fingerprinting to detect session hijacking inside zero trust private networks
US10659462B1 (en) Secure data transmission using a controlled node flow
US9729514B2 (en) Method and system of a secure access gateway
US7703126B2 (en) Hierarchical trust based posture reporting and policy enforcement
US8281371B1 (en) Authentication and authorization in network layer two and network layer three
US20070192344A1 (en) Threats and countermeasures schema
US11792008B2 (en) Actively monitoring encrypted traffic by inspecting logs
JP2023524235A (ja) ＩｏＴデバイスの検出および識別
US20140189810A1 (en) Network security as a service using virtual secure channels
US20140281539A1 (en) Secure Mobile Framework With Operating System Integrity Checking
US20090328186A1 (en) Computer security system
US11405378B2 (en) Post-connection client certificate authentication
US10305914B1 (en) Secure transfer of secrets for computing devices to access network resources
US20190273731A1 (en) Securing Authentication Processes
US10812272B1 (en) Identifying computing processes on automation servers
US20220329585A1 (en) Utilizing endpoint security posture, identification, and remote attestation for restricting private application access
EP3149882A1 (en) Secure mobile framework with operating system integrity checking
KR102602607B1 (ko) 샌드박스 및 sdp에 기반한 가상 망 분리 방법 및 시스템
JP2023506004A (ja) ネットワーク・インフラストラクチャのためのプログラマブル・スイッチング・デバイス
KR102657010B1 (ko) 샌드박스 기반의 가상 망 분리 방법 및 시스템
US11177958B2 (en) Protection of authentication tokens
US10412097B1 (en) Method and system for providing distributed authentication
Foltz et al. Secure Endpoint Device Agent Architecture.

Legal Events

Date Code Title Description
E701 Decision to grant or registration of patent right
GRNT Written decision to grant