KR20020063314A - 데이터통신망의 보안시스템 및 그 방법 - Google Patents

데이터통신망의 보안시스템 및 그 방법 Download PDF

Info

Publication number
KR20020063314A
KR20020063314A KR1020010003860A KR20010003860A KR20020063314A KR 20020063314 A KR20020063314 A KR 20020063314A KR 1020010003860 A KR1020010003860 A KR 1020010003860A KR 20010003860 A KR20010003860 A KR 20010003860A KR 20020063314 A KR20020063314 A KR 20020063314A
Authority
KR
South Korea
Prior art keywords
contents
packet
hacking
virus
access control
Prior art date
Application number
KR1020010003860A
Other languages
English (en)
Inventor
이요섭
Original Assignee
이요섭
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 이요섭 filed Critical 이요섭
Priority to KR1020010003860A priority Critical patent/KR20020063314A/ko
Publication of KR20020063314A publication Critical patent/KR20020063314A/ko

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

본 발명은 데이터통신망에 포함되어 데이터통신을 실행하는 클라이언트측 및 서버측 컴퓨터단말에 패킷이 도달하기 전에 중간에서 패킷의 통과 여부를 결정하도록 설치되어 내부 및 외부적인 접속, 해킹, 바이러스를 하드웨어적으로 차단하기 위한 데이터통신망의 보안시스템 및 그 방법에 관한 것으로서,
클라이언트측 컴퓨터단말과 서버측 컴퓨터단말에 패킷이 도달하기 전에 접근하는 사용자의 등급에 따라 차등적인 시스템 권한을 부여해주는 다중 레벨 접근 제어 모듈을 포함하고, 클라이언트측 컴퓨터단말과 서버측 컴퓨터단말에 패킷이 도달하기 전에 패킷이 해킹인지의 여부를 결정해주는 해킹 차단 모듈, 또는/및 클라이언트측 컴퓨터단말과 서버측 컴퓨터단말에 패킷이 도달하기 전에 패킷이 바이러스인지의 여부를 결정해주는 바이러스 차단 모듈을 포함하여 구성됨으로써 실제 클라이언트측 및 서버측 컴퓨터단말에 패킷이 도달하기 전에 중간에서 패킷의 통과 여부를 결정함으로 클라이언트측 컴퓨터단말이나 서버측 컴퓨터단말이 외부로부터의 비정상적인 접속, 해킹 및 바이러스로부터 안전할 수 있도록 한다.

Description

테이터통신망의 보안시스템 및 그 방법{SYSTEM AND METHOD FOR SECURITY OF DATA NETWORK}
본 발명은 데이터통신망의 보안시스템 및 그 방법에 관한 것으로서, 보다 상세하게는 데이터통신망에 포함되어 데이터통신을 실행하는 클라이언트측 및 서버측 컴퓨터단말에 패킷이 도달하기 전에 중간에서 패킷의 통과 여부를 결정하도록 설치되어 내부 및 외부적인 접속, 해킹, 바이러스를 하드웨어적으로 차단하기 위한 데이터통신망의 보안시스템 및 그 방법에 관한 것이다.
방화벽(Firewall)이란 일반적으로 "외부로부터의 불법적인 접근이나 해커의 공격으로부터 내부의 네트웍을 효과적으로 방어해주는 장치"를 말한다. 보다 정확한 의미에서 본다면 "방화벽은 두개의 네트웍 사이에서 두 네트웍간에 이루어지는 접근에 대해 제어할 수 있는 기능을 지닌 소프트웨어 및 하드웨어"를 말한다. 이러한 방화벽은 외부의 공격이나 해킹으로부터 내부 네트웍의 자원 및 정보를 효과적으로 보호해주면서 또한, 내부 네트웍으로부터 외부 네트웍으로의 불필요한 접근을효과적으로 제어해 줄 수 있다.
이러한 방화벽의 일반적인 형태로는 애플리케이션 게이트웨이(Application Gateway)와 패킷 필터링(Packet Filtering) 방식이 있다. 애플리케이션 게이트웨이 방식은 애플리케이션층에 각각의 서비스, 예를들면 FTP, HTTP, TELNET 등에 대한 데몬을 띄워놓고 그 데몬에 의해 패킷을 인증해주는 방식을 말하는데, 패킷에 대한 강력한 인증 기능을 제공하지만 보안 기능이 서비스 데몬에 의해 종속 서비스 추가시 데몬 구입으로 인한 경제적 부담이 가중되고, 새로운 서비스에 대한 늦은 적응력으로 높은 효과를 거둔다고는 말할 수 없다.
또한, 방화벽의 일반적인 형태 중 하나인 패킷 필터링(Packet Filtering)은 통상적으로 라우터상에 설치하여, IP 주소(Address) 등과 같은 사용자가 정의한 내용에 만족하는 룰에 따라 패킷을 필터링하는 형태를 말하는데, 빠른 퍼포먼스와 방화벽의 범용성이 뛰어나고, 하나하나의 패킷에 대한 검사가 가능하다는 장점을 갖는다. 하지만, 필터링의 룰이 복잡하고, 커뮤니케이션에 대해 전후사정(Context)을 알지 못할 뿐만아니라 데이터통신망의 패킷이 라우터에 도착한 후에 이루어짐으로 이미 불법적인 사용자나 비정상적인 해킹 및 바이러스가 클라이언트측 컴퓨터단말 및 서버측 컴퓨터단말에 접속된 상태가 되어 외부의 공격이나 해킹으로부터 내부 네트웍의 자원 및 정보의 안전을 보장할 수 없다.
또한, 종래의 외부로부터 내부 네트웍의 자원 및 정보에 대한 접근을 제어하는 접근 제어 시스템은 수직적인 상,하식 보안등급을 사용함으로써 사용자에 대한 자원의 접속제어시 효율적인 보안과 융통성을 제공할 수 없을 뿐만아니라 다양한인증패턴을 제공할 수 없으며, 사용자가 상위 등급을 부여받은 경우에는 하위 등급의 자원에 접근이 가능하다는 문제점이 있었다.
본 발명은 상술한 종래의 문제점을 극복하기 위한 것으로서, 본 발명의 목적은 데이터통신망에 포함되어 데이터통신을 실행하는 클라이언트측 및 서버측 컴퓨터단말에 패킷이 도달하기 전에 중간에서 패킷의 통과 여부를 결정하도록 설치되어 내부 및 외부적인 접속, 해킹, 바이러스를 하드웨어적으로 차단하기 위한 데이터통신망의 보안시스템 및 그 방법을 제공하는데 있다.
또한, 본 발명의 다른 목적은 접근 등급을 수직단계가 아닌 수평단계로 설정하고, 시스템 자원에 따라 다양한 등급을 사용자가 원하는 형태로 설정하게 함으로써 다양한 수평적 보안등급에 따라 자원을 효율적으로 보호하기 위한 데이터통신망의 보안시스템 및 그 방법을 제공하는데 있다.
도 1은 본 발명에 따른 데이터통신망의 보안시스템의 구성도.
도 2는 본 발명에 따른 데이터통신망의 보안시스템의 하드웨어 구성도.
도 3은 본 발명에 이용되는 다중 레벨 접근 제어 데이터베이스에 관한 설명도.
도 4는 본 발명에 이용되는 해킹 정보 데이터베이스에 관한 설명도.
도 5는 본 발명에 이용되는 바이러스 정보 데이터베이스에 관한 설명도.
도 6은 다중 레벨 접근 제어 모듈에 의한 다중 레벨 접근 제어 방법의 흐름도.
도 7은 해킹 차단 모듈에 의한 해킹 차단 방법의 흐름도.
도 8은 바이러스 차단 모듈에 의한 바이러스 차단 방법의 흐름도.
도 9는 본 발명에 이용되는 데이터베이스에 인증패턴, 해킹패턴 및 바이러스 패턴을 설정하는 방법에 관한 설명도.
도 10은 본 발명에 따른 데이터통신망의 보안방법에서 인증패턴, 해킹패턴 및 바이러스 패턴의 설정방법과 차단방법에 관한 흐름도.
* 도면의 주요 부분에 대한 부호의 설명 *
101 : 패킷 102 : 다중 레벨 접근 제어 모듈
103 : 해킹 차단 모듈 104 : 바이러스 차단 모듈
105 : 다중 레벨 접근 제어 데이터베이스
106 : 해킹 정보 데이터베이스 107 : 바이러스 정보 데이터베이스
상기 본 발명의 목적을 달성하기 위한 기술적 사상으로써, 데이터통신망의 보안시스템은, 데이터 통신라인을 매개하여 다수의 클라이언트측 컴퓨터단말과 서버측 컴퓨터단말이 접속되어 데이터통신을 수행하는 데이터통신망에 있어서, 클라이언트측 컴퓨터단말과 서버측 컴퓨터단말에 패킷이 도달하기 전에 접근하는 사용자의 등급에 따라 차등적인 시스템 권한을 부여해주는 다중 레벨 접근 제어 모듈을 포함하고, 클라이언트측 컴퓨터단말과 서버측 컴퓨터단말에 패킷이 도달하기 전에 패킷이 해킹인지의 여부를 결정해주는 해킹 차단 모듈, 또는/및 클라이언트측 컴퓨터단말과 서버측 컴퓨터단말에 패킷이 도달하기 전에 패킷이 바이러스인지의 여부를 결정해주는 바이러스 차단 모듈을 포함하는 것을 특징으로 한다.
상기 본 발명의 목적을 달성하기 위한 다른 기술적 사상으로써, 데이터통신망의 보안방법은, 데이터 통신라인을 매개하여 다수의 클라이언트측 컴퓨터단말과 서버측 컴퓨터단말이 접속되어 데이터통신을 수행하는 데이터통신 방법에 있어서, 다중 레벨 접근 제어 모듈이 외부로부터 패킷을 입력받아 다중 레벨 접근 제어 데이터베이스에서 입력된 내용과 매칭되는 내용 및 인증패턴을 탐색하고, 매칭되는지를 확인하는 단계, 및 확인 결과, 입력된 내용이 다중 레벨 접근 제어 데이터베이스의 내용 및 인증패턴과 매칭되면 정상적인 접근으로 판정하고, 매칭되지 않으면 비정상적인 접근으로 판정하는 단계로 구성되는 것을 특징으로 한다.
이하, 본 발명의 실시예를 첨부한 도면을 참조하여 설명하기로 한다.
도 1은 본 발명에 따른 데이터통신망의 보안시스템의 구성도이다.
도 1을 참조하여 설명하면, 데이터통신망의 보안시스템은, 데이터 통신라인을 매개하여 다수의 클라이언트측 컴퓨터단말과 서버측 컴퓨터단말이 접속되어 데이터통신을 수행하는 데이터통신망에 있어서, 클라이언트측 컴퓨터단말과 서버측 컴퓨터단말에 패킷이 도달하기 전에 접근하는 사용자의 등급에 따라 차등적인 시스템 권한을 부여해주는 다중 레벨 접근 제어 모듈(102)을 포함하고, 클라이언트측 컴퓨터단말과 서버측 컴퓨터단말에 패킷이 도달하기 전에 패킷이 해킹인지의 여부를 결정해주는 해킹 차단 모듈(103), 또는/및 클라이언트측 컴퓨터단말과 서버측컴퓨터단말에 패킷이 도달하기 전에 패킷이 바이러스인지의 여부를 결정해주는 바이러스 차단 모듈(104)을 포함하여 구성된다.
이때, 다중 레벨 접근 제어 모듈(102)은 수평식 보안 등급으로 구성된 다중 레벨 접근 제어 데이터베이스(105)로부터 입력된 내용과 매칭되는 내용 및 인증패턴을 탐색하여 사용자의 시스템 접속을 제어하게 된다.
또한, 해킹 차단 모듈(103)은 해킹 정보 데이터베이스(106)로부터 입력된 내용과 매칭되는 내용을 탐색하여 비정상적인 접근 여부를 결정하게 되고, 바이러스 차단 모듈(104)은 바이러스 정보 데이터베이스(107)로부터 입력된 내용과 매칭되는 내용을 탐색하여 비정상적인 접근 여부를 결정하게 된다.
도 6 내지 도 8은 본 발명에 따른 데이터통신망의 보안방법의 흐름도이다. 이때, 도 6은 다중 레벨 접근 제어 방법의 흐름도이고, 도 7은 해킹 차단 방법의 흐름도이며, 도 8은 바이러스 차단 방법의 흐름도이다.
도 6 내지 도 8을 참조하여 설명하면, 데이터통신망의 보안방법은, 데이터 통신라인을 매개하여 다수의 클라이언트측 컴퓨터단말과 서버측 컴퓨터단말이 접속되어 데이터통신을 수행하는 데이터통신 방법에 있어서, 다중 레벨 접근 제어 모듈(102)이 외부로부터 패킷을 입력받아 다중 레벨 접근 제어 데이터베이스(105)에서 입력된 내용과 매칭되는 내용 및 인증패턴을 탐색하고, 매칭되는지를 확인하는 단계, 및 확인 결과, 입력된 내용이 다중 레벨 접근 제어 데이터베이스(105)의 내용 및 인증패턴과 매칭되면 정상적인 접근으로 판정하고, 매칭되지 않으면 비정상적인 접근으로 판정하는 단계로 구성된다.
또한, 상기 다중 레벨 접근 제어 모듈(102)에 의해 정상적인 접근으로 판정되면, 해킹 차단 모듈(103)이 외부로부터 패킷을 입력받아 해킹 정보 데이터베이스(106)에서 입력된 내용과 매칭되는 내용을 탐색하고, 매칭되는지를 확인하는 단계와, 확인 결과, 입력된 내용이 해킹 정보 데이터베이스(106)의 내용과 매칭되면 비정상적인 접근으로 판정하여 출발지 주소를 다중 접근 제어 데이터베이스(105)에 서비스 거부로 등록하는 단계; 또는/및 바이러스 차단 모듈(104)이 외부로부터 패킷을 입력받아 바이러스 정보 데이터베이스(107)에서 입력된 내용과 매칭되는 내용을 탐색하고, 매칭되는지를 확인하는 단계와, 확인 결과, 입력된 내용이 바이러스 정보 데이터베이스(107)의 내용과 매칭되면 비정상적인 접근으로 판정하는 단계를 포함하게 된다.
이때, 각각의 다중 레벨 접근 제어 모듈(102), 해킹 차단 모듈(103) 및 바이러스 차단 모듈(104)에 의해 외부로부터 입력된 패킷이 각각의 다중 레벨 접근 제어 데이터베이스(105), 해킹 차단 데이터베이스(106) 및 바이러스 차단 데이터베이스(107)의 내용과 매칭되는지를 확인하는 경우, 외부로부터 입력된 패킷에서 특정부분만의 비트(bit) 데이터를 각각의 데이터베이스(105,106,107)에 저장된 데이터와 비트(bit) 형태로 비교하게 된다.
상기와 같은 구성으로 이루어진 데이터통신망의 보안시스템 및 그 방법의 작용을 첨부된 도면을 참조하여 설명하면 다음과 같다.
도 2는 본 발명에 따른 데이터통신망의 보안시스템의 하드웨어 구성도이다. 또한, 도 3은 본 발명에 이용되는 다중 레벨 접근 제어 데이터베이스에 관한 설명도이고, 도 4는 본 발명에 이용되는 해킹 정보 데이터베이스에 관한 설명도이며, 도 5는 본 발명에 이용되는 바이러스 정보 데이터베이스에 관한 설명도이다.
우선, 본 발명에 의한 데이터통신망의 보안방법의 처리과정에 대한 이해를 돕기위해 본 방법을 설명하기에 앞서 도 1 및 도 2에 의한 데이터통신망의 보안시스템의 각 구성별 기능에 대해 설명하면 다음과 같다.
도 1에 도시된 바와같이, 다중 레벨 접근 제어 모듈(102)은 외부로부터 패킷(101)을 입력받아 다중 레벨 접근 제어 데이터베이스(105)에서 입력된 패킷의 내용과 매칭되는 내용 및 인증패턴을 탐색하게 된다.
이때, 다중 레벨 접근 제어 모듈(102)은 매칭되는 내용 및 인증패턴의 존재여부를 확인하고, 접속의 허용여부와 사용자의 신분을 확인하여 정상적인 접속인지를 판정하게 된다. 또한, IP 주소별 접속 허용/거부 설정기능, 주체/객체별 접속 허용/거부 설정기능, 인증패턴에 따른 접속 허용/거부 설정기능 및 인증패턴의 편집, 예를들면 추가, 수정, 삭제 등의 기능을 수행하게 된다.
그리고, 해킹 차단 모듈(103)은 외부로부터 패킷(101)을 입력받아 해킹 정보 데이터베이스(106)에서 입력된 패킷의 내용과 매칭되는 내용을 탐색하게 된다. 이때, 해킹 차단 모듈(103)은 매칭되는 내용의 존재여부를 확인하여 해킹패턴의 탐지시 접속 거부 설정기능, 출발지 주소를 다중 레벨 접근 제어 데이터베이스(105)에 서비스 거부로 등록하는 기능 및 해킹 정보의 편집, 예를들면 추가, 수정, 삭제 등의 기능을 수행하게 된다.
또한, 바이러스 차단 모듈(104)은 외부로부터 패킷(101)을 입력받아 바이러스 정보 데이터베이스(107)에서 입력된 패킷의 내용과 매칭되는 내용을 탐색하게 된다. 이때, 바이러스 차단 모듈(104)은 매칭되는 내용의 존재여부를 확인하여 바이러스 패턴 탐지시 접속 거부 설정기능, 바이러스 정보의 편집, 예를들면 추가, 수정, 삭제 등의 기능을 수행하게 된다.
한편, 각각의 다중 레벨 접근 제어 데이터베이스(105), 해킹 정보 데이터베이스(106) 및 바이러스 정보 데이터베이스(107)에 저장된 내용, 인증패턴, 해킹패턴 및 바이러스 패턴은 도 9에 도시된 바와같이 사용자 단말기로부터 입력받아 비트(bit) 레벨의 형태로 변환하여 저장하게 된다. 이때, 도 9는 본 발명에 이용되는 데이터베이스에 인증패턴, 해킹패턴 및 바이러스 패턴을 설정하는 방법에 관한 설명도이고, 도 10은 본 발명에 따른 데이터통신망의 보안방법에서 인증패턴, 해킹패턴 및 바이러스 패턴의 설정방법과 차단방법에 관한 흐름도이다.
도 9 및 도 10을 참조하여 설명하면, 각각의 다중 레벨 접근 제어 모듈(102), 해킹 차단 모듈(103) 및 바이러스 차단 모듈(104)은 외부로부터 입력된 패킷(101)에서 특정부분만의 비트(bit) 데이터를 데이터베이스(105,106,107)에서 비트(bit) 레벨 형태로 저장된 인증패턴, 해킹패턴 및 바이러스 패턴 등의 데이터와 매칭되는지의 여부를 비트(bit) 형태로 비교하게 된다. 그리고, 비교결과, 비트(bit) 레벨로 매칭되는 내용이 존재하는 경우 비정상적인 접근으로 판정하고, 비트 레벨로 매칭되는 내용이 존재하지 않는 경우 정상적인 접근으로 판정하게 된다.
도 2를 참조하여 설명하면, 데이터통신망 보안장치는 RJ45(201), LIU(LineInterface Unit)(202), 패킷 인코더/디코더(Packet Decoder/Encoder)(203), 마이크로프로세서(Microprocessor)(204), 플래시 메모리/EEPROM(205), 전원 공급장치(Power Supply)(206) 및 시그널 스위칭 로직(Signal Switching Logic)(207)로 구비된다.
이때, RJ45(201)는 통신라인을 물리적으로 연결해주는 표준 스펙이고, LIU(202)는 RJ45를 통해 들어오고 나가는 신호를 처리하게 된다. 또한, 패킷 인코더/디코더(203)는 패킷을 인코딩/디코딩하는 기능을 수행하고, 플래시 메모리/EEPROM(205)은 다중 레벨 접근 제어 데이터베이스(105), 해킹 정보 데이터베이스(106) 및 바이러스 정보 데이터베이스(107)의 저장기능을 수행하게 된다. 이때, 각각의 데이터베이스(105,106,107)의 내용, 인증패턴, 해킹패턴 및 바이러스 패턴 등은 사용자 단말기로부터 사용자가 원하는 형태로 입력되는데, 이때의 내용 및 인증패턴 등은 비트(bit) 레벨 형태로 변환되어 저장됨으로 플래시 메모리/EEPROM(205)의 크기가 클 필요는 없다.
또한, 시그널 스위칭 로직(207)은 패킷의 접속 여부에 따라 패킷의 접속을 허용하거나 거부하는 명령을 패킷 인코더/디코더(203)에게 전송하게 된다. 패킷 인코더/디코더(208)는 선택사양으로 단방향으로 패킷의 접속여부를 결정하는 경우에는 필요없고, 양방향으로 패킷의 접속여부를 결정하는 경우에만 필요한 구성요소이다.
도 6은 다중 레벨 접근 제어 모듈(102)의 기능에 따른 다중 레벨 접근 제어 방법의 흐름도이고, 도 7은 해킹 차단 모듈(103)의 기능에 따른 해킹 차단 방법의흐름도이며, 도 8은 바이러스 차단 모듈(104)의 기능에 따른 바이러스 차단 방법의 흐름도이다.
도 6을 참조하여 설명하면, 데이터 통신라인을 매개하여 다수의 클라이언트측 컴퓨터단말과 서버측 컴퓨터단말이 접속되어 데이터통신을 수행하는 과정에서, 다중 레벨 접근 제어 모듈(102)이 외부사용자로부터 패킷(101)을 입력받게 된다(S100).
이때, 입력된 패킷(101)에는 외부사용자의 등급 ID, 출발지 주소, 목적지 주소, 주체, 객체, 서비스, 인증패턴, 인증자료 등에 대한 정보가 존재하기 때문에 도 3에 도시된 바와같이 수평식 보안 등급에 따른 사용자의 등급 ID, 출발지 주소, 목적지 주소, 주체, 객체, 서비스 항목, 허용/거부 여부, 인증패턴, 인증자료 등이 저장된 다중 레벨 접근 제어 데이터베이스(105)에서 입력된 내용과 매칭되는 내용을 탐색하게 된다(S110).
입력된 패킷(101)의 내용과 다중 레벨 접근 제어 데이터베이스(105)의 항목을 비교하여 다중 레벨 접근 제어 데이터베이스에 패킷의 내용들이 존재하면(S120), 다중 레벨 접근 제어 데이터베이스(105)의 허용/거부 항목을 조사하여 접속의 허용/거부 여부를 결정하게 된다(S130).
다음, 접속의 허용/거부 여부를 판단하는 과정에서 허용인 경우, 다중 레벨 접근 제어 데이터베이스(105)에 인증패턴이 존재하는가를 확인하고(S140), 인증패턴이 존재하는 경우, 설정된 인증패턴에 따라 인증자료들을 비교하여(S150), 인증자료가 동일한 경우에는 정상적인 접속으로 판정하게 된다(S160),
한편, 다중 레벨 접근 제어 데이터베이스(105)에 입력된 패킷(101)의 내용과 매칭되는 내용 및 인증패턴이 존재하지 않거나 접속이 거부인 경우, 인증자료가 동일하지 않은 경우에는 비정상적인 접속으로 판정하여(S170), 사용자의 시스템 접근을 차단하게 된다.
도 7을 참조하여 설명하면, 상기 다중 레벨 접근 제어 모듈(102)에 의해 정상적인 접근으로 판정되면(S160), 해킹 차단 모듈(103)은 외부사용자로부터 패킷(101)을 입력받게 된다(S200).
이때, 입력된 패킷(101)에는 해킹 ID, 해킹패턴 등에 대한 정보가 존재하기 때문에 도 4에 도시된 바와같이 해킹 ID, 해킹패턴 및 횟수 등이 저장된 해킹 정보 데이터베이스(106)에서 입력된 내용과 매칭되는 내용을 탐색하게 된다(S210).
입력된 패킷(101)의 내용과 해킹 정보 데이터베이스(106)의 항목을 비교하여 해킹 정보 데이터베이스에 패킷의 내용과 매칭되는 내용이 존재하면(S220), 패킷의 수가 해킹 정보 데이터베이스(106)의 설정된 횟수보다 큰가를 판단하게 된다(S230). 이때, 패킷의 수가 설정된 횟수보다 큰 경우, 비정상적인 접근으로 판정하고(S240), 입력된 패킷(101)의 출발지 주소를 다중 레벨 접근 제어 데이터베이스(105)의 서비스 거부에 등록하여(S250), 해당 사용자의 다음번 접속을 사전에 차단할 수 있도록 한다.
한편, 입력된 패킷(101)의 내용이 해킹 정보 데이터베이스(106)에 존재하지 않거나 패킷의 수가 설정된 횟수보다 작을 경우 정상적인 접근으로 판정하게 된다(S260).
한편, 도 8을 참조하여 설명하면, 상기 다중 레벨 접근 제어 모듈(102)에 의해 정상적인 접근으로 판정되면(S160), 바이러스 차단 모듈(104)은 외부사용자로부터 패킷(101)을 입력받게 된다(S300).
이때, 입력된 패킷(101)에는 바이러스 ID, 바이러스패턴 등에 대한 정보가 존재하기 때문에 도 5에 도시된 바와같이 바이러스 ID, 바이러스패턴 등이 저장된 바이러스 정보 데이터베이스(107)에서 입력된 내용과 매칭되는 내용을 탐색하게 된다(S310).
입력된 패킷(101)의 내용과 바이러스 정보 데이터베이스(107)의 항목을 비교하여 바이러스 정보 데이터베이스에 패킷의 내용과 매칭되는 내용이 존재하면(S320), 비정상적인 접근으로 판정하고(S330), 입력된 패킷(101)의 내용이 바이러스 정보 데이터베이스(107)에 존재하지 않을 경우 정상적인 접근으로 판정하게 된다(S340).
이때, 다중 레벨 접근 제어 모듈(102), 해킹 차단 모듈(103) 및 바이러스 차단 모듈(104)은 외부로부터 입력된 패킷(101)의 내용중 특정부분만의 비트(bit) 데이터를 데이터베이스(105,106,107)와 매칭되는지의 여부를 비트 형태로 비교하게 된다. 따라서, 성능이 우수한 프로세서가 필요치 않고, 소프트웨어(Software)에 의한 보안시스템에 비해 처리시간을 단축할 수 있게 된다.
앞에 서술한 해킹 차단 모듈(103) 및 바이러스 차단 모듈(104)에 의한 해킹 차단 및 바이러스 차단 방법은 다중 레벨 접근 제어 모듈(102)에 의한 다중 레벨 접근 제어가 이루어진 다음 각각 추가되거나 함께 추가되어 수행될 수 있다.
이상에서 설명한 것은 본 발명에 따른 데이터통신망의 보안시스템 및 그 방법을 실시하기 위한 하나의 실시예에 불과한 것으로서, 본 발명은 상기한 실시예에 한정되지 않고, 이하의 특허청구범위에서 청구하는 바와같이 본 발명의 요지를 벗어남이 없이 당해 발명이 속하는 분야에서 통상의 지식을 가진 자라면 누구든지 다양한 변경 실시가 가능한 범위까지 본 발명의 기술적 정신이 있다고 할 것이다.
상술한 바와같이, 본 발명에 따른 데이터통신망의 보안시스템 및 그 방법은 데이터통신망에 포함되어 데이터통신을 실행하는 클라이언트측 및 서버측 컴퓨터단말에 패킷이 도달하기 전에 중간에서 패킷의 통과 여부를 결정하도록 설치되어 내부 및 외부적인 접속, 해킹, 바이러스를 하드웨어적으로 차단함으로써 클라이언트측 컴퓨터단말 및 서버측 컴퓨터단말이 내부 및 외부적인 접속, 해킹, 바이러스로부터 안전할 수 있도록 하고, 소프트웨어에 의한 보안시스템에 비해 처리시간을 단축할 수 있는 효과가 있다.
또한, 수평식 보안 등급의 제공으로 기존의 상하식 보안등급에 비해 시스템의 접속 제어시 효율적인 보안과 융통성을 확보할 수 있으며, 다양한 인증패턴의 제공으로 외부의 사용자에 대한 효율적인 인증이 가능할 뿐만아니라, 사용자 컴퓨터에서 원하는 형태로 인증패턴, 해킹패턴 및 바이러스 패턴을 입력하여 설정하기 때문에 융통성있게 보안 기능을 수행할 수 있다.

Claims (7)

  1. 데이터 통신라인을 매개하여 다수의 클라이언트측 컴퓨터단말과 서버측 컴퓨터단말이 접속되어 데이터통신을 수행하는 데이터통신망에 있어서,
    상기 클라이언트측 컴퓨터단말과 서버측 컴퓨터단말에 패킷이 도달하기 전에 접근하는 사용자의 등급에 따라 차등적인 시스템 권한을 부여해주는 다중 레벨 접근 제어 모듈(102)을 포함하고,
    상기 클라이언트측 컴퓨터단말과 서버측 컴퓨터단말에 패킷이 도달하기 전에 패킷이 해킹인지의 여부를 결정해주는 해킹 차단 모듈(103); 또는/및 상기 클라이언트측 컴퓨터단말과 서버측 컴퓨터단말에 패킷이 도달하기 전에 패킷이 바이러스인지의 여부를 결정해주는 바이러스 차단 모듈(104)을 포함하는 것을 특징으로 하는 테이터통신망의 보안시스템.
  2. 제 1항에 있어서, 상기 다중 레벨 접근 제어 모듈(102)은 수평식 보안 등급으로 구성된 다중 레벨 접근 제어 데이터베이스(105)로부터 입력된 내용과 매칭되는 내용 및 인증패턴을 탐색하여 사용자의 시스템 접속을 제어하는 것을 특징으로 하는 테이터통신망의 보안시스템.
  3. 제 1항에 있어서, 상기 해킹 차단 모듈(103)은 해킹 정보 데이터베이스(106)로부터 입력된 내용과 매칭되는 내용을 탐색하여 비정상적인 접근 여부를 결정하는것을 특징으로 하는 데이터통신망의 보안시스템.
  4. 제 1항에 있어서, 상기 바이러스 차단 모듈(104)은 바이러스 정보 데이터베이스(107)로부터 입력된 내용과 매칭되는 내용을 탐색하여 비정상적인 접근 여부를 결정하는 것을 특징으로 하는 데이터통신망의 보안시스템.
  5. 데이터 통신라인을 매개하여 다수의 클라이언트측 컴퓨터단말과 서버측 컴퓨터단말이 접속되어 데이터통신을 수행하는 데이터통신 방법에 있어서,
    다중 레벨 접근 제어 모듈(102)이 외부로부터 패킷을 입력받아 다중 레벨 접근 제어 데이터베이스(105)에서 입력된 내용과 매칭되는 내용 및 인증패턴을 탐색하고, 매칭되는지를 확인하는 단계; 및
    상기 확인 결과, 입력된 내용이 다중 레벨 접근 제어 데이터베이스(105)의 내용 및 인증패턴과 매칭되면 정상적인 접근으로 판정하고, 매칭되지 않으면 비정상적인 접근으로 판정하는 단계로 구성되는 것을 특징으로 하는 데이터통신망의 보안방법.
  6. 제 5항에 있어서, 상기 다중 레벨 접근 제어 모듈(102)에 의해 정상적인 접근으로 판정되면,
    해킹 차단 모듈(103)이 외부로부터 패킷을 입력받아 해킹 정보 데이터베이스(106)에서 입력된 내용과 매칭되는 내용을 탐색하고, 매칭되는지를 확인하는 단계와,
    상기 확인 결과, 입력된 내용이 해킹 정보 데이터베이스(106)의 내용과 매칭되면 비정상적인 접근으로 판정하여 출발지 주소를 다중 접근 제어 데이터베이스(105)에 서비스 거부로 등록하는 단계; 또는/및
    바이러스 차단 모듈(104)이 외부로부터 패킷을 입력받아 바이러스 정보 데이터베이스(107)에서 입력된 내용과 매칭되는 내용을 탐색하고, 매칭되는지를 확인하는 단계와,
    상기 확인 결과, 입력된 내용이 바이러스 정보 데이터베이스(107)의 내용과 매칭되면 비정상적인 접근으로 판정하는 단계를 포함하는 것을 특징으로 하는 데이터통신망의 보안방법.
  7. 제 5항 또는 제 6항에 있어서, 상기 각각의 모듈(102,103,104)에 의해 외부로부터 입력된 패킷이 각각의 데이터베이스(105,106,107)의 내용과 매칭되는지를 확인하는 단계는,
    상기 외부로부터 입력된 패킷에서 특정부분만의 비트(bit) 데이터를 각각의 데이터베이스(105,106,107)에 저장된 데이터와 비트(bit) 형태로 비교하는 것을 특징으로 하는 데이터통신망의 보안방법.
KR1020010003860A 2001-01-27 2001-01-27 데이터통신망의 보안시스템 및 그 방법 KR20020063314A (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020010003860A KR20020063314A (ko) 2001-01-27 2001-01-27 데이터통신망의 보안시스템 및 그 방법

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020010003860A KR20020063314A (ko) 2001-01-27 2001-01-27 데이터통신망의 보안시스템 및 그 방법

Publications (1)

Publication Number Publication Date
KR20020063314A true KR20020063314A (ko) 2002-08-03

Family

ID=27692531

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020010003860A KR20020063314A (ko) 2001-01-27 2001-01-27 데이터통신망의 보안시스템 및 그 방법

Country Status (1)

Country Link
KR (1) KR20020063314A (ko)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20030009887A (ko) * 2001-07-24 2003-02-05 주식회사 케이티 서비스거부 공격 차단시스템 및 방법
KR100427179B1 (ko) * 2001-11-22 2004-04-14 한국전자통신연구원 패킷 필터링을 이용한 아이에스피 보더 라우터의 공격자차단 방법 및 그 시스템
KR100434205B1 (ko) * 2001-07-26 2004-06-04 펜타시큐리티시스템 주식회사 다단계 침입 탐지 엔진
KR100441409B1 (ko) * 2001-11-12 2004-07-23 주식회사 안철수연구소 바이러스 탐지 엔진을 갖는 침입 탐지 시스템
KR100624483B1 (ko) * 2004-10-06 2006-09-18 삼성전자주식회사 네트워크에서의 차등 침입탐지 장치 및 방법
US8245299B2 (en) 2005-12-30 2012-08-14 Samsung Electronics Co., Ltd. Method of and apparatus for monitoring code to detect intrusion code

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20030009887A (ko) * 2001-07-24 2003-02-05 주식회사 케이티 서비스거부 공격 차단시스템 및 방법
KR100434205B1 (ko) * 2001-07-26 2004-06-04 펜타시큐리티시스템 주식회사 다단계 침입 탐지 엔진
KR100441409B1 (ko) * 2001-11-12 2004-07-23 주식회사 안철수연구소 바이러스 탐지 엔진을 갖는 침입 탐지 시스템
KR100427179B1 (ko) * 2001-11-22 2004-04-14 한국전자통신연구원 패킷 필터링을 이용한 아이에스피 보더 라우터의 공격자차단 방법 및 그 시스템
KR100624483B1 (ko) * 2004-10-06 2006-09-18 삼성전자주식회사 네트워크에서의 차등 침입탐지 장치 및 방법
US8245299B2 (en) 2005-12-30 2012-08-14 Samsung Electronics Co., Ltd. Method of and apparatus for monitoring code to detect intrusion code

Similar Documents

Publication Publication Date Title
US10110585B2 (en) Multi-party authentication in a zero-trust distributed system
US7343488B2 (en) Method and apparatus for providing discrete data storage security
JP4438023B2 (ja) ネットワークユーザセッションのためのグラニュラ認証
US20050138417A1 (en) Trusted network access control system and method
US20120023593A1 (en) System and method for filtering internet content & blocking undesired websites by secure network appliance
US20070294759A1 (en) Wireless network control and protection system
US20190097972A1 (en) Document isolation
US20020110123A1 (en) Network connection control apparatus and method
US20140223178A1 (en) Securing Communication over a Network Using User Identity Verification
US20090199286A1 (en) Method and appartus for network security using a router based authentication system
CN114553540B (zh) 基于零信任的物联网系统、数据访问方法、装置及介质
KR20080021677A (ko) 데이터 프로세싱 시스템
CN104185181A (zh) 一种基于iptables的WiFi用户接入控制方法
KR100723864B1 (ko) 패킷에 포함된 정보를 이용하여 네트워크 공격을 차단하는방법 및 그 장치
CN106899561B (zh) 一种基于acl的tnc权限控制方法和系统
CN108924122B (zh) 一种网络敌我识别方法及系统
CN101651697A (zh) 一种网络访问权限的管理方法和设备
KR20020063314A (ko) 데이터통신망의 보안시스템 및 그 방법
Murthy et al. Firewalls for security in wireless networks
KR20020080142A (ko) 인터넷 망을 통한 접근 통제 방법 및 장치
RU2684575C1 (ru) Способ управления потоками данных распределенной информационной системы при ddos атаках
Venugopal et al. Use of an SDN switch in support of NIST ICS security recommendations and least privilege networking
KR20050075308A (ko) 방화벽용 및 관련 제품을 위한 보안 시스템 및 방법
KR20030080412A (ko) 외부네트워크 및 내부네트워크로부터의 침입방지방법
RU2163745C2 (ru) Система защиты виртуального канала корпоративной сети с аутентифицирующим маршрутизатором, построенной на каналах и средствах коммутации сети связи общего пользования

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E601 Decision to refuse application