KR20040105600A

KR20040105600A - 외부 네트워크 장치들의 자동 감지 및 구성

Info

Publication number: KR20040105600A
Application number: KR1020040041274A
Authority: KR
Inventors: 더글라스키이쓰 부루바처; 후세인고크멘 고크
Original assignee: 마이크로소프트 코포레이션
Priority date: 2003-06-06
Filing date: 2004-06-07
Publication date: 2004-12-16
Also published as: CN1574763B; US7418486B2; BRPI0401852B1; AU2004202139B2; HK1071483A1; EP1484860A1; ZA200403133B; TWI338485B; BRPI0401852A; DE602004009636D1; CA2464787A1; MY135574A; RU2004117069A; RU2340939C2; AU2004202139A1; DE602004009636T2; CN1574763A; JP2004362594A; TW200509632A; KR101120783B1

Abstract

보안 네트워크 토폴로지들 (network topologies)을 감지하고 구성하는 시스템과 방법은 기존 네트워킹 환경들에 응답하고 적절한 하드웨어 또는 소프트웨어 솔루션의 동적 감지 및 구성을 가능하게 한다. 본 발명의 실시예에 있어 브로드캐스트 메카니즘 (broadcast mechanism)이 하드웨어 장치 감지를 제공하는 것에 사용되며, 애플리케이션 프로그래밍 인터페이스는 소프트웨어 방화벽의 감지를 제공한다. 다른 실시예에 있어서, 폴링 (polling) 기술은, 게이트웨이 장치 설정이 보호된 네트워크에 위험을 가하게 되는 변경을 하지 않도록 하기 위해 사용된다.

Description

외부 네트워크 장치들의 자동 감지 및 구성 {AUTOMATIC DISCOVERY AND CONFIGURATION OF EXTERNAL NETWORK DEVICES}

본 발명은 일반적으로 네트워크 보안 장치들을 자동으로 감지하고 구성하기 위한 시스템과 방법에 관한 것으로서, 특히 네트워크에 연결된 게이트웨이 서버가 이용할 수 있는 하드웨어 및 소프트웨어 방화벽 장치들을 감지하는 기능을 동적으로 결합해서 네트워크를 보호할 수 있도록 외부 네트워크 게이트웨이 장치나 서버 소프트웨어를 자동적으로 구성하는 시스템 및 방법에 관한 것이다.

컴퓨터 네트워크가 가정, 기업, 기관, 정부 및 기타 많은 다양한 상황에서 일반화됨에 따라 외부로부터의 침입이나 공격에 대비해 로컬 네트워크를 보호할 필요성이 커져가고 있다. 그 예로 로컬 네트워크에는 보통 인터넷과 같은 광대역 네트워크(WAN)에 접속하는 로컬 네트워크상의 클라이언트가 통과하는 게이트웨이나 기타 장치가 있는 것을 들 수 있다. 이러한 방식은 여러 가지로 이점이 많다. 기업에 대한 예를 들어보면, 대기업에서는 직원들이 업무로 인터넷에 접속하도록 했으면서도 접속을 제어하거나 감독하고자 한다. 게이트웨이는 제어나 감시와 같은 기능을 수행할 수 있는 장치이다. 또한, 로컬 네트워크에 있는 모든 컴퓨터가 단 한 개 또는 소수의 지점(portals)을 통해 인터넷에 노출되는 경우, 네트워크 관리자는 인터넷으로부터 로컬 영역 네트워크(LAN)에 침입하는 위협 및 수상한 행동을 쉽게 감독할 수 있다.

점차 인터넷 게이트웨이 장치(IGDs)와 같은 하드웨어 게이트웨이 장치들이 게이트웨이로서 작동할 수 있도록 서버들 상에 때때로 설치되는 소프트웨어 게이트웨이보다 선호되고 있다. 하드웨어 장치를 이러한 용도로 선택하는 최근의 추세에는 여러 이유가 있지만, 하드웨어 게이트웨이 장치의 가장 중요한 이점은 그 취득 가격과 설치 비용에 있다.

그럼에도 불구하고 하드웨어 게이트웨이나 출입이 가능한 기타 하드웨어 지점은 이들이 먼저 식별되고 적절히 구성되지 않는 한 로컬 네트워크를 보호하거나 감독하는 역할을 제대로 수행하지 못한다. 특히, 네트워크 환경은 구조 및 레이아웃 측면에서 크게 다를 수 있으며, 의심스러운 것으로 고려될 수 있는 통신의 유형도 각 네트워크 환경에 따라 달라진다. 이러한 이유로 하드웨어 네트워크 게이트웨이와 로컬 네트워크에 접속할 수 있는 다른 하드웨어 지점들은 그 서비스가 시작되기 이전 설치 과정에서 각종 구성 및 설정이 이루어진다. 현재는 하드웨어 게이트웨이의 감지 및 구성뿐만 아니라 장치의 재구성까지도 수동으로 작업 중에 있다. 그 예로 네트워크 관리자가 새로 설치된 장치를 알아채면 로컬 네트워크에서 구성 응용 프로그램을 통해 구체적으로 그 장치와 통신하고 구성하도록 할 것이다. 이렇게 관리자는 설치된 하드웨어 게이트웨이를 알아채는 것뿐만 아니라 각 장치에 필요한 구성과 구성에 관한 지식이 있어야 한다.

본 발명의 실시예에 있어서, 구성 시스템과 방법은 소프트웨어 또는 하드웨어 방화벽 솔루션들 사이의 동적인 선택 및, 어느 한 솔루션의 자동 구성을 매끄럽게 이루어지게 한다. 특히, UPnP 아키텍처가 외부 장치 감지를 제공하기 위해 도입되며, 공개 애플리케이션 프로그래밍 인터페이스(APIs)가 소프트웨어 솔루션의 경우에 사용된다. 두 가지 모두 동일한 두 기술(UPnP나 공개 APIs)을 통해 구성 정보의 교환이 가능하다. 구성 시스템과 방법은 인터넷 게이트웨이 장치의 단순한 감지와 구성을 허용한다. 특히, 범용 플러그 앤 플레이(UPNP) 아키텍쳐는 외부 장치들의 감지와 그런 장치들에 대한 구성 정보 교환을 위해 사용된다. 또한, 동적 호스트 구성 프로토콜(DHCP)이 장치에 구축되어 있다면 이 프로토콜은 본 발명의 실시예에서 구성하는 동안 사용이 가능하다.

네트워크를 보호하기 위한 서비스의 선택은 UPnP를 이용해서 네트워크에 연결된 다른 장치도 감지할 수 있도록 로컬 장치 그 이상을 검색하는 것과 API를 이용해서 호스트 장비에 사용 가능한 소프트웨어 기능을 감지하는 것을 포함한다. 본 발명의 실시예에 있어 브로드캐스트 메카니즘이 장치 감지를 용이하게 하는 데에 사용되며, API는 대응하는 소프트웨어 기능의 감지를 수행하는데 사용된다. 본 발명의 실시예에서 감지 및 구성 과정은 3 단계로 구성된다. 첫 번째는 장치와 소프트웨어가 하드웨어 솔루션에 대해 UPnP를 사용하고 소프트웨어 솔루션에 대해 공개 API를 사용하여 감지된다. 두 번째는 하드웨어의 경우 감지된 다른 장치로 장치의 식별자, 성능 등을 보내는 반면 소프트웨어의 경우 소프트웨어 방화벽의 성능과 현재 구성을 결정하기 위해 추가적인 API를 호출한다. 마지막으로 하드웨어나 소프트웨어 솔루션이 구성된다. 하드웨어의 경우 전송된 장치 정보를 장치 구성에 사용하는 반면 소프트웨어의 경우 수집된 구성 정보를 기반으로 소프트웨어를 구성하기위해 API를 사용한다. 본 발명의 실시예에 있어 장치나 소프트웨어의 구성이 변경되지 않도록 하기 위해서, 그리고 변경되더라도 이전 상태로 즉시 되돌릴 수 있도록 하기 위해 폴링 메카니즘을 사용한다.

본 발명의 부가적인 특징 및 장점은 첨부 도면을 참조하여 도식화된 도면의 구체적인 설명에 따라 명확해질 것이다.

도 1은 본 발명의 실시예를 구현하기 위해 사용할 수 있는 컴퓨팅 장치의 개략도이다.

도 2는 본 발명의 실시예가 구현될 수 있는 컴퓨터 네트워크 환경의 개략도이다.

도 3a는 본 발명의 한 실시예에서 로컬 네트워크를 보호하기 위한 단계들을 나타내는 흐름도이다.

도 3b는 본 발명의 한 실시예에서 로컬 네트워크를 보호하기 위한 추가 단계들을 나타내는 흐름도이다.

도 4는 본 발명의 한 실시예에 따라 장치 구성 응용 프로그램과 그 장치의 인터페이스의 개략도이다.

<주요 도면 부호 설명>

203: 방화벽 내 컴퓨터

207: 하드웨어 방화벽 장치

208: 게이트웨이 컴퓨터

209: WAN

211: 원격 컴퓨터

도면을 보면 유사 참조 번호는 유사한 요소들을 지칭하며 본 발명은 적합한 컴퓨팅 환경에서 구현된 것을 나타내었다.

필수 사항이 아니지만 본 발명은 컴퓨터에서 실행되는 프로그램 모듈과 같은 컴퓨터 실행 명령어와 관련해서 설명될 것이다. 보통, 프로그램 모듈은 특정 작업을 수행하거나 특정의 추상적인 데이터 유형을 구축하는 루틴, 프로그램, 객체, 컴포넌트, 데이터 구조 등을 포함한다. 게다가, 본 기술 분야의 숙련자라면 본 발명이 핸드 헬드 장치, 멀티 프로세서 시스템, 마이크로 프로세서 기반 또는 프로그램 가능한 소비자 전자 제품, 네트워크 PC, 소형 컴퓨터, 메인 프레임 컴퓨터 등을 포함한 기타 컴퓨터 시스템 구성에서 실시될 수 있다는 것을 이해할 수 있을 것이다. 본 발명은 통신 네트워크를 통해 연결된 원격 프로세싱 장치가 작업을 수행하는 분산 컴퓨팅 환경에서 실시될 수 있다. 분산 컴퓨팅 환경에서 프로그램 모듈은 로컬 및 원격 메모리 저장 장치 모두에 위치할 수 있다.

본 설명은 본 발명을 구현하기 위한 예시적인 시스템에서 사용할 수 있는 범용 컴퓨팅장치에 대한 설명으로 시작하고, 그 다음 도면을 참조하여 더욱 구체적으로 설명할 것이다. 도 1을 보면, 범용 컴퓨팅 장치를 프로세싱 유니트(21), 시스템 메모리(22), 및 상기 시스템 메모리를 포함하는 여러 시스템 컴포넌트들을 상기 프로세싱 유니트(21)에 결합하는 시스템 버스(23)를 포함하는 통상의 컴퓨터(20)의 형태로 도시하고 있다. 시스템 버스(23)는 메모리 버스나 메모리 컨트롤러, 주변 버스, 및 다양한 버스 아키텍처를 사용하는 로컬 버스를 포함하는 몇 가지 버스 구조 유형 중 하나일 수 있다. 시스템 메모리는 ROM (Read Only Memory)(24)와 RAM(Randum Access Memory)(25)를 포함한다. 기본 입/출력 시스템(BIOS)(26)은 시스템을 부팅할 때 컴퓨터(20)내의 구성 요소간 정보를 전달하기 위한 기본 루틴을 포함하며 ROM(24)에 저장되어 있다. 컴퓨터(20)는 하드디스크(60)에 읽기 및 쓰기 작업을 위한 하드디스크 드라이브(27), 이동식 자기 디스크(29)에 읽기 및 쓰기 작업을 위한 자기 디스크 드라이브(28), CDROM 이나 기타 광학 매체와 같은 이동식 광학 디스크(31)에 읽기 및 쓰기 작업을 위한 광학 디스크 드라이브(30)를 추가로 포함한다.

하드디스크 드라이브(27), 자기 디스크 드라이브(28), 광학 디스크 드라이브(30)는 각각 하드디스크 드라이브 인터페이스(32), 자기 디스크 드라이브 인터페이스(33), 광학 디스크 드라이브 인터페이스(34)로 시스템 버스에 연결되어 있다. 이러한 드라이브와 드라이브에 사용되는 컴퓨터 판독 가능 매체는 컴퓨터 명령어, 데이터 구조, 프로그램 모듈, 컴퓨터(20)에서 사용되는 기타 다른 데이터의 비휘발성 저장소를 제공한다. 본 명세서에서 설명한 예시적 시스템 환경이 하드디스크(60), 이동식 자기 디스크(29), 이동식 광학 디스크(31)를 사용하고는 있지만자기 카세트, 플래시 메모리 카드, DVD(Digital Video Disks), 버놀리 카트리지(Bernoulli catridges), RAM, ROM 저장소 영역 네트워크 등과 같이 컴퓨터에서 액세스할 수 있는 데이터를 저장할 수 있는 다양한 매체 또한 이러한 환경에 사용할 수 있다.

운영체제(35), 하나 이상의 응용 프로그램(36), 기타 프로그램 모듈(37), 프로그램 데이터(38)를 포함한 다수의 프로그램 모듈이 하드디스크(60), 자기 디스크(29), 광학 디스크(31), ROM(24)이나 RAM(25)에 저장된다. 사용자는 키보드(40), 포인팅 장치(42)와 같은 입력 장치를 이용하여 컴퓨터(20)로 명령어와 정보를 입력한다. 기타 입력 장치(도시 안됨)로는 마이크, 조이스틱, 게임 패드, 새틀라이트 디시(Satellite dish), 스캐너 등이 있다. 이러한 입력 장치들은 보통 시스템 버스에 결합된 직렬 포트 인터페이스(46)를 통해 프로세싱 유니트(21)에 연결되지만, 병렬 포트, 게임 포트, 범용 직렬 버스(USB) 또는 네트워크 인터페이스 카드와 같은 다른 인터페이스에 의해 연결할 수도 있다. 모니터(47)나 기타 다른 종류의 디스플레이 장치도 비디오 어댑터(48)와 같은 인터페이스를 통해 시스템 버스(23)에 연결된다. 많은 컴퓨터들이 모니터 이외에도 스피커와 프린터같이 도면에 없는 다른 주변 출력 장치들을 포함한다.

컴퓨터(20)는 바람직하게는 원격 컴퓨터(49)와 같은 하나 이상의 원격 컴퓨터에 대한 논리적 연결을 이용한 네트워크 환경에서 작동한다. 원격 컴퓨터(49)는 PC, 서버, 라우터, 네트워크 PC, 피어 장치나 기타 일반적인 네트워크 노드일 수 있으며 도 1에서는 메모리 저장 장치(50)만 표시되어 있다 해도 일반적으로는 컴퓨터(20)와 관련해서 앞에서 설명한 대부분의 구성 요소들을 포함한다. 본 발명의 실시예에 있어 원격 컴퓨터(49)는 UPNP 인에이블드(enabled) 인터넷 게이트웨이 장치(IGD)이고 본 기술 분야의 숙련자가 이해할 수 있는 해당 장치에 일반적으로 관련된 특징을 갖는다. 도 1에서 표현한 논리적 연결은 로컬 영역 네트워크(LAN)(51)와 광역 네트워크(WAN)(52)를 포함한다. 이러한 네트워킹 환경은 사무실, 기업 컴퓨터 네트워크, 인트라넷 및 인터넷 어디에나 존재한다.

LAN 네트워킹 환경에서 사용할 때 컴퓨터(20)는 네트워크 인터페이스나 어댑터(53)을 통해 로컬 네트워크(51)에 연결된다. WAN 네트워킹 환경에서 사용할 때 컴퓨터(20)는 보통 모뎀(54)이나 WAN(52)을 통해 통신을 설정할 수 있는 다른 수단을 포함한다. 내장형 또는 외장형일 수 있는 모뎀(54)은 직렬 포트 인터페이스(46)을 통해 시스템 버스(23)에 연결된다. 컴퓨터(20)에 대해 설명된 프로그램 모듈 또는 그 일부는 원격 메모리 저장 장치가 있다면 거기에 저장될 수도 있다. 도시된 네트워크 연결은 예시적인 것이며 컴퓨터들 간의 통신 링크를 설정하는 다른 수단이 사용될 수 있다는 것이 이해될 것이다.

다음 설명에서 본 발명은 달리 지시되지 않으면 한 대 이상의 컴퓨터에서 수행되는 작동 및 동작의 기호 표현을 참조하여 설명될 것이다. 그렇게 해서, 컴퓨터 실행되는 것으로 때때로 참조되는 그런 작동들 및 동작들은 구조화된 형태의 데이타를 표현하는 전기 신호들이 컴퓨터 프로세싱 유니트에 의해 조작되는 것을 포함한다. 이 조작은 데이타를 변환하거나, 혹은, 이 기술의 숙련자들에 의해 잘 이해되는 방식으로 컴퓨터 동작을 재구성하거나 아니면 변화시키는, 컴퓨터 메모리시스템의 위치들에서 그것을 유지 관리한다. 데이타가 유지 관리되는 데이타 구조들은 데이타의 형식에 의해 정의되는 특정 특성들을 갖는 메모리의 물리적 위치들이다. 그러나, 본 발명이 앞의 문맥에서 설명되는 가운데, 이 기술의 숙련자들이라면 본 명세서에서 설명된 다수의 작동들 및 동작들이 하드웨어에서 또한 구현될 수 있음을 이해할 것처럼 제한적일 의도는 아니다.

도 2를 보면, 본 발명의 실시예가 구현될 수 있는 예시적 운영 환경(201)이 도시되어 있다. 특히, IGD나 기타 하드웨어 게이트웨이(207) 그리고/또는 게이트웨이 컴퓨터(208)에서 사용 가능한 방화벽 소프트웨어는 광역 네트워크(WAN)(209)를 통해 네트워크(205)에 액세스할 수 있는 원격 컴퓨터(211)와 같은 컴퓨터로부터의 부적절한 액세스에 대해 로컬 네트워크(205)를 보호한다. WAN(209)는 어떠한 종류의 광역 네트워크라도 될 수 있고 반드시는 아니더라도 보통은 인터넷을 포함한다. 로컬 네트워크(205)는 임의의 수 및 종류의 컴퓨터 및/또는 장치로 구성되지만 한 개의 컴퓨터(203)만이 설명을 위해 도시된다. 본 발명의 실시예에 있어 컴퓨터(208)는 소규모 기업 서버이다. 이러한 서버의 예로는 이메일 서버, 웹 서버 등이 있다. 로컬 네트워크(205)는 디렉터리, 데이터베이스와 같은 부가적인 자원을 포함한다.

컴퓨터(208)가 이메일 서버라는 일반적인 시나리오로 보면 서버(208)는 WAN(209)를 통해 원격 컴퓨터(211)와 같은 수신측에 로컬 네트워크(205)상의 클라이언트로부터의 이메일을 전송할 수 있다. 또한, 서버(208)는 원격 컴퓨터(211)로부터와 같이 WAN(209)으로부터 수신한 이메일을 로컬 네트워크(205)상의 수신자에게 전달한다. 메일 서버는 도 1의 컴퓨터(20)와 관련해서 설명한 여러 특징을 가질 수 있다. 컴퓨터(208)가 웹 서버라는 일반적인 시나리오로 보면 서버(208)는 WAN(209)를 통해 예컨데 원격 컴퓨터(211)로 액세스 가능한 하나 이상의 웹 사이트를 호스트할 수 있다. 이러한 사이트로는 상업용, 교육용 등일 수 있다. 도 2의 게이트웨이(207) 이외에도 운영 환경(201)에는 임의의 수의 게이트웨이가 있을 수 있다. 장치(207)와 같은 하드웨어 게이트웨이 장치 및 게이트웨이 컴퓨터(208)에 있을 수 있는 것과 같은 소프트웨어 방화벽의 감지 및 구성은 도 3에서 더 구체적으로 설명한다.

도 3a 및 3b는 본 발명의 실시예에 따라 하드웨어 게이트웨이 장치 그리고/또는 소프트웨어 방화벽을 감지 및 구성하기 위한 단계를 흐름도로 나타낸 것이다. 도 3A 및 3B의 설명은 도 2의 아키텍처의 요소들을 적당한 때 참조할 것이다. 단계 301을 시작으로 표준 IGD와 같은 UPNP 인에이블드 게이트웨이 장치(207)가 사용될 로컬 네트워크(205)로의 연결을 통해 물리적으로 설치된다. 이 단계는 일반적으로 케이블 등의 물리적 연결을 필요로하며 게이트웨이 장치(207)는 로컬 네트워크(205)를 통한 송수신이 가능하다. 이 싯점에서 로컬 네트워크(205)는 새로 설치된 장치(207)에 의해 아직 보안되어 있지 않다.

아래에서 아주 자세히 개별적으로 설명할 단계 303부터 347까지에서, 앞으로 연결 "마법사"라고 칭할 연결 간단화 응용 프로그램은 새로 설치된 장치(207) 및/또는 소프트웨어 방화벽 설비를 감지하고 사용자가 마법사를 통하여 선택한 사항에 따라 장치 및/또는 소프트웨어 방화벽을 구성한다. 도 4는 감지 머신의 아키텍처내에서 연결 마법사의 예시적인 구성을 개략적으로 나타낸 것이다. 특히, 연결 마법사(401)는 UPNP 작업을 실행하기 위해 호스트 컴퓨터(405)의 운영체제(403)에 액세스하는 응용 프로그램이다. 또한, 연결 마법사(401)는 호스트 컴퓨터(405)의 네트워킹 연결 장치(407)를 이용하여 전송을 송수신할 수 있다. 연결 마법사(401)에 대한 호스트 컴퓨터(405)는 로컬 네트워크(205)상의 어느 곳이나 위치할 수 있으며, 예컨데 컴퓨터(203)일 수 있다.

도 3A의 흐름도를 다시 보면, 연결 마법사(401)는 단계 302에서 호스트 컴퓨터(405)의 모든 네트워크 어댑터(즉, 연결 장치(407))를 통해 단순 검색 및 감지 프로토콜(SSDP) 멀티캐스트 주소로 검색 메시지를 멀티캐스트한다. 멀티캐스트는 소정의 간격으로 주기적으로 자동 개시되거나 사용자로부터 명령이나 요청이 있은 후에 자동으로 트리거될 수 있다. 단계 303에서는 감지된 하드웨어 게이트웨이 장치가 있는지 결정된다. 장치를 감지하지 못한 경우 도 3B의 A 지점으로 프로세스가 진행된다. 장치를 감지한 경우 단계 304로 진행하여 사용자는 감지된 하드웨어 게이트웨이 장치를 사용할 것인지 선택할 수 있게 된다. 단계 304에서 감지된 게이트웨이 장치를 사용하지 않을 것이라 결정되면 도 3B의 A 지점으로 프로세스가 진행된다. 그렇지 않고 장치를 사용하는 것으로 결정되면 단계 305로 프로세스가 이동하고 사용되어야 하는 게이트웨이 장치들만이 현재 및 다음 단계를 따르게 된다. 새로 설치된 게이트웨이 장치(207)가 유효 IP 주소와 연관되어 있다고 한다면, 단계 305에서 장치 설명 정보를 얻기 위해 호스트 컴퓨터(405)에서 연결 마법사(401)로 URL을 전송하여 응답할 것이다. 이 과정에서 둘 이상의 장치에 대한 URL을 연결마법사(401)에서 수신이 가능하다.

단계 307에서 연결 마법사(401)는 호스트 컴퓨터(405)의 사용자에게 감지된 장치의 목록을 보여준다. 본 예의 장치(207)와 같이 사용자가 단계 309에서 구성하고자 하는 장치를 선택한 후 단계 311에서 연결 마법사(401)는 HTTP GET 리퀘스트(request)를 단계 305에서 장치에 의해 전송된 URL로 전송한다. 단계 309에서 사용자가 선택한 장치가 없는 경우 프로세스는 바로 도 3B의 A 지점으로 이동함을 알아둔다. 단계 313에서 장치(207)는 루트 장치에 포함된 보조 장치 및 서비스를 포함하는 XML 문서뿐만 아니라 보조 장치 및 서비스를 구성하기 위해 사용 가능한 URL을 전송하여 응답한다. 단계 315에서 연결 마법사(401)는 사용자에게 보조 장치 및 서비스에 대한 구성 옵션을 보여주고 보조 장치 및 서비스에 대한 사용자 구성 선택을 수신한다. 일반적으로 이러한 구성은 일련의 지정된 포트 매핑을 포함할 것이다.

단계 317에서 연결 마법사(401)는 감지된 장치(207)에서 지원되는 WANIpConnection 서비스와 같은 구성 서비스뿐만 아니라 WANIpConnection 서비스와 관련된 구성 URL을 찾는다. WANIpConnection 서비스와 관련 URL 모두 단계 313에서 장치로부터 수신된 목록에서 찾을 수 있다. 마지막으로 단계 319에서 연결 마법사(401)는 사용자가 선택한 구성에 따라 포트 매핑을 구현하기 위해 단순 객체 액세스 프로토콜(SOAP) 리퀘스트를 구성 URL로 전송한다. 따라서, 새로 설치된 장치(207)는 자동으로 감지되고 사용자가 손쉽게 구성할 수 있으며 네트워크는 이제 사용자가 선택한 구성에 따라 장치(207)에 의해 보호된다. 단계 319 이후 프로세스는 사용되는 모든 소프트웨어 방화벽 또는 방화벽들의 감지 및 구성을 위해 도 3B의 A 지점으로 진행한다. 본 발명의 실시예에 있어 하드웨어 방화벽을 앞에서 설명한 것처럼 구성하였다면 프로세스는 단계 319 이후에 소프트웨어 방화벽의 구성없이 종료한다.

단계 329에서 프로세스는 게이트웨이 컴퓨터(208)로 대표되는 서버가 단순히 로컬 네트워크상의 클라이언트인 것과는 반대로 게이트웨이 컴퓨터로 작동하도록 구성될 것인지 결정한다. 상기 서버를 게이트웨이 컴퓨터로 작동하도록 결정하였다면 단계 331에서 연결마법사(401)는 서버에서 사용 가능한 소프트웨어 방화벽을 감지하기 위해 알려진 API를 호출한다. 본 발명의 실시예에 있어서는 두 개의 소프트웨어 방화벽 솔루션이 지원된다. 이러한 본 발명의 실시예에 있어서는 먼저 마이크로소프트 ISA(Internet Security and Acceleration Server)가 설치되었는지 판단하기 위하여 워싱턴 레드몬드에 있는 마이크로소프트사가 제작한 ISA API가 호출된다. ISA가 설치되어 있지 않다면 마이크로소프트 윈도우 서버 RRAS(Routing and Remote Access Service) API가 호출된다. 상기 서버를 게이트웨이 컴퓨터로 작동하도록 구성하지 않았다면 프로세스는 단계 329에서 종료된다.

단계 333에서 프로세스는 관련 머신상에서 감지된 소프트웨어 방화벽이 있는지 결정한다. 감지된 소프트웨어 방화벽이 없다면 프로세스는 종료된다. 감지된 소프트웨어 방화벽이 있는 경우에는 단계 335로 프로세스가 진행되고 사용자가 감지된 소프트웨어 방화벽을 사용할 것인지 선택할 수 있도록 한다. 감지된 소프트웨어 방화벽을 사용하지 않을 것이라 결정하였으면 프로세스는 종료된다. 감지된 소프트웨어 방화벽을 사용하도록 결정한 경우에 프로세스는 단계 337로 진행되고 연결 마법사(401)는 감지된 소프트웨어 방화벽에 대한 설명 정보를 수집하기 위해 앞에서 설명한 것처럼 알려진 API를 사용한다.

단계 339에서 연결 마법사(401)는 호스트 컴퓨터의 사용자에게 감지된 소프트웨어 방화벽 목록을 보여준다. 단계 341에서 사용자는 구성을 위한 소프트웨어 방화벽을 선택한다. 그 다음에 연결 마법사(401)는 단계 343에서 선택한 방화벽의보조 장치 및 서비스에 대한 정보를 수집하기 위해 알려진 API를 호출한다. 단계 345에서 연결 마법사(401)는 사용자에게 구성 옵션을 표시해주고 선택한 방화벽의 보조 장치 및 서비스에 대한 사용자 구성 선택을 수신한다. 마지막으로, 단계 347에서 연결 마법사(401)는 사용자 선택에 따라 소프트웨어 방화벽 보조 장치 및 서비스를 구성하기 위해 API를 호출한다.

본 발명의 실시예에 있어 새로 설치된 장치(207)가 지원하는 서비스 중 하나는 동적 호스트 구성 프로토콜(DHCP)이다. DHCP는 TCP/IP 환경에서 컴퓨터를 구성하기 위해 일반적으로 사용되는 인터넷 프로토콜이다. DHCP는 IP 주소 할당, 스택(stack) 구성 정보뿐만 아니라 기타 구성 정보까지 제공하기 위해 사용 가능하다. 장치(207)가 DHCP를 지원한다면 이러한 동작도 구성될 수 있다.

본 발명의 실시예에 있어 연결 마법사(401)는 새로운 외부 하드웨어 네트워크 장치가 추가되었는지 확인하기 위해 주기적으로 로컬 네트워크(205)를 폴링한다. 일반적으로, 그러한 장치들이 UPNP 인에이블드 장치인 경우에도 새 장치가 설치되었을 때 아무런 알림도 없다. 본 발명의 부가적인 실시예에 있어 연결마법사(401)는 네트워크(205)의 보안이 위험해질 수 있는 어떠한 구성 변경이라도 감지하기 위해 주기적으로 알려진 장치의 구성 정보를 검사한다. 구성에서 변경점이 발견되었으면 연결 마법사(401)는 관련 장치에 대해 사용자가 선택한 구성으로 재구성한다.

본 기술 분야의 숙련자들은 앞서 참조된 API가 다른 적합한 API로도 교체하여 잘 활용할 수 있으며, 다음은 이 발명의 실시예를 구현하는데 유용한 잘 알려진 RRAS(Routing and Remote Access Service) API 예제들이다.

MprAdminBufferFree

MprAdminDeregisterConnectionNotification

MprAdminGetErrorString

MprAdminInterfaceConnect

MprAdminInterfaceCreate

MprAdminInterfaceDelete

MprAdminInterfaceDeviceGetInfo

MprAdminInterfaceDeviceSetInfo

MprAdminInterfaceDisconnect

MprAdminInterfaceEnum

MprAdminInterfaceGetCredentials

MprAdminInterfaceGetCredentialsEx

MprAdminInterfaceGetHandle

MprAdminInterfaceGetInfo

MprAdminInterfaceQuertUpdateResult

MprAdminInterfaceSetCredentials

MprAdminInterfaceSetCredentialsEx

MprAdminInterfaceSetInfo

MprAdminInterfaceTransportAdd

MprAdminInterfaceTransportGetInfo

MprAdminInterfaceTransportRemove

MprAdminInterfaceTransportSetInfo

MprAdminInterfaceUpdatePhonebookInfo

MprAdminInterfaceUpdateRoutes

MprAdminIsServiceRunning

MprAdminRegisterConnectionNotification

MprAdminServiceConnect

MprAdminServiceDisConnect

MprAdminServiceGetCredentials

MprAdminServiceGetInfo

MprAdminServiceSetCredentials

MprAdminTransportCreate

MprAdminTransportGetInfo

MprAdminTransportSetInfo

MprConfigBufferFree

MprConfigGetFriendlyName

MprConfigGetGuidName

MprConfigInterfaceCreate

MprConfigInterfaceDelete

MprConfigInterfaceEnum

MprConfigInterfaceGetHandle

MprConfigInterfaceGetInfo

MprConfigInterfaceSetInfo

MprConfigInterfaceTransportAdd

MprConfigInterfaceTransportEnum

MprConfigInterfaceTransportGetHandle

MprConfigInterfaceTransportGetInfo

MprConfigInterfaceTransportRemove

MprConfigInterfaceTransportSetInfo

MprConfigServerBackup

MprConfigServerConnect

MprConfigServerDisconnect

MprConfigServerGetInfo

MprConfigServerInstall

MprConfigServerRestore

MprConfigTransportCreate

MprConfigTransportDelete

MprConfigTransportEnum

MprConfigTransportGetHandle

MprConfigTransportGetInfo

MprConfigTransportSetInfo

본 기술 분야의 숙련자들은 앞서 참조된 API가 다른 적합한 API로도 교체하여 잘 활용할 수 있으며, 다음은 이 발명의 실시예를 구현하는데 유용한 잘 알려진 각각 하나 이상의 API를 구성하는 마이크로 소프트 ISA(Microsoftㄾ Internet Security and Acceleration) COM 인터페이스 예제들이다.

FPC Object

FPCAccessContorlEntry Object

FPCAccessContorlList Collection

FPCAccount Object

FPCAccounts Collection

FPCActiveCacheConfiguration Object

FPCAdapter Object

FPCAdapters Collection

FPCAlert Object

FPCAlerts Collection

FPCAlertAction Object

FPCAlertActions Collection

FPCAlertInfo Object

FPCAlertNotification Object

FPCApplicationFilter Object

FPCApplicationFilter Collection

FPCArray Object

FPCArrays Collection

FPCArrayPolicyConfig Object

FPCArrayPolicyConfigs Collection

FPCAutoDial Object

FPCBackupRoute Object

FPCBandwidthPriority Object

FPCBandwidthPriorities Collection

FPCBandwidthRule Object

FPCBandwidthRules Collection

FPCCache Object

FPCCacheConfiguration Object

FPCCacheContents Object

FPCCacheDrive Object

FPCCacheDrives Collection

FPCClientAddressSet Object

FPCClientAddressSets Collection

FPCClientAutoScript Object

FPCClientBackupRoute Object

FPCClientConfig Object

FPCClientConfigSettings Collection

FPCClientSettingsSection Object

FPCCContentGroup Object

FPCCContentGroups CollectionFPCCCredentials Object

FPCDeniedMethod Object

FPCDeniedMethods Collection

FPCDestination Object

FPCDestinationSet Collection

FPCDestinationSets Collection

FPCDialupEntry Object

FPCDialupEntries Collection

FPCDialupNetworkConnections Collection

FPCDirectAddressDestination Object

FPCDirectAddressDestinations Collection

FPCDirectIpDestination Object

FPCDirectIpDestinations Collection

FPCDiskDrive Object

FPCDiskDrives Collection

FPCEnterprise Object

FPCEnterprisePolicy Object

FPCEnterprisePolicies Collection

FPCEventDefinition Object

FPCEventDefinitions Collection

FPCExtensions Object

FPCFilterProtocol Object

FPCFilterProtocols Collection

FPCFirewallClientConfig Object

FPCFirewallChaining Object

FPCFirewallSession Object

FPCFirewallSessions Collection

FPCFirewallSessionConnection Object

FPCFirewallSessionConnections Collection

FPCFTPCacheConfiguration Object

FPCHTTPCacheConfiguration Object

FPCIpPacketFilter Object

FPCIpPacketFilters Collection

FPCIpRange Object

FPCLAT Collection

FPCLATEntry Object

FPCLDT Collection

FPCLDTEntry Object

FPCListenEntry Object

FPCListenEntries Collection

FPCLog Object

FPCLogs Collection

FPCNetworkConfiguration Object

FPCPolicyElements Object

FPCPrimaryRoute Object

FPCProtocolConnection Object

FPCProtocolConnections Collection

FPCProtocolDefinition Object

FPCProtocolDefinitions Collection

FPCProtocolRule Object

FPCProtocolRules Collection

FPCServerPublishingRule Object

FPCServerPublishingRules Collection

FPCPublishing Object

FPCRef Object

FPCRefs Collection

FPCRoutingRule Object

FPCRoutingRules Collection

FPCSchedule Object

FPCSchedules Collection

FPCScheduledContentDownload Collection

FPCScheduledContentDownloadConfig Object

FPCSecurityDescriptor Object

FPCServer Object

FPCServers Collection

FPCSignaledAlert Object

FPCSignaledAlerts Collection

FPCSiteAndContentRule Object

FPCSiteAndContentRules Collection

FPCSnapinNode Object

FPCSSLCertificate Object

FPCSSLCertificates Collection

FPCTunnelPortRange Object

FPCTunnelPortRanges Collection

FPCVenderParametersSet Object

FPCVenderParametersSets Collection

FPCWebBrowserClientConfig Object

FPCWebFilter Object

FPCWebFilters Collection

FPCWebProxy Object

FPCWebPublishingRule Object

FPCWebPublishingRules Collection

FPCRequestConfiguration Object

FPCWebSession Object

FPCWebSessions Collection

FPCWebSessionAdditionalInfo Object

기존 네트워크 환경에 응답하고 적절한 하드웨어나 소프트웨어 솔루션의 동적 감지 및 구성을 포함하는 보안 네트워크 토폴로지를 감지하고 구성하기 위한 개량된 시스템 및 방법이 설명되었다. 본 발명의 원칙들이 적용될 수 있는 여러 가능한 실시예에 있어서, 여기에 그려진 도면을 통하여 설명된 실시예는 단지 설명을 위한 것일 뿐이며 이 발명의 범위를 제한하는 것으로 받아들여서는 안 된다. 예를 들어, 본 기술 분야의 숙련자라면 소프트웨어로 도시된 실시예의 몇몇 요소들은 하드웨어로 구현될 수 있고, 그 역도 가능하며, 실시예들은 본 발명의 의도에서 벗어남 없이 배치 및 세부 내용에서 수정될 수 있음을 인식할 것이다. 따라서, 본 명세서에서 설명된 바와 같이, 본 발명은 다음 청구항들과 그들의 동격본들의 범위 내에서 가능한 모든 그런 실시예들을 고려한다.

소프트웨어 및 하드웨어 방화벽들 사이의 동적 선택 및 자동 구성을 가능하게 하는 방법 및 시스템이 개시된다. 브로드캐스트 메카니즘이 하드웨어 방화벽을, 그리고 API가 소프트웨어 방화벽을 감지하기 위해 사용된다. 본 발명의 한 실시예에서 장치나 소프트웨어 구성이 변경되지 않도록 하기 위해서, 그리고 변경되더라도 이전 상태로 즉시 되돌릴 수 있도록 하기 위해 폴링 메카니즘을 사용한다.

Claims

광역 컴퓨터 네트워크에 대해 로컬 컴퓨터 네트워크를 보호하는 방법으로서,

상기 로컬 컴퓨터 네트워크와 상기 광역 컴퓨터 네트워크사이에 가용 하드웨어 게이트웨이 장치가 설치되어 있는지 감지하는 단계;

가용 하드웨어 게이트웨이 장치가 설치되어 있다고 감지되면, 상기 장치에 대한 설명 정보를 검색하기 위해 상기 로컬 네트워크를 통해 상기 하드웨어 게이트웨이 장치와 통신하고, 사용자에게 상기 장치 설명 정보에 관련된 정보를 보여주고, 상기 장치를 구성하기 위한 사용자 선택 항목을 수신하고, 상기 사용자 선택 항목에 따라 상기 장치를 자동으로 구성하는 단계; 및

가용 하드웨어 게이트웨이 장치가 설치되어 있지 않다고 감지되면 상기 로컬 컴퓨터 네트워크와 상기 광역 컴퓨터 네트워크사이에 가용 소프트웨어 방화벽이 설치되어 있는지 감지하고, 가용 소프트웨어 방화벽이 설치되어 있다면, 상기 방화벽에 대한 설명정보를 수집하고, 상기 사용자에게 상기 방화벽 설명 정보에 관련된 정보를 보여주고, 상기 방화벽을 구성하기 위한 사용자 선택 항목을 수신하고, 상기 사용자 선택 항목에 따라 상기 방화벽을 자동으로 구성하는 단계

를 포함하는 방법.
제 1항에 있어서, 상기 로컬 컴퓨터 네트워크와 상기 광역 컴퓨터 네트워크 사이에 가용 하드웨어 게이트웨이 장치가 설치되어 있는지 감지하는 단계는,

상기 로컬 네트워크를 통해 멀티캐스트 감지 전송을 자동으로 행하는 단계; 및

상기 게이트웨이 장치로부터 멀티캐스트 감지 전송에 대한 응답을 수신하는 단계를 더 포함하고, 상기 응답은 상기 로컬 네트워크를 통해 상기 게이트웨이 장치에 접속하기 위한 로케이터를 포함하는 방법.
제 2항에 있어서, 상기 장치에 대한 설명 정보를 검색하기 위해 상기 로컬 네트워크를 통해 하드웨어 게이트웨이 장치와 통신하는 단계는,

상기 로컬 네트워크를 통해 상기 게이트웨이 장치로 장치 설명 요청을 자동으로 전송하는 단계; 및

상기 장치 설명 요청 전송에 응답하여 상기 게이트웨이 장치가 지원하는 서비스 목록을 상기 게이트웨이 장치로부터 수신하는 단계

를 더 포함하는 방법.
제 1항에 있어서, 상기 게이트웨이 장치가 지원하는 서비스의 목록은 상기 게이트웨이 장치가 지원하는 보조 장치의 목록을 더 포함하는 방법.
제 2항에 있어서, 상기 로컬 컴퓨터 네트워크와 상기 광역 컴퓨터 네트워크사이에 가용 하드웨어 게이트웨이가 설치되어 있는지 감지하는 단계는 하드웨어 게이트웨이 장치의 유용성의 사용자 지시를 수신하는 단계를 더 포함하는 방법.
제 3항에 있어서, 상기 게이트웨이 장치가 지원하는 서비스의 목록은 각 서비스에 연결된 개별 로케이터를 더 포함하고, 하나의 서비스에 연결되어 있는 개별 로케이터는 해당 서비스를 구성하는 것에 사용할 수 있는 방법.
제 6항에 있어서, 각 서비스에 연결된 상기 개별 로케이터는 URL를 포함하는 방법.
제 2항에 있어서, 상기 로컬 네트워크를 통해 멀티캐스트 감지 전송을 자동으로 행하는 단계는,

정해진 기간이 만료될 때까지 대기하는 단계; 및

정해진 기간이 만료되면 로컬 네트워크를 통해 멀티캐스트 감지 전송을 행하는 단계

를 더 포함하는 방법.
제 3항에 있어서, 상기 게이트웨이 장치가 지원하는 서비스 목록은 동적 호스트 구성 프로토콜 (DHCP)에 대응하는 목록을 포함하는 방법.
제 1항에 있어서, 상기 로컬 컴퓨터 네트워크와 상기 광역 컴퓨터 네트워크사이에 가용 소프트웨어 방화벽이 설치되어 있는지 감지하는 단계는 소프트웨어 방화벽의 유용성의 사용자 표시를 수신하는 단계를 더 포함하는 방법.
제 1항에 있어서, 상기 방화벽에 대한 설명 정보를 수집하는 단계는 API를 호출하고, 상기 API 호출에 응답하여 설명 정보를 수신하는 단계를 더 포함하는 방법.
제 1항에 있어서, 상기 사용자 선택에 따라 상기 방화벽을 자동으로 구성하는 단계는 API를 호출하는 단계를 더 포함하고, 상기 API 호출은 구성 정보를 포함하는 방법.
제 1항에 따른 방법을 수행하기 위해 컴퓨터에서 사용 가능한 명령어가 저장된 컴퓨터 판독 가능 매체.
제 6항에 따른 방법을 수행하기 위해 컴퓨터에서 사용 가능한 명령어가 저장된 컴퓨터 판독 가능 매체.
제 8항에 따른 방법을 수행하기 위해 컴퓨터에서 사용 가능한 명령어가 저장된 컴퓨터 판독 가능 매체.
제 1항에 있어서, 상기 멀티캐스트 감지 전송에 대한 응답을 수신하는 단계는 상기 게이트웨이 장치를 포함한 다수의 장치로부터 다수의 응답을 수신하는 단계를 포함하는 방법.
제 16항에 있어서, 상기 로컬 네트워크를 통해 장치 설명 요청을 상기 게이트웨이 장치로 자동 전송하는 단계는,

호스트 컴퓨터 사용자에게 상기 다수의 장치의 목록을 제공하는 단계; 및

상기 호스트 컴퓨터 사용자로부터 상기 게이트웨이 장치의 선택을 수신하는 단계

를 더 포함하는 방법.