KR20040106501A - 보안 정책의 자동 설정 및 갱신을 위한 방법 - Google Patents

Abstract

본 발명은 적어도 하나의 보안 패키지가 보호하는 전산화된 시스템내의 보안 정책을 생성하고 및/또는 갱신하는 방법에 관한 것으로, 상기 방법은, a. 구조 및/또는 시스템의 속성 및/또는 시스템내의 보안 결함을 상술하는 레포트를 발행할 수 있는, 시스템내의 적어도 하나의 신뢰되는 소스를 제공하는 단계; b. 주기적으로 상기 레포트를 발행하기 위해 상기 적어도 하나의 신뢰되는 소스를 주기적으로 동작시키는 단계; c. 보안 정정 유닛으로 각각의 신뢰되는 소스의 레포트를 임포트(import)하여서, 모든 상기 레포트로부터 세부사항을 포함하는 하나의 통합 파일을 형성하는 단계; d. 모든 보안 패키지의 속성 파일들을 상기 보안 정정 유닛으로 임포팅하는 단계; e. 상기 통합 파일의 내용을 임포팅된 속성 파일 각각과 비교하여, 각각의 속성 파일을 상기 통합 파일내에 포함된 보안 정보 및 상기 속성 파일로부터 누락되었지만 상기 속성 파일에 관련있는 정보로 갱신하는 단계; 및 f. 상기 갱신된 속성 파일들을 각각 익스포팅(exporting)하고 그 파일들 각각이 대응하는 보안 패키지의 활성화된 속성 파일로서의 효력을 발휘함으로써, 갱신된 보안 정책의 효력을 발휘하는 단계를 포함한다.

Description

보안 정책의 자동 설정 및 갱신을 위한 방법{METHOD FOR THE AUTOMATIC SETTING AND UPDATING OF A SECURITY POLICY}

연결, 기능 및 보안은 조직의 애플리케이션 환경에서 충돌하는 대상들이다. 통상적인 현대 컴퓨터 애플리케이션의 구현은 사용자가 넓은 범위의 애플리케이션을 실행시키고, 다양한 서비스를 제공하게 하여, 현대 조직의 요구를 충족시키도록 한다. 그러나, 불행하게도, 넓은 범위의 애플리케이션 서비스를 다수의 사용자에게 제공하려는 요구는 이들 서비스가 해커, 또는 인증되지 않는 엔티티와 같은, 외부 엔티티에 의해 공격 또는 오용되기에 취약하게 할 수 있다.

현재, 컴퓨터 애플리케이션 및 서비스 보안은 "최상 실행(best practice)"가이드라인에 기반한 보안 정책의 수동 설정 및 애플리케이션, 서비스, 및 관련 네트워크의 사전 지식을 포함한다. 시스템 관리자에게 보안 정책을 집행하거나 인증되지 않은 결함, 사용, 또는 동작을 탐지하는 기능을 제공하기 위해 특정 보안 애플리케이션이 개발되어 왔다. 일부 보안 애플리케이션은 네트워크 도메인내에서 보안을 집행하는 것을 의도하며, 네트워크 지향적이다. 이러한 네트워크 지향적인 보안 애플리케이션의 예로는 Checkpoint 사 및 Symantec 사의 "방화벽"이 있다. 애플리케이션 도메인내에서 보안 정책을 집행하고 보장하고자 하는, 애플리케이션 지향적인 보안 패키지가 또한 도입되어 왔다. 이러한 애플리케이션 도메인 보안 패키지의 예로는 KaVaDo사의 InterDo가 있다. 통상적으로, 적용된 보안 정책은 관리자의 보안 기술 및 애플리케이션, 네트워크, 서비스 및 전체 환경에 대한 지식에 상당히 의존적이며 영향을 받는다.

본 명세서에서 이하 "보안 스캐너", 또는 보다 일반적으로, "신뢰되는 소스"라 칭해지는 수단은 당업자들에게도 알려져 있으며, 전산화된 환경이 설정된 보안 정책을 따르고 있는지 여부를 점검하는 데에 이용된다. 이들 스캐너 또는 신뢰되는 소스 각각은 통상적으로 하나의 보안 패키지와 호환된다. 이 스캐너들은 보안 애플리케이션이 보호하는 도메인들을 테스트하고 의심하며, 발견된 결함 및 식별된 속성에 관련된 레포트를 제공한다. 아래에는, 관리자가 그 레포트를 해석하고, 필요한 것을 정정하는 것을 나타낼 것이다. 레포트된 결함 및 식별된 속성들의 정정은 시스템 관리자의 기술에 상당히 의존한다. 보다 상세히 기술하자면, 정정은 대부분의 경우, 평균의 시스템 관리자에게 부족한 프로그래밍-지향적인 기술을 요구한다.

본 문제점의 다른 양상은 전산화된 환경이 매우 동적이라는 점이다. 새로운 사용자가 그 환경에 입문하고, 다른 이들이 제거되고, 새로운 애플리케이션 또는 하드웨어가 입문하거나 제거되며, 가장 중요한 점은, 그 애플리케이션 자체가 대부분의 경우 그 환경내에서 프로그래머 또는 사용자에 의해 동적으로 수정되거나 변경되는 것이다. 시스템 관리자는 종종 이들 모드의 급박하게 발생하는 변경에 대해 전체적인 제어를 하지 않고, 제어하더라도 대부분은 차후에 레포트된다. 상술된 상황의 결과로, 현재 보안 정책은 다소 정적으로 집행되며, 애플리케이션 및 환경은 취약한 채로 남아있다.

본 발명의 목적은 보안 정책이 집행되는 애플리케이션의 컴플라이언스(compliance) 및 보안 정책이 집행되는 그 환경을 계속 또는 주기적으로 점검하여, 호환성이 없는 보안 결함 및 속성을 탐지하고 검증하며, 자동적으로 또는 반자동적으로 상기 결함들을 수정하고 제거하는 시스템 및 방법을 제공하는 것이다.

본 발명의 다른 목적은 상기 시스템 및 방법을 전산화된 환경내의 보안 애플리케이션 동작과 결합시키는 것이다.

본 발명의 또 다른 목적은 전산화된 환경내에서 동작하는 임의의 보안 애플리케이션에 의해 집행되는 특정 보안 정책 각각을 동적으로 점검하고 정정하는 수단을 제공하는 것이다.

본 발명의 또 다른 목적은 단순하고 효율적인 방식으로 상기 태스크를 제공하는 것이다.

본 발명의 또 다른 목적은 보안 스캐너 또는 다른 신뢰되는 소스로부터 지시 및 결함 레포트를 효과적으로 수신할 수 있는 방법을 제공하고, 자동적이거나 반자동적인 방식으로 그것을 정정하는 것이다.

본 발명의 그 밖의 목적 및 이점은 이하 진행될 설명에 의해 명백해질 것이다.

본 발명은 컴퓨터 애플리케이션, 네트워크 및 서비스의 보안 분야에 관한 것으로, 보다 상세히는 보안 정책의 설정을 단순화하여 애플리케이션, 네트워크, 또는 애플리케이션이 제공하는 서비스내에서 보안 효력을 갖는 변경들을 도입할 때 보안 정책의 설정을 동적으로 수정하기 위한 방법 및 시스템에 관한 것이다. 본 발명의 대부분의 바람직한 실시예에서, 상기 제1 설정 및 그것을 수정하는 것이 자동 방식으로 수행된다. 또한, 본 발명의 범위내에는 반자동, 또는 수동 방법도 존재한다.

도 1은 종래 기술에 따른, 전산화된 환경을 보호하는 통상적인 보안 시스템을 도시하는 도면.

도 2는 본 발명의 일 실시예에 따른, 향상된 보안 시스템의 구조를 도시하는 도면.

도 3은 본 발명의 일 실시예에 따른, 보안 정정 유닛의 보다 상세한 동작을 도시하는 블럭도.

도 4는 보안 정정 유닛에 의해 결함 속성 레포트를 임포팅하는 프로시져를 도시하는 도면.

도 5는 보안 정정 유닛의 하나의 변환 단계의 동작을 도시하는 도면.

도 6은 통합 파일을 생성하는 프로세스의 일부를 도시하는 도면.

도 7은 속성 파일이 신뢰되는 소스로부터 임포팅되고 공통 포맷에서 대응하는 임시 속성 파일로 변환되는 방법을 도시하는 도면.

도 8은 공통 포맷으로부터 패키지 특정 포맷으로의 역변환이 수행되는 방법을 도시하는 도면.

도 9a는 보안 애플리케이션 스캐너와 같이, 하나의 신뢰되는 소스등으로부터 얻어진 2개의 속성 컴포넌트를 포함하는 레포트에 대한 일례를 나타내는 도면.

도 9b는 패키지(예를 들면, "방화벽 게이트웨이") 특정 속성 파일이 그 패키지의 보안 정책을 형성하는 일례를 나타내는 도면.

도 10a는 통합 이전에는 비어있는, 통합 파일의 일례를 나타내는 도면.

도 10b는 도 9a의 레포트를 공통 포맷으로 변환하고 그 통합 파일의 골격으로 통합한 후의, 통합 파일을 나타내는 도면.

도 11은 공통 포맷의 임시 속성 파일을 나타내는 도면.

도 12는 통합 파일로부터의 정보로 갱신된 이후에, 도 11의 임시 속성 파일을 나타내는 도면.

도 13은 본 발명의 시스템에 의해 수정된, 최후의, 갱신된, 패키지 특정 속성 파일, 보다 상세히는, 본래는 대응하는 임시 속성 파일이며, 도 10b의 통합 파일로부터의 정보에 의해 수정되고, 갱신된 정책을 포함하는 속성파일을 나타내는 도면.

본 발명은 적어도 하나의 보안 패키지가 보호하는 전산화된 시스템내의 보안 정책을 갱신하는 방법에 관한 것으로, 상기 방법은, a. 시스템의 구조 및 시스템내의 보안 결함을 상술하는 보안 레포트를 발행할 수 있는, 시스템내의 적어도 하나의 신뢰되는 소스를 제공하는 단계; b. 주기적으로 상기 레포트를 발행하기 위해 상기 적어도 하나의 신뢰되는 소스를 주기적으로 동작시키는 단계; c. 보안 정정 유닛으로 각각의 신뢰되는 소스의 레포트를 임포트(import)하여서, 모든 상기 레포트로부터 세부사항을 포함하는 하나의 통합 파일을 형성하는 단계; d. 모든 보안 패키지의 속성 파일들을 상기 보안 정정 유닛으로 임포팅하는 단계; e. 상기 통합 파일의 내용을 임포팅된 속성 파일 각각과 비교하여, 각각의 속성 파일을 상기 통합 파일내에 포함된 보안 정보 및 상기 속성 파일로부터 누락되었지만 상기 속성 파일에 관련있는 정보로 갱신하는 단계; 및 f. 상기 갱신된 속성 파일들을 각각 익스포팅(exporting)하고 그 파일들 각각이 대응하는 보안 패키지의 활성화된 속성 파일로서의 효력을 발휘함으로써, 갱신된 보안 정책의 효력을 발휘하는 단계를 포함한다.

상기 방법은, a. 각각의 신뢰되는 소스 레포트를 임포팅하는 단계는 각 레포트를 공통 포맷으로 변환하고, 상기 공통 포맷으로 상기 통합 파일을 형성하는 단계를 더 포함하고; b. 모든 보안 패키지의 속성 파일을 상기 보안 정정 유닛으로 임포팅하는 단계는 각각의 속성 파일을 상기 공통 포맷으로 변환하는 단계를 더 포함하고; c. 각각의 상기 갱신된 속성 파일을 각각 익스포팅시키고 대응하는 보안 패키지의 활성화된 속성 파일과 동일한 효력을 발휘하는 단계는 상기 익스포팅 이전에, 상기 속성 파일을 상기 공통 포맷으로부터 패키지 특정 포맷으로 변환하는 단계를 더 포함하는 것이 바람직하다.

상기 갱신은 어떤 갱신을 유효하게 할지 또는 무시할지 여부를 결정하기 위하여, 논리 규칙 집합을 더 사용하여 이루어지는 것이 바람직하다.

상기 레포트 각각은 적어도 하나의 속성 컴포넌트를 포함하는 것이 바람직하다.

상기 발행된 레포트 각각은 대응하는 신뢰되는 소스 특정 포맷으로 배열되는 것이 바람직하다.

상기 속성 파일 각각은 대응하는 패키지 특정 포맷으로 배열되는 것이 바람직하다.

각각의 보안 패키지는 그 패키지의 속성 파일의 내용에 따라서, 그 패키지의 소정의 책임 범위내에서 보안 정책에 효력을 미치는 것이 바람직하다.

본 발명의 일 실시예에서, 하나 이상의 신뢰되는 소스는 보안 스캐너들일 수 있다.

본 발명의 일 실시예에서, 갱신에 관련된 일부 또는 모든 상기 단계는 운영자의 승인이 필요한 반자동 방식으로 수행된다.

본 발명의 일 실시예에서, 일부 신뢰되는 소스들은 수동 레포트를 발행하는 사람들일 수 있다.

본 발명의 일 실시예에서, 레포트에 포함된 속성 컴포넌트 일부는 알려진 결함 경우를 제거하기 위한 속성이며, 일부 속성 컴포넌트는 예기치 않은 경우를 제거하기 위한 속성이다.

예기치 않은 경우를 제거하기 위한 레포트내의 속성들은 시스템의 현재 구조에 관련된 속성들이고, 갱신된 속성 파일들내에 기록된 그 속성들이 상기 구조에 특정된 보안정책을 집행할 때, 상기 구조로부터 벗어난 행위를 거절하는 것이 바람직하다.

본 발명은 또한 a. 적어도 하나의 보안 패키지가 소정의 책임 범위내의 보안 정책을 집행하고, 상기 정책은 상기 패키지 각각과 관련된 특정 속성 파일로 정의되고; b. 적어도 하나의 신뢰되는 소스는 시스템의 구조 및 시스템내의 보안 결함을 상술하는 보안 레포트를 발행할 수 있고; c. 보안 정정 유닛이 1. 모든 신뢰되는 소스로부터 상기 레포트를 임포팅하고, 모든 상기 레포트로부터 정보를 포함하는 통합 파일을 생성하고, 2. 모든 보안 패키지로부터 속성 파일을 임포팅하고, 상기 통합 파일의 내용을 각각 임포팅된 속성 파일 각각과 비교하여, 상기 속성 파일로부터 누락되었지만 상기 속성 파일에 관련있는, 상기 통합 파일내에 포함되는 보안 정보로 각각의 속성 파일을 갱신하고, 상기 갱신된 속성 파일을 익스포팅하고그 파일들은 대응하는 보안 패키지의 활성화된 속성 파일로서 효력을 발휘함으로써, 갱신된 보안 정책에 영향을 미치는 보안 정책을 갱신하는 시스템에 관한 것이다.

상기 보안 정정 유닛은 a. 각각의 신뢰되는 소스로부터 레포트를 임포팅하는 적어도 하나의 제1 임포팅 모듈; b. 상기 레포트 각각을 수신하고 모든 상기 레포트에 포함되는 정보를 포함하는 하나의 통합 파일을 형성하는 통합 모듈; c. 각각의 보안 패키지로부터 상기 정정 유닛으로 그것의 대응하는 속성 파일을 임포팅하는 적어도 하나의 제2 임포팅 모듈; d. 상기 통합 파일의 내용을 임포팅된 속성 파일 각각과 비교하고, 상기 통합 파일내에 포함된 보안 정보 및 상기 속성 파일로부터 누락되었지만 상기 속성 파일에 관련된 정보로 각 속성 파일을 갱신하는 보안 정책 생성 모듈; 및 e. 각각의 갱신된 속성 파일을 그 파일의 대응하는 보안 패키지로 익스포팅하여, 갱신된 보안 정책의 효력을 발휘하는 적어도 하나의 익스포팅 모듈을 포함하는 것이 바람직하다.

본 발명의 일 실시예에서, 상기 시스템은 각 레포트를 그것의 신뢰되는 소스 특정 포맷으로부터 공통 포맷으로 변환하는 적어도 하나의 제1 변환 모듈, 각각의 임포트된 속성 보안 패키지를 그것의 패키지 특정 포맷으로부터 공통 포맷으로 변환하는 적어도 하나의 제2 변환 모듈, 및 각각의 갱신된 속성 파일을 대응하는 패키지로 익스포팅하기 전에 공통 포맷으로부터 그 파일의 패키지 특정 포맷으로 변환하는 적어도 하나의 제3 변환 모듈을 더 포함하며, 상기 통합 파일은 또한 상기 공통 포맷으로 배열된다.

본 발명의 일 실시예에서 보안 정책 생성 모듈은 속성 파일들을 갱신할 때 사용하기 위한, 소정의 논리 결정 규칙 한 세트를 더 포함할 수 있다.

본 발명의 또 다른 실시예에서, 보안 패키지 중 하나는 서명의 세트가 파일내에 저장되고, 상기 파일은 보안 패키지의 속성 파일로서 취급되므로, 따라서 갱신이 이루어지는 침입 탐지 시스템(Intrusion Detection System) 또는 침입 방지 시스템(Intrusion Prevention System)이다.

본 발명의 또 다른 실시예에서, 보안 패키지중 하나는 지시를 위해 사용되는 속성들의 집합이 파일내에 저장되고, 상기 파일은 시스템에 의해 보안 패키지의 속성 파일로 취급되므로, 따라서 갱신이 이루어지는 애플리케이션 스위치이다.

도 1은 종래 기술에 따른, 복수의 사용자에게 서비스를 제공하는 애플리케이션 환경을 보호하는 통상적인 보안 시스템을 도시한다. 애플리케이션(1)은 복수의 사용자(사용자1-사용자n)에게 서비스를 제공한다. 애플리케이션을 적절하게 활성화시키는 권한, 보다 상세히는 네트워크내의 활동은 네트워크 보안 패키지(6)에 의해 보호된다. 네트워크 보안 패키지는, 예를 들면, Checkpoint사에 의해 배포된, "방화벽" 패키지일 수 있다. 예를 들면, 특정 서비스를 수신하는 것과 같이, 애플리케이션 자체내에서 특정 특징들을 활성화하는 권한은 KaVaDo사에 의해 배포된 "InterDo"와 같은, 애플리케이션 보안 패키지(2)에 의해 보호된다. 다른 애플리케이션, 보안 매키지 및 사용자들이 이 보안 환경내에 존재할 수 있지만 이들은 간결성을 위해 본 도면에서 나타내지 않기로 한다. 통상적으로, 각 보안 패키지는, 시스템 관리자에 의해 그 패키지의 소정의 책임 범위(애플리케이션, 네트워크 또는 둘다)내에서 정의된, 보안 정책을 집행하고 감독한다. 각 패키지의 보안 정책은 그 패키지 전용의 속성 파일에 일반적으로 저장된 속성에 의해 표현된, 개별적인 제약조건의 한 세트를 포함한다. 도 1에서, 애플리케이션 보안 패키지의 속성 파일은 숫자(3)로 표시되고, 네트워크 속성 패키지의 속성 파일은 숫자(7)로 표시된다. 또한, 애플리케이션 또는 네트워크내의 보안 결함을 점검하는 프로그램들이 개발되어 왔다. 이러한 프로그램들은 일반적으로 스캐너라 칭하고, 본 명세서에서, 이들 프로그램은 "보안 스캐너"라 칭해질 것이다. 보안 스캐너는 특정 패키지와 동일한 제조사에 의해 제공될 수 있고, 일반적으로 각 패키지에 각각 특정되며, 그들의 목적은 패키지의 책임 범위에 있는 것이면 무엇이든지, 네트워크, 애플리케이션, 또는 둘 다를 테스트하고 시스템 관리자에게 적절하게 처리되야 할 탐지된결함과 관련된 속성들을 포함하는 레포트를 제공하는 것이다. 스캐너는 일반적으로 네트워크 및/또는 애플리케이션의 각종 양상들을 의심함으로써 동작한다. 이 레포트를 지니는 시스템 관리자는 일반적으로 대응하는 속성 파일을 수정하기 시작해야 한다. 이는 일반적으로 대부분 평균적인 시스템 관리자의 기술을 넘어서는 태스크 수행을 요구하는 복잡한 과정이다. 또한, 동적이고, 임의의 순간에 변경될 수 있는 시스템의 취약성은, 시스템 관리자에 의해 스캐너 테스트를 수행하는 빈도에 의존하여서, 이들 시스템은 높은 반복률에서 수행될 수 없다.

도 2는 본 발명의 일 실시예에 따른, 향상된 보안 시스템의 구조를 도시한다. 본 발명에 따르면, 보안 정정 유닛(10)이 제공된다. 보안 애플리케이션 및 네트워크 스캐너(4,8)는 종래와 같이 그들의 동작을 수행한다. 각각의 레포트들의 내용도 또한 보안 정정 유닛(10)으로 임포트된다. 보안 정정 유닛은 또한 기존 속성 파일 각각을 임포트한다(15,16). 보안 정정 유닛은 애플리케이션 및/또는 네트워크 스캐너로부터 수신된 결함 속성(17,18)을 분석하고, 이것을 기존 속성 파일(3 ,7) 각각과 대응시키고 비교하여, 필요하다면, 속성에 수정을 발행하고, 새로운 수정된 속성 파일이나, 기존 속성 파일(3,7)의 수정만을 출력한다. 갱신된 속성 파일은 탐지된 결함을 제거하는 데 필요한 수정을 포함한다. 다른 신뢰되는 소스(20), 즉, 신뢰성 있는 결함 및 속성 레포트를 제공할 수 있다고 간주되는 소스로부터, 스캐너 레포트 이외에도, 보안 정정 유닛에 레포트되는 결함 또한 제공됨을유의한다. 또한, 본 발명의 대부분의 바람직한 실시예에서 향상된 시스템의 동작이 전자동 방식으로 수행되지만, 일부 실시예에서 이 동작은 반자동, 수동, 또는상기의 조합일 수 있다.

본 기술분야에서 공통이고 알려진 바와 같이, 각 속성 파일은 그것의 특정 구조를 가지며 특정 속성을 처리한다. 이하 본 명세서에서는, 각종 속성 파일에 갱신을 제공하기 위해, 보안 정정 유닛(10)이 이러한 결점을 극복하는 방법을 보여준다.

도 3은 보안 정정 유닛(10)의 보다 상세한 동작을 도시하는 블럭도이다. 보안 정정 유닛은 특히 네트워크 및 애플리케이션 스캐너(4 및 8)로부터의 결함 속성 레포트를 임포트하지만, 이 유닛은 다른 신뢰되는 소스(20)로부터 레포트 또는 부분적 결함 표시를 수신할 수 있다. 레포트는 또한 시스템의 트리 맵과 같은, 점검된 시스템의 현재 일반적인 구조와 관련된 정보를 포함할 수 있다. 레포트 각각이 그것의 패키지 특정 포맷으로 일반적으로 들어오고, 포맷은 서로 다르기 때문에, 특정 흐름 레포트 각각은 변환 단계(21, 22, 및 23)에 의해 각각 동일한 것이나, 정정 유닛(10)에 특정한 동일하고 공통인 포맷으로 변환된다. 상기 공통 포맷인, 변환 단계(23, 24, 및 25)로부터의 결함 출력은 모든 결함 레포트를 상기 공통 포맷인 하나의 파일로 통합하는 통합 유닛(40)으로 전달된다. 보안 정정 유닛은 그들의 속성 파일을 보안 패키지로부터 또한 임포트한다. 간결성을 위해 도 3은 오직 하나의 대상 패키지(32)를 도시하지만, 정정 유닛은 정정할 수 있고, 사실상 본 명세서에서 도시된 바와 동일한 방식으로, 예를 들면, 네트워크 보안 패키지(6) 및 애플리케이션 보안 패키지(2)와 같은 복수의 보안 패키지의 보안 정책을 정정한다는 것은 본 기술 분야에서 숙련된 기술을 가진 자에게 명백할 것이다. 보안 정정유닛은 대응하는 보안 패키지로부터 속성 파일(3 또는 7)을 임포트한 다음, 그 속성 파일을 유닛(27)에 의해 상기 공통 포맷으로 변환시킨다. 그 결과, 상기 공통 포맷인, 변환된 속성 파일이 보안 정책 생성 모듈(28)로 각각 전달된다. 그 다음, 상술한 바와 같이 복수의 소스(보안 스캐너를 포함하는)로부터 결함 레포트를 수신하고, 보안 패키지로부터 현재 속성 파일을 수신하는, 보안 정책 생성 모듈(28)은 상기 공통 포맷으로 하나의 큰 속성 파일을 생성한다. 상기 하나의 큰 속성 파일은 (현재 보안 정책을 반영하는)모든 복수의 임포트된 속성 파일로부터 요약되는 모든 속성을 포함하고, 보안 스캐너를 포함한 신뢰되는 소스로부터 수신된 모든 결함 속성을 또한 포함하고, 결함을 제거하기 위해 추가되어야 할 결함 속성을 반영한다. 보다 상세히는, 보안 정책 생성 모듈(28)에 의해 생성된 큰 공통 파일은 시스템에 존재하는 모든 보안 패키지에 의해 집행되어야 할 모든 제약 조건을 반영한다. 그 다음, 변환 유닛(29)은 상기 큰 공통 파일을 각각의 보안 패키지에 대해서 각 패키지에 특정된 포맷으로 변환한다. 당연히, 이 변환은 대상 패키지(32)의 특정 속성 파일에 대해 무관한, 큰 공통 파일에 존재하는 일부 제약조건의 제거를 포함한다. 예를 들면, 큰 공통 파일은 애플리케이션 보안 패키지의 속성 파일에 무관한 네트워크 속성을 포함할 수 있으며, 이들은 변환 프로시져(29) 중에 제거된다. 다른 예에서, 네트워크 보안 패키지(6)에 대한 포맷 변환(26)을 수행할 때, 네트워크 보안 패키지에 무관한 애플리케이션 특정 속성이 제거된다. 그 다음, 갱신된 속성 파일인, 변환(29) 이후에 생성된 파일이 익스포트되고, 대응하는 보안 패키지의 속성 파일로서 저장된다. 갱신된 파일이 불완전하거나 덜 바람직할 경우리턴을 할 수 있기 위해, "기존의", 이전 속성 파일을 먼저 저장하고, 그 다음 갱신된 파일로 교체하는 것이 바람직하다.

본 발명의 일 실시예에서, 보안 정책 생성 모듈(28)의 동작은 한 세트의 논리 규칙과 관련되거나, 그에 의해 제어될 수 있으며, 이 논리 규칙은 그 모듈이 일부 특정 경우에 직면할 때 그 모듈이 행동하는 방법을 정의하고 있다. 예를 들면, 한 세트의 논리 규칙은 특정 속성이 신뢰되는 소스에 의해 레포팅될 때, 새롭고 갱신된 정책에 적용되고 이것의 효력을 미칠지 여부를 제어할 수 있다. 이러한 한 세트의 논리 규칙의 존재는 본 발명의 범위에 포함되며, 도 3에서 참조번호(28a)로서 표시된다.

임의의 보안 시스템은 2개의 접근, 즉, 포지티브 어프로치, 네가티브 어프로치, 또는 그 조합 중 하나로 동작할 수 있다.

a. 네가티브 어프로치: 애플리케이션내에서 허용되지 않아야 할 임의의 유형의 액션 또는 액세스에 관련되는 한 세트의 "네가티브" 속성이 정의되고 속성 파일내에 저장된다. 애플리케이션내의 모든 요청된 액션 또는 액세스는 상기 속성 세트에 대해 보안 시스템에 의해 계속 검증된다. 그 세트내의 속성 중 하나를 만족시키는 요청된 액션(또는 액세스)이 발견되면, 이는 불법임을 뜻하며, 거절된다. 네가티브 어프로치에서 동작하는 보안 시스템에 대한 예로는 안티-바이러스 시스템이 있다. 이 어프로치의 단점은 보안 시스템이 (예를 들면, 바이러스와 같은 불법적인 상황에 이전에 직면하였던)다른 신뢰되는 소스로부터 알아낸 상황에 의해 계속 갱신되거나, 시스템 관리자가 미래의 가능한 불법적인 액션을 (발생하기 이전에) 예측하여 이에 따라 그 세트에 속성을 추가해야 한다는 점이다.

b. 포지티브 어프로치: 애플리케이션내에 허용되는 모든 합법적인 액션 또는 액세스가 시스템 관리자에 의해 정의되고, 대응하는 "포지티브" 속성 세트가 속성 파일내에 저장된다. 저장된 세트내의 저장된 속성을 만족시키지 않는 임의의 액션 또는 액세스는 불법적이라고 간주되므로 거절된다. 이 어프로치의 장점은 임의의 이러한 상황이 디폴트로 불법적이라고 간주되기 때문에, 시스템 관리자가 이러한 임의의 미래의 불법적인 상황을 예측할 필요가 없다는 점이다. 그러므로 이러한 시스템이 더 안전하다. 그러나, 이 어프로치의 단점은 본질적으로 합법적인 상황이 저장된 속성 세트내의 속성에 의해 미리 반영되지 않았기 때문에 거절될 수 있다는 점이다. 그러므로 이러한 접근은 자주 수정되는 시스템에는 바람직하지 않다.

본 발명은 상기 네가티브 또는 포지티브 어프로치 중 하나를 적용하는 보안 시스템 및 상기 2개의 어프로치를 조합하는 시스템으로 동작한다. 그러므로 본 명세서 전반에서 속성 파일은 상기 포지티브 또는 네가티브 어프로치 또는 이 둘의 조합 중 임의의 것에 관련된 속성을 포함할 수 있다.

이하는 신뢰되는 소스로부터 제공될 수 있는 속성 유형에 대한 일부 예이며, 이는 생성된 공통 파일내에 포함될 수 있다.

1. 네트워크 속성 - 예를 들면, 네트워크 프로토콜 이름 및 버전, 포트 - 공통 소스: 네트워크 보안 스캐너, 라우터, 방화벽 패키지, 스위치, 네트워크 침입자.

2. 애플리케이션 속성 - 예를 들면, 애플리케이션 프로토콜 이름 및 버전, 도메인, 애플리케이션 방법. 공통 소스: 방화벽 패키지, 네트워크 보안 스캐너, 애플리케이션 보안 스캐너, 웹 서버, 침입 탐지 시스템, 등.

3. 애플리케이션 경로 속성 - 예를 들면, 페이지 위치, 가상 디렉토리 이름 등. 공통 소스: 애플리케이션 스캐너, 웹 서버, 침입 탐지 시스템, 등.

4. 애플리케이션 액션 속성 - 예를 들면, 지원되는 방법(예를 들면, GET, SET, DELETE, POST), 지시, 매개변수, 등. 공통 소스: 애플리케이션 스캐너, 웹 서버, 웹 애플리케이션, 데이터베이스, 행위에 귀착된 데이터 구조를 설명하는 XML 스키마.

5. 액션 흐름 속성 - 예를 들면, 액션의 시퀀스, 기업 흐름 및 논리. 공통 소스: 애플리케이션 스캐너, 웹 애플리케이션, 데이터베이스.

아래와 같이, 본 발명의 시스템은 2가지 유형의 상황에 직면함을 유의한다.

A. 알려진(예측된) 문제

1. 취약성에 대하여 해결책을 제공하는 기능을 구비하지 않은 (스캐너와 같은) 신뢰되는 소스에 대한 애플리케이션내에 탐지되고 및/또는 증명된 취약성.

2. 취약성에 대하여 해결책을 제시하는 기능을 구비하는 신뢰되는 소스에 대한 탐지되고 및/또는 증명된 취약성.

B. 알려지지 않은(예측불가한) 문제

애플리케이션 세부사항 - 본 발명의 시스템은 그 동작 중에 알려지거나 예측되지 않을 수 있는 취약한 상황에 직면할 수 있다. 이러한 알려지지 않은 상황에대해 보안을 제공하고, 이러한 미래의 취약성을 제거하기 위해서, 추가적인 보안 어프로치가 필요하다. 본 발명에 의해 적용되는 어프로치는 action flow, paths, attributes와 같은(예를 들면, action="login.cgi", paths="/demo", attributes="username,password") 소정의 속성을 만족시키는 일부에만 "유효한" 동작을 제한하는 것이다. 상기 소정의 속성들에 포함되지 않는 속성들에 의한 애플리케이션으로의 임의의 액세스는 금지된다(예를 들면, action="test.cgi", paths="/sample", attributes="debug"). 이러한 어프로치를 사용하면, 미래의 취약성이 이들 소정의 속성들을 만족시키지 못한다면 제거될 것이다(예를 들면, action "register.cgi"에 대한 사용자 요청 및 이 action이 유효하지 않을 경우, 이 action은 유효한 action들의 리스트에 포함되지 않기 때문에 거절될 것이다).

그러므로 본 발명의 시스템은 알려진 문제 뿐만 아니라 알려지지 않은 미래의 취약성에 대한 해결책을 포함한 갱신된 보안 정책을 제공하기 위하여 통합 파일을 사용할 것이다. 해결책이 온라인으로 자동 또는 반 자동적인 방식으로 제공된다.

도 4는 본 발명의 일 실시예에 따라, 보안 정정 유닛(10)에 의해 예를 들면, 애플리케이션 보안 스캐너(4)와 같은 신뢰되는 소스로부터, 속성 컴포넌트를 본래포함하는 결함 속성 레포트를 임포트하고, 그것을 공통 포맷으로 포맷하는 프로시져를 도시한다. 본 명세서에서 하나의 "속성"은 파일내의 여러 라인에 걸쳐 있을 수 있음을 유의한다. 이하 본 명세서에서는 하나의 속성에 관련된 파일내의 라인들의 그룹을 "속성 컴포넌트"라 칭할 것이다. 단계(61)에서, 정정 유닛은 선택된데이터 소스에 접속한다. 단계(62)에서, 정정 유닛은 신뢰되는 소스로부터 레포트를 요청한다. 그 다음, 단계(63)에서, 정정 유닛은 스캐너(4)로부터 레포트를 로드한다. 단계(70)에서, 이 유닛은 그 로드된 레포트로부터 제1 속성 컴포넌트를 판독한다. 단계(64)에서, 이 유닛은 컴포넌트가 공통 포맷으로 되어 있는지 여부를 점검한다. 단계(64)는 공통 포맷이 신뢰되는 소스 중 하나의 포맷과 동일하게 미리 정의되었을 경우에만 해당될 수 있음을 유의한다. 공통 포맷이 모든 신뢰되는 정보 레포트의 임의의 포맷과 다르게 정의되는 경우에, 단계(64)는 불필요하며, 이 프로시져는 자동적으로 포맷 단계(65)로 계속된다. 단계(64)에서 컴포넌트가 공통 포맷이 아니라는 것이 발견된다면, 컴포넌트는 단계(65)에서 공통 포맷으로 변환되고, 단계(69)에서 통합 파일에 저장된다. 그 다음, 단계(67)에서 이 유닛은 판독될 컴포넌트가 더 있는지 여부를 점검한다. 컴포넌트가 더 있는 경우에는, 프로시져는 단계(63)로 리턴하여, 최후의 모든 레포트 컴포넌트를 변환할 때까지 반복한다. 모든 레포트 컴포넌트가 판독되고 변형될 때 이 프로시져는 종료한다(단계(69)). 이 프로시져의 마지막에 통합 파일이 형성된다.

도 4의 프로시져는 모든 관련된 신뢰되는 소스에 대해 반복하고 동일한 통합파일에 추가하도록 동작한다.

도 5는 어떤 것이 활성화되었든, (도 3의) 변환 단계(21, 22, 또는 23)에 의해 수행되는, 도 4의 변환 단계(65)의 동작을 도시한다. 단계(81)에서, 단계(65)는 입력 레포트 파일의 스키마를 로드하여, 그것을 사용가능하게 한다. "스키마"라는 용어는 본 명세서에서 파일내의 데이터가 구성되는 구조 또는 패턴을 기술하는 데이터를 지칭한다. 단계(82)에서 단계(65)는 공통 속성 파일의 스키마를 로드한다. 이 2개의 스키마는 속성 파일로부터 판독되는 데이터의 의미를 결정하고 그 공통 파일의 스키마에 따라서 판독 데이터를 변환하기 위하여 단계(65)에 필요하다. 단계(83)에서, 단계는 레포트 파일로부터 하나의 속성 컴포넌트를, 당연히 레포트 파일의 포맷(입력 포맷)으로 입력한다(화살표(84)). 그 다음 입력 컴포넌트의 포맷이 레포트 파일의 입력 스키마의 포맷과 매치하는지 여부를 점검한다. 매치하지 않으면, 이는 변환이 불가능하다는 것을 의미한다. 이러한 경우, 단계(90)에서 프로시져는 프로세스를 종료하고(단계(90)), 그 소스로부터의 모든 레포트 파일을 무시할지, 또는 그 입력된 컴포넌트만을 무시할지를 판정하고 단계(83)로 리턴하여 레포트 파일로부터 다음 컴포넌트를 검색한다. 단계(87)에서, 변환이 가능하다고 가정하면, 공통 출력 파일의 스키마에 따라서 컴포넌트가 변환되고, 공통(통합) 파일내의 속성 컴포넌트로서 저장된다. 단계(step)(88)에서 단계(stage)는 변환될 컴포넌트가 더 있는지 여부를 점검한다. 컴포넌트가 더 있다면, 프로시져는 단계(84)로 리턴한다. 마지막 컴포넌트라면, 프로시져는 종료된다(단계(89)). 상술된 본 발명의 일 실시예에서, 도 5의 프로시져는 각종 신뢰되는 소스의 모든 레포트 파일에서 반복되고, 동일한 통합 파일에 각 수행이 추가된다. 도 5(도 3의 단계(21, 22, 또는 23))의 변환 프로시져의 여러 수행의 산출물은 공통(통합) 파일이다.

본 발명의 다른 실시예에서, 도 5 프로시져의 각각의 수행은 하나의 임시 변환 파일을 생성한다. 그러므로 그 프로시져의 여러 수행의 종료시에, 프로시져는도 6을 따른다.

도 6의 단계(100)에서, 프로세스는 새로운 통합 파일의 골격을 생성한다. 보다 상세히는, 이 골격 파일은 본래는 빈 테이블인데, 복수의 임시 파일로부터의 속성으로 이 빈 테이블이 채워진다. 단계(101)에서, 프로세스는 도 5의 프로시져에 의해 생성된 복수의 임시 변환 파일의 유용성을 얻거나 보장한다. 단계(102)에서, 프로시져는 제1 임시 파일로부터 제1 컴포넌트를 판독함으로써 시작되고, 그 골격 통합 파일내의 대응하는 빈 속성 공간을 채움으로써 통합 파일을 갱신한다(단계(104)). 단계(107)에서, 프로시져는 이 컴포넌트가 임시 파일내의 마지막 컴포넌트인지 여부를 점검한다. 그렇지 않다면, 프로시져는 다음 컴포넌트로 진행되고(단계(110)), 단계(102)로 리턴한다. 그러나, 단계(107)에서 최후의 컴포넌트에 도달했다는 것이 발견되면, 단계(105)에서 프로시져는 처리될 임시 파일이 더 있는지 여부를 점검한다. 그렇지 않다면, 프로시져는 종료된다. 그러나, 아직 처리되지 않는 파일이 존재한다면, 프로시져는 단계(106)로 진행되어, 다음 파일을 참조하고, 단계(102)로 리턴한다. 상술한 바와 같이, 도 6의 프로시져의 산출물은 통합 파일이다.

도 7은 속성 파일이 신뢰되는 소스로부터 임포트되는 방법 및 상기 공통 포맷으로 대응하는 임시 속성 파일로 변환되는 방법을 설명하고 있다. 단계(181)에서, 프로시져는 관련 속성 파일의 스키마, 즉 입력 스키마를 로드한다. 단계(182)에서, 프로시져는 공통 파일의 스키마를 로드한다. 이 2개의 스키마는 프로시져가 속성 파일로부터 판독한 데이터의 의미를 결정하는 데 필수적이며, 프로시져가 공통 파일의 스키마에 따라 판독된 데이터를 변환하는 것을 허용한다. 단계(184)에서, 프로시져는 관련 속성 파일로부터 (입력 포맷으로) 컴포넌트를 입력한다. 단계(183)에서 프로시져는, 물론 속성 파일 포맷(입력 포맷)으로, 속성 파일로부터 하나의 속성 컴포넌트를 입력한다(화살표 184). 그 다음, 입력 컴포넌트의 포맷이 속성 파일의 입력 스키마 포맷과 매치하는지 여부를 점검한다. 그렇지 않을 경우, 그것은 변환이 불가능하다는 것을 의미한다. 그 경우, 단계(190)에서, 프로시져는 프로세스를 종료하고(단계(189)), 그 속성 파일을 정정하는 가능성을 제거할 것이지, 또는 그 입력된 컴포넌트만을 무시하고 단계(183)로 리턴하여 속성 파일의 다음 컴포넌트를 검색할 것인지 여부를 결정한다. 단계(187)에서, 변환이 가능하다고 가정하고, 컴포넌트는 공통 출력 파일의 스키마에 따라 변환되고, 대응하는 임시 속성 파일내에서 (상기 공통 포맷으로) 속성 컴포넌트로서 저장된다. 단계(188)에서, 프로시져는 변환할 컴포넌트가 더 있는지 여부를 점검한다. 만약 그렇다면, 프로시져는 속성 파일로부터 하나 이상의 컴포넌트를 검색하기 위해 단계(184)로 리턴한다. 그러나, 이것이 마지막 속성 컴포넌트라면, 프로시져는 종료된다(단계(189)). 도 7의 프로시져는 보안 패키지의 속성 파일 각각에 대해 한 번씩 여러 번 수행된다. 상기 복수의 수행의 마지막에서, 상기 공통 포맷으로, 복수의 대응하는 임시 속성 파일이 시스템에 사용가능하다. 상기 임시 속성 파일 각각은 본래는 상기 공통 포맷으로 어떻게 표현되었든간에, 대응하는 패키지에 의해 집행된 현재의 보안 정책을 반영하는 파일이다.

다음, 한편으로는 통합 파일을 지니고, 다른 한편으로는 임시의, 변환된 복수의 속성 파일을 지니고, 이 모든 것은 동일하고 공통인 포맷으로 포맷된, 보안 정책 생성 파일은 상기 임시 속성 파일 정정 각각에서 대신하기 시작하고, 또는 상기 통합 파일내에 포함된 대로 갱신한다. 물론, 상기 정정은 본래 속성을 신뢰되는 소스에 의해 축적되고, 그들의 각종 레포트에 포함된 것으로 정정하는 것이다. 이 프로시져는 제1 임시 속성 파일을 갱신하는 것으로 시작된다.

속성들은 통합 파일내에서, 각각의 속성 파일내에서, 및 섹션 유형에 따른 섹션의 임시 속성 파일내에서 조직되는 것이 바람직하다. 예를 들어, 파일은 네트워크 속성, 애플리케이션 속성, 애플리케이션 경로 등의 섹션을 포함할 수 있다. 따라서, 프로시져는 통합 파일의 제1 섹션으로 진행하고, 예를 들어 네트워크 속성은 섹션내의 제1 컴포넌트를 검색하고, 그 다음 프로시져는 임시 속성 파일내의 대응하는 섹션으로 진행하여 임시 속성 파일내에 동일한 속성 컴포넌트가 존재하는지 여부를 비교한다. 만약 동일한 속성 컴포넌트가 임시 속성 파일내에 존재한다면, 갱신이 필요하지 않다. 그러나, 비교 결과 검색된 컴포넌트가 임시 속성 파일내에 존재하지 않는다면, 상기 관련 섹션내에서(자동 모드로 동작하면서), 그 파일에 동일한 것을 추가한다. 동작의 반자동 모드에서, 임시 속성 파일내의 속성 컴포넌트의 갱신 여부에 대한 결정은 운영자의 주의를 끌 수 있다는 것을 유의한다. 다음, 제1 임시 속성 파일의 수정을 마칠 때까지, 통합 파일내에서 모든 속성 컴포넌트에 대해 프로시져가 반복된다. 그런 점에서, 통합 파일이 하나 이상의 임시 속성 파일과 관련이 없는 속성 컴포넌트를 포함할 수 있다는 것을 본 명세서에서 언급해야 한다. 예를 들어, 네트워크 지향 속성은 애플리케이션 보안 패키지의 속성 파일내에 관련이 없을 수 있다. 또한, 속성 유형 섹션 전체가 속성 파일에서 누락되는 경우가 있을 수 있다. 반면, 속성 컴포넌트가 2개 이상의 각각의 임시 속성 파일에 관련된 것으로 밝혀지는 경우도 있을 수 있다. 본 발명에 따르면, 위의 두 경우 모두 유효하다.

상술된 것과 동일한 갱신 프로시져가 모든 임시 속성 파일에 대해 반복된다. 그 후, 상기 임시 속성 파일 각각(각각은 공통 포맷임)을 대응하는 보안 패키지 특정 포맷 각각으로 변환시키기 위해, 역변환 프로시져를 수행한다. 이 역변환은 상술한 변환과 유사한 방식으로 수행된다. 도 8은 상기 역변환 수행 방법을 도시하고 있다. 단계(281)에서, 프로시져는 관련 임시 속성 파일의 스키마, 즉 공통 포맷을 로드한다. 단계(282)에서, 프로시져는 관련 속성 파일의 출력 스키마, 즉, 패키지 특정 포맷으로 로드한다. 이 2개의 스키마는 프로시져가 속성 파일로부터 판독한 데이터의 의미를 결정하는 데 필수적이며, 공통 파일의 스키마에 따라 판독된 데이터를 변환하는 것을 허용한다. 단계(284)에서, 프로시져는 관련 임시 속성 파일로부터 (입력 포맷으로) 제1 컴포넌트를 입력한다. 단계(283)에서 프로시져는, 물론 임시 속성 파일(공통 포맷)으로, 임시 속성 파일로부터 하나의 속성 컴포넌트를 입력한다(화살표 284). 단계(287)에서, 컴포넌트는 출력 스키마, 패키지 특정 포맷에 따라 변환되고, 대응하는 속성 파일내에서 (상기 패키지 특정 포맷으로) 속성 컴포넌트로서 저장된다. 단계(288)에서, 프로시져는 변환할 컴포넌트가 더 있는지 여부를 점검한다. 만약 그렇다면, 프로시져는 임시 속성 파일로부터 하나 이상의 컴포넌트를 검색하기 위해 단계(284)로 리턴한다. 그러나, 이것이 마지막 속성 컴포넌트라면, 프로시져는 종료된다(단계(289)). 도 8의 프로시져는 임시 속성 파일 각각에 대해 한 번씩 여러 번 수행된다. 상기 복수의 수행의 마지막에서, 패키지 특정 포맷으로, 각 보안 패키지에 대해 하나씩, 복수의 대응하는 속성 파일이 시스템에 사용가능하다. 상기 속성 파일 각각은 그것의 대응하는 보안 패키지에 대한 갱신된 보안 정책을 포함한다. 이 파일들은 각각 목적지 보안 패키지로 익스포트된다. 대체하기 전에, 속성 파일의 대체에 대해 운영자에게 확인을 요청할 수 있다.

상술한 대로, 보안 시스템은 다음과 같이 처리해야 하는 2가지 유형의 경우를 직면하고 있다:

a. "알려진" 경우, 즉 예측할 수 있는 경우 처리하기

b. "알려지지 않은" 경우, 즉 예측할 수 없는 경우 처리하기

스캐너와 같이 신뢰되는 소스로부터의 레포트는 일반적으로, 상기 2가지 모두의 경우에 대해 해결책을 제공하고자 한다. 첫번째 경우에 대한 실례로는, 금지된 것으로 정의되어 있지만 시스템에서 액세스 가능한 위치로의 하나 이상의 경로를 리스트하는 레포트가 있다. 이러한 레포트에 대한 상세한 실례 및 본 발명의 시스템에 의해 이러한 결함이 제거될 수 있는 방법이 후술된다.

두번째("알려지지 않은") 경우를 대처하는 방법을 제공하고자 하는 신뢰되는 소스로부터의 레포트도 또한 일반적으로 제공된다. 이러한 레포트는 애플리케이션(또는 네트워크)의 "맵", 즉 모든 애플리케이션의 위치 및 그들의 관련 경로를 나타내는 트리를 포함한다. 다시 말해, 이러한 트리는 예를 들어, 애플리케이션내의모든 HTML 페이지 및 그들(관련 경로)를 액세스하는 모든 방식을 나타낸다. 본 발명의 실시예에 따르면, 이들 경로가 상기 "두번째 유형 레포트"내에 포함된 경우, 이것은 정정 유닛에 의해 유일하게 유효한 위치 또는 경로로서 정의된다. 이러한 레포트가 본 발명의 정정 유닛에서 수신될 경우, 그 내용은 (변환을 포함한, 상술된 프로세스를 수행한 후) 관련 속성 파일로 전달된다. 이것은 누군가가 애플리케이션(또는 네트워크)내의 위치에 액세스하고자 할 경우, 또는 유효하다고 특별히 정의되지 않은 경로를 사용하고자 하는 경우, 그 액세스가 거부될 것이라는 것을 의미한다. 이 유형이 "알려지지 않은"이라고 불리는 이유는, 사용자가 애플리케이션(또는 네트워크)내의 위치를 불법으로 액세스하고자 하는, 거의 무한정의 가능성을 예측하기가 어렵기 때문이고, 훌륭한 보안 시스템은 또한 이러한 "알려지지 않은" 경우를 대처하는 것을 처리할 수 있어야 한다.

실례 1:

도 9a는 보안 애플리케이션 스캐너와 같이 하나의 신뢰되는 소스로부터 획득된 2개의 속성 컴포넌트에 대한 실례를 보여주고 있다. 특히, 이것은 스캐너 속성 레포트이다.

도 9b는 패키지의 보안 정책을 형성하는 패키지(예를 들어, "게이트웨이")의 특정 속성 파일에 대한 실례를 보여주고 있다. 이같이, 이 파일은 다음과 같이 아래부분에 4개의 허용된 애플리케이션 경로를 포함한다.

<Application Path>/test/<Application Path>

<Application Path>/samples/<Application Path>

<Application Path>/demo/<Application Path>

<Application Path>/cgi-bin/<Application Path>

도 10a는 통합 전에는 비어 있었던, 통합 파일을 보여주고 있다. 이같이, 이 파일은 본래는 골격 파일이고, 이것은 값으로 채워질 필드들을 포함한다.

도 10b는 도 9a의 레포트를 공통 포맷으로 변환하고 통합 파일의 골격 파일로 통합한 후의, 통합 파일을 보여주고 있다. 이같이, 통합 파일 대부분은 빈 채로 남아있는데, 그 이유는 도 9a의 레포트는 도 10a의 애플리케이션 섹션에서 보여지는 단지 2개의 컴포넌트만을 포함하고 있고, 이 실례에서는 단지 하나의 신뢰되는 소스만이 사용되기 때문이다.

도 11은 공통 포맷으로 된 임시 속성 파일을 보여주고 있다. 특히, 이것은 공통 포맷으로 변환된, 도 9b의 속성 파일의 변환이다.

도 12는 통합 파일로부터의 정보로 갱신된 후, 도 11의 임시 속성 파일을 보여주고 있다.

도 13은 최종의 갱신된 패키지 특정 속성 파일을 보여주고 있으며, 이것은 본 발명의 시스템에 의해 수정되었다. 특히, 도 13의 이 속성 파일은 본래 대응하는 임시 속성 파일이며, 이것은 도 10의 통합 파일로부터의 정보에 의해 수정되었으며, 갱신된 정책을 포함한다. 이같이, (도 9b의) 속성 파일에 원래 포함되어 있었던 이하의 ApplicationPath 속성은 제거되었다:

<Application Path>/test/<Application Path>

<Application Path>/samples/<Application Path>

<Application Path>/cgi-bin/<Application Path>

본 실례의 처리를 위해 남겨진 유일한 속성은 다음과 같다:

<Application Path>/demo/<Application Path>

특히, 원래는 사용자가 4개의 경로 위치로 들어갈 수 있었지만, 지금은 스캐너로부터의 결함 속성 레포트로 인해 이들 중 3개가 금지된다.

많은 경우, 각종 보안 패키지 및 (스캐너와 같이) 신뢰되는 소스들이 다른 엔티티들에 의해 제조되기 때문에 다양한 파일 구조 및 포맷을 사용한다는 사실로 인해, 레포트 파일을 공통 포맷으로 변환시키고 각 패키지 특정 포맷으로 다시 되돌아가게 하는 것이 필수라는 것을 유의한다. 이 변환은 하나의 공통 포맷에서의 필수적인 처리의 수행을 가능하게 한다. 그러나, 상기 모든 파일이 하나의 공통 포맷으로 주어지거나 구조화된 경우가 있을 수 있다. 그런 경우, 변환 모듈 및 대응하는 변환 동작은 불필요할 수 있고, 시스템은 이들 없이도 구조화되고 동작될 수 있다.

본 발명의 시스템이 단지 보안 정책을 갱신하는 것 뿐만 아니라, 보안 정책을 생성하는 데에도 사용될 수 있다는 것을 또한 유의해야 한다. 이 생성 옵션은 시스템 동작 전에 하나 이상의 패키지 속성 파일이 비어있을 때 사용될 수 있고, 갱신 옵션은 본질적으로 그 패키지에 대한 새 보안 정책을 생성한다.

실례 2:

이하의 실례는 본 발명이 매우 유익하게 사용되는 실제 생활의 시나리오를 도시하고 있다. 이하의 환경을 상상해보자:

- 독립적인 전용 네트워크 세그먼트가 인터넷, 즉 공용 네트워크에 접속되어 있음.

- 전용 네트워크내에서 수행되는 애플리케이션은 이제 인터넷 사용자에 액세스 할 수 있음. 이들 사용자들은 신뢰되지 않는 사용자로 간주되기 때문에, 전용 네트워크는 여러 보안 패키지를 사용하여 인증되지 못하거나 또는 이들 사용자에 의해 애플리케이션의 사용에 해가 될 만한 것을 제거함.

사용되는 보안 패키지:

전용 네트워크내의 보안 패키지는 필요한 보안을 제공하기 위해 착신 및 발신 패킷과 바이트 스트림을 조사하는 장치 및 컴퓨터 프로그램을 포함한다. 예를 들어, 전용 환경은 이하의 보안 패키지를 활용한다:

네트워크 계층 방화벽 - 네트워크 계층의 보안 문제를 처리하기 위해 (CheckPoint, Symantec 등에 의해 제공됨).

애플리케이션 계층 방화벽 - 애플리케이션 계층의 보안 문제를 처리하기 위해 (KaVaDo, Entercept 등에 의해 제공됨).

인증 서버 - 사용자이름 & 암호와 같은 특정 속성에 기초하여 원격 사용자를 인증하기 위해 (Netegrity, RSA, CheckPoint에 의해 제공됨).

네트워크 스캐너 - 네트워크 계층내의 취약점을 평가하고 네트워크 계층 속성(예를 들어, 프로토콜 유형, 버전 등)을 식별하고 및/또는 검증하기 위해.

애플리케이션 스캐너 - 애플리케이션 계층내의 취약점을 평가하고 애플리케이션 계층 속성(예를 들어, 프로토콜, 매개변수, 액션 등)을 식별하고 및/또는 검증하기 위해.

상술된 환경 설명이 주어지면, 전용 네트워크 시스템 관리자는 자동 방식으로 애플리케이션 계층 방화벽 정책을 점검하고, 검증하고 갱신하고자 할 것이다.

본 발명에 기초하여, 관리자는 활용할 수 있는 여러 신뢰되는 소스를 지니고 있다.

네트워크 계층 방화벽 - 네트워크 계층 보안 속성을 제공함;

인증 서버 데이터베이스 - 인증된 사용자 속성(예를 들어, 사용자이름 & 암호)을 제공함;

네트워크 스캐너 취약성 및 속성 레포트 - 네트워크 계층 보안 속성(예를 들어, 프로토콜 유형, 버전 등) 및 알려진 취약성을 제공함;

애플리케이션 스캔 취약성 및 속성 레포트 - 애플리케이션 계층 보안 속성(예를 들어, 허용가능한 액션, 액션 흐름, 액션 속성 등)을 제공함;

애플리케이션 데이터베이스 - 애플리케이션의 매개변수 이름 및 값을 제공함;

본 발명에 따라, 관리자는 애플리케이션 계층 방화벽 보안 서버로부터 기존의 보안 정책을 사용할 수 있다.

애플리케이션 계층 방화벽 보안 정책의 속성 파일에 반영된 대로 그것상에 통합되고 신뢰되는 소스 데이터를 적용함으로써, 본 발명에 설명된 방식에 의해, 새롭고 또는 갱신된 보안 정책이 자동적으로 생성되고 자동, 반자동 또는 수동 방식으로 사용되기 위해 애플리케이션 계층 방화벽 보안 서버로 익스포트되어 질 수있다.

실례 3

침입 탐지 시스템(IDS)은 종래 기술에서 알려져 있는 네트워크 유형 보안 시스템이다. 이러한 시스템은 또한 종종 호스트 기반 침입 탐지 시스템(Host based Intrusion Detection System) 또는 침입 방지 시스템(Intrusion Prevention System)이라 불린다. 통상적인 IDS 시스템은 예를 들어 Entercept 사 및 WebCohort 사에 의해 배포된다. IDS는 일반적으로 유효하지 않은 "서명" 리스트를 포함하는 속성 파일을 지니고 있다. IDS는 네트워크, 특히 사용자와 애플리케이션간의 통신을 계속 모니터함으로써 해커를 탐지하고, 이러한 유효하지 않은 서명이 탐지되면, 시스템은 세션을 종료시키거나 또는 액세스를 거부한다. 상술한 대로, 이러한 어프로치는 속성 리스트가 유효하지 않은 속성만(이 경우는 "서명")을 포함하고 있기 때문에 종래 기술에서 "네가티브 어프로치"로 알려져 있다. 네가티브 어프로치에서의 통상적인 IDS 동작은, 이러한 상황을 유효하지 않은 것으로 정의하는 적절한 속성을 (시스템 관리자가) 도입할 수 있도록 하기 위해, (관련된 모든 결과와 함께) 해가 되는 상황을 우선 대처해야 하는 (또는 통지받아야 하는) 필요가 있다는 단점으로 인해 손해를 입는다.

그러므로, 네가티브 어프로치에서 동작하는 보안 시스템에 기초하는 서명을 이용하는 한계를 이해하므로, IDS 벤더는 포지티브 어프로치에서 동작하는 새 보안 모델로 이제 이동하고 있으며, 이 포지티브 어프로치에서 보안 시스템은 HTTP 또는 SQL 통신의 윤곽을 그림으로써 "애플리케이션의 정상적인 행동"을 알게 된다. 그경우, "정상" 애플리케이션 행동에서 벗어난 이벤트들("비규칙적인 이벤트")은 일반적으로 결정이 내려질 때까지 시스템에 의해 더 평가되고 사정된다. 이 새 어프로치는 매우 문제가 있는 것으로 밝혀졌는데, 그 이유는 이것이 항상 실시간으로 해결책을 제공할 수 없는, 상당한 학습 및 평가 노력을 필요로 하기 때문이다.

이 실례에 의해 보여진 대로, 본 발명의 시스템은 상기 단점을 극복한다.

본 실례의 이하의 실시예에 따르면, 도 1에서 네트워크 보안 패키지(6)는 IDS이고, 속성 파일(7)은 IDS 서명을 포함한다.

특히, 도 2에 관해, IDS는 네트워크 보안 패키지(6)이고, 서명은 속성 파일(7)내에 포함되어 있다. 보안 제어 유닛(10)은 속성 파일(10)을 공통 포맷으로 변환시키고, 이것은 또한 각종(또는 다른) 네트워크의 신뢰되는 소스(보안 스캐너와 같은), 공통 포맷으로 변환된 모든 속성 및 전술된 처리를 따라서 생성된 통합 파일으로부터 다른 속성들을 선택한다. 그후 통합 파일은 (네트워크 보안 패키지의) 최초의 속성 파일의 특정 포맷으로 변환되고, 최초의 속성(서명) 파일을 대체한다. 이러한 방식으로 서명을 포함하는 속성 파일은 스캐너와 같이 신뢰되는 소스로부터 수신된 데이터로 계속해서 갱신되며, 이것은 IDS를 계속해서 갱신되게 하며, 서명(네가티브 어프로치) 및 다른 신뢰되는 소스(포지티브 어프로치)로부터 수신된 추가의 갱신된 속성들을 보유하여, 오류가 적은 포지티브 및/또는 네가티브 경고를 제공한다.

실례 4

애플리케이션 스위치는 종래 기술에서 잘 알려진 유닛이다. 애플리케이션스위치의 중요한 태스크는 소정의 속성 세트를 사용하여 착신 트래픽을 특정 대상 서버로 향하게 하는 것이다. 특히, 요청내에 포함된 하나 이상의 애플리케이션 레벨 속성을 세트내의 애플리케이션 속성과 비교함으로써 이러한 지시가 이루어진다(이것은 동일한 것을 수행하는 네트워크 스위치와 유사하지만, 네트워크 스위치는 네트워크 레벨 속성상에서 동작한다).

애플리케이션 스위치의 사용예는 다음과 같다:

- Login.html이라 불리는 하나의 HTML 페이지 및 2개의 이미지 파일 x.gif 및 y.gif를 지니고 있는 웹 애플리케이션

- 2개의 웹 서버(하나는 상기 Login.html 파일을 보유하고 있는 HTML 파일 서버이고, 다른 하나는 상기 2개의 이미지 파일을 보유하고 있는 이미지 파일 서버)를 이용하여 설치된 웹 애플리케이션

- 상기 2개의 웹 서버의 앞에서 사용되어, 이미지에 대한 모든 요청을 이미지 서버로 및 HTML 파일에 대한 모든 요청을 HTML 파일 서버로 스위치하도록 구성되어 있는 애플리케이션 레벨 스위치

- 이제, 예를 들어, 원격 사용자가 웹 애플리케이션에 x.gif 파일을 요청하는 요청을 전송한 경우:

- 요청이 애플리케이션 레벨 스위치에 도달하고, 애플리케이션 레벨 스위치는 사용자 요청(이경우는 x.gif)으로부터 애플리케이션 속성을 추출하고, 이 요청을 최종 목적지인 이미지 파일 서버로 스위치한다. 유효한 요청은 네트워크 및 애플리케이션 속성 둘 다를 포함한다는 것을 유의한다.

- 상기 애플리케이션 스위치는 소정의 애플리케이션 레벨 속성을 포함하는 속성 스위칭 테이블을 이용하여 상기 태스크를 수행한다.

- 스위칭 테이블(HTML/이미지)내의 대응하는 속성을 매치하지 않는 애플리케이션 속성을 지닌 임의의 원격 사용자 요청은 거절되고 미확인 요청을 처리하기 위해 예를 들어 소정의 디폴트 위치로(또는 다른 서버로) 스위치될 것이다.

종래 기술에 따른 통상적인 애플리케이션 스위치는 본질적으로 스위칭 동작만을 수행하고 임의의 보안 기능이 부족하다. 본 발명에 따르면, 상기 애플리케이션 스위치는 수정되어 보안 태스크를 수행할 수 있다. 이 점에서, 애플리케이션 스위치의 속성 테이블은 도 3의 속성 파일(3 또는 7)이 사용된 것과 동일한 방식으로 사용된다. 그 후, 보안 정정 유닛(10)은 애플리케이션 스위치(스위치는 여기서 보안 패키지로서 취급됨)의 상기 테이블로부터 속성들을 임포트하고, 도 3의 예제에 대해 설명된 대로 본 발명의 프로시져를 수행한다. 그 후, 본 프로시져(물론 요청된 포맷 변환을 수행한 후)에 의해 생성되고 복수의 신뢰되는 소스로부터 취합된 보안 속성을 포함하는 통합 파일이 애플리케이션 스위치의 속성 테이블로 다시 익스포트된다. 이러한 방식으로, 포지티브 어프로치에 따르는 경우, 스위치 테이블내의 갱신된 속성은 이제 보안 기능을 수행할 수 있다. 특히, 애플리케이션 스위치의 상기 갱신된 테이블내에 포함된 애플리케이션 속성 중 어떠한 것과도 매치하지 않는 애플리케이션 속성을 지닌 요청은 거절된다. 그러나, 상기 갱신된 테이블내의 속성을 매치하는 하나 이상의 애플리케이션 속성을 포함하는 요청만이 보내어진다. 이런 방식으로, 애플리케이션 스위치에게 그 원래의 스위칭 기능 외에 (포지티브 어프로치의) 보안 기능이 제공된다.

본 발명의 일부 실시예가 도시의 방법으로 설명되었지만, 본 발명의 범위를 벗어나지 않고 또는 청구항이 범위를 넘지 않으면서, 본 발명이 많은 수정, 변형, 적용 및 당업자의 범위 내에서 많은 동등물 또는 대체 해결책을 사용하여 실행에 옮겨질 수 있다는 것은 명백할 것이다.

보안 정책의 설정을 단순화하여 애플리케이션, 네트워크, 또는 애플리케이션이 제공하는 서비스내에서 보안 효력을 갖는 변경들을 도입할 때 보안 정책의 설정을 동적으로 수정할 수 있다. 또한, 전산화된 환경내에서 동작하는 임의의 보안 애플리케이션에 의해 집행되는 특정 보안 정책 각각을 동적으로 점검하고 정정할 수 있고, 보안 스캐너 또는 다른 신뢰되는 소스로부터 지시 및 결함 레포트를 효과적으로 수신할 수 있고, 자동적이거나 반자동적인 방식으로 그것을 정정할 수 있다.

Claims (18)

1. 적어도 하나의 보안 패키지가 보호하는 전산화된 시스템내의 보안 정책을 생성하고 및/또는 갱신하는 방법에 있어서,

   a. 상기 시스템내의 적어도 하나의 신뢰되는 소스를 제공하는 단계 -상기 적어도 하나의 신뢰되는 소스는 상기 시스템의 구조 및/또는 속성, 및/또는 상기 시스템내의 보안 결함을 상술하는 레포트를 발행할 수 있음-;

   b. 주기적으로 상기 레포트를 발행하기 위해 상기 적어도 하나의 신뢰되는 소스를 주기적으로 동작시키는 단계;

   c. 보안 정정 유닛으로 각각의 신뢰되는 소스 레포트를 임포트하여, 모든 상기 레포트로부터의 세부사항을 포함하는 하나의 통합 파일을 형성하는 단계;

   d. 모든 보안 패키지의 속성 파일들을 상기 보안 정정 유닛으로 임포트하는 단계;

   e. 상기 통합 파일의 내용을 임포트된 속성 파일 각각과 따로따로 비교하여, 각각의 속성 파일을 상기 통합 파일내에 포함되며 상기 속성 파일로부터 누락되지만 상기 속성 파일에 관련있는 보안 정보로 갱신하는 단계; 및

   f. 상기 갱신된 속성 파일들을 각각 익스포트하고, 그 파일들 각각이 대응하는 보안 패키지의 활성화된 속성 파일로서의 효력을 발휘함으로써, 갱신된 보안 정책의 효력을 발휘하는 단계

   를 포함하는 방법.
2. 제1항에 있어서,

   a. 신뢰되는 소스 레포트 각각을 임포트하는 상기 단계는 각 레포트를 공통 포맷으로 변환하고 상기 공통 포맷으로 상기 통합 파일을 형성하는 단계를 더 포함하고;

   b. 상기 모든 보안 패키지의 상기 속성 파일을 상기 보안 정정 유닛으로 임포트하는 상기 단계는 각각의 속성 파일을 상기 공통 포맷으로 변환하는 단계를 더 포함하고; 및

   c. 상기 갱신된 속성 파일들을 각각 익스포트하고, 그 파일들 각각이 대응하는 보안 패키지의 활성화된 속성 파일로서의 효력을 발휘하는 상기 단계는, 상기 익스포트 이전에 상기 속성 파일을 공통 포맷으로부터 패키지 특정 포맷으로 변환하는 단계를 더 포함하는 방법.
3. 제1항에 있어서, 상기 갱신하는 단계는, 효력을 발휘하는 갱신 및 무시할 갱신을 결정하기 위해, 소정의 논리 규칙 세트를 또한 이용함으로써 수행되는 방법.
4. 제1항에 있어서, 상기 레포트 각각은 적어도 하나의 속성 컴포넌트를 포함하는 방법.
5. 제2항에 있어서, 상기 발행된 레포트 각각은 상기 대응하는 신뢰되는 소스의특정 포맷으로 배열되는 방법.
6. 제2항에 있어서, 상기 속성 파일 각각은 상기 대응하는 패키지의 특정 포맷으로 배열되는 방법.
7. 제1항에 있어서, 보안 패키지 각각은 그 속성 파일의 내용에 따라, 소정의 책임 범위내에서 보안 정책의 효력을 발휘하는 방법.
8. 제1항에 있어서, 상기 하나 이상의 신뢰되는 소스는 보안 스캐너인 방법.
9. 제1항에 있어서, 상기 갱신 단계와 관련된 모든 또는 일부 단계는 운영자의 승인을 필요로 하는 반자동 방식으로 수행되는 방법.
10. 제1항에 있어서, 상기 신뢰되는 소스들 중 일부는 수동 레포트를 발행하는 사람인 방법.
11. 제1항에 있어서, 상기 레포트에 포함된 상기 속성 컴포넌트들의 일부는 알려진 결함 경우를 제거하고자 하는 속성이며, 상기 속성 컴포넌트들의 일부는 예측할 수 없는 경우를 제거하고자 하는 속성인 방법.
12. 제11항에 있어서, 예측할 수 없는 경우를 제거하고자 하는 상기 레포트내의 속성은 상기 시스템의 현재 구조와 관련된 속성이고, 상기 속성은 갱신된 속성 파일내에서 기록될 때, 상기 구조에 특정되는 보안 정책을 집행하고, 상기 구조로부터 벗어난 행동을 거절하는 방법.
13. 보안 정책을 생성하고 및/또는 갱신하는 시스템에 있어서,

    a. 소정의 책임 범위내에서 보안 정책을 집행하는 적어도 하나의 보안 패키지 -상기 정책은 상기 패키지 각각과 관련된 특정 속성 파일에 의해 정의됨-;

    b. 상기 시스템의 구조 및/또는 속성, 및/또는 상기 시스템내의 보안 결함을 상술하는 레포트를 발행할 수 있는 적어도 하나의 신뢰되는 소스 ; 및

    c. 보안 정정 유닛

    을 포함하고,

    상기 보안 정정 유닛은,

    - 상기 모든 신뢰되는 소스들로부터 상기 레포트를 임포트하고, 상기 모든 레포트로부터의 정보를 포함하는 통합 파일을 생성하고; 및

    - 상기 모든 보안 패키지로부터 상기 속성들을 임포트하고, 상기 통합 파일의 내용을 임포트된 속성 파일 각각과 따로따로 비교하여, 각각의 속성 파일을 상기 통합 파일내에 포함되며 상기 속성 파일로부터 누락되지만 상기 속성 파일에 관련있는 보안 정보로 갱신하고, 상기 갱신된 속성 파일들을 익스포트하고 그 파일들 각각이 대응하는 보안 패키지의 활성화된 속성 파일로서의 효력을 발휘함으로써,갱신된 보안 정책의 효력을 발휘하도록 하는 시스템.
14. 제13항에 있어서, 상기 보안 정정 유닛은,

    - 각 신뢰되는 소스로부터 레포트를 임포트하는 적어도 하나의 제1 임포팅 모듈;

    - 상기 레포트 각각을 수신하고 상기 모든 레포트들에 포함된 정보를 포함하는 하나의 통합 파일을 형성하는 통합 모듈;

    - 각 보안 패키지로부터 상기 정정 유닛으로 그것의 대응하는 속성 파일을 임포트하는 적어도 하나의 제2 임포팅 모듈;

    - 상기 통합 파일의 내용을 상기 임포트된 속성 파일들 각각과 비교하고, 각각의 속성 파일을 상기 통합 파일내에 포함되며 상기 속성 파일로부터 누락되지만 상기 속성 파일에 관련있는 보안 정보로 갱신하는 보안 정책 생성 모듈; 및

    - 갱신된 속성 파일 각각을 그것의 대응하는 보안 패키지로 익스포트하여 갱신된 보안 정책의 효력을 발휘하게 하는 적어도 하나의 익스포팅 모듈

    을 포함하는 시스템.
15. 제14항에 있어서,

    각 레포트를 그것의 신뢰되는 소스의 특정 포맷으로부터 공통 포맷으로 변환하는 적어도 하나의 제1 변환 모듈,

    임포트된 속성 보안 패키지 각각을 그 패키지 특정 포맷으로부터 공통 포맷으로 변환하는 적어도 하나의 제2 변환 모듈, 및

    각각의 갱신된 속성 파일을 상기 대응하는 패키지로 내보내기 전에, 공통 포맷으로부터 그 패키지 특정 포맷으로 변환하는 적어도 하나의 제3 변환 모듈을 포함하고,

    상기 통합 파일은 또한 상기 공통 포맷으로 배열되는 시스템.
16. 제14항에 있어서, 상기 보안 정책 생성 모듈은 상기 속성 파일을 갱신하는 동안 사용되는 소정의 논리 결정 규칙 세트를 또한 포함하는 시스템.
17. 제13항에 있어서, 상기 보안 패키지 중 하나는 침입 탐지 시스템(IDS)이고, 이것의 서명 세트는 파일내에 저장되며, 상기 파일은 보안 패키지의 속성 파일로서 취급되어, 그에 따라 갱신되는 시스템.
18. 제13항에 있어서, 상기 보안 패키지 중 하나는 애플리케이션 스위치이고, 지시에 사용되는 이것의 속성 세트는 파일내에 저장되며, 상기 파일은 보안 패키지의 속성 파일로서 상기 시스템에 의해 취급되어, 그에 따라 갱신되는 시스템.