KR20060030821A

KR20060030821A - 네트워크에서의 차등 침입탐지 장치 및 방법

Info

Publication number: KR20060030821A
Application number: KR1020040079698A
Authority: KR
Inventors: 염응문
Original assignee: 삼성전자주식회사
Priority date: 2004-10-06
Filing date: 2004-10-06
Publication date: 2006-04-11
Also published as: CN1764158A; AU2005217988B2; KR100624483B1; AU2005217988A1; JP2006121679A; US20060075498A1

Abstract

본 발명은 침입탐지시스템(Intrusion Detection System; IDS)을 보안장치로 사용하는 네트워크에서 실시간 처리를 요하는 패킷에 대한 QoS를 높이기 위한 것으로, 패킷의 종류에 따라 IDS의 패턴 매칭 과정을 차등 적용함으로써 IDS에 따른 지연을 감소시키고 이를 통해 패킷 처리 시간을 감소시키는 자동 차등 침입탐지 장치 및 방법에 관한 것이다.

침입탐지시스템(Intrusion Detection System; IDS), VoIP, 차등, 실시간(real time), QoS

Description

네트워크에서의 차등 침입탐지 장치 및 방법{APPARATUS AND METHOD FOR INTRUSION DETECTION IN NETWORK}

도 1은 침입탐지시스템(Intrusion Detection System; IDS), 침입차단시스템(firewall, 방화벽) 등의 보안장치와 VoIP기능이 포함된 키폰 또는 사설교환기 등의 교환 장치를 포함하는 네트워크의 일반적인 구성도.

도 2는 보안장치와 교환 장치가 통합된 형태의 통합 교환 장치를 포함하는 네트워크의 구성도.

도 3은 도 2에 도시된 통합 교환 장치의 기능 블록인 침입탐지부 및 교환부의 구성을 도시하는 도면.

도 4는 도 1의 침입탐지시스템 및 교환 장치의 구성을 도시하는 도면.

도 5는 본 발명에 따른 신호의 흐름을 도시하는 신호 흐름도.

도 6은 본 발명의 방법에 따른 과정들을 순차적으로 도시하는 순서흐름도.

본 발명은 네트워크의 보안을 위한 침입탐지시스템(Intrusion Detection System; IDS)에 관한 것으로, 필요에 따라 차등적으로 침입탐지를 적용할 수 있는 차등 침입탐지 장치 및 방법에 관한 것이다.

데이터와 통신 보안은 오늘날의 네트워크에서 중요하다. 침입탐지시스템은, 네트워크의 보안을 위해 사용되는 장치들 중의 하나로, 공격을 감지하고 가능하다면 공격을 추적할 수 있게 활동하는 모니터링 시스템이다. 침입탐지시스템은 네트워크나 시스템을 조사 및 감시하고 필요한 조치를 취하는 시스템이다. 예를 들어, 참입차단시스템(firewall, 방화벽)이 잠겨 있는 문이라면, 침입탐지시스템은 그 방안에 설치되어 움직임을 알아내는 감지 장치라고 할 수 있다. 침입탐지시스템에 적용되는 방식에는 특정한 종류의 공격을 확인해내는 것부터 비정상적인 트래픽을 찾아내는 방식까지 다양하다. 첨부된 도면을 참조하여 침입탐지시스템을 사용한 네트워크의 보안에 대해 설명하도록 한다.

도 1은 보안을 위한 침입탐지시스템 및 침입차단시스템을 포함하는 네트워크의 구성도이다.

도 1에 도시된 바와 같이 네트워크는 침입탐지시스템(100), 침입차단시스템(110) 및 교환 장치(120)를 포함하여 구성될 수 있다.

침입탐지시스템(100)은 여러 가지 공격 패턴을 저장하고 수신되는 패킷을 저장된 공격 패턴과 비교하는 패킷 매칭(packet matching)을 통해 해당 패킷이 공격 패킷인지를 판단한다. 침입차단시스템(110)은 미리 정의된 정책에 따라 네트워크 연결을 위한 포트를 열거나 차단하는 기능을 수행한다. 침입차단시스템(110)은, 도 1에 도시된 바와 같이 침입탐지시스템(100)을 사용하는 네트워크에서는, 침입탐지시스템(100)의 제어에 따라 포트 연결 및 차단을 결정할 수도 있다.

교환 장치(120)는 수신된 패킷들에 포함된 정보에 따라 각 패킷들을 요구되는 위치로 송신하는 교환 기능을 수행한다.

한편, 침입탐지시스템, 침입차단시스템 및 교환 장치는 다음의 도 2에 도시된 바와 같이 통합될 수도 있다.

도 2는 보안 장치와 교환 장치가 통합된 통합 교환 장치를 포함하는 네트워크의 구성도이다.

도 2의 통합 교환 장치(SME system)(200)는 수신되는 패킷에 대한 패턴 매칭을 수행하고, 그 결과 해당 패킷이 정상적인 패킷이 아닌 공격 패킷이라 판단되면 해당 패킷을 차단하는 보안 기능 및 정상적인 패킷에 대한 교환 기능을 가진다. 도 2의 침입탐지부(210), 침입차단부(220) 및 교환부(230)는 통합 교환 장치(200)에 포함되어 통합 교환 장치(200)가 상기와 같이 보안 기능 및 교환 기능을 수행 할 수 있도록 하는 기능 모듈들이다. 즉, 침입탐지부(210)는 여러 가지 공격 패턴을 저장하고 수신되는 패킷을 저장된 공격 패턴과 비교하는 패킷 매칭(packet matching)을 통해 해당 패킷이 공격 패킷인지를 판단하고, 침입차단부(220)는 미리 정의된 정책에 따라 네트워크 연결을 위한 포트를 열거나 차단하고, 교환부(230)는 수신된 패킷들에 포함된 정보에 따라 각 패킷들을 요구되는 위치로 송신하는 교환 기능을 수행한다.

다른 한편, 네트워크는 VoIP 등의 실시간 처리를 요청하는 패킷들 역시 전송 하고 있다. 실시간 처리를 요청하는 패킷은 전송 지연이 짧아야 한다. 그런데, 침입탐지시스템(100) 또는 침입탐지부(210)는 침입탐지 패킷의 Patten/Byte 매칭 방법을 이용하여 미리 저장되어 있는 많은 수의 패턴과 대조하여 침입탐지여부를 감지하므로, 이로 인한 전송 지연을 발생시킨다. 따라서 VoIP 등의 실시간 처리를 요청하는 패킷은 침입탐지시스템(100) 또는 침입탐지부(210)로 인한 전송 지연 때문에 QoS(Quality of Service)가 저하될 수 있다. 또, 시스템은 침입탐지시스템(100) 또는 침입탐지부(210)의 패턴 매칭 처리로 인해 증가하는 시스템의 부하(Load) 때문에 성능이 저하된다.

즉, 종래기술은 모든 패킷에 대해 일괄적으로 침입탐지를 위한 패턴 매칭을 수행하므로 패턴 매칭 수행으로 인한 성능 저하에 대응할 수 있는 방법이 없다.

따라서 본 발명의 목적은 수신되는 패킷에 대한 침입탐지 수행 여부를 판단할 수 있는 차등 침입탐지 장치 및 방법을 제공함에 있다.

본 발명의 다른 목적은 패킷 처리 속도의 증가를 통해 패킷의 실시간 처리를 가능하게 하는 차등 침입탐지 장치 및 방법을 제공함에 있다.

본 발명의 또 다른 목적은 잘 알려진 포트를 사용하지 않는 패킷에 대한 침입탐지 수행 여부를 판단할 수 있는 차등 침입탐지 장치 및 방법을 제공함에 있다.

상기 목적들을 달성하기 위해 본 발명은; 침입탐지시스템을 포함하는 네트워크에 있어서, 수신되는 패킷에 대해 침입탐지를 위한 패턴 매칭을 수행하며, 상기 패턴 매칭의 수행 여부는 수신되는 제 1 제어 신호에 따라 결정하는 침입탐지시스템과, 수신되는 패킷이 실시간 처리를 요청하는 패킷인지 아닌지를 판단하고, 상기 판단 결과에 따라 해당 패킷에 대한 패턴 매칭의 수행 여부를 지시하는 정보를 포함하는 제 1 제어 신호를 생성하여 상기 침입탐지부에 송신하는 교환 장치를 포함함을 특징으로 하는 차등 침입탐지 장치를 제안한다.

또, 본 발명은; 침입탐지시스템을 포함하는 네트워크에 있어서, 패킷을 수신하는 제 1 과정과, 상기 수신된 패킷이 실시간 처리를 요청하는 패킷인지 아닌지를 판단하는 제 2 과정과, 상기 판단 결과 실시간 처리를 요청하는 패킷들에 대해서는 침입탐지를 위한 패턴 매칭을 수행하지 않고, 실시간 처리를 요청하지 않는 패킷들에 대해서는 침입탐지를 위한 패턴 매칭을 수행하는 제 3 과정을 포함함을 특징으로 하는 차등 침입탐지 방법을 제안한다.

이하 본 발명의 바람직한 실시예들을 첨부된 도면의 참조와 함께 상세히 설명한다. 본 발명을 설명함에 있어서, 관련된 공지기능 혹은 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단된 경우 그 상세한 설명은 생략한다.

이하 기술하는 본 발명은 IP/포트 정보를 사용하여 구현될 수 있다. 즉, 본 발명은 특정 포트를 통해 실시간 처리를 요청하는 패킷의 수신이 시작되는 것으로 판단되면, 이후 상기 포트를 통해 수신되는 패킷들에 대해서는 침입탐지 기능을 차 단한다. 본 발명은 이후 상기 포트를 통한 실시간 처리 요청 패킷의 수신이 종료되는 것으로 판단되면, 상기 포트를 통해 수신되는 패킷들에 대한 침입탐지 기능의 차단을 해제한다.

상기 수신되는 패킷이 실시간 처리를 요청하는 패킷인지를 판단하는 것은 교환 장치이다. 교환 장치는, 실시간 처리를 요청하는 패킷이 수신된 것으로 판단되면, 상기 패킷이 수신되는 포트 번호와 침입탐지 기능의 차단 여부를 알리는 신호를 침입탐지시스템에 송신한다. 침입탐지시스템은 교환 장치로부터 상기 신호를 수신하면, 상기 신호가 지시하는 포트를 통해 수신되는 패킷에 대한 패턴 매칭 수행 여부를 상기 신호의 지시에 따라 결정할 수 있다. 교환 장치는 상기 포트를 통한 실시간 처리 패킷의 수신이 완료된 것으로 판단되면, 상기 포트 정보와 침입탐지 기능의 차단 여부를 알리는 신호를 다시 침입탐지시스템에 송신한다.

상술한 바와 같이, 본 발명은 호 단위, 즉 하나의 호의 시작부터 종료까지를 단위로 하여 침입탐지 기능의 차단 여부를 결정한다. 교환 장치는 침입탐지시스템을 통해 수신된 패킷에 대해서 실시간 처리를 요청하는 패킷인지를 판단하므로, 본 발명에서 모든 호의 최초 패킷은 침입탐지 기능에 따른 패킷 매칭에 의해 공격 패킷인지 아닌지가 판단된 패킷이다.

하기에서는 첨부된 도면을 들어 본 발명의 실시예들을 상세히 설명하도록 한다. 한편, 이하 기술하는 본 발명은 IP 패킷에 대해 적용되는 실시예에 의해 설명된다. 또, 이하 기술하는 실시예들에서 실시간 처리를 요청하는 패킷의 예로 VoIP가 사용된다. 그러나 이는 본 발명의 이해를 돕기 위한 것일 뿐 본 발명이 이로 인해 한정되지는 않는다.

본 발명은 도 2에 도시된 통합 교환 장치(200)를 포함하는 네트워크에 적용될 수도 있고, 도 1의, 침입탐지부(210), 침입차단부(220) 및 교환부(230)가 독립적으로 존재하는 네트워크에 적용될 수도 있다. 먼저 도 2에 도시된 통합 교환 장치를 포함하는 네트워크에 적용될 수 있는 제 1 실시예에 대해 기술하도록 한다.

도 3은 도 2에 도시된 통합 교환 장치의 기능 블록인 침입탐지부 및 교환부의 구성을 도시하는 도면이다.

도 3의 침입탐지부(210)는 여러 가지 공격 패턴을 저장하고, 수신되는 패킷을 저장된 공격 패턴과 비교하는 패킷 매칭(packet matching)을 통해 해당 패킷이 공격 패킷인지를 판단한다. 침입탐지부(210)는 IP/포트 체크 모듈(300), 공격확인 모듈(302) 및 Log Entry 모듈(304)을 포함할 수 있다.

IP/포트 체크 모듈(300)은 특히 본 발명에서 사용되는 것으로, 교환부(230)와 연동하여 교환부(230)로부터 제공받은 동적(Dynamic) IP/포트 정보와 수신된 IP 패킷을 비교하여 침입탐지 기능, 즉 패턴 매칭의 적용여부를 결정하는 모듈이다. IP/포트 체크 모듈(300)은 교환부(230)로부터 제공받은 정보에 따라 해당 수신 패킷에 대한 패턴 매칭의 적용여부를 지시하는 제어신호를 생성하여 공격확인 모듈(302)에 출력함으로써 공격확인 모듈(302)이 해당 패킷에 대한 패턴 매칭을 생략하도록 할 수 있다.

공격확인 모듈(302)은, 네트워크(예를 들면, IP 네트워크)를 통해 패킷이 수신되면, Patten/Byte 매칭(이하 패턴 매칭이라 칭한다) 방법을 사용하여 수신된 IP 패킷이 정상적인 패킷인지를 확인하는 모듈이다. 패턴 매칭은 수신된 패킷을 Log Entry 모듈(304)에 저장된 IP 패턴/바이트 정보와 비교하여 일치하는 패턴이 존재하는지를 판단하는 과정을 의미한다. 공격확인 모듈(302)은 패턴 매칭 결과 수신된 패킷과 일치하는 패턴이 존재하면 수신된 패킷을 정상적인 패킷이 아닌 공격 패킷이라 판단한다. 본 발명에서 공격확인 모듈(302)은 상기 IP/포트 체크 모듈(300)이 출력하는 제어 신호를 입력받고, 상기 제어신호가 지시하는 바에 따라 해당 패킷에 대한 패턴 매칭의 수행 여부를 결정할 수 있다.

Log entry 모듈(304)은 침입탐지 IP Patten/Byte 정보를 저장하는 데이터베이스이다.

도 3의 침입차단부(220)는 미리 정의된 정책에 따라 네트워크 연결을 위한 포트를 열거나 차단하는 기능을 수행한다. 또, 침입차단부(220)는 침입탐지부(210)의 제어에 의해 패킷을 차단할 수도 있다.

도 3의 교환부(230)는 수신된 패킷들에 포함된 정보에 따라 각 패킷들을 요청되는 목적로 송신하는 교환 기능을 수행한다. 본 발명에서 교환부(230)는 수신된 패킷의 종류를 지시하는 신호를 생성하여 출력하는 기능을 더 포함한다. 교환부(230)는 VoIP 시그널링처리(Signaling) 모듈(310), VoIP 매체처리(Media) 모듈(312) 및 교환처리(K/P Legacy 국선/내선 처리) 모듈(314)을 포함할 수 있다.

VoIP 시그널링처리 모듈(310)은 VoIP 호를 위한 시그널링 처리를 수행한다. VoIP 시그널링처리 모듈(310)은 수신된 패킷의 헤더 정보를 통해 해당 패킷의 종류를 판단할 수 있다. VoIP 매체처리 모듈(312)는 VoIP 호를 위한 매체 Transcoding 처리를 담당한다. 교환처리 모듈(314)은 각 패킷들에 대한 교환 기능을 수행한다.

특히 본 발명에서 교환부(230)는 수신된 패킷이 실시간 처리를 요청하는 패킷인 VoIP 패킷이라고 판단되는 경우, 이를 알리는 신호를 생성하여 침입탐지부(210)의 IP/포트 체크 모듈(300)에 제공함으로써 침입탐지부(210)가 패킷 종류에 따라 차등적으로 IDS를 적용할 수 있도록 한다. 일반적으로, 하나의 호는 시작부터 종료까지 동일한 포트를 통해 수신된다. 즉, VoIP 패킷을 수신한 포트는 해당 패킷을 포함하는 호가 종료될 때가지 VoIP 패킷을 수신한다고 고려될 수 있을 것이다. 따라서 교환부(230)는 VoIP 패킷이 수신되는 경우, 해당 VoIP 패킷에 대한 IP/포트 정보를 침입탐지부(210)에 제공하여 침입탐지부(210)가 해당 포트를 통해 수신되는 VoIP 패킷에 대한 패턴 매칭을 생략하는 차등 IDS를 적용하도록 할 수 있다. 또, 교환부(230)는 VoIP 호라고 판단된 호가 종료되는 경우 이를 알리는 신호를 침입탐지부(210)에 제공함으로써 해당 포트를 통해 수신되는 패킷에 대한 패턴 매칭 차단을 종료하고, 이후 상기 포트를 통해 수신되는 패킷에 대한 패턴 매칭이 수행될 수 있도록 한다. 즉, 교환부(230)는 임의의 포트를 통해 수신되는 패킷들에 대한 패턴 매칭 차단의 시작과 종료를 알리는 신호를 생성하여 칩입탐지부(210)에 제공한다. 상기 신호는 VoIP 패킷이 수신되는 포트에 대한 IP 정보, 포트 정보 및 패턴 매칭의 차단 여부를 지시하는 정보를 포함할 수 있다.

상기 신호는 특히 교환부(230)의 VoIP 시그널링처리 모듈(310)에서 생성되어 침입탐지부(210)의 IP/포트 체크 모듈(300)에 제공될 수 있다. 이는 VoIP 시그널링처리 모듈(310)이 VoIP IP/포트의 정보를 확인할 수 있기 때문이다. 즉, VoIP 시그널링처리 모듈(310)은 수신된 패킷이 실시간처리를 요청하는 VoIP 패킷인지를 확인하고, 해당 패킷이 VoIP 패킷인 것으로 판단되면, 해당 패킷의 IP/포트 정보 및 해당 포트를 통해 수신되는 패킷에 대한 패턴 매칭 차단을 지시하는 정보를 포함하는 신호를 생성하여 침입탐지부(210)의 IP/포트 체크 모듈(300)에 제공한다. 이후 VoIP 시그널링처리 모듈(310)은 해당 패킷을 통해 해당 호의 최후 패킷이 수신되면, 해당 IP/포트 정보 및 해당 패킷을 통해 수신되는 패킷에 대한 패턴 매칭 차단의 종료를 지시하는 정보를 포함하는 신호를 생성하여 IP/포트 체크 모듈(300)에 제공한다.

한편, 본 실시예에서 침입탐지부(210)와 교환부(230)는 통합 교환 장치(200)를 구성하는 부분들이므로, 교환부(230)는 프로세서간 통신(Inter Processor Communication; IPC)을 사용하여 VoIP 패킷에 대한 패턴 매칭 차단을 지시하는 신호를 침입탐지부(210)에 제공할 수 있다.

다음으로, 침입탐지시스템, 침입차단시스템 및 교환 장치가 통합되지 않고 독립적으로 조재하는 네트워크에 차등 IDS를 적용하는 제 2 실시예에 대해 설명하기로 한다.

도 4는 도 1에 도시된 침입탐지시스템 및 교환 장치의 구성을 도시하는 도면이다.

도 4의 침입탐지시스템(100)은 여러 가지 공격 패턴을 저장하고, 수신되는 패킷을 저장된 공격 패턴과 비교하는 패킷 매칭을 통해 해당 패킷이 공격 패킷인지를 판단하는 침입탐지를 수행한다. 침입탐지시스템(100)은 IP/포트 체크부(400), 공격확인부(402) 및 패턴 저장부(404)를 포함할 수 있다.

IP/포트 체크부(400)는 교환 장치(120)로부터 제공받은 동적 IP/포트 정보에 의해 수신된 패킷에 대한 패턴 매칭의 수행여부를 결정한다. IP/포트 체크부(400)는 교환 장치(120)로부터 제공받은 정보에 따라 해당 수신 패킷에 대한 패턴 매칭의 적용여부를 지시하는 제어신호를 생성하여 출력한다.

공격확인부(402)는 수신된 IP 패킷이 침입탐지 패킷인지를 판단하기 위한 패턴 매칭을 수행한다. 본 발명에서 공격확인부(402)는 상기 IP/포트 체크부(400)로부터 입력받은 제어신호에 의해 해당 패킷에 대한 패턴 매칭의 수행 여부를 결정할 수 있다.

공격패턴 저장부(404)는 침입탐지를 위한 IP 패턴 정보를 저장한다.

침입차단시스템(110)은 미리 정의된 정책에 따라 네트워크 연결을 위한 포트를 열거나 차단하는 기능을 수행한다.

교환 장치(120)는 수신된 패킷들에 포함된 정보에 따라 해당 패킷들에 대한 교환 기능을 수행하고, 수신된 패킷의 종류를 지시하는 신호를 생성하여 침입탐지시스템(100)에 송신한다. 교환 장치(120)는 VoIP 시그널링처리부(410), VoIP 매체처리부(412) 및 교환처리부(414)를 포함할 수 있다.

VoIP 시그널링처리부(410)는 VoIP 호를 위한 시그널링 처리를 수행한다. VoIP 시그널링처리부(410)는 수신된 패킷의 헤더 정보를 통해 해당 패킷의 종류를 판단할 수 있다. VoIP 매체처리 부(412)는 VoIP 호를 위한 매체 Transcoding 처리를 담당한다. 교환처리부(414)는 각 패킷들에 대한 교환 기능을 수행한다.

본 발명에서 교환 장치(120)는 수신된 패킷이 실시간 처리를 요청하는 패킷인 VoIP 패킷이라고 판단되는 경우, 이를 알리는 신호를 생성하여 침입탐지부(210)의 IP/포트 체크 모듈(300)에 제공함으로써 침입탐지시스템(100)이 패킷 종류에 따라 차등적으로 IDS를 적용할 수 있도록 한다. 일반적으로 하나의 호는 시작부터 종료까지 동일한 포트를 통해 수신되므로, 본 발명에 따른 차등 침입탐지는 포트 정보를 사용하여 이루어질 수 있다.

교환 장치(120)는 VoIP 패킷이 수신되는 경우, 해당 VoIP 패킷에 대한 IP/포트 정보 및 해당 포트를 통해 수신되는 패킷에 대한 패턴 매칭 차단 지시를 포함하는 신호를 침입탐지시스템(100)에 송신하고, 패턴 매칭이 차단된 VoIP 호가 종료되는 경우 해당 패킷의 IP/포트 정보 및 해당 포트를 통해 수신되는 패킷에 대한 패턴 매칭 차단 종료 지시를 포함하는 신호를 침입탐지시스템(100)에 송신한다.

상기 신호는 수신된 패킷의 IP/포트 정보 등을 확인할 수 있는 교환 장치(120)의 VoIP 시그널링처리부(410)에서 생성되어 침입탐지시스템(100)의 IP/포트 체크부(400)에 송신될 수 있다. 즉, VoIP 시그널링처리부(410)는 수신된 패킷이 실시간처리를 요청하는 VoIP 패킷인지를 확인하고, 해당 패킷이 VoIP 패킷인 것으로 판단되면, 해당 패킷의 IP/포트 정보 및 해당 포트를 통해 수신되는 패킷에 대한 패턴 매칭 차단을 지시하는 정보를 포함하는 신호를 생성하여 침입탐지시스템(100)의 IP/포트 체크부(400)에 송신한다. 이후 VoIP 시그널링처리부(410)는 해당 패킷을 통해 해당 호의 최후 패킷이 수신되면, 해당 IP/포트 정보 및 해당 패킷을 통해 수신되는 패킷에 대한 패턴 매칭 차단의 종료를 지시하는 정보를 포함하는 신 호를 생성하여 IP/포트 체크부(400)에 송신한다.

상술한 제 2 실시예는, 침입탐지시스템(100) 및 교환 장치(120)가 서로 독립적으로 존재하므로, 제 1 실시예와는 교환 장치(120)와 침입탐지시스템(100)간의 신호 전송이 IPC를 사용하여 이루어질 수 없다. 따라서 제 2 실시예에서 교환 장치(120)가 침입탐지시스템(100)에 송신하는 신호는 해당 패킷의 IP/포트 정보 및 패턴 매칭 차단 여부를 지시하는 정보 외에 신호의 목적지가 침입탐지시스템(100)임을 표시하는 정보를 더 포함하여야 한다.

다음으로 본 발명에 사용되는 신호의 흐름을 참조하여 본 발명을 설명하도록 한다.

도 5는 도 3에 도시된 네트워크에서 침입탐지부와 교환부 간에 이루어지는 신호의 교환을 도시하는 신호 흐름도이다.

도 5는 본 발명과 직접 관련되는 IP/포트 체크 모듈(300), 공격확인 모듈(302) 및 VoIP 시그널링 처리 모듈(310) 간의 신호흐름만을 도시하고 있다.

도 5의 (1)은 VoIP 호를 위한 VoIP 시그널링 IP의 처리 과정이다. 이를 위해 VoIP 시그널링 신호(500)가 사용될 수 있다. VoIP 시그널링 처리 모듈(310)은 공격 확인 모듈(302), IP/포트 체크 모듈(300) 및 네트워크(예를 들어 IP 네트워크)를 통해 해당 VoIP 호의 상대방과 VoIP 시그널링 과정을 수행할 수 있으며, 이 과정을 위해 VoIP 시그널링 신호(500)가 사용될 수 있다. VoIP 시그널링 처리 모듈(310)은 잘 알려진 포트(well-known port)(예를 들면, H.323 TCP 1719,1720 Port, SIP UDP 5060 Port)를 사용하여 처음 시그널링(Signaling)을 시작한다. VoIP 시그널링 처리 모듈(310)은 (1)의 VoIP 시그널링 과정을 통해 해당 패킷의 IP/포트 정보를 획득할 수 있다. 한편, 침입탐지부(210)는, IP/포트를 체크할 때, 일반적으로 잘 알려진 포트에 대해서는 침입탐지를 확인하는 경우가 많으므로 침입탐지 체크 여부를 선택하게 할 수 있다.

(2)는 해당 패킷에 대한 패턴 매칭의 차단 여부를 지시하는 과정이다. VoIP 시그널링 처리 모듈(310)은 해당 패킷이 실시간 처리를 요구하는 패킷인지, 즉 패턴 매칭의 차단을 요청하는 패킷인지를 판단하고, 패턴 매칭의 차단 여부를 지시하는 신호인 VoIP 매체 정보 신호(VoIP Media Info(IP/Port))(502) 신호를 생성하여 IP/포트 체크 모듈(300)에 송신한다. 상기 VoIP 매체 정보 신호(502)는 패턴 매칭의 수행 여부를 지시하는 신호와, (1)의 VoIP 시그널링 과정을 통해 획득한, 해당 패킷의 IP/포트 정보를 포함한다.

(3)은 패턴 매칭이 차단된 패킷의 전송 과정이다. 패턴 매칭이 차단된 패킷(VoIP Media Stream)(504)은 공격 확인 모듈(302)에 의한 패턴 매칭 과정 없이 VoIP 시그널링 처리 모듈(310)에 전송된다.

(4)는 패턴 매칭이 차단되고 있는 호에 대한 패턴 매칭 차단의 종료를 지시하는 과정이다. VoIP 시그널링 처리부(310)는, VoIP 호의 마지막 패킷이 수신되면, 해당 패킷의 IP/포트 정보 및 해당 패킷에 대한 매칭 차단 종료를 지시하는 정보를 포함하는 VoIP 매체 정보 신호(VoIP Media Info(IP/Port))(506) 신호를 IP/포트 체크 모듈(300)에 송신한다.

(2)와 (3)의 VoIP 매체 정보 신호들(502)(506)은 프로세서간 통신을 통해 전 송될 수 있다.

이와 같은 과정을 통해 동적으로 변화하는 VoIP IP/포트 정보에 따라 차등적인 침입 탐지를 수행함으로써 VoIP의 음질(Voice Quality)을 향상시키고 시스템 부하를 줄여 시스템의 성능을 향상시킬 수 있다.

한편, 도 4의 IP/포트 처리부(400), 또는 공격 확인부(402) 및 VoIP 시그널링 처리부(410) 간의 신호 교환 역시 도 5에 도시된 신호흐름과 유사하다. 다만, 이때는 IP/포트 처리부(400) 및 VoIP 시그널링 처리부(410)간에 프로세서간 통신이 사용될 수 없다. 따라서 VoIP 시그널링 처리부(410)는 VoIP 매체 정보 신호를 생성할 때, IP/포트 정보 및 패턴 매칭의 차단 여부를 지시하는 정보를 포함하는 신호 외에 IP/포트 체크 모듈(400)이 해당 신호의 목적지임을 표시하는 정보를 포함시킨다.

이하 첨부한 도면을 참조하여 본 발명에 따른 차등 침입탐지 방법에 대해 설명한다.

도 6은 본 발명의 방법에 따른 과정들을 순차적으로 도시하는 순서도이다.

도 6의 제 600단계에서 본 발명에 따른 차등 침입탐지 장치는 네트워크로부터 패킷을 수신한다. 제 602단계에서 차등 참입탐지 장치는 수신된 패킷이 실시간 처리를 요청하는 패킷인지를 판단한다. 제 602단계의 판단 결과 수신된 패킷이 실시간 처리를 요청하는 패킷, 즉 패턴 매칭을 요청하는 패킷이면, 차등 침입탐지 장치는 제 604단계에서 해당 패킷에 대한 패턴 매칭을 수행한다. 한편, 제 602단계의 판단 결과 수신된 패킷이 실시간 처리를 요청하는 패킷이 아니라면, 즉 패턴 매 칭을 요청하는 패킷이 아니라면, 차등 침입탐지 장치는 해당 패킷에 대한 패턴 매칭을 수행하지 않는다.

한편, 지금까지 설명된 바에 따르면, 본 발명은 수신된 패킷을 실시간 처리를 요청하는 패킷과 실시간 처리를 요청하지 않는 패킷으로 구분하고 그에 따라 침입탐지를 위한 패턴 매칭의 수행 여부를 결정하였다. 그러나 본 발명은 그 외의 다른 구분 기준에 따라 패턴 매칭의 수행 여부를 결정할 수도 있을 것이다. 즉, 본 발명은 수신되는 패킷을 패턴 매칭의 수행이 필요한 패킷과 필요하지 않은 패킷으로 구분할 수 있는 모든 경우에 적용할 수 있을 것이다.

본 발명은 침입탐지시스템을 포함하는 네트워크에서 패킷의 특성에 따라 침입탐지에 따른 패턴 매칭의 적용 여부를 판단하고, 판단 결과에 따라 차등적으로 침입탐지를 수행함으로써 패킷의 처리 속도를 증가시킬 수 있다. 이를 통해 본 발명은 시스템의 QoS를 향상시킬 수 있다.

본 발명은 VoIP 패킷 등의 실시간 처리를 요청하는 패킷의 처리 속도를 증가시킬 수 있다.

본 발명은 데이터 애플리케이션(Data Application) 중 잘 알려진 포트(Well-Known Port)를 사용하지 않는 패킷에 대해 효과적으로 사용될 수 있다. 본 발명은 동적으로 변화하는 IP와 포트에 대해 차등적으로 침입탐지를 수행할 수 있다.

Claims

침입탐지시스템(Intrusion Detection System; IDS)을 포함하는 네트워크에 있어서,

수신되는 패킷에 대해 침입탐지를 위한 패턴 매칭을 수행하며, 상기 패턴 매칭의 수행 여부는 수신되는 제 1 제어 신호에 따라 결정하는 침입탐지시스템과,

수신되는 패킷이 패턴 매칭의 수행을 요청하는 패킷인지 아닌지를 판단하고, 상기 판단 결과에 따라 해당 패킷에 대한 패턴 매칭의 수행 여부를 지시하는 정보를 포함하는 제 1 제어 신호를 생성하여 상기 침입탐지시스템에 송신하는 교환 장치를 포함하는 차등 침입탐지 장치.
제 1항에 있어서, 상기 제 1 제어 신호는 해당 패킷의 IP 정보, 포트 정보 및 패턴 매칭의 수행 여부를 지시하는 정보를 포함하는 차등 침입탐지 장치.
침입탐지시스템을 포함하는 네트워크에 있어서,

수신되는 패킷에 대해 침입탐지를 위한 패턴 매칭을 수행하며, 상기 패턴 매칭의 수행 여부는 수신되는 제 1 제어 신호에 따라 결정하는 침입탐지시스템과,

수신되는 패킷이 실시간 처리를 요청하는 패킷인지 아닌지를 판단하고, 상기 판단 결과에 따라 해당 패킷에 대한 패턴 매칭의 수행 여부를 지시하는 정보를 포함하는 제 1 제어 신호를 생성하여 상기 침입탐지시스템에 송신하는 교환 장치를 포함하는 차등 침입탐지 장치.
제 3항에 있어서, 상기 실시간 처리를 요청하는 패킷은 VoIP(Voice over IP) 패킷인 차등 침입탐지 장치.
제 3항에 있어서, 상기 제 1 제어 신호는 해당 패킷의 IP 정보, 포트 정보 및 해당 포트를 통해 수신되는 패킷에 대한 패턴 매칭의 수행 여부를 지시하는 정보를 포함하는 차등 침입탐지 장치.
제 3항에 있어서, 상기 교환 장치는 수신되는 패킷이 실시간 처리를 요청하는 패킷으로 판단되면, 해당 패킷의 IP 정보, 포트 정보 및 해당 포트를 통해 수신되는 패킷에 대한 패턴 매칭의 차단을 지시하는 정보를 포함하는 제 1 제어 신호를 상기 침입탐지시스템에 출력하는 차등 침입탐지 장치.
제 6항에 있어서, 상기 교환 장치는, 상기 패턴 매칭이 차단된 포트를 통한, 실시간 처리를 요청하는 패킷의 수신이 종료된 것으로 판단되면, 해당 패킷의 IP 정보, 포트 정보 및 패턴 매칭의 수행을 지시하는 정보를 포함하는 제 1 제어신호를 상기 침입탐지시스템에 출력하는 차등 침입탐지 장치.
제 3항에 있어서, 상기 교환 장치는,

수신된 VoIP 패킷의 IP 정보 및 포트 정보를 확인하고, 상기 IP 정보, 포트 정보 및 패턴 매칭의 차단 여부를 지시하는 정보를 포함하는 상기 제 1 제어 신호를 생성하여 출력하는 VoIP 시그널링 처리부를 포함하는 차등 침입탐지 장치.
침입탐지부 및 교환부를 포함하는 통합 교환 장치를 포함하는 네트워크에 있어서,

수신되는 패킷에 대해 침입탐지를 위한 패턴 매칭을 수행하는 침입탐지부와,

수신되는 패킷이 실시간 처리를 요청하는 패킷인지 아닌지를 판단하고, 상기 패킷이 실시간 처리를 요청하는 패킷이라고 판단되면 해당 패킷에 대한 패턴 매칭을 차단할 것을 지시하는 정보를 포함하는 제 2 제어 신호를 프로세서간 통신(Inter Processor Communication; IPC)을 통해 상기 침입탐지부에 송신하는 교환부를 포함하는 차등 침입탐지 장치.
침입탐지시스템 및 교환 장치를 포함하는 네트워크에 있어서,

수신되는 패킷에 대해 침입탐지를 위한 패턴 매칭을 수행하며, 상기 패턴 매칭의 수행 여부는 수신되는 제 3 제어 신호에 따라 결정하는 침입탐지시스템과,

수신되는 패킷이 임의의 호의 첫 번째 패킷인지를 판단하고, 첫 번째 패킷이라고 판단되면 해당 패킷에 대한 패턴 매칭의 수행 여부를 지시하는 정보를 포함하는 제 3 제어 신호를 상기 침입탐지시스템에 송신하는 교환 장치를 포함하는 차등 침입탐지 장치.
제 10항에 있어서, 상기 제 3 제어 신호는 해당 패킷의 IP 정보, 포트 정보 및 패턴 매칭의 수행 여부를 지시하는 정보를 적어도 포함하는 차등 침입탐지 장치.
제 11항에 있어서, 상기 제 3 제어 신호는 상기 침입탐지시스템이 목적지임을 지시하는 정보를 더 포함하는 차등 침입탐지 장치.
침입탐지시스템을 포함하는 네트워크에 있어서,

패킷을 수신하는 제 1 과정과,

상기 수신된 패킷이 패턴 매칭의 수행을 요청하는 패킷인지 아닌지를 판단하는 제 2과정과,

상기 판단 결과에 따라 패턴 매칭의 수행을 요청하는 패킷에 대해서는 패킷 매칭을 수행하고, 패킷 매칭을 요청하지 않는 패킷에 대해서는 패킷 매칭을 수행하지 않는 제 3 과정을 포함하는 자동 차등 침입탐지 방법.
제 13항에 있어서, 제 2과정의 패턴 매칭의 수행을 요청하는 패킷인지 아닌지에 대한 판단은,

상기 패킷에 포함된 IP 정보 및 포트 정보에 의해 이루어지는 자동 차등 침입탐지 방법.
제 13항에 있어서, 제 2 과정의 패턴 매칭의 수행을 요청하는 패킷인지 아닌지에 대한 판단은,

상기 패킷이 패턴 매칭이 차단된 포트를 통해 수신되는 패킷을 패턴 매칭의 수행을 요청하지 않는 패킷이라 판단하고 패턴 매칭이 차단되지 않은 포트를 통해 수신되는 패킷을 패턴 매칭의 수행을 요청하는 패킷이라 판단함으로써 이루어지는 자동 차등 침입탐지 방법.
제 15항에 있어서, 상기 포트를 통한, 패턴 매칭의 수행을 요청하지 않는 패킷의 수신이 종료된 것으로 판단되면, 이후 상기 포트를 통해 수신되는 패킷을 패턴 매칭의 수행을 요청하는 패킷으로 판단하는 자동 차등 침입탐지 방법.
침입탐지시스템을 포함하는 네트워크에 있어서,

패킷을 수신하는 제 1 과정과,

상기 수신된 패킷이 실시간 처리를 요청하는 패킷인지 아닌지를 판단하는 제 2 과정과,

상기 판단 결과 실시간 처리를 요청하는 패킷들에 대해서는 침입탐지를 위한 패턴 매칭을 수행하지 않고, 실시간 처리를 요청하지 않는 패킷들에 대해서는 침입탐지를 위한 패턴 매칭을 수행하는 제 3 과정을 포함하는 자동 차등 침입탐지 방법.
제 17항에 있어서, 상기 실시간 처리를 요청하는 패킷은 VoIP 패킷인 자동 차등 침입탐지 방법.