KR20100115182A - Apparatus and method for web security management to monitoring communication between web-server and client - Google Patents

Apparatus and method for web security management to monitoring communication between web-server and client Download PDF

Info

Publication number
KR20100115182A
KR20100115182A KR1020090033792A KR20090033792A KR20100115182A KR 20100115182 A KR20100115182 A KR 20100115182A KR 1020090033792 A KR1020090033792 A KR 1020090033792A KR 20090033792 A KR20090033792 A KR 20090033792A KR 20100115182 A KR20100115182 A KR 20100115182A
Authority
KR
South Korea
Prior art keywords
input data
client
web
information
web server
Prior art date
Application number
KR1020090033792A
Other languages
Korean (ko)
Other versions
KR101061255B1 (en
Inventor
장동호
이준희
Original Assignee
주식회사 파이오링크
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 파이오링크 filed Critical 주식회사 파이오링크
Priority to KR1020090033792A priority Critical patent/KR101061255B1/en
Priority to JP2009170433A priority patent/JP2010250791A/en
Publication of KR20100115182A publication Critical patent/KR20100115182A/en
Application granted granted Critical
Publication of KR101061255B1 publication Critical patent/KR101061255B1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/164—Implementing security features at a particular protocol layer at the network layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer And Data Communications (AREA)
  • Debugging And Monitoring (AREA)

Abstract

PURPOSE: An apparatus and a method for web security management to monitoring communication between web-server and client are provided to block the attack of the hacking attack person abusing the user input form received in client. CONSTITUTION: A web security management unit comprises a transceiver(210), a pattern information storage unit(220), an inspection unit(230), validity checking information storage unit(250), an observation processing unit(260), and error processing unit(270). If a communication packet received through the transceiver from a client is a communication packet including input data to submit to the web server, the observation processing unit checks the validity of the input data included in the communication packet using the validity checking information. If the input data is not valid, the error processing unit processes the error handling of the input data.

Description

웹 서버와 클라이언트 간의 통신을 감시하는 웹 보안 관리 장치 및 방법{Apparatus and method for web security management to monitoring communication between web-server and client}Apparatus and method for web security management to monitoring communication between web-server and client}

본 발명은 예를 들면 방화벽과 같은 웹 보안 기술에 관련되며, 특히 클라이언트에서 웹 서버로 제출하는 폼에 포함된 입력 데이터의 변조를 통한 해킹을 차단하는 기술에 관한 것이다.The present invention relates to, for example, web security technologies such as firewalls, and more particularly to techniques for preventing hacking through tampering with input data contained in a form submitted from a client to a web server.

웹 서버는 클라이언트의 웹 서비스 요청에 따라 해당 클라이언트로 웹 서버에서 제공하는 사용자 입력 폼(Form)을 전송한다. 웹 서버로부터 수신된 사용자 입력 폼에 사용자 아이디, 패스워드와 같은 입력 데이터가 입력되면, 클라이언트는 해당 비즈니스 로직에 적합한 입력인지를 검증한다. 즉, 클라이언트는 클라이언트 사이드 스크립트(Client side script)를 동작시켜 자체적으로 해당 입력 데이터가 유효한 데이터인지 검증한다. 여기서, 클라이언트 사이드 스크립트는 클라이언트에서 실행되는 웹 언어로써 예를 들면, 입력 데이터가 텍스트 및 숫자와 허용된 일 부 특수 문자만으로 구성된 문자열인지를 체크하는 자바스크립트(Java scrpit) 등이 될 수 있다. 이 같은 클라이언트 사이드 스크립트를 동작시켜 사용자 입력 폼에 입력된 입력 데이터의 유효성이 검증되면, 클라이언트는 유효성이 검증된 입력 데이터를 포함하는 데이터 입력 폼을 웹 서버로 전송하여 웹 사이트에서 제공되는 웹 서비스를 이용하는 것이 일반적인 웹 서비스 과정이다.The web server sends a user input form provided by the web server to the client according to the client's web service request. When input data such as user ID and password is entered into the user input form received from the web server, the client verifies that the input is suitable for the corresponding business logic. That is, the client runs a client side script to verify that the input data is valid data. Here, the client side script is a web language that is executed on the client. For example, the client side script may be a Java scrpit that checks whether the input data is a string consisting of text and numbers and only some special characters allowed. Once the client-side script is run to validate the input data entered into the user input form, the client sends the data entry form containing the validated input data to the web server to load the web service provided by the website. Using is a common web service process.

그러나, 이 같은 웹 서비스 과정을 통해 클라이언트로부터 입력 데이터를 수신하는 웹 서버는 SQL 인젝션(Injection)과 같은 형태의 공격을 의도하는 변조된 입력 데이터를 수신하는 위험에 노출되어 있다. 예를 들어, 해킹 공격자는 웹 프로시(Web proxy)를 통해 클라이언트에서 유효성 여부가 검증되어 웹 서버로 전송되는 입력 데이터를 변조한다. 뿐만 아니라, 해킹 공격자는 브라우저를 거치지 않고 자신이 직접 생성한 입력 데이터를 클라이언트 사이드 스크립트의 검증을 우회하여 웹 서버로 전송한다. 이에 따라, 웹 서버는 해킹 공격자에 의해 변조되거나 유효성 여부가 검증되지 않은 입력 데이터를 수신하여, 이 데이터가 의도와 달리 SQL로 해석되어 데이터 베이스를 액세스(Access)하거나 또다른 시스템 명령어로 해석되어 사용자 권한을 변경하여 해킹 공격에 노출될 위험에 처할 수 있다. 이와 같이, 해킹 공격자에 의해 변조되거나 유효성 여부가 검증되지 않은 입력 데이터를 수신한 웹 서버는 기저장된 다수의 사용자들의 정보가 외부로 유출되는 등의 웹 해킹 사고가 발생하는 문제가 있다.However, a web server that receives input data from a client through such a web service process is exposed to a risk of receiving tampered input data intended for an attack such as SQL injection. For example, a hacking attacker modifies input data that is validated at the client through a web proxy and sent to the web server. In addition, hacking attackers send their own input data to the web server, bypassing client-side script validation, without going through a browser. As a result, the web server receives input data that has not been tampered with or validated by a hacking attacker, and this data is interpreted as SQL, unlike the intention, to access the database or to another system command to interpret the user. By changing your privileges, you may be at risk from hacking attacks. As such, the web server receiving input data that has been tampered with or validated by a hacking attacker has a problem that a web hacking incident occurs such that information of a plurality of pre-stored users is leaked to the outside.

본 발명은 이와 같은 문제점을 해결하고자 하는 것으로서, 클라이언트에 수신된 사용자 입력 폼을 악용한 해킹 공격자의 공격을 차단함을 목적으로 한다.The present invention aims to solve such a problem, and aims to block an attack of a hacking attacker who exploits a user input form received by a client.

나아가, 본 발명에 따른 웹 보안 관리 장치는 웹 서버로 전송되는 입력 데이터의 유효성 여부를 체크함으로써, 웹 서버로 변조된 입력 데이터가 전송되어 해킹이 발생하지 못하도록 하는 것을 목적으로 한다.Furthermore, the web security management apparatus according to the present invention checks the validity of the input data transmitted to the web server, so that the input data modulated to the web server is transmitted to prevent hacking.

전술한 기술적 과제는 후술하는 본 발명의 특징적인 양상들에 의해 달성된다. 본 발명은 웹 서버와 클라이언트 사이에 설치된 웹 보안 관리 장치에서 상호 간의 통신을 감시함으로써 달성된다. 일 양상에 따르면, 클라이언트로부터 통신 패킷이 수신되면, 통신 패킷이 웹 서버에 제출(Summit)할 입력 데이터를 포함하는 통신 패킷인지를 체크하고, 체크 결과, 웹 서버에 제출할 입력 데이터를 포함하는 통신 패킷이면, 입력 데이터와 관련된 사용자 입력 폼의 유효성 검증 정보를 이용하여 입력 데이터의 유효성을 체크하고, 체크 결과 유효하지 않은 데이터이면, 입력 데이터를 에러 처리한다.The foregoing technical problem is achieved by the characteristic aspects of the present invention described below. The present invention is achieved by monitoring communication between each other in a web security management device installed between a web server and a client. According to an aspect, when a communication packet is received from a client, it is checked whether the communication packet is a communication packet including input data to submit to a web server, and as a result of the check, a communication packet including input data to submit to a web server. In this case, the validity of the input data is checked using the validation information of the user input form related to the input data. If the check result is invalid data, the input data is processed in error.

본 발명의 추가적인 양상에 따르면, 입력 데이터를 포함하는 통신 패킷은 액션 유알엘(Action URL)로 구성되며, 통신 패킷인지를 체크하는 것은 클라이언트로부터 수신된 통신 패킷이 액션 유알엘인지를 체크한다.According to a further aspect of the invention, a communication packet comprising input data consists of an Action URL, and checking whether it is a communication packet checks whether the communication packet received from the client is an action UEL.

본 발명의 추가적인 양상에 따르면, 본 방법은 클라이언트의 웹 서비스 요청에 따라, 웹 서버로부터 수신된 사용자 입력 폼을 클라이언트 측으로 전송하고, 사용자 입력 폼의 유효성 검증 정보를 저장한다.According to a further aspect of the present invention, the method transmits a user input form received from a web server to the client side and stores validation information of the user input form according to the client's web service request.

본 발명의 추가적인 양사에 따르면, 에러 처리는 클라이언트 측으로 입력 데이터와 관련된 에러 정보 메시지를 전송한다.According to further articles of the invention, the error processing sends an error information message associated with the input data to the client side.

본 발명의 이 같은 양상에 따라 웹 보안 관리 장치는 클라이언트로부터 웹 서버로 제출할 입력 데이터가 수신되면, 수신된 입력 데이터가 해킹 공격자에 의해 변조된 입력 데이터인지를 체크하고, 그에 따라 에러가 체크되면, 해당 입력 데이트에 대한 에러 정보를 클라이언트에 전송하고, 변조된 입력 데이터가 웹 서버로 전송되는 것을 차단함으로써, 공격에 의해 의도적인 웹 서버 해킹을 차단할 수 있다.According to this aspect of the present invention, when the web security management apparatus receives input data to be submitted from the client to the web server, it is checked whether the received input data is input data modulated by a hacking attacker, and if an error is checked accordingly, By sending error information about the input data to the client and preventing the modified input data from being transmitted to the web server, intentional web server hacking can be prevented by an attack.

본 발명의 추가적인 양상에 따르면, 입력 데이터의 유효성을 체크는 유효성 검증 정보에 포함된 필드 특정 정보를 이용하여 액션 유알엘에 포함된 입력 데이터를 획득하고, 유효성 검증 정보에 포함된 입력 검증 코드 정보를 이용하여 입력 데이터가 유효한 정보인지를 체크한다.According to a further aspect of the present invention, the validity check of the input data is obtained by using the field specific information included in the validation information to obtain the input data included in the action UEL, and using the input validation code information included in the validation information. To check if the input data is valid information.

본 발명의 추가적인 양상에 따르면, 필드 특정 정보는 액션 유알엘에 포함된 입력 데이터가 입력되는 범위 혹은 알파벳, 숫자, 특수 기호와 같이 입력 데이터로 사용되도록 정의된 데이터 종류이며, 입력 검증 코드 정보는 필드 특정 정보를 통해 획득된 입력 데이터가 유효한 정보인지를 체크하는 유효성 검증 프로그램이다.According to a further aspect of the present invention, the field specific information is a data type defined to be used as input data such as a range in which input data included in the action UEL is input or an alphabet, a number, a special symbol, and the input verification code information is a field specific information. Validation program that checks whether the input data obtained through the information is valid information.

본 발명의 이 같은 양상에 따라 클라이언트 측에서 웹 서버로 제출할 액션 유알엘에 포함된 입력 데이터를 획득하고, 유효성 검증 프로그램을 이용하여 획득된 입력 데이터가 유효한지를 체크할 수 있다.According to this aspect of the present invention, the client may obtain input data included in the action UEL to submit to the web server, and check whether the obtained input data is valid using a validation program.

상술한 바와 같이 본 발명에 따른 웹 서버와 클라이언트 사이에 설치되어 상호 간의 통신을 감시하는 웹 보안 관리 장치 및 방법은 웹 보안 관리 장치를 통해 클라이언트에서 입력된 입력 데이터에 유효한지를 체크함으로써, 웹 서버에 SQL 인젝션을 통해 변조된 입력 데이터가 수신되는 것을 차단할 수 있다. 즉, 해킹 공격자는 클라이언트에서 자체적으로 클라이언트 사이드 스크립트를 통해 유효성 여부가 검증된 입력 데이터를 변조한다. 뿐만 아니라, 해킹 공격자는 자체적으로 위조된 입력 데이터를 생성하고, 클라이언트 사이드 스크립트의 검증을 우회하여 입력 데이터를 웹 서버로 전송한다. 이때, 본 발명에 따른 웹 보안 관리 장치는 해킹 공격자에 의해 변조되거나 위조된 웹 서버로 전송되는 입력 데이터의 유효성 여부를 재검증함으로써, 해킹 공격자에 의해 변조되거나 위조된 입력 데이터가 웹 서버로 전송되는 것을 차단할 수 있다. 이에 따라, 웹 서버는 변조된 입력 데이터에 의한 해킹 공격에서 보호되어 웹 서버 내의 보안성을 향상시킬 수 있다.As described above, the web security management apparatus and method installed between the web server and the client according to the present invention to monitor the communication between the web server and the client are checked by checking whether they are valid for input data input from the client through the web security management apparatus. SQL injection can be used to block the reception of tampered input data. In other words, the hacking attacker modifies the input data, which has been validated by the client, through client-side script. In addition, the hacking attacker generates forged input data on its own and sends the input data to the web server, bypassing the validation of the client side script. At this time, the web security management apparatus according to the present invention by re-validating the validity of the input data transmitted to the web server tampered with or forged by the hacking attacker, the input data forged or tampered by the hacking attacker is transmitted to the web server Can be blocked. Accordingly, the web server can be protected from hacking attacks by the tampered input data, thereby improving security in the web server.

전술한, 그리고 추가적인 본 발명의 양상들은 첨부된 도면을 참조하여 설명 되는 바람직한 실시예들을 통하여 더욱 명백해질 것이다. 이하에서는 본 발명을 이러한 실시예들을 통해 당업자가 용이하게 이해하고 재현할 수 있도록 상세히 설명하기로 한다.The foregoing and further aspects of the present invention will become more apparent through the preferred embodiments described with reference to the accompanying drawings. Hereinafter, the present invention will be described in detail so that those skilled in the art can easily understand and reproduce the present invention through these embodiments.

도 1은 본 발명의 일 실시예에 따른 웹 서버와 클라이언트 사이에 설치된 웹 보안 관리 장치에서 상호 간의 통신을 감시하는 방법을 도시한 절차도이다.1 is a flowchart illustrating a method for monitoring communication between each other in a web security management apparatus installed between a web server and a client according to an exemplary embodiment of the present invention.

도 1에 도시된 바와 같이, 클라이언트(100)는 다수의 웹 사이트들 중 적어도 하나의 웹 사이트에서 제공하는 웹 서비스를 이용하기 위하여 해당 웹 사이트의 웹 서버(300)로 접속을 요청한다(S100). 여기서, 웹 서버(300)로 접속을 요청하는 클라이언트(100)는 일반 사용자가 사용하는 컴퓨터와 컴퓨터에 설치되어 있는 넷스케이프 또는 인터넷 익스플로러와 같은 웹 브라우저를 말한다. 이 같은 클라이언트(100)의 웹 서버(300) 접속 요청에 따라, 웹 보안 장치(200)는 접속을 시도한 클라이언트(100)가 해당 웹 사이트의 웹 서버(300)에 접속되도록 접속 요청 정보를 전송한다(S110). 접속 요청 정보를 수신한 웹 서버(300)는 클라이언트(100) 측으로 전송할 사용자 입력 폼을 웹 보안 관리 장치(200)로 전송한다(S120). 여기서, 사용자 입력 폼은 사용자의 아이디, 패스워드와 같은 사용자 정보를 입력하기 위한 HTML(Hyper Text Markup Language)로 구성된 웹 페이지이다. 그러나, 본 발명은 이에 한정되지 않으며, 사용자 입력 폼은 결제 창이나 검색 창 등에 입력되는 데이터를 서버로 전송하는 일반적인 양식을 포괄한다.As shown in FIG. 1, the client 100 requests a connection to a web server 300 of a corresponding web site in order to use a web service provided by at least one web site among a plurality of web sites (S100). . Here, the client 100 requesting access to the web server 300 refers to a computer used by a general user and a web browser such as Netscape or Internet Explorer installed on the computer. In response to the request for accessing the web server 300 of the client 100, the web security apparatus 200 transmits connection request information so that the client 100 who attempts to access the web server 300 of the corresponding web site is connected. (S110). Receiving the access request information, the web server 300 transmits a user input form to be transmitted to the client 100 to the web security management apparatus 200 (S120). Here, the user input form is a web page composed of Hyper Text Markup Language (HTML) for inputting user information such as user ID and password. However, the present invention is not limited thereto, and the user input form encompasses a general form for transmitting data input to a payment window or a search window to a server.

이 같은 사용자 입력 폼이 수신되면, 웹 보안 관리 장치(200)는 수신된 사용 자 입력 폼을 클라이언트(100)로 전송한다. 이때, 웹 보안 관리 장치(200)는 클라이언트(100)로 전송할 사용자 입력 폼에 포함된 유효성 검증 정보를 유효성 검증 정보 저장부에 저장한다(S130, S140). 여기서, 유효성 검증 정보는 클라이언트(100)로부터 입력되어 수신된 입력 데이터가 유효한지를 검증하는 정보로써, 필드 특정 정보와 입력 검증 코드 정보를 포함한다. 이 같은 필드 특정 정보와 입력 검증 코드 정보는 하기에서 상세히 설명하기로 한다. 한편, 웹 보안 관리 장치(200)로부터 사용자 입력 폼을 수신한 클라이언트(100)는 웹 사이트에서 제공하는 웹 서비스를 이용하기 위하여 웹 서버(300)에 제출(summit)할 사용자의 아이디, 패스워드와 같은 사용자 정보가 입력된 입력 데이터를 웹 보안 관리 장치(200)로 전송한다(S150). 이때, 클라이언트(100)는 입력 데이터가 입력되면, 자체적으로 해당 비즈니스 로직에 적합한 입력인지를 검증한 후, 입력 데이터를 웹 보안 관리 장치(200)로 전송함이 바람직하다. 이후, 웹 보안 관리 장치(200)는 유효성 검증 정보 저장부에 저장된 유효성 검증 정보를 이용하여 클라이언트(100)로부터 수신된 입력 데이터의 유효성을 체크한다(S160). 이 같이, 웹 보안 관리 장치(200)가 클라이언트(100)로부터 수신된 입력 데이터의 유효성을 체크하는 방법은 도 2를 통해 달성할 수 있다.When the user input form is received, the web security management apparatus 200 transmits the received user input form to the client 100. In this case, the web security management apparatus 200 stores the validation information included in the user input form to be transmitted to the client 100 in the validation information storage unit (S130 and S140). Here, the validation information is information for verifying whether input data received from the client 100 is valid and includes field specific information and input verification code information. Such field specific information and input verification code information will be described in detail below. On the other hand, the client 100 receives the user input form from the web security management device 200, such as the ID and password of the user to submit (sum) to the web server 300 to use the web service provided by the website The user inputs the input data inputted to the web security management apparatus 200 (S150). In this case, when the input data is input, the client 100 verifies whether the input data is suitable for the corresponding business logic and transmits the input data to the web security management apparatus 200. Thereafter, the web security management apparatus 200 checks the validity of the input data received from the client 100 using the validation information stored in the validation information storage unit (S160). As such, the method of checking the validity of the input data received from the client 100 by the web security management apparatus 200 may be achieved through FIG. 2.

도 2는 본 발명의 일 실시예에 따른 웹 보안 관리 장치에서 클라이언트로부터 수신된 입력 데이터의 유효성을 체크하는 방법을 도시한 흐름도이다.2 is a flowchart illustrating a method of checking validity of input data received from a client in a web security management apparatus according to an embodiment of the present invention.

도시된 바와 같이, 클라이언트(100)로부터 웹 서버(300)에 제출할 입력 데이 터를 포함하는 통신 패킷이 수신되면, 웹 보안 관리 장치(200)는 유효성 검증 정보에 포함된 필드 특정 정보를 이용하여 수신된 통신 패킷에서 입력 데이터를 획득한다(S161). 여기서, 입력 데이터를 포함하는 통신 패킷은 본 발명의 추가적인 양상에 따라 액션 유알엘(Action URL)로 구성되는 것이 바람직하다. 즉, 웹 보안 관리 장치(200)는 클라이언트(100)로부터 웹 서버(300)에 전송할 다수의 통신 패킷들이 수신되면, 수신된 다수의 통신 패킷들 중 액션 유알엘로 구성된 통신 패킷이 있는지를 체크한다. 체크 결과, 액션 유알엘로 구성된 통신 패킷이면, 웹 보안 관리 장치(200)는 유효성 검증 정보에 포함된 필드 특정 정보를 이용하여 액션 유알엘에 포함된 입력 데이터를 획득한다. 여기서, 필드 특정 정보는 웹 서버(300)에 제출할 액션 유알엘에 포함된 입력 데이터가 입력되는 범위 혹은 입력 데이터로 사용되는 알파벳, 숫자, 특수 기호와 같이 정의된 데이터 종류로써, 웹 보안 관리 장치(200)는 이 같은 필드 특정 정보를 이용하여 클라이언트(100)로부터 수신된 입력 데이터를 획득한다.As illustrated, when a communication packet including input data to be submitted from the client 100 to the web server 300 is received, the web security management apparatus 200 receives the information using the field specifying information included in the validation information. The input data is obtained from the communication packet (S161). Herein, the communication packet including the input data is preferably composed of an action URL according to an additional aspect of the present invention. That is, when a plurality of communication packets to be transmitted from the client 100 to the web server 300 are received from the client 100, the web security management apparatus 200 checks whether there is a communication packet composed of action UELs. As a result of the check, if the communication packet is composed of the action UEL, the web security management apparatus 200 obtains input data included in the action UEL using the field specifying information included in the validation information. Here, the field specific information is a data type defined as a range in which input data included in the action UEL to be submitted to the web server 300 is input or alphabets, numbers, special symbols used as input data, and the web security management apparatus 200. ) Obtains the input data received from the client 100 using this field specific information.

이후, 웹 보안 관리 장치(200)는 유효성 검증 정보에 포함된 입력 검증 코드 정보를 이용하여 획득된 입력 데이터가 유효한 정보인지를 체크한다(S162). 여기서, 입력 검증 코드 정보는 획득된 입력 데이터가 입력되는 범위가 올바른지 혹은 입력 데이터가 알파벳, 숫자, 특수 기호와 같은 데이터 종류에 맞는 유효한 정보인지를 체크하는 유효성 검증 프로그램이다.Thereafter, the web security management apparatus 200 checks whether the obtained input data is valid information using the input verification code information included in the validation information (S162). Here, the input verification code information is a validation program for checking whether the input range of the obtained input data is correct or whether the input data is valid information suitable for data types such as alphabets, numbers, and special symbols.

일 실시예에 따라, 웹 보안 관리 장치(200)는 웹 서버(300)로부터 수신된 사용자 입력 폼을 이용하여 입력 데이터가 유효한지를 검증하는 클라이언트(100)와 같이 유사한 방법으로 입력 데이터가 유효한지를 검증한다. 클라이언트(100)로부터 유효한 정보인지 검증된 입력 데이터가 획득되면, 웹 보안 관리 장치(200)는 입력 검증 코드 정보를 통해 입력 데이터가 유효한지를 재검증한다. 이후, 웹 보안 관리 장치(200)는 입력 검증 코드 정보를 통해 재검증된 입력 데이터에 대한 검증 결과값을 통해 입력 데이터의 유효성 여부를 체크한다.According to an embodiment, the web security management apparatus 200 verifies whether the input data is valid in a similar manner as the client 100 that verifies that the input data is valid using a user input form received from the web server 300. do. When the input data verified as valid information is obtained from the client 100, the web security management apparatus 200 re-verifies whether the input data is valid through the input verification code information. Thereafter, the web security management apparatus 200 checks the validity of the input data through the verification result of the input data re-verified through the input verification code information.

체크 결과 입력 데이터가 유효하지 않으면, 웹 보안 관리 장치(200)는 클라이언트(100)로부터 입력된 입력 데이터를 에러 처리하고, 에러 처리한 입력 데이터에 대한 에러 메시지를 클라이언트(100) 측으로 전송한다. 예를 들어, 해킹 공격자는 클라이언트(100)에서 자체적으로 클라이언트 사이드 스크립트를 통해 유효성 여부가 검증된 입력 데이터를 변조한다. 뿐만 아니라, 해킹 공격자는 자체적으로 위조된 입력 데이터를 생성하고, 클라이언트 사이드 스크립트의 검증을 우회하여 입력 데이터를 웹 서버로 전송한다. 이와 같이, 해킹 공격자로부터 SQL 인젝션을 통해 변조되거나 또는 위조된 입력 데이터가 수신되면, 웹 보안 관리 장치(200)는 상술한 바와 같이 입력 검증 코드 정보를 통해 수신된 입력 데이터를 유효성 여부를 재검증하고, 그 결과 유효하지 않은 것으로 체크되면, 수신된 입력 데이터를 에러 처리한다. 이때, 웹 보안 관리 장치(200)는 에러 처리한 입력 데이터에 대한 에러 메시지를 클라이언트(100) 측으로 전송함이 바람직하다.If the input data is invalid as a result of the check, the web security management apparatus 200 processes the input data input from the client 100 and transmits an error message for the error-processed input data to the client 100. For example, the hacking attacker modifies the input data whose validity has been verified through the client side script in the client 100 itself. In addition, the hacking attacker generates forged input data on its own and sends the input data to the web server, bypassing the validation of the client side script. As such, when the input data that has been tampered with or forged through SQL injection is received from the hacking attacker, the web security management apparatus 200 re-validates the received input data through the input verification code information as described above. If it is checked as invalid as a result, the received input data is error processed. In this case, the web security management apparatus 200 preferably transmits an error message for the error-processed input data to the client 100.

그러나, 본 발명에 따른 웹 보안 관리 장치(100)는 이에 한정하지 않으며, 에러 처리한 입력 데이터를 실시간으로 삭제하거나 혹은 에러 처리한 입력 데이터를 저장할 수 있다. 이에 따라, 웹 서버(300)는 해킹 공격자에 의해 변조되거나 위조된 입력 데이터를 통해 해킹을 당하거나 내부적으로 오류가 발생하는 것을 방지할 수 있다. However, the web security management apparatus 100 according to the present invention is not limited thereto and may delete the error-processed input data in real time or store the error-processed input data. Accordingly, the web server 300 may prevent the user from being hacked through an input data that has been tampered with or forged by a hacking attacker or causing an error internally.

한편, 체크 결과 입력 데이터가 유효하면, 웹 보안 관리 장치(200)는 클라이언트(100)로부터 입력된 입력 데이터를 웹 서버(300)로 제출한다(S180). 이에 따라, 웹 서버(300)는 유효성이 검증된 입력 데이터만을 수신하여 해당 클라이언트(100)와 정상적으로 통신을 개시하게 되고, 클라이언트(100)는 해당 웹 사이트에서 제공하는 웹 서비스를 이용하게 된다. 이하에서는 본 발명의 일 실시예에 따른 웹 보안 관리 장치(200)의 각각의 구성에 대해서 상세히 설명하기로 한다.On the other hand, if the check result input data is valid, the web security management device 200 submits the input data input from the client 100 to the web server 300 (S180). Accordingly, the web server 300 receives only valid input data and starts communication with the corresponding client 100 normally, and the client 100 uses a web service provided by the corresponding web site. Hereinafter, each configuration of the web security management apparatus 200 according to an embodiment of the present invention will be described in detail.

도 3은 본 발명의 일 실시예에 따른 웹 서버와 클라이언트 사이에 설치되어 통신을 감시하는 웹 보안 관리 장치에 대한 구성을 도시한 블록도이다.3 is a block diagram illustrating a configuration of a web security management apparatus installed between a web server and a client to monitor communication according to an embodiment of the present invention.

도시된 바와 같이, 웹 보안 관리 장치(200)는 송수신부(210), 패턴 정보 저장부(220), 검사부(230), 유효성 검증 처리부(240), 유효성 검증 정보 저장부(250), 감시 처리부(260), 에러 처리부(270)를 포함한다. 송수신부(210)는 다수의 클라이언트(100)들로부터 수신된 통신 패킷을 해당 웹 서버(300)로 전송하고, 다수의 웹 서버(300)들로부터 수신된 통신 패킷을 해당 클라이언트(100)로 전송한다. 여기서, 통신 패킷은 다수의 클라이언트(100)들이 웹 사이트에서 제공하는 웹 서비스를 이용하기 위한 이용 관련 정보이다. 그리고, 클라이언트(100)는 일반 사용자가 사용하는 컴퓨터와 컴퓨터에 설치되어 있는 넷스케이프 또는 인터넷 익스플로러와 같은 웹 브라우저를 말한다.As shown in the drawing, the web security management apparatus 200 includes a transceiver 210, a pattern information storage unit 220, an inspection unit 230, a validation processing unit 240, a validation information storage unit 250, and a monitoring processing unit. 260, an error processing unit 270 is included. The transceiver 210 transmits communication packets received from the plurality of clients 100 to the corresponding web server 300, and transmits communication packets received from the plurality of web servers 300 to the corresponding client 100. do. Here, the communication packet is information related to use for using a web service provided by a plurality of clients 100 on a web site. The client 100 refers to a computer used by a general user and a web browser such as Netscape or Internet Explorer installed on the computer.

패턴 정보 저장부(220)는 사용자 입력 폼과 관련된 패턴 정보 또는 웹 서버(300)로 제출할 입력 데이터를 포함하는 패턴 정보가 저장되는 구성이다. 검사부(230)는 송수신부(210)를 통해 웹 서버(300) 또는 클라이언트(100)로부터 통신 패킷이 수신되면, 패턴 정보 저장부(220)에 저장된 패턴 정보를 이용하여 수신된 통신 패킷이 사용자 입력 폼과 관련된 통신 패킷인지 또는 웹 서버(300)에 제출할 입력 데이터를 포함하는 통신 패킷인지를 검사한다. 여기서, 입력 데이터를 포함하는 통신 패킷은 본 발명의 추가적인 양상에 따라 액션 유알엘(Action URL)로 구성되는 것이 바람직하다. 즉, 검사부(230)는 웹 서버(300) 또는 클라이언트(100)로부터 통신 패킷들이 수신되면, 패턴 정보 저장부(220)에 저장된 패턴 정보를 이용하여 수신된 통신 패킷이 사용자 입력 폼인지 혹은 입력 데이터를 포함한 액션 유알엘인지를 검사한다.The pattern information storage unit 220 is a configuration in which pattern information including pattern information related to a user input form or input data to be submitted to the web server 300 is stored. When the communication unit 230 receives a communication packet from the web server 300 or the client 100 through the transceiver 210, the communication packet received using the pattern information stored in the pattern information storage unit 220 is input by the user. It is checked whether it is a communication packet related to a form or a communication packet including input data to be submitted to the web server 300. Herein, the communication packet including the input data is preferably composed of an action URL according to an additional aspect of the present invention. That is, when the communication unit 230 receives communication packets from the web server 300 or the client 100, whether the received communication packet is a user input form or input data using the pattern information stored in the pattern information storage unit 220. Checks whether the action contains UAL.

이 같은 검사부(230)의 검사 결과에 따라, 유효 검증 처리부(240)와 감시 처리부(260)는 동작을 수행하게 된다. 검사부(230)의 검사 결과에 따라, 웹 서버(300)로부터 수신된 통신 패킷이 사용자 입력 폼이면, 유효성 검증 처리부(240)는 수신된 사용자 입력 폼을 해당 클라이언트(100)로 전송한다. 여기서, 사용자 입력 폼은 사용자의 아이디, 패스워드와 같은 사용자 정보를 입력하기 위한 HTML로 구성된 웹 페이지이다. 그러나, 본 발명은 이에 한정되지 않으며, 사용자 입력 폼은 결제 창이나 검색 창 등에 입력되는 데이터를 서버로 전송하는 일반적인 양식을 포괄한다. 한편, 유효성 검증 처리부(240)는 클라이언트(100)로 전송할 사용자 입력 폼에서 유효성 검증 정보를 획득하여 유효성 검증 정보 저장부(250)에 저장한 다. 여기서, 유효성 검증 정보는 클라이언트(100)로부터 입력되어 수신된 입력 데이터가 유효한지를 검증하는 정보로써, 필드 특정 정보와 입력 검증 코드 정보를 포함한다. 필드 특정 정보와 입력 검증 코드 정보는 하기에서 상세히 설명하기로 한다.According to the inspection result of the inspection unit 230, the validity verification processing unit 240 and the monitoring processing unit 260 perform an operation. If the communication packet received from the web server 300 is a user input form according to the test result of the tester 230, the validation processing unit 240 transmits the received user input form to the corresponding client 100. Here, the user input form is a web page composed of HTML for inputting user information such as user ID and password. However, the present invention is not limited thereto, and the user input form encompasses a general form for transmitting data input to a payment window or a search window to a server. Meanwhile, the validation processing unit 240 obtains validation information from a user input form to be transmitted to the client 100 and stores the validation information in the validation information storage unit 250. Here, the validation information is information for verifying whether input data received from the client 100 is valid and includes field specific information and input verification code information. Field specific information and input verification code information will be described in detail later.

한편, 검사부(230)의 검사 결과에 따라, 클라이언트(100)로부터 수신된 통신 패킷이 입력 데이터를 포함하는 액션 유알엘이면, 감시 처리부(260)는 유효성 검증 정보 저장부(250)에 저장된 유효성 검증 정보를 이용하여 클라이언트(100)로부터 수신된 액션 유알엘에 포함된 입력 데이터가 유효한지를 체크한다. 여기서, 클라이언트(100)는 사용자로부터 입력된 입력 데이터가 해당 비즈니스 로직에 적합한 입력 데이터인지를 자체적으로 검증한 후, 웹 서버(300)에 제출할 입력 데이터를 포함하는 액션 유알엘을 웹 보안 관리 장치(200) 측으로 전송한다. 이 같이 유효성이 검증된 입력 데이터를 포함하는 액션 유알엘이 수신되면, 감시 처리부(260)는 입력 데이터 획득부(262)와 입력 데이터 체크부(264)를 통해 수신된 입력 데이터가 유효한지를 체크한다.On the other hand, if the communication packet received from the client 100 according to the inspection result of the inspection unit 230, the action packet containing the input data, the monitoring processing unit 260 is the validation information stored in the validation information storage unit 250 Check whether the input data included in the action UEL received from the client 100 is valid using. Here, the client 100 verifies whether the input data input from the user is input data suitable for the corresponding business logic, and then supplies the action UEL including the input data to be submitted to the web server 300. ) To the side. When the action UEL including the valid input data is received, the monitoring processor 260 checks whether the input data received through the input data obtaining unit 262 and the input data checking unit 264 is valid.

입력 데이터 획득부(262)는 유효성 검증 정보에 포함된 필드 특정 정보를 이용하여 클라이언트(100)로부터 수신된 액션 유알엘로부터 입력 데이터를 획득한다. 입력 데이터 체크부(264)는 유효성 검증 정보에 포함된 입력 검증 코드 정보를 이용하여 입력 데이터 획득부(262)로부터 획득된 입력 데이터가 유효한 정보인지를 체크한다. 즉, 사용자 입력 폼을 수신한 클라이언트(100)로부터 유효성이 검증된 입력 데이터를 포함하는 액션 유알엘이 수신되면, 감시 처리부(260)의 입력 데이터 획득부(262)는 유효성 검증 정보 저장부(250)로부터 수신된 액션 유알엘과 관련된 유효성 검증 정보를 획득한다. 이후, 입력 데이터 획득부(262)는 획득된 유효성 검증 정보에 포함된 필드 특정 정보를 이용하여 클라이언트(100)로부터 수신된 액션 유알엘에 포함된 입력 데이터를 획득한다. 여기서, 필드 특정 정보는 웹 서버(300)에 제출할 액션 유알엘에 포함된 입력 데이터가 입력되는 범위 혹은 입력 데이터로 사용되는 알파벳, 숫자, 특수 기호와 같이 정의된 데이터 종류로써, 입력 데이터 획득부(262)는 이 같은 필드 특정 정보를 이용하여 클라이언트(100)로부터 수신된 액션 유알엘로부터 입력 데이터를 획득한다.The input data obtaining unit 262 obtains input data from the action UEL received from the client 100 using the field specifying information included in the validation information. The input data checker 264 checks whether the input data acquired from the input data acquirer 262 is valid information by using input verification code information included in the validation information. That is, when the action UEL including valid input data is received from the client 100 receiving the user input form, the input data obtaining unit 262 of the monitoring processing unit 260 is the validation information storing unit 250. Obtain validation information related to the action UEL received from. Thereafter, the input data obtaining unit 262 obtains input data included in the action UEL received from the client 100 using the field specifying information included in the obtained validation information. Here, the field specific information is a data type defined as a range in which input data included in the action UEL to be submitted to the web server 300 is input or alphabets, numbers, special symbols used as input data, and the like. ) Obtains input data from the action UEL received from the client 100 using such field specific information.

이 같은 필드 특정 정보를 이용하여 입력 데이터가 획득되면, 입력 데이터 체크부(264)는 유효성 검증 정보에 포함된 입력 검증 코드 정보를 이용하여 입력 데이터가 유효한 정보인지를 체크한다. 여기서, 입력 검증 코드 정보는 획득된 입력 데이터가 입력되는 범위가 올바른지 혹은 입력 데이터가 알파벳, 숫자, 특수 기호와 같은 데이터 종류에 맞는 유효한 정보인지를 체크하는 유효성 검증 프로그램이다.When input data is obtained using such field specifying information, the input data checker 264 checks whether the input data is valid information by using input verification code information included in the validation information. Here, the input verification code information is a validation program for checking whether the input range of the obtained input data is correct or whether the input data is valid information suitable for data types such as alphabets, numbers, and special symbols.

일 실시예에 따라, 입력 데이터 체크부(264)는 웹 서버(300)로부터 수신된 사용자 입력 폼을 이용하여 입력 데이터가 유효한지를 검증하는 클라이언트(100)와 같이 유사한 방법으로 입력 데이터가 유효한지를 검증한다. 클라이언트(100)로부터 검증된 입력 데이터가 획득되면, 웹 보안 관리 장치(200)는 입력 검증 코드 정보를 통해 입력 데이터가 유효한지를 재검증한다. 이후, 웹 보안 관리 장치(200)는 입력 검증 코드 정보를 통해 재검증된 입력 데이터에 대한 검증 결과값을 통해 입력 데이터의 유효성 여부를 체크한다. According to an embodiment, the input data checker 264 verifies whether the input data is valid in a similar manner as the client 100 that verifies whether the input data is valid using a user input form received from the web server 300. do. When the input data verified from the client 100 is obtained, the web security management apparatus 200 re-verifies whether the input data is valid through the input verification code information. Thereafter, the web security management apparatus 200 checks the validity of the input data through the verification result of the input data re-verified through the input verification code information.

입력 데이터 체크부(264)를 통해 입력 데이터가 유효하지 않은 것으로 체크되면, 에러 처리부(270)는 클라이언트(100)로부터 수신된 입력 데이터를 에러 처리한다. 이때, 에러 처리부(270)는 에러 처리한 입력 데이터에 대한 에러 메시지를 클라이언트(100) 측으로 전송함이 바람직하다. 예를 들어, 해킹 공격자는 클라이언트(100)에서 자체적으로 클라이언트 사이드 스크립트를 통해 유효성 여부가 검증된 입력 데이터를 변조한다. 뿐만 아니라, 해킹 공격자는 자체적으로 위조된 입력 데이터를 생성하고, 클라이언트 사이드 스크립트의 검증을 우회하여 입력 데이터를 웹 서버로 전송한다. 이와 같이, 해킹 공격자로부터 SQL 인젝션을 통해 변조되거나 또는 위조된 입력 데이터가 수신되면, 입력 데이터 체크부(264)는 입력 검증 코드 정보를 통해 수신된 입력 데이터가 변조 또는 위조되어 유효하지 않은 것으로 체크한다. 이에 따라, 에러 처리부(270)는 입력 데이터를 에러 처리하고, 에러 처리한 입력 데이터에 대한 에러 메시지를 클라이언트(100) 측으로 전송한다. 그러나, 본 발명에 따른 에러 처리부(270)는 이에 한정하지 않으며, 에러 처리한 입력 데이터를 실시간으로 삭제하거나 혹은 에러 처한 입력 데이터를 저장할 수 있다. 이 같이, 웹 보안 관리 장치(200)는 웹 서버(300)로 제출할 입력 데이터에 대한 유효성 여부를 체크함으로써, 웹 서버(300)에 변조된 입력 데이터가 수신되는 것을 차단할 수 있다.If the input data is checked as invalid through the input data checker 264, the error processor 270 may error process the input data received from the client 100. In this case, the error processing unit 270 preferably transmits an error message about the input data processed by the error to the client 100. For example, the hacking attacker modifies the input data whose validity has been verified through the client side script in the client 100 itself. In addition, the hacking attacker generates forged input data on its own and sends the input data to the web server, bypassing the validation of the client side script. As such, when input data that has been tampered with or forged through SQL injection is received from the hacking attacker, the input data checker 264 checks that the received input data is tampered with or forged through the input verification code information and is invalid. . Accordingly, the error processing unit 270 error-processes the input data and transmits an error message regarding the error-processed input data to the client 100. However, the error processing unit 270 according to the present invention is not limited thereto and may delete the error processed input data in real time or store the error input data. As such, the web security management apparatus 200 may block the reception of the modulated input data by the web server 300 by checking whether the input data to be submitted to the web server 300 is valid.

이제까지 본 발명에 대하여 그 바람직한 실시예들을 중심으로 살펴보았다.So far I looked at the center of the preferred embodiment for the present invention.

본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자는 본 발명의 본질적인 특성에서 벗어나지 않는 범위에서 변형된 형태로 구현될 수 있음을 이해할 수 있을 것이다. 그러므로 개시된 실시예들은 한정적인 관점이 아니라 설명적인 관점에서 고려되어야 한다. 본 발명의 범위는 전술한 설명이 아니라 특허청구범위에 나타나 있으며, 그와 동등한 범위 내에 있는 모든 차이점은 본 발명에 포함된 것으로 해석되어야 할 것이다.It will be understood by those skilled in the art that various changes in form and details may be made therein without departing from the spirit and scope of the invention as defined by the appended claims. Therefore, the disclosed embodiments should be considered in an illustrative rather than a restrictive sense. The scope of the present invention is shown in the claims rather than the foregoing description, and all differences within the scope will be construed as being included in the present invention.

도 1은 본 발명의 일 실시예에 따른 웹 서버와 클라이언트 사이에 설치된 웹 보안 관리 장치에서 상호 간의 통신을 감시하는 방법을 도시한 절차도,1 is a process diagram illustrating a method for monitoring communication between each other in a web security management apparatus installed between a web server and a client according to an embodiment of the present invention;

도 2는 본 발명의 일 실시예에 따른 웹 보안 관리 장치에서 클라이언트로부터 수신된 입력 데이터의 유효성을 체크하는 방법을 도시한 흐름도,2 is a flowchart illustrating a method of checking validity of input data received from a client in a web security management apparatus according to an embodiment of the present invention;

도 3은 본 발명의 일 실시예에 따른 웹 서버와 클라이언트 사이에 설치되어 통신을 감시하는 웹 보안 관리 장치에 대한 구성을 도시한 블록도.3 is a block diagram illustrating a configuration of a web security management apparatus installed between a web server and a client to monitor communication according to an embodiment of the present invention.

<도면의 주요 부분에 대한 부호의 설명><Explanation of symbols for the main parts of the drawings>

100 : 클라이언트 200 : 웹 보안 관리 장치100: client 200: web security management device

210 : 송수신부 220 : 패턴 정보 저장부210: transceiver unit 220: pattern information storage unit

230 : 검사부 240 : 유효성 검증 처리부230: inspection unit 240: validation processing unit

250 : 유효성 검증 정보 저장부 260 : 감시 처리부250: validation information storage unit 260: monitoring processing unit

262 : 입력 데이터 획득부 264 : 입력 데이터 체크부262: input data acquisition unit 264: input data check unit

270 : 에러 처리부 300 : 웹 서버270: error processing unit 300: Web server

Claims (12)

웹 서버와 클라이언트 사이에 설치된 웹 보안 관리 장치에서 상호 간의 통신을 감시하는 방법에 있어서,In the web security management device installed between the web server and the client to monitor the communication between each other, 상기 클라이언트로부터 통신 패킷이 수신되면, 상기 통신 패킷이 상기 웹 서버에 제출(Summit)할 입력 데이터를 포함하는 통신 패킷인지를 체크하는 단계와;If a communication packet is received from the client, checking whether the communication packet is a communication packet including input data to submit to the web server; 상기 체크 결과, 상기 웹 서버에 제출할 입력 데이터를 포함하는 통신 패킷이면, 상기 입력 데이터와 관련된 사용자 입력 폼의 유효성 검증 정보를 이용하여 상기 입력 데이터의 유효성을 체크하는 단계와;If the check result is a communication packet including input data to be submitted to the web server, checking the validity of the input data using validation information of a user input form associated with the input data; 상기 체크 결과 유효하지 않은 데이터이면, 상기 입력 데이터를 에러 처리하는 단계;If the check result is invalid data, error processing the input data; 를 포함하는 것을 특징으로 하는 웹 서버와 클라이언트 사이에 설치된 웹 보안 관리 장치에서 상호 간의 통신을 감시하는 방법.And monitoring the communication between each other in a web security management device installed between the web server and the client. 제 1 항에 있어서, 상기 입력 데이터를 포함하는 통신 패킷은:The communication packet of claim 1, wherein the communication packet comprising the input data is: 액션 유알엘(Action URL)로 구성되며,It consists of an Action URL. 상기 통신 패킷인지를 체크하는 단계는Checking whether the communication packet is 상기 클라이언트로부터 수신된 통신 패킷이 상기 액션 유알엘인지를 체크하는 것을 특징으로 하는 웹 서버와 클라이언트 사이에 설치된 웹 보안 관리 장치에서 상호 간의 통신을 감시하는 방법.And checking whether the communication packet received from the client is the action UAL. The method of monitoring communication between the web security management apparatus installed between the web server and the client. 제 1 항에 있어서, 상기 방법은:The method of claim 1 wherein the method is: 상기 클라이언트의 웹 서비스 요청에 따라, 상기 웹 서버로부터 수신된 상기 사용자 입력 폼을 상기 클라이언트 측으로 전송하고, 상기 사용자 입력 폼의 유효성 검증 정보를 저장하는 단계;In response to a web service request from the client, transmitting the user input form received from the web server to the client, and storing validation information of the user input form; 를 더 포함하는 것을 특징으로 하는 웹 서버와 클라이언트 사이에 설치된 웹 보안 관리 장치에서 상호 간의 통신을 감시하는 방법.The web security management device installed between the web server and the client, characterized in that for monitoring the communication between each other. 제 1 항에 있어서, 상기 에러 처리하는 단계는:The method of claim 1, wherein the error processing comprises: 상기 클라이언트 측으로 상기 입력 데이터와 관련된 에러 정보 메시지를 전송하는 것을 특징으로 하는 웹 보안 관리 장치를 이용한 웹 서버와 클라이언트 사이에 설치된 웹 보안 관리 장치에서 상호 간의 통신을 감시하는 방법.And transmitting an error information message related to the input data to the client side in a web security management apparatus installed between the web server and the client using the web security management apparatus. 제 2 항에 있어서, 상기 입력 데이터의 유효성을 체크하는 단계는:The method of claim 2, wherein checking validity of the input data comprises: 상기 유효성 검증 정보에 포함된 필드 특정 정보를 이용하여 상기 액션 유알엘에 포함된 입력 데이터를 획득하는 단계와;Obtaining input data included in the action UEL using field specifying information included in the validation information; 상기 유효성 검증 정보에 포함된 입력 검증 코드 정보를 이용하여 상기 입력 데이터가 유효한 정보인지를 체크하는 단계;Checking whether the input data is valid information by using input verification code information included in the validation information; 를 포함하는 것을 특징으로 하는 웹 서버와 클라이언트 사이에 설치된 웹 보안 관리 장치에서 상호 간의 통신을 감시하는 방법.And monitoring the communication between each other in a web security management device installed between the web server and the client. 제 5 항에 있어서, 상기 필드 특정 정보는:6. The method of claim 5, wherein the field specific information is: 상기 액션 유알엘에 포함된 입력 데이터가 입력되는 범위 혹은 알파벳, 숫자, 특수 기호와 같이 상기 입력 데이터로 사용되도록 정의된 데이터 종류이며,The input data included in the action UEL is a range of input or data types defined to be used as the input data, such as alphabets, numbers, and special symbols. 입력 검증 코드 정보는Input verification code information is 상기 필드 특정 정보를 통해 획득된 입력 데이터가 유효한 정보인지를 체크하는 유효성 검증 프로그램인 것을 특징으로 하는 웹 서버와 클라이언트 사이에 설치된 웹 보안 관리 장치에서 상호 간의 통신을 감시하는 방법.And a validation program for checking whether the input data acquired through the field specifying information is valid information. The method of monitoring communication between the web security management apparatus installed between the web server and the client. 웹 서버와 클라이언트 사이에 설치되어 통신을 감시하는 웹 보안 관리 장치에 있어서,In the web security management device installed between the web server and the client to monitor the communication, 상기 웹 서버 및 상기 클라이언트와 통신 패킷을 송수신하여 하는 송수신부와;A transceiver for transmitting and receiving a communication packet with the web server and the client; 상기 송수신부를 통해 상기 클라이언트로부터 수신된 통신 패킷이 상기 웹 서버로 제출할 입력 데이터를 포함하는 통신 패킷이면, 유효성 검증 정보 저장부에 저장된 유효성 검증 정보를 이용하여 상기 통신 패킷에 포함된 입력 데이터가 유효한지를 체크하는 감시 처리부와;If the communication packet received from the client through the transceiver is a communication packet including input data to be submitted to the web server, whether the input data included in the communication packet is valid using the validation information stored in the validation information storage unit. A monitoring processor for checking; 상기 체크 결과 상기 입력 데이터가 유효하지 않은 것으로 체크되면, 상기 입력 데이터를 에러 처리하는 에러 처리부;An error processing unit for error processing the input data if the input data is checked as invalid as a result of the check; 를 포함하는 것을 특징으로 하는 웹 서버와 클라이언트 사이에 설치되어 통 신을 감시하는 웹 보안 관리 장치.Web security management device installed between the web server and the client, characterized in that for monitoring the communication. 제 7 항에 있어서, 상기 장치는:8. The device of claim 7, wherein the device is: 상기 송수신부를 통해 상기 웹 서버로부터 수신된 통신 패킷이 사용자 입력 폼이면, 상기 사용자 입력 폼을 상기 클라이언트로 전송하고, 상기 사용자 입력 폼 정보에 포함된 유효성 검증 정보를 상기 유효성 검증 정보 저장부에 저장하는 유효성 검증 처리부;If the communication packet received from the web server through the transceiver is a user input form, transmitting the user input form to the client and storing the validation information included in the user input form information in the validation information storage unit. A validation processing unit; 를 더 포함하는 것을 특징으로 하는 웹 서버와 클라이언트 사이에 설치되어 통신을 감시하는 웹 보안 관리 장치.Web security management device is installed between the web server and the client, characterized in that for further monitoring the communication. 제 8 항에 있어서, 상기 입력 데이터를 포함하는 통신 패킷은:The communication packet of claim 8, wherein the communication packet comprising the input data is: 액션 유알엘(Action URL)로 구성되며,It consists of an Action URL. 상기 장치는:The device is: 상기 사용자 입력 폼과 관련된 패턴 정보 또는 상기 액션 유알엘과 관련된 패턴 정보가 저장되는 패턴 정보 저장부와;A pattern information storage unit for storing pattern information related to the user input form or pattern information related to the action UEL; 상기 송수신부를 통해 상기 웹 서버 또는 상기 클라이언트로부터 통신 패킷이 수신되면, 상기 패턴 정보 저장부에 저장된 패턴 정보를 이용하여 상기 수신된 통신 패킷이 사용자 입력 폼인지 또는 상기 입력 데이터를 포함하는 액션 유알엘인지를 검사하는 검사부;When the communication packet is received from the web server or the client through the transmission and reception unit, it is determined whether the received communication packet is a user input form or an action UAL including the input data by using the pattern information stored in the pattern information storage unit. An inspection unit for inspecting; 를 더 포함하는 것을 특징으로 하는 웹 서버와 클라이언트 사이에 설치되어 통신을 감시하는 웹 보안 관리 장치.Web security management device is installed between the web server and the client, characterized in that for further monitoring the communication. 제 8 항에 있어서, 상기 감시 처리부는;According to claim 8, The monitoring processing unit; 상기 유효성 검증 정보에 포함된 필드 특정 정보를 이용하여 상기 입력 데이터를 획득하는 입력 데이터 획득부와;An input data obtaining unit obtaining the input data by using field specifying information included in the validation information; 상기 유효성 검증 정보에 포함된 입력 검증 코드 정보를 이용하여 상기 입력 데이터가 유효한 정보인지를 체크하는 입력 데이터 체크부;An input data checker which checks whether the input data is valid information by using input verification code information included in the validation information; 를 포함하는 것을 특징으로 하는 웹 서버와 클라이언트 사이에 설치되어 통신을 감시하는 웹 보안 관리 장치.Web security management device installed between the web server and the client, characterized in that for monitoring the communication. 제 10 항에 있어서, 상기 필드 특정 정보는:11. The method of claim 10, wherein the field specific information is: 상기 액션 유알엘에 포함된 입력 데이터가 입력되는 범위 혹은 알파벳, 숫자, 특수 기호와 같이 상기 입력 데이터로 사용되도록 정의된 데이터 종류이며,The input data included in the action UEL is a range of input or data types defined to be used as the input data, such as alphabets, numbers, and special symbols. 입력 검증 코드 정보는Input verification code information is 상기 필드 특정 정보를 통해 획득된 입력 데이터가 유효한 정보인지를 체크하는 유효성 검증 프로그램인 것을 특징으로 하는 ㄴ웹 서버와 클라이언트 사이에서 통신을 감시하는 웹 보안 관리 장치.And a validation program for checking whether the input data acquired through the field specifying information is valid information. 제 7 항에 있어서, 상기 에러 처리부는:The method of claim 7, wherein the error processing unit: 상기 송수신부를 통해 상기 클라이언트 측으로 상기 입력 데이터와 관련된 에러 메시지 정보를 전송하는 것을 특징으로 하는 웹 서버와 클라이언트 사이에 설치되어 통신을 감시하는 웹 보안 관리 장치.Web security management device is installed between the web server and the client, characterized in that for transmitting the error message information associated with the input data to the client side through the transceiver.
KR1020090033792A 2009-04-17 2009-04-17 Web security management device and method for monitoring communication between web server and client KR101061255B1 (en)

Priority Applications (2)

Application Number Priority Date Filing Date Title
KR1020090033792A KR101061255B1 (en) 2009-04-17 2009-04-17 Web security management device and method for monitoring communication between web server and client
JP2009170433A JP2010250791A (en) 2009-04-17 2009-07-21 Web security management device and method for monitoring communication between web server and client

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020090033792A KR101061255B1 (en) 2009-04-17 2009-04-17 Web security management device and method for monitoring communication between web server and client

Publications (2)

Publication Number Publication Date
KR20100115182A true KR20100115182A (en) 2010-10-27
KR101061255B1 KR101061255B1 (en) 2011-09-01

Family

ID=43134141

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020090033792A KR101061255B1 (en) 2009-04-17 2009-04-17 Web security management device and method for monitoring communication between web server and client

Country Status (2)

Country Link
JP (1) JP2010250791A (en)
KR (1) KR101061255B1 (en)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20150067706A (en) 2013-12-10 2015-06-18 주식회사 우리은행 Loan server providing mehtod, register picture control method therefor, and server performing the same
KR102370197B1 (en) * 2020-11-06 2022-03-04 엘아이지넥스원 주식회사 Method and apparatus for controlling voice quality in digital walkie-talkie for small combat operation

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107454041B (en) 2016-05-31 2020-06-02 阿里巴巴集团控股有限公司 Method and device for preventing server from being attacked
CN109376510A (en) * 2018-08-28 2019-02-22 中国平安人寿保险股份有限公司 Front-end information verification method, device, storage medium and computer equipment

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6311278B1 (en) * 1998-09-09 2001-10-30 Sanctum Ltd. Method and system for extracting application protocol characteristics
KR100390172B1 (en) * 2003-03-22 2003-07-04 Knowledge Info Net Service Inc Method and system for controlling internet contents providing service using redirection method
JP2007004685A (en) * 2005-06-27 2007-01-11 Hitachi Ltd Communication information monitoring device

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20150067706A (en) 2013-12-10 2015-06-18 주식회사 우리은행 Loan server providing mehtod, register picture control method therefor, and server performing the same
KR102370197B1 (en) * 2020-11-06 2022-03-04 엘아이지넥스원 주식회사 Method and apparatus for controlling voice quality in digital walkie-talkie for small combat operation

Also Published As

Publication number Publication date
JP2010250791A (en) 2010-11-04
KR101061255B1 (en) 2011-09-01

Similar Documents

Publication Publication Date Title
Ghasemisharif et al. O single {Sign-Off}, where art thou? An empirical analysis of single {Sign-On} account hijacking and session management on the web
Li et al. Analysing the Security of Google’s implementation of OpenID Connect
CN107209830B (en) Method for identifying and resisting network attack
US8667294B2 (en) Apparatus and method for preventing falsification of client screen
EP2144420B1 (en) Web application security filtering
Li et al. Security issues in OAuth 2.0 SSO implementations
Jovanovic et al. Preventing cross site request forgery attacks
US9563768B2 (en) Methods and apparatus to manage password security
US9246901B2 (en) Secure network computing
US9294479B1 (en) Client-side authentication
CN102073822A (en) Method and system for preventing user information from leaking
CA2762706A1 (en) Method and system for securing communication sessions
KR101061255B1 (en) Web security management device and method for monitoring communication between web server and client
CN101222481B (en) Method and client terminal for safely submitting user information
CN103581121B (en) A kind of login authentication method and system of web application
Gao et al. A research of security in website account binding
CN102946397A (en) User authentication method and user authentication system
CN107294920A (en) It is a kind of reversely to trust login method and device
KR102449282B1 (en) Site replication devicefor enhancing website security
Adams et al. Guide to Securing Scientific Software
CN114760078B (en) Method and system for preventing malicious tampering of page request parameters
KR100788904B1 (en) System for authentication of confidence link and method for authentication and indicating authentication thereof
Alalayah Pattern Image based Dynamic Framework for Security in Web Application
JP6084258B2 (en) Authentication system and display program
Tan et al. The Business Logistics Security Research on Web Application

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20150819

Year of fee payment: 5

FPAY Annual fee payment

Payment date: 20160823

Year of fee payment: 6

FPAY Annual fee payment

Payment date: 20170804

Year of fee payment: 7

FPAY Annual fee payment

Payment date: 20190826

Year of fee payment: 9