KR20110051028A - 보안 기능이 구비된 클라우드 컴퓨팅 시스템 - Google Patents

보안 기능이 구비된 클라우드 컴퓨팅 시스템 Download PDF

Info

Publication number
KR20110051028A
KR20110051028A KR1020090107672A KR20090107672A KR20110051028A KR 20110051028 A KR20110051028 A KR 20110051028A KR 1020090107672 A KR1020090107672 A KR 1020090107672A KR 20090107672 A KR20090107672 A KR 20090107672A KR 20110051028 A KR20110051028 A KR 20110051028A
Authority
KR
South Korea
Prior art keywords
virtual
virtual machine
security
integrity verification
security label
Prior art date
Application number
KR1020090107672A
Other languages
English (en)
Inventor
박영만
김미연
구명완
문호건
Original Assignee
주식회사 케이티
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 케이티 filed Critical 주식회사 케이티
Priority to KR1020090107672A priority Critical patent/KR20110051028A/ko
Publication of KR20110051028A publication Critical patent/KR20110051028A/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/568—Computer malware detection or handling, e.g. anti-virus arrangements eliminating virus, restoring damaged files
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45595—Network integration; Enabling network access in virtual machine instances

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Databases & Information Systems (AREA)
  • Bioethics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

보안 기능이 구비된 클라우드 컴퓨팅 시스템은, 복수의 가상 머신 및 보안 장치를 포함한다. 이때, 복수의 가상 머신은 하나의 하드웨어 플랫폼에서 가상 네트워크를 포함한 가상화된 하드웨어 자원을 이용하여 각각의 독립된 실행 환경을 구현한다. 보안 장치는 복수의 가상 머신 각각에 대한 무결성 검증을 수행하고 무결성 검증에 실패한 경우 해당 가상 머신과 가상 네트워크 간의 연결을 차단한다.
Figure P1020090107672
클라우드 컴퓨팅, 가상 머신, 무결성 검증, 가상 네트워크, 보안 라벨

Description

보안 기능이 구비된 클라우드 컴퓨팅 시스템{Cloud computing system with protection function}
본 발명은 보안 기능이 구비된 클라우드 컴퓨팅 시스템에 관한 것이다.
최근 들어 기업의 IT 자원을 효과적으로 관리하고 비용을 절감하기 위해 가상화 기술을 기반으로 한 클라우드 컴퓨팅 시스템 구축이 증가하고 있다. 이러한 클라우드 컴퓨팅 시스템은 하나의 수퍼 컴퓨터 또는 여러 대의 컴퓨터가 하나의 컴퓨터처럼 작동하도록 연결된 동일한 하드웨어 플랫폼 상에서 다수의 사용자에게 독립적인 가상 머신(Virtual Machine; VM)을 제공하는 분산 컴퓨팅 시스템이다.
그런데 클라우드 컴퓨팅 시스템은 사용자의 요구에 맞게 하드웨어 자원을 분할하여 사용함으로써 자원 이용의 효율성을 제공하지만 하나의 가상 머신이 악성코드나 봇(bot)에 감염되는 경우 동일한 하드웨어 플랫폼 상에 존재하는 다른 가상 머신이 동시에 악성코드에 감염될 우려가 있다.
이와 같이 감염된 가상 머신들은 대규모 피해를 유발할 수 있는 분산 서비스 거부(Distributed DoS; DDoS) 공격에 이용될 위험이 있다. DoS 공격의 한 형태인 DDoS 공격은, 분산 설치된 다수의 공격 프로그램이 서로 통합된 형태로 목적 망/서 버에 트래픽을 집중시키는 공격으로서 일반적인 DoS 공격에 비해 탐지가 어려울 뿐만 아니라 훨씬 더 강력한 파괴력을 가지고 있다. 이러한 DDoS 공격은 다량의 유해 트래픽으로 네트워크 전체의 자원을 고갈시키는 한편 네트워크에 심각한 부하를 주어 해당 네트워크를 마비시키기도 한다.
그러나 종래의 클라우드 컴퓨팅 시스템은 사용자 컴퓨터에 대한 네트워크 연결을 자동으로 제어하기 어려우므로 악성코드가 유포되는 경우 해당 악성코드를 치료하기 위해 백신 프로그램이 업데이트 되기까지는 악성코드에 감염된 컴퓨터를 통해 다른 컴퓨터로 악성코드가 유포되거나 분산 서비스 거부 공격이 수행되는 것을 막을 수 없는 문제점이 존재한다.
즉 지금까지 가상 머신에 대한 보안 기술은 악성코드 감염에 대해 능동적으로 대응하지 못하고 있다.
한편, TPM(Trust Platform Module)은 하드웨어 칩의 형태로써 암호화 키, 난수, 해쉬 값을 각각 생성하는 함수와 암호화 및 복호화 처리 함수를 제공하고, 생성된 암호화 키 값과 해쉬 값을 안전하게 저장하기 위한 저장소를 제공한다.
그러나, 기존의 TPM은 시스템이 부팅되는 시점에 무결성을 정적으로 검증하는 기능만을 제공할 뿐 이후 악성코드에 감염되어 무결성이 파괴될 경우에는 이를 탐지하지 못하는 한계가 있다.
발명이 이루고자 하는 기술적 과제는 동일한 하드웨어 플랫폼에서 독립적으 로 운용되는 복수의 가상 머신이 동시에 악성코드에 감염되는 것을 차단하는 보안 기능이 구비된 클라우드 컴퓨팅 시스템을 제공하는 것이다.
본 발명의 한 실시예에 따르면, 클라우드 컴퓨팅 시스템이 제공된다. 이 시스템은, 하나의 하드웨어 플랫폼에서 가상 네트워크를 포함한 가상화된 하드웨어 자원을 이용하여 각각의 독립된 실행 환경을 구현하는 복수의 가상 머신; 및 상기 복수의 가상 머신 각각에 대한 무결성 검증을 수행하여 상기 무결성 검증에 실패한 경우 해당 가상 머신과 상기 가상 네트워크 간의 연결을 차단하는 보안 장치를 포함한다.
본 발명의 한 실시예에 따르면, 악성코드에 감염된 가상 머신에 연결된 가상 네트워크를 차단함으로써, 가상 머신이 운용되는 상황에서 윔, 바이러스 등의 악성코드에 동적으로 대응할 수 있다. 그리고 백신 프로그램이 업데이트 되기 이전에 분산 서비스 거부 공격을 사전에 차단할 수 있다.
아래에서는 첨부한 도면을 참고로 하여 본 발명의 실시예에 대하여 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자가 용이하게 실시할 수 있도록 상세히 설명한다. 그러나 본 발명은 여러 가지 상이한 형태로 구현될 수 있으며 여기에서 설명하는 실시예에 한정되지 않는다. 그리고 도면에서 본 발명을 명확하게 설명하기 위해서 설명과 관계없는 부분은 생략하였으며, 명세서 전체를 통하여 유사 한 부분에 대해서는 유사한 도면 시퀀스를 붙였다.
명세서 전체에서, 어떤 부분이 어떤 구성요소를 "포함"한다고 할 때, 이는 특별히 반대되는 기재가 없는 한 다른 구성요소를 제외하는 것이 아니라 다른 구성요소를 더 포함할 수 있는 것을 의미한다.
이제, 본 발명의 실시예에 따른 보안 기능이 구비된 클라우드 컴퓨팅 시스템에 대하여 도면을 참고로 하여 상세하게 설명한다.
도 1은 본 발명의 실시예에 따른 클라우드 컴퓨팅 플랫폼 구성도이다.
도 1을 참조하면, 클라우드 컴퓨팅 플랫폼은 하드웨어(101), 하이퍼바이저(hypervisor)(103), 가상 CPU(Central Processor Unit)(105), 가상 메모리(107), 가상 디스크(109), 가상 네트워크(111), 보안 하이퍼바이저(Secure Hypervisor)(113), 가상 머신(Virtual Machine, VM)(가상 머신0, 가상 머신1, 가상 머신2, 가상 머신3)(115, 117, 119, 121), 가상 머신 입출력 관리 소프트웨어(123) 및 사용자 소프트웨어(125)를 포함한다.
이러한 클라우드 컴퓨팅 플랫폼은 복수의 독립적인 가상 머신(가상 머신0, 가상 머신1, 가상 머신2, 가상 머신3)(115, 117, 119, 121)이 하이퍼바이저(Hypervisor)(103)라고 불리는 소프트웨어에 의해 구현된다. 하이퍼바이저(103)에서는 가상 머신(가상 머신0, 가상 머신1, 가상 머신2, 가상 머신3)(115, 117, 119, 121)이 지정된 소프트웨어 형상에 따라 정상적으로 동작한다.
하이퍼바이저(103)는 가상 CPU(105), 가상 메모리(107), 가상 디스크(109), 가상 네트워크(111)와 같은 하드웨어 자원을 제어한다. 각 가상 머신(가상 머신0, 가상 머신1, 가상 머신2, 가상 머신3)(115, 117, 119, 121)은 하이퍼바이저(103)로부터 각각의 가상 자원(105, 107,109, 111)을 할당받아 운용된다.
그리고 가상머신 0(115)은 가상 머신/입출력 관리 소프트웨어(123)를 실행한다. 가상 머신 0(115)은 특수 권한을 가진 가상 머신으로서, 사용자가 접근할 수 없다. 가상 머신 0(115)은 가상 머신 관리 소프트웨어(123)를 이용하여 가상 머신 1, 2, 3(117, 119, 121)을 생성, 삭제 및 변경한다.
가상 머신 1, 2, 3(117, 119, 121)은 가상 머신 0(115)에게 요청하여 입출력 관리 소프트웨어(123)를 실행하여 입출력 처리를 하게 된다. 그리고 사용자 소프트웨어(125)를 실행한다.
여기서, 하이퍼바이저(103)는 하드웨어(101) 위에서 실행되는 시스템 가상 머신으로서, 여러 게스트 운영체제가 동시에 하나의 하드웨어(101)에서 실행될 수 있게 한다.
이때, 하이퍼바이저(103)는 젠(Xen) 오픈 소스 하이퍼바이저일 수 있다. 여기서, 젠(Xen) 오픈 소스 하이퍼바이저는 오픈 소스 가상화 솔루션으로서, IA-32(Intel Architecture, 32-bit), x86-64(x86 명령어 집합 아키텍처의 64비트 모임), IA-64(Itanium, 2001년에 공식 발표된 인텔이 제공하는 64비트 CPU)와 PowerPC 970 아키텍처를 지원하는 하이퍼바이저이며 오픈 소스 프로젝트이다.
이러한 젠(Xen) 기반의 하이퍼바이저(103)에는 IBM에서 개발한 보안 하이퍼바이저(또는 보안 시스템 가상 머신)(113)가 구현된다.
보안 하이퍼바이저(113)는 가상 자원에 대한 강제적 접근 제어(Mandatroy Access Control; MAC) 정책을 지원하는 접근 제어 모듈(Access Control Module)을 제공한다. 접근 제어 모듈은 MAC 정책 중 TE(Type Enforcement) 정책을 기본 정책으로 제공한다. 여기서, TE 정책은 가상 머신(115, 117, 119, 121)에게 자신이 가진 보안 라벨의 범위에 속하는 가상 자원에만 접근을 허용하여 서로 다른 보안 라벨을 가진 가상 머신(115, 117, 119, 121)간의 정보 교환을 제한한다. 이러한 내용에 대해서는 도 2를 참조하여 보다 상세히 설명한다.
도 2는 본 발명의 실시예에 따른 보안 기능이 적용된 클라우드 컴퓨팅 시스템의 구성도이다.
도 2를 참조하면, 보안 하이퍼바이저(113)는 가상 머신 1(117), 가상 머신 2(119), 가상 머신 3(121) 및 가상 네트워크(111) 각각에게 보안 라벨을 부여하여 동일한 보안 라벨이 부여된 가상 머신과 가상 네트워크 간에 연결되도록 접근 권한을 제어한다.
즉 보안 하이퍼바이저(113)는 가상 머신 1(117) 및 가상 머신 2(119)에게 '라벨 A'(보안 라벨)를 부여한다. 또한, 가상 머신 3(121)에게 '라벨 B'(보안 라벨)를 부여한다. 그리고 가상 네트워크(111)에는 '라벨 A'와 '라벨 B'를 각각 부여한다.
그러면, '라벨 A'가 부여된 가상 머신 1(117) 및 가상 머신 2(119)는 '라벨 A'가 부여된 가상 네트워크(111)에만 접근이 허용되고, '라벨 B'가 부여된 가상 머신 3(121)은 '라벨 B'가 부여된 가상 네트워크(111)에만 접근이 허용된다.
한편, 하이퍼바이저(103)에서 가상 머신0(115)은 사용자를 위한 가상 머신 1, 2, 3(117, 119, 121)을 생성하는 기능을 가지고 있다. 사용자의 가상 머신은 가상 머신 1부터 생성이 되며, 생성되는 순서에 따라 순차적인 번호를 갖는다.
이때, 하이퍼바이저(103)의 제어하에 가상 머신0(115)은 하나의 가상 머신(117, 119, 121)이 생성될 때마다 대응되는 가상 신뢰 플랫폼 모듈(vTRM, Virtual Trust Platform Module)(125)을 생성한다.
가상 신뢰 플랫폼 모듈(125)은 복수의 가상 머신(117, 119, 121)의 무결성 검증을 수행한다. 이러한 가상 신뢰 플랫폼 모듈(125)은 신뢰 플랫폼 모듈(TPM, Trust Platform Module)(123)이 지닌 기능을 모든 가상 머신(117, 119, 121)에서 독립적으로 사용할 수 있도록 신뢰 플랫폼 모듈(123)을 가상화한 것이다. 여기서, 신뢰 플랫폼 모듈(123)은 단일 하드웨어(101)의 신뢰성을 보장하기 위해 장착된다.
가상 신뢰 플랫폼 모듈(125)은 각 가상 머신(117, 119, 121)의 형상의 순차적인 순서에 따라 해쉬 값을 생성하여 저장하고, 미리 정의된 공개키를 이용하여 해쉬 값에 서명을 적용하여 전달함으로써 각 가상 머신(117, 119, 121)의 무결성을 검증할 수 있게 한다.
이때, 각 가상 머신(117, 119, 121)은 검증 에이전트(127)를 구비한다. 그리고 검증 에이전트(127)는 보안 장치(300)의 요청하에 가상 신뢰 플랫폼 모듈(125)을 이용하여 무결성 검증을 수행한 후, 무결성 검증 결과를 제공한다.
여기서, 검증 에이전트(127)는 각 가상 머신(117, 119, 121)이 부팅되는 순간뿐만 아니라 주기적으로 보안 장치(300)의 요청하에 무결성 검증을 수행한다.
한편, 보안 장치(300)는 검증 에이전트(127)와 연동하여 복수의 가상 머 신(117, 119, 121) 각각에 대한 무결성 검증을 실시간으로 수행하고, 무결성 검증에 실패한 경우 해당 가상 머신과 가상 네트워크 간의 연결을 차단한다.
보안 장치(300)는 무결성 검증 모듈(301), 악성코드 치료 모듈(303), 접근 제어 관리 모듈(305) 및 데이터베이스(307)를 포함한다.
무결성 검증 모듈(301)은 각 가상 머신(117, 119, 121)의 검증 에이전트(127)에게 주기적으로 해당 가상 머신의 무결성 상태 확인을 요청하여 수신한다. 이때, 무결성 검증에 실패한 경우, 해당 가상 머신에 대한 식별자를 확인하여 악성코드 치료 모듈(303) 및 접근 제어 관리 모듈(305)로 전달한다.
악성코드 치료 모듈(303)은 무결성 검증 모듈(301)로부터 식별자가 전달되면 해당 가상 머신에 대해 주기적으로 백신 프로그램(129)을 실행시켜 악성코드를 치료한다. 여기서, 악성코드는 악성코드는 제작자가 의도적으로 사용자에게 피해를 주고자 만든 악의의 목적을 가진 프로그램으로, 사용자의 컴퓨터 상에서 작동하는 모든 실행 가능한 형태를 말한다.
악성코드 치료 모듈(303)은 치료가 완료된 가상 머신의 식별자를 접근 제어 관리 모듈(305)에게 전달한다.
접근 제어 관리 모듈(305)은 무결성 검증 모듈(301)로부터 전달받은 식별자에 해당하는 가상 머신의 보안 라벨을 무결성 검증 실패를 의미하는 보안 상태, 즉 '위험' 상태로 변경할 수 있다. 그러면, 해당 가상 머신은 자신과 동일한 보안 라벨을 가진 가상 네트워크가 존재하지 않으므로, 어떠한 가상 네트워크에도 접근할 수 없게 되어 결국 접근 권한이 해제된다.
접근 제어 관리 모듈(305)은 악성코드 치료 모듈(303)로부터 치료 완료된 가상 머신의 식별자가 전달되면, 해당 가상 머신의 보안 라벨을 이전의 상태로 복구한다. 따라서, 해당 가상 머신은 자신의 보안 라벨과 동일한 보안 라벨을 가진 가상 네트워크에 접근할 수 있게 되어 결국 접근 권한이 재개된다.
데이터베이스(307)는 무결성 검증 모듈(301), 악성코드 치료 모듈(303), 접근 제어 관리 모듈(305) 각각의 동작을 정의한 제어 정보, 보안 라벨, 보안 정책 정보 등을 저장한다.
도 3 및 도 4는 본 발명의 실시예에 따른 가상 머신과 가상 네트워크 간의 연결 관계를 나타낸 구성도이다.
먼저, 도 3은 본 발명의 실시예에 따른 가상 네트워크 구성도이다.
도 3을 참조하면, 가상 머신 0(115)은 서로 다른 보안 라벨이 부여된 두 개의 가상 브리지(Virtual Bridge: vBridge) 즉 xenbr0(111a), xenbr1(111b)을 포함한다.
이때, xenbr0(111a)에는 '라벨 A'가 부여되고, xenbr1(111b)에는 '라벨 B'가 부여된다. 그리고 xenbr0(111a) 및 xenbr1(111b)는 가상 인터페이스(virtual interface, 이하 'vif'라 기술함)(111c, 111d, 111e, 111g, 111h) 및 가상 네트워크 인터페이스 카드(Virtual Network Interface Card, 이하 'vNIC'라 기술함)(111f, 111i)를 포함한다.
여기서, vNIC(111f, 111i)는 물리적 네트워크 인터페이스 카드(Network Interface Card: 이하 'NIC'라 기술함)(131, 133)에 각각 연결되고, NIC(131, 133) 는 스위치(401, 403)에 각각 연결된다.
한편, 가상 머신 1(117) 및 가상 머신 2(119)에는 '라벨 A'가 부여되고, 가상 머신 3(121)에는 '라벨 B'가 부여된다.
가상 머신 1, 2, 3(117, 119, 121)에는 디폴트로 vNIC이 한 개씩 생성된다. 이때, 첫번째 생성되는 vNIC은 'eth0'(111j)라는 이름으로 생성된다. 이후 vNIC이 추가될 때마다 'eth0'(111j), 'eth1', 'eth2' 등 번호가 순차적으로 부여되어 생성된다.
가상 머신 1, 2, 3(117, 119, 121) 각각의 vNIC(111j)에 대응하여 가상머신 0(115)의 가상 브리지 xenbr0(111b), xenbr1(111c)에는 vif가 하나씩 추가된다. 이러한 vif는 가상 머신의 번호와 vNIC 번호를 함께 가지게 된다.
예를 들면, 가상 머신 1(117)의 'eth0'(111j)에 대응하는 vif는 vif1.0(111d)이 된다. 또한, 가상 머신 2(119)의 'eth0'(111j)에 대응하는 vif는 vif2.0(111e)이 된다. 또한, 가상 머신 3(121)의 'eth0'(111j)에 대응하는 vif는 vif3.0(111h)이 된다.
이와 같이 생성된 vif1.0(111d), vif2.0(111d)는 xenbr0(111a)의 vif0.0(111c)와 연결되고, vif0.0(111c)는 xenbr0(111a)의 vNIC인 'eth0'(111f)에 연결되며 'eth0'(111f)는 NIC-peth 0(131)에 연결된다.
또한, vif3.0(111h)는 xenbr1(111b)의 vif0.1(111g)와 연결되고, vif0.1(111g)은 xenbr1(111b)의 vNIC인 'eth0'(111i)에 연결되며 'eth0'(111i)는 NIC-peth 1(133)에 연결된다.
따라서, 가상 머신 1, 2, 3(117, 119, 121) 각각은 xenbr0(111a) 및 xenbr1(111b)를 통하여 NIC-peth 0(131) 및 NIC-peth 1(133)에 연결된다.
도 4는 도 3의 구성에서 악성코드에 감염된 경우를 나타낸다.
도 4를 참조하면, 가상 머신 3(121)가 악성코드에 감염된 경우, 가상 머신 3(121)의 보안 라벨은 '라벨 B'에서 '위험'으로 변경된다. 그러면, 가상머신 3(121)의 'eth0'(111j)에 연결된 vif3.0(111h)은 xenbr1(111c)로부터 삭제되어 가상 머신 3(121)에 할당되어 있던 가상 네트워크의 연결이 해제된다.
이후, 가상 머신 3(121)의 악성코드가 치료된 후 가상 머신 3(121)의 보안 라벨은 '라벨 B'로 복구된다. 그러면, xenbr1(111c)에는 vif3.0(111h)이 재생성되고 가상 머신 3 (121)의 가상 네트워크 연결이 재개된다.
이제, 이상 설명한 클라우드 컴퓨팅 시스템이 보안 기능을 제공하는 방법에 대해 설명하기로 한다.
도 5는 본 발명의 실시예에 따른 클라우드 컴퓨팅 환경에서 보안 기능을 제공하는 방법을 나타낸 흐름도이다.
도 5를 참조하면, 보안 하이퍼바이저(113)가 각각의 가상 머신(117, 119, 121) 및 각각의 가상 네트워크(111)에 보안 라벨을 부여한다(S101, SS103). 그러면, 동일한 보안 라벨이 부여된 각각의 가상 머신(117, 119, 121) 및 각각의 가상 네트워크(111) 간에 연결이 이루어진다(S105).
각각의 가상 머신(117, 119, 121)은 검증 에이전트(127)를 실행(S107)시켜 부팅시뿐만 아니라 무결성 검증 모듈(301)의 요청에 따라 주기적으로 가상 머 신(117, 119, 121)의 무결성 검증을 수행한다(S109).
무결성 검증 모듈(301)은 검증 에이전트(127)와 수행한 무결성 검증의 성공 여부를 판단한다(S111). 무결성 검증에 성공한 경우, S109 단계를 반복한다.
그러나 무결성 검증에 실패한 경우, 해당 가상 머신의 식별자를 확인하여 접근 제어 관리 모듈(305) 및 악성코드 치료 모듈(303)에게 전달한다(S113, S115).
그러면, 접근 제어 관리 모듈(305)은 해당 가상 머신(117, 119, 121)의 보안 라벨을 '위험'으로 변경한다(S117). 보안 라벨이 '위험'으로 변경된 가상 머신(117, 119, 121)은 가상 네트워크와의 연결이 해제된다(S119).
악성코드 치료 모듈(303)은 백신 프로그램을 실행(S121)시켜 해당 가상 머신(117, 119, 121)을 치료한다(S123). 이때, 치료가 완료되면(S125) 치료가 완료된 해당 가상 머신(117, 119, 121)의 식별자를 접근 제어 관리 모듈(305)에게 전달한다(S127).
접근 제어 관리 모듈(305)은 치료가 완료된 해당 가상 머신(117, 119, 121)의 보안 라벨을 원래대로 복구한다(S129). 그러면 가상 머신(117, 119, 121)과 가상 네트워크(111) 간에 재연결이 이루어진다(S131).
본 발명의 실시예는 이상에서 설명한 장치 및/또는 방법을 통해서만 구현이 되는 것은 아니며, 본 발명의 실시예의 구성에 대응하는 기능을 실현하기 위한 프로그램, 그 프로그램이 기록된 기록 매체 등을 통해 구현될 수도 있다.
이상에서 본 발명의 실시예에 대하여 상세하게 설명하였지만 본 발명의 권리범위는 이에 한정되는 것은 아니고 다음의 청구범위에서 정의하고 있는 본 발명의 기본 개념을 이용한 당업자의 여러 변형 및 개량 형태 또한 본 발명의 권리범위에 속하는 것이다.
도 1은 본 발명의 실시예에 따른 클라우드 컴퓨팅 플랫폼 구성도이다.
도 2는 본 발명의 실시예에 따른 보안 기능이 적용된 클라우드 컴퓨팅 시스템의 구성도이다.
도 3은 본 발명의 실시예에 따른 가상 네트워크 구성도이다.
도 4는 도 3의 구성에서 악성코드에 감염된 경우를 나타낸다.
도 5는 본 발명의 실시예에 따른 클라우드 컴퓨팅 환경에서 보안 기능을 제공하는 방법을 나타낸 흐름도이다.

Claims (5)

  1. 하나의 하드웨어 플랫폼에서 가상 네트워크를 포함한 가상화된 하드웨어 자원을 이용하여 각각의 독립된 실행 환경을 구현하는 복수의 가상 머신; 및
    상기 복수의 가상 머신 각각에 대한 무결성 검증을 수행하여 상기 무결성 검증에 실패한 경우 해당 가상 머신과 상기 가상 네트워크 간의 연결을 차단하는 보안 장치
    를 포함하는 클라우드 컴퓨팅 시스템.
  2. 제1항에 있어서,
    상기 복수의 가상 머신 및 하나 이상의 가상 네트워크 각각에 서로 다른 보안 라벨을 부여하고, 상기 복수의 가상 머신에게 자신의 보안 라벨과 동일한 보안 라벨을 가지는 상기 하나 이상의 가상 네트워크에만 접근을 허용하는 보안 시스템 가상 머신을 더 포함하고,
    상기 보안 장치는,
    상기 무결성 검증에 실패한 해당 가상 머신의 보안 라벨을 미리 정의된 보안 라벨-여기서 미리 정의된 보안 라벨은 상기 하나 이상의 가상 네트워크 각각에 부여되지 않은 보안 라벨임-로 변경하는 클라우드 컴퓨팅 시스템.
  3. 제2항에 있어서,
    상기 보안 장치는,
    주기적으로 상기 복수의 가상 머신 각각에 대한 무결성 상태를 확인하고, 무결성 검증에 실패한 가상 머신의 식별자를 확인하는 무결성 검증 관리 모듈;
    상기 무결성 검증 관리 모듈로부터 전달받은 식별자에 해당하는 가상 머신에 대해 백신 프로그램을 실행시켜 바이러스 감염을 치료하는 치료 관리 모듈; 및
    상기 무결성 검증 관리 모듈로부터 식별자가 전달되면 해당 가상 머신에 부여된 보안 라벨을 상기 미리 정의된 보안 라벨로 변경하여 상기 하나 이상의 가상 네트워크에 대한 접근 권한을 해제하고, 상기 치료 관리 모듈이 바이러스 감염 치료에 성공하면 상기 해당 머신에 부여된 보안 라벨을 원래대로 복구하여 상기 접근 권한을 재개시키는 접근 제어 관리 모듈
    을 포함하는 클라우드 컴퓨팅 시스템.
  4. 제3항에 있어서,
    상기 접근 제어 관리 모듈은,
    상기 무결성 검증에 실패한 경우, 해당 가상 머신에게 무결성 검증 실패를 의미하는 보안 상태를 나타내는 보안 라벨로 변경하는 클라우드 컴퓨팅 시스템.
  5. 제1항 내지 제4항 중 어느 한 항에 있어서,
    상기 복수의 가상 머신 각각은,
    신뢰 플랫폼 모듈(TPM, Trust Platform Module)을 가상화한 가상 신뢰 플랫 폼 모듈(vTPM, Virtual Trust Platform Module)을 각각 포함하고,
    상기 가상 신뢰 플랫폼 모듈은 해당 가상 머신의 형상에 대한 무결성을 보증하기 위한 비밀키를 생성하여 저장하고 공개키를 이용하여 상기 비밀키에 서명을 적용하여 주기적으로 무결성 검증을 요청하는 상기 보안 장치에게 전달하는 클라우드 컴퓨팅 시스템.
KR1020090107672A 2009-11-09 2009-11-09 보안 기능이 구비된 클라우드 컴퓨팅 시스템 KR20110051028A (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020090107672A KR20110051028A (ko) 2009-11-09 2009-11-09 보안 기능이 구비된 클라우드 컴퓨팅 시스템

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020090107672A KR20110051028A (ko) 2009-11-09 2009-11-09 보안 기능이 구비된 클라우드 컴퓨팅 시스템

Publications (1)

Publication Number Publication Date
KR20110051028A true KR20110051028A (ko) 2011-05-17

Family

ID=44361466

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020090107672A KR20110051028A (ko) 2009-11-09 2009-11-09 보안 기능이 구비된 클라우드 컴퓨팅 시스템

Country Status (1)

Country Link
KR (1) KR20110051028A (ko)

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013027910A1 (ko) * 2011-08-24 2013-02-28 (주)케이티 클라우드 컴퓨팅 서버 시스템의 가상머신 제어 장치 및 방법
WO2013048111A2 (ko) * 2011-09-26 2013-04-04 인텔렉추얼디스커버리 주식회사 클라우드 컴퓨팅 서비스로의 침입을 탐지하는 방법 및 장치
KR101291125B1 (ko) * 2011-11-22 2013-08-01 주식회사 안랩 악성코드 진단 및 치료 서비스 장치, 방법 및 그 방법을 실행시키기 위한 기록매체
WO2013116214A1 (en) * 2012-01-30 2013-08-08 Intel Corporation Remote trust attestation and geo-location of servers and clients in cloud computing environments
KR101309657B1 (ko) * 2013-03-13 2013-09-17 엘에스웨어(주) 클라우드 컴퓨팅 환경에서의 호스트 기반 취약점 분석 시스템 및 방법
WO2013183814A1 (ko) * 2012-06-07 2013-12-12 에스케이플래닛 주식회사 개선된 보안 기능 기반의 클라우드 서비스 시스템 및 이를 지원하는 방법
US8788846B2 (en) 2011-11-03 2014-07-22 Electronics And Telecommunications Research Institute Cloud computing system and cloud server managing method thereof
KR101429434B1 (ko) * 2013-03-13 2014-08-12 한국과학기술원 클라우드 컴퓨팅 환경에서 사용자 가상 머신 실행환경의 신뢰성 향상 장치 및 방법
KR20140147140A (ko) * 2012-04-19 2014-12-29 유니베르시타트 폴리테크니카 데 카탈루냐 컴퓨터 시스템과 관련된 하드웨어 자원의 가상 현실화를 위한 방법, 시스템 및 실행가능한 코드 조각
KR101494820B1 (ko) * 2012-11-13 2015-02-23 주식회사 지벤파크 클라우드 기반 가상 머신의 성능 모니터링 시스템 및 방법
US9059808B2 (en) 2012-01-11 2015-06-16 Samsung Electronics Co., Ltd. Microprocessor chip, data center, and computing system
KR101534566B1 (ko) * 2014-05-09 2015-07-24 한국전자통신연구원 클라우드 가상 데스크탑 보안 통제 장치 및 방법
US9910972B2 (en) 2012-01-30 2018-03-06 Intel Corporation Remote trust attestation and geo-location of servers and clients in cloud computing environments

Cited By (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013027910A1 (ko) * 2011-08-24 2013-02-28 (주)케이티 클라우드 컴퓨팅 서버 시스템의 가상머신 제어 장치 및 방법
US9465636B2 (en) 2011-08-24 2016-10-11 Kt Corporation Controlling virtual machine in cloud computing system
WO2013048111A2 (ko) * 2011-09-26 2013-04-04 인텔렉추얼디스커버리 주식회사 클라우드 컴퓨팅 서비스로의 침입을 탐지하는 방법 및 장치
WO2013048111A3 (ko) * 2011-09-26 2013-05-23 인텔렉추얼디스커버리 주식회사 클라우드 컴퓨팅 서비스로의 침입을 탐지하는 방법 및 장치
US9294489B2 (en) 2011-09-26 2016-03-22 Intellectual Discovery Co., Ltd. Method and apparatus for detecting an intrusion on a cloud computing service
US8788846B2 (en) 2011-11-03 2014-07-22 Electronics And Telecommunications Research Institute Cloud computing system and cloud server managing method thereof
KR101291125B1 (ko) * 2011-11-22 2013-08-01 주식회사 안랩 악성코드 진단 및 치료 서비스 장치, 방법 및 그 방법을 실행시키기 위한 기록매체
US9059808B2 (en) 2012-01-11 2015-06-16 Samsung Electronics Co., Ltd. Microprocessor chip, data center, and computing system
WO2013116214A1 (en) * 2012-01-30 2013-08-08 Intel Corporation Remote trust attestation and geo-location of servers and clients in cloud computing environments
US9910972B2 (en) 2012-01-30 2018-03-06 Intel Corporation Remote trust attestation and geo-location of servers and clients in cloud computing environments
US9256742B2 (en) 2012-01-30 2016-02-09 Intel Corporation Remote trust attestation and geo-location of servers and clients in cloud computing environments
US9774602B2 (en) 2012-01-30 2017-09-26 Intel Corporation Remote trust attestation and geo-location of servers and clients in cloud computing environments
KR20140147140A (ko) * 2012-04-19 2014-12-29 유니베르시타트 폴리테크니카 데 카탈루냐 컴퓨터 시스템과 관련된 하드웨어 자원의 가상 현실화를 위한 방법, 시스템 및 실행가능한 코드 조각
US9055060B2 (en) 2012-06-07 2015-06-09 Sk Planet Co., Ltd. Cloud service system based on enhanced security function and method for supporting the same
WO2013183814A1 (ko) * 2012-06-07 2013-12-12 에스케이플래닛 주식회사 개선된 보안 기능 기반의 클라우드 서비스 시스템 및 이를 지원하는 방법
KR101494820B1 (ko) * 2012-11-13 2015-02-23 주식회사 지벤파크 클라우드 기반 가상 머신의 성능 모니터링 시스템 및 방법
KR101429434B1 (ko) * 2013-03-13 2014-08-12 한국과학기술원 클라우드 컴퓨팅 환경에서 사용자 가상 머신 실행환경의 신뢰성 향상 장치 및 방법
KR101309657B1 (ko) * 2013-03-13 2013-09-17 엘에스웨어(주) 클라우드 컴퓨팅 환경에서의 호스트 기반 취약점 분석 시스템 및 방법
KR101534566B1 (ko) * 2014-05-09 2015-07-24 한국전자통신연구원 클라우드 가상 데스크탑 보안 통제 장치 및 방법
US9674143B2 (en) 2014-05-09 2017-06-06 Electronics And Telecommunications Research Institute Security control apparatus and method for cloud-based virtual desktop

Similar Documents

Publication Publication Date Title
KR20110051028A (ko) 보안 기능이 구비된 클라우드 컴퓨팅 시스템
US10630643B2 (en) Dual memory introspection for securing multiple network endpoints
Pearce et al. Virtualization: Issues, security threats, and solutions
US8910238B2 (en) Hypervisor-based enterprise endpoint protection
Pék et al. A survey of security issues in hardware virtualization
US9009836B1 (en) Security architecture for virtual machines
Jin et al. Architectural support for secure virtualization under a vulnerable hypervisor
US9087199B2 (en) System and method for providing a secured operating system execution environment
EP2981925B1 (en) Systems, methods and apparatuses for protection of antivirus software
TWI470471B (zh) 保護作業系統資源
Li et al. Mycloud: supporting user-configured privacy protection in cloud computing
CA3051851A1 (en) Multiple single levels of security (msls) in a multi-tenant cloud
US10108800B1 (en) ARM processor-based hardware enforcement of providing separate operating system environments for mobile devices with capability to employ different switching methods
CN103177212B (zh) 一种基于轻量虚拟机监控器的计算机安全输入系统与方法
Pék et al. On the feasibility of software attacks on commodity virtual machine monitors via direct device assignment
CN110874468A (zh) 应用程序安全保护方法以及相关设备
Park et al. Toward live migration of SGX-enabled virtual machines
EP3980898A1 (en) Systems and methods for processor virtualization
KR20130101648A (ko) 가상화를 위한 보안 제공 장치 및 방법
Kazim et al. Virtualization security in cloud computing
AT&T
Chen et al. On state of the art in virtual machine security
Fukai et al. BMCArmor: A Hardware Protection Scheme for Bare-Metal Clouds
Shuang et al. Embedded virtualization computing platform security architecture based on trusted computing
Zhou et al. A cleanroom monitoring system for network computing service based on remote attestation

Legal Events

Date Code Title Description
WITN Withdrawal due to no request for examination