KR20120005599A

KR20120005599A - 무선 통신 시스템에서 타겟 플로우 검출 장치 및 방법

Info

Publication number: KR20120005599A
Application number: KR1020100066100A
Authority: KR
Inventors: 백승민; 노상익; 이호철; 김종훈; 김재진
Original assignee: 삼성전자주식회사
Priority date: 2010-07-09
Filing date: 2010-07-09
Publication date: 2012-01-17
Also published as: US20120008513A1

Abstract

본 발명은 무선 통신 시스템에서 타겟 플로우 검출 장치 및 방법에 관한 것으로, 패킷을 수신하여, 패킷의 행위 상태를 파악하고, 행위 상태를 미리 저장된 다수개의 행위 시그니처들과 비교하여, 행위 상태가 행위 시그니처들 중 적어도 어느 하나에 매칭되면, 행위 시그니처에 상응하는 타겟 플로우를 검출하고, 타겟 플로우의 처리를 지시하도록 구성된다. 본 발명에 따르면, 무선 통신 시스템에서 패킷의 내용을 확인하지 않더라도 심층 패킷 검사를 수행할 수 있다.

Description

무선 통신 시스템에서 타겟 플로우 검출 장치 및 방법{METHOD AND APPARATUS FOR DETECTING TARGET FLOW IN WIRELESS COMMUNICATION SYSTEM}

본 발명은 무선 통신 시스템에서 통신 장치 및 방법에 관한 것으로, 특히 타겟 플로우 검출 장치 및 방법에 관한 것이다.

일반적으로 UMTS(Universal Mobile Telecommunication Service) 시스템은 유럽식의 GSM(Global System for Mobile communications)과 GPRS(General Packet Radio Services)를 기반으로 하고, CDMA(Code Division Multiple Access)를 사용하는 제 3 세대 비동기 이동 통신 시스템이다. 이러한 UMTS의 표준화를 위한 3GPP(3rd Generation Partnership Project)는 LTE(Long Term Evolution) 시스템과 같은 UMTS의 차세대 무선 통신 시스템(EPS; Evolved Packet System)을 제안하고 있다. 이 때 차세대 무선 통신 시스템은 고속 고품질의 패킷 송수신을 목적으로 한다.

이러한 무선 통신 시스템에서 다수개의 통신 단말기들에 주파수 대역(bandwidth)과 같은 자원을 적절하게 할당하기 위해, 패킷 검사 장치가 심층 패킷 검사(Deep Packet Inspection; DPI)를 수행한다. 즉 패킷 검사 장치는 실시간으로 통신 단말기 별 자원 사용 내역을 식별(identification)하고, 그 정당성을 인증(authentication)한다. 그리고 패킷 검사 장치는 통신 단말기 별 자원 할당 여부, 자원 할당량 등을 결정할 수 있다. 이를 통해, 무선 통신 시스템에서 보다 효율적으로 자원을 운용할 수 있다. 이 때 패킷 검사 장치는 패킷의 내용을 확인하여 심층 패킷 검사를 수행한다. 여기서, 패킷 검사 장치는, 예컨대 포트 매치(port match) 기법 또는 스트링 패턴 매치(string pattern match) 기법과 같은 심층 패킷 검사를 수행할 수 있다.

그런데, 상기와 같은 무선 통신 시스템에서 패킷 검사 장치는 암호화된 패킷에 심층 패킷 검사를 수행하는 데 어려움이 있다. 이는 암호화된 패킷의 내용을 확인하는 데 어려움이 있기 때문이다. 따라서, 본 발명은 무선 통신 시스템에서 패킷의 내용을 확인하지 않고도 심층 패킷 검사를 수행하도록 하는 것을 목적으로 한다.

상기 과제를 해결하기 위한 본 발명에 따른 무선 통신 시스템에서 타겟 플로우 검출 방법은, 패킷을 수신하는 과정과, 상기 패킷의 행위 상태를 파악하는 과정과, 상기 행위 상태를 미리 저장된 다수개의 행위 시그니처들과 비교하는 과정과, 상기 행위 상태가 상기 행위 시그니처들 중 적어도 어느 하나에 매칭되면, 상기 행위 시그니처에 상응하는 타겟 플로우를 검출하는 과정과, 상기 타겟 플로우를 처리하도록 지시하는 과정을 포함하는 것을 특징으로 한다.

그리고 상기 과제를 해결하기 위한 본 발명에 따른 무선 통신 시스템에서 타겟 플로우 검출 장치는, 패킷을 수신하기 위한 패킷 수신부와, 상기 패킷의 행위 상태를 결정하기 위한 상태 결정부와, 상기 행위 상태와 비교하기 위한 다수개의 행위 시그니처들을 각각의 타겟 플로우에 대응시켜 저장하는 시그니처 메모리와, 상기 행위 상태가 상기 행위 시그니처들 중 적어도 어느 하나에 매칭되면, 상기 행위 시그니처에 따라 상기 타겟 플로우를 검출하여, 상기 타겟 플로우를 처리하도록 패킷 처리부에 지시하기 위한 후보 결정부를 포함하는 것을 특징으로 한다.

따라서, 본 발명에 따른 무선 통신 시스템에서 타겟 플로우 검출 장치 및 방법은, 패킷의 내용을 확인하지 않더라도 심층 패킷 검사를 수행할 수 있다. 즉 무선 통신 시스템에서 수신되는 패킷의 행위 상태를 파악하고 미리 저장된 행위 시그니처들과 비교하여 심층 패킷 검사를 수행함으로써, 타겟 플로우를 검출할 수 있다.

도 1은 본 발명이 적용되는 무선 통신 시스템을 도시하는 개략도,
도 2는 도 1에서 패킷 흐름을 설명하기 위한 예시도,
도 3은 본 발명의 실시예에 따른 타겟 플로우 검출 장치를 도시하는 블록도,
도 4는 본 발명의 실시예에 따른 타겟 플로우 검출 절차를 도시하는 순서도,
도 5는 도 4에서 행위 상태 파악 절차를 도시하는 순서도,
도 6은 도 4에서 행위 상태 분석 절차를 도시하는 순서도,
도 7은 도 4에서 타겟 플로우 검출 절차를 도시하는 순서도, 그리고
도 8은 도 5 및 도 6에서 행위 상태 파악 및 분석 절차를 설명하기 위한 예시도이다.

이하, 첨부된 도면을 참조하여 본 발명의 실시예는 보다 상세하게 설명하고자 한다. 이 때 첨부된 도면에서 동일한 구성 요소는 가능한 동일한 부호로 나타내고 있음에 유의해야 한다. 그리고 본 발명의 요지를 흐리게 할 수 있는 공지 기능 및 구성에 대한 상세한 설명은 생략할 것이다.

하기 설명에서, "타겟 플로우(target flow)"라는 용어는 무선 통신 시스템에서 특정 무선 통신 프로토콜(protocol) 또는 특정 어플리케이션(application) 사용에 따라 발생되는, 예컨대 TCP(Transmission Control Protocol) 또는 UDP(User Datagram Protocol) 패킷 플로우를 의미한다. 각각의 패킷 플로우는 고유한 5-Tuple(Source IP Address, Destination IP Address, Source Port 번호, Destination Port 번호, 프로토콜(TCP/UDP)) 정보로써 구별 가능하다. "서빙 플로우(serving flow)"라는 용어는 무선 통신 시스템에서 타겟 플로우에 선행되는 TCP 또는 UDP 패킷 플로우를 의미한다. 이 때 무선 통신 시스템에서 서빙 플로우를 통해 타겟 플로우가 검출될 수 있다. 여기서, 타겟 플로우를 검출한다는 것은 타겟 플로우를 발생시킨 무선 통신 프로토콜 또는 어플리케이션을 파악하는 것으로 간주될 수 있다.

"행위 상태(behavior state)"라는 용어는 무선 통신 시스템에서 패킷의 무선 통신 프로토콜 또는 어플리케이션에 따른 특징적 상태를 의미한다. 이 때 행위 상태는 패킷의 외향적, 예컨대 수치적 특성(property)을 나타낸다. 여기서, 행위 상태는 주어진 행위 상태 감시 기간 동안 발생된 패킷 사이즈 별 개수 및 패킷 전달 방향을 포함한다. "상태 요약 정보(state summary)"라는 용어는 행위 상태의 구간 별 비트맵(bitmap)으로 이루어지는 요약 정보를 의미한다. 이 때 상태 요약 정보는 패킷의 사이즈에 따라 생성될 수 있다.

"행위 시그니처(behavior signature)"라는 용어는 무선 통신 시스템에서 서빙 플로우에 대응하여 타겟 플로우를 검출하기 위한 조건 정보를 의미한다. 이 때 행위 시그니처는 각각의 타겟 플로우에 대응하여 설정된다. 여기서, 행위 시그니처는 행위 상태와 비교하기 위한 주어진 행위 상태 감시 기간 동안 발생되어야 할 TCP 또는 UDP 프로토콜 패킷의 사이즈 별 개수 및 패킷 전달 방향을 정의한다. "시그니처 요약 정보(signature summary)"라는 용어는 행위 시그니처의 구간 별 비트맵으로 이루어지는 요약 정보를 의미한다. 이 때 시그니처 요약 정보는 행위 시그니처에서 패킷의 사이즈에 따라 생성될 수 있다.

도 1은 본 발명이 적용되는 무선 통신 시스템을 도시하는 개략도이다. 그리고 도 2는 도 1에서 패킷 흐름을 설명하기 위한 예시도이다.

도 1을 참조하면, 무선 통신 시스템은 통신 단말기(110), 무선 네트워크(Radio Access Network; 120), 코어 네트워크(Core Network; 130) 및 인터넷 프로토콜 네트워크(Internet Protocol Network; IP Network; 140)로 이루어진다.

통신 단말기(110)는 이동성(mobility)이 있으며, 패킷의 송수신이 가능하다. 이 때 통신 단말기(110)는 무선 통신 프로토콜에 따라 패킷을 송수신한다. 그리고 통신 단말기(110)는 다양한 어플리케이션들의 수행이 가능하여, 어플리케이션들 중 적어도 어느 하나를 통해 패킷을 생성하거나 이용한다.

무선 네트워크(120)는 UTRAN(UMTS Terrestrial Radio Access Network)을 구성한다. 이러한 무선 네트워크(120)는 다수개의 기지국(121)들과 무선 네트워크 제어기(Radio Network Controller; RNC; 123)를 포함한다. 각각의 기지국(121)은 통신 단말기(110)와 무선으로 접속하여 통신을 수행한다. 여기서, 기지국(121)은 통신 단말기(110)와 Uu 인터페이스를 통해 접속할 수 있다. 무선 네트워크 제어기(123)는 통신 단말기(110)를 관리하고, 기지국(121)들을 위한 무선 자원을 제어한다. 여기서, 무선 네트워크 제어기(123)는 기지국(121)과 Iu 인터페이스를 통해 접속할 수 있다. 즉 무선 네트워크 제어기(123)는 기지국(121)들에 무선 자원을 할당하며, 각각의 기지국(121)은 통신 단말기(110)에 무선 자원을 제공한다. 이 때 무선 네트워크 제어기(123)는 직접적으로 통신 단말기(110)와 무선 접속할 수도 있다.

코어 네트워크(130)는 무선 네트워크(120)의 패킷 교환을 지원한다. 이러한 코어 네트워크(130)는 패킷 교환 지원 노드(Serving GPRS Support Node; SGSN; 131) 및 패킷 관문 지원 노드(Gateway GPRS Support Node; GGSN; 133)를 포함한다. 패킷 교환 지원 노드(131)는 통신 단말기(110)의 이동성을 관리하고, 패킷 송수신을 위한 세션(session)을 관리하며, 그에 따른 인증 및 과금을 처리한다. 그리고 패킷 교환 지원 노드(131)는 패킷을 위한 라우팅(routing) 기능을 수행한다. 여기서, 패킷 교환 지원 노드(131)는 무선 네트워크(120)의 무선 네트워크 제어기(123)와 Iu 인터페이스를 통해 접속할 수 있다. 패킷 관문 지원 노드(133)는 통신 단말기(110)의 IP 주소를 관리하고, 패킷 송수신을 위한 세션을 관리한다. 그리고 패킷 관문 지원 노드(133)는 패킷을 위한 라우팅 기능을 수행한다. 여기서, 패킷 관문 지원 노드(133)는 패킷 교환 지원 노드(131)와 Gn 인터페이스를 통해 접속할 수 있다. 이 때 코어 네트워크(130)에서, 패킷 교환 지원 노드(131) 또는 패킷 관문 지원 노드(133)는 본 발명의 실시예에 따라 통신 단말기(110)를 위한 패킷에 심층 패킷 검사를 수행하기 위한 타겟 플로우 검출 장치(target flow detection apparatus; Behavior-based Detection Engine; BDE)를 구비한다.

예를 들면, 코어 네트워크(130)는 도 2에 도시된 바와 같이 시간에 따른 플로우로 패킷을 전달할 수 있다. 이 때 패킷 플로우들이 동일 선 상에 배치되는 것으로 도시되어 있으나, 이에 한정하는 것은 아니다. 즉 각각의 패킷 플로우가 각기 다른 선 상에 배치될 수 있다. 그리고 각각의 패킷 플로우는, 예컨대 송신측의 주소 정보(source IP)와 포트 정보(source port), 수신측, 즉 목적지의 주소 정보(destination IP)와 포트 정보(destination port) 및 해당 패킷을 위한 무선 통신 프로토콜의 식별 정보로 구별될 수 있다. 여기서, 패킷 플로우의 송신측은 통신 단말기(110) 또는 인터넷 프로토콜 네트워크(140) 중 어느 하나일 수 있으며, 패킷 플로우의 수신측은 인터넷 프로토콜 네트워크(140) 또는 통신 단말기(110) 중 어느 하나일 수 있다.

즉 코어 네트워크(130)는 제 1 패킷(211)을 전송 제어 프로토콜(Transmission Control Protocol; TCP)에 따라 전달할 수 있다. 여기서, 제 1 패킷(211)은 500 바이트(byte)의 사이즈로 이루어질 수 있다. 그리고 코어 네트워크(130)는 동일 목적지에 제 1 패킷(211)을 열 개 전달할 수 있다. 또한 코어 네트워크(130)는 제 2-1 패킷(221), 제 2-2 패킷(223), 제 2-3 패킷(225) 및 제 2-4 패킷(227) 각각을 사용자 데이터그램 프로토콜(User Datagram Protocol; UDP)에 따라 전달할 수 있다. 여기서, 제 2-1 패킷(221), 제 2-2 패킷(223), 제 2-3 패킷(225) 및 제 2-4 패킷(227)은 각각 100 바이트의 사이즈로 이루어질 수 있다. 그리고 코어 네트워크(130)는 제 2-1 패킷(221), 제 2-2 패킷(223), 제 2-3 패킷(225) 및 제 2-4 패킷(227)을 네 개의 목적지에 개별적으로 분산시켜 전달할 수 있다. 이 후 코어 네트워크(130)는 제 3-1 패킷(231)을 사용자 데이터그램 프로토콜에 따라 전달하고, 최종적으로 타겟 플로우의 패킷 형태인 제 3-2 패킷(233)을 초당 평균 스무 개 가량 전송 제어 프로토콜에 따라 전달할 수 있다. 여기서, 제 3-1 패킷(231)은 300 바이트의 사이즈로 이루어지고, 제 3-2 패킷(233)은 700 바이트의 사이즈로 이루어질 수 있다. 그리고 코어 네트워크(130)는 제 3-1 패킷(231)을 동일 목적지에 세 개를 전달한 다음, 제 3-2 패킷(233)을 동일 목적지에 초당 평균 스무 개 정도를 전달할 수 있다.

인터넷 프로토콜 네트워크(140)는 통신 단말기(110)를 위한 패킷을 관리 및 제공한다. 이 때 인터넷 프로토콜 네트워크(140)는 무선 네트워크(120) 및 코어 네트워크(130)를 통해 통신 단말기(110)의 패킷을 수신하여 관리한다. 또는 인터넷 프로토콜 네트워크(140)는 코어 네트워크(130) 및 무선 네트워크(120)를 통해 통신 단말기(110)를 위한 패킷을 송신한다. 여기서, 인터넷 프로토콜 네트워크(140)는 코어 네트워크(130)의 패킷 관문 지원 노드(133)와 Gi 인터페이스를 통해 접속할 수 있다.

도 3은 본 발명의 실시예에 따른 타겟 플로우 검출 장치를 도시하는 블록도이다. 이 때 타겟 플로우 검출 장치는 코어 네트워크에서 패킷 교환 지원 노드 또는 패킷 관문 지원 노드 중 어느 하나에 장착될 수 있다.

도 3을 참조하면, 본 실시예의 타겟 플로우 검출 장치(300)는 행위 분석부(behavior analyzer; 310) 및 행위 메모리(behavior memory; 320)를 포함한다. 그리고 타겟 플로우 검출 장치(300)는 패킷 처리부(packet processor; 330) 및 외부 인터페이스부(outer interfacer; 340)와 연결된다.

행위 분석부(310)는 타겟 플로우 검출 장치(300)에서 심층 패킷 검사를 수행한다. 즉 행위 분석부(310)는 패킷을 수신 및 분석하여, 타겟 플로우를 검출하는 기능을 수행한다. 이 때 타겟 플로우가 검출되면, 행위 분석부(310)는 패킷 처리부(330)에서 해당 타겟 플로우를 처리하도록 지시한다. 이러한 행위 분석부(310)는 패킷 수신부(311), 상태 결정부(313), 시그니처 비교부(315) 및 후보 결정부(317)를 구비한다.

패킷 수신부(311)는 패킷을 수신한다. 이 때 패킷 수신부(311)는 통신 단말기(110)로부터 무선 네트워크(120)를 통해 패킷을 수신할 수 있다. 또는 패킷 수신부(311)는 인터넷 프로토콜 네트워크(140)로부터 패킷을 수신할 수 있다.

상태 결정부(313)는 패킷의 행위 상태를 결정한다. 이 때 상태 결정부(313)는 패킷의 외향적, 예컨대 수치적 특성을 파악하여, 패킷의 행위 상태로 결정한다. 여기서, 행위 상태는 주어진 행위 상태 감시 기간 동안 발생된 TCP 또는 UDP 프로토콜 패킷의 사이즈 별 개수 및 패킷 전달 방향을 포함한다. 그리고 상태 결정부(313)는 행위 상태의 구간 별 비트맵으로 상태 요약 정보를 생성할 수 있다. 여기서, 상태 결정부(313)는 패킷의 사이즈에 따라 상태 요약 정보를 생성할 수 있다.

시그니처 비교부(315)는 패킷의 행위 상태를 미리 저장된 행위 시그니처들과 비교한다. 이 때 시그니처 비교부(315)는 패킷의 행위 상태와 행위 시그니처들 간 매칭 여부를 판단한다. 여기서, 행위 시그니처는 행위 상태와 비교하기 위한 주어진 행위 상태 감시 기간 동안 발생되어야 할 TCP 또는 UDP 프로토콜 패킷의 사이즈 별 개수 및 패킷 전달 방향을 정의한다. 그리고 시그니처 비교부(315)는 우선적으로 행위 상태의 상태 요약 정보와 행위 시그니처의 시그니처 요약 정보를 비교하여, 상태 요약 정보와 시그니처 요약 정보의 매칭 여부를 판단할 수 있다. 여기서, 시그니처 요약 정보는 행위 시그니처에서 사이즈에 따라 생성될 수 있다. 즉 상태 요약 정보와 시그니처 요약 정보가 매칭되면, 시그니처 비교부(315)는 패킷의 행위 상태와 행위 시그니처들 간 매칭 여부를 판단할 수 있다.

후보 결정부(317)는 행위 시그니처를 이용하여 타겟 플로우를 검출한다. 즉 패킷의 행위 상태와 행위 시그니처들 중 적어도 어느 하나가 매칭되면, 후보 결정부(317)는 해당 행위 시그니처에 따라 타겟 플로우를 검출한다. 이 때 후보 결정부(317)는 패킷의 주소 정보에 상응하는 매칭 후보가 미리 저장되어 있는지의 여부를 판단할 수 있다. 이 때 해당 매칭 후보가 저장되어 있으면, 후보 결정부(317)는 매칭 후보에 해당하는 행위 시그니처에 대응하여 타겟 플로우를 검출할 수 있다. 여기서, 패킷의 주소 정보는 통신 단말기(110)의 IP 주소일 수 있다.

행위 메모리(320)는 프로그램 메모리 및 데이터 메모리들로 구성된다. 프로그램 메모리는 타겟 플로우 검출 장치(300)에서 심층 패킷 검사를 수행하기 위한 프로그램들을 저장한다. 데이터 메모리는 프로그램들을 수행하는 중에 발생되는 데이터들을 저장한다. 이러한 행위 메모리(320)는 상태 메모리(323), 시그니처 메모리(325) 및 후보 메모리(327)를 구비한다.

상태 메모리(323)는 패킷의 주소 정보, 즉 통신 단말기(110)의 IP 주소에 대응하여 행위 상태를 저장한다. 이 때 상태 메모리(323)는 주소 정보 별 행위 상태를 상태 해쉬 테이블(state hash table)로 관리할 수 있으며, 상태 해쉬 테이블은 주어진 행위 상태 감시 기간 동안 발생된 TCP 또는 UDP 프로토콜 패킷의 사이즈 별 개수 및 패킷 전달 방향을 저장할 수 있는 필드들로 이루어질 수 있다. 여기서, 상태 해쉬 테이블은 통신 단말기(110)의 포트 정보를 상태 해쉬 테이블에 더 저장할 수 있다. 그리고 상태 메모리(323)는 행위 상태에 대응하여 상태 요약 정보를 더 저장할 수 있다.

시그니처 메모리(325)는 행위 시그니처들을 저장한다. 이 때 시그니처 메모리(325)는 행위 시그니처들을 각각의 서빙 플로우 및 타겟 플로우에 대응시켜 저장한다. 그리고 시그니처 메모리(325)에서, 행위 시그니처들은 외부 인터페이스부(340)를 통해 오프라인(off-line)에서 입력되는 바에 따라 변경될 수 있다. 예를 들면, 시그니처 메모리(325)는 도 2에 도시된 바와 같이 무선 통신 시스템에서 전송되는 제 3-2 패킷(233)을 타겟 플로우로서 검출하기 위하여 선행되는 서빙 플로우 감지를 위한 제 1 행위 시그니처(210), 제 2 행위 시그니처(220) 및 제 3-1 패킷(231)에 대한 제 3 행위 시그니처(230)를 저장할 수 있다. 도 2의 제 3 행위 시그니처(230)는 타겟 플로우(제 3-2 패킷(233))에 대한 시그니처를 함께 포함한다. 여기서, 시그니처 메모리(325)는 행위 시그니처 별로 시그니처 요약 정보를 더 저장할 수 있다.

이 때 행위 시그니처는 하기 <표 1>과 같이 정의될 수 있다. 즉 행위 시그니처는 적어도 하나의 시그니처 항목으로 이루어지며, '프로토콜 종류(proto)/평균 패킷 사이즈(avg_pkt_size)/누적 패킷 개수(pkt_count)/전달 방향(r)'은 시그니처 항목을 나타낸다. 여기서, '[]'는 선택 사항을 나타내고, ','은 시그니처 항목들이 순서에 무관하게 연결됨을 나타내며, ';'은 시그니처 항목들이 발생 순서에 따라 구분됨을 나타낸다. 그리고 'term/발생 기간(duration)'은 해당 행위 시그니처의 발생 조건으로, 시그니처 항목들이 해당 발생 기간 내에 발생되어야 함을 나타낸다. 아울러, 행위 시그니처는 특정 타겟 플로우에 대응하여 설정되며, '프로토콜 종류(proto)/하한<평균 패킷 사이즈(aps)<상한/하한<초당 평균 패킷 개수(pps)<상한'은 해당 행위 시그니처에 대응하여 해당 타겟 플로우를 검출하기 위한 조건 항목을 나타낸다.

bde{
// Behavior condition definition block
proto/avg_pkt_size/pkt_count[/r], [proto/avg_pkt_size/pkt_count[/r]], ...
[; [proto/avg_pkt_size/pkt_count[/r]], ...]; term/duration;

// Target condition definition block
proto/[lowerbound<] aps [<upperbound]/pkt_count｜[lowerbound<] pps [<upperbound]
}

후보 메모리(327)는 패킷의 주소 정보, 즉 통신 단말기(110)의 IP 주소에 대응하여 적어도 하나의 매칭 후보를 저장한다. 이 때 후보 메모리(327)는 패킷의 주소 정보와 행위 시그니처들 중 어느 하나의 식별 아이디를 대응시켜 매칭 후보로 저장하여, 후보 해쉬 테이블(cadidate hash table)로 관리한다. 여기서, 매칭 후보는 이전에 해당 주소 정보에 대응하여 해당 행위 시그니처의 타겟 플로우가 검출된 기록일 수 있다.

도 4는 본 발명의 실시예에 따른 타겟 플로우 검출 절차를 도시하는 순서도이다.

도 4를 참조하면, 본 실시예의 타겟 플로우 검출 장치(300)에서 타겟 플로우 검출 절차는, 행위 분석부(310)가 411단계에서 패킷을 수신(arrival)하는 것으로부터 출발한다. 이 때 패킷 수신부(311)는 통신 단말기(110)로부터 무선 네트워크(120)를 통해 업링크(uplink)로 패킷이 수신되었는지 또는 인터넷 프로토콜 네트워크(140)로부터 다운링크(downlink)로 패킷이 수신되었는지 확인할 수 있다. 즉 패킷 수신부(311)는 패킷의 송신측 주소 정보 및 수신측 주소 정보를 확인할 수 있다. 여기서, 통신 단말기(110)로부터 패킷이 수신되었으면, 패킷의 송신측 주소 정보가 통신 단말기(110)의 IP 주소일 수 있다. 또는 인터넷 프로토콜 네트워크(140)로부터 패킷이 수신되었으면, 패킷의 수신측 주소 정보가 통신 단말기(110)의 IP 주소일 수 있다.

다음으로, 행위 분석부(310)는 413단계에서 패킷의 행위 상태를 파악한다. 이 때 상태 결정부(313)는 패킷의 외향적, 예컨대 수치적 특성을 파악하여, 패킷의 행위 상태로 결정한다. 그리고 상태 결정부(313)는 패킷의 주소 정보에 대응하여 행위 상태를 관리할 수 있다. 여기서, 상태 결정부(313)에서 행위 상태를 파악하는 절차를 보다 상세하게 설명하면 다음과 같다.

도 5는 도 4에서 행위 상태 파악 절차를 도시하는 순서도이다. 그리고 도 8은 도 5에서 행위 상태 파악 절차를 설명하기 위한 예시도이다.

도 5를 참조하면, 상태 결정부(313)는 511단계에서 도 8에 도시된 바와 같이 패킷의 행위 상태(811)를 결정한다. 이 때 상태 결정부(313)는 주어진 행위 상태 감시 기간 동안 발생된 TCP 또는 UDP 프로토콜 패킷의 사이즈 별 개수 및 패킷 전달 방향을 행위 상태(811)로 결정한다. 여기서, 상태 결정부(313)는 다수개의 사이즈 구간들을 미리 정의하여 저장하고, 패킷의 사이즈에 상응하는 사이즈 구간을 검색하여 결정할 수 있다. 그리고 통신 단말기(110)로부터 패킷이 수신되었으면, 상태 결정부(313)는 전달 방향을 업링크로 결정하고, 통신 단말기(110)로 패킷을 송신해야 하면, 상태 결정부(313)는 전달 방향을 다운링크로 결정할 수 있다.

다음으로, 상태 결정부(313)는 513단계에서 도 8에 도시된 바와 같이 행위 상태(811)에서 상태 요약 정보(813)를 결정한다. 이 때 상태 결정부(313)는 행위 상태(811)의 구간 별 비트맵으로 상태 요약 정보(813)를 생성한다. 여기서, 상태 결정부(313)는 패킷의 사이즈에 따라 상태 요약 정보(813)를 생성할 수 있다. 예를 들면, 상태 결정부(313)는 64 비트(bit)들로 이루어지는 워드에서 각각의 비트에 25 바이트의 사이즈에 해당하는 구간이 매핑되도록 미리 정의하여 저장하고, 패킷의 사이즈에 상응하는 구간에 대응하는 비트를 셋팅하여 해당 패킷의 상태 요약 정보(813)를 생성할 수 있다.

다음으로, 상태 결정부(313)는 515단계에서 행위 상태(811) 및 상태 요약 정보(813)를 상태 메모리(323)에 저장한 다음, 도 4로 리턴한다. 이 때 상태 결정부(313)는 패킷의 주소 정보에 해당 행위 상태(811) 및 상태 요약 정보(813)를 대응시켜 저장한다. 여기서, 패킷의 주소 정보가 미리 저장되어 있으면, 상태 결정부(313)는 패킷의 행위 상태(811) 및 상태 요약 정보(813)를 누적하여 저장할 수 있다.

이어서, 행위 분석부(310)는 415단계에서 패킷의 행위 상태를 분석한다. 이 때 시그니처 비교부(315)는 패킷의 행위 상태를 미리 저장된 행위 시그니처들과 비교한다. 즉 시그니처 비교부(315)는 패킷의 행위 상태와 행위 시그니처들 간 매칭 여부를 판단한다. 여기서, 시그니처 비교부(315)에서 행위 상태를 분석하는 절차를 보다 상세하게 설명하면 다음과 같다.

도 6은 도 4에서 행위 상태 분석 절차를 도시하는 순서도이다. 그리고 도 8은 도 5에서 행위 상태 분석 절차를 설명하기 위한 예시도이다.

도 6을 참조하면, 시그니처 비교부(315)는 611단계에서 행위 상태(811)의 상태 요약 정보(813)와 행위 시그니처(821)들 각각의 시그니처 요약 정보(823)를 비교하여, 613단계에서 상태 요약 정보(813)와 시그니처 요약 정보(823)의 매칭 여부를 판단한다. 이 때 시그니처 메모리(325)는 도 8에 도시된 바와 같이 행위 시그니처(821)와 시그니처 요약 정보(823)를 저장하고 있다. 여기서, 행위 시그니처(821)는 행위 상태(811)와 비교하기 위한 주어진 행위 상태 감시 기간 동안 발생되어야 할 TCP 또는 UDP 프로토콜 패킷의 사이즈 별 개수 및 패킷 전달 방향을 정의한다. 그리고 시그니처 요약 정보(823)는 행위 시그니처(821)의 구간 별 비트맵으로, 행위 시그니처(821)에서 사이즈에 따라 생성될 수 있다.

예를 들면, 시그니처 요약 정보(823)는 64 비트들로 이루어지고 각각의 비트에 25 바이트의 사이즈에 해당하는 구간이 매핑되도록 정의된 워드에서, 행위 시그니처(821)에서 사이즈에 상응하는 구간에 대응하는 비트가 셋팅된 구조로 생성될 수 있다. 즉 시그니처 비교부(315)는 상태 메모리(323)에서 상태 요약 정보(813)를 획득하고 시그니처 메모리(325)에서 시그니처 요약 정보(823)를 획득하여 비교한다. 예를 들면, 시그니처 비교부(315)는 하기 <수학식 1>과 같이 상태 요약 정보(813)와 시그니처 요약 정보(823)를 비교할 수 있다. 즉 시그니처 비교부(315)는 하기 <수학식 1>이 만족되는지의 여부를 판단하여, 상태 요약 정보(813)와 시그니처 요약 정보(823)가 매칭되는지의 여부를 판단할 수 있다.

여기서, A는 상태 요약 정보를 나타내며, B는 시그니처 요약 정보를 나타낸다.

다음으로, 613단계에서 상태 요약 정보(813)와 시그니처 요약 정보(823)가 매칭되는 것으로 판단되면, 시그니처 비교부(315)는 615단계에서 행위 상태(811)와 행위 시그니처(821)를 세부적으로 비교하여, 617단계에서 매칭 여부를 판단한다. 즉 시그니처 비교부(315)는 상태 메모리(323)에서 행위 상태(811)를 획득하고 시그니처 메모리(325)에서 행위 시그니처(821)를 획득하여 비교한다. 그리고 617단계에서 행위 상태(811)와 행위 시그니처(821)가 매칭되는 것으로 판단되면, 시그니처 비교부(315)는 619단계에서 매칭 후보를 후보 메모리(327)에 등록한 다음, 도 4로 리턴한다. 이 때 시그니처 비교부(315)는 통신 단말기(110)의 IP 주소와 해당 행위 시그니처(821)의 식별 아이디를 대응시켜 매칭 후보로 저장한다.

계속해서, 행위 분석부(310)는 417단계에서 패킷의 행위 상태에 대응하여 타겟 플로우를 검출한다. 즉 행위 분석부(310)는 해당 패킷을 서빙 플로우로 이용하여, 서빙 플로우에 대응하는 타겟 플로우의 즉각적인 출현 가능성을 예측한다. 이 때 후보 결정부(317)는 행위 시그니처를 이용하여 타겟 플로우를 검출한다. 즉 패킷의 행위 상태와 행위 시그니처들 중 적어도 어느 하나가 매칭되면, 후보 결정부(317)는 해당 행위 시그니처에 따라 타겟 플로우를 검출한다. 여기서, 후보 결정부(317)에서 타겟 플로우를 검출하는 절차를 보다 상세하게 설명하면 다음과 같다.

도 7은 도 4에서 타겟 플로우 검출 절차를 도시하는 순서도이다.

도 7을 참조하면, 후보 결정부(317)는 711단계에서 통신 단말기(110)의 주소 정보에 상응하는 매칭 후보가 미리 저장되어 있는지의 여부를 판단한다. 즉 후보 결정부(317)는 후보 메모리(327)를 검색하여, 매칭 후보들 중 적어도 어느 하나가 통신 단말기(110)의 IP 주소를 포함하는지의 여부를 판단한다. 이 때 후보 결정부(317)는 후보 메모리(327)의 매칭 후보들 중 현재 패킷에 대응하여 등록된, 예컨대 상기 619단계에서 등록된 매칭 정보를 제외시킨다.

다음으로, 711단계에서 매칭 후보가 저장되어 있지 않은 것으로 판단되면, 후보 결정부(317)는 도 4로 리턴한다. 한편, 711단계에서 매칭 후보가 저장되어 있는 것으로 판단되면, 후보 결정부(317)는 713단계에서 해당 매칭 후보를 통해 행위 시그니처를 결정한다. 즉 후보 결정부(317)는 해당 매칭 후보에서 행위 시그니처의 식별 아이디를 획득한다. 또한 후보 결정부(317)는 715단계에서 해당 시그니처에 대응하여 타겟 플로우를 결정한 다음, 도 4로 리턴한다. 즉 후보 결정부(317)는 해당 식별 아이디를 이용하여 시그니처 메모리(325)에서 해당 행위 시그니처를 획득하고 해당 행위 시그니처에 대응하여 설정된 타겟 플로우를 파악한다.

마지막으로, 행위 분석부(310)는 419단계에서 검출 결과를 패킷 처리부(330)에 전달한다. 즉 행위 분석부(310)는 검출 결과에 따라 패킷 처리부(330)에서 해당 타겟 플로우를 처리하도록 지시한다. 즉 행위 분석부(310)는 패킷 처리부(330)에 타겟 플로우의 무선 통신 프로토콜 또는 어플리케이션을 통보하여, 타겟 플로우에 대응하는 패킷을 처리하도록 한다.

본 발명에 따르면, 무선 통신 시스템에서 타겟 플로우 검출 장치(300)는 패킷의 내용을 확인하지 않더라도 심층 패킷 검사를 수행할 수 있다. 즉 타겟 플로우 검출 장치(300)는 수신되는 패킷의 행위 상태를 파악하고 미리 저장된 행위 시그니처들과 비교하여 심층 패킷 검사를 수행함으로써, 타겟 플로우를 검출할 수 있다. 다시 말해, 타겟 플로우 검출 장치(300)는 타겟 플로우의 무선 통신 프로토콜 또는 어플리케이션을 결정하여 통보함으로써, 패킷 처리부(330)에서 보다 효율적으로 패킷을 처리하도록 할 수 있다.

한편, 본 명세서와 도면에 개시된 본 발명의 실시예는 본 발명의 기술 내용을 쉽게 설명하고 본 발명의 이해를 돕기 위해 특정 예를 제시한 것일 뿐이며, 본 발명의 범위를 한정하고자 하는 것은 아니다. 즉 본 발명의 기술적 사상에 바탕을 둔 다른 변형예들이 실시 가능하다는 것은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에게 자명한 것이다.

Claims

무선 통신 시스템에서 타겟 플로우 검출 방법에 있어서,
패킷을 수신하는 과정과,
상기 패킷의 행위 상태를 파악하는 과정과,
상기 행위 상태를 미리 저장된 다수개의 행위 시그니처들과 비교하는 과정과,
상기 행위 상태가 상기 행위 시그니처들 중 적어도 어느 하나에 매칭되면, 상기 행위 시그니처에 상응하는 타겟 플로우를 검출하는 과정과,
상기 타겟 플로우를 처리하도록 지시하는 과정을 포함하는 것을 특징으로 하는 타겟 플로우 검출 방법.
제 1 항에 있어서,
상기 행위 상태는 주어진 행위 상태 감시 기간 동안 발생된 상기 패킷의 사이즈 별 개수 및 패킷 전달 방향을 포함하는 것을 특징으로 하는 타겟 플로우 검출 방법.
제 2 항에 있어서,
상기 행위 시그니처들은 각각의 타겟 플로우에 대응하여 설정되며, 상기 행위 상태와 비교하기 위한 주어진 행위 상태 감시 기간 동안 발생되어야 할 패킷의 사이즈 별 개수 및 패킷 전달 방향을 포함하는 것을 특징으로 하는 타겟 플로우 검출 방법.
제 3 항에 있어서, 상기 비교 과정은,
상기 행위 상태의 상태 요약 정보를 상기 행위 시그니처의 시그니처 요약 정보와 비교하는 과정과,
상기 상태 요약 정보가 상기 시그니처 요약 정보에 매칭되면, 상기 행위 상태를 상기 행위 시그니처와 비교하는 과정을 포함하는 것을 특징으로 하는 타겟 플로우 검출 방법.
제 4 항에 있어서,
상기 상태 요약 정보는 상기 행위 상태의 구간 별 비트맵으로 상기 패킷의 사이즈에 따라 생성되며,
상기 시그니처 요약 정보는 상기 행위 시그니처의 구간 별 비트맵으로 상기 행위 시그니처에서 패킷의 사이즈에 따라 생성되는 것을 특징으로 하는 타겟 플로우 검출 방법.
제 1 항에 있어서, 상기 검출 과정은,
상기 행위 시그니처가 상기 패킷의 주소 정보에 상응하는 매칭 후보로 미리 저장되어 있으면, 상기 행위 시그니처에 상응하는 타겟 플로우를 검출하는 것을 특징으로 하는 타겟 플로우 검출 방법.
제 1 항에 있어서,
상기 행위 상태가 상기 행위 시그니처들 중 적어도 어느 하나에 매칭되면, 상기 패킷의 주소 정보와 상기 행위 시그니처를 매칭 후보로 저장하는 과정을 더 포함하는 것을 특징으로 하는 타겟 플로우 검출 방법.
제 7 항에 있어서,
상기 패킷이 통신 단말기로 수신되었는지 또는 상기 통신 단말기로 송신해야 하는지의 여부를 판별하여 상기 패킷의 주소 정보를 결정하는 과정을 더 포함하는 것을 특징으로 하는 타겟 플로우 검출 방법.
무선 통신 시스템에서 타겟 플로우 검출 장치에 있어서,
패킷을 수신하기 위한 패킷 수신부와,
상기 패킷의 행위 상태를 결정하기 위한 상태 결정부와,
상기 행위 상태와 비교하기 위한 다수개의 행위 시그니처들을 각각의 타겟 플로우에 대응시켜 저장하는 시그니처 메모리와,
상기 행위 상태가 상기 행위 시그니처들 중 적어도 어느 하나에 매칭되면, 상기 행위 시그니처에 따라 상기 타겟 플로우를 검출하여, 상기 타겟 플로우를 처리하도록 패킷 처리부에 지시하기 위한 후보 결정부를 포함하는 것을 특징으로 하는 타겟 플로우 검출 장치.
제 9 항에 있어서,
상기 행위 상태는 주어진 행위 상태 감시 기간 동안 발생된 상기 패킷의 사이즈 별 개수 및 패킷 전달 방향을 포함하는 것을 특징으로 하는 타겟 플로우 검출 장치.
제 10 항에 있어서,
상기 행위 시그니처들은 각각의 타겟 플로우에 대응하여 설정되며, 상기 행위 상태와 비교하기 위한 주어진 행위 상태 감시 기간 동안 발생되어야 할 패킷의 사이즈 별 개수 및 패킷 전달 방향을 포함하는 것을 특징으로 하는 타겟 플로우 검출 장치.
제 11 항에 있어서,
상기 행위 상태의 상태 요약 정보를 상기 행위 시그니처의 시그니처 요약 정보와 비교하여, 상기 상태 요약 정보가 상기 시그니처 요약 정보에 매칭되면, 상기 행위 상태를 상기 행위 시그니처와 비교하기 위한 시그니처 비교부를 더 포함하는 것을 특징으로 하는 타겟 플로우 검출 장치.
제 12 항에 있어서,
상기 상태 요약 정보는 상기 행위 상태의 구간 별 비트맵으로 상기 패킷의 사이즈에 따라 생성되며,
상기 시그니처 요약 정보는 상기 행위 시그니처의 구간 별 비트맵으로 상기 행위 시그니처에서 패킷의 사이즈에 따라 생성되는 것을 특징으로 하는 타겟 플로우 검출 장치.
제 9 항에 있어서, 상기 후보 결정부는,
상기 행위 시그니처가 상기 패킷의 주소 정보에 상응하는 매칭 후보로 미리 저장되어 있으면, 상기 행위 시그니처에 상응하는 타겟 플로우를 검출하는 것을 특징으로 하는 타겟 플로우 검출 장치.
제 9 항에 있어서, 상기 후보 결정부는,
상기 행위 상태가 상기 행위 시그니처들 중 적어도 어느 하나에 매칭되면, 상기 패킷의 주소 정보와 상기 행위 시그니처를 매칭 후보로 저장하는 것을 특징으로 하는 타겟 플로우 검출 장치.
제 15 항에 있어서, 상기 패킷 수신부는,
상기 패킷 수신 시, 상기 패킷이 통신 단말기로 수신되었는지 또는 상기 통신 단말기로 송신해야 하는지의 여부를 판별하여 상기 패킷의 주소 정보를 결정하는 것을 특징으로 하는 타겟 플로우 검출 장치.