KR20140044987A - 보안 시스템 및 그것의 동작 방법 - Google Patents

보안 시스템 및 그것의 동작 방법 Download PDF

Info

Publication number
KR20140044987A
KR20140044987A KR1020120106380A KR20120106380A KR20140044987A KR 20140044987 A KR20140044987 A KR 20140044987A KR 1020120106380 A KR1020120106380 A KR 1020120106380A KR 20120106380 A KR20120106380 A KR 20120106380A KR 20140044987 A KR20140044987 A KR 20140044987A
Authority
KR
South Korea
Prior art keywords
address
packet
dns
packets
host computers
Prior art date
Application number
KR1020120106380A
Other languages
English (en)
Other versions
KR101416523B1 (ko
Inventor
임진우
Original Assignee
주식회사 시큐아이
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 시큐아이 filed Critical 주식회사 시큐아이
Priority to KR1020120106380A priority Critical patent/KR101416523B1/ko
Publication of KR20140044987A publication Critical patent/KR20140044987A/ko
Application granted granted Critical
Publication of KR101416523B1 publication Critical patent/KR101416523B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

본 발명은 네트워크에 관한 것으로, 좀 더 구체적으로는 보안 시스템 및 그것의 동작 방법에 관한 것이다. 본 발명의 실시 예에 따른 보안 시스템의 동작 방법은 복수의 호스트 컴퓨터들과 인터넷 망 사이에서 통신되는 패킷들(packets) 각각이 DNS(Domain Named Server) 서버로부터 인터넷 망을 통해 전송되는 DNS 응답 패킷인지 여부를 판별하고, DNS 응답 패킷으로부터 도메인 네임에 대응하는 아이피 주소를 추출하여 아이피 주소 테이블에 업데이트하고, 아이피 주소 테이블에 기반하여 패킷들을 차단 또는 허용하는 것을 포함한다.

Description

보안 시스템 및 그것의 동작 방법{SECURITY SYSTEM AND OPERATING METHOD THEREOF}
본 발명은 네트워크에 관한 것으로, 좀 더 구체적으로는 보안 시스템 및 그것의 동작 방법에 관한 것이다.
인터넷 상에서 도메인 네임(예를 들면, Fully Qualified Domain Name, FQDN)을 관리하는 시스템으로서 도메인 네임 시스템(DNS: Domain Name System)이 이용되고 있다. 이를 이용하면, 도메인 네임과 해당 서버 컴퓨터의 아이피 주소(Internet Protocol Address)를 맵핑(mapping)시켜 DNS 서버(server)에 등록한 상태에서, 호스트 컴퓨터(예를 들면, 클라이언트 컴퓨터)의 사용자는 아이피 주소를 입력할 필요없이 도메인 네임을 입력하여 도메인 네임에 대응하는 아이피 주소가 무엇인지를 DNS 서버에 먼저 요청하고, DNS 서버로부터 해당 아이피 주소를 제공받으면 아이피 주소가 가리키는 서버 컴퓨터에 접속할 수 있게 된다. 도메인 네임 시스템을 이용함으로써, 기억하기 힘든 아이피 주소 대신에 도메인 네임을 입력함으로써 해당 서버 컴퓨터에 접속할 수 있다.
하나의 도메인 네임에는 복수의 아이피 주소들이 대응할 수 있다. 예를 들면, 하나의 도메인 네임에 대응하는 웹 사이트를 각각 제공하는 복수의 서버 컴퓨터들이 운용될 수 있다.
본 발명의 목적은 특정한 웹 사이트에 대한 접속을 효율적으로 차단하는 보안 시스템을 제공하는 것이다.
본 발명의 실시 예에 따른 보안 시스템의 동작 방법은 복수의 호스트 컴퓨터들과 인터넷 망 사이에서 통신되는 패킷들(packets) 각각이 DNS(Domain Named Server) 서버로부터 상기 인터넷 망을 통해 전송되는 DNS 응답 패킷인지 여부를 판별하는 단계; 상기 DNS 응답 패킷으로부터 도메인 네임에 대응하는 아이피 주소를 추출하여 아이피 주소 테이블에 업데이트하는 단계; 및 상기 패킷들 각각의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들 중 어느 하나와 일치하는지 여부에 따라 해당 패킷을 차단하는 단계를 포함한다.
상기 DNS 응답 패킷은 상기 도메인 네임에 대응하는 아이피 주소를 요청하는 DNS 쿼리 패킷에 따라 상기 DNS 서버로부터 상기 복수의 호스트 컴퓨터들 중 어느 하나에 제공되고, 상기 DNS 쿼리 패킷은 상기 복수의 호스트 컴퓨터들 중 어느 하나에서 발생될 수 있다.
상기 도메인 네임에 대응하는 아이피 주소는 상기 도메인 네임과 매치되어 상기 아이피 주소 테이블에 저장될 수 있다.
실시 예로서, 상기 판별하는 단계는 상기 패킷들 각각의 헤더에 기반하여 수행될 수 있다.
실시 예로서, 상기 DNS 응답 패킷의 목적지는 상기 복수의 호스트 컴퓨터들 중 어느 하나이고, 상기 동작 방법은 상기 복수의 호스트 컴퓨터들로부터 상기 인터넷 망을 통해 상기 DNS 서버에 전송되는 복수의 DNS 쿼리 패킷들을 검출하고, 상기 복수의 DNS 쿼리 패킷들에 대한 정보를 저장하는 단계를 더 포함할 수 있다. 이때, 상기 아이피 주소 테이블에 업데이트하는 단계는 상기 복수의 DNS 쿼리 패킷들 중 상기 DNS 응답 패킷에 대응하는 DNS 쿼리 패킷이 존재하는지 여부를 판별하고, 판별 결과에 따라 상기 DNS 응답 패킷으로부터 상기 도메인 네임에 대응하는 상기 아이피 주소를 추출하는 단계를 포함할 수 있다.
실시 예로서, 상기 차단하는 단계는 상기 패킷들 각각의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들 중 어느 하나와 일치할 때, 상기 해당 패킷을 차단하는 단계; 및 상기 패킷들 각각의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들과 일치하지 않을 때, 상기 해당 패킷을 허용하는 단계를 포함할 수 있다.
본 발명의 다른 일면은 보안 시스템에 관한 것이다. 본 발명의 실시 예에 따른 보안 시스템은 인터넷 망에 연결된 복수의 호스트 컴퓨터들을 관리하는 보안 유닛; 및 상기 복수의 호스트 컴퓨터들과 상기 인터넷 망 사이에서 통신되는 패킷들(packets) 각각이 DNS(Domain Named Server) 서버로부터 상기 인터넷 망을 통해 전송되는 DNS 응답 패킷인지 여부를 판별하고, 상기 DNS 응답 패킷으로부터 도메인 네임에 대응하는 아이피 주소를 추출하여 아이피 주소 테이블에 업데이트하도록 구성되는 스니핑 유닛을 포함하되, 상기 보안 유닛은 상기 패킷들 각각의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들 중 어느 하나와 일치하는지 여부에 따라 해당 패킷을 차단하도록 구성되는 보안 시스템.
상기 DNS 응답 패킷은 상기 도메인 네임에 대응하는 아이피 주소를 요청하는 DNS 쿼리 패킷에 따라 상기 DNS 서버로부터 상기 복수의 호스트 컴퓨터들 중 어느 하나에 제공되고, 상기 DNS 쿼리 패킷은 상기 복수의 호스트 컴퓨터들 중 어느 하나에서 발생될 수 있다.
실시 예로서, 상기 아이피 주소 테이블은 상기 보안 유닛에 저장될 수 있다.
실시 예로서, 상기 아이피 주소 테이블은 상기 스니핑 유닛에 저장될 수 있다.
실시 예로서, 상기 보안 유닛은 상기 패킷들 각각의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들 중 어느 하나와 일치할 때, 상기 해당 패킷을 차단하고, 상기 패킷들 각각의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들과 일치하지 않을 때, 상기 해당 패킷을 허용하도록 구성될 수 있다.
본 발명의 다른 실시 예에 따른 보안 시스템의 동작 방법은 상기 복수의 호스트 컴퓨터들과 상기 인터넷 망 사이에서 통신되는 패킷(packet)이 DNS(Domain Named Server) 서버로부터 상기 인터넷 망을 통해 전송되는 DNS 응답 패킷인지 또는 노멀 패킷인지 여부를 판별하는 단계; 상기 패킷이 상기 DNS 응답 패킷일 때, 상기 DNS 응답 패킷으로부터 도메인 네임에 대응하는 아이피 주소를 추출하여 아이피 주소 테이블에 업데이트하는 단계; 및 상기 패킷이 상기 노멀 패킷일 때, 상기 노멀 패킷의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들 중 어느 하나와 일치하는지 여부에 따라 상기 노멀 패킷을 차단하는 단계를 포함한다.
실시 예로서, 상기 판별하는 단계는 상기 패킷의 헤더에 기반하여 수행될 수 있다.
실시 예로서, 상기 DNS 응답 패킷의 목적지는 상기 복수의 호스트 컴퓨터들 중 어느 하나이고, 상기 동작 방법은 상기 복수의 호스트 컴퓨터들로부터 상기 인터넷 망을 통해 상기 DNS 서버에 전송되는 복수의 DNS 쿼리 패킷들을 검출하고, 상기 복수의 DNS 쿼리 패킷들에 대한 정보를 저장하는 단계를 더 포함할 수 있다. 이때, 상기 아이피 주소 테이블에 업데이트하는 단계는 상기 복수의 DNS 쿼리 패킷들 중 상기 DNS 응답 패킷에 대응하는 DNS 쿼리 패킷이 존재하는지 여부를 판별하고, 판별 결과에 따라 상기 DNS 응답 패킷으로부터 상기 도메인 네임에 대응하는 상기 아이피 주소를 추출하는 단계를 포함할 수 있다.
실시 예로서, 상기 차단하는 단계는 상기 노멀 패킷의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들 중 어느 하나와 일치할 때, 상기 노멀 패킷을 차단하는 단계; 및 상기 노멀 패킷의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들과 일치하지 않을 때, 상기 노멀 패킷을 허용하는 단계를 포함할 수 있다.
본 발명의 실시 예에 따르면, 특정한 웹 사이트에 대한 접속을 효율적으로 차단하는 보안 시스템이 제공된다.
도 1은 인터넷 망을 통해 송수신되는 패킷의 데이터 포맷을 개념적으로 보여주는 도면이다.
도 2는 본 발명의 실시 예에 따른 보안 시스템을 포함하는 네트워크를 보여주는 블록도이다.
도 3은 본 발명의 실시 예에 따른 스니핑 유닛의 동작 방법을 보여주는 순서도이다.
도 4는 DNS 응답 패킷의 헤더의 데이터 포맷을 예시적으로 보여주는 도면이다.
도 5는 아이피 주소 테이블을 보여주는 도면이다.
도 6은 본 발명의 실시 예에 따른 보안 유닛의 동작 방법을 보여주는 순서도이다.
도 7은 본 발명의 다른 실시 예에 따른 스니핑 유닛의 동작 방법을 보여주는 순서도이다.
도 8은 DNS 쿼리 패킷을 획득하는 방법을 보여주는 순서도이다.
도 9는 도 1의 보안 시스템이 직접 DNS 쿼리 패킷들을 DNS 서버에 전송할 때 보안 시스템에 수집되는 아이피 주소들을 보여주는 테이블이다.
도 10은 본 발명의 실시 예에 따라 도메인 네임 당 수집되는 아이피 주소들을 보여주는 테이블이다.
도 11은 본 발명의 다른 실시 예에 따른 보안 시스템의 동작 방법을 보여주는 순서도이다.
본 발명의 이점 및 특징, 그리고 그것을 달성하는 방법은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시 예들을 통해 설명될 것이다. 그러나 본 발명은 여기에서 설명되는 실시 예들에 한정되지 않고 다른 형태로 구체화될 수도 있다. 단지, 본 실시 예들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에게 본 발명의 기술적 사상을 용이하게 실시할 수 있을 정도로 상세히 설명하기 위하여 제공되는 것이다.
명세서 전체에서, 어떤 부분이 다른 부분과 "연결"되어 있다고 할 때, 이는 "직접적으로 연결"되어 있는 경우뿐 아니라, 그 중간에 다른 소자를 사이에 두고 "간접적으로 연결"되어 있는 경우도 포함한다. 명세서 전체에서, 어떤 부분이 어떤 구성요소를 "포함"한다고 할 때, 이는 특별히 반대되는 기재가 없는 한 다른 구성요소를 제외하는 것이 아니라 다른 구성요소를 더 포함할 수 있는 것을 의미한다.
도 1은 인터넷 망을 통해 송수신되는 패킷(P)의 데이터 포맷을 개념적으로 보여주는 도면이다.
도 1을 참조하면, 패킷(P)은 헤더(HD)와 사용자 데이터(UD)를 포함한다. 헤더(HD)는 사용자 데이터(UD)를 관리하기 위한 데이터이다. 헤더(HD)는 출발지 아이피 주소(SP), 목적지 아이피 주소(DP) 및 도메인 네임(DN)에 대한 정보를 포함할 수 있다.
복수의 호스트 컴퓨터들을 관리하는 보안 시스템에 있어서, 특정한 웹 사이트에 대한 접속을 차단하는 것이 요구될 수 있다. 웹 사이트에 대한 접속을 차단하는 방법으로는, 패킷(P)에 포함된 도메인 네임(DN)을 이용하는 것이다. 이러한 방법의 한계는 패킷(P)에 도메인 네임(DN)을 포함시키지 않고 도메인 네임(DN)에 대응하는 복수의 아이피 주소들 중 어느 하나를 목적지 아이피 주소(DP)로서 입력하여 우회 접속을 시도하는 경우이다. 따라서, 이러한 방법으로는 해당 웹 사이트에 대한 접속을 효과적으로 차단할 수 없다.
웹 사이트에 대한 접속을 차단하는 다른 방법으로는, 패킷(P)에 포함된 목적지 아이피 주소(DP) 또는 출발지 아이피 주소(SP)를 이용하는 것이다. 그러나, 이러한 방법의 문제점은 보안 시스템이 도메인 네임(DN)에 대응하는 아이피 주소들을 효과적으로 수집하지 못할 경우에 나타난다.
도메인 네임 www.XXXX.net에 대응하는 아이피 주소들의 개수가 12개라고 가정한다. 그리고, 복수의 호스트 컴퓨터들을 관리하는 보안 시스템이 www.XXXX.net에 대응하는 아이피 주소들을 얻고자 한다고 가정한다. 보안 시스템은 도메인 네임에 대응하는 아이피 주소들를 요청하는 DNS 쿼리(query) 패킷들을 DNS 서버에 요청할 것이다. 이때, 보안 시스템이 반복적으로 DNS 쿼리 패킷들을 전송하더라도, DNS 서버는 2개의 아이피 주소들만을 제공할 수 있다. 즉, 하나의 목적지(즉, 보안 시스템)로부터 아무리 많은 DNS 쿼리 패킷들이 DNS 서버에 전송되라도, DNS 서버가 제공하는 아이피 주소들의 개수는 한정될 수 있다. 이에 따라, 보안 시스템은 도메인 네임(DN)에 대응하는 아이피 주소들을 효율적으로 획득할 수 없다. 또한, GSLB(Global Service Load Balancing) 방식이 사용되는 경우, DNS 서버에 따라 하나의 도메인 네임(DN)에 대해서 서로 다른 아이피 주소를 제공한다. 이때, 보안 시스템이 하나의 도메인 네임(DN)과 관련하여 획득할 수 있는 아이피 주소들은 한정될 수 있다.
도 2는 본 발명의 실시 예에 따른 보안 시스템(110)을 포함하는 네트워크(100)를 보여주는 블록도이다.
도 2를 참조하면, 네트워크(100)는 복수의 호스트 컴퓨터들(PC1~PCk), 보안 시스템(110), 인터넷 망(120), DNS(Domain Name System) 서버(130) 및 복수의 서버 컴퓨터들(141~14n)을 포함한다.
복수의 호스트 컴퓨터들(PC1~PCk)은 보안 시스템(110)을 통해 인터넷 망(120)에 연결된다. 복수의 호스트 컴퓨터들(PC1~PCk)은 도메인 네임에 대응하는 아이피 주소를 DNS 서버(130)로부터 제공받아, 복수의 서버 컴퓨터들(141~14n) 중 제공받은 아이피 주소에 대응하는 서버 컴퓨터에 접속할 수 있다.
먼저, 복수의 호스트 컴퓨터들(PC1~PCk) 중 어느 하나, 예를 들면 제 1 호스트 컴퓨터(PC1)는 도메인 네임에 대응하는 아이피 주소(Internet Protocol Address)를 요청하는 DNS 쿼리 패킷을 DNS 서버(130)에 전송한다. 그리고, 제 1 호스트 컴퓨터(PC1)는 DNS 서버(130)로부터 제공된 DNS 응답 패킷을 수신하여 DNS 응답 패킷으로부터 아이피 주소를 얻을 수 있다. 제 1 호스트 컴퓨터(PC1)는, 이후에 목적지 아이피 주소가 DNS 응답 패킷으로부터 얻어진 아이피 주소로서 정의되고 출발지 아이피 주소가 제 1 호스트 컴퓨터(PC1)에 대응하는 아이피 주소로서 정의된 노멀 패킷을 인터넷 망(120)을 통해 전송하고, 목적지 아이피 주소가 제 1 호스트 컴퓨터(PC1)에 대응하는 아이피 주소로서 정의되고 출발지 아이피 주소가 DNS 응답 패킷으로부터 얻어진 아이피 주소로서 정의된 노멀 패킷을 수신함으로써 해당 서버 컴퓨터에 접속할 것이다.
보안 시스템(110)은 복수의 호스트 컴퓨터들(PC1~PCk)을 관리하도록 구성된다. 보안 시스템(110)은 보안 유닛(111) 및 스니핑 유닛(112)을 포함한다. 보안 유닛(111)은 기 설정된 보안 정책들에 따라 복수의 호스트 컴퓨터들(PC1~PCk)에 송수신되는 패킷들을 관리하도록 구성될 것이다.
실시 예로서, 보안 유닛(111)은 인터넷 망(120)을 통해 복수의 호스트 컴퓨터들(PC1~PCk)로 전송되는 패킷들을 모니터링하고, 기 설정된 보안 정책들에 따라 패킷들 중 전부 또는 일부를 차단하도록 구성된다. 또한, 보안 유닛(111)은 복수의 호스트 컴퓨터들(PC1~PCk)로부터 인터넷 망(120)으로 전송되는 패킷들을 모니터링하고, 기 설정된 보안 정책들에 따라 패킷들 중 전부 또는 일부를 차단하도록 구성된다.
보안 유닛(111)은 아이피 주소 테이블(도 5의 T 참조)을 저장할 수 있다. 보아 유닛(111)은 복수의 호스트 컴퓨터들(PC1~PCk)과 인터넷 망(120) 사이에서 통신되는 패킷들 각각의 출발지 아이피 주소 또는 목적지 아이피 주소가 아이피 주소 테이블 내의 아이피 주소들 중 하나와 일치하는지 판별하고, 판별 결과에 따라 해당 패킷을 차단하도록 구성된다.
패킷들 각각의 출발지 아이피 주소 또는 목적지 아이피 주소가 아이피 주소 테이블 내의 아이피 주소들 중 어느 하나와 일치할 때, 보안 유닛(111)은 해당 패킷을 차단할 것이다. 패킷들 각각의 출발지 아이피 주소 또는 목적지 아이피 주소가 아이피 주소 테이블 내의 아이피 주소들과 일치하지 않을 때, 보안 유닛(111)은 해당 패킷을 허용할 것이다.
스니핑 유닛(112)은 각 호스트 컴퓨터가 도메인 네임과 관련하여 DNS 서버(130)로부터 부여받는 아이피 주소들을 수집하도록 구성된다. 즉, 스니핑 유닛(112)은 패킷들 각각이 DNS 서버(130)로부터 인터넷 망(120)을 통해 복수의 호스트 컴퓨터들(PC1~PCk)에 전송되는 DNS 응답 패킷인지 여부를 판별하고, 판별 결과에 따라 DNS 응답 패킷으로부터 아이피 주소를 획득 및 저장하도록 구성된다.
DNS 서버(130)는 인터넷 망(120)을 통하여 보안 시스템(110) 및 복수의 호스트 컴퓨터들(PC1~PCk)에 연결된다. DNS 서버(130)는 각 호스트 컴퓨터로부터 수신된 DNS 쿼리 패킷에 응답하여 DNS 응답 패킷을 해당 호스트 컴퓨터에 제공하도록 구성된다.
DNS 서버(130)는 각 도메인 네임에 대응하는 아이피 주소들에 대한 정보를 저장할 것이다. 저장된 정보에 기반하여, DNS 서버(130)는 DNS 쿼리 패킷의 도메인 네임이 어떤 아이피 주소에 대응하는지 검색하고 검색된 아이피 주소를 포함하는 DNS 응답 패킷을 인터넷 망(120)을 통해 해당 호스트 컴퓨터에 제공한다.
실시 예로서, 하나의 도메인 네임에 복수의 아이피 주소들이 대응할 때, DNS 서버(130)는 동일한 목적지(예를 들면, 동일한 호스트 컴퓨터)로부터 반복적으로 DNS 쿼리 패킷들이 전송되더라도 한정된 개수의 아이피 주소들만을 해당 호스트 컴퓨터에 제공할 수 있다. 각 호스트 컴퓨터는 제 1 내지 제 n 서버 컴퓨터들(141~14n) 중 한정된 개수의 서버 컴퓨터들과 통신할 수 있다.
보안 시스템(110)이 하나의 도메인 네임에 대응하는 아이피 주소들을 수집하기 위해 DNS 쿼리 패킷들을 반복적으로 DNS 서버(130)에 전송한다고 가정한다. DNS 서버(130)는 동일한 목적지인 보안 시스템(110)로부터 수신되는 DNS 쿼리 패킷들에 응답하여 한정된 개수의 아이피 주소들만을 보안 시스템(110)에 제공할 것이다. 이러한 방법에 따르면, 보안 시스템(110)은 호스트 컴퓨터들(PC1~PCk)이 특정한 도메인 네임과 관련하여 통신하는 서버 컴퓨터들(141~14n)의 아이피 주소들을 획득하기 어렵다.
본 발명의 실시 예에 따르면, 스니핑 유닛(112)은 호스트 컴퓨터들(PC1~PCk)과 인터넷 망(120) 사이에서 통신되는 패킷들을 모니터링하고, 그러한 패킷들로부터 DNS 응답 패킷을 구별하고, 구별된 DNS 응답 패킷으로부터 아이피 주소를 획득한다. 따라서, 적어도 호스트 컴퓨터들(PC1~PCk)이 해당 도메인 네임과 관련하여 통신하는 아이피 주소들은 스니핑 유닛(112)에 의해 효율적으로 수집될 수 있다.
제 1 내지 제 n 서버 컴퓨터들(141~14n)은 인터넷 망(120)을 통해 제 1 내지 제 k 호스트 컴퓨터들(PC1~PCk)과 통신하도록 구성된다. 제 1 내지 제 n 서버 컴퓨터들(141~14n)에 각각 대응하는 아이피 주소들은 상이하다. 그러나, 제 1 내지 제 n 서버 컴퓨터들(141~14n) 각각은 하나의 도메인 네임에 대응하는 웹 사이트를 제공한다.
도 2에서, 보안 유닛(111) 및 스니핑 유닛(112)은 복수의 물리적인 장치들에 의해 구현될 수도 있고, 하나의 물리적인 장치에 의해 구현될 수 있음이 이해될 것이다. 예를 들면, 보안 유닛(111) 및 스니핑 유닛(112) 각각은 소프트웨어(software)를 이용하거나 펌웨어(firmware)를 이용하는 등 다양한 방식들을 이용하여 구현될 수 있다.
도 3은 본 발명의 실시 예에 따른 스니핑 유닛(112)의 동작 방법을 보여주는 순서도이다.
도 2 및 도 3을 참조하면, S110단계에서 스니핑 유닛(112)은 복수의 호스트 컴퓨터들(PC1~PCk)과 인터넷 망(120) 사이에서 통신되는 패킷을 모니터링한다. 복수의 호스트 컴퓨터들(PC1~PCk)은 인터넷 망(120)을 통해 DNS 서버(130)와 통신할 수 있다. 복수의 호스트 컴퓨터들(PC1~PCk)과 DNS 서버(130) 사이에서 송수신되는 패킷은 DNS 패킷이라고 정의된다. 이때, 각 호스트 컴퓨터로부터 DNS 서버(130)에 전송되는 패킷은 DNS 쿼리 패킷으로 정의되고, DNS 서버(130)로부터 각 호스트 컴퓨터에 전송되는 패킷은 DNS 응답 패킷으로 정의된다. 복수의 호스트 컴퓨터들(PC1~PCk)은 인터넷 망(120)을 통해 서버 컴퓨터들(141~14n)과 통신할 수 있다. 복수의 호스트 컴퓨터들(PC1~PCk)과 서버 컴퓨터들(141~14n) 사이에서 송수신되는 패킷은 노멀 패킷으로 정의된다.
이하, 설명의 편의를 위해 도 3을 참조한 설명에서는 제 1 호스트 컴퓨터(PC1)가 DNS 서버(130)와 패킷을 송수신하는 경우를 일 예로서 설명한다.
S120단계에서, 스니핑 유닛(112)은 해당 패킷이 DNS 응답 패킷인지 여부를 판별한다. 즉, 스니핑 유닛(112)은 해당 패킷이 DNS 서버(130)로부터 전송되는 DNS 응답 패킷인지 여부를 판별한다.
실시 예로서, 해당 패킷이 DNS 응답 패킷인지 여부는 해당 패킷의 헤더에 기반하여 판별될 수 있다. 이는 도 4를 참조하여 더 상세히 설명된다.
만약 해당 패킷이 DNS 응답 패킷인 경우, S130단계가 수행된다.
S130단계에서, 스니핑 유닛(112)은 DNS 응답 패킷으로부터 도메인 네임에 대응하는 아이피 주소를 추출한다. DNS 응답 패킷에는 도메인 네임 정보 및 해당 아이피 주소 정보가 포함될 수 있다. DNS 응답 패킷은 도메인 네임에 대응하는 아이피 주소를 요청하는 DNS 쿼리 패킷에 응답하여 제공되는 것이고, 따라서 도메인 네임에 대응하는 아이피 주소를 포함한다. 추출된 아이피 주소는, 제 1 내지 제 n 서버 컴퓨터들(141~14n) 중 하나를 가리키는 주소일 것이다.
S140단계에서, 스니핑 유닛(112)은 추출된 아이피 주소를 아이피 주소 테이블에 도메인 네임과 관련하여 추가한다. 실시 예로서, 아이피 주소 테이블은 보안 유닛(111)에 저장될 수 있다. 다른 예로서, 아이피 주소 테이블은 스니핑 유닛(112)에 저장될 수 있다.
아이피 주소 테이블에는 도메인 네임 별로 해당 아이피 주소들이 저장된다. 즉, 추출된 아이피 주소는 해당 도메인 네임과 매치되어 저장된다. 이는 도 5를 참조하여 더 상세히 설명된다.
도 4는 DNS 응답 패킷의 헤더(DNS_HD)의 데이터 포맷을 예시적으로 보여주는 도면이다.
도 4를 참조하면, DNS 응답 패킷의 헤더(DNS_HD)는 제 1 내지 제 3 플래그 정보(11~13), 목적지 아이피 주소(DP) 및 도메인 주소(DN)를 포함한다. 제 1 플래그 정보(11)는 해당 패킷이 DNS 패킷인지 또는 노멀(normal) 패킷인지 여부를 나타낸다.
실시 예로서, 제 1 플래그 정보(11)는 해당 패킷의 출발지 포트(source port)의 아이피 주소(도 1의 SP 참조)일 수 있다. 그리고, 제 1 플래그 정보(11)가 DNS 서버(130)를 가리키는지에 따라 해당 패킷이 DNS 패킷인지 판별될 수 있다.
목적지 아이피 주소(DP)는 DNS 응답 패킷이 전송될 목적지 포트(destination port)의 아이피 주소이다.
예를 들면, 제 1 플래그 정보(11), 목적지 아이피 주소(DP), 도메인 네임(DN)은 DNS 응답 패킷의 헤더(DNS_HD) 중 TCP(Transmission Control Protocol) 헤더에 포함될 수 있다.
제 2 플래그 정보(12)는 해당 패킷이 DNS 쿼리 패킷인지 또는 DNS 응답 패킷인지 여부를 나타낸다. 예를 들면, 제 2 플래그 정보(12)는 1 데이터 비트로 구성되고, 제 2 플래그 정보(12)가 논리 상태 "1"이면 해당 패킷이 DNS 응답 패킷이고, 제 2 플래그 정보(12)가 논리 상태 "0"이면 해당 패킷이 DNS 쿼리 패킷임을 의미할 수 있다.
제 3 플래그 정보(13)는 해당 패킷이 DNS 응답 패킷인 경우 해당 아이피 주소가 존재하는지 여부 및 해당 아이피 주소의 개수를 나타낸다.
아이피 주소(IP)는 복수의 호스트 컴퓨터들(PC1~PCk) 중 어느 하나로부터의 DNS 쿼리 패킷에 대응하여 제공된다.
예를 들면, 제 2 및 제 3 플래그 정보(12, 13), 그리고 아이피 주소(IP)는 DNS 응답 패킷의 헤더(DNS_HD) 중 DNS 헤더에 포함될 수 있다.
호스트 컴퓨터들(PC1~PCk)과 인터넷 망(120) 사이에서 통신되는 패킷들이 DNS 응답 패킷인지 여부는 제 1 내지 제 3 플래그 정보(11~13)에 기반하여 판별될 수 있다.
도 5는 아이피 주소 테이블(T)을 보여주는 도면이다.
도 5를 참조하면, 아이피 주소 테이블(T)은 도메인 네임들(DN1~DNn) 각각에 대응하는 아이피 주소들을 포함한다. 실시 예로서, DNS 응답 패킷에는 아이피 주소에 대한 정보 및 해당 도메인 네임이 무엇인지에 대한 정보가 포함된다. 스니핑 유닛(112)은 DNS 응답 패킷이 검출될 때마다 추출된 아이피 주소를 해당 도메인 네임과 매칭하여 아이피 주소 테이블(T)에 추가한다.
실시 예로서, 아이피 주소 테이블(T)은 보안 유닛(111, 도 2 참조)에 저장될 수 있다. 이때, 스니핑 유닛(112, 도 2 참조)은 DNS 응답 패킷이 검출될 때마다 추출된 아이피 주소에 대한 정보 및 해당 도메인 네임에 대한 정보를 보안 유닛(111)에 제공할 것이다.
다른 실시 예로서, 아이피 주소 테이블(T)은 스니핑 유닛(112)에 저장될 수 있다. 이때, 스니핑 유닛(112)은 아이피 주소 테이블(T)을 저장하기 위한 데이터 저장 매체를 포함할 것이다.
도 6은 본 발명의 실시 예에 따른 보안 유닛(111)의 동작 방법을 보여주는 순서도이다.
도 2 및 도 6을 참조하면, S111단계에서, 보안 유닛(111)은 복수의 호스트 컴퓨터들(PC1~PCk)과 인터넷 망(120) 사이에서 통신되는 패킷을 모니터링한다.
이하, 설명의 편의를 위해 도 6을 참조한 설명에서는 제 1 호스트 컴퓨터(PC1)와 제 1 서버 컴퓨터(141)가 패킷을 교환하는 경우를 일 예로서 설명한다.
S121단계에서, 보안 유닛(111)은 아이피 주소 테이블(T, 도 5 참조) 내의 아이피 주소들 중 어느 하나가 해당 패킷의 목적지 아이피 주소(DP, 도 1 참조) 또는 출발지 아이피 주소(SP, 도 1 참조)와 일치하지 판별한다. 만약 그렇다면, S131단계가 수행된다. 만약 그렇지 않다면, S141단계가 수행된다.
예를 들면, 해당 패킷이 인터넷 망(120)을 통해 제 1 호스트 컴퓨터(PC1)로 전송될 하향 패킷일 때, 보안 유닛(111)은 해당 패킷의 출발지 아이피 주소(SP)가 아이피 주소 테이블 내에 존재하는지 판별한다. 예를 들면, 해당 패킷이 제 1 호스트 컴퓨터(PC1)로부터 인터넷 망(120)으로 전송될 상향 패킷일 때, 보안 유닛(111)은 해당 패킷의 목적지 아이피 주소(DP)가 아이피 주소 테이블 내에 존재하는지 판별한다.
S131단계에서, 보안 유닛(111)은 해당 패킷을 차단한다. S141단계에서, 보안 유닛(111)은 해당 패킷을 허용한다.
본 발명의 실시 예에 따르면, 보안 시스템(110)은 도메인 네임에 대응하는 아이피 주소들을 효율적으로 검색하고, 검색된 아이피 주소들을 이용하여 해당 웹 사이트에 대한 접속을 차단 또는 허용할 수 있다.
도 7은 본 발명의 다른 실시 예에 따른 스니핑 유닛(112)의 동작 방법을 보여주는 순서도이다.
도 2 및 도 7을 참조하면, S210단계에서 스니핑 유닛(112)은 복수의 호스트 컴퓨터들(PC1~PCk)과 인터넷 망(120) 사이에서 통신되는 패킷을 모니터링한다. S220단계에서, 스니핑 유닛(112)은 해당 패킷이 DNS 응답 패킷인지 여부를 판별한다.
이하, 도 7 및 도 8을 참조한 설명에서, 설명의 편의를 위해 제 1 호스트 컴퓨터(PC1)가 DNS 서버(130)와 패킷을 송수신하는 경우가 일 예로서 설명된다.
S230단계에서, 스니핑 유닛(112)은 DNS 응답 패킷에 대응하는 DNS 쿼리 패킷이 제 1 호스트 컴퓨터(PC1)로부터 DNS 서버(130)에 전송되었는지 여부가 판별된다. 이를 위해, 스니핑 유닛(112)은 제 1 호스트 컴퓨터(PC1)로부터 DNS 서버(130)에 전송되는 DNS 쿼리 패킷에 대한 정보를 저장한다. 이는 도 6을 참조하여 더 상세히 설명된다.
공격 등의 다양한 목적들로서, DNS 쿼리 패킷이 발생하지 않았음에도 인터넷 망(120)을 통해 호스트 컴퓨터들(PC1~PCk) 중 적어도 하나, 예를 들면, 제 1 호스트 컴퓨터(PC1)로 DNS 응답 패킷이 전송될 수 있다. 이러한 DNS 응답 패킷은 DNS 서버(13)에 의해 발생되지 않고 다른 임의의 서버에 의해 발생될 것이다.
이러한 경우, DNS 응답 패킷의 헤더(DNS_HD)의 신뢰성은 매우 낮다. 이러한 DNS 응답 패킷의 헤더(DNS_HD)에도 도 3을 참조하여 설명된 바와 동일한 제 1 내지 제 3 플래그 정보(11~13)가 포함될 수 있다. 스니핑 유닛(112)이 해당 패킷이 DNS 응답 패킷인지 여부를 DNS 응답 패킷의 헤더(DNS_HD)만으로 판단하는 경우, 잘못된 아이피 주소를 수집할 수 있다.
이 실시 예에 따르면 해당 패킷이 DNS 응답 패킷인지 여부를 DNS 응답 패킷의 헤더(HD)에 기반하여 판별하고, 스니핑 유닛(112)은 제 1 호스트 컴퓨터(PC1)가 DNS 쿼리 패킷을 발생하였는지 여부를 체크한다.
S240단계에서, 스니핑 유닛(112)은 DNS 응답 패킷으로부터 도메인 네임에 대응하는 아이피 주소를 추출한다. S250단계에서, 스니핑 유닛(112)은 아이피 주소 테이블에 추출된 아이피 주소를 추가한다.
이 실시 예에 따르면, 스니핑 유닛(112)에 의해 수집되는 아이피 주소들의 신뢰성은 더 향상될 수 있다.
도 8은 DNS 쿼리 패킷을 획득하는 방법을 보여주는 순서도이다.
도 8을 참조하면, 스니핑 유닛(112)은 복수의 호스트 컴퓨터들(PC1~PCk)과 인터넷 망(120) 사이에서 통신되는 패킷을 모니터링하고(S210), 해당 패킷이 DNS 쿼리 패킷인지 여부를 판별한다(S220). DNS 쿼리 패킷은 도메인 네임에 대응하는 아이피 주소를 묻는 패킷으로서, 제 1 호스트 컴퓨터(PC1)로부터 DNS 서버(130)로 전송된다. 예를 들면, 해당 패킷이 DNS 쿼리 패킷인지 여부는 해당 패킷의 목적지 아이피 주소에 의해 판별될 수 있다. 해당 패킷이 DNS 쿼리 패킷이면, 스니핑 유닛(112)은 DNS 쿼리 패킷에 대한 정보를 저장한다(S230). 이러한 DNS 쿼리 패킷에 대한 정보는 도 7의 S230단계에서 사용될 것이다.
도 9는 도 1의 보안 시스템(110)이 직접 DNS 쿼리 패킷들을 DNS 서버(130)에 전송할 때 보안 시스템(110)에 수집되는 아이피 주소들을 보여주는 테이블이다.
도 9를 참조하면, 하나의 도메인 네임(www.daum.net)에 대응하는 2개의 아이피 주소들이 획득된다. 호스트 컴퓨터들(PC1~PCk, 도 1 참조)이 통신하는 모든 아이피 주소들은 획득되지 않는다.
도 10은 본 발명의 실시 예에 따라 도메인 네임 당 수집되는 아이피 주소들을 보여주는 테이블이다.
도 10을 참조하면, 하나의 도메인 네임(www.daum.net)에 3개 이상의 아이피 주소들이 획득된다. 호스트 컴퓨터들(PC1~PCk)이 DNS 서버(130, 도 2 참조)로부터 수신하는 DNS 응답 패킷들을 모니터링 및 검출함으로써, 호스트 컴퓨터들(PC1~PCk)이 통신하는 모든 아이피 주소들이 획득될 수 있다는 것을 알 수 있다.
도 11은 본 발명의 다른 실시 예에 따른 보안 시스템(110)의 동작 방법을 보여주는 순서도이다.
도 2 및 도 11을 참조하면, S410단계에서, 보안 시스템(110)은 복수의 호스트 컴퓨터들(PC1~PCk)과 인터넷 망(120) 사이에서 통신되는 패킷을 모니터링한다.
S420단계에서, 해당 패킷이 DNS 응답 패킷인지 여부가 판별된다. 만약 그렇다면, S430단계가 수행된다.
S430단계에서, DNS 응답 패킷으로부터 도메인 네임에 대응하는 아이피 주소가 추출된다. S440단계에서, 추출된 아이피 주소는 아이피 주소 테이블(T, 도 5 참조)에 추가된다.
S450단계에서, 해당 패킷이 DNS 응답 패킷이 아닌 경우, 해당 패킷의 출발지 아이피 주소 또는 목적지 아이피 주소가 아이피 주소 테이블(T, 도 5 참조) 내의 아이피 주소들 중 어느 하나와 일치하는지 판별된다. 만약 그렇다면, S460단계가 수행된다. 만약 그렇지 않다면, S470단계가 수행된다.
S460단계에서, 해당 패킷은 차단된다. S470단계에서, 해당 패킷은 허용된다.
예를 들면, 해당 패킷은 인터넷 망(120)으로 전송되는 상향 패킷이고, 아이피 주소 테이블(T) 내에 제 1 내지 제 n 서버 컴퓨터들(141~14n)에 대응하는 아이피 주소들이 모두 포함된다고 가정한다. 해당 패킷이 DNS 쿼리 패킷일 때, 해당 패킷의 출발지 아이피 주소(PC1~PCk 중 어느 하나에 대응) 또는 목적지 아이피 주소(130에 대응)는 아이피 주소 테이블(T)에 존재하지 않을 것이다. 해당 패킷이 노멀 패킷일 때, 해당 패킷의 목적지 아이피 주소(141~14n 중 어느 하나에 대응)는 아이피 주소 테이블(T) 내에 존재할 것이다.
예를 들면, 해당 패킷은 인터넷 망(120)을 통해 전송되는 하향 패킷이고, 아이피 주소 테이블(T) 내에 제 1 내지 제 n 서버 컴퓨터들(141~14n)에 대응하는 아이피 주소들이 모두 포함된다고 가정한다. 해당 패킷이 DNS 응답 패킷일 때, S450단계는 수행되지 않을 것이다. 해당 패킷이 노멀 패킷일 때, 해당 패킷의 출발지 아이피 주소(141~14n 중 어느 하나에 대응)는 아이피 주소 테이블(T) 내에 존재할 것이다.
결과적으로, 제 1 내지 제 k 호스트 컴퓨터들(PC1~PCk)과 제 1 내지 제 n 서버 컴퓨터들(141~14n) 사이에서 통신되는 노멀 패킷들은 아이피 주소 테이블(T)에 따라 차단 또는 허용될 것이다.
본 발명의 실시 예에 따르면, 도메인 네임에 대응하는 아이피 주소들을 효율적으로 검색함으로써, 검색된 아이피 주소들을 이용하여 해당 웹 사이트에 대한 접속을 차단할 수 있다.
본 발명의 상세한 설명에서는 구체적인 실시 예에 관하여 설명하였으나, 본 발명의 범위와 기술적 사상에서 벗어나지 않는 한도 내에서 다양한 변경이 가능하다. 그러므로 본 발명의 범위는 상술한 실시 예에 국한되어 정해져서는 안되며 후술하는 특허청구범위뿐만 아니라 이 발명의 특허청구범위와 균등한 것들에 의해 정해져야 한다.
PC1~PCk: 제 1 내지 제 k 호스트 컴퓨터들
보안 시스템: 110
인터넷 망: 120
DNS 서버: 130
141~14n: 제 1 내지 제 n 서버 컴퓨터들
DN: 도메인 네임

Claims (16)

  1. 인터넷 망에 연결된 복수의 호스트 컴퓨터들을 관리하는 보안 시스템의 동작 방법에 있어서:
    상기 복수의 호스트 컴퓨터들과 상기 인터넷 망 사이에서 통신되는 패킷들(packets) 각각이 DNS(Domain Named Server) 서버로부터 상기 인터넷 망을 통해 전송되는 DNS 응답 패킷인지 여부를 판별하는 단계;
    상기 DNS 응답 패킷으로부터 도메인 네임에 대응하는 아이피 주소를 추출하여 아이피 주소 테이블에 업데이트하는 단계; 및
    상기 패킷들 각각의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들 중 어느 하나와 일치하는지 여부에 따라 해당 패킷을 차단하는 단계를 포함하는 보안 시스템의 동작 방법.
  2. 제 1 항에 있어서,
    상기 DNS 응답 패킷은 상기 도메인 네임에 대응하는 아이피 주소를 요청하는 DNS 쿼리 패킷에 따라 상기 DNS 서버로부터 상기 복수의 호스트 컴퓨터들 중 어느 하나에 제공되고,
    상기 DNS 쿼리 패킷은 상기 복수의 호스트 컴퓨터들 중 어느 하나에서 발생되는 동작 방법.
  3. 제 1 항에 있어서,
    상기 도메인 네임에 대응하는 아이피 주소는 상기 도메인 네임과 매치되어 상기 아이피 주소 테이블에 저장되는 동작 방법.
  4. 제 1 항에 있어서,
    상기 판별하는 단계는 상기 패킷들 각각의 헤더에 기반하여 수행되는 동작 방법.
  5. 제 1 항에 있어서,
    상기 DNS 응답 패킷의 목적지는 상기 복수의 호스트 컴퓨터들 중 어느 하나이고,
    상기 복수의 호스트 컴퓨터들로부터 상기 인터넷 망을 통해 상기 DNS 서버에 전송되는 복수의 DNS 쿼리 패킷들을 검출하고, 상기 복수의 DNS 쿼리 패킷들에 대한 정보를 저장하는 단계를 더 포함하고,
    상기 아이피 주소 테이블에 업데이트하는 단계는 상기 복수의 DNS 쿼리 패킷들 중 상기 DNS 응답 패킷에 대응하는 DNS 쿼리 패킷이 존재하는지 여부를 판별하고, 판별 결과에 따라 상기 DNS 응답 패킷으로부터 상기 도메인 네임에 대응하는 상기 아이피 주소를 추출하는 단계를 포함하는 동작 방법.
  6. 제 1 항에 있어서,
    상기 차단하는 단계는
    상기 패킷들 각각의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들 중 어느 하나와 일치할 때, 상기 해당 패킷을 차단하는 단계; 및
    상기 패킷들 각각의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들과 일치하지 않을 때, 상기 해당 패킷을 허용하는 단계를 포함하는 동작 방법.
  7. 인터넷 망에 연결된 복수의 호스트 컴퓨터들을 관리하는 보안 유닛; 및
    상기 복수의 호스트 컴퓨터들과 상기 인터넷 망 사이에서 통신되는 패킷들(packets) 각각이 DNS(Domain Named Server) 서버로부터 상기 인터넷 망을 통해 전송되는 DNS 응답 패킷인지 여부를 판별하고, 상기 DNS 응답 패킷으로부터 도메인 네임에 대응하는 아이피 주소를 추출하여 아이피 주소 테이블에 업데이트하도록 구성되는 스니핑 유닛을 포함하되,
    상기 보안 유닛은 상기 패킷들 각각의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들 중 어느 하나와 일치하는지 여부에 따라 해당 패킷을 차단하도록 구성되는 보안 시스템.
  8. 제 7 항에 있어서,
    상기 DNS 응답 패킷은 상기 도메인 네임에 대응하는 아이피 주소를 요청하는 DNS 쿼리 패킷에 따라 상기 DNS 서버로부터 상기 복수의 호스트 컴퓨터들 중 어느 하나에 제공되고,
    상기 DNS 쿼리 패킷은 상기 복수의 호스트 컴퓨터들 중 어느 하나에서 발생되는 보안 시스템.
  9. 제 7 항에 있어서,
    상기 아이피 주소 테이블은 상기 보안 유닛에 저장되는 보안 시스템.
  10. 제 7 항에 있어서,
    상기 아이피 주소 테이블은 상기 스니핑 유닛에 저장되는 보안 시스템.
  11. 제 7 항에 있어서,
    상기 보안 유닛은
    상기 패킷들 각각의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들 중 어느 하나와 일치할 때, 상기 해당 패킷을 차단하고,
    상기 패킷들 각각의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들과 일치하지 않을 때, 상기 해당 패킷을 허용하도록 구성되는 보안 시스템.
  12. 인터넷 망에 연결된 복수의 호스트 컴퓨터들을 관리하는 보안 시스템의 동작 방법에 있어서:
    상기 복수의 호스트 컴퓨터들과 상기 인터넷 망 사이에서 통신되는 패킷(packet)이 DNS(Domain Named Server) 서버로부터 상기 인터넷 망을 통해 전송되는 DNS 응답 패킷인지 또는 노멀 패킷인지 여부를 판별하는 단계;
    상기 패킷이 상기 DNS 응답 패킷일 때, 상기 DNS 응답 패킷으로부터 도메인 네임에 대응하는 아이피 주소를 추출하여 아이피 주소 테이블에 업데이트하는 단계; 및
    상기 패킷이 상기 노멀 패킷일 때, 상기 노멀 패킷의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들 중 어느 하나와 일치하는지 여부에 따라 상기 노멀 패킷을 차단하는 단계를 포함하는 동작 방법.
  13. 제 12 항에 있어서,
    상기 DNS 응답 패킷은 상기 도메인 네임에 대응하는 아이피 주소를 요청하는 DNS 쿼리 패킷에 따라 상기 DNS 서버로부터 상기 복수의 호스트 컴퓨터들 중 어느 하나에 제공되고,
    상기 DNS 쿼리 패킷은 상기 복수의 호스트 컴퓨터들 중 어느 하나에서 발생되는 동작 방법.
  14. 제 12 항에 있어서,
    상기 판별하는 단계는 상기 패킷의 헤더에 기반하여 수행되는 동작 방법.
  15. 제 12 항에 있어서,
    상기 DNS 응답 패킷의 목적지는 상기 복수의 호스트 컴퓨터들 중 어느 하나이고,
    상기 복수의 호스트 컴퓨터들로부터 상기 인터넷 망을 통해 상기 DNS 서버에 전송되는 복수의 DNS 쿼리 패킷들을 검출하고, 상기 복수의 DNS 쿼리 패킷들에 대한 정보를 저장하는 단계를 더 포함하고,
    상기 아이피 주소 테이블에 업데이트하는 단계는 상기 복수의 DNS 쿼리 패킷들 중 상기 DNS 응답 패킷에 대응하는 DNS 쿼리 패킷이 존재하는지 여부를 판별하고, 판별 결과에 따라 상기 DNS 응답 패킷으로부터 상기 도메인 네임에 대응하는 상기 아이피 주소를 추출하는 단계를 포함하는 동작 방법.
  16. 제 12 항에 있어서,
    상기 차단하는 단계는
    상기 노멀 패킷의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들 중 어느 하나와 일치할 때, 상기 노멀 패킷을 차단하는 단계; 및
    상기 노멀 패킷의 출발지 아이피 주소 또는 목적지 아이피 주소가 상기 아이피 주소 테이블 내의 아이피 주소들과 일치하지 않을 때, 상기 노멀 패킷을 허용하는 단계를 포함하는 동작 방법.
KR1020120106380A 2012-09-25 2012-09-25 보안 시스템 및 그것의 동작 방법 KR101416523B1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020120106380A KR101416523B1 (ko) 2012-09-25 2012-09-25 보안 시스템 및 그것의 동작 방법

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020120106380A KR101416523B1 (ko) 2012-09-25 2012-09-25 보안 시스템 및 그것의 동작 방법

Publications (2)

Publication Number Publication Date
KR20140044987A true KR20140044987A (ko) 2014-04-16
KR101416523B1 KR101416523B1 (ko) 2014-07-09

Family

ID=50652664

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020120106380A KR101416523B1 (ko) 2012-09-25 2012-09-25 보안 시스템 및 그것의 동작 방법

Country Status (1)

Country Link
KR (1) KR101416523B1 (ko)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101522139B1 (ko) * 2014-05-26 2015-05-20 플러스기술주식회사 DNS 서버 선별 차단 및 Proxy를 이용한 DNS 주소 변경 방법
WO2016182329A1 (ko) * 2015-05-12 2016-11-17 주식회사 수산아이앤티 차단 사이트를 표시하는 네트워크 보안 시스템 및 방법
WO2016195344A1 (ko) * 2015-06-02 2016-12-08 주식회사 수산아이앤티 드라이브 바이 다운로드를 차단하는 네트워크 보안 시스템 및 방법
KR20180050476A (ko) * 2016-11-04 2018-05-15 주식회사 시큐아이 네트워크 보안 방법 및 그 장치
US10320751B2 (en) 2014-05-26 2019-06-11 Soosan Int Co., Ltd DNS server selective block and DNS address modification method using proxy
US10333912B2 (en) 2015-05-12 2019-06-25 Soosan Int Co., Ltd. Method for inducing installation of private certificate

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101623570B1 (ko) * 2014-09-02 2016-05-23 주식회사 케이티 위조 사이트 검출 방법과 이에 대한 보안 시스템

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100613904B1 (ko) * 2004-11-04 2006-08-21 한국전자통신연구원 비정상 아이피 주소를 사용하는 네트워크 공격을 차단하는장치 및 그 방법
KR100732689B1 (ko) * 2005-05-13 2007-06-27 (주)트리니티소프트 웹 보안방법 및 그 장치

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101522139B1 (ko) * 2014-05-26 2015-05-20 플러스기술주식회사 DNS 서버 선별 차단 및 Proxy를 이용한 DNS 주소 변경 방법
WO2015182873A1 (ko) * 2014-05-26 2015-12-03 플러스기술주식회사 Dns 서버 선별 차단 및 proxy를 이용한 dns 주소 변경 방법
US10320751B2 (en) 2014-05-26 2019-06-11 Soosan Int Co., Ltd DNS server selective block and DNS address modification method using proxy
WO2016182329A1 (ko) * 2015-05-12 2016-11-17 주식회사 수산아이앤티 차단 사이트를 표시하는 네트워크 보안 시스템 및 방법
US10333912B2 (en) 2015-05-12 2019-06-25 Soosan Int Co., Ltd. Method for inducing installation of private certificate
WO2016195344A1 (ko) * 2015-06-02 2016-12-08 주식회사 수산아이앤티 드라이브 바이 다운로드를 차단하는 네트워크 보안 시스템 및 방법
KR20180050476A (ko) * 2016-11-04 2018-05-15 주식회사 시큐아이 네트워크 보안 방법 및 그 장치

Also Published As

Publication number Publication date
KR101416523B1 (ko) 2014-07-09

Similar Documents

Publication Publication Date Title
KR101416523B1 (ko) 보안 시스템 및 그것의 동작 방법
US8479048B2 (en) Root cause analysis method, apparatus, and program for IT apparatuses from which event information is not obtained
US20100138921A1 (en) Countering Against Distributed Denial-Of-Service (DDOS) Attack Using Content Delivery Network
WO2018107784A1 (zh) 检测网页后门的方法和装置
US7840699B2 (en) Name resolution server and packet transfer device
US11696110B2 (en) Distributed, crowdsourced internet of things (IoT) discovery and identification using Block Chain
US20120297478A1 (en) Method and system for preventing dns cache poisoning
CN114145004A (zh) 用于使用dns消息以选择性地收集计算机取证数据的系统及方法
KR101001353B1 (ko) 센서 네트워크에서 센서 노드들 사이의 통신을 이용하여 예측 불가능한 이벤트를 자동으로 관리하는 방법
CN107682470B (zh) 一种检测nat地址池中公网ip可用性的方法及装置
KR20110071453A (ko) 지그비 게이트웨이 및 이의 메시지 동일화 방법
WO2017096888A1 (zh) 域名解析系统的实现方法及装置
US20090122721A1 (en) Hybrid network discovery method for detecting client applications
US8914436B2 (en) Data processing device and data retriever
KR20180051806A (ko) 도메인 네임 시스템 화이트리스트 데이터베이스를 이용한 파밍 공격 차단 시스템 및 그 방법
JP2006157313A (ja) 経路作成システム、経路作成装置及び経路作成プログラム
KR101429120B1 (ko) 서브 도메인 네임을 수집하는 보안 시스템 및 그것의 동작 방법
KR101400136B1 (ko) 보안 시스템 및 그것의 동작 방법
KR101448953B1 (ko) 보안 장치 및 그것의 동작 방법
KR101645222B1 (ko) 어드밴스드 도메인 네임 시스템 및 운용 방법
US12061921B2 (en) Management apparatus, management system, management method and management program
KR101429107B1 (ko) 서브 도메인 네임을 수집하는 보안 장치 및 그것의 동작 방법
JP6740191B2 (ja) 攻撃対処システム及び攻撃対処方法
JP4772025B2 (ja) Ｐ２ｐ通信検出装置、及びその方法とプログラム
KR20150083978A (ko) 공유 단말 식별 방법 및 그 시스템

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant