KR20160120159A - 리트로액티브 네트워크 검사 시스템 및 그 제공방법 - Google Patents

Abstract

네트워크 검사 시스템 및 그 제공방법이 개시된다. 상기의 네트워크 검사 시스템 제공방법은 네트워크 검사 시스템이 네트워크로부터 복수의 패킷들을 수신하는 단계, 상기 네트워크 검사 시스템이 적어도 하나의 패킷저장 모드 중에서 선택되는 설정 모드에 상응하도록 상기 복수의 패킷들 중에서 선택적으로 패킷을 저장장치에 저장하는 단계, 및 패킷검사를 위한 검사 룰이 입력되는 경우, 상기 네트워크 시스템이 상기 저장장치에 기저장된 상기 선행 패킷에 대해서 패킷 검사를 수행하는 단계를 포함하며, 상기 적어도 하나의 패킷저장 모드는 상기 네트워크 검사 시스템이 상기 복수의 패킷들로부터 세션을 형성하는 세션 형성 플로우에 기초하여 세션 정보를 특정하고, 특정한 세션 정보 및 상기 세션에 포함되며 상기 세션의 초기 N(N은 자연수)개의 선행 패킷을 대응시켜 저장하는 제1모드를 포함한다.

Description

리트로액티브 네트워크 검사 시스템 및 그 제공방법{System and providing method for retroactive network inspection}

본 발명은 리트로액티브(retroactive) 네트워크 검사 시스템(이하, 네트워크 검사 시스템) 및 그 제공방법에 관한 것이다. 보다 상세하게는 네트워크 상의 패킷들을 수집하여 플로우 및 세션을 단계적으로 생성하고, 생성된 정보에 기초하여 트래픽 검사에 필요한 소량의 패킷을 추출함으로써 네트워크 트래픽의 위협 검사를 수행할 수 있고, 이를 저장함으로써 패킷 저장용량을 줄이면서도 패킷 데이터의 저장기간을 늘일 수 있으며, 이에 따라 새로운 네트워크 위협 검사 룰이 제공될 때마다 과거의 패킷들에 대해서도 고속으로 패킷을 검사 및 서치할 수 있는 시스템 및 그 방법에 관한 것이다.

기존의 네트워크 제어 및 관리 장비들은 TCP(transport layer protocol)/UDP(user datagram protocol) 또는 IP(Internet protocol)의 패킷 정보를 기반으로, 해당 장비들의 특정 단위 목표인 라우팅이나 QoS(Quality of Service), DDoS(Distributed Denial of Service)방지 등을 달성하기 위해 노력해 왔다. 그러나 패킷 기반의 접근 방법은 상위 애플리케이션들의 통신 관계에 따른 정보들을 무시하고, 단순히 일시적인 정보 전달 단위인 각각의 분리된 패킷에 담겨 있는 정보들에만 의존함으로써, 적게는 처리 속도의 한계성과 크게는 적용성의 한계로 인해 패킷 라우팅을 위한 라우터, DDoS 공격을 방어하는 전용 시스템, 또는 트래픽 제어를 위한 DPI(Deep Packet Inspection) 시스템 등과 같은 독립적인 목표를 위한 단일 시스템의 형태로 제공되고 있다. 이 중 DPI 시스템은 특정 애플리케이션 또는 클라이언트(예컨대, P2P 클라이언트(client))가 사용하는 잘 알려진 포트 번호와 페이로드(Payload)의 시그너쳐(Signature)를 찾아서 검출하고, 검출된 패킷을 제어하는 방법을 채택하고 있다. 이러한 시그너쳐를 검출함으로써 어떤 클라이언트 즉, 애플리케이션이 현재 네트워크에서 패킷을 생성 및/또는 전송하고 있는지를 알게 되고, 소정의 정책에 따라 적절한 네트워크 제어를 수행하게 된다.

하지만, 종래의 DPI 시스템은 전송되는 모든 패킷의 페이로드를 검사해야 하므로 프로세싱의 오버헤드가 너무 크다는 단점이 있다. 즉, 모든 패킷의 페이로드를 검출하기 위해서는 고속 및 고가의 장비가 필요한 문제점이 있다. 더구나, 페이로드가 암호화된 패킷일 경우에는 암호화를 풀 수 있는 방법이 없으므로 시그너쳐를 검출할 수도 없을 수 있다. 또한, 암호화가 되어 있지 않더라도 반드시 시그너쳐가 찾아진다는 보장도 없고, 실제로 모든 시그너처를 찾기도 어려운 문제점이 있다.

이러한 문제점을 해결하기 위해 본 발명자는 한국특허출원(출원번호 10-2011-0019891, "네트워크 검사 시스템 및 그 제공방법")을 출원하기도 하였다.

하지만 이러한 선출원은 패킷에 기반하여 플로우만을 생성하므로, 세션 정보를 알 수 없는 문제점이 있었고, 또한 세션에 비해 플로우는 매우 그 숫자가 많을 수밖에 없어서 네트워크 레코딩 시스템 등과 같이 다수의 패킷들이 저장된 경우에 패킷 서치를 수행할 때 많은 시간이 걸린다는 문제점이 있다.

또한 종래에는 네트워크 검사 시스템(예컨대, DPI)과 네트워크 레코딩 시스템이 각각 따로 구현되었고, 이러한 이유로 네트워크 검사 시스템과 네트워크 레코딩 시스템이 모두 갖추어야했다. 또한 이들을 모두 별도로 구비한다고 하더라도 기존에는 네트워크 레코딩에 있어서 저장되는 패킷들이 다수여서 과거의 패킷들을 검사하는데 매우 비효율적이고 오랜 시간이 걸린다는 문제점이 있었다.

한국특허출원(출원번호 10-2008-0126888, "네트워크 컨트롤 시스템 및 네트워크 컨트롤 방법") 한국특허출원(출원번호 10-2011-0019891, "네트워크 검사 시스템 및 그 제공방법")

본 발명은 이러한 문제점을 해결하고자 안출된 발명으로써, 본 발명이 이루고자 하는 기술적 과제는 실시간에 플로우, 세션 정보를 생성함으로써 세션의 초기 선행패킷만을 검사할 수 있도록 하여 고속으로 실시간으로 패킷 검사가 수행될 수 있는 방법 및 그 시스템을 제공하는 것이다.

또한, 네트워크를 기록하기 위해 패킷의 저장개수를 현저히 줄일 수 있고, 고속의 패킷 서치를 지원할 수 있는 방법 및 그 시스템을 제공하는 것이다.

또한, 네트워크를 기록하기 위한 패킷의 저장개수를 현저히 줄이면서도 네트워크를 검사하는 데에 있어서는 성능의 차이가 거의 없어 오랜 과거 시간에 대한 네트워크 기록이 가능하고, 이에 따라 네트워크 검사 룰이 새롭게 갱신되는 경우 빠른 시간 내에 과거의 네트워크 패킷들을 실시간으로 검사할 수 있을 뿐 아니라 과거의 네트워크도 소급하여 빠른 시간 내에 검사할 수 있는 방법 및 시스템을 제공하는 것이다.

본 발명의 일 측면에 따른 네트워크 검사 시스템 제공방법은 네트워크 검사 시스템이 네트워크로부터 복수의 패킷들을 수신하는 단계, 상기 네트워크 검사 시스템이 적어도 하나의 패킷저장 모드 중에서 선택되는 설정 모드에 상응하도록 상기 복수의 패킷들 중에서 선택적으로 패킷을 저장장치에 저장하는 단계, 및 패킷검사를 위한 검사 룰이 입력되는 경우, 상기 네트워크 시스템이 상기 저장장치에 기저장된 상기 선행 패킷에 대해서 패킷 검사를 수행하는 단계를 포함하며, 상기 적어도 하나의 패킷저장 모드는, 상기 네트워크 검사 시스템이 상기 복수의 패킷들로부터 소저의 세션을 형성패킷들 중 상기 세션의 초기 N(N은 자연수)개의 선행 패킷만을 저장하는 제1모드를 포함한다.

상기 네트워크 검사 시스템 제공방법은 상기 네트워크 검사 시스템이 상기 복수의 패킷들에 기초하여 상기 복수의 패킷들이 형성하는 복수의 플로우들을 생성하는 단계 및 상기 네트워크 검사 시스템이 생성된 상기 복수의 플로우들에 대한 정보에 기초하여 상기 복수의 플로우들 중 동일한 세션을 형성하는 적어도 하나의 세션 형성 플로우를 추출하고 추출된 상기 세션 형성 플로우에 기초하여 세션정보 및 상기 선행패킷을 특정하는 단계를 더 포함할 수 있다.

상기 적어도 하나의 패킷저장 모드는 미리 정해진 종류의 세션에 대해서만 상기 선행패킷을 저장하는 제2모드를 더 포함하는 것을 특징으로 할 수 있다.

상기 네트워크 검사 시스템은 상기 복수의 패킷들, 세션 정보, 또는 상기 세션을 형성하는 세션 형성 프로우들 각각의 플로우 정보 중 적어도 하나에 포함되는 상기 세션의 포트정보에 기초하여 상기 미리 정해진 종류의 세션을 특정할 수 있다.

상기 적어도 하나의 패킷저장 모드는 상기 세션을 형성하는 모든 패킷을 저장하는 제3모드를 더 포함하는 것을 특징으로 할 수 있다.

본 발명의 다른 측면에 의하면 네트워크 검사 시스템 제공방법은 네트워크 검사 시스템이 네트워크로부터 복수의 패킷들을 수신하는 단계, 상기 네트워크 검사 시스템이 상기 복수의 패킷들로부터 소정의 세션을 형성하는 패킷들 중 상기 세션의 초기 N(N은 자연수)개의 선행 패킷만을 저장장치에 저장하는 단계, 및 패킷검사를 위한 검사 룰이 입력되는 경우, 상기 네트워크 시스템이 상기 저장장치에 기저장된 상기 선행 패킷에 대해서 패킷 검사를 수행하는 단계를 포함한다.

상기의 방법은 데이터 처리장치에 설치된 컴퓨터 프로그램에 의해 구현될 수 있다.

본 발명의 다른 측면에 의하면 네트워크 검사 시스템은 네트워크로부터 복수의 패킷들을 수신하기 위한 패킷 추출모듈, 적어도 하나의 패킷저장 모드 중에서 선택되는 설정 모드에 상응하도록 상기 복수의 패킷들 중에서 선택적으로 패킷을 저장장치에 저장하기 위한 세션생성 모듈, 및 패킷검사를 위한 검사 룰이 입력되는 경우, 상기 저장장치에 기저장된 상기 선행 패킷에 대해서 패킷 검사를 수행하기 위한 패킷 검사모듈을 포함하며, 상기 세션 생성모듈이 제공하는 상기 적어도 하나의 패킷저장 모드는, 상기 복수의 패킷들로부터 세션을 형성하는 패킷들 중 상기 세션의 초기 N(N은 자연수)개의 선행 패킷만을 저장하는 제1모드를 포함한다.

상기 네트워크 검사 시스템은 상기 복수의 패킷들에 기초하여 상기 복수의 패킷들이 형성하는 복수의 플로우들을 생성하기 위한 플로우 생성모듈을 더 포함하며, 상기 세션 생성모듈은 상기 플로우 생성모듈에 의해 생성된 상기 복수의 플로우들에 대한 정보에 기초하여 상기 복수의 플로우들 중 동일한 세션을 형성하는 적어도 하나의 세션 형성 플로우를 추출하고, 추출된 적어도 하나의 세션 형성 플로우에 기초하여 세션정보 및 상기 선행패킷을 특정할 수 있다.

상기 적어도 하나의 패킷저장 모드는 미리 정해진 종류의 세션에 대해서만 상기 선행패킷을 저장하는 제2모드를 더 포함할 수 있다.

상기 적어도 하나의 패킷저장 모드는 상기 세션을 형성하는 모든 패킷을 저장하는 제3모드를 더 포함하는 것을 특징으로 할 수 있다.

본 발명의 다른 측면에 의하면 네트워크 검사 시스템은 네트워크로부터 복수의 패킷들을 수신하는 패킷 추출모듈, 상기 복수의 패킷들로부터 세션을 형성하는 패킷들 중 상기 세션의 초기 N(N은 자연수)개의 선행 패킷만을 저장장치에 저장하는 세션 생성모듈, 및 패킷검사를 위한 검사 룰이 입력되는 경우, 상기 네트워크 시스템이 상기 저장장치에 기저장된 상기 선행 패킷에 대해서 패킷 검사를 수행하는 패킷 검사모듈을 포함한다.

본 발명의 기술적 사상에 따르면, 고속으로 패킷을 검사하면서 플로우 및 플로우에 기반한 세션에 대한 정보를 생성할 수 있어서, 세션의 초기 선행패킷 일정 개수만을 검사할 수 있도록 하여 고속 네트워크 환경에서 실시간으로 패킷 검사가 수행될 수 있는 효과가 있다.

또한, 네트워크를 기록하기 위해 필요한 패킷의 저장개수를 현저히 줄일 수 있고, 세션 정보 및 플로우 정보에 기초하여 고속의 패킷 서치를 지원할 수 있는 효과가 있다.

또한, 네트워크를 기록하기 위해 필요한 패킷의 저장개수가 줄어듦으로 인해 동일한 물리적 환경에서도 오랜 시간동안 네트워크의 기록이 가능한 효과가 있다.

또한 이러한 네트워크의 기록이 가능함으로써, 실시간으로 패킷 검사를 수행하는데 뛰어날 뿐만 아니라, 새로운 룰의 제공 시에 과거에 네트워크 공격이 있었는지에 대한 검증도 가능한 효과가 있다.

본 발명의 상세한 설명에서 인용되는 도면을 보다 충분히 이해하기 위하여 각 도면의 간단한 설명이 제공된다.
도 1은 본 발명의 일 실시 예에 따른 네트워크 검사 시스템의 개략적인 구성을 나타내는 도면이다.
도 2는 본 발명의 일 실시 예에 따른 네트워크 검사 시스템 제공방법을 위한 세션, 플로우, 및 패킷을 설명하기 위한 도면이다.
도 3은 본 발명의 일 실시 예에 따른 네트워크 검사 시스템 제공방법에 따른 패킷 서치를 수행하는 개념을 설명하기 위한 도면이다.
도 4는 본 발명의 일 실시 예에 따른 네트워크 검사 시스템 제공방법에 따른 효과를 설명하기 위한 도면이다.
도 5는 본 발명의 일 실시 예에 따른 네트워크 검사 시스템 제공방법을 통한 복수의 패킷저장 모드를 설명하기 위한 도면이다.
도 6은 본 발명의 일 실시 예에 따라 과거의 네트워크 공격을 효과적으로 검사할 수 있는 개념을 설명하기 위한 도면이다.

본 발명은 다양한 변환을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시예들을 도면에 예시하고 상세한 설명에 상세하게 설명하고자 한다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변환, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다. 본 발명을 설명함에 있어서 관련된 공지 기술에 대한 구체적인 설명이 본 발명의 요지를 흐릴 수 있다고 판단되는 경우 그 상세한 설명을 생략한다.

제1, 제2 등의 용어는 다양한 구성요소들을 설명하는데 사용될 수 있지만, 상기 구성요소들은 상기 용어들에 의해 한정되어서는 안 된다. 상기 용어들은 하나의 구성요소를 다른 구성요소로부터 구별하는 목적으로만 사용된다.

본 출원에서 사용한 용어는 단지 특정한 실시예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다.

본 명세서에 있어서, 포함하다또는 가지다등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.

또한, 본 명세서에 있어서는 어느 하나의 구성요소가 다른 구성요소로 데이터를 '전송'하는 경우에는 상기 구성요소는 상기 다른 구성요소로 직접 상기 데이터를 전송할 수도 있고, 적어도 하나의 또 다른 구성요소를 통하여 상기 데이터를 상기 다른 구성요소로 전송할 수도 있는 것을 의미한다. 반대로 어느 하나의 구성요소가 다른 구성요소로 데이터를 '직접 전송'하는 경우에는 상기 구성요소에서 다른 구성요소를 통하지 않고 상기 다른 구성요소로 상기 데이터가 전송되는 것을 의미한다.

이하, 첨부된 도면들을 참조하여 본 발명의 실시예들을 중심으로 본 발명을 상세히 설명한다. 각 도면에 제시된 동일한 참조부호는 동일한 부재를 나타낸다.

도 1은 본 발명의 일 실시 예에 따른 네트워크 검사 시스템의 개략적인 구성을 나타내는 도면이다.

도 1을 참조하면, 본 발명의 실시 예에 따른 네트워크 검사 시스템(100)은 플로우 생성모듈(120) 및 세션 생성모듈(130)을 포함한다. 상기 네트워크 검사 시스템(100)은 패킷 추출모듈(110)를 더 포함할 수 있다. 또한, 상기 네트워크 검사 시스템(100)은 패킷 서치모듈(140)을 더 포함할 수 있다. 또한, 상기 네트워크 검사 시스템(100)은 패킷 검사모듈(150) 및/또는 DB(160)를 더 포함할 수 있다.

다른 실시 예에 의하면 상기 네트워크 검사 시스템(100)은 패킷 추출모듈(110), 세션 생성모듈(130), 및 패킷 검사모듈(150)을 포함할 수도 있다.

상기 패킷 추출모듈(110)은 네트워크로부터 복수의 패킷들을 수신할 수 있다. 상기 패킷 추출모듈(110)은 네트워크상의 소정의 위치에 설치되어 네트워크를 통해 이동하는 패킷들을 수집할 수 있다. 일 예에 의하면 상기 패킷 추출모듈(110)은 도 1에 도시된 바와 같이 네트워크로부터 패킷들을 태핑(tapping)하는 장비로부터 상기 패킷들을 받는 태핑 모드로 상기 네트워크상에 구현될 수 있으나, 이에 한정되지 않고 상기 패킷들이 상기 패킷 추출모듈(110)을 통과하여 네트워크상에서 이동되도록 인라인(In-line)모드로 상기 네트워크 상에 구현될 수도 있다.

상기 패킷 추출모듈(110)은 예컨대, 소정의 로컬 에어리어 네트워크(LAN) 상에 존재하는 게이트웨이(gateway)의 전단 및/또는 후단에 위치하여 본 발명의 기술적 사상에 따라 네트워크를 검사할 수 있다. 그러면 상기 네트워크 검사 시스템(100)은 검사결과를 이용하여 따라 네트워크/트래픽을 컨트롤할 수 있다. 네트워크/트래픽을 컨트롤 한다 함은 소정의 세션, 플로우 및/또는 패킷별로 대역폭, 전송 속도를 조절하거나 전송을 차단하는 등의 인위적 행위를 의미할 수 있다. 상기 패킷 추출모듈(110)은 예컨대 소정의 NIC(Network Interface Card)로 구현될 수 있지만, 이에 한정되는 것은 아니다.

상기 플로우 생성모듈(120)은 상기 패킷 추출모듈(110)에 의해 수신되는 패킷들에 기초하여 복수의 플로우들을 생성할 수 있다. 상기 패킷 추출모듈(110)은 상기 플로우 생성모듈(120)로 순차적으로 패킷들을 출력할 수 있다. 그러면, 상기 플로우 생성모듈(120) 플로우를 생성할 수 있다. 플로우를 생성한다고 함은 후술할 바와 같이 플로우 정보를 생성하는 것을 의미할 수 있다. 구현 예에 따라서는, 선택적으로 상기 플로우 생성모듈(120)은 플로우에 포함되는 패킷을 추출하여 상기 DB(160)에 저장할 수도 있다. 상기 플로우 생성모듈(120)은 소정의 플로우에 해당하는 모든 패킷들을 저장토록 할 수도 있지만, 구현 예에 따라서는 후술할 바와 같이 상기 플로우를 포함하는 세션의 초기 몇 개의 패킷만을 최종적으로 상기 DB(160)에 저장토록 할 수도 있다.

물론, 상기 플로우 생성모듈(120)은 플로우 및 해당 플로우에 포함된 모든 패킷을 임시로 상기 DB(160)에 저장하고, 상기 세션 생성모듈(130)이 저장된 패킷들 중 선택적으로 일부만 저장하고 나머지는 삭제할 수도 있다.

본 명세서에서 플로우(flow)라 함은, 제한된 시간 내에 연속적으로 전달되는 IP 패킷들의 집합을 의미한다. 따라서, IP 플로우는 애플리케이션의 주소 쌍(송신자 주소, 송신자 포트 번호, 수신자 주소, 수신자 포트 번호), 호스트 쌍(송신자 네트워크 주소, 수신자 네트워크 주소), AS 번호 쌍(송신자 AS 번호, 수신자 AS 번호) 등으로 명세되는 제한된 시간 내에 연속적으로 전달되는 IP 패킷들의 흐름으로 정의될 수 있다. 이러한 플로우에 대한 개념 및 플로우를 형성하는 방식에 대해서는 상기한 선행기술문헌에 상세히 개시되어 있으므로 본 명세서에서는 상세한 설명은 생략하도록 한다. 또한, 본 명세서에서 플로우에 대한 개념, 플로우의 생성 방법에 대해서는 상기한 선행기술문헌에 개시된 기술적 사상 및 기재를 본 명세서의 레퍼런스로 포함하며, 본 명세서의 기재에 포함되는 것으로 취급할 수 있다.

패킷들의 속성 중 플로우를 생성하기 위한 일 예로 5-튜플(tuple)을 이용할 수 있다. 즉, 플로우 프로세서(110)는 네트워크 상에서 패킷들을 입력으로 받아서 패킷들의 연속된 집합인 플로우를 생성하거나, 플로우를 형성하는 패킷들 중 일부를 추출할 수 있다. 플로우를 생성하거나 플로우 패킷을 검출하는 조건은 패킷들의 속성(예컨대, 5-Tuple(Source Address, Destination Address, Source Port, Destination Port, Protocol))를 비교하여 동일한 속성(예컨대, 5-튜플(tuple) 값)을 가지는 패킷이 존재하지 않으면 새로운 플로우를 생성하고, 만약에 동일한 값을 가지는 패킷이 존재하면 그 플로우의 플로우 정보를 업데이트할 수 있다.

패킷들의 연속된 집합이라 함은 반드시 물리적으로 연속된 패킷들을 의미하는 것이 아니라, 시간적으로 제한된 시간 내에 도달한 패킷의 속성이 동일한 패킷을 포함하는 의미로 사용될 수 있다.

상기 플로우 정보는 패킷의 5-튜플 정보를 포함하며, 플로우 사이즈(Flow Size), 지속기간(Duration) 즉, 플로우의 시작 시간(S.T) 및 종료 시간(E.T), 패킷 카운트(Packet Count, P.C), 평균 패킷 사이즈(Average Packet Size), 평균 레이트(Average Rate), 플래그(예컨대, 프로토콜을 위한 특별한 신호(SYN, FIN 등)) 및/또는 폴로우 사이즈 등을 포함할 수 있다. 상기 플로우 정보는 DB(160)로 출력되어 저장될 수 있다. 상기 플로우 생성모듈(120)은 상기 DB(160)에 소정의 플로우에 대한 플로우 정보 및 상기 플로우에 포함되는 패킷을 대응되도록 저장할 수 있다. 이러한 과정을 상기 플로우 생성모듈(120)이 플로우를 생성한다고 정의할 수 있다. 예컨대, 플로우 정보 및 플로우에 포함된 패킷이 물리적으로 연속되도록 저장될 수도 있고, 테이블, 링크 등과 같이 물리적으로는 분리되어 있더라도 용이하게 탐색될 수 있는 다양한 형태로 저장될 수 있다.

이렇게 저장된 패킷들 중 일부는 상기 세션 생성모듈(130)에 의해 생성되는 세션 정보에 기초하여 삭제될 수도 있다. 즉, 세션의 초기 N 개의 선행패킷을 제외하고는 삭제될 수도 있다. 따라서 구현 예에 따라서는 특정 플로우에 대해서는 플로우 정보만 저장되고, 상기 특정 플로우에 해당하는 패킷은 저장되지 않을 수도 있다.

상기 세션 생성모듈(130)은 상기 플로우 생성모듈(120)에 의해 복수의 플로우들이 저장장치(예컨대, 상기 DB(160))에 저장되면 즉, 복수의 플로우들이 생성되면, 상기 복수의 플로우들에 대한 정보에 기초하여 세션을 생성할 수 있다. 세션을 생성한다고 함은 생성된 복수의 플로우들 중에서 동일한 세션을 형성하는 플로우들을 추출하고, 추출된 플로우들에 대한 식별정보를 포함하는 세션 정보를 생성하여 상기 DB(160)에 저장하는 것을 의미할 수 있다. 또한 상기 세션 정보와 함께 상기 세션에 포함된 패킷들 중 선행 N 개의 선행패킷을 상기 세션 정보에 대응되도록 저장하는 과정을 포함하는 의미일 수도 있다. 선행패킷을 상기 세션 정보에 대응되도록 저장하는 과정은 이미 상기 플로우 생성모듈(120)에 의해 저장된 패킷들 중 상기 선행패킷을 제외하고 삭제하는 과정을 의미할 수도 있다. 또는 세션 정보 및 상기 선행패킷은 별도로 저장될 수도 있다. 이러한 경우에는 상기 선행패킷은 이중으로 저장될 수도 있다.

상기 세션 생성모듈(130)이 세션을 생성하는 개념은 도 2를 참조하여 설명하도록 한다.

도 2는 본 발명의 일 실시 예에 따른 네트워크 검사 시스템 제공방법을 위한 세션, 플로우, 및 패킷을 설명하기 위한 도면이다.

도 1 및 도 2를 참조하면, 소정의 장치들끼리 세션(S)이 형성되면, 상기 세션(S)은 적어도 하나의 플로우(F)로 구성될 수 있다. 또한, 상기 적어도 하나의 플로우는 각각 적어도 하나의 패킷(P)으로 구성될 수 있다.

본 발명의 기술적 사상에 의하면, 상기 네트워크 검사 시스템(100)은 소정의 네트워크상의 일 지점을 경유하는 패킷들을 수집할 수 있다. 이는 상기 패킷 추출모듈(110)에 의해 수행될 수 있다.

그리고 수집되는 패킷들의 패킷 속성(예컨대, 5튜플 등)에 기초하여 상기 네트워크 검사 시스템(100)은 플로우를 생성할 수 있다. 플로우의 생성방법에 대해서는 상술한 바와 같다. 이러한 플로우의 생성은 플로우 생성모듈(120)에 의해 수행될 수 있다. 각각의 플로우는 하나의 패킷만으로 구성될 수도 있고, 복수의 패킷들로 구성될 수도 있다. 또한 플로우 별로 플로우 사이즈가 다를 수도 있다.

한편, 이처럼 플로우가 생성되면 상기 세션 생성모듈(130)은 세션을 생성할 수 있다. 그리고 상기 세션 생성모듈(130)은 생성되는 세션에 기초하여 복수의 패킷들 중 선택적으로 일부 또는 전부를 저장장치 또는 DB(160)에 저장할 수 있다.

이를 위해 상기 네트워크 검사 시스템(100)에는 적어도 하나의 패킷 저장모드를 제공할 수 있다.

본 발명의 기술적 사상에 따라 제공되는 상기 패킷 저장모드는 적어도 세션의 초기 N개의 패킷만을 저장하는 모드를 제공할 수 있다. 구현 예에 따라서는 미리 정해진 종류의 세션에 대해서만 상기 세션을 형성하는 패킷을 전부 또는 일부(예컨대, N개)만 저장하는 모드를 제공할 수도 있다. 구현 예에 따라서는 세션(모든 세션 또는 미리 정해진 종류의 세션)에 포함된 모든 패킷을 다 저장하는 모드를 제공할 수도 있다. 각각의 모드에 대해 상기 네트워크 검사 시스템(100)은 패킷들을 무작위로 저장하는 것이 아니라 상기 세션 생성모듈(130)에 의해 생성되는 세션정보에 따라 세션을 기준으로 하는 패킷저장 모드를 제공할 수 있다. 이러한 패킷저장 모드의 일 예들은 도 5를 참조하여 후술하도록 한다.

세션을 생성하기 위해 상기 세션 생성모듈(130)은 DB(160)에 저장된 플로우 정보를 확인할 수 있다. 동일한 세션에 포함되는 플로우들은 공통되는 특성을 가질 수 있다. 따라서 상기 세션 생성모듈(130)은 상기 DB(160)에 저장된 플로우들 중 상기 공통되는 특성을 가진 플로우들을 탐색할 수 있다. 또한 플로우 정보(예컨대, 플로우 정보에 포함되는 S.T, E.T 등의 정보)에 기초하여 각각의 플로우의 시간적 우선순위를 파악할 수 있다. 상기 세션 생성모듈(130)은 각각의 세션 형성 플로우의 플로우 정보에 포함되는 TCP 플래그 정보에 기초하여 해당 세션의 최선 플로우 및 최후 플로우를 파악할 수도 있다.

따라서 상기 세션 생성모듈(130)은 특정 세션에 포함되는 적어도 하나의 플로우 즉, 세션 형성 플로우를 추출할 수 있다. 상기 세션 형성 플로우는 하나의 플로우일 수도 있고, 복수의 플로우들을 포함할 수도 있다.

이처럼 본 발명의 기술적 사상에 따른 네트워크 검사 시스템(100)이 플로우만을 생성하는 것이 아니라, 생성한 플로우에 기초하여 세션을 생성하는 것은 세션의 초기 N(N은 자연수)개의 선행패킷에 의해 해당 세션의 중요한 특성들이 모두 파악될 수 있기 때문이다. 따라서 종래의 선행기술들이 수집되는 모든 패킷을 저장하고 검사(예컨대, DPI)하거나, 각각의 플로우 별로 일정 개수의 선행패킷을 저장 및 검사하는 것에 비해 보다 적은 수의 패킷 검사만으로도 소정의 애플리케이션의 특성 또는 원하는 정보를 검사할 수 있다. 일반적으로 세션의 초기 5개 내외에 패킷을 검사하는 정도면 상기 세션에 포함되는 모든 패킷을 검사하는 것에 비해 검사의 품질에 큰 차이가 없음이 알려져 있다.

물론, 전술한 바와 같이 네트워크의 특성이나 보안의 강도에 따라 적어도 하나의 패킷 저장모드들이 제공되고, 상기 세션 생성모듈(130)은 적어도 하나의 패킷 저장모드 중에서 현재 설정된 설정모드에 상응하도록 패킷을 저장할 수 있다.

또한, 본 발명의 기술적 사상에 의하면 상기 네트워크 검사 시스템(100)이 네트워크 레코딩 서비스를 제공하는 경우에 종래의 선행기술들에 비해 적은 수의 패킷들만을 저장할 수 있게 되는 효과가 있다. 따라서 스토리지에 대한 이득이 발생할 수 있는 효과가 있다. 또한, 동일한 물리적 환경에서 훨씬 오랜 과거 기간 동안의 네트워크 레코딩이 가능한 효과가 있다.

또한, 본 발명의 기술적 사상과 같이 패킷으로부터 플로우를 생성하고, 생성된 플로우를 이용하여 세션까지 생성하는 경우에는 특정 서비스 이용자가 패킷을 서치할 때에도 고속의 패킷 서치가 가능한 효과가 있다. 즉, 상기 네트워크 검사 시스템(100)이 세션의 초기 N개의 선행패킷만을 저장하는 것이 아니라 수집되는 모든 패킷을 저장할 수도 있는데, 이러한 경우에는 세션을 생성함으로써 생성되는 세션정보를 가장 먼저 탐색하여 원하는 패킷에 상응하는 세션을 탐색하고, 탐색된 세션으로부터 원하는 패킷에 상응하는 플로우를 탐색한 후 탐색된 플로우에 기초하여 패킷을 검색함으로써 고속의 드릴 다운 서치가 가능한 효과가 발생한다. 왜냐하면 플로우만을 생성하는 경우에는 최악의 경우에 플로우의 개수만큼 서치를 수행한 후에 패킷을 서치할 수 있지만, 세션이 형성된 경우에는 최악의 경우에 세션의 개수만큼만 서치를 수행한 후, 빠른 시간에 해당 패킷에 상응하는 플로우 및 패킷을 탐색할 수 있기 때문이다. 물론, 초기 N 개의 선행패킷만을 저장하는 경우에도 이러한 효과는 여전히 존재한다. 또한, 패킷을 서치하고자 하는 서비스 이용자는 세션에 대한 정보는 알고 있을 수 있지만, 플로우에 대한 정보는 알지 못하는 경우도 존재할 수 있다. 따라서 본 발명의 기술적 사상과 같이 세션을 생성하는 경우에는 네트워크 리코딩 서비스에서 효율적이고 고속의 패킷 서칭이 가능해지는 효과가 있다.

구현 예에 따라서 상기 네트워크 검사 시스템(100)에 포함된 세션 생성모듈(130)은 수집되는 패킷들 중 N개의 선행패킷보다는 많은 M개의 패킷 즉, 저장패킷들을 저장할 수도 있다. 이러한 경우에도 상기 네트워크 검사 시스템(100)은 상기 선행패킷에 대해서만 패킷 검사를 실시할 수 있다. 또한 M개의 저장패킷을 저장해둠으로써 패킷 검사뿐만 아니라 패킷 서치에도 원하는 패킷이 탐색될 가능성을 높여줄 수 있다. M은 서비스의 종류, 서비스 이용자의 요구에 따라 또는 상기 세션이 이용되는 애플리케이션의 종류에 따라 적응적으로 설정될 수 있다.

다시 도 1을 참조하면, 상기 세션 생성모듈(130)은 상기 플로우 생성모듈(120)이 생성한 복수의 플로우들에 기초하여 세션을 생성할 수 있다. 즉, 세션정보를 생성할 수 있다.

상기 세션 정보는 적어도 상기 세션에 포함되는 적어도 하나의 플로우 즉, 세션 형성 플로우들 각각의 인덱스(식별정보)를 포함할 수 있다. 또한, 상기 세션의 특성을 나타내는 다양한 정보들이 상기 세션 정보에 더 포함될 수 있다.

이러한 세션 정보의 생성을 통해 전술한 바와 같이 고속의 패킷 서칭이 가능할 수 있으며, 또한 세션의 생성을 통해 세션의 초기 N개의 선행패킷만을 특정할 수도 있다.

도 3을 참조하여 본 발명의 패킷들이 저장되는 개념적인 구조를 설명하면 다음과 같을 수 있다.

도 3은 본 발명의 일 실시 예에 따른 네트워크 검사 시스템 제공방법에 따른 패킷 서치를 수행하는 개념을 설명하기 위한 도면이다.

도 3을 참조하면, 상기 세션 생성모듈(130)은 전술한 바와 같이 소정의 세션을 생성할 수 있다. 세션의 생성을 통해 생성되는 세션 정보에는 도 3에 도시된 바와 같이 적어도 상기 세션에 포함되는 세션 형성 플로우의 식별정보가 포함될 수 있다.

또한, 상기 세션 정보에는 상기 세션의 5-튜플에 대한 정보, 시작시간(S.T) 및 종료시간(E.T), 패킷 카운트(P,C), 세션 사이즈(S.S)등에 대한 정보들이 더 포함될 수 있다.

상기 네트워크 검사 시스템(100)에 포함된 패킷 서치모듈(140)은 서비스 이용자의 단말기(미도시)로부터 수신되는 패킷 서치 요청에 응답하여, 상기 패킷 서치 요청에 상응하는 세션을 가장 먼저 탐색할 수 있다. 상기 패킷 서치 요청에는 상기 세션정보에 포함된 정보들이 적어도 하나 포함될 수 있음은 물론이다. 예컨대, 송신자 주소, 수신자 주소, 및 시간 정보 등이 상기 패킷 서치요청에 포함될 수 있다.

그러면 상기 패킷 서치모듈(140)은 상기 세션 정보에 포함된 세션 형성 플로우들 각각의 플로우 정보를 탐색하여 패킷 서치 요청에 상응하는 플로우를 탐색할 수 있다. 그리고 상기 패킷 서치 요청에 상응하는 플로우가 탐색되면, 상기 패킷 서치모듈(140)은 용이하게 상기 패킷 서치 요청에 상응하는 패킷을 상기 DB(160)로부터 탐색할 수 있다. 물론, 구현 예에 따라 상기 네트워크 검사 시스템(100)이 선행패킷만을 저장하는 경우에는 패킷 서치 요청에 상응하는 패킷은 존재하지 않을 수도 있다. 또한 모든 패킷들을 저장하는 경우에는 패킷 서치 요청에 상응하는 패킷은 탐색됨이 보장될 수도 있다.

결국, 본 발명의 기술적 사상은 패킷으로부터 플로우를 생성하고, 플로우로부터 세션을 생성한 후, 패킷을 서치할 때에는 세션, 플로우, 및 패킷 순으로 드릴 다운 고속 서치가 가능해지는 효과가 있다.

다시 도 1을 참조하면, 상기 패킷 검사모듈(150)은 세션 생성모듈(130)에 의해 저장된 패킷들에 대해 패킷 검사를 수행할 수 있다. 일 예에 의하면 상기 세션 생성모듈(130)은 세션별로 선행패킷들만을 저장장치 또는 DB(160)에 저장할 수 있고, 이러한 경우 각각의 세션의 선행패킷들을 대상으로 패킷 검사를 수행할 수 있다. 패킷 검사를 수행하는 방식은 다양할 수 있으며, 예컨대 종래의 DPI(Deep Packet Inspection) 등이 이용될 수도 있다. 상기 패킷 검사모듈(150)의 검사결과는 상기 DB(160)에 저장될 수 있음은 물론이다. 또한 패킷 검사모듈(150)에 의해 상기 선행패킷만 패킷 검사가 수행될 수 있으므로, 세션이 종료되기 전에 상기 세션에 대한 패킷 검사가 실시간으로 완료될 수 있으며 이에 따라 상기 네트워크 검사 시스템(100)은 상기 세션에 대한 소정의 네트워크 컨트롤(예컨대, 차단, 대역폭 조정 등)을 수행할 수 있다.

또한, 전술한 바와 같이 본 발명의 기술적 사상에 의하면 세션별 미리 설정된 개수의 선행패킷들만을 저장하는 경우, 현재의 네트워크 패킷들을 실시간으로 검사할 수 있는 것뿐만 아니라, 고속으로 과거의 패킷들(즉, 기저장된 선행패킷들)을 검사할 수 있다. 즉, 과거에 대해서도 소급적으로 네트워크 검사가 가능한 효과가 있으며, 이러한 경우에는 이미 네트워크 공격을 받은 경우라도 적어도 네트워크 공격을 받았다는 사실을 고속으로 확인하고 공격받은 시스템(예컨대, 패킷들의 목적지)에 통보할 수도 있는 효과가 있다.

한편, 본 발명의 기술적 사상에 의하면, 전술한 바와 같이 상기 네트워크 검사 시스템(100)은 네트워크 리코딩 서비스에 이용될 수도 있다. 네트워크 리코딩을 위해서는 종래에는 수집되는 모든 패킷들을 저장해야 했지만, 본 발명의 기술적 사상에 의하면 세션을 형성함으로써 세션의 초기 N 개의 선행패킷만을 저장함으로써 저장 패킷의 양을 확연히 줄이면서도 중요한 정보들은 저장할 수 있게 된다. 물론, 서비스의 필요에 따라 M개의 저장패킷을 저장할 수도 있다. 이러한 경우에도 전체 패킷을 수집/저장하는 것에 비해 스토리지의 절약효과는 존재한다.

또한 본 발명의 기술적 사상에 의하면, 상기 네트워크 검사 시스템(100)은 미리 정해진 종류의 세션에 해당하는 패킷들만 저장할 수도 있다. 예컨대, 상기 네트워크 검사 시스템(100)은 HTTP, TCP 세션 등 미리 정해진 세션에 대해서만 네트워크 레코딩을 수행할 수 있다.

이처럼 미리 정해진 세션에 대해서만 네트워크 레코딩을 수행하는 기능은 상기 플로우 생성모듈(120)에 의해 수행될 수도 있고, 상기 세션 생성모듈(130)에 의해 생성될 수도 있다. 예컨대, 상기 플로우 생성모듈(120)은 패킷 추출모듈(110)에 의해 수집되는 패킷들 중 미리 정해진 세션에 해당하는 패킷들만을 대상으로 플로우를 생성할 수 있다. 또는 상기 플로우 생성모듈(120)은 모든 패킷들을 대상으로 플로우를 생성한 후, 상기 세션 생성모듈(130)이 생성된 플로우 중 미리 정해진 세션에 해당하지 않는 플로우는 상기 DB(160)로부터 삭제할 수도 있다.

상기 미리 정해진 세션에 해당하는지 여부는 패킷들의 포트정보에 기초하여 파악할 수 있다. 즉, 세션의 종류에 따라 포트번호가 바인딩(binding)될 수 있고, 이러한 포트번호에 기초하여 미리 정해진 세션에 해당하는 패킷 또는 플로우인지가 판단될 수 있다.

구현 예에 따라서는, 상기 패킷 추출모듈(110)이 미리 정해진 세션에 해당하는 패킷만을 상기 플로우 생성모듈(120)로 전송할 수도 있다.

어떠한 경우든 상기 네트워크 검사 시스템(100)은 미리 정해진 세션에 대해서만 네트워크 레코딩을 수행할 수도 있다.

결국, 본 발명의 기술적 사상에 의하면 종래의 네트워크 레코딩에 비해 저장되는 패킷의 절대적인 양이 줄어들 수 있고, 또한 원하는 세션에 대해서만 네트워크 레코딩이 수행될 수도 있다.

이를 개념적으로 도시하면 도 4와 같을 수 있다.

도 4는 본 발명의 일 실시 예에 따른 네트워크 검사 시스템 제공방법에 따른 효과를 설명하기 위한 도면이다.

도 4를 참조하면, 직사각형의 가로축은 세션 사이즈를 개념적으로 나타내고 세로축은 세션들을 개념적으로 나타낸다. 따라서 도 4에 도시된 사각형(10)은 수집되는 패킷들을 모두 저장하는 경우의 저장되는 패킷 양을 의미할 수 있다.

본 발명의 기술적 사상에 따른 네트워크 검사 시스템(100)은 특정 세션에 포함되는 패킷들 전부를 저장하는 것이 아니라, N 개의 선행패킷만(또는 M개의 저장패킷)을 저장할 수 있으므로 각 세션별로 저장되는 패킷의 양이 줄어들 수 있는 효과가 있다.

또한, 본 발명의 기술적 사상에 따른 네트워크 검사 시스템(100)은 모든 세션들에 대해 패킷을 저장하는 것이 아니라, 미리 정해진 종류의 세션만을 저장할 수 있으므로 미리 정해진 종류에 해당하지 않는 세션들(D에 해당)에 대해서는 아예 패킷 저장이 이루어지지 않을 수 있는 효과가 있다.

이처럼 본 발명의 기술적 사상에 의하면 저장하는 패킷의 절대적인 양을 줄이면서도 패킷 검사에 유의미한 패킷들만 선택적으로 저장함으로 고속의 패킷 서치가 가능해지는 효과가 있다. 이와 동시에 전술한 바와 같이 세션 정보, 플로우 정보 순으로의 드릴 다운 서치를 통해 고속의 패킷 서치가 가능해지는 효과가 있다.

도 5는 본 발명의 일 실시 예에 따른 네트워크 검사 시스템 제공방법을 통한 복수의 패킷저장 모드를 설명하기 위한 도면이다.

도 5를 참조하면, 직사각형의 가로축은 세션 사이즈를 개념적으로 나타내고 세로축은 세션들을 개념적으로 나타낸다. 따라서 도 5에 도시된 사각형(10)은 수집되는 패킷들을 모두 저장하는 경우의 저장되는 패킷 양을 의미할 수 있으며, 빗금친 영역(20)은 실제로 상기 세션 생성모듈(130)에 의해 저장된 패킷의 양을 나타낼 수 있다.

우선 도 5a는 패킷들을 저장하지 않는 경우를 나타내며, 이러한 경우에는 본 발명의 기술적 사상에 따라 실시간으로 패킷만을 검사하는 경우를 나타낼 수 있다. 이때에는 종래의 DPI와 같은 기능을 수행할 수 있다. 하지만 이때에도 본 발명의 기술적 사상에 의하면 세션을 생성하고 생성된 세션의 선행패킷들만을 고속으로 검사할 수 있는 효과가 있다.

도 5b는 미리 정해진 종류의 세션에 대해서만 상기 세션의 모든 패킷을 검사하는 경우를 개념적으로 도시하고 있다. 도 5c는 모든 세션에 대해서 초기 N개의 선행패킷들을 저장하는 경우를 개념적으로 도시하고 있다.

도 5d는 미리 정해진 종류에 세션에 대해서 초기 N개의 선행패킷들을 저장하는 경우를 개념적으로 도시하고 있다. 또한, 도 5e는 모든 세션에 대해 모든 패킷들을 저장하는 경우를 개념적으로 도시하고 있다.

이와 같이 상기 네트워크 검사 시스템(100)은 도 5에 도시된 바와 같은 적어도 하나의 패킷저장 모드를 제공하며, 이 중에서 현재의 네트워크에 대해 설정된 설정모드에 따라 상기 네트워크 검사 시스템(100)은 적응적으로 패킷을 저장할 수 있다. 설정모드는 네트워크의 특성 또는 요구되는 보안성의 강도에 따라 적응적으로 선택될 수 있음은 물론이다.

도 6은 본 발명의 일 실시 예에 따라 과거의 네트워크 공격을 효과적으로 검사할 수 있는 개념을 설명하기 위한 도면이다.

우선 도 6a는 종래의 네트워크 검사 시스템(예컨대, DPI)의 동작 개념을 예시적으로 나타내고 있다. 예컨대, 소정의 시점(t1)에서 신규 네트워크 위협이 발생할 수 있다. 이러한 신규 네트워크 위협에 상응하는 네트워크 검사 룰(예컨대, 신규 위협을 나타내는 패킷 시그너쳐 등)은 일정 시간이 지난 후(t2)에 설정될 수 있으며, 이러한 경우 종래의 네트워크 검사 시스템은 상기 시점(t2) 이후에만 상기 신규 네트워크 위협에 대응할 수 있게 된다. 즉, 시점(t1) 및 시점(t2) 사이에 실제로 네트워크 공격이 있었다고 하더라도 이를 인지할 수 없는 문제점이 있다.

물론 종래에도 네트워크 검사 시스템(예컨대, DPI) 및 네트워크 레코딩 시스템을 모두 사용하는 경우에는 시점(t1) 및 시점(t2) 사이에 네트워크 공격을 인지할 수도 있다. 하지만 이러한 경우에도 종래의 네트워크 레코딩은 본 발명의 기술적 사상에 비해 많은 수의 패킷들이 저장되어야 했고 이에 따라 고속으로 과거의 네트워크 공격을 인지하거나 이에 따른 대응을 할 수 없는 문제점이 있었다.

이에 비해 도 6b에 도시된 바와 같은 본 발명의 기술적 사상에 따른 네트워크 검사 방법에 의하면 시점(t1) 및 시점(t2) 사이에 네트워크 레코딩이 수행되면서도 적은 수의 패킷들의 저장만으로도 네트워크 레코딩이 수행될 수 있는 효과가 있다. 이를 통해 고속으로 과거의 네트워크에 대해서 소급적인 네트워크 검사가 수행될 수 있고, 상대적으로 오랜 과거 기간 동안에 대한 네트워크 레코딩 및 검사가 가능한 효과가 있다. 물론, 시점(t2) 이후에는 실시간으로 고속의 네트워크 검사가 가능할 수 있음은 물론이다.

본 발명의 실시예에 따른 네트워크 검사 시스템의 제공방법은 컴퓨터가 읽을 수 있는 프로그램 명령 형태로 구현되어 컴퓨터로 읽을 수 있는 기록 매체에 저장될 수 있으며, 본 발명의 실시예에 따른 제어 프로그램 및 대상 프로그램도 컴퓨터로 판독 가능한 기록 매체에 저장될 수 있다. 컴퓨터가 읽을 수 있는 기록 매체는 컴퓨터 시스템에 의하여 읽혀질 수 있는 데이터가 저장되는 모든 종류의 기록 장치를 포함한다.

기록 매체에 기록되는 프로그램 명령은 본 발명을 위하여 특별히 설계되고 구성된 것들이거나 소프트웨어 분야 당업자에게 공지되어 사용 가능한 것일 수도 있다.

컴퓨터로 읽을 수 있는 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media) 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 또한 상술한 매체는 프로그램 명령, 데이터 구조 등을 지정하는 신호를 전송하는 반송파를 포함하는 광 또는 금속선, 도파관 등의 전송 매체일 수도 있다. 또한 컴퓨터가 읽을 수 있는 기록매체는 네트워크로 연결된 컴퓨터 시스템에 분산되어, 분산방식으로 컴퓨터가 읽을 수 있는 코드가 저장되고 실행될 수 있다.

프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 전자적으로 정보를 처리하는 장치, 예를 들어, 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다.

상술한 하드웨어 장치는 본 발명의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.

전술한 본 발명의 설명은 예시를 위한 것이며, 본 발명이 속하는 기술분야의 통상의 지식을 가진 자는 본 발명의 기술적 사상이나 필수적인 특징을 변경하지 않고서 다른 구체적인 형태로 쉽게 변형이 가능하다는 것을 이해할 수 있을 것이다. 그러므로 이상에서 기술한 실시 예들은 모든 면에서 예시적인 것이며 한정적이 아닌 것으로 이해해야만 한다. 예를 들어, 단일형으로 설명되어 있는 각 구성 요소는 분산되어 실시될 수도 있으며, 마찬가지로 분산된 것으로 설명되어 있는 구성요소들도 결합된 형태로 실시될 수 있다.

본 발명의 범위는 상기 상세한 설명보다는 후술하는 특허청구범위에 의하여 나타나며, 특허청구범위의 의미 및 범위 그리고 그 균등 개념으로부터 도출되는 모든 변경 또는 변형된 형태가 본 발명의 범위에 포함되는 것으로 해석되어야 한다.

Claims (12)

1. 네트워크 검사 시스템이 네트워크로부터 복수의 패킷들을 수신하는 단계;
   상기 네트워크 검사 시스템이 적어도 하나의 패킷저장 모드 중에서 선택되는 설정 모드에 상응하도록 상기 복수의 패킷들 중에서 선택적으로 패킷을 저장장치에 저장하는 단계; 및
   패킷검사를 위한 검사 룰이 입력되는 경우, 상기 네트워크 시스템이 상기 저장장치에 기저장된 상기 선행 패킷에 대해서 패킷 검사를 수행하는 단계를 포함하며,
   상기 적어도 하나의 패킷저장 모드는,
   상기 네트워크 검사 시스템이 상기 복수의 패킷들로부터 소저의 세션을 형성패킷들 중 상기 세션의 초기 N(N은 자연수)개의 선행 패킷만을 저장하는 제1모드를 포함하는 네트워크 검사 시스템 제공방법.
   
2. 제1항에 있어서, 상기 네트워크 검사 시스템 제공방법은,
   상기 네트워크 검사 시스템이 상기 복수의 패킷들에 기초하여 상기 복수의 패킷들이 형성하는 복수의 플로우들을 생성하는 단계; 및
   상기 네트워크 검사 시스템이 생성된 상기 복수의 플로우들에 대한 정보에 기초하여 상기 복수의 플로우들 중 동일한 세션을 형성하는 적어도 하나의 세션 형성 플로우를 추출하고 추출된 상기 세션 형성 플로우에 기초하여 세션정보 및 상기 선행패킷을 특정하는 단계를 더 포함하는 네트워크 검사 시스템 제공방법.
   
3. 제1항에 있어서, 상기 적어도 하나의 패킷저장 모드는,
   미리 정해진 종류의 세션에 대해서만 상기 선행패킷을 저장하는 제2모드를 더 포함하는 것을 특징으로 하는 네트워크 검사 시스템 제공방법.
   
4. 제3항에 있어서, 상기 네트워크 검사 시스템은,
   상기 복수의 패킷들, 세션 정보, 또는 상기 세션을 형성하는 세션 형성 프로우들 각각의 플로우 정보 중 적어도 하나에 포함되는 상기 세션의 포트정보에 기초하여 상기 미리 정해진 종류의 세션을 특정하는 네트워크 검사 시스템 제공방법.
   
5. 제1항에 있어서, 상기 적어도 하나의 패킷저장 모드는,
   상기 세션을 형성하는 모든 패킷을 저장하는 제3모드를 더 포함하는 것을 특징으로 하는 네트워크 검사 시스템 제공방법.
   
6. 네트워크 검사 시스템이 네트워크로부터 복수의 패킷들을 수신하는 단계;
   상기 네트워크 검사 시스템이 상기 복수의 패킷들로부터 소정의 세션을 형성하는 패킷들 중 상기 세션의 초기 N(N은 자연수)개의 선행 패킷만을 저장장치에 저장하는 단계; 및
   패킷검사를 위한 검사 룰이 입력되는 경우, 상기 네트워크 시스템이 상기 저장장치에 기저장된 상기 선행 패킷에 대해서 패킷 검사를 수행하는 단계를 포함하는 네트워크 검사 시스템 제공방법.
   
7. 데이터 처리장치에 설치되며 상기 제1항 내지 제6항 중 어느 한 항에 기재된 방법을 수행하기 위한 기록된 컴퓨터 프로그램.
   
8. 네트워크로부터 복수의 패킷들을 수신하기 위한 패킷 추출모듈;
   적어도 하나의 패킷저장 모드 중에서 선택되는 설정 모드에 상응하도록 상기 복수의 패킷들 중에서 선택적으로 패킷을 저장장치에 저장하기 위한 세션생성 모듈; 및
   패킷검사를 위한 검사 룰이 입력되는 경우, 상기 저장장치에 기저장된 상기 선행 패킷에 대해서 패킷 검사를 수행하기 위한 패킷 검사모듈을 포함하며,
   상기 세션 생성모듈이 제공하는 상기 적어도 하나의 패킷저장 모드는,
   상기 복수의 패킷들로부터 세션을 형성하는 패킷들 중 상기 세션의 초기 N(N은 자연수)개의 선행 패킷만을 저장하는 제1모드를 포함하는 네트워크 검사 시스템.
   
9. 제8항에 있어서, 상기 네트워크 검사 시스템은,
   상기 복수의 패킷들에 기초하여 상기 복수의 패킷들이 형성하는 복수의 플로우들을 생성하기 위한 플로우 생성모듈을 더 포함하며,
   상기 세션 생성모듈은,
   상기 플로우 생성모듈에 의해 생성된 상기 복수의 플로우들에 대한 정보에 기초하여 상기 복수의 플로우들 중 동일한 세션을 형성하는 적어도 하나의 세션 형성 플로우를 추출하고, 추출된 적어도 하나의 세션 형성 플로우에 기초하여 세션정보 및 상기 선행패킷을 특정하는 네트워크 검사 시스템.
   
10. 제8항에 있어서, 상기 적어도 하나의 패킷저장 모드는,
    미리 정해진 종류의 세션에 대해서만 상기 선행패킷을 저장하는 제2모드를 더 포함하는 것을 특징으로 하는 네트워크 검사 시스템.
    
11. 제8항에 있어서, 상기 적어도 하나의 패킷저장 모드는,
    상기 세션을 형성하는 모든 패킷을 저장하는 제3모드를 더 포함하는 것을 특징으로 하는 네트워크 검사 시스템 제공방법.
    
12. 네트워크로부터 복수의 패킷들을 수신하는 패킷 추출모듈;
    상기 복수의 패킷들로부터 세션을 형성하는 패킷들 중 상기 세션의 초기 N(N은 자연수)개의 선행 패킷만을 저장장치에 저장하는 세션 생성모듈; 및
    패킷검사를 위한 검사 룰이 입력되는 경우, 상기 네트워크 시스템이 상기 저장장치에 기저장된 상기 선행 패킷에 대해서 패킷 검사를 수행하는 패킷 검사모듈을 포함하는 네트워크 검사 시스템.
    
    
    

Images