KR20180016685A - security monitoring system and method of network for visibility of HTTPS-based connection - Google Patents

security monitoring system and method of network for visibility of HTTPS-based connection Download PDF

Info

Publication number
KR20180016685A
KR20180016685A KR1020160099660A KR20160099660A KR20180016685A KR 20180016685 A KR20180016685 A KR 20180016685A KR 1020160099660 A KR1020160099660 A KR 1020160099660A KR 20160099660 A KR20160099660 A KR 20160099660A KR 20180016685 A KR20180016685 A KR 20180016685A
Authority
KR
South Korea
Prior art keywords
log
packet
file
web
pattern
Prior art date
Application number
KR1020160099660A
Other languages
Korean (ko)
Other versions
KR101865690B1 (en
Inventor
장진영
강희택
Original Assignee
주식회사 시큐다임
강희택
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 시큐다임, 강희택 filed Critical 주식회사 시큐다임
Priority to KR1020160099660A priority Critical patent/KR101865690B1/en
Publication of KR20180016685A publication Critical patent/KR20180016685A/en
Application granted granted Critical
Publication of KR101865690B1 publication Critical patent/KR101865690B1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

According to an aspect of the present invention, provided is a network security monitoring method comprising the steps of: a connection event occurring at a web server; a web server decoding encoded packets for the connection event to execute a process at the connection event; a log file agent transmitting a log file for the decoded connection event to a packet regeneration device; a web log collection unit of the packet regeneration device receiving and storing the log file transmitted by the log file agent; a web log filter unit of the packet regeneration device searching for a format of the log file received by the web log receiving unit to determine whether predetermined weblog character strings are included and to select a visibility transformation target; a file transformation unit of the packet regeneration device transforming the log file, selected as the visibility transformation target, according to a PCAP file format converted in tcp.stream communications; and a transmission unit of the packet regeneration device transmitting the transformed PCAP file to security processing equipment for ensuring visibility via a network interface in a packet form. The present invention can ensure the visibility for https communications connected to the web server by the encoded packet while minimizing performance degradation of a network service caused by the security processing equipment.

Description

HTTPS 기반 통신의 가시성 확보를 위한 네트워크 보안 감시 시스템 및 방법{security monitoring system and method of network for visibility of HTTPS-based connection}BACKGROUND OF THE INVENTION 1. Field of the Invention The present invention relates to a security monitoring system and method for securing the visibility of HTTPS-

본 발명은 HTTPS 기반 통신의 가시성이 확보를 위한 네트워크 보안 감시시스템 및 방법에 관한 기술이다.The present invention relates to a network security monitoring system and method for securing the visibility of HTTPS-based communication.

SSL(Secure Sockets Layer)은 통신 과정에서 전송계층 종단간 보안과 데이터 무결성을 확보하기 위한 암호화 기술로, 웹 브라우징, 전자 메일, 인스턴트 메신저, VoIP 등 응용 부분에 적용하고 있다. SSL (Secure Sockets Layer) is an encryption technology to secure end-to-end security and data integrity in the communication process. It is applied to applications such as web browsing, e-mail, instant messenger, and VoIP.

최근 HTTP 프로토콜을 암호화해 보안성을 높인 SSL(Secure Sockets Layer) 프로토콜을 적용하는 사이트가 늘어나면서 네트워크 가시성 솔루션이 주목받고 있다. 암호화된 트래픽을 복호화하는 과정에서 발생하는 성능 저하를 최소화하고, SSL 트래픽에 숨겨진 보안 위협을 사전에 차단하고자 하는 과제를 해결하기 위해서이다.Recently, a network visibility solution has been attracting attention as an increasing number of sites employing the SSL (Secure Sockets Layer) protocol, which increases the security by encrypting the HTTP protocol. This is to solve the problem of minimizing the performance degradation in decrypting encrypted traffic and preventing the hidden security threats in SSL traffic in advance.

현재 주요 브라우저와 SNS, 웹메일 등에서 SSL을 이용하는 HTTPS 통신을 사용하고 있으며, 기업 트래픽의 대부분이 암호화로 데이터를 전송한다.Currently, major browsers, SNS, and web mail use HTTPS communication using SSL. Most of corporate traffic transmits data by encryption.

HTTPS 기반 통신은 웹사이트를 통과하는 모든 데이터에 대한 안전성을 확보하기 위한 것으로 기존에는 전자상거래, 인터넷 뱅킹 등에 주로 사용됐으나, 최근에는 주요 검색사이트 및 G메일, 페이스북 등의 사이트에도 적용하고 있다. HTTPS-based communication is used to secure all data passing through a web site. It has been mainly used in e-commerce, Internet banking, etc. Recently, it has been applied to major search sites, G-mail and Facebook.

전 세계에서 가장 방문자 수가 많은 포탈 사이트들 모두 HTTPS 또는 트래픽 암호화를 사용해 별도의 복호화 작업 없이는 트래픽 탐지가 불가능한 보안 기기로 렌더링하고 있는 것으로 알려져있다.Portals with the largest number of visitors in the world are all known to be rendering using HTTPS or traffic encryption to security devices that can not detect traffic without a separate decryption effort.

그리고 웹 환경이 HTTP/1.0, HTTP/1.1에서 새로운 버전인 HTTP/2.0이 등장되고 있는데, HTTP/2.0에서는 모든 통신이 TLS 위에서만 동작되는, 암호화 통신 https 만 지원을 하게 됨에 따라 더더욱 암호화 통신에 대한 가시성 확보가 중요하다.HTTP / 2.0, which is a new version of HTTP / 1.0 and HTTP / 1.1, is introduced in the web environment. In HTTP / 2.0, all communication is supported only on TLS. Securing visibility is important.

그러나 트래픽 암호화는 사이버 범죄에 악용되기 쉬운 맹점도 있다. 암호화된 트래픽에 악성코드를 숨겨 침입할 수 있기 때문이다. SSL 트래픽에 숨겨진 악성코드는 전통적인 방화벽이나 침입 보호 시스템(IPS)에서 걸러지지 않기 때문에 자칫 기업 보안에 큰 위협이 될 수 있다.However, traffic encryption is also vulnerable to cybercriminals. Because it can hide malicious code in encrypted traffic. Malicious code hidden in SSL traffic is not filtered by traditional firewalls or intrusion protection systems (IPS), which can pose a significant threat to enterprise security.

암호화된 트래픽을 들여다보기 위해서는 기업 보안 경계에서 SSL 복호화를 수행해야 하는데, 이는 큰 성능 저하를 불러온다.In order to look at encrypted traffic, SSL decryption should be performed at the enterprise security boundary, which leads to a significant performance degradation.

네트워크 상에서 HTTPS의 사용량이 매년 20% 이상 증가되는 추세 (전체 Web 사용량 중 HTTPS 사용률 10 ~ 30% 수준)이다.The usage of HTTPS on the network is increasing by more than 20% every year (10 ~ 30% of the total web usage is HTTPS usage).

가트너에서는 2015년말 전세계 인터넷 트래픽의 50% 이상이 암호화 통신이 될 것으로 예상한 바 있다.Gartner expects more than 50 percent of the worldwide Internet traffic will be encrypted by the end of 2015.

이에 따른 사내 보안제품(F/W, IPS, IDS, DLP, SANDBOX, 포렌직, WAF)들의 HTTPS 복호화를 제공하는 솔루션과의 연동 없이는 HTTPS에 대한 가시성 미 확보되어 이에 따른 보안문제가 제기될 수 있다.Therefore, there is no guarantee of visibility to HTTPS without interoperability with solutions that provide HTTPS decryption of internal security products (F / W, IPS, IDS, DLP, SANDBOX, Forensics, WAF).

또한, 네트워크 구성상 in line모드(Transparent) 환경에서의 복호화를 위한 보안처리장비를 형성할 경우 네트워크 서비스의 안정성이 저하되거나, Cipher suit 변경에 대한 신속 지원에 한계를 나타낼 수 있다.In addition, when the security processing equipment for decoding in the inline mode (Transparent) environment is formed in the network configuration, the stability of the network service may be degraded and the limit of quick support for changing the cipher suite may be limited.

그리고 Out-Of-Path(Explicit) 모드 환경에서 보안처리장비를 형성할 경우는, 키 교환 방식이 EC(타원곡선 Elliptic Curve) 방식인 ECDH (Elliptic Curve Diffie-Hellman) , ECDHE(Elliptic Curve Diffie-Hellman Ephemeral) 대칭키교환 방식에 대해서는 복호화가 불가하여 암호화 트래픽에 대한 복호화 기능을 제공할 수 없다. 게다가 해당 경우는 웹서버(WAS)의 Private Key 공유에 대한 해킹 위험성이 존재할 수 있다.In order to form a security processing device in an out-of-path mode, an Elliptic Curve Diffie-Hellman (ECDH), an Elliptic Curve Diffie-Hellman (ECDHE) Ephemeral) symmetric key exchange scheme can not be decrypted and can not provide a decryption function for encrypted traffic. In addition, there may be a risk of hacking the private key sharing of the web server (WAS).

애플리케이션 중심 사회가 가속화되면서 웹 환경도 애플리케이션으로 빠르게 전환되고 있다. 웹이 모든 업무에서 활용되고 있는 만큼, 웹 애플리케이션은 비즈니스를 진행하는 중요한 수단으로 자리잡고 있다.As the application-oriented society accelerates, the web environment is rapidly shifting to applications. As the Web is being used in every business, web applications are becoming an important means of conducting business.

웹 애플리케이션 공격은 알려지거나, 알려지지 않은 웹 애플리케이션 취약점을 악용한 공격과 함께 웹 스크랩핑, 피싱, 파밍 등 사기공격, L7 디도스, 부르트포스 공격 등으로 중요 데이터 유출과 비즈니스 경쟁력 감소, 신뢰도 악화, 금전적인 피해를 입게 된다.Web application attacks are the result of fraudulent attacks such as Web scraping, phishing, pharming, L7 DODOs, and Burt's Force attacks, along with attacks exploiting unknown or unknown Web application vulnerabilities, It will cause financial damage.

따라서, 웹 방화벽은 HTTP/HTTPS 지원, 행위기반 애플리케이션 디도스 방어, 세션 기반 브루트포스 공격 방어, 브라우저 보호 등이 필수적으로 요구된다.Therefore, web firewalls are required to support HTTP / HTTPS, behavior-based application defense, session-based brute force attack protection, and browser protection.

이중에서도 특히 HTTP/HTTPS 지원 부문에서는 웹 성능에 부하를 주지 않으면서, SSL/TLS 가시성을 확보되어야 한다.In particular, SSL / TLS visibility should be ensured, especially in the case of HTTP / HTTPS support, without sacrificing Web performance.

따라서, 복잡한 네트워크 인프라 내에서 보안성을 높이는 것은 물론, 성능 모니터링을 통해 애플리케이션 효율성을 극대화할 수 있는 네트워크 가시성 확보 방안이 요구된다.Therefore, in addition to increasing security within complex network infrastructures, there is a need for network visibility that can maximize application efficiency through performance monitoring.

본 발명 기술에 대한 배경기술은 대한민국 공개특허공보 2005-0032765호에 게시된다.Background art on the technique of the present invention is disclosed in Korean Patent Publication No. 2005-0032765.

대한민국 공개특허공보 KR 2005-0032765A호(인-라인 모드 네트워크 침입 탐지/차단 시스템 및 그 방법)Korean Patent Laid-Open Publication No. 2005-0032765A (in-line mode network intrusion detection / blocking system and method thereof)

본 발명은 보안처리장비로 인한 네트워크 서비스에 대한 성능저하를 최소화하면서 웹서버에 암호화 패킷으로 접속되는 https 통신에 대한 가시성을 확보할 수 있는 네트워크 보안 감시방법을 제공하는 것이다.The present invention provides a network security monitoring method capable of securing visibility of https communication connected with a cryptographic packet to a web server while minimizing performance degradation due to security processing equipment.

또한, 본 발명의 또 다른 목적은 보안처리장비로 인한 네트워크 서비스에 대한 성능저하를 최소화하면서 웹서버에 암호화 패킷으로 접속되는 https 통신과 일반적인 HTTP 통신에 대한 가시성을 확보할 수 있는 네트워크 보안 감시방법을 제공하는 것이다.It is still another object of the present invention to provide a network security monitoring method capable of securing visibility of https communication and general HTTP communication connected to a web server in an encrypted packet while minimizing performance degradation due to security processing equipment .

본 발명의 목적은 이상에서 언급한 목적들로 제한되지 않으며, 언급되지 않은 또 다른 목적들은 아래의 기재로부터 명확하게 이해될 수 있을 것이다The object of the present invention is not limited to the above-mentioned objects, and other objects not mentioned can be clearly understood from the following description

본 발명의 일측면에 따르면, 웹서버에 접속 이벤트가 발생되는 단계; 웹서버에서 상기 접속 이벤트에 프로세스를 실행하기 위하여 상기 접속 이벤트에 대한 암호화 패킷을 복호화 하는 단계; 로그파일 에이전트가 상기 복호화된 접속이벤트에 대하여 로그 파일을 생성하여 패킷 재생성장치로 전송하는 단계; 상기 패킷 재생성장치의 웹로그 수집부에서 상기 로그파일 에이전트에서 전송된 로그파일을 수신하여 저장하는 단계; 상기 패킷 재생성장치의 웹로그 필터부에서 상기 웹로그 수집부에 수신된 로그 파일의 포멧를 검색하여 설정된 웹로그 문자열이 포함되어 있는지를 판단하여 가시성 변환대상을 선택하는 단계; 상기 패킷 재생성장치의 파일변환부에서 상기 가시성 변환대상으로 선택된 로그 파일을 tcp.stream 통신으로 컨버팅한 PCAP 파일 형식으로 변환하는 단계; 및 상기 패킷 재생성장치의 전송부에서 상기 변환된 PCAP 파일을 network Interface를 통하여 가시성 확보를 위한 보안처리장비에 packet 형태로 전송하는 단계; 를 포함하는 것을 특징으로 하는 네트워크 보안 감시 방법이 제공된다.According to an aspect of the present invention, Decrypting the encryption packet for the connection event to execute the process at the connection event at the web server; The log file agent generates a log file for the decrypted connection event and transmits the log file to the packet regenerating apparatus; Receiving and storing the log file transmitted from the log file agent in the web log collecting unit of the packet regenerating apparatus; Retrieving a format of the log file received by the web log collecting unit from the web log filter unit of the packet regenerating apparatus to determine whether the set web log string is included and selecting a visibility conversion target; Converting a log file selected as the visibility conversion target into a PCAP file format converted by tcp.stream communication in a file conversion unit of the packet regenerating apparatus; And transmitting the converted PCAP file in a form of packet to a security processing device for securing visibility through a network interface in a transmitting part of the packet regenerating device; A network security monitoring method is provided.

상기 로그파일 에이전트가 상기 패킷 재생성장치로 상기 로그파일을 전송하는 단계 이전에 상기 복호화된 접속이벤트에 대한 로그파일을 생성하여 저장하는 단계를 더 포함하는 것을 특징으로 한다.And generating and storing a log file for the decrypted connection event before the log file agent transmits the log file to the packet regenerating apparatus.

또한, 상기 네트워크 보안 감시 방법은, 상기 보안처리장비에서 패킷 재생성 장치의 전송부로부터 전송된 packet 형태의 PCAP 파일을 수신하는 단계; 상기 보안처리장비에서 상기 수신된 PCAP 파일을 사용자 화면으로 display하고 웹로그를 분석하여 블랙리스트 패턴인지를 판단하는 단계; - 여기서 블랙리스트 패턴은 알려진 침입패턴, 악성패턴으로 학습된 패턴 및 시그니쳐 베이스의 정해진 공격 모델 중 어느 하나를 의미함- 상기 보안처리장비에서 상기 블랙리스트 패턴으로 판단된 경우에는 경고 메시지를 출력하는 단계; 를 더 포함하는 것을 특징으로 한다.The network security monitoring method may further include receiving a packet type PCAP file transmitted from the transmitting unit of the packet regenerating unit in the security processing equipment; Displaying the received PCAP file on the user screen and analyzing the web log to determine whether the received PCAP file is a black list pattern; The blacklist pattern may be any one of a known attack pattern, a pattern learned by a malicious pattern, and a predetermined attack model of a signature base. If the security processing device determines that the blacklist pattern is a warning message, ; And further comprising:

또한, 상기 네트워크 보안 감시 방법은, 상기 보안처리장비에서 패킷 재생성 장치의 전송부로부터 전송된 packet 형태의 PCAP 파일을 수신하는 단계; 상기 보안처리장비에서 상기 수신된 PCAP 파일을 사용자 화면으로 display하고 웹로그를 분석하여 이상 징후 패턴인지를 판단하는 단계; -여기서 비정상적인 패턴은 비정상적으로 데이터량이 증가된 패턴, CPU를 사용하는 패턴 및 정해진 모델을 벗어나는 패턴 중 어느 하나인 것을 의미함- 상기 이상징후 패턴인 경우는 상기 웹로그에 대한 웹페이지를 display하는 단계; 상기 웹로그에 대하여 악성패턴으로 분류하여 입력되는 단계; 및 상기 웹로그 패턴 및 해당 IP를 블랙리스트 데이터에 등록하는 단계; 를 더 포함하는 것을 특징으로 한다.The network security monitoring method may further include receiving a packet type PCAP file transmitted from the transmitting unit of the packet regenerating unit in the security processing equipment; Displaying the received PCAP file on a user screen in the security processing device and analyzing the web log to determine whether it is an abnormal symptom pattern; Herein, the abnormal pattern means that the data amount is abnormally increased, the pattern using the CPU, or the pattern is out of the predetermined model. In the case of the abnormal symptom pattern, the step of displaying the web page for the web log ; Classifying the web log into a malicious pattern; Registering the weblog pattern and the corresponding IP in the blacklist data; And further comprising:

본 발명의 또 다른 측면에 따르면, 웹서버; 상기 웹서버에 접속된 이벤트에 대하여 가시성 확보를 위한 모니터링 제어를 수행하는 보안처리장비; 상기 웹서버에 설치되며, 상기 웹서버에 접속 이벤트가 발생시, 상기 웹서버에서 상기 접속 이벤트에 프로세스를 실행하기 위하여 상기 접속 이벤트에 대한 암호화 패킷을 복호화하면, 상기 복호화된 접속이벤트에 대하여 로그 파일을 생성하여 저장하는 로그파일 에이전트; 상기 로그파일 에이전트에서 전송된 로그파일을 수신하여 저장하는 패킷 재생성장치의 웹로그 수집부; 상기 웹로그 수집부에 수신된 로그 파일의 포멧을 검색하여 설정된 웹로그 문자열이 포함되어 있는지를 판단하여 가시성 변환대상을 선택하는 기능을 수행하는 패킷 재생성장치의 웹로그 필터부; 상기 가시성 변환대상으로 선택된 로그 파일을 tcp.stream 통신으로 컨버팅한 PCAP 파일 형식으로 변환하는 기능을 수행하는 패킷 재생성장치의 파일변환부; 및According to another aspect of the present invention, there is provided a Web server, A security processing device that performs monitoring control to secure visibility of an event connected to the web server; The web server is installed in the web server. When a connection event is generated in the web server, the web server decrypts the encryption packet for the connection event to execute a process on the connection event, A log file agent to create and store; A web log collecting unit of the packet regenerating apparatus for receiving and storing the log file transmitted from the log file agent; A web log filter unit of a packet regenerating apparatus for performing a function of selecting a visibility conversion target by searching a format of a log file received by the web log collecting unit to determine whether a set web log string is included; Converting a log file selected as the visibility conversion target into a PCAP file format converted by tcp.stream communication; And

상기 변환된 PCAP 파일을 network Interface를 통하여 상기 보안처리장비에 packet 형태로 전송하는 기능을 수행하는 패킷 재생성장치의 전송부; 를 포함하는 것을 특징으로 하는 네트워크 보안 감시 시스템이 제공된다.A transmitting unit of a packet regenerating apparatus for transmitting the converted PCAP file to the security processing apparatus through a network interface in a packet form; The network security monitoring system comprising:

본 발명의 일 실시 예에 따른 네트워크 보안 감시시스템 및 방법에 의하면, -네트워크 서비스에 대한 트래픽 증가나 성능 저하를 최소화하면서, 접속된 HTTPS(SSL)을 확인 가능한 packet 형태로 보안처리장비에 전송하여 접속이벤트가 발생된 HTTPS에 대한 가시성 확보를 효율적으로 수행할 수 있다.According to the network security monitoring system and method according to an embodiment of the present invention, the network security monitoring system and method according to the embodiment of the present invention can minimize the increase in traffic or deterioration in performance of the network service and transmit the connected HTTPS (SSL) It is possible to efficiently obtain the visibility of the HTTPS in which the event occurs.

도 1은 본 발명의 일 실시 예에 따른 네트워크 보안 감시시스템이 적용된 네트워크 구성의 일 예를 도시한 것이다.
도 2 는 본 발명의 일 실시 예에 따른 네트워크 보안 감시방법에 대한 순서도를 도시한 것이다.
도 3은 본 발명의 일 실시 예에 따라 패킷 재생성장치에서 변환된 PCAP 파일의 예를 도시한 것이다.
도 4는 본 발명의 일 실시 예에 따른 보안처리장비에서 모니터링 제어 방법에 대한 순서도를 도시한 것이다.FIG. 1 illustrates an example of a network configuration to which a network security monitoring system according to an embodiment of the present invention is applied.
FIG. 2 is a flowchart illustrating a network security monitoring method according to an exemplary embodiment of the present invention. Referring to FIG.
3 illustrates an example of a PCAP file converted in a packet regenerating apparatus according to an embodiment of the present invention.
4 is a flowchart illustrating a monitoring and controlling method in a security processing apparatus according to an exemplary embodiment of the present invention.

본 출원에서 사용한 용어는 단지 특정한 실시 예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다.The terminology used in this application is used only to describe a specific embodiment and is not intended to limit the invention. The singular expressions include plural expressions unless the context clearly dictates otherwise.

본 출원에서, 어떤 부분이 어떤 구성요소를 "포함"한다고 할 때, 이는 특별히 반대되는 기재가 없는 한 다른 구성요소를 제외하는 것이 아니라 다른 구성요소를 더 포함할 수 있는 것을 의미한다. 또한, 명세서 전체에서, "상에"라 함은 대상 부분의 위 또는 아래에 위치함을 의미하는 것이며, 반드시 중력 방향을 기준으로 상 측에 위치하는 것을 의미하는 것이 아니다.In the present application, when a component is referred to as "comprising ", it means that it can include other components as well, without excluding other components unless specifically stated otherwise. Also, throughout the specification, the term "on" means to be located above or below the object portion, and does not necessarily mean that the object is located on the upper side with respect to the gravitational direction.

이하 본 발명의 구현에 따른 네트워크 보안 감시시스템 및 방법에 대하여 상세하게 설명한다.Hereinafter, a network security monitoring system and method according to an embodiment of the present invention will be described in detail.

웹서버에는 불법 침입에 대해 탐지, 차단 및 웹서버의 운영상태에 대한 가시성 확보를 위하여 IDS등과 같은 보안처리장비가 설치된다.Web servers are equipped with security processing equipment such as IDS to detect and block illegal intrusions and gain visibility into the operation status of the web server.

일반적으로 보안처리장비는 SSL 통신 등과 같이 암호화로 전송된 TCP통신 패킷을 자체적으로 탐지할 수 없고, 이들을 복호화 장비 등을 통하여 복호화한 후에야 탐지가 가능하다.Generally, a security processing device can not detect a TCP communication packet transmitted by encryption, such as SSL communication, and it can be detected only after decrypting the TCP communication packet through a decryption device.

이러한 복호화 장비 등은 트래픽 및 웹 성능 부하에 영향을 미치게 된다.Such decryption devices affect traffic and web performance load.

본 발명의 일 실시 예에 따른 네트워크 보안 감시시스템 및 방법은 위와 같은 보안처리장비의 복호화로 인한 네트워크 서비스 성능 저하를 방지하고, HTTPS(SSL) 형식의 데이터를 보안처리장비에서 탐지할 수 있는 packet 형태로 변환한 후, 이를 전송함으로써, HTTP/HTTPS에 대한 가시성을 확보할 수 있는 네트워크 보안 감시시스템 및 방법을 제공할 수 있다.The network security monitoring system and method according to an embodiment of the present invention can prevent deterioration of network service performance due to decryption of the security processing equipment and can detect packet data in HTTPS (SSL) format, And transmitting the same, it is possible to provide a network security monitoring system and method capable of ensuring visibility to HTTP / HTTPS.

도 1은 본 발명의 일 실시 예에 따른 네트워크 보안 감시시스템이 적용된 네트워크 구성의 일 예를 도시한 것이다.FIG. 1 illustrates an example of a network configuration to which a network security monitoring system according to an embodiment of the present invention is applied.

도 1을 참조하면, 본 발명의 일 실시 예에 따른 네트워크 보안 감시시스템은 무선 또는 유선 네트워크(150)와 상호 접속된 웹서버(10)에 패킷 재생성장치(120)가 접속된다.Referring to FIG. 1, a network security monitoring system according to an embodiment of the present invention includes a packet regeneration apparatus 120 connected to a web server 10 interconnected with a wireless or wired network 150.

또한, 웹서버(10)에는 가시성 확보를 위한 모니터링 또는 정책에 따른 세션 차단 등의 기능을 수행하는 보안처리장비(130)가 접속된다.In addition, the web server 10 is connected to a security processing device 130 that performs functions such as monitoring for securing visibility or session blocking based on a policy.

본 발명의 일 실시 예에 따르면, 웹서버(110)에는 로그파일 에이전트(125)가 설치된다.According to an embodiment of the present invention, a log file agent 125 is installed in the web server 110.

도 1을 참조하면, 클라이언트가 네트워크(150)를 통하여 웹서버(110)에 SSL 등의 암호화 통신으로 접속하면, 웹서버(110)에서는 이를 복호화한 후, 클라이언트의 이벤트 요구에 따른 프로세스를 수행하게 된다.Referring to FIG. 1, when a client accesses the web server 110 through an encrypted communication such as SSL through the network 150, the web server 110 decrypts the encrypted data and performs a process according to an event request of the client do.

로그파일 에이전트(125)는 웹서버(110)에 접속되는 복호화된 이벤트에 대하여 웹 로그(HTTP/HTTPS) 형식의 로그 파일을 생성하여 저장하고, 상기 로그 파일을 패킷 재생성장치(120)로 전달하는 기능을 수행한다.The log file agent 125 generates and stores a log file in the form of a web log (HTTP / HTTPS) for the decrypted event connected to the web server 110, and transfers the log file to the packet regenerating apparatus 120 Function.

또는 로그파일 에이전트(125)는 웹서버(110)에 접속되는 복호화된 이벤트에 대하여 웹 로그(HTTP/HTTPS) 형식의 로그 파일을 바로 패킷 재생성장치(120)로 전달하는 기능이 수행될 수도 있다. 본 발명의 일 실시 예에 따르면, 로그파일을 웹서버에 저장하거나, 또는 웹서버에 파일 저장을 하지 않고 Direct로 패킷 재생성 장치로 전송하는 방식을 채택할 수도 있다. 이런 경우 웹서버의 파일 생성에 대한 resource 를 사용하지 않음으로 웹서버의 성능 저하를 최소화할 수 있다.Alternatively, the log file agent 125 may perform a function of directly transmitting a log file in the form of a web log (HTTP / HTTPS) to the packet regenerating apparatus 120 with respect to a decrypted event connected to the web server 110. According to an embodiment of the present invention, the log file may be stored in a web server or may be directly transmitted to the packet regenerating apparatus without storing the file in the web server. In this case, the performance degradation of the Web server can be minimized by not using resources for file creation of the Web server.

본 발명에서 로그파일(logfile)은 운영 체제나 다른 소프트웨어가 실행 중에 발생하는 이벤트나 각기 다른 사용자의 통신 소프트웨어 간의 메시지를 기록한 파일로서, 웹 로그(HTTP/HTTPS)가 저장된 파일을 의미한다.In the present invention, a log file is a file in which a weblog (HTTP / HTTPS) file is stored, which records an event occurring during the execution of an operating system or other software or a message between communication software of different users.

본 발명의 일 실시 예에 따른 패킷 재생성장치(120)는 웹서버(20) 내에 하나의 섹션으로 설치되거나, 또는 별도의 장비로 설치될 수 있다.The packet regeneration apparatus 120 according to an embodiment of the present invention may be installed as one section in the web server 20 or may be installed as a separate apparatus.

도 1을 참조하면, 패킷 재생성장치(120)는 웹로그 수집부(121), 웹로그 필터부(122), 파일변환부(123) 및 전송부(124)를 포함하며, 로그파일 에이전트(125)로부터 웹서버(20)에 접속되어 복호화된 웹 로그(HTTP/HTTPS) 형식의 log 파일을 전송받아서 보안처리장비가 인식할 수 있는 파일로 변환하여 보안처리장비(130)로 전송하는 기능을 수행한다.1, the packet regenerating apparatus 120 includes a web log collecting unit 121, a web log filter unit 122, a file converting unit 123, and a transmitting unit 124, and the log file agent 125 (HTTP / HTTPS) format, which is connected to the web server 20 and decrypted, is converted into a file recognizable by the security processing device and transmitted to the security processing device 130 do.

본 발명의 일 실시 예에 따른 보안처리장비(130)는 IDS 또는 IPS가 적용될 수 있다.The IDS or IPS may be applied to the security processing device 130 according to an embodiment of the present invention.

본 발명의 일 실시 예에 따른 보안처리장비(130)는 네트워크(150)와 웹서버(110) 사이에서 in line으로 설치되어 침입망을 감시와 차단하는 기능(IPS), 을 수행하거나, Out-Of-Path로 설치되어 침입망을 탐지하거나(IDS), 또는 웹서버(110)에 접속되어 monitering 기능으로 수행될 수 있다.The security processing device 130 according to an exemplary embodiment of the present invention performs in-line between the network 150 and the web server 110 to perform an IPS function for monitoring and blocking an intrusion network, Of-Path to detect an intrusion network (IDS), or to connect to a web server 110 and perform a monitering function.

본 발명의 일 실시 예에 따른 패킷 재생성장치(120)의 웹로그 수집부(121)에서는 로그파일 에이전트(125)에서 전송된 로그파일을 수신하여 메모리 상에서 처리 및 저장하는 기능이 수행된다.The web log collecting unit 121 of the packet regenerating apparatus 120 according to the embodiment of the present invention receives the log file transmitted from the log file agent 125 and processes and stores the received log file in the memory.

본 발명의 일 실시 예에 따른 패킷 재생성장치(120)의 웹로그 필터부(122)에서는 웹로그 수집부(121)에 수신된 로그 파일의 포멧(format)을 검색하여 설정된 웹로그 문자열이 포함되어 있는지를 판단하여, 설정된 웹로그 문자열이 포함된 로그 파일을 가시성 변환대상으로 선택하는 기능이 수행된다.The web log filter unit 122 of the packet regenerating apparatus 120 according to the embodiment of the present invention searches the format of the log file received by the web log collecting unit 121 and includes the set web log string And a function of selecting a log file including the set web log string as a visibility conversion target is performed.

본 발명의 일 실시 예에 따른 패킷 재생성장치(120)의 파일변환부(123)에서는 가시성 변환대상으로 선택된 로그 파일을 보안처리장비(130)에서 인식할 수 있도록 tcp.stream 통신으로 컨버팅한 PCAP(packet capture) 파일 형식으로 변환하는 기능이 수행된다.The file conversion unit 123 of the packet regeneration apparatus 120 according to an embodiment of the present invention converts the log file selected as the visibility conversion target into the PCAP packet capture) file format.

본 발명의 일 실시 예에 따른 패킷 재생성장치(120)의 전송부(124)에서는 변환된 PCAP 파일을 network Interface를 통하여 packet 형태로 전송하는 기능이 수행된다.The transmitting unit 124 of the packet regenerating apparatus 120 according to an exemplary embodiment of the present invention performs a function of transmitting the converted PCAP file through a network interface in a packet form.

도 2 는 본 발명의 일 실시 예에 따른 네트워크 보안 감시방법에 대한 순서도를 도시한 것이다.FIG. 2 is a flowchart illustrating a network security monitoring method according to an exemplary embodiment of the present invention. Referring to FIG.

210단계에서 웹서버(110)에 접속이벤트가 발생되면, 220단계에서 웹서버(110)는 접속 이벤트에 대한 프로세스를 실행하기 위하여 복호화하여 접속이벤트에 대한 암호화 통신을 복호화 하는 단계가 수행된다.If a connection event is generated in the web server 110 in step 210, the web server 110 decrypts the encrypted communication for the connection event by decrypting the connection event in step 220 in order to execute the process for the connection event.

230단계에서 로그파일 에이전트(125)는 상기 복호화된 접속이벤트에 대하여 HTTP/HTTPS 로그 파일을 생성하여 저장한다.In operation 230, the log file agent 125 generates and stores an HTTP / HTTPS log file for the decrypted connection event.

또는 본 발명의 또 다른 실시 예에서는 상기 복호화된 접속이벤트에 대하여 HTTP/HTTPS 로그 파일을 생성하여 저장하는 것은 웹서버(110) 자체에 탑재된 기능을 이용하여 수행될 수 있다. Alternatively, in another embodiment of the present invention, generating and storing an HTTP / HTTPS log file for the decrypted connection event may be performed using a function installed in the web server 110 itself.

2401단계에서 로그파일 에이전트(125)는 상기 로그 파일을 패킷 재생성장치(120)로 전송한다.In step 2401, the log file agent 125 transmits the log file to the packet regenerating apparatus 120. [

250단계에서 패킷 재생성장치(120)에서 상기 로그파일 에이전트(125)에서 전송된 로그파일을 수신하여 웹로그 수집부(121)에 저장한다.In step 250, the packet regenerating unit 120 receives the log file transmitted from the log file agent 125 and stores the received log file in the web log collecting unit 121.

260단계에서 웹로그 필터부(122)에서 상기 웹로그 수집부(121)에 수신된 로그 파일의 포멧(format)을 검색하여 설정된 웹로그 문자열이 포함되어 있는지를 판단하여 가시성 변환대상인지를 판단하는 단계가 수행된다.In step 260, the web log filter unit 122 searches the format of the log file received by the web log collecting unit 121 to determine whether the set web log string is included, Step is performed.

본 발명의 일 실시 예에 따른 설정된 웹로그 문자열은 PUT, GET, POST 중 어느 하나 이상이 포함될 수 있다.The set weblog string according to an embodiment of the present invention may include at least one of PUT, GET, and POST.

260단계에서 웹로그 필터부(122)는 상기 웹로그 수집부(121)에 수신된 로그 파일의 포멧(format)을 검색하여 설정된 웹로그 문자열이 포함되어 있지 않으면, 프로세스를 종료한다.In step 260, the web log filter unit 122 searches the format of the log file received by the web log collecting unit 121, and ends the process if the set weblog string is not included.

260단계에서 웹로그 필터부(122)는 상기 웹로그 수집부(121)에 수신된 로그 파일의 포멧(format)을 검색하여 설정된 웹로그 문자열이 포함되어 있다고 판단되면, 웹로그 필터부(122)에서 설정된 웹로그 문자열이 포함된 로그 파일을 가시성 변환대상으로 선택하는 단계가 수행된다.In step 260, the web log filter unit 122 searches the format of the log file received by the web log collecting unit 121. If it is determined that the web log string is included, A log file including the web log string set in the step of selecting a visibility conversion target is executed.

다음은 270단계에서 파일변환부(123)에서 상기 가시성 변환대상으로 선택된 로그 파일을 보안처리장비(130)에서 인식할 수 있도록 tcp.stream 통신으로 컨버팅한 PCAP(packet capture) 파일 형식으로 변환하는 단계9270 단계)가 수행된다.Next, in step 270, the file conversion unit 123 converts the log file selected as the visibility conversion target into a PCAP (packet capture) file format converted by tcp.stream communication so that the security processing apparatus 130 can recognize the log file Step 9270 is performed.

도 3은 본 발명의 일 실시 예에 따라 패킷 재생성장치에서 변환된 PCAP 파일의 예를 도시한 것이다.3 illustrates an example of a PCAP file converted in a packet regenerating apparatus according to an embodiment of the present invention.

280단계에서는 전송부(124)에서 상기 변환된 PCAP 파일을 network Interface를 통하여 가시성 확보를 위한 보안처리장비(130)에 packet 형태로 전송하는 과정이 수행된다.In step 280, the transmission unit 124 transmits the converted PCAP file to the security processing equipment 130 for securing visibility through a network interface in a packet form.

보안처리장비(130)에서는 상기 변환된 PCAP 파일을 수신하여 가시성 확보를 위한 모니터링을 수행한다.The security processing device 130 receives the converted PCAP file and performs monitoring for ensuring visibility.

도 4는 본 발명의 일 실시 예에 따른 보안처리장비에서 모니터링 제어 방법에 대한 순서도를 도시한 것이다. 4 is a flowchart illustrating a monitoring and controlling method in a security processing apparatus according to an exemplary embodiment of the present invention.

도 4를 참조하면, 310단계에서 보안처리장비(130)에서 패킷 재생성 장치(120)로부터 전송된 packet 형태의 PCAP 파일을 수신하는 과정이 수행된다.Referring to FIG. 4, in step 310, a process of receiving a packet type PCAP file transmitted from the packet regenerating unit 120 in the security processing apparatus 130 is performed.

다음은 보안처리장비(130)에서 수신된 packet 형태의 PCAP 파일을 사용자 화면으로 display 하는 단계(320 단계)가 수행된다.Next, the PCAP file of the packet type received by the security processing device 130 is displayed on the user screen (step 320).

본 발명의 일 실시 예에 따른 보안처리장비(130)는 전송된 packet를 수신받아 이를 사용자 화면으로 출력하여 관리자에게 웹로그 패턴을 보여줄 수 있다.The security processing device 130 according to an exemplary embodiment of the present invention may receive a transmitted packet and output it to a user screen to display a web log pattern to the administrator.

330단계에서 보안처리장비(130)는 수신된 PCAP 파일의 웹로그를 분석하여 탐지대상인지를 판단한다.In step 330, the security processing device 130 analyzes the web log of the received PCAP file to determine whether it is a detection target.

탐지대상이 아닌 경우에는 331단계에서 종료된다.If it is not a detection target, the process ends in step 331.

330단계에서 탐지 대상은 침입 패턴을 포함하는 블랙리스트 패턴 또는 비정상 행위 패턴인 경우일 수 있다.In step 330, the object to be detected may be a blacklist pattern including an intrusion pattern or an abnormal behavior pattern.

상기 330단계에서 블랙리스트 패턴으로 판단된 경우에는 351단계에서 경고메시지를 출력하거나, 해당 세션을 차단하는 단계가 수행된다.If the black list pattern is determined in step 330, a warning message is output in step 351, or a corresponding session is blocked.

본 발명의 일 실시 예에 따르면 보안처리장비(130)는, 블랙리스트 데이터에 등재된 알려진 침입 패턴이나, 악성패턴으로 학습되어 축적된 패턴, 시그니쳐 베이스의 정해진 공격 모델(해커들이 해킹을 전제로 사용되는 공통되고 비슷한 패턴을 의미함)과 일치하면 침입으로 간주하고 351단계에서 경고음과 함께 경고 메시지를 출력할 수 있다.According to an embodiment of the present invention, the security processing device 130 may use a known attack pattern registered in the blacklist data, a pattern learned and accumulated in a malicious pattern, a predetermined attack model of a signature base , It is regarded as an intrusion. In step 351, a warning message may be output together with a warning sound.

또는 보안처리장비(130)는 경고 메시지와 함께 해당 세션에 대해 차단하는 수단을 더 포함할 수 있다.Or the security processing device 130 may further include means for blocking the session with a warning message.

본 발명의 일 실시 예에 따르면, 상기 330단계에서 보안처리장비(130)에서 비 정상 행위 패턴으로 판단된 경우에는 340단계에서 탐지 메시지를 출력한다.According to an embodiment of the present invention, if it is determined in step 330 that the abnormal processing pattern is abnormal in the security processing device 130, a detection message is output in step 340.

본 발명의 일 실시 예에서 비정상행위 패턴은 비정상적으로 데이터량이 증가된 패턴, CPU를 사영하는 패턴, 정해진 모델을 벗어나는 패턴 등이 해당될 수 있다.In an embodiment of the present invention, the abnormal behavior pattern may correspond to a pattern in which the amount of data is abnormally increased, a pattern in which the CPU is projected, a pattern that deviates from a predetermined model, and the like.

본 발명의 일 실시 예에 따른 비정상행위의 경우는 CPU를 사영하는 것에 대한 패턴 및 정해진 모델을 벗어나는 경우의 패턴일 수 있다.In the case of an abnormal behavior according to an embodiment of the present invention, the pattern may be a pattern for projecting a CPU and a pattern for leaving a predetermined model.

본 발명의 일 실시 예에 따르면, 출력된 웹로그는 관리자가 바로 웹브라우저로 웹페이지의 확인이 가능하도록 하이퍼텍스트(hypertext)형식의 링크(link)로 구성될 수 있다. According to an embodiment of the present invention, the output weblog can be configured as a link in hypertext format so that the administrator can directly check the web page with the web browser.

관리자가 확인하여 악성 패턴으로 판단된 경우에는 해당 패킷 패턴 및 IP에 대하여 악성 패턴으로 분류하여 보안처리장비(130)에 입력한다.If it is determined that the malicious pattern is detected by the administrator, the malicious pattern is classified into a malicious pattern for the packet pattern and the IP, and the malicious pattern is input to the security processing device 130.

본 발명의 일 실시 예에 따르면, 360단계에서 보안처리장비(130)에 이상 징후 IP가 접속한 페이지가 악성 패턴으로 입력된 경우는 370단계에서 해당 패킷을 블랙 리스트 데이터에 등록을 하며, 동시에 앞에서 서술한 351단계가 수행된다. According to an embodiment of the present invention, if a page to which the abnormal symptom IP is connected is input as the malicious pattern in step 360, the corresponding packet is registered in the black list data in step 370, The described step 351 is performed.

즉, 블랙리스트 등재 패턴인 경우 351단계에서 경고메시지를 출력하거나, 해당 세션을 차단하는 단계를 수행한다.That is, in the case of the blacklist entry pattern, a warning message is output in step 351, or the corresponding session is blocked.

본 발명의 일 실시 예에 따른 네트워크 보안 감시방법에 의하면, 웹서버에서 복호화된 웹로그를 수집하여 보안처리장비가 인식할 수 있는 패턴으로 컨버팅을 하여 전달하는 구성을 포함함으로써, 보안처리장비로 인한 네트워크 서비스에 대한 성능저하를 최소화하면서 웹서버에 암호화 패킷으로 접속되는 https 통신과 일반적인 HTTP 통신에 대한 가시성을 효율적으로 확보할 수 있다.According to the network security monitoring method according to an embodiment of the present invention, it is possible to collect the decrypted web logs from the web server and convert the web logs into a pattern recognizable by the security processing equipment, It is possible to efficiently secure visibility of https communication and general HTTP communication, which are connected to a web server in an encrypted packet, while minimizing performance degradation to the network service.

이상 설명드린 본 발명의 일 실시 예에 따른 네트워크 보안 감시방법에 의하면, -네트워크 서비스에 트래픽이나 성능 저하에 대한 영향 없이 접속된 HTTPS(SSL)을 확인 가능한 packet 형태로 보안처리장비(130)에 전송하여 접속이벤트가 발생된 HTTPS에 대한 가시성 확보를 효율적으로 할 수 있다.According to the network security monitoring method according to an embodiment of the present invention described above, the network security monitoring method transmits the HTTPS (SSL) connected to the network service without affecting traffic or performance degradation to the security processing equipment 130 Thereby securing the visibility of the HTTPS in which the connection event is generated.

110: 웹서버
120: 패킷 재생성장치
121: 웹로그 수집부
122: 웹로그 필터부
123: 파일변환부
124: 전송부
125: 로그파일 에이전트
130: 보안처리장비
150: 네트워크110: Web server
120: packet regenerating device
121: Web log collection unit
122: Web log filter unit
123: File Conversion Unit
124:
125: Log File Agent
130: Security processing equipment
150: Network

Claims (7)

웹서버에 접속 이벤트가 발생되는 단계;
상기 웹서버에서 상기 접속 이벤트에 프로세스를 실행하기 위하여 상기 접속 이벤트에 대한 암호화 패킷을 복호화 하는 단계;
로그파일 에이전트가 상기 복호화된 접속이벤트에 대한 로그 파일을 패킷 재생성장치로 전송하는 단계;
상기 패킷 재생성장치의 웹로그 수집부에서 상기 로그파일 에이전트에서 전송된 로그파일을 수신하여 저장하는 단계;
상기 패킷 재생성장치의 웹로그 필터부에서 상기 웹로그 수집부에 수신된 로그 파일의 포멧을 검색하여 설정된 웹로그 문자열이 포함되어 있는지를 판단하여 가시성 변환대상을 선택하는 단계;
상기 패킷 재생성장치의 파일변환부에서 상기 가시성 변환대상으로 선택된 로그 파일을 tcp.stream 통신으로 컨버팅한 PCAP 파일 형식으로 변환하는 단계; 및
상기 패킷 재생성장치의 전송부에서 상기 변환된 PCAP 파일을 network Interface를 통하여 가시성 확보를 위한 보안처리장비에 packet 형태로 전송하는 단계를 포함하는 것을 특징으로 하는 네트워크 보안 감시 방법
Generating a connection event to the web server;
Decrypting the encryption packet for the connection event in order to execute the process at the connection event at the web server;
The log file agent sending a log file for the decrypted connection event to the packet regenerating device;
Receiving and storing the log file transmitted from the log file agent in the web log collecting unit of the packet regenerating apparatus;
Retrieving a format of a log file received by the web log collecting unit from the web log filter unit of the packet regenerating apparatus, and determining whether the set web log string is included and selecting a visibility conversion target;
Converting a log file selected as the visibility conversion target into a PCAP file format converted by tcp.stream communication in a file conversion unit of the packet regenerating apparatus; And
And transmitting the converted PCAP file to a security processing device for securing visibility through a network interface in a form of a packet in a transmitting part of the packet regenerating device
제1항에 있어서,
상기 로그파일 에이전트가 상기 패킷 재생성장치로 상기 로그파일을 전송하는 단계 전에 상기 로그파일 에이전트가 상기 복호화된 접속이벤트에 대한 로그파일을 생성하여 저장하는 단계를 더 포함하는 것을 특징으로 하는 네트워크 보안 감시 방법
The method according to claim 1,
Further comprising generating and storing a log file for the decrypted connection event before the log file agent transmits the log file to the packet regenerating apparatus
제1항에 있어서,
상기 보안처리장비에서 상기 패킷 재생성 장치의 전송부에서 전송된 packet 형태의 PCAP 파일을 수신하는 단계;
상기 보안처리장비에서 상기 수신된 PCAP 파일을 사용자 화면으로 display하고 웹로그를 분석하여 블랙리스트 패턴인지를 판단하는 단계;
- 여기서 블랙리스트 패턴은 알려진 침입패턴, 악성패턴으로 학습된 패턴 및 시그니쳐 베이스의 정해진 공격 모델 중 어느 하나를 의미함-
상기 보안처리장비에서 상기 블랙리스트 패턴으로 판단된 경우에는 경고 메시지를 출력하는 단계; 를 더 포함하는 것을 특징으로 하는 네트워크 보안 감시 방법
The method according to claim 1,
Receiving a packet type PCAP file transmitted from the transmitting unit of the packet regenerating unit in the security processing equipment;
Displaying the received PCAP file on the user screen and analyzing the web log to determine whether the received PCAP file is a black list pattern;
- where the blacklist pattern refers to any of the known attack patterns, patterns learned with malicious patterns, and signature-based attack models -
Outputting a warning message if the security processing device determines the black list pattern; Further comprising a network security monitoring method
제1항에 있어서,
상기 보안처리장비에서 상기 패킷 재생성 장치의 전송부로부터 전송된 packet 형태의 PCAP 파일을 수신하는 단계;
상기 보안처리장비에서 상기 수신된 PCAP 파일을 사용자 화면으로 display하고 웹로그를 분석하여 이상 징후 패턴인지를 판단하는 단계;
- 여기서 비정상적인 패턴은 비정상적으로 데이터량이 증가된 패턴, CPU를 사용하는 패턴 및 정해진 모델을 벗어나는 패턴 중 어느 하나인 것을 의미함-
상기 이상징후 패턴인 경우는 상기 웹로그에 대한 웹페이지를 display하는 단계;
상기 웹로그에 대하여 악성패턴으로 분류하여 입력되는 단계; 및
상기 악성패턴으로 분류된 웹로그 패턴 및 해당 IP를 블랙리스트 데이터에 등록하는 단계;
를 더 포함하는 것을 특징으로 하는 네트워크 보안 감시 방법
The method according to claim 1,
Receiving a packet type PCAP file transmitted from the transmitting unit of the packet regenerating unit in the security processing equipment;
Displaying the received PCAP file on a user screen in the security processing device and analyzing the web log to determine whether it is an abnormal symptom pattern;
- An abnormal pattern here means either an abnormally increased amount of data, a pattern using a CPU, or a pattern that deviates from a given model.
Displaying the web page for the web log in the case of the abnormal symptom pattern;
Classifying the web log into a malicious pattern; And
Registering the weblog pattern classified into the malicious pattern and the corresponding IP in the blacklist data;
Further comprising a network security monitoring method
웹서버;
상기 웹서버에 접속된 이벤트에 대하여 가시성 확보를 위한 모니터링 제어를 수행하는 보안처리장비;
상기 웹서버에 설치되며, 상기 웹서버에 접속 이벤트가 발생시, 상기 웹서버에서 상기 접속 이벤트에 프로세스를 실행하기 위하여 상기 접속 이벤트에 대한 암호화 패킷을 복호화하면, 상기 복호화된 접속이벤트에 대한 로그 파일을 패킷 재생성장치로 전송하는 기능을 수행하는 로그파일 에이전트;
상기 로그파일 에이전트에서 전송된 로그파일을 수신하여 저장하는 패킷 재생성장치 웹로그 수집부;
상기 웹로그 수집부에 수신된 로그 파일의 포멧을 검색하여 설정된 웹로그 문자열이 포함되어 있는지를 판단하여 가시성 변환대상을 선택하는 기능을 수행하는 패킷 재생성장치 웹로그 필터부;
상기 가시성 변환대상으로 선택된 로그 파일을 tcp.stream 통신으로 컨버팅한 PCAP 파일 형식으로 변환하는 기능을 수행하는 패킷 재생성장치 파일변환부; 및
상기 변환된 PCAP 파일을 network Interface를 통하여 상기 보안처리장비에 packet 형태로 전송하는 기능을 수행하는 패킷 재생성장치 전송부;
를 포함하는 것을 특징으로 하는 네트워크 보안 감시 시스템
Web server;
A security processing device that performs monitoring control to secure visibility of an event connected to the web server;
Wherein the web server is installed in the web server and when a connection event is generated in the web server, the web server decrypts the encryption packet for the connection event in order to execute a process on the connection event, A log file agent that performs a function of transmitting the packet to the packet regeneration device;
A packet regenerating apparatus web log collecting unit for receiving and storing the log file transmitted from the log file agent;
A packet regenerating apparatus web log filter unit for searching a format of a log file received by the web log collecting unit to determine whether a set web log string is included and selecting a visibility conversion target;
Converting a log file selected as the visibility conversion target into a PCAP file format converted by tcp.stream communication; And
A packet regenerating device transmitting unit for transmitting the converted PCAP file to the security processing device through a network interface in a packet form;
And a network security monitoring system
제5항에 있어서,
상기 보안처리장비는
상기 패킷 재생성 장치의 전송부로부터 전송된 packet 형태의 PCAP 파일을 수신하는 수단;
상기 수신된 PCAP 파일을 사용자 화면으로 display하고 웹로그를 분석하여 블랙리스트 패턴인지를 판단하는 수단;
- 여기서 블랙리스트 패턴은 알려진 침입패턴, 악성패턴으로 학습된 패턴 및 시그니쳐 베이스의 정해진 공격 모델 중 어느 하나를 의미함-
상기 블랙리스트 패턴으로 판단된 경우에는 경고 메시지를 출력하는 수단; 을 포함하는 것을 특징으로 하는 네트워크 보안 감시 시스템
6. The method of claim 5,
The security processing equipment
Means for receiving a packet type PCAP file transmitted from a transmitting unit of the packet regenerating apparatus;
Means for displaying the received PCAP file on a user screen and analyzing the web log to determine whether the PCAP file is a black list pattern;
- where the blacklist pattern refers to any of the known attack patterns, patterns learned with malicious patterns, and signature-based attack models -
Means for outputting a warning message if the blacklist pattern is determined; And a network security monitoring system
제5항에 있어서,
상기 보안처리장비는
상기 패킷 재생성 장치의 전송부로부터 전송된 packet 형태의 PCAP 파일을 수신하는 수단;
상기 수신된 PCAP 파일을 사용자 화면으로 display하고 웹로그를 분석하여 이상 징후 패턴인지를 판단하는 수단;
- 여기서 비정상적인 패턴은 비정상적으로 데이터량이 증가된 패턴, CPU를 사영하는 패턴 및 정해진 모델을 벗어나는 패턴 중 어느 하나인 것을 의미함-
상기 이상징후 패턴인 경우는 상기 PCAP 파일의 웹로그에 대한 웹페이지를 display하는 수단;
상기 웹로그에 대하여 악성패턴으로 분류하여 입력되는 수단; 및
상기 악성패턴으로 분류된 웹로그 패턴 및 해당 IP를 블랙리스트 데이터에 등록하는 수단;
을 포함하는 것을 특징으로 하는 네트워크 보안 감시 시스템
6. The method of claim 5,
The security processing equipment
Means for receiving a packet type PCAP file transmitted from a transmitting unit of the packet regenerating apparatus;
Means for displaying the received PCAP file on a user screen and analyzing the web log to determine whether the PCAP file is an abnormal symptom pattern;
- An abnormal pattern here means either an abnormally increased amount of data, a pattern of projecting the CPU, or a pattern that deviates from a given model.
Means for displaying a web page for a Web log of the PCAP file when the abnormality symptom pattern is the abnormal symptom pattern;
Means for classifying the web log into a malicious pattern; And
Means for registering the weblog pattern classified into the malicious pattern and the corresponding IP in the blacklist data;
And a network security monitoring system
KR1020160099660A 2016-08-04 2016-08-04 security monitoring system and method of network for visibility of HTTPS-based connection KR101865690B1 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020160099660A KR101865690B1 (en) 2016-08-04 2016-08-04 security monitoring system and method of network for visibility of HTTPS-based connection

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020160099660A KR101865690B1 (en) 2016-08-04 2016-08-04 security monitoring system and method of network for visibility of HTTPS-based connection

Publications (2)

Publication Number Publication Date
KR20180016685A true KR20180016685A (en) 2018-02-19
KR101865690B1 KR101865690B1 (en) 2018-06-12

Family

ID=61387613

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020160099660A KR101865690B1 (en) 2016-08-04 2016-08-04 security monitoring system and method of network for visibility of HTTPS-based connection

Country Status (1)

Country Link
KR (1) KR101865690B1 (en)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102408568B1 (en) 2021-09-16 2022-06-14 주식회사 이글루코퍼레이션 Asset management device, method and program that uses cells and layers to mark detection of network threats
KR102449282B1 (en) * 2022-05-04 2022-09-29 (주) 시큐러스 Site replication devicefor enhancing website security

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20050032765A (en) 2003-10-02 2005-04-08 한국전자통신연구원 In-line mode network intrusion detection/prevention system and method therefor
KR101545687B1 (en) * 2014-04-28 2015-08-20 주식회사 넷커스터마이즈 packet analysis apparatus based on application
KR101623068B1 (en) * 2015-01-28 2016-05-20 한국인터넷진흥원 System for collecting and analyzing traffic on network

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CA2934311C (en) * 2014-10-21 2017-06-13 Robert L. Grossman Cybersecurity system
KR102059688B1 (en) * 2015-01-13 2019-12-27 한국전자통신연구원 Cyber blackbox system and method thereof

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20050032765A (en) 2003-10-02 2005-04-08 한국전자통신연구원 In-line mode network intrusion detection/prevention system and method therefor
KR101545687B1 (en) * 2014-04-28 2015-08-20 주식회사 넷커스터마이즈 packet analysis apparatus based on application
KR101623068B1 (en) * 2015-01-28 2016-05-20 한국인터넷진흥원 System for collecting and analyzing traffic on network

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102408568B1 (en) 2021-09-16 2022-06-14 주식회사 이글루코퍼레이션 Asset management device, method and program that uses cells and layers to mark detection of network threats
KR102412873B1 (en) 2021-09-16 2022-06-24 주식회사 이글루코퍼레이션 Asset management device, method and program that visually displays the security monitoring history of an asset over time
KR102449282B1 (en) * 2022-05-04 2022-09-29 (주) 시큐러스 Site replication devicefor enhancing website security

Also Published As

Publication number Publication date
KR101865690B1 (en) 2018-06-12

Similar Documents

Publication Publication Date Title
US11050786B2 (en) Coordinated detection and differentiation of denial of service attacks
CN109845228B (en) Network flow recording system and method for detecting network hacker attack in real time
US10354072B2 (en) System and method for detection of malicious hypertext transfer protocol chains
Weinberg et al. Stegotorus: a camouflage proxy for the tor anonymity system
Kartaltepe et al. Social network-based botnet command-and-control: emerging threats and countermeasures
US20200267168A1 (en) Network attack tainting and tracking
JP2017538376A (en) System and method for detecting coverage channel network intrusion based on offline network traffic
CN110198297B (en) Flow data monitoring method and device, electronic equipment and computer readable medium
Lin et al. Traceback attacks in cloud--pebbletrace botnet
KR20220081145A (en) AI-based mysterious symptom intrusion detection and system
Carter et al. Intrusion prevention fundamentals
KR101865690B1 (en) security monitoring system and method of network for visibility of HTTPS-based connection
Ahmed et al. A Linux-based IDPS using Snort
Foroushani et al. Intrusion detection in encrypted accesses with SSH protocol to network public servers
Stanciu Technologies, methodologies and challenges in network intrusion detection and prevention systems.
US11632393B2 (en) Detecting and mitigating malware by evaluating HTTP errors
RU183015U1 (en) Intrusion detection tool
Caballero et al. Analysis of Network Protocols for Secure Communication
Kumar et al. Recent advances in intrusion detection systems: An analytical evaluation and comparative study
Ussath et al. Insights into Encrypted Network Connections: Analyzing Remote Desktop Protocol Traffic
CN113726757B (en) Verification method and device of HTTPS protocol client
Nurain et al. Security measures and intrusion detection systems for preventing and mitigating SSL renegotiation denial of service attacks
Orosz et al. Detection strategies for post-pandemic DDoS profiles
Marchette Network intrusion detection
Sharma et al. Analysis of IDS Tools & Techniques

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right