KR20200083214A - 제어 평면의 동적 보안 분석 방법 및 그 시스템 - Google Patents

Abstract

제어 평면의 동적 보안 분석 방법 및 그 시스템이 개시된다. 본 발명의 일 실시예에 따른 제어 평면의 보안 분석 방법은 제어 평면 동작에 적합하지 않은 보안 성질(security property)에 대한 테스트 케이스를 생성하는 단계; 상기 생성된 테스트 케이스를 대상 장비로 전송하고, 상기 대상 장비로부터 상기 테스트 케이스에 대한 제어 평면의 응답을 수신하는 단계; 및 상기 수신된 응답을 분석하여 상기 대상 장비의 상기 보안 성질에 대한 보안성을 진단하는 단계를 포함하며, 상기 생성하는 단계는 제어 평면 프로토콜 헤더 중 특정 필드의 값을 표준 상의 동작에 적합하지 않은 값으로 변조함으로써, 상기 보안 성질에 대한 테스트 케이스를 생성할 수 있다.

Description

제어 평면의 동적 보안 분석 방법 및 그 시스템 {DYNAMIC SECURITY ANALYSIS METHOD FOR CONTROL PLANE AND SYSTEM THEREFORE}

본 발명은 제어 평면(control plane)의 동적 보안을 분석하는 기술에 관한 것으로, 보다 구체적으로는 이동통신 네트워크 예를 들어, LTE(Long Term Evolution) 네트워크에서 이동통신망 제어 평면 프로토콜 통신을 담당하는 네트워크 장비 및 단말의 잘못된 구현 또는 운영 설정으로 인해 발생하는 취약점을 자동으로 탐지할 수 있는 동적 보안 분석 방법 및 그 시스템에 관한 것이다.

이동통신 네트워크에서 제어 평면(Control Plane)은 실제 망에서의 사용자 체감 품질(Quality of Experience)에 영향을 끼치는 중요한 요소 중 하나 이기에, 제어 평면 절차의 정확한 동작 및 보안성 점검은 매우 중요하다. 따라서, 제어 평면 절차에서 발생하는 비정상 동작 및 보안 위협을 탐지하고, 원인을 찾아 해결하는 것은 이동통신 장비 제조사 및 사업자에게 아주 중요한 기술이다.

이동통신 네트워크의 구체적인 제어 평면 절차 및 동작은 3GPP(3rd generation partnership project)라고 하는 표준 단체에서 정의하고 있다. 다만 제어 평면 동작을 기술하는 표준이 방대한 양의 자연어(natural language) 기반으로 작성되어 있으며, 구체적인 구현 방법은 명시하지 않고, 제조사의 구현이나 통신망사업자의 정책에 따르도록 하고 있다.

3GPP 표준에서는 이동통신 단말이 표준에 맞게 동작하는지 확인하는 적합성 검사(Conformance test)를 위한 테스트 케이스가 정의되어 있다. 따라서, 제조사는 적합성 검사를 통해 개발한 단말이 상용 이동통신 네트워크로부터 다양한 상황에서 정상 서비스를 제공받을 수 있는지 여부를 검증할 수 있다. 하지만, 적합성 검사 테스트 케이스는 표준에 위배하지 않는 형태의 동작 및 메시지로만 구성되어 있어 표준 동작 처리 과정만을 검증한다. 따라서, 표준에 위배되는 비정상적인 동작을 제대로 처리하는지 확인할 수 있는 과정이나 테스트 케이스는 표준에 정의되어 있지 않다.

또한, 적합성 검사(conformance test) 표준은 이동통신 단말의 동작에 대해서만 테스트 케이스를 제공하고 네트워크 장비에 대한 테스트 케이스는 정의되어 있지 않기 때문에, 이동통신 네트워크 장비의 표준 적합성을 테스트할 수 있는 과정조차 없다.

상용 이동통신망은 운영 정책에 따라 같은 역할을 하는 장비의 경우에도 여러 제조사의 장비를 이용하며, 여러 제조사의 단말을 지원하기 위해 아주 복잡하게 구성되어 있다. 따라서, 각 장비들의 제조사 구성이 달라짐에 따라 제어 평면 프로토콜의 동작 및 취약점 형태가 달라질 수 있다.

따라서, 표준 상에 구체적인 동작 구현 방식에 대해 정의하지 않고, 네트워크 장비와 단말의 비규격 동작 및 메시지 송신에 대한 표준화된 검사 과정의 부재로 이동통신 장비 및 단말을 구현하는 제조사에서 잘못 구현을 하거나 통신사업자의 잘못된 망 구성 정책 및 설정에 따라 제어 평면 프로토콜 상의 취약점이 발생할 수 있다. 이러한 취약점은 표준에 정의된 기술의 정형화된 보안성 분석을 통해서는 찾을 수 없기 때문에 진단하고자 하는 장비를 대상으로 동적 보안성 분석이 필요하다.

본 발명의 실시예들은, 이동통신망 제어 평면 프로토콜 통신을 담당하는 네트워크 장비 및 단말의 잘못된 구현 또는 운영 설정으로 인해 발생하는 취약점을 자동으로 탐지할 수 있는 동적 보안 분석 방법 및 그 시스템을 제공한다.

구체적으로, 본 발명의 실시예들은 제어 평면 프로토콜 규격에 적합하지 않은 비정상 동작을 유발하는 테스트 케이스를 생성하고, 해당 테스트 케이스를 수행 시 발생한 제어 영역 메시지 응답 및 상태 변화 정보를 분석하여 대상 장비의 비정상 동작(또는 취약점)을 탐지하고 원인을 진단할 수 있는 동적 보안 분석 방법 및 그 시스템을 제공한다.

본 발명의 일 실시예에 따른 제어 평면의 보안 분석 방법은 제어 평면 동작에 적합하지 않은 보안 성질(security property)에 대한 테스트 케이스를 생성하는 단계; 상기 생성된 테스트 케이스를 대상 장비로 전송하고, 상기 대상 장비로부터 상기 테스트 케이스에 대한 제어 평면의 응답을 수신하는 단계; 및 상기 수신된 응답을 분석하여 상기 대상 장비의 상기 보안 성질에 대한 보안성을 진단하는 단계를 포함한다.

상기 생성하는 단계는 제어 평면 프로토콜 헤더 중 특정 필드의 값을 표준 상의 동작에 적합하지 않은 값으로 변조함으로써, 상기 보안 성질에 대한 테스트 케이스를 생성할 수 있다.

상기 특정 필드는 시퀀스 넘버 필드(sequence number), 보안 헤더 타입 필드(security header type) 및 메시지 인증 코드 필드(MAC; Message Authentication Code) 중 적어도 하나를 포함할 수 있다.

상기 생성하는 단계는 상기 특정 필드의 값을 표준 상의 동작에 적합하지 않은 값으로 변조하고, 이동통신 네트워크 로그로부터 추출된 필드 값들을 이용하여 나머지 필드들의 값을 채움으로써, 상기 보안 성질에 대한 테스트 케이스를 생성할 수 있다.

상기 진단하는 단계는 상기 수신된 응답을 미리 정의된 의사결정 트리를 이용하여 분석함으로써, 상기 보안 성질에 대한 보안성을 진단할 수 있다.

상기 진단하는 단계는 상기 수신된 응답과 상기 테스트 케이스에 의한 상태 변화 정보를 분석하여 상기 대상 장비의 비정상 동작을 탐지할 수 있다.

상기 수신하는 단계는 소프트웨어 정의 라디오(SDR)를 이용하여 상기 생성된 테스트 케이스를 상기 대상 장비로 전송하고, 상기 소프트웨어 정의 라디오를 이용하여 상기 테스트 케이스에 대한 응답을 수신할 수 있다.

본 발명의 다른 일 실시예에 따른 제어 평면의 보안 분석 방법은 제어 평면 동작에 적합하지 않은 보안 성질(security property)에 대한 테스트 케이스를 생성하는 단계; 상기 생성된 테스트 케이스를 대상 장비로 전송하고, 상기 대상 장비로부터 상기 테스트 케이스에 대한 제어 평면의 응답을 수신하는 단계; 및 상기 수신된 응답을 미리 정의된 의사결정 트리를 이용하여 분석함으로써, 상기 대상 장비의 상기 보안 성질에 대한 보안성을 진단하는 단계를 포함한다.

본 발명의 일 실시예에 따른 제어 평면의 보안 분석 시스템은 제어 평면 동작에 적합하지 않은 보안 성질(security property)에 대한 테스트 케이스를 생성하는 생성부; 상기 생성된 테스트 케이스를 대상 장비로 전송하고, 상기 대상 장비로부터 상기 테스트 케이스에 대한 제어 평면의 응답을 수신하는 송수신부; 및 상기 수신된 응답을 분석하여 상기 대상 장비의 상기 보안 성질에 대한 보안성을 진단하는 분석부를 포함한다.

상기 생성부는 제어 평면 프로토콜 헤더 중 특정 필드의 값을 표준 상의 동작에 적합하지 않은 값으로 변조함으로써, 상기 보안 성질에 대한 테스트 케이스를 생성할 수 있다.

상기 특정 필드는 시퀀스 넘버 필드(sequence number), 보안 헤더 타입 필드(security header type) 및 메시지 인증 코드 필드(MAC; Message Authentication Code) 중 적어도 하나를 포함할 수 있다.

상기 생성부는 상기 특정 필드의 값을 표준 상의 동작에 적합하지 않은 값으로 변조하고, 이동통신 네트워크 로그로부터 추출된 필드 값들을 이용하여 나머지 필드들의 값을 채움으로써, 상기 보안 성질에 대한 테스트 케이스를 생성할 수 있다.

상기 분석부는 상기 수신된 응답을 미리 정의된 의사결정 트리를 이용하여 분석함으로써, 상기 보안 성질에 대한 보안성을 진단할 수 있다.

상기 분석부는 상기 수신된 응답과 상기 테스트 케이스에 의한 상태 변화 정보를 분석하여 상기 대상 장비의 비정상 동작을 탐지할 수 있다.

상기 송수신부는 소프트웨어 정의 라디오(SDR)를 이용하여 상기 생성된 테스트 케이스를 상기 대상 장비로 전송하고, 상기 소프트웨어 정의 라디오를 이용하여 상기 테스트 케이스에 대한 응답을 수신할 수 있다.

본 발명의 또 다른 일 실시예에 따른 제어 평면의 보안 분석 방법은 제어 평면 프로토콜 헤더 중 특정 필드의 값을 표준 상의 동작에 적합하지 않은 값으로 변조함으로써, 제어 평면 동작에 적합하지 않은 보안 성질(security property)에 대한 테스트 케이스를 생성하는 단계; 상기 생성된 테스트 케이스를 대상 장비로 전송하고, 상기 대상 장비로부터 상기 테스트 케이스에 대한 제어 평면의 응답을 수신하는 단계; 및 상기 수신된 응답을 분석하여 상기 대상 장비의 상기 보안 성질에 대한 보안성을 진단하는 단계를 포함한다.

본 발명의 실시예들에 따르면, 제어 평면 프로토콜 규격에 적합하지 않은 비정상 동작을 유발하는 테스트 케이스를 생성하고, 해당 테스트 케이스를 수행 시 발생한 제어 영역 메시지 응답 및 상태 변화 정보를 분석하여 대상 장비의 비정상 동작(또는 취약점)을 자동으로 탐지하고 원인을 진단함으로써, 이동통신 장비 및 단말의 다양한 보안 취약점들을 진단하고, 이를 통해 사회적 측면으로는 안전하고 신뢰성 있는 이동통신망 장비와 단말의 설계 및 구현할 수 있다.

본 발명의 실시예들에 따르면, 이동통신망 제어 평면 프로토콜 통신을 담당하는 네트워크 장비 및 단말의 보안 취약점들을 자동으로 탐지하고 진단함으로써, 경제적 손실을 방지하고 보안성을 향상시킬 수 있다. 즉, 본 발명은 통신망 사업자 및 장비 제조사들 입장에서 보안 위협이 발생하기 전에 선제적으로 문제를 진단하고 해결함으로써, 경제적 손실을 방지하고 보안성을 향상시킬 수 있다.

본 발명의 실시예들에 따르면, 자동화된 동적 보안성 분석 기술을 활용하면 보다 빠르고 정확하게 대상이 되는 취약점을 정확하게 찾을 수 있으며, 메시지 위변조, 재전송, 평문 전송 등의 취약점 뿐만 아니라 테스트 케이스 생성 규칙에 따라 다양한 취약점 형태를 자동으로 진단할 수 있다.

본 발명의 실시예들에 따르면, 동적 보안성 분석 기술을 상용화 단계 전 개발된 장비를 대상으로 적용하면 장비의 보안성을 미리 분석하여 경제적 손실을 방지하고, 보안 기술성을 향상시킬 수 있다.

이러한 본 발명은 이동통신망의 모든 제어 평면 통신장비의 보안성 진단에 활용될 수 있다.

도 1은 본 발명의 일 실시예에 따른 제어 평면의 보안 분석 방법에 대한 동작 흐름도를 나타낸 것이다.
도 2는 본 발명의 방법을 설명하기 위한 일 예시도를 나타낸 것이다.
도 3은 비규격 테스트 케이스 생성을 위해 변조하는 헤더 필드에 대한 예시도를 나타낸 것이다.
도 4는 이동통신 네트워크 로그를 이용하여 테스트 케이스를 생성하는 과정을 설명하기 위한 일 예시도를 나타낸 것이다.
도 5는 자동화된 테스트 케이스 수행 및 비정상 동작을 탐지하는 과정을 설명하기 위한 일 예시도를 나타낸 것이다.
도 6은 취약점 검출을 위한 의사결정 트리에 대한 일 예시도를 나타낸 것이다.
도 7은 본 발명의 일 실시예에 따른 제어 평면의 보안 분석 시스템에 대한 구성을 나타낸 것이다.

본 발명의 이점 및 특징, 그리고 그것들을 달성하는 방법은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시예들을 참조하면 명확해질 것이다. 그러나, 본 발명은 이하에서 개시되는 실시예들에 한정되는 것이 아니라 서로 다른 다양한 형 태로 구현될 것이며, 단지 본 실시예들은 본 발명의 개시가 완전하도록 하며, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 발명의 범주를 완전하게 알려주기 위해 제공되는 것이며, 본 발명은 청구항의 범주에 의해 정의될 뿐이다.

본 명세서에서 사용된 용어는 실시예들을 설명하기 위한 것이며, 본 발명을 제한하고자 하는 것은 아니다. 본 명세서에서, 단수형은 문구에서 특별히 언급하지 않는 한 복수형도 포함한다. 명세서에서 사용되는 "포함한다(comprises)" 및/또는 "포함하는(comprising)"은 언급된 구성요소, 단계, 동작 및/또는 소자는 하나 이상의 다른 구성요소, 단계, 동작 및/또는 소자의 존재 또는 추가를 배제하지 않는다.

다른 정의가 없다면, 본 명세서에서 사용되는 모든 용어(기술 및 과학적 용어를 포함)는 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 공통적으로 이해될 수 있는 의미로 사용될 수 있을 것이다. 또한, 일반적으로 사용되는 사전에 정의되어 있는 용어들은 명백하게 특별히 정의되어 있지 않는 한 이상적으로 또는 과도하게 해석되지 않는다.

이하, 첨부한 도면들을 참조하여, 본 발명의 바람직한 실시예들을 보다 상세하게 설명하고자 한다. 도면 상의 동일한 구성요소에 대해서는 동일한 참조 부호를 사용하고 동일한 구성요소에 대해서 중복된 설명은 생략한다.

이동통신 네트워크는 데이터 통신 및 통화뿐만 아니라 열차 제어, 재난망, IoT (Internet of Things) 통신 등 다양한 산업에서 활용되고 있다. 특히 이동통신 네트워크는 사용자의 안전과 연관된 서비스들에도 도입되고 있는 만큼 이동통신 네트워크에서의 보안사고 및 성능 문제는 사용자의 안전에 직접적인 영향을 끼칠 수 있다. 또한, 이동통신 네트워크 장비 내의 보안 취약점들로 인한 보안 사고는 통신사업자뿐만 아니라 해당 취약점을 가진 장비의 제조사의 경제적 손실로 이어질 수 있다.

표준에서는 이동통신망 단말과 장비의 올바른 동작 및 구현 가이드라인(conformance test)은 정의하고 있으나 보안과 관련한 테스트에 대한 가이드라인은 정의하지 않고 있다. 따라서, 단말 및 통신망 장비 제조사는 표준에 따라 정상적으로 동작하도록 구현하지만 보안성과 관련하여서는 표준에 따라 맞게 구현하였다고 하더라도 보장할 수 없으며, 제조사의 구현 및 통신사업자의 환경 구성에 따라 달라 질 수 있다.

본 발명의 실시예들은, 이러한 문제점을 해결하기 위하여 이동통신망 제어 평면 프로토콜 통신을 담당하는 네트워크 장비 및 단말의 잘못된 구현 또는 운영 설정으로 인해 발생하는 취약점을 자동으로 탐지하고 원인을 진단하고자 하는 것을 그 요지로 한다.

이 때, 본 발명은 통신 메시지의 암호화, 무결성, 가용성을 점검하기 위해 대상 제어 평면 프로토콜의 테스트 케이스를 작성할 수 있는데, 진단하고자 하는 보안 성질(security property)에 해당하는 필드는 목적에 맞게 채워 넣고 나머지 부분(또는 필드)은 미리 수집해 놓은 이동통신 네트워크 로그 예를 들어, 정상 트래픽으로부터 추출된 필드 값을 이용하여 채움으로써, 테스트 케이스를 생성할 수 있다.

나아가, 본 발명은 테스트 케이스를 오픈 소스 및 소프트웨어 정의 라디오를 활용하여 대상 장비 예를 들어, 단말 또는 통신망 장비에 전송하고, 대상 장비로부터 수신되는 응답을 미리 정의한 의사결정 트리에 따라 분석함으로써, 대상 장비의 보안 성질에 대한 보안성을 진달할 수 있다.

도 1은 본 발명의 일 실시예에 따른 제어 평면의 보안 분석 방법에 대한 동작 흐름도를 나타낸 것이다.

도 1을 참조하면, 본 발명의 실시예에 다른 제어 평면의 동적 보안 분석 방법은 제어 평면 동작에 적합하지 않은 보안 성질(security property)에 대한 테스트 케이스 예컨대, 비규격 테스트 케이스를 생성한다(S110).

여기서, 단계 S110은 제어 평면 프로토콜 헤더 중 특정 필드의 값을 표준 상의 동작에 적합하지 않은 값으로 변조함으로써, 보안 성질에 대한 테스트 케이스를 생성할 수 있으며, 제어 평면 프로토콜 헤더의 특정 필드는 시퀀스 넘버 필드(sequence number), 보안 헤더 타입 필드(security header type) 및 메시지 인증 코드 필드(MAC; Message Authentication Code) 중 적어도 하나를 포함할 수 있다.

나아가, 단계 S110은 특정 필드의 값을 표준 상의 동작에 적합하지 않은 값으로 변조하고, 이동통신 네트워크 로그로부터 추출된 필드 값들을 이용하여 나머지 필드들의 값을 채움으로써, 보안 성질에 대한 테스트 케이스를 생성할 수 있다.

더 나아가, 단계 S110은 이동통신 표준단체인 3GPP에서 지원하는 표준 규격 기반 테스팅 언어 예를 들어, TTCN-3(Testing and Test Control Notation version 3)로 동적 보안성 시험 테스트 케이스들을 구현할 수도 있다.

단계 S110에 의해 비규격 테스트 케이스가 생성되면 생성된 테스트 케이스를 대상 장비 예를 들어, 단말 또는 통신망 장비로 전송하고, 대상 장비로부터 비규격 테스트 케이스에 대한 응답을 수신한다(S120).

여기서, 단계 S120은 소프트웨어 정의 라디오(SDR)를 이용하여 생성된 테스트 케이스를 대상 장비로 전송하고, 소프트웨어 정의 라디오를 이용하여 테스트 케이스에 대한 응답을 수신할 수 있다.

단계 S120에 의해 대상 장비로부터 비규격 테스트 케이스에 대한 응답이 수신되면 수신된 응답을 분석하여 대상 장비의 보안 성질에 대한 보안성을 진단한다(S130).

여기서, 단계 S130은 수신된 응답을 미리 정의된 의사결정 트리를 이용하여 분석함으로써, 보안 성질에 대한 보안성을 진단할 수 있으며, 수신된 응답과 테스트 케이스에 의한 상태 변화 정보를 분석하여 대상 장비의 비정상 동작을 탐지할 수 있다.

이러한 본 발명의 방법에 대해 도 2 내지 도 6을 참조하여 설명하면 다음과 같다.

도 2는 본 발명의 방법을 설명하기 위한 일 예시도를 나타낸 것으로, 이동통신망 제어 평면 프로토콜 동적 보안성 분석에 대한 기술 개요도를 나타낸 것이다.

도 2에 도시된 바와 같이, 본 발명의 방법은 이동통신 네트워크 망 장비 취약점 탐지를 위하여 표준 제어 평면 동작에 적합하지 않은 비규격 테스트 케이스 생성하는 과정(generating test cases)과 자동화된 테스트 수행 및 비정상 동작 탐지 과정(executing test cases, classifying problematic behavior, construct and validate attacks)을 포함할 수 있다.

테스트 케이스 생성 과정은 표준에 정의된 제어 평면 동작에 적합하지 않은 테스트 케이스를 생성하기 위해 크게 두 가지의 방법을 이용할 수 있다.

첫 번째로 제어 평면 프로토콜 메시지의 헤더(Header) 중 특정 필드(field) 값을 표준 상의 동작에 맞지 않는 값으로 변조한다.

이 때, 변조 대상 헤더 필드는 도 3에 도시된 바와 같이, 시퀀스 넘버 필드(sequence number), 보안 헤더 타입 필드(security header type) 및 메시지 인증 코드 필드(MAC; Message Authentication Code) 중 적어도 하나를 포함할 수 있다.

예를 들어, 시퀀스 넘버 필드의 경우, 제어 평면 프로토콜에서 재전송 공격을 방지하기 위한 목적으로 사용된다. 따라서, 메시지를 송,수신 시 시퀀스 넘버를 1씩 증가하여 하나의 시퀀스 넘버에 대하여 한번만 수신하도록 표준에 정의되어 있다. 본 테스트 케이스에서는 시퀀스 넘버를 정상 값보다 작은 값으로 변조함으로써 대상 장비가 재전송 공격을 방지하기 위해 시퀀스 넘버 검사를 정확히 하는지 검증할 수 있다. 다음으로 보안 헤더 타입은 크게 "Plain header", "Integrity protected", "Integrity protected and ciphered" 등이 있으며, 동작에 따라 적절한 보안 헤더 타입을 사용함으로써 보안 위협을 방지하도록 규정하고 있다. 따라서, 테스트 케이스 생성 과정에서는 보안 헤더 타입을 표준에 정의되어 있는 값과 다르게 설정함으로써, 대상 장비가 보안 헤더 타입을 정확히 검사하는지 확인할 수 있다. 메시지 인증 코드는 메시지의 변조여부를 확인하는 값으로, 테스트 케이스 생성 시 MAC 값을 임의로 설정함으로써, 대상 장비가 메시지 변조 여부를 정확히 검사하는지 검증할 수 있다.

상술한 과정을 통해 테스트 케이스의 메시지 헤더 값을 표준에 맞지 않게 변조한 후, 도 4에 도시된 바와 같이 메시지의 포맷과 나머지 필드들을 채우기 위해서 이동통신 네트워크 로그 예를 들어, 상용 이동통신 네트워크 로그를 이용한다. 여기서, 본 발명은 방대한 양의 상용 이동통신 로그를 입력으로 하여 상용 네트워크에서 발생한 메시지의 필드들을 자동으로 추출하고, 테스트 케이스 생성 시 추출한 필드 값들 중 임의로 선택하여 테스트 케이스를 구성할 수 있다.

이러한 과정을 통해 테스트 케이스를 생성함으로써, 방대한 양의 표준 동작을 모두 파악하여 메시지 포맷을 구현하는 노력을 줄일 수 있으며, 대상 네트워크 장비에 구현되어 있지 않은 메시지 필드를 사용하지 않음으로써 장비가 셧다운(shutdown)되는 것을 방지할 수 있다. 여기서, 상용 로그의 입력만 고려하는 이유는 파싱(parsing) 오류로 인한 수신 노드(또는 수신 개체)의 예기치 않은 충돌을 방지하기 위함이다.

테스트 수행 및 비정상 동작 탐지 과정은 테스트 케이스 생성 과정을 통해 생성된 기술을 통해 생성한 테스트 메시지(또는 테스트 케이스)를 이용하여 이동통신 장비 및 단말을 대상으로 테스트 메시지를 송신하고 수신되는 제어 평면 응답 및 상태 변화 정보를 습득하여 대상 장비의 비정상 동작을 검출한다. 이 때, 비규격 테스트 메시지를 대상 네트워크 장비 및 단말에 무선으로 송신하고 응답을 받기 위해 소프트웨어 정의 라디오(Software Defined Radio)를 이용할 수 있다.

도 5는 자동화된 테스트 케이스 수행 및 비정상 동작을 탐지하는 과정을 설명하기 위한 일 예시도를 나타낸 것으로, 도 5에 도시된 바와 같이 컴퓨터와 소프트웨어 정의 라디오로 구성된 테스터 UE가 대상 네트워크 장비에 테스트 메시지를 송신하고 그 응답을 기록한다. 다음으로 정상적으로 대상 네트워크 장비에 연결되어 있던 피해자(victim) UE를 활용하여 UE 상태 모니터(state monitor)에서 테스트 케이스 수행으로 인해 발생할 수 있는 상태 변화를 기록한다. 이렇게 응답과 상태 변화 기록을 이용하여 테스트 케이스 수행 시 대상 장비에 비정상 동작 예컨대, 취약점이 발생하는지 확인한다.

도 6은 취약점 검출을 위한 의사결정 트리에 대한 일 예시도를 나타낸 것으로, 도 6에 도시된 바와 같이, 테스트 케이스 수행 시 발생하는 응답을 바탕으로 해당 테스트 메시지가 장비에서 처리되었는지 확인한다. 이를 위해, 본 발명에 따른 방법은 표준에 따라 정상적으로 만들어진 메시지에 대해 장비가 처리했을 때의 응답을 정의하고, 이 응답이 테스트 수행 시 수신되면 처리되었다고 판단한다. 이 경우, 일단 테스트 케이스는 모두 비규격 메시지이기 때문에 비정상 동작으로 판단하고 나아가 해당 테스트로 인해 상태(state)가 "registered"에서 "deregistered"로 변화되었는지 확인한다. 이 때, 본 발명에 따른 방법은 상태 변화가 있을 경우 서비스 거부 공격이 가능한 취약점으로 분류하고, 그렇지 않을 경우 스푸핑(spoofing) 공격이 가능한 취약점으로 분류한다.

첫 번째 결정 단계에서 테스트 메시지가 대상 장비에서 처리되지 않았을 경우에도 만약 상태 변화가 발생할 경우 서비스 거부 공격이 가능한 취약점으로 분류한다. 따라서, 테스트 수행 시 응답이 없고 상태 변화가 유발되지 않는 경우에만 정상적인 동작으로 분류한다.

이러한 본 발명의 실시예에 따른 방법을 조금 더 상세히 설명하면 다음과 같다.

본 발명의 실시예들에 따른 방법은 이동통신 네트워크 예를 들어, LTE 네트워크에서 동적 보안 분석을 자동으로 수행하는 것으로, 세 가지 주요 단계를 포함한다.

(1) 보안 성질 추출: 첫째, 보안 측면을 중심으로 제어 평면 절차의 LTE 표준을 광범위하게 분석한다. 분석을 기반으로 네트워크와 모바일 장치가 미지의 보안 위협으로부터 보호되도록 하기 위해 따라야 하는 보안 성질(security property) 예를 들어, 세 가지 보안 성질을 생성한다.

(2) 테스트 케이스 생성: 다음으로, 대상 제어 평면 구성 요소가 보안 성질을 위반하는 상황을 확인하기 위해 테스트 케이스를 생성한다. 테스트 케이스는 각 보안 성질에 대하여 대상 프로토콜 메시지 규칙과 그 필드를 기반으로 생성된다.

(3) 문제적 행위 분류: 테스트 케이스를 실행할 때, 본 발명은 UE 측면의 응답과 상태 변화를 문제 있는 행동으로 간주하는지를 결정할 필요가 있다. 이를 위해 본 발명은 문제가 있는 케이스를 분류하기 위한 간단한 의사결정 트리 논리를 구축한다. 본 모델은 테스트 케이스가 실행될 때만 제어 평면 로그와 UE 측의 상태를 고려한다. 따라서, 본 발명은 이러한 모델을 이용하여 자동으로 문제 발생 케이스를 식별할 수 있다.

A. 표준에서 보안 성질 추출

제어 평면 절차 및 보안 요건에 관한 규격의 철저한 분석을 통해 제어 평면 절차의 기밀성 및 무결성 보호를 통신사의 구현 및 구성 정책에 따라 우회할 수 있는 잠재적 보안 구멍을 식별할 수 있다. 첫째, 보안 컨텍스트를 설정하기 전의 초기 절차는 LTE 신호를 엿듣고 조작할 수 있는 공격자에 의해 이용될 수 있다. 둘째, 수신 개체가 무결성 보호 없이 수신된 제어 평면 메시지를 수용하는 예외적인 상황이 꽤 존재한다. 셋째, 규격은 제어 평면 프로토콜(NAS, RRC 등)에 대한 카운터를 채택하지만, 메시지 무결성을 확인할 때 수신된 메시지에서 시퀀스 번호(카운터의 부분 비트)의 사용을 명시한다. 따라서 메시지 재연(replay)이 허용될 수 있다. 이러한 관찰로부터 아래 <표 1>에 기재된 바와 같이 세 가지 기본 보안 성질을 만들 수 있으며, 각각은 공격자에 의한 악의적인 행동에 대해 책임 있는 주체들이 올바르게 대응할 수 있는 능력에 초점을 맞추고 있다.

	Security property	Target procedures/messages	Example
P1	Plain messages before the AKA procedures should not affect the existing connections	Messages that are allowed to be sent in plaintext	RRC Connection request, IMSI Attach request
		Messages that are not allowed to be sent in plaintext	GUTI Attach request, Uplink NAS transport
P2	Invalid security protected messages should neither be accepted nor trigger the state transition in the receiving entity	Messages with invalid integrity protection	PDN disconnect request, Service request
		Messages with invalid sequence number
P3	Mandatory security procedures should not be bypassed	Mutual authentication procedure	Authentication request
		Key agreement procedure	NAS/RRC Security mode command

본 발명은 공격자가 LTE 네트워크에 등록할 유효한 키를 소유하지 않거나 다른 합법적인 사용자의 키에 대한 정보를 보유하지 않는 등 최소한의 권한을 가지고 있다고 가정한다. 또한, 각 성질은 서로 다른 보안 측면(즉, 보호되지 않는 절차의 부정확한 취급, 유효하지 않은 보안 보호 메시지 및 필수 AKA 절차)에 초점을 맞추고 있으므로, 테스트 시나리오와 대상 메시지 선택 규칙은 성질마다 다르다. 보안 성질을 고려할 때, 본 발명은 다양한 제어 평면 프로토콜 중에서 NAS와 RRC 프로토콜만 대상으로 삼았으며, 이는 다음과 같은 이유 때문이다. (1) 이러한 프로토콜이 UE와 네트워크 사이의 중요한 제어 평면 절차(예: UE 접속 절차, 이동성 관리 및 인증)를 수행하는 데 사용된다. (2) UE에서 이러한 절차를 캡처하고 분석할 수 있다. (3) 이들 프로토콜에서 확인된 취약성은 UE와 네트워크 모두에 직접적으로 영향을 미친다.

이러한 각 성질에 대해 자세히 설명하면 다음과 같다.

1) 성질 1: 최초 절차 중에 공격자가 조작된 일반 메시지를 전송할 때 수신 개체(예를 들어, 업링크용 eNB 또는 MME와 다운링크용 UE)가 예기치 않은 입력을 적절하게 처리하는지 여부를 확인한다. 이 성질의 유효성을 확인하기 위해 본 발명은 대상 메시지를 선택할 때 (1) 보안이 활성화되기 전에 전송할 수 있는 조작된 평면 메시지와 (2) 표준에 의한 보안 활성화 후 보호되지 않은 상태로 보내지 않아야 하는 메시지 등과 같은 두 가지 상황을 고려한다. 첫 번째 경우, 본 발명은 주로 LTE의 대칭 키 암호화의 특성에 의해 보호될 수 없는 초기 일반 메시지의 잠재적 위협을 검사한다. 이러한 보호되지 않은 메시지의 경우, 수신된 메시지가 악의적인 사용자(adversary user)(또는 공격자)에 의해 전송되는지 정상적인 사용자(benign user)에 의해 전송되는지 구별하기 어렵다. 한편, 두 번째 상황의 목적은 배치된 셀룰러 구성요소가 표준을 준수하지 않는 유효하지 않은 일반 메시지를 거부하거나 무시하도록 올바르게 구현되었는지 여부를 검사하는 것이다. 보안 활성화 후 전송되는 메시지는 대개 보안 중요 절차를 준수한다. 따라서, 수신 개체가 이러한 보안 보호 메시지를 잘못 취급하는 경우, 공격자는 UE의 연결 상태에 영향을 미치거나 UE의 개인 정보를 노출시킬 수 있다. 여기서, 본 발명은 공격자가 특정 휴대전화 서비스에 가입하지 않거나 다른 UE의 보안 키를 가지고 있지 않다고 가정한다. 따라서, 공격자는 임의의 내용으로 일반 메시지를 만들어 발신할 수 있을 것이지만, 이러한 메시지는 유효하지 않다. 테스트 중 공격자는 eNB와 MME(업링크 방향)의 행동을 조사할 때 악성 UE로 작용하고, UE(다운링크 방향)의 행동을 조사할 때는 악성 LTE 네트워크로 작용한다.

첫 번째 상황을 나타내는 메시지의 예는 RRC 연결 요청이다. 초기 RRC 연결 절차는 설계에 의해 보호되지 않기 때문에 공격자는 RRC 연결을 설정하는 동안 모든 콘텐츠를 스푸핑(spoofing)할 수 있다. 적절한 보안 조치가 없는 피해자 eNB는 이러한 조작된 메시지를 받아들일 것이다. 두 번째 상황을 보여주는 또 다른 예는 피해자의 GUTI(Globally Unique Temporary Identity)에 스푸핑된 평면 NAS 어태치(Attatch) 요청일 수 있다. 정상적인 경우, UE가 이전의 암호 키 정보(3GPP의 보안 컨텍스트라고 함)와 GUTI로 재등록을 시도하면, 무결성 보호 NAS 어태치 요청이 전송된다. 메시지를 수신한 후 MME는 유효한 무결성 보호 메시지에 의해 이미 인증되었기 때문에 AKA 절차를 수행하지 않고 UE를 등록할 수 있다. 따라서 MME가 수신된 메시지가 보안 보호가 되어야 하는지를 올바르게 확인하지 않을 경우, 공격자는 피해자의 GUTI와 스푸핑된 평범한 NAS 어태치 요청을 전송하여 피해자의 기존 연결을 끊을 수 있다.

2) 성질 2: 보안 헤더로 잘못 캡슐화된 예기치 않은 메시지를 수신자가 적절하게 처리하는지 여부를 검증한다. AKA 절차 후 모든 NAS 메시지는 어태치 요청, TAU 요청 및 보안 모드 명령과 같은 일부 메시지를 제외하고 암호화 및 무결성 보호되어야 하며, 이 모든 메시지는 무결성 보호만 되어야 한다. 이를 위해, UE는 AKA 절차 후 NAS 메시지를 송신할 때 일반 NAS 메시지를 먼저 암호화한 다음, 무결성 보호를 위해 Message Authentication Code(MAC)를 계산한다. 본 발명은 수신 개체가 보안 보호 메시지의 무결성과 송신 개체와 수신 개체 간에 동기화된 32비트 카운터 값의 8개 최하위 비트로 구성된 시퀀스 번호를 적절하게 검증할 수 있는지 그 여부를 검사함으로써, 이 성질을 입증할 수 있다. 직관적으로, 수신 개체가 메시지의 무결성을 확인하지 않으면, 공격자는 암호화되지 않은 메시지를 스푸핑할 수 있다. 또한, 시퀀스 번호가 철저히 검증되지 않을 경우, 공격자는 피해자 UE로부터 이전에 포착된 보안 보호 메시지를 사용하여 재연 공격(replay attack)을 개시할 수 있다. 성질 1과 유사하게, 공격자는 유효한 메시지를 생성하기 위한 암호화 키가 없기 때문에, eNB와 연결이 설립된한 후에 유효하지 않은 메시지를 보낸다. 각 케이스에 대한 대상 메시지는 보안 활성화 후 보호되어야 하는 모든 가능한 메시지를 구성한다.

예(example)에 대한 첫 번째 케이스는 NAS 업링크 NAS 전송으로, NAS를 통하여 SMS를 제공하는 통신사 내의 SMS에 사용될 수 있다. MME가 이 메시지의 무결성을 제대로 확인하지 못하면, 공격자는 NAS 업링크 NAS 전송 메시지의 내용을 스푸핑하여 SMS 피싱(phishing) 공격에 이용할 수 있다. 예에 대한 두 번째 케이스는 NAS PDN 연결 끊기 요청이다. 이 메시지의 목적은 설립된 PDN(Packet Data Network) 연결을 해제하는 것이다. 특히 사용자가 장비를 끄거나 데이터 서비스를 끄는 경우 일 수 있다. 공격자는 피해자 UE인 척 함으로써 이 메시지를 네트워크에 전송할 수 있으며, 네트워크는 메시지에 지정된 시퀀스 번호를 올바르게 확인하지 않으면 이 재연된 메시지를 수락할 수 있다. 이것은 합법적인 사용자들에 대한 선별적인 서비스 거부를 초래할 수 있다.

3) 성질 3: 3GPP 표준에 명시된 보안 절차를 악의적인 UE 또는 네트워크에 의해 우회할 수 있는지 확인한다. LTE 표준은 제어 평면과 데이터 평면 모두를 보호하기 위해 UE와 네트워크 사이의 상호 인증에 EPS-AKA를 채택한다. 여기에는 챌린지 응답 메커니즘에 기반한 NAS 인증 절차와 RRC 및 NAS 계층의 보안 모드 명령이 포함된다. 이 명령은 제어 평면 및 데이터 평면의 기밀성 및 무결성을 위한 세션 핵심사항 동의 절차이다. 이러한 보안 절차를 우회할 수 있는지 여부를 검사하기 위해 세 가지 접근방식을 이용할 수 있다. 첫 번째는 LTE 표준에서 채택된 암호 알고리즘의 보안 분석을 실시하는 것이다. 두 번째는 NAS 보호 메시지의 RRC/NAS 보안 모드 명령 및 보안 헤더 유형에서 선택된 암호화 및 무결성 보호 알고리즘을 공격자가 조작하는 상황을 고려할 수 있다. 마지막은 의무적인 보안 절차의 일부를 생략하는 것이다. 장치가 이를 허용한다면 합법적인 장치에 대하여 암호화 키가 없는 악성(rogue) LTE 네트워크는 기밀성과 무결성 보호 없이 조작된 서비스까지 제공할 수 있다. 이러한 상황이 악용될 경우 심각한 위협을 초래할 가능성이 있음에도 불구하고, 그 결과는 아직 조사되지 않았고 공개되지 않았다. 따라서 본 발명은 이 보안 성질의 범위를 제한하여 악성 LTE 네트워크가 RRC와 NAS 계층 모두에서 인증 요청 및 보안 모드 명령과 같은 필수 보안 절차를 생략하는 상황을 UE가 올바르게 처리하는지 여부를 검증할 수 있다.

예를 들어, 필수적인 절차인 인증 및 핵심사항 동의 없이 공격자가 서비스 절차를 계속 따를 수 있도록 하기 위하여 NAS 인증 요청을 무시할 수 있다.

B. 각 성질에 대한 테스트 케이스 생성

각 성질에 대해 대상 메시지가 선택되지만, 각 메시지의 가능한 모든 필드 값에 대한 입력을 고려한다면 몇 가지 테스트 케이스가 존재한다. 예를 들어, 보안 성질 1을 확인하기 위한 잘못된(invalid) 일반 NAS 연결 요청에 대한 테스트 케이스 생성은 선택적 필드를 포함하여 24개의 필드를 가지고 있으며 이 메시지의 사용 가능한 길이는 최소 16바이트가 될 수 있다는 점을 고려해야 한다. 분명히, 이 모든 가능성을 시험하는 것은 비용이 많이 든다. 테스트 케이스의 수를 줄이면서도 목표 실체의 동작을 조사하기에 충분한 수를 수행하기 위해 본 발명은 상용 제어 평면 메시지 로그를 활용한다. 이와 관련하여 AT 명령을 전송하여 베이스밴드 칩셋의 많은 기능을 트리거함으로써 다양한 제어부 메시지를 수집할 수 있다. 그런 다음 이 로그를 사용하여 각 필드에 대해 수집된 모든 값을 통신사에 의해 구분하여 저장하는 데이터베이스를 구축할 수 있다. 따라서, 생성기가 통신사 A에 대한 테스트 케이스를 생성할 때, 통신사 A로 표시된 가능한 값 중 하나를 선택한다. 시퀀스 번호 확인을 위해 테스트 케이스를 생성할 때(성질 2의 두 번째 케이스), 피해자 UE 측면의 패킷을 캡처하여 모든 테스트 케이스를 생성한다. 초기 일반 메시지(성질 1)와 유효하지 않은 MAC 메시지(성질 2의 첫째 케이스)에 대한 테스트 케이스를 생성할 때, 필수 필드만 올바른 LTE 작동을 위해 보안상 중요한 것으로 간주한다. 테스트 케이스 메시지에 UE의 ID 필드가 포함되어 있는 경우, GUTI 또는 IMSI와 같은 UE의 현재 ID가 포함되어 수신 개체가 피해자 UE의 상태를 변경하는지 여부를 검사한다는 점에 주의해야 한다.

C. 문제적 행동 분류

각 케이스를 시험할 때, 본 발명은 수신 개체에서 이러한 문제적 행동(problematic behavior)을 유발하는 원인을 식별해야 한다. 이는 수신 개체의 운영 로그를 모니터할 수 있다면 쉽게 달성할 수 있다. 단, 통신사나 장비 공급업체의 지원 없이는 무선 전화 네트워크의 운용 로그를 입수할 수 없다. 이러한 한계를 극복하기 위해, 본 발명은 의사결정 트리를 기반으로 UE의 로그만 모니터링하여 문제적 행동을 분류한다. 이러한 논리는 유효하지 않은 메시지인 테스트 케이스의 수용 여부와 테스트 케이스가 피해자 UE의 연결 해제(disconnection)를 유발하는지의 두 가지 의사결정 단계를 가진다. 첫 번째 의사결정 단계에서, 본 발명은 수신 개체가 3GPP 표준에 근거하여 각 테스트 케이스를 받아들일 때 예상되는 응답을 정의한다. 그 후, 본 발명은 각각의 테스트 케이스를 보낼 때 UE가 예상 응답을 수신하는지 확인한다. 예를 들어, 테스트 케이스가 잘못된 NAS ID 요청인 경우, 예상되는 응답은 원하는 메시지 내용을 포함한 NAS ID 응답이어야 한다. 이 예상 응답을 수신한 후, 본 발명은 잘못된 입력의 테스트 케이스를 수용해서는 안 되기 때문에 테스트 케이스를 합격으로 간주하고 비정상적인 것으로 분류한다. 두 번째 의사결정 단계에서, 본 발명은 피해자 UE가 테스트 케이스에 대응하여 네트워크로부터의 연결 해제 여부를 추가로 검토한다. 만약 피해자 UE가 네트워크로부터의 연결 해제되었다면 문제가 있는 것으로 분류되며, 이로 인해 피해자 UE에 대한 서비스 거부가 발생할 수 있다(케이스 1). 만약 연결 해제되지 않았거나 알 수 없는 경우, 이러한 행동이 스푸핑 공격을 실시하기 위해 악용될 수 있기 때문에 문제가 있는 것으로 분류되기도 한다(케이스 2). 첫 번째 의사결정 단계에서 테스트 케이스가 받아들여지지 않을 경우, 두 번째 의사결정 단계에서는 결과를 2개의 다른 케이스로 나눈다. 피해자 UE가 네트워크와의 연결이 해제된 경우 수신 개체는 테스트 케이스를 받아들이지 않지만 수신된 메시지가 유효하지 않다는 것을 인식할 때 수신 개체의 잘못된 행동에 뿌리를 둘 수 있는 문제적 행위로 분류되기도 한다(케이스 3). 그렇지 않다면 테스트 케이스는 정상으로 분류되는데, 이는 수신 개체가 잘못된 메시지를 올바르게 처리했다는 것을 의미한다(케이스 4). 이러한 분류를 바탕으로 문제를 쉽게 파악할 수 있고 공격 시나리오까지 얻을 수 있다. 예를 들어, 케이스 1과 케이스 3으로 분류된 조작된 메시지는 공격자에 의해 피해자 UE에 대한 DoS 공격을 수행할 수 있다.

D. 윤리적 고려사항

운영 네트워크에 대한 테스트: 본 발명의 목적은 충돌이나 메모리 누설을 야기하는 고장을 식별함이 아니고, LTE 운영에서 시맨틱(semantic) 실패를 찾는 것이다. 이를 위해, 본 발명은 필드 값이 운영 네트워크의 제어 평면 로그를 기반으로 생성됨에 따라 수신 개체에서 정확히 파싱될 수 있는 모든 테스트 케이스를 생성한다. 예를 들어, 통신사 A에 대한 테스트 케이스는 이 통신사의 제어 평면 메시지에 있는 필드 값을 사용해서 생성된다. 게다가, 본 발명은 그 테스트가 다른 합법적인 사용자들의 연결 상태에 영향을 미치지 않도록 하기 위해 가입한 휴대 전화에 대해서만 테스트를 수행한다. 본 발명의 테스트 케이스가 수신 개체에 의해 수용되는 경우에만 대상 장치의 상태가 예기치 않은 것으로 변경될 수 있다. 제어 평면 오버헤드는 정상 상황의 오버헤드를 고려할 때 무시할 수 있다. 피해자 셀의 다른 UE에 영향을 미칠 수 있는 유일한 테스트 케이스는 운용 네트워크에 사용되지 않는 주파수 대역을 이용한 펨토 셀에 대한 테스트와 캐리어의 테스트 베드에 대한 테스트에 의해 수행될 수 있다.

상용 폰에 대한 테스트: LTE 라이센스 대역으로 운영되는 테스트베드는 본 발명의 실험에 참여하지 않는 합법적인 사용자에게 영향을 미칠 수 있다. 일반 사용자들이 테스트베드 네트워크에 접속하는 것을 막기 위해, 본 발명은 운영 네트워크에서는 사용하지 않는 주파수 대역만 활용할 수 있다. 또, eNB의 전송력을 최소로 설정하여 20 cm 이내의 대상 UE만 테스트베드에 접속하도록 할 수 있다. 그 결과, 본 발명은 실험 중에 어떤 합법적인 사용자도 테스트베드 네트워크에 연결하려고 시도되지 않았다는 것을 확인하였다.

법적 제한: 많은 나라들은 그들의 안정적인 운영을 방해하기 위해 허가받지 않은 신호를 상업용 네트워크 시스템으로 보내는 것을 금지하는 법적 제한을 가지고 있다. 따라서, 상용 LTE 네트워크의 동적 테스트도 허가 없이는 엄격히 금지된다. 또한, 정상적인 LTE 서비스를 방해하지 않기 위해 테스트 케이스를 신중하게 생성하는 것과 유사하게, 통신사와 협력하여 네트워크 구성요소의 가용성 및 신뢰성 측면에서 우리의 테스트 케이스가 문제가 없음을 확인하였다.

이와 같이, 본 발명의 실시예에 따른 방법은 제어 평면 프로토콜 규격에 적합하지 않은 비정상 동작을 유발하는 테스트 케이스를 생성하고, 해당 테스트 케이스를 수행 시 발생한 제어 영역 메시지 응답 및 상태 변화 정보를 분석하여 대상 장비의 비정상 동작(또는 취약점)을 자동으로 탐지하고 원인을 진단함으로써, 이동통신 장비 및 단말의 다양한 보안 취약점들을 진단하고, 이를 통해 사회적 측면으로는 안전하고 신뢰성 있는 이동통신망 장비와 단말의 설계 및 구현할 수 있다.

또한, 본 발명의 실시예에 따른 방법은 이동통신망 제어 평면 프로토콜 통신을 담당하는 네트워크 장비 및 단말의 보안 취약점들을 자동으로 탐지하고 진단함으로써, 경제적 손실을 방지하고 보안성을 향상시킬 수 있다. 즉, 본 발명에 따른 방법은 통신망 사업자 및 장비 제조사들 입장에서 보안 위협이 발생하기 전에 선제적으로 문제를 진단하고 해결함으로써, 경제적 손실을 방지하고 보안성을 향상시킬 수 있다.

실제로 보안성 점검을 위해 만들어진 테스트 케이스를 일일이 수작업으로 시험하는 것은 상당히 많은 시간과 노력이 소요되지만, 본 발명의 방법을 이용하면 테스트 케이스 생성 및 테스트 수행과 더불어 문제점 진단을 자동화할 수 있다.

도 7은 본 발명의 일 실시예에 따른 제어 평면의 보안 분석 시스템에 대한 구성을 나타낸 것으로, 상기 도 1 내지 도 6의 방법을 수행하는 시스템에 대한 개념적인 구성을 나타낸 것이다.

도 7을 참조하면, 본 발명의 실시예에 따른 시스템(700)은 생성부(710), 송수신부(720) 및 분석부(730)를 포함한다.

생성부(710)는 제어 평면 동작에 적합하지 않은 보안 성질(security property)에 대한 테스트 케이스 예컨대, 비규격 테스트 케이스를 생성한다.

여기서, 생성부(710)는 제어 평면 프로토콜 헤더 중 특정 필드의 값을 표준 상의 동작에 적합하지 않은 값으로 변조함으로써, 보안 성질에 대한 테스트 케이스를 생성할 수 있으며, 제어 평면 프로토콜 헤더의 특정 필드는 시퀀스 넘버 필드(sequence number), 보안 헤더 타입 필드(security header type) 및 메시지 인증 코드 필드(MAC; Message Authentication Code) 중 적어도 하나를 포함할 수 있다.

나아가, 생성부(710)는 특정 필드의 값을 표준 상의 동작에 적합하지 않은 값으로 변조하고, 이동통신 네트워크 로그로부터 추출된 필드 값들을 이용하여 나머지 필드들의 값을 채움으로써, 보안 성질에 대한 테스트 케이스를 생성할 수 있다.

송수신부(720)는 생성된 테스트 케이스를 대상 장비 예를 들어, 단말 또는 통신망 장비로 전송하고, 대상 장비로부터 비규격 테스트 케이스에 대한 응답을 수신한다.

여기서, 송수신부(720)는 소프트웨어 정의 라디오(SDR)를 이용하여 생성된 테스트 케이스를 대상 장비로 전송하고, 소프트웨어 정의 라디오를 이용하여 테스트 케이스에 대한 응답을 수신할 수 있다.

분석부(730)는 대상 장비로부터 수신된 비규격 테스트 케이스에 대한 응답을 분석하여 대상 장비의 보안 성질에 대한 보안성을 진단한다.

여기서, 분석부(730)는 수신된 응답을 미리 정의된 의사결정 트리를 이용하여 분석함으로써, 보안 성질에 대한 보안성을 진단할 수 있으며, 수신된 응답과 테스트 케이스에 의한 상태 변화 정보를 분석하여 대상 장비의 비정상 동작을 탐지할 수 있다.

비록, 도 7의 시스템에서 그 설명이 생략되었더라도, 도 7을 구성하는 각 구성 수단은 도 1 내지 도 6에서 설명한 모든 내용을 포함할 수 있으며, 이는 이 기술 분야에 종사하는 당업자에게 있어서 자명하다.

이상에서 설명된 장치는 하드웨어 구성요소, 소프트웨어 구성요소, 및/또는 하드웨어 구성요소 및 소프트웨어 구성요소의 조합으로 구현될 수 있다. 예를 들어, 실시예들에서 설명된 장치 및 구성요소는, 예를 들어, 프로세서, 컨트롤러, ALU(arithmetic logic unit), 디지털 신호 프로세서(digital signal processor), 마이크로컴퓨터, FPA(field programmable array), PLU(programmable logic unit), 마이크로프로세서, 또는 명령(instruction)을 실행하고 응답할 수 있는 다른 어떠한 장치와 같이, 하나 이상의 범용 컴퓨터 또는 특수 목적 컴퓨터를 이용하여 구현될 수 있다. 처리 장치는 운영 체제(OS) 및 상기 운영 체제 상에서 수행되는 하나 이상의 소프트웨어 애플리케이션을 수행할 수 있다.　 또한, 처리 장치는 소프트웨어의 실행에 응답하여, 데이터를 접근, 저장, 조작, 처리 및 생성할 수도 있다.　 이해의 편의를 위하여, 처리 장치는 하나가 사용되는 것으로 설명된 경우도 있지만, 해당 기술분야에서 통상의 지식을 가진 자는, 처리 장치가 복수 개의 처리 요소(processing element) 및/또는 복수 유형의 처리 요소를 포함할 수 있음을 알 수 있다.　 예를 들어, 처리 장치는 복수 개의 프로세서 또는 하나의 프로세서 및 하나의 컨트롤러를 포함할 수 있다.　 또한, 병렬 프로세서(parallel processor)와 같은, 다른 처리 구성(processing configuration)도 가능하다.

소프트웨어는 컴퓨터 프로그램(computer program), 코드(code), 명령(instruction), 또는 이들 중 하나 이상의 조합을 포함할 수 있으며, 원하는 대로 동작하도록 처리 장치를 구성하거나 독립적으로 또는 결합적으로(collectively) 처리 장치를 명령할 수 있다.　 소프트웨어 및/또는 데이터는, 처리 장치에 의하여 해석되거나 처리 장치에 명령 또는 데이터를 제공하기 위하여, 어떤 유형의 기계, 구성요소(component), 물리적 장치, 가상 장치(virtual equipment), 컴퓨터 저장 매체 또는 장치에 구체화(embody)될 수 있다.　 소프트웨어는 네트워크로 연결된 컴퓨터 시스템 상에 분산되어서, 분산된 방법으로 저장되거나 실행될 수도 있다. 소프트웨어 및 데이터는 하나 이상의 컴퓨터 판독 가능 기록 매체에 저장될 수 있다.

실시예에 따른 방법은 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다.　 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다.　 상기 매체에 기록되는 프로그램 명령은 실시예를 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다.　 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다.　 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다.　

이상과 같이 실시예들이 비록 한정된 실시예와 도면에 의해 설명되었으나, 해당 기술분야에서 통상의 지식을 가진 자라면 상기의 기재로부터 다양한 수정 및 변형이 가능하다.　 예를 들어, 설명된 기술들이 설명된 방법과 다른 순서로 수행되거나, 및/또는 설명된 시스템, 구조, 장치, 회로 등의 구성요소들이 설명된 방법과 다른 형태로 결합 또는 조합되거나, 다른 구성요소 또는 균등물에 의하여 대치되거나 치환되더라도 적절한 결과가 달성될 수 있다.

그러므로, 다른 구현들, 다른 실시예들 및 특허청구범위와 균등한 것들도 후술하는 특허청구범위의 범위에 속한다.

Claims (19)

1. 제어 평면 동작에 적합하지 않은 보안 성질(security property)에 대한 테스트 케이스를 생성하는 단계;
   상기 생성된 테스트 케이스를 대상 장비로 전송하고, 상기 대상 장비로부터 상기 테스트 케이스에 대한 제어 평면의 응답을 수신하는 단계; 및
   상기 수신된 응답을 분석하여 상기 대상 장비의 상기 보안 성질에 대한 보안성을 진단하는 단계
   를 포함하는 제어 평면의 보안 분석 방법.
   
2. 제1항에 있어서,
   상기 생성하는 단계는
   제어 평면 프로토콜 헤더 중 특정 필드의 값을 표준 상의 동작에 적합하지 않은 값으로 변조함으로써, 상기 보안 성질에 대한 테스트 케이스를 생성하는 것을 특징으로 하는 제어 평면의 보안 분석 방법.
   
3. 제2항에 있어서,
   상기 특정 필드는
   시퀀스 넘버 필드(sequence number), 보안 헤더 타입 필드(security header type) 및 메시지 인증 코드 필드(MAC; Message Authentication Code) 중 적어도 하나를 포함하는 것을 특징으로 하는 제어 평면의 보안 분석 방법.
   
4. 제2항에 있어서,
   상기 생성하는 단계는
   상기 특정 필드의 값을 표준 상의 동작에 적합하지 않은 값으로 변조하고, 이동통신 네트워크 로그로부터 추출된 필드 값들을 이용하여 나머지 필드들의 값을 채움으로써, 상기 보안 성질에 대한 테스트 케이스를 생성하는 것을 특징으로 하는 제어 평면의 보안 분석 방법.
   
5. 제1항에 있어서,
   상기 진단하는 단계는
   상기 수신된 응답을 미리 정의된 의사결정 트리를 이용하여 분석함으로써, 상기 보안 성질에 대한 보안성을 진단하는 것을 특징으로 하는 제어 평면의 보안 분석 방법.
   
6. 제1항에 있어서,
   상기 진단하는 단계는
   상기 수신된 응답과 상기 테스트 케이스에 의한 상태 변화 정보를 분석하여 상기 대상 장비의 비정상 동작을 탐지하는 것을 특징으로 하는 제어 평면의 보안 분석 방법.
   
7. 제1항에 있어서,
   상기 수신하는 단계는
   소프트웨어 정의 라디오(SDR)를 이용하여 상기 생성된 테스트 케이스를 상기 대상 장비로 전송하고, 상기 소프트웨어 정의 라디오를 이용하여 상기 테스트 케이스에 대한 응답을 수신하는 것을 특징으로 하는 제어 평면의 보안 분석 방법.
   
8. 제어 평면 동작에 적합하지 않은 보안 성질(security property)에 대한 테스트 케이스를 생성하는 단계;
   상기 생성된 테스트 케이스를 대상 장비로 전송하고, 상기 대상 장비로부터 상기 테스트 케이스에 대한 제어 평면의 응답을 수신하는 단계; 및
   상기 수신된 응답을 미리 정의된 의사결정 트리를 이용하여 분석함으로써, 상기 대상 장비의 상기 보안 성질에 대한 보안성을 진단하는 단계
   를 포함하는 제어 평면의 보안 분석 방법.
   
9. 제8항에 있어서,
   상기 생성하는 단계는
   제어 평면 프로토콜 헤더 중 특정 필드의 값을 표준 상의 동작에 적합하지 않은 값으로 변조함으로써, 상기 보안 성질에 대한 테스트 케이스를 생성하는 것을 특징으로 하는 제어 평면의 보안 분석 방법.
   
10. 제9항에 있어서,
    상기 특정 필드는
    시퀀스 넘버 필드(sequence number), 보안 헤더 타입 필드(security header type) 및 메시지 인증 코드 필드(MAC; Message Authentication Code) 중 적어도 하나를 포함하는 것을 특징으로 하는 제어 평면의 보안 분석 방법.
    
11. 제9항에 있어서,
    상기 생성하는 단계는
    상기 특정 필드의 값을 표준 상의 동작에 적합하지 않은 값으로 변조하고, 이동통신 네트워크 로그로부터 추출된 필드 값들을 이용하여 나머지 필드들의 값을 채움으로써, 상기 보안 성질에 대한 테스트 케이스를 생성하는 것을 특징으로 하는 제어 평면의 보안 분석 방법.
    
12. 제어 평면 동작에 적합하지 않은 보안 성질(security property)에 대한 테스트 케이스를 생성하는 생성부;
    상기 생성된 테스트 케이스를 대상 장비로 전송하고, 상기 대상 장비로부터 상기 테스트 케이스에 대한 제어 평면의 응답을 수신하는 송수신부; 및
    상기 수신된 응답을 분석하여 상기 대상 장비의 상기 보안 성질에 대한 보안성을 진단하는 분석부
    를 포함하는 제어 평면의 보안 분석 시스템.
    
13. 제12항에 있어서,
    상기 생성부는
    제어 평면 프로토콜 헤더 중 특정 필드의 값을 표준 상의 동작에 적합하지 않은 값으로 변조함으로써, 상기 보안 성질에 대한 테스트 케이스를 생성하는 것을 특징으로 하는 제어 평면의 보안 분석 시스템.
    
14. 제13항에 있어서,
    상기 특정 필드는
    시퀀스 넘버 필드(sequence number), 보안 헤더 타입 필드(security header type) 및 메시지 인증 코드 필드(MAC; Message Authentication Code) 중 적어도 하나를 포함하는 것을 특징으로 하는 제어 평면의 보안 분석 시스템.
    
15. 제13항에 있어서,
    상기 생성부는
    상기 특정 필드의 값을 표준 상의 동작에 적합하지 않은 값으로 변조하고, 이동통신 네트워크 로그로부터 추출된 필드 값들을 이용하여 나머지 필드들의 값을 채움으로써, 상기 보안 성질에 대한 테스트 케이스를 생성하는 것을 특징으로 하는 제어 평면의 보안 분석 시스템.
    
16. 제12항에 있어서,
    상기 분석부는
    상기 수신된 응답을 미리 정의된 의사결정 트리를 이용하여 분석함으로써, 상기 보안 성질에 대한 보안성을 진단하는 것을 특징으로 하는 제어 평면의 보안 분석 시스템.
    
17. 제12항에 있어서,
    상기 분석부는
    상기 수신된 응답과 상기 테스트 케이스에 의한 상태 변화 정보를 분석하여 상기 대상 장비의 비정상 동작을 탐지하는 것을 특징으로 하는 제어 평면의 보안 분석 시스템.
    
18. 제12항에 있어서,
    상기 송수신부는
    소프트웨어 정의 라디오(SDR)를 이용하여 상기 생성된 테스트 케이스를 상기 대상 장비로 전송하고, 상기 소프트웨어 정의 라디오를 이용하여 상기 테스트 케이스에 대한 응답을 수신하는 것을 특징으로 하는 제어 평면의 보안 분석 시스템.
    
19. 제어 평면 프로토콜 헤더 중 특정 필드의 값을 표준 상의 동작에 적합하지 않은 값으로 변조함으로써, 제어 평면 동작에 적합하지 않은 보안 성질(security property)에 대한 테스트 케이스를 생성하는 단계;
    상기 생성된 테스트 케이스를 대상 장비로 전송하고, 상기 대상 장비로부터 상기 테스트 케이스에 대한 제어 평면의 응답을 수신하는 단계; 및
    상기 수신된 응답을 분석하여 상기 대상 장비의 상기 보안 성질에 대한 보안성을 진단하는 단계
    를 포함하는 제어 평면의 보안 분석 방법.

Images