KR20210015704A - Method for SDN-based Intrusion Response or Prevention for In-vehicle Network and System using the same - Google Patents

Method for SDN-based Intrusion Response or Prevention for In-vehicle Network and System using the same Download PDF

Info

Publication number
KR20210015704A
KR20210015704A KR1020200095518A KR20200095518A KR20210015704A KR 20210015704 A KR20210015704 A KR 20210015704A KR 1020200095518 A KR1020200095518 A KR 1020200095518A KR 20200095518 A KR20200095518 A KR 20200095518A KR 20210015704 A KR20210015704 A KR 20210015704A
Authority
KR
South Korea
Prior art keywords
packet
sdn
intrusion
switch
flow
Prior art date
Application number
KR1020200095518A
Other languages
Korean (ko)
Inventor
김휘강
정성훈
박승욱
임화평
Original Assignee
고려대학교 산학협력단
기아자동차주식회사
현대자동차주식회사
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 고려대학교 산학협력단, 기아자동차주식회사, 현대자동차주식회사 filed Critical 고려대학교 산학협력단
Priority to DE112020003655.3T priority Critical patent/DE112020003655T5/en
Priority to PCT/KR2020/010141 priority patent/WO2021020934A1/en
Priority to US17/631,836 priority patent/US20220278994A1/en
Priority to CN202080055869.XA priority patent/CN114467281A/en
Publication of KR20210015704A publication Critical patent/KR20210015704A/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/026—Capturing of monitoring data using flow identification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/12—Network monitoring probes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Abstract

The present disclosure relates to a method for detecting and responding to vehicle intrusion using an SDN support switch installed in an in-vehicle network (IVN) and an SDN controller communicating with the SDN support switch. More specifically, the present disclosure provides an intrusion response system (IRS) and a method thereof. The method comprises: transmitting, by the SDN support switch, a packet-in message to the SDN controller so as to enable an intrusion detection system (IDS) to determine whether a particular packet is an intrusion packet; and receiving, by the SDN controller, an action according to a result of the determination and transmitting a packet-out message to the SDN support switch so as to control a flow of the particular packet. According to the present invention, the SDN switch can monitor and block traffic introduced into the IVN.

Description

차량 내부 네트워크에 대한 SDN 기반의 침입 대응 방법 및 이를 이용한 시스템{Method for SDN-based Intrusion Response or Prevention for In-vehicle Network and System using the same}SDN-based Intrusion Response or Prevention for In-vehicle Network and System using the same}

본 발명은 차량 내부 네트워크(In-vehicle Network: IVN)에 대한 침입 혹은 공격을 탐지하고 차단하는 기술에 관한 것이다.The present invention relates to a technology for detecting and blocking an intrusion or attack on an in-vehicle network (IVN).

이 부분에 기술된 내용은 단순히 본 실시예에 대한 배경 정보를 제공할 뿐 종래기술을 구성하는 것은 아니다.The content described in this section merely provides background information on the present embodiment and does not constitute the prior art.

V2X 통신 및 네트워크 기반의 자율 주행(autonomous driving) 관련 기술이 적용된 상업용 차량의 개발이 이루어지고 있다. 예컨대, IEEE 802.11p WAVE(차량 환경의 무선 액세스), DSRC(Dedicated Short-Range Communication; 전용 단거리 통신), V2X 기술들은 CAV(Connected and Automated Vehicle)에서 요구되는 연결성(connectivity)을 제공하고 있다.Commercial vehicles to which V2X communication and network-based autonomous driving technologies are applied are being developed. For example, IEEE 802.11p WAVE (radio access in a vehicle environment), DSRC (Dedicated Short-Range Communication), and V2X technologies provide the connectivity required in CAV (Connected and Automated Vehicle).

다수의 센서, 카메라 등을 노드로 하는 네트워크 기반의 자율 주행 시스템을 구현하기 위해서는 높은 대역폭(high bandwidth)을 지원할 수 있는 차량 내 통신 프로토콜(communication protocol)의 개발이 필요하다. 종래 이더넷(Ethernet) 기반의 네트워크는 CAV와 완전히 호환되지 않는 문제가 있었다. 이에, 별도의 차량용 이더넷(ethernet for vehicle) 또는 CAN(Controller Area Network), 이더넷 및 차량용 이더넷을 포함하는 '하이브리드 네트워크(hybrid network)'에 관한 개발 또한 이루어지고 있다.In order to implement a network-based autonomous driving system using multiple sensors, cameras, etc. as nodes, it is necessary to develop an in-vehicle communication protocol capable of supporting a high bandwidth. The conventional Ethernet-based network has a problem that is not completely compatible with CAV. Accordingly, development of a separate'hybrid network' including Ethernet for vehicle or CAN (Controller Area Network), Ethernet and Ethernet for vehicles is also being made.

한편, 이러한 V2X 통신 및 IVN을 적용한 상업용 차량 개발을 가로막는 요소로는 통신망 또는 네트워크망 침입을 기초로 한 보안 위협이 있다. 도 1은 차량의 보안 위협 종류를 분류한 분류도이다. 차량의 보안을 위협하는 공격에는 권한 탈취형과 비권한 탈취형 공격, 공격 소스를 기반으로 한 외부 공격과 차량 내부 요소들에 대한 내부 공격이 있다. 내부 공격은 대개 대상 차량에 물리적으로 접근하여 공격자가 수행하여 눈에 띄는 피해를 끼치는 반면 외부 공격은 주로 근거리 RF 통신, 키리스 엔트리 시스템(keyless entry system) 또는 타이어 압력 모니터링 시스템과 같은 센서 기반 시스템을 기초로 이루어져 그 영향력이 제한적이었다. 그러나, IVN 환경에서의 차량 내 연결성과 V2X 환경에서의 차량 간 연결성이 증대됨에 따라, 차량 외부 공격의 영향력은 증대될 예정이다.On the other hand, as a factor that hinders the development of commercial vehicles applying V2X communication and IVN, there is a security threat based on intrusion of a communication network or a network network. 1 is a classification diagram for classifying types of security threats of vehicles. Attacks that threaten the security of a vehicle include an empowerment and non-authority anonymity attacks, an external attack based on the attack source, and an internal attack on elements inside the vehicle. Internal attacks are usually performed by an attacker by physically approaching the target vehicle, causing noticeable damage, while external attacks mainly involve sensor-based systems such as short-range RF communication, keyless entry systems, or tire pressure monitoring systems. It consisted of a foundation and had limited influence. However, as the intra-vehicle connectivity in the IVN environment and the inter-vehicle connectivity in the V2X environment increase, the influence of external attacks on the vehicle is expected to increase.

이에, CAN 버스 기반 IVN에서의 침입 탐지 방법론이 개발되고 있다. 침입 탐지 방법론 중 하나로 머신러닝(machine learning) 또는 딥러닝(deep learning) 알고리즘을 적용하는 방법이 도입되었으나, 이러한 알고리즘은 트래픽 데이터를 테스트하고 공격 또는 침입 여부를 예측 또는 판단하는 데 높은 컴퓨팅 성능이 요구된다. 이에 오프로드 감지 아키텍처(off-load detection architecture)가 그 대안으로 제시된 바 있으나, 오프로드 감지 아키텍처는 온로드(on-load) 환경과의 호환성에서 문제가 있다.Accordingly, an intrusion detection methodology in IVN based on CAN bus is being developed. As one of the intrusion detection methodologies, a method of applying machine learning or deep learning algorithms was introduced, but these algorithms require high computing power to test traffic data and predict or determine whether an attack or intrusion has occurred. do. Accordingly, an off-load detection architecture has been proposed as an alternative, but the off-load detection architecture has a problem in compatibility with an on-load environment.

설령, 공격 또는 침입을 적절히 감지한 경우에도 이에 대응하여 공격 또는 침입을 완화하는 방법이 문제가 되어 왔다. 종래 제안된 완화 방법들은 IVN 차량에 대한 공격에는 적절한 대안이 되지 못 하였다.Even when an attack or intrusion is properly detected, a method of mitigating an attack or intrusion in response to this has been a problem. The mitigation methods previously proposed have not been suitable alternatives to attacks on IVN vehicles.

즉, V2X와 IVN을 지원하는 차량의 위험을 탐지하고 적절히 대응하기 위한 기술 프레임워크에 대한 개발이 부족한 실정이다. 현재, 차량에 탑재된 침입 탐지 시스템(Intrusion Detection System: IDS)은 차량 시스템의 계산 능력 한계로 경량 알고리즘만 지원한다는 제한이 있다. 따라서, 이러한 계산 능력의 한계를 극복한 침입 탐지 및 그 대응을 제시하기 위한 침입 대응 시스템(Intrusion Response System: IRS)의 고안이 필요하다.In other words, there is a lack of development of a technology framework to detect and respond appropriately to the dangers of vehicles supporting V2X and IVN. Currently, the intrusion detection system (IDS) installed in the vehicle has a limitation in that it supports only lightweight algorithms due to the limitation of the calculation capability of the vehicle system. Therefore, it is necessary to devise an Intrusion Response System (IRS) to provide intrusion detection and countermeasures overcoming the limitation of this computational capability.

본 개시는 소프트웨어 정의 네트워크(Software-Defined Networking: SDN) 기술을 이용하여, 이더넷(Ethernet) 기반의 차량 내부 네트워크(In-Vehicle Network: IVN)에 대한 공격을 탐지하고 나아가 이에 대응하는 방법 및 이를 이용한 시스템을 제시한다.The present disclosure uses a software-defined network (SDN) technology to detect and respond to an attack on an Ethernet-based in-vehicle network (IVN), and a method using the same. Present the system.

본 개시의 일 측면에 의하면, 차량 내부 네트워크(In-Vehicle Network: IVN)에 대한 침입 대응 시스템으로서, 차량 내부 네트워크에 설치되어, 유입된 패킷에 대응되는 플로우 테이블(flow table) 내 플로우 엔트리(flow entry)를 참조하여 상기 유입된 패킷의 플로우를 제어하는 SDN 지원 스위치; 및 상기 SDN 지원 스위치와 통신하고, 상기 SDN 지원 스위치로부터 상기 유입된 패킷을 수신하여 상기 유입된 패킷에 대응하는 액션(action)을 상기 SDN 지원 스위치로 송신하는 SDN 컨트롤러를 포함하되, 상기 SDN 컨트롤러는, 침입 탐지 시스템(Intrusion Detection System: IDS)에 상기 유입된 패킷을 송신하여 침입 패킷인지 여부를 판단받고, 상기 침입 탐지 시스템으로부터 판단 결과에 따른 액션을 수신하여 상기 유입된 패킷에 대응하는 액션으로서 상기 SDN 지원 스위치로 송신하는 것을 특징으로 하는 침입 대응 시스템을 제공한다.According to an aspect of the present disclosure, as an intrusion response system for an In-Vehicle Network (IVN), a flow entry in a flow table corresponding to an inflow packet is installed in the vehicle internal network. SDN support switch for controlling the flow of the introduced packet by referring to (entry); And an SDN controller that communicates with the SDN support switch, receives the introduced packet from the SDN support switch, and transmits an action corresponding to the introduced packet to the SDN support switch, wherein the SDN controller , The intrusion detection system (IDS) transmits the intrusion packet to determine whether it is an intrusion packet, and receives an action according to the determination result from the intrusion detection system as an action corresponding to the introduced packet. It provides an intrusion response system, characterized in that the transmission to the SDN support switch.

본 개시의 다른 측면에 의하면, 차량 내부 네트워크(In-Vehicle Network: IVN)에 설치된 SDN 지원 스위치 및 차량 외부에 배치된 SDN 컨트롤러를 이용하여 차량 침입을 탐지하고 대응하는 방법에 있어서, 상기 SDN 지원 스위치가 상기 차량 내부 네트워크로부터 유입된 패킷을 포함하는 패킷-인 메시지(packet-in message)를 상기 SDN 컨트롤러로 송신하는 과정; 상기 SDN 컨트롤러가 상기 패킷-인 메시지를 수신하여 침입 탐지 시스템(Intrusion Detection System: IDS)에 송신하는 과정; 상기 SDN 컨트롤러는 상기 침입 탐지 시스템으로 하여금 상기 유입된 패킷이 침입 패킷인지 여부를 판단하게 하고, 상기 침입 탐지 시스템으로부터 판단 결과에 따른 액션을 수신하는 과정; 상기 SDN 컨트롤러가 상기 판단 결과에 따른 액션이 포함된 패킷-아웃 메시지(packet-out message)를 상기 SDN 지원 스위치에 송신하는 과정; 및 상기 SDN 지원 스위치가 상기 판단 결과에 따른 액션에 기반하여 상기 유입된 패킷의 패킷의 흐름을 제어하는 과정을 포함하는 것을 특징으로 하는 침입 대응 방법을 제공한다.According to another aspect of the present disclosure, in a method for detecting and responding to vehicle intrusion using an SDN support switch installed in an In-Vehicle Network (IVN) and an SDN controller disposed outside the vehicle, the SDN support switch Transmitting a packet-in message including a packet introduced from the in-vehicle network to the SDN controller; Receiving, by the SDN controller, the packet-in message and transmitting it to an intrusion detection system (IDS); The SDN controller causing the intrusion detection system to determine whether the introduced packet is an intrusion packet, and receiving an action according to a determination result from the intrusion detection system; Transmitting, by the SDN controller, a packet-out message including an action according to the determination result to the SDN supporting switch; And controlling, by the SDN support switch, a flow of packets of the introduced packets based on an action according to the determination result.

본 개시의 또 다른 측면에 의하면, 본 실시예의 침입 대응 방법에 있어서, 상기 패킷-인 메시지를 상기 SDN 컨트롤러로 송신하는 과정은, 추출된 플로우 엔트리가 없거나, 만료되었거나 또는 추출된 플로우 앤트리의 액션 필드(action field)가 컨트롤러로의 포워딩(forward to controller) 명령을 포함하는 경우에 송신을 수행하는 것을 특징으로 하는 침입 대응 방법을 제공한다.According to another aspect of the present disclosure, in the intrusion response method of the present embodiment, the process of transmitting the packet-in message to the SDN controller includes no extracted flow entry, expired, or an action of the extracted flow entry. Provides an intrusion response method, characterized in that transmission is performed when an action field includes a forward to controller command.

본 개시의 SDN 스위치는 차량 내부 네트워크에 유입되는 트래픽의 모니터링과 차단을 동시에 수행할 수 있다. 즉, SDN 스위치는 플로우 테이블(flow table)을 기반으로 차량 내 유입된 트래픽을 모니터링하면서 공격으로 식별된 트래픽을 선별적으로 차단할 수 있다.The SDN switch of the present disclosure may simultaneously monitor and block traffic flowing into the vehicle internal network. That is, the SDN switch may selectively block traffic identified as an attack while monitoring traffic introduced into the vehicle based on a flow table.

본 개시에 따르면, 차량 내 유입되는 패킷의 침입 패킷 여부에 대한 판단과 플로우 제어 액션에 대한 결정이 차량 내부 네트워크에서가 아닌 원격으로 결정되게 함으로써, 차량 내부 환경과 관계없이 높은 컴퓨팅 성능이 요구되는 고성능의 탐지 기술, 이를테면 딥러닝(deep learning) 또는 AI(Artificial Intelligence) 방법론을 기반으로 침입 패킷을 탐지할 수 있고, 탐지 결과에 따라 적절한 대응 명령을 제시할 수 있다. 또한, 차량 외부의 침입 탐지 시스템은 차량 환경과 관계없이 실시간으로 탐지 알고리즘 혹은 모델의 변경 혹은 업데이트를 가능하게 한다.According to the present disclosure, the determination of whether or not a packet entering the vehicle is an intrusion packet and the determination of the flow control action are determined remotely rather than from the vehicle internal network, thereby requiring high computing performance regardless of the vehicle internal environment. Intrusion packets can be detected based on the detection technology of, for example, deep learning or AI (Artificial Intelligence) methodology, and appropriate response commands can be presented according to the detection results. In addition, the intrusion detection system outside the vehicle makes it possible to change or update the detection algorithm or model in real time regardless of the vehicle environment.

더욱이, 본 개시에 따르면, 복수의 차량에서 발생하는 내부 트래픽을 한 곳에서 동시적이고 종합적으로 모니터링할 수 있다. 이를 통해 단일 차량에서 탐지하기 어려운 애매한 이상 징후를 수집하고 다른 차량의 정상 트래픽과 비교함으로써 보다 정밀한 공격 탐지가 가능하게 된다.Moreover, according to the present disclosure, it is possible to simultaneously and comprehensively monitor internal traffic generated by a plurality of vehicles in one place. This enables more precise attack detection by collecting ambiguous anomalies that are difficult to detect in a single vehicle and comparing them with normal traffic of other vehicles.

본 개시의 기술은 기존 이더넷 기반 차량에 구비된 일반 스위치에 SDN 장치를 추가함으로써도 적용 가능하다. 따라서, 이더넷 기반의 차량 내부 네트워크의 토폴로지의 변경을 최소화하면서 본 개시의 기술이 적용될 수 있다.The technology of the present disclosure can also be applied by adding an SDN device to a general switch provided in an existing Ethernet-based vehicle. Accordingly, the technology of the present disclosure can be applied while minimizing a change in topology of an Ethernet-based vehicle internal network.

도 1은 차량의 보안 위협 종류를 분류한 분류도이다.
도 2는 전형적인 SDN의 아키텍처를 도시한 개념도이다.
도 3은 SDN 시스템을 구성과 하는 SDN 컨트롤러(SDN Controller)와 SDN 디바이스(SDN Device), 및 SDN 디바이스에 탑재되는 플로우 테이블(flow table)를 구성하는 플로우 엔트리의 구성 필드를 보인다.
도 4는 본 발명의 일 실시예에 따른 침입 대응 시스템(Intrusion Response System: IRS)의 구조를 개략적으로 나타내는 개념도이다.
도 5는 본 발명의 일 실시예에 따른 침입 대응 시스템의 동작을 도식화한 개념도이다.
도 6a 및 도 6b는 본 발명의 일 실시예에 따른 차량 내부 네트워크의 예시적인 토폴로지를 도시한 도면이다.
도 7a 및 도 7b는 본 발명의 일 실시예에 따른 침입 대응 시스템의 중앙 집중형 및 분산형 구조의 제어 평면 토폴로지를 도시한 도면이다.
도 8a 및 도 8b는 본 발명의 일 실시예에 따른 침입 대응 시스템(IRS)에 적용가능한 침입 탐지 시스템(IDS)의 토폴로지를 도시한 도면이다.
도 9a 및 도 9b는 본 실시예에 따른 이벤트 중심 침입 탐지 방법과 그 대응 방법을 나타내는 흐름도이다.
도 10은 본 개시에 따른 침입 대응 시스템의 유용성을 보이는 유스 케이스 시나리오를 나타내는 예시도이다.1 is a classification diagram for classifying types of security threats of vehicles.
2 is a conceptual diagram showing the architecture of a typical SDN.
FIG. 3 shows a configuration field of a flow entry constituting an SDN controller and an SDN device constituting the SDN system, and a flow table mounted on the SDN device.
4 is a conceptual diagram schematically showing the structure of an Intrusion Response System (IRS) according to an embodiment of the present invention.
5 is a conceptual diagram schematically illustrating the operation of an intrusion response system according to an embodiment of the present invention.
6A and 6B are diagrams illustrating an exemplary topology of an in-vehicle network according to an embodiment of the present invention.
7A and 7B are views showing a control plane topology of a centralized and distributed structure of an intrusion response system according to an embodiment of the present invention.
8A and 8B are diagrams illustrating a topology of an intrusion detection system (IDS) applicable to an intrusion response system (IRS) according to an embodiment of the present invention.
9A and 9B are flowcharts illustrating an event-driven intrusion detection method and a corresponding method according to the present embodiment.
10 is an exemplary diagram showing a use case scenario showing the usefulness of the intrusion response system according to the present disclosure.

이하, 본 발명의 일부 실시예들을 예시적인 도면을 통해 상세하게 설명한다. 각 도면의 구성요소들에 참조부호를 부가함에 있어서, 동일한 구성요소들에 대해서는 비록 다른 도면상에 표시되더라도 가능한 한 동일한 부호를 가지도록 하고 있음에 유의해야 한다. 또한, 본 발명을 설명함에 있어, 관련된 공지 구성 또는 기능에 대한 구체적인 설명이 본 발명의 요지를 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명은 생략한다.Hereinafter, some embodiments of the present invention will be described in detail through exemplary drawings. In adding reference numerals to elements of each drawing, it should be noted that the same elements are assigned the same numerals as possible even if they are indicated on different drawings. In addition, in describing the present invention, if it is determined that a detailed description of a related known configuration or function may obscure the subject matter of the present invention, a detailed description thereof will be omitted.

또한, 본 발명의 구성 요소를 설명하는 데 있어서, 제1, 제2, (a), (b) 등의 용어를 사용할 수 있다. 이러한 용어는 그 구성 요소를 다른 구성 요소와 구별하기 위한 것일 뿐, 그 용어에 의해 해당 구성 요소의 본질이나 차례 또는 순서 등이 한정되지 않는다. 명세서 전체에서, 어떤 부분이 어떤 구성요소를 '포함', '구비'한다고 할 때, 이는 특별히 반대되는 기재가 없는 한 다른 구성요소를 제외하는 것이 아니라 다른 구성요소를 더 포함할 수 있는 것을 의미한다. 또한, 명세서에 기재된 '…부', '모듈' 등의 용어는 적어도 하나의 기능이나 동작을 처리하는 단위를 의미하며, 이는 하드웨어나 소프트웨어 또는 하드웨어 및 소프트웨어의 결합으로 구현될 수 있다.In addition, in describing the constituent elements of the present invention, terms such as first, second, (a), (b) may be used. These terms are only used to distinguish the component from other components, and the nature, order, or order of the component is not limited by the term. Throughout the specification, when a part'includes' or'includes' a certain element, it means that other elements may be further included rather than excluding other elements unless otherwise stated. . In addition, the'... Terms such as'sub' and'module' mean a unit that processes at least one function or operation, which may be implemented by hardware or software or a combination of hardware and software.

첨부된 도면과 함께 이하에 개시될 상세한 설명은 본 발명의 예시적인 실시형태를 설명하고자 하는 것이며, 본 발명이 실시될 수 있는 유일한 실시형태를 나타내고자 하는 것이 아니다.The detailed description to be disclosed hereinafter together with the accompanying drawings is intended to describe exemplary embodiments of the present invention, and is not intended to represent the only embodiments in which the present invention may be practiced.

본 개시는, 일반적으로, 소프트웨어 정의 네트워크(Software-Defined Networking: SDN) 기술을 이용하여, 이더넷(Ethernet) 기반의 차량 내부 네트워크(In-Vehicle Network: IVN)에 대한 공격을 탐지하고 나아가 이에 대응하는 침입 대응 방법 및 침입 대응 시스템에 관한 것이다. In general, the present disclosure detects an attack on an Ethernet-based in-vehicle network (IVN) and further responds to it, using a software-defined network (SDN) technology. It relates to an intrusion response method and an intrusion response system.

소프트웨어 정의 네트워크(SDN)는 스위치, 라우터와 같은 네트워크 장치의 제어 부분을 데이터 전송 부분과 분리하고, 네트워크 장치의 기능을 정의할 수 있는 개방형 인터페이스를 외부에 제공하여, 이를 통해 프로그램된 소프트웨어로 다양한 네트워크 경로 설정 및 제어, 관리 등을 할 수 있도록 하는 기술이다.A software-defined network (SDN) separates the control part of network devices such as switches and routers from the data transmission part, and provides an open interface that can define the functions of the network device to the outside. It is a technology that enables route setting, control, and management.

도 2는 전형적인 SDN의 아키텍처를 도시한 개념도이다. SDN 아키텍쳐는 애플리케이션 계층(application layer), 제어 계층(control layer) 및 인프라스트럭쳐 계층(infrastructure layer)을 포함하는 3 개의 계층으로 정의된다. 애플리케이션 계층, 제어 계층, 및 인프라스트럭쳐 계층은 각각 애플리케이션 평면(application plane), 제어 평면(control plane), 및 인프라스트럭쳐 평면(infrastructure plane, 혹은 데이터 평면(data plane))으로도 불린다. 각 계층은 개방형 인터페이스(open interface)를 통해 서로 통신한다. "노스바운드 API(northbound API)"로 지칭되는 애플리케이션 계층과 제어 계층 간의 개방형 인터페이스는 여러 가지 기능의 애플리케이션을 개발하고 다른 운영 도구과 통신을 가능하게 하는 API로서, 대개 Restful API를 주로 사용한다. "사우스바운드 API(southbound API)"로 지칭되는 제어 계층과 인프라스트럭쳐 계층 간의 개방형 인터페이스는 포워딩 제어, 정보 수집 등을 위한 인터페이스로서, 예컨대, OpenFlow, OF-config, Netconf 등이 그 예이다.2 is a conceptual diagram showing the architecture of a typical SDN. The SDN architecture is defined as three layers including an application layer, a control layer, and an infrastructure layer. The application layer, the control layer, and the infrastructure layer are also referred to as an application plane, a control plane, and an infrastructure plane, or data plane, respectively. Each layer communicates with each other through an open interface. The open interface between the application layer and the control layer, referred to as "northbound API", is an API that enables the development of applications with various functions and communication with other operating tools, and usually uses the Restful API. An open interface between the control layer and the infrastructure layer referred to as "southbound API" is an interface for forwarding control, information collection, etc., for example, OpenFlow, OF-config, Netconf, and the like.

도 3은 SDN 시스템을 구성과 하는 SDN 컨트롤러(SDN Controller)와 SDN 디바이스(SDN Device), 및 SDN 디바이스에 탑재되는 플로우 테이블(flow table)를 구성하는 플로우 엔트리의 구성 필드를 보인다. 논리적 엔티티(entity)인 SDN 컨트롤러는 SDN 시스템의 제어 평면에 배치되고, 하드웨어 디바이스인 SDN 디바이스는 데이터 평면에 배치된다. SDN 디바이스(SDN Device)에 탑재되는 플로우 테이블은 SDN 디바이스에 수신된 패킷을 처리하기 위해서 다음과 같은 세 가지 주요 필드를 포함한다. 여기에는 플로우를 정의하는 패킷 헤더 정보(rule), 패킷을 어떻게 처리할 지를 표시하는 동작(action), 그리고 각 플로우별 통계(statistics)를 포함한다. 제어장치는 사우스바운드 API를 이용하여 스위치 내부의 플로우 테이블을 작성할 수 있으며, 여기에는 새로운 플로우를 등록하거나 삭제하는 기능을 포함한다.FIG. 3 shows a configuration field of a flow entry constituting an SDN controller and an SDN device constituting the SDN system, and a flow table mounted on the SDN device. The SDN controller, which is a logical entity, is disposed on the control plane of the SDN system, and the SDN device, which is a hardware device, is disposed on the data plane. The flow table mounted on the SDN device includes the following three main fields to process packets received by the SDN device. This includes packet header information (rule) defining a flow, an action indicating how to process a packet, and statistics for each flow. The control device can create the flow table inside the switch by using the Southbound API, which includes the function of registering or deleting a new flow.

도 4는 본 발명의 일 실시예에 따른 침입 대응 시스템(Intrusion Response System: IRS)의 구조를 개략적으로 나타내는 개념도이다.4 is a conceptual diagram schematically showing the structure of an Intrusion Response System (IRS) according to an embodiment of the present invention.

전술한 바와 같이, 본 개시의 침입 대응 시스템(IRS; 400)은 소프트웨어 정의 네트워크(SDN) 기술을 이용한다. SDN은 가상화된 아키텍처이므로 그 구성요소들을 물리적으로 같은 위치에 배치할 필요는 없다. 본 개시의 침입 대응 시스템(400)에 따르면, SDN 시스템의 데이터 평면에는 SDN 지원 스위치(SDN Switch, 410)를 구비한 차량 내부 네트워크(IVN)가 배치되고, SDN 시스템의 제어 평면에는 SDN 컨트롤러(SDN Controller, 420)가 배치되며, SDN 시스템의 애플리케이션 평면에는 침입 탐지 시스템(Intrusion Detection System: IDS, 430)이 배치된다.As described above, the intrusion response system (IRS) 400 of the present disclosure uses a software defined network (SDN) technology. Since SDN is a virtualized architecture, its components do not need to be physically co-located. According to the intrusion response system 400 of the present disclosure, an in-vehicle network (IVN) having an SDN support switch 410 is disposed in the data plane of the SDN system, and the SDN controller (SDN) is disposed in the control plane of the SDN system. A controller 420 is placed, and an intrusion detection system (IDS) 430 is placed on the application plane of the SDN system.

침입 대응 시스템(400)은 트래픽이 발생하는 차량과 트래픽을 분석하여 침입 여부를 판단하고 그 판단 결과에 따른 대응을 결정하는 논리적 혹은 물리적 엔티티(entity)를 차량 내부 네트워크로부터 분리시킨다. 침입 탐지 시스템(430)의 운용 주체는 SDN 컨트롤러(420)의 운용 주체와 상이할 수도 있다.The intrusion response system 400 determines whether an intrusion has occurred by analyzing the vehicle and the traffic generating the traffic, and separates a logical or physical entity that determines a response according to the determination result from the vehicle internal network. The operating entity of the intrusion detection system 430 may be different from the operating entity of the SDN controller 420.

차량 내부 네트워크에 구비된 SDN 지원 스위치(410)는 플로우 테이블(flow table)을 기초로 차량 내부 네트워크에서 발생한 트래픽 혹은 차량 내부 네트워크로 유입되는 트래픽을 제어한다. 차량과 V2I 통신으로 연결되는 차량 외부의 SDN 컨트롤러(420)는 SDN 지원 스위치로부터 의심되는 트래픽을 수신하며, 수신된 트래픽이 공격자의 침입 관련 트래픽인지 여부에 대한 침입 탐지 시스템(430)의 판단 결과에 따라 그 의심되는 트래픽에 대한 SDN 지원 스위치(410)의 액션(action)을 결정할 수 있다.The SDN support switch 410 provided in the in-vehicle network controls traffic generated in the in-vehicle network or traffic flowing into the in-vehicle network based on a flow table. The SDN controller 420 outside the vehicle connected through V2I communication with the vehicle receives suspicious traffic from the SDN support switch, and the intrusion detection system 430 determines whether the received traffic is an attacker's intrusion-related traffic. Accordingly, an action of the SDN supporting switch 410 for the suspected traffic may be determined.

도 5는 본 발명의 일 실시예에 따른 침입 대응 시스템의 동작을 도식화한 개념도이다.5 is a conceptual diagram schematically illustrating the operation of an intrusion response system according to an embodiment of the present invention.

(STEP 1) 차량에 대한 공격: 차량에 공격이 발생한다. 공격은 내부 공격(예: 손상된 ECU의 잘못된 패킷) 또는 외부 공격(예: V2V 통신을 통해 인터넷 또는 주변 차량에서 발생)이다.(STEP 1) Attack on vehicle: An attack occurs on the vehicle. An attack is an internal attack (e.g., a bad packet from a compromised ECU) or an external attack (e.g. from the Internet or a nearby vehicle via V2V communication).

(STEP 2) 정보 수집: SDN 지원 스위치(410)는 내부 또는 외부에서 들어오는 패킷을 수집하고, 수집된 패킷은 SDN 컨트롤러(420)를 통해 외부의 침입 탐지 시스템(IDS)로 전달된다.(STEP 2) Information collection: The SDN support switch 410 collects packets coming from inside or outside, and the collected packets are transmitted to an external intrusion detection system (IDS) through the SDN controller 420.

(STEP 3) 침입 탐지: 침입 탐지 시스템(430)은 다양한 탐지 방법론을 사용하여 들어오는 패킷을 분석한다. 침입 탐지 시스템(430)은 필요에 따라 탐지된 공격 정보를 또 다른 침입 탐지 시스템(미도시)이나 분석 시스템에 선택적으로 전송하여 보다 정확한 결정을 내릴 수 있다. 이러한 또 다른 침입 탐지 시스템(미도시)이나 분석 시스템은 심층적인 패킷 검사, 네트워크 포렌식(forensic), 공격의 근본 원인 파악, 침입 탐지 시스템(430) 내의 일부 대책의 구축 및 배포 등을 수행할 수 있다.(STEP 3) Intrusion detection: The intrusion detection system 430 analyzes incoming packets using various detection methodologies. If necessary, the intrusion detection system 430 may selectively transmit the detected attack information to another intrusion detection system (not shown) or an analysis system to make a more accurate decision. Such another intrusion detection system (not shown) or analysis system can perform in-depth packet inspection, network forensic, identification of the root cause of an attack, construction and distribution of some measures in the intrusion detection system 430, etc. .

(STEP 4) 행동 전개: SDN 컨트롤러(420)는 침입 탐지 시스템(430)으로부터 침입 여부의 판단 또는 판단 결과에 따른 액션을 수신한다.(STEP 4) Action development: The SDN controller 420 receives an intrusion determination from the intrusion detection system 430 or an action according to the determination result.

(STEP 5) 침입 대응: SDN 지원 스위치(410)는 패킷 제어의 동작을 전개한다(예: 패킷 드롭, 목적지 노드로의 포워딩, 입력 소스의 일시적 차단 등).(STEP 5) Intrusion response: The SDN support switch 410 develops a packet control operation (eg, packet drop, forwarding to a destination node, temporary blocking of an input source, etc.).

이하, 제안된 침입 대응 시스템(400)에서 SDN 지원 스위치(410), SDN 컨트롤러(420) 및 침입 탐지 시스템(430)의 기능 및 동작을 자세히 설명한다.Hereinafter, functions and operations of the SDN support switch 410, the SDN controller 420, and the intrusion detection system 430 in the proposed intrusion response system 400 will be described in detail.

SDN 지원 스위치(410)는 차량에 탑재되어 차량의 IVN 또는 V2X 통신으로 유입되는 모든 트래픽 또는 패킷(이하, "패킷"으로 통일함)의 흐름을 제어한다. SDN 지원 스위치(410)는 SDN 스위치 또는 SDN 환경에서 동작하도록 SDN 장치를 결합한 일반 스위치일 수 있으나, 반드시 이에 한하지 않는다. 예컨대, 차량에 탑재된 IVN 또는 V2X 환경에서 발생하는 패킷들의 흐름을 제어할 수 있고, 제어 평면의 SDN 컨트롤러(420)와 통신할 수 있으면 본 실시예에 따른 SDN 지원 스위치(410)가 될 수 있다.The SDN support switch 410 controls the flow of all traffic or packets (hereinafter referred to as "packets") that are mounted on the vehicle and flow into the vehicle's IVN or V2X communication. The SDN support switch 410 may be an SDN switch or a general switch combining SDN devices to operate in an SDN environment, but is not limited thereto. For example, if the flow of packets generated in the IVN or V2X environment mounted on the vehicle can be controlled, and can communicate with the SDN controller 420 of the control plane, the SDN support switch 410 according to the present embodiment can be. .

SDN 지원 스위치(410)는 탑재된 플로우 테이블(flow table)을 이용하여 SDN 지원 스위치(410)로 유입된 패킷을 제어한다. 본 실시예의 일 측면에 의하면, SDN 지원 스위치(410)는 포트(port) 정보 등 패킷 관련 데이터와 플로우 테이블 내의 각 플로우 엔트리(flow entry)의 규칙 필드(rule field)를 매칭하여 특정 패킷과 매칭되는 플로우 엔트리(flow entry)를 참조 또는 추출한다. 이러한 매칭은 SDN 지원 스위치(410)와 SDN 컨트롤러(420) 간의 통신 프로토콜에 해당하는 사우스바운드 API의 명세(specification)에 따라 달라진다. 예컨대, 도 4에서와 같이 플로우 엔트리의 규칙 필드에는 스위치 포트(Switch port), 맥 소스(Mac src), 이더넷 타입(Eth type), VLAN 아이디(VLAN ID), IP 소스(IP src) 등이 포함될 수 있다. 이때 패킷 데이터와의 매칭은 규칙 필드의 모든 명세와 매칭되거나, 기 설정된 범위 내에서의 매칭 또는 기 설정된 개수 이상의 매칭이 이루어짐으로써 성립될 수 있다. 이때 특정 패킷과 매칭되는 플로우 엔트리는 복수개일 수 있다.The SDN support switch 410 controls packets introduced to the SDN support switch 410 using the mounted flow table. According to an aspect of this embodiment, the SDN support switch 410 matches packet-related data such as port information with a rule field of each flow entry in the flow table to match a specific packet. Refers to or extracts a flow entry. Such matching depends on the specification of the Southbound API corresponding to the communication protocol between the SDN supporting switch 410 and the SDN controller 420. For example, as shown in FIG. 4, the rule field of the flow entry includes a switch port, a Mac source, an Ethernet type, a VLAN ID, and an IP source. I can. At this time, matching with packet data may be established by matching all specifications of the rule field, matching within a preset range, or matching more than a preset number. In this case, there may be a plurality of flow entries matching a specific packet.

SDN 지원 스위치(410)는 유입된 패킷과 매칭되는 플로우 엔트리가 있는 경우, 해당 플로우 엔트리를 추출하여 플로우 엔트리의 액션 필드(action field)의 명령을 실행한다. 본 실시예의 일 측면에 의하면, 매칭되는 복수의 플로우 엔트리가 있는 경우 플로우 엔트리에 포함된 우선순위 필드(priority field)를 이용하여 우선순위가 가장 높은 플로우 엔트리를 추출할 수 있다.When there is a flow entry matching the introduced packet, the SDN support switch 410 extracts the flow entry and executes a command of an action field of the flow entry. According to an aspect of the present embodiment, when there are a plurality of matching flow entries, the flow entry having the highest priority may be extracted using a priority field included in the flow entry.

SDN 지원 스위치(410)로 유입되는 모든 패킷을 SDN 컨트롤러(420)로 송신하는 경우 개인 정보 침해 문제와 자원 낭비의 문제가 있을 수 있다. 이에, 본 실시예의 일 측면에 의하면 패킷 전송에 있어 특정 이벤트(event)가 발생하는 경우에만 패킷을 전송하도록 하는 이벤트 중심 침입 탐지(event-driven detection) 방법을 채용할 수 있다. 이때 '이벤트'란, 유입된 패킷과 매칭되는 플로우 엔트리가 없는 경우, 매칭된 플로우 엔트리의 유효기간이 만료(expire)된 경우와 같이 종래의 플로우 테이블만으로 패킷 제어를 수행할 수 없는 경우를 의미한다. 이러한 이벤트가 발생하는 경우, SDN 지원 스위치(410)는 유입된 패킷을 침입 대응 시스템(40)에 의해 판단된 적 없는 새로운 침입 패킷으로 가정하고 해당 패킷을 버리거나(drop) 침입 탐지를 목적으로 SDN 컨트롤러(420)에 송신할 수 있다. 이러한 패킷 송신은 이벤트가 발생하는 경우 플로우 테이블 내 가장 낮은 우선순위를 가지는 테이블-미스 엔트리(table-miss entry)를 추출함으로써 테이블-미스 엔트리의 액션 필드에 포함된 '컨트롤러로 포워딩(forward to controller)' 명령을 수행함으로써 이루어질 수 있다. 패킷 송신은 SDN 지원 스위치(410)가 유입된 패킷의 전부 또는 일부와 유입된 패킷에 관한 데이터를 포함하고, SDN 지원 스위치(410)와 SDN 컨트롤러(420)가 채용하는 인터페이스에 적응적으로 생성된 패킷-인 메시지(packet-in message)를 SDN 컨트롤러(420)에 송신함으로써 이루어질 수 있다. 이러한 이벤트 중심 침입 탐지 방법은 도 9a 및 도 9b를 참조하여 자세하게 후술한다.When all packets flowing into the SDN support switch 410 are transmitted to the SDN controller 420, there may be a problem of invading personal information and wasting resources. Accordingly, according to an aspect of the present embodiment, an event-driven detection method in which a packet is transmitted only when a specific event occurs in packet transmission may be employed. In this case, the'event' means a case in which packet control cannot be performed with only the conventional flow table, such as when there is no flow entry matching the incoming packet or when the valid period of the matched flow entry has expired. . When such an event occurs, the SDN support switch 410 assumes that the incoming packet is a new intrusion packet that has not been determined by the intrusion response system 40 and drops the packet or the SDN controller for the purpose of intrusion detection. It can be sent to 420. When an event occurs, such packet transmission is forward to controller included in the action field of the table-miss entry by extracting the table-miss entry with the lowest priority in the flow table. 'Can be done by performing the command. Packet transmission includes all or part of the packets introduced by the SDN support switch 410 and data related to the packets, and is adaptively generated by the interface adopted by the SDN support switch 410 and the SDN controller 420. This may be accomplished by transmitting a packet-in message to the SDN controller 420. This event-driven intrusion detection method will be described later in detail with reference to FIGS. 9A and 9B.

본 실시예의 다른 측면에 의하면, 특정 패킷과 매칭되는 플로우 엔트리의 액션 필드에 컨트롤러로 포워딩 명령을 포함시킴으로써 해당 패킷을 SDN 컨트롤러(420)로 송신하여 모니터링하게 할 수 있다.According to another aspect of the present embodiment, by including a forwarding command to the controller in an action field of a flow entry matching a specific packet, the packet may be transmitted to the SDN controller 420 for monitoring.

플로우 엔트리는 전술한 규칙 필드와 액션 필드뿐 아니라, 통계 필드(statistics field, 도 4의 STATS 필드)를 더 포함할 수 있다. 통계 필드는 패킷에 관한 통계적 데이터를 수집 또는 산출하여 저장하는 필드로, 카운터 필드(counter field)가 포함될 수 있다. 카운터 필드는 플로우 엔트리의 규칙 필드와 유입된 패킷이 매칭되는 횟수를 카운트하는 것으로, 경우에 따라 기 설정된 주기를 갖고 초기화되거나 누적적으로 증가될 수 있다. 이러한 카운터 필드에는 유입된 패킷과의 일정 기준값 내에서의 매칭 횟수를 기록하는 매치 카운터(match counter)를 포함하거나, 매칭되는 패킷의 초당 바이트 수를 연산하는 바이트 카운터(bytes counter)를 더 포함할 수 있다.The flow entry may further include not only the above-described rule field and action field, but also a statistics field (STATS field of FIG. 4 ). The statistics field is a field that collects or calculates and stores statistical data about a packet, and may include a counter field. The counter field counts the number of times the rule field of the flow entry and the introduced packet are matched, and may be initialized with a preset period or incrementally increased in some cases. Such a counter field may include a match counter that records the number of matches within a predetermined reference value with the incoming packet, or may further include a bytes counter that calculates the number of bytes per second of the matched packet. have.

SDN 지원 스위치(410)는 SDN 컨트롤러(420)로부터 메시지를 전송받은 경우에만 플로우 테이블을 갱신할 수 있다. SDN 지원 스위치(410)는 SDN 컨트롤러(420)와의 통신(예: 사우스바운드 API 기반의 통신)이 끊어진 경우 또는 콜드 부팅(예: 엔진 시동) 시 SDN 컨트롤러(420)와의 연결이 재개될 때까지 페일-세이프 모드(fail-safe mode)에서 작동한다. 페일-세이프 모드에서 SDN 지원 스위치는 차량 제조사에서 설정한 플로우 테이블을 기반으로 패킷 플로우를 제어할 수 있다. 이 경우 SDN 지원 스위치(410)는 일반 스위치(common switch)로서 작동한다.The SDN support switch 410 may update the flow table only when a message is received from the SDN controller 420. The SDN support switch 410 fails until the connection with the SDN controller 420 is resumed when communication with the SDN controller 420 (eg, communication based on Southbound API) is disconnected or during a cold boot (eg, engine start). -Works in fail-safe mode. In fail-safe mode, the SDN support switch can control packet flow based on the flow table set by the vehicle manufacturer. In this case, the SDN support switch 410 operates as a common switch.

SDN 컨트롤러(420)는 SDN 지원 스위치(410)로부터 패킷을 수신하여 침입 탐지 시스템(430)에 송신하고, 침입 탐지 시스템(430)으로부터 침입 패킷 판단 결과 및 그에 따른 액션을 수신하여 SDN 지원 스위치(410)에 송신한다. 구체적으로, 본 실시예의 일 측면에 의하면 SDN 컨트롤러(420)는 SDN 지원 스위치(410)와의 통신에 이용되는 인터페이스(예: 사우스바운드 API) 명세에 적응적으로 생성되고, 패킷의 전부 또는 일부를 포함하는 패킷-인 메시지(packet-in message)를 수신한다. SDN 컨트롤러(420)는 수신한 패킷-인 메시지를 침입 탐지 시스템(430)과의 통신에 이용되는 인터페이스(예: 노스바운드 API) 명세에 적응적으로 변형하여 침입 탐지 시스템(430)으로 송신한다. SDN 컨트롤러(420)는 침입 탐지 시스템(430)으로부터 패킷 플로우와 관련된 액션을 수신하여 패킷-아웃 메시지(packet-out message)를 생성한다. SDN 컨트롤러(420)는 SDN 지원 스위치(410)에 패킷-아웃 메시지를 송신하여, SDN 지원 스위치(410)로 하여금 플로우 테이블을 갱신하게 하거나 패킷-아웃 메시지에 대응하는 유입된 패킷의 플로우를 제어하게 한다.The SDN controller 420 receives a packet from the SDN support switch 410 and transmits it to the intrusion detection system 430, and receives the intrusion packet determination result and the corresponding action from the intrusion detection system 430 to receive the SDN support switch 410. ). Specifically, according to an aspect of the present embodiment, the SDN controller 420 is adaptively generated according to the specification of an interface (eg, Southbound API) used for communication with the SDN supporting switch 410, and includes all or part of the packet. A packet-in message is received. The SDN controller 420 adaptively transforms the received packet-in message to the specification of an interface (eg, northbound API) used for communication with the intrusion detection system 430 and transmits it to the intrusion detection system 430. The SDN controller 420 receives an action related to a packet flow from the intrusion detection system 430 and generates a packet-out message. The SDN controller 420 transmits a packet-out message to the SDN support switch 410 to cause the SDN support switch 410 to update the flow table or control the flow of the incoming packet corresponding to the packet-out message. do.

SDN 컨트롤러(420)는 SDN 컨트롤러 또는 SDN 환경에서 동작하도록 SDN 장치를 결합한 일반 컨트롤러일 수 있으나, 반드시 이에 한하는 것은 아니다. 예컨대, IVN 또는 V2X 환경에서 발생하는 패킷을 관리하고 SDN 지원 스위치(410) 또는 SDN 지원 스위치(410)가 탑재된 차량과 통신할 수 있으면 본 실시예에 따른 SDN 컨트롤러(420)가 될 수 있다.The SDN controller 420 may be an SDN controller or a general controller in which an SDN device is combined to operate in an SDN environment, but is not limited thereto. For example, if it can manage packets occurring in an IVN or V2X environment and communicate with a vehicle equipped with the SDN support switch 410 or the SDN support switch 410, the SDN controller 420 according to the present embodiment may be.

SDN 컨트롤러(420)는 침입 탐지 시스템(430)으로부터 수신한 액션 또는 침입 패킷인지의 판단 결과에 따라, 해당 패킷을 걸러낼 수 있는 새로운 규칙을 생성하여 패킷-아웃 메시지에 더 포함시킬 수 있다. 이러한 새로운 규칙은 침입 탐지 시스템(430) 또는 외부 장치로부터 수신하여 생성될 수 있다.The SDN controller 420 may generate a new rule capable of filtering a corresponding packet according to a result of determining whether an action or an intrusion packet is received from the intrusion detection system 430 and further include it in the packet-out message. Such a new rule may be generated by receiving from the intrusion detection system 430 or an external device.

본 실시예의 다른 측면에 따르면 SDN 컨트롤러(420)는 하나 이상의 차량에 탑재된 하나 이상의 SDN 지원 스위치(410)와 OpenFlow 등 사우스바운드 API 기반 연결의 유지관리, 플로우 테이블 관리 또는 패킷 통계 수집을 수행할 수 있다. SDN 컨트롤러(420)는 또한 하나 이상의 침입 탐지 시스템(도 4의 430 등)과 ad-hoc API, RESTful API 또는 기타 프로그래밍 인터페이스 등 노스바운드 API 기반 연결을 유지관리 할 수 있다.According to another aspect of the present embodiment, the SDN controller 420 may perform maintenance of Southbound API-based connections such as OpenFlow and one or more SDN support switches 410 mounted on one or more vehicles, flow table management, or packet statistics collection. have. The SDN controller 420 may also maintain one or more intrusion detection systems (such as 430 in FIG. 4) and northbound API-based connections such as ad-hoc API, RESTful API, or other programming interfaces.

SDN 컨트롤러(420)의 동작을 OpenFlow를 예로 들어 설명한다.The operation of the SDN controller 420 will be described using OpenFlow as an example.

SDN 컨트롤러(420)는 SDN 지원 스위치(410)와의 최초 연결 시 OpenFlow 명세상 식별자, 데이터 패스 ID(DPID)를 OFPT_HELLO 메시지를 수신하여 세션을 형성한다.The SDN controller 420 receives an OFPT_HELLO message with an identifier and a data path ID (DPID) according to the OpenFlow specification upon initial connection with the SDN support switch 410 to form a session.

플로우 테이블에 유입된 패킷과 매칭되는 플로우 엔트리가 없는 등 테이블 미스(table miss)가 발생한 경우, SDN 지원 스위치(410)는 OFPT_PACKET_IN 메시지를 SDN 컨트롤러(420)로 송신한다. 메시지에는 테이블 미스의 원인이 된 패킷이 포함되어 있다. SDN 컨트롤러는 OFPT_PACKET_IN 메시지 및 메시지에 대한 대응(예: 액션)이 포함된 OFPT_PACKET_OUT 메시지를 SDN 지원 스위치(410)에 송신한다. 송신 전까지 SDN 컨트롤러(420)는 침입 탐지 시스템(430)이 해당 패킷이 침입 패킷인지 여부를 판단하도록 요청할 수 있다.When a table miss occurs, such as no flow entry matching the packet introduced into the flow table, the SDN support switch 410 transmits an OFPT_PACKET_IN message to the SDN controller 420. The message contains the packet that caused the table miss. The SDN controller transmits an OFPT_PACKET_IN message and an OFPT_PACKET_OUT message including a response (eg, an action) to the message to the SDN support switch 410. Before transmission, the SDN controller 420 may request the intrusion detection system 430 to determine whether the corresponding packet is an intrusion packet.

SDN 컨트롤러(420)는 침입 탐지 시스템(430) 또는 SDN 지원 스위치(410)에 플로우 통계를 요청할 수 있다. 예컨대, SDN 컨트롤러(420)는 정기적으로 각 차량의 IVN을 모니터링(monitoring)하여 네트워크 이상 유무를 판단하고, OFPMP_FLOW, OFPMP_AGGREGATE 또는 OFPMP_TABLE와 같은 메시지를 통해 개별적인 플로우 엔트리, 다중 플로우 엔트리 또는 플로우 테이블의 통계를 SDN 지원 스위치(410) 또는 SDN 지원 스위치(410)가 탑재된 차량에 요청할 수 있다. 이로써 SDN 컨트롤러(420)는 IVN 상의 패킷 수, 바이트 수, 플로우 엔트리별 유입된 패킷과의 매칭시간 등을 기록한 타임 스탬프를 수신할 수 있다.The SDN controller 420 may request flow statistics from the intrusion detection system 430 or the SDN support switch 410. For example, the SDN controller 420 periodically monitors the IVN of each vehicle to determine whether there is a network abnormality, and provides statistics of individual flow entries, multiple flow entries, or flow tables through messages such as OFPMP_FLOW, OFPMP_AGGREGATE or OFPMP_TABLE. It may be requested from a vehicle equipped with the SDN support switch 410 or the SDN support switch 410. Accordingly, the SDN controller 420 may receive a time stamp recording the number of packets on the IVN, the number of bytes, and the matching time with the introduced packets per flow entry.

침입 탐지 시스템(430)은 SDN 컨트롤러(420)와 통신하고, SDN 컨트롤러(420)로부터 패킷 또는 패킷이 포함된 패킷-인 메시지를 수신하여 침입 패킷인지를 판단하고, 판단 결과에 대응하는 액션을 결정하여 SDN 컨트롤러(420)에 송신한다. 예컨대, 본 실시예의 일 측면에 의하면 침입 탐지 시스템(430)은 판단 대상 패킷이 침입 패킷으로 판단된 경우 해당 패킷을 드롭(drop)하라는 명령을 액션으로 결정할 수 있다. 본 실시예의 다른 측면에 의하면 같은 경우 침입 탐지 시스템(430)은 해당 유형의 패킷 드롭 및 컨트롤러로의 포워딩 명령을 액션으로 결정함으로써 해당 유형의 패킷을 네트워크상에서는 드롭시키고 SDN 컨트롤러(420)로 전달하여 SDM 컨트롤러(420)가 해당 유형의 패킷을 모니터링하게 할 수 있다.The intrusion detection system 430 communicates with the SDN controller 420, receives a packet or a packet-in message including a packet from the SDN controller 420, determines whether it is an intrusion packet, and determines an action corresponding to the determination result. Then, it is transmitted to the SDN controller 420. For example, according to an aspect of the present embodiment, when the determination target packet is determined to be an intrusion packet, the intrusion detection system 430 may determine a command to drop the corresponding packet as an action. According to another aspect of the present embodiment, in the same case, the intrusion detection system 430 determines a packet drop of a corresponding type and a forwarding command to the controller as an action, thereby dropping a packet of the corresponding type on the network and delivering it to the SDN controller 420 The controller 420 may allow the packet of the corresponding type to be monitored.

이하 도 6a, 도 6b, 도 7a, 도 7b, 도 8a, 및 도 8b를 참조하여, 제안된 침입 대응 시스템의 데이터 평면, 제어 평면 및 애플리케이션 평면의 예시적인 토폴로지들을 각각 설명한다.Hereinafter, exemplary topologies of a data plane, a control plane, and an application plane of the proposed intrusion response system will be described with reference to FIGS. 6A, 6B, 7A, 7B, 8A, and 8B.

도 6a 및 도 6b는 본 발명의 일 실시예에 따른 차량 내부 네트워크의 예시적인 토폴로지를 도시한 도면이다.6A and 6B are diagrams illustrating an exemplary topology of an in-vehicle network according to an embodiment of the present invention.

도 6a는 하이브리드 형태의 차량 내부 네트워크(IVN)의 예시적인 토폴로지를 보인다. 예시된 차량 내부 네트워크(IVN)는 각종 이더넷 디바이스(ethernet device), 인포테인먼트(infortainment) 및 하나 이상의 ECU(Electronic Control Unit)들과 이들 디바이스들이 연결된 SDN 스위치로 구성되는 이더넷 기반 LAN를 포함한다. 전형적으로, ADAS(Advanced Driver-Assistance System) 및 멀티미디어와 같은 고속 데이터 애플리케이션은 이더넷 기반 LAN을 통해 SDN 스위치와 연결될 수 있다. 또한, 예시된 차량 내부 네트워크(IVN)는 메시지 우선순위를 요구하는 파워 트레인 시스템(power train system)과 같은, 이더넷이 적합하지 않은 일부 애플리케이션을 위한 레거시 CAN 버스(legacy CAN bus)를 포함한다. 레거시 CAN 버스는 이더넷과 CAN 버스 간 통신을 지원하는 ETH-CAN 게이트웨이(ETH-CAN gateway)를 통해 SDN 지원 스위치에 연결될 수 있다. SDN 스위치는 V2I 통신 모뎀(V2I modem)을 통하여 원격에 위치한 SDN 컨트롤러(420)를 포함한 다른 장치, 서버, 시스템 등과의 통신을 수행할 수 있다.6A shows an exemplary topology of a hybrid type of in-vehicle network (IVN). The illustrated in-vehicle network (IVN) includes an Ethernet-based LAN consisting of various Ethernet devices, infotainment, and one or more Electronic Control Units (ECUs) and SDN switches to which these devices are connected. Typically, high-speed data applications such as Advanced Driver-Assistance System (ADAS) and multimedia can be connected to the SDN switch via an Ethernet-based LAN. In addition, the illustrated in-vehicle network (IVN) includes a legacy CAN bus for some applications where Ethernet is not suitable, such as a power train system that requires message priority. Legacy CAN buses can be connected to SDN-capable switches via an ETH-CAN gateway, which supports communication between Ethernet and CAN buses. The SDN switch may perform communication with other devices, servers, systems, etc. including the SDN controller 420 located remotely through a V2I modem.

도 6b는 이더넷 기반의 차량 내부 네트워크(IVN)의 예시적인 토폴로지를 보인다. 예시된 차량 내부 네트워크(IVN)는 3개의 스위치(Switch 1, Switch 2, Basic Switch 3)와 9개의 ECU를 포함하고 있다. 토폴로지를 구성하는 방법에 따라 스위치의 개수 또는 ECU 장치의 개수는 달라질 수 있음에 유의하여야 한다. ECU에서 생성되는 모든 패킷이 스위치를 거쳐 최종 목적 노드로 전달되도록 하기 위해, 각 ECU는 스위치에 단독으로 연결되어야 하고, 여러 ECU가 단일 회선을 점유하지 않는다.6B shows an exemplary topology of an Ethernet-based in-vehicle network (IVN). The illustrated in-vehicle network (IVN) includes 3 switches (Switch 1, Switch 2, Basic Switch 3) and 9 ECUs. It should be noted that the number of switches or the number of ECU devices may vary depending on how the topology is configured. In order to ensure that all packets generated by the ECU are passed through the switch to the destination node, each ECU must be connected to the switch alone, and multiple ECUs do not occupy a single line.

Switch 1 및 Switch 2는 SDN 기능이 활성화된 SDN 지원 스위치이다. 두 스위치는 차량과 외부 인프라 간의 통신(V2I 통신)을 담당하는 무선 모뎀(wireless modem)을 통해 SDN 컨트롤러와 연결된다. Switch 1 및 Switch 2는, SDN 컨트롤러와의 연결이 형성된 경우, SDN 컨트롤러로부터 수신한 액션에 기초하여 ECU 1 내지 ECU 6의 패킷을 처리하며, 각 패킷의 액션을 스스로 결정할 수 없다. 그러나, 무선 모뎀이 제 기능을 수행하지 못하여 SDN 컨트롤러와의 연결이 단절되는 경우에, Switch 1과 Switch 2는 후술하는 Basic Switch 3과 같이 작동한다. 이로써 본 실시예에 따른 차량 침입 대응 시스템(400) 기반의 차량은 비상시에도 정상 작동을 유지할 수 있고(예: fail-safe operation 작동), 차량 침입 대응 시스템(400)의 각 기능들이 선택적으로 적용되도록 한다.Switch 1 and Switch 2 are SDN support switches with the SDN function enabled. The two switches are connected to the SDN controller through a wireless modem, which is responsible for communication (V2I communication) between the vehicle and external infrastructure. When a connection with the SDN controller is established, Switch 1 and Switch 2 process packets of ECU 1 to ECU 6 based on an action received from the SDN controller, and cannot determine the action of each packet by themselves. However, when the connection with the SDN controller is disconnected because the wireless modem cannot perform its function, Switch 1 and Switch 2 operate like Basic Switch 3 to be described later. Accordingly, the vehicle based on the vehicle intrusion response system 400 according to the present embodiment can maintain normal operation even in an emergency (for example, fail-safe operation operation), and each function of the vehicle intrusion response system 400 is selectively applied. do.

Switch 1과 Switch 2는 SDN 컨트롤러로부터 수신한 명령 또는 액션에 따라 공격으로 여겨지는 패킷을 다른 ECU로 전달하지 않고 차단할 수 있으며, 더 나아가 사후 분석을 위해 SDN 컨트롤러로 전송할 수 있다. 해당 패킷이 공격자에 의한 침입인지의 판단은 외부의 침입 탐지 시스템에서 수행된다.Switch 1 and Switch 2 can block packets considered as attacks without passing them to other ECUs according to commands or actions received from the SDN controller, and further transmit them to the SDN controller for post-analysis. The determination of whether the packet is intrusion by an attacker is performed by an external intrusion detection system.

Basic Switch 3은 본 실시예에 따른 SDN 지원 스위치가 아닌, 기존 차량에 적용되어 왔던 맥 어드레스 학습(MAC address learning)을 수행하는 기본 스위치이다. Basic Switch 3은 ECU 7 내지 ECU 9가 보낸 패킷의 목적지를 알고 있는 경우 특정 하나의 포트로 패킷을 전달(forward)하고, 목적지를 모르는 경우 모든 포트로 브로드캐스트(broadcast)한다. Basic Switch 3은 침입 탐지/대응을 위한 패킷 정보 수집 기능을 지원하지 않고, SDN 컨트롤러와 같은 외부 장치로부터 패킷 플로우를 제어하는 액션을 지정 받지 못 한다.Basic Switch 3 is not a switch supporting SDN according to the present embodiment, but a basic switch that performs MAC address learning that has been applied to existing vehicles. Basic Switch 3 forwards the packet to one specific port when the destination of packets sent by ECU 7 to ECU 9 is known, and broadcasts to all ports when the destination is unknown. Basic Switch 3 does not support the packet information collection function for intrusion detection/response, and does not receive an action to control packet flow from an external device such as an SDN controller.

도 7a 및 도 7b는 본 발명의 일 실시예에 따른 침입 대응 시스템의 중앙 집중형 및 분산형 구조의 제어 평면 토폴로지를 도시한 도면이다.7A and 7B are views showing a control plane topology of a centralized and distributed structure of an intrusion response system according to an embodiment of the present invention.

전형적으로, 제어 평면에 배치된 SDN 컨트롤러는 다수의 차량 내 SDN 스위치로부터 데이터를 송수신할 수 있다. 도 7a는 단일 SDN 컨트롤러가 차량의 모든 패킷을 관리하는 중앙집중형 구조를 보인다. 본 개시의 침입 탐지 시스템에서는 1개의 SDN 컨트롤러만으로 본래의 목적을 달성할 수 있으나, 지연(latency)과 부하 분산(load balancing) 등을 고려하여 여러 개의 SDN 컨트롤러를 설치 및 운용할 수도 있다. 도 7b는 여러 개의 거점화된 SDN 컨트롤러들이 각각 물리적 또는 논리적으로 가까운 하나 이상의 차량을 관리하는 분산형 구조를 나타내고 있다. 예를 들어, SDN 컨트롤러들은 거점 별 엣지 클라우드 서버(Edge cloud server) 또는 포그 서버(fog server) 상에 구현될 수 있다. 거점 별 SDN 컨트롤러들은 물리적 혹은 논리적으로 가까운 차량과 1차 통신을 수행하고 그 결과를 중앙 SDN 컨트롤러(Centralized SDN Controller)로 넘겨줄 수 있다. 중앙집중형 구조에서는 단일 SDN 컨트롤러가, 분산형 아키텍처에서는 중앙 SDN 컨트롤러가 노스바운드 API 를 이용하여 침입 탐지 시스템(430)과의 통신을 수행한다.Typically, the SDN controller disposed in the control plane can transmit and receive data from multiple in-vehicle SDN switches. 7A shows a centralized structure in which a single SDN controller manages all packets of a vehicle. In the intrusion detection system of the present disclosure, the original purpose can be achieved with only one SDN controller, but several SDN controllers may be installed and operated in consideration of latency and load balancing. 7B shows a distributed structure in which a plurality of SDN controllers located at bases manage one or more vehicles that are physically or logically close, respectively. For example, SDN controllers may be implemented on an edge cloud server or a fog server for each base. SDN controllers for each base can perform primary communication with vehicles that are physically or logically close, and pass the result to a centralized SDN controller. In the centralized architecture, a single SDN controller communicates with the intrusion detection system 430 using the Northbound API in the distributed architecture.

도 8a 및 도 8b는 본 발명의 일 실시예에 따른 침입 대응 시스템(IRS)에 적용가능한 침입 탐지 시스템(IDS)의 토폴로지를 도시한 도면이다.8A and 8B are diagrams illustrating a topology of an intrusion detection system (IDS) applicable to an intrusion response system (IRS) according to an embodiment of the present invention.

근래에 제안된 딥러닝 기반의 침입 탐지 시스템은 정밀한 탐지 결과를 얻기 위해 GPU 등 더 많은 자원을 요구하며, 차량에 탑재되는 컴퓨팅 시스템은 주행에 필요한 최소한의 성능을 가지므로 이러한 침입 탐지 시스템을 구동하기 적합하지 않다. 차량 외부에 배치되는 침입 탐지 시스템은 침입 탐지 알고리즘을 연산하기 위한 차량 내 성능 문제를 더이상 고려하지 않아도 된다. 따라서, 제안된 침입 대응 시스템에는, 도 8a에 예시된 딥러닝 알고리즘과 같은, 높은 연산능력을 요구하는 정밀한 침입 탐지 알고리즘을 운용하는 침입 탐지 시스템이 채용될 수 있다. The recently proposed deep learning-based intrusion detection system requires more resources such as GPU to obtain precise detection results, and the computing system mounted on the vehicle has the minimum performance required for driving, so it is necessary to drive such an intrusion detection system. Inappropriate. The intrusion detection system deployed outside the vehicle no longer needs to consider the in-vehicle performance problem for calculating the intrusion detection algorithm. Accordingly, the proposed intrusion response system may employ an intrusion detection system that operates a precise intrusion detection algorithm requiring high computational capability, such as the deep learning algorithm illustrated in FIG. 8A.

제안된 침입 대응 시스템에서는 여러 개의 침입 탐지 시스템이 동시에 운용될 수 있다. 각 침입 탐지 시스템(IDS)이 특정한 프로토콜에 대한 침입 탐지를 담당하거나(예를 들어, IDS 1 for SSH, IDS 2 for AVTP, IDS 3 for UDP), 도 8b에 예시된 것처럼, 각기 상이한 탐지 알고리즘을 운용하는 여러 개의 침입 탐지 시스템의 탐지 결과를 이용하는 앙상블(Ensemble) 기법이 이용될 수도 있다. In the proposed intrusion response system, several intrusion detection systems can be operated simultaneously. Each intrusion detection system (IDS) is responsible for intrusion detection for a specific protocol (eg, IDS 1 for SSH, IDS 2 for AVTP, IDS 3 for UDP), or different detection algorithms as illustrated in FIG. 8B. An ensemble technique using detection results of several intrusion detection systems in operation may be used.

침입 탐지 시스템을 차량 내부 네트워크가 아닌 차량 외부에 배치하는 것은 침입 대응 시스템의 운용에 여러가지 유연성을 제공한다. 침입 탐지 시스템은 분석 대상인 차량의 위치나 상태와 관계없이 실시간으로 업데이트 될 수 있다. 예컨대, 침입 탐지 시스템은 분석 대상 차량이 주행 중인 상태에서도, 침입 탐지 모델 혹은 알고리즘을 동적으로 추가, 재구성 또는 취소할 수 있다. 또한 개별 차량에 새로운 기능이 탑재되거나 개별 차량이 새로운 패턴의 공격 패턴이 알려진 경우에, 운영자(서비스 제공자)는 관련된 데이터를 이용하여 탐지 모델을 업데이트할 수도 있다.Placing the intrusion detection system outside the vehicle rather than the vehicle internal network provides several flexibility in the operation of the intrusion response system. The intrusion detection system can be updated in real time regardless of the location or status of the vehicle to be analyzed. For example, the intrusion detection system can dynamically add, reconfigure, or cancel an intrusion detection model or algorithm even when the vehicle to be analyzed is running. In addition, when an individual vehicle is equipped with a new function or an attack pattern of a new pattern is known to an individual vehicle, the operator (service provider) may update the detection model using related data.

도 9a 및 도 9b는 본 실시예에 따른 이벤트 중심 침입 탐지 방법과 그 대응 방법을 나타내는 흐름도이다.9A and 9B are flowcharts illustrating an event-driven intrusion detection method and a corresponding method according to the present embodiment.

이벤트 중심 알고리즘은 트리거된 이벤트(예: IVN에서 유입된 패킷의 테이블 미스 또는 유입된 패킷과 매칭되는 플로우 엔트리의 만료)가 발생하는 경우 일단 패킷을 드랍시키고 해당 소스로부터 오는 트래픽을 차단한 후, 사후적으로 패킷 플로우를 결정함으로써 공격에 적절히 대응할 수 있게 한다.The event-oriented algorithm drops the packet once and blocks the traffic from the source when a triggered event (e.g., a table miss of an incoming packet from an IVN or an expiration of a flow entry matching the incoming packet) occurs. By deciding the packet flow as an enemy, it is possible to respond appropriately to an attack.

도 9a는 SDN 지원 스위치(410) 및 SDN 컨트롤러(420)가 이벤트 중심 침입 탐지를 수행하는 과정이 나타나있다.9A shows a process in which the SDN support switch 410 and the SDN controller 420 perform event-driven intrusion detection.

도 9a를 보면 알 수 있듯, 본 실시예에 따른 침입 대응 시스템(400)의 적용을 받는 차량(예: CAV)이 주행을 시작하면 IVN 또는 V2X 환경으로부터 SDN 지원 스위치(410)로 패킷이 유입된다(S900).As can be seen from FIG. 9A, when a vehicle (eg, CAV) to which the intrusion response system 400 according to the present embodiment starts driving, a packet flows from the IVN or V2X environment to the SDN support switch 410. (S900).

SDN 지원 스위치(410)는 탑재된 플로우 테이블로부터 유입된 패킷과 매칭되는 규칙 필드를 갖는 플로우 엔트리가 있는지 판단한다(S902).The SDN support switch 410 determines whether there is a flow entry having a rule field matching the packet introduced from the loaded flow table (S902).

매칭되는 플로우 엔트리가 있는 경우, 플로우 엔트리의 액션 필드 명령에 패킷 드롭 명령이 포함되어 있는지 판단하여(S904) 패킷 드롭 명령이 없으면 액션 필드의 명령을 수행한다(S906).If there is a matching flow entry, it is determined whether a packet drop command is included in the action field command of the flow entry (S904), and if there is no packet drop command, the action field command is executed (S906).

패킷 드롭 명령이 있으면 해당하는 패킷을 드롭시키고 트래픽을 차단한다(S912).If there is a packet drop command, the corresponding packet is dropped and traffic is blocked (S912).

유입된 패킷과 매칭되는 플로우 엔트리가 없는 경우, 또는 매칭된 플로우 엔트리가 만료되어 결과적으로 매칭되는 플로우 엔트리가 없는 것과 같아진 경우 포트 번호 등 이벤트 정보와 해당 패킷을 포함하는 패킷-인 메시지를 차량 외부의 SDN 컨트롤러(420)로 송신하고(S910) 해당 패킷을 드롭시키며 해당 소스로부터의 트래픽을 차단한다(S912).When there is no flow entry matching the incoming packet, or when the matched flow entry expires and consequently there is no matching flow entry, event information such as port number and a packet-in message including the packet are displayed outside the vehicle. It transmits to the SDN controller 420 of (S910), drops the corresponding packet, and blocks traffic from the corresponding source (S912).

SDN 컨트롤러(420)는 SDN 지원 스위치(410)로부터 패킷-인 메시지를 수신하여(S920), 침입 탐지 시스템(430)에 송신한다(S922).The SDN controller 420 receives a packet-in message from the SDN support switch 410 (S920) and transmits it to the intrusion detection system 430 (S922).

SDN 컨트롤러(420)는 이벤트 중심 침입 탐지가 블랙리스트를 기반으로 이루어지는지 판단하여(S924), 블랙리스트를 기반으로 이루어지는 경우 패킷-인 메시지에 포함되었던 패킷과 포워딩 액션을 포함하는 패킷-아웃 메시지를 SDN 지원 스위치(410)로 송신한다(S926, S952). 블랙리스트 기반의 침입 탐지는 테이블 미스가 발생한 경우 문제가 된 패킷이 블랙리스트에 포함되지 않은 것으로 보고 우선 포워딩시킨다. 이 경우 추후 문제가 된 패킷이 침입 패킷으로 판단된 후에야 공격을 식별하여 패킷을 드롭시킨다.The SDN controller 420 determines whether event-driven intrusion detection is based on a blacklist (S924), and when the blacklist is based, sends a packet-out message including a packet included in the packet-in message and a forwarding action. It transmits to the SDN support switch 410 (S926, S952). In blacklist-based intrusion detection, when a table miss occurs, the packet in question is regarded as not included in the blacklist and forwarded first. In this case, the attack is identified and the packet is dropped only after it is determined that the packet in question is an intrusion packet.

SDN 컨트롤러(420)는 이벤트 중심 침입 탐지가 블랙리스트를 기반으로 하지 않는 경우, 즉 화이트리스트를 기반으로 수행되는 경우 SDN 지원 스위치(410)에 패킷-아웃 메시지를 보내지 않고(S928) 침입 탐지 시스템(430)의 판단 결과를 기다린 후에 해당 판단 결과에 따라 결정된 액션을 포함시킨 패킷-아웃 메시지를 송신한다(S952). 이러한 패킷-아웃 메시지는 필요에 따라 패킷-인 메시지에 포함되었던 패킷이 더 포함될 수 있다. 화이트리스트 기반의 침입 탐지는 테이블 미스가 발생하면 문제가 된 패킷이 화이트리스트에 포함되지 않은 것으로 보고 추후 판단 결과에 따라 패킷의 흐름을 제어한다.The SDN controller 420 does not send a packet-out message to the SDN support switch 410 when event-driven intrusion detection is not based on a black list, that is, based on a white list (S928), and the intrusion detection system ( After waiting for the determination result of 430), a packet-out message including an action determined according to the determination result is transmitted (S952). The packet-out message may further include a packet included in the packet-in message as needed. In the whitelist-based intrusion detection, when a table miss occurs, the packet in question is regarded as not included in the whitelist, and the flow of the packet is controlled according to the determination result later.

SDN 지원 스위치(S400)는 패킷-아웃 메시지를 수신하여(S960) 플로우 테이블을 갱신한다(S962). 이러한 갱신은 새로운 플로우 엔트리를 추가하거나, 만료한 플로우 엔트리의 만료 정보 또는 플로우 엔트리의 각 필드를 갱신하거나, 새로이 갱신할 내용이 없다면 플로우 테이블을 그대로 둠으로써 이루어질 수 있다.The SDN support switch S400 receives the packet-out message (S960) and updates the flow table (S962). Such an update may be performed by adding a new flow entry, updating expiration information of an expired flow entry or each field of a flow entry, or by leaving the flow table as it is if there is no content to be updated.

SDN 지원 스위치(S400)는 수신한 패킷-아웃 메시지에 패킷이 포함된 경우(S964) 패킷-아웃 메시지에 포함된 액션에 따라 패킷 플로우를 제어한다(S966).When a packet is included in the received packet-out message (S964), the SDN support switch S400 controls the packet flow according to an action included in the packet-out message (S966).

도 9b는 침입 탐지 시스템(430)이 이벤트 중심 침입 탐지를 수행하는 과정이 나타나있다.9B shows a process in which the intrusion detection system 430 performs event-driven intrusion detection.

침입 탐지 시스템(430)은 SDN 컨트롤러(420)로부터 패킷-인 메시지를 수신하여(S930) 침입 탐지를 실시한다(S932).The intrusion detection system 430 receives a packet-in message from the SDN controller 420 (S930) and performs intrusion detection (S932).

패킷인 메시지에 포함된 패킷이 침입 패킷이 아닌 것으로 판단된 경우(S934), 침입 탐지가 블랙리스트 기반일 시(S936) 침입 탐지 시스템(430)은 패킷에 대한 액션을 지정하지 않는다(S937). 이미 S926, S952 단계서 SDN 컨트롤러(420)가 포워딩 액션을 포함시킨 패킷-아웃 메시지를 송신하였기 때문이다. 이 경우 침입 탐지 시스템(430)은 SDN 컨트롤러(420)에 판단 결과를 송신하지 않는다.When it is determined that the packet included in the packet-in message is not an intrusion packet (S934), when the intrusion detection is based on a blacklist (S936), the intrusion detection system 430 does not designate an action for the packet (S937). This is because the SDN controller 420 has already transmitted a packet-out message including a forwarding action in steps S926 and S952. In this case, the intrusion detection system 430 does not transmit the determination result to the SDN controller 420.

침입 탐지가 블랙리스트 기반이 아닌 경우(S936), 즉 화이트리스트를 기반으로 하는 경우에는 액션에 포워딩 명령을 포함시킨다(S938).When intrusion detection is not based on a blacklist (S936), that is, based on a whitelist, a forwarding command is included in the action (S938).

패킷인 메시지에 포함된 패킷이 침입 패킷으로 판단하는 경우(S934) 침입 탐지 시스템(430)은 해당 패킷의 액션에 드롭 명령을 포함시킨다(S940).When it is determined that the packet included in the packet-in message is an intrusion packet (S934), the intrusion detection system 430 includes a drop command in the action of the packet (S940).

침입 탐지 시스템(430)은 판단 결과로서 패킷 액션을 SDN 컨트롤러(S420)에 송신한다(S942). 이러한 송신 데이터에는 패킷 그 자체와 패킷에 관한 데이터, 판단 결과 등이 포함될 수 있다.The intrusion detection system 430 transmits a packet action to the SDN controller S420 as a result of the determination (S942). Such transmission data may include the packet itself, data related to the packet, and a determination result.

도 10은 본 개시에 따른 침입 대응 시스템의 유용성을 보이는 유스 케이스 시나리오를 나타내는 예시도이다.10 is an exemplary diagram showing a use case scenario showing the usefulness of the intrusion response system according to the present disclosure.

(1) 공격이 감지될 때마다 모든 차량은 탐지된 공격 정보를 클라우드 서버(cloud server) 또는 포그 서버(fog server) 상 SDN 컨트롤러를 통하여 침입 탐지 시스템으로 전송한다. 이 경우 RSU는 인접 차량과 각 서버 간의 통신을 중계할 수 있다. RSU의 통신 방법은 NFC(Near Field Communication) 방식, 저전력 블루투스(BLE: Bluetooth Low Energy), 무선랜(WIFI), UWB(Ultra Wideband), 무선 주파수(Radio Frequency), 적외선 통신(IrDA:Infrared Data Association), 지그비(Zigbee), LTE, 5G를 기반으로 이루어질 수 있다.(1) Whenever an attack is detected, all vehicles transmit the detected attack information to the intrusion detection system through the SDN controller on the cloud server or fog server. In this case, the RSU can relay communication between adjacent vehicles and each server. The communication methods of RSU are NFC (Near Field Communication) method, Bluetooth Low Energy (BLE), Wireless LAN (WIFI), Ultra Wideband (UWB), Radio Frequency, Infrared Data Association (IrDA). ), Zigbee, LTE, and 5G.

(2) 본 개시의 침입 대응 시스템 또는 방법이 적용되는 차량 중 어느 하나인 (a) 차량이 공격받고 있는 경우, 차량에 탑재된 IDS는 공격 트래픽 정보 또는 공격으로 염려되는 패킷을 클라우드 서버 또는 포그 서버로로 송신한다.(2) Any one of the vehicles to which the intrusion response system or method of the present disclosure is applied (a) When the vehicle is under attack, the IDS mounted on the vehicle transmits the attack traffic information or the packet concerned with the attack to a cloud server or a fog server. Send to the road.

(3) 클라우드 서버 또는 포그 서버상 SDN 컨트롤러는 침입 탐지 시스템으로 공격 트래픽 정보 또는 패킷을 보내고, 침입 탐지 시스템은 데이터를 분석한다. 공격이 있는 것으로 판단된 경우 침입 탐지 시스템은 (a) 차량을 우회해서 주행하라는 경고 명령을 SDN 컨트롤러를 통하여 각 차량에게 보낸다.(3) The SDN controller on the cloud server or fog server sends attack traffic information or packets to the intrusion detection system, and the intrusion detection system analyzes the data. When it is determined that there is an attack, the intrusion detection system (a) sends a warning command to drive by bypassing the vehicle to each vehicle through the SDN controller.

(4) V2V(Vehicle-to-Vehicle) 통신이 활성화된 경우, (a) 차량은 인접한 다른 차량에게 스스로의 상태를 공유할 수 있다.(4) When V2V (Vehicle-to-Vehicle) communication is activated, (a) the vehicle can share its state with other adjacent vehicles.

(5) 외부 장치에 의한 원격 제어가 허용되는 경우, 클라우드 서버 또는 포그 서버의 요청에 의해 외부 장치는 (a) 차량이 감속 및 당김 운전하도록 제어할 수 있다.(5) When remote control by an external device is allowed, at the request of a cloud server or fog server, the external device can (a) control the vehicle to slow down and pull.

도 5, 도 9a 및 도 9b에서는 과정 각 과정들을 순차적으로 실행하는 것으로 기재하고 있으나, 이는 본 발명의 일 실시예의 기술 사상을 예시적으로 설명한 것에 불과한 것이다. 다시 말해, 본 발명의 일 실시예가 속하는 기술 분야에서 통상의 지식을 가진 자라면 본 발명의 일 실시예의 본질적인 특성에서 벗어나지 않는 범위에서 도 5, 도 9a 및 도 9b에 기재된 순서를 변경하여 실행하거나 각 과정 중 하나 이상의 과정을 병렬적으로 실행하는 것으로 다양하게 수정 및 변형하여 적용 가능할 것이므로, 도 5, 도 9a 및 도 9b의 시계열적인 순서로 한정되는 것은 아니다. In FIGS. 5, 9A and 9B, it is described that each process is sequentially executed, but this is merely illustrative of the technical idea of an embodiment of the present invention. In other words, those of ordinary skill in the technical field to which an embodiment of the present invention belongs can change the order shown in FIGS. 5, 9A and 9B without departing from the essential characteristics of the embodiment of the present invention. Since one or more of the processes are executed in parallel and can be modified and modified in various ways, it is not limited to the time series order of FIGS. 5, 9A, and 9B.

본 명세서에 설명되는 시스템들 및 기법들의 다양한 구현예들은, 디지털 전자 회로, 집적 회로, FPGA(field programmable gate array), ASIC(application specific integrated circuit), 컴퓨터 하드웨어, 펌웨어, 소프트웨어, 및/또는 이들의 조합으로 실현될 수 있다. 이러한 다양한 구현예들은 프로그래밍가능 시스템상에서 실행 가능한 하나 이상의 컴퓨터 프로그램들로 구현되는 것을 포함할 수 있다. 프로그래밍가능 시스템은, 저장 시스템, 적어도 하나의 입력 디바이스, 그리고 적어도 하나의 출력 디바이스로부터 데이터 및 명령들을 수신하고 이들에게 데이터 및 명령들을 전송하도록 결합되는 적어도 하나의 프로그래밍가능 프로세서(이것은 특수 목적 프로세서일 수 있거나 혹은 범용 프로세서일 수 있음)를 포함한다. 컴퓨터 프로그램들(이것은 또한 프로그램들, 소프트웨어, 소프트웨어 애플리케이션들 혹은 코드로서 알려져 있음)은 프로그래밍가능 프로세서에 대한 명령어들을 포함하며 "컴퓨터가 읽을 수 있는　기록매체"에 저장된다. Various implementations of the systems and techniques described herein include digital electronic circuits, integrated circuits, field programmable gate arrays (FPGAs), application specific integrated circuits (ASICs), computer hardware, firmware, software, and/or their It can be realized in combination. These various implementations may include being implemented as one or more computer programs executable on a programmable system. The programmable system comprises at least one programmable processor (which may be a special purpose processor) coupled to receive data and instructions from and to transmit data and instructions to and from a storage system, at least one input device, and at least one output device. Or a general purpose processor). Computer programs (which are also known as programs, software, software applications or code) contain instructions for a programmable processor and are stored on a "computer-readable recording medium".

컴퓨터가 읽을 수 있는　기록매체는, 컴퓨터 시스템에 의하여 읽혀질 수 있는 데이터가 저장되는 모든 종류의 기록장치를 포함한다. 이러한 컴퓨터가 읽을 수 있는　기록매체는 ROM, CD-ROM, 자기 테이프, 플로피디스크, 메모리 카드, 하드 디스크, 광자기 디스크, 스토리지 디바이스 등의 비휘발성(non-volatile) 또는 비 일시적인(non-transitory) 매체 또는 데이터 전송 매체(data transmission medium)와 같은 일시적인(transitory) 매체를 더 포함할 수도 있다. 또한, 컴퓨터가 읽을 수 있는　기록매체는 네트워크로 연결된 컴퓨터 시스템에 분산되어, 분산방식으로 컴퓨터가 읽을 수 있는 코드가 저장되고 실행될 수도 있다.The computer-readable recording medium includes all kinds of recording devices that store data that can be read by a computer system. Such computer-readable recording media are non-volatile or non-transitory, such as ROM, CD-ROM, magnetic tape, floppy disk, memory card, hard disk, magneto-optical disk, storage device, etc. It may further include a transitory medium such as a medium or a data transmission medium. In addition, the computer-readable recording medium may be distributed over a computer system connected through a network, and computer-readable codes may be stored and executed in a distributed manner.

본 명세서에 설명되는 시스템들 및 기법들의 다양한 구현예들은, 프로그램가능 컴퓨터에 의하여 구현될 수 있다. 여기서, 컴퓨터는 프로그램가능 프로세서, 데이터 저장 시스템(휘발성 메모리, 비휘발성 메모리, 또는 다른 종류의 저장 시스템이거나 이들의 조합을 포함함) 및 적어도 한 개의 커뮤니케이션 인터페이스를 포함한다. 예컨대, 프로그램가능 컴퓨터는 서버, 네트워크 기기, 셋탑 박스, 내장형 장치, 컴퓨터 확장 모듈, 개인용 컴퓨터, 랩탑, PDA(Personal Data Assistant), 클라우드 컴퓨팅 시스템 또는 모바일 장치 중 하나일 수 있다.Various implementations of the systems and techniques described herein may be implemented by a programmable computer. Here, the computer includes a programmable processor, a data storage system (including volatile memory, nonvolatile memory, or other types of storage systems or combinations thereof), and at least one communication interface. For example, the programmable computer may be one of a server, a network device, a set-top box, an embedded device, a computer expansion module, a personal computer, a laptop, a personal data assistant (PDA), a cloud computing system, or a mobile device.

이상의 설명은 본 실시예의 기술 사상을 예시적으로 설명한 것에 불과한 것으로서, 본 실시예가 속하는 기술 분야에서 통상의 지식을 가진 자라면 본 실시예의 본질적인 특성에서 벗어나지 않는 범위에서 다양한 수정 및 변형이 가능할 것이다. 따라서, 본 실시예들은 본 실시예의 기술 사상을 한정하기 위한 것이 아니라 설명하기 위한 것이고, 이러한 실시예에 의하여 본 실시예의 기술 사상의 범위가 한정되는 것은 아니다. 본 실시예의 보호 범위는 아래의 청구범위에 의하여 해석되어야 하며, 그와 동등한 범위 내에 있는 모든 기술 사상은 본 실시예의 권리범위에 포함되는 것으로 해석되어야 할 것이다.The above description is merely illustrative of the technical idea of the present embodiment, and those of ordinary skill in the technical field to which the present embodiment belongs will be able to make various modifications and variations without departing from the essential characteristics of the present embodiment. Accordingly, the present exemplary embodiments are not intended to limit the technical idea of the present exemplary embodiment, but are illustrative, and the scope of the technical idea of the present exemplary embodiment is not limited by these exemplary embodiments. The scope of protection of this embodiment should be interpreted by the following claims, and all technical ideas within the scope equivalent thereto should be construed as being included in the scope of the present embodiment.

400: 침입 대응 시스템(Intrusion Response System: IRS)
410: SDN 지원 스위치
420: SDN 컨트롤러
430: 침입 탐지 시스템(Intrusion Detection System: IDS)400: Intrusion Response System (IRS)
410: SDN support switch
420: SDN controller
430: Intrusion Detection System (IDS)

Claims (12)

차량 내부 네트워크(In-Vehicle Network: IVN)에 대한 침입 대응 시스템으로서,
차량 내부 네트워크에 설치되어, 유입된 패킷에 대응되는 플로우 테이블(flow table) 내 플로우 엔트리(flow entry)를 참조하여 상기 유입된 패킷의 플로우를 제어하는 SDN 지원 스위치; 및
상기 SDN 지원 스위치와 통신하고, 상기 SDN 지원 스위치로부터 상기 유입된 패킷을 수신하여 상기 유입된 패킷에 대응하는 액션(action)을 상기 SDN 지원 스위치로 송신하는 SDN 컨트롤러
를 포함하되,
상기 SDN 컨트롤러는, 침입 탐지 시스템(Intrusion Detection System: IDS)에 상기 유입된 패킷을 송신하여 침입 패킷인지 여부를 판단받고, 상기 침입 탐지 시스템으로부터 판단 결과에 따른 액션을 수신하여 상기 유입된 패킷에 대응하는 액션으로서 상기 SDN 지원 스위치로 송신하는 것
을 특징으로 하는 침입 대응 시스템.As an intrusion response system for the In-Vehicle Network (IVN),
An SDN support switch installed in an in-vehicle network and controlling a flow of the introduced packet by referring to a flow entry in a flow table corresponding to the introduced packet; And
SDN controller that communicates with the SDN support switch, receives the introduced packet from the SDN support switch, and transmits an action corresponding to the introduced packet to the SDN support switch
Including,
The SDN controller transmits the introduced packet to an intrusion detection system (IDS) to determine whether it is an intrusion packet, and receives an action according to the determination result from the intrusion detection system to respond to the introduced packet. As an action to be transmitted to the SDN supporting switch
Intrusion response system, characterized in that. 제1항에 있어서,
상기 플로우 엔트리는, 규칙 필드(rule field), 액션 필드(action field) 및 카운터 필드(counter field)를 포함하고,
상기 SDN 지원 스위치는,
상기 유입된 패킷의 데이터와 상기 플로우 테이블 내 각 플로우 엔트리의 규칙 필드를 매칭하여, 매칭 개수 또는 매칭 범위가 일정 기준값 이상인 플로우 엔트리를 추출하고, 추출된 플로우 엔트리의 카운터 필드를 갱신하고, 추출된 플로우 엔트리의 액션 필드에 따라 상기 유입된 패킷의 흐름을 제어하는 것을 특징으로 하는 침입 대응 시스템.The method of claim 1,
The flow entry includes a rule field, an action field, and a counter field,
The SDN support switch,
By matching the data of the introduced packet with the rule field of each flow entry in the flow table, a flow entry with a matching number or matching range equal to or greater than a predetermined reference value is extracted, the counter field of the extracted flow entry is updated, and the extracted flow Intrusion response system, characterized in that for controlling the flow of the introduced packet according to the action field of the entry. 제1항에 있어서,
상기 SDN 지원 스위치 및 상기 SDN 컨트롤러 간 통신이 연결된 경우, 상기 SDN 지원 스위치는 상기 SDN 컨트롤러로부터 상기 액션을 수신하여 상기 플로우 테이블을 갱신하고,
상기 SDN 지원 스위치 및 상기 SDN 컨트롤러 간 통신이 끊어지거나 상기 차량이 콜드 부팅(cold booting)된 경우, 상기 SDN 지원 스위치는 일반 스위치(common switch)로서 기 설정된 플로우 테이블을 기반으로 유입된 패킷을 제어하는 것을 특징으로 하는 침입 대응 시스템.The method of claim 1,
When communication between the SDN support switch and the SDN controller is connected, the SDN support switch updates the flow table by receiving the action from the SDN controller,
When communication between the SDN support switch and the SDN controller is cut off or the vehicle is cold booted, the SDN support switch is a common switch and controls the incoming packets based on a preset flow table. Intrusion response system, characterized in that. 차량 내부 네트워크(In-Vehicle Network: IVN)에 설치된 SDN 지원 스위치 및 차량 외부에 배치된 SDN 컨트롤러를 이용하여 차량 침입을 탐지하고 대응하는 방법에 있어서,
상기 SDN 지원 스위치가 상기 차량 내부 네트워크로부터 유입된 패킷을 포함하는 패킷-인 메시지(packet-in message)를 상기 SDN 컨트롤러로 송신하는 과정;
상기 SDN 컨트롤러가 상기 패킷-인 메시지를 수신하여 침입 탐지 시스템(Intrusion Detection System: IDS)에 송신하는 과정;
상기 SDN 컨트롤러는 상기 침입 탐지 시스템으로 하여금 상기 유입된 패킷이 침입 패킷인지 여부를 판단하게 하고, 상기 침입 탐지 시스템으로부터 판단 결과에 따른 액션을 수신하는 과정;
상기 SDN 컨트롤러가 상기 판단 결과에 따른 액션이 포함된 패킷-아웃 메시지(packet-out message)를 상기 SDN 지원 스위치에 송신하는 과정; 및
상기 SDN 지원 스위치가 상기 판단 결과에 따른 액션에 기반하여 상기 유입된 패킷의 패킷의 흐름을 제어하는 과정
을 포함하는 것을 특징으로 하는 침입 대응 방법.In a method for detecting and responding to vehicle intrusion using an SDN support switch installed in an in-vehicle network (IVN) and an SDN controller arranged outside the vehicle,
Transmitting, by the SDN support switch, a packet-in message including a packet introduced from the in-vehicle network to the SDN controller;
Receiving, by the SDN controller, the packet-in message and transmitting it to an intrusion detection system (IDS);
The SDN controller causing the intrusion detection system to determine whether the introduced packet is an intrusion packet, and receiving an action according to a determination result from the intrusion detection system;
Transmitting, by the SDN controller, a packet-out message including an action according to the determination result to the SDN supporting switch; And
The process of controlling the packet flow of the introduced packet based on an action according to the determination result by the SDN supporting switch
Intrusion response method comprising a. 제4항에 있어서,
상기 SDN 지원 스위치가 플로우 테이블(flow table)로부터 상기 유입된 패킷과 매칭되는 플로우 엔트리(flow entry)를 추출하는 과정을 더 포함하는 것을 특징으로 하는 침입 대응 방법.The method of claim 4,
And extracting, by the SDN supporting switch, a flow entry matching the introduced packet from a flow table. 제5항에 있어서,
상기 플로우 엔트리는, 규칙 필드(rule field)를 포함하고,
상기 유입된 패킷과 매칭되는 플로우 엔트리를 추출하는 과정은,
상기 유입된 패킷의 데이터와 각 플로우 엔트리의 규칙 필드를 매칭하여, 매칭 개수 또는 매칭 범위가 일정 기준값 이상인 플로우 엔트리를 추출하는 것을 특징으로 하는 침입 대응 방법.The method of claim 5,
The flow entry includes a rule field,
The process of extracting a flow entry matching the introduced packet,
And extracting a flow entry having a matching number or matching range equal to or greater than a predetermined reference value by matching the data of the introduced packet with the rule field of each flow entry. 제6항에 있어서,
상기 플로우 엔트리는, 우선순위 필드(priority field)를 더 포함하고,
복수의 플로우 엔트리가 추출되는 경우 상기 유입된 패킷과 매칭되는 플로우 엔트리를 추출하는 과정은,
각 플로우 엔트리의 우선순위 필드를 기준으로 상기 유입된 패킷에 매칭되는 어느 하나의 플로우 엔트리를 추출하는 것을 특징으로 하는 침입 대응 방법.The method of claim 6,
The flow entry further includes a priority field,
When a plurality of flow entries are extracted, the process of extracting a flow entry matching the introduced packet,
And extracting any one flow entry matching the introduced packet based on a priority field of each flow entry. 제6항에 있어서,
상기 패킷-인 메시지를 상기 SDN 컨트롤러로 송신하는 과정은,
추출된 플로우 엔트리가 없거나, 추출된 플로우 엔트리가 만료되었다는 이벤트가 발생하거나 추출된 플로우 앤트리의 액션 필드(action field)에 컨트롤러로의 포워딩(forward to controller) 명령이 포함된 경우에 송신을 수행하는 것을 특징으로 하는 침입 대응 방법.The method of claim 6,
The process of transmitting the packet-in message to the SDN controller,
Transmission is performed when there is no extracted flow entry, an event indicating that the extracted flow entry has expired, or a forward to controller command is included in the action field of the extracted flow entry. Intrusion response method, characterized in that. 제8항에 있어서,
상기 패킷-인 메시지를 상기 SDN 컨트롤러로 송신하는 과정은, 상기 이벤트가 발생한 경우 상기 유입된 패킷을 드랍(drop)시키고,
상기 유입된 패킷이 침입 패킷이 아닌 것으로 판단된 경우 상기 패킷-아웃 메시지는 상기 유입된 패킷을 더 포함하는 것을 특징으로 하는 침입 대응 방법.The method of claim 8,
In the process of transmitting the packet-in message to the SDN controller, when the event occurs, the introduced packet is dropped,
When it is determined that the introduced packet is not an intrusion packet, the packet-out message further includes the introduced packet. 제9항에 있어서,
상기 유입된 패킷이 침입 패킷인 경우 상기 패킷-아웃 메시지는 상기 유입된 패킷을 추출할 수 있는 새로운 규칙(rule)을 더 포함하는 것을 특징으로 하는 침입 대응 방법.The method of claim 9,
When the introduced packet is an intrusion packet, the packet-out message further includes a new rule capable of extracting the introduced packet. 제4항에 있어서,
상기 SDN 컨트롤러가 상기 침입 탐지 시스템으로부터 판단 결과에 따른 액션을 수신하기 전, 상기 유입된 패킷 및 포워딩(forwarding)을 명령하는 액션이 포함된 패킷-아웃 메시지를 상기 SDN 지원 스위치에 송신하는 과정
을 더 포함하는 것을 특징으로 하는 침입 대응 방법.The method of claim 4,
Before the SDN controller receives the action according to the determination result from the intrusion detection system, the process of transmitting a packet-out message including the incoming packet and an action instructing forwarding to the SDN supporting switch
Intrusion response method comprising a further. 제4항에 있어서,
상기 SDN 지원 스위치가 상기 패킷-아웃 메시지를 기초로 상기 플로우 테이블(flow table)을 갱신(update)하는 과정
을 더 포함하는 것을 특징으로 하는 침입 대응 방법.













The method of claim 4,
The process of updating the flow table based on the packet-out message by the SDN support switch
Intrusion response method comprising a further.
KR1020200095518A 2019-07-31 2020-07-30 Method for SDN-based Intrusion Response or Prevention for In-vehicle Network and System using the same KR20210015704A (en)

Priority Applications (4)

Application Number Priority Date Filing Date Title
DE112020003655.3T DE112020003655T5 (en) 2019-07-31 2020-07-31 SDN-BASED INtrusion Prevention Method for In-Vehicle Networks and System for Utilizing The Same
PCT/KR2020/010141 WO2021020934A1 (en) 2019-07-31 2020-07-31 Sdn-based intrusion response method for in-vehicle network, and system using same
US17/631,836 US20220278994A1 (en) 2019-07-31 2020-07-31 Sdn-based intrusion response method for in-vehicle network, and system using same
CN202080055869.XA CN114467281A (en) 2019-07-31 2020-07-31 SDN-based vehicle-mounted network intrusion response method and system using same

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR20190093503 2019-07-31
KR1020190093503 2019-07-31

Publications (1)

Publication Number Publication Date
KR20210015704A true KR20210015704A (en) 2021-02-10

Family

ID=74561600

Family Applications (2)

Application Number Title Priority Date Filing Date
KR1020200095519A KR20210015705A (en) 2019-07-31 2020-07-30 Method for SDN-based Intrusion Response or Prevention for In-vehicle Network and System using the same
KR1020200095518A KR20210015704A (en) 2019-07-31 2020-07-30 Method for SDN-based Intrusion Response or Prevention for In-vehicle Network and System using the same

Family Applications Before (1)

Application Number Title Priority Date Filing Date
KR1020200095519A KR20210015705A (en) 2019-07-31 2020-07-30 Method for SDN-based Intrusion Response or Prevention for In-vehicle Network and System using the same

Country Status (1)

Country Link
KR (2) KR20210015705A (en)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022092788A1 (en) 2020-10-29 2022-05-05 Samsung Electronics Co., Ltd. Methods and system for securing a sdn controller from denial of service attack
KR102587055B1 (en) * 2021-10-26 2023-10-11 인천대학교 산학협력단 System for Detecting Anomaly Computing Based on Artificial Intelligence
WO2023210881A1 (en) * 2022-04-28 2023-11-02 엘지전자 주식회사 Sdn-based in-vehicle network and control method thereof

Also Published As

Publication number Publication date
KR20210015705A (en) 2021-02-10

Similar Documents

Publication Publication Date Title
US20220278994A1 (en) Sdn-based intrusion response method for in-vehicle network, and system using same
US10200404B2 (en) Behavioral white labeling
KR20210015704A (en) Method for SDN-based Intrusion Response or Prevention for In-vehicle Network and System using the same
Jaballah et al. Security and design requirements for software-defined VANETs
US20120023552A1 (en) Method for detection of a rogue wireless access point
US20170006039A1 (en) Access enforcement at a wireless access point
US9871761B2 (en) Methods and apparatus for implementing a fibre channel zone policy
US20220337603A1 (en) Autonomous pilicy enforcement point configuration for role based access control
EP3448001B1 (en) Communication security apparatus, control method, and storage medium storing a program
WO2019021923A1 (en) Network monitor, network monitoring method and program
Singh et al. ML-based approach to detect DDoS attack in V2I communication under SDN architecture
US8955049B2 (en) Method and a program for controlling communication of target apparatus
US20140126348A1 (en) Ip packet transmission using vehicular transport
Todorova et al. DDoS attack detection in SDN-based VANET architectures
WO2020137304A1 (en) Statistic information generation device, statistic information generation method, and program
US11330017B2 (en) Method and device for providing a security service
Siddiqui et al. On the impact of DDoS attacks on software-defined Internet-of-Vehicles control plane
US20240040381A1 (en) Sdn-based intrusion response method for in-vehicle network and system using same
Sharma Towards artificial intelligence assisted software defined networking for internet of vehicles
US11184280B2 (en) Methods and apparatus for verification of non-steered traffic flows having unspecified paths based on traversed network node or service function identities
Amari et al. Securing software-defined vehicular network architecture against ddos attack
EP3721586B1 (en) Network link verification
Kamalesh et al. Threats to Control Plane of Software Defined Networks: An Extensive Study
KR20170081422A (en) Method and apparatus for recognizing and managing network resource
KR20180027032A (en) Apparatus for software defined network and method for control thereof