KR20230019664A - Method and system for preventing network pharming using big data and artificial intelligence - Google Patents

Method and system for preventing network pharming using big data and artificial intelligence Download PDF

Info

Publication number
KR20230019664A
KR20230019664A KR1020210101467A KR20210101467A KR20230019664A KR 20230019664 A KR20230019664 A KR 20230019664A KR 1020210101467 A KR1020210101467 A KR 1020210101467A KR 20210101467 A KR20210101467 A KR 20210101467A KR 20230019664 A KR20230019664 A KR 20230019664A
Authority
KR
South Korea
Prior art keywords
website
host file
identification information
address
website page
Prior art date
Application number
KR1020210101467A
Other languages
Korean (ko)
Other versions
KR102514214B1 (en
Inventor
남궁규정
이형수
손기조
Original Assignee
(주)코아맥스테크놀로지
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by (주)코아맥스테크놀로지 filed Critical (주)코아맥스테크놀로지
Priority to KR1020210101467A priority Critical patent/KR102514214B1/en
Publication of KR20230019664A publication Critical patent/KR20230019664A/en
Application granted granted Critical
Publication of KR102514214B1 publication Critical patent/KR102514214B1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/955—Retrieval from the web using information identifiers, e.g. uniform resource locators [URL]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

The present invention relates to an artificial intelligence type network pharming blocking method using big data and a system thereof. The artificial intelligence type network pharming blocking method comprises the following steps of: storing an IP address to be blocked; detecting input of a domain name for website access from a terminal of a user through an Internet network; extracting a host file associated with the domain name from the terminal of the user; comparing an IP address corresponding to the host file with the IP address to be blocked; blocking access to the IP address corresponding to the host file when the IP address corresponding to the host file is the same as the IP address to be blocked; transmitting a DNS query packet associated with the domain name to a security DNS server when the IP address corresponding to the host file is not the same as the IP address to be blocked; receiving a website IP address from the security DNS server; comparing the IP address corresponding to the host file extracted from the user terminal with the IP address received from the security DNS server; comparing pre-stored website page content with website page content accessed by the host file when the website IP address received from the security DNS server and the IP address included in the host file are different; allowing access to a website accessed by the host file when the pre-stored website page content and the website page content accessed by the host file are the same; and blocking access to the website accessed by the host file when the pre-stored website page content is different from the website page content accessed by the host file. Therefore, the present invention can reliably prevent network pharming attacks by hackers.

Description

빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법 및 시스템{METHOD AND SYSTEM FOR PREVENTING NETWORK PHARMING USING BIG DATA AND ARTIFICIAL INTELLIGENCE}Artificial intelligence network farming blocking method and system using big data {METHOD AND SYSTEM FOR PREVENTING NETWORK PHARMING USING BIG DATA AND ARTIFICIAL INTELLIGENCE}

본 발명은 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법 및 시스템에 관한 발명으로서, 보다 상세하게는 빅데이터와 인공지능 기술을 활용함으로써 네트워크 파밍을 신뢰성 있게 방지하면서도, 웹사이트에 복수 개의 도메인 네임 서버들이 이용되는 경우, 도메인 네임 서버 변경과 네트워크 파밍을 명확히 구분할 수 있고, 서버 감시의 정확성과 효율을 높이도록 구성되는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법 및 시스템에 관한 발명이다.The present invention relates to a method and system for blocking artificial intelligence network pharming using big data. When used, the present invention relates to an artificial intelligence network pharming blocking method and system using big data that can clearly distinguish domain name server change from network pharming and enhances the accuracy and efficiency of server monitoring.

인터넷의 편리함으로 말미암아 개인과 기업들의 경제활동에서 전자메일, 파일 전송과 같이 간단한 업무 처리뿐 아니라, 전자결재, 웹 서버를 통한 기업 광고, 전자상거래에 이르기까지 일상생활의 전반적인 영역에 걸쳐 인터넷이 활용되고 있다. Due to the convenience of the Internet, the Internet is utilized in all areas of daily life, from economic activities of individuals and companies to simple business processes such as e-mail and file transfer, as well as e-payment, corporate advertising through web servers, and e-commerce. It is becoming.

이와 같이 인터넷 이용이 일반화되면서, 인터넷 상에서 사용자의 개인 정보 등을 탈취하기 위한 각종 공격들이 성행하고 있다.As the use of the Internet is generalized, various attacks to steal user's personal information and the like are prevalent on the Internet.

이러한 인터넷 네트워크 상의 공격은 예를 들어 파밍(pharming) 공격을 들 수 있다.An attack on such an Internet network may include, for example, a pharming attack.

인터넷 사용자들은 특정 웹사이트에 접속할 때, 해당 웹사이트의 IP주소 대신 도메인 네임을 입력하여 접속할 수 있는데, DNS(domain name server 또는 domain name system, 이하 DNS)란 특정 사이트에 접속하는 경우에 도메인 네임을 IP 주소로 전환시켜 주는 시스템을 뜻한다. When Internet users connect to a specific website, they can access it by entering the domain name instead of the IP address of the website. DNS (domain name server or domain name system, hereinafter DNS) is a A system that converts IP addresses into IP addresses.

그런데, 컴퓨터와 같은 단말기는 도메인 네임을 IP주소로 변환할 때 처음부터 DNS를 검색하는 것은 아니고, 컴퓨터 내부에 있는 호스트 파일을 먼저 참조한다. However, when a terminal such as a computer converts a domain name into an IP address, it does not search DNS from the beginning, but first refers to a host file inside the computer.

사용자들이 사용하는 컴퓨터에는 일반적으로 호스트 파일이 존재하는데, 이 파일은 IP주소와 도메인 네임을 매칭 시켜주는 파일에 해당한다. In general, a host file exists in the computer used by users, and this file corresponds to a file that matches IP addresses and domain names.

따라서, 호스트파일에서 원하는 도메인 네임을 찾는다면 더 이상 DNS에 IP주소를 요청하지 않는다.So, once you find the domain name you want in your hosts file, you no longer ask DNS for an IP address.

도 1 은 컴퓨터 또는 스마트폰과 같은 단말기(100)가 자체 장치 내의 호스트(hosts) 파일을 통해서나, 공유기(110)에 저장된 호스트 파일을 통해 해당 웹사이트(150)에 접속하는 과정을 도시한다.1 illustrates a process in which a terminal 100 such as a computer or smart phone accesses a corresponding website 150 through a hosts file in its own device or a hosts file stored in the router 110.

사용자가 특정 웹사이트의 도메인 네임을 입력하는 경우, 단말기(100) 또는 공유기(110)에 기 저장된 호스트 파일(미도시)에 매칭되는 도메인 네임과 IP주소가 있다면, 단말기(100)는 DNS 서버(120)를 호출하지 않고 호스트 파일에서 직접 찾아낸 IP 주소로 웹사이트(150)에 접속하게 된다.When a user enters a domain name of a specific website, if there is a matching domain name and IP address in a host file (not shown) pre-stored in the terminal 100 or router 110, the terminal 100 sends the DNS server ( 120) is not called, but the website 150 is accessed with the IP address directly found in the hosts file.

전술한 파밍 공격은 이러한 호스트 파일의 특성을 악용한 사례에 해당한다. The aforementioned pharming attack is an example of exploiting the characteristics of the host file.

즉, 해커(hacker)의 직접 해킹 또는 악성코드 감염 등으로 인해 사용자 단말기의 호스트 파일이 변조되는 경우, 호스트 파일에는 해커가 의도한 가짜 사이트 주소가 기록된다. That is, when the host file of the user terminal is tampered with due to direct hacking by a hacker or infection with a malicious code, the fake site address intended by the hacker is recorded in the host file.

따라서, 사용자가 정확한 도메인 주소를 입력하여 인터넷 접속을 시도하더라도, 단말기는 호스트 파일을 참조하여 가짜 사이트 주소로 이동되어 사용자에게 가짜 사이트를 보여주게 된다. Therefore, even if the user tries to connect to the Internet by inputting the correct domain address, the terminal refers to the host file and moves to the fake site address, and shows the fake site to the user.

따라서, 사용자는 가짜 사이트에 접속하여 개인 정보 등을 유출할 수 있다.Accordingly, a user may leak personal information by accessing a fake site.

한편, 단말기는 사용자들이 입력한 도메인 네임이 호스트 파일에 없는 경우에, 도 1의 (b)에 도시된 바와 같이, 접속하고자 하는 도메인 네임에 해당하는 IP 주소를 DNS 서버(120)에 문의한다(DNS 쿼리 : DNS query) Meanwhile, when the domain name entered by the users is not in the host file, the terminal inquires the DNS server 120 for the IP address corresponding to the domain name to be accessed, as shown in (b) of FIG. DNS query: DNS query)

이 경우, 상기 DNS 서버(120)가 해당 IP 주소를 사용자의 단말기(100)로 전송하게 되며, 단말기(100)는 전송 받은 IP 주소를 사용하여 해당 웹사이트(150)에 접속하게 된다.In this case, the DNS server 120 transmits the corresponding IP address to the user's terminal 100, and the terminal 100 accesses the corresponding website 150 using the received IP address.

그런데, 파밍 공격은 실제 DNS 서버(120) 보다 빨리 공격 대상인 사용자 단말기(100)에게 DNS Response 패킷을 보내, 단말기(100)가 잘못된 IP 주소의 웹사이트로 접속하도록 유도할 수도 있다.However, the pharming attack may induce the terminal 100 to access a website with an incorrect IP address by sending a DNS response packet to the user terminal 100, which is an attack target, faster than the actual DNS server 120.

예를 들어, 사용자가 단말기(100)를 통해 DNS 서버(120)로 DNS Query 패킷을 보내는 것을 확인한 경우, 해커는 DNS 서버(120)가 올바른 DNS Response 패킷을 보내기 전에 사용자에게 위조된 DNS Response 패킷을 보낼 수 있다.For example, if it is confirmed that the user sends a DNS Query packet to the DNS server 120 through the terminal 100, the hacker sends a forged DNS Response packet to the user before the DNS server 120 sends the correct DNS Response packet. can send.

이때, 사용자의 단말기(100)는 해커가 보낸 DNS Response 패킷을 올바른 패킷으로 인식하고 웹사이트에 접속하게 되며, 이 경우 사용자가 접속한 사이트는 정상 사이트가 아니라 해커가 만든 가짜 사이트에 해당한다.At this time, the user's terminal 100 recognizes the DNS response packet sent by the hacker as a correct packet and accesses the website. In this case, the site accessed by the user is not a normal site but a fake site created by the hacker.

그런데, 웹사이트의 용량이 큰 경우 이를 유지하기 위해 매우 많은 수의 DNS 서버들이 이용되는 실정이며, 또한 설비 비용 상의 문제로 인해 임대 형식의 클라우드 서버들이 많이 이용된다.However, when the capacity of a website is large, a very large number of DNS servers are used to maintain it, and cloud servers in a rental form are widely used due to the problem of facility cost.

클라우드 서버의 경우, 일정한 사용 기간 경과 후에는 DNS 서버가 변경되는 경우가 빈번한데, 이러한 변경에 의한 새로운 DNS 서버의 이용은 파밍에 의한 가짜 사이트 접속과 구분되어야 한다.In the case of a cloud server, the DNS server is frequently changed after a certain period of use, and the use of a new DNS server by such change must be distinguished from access to fake sites caused by pharming.

본 발명의 목적은, 빅데이터와 인공지능 기술을 활용하여 네트워크 파밍을 신뢰성 있게 방지하도록 구성되는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법 및 시스템을 제공하는 것이다.An object of the present invention is to provide an artificial intelligence network pharming blocking method and system using big data configured to reliably prevent network pharming using big data and artificial intelligence technology.

본 발명의 다른 목적은, 웹사이트에 복수 개의 DNS 서버들이 이용되는 경우, DNS 서버 변경과 네트워크 파밍을 명확히 구분할 수 있도록 구성되는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법 및 시스템을 제공하는 것이다.Another object of the present invention is to provide an artificial intelligence network pharming blocking method and system using big data configured to clearly distinguish DNS server change from network pharming when a plurality of DNS servers are used in a website.

본 발명의 또 다른 목적은, DNS 서버 감시의 정확성과 효율을 높이도록 구성되는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법 및 시스템을 제공하는 것이다.Another object of the present invention is to provide an artificial intelligence network pharming blocking method and system using big data configured to increase the accuracy and efficiency of DNS server monitoring.

상기 목적을 달성하기 위한 본 발명에 따른 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법은 차단 대상 IP주소를 저장하는 단계와, 사용자의 단말기로부터 인터넷 네트워크를 통해 웹사이트 접속을 위한 도메인 네임이 입력되는 것을 감지하는 단계와, 상기 도메인 네임과 연관된 호스트 파일을 상기 사용자의 단말기로부터 추출하는 단계와, 상기 호스트 파일에 대응되는 IP주소와 차단 대상 IP주소를 비교하는 단계와, 상기 호스트 파일에 대응되는 IP 주소가 차단 대상 IP주소와 동일한 경우, 상기 호스트 파일에 대응되는 IP주소 접속을 차단하는 단계와, 상기 호스트 파일에 대응되는 IP 주소가 차단 대상 IP주소와 동일하지 않은 경우, 상기 도메인 네임과 연관된 DNS쿼리패킷을 안전DNS서버로 전송하는 단계와, 상기 안전DNS서버로부터 웹사이트 IP주소를 수신하는 단계와, 상기 사용자 단말기로부터 추출된 호스트 파일에 대응되는 IP주소와 상기 안전DNS서버로부터 수신된 IP주소를 비교하는 단계와, 상기 안전DNS서버로부터 수신된 웹사이트 IP주소와 상기 호스트 파일에 포함된 IP주소가 다른 경우, 미리 저장된 상기 웹사이트 페이지 내용과 상기 호스트 파일에 의해 접속되는 웹사이트 페이지 내용을 비교하는 단계와, 상기 미리 저장된 웹사이트 페이지 내용과 호스트 파일에 의해 접속되는 웹사이트 페이지 내용이 동일한 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 허용하는 단계와, 상기 미리 저장된 웹사이트 페이지 내용과 호스트 파일에 의해 접속되는 웹사이트 페이지 내용이 상이한 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 차단하는 단계를 포함하며, 상기 미리 저장된 웹사이트 페이지 내용은 서로 다른 두 개의 제 1 웹사이트 페이지와 제 2 웹사이트 페이지를 포함하되, 상기 제 2 웹사이트 페이지는 상기 제 1 웹사이트 페이지를 표시하는 도메인 네임의 하류 도메인 네임에 의해 접속되도록 구성되고, 상기 제 2 웹사이트 페이지의 접속 트래픽 수는 상기 제 1 웹사이트 페이지의 접속 트래픽 수에 대한 비율이 가장 작은 웹사이트 페이지로 구성되는 것을 특징으로 한다.In order to achieve the above object, an artificial intelligence network farming blocking method using big data according to the present invention includes the steps of storing an IP address to be blocked, and inputting a domain name for website access from a user's terminal through an Internet network. Detecting, extracting a host file associated with the domain name from the user's terminal, comparing the IP address corresponding to the host file with an IP address to be blocked, and the IP address corresponding to the host file Blocking access to the IP address corresponding to the host file if is the same as the IP address to be blocked; and DNS query associated with the domain name if the IP address corresponding to the host file is not identical to the IP address to be blocked. The step of transmitting the packet to the secure DNS server, the step of receiving the website IP address from the secure DNS server, the IP address corresponding to the host file extracted from the user terminal and the IP address received from the secure DNS server In the step of comparing, if the website IP address received from the secure DNS server and the IP address included in the host file are different, the website page content stored in advance and the website page content accessed by the host file are compared. and, if the contents of the previously stored website page and the contents of the website page accessed by the host file are the same, allowing access to the website accessed by the host file; and blocking access to the website accessed by the host file if the content of the website page accessed by the host file is different, wherein the pre-stored website page content is different from two different first website pages. A second website page, wherein the second website page is configured to be accessed by a domain name downstream of a domain name displaying the first website page, and the number of access traffic of the second website page isIt is characterized in that the ratio of the first website page to the number of access traffic is composed of a website page with the smallest.

바람직하게는, 상기 호스트 파일에 의해 접속되는 웹사이트의 서버 식별정보를 수신받는 단계와, 상기 서버 식별정보가 미리 저장된 고정서버 식별정보일 경우, 안전DNS서버로 판단하도록 구성된다.Preferably, the step of receiving the server identification information of the website accessed by the host file, and if the server identification information is pre-stored fixed server identification information, determines that the server is a secure DNS server.

또한, 상기 서버 식별정보가 비고정서버 식별정보일 경우, 비안전DNS서버로 판단하도록 구성될 수 있다.In addition, if the server identification information is non-fixed server identification information, it may be configured to determine as a non-secure DNS server.

그리고, 상기 제 1 웹사이트 페이지 컨텐츠는 복수 개의 DNS 서버에 의해 분할 대응되며, 상기 복수 개의 DNS 서버들의 서버 식별정보가 미리 저장된 고정서버 식별정보일 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 허용하도록 구성될 수 있다.In addition, the first website page content is divided and corresponded by a plurality of DNS servers, and if the server identification information of the plurality of DNS servers is pre-stored fixed server identification information, the website access accessed by the host file It can be configured to allow

한편, 상기 복수 개의 DNS 서버들의 서버 식별정보가 고정서버 식별정보와 비고정서버 식별정보를 함께 포함하는 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 차단하도록 구성될 수 있다.Meanwhile, when server identification information of the plurality of DNS servers includes both fixed server identification information and non-fixed server identification information, access to a website accessed by the host file may be blocked.

또한, 상기 복수 개의 DNS 서버들의 서버 식별정보가 미리 지정된 비율로 다르게 구성되는 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 차단하도록 구성될 수 있다.In addition, when the server identification information of the plurality of DNS servers is configured differently in a predetermined ratio, access to a website accessed by the host file may be blocked.

그리고, 상기 안전DNS서버의 제 1 웹사이트 페이지와 제 2 웹사이트 페이지는 미리 지정된 주기마다 동일 여부가 체크되도록 구성될 수 있다.And, it may be configured to check whether the first website page and the second website page of the secure DNS server are identical at predetermined intervals.

바람직하게는, 상기 미리 지정된 주기는 상기 서버 식별정보에 따라 다르게 설정된다.Preferably, the predetermined period is set differently according to the server identification information.

여기서, 상기 미리 지정된 주기는 상기 제 1 웹사이트 페이지에 대한 접속 트래픽 크기에 따라 달라지도록 구성될 수 있다.Here, the predetermined period may be configured to vary according to the size of access traffic to the first website page.

또한, 상기 서버 식별정보가 비고정서버 식별정보를 포함하는 경우, 상기 비고정서버 식별정보의 사용기간에 관한 정보를 수신하도록 구성될 수 있다.In addition, when the server identification information includes non-fixed server identification information, it may be configured to receive information about a period of use of the non-fixed server identification information.

한편, 본 발명에 따른 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 시스템은 사용자의 단말기로부터 입력되는 도메인 네임을 감지하는 도메인네임감지모듈과, 상기 사용자 단말기로부터 입력된 도메인 네임과 연관된 호스트 파일을 상기 사용자의 단말기로부터 추출하는 호스트파일추출모듈과, 상기 도메인 네임과 연관된 DNS쿼리패킷을 DNS서버로 송수신하는 안전DNS서버관리모듈과, 상기 사용자 단말기로부터 추출된 호스트 파일에 포함된 IP주소와 안전DNS서버로부터 수신된 IP주소를 비교하는 IP주소비교모듈과, 차단 대상 IP주소와 웹사이트 페이지 내용을 저장하기 위한 데이터저장모듈과, 상기 데이터저장모듈에 미리 저장된 웹사이트 페이지 내용과 상기 호스트 파일에 의해 접속되는 웹사이트 페이지 내용을 비교하는 페이지비교모듈과, 상기 웹사이트에 대한 접속 트래픽 수를 저장하기 위한 빅데이터저장모듈과, 상기 접속 트래픽 수에 기초하여 상기 데이터저장모듈에 저장될 웹사이트 페이지를 선정하기 위한 인공지능모듈을 포함하며, 상기 호스트 파일에 대응되는 IP주소와 차단 대상 IP주소를 비교하여, 상기 호스트 파일에 대응되는 IP 주소가 상기 차단 대상 IP주소와 동일한 경우, 상기 호스트 파일에 대응되는 IP주소 접속을 차단하고, 상기 안전DNS서버로부터 수신된 웹사이트 IP주소와 상기 호스트 파일에 포함된 IP주소가 다른 경우, 미리 저장된 상기 웹사이트 페이지 내용과 상기 호스트 파일에 의해 접속되는 웹사이트 페이지 내용을 비교하여, 상기 미리 저장된 웹사이트 페이지 내용과 호스트 파일에 의해 접속되는 웹사이트 페이지 내용이 동일한 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 허용하고, 상기 미리 저장된 웹사이트 페이지 내용과 호스트 파일에 의해 접속되는 웹사이트 페이지 내용이 상이한 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 차단하며, 상기 미리 저장된 웹사이트 페이지 내용은 서로 다른 두 개의 제 1 웹사이트 페이지와 제 2 웹사이트 페이지를 포함하되, 상기 제 2 웹사이트 페이지는 상기 제 1 웹사이트 페이지를 표시하는 도메인 네임의 하류 도메인 네임에 의해 접속되도록 구성되고, 상기 제 2 웹사이트 페이지의 접속 트래픽 수는 상기 제 1 웹사이트 페이지의 접속 트래픽 수에 대한 비율이 가장 작은 웹사이트 페이지로 구성되는 것을 특징으로 한다.On the other hand, the artificial intelligence network farming blocking system using big data according to the present invention includes a domain name detection module for detecting a domain name input from a user's terminal, and a host file associated with the domain name input from the user terminal. A host file extraction module extracting from the terminal, a secure DNS server management module transmitting and receiving DNS query packets associated with the domain name to the DNS server, and receiving the IP address included in the host file extracted from the user terminal and the secure DNS server. An IP address comparison module for comparing blocked IP addresses, a data storage module for storing blocked IP addresses and website page contents, and a website page contents previously stored in the data storage module and the web accessed by the host file. A page comparison module for comparing site page content, a big data storage module for storing the number of access traffic to the website, and a method for selecting a website page to be stored in the data storage module based on the number of access traffic It includes an artificial intelligence module, compares the IP address corresponding to the hosts file with the IP address to be blocked, and if the IP address corresponding to the hosts file is the same as the IP address to be blocked, the IP address corresponding to the hosts file Connection is blocked, and if the website IP address received from the secure DNS server and the IP address included in the host file are different, the website page content stored in advance and the website page content accessed by the host file are compared. Therefore, if the contents of the previously stored website page and the contents of the website page accessed by the host file are the same, access to the website accessed by the host file is allowed, and the contents of the previously stored website page and the host file If the content of the website page to be accessed is different, the access to the website accessed by the host file is blocked, and the pre-stored website page content includes two different first website pages and a second website page; , The second website page is configured to be accessed by a domain name downstream of a domain name displaying the first website page, and the number of access traffic of the second website page is the number of access traffic of the first website page. It is characterized in that it is composed of website pages with the smallest ratio to .

바람직하게는, 상기 호스트 파일에 의해 접속되는 웹사이트의 서버 식별정보를 수신받고, 상기 서버 식별정보가 미리 저장된 고정서버 식별정보일 경우, 안전DNS 서버로 판단하도록 구성될 수 있다.Preferably, it may be configured to receive server identification information of a website accessed by the host file, and to determine a secure DNS server if the server identification information is pre-stored fixed server identification information.

여기서, 상기 서버 식별정보가 비고정서버 식별정보일 경우, 비안전DNS 서버로 판단하도록 구성될 수 있다.Here, if the server identification information is non-fixed server identification information, it may be configured to determine a non-secure DNS server.

그리고, 상기 제 1 웹사이트 페이지 컨텐츠는 복수 개의 DNS 서버에 의해 분할 대응되며, 상기 복수 개의 DNS서버들의 서버 식별정보가 미리 저장된 고정서버 식별정보일 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 허용하도록 구성될 수 있다.In addition, the first website page contents are divided and corresponded by a plurality of DNS servers, and if the server identification information of the plurality of DNS servers is pre-stored fixed server identification information, the website access accessed by the host file It can be configured to allow

한편, 상기 복수 개의 DNS서버들의 서버 식별정보가 고정서버 식별정보와 비고정서버 식별정보를 함께 포함하는 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 차단하도록 구성될 수 있다.Meanwhile, when server identification information of the plurality of DNS servers includes both fixed server identification information and non-fixed server identification information, access to a website accessed by the host file may be blocked.

또한, 상기 복수 개의 DNS서버들의 서버 식별정보가 미리 지정된 비율로 다르게 구성되는 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 차단하도록 구성될 수 있다.In addition, when the server identification information of the plurality of DNS servers is configured differently in a predetermined ratio, access to a website accessed by the host file may be blocked.

그리고, 상기 안전DNS서버의 제 1 웹사이트 페이지와 제 2 웹사이트 페이지는 미리 지정된 주기마다 동일 여부가 체크되도록 구성될 수 있다.And, it may be configured to check whether the first website page and the second website page of the secure DNS server are identical at predetermined intervals.

바람직하게는, 상기 미리 지정된 주기는 상기 서버 식별정보에 따라 다르게 설정될 수 있다.Preferably, the predetermined period may be set differently according to the server identification information.

여기서, 상기 미리 지정된 주기는 상기 제 1 웹사이트 페이지에 대한 접속 트래픽 크기에 따라 달라지도록 구성될 수 있다.Here, the predetermined period may be configured to vary according to the size of access traffic to the first website page.

또한, 상기 서버 식별정보가 비고정서버 식별정보를 포함하는 경우, 상기 비고정서버 식별정보의 사용기간에 관한 정보를 수신하도록 구성될 수 있다.In addition, when the server identification information includes non-fixed server identification information, it may be configured to receive information about a period of use of the non-fixed server identification information.

본 발명에 의해, 해커에 의한 네트워크 파밍 공격을 신뢰성 있게 방지할 수 있다.According to the present invention, network pharming attacks by hackers can be reliably prevented.

또한, 웹사이트에 복수 개의 DNS 서버들이 이용되는 경우, DNS 서버 변경과 네트워크 파밍을 명확히 구분할 수 있다.In addition, when a plurality of DNS servers are used in a website, DNS server change and network pharming can be clearly distinguished.

또한, DNS 서버 감시의 정확성과 효율을 높일 수 있다.In addition, accuracy and efficiency of DNS server monitoring can be improved.

첨부의 하기 도면들은, 발명의 상세한 설명과 함께 본 발명의 기술적 사상을 이해시키기 위한 것이므로, 본 발명은 하기 도면에 도시된 사항에 한정 해석되어서는 아니 된다.
도 1 은 단말기를 통해 웹 사이트에 접속하는 종래 과정을 도시한 개략도이며,
도 2 는 본 발명에 따른 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 시스템이 사용자 단말기와 네트워크 환경에 의해 연결된 상태를 도시한 개략도이며,
도 3 은 상기 네트워크 파밍 차단 시스템의 블럭도이며,
도 4 는 본 발명에 따른 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법을 나타내는 순서도이다.The accompanying drawings are for understanding the technical spirit of the present invention together with the detailed description of the invention, and the present invention should not be construed as being limited to the matters shown in the drawings.
1 is a schematic diagram showing a conventional process of accessing a website through a terminal;
2 is a schematic diagram showing a state in which an artificial intelligence network farming blocking system using big data according to the present invention is connected by a user terminal and a network environment;
3 is a block diagram of the network pharming blocking system;
4 is a flowchart illustrating a method for blocking artificial intelligence network pharming using big data according to the present invention.

이하, 첨부된 도면을 참조하여 본 발명의 구성을 상세히 설명하기로 한다. Hereinafter, the configuration of the present invention will be described in detail with reference to the accompanying drawings.

이에 앞서, 본 명세서 및 청구범위에 사용된 용어는 사전적인 의미로 한정 해석되어서는 아니되며, 발명자는 자신의 발명을 최선의 방법으로 설명하기 위해 용어의 개념을 적절히 정의할 수 있다는 원칙에 입각하여, 본 발명의 기술적 사상에 부합되는 의미와 개념으로 해석되어야 한다.Prior to this, the terms used in this specification and claims should not be construed as limited in a dictionary sense, and based on the principle that the inventor can appropriately define the concept of terms in order to best explain his/her invention. , It should be interpreted as a meaning and concept consistent with the technical idea of the present invention.

따라서, 본 명세서에 기재된 실시예 및 도면에 도시된 구성은 본 발명의 바람직한 실시예에 불과할 뿐이고, 본 발명의 기술적 사상을 모두 표현하는 것은 아니므로, 본 출원 시점에 있어 이들을 대체할 수 있는 다양한 균등물과 변형예들이 존재할 수 있음을 이해하여야 한다.Therefore, the embodiments described in this specification and the configurations shown in the drawings are only preferred embodiments of the present invention and do not represent all of the technical spirit of the present invention, so various equivalents that can replace them at the time of this application It should be understood that water and variations may exist.

도 2 는 본 발명에 따른 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 시스템이 사용자 단말기와 네트워크 환경에 의해 연결된 상태를 도시한 개략도이며, 도 3 은 상기 네트워크 파밍 차단 시스템의 블럭도이며, 도 4 는 본 발명에 따른 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법을 나타내는 순서도이다.2 is a schematic diagram showing a state in which an artificial intelligent network anti-farming system using big data according to the present invention is connected by a user terminal and a network environment, and FIG. 3 is a block diagram of the network anti-farming system, and FIG. It is a flow chart showing an artificial intelligence network pharming blocking method using big data according to the invention.

도 2 와 3 을 참조하면, 본 발명에 따른 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 시스템은 사용자의 단말기(10)로부터 입력되는 도메인 네임을 감지하는 도메인네임감지모듈(32)과, 상기 사용자 단말기(10)로부터 입력된 도메인 네임과 연관된 호스트 파일을 상기 사용자의 단말기(10)로부터 추출하는 호스트파일추출모듈(34)과, 상기 도메인 네임과 연관된 DNS쿼리패킷을 DNS서버로 송수신하는 안전DNS서버관리모듈(36)과, 상기 사용자 단말기(10)로부터 추출된 호스트 파일에 포함된 IP주소와 안전DNS서버(50)로부터 수신된 IP주소를 비교하는 IP주소비교모듈(35)과, 차단 대상 IP주소와 웹사이트 페이지 내용을 저장하기 위한 데이터저장모듈(37)과, 상기 데이터저장모듈(37)에 미리 저장된 웹사이트 페이지 내용과 상기 호스트 파일에 의해 접속되는 웹사이트 페이지 내용을 비교하는 페이지비교모듈(38)과, 상기 웹사이트에 대한 접속 트래픽 수를 저장하기 위한 빅데이터저장모듈(33)과, 상기 접속 트래픽 수에 기초하여 상기 데이터저장모듈(37)에 저장될 웹사이트 페이지를 선정하기 위한 인공지능모듈(31)을 포함하며, 상기 호스트 파일에 대응되는 IP주소와 차단 대상 IP주소를 비교하여, 상기 호스트 파일에 대응되는 IP 주소가 상기 차단 대상 IP주소와 동일한 경우, 상기 호스트 파일에 대응되는 IP주소 접속을 차단하고, 상기 안전DNS서버(50)로부터 수신된 웹사이트 IP주소와 상기 호스트 파일에 포함된 IP주소가 다른 경우, 미리 저장된 상기 웹사이트 페이지 내용과 상기 호스트 파일에 의해 접속되는 웹사이트 페이지 내용을 비교하여, 상기 미리 저장된 웹사이트 페이지 내용과 호스트 파일에 의해 접속되는 웹사이트 페이지 내용이 동일한 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 허용하고, 상기 미리 저장된 웹사이트 페이지 내용과 호스트 파일에 의해 접속되는 웹사이트 페이지 내용이 상이한 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 차단하며, 상기 미리 저장된 웹사이트 페이지 내용은 서로 다른 두 개의 제 1 웹사이트 페이지와 제 2 웹사이트 페이지를 포함하되, 상기 제 2 웹사이트 페이지는 상기 제 1 웹사이트 페이지를 표시하는 도메인 네임의 하류 도메인 네임에 의해 접속되도록 구성되고, 상기 제 2 웹사이트 페이지의 접속 트래픽 수는 상기 제 1 웹사이트 페이지의 접속 트래픽 수에 대한 비율이 가장 작은 웹사이트 페이지로 구성되는 것을 특징으로 한다.2 and 3, the artificial intelligence network farming blocking system using big data according to the present invention includes a domain name detection module 32 for detecting a domain name input from a user's terminal 10, and the user terminal ( A host file extraction module 34 that extracts a host file associated with the domain name entered from 10) from the user's terminal 10, and a secure DNS server management module that transmits and receives DNS query packets associated with the domain name to the DNS server. 36, an IP address comparison module 35 that compares the IP address included in the host file extracted from the user terminal 10 with the IP address received from the secure DNS server 50, and the IP address to be blocked A data storage module 37 for storing website page contents, and a page comparison module 38 for comparing website page contents previously stored in the data storage module 37 with website page contents accessed by the host file. ), a big data storage module 33 for storing the number of access traffic to the website, and artificial intelligence for selecting a website page to be stored in the data storage module 37 based on the number of access traffic A module 31 is configured to compare the IP address corresponding to the hosts file with the IP address to be blocked, and if the IP address corresponding to the hosts file is the same as the IP address to be blocked, the IP address corresponding to the hosts file Address access is blocked, and if the website IP address received from the secure DNS server 50 and the IP address included in the host file are different, the website page contents stored in advance and the website accessed by the host file The page content is compared, and if the pre-stored website page content and the website page content accessed by the host file are the same, access to the website accessed by the host file is allowed, and the pre-stored website page content and the website page content If the content of the website page accessed by the host file is different, the website accessed by the host file and the pre-stored website page content includes two different first website pages and a second website page, wherein the second website page is a domain name displaying the first website page. It is configured to be accessed by a downstream domain name of, and the number of access traffic of the second website page is characterized in that the ratio of the number of access traffic to the number of access traffic of the first website page is composed of a website page.

본 발명에 따른 상기 네트워크 파밍 차단 시스템은 사용자의 단말기(10)가 인터넷에 접속하는 네트워크 스위치(미도시) 등을 통해 물리적으로 접속될 수 있다.In the system for blocking network pharming according to the present invention, the user's terminal 10 may be physically connected through a network switch (not shown) that accesses the Internet.

또한, 본 발명에 따른 네트워크 파밍 차단 시스템은 사용자의 단말기(10)가 호스트 파일의 IP 주소를 통해 웹사이트 서버(40)에 접속하는 경우, 또는 DNS서버(50)로부터 수신된 IP 주소를 통해 웹사이트 서버(40)에 접속하는 경우에 대해, 단말기(10)가 정상적인 웹사이트에 접속하는지를 감시할 수 있다.In addition, the network pharming blocking system according to the present invention is used when the user's terminal 10 accesses the website server 40 through the IP address of the host file or through the IP address received from the DNS server 50. In the case of accessing the site server 40, it is possible to monitor whether the terminal 10 accesses a normal website.

상기 사용자 단말기(10)는 PC 또는 스마트폰 단말기일 수 있으며, 보안 관리를 위해 상기 사용자 단말기(10)에는 본 발명에 따른 네트워크 파밍 차단 방법을 구현한 프로그램 또는 앱이 저장될 수도 있고, 또는 일반적인 단말기일 수도 있다.The user terminal 10 may be a PC or a smartphone terminal, and for security management, a program or app implementing the network pharming blocking method according to the present invention may be stored in the user terminal 10, or a general terminal. It could be.

상기 도메인네임감지모듈(32)은 상기 사용자의 단말기(10)로부터 입력되는 도메인 네임을 감지하는 구성이다.The domain name detection module 32 is a component that detects a domain name input from the terminal 10 of the user.

그리고, 상기 호스트파일추출모듈(34)은 상기 사용자 단말기(10)로부터 입력된 도메인 네임과 연관된 호스트 파일을 상기 사용자의 단말기(10)로부터 추출하는 구성이다.Also, the host file extraction module 34 is a component that extracts a host file related to the domain name input from the user terminal 10 from the user's terminal 10 .

상기 호스트파일추출모듈(34)은 사용자의 단말기(10)가 인터넷에 접속하는 네트워크 스위치 또는 공유기(20)에 대한 포트 미러링(port mirroring) 방식을 통해, 도메인 네임에 대응되는 웹사이트의 IP 주소를 추출할 수 있다.The host file extraction module 34 retrieves the IP address of the website corresponding to the domain name through a port mirroring method for the network switch or router 20 through which the user's terminal 10 accesses the Internet. can be extracted.

상기 호스트파일추출모듈(34)은 포트 미러링 기법을 통해 접속하고자 하는 웹사이트에 대한 출발지 IP, 목적지 IP, HTTP method, HTTP 헤더 정보 등을 분석하여, 도메인 네임에 대응되는 웹사이트의 IP 주소를 단말기(10) 또는 공유기(20)로부터 전달받도록 구성된다.The host file extraction module 34 analyzes the source IP, destination IP, HTTP method, HTTP header information, etc. of the website to be accessed through the port mirroring technique, and transfers the IP address of the website corresponding to the domain name to the terminal. (10) or is configured to receive transmission from the router (20).

상기 데이터저장모듈(37)은 사용자가 단말기(100)를 통해 접속하는 웹사이트의 IP 주소들 중 접속을 차단하고자 하는 IP주소와, 상기 IP 주소에 대응되는 도메인 네임을 저장하는 데이터베이스에 해당한다. The data storage module 37 corresponds to a database for storing an IP address to be blocked from among IP addresses of websites accessed by a user through the terminal 100 and a domain name corresponding to the IP address.

또한, 상기 데이터저장모듈(37)에는 사전의 안전성 검증에 의해 올바른 것으로 인정된 웹사이트의 페이지 내용을 저장한다.In addition, the data storage module 37 stores the contents of pages of websites recognized as correct through prior safety verification.

상기 웹사이트 페이지 내용은 상기 제 1 웹사이트 페이지와 제 2 웹사이트 페이지를 포함한다.The website page content includes the first website page and the second website page.

상기 웹사이트 페이지 내용은 데이터의 효율적인 관리를 위하여 상기 웹사이트의 해시 함수로써 저장된다.The website page content is stored as a hash function of the website for efficient data management.

상기 해시 함수(Hash Funtion)는 저장되는 데이터의 효율적인 관리를 목적으로 임의 길이의 데이터를 고정된 길이의 데이터로 매핑하는 함수이다.The hash function is a function that maps data of an arbitrary length to data of a fixed length for the purpose of efficient management of stored data.

이때, 매핑전 원래의 데이터 값을 키(Key), 매핑 후 데이터의 값을 해시값(Hash value) 또는 해시코드라 하며, 매핑하는 과정 자체를 해싱(Hashing)이라고 한다.At this time, the original data value before mapping is called a key, the data value after mapping is called a hash value or hash code, and the mapping process itself is called hashing.

상기 해시 함수의 기본적인 성질은, 두 해시 값이 다르면 원래의 데이터 값도 다르게 판단하는 것이다.The basic property of the hash function is that if two hash values are different, the original data value is also determined differently.

상기 안전DNS서버관리모듈(36)은 상기 도메인 네임과 연관된 DNS쿼리패킷을 DNS서버로 송신하고 또한, DNS서버로부터 상기 도메인 네임과 연관된 IP 주소를 수신받는 구성이다.The secure DNS server management module 36 is a component that transmits a DNS query packet associated with the domain name to a DNS server and receives an IP address associated with the domain name from the DNS server.

또한, 상기 안전DNS서버관리모듈(36)은 DNS서버들 중 검증에 의해 안전성이 담보된 안전DNS서버(50)들의 목록을 저장하면서 이를 관리한다.In addition, the secure DNS server management module 36 stores and manages a list of safe DNS servers 50 whose safety is guaranteed by verification among DNS servers.

그리고, 상기 IP주소비교모듈(35)은 상기 사용자 단말기(10)로부터의 호스트 파일에 의해 추출된 IP주소와, 안전DNS서버(50)로부터 수신된 IP주소를 비교하여 그 동일 여부를 판단하는 구성이다.And, the IP address comparison module 35 compares the IP address extracted by the host file from the user terminal 10 with the IP address received from the secure DNS server 50 and determines whether they are the same. am.

또한, 상기 페이지비교모듈(38)은 상기 데이터저장모듈(37)에 미리 저장된 웹사이트 페이지 내용과, 상기 호스트 파일에 의해 접속될 웹사이트의 페이지 내용을 비교하여 그 동일 여부를 판단하는 구성이다. In addition, the page comparison module 38 compares the contents of a website page previously stored in the data storage module 37 with the contents of a website to be accessed by the host file, and determines whether they are the same.

상기 페이지비교모듈(38)은 상기 미리 저장된 웹사이트 페이지 내용과, 상기 호스트 파일에 의해 접속되는 웹사이트 페이지 내용을 상기 헤시 값으로써 비교한다.The page comparison module 38 compares the pre-stored website page content with the website page content accessed by the host file using the hash value.

그리고, 상기 IP주소비교모듈(35)은 상기 사용자 단말기(10)로부터 추출된 호스트파일에 포함된 IP 주소와, 안전DNS서버(50)로부터 수신된 IP 주소가 일치하는지의 여부를 비교하는 역할을 한다.The IP address comparison module 35 compares whether the IP address included in the host file extracted from the user terminal 10 and the IP address received from the secure DNS server 50 match. do.

상기 안전DNS서버는 사전의 안전성 검증에 의해 진정한 DNS서버로 인정되어 저장된 DNS서버를 의미하며, 상기 안전DNS서버들의 목록은 상기 데이터저장모듈(37)에 저장될 수 있다.The secure DNS server refers to a DNS server recognized as a true DNS server through prior safety verification and stored, and a list of the secure DNS servers may be stored in the data storage module 37.

상기 빅데이터저장모듈(33)은 상기 웹사이트에 대한 접속 트래픽 수를 저장한다.The big data storage module 33 stores the number of access traffic to the website.

상기 접속 트래픽 수는 상기 웹사이트 중에서 제 1 웹사이트 페이지에 대한 접속 트래픽 수와 제 2 웹사이트 페이지에 대한 접속 트래픽 수를 모두 포함한다.The number of access traffic includes both the number of access traffic to the first website page and the number of access traffic to the second website page among the websites.

상기 제 1, 2 웹사이트 페이지에 대한 접속 트래픽 수는 시간의 경과에 따라 변동될 수 있으며, 이러한 변동 상황은 상기 빅데이터저장모듈(33)에 저장된다.The number of access traffic to the first and second website pages may change over time, and such changes are stored in the big data storage module 33 .

또한, 상기 접속 트래픽 수에 따라 상기 제 1, 2 웹사이트 페이지들 역시 변동될 수 있다.In addition, the first and second website pages may also be changed according to the number of access traffic.

상기 인공지능모듈(31)은 상기 제 1 웹사이트 페이지와 제 2 웹사이트 페이지에 대한 접속 트래픽 수에 기초하여 상기 데이터저장모듈(37)에 저장될 웹사이트 페이지를 선정한다.The artificial intelligence module 31 selects a website page to be stored in the data storage module 37 based on the number of access traffic to the first website page and the second website page.

먼저, 상기 사용자 단말기(100)를 통한 접속을 차단하고자 하는 웹사이트의 IP 주소와, 상기 IP 주소에 대응되는 도메인 네임은 상기 데이터저장모듈(37)에 저장된다.First, the IP address of the website to be blocked from being accessed through the user terminal 100 and the domain name corresponding to the IP address are stored in the data storage module 37 .

그리고, 사용자의 단말기(10)로부터 인터넷 네트워크를 통해 접속하고자 하는 웹사이트의 도메인 네임이 입력되는 경우, 상기 도메인 네임과 연관된 호스트 파일을 상기 사용자의 단말기(10)로부터 추출한다.Further, when the domain name of a website to be accessed through the Internet network is input from the user's terminal 10, a host file associated with the domain name is extracted from the user's terminal 10.

이때, 상기 호스트 파일에 대응되는 IP주소와 상기 데이터저장모듈(37)에 저장된 차단 대상 IP주소를 비교하여, 상기 호스트 파일에 대응되는 IP 주소가 상기 차단 대상 IP주소와 동일한 경우, 상기 호스트 파일에 대응되는 IP주소 접속을 차단한다.At this time, the IP address corresponding to the hosts file is compared with the IP address to be blocked stored in the data storage module 37, and if the IP address corresponding to the hosts file is the same as the IP address to be blocked, the host file Block access to the corresponding IP address.

만약, 상기 호스트 파일에 대응되는 IP주소가 상기 데이터저장모듈(37)에 저장된 차단 대상 IP주소와 동일하지 않은 경우에는, 상기 안전DNS서버관리모듈(36)을 통해 상기 도메인 네임과 연관된 DNS쿼리패킷을 안전DNS서버(50)로 전송한다.If the IP address corresponding to the host file is not the same as the IP address to be blocked stored in the data storage module 37, the DNS query packet associated with the domain name through the secure DNS server management module 36 is transmitted to the secure DNS server (50).

그리고, 상기 안전DNS서버(50)로부터 웹사이트 IP주소를 수신하여, 상기 사용자 단말기(10)로부터 추출된 호스트 파일에 의한 IP 주소와 상기 안전DNS서버(50)로부터 수신된 IP주소를 비교한다.Then, the website IP address is received from the secure DNS server 50, and the IP address according to the host file extracted from the user terminal 10 is compared with the IP address received from the secure DNS server 50.

그리하여, 상기 안전DNS서버(50)로부터 수신된 웹사이트 IP주소와, 상기 호스트 파일로부터 추출된 IP주소가 동일한 경우 상기 웹사이트 접속을 허용한다.Thus, if the website IP address received from the secure DNS server 50 and the IP address extracted from the host file are identical, access to the website is allowed.

그런데, 만약 상기 안전DNS서버(50)로부터 수신된 웹사이트 IP주소와 상기 호스트 파일에 포함된 IP주소가 서로 다른 경우에는, 상기 데이터저장모듈(37)에 미리 저장된 상기 웹사이트 페이지 내용과 상기 호스트 파일로부터 추출된 IP 주소에 의해 접속되는 웹사이트 페이지 내용을 비교한다.However, if the website IP address received from the secure DNS server 50 and the IP address included in the host file are different from each other, the website page content previously stored in the data storage module 37 and the host Compare the content of the website page accessed by the IP address extracted from the file.

그리고, 상기 미리 저장된 웹사이트 페이지 내용과 상기 호스트 파일로부터 추출된 IP 주소에 의해 접속되는 웹사이트 페이지 내용이 서로 상이한 경우에는, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 차단한다.Further, if the contents of the previously stored website page and the contents of the website page accessed by the IP address extracted from the host file are different from each other, access to the website accessed by the host file is blocked.

그리고, 이러한 사실을 상기 사용자 단말기(10)로 알리고, 상기 안전DNS서버(50)에 저장된 IP주소와 이에 대응되는 도메인 네임을 상기 사용자 단말기(10)로 전송할 수 있다.In addition, this fact can be notified to the user terminal 10, and the IP address stored in the safe DNS server 50 and the domain name corresponding thereto can be transmitted to the user terminal 10.

상기와 같이 미리 저장된 웹사이트 페이지 내용과 새롭게 변경된 IP 주소에 의해 취득되는 웹사이트 페이지 내용을 비교함으로써, 클라우드 서버 사용기간 만료 등의 사유로 인해 진정한 사용자에 의해 DNS서버가 변경되는지 여부를 판단할 수 있다.By comparing the website page contents stored in advance as described above with the website page contents acquired by the newly changed IP address, it is possible to determine whether the DNS server is changed by a real user due to reasons such as expiration of the cloud server usage period. there is.

진정한 사용자에 의해 DNS서버가 변경되는 경우, 사용자들의 혼란 방지를 위해 대부분 웹사이트의 초기 화면과 게시판 등의 주요 부분 구조들은 변경되지 않으므로, 이러한 주요 부분 구조의 동일 여부로써 진정한 사용자에 의해 DNS서버가 변경되는지 여부를 판단한다. When the DNS server is changed by a true user, the major substructures such as the initial screen and bulletin board of most websites are not changed to prevent confusion among users. Determine whether or not to change.

상기 미리 저장된 웹사이트 페이지 내용으로서는, 제 1 웹사이트 페이지 내용으로서 상기 웹사이트의 초기 화면 내용 또는 구조가 설정될 수 있고, 제 2 웹사이트 페이지 내용으로서 상기 초기 화면의 일부를 선택하여 접속되는 게시판 화면 또는 로그인 화면의 내용 또는 구조가 설정될 수 있다.As the pre-stored website page content, an initial screen content or structure of the website may be set as the first website page content, and a bulletin board screen accessed by selecting a part of the initial screen as the second website page content. Alternatively, the content or structure of the login screen may be set.

상기 게시판 화면 또는 로그인 화면은, 웹사이트의 초기 화면 접속을 위한 도메인 네임에 비해 그 하류 도메인 네임에 의해 접속될 수 있다.The bulletin board screen or login screen can be accessed by the downstream domain name compared to the domain name for accessing the initial screen of the website.

파밍 공격의 경우 대부분 웹사이트의 초기 화면을 변조시켜 접속을 유도하도록 의도되며, 상기 초기 화면의 하부 페이지까지 변조시키지는 않는다.In the case of a pharming attack, most of them are intended to induce access by tampering with the initial screen of the website, and do not tamper with the lower page of the initial screen.

왜냐하면, 애초 파밍 공격 자체가 웹사이트의 초기 화면에 혼동을 일으켜 이에 접속하도록 유도하여 개인정보 등을 유출하도록 하기 때문이다.This is because the pharming attack itself confuses the initial screen of the website in the first place, induces access to it, and leaks personal information.

본 발명에서 상기 인공지능모듈(31)에 의해 선정되는 제 2 웹사이트 페이지로서는, 상기 제 1 웹사이트 페이지에 대한 접속 트래픽 수에 비해 가장 작은 비율의 접속 트래픽 수를 갖는 페이지가 선정된다.In the present invention, as the second website page selected by the artificial intelligence module 31, a page having the smallest ratio of the number of access traffic to the number of access traffic to the first website page is selected.

상기 제 1 웹사이트 페이지의 접속 트래픽 수에 대해 높은 비율의 접속 트래픽 수를 갖는 페이지의 경우, 접속자들의 취향과 유행의 변화에 따라 페이지 구성 내용 또는 구조가 변경될 가능성이 높다.In the case of a page having a high ratio of the number of access traffic to the number of access traffic of the first website page, it is highly likely that the content or structure of the page is changed according to changes in tastes and trends of visitors.

이에 비해, 상기 제 1 웹사이트 페이지에 대한 접속 트래픽 수에 대해, 가장 작은 비율의 접속 트래픽 수를 갖는 페이지의 경우 그 내용 또는 구조가 변경될 가능성이 낮으며, 이러한 페이지를 비교의 기준으로 함으로써 페이지 비교 작업의 신뢰성을 높일 수 있다.In contrast, with respect to the number of access traffic to the first website page, in the case of a page having the smallest ratio of the number of access traffic, the possibility of changing its content or structure is low. Reliability of comparison work can be increased.

한편, DNS서버의 경우 서버 제공자의 식별 정보가 DNS Response 패킷에 포함되어 전송된다.On the other hand, in the case of a DNS server, the identification information of the server provider is included in the DNS Response packet and transmitted.

상기 서버 제공자로서는 대표적으로 임대 형식의 클라우드 서버를 제공하는 제공자와, 웹사이트 관리 주체가 자체적으로 보유하는 서버 제공자로 분류될 수 있다.The server provider may be classified into a provider that typically provides a rental type cloud server and a server provider owned by the website management entity itself.

여기서, 웹사이트 관리 주체가 자체적으로 보유하는 서버의 경우 기간 경과에도 변경되지 않는 것이 일반적이고, 임대 형식의 클라우드 서버의 경우 일정 기간 경과 시 변경될 가능성이 높다.Here, in the case of a server owned by the website management entity itself, it is common that it does not change even after a period of time, and in the case of a cloud server in the form of a lease, it is highly likely that it will change after a certain period of time.

본 발명에서, 웹사이트 제공 주체가 자체적으로 보유하여 거의 변경되지 않는 서버를 "고정서버(52)"로 명명하고, 일정 기간 경과 시 변경의 가능성이 높은 임대 형식의 클라우드 서버를 "비고정서버(54)"로 명명한다.In the present invention, a server that is owned by the website provider itself and rarely changes is named a "fixed server 52", and a rental type cloud server that is highly likely to change after a certain period of time is a "non-fixed server ( 54)".

본 발명에 따른 파밍 차단 시스템에 의해 관리되는 상기 고정서버(52)와 비고정서버(54)들의 식별정보와, 그 제공 주체에 관한 데이터는 미리 상기 데이터저장모듈(37)에 저장된다.Identification information of the fixed server 52 and non-fixed server 54 managed by the pharming blocking system according to the present invention and data related to the provider are stored in the data storage module 37 in advance.

또한, 새롭게 상기 고정서버(52)를 설치할 예정인 제공 주체에 관한 데이터도 상기 데이터저장모듈(37)에 저장될 수 있다.In addition, data on a provider who plans to newly install the fixed server 52 may also be stored in the data storage module 37 .

그리고, 상기 호스트 파일에 의해 접속되는 웹사이트의 DNS Response 패킷에서, 고정서버(52)로부터의 Response 패킷인지 또는 비고정서버(54)로부터의 Response 패킷인지의 여부를 식별하기 위한 서버 식별정보를 수신한다.And, in the DNS response packet of the website accessed by the host file, server identification information for identifying whether the response packet is from the fixed server 52 or the response packet from the non-fixed server 54 is received do.

이때, 상기 서버 식별정보가 미리 저장된 고정서버(54) 식별정보와 동일한 경우, 상기 호스트 파일에 의해 접속되는 웹사이트의 DNS서버를 안전DNS 서버로 판단하며, 상기 제 1 웹사이트 페이지와 제 2 웹사이트 페이지 비교 작업을 수행하지 않는다.At this time, if the server identification information is the same as the previously stored identification information of the fixed server 54, the DNS server of the website accessed by the host file is determined as a secure DNS server, and the first website page and the second website Do not perform site page comparison operations.

그리하여, 상기 호스트 파일에 의해 접속되는 웹사이트의 DNS서버 제공 주체가 데이터저장모듈(37)에 저장된 고정서버 제공 주체와 동일한 것으로 식별될 경우에는, 상기와 같은 페이지 비교 작업을 수행하지 않고 안전DNS 서버로 판단함으로써, 시스템 구동 효율을 높일 수 있다.Thus, if the DNS server providing subject of the website accessed by the host file is identified as the same as the fixed server providing subject stored in the data storage module 37, the page comparison operation as described above is not performed and the secure DNS server By determining that, the system driving efficiency can be increased.

그리고, 기존 고정서버 제공 주체에 의해 DNS서버가 추가적으로 설치되거나, 새로운 고정서버 제공 주체에 의해 DNS서버가 설치되는 것인지의 여부를 판단할 수 있다.And, it can be determined whether a DNS server is additionally installed by the existing fixed server providing entity or a DNS server is installed by a new fixed server providing entity.

그런데, 만약 상기 서버 식별정보가 비고정서버(54) 식별정보로 판단되는 경우에는, 일단 비안전DNS서버로 판단하고, 상기 제 1 웹사이트 페이지와 제 2 웹사이트 페이지 비교 작업을 수행하여 파밍 여부를 판단하도록 구성된다.However, if the server identification information is judged to be non-fixed server 54 identification information, it is first determined to be an unsecured DNS server, and the first website page and the second website page comparison operation is performed to determine whether or not pharming. It is configured to judge.

그리하여, 파밍 공격의 경우 주로 클라우드 서버들을 이용하여 이루어지는 것을 감안하여, 만약 상기 서버 식별정보가 비고정서버(54)로 판단되는 경우에는, 상기와 같이 웹사이트 비교 작업을 통해 파밍 여부를 신중히 판단하도록 구성된다.Therefore, considering that the pharming attack is mainly performed using cloud servers, if the server identification information is determined to be the non-fixed server 54, carefully determine whether or not pharming is performed through website comparison work as described above. It consists of

또한, 상기 제 1 웹사이트 페이지 컨텐츠가 복수 개의 DNS 서버(40)들에 의해 분할 대응되도록 구성되는 경우가 있다.Also, in some cases, the first website page content is divided and corresponded by a plurality of DNS servers 40 .

이때, 상기 복수 개의 DNS서버(40)들의 서버 식별정보가 상기 데이터저장모듈(37)에 저장된 고정서버 식별정보와 동일한 상태에서, 상기 호스트 파일에 의해 접속되는 웹사이트의 DNS Response 패킷에 포함되는 서버 식별정보가 상기 고정서버 식별정보와 동일한 경우, 웹사이트 접속을 허용하도록 구성될 수 있다.At this time, in a state where the server identification information of the plurality of DNS servers 40 is the same as the fixed server identification information stored in the data storage module 37, the server included in the DNS Response packet of the website accessed by the host file If the identification information is the same as the fixed server identification information, it may be configured to allow access to the website.

그리하여, 기존 고정서버 제공 주체에 의해 새로운 DNS서버가 추가적으로 설치되거나, 또는 안전성이 사전 검증된 새로운 고정서버 제공 주체에 의해 DNS서버가 설치된 것으로 판단되는 경우에는, 웹사이트 접속을 허용하도록 구성된다.Thus, when a new DNS server is additionally installed by the existing fixed server providing entity, or when it is determined that the DNS server is installed by the new fixed server providing entity whose safety has been previously verified, website access is allowed.

그리고, 상기 복수 개의 DNS서버(40)들의 서버 식별정보가 고정서버 식별정보와 비고정서버 식별정보를 함께 포함하는 경우, 상기 호스트 파일에 의해 접속되는 웹사이트의 DNS Response 패킷에 의한 웹사이트 접속을 차단하도록 구성될 수 있다.In addition, when the server identification information of the plurality of DNS servers 40 includes both fixed server identification information and non-fixed server identification information, website access by the DNS Response packet of the website accessed by the host file Can be configured to block.

고정서버 제공주체의 경우, 웹사이트 내용의 확장 또는 변경 시 주로 동일 제공주체에 의해 관리되는 고정서버를 추가하는 것이 일반적인데, 상기와 같이 DNS서버(40)들의 서버 식별정보가 고정서버 식별정보와 비고정서버 식별정보를 함께 포함하는 경우에는 이례적인 것으로 판단하여, 상기된 바와 같은 웹사이트 비교 작업을 통해 파밍 여부를 신중히 판단하도록 구성된다.In the case of a fixed server provider, it is common to add a fixed server managed by the same provider when expanding or changing website contents. As described above, the server identification information of the DNS servers 40 is combined with the fixed server identification information If non-fixed server identification information is included together, it is determined to be exceptional, and pharming is carefully determined through the website comparison work as described above.

그리고, 상기 복수 개의 DNS서버(40)들의 서버 식별정보가 미리 지정된 비율로 다르게 구성되는 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 차단하도록 구성될 수 있다.In addition, when the server identification information of the plurality of DNS servers 40 is configured differently in a predetermined ratio, access to a website accessed by the host file may be blocked.

상기 호스트 파일에 의해 접속되는 웹사이트의 DNS Response 패킷에 포함되는 서버 식별정보가 단일의 서버 제공주체를 나타내는 것이 아니고, 서로 다른 서버 제공주체를 나타내는 것으로 판단될 경우에는, 웹사이트 접속을 차단하고 상기와 같은 웹사이트 비교 작업을 통해 파밍 여부를 신중히 판단하도록 구성된다.If it is determined that the server identification information included in the DNS Response packet of the website accessed by the host file does not represent a single server providing entity, but different server providing entities, the website access is blocked and the above It is configured to carefully determine whether or not to pharming through website comparison work such as

상기 서버 식별정보 역시 서버의 제공 주체를 표시하는 정보를 의미하며, 동일한 고정서버 제공주체 또는 클라우드 서버 제공주체가 아닌 다른 서버 제공주체에 의해 제공되는 DNS서버(40)로 판단되는 경우에는, 보다 신중한 판단을 위해 웹사이트 접속을 차단하고 웹사이트 비교 작업을 수행하도록 구성된다.The server identification information also means information indicating the provider of the server, and if it is determined to be the DNS server 40 provided by another server provider other than the same fixed server provider or cloud server provider, more careful It is configured to block website access and perform a website comparison operation for judgment.

또한, 사전 검증에 의해 안전한 DNS서버로 인정된 안전DNS서버에서 미리 지정되어 상기 데이터저장모듈(37)에 저장된 상기 제 1 웹사이트 페이지와 제 2 웹사이트 페이지는 소정의 미리 지정된 주기마다 동일 여부가 체크되도록 구성된다.In addition, whether the first website page and the second website page, designated in advance in the safe DNS server recognized as a secure DNS server by preliminary verification and stored in the data storage module 37, are the same every predetermined period is checked. configured to be checked.

그리하여, 일정 주기마다 웹사이트 페이지 비교 작업을 수행함으로써, 상기 제 1 웹사이트 페이지와 제 2 웹사이트 페이지가 정당하게 변경되었는지의 여부를 체크하여 파밍 방지 차단의 정확성을 높이도록 구성된다.Thus, by performing a website page comparison job at regular intervals, it is configured to check whether the first website page and the second website page have been legitimately changed, thereby increasing the accuracy of anti-pharming blocking.

또한, 상기 데이터저장모듈(37)에 저장되는 제 1 웹사이트 페이지와 제 2 웹사이트 페이지 데이터에 대한 정확성을 유지할 수 있다.In addition, the accuracy of the first website page and the second website page data stored in the data storage module 37 can be maintained.

바람직하게는, 상기 미리 지정된 주기는 상기 서버 제공주체를 나타내는 식별정보에 따라 다르게 설정될 수 있다.Preferably, the predetermined period may be set differently according to identification information representing the server provider.

그리하여, 고정서버 제공주체에 의한 웹사이트 페이지 변경 주기와 클라우드 서버와 같은 비고정서버 제공주체에 의한 웹사이트 페이지 변경 주기의 평균값을 반영하여, 보다 빈번히 웹사이트 페이지 내용이 변경되는 경우에는 상기 웹사이트 비교 작업의 주기를 짧게 설정할 수 있다.Thus, by reflecting the average value of the website page change cycle by the fixed server provider and the website page change cycle by the non-fixed server provider, such as a cloud server, when the website page content is changed more frequently, the website The comparison operation cycle can be set to be short.

여기서, 상기 웹사이트 페이지 비교 작업의 주기는 상기 제 1 웹사이트 페이지에 대한 접속 트래픽 크기에 따라 달라지도록 구성될 수 있다.Here, the period of the website page comparison operation may be configured to vary according to the size of access traffic to the first website page.

그리하여, 웹사이트의 메인 페이지로 설정될 수 있는 상기 제 1 웹사이트 페이지에 대한 접속 트래픽의 크기가 큰 경우에는, 상기 웹사이트 페이지 비교 작업의 주기를 더욱 짧게 설정할 수 있다.Thus, when the size of access traffic to the first website page, which can be set as the main page of the website, is large, the website page comparison operation period can be set shorter.

이로써, 인터넷 이용자들에 의해 빈번히 접속되어 보다 많은 데이터 트래픽이 발생되는 웹사이트, 즉 사람들에 의해 더욱 빈번히 이용되어 파밍의 대상이 될 가능성이 더욱 큰 웹사이트의 경우, 웹사이트 페이지 비교 작업의 주기를 더욱 짧게 하여 안전성과 파밍 차단 확률을 높이도록 구성된다.Thus, in the case of websites that are frequently accessed by Internet users and generate more data traffic, that is, websites that are more frequently used by people and are more likely to be targets of pharming, the cycle of website page comparison work can be shortened. It is configured to increase safety and the probability of blocking pharming by making it shorter.

또한, 상기 서버 식별정보가 비고정서버(54) 식별정보를 포함하는 경우, 상기 비고정서버 식별정보의 사용기간에 관한 정보를 수신하도록 구성될 수 있다.In addition, when the server identification information includes non-fixed server 54 identification information, it may be configured to receive information about a period of use of the non-fixed server identification information.

클라우드 서버와 같은 임대 형식으로 이용하는 비고정서버의 경우, DNS Response 패킷에 상기 비고정서버 사용 기간에 관한 정보를 포함할 수 있다.In the case of a non-fixed server used in a rental format such as a cloud server, information about the non-fixed server usage period may be included in the DNS Response packet.

그리고, 비고정서버의 잔존 사용 기간 이내에 서버 식별정보가 변경되는 경우에는, 상기 웹페이지 비교 작업을 수행하여 파밍 여부를 신중히 판단하도록 구성된다.In addition, when the server identification information is changed within the remaining use period of the non-fixed server, the web page comparison operation is performed to carefully determine whether or not to pharming.

한편, 도 4 를 참조하면, 본 발명에 따른 네트워크 파밍 차단 방법은 차단 대상 IP주소를 저장하는 단계(단계 10)와, 사용자의 단말기로부터 인터넷 네트워크를 통해 웹사이트 접속을 위한 도메인 네임이 입력되는 것을 감지하는 단계(단계20)와, 상기 도메인 네임과 연관된 호스트 파일을 상기 사용자의 단말기로부터 추출하는 단계(단계 30)와, 상기 호스트 파일에 대응되는 IP주소와 차단 대상 IP주소를 비교하는 단계(단계 40)와, 상기 호스트 파일에 대응되는 IP 주소가 차단 대상 IP주소와 동일한 경우, 상기 호스트 파일에 대응되는 IP주소 접속을 차단하는 단계(단계 100)와, 상기 호스트 파일에 대응되는 IP 주소가 차단 대상 IP주소와 동일하지 않은 경우, 상기 도메인 네임과 연관된 DNS쿼리패킷을 안전DNS서버로 전송하는 단계(단계 50)와, 상기 안전DNS서버로부터 웹사이트 IP주소를 수신하는 단계(단계 60)와, 상기 사용자 단말기(10)로부터 추출된 호스트 파일에 대응되는 IP주소와 수신된 IP주소를 비교하는 단계(단계 70)와, 상기 안전DNS서버로부터 수신된 웹사이트 IP주소와 상기 호스트 파일에 포함된 IP주소가 다른 경우, 미리 저장된 상기 웹사이트 페이지 내용과 상기 호스트 파일에 의해 접속되는 웹사이트 페이지 내용을 비교하는 단계(단계 90)와, 상기 미리 저장된 웹사이트 페이지 내용과 호스트 파일에 의해 접속되는 웹사이트 페이지 내용이 동일한 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 허용하는 단계(단계 80)와, 상기 미리 저장된 웹사이트 페이지 내용과 호스트 파일에 의해 접속되는 웹사이트 페이지 내용이 상이한 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 차단하는 단계(단계 100)를 포함하며, 상기 미리 저장된 웹사이트 페이지 내용은 서로 다른 두 개의 제 1 웹사이트 페이지와 제 2 웹사이트 페이지를 포함하되, 상기 제 2 웹사이트 페이지는 상기 제 1 웹사이트 페이지를 표시하는 도메인 네임의 하류 도메인 네임에 의해 접속되도록 구성되고, 상기 제 2 웹사이트 페이지의 접속 트래픽 수는 상기 제 1 웹사이트 페이지의 접속 트래픽 수에 대한 비율이 가장 작은 웹사이트 페이지로 구성되는 것을 특징으로 한다.On the other hand, referring to FIG. 4, the method for blocking network pharming according to the present invention includes the step of storing the IP address to be blocked (step 10), and inputting the domain name for accessing the website from the user's terminal through the Internet network. Detecting (step 20), extracting the host file associated with the domain name from the user's terminal (step 30), and comparing the IP address corresponding to the host file with the IP address to be blocked (step 40), and if the IP address corresponding to the hosts file is the same as the IP address to be blocked, blocking access to the IP address corresponding to the hosts file (step 100), and blocking the IP address corresponding to the hosts file If it is not the same as the target IP address, transmitting the DNS query packet associated with the domain name to the secure DNS server (step 50), and receiving the website IP address from the secure DNS server (step 60); Comparing the IP address corresponding to the host file extracted from the user terminal 10 with the received IP address (step 70), and the website IP address received from the secure DNS server and the IP included in the host file If the addresses are different, comparing the pre-stored website page content with the website page content accessed by the host file (step 90), and the website accessed by the host file and the pre-stored website page content If the content of the page is the same, allowing access to the website accessed by the host file (step 80), and if the content of the previously stored website page and the content of the website page accessed by the host file are different, the host and blocking access to a website accessed by a file (step 100), wherein the pre-stored website page contents include two different first website pages and second website pages, wherein the second website pages are different from each other. The website page is downstream of the domain name representing the first website page. It is configured to be accessed by a domain name, and the number of access traffic of the second website page is characterized in that it consists of a website page with the smallest ratio to the number of access traffic of the first website page.

본 발명에 따른 네트워크 파밍 차단 방법은, 상기 데이터저장모듈(37)에 사용자가 단말기(100)를 통한 접속을 차단하고자 하는 IP주소와, 상기 IP 주소에 대응되는 도메인 네임을 저장한다.(단계 10)In the method for blocking network pharming according to the present invention, the data storage module 37 stores an IP address for which the user wants to block access through the terminal 100 and a domain name corresponding to the IP address. (Step 10) )

그리고, 상기 사용자의 단말기(10)로부터 인터넷 네트워크를 통해 접속하고자 하는 웹사이트의 도메인 네임이 입력되는 경우, 상기 도메인네임감지모듈(32)을 통해 이를 감지한다.(단계 20)Then, when the domain name of the website to be accessed through the Internet network is input from the user's terminal 10, it is detected through the domain name detection module 32. (Step 20)

이후, 상기 호스트파일추출모듈(34)을 통해 상기 도메인 네임과 연관된 호스트 파일을 상기 사용자의 단말기(10)로부터 추출한다.(단계 30)Thereafter, the host file associated with the domain name is extracted from the user's terminal 10 through the host file extraction module 34. (Step 30)

이때, 상기 호스트 파일에 대응되는 IP주소와 상기 데이터저장모듈(37)에 저장된 차단 대상 IP주소를 비교하여(단계40), 만약 상기 호스트 파일에 대응되는 IP 주소가 상기 차단 대상 IP주소와 동일한 경우, 상기 호스트 파일에 대응되는 IP주소 접속을 차단한다.(단계 100)At this time, the IP address corresponding to the host file is compared with the IP address to be blocked stored in the data storage module 37 (step 40), and if the IP address corresponding to the host file is the same as the IP address to be blocked. , Block access to the IP address corresponding to the host file. (Step 100)

그리고, 이러한 접속 차단 사실을 상기 사용자 단말기(10)로 알린다.(단계 110)Then, the fact that the connection is blocked is notified to the user terminal 10 (step 110).

만약, 상기 호스트 파일에 대응되는 IP 주소가 차단 대상 IP주소와 동일하지 않은 경우, 상기 안전DNS서버관리모듈(36)을 통해 상기 도메인 네임과 연관된 DNS쿼리패킷을 안전DNS서버(50)로 전송한다.(단계 50)If the IP address corresponding to the host file is not the same as the IP address to be blocked, the DNS query packet associated with the domain name is transmitted to the safe DNS server 50 through the secure DNS server management module 36. .(step 50)

또한, 상기 안전DNS서버관리모듈(36)은 상기 안전DNS서버(50)로부터 상기 도메인 네임과 연관된 웹사이트 IP주소를 수신한다.(단계 60)In addition, the secure DNS server management module 36 receives the website IP address associated with the domain name from the secure DNS server 50 (step 60).

그리고, 상기 IP주소비교모듈(35)을 통해, 상기 사용자 단말기(10)로부터 추출된 호스트 파일에 의한 IP 주소와 상기 안전DNS서버(50)로부터 수신된 IP주소를 비교한다.(단계 70)Then, through the IP address comparison module 35, the IP address according to the host file extracted from the user terminal 10 is compared with the IP address received from the secure DNS server 50. (Step 70)

만약, 상기 안전DNS서버(50)로부터 수신된 웹사이트 IP주소와 상기 호스트 파일로부터 추출된 IP주소가 동일한 경우에는, 상기 웹사이트 접속을 허용한다.(단계 80)If the website IP address received from the secure DNS server 50 and the IP address extracted from the host file are the same, access to the website is allowed. (Step 80)

그런데, 만약 상기 안전DNS서버(50)로부터 수신된 웹사이트 IP주소와 상기 호스트 파일에 포함된 IP주소가 서로 다른 경우에는, 상기 데이터저장모듈(37)에 미리 저장된 상기 웹사이트 페이지 내용과 상기 호스트 파일로부터 추출된 IP 주소에 의해 접속되는 웹사이트 페이지 내용을 비교한다.(단계 90)However, if the website IP address received from the secure DNS server 50 and the IP address included in the host file are different from each other, the website page content previously stored in the data storage module 37 and the host Compare the content of the website page accessed by the IP address extracted from the file. (Step 90)

그리고, 만약 미리 저장된 웹사이트 페이지 내용과 상기 호스트 파일로부터 추출된 IP 주소에 의해 접속되는 웹사이트 페이지 내용이 서로 상이한 경우에는, 상기 호스트 파일에 의한 웹사이트 IP주소 접속을 차단한다.(단계 100)And, if the contents of the website page stored in advance and the contents of the website page accessed by the IP address extracted from the host file are different from each other, access to the website IP address by the host file is blocked (step 100).

그리고, 이러한 사실을 상기 사용자 단말기(10)로 알린다.(단계 110) And, this fact is notified to the user terminal 10 (step 110).

그런데, 만약 상기 미리 저장된 웹사이트 페이지 내용과 상기 호스트 파일로부터 추출된 IP 주소에 의해 접속되는 웹사이트 페이지 내용이 서로 동일한 경우에는, 상기 호스트 파일에 의한 웹사이트 접속을 허용한다.(단계 80)However, if the contents of the previously stored website page and the contents of the website page accessed by the IP address extracted from the host file are identical to each other, access to the website by the host file is allowed. (Step 80)

이러한 본원발명에 따른 방법에 의해, 상기와 같이 미리 저장된 웹사이트 페이지 내용과 변경된 IP 주소에 의해 취득되는 웹사이트 페이지 내용을 비교함으로써, 클라우드 서버 사용기간 만료 등의 사유로 인한 진정한 사용자에 의한 DNS서버 변경인지, 파밍에 의한 IP 주소 변경인지의 여부를 판단할 수 있다.By the method according to the present invention, by comparing the website page contents stored in advance as described above with the website page contents acquired by the changed IP address, the DNS server by the real user due to reasons such as expiration of the cloud server usage period. It may be determined whether the IP address is changed or the IP address is changed by pharming.

상기된 바와 같이, 진정한 사용자에 의해 DNS서버가 변경되는 경우, 사용자들의 혼란 방지를 위해 대부분 웹사이트의 초기 화면과 게시판 등의 주요 부분 구조들은 변경되지 않으므로, 이러한 주요 부분 구조의 동일 여부로써 진정한 사용자에 의한 DNS서버 변경인지 파밍에 의한 변경인지의 여부를 판단한다. As described above, when the DNS server is changed by a true user, most of the main substructures such as the initial screen of the website and bulletin board are not changed to prevent users from being confused. It is judged whether the DNS server change is caused by the change or the change is caused by pharming.

상기된 바와 같이, 상기 미리 저장되는 웹사이트 페이지 내용으로서는, 상기 웹사이트의 초기 화면 내용 또는 구조가 상기 제 1 웹사이트 페이지 내용으로서 설정 저장될 수 있고, 상기 초기 화면의 일부를 선택하여 접속되는 게시판 화면 또는 로그인 화면의 내용 또는 구조가 제 2 웹사이트 페이지 내용으로서 설정 저장될 수 있다.As described above, as the pre-stored website page content, the initial screen content or structure of the website may be set and stored as the first website page content, and a bulletin board accessed by selecting a part of the initial screen The content or structure of the screen or login screen may be set and stored as the content of the second website page.

상기된 바와 같이, 상기 게시판 화면 또는 로그인 화면은 웹사이트의 초기 화면 접속을 유도하는 도메인 네임에 비해 그 하류 도메인 네임을 통해 접속될 수 있다.As described above, the bulletin board screen or login screen can be accessed through the downstream domain name compared to the domain name that induces access to the initial screen of the website.

그리고, 상기된 바와 같이 상기 제 2 웹사이트 페이지로서는, 상기 제 1 웹사이트 페이지에 대한 접속 트래픽 수에 비해 가장 작은 비율의 접속 트래픽 수를 갖는 페이지가 선정된다.And, as described above, as the second website page, a page having the smallest ratio of the number of access traffic to the number of access traffic to the first website page is selected.

그리고, 상기 호스트 파일에 의해 접속되는 웹사이트의 DNS Response 패킷에서, 고정서버(52)로부터의 Response 패킷인지 또는 비고정서버(54)로부터의 Response 패킷인지의 여부를 식별하기 위한 서버 식별정보를 수신한다.And, in the DNS response packet of the website accessed by the host file, server identification information for identifying whether the response packet is from the fixed server 52 or the response packet from the non-fixed server 54 is received do.

상기 서버 식별정보는 상기 DNS서버 제공자를 식별하기 위한 정보로서, 상기 DNS Response 패킷에 포함되어 전송된다.The server identification information is information for identifying the DNS server provider, and is included in the DNS Response packet and transmitted.

상기 DNS서버 제공자로서는 임대 형식의 클라우드 서버를 제공하는 제공자와, 웹사이트 관리 주체가 자체적으로 보유하는 서버 제공자로 분류될 수 있다.The DNS server provider may be classified into a provider providing a rental type of cloud server and a server provider owned by the website management entity itself.

상기와 같이 웹사이트 관리 주체가 자체적으로 보유하는 서버의 경우 기간 경과에도 서버 제공자가 변경되지 않는 것이 일반적이므로, 본 발명에서는 "고정서버(52)"로 명명하고, 임대 형식의 클라우드 서버의 경우 일정 기간 경과 시 서버 제공자가 변경될 가능성이 높으므로, "비고정서버(54)"로 명명한다.As described above, in the case of a server owned by the website management entity itself, it is common that the server provider does not change even after a period of time. Since the server provider is highly likely to change when the period elapses, it is named "non-fixed server 54".

본 발명에 따른 파밍 차단 방법에 의해 관리되는 상기 고정서버(52)와 비고정서버(54)들의 식별정보와 그 제공 주체에 관한 데이터는, 미리 상기 데이터저장모듈(37)에 저장된다.Identification information of the fixed server 52 and non-fixed server 54 managed by the pharming blocking method according to the present invention and data on the provider subject thereof are stored in the data storage module 37 in advance.

그리고, 새롭게 상기 고정서버(52)를 설치할 예정인 제공 주체에 관한 데이터도 상기 데이터저장모듈(37)에 저장될 수 있다.In addition, data on a provider who plans to newly install the fixed server 52 may also be stored in the data storage module 37 .

서버 제공자를 나타내는 상기 서버 식별정보가 상기 데이터저장모듈(37)에 미리 저장된 고정서버(54) 식별정보와 동일한 경우, 상기 호스트 파일에 의해 접속되는 웹사이트의 DNS서버를 안전DNS 서버로 판단한다.When the server identification information indicating the server provider is the same as the identification information of the fixed server 54 pre-stored in the data storage module 37, the DNS server of the website accessed by the host file is determined as a safe DNS server.

그리하여, 상기 호스트 파일에 의해 접속되는 웹사이트의 DNS서버 제공 주체가 데이터저장모듈(37)에 저장된 고정서버 제공 주체와 동일한 것으로 식별될 경우에는, 상기 제 1 웹사이트 페이지와 제 2 웹사이트 페이지 비교 작업을 수행하지 않고, 안전DNS 서버로 판단함으로써 시스템 구동 효율을 높일 수 있다.Thus, when the DNS server providing subject of the website accessed by the host file is identified as the same as the fixed server providing subject stored in the data storage module 37, the first website page and the second website page are compared System operation efficiency can be increased by judging it as a safe DNS server without performing tasks.

또한, 서버 제공자를 나타내는 상기 서버 식별정보가 상기 데이터저장모듈(37)에 미리 저장된 고정서버(54) 식별정보와 동일한 경우, 기존 고정서버 제공 주체에 의해 DNS서버가 추가적으로 설치되거나, 사전에 검증되어 저장된 새로운 고정서버 제공 주체에 의해 DNS서버가 설치되는지 여부를 판단할 수 있다.In addition, when the server identification information indicating the server provider is the same as the identification information of the fixed server 54 pre-stored in the data storage module 37, a DNS server is additionally installed by the existing fixed server provider or verified in advance It is possible to determine whether a DNS server is installed by the stored new fixed server provisioning entity.

그런데, 만약 상기 서버 식별정보가 비고정서버(54) 식별정보로 판단되는 경우에는, 일단 비안전DNS서버로 판단한 후, 상기 제 1 웹사이트 페이지와 제 2 웹사이트 페이지 비교 작업을 수행하여 파밍 여부를 보다 정확히 판단하도록 구성된다.By the way, if the server identification information is determined to be non-fixed server 54 identification information, once it is determined to be an unsecured DNS server, the first website page and the second website page comparison operation is performed to determine whether pharming or not. It is configured to determine more accurately.

그리하여, 사전에 미리 저장된 고정서버 제공주체에 의해 제공되는 서버가 아닌 것으로 판단되는 경우, 상기 페이지 비교 작업을 수행하여 파밍 여부를 판단하도록 구성된다.Thus, if it is determined that the server is not provided by a pre-stored fixed server providing entity, the page comparison operation is performed to determine whether pharming is performed.

상기된 바와 같이, 파밍 공격의 경우 주로 클라우드 서버들을 이용하여 이루어지는 것을 감안하여, 만약 상기 서버 식별정보가 비고정서버(54)로 판단되는 경우에는, 상기와 같이 웹사이트 페이지 비교 작업을 통해 파밍 여부를 신중히 판단하도록 구성된다.As described above, considering that pharming attacks are mainly performed using cloud servers, if the server identification information is determined to be the non-fixed server 54, whether or not pharming is checked through website page comparison work as described above. It is configured to carefully judge.

또한, 상기 제 1 웹사이트 페이지 컨텐츠가 복수 개의 DNS 서버(40)들에 의해 분할 대응되도록 구성되는 경우가 있다.Also, in some cases, the first website page content is divided and corresponded by a plurality of DNS servers 40 .

이때, 상기 복수 개의 DNS서버(40)들의 서버 식별정보가 상기 데이터저장모듈(37)에 저장된 고정서버 식별정보와 동일한 상태에서, 상기 호스트 파일에 의해 접속되는 웹사이트의 DNS Response 패킷에 포함되는 서버 식별정보가 상기 고정서버 식별정보와 동일한 경우, 안전한 웹사이트로 판단하여 그 접속을 허용하도록 구성될 수 있다.At this time, in a state where the server identification information of the plurality of DNS servers 40 is the same as the fixed server identification information stored in the data storage module 37, the server included in the DNS Response packet of the website accessed by the host file If the identification information is the same as the fixed server identification information, it may be configured to allow access to the website by determining it as a safe website.

그리하여, 기존 고정서버 제공 주체에 의해 새로운 DNS서버가 추가적으로 설치되거나, 또는 안전성이 사전 검증된 새로운 고정서버 제공 주체에 의해 DNS서버가 설치된 것으로 판단되는 경우에는, 웹사이트 접속을 허용하도록 구성된다.Thus, when a new DNS server is additionally installed by the existing fixed server providing entity, or when it is determined that the DNS server is installed by the new fixed server providing entity whose safety has been previously verified, website access is allowed.

그리고, 상기 복수 개의 DNS서버(40)들의 서버 식별정보가 고정서버 식별정보와 비고정서버 식별정보를 함께 포함하는 경우, 상기 호스트 파일에 의해 접속되는 웹사이트의 DNS Response 패킷에 의한 웹사이트 접속을 차단하도록 구성된다.In addition, when the server identification information of the plurality of DNS servers 40 includes both fixed server identification information and non-fixed server identification information, website access by the DNS Response packet of the website accessed by the host file configured to block.

상기된 바와 같이, 고정서버 제공주체의 경우 웹사이트 내용의 확장 또는 변경 시 주로 동일 제공주체에 의해 관리되는 고정서버를 추가하는 것이 일반적임에 비추어, 상기와 같이 DNS서버(40)들의 서버 식별정보가 고정서버(52) 식별정보와 비고정서버(54) 식별정보를 함께 포함하는 경우에는 이례적인 것으로 판단하여, 상기된 바와 같은 웹사이트 페이지 비교 작업을 통해 파밍 여부를 신중히 판단하도록 구성된다.As described above, in the case of a fixed server providing entity, it is common to add a fixed server managed by the same providing entity when expanding or changing the contents of a website. As described above, the server identification information of the DNS servers 40 If contains both the identification information of the fixed server 52 and the identification information of the non-fixed server 54, it is determined to be exceptional, and it is configured to carefully determine whether or not to pharming through the website page comparison work as described above.

그리고, 상기 복수 개의 DNS서버(40)들의 서버 식별정보가 미리 지정된 비율로 다르게 구성되는 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 차단하도록 구성될 수 있다.In addition, when the server identification information of the plurality of DNS servers 40 is configured differently in a predetermined ratio, access to a website accessed by the host file may be blocked.

상기 호스트 파일에 의해 접속되는 웹사이트의 DNS Response 패킷에 포함되는 서버 식별정보가 단일의 서버 제공주체를 나타내는 것이 아니고, 서로 다른 서버 제공주체를 나타내는 것으로 판단될 경우에는, 웹사이트 접속을 차단하고 상기와 같은 웹사이트 페이지 비교 작업을 통해 파밍 여부를 신중히 판단하도록 구성된다.If it is determined that the server identification information included in the DNS Response packet of the website accessed by the host file does not represent a single server providing entity, but different server providing entities, the website access is blocked and the above It is configured to carefully determine whether or not to pharming through a website page comparison operation such as

그리하여, 웹사이트 제공을 위해 복수의 정당한 DNS서버(40)들이 이용되는 경우에, 복수의 DNS서버들이 파밍에 이용되는 때에 상기와 같이 서버 식별정보로써 일차적으로 웹사이트 접속을 차단하도록 구성된다. Thus, when a plurality of legitimate DNS servers 40 are used to provide a website, when the plurality of DNS servers are used for pharming, access to the website is primarily blocked with the server identification information as described above.

상기 서버 식별정보 역시 서버의 제공 주체를 표시하는 정보를 의미하며, 동일한 고정서버 제공주체 또는 클라우드 서버 제공주체가 아닌 다른 서버 제공주체에 의해 제공되는 DNS서버(40)로 판단되는 경우에는, 보다 신중한 판단을 위해 웹사이트 접속을 차단하고 웹사이트 페이지 비교 작업을 수행하도록 구성된다.The server identification information also means information indicating the provider of the server, and if it is determined to be the DNS server 40 provided by another server provider other than the same fixed server provider or cloud server provider, more careful It is configured to block website access and perform a website page comparison operation for judgment.

또한, 사전 검증에 의해 안전한 DNS서버로 인정된 안전DNS서버에서, 미리 지정되어 상기 데이터저장모듈(37)에 저장된 상기 제 1 웹사이트 페이지와 제 2 웹사이트 페이지는, 소정의 미리 지정된 주기마다 동일 여부가 체크되도록 구성된다.In addition, in a secure DNS server recognized as a secure DNS server by preliminary verification, the first website page and the second website page designated in advance and stored in the data storage module 37 are the same every predetermined period. It is configured to check whether

그리하여, 일정 주기마다 웹사이트 페이지 비교 작업을 수행함으로써, 상기 제 1 웹사이트 페이지와 제 2 웹사이트 페이지가 동일한 상태로 유지되는지 또는 정당하게 변경되었는지 여부를 체크하여, 파밍 방지 차단의 정확성을 높일 수 있다.Thus, by performing a website page comparison operation at regular intervals, it is possible to check whether the first website page and the second website page remain the same or have been legitimately changed, thereby increasing the accuracy of anti-pharming blocking. there is.

그리고, 상기 데이터저장모듈(37)에 저장되는 제 1 웹사이트 페이지와 제 2 웹사이트 페이지의 정확성을 유지할 수 있다.Also, the accuracy of the first website page and the second website page stored in the data storage module 37 can be maintained.

상기 미리 지정된 주기는 상기 서버 제공주체를 나타내는 식별정보에 따라 다르게 설정될 수 있으며, 고정서버 제공주체에 의한 웹사이트 페이지 변경 주기와 클라우드 서버와 같은 비고정서버 제공주체에 의한 웹사이트 페이지 변경 주기의 평균값을 반영하여 인공지능 기술을 적용함으로써, 보다 빈번히 웹사이트 페이지 내용이 변경되는 경우에는 상기 웹사이트 비교 작업의 주기를 짧게 설정할 수 있다.The predetermined cycle may be set differently according to the identification information indicating the server provider, and the website page change cycle by the fixed server provider and the website page change cycle by the non-fixed server provider such as a cloud server By applying artificial intelligence technology by reflecting the average value, the period of the website comparison operation can be set to be short when the contents of website pages are changed more frequently.

여기서, 상기 웹사이트 페이지 비교 작업의 주기는 상기 제 1 웹사이트 페이지에 대한 접속 트래픽 크기에 따라 달라지도록 구성될 수 있다.Here, the period of the website page comparison operation may be configured to vary according to the size of access traffic to the first website page.

그리하여, 웹사이트의 메인 페이지로 설정될 수 있는 상기 제 1 웹사이트 페이지에 대한 접속 트래픽의 크기가 큰 경우에는, 상기 웹사이트 페이지 비교 작업의 주기를 더욱 짧게 설정할 수 있다.Thus, when the size of access traffic to the first website page, which can be set as the main page of the website, is large, the website page comparison operation period can be set shorter.

이로써, 인터넷 이용자들에 의해 빈번히 접속되어 보다 많은 데이터 트래픽이 발생되는 웹사이트, 즉 사람들에 의해 더욱 빈번히 이용되어 파밍의 대상이 될 가능성이 더욱 큰 웹사이트의 경우, 웹사이트 페이지 비교 작업의 주기를 더욱 짧게 하여 안전성과 파밍 차단 확률을 높이도록 구성된다.Thus, in the case of websites that are frequently accessed by Internet users and generate more data traffic, that is, websites that are more frequently used by people and are more likely to be targets of pharming, the cycle of website page comparison work can be shortened. It is configured to increase safety and the probability of blocking pharming by making it shorter.

또한, 상기 서버 식별정보가 비고정서버(54) 식별정보를 포함하는 경우, 상기 비고정서버 식별정보의 사용기간에 관한 정보를 수신하도록 구성될 수 있다.In addition, when the server identification information includes non-fixed server 54 identification information, it may be configured to receive information about a period of use of the non-fixed server identification information.

상기된 바와 같이, 클라우드 서버와 같은 임대 형식으로 이용하는 비고정서버의 경우, DNS Response 패킷에 상기 비고정서버 사용 기간에 관한 정보를 포함할 수 있다.As described above, in the case of a non-fixed server used in a rental format such as a cloud server, information about the use period of the non-fixed server may be included in the DNS Response packet.

그리고, 비고정서버의 잔존 사용 기간 이내에 서버 식별정보가 변경되는 경우에는, 상기 웹페이지 비교 작업을 수행하여 파밍 여부를 신중히 판단하도록 구성된다.In addition, when the server identification information is changed within the remaining use period of the non-fixed server, the web page comparison operation is performed to carefully determine whether or not to pharming.

이상, 본 발명의 실시예에서 사용된 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가진다. Above, the terms used in the embodiments of the present invention have the same meaning as commonly understood by a person of ordinary skill in the art to which the present invention belongs.

본 발명은 비록 한정된 실시예와 도면에 의해 설명되었으나, 상기 실시예는 본 발명의 기술적 사상을 한정하기 위한 것이 아니라 설명하기 위한 것이므로, 본 발명의 기술적 사상은 이러한 것에 한정되지 않으며, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에 의해, 본 발명의 기술적 사상과 하기 될 특허청구범위의 균등범위 내에서 다양한 수정 및 변형 실시가 가능할 것이다.Although the present invention has been described with limited embodiments and drawings, the above embodiments are not intended to limit the technical idea of the present invention but to explain it, so the technical idea of the present invention is not limited to these, and the present invention belongs Various modifications and variations will be possible by those skilled in the art within the scope of equivalents of the technical spirit of the present invention and the claims to be made below.

따라서, 본 발명의 보호 범위는 특허청구범위에 의하여 해석되어야 하며, 그와 동등한 범위 내에 있는 모든 기술 사상은 본 발명의 권리범위에 포함되는 것으로 해석되어야 할 것이다.Therefore, the protection scope of the present invention should be construed according to the claims, and all technical ideas within the scope equivalent thereto should be construed as being included in the scope of the present invention.

그리고, 본 발명의 목적 범위 내라면 그 모든 구성요소들이 하나 이상 선택적으로 결합되어 구성될 수도 있다.And, if it is within the scope of the object of the present invention, all of the components may be configured by selectively combining one or more.

상기된 "포함된다" 또는 "구성된다" 의 용어는 해당 구성 요소가 포함될 수 있음을 의미하는 것으로, 그 외 다른 구성 요소들을 추가적으로 포함할 수 있는 것으로 해석되어야 한다. The term "includes" or "consists of" described above means that the corresponding component may be included, and should be interpreted as being able to additionally include other components.

10: 사용자 단말기
20: 네트워크 스위치 또는 공유기
30: 네트워크 파밍 차단 시스템용 서버
40: DNS서버
50: 안전DNS서버10: user terminal
20: Network switch or router
30: Server for network pharming blocking system
40: DNS server
50: Safe DNS server

Claims (20)

차단 대상 IP주소를 저장하는 단계와;
사용자의 단말기로부터 인터넷 네트워크를 통해 웹사이트 접속을 위한 도메인 네임이 입력되는 것을 감지하는 단계와;
상기 도메인 네임과 연관된 호스트 파일을 상기 사용자의 단말기로부터 추출하는 단계와;
상기 호스트 파일에 대응되는 IP주소와 차단 대상 IP주소를 비교하는 단계와;
상기 호스트 파일에 대응되는 IP 주소가 차단 대상 IP주소와 동일한 경우, 상기 호스트 파일에 대응되는 IP주소 접속을 차단하는 단계와;
상기 호스트 파일에 대응되는 IP 주소가 차단 대상 IP주소와 동일하지 않은 경우, 상기 도메인 네임과 연관된 DNS쿼리패킷을 안전DNS서버로 전송하는 단계와;
상기 안전DNS서버로부터 웹사이트 IP주소를 수신하는 단계와;
상기 사용자 단말기로부터 추출된 호스트 파일에 대응되는 IP주소와 상기 안전DNS서버로부터 수신된 IP주소를 비교하는 단계와;
상기 안전DNS서버로부터 수신된 웹사이트 IP주소와 상기 호스트 파일에 포함된 IP주소가 다른 경우, 미리 저장된 상기 웹사이트 페이지 내용과 상기 호스트 파일에 의해 접속되는 웹사이트 페이지 내용을 비교하는 단계와;
상기 미리 저장된 웹사이트 페이지 내용과 호스트 파일에 의해 접속되는 웹사이트 페이지 내용이 동일한 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 허용하는 단계와;
상기 미리 저장된 웹사이트 페이지 내용과 호스트 파일에 의해 접속되는 웹사이트 페이지 내용이 상이한 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 차단하는 단계를 포함하며,
상기 미리 저장된 웹사이트 페이지 내용은 서로 다른 두 개의 제 1 웹사이트 페이지와 제 2 웹사이트 페이지를 포함하되,
상기 제 2 웹사이트 페이지는 상기 제 1 웹사이트 페이지를 표시하는 도메인 네임의 하류 도메인 네임에 의해 접속되도록 구성되고,
상기 제 2 웹사이트 페이지의 접속 트래픽 수는 상기 제 1 웹사이트 페이지의 접속 트래픽 수에 대한 비율이 가장 작은 웹사이트 페이지로 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법.storing an IP address to be blocked;
detecting that a domain name for accessing a website is input from a user's terminal through an Internet network;
extracting a host file associated with the domain name from the terminal of the user;
comparing an IP address corresponding to the host file with an IP address to be blocked;
blocking access to the IP address corresponding to the hosts file when the IP address corresponding to the hosts file is the same as the IP address to be blocked;
transmitting a DNS query packet associated with the domain name to a safe DNS server when the IP address corresponding to the host file is not the same as the IP address to be blocked;
receiving a website IP address from the secure DNS server;
comparing the IP address corresponding to the host file extracted from the user terminal with the IP address received from the secure DNS server;
comparing the previously stored website page content with the website page content accessed by the host file when the website IP address received from the secure DNS server and the IP address included in the host file are different;
allowing access to the website accessed by the host file if the contents of the previously stored website page and the website page accessed by the host file are the same;
and blocking access to the website accessed by the host file when the pre-stored website page content is different from the website page content accessed by the host file.
The pre-stored website page contents include two different first website pages and second website pages;
the second website page is configured to be accessed by a domain name downstream of a domain name representing the first website page;
The artificial intelligence network farming blocking method using big data, characterized in that the number of access traffic of the second website page is composed of website pages having the smallest ratio to the number of access traffic of the first website page. 제 1 항에 있어서,
상기 호스트 파일에 의해 접속되는 웹사이트의 서버 식별정보를 수신받는 단계와;
상기 서버 식별정보가 미리 저장된 고정서버 식별정보일 경우, 안전DNS서버로 판단하도록 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법.According to claim 1,
receiving server identification information of a website accessed by the host file;
If the server identification information is pre-stored fixed server identification information, artificial intelligence network pharming blocking method using big data, characterized in that configured to determine a secure DNS server. 제 2 항에 있어서,
상기 서버 식별정보가 비고정서버 식별정보일 경우, 비안전DNS서버로 판단하도록 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법.According to claim 2,
If the server identification information is non-fixed server identification information, artificial intelligence network pharming blocking method using big data, characterized in that configured to determine that it is a non-secure DNS server. 제 1 항에 있어서,
상기 제 1 웹사이트 페이지 컨텐츠는 복수 개의 DNS 서버에 의해 분할 대응되며,
상기 복수 개의 DNS 서버들의 서버 식별정보가 미리 저장된 고정서버 식별정보일 경우,
상기 호스트 파일에 의해 접속되는 웹사이트 접속을 허용하도록 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법.According to claim 1,
The first website page contents are divided and corresponded by a plurality of DNS servers,
If the server identification information of the plurality of DNS servers is pre-stored fixed server identification information,
Artificial intelligence network pharming blocking method using big data, characterized in that configured to allow access to the website accessed by the host file. 제 4 항에 있어서,
상기 복수 개의 DNS 서버들의 서버 식별정보가 고정서버 식별정보와 비고정서버 식별정보를 함께 포함하는 경우,
상기 호스트 파일에 의해 접속되는 웹사이트 접속을 차단하도록 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법.According to claim 4,
When the server identification information of the plurality of DNS servers includes both fixed server identification information and non-fixed server identification information,
An artificial intelligence network pharming blocking method using big data, characterized in that configured to block access to websites accessed by the host file. 제 5 항에 있어서,
상기 복수 개의 DNS 서버들의 서버 식별정보가 미리 지정된 비율로 다르게 구성되는 경우,
상기 호스트 파일에 의해 접속되는 웹사이트 접속을 차단하도록 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법.According to claim 5,
When the server identification information of the plurality of DNS servers is configured differently in a predetermined ratio,
An artificial intelligence network pharming blocking method using big data, characterized in that configured to block access to websites accessed by the host file. 제 1 항에 있어서,
상기 안전DNS서버의 제 1 웹사이트 페이지와 제 2 웹사이트 페이지는 미리 지정된 주기마다 동일 여부가 체크되도록 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법.According to claim 1,
The artificial intelligence network pharming blocking method using big data, characterized in that the first website page and the second website page of the secure DNS server are configured to check whether they are the same at predetermined intervals. 제 7 항에 있어서,
상기 미리 지정된 주기는 상기 서버 식별정보에 따라 다르게 설정되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법.According to claim 7,
The artificial intelligence network pharming blocking method using big data, characterized in that the predetermined period is set differently according to the server identification information. 제 7 항에 있어서,
상기 미리 지정된 주기는 상기 제 1 웹사이트 페이지에 대한 접속 트래픽 크기에 따라 달라지도록 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법.According to claim 7,
The artificial intelligence network pharming blocking method using big data, characterized in that the predetermined period is configured to vary according to the size of access traffic to the first website page. 제 5 항에 있어서,
상기 서버 식별정보가 비고정서버 식별정보를 포함하는 경우,
상기 비고정서버 식별정보의 사용기간에 관한 정보를 수신하도록 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 방법. According to claim 5,
If the server identification information includes non-fixed server identification information,
Artificial intelligent network pharming blocking method using big data, characterized in that configured to receive information about the period of use of the non-fixed server identification information. 사용자의 단말기로부터 입력되는 도메인 네임을 감지하는 도메인네임감지모듈과;
상기 사용자 단말기로부터 입력된 도메인 네임과 연관된 호스트 파일을 상기 사용자의 단말기로부터 추출하는 호스트파일추출모듈과;
상기 도메인 네임과 연관된 DNS쿼리패킷을 DNS서버로 송수신하는 안전DNS서버관리모듈과;
상기 사용자 단말기로부터 추출된 호스트 파일에 포함된 IP주소와 안전DNS서버로부터 수신된 IP주소를 비교하는 IP주소비교모듈과;
차단 대상 IP주소와 웹사이트 페이지 내용을 저장하기 위한 데이터저장모듈과;
상기 데이터저장모듈에 미리 저장된 웹사이트 페이지 내용과 상기 호스트 파일에 의해 접속되는 웹사이트 페이지 내용을 비교하는 페이지비교모듈과;
상기 웹사이트에 대한 접속 트래픽 수를 저장하기 위한 빅데이터저장모듈과;
상기 접속 트래픽 수에 기초하여 상기 데이터저장모듈에 저장될 웹사이트 페이지를 선정하기 위한 인공지능모듈을 포함하며,
상기 호스트 파일에 대응되는 IP주소와 차단 대상 IP주소를 비교하여, 상기 호스트 파일에 대응되는 IP 주소가 상기 차단 대상 IP주소와 동일한 경우, 상기 호스트 파일에 대응되는 IP주소 접속을 차단하고,
상기 안전DNS서버로부터 수신된 웹사이트 IP주소와 상기 호스트 파일에 포함된 IP주소가 다른 경우, 미리 저장된 상기 웹사이트 페이지 내용과 상기 호스트 파일에 의해 접속되는 웹사이트 페이지 내용을 비교하여,
상기 미리 저장된 웹사이트 페이지 내용과 호스트 파일에 의해 접속되는 웹사이트 페이지 내용이 동일한 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 허용하고,
상기 미리 저장된 웹사이트 페이지 내용과 호스트 파일에 의해 접속되는 웹사이트 페이지 내용이 상이한 경우, 상기 호스트 파일에 의해 접속되는 웹사이트 접속을 차단하며,
상기 미리 저장된 웹사이트 페이지 내용은 서로 다른 두 개의 제 1 웹사이트 페이지와 제 2 웹사이트 페이지를 포함하되,
상기 제 2 웹사이트 페이지는 상기 제 1 웹사이트 페이지를 표시하는 도메인 네임의 하류 도메인 네임에 의해 접속되도록 구성되고,
상기 제 2 웹사이트 페이지의 접속 트래픽 수는 상기 제 1 웹사이트 페이지의 접속 트래픽 수에 대한 비율이 가장 작은 웹사이트 페이지로 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 시스템.a domain name detecting module for detecting a domain name input from a user's terminal;
a host file extraction module for extracting a host file related to the domain name input from the user terminal from the user terminal;
a secure DNS server management module for transmitting and receiving a DNS query packet associated with the domain name to a DNS server;
an IP address comparison module for comparing the IP address included in the host file extracted from the user terminal with the IP address received from the secure DNS server;
a data storage module for storing blocked IP addresses and website page contents;
a page comparison module which compares the website page contents previously stored in the data storage module with the website page contents accessed by the host file;
a big data storage module for storing the number of access traffic to the website;
An artificial intelligence module for selecting a website page to be stored in the data storage module based on the number of access traffic,
Comparing the IP address corresponding to the hosts file with the IP address to be blocked, and blocking access to the IP address corresponding to the hosts file when the IP address corresponding to the hosts file is the same as the IP address to be blocked;
If the website IP address received from the secure DNS server and the IP address included in the host file are different, the website page content stored in advance and the website page content accessed by the host file are compared,
When the pre-stored website page content and the website page content accessed by the host file are identical, access to the website accessed by the host file is allowed;
If the pre-stored website page content and the website page content accessed by the host file are different, blocking access to the website accessed by the host file;
The pre-stored website page contents include two different first website pages and second website pages;
the second website page is configured to be accessed by a domain name downstream of a domain name representing the first website page;
The artificial intelligent network pharming blocking system using big data, characterized in that the number of access traffic of the second website page is composed of website pages having the smallest ratio to the number of access traffic of the first website page. 제 11 항에 있어서,
상기 호스트 파일에 의해 접속되는 웹사이트의 서버 식별정보를 수신받고, 상기 서버 식별정보가 미리 저장된 고정서버 식별정보일 경우, 안전DNS서버로 판단하도록 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 시스템.According to claim 11,
An artificial intelligence network using big data, characterized in that it is configured to receive server identification information of a website accessed by the host file, and to determine a secure DNS server if the server identification information is pre-stored fixed server identification information. anti-farming system. 제 12 항에 있어서,
상기 서버 식별정보가 비고정서버 식별정보일 경우, 비안전DNS서버로 판단하도록 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 시스템.According to claim 12,
If the server identification information is non-fixed server identification information, an artificial intelligence network pharming blocking system using big data, characterized in that configured to determine a non-secure DNS server. 제 11 항에 있어서,
상기 제 1 웹사이트 페이지 컨텐츠는 복수 개의 DNS 서버에 의해 분할 대응되며,
상기 복수 개의 DNS서버들의 서버 식별정보가 미리 저장된 고정서버 식별정보일 경우,
상기 호스트 파일에 의해 접속되는 웹사이트 접속을 허용하도록 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 시스템.According to claim 11,
The first website page contents are divided and corresponded by a plurality of DNS servers,
If the server identification information of the plurality of DNS servers is pre-stored fixed server identification information,
An artificial intelligence network pharming blocking system using big data, characterized in that configured to allow access to websites accessed by the host file. 제 14 항에 있어서,
상기 복수 개의 DNS서버들의 서버 식별정보가 고정서버 식별정보와 비고정서버 식별정보를 함께 포함하는 경우,
상기 호스트 파일에 의해 접속되는 웹사이트 접속을 차단하도록 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 시스템.15. The method of claim 14,
When the server identification information of the plurality of DNS servers includes both fixed server identification information and non-fixed server identification information,
An artificial intelligence network pharming blocking system using big data, characterized in that configured to block website access accessed by the host file. 제 15 항에 있어서,
상기 복수 개의 DNS서버들의 서버 식별정보가 미리 지정된 비율로 다르게 구성되는 경우,
상기 호스트 파일에 의해 접속되는 웹사이트 접속을 차단하도록 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 시스템.According to claim 15,
When the server identification information of the plurality of DNS servers is configured differently in a predetermined ratio,
An artificial intelligence network pharming blocking system using big data, characterized in that configured to block website access accessed by the host file. 제 11 항에 있어서,
상기 안전DNS서버의 제 1 웹사이트 페이지와 제 2 웹사이트 페이지는 미리 지정된 주기마다 동일 여부가 체크되도록 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 시스템.According to claim 11,
The artificial intelligence network pharming blocking system using big data, characterized in that the first website page and the second website page of the secure DNS server are configured to check whether they are the same at predetermined intervals. 제 17 항에 있어서,
상기 미리 지정된 주기는 상기 서버 식별정보에 따라 다르게 설정되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 시스템.18. The method of claim 17,
The artificial intelligence network pharming blocking system using big data, characterized in that the predetermined period is set differently according to the server identification information. 제 17 항에 있어서,
상기 미리 지정된 주기는 상기 제 1 웹사이트 페이지에 대한 접속 트래픽 크기에 따라 달라지도록 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 시스템.18. The method of claim 17,
The artificial intelligence network pharming blocking system using big data, characterized in that the predetermined period is configured to vary according to the size of access traffic to the first website page. 제 15 항에 있어서,
상기 서버 식별정보가 비고정서버 식별정보를 포함하는 경우,
상기 비고정서버 식별정보의 사용기간에 관한 정보를 수신하도록 구성되는 것을 특징으로 하는 빅데이터를 이용한 인공지능형 네트워크 파밍 차단 시스템.
According to claim 15,
If the server identification information includes non-fixed server identification information,
An artificial intelligent network pharming blocking system using big data, characterized in that it is configured to receive information about the period of use of the non-fixed server identification information.
KR1020210101467A 2021-08-02 2021-08-02 Method and system for preventing network pharming using big data and artificial intelligence KR102514214B1 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020210101467A KR102514214B1 (en) 2021-08-02 2021-08-02 Method and system for preventing network pharming using big data and artificial intelligence

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020210101467A KR102514214B1 (en) 2021-08-02 2021-08-02 Method and system for preventing network pharming using big data and artificial intelligence

Publications (2)

Publication Number Publication Date
KR20230019664A true KR20230019664A (en) 2023-02-09
KR102514214B1 KR102514214B1 (en) 2023-03-27

Family

ID=85224660

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020210101467A KR102514214B1 (en) 2021-08-02 2021-08-02 Method and system for preventing network pharming using big data and artificial intelligence

Country Status (1)

Country Link
KR (1) KR102514214B1 (en)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11973794B1 (en) * 2023-10-31 2024-04-30 Wiz, Inc. Technique and method for detection and display of the cybersecurity risk context of a cloud environment

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101996471B1 (en) * 2019-01-21 2019-07-05 (주)휴먼스타 Network Securing Device and Securing method Using The Same

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101996471B1 (en) * 2019-01-21 2019-07-05 (주)휴먼스타 Network Securing Device and Securing method Using The Same

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
비특허문헌1(강홍구 등, JKMS, 2020.11.30) *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11973794B1 (en) * 2023-10-31 2024-04-30 Wiz, Inc. Technique and method for detection and display of the cybersecurity risk context of a cloud environment

Also Published As

Publication number Publication date
KR102514214B1 (en) 2023-03-27

Similar Documents

Publication Publication Date Title
JP6871357B2 (en) Systems and methods for detecting online scams
US8533328B2 (en) Method and system of determining vulnerability of web application
KR101689299B1 (en) Automated verification method of security event and automated verification apparatus of security event
KR100935776B1 (en) Method for evaluating and accessing a network address
US20130263263A1 (en) Web element spoofing prevention system and method
CN109768992B (en) Webpage malicious scanning processing method and device, terminal device and readable storage medium
US8533581B2 (en) Optimizing security seals on web pages
US9305174B2 (en) Electronic clipboard protection
US20070214503A1 (en) Correlation engine for detecting network attacks and detection method
US20100154055A1 (en) Prefix Domain Matching for Anti-Phishing Pattern Matching
KR20090019451A (en) The method and apparatus for alarming phishing and pharming
CN108989355B (en) Vulnerability detection method and device
US8955123B2 (en) Method and system for preventing malicious communication
US20090119745A1 (en) System and method for preventing private information from leaking out through access context analysis in personal mobile terminal
KR101996471B1 (en) Network Securing Device and Securing method Using The Same
CN105430011A (en) Method and device for detecting distributed denial of service attack
KR100985049B1 (en) Pharming detecting system and Method for controlling this
CN108156270B (en) Domain name request processing method and device
CN104135467B (en) Identify method and the device of malicious websites
CN107733699B (en) Internet asset security management method, system, device and readable storage medium
CN114679292B (en) Honeypot identification method, device, equipment and medium based on network space mapping
CN104935551A (en) Webpage tampering protecting device and method thereof
KR102514214B1 (en) Method and system for preventing network pharming using big data and artificial intelligence
Wang et al. A cost-effective ocr implementation to prevent phishing on mobile platforms
Dong et al. User behaviour based phishing websites detection

Legal Events

Date Code Title Description
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant