WO2011087285A2 - 스푸핑 방지 방법 및 장치 - Google Patents

스푸핑 방지 방법 및 장치 Download PDF

Info

Publication number
WO2011087285A2
WO2011087285A2 PCT/KR2011/000231 KR2011000231W WO2011087285A2 WO 2011087285 A2 WO2011087285 A2 WO 2011087285A2 KR 2011000231 W KR2011000231 W KR 2011000231W WO 2011087285 A2 WO2011087285 A2 WO 2011087285A2
Authority
WO
WIPO (PCT)
Prior art keywords
packet
mac
address
spoofing
mac address
Prior art date
Application number
PCT/KR2011/000231
Other languages
English (en)
French (fr)
Other versions
WO2011087285A3 (ko
Inventor
이광우
Original Assignee
주식회사 안철수연구소
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 안철수연구소 filed Critical 주식회사 안철수연구소
Publication of WO2011087285A2 publication Critical patent/WO2011087285A2/ko
Publication of WO2011087285A3 publication Critical patent/WO2011087285A3/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/10—Mapping addresses of different types
    • H04L61/103—Mapping addresses of different types across network layers, e.g. resolution of network layer into physical layer addresses or address resolution protocol [ARP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks

Definitions

  • the present invention relates to a method and apparatus for preventing spoofing, and more particularly, to collect an information packet including an IP address and a MAC address of a host from an agent installed in each of one or more hosts, and based on the collected information packet.
  • ARP Address Resolution Protocol
  • IP spoofing manipulates sender hardware addresses and sender IP addresses.
  • ARP spoofing is an attack technique that alters the ARP table of other routers, switches, and hosts in the local network to intercept packets destined for the victim's MAC address to the attacker's system.
  • IP spoofing is used to change your source IP so that other systems may not know who you are or are mistaken for other systems.
  • ARP spoofing can reveal personal information by stealing various IP packets from other hosts connected to the same internal network, and stealing server information by stealing administrator-level IDs and passwords of specific servers. It is possible to operate at will.
  • IP spoofing makes it easier to expose more systems to attacks if you steal your online work on external networks.
  • FIG. 1 illustrates an example ARP spoofing attack technique.
  • the client 110 exchanges data with the server 140 through the gateway 130. That is, the normal traffic flow 150 passes through the client 110, the gateway 130, and the server 140.
  • the ARP spoofing attacker 120 may contact the ARP spoofing victim 110 with the gateway 130 to intercept a session between the ARP spoofing victim (client) 110 and the gateway 130.
  • the ARP Reply packet is transmitted to the MAC of the ARP spoofing attacker 120 instead of the MAC, and the ARP Reply packet is transmitted to the MAC of the ARP spoofing attacker 120 instead of the MAC of the ARP spoofing victim 110 to the gateway 130. That is, the ARP spoofing attacker 120 intercepts all packets between the ARP spoofing victim 110 and the gateway 130.
  • This ARP spoofing attack technique is used as a dictionary attack and then attempts to man-in-the-middle attack by relaying packets through IP spoofing.
  • IP spoofing attack technique illustrates an example IP spoofing attack technique.
  • TCP Transmission Control Protocol
  • an IP spoofing attacker 200 deceives its IP as an arbitrary IP to generate a Synchronize Sequence Number (SYN) packet. It attempts to attack by exhausting the serviceable session of the target 230 by sending in large quantities.
  • SYN Synchronize Sequence Number
  • IP spoofing attacks using ARP spoofing are used to steal sensitive information or distribute malicious code, and most zombie PCs used for DoS, DRDoS, or DDoS attacks are based on IP spoofing attacks.
  • the present invention has been made in view of the above, and the controller installed in the internal network at the bottom of the router does not change the MAC of the packet transmitted from the host receives the host's IP address and MAC address from each agent installed on one or more hosts Build an IP-MAC database to filter outbound packets when the IP address or MAC address of the outbound packet does not match the IP-MAC address pair in the IP-MAC database, A spoofing prevention method and apparatus for tracking the actual IP address of the spoof by querying the IP address corresponding to the MAC address of the outbound packet.
  • an information packet including an IP address and a MAC address of at least one host to construct an IP-MAC database, and an out-bound packet transmitted from the host. Comparing the included IP address and MAC address with the IP-MAC address pair of the IP-MAC database, and the IP address and MAC address of the outbound packet do not match the IP-MAC address pair of the IP-MAC database. Otherwise, determining the outbound packet as a spoof packet, and filtering the spoof packet.
  • an apparatus for preventing spoofing comprising: an agent installed in each of one or more hosts to transmit an information packet including an IP address and a MAC address of a corresponding host, and the information packet from the agent. And a controller configured to detect a spoofing packet based on the collected information packet, wherein the controller analyzes the information packet received from the agent and includes an IP address and a MAC address of the one or more hosts.
  • a constructing unit for constructing a MAC database A comparison unit for comparing an IP address and a MAC address included in an outbound packet transmitted from a host with an IP-MAC address pair of the IP-MAC database; A determination unit that determines the outbound packet as a spoofing packet when the IP address and the MAC address of the outbound packet do not match the IP-MAC address pair of the IP-MAC database;
  • a spoofing prevention device including a filtering unit for filtering the spoofing packet.
  • a controller for preventing spoofing receiving an information packet including an IP address and a MAC address of the host from an agent installed in each of the one or more hosts, thereby receiving the IP address and MAC of the one or more hosts.
  • An anti-spoofing controller is provided that includes a filtering unit for filtering the spoofing packet.
  • an agent is installed in each host to periodically check whether the IP address or MAC address is changed, and update the IP-MAC database by providing the controller with the changed IP address or MAC address.
  • exception processing can be performed by allowing the spoof packet without blocking the spoof packet.
  • IP address corresponding to the MAC information of the spoofed packet can be tracked in the IP-MAC database to track the actual IP address of the spoof. It also blocks the hijacking attack of ARP spoofing and uses the internal network used for DDoS. Zombie hosts can be detected and removed, and flooding attacks by IP spoofing can prevent network exhaustion of internal networks and ensure network availability.
  • FIG. 1 illustrates an example ARP spoofing attack technique.
  • FIG 3 illustrates a network configuration including an agent and a controller according to an embodiment of the present invention.
  • FIG. 4 is a flowchart illustrating a spoofing prevention method according to an embodiment of the present invention.
  • FIG. 5 is a flowchart illustrating a spoof packet exception processing according to an embodiment of the present invention.
  • FIG. 6 illustrates a data structure of an information packet according to an embodiment of the present invention.
  • FIG. 7 illustrates a signal processing flow for blocking IP spoofing according to an embodiment of the present invention.
  • FIG. 8 is a block diagram of an anti-spoofing device according to an embodiment of the present invention.
  • Agents are installed in each of the hosts 300, 310, and 320, and the internal network and gateway 350 and the Internet 360, which include the hosts 300, 310, and 320, and Layer 2 switch 330.
  • the controller 340 for relaying traffic between the external network including a. Since there is no L3 routing between the controller 340 and each of the hosts, the MAC address of the packet transmitted from each host is the same as the MAC address of the host's actual network interface.
  • FIG. 3 illustrates that the controller 340 exists independently between the L2 switch 330 and the gateway 350
  • the controller 340 may be included in the gateway 350, and may be an intrusion prevention system (IPS) or a firewall. It may also be included in network security equipment.
  • IPS intrusion prevention system
  • FIG. 3 illustrates that the controller 340 exists independently between the L2 switch 330 and the gateway 350
  • the controller 340 may be included in the gateway 350, and may be an intrusion prevention system (IPS) or a firewall. It may also be included in network security equipment.
  • IPS intrusion prevention system
  • the number of hosts may be three or less and more than three.
  • Agents installed on the hosts 300, 310 and 320 collect the host's local IP address and MAC address, generate an information packet including the collected IP address and MAC address, and send the generated information packet to the controller 340. do.
  • the agent periodically checks whether the IP addresses and MAC addresses of the hosts 300, 310, and 320 are changed, and if the IP address or MAC address is changed, the agent processes the information packet including the changed IP address or the changed MAC address.
  • the information packet includes the total number of physical or logical network interfaces (NIFs) set in the hosts 300, 310, and 320, together with local IP addresses and MAC addresses assigned thereto.
  • NIFs physical or logical network interfaces
  • the controller 340 collects an information packet including local IP addresses and MAC addresses of the hosts 300, 310, and 320 from the agent to build the IP-MAC database 370.
  • the IP-MAC database 370 includes IP 210.1.1.1 and MAC 00: 0E: A6: 81: 50: F3 of the host 300, IP 210.1.1.2 and MAC 00 of the host 310: 0E: A6: 81: 50: F4, IP 210.1.1.3 and MAC 00: 0E: A6: 81: 50: F5 of the host 320 are stored.
  • FIG. 3 exemplarily shows an IP-MAC database having three IP-MAC address pairs, the IP-MAC database may include three or less IP addresses or three or more IP-MAC address pairs.
  • the IP-MAC database 370 is a database that records actual IP addresses and MAC addresses corresponding to the IP addresses of the hosts 300, 310, and 320, and then out-bound packets are sent to the controller 340. If it passes, it is used to determine whether IP spoofed. If the outbound packet is IP spoofed, the IP address corresponding to the MAC address included in the outbound packet retrieved from the IP-MAC database 370 is different from the IP address included in the outbound packet.
  • IP-MAC database 370 Sample outbound packets from the internal network to the external network and compare the packet's IP address and MAC address with the IP-MAC address pair in the IP-MAC database 370 to allow the packet in the same case, otherwise Block the packet. If the IP address and MAC address of the outbound IP packet are different from the IP-MAC address pair of the IP-MAC database 370, the IP-MAC database 370 can be queried for an IP address corresponding to the MAC address of the outbound IP packet. You can also track the spoof's actual IP address.
  • outbound IP packets with MAC addresses that are not stored in the IP-MAC database for exception handling can be sent to the external network without blocking, and outbound IP packets with MAC addresses on the whitelist are also blocked. It can be sent to an external network without blocking.
  • step S410 the controller 340 receives an information packet from an agent installed in each of the hosts 300, 310, and 320.
  • step S420 the controller 340 builds an IP-MAC database 370 from the received information packet.
  • step S430 the IP address and MAC address are extracted from the outbound packet.
  • step S440 it is determined whether the extracted IP address and MAC address match the IP-MAC address pair of the IP-MAC database. If the extracted IP address and MAC address match the IP-MAC address pair of the IP-MAC database, in step S450 the controller 340 allows the outbound packet to be sent to the external network.
  • the outbound packet is determined to be a spoofed packet in step S460.
  • the IP address corresponding to the MAC address of the outbound packet is retrieved from the IP-MAC database to track the actual IP address of the spoof.
  • the spoofing packet is blocked.
  • the packet is not blocked even when the outbound packet is determined to be a spoof packet.
  • the outbound packet can be sent to the external network without blocking, and the outbound packet has a MAC address in the whitelist. It can also be sent to an external network without blocking.
  • a process of processing an outbound packet having a MAC address in a whitelist will be described.
  • step S510 If it is determined that the outbound packet is a spoof packet, it is determined in step S510 whether the MAC address of the outbound packet exists in the whitelist. If the MAC address of the outbound packet is present in the whitelist, step S520 exceptionally allows the packet to be transmitted to the external network. On the other hand, if the MAC address of the spoof packet does not exist in the white list, in step S530 it is blocked from transmitting the packet to the external network.
  • the information packet sent from the agent to the controller includes the IP address and MAC address set in the host.
  • the information packet includes a version 610 of the information packet, the number 620 of physical or logical network interfaces (NIFs), and the IP and MAC addresses 630, 640, and 650 set for each interface.
  • the IP address and the MAC address are stored as many as the network interface (NIF).
  • the controller receiving the information packet establishes the IP-MAC database according to the IP address and MAC address extracted from the information packet.
  • FIG. 7 illustrates a signal processing flow for blocking IP spoofing according to an embodiment of the present invention.
  • the host 700a operates as an IP spoof
  • the host 700c operates as a normal host.
  • An agent 700b and an agent 700d are installed in the IP spoof 700a and the normal host 700c, respectively.
  • the network further includes a controller 700e and a gateway 700f for relaying traffic between the internal network and the external network.
  • Agent 700b sends an information packet 720a that includes IP 210.1.1.1 of MAC spoof 700a and MAC (00: 0E: A6: 81: 50: F3) to controller 700e.
  • the agent 700d transmits an information packet 730a including the IP 210.1.1.2 of the normal host 700c and the MAC (00: 0E: A6: 81: 50: F4) to the controller 700e.
  • the agents 700b and 700d periodically examine the IP addresses and MAC addresses of the IP spoof 700a and the normal host 700c, and, if there is a change in the IP address or MAC address, the controller transmits an information packet that reflects the changed address. 700e).
  • the controller 700e builds an IP-MAC database 710 based on the information packet 720a and the information packet 730a.
  • the IP-MAC database 710 is used to determine whether the outbound packet is a spoofed packet.
  • the IP address included in the packet 730b transmitted from the normal host 700c is 210.1.1.2, and the MAC address is 00: 0E: A6: 81: 50: F4. Since the IP address of 210.1.1.2 and the MAC address of 00: 0E: A6: 81: 50: F4 match the IP-MAC database 710, the packet 730b passes through the controller 700e to the gateway 700f. 730d. Similarly, the packet 730c transmitted from the normal host 700c is transmitted to the gateway 700f through the controller 700e (730e).
  • the packet 720b transmitted from the IP spoof 700a is an IP spoofed packet and includes an IP address of 218.1.1.1 and a MAC address of 00: 0E: A6: 81: 50: F3.
  • the controller 700e extracts the IP address and the MAC address of the packet 720b and compares them with the IP-MAC database 710. In this case, since the IP-MAC address pair matching the IP address and the MAC address of the packet 720b does not exist in the IP-MAC database 710, the packet 720b is blocked without being delivered to the external network.
  • packet 720c is an ARP spoofed packet that includes an IP address of 210.1.1.2 and a MAC address of 00: 0E: A6: 81: 50: F3.
  • the actual IP spoof's actual IP is 210.1.1.1, where 210.1.1.2 is the IP address of the normal host 700c. That is, since the IP address and MAC address corresponding to the IP address and MAC address of the packet 720c, which are ARP spoofed packets, do not exist in the IP-MAC database 710, the packet 720c is blocked without being delivered to the external network. .
  • the MAC address contained in the blocked packets 720b and 720c is 00: 0E: A6: 81: 50: F3, so the MAC address of 00: 0E: A6: 81: 50: F3 in the IP-MAC database 710. If you look up the IP address corresponding to, 210.1.1.1 will be searched. That is, the actual IP of the spoof 700a can be tracked from the MAC address included in the blocked packet.
  • Agents 800a, 800b, 800c, and 800d are respectively installed in the host to transmit information packets 810a, 810b, 810c, and 810d including the IP address and MAC address of the host to the controller 820.
  • the agent 800d may further include a checker 800e that periodically checks whether the IP address or the MAC address of the host where the agent 800d is installed is changed. If the IP address or MAC address is changed, the changed IP address is changed. Or, the information packet including the MAC address is transmitted to the controller 820.
  • the inspection unit 800e is illustrated as being included only in the agent 800d, but may be included in all the agents 800a, 800b, 800c, and 800d.
  • the controller 820 relays traffic between the internal network and the external network. Since there is no L3 routing between the controller 820 and each of the hosts, the MAC address of a packet transmitted from each host is the same as the MAC address of the host's actual network interface.
  • the controller 820 includes a building unit 820a that collects one or more information packets 810a, 810b, 810c, and 810d to build an IP-MAC database including IP addresses and MAC addresses of one or more hosts.
  • the controller 820 includes a comparator 820b for comparing the IP address and the MAC address included in the outbound packet transmitted from the host with the IP-MAC address pair of the IP-MAC database.
  • the controller 820 includes a determination unit 820c that determines the data packet as a spoofing packet when the IP address and the MAC address of the outbound packet do not match the IP-MAC database.
  • the controller 820 includes a filtering unit 820d for filtering the spoof packet.
  • the filtering unit 820d includes a permitting unit 820e, a blocking unit 820f, and a whitelist 820h, which allows the spoofing packet when the MAC address of the spoofing packet is present in the whitelist 820h.
  • the controller 820 may further include a tracking unit 820g for searching the IP address corresponding to the MAC address of the spoof packet in the IP-database to track the actual IP address of the spoof.
  • Modules, functional blocks or means of the present embodiment may be implemented in a variety of known elements, such as electronic circuits, integrated circuits, ASICs (Application Specific Integrated Circuit), each may be implemented separately, or two or more may be integrated into one Can be.
  • ASICs Application Specific Integrated Circuit

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

스푸핑 방지 방법은 하나 이상의 호스트의 IP 주소 및 MAC 주소가 포함된 정보 패킷을 수신하여 IP-MAC 데이터베이스를 구축하는 단계와; 상기 호스트로부터 전송되는 아웃바운드(Out-Bound) 패킷에 포함된 IP 주소 및 MAC 주소를 상기 IP-MAC 데이터베이스의 IP-MAC 주소쌍과 비교하는 단계와; 상기 아웃바운드 패킷의 IP 주소 및 MAC 주소가 상기 IP-MAC 데이터베이스의 IP-MAC 주소쌍과 일치하지 않는 경우 상기 아웃바운드 패킷을 스푸핑 패킷으로 판단하는 단계와; 상기 스푸핑 패킷을 필터링하는 단계를 포함한다.

Description

스푸핑 방지 방법 및 장치
본 발명은 스푸핑(Spoofing) 방지 방법 및 장치에 관한 것으로, 더욱 상세하게는, 하나 이상의 호스트 각각에 설치된 에이전트로부터 호스트의 IP 주소 및 MAC 주소가 포함된 정보 패킷을 수집하고, 수집한 정보 패킷에 기반하여 스푸핑 패킷을 검출하는 스푸핑 방지 방법 및 장치에 관한 것이다.
인터넷의 사용이 날로 증가함에 따라 해킹의 기술 또한 증가하고 있다. DoS(Denial-of-Service), DDoS(Distributed Denial-of-Service), 스니핑(Sniffing) 또는 하이젝킹(Hijacking)과 같은 해킹을 위해 사용되는 근본적인 수단에는 ARP(Address Resolution Protocol) 스푸핑(Spoofing)과 IP 스푸핑이 있다. ARP 스푸핑은 센더(Sender) 하드웨어 주소와 센더 IP 주소를 조작한다. ARP 스푸핑은 로컬 네트워크 내의 다른 라우터나 스위치, 호스트들의 ARP 테이블을 변경함으로써, 공격 대상 시스템(피해자)의 MAC주소로 전달되는 패킷을 공격자 시스템으로 전달되도록 가로채는 공격기법이다. IP 스푸핑은 자신의 소스 IP를 변경하여 다른 시스템으로 하여금 자신이 누군지 모르게 또는 다른 시스템으로 오인하도록 만들기 위해 사용된다.
인터넷에서 돌아다니는 이러한 ARP 스푸핑이나 IP 스푸핑 툴을 이용하여 특정 호스트를 공격하거나 망 내에서 돌아다니는 정보를 훔쳐 봄으로써 보안이 유지되어야 할 개인 정보들이 쉽게 도용되는 일이 빈번한 실정이다. 예를 들면, ARP 스푸핑을 통하여 동일한 내부 네트워크에 연결된 다른 호스트에서 행하여지는 여러 가지 IP 패킷들을 훔쳐 봄으로써 개인 정보가 유출될 수 있고, 특정 서버의 관리자 레벨의 ID와 패스워드를 훔쳐 봄으로써 서버 정보를 마음대로 조작하는 것이 가능하게 되었다. 또한, IP 스푸핑을 통하여 외부 네트워크 상에서 행해지는 온라인 작업을 훔쳐 볼 경우 더 많은 시스템이 공격에 쉽게 노출되게 된다.
도 1 은 예시적인 ARP 스푸핑 공격 기법을 도시한 것이다. ARP 스푸핑 공격을 받지 않는 정상시에는 클라이언트(110)가 게이트웨이(130)를 통하여 서버(140)와 데이터를 주고 받는다. 즉, 정상적인 트래픽 흐름(150)은 클라이언트(110), 게이트웨이(130) 및 서버(140)을 통과한다. 그러나, ARP 스푸핑 공격(160) 하에서는, ARP 스푸핑 공격자(120)가 ARP 스푸핑 피해자(클라이언트)(110)와 게이트웨이(130) 사이의 세션을 가로채기 위하여 ARP 스푸핑 피해자(110)에게는 게이트웨이(130)의 MAC 대신 ARP 스푸핑 공격자(120)의 MAC으로 ARP Reply 패킷을 전송하고, 게이트웨이(130)에게도 ARP 스푸핑 피해자(110)의 MAC 대신 ARP 스푸핑 공격자(120)의 MAC 으로 ARP Reply 패킷을 전송한다. 즉, ARP 스푸핑 공격자(120)는 ARP 스푸핑 피해자(110)와 게이트웨이(130) 사이의 모든 패킷을 가로챈다. 이러한 ARP 스푸핑 공격 기법은 사전 공격으로 이용되며 이후 IP 스푸핑을 통하여 패킷을 릴레이함으로써 중간자 공격을 시도하게 된다.
도 2 는 예시적인 IP 스푸핑 공격 기법을 도시한 것이다. 도 2를 참조하면, 타겟(230)의 TCP(Transmission Control Protocol) 서비스의 서비스 거부 공격을 유발하기 위해 IP 스푸핑 공격자(200)가 자신의 IP를 임의의 IP로 속여 SYN(Synchronize sequence Number) 패킷을 대량으로 전송하여 타겟(230)의 서비스 가능 세션을 고갈시키는 공격을 시도한다.
일반적으로 중요 정보를 탈취하거나 악성 코드를 유포하기 위해서 ARP 스푸핑을 통한 IP 스푸핑 공격이 사용되고 있으며, DoS, DRDoS, 또는 DDoS 공격에 이용되는 좀비 PC들은 대부분 IP 스푸핑 공격을 근간으로 하고 있다.
일반적으로 알려진 대부분의 ARP 스푸핑 탐지 방법이 보안장비에 적용되기는 하지만, 이러한 종래의 ARP 스푸핑 탐지 기법은 ARP Reply 패킷 수집을 기반으로 하기 때문에 최근처럼 더미 허브는 사라지고 L2 스위치가 사용되는 내부 네트워크 환경을 고려할 때 스푸핑 탐지가 거의 불가능한 것으로 보여진다. 관련 선행기술이 미국 공개 특허 제 2010/0107250(공개일 : 2010년 04월 29일)에 개시되어 있다. 뿐만 아니라, DDoS 좀비들이 많이 사용하는 IP 스푸핑에 의한 플러딩 공격을 보안장비에서 탐지하고 해당 패킷을 차단하더라도 종래의 보안 방법은 스푸퍼에서 보안장비가 위치한 내부 네트워크 구간의 대역폭이 좀비 PC의 공격 패킷으로 대역폭이 낭비되는 것을 막을 수 없으며 또한 스푸퍼의 실제 IP 추적에 많은 어려움이 있었다.
본 발명은 상기 점에 감안하여 이루어진 것으로써, 호스트에서 전송한 패킷의 MAC이 변경되지 않는 라우터 하단의 내부 네트워크에 설치된 제어기가 하나 이상의 호스트에 각각 설치된 에이전트로부터 호스트의 IP 주소 및 MAC 주소를 수신 받아 IP-MAC 데이터베이스를 구축하여, 아웃바운드(Out-Bound) 패킷의 IP 주소 또는 MAC 주소가 IP-MAC 데이터베이스의 IP-MAC 주소쌍과 일치하지 않는 경우 아웃바운드 패킷을 필터링하고, IP-MAC 데이터베이스에서 아웃바운드 패킷의 MAC 주소에 대응하는 IP 주소를 조회하여 스푸퍼의 실제 IP 주소를 추적하는 스푸핑 방지 방법 및 장치를 제공한다.
본 발명의 제 1 측면에 따르면, 하나 이상의 호스트의 IP 주소 및 MAC 주소가 포함된 정보 패킷을 수신하여 IP-MAC 데이터베이스를 구축하는 단계와, 상기 호스트로부터 전송되는 아웃바운드(Out-Bound) 패킷에 포함된 IP 주소 및 MAC 주소를 상기 IP-MAC 데이터베이스의 IP-MAC 주소쌍과 비교하는 단계와, 상기 아웃바운드 패킷의 IP 주소 및 MAC 주소가 상기 IP-MAC 데이터베이스의 IP-MAC 주소쌍과 일치하지 않는 경우 상기 아웃바운드 패킷을 스푸핑 패킷으로 판단하는 단계와, 상기 스푸핑 패킷을 필터링하는 단계를 포함하는 스푸핑 방지 방법이 제공된다.
본 발명의 제 2 측면에 따르면, 스푸핑을 방지하기 위한 장치로서, 하나 이상의 호스트 각각에 설치되어 대응하는 호스트의 IP 주소 및 MAC 주소가 포함된 정보 패킷을 송신하는 에이전트와, 상기 에이전트로부터 상기 정보 패킷을 수집하여, 상기 수집한 정보 패킷에 기반하여 스푸핑 패킷을 검출하는 제어기를 포함하며, 상기 제어기는, 상기 에이전트로부터 수신한 정보 패킷을 분석하여 상기 하나 이상의 호스트의 IP 주소 및 MAC 주소를 포함하는 IP-MAC 데이터베이스를 구축하는 구축부와; 호스트로부터 전송되는 아웃바운드 패킷에 포함된 IP 주소 및 MAC 주소를 상기 IP-MAC 데이터베이스의 IP-MAC 주소쌍과 비교하는 비교부와; 상기 아웃바운드 패킷의 IP 주소 및 MAC 주소가 상기 IP-MAC 데이터베이스의 IP-MAC 주소쌍과 일치하지 않는 경우 상기 아웃바운드 패킷을 스푸핑 패킷으로 판단하는 판단부와; 상기 스푸핑 패킷을 필터링하는 필터링부를 포함하는 스푸핑 방지 장치가 제공된다.
본 발명의 제 3 측면에 따르면, 스푸핑을 방지하기 위한 제어기로서, 하나 이상의 호스트 각각에 설치된 에이전트로부터 상기 호스트의 IP주소 및 MAC 주소가 포함된 정보 패킷을 수신하여 상기 하나 이상의 호스트의 IP 주소 및 MAC 주소를 포함하는 IP-MAC 데이터베이스를 구축하는 구축부와; 호스트로부터 전송되는 아웃바운드 패킷에 포함된 IP 정보 및 MAC 정보를 상기 IP-MAC 데이터베이스와 비교하는 비교부와; 상기 아웃바운드 패킷의 IP 정보 및 MAC 정보가 상기 IP-MAC 데이터베이스와 일치하지 않는 경우 상기 아웃바운드 패킷을 스푸핑 패킷으로 판단하는 판단부와; 상기 스푸핑 패킷을 필터링하는 필터링부를 포함하는 스푸핑 방지 제어기가 제공된다.
본 발명에 따르면, 호스트 각각에 에이전트가 설치되어 IP 주소 또는 MAC 주소가 변경되었는지 여부를 주기적으로 검사하고 변경된 IP 주소 또는 MAC 주소를 제어기에 제공함으로써 IP-MAC 데이터베이스를 업데이트할 수 있다.
또한, 스푸핑 패킷이라도 스푸핑 패킷의 MAC 정보가 화이트리스트에 포함되는 경우에는 스푸핑 패킷을 차단하지 않고 허용함으로써 예외 처리를 수행할 수 있다.
또한, IP-MAC 데이터베이스에서 스푸핑 패킷의 MAC 정보에 대응하는 IP 주소를 조회하여 스푸퍼의 실제 IP 주소를 추적할 수 있으며, ARP 스푸핑의 하이젝킹(Hijacking) 공격을 차단하고 DDoS에 이용되는 내부 네트워크의 좀비 호스트를 탐지 및 제거할 수 있고, IP 스푸핑에 의한 플러딩 공격의 경우 내부 네트워크의 대역폭 고갈을 막아 네트워크의 가용성을 보장할 수 있는 효과가 있다.
도 1 은 예시적인 ARP 스푸핑 공격 기법을 도시한 것이다.
도 2 는 예시적인 IP 스푸핑 공격 기법을 도시한 것이다.
도 3 은 본 발명의 실시 예에 따른 에이전트 및 제어기를 포함하는 네트워크 구성도를 나타낸 것이다.
도 4 는 본 발명의 실시 예에 따른 스푸핑 방지 방법의 흐름도를 나타낸 것이다.
도 5 는 본 발명의 실시 예에 따른 스푸핑 패킷 예외 처리의 흐름도를 나타낸 것이다.
도 6 은 본 발명의 실시 예에 따른 정보 패킷의 데이터 구조를 나타낸 것이다.
도 7 은 본 발명의 실시 예에 따른 IP 스푸핑을 차단하는 신호 처리 흐름을 나타낸 것이다.
도 8 은 본 발명의 실시 예에 따른 스푸핑 방지 장치의 블록도를 도시한 것이다.
이하 첨부된 도면을 참조하여 본 발명의 실시 예를 상세히 설명한다. 하기에서 본 발명을 설명함에 있어서 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략할 것이다. 그리고 후술되는 용어들은 본 발명에서의 기능을 고려하여 정의된 용어들로서 이는 사용자, 운용자의 의도 또는 관례 등에 따라 달라질 수 있다. 그러므로 그 정의는 본 명세서 전반에 걸친 내용을 토대로 내려져야 할 것이다.
도 3 은 본 발명의 실시 예에 따른 에이전트 및 제어기를 포함하는 네트워크 구성도를 나타낸 것이다. 호스트(300, 310 및 320) 각각에는 에이전트가 설치되어 있으며, 호스트(300, 310 및 320) 및 L2 스위치(Layer 2 switch)(330)를 포함하는 내부 네트워크와 게이트웨이(350) 및 인터넷(360)을 포함하는 외부 네트워크 사이의 트래픽을 중계하는 제어기(340)가 설치되어 있다. 제어기(340)와 호스트 각각의 사이에는 L3 라우팅이 없어 호스트 각각으로부터 전송되는 패킷의 MAC 주소가 호스트의 실제 네트워크 인터페이스의 MAC 주소와 동일하다.
도 3 에서는 제어기(340)가 L2 스위치(330)와 게이트웨이(350) 사이에 독자적으로 존재하는 것으로 도시하였으나, 제어기(340)는 게이트웨이(350)에 포함될 수도 있고, IPS(Intrusion Prevention System)나 방화벽 등의 네트워크 보안장비에 포함될 수도 있다. 또한, 도 3 에서는 예시적으로 3 개의 호스트가 도시되었으나, 호스트의 개수는 3 개 이하가 될 수도 있으며 3 개 초과가 될 수도 있다.
호스트(300, 310 및 320)에 설치된 에이전트는 호스트의 로컬 IP 주소 및 MAC 주소를 수집하고 수집된 IP 주소 및 MAC 주소가 포함된 정보 패킷을 생성하여, 생성된 정보 패킷을 제어기(340)로 송신한다. 에이전트는 주기적으로 호스트(300, 310 및 320)의 IP 주소 및 MAC 주소가 변경되는지 여부를 검사하고, IP 주소 또는 MAC 주소가 변경되는 경우에는 변경된 IP 주소 또는 변경된 MAC 주소를 포함한 정보 패킷을 제어기(340)로 송신한다. 정보 패킷에는 호스트(300, 310 및 320)에 설정된 물리적 또는 논리적인 네트워크 인터페이스(NIF)의 총 개수와 그에 할당된 로컬 IP 주소 및 MAC 주소가 함께 포함된다.
제어기(340)는 에이전트로부터 호스트(300, 310 및 320)의 로컬 IP 주소 및 MAC 주소가 포함되어 있는 정보 패킷을 수집하여 IP-MAC 데이터베이스(370)를 구축한다. 도 3 을 참조하면, IP-MAC 데이터베이스(370)에는 호스트(300)의 IP 210.1.1.1 및 MAC 00:0E:A6:81:50:F3, 호스트(310)의 IP 210.1.1.2 및 MAC 00:0E:A6:81:50:F4, 호스트(320)의 IP 210.1.1.3 및 MAC 00:0E:A6:81:50:F5가 저장되어 있다. 도 3 에서는 예시적으로 3 개의 IP-MAC 주소쌍을 가지는 IP-MAC 데이터베이스를 도시하였으나, IP-MAC 데이터베이스는 3개 이하 또는 3 개 이상의 IP-MAC 주소쌍을 포함할 수 있다.
IP-MAC 데이터베이스(370)는 호스트(300, 310 및 320) 각각의 실제 IP 주소 및 IP 주소에 대응되는 MAC 주소를 기록한 데이터베이스로서, 이후에 아웃바운드(Out-Bound) 패킷이 제어기(340)를 통과하는 경우 IP 스푸핑되었는지 여부의 판단에 이용된다. 아웃바운드 패킷이 IP 스푸핑된 경우, IP-MAC 데이터베이스(370)에서 검색된 아웃바운드 패킷에 포함된 MAC 주소에 대응하는 IP 주소는 아웃바운드 패킷에 포함된 IP 주소와 상이하게 된다.
내부 네트워크에서 외부 네트워크로 나가는 아웃바운드 패킷에 대해서 샘플링을 하여 패킷의 IP 주소 및 MAC 주소를 IP-MAC 데이터베이스(370)의 IP-MAC 주소쌍과 비교하여 같은 경우에는 패킷을 허용하고, 다른 경우에는 해당 패킷을 차단한다. 아웃바운드 IP 패킷의 IP 주소 및 MAC 주소가 IP-MAC 데이터베이스(370)의 IP-MAC 주소쌍과 상이한 경우 IP-MAC 데이터베이스(370)에서 아웃바운드 IP 패킷의 MAC 주소에 대응되는 IP 주소를 조회함으로써, 스푸퍼의 실제 IP 주소를 추적할 수도 있다.
이 경우 예외 처리를 위해서 IP-MAC 데이터베이스에 저장되지 않은 MAC 주소를 갖고 있는 아웃바운드 IP 패킷은 차단되지 않고 외부 네트워크로 전송될 수 있으며, 화이트리스트 목록에 있는 MAC 주소를 갖고 있는 아웃바운드 IP 패킷 또한 차단되지 않고 외부 네트워크로 전송될 수 있다.
도 4 는 본 발명의 실시 예에 따른 스푸핑 방지 방법의 흐름도를 나타낸 것이다. 단계 S410에서 제어기(340)는 호스트(300, 310 및 320) 각각에 설치된 에이전트로부터 정보 패킷을 수신한다. 단계 S420에서 제어기(340)는 수신한 정보 패킷으로부터 IP-MAC 데이터베이스(370)를 구축한다. 단계 S430에서는 아웃바운드 패킷으로부터 IP 주소와 MAC 주소를 추출한다. 단계 S440에서는 추출된 IP 주소와 MAC 주소가 IP-MAC 데이터베이스의 IP-MAC 주소쌍과 일치하는지 여부를 판단한다. 추출된 IP 주소와 MAC 주소가 IP-MAC 데이터베이스의 IP-MAC 주소쌍과 일치하는 경우에는, 단계 S450에서 제어기(340)는 아웃바운드 패킷이 외부 네트워크로 전송되는 것을 허용한다. 한편, 추출된 IP 주소와 MAC 주소가 IP-MAC 데이터베이스의 IP-MAC 주소쌍과 일치하지 않는 경우, 단계 S460에서 아웃바운드 패킷을 스푸핑 패킷으로 판단하게 된다. 단계 S470에서는 아웃바운드 패킷의 MAC 주소에 대응되는 IP 주소를 IP-MAC 데이터베이스에서 조회하여 스푸퍼의 실제 IP 주소를 추적한다. 단계 S480에서는 스푸핑 패킷을 차단한다.
그러나, 예외적으로 아웃바운드 패킷이 스푸핑 패킷으로 판단된 경우에도 패킷이 차단되지 않는 경우가 있을 수 있다. 예를 들어, 아웃바운드 패킷의 MAC 주소가 IP-MAC 데이터베이스에 존재하지 않는 경우, 해당 아웃바운드 패킷은 차단되지 않고 외부 네트워크로 전송될 수 있으며, 화이트리스트 목록에 있는 MAC 주소를 갖고 있는 아웃바운드 패킷 또한 차단되지 않고 외부 네트워크로 전송될 수 있다. 이하에서는 화이트리스트 목록에 있는 MAC 주소를 갖고 있는 아웃바운드 패킷의 처리 과정에 대해서 설명하도록 한다.
도 5 는 본 발명의 실시 예에 따른 스푸핑 패킷 예외 처리의 흐름도를 나타낸 것이다. 아웃바운드 패킷이 스푸핑 패킷으로 판단된 경우, 단계 S510에서는 아웃바운드 패킷의 MAC 주소가 화이트리스트에 존재하는가 여부를 판단한다. 아웃바운드 패킷의 MAC 주소가 화이트리스트에 존재하는 경우 단계 S520에서는 예외적으로 해당 패킷이 외부 네트워크로 전송되는 것을 허용한다. 한편, 스푸핑 패킷의 MAC 주소가 화이트리스트에 존재하지 않는 경우 단계 S530에서는 해당 패킷이 외부 네트워크로 전송되는 것을 차단하게 된다.
도 6 은 본 발명의 실시 예에 따른 정보 패킷의 데이터 구조를 나타낸 것이다. 에이전트로부터 제어기로 송신되는 정보 패킷은 호스트에 설정된 IP 주소 및 MAC 주소를 포함한다. 정보 패킷은 정보 패킷의 버전(610), 물리적 또는 논리적 네트워크 인터페이스(NIF)의 개수(620) 및 각 인터페이스에 설정된 IP 주소 및 MAC 주소(630, 640 및 650)를 포함한다. IP 주소 및 MAC 주소는 네트워크 인터페이스(NIF)의 개수만큼 저장되게 된다. 이러한 정보 패킷을 수신한 제어기는 정보 패킷으로부터 추출한 IP 주소 및 MAC 주소에 따라 IP-MAC 데이터베이스를 구축하게 된다.
도 7 은 본 발명의 실시 예에 따른 IP 스푸핑을 차단하는 신호 처리 흐름을 나타낸 것이다. 도 7을 참조하면, 네트워크에는 2개의 호스트(700a 및 700c)가 존재하며 호스트(700a)는 IP 스푸퍼로 동작하고, 호스트(700c)는 정상적인 호스트로 동작한다. IP 스푸퍼(700a) 및 정상 호스트(700c)에는 각각 에이전트(700b) 및 에이전트(700d)가 설치되어 있다. 네트워크는 내부 네트워크와 외부 네트워크의 트래픽을 중계하는 제어기(700e) 및 게이트웨이(700f)를 더 포함한다.
에이전트(700b)는 IP 스푸퍼(700a)의 IP(210.1.1.1) 및 MAC(00:0E:A6:81:50:F3) 을 포함하는 정보 패킷(720a)를 제어기(700e)로 전송한다. 또한, 에이전트(700d)는 정상 호스트(700c)의 IP(210.1.1.2) 및 MAC(00:0E:A6:81:50:F4)을 포함하는 정보 패킷(730a)를 제어기(700e)로 전송한다. 에이전트(700b 및 700d)는 주기적으로 IP스푸퍼(700a) 및 정상 호스트(700c)의 IP 주소 및 MAC 주소를 조사하여, IP 주소 또는 MAC 주소에 변경이 있는 경우 변경된 주소를 반영한 정보 패킷을 제어기(700e)에 송신할 수 있다.
제어기(700e)는 정보 패킷(720a) 및 정보 패킷(730a)에 기초하여 IP-MAC 데이터베이스(710)를 구축한다. IP-MAC 데이터베이스(710)는 아웃바운드 패킷이 스푸핑된 패킷인지 여부를 판단하는데 사용된다.
정상 호스트(700c)로부터 전송되는 패킷(730b)에 포함되어 있는 IP 주소는 210.1.1.2이며, MAC 주소는 00:0E:A6:81:50:F4 이다. 210.1.1.2의 IP 주소 및 00:0E:A6:81:50:F4의 MAC 주소는 IP-MAC 데이터베이스(710)에 일치하므로 패킷(730b)은 제어기(700e)를 통과하여 게이트웨이(700f)로 전송되게 된다(730d). 마찬가지로 정상호스트(700c)로부터 전송되는 패킷(730c)은 제어기(700e)를 통과하여 게이트웨이(700f)로 전송되게 된다(730e).
한편, IP 스푸퍼(700a)로부터 전송되는 패킷(720b)은 IP 스푸핑된 패킷으로서 218.1.1.1의 IP 주소 및 00:0E:A6:81:50:F3의 MAC 주소를 포함한다. 제어기(700e)에서는 패킷(720b)의 IP 주소 및 MAC 주소를 추출하여 IP-MAC 데이터베이스(710)와 비교한다. 이 경우 패킷(720b)의 IP 주소 및 MAC 주소에 일치하는 IP-MAC 주소쌍이 IP-MAC 데이터베이스(710)에 존재하지 않으므로 패킷(720b)는 외부 네트워크로 전달되지 않고 차단된다.
마찬가지로, 패킷(720c)는 ARP 스푸핑된 패킷으로서 210.1.1.2 의 IP 주소 및 00:0E:A6:81:50:F3의 MAC 주소를 포함한다. IP 스푸퍼의 실제 IP 는 210.1.1.1 로서, 210.1.1.2는 정상 호스트(700c)의 IP 주소이다. 즉, ARP 스푸핑된 패킷인 패킷(720c)의 IP 주소 및 MAC 주소에 일치하는 IP 주소 및 MAC 주소가 IP-MAC 데이터베이스(710)에 존재하지 않으므로 패킷(720c)는 외부 네트워크로 전달되지 않고 차단된다. 이 경우 차단된 패킷(720b 및 720c)에 포함된 MAC 주소는 00:0E:A6:81:50:F3 이므로 IP-MAC 데이터베이스(710)에서 00:0E:A6:81:50:F3의 MAC 주소에 대응되는 IP 주소를 조회하면 210.1.1.1 이 조회된다. 즉, 차단된 패킷에 포함된 MAC 주소로부터 스푸퍼(700a)의 실제 IP인 210.1.1.1을 추적할 수 있다.
도 8 은 본 발명의 실시 예에 따른 스푸핑 방지 장치의 블록도를 도시한 것이다. 에이전트(800a, 800b, 800c 및 800d)는 각각 호스트에 설치되어 호스트의 IP 주소 및 MAC 주소가 포함된 정보 패킷(810a, 810b, 810c 및 810d)을 제어기(820)로 송신하는 역할을 수행한다. 에이전트(800d)는 에이전트(800d)가 설치된 호스트의 IP 주소 또는 MAC 주소가 변경되는지 여부를 주기적으로 검사하는 검사부(800e)를 더 포함할 수 있으며, IP 주소 또는 MAC 주소가 변경된 경우에는 변경된 IP 주소 또는 MAC 주소가 포함된 정보 패킷을 제어기(820)로 송신하게 된다. 본 실시예에서는 검사부(800e)가 에이전트(800d)에만 포함된 것으로 도시하였으나, 모든 에이전트(800a, 800b, 800c 및 800d)에 포함되도록 하여도 좋다.
제어기(820)는 내부 네트워크와 외부 네트워크의 트래픽을 중계하는 역할을 한다. 제어기(820)와 호스트 각각의 사이에는 L3 라우팅이 없어 호스트 각각으로부터 전송되는 패킷의 MAC 주소는 호스트의 실제 네트워크 인터페이스의 MAC 주소와 동일하다.
제어기(820)는 하나 이상의 정보 패킷(810a, 810b, 810c 및 810d)을 수집하여 하나 이상의 호스트의 IP 주소 및 MAC 주소를 포함하는 IP-MAC 데이터베이스를 구축하는 구축부(820a)를 포함한다. 또한, 제어기(820)는 호스트로부터 전송되는 아웃바운드 패킷에 포함되어 있는 IP 주소 및 MAC 주소를 IP-MAC 데이터베이스의 IP-MAC 주소쌍과 비교하는 비교부(820b)를 포함한다.
제어기(820)는 아웃바운드 패킷의 IP 주소 및 MAC 주소가 IP-MAC 데이터베이스와 일치하지 않는 경우 데이터 패킷을 스푸핑 패킷으로 판단하는 판단부(820c)를 포함한다. 또한, 제어기(820)는 스푸핑 패킷을 필터링하는 필터링부(820d)를 포함한다. 필터링부(820d)는 허용부(820e)와 차단부(820f), 화이트리스트(820h)를 포함하는데, 허용부(820e)는 스푸핑 패킷의 MAC 주소가 화이트리스트(820h)에 존재하는 경우 스푸핑 패킷이 외부 네트워크로 전송되는 것을 허용하고, 차단부(820f)는 스푸핑 패킷의 MAC 주소가 화이트리스트(820h)에 존재하지 않는 경우 스푸핑 패킷이 외부 네트워크로 전송되는 것을 차단한다. 또한, 제어기(820)는 IP-데이터 베이스에서 스푸핑 패킷의 MAC 주소에 대응하는 IP 주소를 조회하여 스푸퍼의 실제 IP 주소를 추적하는 추적부(820g) 를 더 포함할 수 있다.
본 실시형태의 모듈, 기능 블록들 또는 수단들은 전자 회로, 집적 회로, ASIC (Application Specific Integrated Circuit) 등 공지된 다양한 소자들로 구현될 수 있으며, 각각 별개로 구현되거나 2 이상이 하나로 통합되어 구현될 수 있다.
이상, 본 발명의 바람직한 실시형태가 설명되었지만, 본 발명은 이들 특정의 실시형태에 한정되지 않고, 후속하는 청구범위의 범주로부터 벗어나지 않고 다양한 변경 및 변형이 이루어질 수 있으며, 그것도 본 발명의 범주내에 속한다 할 것이다.

Claims (10)

  1. 하나 이상의 호스트의 IP 주소 및 MAC 주소가 포함된 정보 패킷을 수신하여 IP-MAC 데이터베이스를 구축하는 단계와;
    상기 호스트로부터 전송되는 아웃바운드(Out-Bound) 패킷에 포함된 IP 주소 및 MAC 주소를 상기 IP-MAC 데이터베이스 내의 IP-MAC 주소쌍과 비교하는 단계와;
    상기 아웃바운드 패킷의 IP 주소 및 MAC 주소가 상기 IP-MAC 데이터베이스 내의 IP-MAC 주소쌍과 일치하지 않는 경우 상기 아웃바운드 패킷을 스푸핑 패킷으로 판단하는 단계와;
    상기 스푸핑 패킷을 필터링하는 단계를 포함하는,
    스푸핑 방지 방법.
  2. 제 1 항에 있어서,
    상기 IP-MAC 데이터베이스에서 상기 스푸핑 패킷의 MAC 주소에 대응하는 IP 주소를 조회하여, 스푸퍼의 실제 IP 주소를 추적하는 단계를 더 포함하는
    스푸핑 방지 방법.
  3. 제 1 항에 있어서,
    상기 스푸핑 패킷을 필터링하는 단계는,
    상기 스푸핑 패킷의 MAC 정보가 화이트리스트에 존재하는 경우 상기 스푸핑 패킷의 전송을 허용하는 단계; 및
    상기 스푸핑 패킷의 MAC 정보가 화이트리스트에 존재하지 않는 경우 상기 스푸핑 패킷의 전송을 차단하는 단계를 포함하는
    스푸핑 방지 방법.
  4. 제 1 항에 있어서,
    상기 IP-MAC 데이터베이스를 구축하는 단계는,
    상기 하나 이상의 호스트 각각에 에이전트를 설치하는 단계와;
    상기 에이전트로부터 상기 정보 패킷을 수집하는 단계를 포함하는
    스푸핑 방지 방법.
  5. 제 4 항에 있어서,
    상기 정보 패킷을 수집하는 단계는,
    상기 하나 이상의 호스트 각각의 IP 주소 또는 MAC 주소가 변경되는지 여부를 상기 에이전트로 주기적으로 검사하는 단계; 및
    IP 주소 또는 MAC 주소가 변경된 경우 변경된 IP 주소 또는 변경된 MAC 주소가 포함된 정보 패킷을 수집하는 단계를 포함하는
    스푸핑 방지 방법.
  6. 스푸핑을 방지하기 위한 장치로서,
    하나 이상의 호스트 각각에 설치되어 대응하는 호스트의 IP 주소 및 MAC 주소가 포함된 정보 패킷을 송신하는 에이전트와,
    상기 에이전트로부터 상기 정보 패킷을 수집하여, 상기 수집한 정보 패킷에 기반하여 스푸핑 패킷을 검출하는 제어기를 포함하며,
    상기 제어기는,
    상기 에이전트로부터 수신한 정보 패킷을 분석하여 상기 하나 이상의 호스트의 IP 주소 및 MAC 주소를 포함하는 IP-MAC 데이터베이스를 구축하는 구축부와;
    호스트로부터 전송되는 아웃바운드 패킷에 포함된 IP 주소 및 MAC 주소를 상기 IP-MAC 데이터베이스 내의 IP-MAC 주소쌍과 비교하는 비교부와;
    상기 아웃바운드 패킷의 IP 주소 및 MAC 주소가 상기 IP-MAC 데이터베이스 내의 IP-MAC 주소쌍과 일치하지 않는 경우 상기 아웃바운드 패킷을 스푸핑 패킷으로 판단하는 판단부와;
    상기 스푸핑 패킷을 필터링하는 필터링부를 포함하는
    스푸핑 방지 장치.
  7. 제 6 항에 있어서,
    상기 제어기는,
    상기 IP-MAC 데이터베이스에서 상기 스푸핑 패킷의 MAC 주소에 대응하는 IP 주소를 조회하여, 스푸퍼의 실제 IP 주소를 추적하는 추적부를 더 포함하는
    스푸핑 방지 장치.
  8. 제 6 항에 있어서,
    상기 필터링부는,
    상기 스푸핑 패킷의 MAC 주소가 화이트리스트에 존재하는 경우 상기 스푸핑 패킷을 허용하는 허용부와;
    상기 스푸핑 패킷의 MAC 주소가 화이트리스트에 존재하지 않는 경우 상기 스푸핑 패킷을 차단하는 차단부를 포함하는
    스푸핑 방지 장치.
  9. 제 6 항에 있어서,
    상기 각 에이전트는,
    대응하는 호스트의 IP 주소 또는 MAC 주소가 변경되는지 여부를 주기적으로 검사하는 검사부를 포함하고,
    상기 각 에이전트는 IP 주소 또는 MAC 주소가 변경된 경우 변경된 IP 주소 또는 변경된 MAC 주소가 포함된 정보 패킷을 상기 제어기로 송신하는
    스푸핑 방지 장치.
  10. 스푸핑을 방지하기 위한 제어기로서,
    하나 이상의 호스트 각각에 설치된 에이전트로부터 상기 호스트의 IP주소 및 MAC 주소가 포함된 정보 패킷을 수신하여 상기 하나 이상의 호스트의 IP 주소 및 MAC 주소를 포함하는 IP-MAC 데이터베이스를 구축하는 구축부와;
    호스트로부터 전송되는 아웃바운드 패킷에 포함된 IP 정보 및 MAC 정보를 상기 IP-MAC 데이터베이스와 비교하는 비교부와;
    상기 아웃바운드 패킷의 IP 정보 및 MAC 정보가 상기 IP-MAC 데이터베이스와 일치하지 않는 경우 상기 아웃바운드 패킷을 스푸핑 패킷으로 판단하는 판단부와;
    상기 스푸핑 패킷을 필터링하는 필터링부를 포함하는
    스푸핑 방지 제어기.
PCT/KR2011/000231 2010-01-14 2011-01-13 스푸핑 방지 방법 및 장치 WO2011087285A2 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2010-0003462 2010-01-14
KR1020100003462A KR101080734B1 (ko) 2010-01-14 2010-01-14 스푸핑 방지 방법 및 장치

Publications (2)

Publication Number Publication Date
WO2011087285A2 true WO2011087285A2 (ko) 2011-07-21
WO2011087285A3 WO2011087285A3 (ko) 2011-12-01

Family

ID=44304814

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2011/000231 WO2011087285A2 (ko) 2010-01-14 2011-01-13 스푸핑 방지 방법 및 장치

Country Status (2)

Country Link
KR (1) KR101080734B1 (ko)
WO (1) WO2011087285A2 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20140325615A1 (en) * 2011-11-30 2014-10-30 British Telecommunications Public Limited Company Rogue access point detection

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20070081116A (ko) * 2007-02-09 2007-08-14 주식회사 코어세스 에이알피 스푸핑 자동 차단 장치 및 방법
KR20070112166A (ko) * 2005-02-18 2007-11-22 듀아키시즈 가부시키가이샤 통신 제어 장치
KR100807933B1 (ko) * 2006-11-28 2008-03-03 엘지노텔 주식회사 에이알피 스푸핑 감지 시스템 및 감지 방법과 그 방법이저장된 컴퓨터 판독가능 저장매체
KR100920528B1 (ko) * 2008-11-27 2009-10-09 (주)넷맨 Ａｒｐ 스푸핑 탐지 및 방어 방법 및 그에 따른 시스템

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3824274B2 (ja) 2004-07-09 2006-09-20 株式会社インテリジェントウェイブ 不正接続検知システム及び不正接続検知方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20070112166A (ko) * 2005-02-18 2007-11-22 듀아키시즈 가부시키가이샤 통신 제어 장치
KR100807933B1 (ko) * 2006-11-28 2008-03-03 엘지노텔 주식회사 에이알피 스푸핑 감지 시스템 및 감지 방법과 그 방법이저장된 컴퓨터 판독가능 저장매체
KR20070081116A (ko) * 2007-02-09 2007-08-14 주식회사 코어세스 에이알피 스푸핑 자동 차단 장치 및 방법
KR100920528B1 (ko) * 2008-11-27 2009-10-09 (주)넷맨 Ａｒｐ 스푸핑 탐지 및 방어 방법 및 그에 따른 시스템

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20140325615A1 (en) * 2011-11-30 2014-10-30 British Telecommunications Public Limited Company Rogue access point detection
US9603021B2 (en) * 2011-11-30 2017-03-21 British Telecommunications Public Limited Company Rogue access point detection

Also Published As

Publication number Publication date
KR20110083300A (ko) 2011-07-20
WO2011087285A3 (ko) 2011-12-01
KR101080734B1 (ko) 2011-11-07

Similar Documents

Publication Publication Date Title
KR100663546B1 (ko) 악성 봇 대응 방법 및 그 시스템
CN101030977B (zh) 用于防御非法通信的装置及其网络系统
KR101231975B1 (ko) 차단서버를 이용한 스푸핑 공격 방어방법
KR20060116741A (ko) 통신 네트워크에서 웜을 식별하여 무력화시키는 방법과장치
CN1968272B (zh) 通信网络中用于缓解拒绝服务攻击的方法和系统
JP2006512856A (ja) ＤｏＳ攻撃の検出及び追跡を行うシステム及び方法
KR20140093060A (ko) 지연시간 기반 역 접속 탐지 시스템 및 그 탐지 방법
KR20030021338A (ko) 네트워크간의 침입에 대응하기 위한 보안 시스템 및 그 방법
US7596808B1 (en) Zero hop algorithm for network threat identification and mitigation
AbdelSalam et al. An automated approach for preventing ARP spoofing attack using static ARP entries
KR20200109875A (ko) 유해 ip 판단 방법
KR101006372B1 (ko) 유해 트래픽 격리 시스템 및 방법
WO2002096028A1 (en) Network based intrusion detection system
WO2005026872A2 (en) Internal lan perimeter security appliance composed of a pci card and complementary software
JP3790486B2 (ja) パケット中継装置、パケット中継システムおよびオトリ誘導システム
JP2004248185A (ja) ネットワークベース分散型サービス拒否攻撃防御システムおよび通信装置
Waichal et al. Router attacks-detection and defense mechanisms
JP4641848B2 (ja) 不正アクセス探索方法及び装置
WO2011087285A2 (ko) 스푸핑 방지 방법 및 장치
JP4014599B2 (ja) 送信元アドレス偽装パケット検出装置、送信元アドレス偽装パケット検出方法、送信元アドレス偽装パケット検出プログラム
JP2004164107A (ja) 不正アクセス監視システム
WO2013089395A1 (ko) 시그니쳐 기반 무선 침입차단시스템
EP1866725B1 (en) Network attack detection
Zare et al. Techniques for detecting and preventing denial of service attacks (a systematic review approach)
JP2006033472A (ja) 不正アクセス検知装置

Legal Events

Date Code Title Description
NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205N DATED 20/09/2012)

122 Ep: pct application non-entry in european phase

Ref document number: 11733072

Country of ref document: EP

Kind code of ref document: A2