WO2011108877A2 - 클라이언트 가상화를 이용한 서버의 논리적 분리 시스템 및 방법 - Google Patents

클라이언트 가상화를 이용한 서버의 논리적 분리 시스템 및 방법 Download PDF

Info

Publication number
WO2011108877A2
WO2011108877A2 PCT/KR2011/001490 KR2011001490W WO2011108877A2 WO 2011108877 A2 WO2011108877 A2 WO 2011108877A2 KR 2011001490 W KR2011001490 W KR 2011001490W WO 2011108877 A2 WO2011108877 A2 WO 2011108877A2
Authority
WO
WIPO (PCT)
Prior art keywords
server
virtualization
client
client terminal
filter driver
Prior art date
Application number
PCT/KR2011/001490
Other languages
English (en)
French (fr)
Other versions
WO2011108877A3 (ko
Inventor
박희안
강경완
김광태
Original Assignee
주식회사 안철수연구소
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 안철수연구소 filed Critical 주식회사 안철수연구소
Priority to US13/582,609 priority Critical patent/US8713640B2/en
Publication of WO2011108877A2 publication Critical patent/WO2011108877A2/ko
Publication of WO2011108877A3 publication Critical patent/WO2011108877A3/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/46—Multiprogramming arrangements
    • G06F9/468—Specific access rights for resources, e.g. using capability register

Definitions

  • the present invention relates to a network separation system, and in particular, in a computer network system composed of a plurality of client terminals and a virtualized server, an authenticated client terminal is connected to a server only through a virtualization environment.
  • the present invention relates to a logical separation system and method of a server using client virtualization that enables a more effective protection of the server by allowing access.
  • Network separation technology consists of two or more networks separated according to purpose so that network packet data cannot be transmitted between the networks. Therefore, even if one network is damaged due to hacking or the like, the other network is not damaged.
  • Prior art related to network separation technology is disclosed in Korean Patent Publication No. 2007-111603 (published on November 22, 2007).
  • the above network separation technology may include logically separating and operating a server that stores important information among servers existing in the same corporate network as exists in another network.
  • the conventional network separation technique is a method of restricting access to the server through authentication of the client terminal when the client terminal accesses the server in a network where the client terminal and the server coexist rather than the concept of separating the server into a specific network. .
  • the present invention has been made in view of the above, and the server is virtualized in a network composed of a plurality of client terminals and servers, and a client terminal whose server access authority is authenticated can access the server only through a virtual environment.
  • a logical separation system of a server using client virtualization comprising: a client terminal including a virtual environment generating unit generating a virtual environment, a local storage unit, and a local from a process executed in the virtual environment.
  • a virtualization server including an authentication unit for authenticating the client terminal upon receiving an access request to a storage unit, and a server-side virtualization filter driver for allowing or blocking access to the local storage unit according to an authentication result of the client terminal;
  • a logical separation system of servers using client virtualization is provided.
  • a logical separation method of a server using client virtualization in a system including a client terminal including a client-side virtualization filter driver and a virtualization server including a server-side virtualization filter driver, Receiving, at the client-side virtualization filter driver, a connection request from the executed process to the virtualization server on the network; when the connection request is received through the virtual environment, perform authentication on the client terminal and perform the connection request. Transmitting the to the server-side virtualization filter driver, checking the authentication result for the client terminal in the server-side virtualization filter driver, and if the authentication result is confirmed, the process to the virtualization server.
  • a logical separation method of a server using client virtualization is provided, the method including allowing access of the server.
  • the present invention allows a client terminal to access a server only through a virtual environment in a network consisting of a plurality of client terminals and a virtualized server, and when a client terminal attempts to access a server, first authenticates the client terminal and then the server.
  • the connection request is sent.
  • the authentication information of the client terminal is checked once again so that only the client terminal having the right authority is allowed to access the server.
  • FIG. 1 is a block diagram of a logical separation system of a server using client virtualization according to an embodiment of the present invention.
  • FIG. 2 is an operation control flowchart for logical separation of a server according to an embodiment of the present invention.
  • FIG. 3 is an operation control flowchart for logical separation of a server according to another embodiment of the present invention.
  • FIG. 1 is a block diagram of a logical separation system of a server using client virtualization according to an embodiment of the present invention.
  • the system of the present invention includes a client terminal 100 and a virtualization server 150 installed with a virtualization filter driver 110.
  • the client terminal 100 includes a virtual environment generation unit 102 and a virtualization filter driver 110
  • the virtualization server 150 includes a virtualization filter driver 130, a local storage unit 132, an authentication unit 134, and
  • the authentication information DB 136 is included.
  • the virtualization environment 102 generated by the virtual environment generating unit 101 in the client terminal 100 is driven in a user mode of the client terminal 100, and the client terminal 100 is an intranet. It is a tool for accessing to a virtualized server 150 implemented in an in-house network such as (intranet).
  • the virtual environment 102 separates the virtualization server 150 to which the processes 104 and 106 in the client terminal 100 attempt to connect as if they exist on logically different networks so that the processes executed in the client terminal 100 may be servers. 150 to prevent access without any restrictions.
  • the virtual environment generation unit 101 In order for a user to access the virtualization server 150 through the client terminal 100, the virtual environment generation unit 101 generates a virtual environment 102, and the virtualization server 150 is generated within the created virtual environment 102. You must run a process 104, such as an explorer, that can access. When the process 106 such as the explorer is executed in the state where the virtual environment 102 is not created, the virtual server 150 does not appear on the explorer, for example, thereby making the connection to the virtual server 150 impossible. .
  • a process 104 such as an explorer
  • the virtualization filter driver 110 is a server connection control driver which is run in the kernel mode of the client terminal 100 and passes to the virtualization server 150 for all processes 104 and 106 that are executed in the client terminal 100. This will filter the connection.
  • the virtualization filter driver 110 may execute the virtual environment ( It is checked whether it is executed through 102 or not through the virtual environment 102.
  • the virtualization filter driver 110 transmits only the server connection request from the process 104 executed in the virtual environment 102 of the client terminal 100 to the server 150 on the network through authentication of the corresponding client terminal 100.
  • the connection request from the process 106 that is not through the virtual environment 102 is blocked.
  • the authentication unit ( An authentication server (134) requests authentication of whether the client terminal 100 is authorized to access the server 150.
  • the authentication unit 134 includes an authentication information DB (data base) 136 that stores authentication information for checking whether the client terminals 100 and 120 have access to the server.
  • the authenticator 134 is implemented as part of the virtualization server 150 in the present embodiment, the authentication unit 134 may be separated from the client terminal 100 and the virtualization server 150 and exist as an independent server.
  • the authentication unit 134 checks the authentication information DB 136 to perform authentication for the client terminal, and transmits the authentication result to the virtualization filter driver 110.
  • the virtualization filter driver 110 transmits a server connection request from the process 104 to the server 150, and authentication is normally performed. If not performed, it blocks the connection request from the process 104. Therefore, the server 150 is secured by blocking indiscriminate access from the unauthenticated client terminal 100 to the server 150 that stores important information.
  • the authentication unit 134 transmits the result of performing authentication on the client terminal 100 to the virtualization filter driver 130 as well as the virtualization filter driver 110.
  • the virtualization filter driver 130 When the virtualization filter driver 130 receives a connection request from the virtualization filter driver 110, the virtualization filter driver 130 receives the authentication result of the client terminal 100 from the authentication unit 134, and according to the authentication result, the server of the client terminal 100 ( Allow or block access to 150).
  • the authentication unit 134 confirms the authentication result of the provided client terminal 100 by performing authentication in advance.
  • the virtualization filter driver 130 allows a server connection of the corresponding client terminal 100 to provide a local storage provided on the server 150. Access to (132).
  • the virtualization filter driver 130 considers that the client terminal 100 does not have the server access authority and accesses the server of the client terminal 100. To block.
  • FIGS. 1 and 2 illustrates an operation control flow in a logical separation system of a server using client virtualization according to an embodiment of the present invention.
  • FIGS. 1 and 2 illustrates an operation control flow in a logical separation system of a server using client virtualization according to an embodiment of the present invention.
  • a process 104 such as a searcher capable of accessing the server 150 is executed to request the connection to the server 150.
  • connection request to the server 150 as described above is performed by the execution of the process 104 that can be connected to the server 150, and is transmitted to the virtualization filter driver 110.
  • the virtualization filter driver 110 is a server connection control driver that runs in the kernel mode of the client terminal 100 to filter the connection to the server 150 for all processes 104 and 106 executed in the client terminal 100. Perform.
  • the virtualization filter driver 110 Upon receiving the server 150 connection request, the virtualization filter driver 110 checks whether the process 104 is executed in the virtual environment 102 or the virtual environment 102 is not created ( S204). The virtualization filter driver 110 blocks the server 150 connection request from the process 106 through the virtual environment 102 (S206).
  • the client terminal 100 may access the server 150 by the authenticator 134.
  • the authentication is requested whether there is a right (S208).
  • the authentication unit 134 authenticates whether the server 150 has access authority with respect to the client terminal 100 requested for authentication, and then transmits the authentication result to the virtualization filter driver 110 (S210). At this time, the authentication result is also transmitted to the virtualization filter driver 130 (S212).
  • the authenticator 134 may be implemented as part of the virtualization server 150, or may be present separately from the client terminal 100 and the virtualization server 150 on the network.
  • the virtualization filter driver 110 checks the authentication result of the client terminal 100 transmitted from the authentication unit 134 (S214), and blocks the server connection request from the process 104 when authentication is not normally performed. (S216). When the authentication for the client terminal 100 is normally performed, the server access request is allowed from the process 104 (S218), and the server 150 transmits the access request to the server 150 on the network (S220).
  • connection request sent to the server 150 on the network is received by the virtualization filter driver 130.
  • the virtualization filter driver 130 checks the server access authority of the client terminal 100 once again using the authentication result provided from the authenticator 134.
  • the virtualization filter driver 130 checks the authentication result for the client terminal 100 that has requested the server connection provided from the authentication unit 134 (S222), and the client terminal 100 is not normally authenticated. If it is determined that the terminal is not authorized, the server connection of the client terminal 100 is blocked (S224).
  • the virtualization filter driver 130 allows the client terminal 100 to access the server (S226) and the server 150. Access to the local storage unit 132 is provided.
  • the client terminal 100 is connected to the server 150 (S228), for example, it is possible to use the necessary information among the information stored in the local storage unit 132 of the server 150.
  • FIGS. 1 and 3 are flowchart illustrating an operation control flow of blocking a server connection from a client terminal without a virtualization filter driver installed in a logical separation system of a server using client virtualization according to an exemplary embodiment of the present invention.
  • FIGS. 1 and 3 an embodiment of the present invention will be described in detail with reference to FIGS. 1 and 3.
  • the virtualization filter driver 130 checks whether there is an authentication result for the client terminal 120 requesting the server connection (S302). In this case, since the client terminal 120 requests a direct connection to the server in the state in which the virtualization filter driver 110 is not installed, the virtualization filter driver 130 does not have an authentication result for the client terminal 120. .
  • the virtualization filter driver 130 determines that the client terminal 120 does not have the server access right through the virtualization filter driver 110 to block the server connection (S304).
  • connection request to the server 150 of the process in the client terminals 100 and 120 may be regarded as the same as the connection request to the local storage unit 132 provided on the server.
  • the server is virtualized in a network composed of a plurality of client terminals and servers, so that the server can be accessed only through the virtual environment of the client terminal.
  • the client-side virtualization filter driver installed in the client terminal authenticates whether the client terminal has authority to access the server, and then authenticates the server with the server.
  • Send a connection request is received by a server side virtualization filter driver installed on the virtualized server.
  • the server-side virtualization filter driver checks the authentication information of the corresponding client terminal again through the authentication unit, and allows access to the server only to the client terminal having the right authority. It is possible to more effectively protect the server from the missing client terminal.

Abstract

클라이언트 가상화를 이용한 서버의 논리적 분리 시스템은 가상환경을 생성하는 가상환경 생성부를 포함하는 클라이언트 단말과; 로컬 저장부와, 가상환경에서 실행된 프로세스로부터 로컬 저장부로의 액세스 요청 수신 시 클라이언트 단말에 대한 인증을 수행하는 인증부와, 클라이언트 단말의 인증 결과에 따라 로컬 저장부로의 액세스를 허용 또는 차단하는 서버측 가상화 필터 드라이버를 구비하는 가상화 서버를 포함한다. 클라이언트 단말은, 클라이언트 단말의 가상환경에서 실행된 프로세스로부터의 로컬 저장부로의 액세스 요청을 가상화 서버로 전송하고, 가상환경을 통하지 않은 프로세스로부터의 로컬 저장부로의 액세스 요청은 차단시키는 클라이언트측 가상화 필터 드라이버를 더 포함한다.

Description

클라이언트 가상화를 이용한 서버의 논리적 분리 시스템 및 방법
본 발명은 네트워크 분리 시스템에 관한 것으로, 특히, 다수의 클라이언트(client) 단말과 가상화된 서버(virtualized server)로 구성되는 컴퓨터 네트워크 시스템에서, 인증된 클라이언트 단말이 가상환경(virtualization environment)을 통해서만 서버에 접속할 수 있도록 함으로써, 서버를 보다 효율적으로 보호할 수 있도록 하는 클라이언트 가상화를 이용한 서버의 논리적 분리 시스템 및 방법에 관한 것이다.
근래에 들어, 컴퓨터와 통신 기술의 급속한 발달로 인해 컴퓨터 및 컴퓨터 네트워크(computer network)의 광범위한 이용이 가능하게 되었다. 이에 따라, 공공기관이나 회사 등에서는 사내 네트워크뿐만 아니라 인터넷(internet)과 같은 외부 네트워크를 이용하여 업무 관련 정보 등을 관리하고 내부 또는 외부로 파일 등을 전송하고 있다. .
그러나, 인터넷과 같은 외부 네트워크는 외부의 공격에 쉽게 노출될 수 있기 때문에 공공기관이나 회사 등에서는 내부의 중요 정보에 대한 보안을 위해 사내 네트워크에 방화벽(firewall)을 추가로 설치하여 운용한다. 그러나, 방화벽이 설치되어 있을지라도, 방화벽을 우회하여 침투하는 액세스(access)는 방지할 수 없기 때문에 외부의 의도적인 공격으로부터 완벽하게 내부의 중요정보를 차단시키지는 못하고 있다.
이에 따라, 최근에는 사내 네트워크와 외부 네트워크를 분리하여 내부의 중요정보가 외부 네트워크로부터 공격받는 것을 방어하고자 하는 네트워크 분리 기술이 도입되고 있다.
네트워크 분리 기술은, 네트워크를 목적에 따라 구분된 두 가지 이상의 네트워크로 구성하여 각각의 네트워크 간에는 네트워크 패킷 데이터가 전달될 수 없도록 한 것이다. 따라서, 한쪽의 네트워크가 해킹 등의 이유로 피해를 입더라도 다른 쪽 네트워크에는 그 피해가 발생하지 않는다. 네트워크 분리 기술과 관련된 선행기술이 한국 공개 특허 제 2007-111603호(공개일: 2007.11.22) 에 개시되어 있다.
위와 같은 네트워크 분리 기술은 같은 사내 네트워크에 존재하는 서버들 중 중요한 정보를 저장하는 서버를 다른 네트워크에 존재하는 것처럼 논리적으로 분리하여 운영하는 것을 포함할 수 있다.
그러나, 종래의 네트워크 분리 기술은 서버를 특정 네트워크로 분리한다는 개념보다는 클라이언트 단말과 서버가 공존하는 네트워크에서 클라이언트 단말이 서버에 접속할 때 클라이언트 단말의 인증을 통해 서버로의 접근을 제한하는 방법들이 대부분이다.
이러한 종래의 방법들은 클라이언트를 서버에서 인증할 수 있는 방법을 제공해야 하고 클라이언트도 인증 정보를 만들 수 있어야 하므로, 일반적인 클라이언트들과 일반적인 서버에 범용적으로 적용할 수 없는 문제점이 있었다.
본 발명은 상기 점에 감안하여 이루어진 것으로써, 다수의 클라이언트 단말과 서버로 구성되는 네트워크에서 서버를 가상화하고 서버 접속 권한이 인증된 클라이언트 단말이 가상환경을 통해서만 서버에 접속할 수 있도록 함으로써, 서버를 보다 효율적으로 보호할 수 있도록 하는 클라이언트 가상화를 이용한 서버의 논리적 분리 시스템 및 방법을 제공한다.
본 발명에 제 1 측면에 따르면, 클라이언트 가상화를 이용한 서버의 논리적 분리 시스템으로서, 가상환경을 생성하는 가상환경 생성부를 포함하는 클라이언트 단말과, 로컬 저장부와, 상기 가상환경에서 실행된 프로세스로부터 상기 로컬 저장부로의 액세스 요청 수신 시 상기 클라이언트 단말에 대한 인증을 수행하는 인증부와, 상기 클라이언트 단말의 인증 결과에 따라 상기 로컬 저장부로의 액세스를 허용 또는 차단하는 서버측 가상화 필터 드라이버를 포함하는 가상화 서버를 포함하는 클라이언트 가상화를 이용한 서버의 논리적 분리 시스템이 제공된다.
본 발명에 제 2 측면에 따르면, 클라이언트측 가상화 필터 드라이버를 포함하는 클라이언트 단말과 서버측 가상화 필터 드라이버를 포함하는 가상화 서버를 포함하는 시스템에서 클라이언트 가상화를 이용한 서버의 논리적 분리 방법으로서, 상기 클라이언트 단말에서 실행된 프로세스로부터 네트워크상의 상기 가상화 서버로의 접속 요청을 상기 클라이언트측 가상화 필터 드라이버에서 수신하는 단계와, 상기 접속 요청이 가상환경을 통해 수신된 경우, 상기 클라이언트 단말에 대한 인증을 수행하고 상기 접속 요청을 상기 서버측 가상화 필터 드라이버로 전송하는 단계와, 상기 서버측 가상화 필터 드라이버에서 상기 클라이언트 단말에 대한 인증결과를 확인하는 단계와, 상기 인증 결과가 확인되는 경우, 상기 프로세스에 대해 상기 가상화 서버로의 접속을 허용하는 단계를 포함하는 클라이언트 가상화를 이용한 서버의 논리적 분리 방법이 제공된다.
본 발명은, 다수의 클라이언트 단말과 가상화된 서버로 구성되는 네트워크에서, 클라이언트 단말이 가상환경을 통해서만 서버에 접속할 수 있도록 하며, 클라이언트 단말의 서버로의 접속 시도 시 먼저 해당 클라이언트 단말을 인증한 후 서버로 접속 요청이 전송되도록 한다. 또한, 서버에서 클라이언트의 접속 요청을 수신 시 클라이언트 단말의 인증 정보를 한번 더 확인하여 정당한 권한을 가진 클라이언트 단말에게만 서버로의 접속이 허용되도록 한다. 이러한 구성에 의해, 본 발명은 가상화를 이용한 서버의 논리적 분리를 통해 권한이 없는 클라이언트 단말로부터 서버를 보다 효율적으로 보호할 수 있는 이점이 있다.
도 1은 본 발명의 실시 예에 따른 클라이언트 가상화를 이용한 서버의 논리적 분리 시스템의 구성도이다.
도 2는 본 발명의 실시 예에 따른 서버의 논리적 분리를 위한 동작 제어 흐름도 이다.
도 3은 본 발명의 다른 실시 예에 따른 서버의 논리적 분리를 위한 동작 제어 흐름도 이다.
이하, 첨부된 도면을 참조하여 본 발명의 동작 원리를 상세히 설명한다. 하기에서 본 발명을 설명함에 있어서 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략할 것이다. 그리고 후술되는 용어들은 본 발명에서의 기능을 고려하여 정의된 용어들로서 이는 사용자, 운용자의 의도 또는 관례 등에 따라 달라질 수 있다. 그러므로 그 정의는 본 명세서 전반에 걸친 내용을 토대로 내려져야 할 것이다.
도 1은 본 발명의 실시 예에 따른 클라이언트 가상화를 이용한 서버의 논리적 분리 시스템의 블록 구성도를 도시한 것이다.
도 1을 참조하면, 본 발명의 시스템은 가상화 필터 드라이버(110)가 설치된 클라이언트 단말(100) 및 가상화 서버(150)를 포함한다. 클라이언트 단말(100)은 가상환경 생성부(102) 및 가상화 필터 드라이버(110)을 포함하고, 가상화 서버(150)은 가상화 필터 드라이버(130), 로컬 저장부(132), 인증부(134) 및 인증정보 DB(136)를 포함한다.
클라이언트 단말(100) 내에서 가상환경 생성부(101)에 의해 생성되는 가상환경(virtualization environment)(102)은 클라이언트 단말(100)의 유저 모드(user mode)에서 구동되며 클라이언트 단말(100)이 인트라넷(intranet) 등의 사내 네트워크에 구현되는 가상화 서버(virtualized server)(150)로 접속(access)하기 위한 도구이다. 가상환경(102)은 클라이언트 단말(100) 내의 프로세스(104, 106)들이 접속하려 하는 가상화 서버(150)를 논리적으로 다른 네트워크 상에 존재하는 것처럼 분리시켜 클라이언트 단말(100)에서 실행되는 프로세스가 서버(150)로 아무런 제약 없이 접속하는 것을 방지시킨다.
사용자가 클라이언트 단말(100)을 통해 가상화 서버(150)에 접속하기 위해서는, 가상환경 생성부(101)에 의해 가상환경(102)을 생성시키고, 생성된 가상환경(102) 내에서 가상화 서버(150)에 접속할 수 있는 탐색기 등의 프로세스(process)(104)를 실행시켜야만 한다. 가상환경(102)이 생성되지 않은 상태에서 탐색기 등의 프로세스(106)를 실행시키게 되면 가상화 서버(150)가, 예를 들어, 탐색기 상에 나타나지 않게 되어 가상화 서버(150)로의 접속이 불가능하게 된다.
가상화 필터 드라이버(110)는 클라이언트 단말(100)의 커널 모드(kernel mode)에서 구동되는 서버 접속 제어 드라이버로서 클라이언트 단말(100)에서 실행되는 모든 프로세스(104, 106)에 대해 가상화 서버(150)로의 접속에 대한 필터링을 수행하게 된다.
구체적으로, 가상화 필터 드라이버(110)는 클라이언트 단말(100)에서 네트워크 상의 가상화 서버(150)로의 접속을 요청하는 프로세스(104 또는 106)가 실행되는 경우, 해당 프로세스(104 또는 106)가 가상환경(102)을 통해 실행된 것인지 또는 가상환경(102)을 통하지 않고 실행된 것인지를 검사한다. 가상화 필터 드라이버(110)는 클라이언트 단말(100)의 가상환경(102)에서 실행된 프로세스(104)로부터의 서버 접속 요청에 대해서만 해당 클라이언트 단말(100)의 인증을 통해 네트워크상의 서버(150)로 전송하고, 가상환경(102)을 통하지 않은 프로세스(106)로부터의 접속 요청은 차단시킨다.
위 인증 과정을 좀더 상세히 설명하면, 가상화 필터 드라이버(110)는 클라이언트 단말(100) 상의가상환경(102)에서 실행된 프로세스(104)로부터 가상화 서버(150)로의 접속이 요청되는 경우, 인증부(authentication server)(134)로 클라이언트 단말(100)이 서버(150)에 접속할 수 있는 권한이 있는지 여부에 대한 인증을 요청한다.
여기에서, 인증부(134)는 클라이언트 단말(100, 120)의 서버 접속 권한 여부를 검사하기 위한 인증 정보를 저장한 인증 정보 DB(data base)(136)를 구비한다. 본 실시예에서 인증부(134)는 가상화 서버(150)의 일부로서 구현되어 있지만, 클라이언트 단말(100)과 가상화 서버(150)와 분리되어 독립적인 서버로서 존재할 수도 있다.
상기의 인증 요청에 대해 인증부(134)는 인증 정보 DB(136)를 확인하여 클라이언트 단말에 대한 인증을 수행하고, 인증 결과를 가상화 필터 드라이버(110)로 전송한다.
인증부(134)에서 해당 클라이언트 단말(100)에 대한 인증이 정상적으로 수행된 경우, 가상화 필터 드라이버(110)는 프로세스(104)로부터의 서버 접속 요청을 서버(150)로 전송하게 되며, 인증이 정상적으로 수행되지 않은 경우 프로세스(104)로부터의 접속 요청을 차단시킨다. 따라서, 인증되지 않은 클라이언트 단말(100)로부터 중요한 정보를 저장하고 있는 서버(150)로의 무분별한 접속을 차단시켜 서버(150)를 안전하게 보호하게 된다.
인증부(134)는 클라이언트 단말(100)에 대한 인증을 수행한 결과를 가상화 필터 드라이버(110)뿐만 아니라 가상화 필터 드라이버(130)로도 전송한다.
가상화 필터 드라이버(130)는 가상화 필터 드라이버(110)로부터 접속 요청 수신 시, 인증부(134)로부터 클라이언트 단말(100)의 인증 결과를 수신하여, 인증 결과에 따라 해당 클라이언트 단말(100)의 서버(150)로의 접속을 허용 또는 차단시킨다.
즉, 가상화 필터 드라이버(130)는 가상화 필터 드라이버(110)로부터 서버 접속 요청을 수신하는 경우 인증부(134)에서 미리 인증 수행되어 제공된 클라이언트 단말(100)의 인증 결과를 확인한다.
가상화 필터 드라이버(130)는 클라이언트 단말(100)의 인증이 정상적으로 수행된 것으로 확인되는 경우, 해당 클라이언트 단말(100)의 서버 접속을 허용하여 서버(150)상에 구비되는 로컬 저장부(local disk)(132)에 접근할 수 있도록 한다.
그러나, 클라이언트 단말(100)의 인증이 정상적으로 수행되지 않은 것으로 확인되는 경우, 가상화 필터 드라이버(130)는 해당 클라이언트 단말(100)이 서버 접속 권한이 없는 것으로 간주하고 해당 클라이언트 단말(100)의 서버 접속을 차단시킨다.
도 2는 본 발명의 실시 예에 따른 클라이언트 가상화를 이용한 서버의 논리적 분리 시스템에서 동작 제어 흐름을 도시한 것이다. 이하, 도 1 및 도 2를 참조하여 본 발명의 실시 예를 상세히 설명하기로 한다.
먼저, 가상화 서버(150)와 네트워크로 연결되는 클라이언트 단말(100)을 이용하여 서버(150)에 접속하고자 하는 경우, 사용자는 클라이언트 단말(100)에서 가상환경을 생성하고(S200), 가상환경 내에서 서버(150)에 접속할 수 있는 탐색기 등의 프로세스(104)를 실행시켜 서버(150)로의 접속을 요청하게 된다(S202).
이때 위와 같은 서버(150)로의 접속 요청은 서버(150)로 접속할 수 있는 프로세스(104)의 실행에 의해 수행되며, 가상화 필터 드라이버(110)로 전송된다. 가상화 필터 드라이버(110)는 클라이언트 단말(100)의 커널 모드에서 구동되는 서버 접속 제어 드라이버로서 클라이언트 단말(100)에서 실행된 모든 프로세스(104, 106)에 대해 서버(150)로의 접속에 대한 필터링을 수행한다.
서버(150) 접속 요청을 수신한 가상화 필터 드라이버(110)는 해당 프로세스(104)가 가상환경(102) 내에서 실행된 것인지 가상환경(102)이 생성되지 않은 상태에서 실행된 것인지를 검사한다(S204). 가상화 필터 드라이버(110)는 가상환경(102)을 통하지 않은 프로세스(106)로부터의 서버(150) 접속 요청은 차단시킨다(S206).
검사 결과, 서버(150)로의 접속을 요청한 프로세스(104)가 가상환경(102)에서 실행된 프로세스로 판단되는 경우, 인증부(134)로 해당 클라이언트 단말(100)이 서버(150)에 접속할 수 있는 권한이 있는지 여부에 대한 인증을 요청하게 된다(S208).
이에 따라, 인증부(134)는 인증 요청된 클라이언트 단말(100)에 대해 서버(150)에 접속 권한이 있는지 여부를 인증한 후, 인증 결과를 가상화 필터 드라이버(110)로 전송한다(S210). 이때 위 인증 결과는 가상화 필터 드라이버(130)로도 전송된다(S212).
여기에서, 인증부(134)는 가상화 서버(150)의 일부로서 구현될 수도 있고, 네트워크상 클라이언트 단말(100)과 가상화 서버(150)와 분리되어 독립적으로 존재할 수도 있다.
가상화 필터 드라이버(110)는 인증부(134)로부터 전송되는 클라이언트 단말(100)에 대한 인증 결과를 확인하여(S214), 인증이 정상적으로 수행되지 않은 경우에는 프로세스(104)로부터의 서버 접속 요청을 차단시킨다(S216). 클라이언트 단말(100)에 대한 인증이 정상적으로 수행된 경우에는 프로세스(104)로부터의 서버 접속 요청을 허용하고(S218), 서버(150) 접속 요청을 네트워크상의 서버(150)로 전송한다(S220).
네트워크 상의 서버(150)로 전송된 접속 요청은 가상화 필터 드라이버(130)로 수신된다.
가상화 필터 드라이버(130)는 인증부(134)로부터 제공받은 인증 결과를 이용하여 다시 한번 클라이언트 단말(100)의 서버 접속 권한을 확인한다.
즉, 가상화 필터 드라이버(130)는 인증부(134)로부터 제공되는 서버 접속 요청한 클라이언트 단말(100)에 대한 인증 결과를 확인하여(S222), 해당 클라이언트 단말(100)이 정상적으로 인증이 수행되지 않은 접속 권한이 없는 단말인 것으로 판단되는 경우에는 해당 클라이언트 단말(100)의 서버 접속을 차단시킨다(S224).
그러나, 이와 달리 해당 클라이언트 단말(100)이 정상적으로 인증이 수행된 단말인 것으로 판단되는 경우에는, 가상화 필터 드라이버(130)는 해당 클라이언트 단말(100)의 서버 접속을 허용하여(S226) 서버(150) 상 구비되는 로컬 저장부(132)에 접근할 수 있도록 한다.
이에 따라, 클라이언트 단말(100)은 서버(150)에 접속하여(S228), 예를 들면, 서버(150)의 로컬 저장부(132)에 저장되어 있는 정보 중 필요한 정보를 사용할 수 있게 된다.
도 3은 본 발명의 실시 예에 따른 클라이언트 가상화를 이용한 서버의 논리적 분리 시스템에서 가상화 필터 드라이버가 설치되지 않은 클라이언트 단말로부터의 서버 접속을 차단시키는 동작 제어 흐름을 도시한 것이다. 이하, 도 1 및 도 3을 참조하여 본 발명의 실시 예를 상세히 설명하기로 한다.
먼저, 가상화 필터 드라이버(110)가 설치되지 않은 클라이언트 단말(120)로부터 서버 접속을 시도하는 프로세스(108)가 실행되는 경우, 프로세스(108)로부터의 서버 접속 요청은 가상화 필터 드라이버(110)를 거치지 않고, 곧바로 네트워크상의 가상화 서버(150)의 가상화 필터 드라이버(130)로 수신된다(S300).
가상화 필터 드라이버(130)는 서버 접속 요청한 클라이언트 단말(120)에 대한 인증 결과가 존재하는지를 확인한다(S302). 이때, 위 클라이언트 단말(120)은 가상화 필터 드라이버(110)가 설치되지 않은 상태에서 서버로 직접 접속 요청한 것이므로, 가상화 필터 드라이버(130)에는 해당 클라이언트 단말(120)에 대한 인증 결과가 존재하지 않게 된다.
이에 따라, 가상화 필터 드라이버(130)는 가상화 필터 드라이버(110)를 통하지 않은 위 클라이언트 단말(120)이 서버 접근 권한이 없는 것으로 판단하여 서버 접속을 차단시키게 된다(S304).
상기 실시예에 있어서 클라이언트 단말(100, 120) 내 프로세스의 서버(150)로의 접속 요청은, 곧 서버 상에 구비되는 로컬 저장부(132)로의 접속 요청과 동일한 것으로 볼 수 있다.
상기한 바와 같이 본 발명은 클라이언트 가상화를 이용한 서버의 논리적 분리에 있어서, 다수의 클라이언트 단말과 서버로 구성되는 네트워크에서 서버를 가상화하여 클라이언트 단말의 가상환경을 통해서만 서버에 접속할 수 있도록 구현한다. 클라이언트 단말의 가상환경 내에서 실행된 프로세스가 서버에 접속하려고 하는 경우, 클라이언트 단말에 설치되는 클라이언트측 가상화 필터 드라이버는 해당 클라이언트 단말이 서버에 접속할 수 있는 권한이 있는지 여부를 인증부로부터 인증 받은 후 서버로 접속 요청을 전송시킨다. 전송된 접속 요청은 가상화된 서버에 설치되는 서버측 가상화 필터 드라이버로 수신된다. 서버측 가상화 필터 드라이버는 해당 클라이언트 단말에 대한 인증 정보를 인증부를 통해 다시 확인하여, 정당한 권한을 가진 클라이언트 단말에게만 서버로의 접속을 허용한다.이와 같이, 가상화를 이용한 서버의 논리적 분리를 통해 권한이 없는 클라이언트 단말로부터 서버를 보다 효율적으로 보호할 수 있게 된다.
이상, 본 발명의 바람직한 실시형태가 설명되었지만, 본 발명은 이들 특정의 실시형태에 한정되지 않고, 후속하는 청구범위의 범주로부터 벗어나지 않고 다양한 변경 및 변형이 이루어질 수 있으며, 그것도 본 발명의 범주 내에 속한다 할 것이다.

Claims (10)

  1. 클라이언트 가상화를 이용한 서버의 논리적 분리 시스템으로서,
    가상환경을 생성하는 가상환경 생성부를 포함하는 클라이언트 단말과,
    로컬 저장부와, 상기 가상환경에서 실행된 프로세스로부터 상기 로컬 저장부로의 액세스 요청 수신 시 상기 클라이언트 단말에 대한 인증을 수행하는 인증부와, 상기 클라이언트 단말의 인증 결과에 따라 상기 로컬 저장부로의 액세스를 허용 또는 차단하는 서버측 가상화 필터 드라이버를 포함하는 가상화 서버를 포함하는
    클라이언트 가상화를 이용한 서버의 논리적 분리 시스템.
  2. 제 1 항에 있어서,
    상기 클라이언트 단말은,
    상기 클라이언트 단말의 가상환경에서 실행된 프로세스로부터의 상기 로컬 저장부로의 액세스 요청을 상기 가상화 서버로 전송하고, 상기 가상환경을 통하지 않은 프로세스로부터의 상기 로컬 저장부로의 액세스 요청은 차단시키는 클라이언트측 가상화 필터 드라이버를 더 포함하는
    클라이언트 가상화를 이용한 서버의 논리적 분리 시스템.
  3. 제 2 항에 있어서,
    상기 클라이언트측 가상화 필터 드라이버는,
    상기 가상환경에서 실행된 프로세스로부터 상기 로컬 저장부로의 액세스 요청 수신 시, 상기 인증부로 상기 클라이언트 단말에 대한 인증을 요청하고, 상기 인증부로부터 전송된 인증 결과에 따라 상기 클라이언트 단말에 대한 인증이 정상적으로 수행된 경우 상기 로컬 저장부로의 액세스 요청을 상기 서버측 가상화 필터 드라이버로 전송하며, 상기 인증이 정상적으로 수행되지 않은 경우 상기 로컬 저장부로의 액세스 요청을 차단시키는
    클라이언트 가상화를 이용한 서버의 논리적 분리 시스템.
  4. 제 2 항에 있어서,
    상기 클라이언트측 가상화 필터 드라이버는,
    상기 클라이언트 단말의 커널 모드에서 구동되는
    클라이언트 가상화를 이용한 서버의 논리적 분리 시스템.
  5. 제 2 항에 있어서,
    상기 인증부는,
    상기 클라이언트 단말의 인증 수행 시 상기 인증 결과를 상기 클라이언트측 가상화 필터 드라이버 및 상기 서버측 가상화 필터 드라이버로 제공하는
    클라이언트 가상화를 이용한 서버의 논리적 분리 시스템.
  6. 제 2 항에 있어서,
    상기 서버측 가상화 필터 드라이버는,
    상기 클라이언트측 가상화 필터 드라이버가 설치되지 않은 클라이언트 단말로부터 상기 서버 접속 요청 수신 시, 상기 클라이언트 단말에 대한 인증 결과의 유/무를 확인하여 상기 클라이언트 단말의 상기 서버 접속 요청을 차단시키는
    클라이언트 가상화를 이용한 서버의 논리적 분리 시스템.
  7. 클라이언트측 가상화 필터 드라이버를 포함하는 클라이언트 단말과 서버측 가상화 필터 드라이버를 포함하는 가상화 서버를 포함하는 시스템에서 클라이언트 가상화를 이용한 서버의 논리적 분리 방법으로서,
    상기 클라이언트 단말에서 실행된 프로세스로부터 네트워크상의 상기 가상화 서버로의 접속 요청을 상기 클라이언트측 가상화 필터 드라이버에서 수신하는 단계와,
    상기 접속 요청이 가상환경을 통해 수신된 경우, 상기 클라이언트 단말에 대한 인증을 수행하고 상기 접속 요청을 상기 서버측 가상화 필터 드라이버로 전송하는 단계와,
    상기 서버측 가상화 필터 드라이버에서 상기 클라이언트 단말에 대한 인증결과를 확인하는 단계와,
    상기 인증 결과가 확인되는 경우, 상기 프로세스에 대해 상기 가상화 서버로의 접속을 허용하는 단계를 포함하는
    클라이언트 가상화를 이용한 서버의 논리적 분리 방법.
  8. 제 7 항에 있어서,
    상기 접속 요청을 상기 서버측 가상화 필터 드라이버로 전송하는 단계는,
    상기 클라이언트측 가상화 필터 드라이버에서 상기 프로세스가 상기 가상환경에서 실행된 프로세스인지를 검사하는 단계와,
    상기 가상환경에서 실행된 프로세스인 경우, 상기 클라이언트 단말에 대한 인증을 수행하는 단계와,
    상기 클라이언트 단말이 인증된 경우, 상기 접속 요청을 상기 서버측 가상화 필터 드라이버로 전송하는 단계를 포함하는
    클라이언트 가상화를 이용한 서버의 논리적 분리 방법.
  9. 제 8 항에 있어서,
    상기 프로세스 검사단계에서,
    상기 프로세스가 상기 가상환경에서 실행된 프로세스가 아닌 경우, 상기 클라이언트측 가상화 필터 드라이버는 상기 프로세스로부터의 상기 접속 요청을 차단시키는
    클라이언트 가상화를 이용한 서버의 논리적 분리 방법.
  10. 제 7 항에 있어서,
    상기 클라이언트 단말에 대한 인증 결과 확인단계에서,
    상기 클라이언트 단말이 인증되지 않은 경우, 상기 서버측 가상화 필터 드라이버는, 상기 프로세스로부터의 상기 서버로의 접속을 차단시키는
    클라이언트 가상화를 이용한 서버의 논리적 분리 방법.
PCT/KR2011/001490 2010-03-05 2011-03-04 클라이언트 가상화를 이용한 서버의 논리적 분리 시스템 및 방법 WO2011108877A2 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US13/582,609 US8713640B2 (en) 2010-03-05 2011-03-04 System and method for logical separation of a server by using client virtualization

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020100019877A KR101089157B1 (ko) 2010-03-05 2010-03-05 클라이언트 가상화를 이용한 서버의 논리적 망분리 시스템 및 방법
KR10-2010-0019877 2010-03-05

Publications (2)

Publication Number Publication Date
WO2011108877A2 true WO2011108877A2 (ko) 2011-09-09
WO2011108877A3 WO2011108877A3 (ko) 2012-02-09

Family

ID=44542734

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2011/001490 WO2011108877A2 (ko) 2010-03-05 2011-03-04 클라이언트 가상화를 이용한 서버의 논리적 분리 시스템 및 방법

Country Status (3)

Country Link
US (1) US8713640B2 (ko)
KR (1) KR101089157B1 (ko)
WO (1) WO2011108877A2 (ko)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101290963B1 (ko) * 2012-03-26 2013-07-30 제주대학교 산학협력단 가상화 기반 망분리 시스템 및 방법
KR101373068B1 (ko) * 2012-08-27 2014-03-11 주식회사 신한은행 망분리 시스템, 망분리를 위한 더미 웹서버 및 망분리 방법
US9507949B2 (en) * 2012-09-28 2016-11-29 Intel Corporation Device and methods for management and access of distributed data sources
KR101394369B1 (ko) 2012-11-13 2014-05-13 주식회사 파수닷컴 가상 폴더를 이용한 보안 콘텐츠 관리 장치 및 방법
WO2014163256A1 (ko) * 2013-04-01 2014-10-09 주식회사 앤솔루션 가상 사설망을 이용한 네트워크 기반 망분리 시스템 및 방법
KR101480443B1 (ko) * 2013-09-17 2015-01-09 주식회사 하나은행 하이브리드 망 분리 시스템 및 그 방법
KR101498965B1 (ko) * 2014-06-27 2015-03-04 김영자 가상화 기술을 이용한 내외부망 격리 시스템 및 방법

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20070010023A (ko) * 2004-03-03 2007-01-19 프랑스 뗄레꽁(소시에떼 아노님) 서비스로의 액세스를 위해 가상 네트워크로의 액세스를가능하게 하는 클라이언트에 대한 인가 방법 및 시스템
KR20070058390A (ko) * 2007-03-23 2007-06-08 김용구 클라이언트 컴퓨터의 가상화와 서버 연동을 이용한 작업연속성과 일관성을 유지하는 시스템 및 그 방법
KR20070111603A (ko) * 2006-05-18 2007-11-22 이상규 클라이언트 및 서버의 보안시스템
KR20090027946A (ko) * 2007-09-13 2009-03-18 어울림정보기술주식회사 정보 자원 관리 시스템

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7461148B1 (en) * 2001-02-16 2008-12-02 Swsoft Holdings, Ltd. Virtual private server with isolation of system components
US6922774B2 (en) * 2001-05-14 2005-07-26 The United States Of America As Represented By The National Security Agency Device for and method of secure computing using virtual machines
ES2218484T3 (es) * 2002-03-26 2004-11-16 Soteres Gmbh Un metodo de proteger la integridad de un programa de ordenador.
US20050080982A1 (en) * 2003-08-20 2005-04-14 Vasilevsky Alexander D. Virtual host bus adapter and method
US8776050B2 (en) * 2003-08-20 2014-07-08 Oracle International Corporation Distributed virtual machine monitor for managing multiple virtual resources across multiple physical nodes
US8046837B2 (en) * 2005-08-26 2011-10-25 Sony Corporation Information processing device, information recording medium, information processing method, and computer program
KR20080085780A (ko) * 2007-03-20 2008-09-24 이상규 운영체제의 가상화 방법
KR101489301B1 (ko) * 2008-03-20 2015-02-06 삼성전자주식회사 가상환경 시스템 및 그의 구동방법
US20100274886A1 (en) * 2009-04-24 2010-10-28 Nelson Nahum Virtualized data storage in a virtualized server environment
US8090797B2 (en) * 2009-05-02 2012-01-03 Citrix Systems, Inc. Methods and systems for launching applications into existing isolation environments
US8824492B2 (en) * 2010-05-28 2014-09-02 Drc Computer Corporation Accelerator system for remote data storage

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20070010023A (ko) * 2004-03-03 2007-01-19 프랑스 뗄레꽁(소시에떼 아노님) 서비스로의 액세스를 위해 가상 네트워크로의 액세스를가능하게 하는 클라이언트에 대한 인가 방법 및 시스템
KR20070111603A (ko) * 2006-05-18 2007-11-22 이상규 클라이언트 및 서버의 보안시스템
KR20070058390A (ko) * 2007-03-23 2007-06-08 김용구 클라이언트 컴퓨터의 가상화와 서버 연동을 이용한 작업연속성과 일관성을 유지하는 시스템 및 그 방법
KR20090027946A (ko) * 2007-09-13 2009-03-18 어울림정보기술주식회사 정보 자원 관리 시스템

Also Published As

Publication number Publication date
US20120331522A1 (en) 2012-12-27
WO2011108877A3 (ko) 2012-02-09
KR101089157B1 (ko) 2011-12-02
KR20110100839A (ko) 2011-09-15
US8713640B2 (en) 2014-04-29

Similar Documents

Publication Publication Date Title
WO2011108877A2 (ko) 클라이언트 가상화를 이용한 서버의 논리적 분리 시스템 및 방법
CN101802837B (zh) 通过对设备的动态地址隔离来提供网络和计算机防火墙保护的系统和方法
US5826014A (en) Firewall system for protecting network elements connected to a public network
US6883098B1 (en) Method and computer system for controlling access by applications to this and other computer systems
CN105430011B (zh) 一种检测分布式拒绝服务攻击的方法和装置
KR101089154B1 (ko) 가상환경을 이용한 네트워크 기반 망분리 장치, 시스템 및 방법
KR100929916B1 (ko) 개인 휴대 단말기에서 접근 상황분석을 통한 중요정보외부유출 차단 시스템 및 방법
US20050138402A1 (en) Methods and apparatus for hierarchical system validation
CN1703867A (zh) 防火墙
WO2011008017A2 (ko) 호스트 기반의 네트워크 분리 장치 및 방법
WO2002078293A1 (en) Method and system for securely permitting mobile code to access network resources
CN110012016B (zh) 混合云环境中资源访问控制的方法及系统
WO2021112494A1 (ko) 엔드포인트에 기반한 관리형 탐지 및 대응 시스템과 방법
CN108833395B (zh) 一种基于硬件接入卡的外网接入认证系统及认证方法
KR101286978B1 (ko) 가상화를 이용한 다중망 연계장치 및 방법
WO2014030978A1 (ko) 이동식 저장매체 보안시스템 및 그 방법
WO2022169017A1 (ko) 데이터 보호 시스템
WO2020013354A1 (ko) 차량용 방화벽의 동작 방법
Duan et al. Architecture for Multilevel Secure System Design
CN115242730A (zh) 基于正向代理技术的安全式互联网接入方法及其系统
CN115378622A (zh) 访问控制方法、装置、设备及计算机程序产品
CN116155544A (zh) 一种船舶控制系统安全信息交互方法
EP1547340B1 (en) Method, system and computer program product for transmitting a media stream between client terminals
CN117375922A (zh) 一种基于软件定义边界的电力互联网络中对攻击主机的隐蔽监控的系统及方法
WO2016032233A2 (ko) 데이터 관리 방법, 이를 위한 컴퓨터 프로그램, 그 기록매체, 데이터 관리 방법을 실행하는 사용자 클라이언트, 보안 정책 서버

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 13582609

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205N DATED 13-11-12)

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11750934

Country of ref document: EP

Kind code of ref document: A2

122 Ep: pct application non-entry in european phase

Ref document number: 11750934

Country of ref document: EP

Kind code of ref document: A2