WO2016039491A1 - 패킷과 시그니처 기반의 침입 탐지 장치 및 침입 탐지 방법 - Google Patents

패킷과 시그니처 기반의 침입 탐지 장치 및 침입 탐지 방법 Download PDF

Info

Publication number
WO2016039491A1
WO2016039491A1 PCT/KR2014/008472 KR2014008472W WO2016039491A1 WO 2016039491 A1 WO2016039491 A1 WO 2016039491A1 KR 2014008472 W KR2014008472 W KR 2014008472W WO 2016039491 A1 WO2016039491 A1 WO 2016039491A1
Authority
WO
WIPO (PCT)
Prior art keywords
signature
packet
attack
signatures
intrusion detection
Prior art date
Application number
PCT/KR2014/008472
Other languages
English (en)
French (fr)
Inventor
이재복
박용철
김진구
Original Assignee
주식회사 코닉글로리
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 코닉글로리 filed Critical 주식회사 코닉글로리
Priority to PCT/KR2014/008472 priority Critical patent/WO2016039491A1/ko
Publication of WO2016039491A1 publication Critical patent/WO2016039491A1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks

Definitions

  • 1 is a conventional intrusion detection system.
  • packets are collected in real time through the packet collector 10, and a packet group classifying the collected packets on a 5-tuple basis is stored in a direct memory access controller (DMA) 20. do. Thereafter, the central processing unit 30 of the multicore structure reads the packet group from the DMA controller 20 and performs attack packet detection using the signature set stored in the memory unit 40.
  • the signature set refers to a rule or a set of signatures that are a standard for detecting a packet attack, and detects an attack packet using the same signature set in the multicore.
  • the intrusion detection apparatus of FIG. 1 considers only network traffic distribution and does not include a configuration corresponding to an increase in the number of signatures.
  • the intrusion detection apparatus of FIG. 1 supports multiprocessing using multicores, but all detection engines (cores) have the same signature set. In this case, a problem of degrading the performance of the device may occur.
  • An object of the present invention is to provide a packet and signature-based intrusion detection apparatus and an intrusion detection method for distributing and multiplying both packets and signatures.
  • an embodiment of the present invention provides a packet collecting unit for generating and classifying a packet transmitted through a network in real time to generate a plurality of packet groups, and a plurality of attack packet detections included in a signature set.
  • a memory portion for storing a plurality of signature subsets that classify signatures based on a predetermined criterion, wherein each signature subset includes one or more signatures that meet the criteria, and a plurality of cores to examine the packet group;
  • each core includes a central processing unit for detecting attack packets in the packet group based on the corresponding signature subset, and direct memory access (DMA) for storing and load-balancing the packet group to the plurality of cores.
  • DMA direct memory access
  • another embodiment of the present invention is a packet collector for generating and classifying packets transmitted through a network in real time to generate a plurality of packet groups, and a plurality of attack packets for detection included in a signature set.
  • a memory section for storing a plurality of signature subsets that classify signatures based on a predetermined criterion, wherein each signature subset includes one or more signatures that meet the criteria, and a plurality of core groups each processing the signature set; Wherein each core group includes a plurality of cores to process a corresponding subset of signatures, wherein the core groups use the same signature set and identify signature subsets corresponding to the plurality of cores in each core group.
  • a central processing unit for detecting attack packets in the packet group by using Storing a plurality of group packet and loading the plurality of core group proposes the intrusion detection unit of packet and a signature-based, including a DMA (direct memory access) to balance with one embodiment.
  • DMA direct memory access
  • another embodiment of the present invention comprises: generating a plurality of signature subsets by classifying a plurality of signatures for attack packet detection included in a signature set by a predetermined criterion, and transmitting a packet transmitted through a network. Generating a plurality of packet groups by collecting and classifying the collected packets in real time, load-balancing the packet groups to a plurality of core groups processing the signature subset, and wherein the plurality of core groups are identical
  • a method of detecting a packet and signature-based intrusion using a signature set, and each core in the core group using the signature subset detects an attack packet in the packet group.
  • the packet collector may generate a packet group by classifying the collected packets on an n-tuple basis.
  • the memory unit may include a first memory that stores the signature set and a second memory that stores the signature subset.
  • the criterion may be a first signature for checking a string of the packet or a second signature for checking at least one of an address, a frequency, and a time of the packet.
  • the reference may be an expected load of the central processing unit or the number of the first signature and the second signature when the attack packet is detected using the first signature and the second signature.
  • the intrusion detection apparatus can be easily configured according to the network capacity.
  • the maintenance cost can be reduced by minimizing the performance degradation of the intrusion detection device due to the increased signature and reducing the number of devices to cope with the leakage risk.
  • the intrusion detection device separately from the host computer, it is possible to reduce the cost of implementing the intrusion detection device.
  • 1 is a conventional intrusion detection system.
  • FIG. 2 is a packet and signature based intrusion detection apparatus according to an embodiment of the present invention.
  • FIG. 3 shows a detailed configuration of an intrusion detection apparatus according to an embodiment of the present invention.
  • FIG. 4 is a flowchart illustrating an attack packet detection method using multiple processing of a packet and a signature according to an embodiment of the present invention.
  • FIG. 5 shows a detailed configuration of an intrusion detection apparatus according to another embodiment of the present invention.
  • FIG. 6 is a flowchart illustrating an attack packet detection method using multiple processing of a packet and a signature according to another embodiment of the present invention.
  • first, second, and third are used to describe various parts, components, regions, layers, and / or sections, but are not limited thereto. These terms are only used to distinguish one part, component, region, layer or section from another part, component, region, layer or section. Accordingly, the first memory, core, and signature subset described below may be referred to as the second memory, core, and signature subset without departing from the scope of the present invention.
  • a signature is a criterion for detecting a packet attack predefined by a user
  • a signature set means a set of signatures, and a signature subset is included in the signature set. Refers to a set of classified signatures according to a predetermined criterion.
  • FIG. 2 is a packet and signature based intrusion detection apparatus according to an embodiment of the present invention.
  • the intrusion detection apparatus of FIG. 2 includes a packet collector 110 for collecting and classifying a packet transmitted through a network in real time, and a DMA (direct memory access) in which packets collected and classified through the packet collector 110 are stored.
  • 120 a central processing unit 130 of a multi-core structure supporting packet and signature-based multiprocessing, and a storage unit 140 storing one or more signature sets for attack packet detection.
  • a memory unit 150 for storing one or more signature subsets that classify the signature set on a predetermined basis.
  • the DMA 120 may further include a direct memory access controller (DMA) controller for controlling the bus between the central processing unit 130 and the DMA 120 to allow the central processing unit 130 to easily access packets. .
  • DMA direct memory access controller
  • FIGS. 3 and 5 are embodiments of the present invention.
  • FIG. 3 shows a detailed configuration of an intrusion detection apparatus according to an embodiment of the present invention.
  • the packet collector 210 may generate a plurality of packet groups by collecting and classifying packets transmitted through a network in real time.
  • the packet group classifies the collected packets into x groups based on n-tuple criteria. For example, when the collected packets are classified on a 5-tuple basis, a plurality of packet groups may be generated based on a transmission IP, a transmission port, a reception IP, a reception port, and a protocol. In addition, a plurality of packet groups may be generated on a 7-tuple basis.
  • the DMA 220 stores the packet group.
  • the DMA 220 may further include a direct memory access controller (DMA controller) so that the central processing unit 130 may easily access the packet, and the packet group may be included in a plurality of cores included in the central processing unit 230. It can be load-balanced.
  • DMA controller direct memory access controller
  • the DMA 220 may include a plurality of DMAs or DMA controllers corresponding to the plurality of cores, and the plurality of DMAs 220 or the DMA controllers may be included in the packet collector 210.
  • the central processing unit 230 may include a plurality of cores for inspecting attack packets in the plurality of packet groups read from the DMA controller. Also, a plurality of signature subsets may be generated by classifying a plurality of signatures for attack packet detection included in the signature set according to a predetermined criterion.
  • each core of the central processing unit 230 may detect an attack packet in the packet group based on the corresponding signature subset. For example, if the plurality of cores is n, the packet group is load-balanced evenly across n cores, and the n cores each attack in the packet group using the corresponding n signature subsets. The packet can be detected.
  • the central processing unit 230 may be configured to the signature set based on a first signature (or signature) for inspecting a string of packets and a second signature (or rule) for inspecting at least one of an address, frequency, and time of the packet.
  • the signatures included may be classified to generate one or more signature subsets. At this time, by performing a preliminary test for determining a signature causing an overload among the signatures, a warning can be separately delivered to a user or the number of cores corresponding to the overload-induced signature can be increased.
  • the central processing unit 230 may load the central processing unit 230 expected when detecting an attack packet in the packet group using the first signature and the second signature, or the first signature and the second signature.
  • the signatures in the signature subset may be reclassified in consideration of the number of.
  • the memory unit 250 serves to store the signature subsets.
  • a plurality of signatures for attack packet detection included in the signature set are stored in the storage unit (not shown in FIG. 3) separately, even when the intrusion detection apparatus according to an embodiment of the present invention is turned off. It can be preserved so as not to.
  • the signature subsets may be separately stored in the memory unit 250 to increase the reference speed of the CPU 230.
  • an intrusion detection apparatus corresponding to the network capacity can be configured, and the maintenance of the intrusion detection apparatus is easy by implementing the intrusion detection apparatus detachable from the host computer.
  • the intrusion detection device since the intrusion detection device is executed separately from the host computer, the specification of the host computer can be lowered, thereby reducing the design cost of the host computer and the intrusion detection device.
  • FIG. 4 is a flowchart illustrating an attack packet detection method using multiple processing of a packet and a signature according to an embodiment of the present invention.
  • the signatures stored in the storage are read through the central processing unit 230 and classified according to a predetermined criterion (S211), and one or more signature subsets are generated and stored in the memory unit 250 (S212).
  • the criteria for classifying the signatures may include a first signature for checking a string of packets or a second signature for checking at least one of an address, a frequency, and a time of the packet.
  • the signature subset in consideration of an expected load when the attack packet is detected using the first signature and the second signature through the central processing unit 230 or the number of the first signature and the second signature. It is possible to reclassify signatures included in the signature subset.
  • the packet transmitted through the network may be collected in real time using the packet collector 210 (S213).
  • the collected packets may be classified based on n-tuple to generate a plurality of packet groups (S214).
  • the packet group may be stored in the DMA 220 and may be load-balanced to a plurality of cores in the central processing unit 230 through the DMA controller (S215).
  • the CPU 230 may detect an attack packet in the packet group using the signature subset allocated to the packet group read from the DMA controller using the plurality of cores (S216).
  • attack packet detection result may be transmitted to the operator server (S217).
  • FIG. 5 shows a detailed configuration of an intrusion detection apparatus according to another embodiment of the present invention.
  • the packet collector 310 may generate a plurality of packet groups by collecting and classifying packets transmitted through a network in real time.
  • the packet group classifies the collected packets into x groups based on n-tuple criteria. For example, when the collected packets are classified on a 5-tuple basis, a plurality of packet groups may be generated based on a transmission IP, a transmission port, a reception IP, a reception port, and a protocol. In addition, a plurality of packet groups may be generated on a 7-tuple basis.
  • the DMA 320 stores the packet group.
  • the DMA 320 may further include a direct memory access controller (DMA controller) so that the central processing unit 330 may easily access the packet, and the plurality of core groups may be included in the central processing unit 330. Load-balance at 330-1 and 330-2.
  • DMA controller direct memory access controller
  • the DMA 320 may include a plurality of DMAs 320 or DMA controllers corresponding to the plurality of core groups 330-1 and 330-2, and a plurality of DMAs 320 or the DMA controllers. May be included in the packet collector 310.
  • the central processing unit 330 may detect attack packets in the plurality of packet groups read from the DMA controller, and may include one or more core groups including a plurality of cores for performing the attack packet detection. Also, a plurality of signature subsets may be generated by classifying a plurality of signatures for attack packet detection included in the signature set according to a predetermined criterion.
  • the core groups of the central processing unit 330 each use a corresponding signature set, and each core in the core group is included in the signature set and uses the corresponding signature subset to attack packets in the packet group. Can be detected. For example, when there is a first core group and a second core group each having k cores in the central processing unit 330, the packet group is transferred to the first core group and the second core group through DMA 320. Can be load-balanced evenly.
  • the first core group and the second core group use the same signature set, and the n cores in the first core group and the second core group are each included in the signature set to the first signature subset to nth.
  • the corresponding signature subset of the signature subset may be used to detect attack packets.
  • the central processing unit 330 is included in the signature set based on a first signature (or signature) that checks a string of packets and a second signature (or rule) that checks at least one of an address, frequency, and time of the packet. Signatures can be classified to generate one or more signature subsets. At this time, by performing a preliminary test for determining a signature causing an overload among the signatures, a warning can be separately delivered to a user or the number of cores corresponding to the overload-induced signature can be increased.
  • the central processing unit 330 loads the central processing unit 330 that is expected when detecting the attack packet in the packet group using the first signature and the second signature, or the first signature and the second signature.
  • the signatures in the signature subset may be reclassified in consideration of the number of.
  • the memory units 350-1 and 350-2 serve to store the signature subsets, and the core groups of the central processing unit 330 correspond to each core group such that they do not share the memory in which the signature subset is stored. It may include a plurality of memory units.
  • a plurality of signatures for attack packet detection included in the signature set are stored separately in a storage unit (not shown in FIG. 3), even when the intrusion detection apparatus according to an embodiment of the present invention is powered off. It can be preserved so as not to.
  • the signature subsets may be separately stored in the memory units 350-1 and 350-2 to increase the reference speed of the central processing unit 330.
  • the number of cores of the CPU 330 may be determined according to the number of packet groups and the number of signature subsets. For example, packets collected through the packet collector 310 are classified into five packet groups by 5-tuples, and a plurality of signatures for detecting attack packets included in the signature set by the central processing unit 330. If the classification results in four signature subsets, the number of cores required for multiprocessing can be 20.
  • each core group uses a corresponding signature set, and a plurality of cores in the core group each use a corresponding signature subset so that the attack packet detection rate of the intrusion detection device of FIG. It can increase the detection rate.
  • it is possible to flexibly cope with the performance degradation of the intrusion detection device due to the explosive signature due to various intrusion types in a large network environment.
  • FIG. 6 is a flowchart illustrating an attack packet detection method using multiple processing of a packet and a signature according to another embodiment of the present invention.
  • the signatures stored in the storage are read through the central processing unit 330 and classified according to a predetermined criterion (S311), and one or more signature subsets are generated and stored in the memory units 350-1 and 350-2 (S312). ).
  • the criteria for classifying the signatures may include a first signature for checking a string of packets or a second signature for checking at least one of an address, a frequency, and a time of the packet.
  • the signature subset in consideration of the expected load or the number of the first signature and the second signature when the attack packet is detected using the first signature and the second signature through the central processing unit 330. It is possible to reclassify signatures included in the signature subset.
  • the packet transmitted through the network may be collected in real time using the packet collector 310 (S313).
  • the collected packets may be classified based on n-tuple to generate a plurality of packet groups (S214).
  • the plurality of cores may be classified to correspond to the packet group through the central processing unit 330 (S315), and a plurality of core groups may be generated (S316).
  • the packet group may be stored in the DMA 320 and may be load-balanced in a plurality of core groups in the central processing unit 330 through the DMA controller (S317).
  • the core group of the central processing unit 330 uses the same signature set, and each core in the core group may detect an attack packet in the packet group using the corresponding signature subset (S318).
  • attack packet detection result may be transmitted to the operator server (S319).

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

패킷과 시그니처 기반의 침입 탐지 장치 및 침입 탐지 방법이 제공되며, 네트워크를 통해 전달되는 패킷을 실시간으로 수집하고 분류하여 복수의 패킷그룹을 생성하는 패킷수집부, 시그니처 세트에 포함되는 공격 패킷 탐지를 위한 복수의 시그니처를 소정 기준으로 분류한 복수의 시그니처 서브세트들- 각 시그니처 서브세트는 기준을 충족하는 하나 이상의 시그니처들을 포함함-을 저장하는 메모리부, 패킷그룹을 검사하는 복수의 코어를 포함하며, 각 코어는 대응하는 시그니처 서브세트를 기준으로 패킷그룹 내의 공격 패킷을 탐지하는 중앙처리부, 그리고 패킷그룹을 저장하고 상기 복수의 코어에 로드-밸런싱하는 DMA(direct memory access)포함한다.

Description

패킷과 시그니처 기반의 침입 탐지 장치 및 침입 탐지 방법
패킷과 시그니처 기반의 침입 탐지 장치 및 침입 탐지 방법이 제공된다.
네트워크 트래픽은 이미 수기가비트 급으로 확장되었으며 대규모 네트워크 환경에서 다양한 침입(새로운 공격 유형, 기존 공격 유형의 변이 등)에 유연하게 대응할 수 있도록 침입 탐지 시스템에서 처리하여야 할 사용자 정의 시그니처의 개수가 폭발적으로 증가하고 있다. 이에 따라 하나의 패킷에 대하여 시그니처 매칭 시간이 증가하게 되고 이로 인해 패킷의 지연현상이 발생한다. 따라서, 네트워크 트래픽 뿐만 아니라 침입 탐지 시스템에서 처리해야 할 시그니처 개수 역시 시스템의 성능을 결정하는 주요 요소로 작용하고 있으며 이에 따라 다양한 침입 탐지 및 방지 장치들이 개발되고 있다.
도 1은 종래 침입 탐지 시스템이다.
도 1에서 보면, 패킷 수집부(10)를 통해 실시간으로 패킷을 수집하고, 수집된 패킷을 5-튜플(tuple) 기준으로 분류한 패킷그룹을 DMA 컨트롤러(direct memory access controller)(20)에 저장한다. 이후 멀티코어 구조의 중앙처리부(30)에서 DMA 컨트롤러(20)로부터 상기 패킷그룹을 읽어들이고 메모리부(40)에 저장된 시그니처 세트를 이용하여 공격 패킷 탐지를 수행한다. 이때, 시그니처 세트란 패킷 공격을 탐지하는 기준이 되는 룰 또는 시그니처의 집합을 의미하며, 상기 멀티코어에서 동일한 시그니처 세트를 이용하여 공격 패킷을 탐지한다.
그러나, 도 1의 침입 탐지 장치는 네트워크 트래픽 분산만을 고려하고 있을 뿐 시그니처 개수 증가에 대응하는 구성은 포함하지 않으며, 멀티코어를 이용한 다중처리를 지원하고 있으나, 모든 탐지엔진(코어)이 동일한 시그니처 세트를 이용한다는 점에서 장치의 성능이 저하되는 문제가 발생할 수 있다.
본 발명의 일 실시예가 해결하려는 과제는 패킷과 시그니처를 모두 분산하여 다중처리하는 패킷과 시그니처 기반의 침입 탐지 장치 및 침입 탐지 방법을 제공하는 것이다.
상기 과제 이외에도 구체적으로 언급되지 않은 다른 과제를 달성하는 데 본 발명에 따른 실시예가 사용될 수 있다.
상기 과제를 해결하기 위해 본 발명의 일 실시예는, 네트워크를 통해 전달되는 패킷을 실시간으로 수집하고 분류하여 복수의 패킷그룹을 생성하는 패킷수집부, 시그니처 세트에 포함되는 공격 패킷 탐지를 위한 복수의 시그니처를 소정 기준으로 분류한 복수의 시그니처 서브세트들-상기 각 시그니처 서브세트는 상기 기준을 충족하는 하나 이상의 시그니처들을 포함함-을 저장하는 메모리부, 상기 패킷그룹을 검사하는 복수의 코어를 포함하며, 상기 각 코어는 대응하는 상기 시그니처 서브세트를 기준으로 상기 패킷그룹 내의 공격 패킷을 탐지하는 중앙처리부, 그리고 상기 패킷그룹을 저장하고 상기 복수의 코어에 로드-밸런싱하는 DMA(direct memory access)를 포함하는 패킷과 시그니처 기반의 침입 탐지 장치를 일 실시예로 제안한다.
상기 과제를 해결하기 위해 본 발명의 다른 실시예는, 네트워크를 통해 전달되는 패킷을 실시간으로 수집하고 분류하여 복수의 패킷그룹을 생성하는 패킷수집부, 시그니처 세트에 포함되는 공격 패킷 탐지를 위한 복수의 시그니처를 소정 기준으로 분류한 복수의 시그니처 서브세트들-상기 각 시그니처 서브세트는 상기 기준을 충족하는 하나 이상의 시그니처들을 포함함-을 저장하는 메모리부, 상기 시그니처 세트를 각각 처리하는 복수의 코어 그룹-상기 각 코어 그룹은 대응하는 시그니처 서브세트를 처리하는 복수의 코어를 포함함-을 포함하며, 상기 코어 그룹들은 동일한 시그니처 세트를 이용하고, 상기 각 코어 그룹 내의 복수의 코어에 대응하는 시그니처 서브세트를 이용하여 상기 패킷그룹 내의 공격 패킷을 탐지하는 중앙처리부, 그리고 상기 복수의 패킷그룹을 저장하고 상기 복수의 코어그룹에 로드-밸런싱하는 DMA(direct memory access)를 포함하는 패킷과 시그니처 기반의 침입 탐지 장치를 일 실시예로 제안한다.
상기 과제를 해결하기 위해 본 발명의 다른 실시예는, 시그니처 세트에 포함되는 공격 패킷 탐지를 위한 복수의 시그니처를 소정 기준으로 분류하여 복수의 시그니처 서브세트를 생성하는 단계, 네트워크를 통해 전달되는 패킷을 실시간으로 수집하고 수집된 패킷을 분류하여 복수의 패킷그룹을 생성하는 단계, 상기 시그니처 서브세트를 처리하는 복수의 코어그룹에 상기 패킷그룹을 로드-밸런싱하는 단계, 그리고 상기 복수의 코어그룹들은 동일한 상기 시그니처 세트를 이용하고, 상기 코어그룹 내의 각 코어들은 상기 시그니처 서브세트를 이용하여 상기 패킷그룹 내의 공격 패킷을 탐지하는 단계를 포함하는 패킷과 시그니처 기반의 침입 탐지 방법을 일 실시예로 제안한다.
여기서, 상기 패킷수집부는 수집된 패킷을 n-튜플(tuple) 기준으로 분류하여 패킷 그룹을 생성할 수 있다.
또한, 상기 메모리부는 상기 시그니처 세트를 저장하는 제1 메모리와 상기 시그니처 서브세트를 저장하는 제2 메모리를 포함할 수 있다.
또한, 상기 기준은 상기 패킷의 문자열을 검사하는 제1 시그니처, 또는 상기 패킷의 주소, 빈도, 시간 중에서 적어도 하나 이상을 검사하는 제2 시그니처일 수 있다.
또한, 상기 기준은 상기 기준은 상기 제1 시그니처와 상기 제2 시그니처를 이용하여 공격 패킷을 탐지할 경우 상기 중앙처리부의 예상부하, 또는 상기 제1 시그니처와 제2 시그니처의 개수일 수 있다.
본 발명의 일 실시예에 의하면 네트워크 용량에 따라 침입 탐지 장치를 용이하게 구성할 수 있다. 또한, 시그니처 증가에 따른 침입 탐지 장치의 성능 저하를 최소화하고 누수위험에 대응하기 위한 장치의 증설을 절감함으로써 유지보수 비용을 절감할 수 있다. 또한, 침입 탐지 장치를 호스트 컴퓨터와 별도로 구현함으로써 침입 탐지 장치 구현 비용을 절감할 수 있다.
도 1은 종래 침입 탐지 시스템이다.
도 2는 본 발명의 일 실시예에 따른 패킷과 시그니처 기반의 침입 탐지 장치이다.
도 3은 본 발명의 일 실시예에 따른 침입 탐지 장치의 상세 구성을 나타낸다.
도 4는 본 발명의 일 실시예에 따른 패킷과 시그니처의 다중처리를 이용한 공격 패킷 탐지 방법을 나타내는 순서도이다.
도 5는 본 발명의 다른 일 실시예에 따른 침입 탐지 장치의 상세 구성을 나타낸다.
도 6은 본 발명의 다른 일 실시예에 따른 패킷과 시그니처의 다중처리를 이용한 공격 패킷 탐지 방법을 나타내는 순서도이다.
아래에서는 첨부한 도면을 참고로 하여 본 발명의 실시예들을 상세히 설명한다. 도면에서 본 발명을 명확하게 설명하기 위해 설명과 관계없는 부분은 생략한다.
명세서 전체에서 제1, 제2 및 제3 등의 용어들은 다양한 부분, 성분, 영역, 층 및/또는 섹션들을 설명하기 위해 사용되나 이에 한정되지 않는다. 이들 용어들은 어느 부분, 성분, 영역, 층 또는 섹션을 다른 부분, 성분, 영역, 층 또는 섹션과 구별하기 위해서만 사용된다. 따라서, 이하에서 서술하는 제1 메모리, 코어, 시그니처 서브세트는 본 발명의 범위를 벗어나지 않는 범위 내에서 제2 메모리, 코어, 시그니처 서브세트로 언급될 수 있다.
명세서 전체에서 어떤 부분이 어떤 구성요소를 "포함"한다고 할 때, 이는 특별히 반대되는 기재가 없는 한 다른 구성요소를 제외하는 것이 아니라 다른 구성요소를 더 포함할 수 있는 것을 의미한다. 또한, 명세서에 기재된 "…부", "모듈" 등의 용어는 적어도 하나 이상의 기능이나 동작을 처리하는 단위를 의미하며, 이는 하드웨어나 소프트웨어 또는 하드웨어 및 소프트웨어의 결합으로 구현될 수 있다.
명세서 전체에서 시그니처(signature)는 사용자에 의해 미리 정의된 패킷 공격을 탐지하는 기준이며, 시그니처 세트(signature set)는 상기 시그니처들의 집합을 의미하고, 시그니처 서브세트(signature subset)는 상기 시그니처 세트에 포함되는 시그니처들을 소정 기준에 따라 분류한 집합을 의미한다.
도 2는 본 발명의 일 실시예에 따른 패킷과 시그니처 기반의 침입 탐지 장치이다.
도 2의 침입 탐지 장치는, 네트워크를 통해 전달되는 패킷을 실시간으로 수집하여 분류하는 패킷수집부(110), 패킷수집부(110)를 통해 수집 및 분류된 패킷들이 저장되는 DMA(direct memory access)(120), 패킷과 시그니처(signature) 기반의 다중처리를 지원하는 다중-코어(multi-core) 구조의 중앙처리부(130), 공격 패킷 탐지를 위한 하나 이상의 시그니처 세트를 저장하는 스토리지부(140), 그리고 상기 시그니처 세트를 소정 기준으로 분류한 하나 이상의 시그니처 서브세트를 저장하는 메모리부(150)를 포함할 수 있다. 이때, DMA(120)는 중앙처리부(130)과 DMA(120) 사이의 버스를 제어하여 중앙처리부(130)가 패킷에 접근이 용이하도록 하는 DMA 컨트롤러(direct memory access controller)를 더 포함할 수 있다.
도 2의 침입 탐지 장치의 각 구성에 대한 상세한 설명은 본 발명의 일 실시예인 도 3과 도 5에서 자세히 설명한다.
도 3은 본 발명의 일 실시예에 따른 침입 탐지 장치의 상세 구성을 나타낸다.
도 3에서 패킷수집부(210)는 네트워크를 통해 전달되는 패킷을 실시간으로 수집하고 분류하여 복수의 패킷그룹을 생성할 수 있다. 이때, 상기 패킷그룹은 수집된 패킷을 n-튜플(tuple) 기준에 의해 x개의 그룹으로 분류한 것이다. 일례로, 수집된 패킷을 5-튜플 기준으로 분류할 경우, 송신 IP, 송신 Port, 수신 IP, 수신 Port, 프로토콜을 기준으로 복수의 패킷그룹을 생성할 수 있으며, 누적 패킷 수, 누적 바이트 수를 추가하여 7-튜플 기준으로 복수의 패킷그룹을 생성할 수도 있다.
DMA(220)는 상기 패킷그룹을 저장하는 역할을 한다. 이때, DMA(220)는 중앙처리부(130)가 패킷에 접근하기 용이하도록 DMA 컨트롤러(direct memory access controller)를 더 포함할 수 있으며, 상기 패킷그룹을 중앙처리부(230)에 포함되는 복수의 코어에 로드-밸런싱할 수 있다.
또한, DMA(220)는 상기 복수의 코어에 대응하는 복수의 DMA, 또는 DMA 컨트롤러를 포함할 수 있으며, 복수의 DMA(220), 또는 상기 DMA 컨트롤러는 패킷수집부(210)에 포함될 수 있다.
중앙처리부(230)는 상기 DMA 컨트롤러부터 읽어온 상기 복수의 패킷그룹 내의 공격 패킷을 검사하는 복수의 코어를 포함할 수 있다. 또한, 시그니처 세트에 포함되는 공격 패킷 탐지를 위한 복수의 시그니처를 소정 기준으로 분류하여 복수의 시그니처 서브세트를 생성할 수 있다.
이때, 중앙처리부(230)의 상기 각 코어는 대응하는 시그니처 서브세트를 기준으로 상기 패킷그룹 내의 공격 패킷을 탐지할 수 있다. 예를 들어, 상기 복수의 코어가 n개 일 경우, 상기 패킷그룹은 n개의 코어에 균등하게 로드-밸런싱되며, 상기 n개의 코어는 각각 대응하는 n개의 시그니처 서브세트를 이용하여 상기 패킷그룹 내의 공격 패킷을 탐지할 수 있다.
또한, 중앙처리부(230)는 패킷의 문자열을 검사하는 제1 시그니처(또는 시그니처)와 패킷의 주소, 빈도, 시간 중에서 적어도 하나 이상을 검사하는 제2 시그니처(또는 룰)를 기준으로 상기 시그니처 세트에 포함되는 시그니처를 분류하여 하나 이상의 시그니처 서브세트를 생성할 수 있다. 이때, 상기 시그니처 중에서 과부하를 유발하는 시그니처를 판별하는 선행검사를 수행함으로써 사용자에게 별도로 경고를 전달하거나 상기 과부하 유발 시그니처에 대응되는 코어의 개수를 증가시킬 수 있다.
또한, 중앙처리부(230)는 상기 제1 시그니처와 상기 제2 시그니처를 이용하여 상기 패킷그룹 내의 공격 패킷을 탐지할 경우 예상되는 중앙처리부(230)의 부하나, 상기 제1 시그니처와 상기 제2 시그니처의 개수를 고려하여 상기 시그니처 서브세트 내의 시그니처들을 재분류할 수 있다.
메모리부(250)는 상기 시그니처 서브세트들을 저장하는 역할을 한다. 이때, 시그니처 세트에 포함되는 공격 패킷 탐지를 위한 복수의 시그니처는 스토리지부(도 3에 도시되지 않음)에 별도로 저장함으로써 본 발명의 일 실시예에 따른 침입 탐지 장치의 전원이 오프(off)되더라도 손실되지 않도록 보존할 수 있다. 또한, 상기 시그니처 서브세트들은 메모리부(250)에 별도로 저장함으로써 중앙처리부(230)의 참조속도를 높일 수 있다.
이처럼 본 발명의 일 실시예에 따르면 네트워크 용량에 대응하는 침입 탐지 장치의 구성할 수 있으며, 호스트 컴퓨터에 탈부착하는 침입 탐지 장치를 구현함으로써 침입 탐지 장치의 유지보수가 용이하다. 또한, 침입 탐지 장치가 호스트 컴퓨터와 별도로 실행되기 때문에 호스트 컴퓨터의 사양을 낮출 수 있으며 이로 인해 호스트 컴퓨터 및 침입 탐지 장치의 설계 비용을 절감할 수 있다.
도 4는 본 발명의 일 실시예에 따른 패킷과 시그니처의 다중처리를 이용한 공격 패킷 탐지 방법을 나타내는 순서도이다.
먼저, 중앙처리부(230)를 통해 스토리지에 저장된 시그니처들을 읽어들여 소정 기준에 따라 분류하고(S211), 하나 이상의 시그니처 서브세트를 생성하여 메모리부(250)에 저장한다(S212). 이때, 상기 시그니처들을 분류하는 기준은 패킷의 문자열을 검사하는 제1 시그니처, 또는 패킷의 주소, 빈도, 시간 중에서 적어도 하나 이상을 검사하는 제2 시그니처를 포함할 수 있다.
또한, 중앙처리부(230)를 통해 상기 제1 시그니처와 제2 시그니처를 이용하여 공격 패킷을 탐지할 경우 예상되는 부하, 또는 상기 제1 시그니처와 제2 시그니처의 개수를 고려하여 상기 시그니처 서브세트 내에서 상기 시그니처 서브세트에 포함되는 시그니처들을 재분류할 수 있다.
이후, 패킷 수집부(210)를 이용하여 네트워크를 통해 전달되는 패킷을 실시간으로 수집할 수 있다(S213).
수집된 패킷들은 n-튜플 기준으로 분류하여 복수의 패킷그룹을 생성할 수 있다(S214). 이때, 상기 패킷그룹은 DMA(220)에 저장되고, DMA 컨트롤러를 통해 중앙처리부(230) 내에 복수의 코어에 로드-밸런싱할 수 있다(S215).
이후, 중앙처리부(230)는 상기 복수의 코어를 이용하여 DMA 컨트롤러로부터 읽어온 패킷그룹을 대상으로 할당된 상기 시그니처 서브세트를 이용하여 상기 패킷그룹 내에 공격 패킷을 탐지할 수 있다(S216).
마지막으로, 공격 패킷 탐지 결과를 운영자 서버로 전송할 수 있다(S217).
도 5는 본 발명의 다른 일 실시예에 따른 침입 탐지 장치의 상세 구성을 나타낸다.
도 5에서 패킷수집부(310)는 네트워크를 통해 전달되는 패킷을 실시간으로 수집하고 분류하여 복수의 패킷그룹을 생성할 수 있다. 이때, 상기 패킷그룹은 수집된 패킷을 n-튜플(tuple) 기준에 의해 x개의 그룹으로 분류한 것이다. 일례로, 수집된 패킷을 5-튜플 기준으로 분류할 경우, 송신 IP, 송신 Port, 수신 IP, 수신 Port, 프로토콜을 기준으로 복수의 패킷그룹을 생성할 수 있으며, 누적 패킷 수, 누적 바이트 수를 추가하여 7-튜플 기준으로 복수의 패킷그룹을 생성할 수도 있다.
DMA(320)는 상기 패킷그룹을 저장하는 역할을 한다. 이때, DMA(320)는 중앙처리부(330)가 패킷에 접근하기 용이하도록 DMA 컨트롤러(direct memory access controller)를 더 포함할 수 있으며, 상기 패킷그룹을 중앙처리부(330)에 포함되는 복수의 코어그룹(330-1, 330-2)에 로드-밸런싱할 수 있다.
또한, DMA(320)는 복수의 코어그룹(330-1, 330-2)에 대응하는 복수의 DMA(320), 또는 DMA 컨트롤러를 포함할 수 있으며, 복수의 DMA(320), 또는 상기 DMA 컨트롤러는 패킷수집부(310)에 포함될 수 있다.
중앙처리부(330)는 상기 DMA 컨트롤러부터 읽어온 상기 복수의 패킷그룹 내의 공격 패킷을 탐지하는 역할을 하며, 상기 공격 패킷 탐지를 수행하는 복수의 코어를 포함하는 하나 이상의 코어그룹을 포함할 수 있다. 또한, 시그니처 세트에 포함되는 공격 패킷 탐지를 위한 복수의 시그니처를 소정 기준으로 분류하여 복수의 시그니처 서브세트를 생성할 수 있다.
이때, 중앙처리부(330)의 상기 코어그룹들은 각각 대응하는 시그니처 세트를 이용하고, 상기 코어그룹 내의 각각의 코어들은 상기 시그니처 세트 내에 포함되며 대응하는 시그니처 서브세트를 이용하여 상기 패킷그룹 내의 공격 패킷을 탐지할 수 있다. 예를 들어, 중앙처리부(330) 내에 각각 k개의 코어를 포함하는 제1 코어그룹과 제2 코어그룹이 존재할 경우, DMA(320)를 통해 상기 패킷그룹을 상기 제1 코어그룹과 제2 코어그룹에 균등하게 로드-밸런싱할 수 있다. 또한, 상기 제1 코어그룹과 제2 코어그룹은 동일한 시그니처 세트를 이용하며, 상기 제1 코어그룹과 제2 코어그룹 내의 n개의 코어들은 각각 상기 시그니처 세트에 포함되는 제1 시그니처 서브세트 내지 제n 시그니처 서브세트 중에서 대응하는 시그니처 서브세트를 이용하여 공격 패킷을 탐지할 수 있다.
중앙처리부(330)는 패킷의 문자열을 검사하는 제1 시그니처(또는 시그니처)와 패킷의 주소, 빈도, 시간 중에서 적어도 하나 이상을 검사하는 제2 시그니처(또는 룰)를 기준으로 상기 시그니처 세트에 포함되는 시그니처를 분류하여 하나 이상의 시그니처 서브세트를 생성할 수 있다. 이때, 상기 시그니처 중에서 과부하를 유발하는 시그니처를 판별하는 선행검사를 수행함으로써 사용자에게 별도로 경고를 전달하거나 상기 과부하 유발 시그니처에 대응되는 코어의 개수를 증가시킬 수 있다.
또한, 중앙처리부(330)는 상기 제1 시그니처와 상기 제2 시그니처를 이용하여 상기 패킷그룹 내의 공격 패킷을 탐지할 경우 예상되는 중앙처리부(330)의 부하나, 상기 제1 시그니처와 상기 제2 시그니처의 개수를 고려하여 상기 시그니처 서브세트 내의 시그니처들을 재분류할 수 있다.
메모리부(350-1, 350-2)는 상기 시그니처 서브세트들을 저장하는 역할을 하며, 중앙처리부(330)의 코어그룹들이 상기 시그니처 서브세트가 저장된 메모리를 공유하지 않도록 각각의 코어그룹에 대응하는 복수의 메모리부를 포함할 수 있다.
또한, 시그니처 세트에 포함되는 공격 패킷 탐지를 위한 복수의 시그니처는 스토리지부(도 3에 도시되지 않음)에 별도로 저장함으로써 본 발명의 일 실시예에 따른 침입 탐지 장치의 전원이 오프(off)되더라도 손실되지 않도록 보존할 수 있다. 또한, 상기 시그니처 서브세트들은 메모리부(350-1, 350-2)에 별도로 저장함으로써 중앙처리부(330)의 참조속도를 높일 수 있다.
도 5의 침입 탐지 장치에서 중앙처리부(330)의 코어의 개수는 상기 패킷그룹의 개수와 상기 시그니처 서브세트의 개수에 따라 결정될 수 있다. 예를 들어, 패킷수집부(310)를 통해 수집된 패킷이 5-튜플에 의해 5개의 패킷그룹으로 분류되고, 중앙처리부(330)에 의해 상기 시그니처 세트에 포함되는 공격 패킷 탐지를 위한 복수의 시그니처 분류 결과 4개의 시그니처 서브세트가 생성되면, 다중처리를 위하여 필요한 코어의 개수는 20개가 될 수 있다.
이처럼 본 발명의 다른 실시예에 따르면 각 코어그룹들은 대응하는 시그니처 세트를 이용하고, 상기 코어그룹 내의 복수의 코어들은 각각 대응하는 시그니처 서브세트를 이용함으로써 도 3의 침입 탐지 장치 대비 공격 패킷 탐지 속도와 탐지율을 높일 수 있다. 또한, 대규모 네트워크 환경에서 다양한 침입 형태로 인하여 폭발적으로 증가하는 시그니처에 따른 침입 탐지 장치의 성능 저하에 유연하게 대처할 수 있다.
도 6은 본 발명의 다른 일 실시예에 따른 패킷과 시그니처의 다중처리를 이용한 공격 패킷 탐지 방법을 나타내는 순서도이다.
먼저, 중앙처리부(330)를 통해 스토리지에 저장된 시그니처들을 읽어들여 소정 기준에 따라 분류하고(S311), 하나 이상의 시그니처 서브세트를 생성하여 메모리부(350-1, 350-2)에 저장한다(S312). 이때, 상기 시그니처들을 분류하는 기준은 패킷의 문자열을 검사하는 제1 시그니처, 또는 패킷의 주소, 빈도, 시간 중에서 적어도 하나 이상을 검사하는 제2 시그니처를 포함할 수 있다.
또한, 중앙처리부(330)를 통해 상기 제1 시그니처와 제2 시그니처를 이용하여 공격 패킷을 탐지할 경우 예상되는 부하, 또는 상기 제1 시그니처와 제2 시그니처의 개수를 고려하여 상기 시그니처 서브세트 내에서 상기 시그니처 서브세트에 포함되는 시그니처들을 재분류할 수 있다.
이후, 패킷 수집부(310)를 이용하여 네트워크를 통해 전달되는 패킷을 실시간으로 수집할 수 있다(S313).
수집된 패킷들은 n-튜플 기준으로 분류하여 복수의 패킷그룹을 생성할 수 있다(S214).
다음으로, 중앙처리부(330)를 통해 복수의 코어를 상기 패킷 그룹에 대응하도록 분류하고(S315), 복수의 코어그룹을 생성할 수 있다(S316).
이때, 상기 패킷그룹은 DMA(320)에 저장되며, DMA 컨트롤러를 통해 중앙처리부(330) 내에 복수의 코어그룹에 로드-밸런싱할 수 있다(S317).
이후, 중앙처리부(330)의 코어그룹은 동일한 시그니처 세트를 이용하고, 상기 코어그룹 내의 각각의 코어들은 대응하는 시그니처 서브세트를 이용하여 상기 패킷그룹 내의 공격 패킷을 탐지할 수 있다(S318).
마지막으로, 공격 패킷 탐지 결과를 운영자 서버로 전송할 수 있다(S319).
이상에서 본 발명의 실시예에 대하여 상세하게 설명하였지만 본 발명의 권리범위에 한정되는 것은 아니고 본 발명이 속하는 분야에서 통상의 지식을 가진 자가 여러 가지로 변형 및 개량한 형태 또한 본 발명의 권리범위에 속한다.

Claims (14)

  1. 네트워크를 통해 전달되는 패킷을 실시간으로 수집하고 분류하여 복수의 패킷그룹을 생성하는 패킷수집부,
    시그니처 세트에 포함되는 공격 패킷 탐지를 위한 복수의 시그니처를 소정 기준으로 분류한 복수의 시그니처 서브세트들-상기 각 시그니처 서브세트는 상기 기준을 충족하는 하나 이상의 시그니처들을 포함함-을 저장하는 메모리부,
    상기 패킷그룹을 검사하는 복수의 코어를 포함하며, 상기 각 코어는 대응하는 상기 시그니처 서브세트를 기준으로 상기 패킷그룹 내의 공격 패킷을 탐지하는 중앙처리부, 그리고
    상기 패킷그룹을 저장하고 상기 복수의 코어에 로드-밸런싱하는 DMA(direct memory access)
    를 포함하는 패킷과 시그니처 기반의 침입 탐지 장치.
  2. 제1항에서,
    상기 패킷수집부는 수집된 패킷을 n-튜플(tuple) 기준으로 분류하여 패킷 그룹을 생성하는 패킷과 시그니처 기반의 침입 탐지 장치.
  3. 제1항에서,
    상기 메모리부는 상기 시그니처 세트를 저장하는 제1 메모리와 상기 시그니처 서브세트를 저장하는 제2 메모리를 포함하는 패킷과 시그니처 기반의 침입 탐지 장치.
  4. 제1항에서,
    상기 기준은 상기 패킷의 문자열을 검사하는 제1 시그니처, 또는 상기 패킷의 주소, 빈도, 시간 중에서 적어도 하나 이상을 검사하는 제2 시그니처인 패킷과 시그니처 기반의 침입 탐지 장치.
  5. 제4항에서,
    상기 기준은 상기 제1 시그니처와 상기 제2 시그니처를 이용하여 공격 패킷을 탐지할 경우 상기 중앙처리부의 예상부하, 또는 상기 제1 시그니처와 제2 시그니처의 개수인 패킷과 시그니처 기반의 침입 탐지 장치.
  6. 네트워크를 통해 전달되는 패킷을 실시간으로 수집하고 분류하여 복수의 패킷그룹을 생성하는 패킷수집부,
    시그니처 세트에 포함되는 공격 패킷 탐지를 위한 복수의 시그니처를 소정 기준으로 분류한 복수의 시그니처 서브세트들-상기 각 시그니처 서브세트는 상기 기준을 충족하는 하나 이상의 시그니처들을 포함함-을 저장하는 메모리부,
    상기 시그니처 세트를 각각 처리하는 복수의 코어 그룹-상기 각 코어 그룹은 대응하는 시그니처 서브세트를 처리하는 복수의 코어를 포함함-을 포함하며, 상기 코어 그룹들은 동일한 시그니처 세트를 이용하고, 상기 각 코어 그룹 내의 복수의 코어에 대응하는 시그니처 서브세트를 이용하여 상기 패킷그룹 내의 공격 패킷을 탐지하는 중앙처리부, 그리고
    상기 복수의 패킷그룹을 저장하고 상기 복수의 코어그룹에 로드-밸런싱하는 DMA(direct memory access)
    를 포함하는 패킷과 시그니처 기반의 침입 탐지 장치.
  7. 제6항에서,
    상기 패킷수집부는 수집된 패킷을 n-튜플(tuple) 기준으로 분류하여 패킷 그룹을 생성하는 패킷과 시그니처 기반의 침입 탐지 장치.
  8. 제6항에서,
    상기 메모리부는 상기 시그니처 세트를 저장하는 제1 메모리와 상기 시그니처 서브세트를 저장하는 제2 메모리를 포함하는 패킷과 시그니처 기반의 침입 탐지 장치.
  9. 제6항에서,
    상기 기준은 상기 패킷의 문자열을 검사하는 제1 시그니처, 또는 상기 패킷의 주소, 빈도, 시간 중에서 적어도 하나 이상을 검사하는 제2 시그니처인 패킷과 시그니처 기반의 침입 탐지 장치.
  10. 제9항에서,
    상기 기준은 상기 제1 시그니처와 상기 제2 시그니처를 이용하여 공격 패킷을 탐지할 경우 상기 중앙처리부의 예상부하, 또는 상기 제1 시그니처와 제2 시그니처의 개수인 패킷과 시그니처 기반의 침입 탐지 장치.
  11. 시그니처 세트에 포함되는 공격 패킷 탐지를 위한 복수의 시그니처를 소정 기준으로 분류하여 복수의 시그니처 서브세트를 생성하는 단계,
    네트워크를 통해 전달되는 패킷을 실시간으로 수집하고 수집된 패킷을 분류하여 복수의 패킷그룹을 생성하는 단계,
    상기 시그니처 서브세트를 처리하는 복수의 코어그룹에 상기 패킷그룹을 로드-밸런싱하는 단계, 그리고
    상기 복수의 코어그룹들은 동일한 상기 시그니처 세트를 이용하고, 상기 코어그룹 내의 각 코어들은 상기 시그니처 서브세트를 이용하여 상기 패킷그룹 내의 공격 패킷을 탐지하는 단계
    를 포함하는 패킷과 시그니처 기반의 침입 탐지 방법.
  12. 제11항에서,
    상기 공격 패킷 탐지 결과를 서버에 보고하는 단계를 더 포함하는 패킷과 시그니처 기반의 침입 탐지 방법.
  13. 제11항에서,
    상기 기준은 상기 패킷의 문자열을 검사하는 제1 시그니처, 또는 상기 패킷의 주소, 빈도, 시간 중에서 적어도 하나 이상을 검사하는 제2 시그니처인 패킷과 시그니처 기반의 침입 탐지 방법.
  14. 제13항에서,
    상기 기준은 상기 제1 시그니처와 상기 제2 시그니처를 이용하여 공격 패킷을 탐지할 경우 중앙처리부의 예상부하, 또는 상기 제1 시그니처와 제2 시그니처의 개수인 패킷과 시그니처 기반의 침입 탐지 방법.
PCT/KR2014/008472 2014-09-11 2014-09-11 패킷과 시그니처 기반의 침입 탐지 장치 및 침입 탐지 방법 WO2016039491A1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/KR2014/008472 WO2016039491A1 (ko) 2014-09-11 2014-09-11 패킷과 시그니처 기반의 침입 탐지 장치 및 침입 탐지 방법

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/KR2014/008472 WO2016039491A1 (ko) 2014-09-11 2014-09-11 패킷과 시그니처 기반의 침입 탐지 장치 및 침입 탐지 방법

Publications (1)

Publication Number Publication Date
WO2016039491A1 true WO2016039491A1 (ko) 2016-03-17

Family

ID=55459226

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2014/008472 WO2016039491A1 (ko) 2014-09-11 2014-09-11 패킷과 시그니처 기반의 침입 탐지 장치 및 침입 탐지 방법

Country Status (1)

Country Link
WO (1) WO2016039491A1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108390856A (zh) * 2018-01-12 2018-08-10 北京奇艺世纪科技有限公司 一种DDoS攻击检测方法、装置及电子设备

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100770357B1 (ko) * 2007-06-04 2007-10-25 펌킨네트웍스코리아 (주) 시그너처 해싱을 이용하여 시그너처 매칭 회수를 줄이는고성능 침입 방지 시스템 및 그 방법
KR100772523B1 (ko) * 2006-08-01 2007-11-01 한국전자통신연구원 패턴을 이용하는 침입 탐지 장치 및 그 방법
JP2012044281A (ja) * 2010-08-13 2012-03-01 Nippon Telegr & Teleph Corp <Ntt> セキュリティ装置及びフロー特定方法
KR101270402B1 (ko) * 2011-12-28 2013-06-07 한양대학교 산학협력단 인덱스를 생성하여 효율적인 고속 매칭 메커니즘을 제공하는 침입 탐지 시스템의 동작 방법
KR20130076268A (ko) * 2011-12-28 2013-07-08 한양대학교 산학협력단 Ｎ－그램 모델에 기반한 인덱스를 생성하여 효율적인 고속 매칭 메커니즘을 제공하는 침입 탐지 시스템의 동작 방법

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100772523B1 (ko) * 2006-08-01 2007-11-01 한국전자통신연구원 패턴을 이용하는 침입 탐지 장치 및 그 방법
KR100770357B1 (ko) * 2007-06-04 2007-10-25 펌킨네트웍스코리아 (주) 시그너처 해싱을 이용하여 시그너처 매칭 회수를 줄이는고성능 침입 방지 시스템 및 그 방법
JP2012044281A (ja) * 2010-08-13 2012-03-01 Nippon Telegr & Teleph Corp <Ntt> セキュリティ装置及びフロー特定方法
KR101270402B1 (ko) * 2011-12-28 2013-06-07 한양대학교 산학협력단 인덱스를 생성하여 효율적인 고속 매칭 메커니즘을 제공하는 침입 탐지 시스템의 동작 방법
KR20130076268A (ko) * 2011-12-28 2013-07-08 한양대학교 산학협력단 Ｎ－그램 모델에 기반한 인덱스를 생성하여 효율적인 고속 매칭 메커니즘을 제공하는 침입 탐지 시스템의 동작 방법

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108390856A (zh) * 2018-01-12 2018-08-10 北京奇艺世纪科技有限公司 一种DDoS攻击检测方法、装置及电子设备
CN108390856B (zh) * 2018-01-12 2020-09-18 北京奇艺世纪科技有限公司 一种DDoS攻击检测方法、装置及电子设备

Similar Documents

Publication Publication Date Title
WO2011010823A2 (ko) 클라우드 컴퓨팅을 이용한 ＤＤｏＳ 공격 탐지 및 차단 방법 및 서버
WO2012086916A1 (ko) 클라우드 컴퓨팅 시스템 및 클라우드 컴퓨팅 시스템에서의 트래픽 분산 방법 및 제어 방법
WO2016064030A1 (ko) 글로벌 서버 로드 밸런서 장치 및 상기 장치에서의 동적 캐쉬 유효 기간 제어 방법
WO2014091431A1 (en) Hybrid firewall for data center security
WO2013085194A1 (en) Method and apparatus for load balancing in communication system
WO2014148667A1 (ko) 클라우드 환경에서의 성능 테스트 비용 절감을 위한 테스트 시스템 및 테스트 방법
WO2011008017A2 (ko) 호스트 기반의 네트워크 분리 장치 및 방법
WO2016039491A1 (ko) 패킷과 시그니처 기반의 침입 탐지 장치 및 침입 탐지 방법
CN110855784A (zh) 代理服务器节点选择方法、电子设备、系统及介质
WO2014175583A1 (ko) 악성 메시지 검사 방법 및 장치
WO2012144723A1 (ko) 웹서버보호장치
KR101240311B1 (ko) 리눅스 기반 네트워크 패킷 침입 탐지 시스템 및 방법
WO2018212610A1 (ko) 악성 코드 진단 서버, 시스템 및 방법
WO2022131404A1 (ko) 온디바이스 기반 데이터 분석 시스템 및 방법
WO2017073988A1 (ko) Gpu를 이용한 파일의 분산 저장 시스템 및 방법
WO2012087053A2 (ko) 무선 네트워크 연결 장치 및 방법
WO2022260392A1 (ko) 단말에서 동작하는 이미지 프로세싱 인공 신경망 모델 생성 방법 및 시스템
KR101491101B1 (ko) 패킷과 시그니처 기반의 침입 탐지 장치 및 침입 탐지 방법
WO2014092381A1 (ko) 스크래치패드 메모리 관리 시스템 및 방법
WO2019066101A1 (ko) 노드 분산 방법 및 이를 수행하는 관리 서버
WO2013085089A1 (ko) Ｍ2ｍ 클라우드 환경에서 통신망 자원 활용 방법 및 그 시스템
WO2021020746A1 (ko) 가상 머신 관리 장치 및 방법
WO2015190692A1 (ko) 에이전트 프로그램을 이용한 인터넷 접속 차단 방법
CN108848093B (zh) 路由计算单元和网络节点设备
WO2023085476A1 (ko) 통합특성 인공지능 기반 가상화 시스템 회피형 악성코드 탐지 장치

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14901660

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14901660

Country of ref document: EP

Kind code of ref document: A1