WO2019146956A1 - 디바이스의 정보 획득 장치 및 방법 - Google Patents

디바이스의 정보 획득 장치 및 방법 Download PDF

Info

Publication number
WO2019146956A1
WO2019146956A1 PCT/KR2019/000680 KR2019000680W WO2019146956A1 WO 2019146956 A1 WO2019146956 A1 WO 2019146956A1 KR 2019000680 W KR2019000680 W KR 2019000680W WO 2019146956 A1 WO2019146956 A1 WO 2019146956A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
signature
unit
mac address
security
Prior art date
Application number
PCT/KR2019/000680
Other languages
English (en)
French (fr)
Inventor
박수현
Original Assignee
주식회사 안랩
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 안랩 filed Critical 주식회사 안랩
Publication of WO2019146956A1 publication Critical patent/WO2019146956A1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0866—Checking the configuration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/10—Active monitoring, e.g. heartbeat, ping or trace-route

Definitions

  • the present invention relates to an apparatus and method for obtaining information of a device.
  • IoT Internet
  • a plurality of IoT terminals are installed and used in a single subnet such as a home or an enterprise.
  • PCs, smart devices such as smart pads and smart devices are increasingly connected to these subnets.
  • an object of the present invention is to efficiently and accurately obtain information on a device, for example, a type of a device, a type of an operating system installed in the device, and a version of an operating system.
  • an information obtaining apparatus comprising: a communication unit for performing communication with a monitoring device for monitoring a device; an active information obtaining unit for requesting the monitoring device for first information allocated to the device; A passive information acquiring unit that acquires second information allocated to the device from the received packet when the packet monitored by the first communication unit is received through the communication unit; And acquires information about the device using the second information.
  • the security vulnerability of the device can be grasped based on the information obtained about the device, and measures against the vulnerability can be performed.
  • FIG. 1 is a view conceptually showing a network system to which an information obtaining apparatus according to an embodiment is applied.
  • FIG. 2 is a diagram conceptually showing the types of data and their characteristics used by the information obtaining apparatus shown in FIG. 1 to obtain information about the device.
  • FIG. 3 is a diagram conceptually showing a configuration of the information obtaining apparatus shown in Fig.
  • FIG. 4 is a diagram conceptually showing the configuration of the database shown in Fig.
  • FIG. 5 is a diagram showing a first example of a procedure in which the information obtaining apparatus shown in FIG. 1 obtains information about a device.
  • Fig. 6 is a diagram showing a second example of a procedure in which the information obtaining apparatus shown in Fig. 1 obtains information about a device.
  • FIG. 7 is a diagram illustrating a third example of a procedure in which the information obtaining apparatus shown in FIG. 1 obtains information about a device.
  • FIG. 8 is a diagram illustrating a procedure for the information obtaining apparatus shown in FIG. 1 to acquire information about a device and to grasp a security vulnerability on the device based on the obtained information.
  • FIG. 1 is a view conceptually showing a configuration of a network system 10 to which an information obtaining apparatus 100 according to an embodiment is applied.
  • FIG. 1 is merely an example, the information obtaining apparatus 100 is not limited to being applied to the network system 10 shown in FIG.
  • a network system 10 includes an information obtaining apparatus 100, at least one device 200, a gateway 300, and a monitoring device 400.
  • the information obtaining apparatus 100 is connected to the gateway 300 through the network 500.
  • the device 200 may include smart devices such as Internet Of Things (IOT) terminals, PCs, smart phones or smart pads, or various other terminal devices (e.g., unknown devices of unknown types) have. At least one such device 200 may be provided.
  • IOT Internet Of Things
  • a host name and a media access control address (MAC address) may be assigned to each device 200. However, if at least one of the host name and the MAC address is not allocated It is possible.
  • the gateway 300 refers to a device that connects each of the devices 200 to the network 500, and may be, for example, an Internet router.
  • the device 200 connected to any one of the gateways 300 may be included in a subnet of the gateway 300.
  • a monitoring device 400 is installed between the device 200 and the gateway 300 to monitor packets associated with the device 200.
  • This monitoring device 400 may include a packet sniffing module for monitoring packets associated with the device.
  • the monitoring device (400) transmits the monitored packet to the information obtaining apparatus (100). At this time, the monitoring device 400 can transmit the packet when receiving the request from the information obtaining apparatus 100, and in the case where the monitoring device 400 itself periodically or even if the predetermined condition is satisfied And transmits the packet to the information obtaining apparatus 100.
  • the monitoring device 400 transmits a predetermined packet to the device 200 or the gateway 300.
  • the transmitted packet may be an attack-purpose packet for testing whether the device 200 or the gateway 300 has a security vulnerability.
  • the packet may be generated under the control of the information obtaining apparatus 100 have.
  • the monitoring device 400 may request the information obtaining apparatus 100 to transmit a predetermined packet to the gateway 300 via the network.
  • a packet transmitted from the information obtaining apparatus 100 to the gateway 300 may also be an attack packet for testing whether the gateway 300 has a security vulnerability. This will be described in more detail in FIG.
  • the network 500 may be a common public Internet network such as a wired network or a wireless network.
  • the information acquisition apparatus 100 receives a packet for the device 200 from the monitoring device 400 and acquires information about the device 200 using various data included in the packet.
  • the information obtaining apparatus 100 may be implemented in a computer such as a server.
  • a computer such as a server.
  • the types and characteristics of various data used by the information obtaining apparatus 100 to obtain information on the device 200 will be described with reference to FIG.
  • FIG. 2 is a diagram conceptually showing the types of data and their characteristics used by the information obtaining apparatus 100 shown in FIG. 1 to obtain information about the device 200. As shown in FIG.
  • the information obtaining apparatus 100 may use static data and dynamic data in combination.
  • the static data is the value assigned to the device 200 itself, while the dynamic data is the value reflected in the packet when the device 200 communicates. Since such static data brings the values assigned to the device 200 itself, it does not take much time to acquire or analyze data, and the data reliability is relatively high.
  • the dynamic data is a value reflected in the packets transmitted and received by the device 200, it can be acquired only by continuously monitoring the packets. Therefore, it takes a relatively long time to acquire or analyze data, It is relatively low.
  • Such static data may include a hostname and a Media Access Control (MAC) address
  • the dynamic data may include Transmission Control Protocol (TCP) signatures, service signatures, and Dynamic Host Configuration Protocol (DHCP) signatures.
  • TCP Transmission Control Protocol
  • DHCP Dynamic Host Configuration Protocol
  • static data and dynamic data are not to be construed as being construed as including only those illustrated.
  • the TCP signature refers to data that can be obtained by analyzing a payload of a packet to be sent and received when the device 200 performs TCP / IP communication.
  • the window size, the maximum segment size (MSS) of the SYN packet at the time of initial session creation, the fragmentation bit of the packet thereafter, the TTL value or the TCP option value may be included therein
  • this TCP signature is a known technique, and a further description thereof will be omitted.
  • the service signature means data that can be obtained using a service protocol.
  • the service signature is easy to detect open ports that match the characteristics of each device 200. Since the service signature itself is a known technology, a further description thereof will be omitted.
  • the DHCP signature is data that can be verified at the time when the device 200 is initially assigned an IP or is renewed after the IP address has expired. Since the DHCP signature itself is a known technology, a further description thereof will be omitted.
  • the host name and the service signature described above are classified as data that can be actively acquired in that the monitoring device 400 can acquire the device 200 in response to a request from the information obtaining apparatus 100 .
  • the monitoring device 400 may request arp (address resolution protocol) or dns (domain name system) to the device 200 to obtain a host name (active action).
  • the monitoring device 400 may apply a port scan scheme (active action) to the device 200 to obtain a service signature.
  • the TCP signature and the DHCP signature can be classified as passively obtainable data in that the device is data that can be obtained by analyzing packets exchanged in the course of communication.
  • the monitoring device 400 can automatically acquire the TCP / It may be classified as passively obtainable data in that it can be acquired automatically even in the process of acquiring the signature.
  • the MAC address is classified into passively obtainable data, but it is not excluded that the MAC address is classified into actively obtainable data according to the embodiment.
  • the information obtaining apparatus 100 obtains information on the device 200 more accurately and quickly by 'combining' the various types of actively obtainable data and passively obtainable data.
  • the information obtaining apparatus 100 can grasp the security vulnerability of the device 200 based on the information thus obtained, and control the device 200 to take measures accordingly.
  • the information obtaining apparatus 100 will be described in more detail.
  • FIG. 3 conceptually shows the configuration of the information obtaining apparatus 100 shown in FIG. 1.
  • FIG. 4 conceptually shows a configuration of the database 150 shown in FIG. 3 and 4 are only illustrative drawings, the configuration of the information acquiring apparatus 100 and the database 150 belonging thereto is not limited to that shown in FIG. 3 and FIG.
  • the information obtaining apparatus 100 includes a communication unit 110, an active information obtaining unit 120, a passive information obtaining unit 130, and a device information obtaining unit 140, And may further include a database 150, a change detection unit 160, a feedback unit 170, a security testing unit 180, and a notification unit 190.
  • the database 150 may include a plurality of detailed databases 151 to 156, and the plurality of detailed databases 151 to 156 may be classified into one of two categories.
  • One category may include databases used to capture information about the device 200 and may include, for example, a host name database 151, a MAC address database 152, a TCP fingerprint database 153, (154) and a DHCP fingerprint database (155).
  • the other category is based on the above-described information (for example, the type of the device, the type of the operating system installed in the device, and the version of the operating system) acquired for the device 200 by using the information of the databases 151 to 155 described above, And a vulnerability database 156 having a security vulnerability existing in the device 200 or the operating system of the device.
  • the databases 151 to 156 shown in FIG. 4 will be described later.
  • the communication unit 110 includes a wired or wireless communication module for performing communication via the network 500.
  • the communication unit 110 may be connected to the monitoring device 400 or each device 200 through the gateway 300.
  • the active information acquisition unit 120, the passive information acquisition unit 130, the device information acquisition unit 140, the change detection unit 160, and the security test unit 180 are programmed to perform the functions
  • the active information acquisition unit 120 requests the monitoring device 400 for the first information allocated to the device 200.
  • the first information represents the above-mentioned actively obtainable information.
  • the passive information obtaining unit 130 analyzes the packets exchanged in the course of communication of the device 200 to obtain the second information.
  • the packet to be analyzed by the passive information obtaining unit 130 may be one monitored by the monitoring device 400.
  • the second information below represents passively obtainable information as described above.
  • the active information obtaining unit 120 may request only the host name as the first information, and may alternatively request the host name and the service signature sequentially or simultaneously as the first information.
  • the passive information obtaining unit 130 may obtain only the MAC address as the second information, and may request the TCP signature or the DHCP signature according to a predetermined order. The order in which the active information obtaining unit 120 and the passive information obtaining unit 130 request the first information and the second information, respectively, in what order will be described in more detail with reference to FIGS.
  • the device information acquisition unit 140 acquires information about the device 200.
  • the information on the device 200 may include at least one of information on the type of the device 200, information on the type of the operating system installed in the device 200, and information on the version of the operating system. But is not limited thereto.
  • the type of the device may include, for example, a PC, a smart device, a stuff Internet terminal or other (non-identifiable device, etc.).
  • the type of the operating system may include, for example, Android, IOS, Windows, Linux, and the like.
  • the version of the operating system may be, for example, the version of each operating system, such as Android 4.1 Android 5.0, IOS 8 or 9, and so on.
  • the type of the device, the type of the operating system, and the version of the operating system are merely illustrative.
  • the device information acquisition unit 140 combines the first information and the second information to acquire information on the device 200.
  • the reason for combination is that any one of the first information and the second information can be used only for the information on the device 200 (information about the type of the device 200, the type of the operating system installed in the device 200) Information about the information and version of the operating system) may not be obtained at all. That is, the device information acquiring unit 140 may acquire a part of information on the device 200 from the first information and the remainder from the second information.
  • the device information obtaining unit 140 obtains information on the device 200 from the MAC address using the MAC address database 152 shown in FIG. 4 Let's look at it.
  • the MAC address database 152 shown in FIG. 4 previously defines and stores a classification criterion for classifying the MAC address value as belonging to one of a plurality of intervals.
  • a classification criterion for classifying the MAC address value is defined or stored in advance.
  • the device having the value of this MAC address determines what kind of device, what type of operating system is installed, and what version of the operating system is May be defined or stored in the MAC address database 152 in advance.
  • the MAC address is a six-digit hexadecimal number (the first three digits are OUI, and the last three digits are UID).
  • the classification standard there may be a first example of classifying MAC addresses using both an Organizationally Unique Identifier (OUI) and a UID (Unique Identifier), or a second example of classifying a MAC address using only a UID.
  • Information about the vendor of the communication module included in the device 200 or the device 200 can be secured through the OUI, and information on the device 200, such as the type of the device, Information about the type of the OS installed in the OS, the version of the OS, and the like can be secured.
  • the device information obtaining unit 140 classifies the MAC address into one section according to the classification criteria stored in the MAC address database 152 , And obtain information on the devices allocated to the classified period.
  • the classification criteria of the MAC address database 152 can be updated. For example, if at least one of the host name and the service signature is employed as the first information, and at least one of the TCP signature and the DHCP signature is employed as the second information, and the first information and the second information are combined to the device 200
  • the MAC address database 152 updates the MAC address assigned to the device 200 and the information about the device 200 to the MAC address database 152 so that the classification criteria can be updated have.
  • the classification criterion for classifying the MAC address can be refined or refined. Therefore, even with a smaller amount of information, information on the device 200 can be obtained quickly and accurately even in a situation where only a MAC address is acquired, for example.
  • the database 150 may be implemented by a memory that stores data.
  • the detailed configuration of this database 150 is shown in FIG.
  • the vulnerability database 156 will be described while explaining the security testing unit 180 shown in FIG.
  • the host name database 151 previously defines and stores a classification criterion for classifying the host name acquired by the active information obtaining unit 120 as belonging to one of a plurality of categories. In each of the plurality of categories, at least one of a device type of a device, a type of an operating system installed, and a version of the operating system is defined or stored in a host name belonging to the category. This is the same for the TCP fingerprint database 153, the open port protocol database 154, and the DHCP fingerprint database 155, and the description thereof will be omitted here.
  • the change detection unit 160 determines whether the first information is changed based on the second information.
  • the first information at this time may be, for example, a host name. More specifically, the host name can be arbitrarily changed by the owner of the device 200 or by the user. For example, an iPhone user can change his / her iPhone host name to Galaxy S8, and a PC user can change the host name of his PC to iPhone X.
  • the device information acquired by the device information acquisition unit 140 from the host name, which is the first information may be different from the information about the device acquired from the second information.
  • the change detection unit 160 compares the information about the device obtained from the first information and the information about the device obtained from the second information with each other to detect such a change. If the information indicated by the first information and the information indicated by the second information differ from each other with respect to the information of the same type of device, the change detecting unit 160 may determine that the first information has been changed. In this case, the device information obtaining unit 140 can obtain information on the device 200 using only the second information while excluding the first information.
  • the device information acquisition unit 140 may acquire information about the device 200 from a plurality of users using the information acquisition device 100 through the feedback unit 170, After receiving the feedback, information on the device 200 is obtained based on the feedback.
  • the feedback is information about the device 200, which is obtained from the above-mentioned user for the device 200.
  • the feedback unit 170 may include an information storage unit and a determination unit, not shown in the figure, and may also include an input port for receiving feedback from a plurality of users.
  • the information storage unit stores first information and second information on the device 200 from which information is not acquired, and feedback received from a plurality of users.
  • the determination unit counts the number of feedbacks input to the device 200 from a plurality of users, and determines whether the number exceeds the predetermined criterion. If the number of received feedbacks exceeds a predetermined criterion, the device information acquisition unit 140 acquires information on the device 200 using the feedback, and transmits the first information, the second information, The feedback may be added to any one of a plurality of detailed databases 151 to 155 included in the database 150.
  • the update or learning process of the database 150 can be performed by feedback from the user, thereby enabling more precise and quick information acquisition.
  • the device information acquisition unit 140 may leave the information about the device 200 in blank.
  • the information about the device 200 is not obtained by only the information stored in the database 150, if the feedback from the user is accumulated to a reliable level, It is possible to acquire information about the user.
  • feedback is added to or added to the database 150, it is possible to provide information more quickly, accurately and precisely than before when there is an information request for the device 200 corresponding thereto in the future.
  • the security testing unit 180 may control the monitoring device 400, for example, to attempt a security attack on the device 200 based on a security vulnerability of the device 200.
  • the security testing unit 180 can grasp the security vulnerability of the device 200 by using the vulnerability database 156.
  • the vulnerability database 156 is a list of security vulnerabilities for each case according to what type of the specific device 200 is and what type of operating system is installed in the specific device 200 . For example, when the device is an iPhone and the OS is iOS5, if the device information is given, such as when the device is IoT and the OS is WinCE, a vulnerability list for the device is identified through the vulnerability database 156 .
  • the security testing unit 180 acquires security vulnerabilities with respect to the device 200 using the vulnerability database 156. Thereafter, the security testing unit 180 may instruct the monitoring device 400 to attempt a security attack to the device 200 based on the security vulnerability (internal scan).
  • the vulnerability database 156 may further store a security vulnerability on the gateway 300, and accordingly, the security testing unit 180 may monitor the gateway 300 to attempt a security attack as well as the device 200 Device 400 (internal scan). For example, when the degree of security encryption for the gateway 300 and the security level of the ID / PW connectable to the gateway 300 are recognized through the vulnerability database 156, the security testing unit 180 determines, (400) to attempt a security attack against the gateway (300).
  • the security testing unit 180 may directly attempt a security attack on the gateway 300 via the network 500 (external scan).
  • the notification unit 190 When the security testing unit 180 determines that there is a problem in security as a result of a security attack attempted by the security testing unit 180, the notification unit 190 performs a corresponding action. For example, the notification unit 190 may notify the user of the device 200 that there is a problem with security or update the firmware. Alternatively, the notification unit 190 may provide a virtual patch to the device 200 or allow the security attack to be registered in a firewall detection pattern.
  • the security vulnerability of the device can be grasped based on the information obtained about the device, and the security vulnerability can be performed according to the embodiment.
  • FIG. 5 illustrates a first example of a procedure for acquiring information about the device 200 by combining the first information actively obtainable by the information obtaining apparatus 100 shown in FIG. 1 with the passively obtainable second information Respectively.
  • Fig. 5 is merely an example, the concept of the present invention is not limited to that shown in Fig.
  • the active information obtaining unit 120 obtains the host name as the first information (S100), and the passive information obtaining unit 130 obtains the MAC address as the second information (S101).
  • the host name and the MAC address can be obtained simultaneously or sequentially.
  • the active information obtaining unit 120 requests the monitoring device 400 to send an arp packet, and accordingly the packet is received, the active information obtaining unit 120 can thereby obtain the host name from the received packet,
  • the passive information obtaining unit 130 may obtain the MAC address from the received packet or a packet received from a separate process.
  • the device information acquisition unit 140 determines whether all the information on the device 200 is obtained by combining the host name and the MAC address (S110). If all of the information on the device 200 is acquired, information on the type of the device, information on the operating system installed on the device, and information on the version of the operating system are all acquired, The MAC address of the device 200 may be updated in the MAC address database 152 (S111), and then the information acquisition procedure for the device 200 may be terminated.
  • the passive information obtaining unit 130 obtains the TCP signature (S120), the active information obtaining unit 120 obtains the service signature (S140), and the passive information obtaining unit 130 obtains the DHCP signature (S160) may be performed until all information on the device 200 is obtained. If all the information is obtained, the MAC address database 152 may be updated (S111).
  • the feedback unit 170 transmits the above information, that is, the host name, the MAC address, the TCP signature, After storing the signature and the DHCP signature, feedback is received from a plurality of users of the information obtaining apparatus 100 (S180). If the number of received feedback exceeds a predetermined criterion (S190), the device information obtaining unit 140 obtains information about the device 200 based on the feedback (S200). However, if the number of feedbacks received does not exceed a predetermined criterion (S190), it is possible to wait until further feedback is input.
  • the information about the device 200 may be left blank.
  • the host name of the device 200 and the MAC address of the device 200 are stored in the MAC address database 152 (not shown), even if information on the device 200 is obtained based on the feedback ). ≪ / RTI >
  • FIG. 6 shows a second example of a procedure for acquiring information about the device 200 by combining the first information actively obtainable by the information obtaining apparatus 100 shown in FIG. 1 with the passively obtainable second information Respectively.
  • Fig. 6 is merely an example, the concept of the present invention is not limited to that shown in Fig. 6 is different from what is employed as the first information and the second information in the procedure shown in FIG. 5, and the rest are the same, so that in FIG. 6, any one of the first information and the second information is employed
  • FIG. 6 is a diagram illustrating the structure of FIG. 5, and a detailed description thereof will be omitted. This is also true in FIG.
  • a process of acquiring a host name (S210), acquiring a service signature (S211), acquiring a MAC address (S213), acquiring a TCP signature (S213), and acquiring a DHCP signature (S214) may be sequentially performed until information on the device 200 is obtained. If information on the device 200 during the execution of the above-described steps S210 to S214 is obtained in the specific step, the following procedure can be terminated without being performed, but if information on the device 200 is not obtained, The procedures S170 to S200 may be performed.
  • FIG. 7 illustrates a third example of a procedure for acquiring information about the device 200 by combining the first information actively obtainable by the information obtaining apparatus 100 shown in FIG. 1 with the passively obtainable second information Respectively.
  • Fig. 7 is merely an example, the idea of the present invention is not limited to that shown in Fig.
  • a process of acquiring a DHCP signature (S300), acquiring a host name (S301), acquiring a service signature (S302), acquiring a MAC address (S303), and acquiring a TCP signature May be performed sequentially until information on the device 200 is obtained. If information on the device 200 during the execution of the above-described steps S300 to S304 is obtained in the specific step, the subsequent procedure can be terminated without being performed, but if information on the device 200 is not obtained, The procedures S170 to S200 may be performed.
  • FIG. 8 illustrates a process of testing security for the device 200 by the information obtaining apparatus 100 according to an embodiment.
  • Fig. 8 is merely an example, so that the concept of the present invention is not limited to what is shown in Fig.
  • the information obtaining apparatus 100 obtains information about the device 200 (S400).
  • the security testing unit 180 may control the monitoring device 400 to attempt a security attack on the device 200 based on the information about the device 200 in operation S410. To this end, the security testing unit 180 can grasp the security vulnerability of the device 200 by using the vulnerability database 156.
  • the vulnerability database 156 stores at least one of a security vulnerability according to the type of the device, a security vulnerability according to the operating system installed in the device, and a security vulnerability according to the version of the operating system.
  • the security testing unit 180 acquires a security vulnerability with respect to the device 200 using the vulnerability database 156. Thereafter, the security testing unit 180 may instruct the monitoring device 400 to attempt a security attack to the device 200 based on the security vulnerability (S411).
  • the vulnerability database 156 may additionally store a security vulnerability on the gateway 300, and accordingly, the security testing unit 180 may transmit the monitoring device 400 to the gateway 300 in order to attempt a security attack. (S420). For example, when the degree of security encryption for the gateway 300 and the security level of the ID / PW connectable to the gateway 300 are recognized through the vulnerability database 156, the security testing unit 180 determines, The gateway 400 may instruct the gateway 300 to attempt a security attack (S421). In addition, the security testing unit 180 may directly attempt a security attack on the gateway 300 through the network 500 (S422).
  • the notification unit 190 may take measures corresponding thereto, though it is not shown in the figure.
  • the notification unit 190 may notify the user of the device 200 that security has a problem or update the firmware.
  • the notification unit 190 may provide a virtual patch to the device 200 or allow the security attack to be registered in a firewall detection pattern.
  • the security vulnerability of the device can be grasped based on the information obtained about the device, and the security vulnerability can be performed according to the embodiment.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Cardiology (AREA)
  • General Health & Medical Sciences (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

일 실시예에 따른 정보 획득 장치는 디바이스를 모니터링하는 모니터링 디바이스와 통신을 수행하는 통신부와, 상기 디바이스에 할당된 제1 정보를 상기 모니터링 디바이스에게 요청하는 능동적(active) 정보 획득부와, 상기 모니터링 디바이스에 의해 모니터링된 패킷이 상기 통신부를 통해 수신되면, 상기 수신된 패킷으로부터 상기 디바이스에 할당된 제2 정보를 획득하는 수동적(passive) 정보 획득부와, 상기 요청에 따라 수신된 제1 정보 및 상기 획득된 제2 정보를 이용하여 상기 디바이스에 대한 정보를 획득하는 디바이스 정보 획득부를 포함한다.

Description

디바이스의 정보 획득 장치 및 방법
본 발명은 디바이스의 정보를 획득하는 장치 및 방법에 관한 것이다.
최근 사물 인터넷(IoT) 관련한 관심이 많아지면서 IoT 단말을 이용한 상용 서비스들이 제공되고 있다. 특히, 가정이나 기업과 같은 하나의 서브넷에 복수 개의 IoT 단말이 설치 및 이용되는 사례가 늘고 있다. 아울러, 이들 서브넷에는 PC 또는 스마트폰이나 스마트패드와 같은 스마트기기 등도 같이 연결되는 사례도 늘고 있다.
이에 따라 하나의 서브넷에 연결되어 있는 이러한 다양한 디바이스를 효율적으로 관리할 필요성이 대두되고 있는 실정이다. 이를 위해서는 디바이스에 대한 정보, 예컨대 디바이스의 종류(type), 디바이스에 설치된 운영체제의 종류 및 운영체제의 버전 등에 대한 정보가 효율적이면서도 정확하게 획득될 수 있어야 한다. 아울러, 이러한 디바이스의 정보를 기초로 각 디바이스에 대한 보안상 취약점이 파악되고, 보안상 취약점이 보완될 수 있어야 한다.
(특허문헌 1)
한국특허공개공보, 제10-2017-0048748호 (2017.05.10. 공개)
이에, 본 발명의 해결하고자 하는 과제는 디바이스에 대한 정보, 예컨대 디바이스의 종류(type), 디바이스에 설치된 운영체제의 종류 및 운영체제의 버전 등에 대한 정보를 효율적이면서도 정확하게 획득하는 것에 있다.
또한, 이렇게 획득한 디바이스의 정보를 기초로 각 디바이스에 대한 보안상 취약점을 파악하고, 보안상 취약점에 대해 적절한 조치가 수행되도록 제안하는 것이다.
다만, 본 발명의 해결 하고자 하는 과제는 이상에서 언급한 것으로 제한되지 않으며, 언급되지 않은 또 다른 해결 하고자 하는 과제는 아래의 기재로부터 본 발명이 속하는 통상의 지식을 가진 자에게 명확하게 이해될 수 있을 것이다.
일 실시예에 따른 정보 획득 장치는 디바이스를 모니터링하는 모니터링 디바이스와 통신을 수행하는 통신부와, 상기 디바이스에 할당된 제1 정보를 상기 모니터링 디바이스에게 요청하는 능동적(active) 정보 획득부와, 상기 모니터링 디바이스에 의해 모니터링된 패킷이 상기 통신부를 통해 수신되면, 상기 수신된 패킷으로부터 상기 디바이스에 할당된 제2 정보를 획득하는 수동적(passive) 정보 획득부와, 상기 요청에 따라 수신된 제1 정보 및 상기 획득된 제2 정보를 이용하여 상기 디바이스에 대한 정보를 획득하는 디바이스 정보 획득부를 포함한다.
일 실시예에 따르면 다양한 종류의 디바이스에 대한 정보를 능동적으로 획득 가능한 정보와 수동적으로 획득 가능한 정보를 조합해서 파악할 수 있다. 아울러, 능동적으로 획득 가능한 정보가 사용자에 의해 변경이 된 경우에도 이의 변경을 탐지할 수 있으며 더 나아가서는 이를 수정할 수도 있다.
또한, 디바이스에 대해 파악한 이러한 정보들을 기초로 해당 디바이스에 대한 보안상 취약점이 파악될 수 있으며, 보안상 취약점에 대한 조치가 수행되도록 할 수 있다.
아울러, 능동적으로 획득 가능한 정보와 수동적으로 획득 가능한 정보를 조합하는 방식에 따라서 종래보다 신속하면서도 정확하게 정보를 획득하는 것이 가능하다.
도 1은 일 실시예에 따른 정보 획득 장치가 적용된 네트워크 시스템을 개념적으로 도시한 도면이다.
도 2는 도 1에 도시된 정보 획득 장치가 디바이스에 대한 정보를 획득하기 위해 이용하는 데이터의 종류 및 그 특성을 개념적으로 도시한 도면이다.
도 3은 도 1에 도시된 정보 획득 장치의 구성을 개념적으로 도시한 도면이다.
도 4는 도 3에 도시된 데이터베이스의 구성을 개념적으로 도시한 도면이다.
도 5는 도 1에 도시된 정보 획득 장치가 디바이스에 대한 정보를 획득하는 절차의 제1 예시를 도시한 도면이다.
도 6은 도 1에 도시된 정보 획득 장치가 디바이스에 대한 정보를 획득하는 절차의 제2 예시를 도시한 도면이다.
도 7은 도 1에 도시된 정보 획득 장치가 디바이스에 대한 정보를 획득하는 절차의 제3 예시를 도시한 도면이다.
도 8은 도 1에 도시된 정보 획득 장치가 디바이스에 대한 정보를 획득한 뒤 이를 기초로 해당 디바이스에 대한 보안상 취약점을 파악하는 절차를 도시한 도면이다.
본 발명의 이점 및 특징, 그리고 그것들을 달성하는 방법은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시예들을 참조하면 명확해질 것이다. 그러나 본 발명은 이하에서 개시되는 실시예들에 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 수 있으며, 단지 본 실시예들은 본 발명의 개시가 완전하도록 하고, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 발명의 범주를 완전하게 알려주기 위해 제공되는 것이며, 본 발명은 청구항의 범주에 의해 정의될 뿐이다.
본 발명의 실시예들을 설명함에 있어서 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략할 것이다. 그리고 후술되는 용어들은 본 발명의 실시예에서의 기능을 고려하여 정의된 용어들로서 이는 사용자, 운용자의 의도 또는 관례 등에 따라 달라질 수 있다. 그러므로 그 정의는 본 명세서 전반에 걸친 내용을 토대로 내려져야 할 것이다.
도 1은 일 실시예에 따른 정보 획득 장치(100)가 적용된 네트워크 시스템(10)의 구성을 개념적으로 도시한 도면이다. 다만, 도 1은 예시적인 것에 불과하므로, 정보 획득 장치(100)가 도 1에 도시된 네트워크 시스템(10)에만 적용되는 것으로 한정해석되는 것은 아니다.
도 1을 참조하면, 네트워크 시스템(10)은 정보 획득 장치(100), 적어도 하나의 디바이스(200), 게이트웨이(300) 및 모니터링 디바이스(400)를 포함한다. 아울러, 정보 획득 장치(100)는 게이트웨이(300)와 네트워크(500)를 통해 연결된다.
디바이스(200)는 사물 인터넷(Internet Of Things, IoT) 단말, PC, 스마트폰이나 스마트패드와 같은 스마트기기 또는 그 이외의 다양한 단말 장치(예컨대 종류가 파악되지 않은 미지의 디바이스 등)를 포함할 수 있다. 이러한 디바이스(200)는 적어도 한 개가 마련될 수 있다.
각각의 디바이스(200)에는 호스트명(hostname)과 매체 액세스 제어 주소(media access control address, 이하 MAC 주소라고 지칭)가 할당될 수 있으나, 경우에 따라 호스트명과 MAC 주소 중 적어도 하나가 할당되어 있지 않을 수도 있다.
게이트웨이(300)는 디바이스(200)의 각각을 네트워크(500)에 연결시키는 장치를 지칭하며, 예컨대 인터넷 공유기일 수 있다. 어느 하나의 게이트웨이(300)에 연결된 디바이스(200)는 해당 게이트웨이(300)로 이루어지는 서브넷에 포함될 수 있다.
모니터링 디바이스(400)는 디바이스(200)와 게이트웨이(300) 사이에 설치되어서, 디바이스(200)와 관련된 패킷을 모니터링한다. 이러한 모니터링 디바이스(400)는 디바이스와 관련된 패킷을 모니터링하기 위한 패킷 스니핑(sniffing) 모듈을 포함할 수 있다.
모니터링 디바이스(400)는 모니터링된 패킷을 정보 획득 장치(100)에게 송신한다. 이 때, 모니터링 디바이스(400)는 정보 획득 장치(100)로부터 요청을 받으면 해당 패킷을 송신할 수 있고, 이와 달리 별도의 요청이 없더라도 모니터링 디바이스(400) 스스로가 주기적으로 또는 소정의 조건의 충족 시에 해당 패킷을 정보 획득 장치(100)에게 송신할 수도 있다.
모니터링 디바이스(400)는 소정의 패킷을 디바이스(200) 또는 게이트웨이(300)에게 송신한다. 이때 송신되는 패킷은 디바이스(200)나 게이트웨이(300)가 보안상 취약점이 있는지를 테스트하기 위한, 공격 목적의 패킷일 수 있으며, 이러한 패킷은 정보 획득 장치(100)의 제어에 따라 생성된 것일 수 있다. 또한, 모니터링 디바이스(400)는 정보 획득 장치(100)에 네트워크를 통해 게이트웨이(300)에 소정의 패킷을 송신하도록 요청할 수도 있다. 이때 정보 획득 장치(100)로부터 게이트웨이(300)로 송신되는 패킷 또한 게이트웨이(300)가 보안상 취약점을 갖고 있는지를 테스트하기 위한, 공격 목적의 패킷일 수 있다. 이에 대해서는 도 8에서 보다 자세하게 살펴보기로 한다.
네트워크(500)는 유선망 또는 무선망과 같은 일반적인 공용 인터넷 망일 수 있다.
정보 획득 장치(100)는 모니터링 디바이스(400)로부터 디바이스(200)에 대한 패킷을 수신한 뒤, 해당 패킷에 포함된 다양한 데이터를 이용하여 디바이스(200)에 대한 정보를 획득한다. 이러한 정보 획득 장치(100)는 서버와 같은 컴퓨터 등에서 구현 가능하다. 이하에서는 정보 획득 장치(100)가 디바이스(200)에 대한 정보를 획득하기 위해 이용하는 다양한 데이터의 종류 및 그 특성에 대해 도 2를 참조하여 살펴보기로 한다.
도 2는 도 1에 도시된 정보 획득 장치(100)가 디바이스(200)에 대한 정보를 획득하기 위해 이용하는 데이터의 종류 및 그 특성을 개념적으로 도시한 도면이다.
도 2를 참조하면, 디바이스(200)에 대한 정보 획득을 위해, 정보 획득 장치(100)는 정적(static) 데이터와 동적(dynamic) 데이터를 조합하여 이용할 수 있다. 정적 데이터는 디바이스(200) 자체에 할당되어 있는 값인 반면, 동적 데이터는 디바이스(200)가 통신을 할 때 패킷에 반영되는 값이다. 이러한 정적 데이터는 디바이스(200) 자체에 할당된 값을 그대로 가져오는 것이기 때문에 데이터의 획득 내지 분석에 상대적으로 시간이 오래 소요되지 않으며, 데이터의 신뢰성 또한 상대적으로 높은 편이다. 반면, 동적 데이터는 디바이스(200)가 송수신하는 패킷에 반영되는 값이므로 패킷에 대한 지속적인 모니터링이 선결되어야만 획득 가능하며, 따라서 데이터의 획득 내지 분석에 상대적으로 시간이 오래 소요되며, 데이터의 신뢰성 또한, 상대적으로 낮은 편이다.
이러한 정적 데이터는 호스트명(hostname)와 MAC (Media Access Control) 주소를 포함할 수 있고, 동적 데이터는 TCP (Transmission Control Protocol) 시그니처(signature), 서비스 시그니처 및 DHCP (Dynamic Host Configuration Protocol) 시그니처를 포함할 수 있으며, 다만 정적 데이터와 동적 데이터가 예시한 것들만을 포함하는 것으로 한정 해석되는 것은 아니다.
이 중 TCP 시그니처는 디바이스(200)가 TCP/IP 통신할 때 주고받는 패킷의 페이로드(payload)를 분석함으로써 획득 가능한 데이터를 의미한다. 예컨대, TCP 시그니처에 따르면 최초 세션 생성 시의 SYN 패킷의 윈도우 사이즈, 최대 세그먼트 사이즈(maximum segment size, MSS)나 그 이후 패킷의 fragmentation bit, TTL 값 또는 TCP 옵션값 등이 여기에 포함될 수 있으나 이에 한정되지 않으며, 이러한 TCP 시그니처는 이미 공지된 기술이므로 이에 대한 추가적인 설명은 생략하기로 한다.
서비스 시그니처는 서비스 프로토콜을 이용하여 획득 가능한 데이터를 의미한다. 서비스 시그니처는 각각의 디바이스(200)의 특색에 맞는 열림 포트 탐지에 용이하다. 이러한 서비스 시그니처 자체는 이미 공지된 기술이므로 이에 대한 추가적인 설명은 생략하기로 한다.
DHCP 시그니처는 디바이스(200)가 IP를 최초 할당받거나 또는 그 이후 IP 주소가 만료되어 갱신되는 시점에 확인 가능한 데이터를 의미한다. 이러한 DHCP 시그니처 자체는 이미 공지된 기술이므로 이에 대한 추가적인 설명은 생략하기로 한다.
한편, 전술한 호스트명과 서비스 시그니처는 정보 획득 장치(100)의 요청에 따라 모니터링 디바이스(400)가 디바이스(200)를 스캔하여 획득 가능한 데이터라는 점에서, 능동적(active)으로 획득 가능한 데이터로 분류될 수 있다. 예컨대, 모니터링 디바이스(400)는 호스트명을 획득하기 위해 arp (address resolution protocol) 또는 dns (domain name system)를 디바이스(200)에 요청(active한 액션)할 수 있다. 아울러, 모니터링 디바이스(400)는 서비스 시그니처를 획득하기 위해 디바이스(200)에 포트 스캔 방식(active한 액션)을 적용할 수 있다.
이와 달리, TCP 시그니처 및 DHCP 시그니처는 해당 디바이스가 통신을 하는 과정에서 주고받는 패킷을 분석해서 획득 가능한 데이터라는 점에서, 수동적(passive)으로 획득 가능한 데이터로 분류될 수 있다.
아울러, MAC 주소는 필요한 때에 언제든지 획득 가능한 데이터라는 점에서 능동적으로 획득 가능한 데이터로 분류될 수 있지만, 모니터링 디바이스(400)가 호스트명을 획득하는 과정에서 자동으로 획득 가능하고 또한 전술한 TCP 시그니처나 DHCP 시그니처를 획득하는 과정에서도 자동으로 획득 가능하다는 점에서 수동적으로 획득 가능한 데이터로 분류될 수도 있다. 이하에서 MAC 주소는 수동적으로 획득 가능한 데이터로 분류하는 것을 전제로 하되, 실시예에 따라서 MAC 주소가 능동적으로 획득 가능한 데이터로 분류되는 것이 배제되는 것은 아니다.
일 실시예에 따른 정보 획득 장치(100)는 전술한 능동적으로 획득 가능한 데이터와 수동적으로 획득 가능한 데이터를 다양한 방식으로 '조합'하여서 디바이스(200)에 대한 정보를 보다 정확하면서도 신속하게 획득한다. 아울러, 정보 획득 장치(100)는 이와 같이 획득된 정보를 기초로 디바이스(200)에 대한 보안상 취약점을 파악하고, 그에 따른 조치가 취해지도록 제어할 수 있다. 이하에서는 이러한 정보 획득 장치(100)에 대해 보다 자세하게 살펴보기로 한다.
도 3은 도 1에 도시된 정보 획득 장치(100)의 구성을 개념적으로 도시한 도면이고, 도 4는 도 3에 도시된 데이터베이스(150)의 구성을 개념적으로 도시한 도면이다. 도 3과 4는 예시적인 도면에 불과하므로, 정보 획득 장치(100) 및 그에 속하는 데이터베이스(150)의 구성이 도 3과 도 4에 도시된 것으로 한정해석되는 것은 아니다.
먼저, 도 3을 참조하면 정보 획득 장치(100)는 통신부(110), 능동적 정보 획득부(120), 수동적 정보 획득부(130) 및 디바이스 정보 획득부(140)를 포함하며, 실시예에 따라서 데이터베이스(150), 변경 탐지부(160), 피드백부(170), 보안 테스트부(180) 및 알림부(190)를 더 포함할 수 있다. 아울러, 도 4를 참조하면 데이터베이스(150)는 복수 개의 세부 데이터베이스들(151 내지 156)을 포함할 수 있는데, 이들 복수 개의 세부 데이터베이스들(151 내지 156)은 두 개의 카테고리중 어느 하나로 분류 가능하다. 하나의 카테고리는 디바이스(200)에 대한 정보를 파악하는데 사용되는 데이터베이스들을 포함할 수 있으며, 예컨대 호스트명 데이터베이스(151), MAC 주소 데이터베이스(152), TCP 핑거프린트 데이터베이스(153), 오픈 포트 프로토콜 데이터베이스(154) 및 DHCP 핑거프린트 데이터베이스(155)를 포함할 수 있다. 다른 하나의 카테고리는 앞서 설명한 데이터베이스들(151 내지 155)의 정보를 이용하여 디바이스(200)에 대해 파악된 전술한 정보(예컨대 디바이스의 종류, 디바이스에 설치된 운영체제의 종류 및 운영체제의 버전)를 토대로, 해당 디바이스(200)나 디바이스의 운영체제에 존재하는 보안상 취약점을 갖는 취약점 데이터베이스(156)를 포함할 수 있다. 도 4에 도시된 각각의 데이터베이스들(151 내지 156)에 대해서는 후술하기로 한다.
통신부(110)는 네트워크(500)를 통해 통신을 수행하는 유선 내지 무선 통신 모듈을 포함한다. 통신부(110)는 모니터링 디바이스(400) 또는 각각의 디바이스(200)과 게이트웨이(300)를 통해 연결될 수 있다.
다음으로, 능동적 정보 획득부(120), 수동적 정보 획득부(130), 디바이스 정보 획득부(140), 변경 탐지부(160) 및 보안 테스트부(180)는 이하에서 설명할 기능을 수행하도록 프로그램된 명령어를 저장하는 메모리 및 이러한 명령어를 실행하는 마이크로프로세서에 의해 구현 가능하다.
이 중, 능동적 정보 획득부(120)는 디바이스(200)에 할당된 제1 정보를 모니터링 디바이스(400)에게 요청한다. 이하에서 제1 정보는 전술한 능동적으로 획득 가능한 정보를 나타낸다.
수동적 정보 획득부(130)는 디바이스(200)가 통신을 하는 과정에서 주고받는 패킷을 분석해서 제2 정보를 획득한다. 수동적 정보 획득부(130)에 의해 분석의 대상이 되는 패킷은 모니터링 디바이스(400)에 의해 모니터링된 것일 수 있다. 아울러, 이하에서 제2 정보는 전술한 수동적으로 획득 가능한 정보를 나타낸다.
여기서, 실시예에 따라 능동적 정보 획득부(120)는 제1 정보로서 호스트명만을 요청할 수 있고, 이와 달리 제1 정보로서 호스트명과 서비스 시그니처를 순차적으로 또는 동시에 요청할 수도 있다. 아울러, 실시예에 따라 수동적 정보 획득부(130)는 제2 정보로서 MAC 주소만을 획득할 수 있고, 이와 달리 TCP 시그니처나 DHCP 시그니처를 소정의 순서에 따라 요청할 수도 있다. 능동적 정보 획득부(120)와 수동적 정보 획득부(130)가 각각 제1 정보와 제2 정보로서 어떠한 것을 어떠한 순서로 요청하는지에 대해서는 도 5 내지 7에서 보다 자세하게 살펴보기로 한다.
디바이스 정보 획득부(140)는 디바이스(200)에 대한 정보를 획득한다. 디바이스(200)에 대한 정보는 예컨대 디바이스(200)의 종류(type)에 대한 정보, 디바이스(200)에 설치된 운영체제의 종류에 대한 정보 및 운영체제의 버전에 대한 정보 중 적어도 하나를 포함할 수 있으나 이에 한정되는 것은 아니다. 이 중에서, 디바이스의 종류는 예컨대 PC, 스마트 디바이스, 사물 인터넷 단말 또는 기타(식별이 불가능한 디바이스 등)를 포함할 수 있다. 아울러, 운영체제의 종류는 예컨대 안드로이드, IOS, 윈도우즈, 리눅스 등을 포함할 수 있다. 또한, 운영체제의 버전은 예컨대 각각의 운영체제의 버전, 예컨대 안드로이드 4.1 안드로이드 5.0, IOS 8 이나 9 등과 같은 것일 수 있다. 여기서, 디바이스의 종류나 운영체제의 종류 및 운영체제의 버전은 예시적인 것에 불과하다.
디바이스 정보 획득부(140)는 디바이스(200)에 대한 정보를 획득하기 위해, 전술한 제1 정보와 제2 정보를 조합한다. 조합하는 이유는, 제1 정보와 제2 정보 중 어느 하나만으로는 디바이스(200)에 대한 전술한 정보(디바이스(200)의 종류(type)에 대한 정보, 디바이스(200)에 설치된 운영체제의 종류에 대한 정보 및 운영체제의 버전에 대한 정보)를 모두 얻을 수 없는 경우가 있을 수 있기 때문이다. 즉, 디바이스 정보 획득부(140)는 디바이스(200)에 대한 정보 중 일부를 제1 정보로부터 획득하고 나머지는 제2 정보로부터 획득할 수 있다.
여기서, 제2 정보가 MAC 주소인 경우, 디바이스 정보 획득부(140)가 도 4에 도시된 MAC 주소 데이터베이스(152)를 이용하여 MAC 주소로부터 디바이스(200)에 대한 정보를 획득하는 방법에 대해 살펴보기로 한다.
도 4에 도시된 MAC 주소 데이터베이스(152)는 MAC 주소의 값을 복수 개의 구간 중 어느 하나의 구간에 속하는 것으로 분류하는 분류 기준을 미리 정의하여서 저장하고 있다. 아울러, 이러한 복수 개의 구간 각각에는 해당 구간 내의 MAC 주소를 갖는 디바이스가 어떠한 종류의 디바이스인지, 어떠한 종류의 운영체제가 설치되어 있는지 및 해당 운영체제의 버전이 무엇인지 중 적어도 하나가 미리 정의 내지 저장되어 있다. 예컨대, 제1 디바이스의 MAC 주소가 특정 범위 사이에서의 값을 갖는 경우, 이러한 MAC 주소의 값을 갖는 디바이스는 어떠한 종류의 디바이스인지, 어떠한 종류의 운영체제가 설치되어 있는지 및 해당 운영체제의 버전이 무엇인지 중에서 적어도 하나가 이러한 MAC 주소 데이터베이스(152)에 미리 정의 내지 저장되어 있을 수 있다. 여기서, MAC 주소는 16진수의 6자리 숫자(앞의 3자리는 OUI, 뒤의 3자리는 UID라고 지칭)로 구성된다. 이 때, 분류 기준에 따르면 OUI (Organizationally Unique Identifier)와 UID (Unique Identifier)를 모두 이용하여 MAC 주소를 분류하는 제1 예가 있거나, UID만을 이용하여 MAC 주소를 분류하는 제2 예가 있을 수 있다. OUI를 통해서는 디바이스(200) 또는 디바이스(200)에 포함된 통신 모듈의 벤더에 대한 정보가 확보될 수 있고, UID를 통해서는 전술한 디바이스(200)에 대한 정보들, 예컨대 디바이스의 종류, 디바이스에 설치된 OS의 종류나 OS의 버전 등에 대한 정보가 확보될 수 있다.
제2 정보로서 MAC 주소가 수동적 정보 획득부(130)에 의해 획득되면, 디바이스 정보 획득부(140)는 MAC 주소 데이터베이스(152)에 저장된 전술한 분류 기준에 맞춰서 MAC 주소를 어느 하나의 구간으로 분류하고, 해당 분류된 구간에 할당된 디바이스의 정보를 획득할 수 있다.
한편, MAC 주소 데이터베이스(152)의 분류 기준은 갱신 가능하다. 예컨대, 제1 정보로서 호스트명 및 서비스 시그니처 중 적어도 하나가 채용되고 제2 정보로서 TCP 시그니처 및 DHCP 시그니처 중 적어도 하나가 채용된 경우이면서 이러한 제1 정보와 제2 정보를 조합하여서 디바이스(200)에 대한 정보가 획득되면, MAC 주소 데이터베이스(152)는 해당 디바이스(200)에 할당된 MAC 주소 및 해당 디바이스(200)에 대한 정보를 MAC 주소 데이터베이스(152)에 갱신시키고, 이로써 분류 기준은 갱신될 수 있다. 이와 같이 분류 기준이 갱신될 경우, MAC 주소를 분류하는 분류 기준이 세분화 내지 정교화될 수 있다. 따라서, 더욱 적은 양의 정보만으로도, 예컨대 MAC 주소만이 획득된 상황에서도 디바이스(200)에 대한 정보가 신속 및 정확하게 획득될 수 있다.
다시 도 3을 참조하면, 데이터베이스(150)는 데이터를 저장하는 메모리에 의해 구현 가능하다. 이러한 데이터베이스(150)에 대한 상세한 구성은 도 4에 도시되어 있다. 이 중 취약점 데이터베이스(156)는 도 3에 도시된 보안 테스트부(180)를 설명하면서 같이 설명하기로 한다.
호스트명 데이터베이스(151)는 능동적 정보 획득부(120)가 획득한 호스트명을 복수 개의 카테고리 중 어느 하나의 카테고리에 속하는 것으로 분류하는 분류 기준을 미리 정의하여서 저장하고 있다. 아울러, 이러한 복수 개의 카테고리 각각에는 해당 카테고리에 속하는 호스트명에는 디바이스가 어떠한 종류의 디바이스인지, 어떠한 종류의 운영체제가 설치되어 있는지 및 해당 운영체제의 버전이 무엇인지 중 적어도 하나가 미리 정의 내지 저장되어 있다. 이는, TCP 핑거프린트 데이터베이스(153), 오픈 포트 프로토콜 데이터베이스(154) 및 DHCP 핑거프린트 데이터베이스(155)에 대해서도 모두 마찬가지인바, 이에 대한 설명은 중복되므로 생략하기로 한다.
다시 도 3을 참조하면, 변경 탐지부(160)는 제2 정보를 기준으로 제1 정보가 변경되었는지 여부를 판단한다. 이때의 제1 정보는 예컨대 호스트명일 수 있다. 보다 구체적으로 살펴보면, 호스트명은 디바이스(200)의 소유자 내지 사용자에 의해 임의로 변경 가능하다. 예컨대 아이폰의 사용자는 자신의 아이폰의 호스트명을 갤럭시S8로 변경할 수 있으며, PC의 사용자는 자신의 PC의 호스트명을 아이폰X로 변경할 수 있다. 이 경우, 디바이스 정보 획득부(140)가 제1 정보인 호스트명으로부터 획득한 디바이스에 대한 정보는 제2 정보로부터 획득한 디바이스에 대한 정보와 상이할 수 있다.
변경 탐지부(160)는 이러한 변경을 탐지하기 위해, 제1 정보로부터 획득된 디바이스에 대한 정보와 제2 정보로부터 획득된 디바이스에 대한 정보를 서로 비교한다. 만약 동일한 종류의 디바이스에 대한 정보에 대해 제1 정보가 가리키는 정보와 제2 정보가 가리키는 정보가 서로 상이한 경우, 변경 탐지부(160)는 제1 정보가 변경되었다고 판단할 수 있다. 이 경우 디바이스 정보 획득부(140)는 제1 정보는 배제한 채 제2 정보만을 이용하여 디바이스(200)에 대한 정보를 획득할 수 있다.
디바이스 정보 획득부(140)는, 디바이스(200)에 대한 정보가 획득되지 못한 경우, 피드백부(170)를 통해 정보 획득 장치(100)를 사용하는 복수의 사용자들로부터 해당 디바이스(200)에 대한 피드백을 입력받은 뒤, 이러한 피드백을 기초로 해당 디바이스(200)에 대한 정보를 획득한다. 피드백은 해당 디바이스(200)에 대해서, 전술한 사용자로부터 획득된, 디바이스(200)에 대한 정보이다.
보다 자세하게 살펴보면, 피드백부(170)는 도면에는 도시되지 않았지만 정보 저장부와 판단부를 포함할 수 있으며, 또한 복수의 사용자들로부터 피드백을 입력받는 입력 포트를 포함할 수 있다. 정보 저장부는 정보가 획득되지 않은 디바이스(200)에 대한 제1 정보와 제2 정보, 그리고 복수의 사용자들로부터 입력받은 피드백을 저장한다. 판단부는 복수의 사용자들로부터 해당 디바이스(200)에 대해 입력받은 피드백의 개수를 카운팅하여서, 이러한 개수가 소정의 기준을 초과하는지를 판단한다. 만약 입력받은 피드백의 개수가 소정의 기준을 초과할 경우, 디바이스 정보 획득부(140)는 해당 디바이스(200)에 대한 정보를 이러한 피드백을 이용하여 획득하며, 전술한 제1 정보와 제2 정보 및 피드백은 데이터베이스(150)에 포함된 복수 개의 세부 데이터베이스들(151 내지 155) 중 어느 하나에 부가될 수 있다. 즉, 사용자로부터의 피드백에 의해 데이터베이스(150)의 갱신 내지 학습 과정이 수행될 수 있으며, 이를 통해 보다 정교하면서도 신속한 정보 획득이 가능하게 된다. 그러나 소정의 시간이 경과될 때까지 피드백의 개수가 소정의 기준을 초과하지 못할 경우, 디바이스 정보 획득부(140)는 해당 디바이스(200)에 대한 정보는 공란으로 남겨둘 수 있다.
즉, 일 실시예에 따르면, 디바이스(200)에 대한 정보가 데이터베이스(150)에 저장된 정보만으로 획득되지 않는다고 하여도 사용자로부터의 피드백이 신뢰할 수 있을 수준까지 쌓이게 되면 이러한 피드백을 통해 디바이스(200)에 대한 정보 획득이 가능하게 된다. 뿐만 아니라, 이와 같은 피드백이 데이터베이스(150)에 추가 내지 부가될 경우, 향후 그에 상응하는 디바이스(200)에 대한 정보 요청이 있으면 기존보다 보다 신속하면서도 정교하고 정확한 정보 제공이 가능해질 수 있다.
보안 테스트부(180)는 디바이스(200)에 대한 보안상 취약점을 기초로, 해당 디바이스(200)에게 보안 공격을 시도하도록, 예를 들어, 모니터링 디바이스(400)를 제어할 수 있다. 이를 위해, 보안 테스트부(180)는 디바이스(200)에 대한 보안상 취약점을 취약점 데이터베이스(156)를 이용하여 파악할 수 있다. 보다 자세하게 살펴보면, 취약점 데이터베이스(156)는 특정 디바이스(200)가 어떤 종류이면서 해당 특정 디바이스(200)에 어떠한 종류의 운영체제가 어떤 버전으로 설치되어있는지에 따라, 각각의 경우에 대한 보안상 취약점의 목록을 저장한다. 예컨대, 디바이스가 아이폰이면서 OS가 iOS5인 경우, 디바이스가 IoT이면서 OS가 WinCE인 경우와 같이 디바이스의 정보가 주어지면, 각각의 정보에 따라 해당 디바이스에 대한 취약점 목록이 취약점 데이터베이스(156)를 통해 파악될 수 있다. 디바이스 정보 획득부(140)가 디바이스(200)에 대한 정보를 획득하면, 보안 테스트부(180)는 이러한 취약점 데이터베이스(156)를 이용하여 해당 디바이스(200)에 대한 보안상 취약점을 획득한다. 이후, 보안 테스트부(180)는 이러한 보안상 취약점을 기초로 모니터링 디바이스(400)가 해당 디바이스(200)에게 보안 공격을 시도하도록 명령할 수 있다(내부 스캔).
여기서, 취약점 데이터베이스(156)는 게이트웨이(300)에 대한 보안상 취약점을 추가적으로 저장할 수 있고, 이에 따라 보안 테스트부(180)는 디바이스(200) 뿐 아니라 게이트웨이(300)에 대해서도 보안 공격이 시도되도록 모니터링 디바이스(400)를 제어할 수 있다(내부 스캔). 예컨대, 취약점 데이터베이스(156)를 통해 게이트웨이(300)에 대한 보안 암호화의 등급이나 게이트웨이(300)에 접속 가능한 ID/PW의 보안 정도 등이 파악되면, 이를 기초로 보안 테스트부(180)는 모니터링 디바이스(400)가 게이트웨이(300)에 대해 보안 공격을 시도하도록 명령할 수 있다.
이와 달리, 보안 테스트부(180)는 네트워크(500)를 통해 게이트웨이(300)에 대한 보안 공격을 직접 시도할 수도 있다(외부 스캔).
알림부(190)는 보안 테스트부(180)에 의해 보안 공격이 시도된 결과, 보안성에 문제가 있다고 판단된 경우 그에 따른 조치가 취해지도록 한다. 예컨대, 알림부(190)는 해당 디바이스(200)의 사용자에게 보안성에 문제가 있다고 알리거나 펌웨어를 갱신하도록 알릴 수 있다. 또는 알림부(190)는 해당 디바이스(200)에게 가상 패치가 제공되도록 하거나, 해당 보안 공격이 방화벽 탐지 패턴으로 등록되도록 할 수도 있다.
이상에서 살펴본 바와 같이, 일 실시예에 따르면 다양한 종류의 디바이스에 대한 정보를 능동적으로 획득 가능한 정보와 수동적으로 획득 가능한 정보를 조합해서 파악할 수 있다. 아울러, 능동적으로 획득 가능한 정보가 사용자에 의해 변경이 된 경우에도 이의 변경을 탐지할 수 있으며 더 나아가서는 이를 수정할 수도 있다.
또한, 디바이스에 대해 파악한 이러한 정보들을 기초로 해당 디바이스에 대한 보안상 취약점이 파악될 수 있으며, 보안상 취약점에 대한 조치 또한 일 실시예에 따라 수행되도록 할 수 있다.
아울러, 능동적으로 획득 가능한 정보와 수동적으로 획득 가능한 정보를 조합하는 방식에 따라서 종래보다 신속하면서도 정확하게 정보를 획득하는 것이 가능한데, 이에 대해서는 도 5 내지 도 7을 참조로 보다 자세하게 살펴보기로 한다.
도 5는 도 1에 도시된 정보 획득 장치(100)가 능동적으로 획득 가능한 제1 정보와 수동적으로 획득 가능한 제2 정보를 조합하여 디바이스(200)에 대한 정보를 획득하는 절차에 대한 제1 예시를 도시하고 있다. 다만, 도 5는 예시적인 것에 불과하므로, 본 발명의 사상이 도 5에 도시된 것으로 한정 해석되는 것은 아니다.
도 5를 참조하면, 능동적 정보 획득부(120)는 제1 정보로서 호스트명을 획득하고(S100), 수동적 정보 획득부(130)는 제2 정보로서 MAC 주소를 획득한다(S101). 여기서, 호스트명과 MAC 주소는 동시에 또는 순차적으로 획득 가능하다. 예컨대 능동적 정보 획득부(120)가 모니터링 디바이스(400)에게 arp 패킷을 요청하였고 그에 따라 패킷이 수신된 경우, 능동적 정보 획득부(120)는 이에 따라 수신된 패킷으로부터 호스트명을 획득할 수 있고, 수동적 정보 획득부(130)는 전술한 수신된 패킷 또는 별도의 과정으로부터 수신된 패킷으로부터 MAC 주소를 획득할 수 있다.
다음으로, 디바이스 정보 획득부(140)는 호스트명과 MAC 주소를 조합하여서 디바이스(200)에 대한 정보가 모두 획득되었는지를 판단한다(S110). 만약 디바이스(200)에 대한 정보가 모두 획득되면, 예컨대 디바이스의 종류에 대한 정보, 디바이스에 설치된 운영체제에 대한 정보 및 운영체제의 버전에 대한 정보가 모두 획득되면, 해당 디바이스(200)의 호스트명 및 해당 디바이스(200)의 MAC 주소는 MAC 주소 데이터베이스(152)에 업데이트될 수 있고(S111), 그 후 디바이스(200)에 대한 정보 획득 절차는 종료될 수 있다.
그러나 호스트명과 MAC 주소로부터는 디바이스(200)에 대한 정보가 획득되지 않을 수도 있다. 이 경우 수동적 정보 획득부(130)가 TCP 시그니처를 획득하는 과정(S120), 능동적 정보 획득부(120)가 서비스 시그니처를 획득하는 과정(S140) 및 수동적 정보 획득부(130)가 DHCP 시그니처를 획득하는 과정(S160)이 디바이스에(200)에 대한 모든 정보가 획득될 때까지 수행될 수 있으며, 모든 정보가 획득되면 MAC 주소 데이터베이스(152)가 갱신될 수 있다(S111). 그러나 전술한 과정 S120, S140 및 S160이 수행되었음에도 디바이스(200)에 대한 정보가 획득되지 않은 경우(S170), 피드백부(170)는 전술한 정보들, 즉 호스트명, MAC 주소, TCP 시그니처, 서비스 시그니처 및 DHCP 시그니처를 저장한 뒤 정보 획득 장치(100)의 복수의 사용자들로부터 피드백을 입력받는다(S180). 만약 입력받은 피드백의 개수가 소정의 기준을 초과하였다면(S190), 디바이스 정보 획득부(140)는 이러한 피드백을 기초로 해당 디바이스(200)에 대한 정보를 획득한다(S200). 그러나 입력받은 피드백의 개수가 소정의 기준을 초과하지 않았다면(S190), 추가적으로 피드백이 더 입력될 때까지 대기할 수 있으며, 만약 소정의 기간동안 추가로 피드백이 입력되지 않으면 디바이스 정보 획득부(140)는 해당 디바이스(200)에 대한 정보를 공란으로 남겨둘 수도 있다. 또한, 도면에는 도시하지 않았지만, 피드백을 기초로 해당 디바이스(200)에 대한 정보가 모두 획득된 경우에도, 해당 디바이스(200)의 호스트명 및 해당 디바이스(200)의 MAC 주소는 MAC 주소 데이터베이스(152)에 업데이트 될 수 있다.
도 6은 도 1에 도시된 정보 획득 장치(100)가 능동적으로 획득 가능한 제1 정보와 수동적으로 획득 가능한 제2 정보를 조합하여서 디바이스(200)에 대한 정보를 획득하는 절차에 대한 제2 예시를 도시하고 있다. 다만, 도 6은 예시적인 것에 불과하므로, 본 발명의 사상이 도 6에 도시된 것으로 한정 해석되는 것은 아니다. 아울러, 도 6에 도시된 절차는 도 5에 도시된 절차 중 제1 정보와 제2 정보로서 어떠한 것들을 채용하는지만 상이하며 나머지는 동일하므로, 도 6에서는 제1 정보와 제2 정보로서 어떠한 것들이 채용하는지만 도시하고 있으며, 이에 따라 도 6에서는 도 5에 설명된 것들을 원용하고 자세한 설명은 생략하기로 한다. 아울러, 이는 도 7에서도 마찬가지이다.
도 6을 참조하면, 호스트명을 획득하는 과정(S210), 서비스 시그니처를 획득하는 과정(S211), MAC 주소를 획득하는 과정(S213), TCP 시그니처를 획득하는 과정(S213) 및 DHCP 시그니처를 획득하는 과정(S214)이 디바이스(200)에 대한 정보가 획득될 때까지 순차적으로 수행될 수 있다. 전술한 단계 S210 내지 S214의 수행 중 디바이스(200)에 대한 정보가 특정 단계에서 획득되면 이후의 절차는 수행되지 않고 종료될 수 있지만, 디바이스(200)에 대한 정보가 획득되지 않으면 도 5에 도시된 절차 S170 내지 S200이 수행될 수 있다.
도 7은 도 1에 도시된 정보 획득 장치(100)가 능동적으로 획득 가능한 제1 정보와 수동적으로 획득 가능한 제2 정보를 조합하여서 디바이스(200)에 대한 정보를 획득하는 절차에 대한 제3 예시를 도시하고 있다. 다만, 도 7은 예시적인 것에 불과하므로, 본 발명의 사상이 도 7에 도시된 것으로 한정 해석되는 것은 아니다.
도 7을 참조하면, DHCP 시그니처를 획득하는 과정(S300), 호스트명을 획득하는 과정(S301), 서비스 시그니처를 획득하는 과정(S302), MAC 주소를 획득하는 과정(S303) 및 TCP 시그니처를 획득하는 과정(S304)를 획득하는 과정이 디바이스(200)에 대한 정보가 획득될 때까지 순차적으로 수행될 수 있다. 전술한 단계 S300 내지 S304의 수행 중 디바이스(200)에 대한 정보가 특정 단계에서 획득되면 이후의 절차는 수행되지 않으면서 종료될 수 있지만, 디바이스(200)에 대한 정보가 획득되지 않으면 도 5에 도시된 절차 S170 내지 S200이 수행될 수 있다.
도 8은 일 실시예에 따른 정보 획득 장치(100)가 디바이스(200)에 대한 보안성을 테스트하는 과정을 도시하고 있다. 다만 도 8은 예시적인 것에 불과하므로, 본 발명의 사상이 도 8에 도시된 것으로 한정해석되지는 않는다.
도 8을 참조하면, 정보 획득 장치(100)는 디바이스(200) 에 대한 정보를 획득한다(S400).
보안 테스트부(180)는 이러한 디바이스(200)에 대한 정보를 기초로 해당 디바이스(200)에게 보안 공격이 시도되도록, 예를 들어, 모니터링 디바이스(400)를 제어할 수 있다(S410). 이를 위해, 보안 테스트부(180)는 디바이스(200)에 대한 보안상 취약점을 취약점 데이터베이스(156)를 이용하여 파악할 수 있다. 보다 자세하게 살펴보면, 취약점 데이터베이스(156)는 디바이스의 종류에 따른 보안상 취약점, 디바이스에 설치된 운영체제별 보안상 취약점 및 운영체제의 버전별 보안상 취약점 중 적어도 하나를 저장한다. 디바이스 정보 획득부(140)가 디바이스(200)에 대한 정보를 획득하면, 보안 테스트부(180)는 취약점 데이터베이스(156)를 이용하여, 해당 디바이스(200)에 대한 보안상 취약점을 획득한다. 이후, 보안 테스트부(180)는 이러한 보안상 취약점을 기초로 모니터링 디바이스(400)가 해당 디바이스(200)에게 보안 공격을 시도하도록 명령할 수 있다(S411).
여기서, 취약점 데이터베이스(156)는 게이트웨이(300)에 대한 보안상 취약점을 추가로 저장할 수 있고, 이에 따라 보안 테스트부(180)는 게이트웨이(300)에 대해서도 보안 공격이 시도되도록 모니터링 디바이스(400)를 제어할 수 있다(S420). 예컨대, 취약점 데이터베이스(156)를 통해 게이트웨이(300)에 대한 보안 암호화의 등급이나 게이트웨이(300)에 접속 가능한 ID/PW의 보안 정도 등이 파악되면, 이를 기초로 보안 테스트부(180)는 모니터링 디바이스(400)가 게이트웨이(300)에 대해서 보안 공격을 시도하도록 명령할 수 있다(S421). 또한, 보안 테스트부(180)는 네트워크(500)를 통해 게이트웨이(300)에 대한 보안 공격을 직접 시도할 수도 있다(S422).
한편, 단계 S411, S421 또는 S422에 의해 보안 공격이 시도된 결과, 보안성에 문제가 있다고 판단된 경우, 도면에는 도시되지 않았지만 알림부(190)는 그에 따른 조치가 취해지도록 한다. 예컨대, 알림부(190)는 해당 디바이스(200)의 사용자에게 보안성이 문제가 있다고 알리거나 펌웨어를 업데이트하도록 알릴 수 있다. 또는 알림부(190)는 해당 디바이스(200)에게 가상 패치가 제공되도록 하거나, 해당 보안 공격이 방화벽 탐지 패턴으로 등록되도록 할 수도 있다.
이상에서 살펴본 바와 같이, 일 실시예에 따르면 다양한 종류의 디바이스에 대한 정보를 능동적으로 획득 가능한 정보와 수동적으로 획득 가능한 정보를 조합해서 파악할 수 있다. 아울러, 능동적으로 획득 가능한 정보가 사용자에 의해 변경이 된 경우에도 이의 변경을 탐지할 수 있으며 더 나아가서는 이를 수정할 수도 있다.
또한, 디바이스에 대해 파악한 이러한 정보들을 기초로 해당 디바이스에 대한 보안상 취약점이 파악될 수 있으며, 보안상 취약점에 대한 조치 또한 일 실시예에 따라 수행되도록 할 수 있다.
아울러, 능동적으로 획득 가능한 정보와 수동적으로 획득 가능한 정보를 조합하는 방식에 따라서 종래보다 신속하면서도 정확하게 정보를 획득하는 것이 가능하다.
이상의 설명은 본 발명의 기술 사상을 예시적으로 설명한 것에 불과한 것으로서, 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자라면 본 발명의 본질적인 품질에서 벗어나지 않는 범위에서 다양한 수정 및 변형이 가능할 것이다. 따라서, 본 발명에 개시된 실시예들은 본 발명의 기술 사상을 한정하기 위한 것이 아니라 설명하기 위한 것이고, 이러한 실시예에 의하여 본 발명의 기술 사상의 범위가 한정되는 것은 아니다. 본 발명의 보호 범위는 아래의 청구범위에 의하여 해석되어야 하며, 그와 균등한 범위 내에 있는 모든 기술사상은 본 발명의 권리범위에 포함되는 것으로 해석되어야 할 것이다.

Claims (21)

  1. 디바이스를 모니터링하는 모니터링 디바이스와 통신을 수행하는 통신부와,
    상기 디바이스에 할당된 제1 정보를 상기 모니터링 디바이스에게 요청하는 능동적(active) 정보 획득부와,
    상기 모니터링 디바이스에 의해 모니터링된 패킷이 상기 통신부를 통해 수신되면, 상기 수신된 패킷으로부터 상기 디바이스에 할당된 제2 정보를 획득하는 수동적(passive) 정보 획득부와,
    상기 요청에 따라 수신된 제1 정보 및 상기 획득된 제2 정보를 이용하여 상기 디바이스에 대한 정보를 획득하는 디바이스 정보 획득부를 포함하는
    정보 획득 장치.
  2. 제1 항에 있어서,
    상기 디바이스에 대한 정보는,
    상기 디바이스의 종류(type)에 대한 정보, 상기 디바이스에 설치된 운영체제의 종류에 대한 정보 및 상기 운영체제의 버전에 대한 정보 중 적어도 하나를 포함하는
    정보 획득 장치.
  3. 제1 항에 있어서,
    상기 제1 정보는 상기 디바이스에 할당된 호스트명(hostname)인
    정보 획득 장치.
  4. 제3 항에 있어서,
    상기 정보 획득 장치는,
    상기 제2 정보를 기준으로 상기 호스트명이 변경되었는지 여부를 판단하는 변경 탐지부를 더 포함하고,
    상기 디바이스 정보 획득부는,
    상기 호스트명이 변경되었다고 판단되면 상기 제2 정보만을 이용하여 상기 디바이스에 대한 정보를 획득하는
    정보 획득 장치.
  5. 제1 항에 있어서,
    상기 능동적 정보 획득부는,
    상기 디바이스에 할당된 제1 정보로서 상기 디바이스에 할당된 호스트명 및 상기 디바이스에 대한 서비스 시그니처(service signature)를 요청하는
    정보 획득 장치.
  6. 제1 항에 있어서,
    상기 제2 정보는,
    상기 디바이스에 할당된 MAC 주소(media access control address)를 포함하는
    정보 획득 장치.
  7. 제6 항에 있어서,
    상기 정보 획득 장치는,
    MAC 주소의 값을 복수 개의 구간 중 어느 하나의 구간으로 분류하는 분류 기준을 미리 정의하고 있으며, 상기 복수 개의 구간 각각에 대해 상기 디바이스에 대한 정보를 할당하고 있는 MAC 주소 데이터베이스를 포함하고,
    상기 디바이스 정보 획득부는,
    상기 분류 기준을 기초로 상기 제2 정보에 포함된 MAC 주소를 상기 복수 개의 구간 중 어느 하나의 구간에 속하는 것으로 분류하고, 상기 분류된 어느 하나의 구간에 할당된 디바이스에 대한 정보를 획득하는
    정보 획득 장치.
  8. 제7 항에 있어서,
    상기 디바이스 정보 획득부는,
    MAC 주소의 값을 구성하는 16진수의 6자리 숫자 중 뒤의 3자리 숫자를 기준으로, 상기 디바이스에 할당된 MAC 주소를 상기 복수 개의 구간 중 어느 하나의 구간으로 분류하는
    정보 획득 장치.
  9. 제7 항에 있어서,
    상기 제1 정보는 상기 디바이스에 할당된 호스트명 및 상기 디바이스에 대한 서비스 시그니처 중 적어도 하나를 포함하고,
    상기 제2 정보는 상기 디바이스에 대한 TCP 시그니처 및 상기 디바이스에 대한 DHCP 시그니처 중 적어도 하나를 더 포함하며,
    상기 MAC 주소 데이터베이스는,
    상기 디바이스에 할당된 호스트명, 상기 디바이스에 대한 서비스 시그니처, 상기 디바이스에 대한 TCP 시그니처 및 상기 디바이스에 대한 DHCP 시그니처 중 적어도 하나를 이용하여 상기 디바이스에 대한 정보가 획득되면, 상기 디바이스에 할당된 MAC 주소를 상기 분류 기준에 부가함으로써 상기 분류 기준을 갱신하는
    정보 획득 장치.
  10. 제3 항에 있어서,
    상기 제2 정보는 상기 디바이스에 할당된 MAC 주소를 포함하며,
    상기 수동적 정보 획득부는,
    상기 호스트명과 상기 MAC 주소를 이용하여 상기 디바이스에 대한 정보가 상기 디바이스 정보 획득부에 의해 획득되지 않으면, 상기 디바이스에 대한 TCP 시그니처를 상기 제2 정보로서 추가적으로 획득하고,
    상기 디바이스 정보 획득부는,
    상기 호스트명, 상기 MAC 주소 및 상기 TCP 시그니처를 이용하여 상기 디바이스에 대한 정보를 획득하는
    정보 획득 장치.
  11. 제10 항에 있어서,
    상기 능동적 정보 획득부는,
    상기 호스트명, 상기 MAC 주소 및 상기 TCP 시그니처를 이용하여 상기 디바이스에 대한 정보가 상기 디바이스 정보 획득부에 의해 획득되지 않으면, 상기 디바이스에 대한 서비스 시그니처를 상기 제1 정보로서 추가적으로 획득하고,
    상기 디바이스 정보 획득부는,
    상기 호스트명, 상기 MAC 주소, 상기 TCP 시그니처 및 상기 서비스 시그니처를 이용하여 상기 디바이스에 대한 정보를 획득하는
    정보 획득 장치.
  12. 제11 항에 있어서,
    상기 수동적 정보 획득부는,
    상기 호스트명, 상기 MAC 주소, 상기 TCP 시그니처 및 상기 서비스 시그니처를 이용하여 상기 디바이스에 대한 정보가 상기 디바이스 정보 획득부에 의해 획득되지 않으면, 상기 디바이스에 대한 DHCP 시그니처를 상기 제2 정보로서 추가적으로 획득하고,
    상기 디바이스 정보 획득부는,
    상기 호스트명, 상기 MAC 주소, 상기 TCP 시그니처, 상기 서비스 시그니처 및 상기 DHCP 시그니처를 이용하여 상기 디바이스에 대한 정보를 획득하는
    정보 획득 장치.
  13. 제1 항에 있어서,
    상기 제2 정보는,
    상기 디바이스에 대한 DHCP 시그니처를 포함하는
    정보 획득 장치.
  14. 제1 항에 있어서,
    상기 디바이스 정보 획득부에 의해 상기 디바이스에 대한 정보가 획득되지 않으면 상기 정보 획득 장치를 사용하는 복수의 사용자들로부터 상기 디바이스에 대한 피드백을 입력받은 뒤, 상기 피드백을 기초로 상기 정보가 획득되지 않은 디바이스에 대한 정보를 획득하는 피드백부를 더 포함하는
    정보 획득 장치.
  15. 제14 항에 있어서,
    상기 피드백부는,
    상기 제1 정보, 상기 제2 정보 및 상기 복수의 사용자들로부터 입력받은 피드백을 저장하는 정보 저장부와,
    상기 제1 정보 및 상기 제2 정보를 갖는 디바이스에 대해 저장된 피드백의 개수가 소정의 기준을 초과하는지를 판단하는 판단부를 포함하고,
    상기 디바이스 정보 획득부는,
    상기 제1 정보 및 상기 제2 정보를 갖는 디바이스에 대해 저장된 피드백의 개수가 소정의 기준을 초과하면 상기 피드백을 이용하여 상기 제1 정보 및 상기 제2 정보를 갖는 디바이스에 대한 정보를 획득하는
    정보 획득 장치.
  16. 제15 항에 있어서,
    상기 정보 획득 장치는,
    복수 개의 제1 정보 및 복수 개의 제2 정보를 저장하면서 상기 복수 개의 제1 정보와 상기 복수 개의 제2 정보 각각에 대응하는 디바이스에 대한 정보를 저장하는 데이터베이스를 더 포함하고,
    상기 데이터베이스는,
    상기 제1 정보 및 상기 제2 정보를 갖는 디바이스에 대해 상기 저장된 피드백의 개수가 소정의 기준을 초과하면, 상기 제1 정보, 상기 제2 정보 및 상기 피드백을 상기 저장된 디바이스에 대한 정보에 추가하는
    정보 획득 장치.
  17. 제1 항에 있어서,
    상기 정보 획득 장치는,
    복수 개의 디바이스 각각에 대한 보안상 취약점을 해당 디바이스의 정보별로 저장하는 취약점 데이터베이스를 더 포함하고,
    상기 디바이스 정보 획득부는,
    상기 획득된 디바이스에 대한 정보를 기초로, 상기 디바이스에 대한 보안상 취약점을 상기 취약점 데이터베이스를 이용하여 파악하는
    정보 획득 장치.
  18. 제17 항에 있어서,
    상기 취약점 데이터베이스는,
    상기 디바이스를 네트워크에 연결시키는 게이트웨이에 대한 보안상 취약점을 추가로 저장하고,
    상기 디바이스 정보 획득부는,
    상기 게이트웨이에 대한 보안상 취약점을 상기 취약점 데이터베이스를 이용하여 파악하는
    정보 획득 장치.
  19. 제18 항에 있어서,
    상기 게이트웨이에 대한 보안상 취약점을 기초로, 상기 게이트웨이에 대한 보안 공격을 시도하는 보안 테스트부를 더 포함하는
    정보 획득 장치.
  20. 제17 항에 있어서,
    상기 모니터링 디바이스로 하여금 상기 보안상 취약점을 기초로 상기 디바이스에 대한 보안 공격을 시도하도록 명령하는 보안 테스트부를 더 포함하는
    정보 획득 장치.
  21. 정보 획득 장치에 의해 수행되는 정보 획득 방법으로서,
    디바이스를 모니터링하는 모니터링 디바이스에게, 상기 디바이스에 할당된 제1 정보를 요청하는 단계와,
    상기 제1 정보를 포함하는 패킷을 수신하는 단계와,
    상기 모니터링 디바이스에 의해 모니터링된, 상기 디바이스에 대한 제2 정보를 포함하는 패킷을 수신하는 단계와,
    상기 요청에 따라 수신된 제1 정보 및 상기 수신된 패킷에 포함된 제2 정보를 이용하여 상기 디바이스에 대한 정보를 획득하는 단계를 포함하는
    정보 획득 방법.
PCT/KR2019/000680 2018-01-29 2019-01-17 디바이스의 정보 획득 장치 및 방법 WO2019146956A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2018-0010436 2018-01-29
KR1020180010436A KR102052035B1 (ko) 2018-01-29 2018-01-29 디바이스의 정보 획득 장치 및 방법

Publications (1)

Publication Number Publication Date
WO2019146956A1 true WO2019146956A1 (ko) 2019-08-01

Family

ID=67394609

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2019/000680 WO2019146956A1 (ko) 2018-01-29 2019-01-17 디바이스의 정보 획득 장치 및 방법

Country Status (2)

Country Link
KR (1) KR102052035B1 (ko)
WO (1) WO2019146956A1 (ko)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102366304B1 (ko) * 2020-05-11 2022-02-23 (주)노르마 페이크 디바이스 탐지 방법 및 무선 디바이스 케어 장치
KR102389936B1 (ko) * 2020-06-23 2022-04-25 (주)노르마 취약점 분석 및 이와 연계된 IoT 케어 시스템
KR102389938B1 (ko) * 2020-06-23 2022-04-25 (주)노르마 IoT 타입 분석 및 이를 이용한 불법 IoT 디바이스 탐지 시스템
KR102439984B1 (ko) * 2020-07-20 2022-09-02 김동진 웹 사이트 정보제공시스템
KR102414848B1 (ko) * 2020-07-20 2022-06-29 김동진 상품 정보제공시스템
KR102488604B1 (ko) * 2020-08-10 2023-01-16 김성겸 Fkm, ffkm, hnbr, csm, 또는 에피클로로히드린과 같은 특수 고무들의 제조 장치 및 발주 시스템
KR102386232B1 (ko) * 2020-10-23 2022-04-13 한국과학기술원 Sdn 웹 인터페이스에 대한 csrf 취약점을 탐지하는 방법 및 장치
KR102624946B1 (ko) 2021-11-25 2024-01-15 (주) 앤앤에스피 Ics/ot 네트워크에 대한 패시브 핑거프린트 및 보안위협 분석 시스템

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20140317270A1 (en) * 2013-04-22 2014-10-23 Jan Besehanic Systems, methods, and apparatus to identify media devices
KR20160058300A (ko) * 2014-11-14 2016-05-25 삼성에스디에스 주식회사 단말 정보 식별 장치 및 방법
US20160315909A1 (en) * 2015-04-21 2016-10-27 Cujo LLC Network security analysis for smart appliances
KR101697250B1 (ko) * 2016-03-08 2017-01-17 (주)엔텔스 이동통신네트워크에 접속한 단말의 모델 정보를 수집하는 방법 및 단말의 모델 정보 수집 장치
KR20170080958A (ko) * 2015-12-31 2017-07-11 (주)노르마 사물 인터넷（ＩｏＴ）네트워크의 보안을 유지 및 강화하기 위한 시스템
KR20170095704A (ko) * 2016-02-15 2017-08-23 충남대학교산학협력단 네트워크 프린터의 취약점 점검 방법 및 시스템

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102457261B1 (ko) 2015-10-27 2022-10-19 에스케이플래닛 주식회사 미들웨어 환경 기반의 서버 관리 시스템

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20140317270A1 (en) * 2013-04-22 2014-10-23 Jan Besehanic Systems, methods, and apparatus to identify media devices
KR20160058300A (ko) * 2014-11-14 2016-05-25 삼성에스디에스 주식회사 단말 정보 식별 장치 및 방법
US20160315909A1 (en) * 2015-04-21 2016-10-27 Cujo LLC Network security analysis for smart appliances
KR20170080958A (ko) * 2015-12-31 2017-07-11 (주)노르마 사물 인터넷（ＩｏＴ）네트워크의 보안을 유지 및 강화하기 위한 시스템
KR20170095704A (ko) * 2016-02-15 2017-08-23 충남대학교산학협력단 네트워크 프린터의 취약점 점검 방법 및 시스템
KR101697250B1 (ko) * 2016-03-08 2017-01-17 (주)엔텔스 이동통신네트워크에 접속한 단말의 모델 정보를 수집하는 방법 및 단말의 모델 정보 수집 장치

Also Published As

Publication number Publication date
KR20190091636A (ko) 2019-08-07
KR102052035B1 (ko) 2020-01-08

Similar Documents

Publication Publication Date Title
WO2019146956A1 (ko) 디바이스의 정보 획득 장치 및 방법
US9119070B2 (en) Method and system for detecting unauthorized wireless devices
JP4081472B2 (ja) ネットワーク装置のクラスタ管理方法及びその装置
WO2014051326A1 (en) Image forming apparatus supporting wifi direct and method of controlling internet access in image forming apparatus
WO2014081205A1 (ko) 불법 ａｐ 검출 시스템 및 그의 검출 방법
WO2010110530A1 (ko) Ipv6 네트워크 내 호스트 차단 및 탐색방법
WO2012153913A1 (ko) 차단서버를 이용한 스푸핑 공격 방어방법
WO2022235007A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2022255619A1 (ko) 무선 침입 방지 시스템 및 그 동작 방법
KR100980147B1 (ko) 무선 근거리 통신망에서 스테이션의 상태를 결정하기 위한 방법 및 장치
WO2016076574A1 (ko) 단말 정보 식별 장치 및 방법
WO2015065149A1 (ko) 전자 장치 및 전자 장치의 제어 방법
WO2020013439A1 (ko) Sdn네트워크에서 라우팅 제어 장치 및 방법
WO2010036054A2 (ko) Ａｒｐ 공격 감지 방법 및 이를 이용한 시스템
WO2016035954A1 (ko) 인터넷 회선 품질측정 전용단말 및 그 운영 방법
WO2015194829A2 (ko) 인터넷 접속 요청을 하는 클라이언트 단말의 인터넷 접속 요청 트래픽으로부터 동일한 공인 ip를 이용하는 사설 네트워크상의 복수개의 클라이언트 단말 중에서 추가 비지정 도메인 네임을 구비한 웹서버에 의해 선별된 디바이스의 대수를 검출하는 방법 및 공인 ip 공유 상태의 디바이스의 선별적인 검출 시스템
WO2015020502A1 (ko) P2p 그룹을 형성하는 무선 통신 네트워크에서 서비스 디스커버리 기법
WO2016159396A1 (ko) 윕스 센서 및 이를 이용한 단말 차단 방법
WO2020009369A1 (ko) 종단 간 통신에 보안을 제공하기 위한 장치 및 방법
WO2024029658A1 (ko) 네트워크에서의 접근 통제 시스템 및 그 방법
US7359338B2 (en) Method and apparatus for transferring packets in network
JP2006332910A (ja) ネットワーク機器制御システム、アクセス制御装置、アクセス制御方法、及びプログラム
US7613123B2 (en) Apparatus and method for establishing network
WO2014061997A1 (ko) 멀티 호스트 억세스 지원 장치 및 방법
CN114629725A (zh) 一种用户域哑终端管理方法、装置、系统和存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19743972

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19743972

Country of ref document: EP

Kind code of ref document: A1