WO2019231089A1 - 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법 - Google Patents

보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법 Download PDF

Info

Publication number
WO2019231089A1
WO2019231089A1 PCT/KR2019/003325 KR2019003325W WO2019231089A1 WO 2019231089 A1 WO2019231089 A1 WO 2019231089A1 KR 2019003325 W KR2019003325 W KR 2019003325W WO 2019231089 A1 WO2019231089 A1 WO 2019231089A1
Authority
WO
WIPO (PCT)
Prior art keywords
security policy
policy
security
log
information
Prior art date
Application number
PCT/KR2019/003325
Other languages
English (en)
French (fr)
Inventor
홍기융
이규호
이성근
손주양
송종만
Original Assignee
주식회사 시큐브
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 시큐브 filed Critical 주식회사 시큐브
Priority to JP2020567063A priority Critical patent/JP7241360B2/ja
Priority to US16/345,785 priority patent/US20210279329A1/en
Priority to EP19717409.7A priority patent/EP3809298A4/en
Publication of WO2019231089A1 publication Critical patent/WO2019231089A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/16—Program or content traceability, e.g. by watermarking
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/54—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by adding security routines or objects to programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Definitions

  • the present invention relates to a security policy and audit log bidirectional query, contrast, tracking system and method that can check the current and past security policy and log in real-time bidirectional inquiry, contrast and tracking.
  • Korean Patent Publication No. 10-2009-0044202 discloses a web page that can strengthen a security system by constructing a detectable web security system against intrusion by a web page bypass and tampering with a web page parameter among various attack types of a web page. Provides a web security service method and system using the bypass intrusion detection and the parameter tamper detection.
  • Korean Patent Laid-Open Publication No. 10-2009-0044202 collects log files generated from a web server, stores the collected log files, and analyzes the access order of web pages attempted to access using the log files. Compared with the access order, it is determined whether or not a match is made, and if it is determined that an abnormal access attempt is made, a report is generated and the report is transmitted to the manager terminal.
  • Patent Publication No. 10-2009-0044202 has a problem that it is difficult to check which security policy is applied based on each log information, and it is difficult to check whether a log is generated and recorded based on each security policy information.
  • the present invention has been invented to improve the above problems, and can effectively look up and confirm various log information generated by setting and changing various security policies, and based on the collected log information, It is to provide a security policy and audit log bidirectional inquiry, contrast, and tracking system and method for retrieving and confirming whether the information is checked.
  • the present invention records the audit log when an event occurs that complies with and violates the security policy by applying the existing security policy as well as the new security policy, and the policy identification information (security policy ID or It is to provide a system and method that can inquire, collate, and track the log related to the security policy and the security policy related to the log in both directions using the policy configuration information) and the security system ID.
  • the present invention grants unique policy identification information whenever a security policy is created and changed, records and manages the corresponding security policy in the integrated security policy history DB, and provides the security policy to the security software agent.
  • a security policy setting unit for transmitting information, wherein the policy identification information includes a security policy ID or a security policy ID and policy configuration information; Applying the security policy received from the security policy setting unit, when a log that complies with the security policy and a log violation violates the security policy, the security policy unique security policy ID or policy configuration information related to the log generation is included in the log information.
  • Security software agent to generate an audit log;
  • An audit log that collects the audit log generated by the security software agent, extracts the security policy ID or policy configuration information from the audit log, maps it to the collected audit log contents as policy identification information, and records it in the audit log DB.
  • Collecting unit And compare the policy identification information recorded in the integrated security policy history DB with the policy identification information recorded in the audit log DB to search, contrast and track the audit log related to the security policy, and to query and contrast the security policy related to the audit log.
  • a bidirectional inquiry tracking unit for tracking.
  • the present invention provides a unique policy identification information whenever a security policy is created and changed to record and manage the corresponding security policy in the integrated security policy history DB, and to the security software agent.
  • a security policy setting step of transmitting security policy information wherein the policy identification information comprises a security policy ID or a security policy ID and policy configuration information;
  • the security software agent applies the received security policy and audits by including the security policy ID or policy configuration information unique to the security policy related to the log generation when the log complying with the security policy and a log violation violating the security policy.
  • Bidirectional inquiry tracking step of tracking characterized in that it comprises a.
  • the applicant information about the security policy can be checked, and the security policy for the audit log can be checked by comparing the audit log DB and the security policy DB, and using the application information.
  • Applicant information can be checked in the DB, so security policy applicant information can be traced from the audit log.
  • FIG. 1 is a block diagram of a security policy and an audit log bidirectional inquiry, collation, and tracking system according to an embodiment of the present invention.
  • FIG. 2 is a flowchart illustrating a security policy and an audit log bidirectional inquiry, collation and tracking method according to an exemplary embodiment of the present invention.
  • FIG. 3 is a block diagram showing the relationship between the components of the security policy and audit log bidirectional inquiry, contrast, tracking system according to an embodiment of the present invention.
  • FIG. 4 is a diagram illustrating an example of a security policy.
  • FIG. 5 is a diagram illustrating an example of an integrated security policy history DB.
  • FIG. 6 is a diagram illustrating an example of an audit log.
  • FIG. 7 is a diagram illustrating an example of extracting policy identification information.
  • FIG. 8 is a diagram illustrating an example of an audit log DB.
  • FIG. 9 is a conceptual diagram illustrating a situation in which a bidirectional inquiry, a collation, and a tracking are performed between a security policy and an audit log in a security policy and an audit log bidirectional inquiry, collation and tracking system according to an exemplary embodiment of the present invention.
  • FIG. 10 is a conceptual diagram illustrating a situation of confirming applicant information through security policy and audit log information in a security policy and audit log bidirectional inquiry, contrast, and tracking system according to an exemplary embodiment of the present invention.
  • 11 is a conceptual diagram for querying the security policy history through the audit log in the security policy and audit log bidirectional inquiry, contrast, tracking system according to an embodiment of the present invention, and querying the applicant information for the security policy.
  • the security policy and audit log bidirectional inquiry, contrast, tracking system 100 is a security policy setting unit 110, security software agent 120, audit log collection unit 130 and bidirectional inquiry It includes a tracking unit 140, and may further include the application information setting unit 150 and the application information confirmation unit 160.
  • the security policy setting unit 110 assigns unique policy identification information whenever a security policy is generated and changed, records and manages the corresponding security policy in the integrated security policy history DB 113, and transmits the security policy to the security software agent 120.
  • Policy identification information consists of security policy ID or security policy ID and policy configuration information.
  • the security policy is composed of subjects, objects, actions, policies (allow / deny), constraints, and the like, and is described as shown in FIG.
  • the 'root' user is located in the '/ home / test' directory in the security policy and access control security SW that blocks access to all protocols from the IP address '111.222.33.44' with the Linux host firewall (iptables). Indicates a security policy that allows only 'read / write' behavior.
  • the policy identification information may be generated as a security policy ID or a security policy ID and policy configuration information uniquely identifying the corresponding security policy.
  • Policy composition information shall be the items or combination of items recorded in the security policy and audit log. Policy configuration information is stored and managed by mapping 1: 1 with security policy ID.
  • the security policy setting unit 110 generates policy configuration information consisting of a security policy ID or a security policy ID and a plurality of items that can uniquely identify the security policy, and maps the security policy ID and the corresponding security policy, The policy configuration information consisting of a plurality of items is mapped to the security policy and recorded in the integrated security policy history DB 113.
  • the policy configuration information is composed of a plurality of items including subject information, object information and behavior information extracted from the security policy.
  • the policy composition information is described in detail as follows.
  • Subject information refers to information that can identify an actor in a computer system, such as process, IP address information, user account, and group account.
  • Object information refers to information that can identify the object of action in a computer system such as file, directory, IP address information, and process.
  • Behavior information refers to actions involving changes in the state of an object or the flow of information in a computer system such as files / directories (read, write, delete, create, rename, etc.), processes (execution, shutdown), network (Incoming, Outgoing), etc. Say.
  • the security policy setting unit 110 collects a predetermined security policy in the security software and sets policy configuration information including such subject information, object information, and behavior information.
  • the security policy setting unit 110 collects a security policy without a security policy ID of the security software, and indicates subject or information representing an access path of an actor or an actor extracted from the corresponding security policy, an object to be accessed through the actor or the access path.
  • Set policy configuration information consisting of a plurality of items including object information indicating the information and behavior information indicating the contents to be executed for the actor or the target to be accessed by the access path, and assigns a security policy ID to the security policy ID and
  • the policy configuration information consisting of a plurality of items is mapped to the security policy and recorded in the integrated security policy history DB 113.
  • the security policy ID Since the security policy ID will not be assigned to the existing security policy, it collects the security policy without the security policy ID, sets the policy configuration information configured using the information extracted from the security policy, and then assigns the security policy ID. will be.
  • the security policy setting unit 110 assigns a security policy ID to the security policy, records it in the integrated security policy history DB 113, and includes the security policy ID. The transmitted security policy information to the security software agent 120.
  • the security policy agent 120 when the security software agent 120 can apply the security policy ID to the newly set security policy, the security policy agent including the security policy ID is assigned to the security software agent by assigning the security policy ID to the security policy. If the security software agent 120 is unable to apply the security policy ID, the policy configuration information is set and the security policy ID is assigned, but only the security policy information is transmitted to the security software agent 120. will be.
  • the security policy for security software that does not include the security policy ID is mapped to the security policy ID and policy configuration information and stored in the integrated security policy history DB 113.
  • the policy is mapped to only the security policy ID and stored in the integrated security policy history DB 113.
  • the integrated security policy history DB 113 maps and stores policy identification information and a security policy.
  • FIG. 5 shows an example of storing policy identification information and security policy for two security policies in the example of the security policy of FIG. 4.
  • the security policy ID uniquely identifies the policy, and the policy configuration information can be a combination of the target security policy items.
  • the 'subject' and 'act' items selected as the policy composition information of security policy ID “00000001” are selected combinations among the items recorded in the audit log.
  • Integrated security policy history DB (113) consists of the current integrated security policy DB and the past integrated security policy DB, in the case of changing the security policy is stored in the current integrated security policy DB and the existing policy is moved to the old integrated security policy DB and stored.
  • the security policy setting unit 110 assigns unique policy identification information, records and manages the corresponding security policy in the integrated security policy history DB 113, and transmits the security policy information to the security software agent 120.
  • the security software agent 120 applies a security policy received from the security policy setting unit 110 to log in compliance with the security policy and when a log is generated that violates the security policy, a security policy ID or policy specific to the security policy related to the log generation. Audit log is created by including configuration information in log information.
  • the security software agent 120 can be installed and operated on any device such as a device or server to be managed.
  • the security software agent 120 applies a security policy distributed by the security policy setting unit 110 to perform a security function.
  • the applied security policy consists of policy identification information (security policy ID or policy configuration information).
  • the security software agent 120 retrieves the log from the security policy information received from the security policy setting unit 110 when a log in compliance with the security policy and a log that violates the security policy has a security policy ID of the log. Audit log is recorded by including security policy ID in the log.
  • the policy log includes the policy configuration information in the log and records the audit log.
  • the security software agent 120 cannot include the security policy ID in the log, the agent information representing the actor or the access path of the actor extracted from the security policy, the object representing the object to be accessed through the actor or the access path.
  • Policy configuration including information, action information indicating what is intended to be executed for the actor or the target to be accessed by the actor or the access path, and permission / deny information indicating whether to allow or deny the content to be executed by the target as being accessible Record the audit log by including the information in the log.
  • an access control security software shows an example in which an audit log is recorded including a security policy ID.
  • the audit log was recorded including the security policy ID “00000002” in the log.
  • audit log can be recorded including security policy ID.
  • the security policy ID cannot be included, so the audit log is recorded including the policy configuration information.
  • the audit log collection unit 130 collects the audit log generated by the security software agent 120, extracts the security policy ID or policy configuration information from the audit log, and uses the audit log contents collected by using this as policy identification information. Map and record in the audit log DB (133).
  • the audit log collection unit 130 extracts the security policy ID and uses it as policy identification information when the security policy ID is recorded in the collected audit log, and configures the policy when the security policy ID is not recorded in the collected audit log. Extract the information, use it to query the integrated security policy history DB (113), obtain a security policy ID, and use it as policy identification information.
  • the access control security software includes a security policy ID in the audit log.
  • the security policy ID “00000002” is obtained by extracting the “policyid” item.
  • the audit log collecting unit 130 maps the collected audit log contents and the obtained security policy ID and security system ID to record in the audit log DB 133.
  • the bidirectional inquiry tracking unit 140 compares the policy identification information recorded in the integrated security policy history DB 113 with the policy identification information recorded in the audit log DB 133 to search, collate, and track the audit log related to the security policy. And, security policy related to audit log can be inquired, collated and tracked.
  • the integrated security policy history DB 113 is assigned an application ID for applying the security policy for each security policy.
  • the audit log related to the security policy may be inquired and tracked in the direction of security policy-> audit log.
  • audit log-> security policy direction can check and trace the relevant security policy related to the audit log.
  • the security policy setting unit 110 maps the security system ID for each security policy for the security software and records the security system ID in the integrated security policy history DB 113, and the audit log collecting unit 130 records the security system ID for each audit log. Map and record in the audit log DB (133).
  • the bidirectional inquiry tracking unit 140 compares the security system ID recorded in the integrated security policy history DB 113 with the security system ID recorded in the audit log DB 133 to perform bidirectional inquiry, collation, and tracking functions for heterogeneous security software. To provide.
  • the history of security policy changes can be tracked and checked by comparing the policy contents by security policy history, and the current security policy and audit log can be viewed, contrasted, and tracked in real time.
  • the security policy applicant information can be traced from the audit log by managing the application information (application ID) of the security policy by mapping it with the security policy ID.
  • the application information setting unit 150 records and manages information including the application ID, the applicant information of the security policy, and the contents of the security policy application in the application information DB 153.
  • the integrated security policy history DB 113 and the application information DB 153 include an application ID.
  • the application ID is an index for connecting the integrated security policy history DB 113 and the application information DB 153.
  • Application information DB (153) includes the application ID, applicant information, application date, application details, the reason for the application.
  • the application information checking unit 160 may query the application information DB 153 based on the application ID of the integrated security policy history DB 113 to query the application information for the corresponding security policy.
  • the security policy contents can be inquired by querying the integrated security policy history DB (113), and using the integrated security policy history DB (113).
  • the application information DB 153 may be inquired based on the acquired application ID obtained by inquiring.
  • the application information confirming unit 160 searches the integrated security policy history DB 113 based on the security policy ID assigned to each audit log of the audit log DB 133 to apply for the corresponding security policy. After confirming the ID, the application information DB 153 may be inquired based on the application ID, and the application information about the security policy may be inquired.
  • the security policy and application information at the time of audit log occurrence can be checked, and the history of security policy change can be tracked and checked by comparing the policy contents by history of the security policy.
  • the security policy applicant information can be traced from the audit log.
  • the security policy setting unit 110 assigns unique policy identification information whenever a security policy is generated and changed, records and manages the corresponding security policy in the integrated security policy history DB 113, and the security software agent 120. ) to perform the security policy settings and transmitting the security policy information (S210).
  • Policy identification information consists of security policy ID or security policy ID and policy configuration information.
  • the security software agent 120 applies the received security policy to include the security policy ID or policy configuration information unique to the security policy related to the log occurrence when a log in compliance with the security policy and a log violation that violate the security policy are included in the log information.
  • the audit log collection unit 130 collects the generated audit log, extracts the security policy ID or policy configuration information from the audit log, maps it to the collected audit log contents as policy identification information, and then generates an audit log DB ( 133) performs an audit log collecting step to record ( S230 ).
  • the bidirectional inquiry tracking unit 140 compares the policy identification information recorded in the integrated security policy history DB 113 with the policy identification information recorded in the audit log DB 133 to search, collate, and track the audit log related to the security policy. And, performs a two-way inquiry tracking step of querying, contrasting and tracking the security policy associated with the audit log ( S240 ).
  • Security policy setting step ( S210 ) generates a policy configuration information consisting of a security policy ID or a security policy ID and a plurality of items that can uniquely identify the security policy, and maps the security policy ID and the corresponding security policy, The policy configuration information consisting of a plurality of items is mapped to the security policy and recorded in the integrated security policy history DB 113.
  • Security policy setting step ( S210 ) collects a security policy that does not have a security policy ID set in the security software and extracts the subject information representing an actor or an access path of an actor extracted from the security policy, the target to be accessed through the actor or the access path.
  • Set policy configuration information consisting of a plurality of items including object information indicating and behavior information indicating contents to be executed for the actor or the object to be accessed by the access path, and assigning a security policy ID to the security policy ID and the plurality of items.
  • the policy configuration information consisting of two items is mapped to the security policy and recorded in the integrated security policy history DB 113.
  • the security policy setting step ( S210 ) assigns a security policy ID to the security policy of the security software to which the security policy ID is applicable, records it in the integrated security policy history DB 113, and includes a security policy ID. The information is sent to the security software agent 120.
  • Security policy setting step ( S210 ) maps the security system ID for each security policy for the security software and records it in the integrated security policy history DB 113, and the audit log collection step ( S230 ) records the security system ID for each audit log. Map and record in the audit log DB (133).
  • Bidirectional inquiry tracking step ( S240 ) is a bidirectional inquiry, contrast and tracking between the security policy and the audit log by comparing the security system ID recorded in the integrated security policy history DB 113 and the security system ID recorded in the audit log DB 133. Provide the function.
  • Security policy application step ( S220 ) is to search the security policy information received in the security policy setting step ( S210 ) when the log in compliance with the security policy and a log that violates the security policy, if there is a security policy ID of the log.
  • the audit log is recorded by including the security policy ID in the log.
  • the audit log is recorded by including the policy configuration information in the log.
  • Security policy application step ( S220 ) is the subject information indicating the actor or the access path of the actor or the actor extracted from the security policy if the security policy ID can not be included in the log, the object information indicating the object to access through the actor or the access path, A policy including behavior information indicating content to be executed on the object to be accessed by the actor or the access path and information indicating permission / deny information indicating whether to allow or reject the content to be executed on the object to be accessed; Record the audit log by including the configuration information in the log.
  • the security policy ID is extracted and used as policy identification information. If the security policy ID is not recorded in the collected audit log, the policy configuration is configured. Extract the information, use it to query the integrated security policy history DB (113), obtain a security policy ID, and use it as policy identification information.
  • Information including the application ID, security policy applicant information, and security policy application information is recorded and managed in the application information DB 153, and the integrated security policy history DB 113 requests the security policy for each security policy. ID is assigned.
  • the application information DB 153 is inquired based on the application ID of the integrated security policy history DB 113 to query the application information for the corresponding security policy, or assigned to each audit log of the audit log DB 133. After searching the integrated security policy history DB 113 based on the security policy ID to confirm the application ID for the security policy, the application information DB 153 is inquired based on the application ID to search the application information for the security policy.
  • the application information check step ( S250 ) can be performed.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Multimedia (AREA)
  • Technology Law (AREA)
  • Storage Device Security (AREA)
  • Debugging And Monitoring (AREA)

Abstract

본 발명은 다양한 보안정책의 설정 및 변경으로 인하여 발생하는 각종 로그 정보를 효과적으로 조회 및 확인할 수 있고, 수집된 로그 정보를 기준으로 이와 연관된 보안정책이 어떠한 것인지 조회 및 확인할 수 있는 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법에 관한 것이다. 본 발명에 의하면, 각 보안정책에 의해 생성 및 기록된 로그를 조회, 대조 및 추적이 가능하며, 수집된 로그에 적용된 보안정책이 무엇인지 조회, 대조 및 추적이 가능하여 보안정책과 로그를 실시간으로 양방향 조회, 대조 및 추적이 가능하다.

Description

보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법
본 발명은 현행 및 과거 보안정책과 로그를 실시간으로 양방향 조회, 대조 및 추적하여 확인할 수 있는 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법에 관한 것이다.
공개특허 제10-2009-0044202호는 웹페이지의 다양한 공격 유형 중 웹페이지의 우회 침입 및 웹페이지 매개변수 변조에 의한 침입에 대한 탐지 가능한 웹 보안 시스템을 구축함으로써, 보안 체계를 강화할 수 있는 웹페이지의 우회침입 탐지 및 매개변수 변조 침입 탐지를 이용한 웹 보안 서비스 방법 및 그 시스템을 제공한다.
공개특허 제10-2009-0044202호는 웹서버로부터 생성된 로그파일을 수집하고, 수집된 로그파일을 저장하며 이 로그파일을 이용하여 접속 시도된 웹페이지의 접속 순서를 분석하며, 정상적인 웹페이지의 접속 순서와 비교하여 일치여부를 판단하여 비정상 접속 시도로 판단되면 보고서를 생성하고 보고서를 관리자 단말에 전송한다.
그러나 공개특허 제10-2009-0044202호는 각 로그 정보를 토대로 어떠한 보안정책이 적용된 것인지 대조 확인이 어려우며, 각 보안정책 정보를 토대로 어떠한 로그가 생성 및 기록되었는지 조회 확인이 어려운 문제가 있다.
그리고 현행 보안정책과 로그를 실시간으로 양방향 조회, 대조 및 추적 확인이 불가능하며, 현행 이전에 설정되었던 과거 보안정책과 로그를 실시간으로 양방향 조회, 대조 및 추적 확인이 불가능하다.
해킹 및 보안침해 공격의 기술 수준이 나날이 발전하고 있는데, 로그파일을 수집하더라도 이를 해당 보안 시스템에 설정된 보안정책과 비교하여 로그정보가 어떤 보안정책과 연관된 것인지를 분석하지 못하면 신속하고 체계적인 해킹 및 보안 침해사고의 원인 분석과 대응이 어려울 수 밖에 없다.
그리고, 관리자가 수집된 로그파일을 보안정책과 일일이 비교하여 분석한다면 시간이 상당히 오래 걸리며, 경제적인 측면에서도 상당히 비효율적일 수 밖에 없다.
결국, 빅데이터 통합로그 등 각종 보안관련 로그가 기하급수적으로 증가하고 있는 현 상황에서 조직의 보안정책 중 어떤 정책으로부터 해당 로그가 발생하였는지를 명확하게 비교분석하기가 매우 어려워 해킹 및 보안침해사고의 원인분석과 대응이 신속하고 체계적으로 이루어지지 못하고 있는 실정이다.
위와 같은 상황을 종합해 볼 때 방대한 양의 로그정보를 보안정책과 실시간 및 양방향으로 비교, 분석하여 보안침해 사고의 원인을 즉각적으로 파악할 수 있도록 하고, 신속한 사고 대응이 가능하도록 하는 보안 솔루션이 절실히 필요한 시점이다.
본 발명은 상기와 같은 문제점을 개선하기 위하여 발명된 것으로, 다양한 보안정책의 설정 및 변경으로 인하여 발생하는 각종 로그 정보를 효과적으로 조회 및 확인할 수 있고, 수집된 로그 정보를 기준으로 이와 연관된 보안정책이 어떠한 것인지 조회 및 확인할 수 있는 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법을 제공하기 위한 것이다.
구체적으로, 본 발명은 신규 보안정책 뿐만 아니라 기존 보안정책을 적용하여 보안정책을 준수 및 위반하는 이벤트 발생 시 감사로그를 기록하고, 보안정책과 감사로그 양쪽에 기록된 정책식별정보(보안정책 ID 또는 정책구성정보) 및 보안시스템 ID를 이용하여 보안정책과 관련된 로그 및 로그와 관련된 보안정책을 양방향으로 조회, 대조, 추적할 수 있는 시스템 및 그 방법을 제공하기 위한 것이다.
상기와 같은 목적을 달성하기 위하여, 본 발명은 보안정책이 생성 및 변경될 때마다 고유의 정책식별정보를 부여하여 해당 보안정책을 통합보안정책 히스토리 DB에 기록 및 관리하고, 보안소프트웨어 에이전트에 보안정책 정보를 전송하는 보안정책 설정부 - 상기 정책식별정보는 보안정책 ID 또는 보안정책 ID와 정책구성정보로 구성됨 -; 상기 보안정책 설정부에서 수신한 보안정책을 적용하여 상기 보안정책을 준수하는 로그 및 보안정책을 위반하는 로그 발생시 해당 로그 발생과 관련된 보안정책 고유의 보안정책 ID 또는 정책구성정보를 상기 로그 정보에 포함시켜 감사로그를 생성하는 보안소프트웨어 에이전트; 상기 보안소프트웨어 에이전트에서 생성한 감사로그를 수집하고, 해당 감사로그에서 보안정책 ID 또는 정책구성정보를 추출하며, 이를 정책식별정보로 하여 수집된 감사로그 내용과 매핑하여 감사로그 DB에 기록하는 감사로그 수집부; 및 상기 통합보안정책 히스토리 DB에 기록된 정책식별정보와 감사로그 DB에 기록된 정책식별정보를 비교하여 보안정책과 관련된 감사로그를 조회, 대조 및 추적하고, 감사로그와 관련된 보안정책을 조회, 대조 및 추적하는 양방향 조회추적부;를 포함하는 것을 특징으로 한다.
한편, 상기와 같은 목적을 달성하기 위하여, 본 발명은 보안정책이 생성 및 변경될 때마다 고유의 정책식별정보를 부여하여 해당 보안정책을 통합보안정책 히스토리 DB에 기록 및 관리하고, 보안소프트웨어 에이전트에 보안정책 정보를 전송하는 보안정책 설정단계 - 상기 정책식별정보는 보안정책 ID 또는 보안정책 ID와 정책구성정보로 구성됨 -; 보안소프트웨어 에이전트는 수신한 보안정책을 적용하여 상기 보안정책을 준수하는 로그 및 보안정책을 위반하는 로그 발생시 해당 로그 발생과 관련된 보안정책 고유의 보안정책 ID 또는 정책구성정보를 상기 로그 정보에 포함시켜 감사로그를 생성하는 보안정책 적용단계; 생성한 감사로그를 수집하고, 해당 감사로그에서 보안정책 ID 또는 정책구성정보를 추출하며, 이를 정책식별정보로 하여 수집된 감사로그 내용과 매핑시킨 후 감사로그 DB에 기록하는 감사로그 수집단계; 및 통합보안정책 히스토리 DB에 기록된 정책식별정보와 감사로그 DB에 기록된 정책식별정보를 비교하여 보안정책과 관련된 감사로그를 조회, 대조 및 추적하고, 감사로그와 관련된 보안정책을 조회, 대조 및 추적하는 양방향 조회추적단계;를 포함하는 것을 특징으로 한다.
상기와 같은 구성의 본 발명에 따르면, 다음과 같은 효과를 도모할 수 있다.
먼저, 각 보안정책에 의해 생성 및 기록된 로그를 조회, 대조 및 추적이 가능하며, 수집된 로그에 적용된 보안정책이 무엇인지 조회, 대조 및 추적이 가능하여 보안정책과 로그를 실시간으로 양방향 조회, 대조 및 추적이 가능하다.
그리고 빅데이터 통합로그 등 다량의 로그 분석 시 과거부터 현재까지의 보안정책과 대조 및 추적이 가능하여 조직의 보안정책 중 어떤 보안정책으로부터 해당 로그가 발생하였는지를 명확하게 비교분석할 수가 있어 해킹 및 보안침해사고의 원인분석과 대응이 신속하고 체계적으로 이루어질 수 있다.
나아가, 보안정책 DB와 신청정보 DB를 비교하여 보안정책에 대한 신청자 정보를 확인할 수 있음은 물론, 감사로그 DB와 보안정책 DB를 비교하여 감사로그에 대한 보안정책을 확인하고, 이를 이용하여 신청정보 DB에서 신청자 정보를 확인할 수 있어 감사로그에서 보안정책 신청자 정보를 추적할 수가 있다.
도 1은 본 발명의 일 실시 예에 따른 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템의 블록도이다.
도 2는 본 발명의 일 실시 예에 따른 보안정책 및 감사로그 양방향 조회, 대조, 추적 방법의 순서도이다.
도 3은 본 발명의 일 실시 예에 따른 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템을 구성하는 각 구성요소간의 관계를 나타내는 구성도이다.
도 4는 보안정책의 예시를 나타내는 도면이다.
도 5는 통합보안정책 히스토리 DB의 예시를 나타내는 도면이다.
도 6은 감사로그의 예시를 나타내는 도면이다.
도 7은 정책식별정보 추출 예시를 나타내는 도면이다.
도 8은 감사로그 DB의 예시를 나타내는 도면이다.
도 9는 본 발명의 일 실시 예에 따른 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템에서 보안정책과 감사로그 사이에 양방향 조회, 대조 및 추적이 이루어지는 상황에 대한 개념도이다.
도 10은 본 발명의 일 실시 예에 따른 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템에서 보안정책과 감사로그 정보를 통해 신청자 정보를 확인하는 상황에 대한 개념도이다.
도 11은 본 발명의 일 실시 예에 따른 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템에서 감사로그를 통해 보안정책 히스토리를 조회하고, 보안정책에 대한 신청자 정보를 조회하는 개념도이다.
본 발명의 이점 및 특징, 그리고 그것들을 달성하는 방법은 첨부되는 도면과 함께 상세하게 후술되는 실시 예를 참조하면 명확해질 것이다.
그러나, 본 발명은 이하에서 개시되는 실시 예로 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 것이다.
본 명세서에서 본 실시 예는 본 발명의 개시가 완전하도록 하며, 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에게 발명의 범주를 완전하게 알려주기 위해 제공되는 것이다.
그리고 본 발명은 청구항의 범주에 의해 정의될 뿐이다.
따라서, 몇몇 실시 예에서, 잘 알려진 구성 요소, 잘 알려진 동작 및 잘 알려진 기술들은 본 발명이 모호하게 해석되는 것을 피하기 위하여 구체적으로 설명되지 않는다.
또한, 명세서 전체에 걸쳐 동일 참조 부호는 동일 구성 요소를 지칭하고, 본 명세서에서 사용된(언급된) 용어들은 실시 예를 설명하기 위한 것이며 본 발명을 제한하고자 하는 것은 아니다.
본 명세서에서, 단수형은 문구에서 특별히 언급하지 않는 한 복수형도 포함하며, '포함(또는, 구비)한다'로 언급된 구성 요소 및 동작은 하나 이상의 다른 구성요소 및 동작의 존재 또는 추가를 배제하지 않는다.
다른 정의가 없다면, 본 명세서에서 사용되는 모든 용어(기술 및 과학적 용어를 포함)는 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에게 공통적으로 이해될 수 있는 의미로 사용될 수 있을 것이다.
또 일반적으로 사용되는 사전에 정의되어 있는 용어들은 정의되어 있지 않은 한 이상적으로 또는 과도하게 해석되지 않는다.
이하, 첨부된 도면을 참고로 본 발명의 바람직한 실시 예에 대하여 설명한다.
도 1 내지 도 11을 참고하면, 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템(100)은 보안정책 설정부(110), 보안소프트웨어 에이전트(120), 감사로그 수집부(130) 및 양방향 조회추적부(140)를 포함하며, 신청정보 설정부(150) 및 신청정보 확인부(160)를 더 포함할 수가 있다.
도 3 내지 도 5를 참고하면, 사용자들이 보안정책을 신청하면 관리자는 보안정책을 생성 및 변경한다.
보안정책 설정부(110)는 보안정책이 생성 및 변경될 때마다 고유의 정책식별정보를 부여하여 해당 보안정책을 통합보안정책 히스토리 DB(113)에 기록 및 관리하고, 보안소프트웨어 에이전트(120)에 보안정책 정보를 전송한다. 정책식별정보는 보안정책 ID 또는 보안정책 ID와 정책구성정보로 구성된다.
보안정책은 주체, 객체, 행위, 정책(허용/거부), 제약조건 등의 항목으로 구성되며, 도 4와 같이 기술되고 항목을 구분할 수 있다.
도 4를 참고하면, Linux 호스트 방화벽(iptables)으로 IP주소 ‘111.222.33.44’에서 모든 Protocol로 접근하는 행위를 차단하는 보안정책과 접근제어 보안SW에서 ‘root’ 사용자가 ‘/home/test’ 디렉터리에 ‘읽기/쓰기’ 행위만 허용하는 보안정책을 나타낸다.
정책식별정보는 해당 보안정책을 유일하게 식별 가능한 보안정책ID 또는 보안정책ID 및 정책구성정보로 생성될 수 있다.
정책구성정보는 보안정책 및 감사로그에 기록되는 항목 또는 항목의 조합이어야 한다. 정책구성정보는 보안정책 ID와 1:1로 매핑되어 저장 및 관리된다.
보안정책 설정부(110)는 보안정책을 유일하게 식별 가능한 보안정책 ID 또는 보안정책 ID 및 복수 개의 항목으로 구성된 정책구성정보를 생성하고, 보안정책 ID와 해당 보안정책을 매핑하거나, 보안정책 ID 및 복수 개의 항목으로 구성된 정책구성정보를 보안정책과 매핑하여 통합보안정책 히스토리 DB(113)에 기록한다.
정책구성정보는 해당 보안정책에서 추출한 주체정보, 객체정보 및 행위정보를 포함하는 복수 개의 항목으로 구성된다.
정책구성정보에 대해 구체적으로 설명하면 다음과 같다.
주체정보는 프로세스, IP(Host)주소 정보, 사용자계정, 그룹계정 등 컴퓨터 시스템에서 행위자를 식별할 수 있는 정보들을 말한다.
객체정보는 파일, 디렉터리, IP(Host)주소 정보, 프로세스 등 컴퓨터 시스템에서 행위대상을 식별할 수 있는 정보들을 말한다.
행위정보는 파일/디렉터리(읽기, 쓰기, 삭제, 생성, 이름변경 등), 프로세스(실행, 종료), 네트워크(Incoming, Outgoing) 등 컴퓨터 시스템에서 객체의 상태 변경 또는 정보의 흐름이 수반되는 행위들을 말한다.
보안정책 설정부(110)는 보안소프트웨어에서 기 설정된 보안정책을 수집하고 이와 같은 주체정보, 객체정보, 행위정보를 포함하는 정책구성정보를 설정한다.
구체적으로, 보안정책 설정부(110)는 보안소프트웨어의 보안정책 ID가 없는 보안정책을 수집하여 해당 보안정책에서 추출한 행위자 또는 행위자의 접근경로를 나타내는 주체정보, 상기 행위자 또는 접근경로를 통해 접근하려는 대상을 나타내는 객체정보 및 상기 행위자 또는 접근경로로 접근하려는 대상에 대해 실행하고자 하는 내용을 나타내는 행위정보를 포함하는 복수 개의 항목으로 구성되는 정책구성정보를 설정하고, 보안정책 ID를 부여하여 보안정책 ID 및 복수 개의 항목으로 구성된 정책구성정보를 보안정책과 매핑하여 통합보안정책 히스토리 DB(113)에 기록한다.
기존에 설정된 보안정책에는 보안정책 ID가 부여되어 있지 않을 것이므로 보안정책 ID가 없는 보안정책을 수집하고, 해당 보안정책에서 추출한 정보를 이용하여 구성되는 정책구성정보를 설정한 후 보안정책 ID를 부여하는 것이다.
또한, 보안정책 설정부(110)는 보안정책 ID를 적용할 수 있는 보안소프트웨어의 경우, 보안정책에 대해 보안정책 ID를 부여하여 통합보안정책 히스토리 DB(113)에 기록하고, 보안정책 ID가 포함된 보안정책 정보를 보안소프트웨어 에이전트(120)에 전송한다. 보안정책 ID를 적용할 수 없는 보안소프트웨어의 경우, 보안정책에 대해 정책구성정보를 설정하고 보안정책 ID를 부여하여 보안정책 ID 및 복수 개의 항목으로 구성된 정책구성정보를 보안정책과 매핑하여 통합보안정책 히스토리 DB(113)에 기록하고, 보안정책 정보만을 보안소프트웨어 에이전트(120)에 전송한다.
이 경우는 신규로 설정되는 보안정책에 대해 보안소프트웨어 에이전트(120)가 보안정책 ID를 적용할 수 있는 경우, 보안정책에 보안정책 ID를 부여하여 보안정책 ID가 포함된 보안정책 정보를 보안소프트웨어 에이전트(120)에 전송하고, 보안소프트웨어 에이전트(120)가 보안정책 ID를 적용할 수 없는 경우, 정책구성정보를 설정하고 보안정책 ID를 부여하되, 보안정책 정보만을 보안소프트웨어 에이전트(120)로 전송하는 것이다.
결국, 보안정책 ID가 포함되어 있지 않은 보안소프트웨어에 대한 보안정책은 보안정책 ID와 정책구성정보가 매핑되어 통합보안정책 히스토리 DB(113)에 저장되고, 보안정책 ID가 포함된 보안소프트웨어에 대한 보안정책은 보안정책 ID만 매핑되어 통합보안정책 히스토리 DB(113)에 저장된다.
도 5를 참고하면, 통합보안정책 히스토리 DB(113)는 정책식별정보와 보안정책을 매핑하여 저장한다. 도 5는 도 4의 보안정책 예시에서 본 두 가지 보안정책에 대한 정책식별정보 및 보안정책 저장에 대한 예를 나타낸다.
<보안정책 ID, 정책구성정보, 보안정책, 기타정보>를 통합보안정책 히스토리 DB(113)에 기록 및 유지한다. <기타정보>에는 보안정책 설정을 요청한 신청자 또는 관리자의 정보를 입력할 수 있다.
보안정책ID는 유일하게 정책을 식별하며, 정책구성정보는 대상 보안정책 항목의 조합이 될 수 있다.
보안정책ID “00000001”의 정책구성정보로 선택된 ‘주체’, ‘행위’ 항목은 감사로그에 기록되는 항목 중에 선택된 조합이다.
통합보안정책 히스토리 DB(113)는 현행 통합보안정책 DB와 과거 통합보안정책 DB로 구성되며, 보안정책 변경의 경우 현행 통합보안정책DB에 저장하고 기존정책은 과거 통합보안정책DB로 옮겨서 저장한다.
보안정책 설정부(110)는 고유의 정책식별정보를 부여하여 해당 보안정책을 통합보안정책 히스토리 DB(113)에 기록 및 관리하고, 보안소프트웨어 에이전트(120)에 보안정책 정보를 전송한다.
보안소프트웨어 에이전트(120)는 보안정책 설정부(110)에서 수신한 보안정책을 적용하여 보안정책을 준수하는 로그 및 보안정책을 위반하는 로그 발생시 해당 로그 발생과 관련된 보안정책 고유의 보안정책 ID 또는 정책구성정보를 로그 정보에 포함시켜 감사로그를 생성한다. 보안소프트웨어 에이전트(120)는 관리대상이 되는 장치나 서버 등 어느 장치에서도 설치 및 동작이 가능하다.
보안소프트웨어 에이전트(120)는 보안정책 설정부(110)가 배포한 보안정책을 적용하여 보안기능을 수행한다. 적용된 보안정책에는 정책식별정보(보안정책 ID 또는 정책구성정보)가 포함되어 구성된다.
보안소프트웨어 에이전트(120)는 보안정책을 준수하는 로그 및 보안정책을 위반하는 로그 발생시 해당 로그를 보안정책 설정부(110)에서 수신한 보안정책 정보에서 검색하여 해당 로그의 보안정책 ID가 있는 경우, 보안정책 ID를 로그에 포함시켜 감사로그를 기록한다.
보안정책 정보에서 검색 결과 해당 로그의 보안정책 ID가 없는 경우는 보안정책 ID를 기록할 수가 없기 때문에 정책구성정보를 로그에 포함시켜 감사로그를 기록한다.
구체적으로, 보안소프트웨어 에이전트(120)는 해당 로그에 보안정책 ID를 포함시킬 수 없는 경우 보안정책에서 추출한 행위자 또는 행위자의 접근경로를 나타내는 주체정보, 상기 행위자 또는 접근경로를 통해 접근하려는 대상을 나타내는 객체정보, 상기 행위자 또는 접근경로로 접근하려는 대상에 대해 실행하고자 하는 내용을 나타내는 행위정보 및 접근하려는 대상에 대해 실행하고자 하는 내용을 허용할 것인지 또는 거부할 것인지를 나타내는 허용/거부정보를 포함하는 정책구성정보를 로그에 포함시켜 감사로그를 기록한다.
도 6을 참고하면, 접근제어 보안소프트웨어의 경우 보안정책 ID를 포함하여 감사로그를 기록된 예를 나타낸다. 해당 로그의 보안정책 ID “00000002”를 포함하여 감사로그를 기록한 것이다. 보안정책 ID를 적용할 수 있는 보안소프트웨어의 경우 보안정책 ID를 포함하여 감사로그를 기록할 수 있다.
Linux 호스트 방화벽의 경우 보안정책 ID를 포함시킬 수 없어 정책구성정보를 포함하여 감사로그를 기록한 예를 나타낸다. 행위 “INPUT”, 허용 여부 “DROP”, 주체 “SRC:111.222.33.44”, 객체 “PROTO=TCP”를 정책구성정보로 포함하였으며, 보안정책 ID를 적용할 수 없는 보안소프트웨어 또는 보안정책 ID를 적용할 수 있는 보안소프트웨어일지라도 보안정책 ID가 부여되어 있지 않은 보안정책에 해당하여 보안정책 ID를 로그에 포함시킬 수 없을 때 정책구성정보를 포함하여 감사로그를 기록한다.
감사로그 수집부(130)는 보안소프트웨어 에이전트(120)에서 생성한 감사로그를 수집하고, 해당 감사로그에서 보안정책 ID 또는 정책구성정보를 추출하며, 이를 정책식별정보로 하여 수집된 감사로그 내용과 매핑하여 감사로그 DB(133)에 기록한다.
감사로그 수집부(130)는 수집된 감사로그에 보안정책 ID가 기록되어 있는 경우 보안정책 ID를 추출하여 정책식별정보로 사용하고, 수집된 감사로그에 보안정책 ID가 기록되어 있지 않은 경우 정책구성정보를 추출하고, 이를 이용하여 통합보안정책 히스토리 DB(113)를 조회하고 보안정책 ID를 획득하여 정책식별정보로 사용한다.
도 7을 참고하면, 접근제어 보안소프트웨어는 감사로그에 보안정책 ID가 포함되어 있다. 이 경우 “policyid” 항목을 추출하여 보안정책ID “00000002”를 획득한다.
Linux 호스트 방화벽의 경우 보안정책 ID가 포함되어 있지 않으며, 정책구성정보 “INPUT”, “SRC=111.222.33.44”, “PROTO=TCP”를 추출한다.
해당 정보를 이용하여 통합보안정책 히스토리 DB(113)을 조회한다. “PROTO=TCP”는 “PROTO=ALL”에 포함된다. 보안정책 ID “00000001”를 획득하고, 보안시스템ID 정보도 함께 획득한다.
도 8을 참고하면, 감사로그 수집부(130)는 이렇게 수집한 감사로그 내용과 획득한 보안정책 ID 및 보안시스템 ID를 매핑하여 감사로그 DB(133)에 기록한다.
양방향 조회추적부(140)는 통합보안정책 히스토리 DB(113)에 기록된 정책식별정보와 감사로그 DB(133)에 기록된 정책식별정보를 비교하여 보안정책과 관련된 감사로그를 조회, 대조 및 추적하고, 감사로그와 관련된 보안정책을 조회, 대조 및 추적할 수 있다.
통합보안정책 히스토리 DB(113)는 각 보안정책 별로 해당 보안정책을 신청한 신청서 ID가 할당된다.
도 9를 참고하면, 보안정책 -> 감사로그 방향으로 보안정책과 관련된 감사로그를 조회 및 추적할 수 있다.
그리고 감사로그 -> 보안정책 방향으로 감사로그와 관련된 해당 보안정책을 대조 및 추적할 수가 있다.
통합보안정책 히스토리 DB(113)와 감사로그 DB(133)에는 보안정책 ID가 공통으로 들어있기 때문에 이를 이용하여 양방향 대조 및 추적이 가능하다.
보안정책 설정부(110)는 보안소프트웨어에 대한 각 보안정책 별로 보안시스템 ID를 매핑하여 통합보안정책 히스토리 DB(113)에 기록하고, 감사로그 수집부(130)는 각 감사로그 별로 보안시스템 ID를 매핑하여 감사로그 DB(133)에 기록한다.
양방향 조회추적부(140)는 통합보안정책 히스토리 DB(113)에 기록된 보안시스템 ID와 감사로그 DB(133)에 기록된 보안시스템 ID를 비교하여 이기종 보안소프트웨어에 대해서도 양방향 조회, 대조 및 추적 기능을 제공한다.
이기종 보안소프트웨어에 대해서 보안정책을 모두 설정할 수는 없으나, 보안정책을 수집하고 이를 바탕으로 정책식별정보를 구성하여 통합보안정책 히스토리 DB(113)에 보안시스템 ID, 보안정책 ID 및 정책구성정보를 저장할 수 있는 것이다.
정리하면, 보안정책 히스토리별 정책 내용을 비교하여 보안정책의 변경이력을 추적 및 확인할 수가 있고, 현행 보안정책과 감사로그를 실시간으로 양방향 조회, 대조 및 추적이 가능하다.
그리고 현행 이전에 설정되었던 과거 보안정책과 감사로그를 실시간으로 양방향 조회, 대조 및 추적이 가능하다.
또한, 보안정책의 신청정보(신청서 ID)를 보안정책 ID와 매핑하여 관리함으로써 감사로그에서 보안정책 신청자 정보를 추적할 수가 있다.
신청정보 설정부(150)는 신청서 ID, 보안정책의 신청자 정보, 보안정책 신청 내용을 포함하는 정보를 신청정보 DB(153)에 기록 및 관리한다.
도 10을 참고하면, 통합보안정책 히스토리 DB(113)와 신청정보 DB(153)에는 신청서 ID가 포함되어 있다. 신청서 ID는 통합보안정책 히스토리 DB(113)와 신청정보 DB(153)를 연결하기 위한 인덱스(index)이다.
다시 말해서, 통합보안정책 히스토리 DB(113)의 각 보안정책에 대한 신청자 및 신청서 내용 등을 찾기 위한 인덱스이다.
신청정보 DB(153)는 신청서 ID, 신청자 정보, 신청일자, 신청내용, 신청사유 등이 포함된다.
도 10을 참고하면, 신청정보 확인부(160)는 통합보안정책 히스토리 DB(113)의 신청서 ID를 기초로 신청정보 DB(153)를 조회하여 해당 보안정책에 대한 신청정보를 조회할 수 있다.
또한, 감사로그 DB(133)에서 보안정책 ID 및 보안시스템 ID를 획득 후 이를 이용하여 통합보안정책 히스토리 DB(113)를 조회하여 보안정책 내용을 조회할 수 있고, 통합보안정책 히스토리 DB(113)를 조회하여 획득한 신청서 ID를 기초로 신청정보 DB(153)를 조회할 수도 있다.
도 11을 참고하면, 신청정보 확인부(160)는 감사로그 DB(133)의 각 감사로그에 할당된 보안정책 ID를 기초로 통합보안정책 히스토리 DB(113)를 검색하여 해당 보안정책에 대한 신청서 ID를 확인한 후 신청서 ID를 기초로 신청정보 DB(153)를 조회하여 해당 보안정책에 대한 신청정보를 조회할 수 있다.
정리하면, 감사로그가 발생한 시점의 보안정책 및 신청정보를 확인할 수 있고, 보안정책의 히스토리별 정책내용을 비교하여 보안정책의 변경이력을 추적 및 확인이 가능하다. 보안정책 ID와 신청정보 DB의 신청서 ID를 매핑하여 관리함으로써 감사로그에서 보안정책 신청자 정보를 추적할 수가 있다.
도 1 내지 도 3을 참고하여, 본 발명의 보안정책 및 감사로그 양방향 조회, 대조, 추적 방법을 설명한다.
먼저, 보안정책 설정부(110)는 보안정책이 생성 및 변경될 때마다 고유의 정책식별정보를 부여하여 해당 보안정책을 통합보안정책 히스토리 DB(113)에 기록 및 관리하고, 보안소프트웨어 에이전트(120)에 보안정책 정보를 전송하는 보안정책 설정단계를 수행한다(S210). 정책식별정보는 보안정책 ID 또는 보안정책 ID와 정책구성정보로 구성된다.
보안소프트웨어 에이전트(120)는 수신한 보안정책을 적용하여 보안정책을 준수하는 로그 및 보안정책을 위반하는 로그 발생시 해당 로그 발생과 관련된 보안정책 고유의 보안정책 ID 또는 정책구성정보를 로그 정보에 포함시켜 감사로그를 생성하는 보안정책 적용단계를 수행한다(S220).
감사로그 수집부(130)는 생성한 감사로그를 수집하고, 해당 감사로그에서 보안정책 ID 또는 정책구성정보를 추출하며, 이를 정책식별정보로 하여 수집된 감사로그 내용과 매핑시킨 후 감사로그 DB(133)에 기록하는 감사로그 수집단계를 수행한다(S230).
양방향 조회추적부(140)는 통합보안정책 히스토리 DB(113)에 기록된 정책식별정보와 감사로그 DB(133)에 기록된 정책식별정보를 비교하여 보안정책과 관련된 감사로그를 조회, 대조 및 추적하고, 감사로그와 관련된 보안정책을 조회, 대조 및 추적하는 양방향 조회추적단계를 수행한다(S240).
보안정책 설정단계(S210)는 보안정책을 유일하게 식별 가능한 보안정책 ID 또는 보안정책 ID 및 복수 개의 항목으로 구성된 정책구성정보를 생성하고, 보안정책 ID와 해당 보안정책을 매핑하거나, 보안정책 ID 및 복수 개의 항목으로 구성된 정책구성정보를 보안정책과 매핑하여 통합보안정책 히스토리 DB(113)에 기록한다.
보안정책 설정단계(S210)는 보안소프트웨어에 기 설정된 보안정책 ID가 없는 보안정책을 수집하여 해당 보안정책에서 추출한 행위자 또는 행위자의 접근경로를 나타내는 주체정보, 상기 행위자 또는 접근경로를 통해 접근하려는 대상을 나타내는 객체정보 및 상기 행위자 또는 접근경로로 접근하려는 대상에 대해 실행하고자 하는 내용을 나타내는 행위정보를 포함하는 복수 개의 항목으로 구성되는 정책구성정보를 설정하고, 보안정책 ID를 부여하여 보안정책 ID 및 복수 개의 항목으로 구성된 정책구성정보를 보안정책과 매핑하여 통합보안정책 히스토리 DB(113)에 기록한다.
그리고 보안정책 설정단계(S210)는 보안정책 ID를 적용할 수 있는 보안소프트웨어의 보안정책에 대해 보안정책 ID를 부여하여 통합보안정책 히스토리 DB(113)에 기록하고, 보안정책 ID가 포함된 보안정책 정보를 보안소프트웨어 에이전트(120)에 전송한다. 보안정책 ID를 적용할 수 없는 보안소프트웨어의 경우, 보안정책에 대해 정책구성정보를 설정하고 보안정책 ID를 부여하여 보안정책 ID 및 복수 개의 항목으로 구성된 정책구성정보를 보안정책과 매핑하여 통합보안정책 히스토리 DB(113)에 기록하고, 보안정책 정보만을 보안소프트웨어 에이전트(120)에 전송한다.
보안정책 설정단계(S210)는 보안소프트웨어에 대한 각 보안정책 별로 보안시스템 ID를 매핑하여 통합보안정책 히스토리 DB(113)에 기록하고, 감사로그 수집단계(S230)는 각 감사로그 별로 보안시스템 ID를 매핑하여 감사로그 DB(133)에 기록한다.
양방향 조회추적단계(S240)는 통합보안정책 히스토리 DB(113)에 기록된 보안시스템 ID와 감사로그 DB(133)에 기록된 보안시스템 ID를 비교하여 보안정책과 감사로그 간에 양방향 조회, 대조 및 추적 기능을 제공한다.
보안정책 적용단계(S220)는 보안정책을 준수하는 로그 및 보안정책을 위반하는 로그 발생시 해당 로그를 보안정책 설정단계(S210)에서 수신한 보안정책 정보에서 검색하여 해당 로그의 보안정책 ID가 있는 경우 보안정책 ID를 로그에 포함시켜 감사로그를 기록하고, 보안정책 정보에서 검색 결과 해당 로그의 보안정책 ID가 없는 경우 정책구성정보를 로그에 포함시켜 감사로그를 기록한다.
보안정책 적용단계(S220)는 해당 로그에 보안정책 ID를 포함시킬 수 없는 경우 보안정책에서 추출한 행위자 또는 행위자의 접근경로를 나타내는 주체정보, 상기 행위자 또는 접근경로를 통해 접근하려는 대상을 나타내는 객체정보, 상기 행위자 또는 접근경로로 접근하려는 대상에 대해 실행하고자 하는 내용을 나타내는 행위정보 및 접근하려는 대상에 대해 실행하고자 하는 내용을 허용할 것인지 또는 거부할 것인지를 나타내는 허용/거부정보를 나타내는 정보를 포함하는 정책구성정보를 로그에 포함시켜 감사로그를 기록한다.
감사로그 수집단계(S230)는 수집된 감사로그에 보안정책 ID가 기록되어 있는 경우 보안정책 ID를 추출하여 정책식별정보로 사용하고, 수집된 감사로그에 보안정책 ID가 기록되어 있지 않은 경우 정책구성정보를 추출하고, 이를 이용하여 통합보안정책 히스토리 DB(113)를 조회하고 보안정책 ID를 획득하여 정책식별정보로 사용한다.
신청서 ID, 보안정책의 신청자 정보, 보안정책 신청 내용을 포함하는 정보를 신청정보 DB(153)에 기록 및 관리하고, 통합보안정책 히스토리 DB(113)는 각 보안정책 별로 해당 보안정책을 신청한 신청서 ID가 할당된다.
마지막으로, 통합보안정책 히스토리 DB(113)의 신청서 ID를 기초로 신청정보 DB(153)를 조회하여 해당 보안정책에 대한 신청정보를 조회하거나, 감사로그 DB(133)의 각 감사로그에 할당된 보안정책 ID를 기초로 통합보안정책 히스토리 DB(113)를 검색하여 해당 보안정책에 대한 신청서 ID를 확인한 후 신청서 ID를 기초로 신청정보 DB(153)를 조회하여 해당 보안정책에 대한 신청정보를 조회하는 신청정보 확인단계(S250)를 수행할 수 있다.
그 밖에 중복되는 구체적인 설명은 상기에서 자세하게 설명하였으므로 생략한다.
지금까지 본 발명을 바람직한 실시 예를 참조하여 상세히 설명하였지만, 본 발명이 속하는 기술분야의 당업자는 본 발명이 그 기술적 사상이나 필수적 특징을 변경하지 않고서 다른 구체적인 형태로 실시할 수 있으므로, 이상에서 기술한 실시 예들은 모든 면에서 예시적인 것이며 한정적인 것이 아닌 것으로서 이해해야만 한다.
그리고, 본 발명의 범위는 상기 상세한 설명보다는 후술하는 특허청구범위에 의하여 특정되는 것이며, 특허청구범위의 의미 및 범위 그리고 그 등가개념으로부터 도출되는 모든 변경 또는 변형된 형태가 본 발명의 범위에 포함되는 것으로 해석되어야 한다.
100...보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템
110...보안정책 설정부
113...통합보안정책 히스토리 DB
120...보안소프트웨어 에이전트
130...감사로그 수집부
133...감사로그 DB
140...양방향 조회추적부
150...신청정보 설정부
153...신청정보 DB
160...신청정보 확인부

Claims (18)

  1. 보안정책이 생성 및 변경될 때마다 고유의 정책식별정보를 부여하여 해당 보안정책을 통합보안정책 히스토리 DB에 기록 및 관리하고, 보안소프트웨어 에이전트에 보안정책 정보를 전송하는 보안정책 설정부 - 상기 정책식별정보는 보안정책 ID 또는 보안정책 ID와 정책구성정보로 구성됨 -;
    상기 보안정책 설정부에서 수신한 보안정책을 적용하여 상기 보안정책을 준수하는 로그 및 보안정책을 위반하는 로그 발생시 해당 로그 발생과 관련된 보안정책 고유의 보안정책 ID 또는 정책구성정보를 상기 로그 정보에 포함시켜 감사로그를 생성하는 보안소프트웨어 에이전트;
    상기 보안소프트웨어 에이전트에서 생성한 감사로그를 수집하고, 해당 감사로그에서 보안정책 ID 또는 정책구성정보를 추출하며, 이를 정책식별정보로 하여 수집된 감사로그 내용과 매핑하여 감사로그 DB에 기록하는 감사로그 수집부; 및
    상기 통합보안정책 히스토리 DB에 기록된 정책식별정보와 감사로그 DB에 기록된 정책식별정보를 비교하여 보안정책과 관련된 감사로그를 조회, 대조 및 추적하고, 감사로그와 관련된 보안정책을 조회, 대조 및 추적하는 양방향 조회추적부;를 포함하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템.
  2. 청구항 1에 있어서,
    상기 보안정책 설정부는,
    보안정책을 유일하게 식별 가능한 보안정책 ID 또는 보안정책 ID 및 복수 개의 항목으로 구성된 정책구성정보를 생성하고, 보안정책 ID와 해당 보안정책을 매핑하거나, 보안정책 ID 및 복수 개의 항목으로 구성된 정책구성정보를 보안정책과 매핑하여 상기 통합보안정책 히스토리 DB에 기록하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템.
  3. 청구항 2에 있어서,
    상기 보안정책 설정부는,
    보안소프트웨어의 보안정책 ID가 없는 보안정책을 수집하여 해당 보안정책에서 추출한 행위자 또는 행위자의 접근경로를 나타내는 주체정보, 상기 행위자 또는 접근경로를 통해 접근하려는 대상을 나타내는 객체정보 및 상기 행위자 또는 접근경로로 접근하려는 대상에 대해 실행하고자 하는 내용을 나타내는 행위정보를 포함하는 복수 개의 항목으로 구성되는 정책구성정보를 설정하고, 보안정책 ID를 부여하여 보안정책 ID 및 복수 개의 항목으로 구성된 정책구성정보를 보안정책과 매핑하여 상기 통합보안정책 히스토리 DB에 기록하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템.
  4. 청구항 3에 있어서,
    상기 보안정책 설정부는,
    보안정책 ID를 적용할 수 있는 보안소프트웨어의 보안정책에 대해 보안정책 ID를 부여하여 상기 통합보안정책 히스토리 DB에 기록하고, 보안정책 ID가 포함된 보안정책 정보를 상기 보안소프트웨어 에이전트에 전송하고, 보안정책 ID를 적용할 수 없는 보안소프트웨어의 보안정책에 대해 정책구성정보를 설정하고 보안정책 ID를 부여하여 상기 통합보안정책 히스토리 DB에 기록하고, 보안정책 ID가 포함되지 않은 보안정책 정보만을 상기 보안소프트웨어 에이전트에 전송하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템.
  5. 청구항 4에 있어서,
    상기 보안정책 설정부는 보안소프트웨어에 대한 각 보안정책 별로 보안시스템 ID를 매핑하여 통합보안정책 히스토리 DB에 기록하고,
    상기 감사로그 수집부는 각 감사로그 별로 보안시스템 ID를 매핑하여 감사로그 DB에 기록하며,
    상기 양방향 조회추적부는 통합보안정책 히스토리 DB에 기록된 보안시스템 ID와 감사로그 DB에 기록된 보안시스템 ID를 비교하여 보안정책과 감사로그 간에 양방향 조회, 대조 및 추적 기능을 제공하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템.
  6. 청구항 1에 있어서,
    상기 보안소프트웨어 에이전트는 보안정책을 준수하는 로그 및 보안정책을 위반하는 로그 발생시 해당 로그를 상기 보안정책 설정부에서 수신한 보안정책 정보에서 검색하여 해당 로그의 보안정책 ID가 있는 경우 보안정책 ID를 로그에 포함시켜 감사로그를 기록하고, 보안정책 정보에서 검색 결과 해당 로그의 보안정책 ID가 없는 경우 정책구성정보를 로그에 포함시켜 감사로그를 기록하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템.
  7. 청구항 6에 있어서,
    상기 보안소프트웨어 에이전트는 해당 로그에 보안정책 ID를 포함시킬 수 없는 경우 보안정책에서 추출한 행위자 또는 행위자의 접근경로를 나타내는 주체정보, 상기 행위자 또는 접근경로를 통해 접근하려는 대상을 나타내는 객체정보, 상기 행위자 또는 접근경로로 접근하려는 대상에 대해 실행하고자 하는 내용을 나타내는 행위정보 및 접근하려는 대상에 대해 실행하고자 하는 내용을 허용할 것인지 또는 거부할 것인지를 나타내는 허용/거부정보를 포함하는 정책구성정보를 로그에 포함시켜 감사로그를 기록하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템.
  8. 청구항 1에 있어서,
    상기 감사로그 수집부는 수집된 감사로그에 보안정책 ID가 기록되어 있는 경우 보안정책 ID를 추출하여 정책식별정보로 사용하고, 수집된 감사로그에 보안정책 ID가 기록되어 있지 않은 경우 정책구성정보를 추출하고, 이를 이용하여 상기 통합보안정책 히스토리 DB를 조회하고 보안정책 ID를 획득하여 정책식별정보로 사용하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템.
  9. 청구항 1에 있어서,
    신청서 ID, 보안정책의 신청자 정보, 보안정책 신청 내용을 포함하는 정보를 신청정보 DB에 기록 및 관리하는 신청정보 설정부를 더 구비하고,
    상기 통합보안정책 히스토리 DB는 각 보안정책 별로 해당 보안정책을 신청한 상기 신청서 ID가 할당되며,
    상기 통합보안정책 히스토리 DB의 신청서 ID를 기초로 신청정보 DB를 조회하여 해당 보안정책에 대한 신청정보를 조회하거나, 상기 감사로그 DB의 각 감사로그에 할당된 보안정책 ID를 기초로 통합보안정책 히스토리 DB를 검색하여 해당 보안정책에 대한 신청서 ID를 확인한 후 신청서 ID를 기초로 신청정보 DB를 조회하여 해당 보안정책에 대한 신청정보를 조회하는 신청정보 확인부를 더 구비하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템.
  10. 보안정책이 생성 및 변경될 때마다 고유의 정책식별정보를 부여하여 해당 보안정책을 통합보안정책 히스토리 DB에 기록 및 관리하고, 보안소프트웨어 에이전트에 보안정책 정보를 전송하는 보안정책 설정단계 - 상기 정책식별정보는 보안정책 ID 또는 보안정책 ID와 정책구성정보로 구성됨 -;
    보안소프트웨어 에이전트는 수신한 보안정책을 적용하여 상기 보안정책을 준수하는 로그 및 보안정책을 위반하는 로그 발생시 해당 로그 발생과 관련된 보안정책 고유의 보안정책 ID 또는 정책구성정보를 상기 로그 정보에 포함시켜 감사로그를 생성하는 보안정책 적용단계;
    생성한 감사로그를 수집하고, 해당 감사로그에서 보안정책 ID 또는 정책구성정보를 추출하며, 이를 정책식별정보로 하여 수집된 감사로그 내용과 매핑시킨 후 감사로그 DB에 기록하는 감사로그 수집단계; 및
    통합보안정책 히스토리 DB에 기록된 정책식별정보와 감사로그 DB에 기록된 정책식별정보를 비교하여 보안정책과 관련된 감사로그를 조회, 대조 및 추적하고, 감사로그와 관련된 보안정책을 조회, 대조 및 추적하는 양방향 조회추적단계;를 포함하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 방법.
  11. 청구항 10에 있어서,
    상기 보안정책 설정단계는,
    보안정책을 유일하게 식별 가능한 보안정책 ID 또는 보안정책 ID 및 복수 개의 항목으로 구성된 정책구성정보를 생성하고, 보안정책 ID와 해당 보안정책을 매핑하거나, 보안정책 ID 및 복수 개의 항목으로 구성된 정책구성정보를 보안정책과 매핑하여 상기 통합보안정책 히스토리 DB에 기록하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 방법.
  12. 청구항 11에 있어서,
    상기 보안정책 설정단계는,
    보안정책 ID가 없는 보안정책을 수집하여 해당 보안정책에서 추출한 행위자 또는 행위자의 접근경로를 나타내는 주체정보, 상기 행위자 또는 접근경로를 통해 접근하려는 대상을 나타내는 객체정보 및 상기 행위자 또는 접근경로로 접근하려는 대상에 대해 실행하고자 하는 내용을 나타내는 행위정보를 포함하는 복수 개의 항목으로 구성되는 정책구성정보를 설정하고, 보안정책 ID를 부여하여 보안정책 ID 및 복수 개의 항목으로 구성된 정책구성정보를 보안정책과 매핑하여 상기 통합보안정책 히스토리 DB에 기록하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 방법.
  13. 청구항 12에 있어서,
    상기 보안정책 설정단계는,
    보안정책 ID를 적용할 수 있는 보안소프트웨어의 보안정책에 대해 보안정책 ID를 부여하여 상기 통합보안정책 히스토리 DB에 기록하고, 보안정책 ID가 포함된 보안정책 정보를 상기 보안소프트웨어 에이전트에 전송하고, 보안정책 ID를 적용할 수 없는 보안소프트웨어의 보안정책에 대해 정책구성정보를 설정하고 보안정책 ID를 부여하여 상기 통합보안정책 히스토리 DB에 기록하고, 보안정책 ID가 포함되지 않은 보안정책 정보만을 상기 보안소프트웨어 에이전트에 전송하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 방법.
  14. 청구항 13에 있어서,
    상기 보안정책 설정단계는 상기 보안소프트웨어에 대한 각 보안정책 별로 보안시스템 ID를 매핑하여 통합보안정책 히스토리 DB에 기록하고,
    상기 감사로그 수집단계는 각 감사로그 별로 보안시스템 ID를 매핑하여 감사로그 DB에 기록하며,
    상기 양방향 조회추적단계는 통합보안정책 히스토리 DB에 기록된 보안시스템 ID와 감사로그 DB에 기록된 보안시스템 ID를 비교하여 보안정책과 감사로그 간에 양방향 조회, 대조 및 추적 기능을 제공하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 방법.
  15. 청구항 10에 있어서,
    상기 보안정책 적용단계는 보안정책을 준수하는 로그 및 보안정책을 위반하는 로그 발생시 해당 로그를 상기 보안정책 설정부에서 수신한 보안정책 정보에서 검색하여 해당 로그의 보안정책 ID가 있는 경우 보안정책 ID를 로그에 포함시켜 감사로그를 기록하고, 보안정책 정보에서 검색 결과 해당 로그의 보안정책 ID가 없는 경우 정책구성정보를 로그에 포함시켜 감사로그를 기록하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 방법.
  16. 청구항 15에 있어서,
    상기 보안정책 적용단계는 해당 로그에 보안정책 ID를 포함시킬 수 없는 경우 보안정책에서 추출한 행위자 또는 행위자의 접근경로를 나타내는 주체정보, 상기 행위자 또는 접근경로를 통해 접근하려는 대상을 나타내는 객체정보, 상기 행위자 또는 접근경로로 접근하려는 대상에 대해 실행하고자 하는 내용을 나타내는 행위정보 및 접근하려는 대상에 대해 실행하고자 하는 내용을 허용할 것인지 또는 거부할 것인지를 나타내는 허용/거부정보를 나타내는 정보를 포함하는 정책구성정보를 로그에 포함시켜 감사로그를 기록하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 방법.
  17. 청구항 10에 있어서,
    상기 감사로그 수집단계는 수집된 감사로그에 보안정책 ID가 기록되어 있는 경우 보안정책 ID를 추출하여 정책식별정보로 사용하고, 수집된 감사로그에 보안정책 ID가 기록되어 있지 않은 경우 정책구성정보를 추출하고, 이를 이용하여 상기 통합보안정책 히스토리 DB를 조회하고 보안정책 ID를 획득하여 정책식별정보로 사용하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 방법.
  18. 청구항 10에 있어서,
    신청서 ID, 보안정책의 신청자 정보, 보안정책 신청 내용을 포함하는 정보를 신청정보 DB에 기록 및 관리하고, 상기 통합보안정책 히스토리 DB는 각 보안정책 별로 해당 보안정책을 신청한 상기 신청서 ID가 할당되며,
    상기 통합보안정책 히스토리 DB의 신청서 ID를 기초로 신청정보 DB를 조회하여 해당 보안정책에 대한 신청정보를 조회하거나, 상기 감사로그 DB의 각 감사로그에 할당된 보안정책 ID를 기초로 통합보안정책 히스토리 DB를 검색하여 해당 보안정책에 대한 신청서 ID를 확인한 후 신청서 ID를 기초로 신청정보 DB를 조회하여 해당 보안정책에 대한 신청정보를 조회하는 신청정보 확인단계를 더 구비하는 것을 특징으로 하는 보안정책 및 감사로그 양방향 조회, 대조, 추적 방법.
PCT/KR2019/003325 2018-06-01 2019-03-21 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법 WO2019231089A1 (ko)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2020567063A JP7241360B2 (ja) 2018-06-01 2019-03-21 セキュリティポリシー及び監査ログ双方向照会、照合、追跡システム及びその方法｛ｓｅｃｕｒｉｔｙ ｐｏｌｉｃｙ ａｎｄ ａｕｄｉｔ ｌｏｇ ｂｉ－ｄｉｒｅｃｔｉｏｎａｌ ｌｏｏｋｕｐ，ｃｏｍｐａｒｉｎｇ ａｎｄ ｔｒａｃｋｉｎｇ ｓｙｓｔｅｍ ａｎｄ ｍｅｔｈｏｄ ｔｈｅｒｅｏｆ｝
US16/345,785 US20210279329A1 (en) 2018-06-01 2019-03-21 Security policy and audit log two way inquiry, collation, and tracking system and method
EP19717409.7A EP3809298A4 (en) 2018-06-01 2019-03-21 SYSTEM FOR PERFORMING TWO-WAY QUERY, COMPARISON AND FOLLOW-UP ON SECURITY POLICIES AND AUDIT LOGS, AND METHOD RELATED

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2018-0063167 2018-06-01
KR1020180063167A KR101920613B1 (ko) 2018-06-01 2018-06-01 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법

Publications (1)

Publication Number Publication Date
WO2019231089A1 true WO2019231089A1 (ko) 2019-12-05

Family

ID=64602278

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2019/003325 WO2019231089A1 (ko) 2018-06-01 2019-03-21 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법

Country Status (5)

Country Link
US (1) US20210279329A1 (ko)
EP (1) EP3809298A4 (ko)
JP (1) JP7241360B2 (ko)
KR (1) KR101920613B1 (ko)
WO (1) WO2019231089A1 (ko)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116015840B (zh) * 2022-12-23 2024-01-30 星环信息科技(上海)股份有限公司 一种数据操作审计方法、系统、设备及存储介质
CN115914005B (zh) * 2022-12-23 2024-01-23 星环信息科技(上海)股份有限公司 一种数据审计系统及方法

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008250728A (ja) * 2007-03-30 2008-10-16 Yahoo Japan Corp 情報漏洩監視システムおよび情報漏洩監視方法
KR20090044202A (ko) 2007-10-31 2009-05-07 주식회사 이븐스타 웹페이지의 우회침입 탐지 및 매개변수 변조 침입 탐지를이용한 웹 보안 서비스 방법 및 그 시스템
KR20100118422A (ko) * 2009-04-28 2010-11-05 에스케이 텔레콤주식회사 정보보안 증적 추적 시스템 및 방법
JP2012174051A (ja) * 2011-02-22 2012-09-10 Hitachi Cable Networks Ltd 検疫ネットワークシステム
KR20150078972A (ko) * 2013-12-31 2015-07-08 주식회사 윈스 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응 시스템 및 방법
KR20150136369A (ko) * 2014-05-27 2015-12-07 주식회사 커머스톤컨설팅 로그 보안 및 빅 데이터를 이용한 통합 관리 시스템

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3744361B2 (ja) 2001-02-16 2006-02-08 株式会社日立製作所 セキュリティ管理システム
JP4838631B2 (ja) 2006-05-17 2011-12-14 富士通株式会社 文書アクセス管理プログラム、文書アクセス管理装置および文書アクセス管理方法
US9559800B1 (en) * 2008-10-24 2017-01-31 Vmware, Inc. Dynamic packet filtering
JP5644543B2 (ja) 2011-01-26 2014-12-24 富士通株式会社 アクセス制御データ編集支援プログラム、アクセス制御データ編集支援装置、及びアクセス制御データ編集支援方法
US8850593B2 (en) * 2011-05-12 2014-09-30 Hewlett-Packard Development Company, L.P. Data management using a virtual machine-data image
US9378390B2 (en) 2012-03-30 2016-06-28 Nokia Technologies Oy Method and apparatus for policy adaption based on application policy compliance analysis
JP6223099B2 (ja) * 2013-10-01 2017-11-01 キヤノン株式会社 画像処理装置、及びその制御方法、並びにプログラム
US9607163B2 (en) * 2013-12-17 2017-03-28 Canon Kabushiki Kaisha Information processing apparatus, control method, and storage medium storing program

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008250728A (ja) * 2007-03-30 2008-10-16 Yahoo Japan Corp 情報漏洩監視システムおよび情報漏洩監視方法
KR20090044202A (ko) 2007-10-31 2009-05-07 주식회사 이븐스타 웹페이지의 우회침입 탐지 및 매개변수 변조 침입 탐지를이용한 웹 보안 서비스 방법 및 그 시스템
KR20100118422A (ko) * 2009-04-28 2010-11-05 에스케이 텔레콤주식회사 정보보안 증적 추적 시스템 및 방법
JP2012174051A (ja) * 2011-02-22 2012-09-10 Hitachi Cable Networks Ltd 検疫ネットワークシステム
KR20150078972A (ko) * 2013-12-31 2015-07-08 주식회사 윈스 행위 기반 분석 기술을 이용한 지능적 지속 공격 탐지 및 대응 시스템 및 방법
KR20150136369A (ko) * 2014-05-27 2015-12-07 주식회사 커머스톤컨설팅 로그 보안 및 빅 데이터를 이용한 통합 관리 시스템

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3809298A4

Also Published As

Publication number Publication date
JP2021532440A (ja) 2021-11-25
KR101920613B1 (ko) 2018-11-21
EP3809298A4 (en) 2022-04-27
EP3809298A1 (en) 2021-04-21
JP7241360B2 (ja) 2023-03-17
US20210279329A1 (en) 2021-09-09

Similar Documents

Publication Publication Date Title
WO2018107811A1 (zh) 网络安全联合防御方法、装置、服务器和存储介质
WO2014054854A1 (ko) 보안 시스템의 로그 분석 시스템 및 방법
US8516586B1 (en) Classification of unknown computer network traffic
CN115733681A (zh) 一种防止数据丢失的数据安全管理平台
WO2017069348A1 (ko) 보안이벤트 자동 검증 방법 및 장치
WO2012108687A2 (en) Method of detecting arp spoofing attacks using arp locking and computer-readable recording medium storing program for executing the method
WO2017171188A1 (ko) 웹 애플리케이션 서버 또는 웹 서버로부터 수집된 트랜잭션 정보를 이용한 보안장치
WO2011046356A2 (ko) 안티 멀웨어 서비스 방법
WO2018056601A1 (ko) 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치 및 차단 방법
CN107154939B (zh) 一种数据追踪的方法及系统
WO2018124495A1 (ko) 불법 콘텐츠 검색 시스템 및 그 방법
WO2017034072A1 (ko) 네트워크 보안 시스템 및 보안 방법
WO2019231089A1 (ko) 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법
CN111510463B (zh) 异常行为识别系统
WO2019103443A1 (en) Method, apparatus and system for managing electronic fingerprint of electronic file
WO2020085558A1 (ko) 고속분석 영상처리장치 및 그 장치의 구동방법
WO2023113158A1 (ko) 범죄 행위자 프로파일링 방법, 이를 수행하는 장치 및 컴퓨터 프로그램
WO2013125867A1 (ko) 컴퓨터 시스템과, 파일 및 행위 기반 복합룰 작성 시스템
WO2021002485A1 (ko) 웹 애플리케이션 서버를 통한 사용자 식별 기반의 데이터베이스 보안장치
KR101025029B1 (ko) 인증서 기반의 데이터베이스 통합 보안시스템 구축방법
WO2021118029A1 (ko) 보안 정보 가시화 장치, 보안 정보 가시화 방법 및 보안 정보를 가시화 하는 프로그램을 저장하는 저장매체
KR101662530B1 (ko) 호스트의 악성 도메인 접근 탐지와 차단 시스템, 및 그 방법
WO2014058158A1 (ko) 온라인 서비스로 제공되는 저작 콘텐츠의 보호를 위한 콘텐츠 유통 로그 에이전트 및 운영방법
WO2021070978A1 (ko) 블록체인 기반의 edr 장치 및 방법
WO2023158086A1 (ko) 진단서버에 의해 제공되는 취약점 진단 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19717409

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020567063

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2019717409

Country of ref document: EP

Effective date: 20210111