WO2020256210A1 - 네트워크 포렌식 시스템 및 이를 이용한 네트워크 포렌식 방법 - Google Patents

네트워크 포렌식 시스템 및 이를 이용한 네트워크 포렌식 방법 Download PDF

Info

Publication number
WO2020256210A1
WO2020256210A1 PCT/KR2019/008860 KR2019008860W WO2020256210A1 WO 2020256210 A1 WO2020256210 A1 WO 2020256210A1 KR 2019008860 W KR2019008860 W KR 2019008860W WO 2020256210 A1 WO2020256210 A1 WO 2020256210A1
Authority
WO
WIPO (PCT)
Prior art keywords
packet data
metadata
memory
original packet
scenario
Prior art date
Application number
PCT/KR2019/008860
Other languages
English (en)
French (fr)
Inventor
홍재완
박영진
Original Assignee
주식회사 쿼드마이너
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from KR1020190073260A external-priority patent/KR102080477B1/ko
Priority claimed from KR1020190073262A external-priority patent/KR102080479B1/ko
Priority claimed from KR1020190073261A external-priority patent/KR102080478B1/ko
Application filed by 주식회사 쿼드마이너 filed Critical 주식회사 쿼드마이너
Priority to JP2020530464A priority Critical patent/JP7391847B2/ja
Priority to US15/930,177 priority patent/US11838196B2/en
Publication of WO2020256210A1 publication Critical patent/WO2020256210A1/ko
Priority to US18/481,079 priority patent/US20240106730A1/en
Priority to US18/481,100 priority patent/US20240031270A1/en
Priority to JP2023198503A priority patent/JP2024023381A/ja
Priority to JP2023198504A priority patent/JP2024009217A/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F12/00—Accessing, addressing or allocating within memory systems or architectures
    • G06F12/02—Addressing or allocation; Relocation
    • G06F12/08—Addressing or allocation; Relocation in hierarchically structured memory systems, e.g. virtual memory systems
    • G06F12/0802—Addressing of a memory level in which the access to the desired data or data block requires associative addressing means, e.g. caches
    • G06F12/0866—Addressing of a memory level in which the access to the desired data or data block requires associative addressing means, e.g. caches for peripheral storage systems, e.g. disk cache
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/028—Capturing of monitoring data by filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/04—Processing captured monitoring data, e.g. for logfile generation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/06—Generation of reports
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0805—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability
    • H04L43/0817—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability by checking functioning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0876—Network utilisation, e.g. volume of load or congestion level
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/90—Buffering arrangements
    • H04L49/9042—Separate storage for different parts of the packet, e.g. header and payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/16—Threshold monitoring

Definitions

  • the present invention relates to a network forensic system and a network forensic method using the same, and in detail, a high-performance packet stream storage system and method implemented by a network forensic system and method, a pattern-based index processing system and method, and scenario-based real-time attack detection It relates to systems and methods.
  • the technical problem to be achieved by the high-performance packet stream storage system and the high-performance packet stream storage method implemented by the network forensic system and method according to the technical idea of the present invention is to provide rapid analysis and response to hacking accidents based on ultra-high-speed large-capacity data. It is to provide a high-performance packet stream storage system having a high-speed data storage technology and a high-performance packet stream storage method using the same.
  • the technical problem to be achieved by the pattern-based index processing system and the pattern-based index processing method implemented by the network forensic system and method according to the technical idea of the present invention is a pattern-based index processing system and a pattern-based index processing system capable of real-time index processing. It provides an indexing method.
  • Another technical task to be achieved by the pattern-based index processing system and the pattern-based index processing method implemented by the network forensic system and method according to the technical idea of the present invention is to create user-defined index data to cope with various attack scenarios and environments. It is to provide a pattern-based index processing system and a pattern-based index processing method.
  • Another technical problem to be achieved by the pattern-based index processing system and the pattern-based index processing method implemented by the network forensic system and method according to the technical idea of the present invention is that the user can designate and re-index the data at the point of time in question. It is to provide a pattern-based index processing system and a pattern-based index processing method.
  • Another technical task to be achieved by the pattern-based index processing system and the pattern-based index processing method implemented by the network forensic system and method according to the technical idea of the present invention is to classify applications, metadata, and user-defined patterns for scenario analysis. It is to provide a pattern-based index processing system and a pattern-based index processing method.
  • the technical task to be achieved by the scenario-oriented real-time attack detection system and the scenario-oriented real-time attack detection method implemented by the network forensic system and method according to the technical idea of the present invention is to quickly hack by classifying data for each hacking scenario through an index integration process. It is to provide a scenario-oriented real-time attack detection system and a scenario-oriented real-time attack detection method that can analyze an accident.
  • the technical task to be achieved by the scenario-oriented real-time attack detection system and the scenario-oriented real-time attack detection method implemented by the network forensic system and method according to the technical idea of the present invention is to classify applications, metadata, and user-defined patterns for scenario analysis. It provides a scenario-oriented real-time attack detection system and a scenario-oriented real-time attack detection method.
  • a method for storing a high-performance packet stream by a high-performance packet stream storage system includes the steps of: (a) collecting original packet data from data traffic transmitted through a network; (b) writing the collected original packet data to a memory; (c) extracting metadata from the collected original packet data and writing it to a memory; And (d) storing the original packet data and the metadata from the memory in a storage unit.
  • the high-performance packet stream storage method may further include filtering exception information from the collected original packet data and excluding it from a memory recording object.
  • the storage unit includes a local disk, and step (d) may include storing the original packet data and the metadata directly from the memory to the local disk when the network speed is less than a predetermined standard.
  • the storage unit includes a plurality of expansion nodes, and the step (d) includes distributing and storing the original packet data and the metadata from the memory to a plurality of expansion nodes when the network speed exceeds a predetermined standard.
  • the high-performance packet stream storage method may further include a step of returning a memory in which the original packet data and the metadata are recorded after the step (d).
  • the step (a) may include securing an additional memory for the excess amount of original packet data when the amount of packet collection exceeds a collection set value.
  • the step (c) may include storing the collected original packet data and the extracted metadata in the memory for a predetermined recording period and then storing the collected original packet data in the storage unit from the memory.
  • a high-performance packet stream storage system includes: a data management module for collecting original packet data from data traffic transmitted through a network and extracting metadata from the collected original packet data; A memory unit in which the original packet data and the metadata are recorded; A storage unit in which the original packet data and the metadata are stored and converted into a database; A storage management module for storing the original packet data and the metadata from the memory unit to the storage unit; And a memory management module for returning a memory area of the memory unit in which the original packet data and the metadata are recorded after the original packet data and the metadata are stored from the memory unit to the storage unit.
  • the storage unit includes a local disk
  • the storage management module includes a disk management module, and when the network speed is less than a predetermined standard, the disk management module transfers the original packet data and the metadata from the memory unit to the local disk. You can save it yourself.
  • the storage unit includes a plurality of expansion nodes, and the storage management module includes a data distribution management module, and when the network speed exceeds a predetermined standard, the data distribution management module stores the original packet data and the metadata in the memory. It can be distributed and stored in the expansion nodes from the unit.
  • a pattern-based index processing method using a pattern-based index processing system includes the steps of: (a) recombining packet data; (b) performing an application analysis on the recombined packet data; And (c) extracting and indexing metadata of the recombined packet data.
  • Step (a) may include recombining packet data based on TCP header information.
  • the recombined packet data may include determining an application based on an RFC standard.
  • the step (c) may include extracting metadata from the recombined packet data based on the RFC standard.
  • the recombined packet data may include determining an application based on a user-defined standard.
  • the step (c) may include extracting metadata from the recombined packet data based on a user-defined standard.
  • the pattern-based indexing method includes the steps of (a) collecting packet data from data traffic transmitted through a network; Writing the collected packet data to a memory for a predetermined write cycle time; Extracting metadata from the collected packet data and writing them to a memory during the predetermined recording period; And storing the recorded packet data and the metadata from the memory in a storage unit when the predetermined recording period elapses. It may include recombining the stored packet data in units of the predetermined recording period.
  • the step (a) may include a step of returning a memory in which the packet data and the metadata are recorded after the storage unit storing step.
  • the storage unit includes a local disk, and step (a) may include storing the packet data and the metadata directly from the memory to the local disk when the network speed is less than a predetermined standard.
  • the storage unit includes a plurality of expansion nodes, and the step (a) includes distributing and storing the packet data and the metadata from the memory to a plurality of expansion nodes when the network speed exceeds a predetermined standard. can do.
  • a scenario-oriented real-time attack detection method using a scenario-oriented real-time attack detection system includes the steps of: (a) forming a scenario to be applied to indexed metadata; (b) extracting and indexing metadata from the packet data; And (c) detecting indexed metadata corresponding to the scenario.
  • the step (a) includes forming a single detection scenario to be applied to the indexed metadata; And forming multiple detection scenarios by combining single detection scenarios.
  • a single detection scenario includes one or more establishment conditions, and when all of the establishment conditions are satisfied, it is determined that the scenario is established, and the establishment condition may include index type and pattern information.
  • the multiple detection scenario when two or more single detection scenarios are all established and a common condition is established, it may be determined that the scenario is established.
  • the step (b) may include recombining packet data stored in units of a predetermined recording period based on TCP header information; And extracting metadata from the recombined packet data and indexing it.
  • the step (b) includes: before the packet data recombination step, collecting packet data from data traffic transmitted through a network; Writing the collected packet data to a memory for a predetermined write cycle time; Extracting metadata from the collected packet data and writing them to a memory during the predetermined recording period; And storing the recorded packet data and the metadata from the memory in a storage unit when the predetermined recording period elapses.
  • the step (b) may include a step of returning a memory in which the packet data and the metadata are recorded after the storage unit storing step.
  • the storage unit includes a local disk, and step (b) may include storing the packet data and the metadata directly from the memory to the local disk when the network speed is less than a predetermined standard.
  • the storage unit includes a plurality of expansion nodes, and the step (b) includes distributing and storing the packet data and the metadata from the memory to a plurality of expansion nodes when a network speed exceeds a predetermined standard. can do.
  • the scenario-based real-time attack detection method may further include analyzing an application on packet data before step (b).
  • a high-performance packet stream storage system and a high-performance packet stream storage method implemented by a network forensic system and method according to embodiments of the inventive concept have the following effects.
  • the pattern-based index processing system and the pattern-based index processing method implemented by the network forensic system and method according to embodiments of the present invention have the following effects.
  • a technology capable of creating user-defined index data can be provided to respond to various attack scenarios and environments.
  • a scenario-based real-time attack detection system and a scenario-based real-time attack detection method implemented by a network forensic system and method according to embodiments of the present invention have the following effects.
  • Scenario-oriented real-time attack detection technology that can classify applications, metadata, and user-defined patterns for scenario analysis can be provided.
  • FIG. 1 is a schematic flow chart of a method for improving performance of a hacking attack recognition and cause analysis by a network forensic system and method according to an embodiment of the present invention.
  • FIG. 2 is a diagram schematically illustrating a method for storing a high-performance packet stream according to an embodiment of the present invention compared to a conventional packet stream storing method.
  • FIG. 3 is a schematic diagram of a high-performance packet stream storage system according to an embodiment of the present invention.
  • FIG. 4 is a diagram specifically illustrating a method of storing a high-performance packet stream according to an embodiment of the present invention.
  • FIG. 5 is a diagram schematically illustrating a pattern-based index processing method according to an embodiment of the present invention compared to a conventional pattern-based index processing method.
  • FIG. 6 is a diagram schematically illustrating a pattern-based index processing method according to an embodiment of the present invention.
  • FIG. 7 is a flowchart schematically illustrating a pattern-based index processing method according to an embodiment of the present invention.
  • FIG. 8 is a diagram schematically illustrating a scenario-based real-time attack detection method according to an embodiment of the present invention compared to a conventional attack detection method.
  • FIG. 9 is a diagram schematically illustrating a scenario-based real-time attack detection method according to an embodiment of the present invention.
  • FIG. 10 is a diagram illustrating steps in which a single detection scenario is used in a scenario-oriented real-time attack detection system according to an embodiment of the present invention.
  • FIG. 11 is a diagram illustrating steps in which multiple detection scenarios are used in a scenario-oriented real-time attack detection system according to an embodiment of the present invention.
  • one component when one component is referred to as “connected” or “connected” to another component, the one component may be directly connected or directly connected to the other component, but specially It should be understood that as long as there is no opposing substrate, it may be connected or may be connected via another component in the middle.
  • constituent elements represented by' ⁇ unit' in the present specification two or more constituent elements may be combined into one constituent element, or one constituent element may be divided into two or more for each more subdivided function.
  • each of the components to be described below may additionally perform some or all of the functions that other components are responsible for in addition to its own main function, and some of the main functions that each component is responsible for are different. It goes without saying that it may be performed exclusively by components.
  • FIG. 1 is a schematic flow chart of a method for improving performance of a hacking attack recognition and cause analysis by a network forensic system and method according to an embodiment of the present invention.
  • the difficulty of packet analysis increases as the complexity of the attack increases, and second, it is necessary to analyze the overall large-capacity packet from the pre-action for the attack to the attack, not only the event log at the time of the event, and the third, the ultra-high-speed network network. A problem that is difficult to collect and analyze must be solved.
  • FIG. 2 is a diagram schematically illustrating a method for storing a high-performance packet stream according to an embodiment of the present invention compared to a conventional packet stream storing method.
  • the conventional packet storage method is a technology that simply collects packets in real time and directly stores them in a local disk.
  • large-capacity traffic such as 10 Gbps
  • fast I/O performance is essential, and high-speed storage is inevitable. This entails a problem that increases the product cost of the security system.
  • the high-performance packet stream storage system and the high-performance packet stream storage method using the same enable ultra-high-speed packet storage without data loss and large-capacity data processing through distributed storage processing.
  • FIG. 3 is a schematic diagram of a high-performance packet stream storage system according to an embodiment of the present invention.
  • 4 is a diagram specifically illustrating a method of storing a high-performance packet stream according to an embodiment of the present invention.
  • the high-performance packet stream storage system 100 includes a data management module (DAM) 110, a memory unit 120, a storage unit 130, a storage management module 140, and A memory management module (DMM; Data Memory Module) 150 may be included.
  • DAM data management module
  • DMM Data Memory Module
  • the storage unit 130 may include a local disk 132 and/or a plurality of expansion nodes 134 at a remote location, and the storage management module 140 includes a disk management module (DIM) 142 and / Or a data distribution management module (DDM; Data Distributed Module) 144 may be included.
  • DIM disk management module
  • DDM Data Distribution Management module
  • the network connects the intranet and the Internet, and large amounts of data can be transmitted at high speed through the network.
  • the data management module 110 is a device that collects, parses, and records network packet data, and may collect original packet data in real time from data traffic transmitted through a network (S1110).
  • the data management module 110 checks whether the packet collection amount exceeds the collection set value (S1120), and when the packet collection amount is less than the collection set value, the original packet data collected in real time is stored in the memory unit 120 It is possible to write directly to the area (S1130).
  • the data management module 110 secures an additional memory for the excess amount of original packet data in advance in the memory unit 120 .
  • the collection setting value may be readjusted (S1140).
  • the data management module 110 may extract metadata from the collected original packet data and write it to a memory area secured in the memory unit 120.
  • the metadata may include a source IP, a source port, a destination IP, a destination port, and a protocol.
  • the data management module 110 may perform packet IP/port analysis (S1150) and TCP/UDP packet analysis (S1160), but is not limited thereto, and packet IP/port analysis and TCP/UDP packet analysis Either one may be performed.
  • S1150 packet IP/port analysis
  • S1160 TCP/UDP packet analysis
  • the data management module 110 may filter the exception information from the extracted metadata to exclude original packet data corresponding to the exception information from the memory recording target (S1170).
  • the exception information may be personal information, information transmitted by a specific person, information related to a specific IP, and the like.
  • the collected original packet data and the extracted metadata may be recorded in the memory area of the memory unit 120 during a predetermined recording period (S1180), and then stored in the storage unit 130 by the storage management module 140.
  • the collected original packet data and the extracted metadata may be recorded in the memory of the memory unit 120 for one minute, and the original packet data and metadata recorded for one minute are collected and stored in units of one minute.
  • the database is converted into a database in 130 and is ready to be stored (S1190).
  • the storage management module 140 may store the original packet data and metadata in the storage unit 130 from the memory unit 120 to form a database.
  • the storage management module 140 selects whether to store the original packet data and metadata in the local disk 132 or distributedly store the original packet data and metadata in the expansion nodes 134 (S1200).
  • the disk management module 142 may directly store the original packet data and metadata from the memory unit 120 to the local disk 132 (S1210). Since the disk management module 142 directly accesses the local disk 132 without going through an OS, the original packet data and metadata can be stored in the local disk 142 at the fastest time. The original packet data and metadata are recorded on the local disk 132 in a predetermined recording period unit (eg, one minute unit).
  • a predetermined recording period unit eg, one minute unit
  • the data distribution management module 144 may distribute and store the original packet data and metadata from the memory unit 120 to the expansion nodes 134 (S1220).
  • the distributed storage method is a method of dividing large-scale structured data into several parts and then storing and managing it in a distributed manner, and a known distributed storage method may be used.
  • the original packet data and metadata are converted into a database and stored in the storage unit 130, and the metadata is used for quick information retrieval of the data as summary information of the packet data, and the original packet The data is used as original data for hacking or not.
  • the memory management module 150 manages a memory area used for packet storage and analysis, and after the original packet data and metadata are stored in the storage unit 130 from the memory unit 120, the memory management module 150 The memory area of the memory unit 120 in which the original packet data and metadata have been recorded may be returned (S1230).
  • FIG. 5 is a diagram schematically illustrating a pattern-based index processing method according to an embodiment of the present invention compared to a conventional pattern-based index processing method.
  • the conventional indexing method is a method of indexing large-capacity packet data at a predetermined pattern at a predetermined time.
  • the large-capacity packet data was analyzed in the basic application analysis module, and based on this, the metadata extraction module extracted metadata.
  • the pattern-based index processing method enables user-defined index data to be created to respond to various attack scenarios and environments, and the index processing is not only real-time index processing, but also data at a point in time.
  • a function of re-indexing by specifying a user can be provided.
  • the pattern-based user-defined index management interface can index the user pattern on the original packet data, add an application pattern to the basic application module, and You can also add metadata patterns to the data extraction module.
  • the pattern-based indexing method according to an embodiment of the present invention analyzes the original packet data stored in the storage unit, so that a pattern required at a required time can be indexed in addition to the conventional method of indexing a pattern transmitted at a predetermined time. .
  • FIG. 6 is a diagram schematically illustrating a pattern-based index processing method according to an embodiment of the present invention.
  • 7 is a flowchart schematically illustrating a pattern-based index processing method according to an embodiment of the present invention.
  • the pattern-based index processing method may analyze various hacking attempts by defining various patterns based on scenarios, classifying and redefining session-based packets according to patterns.
  • the pattern-based index processing system may include a data recombination module, an application analysis module, and a metadata extraction module.
  • Original packet data stored in the storage unit 130 in units of a predetermined recording period may be recombined by a recombination module for indexing.
  • the recombination module reassembles the original packet data stored in the storage unit 130 based on the TCP header information of the original packet data stored in the storage unit 130 (S2110).
  • the application analysis module starts application analysis (S2120).
  • the application analysis module determines what kind of application the original packet data is generated by.
  • the application analysis module may determine an application based on the RFC standard for the recombined original packet data (S2130), and may use a user-defined rule to determine an application that is not defined in the RFC standard (S2140).
  • the metadata extraction module may extract metadata from the recombined original packet data (S2160).
  • metadata may be extracted based on the RFC standard standard (S2170), and for the original packet data generated by an application not defined in the RFC standard Meta data may be extracted according to a user-defined rule (S2180).
  • User-defined rules used by the application analysis module to determine an application and user-defined rules used by the metadata extraction module to extract metadata may be defined by a pattern-based user-defined index management interface.
  • the metadata extraction module indexes the extracted metadata and finally indexes it (S2180).
  • metadata may be extracted for each application and indexed.
  • the extracted metadata can be indexed as URL, web information, attachments, etc.
  • the extracted metadata is the login ID, server ID, and It can be indexed as an attachment, etc.
  • the extracted metadata can be indexed as sender, recipient, attachment, etc.
  • the extracted metadata is It can be indexed by domain query, server query, etc., and when it is confirmed that the application is SSL, the extracted metadata can be indexed by server certificate, URL, service information, etc.
  • the extracted metadata can be indexed in a form defined accordingly.
  • the metadata extraction module can combine various metadata indexes for each application index.
  • FIG. 8 is a diagram schematically illustrating a scenario-based real-time attack detection method according to an embodiment of the present invention compared to a conventional attack detection method.
  • origin/destination information web host address, application, origin/destination country, web meta? Method, web meta? Return code, web meta? Path, web meta?
  • a method of repeatedly searching 108 conditions such as X forwarded, connection duration, upload/download files, number of packets, and protocol type was used.
  • the scenario-based real-time attack detection method classifies data for each hacking scenario through an index integration process so that hacking details can be quickly analyzed.
  • pattern-based index data e.g., origin/destination, country information, access duration, attachment type, email sender, etc.
  • Scenarios are created in advance and the method of checking only the original packet data that allows the scenario to be established is used.
  • FIG. 9 is a diagram schematically illustrating a scenario-based real-time attack detection method according to an embodiment of the present invention.
  • the scenario generation module may perform a step of forming a scenario to be applied to indexed metadata, and metadata extraction The module may perform a step of extracting metadata from the original packet data and indexing it, and the metadata detection module may perform a step of detecting indexed metadata corresponding to a scenario.
  • the scenario may include a single detection scenario to be applied to the indexed metadata and multiple detection scenarios combining single detection scenarios.
  • the metadata extraction module extracting metadata from packet data and indexing it, application analysis and metadata extraction and indexing based on it have been described above, but metadata extraction and indexing must be performed based on application analysis. It is not limited to what should be done, and application analysis may not be performed.
  • a single detection scenario includes one or more establishment conditions, and when all of the establishment conditions are satisfied, the corresponding metadata and packet data corresponding thereto are determined to have established the scenario.
  • the establishment condition may include index type and pattern information. An example of index type and pattern information will be described later with reference to FIGS. 10 and 11.
  • the scenario-oriented real-time attack detection system includes generated index metadata (eg, server country information, access duration, web attachment type, web attachment direction, application type, email sender, e-mail). Text, source IP, destination IP, web URL address, etc.) can be combined and used to create a single detection scenario.
  • generated index metadata eg, server country information, access duration, web attachment type, web attachment direction, application type, email sender, e-mail.
  • a single detection scenario may include a data leak scenario, a virus download scenario, a C&C access scenario, an insider information leak scenario, and the like.
  • the data leakage scenario can be composed of indexes of web attachment type and web attachment direction, and pdf, hwp, docx, etc. can be defined as web attachment types, and upload is defined as web attachment direction. I can.
  • Virus download scenario can be composed of indexes of web attachment type and web attachment direction, and exe, dll, etc. can be defined as web attachment type, and download can be defined as web attachment direction. .
  • the C&C access scenario can be composed of an index of application type and server country information, and IRC, HTTP, etc. can be defined as the application type, and China, Russia, etc. can be defined as the server country information.
  • Insider information leakage scenarios can consist of an index of email sender and email body, and a specific domain server can be defined as the email sender, and content including the words “confidential” and “confidential” as the email body. can do.
  • the scenario generation module may generate multiple detection scenarios by combining a plurality of single detection scenarios thus generated.
  • the multiple detection scenario may include an APT attack scenario, a confidential information leak scenario, and the like.
  • the APT attack scenario is established when all of the virus download scenario, C&C access scenario, and data leakage scenario are established, and the confidential information leakage scenario can be established when both insider information leakage scenario and data leakage scenario are established.
  • 10 is a diagram illustrating steps in which a single detection scenario is used in a scenario-oriented real-time attack detection system according to an embodiment of the present invention.
  • 11 is a diagram illustrating steps in which multiple detection scenarios are used in a scenario-oriented real-time attack detection system according to an embodiment of the present invention.
  • a single detection scenario Rule ID No. 1 may have two conditions.
  • condition 1 the index type can be set to HTTP URL
  • the pattern information (Rule Pattern) can be set to www.dropbox.com
  • condition 2 the index type can be set to HTTP Upload Type
  • the pattern The information can be set to docx.
  • you connect to www.dropbox.com (consider condition 1) and upload a file with the docx extension (consider condition 2), it can be detected that the uploading of the attached file to Webhard has been performed.
  • Rule ID 2 can have only one condition.
  • the index type may be set to SSL (Secure Sockets Layer) domain
  • the pattern information (Rule Pattern) may be set to saramin.co.kr.
  • saramin.co.kr which is a turnover site as an SSL domain
  • the multiple detection scenario when two or more single detection scenarios are all established and a common condition of the multiple detection scenarios is established, it may be determined that the scenario is established.
  • multiple detection scenario Rule ID 3 satisfies single detection scenario Rule IDs 1 and 2, but the source IP of packet data satisfying Rule IDs 1 and 2 as a common condition.
  • SIP Session Initiation Protocol
  • Embodiments of the subject matter described herein are one or more computer program products, i.e., one or more modules relating to computer program instructions encoded on a tangible program medium for execution by a data processing device or to control its operation Can be implemented.
  • the tangible program medium may be a radio wave signal or a computer-readable medium.
  • a radio wave signal is an artificially generated signal, such as a machine-generated electrical, optical or electromagnetic signal, generated to encode information for transmission to an appropriate receiver device for execution by a computer.
  • the computer-readable medium may be a machine-readable storage device, a machine-readable storage substrate, a memory device, a combination of materials that affect a machine-readable radio wave signal, or a combination of one or more of them.
  • Computer programs can be written in any form of a compiled or interpreted language or a programming language, including a priori or procedural language, and can be written as a standalone program or module, It can be deployed in any form, including components, subroutines, or other units suitable for use in a computer environment.
  • Computer programs do not necessarily correspond to files in the file system.
  • a program may be in a single file provided to the requested program, or in multiple interactive files (e.g., files that store one or more modules, subprograms, or portions of code), or part of a file that holds other programs or data. (Eg, one or more scripts stored within a markup language document).
  • a computer program may be deployed to run on a single computer or multiple computers located at one site or distributed across a plurality of sites and interconnected by a communication network.
  • processors suitable for execution of computer programs include, for example, both general and special purpose microprocessors and any one or more processors of any kind of digital computer.
  • the processor will receive instructions and data from read-only memory, random access memory, or both.
  • the key elements of a computer are one or more memory devices for storing instructions and data, and a processor for performing the instructions.
  • computers are typically operatively coupled to receive data from, transfer data to, or perform both of these operations from one or more mass storage devices for storing data, such as magnetic, magneto-optical disks or optical disks. Or will include it.
  • the computer does not need to have such a device.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Environmental & Geological Engineering (AREA)
  • Theoretical Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

본 발명은 네트워크 포렌식 시스템 및 이를 이용한 네트워크 포렌식 방법에 관한 것으로서, 고성능 패킷 스트림 저장 시스템 및 방법, 패턴 기반 색인 처리 시스템 및 방법, 그리고 시나리오 중심 실시간 공격 감지 시스템 및 방법에 관한 것이며, 고성능 패킷 스트림 저장 시스템에 의한 고성능 패킷 스트림 저장 방법은, (a) 네트워크를 통해 전송되는 데이터 트래픽으로부터 원본 패킷 데이터를 수집하는 단계; (b) 상기 수집된 원본 패킷 데이터를 메모리에 기록하는 단계; (c) 상기 수집된 원본 패킷 데이터에서 메타데이터를 추출하여 메모리에 기록하는 단계; 및 (d) 상기 원본 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 저장부에 저장하는 단계를 포함할 수 있다.

Description

네트워크 포렌식 시스템 및 이를 이용한 네트워크 포렌식 방법
본 발명은 네트워크 포렌식 시스템 및 이를 이용한 네트워크 포렌식 방법에 관한 것으로서, 상세하게는 네트워크 포렌식 시스템 및 방법에 의해 구현되는 고성능 패킷 스트림 저장 시스템 및 방법, 패턴 기반 색인 처리 시스템 및 방법, 그리고 시나리오 중심 실시간 공격 감지 시스템 및 방법에 관한 것이다.
정보통신(IT) 기기 뿐 아니라 집, 자동차, 도시, 공장 등 모든 사물이 초고속 네트워크로 연결되는 시대에 해킹이나 사이버테러가 일어나면 그 파급력은 상상을 초월한다. 이에 따라 많은 기업들이 네트워크 보안 강화에 많은 노력을 기울이고 있다.
그러나, 해킹 공격은 날이 갈수록 다양해지고 있으며, 공격 인지 난이도도 점차 증가하는 것이 현실이다. 이에 따라 해킹 공격에 대한 전체 흐름을 파악하고, 신속한 패킷 분석을 통하여 해커의 공격을 빠르게 인지할 수 있는 기술이 요구되고 있다.
99% 해킹 시도가 수일 이내에 침해사고를 발생하고, 이 중 85%는 데이터 유출이 발생되며, 85%의 해킹사고를 발견되기까지 수 주일 이상의 시간이 소요되기 때문에, 신속한 패킷 분석을 통한 해커의 공격 인지 시간 단축에 대한 많은 연구가 진행되어 왔다.
또한, 초고속 대용량 트래픽을 저장하고 분석하기 위해서는 빠른 I/O 성능이 필요하고, 이를 위해 고속 스토리지를 사용하게 되면, 제품 원가 가격이 상승하게 되는 문제점이 발생된다. 고속 스토리지를 사용하지 않고도, 초고속 대용량 트래픽에서 데이터의 유실 없이 패킷을 수집하고 저장하며, 다양한 공격 시나리오 및 환경에 대응하기 위한 데이터 분석할 수 있는 기술 또한 요구되고 있다.
본 발명의 기술적 사상에 따른 네트워크 포렌식 시스템 및 방법에 의해 구현되는 고성능 패킷 스트림 저장 시스템 및 고성능 패킷 스트림 저장 방법이 이루고자 하는 기술적 과제는, 초고속 대용량 데이터를 기반으로 해킹 사고에 대한 빠른 분석 및 대응을 하기 위한 고속 데이터 저장 기술을 가진 고성능 패킷 스트림 저장 시스템 및 이를 이용한 고성능 패킷 스트림 저장 방법을 제공하는 것이다.
본 발명의 기술적 사상에 따른 네트워크 포렌식 시스템 및 방법에 의해 구현되는 패턴 기반 색인 처리 시스템 및 패턴 기반 색인 처리 방법이 이루고자 하는 기술적 과제는, 실시간으로 색인 처리를 할 수 있는 패턴 기반 색인 처리 시스템 및 패턴 기반 색인 처리 방법을 제공하는 것이다.
본 발명의 기술적 사상에 따른 네트워크 포렌식 시스템 및 방법에 의해 구현되는 패턴 기반 색인 처리 시스템 및 패턴 기반 색인 처리 방법이 이루고자 하는 다른 기술적 과제는, 다양한 공격 시나리오 및 환경에 대응하기 위해 사용자 정의 색인 데이터를 생성할 수 있는 패턴 기반 색인 처리 시스템 및 패턴 기반 색인 처리 방법을 제공하는 것이다.
본 발명의 기술적 사상에 따른 네트워크 포렌식 시스템 및 방법에 의해 구현되는 패턴 기반 색인 처리 시스템 및 패턴 기반 색인 처리 방법이 이루고자 하는 다른 기술적 과제는, 문제가 되는 시점의 데이터를 사용자가 지정하여 재색인할 수 있도록 하는 패턴 기반 색인 처리 시스템 및 패턴 기반 색인 처리 방법을 제공하는 것이다.
본 발명의 기술적 사상에 따른 네트워크 포렌식 시스템 및 방법에 의해 구현되는 패턴 기반 색인 처리 시스템 및 패턴 기반 색인 처리 방법이 이루고자 하는 다른 기술적 과제는, 시나리오 분석을 위한 어플리케이션, 메타데이터, 사용자 정의 패턴 분류를 할 수 있는 패턴 기반 색인 처리 시스템 및 패턴 기반 색인 처리 방법을 제공하는 것이다.
본 발명의 기술적 사상에 따른 네트워크 포렌식 시스템 및 방법에 의해 구현되는 시나리오 중심 실시간 공격 감지 시스템 및 시나리오 중심 실시간 공격 감지 방법이 이루고자 하는 기술적 과제는, 색인 통합 과정을 통한 해킹 시나리오별 데이터를 분류하여 빠르게 해킹 사고를 분석할 수 있는 시나리오 중심 실시간 공격 감지 시스템 및 시나리오 중심 실시간 공격 감지 방법을 제공하는 것이다.
본 발명의 기술적 사상에 따른 네트워크 포렌식 시스템 및 방법에 의해 구현되는 시나리오 중심 실시간 공격 감지 시스템 및 시나리오 중심 실시간 공격 감지 방법이 이루고자 하는 기술적 과제는, 시나리오 분석을 위한 어플리케이션, 메타데이터, 사용자 정의 패턴 분류를 할 수 있는 시나리오 중심 실시간 공격 감지 시스템 및 시나리오 중심 실시간 공격 감지 방법을 제공하는 것이다.
본 발명의 기술적 사상에 따른 네트워크 포렌식 시스템 및 이를 이용한 네트워크 포렌식 방법이 이루고자 하는 기술적 과제는 이상에서 언급한 과제로 제한되지 않으며, 언급되지 않은 또 다른 과제는 아래의 기재로부터 통상의 기술자에게 명확하게 이해될 수 있을 것이다.
본 발명의 기술적 사상에 의한 일 실시예에 따른, 고성능 패킷 스트림 저장 시스템에 의한 고성능 패킷 스트림 저장 방법은, (a) 네트워크를 통해 전송되는 데이터 트래픽으로부터 원본 패킷 데이터를 수집하는 단계; (b) 상기 수집된 원본 패킷 데이터를 메모리에 기록하는 단계; (c) 상기 수집된 원본 패킷 데이터에서 메타데이터를 추출하여 메모리에 기록하는 단계; 및 (d) 상기 원본 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 저장부에 저장하는 단계를 포함할 수 있다.
상기 고성능 패킷 스트림 저장 방법은, 상기 수집된 원본 패킷 데이터에서 예외 정보를 필터링하여 메모리 기록 대상에서 제외시키는 단계를 더 포함할 수 있다.
상기 저장부는 로컬 디스크를 포함하며, 상기 (d) 단계는 네트워크 속도가 소정 기준 이하인 경우에 상기 원본 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 상기 로컬 디스크에 직접 저장하는 단계를 포함할 수 있다.
상기 저장부는 복수개의 확장 노드들을 포함하며, 상기 (d) 단계는 네트워크 속도가 소정 기준을 초과하는 경우에 상기 원본 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 복수개의 확장 노드들에 분산 저장하는 단계를 포함할 수 있다.
상기 고성능 패킷 스트림 저장 방법은 상기 (d) 단계 후에, 상기 원본 패킷 데이터와 상기 메타데이터가 기록된 메모리가 반환되는 단계를 더 포함할 수 있다.
상기 (a) 단계는, 패킷 수집량이 수집 설정값을 초과하는 경우에, 초과된 양의 원본 패킷 데이터를 위한 추가 메모리를 확보하는 단계를 포함할 수 있다.
상기 (c) 단계는, 상기 수집된 원본 패킷 데이터와 상기 추출된 메타데이터가 소정 기록 주기 동안 상기 메모리에 기록된 후에 상기 메모리로부터 상기 저장부에 저장되는 단계를 포함할 수 있다.
본 발명의 기술적 사상에 의한 일 실시예에 따른, 고성능 패킷 스트림 저장 시스템은 네트워크를 통해 전송되는 데이터 트래픽으로부터 원본 패킷 데이터를 수집하고, 상기 수집된 원본 패킷 데이터에서 메타데이터를 추출하는 데이터 관리 모듈; 상기 원본 패킷 데이터와 상기 메타데이터가 기록되는 메모리부; 상기 원본 패킷 데이터와 상기 메타데이터가 저장되어 데이터베이스화되는 저장부; 상기 원본 패킷 데이터와 상기 메타데이터를 상기 메모리부로부터 상기 저장부에 저장시키는 저장 관리 모듈; 및 상기 원본 패킷 데이터와 상기 메타데이터가 상기 메모리부로부터 상기 저장부에 저장된 후에 상기 원본 패킷 데이터와 상기 메타데이터가 기록되었던 상기 메모리부의 메모리 영역을 반환시키는 메모리 관리 모듈을 포함할 수 있다.
상기 저장부는 로컬 디스크를 포함하며, 저장 관리 모듈은 디스크 관리 모듈을 포함하고, 네트워크 속도가 소정 기준 이하인 경우에 상기 디스크 관리 모듈은 상기 원본 패킷 데이터와 상기 메타데이터를 상기 메모리부로부터 상기 로컬 디스크에 직접 저장할 수 있다.
상기 저장부는 복수개의 확장 노드들을 포함하며, 저장 관리 모듈은 데이터 분산 관리 모듈을 포함하고, 네트워크 속도가 소정 기준을 초과하는 경우에 상기 데이터 분산 관리 모듈은 상기 원본 패킷 데이터와 상기 메타데이터를 상기 메모리부로부터 상기 확장 노드들에 분산 저장할 수 있다.
본 발명의 기술적 사상에 의한 일 실시예에 따른, 패턴 기반 색인 처리 시스템을 이용한 패턴 기반 색인 처리 방법은, (a) 패킷 데이터를 재조합하는 단계; (b) 재조합된 패킷 데이터에 대하여 어플리케이션 분석을 하는 단계; 및 (c) 상기 재조합 패킷 데이터의 메타데이터를 추출하여 색인화 하는 단계를 포함할 수 있다.
상기 (a) 단계는 TCP헤더 정보를 기반으로 패킷 데이터를 재조합하는 단계를 포함할 수 있다.
상기 (b) 단계에서 상기 재조합된 패킷 데이터를 RFC 규격을 기준으로 어플리케이션을 판단하는 단계를 포함할 수 있다.
상기 재조합된 패킷 데이터가 RFC 규격의 어플리케이션에 의해 생성된 데이터인 경우에, 상기 (c) 단계에서 상기 재조합된 패킷 데이터를 RFC 규격을 기준으로 메타데이터를 추출하는 단계를 포함할 수 있다.
상기 (b) 단계에서 상기 재조합된 패킷 데이터를 사용자 정의 규격을 기준으로 어플리케이션을 판단하는 단계를 포함할 수 있다.
상기 재조합된 패킷 데이터가 사용자 정의 규격의 어플리케이션에 의해 생성된 데이터인 경우에, 상기 (c) 단계에서 상기 재조합된 패킷 데이터를 사용자 정의 규격을 기준으로 메타데이터를 추출하는 단계를 포함할 수 있다.
상기 패턴 기반 색인 처리 방법은 상기 (a) 단계는 네트워크를 통해 전송되는 데이터 트래픽으로부터 패킷 데이터를 수집하는 단계; 상기 수집된 패킷 데이터를 소정 기록 주기 시간동안 메모리에 기록하는 단계; 상기 수집된 패킷 데이터에서 메타데이터를 추출하여 상기 소정 기록 주기 시간동안 메모리에 기록하는 단계; 및 상기 소정 기록 주기가 경과하면, 상기 기록된 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 저장부에 저장하는 단계; 상기 소정 기록 주기 단위로 저장된 패킷 데이터를 재조합하는 단계를 포함할 수 있다.
상기 (a) 단계는 상기 저장부 저장 단계 후에, 상기 패킷 데이터와 상기 메타데이터가 기록된 메모리가 반환되는 단계를 포함할 수 있다.
상기 저장부는 로컬 디스크를 포함하며, 상기 (a) 단계는 네트워크 속도가 소정 기준 이하인 경우에 상기 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 상기 로컬 디스크에 직접 저장하는 단계를 포함할 수 있다.
상기 저장부는 복수개의 확장 노드들을 포함하며, 상기 (a) 단계는 네트워크 속도가 소정 기준을 초과하는 경우에 상기 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 복수개의 확장 노드들에 분산 저장하는 단계를 포함할 수 있다.
본 발명의 기술적 사상에 의한 일 실시예에 따른, 시나리오 중심 실시간 공격 감지 시스템을 이용한 시나리오 중심 실시간 공격 감지 방법은, (a) 색인화된 메타데이터에 적용될 시나리오를 형성하는 단계; (b) 패킷 데이터로부터 메타데이터를 추출하여 색인화 하는 단계; 및 (c) 상기 시나리오에 대응되는 색인화된 메타데이터를 탐지하는 단계를 포함할 수 있다.
상기 (a) 단계는 색인화된 메타데이터에 적용될 단일 탐지 시나리오를 형성하는 단계; 및 단일 탐지 시나리오들을 결합한 다중 탐지 시나리오를 형성하는 단계를 포함할 수 있다.
단일 탐지 시나리오는 하나 이상의 성립 조건을 포함하며, 성립 조건이 모두 만족되는 경우에 시나리오가 성립된 것으로 판단되며, 성립 조건은 색인 타입 및 패턴 정보를 포함할 수 있다.
다중 탐지 시나리오는 둘 이상의 단일 탐지 시나리오가 모두 성립되고, 공통 조건이 성립되는 경우에 시나리오가 성립된 것으로 판단할 수 있다.
상기 (b) 단계는, 소정 기록 주기 단위로 저장된 패킷 데이터를 TCP헤더 정보를 기반으로 재조합하는 단계; 및 상기 재조합된 패킷 데이터로부터 메타데이터를 추출하여 색인화 하는 단계를 포함할 수 있다.
상기 (b) 단계는, 상기 패킷 데이터 재조합 단계 전에, 네트워크를 통해 전송되는 데이터 트래픽으로부터 패킷 데이터를 수집하는 단계; 상기 수집된 패킷 데이터를 소정 기록 주기 시간동안 메모리에 기록하는 단계; 상기 수집된 패킷 데이터에서 메타데이터를 추출하여 상기 소정 기록 주기 시간동안 메모리에 기록하는 단계; 및 상기 소정 기록 주기가 경과하면, 상기 기록된 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 저장부에 저장하는 단계를 포함할 수 있다.
상기 (b) 단계는 상기 저장부 저장 단계 후에, 상기 패킷 데이터와 상기 메타데이터가 기록된 메모리가 반환되는 단계를 포함할 수 있다.
상기 저장부는 로컬 디스크를 포함하며, 상기 (b) 단계는 네트워크 속도가 소정 기준 이하인 경우에 상기 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 상기 로컬 디스크에 직접 저장하는 단계를 포함할 수 있다.
상기 저장부는 복수개의 확장 노드들을 포함하며, 상기 (b) 단계는 네트워크 속도가 소정 기준을 초과하는 경우에 상기 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 복수개의 확장 노드들에 분산 저장하는 단계를 포함할 수 있다.
상기 시나리오 중심 실시간 공격 감지 방법은 상기 (b) 단계 전에, 패킷 데이터에 대하여 어플리케이션 분석을 하는 단계를 더 포함할 수 있다.
본 발명의 기술적 사상에 의한 실시예들에 따른 네트워크 포렌식 시스템 및 방법에 의해 구현되는 고성능 패킷 스트림 저장 시스템 및 고성능 패킷 스트림 저장 방법은 하기와 같은 효과를 가진다.
(1) 해킹 사고에 대한 빠른 분석 및 대응을 위한 고성능 패킷 스트림 저장 기술로서, 파티션 키 기반의 순차 저장 데이터베이스를 제공할 수 있다.
(2) 초고속 네트워크 망에서 데이터의 유실 없이 패킷 스트림을 저장하고 이를 요약한 데이터를 추출하여 데이터베이스화할 수 있는 기술을 제공할 수 있다.
(3) 고속 스토리지를 사용하지 않고도 초고속 대용량 트래픽을 저장할 수 있도록 하는, 패킷을 분산 저장 처리하는 기술을 제공할 수 있다.
본 발명의 기술적 사상에 의한 실시예들에 따른 네트워크 포렌식 시스템 및 방법에 의해 구현되는 패턴 기반 색인 처리 시스템 및 패턴 기반 색인 처리 방법은 하기와 같은 효과를 가진다.
(1) 실시간으로 색인 처리를 할 수 있는 패턴 기반 색인 처리 기술을 제공할 수 있다.
(2) 다양한 공격 시나리오 및 환경에 대응하기 위해 사용자 정의 색인 데이터를 생성할 수 있는 기술을 제공할 수 있다.
(3) 문제가 되는 시점의 데이터를 사용자가 지정하여 재색인할 수 있도록 하는 기술을 제공할 수 있다.
(4) 시나리오 분석을 위한 어플리케이션, 메타데이터, 사용자 정의 패턴 분류를 할 수 있는 기술을 제공할 수 있다.
본 발명의 기술적 사상에 의한 실시예들에 따른 네트워크 포렌식 시스템 및 방법에 의해 구현되는 시나리오 중심 실시간 공격 감지 시스템 및 시나리오 중심 실시간 공격 감지 방법은 하기와 같은 효과를 가진다.
(1) 색인 통합 과정을 통한 해킹 시나리오별 데이터를 분류하여 빠르게 해킹 사고를 분석할 수 있는 시나리오 중심 실시간 공격 감지 기술을 제공할 수 있다.
(2) 시나리오 분석을 위한 어플리케이션, 메타데이터, 사용자 정의 패턴 분류를 할 수 있는 시나리오 중심 실시간 공격 감지 기술을 제공할 수 있다.
다만, 본 발명의 일 실시예에 따른 고성능 패킷 스트림 저장 시스템 및 고성능 패킷 스트림 저장 방법이 달성할 수 있는 효과는 이상에서 언급한 것들로 제한되지 않으며, 언급하지 않은 또 다른 효과들은 아래의 기재로부터 통상의 기술자에게 명확하게 이해될 수 있을 것이다.
본 명세서에서 인용되는 도면을 보다 충분히 이해하기 위하여 각 도면의 간단한 설명이 제공된다.
도 1은 본 발명의 일 실시예에 따른 네트워크 포렌식 시스템 및 방법에 의한 해킹 공격 인지 및 원인 분석 성능 향상 방법의 개략적인 순서도이다.
도 2는 본 발명의 일 실시예에 따른 고성능 패킷 스트림 저장 방법을 종래의 패킷 스트림 저장 방법과 대비하여 개략적으로 도시한 도면이다.
도 3은 본 발명의 일 실시예에 따른 고성능 패킷 스트림 저장 시스템을 개략적으로 도시한 도면이다.
도 4는 본 발명의 일 실시예에 따른 고성능 패킷 스트림 저장 방법을 구체적으로 도시한 도면이다.
도 5는 본 발명의 일 실시예에 따른 패턴 기반 색인 처리 방법을 종래의 패턴 기반 색인 처리 방법과 대비하여 개략적으로 도시한 도면이다.
도 6은 본 발명의 일 실시예에 따른 패턴 기반 색인 처리 방법을 개략적으로 도시한 도면이다.
도 7은 본 발명의 일 실시예에 따른 패턴 기반 색인 처리 방법을 개략적으로 도시한 흐름도이다.
도 8은 본 발명의 일 실시예에 따른 시나리오 중심 실시간 공격 감지 방법을 종래의 공격 감지 방법과 대비하여 개략적으로 도시한 도면이다.
도 9는 본 발명의 일 실시예에 따른 시나리오 중심 실시간 공격 감지 방법을 개략적으로 도시한 도면이다.
도 10은 본 발명의 일 실시예에 따른 시나리오 중심 실시간 공격 감지 시스템에서 단일 탐지 시나리오가 사용되는 단계를 도시한 도면이다.
도 11은 본 발명의 일 실시예에 따른 시나리오 중심 실시간 공격 감지 시스템에서 다중 탐지 시나리오가 사용되는 단계를 도시한 도면이다.
본 발명은 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시예들을 도면에 예시하고, 이를 상세한 설명을 통해 상세히 설명하고자 한다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명은 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다.
본 발명을 설명함에 있어서, 관련된 공지 기술에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우 그 상세한 설명을 생략한다. 또한, 본 명세서의 설명 과정에서 이용되는 숫자(예를 들어, 제 1, 제 2 등)는 하나의 구성요소를 다른 구성요소와 구분하기 위한 식별기호에 불과하다.
또한, 본 명세서에서, 일 구성요소가 다른 구성요소와 "연결된다" 거나 "접속된다" 등으로 언급된 때에는, 상기 일 구성요소가 상기 다른 구성요소와 직접 연결되거나 또는 직접 접속될 수도 있지만, 특별히 반대되는 기재가 존재하지 않는 이상, 중간에 또 다른 구성요소를 매개하여 연결되거나 또는 접속될 수도 있다고 이해되어야 할 것이다.
또한, 본 명세서에서 '~부'로 표현되는 구성요소는 2개 이상의 구성요소가 하나의 구성요소로 합쳐지거나 또는 하나의 구성요소가 보다 세분화된 기능별로 2개 이상으로 분화될 수도 있다. 또한, 이하에서 설명할 구성요소 각각은 자신이 담당하는 주기능 이외에도 다른 구성요소가 담당하는 기능 중 일부 또는 전부의 기능을 추가적으로 수행할 수도 있으며, 구성요소 각각이 담당하는 주기능 중 일부 기능이 다른 구성요소에 의해 전담되어 수행될 수도 있음은 물론이다.
이하, 본 발명의 기술적 사상에 의한 실시예들을 차례로 상세히 설명한다.
도 1은 본 발명의 일 실시예에 따른 네트워크 포렌식 시스템 및 방법에 의한 해킹 공격 인지 및 원인 분석 성능 향상 방법의 개략적인 순서도이다.
해킹의 공격 방식이 다양해지고 복잡해짐에 따라 패킷 분석 및 인지에 많은 시간과 비용이 발생하고 있다. 이를 해결하기 위한 방안으로 3가지 문제점의 해결이 필요하다.
첫번째로 공격의 복잡성 증가에 따라 패킷 분석 난이도가 증가하게 되고, 두번째로, 사건 발생시의 이벤트성 로그만이 아닌 공격을 위한 사전 행위부터 공격까지 전반적인 대용량 패킷의 분석이 필요하며, 세번째로 초고속 네크워크 망의 수집 및 분석이 어려운 문제점이 해결되어야만 한다.
이를 위해 도 1에 도시된 바와 같은 고성능 패킷 스트림 저장 기술, 패턴 기반 색인 처리 기술 및 시나리오 중심 실시간 공격 감지 기술이 개발되었다.
도 2는 본 발명의 일 실시예에 따른 고성능 패킷 스트림 저장 방법을 종래의 패킷 스트림 저장 방법과 대비하여 개략적으로 도시한 도면이다.
종래의 패킷 저장 방식은 단순히 실시간으로 패킷을 수집하여 직접 로컬 디스크에 저장을 하는 기술로서, 10Gbps와 같은 초고속 대용량 트래픽을 저장하기 위하여 빠른 I/O 성능이 필수적이고, 고속 스토리지를 사용할 수 밖에 없다. 이로 인해 보안 시스템의 제품 원가가 증가하게 되는 문제점이 수반된다.
이러한 문제점을 해결하기 위해 본 발명의 일 실시예에 따른 고성능 패킷 스트림 저장 시스템 및 이를 이용한 고성능 패킷 스트림 저장 방법은 분산 저장 처리를 통해 데이터 유실 없는 초고속 패킷 저장 및 대용량 데이터 처리를 가능하게 한다.
도 3은 본 발명의 일 실시예에 따른 고성능 패킷 스트림 저장 시스템을 개략적으로 도시한 도면이다. 도 4는 본 발명의 일 실시예에 따른 고성능 패킷 스트림 저장 방법을 구체적으로 도시한 도면이다.
본 발명의 일 실시예에 따른 고성능 패킷 스트림 저장 시스템(100)은 데이터 관리 모듈(DAM; Data Access Module)(110), 메모리부(120), 저장부(130), 저장 관리 모듈(140) 및 메모리 관리 모듈(DMM; Data Memory Module)(150)를 포함할 수 있다.
저장부(130)는 로컬 디스크(132) 및/또는 원격지의 복수개의 확장 노드(134)들을 포함할 수 있으며, 저장 관리 모듈(140)은 디스크 관리 모듈(DIM; Disk Interface Module)(142) 및/또는 데이터 분산 관리 모듈(DDM; Data Distributed Module)(144)을 포함할 수 있다.
네트워크는 인트라넷과 인터넷을 연결하며, 네트워크를 통해 대용량의 데이터가 초고속으로 전송될 수 있다. 데이터 관리 모듈(110)은 네트워크 패킷 데이터 수집, 파싱 및 메모리 기록을 하는 장치로서, 네트워크를 통해 전송되는 데이터 트래픽으로부터 원본 패킷 데이터를 실시간으로 수집할 수 있다(S1110).
데이터 관리 모듈(110)은 패킷 수집량이 수집 설정값을 초과하는지 여부를 체크하며(S1120), 패킷 수집량이 수집 설정값 이하인 경우에는 실시간으로 수집된 원본 패킷 데이터를 메모리부(120)에 확보된 메모리 영역에 바로 기록할 수 있다(S1130).
만일, 데이터 관리 모듈(110)의 패킷 수집량이 수집 설정값을 초과하는 경우에는, 데이터 관리 모듈(110)은 초과된 양의 원본 패킷 데이터를 위한 추가 메모리를 메모리부(120)에서 선행하여 확보하고, 수집 설정값을 재조정할 수 있다(S1140).
이와 함께, 데이터 관리 모듈(110)은 수집된 원본 패킷 데이터에서 메타데이터를 추출하고, 메모리부(120)에 확보된 메모리 영역에 기록할 수 있다. 메타데이터는 출발지 IP, 출발지 포트, 목적지 IP, 목적지 포트, 프로토콜 등을 포함할 수 있다.
데이터 관리 모듈(110)은 패킷 IP/포트 분석을 수행하고(S1150), TCP/UDP 패킷 분석(S1160)을 할 수 있으나, 이에 한정되는 것은 아니며, 패킷 IP/포트 분석 및 TCP/UDP 패킷 분석 중 어느 하나만이 수행될 수도 있다.
데이터 관리 모듈(110)은 추출된 메타데이터로부터 예외 정보를 필터링하여 예외 정보에 대응되는 원본 패킷 데이터를 메모리 기록 대상에서 제외시킬 수 있다(S1170). 여기서 예외 정보는 개인 정보, 특정인이 전송하는 정보, 특정 IP와 관련된 정보 등이 될 수 있다.
수집된 원본 패킷 데이터와 추출된 메타데이터는 소정 기록 주기 동안 메모리부(120)의 메모리 영역에 기록된 후에(S1180), 저장 관리 모듈(140)에 의해 저장부(130)에 저장될 수 있다. 예를 들어, 수집된 원본 패킷 데이터와 추출된 메타데이터는 1분간 메모리부(120)의 메모리에 기록될 수 있으며, 이렇게 1분간 기록된 원본 패킷 데이터와 메타데이터는 취합되어 1분 단위로 저장부(130)에 데이터베이스화되어 저장될 준비를 하게 된다(S1190). 저장 관리 모듈(140)은 원본 패킷 데이터와 메타데이터를 메모리부(120)로부터 저장부(130)에 저장시켜 데이터베이스화할 수 있다.
저장 관리 모듈(140)은 원본 패킷 데이터와 메타데이터를 로컬 디스크(132)에 저장할지, 확장 노드(134)들에 분산 저장할지 여부를 선택하게 된다(S1200).
네트워크 속도가 소정 기준 이하인 경우에는 디스크 관리 모듈(142)이 원본 패킷 데이터와 메타데이터를 메모리부(120)로부터 로컬 디스크(132)에 직접 저장할 수 있다(S1210). 디스크 관리 모듈(142)은 OS을 거치지 않고 로컬 디스크(132)에 직접 접근하므로, 가장 빠르게 원본 패킷 데이터와 메타데이터를 로컬 디스크(142)에 저장할 수 있다. 원본 패킷 데이터와 메타데이터는 소정 기록 주기 단위(예를 들어 1분 단위)로 로컬 디스크(132)에 기록되게 된다.
네트워크 속도가 소정 기준을 초과하는 경우에는 데이터 분산 관리 모듈(144)이 원본 패킷 데이터와 메타데이터를 메모리부(120)로부터 확장 노드(134)들에 분산 저장할 수 있다(S1220). 분산 저장 방식은 대규모의 구조화된 데이터를 여러 부분으로 나눈 다음, 분산해 저장 및 관리하는 방식으로서, 공지의 분산 저장 방식이 사용될 수 있다.
이러한 구성으로 인해, 네트워크의 속도가 초고속이 되어도, 저장부의 하드웨어 성능을 높이지 않으면서도 데이터의 유실없이 모두 저장이 가능하게 된다.
도 4에 도시된 바와 같이, 원본 패킷 데이터와 메타데이터는 데이터베이스화되어 저장부(130)에 저장되며, 메타데이터는 패킷 데이터를 요약한 정보로서 데이터에 대한 빠른 정보 검색을 위해 사용되며, 원본 패킷 데이터는 해킹 여부 분석을 위한 원본 데이터로서 사용된다.
메모리 관리 모듈(150)은 패킷 저장 및 분석에 사용된 메모리 영역을 관리하며, 원본 패킷 데이터와 메타데이터가 메모리부(120)로부터 저장부(130)에 저장되고 나면, 메모리 관리 모듈(150)이 원본 패킷 데이터와 메타데이터가 기록되었던 메모리부(120)의 메모리 영역을 반환시킬 수 있다(S1230).
도 5는 본 발명의 일 실시예에 따른 패턴 기반 색인 처리 방법을 종래의 패턴 기반 색인 처리 방법과 대비하여 개략적으로 도시한 도면이다.
종래의 색인 방식은 대용량 패킷 데이터를 정해진 시간에 정해진 패턴을 색인 처리하는 방식이었다. 즉, 대용량 패킷 데이터를 어플리케이션 분석 기본 모듈에서 분석을 하고, 이를 바탕으로 메타데이터 추출 모듈이 메타데이터를 추출하는 구성이었다.
반면에 본 발명의 일 실시예에 따른 패턴 기반 색인 처리 방법은 다양한 공격 시나리오 및 환경에 대응하기 위해 사용자 정의 색인 데이터를 생성할 수 있도록 하며, 색인 처리는 실시간 색인 처리 뿐 아니라 문제가 되는 시점의 데이터를 사용자가 지정하여 재색인하는 기능을 제공할 수 있다.
즉, 본 발명의 일 실시예에 따른 패턴 기반 색인 처리 방법은 패턴 기반 사용자 정의 색인 관리 인터페이스가 원본 패킷 데이터에 사용자 패턴 색인 처리를 할 수 있고, 어플리케이션 기본 모듈에 어플리케이션 패턴을 추가할 수도 있으며, 메타데이터 추출 모듈에 메타데이터 패턴을 추가할 수도 있다. 본 발명의 일 실시예에 따른 패턴 기반 색인 처리 방법은 저장부에 저장된 원본 패킷 데이터를 분석하므로, 종래의 정해진 시간에 전해진 패턴을 색인 처리하는 방식 외에 필요한 시간에 필요한 패턴을 색인 처리할 수 있게 된다.
도 6은 본 발명의 일 실시예에 따른 패턴 기반 색인 처리 방법을 개략적으로 도시한 도면이다. 도 7은 본 발명의 일 실시예에 따른 패턴 기반 색인 처리 방법을 개략적으로 도시한 흐름도이다.
본 발명의 일 실시예에 따른 패턴 기반 색인 처리 방법은 시나리오 기반의 다양한 패턴을 정의하고 세션(session)기반의 패킷을 패턴에 맞게 분류 및 재정의하여 다양한 해킹 시도를 분석할 수 있다.
본 발명의 일 실시예에 따른 패턴 기반 색인 처리 시스템은 데이터 재조합 모듈, 어플리케이션 분석 모듈 및 메타데이터 추출 모듈을 포함할 수 있다.
저장부(130)에 소정 기록 주기 단위로 저장된 원본 패킷 데이터들은 색인 작업을 위해 재조합 모듈에 의해 재조합될 수 있다. 재조합 모듈은 저장부(130)에 저장된 원본 패킷 데이터들의 TCP 헤더 정보를 기반으로 저장부(130)에 저장되어 있던 원본 패킷 데이터들을 재조합한다(S2110).
이렇게 재조합된 원본 패킷 데이터를 바탕으로 어플리케이션 분석 모듈은 어플리케이션 분석을 시작한다(S2120). 어플리케이션 분석 모듈은 원본 패킷 데이터가 어떠한 종류의 어플리케이션에 의해 생성된 데이터인지를 판단한다.
어플리케이션 분석 모듈은 재조합된 원본 패킷 데이터를 RFC 규격을 기준으로 어플리케이션을 판단할 수 있으며(S2130), RFC 규격에 정의되지 않은 어플리케이션을 판단하기 위하여 사용자가 정의한 룰을 사용할 수 있다(S2140).
이러한 방식으로, 재조합된 원본 패킷 데이터를 생성한 어플리케이션이 확인되면(S2150), 메타데이터 추출 모듈은 재조합된 원본 패킷 데이터로부터 메타데이터를 추출할 수 있다(S2160). 원본 패킷 데이터가 RFC 규격에 정의된 어플리케이션에 의해 생성된 경우에는, 메타데이터가 RFC 표준 규격을 기반으로 추출될 수 있고(S2170), RFC 규격에 정의되지 않은 어플리케이션에 의해 생성된 원본 패킷 데이터에 대해서는 사용자가 정의한 룰에 따라서 메타데이터를 추출될 수 있다(S2180).
어플리케이션 분석 모듈이 어플리케이션을 판단하기 위하여 사용하는 사용자 정의 룰과 메타데이터 추출 모듈이 메타데이터를 추출하기 위하여 사용하는 사용자 정의 룰은 패턴 기반 사용자 정의 색인 관리 인터페이스에 의해 정의될 수 있다.
메타데이터 추출 모듈은 이렇게 추출된 메타데이터를 색인화 작업을 하여 최종적으로 색인화를 하게 된다(S2180).
도 6에 도시된 바와 같이, 메타데이터는 어플리케이션 별로 추출되고, 색인화 될 수 있다. 예를 들어, 어플리케이션이 HTTP인 것으로 확인되면, 추출된 메타데이터는 URL, 웹정보, 첨부파일 등으로 색인화될 수 있으며, 어플리케이션이 FTP인 것으로 확인되면, 추출된 메타데이터는 로그인 아이디, 서버 아이디, 첨부파일 등으로 색인화될 수 있으며, 어플리케이션이 SMTP인 것으로 확인되면, 추출된 메타데이터는 보낸 사람, 받는 사람, 첨부파일 등으로 색인화 될 수 있으며, 어플리케이션이 DNS인 것으로 확인되면, 추출된 메타데이터는 도메인 쿼리, 서버 쿼리 등으로 색인화될 수 있으며, 어플리케이션이 SSL인 것으로 확인되면, 추출된 메타데이터는 서버인증서, URL, 서비스정보 등으로 색인화될 수 있다. 또한, 사용자 정의 룰에 의해 정의된 어플리케이션으로 확인되면, 추출된 메타데이터는 그에 맞게 정의된 형태로 색인화될 수 있다.
메타데이터 추출 모듈은 하나의 어플리케이션 색인마다 다양한 메타데이터 색인을 결합시킬 수 있게 된다.
도 8은 본 발명의 일 실시예에 따른 시나리오 중심 실시간 공격 감지 방법을 종래의 공격 감지 방법과 대비하여 개략적으로 도시한 도면이다.
종래에는 상황 및 조건 별로 반복적인 검색을 통하여 데이터 분석을 진행하였다. 예를 들어 출발지/목적지 정보, 웹호스트주소, 어플리케이션, 출발지/목적지 국가, 웹 메타 ? Method, 웹 메타 ? Return code, 웹 메타 ? Path, 웹 메타 ? X forwarded, 접속 지속 시간, 업로드/다운로드 파일, 패킷 수, 프로토콜 종류 등 108 종의 조건을 반복적으로 검색을 하는 방법을 사용하였다.
그러나, 본 발명의 일 실시예에 따른 시나리오 중심 실시간 공격 감지 방법은 색인 통합 과정을 통해 해킹 시나리오별 데이터를 분류하여 빠르게 해킹 사소를 분석할 수 있도록 한다. 즉, 패턴 기반 색인 데이터(예를 들어, 출발지/목적지, 국가정보, 접속 지속 시간, 첨부파일 종류, 이메일 발신자 등)를 통합하여, 지속적으로 발생하는 해킹사고 패턴에 대한 패턴 모델링을 수행하여 복수개의 시나리오들을 미리 만들어 두고, 시나리오가 성립되도록 하는 원본 패킷 데이터만을 확인하는 방법을 사용한다.
도 9는 본 발명의 일 실시예에 따른 시나리오 중심 실시간 공격 감지 방법을 개략적으로 도시한 도면이다.
본 발명의 일 실시예에 따른 시나리오 중심 실시간 공격 감지 시스템을 이용한 시나리오 중심 실시간 공격 감지 방법은 먼저, 시나리오 생성 모듈이, 색인화된 메타데이터에 적용될 시나리오를 형성하는 단계를 수행할 수 있고, 메타데이터 추출 모듈이 원본 패킷 데이터로부터 메타데이터를 추출하여 색인화 하는 단계를 수행할 수 있고, 메타데이터 탐지 모듈은 시나리오에 대응되는 색인화된 메타데이터를 탐지하는 단계를 수행할 수 있다.
여기서, 시나리오는 색인화된 메타데이터에 적용될 단일 탐지 시나리오 및 단일 탐지 시나리오들을 결합한 다중 탐지 시나리오를 포함할 수 있다. 또한, 메타데이터 추출 모듈이 패킷 데이터로부터 메타데이터를 추출하여 색인화하는 단계에 있어서, 앞에서는 어플리케이션 분석 및 이에 기반한 메타데이터 추출 및 색인화를 설명하였으나, 반드시 어플리케이션 분석을 기반으로 메타데이터를 추출 및 색인화를 해야 하는 것으로 한정되는 것은 아니며, 어플리케이션 분석이 수행되지 않을 수도 있을 것이다.
단일 탐지 시나리오는 하나 이상의 성립 조건을 포함하며, 성립 조건이 모두 만족되는 경우에 해당 메타데이터 및 이에 대응되는 패킷 데이터는 시나리오가 성립된 것으로 판단된다. 성립 조건은 색인 타입 및 패턴 정보를 포함할 수 있다. 색인 타입 및 패턴 정보의 예는 도 10 및 도 11을 참조하여 후술한다.
도 9에 도시된 바와 같이, 시나리오 중심 실시간 공격 감지 시스템은 생성된 색인 메타데이터(예를 들어, 서버 국가 정보, 접속 지속 시간, 웹 첨부 파일 종류, 웹 첨부 파일 방향, 어플리케이션 종류, 이메일 발신자, 이메일 본문, 출발지 IP, 목적지 IP, 웹 URL 주소 등)를 통합하여 단일 탐지 시나리오를 생성하는데 사용할 수 있다.
예를 들어, 단일 탐지 시나리오는 데이터 유출 시나리오, 바이러스 다운로드 시나리오, C&C 접속 시나리오, 내부자 정보 유출 시나리오 등을 포함할 수 있다.
데이터 유출 시나리오는 웹 첨부파일 종류와 웹 첨부파일 방향이라는 색인으로 구성될 수 있으며, 웹 첨부파일 종류로는 pdf, hwp, docx 등을 정의할 수 있고, 웹 첨부파일 방향으로는 업로드인 것으로 정의할 수 있다.
바이러스 다운로드 시나리오는 웹 첨부파일 종류와 웹 첨부파일 방향이라는 색인으로 구성될 수 있으며, 웹 첨부파일 종류로는 exe, dll 등을 정의할 수 있고, 웹 첨부파일 방향으로는 다운로드인 것으로 정의할 수 있다.
C&C 접속 시나리오는 어플리케이션 종류와 서버 국가 정보라는 색인으로 구성될 수 있으며, 어플리케이션 종류로는 IRC, HTTP 등을 정의할 수 있고, 서버 국가 정보로는 중국, 러시아 등을 정의할 수 있다.
내부자 정보 유출 시나리오는 이메일 발신자 및 이메일 본문이라는 색인으로 구성될 수 있으며, 이메일 발신자로는 특정 도메인 서버를 정의할 수 있고, 이메일 본문으로는 “기밀”, “대외비”라는 단어를 를 포함한 내용을 정의할 수 있다.
시나리오 생성 모듈은 이렇게 생성된 단일 탐지 시나리오를 복수 개 조합하여 다중 탐지 시나리오를 생성할 수 있다. 예를 들어, 다중 탐지 시나리오는 APT 공격 시나리오, 기밀정보 유출 시나리오 등을 포함할 수 있다.
APT 공격 시나리오는 바이러스 다운로드 시나리오, C&C 접속 시나리오 및 데이터 유출 시나리오를 모두 성립시킨 경우에 성립되며, 기밀 정보 유출 시나리오는 내부자 정보 유출 시나리오 및 데이터 유출 시나리오를 모두 성립시킨 경우에 성립될 수 있다.
도 10은 본 발명의 일 실시예에 따른 시나리오 중심 실시간 공격 감지 시스템에서 단일 탐지 시나리오가 사용되는 단계를 도시한 도면이다. 도 11은 본 발명의 일 실시예에 따른 시나리오 중심 실시간 공격 감지 시스템에서 다중 탐지 시나리오가 사용되는 단계를 도시한 도면이다.
예를 들어 도 10에 도시된 바와 같이, 단일 탐지 시나리오 Rule ID 1번은 2개의 조건을 가질 수 있다. 조건 1은 색인 타입(Index Type)이 HTTP URL로 설정되고, 패턴 정보(Rule Pattern)는 www.dropbox.com 으로 설정될 수 있고, 조건 2는 색인 타입이 HTTP Upload Type으로 설정될 수 있고, 패턴 정보는 docx로 설정될 수 있다. 이러한 경우에 www.dropbox.com에 접속하고(조건 1 만족), docx 확장자의 파일을 업로드하는 경우(조건 2 만족)에는 웹하드에 첨부파일 업로드 행위가 이루어진 것으로 탐지할 수 있다.
또한, 단일 탐지 시나리오 Rule ID 2번은 1개의 조건만을 가질 수 있다. 조건 1은 색인 타입(Index Type)이 SSL(Secure Sockets Layer) Domain으로 설정되고, 패턴 정보(Rule Pattern)는 saramin.co.kr로 설정될 수 있다. 이러한 경우에 SSL Domain으로서 이직 사이트인 saramin.co.kr에 접속하는 경우에 이직 사이트에 접속하는 행위가 이루어진 것으로 탐지할 수 있다.
다중 탐지 시나리오는 둘 이상의 단일 탐지 시나리오가 모두 성립되고, 다중 탐지 시나리오의 공통 조건이 성립되는 경우에 시나리오가 성립된 것으로 판단할 수 있다.
예를 들어 도 11에 도시된 바와 같이, 다중 탐지 시나리오 Rule ID 3번은 단일 탐지 시나리오 Rule ID 1번과 2번이 만족하되, 공통 조건으로서 Rule ID 1번과 2번을 만족시키는 패킷 데이터의 Source IP (SIP)가 동일한 경우(도 11에서는 192.168.10.147)에 시나리오가 성립된 것으로 판단하고, 이 경우 기밀 정보 유출 행위가 이루어진 것으로 탐지할 수 있다.
이러한 방식으로 다양한 시나리오를 형성하여, 더 빠르고 정확하게 해킹으로 의심되는 데이터를 찾아서 분석을 할 수 있게 되고, 공격을 빠르게 감지할 수 있게 된다.
이상 본 명세서에서 설명한 기능적 동작과 본 주제에 관한 실시형태들은 본 명세서에서 개시한 구조들 및 그들의 구조적인 등가물을 포함하여 디지털 전자 회로나 컴퓨터 소프트웨어, 펌웨어 또는 하드웨어에서 혹은 이들 중 하나 이상의 조합에서 구현 가능하다.
본 명세서에서 기술하는 주제의 실시형태는 하나 이상의 컴퓨터 프로그램 제품, 다시 말해 데이터 처리 장치에 의한 실행을 위하여 또는 그 동작을 제어하기 위하여 유형의 프로그램 매체 상에 인코딩되는 컴퓨터 프로그램 명령에 관한 하나 이상의 모듈로서 구현될 수 있다. 유형의 프로그램 매체는 전파형 신호이거나 컴퓨터로 판독 가능한 매체일 수 있다. 전파형 신호는 컴퓨터에 의한 실행을 위하여 적절한 수신기 장치로 전송하기 위한 정보를 인코딩하기 위하여 생성되는 예컨대 기계가 생성한 전기적, 광학적 혹은 전자기 신호와 같은 인공적으로 생성된 신호이다. 컴퓨터로 판독 가능한 매체는 기계로 판독 가능한 저장장치, 기계로 판독 가능한 저장 기판, 메모리 장치, 기계로 판독 가능한 전파형 신호에 영향을 미치는 물질의 조합 혹은 이들 중 하나 이상의 조합일 수 있다.
컴퓨터 프로그램(프로그램, 소프트웨어, 소프트웨어 어플리케이션, 스크립트 혹은 코드로도 알려져 있음)은 컴파일되거나 해석된 언어나 선험적 혹은 절차적 언어를 포함하는 프로그래밍 언어의 어떠한 형태로도 작성될 수 있으며, 독립형 프로그램이나 모듈, 컴포넌트, 서브루틴 혹은 컴퓨터 환경에서 사용하기에 적합한 다른 유닛을 포함하여 어떠한 형태로도 전개될 수 있다.
컴퓨터 프로그램은 파일 시스템의 파일에 반드시 대응하는 것은 아니다. 프로그램은 요청된 프로그램에 제공되는 단일 파일 내에, 혹은 다중의 상호 작용하는 파일(예컨대, 하나 이상의 모듈, 하위 프로그램 혹은 코드의 일부를 저장하는 파일) 내에, 혹은 다른 프로그램이나 데이터를 보유하는 파일의 일부(예컨대, 마크업 언어 문서 내에 저장되는 하나 이상의 스크립트) 내에 저장될 수 있다.
컴퓨터 프로그램은 하나의 사이트에 위치하거나 복수의 사이트에 걸쳐서 분산되어 통신 네트워크에 의해 상호 접속된 다중 컴퓨터 또는 하나의 컴퓨터 상에서 실행되도록 전개될 수 있다.
부가적으로, 본 명세서에서 기술하는 논리 흐름과 구조적인 블록도는 개시된 구조적인 수단의 지원을 받는 대응하는 기능과 단계의 지원을 받는 대응하는 행위 및/또는 특정한 방법을 기술하는 것으로, 대응하는 소프트웨어 구조와 알고리즘과 그 등가물을 구축하는 데에도 사용 가능하다.
본 명세서에서 기술하는 프로세스와 논리 흐름은 입력 데이터 상에서 동작하고 출력을 생성함으로써 기능을 수행하기 위하여 하나 이상의 컴퓨터 프로그램을 실행하는 하나 이상의 프로그래머블 프로세서에 의하여 수행 가능하다.
컴퓨터 프로그램의 실행에 적합한 프로세서는, 예컨대 범용 및 특수 목적의 마이크로프로세서 양자 및 어떤 종류의 디지털 컴퓨터의 어떠한 하나 이상의 프로세서라도 포함한다. 일반적으로, 프로세서는 읽기 전용 메모리나 랜덤 액세스 메모리 혹은 양자로부터 명령어와 데이터를 수신할 것이다.
컴퓨터의 핵심적인 요소는 명령어와 데이터를 저장하기 위한 하나 이상의 메모리 장치 및 명령을 수행하기 위한 프로세서이다. 또한, 컴퓨터는 일반적으로 예컨대 자기, 자기광학 디스크나 광학 디스크와 같은 데이터를 저장하기 위한 하나 이상의 대량 저장 장치로부터 데이터를 수신하거나 그것으로 데이터를 전송하거나 혹은 그러한 동작 둘 다를 수행하기 위하여 동작가능 하도록 결합되거나 이를 포함할 것이다. 그러나, 컴퓨터는 그러한 장치를 가질 필요가 없다.
본 기술한 설명은 본 발명의 최상의 모드를 제시하고 있으며, 본 발명을 설명하기 위하여, 그리고 당업자가 본 발명을 제작 및 이용할 수 있도록 하기 위한 예를 제공하고 있다. 이렇게 작성된 명세서는 그 제시된 구체적인 용어에 본 발명을 제한하는 것이 아니다.
따라서, 상술한 예를 참조하여 본 발명을 상세하게 설명하였지만, 당업자라면 본 발명의 범위를 벗어나지 않으면서도 본 예들에 대한 개조, 변경 및 변형을 가할 수 있다. 요컨대 본 발명이 의도하는 효과를 달성하기 위해 도면에 도시된 모든 기능 블록을 별도로 포함하거나 도면에 도시된 모든 순서를 도시된 순서 그대로 따라야만 하는 것은 아니며, 그렇지 않더라도 얼마든지 청구항에 기재된 본 발명의 기술적 범위에 속할 수 있다는 점을 밝힌다.
[부호의 설명]
110: 데이터 관리 모듈
120: 메모리부
130: 저장부
140: 저장 관리 모듈
150: 메모리 관리 모듈

Claims (30)

  1. 고성능 패킷 스트림 저장 시스템에 의한 고성능 패킷 스트림 저장 방법에 있어서,
    (a) 네트워크를 통해 전송되는 데이터 트래픽으로부터 원본 패킷 데이터를 수집하는 단계;
    (b) 상기 수집된 원본 패킷 데이터를 메모리에 기록하는 단계;
    (c) 상기 수집된 원본 패킷 데이터에서 메타데이터를 추출하여 메모리에 기록하는 단계; 및
    (d) 상기 원본 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 저장부에 저장하는 단계를 포함하는 것을 특징으로 하는 고성능 패킷 스트림 저장 방법.
  2. 제 1 항에 있어서, 상기 고성능 패킷 스트림 저장 방법은,
    상기 수집된 원본 패킷 데이터에서 예외 정보를 필터링하여 메모리 기록 대상에서 제외시키는 단계를 더 포함하는 것을 특징으로 하는 고성능 패킷 스트림 저장 방법.
  3. 제 1 항에 있어서,
    상기 저장부는 로컬 디스크를 포함하며,
    상기 (d) 단계는
    네트워크 속도가 소정 기준 이하인 경우에 상기 원본 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 상기 로컬 디스크에 직접 저장하는 단계를 포함하는 것을 특징으로 하는 고성능 패킷 스트림 저장 방법.
  4. 제 1 항에 있어서,
    상기 저장부는 복수개의 확장 노드들을 포함하며,
    상기 (d) 단계는
    네트워크 속도가 소정 기준을 초과하는 경우에 상기 원본 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 복수개의 확장 노드들에 분산 저장하는 단계를 포함하는 것을 특징으로 하는 고성능 패킷 스트림 저장 방법.
  5. 제 1 항에 있어서, 상기 고성능 패킷 스트림 저장 방법은
    상기 (d) 단계 후에, 상기 원본 패킷 데이터와 상기 메타데이터가 기록된 메모리가 반환되는 단계를 더 포함하는 것을 특징으로 하는 고성능 패킷 스트림 저장 방법.
  6. 제 5 항에 있어서, 상기 (a) 단계는,
    패킷 수집량이 수집 설정값을 초과하는 경우에, 초과된 양의 원본 패킷 데이터를 위한 추가 메모리를 확보하는 단계를 포함하는 것을 특징으로 하는 고성능 패킷 스트림 저장 방법.
  7. 제 1 항에 있어서, 상기 (c) 단계는,
    상기 수집된 원본 패킷 데이터와 상기 추출된 메타데이터가 소정 기록 주기 동안 상기 메모리에 기록된 후에 상기 메모리로부터 상기 저장부에 저장되는 단계를 포함하는 것을 특징으로 하는 고성능 패킷 스트림 저장 방법.
  8. 네트워크를 통해 전송되는 데이터 트래픽으로부터 원본 패킷 데이터를 수집하고, 상기 수집된 원본 패킷 데이터에서 메타데이터를 추출하는 데이터 관리 모듈;
    상기 원본 패킷 데이터와 상기 메타데이터가 기록되는 메모리부;
    상기 원본 패킷 데이터와 상기 메타데이터가 저장되어 데이터베이스화되는 저장부;
    상기 원본 패킷 데이터와 상기 메타데이터를 상기 메모리부로부터 상기 저장부에 저장시키는 저장 관리 모듈; 및
    상기 원본 패킷 데이터와 상기 메타데이터가 상기 메모리부로부터 상기 저장부에 저장된 후에 상기 원본 패킷 데이터와 상기 메타데이터가 기록되었던 상기 메모리부의 메모리 영역을 반환시키는 메모리 관리 모듈을 포함하는 것을 특징으로 하는 고성능 패킷 스트림 저장 시스템.
  9. 제 8 항에 있어서,
    상기 저장부는 로컬 디스크를 포함하며,
    저장 관리 모듈은 디스크 관리 모듈을 포함하고,
    네트워크 속도가 소정 기준 이하인 경우에 상기 디스크 관리 모듈은 상기 원본 패킷 데이터와 상기 메타데이터를 상기 메모리부로부터 상기 로컬 디스크에 직접 저장하는 것을 특징으로 하는 고성능 패킷 스트림 저장 시스템.
  10. 제 8 항에 있어서,
    상기 저장부는 복수개의 확장 노드들을 포함하며,
    저장 관리 모듈은 데이터 분산 관리 모듈을 포함하고,
    네트워크 속도가 소정 기준을 초과하는 경우에 상기 데이터 분산 관리 모듈은 상기 원본 패킷 데이터와 상기 메타데이터를 상기 메모리부로부터 상기 확장 노드들에 분산 저장하는 것을 특징으로 하는 고성능 패킷 스트림 저장 시스템.
  11. 패턴 기반 색인 처리 시스템을 이용한 패턴 기반 색인 처리 방법에 있어서,
    (a) 원본 패킷 데이터들을 재조합하는 단계;
    (b) 재조합된 원본 패킷 데이터에 대하여 어플리케이션 분석을 하는 단계; 및
    (c) 상기 재조합된 원본 패킷 데이터의 메타데이터를 추출하여 색인화 하는 단계를 포함하는 것을 특징으로 하는 패턴 기반 색인 처리 방법.
  12. 제 11 항에 있어서, 상기 (a) 단계는 TCP헤더 정보를 기반으로 원본 패킷 데이터를 재조합하는 단계를 포함하는 것을 특징으로 하는 패턴 기반 색인 처리 방법.
  13. 제 11 항에 있어서, 상기 (b) 단계에서
    상기 재조합된 원본 패킷 데이터를 RFC 규격을 기준으로 어플리케이션을 판단하는 단계를 포함하는 것을 특징으로 하는 패턴 기반 색인 처리 방법.
  14. 제 13 항에 있어서,
    상기 재조합된 원본 패킷 데이터가 RFC 규격의 어플리케이션에 의해 생성된 데이터인 경우에, 상기 (c) 단계에서
    상기 재조합된 원본 패킷 데이터를 RFC 규격을 기준으로 메타데이터를 추출하는 단계를 포함하는 것을 특징으로 하는 패턴 기반 색인 처리 방법.
  15. 제 11 항에 있어서, 상기 (b) 단계에서
    상기 재조합된 원본 패킷 데이터를 사용자 정의 규격을 기준으로 어플리케이션을 판단하는 단계를 포함하는 것을 특징으로 하는 패턴 기반 색인 처리 방법.
  16. 제 15 항에 있어서,
    상기 재조합된 원본 패킷 데이터가 사용자 정의 규격의 어플리케이션에 의해 생성된 데이터인 경우에, 상기 (c) 단계에서
    상기 분석된 원본 패킷 데이터를 사용자 정의 규격을 기준으로 메타데이터를 추출하는 단계를 포함하는 것을 특징으로 하는 패턴 기반 색인 처리 방법.
  17. 제 11 항에 있어서, 상기 패턴 기반 색인 처리 방법은 상기 (a) 단계는
    네트워크를 통해 전송되는 데이터 트래픽으로부터 원본 패킷 데이터를 수집하는 단계;
    상기 수집된 원본 패킷 데이터를 소정 기록 주기 시간동안 메모리에 기록하는 단계;
    상기 수집된 원본 패킷 데이터에서 메타데이터를 추출하여 상기 소정 기록 주기 시간동안 메모리에 기록하는 단계; 및
    상기 소정 기록 주기가 경과하면, 상기 기록된 원본 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 저장부에 저장하는 단계;
    상기 소정 기록 주기 단위로 저장된 원본 패킷 데이터를 재조합하는 단계를 포함하는 것을 특징으로 하는 패턴 기반 색인 처리 방법.
  18. 제 17 항에 있어서, 상기 (a) 단계는
    상기 저장부 저장 단계 후에, 상기 원본 패킷 데이터와 상기 메타데이터가 기록된 메모리가 반환되는 단계를 포함하는 것을 특징으로 하는 패턴 기반 색인 처리 방법.
  19. 제 17 항에 있어서,
    상기 저장부는 로컬 디스크를 포함하며,
    상기 (a) 단계는
    네트워크 속도가 소정 기준 이하인 경우에 상기 원본 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 상기 로컬 디스크에 직접 저장하는 단계를 포함하는 것을 특징으로 하는 패턴 기반 색인 처리 방법.
  20. 제 17 항에 있어서,
    상기 저장부는 복수개의 확장 노드들을 포함하며,
    상기 (a) 단계는
    네트워크 속도가 소정 기준을 초과하는 경우에 상기 원본 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 복수개의 확장 노드들에 분산 저장하는 단계를 포함하는 것을 특징으로 하는 패턴 기반 색인 처리 방법.
  21. 시나리오 중심 실시간 공격 감지 시스템을 이용한 시나리오 중심 실시간 공격 감지 방법에 있어서,
    (a) 색인화된 메타데이터에 적용될 시나리오를 형성하는 단계;
    (b) 패킷 데이터로부터 메타데이터를 추출하여 색인화 하는 단계; 및
    (c) 상기 시나리오에 대응되는 색인화된 메타데이터를 탐지하는 단계를 포함하는 것을 특징으로 하는 시나리오 중심 실시간 공격 감지 방법.
  22. 제 21 항에 있어서,
    상기 (a) 단계는
    색인화된 메타데이터에 적용될 단일 탐지 시나리오를 형성하는 단계; 및
    단일 탐지 시나리오들을 결합한 다중 탐지 시나리오를 형성하는 단계를 포함하는 것을 특징으로 하는 시나리오 중심 실시간 공격 감지 방법.
  23. 제 22 항에 있어서,
    단일 탐지 시나리오는
    하나 이상의 성립 조건을 포함하며, 성립 조건이 모두 만족되는 경우에 시나리오가 성립된 것으로 판단되며,
    성립 조건은 색인 타입 및 패턴 정보를 포함하는 것을 특징으로 하는 시나리오 중심 실시간 공격 감지 방법.
  24. 제 23 항에 있어서,
    다중 탐지 시나리오는
    둘 이상의 단일 탐지 시나리오가 모두 성립되고, 공통 조건이 성립되는 경우에 시나리오가 성립된 것으로 판단하는 것을 특징으로 하는 시나리오 중심 실시간 공격 감지 방법.
  25. 제 21 항에 있어서, 상기 (b) 단계는,
    소정 기록 주기 단위로 저장된 패킷 데이터를 TCP헤더 정보를 기반으로 재조합하는 단계; 및
    상기 재조합된 패킷 데이터로부터 메타데이터를 추출하여 색인화 하는 단계를 포함하는 것을 특징으로 하는 시나리오 중심 실시간 공격 감지 방법.
  26. 제 25 항에 있어서, 상기 (b) 단계는, 상기 패킷 데이터 재조합 단계 전에,
    네트워크를 통해 전송되는 데이터 트래픽으로부터 패킷 데이터를 수집하는 단계;
    상기 수집된 패킷 데이터를 소정 기록 주기 시간동안 메모리에 기록하는 단계;
    상기 수집된 패킷 데이터에서 메타데이터를 추출하여 상기 소정 기록 주기 시간동안 메모리에 기록하는 단계; 및
    상기 소정 기록 주기가 경과하면, 상기 기록된 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 저장부에 저장하는 단계를 포함하는 것을 특징으로 하는 시나리오 중심 실시간 공격 감지 방법.
  27. 제 26 항에 있어서, 상기 (b) 단계는
    상기 저장부 저장 단계 후에, 상기 패킷 데이터와 상기 메타데이터가 기록된 메모리가 반환되는 단계를 포함하는 것을 특징으로 하는 시나리오 중심 실시간 공격 감지 방법.
  28. 제 26 항에 있어서,
    상기 저장부는 로컬 디스크를 포함하며,
    상기 (b) 단계는
    네트워크 속도가 소정 기준 이하인 경우에 상기 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 상기 로컬 디스크에 직접 저장하는 단계를 포함하는 것을 특징으로 하는 시나리오 중심 실시간 공격 감지 방법.
  29. 제 26 항에 있어서,
    상기 저장부는 복수개의 확장 노드들을 포함하며,
    상기 (b) 단계는
    네트워크 속도가 소정 기준을 초과하는 경우에 상기 패킷 데이터와 상기 메타데이터를 상기 메모리로부터 복수개의 확장 노드들에 분산 저장하는 단계를 포함하는 것을 특징으로 하는 시나리오 중심 실시간 공격 감지 방법.
  30. 제 21 항에 있어서, 상기 시나리오 중심 실시간 공격 감지 방법은 상기 (b) 단계 전에,
    패킷 데이터에 대하여 어플리케이션 분석을 하는 단계를 더 포함하는 것을 특징으로 하는 시나리오 중심 실시간 공격 감지 방법.
PCT/KR2019/008860 2019-06-20 2019-07-18 네트워크 포렌식 시스템 및 이를 이용한 네트워크 포렌식 방법 WO2020256210A1 (ko)

Priority Applications (6)

Application Number Priority Date Filing Date Title
JP2020530464A JP7391847B2 (ja) 2019-06-20 2019-07-18 ネットワークフォレンジックシステム及びこれを用いたネットワークフォレンジック方法
US15/930,177 US11838196B2 (en) 2019-06-20 2020-05-12 Network forensic system and method
US18/481,079 US20240106730A1 (en) 2019-06-20 2023-10-04 Network Forensic System and Method
US18/481,100 US20240031270A1 (en) 2019-06-20 2023-10-04 Network Forensic System and Method
JP2023198503A JP2024023381A (ja) 2019-06-20 2023-11-22 ネットワークフォレンジック方法
JP2023198504A JP2024009217A (ja) 2019-06-20 2023-11-22 ネットワークフォレンジック方法

Applications Claiming Priority (6)

Application Number Priority Date Filing Date Title
KR10-2019-0073260 2019-06-20
KR10-2019-0073262 2019-06-20
KR1020190073260A KR102080477B1 (ko) 2019-06-20 2019-06-20 고성능 패킷 스트림 저장 시스템 및 이를 이용한 고성능 패킷 스트림 저장 방법
KR1020190073262A KR102080479B1 (ko) 2019-06-20 2019-06-20 시나리오 중심 실시간 공격 감지 시스템 및 이를 이용한 시나리오 중심 실시간 공격 감지 방법
KR10-2019-0073261 2019-06-20
KR1020190073261A KR102080478B1 (ko) 2019-06-20 2019-06-20 패턴 기반 색인 처리 시스템 및 이를 이용한 패턴 기반 색인 처리 방법

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US15/930,177 Continuation US11838196B2 (en) 2019-06-20 2020-05-12 Network forensic system and method

Publications (1)

Publication Number Publication Date
WO2020256210A1 true WO2020256210A1 (ko) 2020-12-24

Family

ID=74037277

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2019/008860 WO2020256210A1 (ko) 2019-06-20 2019-07-18 네트워크 포렌식 시스템 및 이를 이용한 네트워크 포렌식 방법

Country Status (3)

Country Link
US (3) US11838196B2 (ko)
JP (3) JP7391847B2 (ko)
WO (1) WO2020256210A1 (ko)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20230336574A1 (en) * 2022-04-13 2023-10-19 Mellanox Technologies, Ltd. Accelerated data movement between data processing unit (dpu) and graphics processing unit (gpu) to address real-time cybersecurity requirements

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101057432B1 (ko) * 2010-02-23 2011-08-22 주식회사 이세정보 프로세스의 행위 분석을 통한 유해 프로그램을 실시간으로 탐지하고 차단하는 시스템, 방법, 프로그램 및 기록매체
US20150264072A1 (en) * 2013-03-14 2015-09-17 General Dynamics Advanced Information Systems System and Method for Extracting and Preserving Metadata for Analyzing Network Communications
KR20150145049A (ko) * 2014-06-18 2015-12-29 주식회사 지아이비코리아 트래픽 저장 장치 및 방법, 그리고 컴퓨터로 판독 가능한 기록 매체
KR20160085593A (ko) * 2015-01-08 2016-07-18 주식회사 윈스 시그니처 기반 네트워크 보안 장비의 프로파일링 서비스 방법 및 장치
KR101688635B1 (ko) * 2015-07-01 2016-12-21 한국전자통신연구원 플로우 기반 트래픽 저장 장치 및 방법
US20170289180A1 (en) * 2016-03-31 2017-10-05 Fortinet, Inc. Filtering of metadata signatures

Family Cites Families (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2550239B2 (ja) * 1991-09-12 1996-11-06 株式会社日立製作所 外部記憶装置システム
US7460531B2 (en) * 2003-10-27 2008-12-02 Intel Corporation Method, system, and program for constructing a packet
US9218689B1 (en) * 2003-12-31 2015-12-22 Zilabs Inc., Ltd. Multi-sample antialiasing optimization via edge tracking
JP2008112293A (ja) * 2006-10-30 2008-05-15 Hitachi Ltd 管理計算機及び電源制御方法並びに計算機システム
WO2008125618A1 (en) 2007-04-11 2008-10-23 Merck Eprova Ag Folate-conjugates and corresponding metal-chelate complexes for use in diagnostic imaging and radiotherapy
JP4983671B2 (ja) * 2008-03-19 2012-07-25 沖電気工業株式会社 トラフィック分析装置、トラフィック分析方法及びトラフィック分析システム
JP2010178299A (ja) 2009-02-02 2010-08-12 Hitachi Ltd フレームキャプチャシステムおよびフレームキャプチャ方法
FR2979214B1 (fr) 2011-08-26 2014-04-25 Seb Sa Article comportant un revetement antiadhesif presentant des proprietes ameliorees d'adherence au support
CN102705729A (zh) 2012-05-10 2012-10-03 上海三思电子工程有限公司 一种方便装卸的led灯具
US9229657B1 (en) * 2012-11-01 2016-01-05 Quantcast Corporation Redistributing data in a distributed storage system based on attributes of the data
KR101559559B1 (ko) 2014-02-10 2015-10-15 주식회사 액트파트너 래티스근 자동 연속 성형장치 및 이에 의해 제작된 래티스 연속 성형체
US10095866B2 (en) * 2014-02-24 2018-10-09 Cyphort Inc. System and method for threat risk scoring of security threats
US10659478B2 (en) * 2014-07-21 2020-05-19 David Paul Heilig Identifying stealth packets in network communications through use of packet headers
US9608879B2 (en) * 2014-12-02 2017-03-28 At&T Intellectual Property I, L.P. Methods and apparatus to collect call packets in a communications network
US10075455B2 (en) * 2014-12-26 2018-09-11 Fireeye, Inc. Zero-day rotating guest image profile
US20160378344A1 (en) * 2015-06-24 2016-12-29 Intel Corporation Processor and platform assisted nvdimm solution using standard dram and consolidated storage
KR102610846B1 (ko) * 2016-05-13 2023-12-07 한국전자통신연구원 고속 분산 저장 장치 및 방법
US10051142B1 (en) * 2016-05-20 2018-08-14 Google Llc Adaptive display of image capacity for a camera
US10366229B2 (en) * 2016-06-20 2019-07-30 Jask Labs Inc. Method for detecting a cyber attack
US10791138B1 (en) * 2017-03-30 2020-09-29 Fireeye, Inc. Subscription-based malware detection
JP6972714B2 (ja) 2017-07-04 2021-11-24 富士通株式会社 データ取得プログラム、装置、及び方法
JP6377304B1 (ja) 2017-12-04 2018-08-22 株式会社東陽テクニカ データ書き込み装置及び方法
US11196555B1 (en) * 2018-08-02 2021-12-07 Timofei A Mouraveiko System and method for capturing, recording, monitoring, examining, filtering, processing, limiting and controlling intra-network and extra-network data communications
US10437572B1 (en) * 2018-08-03 2019-10-08 King Fahd University Of Petroleum And Minerals Methods, computer readable media, and systems for compiling concise expressive design pattern source code
US11758513B2 (en) * 2020-04-20 2023-09-12 Qualcomm Incorporated Physical uplink control channel with uplink message short data field

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101057432B1 (ko) * 2010-02-23 2011-08-22 주식회사 이세정보 프로세스의 행위 분석을 통한 유해 프로그램을 실시간으로 탐지하고 차단하는 시스템, 방법, 프로그램 및 기록매체
US20150264072A1 (en) * 2013-03-14 2015-09-17 General Dynamics Advanced Information Systems System and Method for Extracting and Preserving Metadata for Analyzing Network Communications
KR20150145049A (ko) * 2014-06-18 2015-12-29 주식회사 지아이비코리아 트래픽 저장 장치 및 방법, 그리고 컴퓨터로 판독 가능한 기록 매체
KR20160085593A (ko) * 2015-01-08 2016-07-18 주식회사 윈스 시그니처 기반 네트워크 보안 장비의 프로파일링 서비스 방법 및 장치
KR101688635B1 (ko) * 2015-07-01 2016-12-21 한국전자통신연구원 플로우 기반 트래픽 저장 장치 및 방법
US20170289180A1 (en) * 2016-03-31 2017-10-05 Fortinet, Inc. Filtering of metadata signatures

Also Published As

Publication number Publication date
JP2024009217A (ja) 2024-01-19
US20200412634A1 (en) 2020-12-31
US20240031270A1 (en) 2024-01-25
JP7391847B2 (ja) 2023-12-05
JP2024023381A (ja) 2024-02-21
US11838196B2 (en) 2023-12-05
JP2022546879A (ja) 2022-11-10
US20240106730A1 (en) 2024-03-28

Similar Documents

Publication Publication Date Title
WO2018107811A1 (zh) 网络安全联合防御方法、装置、服务器和存储介质
Khan et al. Software-defined network forensics: Motivation, potential locations, requirements, and challenges
WO2017069348A1 (ko) 보안이벤트 자동 검증 방법 및 장치
WO2018124495A1 (ko) 불법 콘텐츠 검색 시스템 및 그 방법
WO2012023657A1 (ko) 가상 머신을 이용한 네트워크 기반 유해 프로그램 검출 방법 및 그 시스템
CN105743732B (zh) 一种记录局域网文件传输路径和分布情况的方法及系统
CN110958231A (zh) 基于互联网的工控安全事件监测平台及其方法
Sree et al. Data collection techniques for forensic investigation in cloud
WO2023090864A1 (ko) 악성 이벤트로그 자동분석 장치 및 방법
WO2020256210A1 (ko) 네트워크 포렌식 시스템 및 이를 이용한 네트워크 포렌식 방법
WO2022181958A1 (ko) 시스템 프로세스 정보를 이용한 클라우드 마이그레이션 데이터 분석 방법 및 그 시스템
Chen et al. A DDoS attack defense method based on blockchain for IoTs devices
WO2022108318A1 (ko) 스마트 컨트랙트 코드 취약점 분석 장치 및 방법
Fatemi et al. Threat hunting in windows using big security log data
KR102080478B1 (ko) 패턴 기반 색인 처리 시스템 및 이를 이용한 패턴 기반 색인 처리 방법
US7724659B2 (en) Network-based autodiscovery system for MAC forwarding dispatcher
WO2021070978A1 (ko) 블록체인 기반의 edr 장치 및 방법
WO2019231089A1 (ko) 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법
Zammit A machine learning based approach for intrusion prevention using honeypot interaction patterns as training data
KR102080479B1 (ko) 시나리오 중심 실시간 공격 감지 시스템 및 이를 이용한 시나리오 중심 실시간 공격 감지 방법
CN114760083B (zh) 一种攻击检测文件的发布方法、装置及存储介质
WO2013089390A1 (ko) 콘텐츠의 생성 및 소비에 기반한 개인 정보 제공 시스템
Abdullah et al. Digital forensics investigation procedures of smart grid environment
WO2021240634A1 (ja) トラフィック監視装置、トラフィック監視方法およびトラフィック監視プログラム
TW201815142A (zh) 通過代理伺服器日誌偵測ｄｏｍａｉｎ ｆｌｕｘ殭屍網路的方法

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2020530464

Country of ref document: JP

Kind code of ref document: A

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19934255

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19934255

Country of ref document: EP

Kind code of ref document: A1

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205A DATED 21/04/2022)

122 Ep: pct application non-entry in european phase

Ref document number: 19934255

Country of ref document: EP

Kind code of ref document: A1