WO2022255619A1 - 무선 침입 방지 시스템 및 그 동작 방법 - Google Patents

무선 침입 방지 시스템 및 그 동작 방법 Download PDF

Info

Publication number
WO2022255619A1
WO2022255619A1 PCT/KR2022/004892 KR2022004892W WO2022255619A1 WO 2022255619 A1 WO2022255619 A1 WO 2022255619A1 KR 2022004892 W KR2022004892 W KR 2022004892W WO 2022255619 A1 WO2022255619 A1 WO 2022255619A1
Authority
WO
WIPO (PCT)
Prior art keywords
mac address
terminal
access
prevention system
access point
Prior art date
Application number
PCT/KR2022/004892
Other languages
English (en)
French (fr)
Inventor
손민기
강석주
Original Assignee
주식회사 시큐아이
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 시큐아이 filed Critical 주식회사 시큐아이
Priority to CN202280038348.2A priority Critical patent/CN117397271A/zh
Publication of WO2022255619A1 publication Critical patent/WO2022255619A1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/02—Access restriction performed under specific conditions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]

Definitions

  • the present invention relates to a wireless intrusion prevention system (WIPS) and a method of operating the same.
  • WIPS wireless intrusion prevention system
  • a wireless network system for wireless Internet communication includes a wireless LAN access point (AP) and a wireless LAN terminal.
  • An AP is used by installing equipment called an access point device.
  • WIPS wireless intrusion prevention system
  • the problem to be solved by the present invention is, for example, a wireless intrusion prevention system that blocks access of a terminal according to a blocking policy when a terminal having a random MAC address accesses an AP through a wireless network to which IEEE 802.11 technology or IEEE 802.11w technology is applied. and its operating method.
  • a wireless intrusion prevention system may include a sensing device and a controller.
  • the sensing device may monitor a radio frame transmitted and received between an access point (AP) and a plurality of terminals through a wireless network, and generate frame analysis information based on the radio frame.
  • the controller compares the MAC (Media Access Control) addresses of each terminal included in the frame analysis information and the manufacturer identification information including Organizationally Unique Identifiers (OUIs), and randomly selects among a plurality of terminals based on the comparison result.
  • a target terminal having a MAC address may be determined, and access to an access point of the target terminal may be controlled based on a blocking policy.
  • a method of operating a wireless intrusion prevention system includes a request for access to an access point from a target terminal among a plurality of terminals that transmit and receive radio frames with the access point through a wireless network.
  • receiving Based on the comparison result of the manufacturer identification information including Organizationally Unique Identifiers (OUIs) and the Media Access Control (MAC) address of the target device included in the radio frame, the MAC address of the target device is a random MAC address or a unique MAC address. determining whether it is an address; and controlling access to the access point of the target terminal according to whether the MAC address of the target terminal is a random MAC address.
  • OTIs Organizationally Unique Identifiers
  • MAC Media Access Control
  • connection when a terminal is connected to an AP through, for example, IEEE 802, connection may be released and access may be blocked depending on whether the MAC address of the terminal is a random MAC address.
  • FIG. 1 is a block diagram showing the configuration of a wireless intrusion prevention system.
  • FIG. 2 is a flowchart illustrating a method of blocking access of a wireless intrusion prevention system.
  • FIG. 3 is a diagram for explaining access control of a terminal in a wireless intrusion prevention system according to an embodiment.
  • FIG. 4 is a flowchart illustrating an operation of a wireless intrusion prevention system according to an exemplary embodiment.
  • FIG. 5 is a flowchart illustrating an operation of a wireless intrusion prevention system according to an embodiment.
  • FIG. 6 is a flowchart illustrating an operation of a wireless intrusion prevention system according to an embodiment.
  • FIG. 7 is a flowchart illustrating an operation of a wireless intrusion prevention system according to an exemplary embodiment.
  • FIG. 1 is a block diagram showing the configuration of a wireless intrusion prevention system.
  • the Wireless Intrusion Prevention System detects and blocks wireless intrusions such as rouge AP (Access Point) or DoS (Denial of Service) attacks through wireless section monitoring. It is a system that
  • a general wireless network described in this specification may include a wireless network to which IEEE 802.11 or IEEE 802.11w is applied.
  • IEEE 802.11w is a modified technology of IEEE 802.11 that improves the security of management frames.
  • it is not limited thereto, and the embodiments of the present invention can be applied to wireless networks to which various security technologies are applied.
  • a wireless network system includes one or more basic service sets (BSS), which represent a set of devices that can successfully synchronize and communicate with each other.
  • BSS can be divided into an infrastructure BSS (infrastructure BSS) and an independent BSS (Independent BSS, IBSS).
  • An access point is an entity that provides access to a distribution system via a wireless medium for terminals associated with it.
  • AP is used as a concept including PCP (Personal BSS Coordination Point), and broadly refers to concepts such as centralized controller, base station (BS), node-B, BTS (Base Transceiver System), or site controller.
  • PCP Personal BSS Coordination Point
  • the AP may also be referred to as a base wireless communication terminal
  • the base wireless communication terminal is a term that includes all of an AP, a base station, an eNodeB (eNB), and a transmission point (TP) in a broad sense.
  • the base wireless communication terminal may include various types of wireless communication terminals that allocate communication medium resources and perform scheduling in communication with a plurality of wireless communication terminals.
  • a station is any device that includes a medium access control (MAC) conforming to the IEEE 802.11 standard and a physical layer interface for a wireless medium.
  • MAC medium access control
  • AP stations as well as access points (APs).
  • 'terminal' refers to a non-AP station, but may be used as a term indicating both a non-AP station and an AP according to embodiments.
  • a station for wireless communication includes a processor and a transmitter/receiver, and may further include a user interface unit and a display unit according to embodiments.
  • the processor may generate a frame to be transmitted through the wireless network or process a frame received through the wireless network, and may perform various other processes for controlling the station.
  • the transmission/reception unit is functionally connected to the processor and transmits/receives a frame for a station through a wireless network.
  • the terminal may transmit and receive frames with the AP through the wireless network.
  • the WIPS 10 may compare manufacturer identification information including Organizationally Unique Identifiers (OUIs) with Media Access Control (MAC) addresses of each terminal included in the radio frame.
  • the WIPS 10 may determine a target terminal having a random MAC address among a plurality of terminals based on the comparison result, and control access to the access point of the target terminal based on a blocking policy.
  • OTIs Organizationally Unique Identifiers
  • MAC Media Access Control
  • the blocking policy may be a policy that blocks access to the access point of a target terminal having a random MAC address and allows access to the access point of a terminal having a unique MAC address among a plurality of terminals. This is to prevent an intrusion into a wireless network by blocking access of a terminal having a random MAC address in which a user cannot be identified.
  • the blocking policy blocks access to the access point of a target terminal having a random MAC address, blocks access to the access point of a terminal having an unregistered MAC address among terminals having a unique MAC address, It may be a policy allowing access to the access point of a terminal having a registered MAC address. This is to prevent intrusion into the wireless network by allowing only access-approved terminals among terminals having a unique MAC address capable of specifying a user.
  • the registered MAC address may be a MAC address of a terminal previously registered by an administrator.
  • the blocking policy is a policy that blocks access to the access point of a terminal not approved by the manager among target terminals having a random MAC address, and allows access to the access point by a terminal approved by the manager. can This is to allow access exceptionally when prior approval is obtained from an administrator even in a terminal having a random MAC address for which a user cannot be specified.
  • the WIPS 10 may include the sensing device 100 and the controller 200.
  • the sensing device 100 may monitor radio frames transmitted and received between a plurality of terminals and the access point, and transmit frame analysis information obtained by analyzing the monitored radio frames to the controller 200 .
  • the frame analysis information may include the MAC address of the terminal or AP transmitting the radio frame, security settings, transmission rate, SSID, IEEE 802.11 a/b/g/n/ac/ax, channel, RSSI, etc. .
  • the sensing device 100 may execute a blocking command for an AP or a terminal based on blocking command information received from the controller 200 .
  • the sensing device 100 may include a sensing module 110 and a communication module 120 .
  • the sensing module 110 may generate a blocking message based on blocking command information received from the controller 200 .
  • the sensing module 110 may control the communication module 120 to transmit the generated blocking message to the target AP and terminal.
  • the communication module 120 may transmit a blocking message to the target AP and terminal.
  • the sensing module 110 may include a sensor receiving unit 111 , a sensor analyzing unit 112 and a sensor blocking unit 113 .
  • the sensor receiver 111 may control the communication module 120 to monitor radio frames in a plurality of channels.
  • the sensor analyzer 112 may transmit frame analysis information obtained by analyzing the received radio frame to the controller 200 .
  • the frame analysis information may include information of an AP or a terminal that has transmitted a radio frame.
  • the sensor blocking unit 113 may execute a blocking command.
  • the sensor blocking unit 113 may generate a blocking message based on blocking command information received from the controller 200 .
  • the sensor blocking unit 113 may generate a blocking message including a deauthentication frame in a general wireless network to which IEEE 802.11 is applied.
  • the sensor blocking unit 113 may generate a blocking message including an interfering signal and a spoofed packet in a secure wireless network to which IEEE 802.11w is applied.
  • the sensor blocking unit 113 may control the communication module 120 to transmit the generated blocking message to the AP and the terminal that has transmitted and received the radio frame. At this time, the sensor blocking unit 113 may set the address sending the blocking message to the BSSID of the AP, and set the receiving address to the MAC address of the terminal. Alternatively, the sensor blocking unit 113 may set the address sending the blocking message to the MAC address of the terminal and the receiving address to the BSSID of the AP. Upon receiving the blocking message transmitted from the communication module 120, the AP and the terminal may determine that the other party has transmitted a blocking message indicating connection termination, and may stop access to each other.
  • the controller 200 may compare frame analysis information received from the sensing device 100 with database-based signature information to determine whether a corresponding terminal or AP is unauthorized and abnormally operated.
  • the signature information may include information such as previously collected radio frame information, a blocking policy, or a blocking target list. If the corresponding terminal or AP is unauthorized or is operating abnormally, the controller 200 may perform automatic blocking according to a blocking policy or generate an alarm so that a manager manually blocks the corresponding terminal or AP.
  • the controller 200 may determine an AP or a terminal to be blocked based on a blocking policy and frame analysis information.
  • the controller 200 may compare manufacturer identification information and MAC addresses of respective terminals included in the frame analysis information.
  • the manufacturer identification information may include manufacturer unique identifiers registered in the IEEE. Based on the comparison result, the controller 200 may determine a target terminal having a random MAC address and a terminal having a unique MAC address among a plurality of terminals.
  • the controller 200 may determine whether the MAC address of each terminal is a random MAC address based on whether the upper 24-bit value included in the MAC address of each terminal is included in the manufacturer's unique identifiers.
  • the controller 200 may determine the MAC address of the terminal as a unique MAC address when the upper 24-bit value included in the MAC address of the terminal is included in the manufacturer's unique identifiers.
  • the sensing module 110 may determine the MAC address of the terminal as a random MAC address when the upper 24-bit value is different from the manufacturer's unique identifiers.
  • the blocking policy may be set in various ways according to the wireless network environment.
  • the blocking policy may be a policy that blocks access to the access point of a target terminal having a random MAC address and allows access to the access point of a terminal having a unique MAC address among a plurality of terminals. This is to prevent an intrusion into a wireless network by blocking access of a terminal having a random MAC address in which a user cannot be identified.
  • the blocking policy blocks access to the access point of a target terminal having a random MAC address, blocks access to the access point of a terminal having an unregistered MAC address among terminals having a unique MAC address, It may be a policy allowing access to the access point of a terminal having a registered MAC address. This is to prevent intrusion into the wireless network by allowing only access-approved terminals among terminals having a unique MAC address capable of specifying a user.
  • the registered MAC address may be a MAC address of a terminal previously registered by an administrator.
  • the blocking policy is a policy that blocks access to the access point of a terminal not approved by the manager among target terminals having a random MAC address, and allows access to the access point by a terminal approved by the manager. can This is to allow exceptional access even if the terminal has a random MAC address for which the user cannot be identified, if prior approval is obtained from the administrator.
  • the controller 200 may generate blocking command information and transmit the generated blocking command information to the sensing device 100 .
  • the blocking command information may include information about an AP or a terminal determined to be blocked by being included in a blocking target list or violating a blocking policy.
  • the controller 200 may block access of an AP or a terminal in various ways.
  • the blocking method of the controller 200 may include AP blocking.
  • the controller 200 may block all terminals accessing the AP that are not targeted to a specific terminal when the BSSID of the AP to be blocked is detected.
  • the blocking method of the controller 200 may include terminal blocking.
  • the controller 200 may block the corresponding terminal when it is determined as an unauthorized terminal or detects that the corresponding terminal has been tampered with an authorized terminal. If the MAC of the corresponding terminal appears, the controller 200 may block access to all APs thereof.
  • the blocking method of the controller 200 may include blocking a specific AP-terminal.
  • the controller 200 may block the connection when an authorized terminal is connected to an unlicensed AP or when an unauthorized terminal is connected to an authorized AP.
  • the controller 200 may block only access to a designated AP when a corresponding terminal MAC appears, and may not be involved in access of other APs.
  • FIG. 2 is a flowchart illustrating a method of blocking access of a wireless intrusion prevention system.
  • the sensor receiver 111 may monitor a radio frame transmitted and received between an AP and a plurality of terminals through a plurality of channels.
  • the sensor receiver 111 may call the sensor analyzer 112 to analyze the received radio frame.
  • the sensor analyzer 112 may analyze the radio frame and generate frame analysis information.
  • the frame analysis information may include the MAC address of the terminal or AP transmitting the radio frame, security settings, transmission rate, SSID, IEEE 802.11 a/b/g/n/ac/ax, channel, RSSI, etc. .
  • step S207 the sensor analyzer 112 may provide frame analysis information to the controller 200.
  • step S209 the controller 200 may add or update information about an AP or a terminal that has transmitted a radio frame based on the frame analysis information.
  • step S211 the controller 200 may determine whether the corresponding AP or terminal violates the blocking policy based on the blocking policy.
  • the controller 200 may generate blocking command information according to a policy setting value when it is determined that the corresponding AP or terminal violates the blocking policy.
  • the controller 200 may transmit blocking command information to the sensor blocking unit 113.
  • the blocking command information may include information about an AP or a terminal determined to be blocked by being included in a blocking target list or violating a blocking policy.
  • the sensor blocking unit 113 may execute a blocking command based on the received blocking command information. Specifically, the sensor blocking unit 113 may generate a blocking message based on blocking command information. The sensor blocking unit 113 may control the communication module to transmit a blocking message to the target AP or terminal.
  • the blocking message may include the above-described unauthorized frame, interference signal, or spoofed packet.
  • FIG. 3 is a diagram for explaining access control of a terminal in a wireless intrusion prevention system according to an embodiment.
  • the terminal 30 may transmit a radio frame including an access request to the AP 20.
  • the WIPS 10 may collect radio frames transmitted between the AP 20 and the terminal 30.
  • step S305 the WIPS 10 may determine whether the MAC address of the terminal 30 included in the collected radio frame is a random MAC address.
  • the WIPS 10 determines the MAC address of the terminal 30 as a unique MAC address when the upper 24-bit value included in the MAC address of the terminal 30 is included in the manufacturer's unique identifier, and the upper 24-bit value is If it is different from the manufacturer's unique identifier, the MAC address of the terminal 30 may be determined as a random MAC address.
  • the WIPS 10 may obtain manufacturer identification information including manufacturer unique identifiers from the IEEE.
  • step S307 the WIPS 10 may determine whether the MAC address of the terminal 30 is a registered MAC address.
  • the registration MAC address may be a MAC address of a terminal for which an administrator has allowed access to the access point in advance. In another embodiment, step S307 may be omitted.
  • the WIPS 10 may determine whether to allow access of the terminal 30 to the AP 20 according to the blocking policy.
  • the blocking policy may be a policy that blocks access to the access point of a target terminal having a random MAC address and allows access to the access point of a terminal having a unique MAC address among a plurality of terminals. This is to prevent an intrusion into a wireless network by blocking access of a terminal having a random MAC address in which a user cannot be identified.
  • the blocking policy blocks access to the access point of a target terminal having a random MAC address, blocks access to the access point of a terminal having an unregistered MAC address among terminals having a unique MAC address, It may be a policy allowing access to the access point of a terminal having a registered MAC address. This is to prevent intrusion into the wireless network by allowing only access-approved terminals among terminals having a unique MAC address capable of specifying a user.
  • the registered MAC address may be a MAC address of a terminal previously registered by an administrator.
  • the blocking policy is a policy that blocks access to the access point of a terminal not approved by the manager among target terminals having a random MAC address, and allows access to the access point by a terminal approved by the manager. can This is to allow exceptional access even if the terminal has a random MAC address for which the user cannot be specified, if the administrator approves.
  • the WIPS 10 may provide the AP 20 with access control information indicating whether access of the terminal 30 to the AP 20 is permitted.
  • the AP 20 may allow or block access of the terminal 30 based on the access control information.
  • FIG. 4 is a flowchart illustrating an operation of a wireless intrusion prevention system according to an exemplary embodiment.
  • the wireless intrusion prevention system may receive an Organizationally Unique Identifier (OUI) from the Institute of Electrical and Electronics Engineers (IEEE).
  • UAI Organizationally Unique Identifier
  • the wireless intrusion prevention system may determine whether the MAC address of the terminal is a random MAC address based on a comparison result between the MAC address of the terminal requesting access to the access point and the manufacturer's unique identifier.
  • step S405 if the MAC address of the terminal is a random MAC address, the wireless intrusion prevention system may determine whether to allow access of the terminal according to the blocking policy.
  • FIG. 5 is a flowchart illustrating an operation of a wireless intrusion prevention system according to an embodiment.
  • the wireless intrusion prevention system may receive a radio frame including the MAC address of the terminal from the terminal requesting access.
  • the wireless intrusion prevention system may determine whether the MAC address of the terminal is a random MAC address. For example, the wireless intrusion prevention system determines the MAC address of the terminal as a unique MAC address when the MAC address of the terminal matches the manufacturer's unique identifier, and if the MAC address of the terminal is different from the manufacturer's unique identifier, the MAC address of the terminal is randomly selected. It can be determined by the MAC address.
  • the wireless intrusion prevention system proceeds to step S505 if the MAC address of the terminal is a random MAC address, and proceeds to step S507 if the MAC address of the terminal is a unique MAC address.
  • the wireless intrusion prevention system may block access to the access point of a terminal having a random MAC address.
  • the wireless intrusion prevention system may allow access to the access point of the terminal having a unique MAC address.
  • access to the access point of a target terminal having a random MAC address may be blocked, and access to the access point of a terminal having a unique MAC address among a plurality of terminals may be allowed. This is to prevent an intrusion into a wireless network by blocking access of a terminal having a random MAC address in which a user cannot be identified.
  • FIG. 6 is a flowchart illustrating an operation of a wireless intrusion prevention system according to an embodiment.
  • the wireless intrusion prevention system may receive a radio frame including the MAC address of the terminal from the terminal requesting access.
  • the wireless intrusion prevention system may determine whether the MAC address of the terminal is a random MAC address.
  • the wireless intrusion prevention system proceeds to step S605 if the MAC address of the terminal is a random MAC address, and proceeds to step S607 if the MAC address of the terminal is a unique MAC address. It is possible to receive a radio frame including.
  • the wireless intrusion prevention system may block access to the access point of a terminal having a random MAC address.
  • the wireless intrusion prevention system may determine whether the MAC address of the terminal is a registered MAC address. As a result of the determination, if the MAC address of the terminal is a registered MAC address, the process proceeds to step S609, and if the MAC address of the terminal is an unregistered MAC address, the process proceeds to step S605.
  • the registration MAC address may be a MAC address of a terminal for which an administrator has allowed access to the access point in advance.
  • the wireless intrusion prevention system may allow access to the access point of the terminal having the registered MAC address.
  • access to an access point of a target terminal having a random MAC address may be blocked.
  • Access to the access point of a terminal having an unregistered MAC address among terminals having a unique MAC address may be blocked, and access to the access point of a terminal having a registered MAC address may be allowed. This is to prevent intrusion into the wireless network by permitting access only to terminals having access allowed by the manager among terminals having unique MAC addresses. access can be granted.
  • FIG. 7 is a flowchart illustrating an operation of a wireless intrusion prevention system according to an exemplary embodiment.
  • the wireless intrusion prevention system may receive a radio frame including the MAC address of the terminal from the terminal requesting access to the access point.
  • the wireless intrusion prevention system may determine whether the MAC address of the terminal is a random MAC address. As a result of the determination, the wireless intrusion prevention system proceeds to step S705 if the MAC address of the terminal is a random MAC address, and proceeds to step S709 if the MAC address of the terminal is a unique MAC address.
  • step S705 the wireless intrusion prevention system may determine whether the terminal is pre-approved by the administrator based on the blocking policy. The wireless intrusion prevention system proceeds to step S709 if the terminal has been previously approved, and proceeds to step S707 if the terminal has not been previously approved.
  • the wireless intrusion prevention system may block access to the access point of terminals not pre-approved by the administrator among terminals having random MAC addresses.
  • the wireless intrusion prevention system may allow access to the access point of a terminal pre-approved by a manager among terminals having a unique MAC address or terminals having a random MAC address.
  • access to the access point of a terminal not approved by the manager may be blocked, and access to the access point of a terminal previously approved by the manager may be allowed. have. This is to allow access exceptionally when an administrator has previously approved a terminal even if it has a random MAC address for which a user cannot be specified.

Abstract

본 기술은 전자 장치에 관한 것으로, 본 기술에 따른 무선 침입 방지 시스템은 센싱 장치 및 컨트롤러를 포함할 수 있다. 센싱 장치는 무선 네트워크를 통해 액세스 포인트(Access Point, AP)와 복수의 단말들 간에 송수신되는 무선 프레임을 모니터링하고, 무선 프레임을 기초로 프레임 분석 정보를 생성할 수 있다. 컨트롤러는 제조사 고유 식별자(Organizationally Unique Identifier, OUI)들을 포함하는 제조사 식별 정보와 프레임 분석 정보에 포함된 각 단말들의 MAC(Media Access Control) 주소의 비교하고, 비교 결과를 기초로 복수의 단말들 중 랜덤 MAC 주소를 갖는 타겟 단말을 결정하고, 차단 정책에 기초하여 타겟 단말의 액세스 포인트에 대한 액세스를 제어할 수 있다.

Description

무선 침입 방지 시스템 및 그 동작 방법
본 발명은 무선 침입 방지 시스템(WIPS) 및 그 동작 방법에 관한 것이다.
인터넷의 급속한 발전과 보급으로 네트워크 환경은 점점 거대해지고 있으며, 인터넷의 간편하고 편리한 네트워크 액세스와 제공하고 있는 다양한 서비스로 인하여 그 형태가 복잡해지고 있다. 그러나 인터넷 상에서의 바이러스, 해킹, 시스템 침입, 시스템 관리자 권한 획득, 침입사실 은닉, 서비스 거부공격 등과 같은 다양한 형태의 네트워크 공격으로 인해 인터넷은 항상 해킹의 위험에 노출되어 인터넷에 대한 침해가 증가하고 있고, 공공기관과 사회기반시설 및 금융 기관은 피해 규모가 점점 증가하며 그 영향력이 크다. 이러한 인터넷 보안문제를 해결하기 위해 바이러스 백신, 방화벽, 통합 보안 관리, 침입탐지시스템 등의 네트워크 보안 기술의 필요성이 대두되고 있다.
무선 인터넷 통신을 위한 무선 네트워크 시스템은 무선랜 액세스 포인트(Wireless LAN Access Point, AP)와 무선랜 단말을 포함한다. AP는 액세스 포인트 장치라는 장비를 설치하여 사용하고 있다.
최근에는 유선과 무선을 이용한 통합형 네트워크 시스템이 널리 개발되고 적용되고 있다. 유선으로 접근하는 유해 트래픽을 안정적으로 차단하는 것도 어렵지만, 무선으로 접근하는 유해 트래픽을 안정적으로 차단하는 것은 더 어렵다. 이를 해결하기 위해 무선 침입 방지 시스템(Wireless Intrusion Prevention System, WIPS)이 개발되고 있는 상황이다. WIPS는 무선 구간 모니터링을 통해 비인가(rouge) AP 또는 DoS (Denial of Service) 공격 등의 무선 침입을 탐지 및 차단하는 시스템이다.
본 발명이 해결하려는 과제는, 예컨대 IEEE 802.11 기술 또는 IEEE 802.11w 기술이 적용된 무선 네트워크를 통해 AP에 랜덤 MAC 주소를 갖는 단말이 액세스하는 경우, 차단 정책에 따라 단말의 액세스를 차단하는 무선 침입 방지 시스템 및 그 동작 방법을 제공한다.
본 발명의 실시 예에 따른 무선 침입 방지 시스템은 센싱 장치 및 컨트롤러를 포함할 수 있다. 센싱 장치는 무선 네트워크를 통해 액세스 포인트(Access Point, AP)와 복수의 단말들 간에 송수신되는 무선 프레임을 모니터링하고, 무선 프레임을 기초로 프레임 분석 정보를 생성할 수 있다. 컨트롤러는 제조사 고유 식별자(Organizationally Unique Identifier, OUI)들을 포함하는 제조사 식별 정보와 프레임 분석 정보에 포함된 각 단말들의 MAC(Media Access Control) 주소의 비교하고, 비교 결과를 기초로 복수의 단말들 중 랜덤 MAC 주소를 갖는 타겟 단말을 결정하고, 차단 정책에 기초하여 타겟 단말의 액세스 포인트에 대한 액세스를 제어할 수 있다.
본 발명의 실시 예에 따른 무선 침입 방지 시스템(Wireless Intrusion Prevention System, WIPS)의 동작 방법은, 무선 네트워크를 통해 액세스 포인트와 무선 프레임을 송수신하는 복수의 단말들 중 타겟 단말로부터 액세스 포인트에 대한 액세스 요청을 수신하는 단계; 제조사 고유 식별자(Organizationally Unique Identifier, OUI)들을 포함하는 제조사 식별 정보와 무선 프레임에 포함된 타겟 단말의 MAC(Media Access Control) 주소의 비교 결과를 기초로 타겟 단말의 MAC 주소가 랜덤 MAC 주소 또는 고유 MAC 주소인지 결정하는 단계; 및 타겟 단말의 MAC 주소가 랜덤 MAC 주소인지 여부에 따라 타겟 단말의 액세스 포인트에 대한 액세스를 제어하는 단계;를 포함할 수 있다.
본 발명의 실시 예들에 의하면, 예컨대 IEEE 802를 통해 AP에 단말이 연결되는 경우, 단말의 MAC 주소가 랜덤 MAC 주소인지 여부에 따라 연결을 해제하고, 액세스를 차단할 수 있다.
도 1은 무선 침입 방지 시스템의 구성을 나타내는 블록도이다.
도 2는 무선 침입 방지 시스템의 액세스 차단 방법을 나타내는 순서도이다.
도 3은 일 실시 예에 따른 무선 침입 방지 시스템에서 단말의 액세스 제어를 설명하기 위한 도면이다.
도 4는 일 실시 예에 따른 무선 침입 방지 시스템의 동작을 설명하기 위한 순서도이다.
도 5는 일 실시 예에 따른 무선 침입 방지 시스템의 동작을 설명하기 위한 순서도이다.
도 6은 일 실시 예에 따른 무선 침입 방지 시스템의 동작을 설명하기 위한 순서도이다.
도 7은 일 실시 예에 따른 무선 침입 방지 시스템의 동작을 설명하기 위한 순서도이다.
본 명세서 또는 출원에 개시되어 있는 본 발명의 개념에 따른 실시 예들에 대해서 특정한 구조적 내지 기능적 설명들은 단지 본 발명의 개념에 따른 실시 예를 설명하기 위한 목적으로 예시된 것으로, 본 발명의 개념에 따른 실시 예들은 다양한 형태로 실시될 수 있으며 본 명세서 또는 출원에 설명된 실시 예들에 한정되는 것으로 해석되어서는 아니 된다.
도 1은 무선 침입 방지 시스템의 구성을 나타내는 블록도이다.
도 1을 참조하면, 무선 침입 방지 시스템(Wireless Intrusion Prevention System, 이하 WIPS)은 무선 구간 모니터링을 통해 비인가(rouge) AP(Access Point) 또는 DoS(Denial of Service) 공격 등의 무선 침입을 탐지 및 차단하는 시스템이다.
본 명세서에서 기술하는 일반 무선 네트워크는 IEEE 802.11 또는 IEEE 802.11w가 적용되는 무선 네트워크를 포함할 수 있다. IEEE 802.11w는 관리 프레임의 보안성을 향상시킨 IEEE 802.11의 수정 기술이다. 그러나, 이에 한정되는 것은 아니고, 본 발명의 실시 예는 다양한 보안 기술이 적용된 무선 네트워크에 적용될 수 있음은 물론이다.
무선 네트워크 시스템은 하나 또는 그 이상의 베이직 서비스 세트(Basic Service Set, BSS)를 포함하는데, BSS는 성공적으로 동기화를 이루어서 서로 통신할 수 있는 기기들의 집합을 나타낸다. 일반적으로 BSS는 인프라스트럭쳐 BSS(infrastructure BSS)와 독립 BSS(Independent BSS, IBSS)로 구분될 수 있다.
액세스 포인트(Access Point, 이하 AP)는 자신에게 결합된(associated) 단말들을 위하여 무선 매체를 경유하여 분배시스템에 대한 액세스를 제공하는 개체이다. AP는 PCP(Personal BSS Coordination Point)를 포함하는 개념으로 사용되며, 광의적으로는 집중 제어기, 기지국(Base Station, BS), 노드-B, BTS(Base Transceiver System), 또는 사이트 제어기 등의 개념을 모두 포함할 수 있다. 본 발명에서 AP는 베이스 무선 통신 단말로도 지칭될 수 있으며, 베이스 무선 통신 단말은 광의의 의미로는 AP, 베이스 스테이션(base station), eNB(eNodeB) 및 트랜스미션 포인트(TP)를 모두 포함하는 용어로 사용될 수 있다. 뿐만 아니라, 베이스 무선 통신 단말은 복수의 무선 통신 단말과의 통신에서 통신 매개체(medium) 자원을 할당하고, 스케줄링(scheduling)을 수행하는 다양한 형태의 무선 통신 단말을 포함할 수 있다.
단말(Station)은 IEEE 802.11 표준의 규정을 따르는 매체 액세스 제어(Medium Access Control, MAC)와 무선 매체에 대한 물리층(Physical Layer) 인터페이스를 포함하는 임의의 디바이스로서, 광의로는 비 액세스 포인트(non-AP) 스테이션뿐만 아니라 액세스 포인트(AP)를 모두 포함할 수 있다. 본 명세서에서 '단말'은 non-AP 스테이션을 가리키나, 실시 예에 따라 non-AP 스테이션 및 AP 모두 가리키는 용어로 사용될 수도 있다. 무선 통신을 위한 스테이션은 프로세서(Processor)와 송수신부(transmitter/receiver)를 포함하고, 실시 예에 따라 유저 인터페이스부와 디스플레이 유닛 등을 더 포함할 수 있다. 프로세서는 무선 네트워크를 통해 전송할 프레임을 생성하거나 또는 상기 무선 네트워크를 통해 수신된 프레임을 처리하며, 그 밖에 스테이션을 제어하기 위한 다양한 처리를 수행할 수 있다. 그리고, 송수신부는 상기 프로세서와 기능적으로 연결되어 있으며 스테이션을 위하여 무선 네트워크를 통해 프레임을 송수신한다. 단말은 무선 네트워크를 통해 AP와 프레임을 송수신할 수 있다.
실시 예에서, WIPS(10)는 제조사 고유 식별자(Organizationally Unique Identifier, OUI)들을 포함하는 제조사 식별 정보와 무선 프레임에 포함된 각 단말들의 MAC(Media Access Control) 주소를 비교할 수 있다. WIPS(10)는 비교 결과를 기초로 복수의 단말들 중 랜덤 MAC 주소를 갖는 타겟 단말을 결정하고, 차단 정책에 기초하여 타겟 단말의 액세스 포인트에 대한 액세스를 제어할 수 있다.
일 실시 예에서, 차단 정책은 랜덤 MAC 주소를 갖는 타겟 단말의 액세스 포인트에 대한 액세스를 차단하고, 복수의 단말들 중 고유 MAC 주소를 갖는 단말의 액세스 포인트에 대한 액세스는 허용하는 정책일 수 있다. 이는 사용자를 특정할 수 없는 랜덤 MAC 주소를 갖는 단말의 접속을 차단하여, 무선 네트워크에 대한 침입을 방지하기 위함이다.
일 실시 예에서, 차단 정책은 랜덤 MAC 주소를 갖는 타겟 단말의 액세스 포인트에 대한 액세스를 차단하고, 고유 MAC 주소를 갖는 단말들 중 비등록 MAC 주소를 갖는 단말의 액세스 포인트에 대한 액세스는 차단하고, 등록 MAC 주소를 갖는 단말의 액세스 포인트에 대한 액세스를 허용하는 정책일 수 있다. 이는 사용자를 특정할 수 있는 고유 MAC 주소를 갖는 단말들 중 액세스가 인가된 단말만의 접속을 허용하여, 무선 네트워크에 대한 침입을 방지하기 위함이다. 등록 MAC 주소는 관리자에 의해 사전에 등록된 단말의 MAC 주소일 수 있다.
일 실시 예에서, 차단 정책은 랜덤 MAC 주소를 갖는 타겟 단말 중 관리자의 승인을 받지 못한 단말의 액세스 포인트에 대한 액세스를 차단하고, 관리자의 승인을 받은 단말의 액세스 포인트에 대한 액세스를 허용하는 정책일 수 있다. 사용자를 특정할 수 없는 랜덤 MAC 주소를 갖는 단말이라도, 관리자로부터 사전 승인을 획득한 경우 예외적으로 액세스를 허용하기 위함이다.
실시 예에서, WIPS(10)는 센싱 장치(100) 및 컨트롤러(200)를 포함할 수 있다.
센싱 장치(100)는 복수의 단말들과 액세스 포인트 간의 송수신되는 무선 프레임을 모니터링하고, 모니터링한 무선 프레임을 분석한 프레임 분석 정보를 컨트롤러(200)로 전송할 수 있다. 프레임 분석 정보는 무선 프레임을 전송한 단말 또는 AP의 MAC 주소, 보안 설정 내용, 전송 속도, SSID, IEEE 802.11 a/b/g/n/ac/ax 등 여부, 채널, RSSI 등을 포함할 수 있다. 센싱 장치(100)는 컨트롤러(200)로부터 수신한 차단 명령 정보를 기초로 AP 또는 단말에 대한 차단 명령을 실행할 수 있다.
실시 예에서, 센싱 장치(100)는 센싱 모듈(110) 및 통신 모듈(120)을 포함할 수 있다.
센싱 모듈(110)은 컨트롤러(200)로부터 수신한 차단 명령 정보를 기초로 차단 메시지를 생성할 수 있다. 센싱 모듈(110)은 생성한 차단 메시지를 타겟 AP 및 단말로 전송하도록 통신 모듈(120)을 제어할 수 있다. 통신 모듈(120)은 타겟 AP 및 단말로 차단 메시지를 전송할 수 있다.
실시 예에서, 센싱 모듈(110)은 센서 수신부(111), 센서 분석부(112) 및 센서 차단부(113)를 포함할 수 있다.
센서 수신부(111)는 통신 모듈(120)을 제어하여 복수의 채널에서 무선 프레임을 모니터링할 수 있다.
센서 분석부(112)는 모니터링 결과, 수신된 무선 프레임을 분석한 프레임 분석 정보를 컨트롤러(200)로 전송할 수 있다. 프레임 분석 정보는 무선 프레임을 송신한 AP 또는 단말의 정보를 포함할 수 있다.
센서 차단부(113)는 차단 명령을 실행할 수 있다. 센서 차단부(113)는 컨트롤러(200)로부터 수신한 차단 명령 정보를 기초로 차단 메시지를 생성할 수 있다.
예를 들어, 센서 차단부(113)는 IEEE 802.11이 적용된 일반 무선 네트워크에서 비인증(Deauthentication) 프레임을 포함하는 차단 메시지를 생성할 수 있다. 센서 차단부(113)는 IEEE 802.11w이 적용된 보안 무선 네트워크에서 방해 신호 및 위장 패킷을 포함하는 차단 메시지를 생성할 수 있다.
센서 차단부(113)는 생성된 차단 메시지를 무선 프레임을 송수신한 AP 및 단말로 전송하도록 통신 모듈(120)를 제어할 수 있다. 이 때, 센서 차단부(113)는 차단 메시지를 보내는 주소는 AP의 BSSID로 설정하고, 받는 주소는 단말의 MAC 주소로 설정할 수 있다. 또는 센서 차단부(113)는 차단 메시지를 보내는 주소는 단말의 MAC 주소로 설정하고, 받는 주소는 AP의 BSSID로 설정할 수 있다. 통신 모듈(120)로부터 전송되는 차단 메시지를 받은 AP와 단말은, 상대방이 연결 종료를 알리는 차단 메시지를 전송하였다고 판단하여 서로 간의 액세스를 중지할 수 있다.
컨트롤러(200)는 센싱 장치(100)로부터 수신한 프레임 분석 정보를 DB(database)화된 서명(signature) 정보와 비교하여 해당 단말 또는 AP의 비인가 여부 및 이상 동작 여부를 판단할 수 있다. 이때, 서명 정보는 기존에 수집된 무선 프레임 정보, 차단 정책 또는 차단 대상 목록 등의 정보를 포함할 수 있다. 컨트롤러(200)는 해당 단말 또는 AP가 비인가 되었거나 이상 동작 중인 경우, 차단 정책에 의한 자동 차단을 실시하거나 알람을 발생시켜 관리자에 의해 수동 차단을 실시하게 할 수 있다.
실시 예에서, 컨트롤러(200)는 차단 정책 및 프레임 분석 정보를 기초로 차단할 AP 또는 단말을 결정할 수 있다.
컨트롤러(200)는 제조사 식별 정보와 프레임 분석 정보에 포함된 각 단말들의 MAC 주소를 비교할 수 있다. 제조사 식별 정보는 IEEE에 등록된 제조사 고유 식별자들을 포함할 수 있다. 컨트롤러(200)는 비교 결과를 기초로 복수의 단말들 중 랜덤 MAC 주소를 갖는 타겟 단말과 고유 MAC 주소를 갖는 단말을 결정할 수 있다.
구체적으로, 컨트롤러(200)는 각 단말들의 MAC 주소에 포함된 상위 24 비트 값이 제조사 고유 식별자들에 포함하는지 여부를 기초로, 각 단말들의 MAC 주소가 랜덤 MAC 주소인지 결정할 수 있다. 컨트롤러(200)는 단말의 MAC 주소에 포함된 상위 24 비트 값이 제조사 고유 식별자들에 포함되면, 단말의 MAC 주소를 고유 MAC 주소로 결정할 수 있다. 센싱 모듈(110)는 상위 24 비트 값이 제조사 고유 식별자들과 다르면, 단말의 MAC 주소를 랜덤 MAC 주소로 결정할 수 있다.
차단 정책은 무선 네트워크 환경에 따라 다양하게 설정될 수 있다.
일 실시 예에서, 차단 정책은 랜덤 MAC 주소를 갖는 타겟 단말의 액세스 포인트에 대한 액세스를 차단하고, 복수의 단말들 중 고유 MAC 주소를 갖는 단말의 액세스 포인트에 대한 액세스는 허용하는 정책일 수 있다. 이는 사용자를 특정할 수 없는 랜덤 MAC 주소를 갖는 단말의 접속을 차단하여, 무선 네트워크에 대한 침입을 방지하기 위함이다.
일 실시 예에서, 차단 정책은 랜덤 MAC 주소를 갖는 타겟 단말의 액세스 포인트에 대한 액세스를 차단하고, 고유 MAC 주소를 갖는 단말들 중 비등록 MAC 주소를 갖는 단말의 액세스 포인트에 대한 액세스는 차단하고, 등록 MAC 주소를 갖는 단말의 액세스 포인트에 대한 액세스를 허용하는 정책일 수 있다. 이는 사용자를 특정할 수 있는 고유 MAC 주소를 갖는 단말들 중 액세스가 인가된 단말만의 접속을 허용하여, 무선 네트워크에 대한 침입을 방지하기 위함이다. 등록 MAC 주소는 관리자에 의해 사전에 등록된 단말의 MAC 주소일 수 있다.
일 실시 예에서, 차단 정책은 랜덤 MAC 주소를 갖는 타겟 단말 중 관리자의 승인을 받지 못한 단말의 액세스 포인트에 대한 액세스를 차단하고, 관리자의 승인을 받은 단말의 액세스 포인트에 대한 액세스를 허용하는 정책일 수 있다. 사용자를 특정할 수 없는 랜덤 MAC 주소를 갖는 단말이라도, 관리자의 사전 승인을 받은 경우 예외적으로 액세스를 허용하기 위함이다.
컨트롤러(200)는 차단 명령 정보를 생성하고, 생성한 차단 명령 정보를 센싱 장치(100)로 전송할 수 있다. 차단 명령 정보는, 차단 대상 목록에 포함되거나 차단 정책을 위반하여 차단 결정된 AP 또는 단말에 관한 정보를 포함할 수 있다.
실시 예에서, 컨트롤러(200)는 다양한 방식으로 AP 또는 단말의 액세스를 차단할 수 있다.
일 예로, 컨트롤러(200)의 차단 방식은 AP 차단을 포함할 수 있다. 이때, 컨트롤러(200)는 차단 대상 AP의 BSSID가 감지되면 특정 단말 대상이 아니고 AP에 액세스하는 모든 단말을 차단할 수 있다.
다른 예로, 컨트롤러(200)의 차단 방식은 단말 차단을 포함할 수 있다. 이때, 컨트롤러(200)는 비인가 단말로 판단되거나 해당 단말이 인가된 단말로 변조했음을 탐지했을 경우, 해당 단말을 차단할 수 있다. 해당 단말의 MAC이 나타나면 컨트롤러(200)는 이의 모든 AP로의 액세스를 차단할 수 있다.
또 다른 예로, 컨트롤러(200)의 차단 방식은 특정 AP-단말 차단을 포함할 수 있다. 이때, 컨트롤러(200)는 비인가 AP에 인가 단말이 연결되었을 경우 또는 인가 AP에 비인가 단말이 연결되었을 경우 연결을 차단할 수 있다. 컨트롤러(200)는 해당 단말 MAC이 나타나면 지정된 AP로의 액세스에 대해서만 차단하고 그 외 AP의 액세스에는 관여하지 않을 수 있다.
도 2는 무선 침입 방지 시스템의 액세스 차단 방법을 나타내는 순서도이다.
도 2를 참조하면, S201 단계에서, 센서 수신부(111)는 복수의 채널들을 통해, AP와 복수의 단말들 간에 송수신되는 무선 프레임을 모니터링 할 수 있다.
S203단계에서, 센서 수신부(111)는 센서 분석부(112)에 수신한 무선 프레임의 분석을 호출할 수 있다.
S205단계에서, 센서 분석부(112)는 무선 프레임을 분석하고, 프레임 분석 정보를 생성할 수 있다. 프레임 분석 정보는 무선 프레임을 전송한 단말 또는 AP의 MAC 주소, 보안 설정 내용, 전송 속도, SSID, IEEE 802.11 a/b/g/n/ac/ax 등 여부, 채널, RSSI 등을 포함할 수 있다.
S207단계에서, 센서 분석부(112)는 프레임 분석 정보를 컨트롤러(200)에 제공할 수 있다.
S209단계에서, 컨트롤러(200)는 프레임 분석 정보를 기초로 무선 프레임을 송신한 AP 또는 단말 정보를 추가하거나 갱신할 수 있다.
S211단계에서, 컨트롤러(200)는 차단 정책을 기초로 해당 AP 또는 단말의 차단 정책 위반 여부를 판단할 수 있다.
S213단계에서, 컨트롤러(200)는 해당 AP 또는 단말이 차단 정책 위반으로 판단되는 경우, 정책 설정 값에 따른 차단 명령 정보를 생성할 수 있다.
S215단계에서, 컨트롤러(200)는 차단 명령 정보를 센서 차단부(113)에 전송할 수 있다. 차단 명령 정보는, 차단 대상 목록에 포함되거나 차단 정책을 위반하여 차단 결정된 AP 또는 단말에 관한 정보를 포함할 수 있다.
S217단계에서, 센서 차단부(113)는 수신한 차단 명령 정보를 기초로 차단 명령을 실행할 수 있다. 구체적으로, 센서 차단부(113)는 차단 명령 정보를 기초로 차단 메시지를 생성할 수 있다. 센서 차단부(113)는 차단 메시지를 타겟 AP 또는 단말로 전송하도록 통신 모듈을 제어할 수 있다. 차단 메시지는 전술한 비인증 프레임 또는 방해 신호, 위장 패킷을 포함할 수 있다.
도 3은 일 실시 예에 따른 무선 침입 방지 시스템에서 단말의 액세스 제어를 설명하기 위한 도면이다.
도 3을 참조하면, S301단계에서 단말(30)은 AP(20)에 액세스 요청을 포함하는 무선 프레임을 송신할 수 있다.
S303단계에서 WIPS(10)는 AP(20)와 단말(30) 간에 전송되는 무선 프레임을 수집할 수 있다.
S305단계에서 WIPS(10)는 수집된 무선 프레임에 포함된 단말(30)의 MAC 주소가 랜덤 MAC 주소인지 판단할 수 있다.
예를 들어, WIPS(10)는 단말(30)의 MAC 주소에 포함된 상위 24 비트 값이 제조사 고유 식별자에 포함되면 단말(30)의 MAC 주소를 고유 MAC 주소로 결정하고, 상위 24 비트 값이 제조사 고유 식별자와 다르면 단말(30)의 MAC 주소를 랜덤 MAC 주소로 결정할 수 있다. WIPS(10)는 IEEE로부터 제조사 고유 식별자들을 포함하는 제조사 식별 정보를 획득할 수 있다.
S307단계에서 WIPS(10)는 단말(30)의 MAC 주소가 등록 MAC 주소인지 판단할 수 있다. 등록 MAC 주소는 관리자가 사전에 액세스 포인트에 대한 액세스를 허용한 단말의 MAC 주소일 수 있다. 다른 실시 예에서 S307단계는 생략될 수 있다.
S309단계에서 WIPS(10)는 차단 정책에 따라 AP(20)에 대한 단말(30)의 액세스 허용 여부를 결정할 수 있다.
일 실시 예에서, 차단 정책은 랜덤 MAC 주소를 갖는 타겟 단말의 액세스 포인트에 대한 액세스를 차단하고, 복수의 단말들 중 고유 MAC 주소를 갖는 단말의 액세스 포인트에 대한 액세스는 허용하는 정책일 수 있다. 이는 사용자를 특정할 수 없는 랜덤 MAC 주소를 갖는 단말의 접속을 차단하여, 무선 네트워크에 대한 침입을 방지하기 위함이다.
일 실시 예에서, 차단 정책은 랜덤 MAC 주소를 갖는 타겟 단말의 액세스 포인트에 대한 액세스를 차단하고, 고유 MAC 주소를 갖는 단말들 중 비등록 MAC 주소를 갖는 단말의 액세스 포인트에 대한 액세스는 차단하고, 등록 MAC 주소를 갖는 단말의 액세스 포인트에 대한 액세스를 허용하는 정책일 수 있다. 이는 사용자를 특정할 수 있는 고유 MAC 주소를 갖는 단말들 중 액세스가 인가된 단말만의 접속을 허용하여, 무선 네트워크에 대한 침입을 방지하기 위함이다. 등록 MAC 주소는 관리자에 의해 사전에 등록된 단말의 MAC 주소일 수 있다.
일 실시 예에서, 차단 정책은 랜덤 MAC 주소를 갖는 타겟 단말 중 관리자의 승인을 받지 못한 단말의 액세스 포인트에 대한 액세스를 차단하고, 관리자의 승인을 받은 단말의 액세스 포인트에 대한 액세스를 허용하는 정책일 수 있다. 사용자를 특정할 수 없는 랜덤 MAC 주소를 갖는 단말이라도, 관리자가 승인한 경우 예외적으로 액세스를 허용하기 위함이다.
S311단계에서 WIPS(10)는 AP(20)에 대한 단말(30)의 액세스 허용 여부를 나타내는 액세스 제어 정보를 AP(20)에 제공할 수 있다.
S313단계에서 AP(20)는 액세스 제어 정보를 기초로 단말(30)의 액세스를 허용하거나 차단할 수 있다.
도 4는 일 실시 예에 따른 무선 침입 방지 시스템의 동작을 설명하기 위한 순서도이다.
도 4를 참조하면, S401단계에서 무선 침입 방지 시스템은 IEEE(Institute of Electrical and Electronics Engineers)로부터 제조사 고유 식별자(Organizationally Unique Identifier, OUI)를 수신할 수 있다.
S403단계에서 무선 침입 방지 시스템은 액세스 포인트에 액세스 요청한 단말의 MAC 주소와 제조사 고유 식별자의 비교 결과를 기초로, 단말의 MAC 주소가 랜덤 MAC 주소인지 판단할 수 있다.
S405단계에서 무선 침입 방지 시스템은 단말의 MAC 주소가 랜덤 MAC 주소이면, 차단 정책에 따라 단말의 액세스 허용 여부를 결정할 수 있다.
도 5는 일 실시 예에 따른 무선 침입 방지 시스템의 동작을 설명하기 위한 순서도이다.
도 5를 참조하면, S501단계에서 무선 침입 방지 시스템은 액세스 요청한 단말로부터 단말의 MAC 주소를 포함하는 무선 프레임을 수신할 수 있다.
S503단계에서 무선 침입 방지 시스템은 단말의 MAC 주소가 랜덤 MAC 주소인지 판단할 수 있다. 예를 들어, 무선 침입 방지 시스템은 단말의 MAC 주소가 제조사 고유 식별자와 일치하면, 단말의 MAC 주소를 고유 MAC 주소로 결정하고, 단말의 MAC 주소가 제조사 고유 식별자와 다르면, 단말의 MAC 주소를 랜덤 MAC 주소로 결정할 수 있다.
무선 침입 방지 시스템은 판단 결과, 단말의 MAC 주소가 랜덤 MAC 주소이면 S505단계로 진행하고, 단말의 MAC 주소가 고유 MAC 주소이면 S507단계로 진행한다.
S505단계에서 무선 침입 방지 시스템은 랜덤 MAC 주소를 갖는 단말의 액세스 포인트에 대한 액세스를 차단할 수 있다.
S507단계에서 무선 침입 방지 시스템은 고유 MAC 주소를 갖는 단말의 액세스 포인트에 대한 액세스를 허용할 수 있다.
도 5의 실시 예에 따르면 랜덤 MAC 주소를 갖는 타겟 단말의 액세스 포인트에 대한 액세스를 차단되고, 복수의 단말들 중 고유 MAC 주소를 갖는 단말의 액세스 포인트에 대한 액세스는 허용될 수 있다. 이는 사용자를 특정할 수 없는 랜덤 MAC 주소를 갖는 단말의 접속을 차단하여, 무선 네트워크에 대한 침입을 방지하기 위함이다.
도 6은 일 실시 예에 따른 무선 침입 방지 시스템의 동작을 설명하기 위한 순서도이다.
도 6을 참조하면, S601단계에서 무선 침입 방지 시스템은 액세스 요청한 단말로부터 단말의 MAC 주소를 포함하는 무선 프레임을 수신할 수 있다.
S603단계에서 무선 침입 방지 시스템은 단말의 MAC 주소가 랜덤 MAC 주소인지 판단할 수 있다.
무선 침입 방지 시스템은 판단 결과, 단말의 MAC 주소가 랜덤 MAC 주소이면 S605단계로 진행하고, 단말의 MAC 주소가 고유 MAC 주소이면 S607단계로 진행한다. 포함하는 무선 프레임을 수신할 수 있다.
S605단계에서 무선 침입 방지 시스템은 랜덤 MAC 주소를 갖는 단말의 액세스 포인트에 대한 액세스를 차단할 수 있다.
S607단계에서 무선 침입 방지 시스템은 단말의 MAC 주소가 등록 MAC 주소인지 판단할 수 있다. 판단 결과, 단말의 MAC 주소가 등록 MAC 주소이면 S609단계로 진행하고, 단말의 MAC 주소가 비등록 MAC 주소이면 S605단계로 진행한다. 등록 MAC 주소는 관리자가 사전에 액세스 포인트에 대한 액세스를 허용한 단말의 MAC 주소일 수 있다.
S609단계에서 무선 침입 방지 시스템은 등록 MAC 주소를 갖는 단말의 액세스 포인트에 대한 액세스를 허용할 수 있다.
도 6의 실시 예에 따르면, 랜덤 MAC 주소를 갖는 타겟 단말의 액세스 포인트에 대한 액세스를 차단될 수 있다. 고유 MAC 주소를 갖는 단말들 중 비등록 MAC 주소를 갖는 단말의 액세스 포인트에 대한 액세스는 차단되고, 등록 MAC 주소를 갖는 단말의 액세스 포인트에 대한 액세스를 허용될 수 있다. 이는 고유 MAC 주소를 갖는 단말들 중 관리자에 의해 액세스가 허용된 단말만의 접속을 허용하여, 무선 네트워크에 대한 침입을 방지하기 위함이다. 액세스를 허용할 수 있다.
도 7은 일 실시 예에 따른 무선 침입 방지 시스템의 동작을 설명하기 위한 순서도이다.
도 7을 참조하면, S701단계에서 무선 침입 방지 시스템은 액세스 포인트에 액세스 요청한 단말로부터 단말의 MAC 주소를 포함하는 무선 프레임을 수신할 수 있다.
S703단계에서 무선 침입 방지 시스템은 단말의 MAC 주소가 랜덤 MAC 주소인지 판단할 수 있다. 무선 침입 방지 시스템은 판단 결과, 단말의 MAC 주소가 랜덤 MAC 주소이면 S705단계로 진행하고, 단말의 MAC 주소가 고유 MAC 주소이면 S709단계로 진행한다.
S705단계에서 무선 침입 방지 시스템은 차단 정책을 기초로 단말이 관리자로부터 사전 승인된 단말인지 판단할 수 있다. 무선 침입 방지 시스템은 단말이 사전에 승인된 단말이면 S709단계로 진행하고, 단말이 사전에 승인되지 않은 단말이면 S707단계로 진행한다.
S707단계에서 무선 침입 방지 시스템은 랜덤 MAC 주소를 갖는 단말 중 관리자로부터 사전 승인되지 않은 단말의 액세스 포인트에 대한 액세스를 차단할 수 있다.
S709단계에서 무선 침입 방지 시스템은 고유 MAC 주소를 갖는 단말이거나 랜덤 MAC 주소를 갖는 단말 중 관리자로부터 사전 승인된 단말의 액세스 포인트에 대한 액세스를 허용할 수 있다.
도 7의 실시 예에 따르면, 랜덤 MAC 주소를 갖는 타겟 단말 중 관리자의 승인을 받지 못한 단말의 액세스 포인트에 대한 액세스를 차단되고, 관리자의 사전 승인을 받은 단말의 액세스 포인트에 대한 액세스를 허용될 수 있다. 이는 사용자를 특정할 수 없는 랜덤 MAC 주소를 갖는 단말이라도, 관리자가 사전 승인한 경우 예외적으로 액세스를 허용하기 위함이다.

Claims (15)

  1. 무선 네트워크를 통해 액세스 포인트(Access Point, AP)와 복수의 단말들 간에 송수신되는 무선 프레임을 모니터링하고, 상기 무선 프레임을 기초로 프레임 분석 정보를 생성하는 센싱 장치; 및
    제조사 고유 식별자(Organizationally Unique Identifier, OUI)들을 포함하는 제조사 식별 정보와 상기 프레임 분석 정보에 포함된 각 단말들의 MAC(Media Access Control) 주소의 비교하고, 비교 결과를 기초로 상기 복수의 단말들 중 랜덤 MAC 주소를 갖는 타겟 단말과 고유 MAC 주소를 갖는 단말을 결정하고, 상기 타겟 단말의 상기 액세스 포인트에 대한 액세스는 차단하고, 상기 고유 MAC 주소를 갖는 단말의 상기 액세스 포인트에 대한 액세스는 허용하는 컨트롤러;를 포함하는 무선 침입 방지 시스템(Wireless Intrusion Prevention System, WIPS).
  2. 제 1항에 있어서, 상기 컨트롤러는,
    IEEE(Institute of Electrical and Electronics Engineers)로부터 상기 제조사 식별 정보를 획득하는 무선 침입 방지 시스템.
  3. 제 1항에 있어서, 상기 컨트롤러는,
    상기 각 단말들의 MAC 주소에 포함된 상위 24 비트 값이 상기 제조사 고유 식별자들에 포함하는지 여부를 기초로, 상기 각 단말들의 MAC 주소가 랜덤 MAC 주소인지 결정하는 무선 침입 방지 시스템.
  4. 제 3항에 있어서, 상기 컨트롤러는,
    단말의 MAC 주소에 포함된 상위 24 비트 값이 상기 제조사 고유 식별자들에 포함되면, 상기 단말의 MAC 주소를 고유 MAC 주소로 결정하고, 상기 상위 24 비트 값이 상기 제조사 고유 식별자들과 다르면, 상기 단말의 MAC 주소를 랜덤 MAC 주소로 결정하는 무선 침입 방지 시스템.
  5. 제 1항에 있어서, 상기 컨트롤러는,
    상기 고유 MAC 주소가 등록 MAC 주소인지 여부에 따라 상기 고유 MAC 주소를 갖는 단말의 상기 액세스 포인트에 대한 액세스를 허용하는 무선 침입 방지 시스템.
  6. 제 1항에 있어서, 상기 컨트롤러는
    상기 타겟 단말 중 관리자로부터 사전 승인된 단말의 상기 액세스 포인트에 대한 액세스의 차단을 해제하는 무선 침입 방지 시스템.
  7. 제 1항에 있어서, 상기 무선 네트워크는,
    IEEE 802.11이 적용되는 일반 무선네트워크 및 IEEE 802.11w이 적용되는 보안 무선 네트워크를 포함하는 무선 침입 방지 시스템.
  8. 제 1항에 있어서, 상기 프레임 분석 정보는,
    상기 무선 프레임을 송수신한 단말의 MAC 주소, 상기 액세스 포인트의 SSID(Service Set IDentifer), 보안 설정 내용, 전송 속도, IEEE 802.11의 버전, 채널 정보 및 RSSI(Received Signal Strength Indication) 중 적어도 하나를 포함하는 무선 침입 방지 시스템.
  9. 무선 네트워크를 통해 액세스 포인트와 무선 프레임을 송수신하는 복수의 단말들 중 타겟 단말로부터 상기 액세스 포인트에 대한 액세스 요청을 수신하는 단계;
    제조사 고유 식별자(Organizationally Unique Identifier, OUI)들을 포함하는 제조사 식별 정보와 상기 무선 프레임에 포함된 상기 타겟 단말의 MAC(Media Access Control) 주소의 비교 결과를 기초로 상기 타겟 단말의 MAC 주소가 랜덤 MAC 주소 또는 고유 MAC 주소인지 결정하는 단계; 및
    상기 타겟 단말의 MAC 주소가 상기 랜덤 MAC 주소이면, 상기 타겟 단말의 상기 액세스 포인트에 대한 상기 액세스를 차단하고, 상기 타겟 단말의 MAC 주소가 상기 고유 MAC 주소이면, 상기 타겟 단말의 상기 액세스 포인트에 대한 상기 액세스를 허용하는 단계;를 포함하는 무선 침입 방지 시스템(Wireless Intrusion Prevention System, WIPS)의 동작 방법.
  10. 제 9항에 있어서, 상기 타겟 단말의 MAC 주소가 상기 고유 MAC 주소이면, 상기 타겟 단말의 상기 액세스 포인트에 대한 상기 액세스를 허용하는 단계는,
    상기 고유 MAC 주소가 등록 MAC 주소인지 여부에 상기 타겟 단말의 상기 액세스 포인트에 대한 상기 액세스를 허용하는 무선 침입 방지 시스템의 동작 방법.
  11. 제 9항에 있어서, 상기 타겟 단말의 MAC 주소가 상기 랜덤 MAC 주소이면, 상기 타겟 단말의 상기 액세스 포인트에 대한 상기 액세스를 차단하는 단계는,
    상기 타겟 단말이 관리자로부터 사전 승인되었는지 여부에 따라 상기 타겟 단말의 상기 액세스 포인트에 대한 상기 액세스의 차단을 해제하는 무선 침입 방지 시스템의 동작 방법.
  12. 제 9항에 있어서,
    IEEE(Institute of Electrical and Electronics Engineers)로부터 상기 제조사 식별 정보를 획득하는 단계;를 더 포함하는 무선 침입 방지 시스템의 동작 방법.
  13. 제 9항에 있어서, 상기 타겟 단말의 MAC 주소가 랜덤 MAC 주소 또는 고유 MAC 주소인지 결정하는 단계는,
    상기 타겟 단말의 MAC 주소에 포함된 상위 24 비트 값이 상기 제조사 고유 식별자들에 포함되는지 여부에 따라, 상기 타겟 단말의 MAC 주소가 랜덤 MAC 주소 또는 고유 MAC 주소인지 결정하는 단계;를 포함하는 무선 침입 방지 시스템의 동작 방법.
  14. 제 9항에 있어서,
    상기 타겟 단말의 상기 액세스 포인트에 대한 상기 액세스를 차단하기 위한 차단 메시지를 생성하는 단계; 및
    비인증 프레임을 포함하거나 방해 신호 및 위장 패킷을 포함하는 상기 차단 메시지를 상기 타겟 단말에 전송하는 단계;를 더 포함하는 무선 침입 방지 시스템의 동작 방법.
  15. 제 9항에 있어서, 상기 무선 네트워크는,
    IEEE 802.11이 적용되는 일반 무선네트워크 및 IEEE 802.11w이 적용되는 보안 무선 네트워크를 포함하는 무선 침입 방지 시스템의 동작 방법.
PCT/KR2022/004892 2021-06-02 2022-04-05 무선 침입 방지 시스템 및 그 동작 방법 WO2022255619A1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202280038348.2A CN117397271A (zh) 2021-06-02 2022-04-05 无线入侵防御系统及其操作方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2021-0071809 2021-06-02
KR1020210071809A KR102359801B1 (ko) 2021-06-02 2021-06-02 무선 침입 방지 시스템 및 그 동작 방법

Publications (1)

Publication Number Publication Date
WO2022255619A1 true WO2022255619A1 (ko) 2022-12-08

Family

ID=80265987

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2022/004892 WO2022255619A1 (ko) 2021-06-02 2022-04-05 무선 침입 방지 시스템 및 그 동작 방법

Country Status (3)

Country Link
KR (1) KR102359801B1 (ko)
CN (1) CN117397271A (ko)
WO (1) WO2022255619A1 (ko)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102359801B1 (ko) * 2021-06-02 2022-02-09 주식회사 시큐아이 무선 침입 방지 시스템 및 그 동작 방법
KR102579948B1 (ko) * 2023-01-11 2023-09-18 잉그리스 주식회사 맥(mac) 주소를 이용한 유동인구 분석 시스템 및 그 방법

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20160135053A1 (en) * 2014-11-10 2016-05-12 Qualcomm Incorporated Wi-fi privacy in an access point using media access control address randomization
KR20170062301A (ko) * 2015-11-27 2017-06-07 삼성전자주식회사 무선 침입 방지 시스템에서의 접속 차단 방법 및 장치
KR102157661B1 (ko) * 2020-03-11 2020-09-18 주식회사 시큐아이 무선 침입 방지 시스템, 이를 포함하는 무선 네트워크 시스템 및 무선 네트워크 시스템의 작동 방법
US20210036988A1 (en) * 2019-07-29 2021-02-04 Cable Television Laboratories, Inc Systems and methods for obtaining permanent mac addresses
KR20210015088A (ko) * 2019-07-31 2021-02-10 주식회사 엘지유플러스 단말과 액세스 포인트의 연결 방법
KR102359801B1 (ko) * 2021-06-02 2022-02-09 주식회사 시큐아이 무선 침입 방지 시스템 및 그 동작 방법

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20160135053A1 (en) * 2014-11-10 2016-05-12 Qualcomm Incorporated Wi-fi privacy in an access point using media access control address randomization
KR20170062301A (ko) * 2015-11-27 2017-06-07 삼성전자주식회사 무선 침입 방지 시스템에서의 접속 차단 방법 및 장치
US20210036988A1 (en) * 2019-07-29 2021-02-04 Cable Television Laboratories, Inc Systems and methods for obtaining permanent mac addresses
KR20210015088A (ko) * 2019-07-31 2021-02-10 주식회사 엘지유플러스 단말과 액세스 포인트의 연결 방법
KR102157661B1 (ko) * 2020-03-11 2020-09-18 주식회사 시큐아이 무선 침입 방지 시스템, 이를 포함하는 무선 네트워크 시스템 및 무선 네트워크 시스템의 작동 방법
KR102359801B1 (ko) * 2021-06-02 2022-02-09 주식회사 시큐아이 무선 침입 방지 시스템 및 그 동작 방법

Also Published As

Publication number Publication date
KR102359801B1 (ko) 2022-02-09
CN117397271A (zh) 2024-01-12

Similar Documents

Publication Publication Date Title
WO2017091047A1 (ko) 무선 침입 방지 시스템에서의 접속 차단 방법 및 장치
WO2021182667A1 (ko) 무선 침입 방지 시스템, 이를 포함하는 무선 네트워크 시스템 및 무선 네트워크 시스템의 작동 방법
WO2022255619A1 (ko) 무선 침입 방지 시스템 및 그 동작 방법
WO2014081205A1 (ko) 불법 ａｐ 검출 시스템 및 그의 검출 방법
WO2014189262A1 (en) User terminal authentication method of access point apparatus
WO2017086613A1 (ko) 스마트 기기의 도난 방지 장치
EP1554837A2 (en) System and method for remotely monitoring wirless networks
WO2015080495A1 (ko) 무선통신 시스템에서 어플리케이션 인지 qos 차별화된 단말 대 단말 간 통신 방법 및 장치
WO2005081460A1 (ja) 不正無線局検出システム、それに用いる装置及びその方法
WO2015034241A1 (en) Method and system for configuring smart home gateway firewall
WO2014109467A1 (ko) 무선랜 네트워크에 기반한 정보 제공 방법 및 장치
WO2018000674A1 (zh) 网络连接方法、网络连接装置和终端
WO2021261883A1 (ko) 무선 공유기를 이용한 몰래 카메라 탐지 방법 및 그 시스템
WO2017026840A1 (ko) 인터넷 연결 장치, 중앙 관리 서버 및 인터넷 연결 방법
CN106878992B (zh) 无线网络安全检测方法和系统
WO2019231215A1 (ko) 단말 장치 및 이에 의한 악성 ａｐ의 식별 방법
WO2023017952A1 (ko) 센싱 장치, 센싱 장치를 포함하는 무선 침입 방지 시스템 및 그것의 동작 방법
WO2018000790A1 (zh) 移动终端的小区重选方法、小区重选装置及移动终端
WO2016159396A1 (ko) 윕스 센서 및 이를 이용한 단말 차단 방법
WO2016190663A1 (ko) 홈 네트워크 시스템에서의 보안 관리 장치 및 보안 관리 방법
WO2013089396A1 (ko) 유무선 통합시스템에서 실시간 침입차단 방법
WO2024029658A1 (ko) 네트워크에서의 접근 통제 시스템 및 그 방법
WO2020189871A1 (ko) Iot 디바이스의 인터넷 접근 제어를 위한 장치 및 이를 위한 방법
WO2019182219A1 (ko) 블록체인기반의 신뢰 네트워크 시스템
WO2013172587A1 (ko) 클라우드 센서 네트워크를 이용한 지능형 무선침입방지 시스템 및 센서

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22816282

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2023574116

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE