WO2022265265A1 - 유무선 네트워크의 불법 디바이스 검출 및 차단 방법과 장치 - Google Patents

유무선 네트워크의 불법 디바이스 검출 및 차단 방법과 장치 Download PDF

Info

Publication number
WO2022265265A1
WO2022265265A1 PCT/KR2022/007705 KR2022007705W WO2022265265A1 WO 2022265265 A1 WO2022265265 A1 WO 2022265265A1 KR 2022007705 W KR2022007705 W KR 2022007705W WO 2022265265 A1 WO2022265265 A1 WO 2022265265A1
Authority
WO
WIPO (PCT)
Prior art keywords
illegal
blocking
wired
mac
devices
Prior art date
Application number
PCT/KR2022/007705
Other languages
English (en)
French (fr)
Inventor
조학래
서수덕
차윤철
김성환
Original Assignee
주식회사 이너트론
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 이너트론 filed Critical 주식회사 이너트론
Priority to JP2023577733A priority Critical patent/JP2024523378A/ja
Publication of WO2022265265A1 publication Critical patent/WO2022265265A1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/10—Current supply arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/10—Mapping addresses of different types
    • H04L61/103—Mapping addresses of different types across network layers, e.g. resolution of network layer into physical layer addresses or address resolution protocol [ARP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/34—Network arrangements or protocols for supporting network services or applications involving the movement of software or configuration parameters 
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]

Definitions

  • the present invention relates to a system for detecting illegal devices that are not allowed, such as illegal cameras, and more particularly, illegal devices in wired and wireless networks that can block illegal devices when they are detected while monitoring devices in wired and wireless networks. It relates to detection and blocking methods and devices.
  • the HMM model application prediction unit performs prediction by applying an HMM model using a state transition probability matrix A, an emission probability B, and an initial state probability vector ⁇
  • an illegal device blocking unit performs traffic Illegal hidden cameras are blocked in real time by using device load according to analysis and current amount
  • illegal video judgment unit confirms illegal video through packet analysis.
  • an intrusion detection sensor detects packets suspected of external or internal attacks
  • an intrusion detection AP detects an attack from all APs in the wireless LAN. It manages generated AP-generated frames, and after the threat management server extracts frames included in packets suspected of being attacked, it checks whether or not the extracted frames exist in AP-generated frames to determine whether or not the packet is an attack.
  • the prior art illegal hidden camera blocker and wireless LAN intrusion detection technology detects illegal images by monitoring the transmission packets of the captured images or inspects the frames included in the transmission packets, so it detects and blocks illegal devices in advance. There are problems with not being able to do it.
  • the present invention has been proposed to solve the above problems, and an object of the present invention is to detect illegal devices that are not allowed while monitoring device information in wired and wireless networks, and block the illegal devices in advance before illegal acts occur. It is to provide a method and device for detecting and blocking illegal devices in a wired/wireless network that can be used.
  • An embodiment of the present invention discloses an apparatus for detecting and blocking illegal devices in a wired/wireless network.
  • the disclosed device for detecting and blocking illegal devices includes a network connection unit for obtaining a MAC address by accessing a network to be monitored and blocking a device with the corresponding MAC address according to a control command, and a MAC of illegal devices. It receives the MAC addresses of the devices connected to the network to be monitored through the storage means for storing the addresses in the MAC list and the network connection unit, and compares them with the MAC addresses of the MAC list for illegal devices. and a control unit for controlling the network connection unit to block transmission of the illegal device through the network connection unit when an illegal device is detected.
  • the apparatus for detecting and blocking illegal devices may further include an input/output unit for communicating with a control server or an external host device, and the control unit collects packet IP/MAC addresses of devices connected to the monitoring target network through the network connection unit.
  • a pattern information collection unit an illegal device detection unit that detects an illegal device by comparing the MAC addresses of the collected devices with the MAC addresses registered in the MAC list of the storage means, and if an illegal device is detected by the illegal device detection unit, the corresponding illegal device is detected.
  • It may include an illegal device blocker for blocking devices from the network, and an input/output control unit for updating the MAC list of the storage means by communicating with a control server through the input/output unit.
  • the apparatus for detecting and blocking illegal devices in the wired/wireless network determines the MAC addresses of devices connected to the network to be monitored and transmits the MAC addresses of the suspected devices to the control server if the device is determined to be a suspicious device, and the control server receives the MAC address of the suspicious device, determines whether the suspicious device is an illegal device, and if it is determined to be an illegal device, sends a blocking command to block transmission of the illegal device to the corresponding illegal device detection and blocking device,
  • the MAC list is updated if necessary.
  • the network access unit transmits an ARP request to the wired LAN to be monitored, and then transmits an ARP response packet to the MAC from the updated ARP table.
  • the control unit receives MAC addresses of devices connected to the wired network through the wired network connection unit and compares them with the MAC addresses of the MAC list.
  • the control server is notified, and when a blocking command is received as a text message from the control server, transmission of the illegal device is blocked by ARP spoofing through the wired network connection unit.
  • the network connection unit is a wireless network connection unit for obtaining MAC addresses of devices existing in a wireless LAN (LAN) to be monitored in a monitor mode and blocking illegal devices, and the controller After operating the wireless network connection unit in monitor mode, the MAC address received from the wireless network connection unit is compared with the MAC address of the MAC list, and if an illegal device is detected, the control server is notified; When a blocking command is received as a text message (SMS) from the control server, a de-authentificate packet is transmitted through the wireless network connection unit to block transmission of the illegal device.
  • SMS text message
  • Another embodiment of the present invention discloses a method for detecting and blocking an illegal device in a wired/wireless network.
  • the disclosed illegal device detection and blocking method comprises the steps of acquiring a MAC address of an illegal device detection and blocking terminal existing in a network to be monitored, and a MAC address in which the illegal device detection and blocking terminal has obtained MAC address stored. Detecting an illegal device by comparing it with the MAC address of the list (MAC list), and if an illegal device is detected, detecting and blocking the illegal device, the terminal notifies the control server, and sends a blocking command from the control server as a text message receiving and blocking the transmission of the illegal device.
  • the illegal device detection and blocking terminal obtains a MAC address existing in the wired network to be monitored through an ARP request, and notifies the control server when an illegal device is detected, When a blocking command is received as a text message from the control server, transmission of the illegal device is blocked through ARP spoofing.
  • the illegal device detection and blocking terminal operates in a monitor mode to obtain a MAC address existing in the wireless network to be monitored, and when an illegal device is detected, it notifies the control server, and from the control server When a block command is received as a text message, a de-authentificate packet is transmitted to the wireless network to block transmission of the illegal device.
  • Another embodiment of the present invention discloses an apparatus for detecting and blocking illegal devices in a wired/wireless network.
  • the disclosed apparatus for detecting and blocking illegal devices includes a wired network connection unit for acquiring a MAC address of a device present in a wired LAN to be monitored, and a MAC of a device present in a wireless LAN to be monitored.
  • a wireless network connection unit for obtaining an address a mobile communication network connection unit for communicating with a control server through a mobile communication network, a storage means for storing a MAC list and firmware, and a wired connection through the wired network connection unit It receives MAC addresses of devices connected to the network, receives MAC addresses of devices connected to the wireless network through the wireless network connection unit, monitors devices connected to the wired/wireless network, and detects illegal MAC addresses. When it is detected, it is transmitted to the control server through the mobile communication network connection unit, and when a text command is received through the mobile communication network connection unit, a control unit decodes it and processes the corresponding text command.
  • the control unit communicates with the control server through the mobile communication network connection unit, and when a text command is received, an input/output control unit that interprets and executes the corresponding text command, and ARP to all IP addresses belonging to the subnet of the wired LAN to be monitored through the network connection unit.
  • a packet pattern information collection unit that transmits requests, receives ARP response packets from devices connected to the wired LAN, updates the ARP table, and collects the MAC addresses of nearby WiFi devices while operating in monitor mode; and ARP Wired illegal devices are detected by comparing the MAC address of the wired LAN collected through the response packet with the MAC address registered in the MAC list of the storage means, and the MAC address of the wireless LAN collected in the monitor mode is registered in the MAC list of the storage means. If a wired illegal device or a wireless illegal device is detected, an illegal device detection unit that reports it to the control server through the input/output control unit, and a blocking command is issued from the control server through the input/output control unit. When received, an illegal device blocking unit blocks data transmission of illegal wired devices through an ARP spoofing function or transmits a de-Authentificate packet to block the operation of illegal wireless devices.
  • the input/output control unit interprets the text command, transmits it to the illegal device blocking unit if it is a wired/wireless blocking command, updates the MAC list of the storage unit if it is a MAC list update command, and if it is a firmware update command Updating the firmware of the storage means.
  • an illegal device detection and blocking terminal can be connected to a wired/wireless internal network to detect an unauthorized wired/wireless signal to block an illegal device before an illegal activity, and can be used to block an illegal device through an operator's mobile communication network, a military communication network, and a wireless communication network. It can be applied to the security of various wired/wireless communication networks such as communication networks.
  • the location of an illegal device can be tracked using signal strength.
  • FIG. 1 is a block diagram of an apparatus for detecting and blocking illegal devices according to the present invention
  • FIG. 2 is a flowchart of a method for detecting and blocking illegal devices according to the present invention
  • FIG. 3 is a schematic diagram showing an illegal device detection and blocking system according to an embodiment of the present invention.
  • FIG. 4 is a block diagram showing the configuration of an illegal device detection terminal according to an embodiment of the present invention.
  • FIG. 5 is a diagram showing an example of operation of an illegal camera in a network environment to which an embodiment of the present invention is applied;
  • FIG. 6 is a diagram for explaining a wireless illegal camera detection method according to an embodiment of the present invention.
  • FIG. 7 is a diagram for explaining a wireless illegal camera blocking method according to an embodiment of the present invention.
  • FIG. 8 is a diagram for explaining a wired illegal camera detection method according to an embodiment of the present invention.
  • FIG. 9 is a diagram for explaining a method of blocking illegal wired cameras according to an embodiment of the present invention.
  • FIG. 10 is a flowchart illustrating the overall operation of an illegal device detection and blocking system according to an embodiment of the present invention
  • FIG. 11 is a schematic diagram showing an example in which an illegal device detection and blocking system according to an embodiment of the present invention is configured as an external network;
  • FIG. 12 is a schematic diagram illustrating an example in which an illegal device detection and blocking system according to an embodiment of the present invention is configured as a closed network.
  • FIG. 1 is a block diagram of an apparatus for detecting and blocking illegal devices according to the present invention.
  • the apparatus 100 for detecting and blocking illegal devices of the present invention is composed of a network connection unit 110, a storage unit 120, and a control unit 130.
  • the network connection unit 110 accesses a network to be monitored, obtains a MAC address, and blocks a device with the corresponding MAC address according to a control command. stores MAC addresses of illegal devices as a MAC list.
  • the storage means includes volatile memory such as RAM (Random Access Memory), ROM (Read Only Memory), EPROM (Erasable Programmable ROM), EEPROM (Electrically Erasable Programmable ROM), EEPROM (Electrically Erasable Programmable ROM), non-volatile memory such as flash memory, hard disk, removable disk, Alternatively, it may be configured to include any type of computer-readable recording medium well known in the art to which the present invention pertains.
  • volatile memory such as RAM (Random Access Memory), ROM (Read Only Memory), EPROM (Erasable Programmable ROM), EEPROM (Electrically Erasable Programmable ROM), EEPROM (Electrically Erasable Programmable ROM), non-volatile memory such as flash memory, hard disk, removable disk, Alternatively, it may be configured to include any type of computer-readable recording medium well known in the art to which the present invention pertains.
  • the MAC list is a block list in which MAC addresses of illegal devices corresponding to a black list are stored when devices are managed with a black list and a white list.
  • the control unit 130 receives MAC addresses of devices connected to the monitoring target network through the network connection unit 110 and compares them with the MAC addresses of the MAC list of the storage unit 120 to detect illegal devices, When an illegal device is detected, the control server is notified through the mobile communication unit, and after receiving a blocking command as a text message (MMS, SMS, etc.) from the control server, transmission of the illegal device is blocked through the network connection unit 110.
  • the controller 130 includes a central processing unit (CPU), a micro processor unit (MPU), a micro controller unit (MCU), a graphic processing unit (GPU), or any type of processor well known in the art of the present invention. It can be.
  • FIG. 2 is a flowchart of a method for detecting and blocking illegal devices according to the present invention.
  • a 'MAC list' predicted to be an illegal device is obtained and recorded in the storage unit 120.
  • the device for detecting and blocking illegal devices collects packets existing in the monitoring target network and extracts MAC addresses.
  • the illegal device detection and blocking device compares the extracted MAC address with the MAC address of the stored MAC list to detect the illegal device.
  • the illegal device detection and blocking device transmits the illegal device information (MAC address, detection distance, etc.) detected using the mobile communication network to the control server, and the control server sends text messages (MMS, SMS) Using , the illegal device blocking command is transmitted to the illegal device detection and blocking device.
  • the illegal device information MAC address, detection distance, etc.
  • the illegal device detection and blocking device blocks transmission of the corresponding illegal device.
  • FIG. 3 is a schematic diagram illustrating an illegal device detection and blocking system according to an embodiment of the present invention.
  • the illegal device detection and blocking system is installed in a wireless LAN (LAN) 10 and a wired LAN (LAN) 20 environment and through a mobile communication network (30).
  • An illegal device detection terminal 100 connected to the control server 200 and detecting illegal devices present in the wireless LAN 10 and the wired LAN 20 to block the connection, and distributedly installed illegal devices It may be configured as a control server 200 for comprehensively managing device detection and blocking terminals 100 .
  • a wired LAN (LAN) 20 is a LAN (Local Area Network) connected through a cable and operates according to an Ethernet or IEEE 802.3 protocol. Legitimate wired terminals are connected to the wired LAN, and an illegal wired device 60, which is a monitoring target in the present invention, can also be connected.
  • LAN Local Area Network
  • a wireless LAN (LAN) 10 is a wireless LAN connected in a wireless manner, operates according to the IEEE 802.11 protocol, and is also called WiFi.
  • Legal wireless terminals are connected to the wireless LAN, and illegal wireless devices 50, which are monitoring targets in the present invention, can also be connected.
  • the mobile communication network 30 is a 3G, 4G (LTE), 5G communication network that can access a mobile terminal such as a mobile phone or smartphone through a base station 31, and can identify a subscriber through a USIM chip, and when used, A predetermined communication cost is charged by
  • the control server 200 may be connected to the illegal device detection and blocking terminal 100 through the mobile communication network 30 .
  • the illegal device detection and blocking terminal 100 is installed in a wired LAN 20 and a wireless LAN 10 environment and is connected to the control server 200 through the mobile communication network 30 to be connected to the wired LAN ) (20) and wireless LAN (LAN) 10 detect illegal devices, report them to the control server 200, and block the illegal devices according to the blocking command of the control server 200.
  • an illegal device is a device recorded in the MAC list, and after requesting a decision by transmitting the MAC address of the corresponding device to the control server 200, if it is found to be an illegal device and a blocking command is received, the corresponding device block
  • the terminal 100 monitors illegal devices in a monitor mode and blocks illegal devices according to a command of the control server 200 .
  • the monitor mode is a wireless LAN (LAN) operation mode in which all wireless frames received through an antenna can be collected even if the WiFi terminal is not connected to an AP.
  • LAN wireless LAN
  • the illegal device detection and blocking terminal 100 scans the network and transmits the MAC address, detection distance, etc. to the control server 200 so that it can be registered in the DB 200a.
  • the control server 200 has a database 200a, and in the database 200a, a version file storing the firmware (F/W) version of the illegal device detection and blocking terminal 100 and version information of the MAC list, and , MAC list, and firmware (F/W) data are stored.
  • the control server 200 receives users who have installed the illegal device detection and blocking terminal 100 as members and registers the installation location of the illegal device detection and blocking terminal 100 and various information in the database 200a. That is, the control server 200 has a device selection function, an installation location input and map display function, a searched MAC list display function, a blocking function of registering and updating a MAC list when blocking after checking the suspicious device MAC list, and a version file and firmware file, upload function for MAC list file, etc., and can provide an administrator mode screen, member information management screen, member device management screen, etc. Sensitivity, data amount, and suspicion are recorded in the search MAC list.
  • the suspicious device means a device suspected of being an illegal device that is determined by the illegal device detection and blocking terminal 100 according to a predetermined procedure, and the control server 200 reports the illegal device detection and blocking terminal 100. If the suspicious devices are finally determined to be illegal devices, the suspicious devices can be registered in the MAC list and blocked.
  • control server 200 is configured to transmit a text command to the corresponding illegal device detection and blocking terminal 100 through a text message (MMS) command as shown in Table 1 below.
  • MMS text message
  • FIG. 4 is a block diagram showing the configuration of an illegal device detection and blocking terminal according to an embodiment of the present invention.
  • the illegal device detection and blocking terminal 100 includes a network connection unit 110 composed of a wireless network connection unit 112 and a wired network connection unit 114, and packet pattern information.
  • a control unit 130 composed of a collection unit 131, an illegal device detection unit 132, an illegal device blocking unit 133, an input/output control unit 134, a storage unit 120 in which a MAC list 122 is stored, , It consists of an input/output unit 140 consisting of a control server input/output unit 141 and a device input/output unit 142.
  • the wired network connection unit 114 accesses a wired LAN 20 to be monitored and acquires MAC addresses of devices existing in the wired network.
  • the wireless network connection unit 112 is for accessing a monitoring target wireless LAN (LAN) 10 and acquiring MAC addresses of devices existing in the wireless network.
  • LAN monitoring target wireless LAN
  • the packet pattern information collection unit 131 transmits an ARP request to all IP addresses belonging to the subnet of the wired LAN 20 to be monitored through the wired network connection unit 114, and sends ARP response packets from devices connected to the wired LAN.
  • the ARP table is updated upon reception, and MAC addresses of neighboring WiFi devices are collected without access to an AP while operating in a monitor mode through the wireless network connection unit 112.
  • the illegal device detection unit 132 detects the wired illegal device 60 by comparing the MAC address of the wired LAN collected through the ARP response packet with the MAC address registered in the MAC list 122 of the storage means, and collects in the monitor mode
  • the wireless illegal device 50 is detected by comparing the MAC address of the wireless LAN with the MAC address registered in the MAC list 122 of the storage means.
  • the illegal device blocking unit 133 blocks data transmission of the illegal wired device through an ARP spoofing function.
  • ARP spoofing refers to an attack method in which information of a PC and a server is intercepted in the middle by disguising the MAC address of a PC as the MAC address of another PC existing on the same network.
  • de-authentification is to block a device using a separation (disassociation) frame (subtype: 1010) or a deauthentication (deauthentication) frame (subtype: 1100), which is a kind of management frame of 802.11.
  • the input/output control unit 134 communicates with the control server 200 through the control server input/output unit 141 to process operations such as updating the MAC list 122 of the storage means 120 or updating the firmware.
  • the input/output controller 134 transfers illegal device information to the control server 200 through the control server input/output unit 141, and when a character is received through the control server input/output unit 141, the corresponding Process text commands.
  • a MAC list update letter is received, a MAC list is retrieved from the control server 200 and a blocking operation is performed.
  • MAC list data or firmware data is received and updated.
  • the control server input/output unit 141 is a communication means for communicating with the control server 200, and in an embodiment of the present invention, it can communicate with the control server 200 through the mobile communication network 30.
  • transmission to the control server 200 using the mobile communication network 30 to reduce communication costs is performed by opening and using data communication only when an illegal device is found, and closing data communication after transmission.
  • data communication starts from the terminal 100 side, so if there is information to be transmitted from the control server side as shown in Table 1 discussed above, the corresponding command is transmitted in the form of a text message (SMS, MMS) through the mobile communication network 30, , Illegal device detection and blocking
  • SMS text message
  • FIG. 5 is a diagram illustrating an operation example of an illegal camera in a network environment to which an embodiment of the present invention is applied.
  • wireless illegal cameras 50-1 and 50-2 are connected to an access point 11 through a wireless LAN 10 and
  • the illegal camera 60-1 is connected to the gateway 21 through a wired LAN 20, and the illegal device detection and blocking terminal 100 is connected to the wired and wireless networks 10 and 20 and the mobile communication network 30, ,
  • the control server 40 and the illegal device viewing device 70 are connected through the Internet 40.
  • the illegal video taken by the wireless illegal cameras 50-1 and 50-2 is transmitted to the AP 11 through the wireless LAN 10. Then, the illegal video transmitted to the AP 11 is transmitted to the illegal video viewing terminal 70 through the Internet 40 .
  • the illegal video captured by the wired illegal camera 60-1 is transmitted to the gateway 21 through the wired LAN 20 and transmitted to the illegal video viewing terminal 70 through the Internet 40. Accordingly, it is possible to watch an illegal video on the illegal video viewing device 70 .
  • FIG. 6 is a diagram for explaining a wireless illegal camera detection method according to an embodiment of the present invention
  • FIG. 7 is a diagram for explaining a wireless illegal camera blocking method according to an embodiment of the present invention.
  • the illegal device detection and blocking terminal 100 switches to the monitoring mode, receives wireless packets of devices connected to the wireless LAN 10, extracts MAC addresses, compares them with the MAC addresses of the MAC list, and compares wireless illegal devices.
  • the cameras 50-1 and 50-2 are detected, and when the wireless illegal cameras 50-1 and 50-2 are detected, a de-Authentificate packet is sent to the wireless LAN 10 as shown in FIG. ) is transmitted to block the wireless illegal cameras 50-1 and 50-2 from accessing the access point 11.
  • FIG. 8 is a diagram for explaining a wired illegal camera detection method according to an embodiment of the present invention
  • FIG. 9 is a diagram for explaining a wired illegal camera blocking method according to an embodiment of the present invention.
  • the illegal device detection and blocking terminal 100 requests an ARP request from the wired LAN 20, receives ARP replies from devices connected to the wired LAN 20, extracts a MAC address, and selects the MAC address of the MAC list.
  • the wired illegal camera 60-1 is detected by comparing the address, and when the wired illegal camera 60-1 is detected, an ARP Reply (spoofing) packet is transmitted to the wired LAN 20 as shown in FIG. An illegal camera 60-1 is blocked from accessing the gateway.
  • FIG. 10 is a flowchart illustrating the overall operation of an illegal device detection and blocking system according to an embodiment of the present invention.
  • a user who has installed an illegal device detection and blocking terminal 100 registers as a member of the control server 200 and identifies an installation location of the illegal device detection and blocking terminal 100 .
  • Various types of information (product serial number, etc.) are registered, and various lists such as a MAC list, an AP list, and a firmware list are stored to perform initial setting (S101).
  • the illegal device detection and blocking terminal 100 operates the wired network connection unit 114 and the wireless network connection unit 112 to connect the wired/wireless LAN. Activate (S102).
  • the illegal device detection and blocking terminal 100 downloads the new firmware data or MAC list data of the control server 200 through the mobile communication network 30 and downloads the firmware or MAC list data.
  • the list can be updated (S104). If the firmware data is updated, the entire process is newly started through reboot.
  • the illegal device detection and blocking terminal 100 operates in a monitor (WiFi monitor) mode and receives wireless packets from devices connected to the wireless LAN 10 and receives the MAC After extracting the address, a wireless illegal device is detected by comparing with the MAC address of the MAC list, and when the wireless illegal device is detected, the corresponding information is transmitted to the control server 200 (S106 to S109).
  • the control server 200 registers it in the MAC list, generates an illegal device blocking command according to a predetermined procedure, and transmits the illegal device through a text message (MMS, SMS).
  • Device detection and blocking terminal 100, and illegal device detection and blocking terminal 100 receives the blocking command from the control server 200 as a text message (SMS), and then sends a de-Authentificate packet to the wireless LAN 10 is transmitted to block wireless illegal devices (S110 to S112).
  • SMS text message
  • the terminal 100 catches a MAC address in monitor mode, checks whether there are illegal devices in addresses 2 and 3 of the MAC header, and moves when an illegal device is detected.
  • the MAC address of the suspected device is transmitted to the control server 200 through the communication network 30 .
  • the illegal device detection and blocking terminal 100 refers to the subnet mask and sends an ARP request for all IPs in the local network (subnet), and then receives an ARP response packet ARP table is updated, and if an illegal device is detected by checking whether there is a wired illegal device in the MAC address of the updated ARP table, the MAC address of the suspected device is transmitted to the control server 200 through the mobile communication network 30 (S113 ⁇ S118).
  • the control server 200 registers it in the MAC list, generates a command to block the illegal device according to a predetermined procedure, and transmits the illegal device via text message (MMS, SMS). It is transmitted to the device detection and blocking terminal 100, and accordingly, the illegal device detection and blocking terminal 100 blocks the illegal wired device using ARP spoofing (S119 to S121).
  • control server 200 can generate a text (MMS or SMS) command as shown in Table 1 described above and transmit it to the corresponding illegal device detection and blocking terminal 100 through the mobile communication network 30, and the illegal device
  • a text (MMS, SMS) command is received
  • the detection and blocking terminal 100 may decode and process the text (MMS, SMS) command.
  • FIG. 11 is a schematic diagram illustrating an example in which an apparatus for detecting and blocking illegal devices according to an embodiment of the present invention is configured as an external network.
  • the embodiment of FIG. 11 connects the control server 200 to the external Internet to which multiple users can access, so that illegal device detection and blocking terminals 100 distributed in the internal network of each local network can be centrally integrated and managed. This is an example.
  • the internal network is composed of a wired LAN (LAN) 20 including a switch 21 and a wireless LAN (LAN) 10, and the external network is a normal Internet 40, and the internal network is It is connected to an external network through the gateway 21.
  • LAN wired LAN
  • LAN wireless LAN
  • a normal device (60G), a wired illegal camera (60-1), and a wired illegal device (60-2) are installed in the wired LAN (20) of the internal network, and the wireless LAN (10 ), a wireless illegal camera 50-1 and a wireless illegal device 50-3 are installed, and a wireless LAN (LAN) 10 is connected to the switch 21 through the AP 11.
  • the illegal device detection and blocking terminal 100 is installed in the internal network so that it can access both the wired LAN 20 and the wireless LAN 10, and the control server 200 allows multiple users to access. It is connected to the Internet 40 of an external network so that it can be accessed. In addition, the control server 200 stores information on MAC addresses of normal users and MAC addresses of illegal devices in the database 200a.
  • the terminal 100 checks the MAC list version and the firmware version and performs a series of MAC list update procedures and firmware update procedures.
  • the illegal device detection and blocking terminal 100 After the illegal device detection and blocking terminal 100 completes the version update procedure, the illegal device detection and blocking procedure on the wired LAN (LAN) 20 and the illegal device detection and blocking procedure on the wireless LAN (LAN) 10 Carry out blocking procedures.
  • the illegal device detection and blocking terminal 100 makes an ARP request for all IPs in the subnet of the wired LAN 20 with reference to the subnet mask
  • the ARP table is updated, and if an illegal device is detected in the MAC address of the updated ARP table, the MAC address of the suspected device is transmitted to the control server 200.
  • the control server 200 When receiving the MAC address of the suspicious device, the control server 200 registers it in the MAC list and transmits a MAC list update text command to the corresponding illegal device detection and blocking terminal 100 to block the illegal device. Accordingly, the corresponding illegal device detection and blocking terminal 100 blocks illegal devices using ARP spoofing.
  • the control server 200 may transmit various management information and operation information about illegal devices to the user's mobile terminal 80 using the Internet 40 or mobile communication network 30 of an external network.
  • the illegal device detection and processing terminal 100 looks at the illegal device detection and blocking procedure on the wireless LAN, the illegal device detection and processing terminal 100 operates WiFi in the monitor mode, catches the MAC address, and then assigns address 2 and address 3 of the MAC header. If an illegal device is detected by checking whether there is an illegal device, the MAC address of the suspected device is transmitted to the control server 200 .
  • the control server 200 When receiving the MAC address of the suspicious device, the control server 200 registers it in the MAC list and transmits a MAC list update text command to the corresponding illegal device detection and blocking terminal 100 to block the illegal device. Accordingly, the illegal device detection and blocking terminal 100 transmits a de-Authentificate packet to block the operation of the illegal device.
  • control server 200 by installing the control server 200 in an external network, it is possible to centrally manage illegal device detection and blocking terminals 100 of various users distributed in the internal network of each local network. there is.
  • FIG. 12 is a schematic diagram illustrating an example in which an apparatus for detecting and blocking illegal devices according to an embodiment of the present invention is configured as a closed network. That is, FIG. 12 is an example in which an internal network operator installs the control server 200 operated by the internal network operator in the internal network and manages the illegal device detection and blocking terminal 100 installed in the internal network in a closed manner.
  • the internal network is composed of a wired LAN (LAN) 20 including a switch 21 and a wireless LAN (LAN) 10, and the external network is a normal Internet 40, and the internal network is It is connected to an external network through the gateway 21.
  • LAN wired LAN
  • LAN wireless LAN
  • a normal device (60G), a wired illegal camera (60-1), and a wired illegal device (60-2) are installed in the wired LAN (20) of the internal network, and the wireless LAN (10 ), a wireless illegal camera 50-1 and a wireless illegal device 50-3 are installed, and a wireless LAN (LAN) 10 is connected to the switch 21 through the AP 11.
  • the illegal device detection and blocking terminal 100 is installed in the internal network so that it can access both the wired LAN 20 and the wireless LAN 10, and the control server 200 can only access the internal network.
  • the firmware update server 300 for upgrading the firmware of the illegal device detection and blocking terminal 100 is connected to the Internet 40 of the external network.
  • the firmware update server 300 can be operated by a manufacturer of terminals for detecting and blocking illegal devices, and information on the MAC addresses of normal users and MAC addresses of illegal devices is stored in the DB 200a of the control server 200. has been
  • communication between the illegal device detection and blocking terminal 100 and the control server 200 may be performed through the mobile communication network 30 .
  • control server 200 is connected to the internal network to manage the illegal device detection and blocking terminal 100 of the internal network in a closed manner, and the version of the MAC list is upgraded through the control server 200 of the internal network.
  • firmware version management is upgraded through the firmware update server 300 of the external network
  • the operation between the illegal device detection and blocking terminal 100 and the control server 200 is installed in the external network of FIG. Since it is the same as the example, further description will be omitted.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Technology Law (AREA)
  • Power Engineering (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

본 발명은 유선 및 무선 네트워크에서 불법 디바이스와 같이 허용되지 않은 불법 디바이스를 검출하여 차단시키는 유무선 네트워크의 불법 디바이스 검출 및 차단 방법과 장치를 개시한다. 개시된 불법 디바이스 검출 및 차단 장치는 감시대상 유선 랜(LAN)에 존재하는 디바이스의 맥(MAC) 어드레스를 획득하기 위한 유선 네트워크 접속부와, 감시대상 무선 랜(LAN)에 존재하는 디바이스의 맥(MAC) 어드레스를 획득하기 위한 위한 무선 네트워크 접속부와, 이동통신망을 통해 관제서버와 통신하기 위한 이동통신망 접속부와, 맥 리스트(MAC list)와 펌웨어를 저장하고 있는 저장수단과, 상기 유선 네트워크 접속부를 통해 유선 네트워크에 연결된 디바이스들의 맥(MAC) 어드레스를 입력받고, 상기 무선 네트워크 접속부를 통해 무선 네트워크에 연결된 디바이스들의 맥(MAC) 어드레스를 입력받아 유무선 네트워크에 연결된 디바이스들을 감시하고, 불법 맥(MAC) 어드레스가 검출되면 상기 이동통신망 접속부를 통해 관제서버에 전달하며, 상기 이동통신망 접속부를 통해 문자명령이 수신되면 이를 디코딩하여 해당 문자명령을 처리하는 제어부를 포함한다.

Description

유무선 네트워크의 불법 디바이스 검출 및 차단 방법과 장치
본 발명은 불법 카메라와 같이 허용되지 않은 불법 디바이스를 검출하는 시스템에 관한 것으로, 더욱 상세하게는 유선 및 무선 네트워크에서 디바이스를 감시하면서 허용되지 않은 디바이스가 검출되면 이를 차단시킬 수 있는 유무선 네트워크의 불법 디바이스 검출 및 차단 방법과 장치에 관한 것이다.
최근들어, 악의적인 목적으로 컴퓨터 주변기기에 스파이칩을 탑재하여 유,무선 백도어를 생성한 후 국가 기밀자료나 기업의 기술 및 영업 자료, 개인정보 등을 탈취하는 보안 문제가 이슈화되고 있고, 불법 카메라를 설치한 후 몰래 카메라 촬영을 하여 개인 프라이버시(privacy)를 침해하거나 불법 영상을 유포하는 행위가 사회문제로 대두되고 있다.
이러한 불법 행위를 예방하기 위한 종래기술로는 대한민국 특허청 공개특허공보에 공개번호 제10-2021-0009917호로 공개된 'AI 알고리즘 적용 불법 몰래카메라 실시간 차단 및 경보장치'가 있다. 상기 공개특허는 HMM 모델 적용 예측부가 상태 전이 확률 행렬(state transition probability) A, 관측 확률(emission probability) B, 초기 상태 확률 벡터π를 이용하는 HMM 모델을 적용하여 예측을 수행하고, 불법 기기 차단부가 트래픽 분석 및 전류량에 따른 기기 부하량을 이용하여 불법 몰래 카메라를 실시간으로 차단하며, 불법 영상 판단부가 패킷 분석으로 불법 영상을 확정하는 것이다.
또한 공개번호 제10-2014-0071776호로 공개된 "무선랜 침입 탐지방법 및 시스템"은 침입탐지센서가 외부 또는 내부로부터의 공격이 의심되는 패킷을 탐지하고, 침입탐지 AP가 무선 랜의 모든 AP에서 생성되는 AP 생성 프레임을 관리하며, 위협관리서버가 공격이 의심되는 패킷에 포함되는 프레임을 추출한 후 추출된 프레임이 AP 생성 프레임에 존재하는 프레임인지 여부를 검사하여 패킷의 공격 여부를 판단하는 것이다.
종래기술의 불법 몰래 카메라 차단장치와 무선 랜 침입 탐지 기술은 촬영된 영상의 전송 패킷을 모니터링하여 불법 영상을 탐지하는 방식이거나 전송 패킷에 포함된 프레임을 검사하는 방식이므로 불법 디바이스를 사전에 탐지하여 차단하지 못하는 문제점이 있다.
본 발명은 상기와 같은 문제점을 해결하기 위해 제안된 것으로, 본 발명의 목적은 유선 및 무선 네트워크에서 디바이스의 정보를 모니터링하면서 허용되지 않은 불법 디바이스를 검출하여 불법 행위 발생 전에 해당 불법 디바이스를 미리 차단시킬 수 있는 유무선 네트워크의 불법 디바이스 검출 및 차단 방법과 장치를 제공하는 것이다.
본 발명의 실시예는 유무선 네트워크에서 불법 디바이스 검출 및 차단 장치를 개시한다.
개시된 불법 디바이스 검출 및 차단 장치는 감시대상 네트워크에 접속하여 맥(MAC) 어드레스를 획득하고, 제어명령에 따라 해당 맥(MAC) 어드레스의 디바이스를 차단하기 위한 네트워크 접속부와, 불법 디바이스들의 맥(MAC) 어드레스를 맥 리스트(MAC list)로 저장하고 있는 저장수단과, 상기 네트워크 접속부를 통해 감시대상 네트워크에 연결된 디바이스들의 맥(MAC) 어드레스를 입력받아 상기 맥 리스트의 맥(MAC) 어드레스와 비교하여 불법 디바이스를 검출하고, 불법 디바이스가 검출되면 상기 네트워크 접속부를 통해 해당 불법 디바이스의 전송을 차단시키도록 상기 네트워크 접속부를 제어하는 제어부를 포함한다.
상기 불법 디바이스 검출 및 차단 장치는 관제서버나 외부 호스트 장치와 통신하기 위한 입출력부를 더 포함할 수 있고, 상기 제어부는 상기 네트워크 접속부를 통해 감시 대상 네트워크에 접속된 디바이스들의 IP/MAC 주소를 수집하는 패킷 패턴정보 수집부와, 수집된 디바이스들의 MAC 주소를 저장수단의 맥 리스트에 등록된 MAC 주소와 비교하여 불법 디바이스를 검출하는 불법 디바이스 검출부와, 상기 불법 디바이스 검출부에 의해 불법 디바이스가 검출되면, 해당 불법 디바이스를 네트워크에서 차단하는 불법 디바이스 차단부와, 상기 입출력부를 통해 관제서버와 통신하여 상기 저장수단의 맥 리스트를 갱신하는 입출력 제어부를 포함할 수 있다.
상기 유무선 네트워크의 불법 디바이스 검출 및 차단 장치는 감시대상 네트워크에 연결된 디바이스들의 맥(MAC) 어드레스를 판별하여 의심 디바이스로 판단되면 해당 의심 디바이스의 맥(MAC) 어드레스를 관제서버로 전송하고, 상기 관제서버는 의심 디바이스의 맥(MAC) 어드레스를 전송받으면 해당 의심 디바이스가 불법 디바이스인지를 판단하여 불법 디바이스로 판단되면 해당 불법 디바이스의 전송을 차단시키기 위한 차단명령을 해당 불법 디바이스 검출 및 차단 장치로 전송하며, 필요시 상기 맥 리스트를 갱신시키는 것이다.
상기 네트워크가 유선 네트워크이면, 상기 네트워크 접속부는 감시대상 유선 랜(LAN)에 에이알피(ARP) 리퀘스트를 전송한 후 에이알피(ARP) 응답 패킷을 통해 업데이트된 에이알피(ARP) 테이블로부터 맥(MAC) 어드레스를 획득하기 위한 유선 네트워크 접속부이고, 상기 제어부는 상기 유선 네트워크 접속부를 통해 유선 네트워크에 연결된 디바이스들의 맥(MAC) 어드레스를 입력받아 상기 맥 리스트(MAC list)의 맥(MAC) 어드레스와 비교하여 불법 디바이스가 검출되면 관제서버에 통보하고, 관제서버로부터 차단명령을 문자메시지로 수신하면 상기 유선 네트워크 접속부를 통해 에이알피(ARP) 스푸핑으로 해당 불법 디바이스의 전송을 차단시키는 것이다.
상기 네트워크가 무선 네트워크이면, 상기 네트워크 접속부는 모니터모드에서 감시대상 무선 랜(LAN)에 존재하는 디바이스들의 맥(MAC) 어드레스를 획득하고, 불법 디바이스를 차단하기 위한 무선 네트워크 접속부이고, 상기 제어부는 상기 무선 네트워크 접속부를 모니터 모드로 동작시킨 후 상기 무선 네트워크 접속부로부터 맥(MAC) 어드레스를 입력받아 상기 맥 리스트(MAC list)의 맥(MAC) 주소와 비교하여 불법 디바이스를 검출하면 관제서버에 통보하고, 관제서버로부터 차단명령을 문자메시지(SMS)로 수신하면 상기 무선 네트워크 접속부를 통해 인증해제패킷(de-Authentificate packet)을 전송하여 해당 불법 디바이스의 전송을 차단시키는 것이다.
또한 본 발명의 다른 실시예는 유무선 네트워크에서 불법 디바이스 검출 및 차단 방법을 개시한다.
개시된 불법 디바이스 검출 및 차단 방법은, 불법 디바이스 검출 및 차단 단말이 감시대상 네트워크에 존재하는 맥(MAC) 어드레스를 획득하는 단계와, 불법 디바이스 검출 및 차단 단말이 획득된 맥(MAC) 어드레스를 저장된 맥 리스트(MAC list)의 맥(MAC) 어드레스와 비교하여 불법 디바이스를 검출하는 단계와, 불법 디바이스가 검출되면, 불법 디바이스 검출 및 차단 단말이 관제서버에 통보하고, 관제서버로부터 차단명령을 문자메시지로 수신하여 해당 불법 디바이스의 전송을 차단하는 단계를 포함한다.
상기 네트워크가 유선 네트워크이면, 상기 불법 디바이스 검출 및 차단 단말이 에이알피(ARP) 리퀘스트를 통해 감시대상 유선 네트워크에 존재하는 맥(MAC) 어드레스를 획득하고, 불법 디바이스가 검출되면 관제서버에 통보하고, 관제서버로부터 차단명령을 문자메시지로 수신하면 에이알피(ARP) 스푸핑을 통해 해당 불법 디바이스의 전송을 차단하는 것이다.
상기 네트워크가 무선 네트워크이면, 상기 불법 디바이스 검출 및 차단 단말이 모니터 모드로 동작하면서 감시대상 무선 네트워크에 존재하는 맥(MAC) 어드레스를 획득하고, 불법 디바이스가 검출되면 관제서버에 통보하고, 관제서버로부터 차단명령을 문자메시지로 수신하면 인증해제패킷(de-Authentificate packet)을 무선 네트워크에 전송하여 해당 불법 디바이스의 전송을 차단하는 것이다.
또한 본 발명의 다른 실시예는 유무선 네트워크에서 불법 디바이스 검출 및 차단 장치를 개시한다.
개시된 불법 디바이스 검출 및 차단 장치는, 감시대상 유선 랜(LAN)에 존재하는 디바이스의 맥(MAC) 어드레스를 획득하기 위한 유선 네트워크 접속부와, 감시대상 무선 랜(LAN)에 존재하는 디바이스의 맥(MAC) 어드레스를 획득하기 위한 위한 무선 네트워크 접속부와, 이동통신망을 통해 관제서버와 통신하기 위한 이동통신망 접속부와, 맥 리스트(MAC list)와 펌웨어를 저장하고 있는 저장수단과, 상기 유선 네트워크 접속부를 통해 유선 네트워크에 연결된 디바이스들의 맥(MAC) 어드레스를 입력받고, 상기 무선 네트워크 접속부를 통해 무선 네트워크에 연결된 디바이스들의 맥(MAC) 어드레스를 입력받아 유무선 네트워크에 연결된 디바이스들을 감시하고, 불법 맥(MAC) 어드레스가 검출되면 상기 이동통신망 접속부를 통해 관제서버에 전달하며, 상기 이동통신망 접속부를 통해 문자명령이 수신되면 이를 디코딩하여 해당 문자명령을 처리하는 제어부를 포함한다.
상기 제어부는 상기 이동통신망 접속부를 통해 관제서버와 통신하고, 문자명령이 수신되면 해당 문자명령을 해석하여 실행하는 입출력 제어부와, 상기 네트워크 접속부를 통해 감시 대상 유선 LAN에 서브넷에 속하는 모든 IP주소로 ARP 리퀘스트를 전송하고, 유선 LAN에 접속된 디바이스들로부터 ARP 응답 패킷을 수신받아 ARP 테이블을 업데이트하고, 모니터(Monitor) 모드로 동작하면서 주변 WiFi 디바이스들의 MAC 주소를 수집하는 패킷 패턴정보 수집부와, ARP 응답 패킷을 통해 수집된 유선 LAN의 MAC 주소와 저장수단의 맥 리스트에 등록된 MAC 주소를 비교하여 유선 불법 디바이스를 검출하고, 모니터 모드에서 수집된 무선 LAN의 MAC 주소를 저장수단의 맥 리스트에 등록된 MAC 주소와 비교하여 무선 불법 디바이스를 검출하며, 유선 불법 디바이스나 무선 불법 디바이스가 검출되면 상기 입출력 제어부를 통해 관제서버에 이를 보고하는 불법 디바이스 검출부와, 상기 입출력 제어부를 통해 관제서버로부터 차단명령이 수신되면, 에이알피 스푸핑(ARP spoofing) 기능을 통해 유선 불법 디바이스의 데이터 전송을 차단하거나 인증해제패킷(de-Authentificate packet)을 전송하여 무선 불법 디바이스의 동작을 차단하는 불법 디바이스 차단부를 포함한다.
상기 입출력 제어부는 문자명령이 수신되면 해당 문자명령을 해석하여 유/무선 차단 명령이면 상기 불법 디바이스 차단부에 이를 전달하고, 맥 리스트 갱신명령이면 상기 저장수단의 맥 리스트를 갱신하며, 펌웨어 갱신 명령이면 상기 저장수단의 펌웨어를 갱신하는 것이다.
본 발명의 실시예에 따르면, 불법 디바이스 검출 및 차단 단말을 유/무선 내부 네트워크에 연결하여 비인가 유/무선 신호를 탐지하여 불법 행위 이전에 불법 디바이스를 차단할 수 있고, 사업자 이동통신망, 군사 통신망, 무선 통신망 등 다양한 유/무선 통신망의 보안에 적용할 수 있다.
또한 본 발명의 실시예에 따르면, 불법 디바이스의 신호세기를 활용하여 위치를 추적할 수 있다.
도 1은 본 발명에 따른 불법 디바이스 검출 및 차단 장치의 블럭도,
도 2는 본 발명에 따른 불법 디바이스 검출 및 차단 방법의 순서도,
도 3은 본 발명의 실시예에 따른 불법 디바이스 검출 및 차단 시스템을 도시한 개략도,
도 4는 본 발명의 실시예에 따른 불법 디바이스 검출 단말의 구성을 도시한 블럭도,
도 5는 본 발명의 실시예가 적용되는 네트워크 환경에서 불법 카메라의 동작 예를 도시한 도면,
도 6은 본 발명의 실시예에 따른 무선 불법 카메라 검출 방법을 설명하기 위한 도면,
도 7은 본 발명의 실시예에 따른 무선 불법 카메라 차단 방법을 설명하기 위한 도면,
도 8은 본 발명의 실시예에 따른 유선 불법 카메라 검출 방법을 설명하기 위한 도면,
도 9는 본 발명의 실시예에 따른 유선 불법 카메라 차단 방법을 설명하기 위한 도면,
도 10은 본 발명의 실시예에 따른 불법 디바이스 검출 및 차단 시스템의 전체 동작을 도시한 순서도,
도 11은 본 발명의 실시예에 따른 불법 디바이스 검출 및 차단 시스템을 외부 망으로 구성한 예를 도시한 개략도,
도 12는 본 발명의 실시예에 따른 불법 디바이스 검출 및 차단 시스템을 폐쇄 망으로 구성한 예를 도시한 개략도이다.
본 발명과 본 발명의 실시에 의해 달성되는 기술적 과제는 다음에서 설명하는 본 발명의 바람직한 실시예들에 의하여 보다 명확해질 것이다. 다음의 실시예들은 단지 본 발명을 설명하기 위하여 예시된 것에 불과하며, 본 발명의 범위를 제한하기 위한 것은 아니다.
도 1은 본 발명에 따른 불법 디바이스 검출 및 차단 장치의 블럭도이다.
본 발명의 불법 디바이스 검출 및 차단 장치(100)는 도 1에 도시된 바와 같이, 네트워크 접속부(110), 저장수단(120), 제어부(130)로 구성된다.
도 1을 참조하면, 네트워크 접속부(110)는 감시대상 네트워크에 접속하여 맥(MAC) 어드레스를 획득하고, 제어명령에 따라 해당 맥(MAC) 어드레스의 디바이스를 차단하기 위한 것이고, 저장수단(120)은 불법 디바이스들의 맥(MAC) 어드레스를 맥 리스트(MAC list)로 저장하고 있다.
저장수단은 RAM(Random Access Memory)과 같은 휘발성 메모리, ROM(Read Only Memory), EPROM(Erasable Programmable ROM), EEPROM(Electrically Erasable Programmable ROM), 플래시 메모리 등과 같은 비휘발성 메모리, 하드 디스크, 착탈형 디스크, 또는 본 발명이 속하는 기술 분야에서 잘 알려진 임의의 형태의 컴퓨터로 읽을 수 있는 기록 매체를 포함하여 구성될 수 있다.
맥 리스트(MAC list)는 블랙 리스트와 화이트 리스트로 디바이스를 관리할 경우, 일종의 블랙 리스트에 대응하는 불법 다바이스의 MAC 주소가 저장된 차단 목록으로서, 본 발명의 불법 디바이스 검출 및 차단 장치를 제조 혹은 설치할 때 설정할 수 있고, 관제서버에 의해 지속적으로 갱신될 수 있다.
제어부(130)는 네트워크 접속부(110)를 통해 감시대상 네트워크에 연결된 디바이스들의 맥(MAC) 어드레스를 입력받아 저장수단(120)의 맥 리스트의 맥(MAC) 어드레스와 비교하여 불법 디바이스를 검출하고, 불법 디바이스가 검출되면 이동통신부를 통해 관제서버에 통보하며 관제서버로부터 차단명령을 문자메시지(MMS, SMS 등)로 수신한 후 네트워크 접속부(110)를 통해 해당 불법 디바이스의 전송을 차단시킨다. 제어부(130)는 CPU(Central Processing Unit), MPU(Micro Processor Unit), MCU(Micro Controller Unit), GPU(Graphic Processing Unit) 또는 본 발명의 기술 분야에 잘 알려진 임의의 형태의 프로세서를 포함하여 구성될 수 있다.
도 2는 본 발명에 따른 불법 디바이스 검출 및 차단 방법의 순서도이다.
도 2를 참조하면, 맥(MAC) 리스트 기록단계(S1)에서는 불법 디바이스로 예측되는 'MAC 리스트'를 획득하여 저장수단(120)에 기록한다.
패킷정보 수집단계(S2)에서는 불법 디바이스 검출 및 차단 장치가 감시대상 네트워크에 존재하는 패킷들을 수집하여 맥(MAC) 어드레스를 추출한다.
불법 디바이스 검출단계(S3)에서는 불법 디바이스 검출 및 차단 장치가 추출된 맥(MAC) 어드레스를 저장된 맥 리스트(MAC list)의 맥(MAC) 어드레스와 비교하여 불법 디바이스를 검출한다.
관제서버 연동단계(S4)에서는 불법 디바이스 검출 및 차단 장치가 이동통신망을 이용하여 검출된 불법 디바이스 정보(MAC 어드레스, 탐지거리 등)를 관제서버에 전송하며, 관제서버는 문자메시지(MMS,SMS)를 이용하여 불법 디바이스 차단명령을 불법 디바이스 검출 및 차단장치로 전송한다.
불법 디바이스 차단단계(S5)에서는 불법 디바이스 검출 및 차단 장치가 해당 불법 디바이스의 전송을 차단한다.
이와 같은 본 발명의 장치와 방법은 다음과 같은 구체적인 실시예들을 통해 구현될 수 있다.
도 3은 본 발명의 실시예에 따른 불법 디바이스 검출 및 차단 시스템을 도시한 개략도이다.
본 발명의 실시예에 따른 불법 디바이스 검출 및 차단 시스템은 도 3에 도시된 바와 같이, 무선 랜(LAN)(10)과 유선 랜(LAN)(20) 환경에 설치되고 이동통신망(30)을 통해 관제서버(200)와 연결되어 무선 랜(LAN)(10)과 유선 랜(LAN)(20)에 존재하는 불법 디바이스들을 검출하여 연결을 차단하기 위한 불법 디바이스 검출 단말(100)과, 분산 설치된 불법 디바이스 검출 및 차단 단말(100)들을 종합하여 관리하기 위한 관제서버(200)로 구성될 수 있다.
도 3을 참조하면, 유선 랜(LAN)(20)은 케이블을 통해 연결되는 LAN(Local Area Network)으로서 이더넷이나 IEEE 802.3 프로토콜에 따라 동작한다. 유선 랜에는 합법적인 유선 단말들이 연결되어 있고, 본 발명에서 감시대상인 유선 불법 디바이스(60)도 연결될 수 있다.
무선 랜(LAN)(10)은 무선 방식으로 연결되는 Wireless LAN으로서, IEEE 802.11 프로토콜에 따라 동작되며 WiFi라고도 한다. 무선 랜에는 합법적인 무선 단말들이 연결되어 있고, 본 발명에서 감시대상인 무선 불법 디바이스(50)도 연결될 수 있다.
이동통신망(30)은 이동전화기나 스마트폰과 같이 이동단말기를 기지국(31)을 통해 접속할 수 있는 3G, 4G(LTE), 5G 통신망으로서, USIM칩을 통해 가입자를 식별할 수 있고 사용시 통신사업자에 의해 소정의 통신비용이 과금된다. 본 발명의 실시예에서는 관제서버(200)가 이동통신망(30)을 통해 불법 디바이스 검출 및 차단 단말(100)에 연결될 수 있다.
불법 디바이스 검출 및 차단 단말(100)은 유선 랜(LAN)(20)과 무선 랜(LAN)(10) 환경에 설치되고 이동통신망(30)을 통해 관제서버(200)와 연결되어 유선 랜(LAN)(20)과 무선 랜(LAN)(10)에 존재하는 불법 디바이스들을 검출하여 관제서버(200)에 보고하고, 관제서버(200)의 차단명령에 따라 해당 불법 디바이스를 차단시킬 수 있다. 본 발명의 실시예에서 불법 디바이스는 맥(MAC) 리스트에 기록된 디바이스로서 관제서버(200)에 해당 디바이스의 MAC 주소를 전송하여 판단을 요구한 후 불법 디바이스로 판명되어 차단명령이 수신되면 해당 디바이스를 차단시킨다.
불법 디바이스 검출 및 차단 단말(100)은 모니터(Monitor) 모드에서 불법 디바이스를 감시하고, 관제서버(200)의 명령에 따라 불법 디바이스를 차단한다. 여기서, Monitor 모드는 WiFi 단말이 AP와 연결되어 있지 않아도 안테나를 통해 수신되는 모든 무선 프레임을 수집할 수 있는 무선 랜(LAN) 운영모드이다.
또한 불법 디바이스 검출 및 차단 단말(100)은 네트워크를 스캔 후 MAC 주소, 탐지거리 등을 관제서버(200)로 전송하여 DB(200a)에 등록할 수 있게 한다.
관제서버(200)는 데이터베이스(200a)를 구비하고 있고, 데이터베이스(200a)에는 불법 디바이스 검출 및 차단 단말(100)의 펌웨어(F/W) 버전과 MAC 리스트의 버전 정보를 저장하고 있는 버전 파일과, MAC 리스트, 펌웨어(F/W) 데이터가 저장되어 있다.
관제서버(200)는 불법 디바이스 검출 및 차단 단말(100)을 설치한 사용자들을 회원으로 가입받아 불법 디바이스 검출 및 차단 단말(100)의 설치장소와 각종 정보를 데이터베이스(200a)에 등록하고 있다. 즉, 관제서버(200)는 기기 선택 기능, 설치장소 입력 및 지도표시 기능, 검색된 MAC 리스트 표시기능, 의심 디바이스 MAC 리스트 체크 후 차단 시 맥 리스트(MAC list)에 등록하여 갱신하는 차단 기능, 버전 파일과 펌웨어 파일, MAC 리스트 파일에 대한 업로드 기능 등을 구비하고 있고, 관리자 모드 화면, 회원정보 관리 화면, 회원 기기 관리 화면 등을 제공할 수 있다. 검색 MAC list에는 감도, 데이터량, 의심여부 등이 기록되어 있다. 여기서, 의심 디바이스란 불법 디바이스 검출 및 차단 단말(100)이 소정의 절차에 따라 판별하여 불법 디바이스로 의심되는 디바이스를 의미하며, 관제서버(200)는 불법 디바이스 검출 및 차단 단말(100)로부터 보고된 의심 디바이스들이 최종적으로 불법 디바이스로 판단될 경우 해당 의심 디바이스를 맥(MAC) 리스트에 등록하여 차단시킬 수 있다.
또한 관제서버(200)는 다음 표 1과 같은 문자메시지(MMS) 명령을 통해 해당 불법 디바이스 검출 및 차단 단말(100)에 문자명령을 전송할 수 있도록 되어 있다.
문자명령 구분 문자명령의 예 내용
MAC 리스트 갱신 $B 불법 디바이스를 차단하기 위한 명령
MAC 리스트 버전 $L 유무선 네트워크의 MAC 리스트 갱신명령
MCU 펌웨어 버전 $M 검출 및 차단 단말의 MCU 펌웨어 갱신명령
단말 리셋 $R 검출 및 차단 단말을 리셋하여 다시 시작하라는 명령
도 4는 본 발명의 실시예에 따른 불법 디바이스 검출 및 차단 단말의 구성을 도시한 블럭도이다.
본 발명의 실시예에 따른 불법 디바이스 검출 및 차단 단말(100)은 도 4에 도시된 바와 같이, 무선 네트워크 접속부(112)와 유선 네트워크 접속부(114)로 이루어진 네트워크 접속부(110)와, 패킷 패턴 정보 수집부(131), 불법 디바이스 검출부(132), 불법 디바이스 차단부(133), 입출력 제어부(134)로 이루어진 제어부(130)와, 맥(MAC) 리스트(122)가 저장된 저장수단(120)과, 관제서버 입출력부(141)와 디바이스 입출력부(142)로 이루어진 입출력부(140)로 구성된다.
도 4를 참조하면, 유선 네트워크 접속부(114)는 감시대상 유선 랜(LAN)(20)에 접속하여 유선 네트워크에 존재하는 디바이스들의 MAC 어드레스를 획득하기 위한 것이다.
무선 네트워크 접속부(112)는 감시대상 무선 랜(LAN)(10)에 접속하여 무선 네트워크에 존재하는 디바이스들의 MAC 어드레스를 획득하기 위한 것이다.
패킷 패턴정보 수집부(131)는 유선 네트워크 접속부(114)를 통해 감시 대상 유선 LAN(20)에 서브넷에 속하는 모든 IP주소로 ARP 리퀘스트를 전송하고, 유선 LAN에 접속된 디바이스들로부터 ARP 응답 패킷을 수신받아 ARP 테이블을 업데이트하고, 무선 네트워크 접속부(112)를 통해 모니터(Monitor) 모드로 동작하면서 AP에 접속하지 않은 상태에서 주변 WiFi 디바이스들의 MAC 주소를 수집한다.
불법 디바이스 검출부(132)는 ARP 응답 패킷을 통해 수집된 유선 LAN의 MAC 주소와 저장수단의 MAC 리스트(122)에 등록된 MAC 주소와 비교하여 유선 불법 디바이스(60)를 검출하고, 모니터 모드에서 수집된 무선 LAN의 MAC 주소를 저장수단의 MAC 리스트(122)에 등록된 MAC 주소와 비교하여 무선 불법 디바이스(50)를 검출한다.
불법 다비이스 차단부(133)는 불법 디바이스 검출부(132)에 의해 유선 불법 디바이스(60)가 검출되면, ARP spoofing 기능을 통해 유선 불법 디바이스의 데이터 전송을 차단한다. 여기서, ARP 스푸핑(spoofing)은 PC의 MAC 주소를 동일 네트워크에 존재하는 다른 PC의 MAC 주소로 위장하여 중간에서 PC와 서버의 정보를 가로채는 공격방식을 말한다. 또한 불법 디바이스 검출부(132)에 의해 무선 불법 디바이스(50)가 검출되면, 인증해제패킷(de-Authentificate packet)을 전송하여 무선 불법 디바이스의 동작을 차단한다. 여기서, De-Authentification이란 802.11의 관리 프레임의 일종인 분리(결합 해제, Disassociation) 프레임(subtype: 1010) 또는 탈인증(인증해제, Deauhentication) 프레임(subtype: 1100)을 이용하여 디바이스를 차단시키는 것이다.
입출력 제어부(134)는 관제서버 입출력부(141)를 통해 관제서버(200)와 통신하여 저장수단(120)의 맥(MAC) 리스트(122)를 갱신하거나 펌웨어를 갱신하는 등의 동작을 처리할 수 있다. 즉, 입출력 제어부(134)는 불법 디바이스가 검출되면, 관제서버 입출력부(141)를 통해 관제서버(200)에 불법 디바이스 정보를 전달하고, 관제서버 입출력부(141)를 통해 문자가 수신되면 해당 문자 명령을 처리한다. 예컨대, MAC 리스트 갱신 문자가 수신되면 관제서버(200)에서 MAC 리스트를 가져와 차단동작을 수행한다. 또한 버전 파일 갱신 문자(펌웨어 버전이나 MAC 리스트 버전)가 수신되면 MAC 리스트 데이터나 펌웨어 데이터를 수신하여 갱신한다.
관제서버 입출력부(141)는 관제서버(200)와 통신하기 위한 통신수단으로서, 본 발명의 실시예에서는 이동통신망(30)을 통해 관제서버(200)와 통신할 수 있다.
본 발명의 실시예에서는 통신비용을 절감할 수 있도록 이동통신망(30)을 이용한 관제서버(200)로의 전송은 불법 디바이스가 발견되었을 경우에만 데이터 통신을 열어서 사용하며 전송 후 데이터 통신을 닫는다. 이와 같이 데이터 통신이 단말(100)쪽에서 시작되므로 앞서 살펴본 표 1과 같이 관제서버측에서 송신할 정보가 있을 경우에는 이동통신망(30)을 통해 문자메시지(SMS,MMS) 형태로 해당 명령을 전달하며, 불법 디바이스 검출 및 차단 단말(100)에서는 문자명령을 수신하면 이를 디코딩하여 관련 동작을 수행한다.
도 5는 본 발명의 실시예가 적용되는 네트워크 환경에서 불법 카메라의 동작 예를 도시한 도면이다.
본 발명의 실시예가 적용되는 네트워크 환경의 예는 도 5에 도시된 바와 같이, 무선 불법 카메라(50-1,50-2)가 무선 랜(10)으로 억세스 포인트(11)에 연결되어 있고, 유선 불법 카메라(60-1)가 유선 랜(20)으로 게이트웨이(21)에 연결되어 있으며, 불법 디바이스 검출 및 차단 단말(100)이 유무선 네트워크(10,20)와 이동통신망(30)에 연결되어 있으며, 인터넷(40)을 통해 관제서버(40)와 불법 디바이스 시청용 디바이스(70)가 연결되어 있다.
이와 같은 상태에서 불법 카메라가 동작할 경우에는 도 5에 도시된 바와 같이, 무선 불법 카메라(50-1,50-2)가 촬영한 불법 영상은 무선 랜(10)을 통해 AP(11)로 전송되고, AP(11)로 전송된 불법 영상은 인터넷(40)을 통해 불법영상 시청단말(70)로 전송된다. 또한 유선 불법 카메라(60-1)에서 촬영된 불법 영상은 유선 랜(20)을 통해 게이트웨이(21)로 전송되고 인터넷(40)을 거쳐 불법영상 시청단말(70)로 전송된다. 이에 따라 불법 영상 시청용 디바이스(70)에서 불법 영상을 시청할 수 있게 된다.
도 6은 본 발명의 실시예에 따른 무선 불법 카메라 검출 방법을 설명하기 위한 도면이고, 도 7은 본 발명의 실시예에 따른 무선 불법 카메라 차단 방법을 설명하기 위한 도면이다.
도 6을 참조하면, 불법 디바이스 검출 및 차단 단말(100)이 모니터링 모드로 전환되어 무선 랜(10)에 연결된 디바이스들의 무선 패킷을 수신받아 MAC 어드레스를 추출한 후 MAC 리스트의 MAC 어드레스와 비교하여 무선 불법 카메라(50-1,50-2)를 검출하고, 무선 불법 카메라(50-1,50-2)가 검출되면 도 7에 도시된 바와 같이 무선 랜(10)에 인증해제패킷(de-Authentificate packet)을 전송하여 무선 불법 카메라(50-1,50-2)가 억세스 포인트(11)에 접속하는 것을 차단한다.
도 8은 본 발명의 실시예에 따른 유선 불법 카메라 검출 방법을 설명하기 위한 도면이고, 도 9는 본 발명의 실시예에 따른 유선 불법 카메라 차단 방법을 설명하기 위한 도면이다.
도 8을 참조하면, 불법 디바이스 검출 및 차단 단말(100)이 유선 랜(20)에 ARP 리퀘스트를 요청한 후 유선 랜(20)에 연결된 디바이스들의 ARP Reply를 수신받아 MAC 어드레스를 추출한 후 MAC 리스트의 MAC 어드레스와 비교하여 유선 불법 카메라(60-1)를 검출하고, 유선 불법 카메라(60-1)가 검출되면 도 9에 도시된 바와 같이 유선 랜(20)에 ARP Reply(spoofing) 패킷을 전송하여 유선 불법 카메라(60-1)가 게이트웨이에 접속하는 것을 차단한다.
도 10은 본 발명의 실시예에 따른 불법 디바이스 검출 및 차단 시스템의 전체 동작을 도시한 순서도이다.
도 10을 참조하면, 본 발명의 실시예에 따른 불법 디바이스 검출 및 차단 단말(100)을 설치한 사용자는 관제서버(200)에 회원으로 가입하여 불법 디바이스 검출 및 차단 단말(100)의 설치장소와 각종 정보(제품의 일련번호 등)를 등록하고, MAC 리스트와 AP 리스트, 펌웨어 리스트 등 각종 리스트를 저장하여 초기 설정을 수행한다(S101).
이후 리셋 명령이 접수되거나 전원이 온(Power On Reset)되면, 불법 디바이스 검출 및 차단 단말(100)이 유선 네트워크 접속부(114)와 무선 네트워크 접속부(112)를 작동시켜 유/무선 랜(LAN)을 활성화 한다(S102).
이어 관제서버(200)의 버전 파일에서 펌웨어 버전과 MAC 리스트 버전을 확인한다(S103).
신규 펌웨어 버전이 검출되거나 신규 MAC 리스트 버전이 검출되면, 불법 디바이스 검출 및 차단 단말(100)이 이동통신망(30)을 통해 관제서버(200)의 신규 펌웨어 데이터나 MAC 리스트 데이터를 다운로드받아 펌웨어나 MAC 리스트를 갱신할 수 있다(S104). 만일, 펌웨어 데이터가 업데이트 된 경우에는 리부팅(Reboot)을 통해 전체 과정을 새롭게 시작한다.
이와 같이 동작 초기에 MAC 리스트나 펌웨어 버전의 갱신을 확인한 후, 불법 디바이스 검출 및 차단 단말(100)은 모니터(WiFi monitor) 모드로 동작하면서 무선 랜(10)에 연결된 디바이스들의 무선 패킷을 수신받아 MAC 어드레스를 추출한 후 MAC 리스트의 MAC 어드레스와 비교하여 무선 불법 디바이스를 검출하고, 무선 불법 디바이스가 검출되면 관제서버(200)에 해당 정보를 전송한다(S106~S109). 관제서버(200)는 불법 디바이스 검출 및 차단 단말(100)로부터 의심 디바이스 정보가 수신되면 맥 리스트에 등록하고 소정의 절차에 따라 불법 디바이스 차단명령을 생성하여 문자메시지(MMS, SMS)를 통해 해당 불법 디바이스 검출 및 차단 단말(100)로 전송하며, 불법 디바이스 검출 및 차단 단말(100)은 관제서버(200)로부터 차단 명령을 문자메시지(SMS)로 수신한 후 무선 랜(10)에 de-Authentificate packet을 전송하여 무선 불법 디바이스를 차단한다(S110~S112). 보다 자세히 살펴보면, 무선 랜(LAN)에서 불법 디바이스 검출 및 차단 단말(100)이 모니터 모드에서 MAC 어드레스를 캐취한 후 MAC 헤더의 어드레스 2와 어드레스 3에 불법 디바이스가 있는지 검사하여 불법 디바이스가 검출되면 이동통신망(30)을 통해 의심 디바이스의 MAC 주소를 관제서버(200)로 전송한다.
이어 유선 랜(LAN)(20)에서 감시 및 차단을 위해 불법 디바이스 검출 및 차단 단말(100)이 서브넷 마스크를 참조하여 로컬 네트워크(서브넷)에서 모든 IP에 대해 ARP 리퀘스트를 보낸 후 ARP 응답 패킷을 수신하여 ARP 테이블을 갱신하고, 갱신된 ARP 테이블의 MAC 어드레스 내에 유선 불법 디바이스가 있는지 검사하여 불법 디바이스가 검출되면 이동통신망(30)을 통해 의심 디바이스의 MAC 주소를 관제서버(200)로 전송한다(S113~S118).
관제서버(200)는 불법 디바이스 검출 및 차단 단말(100)로부터 의심 디바이스 정보가 수신되면 맥 리스트에 등록하고 소정의 절차에 따라 불법 디바이스 차단명령을 생성하여 문자메시지(MMS,SMS)를 통해 해당 불법 디바이스 검출 및 차단 단말(100)로 전송하며, 이에 따라 불법 디바이스 검출 및 차단 단말(100)은 ARP spoofing을 이용하여 해당 유선 불법 디바이스를 차단시킨다(S119~S121).
한편, 관제서버(200)는 필요시 앞서 설명한 표 1과 같은 문자(MMS나 SMS)명령을 생성하여 이동통신망(30)을 통해 해당 불법 디바이스 검출 및 차단 단말(100)로 전송할 수 있고, 불법 디바이스 검출 및 차단 단말(100)은 문자(MMS,SMS)명령이 수신되면, 해당 문자(MMS,SMS)명령을 디코딩하여 처리할 수 있다.
도 11은 본 발명의 실시예에 따른 불법 디바이스 검출 및 차단 장치를 외부 망으로 구성한 예를 도시한 개략도이다. 도 11의 실시예는 관제서버(200)를 여러 사용자가 접속이 가능한 외부 인터넷에 연결하여 각 로컬 네트워크의 내부 망에 분산 설치된 불법 디바이스 검출 및 차단 단말(100)을 중앙에서 통합하여 관리할 수 있도록 한 예이다.
도 11을 참조하면, 내부 망은 스위치(21)를 포함하는 유선 랜(LAN)(20)과 무선 랜(LAN)(10)으로 이루어져 있고, 외부 망은 통상의 인터넷(40)으로서 내부 망은 게이트웨이(21)를 통해 외부 망과 연결되어 있다.
내부 망의 유선 랜(LAN)(20)에는 정상 디바이스(60G)와 유선 불법 카메라(60-1), 유선 불법 디바이스(60-2)가 설치되어 있고, 내부 망의 무선 랜(LAN)(10)에 무선 불법 카메라(50-1)와 무선 불법 디바이스(50-3)가 설치되어 있으며, 무선 랜(LAN)(10)은 AP(11)를 통해 스위치(21)와 연결되어 있다.
불법 디바이스 검출 및 차단 단말(100)은 유선 랜(LAN)(20)과 무선 랜(LAN)(10)에 모두 접속할 수 있도록 내부 망에 설치되어 있고, 관제서버(200)는 다수의 사용자가 접속할 수 있도록 외부 망의 인터넷(40)에 연결되어 있다. 또한 관제서버(200)는 정상 사용자들의 MAC 주소와 불법 디바이스들의 MAC 주소에 대한 정보를 데이터베이스(200a)에 저장하고 있다.
불법 디바이스 검출 및 차단 단말(100)은 전원이 온되면 MAC 리스트 버전과 펌웨어 버전을 확인하여 일련의 MAC 리스트 갱신 절차와 펌웨어 갱신 절차를 수행한다.
불법 디바이스 검출 및 차단 단말(100)은 버전 갱신 절차를 완료한 후, 유선 랜(LAN)(20) 상에서의 불법 디바이스 검출 및 차단 절차와, 무선 랜(LAN)(10) 상에서의 불법 디바이스 검출 및 차단 절차를 수행한다.
먼저, 유선 랜(LAN) 상에서의 불법 디바이스 검출 및 차단 절차를 살펴보면, 불법 디바이스 검출 및 차단 단말(100)은 서브넷 마스크를 참조하여 유선 랜(LAN)(20)의 서브넷에서 모든 IP에 대해 ARP 리퀘스트를 보낸 후 ARP 응답 패킷을 수신하여 ARP 테이블을 갱신하고, 갱신된 ARP 테이블의 MAC 어드레스 내에 불법 디바이스가 있는지 검사하여 불법 디바이스가 검출되면 의심 디바이스의 MAC 주소를 관제서버(200)로 전송한다.
관제서버(200)는 의심 디바이스의 MAC 주소를 접수하면 MAC 리스트에 등록한 후 해당 불법 디바이스 검출 및 차단 단말(100)에 불법 디바이스를 차단하도록 MAC 리스트 갱신 문자명령을 전송한다. 이에 따라 해당 불법 디바이스 검출 및 차단 단말(100)은 ARP spoofing을 이용하여 불법 디바이스를 차단한다.
관제서버(200)는 외부 망의 인터넷(40)이나 이동통신망(30)을 이용하여 불법 디바이스에 대한 여러 관리정보와 운영정보를 사용자의 모바일 단말(80)로 전송할 수도 있다.
한편, 무선 랜(LAN) 상에서의 불법 디바이스 검출 및 차단 절차를 살펴보면, 불법 디바이스 검출 및 치단 단말(100)은 WiFi를 모니터 모드로 동작시키면서 MAC 어드레스를 캐취한 후 MAC 헤더의 어드레스 2와 어드레스 3에 불법 디바이스가 있는지 검사하여 불법 디바이스가 검출되면 의심 디바이스의 MAC 주소를 관제서버(200)로 전송한다.
관제서버(200)는 의심 디바이스의 MAC 주소를 접수하면 MAC 리스트에 등록한 후 해당 불법 디바이스 검출 및 차단 단말(100)에 불법 디바이스를 차단하도록 MAC 리스트 갱신 문자명령을 전송한다. 이에 따라 해당 불법 디바이스 검출 및 차단 단말(100)은 de-Authentificate packet을 전송하여 불법 디바이스의 동작을 차단한다.
이와 같이 본 발명의 실시예에 따르면, 관제서버(200)를 외부 망에 설치하여 각 로컬 네트워크의 내부 망에 분산 설치된 다양한 사용자들의 불법 디바이스 검출 및 차단 단말(100)을 중앙에서 통합하여 관리할 수 있다.
도 12는 본 발명의 실시예에 따른 불법 디바이스 검출 및 차단 장치를 폐쇄 망으로 구성한 예를 도시한 개략도이다. 즉, 도 12는 내부 망 운영자가 내부 망에 자신이 운영하는 관제서버(200)를 설치하여 내부 망에 설치된 자신의 불법 디바이스 검출 및 차단 단말(100)을 폐쇄적으로 관리하는 예이다.
도 12를 참조하면, 내부 망은 스위치(21)를 포함하는 유선 랜(LAN)(20)과 무선 랜(LAN)(10)으로 이루어져 있고, 외부 망은 통상의 인터넷(40)으로서 내부 망은 게이트웨이(21)를 통해 외부 망과 연결되어 있다.
내부 망의 유선 랜(LAN)(20)에는 정상 디바이스(60G)와 유선 불법 카메라(60-1), 유선 불법 디바이스(60-2)가 설치되어 있고, 내부 망의 무선 랜(LAN)(10)에 무선 불법 카메라(50-1)와 무선 불법 디바이스(50-3)가 설치되어 있으며, 무선 랜(LAN)(10)은 AP(11)를 통해 스위치(21)와 연결되어 있다.
불법 디바이스 검출 및 차단 단말(100)은 유선 랜(LAN)(20)과 무선 랜(LAN)(10)에 모두 접속할 수 있도록 내부 망에 설치되어 있고, 관제서버(200)는 내부 망에서만 접속할 수 있도록 내부 망에 연결되어 있으며, 외부 망의 인터넷(40)에는 불법 디바이스 검출 및 차단 단말(100)의 펌웨어를 업그레이드하기 위한 펌웨어 갱신 서버(300)가 연결되어 있다. 펌웨어 갱신 서버(300)는 불법 디바이스 검출 및 차단 단말의 제조사에 의해 운영될 수 있고, 관제서버(200)의 DB(200a)에는 정상 사용자들의 MAC 주소와 불법 디바이스들의 MAC 주소에 대한 정보 등이 저장되어 있다.
이와 같은 구조에서 불법 디바이스 검출 및 차단 단말(100)과 관제서버(200) 사이의 통신은 이동통신망(30)을 통해 이루어질 수 있다.
이러한 폐쇄 망 구현예는 관제서버(200)가 내부 망에 연결되어 내부 망의 불법 디바이스 검출 및 차단 단말(100)을 폐쇄적으로 관리하고, MAC 리스트 버전은 내부 망의 관제서버(200)를 통해 업그레이드하나 펌웨어 버전관리는 외부 망의 펌웨어 갱신 서버(300)를 통해 업그레이드한다는 점을 제외하고는 불법 디바이스 검출 및 차단 단말(100)과 관제서버(200) 사이의 동작은 도 11의 외부 망에 설치한 예와 동일하므로 더 이상의 설명은 생략하기로 한다.
이상에서 본 발명은 도면에 도시된 일 실시예를 참고로 설명되었으나, 본 기술분야의 통상의 지식을 가진 자라면 이로부터 다양한 변형 및 균등한 타 실시예가 가능하다는 점을 이해할 것이다.

Claims (12)

  1. 감시대상 네트워크에 접속하여 맥(MAC) 어드레스를 획득하고, 제어명령에 따라 해당 맥(MAC) 어드레스의 디바이스를 차단하기 위한 네트워크 접속부;
    불법 디바이스들의 맥(MAC) 어드레스를 맥 리스트(MAC list)로 저장하고 있는 저장수단; 및
    상기 네트워크 접속부를 통해 감시대상 네트워크에 연결된 디바이스들의 맥(MAC) 어드레스를 입력받아 상기 맥 리스트의 맥(MAC) 어드레스와 비교하여 불법 디바이스를 검출하고, 불법 디바이스가 검출되면 상기 네트워크 접속부를 통해 해당 불법 디바이스의 전송을 차단시키도록 상기 네트워크 접속부를 제어하는 제어부를 포함하는 유무선 네트워크의 불법 디바이스 검출 및 차단 장치.
  2. 제1항에 있어서, 상기 불법 디바이스 검출 및 차단 장치는
    관제서버나 외부 호스트 장치와 통신하기 위한 입출력부를 더 포함하는 것을 특징으로 하는 유무선 네트워크의 불법 디바이스 검출 및 차단 장치.
  3. 제2항에 있어서, 상기 제어부는
    상기 네트워크 접속부를 통해 감시 대상 네트워크에 접속된 디바이스들의 IP/MAC 주소를 수집하는 패킷 패턴정보 수집부와,
    수집된 디바이스들의 MAC 주소를 저장수단의 맥 리스트에 등록된 MAC 주소와 비교하여 불법 디바이스를 검출하는 불법 디바이스 검출부와,
    상기 불법 디바이스 검출부에 의해 불법 디바이스가 검출되면, 해당 불법 디바이스를 네트워크에서 차단하는 불법 디바이스 차단부와,
    상기 입출력부를 통해 관제서버와 통신하여 상기 저장수단의 맥 리스트를 갱신하는 입출력 제어부를 포함하는 유무선 네트워크의 불법 디바이스 검출 및 차단 장치.
  4. 제1항 내지 제3항 중 어느 한 항에 있어서, 상기 유무선 네트워크의 불법 디바이스 검출 및 차단 장치는
    감시대상 네트워크에 연결된 디바이스들의 맥(MAC) 어드레스를 판별하여 의심 디바이스로 판단되면 해당 의심 디바이스의 맥(MAC) 어드레스를 관제서버로 전송하고, 상기 관제서버는 의심 디바이스의 맥(MAC) 어드레스를 전송받으면 해당 의심 디바이스가 불법 디바이스인지를 판단하여 불법 디바이스로 판단되면 해당 불법 디바이스의 전송을 차단시키기 위한 차단명령을 해당 불법 디바이스 검출 및 차단 장치로 전송하며, 필요시 상기 맥 리스트를 갱신시키는 것을 특징으로 하는 유무선 네트워크의 불법 디바이스 검출 및 차단 장치.
  5. 제1항 또는 제2항에 있어서, 상기 네트워크가 유선 네트워크이면,
    상기 네트워크 접속부는 감시대상 유선 랜(LAN)에 에이알피(ARP) 리퀘스트를 전송한 후 에이알피(ARP) 응답 패킷을 통해 업데이트된 에이알피(ARP) 테이블로부터 맥(MAC) 어드레스를 획득하기 위한 유선 네트워크 접속부이고,
    상기 제어부는 상기 유선 네트워크 접속부를 통해 유선 네트워크에 연결된 디바이스들의 맥(MAC) 어드레스를 입력받아 상기 맥 리스트(MAC list)의 맥(MAC) 어드레스와 비교하여 불법 디바이스가 검출되면 관제서버에 통보하고, 관제서버로부터 차단명령을 문자메시지로 수신하면 상기 유선 네트워크 접속부를 통해 에이알피(ARP) 스푸핑으로 해당 불법 디바이스의 전송을 차단시키는 것을 특징으로 하는 유무선 네트워크의 불법 디바이스 검출 및 차단 장치.
  6. 제1항 또는 제2항에 있어서, 상기 네트워크가 무선 네트워크이면,
    상기 네트워크 접속부는 모니터모드에서 감시대상 무선 랜(LAN)에 존재하는 디바이스들의 맥(MAC) 어드레스를 획득하고, 불법 디바이스를 차단하기 위한 무선 네트워크 접속부이고,
    상기 제어부는 상기 무선 네트워크 접속부를 모니터 모드로 동작시킨 후 상기 무선 네트워크 접속부로부터 맥(MAC) 어드레스를 입력받아 상기 맥 리스트(MAC list)의 맥(MAC) 주소와 비교하여 불법 디바이스를 검출하면 관제서버에 통보하고, 관제서버로부터 차단명령을 문자메시지(SMS)로 수신하면 상기 무선 네트워크 접속부를 통해 인증해제패킷(de-Authentificate packet)을 전송하여 해당 불법 디바이스의 전송을 차단시키는 것을 특징으로 하는 유무선 네트워크의 불법 디바이스 검출 및 차단 장치.
  7. 불법 디바이스 검출 및 차단 단말이 감시대상 네트워크에 존재하는 맥(MAC) 어드레스를 획득하는 단계;
    불법 디바이스 검출 및 차단 단말이 획득된 맥(MAC) 어드레스를 저장된 맥 리스트(MAC list)의 맥(MAC) 어드레스와 비교하여 불법 디바이스를 검출하는 단계; 및
    불법 디바이스가 검출되면, 불법 디바이스 검출 및 차단 단말이 관제서버에 통보하고, 관제서버로부터 차단명령을 문자메시지로 수신하여 해당 불법 디바이스의 전송을 차단하는 단계를 포함하는 유무선 네트워크의 불법 디바이스 검출 및 차단 방법.
  8. 제7항에 있어서, 상기 네트워크가 유선 네트워크이면,
    상기 불법 디바이스 검출 및 차단 단말이 에이알피(ARP) 리퀘스트를 통해 감시대상 유선 네트워크에 존재하는 맥(MAC) 어드레스를 획득하고, 불법 디바이스가 검출되면 관제서버에 통보하고, 관제서버로부터 차단명령을 문자메시지로 수신하면 에이알피(ARP) 스푸핑을 통해 해당 불법 디바이스의 전송을 차단하는 것을 특징으로 하는 유무선 네트워크의 불법 디바이스 검출 및 차단 방법.
  9. 제7항에 있어서, 상기 네트워크가 무선 네트워크이면,
    상기 불법 디바이스 검출 및 차단 단말이 모니터 모드로 동작하면서 감시대상 무선 네트워크에 존재하는 맥(MAC) 어드레스를 획득하고, 불법 디바이스가 검출되면 관제서버에 통보하고, 관제서버로부터 차단명령을 문자메시지로 수신하면 인증해제패킷(de-Authentificate packet)을 무선 네트워크에 전송하여 해당 불법 디바이스의 전송을 차단하는 것을 특징으로 하는 유무선 네트워크의 불법 디바이스 검출 및 차단 방법.
  10. 감시대상 유선 랜(LAN)에 존재하는 디바이스의 맥(MAC) 어드레스를 획득하기 위한 유선 네트워크 접속부;
    감시대상 무선 랜(LAN)에 존재하는 디바이스의 맥(MAC) 어드레스를 획득하기 위한 위한 무선 네트워크 접속부;
    이동통신망을 통해 관제서버와 통신하기 위한 이동통신망 접속부;
    맥 리스트(MAC list)와 펌웨어를 저장하고 있는 저장수단; 및
    상기 유선 네트워크 접속부를 통해 유선 네트워크에 연결된 디바이스들의 맥(MAC) 어드레스를 입력받고, 상기 무선 네트워크 접속부를 통해 무선 네트워크에 연결된 디바이스들의 맥(MAC) 어드레스를 입력받아 유무선 네트워크에 연결된 디바이스들을 감시하고, 불법 맥(MAC) 어드레스가 검출되면 상기 이동통신망 접속부를 통해 관제서버에 전달하며, 상기 이동통신망 접속부를 통해 문자명령이 수신되면 이를 디코딩하여 해당 문자명령을 처리하는 제어부를 포함하는 유무선 네트워크의 불법 디바이스 검출장치.
  11. 제10항에 있어서, 상기 제어부는
    상기 이동통신망 접속부를 통해 관제서버와 통신하고, 문자명령이 수신되면 해당 문자명령을 해석하여 실행하는 입출력 제어부와,
    상기 네트워크 접속부를 통해 감시 대상 유선 LAN에 서브넷에 속하는 모든 IP주소로 ARP 리퀘스트를 전송하고, 유선 LAN에 접속된 디바이스들로부터 ARP 응답 패킷을 수신받아 ARP 테이블을 업데이트하고, 모니터(Monitor) 모드로 동작하면서 주변 WiFi 디바이스들의 MAC 주소를 수집하는 패킷 패턴정보 수집부와,
    ARP 응답 패킷을 통해 수집된 유선 LAN의 MAC 주소와 저장수단의 맥 리스트에 등록된 MAC 주소를 비교하여 유선 불법 디바이스를 검출하고, 모니터 모드에서 수집된 무선 LAN의 MAC 주소를 저장수단의 맥 리스트에 등록된 MAC 주소와 비교하여 무선 불법 디바이스를 검출하며, 유선 불법 디바이스나 무선 불법 디바이스가 검출되면 상기 입출력 제어부를 통해 관제서버에 이를 보고하는 불법 디바이스 검출부와,
    상기 입출력 제어부를 통해 관제서버로부터 차단명령이 수신되면, 에이알피 스푸핑(ARP spoofing) 기능을 통해 유선 불법 디바이스의 데이터 전송을 차단하거나 인증해제패킷(de-Authentificate packet)을 전송하여 무선 불법 디바이스의 동작을 차단하는 불법 디바이스 차단부를 포함하는 유무선 네트워크의 불법 디바이스 검출 및 차단 장치.
  12. 제11항에 있어서, 상기 입출력 제어부는
    문자명령이 수신되면 해당 문자명령을 해석하여 유/무선 차단 명령이면 상기 불법 디바이스 차단부에 이를 전달하고, 맥 리스트 갱신명령이면 상기 저장수단의 맥 리스트를 갱신하며, 펌웨어 갱신 명령이면 상기 저장수단의 펌웨어를 갱신하는 것을 특징으로 하는 유무선 네트워크의 불법 디바이스 검출 및 차단 장치.
PCT/KR2022/007705 2021-06-18 2022-05-31 유무선 네트워크의 불법 디바이스 검출 및 차단 방법과 장치 WO2022265265A1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2023577733A JP2024523378A (ja) 2021-06-18 2022-05-31 有線／無線ネットワークの不法デバイス検出および遮断方法と装置

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2021-0079038 2021-06-18
KR20210079038 2021-06-18

Publications (1)

Publication Number Publication Date
WO2022265265A1 true WO2022265265A1 (ko) 2022-12-22

Family

ID=84526255

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2022/007705 WO2022265265A1 (ko) 2021-06-18 2022-05-31 유무선 네트워크의 불법 디바이스 검출 및 차단 방법과 장치

Country Status (3)

Country Link
JP (1) JP2024523378A (ko)
KR (3) KR102479425B1 (ko)
WO (1) WO2022265265A1 (ko)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20050026624A (ko) * 2003-09-09 2005-03-15 이상준 정책기반 네트워크를 이용한 피씨의 통합 보안시스템 및방법
KR20100027529A (ko) * 2008-09-02 2010-03-11 스콥정보통신 주식회사 무선랜 침입 방지 시스템 및 방법
KR20150068221A (ko) * 2013-12-11 2015-06-19 주식회사 더보안 불법 ａｐ 탐지 및 차단 시스템
KR20170015340A (ko) * 2014-05-29 2017-02-08 테크테코 시큐리티 시스템즈, 에스.엘. 통신 네트워크에 대한 개선된 액세스를 위한 방법 및 네트워크 요소
KR102204338B1 (ko) * 2020-07-28 2021-01-19 (주)넷비젼텔레콤 무선 ip 카메라 탐지 시스템

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20050026624A (ko) * 2003-09-09 2005-03-15 이상준 정책기반 네트워크를 이용한 피씨의 통합 보안시스템 및방법
KR20100027529A (ko) * 2008-09-02 2010-03-11 스콥정보통신 주식회사 무선랜 침입 방지 시스템 및 방법
KR20150068221A (ko) * 2013-12-11 2015-06-19 주식회사 더보안 불법 ａｐ 탐지 및 차단 시스템
KR20170015340A (ko) * 2014-05-29 2017-02-08 테크테코 시큐리티 시스템즈, 에스.엘. 통신 네트워크에 대한 개선된 액세스를 위한 방법 및 네트워크 요소
KR102204338B1 (ko) * 2020-07-28 2021-01-19 (주)넷비젼텔레콤 무선 ip 카메라 탐지 시스템

Also Published As

Publication number Publication date
KR20220169449A (ko) 2022-12-27
JP2024523378A (ja) 2024-06-28
KR20220169448A (ko) 2022-12-27
KR102479425B1 (ko) 2022-12-20

Similar Documents

Publication Publication Date Title
WO2017091047A1 (ko) 무선 침입 방지 시스템에서의 접속 차단 방법 및 장치
US7316031B2 (en) System and method for remotely monitoring wireless networks
US9749337B2 (en) System and apparatus for rogue VoIP phone detection and managing VoIP phone mobility
US9119070B2 (en) Method and system for detecting unauthorized wireless devices
WO2021182667A1 (ko) 무선 침입 방지 시스템, 이를 포함하는 무선 네트워크 시스템 및 무선 네트워크 시스템의 작동 방법
CN105681272B (zh) 一种移动终端钓鱼WiFi的检测与抵御方法
WO2014189262A1 (en) User terminal authentication method of access point apparatus
WO2022255619A1 (ko) 무선 침입 방지 시스템 및 그 동작 방법
WO2015034241A1 (en) Method and system for configuring smart home gateway firewall
WO2022235007A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2023017952A1 (ko) 센싱 장치, 센싱 장치를 포함하는 무선 침입 방지 시스템 및 그것의 동작 방법
WO2021112494A1 (ko) 엔드포인트에 기반한 관리형 탐지 및 대응 시스템과 방법
WO2019231215A1 (ko) 단말 장치 및 이에 의한 악성 ａｐ의 식별 방법
US11336621B2 (en) WiFiwall
WO2022265265A1 (ko) 유무선 네트워크의 불법 디바이스 검출 및 차단 방법과 장치
WO2024029658A1 (ko) 네트워크에서의 접근 통제 시스템 및 그 방법
Kim et al. A technical survey on methods for detecting rogue access points
Meng et al. Building a wireless capturing tool for WiFi
WO2016200232A1 (ko) 서버 장애 시 원격 서버 복구 시스템 및 방법
WO2013089395A1 (ko) 시그니쳐 기반 무선 침입차단시스템
WO2019182219A1 (ko) 블록체인기반의 신뢰 네트워크 시스템
WO2024128619A1 (ko) 불법 디바이스 검출차단장치
WO2013172587A1 (ko) 클라우드 센서 네트워크를 이용한 지능형 무선침입방지 시스템 및 센서
KR101335293B1 (ko) 내부 네트워크 침입 차단 시스템 및 그 방법
WO2019146854A1 (ko) Cctv의 펌웨어 검증코드를 검사하는 보안 디바이스 유닛

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22825191

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2023577733

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 22825191

Country of ref document: EP

Kind code of ref document: A1