WO2022270893A1 - 단말의 보안 패킷에 기반한 네트워크 보안 모니터링 장치 및 방법 - Google Patents

단말의 보안 패킷에 기반한 네트워크 보안 모니터링 장치 및 방법 Download PDF

Info

Publication number
WO2022270893A1
WO2022270893A1 PCT/KR2022/008852 KR2022008852W WO2022270893A1 WO 2022270893 A1 WO2022270893 A1 WO 2022270893A1 KR 2022008852 W KR2022008852 W KR 2022008852W WO 2022270893 A1 WO2022270893 A1 WO 2022270893A1
Authority
WO
WIPO (PCT)
Prior art keywords
network
packet
monitoring
security
information
Prior art date
Application number
PCT/KR2022/008852
Other languages
English (en)
French (fr)
Inventor
김종민
황호정
신성기
Original Assignee
주식회사맥데이타
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사맥데이타 filed Critical 주식회사맥데이타
Priority to US18/573,985 priority Critical patent/US20240333726A1/en
Publication of WO2022270893A1 publication Critical patent/WO2022270893A1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0686—Additional information in the notification, e.g. enhancement of specific meta-data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/04—Processing captured monitoring data, e.g. for logfile generation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0852—Delays
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/16—Threshold monitoring
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/20—Support for services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/20—Support for services
    • H04L49/208—Port mirroring
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W28/00—Network traffic management; Network resource management
    • H04W28/02—Traffic management, e.g. flow control or congestion control
    • H04W28/0273—Traffic management, e.g. flow control or congestion control adapting protocols for flow control or congestion control to wireless environment, e.g. adapting transmission control protocol [TCP]

Definitions

  • the present invention relates to an apparatus and method for monitoring network security based on security packets of a terminal.
  • a network generally includes a variety of devices having communication links and communication capabilities connected to the communication links.
  • devices related to the network include computers, peripheral devices, routers, storage devices, and various electrical appliances having communication interfaces with the processor.
  • the term "device” typically includes logic devices or other devices capable of processing and exchanging functionality and data, and may include home devices as well as general purpose computers.
  • a client device requests access to a server having a specific IP address in order to use a web site, and connects after waiting time.
  • performance of a network service associated with the server may be degraded due to a bottleneck.
  • a service performance or quality problem occurs, a user's waiting time increases due to delay, resulting in a decrease in service utilization rate, which leads to a decrease in productivity and sales.
  • an increase in IT operation costs may occur, and server operators and/or related business managers may encounter unfavorable results such as a decrease in corporate competitiveness.
  • FIG. 1 is a conceptual diagram illustrating a process of performing conventional network service management.
  • the IT team leader issues commands related to quality management to a network operation part, a server operation part, a database development part, and an application development part, respectively.
  • a technical problem of the present invention is to provide an apparatus and method for monitoring network security based on security packets of a terminal.
  • a network security monitoring method performed by a network monitoring apparatus includes monitoring a state of a client terminal, obtaining a security check packet generated based on a result of the monitoring from a network (the security The check packet includes UID (user ID) information, length information, and monitoring result information of the client terminal), obtaining a mirroring packet mirrored in a network switching device from the network, and the security check packet and and executing security monitoring for the network based on at least one of the mirroring packets.
  • UID user ID
  • Security monitoring of the network is performed by a network monitoring device assigned an IP address on the network, and obtaining the security check packet from the network involves the network monitoring device using the IP address to perform the security check. It may include receiving a packet.
  • the security check packet has a TCP packet format including at least a TCP header and a TCP payload, and the TCP payload may include at least one field information of a UID field, a length field, and a monitoring result field.
  • the security check packet has a UDP packet format including at least a UDP header and a UDP payload, and the UDP payload may include at least one field information of a UID field, a length field, and a monitoring result field.
  • the UID information is information for uniquely identifying at least one of the client terminal or a client monitoring device for monitoring a state of the client terminal
  • the length information is information indicating the length of the monitoring result information
  • the monitoring result information may be information indicating a result of monitoring the state of the client terminal.
  • the security check packet may be generated from a client monitoring device integrated in the client terminal.
  • Security monitoring of the network is performed by a network monitoring device that is located and operated in at least one of an independent network node connected to the network, an input or output terminal of a plane on the network, or a server that is a destination of packets on the network that can be characterized.
  • the network monitoring device may be characterized in that two or more locations are operated in the network.
  • the network switch may be configured to mirror packets at any one of OSI layer 2, OSI layer 3, OSI layer 4, and OSI layer 7.
  • the security packet includes an operation of monitoring the system log file of the terminal, an operation of determining whether an access attempt to the terminal occurs from an IP other than the allowed IP included in the white list, an operation of analyzing packet information about the terminal, and an operation of analyzing the terminal. It may be generated when it is determined that a security problem has occurred in the client terminal by at least one of an operation of analyzing state information of the terminal and an operation of acquiring alive information indicating whether connection to the terminal is possible.
  • Executing security monitoring for the network includes utilizing a packet analysis algorithm corresponding to at least one protocol of HTTP, IP, UDP, TCP, and DNS, wherein the packet analysis algorithm is configured to analyze the mirrored packet by extracting at least one of URL, source IP, destination IP, and time information from the mirrored packet in an adaptive manner, Latency, traffic to the first server through the Internet, response latency for each section on the server side, web response dash time, app response latency, response latency between servers, response latency for each server, each server It may be configured to determine at least one of the number of waiting sessions (wait), an index for each application URI, and an index for each DB server query.
  • the packet analysis algorithm is configured to analyze the mirrored packet by extracting at least one of URL, source IP, destination IP, and time information from the mirrored packet in an adaptive manner, Latency, traffic to the first server through the Internet, response latency for each section on the server side, web response dash time, app response latency, response latency between servers, response latency for each server, each server
  • the method further comprises visualizing and displaying a result of security monitoring for the network, wherein the visualization comprises at least one of generating a graph in a meaningful form, generating a table, and generating a flow map. It may mean visualizing information including at least one statistic of indicators related to current network performance using one visualization method.
  • a monitoring device for monitoring a client terminal performs security monitoring on the client terminal to generate monitoring result information, and based on the result of the security monitoring, UID (user ID) information of the client terminal , length information, and a security check packet including monitoring result information, and transmit the security check packet via the network.
  • UID user ID
  • the monitoring device includes an operation of monitoring the system log file of the terminal, an operation of determining whether an access attempt to the terminal occurs from an IP other than the allowed IP included in the white list, an operation of analyzing packet information about the terminal, and an operation of analyzing the terminal.
  • the security check packet may have a TCP packet format including at least a TCP header and a TCP payload, and the TCP payload may include at least one field information of a UID field, a length field, and a monitoring result field.
  • the security check packet has a UDP packet format including at least a UDP header and a UDP payload, and the UDP payload may include at least one field information of a UID field, a length field, and a monitoring result field.
  • the monitoring device may operate integrated with the client terminal.
  • a network monitoring device for monitoring packets on a network obtains a security check packet transmitted from a client monitoring device for monitoring a client terminal, and obtains a mirroring packet from a network switching device for mirroring packets, And it may be configured to execute security monitoring for the network by analyzing at least one of the security check packet and the mirroring packet.
  • the network monitoring device may be configured to receive an IP address assigned on the network and to receive a security check packet as a TCP packet based on the IP address.
  • the network monitoring device may be configured to obtain a security check packet as a UDP packet by monitoring packets on a path on the network without being assigned an IP address on the network.
  • the network monitoring device includes a packet analysis algorithm corresponding to at least one protocol of HTTP, IP, UDP, TCP, and DNS, and the packet analysis algorithm is configured to detect the mirrored packets in an adaptive manner for each protocol. It is configured to analyze the mirrored packet by extracting at least one information of URL, source IP, destination IP, and time information, and from the mirrored packet to the perceived delay time of the user at the user terminal and the initial server through the Internet. Traffic, server-side response latency (latency), web response dash time, app response latency, response latency between servers, response latency by server, number of sessions waiting for response by server (wait), application URI It may be configured to determine at least one of a star indicator and an indicator for each query (DB Query) of the DB server.
  • DB Query an indicator for each query
  • the network monitoring device is connected to a service module that visualizes security monitoring results of the network monitoring device for the network, and the service module creates a graph in a meaningful form, creates a table, and flows maps ) may be configured to visualize information including at least one statistic of indicators related to the performance of the current network using at least one visualization method during the generation of ).
  • the network monitoring device may be located and operated in at least one of an independent network node connected to the network, an input or output terminal of a plane on the network, or a server serving as a destination of a packet on the network.
  • the network monitoring device may operate by being located at least two in the network.
  • the present invention not only the security and performance of the terminal itself can be monitored, but also the security and performance of the network to which the terminal is connected can be monitored, and visibility and intuitiveness of the entire area of the network are secured, thereby securing the security and performance of network services. It has the effect of preemptively managing (preventing) problems.
  • FIG. 2 is a conceptual diagram illustrating a wireless communication system to which the present invention can be applied.
  • FIG. 4 is a block diagram showing a radio protocol structure for a control plane.
  • NG-RAN New Generation Radio Access Network
  • FIG. 6 is a block diagram illustrating functional partitioning between NG-RAN and 5GC.
  • FIG. 7 is a diagram showing another example of a wireless communication system to which the technical features of the present invention can be applied.
  • FIG. 8 is a diagram showing another example of a wireless communication system to which the technical features of the present invention can be applied.
  • FIG. 10 is a diagram for explaining a method of performing network security monitoring based on a security check packet according to an embodiment according to a first scenario.
  • 11 is a security packet structure according to the first scenario.
  • FIG. 12 is a diagram for explaining a method of performing network security monitoring based on a security check packet according to an embodiment according to a second scenario.
  • 13 is a security packet structure according to the second scenario.
  • FIG. 14 is a diagram showing another example of a wireless communication system to which the technical features of the present invention can be applied.
  • 15 is a 5G NPN security architecture providing a network security monitoring function according to an example.
  • 16 is a 5G NPN security architecture providing a network security monitoring function according to another example.
  • FIG. 19 is a block diagram illustrating a connection configuration between a network monitoring device and other devices in a network according to an embodiment of the present invention.
  • 21 is a block diagram specifically illustrating a network monitoring device according to an embodiment of the present invention.
  • first and second may be used to describe various components, but the components should not be limited by the terms. These terms are only used for the purpose of distinguishing one component from another. For example, a first element may be termed a second element, and similarly, a second element may be termed a first element, without departing from the scope of the present invention.
  • the terms and/or include any combination of a plurality of related recited items or any of a plurality of related recited items.
  • a user basically means a user of a user terminal. However, in some cases, it also means a user of the network monitoring device according to an embodiment of the present invention.
  • a network operator and/or network manager is a person who manages a network related to a network monitoring device, and may refer to a user of the network monitoring device.
  • a network monitoring device is a device that calculates indicators related to network security and performance, and may be referred to as a packet mirroring device.
  • the network monitoring device may be implemented as a device for visualizing the security and performance indicators of network services, it may be referred to as a network monitoring visualization device.
  • the network monitoring device may exist as an independent device or may be provided as a function implemented by another entity in the network.
  • the network monitoring device may be called a network monitoring function (hereinafter referred to as NMF). Therefore, the NMF that monitors packets input and output to the server may be called a network server monitoring function (NMSF), and the NMF that monitors the user terminal (or client terminal) may be called a network client monitoring function (network client monitoring function: NMCF).
  • NMF network monitoring function
  • NMSF network server monitoring function
  • NMCF network client monitoring function
  • network security and performance may be used generically, in relation to communication security and performance in servers, communication networks, and clients.
  • E-UTRAN Evolved-UMTS Terrestrial Radio Access Network
  • LTE Long Term Evolution
  • the E-UTRAN includes a base station (BS) 20 that provides a control plane and a user plane to a user equipment (UE) 10.
  • the terminal 10 may be fixed or mobile, and may be referred to by other terms such as a mobile station (MS), a user terminal (UT), a subscriber station (SS), a mobile terminal (MT), and a wireless device.
  • the base station 20 refers to a fixed station that communicates with the terminal 10, and may be called other terms such as an evolved-NodeB (eNB), a base transceiver system (BTS), and an access point.
  • eNB evolved-NodeB
  • BTS base transceiver system
  • Base stations 20 may be connected to each other through an X2 interface.
  • the base station 20 is connected to an Evolved Packet Core (EPC) 30 through the S1 interface, and more specifically, to a Mobility Management Entity (MME) through the S1-MME and a Serving Gateway (S-GW) through the S1-U.
  • EPC Evolved Packet Core
  • MME Mobility Management Entity
  • S-GW Serving Gateway
  • the EPC 30 is composed of an MME, an S-GW, and a Packet Data Network-Gateway (P-GW).
  • the MME has access information of the terminal or information about the capabilities of the terminal, and this information is mainly used for mobility management of the terminal.
  • the S-GW is a gateway with E-UTRAN as an endpoint
  • the P-GW is a gateway with PDN as endpoint.
  • the layers of the Radio Interface Protocol between the terminal and the network are L1 (layer 1), L1 (layer 1), It can be divided into L2 (second layer) and L3 (third layer).
  • the physical layer belonging to the first layer provides an information transfer service using a physical channel.
  • a Radio Resource Control (RRC) layer located in layer 3 serves to control radio resources between a terminal and a network. To this end, the RRC layer exchanges RRC messages between the terminal and the base station.
  • RRC Radio Resource Control
  • FIG. 3 is a block diagram showing a radio protocol architecture for a user plane
  • FIG. 4 is a block diagram showing a radio protocol architecture for a control plane.
  • the user plane is a protocol stack for transmitting user data
  • the control plane is a protocol stack for transmitting control signals.
  • a physical (PHY) layer provides an information transfer service to an upper layer using a physical channel.
  • the physical layer is connected to a medium access control (MAC) layer, which is an upper layer, through a transport channel.
  • MAC medium access control
  • Data moves between the MAC layer and the physical layer through the transport channel. Transmission channels are classified according to how and with what characteristics data is transmitted through the air interface.
  • the physical channel may be modulated using OFDM (Orthogonal Frequency Division Multiplexing) and utilizes time and frequency as radio resources.
  • OFDM Orthogonal Frequency Division Multiplexing
  • Functions of the MAC layer include mapping between logical channels and transport channels and multiplexing/demultiplexing MAC service data units (SDUs) belonging to the logical channels into transport blocks provided as physical channels on the transport channels.
  • SDUs MAC service data units
  • the MAC layer provides services to the Radio Link Control (RLC) layer through logical channels.
  • RLC Radio Link Control
  • RLC Radio Bearer
  • TM transparent mode
  • UM unacknowledged mode
  • Acknowledged Mode acknowledged Mode
  • AM provides three operation modes.
  • AM RLC provides error correction through automatic repeat request (ARQ).
  • the Radio Resource Control (RRC) layer is defined only in the control plane.
  • the RRC layer is responsible for the control of logical channels, transport channels, and physical channels in relation to configuration, re-configuration, and release of radio bearers.
  • RB means a logical path provided by the first layer (PHY layer) and the second layer (MAC layer, RLC layer, PDCP layer) for data transfer between the terminal and the network.
  • the functions of the Packet Data Convergence Protocol (PDCP) layer in the user plane include delivery of user data, header compression, and ciphering.
  • Functions of a Packet Data Convergence Protocol (PDCP) layer in the control plane include transmission of control plane data and encryption/integrity protection.
  • Establishing an RB means a process of defining characteristics of a radio protocol layer and a channel and setting specific parameters and operation methods to provide a specific service.
  • RBs can be further divided into two types: Signaling RBs (SRBs) and Data RBs (DRBs).
  • SRBs Signaling RBs
  • DRBs Data RBs
  • the SRB is used as a path for transmitting RRC messages in the control plane
  • the DRB is used as a path for transmitting user data in the user plane.
  • the terminal When an RRC connection is established between the RRC layer of the terminal and the RRC layer of the E-UTRAN, the terminal is in an RRC connected state, otherwise it is in an RRC idle state.
  • a downlink transmission channel for transmitting data from a network to a terminal includes a broadcast channel (BCH) for transmitting system information and a downlink shared channel (SCH) for transmitting user traffic or control messages.
  • Traffic or control messages of a downlink multicast or broadcast service may be transmitted through a downlink SCH or may be transmitted through a separate downlink multicast channel (MCH).
  • an uplink transmission channel for transmitting data from a terminal to a network includes a random access channel (RACH) for transmitting an initial control message and an uplink shared channel (SCH) for transmitting user traffic or control messages.
  • RACH random access channel
  • Logical channels located above transport channels and mapped to transport channels include BCCH (Broadcast Control Channel), PCCH (Paging Control Channel), CCCH (Common Control Channel), MCCH (Multicast Control Channel), MTCH (Multicast Traffic Channel) Channel), etc.
  • BCCH Broadcast Control Channel
  • PCCH Paging Control Channel
  • CCCH Common Control Channel
  • MCCH Multicast Control Channel
  • MTCH Multicast Traffic Channel
  • a physical channel is composed of several OFDM symbols in the time domain and several sub-carriers in the frequency domain.
  • One sub-frame is composed of a plurality of OFDM symbols in the time domain.
  • a resource block is a resource allocation unit and is composed of a plurality of OFDM symbols and a plurality of sub-carriers.
  • each subframe may use specific subcarriers of specific OFDM symbols (eg, the first OFDM symbol) of the corresponding subframe for a Physical Downlink Control Channel (PDCCH), that is, an L1/L2 control channel.
  • PDCCH Physical Downlink Control Channel
  • TTI Transmission Time Interval
  • new radio access technology new RAT, NR
  • 5G new radio access technology
  • next-generation communication As more and more communication devices require greater communication capacity, a need for improved mobile broadband communication compared to conventional radio access technology (RAT) has emerged.
  • massive machine type communications MTC
  • MTC massive machine type communications
  • communication system design considering reliability and latency-sensitive services/terminals is being discussed.
  • next-generation wireless access technologies considering enhanced mobile broadband communication, massive MTC, URLLC (Ultra-Reliable and Low Latency Communication), etc. is being discussed, and in the present invention, for convenience, the corresponding technology is called new RAT, NR or 5G.
  • NG-RAN New Generation Radio Access Network
  • an NG-RAN may include a gNB and/or an eNB that provides user plane and control plane protocol termination to a UE.
  • 4 illustrates a case including only gNB.
  • gNB and eNB are connected to each other through an Xn interface.
  • the gNB and the eNB are connected to a 5G Core Network (5GC) through an NG interface.
  • 5GC 5G Core Network
  • AMF access and mobility management function
  • UPF user plane function
  • Figure 6 illustrates the functional split between NG-RAN and 5GC.
  • the gNB provides inter-cell radio resource management (Inter Cell RRM), radio bearer management (RB control), connection mobility control (Connection Mobility Control), radio admission control (Radio Admission Control), measurement setup and provision. (Measurement configuration & provision) and dynamic resource allocation.
  • AMF can provide functions such as NAS security and idle state mobility handling.
  • UPF may provide functions such as mobility anchoring and PDU processing.
  • Session Management Function (SMF) may provide functions such as terminal IP address allocation and PDU session control.
  • FIG. 7 is a diagram showing another example of a wireless communication system to which the technical features of the present invention can be applied.
  • FIG. 7 illustrates a system architecture based on a 5G new radio access technology (NR) system.
  • An entity used in the 5G NR system (hereinafter, simply referred to as “NR”) may absorb some or all functions of entities introduced in FIG. 2 (e.g., eNB, MME, S-GW).
  • An entity used in the NR system may be identified with the name "NG" to distinguish it from LTE.
  • 3GPP TS 38 series (3GPP TS 38.211, 38.212, 38.213, 38.214, 38.331, etc.) to help understand the description below.
  • the wireless communication system includes one or more UEs 11, a next-generation RAN (NG-RAN), and a 5th generation core network (5GC).
  • NG-RAN consists of at least one NG-RAN node.
  • An NG-RAN node is an entity corresponding to the BS 20 shown in FIG. 2 .
  • An NG-RAN node consists of at least one gNB 21 and/or at least one ng-eNB 22.
  • the gNB 21 provides termination of the NR user plane and control plane protocols towards the UE 11 .
  • Ng-eNB 22 provides termination of E-UTRA user plane and control plane protocols towards UE 11 .
  • 5GC includes access and mobility management function (AMF), user plane function (UPF) and session management function (SMF).
  • AMF hosts functions such as NAS security, idle state mobility handling, and more.
  • AMF is an entity that includes the functions of a conventional MME.
  • UPF hosts functions such as mobility anchoring and protocol data unit (PDU) processing.
  • PDU protocol data unit
  • a UPF is an entity that includes the functions of a conventional S-GW.
  • the SMF hosts functions such as UE IP address allocation and PDU session control.
  • the gNB and ng-eNB are interconnected through the Xn interface. gNB and ng-eNB are also connected to 5GC through NG interface. More specifically, it is connected to the AMF through the NG-C interface and to the UPF through the NG-U interface.
  • FIG. 8 is a diagram showing another example of a wireless communication system to which the technical features of the present invention can be applied. Specifically, FIG. 8 shows a system architecture based on an LTE system.
  • An entity used in NR may absorb some or all functions of entities introduced in FIG. 5 (eg, gNB, AMF, UPF).
  • An entity used in the LTE system may be identified with the name "EN" to distinguish it from NR.
  • the wireless communication system includes one or more UEs 11, E-UTRAN and EPC.
  • E-UTRAN consists of at least one E-UTRAN node.
  • the E-UTRAN node is an entity corresponding to the BS 20 shown in FIG. 2 .
  • An E-UTRAN node consists of at least one en-gNB 23 and/or at least one eNB 20.
  • the en-gNB 23 provides termination of the NR user plane and control plane protocols towards the UE 11 .
  • the eNB 20 provides termination of the E-UTRAN user plane and control plane protocols towards the UE 11 .
  • EPC includes MME and S-GW.
  • the en-gNB and eNB are interconnected through the X2 interface.
  • the en-gNB and eNB are connected to the EPC through the S1 interface. More specifically, it is connected to the MME and/or S-GW via the S1-U and/or S1 interface.
  • the three main requirements areas of 5G are (1) enhanced mobile broadband (eMBB) area, (2) massive machine type communication (mMTC) area, and ( 3) It includes the ultra-reliable and low latency communications (URLLC) area.
  • eMBB enhanced mobile broadband
  • mMTC massive machine type communication
  • URLLC ultra-reliable and low latency communications
  • Some use cases may require multiple areas for optimization, while other use cases may focus on just one key performance indicator (KPI).
  • KPI key performance indicator
  • eMBB focuses on overall improvements in data rate, latency, user density, capacity and coverage of mobile broadband access.
  • eMBB targets a throughput of around 10 Gbps.
  • eMBB goes far beyond basic mobile Internet access, and covers rich interactive work, media and entertainment applications in the cloud or augmented reality.
  • Data is one of the key drivers of 5G, and we may not see dedicated voice services for the first time in the 5G era.
  • voice is expected to be handled simply as an application using the data connection provided by the communication system.
  • the main causes of the increased traffic volume are the increase in content size and the increase in the number of applications requiring high data rates.
  • Streaming services audio and video
  • interactive video and mobile internet connections will become more widely used as more devices connect to the internet.
  • Cloud storage and applications are rapidly growing in mobile communication platforms, which can be applied to both work and entertainment.
  • Cloud storage is a particular use case driving the growth of uplink data rates.
  • 5G is also used for remote work in the cloud, requiring much lower end-to-end latency to maintain a good user experience when tactile interfaces are used.
  • cloud gaming and video streaming are other key factors driving the demand for mobile broadband capabilities.
  • Entertainment is essential on smartphones and tablets everywhere, including in highly mobile environments such as trains, cars and planes.
  • Another use case is augmented reality for entertainment and information retrieval.
  • augmented reality requires very low latency and instantaneous amount of data.
  • mMTC is designed to enable communication between high-volume, low-cost devices powered by batteries, and is intended to support applications such as smart metering, logistics, field and body sensors.
  • mMTC targets 10 years of batteries and/or 1 million devices per km 2 .
  • mMTC enables seamless connectivity of embedded sensors in all fields and is one of the most anticipated 5G use cases. Potentially, IoT devices are predicted to reach 20.4 billion by 2020.
  • Industrial IoT is one area where 5G is playing a key role enabling smart cities, asset tracking, smart utilities, agriculture and security infrastructure.
  • 5G can complement fiber-to-the-home (FTTH) and cable-based broadband (or DOCSIS) as a means of delivering streams rated at hundreds of megabits per second to gigabits per second.
  • FTTH fiber-to-the-home
  • DOCSIS cable-based broadband
  • Such high speeds may be required to deliver TV at resolutions of 4K and beyond (6K, 8K and beyond) as well as virtual reality (VR) and augmented reality (AR).
  • VR and AR applications include almost immersive sports events. Certain applications may require special network settings. For example, in the case of VR games, game companies may need to integrate their core servers with the network operator's edge network servers to minimize latency.
  • the next step will be remotely controlled or self-driving vehicles. This requires very reliable and very fast communication between different autonomous vehicles and/or between vehicles and infrastructure. In the future, autonomous vehicles will perform all driving activities, leaving drivers to focus only on traffic anomalies that the vehicle itself cannot identify. The technological requirements of autonomous vehicles require ultra-low latency and ultra-high reliability to increase traffic safety to levels that humans cannot achieve.
  • Smart cities and smart homes will be embedded with high-density wireless sensor networks.
  • a distributed network of intelligent sensors will identify conditions for cost- and energy-efficient maintenance of a city or home.
  • a similar setup can be done for each household.
  • Temperature sensors, window and heating controllers, burglar alarms and appliances are all connected wirelessly. Many of these sensors typically require low data rates, low power and low cost.
  • real-time HD video for example, may be required in certain types of devices for surveillance.
  • Machine learning refers to the field of defining various problems dealt with in the field of artificial intelligence and studying methodologies to solve them. do. Machine learning is also defined as an algorithm that improves the performance of a certain task through constant experience.
  • An artificial neural network is a model used in machine learning, and may refer to an overall model that has problem-solving capabilities and is composed of artificial neurons (nodes) that form a network by synaptic coupling.
  • An artificial neural network can be defined by a connection pattern between neurons in different layers, a learning process for updating model parameters, and an activation function for generating output values.
  • An artificial neural network may include an input layer, an output layer, and optionally one or more hidden layers. Each layer may include one or more neurons, and the artificial neural network may include neurons and synapses connecting the neurons. In an artificial neural network, each neuron may output a function value of an activation function for input signals, weights, and biases input through a synapse.
  • Model parameters refer to parameters determined through learning, and include weights of synaptic connections and biases of neurons.
  • hyperparameters mean parameters that must be set before learning in a machine learning algorithm, and include a learning rate, number of iterations, mini-batch size, initialization function, and the like.
  • the purpose of learning an artificial neural network can be seen as determining model parameters that minimize the loss function.
  • the loss function may be used as an index for determining optimal model parameters in the learning process of an artificial neural network.
  • Machine learning can be classified into supervised learning, unsupervised learning, and reinforcement learning according to learning methods.
  • Supervised learning refers to a method of training an artificial neural network given a label for training data, and a label is the correct answer (or result value) that the artificial neural network must infer when learning data is input to the artificial neural network.
  • Unsupervised learning may refer to a method of training an artificial neural network in a state in which a label for training data is not given.
  • Reinforcement learning may refer to a learning method in which an agent defined in an environment learns to select an action or action sequence that maximizes a cumulative reward in each state.
  • machine learning implemented as a deep neural network (DNN) including a plurality of hidden layers is also called deep learning, and deep learning is a part of machine learning.
  • DNN deep neural network
  • machine learning is used to include deep learning.
  • a robot may refer to a machine that automatically processes or operates a given task based on its own abilities.
  • a robot having a function of recognizing an environment and performing an operation based on self-determination may be referred to as an intelligent robot.
  • the robot may perform various physical operations such as moving a robot joint by having a driving unit including an actuator or a motor.
  • the movable robot includes wheels, brakes, propellers, and the like in the driving unit, and can run on the ground or fly in the air through the driving unit.
  • Autonomous driving refers to a technology that drives by itself, and an autonomous vehicle refers to a vehicle that travels without a user's manipulation or with a user's minimal manipulation.
  • autonomous driving includes technology that maintains the driving lane, technology that automatically adjusts speed, such as adaptive cruise control, technology that automatically drives along a set route, technology that automatically sets a route when a destination is set, and so on. All of these can be included.
  • a vehicle includes a vehicle having only an internal combustion engine, a hybrid vehicle having both an internal combustion engine and an electric motor, and an electric vehicle having only an electric motor, and may include not only automobiles but also trains and motorcycles.
  • the self-driving vehicle may be regarded as a robot having an autonomous driving function.
  • Extended reality is a generic term for virtual reality (VR), augmented reality (AR), and mixed reality (MR).
  • VR technology provides only CG images of objects or backgrounds in the real world
  • AR technology provides CG images created virtually on top of images of real objects
  • MR technology provides a computer that mixes and combines virtual objects in the real world. It is a graphic technique.
  • MR technology is similar to AR technology in that it shows real and virtual objects together. However, there is a difference in that virtual objects are used to supplement real objects in AR technology, whereas virtual objects and real objects are used with equal characteristics in MR technology.
  • HMD Head-Mount Display
  • HUD Head-Up Display
  • mobile phones tablet PCs, laptops, desktops, TVs, digital signage, etc.
  • a wireless network may be configured by a network security architecture.
  • the network security architecture may include at least one network monitoring function (NMF).
  • NMF may be implemented by a deep packet inspection (DPI) function deployed in a network node or a dedicated DPI network node.
  • DPI deep packet inspection
  • NMF can be divided into NMSF and NMCF according to the node where the function is located. That is, NMSF may be a kind of server as a network node, and may be implemented in the form of a module or function in another server.
  • NMCF itself may be a type of terminal or IoT device, or may be implemented in the form of a module or function in another terminal or IoT device.
  • NMCF is stored as software in a chip or memory of a terminal and may perform an operation of monitoring security or performance of a terminal (or client node).
  • a network security architecture including such NMSF and NMCF can be applied to various networks such as LTE, 5G, and 5G NPN disclosed in this specification.
  • entities within a radio access network (RAN) or entities within a core network may be equipped with NMSFs, and user terminals may be equipped with NMCFs.
  • a specific protocol is defined between the NMSF and the NMCF so that signals related to performance or security can be exchanged. That is, if the network is equipped with NMSF and NMCF, the network operator can monitor various security and performance problems occurring on the communication path between network nodes and end user terminals, and accordingly, various services provided based on the type of network (i.e. 5G URLLC service) can be efficiently provided.
  • 5G URLLC service i.e. 5G URLLC service
  • Active RTT inspection refers to a method of forcibly transmitting a packet for connecting to a network for RTT inspection. That is, the NMCF actively transmits packets for RTT checking periodically or non-periodically, so that the NMSF can check RTT based on the corresponding packet.
  • the network security architecture according to the present embodiment is applied to the network.
  • the first scenario is for a network that provides a relatively open service
  • the second scenario is for a network that provides a network connect oriented service that is strongly closed, such as a disaster network.
  • the NMCF can be integrated into the terminals connected to the network to monitor the security of the terminal, and the NMSF exists as a separate node in the network and mirrors the packets flowing on the network path through L3 switching and secures the network. can be monitored.
  • the NMSF since the NMSF is assigned an IP and can directly connect to the network, the NMCF and the NMSF can directly exchange security-related information, whereas in the second scenario, the NMSF is an external device and allocates an IP. Since it is not received, it is not possible to directly connect to the network. Therefore, in the second scenario, the NMSF cannot directly receive the security-related packets of the NMCF and cannot directly issue security-related instructions to the NMCF.
  • FIG. 10 is a diagram for explaining a method of performing network security monitoring based on a security check packet according to an embodiment according to a first scenario.
  • a terminal integrated with NMCF performs security monitoring of the terminal, generates a security check packet indicating a security monitoring result, and transmits it to the network.
  • NMSF since NMSF is assigned its own IP, the destination of the security packet in the network may be NMSF. That is, NMSF can directly receive the security check packet from NMCF.
  • the security monitoring of the terminal is exemplarily an operation of monitoring the system log file of the terminal, an operation of determining whether an access attempt to the terminal occurs from an IP other than the allowed IP included in the white list, and an operation of analyzing packet information about the terminal. , It may include at least a part of an operation of analyzing state information of the terminal and an operation of obtaining alive information indicating whether connection to the terminal is possible.
  • the operation of monitoring the system log file of the terminal may include a process of determining that a security problem has occurred when a login attempt is made to the terminal from a disallowed IP.
  • the operation of monitoring the system log file of the terminal may include a process of determining that a security problem has occurred when an operation of an unknown process occurs in the terminal.
  • the operation of monitoring the system log file of the terminal may include a process of determining that a security problem has occurred when login failures occur more than a predetermined number of times during a predetermined period of time.
  • the operation of analyzing state information of the terminal may include a process of determining that a security problem has occurred when internal information of the terminal is equal to or greater than a preset threshold.
  • the internal information may be, for example, CPU usage or memory usage of the terminal.
  • the operation of analyzing state information of the terminal may include a process of determining that a security problem has occurred when an event in which an additional medium is connected or disconnected from the terminal occurs.
  • the operation of obtaining Alive information is based on at least one of a determination that access to the terminal is impossible for a period of time longer than a predetermined threshold, and a determination that the device IP does not exist in ARP (Address Resolution Protocol).
  • a process of determining that a security problem has occurred may be included.
  • the terminal If it is determined that a security problem has occurred as described above, the terminal (or NMCF) generates a security check packet indicating a security monitoring result.
  • Security check packets may be generated and transmitted periodically or aperiodically.
  • 11 is a security packet structure according to the first scenario.
  • the security check packet is in a TCP packet format and includes a TCP header and a TCP payload.
  • the TCP payload may include a user ID (UID) field, a length field, and a monitoring result field.
  • UID user ID
  • the UID field, the length field, and the monitoring result field may be defined as shown in Table 1 below.
  • the UID field is 4 bytes and indicates the user ID or identification information of the terminal
  • the length field is 2 bytes and indicates the byte length of the monitoring result field that follows the length field
  • the monitoring result field is 2 bytes. Indicates security monitoring results (alive information of the terminal, CPU usage, memory usage, etc.).
  • the NMSF upon receiving the security check packet from the NMCF, the NMSF checks the security monitoring result of the terminal based on the security check packet, and the RTT for the section (including the wireless section and the network section) passed through by the security check packet. inspection can be performed. That is, the security inspection packet itself not only provides the result of security monitoring of the terminal, but also can be used to perform security monitoring for the network section as an intermediate packet of the active RTT inspection.
  • the NMCF attempts a TCP connection using a 3-way handshaking procedure for transmission of the security check packet, and transmits the security check packet to the NMSF.
  • NMSF performs the RTT check using the 3-way handshaking procedure performed for the transmission of the security check packet.
  • NMSF may perform an RTT check at each corresponding period or time point. That is, the NMSF recognizes in advance at least at what period or time point the NMCF will transmit the security check packet, and performs the RTT check using a 3-way handshaking procedure accompanying the transmission of the security check packet. At this time, the NMSF can perform the RTT check by mirroring the signals exchanged in the 3-way handshaking procedure.
  • NMSF receives the data part from which the TCP header is removed from the security check packet, identifies from which terminal (or which NMCF) the security check packet was transmitted through the UID, and monitors the result according to the specific length indicated by the length field.
  • the field is decrypted, and it is possible to check whether a security problem occurs in the terminal from the decrypted monitoring result field.
  • FIG. 12 is a diagram for explaining a method of performing network security monitoring based on a security check packet according to an embodiment according to a second scenario.
  • a terminal integrated with NMCF performs security monitoring of the terminal, generates a security check packet indicating a security monitoring result, and transmits it to the network.
  • the destination of the security packet in the network may be a server other than NMSF. That is, NMSF cannot directly receive the security check packet from NMCF.
  • the security monitoring of the terminal is exemplarily an operation of monitoring the system log file of the terminal, an operation of determining whether an access attempt to the terminal occurs from an IP other than the allowed IP included in the white list, and an operation of analyzing packet information about the terminal. , It may include at least a part of an operation of analyzing state information of the terminal and an operation of obtaining alive information indicating whether connection to the terminal is possible.
  • the operation of monitoring the system log file of the terminal may include a process of determining that a security problem has occurred when a login attempt is made to the terminal from a disallowed IP.
  • the operation of monitoring the system log file of the terminal may include a process of determining that a security problem has occurred when an operation of an unknown process occurs in the terminal.
  • the operation of monitoring the system log file of the terminal may include a process of determining that a security problem has occurred when login failures occur more than a predetermined number of times during a predetermined period of time.
  • the operation of analyzing state information of the terminal may include a process of determining that a security problem has occurred when internal information of the terminal is equal to or greater than a preset threshold.
  • the internal information may be, for example, CPU usage or memory usage of the terminal.
  • the operation of obtaining Alive information is based on at least one of a determination that access to the terminal is impossible for a period of time longer than a predetermined threshold, and a determination that the device IP does not exist in ARP (Address Resolution Protocol).
  • a process of determining that a security problem has occurred may be included.
  • the terminal If it is determined that a security problem has occurred as described above, the terminal (or NMCF) generates a security check packet indicating a security monitoring result.
  • Security check packets may be generated and transmitted periodically or aperiodically.
  • 13 is a security packet structure according to the second scenario.
  • the UID field is 4 bytes and indicates the user ID or identification information of the terminal
  • the length field is 2 bytes and indicates the byte length of the monitoring result field that follows the length field
  • the monitoring result field is 2 bytes. Indicates security monitoring results (alive information of the terminal, CPU usage, memory usage, etc.).
  • the NMSF since the NMSF cannot directly receive a security check packet, it can perform an RTT check on a section (including a wireless section and a network section) through which the security check packet passes.
  • the NMCF attempts a TCP connection using a 3-way handshaking procedure to transmit the security check packet, and transmits the security check packet to the server.
  • NMSF performs RTT check by using 3-way handshaking procedure for transmission of security check packet between NMCF and server.
  • NMSF may perform an RTT check at each corresponding period or time point. That is, the NMSF recognizes in advance at least at what period or time point the NMCF will transmit the security check packet, and performs the RTT check using a 3-way handshaking procedure accompanying the transmission of the security check packet.
  • the NMSF can perform the RTT check by mirroring the signals exchanged in the 3-way handshaking procedure.
  • NMCF and NMSF may be configured to selectively perform either one of the embodiment according to the first scenario and the embodiment according to the second scenario, or may be configured to perform both.
  • NMCF and NMSF may support a first mode operating in an embodiment according to the first scenario and a second mode operating in an embodiment according to the second scenario.
  • NMCF and NMSF may adaptively change modes according to network conditions.
  • the NMSF may be configured to operate in the second mode before being allocated an IP, and to operate in the second mode after being allocated an IP.
  • FIG. 14 is a diagram showing another example of a wireless communication system to which the technical features of the present invention can be applied.
  • FIG. 14 shows a system architecture based on a 5G non-public network (NPN) system.
  • NPN non-public network
  • 3GPP TS 22.261 NPN is called a private network and can be used to build a private network of a company and can be implemented in various configurations using virtual and physical elements of a 5G communication system.
  • the NPN may exist as a completely independent network, may be hosted by the PLMN, or may be provided in the form of a slice of the PLMN.
  • NPN may be called by various other names such as enterprise business network, enterprise private network, corporate private network, government business network, government private network, government private network, smart factory private network, and smart city private network.
  • 5G NPN is designed for high quality service requirements, high security requirements using dedicated security credentials, security/privacy/performance/safety assurance and isolation from public 5G networks to prevent malfunctions. desirable.
  • 5G technology is used to build 5G vertical services based on real-time IoT devices in smart factories and smart cities using URLLC, a requirement of 5G.
  • 5G vertical services are implemented as 5G NPNs
  • 5G NPNs must satisfy 5G requirements in terms of security and performance when processing time-sensitive data of IoT devices.
  • 5G NPN may include RAN and 5GC.
  • a 5G NPN may be assigned an ID (NPN ID) for identification with other NPNs.
  • Multiple service providers (SPs) SP#1, SP#2, and SP#N send URLLC packets to each UE (UE#A, UE#B) that are capped or connected to 5G NPN. service can be provided.
  • the 5G NPN security architecture can provide vertical services that satisfy URLLC requirements by effectively removing threats from inside or outside the network and minimizing the risks accordingly.
  • 15 is a 5G NPN security architecture providing a network security monitoring function according to an example.
  • NMCF as a module may be configured as an integrated form of a terminal (or client node) constituting a 5G NPN.
  • NMCF is stored as software in a chip or memory of a terminal and may perform an operation of monitoring security or performance of a terminal (or client node).
  • NMSF can be configured as an integrated form (integrated) to a specific network node in the computing set constituting the 5G NPN.
  • the NMSF may be configured as a form integrated into multiple-access edge computing (MEC), which is a computing set, or at least one node (eg, a server node) within the MEC.
  • MEC multiple-access edge computing
  • the NMSF is stored as software in a chip or memory in the at least one node, and may perform an operation of monitoring security or performance of the 5G NPN through packets of the N6 interface input and output from the at least one node.
  • MEC is a technology that alleviates congestion in the core network and creates new local services by deploying various services and caching contents close to user terminals by applying distributed cloud computing technology.
  • the NMCF can be fused with a user terminal, in particular an IoT device, to communicate with a gNB.
  • Mounting NMCF on IoT devices is one of the effective means to ensure security and URLLC performance in 5G NPN.
  • NMCF can be implemented in software and can be called endpoint detection and response (EDR entity or micro engine (ME)).
  • EDR entity or micro engine (ME)
  • ME micro engine
  • Terminals are wirelessly connected to gNBs. Each terminal transmits packets to or receives packets from gNBs.
  • the gNBs are connected to the 5G core network or via the N3 interface (or GTP tunnel). can be connected to the local network via the network, where packets flow through the N3 interface.
  • 16 is a 5G NPN security architecture providing a network security monitoring function according to another example.
  • the NMCF may be configured as a module and integrated into a terminal (or client node) constituting a 5G NPN.
  • NMCF is stored as software in a chip or memory of a terminal and may perform an operation of monitoring security or performance of a terminal (or client node).
  • NMSF is an independent network node constituting 5G NPN, and can be configured separately from other network nodes or entities.
  • NMSF can be configured as an independent network node separate from UPF or MEC.
  • the NMSF is coupled to the input or output of the UPF (eg N3 interface) or coupled to the input or output of the MEC to monitor the security or performance of the 5G NPN through packets of the N3 interface.
  • the 5G NPN security architecture may further include a switch device branching the N3 interface to mirror packets of the N3 interface.
  • NMCF and NMSF can communicate with each other through the N3 interface, for example, to share security-related signals such as monitoring results in NMCF, and the sharing of security-related signals is based on the IP designated for NMSF. can do.
  • security-related signals such as monitoring results in NMCF
  • the sharing of security-related signals is based on the IP designated for NMSF. can do.
  • NMSF may be configured at a point where packets decrypted from the node are output.
  • 17 is a 5G NPN security architecture providing a network security monitoring function according to another example. 17 is different from FIGS. 15 and 16 in that a plurality of NMSFs are configured in one 5G NPN.
  • the NMCF may be configured as a module and integrated into a terminal (or client node) constituting a 5G NPN.
  • NMCF is stored as software in a chip or memory of a terminal and may perform an operation of monitoring security or performance of a terminal (or client node).
  • the second NMSF is an independent network node constituting the 5G NPN, and may be configured separately from other network nodes or entities.
  • the second NMSF may be configured as an independent network node separate from the UPF or MEC.
  • the second NMSF can be coupled to the input or output of the UPF to monitor the security or performance of the 5G NPN through packets of the N3 interface.
  • the 5G NPN security architecture may further include a switch device branching the N3 interface to mirror packets of the N3 interface.
  • the NMCF and the first NMSF and/or the second NMSF may communicate with each other through, for example, an N3 interface to share security-related signals such as monitoring results in the NMCF. and/or an IP designated for the second NMSF.
  • an N3 interface to share security-related signals such as monitoring results in the NMCF. and/or an IP designated for the second NMSF.
  • the first and/or second NMSFs may be configured at a point where packets decrypted from the node are output.
  • NMSFs and NMCFs are deployed in various forms within the 5G NPN.
  • the 5G NPN security architectures according to FIGS. 15 to 17 are not mutually exclusive, and may be implemented as one or a combination of two or more depending on network characteristics and costs.
  • embodiments in which NMSF and NMCF are deployed within 5G NPN may be derived in various ways other than FIGS. 15 to 17, and for example, NMSFs may be fused to other network entities or network nodes unrelated to UPF and/or MEC. Of course there is.
  • NMSF is configured to perform at least one of the following functions.
  • the NMSF performs a function of obtaining at least one mirrored packet by mirroring packets transmitted and received between the client node and the server node.
  • the client node may be, for example, a user terminal or an IoT device.
  • Packet mirroring is a technique that collects and analyzes packets exchanged in a specific node in real time.
  • the NMSF may further include a switching function or a switching device for branching connection lines between nodes for packet mirroring.
  • the NMSF performs a function of determining an abnormal operation or security problem that threatens the security and performance of the 5G NPN based on the information included in the mirrored packet.
  • NMSF performs an alerting function for abnormal operations that interfere with URLLC requirements based on security and performance monitoring results.
  • NMSF When an abnormal operation that threatens security or performance is detected, NMSF notifies the user so that the user can properly respond to the abnormal operation.
  • NMSF also sends alerting information to the security controller.
  • the notification information is information instructing the security controller to take action against the abnormal operation, and the security controller receiving the notification information performs an operation to recover the abnormal operation (for example, shutting down the network).
  • Notification information may be transmitted through the N3 interface (or GTP tunnel) provided by the 3GPP signaling protocol.
  • the NMCF is configured to perform at least one of the following functions.
  • the NMCF performs a function of collecting packets or internal information transmitted and received by client nodes on the network.
  • the NMCF performs an operation of monitoring and determining a network security threat associated with a client node based on the collected packets or internal information.
  • the NMCF performs an operation of notifying the result of monitoring network security threats to NMSF using an IP designated for NMSF.
  • the NMCF may display an alert on an abnormal terminal operation to the user of the IoT device.
  • NMCF operates using computing resources of individual client nodes or IoT devices, and resources that do not affect the basic performance and functions of individual client nodes or IoT devices. use the amount of
  • NMCF can detect abnormal behavior through data generated by client nodes or IoT devices, it can more accurately determine the security status of client nodes or IoT devices compared to NMSF. Furthermore, when the number of IoT terminals connected to 5G NPN increases exponentially, monitoring all data flows is a heavy burden on NMSF, so it is effective to monitor the security and performance of 5G NPN in collaboration with NMCF. Security and performance monitoring by the NMSF is essential because the NMCF fused to the client node or the IoT device may stop working due to a problem with the client node or the IoT device itself (eg, power shutdown).
  • the following embodiment relates to a method for calculating a network performance indicator according to packet mirroring and packet analysis by NMSF.
  • the NMSF will be expressed as a network monitoring device.
  • user terminals 910 - 1 to 910 - 3 access a specific web site and/or web application through a network 920 .
  • the user terminals 910-1 to 910-3 may be portable terminals, robots, IoT devices (eg, sensors) on the 5G network. Access is performed at the server end 930 to 950 associated with the web site and/or web application.
  • the user terminals 910 - 1 to 910 - 3 access a specific web page through a web browser and request execution of a desired page or application.
  • the request may include not only static content such as an html document, but also multimedia content such as video and audio, and/or execution of other applications.
  • the user terminals 910-1 to 910-3 are arbitrary devices operated by the user and including communication functions (including Internet access and web browser execution functions) and data processing functions.
  • the user terminals 910-1 to 910-3 include a mobile station (MS), a user equipment (or user terminal) (UE), a user terminal (UT), a wireless terminal, an access terminal (AT), Terminal, fixed or mobile subscriber unit, subscriber station (SS), cellular telephone, wireless device, wireless communication device, wireless transmit/receive unit (WTRU), mobile node , mobile, mobile station, personal digital assistant (PDA), smartphone, laptop, netbook, personal computer, wireless sensor, consumer electronics (CE), robot, IoT device, or other terms.
  • MS mobile station
  • UE user equipment
  • UT user terminal
  • AT access terminal
  • AT fixed or mobile subscriber unit
  • SS subscriber station
  • cellular telephone wireless device
  • wireless communication device wireless transmit/receive unit
  • WTRU wireless transmit/receive unit
  • mobile node mobile, mobile station, personal digital
  • Various embodiments of the user terminals 910-1 to 910-3 include a cellular phone, a smart phone with a wireless communication function, a personal digital assistant (PDA) with a wireless communication function, a wireless modem, a portable computer with a wireless communication function, A photographing device such as a digital camera having a wireless communication function, a gaming device having a wireless communication function, a music storage and playback home appliance having a wireless communication function, and an Internet home appliance capable of wireless Internet access and browsing, as well as integrating combinations of such functions. It may include portable units or terminals that are being used, but are not limited thereto.
  • Each user terminal 910-1 to 910-3 includes input devices such as a mouse and keyboard for receiving user input and a display for providing a control user interface for the user to interact with networked devices. It may include a user communication interface.
  • the user interface may include a graphical user interface (GUI) to provide information to the user.
  • GUI graphical user interface
  • Networks 920 include wired and/or wireless networks.
  • the network 920 may include the Internet, and may include a 5G Stand Alone (SA) system, a 5G Non-Stand Alone (NSA), and/or a 4G system.
  • the network 920 may include a serial bus that provides a physical layer (medium) to transmit and receive data between variously connected user terminals 910-1 to 910-3 and server ends 930 to 950.
  • the serial bus may include a 1394 serial bus. This may support both time-multiplexed audio/video (A/V) streams and standard IP (Internet Protocol) communication (eg, IETF REC 2734), but is not necessarily limited thereto. .
  • A/V audio/video
  • IP Internet Protocol
  • Networks 920 may also include non-1394 networks (eg, Ethernet, etc.). Also, network 920 may include a home network. Each of the user terminals 910 - 1 to 910 - 3 may communicate with one or more server devices 930 to 950 in the network 920 .
  • Server stages 930 to 950 respond to users' requests by using network 920 resources to provide services to users. Although it is expressed as a server stage (930 to 950), it does not necessarily have to be a server related to a specific website. It may be a single server device.
  • the term “server” refers to another entity that communicates with a specific user terminal 910-1 to 910-3, a target entity requested for communication by the user terminal 910-1 to 910-3, and a user. It may mean a controller device (a central control device that controls a robot or IoT device, etc.) that controls the terminals 910-1 to 910-3, and/or a base station (eNB, gNB, etc.).
  • Server stages 930 to 950 return information (data) in response to requests from user terminals 910-1 to 910-3. It also includes the performance of a function (e.g., a mechanical function) and return of state, the return of data stream and state, the acceptance of data stream and return of state, or the storage of state for various actions. Server stages 930 to 950 may include custom, built-in, and control programs to implement control of their own hardware.
  • a function e.g., a mechanical function
  • Server stages 930 to 950 may include custom, built-in, and control programs to implement control of their own hardware.
  • the server stages 930 to 950 may be associated with a specific web site and/or web application, and perform calculations and management related to work performed in each web site and/or web application. Server stages 930 to 950 may interact with user terminals 910 - 1 to 910 - 3 and other servers 930 to 950 . Exemplary services may include MPEG sourcing/sinking, and display services.
  • Server stages 930 to 950 provide interface data (e.g., HTML, XML, Java, JavaScript, GIF, JPEG, MPEG, graphic rupture or intended information in any other format used for the purpose).
  • interface data e.g., HTML, XML, Java, JavaScript, GIF, JPEG, MPEG, graphic rupture or intended information in any other format used for the purpose.
  • each of the servers 930 - 950 may process information such as one or more Hypertext Markup Language (HTML) that provides command and control of the device.
  • HTML Hypertext Markup Language
  • the server stages 930 to 950 may use Internet standards representing HTML pages using a browser technique.
  • the server stages 930 to 950 may include a web server 930, an app server 940: APP server, and a database server 950: DB server.
  • the server side does not necessarily have to consist of only a combination of three servers. It is effective that only the web server 930 exists and the app server 940 and database server 950 do not exist, or it is possible to configure only one app server 940, and other combinations of servers in various forms and layers are also possible. It is possible.
  • the web server 930 is a server that provides requested content to web clients.
  • the web server 930 may provide images such as static HTML, JPEG, or GIF to a web browser through an HTTP protocol.
  • the web server 930 may also embed a container capable of operating an internal application.
  • the app server 940 may also be called a web application server (WAS) server, and represents a middleware software server that provides transaction processing and management and an application execution environment in a client/server environment.
  • WAS web application server
  • the server stages 930 to 950 may be built as a three-tier web computing environment of a web server, an application server, and a database.
  • the app server 940 plays the same role as an application server in a client/server environment.
  • the app server 940 provides an application execution environment and a database access function, manages transactions, performs business logic for processing tasks, and interoperates applications between different types of systems.
  • effective distribution can be induced through functional classification of the web server 930 and the WAS 940 .
  • Static data can be structurally processed by the web server 930 existing in front, and dynamic data can be processed by WAS 940 in the back.
  • static data such as HTML, JavaScript files, CSS, images, etc. are located and processed in the web server 930 at the front stage for the user's request, so that the service request does not pass to the WAS 940.
  • the WAS 940 can focus on performing the web application.
  • a method of processing what is to be processed by the web server 930 and what is to be handed over to the WAS 940 can be processed through configuration of the web server 930 .
  • the web server 230 handles whether to transfer specific extensions or directory tasks to the WAS 940 .
  • the database server 950 is a storage in which various data handled by the web server 930 and/or the app server 940 are stored.
  • the database server 950 may store a huge amount of data related to the work processed by the web server 930 and/or the app server 940, depending on the nature of the web site or web application. This may include personal information, organization information, and data related to various contents (eg, multimedia contents).
  • the network monitoring device 900 may be disposed in at least one of the network 920 and the web server 930, between the web server 930 and the app server 940, and between the app server 940 and the database server 950.
  • the network monitoring device 900 is disposed in at least one of between the network 920 and the web server 930, between the web server 930 and the app server 940, and between the app server 940 and the database server 950. It is connected to a switching device (not shown) and diagnoses the performance of a network service based on packets mirroring packets transmitted and received between two entities.
  • mirrored packets can be generated by copying based on actually transmitted/received packets (actually used user traffic)
  • separate artificial test packets can be generated to diagnose the performance of network services. no need.
  • the network monitoring device 900 can monitor all packets in real time.
  • the network monitoring device 900 is based on various information included in the mirrored packet (eg, source ID (source id), destination ID (destination id) and time information (time), input port information, output port information, etc.) It calculates various indicators representing the performance of network services in real time. Calculation of indicators may be performed in units of transactions. The calculated indicators may exceed 120, which will be described in detail with reference to FIG. 12 below. Based on the calculated indicators, the network monitoring device 900 determines for each section whether there are problems such as speed delay, waiting delay, traffic excess, and error occurrence in which section, and allows the operator or manager to check the determination result. Visualize. That is, the error section is quickly identified, and based on this, a response to the error section can be quickly made.
  • problems such as speed delay, waiting delay, traffic excess, and error occurrence in which section, and allows the operator or manager to check the determination result. Visualize. That is, the error section is quickly identified, and based on this, a response to the error section can be quickly made.
  • the network monitoring device 900 can analyze mirrored packets to track access from malicious users (related to security issues), and respond to them in real time.
  • FIG. 19 is a block diagram illustrating a connection configuration between a network monitoring device and other devices in a network according to an embodiment of the present invention.
  • a router 1022 is connected to a network such as the Internet 1020, and the router 1022 is connected to a switch 1024 so that servers 1030- 1 to 1030-3), and transmits information related to a response to the request from the first to third entities 1030-1 to 1030-3 to the user terminal.
  • the first to third entities 1030-1 to 1030-3 may be different servers.
  • the first to third entities 1030-1 to 1030-3 may be different user terminals when viewed from the client side, and packets for communication between user terminals also pass through the switch 1024.
  • the network monitoring device 1000 may analyze packet-related information by mirroring it.
  • the router 1022 or a sharing device (not shown) having a routing function extracts the location and destination of a packet transmitted from a user terminal through the Internet 1020, designates an optimal route to the location, and follows the route. Forward data packets to switch 1024. Router 1022 identifies the IP address and forwards the data to switch 1024.
  • the switch 1024 stores the unique MAC addresses of the servers 1030-1 to 1030-3, and through these addresses, which packets must be transmitted to where. and transmits the packet provided from the router 1022 to the corresponding servers 1030-1 to 1030-3.
  • the switch 1024 includes switches that serve as OSI layer 2, OSI layer 3, OSI layer 4, and/or other layers (eg, OSI layer 7). For example, a function of setting a route may be performed. In addition, functions such as load balancing, port forwarding, and QoS may be performed.
  • Switch 1024 may be referred to as a network switch, a switching hub, a port switching hub, or the like.
  • the network monitoring device 1000 is connected to the switch 1024 and acquires almost all packets provided to the servers 1030-1 to 1030-3 through the switch 1024 by mirroring them. Packet mirroring, i.e., duplication or capture of packets, may be performed at switch 1024. In some cases, it may be performed in the network monitoring device 1000 itself.
  • the switch 1024 copies the packets provided to the servers 1030-1 to 1030-3, sets the port connected to the network monitoring device 1000 as a destination port, and transfers the packet to the network monitoring device 1000. can provide In this case, the corresponding port may be designated and provided for analysis.
  • 20 is a conceptual diagram for explaining the operation of each section of the network monitoring device according to an embodiment of the present invention.
  • the user terminal 1110 transmits packets to the server terminals 1130, 1140, and 1150 through the Internet 1120, and at this time, the Internet 1120 and A router 1122 and a switch 1124 exist between the servers 1130, and the network monitoring device 1100 is connected to the switch 1124.
  • the network monitoring device 1100 may analyze the mirrored packets to check the perceived latency of the user in the user terminal 1110 .
  • information related to traffic up to the first server 1130 through the Internet 1120 can be identified, and response latency in the servers 1130, 1140, and 1150 can also be checked.
  • the response waiting time of the server end (1130, 1140, 1150) is determined for each section.
  • Response waiting times between the web server 1130 and the WAS 1140 and between the WAS 1140 and the DB server 1150 are separately calculated and handled. Web latency and app latency can be calculated separately.
  • the web response latency represents the response latency until the static URL (image (gif, png, jpg, etc.), css, js, text, etc.) receives data from the web server 1130
  • the app response latency is the response delay time until receiving the first packet of a page generated from a dynamic URL or a POST URL.
  • App response latency may be related to dynamic content including query parameters, dynamic content (page) such as HTML, ASP, JSP, PHP, etc., and/or calls using the HTTP POST method. That is, this represents the response waiting time associated with the work returned via the WAS server 1140 and/or the DB server 1150.
  • the perceived speed of the user in the user terminal 1110 is identified as a page loading time. This is analyzed and visualized as the perceived speed of each user for each major web page. That is, when a plurality of users access a specific web page, it is possible to determine the experience time of the plurality of users for each user environment and/or region.
  • the user environment may be identified differently according to a region, an OS installed in a user terminal, a type of web browser, and a type of terminal.
  • the access status and distribution monitoring environment by region can be provided. At this time, the access status by region may be provided by dividing into a global regional status targeting the entire world region and a local regional status targeting the domestic region.
  • the current state of actual traffic generation for a user section (network section) up to the server 1130 may be expressed as a network round trip time (RTT). This can also be referred to as network elapsed time.
  • RTT network round trip time
  • BPS Bit Per Second
  • UPS User Per Second
  • CPS Connection Per Second
  • TPS Transaction Per Second
  • user applications can be monitored, and abnormal actions by users can also be analyzed and tracked. Through these performance-related indicators, it is possible to recognize applications occupying network traffic, and to monitor correlations between users, applications, and networks.
  • the network monitoring device 1100 can also determine the response delay time between the servers 1130, 1140, and 1150. In other words, it is possible to identify response quality indicators for each server section, including response delay time for each server, number of waiting sessions for each server (wait), indicator for each application URI, and/or indicator for each DB server query (DB Query). can
  • the network monitoring device 1200 may include a port 1210, a packet analysis module 1220, a service module 1230, and a user interface 1240. there is. In addition, a packet analysis database 1222 and a service database 1232 may be further included.
  • At least one port 1210 may be provided, which is connected to switch devices 1224-1, 1224-2, ....
  • One port can be connected to one switch device.
  • the connected ports receive mirrored packet information from the switch devices 1224-1, 1224-2, ... and transmit the mirrored packets to the packet analysis module 1220.
  • the packet analysis module 1220 collects mirrored packets and substantially analyzes the packets. This may be called an analysis engine.
  • the packet analysis module 1220 primarily analyzes the header of the packet in the mirrored packet. Through this, it is distinguished whether it is an HTTP packet, a packet related to a DB, or a packet related to TCP. That is, it distinguishes which protocol the packet is associated with. Through this, you can check to which server the request information such as "GET/web address/HTTP/1.1" was sent.
  • the packet analysis module 1220 parses and parses this packet header information. "GET" becomes the request message, and "web address” indicates the web address associated with the request.
  • HTTP/1.1 means HTTP 1.1 version
  • language information eg, ko-kr
  • GET, POST, HEAD, PUT, DELETE, etc. may be transmitted according to the request method, and the packet analysis module 1220 stores this information together with time information and related IP.
  • the packet analysis module 1220 assigns an index to each packet, and based on the assigned index, determines which packet it is, whether the corresponding packet is an HTTP-based request packet, or a response packet to it. At this time, a comparative analysis with information obtained from packets received in the past is also performed. That is, when there is a request packet obtained from the first entity, there may be a response packet thereafter from the second entity. At this time, at least two or more packets in time series, packets transmitted and received from the first entity and the second entity Based on this, one session establishment and transaction flows can be analyzed.
  • the packet analysis module 1220 may parse which browser the user terminal has used, HOST-related information, previous URL address information, and browser-supported language information. At this time, it is possible to analyze what type of header (general header, request header, or entity header) the header is, and parse information indicating the boundary between the header and the payload.
  • the packet analysis module 1220 secondarily analyzes the URL (Uniform Resource Locator) (or URI (uniform resource identifier)), source IP (Source_ip), destination IP (Dest_ip), and time information of the mirrored packet. do.
  • URL Uniform Resource Locator
  • Source IP Source_ip
  • destination IP Destin_ip
  • time information of the mirrored packet do.
  • the source IP may indicate the IP address of the user terminal
  • the destination IP may indicate the IP of a server related to the final destination site of the request.
  • opposite information may be indicated.
  • Time information may be provided in a timestamp format.
  • length information (length) of the entire packet may be checked.
  • the packet analysis module 1220 includes packet analysis algorithms corresponding to various protocols, such as HTTP, IP, UDP, TCP, and DNS, and adapts URL, source IP, and Destination IP and time information can be extracted and used for analysis.
  • protocols such as HTTP, IP, UDP, TCP, and DNS
  • performance index information of about 120 elements per transaction can be generated. Preferably, it analyzes 6000 transactions per second. Then, the extracted packet-related information and about 120 performance indicator information generated per transaction are stored in the database 1222.
  • performance-related indicators generated based on packet-related information of mirrored packets will be described in detail.
  • the packet analysis module 1220 calculates round-trip arrival time information (RTT information) in units of transactions. That is, the round-trip time information of the data signal is calculated.
  • RTT information round-trip arrival time information
  • the packet analysis module 1220 generates session information. This may indicate the number of sockets being established per second, i.e., the number of sockets that are connected without disconnecting.
  • the packet analysis module 1220 calculates response latency information taken until the user terminal sends a request and receives a response from a specific server. This can be viewed as the latency it takes while querying a database, running an application, or doing other work. Conversely, from the point of view of the user terminal side from the server side, the time before the server sends a request and receives a response from a specific user terminal can be calculated as the response waiting time.
  • the packet analysis module 1220 includes BPS information indicating the size of bits transmitted or received per second, Packet Per Second (PPS) information indicating the number of packets transmitted or received per second, and the number of users connected per second (IP standard) to calculate UPS information. This can calculate how many users are connected per second based on the number of source IPs connected to a specific destination IP. In addition, CPS information indicating the number of new sessions connected per second (representing how many sessions are newly connected per second), TPS information indicating the number of transactions occurring per second (representing how many transactions occur per second) yields And, the packet analysis module 1220 calculates Hit Per Second (HPS) information indicating the number of URLs requested per second.
  • PPS Packet Per Second
  • IP standard IP standard
  • the packet analysis module 1220 calculates the HPS based on how many URLs are requested per second from the corresponding server, and in the case of the client HPS, based on how many URLs are requested per second from the corresponding client. to calculate HPS. And, the packet analysis module 1220 calculates SPS (Server Per Second) information, which is information on the number of servers connected per second. This indicates how many servers a client connects to in one second.
  • SPS Server Per Second
  • the service module 1230 generates statistics based on performance-related indicators stored in the database 1222 . Statistics may be performed on a specific server basis, on a specific user basis, on a URL basis, on a session basis, on a server group located in a specific region, on a client group basis and/or on a web page basis.
  • the service module 1230 appropriately visualizes the performance-related index so that the user can intuitively understand the performance of the service according to the current network using various preset visualization tools. Visualization is done based on statistics. That is, a graph or table in a meaningful form can be created by collecting indicators related to specific parameters. For example, a list of sessions created in a specific time period associated with a specific client or server is created, or a table for database queries generated at that time is created.
  • the service module 1230 uses a desired time or desired environment (eg, a specific web browser type or specific user terminal type (whether mobile or PC)) You can search and search based on criteria variables such as The service module 1230 may generate visualization information in an appropriate form by classifying desired data based on the selected reference variable.
  • a desired time or desired environment eg, a specific web browser type or specific user terminal type (whether mobile or PC)
  • You can search and search based on criteria variables such as The service module 1230 may generate visualization information in an appropriate form by classifying desired data based on the selected reference variable.
  • the service module 1230 may perform an alarm function of finding and displaying a problematic part in a network service. For example, when the number of waits is greater than or equal to a threshold value, it is determined that there is a problem with the response speed of the corresponding section, and that there is a problem in the corresponding section can be visually displayed.
  • the warning means according to the occurrence of a problem may be implemented in a form of transmitting a text message or a warning signal to a related user terminal, in addition to visually expressing differently. This will be described in more detail with reference to FIG. 19 .
  • Various statistical data generated by the service module 1230, visualization information data, information related to the visualization tool, and various threshold information set by the user are stored in the service database 1232, and the user can use the user interface 1240 as desired. When requesting processed information of, the corresponding information can be returned.
  • the user interface 1240 includes a device that receives various inputs from an operator and outputs visualized information such as a graph or table generated by the service module 1230 .
  • This may include input means such as a mouse, keyboard, and touch pad, and output means such as a monitor and a touch screen.
  • the user can access information about the server (e.g., server name, server IP, related URL, port, sort number, server location information, processable IP area, etc.), a database associated with it, and connection relationships (links) between various servers. ) and UX/UI database information including a visualization tool for outputting to a user and/or metadata related to visualization.
  • a rule set for determining the occurrence of a problem and various setting values related to the rule set may be input.
  • DTAF Data Traffic Analysis Function refers to NMSF when NMSF is applied to a network configuration specialized for corporate or government business networks.
  • the user equipment may include NMCF.
  • corporate business networks or government business networks may be implemented with the aforementioned 5G NPN.
  • systems, devices and components described in the embodiments may include, for example, a processor, a controller, an arithmetic logic unit (ALU), a digital signal processor, a microcomputer, a field programmable array (FPA) ), programmable logic unit (PLU), microprocessor, or any other device capable of executing and responding to instructions.
  • a processing device may run an operating system (OS) and one or more software applications running on the operating system.
  • a processing device may also access, store, manipulate, process, and generate data in response to execution of software.
  • the processing device includes a plurality of processing elements and/or a plurality of types of processing elements. It can be seen that it can include.
  • a processing device may include a plurality of processors or a processor and a controller. Other processing configurations are also possible, such as parallel processors.
  • Software may include a computer program, code, instructions, or a combination of one or more of the foregoing, which configures a processing device to operate as desired or processes independently or collectively. You can command the device.
  • Software and/or data may be any tangible machine, component, physical device, virtual equipment, computer storage medium or device, intended to be interpreted by or provide instructions or data to a processing device. , or may be permanently or temporarily embodied in a transmitted signal wave.
  • Software may be distributed on networked computer systems and stored or executed in a distributed manner.
  • Software and data may be stored on one or more computer readable media.
  • the method according to the embodiments may be implemented in the form of program instructions that can be executed through various computer means and recorded on a computer readable medium.
  • the computer readable medium may include program instructions, data files, data structures, etc. alone or in combination.
  • Program commands recorded on the medium may be specially designed and configured for the embodiment or may be known and usable to those skilled in computer software.
  • Examples of computer-readable recording media include magnetic media such as hard disks, floppy disks and magnetic tapes, optical media such as CD-ROMs and DVDs, and magnetic media such as floptical disks.
  • - includes hardware devices specially configured to store and execute program instructions, such as magneto-optical media, and ROM, RAM, flash memory, and the like.
  • program instructions include high-level language codes that can be executed by a computer using an interpreter, as well as machine language codes such as those produced by a compiler.
  • the hardware devices described above may be configured to operate as one or more software modules to perform the operations of the embodiments, and vice versa.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Environmental & Geological Engineering (AREA)
  • Data Mining & Analysis (AREA)
  • Technology Law (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

본 발명은 단말의 보안 패킷에 기반한 네트워크 보안 모니터링 장치 및 방법에 관한 것이다. 본 발명의 일 양태에 의한 네트워크 모니터링 장치에 의해 수행되는 네트워크 보안 모니터링 방법은, 클라이언트 단말의 상태를 모니터링하는 단계, 상기 모니터링의 결과에 기초하여 생성된 보안 검사 패킷을 네트워크로부터 획득하는 단계, 네트워크 스위칭 장치에서 미러링(mirroring)된 미러링 패킷을 네트워크로부터 획득하는 단계, 및 상기 보안 검사 패킷과 상기 미러링 패킷 중 적어도 하나에 기초하여 상기 네트워크에 대한 보안 모니터링을 실행하는 단계를 포함할 수 있다.

Description

단말의 보안 패킷에 기반한 네트워크 보안 모니터링 장치 및 방법
본 발명은 단말의 보안 패킷에 기반한 네트워크 보안 모니터링 장치 및 방법에 관한 것이다.
네트워크는 통신 링크 및 통신 링크에 접속된 통신 능력을 가진 다양한 장치들을 전반적으로 포함한다. 여기서, 네트워크와 관련된 장치들은, 컴퓨터, 주변 장치, 라우터, 저장 장치, 및 프로세서와 통신 인터페이스를 갖는 여러 전기 제품을 포함한다. 여기서, "장치"라는 용어는 전형적으로 논리 장치들 혹은 기능성 및 데이터를 처리 및 교환할 수 있는 다른 장치들을 포함하며, 가정용 장치들뿐만 아니라 일반 목적의 컴퓨터들을 포함할 수 있다.
전통적인 네트워크 시스템들은 사용자가 사용하는 클라이언트 장치와 웹 사이트와 연관된 다양한 서버 장치들을 포함한다. 일반적으로 클라이언트 장치는 웹 사이트를 이용하기 위해, 특정 IP 주소를 갖는 서버에 접속 요청을 하고, 대기 시간을 거쳐 접속한다. 이때, 다수의 사용자에 의해 다수의 클라이언트 장치가 특정 시점에 몰려서 서버에 접속하는 경우, 병목 현상 (bottleneck) 에 의해 서버와 연관된 네트워크 서비스의 성능이 저하될 수 있다. 서비스 성능 또는 품질 문제 발생시 사용자는 지연으로 인해, 대기 시간이 늘게 되어 서비스의 이용률이 떨어지게 되고, 이는 생산성 및 매출의 감소로 이어진다. 또한, IT 운영 비용 증가가 발생하고, 서버의 운영자 및/또는 관련 비즈니스의 경영자는 기업의 경쟁력 하락이라는 좋지 않는 결과를 맞게 될 수 있다.
특히, 5G 통신 네트워크에서는 장치 간의 통신이 5G가 요구하는 성능 범위 내에서 이루어지는 것을 가정하고 5G 네트워크 내의 장치들이 동작하기 때문에, 장치 간의 통신이 얼마나 신속하게 이루어지고 있는지, 만약 통신이 잘 이루어지고 있지 않다면, 성능 저하의 원인이 어디인지에 대한 신속한 파악이 매우 중요하다. 하지만, 이러한 성능 저하의 원인이 어디에 있는지를 명확히 파악하는 데에는 마땅한 서비스가 없어서 적절한 대응이 이루어지지 못하는 실정이다. 이러한 문제점은 결국 성능 저하의 문제에 적절히 대응하지 못하게 하고 성능 개선의 골든 타임(golden time)을 놓치게 되어 전체적인 시스템의 운영을 어렵게 하는 문제점을 야기한다.
따라서, 성능 저하의 원인을 신속히 파악하고 이에 대한 대응이 최대한 빠르게 이루어져야 한다.
도 1 은 종래 네트워크 서비스 관리를 수행하는 과정을 설명하기 위한 개념도이다.
도 1 을 참조하면, IT 관리를 위해 IT 팀장은 품질 관리와 관련된 명령을 네트워크 운영 파트, 서버 운영 파트, 데이터베이스 개발 파트 및 어플리케이션 개발 파트 등에 각각 명령한다.
특정 서비스 문제가 일어났을 때, 각각의 파트의 담당자들은 자신이 관리하는 IT 장치의 문제점을 개별적으로 판단하고, 이에 대한 보고를 한다. 즉, "어플리케이션 문제는 아니다", "네트워크 문제는 아니다" 및/또는 "서버에도 이상이 없다" 등 특정 서비스의 문제에 대해 독립적인 접근으로 인해, 문제의 원인을 신속히 식별하지 못하고, 성능 저하의 문제에 적절히 대응하지 못한다. 즉, 성능 개선의 골든 타임 (golden time) 을 놓치게 되는 문제점이 있다.
한편, 사물 인터넷 (IoT) 의 발달로 전통적인 네트워크의 구조에도 다양한 변화가 발생하였다. 사물 인터넷이 적용된 수많은 디바이스들이 네트워크에 참여하게 되면서 하나의 서버에 접속되는 클라이언트 단말의 개수는 기하급수적으로 증대되는 경향이 뚜렷하고, 각각의 디바이스들을 포함하는 네트워크 전반에 대한 진단은 점점 더 어려워지고 있다. 나아가 각각의 사물 인터넷 디바이스 중 어느 하나에 대한 보안 문제가 발생할 경우 네트워크 전체에 대한 위협이 될 수 있음에도 불구하고, 사물 인터넷 디바이스들은 종래 통상적인 네트워크의 구성요소들에 비해 보안에 취약한 문제점이 있다.
본 발명의 기술적 과제는 단말의 보안 패킷에 기반한 네트워크 보안 모니터링 장치 및 방법을 제공함에 있다.
본 발명의 일 양태에 의한 네트워크 모니터링 장치에 의해 수행되는 네트워크 보안 모니터링 방법은, 클라이언트 단말의 상태를 모니터링하는 단계, 상기 모니터링의 결과에 기초하여 생성된 보안 검사 패킷을 네트워크로부터 획득하는 단계(상기 보안 검사 패킷은 상기 클라이언트 단말의 UID(user ID) 정보, 길이 정보, 및 모니터링 결과 정보를 포함함), 네트워크 스위칭 장치에서 미러링(mirroring)된 미러링 패킷을 네트워크로부터 획득하는 단계, 및 상기 보안 검사 패킷과 상기 미러링 패킷 중 적어도 하나에 기초하여 상기 네트워크에 대한 보안 모니터링을 실행하는 단계를 포함할 수 있다.
상기 네트워크에 대한 보안 모니터링은, 상기 네트워크 상에서 IP 주소를 할당 받은 네트워크 모니터링 장치에 의해 실행되고, 상기 보안 검사 패킷을 네트워크로부터 획득하는 단계는, 상기 네트워크 모니터링 장치가 상기 IP 주소를 이용하여 상기 보안 검사 패킷을 수신하는 단계를 포함할 수 있다.
상기 보안 검사 패킷은, TCP 헤더와 TCP 페이로드를 적어도 포함하는 TCP 패킷 포맷이고, 상기 TCP 페이로드는 UID 필드, 길이 필드, 및 모니터링 결과 필드 중 적어도 하나의 필드 정보를 포함할 수 있다.
상기 네트워크에 대한 보안 모니터링은, 상기 네트워크 상에서 IP 주소를 할당 받지 않은 클라이언트 모니터링 장치에 의해 실행되고, 상기 보안 검사 패킷을 네트워크로부터 획득하는 단계는, 상기 클라이언트 모니터링 장치가 상기 네트워크 상 경로에 대한 감시를 통하여 상기 보안 검사 패킷을 획득하는 단계를 포함할 수 있다.
상기 보안 검사 패킷은, UDP 헤더와 UDP 페이로드를 적어도 포함하는 UDP 패킷 포맷이고, 상기 UDP 페이로드는 UID 필드, 길이 필드, 및 모니터링 결과 필드 중 적어도 하나의 필드 정보를 포함할 수 있다.
상기 UID 정보는 상기 클라이언트 단말 또는 상기 클라이언트 단말의 상태를 모니터링하는 클라이언트 모니터링 장치 중 적어도 하나를 고유하게 식별하기 위한 정보이고, 상기 길이 정보는 상기 모니터링 결과 정보의 길이를 나타내는 정보이고, 상기 모니터링 결과 정보는 상기 클라이언트 단말의 상태를 모니터링한 결과를 나타내는 정보일 수 있다.
상기 보안 검사 패킷은, 상기 클라이언트 단말에 통합된(integrated) 클라이언트 모니터링 장치로부터 생성되는 것을 특징으로 할 수 있다.
상기 네트워크에 대한 보안 모니터링은, 상기 네트워크에 연결된 독립적인 네트워크 노드, 상기 네트워크상 평면의 입력 또는 출력단, 또는 상기 네트워크 상의 패킷의 목적지인 서버 중 적어도 하나에 위치하여 동작하는 네트워크 모니터링 장치에 의하여 실행되는 것을 특징으로 할 수 있다.
상기 네트워크 모니터링 장치는, 상기 네트워크에 둘 이상 위치하여 동작하는 것을 특징으로 할 수 있다.
상기 네트워크 스위치는 OSI 2 계층, OSI 3계층, OSI 4계층, 또는 OSI 7계층 중 어느 하나의 계층에서 패킷을 미러링하도록 구성될 수 있다.
상기 보안 패킷은, 단말의 시스템 로그 파일을 감시하는 동작, 화이트 리스트에 포함된 허용된 IP 이외의 IP로부터 단말에 접근 시도가 발생하는지 판단하는 동작, 단말에 대한 패킷 정보를 분석하는 동작, 및 단말의 상태 정보를 분석하는 동작 및 단말에 대한 연결 가능 여부를 나타내는 얼라이브 정보를 획득하는 동작 중 적어도 하나의 동작에 의해 상기 클라이언트 단말에 보안 문제가 발생한 것으로 판단되어 생성된 것일 수 있다.
상기 네트워크에 대한 보안 모니터링을 실행하는 단계는, HTTP, IP, UDP, TCP, 및 DNS 중 적어도 하나의 프로토콜에 대응하는 패킷 분석 알고리즘을 활용하는 단계를 포함하고, 상기 패킷 분석 알고리즘은, 상기 각 프로토콜에 적응적인 방법으로 상기 미러링된 패킷으로부터 URL, 소스 IP, 목적지 IP, 및 시간정보 중 적어도 하나의 정보를 추출하여 상기 미러링된 패킷을 분석하도록 구성되고, 상기 미러링된 패킷으로부터 사용자 단말에서의 사용자 체감 지연시간, 인터넷을 통한 최초 서버까지의 트래픽, 서버 측의 각 구간별 응답 대기 시간(latency), 웹 응답 대시 시간, 앱 응답 대기 시간, 서버들 간의 응답 지연 시간, 서버별 응답 지연 시간, 서버별 응답 대기 세션수(wait), 어플리케이션 URI별 지표, 및 DB 서버의 쿼리(DB Query)별 지표 중 적어도 하나를 판단하도록 구성될 수 있다.
상기 방법은, 상기 네트워크에 대한 보안 모니터링의 결과를 시각화하여 표시하는 단계를 더 포함하고, 상기 시각화는, 의미 있는 형태의 그래프의 생성, 테이블의 생성, 및 플로우 맵(flow map)의 생성 중 적어도 하나의 시각화 방법을 이용하여 현재 네트워크의 성능에 관련된 지표 중 적어도 하나의 통계를 포함하는 정보를 시각화하는 것을 의미할 수 있다.
본 발명의 일 양태에 의한 클라이언트 단말을 모니터링하는 모니터링 장치는, 클라이언트 단말에 대한 보안 모니터링을 실행하여 모니터링 결과 정보를 생성하고, 상기 보안 모니터링의 결과에 기초하여 상기 클라이언트 단말의 UID(user ID) 정보, 길이 정보, 및 모니터링 결과 정보를 포함하는 보안 검사 패킷을 생성하고, 그리고 상기 보안 검사 패킷을 네트워크를 경유하여 전송하도록 구성될 수 있다.
상기 모니터링 장치는, 단말의 시스템 로그 파일을 감시하는 동작, 화이트 리스트에 포함된 허용된 IP 이외의 IP로부터 단말에 접근 시도가 발생하는지 판단하는 동작, 단말에 대한 패킷 정보를 분석하는 동작, 및 단말의 상태 정보를 분석하는 동작 및 단말에 대한 연결 가능 여부를 나타내는 얼라이브 정보를 획득하는 동작 중 적어도 하나의 동작에 의해 상기 클라이언트 단말에 보안 문제가 발생하였는지 판단하고, 상기 보안 문제가 발생한 것으로 판단되는 경우 상기 보안 검사 패킷을 생성하도록 구성될 수 있다.
상기 보안 검사 패킷은, TCP 헤더와 TCP 페이로드를 적어도 포함하는 TCP 패킷 포맷이고, 상기 TCP 페이로드는 UID 필드, 길이 필드, 및 모니터링 결과 필드 중 적어도 하나의 필드 정보를 포함하도록 구성될 수 있다.
상기 보안 검사 패킷은, UDP 헤더와 UDP 페이로드를 적어도 포함하는 UDP 패킷 포맷이고, 상기 UDP 페이로드는 UID 필드, 길이 필드, 및 모니터링 결과 필드 중 적어도 하나의 필드 정보를 포함하도록 구성될 수 있다.
상기 모니터링 장치는, 상기 클라이언트 단말에 통합되어(integrated) 동작할 수 있다.
본 발명의 일 양태에 의한 네트워크 상의 패킷을 모니터링하는 네트워크 모니터링 장치는, 클라이언트 단말을 모니터링하는 클라이언트 모니터링 장치로부터 송신된 보안 검사 패킷을 획득하고, 패킷을 미러링하는 네트워크 스위칭 장치로부터 미러링 패킷을 획득하고, 그리고 상기 보안 검사 패킷과 상기 미러링 패킷 중 적어도 하나를 분석하여 상기 네트워크에 대한 보안 모니터링을 실행하도록 구성될 수 있다.
상기 네트워크 모니터링 장치는 상기 네트워크 상에서 IP 주소를 할당 받고, 상기 IP 주소에 기초하여 TCP 패킷으로서의 보안 검사 패킷을 수신하도록 구성될 수 있다.
상기 네트워크 모니터링 장치는 상기 네트워크 상에서 IP 주소를 할당 받지 아니하고, 상기 네트워크 상 경로의 패킷을 감시하여 UDP 패킷으로서의 보안 검사 패킷을 획득하도록 구성될 수 있다.
상기 네트워크 모니터링 장치는, HTTP, IP, UDP, TCP, 및 DNS 중 적어도 하나의 프로토콜에 대응하는 패킷 분석 알고리즘을 포함하고, 상기 패킷 분석 알고리즘은, 상기 각 프로토콜에 적응적인 방법으로 상기 미러링된 패킷으로부터 URL, 소스 IP, 목적지 IP, 및 시간정보 중 적어도 하나의 정보를 추출하여 상기 미러링된 패킷을 분석하도록 구성되고, 상기 미러링된 패킷으로부터 사용자 단말에서의 사용자 체감 지연시간, 인터넷을 통한 최초 서버까지의 트래픽, 서버 측의 각 구간별 응답 대기 시간(latency), 웹 응답 대시 시간, 앱 응답 대기 시간, 서버들 간의 응답 지연 시간, 서버별 응답 지연 시간, 서버별 응답 대기 세션수(wait), 어플리케이션 URI별 지표, 및 DB 서버의 쿼리(DB Query)별 지표 중 적어도 하나를 판단하도록 구성될 수 있다.
상기 네트워크 모니터링 장치는, 상기 네트워크 모니터링 장치의 상기 네트워크에 대한 보안 모니터링 결과를 시각화하는 서비스 모듈에 연결되고, 상기 서비스 모듈은, 의미 있는 형태의 그래프의 생성, 테이블의 생성, 및 플로우 맵(flow map)의 생성 중 적어도 하나의 시각화 방법을 이용하여 현재 네트워크의 성능에 관련된 지표 중 적어도 하나의 통계를 포함하는 정보를 시각화하도록 구성될 수 있다.
상기 네트워크 모니터링 장치는, 상기 네트워크에 연결된 독립적인 네트워크 노드, 상기 네트워크상 평면의 입력 또는 출력단, 또는 상기 네트워크 상의 패킷의 목적지인 서버 중 적어도 하나에 위치하여 동작할 수 있다.
상기 네트워크 모니터링 장치는, 상기 네트워크에 둘 이상 위치하여 동작할 수 있다.
본 발명에 따르면, 단말 자체의 보안과 성능의 모니터링 뿐만 아니라 단말이 접속한 네트워크에 대한 보안과 성능의 모니터링이 가능해지며, 네트워크의 전체 영역에 대한 가시성 및 직관성을 확보하여, 네트워크 서비스의 보안 및 성능 문제에 선제적 관리(예방)이 이루어지게 하는 효과가 있다.
도 1은 종래 네트워크 서비스 관리를 수행하는 과정을 설명하기 위한 개념도이다.
도 2는 본 발명이 적용될 수 있는 무선통신 시스템을 예시한 개념도이다.
도 3은 사용자 평면(user plane)에 대한 무선 프로토콜 구조(radio protocol architecture)를 나타낸 블록도이다.
도 4는 제어 평면(control plane)에 대한 무선 프로토콜 구조를 나타낸 블록도이다.
도 5는 NR이 적용되는 차세대 무선 접속 네트워크(New Generation Radio Access Network: NG-RAN)의 시스템 구조를 예시한 개념도이다.
도 6은 NG-RAN과 5GC 간의 기능적 분할을 예시한 블록도이다.
도 7은 본 발명의 기술적 특징이 적용될 수 있는 무선 통신 시스템의 다른 예를 나타낸 도면이다.
도 8은 본 발명의 기술적 특징이 적용될 수 있는 무선 통신 시스템의 또 다른 예를 나타낸 도면이다.
도 9는 본 발명의 기술적 특징이 적용될 수 있는 5G 사용 시나리오의 예를 나타낸 도면이다.
도 10은 제1 시나리오에 따른 실시예에 따른 보안 검사 패킷(security check packet)에 기반하여 네트워크 보안 모니터링을 수행하는 방법을 설명하는 도면이다.
도 11은 제1 시나리오에 따른 보안 패킷 구조이다.
도 12는 제2 시나리오에 따른 실시예에 따른 보안 검사 패킷에 기반하여 네트워크 보안 모니터링을 수행하는 방법을 설명하는 도면이다.
도 13은 제2 시나리오에 따른 보안 패킷 구조이다.
도 14는 본 발명의 기술적 특징이 적용될 수 있는 무선 통신 시스템의 또 다른 예를 나타낸 도면이다.
도 15는 일례에 따른 네트워크 보안 모니터링 기능을 제공하는 5G NPN 보안 아키텍쳐이다.
도 16은 다른 예에 따른 네트워크 보안 모니터링 기능을 제공하는 5G NPN 보안 아키텍쳐이다.
도 17은 또 다른 예에 따른 네트워크 보안 모니터링 기능을 제공하는 5G NPN 보안 아키텍쳐이다.
도 18은 본 발명의 일 실시예에 따른 네트워크 모니터링 장치가 포함된 시스템을 나타낸 개념도이다.
도 19는 본 발명의 일 실시예에 따른 네트워크 모니터링 장치와 네트워크의 다른 장치와의 연결 구성을 나타낸 블록도이다.
도 20은 본 발명의 일 실시예에 따른 네트워크 모니터링 장치의 각 구간별 동작을 설명하기 위한 개념도이다.
도 21은 본 발명의 일 실시예에 따른 네트워크 모니터링 장치를 구체적으로 나타낸 블록도이다.
본 발명은 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시예들을 도면에 예시하고 상세하게 설명하고자 한다.
그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다.
제 1, 제 2 등의 용어는 다양한 구성요소들을 설명하는데 사용될 수 있지만, 상기 구성요소들은 상기 용어들에 의해 한정되어서는 안 된다. 상기 용어들은 하나의 구성요소를 다른 구성요소로부터 구별하는 목적으로만 사용된다. 예를 들어, 본 발명의 권리 범위를 벗어나지 않으면서 제 1 구성요소는 제 2 구성요소로 명명될 수 있고, 유사하게 제 2 구성요소도 제 1 구성요소로 명명될 수 있다. 및/또는 이라는 용어는 복수의 관련된 기재된 항목들의 조합 또는 복수의 관련된 기재된 항목들 중의 어느 항목을 포함한다.
어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다.
본 출원에서 사용한 용어는 단지 특정한 실시예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 출원에서, "포함하다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가지고 있다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥상 가지는 의미와 일치하는 의미를 가진 것으로 해석되어야 하며, 본 출원에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.
이하, 첨부한 도면들을 참조하여, 본 발명의 바람직한 실시예를 보다 상세하게 설명하고자 한다. 본 발명을 설명함에 있어 전체적인 이해를 용이하게 하기 위하여 도면상의 동일한 구성요소에 대해서는 동일한 참조부호를 사용하고 동일한 구성요소에 대해서 중복된 설명은 생략한다.
더욱 많은 통신 기기들이 더욱 큰 통신 용량을 요구하게 됨에 따라 기존의 무선 접속 기술(radio access technology; RAT)에 비해 향상된 모바일 브로드밴드(mobile broadband) 통신에 대한 필요성이 대두되고 있다. 또한 다수의 기기 및 사물들을 연결하여 언제 어디서나 다양한 서비스를 제공하는 매시브 MTC(massive Machine Type Communications) 역시 차세대 통신에서 고려될 주요 이슈 중 하나이다. 뿐만 아니라 신뢰도(reliability) 및 지연(latency)에 민감한 서비스/단말을 고려한 통신 시스템 디자인이 논의되고 있다. 이와 같이 확장된 모바일 브로드밴드 커뮤니케이션(enhanced mobile broadband communication), massive MTC, URLLC (Ultra-Reliable and Low Latency Communication) 등을 고려한 차세대 무선 접속 기술의 도입이 논의되고 있으며, 본 발명에서는 편의상 해당 기술(technology)을 new RAT, NR(NEW RADIO) 또는 5G 통신이라고 부른다.
특히, 5G 통신 네트워크에서는 장치 간의 통신이 5G가 요구하는 성능 범위 내에서 이루어지는 것을 가정하고 5G 네트워크 내의 장치들이 동작하기 때문에, 장치 간의 통신이 얼마나 신속하게 이루어지고 있는지, 만약 통신이 잘 이루어지고 있지 않다면, 성능 저하의 원인이 어디인지에 대한 신속한 파악이 매우 중요하다. 하지만, 이러한 성능 저하의 원인이 어디에 있는지를 명확히 파악하는 데에는 마땅한 서비스가 없어서 적절한 대응이 이루어지지 못하는 실정이다. 이러한 문제점은 결국 성능 저하의 문제에 적절히 대응하지 못하게 하고 성능 개선의 골든 타임(golden time)을 놓치게 되어 전체적인 시스템의 운영을 어렵게 하는 문제점을 야기한다.
본 명세서에 걸쳐서, 개체(entity)는 네트워크와 연관된 각종 장치들을 포함하고, 이는 사용자 단말("클라이언트 단말"이라고 부를 수 있음) 및/또는 서버 장치를 포함하는 용어이다. IoT 통신 환경에서, 사용자 단말은 IoT 디바이스라 불릴 수 있다.
사용자는 기본적으로 사용자 단말의 사용자를 의미한다. 다만, 경우에 따라 본 발명의 일 실시예에 따른 네트워크 모니터링 장치의 사용자를 의미하기도 한다. 네트워크 운영자 및/또는 네트워크 관리자는 네트워크 모니터링 장치와 관련된 네트워크를 관리하는 자로, 네트워크 모니터링 장치의 사용자를 의미할 수 있다. 이하에서 네트워크 모니터링 장치는 네트워크의 보안 및 성능 관련 지표를 산출하는 장치로서, 패킷 미러링 장치라고 불릴 수도 있다. 또한, 네트워크 모니터링 장치는 네트워크 서비스의 상기 보안 및 성능 관련 지표를 시각화하는 장치로써 구현될 수 있으므로, 네트워크 모니터링 시각화 장치로 불릴 수 있다.
네트워크 모니터링 장치는 독립적인 장치로 존재할 수도 있으나, 네트워크 내의 다른 엔티티에 의해 구현되는 일 기능으로 구비될 수도 있다. 이 경우 네트워크 모니터링 장치는 네트워크 모니터링 기능(network monitoring function: 이하 NMF라 함)이라 불릴 수 있다. 따라서 서버로 입출력되는 패킷들을 모니터링하는 NMF는 네트워크 서버 모니터링 기능(network server monitoring function: NMSF)라 불릴 수 있고, 사용자 단말(또는 클라이언트 단말)을 모니터링하는 NMF는 네트워크 클라이언트 모니터링 기능(network client monitoring function: NMCF)라 불릴 수 있다.
이하에서, 네트워크 보안 및 성능이라는 용어는 서버, 통신망 및 클라이언트에서의 통신 보안 및 성능과 관련하여, 포괄적으로 사용될 수 있다.
LTE 및 5G 기반 통신 시스템
도 2는 본 발명이 적용될 수 있는 무선통신 시스템을 예시한다. 이는 E-UTRAN(Evolved-UMTS Terrestrial Radio Access Network), 또는 LTE(Long Term Evolution)/LTE-A 시스템이라고도 불릴 수 있다.
E-UTRAN은 단말(10: User Equipment, UE)에게 제어 평면(control plane)과 사용자 평면(user plane)을 제공하는 기지국(20: Base Station, BS)을 포함한다. 단말(10)은 고정되거나 이동성을 가질 수 있으며, MS(Mobile station), UT(User Terminal), SS(Subscriber Station), MT(mobile terminal), 무선기기(Wireless Device) 등 다른 용어로 불릴 수 있다. 기지국(20)은 단말(10)과 통신하는 고정된 지점(fixed station)을 말하며, eNB(evolved-NodeB), BTS(Base Transceiver System), 액세스 포인트(Access Point) 등 다른 용어로 불릴 수 있다.
기지국(20)들은 X2 인터페이스를 통하여 서로 연결될 수 있다. 기지국(20)은 S1 인터페이스를 통해 EPC(Evolved Packet Core, 30), 보다 상세하게는 S1-MME를 통해 MME(Mobility Management Entity)와 S1-U를 통해 S-GW(Serving Gateway)와 연결된다.
EPC(30)는 MME, S-GW 및 P-GW(Packet Data Network-Gateway)로 구성된다. MME는 단말의 접속 정보나 단말의 능력에 관한 정보를 가지고 있으며, 이러한 정보는 단말의 이동성 관리에 주로 사용된다. S-GW는 E-UTRAN을 종단점으로 갖는 게이트웨이이며, P-GW는 PDN을 종단점으로 갖는 게이트웨이이다.
단말과 네트워크 사이의 무선인터페이스 프로토콜(Radio Interface Protocol)의 계층들은 통신시스템에서 널리 알려진 개방형 시스템간 상호접속(Open System Interconnection: OSI) 기준 모델의 하위 3개 계층을 바탕으로 L1(제1계층), L2(제2계층), L3(제3계층)로 구분될 수 있는데, 이 중에서 제1계층에 속하는 물리계층은 물리채널(Physical Channel)을 이용한 정보전송서비스(Information Transfer Service)를 제공하며, 제 3계층에 위치하는 RRC(Radio Resource Control) 계층은 단말과 네트워크 간에 무선자원을 제어하는 역할을 수행한다. 이를 위해 RRC 계층은 단말과 기지국간 RRC 메시지를 교환한다.
도 3은 사용자 평면(user plane)에 대한 무선 프로토콜 구조(radio protocol architecture)를 나타낸 블록도이고, 도 4는 제어 평면(control plane)에 대한 무선 프로토콜 구조를 나타낸 블록도이다. 사용자 평면은 사용자 데이터 전송을 위한 프로토콜 스택(protocol stack)이고, 제어 평면은 제어신호 전송을 위한 프로토콜 스택이다.
도 3 및 4를 참조하면, 물리계층(PHY(physical) layer)은 물리채널(physical channel)을 이용하여 상위 계층에게 정보 전송 서비스(information transfer service)를 제공한다. 물리계층은 상위 계층인 MAC(Medium Access Control) 계층과는 전송채널(transport channel)을 통해 연결되어 있다. 전송채널을 통해 MAC 계층과 물리계층 사이로 데이터가 이동한다. 전송채널은 무선 인터페이스를 통해 데이터가 어떻게 어떤 특징으로 전송되는가에 따라 분류된다.
서로 다른 물리계층 사이, 즉 송신기와 수신기의 물리계층 사이는 물리채널을 통해 데이터가 이동한다. 상기 물리채널은 OFDM(Orthogonal Frequency Division Multiplexing) 방식으로 변조될 수 있고, 시간과 주파수를 무선자원으로 활용한다.
MAC 계층의 기능은 논리채널과 전송채널간의 맵핑 및 논리채널에 속하는 MAC SDU(service data unit)의 전송채널 상으로 물리채널로 제공되는 전송블록(transport block)으로의 다중화/역다중화를 포함한다. MAC 계층은 논리채널을 통해 RLC(Radio Link Control) 계층에게 서비스를 제공한다.
RLC 계층의 기능은 RLC SDU의 연결(concatenation), 분할(sEMGentation) 및 재결합(reassembly)를 포함한다. 무선베어러(Radio Bearer: RB)가 요구하는 다양한 QoS(Quality of Service)를 보장하기 위해, RLC 계층은 투명모드(Transparent Mode, TM), 비확인 모드(Unacknowledged Mode, UM) 및 확인모드(Acknowledged Mode, AM)의 세 가지의 동작모드를 제공한다. AM RLC는 ARQ(automatic repeat request)를 통해 오류 정정을 제공한다.
RRC(Radio Resource Control) 계층은 제어 평면에서만 정의된다. RRC 계층은 무선 베어러들의 설정(configuration), 재설정(re-configuration) 및 해제(release)와 관련되어 논리채널, 전송채널 및 물리채널들의 제어를 담당한다. RB는 단말과 네트워크간의 데이터 전달을 위해 제1 계층(PHY 계층) 및 제2 계층(MAC 계층, RLC 계층, PDCP 계층)에 의해 제공되는 논리적 경로를 의미한다.
사용자 평면에서의 PDCP(Packet Data Convergence Protocol) 계층의 기능은 사용자 데이터의 전달, 헤더 압축(header compression) 및 암호화(ciphering)를 포함한다. 제어 평면에서의 PDCP(Packet Data Convergence Protocol) 계층의 기능은 제어 평면 데이터의 전달 및 암호화/무결정 보호(integrity protection)를 포함한다.
RB가 설정된다는 것은 특정 서비스를 제공하기 위해 무선 프로토콜 계층 및 채널의 특성을 규정하고, 각각의 구체적인 파라미터 및 동작 방법을 설정하는 과정을 의미한다. RB는 다시 SRB(Signaling RB)와 DRB(Data RB) 두가지로 나누어 질 수 있다. SRB는 제어 평면에서 RRC 메시지를 전송하는 통로로 사용되며, DRB는 사용자 평면에서 사용자 데이터를 전송하는 통로로 사용된다.
단말의 RRC 계층과 E-UTRAN의 RRC 계층 사이에 RRC 연결(RRC Connection)이 확립되면, 단말은 RRC 연결(RRC connected) 상태에 있게 되고, 그렇지 못할 경우 RRC 아이들(RRC idle) 상태에 있게 된다.
네트워크에서 단말로 데이터를 전송하는 하향링크 전송채널로는 시스템정보를 전송하는 BCH(Broadcast Channel)과 그 이외에 사용자 트래픽이나 제어메시지를 전송하는 하향링크 SCH(Shared Channel)이 있다. 하향링크 멀티캐스트 또는 브로드캐스트 서비스의 트래픽 또는 제어메시지의 경우 하향링크 SCH를 통해 전송될 수도 있고, 또는 별도의 하향링크 MCH(Multicast Channel)을 통해 전송될 수도 있다. 한편, 단말에서 네트워크로 데이터를 전송하는 상향링크 전송채널로는 초기 제어메시지를 전송하는 RACH(Random Access Channel)와 그 이외에 사용자 트래픽이나 제어메시지를 전송하는 상향링크 SCH(Shared Channel)가 있다.
전송채널 상위에 있으며, 전송채널에 매핑되는 논리채널(Logical Channel)로는 BCCH(Broadcast Control Channel), PCCH(Paging Control Channel), CCCH(Common Control Channel), MCCH(Multicast Control Channel), MTCH(Multicast Traffic Channel) 등이 있다.
물리채널(Physical Channel)은 시간 영역에서 여러 개의 OFDM 심벌과 주파수 영역에서 여러 개의 부반송파(Sub-carrier)로 구성된다. 하나의 서브프레임(Sub-frame)은 시간 영역에서 복수의 OFDM 심벌(Symbol)들로 구성된다. 자원블록은 자원 할당 단위로, 복수의 OFDM 심벌들과 복수의 부반송파(sub-carrier)들로 구성된다. 또한 각 서브프레임은 PDCCH(Physical Downlink Control Channel) 즉, L1/L2 제어채널을 위해 해당 서브프레임의 특정 OFDM 심벌들(예, 첫번째 OFDM 심볼)의 특정 부반송파들을 이용할 수 있다. TTI(Transmission Time Interval)는 서브프레임 전송의 단위시간이다.
이하, 새로운 무선 접속 기술(new radio access technology: new RAT, NR)("5G"라고 부를 수 있음)에 대해 설명한다.
더욱 많은 통신 기기들이 더욱 큰 통신 용량을 요구하게 됨에 따라 기존의 무선 접속 기술(radio access technology; RAT)에 비해 향상된 모바일 브로드밴드(mobile broadband) 통신에 대한 필요성이 대두되고 있다. 또한 다수의 기기 및 사물들을 연결하여 언제 어디서나 다양한 서비스를 제공하는 매시브 MTC(massive Machine Type Communications) 역시 차세대 통신에서 고려될 주요 이슈 중 하나이다. 뿐만 아니라 신뢰도(reliability) 및 지연(latency)에 민감한 서비스/단말을 고려한 통신 시스템 디자인이 논의되고 있다. 이와 같이 확장된 모바일 브로드밴드 커뮤니케이션(enhanced mobile broadband communication), massive MTC, URLLC (Ultra-Reliable and Low Latency Communication) 등을 고려한 차세대 무선 접속 기술의 도입이 논의되고 있으며, 본 발명에서는 편의상 해당 기술(technology)을 new RAT, NR 또는 5G라고 부른다.
도 5는 NR이 적용되는 차세대 무선 접속 네트워크(New Generation Radio Access Network: NG-RAN)의 시스템 구조를 예시한다.
도 5를 참조하면, NG-RAN은, 단말에게 사용자 평면 및 제어 평면 프로토콜 종단(termination)을 제공하는 gNB 및/또는 eNB를 포함할 수 있다. 도 4에서는 gNB만을 포함하는 경우를 예시한다. gNB 및 eNB는 상호 간에 Xn 인터페이스로 연결되어 있다. gNB 및 eNB는 5세대 코어 네트워크(5G Core Network: 5GC)와 NG 인터페이스를 통해 연결되어 있다. 보다 구체적으로, AMF(access and mobility management function)과는 NG-C 인터페이스를 통해 연결되고, UPF(user plane function)과는 NG-U 인터페이스를 통해 연결된다.
도 6은 NG-RAN과 5GC 간의 기능적 분할을 예시한다.
도 6을 참조하면, gNB는 인터 셀 간의 무선 자원 관리(Inter Cell RRM), 무선 베어러 관리(RB control), 연결 이동성 제어(Connection Mobility Control), 무선 허용 제어(Radio Admission Control), 측정 설정 및 제공(Measurement configuration & Provision), 동적 자원 할당(dynamic resource allocation) 등의 기능을 제공할 수 있다. AMF는 NAS 보안, 아이들 상태 이동성 처리 등의 기능을 제공할 수 있다. UPF는 이동성 앵커링(Mobility Anchoring), PDU 처리 등의 기능을 제공할 수 있다. SMF(Session Management Function)는 단말 IP 주소 할당, PDU 세션 제어 등의 기능을 제공할 수 있다.
도 7은 본 발명의 기술적 특징이 적용될 수 있는 무선 통신 시스템의 다른 예를 나타낸 도면이다. 구체적으로, 도 7은 5G NR(new radio access technology) 시스템에 기초한 시스템 아키텍처를 도시한다. 5G NR 시스템(이하, 간단히 "NR"이라 칭함)에서 사용되는 개체는 도 2에서 소개된 개체(예를 들어, eNB, MME, S-GW)의 일부 또는 모든 기능을 흡수할 수 있다. NR 시스템에서 사용되는 개체는 LTE와 구별하기 위해 "NG"라는 이름으로 식별될 수 있다.
이하 NR에 대하여, 후술하는 설명의 이해를 돕기 위해, 3GPP TS 38 시리즈(3GPP TS 38.211, 38.212, 38.213, 38.214, 38.331 등)가 참조될 수 있다.
도 7을 참조하면, 무선 통신 시스템은 하나 이상의 UE(11), NG-RAN(next-generation RAN) 및 5세대 코어 네트워크(5GC)를 포함한다. NG-RAN은 적어도 하나의 NG-RAN 노드로 구성된다. NG-RAN 노드는 도 2에 도시된 BS(20)에 대응하는 개체이다. NG-RAN 노드는 적어도 하나의 gNB(21) 및/또는 적어도 하나의 ng-eNB (22)로 구성된다. gNB(21)는 UE(11)를 향한 NR 사용자 평면 및 제어 평면 프로토콜의 종단을 제공한다. Ng-eNB(22)는 UE(11)를 향한 E-UTRA 사용자 평면 및 제어 평면 프로토콜의 종단을 제공한다.
5GC는 AMF(access and mobility management function), UPF(user plane function) 및 SMF(session management function)을 포함한다. AMF는 NAS 보안, 아이들 상태 이동성 처리 등과 같은 기능을 호스트 한다. AMF는 종래 MME의 기능을 포함하는 개체이다. UPF는 이동성 앵커링, PDU(protocol data unit) 처리와 같은 기능을 호스트 한다. UPF는 종래의 S-GW의 기능을 포함하는 개체이다. SMF는 UE IP 주소 할당, PDU 세션 제어와 같은 기능을 호스트 한다.
gNB와 ng-eNB는 Xn 인터페이스를 통해 상호 연결된다. gNB 및 ng-eNB는 또한 NG 인터페이스를 통해 5GC에 연결된다. 보다 구체적으로는, NG-C 인터페이스를 통해 AMF에, 그리고 NG-U 인터페이스를 통해 UPF에 연결된다.
도 8은 본 발명의 기술적 특징이 적용될 수 있는 무선 통신 시스템의 또 다른 예를 나타낸 도면이다. 구체적으로, 도 8은 LTE 시스템에 기초한 시스템 아키텍처를 도시한다. NR에서 사용되는 개체는 도 5에서 소개된 개체(예를 들어, gNB, AMF, UPF)의 일부 또는 모든 기능을 흡수할 수 있다. LTE 시스템에서 사용되는 개체는 NR과 구별하기 위해 "EN"라는 이름으로 식별될 수 있다.
도 8을 참조하면, 무선 통신 시스템은 하나 이상의 UE(11), E-UTRAN 및 EPC를 포함한다. E-UTRAN은 적어도 하나의 E-UTRAN 노드로 구성된다. E-UTRAN 노드는 도 2에 도시된 BS(20)에 대응하는 개체이다. E-UTRAN 노드는 적어도 하나의 en-gNB(23) 및/또는 적어도 하나의 eNB(20)로 구성된다. en-gNB(23)는 UE(11)를 향한 NR 사용자 평면 및 제어 평면 프로토콜의 종단을 제공한다. eNB(20)는 UE(11)를 향한 E-UTRAN 사용자 평면 및 제어 평면 프로토콜의 종단을 제공한다.
EPC는 MME 및 S-GW를 포함한다. en-gNB와 eNB는 X2 인터페이스를 통해 상호 연결된다. en-gNB 및 eNB는 S1 인터페이스를 통해 EPC에 연결된다. 보다 구체적으로는, S1-U 및/또는 S1 인터페이스를 통해 MME 및/또는 S-GW에 연결된다.
도 9는 본 발명의 기술적 특징이 적용될 수 있는 5G 사용 시나리오의 예를 나타낸 도면이다. 도 9에 도시된 5G 사용 시나리오는 단지 예시적인 것이며, 본 발명의 기술적 특징은 도 9에 도시되지 않은 다른 5G 사용 시나리오에도 적용될 수 있다.
도 9를 참조하면, 5G의 세 가지 주요 요구 사항 영역은 (1) 개선된 모바일 광대역(eMBB; enhanced mobile broadband) 영역, (2) 다량의 머신 타입 통신(mMTC; massive machine type communication) 영역 및 (3) 초-신뢰 및 저 지연 통신(URLLC; ultra-reliable and low latency communications) 영역을 포함한다. 일부 사용 예는 최적화를 위해 다수의 영역을 요구할 수 있고, 다른 사용 예는 단지 하나의 핵심 성능 지표(KPI; key performance indicator)에만 포커싱 할 수 있다. 5G는 이러한 다양한 사용 예들을 유연하고 신뢰할 수 있는 방법으로 지원하는 것이다.
eMBB는 데이터 속도, 지연, 사용자 밀도, 모바일 광대역 접속의 용량 및 커버리지의 전반적인 향상에 중점을 둔다. eMBB는 10Gbps 정도의 처리량을 목표로 한다. eMBB는 기본적인 모바일 인터넷 접속을 훨씬 능가하게 하며, 풍부한 양방향 작업, 클라우드 또는 증강 현실에서 미디어 및 엔터테인먼트 애플리케이션을 커버한다. 데이터는 5G의 핵심 동력 중 하나이며, 5G 시대에서 처음으로 전용 음성 서비스를 볼 수 없을 수 있다. 5G에서, 음성은 단순히 통신 시스템에 의해 제공되는 데이터 연결을 사용하여 응용 프로그램으로서 처리될 것으로 기대된다. 증가된 트래픽 양의 주요 원인은 콘텐츠 크기의 증가 및 높은 데이터 전송률을 요구하는 애플리케이션 수의 증가이다. 스트리밍 서비스(오디오 및 비디오), 대화형 비디오 및 모바일 인터넷 연결은 더 많은 장치가 인터넷에 연결될수록 더 널리 사용될 것이다. 이러한 많은 애플리케이션은 사용자에게 실시간 정보 및 알림을 푸쉬하기 위해 항상 켜져 있는 연결성을 필요로 한다. 클라우드 스토리지 및 애플리케이션은 모바일 통신 플랫폼에서 급속히 증가하고 있으며, 이것은 업무 및 엔터테인먼트 모두에 적용될 수 있다. 클라우드 스토리지는 상향링크 데이터 전송률의 성장을 견인하는 특별한 사용 예이다. 5G는 또한 클라우드 상의 원격 업무에도 사용되며, 촉각 인터페이스가 사용될 때 우수한 사용자 경험을 유지하도록 훨씬 더 낮은 단-대-단(end-to-end) 지연을 요구한다. 엔터테인먼트에서 예를 들면, 클라우드 게임 및 비디오 스트리밍은 모바일 광대역 능력에 대한 요구를 증가시키는 또 다른 핵심 요소이다. 엔터테인먼트는 기차, 차 및 비행기와 같은 높은 이동성 환경을 포함하여 어떤 곳에서든지 스마트폰 및 태블릿에서 필수적이다. 또 다른 사용 예는 엔터테인먼트를 위한 증강 현실 및 정보 검색이다. 여기서, 증강 현실은 매우 낮은 지연과 순간적인 데이터 양을 필요로 한다.
mMTC는 배터리에 의해 구동되는 다량의 저비용 장치 간의 통신을 가능하게 하기 위하여 설계되며, 스마트 계량, 물류, 현장 및 신체 센서와 같은 애플리케이션을 지원하기 위한 것이다. mMTC는 10년 정도의 배터리 및/또는 1km2 당 백만 개 정도의 장치를 목표로 한다. mMTC는 모든 분야에서 임베디드 센서를 원활하게 연결할 수 있게 하며, 가장 많이 예상되는 5G 사용 예 중 하나이다. 잠재적으로 2020년까지 IoT 장치들은 204억 개에 이를 것으로 예측된다. 산업 IoT는 5G가 스마트 도시, 자산 추적(asset tracking), 스마트 유틸리티, 농업 및 보안 인프라를 가능하게 하는 주요 역할을 수행하는 영역 중 하나이다.
URLLC는 장치 및 기계가 매우 신뢰성 있고 매우 낮은 지연 및 높은 가용성으로 통신할 수 있도록 함으로써 차량 통신, 산업 제어, 공장 자동화, 원격 수술, 스마트 그리드 및 공공 안전 애플리케이션에 이상적이다. URLLC는 1ms의 정도의 지연을 목표로 한다. URLLC는 주요 인프라의 원격 제어 및 자율 주행 차량과 같은 초 신뢰/지연이 적은 링크를 통해 산업을 변화시킬 새로운 서비스를 포함한다. 신뢰성과 지연의 수준은 스마트 그리드 제어, 산업 자동화, 로봇 공학, 드론 제어 및 조정에 필수적이다.
다음으로, 도 9의 삼각형 안에 포함된 다수의 사용 예에 대해 보다 구체적으로 살펴본다.
5G는 초당 수백 메가 비트에서 초당 기가 비트로 평가되는 스트림을 제공하는 수단으로 FTTH(fiber-to-the-home) 및 케이블 기반 광대역(또는 DOCSIS)을 보완할 수 있다. 이러한 빠른 속도는 가상 현실(VR; virtual reality)과 증강 현실(AR; augmented reality) 뿐 아니라 4K 이상(6K, 8K 및 그 이상)의 해상도로 TV를 전달하는 데에 요구될 수 있다. VR 및 AR 애플리케이션은 거의 몰입형(immersive) 스포츠 경기를 포함한다. 특정 애플리케이션은 특별한 네트워크 설정이 요구될 수 있다. 예를 들어, VR 게임의 경우, 게임 회사가 지연을 최소화하기 위해 코어 서버를 네트워크 오퍼레이터의 에지 네트워크 서버와 통합해야 할 수 있다.
자동차(Automotive)는 차량에 대한 이동 통신을 위한 많은 사용 예와 함께 5G에 있어 중요한 새로운 동력이 될 것으로 예상된다. 예를 들어, 승객을 위한 엔터테인먼트는 높은 용량과 높은 모바일 광대역을 동시에 요구한다. 그 이유는 미래의 사용자는 그들의 위치 및 속도와 관계 없이 고품질의 연결을 계속해서 기대하기 때문이다. 자동차 분야의 다른 사용 예는 증강 현실 대시보드이다. 운전자는 증강 현실 대비보드를 통해 앞면 창을 통해 보고 있는 것 위에 어둠 속에서 물체를 식별할 수 있다. 증강 현실 대시보드는 물체의 거리와 움직임에 대해 운전자에게 알려줄 정보를 겹쳐서 디스플레이 한다. 미래에, 무선 모듈은 차량 간의 통신, 차량과 지원하는 인프라구조 사이에서 정보 교환 및 자동차와 다른 연결된 장치(예를 들어, 보행자에 의해 수반되는 장치) 사이에서 정보 교환을 가능하게 한다. 안전 시스템은 운전자가 보다 안전한 운전을 할 수 있도록 행동의 대체 코스를 안내하여 사고의 위험을 낮출 수 있게 한다. 다음 단계는 원격 조종 차량 또는 자율 주행 차량이 될 것이다. 이는 서로 다른 자율 주행 차량 사이 및/또는 자동차와 인프라 사이에서 매우 신뢰성이 있고 매우 빠른 통신을 요구한다. 미래에, 자율 주행 차량이 모든 운전 활동을 수행하고, 운전자는 차량 자체가 식별할 수 없는 교통 이상에만 집중하도록 할 것이다. 자율 주행 차량의 기술적 요구 사항은 트래픽 안전을 사람이 달성할 수 없을 정도의 수준까지 증가하도록 초 저 지연과 초고속 신뢰성을 요구한다.
스마트 사회로서 언급되는 스마트 도시와 스마트 홈은 고밀도 무선 센서 네트워크로 임베디드 될 것이다. 지능형 센서의 분산 네트워크는 도시 또는 집의 비용 및 에너지 효율적인 유지에 대한 조건을 식별할 것이다. 유사한 설정이 각 가정을 위해 수행될 수 있다. 온도 센서, 창 및 난방 컨트롤러, 도난 경보기 및 가전 제품은 모두 무선으로 연결된다. 이러한 센서 중 많은 것들이 전형적으로 낮은 데이터 전송 속도, 저전력 및 저비용을 요구한다. 하지만, 예를 들어, 실시간 HD 비디오는 감시를 위해 특정 타입의 장치에서 요구될 수 있다.
<인공 지능(AI: Artificial Intelligence)>
인공 지능은 인공적인 지능 또는 이를 만들 수 있는 방법론을 연구하는 분야를 의미하며, 머신 러닝(기계 학습, Machine Learning)은 인공 지능 분야에서 다루는 다양한 문제를 정의하고 그것을 해결하는 방법론을 연구하는 분야를 의미한다. 머신 러닝은 어떠한 작업에 대하여 꾸준한 경험을 통해 그 작업에 대한 성능을 높이는 알고리즘으로 정의하기도 한다.
인공 신경망(ANN: Artificial Neural Network)은 머신 러닝에서 사용되는 모델로써, 시냅스의 결합으로 네트워크를 형성한 인공 뉴런(노드)들로 구성되는, 문제 해결 능력을 가지는 모델 전반을 의미할 수 있다. 인공 신경망은 다른 레이어의 뉴런들 사이의 연결 패턴, 모델 파라미터를 갱신하는 학습 과정, 출력값을 생성하는 활성화 함수(Activation Function)에 의해 정의될 수 있다.
인공 신경망은 입력층(Input Layer), 출력층(Output Layer), 그리고 선택적으로 하나 이상의 은닉층(Hidden Layer)를 포함할 수 있다. 각 층은 하나 이상의 뉴런을 포함하고, 인공 신경망은 뉴런과 뉴런을 연결하는 시냅스를 포함할 수 있다. 인공 신경망에서 각 뉴런은 시냅스를 통해 입력되는 입력 신호들, 가중치, 편향에 대한 활성 함수의 함숫값을 출력할 수 있다.
모델 파라미터는 학습을 통해 결정되는 파라미터를 의미하며, 시냅스 연결의 가중치와 뉴런의 편향 등이 포함된다. 그리고, 하이퍼파라미터는 머신 러닝 알고리즘에서 학습 전에 설정되어야 하는 파라미터를 의미하며, 학습률(Learning Rate), 반복 횟수, 미니 배치 크기, 초기화 함수 등이 포함된다.
인공 신경망의 학습의 목적은 손실 함수를 최소화하는 모델 파라미터를 결정하는 것으로 볼 수 있다. 손실 함수는 인공 신경망의 학습 과정에서 최적의 모델 파라미터를 결정하기 위한 지표로 이용될 수 있다.
머신 러닝은 학습 방식에 따라 지도 학습(Supervised Learning), 비지도 학습(Unsupervised Learning), 강화 학습(Reinforcement Learning)으로 분류할 수 있다.
지도 학습은 학습 데이터에 대한 레이블(label)이 주어진 상태에서 인공 신경망을 학습시키는 방법을 의미하며, 레이블이란 학습 데이터가 인공 신경망에 입력되는 경우 인공 신경망이 추론해 내야 하는 정답(또는 결과 값)을 의미할 수 있다. 비지도 학습은 학습 데이터에 대한 레이블이 주어지지 않는 상태에서 인공 신경망을 학습시키는 방법을 의미할 수 있다. 강화 학습은 어떤 환경 안에서 정의된 에이전트가 각 상태에서 누적 보상을 최대화하는 행동 혹은 행동 순서를 선택하도록 학습시키는 학습 방법을 의미할 수 있다.
인공 신경망 중에서 복수의 은닉층을 포함하는 심층 신경망(DNN: Deep Neural Network)으로 구현되는 머신 러닝을 딥 러닝(심층 학습, Deep Learning)이라 부르기도 하며, 딥 러닝은 머신 러닝의 일부이다. 이하에서, 머신 러닝은 딥 러닝을 포함하는 의미로 사용된다.
<로봇(Robot)>
로봇은 스스로 보유한 능력에 의해 주어진 일을 자동으로 처리하거나 작동하는 기계를 의미할 수 있다. 특히, 환경을 인식하고 스스로 판단하여 동작을 수행하는 기능을 갖는 로봇을 지능형 로봇이라 칭할 수 있다.
로봇은 사용 목적이나 분야에 따라 산업용, 의료용, 가정용, 군사용 등으로 분류할 수 있다.
로봇은 액츄에이터 또는 모터를 포함하는 구동부를 구비하여 로봇 관절을 움직이는 등의 다양한 물리적 동작을 수행할 수 있다. 또한, 이동 가능한 로봇은 구동부에 휠, 브레이크, 프로펠러 등이 포함되어, 구동부를 통해 지상에서 주행하거나 공중에서 비행할 수 있다.
<자율 주행(Self-Driving, Autonomous-Driving)>
자율 주행은 스스로 주행하는 기술을 의미하며, 자율 주행 차량은 사용자의 조작 없이 또는 사용자의 최소한의 조작으로 주행하는 차량(Vehicle)을 의미한다.
예컨대, 자율 주행에는 주행중인 차선을 유지하는 기술, 어댑티브 크루즈 컨트롤과 같이 속도를 자동으로 조절하는 기술, 정해진 경로를 따라 자동으로 주행하는 기술, 목적지가 설정되면 자동으로 경로를 설정하여 주행하는 기술 등이 모두 포함될 수 있다.
차량은 내연 기관만을 구비하는 차량, 내연 기관과 전기 모터를 함께 구비하는 하이브리드 차량, 그리고 전기 모터만을 구비하는 전기 차량을 모두 포괄하며, 자동차뿐만 아니라 기차, 오토바이 등을 포함할 수 있다.
이때, 자율 주행 차량은 자율 주행 기능을 가진 로봇으로 볼 수 있다.
<확장 현실(XR: eXtended Reality)>
확장 현실은 가상 현실(VR: Virtual Reality), 증강 현실(AR: Augmented Reality), 혼합 현실(MR: Mixed Reality)을 총칭한다. VR 기술은 현실 세계의 객체나 배경 등을 CG 영상으로만 제공하고, AR 기술은 실제 사물 영상 위에 가상으로 만들어진 CG 영상을 함께 제공하며, MR 기술은 현실 세계에 가상 객체들을 섞고 결합시켜서 제공하는 컴퓨터 그래픽 기술이다.
MR 기술은 현실 객체와 가상 객체를 함께 보여준다는 점에서 AR 기술과 유사하다. 그러나, AR 기술에서는 가상 객체가 현실 객체를 보완하는 형태로 사용되는 반면, MR 기술에서는 가상 객체와 현실 객체가 동등한 성격으로 사용된다는 점에서 차이점이 있다.
XR 기술은 HMD(Head-Mount Display), HUD(Head-Up Display), 휴대폰, 태블릿 PC, 랩탑, 데스크탑, TV, 디지털 사이니지 등에 적용될 수 있고, XR 기술이 적용된 장치를 XR 장치(XR Device)라 칭할 수 있다.
무선 네트워크에서의 보안 모니터링
본 실시예에 따른 무선 네트워크는 네트워크 보안 아키텍쳐에 의해 구성될 수 있다. 네트워크 보안 아키텍처는 적어도 하나의 NMF(network monitoring function)를 포함할 수 있다. 여기서, NMF는 네트워크 노드에 전개되는(deployed) 딥 패킷 감시(deep packet inspection: DPI) 기능 또는 전용의(dedicated) DPI 네트워크 노드에 의해 구현될 수 있다. NMF는 그 기능이 위치하는 노드에 따라서 NMSF와 NMCF로 구분될 수 있다. 즉, NMSF는 네트워크 노드로서 서버의 일종일 수 있고, 다른 서버 내의 모듈 또는 기능 형태로 구현될 수도 있다. NMCF는 그 자체로 단말 또는 IoT 디바이스의 일종이거나, 다른 단말 또는 IoT 디바이스 내의 모듈 또는 기능 형태로 구현되 수 있다. 예를 들어 NMCF는 소프트웨어로서 단말의 칩 또는 메모리에 저장되고, 단말(또는 클라이언트 노드)의 보안 또는 성능을 모니터링하는 동작을 수행할 수 있다. 이러한 NMSF와 NMCF를 포함하는 네트워크 보안 아키텍처는 본 명세서에 개시된 LTE, 5G, 5G NPN 등 다양한 네트워크에 적용될 수 있다.
네트워크의 보안 및 성능 모니터링을 위해 무선접속망(RAN)내의 개체 또는 코어망 내의 개체에는 NMSF가 구비되고, 사용자 단말에는 NMCF가 구비될 수 있다. 그리고 NMSF와 NMCF간에는 특정한 프로토콜이 정의되어 성능 또는 보안에 관련된 신호를 주고 받을 수 있다. 즉 네트워크에 NMSF와 NMCF가 구비되면, 네트워크 운영자는 네트워크 노드들과 종단 사용자 단말간의 통신 경로상에서 발생하는 다양한 보안 및 성능 상의 문제를 모니터링할 수 있고, 그에 따라 네트워크 종류에 기반하여 제공되는 다양한 서비스(i.e. 5G URLLC 서비스)를 효율적으로 제공할 수 있다. 또한, NMCF가 구비되면, 능동적인(active) RTT 검사가 가능하다. 능동적인 RTT 검사는 RTT 검사를 위해 네트워크에 연결하기 위한 패킷을 강제적으로 전송하는 방식을 의미한다. 즉 NMCF는 주기적으로 또는 비주기적으로 RTT 검사를 위한 패킷을 능동적으로 전송함으로써, NMSF가 해당 패킷에 기반하여 RTT를 검사할 수 있도록 한다.
한편, 본 실시예에 따른 네트워크 보안 아키텍처가 네트워크에 적용되는 시나리오는 2가지이다. 제1 시나리오는 비교적 개방적인 성격의 서비스를 제공하는 네트워크에 대한 것이고, 제2 시나리오는 재난망과 같이 폐쇄적 성격이 강한 네트워크 연결 중심(network connect oriented)의 서비스를 제공하는 네트워크에 대한 것이다. 어느 시나리오에서든 NMCF는 네트워크에 연결된 단말들에 통합되어(integraged) 단말의 보안을 모니터링할 수 있고, NMSF는 네트워크 내에서 별도의 노드로서 존재하며 네트워크 경로에 흐르는 패킷들을 L3 스위칭을 통해 미러링하며 네트워크 보안을 모니터링할 수 있다.
다만, 제1 시나리오에서는 NMSF가 IP를 할당받아 네트워크에 직접 연결 가능하기 때문에 NMCF와 NMSF가 직접적으로 보안 관련 정보를 교환할 수 있는 있는 반면, 제2 시나리오에서는 NMSF가 외부기기에 해당하여 IP를 할당받지 못하므로 네트워크에 직접 연결 가능하지 않다. 따라서 제2 시나리오에서는 NMSF가 NMCF의 보안 관련 패킷을 직접 수신할 수 없고, NMCF에 직접 보안 관련 지시를 할 수 없다.
도 10은 제1 시나리오에 따른 실시예에 따른 보안 검사 패킷(security check packet)에 기반하여 네트워크 보안 모니터링을 수행하는 방법을 설명하는 도면이다.
도 10을 참조하면, NMCF가 통합된 단말은 단말의 보안 모니터링을 수행하고, 보안 모니터링 결과를 지시하는 보안 검사 패킷을 생성하여 네트워크로 전송한다. 여기서, NMSF는 자체적인 IP를 할당받았으므로, 네트워크 내에서 상기 보안 패킷의 목적지는 NMSF일 수 있다. 즉 NMSF는 NMCF로부터 상기 보안 검사 패킷을 직접 수신할 수 있다.
단말의 보안 모니터링은 예시적으로 단말의 시스템 로그 파일을 감시하는 동작, 화이트 리스트 내에 포함된 허용된 IP 이외의 IP로부터 단말에 접근 시도가 발생하는지 판단하는 동작, 단말에 대한 패킷 정보를 분석하는 동작, 단말의 상태 정보를 분석하는 동작 및 단말에 대한 연결 가능 여부를 나타내는 얼라이브 정보를 획득하는 동작의 적어도 일부를 포함할 수 있다.
일례로서, 단말의 시스템 로그 파일을 감시하는 동작은 허용되지 않은 IP 로부터 단말로 로그인 (Login) 시도가 발생하였을 때 보안 문제가 발생한 것으로 판단하는 과정을 포함할 수 있다.
다른 예로서, 단말의 시스템 로그 파일을 감시하는 동작은 단말에서 알려지지 않은 프로세스의 동작이 발생하였을 때 보안 문제가 발생한 것으로 판단하는 과정을 포함할 수 있다.
또 다른 예로서, 단말의 시스템 로그 파일을 감시하는 동작은 단말로 미리 결정된 시간 길이 구간 동안 미리 결정된 횟수 이상의 로그인 실패가 발생하였을 때 보안 문제가 발생한 것으로 판단하는 과정을 포함할 수 있다.
또 다른 예로서, 단말의 상태 정보를 분석하는 동작은 단말의 내부 정보(internal information)가 미리 설정한 임계값 이상일 때 보안 문제가 발생한 것으로 판단하는 과정을 포함할 수 있다. 여기서, 내부 정보는 예를 들어 단말의 CPU 사용량(usage) 또는 메모리 사용량일 수 있다.
또 다른 예로서, 단말의 상태 정보를 분석하는 동작은 단말에 부가 매체가 연결 또는 연결 해제되는 이벤트가 발생한 경우 보안 문제가 발생한 것으로 판단하는 과정을 포함할 수 있다.
또 다른 예로서, 얼라이브 정보를 획득하는 동작은 미리 결정한 임계값의 시간 길이 구간 이상으로 단말에 접속이 불가능하다는 결정, ARP(Address Resolution Protocol) 내에 디바이스 IP 가 존재하지 않는다는 결정 중 적어도 하나를 기반으로 보안 문제가 발생한 것으로 판단하는 과정을 포함할 수 있다.
위와 같이 보안 문제가 발생한 것으로 판단되면, 단말(또는 NMCF)은 보안 모니터링 결과를 지시하는 보안 검사 패킷을 생성한다.
보안 검사 패킷은 주기적으로 또는 비주기적으로 생성 및 전송될 수 있다.
도 11은 제1 시나리오에 따른 보안 패킷 구조이다.
도 11을 참조하면, 보안 검사 패킷은 TCP 패킷 포맷으로서, TCP 헤더와 TCP 페이로드를 포함한다. TCP 페이로드는 UID(user ID) 필드, 길이 필드 및 모니터링 결과 필드를 포함할 수 있다. 일례로서, UID 필드, 길이 필드, 모니터링 결과 필드는 다음의 표 1과 같이 정의될 수 있다.
Field Byte length Description
UID 4 This field indicates a user ID of UE
Length 2 This field indicates the byte length of the monitoring result field
Monitoring Result Variable This field indicates alive information, CPU usage and memory usage of UE
표 1을 참조하면, UID 필드는 4바이트로서 단말의 사용자 ID 또는 식별정보를 지시하고, 길이 필드는 2바이트로서 길이 필드 다음에 올 모니터링 결과 필드의 바이트 길이를 지시하며, 모니터링 결과 필드는 단말의 보안 모니터링 결과들(단말의 얼라이브 정보, CPU 사용량, 메모리 사용량 등)을 지시한다. 다시 도 10을 참조하면, NMCF로부터 보안 검사 패킷을 수신한 NMSF는 보안 검사 패킷에 기반하여 단말의 보안 모니터링 결과를 확인하고, 보안 검사 패킷이 거쳐온 구간(무선 구간, 네트워크 구간 포함)에 대한 RTT 검사를 수행할 수 있다. 즉, 보안 검사 패킷은 그 자체로서 단말의 보안 모니터링 결과를 제공할 뿐만 아니라, 능동적 RTT 검사의 매개 패킷으로서 네트워크 구간에 대한 보안 모니터링을 수행하는데 사용될 수 있다.
구체적으로, NMCF는 보안 검사 패킷의 전송을 위해 3-way 핸드쉐이킹 절차를 이용하여 TCP 연결을 시도하고, 보안 검사 패킷을 NMSF로 전송한다. NMSF는 보안 검사 패킷의 전송을 위해 이루어지는 3-way 핸드쉐이킹 절차를 이용하여 RTT 검사를 수행한다. 보안 검사 패킷이 전송되는 주기 또는 시점에 관한 정보가 NMSF와 NMCF 간에 미리 규약되어 있는 환경에서, NMSF는 해당 주기 또는 시점마다 RTT 검사를 수행할 수 있다. 즉 NMSF는 적어도 NMCF가 어떠한 주기 또는 시점에 보안 검사 패킷을 전송할지 미리 인지하고, 보안 검사 패킷의 전송에 수반되는 3-way 핸드쉐이킹 절차를 이용하여 RTT 검사를 수행한다. 이때 NMSF는 3-way 핸드쉐이킹 절차에서 교환되는 신호들을 미러링함으로써 RTT 검사를 수행할 수 있다.
그리고 NMSF는 보안 검사 패킷에서 TCP 헤더가 제거된 데이터 부분을 전달받고, UID를 통해 어느 단말(또는 어느 NMCF)로부터 보안 검사 패킷이 전송되었는지 식별하며, 길이 필드에 의해 지시되는 특정 길이에 따른 모니터링 결과 필드를 복호화하며, 복호화된 모니터링 결과 필드로부터 단말의 보안 문제 발생 여부를 확인할 수 있다.
도 12는 제2 시나리오에 따른 실시예에 따른 보안 검사 패킷에 기반하여 네트워크 보안 모니터링을 수행하는 방법을 설명하는 도면이다.
도 12를 참조하면, NMCF가 통합된 단말은 단말의 보안 모니터링을 수행하고, 보안 모니터링 결과를 지시하는 보안 검사 패킷을 생성하여 네트워크로 전송한다. 여기서, NMSF는 자체적인 IP를 할당받지 못한 상태이므로, 네트워크 내에서 상기 보안 패킷의 목적지는 NMSF가 아닌 다른 서버일 수 있다. 즉 NMSF는 NMCF로부터 상기 보안 검사 패킷을 직접 수신할 수 없다.
단말의 보안 모니터링은 예시적으로 단말의 시스템 로그 파일을 감시하는 동작, 화이트 리스트 내에 포함된 허용된 IP 이외의 IP로부터 단말에 접근 시도가 발생하는지 판단하는 동작, 단말에 대한 패킷 정보를 분석하는 동작, 단말의 상태 정보를 분석하는 동작 및 단말에 대한 연결 가능 여부를 나타내는 얼라이브 정보를 획득하는 동작의 적어도 일부를 포함할 수 있다.
일례로서, 단말의 시스템 로그 파일을 감시하는 동작은 허용되지 않은 IP 로부터 단말로 로그인 (Login) 시도가 발생하였을 때 보안 문제가 발생한 것으로 판단하는 과정을 포함할 수 있다.
다른 예로서, 단말의 시스템 로그 파일을 감시하는 동작은 단말에서 알려지지 않은 프로세스의 동작이 발생하였을 때 보안 문제가 발생한 것으로 판단하는 과정을 포함할 수 있다.
또 다른 예로서, 단말의 시스템 로그 파일을 감시하는 동작은 단말로 미리 결정된 시간 길이 구간 동안 미리 결정된 횟수 이상의 로그인 실패가 발생하였을 때 보안 문제가 발생한 것으로 판단하는 과정을 포함할 수 있다.
또 다른 예로서, 단말의 상태 정보를 분석하는 동작은 단말의 내부 정보(internal information)가 미리 설정한 임계값 이상일 때 보안 문제가 발생한 것으로 판단하는 과정을 포함할 수 있다. 여기서, 내부 정보는 예를 들어 단말의 CPU 사용량(usage) 또는 메모리 사용량일 수 있다.
또 다른 예로서, 단말의 상태 정보를 분석하는 동작은 단말에 부가 매체가 연결 또는 연결 해제되는 이벤트가 발생한 경우 보안 문제가 발생한 것으로 판단하는 과정을 포함할 수 있다.
또 다른 예로서, 얼라이브 정보를 획득하는 동작은 미리 결정한 임계값의 시간 길이 구간 이상으로 단말에 접속이 불가능하다는 결정, ARP(Address Resolution Protocol) 내에 디바이스 IP 가 존재하지 않는다는 결정 중 적어도 하나를 기반으로 보안 문제가 발생한 것으로 판단하는 과정을 포함할 수 있다.
위와 같이 보안 문제가 발생한 것으로 판단되면, 단말(또는 NMCF)은 보안 모니터링 결과를 지시하는 보안 검사 패킷을 생성한다.
보안 검사 패킷은 주기적으로 또는 비주기적으로 생성 및 전송될 수 있다.
도 13은 제2 시나리오에 따른 보안 패킷 구조이다.
도 13을 참조하면, 보안 검사 패킷은 UDP 패킷 포맷으로서, UDP 헤더와 UDP 페이로드를 포함한다. UDP 페이로드는 UID(user ID) 필드, 길이 필드 및 모니터링 결과 필드를 포함할 수 있다. 일례로서, UID 필드, 길이 필드, 모니터링 결과 필드는 다음의 표 2와 같이 정의될 수 있다.
Field Byte length Description
UID 4 This field indicates a user ID of UE
Length 2 This field indicates the byte length of the monitoring result field
Monitoring Result Variable This field indicates alive information, CPU usage and memory usage of UE
표 2를 참조하면, UID 필드는 4바이트로서 단말의 사용자 ID 또는 식별정보를 지시하고, 길이 필드는 2바이트로서 길이 필드 다음에 올 모니터링 결과 필드의 바이트 길이를 지시하며, 모니터링 결과 필드는 단말의 보안 모니터링 결과들(단말의 얼라이브 정보, CPU 사용량, 메모리 사용량 등)을 지시한다. 다시 도 12를 참조하면, NMSF는 보안 검사 패킷을 직접 수신할 수 없으므로, 보안 검사 패킷이 거쳐가는 구간(무선 구간, 네트워크 구간 포함)에 대한 RTT 검사를 수행할 수 있다.
구체적으로, NMCF는 보안 검사 패킷의 전송을 위해 3-way 핸드쉐이킹 절차를 이용하여 TCP 연결을 시도하고, 보안 검사 패킷을 서버로 전송한다. NMSF는 NMCF와 서버간에 보안 검사 패킷의 전송을 위해 이루어지는 3-way 핸드쉐이킹 절차를 이용하여 RTT 검사를 수행한다. 보안 검사 패킷이 전송되는 주기 또는 시점에 관한 정보가 NMSF와 NMCF 간에 미리 규약되어 있는 환경에서, NMSF는 해당 주기 또는 시점마다 RTT 검사를 수행할 수 있다. 즉 NMSF는 적어도 NMCF가 어떠한 주기 또는 시점에 보안 검사 패킷을 전송할지 미리 인지하고, 보안 검사 패킷의 전송에 수반되는 3-way 핸드쉐이킹 절차를 이용하여 RTT 검사를 수행한다. 이때 NMSF는 3-way 핸드쉐이킹 절차에서 교환되는 신호들을 미러링함으로써 RTT 검사를 수행할 수 있다.
본 명세서에 따른 NMCF와 NMSF는 제1 시나리오에 따른 실시예와 제2 시나리오에 따른 실시예 중 어느 하나를 선택적으로 수행하도록 구성될 수도 있고, 두가지를 모두 수행하도록 구성될 수도 있다. NMCF와 NMSF는 제1 시나리오에 따른 실시예로 동작하는 제1 모드와, 제2 시나리오에 따른 실시예로 동작하는 제2 모드를 지원할 수 있다. 또는 NMCF와 NMSF는 네트워크 상황에 따라 적응적으로 모드를 변경할 수도 있다. 예를 들어 NMSF가 IP를 할당 받기 전에는 제2 모드로 동작하다가, IP를 할당 받은 이후부터는 제2 모드로 동작하도록 구성될 수도 있다.
5G NPN과 네트워크 보안 모니터링
도 14는 본 발명의 기술적 특징이 적용될 수 있는 무선 통신 시스템의 또 다른 예를 나타낸 도면이다. 구체적으로, 도 14는 5G NPN(non-public network) 시스템에 기초한 시스템 아키텍처를 도시한다. 3GPP TS 22.261에 따르면, NPN은 사설 네트워크로 불리우며, 기업의 사설망 구축을 위해 사용될 수 있으며 5G 통신 시스템의 가상 및 물리적 요소를 사용하는 다양한 구성(configuration)으로 구현될 수 있다. 여기서, NPN은 완전히 독립적인 네트워크로 존재할 수도 있고, PLMN에 의해 호스팅될 수도 있으며, PLMN의 슬라이스 형태로 제공될 수도 있다. 이 밖에도 NPN은 기업 업무망, 기업 전용망, 기업 사설망, 정부 업무망, 정부 전용망, 정부 사설망, 스마트 팩토리 전용망, 스마트 시티 전용망 등 다양한 다른 명칭으로 불릴 수 있다.
5G NPN은 고품질의 서비스 요구사항, 전용의 보안 크리덴셜(credential)을 사용하는 높은 보안 요구사항, 보안/프라이버시/성능/안전의 보장 및 오동작 방지를 위한 공공 5G 네트워크로부터의 격리(isolation)를 위해 바람직하다.
5G 기술은 5G의 요구사항인 URLLC를 이용하여 스마트 공장과 스마트 시티에서의 실시간 IoT 장치들에 기반한 5G 버티컬(vertical) 서비스를 구축하는데 사용된다. 이러한 5G 버티컬 서비스들이 5G NPN으로 구현되는 경우, 5G NPN은 IoT 장치들의 시간민감(time-sensitive) 데이터를 처리할 때 보안과 성능의 관점에서 5G의 요구사항을 만족해야 한다.
도 14를 참조하면, 5G NPN은 RAN과 5GC를 포함할 수 있다. 5G NPN에는 다른 NPN과의 식별을 위한 ID(NPN ID)가 할당될 수 있다. 여러 서비스 제공자들(service provider: SP) SP#1, SP#2, 쪋 SP#N이 5G NPN에 캠핑(caping) 또는 연결된(connected) 각 단말들 (UE#A, UE#B)에게 URLLC 패킷 서비스를 제공할 수 있다. 5G NPN 보안 아키텍쳐는 네트워크 내부 또는 외부로부터의 위협을 효과적으로 제거하고 그에 따른 위험을 최소화함으로써 URLLC 요구사항을 만족하는 버티컬 서비스를 제공할 수 있다.
이하에서는 도 14를 기초로 NMSF와 NMCF를 포함하는 5G NPN 아키텍쳐를 구성하는 방법에 관하여 개시된다.
도 15는 일례에 따른 네트워크 보안 모니터링 기능을 제공하는 5G NPN 보안 아키텍쳐이다.
도 15를 참조하면, NMCF는 모듈로서 5G NPN을 구성하는 단말(또는 클라이언트 노드)에 융합된 형태(integrated)로서 구성될 수 있다. 예를 들어 NMCF는 소프트웨어로서 단말의 칩 또는 메모리에 저장되고, 단말(또는 클라이언트 노드)의 보안 또는 성능을 모니터링하는 동작을 수행할 수 있다.
NMSF는 5G NPN을 구성하는 컴퓨팅 집합 내의 특정 네트워크 노드에 융합된 형태(integrated)로서 구성될 수 있다. 일례로서, NMSF는 컴퓨팅 집합인 MEC (multiple-access edge computing) 또는 MEC 내의 적어도 하나의 노드(예를 들어 서버 노드)에 융합된 형태로서 구성될 수 있다. 이때 NMSF는 소프트웨어로서 상기 적어도 하나의 노드 내의 칩 또는 메모리에 저장되어, 상기 적어도 하나의 노드에서 입출력되는 N6 인터페이스의 패킷들을 통해 5G NPN의 보안 또는 성능을 모니터링하는 동작을 수행할 수 있다. 여기서 MEC는 분산 클라우드 컴퓨팅 기술을 적용하여 다양한 서비스와 캐싱 콘텐츠를 이용자 단말에 가까이 전개함으로써 코어 네트워크의 혼잡을 완화하고, 새로운 로컬 서비스를 창출하는 기술이다.
NMCF는 사용자 단말, 특히 IoT 장치에 융합되어 gNB와 통신을 수행할 수 있다. NMCF를 IoT 장치에 실장(mounting)하는 것은 5G NPN에서 보안과 URLLC 성능을 보장하기 위한 효과적인 수단들 중에 하나이다. NMCF는 소프트웨어로 구현될 수 있으며, 종단 검출 및 응답(endpoint detection and response : EDR 엔터티 또는 마이크로 엔진(micro engine : ME)라 불릴 수 있다. NMCF 서버는 5G NPN 내에 또는 엣지 클라우드(edge cloud)에 또는 공용 네트워크 도메인 내에 위치할 수 있다. 단말들은 gNB와 무선으로 연결된다. 각 단말은 gNB로 패킷을 전송하거나 gNB로부터 패킷을 수신한다. gNB는 5G 코어망에 연결되거나 N3 인터페이스(또는 GTP 터널)을 통해 로컬 네트워크에 연결될 수 있다. 이때 패킷들은 N3 인터페이스를 통해 흐른다.
도 16은 다른 예에 따른 네트워크 보안 모니터링 기능을 제공하는 5G NPN 보안 아키텍쳐이다.
도 16을 참조하면, NMCF는 모듈로서 5G NPN을 구성하는 단말(또는 클라이언트 노드)에 융합된 형태로서 구성될 수 있다. 예를 들어 NMCF는 소프트웨어로서 단말의 칩 또는 메모리에 저장되고, 단말(또는 클라이언트 노드)의 보안 또는 성능을 모니터링하는 동작을 수행할 수 있다.
NMSF는 5G NPN을 구성하는 독립적인 네트워크 노드로서, 다른 네트워크 노드 또는 엔터티와 분리되어 구성될 수 있다. 예를 들어, NMSF는 UPF 또는 MEC로부터 분리된 독립적인 네트워크 노드로서 구성될 수 있다.
일 측면에서, NMSF는 UPF의 입력단 또는 출력단(예를 들어 N3 인터페이스)에 커플링되거나 MEC의 입력단 또는 출력단에 커플링되어, N3 인터페이스의 패킷들을 통해 5G NPN의 보안 또는 성능을 모니터링할 수 있다. NMSF가 UPF의 출력단에 커플링되는 경우, 5G NPN 보안 아키텍처는 N3 인터페이스의 패킷들을 미러링하기 위해 N3 인터페이스를 분기시키는 스위치 장치를 더 구비할 수 있다.
NMCF와 NMSF는 상호간에 NMCF에서의 모니터링 결과와 같은 보안 관련 신호를 공유하기 위해 예를 들어 N3 인터페이스를 통해 통신을 수행할 수 있으며, 보안 관련 신호의 공유는 NMSF를 위해 지정된(designated) IP에 기반할 수 있다. 만약 5G NPN이 IPSec과 같은 노드와 노드간 암호화 기능(encryption function)을 사용하는 경우, NMSF는 상기 노드로부터 해독된 패킷이 출력되는 지점에 구성될 수 있다.
도 17은 또 다른 예에 따른 네트워크 보안 모니터링 기능을 제공하는 5G NPN 보안 아키텍쳐이다. 도 17에서는 복수의 NMSF가 하나의 5G NPN 내에 구성되는 점에서 도 15 및 도 16과 다르다.
도 17을 참조하면, NMCF는 모듈로서 5G NPN을 구성하는 단말(또는 클라이언트 노드)에 융합된 형태로서 구성될 수 있다. 예를 들어 NMCF는 소프트웨어로서 단말의 칩 또는 메모리에 저장되고, 단말(또는 클라이언트 노드)의 보안 또는 성능을 모니터링하는 동작을 수행할 수 있다.
복수의 NMSF가 5G NPN 내에서 구성될 수 있다. 제1 NMSF는 5G NPN을 구성하는 컴퓨팅 집합 내의 특정 네트워크 노드에 융합된 형태(integrated)로서 구성될 수 있다. 일례로서, 제1 NMSF는 컴퓨팅 집합인 MEC 또는 MEC 내의 적어도 하나의 노드(예를 들어 서버 노드)에 융합된 형태로서 구성될 수 있다. 이때 제1 NMSF는 소프트웨어로서 상기 적어도 하나의 노드 내의 칩 또는 메모리에 저장되어, 상기 적어도 하나의 노드에서 입출력되는 N6 인터페이스의 패킷들을 통해 5G NPN의 보안 또는 성능을 모니터링하는 동작을 수행할 수 있다.
그리고 제2 NMSF는 5G NPN을 구성하는 독립적인 네트워크 노드로서, 다른 네트워크 노드 또는 엔터티와 분리되어 구성될 수 있다. 예를 들어, 제2 NMSF는 UPF 또는 MEC로부터 분리된 독립적인 네트워크 노드로서 구성될 수 있다. 일 측면에서, 제2 NMSF는 UPF의 입력단 또는 출력단에 커플링되어 N3 인터페이스의 패킷들을 통해 5G NPN의 보안 또는 성능을 모니터링할 수 있다. NMSF가 UPF의 출력단에 커플링되는 경우, 5G NPN 보안 아키텍처는 N3 인터페이스의 패킷들을 미러링하기 위해 N3 인터페이스를 분기시키는 스위치 장치를 더 구비할 수 있다.
NMCF와 제1 NMSF 및/또는 제2 NMSF는 상호간에 NMCF에서의 모니터링 결과와 같은 보안 관련 신호를 공유하기 위해 예를 들어 N3 인터페이스를 통해 통신을 수행할 수 있으며, 보안 관련 신호의 공유는 제1 및/또는 제2 NMSF를 위해 지정된(designated) IP에 기반할 수 있다. 만약 5G NPN이 IPSec과 같은 노드와 노드간 암호화 기능(encryption function)을 사용하는 경우, 제1 및/또는 제2 NMSF는 상기 노드로부터 해독된 패킷이 출력되는 지점에 구성될 수 있다.
전술된 도 15 내지 도 17은 하나 또는 둘 이상의 NMSF와 하나 또는 둘 이상의 NMCF가 5G NPN 내에서 다양한 형태로 배치되는 5G NPN 보안 아키텍쳐의 실시예들이다. 그러나 상기 도 15 내지 도 17에 따른 5G NPN 보안 아키텍쳐들은 상호간에 배타적이지 않으며, 네트워크 특성과 비용에 따라 하나 또는 둘 이상이 조합된 실시예로서 구현될 수도 있다. 또한 NMSF와 NMCF가 5G NPN 내에서 전개되는 실시예는 도 15 내지 도 17 이외에도 다양하게 도출될 수 있으며, 예를 들어 NMSF들이 UPF 및/또는 MEC와는 무관한 다른 네트워크 엔터티 또는 네트워크 노드에 융합될 수도 있음은 물론이다.
본 명세서에 따른 5G NPN 보안 아키텍쳐에 따르면, NMSF와 NMCF에 기반하여 효과적인 5G NPN에서의 보안과 성능 모니터링이 달성될 수 있다.
이하에서는 5G NPN 보안 아키텍쳐를 구성하는 NMSF와 NMCF의 기능에 관하여 보다 상세히 개시된다.
먼저 NMSF는 다음의 기능들 중 적어도 하나의 기능을 수행하도록 구성된다.
일례로서, NMSF는 클라이언트 노드와 서버 노드 사이에서 송수신되는 패킷을 미러링함으로써 적어도 하나의 미러링된 패킷을 획득하는 기능을 수행한다. 여기서 클라이언트 노드는 예를 들어 사용자 단말 또는 IoT 장치일 수 있다. 패킷 미러링은 특정 노드에서 교환되는 패킷을 실시간으로 수집하고 분석하는 기법이다. NMSF는 또한 패킷 미러링을 위해 노드간 연결선로를 분기시키는 스위칭 기능 또는 스위칭 장치를 더 포함할 수 있다.
다른 예로서, NMSF는 상기 미러링된 패킷에 포함된 정보에 기반하여 5G NPN의 보안과 성능을 위협하는 비정상적인 동작이나 보안 문제를 판단하는 기능을 수행한다.
또 다른 예로서, NMSF는 보안 및 성능 모니터링 결과에 기반하여, URLLC 요구사항을 방해하는 비정상적인 동작에 대한 알림(alerting) 기능을 수행한다. 보안 또는 성능을 위협하는 비정상적인 동작이 감지되면, NMSF는 사용자에게 이를 알림으로써 사용자가 상기 비정상적인 동작에 적절히 대응할 수 있도록 한다. NMSF는 또한 보안 컨트롤러에 알림 정보(alerting information)를 전송한다. 알림 정보는 보안 컨트롤러에게 상기 비정상적인 동작에 대해 조치를 취하도록 지시하는 정보로서, 알림 정보를 수신한 보안 컨트롤러는 상기 비정상적인 동작을 복구하는 동작(예를 들어 네트워크의 셧다운)을 수행한다. 알림 정보는 3GPP 시그널링 프로토콜에 의해 제공되는 N3 인터페이스(또는 GTP 터널)을 통해 전송될 수 있다.
다음으로 NMCF는 다음의 기능들 중 적어도 하나의 기능을 수행하도록 구성된다.
일례로서, NMCF는 네트워크상에서 클라이언트 노드에 의해 송수신되는 패킷 또는 내부 정보(internal information)을 수집하는 기능을 수행한다.
다른 예로서, NMCF는 상기 수집된 패킷 또는 내부 정보에 기반하여 클라이언트 노드와 연관된 네트워크 보안 위협을 모니터링하고 판단하는 동작을 수행한다.
또 다른 예로서, NMCF는 네트워크 보안 위협을 모니터링한 결과를 NMSF를 위해 지정된 IP를 이용하여 NMSF로 통지(notify)하는 동작을 수행한다.
또 다른 예로서, NMCF는 비정상적인 단말 동작에 대한 알람(alert)를 IoT 장치의 사용자에게 디스플레이할 수 있다.
또 다른 예로서, 상기 열거된 기능들을 수행함에 있어서, NMCF는 개별 클라이언트 노드 또는 IoT 장치들의 컴퓨팅 자원을 이용하여 동작하며, 개별 클라이언트 노드 또는 IoT 장치의 기본 성능과 기능에 영향을 미치지 않을 정도의 자원의 양을 사용한다.
NMCF는 클라이언트 노드 또는 IoT 장치에서 발생하는 데이터를 통해 비정상적인 동작을 감지할 수 있으므로, NMSF에 비해 클라이언트 노드 또는 IoT 장치의 보안 상태를 보다 정확히 파악할 수 있다. 나아가 5G NPN에 접속한 IoT 단말들의 수가 기하 급수적으로 증가하는 경우 모든 데이터 흐름을 모니터링하는 것은 NMSF에 큰 부담이므로, NMCF와의 협업에 의해 5G NPN의 보안 및 성능을 모니터링하는 것이 효과적이다. 클라이언트 노드 또는 IoT 장치 자체의 문제(예를 들어 파워 셧다운)로 인해 클라이언트 노드 또는 IoT 장치에 융합된 NMCF가 동작을 멈출 수 있기 때문에, NMSF에 의한 보안 및 성능의 모니터링이 필수적이다.
네트워크 모니터링 장치에 의한 패킷 미러링 및 패킷 분석에 따른 네트워크 성능 지표 산출
이하의 실시예는 NMSF에 의한 패킷 미러링 및 패킷 분석에 따른 네트워크 성능 지표를 산출하는 방법에 관한 것이다. 설명의 편의를 위해 NMSF를 네트워크 모니터링 장치라 표현하기로 한다.
도 18은 본 발명의 일 실시예에 따른 네트워크 모니터링 장치가 포함된 시스템을 나타낸 개념도이다. 도 17에 도시된 바와 같이, 본 발명의 일 실시예에 따른 네트워크 보안 및 성능 모니터링 시스템은 사용자 단말(앞선 도면의 UE와 같음)(910-1~910-3), 네트워크(920), 서버단(930~950) 및 네트워크 모니터링 장치(900)를 포함할 수 있다. 본 실시예에서의 네트워크는 5G NPN을 포함할 수 있고, 서버단(930~950)은 MEC를 포함할 수 있다.
도 18을 참조하면, 사용자 단말(910-1~910-3)은 네트워크(920)를 통해 특정 웹 사이트 및/또는 웹 애플리케이션에 접속한다. 여기서, 사용자 단말(910-1~910-3)은 5G 네트워크 상의 휴대용 단말, 로봇, IoT 기기(예컨대, 센서) 등이 될 수 있다. 접속은 상기 웹 사이트 및/또는 웹 애플리케이션과 연관된 서버단(930~950)에서 수행된다.
도 18의 실시예에 따르면, 사용자 단말(910-1~910-3)은 웹 브라우저를 통해 특정 웹 페이지에 접속하여 원하는 페이지 또는 애플리케이션의 실행을 요청한다. 상기 요청은, html 문서와 같은 정적인 콘텐츠뿐만 아니라, 동영상, 오디오와 같은 멀티미디어 콘텐츠, 및/또는 기타 다른 애플리케이션의 실행을 포함할 수 있다.
본 발명의 일 실시예에 따르면, 사용자 단말(910-1~910-3)은 사용자에 의해 동작하고, 통신 기능(인터넷 접속 및 웹 브라우저 실행 기능 포함) 및 데이터 처리 기능을 포함하는 임의의 장치를 포함할 수 있다. 사용자 단말(910-1~910-3)은, 이동국(MS), 사용자 장비(또는 사용자 단말)(UE; User Equipment), 사용자 터미널(UT; User Terminal), 무선 터미널, 액세스 터미널(AT), 터미널, 고정 또는 이동 가입자 유닛(Subscriber Unit), 가입자 스테이션(SS; Subscriber Station), 셀룰러 전화, 무선 기기(wireless device), 무선 통신 디바이스, 무선송수신유닛(WTRU; Wireless Transmit/Receive Unit), 이동 노드, 모바일, 모바일국, 개인 휴대 정보 단말(personal digital assistant; PDA), 스마트폰, 랩톱, 넷북, 개인용 컴퓨터, 무선 센서, 소비자 전자기기(CE), 로봇, IoT 기기 또는 다른 용어들로서 지칭될 수 있다. 사용자 단말(910-1~910-3)의 다양한 실시예들은 셀룰러 전화기, 무선 통신 기능을 가지는 스마트 폰, 무선 통신 기능을 가지는 개인 휴대용 단말기(PDA), 무선 모뎀, 무선 통신 기능을 가지는 휴대용 컴퓨터, 무선 통신 기능을 가지는 디지털 카메라와 같은 촬영장치, 무선 통신 기능을 가지는 게이밍 장치, 무선 통신 기능을 가지는 음악저장 및 재생 가전제품, 무선 인터넷 접속 및 브라우징이 가능한 인터넷 가전제품뿐만 아니라 그러한 기능들의 조합들을 통합하고 있는 휴대형 유닛 또는 단말기들을 포함할 수 있으나, 이에 한정되는 것은 아니다.
각 사용자 단말(910-1~910-3)은 사용자 입력을 수신하기 위한 마우스 및 키보드와 같은 입력 장치들 및 사용자가 네트워킹된 장치들과 상호작용하기 위한 제어 사용자 인터페이스를 제공하기 위한 디스플레이를 포함하는 사용자 통신 인터페이스를 포함할 수 있다. 사용자 인터페이스는 사용자에게 정보를 제공하기 위해 그래픽 사용자 인터페이스(GUI: Graphical User Interface)를 포함할 수 있다.
네트워크(920)는 유선 및/또는 무선 네트워크를 포함한다. 네트워크(920)는 인터넷(internet)을 포함할 수 있고, 5G SA(Stand Alone) 시스템이거나, 5G NSA(Non-Stand Alone) 및/또는 4G 시스템을 포함한다. 네트워크(920)는 다양하게 접속된 사용자 단말(910-1~910-3)과 서버단(930~950) 간에 데이터를 송신하고 수신하기 위해 물리층(매체)을 제공하는 시리얼 버스를 포함할 수 있다. 여기서 시리얼 버스는 1394 시리얼 버스를 포함할 수 있다. 이는 시간-다중송신(Time-multiplexed) 오디오/비디오(A/V) 스트림 및 표준 아이피(IP: Internet Protocol) 통신(예컨대, IETF REC 2734)을 양쪽 모두 지원할 수 있고, 다만 반드시 이에 한정되는 것은 아니다. 네트워크(920)는 비-1394 네트워크(예컨대, 이더넷 등)도 포함할 수 있다. 또한, 네트워크(920)는 홈 네트워크를 포함할 수도 있다. 각 사용자 단말(910-1~910-3)들은 네트워크(920)에서 하나 이상의 서버 장치들(930~950)과 통신할 수 있다.
서버단(930~950)은 사용자에게 서비스들을 제공하기 위해 네트워크(920) 자원을 이용하여 사용자들의 요청에 응답한다. 서버단(930~950)이라고 표현하지만, 반드시 특정 웹 사이트와 관련된 서버일 필요는 없다. 하나의 서버 장치여도 무방하다. 본 명세서 상에서, "서버"라는 용어는 특정 사용자 단말(910-1~910-3)과 통신하는 다른 개체, 상기 사용자 단말(910-1~910-3)이 통신 요청한 대상 개체(entity), 사용자 단말(910-1~910-3)을 제어하는 콘트롤러 장치(로봇 또는 IoT 기기 등을 콘트롤하는 중앙 제어 장치), 및/또는 기지국(eNB, gNB 등) 등을 의미할 수 있다.
서버단(930~950)은 사용자 단말(910-1~910-3)의 요청에 대응하여 정보(데이터)의 리턴(return)을 수행한다. 또한, 기능의 성능(예컨대, 기계적인 기능) 및 상태의 리턴, 데이터 스트림 및 상태의 리턴, 데이터 스트림의 수용 및 상태의 리턴, 또는 각종 행위에 대한 상태의 저장을 포함한다. 서버단(930~950)은 그 자신의 하드웨어의 제어를 구현하기 위해, 주문형, 내장형, 제어 프로그램을 포함할 수 있다.
서버단(930~950)은 특정 웹 사이트 및/또는 웹 애플리케이션과 연관될 수 있고, 각 웹 사이트 및/또는 웹 애플리케이션에서 수행되는 작업과 관련된 연산 및 관리를 수행한다. 서버단(930~950)은 사용자 단말들(910-1~910-3) 및 다른 서버들(930~950)과 상호작용할 수 있다. 예시적인 서비스들은 MPEG 소싱/싱킹(sourcing/sinking), 및 디스플레이 서비스를 포함할 수 있다.
서버단(930~950)은 네트워크(920)를 통해 장치의 명령 및 제어를 위한 인터페이스를 제공하는 인터페이스 데이터(예컨대, HTML, XML, 자바, 자바스크립트, GIF, JPEG, MPEG, 그래픽 파열 또는 의도한 목적에 사용되는 임의의 다른 포맷)와 같은 정보를 처리할 수 있다. 특정 실시예에서, 각 서버들(930~950)은 그 장치의 명령 및 제어를 제공하는 하나 이상의 하이퍼텍스트 마크업 언어(HTML: Hypertext Markup Language)와 같은 정보를 처리할 수 있다. 서버단(930~950)은 브라우저 기법을 이용하여 HTML 페이지를 나타내는 인터넷 표준을 사용할 수 있다.
본 발명의 실시예에 따르면, 서버단(930~950)은 웹 서버(930), 앱 서버(940: APP server), 및 데이터베이스 서버(950: DB 서버)를 포함할 수 있다. 다만, 반드시 서버단이 3개 서버의 조합으로만 구성되어야 하는 것은 아니다. 웹 서버(930)만 존재하고, 앱 서버(940) 및 데이터베이스 서버(950)는 존재하지 않는 것도 유효하고, 또는 앱 서버(940) 하나만 구성되는 것도 가능하고, 기타 다양한 형태 및 계층의 서버 조합도 가능하다.
웹 서버(930)는 웹 클라이언트(Web Client)에게 요청된 컨텐츠를 제공하는 서버이다. 웹 서버(930)는 정적인 HTML이나 JPEG, GIF같은 이미지를 HTTP 프로토콜을 통해 웹 브라우저에 제공할 수 있다. 경우에 따라, 웹 서버(930)도 내부 애플리케이션을 동작시킬 수 있는 컨테이너를 내장할 수 있다.
앱 서버(940)는 WAS(Web Application Server) 서버라고도 불릴 수 있고, 이는 클라이언트/서버 환경에서 트랜잭션 처리 및 관리와 애플리케이션 실행 환경을 제공하는 미들웨어 소프트웨어 서버를 나타낸다. 전형적으로, 서버단(930~950)은 웹 서버, 애플리케이션 서버, 데이터베이스의 3계층 웹 컴퓨팅 환경으로 구축될 수 있는데, 이때, 앱 서버(940)는 클라이언트/서버 환경의 애플리케이션 서버와 같은 역할을 한다. 앱 서버(940)는 애플리케이션 실행 환경과 데이터베이스 접속 기능을 제공하고, 트랜잭션을 관리하며, 업무를 처리하는 비즈니스 로직을 수행하고, 다른 기종 시스템 간의 애플리케이션 연동 등을 수행한다.
본 발명의 실시예에 따르면, 웹 서버(930)와 WAS(940)의 기능적 분류를 통해 효과적인 분산을 유도할 수 있다. 정적인 데이터는 구조적으로 앞에 존재하는 웹 서버(930)에서 처리하고, 동적인 데이터는 뒷단의 WAS(940)가 처리할 수 있다. 예컨대, 사용자의 요청에 대해서 정적 데이터인 HTML과 자바스크립트 파일, CSS, 이미지 등을 앞단의 웹 서버(930)에 위치시켜 처리함으로써 WAS(940)로 서비스 요청이 넘어가지 않게 한다. 또한, 웹 애플리케이션 서비스를 위치적으로 뒤편에 존재하는 WAS(940)에 넘겨줌으로써 WAS(940)는 웹 애플이케이션의 수행에 집중할 수 있다. 웹 서버(930)에서 처리할 것과 WAS(940)에게 넘겨질 것을 처리하는 방식은 웹 서버(930)의 컨피규어레이션(Configuration)을 통해 처리할 수 있다. 특정 확장자나 디렉토리 업무를 WAS(940)로 넘길지 여부는 웹 서버(230)에서 처리한다.
데이터베이스 서버(950)는 웹 서버(930) 및/또는 앱 서버(940)가 취급하는 각종 데이터가 저장되어 있는 저장소이다. 데이터베이스 서버(950)는 웹 서버(930) 및/또는 앱 서버(940)가 처리하는 작업, 웹 사이트, 웹 애플리케이션의 성격에 따라 그와 연관된 엄청난 양의 데이터가 저장될 수 있다. 이는 개인정보, 기관정보, 각종 콘텐츠(예컨대, 멀티미디어 콘텐츠)와 연관된 데이터 등을 포함할 수 있다.
네트워크 모니터링 장치(900)는 네트워크(920)와 웹 서버(930) 사이, 웹 서버(930)와 앱 서버(940) 사이 및 앱 서버(940)와 데이터베이스 서버(950) 사이 중 적어도 하나에 배치될 수 있다. 네트워크 모니터링 장치(900)는 네트워크(920)와 웹 서버(930) 사이, 웹 서버(930)와 앱 서버(940) 사이 및 앱 서버(940)와 데이터베이스 서버(950) 사이 중 적어도 하나에 배치된 스위칭 장치(미도시)와 연결되어 두 개체 간에 송수신되는 패킷을 미러링한 패킷을 기반으로 네트워크 서버스의 성능을 진단한다. 본 발명의 상기 실시예에 따르면, 미러링된 패킷은 실제 송수신되는 패킷(실제 사용되는 사용자 트래픽)을 기반으로 복사에 의해 생성될 수 있으므로, 네트워크 서비스의 성능 진단을 위해 별도의 인위적인 테스트 패킷을 생성할 필요가 없다. 특히, 네트워크 모니터링 장치(900)는 실시간으로 모든 패킷에 대한 모니터링이 가능하다.
네트워크 모니터링 장치(900)는 미러링된 패킷에 포함된 각종 정보들(예컨대, 소스 ID(source id), 목적지 ID(destination id) 및 시간 정보(time), 입력 포트 정보, 출력 포트 정보 등)을 기반으로 네트워크 서비스의 성능을 나타내는 각종 지표들을 실시간으로 산출한다. 지표의 산출은 트랜잭션(transaction) 단위로 이루어질 수 있다. 산출되는 지표는 120가지를 초과할 수 있고, 이는 이하 도 12를 참조하여 보다 상세히 설명한다. 네트워크 모니터링 장치(900)는 산출된 지표들을 기반으로, 어떤 구간에 속도 지연, 대기 지연, 트래픽 초과, 에러 발생과 같은 문제가 있는지 여부를 구간별로 판단하고, 판단결과를 운영자 또는 관리자가 확인할 수 있도록 시각화한다. 즉, 에러 구간을 신속하게 파악하고, 이를 기반으로 에러구간에 대한 대응이 신속하게 이루어질 수 있도록 한다.
더욱이, 네트워크 모니터링 장치(900)는 미러링된 패킷을 분석하여 악의적인 사용자로부터의 접근(보안 이슈 관련)을 추적할 수 있고, 이에 대한 대응도 실시간으로 이루어질 수 있도록 한다.
본 발명의 상기 실시예에 따르면, 네트워크 모니터링 장치(900)는 상기 스위칭 장치에 연결되므로, 서버단(930~950)에 실질적으로 부하를 주는 에이전트(agent) 설치를 요구하지 않을 수 있다. 즉, 서버단(930~950)의 작업속도를 늦추는 등의 부담을 주지 않는다. 다만, 본 발명의 네트워크 모니터링 장치(900)가 반드시 하드웨어적으로 구성되어야 하는 것은 아니고, 소프트웨어적으로, 스위칭 장치나 기타 다른 장치에 설치되어 동작할 수 있다.
도 19는 본 발명의 일 실시예에 따른 네트워크 모니터링 장치와 네트워크의 다른 장치와의 연결 구성을 나타낸 블록도이다.
도 19를 참조하면, 인터넷(1020)과 같은 네트워크에 라우터(1022)가 연결되어 있고, 라우터(1022)는 스위치(1024)와 연결되어 사용자 단말(미도시)의 요청과 관련된 서버들(1030-1~1030-3)로 상기 요청을 전송하고, 제 1 개체 내지 제 3 개체(1030-1~1030-3)로부터 요청에 대한 응답과 관련된 정보를 사용자 단말로 전송한다. 제 1 개체 내지 제 3 개체(1030-1~1030-3)는 서로 다른 서버일 수 있다. 또는, 제 1 개체 내지 제 3 개체(1030-1~1030-3)는 클라이언트 측에서 바라봤을 때, 서로 다른 사용자 단말일 수 있고, 사용자 단말 간의 통신을 위한 패킷도 스위치(1024)를 통과하기 때문에, 네트워크 모니터링 장치(1000)는 이를 미러링하여 패킷 관련 정보를 분석할 수 있다.
라우터(1022) 또는 라우팅 기능을 갖는 공유기(미도시)는 인터넷(1020)을 통해 사용자 단말로부터 전송된 패킷의 위치 및 수신처를 추출하여, 그 위치에 대한 최적의 경로를 지정하며, 이 경로를 따라 데이터 패킷을 스위치(1024)로 전향시킨다. 라우터(1022)는 IP 주소를 식별하여 데이터를 스위치(1024)로 포워딩한다.
제 1 개체 내지 제 3 개체가 서버인 경우, 스위치(1024)는 각 서버들(1030-1~1030-3)의 고유한 MAC 주소를 기억하고 있다가, 이 주소를 통해 어떤 패킷이 어디로 전송되어야 하는지 판단하여 라우터(1022)로부터 제공받은 패킷을 해당 서버(1030-1~1030-3)로 전송한다. 스위치(1024)는 OSI 2 계층, OSI 3계층, OSI 4계층 및/또는 다른 계층(예컨대, OSI 7계층)의 역할을 하는 스위치를 포함한다. 예컨대, 경로를 설정하는 기능을 수행할 수 있다. 또한, 로드밸런싱이나 포트포워딩, QoS 등의 기능을 수행할 수도 있다. 스위치(1024)는 네트워크 스위치, 스위칭 허브, 포트 스위칭 허브 등으로 불릴 수 있다.
네트워크 모니터링 장치(1000)는 스위치(1024)와 연결되어 스위치(1024)를 통해 서버(1030-1~1030-3)로 제공되는 거의 모든 패킷을 미러링하여 획득한다. 패킷 미러링은, 즉, 패킷의 복제 또는 캡처(capture)는 스위치(1024)에서 수행될 수 있다. 경우에 따라 네트워크 모니터링 장치(1000) 자체에서 이루어질 수도 있다. 스위치(1024)는 서버(1030-1~1030-3)로 제공되는 패킷을 복제한 후, 네트워크 모니터링 장치(1000)와 연결된 포트를 목적지 포트(destination port)로 설정하여 네트워크 모니터링 장치(1000)로 제공할 수 있다. 이때, 해당 포트를 분석용도로 지정하여 제공할 수 있다.
도 20은 본 발명의 일 실시예에 따른 네트워크 모니터링 장치의 각 구간별 동작을 설명하기 위한 개념도이다.
도 20을 참조하면, 도 18 및 도 19에서 설명한 바와 같이, 사용자 단말(1110)은 인터넷(1120)을 통해 패킷들을 서버단(1130, 1140, 1150)으로 전송하고, 이때, 인터넷(1120)과 서버(1130) 사이에는 라우터(1122) 및 스위치(1124)가 존재하며, 스위치(1124)에 네트워크 모니터링 장치(1100)가 연결된다.
네트워크 모니터링 장치(1100)는 미러링된 패킷을 분석하여 사용자 단말(1110)에서의 사용자 체감 지연시간을 확인할 수 있다. 또한, 인터넷(1120)을 통해 최초 서버(1130)까지의 트래픽과 연관된 정보를 파악할 수 있고, 서버단(1130, 1140, 1150)에서의 응답대기시간(latency)도 확인할 수 있다. 특히 서버단(1130, 1140, 1150)의 응답대기시간은 각 구간별로 판단된다. 웹 서버(1130)와 WAS(1140) 구간과 WAS(1140)와 DB 서버(1150) 구간의 응답대기시간은 별도로 산출되고 취급된다. 웹 응답대기시간(Web latency)과 앱 응답대기시간(App latency)은 별도 산출될 수 있다. 여기서, 웹 응답대기시간은 정적 URL(이미지(gif, png, jpg 등), css, js, 텍스트 등)이 웹 서버(1130)로부터 데이터를 받을 때까지의 응답지연시간을 나타내고, 앱 응답대기시간은 동적 URL(Dynamic URL)이나 포스트 URL(POST URL)로부터 생성된 페이지의 첫 번째 패킷을 받을 때까지의 응답지연시간을 의미한다. 앱 응답대기시간은 쿼리 파라미터(query parameter)가 포함된 동적인 컨텐츠, HTML, ASP, JSP, PHP 등 동적컨텐츠(page) 및/또는 HTTP POST 메서드(method)를 사용한 호출과 연관될 수 있다. 즉, 이는 WAS 서버(1140) 및/또는 DB 서버(1150)를 경유하여 리턴되는 작업과 연관된 응답대기시간을 나타낸다.
먼저, 사용자 단말(1110)에서 사용자의 체감 속도는 페이지 로딩 시간으로 파악된다. 이는 각 주요 웹 페이지에 대한 사용자별 체감속도로써 분석되고 시각화된다. 즉, 특정 웹 페이지에 접속하는 사용자가 다수인 경우, 다수의 사용자의 사용자 환경별, 및/또는 지역별 체감시간을 파악할 수 있다. 사용자 환경은 지역, 사용자 단말에 설치된 OS, 웹 브라우저의 종류 및 단말의 종류별로 다르게 파악될 수 있다. 또한, 지역별 접속현황 및 분포 모니터링 환경을 제공할 수 있다. 이때, 지역별 접속현황은 세계지역 전체를 대상으로 하는 글로벌 지역현황과 국내지역을 대상으로 하는 로컬 지역현황으로 구분하여 제공될 수 있다.
서버(1130)까지의 사용자 구간(네트워크 구간)에 대한 실제 트래픽 발생 현황은 네트워크 왕복도달시간(RTT: Round Trip Time)으로 표현될 수 있다. 이는 네트워크 소요시간으로도 불릴 수 있다. 여기에, 사용량과 관련하여, 초당 데이터 전송속도를 나타내는 BPS(Bit Per Second) 정보, 초당 연결되는 사용자의 수를 나타내는 UPS(User Per Second) 정보, 초당 연결되는 새로운 세션의 개수를 나타내는 CPS(Connection Per Second) 정보 및 초당 발생하는 트랜잭션의 개수를 나타내는 TPS(Transaction Per Second) 정보의 현황도 파악가능하다. 또한, 사용자 애플리케이션을 모니터링할 수 있고, 사용자에 의한 비정상 행위도 분석 및 추적가능하다. 이러한 성능관련지표들을 통해 네트워크 트래픽을 점유하고 있는 애플리케이션을 인지할 수 있고, 사용자, 애플리케이션 및 네트워크의 상관관계를 모니터링할 수 있다.
추가적으로, 네트워크 모니터링 장치(1100)는 각 서버들(1130, 1140, 1150) 사이의 응답지연시간도 파악가능하다. 즉, 서버 구간별 응답품질지표을 파악할 수 있는데, 여기에는, 서버별 응답 지연시간, 서버별 응답대기 세션수(wait) 및 어플리케이션 URI별 지표 및/또는 DB 서버의 쿼리(DB Query)별 지표를 파악할 수 있다.
도 21은 본 발명의 일 실시예에 따른 네트워크 모니터링 장치를 구체적으로 나타낸 블록도이다. 도 21에 도시된 바와 같이, 본 발명의 일 실시예에 따른 네트워크 모니터링 장치(1200)는 포트(1210), 패킷 분석 모듈(1220), 서비스 모듈(1230) 및 유저 인터페이스(1240)를 포함할 수 있다. 또한, 패킷분석 데이터베이스(1222) 및 서비스 데이터베이스(1232)를 더 포함할 수 있다.
도 21을 참조하면, 포트(1210)는 적어도 하나 이상 구비될 수 있고, 이는 스위치 장치들(1224-1, 1224-2, ...)과 연결된다. 하나의 포트는 하나의 스위치 장치와 연결될 수 있다. 연결된 포트들은 스위치 장치들(1224-1, 1224-2, ...)로부터 미러링된 패킷 정보를 수신하여 패킷 분석 모듈(1220)로 상기 미러링된 패킷을 전송한다.
패킷 분석 모듈(1220)은 미러링된 패킷을 수집하고, 실질적으로 패킷을 분석한다. 이는 분석 엔진(engine)이라 불릴 수 있다. 패킷 분석 모듈(1220)은 미러링된 패킷에서 1차적으로 패킷의 헤더를 분석한다. 이를 통해, HTTP 패킷인지, DB와 연관된 패킷인지, TCP와 연관된 패킷인지 구분한다. 즉, 어떤 프로토콜과 연관된 패킷인지 구분한다. 이를 통해 "GET/웹 주소/HTTP/1.1"과 같은 요청 정보를 어떤 서버로 전송했는지 확인할 수 있다. 패킷 분석 모듈(1220)은 이러한 패킷 헤더 정보를 파싱하여 구문해석한다. "GET"은 요청 메시지가 되고, "웹 주소"는 요청과 연관된 웹 주소를 나타낸다. 그리고, "HTTP/1.1"은 HTTP 1.1 버전인 것을 의미하며, 이외에 패킷과 연관된 언어 정보(예컨대, ko-kr)도 확인하여 저장할 수 있다. 요청 매소드는 GET 외에도, POST, HEAD, PUT, DELETE 등이 상황에 따라 전송될 수 있고, 패킷 분석 모듈(1220)을 이러한 정보를 시간정보, 관련 IP와 함께 저장한다.
패킷 분석 모듈(1220)은 각각의 패킷의 인덱스를 부여하고, 부여된 인덱스를 기반으로, 어떤 패킷인지, 해당 패킷인 HTTP 기반의 요청 패킷인지, 그에 대한 응답 패킷인지를 확인한다. 이때, 과거 수신했던 패킷들로부터 획득한 정보와의 비교분석도 수행된다. 즉, 제 1 개체로부터 획득된 요청 패킷이 존재하는 경우, 이후 제 2 개체로부터 그에 대한 응답 패킷이 존재할 수 있고, 이때, 시계열적인 적어도 둘 이상의 패킷, 제 1 개체와 제 2 개체로부터 송수신되는 패킷을 기반으로 하나의 세션확립, 트랜잭션의 흐름들을 분석할 수 있다.
또한, 패킷 분석 모듈(1220)은 사용자 단말이 어떤 브라우저를 사용했는지, HOST와 연관된 정보, 이전 URL 주소 정보, 브라우저 지원 언어 정보를 파싱할 수 있다. 이때, 헤더가 어떤 종류의 헤더(general header인지, request header인지, entity header인지)인지 분석할 수 있고, 헤더와 페이로드의 경계선을 나타내는 정보를 파싱할 수 있다.
그리고는, 패킷 분석 모듈(1220)은 2차적으로, 미러링된 패킷의 URL(Uniform Resource Locator)(또는 URI(uniform resource identifier)), 소스 IP(Source_ip), 목적지 IP(Dest_ip) 및 시간정보를 분석한다. 여기서, URL 값을 확인해 보면, "https://www.google.co.kr/?gws_rd=ssl"와 같이, 어떤 주소로 리디렉트(redirect)시켜주는 패킷인지 확인할 수 있다. 또한, 소스 IP는 사용자 단말의 IP 주소를, 목적지 IP는 요청의 최종 목적지 사이트와 연관된 서버의 IP를 나타낼 수 있다. 응답 패킷의 경우 반대의 정보를 나타낼 수 있다. 시간정보는 타임스탬프 형식으로 제공될 수 있다. 이외에 전체 패킷의 길이 정보(length)도 확인할 수 있다.
패킷 분석 모듈(1220)은 각각의 프로토콜, 예컨대, HTTP, IP, UDP, TCP, DNS 등 다양한 프로토콜에 대응한 패킷 분석 알고리즘을 포함하고 있고, 각 프로토콜에 맞게 적응적으로 패킷으로부터 URL, 소스 IP, 목적지 IP 및 시간정보를 추출하여 분석에 이용할 수 있다.
이렇게 2차 분석으로 추출된 패킷 관련 정보를 기반으로 1 트랜잭션당 약 120개 요소의 성능지표 정보를 생성할 수 있다. 바람직하게는, 1초에 6000개의 트랜잭션을 분석한다. 그리고는 상기 추출된 패킷 관련 정보 및 트랜잭션당 생성된 120여 개의 성능지표 정보를 데이터베이스(1222)에 저장한다. 이하, 미러링된 패킷의 패킷 관련 정보를 기반으로 생성되는 성능관련 지표를 보다 상세히 설명한다.
패킷 분석 모듈(1220)은 트랜잭션 단위로, 왕복도달시간 정보(RTT 정보)를 산출한다. 즉, 데이터 신호의 왕복시간 정보를 산출한다.
그리고, 패킷 분석 모듈(1220)은 세션 정보를 생성한다. 이는 초당 확립되어 있는 소켓의 수, 즉, 끊지 않고 연결되어 있는 소켓의 수를 나타낼 수 있다. 또한, 패킷 분석 모듈(1220)은 사용자 단말이 요청을 보내고, 특정 서버로부터 응답을 받기 전까지 걸린 응답대기시간(Latency) 정보를 산출한다. 이는 데이터베이스를 쿼리하거나 애플리케이션이 수행되거나 기타 작업을 하면서 걸리는 대기시간이라고 볼 수 있다. 반대로, 서버 측에서 사용자 단말 측을 바라보는 관점에서는, 서버에서 요청을 보내고, 특정 사용자 단말로부터 응답을 받기 전짜기의 시간을 응답대기시간으로 산출할 수 있다.
패킷 분석 모듈(1220)은 초당 전송 또는 수신되는 비트(bit)의 크기를 나타내는 BPS 정보, 초당 전송 또는 수신되는 패킷의 개수 정보를 나타내는 PPS(Packet Per Second) 정보, 초당 연결되는 사용자의 수(IP 기준)를 나타내는 UPS 정보를 산출한다. 이는 1초에 몇 명의 사용자가 연결되고 있는지를 특정 목적지 IP에 연결되는 소스 IP의 수를 기반으로 산출할 수 있다. 이외에, 초당 연결되는 새로운 세션의 수를 나타내는 CPS 정보(1초에 몇 개의 세션이 새롭게 연결되는지를 나타냄), 초당 발생하는 트랜잭션의 개수를 나타내는 TPS 정보(1초에 몇 개의 트랜잭션이 발생하는지를 나타냄)를 산출한다. 그리고, 패킷 분석 모듈(1220)은 초당 요청하는 URL의 수를 나타내는 HPS(Hit Per Second) 정보를 산출한다. 이때, 패킷 분석 모듈(1220)은 서버 HPS의 경우, 해당 서버에서 초당 몇 개의 URL이 요청되는지를 기반으로 HPS를 산출하고, 클라이언트 HPS의 경우, 해당 클라이언트에서 초당 몇 개의 URL이 요청하고 있는지를 기반으로 HPS를 산출한다. 그리고, 패킷 분석 모듈(1220)은 초당 연결되는 서버의 개수 정보인 SPS(Server Per Second) 정보를 산출한다. 이는 클라이언트가 1초에 몇 개의 서버에 연결되어 있는지를 나타낸다.
서비스 모듈(1230)은 데이터베이스(1222)에 저장된 성능 관련 지표를 기반으로 통계를 낸다. 통계는 특정 서버단위로, 특정 사용자 단위로, URL 단위로, 세션 단위로, 특정 지역에 위치한 서버 그룹, 특정 지역에 위치한 클라이언트 그룹 단위로 및/또는 웹페이지 단위로, 이루어질 수 있다. 서비스 모듈(1230)은 미리 설정된 다양한 형태의 시각화 툴을 이용하여 사용자가 직관적으로 현재 네트워크에 따른 서비스의 성능을 파악할 수 있도록 상기 성능 관련 지표를 적절히 시각화한다. 시각화는 통계를 기반으로 수행된다. 즉, 특정 매개와 연관된 지표를 취합하여 의미있는 형태의 그래프 또는 테이블을 생성할 수 있다. 예컨대, 특정 클라이언트 또는 서버와 연관하여 특정 시간대에 생성된 세션들의 리스트를 생성한다거나, 그때 발생된 데이터베이스 쿼리에 대한 테이블을 생성하는 등의 작업을 수행한다. 즉, 네트워크 서비스와 연관된 상기 성능 관련 지표들은 해당 패킷의 시간 정보(타임스탬프 정보)와 함께 저장되므로, 특정 시간대의 패킷 흐름을 클라이언트 단말 및 서버단과의 관계 속에서 이해할 수 있도록 플로우 맵(flow map)을 생성할 수도 있다. 다양한 통계 및 그에 따른 시각화 방법은 이하의 도면들을 통해 보다 상세히 설명한다.
서비스 모듈(1230)은 사용자로부터의 입력에 대응하여 특정 그래프 또는 특정 테이블/리스트를 생성하기 위해서는, 원하는 시간 또는 원하는 환경(예컨대, 특정 웹 브라우저 타입 또는 특정 사용자 단말 종류(모바일인지, PC인지))과 같은 기준(criteria) 변수를 기반으로 검색 및 조회를 할 수 있다. 서비스 모듈(1230)은 선택된 기준변수를 기반으로 원하는 데이터를 분류하여 적절한 형태의 시각화 정보를 생성할 수 있다.
본 발명의 실시예에 따르면, 서비스 모듈(1230)은 네트워크 서비스에 있어서, 문제가 되는 부분을 찾아서 표시하는 알람 기능을 수행할 수 있다. 예컨대, wait의 수가 임계값 이상인 경우, 해당 구간의 응답속도에 문제가 있다고 판단하여, 해당구간에 문제가 있음을 시각적으로 표시할 수 있다. 문제발생에 따른 경고 수단은 반드시 시각적으로 다르게 표현하는 것 이외에도, 관련된 사용자 단말로 문자 메시지를 전송하거나 경고 신호를 전송하는 형태로 구현될 수 있다. 이는 도 19를 통해, 보다 상세히 설명한다.
서비스 모듈(1230)에서 생성된 각종 통계 데이터, 시각화 정보 데이터, 시각화 툴과 관련된 정보 및 사용자에 의해 설정된는 각종 임계값 정보는 서비스 데이터베이스(1232)에 저장되고, 유저 인터페이스(1240)를 통해 사용자가 임의의 가공된 정보를 요청할 때, 그에 대응되는 정보를 반환할 수 있다.
유저 인터페이스(1240)는 운영자로부터 각종 입력을 받고, 서비스 모듈(1230)에서 생성한 그래프 또는 테이블과 같은 시각화된 정보를 출력하는 장치를 포함한다. 이는 마우스, 키보드, 터치 패드와 같은 입력수단과 모니터, 터치 스크린과 같은 출력수단을 포함할 수 있다. 사용자는 서버에 대한 정보(예컨대, 서버 이름, 서버 IP, 연관된 URL, 포트, 소트 넘버(sort number), 서버의 위치 정보, 처리가능한 IP 영역 등)와 연관된 데이터베이스, 각종 서버단의 연결 관계(링크)와 연관된 플로우(flow) 데이터베이스 및 사용자에게 출력하기 위한 시각화 툴 및/또는 시각화와 연관된 메타데이터를 포함하는 UX/UI 데이터베이스 정보를 입력할 수 있다. 또한, 문제발생 판단을 위한 룰셋 및 룰셋과 연관된 각종 설정값을 입력할 수 있다.
기업 또는 정부 업무망과 NMCF, NMSF
이하의 실시예에서 DTAF(Data Traffic Analysis Function)는 NMSF가 기업 또는 정부 업무망에 특화된 네트워크 구성에 적용되는 경우의 NMSF를 지칭하는 것으로서, 용어의 차이만 있을 뿐 전술된 NMSF와 동일한 기능을 수행할 수 있다. 또한 사용자 단말은 NMCF를 포함할 수 있다. 또한 기업 업무망 또는 정부 업무망은 전술된 5G NPN으로 구현될 수도 있다.
이상에서 설명된 시스템 또는 장치는 하드웨어 구성요소, 소프트웨어 구성요소, 및/또는 하드웨어 구성요소 및 소프트웨어 구성요소의 조합으로 구현될 수 있다. 예를 들어, 실시예들에서 설명된 시스템, 장치 및 구성요소는, 예를 들어, 프로세서, 콘트롤러, ALU(arithmetic logic unit), 디지털 신호 프로세서(digital signal processor), 마이크로컴퓨터, FPA(field programmable array), PLU(programmable logic unit), 마이크로프로세서, 또는 명령(instruction)을 실행하고 응답할 수 있는 다른 어떠한 장치와 같이, 하나 이상의 범용 컴퓨터 또는 특수 목적 컴퓨터를 이용하여 구현될 수 있다. 처리 장치는 운영 체제(OS) 및 상기 운영 체제 상에서 수행되는 하나 이상의 소프트웨어 애플리케이션을 수행할 수 있다. 또한, 처리 장치는 소프트웨어의 실행에 응답하여, 데이터를 접근, 저장, 조작, 처리 및 생성할 수도 있다. 이해의 편의를 위하여, 처리 장치는 하나가 사용되는 것으로 설명된 경우도 있지만, 해당 기술분야에서 통상의 지식을 가진 자는, 처리 장치가 복수 개의 처리요소(processing element) 및/또는 복수 유형의 처리 요소를 포함할 수 있음을 알 수 있다. 예를 들어, 처리 장치는 복수 개의 프로세서 또는 하나의 프로세서 및 하나의 콘트롤러를 포함할 수 있다. 또한, 병렬 프로세서(parallel processor)와 같은, 다른 처리 구성(processing configuration)도 가능하다.
소프트웨어는 컴퓨터 프로그램(computer program), 코드(code), 명령(instruction), 또는 이들 중 하나 이상의 조합을 포함할 수 있으며, 원하는 대로 동작하도록 처리 장치를 구성하거나 독립적으로 또는 결합적으로(collectively) 처리 장치를 명령할 수 있다. 소프트웨어 및/또는 데이터는, 처리 장치에 의하여 해석되거나 처리 장치에 명령 또는 데이터를 제공하기 위하여, 어떤 유형의 기계, 구성요소(component), 물리적 장치, 가상 장치(virtual equipment), 컴퓨터 저장 매체 또는 장치, 또는 전송되는 신호 파(signal wave)에 영구적으로, 또는 일시적으로 구체화(embody)될 수 있다. 소프트웨어는 네트워크로 연결된 컴퓨터 시스템 상에 분산되어서, 분산된 방법으로 저장되거나 실행될 수도 있다. 소프트웨어 및 데이터는 하나 이상의 컴퓨터 판독 가능 기록 매체에 저장될 수 있다.
실시예들에 따른 방법은 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 상기 매체에 기록되는 프로그램 명령은 실시예를 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다. 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다. 상기된 하드웨어 장치는 실시예의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.
이상과 같이 실시예들이 비록 한정된 실시예와 도면에 의해 설명되었으나, 해당 기술분야에서 통상의 지식을 가진 자라면 상기의 기재로부터 다양한 수정 및 변형이 가능하다. 예를 들어, 설명된 기술들이 설명된 방법과 다른 순서로 수행되거나, 및/또는 설명된 시스템, 구조, 장치, 회로 등의 구성요소들이 설명된 방법과 다른 형태로 결합 또는 조합되거나, 다른 구성요소 또는 균등물에 의하여 대치되거나 치환되더라도 적절한 결과가 달성될 수 있다.
그러므로, 다른 구현들, 다른 실시예들 및 특허청구범위와 균등한 것들도 후술하는 특허청구범위의 범위에 속한다.

Claims (25)

  1. 네트워크 모니터링 장치에 의해 수행되는 네트워크 보안 모니터링 방법에 있어서,
    클라이언트 단말의 상태를 모니터링하는 단계;
    상기 모니터링의 결과에 기초하여 생성된 보안 검사 패킷을 네트워크로부터 획득하는 단계, 상기 보안 검사 패킷은 상기 클라이언트 단말의 UID(user ID) 정보, 길이 정보, 및 모니터링 결과 정보를 포함함;
    네트워크 스위칭 장치에서 미러링(mirroring)된 미러링 패킷을 네트워크로부터 획득하는 단계; 및
    상기 보안 검사 패킷과 상기 미러링 패킷 중 적어도 하나에 기초하여 상기 네트워크에 대한 보안 모니터링을 실행하는 단계; 를 포함하는, 방법.
  2. 제 1 항에 있어서,
    상기 네트워크에 대한 보안 모니터링은, 상기 네트워크 상에서 IP 주소를 할당 받은 네트워크 모니터링 장치에 의해 실행되고,
    상기 보안 검사 패킷을 네트워크로부터 획득하는 단계는, 상기 네트워크 모니터링 장치가 상기 IP 주소를 이용하여 상기 보안 검사 패킷을 수신하는 단계를 포함하는, 방법.
  3. 제 2 항에 있어서,
    상기 보안 검사 패킷은, TCP 헤더와 TCP 페이로드를 적어도 포함하는 TCP 패킷 포맷이고, 상기 TCP 페이로드는 UID 필드, 길이 필드, 및 모니터링 결과 필드 중 적어도 하나의 필드 정보를 포함하는, 방법.
  4. 제 1 항에 있어서,
    상기 네트워크에 대한 보안 모니터링은, 상기 네트워크 상에서 IP 주소를 할당 받지 않은 네트워크 모니터링 장치에 의해 실행되고,
    상기 보안 검사 패킷을 네트워크로부터 획득하는 단계는, 상기 네트워크 모니터링 장치가 상기 네트워크 상 경로에 대한 감시를 통하여 상기 보안 검사 패킷을 획득하는 단계를 포함하는, 방법.
  5. 제 4 항에 있어서,
    상기 보안 검사 패킷은, UDP 헤더와 UDP 페이로드를 적어도 포함하는 UDP 패킷 포맷이고, 상기 UDP 페이로드는 UID 필드, 길이 필드, 및 모니터링 결과 필드 중 적어도 하나의 필드 정보를 포함하는, 방법.
  6. 제 1 항에 있어서,
    상기 UID 정보는 상기 클라이언트 단말 또는 상기 클라이언트 단말의 상태를 모니터링하는 클라이언트 모니터링 장치 중 적어도 하나를 고유하게 식별하기 위한 정보이고,
    상기 길이 정보는 상기 모니터링 결과 정보의 길이를 나타내는 정보이고,
    상기 모니터링 결과 정보는 상기 클라이언트 단말의 상태를 모니터링한 결과를 나타내는 정보인, 방법.
  7. 제 1 항에 있어서,
    상기 보안 검사 패킷은, 상기 클라이언트 단말에 통합된(integrated) 클라이언트 모니터링 장치로부터 생성되는 것을 특징으로 하는, 방법.
  8. 제 1 항에 있어서,
    상기 네트워크에 대한 보안 모니터링은, 상기 네트워크에 연결된 독립적인 네트워크 노드, 상기 네트워크상 평면의 입력 또는 출력단, 또는 상기 네트워크 상의 패킷의 목적지인 서버 중 적어도 하나에 위치하여 동작하는 네트워크 모니터링 장치에 의하여 실행되는 것을 특징으로 하는, 방법.
  9. 제 8 항에 있어서,
    상기 네트워크 모니터링 장치는, 상기 네트워크에 둘 이상 위치하여 동작하는 것을 특징으로 하는, 방법.
  10. 제 1 항에 있어서,
    상기 네트워크 스위치는 OSI 2 계층, OSI 3계층, OSI 4계층, 또는 OSI 7계층 중 어느 하나의 계층에서 패킷을 미러링하도록 구성되는, 방법.
  11. 제 1 항에 있어서,
    상기 보안 패킷은, 단말의 시스템 로그 파일을 감시하는 동작, 화이트 리스트에 포함된 허용된 IP 이외의 IP로부터 단말에 접근 시도가 발생하는지 판단하는 동작, 단말에 대한 패킷 정보를 분석하는 동작, 및 단말의 상태 정보를 분석하는 동작 및 단말에 대한 연결 가능 여부를 나타내는 얼라이브 정보를 획득하는 동작 중 적어도 하나의 동작에 의해 상기 클라이언트 단말에 보안 문제가 발생한 것으로 판단되어 생성된 것인, 방법.
  12. 제 1 항에 있어서,
    상기 네트워크에 대한 보안 모니터링을 실행하는 단계는, HTTP, IP, UDP, TCP, 및 DNS 중 적어도 하나의 프로토콜에 대응하는 패킷 분석 알고리즘을 활용하는 단계를 포함하고,
    상기 패킷 분석 알고리즘은, 상기 각 프로토콜에 적응적인 방법으로 상기 미러링된 패킷으로부터 URL, 소스 IP, 목적지 IP, 및 시간정보 중 적어도 하나의 정보를 추출하여 상기 미러링된 패킷을 분석하도록 구성되고, 상기 미러링된 패킷으로부터 사용자 단말에서의 사용자 체감 지연시간, 인터넷을 통한 최초 서버까지의 트래픽, 서버 측의 각 구간별 응답 대기 시간(latency), 웹 응답 대시 시간, 앱 응답 대기 시간, 서버들 간의 응답 지연 시간, 서버별 응답 지연 시간, 서버별 응답 대기 세션수(wait), 어플리케이션 URI별 지표, 및 DB 서버의 쿼리(DB Query)별 지표 중 적어도 하나를 판단하도록 구성되는, 방법.
  13. 제 12 항에 있어서,
    상기 네트워크에 대한 보안 모니터링의 결과를 시각화하여 표시하는 단계를 더 포함하고,
    상기 시각화는, 의미 있는 형태의 그래프의 생성, 테이블의 생성, 및 플로우 맵(flow map)의 생성 중 적어도 하나의 시각화 방법을 이용하여 현재 네트워크의 성능에 관련된 지표 중 적어도 하나의 통계를 포함하는 정보를 시각화하는 것을 의미하는, 방법.
  14. 클라이언트 단말을 모니터링하는 모니터링 장치에 있어서,
    클라이언트 단말에 대한 보안 모니터링을 실행하여 모니터링 결과 정보를 생성하고;
    상기 보안 모니터링의 결과에 기초하여 상기 클라이언트 단말의 UID(user ID) 정보, 길이 정보, 및 모니터링 결과 정보를 포함하는 보안 검사 패킷을 생성하고; 그리고
    상기 보안 검사 패킷을 네트워크를 경유하여 전송하도록 구성되는, 장치.
  15. 제 14 항에 있어서,
    상기 모니터링 장치는, 단말의 시스템 로그 파일을 감시하는 동작, 화이트 리스트에 포함된 허용된 IP 이외의 IP로부터 단말에 접근 시도가 발생하는지 판단하는 동작, 단말에 대한 패킷 정보를 분석하는 동작, 및 단말의 상태 정보를 분석하는 동작 및 단말에 대한 연결 가능 여부를 나타내는 얼라이브 정보를 획득하는 동작 중 적어도 하나의 동작에 의해 상기 클라이언트 단말에 보안 문제가 발생하였는지 판단하고, 상기 보안 문제가 발생한 것으로 판단되는 경우 상기 보안 검사 패킷을 생성하도록 구성되는, 장치.
  16. 제 14 항에 있어서,
    상기 보안 검사 패킷은, TCP 헤더와 TCP 페이로드를 적어도 포함하는 TCP 패킷 포맷이고, 상기 TCP 페이로드는 UID 필드, 길이 필드, 및 모니터링 결과 필드 중 적어도 하나의 필드 정보를 포함하도록 구성되는, 장치.
  17. 제 14 항에 있어서,
    상기 보안 검사 패킷은, UDP 헤더와 UDP 페이로드를 적어도 포함하는 UDP 패킷 포맷이고, 상기 UDP 페이로드는 UID 필드, 길이 필드, 및 모니터링 결과 필드 중 적어도 하나의 필드 정보를 포함하도록 구성되는, 장치.
  18. 제 14 항에 있어서,
    상기 모니터링 장치는, 상기 클라이언트 단말에 통합되어 동작하는, 장치.
  19. 네트워크 상의 패킷을 모니터링하는 네트워크 모니터링 장치에 있어서,
    클라이언트 단말을 모니터링하는 클라이언트 모니터링 장치로부터 송신된 보안 검사 패킷을 획득하고;
    패킷을 미러링하는 네트워크 스위칭 장치로부터 미러링 패킷을 획득하고; 그리고
    상기 보안 검사 패킷과 상기 미러링 패킷 중 적어도 하나를 분석하여 상기 네트워크에 대한 보안 모니터링을 실행하도록 구성되는, 장치.
  20. 제 19 항에 있어서,
    상기 네트워크 모니터링 장치는 상기 네트워크 상에서 IP 주소를 할당 받고, 상기 IP 주소에 기초하여 TCP 패킷으로서의 보안 검사 패킷을 수신하도록 구성되는, 장치.
  21. 제 19 항에 있어서,
    상기 네트워크 모니터링 장치는 상기 네트워크 상에서 IP 주소를 할당 받지 아니하고, 상기 네트워크 상 경로의 패킷을 감시하여 UDP 패킷으로서의 보안 검사 패킷을 획득하도록 구성되는, 장치.
  22. 제 19 항에 있어서,
    상기 네트워크 모니터링 장치는, HTTP, IP, UDP, TCP, 및 DNS 중 적어도 하나의 프로토콜에 대응하는 패킷 분석 알고리즘을 포함하고,
    상기 패킷 분석 알고리즘은, 상기 각 프로토콜에 적응적인 방법으로 상기 미러링된 패킷으로부터 URL, 소스 IP, 목적지 IP, 및 시간정보 중 적어도 하나의 정보를 추출하여 상기 미러링된 패킷을 분석하도록 구성되고, 상기 미러링된 패킷으로부터 사용자 단말에서의 사용자 체감 지연시간, 인터넷을 통한 최초 서버까지의 트래픽, 서버 측의 각 구간별 응답 대기 시간(latency), 웹 응답 대시 시간, 앱 응답 대기 시간, 서버들 간의 응답 지연 시간, 서버별 응답 지연 시간, 서버별 응답 대기 세션수(wait), 어플리케이션 URI별 지표, 및 DB 서버의 쿼리(DB Query)별 지표 중 적어도 하나를 판단하도록 구성되는, 장치.
  23. 제 22 항에 있어서,
    상기 네트워크 모니터링 장치는, 상기 네트워크 모니터링 장치의 상기 네트워크에 대한 보안 모니터링 결과를 시각화하는 서비스 모듈에 연결되고,
    상기 서비스 모듈은, 의미 있는 형태의 그래프의 생성, 테이블의 생성, 및 플로우 맵(flow map)의 생성 중 적어도 하나의 시각화 방법을 이용하여 현재 네트워크의 성능에 관련된 지표 중 적어도 하나의 통계를 포함하는 정보를 시각화하도록 구성되는, 장치.
  24. 제 19 항에 있어서,
    상기 네트워크 모니터링 장치는, 상기 네트워크에 연결된 독립적인 네트워크 노드, 상기 네트워크상 평면의 입력 또는 출력단, 또는 상기 네트워크 상의 패킷의 목적지인 서버 중 적어도 하나에 위치하여 동작하는 것을 특징으로 하는, 장치.
  25. 제 19 항에 있어서,
    상기 네트워크 모니터링 장치는, 상기 네트워크에 둘 이상 위치하여 동작하는 것을 특징으로 하는, 장치.
PCT/KR2022/008852 2021-06-23 2022-06-22 단말의 보안 패킷에 기반한 네트워크 보안 모니터링 장치 및 방법 WO2022270893A1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US18/573,985 US20240333726A1 (en) 2021-06-23 2022-06-22 Network security monitoring device and method based on security packet of terminal

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
KR10-2021-0081756 2021-06-23
KR20210081756 2021-06-23
KR1020220076140A KR20220170770A (ko) 2021-06-23 2022-06-22 단말의 보안 패킷에 기반한 네트워크 보안 모니터링 장치 및 방법
KR10-2022-0076140 2022-06-22

Publications (1)

Publication Number Publication Date
WO2022270893A1 true WO2022270893A1 (ko) 2022-12-29

Family

ID=84538481

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2022/008852 WO2022270893A1 (ko) 2021-06-23 2022-06-22 단말의 보안 패킷에 기반한 네트워크 보안 모니터링 장치 및 방법

Country Status (3)

Country Link
US (1) US20240333726A1 (ko)
KR (1) KR20220170770A (ko)
WO (1) WO2022270893A1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117528462A (zh) * 2024-01-08 2024-02-06 深圳市智联物联科技有限公司 一种多网络组网实现的工业物联网的数据传输方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20170096793A (ko) * 2016-02-17 2017-08-25 동명대학교산학협력단 화이트 리스트를 이용한 에이전트 기반 보안위협 모니터링 시스템
KR20180009520A (ko) * 2016-07-19 2018-01-29 주식회사 안랩 클라이언트 단말의 보안성을 관리하는 보안 관리 장치 및 보안 관리 방법
KR20180047935A (ko) * 2016-11-02 2018-05-10 주식회사 아이티스테이션 지능형 지속위협 환경에서의 통합 보안 시스템
KR102163279B1 (ko) * 2019-09-09 2020-10-08 주식회사 맥데이타 5g 기반의 네트워크 성능 진단 방법, 장치 및 시스템
US20200329059A1 (en) * 2017-12-20 2020-10-15 Cisco Technology, Inc. Correlating endpoint and network views to identify evasive applications

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20170096793A (ko) * 2016-02-17 2017-08-25 동명대학교산학협력단 화이트 리스트를 이용한 에이전트 기반 보안위협 모니터링 시스템
KR20180009520A (ko) * 2016-07-19 2018-01-29 주식회사 안랩 클라이언트 단말의 보안성을 관리하는 보안 관리 장치 및 보안 관리 방법
KR20180047935A (ko) * 2016-11-02 2018-05-10 주식회사 아이티스테이션 지능형 지속위협 환경에서의 통합 보안 시스템
US20200329059A1 (en) * 2017-12-20 2020-10-15 Cisco Technology, Inc. Correlating endpoint and network views to identify evasive applications
KR102163279B1 (ko) * 2019-09-09 2020-10-08 주식회사 맥데이타 5g 기반의 네트워크 성능 진단 방법, 장치 및 시스템

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117528462A (zh) * 2024-01-08 2024-02-06 深圳市智联物联科技有限公司 一种多网络组网实现的工业物联网的数据传输方法
CN117528462B (zh) * 2024-01-08 2024-03-22 深圳市智联物联科技有限公司 一种多网络组网实现的工业物联网的数据传输方法

Also Published As

Publication number Publication date
KR20220170770A (ko) 2022-12-30
US20240333726A1 (en) 2024-10-03

Similar Documents

Publication Publication Date Title
WO2020149650A1 (en) Method and apparatus for mobility management in wireless communication system
WO2020139015A1 (en) Method and apparatus for mobility management in wireless communication system
WO2020027639A1 (ko) 무선 통신 시스템에서 qos 만족 여부를 표시하는 이동 단말기
WO2020166912A1 (en) Method and apparatus for lossless uplink data transmission of iab network in a wireless communication system
WO2021045339A1 (en) Method and apparatus for supporting up security for mo-edt in cu-du split in a wireless communication system
WO2020149653A1 (en) Method and apparatus for controlling radio resource for a redundant route for a dual-connecting iab-node in a wireless communication system
WO2022086082A1 (en) Method and apparatus for handling resource collision in wireless communication system
WO2020167036A1 (en) Method and apparatus for failure notification on backhaul link in wireless communication system
WO2021251625A1 (en) Method and apparatus for handling master cell group failure in wireless communication system
WO2019245297A1 (en) Method for selecting bwp and device supporting the same
WO2021049783A1 (ko) 5세대 이동 통신 기반의 네트워크 성능 진단 방법, 장치 및 시스템
WO2020251335A1 (ko) 무선 통신 시스템에서 단말의 신호 송수신 방법
WO2019245290A1 (en) Method and apparatus for providing beam related information for connection failure detection in wireless communication system
WO2020251314A1 (ko) 무선 통신 시스템에서 rsu 간의 신호 송수신 방법
WO2019221530A1 (en) Method and apparatus for discarding data among associated transmission buffers in wireless communication system
WO2020032638A1 (en) Method for performing access control and device supporting the same
WO2021194134A1 (en) Method and apparatus for conditional mobility failure handling in wireless communication system
WO2021075841A1 (en) Method and apparatus for performing communication after mobility in wireless communication system
WO2022270893A1 (ko) 단말의 보안 패킷에 기반한 네트워크 보안 모니터링 장치 및 방법
WO2020197125A1 (en) Method and apparatus for performing measurement in wireless communication system
WO2023282421A1 (en) Method and apparatus for performing qoe management based on ai model in a wireless communication system
WO2021045266A1 (ko) 데이터를 송수신하는 방법 및 통신 기기
WO2022025737A1 (en) Method and apparatus for packet duplication in wireless communication system
WO2021251685A1 (en) Method and apparatus for handling secondary cell group failure in wireless communication system
WO2021141386A1 (en) Method and apparatus for mobility execution in wireless communication system

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22828740

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 18573985

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 22828740

Country of ref document: EP

Kind code of ref document: A1

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205A DATED 27.05.2024)