(57)【要約】【課題】トラフィック分析及びフロー別の動的接近制御システム及び方法を提供する。【解決手段】ユーザの外部通信網を通じる内部通信網の接近に対する接近制御システムにおいて、ユーザから受信されたトラフィックが原則的に遮断される接近制御モードで動作し、ユーザから受信されたフローに対する特定パケットからフローの接続許容の状態情報を生成し、フローを通じる接近が正常な接近であるかを検証する接近制御部を含むことを特徴とし、正常な利用者に局限して内部ネットワークに接近を許容する能動的な事前防御概念であって、ウォーム／ウイルスによる汚染されたシステムからの攻撃を源泉遮断し、特定システムに対するサイバー攻撃を事前感知して自動的に攻撃を回避できるようにし、サイバー攻撃時にも、内部通信網の性能の低下なしに、正常な利用トラフィックに対する品質を保証する方法を提供する。【選択図】図２
2011030223.tif 000002
【特許請求の範囲】
【請求項１】
ユーザの外部通信網を通じる内部通信網の接近に対する接近制御システムにおいて、
前記ユーザから受信されたフローに対する特定パケットから前記フローの接続許容の状態情報を生成し、前記フローを通じる接近が正常な接近であるかを検証する接近制御部を含むことを特徴とするフロー別の動的接近制御システム。
【請求項２】
ユーザの外部通信網を通じる内部通信網の接近に対する接近制御システムにおいて、
ユーザから受信されたトラフィックが原則的に遮断される接近制御モードで動作し、前記ユーザから受信されたフローに対する特定パケットから前記フローの接近許容の状態情報を生成する接近情報生成部と、
前記フローを通じる接近が正常な接近であるかを検証する接近制御判断部と、
を含むことを特徴とするフロー別の動的接近制御システム。
【請求項３】
前記接近制御部は、
ユーザから受信されたトラフィックが原則的に遮断される接近制御モードで動作し、前記接近制御部が接近制御モードで動作する場合、前記フローの接近許容の状態情報を、内部通信網に対する接近が許容されないように表示することを特徴とする請求項１に記載のフロー別の動的接近制御システム。
【請求項４】
前記接近制御部は、
前記検証した結果、正常な接近に該当する場合、前記フローに対する接近を許容させる正常モードで動作し、前記フローの接続許容の状態情報を前記内部通信網に対する接近が許容されるように更新することを特徴とする請求項１に記載のフロー別の動的接近制御システム。
【請求項５】
前記接近制御部が前記フローを通じる接近が正常な接近であるかを検証することは、前記ユーザから入力されるトラフィックに対する全数検査または特定通信網を通じて入力されるトラフィックに対する全数検査を通じて行われることを特徴とする請求項１に記載のフロー別の動的接近制御システム。
【請求項６】
前記全数検査は、選択的に行われ、前記内部通信網の運用政策によって既定の検査のみを行うことを特徴とする請求項５に記載のフロー別の動的接近制御システム。
【請求項７】
前記全数検査は、選択的に行われ、前記内部通信網の保安レベルまたは運用者の選択のための認証または前記ユーザによる正常な接近要求であるかについての認証を通じて行われることを特徴とする請求項５に記載のフロー別の動的接近制御システム。
【請求項８】
前記接近制御部は、
前記ユーザから受信されたフローが内部通信網から伝送されたトラフィックに対する応答である場合、前記フローに対する接近を許容させる正常モードで動作することを特徴とする請求項１に記載のフロー別の動的接近制御システム。
【請求項９】
前記接近情報生成部は、
前記接近制御モードに該当する接近制御の状態情報を生成した後、前記接近制御判断部に前記フローに接近制御の状態情報の更新有無の確認のための接近制御要請メッセージを伝送することを特徴とする請求項２に記載のフロー別の動的接近制御システム。
【請求項１０】
前記接近制御判断部で検証した結果、正常な接近に該当する場合、前記接近制御判断部は、前記フローに対する接近が正常な接近であることを知らせる接近制御応答メッセージを前記接近制御部に伝送し、
前記接近制御応答メッセージを伝送された接近制御部は、前記フローに対する接近を許容させる正常モードで動作し、前記正常モードに該当する接近制御の状態情報に更新することを特徴とする請求項９に記載のフロー別の動的接近制御システム。
【請求項１１】
ユーザの外部通信網を通じる内部通信網の接近に対する接近制御システムを通じる接近制御方法において、
前記内部通信網の接近制御システムは、
前記ユーザの接近要求に該当するフローを受信した場合に原則的に前記フローを遮断し、前記フローの接続許容の状態情報を生成する段階と、
前記フローを通じる接近が正常な接近であるかを検証する段階と、
前記検証した結果、正常な接近に該当する場合、前記フローに対する接近を許容し、前記フローの接続許容の状態情報を更新する段階と、
を含むことを特徴とするフロー別の動的接近制御方法。
【請求項１２】
前記検証する段階は、
前記フローの最初のパケットが入力された場合には、前記パケットがアウトバウンドパケットに該当する時に、正常な接近と判断し、
前記フローの最初のパケットではないパケットが入力された場合には、前記フローの接続許容の状態情報が接続許容に該当する時に、正常な接近と判断することを特徴とする請求項１１に記載のフロー別の動的接近制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに対するサイバー攻撃時に、攻撃回避及び正常トラフィックに対する品質保証を提供可能にするシステム及び方法に関する。
【背景技術】
【０００２】
一般的に、サービス拒否（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ：ＤｏＳ）攻撃は、その処理容量を超過する多量のトラフィックでウェブサイト、インターネットサービス提供者（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ：ＩＳＰ）及び他のサーバのようなネットワークノードを壊し、それによって攻撃持続期間中にネットワークで壊されたノードを破壊するものと定義される。
【０００３】
また、ＤｏＳより強い攻撃をする分散型サービス拒否（Ｄｉｓｔｒｉｂｕｔｅｄ  ＤＯＳ：ＤＤｏＳ）攻撃では、攻撃を始めようとする攻撃者が、よく知られた抜け道（ｌｏｏｐｈｏｌｅｓ）を経て多くのノードを破壊する。このように損傷されたノードは、必ず攻撃者の従属制御者になり、ネットワークにトラフィックを注入する開始（ｌａｕｎｃｈ）地点のように行動する。したがって、攻撃者は、多数の開始地点からトラフィックをカスケーディング（ｃａｓｃａｄｉｎｇ）することで、大規模のネットワークに幅広い攻撃を始めることができる。
【０００４】
ＤＤｏＳ攻撃は、多数の攻撃エージェントを分散設置して同時に攻撃することで、一つのシステム資源だけではなく、ネットワーク資源までも枯渇させうる簡単でありながらも、非常に強力な攻撃である。実際、ウォームウイルスとともにＤＤｏＳ攻撃による大量の異常トラフィックによってインターネット使用において、連結失敗や速度低下などの問題を起こす事例が増加しており、これによる被害はますますさらに深刻になっている実情である。特に、多くの近距離通信ネットワーク（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ：ＬＡＮ）がツリーのような階層的なネットワーク構造をもっているが、このような場合、特定ルーターが攻撃によって麻痺すれば、その下位ネットワークもインターネットへの連結を失うようになって通信が途絶されてしまい、その被害地域はさらに大きくなりうる。
【０００５】
ＤＤｏＳのようなサイバー攻撃を防御するための方法としては、防火壁（Ｆｉｒｅｗａｌｌ）、侵入探知システム（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）、侵入防止システム（ＩＰＳ：Ｉｎｔｒｕｓｉｏｎ  Ｐｒｏｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）、ＤＤｏＳ対応システムなどを活用した多様な方法が試みられている。
【０００６】
しかし、一般的にＤＤｏＳのようなサイバー攻撃の特徴は、個人ＰＣなどに浸透された悪性コードが攻撃対象システムの観点で正常なパケット形態及びサービス要請を行うので、その感知及び統制が容易ではない。
【発明の概要】
【発明が解決しようとする課題】
【０００７】
本発明が解決しようとする技術的課題は、ＤＤｏＳなどのサイバー攻撃に対する解決方法として、トラフィック利用形態の分析及びフロー別の動的接近制御を通じて根本的なサイバー攻撃に対する統制を行うことで、内部網を保護して、正常なサービス利用を保護しようとすることである。
【０００８】
本発明が解決しようとする他の技術的課題は、正常なパケット形態及びサービス要請形態を有したＤＤｏＳのようなサイバー攻撃を含んだ多様な攻撃形態に対する実名確認の方法、暗号及び認証書の認証方法、またはＣＡＰＴＣＨＡ（Ｃｏｍｐｌｅｔｅｌｙ  Ａｕｔｏｍａｔｅｄ  Ｐｕｂｌｉｃ  Ｔｕｒｉｎｇ  ｔｅｓｔ  ｔｏ  ｔｅｌｌ  Ｃｏｍｐｕｔｅｒｓ  ａｎｄ  Ｈｕｍａｎ  Ａｐａｒｔ）文字入力方法などを利用したフロー別の接近制御を行って、正常な接近要求として受けられたトラフィックフローのみについてネットワークに対する接続を許容することで、多様な形態のサイバー攻撃を遮断できるだけではなく、サイバー攻撃時にも、ネットワーク接続された既存のトラフィックフローや正常利用トラフィックフローに対する持続的なサービスを可能にする。
【課題を解決するための手段】
【０００９】
本発明のフロー別の動的接近制御システムは、ユーザの外部通信網を通じる内部通信網の接近に対する接近制御システムにおいて、ユーザから受信されたトラフィックが原則的に遮断される接近制御モードで動作し、前記ユーザから受信されたフローに対する特定パケットから前記フローの接続許容の状態情報を生成し、前記フローを通じる接近が正常な接近であるかを検証する接近制御部を含むことを特徴とする。
【００１０】
本発明のフロー別の動的接近制御システムは、ユーザの外部通信網を通じる内部通信網の接近に対する接近制御システムにおいて、ユーザから受信されたトラフィックが原則的に遮断される接近制御モードで動作し、前記ユーザから受信されたフローに対する特定パケットから前記フローの接近許容の状態情報を生成する接近情報生成部と、前記フローを通じる接近が正常な接近であるかを検証する接近制御判断部と、を含むことを特徴とする。
【００１１】
本発明のフロー別の動的接近制御方法は、ユーザの外部通信網を通じる内部通信網の接近に対する接近制御システムを通じる接近制御方法において、ユーザの接近要求に該当するフローを受信すれば、内部通信網の接近制御システムは、原則的に前記フローを遮断し、前記フローの接続許容の状態情報を生成する段階と、前記フローを通じる接近が正常な接近であるかを検証する段階と、前記検証した結果、正常な接近に該当する場合、前記フローに対する接近を許容し、前記フローの接続許容の状態情報を更新する段階と、を含むことを特徴とする。
【００１２】
前記フローの最初のパケットが入力された場合には、前記パケットがアウトバウンドパケットに該当する時に正常な接近と判断し、前記フローの最初のパケットではないパケットが入力された場合には、前記フローの接続許容の状態情報が接続許容に該当する時に正常な接近と判断することを特徴とする。
【００１３】
本発明によるトラフィック利用形態の分析及びフロー別の動的接近制御基盤の内部網保護方法及び装置は、ＤＤｏＳ攻撃などのように正常な形態のパケット形態及びサービス要求の形態を有するサイバー攻撃を含んだ多様な形態のサイバー攻撃に対して根本的な攻撃遮断を可能にして正常なユーザの内部ネットワークに対する持続的な接続を可能にする。
【図面の簡単な説明】
【００１４】
【図１】本発明の望ましい一実施形態によるフロー別の動的接近制御基盤で内部網を保護するための全体的なネットワーク構造図。
【図２】本発明の望ましい一実施形態によるフロー別の動的接近制御ゲートウェイでのデータトラフィック処理過程についてのフローチャート。
【図３】本発明の望ましい一実施形態によるフロー別の動的接近制御ゲートウェイでの制御メッセージ受信処理過程についてのフローチャート。
【図４】本発明の望ましい一実施形態によるウェブサーバに対するサイバー攻撃を事前に遮断するためのネットワークの構成及び処理過程を示す図。
【発明を実施するための形態】
【００１５】
以下、添付した図面を参照して、本発明の一実施形態を詳しく説明する。
【００１６】
図１は、本発明の望ましい一実施形態によるフロー別の動的接近制御基盤で内部網を保護するための全体的なネットワーク構造図である。
【００１７】
図１では、ネットワークに対するサイバー攻撃時に攻撃回避及び正常トラフィックに対する品質保証を提供可能にするために、本発明による内部網と外部網との境界またはサーバファームの前端などに位置するフロー別の動的接近制御ゲートウェイシステムにおいて外部利用者から入力されるトラフィックに対する全数検査または特定サイトに入力されるトラフィックに対する全数検査を通じて、異常トラフィックの発生有無が監視される。
【００１８】
全数検査は、選択的に指定される。全数検査などを行わない場合には、運用者の静的な設定や外部のトラフィック分析システムの要請による別途の制御が与えられうる。
【００１９】
異常トラフィック発生が疑われるか、異常トラフィックの発生有無と無関係に運用者による静的な設定や外部のトラフィック分析システムの要請がなされた場合には、フロー別の動的接近制御ゲートウェイシステムは、接近制御モードで動作し、入力トラフィックに対して接近制御サーバと連動してフロー別に接近許容有無を確認し、該許容されたトラフィックに局限してトラフィックを内部ネットワークに伝達させることによって、サイバー攻撃から内部システムを根本的に封鎖する。
【００２０】
フローは、一般的に５タプル情報（ＩＰソースアドレス、ＩＰ目的地アドレス、プロトコル番号、ソーストランスポート階層情報、目的地トランスポート情報）からなることと仮定するが、運用者の設定または応用の特性に応じてＩＰパケットの他のヘッダ情報が追加されるか、または５タプル情報から一部のフィールドを抜かしてなされうる。これは、一つの極端な例であって、ＩＰソースアドレスのみでフローが定義されるということを内包している。
【００２１】
フロー別の動的接近制御ゲートウェイシステムは、接近制御モードではない正常モードで動作する場合には、あらゆるトラフィックに対する接近を許容し、接近制御モードで動作する場合には、フローに対する最初のパケットに対してフローの状態管理情報を生成し、接近制御サーバを通じて、フローに対する基本的な検証または認証を行う。
【００２２】
当該フローに対する接続許容の状態情報には、当該フローに、ネットワーク接続がいまだに許容されていないことを表示し、その後の当該ユーザまたはフローからのパケットは、接近制御サーバからネットワーク接続を許容するための接近制御応答メッセージを受けて、フローについての状態管理情報の更新前に廃棄される。
【００２３】
図２は、本発明の望ましい一実施形態によるフロー別の動的接近制御ゲートウェイでのデータトラフィック処理過程についてのフローチャートである。
【００２４】
フローのデータパケットが入力されれば（２００）、該入力されたデータパケットがフローの最初のパケットであるか否かを判断する（２１０）。最初のパケットが到着すると、当該パケットが該当するフローについての情報を最初に構成して状態管理情報を生成し、その状態管理情報を保存し、その後に入ってくる同一フローの他のパケットの場合には、保存されたフローの状態管理情報に基づいてパケットを処理する。
【００２５】
最初のパケットがインバウンド（外部から内部への方向）パケットの場合（２２０−はい）には、インバウンドフロー及びアウトバウンド（内部から外部への方向）フローの状態管理情報を原則的に接続拒絶の状態で生成する（２２１）。
【００２６】
次いで、入力されたフローに対する接続拒絶の状態で、ユーザの接近を許容するための接近制御要請メッセージを通じて、システムにユーザの認証を行わせる（２２２）。
【００２７】
フローの最初のパケットがインバウンドパケットではない場合（２２０−いいえ）には、インバウンドフロー及びアウトバウンドフローの状態管理情報を接続許容の状態で生成する（２２３）。
【００２８】
次いで、ユーザの接近を許容して、パケットの入出力を行う（２２４）。
【００２９】
インバウンドフローだけではなく、アウトバウンドフローの状態もともに設定することは、内部トラフィックを信頼し、それに対する応答も信頼できるという仮定によるものである。
【００３０】
入力されたパケットがフローの最初のパケットではない場合（２１０−いいえ）には、入力されたパケットまたはそのパケットが該当するフローの最初のパケットの状態管理情報を通じて接続許容有無（２３０）を決定する。入力されたパケットの接近が許容される場合（２３０−はい）には、ユーザの接近を許容してパケットの入出力を行い（２３１）、接近が許容されない場合（２３０−いいえ）には、入力されたパケットを廃棄する（２３２）。但し、この場合、当該パケットについての状態管理情報が更新されるように接近制御要請メッセージを周期的に伝送してユーザの認証を行うことができる。
【００３１】
フロー別の動的接近制御システムのフローに対する状態管理のために、運用者や外部のトラフィック分析システムの選択または応用別の特性などに基づいて、入力トラフィックから抽出されたＩＰヘッダの多様なフィールドを、基盤で一つの状態管理情報を管理するためのエントリーが生成され、状況に応じて当該フローに対する接続許容状態によって当該トラフィックに対する逆方向へのトラフィックに対しても、同時に適用されるために、両方向フローのいずれにも対応するエントリーを生成しうる。
【００３２】
図３は、本発明の望ましい一実施形態によるフロー別の動的接近制御ゲートウェイでの制御メッセージ受信処理過程についてのフローチャートである。
【００３３】
接続が制限される（接続拒絶）パケットが入力されれば（３００）、当該パケットを伝送したユーザに対する認証を行って、接続許容有無についての情報を制御応答メッセージを通じて伝達し（３１０）、入力されたパケットに該当するフローについての状態管理情報を検索（３２０）して、当該フローの状態管理情報エントリーを更新して接続許容状態に設定されるようにアップデートする（３３０）。
【００３４】
制御応答メッセージを伝達されることができなければ（３３０−いいえ）、当該パケットに対する制限を維持する（３４０）。
【００３５】
フローに対する検証または認証は、フローに対してシステムの保安レベル及び運用者の選択によって認証書を通じる強い認証方法からコンピュータプログラムで自動的に生成されたサービス要求であるかを判断機能のために使われる、別途の認証書認証システムやＣＡＰＴＣＨＡ文字入力及び確認システム、ワンタイムパスワード（Ｏｎｅ  Ｔｉｍｅ  Ｐａｓｓｗｏｒｄ）サーバなど多様な方法がいずれも使用可能である。
【００３６】
接近制御サーバや接近制御サーバ機能が行うコンピュータプログラムで自動的に生成されたサービス要求であるか、人による正常なサービス要求であるかを判断する機能のために使われる、別途の認証書認証システムやＣＡＰＴＣＨＡ文字入力及び確認システム、ワンタイムパスワードサーバなどを含んだ認証システムとの連動を通じる動的に行う接近制御方法を含む。
【００３７】
接近制御サーバの判断に応じて合法的なフローと判断された場合、フロー別の動的接近制御システムにフローに対する接近許容命令を伝達する。
【００３８】
図４は、本発明の望ましい一実施形態によるウェブサーバに対するサイバー攻撃を事前に遮断するためのネットワークの構成及び処理過程を示す図である。
【００３９】
内部ネットワークのウェブサーバ接続に対するサイバー攻撃の源泉防止のための方法に対する一実施形態として、前述した原則的な方法によって多様な形態で具現が可能である。
【００４０】
図４に示すフロー別の動的接近制御システムが、ウェブリダイレクトサーバと連動してウェブトラフィックに対するフロー別の最初のパケットに対してフロー状態情報を生成し、リダイレクトサーバがＣＡＰＴＣＨＡ文字入力サーバまたはＩＤ／パスワード認証サーバのような接続制御サーバでユーザのトラフィックをリダイレクションさせて認証を受けるようにし、該認証された結果をフロー別の動的接近制御ゲートウェイシステムに伝達してフロー別の動的接近制御ゲートウェイシステムでフローエントリーの接続許容有無を更新することで、当該フローの他のパケットの許容及び拒絶を制御することができる。
【００４１】
本発明の一態様は、コンピュータで読み取り可能な記録媒体に、コンピュータで読み取り可能なコードとして具現可能である。前記プログラムを具現するコード及びコードセグメントは、当該分野のコンピュータプログラマーによって容易に推論されうる。コンピュータで読み取り可能な記録媒体は、コンピュータシステムによって読み取れるデータが保存されるあらゆる種類の記録装置を含む。コンピュータで読み取り可能な記録媒体の例としては、ＲＯＭ、ＲＡＭ、ＣＤ−ＲＯＭ、磁気テープ、フレキシブルディスク、光ディスクなどがある。また、コンピュータで読み取り可能な記録媒体は、ネットワークで連結されたコンピュータシステムに分散されて、分散方式でコンピュータが読み取り可能なコードに保存されて実行可能である。
【００４２】
以上、本発明の一実施形態に過ぎず、当業者ならば、本発明の本質的特性から外れない範囲で変形された形態として具現することができる。したがって、本発明の範囲は、前述した実施形態に限定されず、特許請求の範囲に記載の内容と同等な範囲内にある多様な実施形態が含まれるように解析されなければならない。
【産業上の利用可能性】
【００４３】
本発明は、フロー別の動的接近制御システム及び方法関連の技術分野に適用可能である。
【図１】
2011030223.tif 000003
【図２】
2011030223.tif 000004
【図３】
2011030223.tif 000005
【図４】
2011030223.tif 000006