KR100466214B1 - 가변적인 보안 상황을 반영하는 보안 등급 설정방법 및이를 위한 기록 매체 - Google Patents

Abstract

본 발명에 따른 가변적인 보안 상황을 반영하는 보안 등급 설정방법은 네트워크를 통하여 침입 또는 공격 탐지 데이터가 수신되는 경우, 침입 또는 공격 주체의 위험도, 공격 대상의 중요도, 침입 데이터의 트래픽 양 및 트래픽 빈도, 침입 데이터의 심각도에 대하여 기설정된 판단분석 기준에 의해 분석하는 단계와, 그 분석 결과에 대하여 기설정된 보안등급 테이블에 의거하여 보안등급을 설정하는 단계와, 가변적인 보안 상황에 따라 그 설정된 보안등급에 대하여 유지여부를 판단하여 보안등급을 재조정하는 단계를 수행한다.

본 발명에 의하면, 탐지된 침입 데이터와 시스템 관리 데이터 등을 분석 가공하여 현재의 네트워크 상황을 평가 가능한 보안등급으로 계량화하고, 이에 대한 보안등급의 상태 천이 모델을 운용함으로서 유동적인 네트워크 상황을 고려한 대응 전략의 수립과 수행이 가능하도록 한다

Description

가변적인 보안 상황을 반영하는 보안 등급 설정방법 및 이를 위한 기록 매체{method and recorded media for security grade to measure the network security condition}

본 발명은 가변적인 보안상황을 반영하는 보안 등급 설정방법 및 이를 위한 기록 매체에 관한 것으로, 상세하게는 보안상황을 반영하기 위한 지표로서 보안등급 0부터 보안등급 4까지로 정의하고, 침입 탐지 데이터의 발생에 대한 임계치 분석 등을 통해 이를 보안등급으로 계량화함으로써, 수시로 변경되는 네트워크의 보안상황에 맞추어 보안등급을 변경하여 가변적인 보안상황을 반영하는 보안 등급 설정방법 및 이를 위한 기록 매체에 관한 것이다.

현재와 같이 누구에게나 네트워크의 사용이 자유로운 상황에서 자신의 지식과 서비스를 보호하는 것은 너무도 당연하며, 필연적인 과제이다. 그러나, 네트워크 방어에 있어서 제약만이 해결책이 되는 것은 아니다.

네트워크 방어의 주된 과제는 특정 침입이나 공격에 대해서만 제약을 가함으로써 선량한 사용자에게는 자유로운 네트워크의 이용의 길이 열려 있어야 한다.

그러나, 현재까지 네트워크 보안을 위한 침입 탐지 및 대응은 특정 공격에 대해 미리 정의된 대응 방식을 취하는데 그치고 있다. 네트워크의 보안상황은 시간적으로 매우 유동적이다. 따라서, 네트워크 보안을 위한 대응에 있어서 실시간적으로 현재의 보안상황을 고려하여 이에 대한 적절한 대응을 하는 것이 효과적이다. 즉, 현재의 네트워크 상황을 고려하지 않은 채 수행하는 획일적인 대응은 네트워크의 사용에 대한 통제의 의미만이 부각될 뿐이며, 좀 더 유연한 네트워크 상황에 대한 대처는 결여되는 것이다.

본 발명은 이러한 종래의 문제점을 해결하기 위한 것으로, 다양한 사용자에 의한 네트워크 상황의 유동성을 고려하지 않는 획일적 대응을 벗어나, 좀 더 유연한 네트워크 이용을 위해 수집된 침입탐지 데이터에 대한 다양한 임계치 적용과 분석을 통해 현재 네트워크의 보안상황을 보안등급으로 계량화할 수 있는 가변적인 보안상황을 반영하는 보안 등급 설정방법 및 이를 위한 기록 매체를 제공하는데 그 목적이 있다.

상기 목적을 달성하기 위한 본 발명에 따른 가변적인 보안상황을 반영하는 보안 등급 설정방법에 의하면, 네트워크를 통하여 침입 또는 공격 탐지 데이터가 수신되는 경우, 침입 또는 공격 주체의 위험도, 공격 대상의 중요도, 침입 데이터의 트래픽 양 및 트래픽 빈도, 침입 데이터의 심각도에 대하여 기설정된 판단분석 기준에 의해 분석하는 단계;, 그 분석 결과에 대하여 기설정된 보안등급 테이블에 의거하여 보안등급을 설정하는 단계; 및 가변적인 보안상황에 따라 그 설정된 보안등급에 대하여 유지여부를 판단하여 보안등급을 재조정하는 단계를 수행한다.

또한, 본 발명에 따른 가변적인 보안상황을 반영하는 보안 등급 설정방법을 수행하기 위한 기록매체에 의하면, 가변적인 보안상황을 반영하기 위한 보안 등급 설정 프로그램이 저장된 데이터 기록매체에 있어서, 네트워크를 통하여 침입 또는 공격 탐지 데이터가 수신되는 경우, 침입 또는 공격 주체의 위험도, 공격 대상의중요도, 침입 데이터의 트래픽 양 및 트래픽 빈도, 침입 데이터의 심각도에 대하여 기설정된 판단분석 기준에 의해 분석하는 단계; 상기 분석 결과에 대하여 기설정된 보안등급 테이블에 의거하여 보안등급을 설정하는 단계; 및 그 설정된 보안등급에 대하여 유지여부를 판단하여 보안등급을 재조정하는 단계;를 수행하는 프로그램에 의해 상기 가변적인 보안상황에 따라 보안등급을 설정할 수 있다.

또한 본 발명에서는 네트워크의 보안상황을 분석하고 이를 계량화하기 위하여 침입탐지 데이터의 발생 빈도에 대한 정량적 임계치 분석과 침입의 심각성에 대한 심각도 임계치 분석 및 침입 주체의 위험도 및 공격 대상의 중요도 분석 등을 수행하여 현재의 네트워크 보안상황을 보안등급 0 부터 보안등급4까지 계량화 함으로써 네트워크 취약성을 반영하며, 이러한 보안상황의 분석 결과는 침입에 대한 대응 전략의 수립과 결정에 반영될 수 있다.

본 발명에서는 보안상황을 평가하기 위한 지표로서 보안등급의 정의 및 보안등급의 상태 천이 다이어그램을 정의하고, 침입탐지 데이터의 임계치 분석 등을 통하여 보안 등급을 설정하고 있다.

이와 같이, 본 발명에서는 유동적인 네트워크 상황을 반영함으로써, 보다 효과적인 상황 대응이 가능하게 한다. 종래에 보안등급의 설정은 주로 컴퓨터 시스템이나 네트워크 장비에 대한 접근 제어나 권한 제어 수준의 보안등급을 의미하나, 본 발명에서는 이를 네트워크 상황을 반영하는 평가 단위로 이용하여 현재의 네트워크의 보안상황을 반영하는 척도로 사용한다.

아울러, 본 발명에서는 보안상황을 평가하기 위한 지표로서 보안등급과 보안등급의 상태 천이 모델을 정의하며 이를 수행하기 위한 침입 데이터의 임계치 분석 기능과 방법 등을 포함한다.

네트워크 침입탐지는 네트워크 상의 패킷을 모니터링하고, 해당 패킷이 적법한지 그렇지 않은지를 판단하여 적법하지 않은 경우, 이를 침입 또는 공격이라고 판단한다.

도 1은 본 발명에 따른 보안상황 분석기와 침입탐지 센서로 이루어지는 네트워크 보안 시스템의 개략적인 구성 블록도,

도 2는 도 1의 보안상황 분석기에 대한 입출력 데이터를 설명하기 위한 개념도,

도 3은 본 발명에 따른 보안상황 분석기에 의한 보안등급의 상태 천이 다이아그램도,

도 4는 본 발명에 따른 보안상황 분석기에서 정의하는 보안등급을 위한 임계치를 설명하는 도면,

도 5는 본 발명에 따른 보안상황 분석기에서 정의하는 보안등급을 설명하는 도면.

*도면의 주요부분에 대한 부호의 설명*

1;침입탐지 센서 2;보안상황 분석기

이하, 본 발명의 바람직한 실시예를 첨부된 도면을 통해 설명한다. 도 1은 본 발명에 따른 보안상황 분석기와 침입탐지 센서로 이루어지는 네트워크 보안 시스템의 개략적인 구성 블록도이다.

도면을 참조하면, 본 발명의 침입탐지 센서(1)는 네트워크로부터의 패킷에 대해 공격 패턴과 비교하여 침입 여부를 판단하는 기능을 수행하며, 침입이라고 판단하는 경우, 침입탐지 데이터를 보안상황 분석기(2)에게 전달한다.

기본적으로 보안상황 분석기(2)는 하나 또는 그 이상의 침입탐지 센서(1)로부터 침입탐지 데이터를 전달받는다. 보안상황 분석기(2)와 침입탐지 센서(1)는 단일 시스템에 탑재될 수도 있고, 별도의 시스템에 존재할 수 도 있다. 이러한 경우 상호 간의 연결 방식에 대해서는 본 발명에서 그 설명을 생략하기로 한다.

도 2는 도 1의 보안상황 분석기를 입출력 데이터를 설명하기 위한 개념도로서, 도면을 참조하면, 보안상황 분석기(2)는 네트워크 내의 침입 및 공격에 대한 데이터와 시스템 관리 데이터를 입력으로 하여 궁극적으로 현재의 보안상황을 계량화하는 것이 주된 기능이다.

이러한 계량화 작업을 위해 보안상황 분석기(2)에 임계치를 지정할 수 있다. 그 지정된 임계치를 바탕으로 보안상황 분석기(2)는 네트워크 침입 데이터의 공격 주체의 위험도와 공격 대상의 중요도 분석과 함께 침입 데이터의 트래픽 양과 심각도에 대한 임계치 분석을 수행하며, 또한 시스템 관리 데이터에 의한 분석을 수행함으로서 보안상황을 설정할 수 있다.

본 발명에서는 보안상황의 평가하고 또한 이를 계량화를 위해 다음과 같은 다섯 단계의 보안등급을 정의한다.

보안등급 0: 보안상황 감시 불가 상태

보안등급 1: 위험 보안상황

보안등급 2: 준위험 보안상황

보안등급 3: 경계 보안상황

보안등급 4: 안전 보안상황

보안등급 0은 보안상황을 판단할 수 없는 상태를 의미한다. 이는 보안상황 분석기 자체의 문제 또는 보안상황 분석기의 시스템 환경과 관련된 문제이거나 또는 침입탐지 센서와의 인터페이스 문제 등의 다양한 고장이나 장애에 의해 발생될 수 있다. 즉 어떠한 경우이든 보안상황 분석기가 더 이상 보안상황에 대한 감시 및 분석이 불가능하다고 판단되는 경우 보안등급 0으로 지정된다.

보안등급 1부터 4는 정상적인 감시 및 분석이 가능한 경우이며, 보안상황이 얼마나 심각한가를 알려주는 지표이다. 보안등급 4는 현재 안전하다고 진단한 상황이다. 보안등급 3은 네트워크로의 점검이 빈번히 발생하는 등의 이유로 인해 경계가 요구되는 상황으로 지속적인 감시가 요구되는 상황이며, 보안등급 2는 네트워크 상에 다수의 공격이 진행되고 있다고 판단되어 이에 대한 대응이 요구되는 상태를 의미한다. 보안등급 1은 매우 심각한 보안상황으로 더 이상 대응을 지체할 수 없는 상황을 의미한다.

도 3은 본 발명에 따른 보안상황 분석기에 의한 보안등급간의 상태 천이 다이아그램도이다.

보안등급간에는 도시된 바와 같은 상태천이 다이어그램과 같이 보안등급의 상향 조정, 즉 보안등급이 심각해지는 상황은 분석의 결과에 따라 직접적인 천이가 이루어진다.

예를 들어 보안등급 4에서도 보안등급 1의 조건이 발생하면, 즉시 보안등급 1로 조정된다. 보안등급의 하향 조정, 즉 해제는 임의의 시간동안 더 이상 해당 보안등급에 상응하는 이벤트가 발생하지 않는 경우이며, 이러한 경우에는 보안등급이 순차적으로 낮춰지게 된다. 즉 지속적인 해제 조건의 발생은 결국 보안등급 4로의 천이로 귀결된다.

이러한 보안등급의 설정을 위해 보안상황 분석기는 네트워크 침입데이터에 대한 침입 정보의 분석 및 임계치 분석을 수행한다. 그러나 이런 분석의 결과는 보안등급 1부터 보안등급 4까지의 상태 천이에 대한 이벤트로 이용되지만 보안등급 0에 대한 이벤트로는 적용되지 않는다. 즉 보안등급 0의 설정 및 보안등급 0의 해제는 시스템 고장이나 장애 정보에 의해 상태 천이를 수행하게 된다.

침입 정보의 분석은 침입 주체의 위험도와 공격 대상의 중요도 등을 수행한다. 침입 주체의 위험도는 각각 일반, 예비 블랙리스트 및 블랙리스트로 구분한다. 예비 블랙리스트와 블랙리스트의 구분은 시스템 구성이나 또는 분석을 통해 가능하며, 이는 본 발명에서 논의하는 범위 외의 사항이다.

공격 대상의 중요도 분석은 공격 대상에 대해 각각 일반, 중요 및 매우 중요의 세 단계로 구분한다. 이에 대한 구분 방법 역시 본 발명의 범위는 아니며 이는 시스템 데이터를 통해 얻어질 수 있다고 가정한다. 이러한 구분은 동일한 공격에 대해서도 침입 주체 및 대상에 따라 서로 다른 분석이 가능할 수 있음을 시사한다.

또한 침입 및 공격에 대한 임계치 분석을 위해 두 단계의 임계값이 유지된다. 이를 각각 하위임계치와 상위임계치로 구분한다. 임계치의 운용은 일정한 기간 동안 해당 임계치에 상응하는 이벤트가 발생하였는가에 대한 분석을 의미한다. 즉 임계치의 설정은 기간을 의미하는 시간 값과 빈도 수를 측정하는 값의 쌍으로 구성된다.

침입탐지 데이터에 대한 트래픽 임계치는 수집된 침입 데이터의 전체 빈도 수에 의한 임계치 유지를 의미한다.

또한 침입탐지 데이터의 심각도 분석을 위해 보안상황 분석기는 각각의 공격 패턴에 대해 다음과 같은 다섯 등급의 심각도로 구분한다.

심각도 1: 심각성 판단 유보 (Indeterminate)

심각도 2: 저수준 보안상태 점검 행위 (Warning)

심각도 3: 고수준 보안상태 점검 행위 (Minor)

심각도 4: 저수준 공격 행위 (Major)

심각도 5: 고수준 공격 행위 (Critical)

도 4는 보안상황 분석기에서 유지하는 임계치의 종류들이며, 도 5는 이러한 임계치를 이용하여 보안등급을 설정하는 과정을 도시하고 있다.

도 4를 참조하면, AlertTrafficThreshold는 침입탐지 데이터 트래픽 빈도 임계치를 나타내는 것으로, 상위 임계치와 하위 임계치가 있다.

IndeterminateAttackThreshold는 침입탐지 데이터의 심각도1 빈도에 대한 임계치를 나타내고, WarningAttackThreshold는 침입탐지 데이터의 심각도2 빈도에 대한 임계치를 나타내고, MinorAttackThreshold는 침입탐지 데이터의 심각도3 빈도에 대한 임계치를 나타내고, MajorAttackThreshold는 침입탐지 데이터의 심각도4 빈도에 대한 임계치를 나타내고, CriticalAttackThreshold는 침입탐지 데이터의 심각도5 빈도에 대한 임계치를 나타낸다.

이하, 임계치를 이용한 보안등급을 도 5를 참조하여 설명하면, 본 발명에서 예시하고 있는 보안 등급 0의 상태는 판단할 수 없는 상태로서, 전원, 하드웨어 등의 시스템 장애, 데이터베이스 등의 소프트웨어 장애, 보안상황 분석기 장애, 침입탐지 센서와의 통신 세션 장애시의 보안등급이다.

보안 등급 1의 상태는 매우 심각하다고 판단하는 상태로서, Alert Traffic High Threshold 초과가 연속된 상태로 임의의 시간 경과, Critical Attack High Threshold 초과, "중요" 자원들에 대한 Critical Attack Low Threshold 초과, "매우 중요" 자원들에 대한 Critical Attack Low Threshold 또는 Major Attack High Threshold 초과, "예비 블랙리스트" 멤버들에 대한 Critical Attack Low Threshold 초과, "블랙리스트" 멤버들에 대한 Critical Attack Low Threshold 또는 Major Attack High Threshold 초과시의 등급이다.

보안등급 2는 심각하다고 판단하는 상태로서, Alert Traffic High Threshold 초과, Critical Attack Low Threshold 초과, Major Attack High Threshold 초과, "중요" 자원들에 대한 Major Attack Low Threshold 초과, "매우 중요" 자원들에 대한 Major Attack Low Threshold 또는 Minor Attack High Threshold 초과, "예비 블랙리스트" 멤버들에 대한 Major Attack Low Threshold 초과, "블랙리스트" 멤버들에 대한 Major Attack Low Threshold 또는 Minor Attack High Threshold 초과시의 등급이다.

보안등급 3은 경계가 요구되는 상태로서, Alert Traffic Low Threshold 초과, Major Attack Low Threshold 초과, Minor Attack High Threshold 초과, "중요" 자원들에 대한 Minor Attack Low Threshold 초과, "매우 중요" 자원들에 대한 Minor Attack Low Threshold 또는 Warning Attack High Threshold 초과, "예비 블랙리스트" 멤버들에 대한 Minor Attack Low Threshold 초과, "블랙리스트" 멤버들에 대한 Minor Attack Low Threshold 또는 Warning Attack High Threshold 초과시의 보안 등급이다.

보안등급 4는 안전하다고 판단되는 상태로서 위의 현상이 발생되지 않는다.아울러, 이외의 임계치는 통계용으로 사용한다.

실제로 이러한 임계치의 분석과는 달리 적용은 응용 범위나 목적에 따라 다르게 수행할 수 있다. 즉 심각도 5의 하위 임계치 위반 시에 도 5와 같이 보안등급 2로 설정할 수도 있으나, 이는 임계치 분석을 적용하는 영역에 따라 다르게 적용할 수 있다는 의미이다

이상에서 설명한 바와 같이, 네트워크 보안은 상당히 유동적인 네트워크 상황을 고려하여야 한다. 즉 특정 공격에 대해 미리 정의된 대응만을 가지고는 유동적이고, 유기적으로 활동하는 네트워크 상황을 적절히 반영하여 최선의 대응을 수행하는 것이 사실상 어렵다.

본 발명에 의하면, 탐지된 침입 데이터와 시스템 관리 데이터 등을 분석 가공하여 현재의 네트워크 상황을 평가 가능한 보안등급으로 계량화하고, 이에 대한 보안등급의 상태 천이 모델을 운용함으로서 유동적인 네트워크 상황을 고려한 대응 전략의 수립과 수행이 가능하다.

Claims (9)

1. 네트워크를 통하여 침입 또는 공격 탐지 데이터가 수신되는 경우, 침입 또는 공격 주체의 위험도, 공격 대상의 중요도, 침입 데이터의 트래픽 양 및 트래픽 빈도, 침입 데이터의 심각도에 대하여 기설정된 판단분석 기준에 의해 분석하는 단계;

   상기 분석 결과에 대하여 기설정된 보안등급 테이블에 의거하여 보안등급을 설정하는 단계; 및

   가변적인 보안상황에 따라 그 설정된 보안등급에 대하여 유지여부를 판단하여 보안등급을 재조정하는 단계;를 수행하는 가변적인 보안상황을 반영하는 보안 등급 설정방법.
2. 제 1항에 있어서, 상기 기설정된 분석 기준에 의해 분석하는 단계에서,

   상기 공격 주체의 위험도는, 기설정된 공격자 위험 리스트중 해당 공격 주체가 속하는 단계에 따라 분석하는 가변적인 보안상황을 반영하는 보안 등급 설정방법.
3. 제 1항에 있어서, 상기 기설정된 분석 기준에 의해 분석하는 단계에서,

   상기 공격 대상의 중요도는, 기설정된 대상 중요 리스트중 해당 공격 대상이 속하는 단계에 따라 분석하는 가변적인 보안상황을 반영하는 보안 등급 설정방법.
4. 제 1항에 있어서, 상기 기설정된 분석 기준에 의해 분석하는 단계에서,

   상기 침입 데이터의 트래픽양 및 트래픽 빈도는, 기설정된 트래픽 양 및 빈도 분석기준에 해당하는 이벤트가 발생했는지의 여부로 분석하는 가변적인 보안상황을 반영하는 보안 등급 설정방법.
5. 제 1항에 있어서, 상기 기설정된 분석 기준에 의해 분석하는 단계에서,

   상기 침입 데이터의 심각도는, 기설정된 침입 데이터 심각도 분석기준에 해당하는 이벤트가 발생했는지의 여부로 분석하는 가변적인 보안상황을 반영하는 보안 등급 설정방법.
6. 제 1항에 있어서, 상기 보안등급을 설정하는 단계에서,

   상기 보안등급 테이블은, 상기 침입 또는 공격 주체의 위험도, 공격 대상의 중요도, 침입 데이터의 트래픽 양 및 트래픽 빈도, 침입 데이터의 심각도를 종합한결과에 의해 하나 이상의 보안등급을 갖는 가변적인 보안상황을 반영하는 보안 등급 설정방법.
7. 제 1항에 있어서, 상기 보안등급을 재조정하는 단계에서,

   보안 등급의 상향조정은 해당되는 보안 등급으로 직접 상향 조정되며,

   보안 등급의 하향조정은 보안등급 단계별로 순차적으로 하향 조정되는 가변적인 보안상황을 반영하는 보안 등급 설정방법.
8. 제 7항에 있어서,

   상기 보안등급의 하향 조정은, 임의의 시간동안 더 이상 해당 보안등급에 상응하는 이벤트가 발생하지 않는 경우에 이루어지는 가변적인 보안상황을 반영하는 보안 등급 설정방법.
9. 제 1항 내지 제 8항중 어느 한 항에 기재된 가변적인 보안상황을 반영하는 보안 등급 설정방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.