KR20030003593A - Network Security System and Method for applying Security Rule for Restricted Condition - Google Patents
Network Security System and Method for applying Security Rule for Restricted Condition Download PDFInfo
- Publication number
- KR20030003593A KR20030003593A KR1020010039513A KR20010039513A KR20030003593A KR 20030003593 A KR20030003593 A KR 20030003593A KR 1020010039513 A KR1020010039513 A KR 1020010039513A KR 20010039513 A KR20010039513 A KR 20010039513A KR 20030003593 A KR20030003593 A KR 20030003593A
- Authority
- KR
- South Korea
- Prior art keywords
- security policy
- security
- network
- temporary
- policy
- Prior art date
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
Description
본 발명은 제한조건 동안 특정한 보안정책을 적용할 수 있는 네트워크 장치 및 그를 이용한 보안방법, 더 상세하게는 외부 또는 내부에서 제한시간동안 및/또는 제한 회수 동안만 적용될 수 있는 임시의 보안정책을 설정하고 적용할 수 있는 네트워크 보안장치 및 방법에 관한 것이다.The present invention establishes a network device that can apply a particular security policy during a constraint, and a security method using the same, more specifically a temporary security policy that can be applied only during a timeout and / or a limit retrieval, either externally or internally, The present invention relates to a network security device and a method that can be applied.
네트워크 사이의 보안을 위하여 사용되는 방화벽(firewall)은 네트워크 내외부로의 접근제어(Access Control) 및 사용자 인증(Authentication)을 통하여 특정한 네트워크로 인증된 정보만이 송수신될 수 있게 하는 시스템을 의미한다.A firewall used for security between networks refers to a system that allows only information authenticated to a specific network to be transmitted and received through access control and user authentication to and from the network.
이러한 방화벽은 기능별로, 소스와 목적지의 IP주소 또는 포트번호에 따라 패킷의 통과를 제한하는 패킷 필터링 게이트웨이(Packet Filtering Gateway)와, TCP 연결을 제한하는 회로레벨 게이트웨이(Circuit-Level Gateway)와, 응용계층에서 각 응용 프로그램을 중계해주는 응용게이트웨이(Application gateway)등으로 나뉘어진다.These firewalls, by function, include packet filtering gateways that restrict the passage of packets based on source and destination IP addresses or port numbers, circuit-level gateways that restrict TCP connections, and applications. It is divided into application gateways that relay each application in the hierarchy.
또한 구축된 형태별로, 하나의 패킷 필터링 라우터로 구현되는 패킷 필터링 방화벽과, 하나의 패킷 필터링 라우터와 이에 의해 보호되는 서브넷에 위치한 응용 게이트웨이(하나의 네트워크 인터페이스 포함)로 구성되는 스크린 호스트 방화벽(Screened Host Firewall)과, 두 개의 네트워크 인터페이스를 포함하는 호스트로 이루어지는 듀얼홈 게이터웨이 방화벽(Dual-homed Gateway Firewall)과, 상기 스크린 호스트 방화벽과 듀얼홈 게이트웨이 방화벽을 통합한 형태의 스크린 서브네트 방화벽(Screened Subnet Firewall)로 구분할 수 있다.In addition, the screened host includes a packet filtering firewall implemented by one packet filtering router and an application gateway (including one network interface) located in a subnet protected by the packet filtering router. Firewall, Dual-homed Gateway Firewall consisting of hosts including two network interfaces, Screened Subnet Firewall integrating the Screen Host Firewall and Dual Home Gateway Firewall )
이러한 기존의 방화벽(firewall) 등의 네트워크 장치는 보안정책(Rule)을 정의하면 관리자가 해당 보안정책을 변경하거나 삭제할 때까지 그 보안 정책이 계속적으로 적용된다. 적용되고 있는 보안정책의 임시적인 변경이 필요할 경우 관리자는 종래의 보안정책을 제거하고 새로운 보안 정책을 정의하여야 하며, 새로운 보안 정책이 필요하지 않게 된 때에는 관리자가 다시 삭제하여야 한다.If a network device such as a firewall defines a security policy, the security policy is continuously applied until an administrator changes or deletes the security policy. If a temporary change of the security policy is applied, the administrator must remove the existing security policy and define a new security policy. When the new security policy is not needed, the administrator must delete it again.
따라서, 보안정책의 유연한 변경이 어려우며, 임시로 특정 보안정책을 적용하고자 하는 경우 매우 번거로운 작업을 요하게 된다.Therefore, it is difficult to flexibly change the security policy, and it is very cumbersome when the temporary security policy is to be applied.
이러한 단점을 극복하기 위하여, 보안정책에 시간 개념을 도입함으로써 특정 시간 동안(요일 또는 특정 시간)만 보안정책이 적용되도록 하는 장치가 제안되어 있다. 하지만 이러한 방법에서의 시간제한은 이미 정의되어 있는 보안정책의 적용시기만을 정할 수 있는 것으로, 해당 시기가 경과한 후에는 다른 보안정책을 적용하기 위하여 이미 만료한 보안정책을 삭제하고 새로운 보안정책을 정의하여야 하는 점에서 종래의 방법과 유사한 단점을 가진다.In order to overcome this drawback, a device has been proposed to apply the concept of time to the security policy so that the security policy is applied only for a certain time (day or time). However, the time limit in this method can only define when to apply the security policy that is already defined. After that time, delete the expired security policy and define a new security policy to apply another security policy. It has similar disadvantages to the conventional method in that it should.
즉, 통상적인 보안정책이 적용되는 도중에 임시로 일정시간 또는 일정회수만 임시 보안정책을 적용하고자 하는 경우, 상기와 같이 시간제한을 가지는 임시 보안정책을 정의하여 적용하고, 그 시간이 경과한 후에는 임시 보안정책을 수동으로 지워주어야 한다.That is, when a temporary security policy is to be applied temporarily for a certain time or only a certain number of times while a normal security policy is applied, a temporary security policy having a time limit is defined as described above, and after that time has elapsed. The temporary security policy must be deleted manually.
보안정책의 임시적인 변경은 여러 가지 상황에서 필요한 것이므로, 이러한 많은 경우 수동으로 보안정책을 다시 정의하고 삭제하여야 보안을 유지할 수 있어서, 시간 및 비용의 소모가 많았다.Since the temporary change of the security policy is necessary in various situations, in many cases, the security policy must be manually re-defined and deleted to maintain security, which is time consuming and expensive.
또한, 침입탐지시스템(Intrusion Detection System; IDS) 등 외부 장비와 연동하여, 외부에서 자동으로 보안정책을 업데이트할 수도 있는 바, 이러한 경우 대부분 일정 기간 동안만 보안정책이 적용되게 한다.In addition, by interlocking with an external device such as an intrusion detection system (IDS), it is possible to automatically update the security policy from the outside. In this case, the security policy is applied only for a certain period of time.
이 때 보안정책을 바꿀 수 있는 외부 장비에서 모두 타이머(Timer)를 구현함으로써 일정기간이 경과한 후에 보안정책을 다시 삭제하도록 하여야 한다. 외부 장비들 모두에 타이머(Timer)를 따로 구현해야 하므로 비효율적이며, 또한 다시 네트워크를 통하여 보안정책을 삭제하여야 하므로, 침입자가 네트워크 상의 패킷을 가로채어 위조 패킷을 만들 경우 보안정책을 임의로 삭제할 수 있으며, 보안정책 삭제 패킷을 변조하여 보안정책이 삭제되지 않도록 할 수도 있다.In this case, all external devices that can change the security policy should implement a timer to delete the security policy again after a certain period of time. It is inefficient because timers must be separately implemented in all external devices, and the security policy must be deleted again through the network. Therefore, if an intruder intercepts a packet on the network and makes a fake packet, the security policy can be arbitrarily deleted. The security policy deletion packet may be tampered with so that the security policy is not deleted.
한편, 방화벽에서 많이 사용되는 프록시(proxy)서버를 구현할 때 임시로 적용되는 보안정책구현을 이용하여 보안문제나 프로그램 버그의 문제를 해결할 수 있다. 그러나, 이러한 프록시 서버를 이용하여 방화벽을 여러 가지 애플리케이션과 네트워크 프로토콜이 계속적으로 발생하는 인터넷 환경에서 사용하는 데에는 여러 가지 문제점이 있을 수 있다. 방화벽은 기본적으로 외부에서 들어오는 패킷을 막는데, 이를 해결하기 위하여 프록시 기능을 이용하거나 외부에서 패킷이 들어올 수 있도록 일부 서비스를 열어주어야 한다. 외부에서 들어올 수 있도록 보안정책을 열어주면 보안상 위험할 수도 있기 때문에 프록시 기능을 이용하며, 프록시 기능하에서는 특정한 조건이 되면 외부에서 들어오는 패킷을 임시로 허가하도록 할 수 있다. 프록시 기능은 엔드사용자(end user)가 프록시 서버를 지정하여야 하는 일반 프록시(classical proxy)와 사용자가 설정하지 않아도 중간에서 투명하게 동작하는 투명프록시(transparent proxy)가 있으며, 이러한 프록시 기능은 각각의 애플리케이션이나 프로토콜별로 따로 작성해야 한다. 이러한 프록시 기능을 이용하는 경우에는 더 이상 서비스가 사용되지 않을 경우 보안정책을 닫아주어야 하며 그렇지 아니할 경우 보안상 결함이 생길 수 있기 때문에, 프록시 서버를 만들 때 보안정책을 일정시간 이후에 닫도록 하는 것이 바람직하다. 이를 위하여 프록시 서비스를 구현할 때에는 모든 애플리케이션이나 프로토콜 각각을 위한 프록시 서버에 타이머를 각각 별도로 구현하여야 하므로 번거롭다.Meanwhile, when implementing a proxy server that is frequently used in a firewall, a security policy implementation that is temporarily applied may solve a security problem or a program bug. However, there may be various problems in using the proxy server in an Internet environment in which various applications and network protocols continuously occur. The firewall basically blocks outgoing packets. To solve this problem, you need to use a proxy function or open some services for incoming packets. If you open the security policy to enter from the outside, it can be a security risk, so use the proxy function. Under the proxy function, you can allow the incoming packet temporarily under certain conditions. Proxy features include a classic proxy where the end user must specify a proxy server and a transparent proxy that works transparently between users without setting it up. It must be written separately for each protocol. If you use this proxy function, you should close the security policy when the service is no longer used. Otherwise, security flaw may occur. Therefore, it is recommended to close the security policy after a certain time when creating the proxy server. Do. To do this, it is cumbersome to implement a proxy service because a separate timer must be implemented in the proxy server for each application or protocol.
본 발명의 이러한 종래 네트워크 보안장치의 단점을 보완하기 위하여 착안된 것으로, 내부 또는 외부에서 시간제한 및/또는 회수제한을 가지는 임시보안정책을 정의할 수 있도록 하고, 해당 시간 및/또는 회수가 경과한 후에는 자동으로 임시 보안정책을 삭제함으로써 네트워크의 임시 보안정책 적용을 원활하게 한다.It is conceived to supplement the shortcomings of the conventional network security device of the present invention, and it is possible to define a temporary security policy having a time limit and / or a time limit inside or outside, and the corresponding time and / or number of times has passed. Afterwards, the temporary security policy is automatically deleted to facilitate application of the temporary security policy of the network.
본 발명의 목적은 일정기간 및/또는 일정회수만 적용되도록 하는 임시보안정책을 장치 내외부에서 정의하고, 설정된 기간이나 회수가 경과한 후에는 자동으로 보안정책을 삭제하는 네트워크장치 및 보안정책 적용방법을 제공하는 것이다.An object of the present invention is to define a temporary security policy to allow only a certain period and / or a certain number of times applied to the device, and a network device and a method for applying the security policy automatically deletes the security policy after a set period or number of times. To provide.
본 발명의 다른 목적은 외부장치에서 일정기간동안 적용되는 보안정책을 추가할 때, 외부장비에서 타이머 구현이 필요 없으며 보안정책을 삭제하는 패킷을 이용하지 않아도 되므로 향상된 보안을 유지시킬 수 있는 네트워크 장치 및 보안정책 적용방법을 제공하는 것이다.Another object of the present invention is to add a security policy that is applied for a certain period of time in the external device, the network device that can maintain the enhanced security since it is not necessary to implement a timer in the external device and do not use a packet to delete the security policy; It is to provide a security policy application method.
본 발명의 또다른 목적은 임시 보안정책이 제한시간 이후에 자동으로 삭제되도록 함으로써 프록시 서비스의 구현을 간단하게 할 수 있는 네트워크 장치 및 보안정책 적용방법을 제공하는 것이다.It is still another object of the present invention to provide a network device and a security policy application method that can simplify the implementation of a proxy service by automatically deleting a temporary security policy after a time limit.
도 1은 본 발명에 의한 네트워크 보안장치의 하드웨어 구성을 도시한다.1 shows a hardware configuration of a network security device according to the present invention.
도 2는 본 발명에 의한 네트워크 보안방법을 수행하기 위한 소프트웨어의 기능별 블록도이다.2 is a functional block diagram of software for performing a network security method according to the present invention.
도 3은 본 발명에 의한 네트워크 보안방법의 대략적인 흐름도이다.3 is a schematic flowchart of a network security method according to the present invention.
도 4는 도 3에 도시된 흐름을 더 상세하게 도시한 것이다.4 shows the flow shown in FIG. 3 in more detail.
전술한 바와 같은 목적을 달성하기 위하여 본 발명에 의한 네트워크 보안장치는 중앙처리장치, 주기억장치, 보조기억장치, 하나 이상의 네트워크 인터페이스를 포함하는 하드웨어와;In order to achieve the above object, the network security device according to the present invention comprises a hardware including a central processing unit, a main memory unit, a secondary memory unit, at least one network interface;
1) 하나 이상의 보안정책을 저장하는 보안정책 데이터베이스와, 2) 데이터베이스 관리모듈, 보안정책편집 API모듈, 보안정책체크모듈, 타이머모듈로 이루어지는 보안정책 프로그램과, 3) 보안정책 편집 프로그램과, 4) 외부 장비에 설치된 보안정책 편집프로그램을 이용하여 상기 데이터베이스에 임시의 보안정책을 저장(등록)하기 위한 보안정책 서비스 데몬(service daemon)으로 이루어진 소프트웨어;로 이루어진다.1) a security policy database that stores one or more security policies; 2) a security policy program consisting of a database management module, a security policy editing API module, a security policy check module, and a timer module; and 3) a security policy editing program. And a software comprising a security policy service daemon for storing (registering) a temporary security policy in the database by using a security policy editing program installed in an external device.
본 발명은 상기 임시 보안정책이 제한시간 및 제한회수 동안만 적용되고, 제한시간 및 제한회수가 경과된 다음에는 자동으로 저장된 보안정책 및 적용된 상태가 해제되어 임시 보안정책 이전의 보안정책으로 복귀하도록 하는 것에 특징이 있다.According to the present invention, the temporary security policy is applied only during the time limit and the number of times, and after the time limit and the number of times the elapsed time has elapsed, the stored security policy and the applied state are automatically released to return to the security policy before the temporary security policy. It is characterized by
따라서, 상기 임시 보안정책은 제한시간 및/또는 제한회수 동안만 적용되는 한시적 보안정책이며, 상기 보안정책 체크모듈은 설정된 임시 보안정책을 확인하여 그 보안정책을 네트워크에 적용시키는 기능을 하며, 보안정책 편집 API 모듈은 보안정책 편집기능을 외부에 제공하는 기능을 하고, 보안정책 삭제 이벤트를 등록하고 해당 이벤트가 발생하였을 때 저장된 해당 보안정책을 삭제하고 그 보안정책에 의해 허용된 보안적용상태(액세스 권한이나 네트워크 연결 등)를 해제하는 기능을 한다.Therefore, the temporary security policy is a temporary security policy that is applied only for a limited time and / or a limited number of times, and the security policy check module checks the set temporary security policy and applies the security policy to the network. Edit API module provides security policy editing function to the outside, registers security policy deletion event, deletes the corresponding security policy stored when the event occurs, and the security application status (access right) allowed by the security policy. Or network connection).
또한, 본 발명에 의한 네트워크 보안정책 적용방법은 위에서 정의한 소프트웨어를 포함하는 네트워크 장치에 의하여 수행되는 것으로,In addition, the network security policy application method according to the present invention is performed by a network device including the software defined above,
일정시간내 및 일정횟수내 중 하나 이상의 제한조건동안 적용되는 임시 보안정책을 저장하여 등록하는 보안정책 등록단계;A security policy registration step of storing and registering a temporary security policy applied during one or more constraints within a predetermined time and a predetermined number of times;
등록된 보안정책을 네크워크에 적용하는 보안정책 적용단계;Applying a registered security policy to the network;
상기 제한조건이 만족하는 때에 저장된 보안정책을 삭제하고, 해당 보안정책의 적용상태를 해제하는 보안정책 삭제 및 해제단계;로 이루어진다.And deleting and releasing the stored security policy and releasing the application state of the security policy when the constraint condition is satisfied.
보안정책 등록단계는 보안정책 편집 프로그램을 실행하고 보안정책 편집 API모듈을 이용하여 수행되거나, 외부 장비에 설치되어 있는 원격 보안정책 편집 프로그램을 이용하여 보안정책 서비스 데몬(service daemon)에 연결함으로써 수행될 수 있다.The security policy registration step can be performed by executing the security policy editing program and using the security policy editing API module, or by connecting to the security policy service daemon using a remote security policy editing program installed in an external device. Can be.
또한, 보안정책 등록단계에서는, 제한조건이 일정시간인 경우에 한하여 타이머 모듈에 보안정책 삭제이벤트를 등록하는 과정을 추가로 포함할 수 있다.The security policy registration step may further include registering a security policy deletion event in the timer module only when the constraint is a predetermined time.
보안정책 적용단계는 보안정책 체크모듈이 네트워크 패킷이나 로그인 등에 대하여 수행하는 것으로, 허용된 어드레스의 패킷만을 통과하는 패킷 필터링, 인증을 통한 액세스 제한, 네트워크 연결 제한 등을 포함한다.The security policy applying step is performed by the security policy check module for network packets or logins, and includes packet filtering passing only packets of allowed addresses, access restriction through authentication, network connection restriction, and the like.
보안정책 삭제 및 해제단계는 제한조건이 일정시간인 경우에는 타이머모듈에 의하여 수행되며, 제한조건이 일정회수인 경우에는 보안정책 체크모듈에 의하여 수행될 수 있다. 또한, 보안정책 삭제 및 해제단계에서는 보안정책 데이터베이스에 저장되어 있던 해당 보안정책을 삭제함과 동시에, 보안정책의 적용상태를 해제하는 과정이 수행되며, 이러한 내용에 대해서는 아래에서 더 상세하게 설명한다.Deleting and releasing the security policy may be performed by the timer module when the constraint is a certain time, and may be performed by the security policy check module when the constraint is a certain number of times. In addition, in the deleting and releasing security policy, a process of releasing a security policy applied state while deleting the corresponding security policy stored in the security policy database is performed, which will be described in more detail below.
도 1은 본 발명에 의한 네트워크 보안장치의 하드웨어 구성을 도시하는 것으로, 중앙처리장치(110)와, 주기억장치(120), 보조기억장치(130) 및 하나 이상의 네트워크 인터페이스(140)로 이루어져 있다.1 illustrates a hardware configuration of a network security device according to the present invention, and includes a central processing unit 110, a main memory device 120, a secondary memory device 130, and one or more network interfaces 140.
주기억장치 또는 보조기억장치에는 아래에서 설명할 본 발명에서 이용되는 소프트웨어가 저장되며, 중앙처리부에서는 상기 소프트웨어에 의하여 이루어지는 일련의 동작이 수행된다.The main memory device or the auxiliary memory device stores software used in the present invention to be described below, and the central processing unit performs a series of operations performed by the software.
네트워크 인터페이스는 다른 단말기 및 외부 장비와 연동되어 있어서, 본 장치에 연동되어 있는 모든 장비 사이에서 송수신되는 정보를 중앙처리부로 전송함으로써, 본 발명에서 정의하는 보안정책에 따라 각 장비로 들어가는 패킷을 필터링하거나, 각 단말기 사용자의 로그인 인증을 가능하게 한다.The network interface is interlocked with other terminals and external devices, and transmits information transmitted and received between all devices linked to the device to the central processing unit, thereby filtering packets entering each device according to the security policy defined in the present invention. In addition, it enables login authentication of each terminal user.
이러한 하드웨어의 구성은 종래의 패킷필터링 라우터, 호스트 시스템, 프록시 서버 등의 네크워크 보안장치와 유사하며, 다만 소프트웨어적인 면에서 종래의 방화벽(네트워크 보안장치)과 차이점을 가진다.Such a hardware configuration is similar to a network security device such as a packet filtering router, a host system, a proxy server, etc., but has a difference from a conventional firewall (network security device) in software.
도 2는 본 발명에 의한 보안정책 적용방법을 수행하기 위한 소프트웨어의 기능별 블록도이다.2 is a functional block diagram of software for performing a method of applying a security policy according to the present invention.
본 발명에 의한 소프트웨어는 커널(OS)레벨이나 응용계층(Application Level)에서 구현 가능하며 크게, 보안정책 데이터베이스(210)와, 보안정책 프로그램(220)과, 보안정책 편집프로그램(230), 및 보안정책 서비스 데몬(daemon; 240)으로 이루어져 있다.Software according to the present invention can be implemented at the kernel (OS) level or application level (Application Level), and largely, the security policy database 210, the security policy program 220, the security policy editing program 230, and security It consists of a policy service daemon (240).
보안정책 데이터베이스(210)에는 본 발명에 이용되는 임시 보안정책, 즉 일정시간 및/또는 일정회수동안만 임시로 적용되는 보안정책을 저장·등록하며, 보안정책 프로그램은 저장·등록된 보장정책을 설정된 제한조건에 따라 네트워크에 적용하고 조건이 완료된 경우에 보안정책 적용을 해제하기 위하여 사용된다.The security policy database 210 stores and registers a temporary security policy used in the present invention, that is, a security policy that is temporarily applied only for a predetermined time and / or a predetermined number of times, and the security policy program sets a stored and registered guarantee policy. It is applied to the network according to the constraint and used to release the application of security policy when the condition is completed.
보안정책 데이터베이스(210)는 사용자에 의하여 입력된 보안정책을 저장하기 위한 것으로, 전술한 네트워크 장치의 하드웨어의 주기억장치 또는 보조기억장치에 구현되는 데이터구조를 의미한다. 이를 위하여 본 발명에 적용되는 보안정책의 속성을 모두 나타낼 수 있는 필드를 가지는 여러 객체(entity)를 구비하며, 테이블 형태로 나타낼 수 있다.The security policy database 210 is for storing a security policy input by a user, and refers to a data structure implemented in the main memory or the auxiliary memory of the hardware of the network device. To this end, it has a plurality of objects (entities) having a field that can represent all the attributes of the security policy applied to the present invention, it may be represented in the form of a table.
보안정책 편집 프로그램(230)은 보안정책 프로그램(220)과 연동하여 사용자가 임시 보안정책을 편집하여 저장·등록할 수 있도록 하며, 보안정책 서비스 데몬(service daemon; 240)은 외부의 관리자가 침입탐지시스템과 같은 외부 장비에 설치된 원격 보안정책 편집 프로그램을 이용하여 원하는 임시 보안정책을 데이터베이스에 저장·등록하기 위하여 사용한다.The security policy editing program 230 interoperates with the security policy program 220 to allow a user to edit and store and register a temporary security policy, and the security policy service daemon 240 may detect an intrusion by an external administrator. It is used to save and register a temporary security policy in a database by using a remote security policy editing program installed in an external device such as a system.
보안정책 프로그램(220)은 세부적으로, 데이터베이스 관리모듈(221), 보안정책 편집 API 모듈(222), 보안정책 체크모듈(223), 타이머 모듈(224)로 이루어져 있다.In detail, the security policy program 220 includes a database management module 221, a security policy editing API module 222, a security policy check module 223, and a timer module 224.
데이테베이스 관리모듈(221)은 보안정책 데이터베이스(210)에 보안정책을 저장, 삭제, 갱신하기 위한 것으로, 오라클(Oracle), 인포믹스(Infomix), 사이베이스(Sybase), DB2와 같은 관계형 데이타베이스 관리 시스템(RDBMS)이나, 겜스톤(Gemston), 오리온(Orion), O2 등과 같은 상용 DB관리 시스템을 이용할 수도 있으나, 일반적으로 방화벽 같은 프로그램에서는 관리할 데이터량이 많지 않기 때문에 내부적으로 데이터베이스를 구현하는 것이 더 바람직하다.The database management module 221 is for storing, deleting, and updating the security policy in the security policy database 210. The database management module 221 is a relational database such as Oracle, Infomix, Sybase, or DB2. You can use a commercial DB management system such as a management system (RDBMS), Gemston, Orion, O2, etc. However, in general, since there is not much data to manage in a program such as a firewall, it is often necessary to implement a database internally. More preferred.
본 발명에 필요한 보안정책 데이터베이스를 구축하고, 관리하는 것은 본 발명이 속하는 기술분야에서 통상의 지식을 가지는 자에 의하여 충분하게 구현가능하기 때문에, 그에 대한 상세한 설명은 생략한다.Since the construction and management of the security policy database required for the present invention can be sufficiently implemented by those skilled in the art, detailed description thereof will be omitted.
보안정책 편집 API 모듈(222)은 보안정책 편집기능을 외부에 제공하기 위하여 사용되는 것으로, 보안정책 편집 프로그램(230)이 이용할 수 있도록 만든 명령어의 집합이다.The security policy editing API module 222 is used to provide a security policy editing function to the outside, and is a set of commands made available to the security policy editing program 230.
API(Application Programing Interface)는 각기 다른 응용프로그램에서 생성된 어떤 데이터를 다른 어떤 한 응용프로그램이 이용할 수 있도록 시스템 콜이나 서브루틴 라이브러리에 대해 규정한 명령어 집합으로서, 응용 프로그램에서 운영체제의 기본적인 기능을 사용할 필요가 있을 때 여기에서 명령어를 호출한다.An application programming interface (API) is a set of instructions that define a system call or subroutine library so that any data generated by a different application can be used by any other application. The application program needs to use the basic functionality of the operating system. Call the command here when there is
보안정책 체크모듈(223)은 등록된 임시 보안정책에 따라 네트워크에 보안정책을 적용하는 모듈로서, 구체적으로는 보안정책이 필요한 네트워크 패킷을 필터링하거나 네트워크 단말장치 사용자의 로그인을 인증하는 기능을 한다. 또한, 등록된 임시 보안정책이 한 번 또는 그 이상의 일정회수동안만 적용되도록 하는 경우에, 보안 정책이 적용되는 횟수를 체크하여 해당 조건이 만족하는 경우에 해당 보안정책을 삭제하고, 보안정책의 적용상태를 해제함으로써 이전 보안정책 상태로 복귀시키는 기능 또한 가질 수 있다.The security policy check module 223 applies a security policy to a network according to a registered temporary security policy. Specifically, the security policy check module 223 filters a network packet requiring a security policy or authenticates a login of a network terminal user. In addition, if the registered temporary security policy is to be applied only for one or more times, check the number of times the security policy is applied and delete the security policy if the corresponding condition is satisfied, and apply the security policy. It may also have the ability to revert to the previous security policy state by releasing the state.
타이머모듈(224)은 제한시간동안 적용되는 임시보안정책이 등록된 경우에 사용되는 것으로, 전술한 임시 보안정책이 등록되면 타이머 모듈에 보안정책 삭제 이벤트(event)가 등록되며, 타이머 모듈은 설정된 시간이 경과하면 해당 보안정책을 데이터베이스로부터 삭제하고, 해당 보안정책에 의하여 허용된 행위, 예를 들면 액세스 권한이나 네트워크 연결 등을 해제하는 기능을 한다.The timer module 224 is used when a temporary security policy applied for a time limit is registered. When the temporary security policy is registered, a security policy deletion event is registered in the timer module. When the elapsed time passes, the security policy is deleted from the database, and the function allowed by the security policy, for example, an access right or a network connection, is released.
보안정책 편집 프로그램(220)은 전술한 보안정책 편집 API 모듈을 이용하여 사용자가 원하는 보안정책을 편집하고 이를 데이터베이스에 저장·등록하기 위하여 사용되며, 보안정책 서비스 데몬(service daemon; 240)은 암호와 인증 프로토콜(protocol)을 이용하여 원격에서 안전하게 보안정책을 편집할 수 있도록 하는 서비스를 제공한다.The security policy editing program 220 is used to edit a security policy desired by a user using the security policy editing API module described above and store and register it in a database. The security policy service daemon 240 may include a password and a password. It provides a service that enables the security policy to be edited remotely and securely using an authentication protocol.
데몬(daemon)은 시스템의 운영에 관련된 작업을 백그라운드(background) 상태에서 실행하는 프로그램으로서, 데몬 프로그램에서 처리하는 작업 조건이 발생하면, 자동적으로 기동되어 요청에 해당되는 작업을 처리한다.A daemon is a program that executes tasks related to the operation of the system in the background. When a task condition handled by the daemon program occurs, it is automatically started to process the task corresponding to the request.
외부 장비에 있는 원격 보안정책 편집프로그램(250)은 보안정책 서비스 데몬(240)에 연결하여 보안정책을 편집하고, 편집된 임시 보안정책을 데이터베이스에 저장한다.The remote security policy editing program 250 in the external device connects to the security policy service daemon 240 to edit the security policy and stores the edited temporary security policy in a database.
도 3은 본 발명에 의한 네트워크 보안정책 적용방법의 대략적인 흐름도로서, 크게 관리자가 편집한 임시 보안정책을 데이터베이스에 저장하여 등록하는 보안정책 등록단계(S310)와, 일정시간 및/또는 일정회수의 제한조건 동안 보안정책을 네트워크에 적용하는 보안정책 적용단계(S320)와, 일정시간이 경과하거나 일정회수동안 보안정책이 적용됨으로써 제한(해제)조건을 만족하게 된 경우 보안정책을 삭제하고 보안정책 적용상태를 해제하는 단계(S340)로 이루어진다.3 is a schematic flowchart of a method for applying a network security policy according to the present invention, and includes a security policy registration step (S310) of storing and registering a temporary security policy edited by an administrator in a database, and for a predetermined time and / or a predetermined number of times. Security policy application step of applying the security policy to the network during the constraints (S320), and if a certain period of time or when the security policy is applied by applying the security policy for a certain number of times, the security policy is deleted and the security policy is applied. In step S340, the state is released.
도 4는 도 3에 도시된 흐름을 더 상세하게 도시한 것이다.4 shows the flow shown in FIG. 3 in more detail.
우선 본 발명에 의한 보안정책 적용방법을 이용하려는 관리자가 외부 장치를 이용하는 경우(S420)에는, 보안정책 서비스 데몬을 이용하여 본 발명에 의한 네트워크 보안장치에 접속한 다음(S420), 외부 장치에 설치되어 있는 원격 보안정책 편집 프로그램을 이용하여 보안정책을 편집하고(S421), 편집된 임시 보안정책을 보안정책 데이터베이스에 저장·등록한다(S440).First, when the administrator who wants to use the security policy application method according to the present invention uses an external device (S420), accesses the network security device according to the present invention using the security policy service daemon (S420), and then installs the external device. The security policy is edited using the remote security policy editing program (S421), and the edited temporary security policy is stored and registered in the security policy database (S440).
관리자가 본 발명에 의한 네트워크 보안장치를 직접 이용하는 경우에는 보안정책 프로그램의 보안정책 편집 API 모듈과, 보안정책 편집 프로그램을 이용하여 원하는 보안정책을 편집하고(S430), 그를 보안정책 데이터베이스에 저장·등록한다(S440).When the administrator directly uses the network security device according to the present invention, the desired security policy is edited using the security policy editing API module of the security policy program and the security policy editing program (S430), and stored and registered in the security policy database. (S440).
등록된 임시 보안정책이 일정시간동안 적용되는 보안정책인 경우에는 보안정책 프로그램의 타이머 모듈에 보안정책 삭제 이벤트를 등록한다(S451). 보안정책 삭제 이벤트는 설정된 시간이 경과한 때 등록된 보안정책을 삭제하고, 보안정책 적용상태를 해제하도록 활성화되는 이벤트이다.If the registered temporary security policy is a security policy applied for a predetermined time, the security policy deletion event is registered in the timer module of the security policy program (S451). The security policy delete event is an event that is activated to delete a registered security policy and release a security policy application state when a set time elapses.
보안정책이 등록되면 보안정책 체크모듈은 등록된 보안정책에 따라 네트워크로 송수신되는 패킷을 필터링하거나, 로그인을 통한 액세스 제한, 네트워크 연결 등을 함으로써 네트워크에 해당 보안정책을 적용한다(S452, S461).When the security policy is registered, the security policy check module applies the corresponding security policy to the network by filtering packets transmitted or received through the network according to the registered security policy, restricting access through login, or connecting to the network (S452 and S461).
설정된 시간 또는 설정된 회수가 경과되면, 타이머 모듈 또는 보안정책 체크모듈은 등록된 보안정책을 데이터베이스로부터 삭제하고 적용되었던 보안상태를 해제한다(S454, S463). 단 1회만 적용되는 보안정책인 경우에는 체크모듈에 의하여보안정책 적용이 확인됨과 동시에, 전술한 삭제 및 해제 동작을 수행하도록 할 수 있다.When the set time or the set number of times elapse, the timer module or the security policy check module deletes the registered security policy from the database and releases the applied security state (S454 and S463). In the case of a security policy that is applied only once, the check module can confirm the application of the security policy and perform the above-described deletion and release operations.
이때에는, 적용되었던 보안정책이 어떤 보안정책이냐에 따라 여러 가지 구현방식이 이용될 수 있다. 그 예로서, 방화벽의 경우 보안정책에 의하여 허용된 연결에 해당 보안정책을 표시한 후 나중에 이를 찾아 지우는 방식, 우선 보안정책을 삭제하여 이전 보안정책상태로 복귀시킨 후 현재 허용된 연결을 복귀한 보안정책과 비교하여 위배되는 것을 해제하는 방식 등이 이용될 수 있다. 어떠한 방식을 이용하느냐는 해당 보안정책이 적용될 네트워크의 종류(상태), 보안정책 삭제의 빈도수, 보안정책에 의하여 허용된 상태(행위)의 수 등을 전체적으로 고려하여 결정하는 것이 바람직하다.In this case, various implementation methods may be used depending on which security policy is applied. For example, in the case of a firewall, the security policy is displayed on the connection allowed by the security policy, and then later found and erased. First, the security policy is deleted to return to the previous security policy state and then the currently allowed connection is restored. A method of releasing a violation in comparison with a policy may be used. The method to be used is preferably determined in consideration of the type (state) of the network to which the security policy is to be applied, the frequency of deletion of the security policy, and the number of states (acts) allowed by the security policy.
본 발명에 의한 네트워크 보안정책 적용방법을 이용하면, 관리자가 일정 시간 및/또는 일정 회수동안만 임시로 적용되는 네트워크 보안정책을 효율적으로 관리(설정, 적용 및 삭제)할 수 있으며, 관리자가 외부 장치를 이용할 때에도 해킹의 우려없이 간단하게 임시 보안정책을 관리할 수 있다.Using the network security policy application method according to the present invention, the administrator can efficiently manage (set, apply and delete) the network security policy that is temporarily applied only for a certain time and / or a certain number of times, the administrator is an external device Even when using, you can easily manage the temporary security policy without fear of hacking.
또한, 프록시 서비스를 구현하는 경우에도 각 애플리케이션이나 프로토콜 각각을 위한 타이머를 별도로 구현할 필요가 없으므로, 프록시 기능의 구현을 간단히 할 수 있다.In addition, even when implementing a proxy service, it is not necessary to implement a timer for each application or protocol separately, so that the implementation of the proxy function can be simplified.
Claims (4)
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| KR1020010039513A KR20030003593A (en) | 2001-07-03 | 2001-07-03 | Network Security System and Method for applying Security Rule for Restricted Condition |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| KR1020010039513A KR20030003593A (en) | 2001-07-03 | 2001-07-03 | Network Security System and Method for applying Security Rule for Restricted Condition |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| KR20030003593A true KR20030003593A (en) | 2003-01-10 |
Family
ID=27713193
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| KR1020010039513A KR20030003593A (en) | 2001-07-03 | 2001-07-03 | Network Security System and Method for applying Security Rule for Restricted Condition |
Country Status (1)
| Country | Link |
|---|---|
| KR (1) | KR20030003593A (en) |
Cited By (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR100401064B1 (en) * | 2001-12-19 | 2003-10-10 | 한국전자통신연구원 | Mechanism for Checking Conflict on Editing Policy in Network Security Policy Management Tool |
| KR100439177B1 (en) * | 2002-01-16 | 2004-07-05 | 한국전자통신연구원 | Method for representing, storing and editing network security policy |
| KR100492909B1 (en) * | 2001-12-27 | 2005-06-03 | 한국전자통신연구원 | Method for storing tree-structured policy using a reusable container |
| KR100617314B1 (en) * | 2004-11-11 | 2006-08-30 | 한국전자통신연구원 | Security policy management method and apparatus of secure router system |
| KR100643281B1 (en) * | 2004-10-09 | 2006-11-10 | 삼성전자주식회사 | Apparatus, system and method for security service in home network |
| KR101122787B1 (en) * | 2003-12-05 | 2012-03-21 | 마이크로소프트 코포레이션 | Security-related programming interface |
| KR101450463B1 (en) * | 2013-07-11 | 2014-10-13 | 김익환 | Encrypted personal information providing method using smart device |
| US9313101B2 (en) | 2012-04-18 | 2016-04-12 | Electronics And Telecommunications Research Institute | Method of controlling traffic by time-based policy |
| WO2016148471A1 (en) * | 2015-03-13 | 2016-09-22 | 주식회사 에버스핀 | Dynamic security module server device and operating method thereof |
| WO2016148472A1 (en) * | 2015-03-13 | 2016-09-22 | 주식회사 에버스핀 | Dynamic security module terminal device and method for operating same |
| KR102020178B1 (en) * | 2019-03-21 | 2019-09-09 | 김상환 | Fire wall system for dynamic control of security policy |
| US10867048B2 (en) | 2015-03-13 | 2020-12-15 | Everspin Corp. | Dynamic security module server device and method of operating same |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR19990001059A (en) * | 1997-06-12 | 1999-01-15 | 배순훈 | How to restrict Internet access |
| KR19990038042A (en) * | 1997-11-03 | 1999-06-05 | 정선종 | Structure of Network Printer and Security Method of Printing Document Using It |
| US6182226B1 (en) * | 1998-03-18 | 2001-01-30 | Secure Computing Corporation | System and method for controlling interactions between networks |
| KR20010091806A (en) * | 2000-03-18 | 2001-10-23 | 문규 | General Purpose Time-differential Electronic/Mechanical Password Locking/Security System Equipped with Internal Hacking Protection Program using Time-interval Checking Device between Password Input Key Strokes |
| KR20020080045A (en) * | 2001-04-10 | 2002-10-23 | 장철호 | Telecommunication Line Controller |
| KR20030047559A (en) * | 2001-12-11 | 2003-06-18 | 소프트캠프(주) | System for production and regeneration of encrypted file regardless of a media players |
-
2001
- 2001-07-03 KR KR1020010039513A patent/KR20030003593A/en not_active Application Discontinuation
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR19990001059A (en) * | 1997-06-12 | 1999-01-15 | 배순훈 | How to restrict Internet access |
| KR19990038042A (en) * | 1997-11-03 | 1999-06-05 | 정선종 | Structure of Network Printer and Security Method of Printing Document Using It |
| US6182226B1 (en) * | 1998-03-18 | 2001-01-30 | Secure Computing Corporation | System and method for controlling interactions between networks |
| KR20010091806A (en) * | 2000-03-18 | 2001-10-23 | 문규 | General Purpose Time-differential Electronic/Mechanical Password Locking/Security System Equipped with Internal Hacking Protection Program using Time-interval Checking Device between Password Input Key Strokes |
| KR20020080045A (en) * | 2001-04-10 | 2002-10-23 | 장철호 | Telecommunication Line Controller |
| KR20030047559A (en) * | 2001-12-11 | 2003-06-18 | 소프트캠프(주) | System for production and regeneration of encrypted file regardless of a media players |
Cited By (14)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR100401064B1 (en) * | 2001-12-19 | 2003-10-10 | 한국전자통신연구원 | Mechanism for Checking Conflict on Editing Policy in Network Security Policy Management Tool |
| KR100492909B1 (en) * | 2001-12-27 | 2005-06-03 | 한국전자통신연구원 | Method for storing tree-structured policy using a reusable container |
| KR100439177B1 (en) * | 2002-01-16 | 2004-07-05 | 한국전자통신연구원 | Method for representing, storing and editing network security policy |
| KR101122787B1 (en) * | 2003-12-05 | 2012-03-21 | 마이크로소프트 코포레이션 | Security-related programming interface |
| US8453247B2 (en) | 2004-10-09 | 2013-05-28 | Samsung Electronics Co., Ltd. | Apparatus, system and method for providing security service in home network |
| KR100643281B1 (en) * | 2004-10-09 | 2006-11-10 | 삼성전자주식회사 | Apparatus, system and method for security service in home network |
| KR100617314B1 (en) * | 2004-11-11 | 2006-08-30 | 한국전자통신연구원 | Security policy management method and apparatus of secure router system |
| US9313101B2 (en) | 2012-04-18 | 2016-04-12 | Electronics And Telecommunications Research Institute | Method of controlling traffic by time-based policy |
| KR101450463B1 (en) * | 2013-07-11 | 2014-10-13 | 김익환 | Encrypted personal information providing method using smart device |
| WO2016148471A1 (en) * | 2015-03-13 | 2016-09-22 | 주식회사 에버스핀 | Dynamic security module server device and operating method thereof |
| WO2016148472A1 (en) * | 2015-03-13 | 2016-09-22 | 주식회사 에버스핀 | Dynamic security module terminal device and method for operating same |
| US10867048B2 (en) | 2015-03-13 | 2020-12-15 | Everspin Corp. | Dynamic security module server device and method of operating same |
| US10867049B2 (en) | 2015-03-13 | 2020-12-15 | Everspin Corp. | Dynamic security module terminal device and method of operating same |
| KR102020178B1 (en) * | 2019-03-21 | 2019-09-09 | 김상환 | Fire wall system for dynamic control of security policy |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9288185B2 (en) | Software firewall control | |
| US8266685B2 (en) | Firewall installer | |
| US8544062B2 (en) | Method and system for improving computer network security | |
| KR100999236B1 (en) | Method for managing network filter based policies | |
| US8341693B2 (en) | Enterprise-wide security system for computer devices | |
| KR20050001397A (en) | Method of assisting an application to traverse a firewall | |
| EP1545086A2 (en) | Method for policy-based firewall service management | |
| US20150326425A1 (en) | Recording, analyzing, and restoring network states in software-defined networks | |
| US20060109850A1 (en) | IP-SAN network access control list generating method and access control list setup method | |
| KR20030003593A (en) | Network Security System and Method for applying Security Rule for Restricted Condition | |
| JP5106625B2 (en) | Method, system, and computer program for configuring a firewall | |
| JP2004364315A (en) | Method and framework for integrating a plurality of network policies | |
| WO2003105015A1 (en) | Systems and methods for a protocol gateway | |
| JPH1070576A (en) | Fire wall dynamic control method | |
| US10999303B2 (en) | Capturing data | |
| US7774847B2 (en) | Tracking computer infections | |
| US20020138627A1 (en) | Apparatus and method for managing persistent network connections | |
| KR20040065674A (en) | Host-based security system and method | |
| KR20010085875A (en) | Method and system for the prevention of undesirable activities of executable objects | |
| JP2007505409A (en) | System and method for dynamically updating software in a protocol gateway | |
| KR100503772B1 (en) | A monitoring system and method of auditing performanced work connected to database server by utility method | |
| EP1820293A2 (en) | Systems and methods for implementing protocol enforcement rules | |
| JP3808663B2 (en) | Computer network system and access control method thereof | |
| JP2001077857A (en) | Filtering processing device, network provided with it and its storage medium | |
| JP2004054488A (en) | Firewall device |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A201 | Request for examination | ||
| E902 | Notification of reason for refusal | ||
| E601 | Decision to refuse application |