KR20060089338A

KR20060089338A - Xml기반의 침입차단 탐지 로그 모니터링 방법 및 그 시스템

Info

Publication number: KR20060089338A
Application number: KR1020050010329A
Authority: KR
Inventors: 송정길; 김석훈; 손우용
Original assignee: 송정길; 학교법인 대전기독학원 한남대학교
Priority date: 2005-02-04
Filing date: 2005-02-04
Publication date: 2006-08-09
Also published as: KR100673332B1

Abstract

본 발명은 침입차단시스템의 로그 형식을 XML 형태로 생성하는 FWSLF을 이용하여 원격으로 관리자에게 시스템의 상황을 보고하고 관리자가 원격으로 제어할 수 있도록 한 XML기반의 침입차단 탐지 로그 모니터링 시스템 또는 그 시스템을 이용한 방법에 관한 것이다.

본 발명에 따르면, 시스템에 현재 접근한 접속자의 대한 로그 데이터를 정의한 XML 문서로 변환하여 상기 변환된 XML 로그 데이터(파일)를 원격지에 있는 관리자의 모니터에 침입차단시스템에 대한 상태가 모니터링 되도록 하게 한 것으로, 침입자에 대하여 빠른 대처를 할 수 있으며, 상기의 XML 로그 데이터는 시스템 내에서 로그 파일의 문서보다 용량이 적으며 적은 부하를 일으키는 것으로 관리하기가 편리한 것이 특징이다.

방화벽 시스템, 로그 파일, XML 로그 파일, XML스키마, XSLT

Description

XML기반의 침입차단 탐지 로그 모니터링 방법 및 그 시스템{.}

도 1은 침입차단 시스템의 구성도

도 2는 로그 파일의 구조도

도 2a는 관리자에 의해 관리되어지는 침입 차단 시스템의 제어부분을 구현한 화면

도 2b는 침입차단시스템에 의해 전달되어진 접속자의 로그 데이터를 모니터링화한 화면

도 3은 본 발명에 따른 시스템 구성도

도 4는 본 발명에 따른 흐름도

도 4a는 도 4의 XML 로그 변환 단계를 구체적으로 도시한 흐름도

도 5는 본 발명의 일 실시예에 따른 XML 문서가 웹상에서 디스플레이 화면

** 도면의 주요 부분에 대한 부호의 설명 **

100... 방화벽 시스템 200... 관리자 모니터

300... 방화벽 로그 메시지 400... XML 스키마

500... XML 로그 파일 600... XSLT 파일

종래의 전산망은 소수의 사용자가 데이터 교환을 위하여 사용되었다. 그러나 현재의 전산망은 거대한 데이터 및 전자 상거래, 광고로 많은 양의 정보 교환, 많은 양의 정보를 서로 교환할 수 있는 경로의 발달로 그에 따른 활용과 이익, 편리함이 동반되는 반면, 그에 따르는 위협 요소도 함께 성장하고 있다.

이러한 위협에는 바이러스와 불법 행동에 의한 침입들이 있으며, 이를 대비하기 위한 보안 프로그램의 중요성이 점차 증가하고 있는 것이 사실이다. 이에 대해서 많은 보안관련 제품이 개발되어지고 있지만, 보안 툴의 다양한 작동방법에 대한 관리상 어려움도 적지 않은 불편함을 가져다주고 있다. 또한, 단품 솔루션들이 제공하는 정보보호 서비스에서 관리비용의 증가, 일관된 정보보호정책 적용이나 침해사고 공동대응의 불가 등과 같은 효율성이나 관리 측면에 있어 여러 가지 문제를 발생시켰다. 대표적인 문제점으로 침입을 알리는 침입 시스템과 상기의 침입에 대해서 차단을 설정하는 차단 시스템이 서로 분리되어 있어서 서로 호환이 되지 않는 문제점이다.

대표적인 침입차단 제품으로 방화벽(Firewall)이 있다. 상기의 방화벽(Firewall) 기술은 외부 망으로부터 내부 망으로 접속하는 비인가자의 침입을 차단시켜주는 소프트웨어 혹은 하드웨어를 지칭한다. 방화벽은 접근제어목록(Access Control List : ACL)에 따라 내부 네트워크의 자원들의 보호를 담당하고 있는 가장 널리 보급되어 있는 대표적인 네트워크 보안 장비이다.

현재 대표적인 침입차단시스템은 기존의 패킷 필터링과 응용레벨에서의 프록시 기능을 추가한 Stateful firewall 방식이 주를 이루고 있다. Sateful firewall은 동적으로 상태 테이블을 생성 및 관리하고 패킷을 전송할 때 상태 테이블을 통해 감시하므로 응용 레벨의 프록시 방식보다 빠른 장점이 있다

상기의 ACL 목록에 없는 침입자가 있는 경우에 검색하는 파일은 로그 파일이다.

FWSLF(FireWall System Log Format, 침입차단 시스템 로그포맷)는 보안 솔루션의 통합 관리를 위한 표준 형식들 중 침입차단시스템과 관련하여 제정된 표준형식이다. 접속자가 시스템에 접근하였을 경우 침입차단시스템은 로그 표준 형식에 맞추어 로그 데이터를 생성한 후 원격지에 있는 관리자에게 알려주는 역할을 한다. 이러한 침입차단시스템 로그 형식은 침입차단시스템이 의심스런 침입자의 행동에 대하여 관리자에게 경고를 발생하는데 사용할 수 있도록 설계되어 있다.

상기의 로그 파일에는 접속자의 접속날짜, 접속시간, 접속IP주소, 작업내용 등을 담고 있으며, 상기의 파일은 실시간으로 계속 업데이트 되면서 컴퓨터에 저장되게 되는데, 파일이 증가하면서 시스템에 과부하는 물론, 저장 공간이 감소되고, 암호화로 되어 있어서 관리가 힘들며, 실시간 관리가 어려운 문제점이 있다.

따라서 본 발명은 상기의 문제점을 해결하고자 하는 것으로, 시스템에 현재 접근한 접속자의 대한 로그 데이터를 정의한 XML 문서로 변환하는데 그 목적이 있다.

또한 상기의 XML 로 변환된 로그 데이터를 원격지에 있는 관리자의 모니터에 침입차단시스템에 대한 상태가 모니터일 되도록 하는데 그 목적이 있는 것으로, XML 문서는 시스템 내에서 로그 파일의 문서보다 용량이 적으며 적은 부하를 일으키는 것으로 관리하기가 편해야 한다.

XML(eXtensible Markup Language)은 웹상에서 구조화된 문서를 전송 가능하도록 설계된 표준화된 텍스트 형식의 마크업 언어이다. XML은 인터넷에서 종래에 사용하던 HTML의 한계를 극복하고 SGML의 복잡함을 해결하는 방안으로써 HTML내부에 사용자가 직접 새로운 태그를 정의할 수 있는 기능을 추가하였다.

HTML은 편리하고 쉽게 사용할 수 있다는 장점을 가졌으나, 고정적이고 확장이 어려운 단점이 있으며, SGML은 유연성이나 화장성은 뛰어나지만 지나치게 복잡한 문제점이 있으나, XML은 HTML과 SGML의 장점을 유지하면서 단점을 보완한 것으로 자유롭게 문서의 요소와 속성 개체를 선언하여 자료를 구조적으로 표현할 수 있다.

방화벽에서 사용하는 로그 파일(Log File)을 이러한 XML로 변환할 수 있다면 침입자에 대해서 보다 빠르게 대처 할 수 있음은 물론 종래의 로그 파일보다 용량이 현저히 줄어들고, 그만큼 시스템에 부하는 줄어 들 수 있으며, 상기와 같은 이유로 XML 파일 자체는 관리자가 침입에 대하여 대처하기에 용이한 것이다.

도 1은 침입차단 시스템을 간략하게 나타낸 도면이다.

인터넷을 통하여 접속한 사용자(User)는 먼저 방화벽 시스템(100, Firewall System)을 통하여 각각의 서비스를 이용하게 되고, 이때 사용자(User)의 로그 파일은 방화벽에서 생성하여 관리자의 모니터(200)에 보이게 된다.

FWSLF(침입차단 시스템 로그포맷)는 보안 솔루션의 통합 관리를 위한 표준 형식들 중 침입차단시스템과 관련하여 제정된 표준형식이다. 사용자가 시스템에 접근하였을 경우 침입차단시스템은 로그 표준 형식에 맞추어 로그 데이터를 생성한 후 원격지에 있는 관리자에게 알려주는 역할을 한다. 이러한 침입차단시스템 로그 형식은 침입차단시스템이 의심스런 침입자의 행동에 대하여 관리자에게 경고를 발생하는데 사용할 수 있도록 설계되어 있다.

상기의 경고를 보고 관리자는 누가 접근하였는지 검색하는데 상기의 로그 파일은 복잡하여 관리자가 대처하기에는 많은 시간이 소요되며 웹에서 직접 볼 수 없다.

도 2는 상기에서 생성된 로그 파일의 구조를 나타낸 것이다.

로그 파일은 크게 Connect부분과, Heartbeat인 상위 클래스가 있고, 상기 Connect 클래스와 Heartbeat 클래스에는 하위 클래스가 존재하며, 하우 클래스에는 세부적인 정보를 제공한다.

Connect 클래스는 침입차단시스템에서 접속자의 접근 시도와 상기 접근에 의해 발생되는 의심스런 행동에 대하여 로그 형태의 정보를 표현한다.

상기 Connect 클래스에는 다음과 같은 하위 클래스가 있다.

Sensor - 로그를 생성한 검출기 정보

CreateTime - DATETIME, 로그가 생성된 시각

Source - 접속을 일으키는 이벤트의 원천

Target - 접속을 일으키는 이벤트의 목표

Classification - 접속의 이름, 또는 다른 보안 시스템이이 어떤 접속인지 결정할 수 있도록 하는 정보

AdditionalData - 다른 클래스에 속하지 않는 검출기에서 생성되는 추가적인 정보를 포함하고 있다.

Heartbeat 클래스는 관리자에게 현재의 상태를 알려준다. Heartbeat 클래스는 아래와 같은 하위 클래스들로 이루어져 있다.

Sensor - Heartbeat 메시지를 보낸 검출기의 id 정보

CreateTime - DATETIME, Heartbeat가 생성된 시각

AdditionalData - 다른 클래스에 속하지 않는 검출기에 의해 생성되는 추가적인 정보를 포함한다.

본 발명에서 구현한 시스템은 패킷 필터링을 사용한 방화벽이다. 패킷 필터링 방식은 다른 방식에 비해 처리 속도가 빠를 뿐만 아니라 새로운 서비스와 쉽게 연동 할 수 있는 유연성을 제공하고 있기 때문이다.

실질적으로 필터링을 하는 곳은 디바이스 드라이버이다. 디바이스 드라이버란 사용자 프로그램과 하드웨어 사이에 위치하여 사용자로부터 하드웨어로 데이터를 전달해주는 중계 역할을 한다. 본 발명에 구현한 디바이스 드라이버는 네트워크와 관련한 네트워크 디바이스 드라이버이다.

접근 허용에 대한 정보는 관리자에 의해 시스템의 접근을 통하여 관리되어 진다. 관리자는 원격으로 침입 차단 시스템에 접속하게 되고, 포트와 IP 설정 부분을 이용하여 원하는 정보를 표현할 수 있다. 이러한 내용은 원격지에 있는 시스템에 전달되어진다. 도 2a는 관리자에 의해 관리되어지는 침입 차단 시스템의 제어부분을 구현한 화면이다.

어떤 한 접속자가 네트워크를 통해 현재 컴퓨터에 접근하게 되면, 침입차단시스템에는 접속자가 행하는 모든 시도에 대해서 로그가 남게 된다. 관리자는 접속자의 행동에 대한 모든 내용을 실시간으로 모니터링 할 수 있다. 침입차단시스템에 의해 전달되어진 접속자의 로그 데이터를 모니터링화한 화면은 도 2b에 나타나 있다.

이하 본 발명을 첨부된 도면에 의해서 설명한다.

도 3은 본 발명에 따른 시스템 구성도를 나타낸 것이다.

방화벽 시스템(100)에서 침입을 감지한 로그 파일을 생성하면, 상기 로그 파일(300)은 XML 문서로 표현하기 위해 규칙을 정의한 XML스키마(400, Schema)에 의해서 XML 문서로 변환(500)된다. 상기의 XML 문서는 관리자(200)가 웹에서 볼 수 있는 형태로 보기 위해 정의하는 문서인 XSLT로 변환(600)되어 인터넷 또는 네트워크를 통하여 관리자(200)의 모니터에 디스플레이 된다.

상기 디스플레이 되는 화면을 통하여 관리자는 침입에 대하여 대처한다.

도 4는 본 발명에 따른 흐름도를 나타낸 것이다.

시스템 내에서 침입을 감지하는 시스템에서 침입이 있는지 감지(S_1)한다.

상기 감지 시스템에서 침입에 따른 탐지가 있으면 상기 칩임에 대하여 차단 분석(S_2)하고, 침입 차단 로그 메시지를 생성(S_3)한다.

상기 생성된 메시지는 시스템에 저장(S_4)하고 도 3에 설명한 순서에 따라 XML 문서로 변환(S_5)한다.

상기 변환된 문서는 웹에서 쉽게 볼 수 있는 문서로 인터넷 또는 네트워크를 통하여 관리자의 모니터에 디스플레이 되어 관리(S_6)한다.

상기의 침입 시스템에 대하여 관리하는 것은 종래의 방법과 동일하다.

도 4a는 도 4의 XML 로그 변환 단계를 구체적으로 도시한 흐름도이다.

방화벽 시스템에서 저장된 로그 메시지를 검출(S5_1)하여, 상기 검출된 로그 파일을 파싱(S5_2)한다.

XML 스키마(Schema)의 정의에 따라 XML 로그 파일을 생성(S5_3)한다.

상기 생성된 로그 파일은 웹상에서 볼 수 있는 파일인 XSLT 파일로 변환(S5_4)한다.

상기 변환된 파일은 관리자의 모니터에 디스플레이(S5_5)한다.

다음으로 상기에서 설명한 로그 파일을 XML 문서로 변화하기 위한 소스를 분석해 본다.

XML 문서를 변환하기 위해 parsing과정을 거치는데 각 요소(Element)의 속성 및 요소들을 자유로이 제어할 수 있는 방법이 필요하여 XML DOM(Data Object Model)을 사용하였다. 상기의 요소(Element)는 주소(Address), 사용자 이름(User Name), 서비스 포트(Service Port), 생성 시간(Createtime) 등이 있다.

XML DOM(Data Object Model)은 XML 데이터에 접근하기 위한 모델이다.

다음의 소스는 1차로 parsing된 XML message를 읽어 들이는 모듈이다.

int CParseRecvMsg::LoadXML(CString m_strParse3)

{

HRESULT hr;

int rc=0; // Return 1 when LoadXML Succeed

//char msg[500];

CString debug;

hr = CoInitialize(NULL);

if(!SUCCEEDED(hr))

return 0;

IXMLDOMDocumentPtr pDom("Microsoft.XMLDOM", NULL, CLSCTX_INPROC_SERVER);

pDom->async = false;

if(!pDom->loadXML(_bstr_t(m_strParse3)))

{

IXMLDOMParseErrorPtr pParsingErr = pDom->parseError;

sprintf(msg,"Error 0x%.8X on line %d,position %d\r\n", pParsingErr->errorCode, pParsingErr->line, pParsingErr->linepos);

CString tmp(BSTR(pParsingErr->reason));

debug = tmp + CString(msg);

AfxMessageBox(debug);

return 0;

}

m_currentDoc = pDom

XMLParse(pDom->childNodes);

return rc=1;

}

다음의 소스는 상기에서 검출한 현재 읽어낸 XML 문장을 2차적으로 Parsing해서 각 Element들과 그 attribute들을 구분해 내고 이를 Cmdlist에 넣어주는 부분이다. 트리구조로 되어 있어서 XML의 구조에 적합하며, Element만이 아닌 모든 XML 요소 탐색이 가능하다.

void CParseRecvMsg::XMLParse(MSXML::IXMLDOMNodeList* pNodes)

{

long count = 0;

if(pNodes == NULL)

return;

MSXML::IXMLDOMNodePtr pChild; // DOM TREE NODE POINTER

for (long idx=0; idx<pNodes->length; idx++) //

{

IXMLDOMNodePtr pNode = pNodes->item[idx];

if(!wcscmp((const wchar_t*)pNode->nodeTypeString,L"element"))

{

CString nodeName(BSTR(pNode->nodeName));

EleCompare(nodeName);

AttrCompare(nodeName,pNode);

XMLParse(pNode->childNodes);

}

else if(!wcscmp((const wchar_t*)pNode->nodeTypeString, L"text"))

{

CString nodeText(BSTR(pNode->text));

}else if(!wcscmp((const wchar_t*)pNode->nodeTypeString, L"cdatasection"))

{

........중 략 ....

}else {

CString nodeText(BSTR(pNode->text));

}

상기의 소스는 일 실시예에 따라 작성된 것이며, 당업자라면 쉽게 수정하여 보완 할 수 있는 것으로, 상기 소스에 대해서 변경되어 같은 작용을 하는 소스라면 본 발명의 권리범위에 속함이 당연할 것이다.

본 발명에서 침입자에 대해서 로그 파일을 생성하고, 상기 생성된 로그 파이를 XML 문서로 변환하여 바로 관리자의 모니터에 디스플레이된다.

관리자는 상기의 모니터에 디스플레이 되는 화면을 보고 어디서 누가 어디에 접속하는지를 파악 할 수 있고, 상기의 침입에 대하여 대처할 수 있다.

본 발명은 시스템에 현재 접근한 접속자의 대한 로그 데이터를 정의한 XML 문서로 변환하여 원격지에 있는 관리자의 모니터에 침입차단시스템에 대한 상태가 모니터일 되도록 할 수 있는 것으로 시스템에 침입자에 대하여 즉각적인 대처를 할 수 있다.

이러한 XML 문서는 시스템 내에서 로그 파일의 문서보다 용량이 적으며 적은 부하를 일으키는 것으로 관리하기가 편하고, 침입자에 대해서 누구나 쉽게 볼수 있는 효과가 있다.

Claims

인터넷을 통하여 접속한 사용자(User)가 방화벽 시스템(Firewall System)을 통하여 각각의 서비스를 이용하고, 상기 방화벽 시스템에서는 사용자(User)의 로그 파일을 생성하여 저장하고, 상기 로그파일에 대하여 관리자의 모니터(200)에 보이도록 하는 방화벽 시스템에 있어서,

방화벽 시스템(100)에서 침입을 감지한 로그 파일을 생성하면, 상기 로그 파일(300)은 XML 문서로 표현하기 위해 규칙을 정의한 XML스키마(400, Schema)에 의해서 XML 문서로 변환(500)되고,

상기의 XML 문서는 관리자(200)가 웹에서 볼 수 있는 형태로 보기 위해 정의하는 문서인 XSLT로 변환(600)되어 관리자(200)의 모니터에 디스플레이 되는 것을 특징으로 하는 XML기반의 침입차단 탐지 로그 모니터링 시스템
인터넷을 통하여 접속한 사용자(User)가 방화벽 시스템(Firewall System)을 통하여 각각의 서비스를 이용하고, 상기 방화벽 시스템에서는 사용자(User)의 로그 파일을 생성하여 저장하고, 상기 로그파일에 대하여 침입을 감지하는 방법에 있어서,

시스템 내에서 침입을 감지하는 시스템에서 침입이 있는지 감지하는 단계;

상기 감지 시스템에서 침입에 따른 탐지가 있으면 상기 침입에 대하여 차단 분석하는 단계;

상기 분석된 메시지ㄹ에 대하여 침입 차단 로그 메시지를 생성하는 단계;

상기 생성된 메시지는 시스템에 저장하는 단계;

상기 메시지를 XML 문서로 변환하는 단계;

상기 변환된 문서는 웹에서 쉽게 볼 수 있는 문서로 인터넷 또는 네트워크를 통하여 관리자의 모니터에 디스플레이 되어 관리하는 것을 특징으로 하는 XML기반의 침입차단 탐지 로그 모니터링 방법.
청구항 제 2항에 있어서,

상기 메시지를 XML 문서로 변환하는 단계는

방화벽 시스템에서 저장된 로그 메시지를 검출하는 단계;

상기 검출된 로그 파일을 파싱하는 단계;

상기 검출된 로그 메시지를 XML 스키마(Schema)의 정의에 따라 XML 로그 파일을 생성하는 단계;

상기 생성된 로그 파일은 웹상에서 볼 수 있는 파일인 XSLT 파일로 변환하는 단계;

를 더 포함하는 것을 특징으로 하는 XML기반의 침입차단 탐지 로그 모니터링 방법.