WO2016098968A1 - 지능형 보안 네트워킹 시스템 및 그 방법 - Google Patents

지능형 보안 네트워킹 시스템 및 그 방법 Download PDF

Info

Publication number
WO2016098968A1
WO2016098968A1 PCT/KR2015/005452 KR2015005452W WO2016098968A1 WO 2016098968 A1 WO2016098968 A1 WO 2016098968A1 KR 2015005452 W KR2015005452 W KR 2015005452W WO 2016098968 A1 WO2016098968 A1 WO 2016098968A1
Authority
WO
WIPO (PCT)
Prior art keywords
security
vtn
service
ocs
information
Prior art date
Application number
PCT/KR2015/005452
Other languages
English (en)
French (fr)
Inventor
허경수
박병주
김현연
박준수
Original Assignee
주식회사 디케이아이테크놀로지
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 디케이아이테크놀로지 filed Critical 주식회사 디케이아이테크놀로지
Publication of WO2016098968A1 publication Critical patent/WO2016098968A1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Definitions

  • the present invention relates to an intelligent security networking system, in which service chaining is performed to derive an optimal security service path so that abnormal symptom detection, traffic detection, and security service can be provided in a virtual communication network that guarantees service scalability. It enhances the security performance of the virtual communication network, and utilizes advanced network security service chaining optimization technology based on Software Defined Network (SDN) / Network Function Virtualization (NFV) to create new security threats such as DDoS and Advanced Persistent Threat (APT).
  • SDN Software Defined Network
  • NFV Network Function Virtualization
  • a new concept of self-defense and auto-scalable L4 / L7 + NFV / SDN smart security networking system that actively defends / responses to intelligent security networking systems.
  • network technology has become part of the critical infrastructure in business, home and public institutions.
  • the current network includes communication devices such as routers or switches, and such communication devices include complicated protocols and functions, and characteristics of each manufacturer are different from each other. Are going through.
  • the existing network and security equipment had a problem that it is difficult to accommodate the fixed service.
  • OpenFlow technology has emerged to provide an open standard interface to users or developers while solving high cost problems.
  • OpenFlow technology separates the packet forwarding and control functions of the network switch and provides a protocol for communication between the two functions, so that software driven by an external controller can determine the packet path within the switch regardless of the equipment manufacturer. do.
  • Openflow systems include openflow switches and controllers, and are configured to use standardized Openflow protocols between openflow switches and controllers to perform current network functions.
  • Networking hereinafter abbreviated as SDN
  • Openflow switches perform basic switching functions and consist of a flow table, a secure channel, and an openflow protocol.
  • the controller creates a flow table inside the switch by the OpenFlow protocol, which includes the function of registering or deleting a new flow.
  • the core function for the operation of the controller and openflow switch node in the openflow system is the flow table, which processes the packet by forwarding the packet to the open port using the flow table. do.
  • the existing OpenFlow system recognizes the failure state in the controller and sets a port to configure a new path, and updates the flow table according to the set port. It took a lot of time to cope with the failure, which caused the packet is not delivered during the time to cope with the failure.
  • the existing network security system (Firewall, IPS, IDS, etc.) is a dedicated hardware that performs only a specific function, the maximum throughput is fixed per system, there was a problem that can not respond quickly to DDos or APT attack.
  • the existing network equipment is a network equipment that simultaneously performs a control function and a data transfer function, and thus there is a problem that traffic control cannot be performed quickly according to a situation.
  • the present invention has been made in view of the above-described circumstances of the prior art, and a service chaining method for deriving an optimal security service path for providing an abnormal symptom detection, traffic detection, and security service to a virtual communication network that guarantees service scalability is provided.
  • the purpose of the present invention is to provide an intelligent security networking system that enhances the security of virtual communication networks.
  • an intelligent secure networking method performed in a node of a software defined networking network (SDN), comprising: a) setting virtual tenant network (VTN) information; b) setting security service information for each VTN; c) monitoring packets entering the network; d) determining whether to apply the security policy; e)
  • SDN software defined networking network
  • the process a) includes receiving a name or description of the VTN from an OrChestration system (OCS); Receiving an OCS (OrChestration system) inputting a VTN identification method such as IP, Mac, or VLAN;
  • OCS OrChestration system
  • An intelligent secure networking method is provided in which an OrChestration system (OCS) includes a process of receiving IP, Mac, or VLAN information of a host server in a VTN.
  • the step b) comprises: allocating security service functions to a plurality of VTNs in a chaining pool system (CPS);
  • An intelligent security networking method is provided that includes a process of setting a response policy when a security abnormal signal occurs in a chaining pool system (CPS).
  • the step c) is an OrChestration system (OCS) receives and stores event signals from the Self-Defending System (SDS) and SDN Controller System (SCS) and Chaining Pool System (CPS) to determine the intrusion detection, intrusion Invoking a service chaining algorithm upon detection; Receiving traffic / resource information to determine whether a threshold is exceeded and calling a service chaining algorithm when the threshold is exceeded;
  • OCS OrChestration system
  • SDS Self-Defending System
  • SCS SDN Controller System
  • CPS Chaining Pool System
  • Receiving traffic / resource information to determine whether a threshold is exceeded and calling a service chaining algorithm when the threshold is exceeded
  • an intelligent security networking method comprising receiving a security service status information and presenting security service node information.
  • the step d) includes the step of generating a virtual machine by the OrChestration system (OCS) requesting the CPS to create a security service for each VTN;
  • OCS OrChestration system
  • An intelligent security networking method is provided, wherein the security service required for peace of mind is kept running, and the security service required in case of abnormal symptoms is managed to be maintained in IDLE state.
  • the step e) is an intelligent security networking method characterized in that the OrChestration system (OCS) is a process of deriving the optimal security service path through the service chaining.
  • OCS OrChestration system
  • the present invention receives and registers security settings for each VTN and VTN of an IDC center manager, applies security settings for each VTN and VTN to CPS, SCS, and SDS, and performs service chaining by receiving an abnormal symptom detection signal.
  • An OCS for deriving a security service path
  • An SCS for receiving VTN and VTN security setting information from the OCS and applying VTN path information to an open flow switch
  • a CPS that receives security setting information for each VTN and VTN from the OCS, receives a security service generation signal, generates a security service virtual machine, and checks the security service status by driving a virtual machine for packets introduced through the Internet
  • An intelligent security networking system is provided comprising an SDS configured to receive VTN and VTN-specific security configuration information from the OCS and to mirror and monitor incoming packets.
  • the intelligent security networking system makes it possible to flexibly apply the security service policy set in the IDC center to a port of an open flow switch (or node), and to monitor all packets introduced from the Internet in real time, at the time of failure occurrence.
  • the optimal security service path can be reconfigured to guarantee the continuity of traffic transmission and improve the quality of service.
  • a user-tailored virtual application security chaining service can be provided for each VTN (Virtual Tenant Network) provided by an SDN network.
  • VTN Virtual Tenant Network
  • self-defense active response technology provides administrators with the convenience of automatically managing the network, while reducing operational costs by responding immediately to cyber attacks or failures.
  • high-performance / high-strength security services such as cloud data center virtual security service sector, closed network operation government agency security sector (major institutional network providers such as the Ministry of Public Administration and Security, civil service, police, and NIS), general enterprise security equipment, and CDN / Internet broadcasting It can be applied to the field required.
  • FIG. 1 is a schematic diagram showing a schematic configuration of an intelligent security networking system according to an embodiment of the present invention
  • FIG. 2 is a signal flow diagram illustrating a process through an intelligent security networking system according to an embodiment of the present invention
  • FIG. 3 is a diagram illustrating a VTN information setting state through an intelligent security networking system according to an embodiment of the present invention
  • 5 and 6 are diagrams illustrating a security service setting state through an intelligent security networking system according to an embodiment of the present invention
  • FIG. 7 is a diagram illustrating a security service application state of the intelligent security networking system according to an embodiment of the present invention.
  • FIGS. 8 and 9 are diagrams illustrating an intrusion detection monitoring state through an intelligent security networking system according to an embodiment of the present invention.
  • 10, 11, 12 and 13 are diagrams detailing a security service application state through an intelligent security networking system according to an embodiment of the present invention.
  • FIG. 14 illustrates a key algorithm for establishing a service chaining list path through an intelligent security networking system according to the present invention .
  • an intelligent secure networking method performed in a node of a software defined networking network (SDN), comprising: a) setting virtual tenant network (VTN) information; b) setting security service information for each VTN; c) monitoring packets entering the network; d) determining whether to apply the security policy; e)
  • SDN software defined networking network
  • the process a) includes receiving a name or description of the VTN from an OrChestration system (OCS); Receiving an OCS (OrChestration system) inputting a VTN identification method such as IP, Mac, or VLAN;
  • OCS OrChestration system
  • An intelligent secure networking method is provided in which an OrChestration system (OCS) includes a process of receiving IP, Mac, or VLAN information of a host server in a VTN.
  • the step b) comprises: allocating security service functions to a plurality of VTNs in a chaining pool system (CPS);
  • An intelligent security networking method is provided that includes a process of setting a response policy when a security abnormal signal occurs in a chaining pool system (CPS).
  • the step c) is an OrChestration system (OCS) receives and stores event signals from the Self-Defending System (SDS) and SDN Controller System (SCS) and Chaining Pool System (CPS) to determine the intrusion detection, intrusion Invoking a service chaining algorithm upon detection; Receiving traffic / resource information to determine whether a threshold is exceeded and calling a service chaining algorithm when the threshold is exceeded;
  • OCS OrChestration system
  • SDS Self-Defending System
  • SCS SDN Controller System
  • CPS Chaining Pool System
  • Receiving traffic / resource information to determine whether a threshold is exceeded and calling a service chaining algorithm when the threshold is exceeded
  • an intelligent security networking method comprising receiving a security service status information and presenting security service node information.
  • the step d) includes the step of generating a virtual machine by the OrChestration system (OCS) requesting the CPS to create a security service for each VTN;
  • OCS OrChestration system
  • An intelligent security networking method is provided, wherein the security service required for peace of mind is kept running, and the security service required in case of abnormal symptoms is managed to be maintained in IDLE state.
  • the step e) is an intelligent security networking method characterized in that the OrChestration system (OCS) is a process of deriving the optimal security service path through the service chaining.
  • OCS OrChestration system
  • the present invention receives and registers security settings for each VTN and VTN of an IDC center manager, applies security settings for each VTN and VTN to CPS, SCS, and SDS, and performs service chaining by receiving an abnormal symptom detection signal.
  • An OCS for deriving a security service path
  • An SCS for receiving VTN and VTN security setting information from the OCS and applying VTN path information to an open flow switch
  • a CPS that receives security setting information for each VTN and VTN from the OCS, receives a security service generation signal, generates a security service virtual machine, and checks the security service status by driving a virtual machine for packets introduced through the Internet
  • An intelligent security networking system is provided comprising an SDS configured to receive VTN and VTN-specific security configuration information from the OCS and to mirror and monitor incoming packets.
  • the present invention relates to a SDN-based high-reliability self-defense smart security system, and provides the following functions so that operators can easily use the network with confidence.
  • FIG. 1 is a schematic diagram showing a schematic configuration of an intelligent security networking system according to an embodiment of the present invention
  • Figure 2 is a signal flow diagram showing a process through an intelligent security networking system according to an embodiment of the present invention.
  • the intelligent security networking system is a service for deriving an optimal security service path so that abnormal symptom detection, traffic detection, and security service can be provided in a virtual communication network that guarantees service scalability. It is a system that enhances the security performance of the virtual communication network by allowing chaining to be performed.
  • the intelligent security networking system is authorized by registering security settings for each VTN and VTN of an IDC center manager, and registering security settings for each VTN and VTN CPS (Chainning Pool System: 14). ) And OCS (OrChestration system: 6) which is applied to SDN (SDN Controller System: 12) and SDS (Self-Defending System: 16), performs service chaining and derives security service path by receiving abnormal signal detection signal.
  • An SDN controller system 12 for receiving VTNs and security setting information for each VTN from the OCS (OrChestration system: 6) and applying route information for each VTN to an open flow switch; Authorizes VTN and VTN security setting information from the OCS (OrChestration system: 6), generates a security service virtual signal by receiving a security service generation signal, and checks the security service status by driving a virtual machine for packets introduced through the Internet.
  • Chaining Pool System (CPS) 14; Self-Defending System (SDS) 16 receives VTN and security setting information for each VTN from the OCS (OrChestration system: 6) and mirrors the incoming packet.
  • CPS Chaining Pool System
  • SDS Self-Defending System
  • Intelligent security networking system enables to perform the included NFV orchestration, through which the security service of the network function can be quickly switched to maintain the optimal operation and management of equipment Extremely dynamic service chaining is possible.
  • Intelligent security networking system is composed of the IDC center of the software-defined networking network (SDN) environment, the IDC center is composed of Argos system (2) and Legacy system (4), Argos system SCS 12, CPS 14, SDS 16, firewall 18, IDS 20, and IPS 22 are connected in parallel to the open flow switch 10 configured therein. , SDS, firewall, IDS, and IPS are connected to OCS and DB through L2.
  • SDN software-defined networking network
  • the OCS interworks with the SCS, CPS, SDS, firewall, IDS, and IPS to perform network function virtualization and service chaining.
  • the intelligent security networking system in an intelligent security networking environment performed in a node of a software defined networking network (SDN),
  • SDN software defined networking network
  • FIG. 3 is a diagram illustrating a VTN information setting state through an intelligent security networking system according to an embodiment of the present invention.
  • the IDC center manager may perform VTN information setting, which is a process of FIG. 2, in which the IDC center manager is in the OCS (OrChestration system). Perform VTN information setting.
  • the OrChestration system receives the name or description of the VTN
  • the OrChestration system receives the VTN identification method such as IP or Mac or VLAN
  • the OrChestration system is the IP of the host server in the VTN. You will be prompted for Mac or VLAN information.
  • FIGS. 4 and 5 are diagrams illustrating a security service setting state through an intelligent security networking system according to an embodiment of the present invention.
  • the IDC center manager may perform security service information setting for each VTN, which is the process of FIG. 2 b.
  • the IDC center manager performs the OCS (OrChestration). system) to set VTN security service information.
  • the IDC center manager sets VTN security service information in the OrChestration system (OCS), and the OrChestration system (OCS) assigns security service functions to a plurality of VTNs in a chaining pool system (CPS).
  • OCS OrChestration system
  • CPS chaining pool system
  • OrChestration system sets a corresponding policy when a security abnormal signal occurs in the chaining pool system (CPS).
  • the policy establishment and setting of the security service for each VTN is performed by performing a security service path processing such as “OFS-FW-OFS-Destination”, and auto-scaling when traffic increases. )
  • a security service path processing such as “OFS-FW-OFS-Destination”, and auto-scaling when traffic increases.
  • It can also be configured to extract security service paths such as “OFS1-FW-IPS-OFS3-Destination” when anomalous packets are detected, or “OFS-LB-FW (or other FW) when traffic growth and anomaly packets are detected at the same time. Configurable to extract secure service paths such as “IPS (or other IPS) -OFS-Destination”.
  • FIG. 6 is a diagram illustrating a security service application state of the intelligent security networking system according to an embodiment of the present invention.
  • VTN information and security service setting information for each VTN are set to SDS (Self).
  • SDS Self
  • SCS SDN Controller System
  • CPS Chaining Pool System
  • SCS SDN Controller System
  • CPS chaining pool system
  • the Self-Defending System is a means for performing a packet monitoring by mirroring all data packets introduced through the Internet.
  • FIGS. 7 and 8 are diagrams illustrating an intrusion detection monitoring state through an intelligent security networking system according to an embodiment of the present invention.
  • SCS SDN Controller System
  • OCS OrChestration system
  • the OrChestration System receives traffic and resource information from a Self-Defending System (SDS), an SDN Controller System (SCS), and a Chaining Pool System (CPS) to determine whether traffic and resources are abnormal.
  • SDS Self-Defending System
  • SCS SDN Controller System
  • CCS Chaining Pool System
  • OrChestration system mirrors packet data from the SDS (Self-Defending System) to make an intrusion detection judgment.
  • SDS Self-Defending System
  • an error indication capture signal is sent to the manager of the IDC center. Send.
  • the OrChestration system receives and stores event signals from an SDS (Self-Defending System), an SDN Controller System (SCS), and a Chaining Pool System (CPS), determines an intrusion detection, and detects an intrusion. Invoke the service chaining algorithm.
  • SDS Self-Defending System
  • SCS SDN Controller System
  • CPS Chaining Pool System
  • OrChestration system receives traffic / resource information to determine whether a threshold is exceeded, calls a service chaining algorithm when exceeded, and receives security service status information to present security service node information.
  • 9, 10, 11, 12 and 13 are diagrams detailing a security service application state through an intelligent security networking system according to an embodiment of the present invention.
  • the intelligent security networking system is divided into a non-security when the security service is applied, and when the security service is applied, when the security service is not applied "OFS-FW-OFS-destination It performs security service path processing like
  • the OrChestration system receives the traffic / resource information to determine whether the threshold is exceeded, calls the service chaining algorithm when the threshold is exceeded, and receives the security service status information. Extract the optimal security service node information.
  • a security service path such as “OFS-LB-FW (or other FW) -OFS-destination” is extracted through auto-scaling.
  • OCS OrChestration system
  • the OrChestration system can derive a security service path, for example, if an increase in traffic and an abnormal packet are detected at the same time, “OFS-LB-FW (or other FW) -IPS. (Or other IPS) -OFS-destination ”.
  • the OCS OrderChestration system
  • the security platform information includes (but is not limited to) an abnormal traffic type, a physical port, a transmission address, and a destination address, and includes a Count item and an Actions item.
  • the security platform information includes (but is not limited to) abnormal traffic types, physical ports, send addresses, and destination addresses, and includes Count and Actions items.
  • the service chain list path setting in the high-strength security attack or traffic situation is illustrated as an example. However, this is only an example.
  • an appropriate algorithm is performed through an optimization algorithm that constructs a service chain list aggressively.
  • the optimization algorithm may be configured to set or detect a physical port, a destination address, and a send address separately from the Counts item to perform the subsequent processing. Can be).
  • the optimization algorithm can detect one or two or more items in parallel or sequentially to maximize the service throughput of the SDN.
  • each service chaining domain may be flexibly detected according to the service chaining domain.
  • you can set the service chain list path i.e. flow3 or more besides flow 1 and flow 2).
  • a user-tailored virtual application security chaining service can be provided for each VTN (Virtual Tenant Network) provided by an SDN network.
  • VTN Virtual Tenant Network
  • self-defense active response technology provides administrators with the convenience of automatically managing the network, while reducing operational costs by responding immediately to cyber attacks or failures.
  • high-performance / high-strength security services such as cloud data center virtual security service sector, closed network operation government agency security sector (major institutional network providers such as the Ministry of Public Administration and Security, civil service, police, and NIS), general enterprise security equipment, and CDN / Internet broadcasting It can be applied to the field required.
  • the intelligent security networking system according to an embodiment of the present invention is not limited only to the above-described embodiment, various changes are possible without departing from the technical gist of the present invention.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

본 발명은 지능형 보안 네트워킹 시스템에 관한 것으로, 서비스 확장성을 담보하는 가상 통신 네트워크에 이상징후 감지 및 트래픽 감지와 보안 서비스가 제공될 수 있게 최적의 보안 서비스 경로를 도출해내는 서비스 체이닝이 수행되도록 함으로써 가상 통신 네트워크의 보안성능을 강화시킨 지능형 보안 네트워킹 시스템을 제공함에 그 목적이 있다. 본 발명을 적용하면, IDC 센터에서 설정한 보안 서비스 정책을 유연하게 오픈플로우 스위치(또는 노드)의 포트에 적용할 수 있도록 하고, 인터넷에서 유입된 모든 패킷에 대해 실시간 감시하여 장애 발생 시점에서 망 내의 트래픽 흐름 및 침입감지 여부를 분석하여 최적의 보안 서비스 경로를 재구성하여 트래픽 전송의 연속성을 보장할 수 있고, 서비스 품질을 향상시킬 수 있다.

Description

지능형 보안 네트워킹 시스템 및 그 방법
본 발명은 지능형 보안 네트워킹 시스템에 관한 것으로, 보다 상세하게 서비스 확장성을 담보하는 가상 통신 네트워크에 이상징후 감지 및 트래픽 감지와 보안 서비스가 제공될 수 있게 최적의 보안 서비스 경로를 도출해내는 서비스 체이닝이 수행되도록 함으로써 가상 통신 네트워크의 보안성능을 강화시킨 것으로서, SDN(Software Defined Network)/NFV(Network Function Virtualization) 기반의 지능형 네트워크 보안 서비스 체이닝 최적화 기술을 활용하여 DDoS, APT(Advanced Persistent Threat) 등 신규 보안위협을 능동적으로 빠르게 방어/대응하는 신개념 자가 방어 및 자동 확장 가능한 L4/L7+ NFV/SDN 스마트 보안 네트워킹 시스템인 지능형 보안 네트워킹 시스템에 관한 것이다.
주지된 바와 같이, 네트워크 기술은 비즈니스, 가정 및 공공기관 등에서 매우 중요한 인프라의 일부가 되었다. 그러나, 현재의 네트워크는 라우터 또는 스위치 등의 통신 장치들을 포함하고 있으며, 이와 같은 통신 장치들은 복잡한 프로토콜과 기능들을 포함하고 있고 각 제조사에 따라 특성이 서로 다른 경우가 많기 때문에 기능 확장이나 상호 연동 등에 어려움을 겪고 있다.
특히, 기존 네트워크 및 보안장비들은 서비스가 고정되어 있어서 수용하기 어렵다는 문제가 있었다.
상기한 네트워크 기술의 문제점을 해결하기 위해 개방형 인터페이스를 갖는 스위치나 라우터 기술이 연구되었으나, 이러한 개방형 인터페이스를 제공하는 네트워크 기술은 성능 대비 가격이 높아 상용화에 걸림돌이 되었다.
오픈플로우(OpenFlow) 기술은 고비용 문제를 해결하면서 사용자 또는 개발자에게 개방형 표준 인터페이스를 제공하기 위해 출현하였다.
오픈플로우 기술은 네트워크 스위치의 패킷 포워딩 기능과 제어 기능을 분리하고 상기 두 기능간의 통신을 위한 프로토콜을 제공함으로써, 외부 제어장치에 의하여 구동되는 소프트웨어가 장비 제조사에 무관하게 스위치 내의 패킷 경로를 결정할 수 있도록 한다.
오픈플로우 시스템은 오픈플로우 스위치(switch)와 컨트롤러(controller)를 포함하며, 오픈플로우 스위치와 컨트롤러간에는 표준화된 오픈플로우 프로토콜을 사용하도록 구성하여 현재의 네트워크 기능을 수행하도록 구성한 것이 소프트웨어 정의 네트워킹(Software Defined Networking, 이하, SDN이라 약칭함) 망이다.
오픈플로우 스위치는 기본적인 스위칭 기능을 수행하며 플로우 테이블(flow table), 보안채널, 오픈플로우 프로토콜로 구성된다. 컨트롤러는 오픈플로우 프로토콜에 의하여 스위치 내부의 플로우 테이블을 작성하며, 여기에는 새로운 플로우를 등록하거나 삭제하는 기능을 포함한다.
오픈플로우 시스템에서 컨트롤러와 오픈플로우 스위치 노드의 동작을 위한 핵심 기능은 플로우 테이블이며, 플로우 테이블을 이용하여 오픈플로우 노드에 유입되는 패킷에 대하여 지정된 포트(port)로 포워딩(forwarding)하도록 함으로써 패킷을 처리한다.
그러나, 기존의 오픈플로우 시스템은 오픈플로우 스위치에서 포트 장애가 발생하는 경우 컨트롤러에서 장애 상태를 인지한 후 새로운 경로를 구성하는 포트를 설정하고, 설정된 포트에 상응하여 플로우 테이블을 갱신하는 절차를 수행하였기 때문에 장애에 대처하는 시간이 많이 소요되었고, 이로 인하여 장애에 대처하는 시간 동안에는 패킷이 전달되지 못하는 현상이 발생하였다.
또한, 망을 구성하는 노드들 중 하나의 특정 노드에 장애가 발생하는 경우, 경로를 재구성하고 플로우 테이블을 갱신하는 등의 장애 복구 시간 동안 트래픽 전송이 중단되는 문제점이 있었다.
따라서, SDN 망에서 장애가 발생하는 경우 트래픽 전송의 연속성을 보장할 수 있게 한 기술이 공개특허 10-2014-72343호를 통해 개시되어져 있다.
하지만, 이러한 종래의 기술도 역시 SDN환경으로 마이그레이션 하기 위해 콘트롤러나 오픈플로우 스위치들을 지원하는 상용 스위치 또한 인프라 서비스를 위한 서비스 체이닝 지원 성능이 부족하다는 문제가 있었다.
또한, 기존 네트워크 보안시스템(Firewall, IPS, IDS 등)은 특정 기능만 수행하는 전용하드웨어로 시스템마다 최대 처리량 고정되어 있어 DDos나 APT공격을 받는 경우 신속하게 대응이 불가능한 문제점이 있었다. 즉, 기존 네트워크 장비는 제어기능(control plane)과 데이터전달 기능(data plane)을 동시에 수행하는 네트워크 장비로 상황에 따라 신속하게 트래픽 제어가 불가능한 문제점이 있었다.
본 발명은 상기한 종래 기술의 사정을 감안하여 이루어진 것으로, 서비스 확장성을 담보하는 가상 통신 네트워크에 이상징후 감지 및 트래픽 감지와 보안 서비스가 제공될 수 있게 최적의 보안 서비스 경로를 도출해내는 서비스 체이닝이 수행되도록 함으로써 가상 통신 네트워크의 보안성능을 강화시킨 지능형 보안 네트워킹 시스템을 제공함에 그 목적이 있다.
상기한 목적을 달성하기 위해, 본 발명의 바람직한 실시예에 따르면 소프트웨어 정의 네트워킹 망(SDN)의 노드에서 수행되는 지능형 보안 네트워킹 방법에 있어서, a) VTN(Virtual Tenant Network) 정보를 설정하는 과정과; b) VTN별 보안 서비스 정보를 설정하는 과정과; c) 네트워크로 유입된 패킷을 감시하는 과정과; d) 보안 정책 적용여부를 판단하는 과정과; e) 서비스 체이닝을 통한 서비스 재구성 과정을 포함하여 이루어진 것을 특징으로 하는 지능형 보안 네트워킹 방법이 제공된다.
바람직하게, 상기 a) 과정은 OCS(OrChestration system)가 VTN의 이름이나 설명을 입력받는 과정과; OCS(OrChestration system)가 IP 또는 Mac 또는 VLAN과 같은 VTN 식별방식을 입력받는 과정과; OCS(OrChestration system)가 VTN 내의 호스트 서버의 IP나 Mac 또는 VLAN 정보를 입력받는 과정을 포함하여 이루어진 것을 특징으로 하는 지능형 보안 네트워킹 방법이 제공된다.
바람직하게, 상기 b) 과정은 CPS(Chainning Pool System)에 복수의 VTN에 대해 각각 보안 서비스 기능을 할당하는 과정과; CPS(Chainning Pool System)에 보안 이상신호 발생시 대응 정책을 설정하는 과정을 포함하여 이루어진 것을 특징으로 하는 지능형 보안 네트워킹 방법이 제공된다.
바람직하게, 상기 c) 과정은 OCS(OrChestration system)가 SDS(Self-Defending System) 및 SCS(SDN Controller System) 및 CPS(Chainning Pool System)로부터 이벤트 신호를 수신하여 저장하고 침입감지를 판단하며, 침입 감지시 서비스 체이닝 알고리즘을 호출하는 과정과; 트래픽/리소스 정보를 수신하여 임계치 초과여부를 판단하여 초과시 서비스 체이닝 알고리즘을 호출하는 과정과; 보안 서비스 현황정보를 수신하여 보안 서비스 노드정보를 현황화하는 과정을 포함하여 이루어진 것을 특징으로 하는 지능형 보안 네트워킹 방법이 제공된다.
바람직하게, 상기 d) 과정은 OCS(OrChestration system)가 VTN별 보안 서비스 생성을 CPS로 요청하여 가상머신을 생성하는 과정과; 평시에 필요한 보안서비스는 Running 상태로 유지되게 하며, 이상징후 발생시 필요한 보안 서비스는 IDLE 상태로 유지되게 관리하는 과정이 더 포함된 것을 특징으로 하는 지능형 보안 네트워킹 방법이 제공된다.
바람직하게, 상기 e) 과정은 OCS(OrChestration system)가 서비스 체이닝을 통해 최적의 보안 서비스 경로를 도출하는 과정인 것을 특징으로 하는 지능형 보안 네트워킹 방법이 제공된다.
한편, 본 발명은 IDC 센터 관리자의 VTN 및 VTN별 보안 설정값을 인가받아 등록하고, VTN 및 VTN별 보안 설정정보를 CPS 및 SCS 및 SDS에 적용하며, 이상징후 감지신호를 인가받아 서비스 체이닝을 수행하고 보안 서비스 경로를 도출해내는 OCS와; 상기 OCS로부터 VTN 및 VTN별 보안 설정정보를 인가받아 VTN별 경로정보를 오픈 플로우 스위치에 적용시키는 SCS와; 상기 OCS로부터 VTN 및 VTN별 보안 설정정보를 인가받고 보안서비스 생성신호를 인가받아 보안 서비스 가상머신을 생성하고 인터넷을 통해 유입된 패킷을 가상머신을 구동하여 보안서비스 현황을 체크하는 CPS와; 상기 OCS로부터 VTN 및 VTN별 보안 설정정보를 인가받고 유입된 패킷을 미러링받아 감시하는 SDS로 구성된 것을 특징으로 하는 지능형 보안 네트워킹 시스템이 제공된다.
본 발명에 따른 지능형 보안 네트워킹 시스템은 IDC 센터에서 설정한 보안 서비스 정책을 유연하게 오픈플로우 스위치(또는 노드)의 포트에 적용할 수 있도록 하고, 인터넷에서 유입된 모든 패킷에 대해 실시간 감시하여 장애 발생 시점에서 망 내의 트래픽 흐름 및 침입감지 여부를 분석하여 최적의 보안 서비스 경로를 재구성하여 트래픽 전송의 연속성을 보장할 수 있고, 서비스 품질을 향상시킬 수 있다.
본 발명에 의하면, SDN 망에서 제공하는 VTN(Virtual Tenant Network) 별로 사용자 맞춤형 가상 응용 보안 체이닝 서비스 제공 가능하다.
또한, 패쇄망 구조에서 클라우드 연결망에 대한 안전한 네트워크 동적 서비스 보호 환경을 구축 제공함으로써 NFV/SDN 조기 상용화 및 활성화에 기여하게 된다.
또한, 자가방어 능동 대응 기술은 관리자가 망을 자동으로 관리하는 편리함을 제공함과 동시에 사이버 공격이나 장애에 즉각적으로 대응함으로써 운용 비용 절감이 가능하다.
또한, NFV와 SDN의 결합은 정보 보호 응용뿐만 아니라 다양한 모든 네트워크 서비스 분야에 장비 기능 가상화와 서비스 체이닝 기술을 적용할 수 있기 때문에 향후 기술적 파급력이 매우 크다.
따라서, 클라우드 데이터 센터 가상 보안 서비스 분야, 폐쇄망 운영 정부 기관 보안 분야(행정안전부, 기무사, 경찰, 국정원 등 주요 기관망 제공자), 일반 엔터프라이즈 보안 장비, CDN/인터넷 방송 등과 같은 고성능/고강도의 보안 서비스가 요구되는 분야 등에 응용할 수 있다.
도 1은 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템의 개략적인 구성을 도시한 모식도,
도 2는 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템을 통한 처리과정을 도시한 신호흐름도,
도 3은 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템을 통한 VTN 정보설정상태를 도시한 도면,
도 5 및 도 6은 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템을 통한 보안서비스 설정상태를 도시한 도면,
도 7은 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템의 보안서비스 적용상태를 도시한 도면,
도 8 및 도 9는 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템을 통한 침입감지 모니터링상태를 도시한 도면,
도 10, 도 11, 도 12 및 도 13은 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템을 통한 보안서비스 적용상태를 구체화한 도면이다.
도 14는 본 발명에 따른 지능형 보안 네트워킹 시스템을 통한 서비스 체이닝 리스트 경로 설정 핵심 알고리즘을 나타낸다.
상기한 목적을 달성하기 위해, 본 발명의 바람직한 실시예에 따르면 소프트웨어 정의 네트워킹 망(SDN)의 노드에서 수행되는 지능형 보안 네트워킹 방법에 있어서, a) VTN(Virtual Tenant Network) 정보를 설정하는 과정과; b) VTN별 보안 서비스 정보를 설정하는 과정과; c) 네트워크로 유입된 패킷을 감시하는 과정과; d) 보안 정책 적용여부를 판단하는 과정과; e) 서비스 체이닝을 통한 서비스 재구성 과정을 포함하여 이루어진 것을 특징으로 하는 지능형 보안 네트워킹 방법이 제공된다.
바람직하게, 상기 a) 과정은 OCS(OrChestration system)가 VTN의 이름이나 설명을 입력받는 과정과; OCS(OrChestration system)가 IP 또는 Mac 또는 VLAN과 같은 VTN 식별방식을 입력받는 과정과; OCS(OrChestration system)가 VTN 내의 호스트 서버의 IP나 Mac 또는 VLAN 정보를 입력받는 과정을 포함하여 이루어진 것을 특징으로 하는 지능형 보안 네트워킹 방법이 제공된다.
바람직하게, 상기 b) 과정은 CPS(Chainning Pool System)에 복수의 VTN에 대해 각각 보안 서비스 기능을 할당하는 과정과; CPS(Chainning Pool System)에 보안 이상신호 발생시 대응 정책을 설정하는 과정을 포함하여 이루어진 것을 특징으로 하는 지능형 보안 네트워킹 방법이 제공된다.
바람직하게, 상기 c) 과정은 OCS(OrChestration system)가 SDS(Self-Defending System) 및 SCS(SDN Controller System) 및 CPS(Chainning Pool System)로부터 이벤트 신호를 수신하여 저장하고 침입감지를 판단하며, 침입 감지시 서비스 체이닝 알고리즘을 호출하는 과정과; 트래픽/리소스 정보를 수신하여 임계치 초과여부를 판단하여 초과시 서비스 체이닝 알고리즘을 호출하는 과정과; 보안 서비스 현황정보를 수신하여 보안 서비스 노드정보를 현황화하는 과정을 포함하여 이루어진 것을 특징으로 하는 지능형 보안 네트워킹 방법이 제공된다.
바람직하게, 상기 d) 과정은 OCS(OrChestration system)가 VTN별 보안 서비스 생성을 CPS로 요청하여 가상머신을 생성하는 과정과; 평시에 필요한 보안서비스는 Running 상태로 유지되게 하며, 이상징후 발생시 필요한 보안 서비스는 IDLE 상태로 유지되게 관리하는 과정이 더 포함된 것을 특징으로 하는 지능형 보안 네트워킹 방법이 제공된다.
바람직하게, 상기 e) 과정은 OCS(OrChestration system)가 서비스 체이닝을 통해 최적의 보안 서비스 경로를 도출하는 과정인 것을 특징으로 하는 지능형 보안 네트워킹 방법이 제공된다.
한편, 본 발명은 IDC 센터 관리자의 VTN 및 VTN별 보안 설정값을 인가받아 등록하고, VTN 및 VTN별 보안 설정정보를 CPS 및 SCS 및 SDS에 적용하며, 이상징후 감지신호를 인가받아 서비스 체이닝을 수행하고 보안 서비스 경로를 도출해내는 OCS와; 상기 OCS로부터 VTN 및 VTN별 보안 설정정보를 인가받아 VTN별 경로정보를 오픈 플로우 스위치에 적용시키는 SCS와; 상기 OCS로부터 VTN 및 VTN별 보안 설정정보를 인가받고 보안서비스 생성신호를 인가받아 보안 서비스 가상머신을 생성하고 인터넷을 통해 유입된 패킷을 가상머신을 구동하여 보안서비스 현황을 체크하는 CPS와; 상기 OCS로부터 VTN 및 VTN별 보안 설정정보를 인가받고 유입된 패킷을 미러링받아 감시하는 SDS로 구성된 것을 특징으로 하는 지능형 보안 네트워킹 시스템이 제공된다.
이하, 본 발명에 대해 도면을 참조하여 상세하게 설명한다.
본 발명은 SDN 기반 고신뢰 자가방어 스마트 보안시스템에 관한 것으로서, 사업자들이 안심하고 쉽게 네트워크를 사용할 수 있게 아래와 같은 기능 제공한다.
-네트워크 자가방어를 위한 SDN 기반 스마트 보안 플랫폼 기술
- Secure NFV 서비스 체이닝 경로 계산 및 플로우 제어용 SDN 기반 통합 보안 제어기 기술
- SDN 기반 스마트 보안 플랫폼 및 서비스 체이닝 정책 관리 및 오케스트레이션 기술
- SDN 기반 스마트 보안 플랫폼 정보보호 응용 서비스 기술
도 1은 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템의 개략적인 구성을 도시한 모식도, 도 2는 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템을 통한 처리과정을 도시한 신호흐름도이다.
이를 참조하면, 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템은 서비스 확장성을 담보하는 가상 통신 네트워크에 이상징후 감지 및 트래픽 감지와 보안 서비스가 제공될 수 있게 최적의 보안 서비스 경로를 도출해내는 서비스 체이닝이 수행되도록 함으로써 가상 통신 네트워크의 보안성능을 강화시킨 시스템이다.
*보다 상세하게, 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템은 IDC 센터 관리자의 VTN 및 VTN별 보안 설정값을 인가받아 등록하고, VTN 및 VTN별 보안 설정정보를 CPS(Chainning Pool System:14) 및 SCS(SDN Controller System:12) 및 SDS(Self-Defending System:16)에 적용하며, 이상징후 감지신호를 인가받아 서비스 체이닝을 수행하고 보안 서비스 경로를 도출해내는 OCS(OrChestration system:6)와; 상기 OCS(OrChestration system: 6)로부터 VTN 및 VTN별 보안 설정정보를 인가받아 VTN별 경로정보를 오픈 플로우 스위치에 적용시키는 SCS(SDN Controller System: 12)와; 상기 OCS(OrChestration system: 6)로부터 VTN 및 VTN별 보안 설정정보를 인가받고 보안서비스 생성신호를 인가받아 보안 서비스 가상머신을 생성하고 인터넷을 통해 유입된 패킷을 가상머신을 구동하여 보안서비스 현황을 체크하는 CPS(Chainning Pool System: 14)와; 상기 OCS(OrChestration system: 6)로부터 VTN 및 VTN별 보안 설정정보를 인가받고 유입된 패킷을 미러링받아 감시하는 SDS(Self-Defending System: 16)로 구성된다.
본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템은 포함된 NFV 오케스트레이션을 수행할 수 있게 하며, 이를 통해 네트워크 기능의 보안 서비스 전환이 빠르게 이루어짐으로써 장비의 운용과 관리가 최적상태로 유지될 수 있도록 하며 매우 다이나믹한 서비스 체이닝이 가능하다.
본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템은 소프트웨어 정의 네트워킹 망(SDN) 환경의 IDC 센터내 구성으로 이루어지며, IDC 센터는 Argos system(2)과 Legacy system(4)으로 이루어지며, Argos system내에 구성된 오픈플로우 스위치(10)에 SCS(12), CPS(14), SDS(16), firewall(18), IDS(20), IPS(22)가 병렬 구조로 접속되어져 있으며, 상기 SCS, CPS, SDS, firewall, IDS, IPS는 L2를 매개하여 OCS 및 DB와 접속되어져 있다.
즉, 상기 OCS는 상기 SCS, CPS, SDS, firewall, IDS, IPS와 연동되어 네트워크 기능 가상화와 서비스 체이닝을 수행한다.
이를 위해, 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템은 소프트웨어 정의 네트워킹 망(SDN)의 노드에서 수행되는 지능형 보안 네트워킹 환경에서,
a) VTN 정보를 설정하는 과정과;
b) VTN별 보안 서비스 정보를 설정하는 과정과;
c) 네트워크로 유입된 패킷을 감시하는 과정과;
d) 보안 정책 적용여부를 판단하는 과정과;
e) 서비스 체이닝을 통한 서비스 재구성 과정을 포함하여 이루어진 처리를 수행한다.
도 3은 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템을 통한 VTN 정보설정상태를 도시한 도면이다.
이를 참조하면, 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템을 통해 IDC 센터 관리자는 도 2의 a) 과정인 VTN 정보 설정을 수행할 수 있는 바, IDC 센터 관리자가 상기 OCS(OrChestration system)에 VTN 정보 설정을 수행한다.
따라서, 상기 OCS(OrChestration system)가 VTN의 이름이나 설명을 입력받고, OCS(OrChestration system)가 IP 또는 Mac 또는 VLAN과 같은 VTN 식별방식을 입력받고, OCS(OrChestration system)가 VTN 내의 호스트 서버의 IP나 Mac 또는 VLAN 정보를 입력받는 과정을 거친다.
도 4 및 도 5는 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템을 통한 보안서비스 설정상태를 도시한 도면이다.
이를 참조하면, 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템을 통해 IDC 센터 관리자는 도 2의 b) 과정인 VTN별 보안 서비스 정보 설정을 수행할 수 있는 바, IDC 센터 관리자가 상기 OCS(OrChestration system)에 VTN 보안 서비스 정보 설정을 수행한다.
따라서, IDC 센터 관리자가 상기 OCS(OrChestration system)에 VTN 보안 서비스 정보 설정을 수행하고, 상기 OCS(OrChestration system)는 CPS(Chainning Pool System)에 복수의 VTN에 대해 각각 보안 서비스 기능을 할당한다.
또한, 상기 OCS(OrChestration system)는 상기 CPS(Chainning Pool System)에 보안 이상신호 발생시 대응 정책을 설정한다.
VTN별 보안 서비스의 정책 수립 및 설정은 도 4b에 도시된 바와 같이, 평시에는 “OFS-FW-OFS-목적지”와 같은 보안 서비스 경로 처리를 수행하고, 트래픽이 증가하게 되면 오토 스케일링(auto-scaling)을 통해 “OFS-LB-FW(또는 다른 FW)-OFS-목적지”와 같은 보안 서비스 경로를 추출하도록 설정 가능하다.
또한, 이상 패킷이 감지되면 “OFS1-FW-IPS-OFS3-목적지”와 같은 보안 서비스 경로를 추출하도록 설정 가능하며, 트래픽 증가 및 이상 패킷이 동시에 감지되면 “OFS-LB-FW(또는 다른 FW)-IPS(또는 다른 IPS)-OFS-목적지”와 같은 보안 서비스 경로를 추출하도록 설정 가능하다.
도 6은 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템의 보안서비스 적용상태를 도시한 도면이다.
이를 참조하면, 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템은 선행 과정에서 IDS 센터 관리자가 OCS(OrChestration system)를 통해 VTN 정보의 설정이후, VTN 정보와 VTN별 보안 서비스 설정정보를 SDS(Self-Defending System) 및 SCS(SDN Controller System) 및 CPS(Chainning Pool System)에 적용한다.
SCS(SDN Controller System)은 보안 서비스를 VTN별 경로정보를 오픈 플로우 스위치에 적용시킬 수 있으며, 인터넷에서 유입된 패킷은 CPS(Chainning Pool System)내의 보안 서비스를 경유하여 목적지 노드의 호스트에 도달하게 된다.
또한, SDS(Self-Defending System)는 인터넷을 통해 유입된 모든 데이터 패킷을 미러링받아서 패킷 감시를 수행하는 수단이다.
도 7 및 도 8은 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템을 통한 침입감지 모니터링상태를 도시한 도면이다.
이를 참조하면, 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템을 통한 침입감지 모니터링은 SCS(SDN Controller System)은 보안 서비스를 VTN별 경로정보를 오픈 플로우 스위치에 적용시키는 것으로, OCS(OrChestration system)를 통해 침입감지 모니터링이 이루어진다.
OCS(OrChestration system)는 SDS(Self-Defending System) 및 SCS(SDN Controller System) 및 CPS(Chainning Pool System)로부터 트래픽 및 리소스 정보를 수신받아 트래픽과 리소스의 이상유무를 판단한다.
또한, OCS(OrChestration system)는 SDS(Self-Defending System)로부터 패킷데이터를 미러링하여 침입감지에 대한 판단을 수행하는 바, 트래픽이 증가하거나 이상 징후가 포착되면 상기 IDC 센터의 관리자에게 이상 징후 포착신호를 송신한다.
보다 상세하게는, 상기 OCS(OrChestration system)는 SDS(Self-Defending System) 및 SCS(SDN Controller System) 및 CPS(Chainning Pool System)로부터 이벤트 신호를 수신하여 저장하고 침입감지를 판단하며, 침입 감지시 서비스 체이닝 알고리즘을 호출한다.
그리고, 상기 OCS(OrChestration system)는 트래픽/리소스 정보를 수신하여 임계치 초과여부를 판단하여 초과시 서비스 체이닝 알고리즘을 호출하고, 보안 서비스 현황정보를 수신하여 보안 서비스 노드정보를 현황화한다.
도 9, 도 10, 도 11, 도 12 및 도 13은 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템을 통한 보안서비스 적용상태를 구체화한 도면이다.
이를 참조하면, 본 발명의 일실시예에 따른 지능형 보안 네트워킹 시스템은 보안서비스가 적용되지 않는 평시와, 보안 서비스 적용시로 구분되고, 보안 서비스가 적용되지 않는 평시에는 “OFS-FW-OFS-목적지”와 같은 보안 서비스 경로 처리를 수행한다.
만약, 보안 서비스 정책을 적용하여 트래픽 증가가 감지된 경우라면, 상기 OCS(OrChestration system)는 트래픽/리소스 정보를 수신하여 임계치 초과여부를 판단하여 초과시 서비스 체이닝 알고리즘을 호출하고, 보안 서비스 현황정보를 수신하여 최적의 보안 서비스 노드정보를 추출한다.
바람직하게, 트래픽 증가시에는 오토 스케일링(auto-scaling)을 통해 “OFS-LB-FW(또는 다른 FW)-OFS-목적지”와 같은 보안 서비스 경로를 추출한다.
한편, 상기 OCS(OrChestration system)는 트래픽/리소스 정보 사용량 및 이상징후 보안 이벤트 신호를 수신하고, 보안 서비스 현황을 체크하여 Flood 유형 또는 Dos 유형, SYN 유형인지, 단순 서비스 트래픽 증가인지 등의 공격 유형을 판단할 수 있다.
이상 징후에 대한 공격 유형을 판단한 후, 상기 OCS(OrChestration system)는 보안 서비스 경로를 도출할 수 있는 바, 예컨대 트래픽 증가 및 이상 패킷이 동시에 감지되면 “OFS-LB-FW(또는 다른 FW)-IPS(또는 다른 IPS)-OFS-목적지”와 같은 보안 서비스 경로를 추출할 수 있다.
한편, 상기 OCS(OrChestration system)는 VTN별 보안 서비스 생성을 CPS로 요청하여 가상머신을 생성하여, 평시에 필요한 보안서비스는 Running 상태로 유지되게 하며, 이상징후 발생시 필요한 보안 서비스는 IDLE 상태로 유지되게 관리한다.
도 14를 참조하면, 서비스 체이닝 리스트 경로 설정 핵심 알고리즘을 나타낸다.
보안공격의 강도나 트랙픽의 강도에 따라 SDN 네트워크의 방어 능력을 향상시키기 위해 동적으로 서비스 체인 리스트를 구성하는 최적화 알고리즘을 개발하였다. 즉, 도 14에서 보여 진 바와 같이, flow 2를 처리하는 서비스 체이닝 도메인 #1에 위치한 가상 보안 응용 서비스들의 처리 용량이 한계에 이른 상황에서 고강도 보안 공격 혹은 트래픽이 flow 1을 통해 SDN으로 유입되는 경우를 가정한다. 이때, flow 1을 서비스 체이닝 도메인 #2에 위치한 가상 보안 응용 서비스(vLB)를 이용하여 처리하도록 서비스 체인 리스트 경로를 설정함(Service Chain Table 참조)으로써 SDN의 서비스 처리율을 최대화하였다.
도 14에서 OFSW_1의 서비스 체인 테이블을 살펴보면, 보안플랫폼 정보에는 이상 트래픽유형과, 물리포트, 송신주소, 착신주소 항목을 포함하며(그러나 이에 제한되지 않음), Count항목과 Actions 항목을 구비하고 있다.
OFSW_2의 서비스 체인 테이블을 살펴보면, 보안플랫폼 정보에는 이상 트래픽유형과, 물리포트, 송신주소, 착신주소 항목을 포함하며(그러나 이에 제한되지 않음), Count항목과 Actions 항목을 구비하고 있다.
도 14에서 고강도 보안 공격 혹은 트래픽 상황에서의 서비스 체인 리스트 경로 설정이 예시로 도시되고 있다. 그러나 이는 예시일 뿐 보안 공격의 강도나 트래픽의 강도에 따라 SDN네트워크의 방어 능력을 향상시키기 위해 공격적으로 서비스 체인 리스트를 구성화하는 최적화 알고리즘을 통해 적절한 처리과정을 수행하여(상기 테이블외에 별도의 항목이 추가될 수 있다. 예를 들면 보안 공격의 강도를 Counts 항목과 별도로 물리포트, 착신주소, 송신주소를 중점적으로 설정하거나(setting) 또는 감지(detect)하여 이후 처리를 수행하도록 최적화 알고리즘이 구성될 수 있다). 또한 최적화 알고리즘은 하나 또는 두 개 이상의 항목을 병행하여 순차적으로 혹은 교차하여 감지한 후 SDN의 서비스 처리율을 최대화 할 수 있다. 물론 이 과정에서 SDN의 서비스 처리율을 향상시키기 위하여 처리후의 비율을 피드백 받아서 시간 전후를 비교하여 비교결과를 통해 다시 서비스 처리율이 높은쪽으로 최적화 알고리즘이 구현될 수 있다. 또한 상기 테이블에서 이상트래픽 유형의 종류를 다양화하고 적절한 다른 세팅을 할 수도 있는데, 이때 도 14에서 도시된 바와 같이, 서비스 체이닝 도메인(service chainging domain)에 따라 각각의 서비스 체이닝 도메인을 감지하여 탄력적으로 서비스 체인 리스트 경로를 설정할 수 있음은 물론 가능하다(즉 flow 1, flow 2외에 flow3 이상 도 가능하다).
본 발명에 의하면, SDN 망에서 제공하는 VTN(Virtual Tenant Network) 별로 사용자 맞춤형 가상 응용 보안 체이닝 서비스 제공 가능하다.
또한, 패쇄망 구조에서 클라우드 연결망에 대한 안전한 네트워크 동적 서비스 보호 환경을 구축 제공함으로써 NFV/SDN 조기 상용화 및 활성화에 기여하게 된다.
또한, 자가방어 능동 대응 기술은 관리자가 망을 자동으로 관리하는 편리함을 제공함과 동시에 사이버 공격이나 장애에 즉각적으로 대응함으로써 운용 비용 절감이 가능하다.
또한, NFV와 SDN의 결합은 정보 보호 응용뿐만 아니라 다양한 모든 네트워크 서비스 분야에 장비 기능 가상화와 서비스 체이닝 기술을 적용할 수 있기 때문에 향후 기술적 파급력이 매우 크다.
따라서, 클라우드 데이터 센터 가상 보안 서비스 분야, 폐쇄망 운영 정부 기관 보안 분야(행정안전부, 기무사, 경찰, 국정원 등 주요 기관망 제공자), 일반 엔터프라이즈 보안 장비, CDN/인터넷 방송 등과 같은 고성능/고강도의 보안 서비스가 요구되는 분야 등에 응용할 수 있다.
한편, 본 발명의 실시예에 따른 지능형 보안 네트워킹 시스템은 단지 상기한 실시예에 한정되는 것이 아니라 그 기술적 요지를 이탈하지 않는 범위내에서 다양한 변경이 가능하다.

Claims (7)

  1. 소프트웨어 정의 네트워킹 망(SDN)의 노드에서 수행되는 지능형 보안 네트워킹 방법에 있어서,
    a) VTN(Virtual Tenant Network) 정보를 설정하는 과정과;
    b) VTN별 보안 서비스 정보를 설정하는 과정과;
    c) 네트워크로 유입된 패킷을 감시하는 과정과;
    d) 보안 정책 적용여부를 판단하는 과정과;
    e) 서비스 체이닝을 통한 서비스 재구성 과정을 포함하여 이루어진 것을 특징으로 하는 지능형 보안 네트워킹 방법.
  2. 제 1항에 있어서,
    상기 a) 과정은,
    OCS(OrChestration system)가 VTN의 이름이나 설명을 입력받는 과정과;
    OCS(OrChestration system)가 IP 또는 Mac 또는 VLAN과 같은 VTN 식별방식을 입력받는 과정과;
    OCS(OrChestration system)가 VTN 내의 호스트 서버의 IP나 Mac 또는 VLAN 정보를 입력받는 과정을 포함하여 이루어진 것을 특징으로 하는 지능형 보안 네트워킹 방법.
  3. 제 1항에 있어서,
    상기 b) 과정은,
    CPS(Chainning Pool System)에 복수의 VTN에 대해 각각 보안 서비스 기능을 할당하는 과정과;
    CPS(Chainning Pool System)에 보안 이상신호 발생시 대응 정책을 설정하는 과정을 포함하여 이루어진 것을 특징으로 하는 지능형 보안 네트워킹 방법.
  4. 제 1항에 있어서,
    상기 c) 과정은,
    OCS(OrChestration system)가 SDS(Self-Defending System) 및 SCS(SDN Controller System) 및 CPS(Chainning Pool System)로부터 이벤트 신호를 수신하여 저장하고 침입감지를 판단하며, 침입 감지시 서비스 체이닝 알고리즘을 호출하는 과정과;
    트래픽/리소스 정보를 수신하여 임계치 초과여부를 판단하여 초과시 서비스 체이닝 알고리즘을 호출하는 과정과;
    보안 서비스 현황정보를 수신하여 보안 서비스 노드정보를 현황화하는 과정을 포함하여 이루어진 것을 특징으로 하는 지능형 보안 네트워킹 방법.
  5. 제 1항에 있어서,
    상기 d) 과정은,
    OCS(OrChestration system)가 VTN별 보안 서비스 생성을 CPS로 요청하여 가상머신을 생성하는 과정과;
    평시에 필요한 보안서비스는 Running 상태로 유지되게 하며,
    이상징후 발생시 필요한 보안 서비스는 IDLE 상태로 유지되게 관리하는 과정이 더 포함된 것을 특징으로 하는 지능형 보안 네트워킹 방법.
  6. 제 1항에 있어서,
    상기 e) 과정은,
    OCS(OrChestration system)가 서비스 체이닝을 통해 최적의 보안 서비스 경로를 도출하는 과정인 것을 특징으로 하는 지능형 보안 네트워킹 방법.
  7. IDC 센터 관리자의 VTN 및 VTN별 보안 설정값을 인가받아 등록하고, VTN 및 VTN별 보안 설정정보를 CPS 및 SCS 및 SDS에 적용하며, 이상징후 감지신호를 인가받아 서비스 체이닝을 수행하고 보안 서비스 경로를 도출해내는 OCS와;
    상기 OCS로부터 VTN 및 VTN별 보안 설정정보를 인가받아 VTN별 경로정보를 오픈 플로우 스위치에 적용시키는 SCS와;
    상기 OCS로부터 VTN 및 VTN별 보안 설정정보를 인가받고 보안서비스 생성신호를 인가받아 보안 서비스 가상머신을 생성하고 인터넷을 통해 유입된 패킷을 가상머신을 구동하여 보안서비스 현황을 체크하는 CPS와;
    상기 OCS로부터 VTN 및 VTN별 보안 설정정보를 인가받고 유입된 패킷을 미러링받아 감시하는 SDS로 구성된 것을 특징으로 하는 지능형 보안 네트워킹 시스템.
PCT/KR2015/005452 2014-12-19 2015-06-01 지능형 보안 네트워킹 시스템 및 그 방법 WO2016098968A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2014-0184567 2014-12-19
KR1020140184567A KR101615045B1 (ko) 2014-12-19 2014-12-19 지능형 보안 네트워킹 시스템 및 그 방법

Publications (1)

Publication Number Publication Date
WO2016098968A1 true WO2016098968A1 (ko) 2016-06-23

Family

ID=55918533

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2015/005452 WO2016098968A1 (ko) 2014-12-19 2015-06-01 지능형 보안 네트워킹 시스템 및 그 방법

Country Status (2)

Country Link
KR (1) KR101615045B1 (ko)
WO (1) WO2016098968A1 (ko)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018117336A1 (ko) * 2016-12-20 2018-06-28 성균관대학교산학협력단 오류 복구를 위한 오픈플로우 스위치, 오픈플로우 컨트롤러 및 오류 복구 방법
CN109491668A (zh) * 2018-10-11 2019-03-19 浙江工商大学 一种sdn/nfv服务部署的拟态防御构架及方法
CN114629853A (zh) * 2022-02-28 2022-06-14 天翼安全科技有限公司 安全资源池中基于安全服务链解析的流量分类控制方法
US11968231B2 (en) 2021-08-04 2024-04-23 International Business Machines Corporation Intelligent request routing within service mesh

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102281757B1 (ko) * 2015-02-27 2021-07-26 에스케이텔레콤 주식회사 Sdn 기반의 네트워크 모니터링 장치 및 방법
KR101833712B1 (ko) * 2016-05-31 2018-03-02 아토리서치(주) 소프트웨어 정의 네트워킹을 이용하여 서비스 기능 체인을 운용하는 방법, 장치 및 컴퓨터 프로그램
KR102068622B1 (ko) * 2019-03-14 2020-01-21 차수정 이기종 네트워크 보안시스템을 위한 빅데이타 분석기반의 지능형 장애예측 시스템

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20040055895A (ko) * 2002-12-23 2004-06-30 한국전자통신연구원 광역망에서의 차등 보안 서비스 장치 및 방법
KR20140072343A (ko) * 2012-12-03 2014-06-13 한국전자통신연구원 Ｓｄｎ 망의 장애 대처 방법

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20040055895A (ko) * 2002-12-23 2004-06-30 한국전자통신연구원 광역망에서의 차등 보안 서비스 장치 및 방법
KR20140072343A (ko) * 2012-12-03 2014-06-13 한국전자통신연구원 Ｓｄｎ 망의 장애 대처 방법

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
"Contrail Architecture", JUNIPER NETWORKS, WHITE PAPER, 2013, Retrieved from the Internet <URL:http://www.juniper.net/us/en/local/pdf/whitepapers/2000535-en.pdf> *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018117336A1 (ko) * 2016-12-20 2018-06-28 성균관대학교산학협력단 오류 복구를 위한 오픈플로우 스위치, 오픈플로우 컨트롤러 및 오류 복구 방법
CN109491668A (zh) * 2018-10-11 2019-03-19 浙江工商大学 一种sdn/nfv服务部署的拟态防御构架及方法
US11968231B2 (en) 2021-08-04 2024-04-23 International Business Machines Corporation Intelligent request routing within service mesh
CN114629853A (zh) * 2022-02-28 2022-06-14 天翼安全科技有限公司 安全资源池中基于安全服务链解析的流量分类控制方法

Also Published As

Publication number Publication date
KR101615045B1 (ko) 2016-04-22

Similar Documents

Publication Publication Date Title
WO2016098968A1 (ko) 지능형 보안 네트워킹 시스템 및 그 방법
Shin et al. Enhancing network security through software defined networking (SDN)
CN108040057B (zh) 适于保障网络安全、网络通信质量的sdn***的工作方法
CN107623663B (zh) 处理网络流量的方法及装置
EP1624644B1 (en) Privileged network routing
US20070101422A1 (en) Automated network blocking method and system
WO2015152436A1 (ko) Sdn 기반의 서비스 체이닝 시스템
US11949654B2 (en) Distributed offload leveraging different offload devices
WO2012172509A2 (en) Systems and methods that perform application request throttling in a distributed computing environment
EP2158728B1 (en) Data driven connection fault management (ddcfm) in cfm maintenance points
WO2017122849A1 (ko) 사물 인터넷 네트워크 시스템
Spiekermann et al. Network forensic investigation in OpenFlow networks with ForCon
US8699489B2 (en) Method and arrangement for transferring data packets
WO2020130158A1 (ko) 오픈 프론트홀 네트워크 시스템
US20150229659A1 (en) Passive detection of malicious network-mapping software in computer networks
Almaini et al. Delegation of authentication to the data plane in software-defined networks
Han et al. State-aware network access management for software-defined networks
WO2021020935A1 (ko) 차량 내부 네트워크에 대한 sdn 기반의 침입 대응 방법 및 이를 이용한 시스템
KR20200069632A (ko) 소프트웨어 정의 네트워크를 이용하여 디도스 공격을 회피하는 방법, 장치 및 컴퓨터 프로그램
US9912575B2 (en) Routing network traffic packets through a shared inline tool
Matties Distributed responder ARP: Using SDN to re-engineer ARP from within the network
KR20160036182A (ko) 레거시 네트워크 프로토콜 기능과 ｓｄｎ 기능이 하이브리드하게 동작하는 오픈플로우 동작 방법
Katsura et al. Quick blocking operation of firewall system cooperating with IDS and SDN
Chukwu et al. One pass packet steering (OPPS) for stateless policy chains in multi-subscriber SDN
Rajaboevich et al. Method for implementing traffic filtering in SDN networks

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15870136

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 15870136

Country of ref document: EP

Kind code of ref document: A1