WO2023033586A1 - Tcp 세션 제어에 기초하여 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 - Google Patents
Tcp 세션 제어에 기초하여 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 Download PDFInfo
- Publication number
- WO2023033586A1 WO2023033586A1 PCT/KR2022/013193 KR2022013193W WO2023033586A1 WO 2023033586 A1 WO2023033586 A1 WO 2023033586A1 KR 2022013193 W KR2022013193 W KR 2022013193W WO 2023033586 A1 WO2023033586 A1 WO 2023033586A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- information
- network
- node
- access
- data
- Prior art date
Links
- 238000000034 method Methods 0.000 title claims description 38
- 238000004891 communication Methods 0.000 claims abstract description 50
- 230000000903 blocking effect Effects 0.000 claims abstract description 36
- 238000012544 monitoring process Methods 0.000 claims abstract description 14
- 230000004044 response Effects 0.000 claims description 8
- 238000011017 operating method Methods 0.000 claims 1
- 230000001012 protector Effects 0.000 description 47
- 238000005516 engineering process Methods 0.000 description 22
- 238000010586 diagram Methods 0.000 description 18
- 230000005540 biological transmission Effects 0.000 description 16
- 230000008569 process Effects 0.000 description 16
- 238000010200 validation analysis Methods 0.000 description 9
- 230000005641 tunneling Effects 0.000 description 8
- 230000006870 function Effects 0.000 description 7
- 238000007689 inspection Methods 0.000 description 6
- 230000009471 action Effects 0.000 description 4
- 238000004590 computer program Methods 0.000 description 4
- 238000001514 detection method Methods 0.000 description 3
- 238000002955 isolation Methods 0.000 description 3
- 230000002155 anti-virotic effect Effects 0.000 description 2
- 238000012217 deletion Methods 0.000 description 2
- 230000037430 deletion Effects 0.000 description 2
- 230000007246 mechanism Effects 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 230000001902 propagating effect Effects 0.000 description 2
- 238000004458 analytical method Methods 0.000 description 1
- 238000013475 authorization Methods 0.000 description 1
- 230000006399 behavior Effects 0.000 description 1
- 230000008901 benefit Effects 0.000 description 1
- 238000004364 calculation method Methods 0.000 description 1
- 230000015556 catabolic process Effects 0.000 description 1
- 230000010267 cellular communication Effects 0.000 description 1
- 230000001413 cellular effect Effects 0.000 description 1
- 230000001010 compromised effect Effects 0.000 description 1
- 238000006731 degradation reaction Methods 0.000 description 1
- 230000001419 dependent effect Effects 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 230000010354 integration Effects 0.000 description 1
- 238000013507 mapping Methods 0.000 description 1
- 230000000737 periodic effect Effects 0.000 description 1
- 238000012545 processing Methods 0.000 description 1
- 230000000644 propagated effect Effects 0.000 description 1
- 239000007787 solid Substances 0.000 description 1
- 230000003068 static effect Effects 0.000 description 1
- 230000001360 synchronised effect Effects 0.000 description 1
- 238000013519 translation Methods 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L47/00—Traffic control in data switching networks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L47/00—Traffic control in data switching networks
- H04L47/10—Flow control; Congestion control
- H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
- H04L47/2483—Traffic characterised by specific attributes, e.g. priority or QoS involving identification of individual flows
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L47/00—Traffic control in data switching networks
- H04L47/10—Flow control; Congestion control
- H04L47/32—Flow control; Congestion control by discarding or delaying data units, e.g. packets or frames
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
- H04L65/40—Support for services or applications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/14—Session management
- H04L67/143—Termination or inactivation of sessions, e.g. event-controlled end of session
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/40—Network security protocols
Definitions
- Embodiments disclosed in this document relate to a system and method for controlling network access of an application based on TCP session control.
- IP Internet Protocol
- TCP Transmission Control Protocol
- Firewall technology that performs is commonly used.
- Firewall technology identifies IPs assigned to terminals or network nodes (eg, switches, routers, etc.) and controls access of inbound or outbound data packets between network boundaries, thereby preventing unauthorized IPs from accessing unauthorized destination networks. play a blocking role.
- network nodes eg, switches, routers, etc.
- IP-based firewalls The problem of technologies such as IP-based firewalls is that it is difficult to control by IP unit when creating a private IP band by configuring a sub-network with terminals or routers and switches in the Internet band where IP allocation and control are difficult. Because of the IP (Internet Protocol) communication structure, there is a problem that IP can be forged and falsified, so the firewall is actually used as a minimum safety device.
- IP Internet Protocol
- tunneling technology e.g., IPSec, GRE, GTP, etc.
- security that prevents data packets transmitted between terminals and servers or switches from being encrypted or tampered with and allows only authorized targets to access uniquely.
- connectivity control technologies such as sessions (Secure Sockets Layer, Transport Layer Security), problems inherent in firewalls are solved.
- a source node 101 attempts access to a second network 20 between different first networks 10 and second networks 20 and 2
- the source node 101 may transmit the data to the destination node 102 through the switch 103 and the tunnel 105.
- At least one switch must exist at the network boundary between the terminal and the server, and all data packets pass through the corresponding switch, so if a serious failure occurs in the corresponding switch, all data packets reaching the server or destination network are blocked and communication I have a problem that doesn't work.
- NAC Network Access Control
- the IP communication mechanism uses ARP (Address Resolution Protocol), an address resolution protocol, to determine the physical address (MAC Address: Media Access Control Address) based on the IP of the destination to transmit data packets from the terminal to the destination, and then returns the corresponding MAC address. to transmit data packets.
- ARP Address Resolution Protocol
- MAC Address Media Access Control Address
- NAC which exists in the same segment as the terminal, receives these data packets and informs the terminal of its own MAC address through ARP spoofing when an unauthorized terminal attempts access, thereby transmitting data packets to the actual communication target. It provides a structure that blocks
- This NAC technology is a technology for blocking the IP of unauthorized terminals or terminals that have not been authenticated in advance.
- unauthorized terminals connected to the network eg, terminals brought in from outside or unaccepted terminals
- the server and business It is devised for the purpose of preventing access to resources, but since it is blocked based on unauthorized source IP, it contains a problem in which it is difficult to control detailed network access.
- NAC can control network access based on the IP assigned to the terminal, but it does not control access at the application level, which is the subject that actually performs communication. Malware cannot fundamentally solve the problem of propagating and infecting ransomware or malware by accessing all resources in the network when IP allocation is made to the terminal and access is permitted by NAC.
- connection target applications and applications use connection target applications and applications to solve connectivity control problems in a special network environment through TCP-based connectivity control technology, rather than tunneling or secure session-based connectivity control technology. It provides a way to access only authorized networks based on the running terminal or one or more identification information, preventing unauthorized objects from creating TCP sessions, and not valid in situations such as risk detection, application and service termination, etc. Provides a way to disconnect a target from a network that is not connected to the network.
- a network node includes communication circuitry, a memory, and a processor operably coupled to the communication circuitry and the memory, the processor performing, from a server, communication between a source node and a destination network.
- the processor upon receiving a data flow removal request from the server, may prevent an access control application of the source node from transmitting data packets to a destination network by removing the data flow.
- the processor may transmit the collected data packet blocking log to the server at regular intervals in response to detecting a data packet blocking log update event for synchronization of the data packet blocking log.
- the data packet blocking log update event may include IP blocking or TCP session forced termination, and the data packet blocking log may include blocked node IP addresses, destination IP addresses, and port information.
- a server includes a communication circuit, a memory for storing a database, and a processor operatively connected to the communication circuit and the memory, wherein the processor includes a connection control application of a source node.
- the application establishes a TCP session between the destination network Data flow information is generated based on the IP of the source node, the destination network IP, and the service port information so as to generate data flow information, and the generated data flow information is transmitted to the source node and the identified network node, respectively. , and if there is data flow information accessible from the data flow table, the data flow information may be transmitted to the source node.
- the processor receives a request for user authentication from the access control application of the source node, and determines whether the access control application is a user who can access based on information requested for authentication and whether the user is blacklisted. Check whether the user is blocked by checking whether the user is included, and if the user is identified as an accessible user, search for a control flow in the control flow table with control flow identification information, and identify the searched control flow User identification information may be added to the information, and authentication completion status and access policy information of the authenticated user may be returned to the source node as a result of user authentication.
- the processor generates accessible application whitelist information in an access policy matched with the identified information, returns a connection completion status as an access result, and requests additional user authentication from the source node or When a continuous terminal information update request is received, control flow identification information for identifying a control flow and the generated application whitelist may be returned.
- the processor receives a control flow update request from the source node, and in response to the control flow update request, the control flow in the control flow table based on control flow identification information requested by the source node. checks whether there exists, and if the control flow for the starting node does not exist in the control flow table, connection failure information indicating that the connection of the starting node is invalid is returned to the starting node, and the control flow table Updates an update time if there is a control flow for the source node, searches for data flow information subordinate to the control flow, and performs re-authentication among data flows for the source node or a data flow in which access is impossible exists, data flow information is returned to the starting node, and if the control flow update result is normal and there is updated data flow information, the data flow table information can be updated.
- the processor receives a control flow termination request from the source node, and in response to the control flow termination request, the processor identifies and removes the searched control flow based on control flow identification information requested by the source node. and, when the control flow is removed, transmit a data flow removal request to the network node to request removal, and the network node removes the data flow in response to the data flow removal request, thereby enabling the access control application to reach the destination network to prevent transmission of data packets.
- a method of operating a network node is a data flow including a node IP, a destination network IP, and port information generated to allow creation of a TCP session between a source node and a destination network from a server Receiving a step, monitoring data packets broadcast or multicast from the source node at the network boundary, if a data flow corresponding to the source IP of the data packet received through the monitoring does not exist, IP blocking data Transmitting a packet to the source node, and if a data flow corresponding to the destination IP and destination port information of the data packet received through the monitoring does not exist, the TCP data packet forcibly terminating the TCP session is sent to the source node It may include transmitting to the node.
- the access application is a terminal or one or more identification information and identification and authentication of the application to the controller for access to the service server IP assigned to the terminal and the terminal identified by the controller. It receives data flow information (source IP and destination IP, port information) to allow transmission of data packets based on IP, and the corresponding data flow can be simultaneously propagated to protectors existing at the network boundary.
- data flow information source IP and destination IP, port information
- the access control application performs an action of primarily allowing or blocking transmission of the network access of the access application according to data flow information received from the controller, bypassing this and transmitting the data packet
- the TCP session is forcibly terminated, so according to the embodiments disclosed in this document, it is possible to prevent an unauthorized target from accessing an unauthorized service server using TCP. Blocked by default.
- unauthorized terminals, applications, and unsafe applications block unauthorized network access at the source, so that antivirus, antivirus, and malware included in terminals brought in from the outside are included. It can block the propagation and attack of ransomware and malware, which are new risk factors not found by detection tools, to connected networks or service servers.
- TCP-based communication which is commonly used, rather than conventional tunneling or secure session-based connectivity control, it does not separately modify its own communication protocol or performance-sensitive existing applications, It is possible to control access by separating the target.
- the protector indirectly collects and monitors data packets generated on a switch connected to a terminal or on the same network segment, so that an unauthorized target continuously attempts access or an authorized target attempts unauthorized network access. If is repeated, it is determined as a potential risk factor and access to the corresponding terminal and application may be permanently blocked by releasing data flow information and releasing control flow information.
- the protector is not directly connected to the network between the terminal and the service server as in the conventional network security technology, but indirectly controls network access by utilizing the characteristics of the IP network, so the problem of network performance degradation and failure is improved. It can be.
- the transmission time of data packets transmitted and received between the application and the service server is monitored, and when there is no data packet transmission or reception for a certain period of time, when there is no continuous connection renewal between the application and the controller, the application is terminated, or the controller is interlocked.
- the controller immediately releases the control flow and data flow so that the transmission subject can no longer access the service server at the network level. Since it provides a blocking method, it is possible to accurately release and manage the life cycle of the ambiguous network connection disconnection point between the application and the service server.
- It also provides a complete isolation method because it provides a complete blocking method in the network by retrieving all data flow information when network access is no longer needed.
- FIG. 1 shows an example of a tunneling technique.
- FIG. 2 illustrates an architecture within a network environment according to various embodiments.
- FIG. 3 is a functional block diagram illustrating a database stored in a controller according to various embodiments.
- FIG. 4 shows a functional block diagram of a node in accordance with various embodiments.
- 5 may explain an operation of blocking network access according to various embodiments.
- FIG. 6 shows a signal flow diagram for controller connection according to various embodiments.
- FIG. 7 illustrates a user interface screen for accessing a controller according to various embodiments.
- FIG. 8 shows a signal flow diagram for user authentication according to various embodiments.
- FIG. 9 shows a signal flow diagram for handling network access.
- FIG. 10 shows a signal flow diagram for blocking network access according to various embodiments.
- FIG. 11 shows a flow diagram for updating a control flow according to various embodiments.
- FIG. 12 shows a flow diagram for releasing a network connection according to various embodiments.
- 13 is a flowchart for releasing unit network access according to various embodiments.
- FIG. 14 illustrates a flow diagram for data packet intercept log synchronization in accordance with various embodiments.
- 15 shows a flow chart for terminating application execution according to various embodiments.
- a (e.g., first) component is said to be “coupled” or “connected” to another (e.g., second) component, with or without the terms “functionally” or “communicatively.”
- the certain component can be connected to the other component directly (eg by wire), wirelessly, or through a third component.
- Each component (eg, module or program) of the components described in this document may include a single entity or a plurality of entities. According to various embodiments, one or more components or operations among the corresponding components may be omitted, or one or more other components or operations may be added. Alternatively or additionally, a plurality of components (eg, modules or programs) may be integrated into a single component. In this case, the integrated component may perform one or more functions of each of the plurality of components identically or similarly to those performed by the corresponding component among the plurality of components before the integration. .
- the actions performed by a module, program, or other component are executed sequentially, in parallel, iteratively, or heuristically, or one or more of the actions are executed in a different order, or omitted. or one or more other actions may be added.
- module used in this document may include a unit implemented in hardware, software, or firmware, and may be used interchangeably with terms such as logic, logic block, component, or circuit, for example.
- a module may be an integrally constructed component or a minimal unit of components or a portion thereof that performs one or more functions.
- the module may be implemented in the form of an application-specific integrated circuit (ASIC).
- ASIC application-specific integrated circuit
- Various embodiments of this document may be implemented as software (eg, a program or application) including one or more instructions stored in a storage medium (eg, memory) readable by a machine.
- the processor of the device may call at least one command among one or more commands stored from a storage medium and execute it. This enables the device to be operated to perform at least one function according to the at least one command invoked.
- the one or more instructions may include code generated by a compiler or code executable by an interpreter.
- the device-readable storage medium may be provided in the form of a non-transitory storage medium.
- the storage medium is a tangible device and does not contain a signal (e.g., electromagnetic wave), and this term refers to the case where data is stored semi-permanently in the storage medium and It does not discriminate when it is temporarily stored.
- a signal e.g., electromagnetic wave
- Computer program products may be traded between sellers and buyers as commodities.
- a computer program product is distributed in the form of a device-readable storage medium (eg compact disc read only memory (CD-ROM)), or through an application store or between two user devices (eg smartphones). It can be distributed (eg, downloaded or uploaded) directly or online.
- a device-readable storage medium such as a manufacturer's server, an application store server, or a relay server's memory.
- FIG. 2 illustrates an architecture within a network environment according to various embodiments.
- the number of terminals 201 , switches 203 , and protectors 204 is not limited to the number shown in FIG. 2 .
- 2 is an example of TCP-based connectivity control technology.
- the TCP-based connectivity control technology is authenticated based on an IP (private IP or public IP) assigned to the terminal 201 or an IP (public IP) identified from the controller 202 in order for an application to access the service server 235. Only authorized applications create and maintain TCP sessions with the service server 235, and TCP sessions of unauthorized terminals 201 or unauthorized applications are terminated by the protector 204 to provide a structure in which communication cannot be maintained continuously. can
- the protector 204 may also be referred to as a 'network node'.
- the terminal 201 checks whether the connection is possible from the controller 202, and only when the connection is possible, to the switch 203 existing at the boundary of the connection target network through the data flow information generated by the controller 202. Data packets can be transmitted.
- the terminal 201 may be located in the intranet 200, and the intranet 200 may include the terminal 201, a switch 203, a protector 204, and the like. In the intranet 200 , the terminal 201 and the switch 203 and the switch 203 and the protector 204 may be operably connected.
- the access control application 211 checks whether access is possible from the controller 202 before communicating with the service server 235, and only when it is accessible, data packets are transmitted to the network through the access control application, and each network boundary If the protector 204 receiving IP-based multicast information on the IP is not included in the data flow information (authorized source IP, destination IP, port) received from the controller 202, the received TCP data packet, Continuous communication with the service server 235 by an unauthorized application is prevented by propagating a data packet that terminates the corresponding TCP session.
- the terminal 201 may include an access control application 211 and a network driver (not shown) for managing network access of applications stored in the terminal 201 .
- the access control application may control transmission of data packets through a kernel including an operating system and a network driver in the terminal 201 .
- the controller 202 may be, for example, a server (or cloud server).
- the controller 202 can ensure reliable data transmission within a network environment by managing data transmission between the terminal 201 , the protector 204 , and the destination network 230 .
- the controller 202 is a policy for controlling network access of applications and controlling TCP access in the network to which the terminal 201 and the protector 204 belong, and the status of unauthorized access received from the protector 204, from the service server and the interworking system. Provides a method for maintaining a secure network state at all times, such as removing and canceling a data flow generated according to a received security event and isolating the terminal 201 through a blacklist.
- the controller 202 may include a server or an external server.
- the controller 202 may be located within the cloud network 220, and the controller 202 may be operatively connected to other interoperable security systems 222.
- the protector 204 may exist in units of network boundaries, and identifies through the controller 202 the IP of the NAT (Network Address Translation) terminal 201 according to the network band, and the IP of the NATed terminal 201 for each boundary ( It can receive data flow information optimized for source IP) and control access.
- NAT Network Address Translation
- the administrator can connect to the controller 202 and set a TCP connection-oriented policy to control the connection between the application and the server, it is more detailed and network access than the existing network security technology that simply controls IP access. From this point of view, more secure control is possible.
- the protector 204 may check whether a data packet present in the data flow has been received.
- the data flow information received from the controller 202 includes source IP, destination IP, and port information, and in the case of a data packet without a data flow, a data packet (eg, RST) for terminating a TCP session with the source IP By transmitting, it is possible to block unauthorized terminal 201 and applications from accessing and maintaining the connection to an unauthorized server.
- a data packet eg, RST
- the unauthorized terminal 201 continuously creates a TCP session and tries to connect, but the TCP session is forcibly terminated through the above-described TCP session control procedure, making actual network access and communication impossible.
- 3 is a functional block diagram illustrating a database stored in a controller (eg, controller 202 of FIG. 2 ) in accordance with various embodiments. 3 shows only the memory 330, the controller 202 is a communication circuit for performing communication with an external electronic device (eg, the terminal 201, the switch 203 or the destination network 230 of FIG. 2) ( For example, the communication circuit 430 of FIG. 4 ) and a processor for controlling the overall operation of the controller (eg, the processor 410 of FIG. 4 ) may be further included.
- an external electronic device eg, the terminal 201, the switch 203 or the destination network 230 of FIG. 2
- the communication circuit 430 of FIG. 4 the communication circuit 430 of FIG. 4
- a processor for controlling the overall operation of the controller eg, the processor 410 of FIG. 4
- the controller may store databases 311 to 316 for control of network access and data transmission in the memory 330 .
- the access policy database 311 includes service information accessible to a terminal 201 to access or one or more identification information, applications, etc., and when an application requests network access, the terminal 201 identified based on the corresponding policy One or more identified objects, applications, etc. may verify whether the object is accessible to the service.
- the protector policy database 312 is managed by the protector information, which exists between the network boundaries of the service server (destination IP and port) on the connection path, so that the source node (terminal 201) accesses the service server. Network bandwidth information to be used and expiration time information for periodic data flow update may be included.
- the blacklist policy database 313 includes the information (terminal 201 or one or more) identified through security event risk, occurrence cycle, behavior analysis, etc. among security events periodically collected by the terminal 201 or protector 204. You can set a blacklist registration policy to permanently or temporarily block the access of an identified target based on identification information, IP address, MAC address, user, etc.).
- the blacklist database 314 includes the terminal 201 blocked from access by the blacklist policy database 313 or one or more identification information, IP, MAC address, user, etc., and the application requests access to the controller 202. If it is included in the corresponding list, the access request is rejected, so it becomes a complete isolation state in which network access is impossible.
- the control flow table 315 is a kind of session table for managing the flow created between the application and the controller 202.
- the control flow and identification information for identifying the control flow are provided. generated and within the control flow, information such as an IP address identified during access and authentication of the controller 202, terminal 201 or one or more identification information, application identification information, information additionally identified through association with the service server 235 will include
- Whether or not access to the service server 235 is possible by mapping the control flow identification information transmitted when the application requests network access and each identification information included in the control flow retrieved with the identification information to the access policy and TCP with the service server 235 It is used as information to determine whether a data flow can be created for session creation.
- the application must periodically renew the expiration time of the control flow, and if the renewal does not occur for a certain period of time, the control flow is removed, and an immediate The control flow is removed when disconnection is required or when an application requests termination of the connection.
- the data flow table 316 is a table for managing the transmission flow of detailed data packets by the terminal 201 and the protector 204 existing between the terminal 201 and the service server 235. ) includes data flow information for managing TCP sessions created in units of applications and servers.
- each terminal 201 or one or more identification information and applications can create one or more services and TCP sessions, and the data flow subordinated to the control flow identification information assigned to the transmission subject can be managed, and the protector 204 present between the application and the service server 235 determines whether to transmit and release the TCP session termination data packet based on the source IP and destination IP of the corresponding data packet, and service port information. It may include authorized target information for performing authentication and authentication expiration time information required when periodically authenticating the corresponding data flow.
- the structure of the data flow table 316 included in the controller 202 may be applied to the terminal 201 and the protector 204 identically or similarly.
- a node may be a terminal 201 and may include a processor 410 , a memory 420 , and a communication circuit 430 .
- the node may further include a display 440 to interface with a user.
- the processor 410 may control overall operations of the terminal 201 .
- the processor 410 may include a single processor core or may include a plurality of processor cores.
- the processor 410 may include multi-cores such as dual-core, quad-core, and hexa-core.
- the processor 410 may further include an internal or external cache memory.
- processor 410 may be configured with one or more processors.
- the processor 410 may include at least one of an application processor, a communication processor, or a graphical processing unit (GPU).
- GPU graphical processing unit
- processor 410 is electrically or operatively coupled to other components within the node (e.g., memory 420, communication circuitry 430, or display 440). (coupled with) or connected to.
- the processor 410 may receive commands from other components of the node, interpret the received commands, and perform calculations or process data according to the interpreted commands.
- the processor 410 may interpret and process messages, data, commands, or signals received from the memory 420 , the communication circuit 430 , or the display 440 .
- Processor 410 may generate a new message, data, command, or signal based on the received message, data, command, or signal.
- Processor 410 may provide processed or generated messages, data, instructions, or signals to memory 420 , communication circuitry 430 , or display 440 .
- the processor 410 may process data or signals generated or generated by a program. For example, the processor 410 may request instructions, data, or signals from the memory 420 to execute or control a program. The processor 410 may record (or store) or update instructions, data, or signals in the memory 420 to execute or control a program.
- the memory 420 may store commands for controlling nodes, control command codes, control data, or user data.
- the memory 420 may include at least one of an application program, an operating system (OS) (eg, Microsoft Windows, Google Android, Apple iOS, MacOS, etc.), middleware, or a device driver. may contain one.
- OS operating system
- middleware middleware
- a device driver may contain one.
- the memory 420 may include one or more of volatile memory and non-volatile memory.
- Volatile memory includes dynamic random access memory (DRAM), static RAM (SRAM), synchronous DRAM (SDRAM), phase-change RAM (PRAM), magnetic RAM (MRAM), resistive RAM (RRAM), and ferroelectric RAM (FeRAM).
- DRAM dynamic random access memory
- SRAM static RAM
- SDRAM synchronous DRAM
- PRAM phase-change RAM
- MRAM magnetic RAM
- RRAM resistive RAM
- FeRAM ferroelectric RAM
- the nonvolatile memory may include read only memory (ROM), programmable ROM (PROM), electrically programmable ROM (EPROM), electrically erasable programmable ROM (EEPROM), flash memory, and the like.
- the memory 420 further includes a nonvolatile medium such as a hard disk drive (HDD), a solid state disk (SSD), an embedded multimedia card (eMMC), and a universal flash storage (UFS).
- HDD hard disk drive
- SSD solid
- memory 420 may store some of the information contained in the memory of controller 202 (eg, memory 330 of FIG. 3 ).
- the communication circuit 430 supports establishing a wired or wireless communication connection between the terminal 201 and an external electronic device (eg, the controller 202 or the switch 203 of FIG. 2 ) and performing communication through the established connection.
- communication circuitry 430 may be wireless communication circuitry (eg, cellular communication circuitry, short-range wireless communication circuitry, or global navigation satellite system (GNSS) communication circuitry) or wired communication circuitry (eg, local area network (LAN) communication circuitry).
- GNSS global navigation satellite system
- LAN local area network
- communication circuit or power line communication circuit
- a short-distance communication network such as Bluetooth, WiFi direct, or IrDA (infrared data association) or a cellular network
- IrDA infrared data association
- long-distance communication such as the Internet
- computer network It may communicate with an external electronic device through a network.
- the various types of communication circuits 430 described above may be implemented as a single chip or may be implemented as separate chips.
- the display 440 may visually output content, data, or signals.
- display 440 may display image data processed by processor 410 .
- the display 440 may be configured as an integrated touch screen by being combined with a plurality of touch sensors (not shown) capable of receiving a touch input.
- a plurality of touch sensors may be disposed above the display 440 or below the display 440 .
- a server (eg, the controller 202 ) may include a processor 410 , a memory 420 , and a communication circuit 430 .
- the processor 410, memory 420, and communication circuit 430 included in the server may be substantially the same as the processor 410, memory 420, and communication circuit 430 described above.
- FIG 5 illustrates an operation of blocking network access according to various embodiments.
- the connection application when the connection application is not connected to the controller 202, the data packet transmitted to the service server 235 is transmitted to the controller 202 after TCP session creation is blocked by the protector 204. No data packets other than data packets are transmitted to the service server 235.
- the access control application 211 is not in a connected state with the controller 202, the data packet transmitted to the service server 235 is blocked by the protector 204 to create a TCP session and the data packet transmitted to the controller 202. No data packets except for are transmitted to the service server 235.
- the access control application 211 must access the controller 202 to identify and authenticate the terminal 201 or one or more identification information and applications, and when accessing the service server 235 after performing authentication, access network information The controller 202 is queried to determine whether access is possible, and only data packets of authorized applications are transmitted to the network.
- the unauthorized terminal 201 or application is basically in a state where it cannot access the service server 235, and even if it is an authorized terminal 201 or application, data flow information including access information of the corresponding application from the controller 202 If is not delivered to the protector 204, the service server 235 cannot be reached because the creation of the TCP session is blocked and terminated, that is, an isolated state.
- 6 to 7 describe an operation for controller connection according to various embodiments.
- 6 shows a signal flow diagram for controller connection
- FIG. 7 shows a user interface screen for controller connection.
- the access control application 211 of the terminal 201 provides the controller 202 with a control flow (control data packet flow and serial A controller connection of the terminal 201 may be attempted by requesting creation of a session of). Also, the connection control application 211 may include the connection control application 211 in FIG. 2 .
- the user may fill in access information when executing the access control application 211 to access the controller 202 and click the user access button 714 .
- the controller 202 determines whether the access control application 211 access-requested information (such as the type of the terminal 201, location information, environment, and the network including the terminal 201) is accessible according to the policy, It is checked whether the terminal 201 and network identification information (terminal 201 identification information, IP, MAC address, etc.) are included in the blacklist to determine whether the terminal 201 is in an accessible state, and in an accessible state In this case, a control flow may be generated and generated control flow identification information may be transmitted to the terminal 201 .
- access control application 211 access-requested information such as the type of the terminal 201, location information, environment, and the network including the terminal 201
- the terminal 201 and network identification information terminal 201 identification information, IP, MAC address, etc.
- the access control application 211 may display a message and reason for inaccessibility on the screen (725).
- the terminal 201 may detect a controller connection event.
- the connection control application 211 may request a connection to the controller 202 to create a control flow (control data packet flow and series of sessions) with the controller 202 (act 610).
- the terminal 201 may display a user interface screen 710 for receiving information necessary for controller access.
- the user interface screen 710 includes an input window 711 for inputting the IP or domain of the controller 202, an input window 712 for inputting user identification information, an input window 713 for inputting a password, and /or may include an input window 714 for inputting a connection location.
- the terminal 201 can detect a controller access event by receiving a button 715 for controller access by an authenticated user. For another example, if user authentication of the terminal 201 is not yet completed, the terminal 201 detects a controller access event by receiving a button 716 for controller access by an unauthorized user (ie, a guest). can do.
- the controller 202 transmits information requested by the access control application 211 for access (type of the corresponding terminal 201, location information, environment, network including the terminal 201, and access control application 211 information). etc.) is in an accessible state according to the policy, and whether the terminal 201 and network identification information (terminal 201 identification information, IP, MAC address, etc.) are included in the blacklist, so that the terminal 201 You can check if the connection is possible.
- information requested by the access control application 211 for access type of the corresponding terminal 201, location information, environment, network including the terminal 201, and access control application 211 information). etc.
- the terminal 201 and network identification information terminal 201 identification information, IP, MAC address, etc.
- access impossible information is transmitted to the terminal 2011 .
- control flow identification information is generated in the form of random numbers, and terminal 201 and network identification information (terminal 201 identification information, IP, MAC address, etc.) Write and add to the control flow table.
- the controller 202 In operation 625, the controller 202 generates accessable application whitelist information in the access policy matched with the identified information (terminal 201, source network information, etc.), and as an access result, the connection completion state and subsequent terminal ( When requesting user authentication in 201 and continuously updating terminal 201 information, control flow identification information for identifying the control flow and the application whitelist generated through the above process are returned. If connection is impossible, the controller 202 transmits a connection failure result to the terminal 201 .
- the terminal 201 may process the connection request result value received from the controller 202. If access is impossible, the execution of the access control application 211 is stopped and terminated, or a related error message is displayed.
- the terminal 201 when the terminal 201 receives the application whitelist from the controller 202, it checks whether the corresponding application is installed in the terminal 201, and in case of an existing application, the corresponding application according to the validation policy. The result of checking whether the integrity and safety of the application (whether the application has been tampered with, code signing inspection, fingerprint inspection, etc.) is transmitted to the controller 202 .
- the protector 204 where the corresponding terminal 201 is located is checked in the protector 204 policy to allow access of the terminal 201 connected to the corresponding network, and the data flow table 316 You can check whether there is data flow information that can be accessed through the corresponding destination IP and port.
- data flow information is generated based on source IP, destination IP, and port information so that the corresponding application can allow creation of a TCP session between service servers 235 and transmits the data flow information to each of the identified protectors 204 (operation 645).
- the terminal 201 may process the access request result value received from the controller 202.
- FIG. 8 shows a signal flow diagram for user authentication according to various embodiments.
- the controller 202 checks whether the access control application 211 is a user who can access based on the information requested for authentication (user identification information and password, enhanced authentication information, etc.) and whether the user is included in the blacklist, so that the user It checks whether it is blocked, and if it is accessible, completes the authentication process and adds user identification information to the control flow.
- the access control application 211 displays an access impossible message and reason on the screen.
- an access policy corresponding to the authenticated user is applied to determine whether network access is authorized.
- the access control application 211 may perform user authentication in order to receive detailed network access rights, and send user identification information and password or authentication information by an enhanced authentication method to the controller. 202 (act 810).
- the controller 202 checks whether the access control application 211 is a user capable of access based on the authentication requested information (user identification information and password, enhanced authentication information, etc.) and whether the user is included in the blacklist. You can check whether the user is blocked by doing this.
- the authentication requested information user identification information and password, enhanced authentication information, etc.
- the controller 202 transmits access impossible information when access to the terminal 201 is impossible or included in the blacklist.
- a control flow in case of an accessible user, a control flow may be searched in the control flow table using the transmitted control flow identification information, and user identification information (user identification information) may be added to the searched control flow identification information.
- the controller 202 may return authentication completion status and access policy information of the authenticated user as a user authentication result.
- the controller 202 In operation 825, the controller 202 generates accessable application whitelist information in the access policy matched with the identified information (terminal 201, source network information, user identification information, etc.), and access completed status as the access result. After that, when the terminal 201 requests user authentication and continuously updates the terminal 201 information, the control flow identification information for identifying the control flow and the application whitelist generated through the above process are returned.
- the controller 202 transmits a connection failure result to the terminal 201 .
- the terminal 201 may process the connection request result value received from the controller 202. If access is impossible, execution of the access control application 211 may be stopped and terminated, or a related error message may be displayed through the user interface.
- the terminal 201 when the terminal 201 receives the application whitelist from the controller 202, it checks whether the corresponding application is installed in the terminal 201, and in the case of an existing application, the corresponding application according to the validation policy. A result of checking the integrity and safety of the application (whether the application has been forged or tampered with, code signing inspection, fingerprint inspection, etc.) may be transmitted to the controller 202 .
- the protector 204 in which the corresponding terminal 201 is located is checked in the protector 204 policy to allow access of the terminal 201 connected to the corresponding network, and the data flow table 316 You can check whether there is data flow information that can be accessed through the corresponding destination IP and port.
- data flow information is generated based on source IP, destination IP, and port information so that the corresponding application can allow creation of a TCP session between service servers 235 and transmits data flow information to each of the identified protectors 204 (operation 845).
- the terminal 201 may process the connection request result value received from the controller 202.
- FIG. 9 shows a signal flow diagram for handling network access.
- the access control application 211 identifies the application requesting access, destination IP, and service port information, and checks whether there is valid data flow information that can be used as the corresponding identification information in the data flow table 316.
- the data flow table 316 may provide information for determining whether a data packet can be transmitted for each access and management unit.
- Data packets can be transmitted if there is data flow information available.
- Validation checks the integrity and safety of the application requested for access (whether the application has been forged or tampered with, code signing inspection, fingerprint inspection, etc.) A procedure for checking in advance whether the port is accessible can be performed.
- the data packet may be dropped and the access control application 211 may display an access impossible message and reason.
- the terminal 201 requests access to the controller 202 and may transmit each identification information (access control application 211, connection target IP, service port information, etc.) upon request.
- the controller 202 determines the access requested identification information (access control application 211 and access target IP and service port) in the access policy matched with the information identified on the control flow (terminal 201, user, source network information, etc.) information, etc.) and whether or not access is possible can be checked.
- the controller 202 transmits a connection failure result to the terminal 201, and the access control application 211 may drop the corresponding data packet and display a connection failure message and reason.
- data flow information including information for canceling blocking of the corresponding data packet is transmitted to the protector 204 existing between the service servers 235 .
- the access control application 211 checks the connection request result value received from the controller 202 .
- the access control application 211 receiving the data flow information transmits a data packet to the service server 235, and the protector 204 existing between the application and the service server 235 converts the received data packet to a corresponding authentication data packet. and whether a valid data flow exists based on the source IP, destination IP, and port, and if not valid, a TCP session termination data packet (eg, RST) is transmitted to the terminal 201 .
- a TCP session termination data packet eg, RST
- the application is basically blocked from the service server 235, and through the authorization process of the controller 202 and the TCP session monitoring process of the protector 204, the data included in the allowed data flow table 316 An environment capable of transmitting only data packets is provided.
- the connection control application 211 may detect a network connection event.
- the access control application 211 can detect that a target application, such as a web browser, is attempting to connect to a destination network including the destination network 230, such as the Internet.
- a target application such as a web browser
- a destination network such as the Internet.
- a user may execute a web browser and input and call a web address to be accessed.
- data flow information is provided based on application identification information, destination IP and port information to communicate with the corresponding service server 235. You can check if it exists. If a data flow exists but is not valid (eg, a data packet transmission unavailable state), the data packet may be dropped. If a data flow exists, data packets can be transmitted.
- a validation procedure may be performed according to the validation policy.
- the validity check may include checking the integrity and safety of the access control application 211 (whether the application has been falsified or not, code signing check, fingerprint check, etc.).
- the access control application 211 application provides control flow identification information and application identification information for identifying the control flow generated with the controller 202 prior to the network access event, and destination IP and port information of a server to be accessed. Based on this, a network connection request may be made to the controller 202 .
- the controller 202 determines the access-requested identification information (application, destination IP, service port information, etc.) ) and whether or not access to the destination server mapped with the corresponding identification information can be confirmed. If access is impossible, the controller 202 may transmit a connection failure result to the terminal 201 .
- the protector 204 where the corresponding terminal 201 is located is checked in the protector 204 policy to allow access of the terminal 201 connected to the corresponding network, and the data flow table 316 You can check whether there is data flow information that can be accessed through the corresponding destination IP and port.
- data flow information is generated based on source IP, destination IP, and port information so that the corresponding application can allow creation of a TCP session between service servers 235 And, the data flow information may be transmitted to each of the identified protectors 204 (operation 935).
- connection control application 211 may process the connection request result value received from the controller 202 . If network access fails, data packets may be dropped. If access is possible based on an existing data flow, data packets may be transmitted.
- FIG. 10 shows a signal flow diagram for blocking network access according to various embodiments.
- the protector 204 may receive multicast data packets present in the same segment as the terminal 201 through the switch 203.
- the protector 204 when the protector 204 receives the data packet, the source IP received from the data flow table 316 based on the source IP, destination IP, and destination port information included in 5 Tuples information of IP (Internet Protocol). It can be checked whether a data flow corresponding to the IP exists.
- IP Internet Protocol
- the protector 204 may transmit an IP blocking data packet (ARP Spoofing) and record a data packet transmission blocking log Yes (act 1015).
- ARP Spoofing IP blocking data packet
- a TCP data packet (eg, RST packet) forcibly ending the TCP session may be transmitted and a data packet transmission blocking log may be recorded.
- FIG. 11 shows a flow diagram for updating a control flow according to various embodiments.
- the application maintains control flow and currently connected data flow information and requests control flow update based on the control flow identification information periodically granted to receive the updated data flow from the controller 202. .
- the controller 202 may check whether a control flow exists in the control flow table based on the control flow identification information requested by the terminal 201.
- an update time may be updated, and data flow information subordinate to the corresponding control flow may be searched.
- the corresponding data flow information may be returned.
- control flow update result if the control flow update result is unavailable, the application may be terminated or all network accesses of the application may be blocked.
- control flow update result is normal and there is updated data flow information
- data flow table 316 information in the application may be updated.
- FIG. 12 shows a flow diagram for releasing a network connection according to various embodiments.
- a control flow termination request may be made to the controller 202.
- the controller 202 may remove the identified and searched control flow based on the control flow identification information requested by the terminal 201.
- the corresponding data flow may be requested to be removed from the protector 204 that relays all dependent data flows.
- the corresponding application may be in a state in which data packets cannot be transmitted to the destination network any longer.
- 13 is a flowchart for releasing unit network access according to various embodiments.
- the controller 202 may remove a data flow subordinate to the identified and searched control flow based on the control flow identification information and the data flow identification information requested by the terminal 201.
- the corresponding application may be in a state in which data packets cannot be transmitted to the destination network any more.
- FIG. 14 illustrates a flow diagram for data packet intercept log synchronization in accordance with various embodiments.
- the protector 204 may transmit the data packet blocking log collected according to the IP blocking or TCP session forced termination procedure to the controller 202 at regular intervals.
- the controller 202 blocks the source IP address, destination IP address, and port information included in the data packet blocking log received from the protector 204, and the black list policy database 313 stores the blacklist.
- the corresponding source IP address may be added to a blacklist to prevent temporary or permanent access or included in an existing blacklist (blacklist database 314). If so, you can update that information.
- 15 shows a flow chart for terminating application execution according to various embodiments.
- the access control application may perform a procedure of checking in real time whether an application running in the terminal is terminated, and checking the data flow table 316 when the application is terminated.
- all data flows corresponding to identification information of the terminated application may be requested to be deleted.
- the access control application 211 may transmit the deleted data flow list to the controller 202 to request deletion of the data flow.
- the controller 202 may delete a corresponding data flow from the data flow table 316 based on the deleted data flow list received from the terminal and transmit the deleted data flow list to the protector.
- the protector 204 may process data packets corresponding to source IP address, destination IP address, and destination port information included in the deleted data flow list from being forwarded any more.
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Multimedia (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Technology Law (AREA)
Abstract
본 문서에 개시된 일 실시예에 따른 네트워크 노드는, 통신 회로, 메모리, 및 상기 통신 회로 및 상기 메모리와 동작 가능하게 연결되는 프로세서를 포함하고, 상기 프로세서는, 서버로부터, 출발지 노드와 목적지 네트워크 사이의 TCP 세션 생성을 허용할 수 있도록 생성된 노드 IP, 목적지 네트워크 IP 및 포트 정보를 포함하는 데이터 플로우를 수신하고, 네트워크 경계에서 상기 출발지 노드로부터 브로드캐스팅 또는 멀티캐스팅된 데이터 패킷을 모니터링하고, 상기 모니터링을 통해 수신된 데이터 패킷의 출발지 IP에 대응하는 데이터 플로우가 존재하지 않는 경우, IP 차단 데이터 패킷을 상기 출발지 노드로 전송하거나, 또는 상기 모니터링을 통해 수신된 데이터 패킷의 도착지 IP 및 도착지 포트 정보에 대응하는 데이터 플로우가 존재하지 않는 경우, TCP 세션을 강제로 종료시키는 TCP 데이터 패킷을 상기 출발지 노드로 전송할 수 있다.
Description
관련출원과의 상호인용
본 발명은 2021.09.03.에 출원된 한국 특허 출원 제10-2021-0117398호에 기초한 우선권의 이익을 주장하며, 해당 한국 특허 출원의 문헌에 개시된 모든 내용을 본 명세서의 일부로 포함한다.
기술분야
본 문서에 개시된 실시예들은 TCP 세션 제어에 기초하여 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법에 관한 것이다.
일반적으로 단말과 서버간 통신은 IP(Internet Protocol) 기반의 TCP(Transmission Control Protocol)를 사용하며, 데이터 패킷 내에 포함된 5 Tuples 정보로 출발지 IP 및 도착지 IP, 포트 정보를 식별하는 방식의 접속 제어를 수행하는 방화벽 기술이 보편적으로 사용된다.
방화벽 기술은 단말 또는 네트워크 노드(예컨대, 스위치, 공유기 등)에 할당된 IP를 식별하여 네트워크 경계 사이에서 인바운드 또는 아웃바운드 데이터 패킷의 접근 제어를 수행함으로써 비인가된 IP가 비인가된 목적지 네트워크로의 접속을 차단하는 역할을 수행한다.
IP를 기반으로 하는 방화벽과 같은 기술의 문제점은 IP 할당 및 제어가 어려운 인터넷 대역에 있는 단말 또는 공유기 및 스위치에 의해 서브 네트워크를 구성하여 사설 IP 대역을 만드는 경우 IP 단위로의 통제가 어려운 문제를 내재하고 있으며, IP(Internet Protocol) 통신 구조상 IP를 위변조가 가능하다는 문제점이 있기 때문에 실질적으로 방화벽은 최소한의 안전 장치로써 사용되고 있다.
이러한 문제점을 해결하기 위해 단말과 서버 또는 스위치 사이에 전송되는 데이터 패킷을 암호화하거나 위변조되지 않도록 하고 인가된 대상만 유일한 접속을 허용할 수 있도록 하는 터널링 기술(예컨대, IPSec, GRE, GTP 등) 또는 보안 세션(Secure Sockets Layer, Transport Layer Security) 등의 접속성 제어(Connectivity Control) 기술을 사용함으로써 방화벽이 내재하고 있는 문제점을 해결하고 있다.
터널링 기술의 일 예로서, 도 1을 참조하면, 상이한 제1 네트워크(10) 및 제2 네트워크(20) 사이에서 출발지 노드(101)는 제2 네트워크(20)로의 접속(access)을 시도하고 제2 네트워크(20)에 포함된 도착지 노드(102)로 데이터를 전송할 때, 출발지 노드(101)는 스위치(103) 및 터널(105)을 통해 데이터를 도착지 노드(102)로 전송할 수 있다.
그러나, 접속성 제어 기술을 사용하는 경우, 알려져 있는 터널링 또는 보안 세션 기술을 반드시 사용하여야 하기 때문에 자체적인 암호화 프로토콜로 통신하는 애플리케이션 또는 암호화가 불필요로 한 구간 또는 네트워크 환경 문제로 인해 터널링 기술을 사용하기 어려운 구간에 적용하기 어려운 문제가 존재한다.
나아가 단말과 서버 사이의 네트워크 경계에는 하나 이상의 스위치가 존재하여야 하며, 모든 데이터 패킷은 해당 스위치를 거쳐서 지나가기 때문에 해당 스위치에 심각한 장애가 발생하는 경우 서버 또는 목적지 네트워크로 도달되는 모든 데이터 패킷이 차단되어 통신되지 않는 문제를 가지고 있다.
결과적으로 보안과 안정성을 타협해야 하는 특수한 네트워크 환경(예컨대, 단말과 동일한 세그먼트에 존재하는 세부 네트워크 단위로 접속 제어를 해야 하는 환경)에서 터널링 또는 보안 세션 기술을 사용하지 않는 접속성 제어 기술이 필요로 하며, 이러한 네트워크 환경에서 IP 통신 메커니즘을 활용하여 접근 제어를 수행하는 기술의 대표적인 예로 NAC(Network Access Control) 기술이 존재한다.
IP 통신 메커니즘은 단말에서 목적지로 데이터 패킷을 전송하기 위해 목적지의 IP를 기반으로 물리적 주소(MAC Address: Media Access Control Address)를 주소 결정 프로토콜인 ARP(Address Resolution Protocol)를 사용하여 확인한 후에 해당 MAC Address로 데이터 패킷을 전송하게 된다.
단말과 같은 세그먼트에 존재하는 NAC는 이러한 데이터 패킷을 수신하여 비인가된 단말이 접속을 시도하는 경우 ARP 스푸핑(Spoofing)을 통하여 NAC 자신의 MAC Address를 단말에게 알려줌으로써 실질적 통신 대상으로 데이터 패킷이 전송되는 것을 차단하는 구조를 제공한다.
이러한 NAC 기술은 사전에 인증되지 않은 단말 또는 인가되지 않은 단말의 IP를 차단하기 위한 기술로써 인트라넷에서 네트워크에 연결된 인가되지 않은 단말(예컨대, 외부로부터 반입된 단말 또는 비허용된 단말)이 서버 및 업무 자원에 접속하는 것을 방지하기 위한 목적으로 고안되어 있으나, 비인가된 출발지 IP를 기준으로 차단하기 때문에 세밀한 네트워크 접속 통제가 어려운 문제를 포함하고 있다.
즉, NAC는 단말에 할당된 IP를 기준으로 네트워크 접속 통제는 가능하지만 실질적으로 통신을 수행하는 주체인 애플리케이션 수준에서의 접속 통제를 수행하고 있지 못하기 때문에 외부로부터 반입된 단말에 포함된 랜섬웨어 또는 멀웨어는 단말에 IP 할당이 이루어지고 NAC에 의해서 접속 허용상태가 되면 해당 네트워크에 있는 모든 자원에 접근하여 랜섬웨어 또는 멀웨어를 전파 및 감염시키는 문제점을 근본적으로 해결할 수 없다.
본 문서에 개시되는 다양한 실시예들은, 터널링 또는 보안 세션 기반의 접속성 제어가 아닌, TCP 기반의 접속성 제어 기술을 통하여 특수한 네트워크 환경에서의 접속성 제어 문제점을 해결하기 위해 접속 대상 애플리케이션 및 애플리케이션을 실행하고 있는 단말 또는 하나 이상의 식별 정보를 기반으로 인가된 네트워크에만 접속할 수 있는 방법을 제공하여, 비인가된 대상이 TCP 세션을 생성하는 것을 방지하며, 위험 탐지, 애플리케이션 및 서비스 종료 등의 상황에서 유효하지 않은 대상의 네트워크 접속을 해제할 수 있는 방법을 제공한다.
본 문서에 개시된 일 실시예에 따른 네트워크 노드는, 통신 회로, 메모리, 및 상기 통신 회로 및 상기 메모리와 동작 가능하게 연결되는 프로세서를 포함하고, 상기 프로세서는, 서버로부터, 출발지 노드와 목적지 네트워크 사이의 TCP 세션 생성을 허용할 수 있도록 생성된 노드 IP, 목적지 네트워크 IP 및 포트 정보를 포함하는 데이터 플로우를 수신하고, 네트워크 경계에서 상기 출발지 노드로부터 브로드캐스팅 또는 멀티캐스팅된 데이터 패킷을 모니터링하고, 상기 모니터링을 통해 수신된 데이터 패킷의 출발지 IP에 대응하는 데이터 플로우가 존재하지 않는 경우, IP 차단 데이터 패킷을 상기 출발지 노드로 전송하거나, 또는 상기 모니터링을 통해 수신된 데이터 패킷의 도착지 IP 및 도착지 포트 정보에 대응하는 데이터 플로우가 존재하지 않는 경우, TCP 세션을 강제로 종료시키는 TCP 데이터 패킷을 상기 출발지 노드로 전송할 수 있다.
일 실시예 따르면, 상기 프로세서는, 상기 서버로부터 데이터 플로우 제거 요청을 받는 경우, 데이터 플로우를 제거함으로써 상기 출발지 노드의 접속 제어 애플리케이션으로 하여금 목적지 네트워크로 데이터 패킷을 전송하지 못하게 할 수 있다.
*17일 실시예 따르면, 상기 프로세서는, 데이터 패킷 차단 로그 동기화를 위해, 데이터 패킷 차단 로그 갱신 이벤트를 감지하는 것에 응답하여, 수집된 데이터 패킷 차단 로그를 일정 주기 단위로 상기 서버에 전송하도록 할 수 있다.
일 실시예 따르면, 상기 데이터 패킷 차단 로그 갱신 이벤트는 IP 차단 또는 TCP 세션 강제 종료를 포함하고, 상기 데이터 패킷 차단 로그는 차단된 노드 IP 주소, 도착지 IP 주소, 및 포트 정보를 포함할 수 있다.
본 문서에 개시된 일 실시예에 따른 서버는, 통신 회로, 데이터 베이스를 저장하는 메모리, 및 상기 통신 회로 및 상기 메모리와 동작 가능하게 연결되는 프로세서를 포함하고, 상기 프로세서는, 출발지 노드의 접속 제어 애플리케이션으로부터 네트워크 접속의 요청을 수신하고, 상기 출발지 노드, 사용자, 상기 출발지 노드의 네트워크 정보를 포함하는 제어 플로우 상에 식별된 정보와 매칭된 접속 정책에서, 애플리케이션, 목적지 네트워크 IP 및 서비스 포트 정보를 포함하는 식별 정보의 포함 여부 및 상기 식별 정보로 매핑된 목적지 네트워크와의 접속 가능 여부를 확인하며, 접속이 가능한 경우, 상기 출발지 노드의 접속을 허용하기 위해 네트워크 노드 정책에서 상기 출발지 노드가 위치한 네트워크 노드를 식별하고, 데이터 플로우 테이블에서 상기 목적지 네트워크 IP와 상기 서비스 포트 정보로 접속 가능한 데이터 플로우 정보가 존재하는지 확인하며, 상기 데이터 플로우 테이블에서 유효한 데이터 플로우 정보가 없는 경우, 상기 애플리케이션이 상기 목적지 네트워크 사이에서 TCP 세션 생성할 수 있도록 상기 출발지 노드의 IP, 상기 목적지 네트워크 IP 및 상기 서비스 포트 정보에 기초하여 데이터 플로우 정보를 생성하고, 생성된 상기 데이터 플로우 정보를 상기 출발지 노드 및 식별된 상기 네트워크 노드에 각각 데이터 플로우 정보를 전송하며, 상기 데이터 플로우 테이블에서 접속 가능한 데이터 플로우 정보가 존재하는 경우, 상기 데이터 플로우 정보를 상기 출발지 노드에 전송하도록 할 수 있다.
일 실시예에 따르면, 상기 프로세서는, 상기 출발지 노드의 접속 제어 애플리케이션으로부터 사용자 인증의 요청을 수신하고, 상기 접속 제어 애플리케이션이 인증을 요청한 정보에 기초하여 접속 가능한 사용자인지 여부와 상기 사용자가 블랙리스트에 포함되어 있는지 여부를 검사함으로써 상기 사용자가 차단되어 있는지 여부를 확인하며, 상기 사용자가 접속 가능한 사용자로 확인된 경우, 제어 플로우 식별 정보로 제어 플로우 테이블에서 제어 플로우를 검색하고, 검색된 제어 플로우에의 식별 정보에 사용자 식별 정보를 추가하고, 사용자 인증 결과로써 인증 완료 상태 및 인증된 사용자의 접속 정책 정보를 상기 출발지 노드에 반환하도록 할 수 있다.
일 실시예에 따르면, 상기 프로세서는, 상기 식별된 정보와 매칭된 접속 정책에서, 접속 가능한 애플리케이션 화이트리스트 정보를 생성하고, 접속 결과로써 접속 완료 상태를 반환하며, 추가적인 상기 출발지 노드의 사용자 인증 요청 또는 지속적인 단말 정보 업데이트 요청이 수신되는 경우, 제어 플로우를 식별하기 위한 제어 플로우 식별 정보 및 생성된 상기 애플리케이션 화이트리스트를 반환하도록 할 수 있다.
일 실시예에 따르면, 상기 프로세서는, 상기 출발지 노드로부터 제어 플로우 갱신 요청을 수신하고, 상기 제어 플로우 갱신 요청에 응답하여, 상기 출발지 노드가 요청한 제어 플로우 식별 정보에 기초하여 상기 제어 플로우 테이블에서 제어 플로우가 존재하는지 여부를 확인하며, 상기 제어 플로우 테이블에서 상기 출발지 노드에 대한 제어 플로우가 존재하지 않는 경우, 상기 출발지 노드의 접속이 유효하지 않다는 접속 불가 정보를 상기 출발지 노드로 반환하고, 상기 제어 플로우 테이블에서 상기 출발지 노드에 대한 제어 플로우가 존재하는 경우 갱신 시각을 업데이트하고, 상기 제어 플로우에 종속된 데이터 플로우 정보를 탐색하며, 상기 출발지 노드에 대한 데이터 플로우 중 재인증을 수행해야 하거나 접속이 불가능한 데이터 플로우가 존재하는 경우, 데이터 플로우 정보를 상기 출발지 노드로 반환하고, 제어 플로우 갱신 결과가 정상이고, 갱신된 데이터 플로우 정보가 있는 경우, 상기 데이터 플로우 테이블의 정보를 갱신하도록 할 수 있다.
일 실시예에 따르면, 상기 프로세서는, 상기 출발지 노드로부터 제어 플로우 종료 요청을 수신하고, 상기 제어 플로우 종료 요청에 응답하여, 상기 출발지 노드가 요청한 제어 플로우 식별 정보에 기초하여 식별 및 검색된 제어 플로우를 제거하며, 상기 제어 플로우가 제거되는 경우, 상기 네트워크 노드로 데이터 플로우 제거 요청을 전송 제거 요청하도록 하고, 상기 네트워크 노드는 상기 데이터 플로우 제거 요청에 응답하여 데이터 플로우를 제거함으로써 상기 접속 제어 애플리케이션으로 하여금 목적지 네트워크로 데이터 패킷을 전송하지 못하게 할 수 있다.
본 문서에 개시된 일 실시예에 따른 네트워크 노드의 동작 방법은, 서버로부터, 출발지 노드와 목적지 네트워크 사이의 TCP 세션 생성을 허용할 수 있도록 생성된 노드 IP, 목적지 네트워크 IP 및 포트 정보를 포함하는 데이터 플로우를 수신하는 단계, 네트워크 경계에서 상기 출발지 노드로부터 브로드캐스팅 또는 멀티캐스팅된 데이터 패킷을 모니터링하는 단계, 상기 모니터링을 통해 수신된 데이터 패킷의 출발지 IP에 대응하는 데이터 플로우가 존재하지 않는 경우, IP 차단 데이터 패킷을 상기 출발지 노드로 전송하는 단계, 및 상기 모니터링을 통해 수신된 데이터 패킷의 도착지 IP 및 도착지 포트 정보에 대응하는 데이터 플로우가 존재하지 않는 경우, TCP 세션을 강제로 종료시키는 TCP 데이터 패킷을 상기 출발지 노드로 전송하는 단계를 포함할 수 있다.
본 문서에 개시되는 실시예들에 따르면, 접속 애플리케이션은 서비스 서버와의 접속을 위해 컨트롤러에 단말 또는 하나 이상의 식별 정보 및 애플리케이션에 대한 식별 및 인증을 통해서 단말에 할당된 IP 및 컨트롤러가 식별한 단말의 IP를 기반으로 데이터 패킷을 전송 허용하기 위한 데이터 플로우 정보(출발지 IP 및 도착지 IP, 포트 정보)를 수신하며, 해당 데이터 플로우는 네트워크 경계에 존재하는 프로텍터에도 동시에 전파될 수 있다.
본 문서에 개시되는 실시예들에 따르면, 접속 제어 애플리케이션은 접속 애플리케이션의 네트워크 접속을 컨트롤러로부터 수신한 데이터 플로우 정보에 따라 일차적으로 전송을 허용하거나 차단하는 행위를 수행하며, 이를 우회하여 데이터 패킷을 전송하는 경우 네트워크 경계에 존재하는 프로텍터에 컨트롤러로부터 수신된 데이터 플로우가 없는 경우, TCP 세션이 강제 종료되므로, 본 문서에 개시되는 실시예들에 의하면 비인가 대상이 TCP를 사용하여 비인가 서비스 서버에 접속되는 것을 기본적으로 차단할 수 있다.
본 문서에 개시되는 실시예들에 따르면, 인가되지 않은 단말 및 애플리케이션, 안전하지 않은 애플리케이션이 인가되지 않은 네트워크의 접속을 원천 차단하기 때문에 외부로부터 반입된 단말에 포함된, 특히 안티바이러스 또는 백신, 멀웨어 탐지 도구로 발견되지 않은 신종 위험 요소인 랜섬웨어 및 멀웨어가 연결된 네트워크 또는 서비스 서버로 전파 및 공격하는 행위를 차단할 수 있다.
종래의 터널링 또는 보안 세션 기반의 접속성 제어가 아니라, 일반적으로 사용되는 TCP 기반 통신을 사용하여 네트워크 접속 제어를 하기 때문에 자체적인 통신 프로토콜 또는 성능에 민감한 기존 애플리케이션을 별도로 수정하지 않고 인가된 대상과 아닌 대상을 분리하여 접속 통제가 가능하다.
본 문서에 개시되는 실시예들에 따르면, 프로텍터는 단말에 연결된 스위치 또는 같은 네트워크 세그먼트 상에서 발생되는 데이터 패킷을 간접적으로 수집 및 모니터링하여 비인가된 대상의 지속적 접속 시도 또는 인가된 대상의 비인가 네트워크 접속 시도 행위가 반복되는 경우 잠재적 위험 요소로 판단하고 데이터 플로우 정보 해제 및 제어 플로우 정보 해제를 통해 해당 단말 및 애플리케이션 접속을 영구적으로 차단할 수 있다.
또한 프로텍터는 종래의 네트워크 보안 기술과 같이 단말과 서비스 서버 사이의 네트워크에 직접적으로 연결되는 방식이 아니라 IP 네트워크의 특성을 활용하여 간접적으로 네트워크 접속을 통제하므로 네트워크 성능 저하 문제 및 장애에 대한 문제가 개선될 수 있다.
특히, 애플리케이션과 서비스 서버 사이에서 송수신되는 데이터 패킷의 전송 시각을 감시하고 일정 시간 동안 데이터 패킷 송수신이 없을 경우, 애플리케이션과 컨트롤러 사이에 지속적인 접속 갱신 행위가 없을 경우, 애플리케이션이 종료되었거나, 컨트롤러와 연동된 서비스 서버 또는 타 보안 시스템과 연동하여 식별된 정보를 기반으로 네트워크 접속을 차단해야 하는 경우, 컨트롤러는 즉각적으로 제어 플로우 및 데이터 플로우를 해제함으로써 해당 전송 주체가 더 이상 서비스 서버에 접속할 수 없도록 네트워크 수준에서의 차단 방법을 제공하므로 애플리케이션과 서비스 서버 사이의 모호한 네트워크 접속 해제 시점에 대한 정확한 해제 및 라이프 사이클 관리가 가능해질 수 있다.
본 문서에 개시되는 실시예들에 따르면, 애플리케이션이 위변조된 상태에서 애플리케이션 내에 포함된 중요 기능 또는 보안 기능이 순차적으로 실행되지 않거나, 특정 기능을 우회하여 접속하는 경우, 모든 네트워크의 접속을 차단할 수 있는 방법을 제공하며, 네트워크 접속이 원천적으로 차단된 상태에서 위변조된 애플리케이션은 어떠한 공격 행위도 수행할 수 없으므로 중요 보안 기능을 우회하여 서비스 서버에 위험 행위를 가하는 문제를 원천적으로 해결할 수 있는 방법을 제공한다.
또한 네트워크 접속이 더 필요로 하지 않은 경우, 모든 데이터 플로우 정보를 회수함으로써 네트워크에서 완전한 차단 방법을 제공하기 때문에 완전한 격리 방법을 제공한다.
결과적으로 TCP 세션 기반 접속성 제어 기술을 활용하여 애플리케이션의 네트워크 접속 통제 및 위협 차단, 격리에 이르는 보안 네트워크 연결 라이프사이클 구현이 가능하며 기존 IP 통신이 내재하고 있는 문제점이 해소된 안전한 네트워크 연결을 제공할 수 있다.
이 외에, 본 문서를 통해 직접적 또는 간접적으로 파악되는 다양한 효과들이 제공될 수 있다.
도 1은 터널링 기술의 일례를 나타낸다.
도 2는 다양한 실시예들에 따른 네트워크 환경 내의 아키텍처를 나타낸다.
도 3은 다양한 실시예들에 따라 컨트롤러에 저장된 데이터 베이스를 나타내는 기능적 블록도이다.
도 4는 다양한 실시예들에 따른 노드의 기능적 블록도를 나타낸다.
도 5는 다양한 실시예들에 따라 네트워크 접속이 차단되는 동작을 설명할 수 있다.
도 6은 다양한 실시예들에 따른 컨트롤러 접속을 위한 신호 흐름도를 나타낸다.
도 7은 다양한 실시예들에 따른 컨트롤러 접속을 위한 사용자 인터페이스 화면을 나타낸다.
도 8은 다양한 실시예들에 따른 사용자 인증을 위한 신호 흐름도를 나타낸다.
도 9는 네트워크 접속을 처리하기 위한 신호 흐름도를 나타낸다.
도 10는 다양한 실시예들에 따라 네트워크 접속을 차단하기 위한 신호 흐름도를 나타낸다.
도 11은 다양한 실시예들에 따른 제어 플로우 갱신하기 위한 흐름도를 나타낸다.
도 12는 다양한 실시예들에 따른 네트워크 접속을 해제하기 위한 흐름도를 나타낸다.
도 13은 다양한 실시예들에 따른 단위 네트워크 접속을 해제하기 위한 흐름도를 나타낸다.
도 14는 다양한 실시예들에 따른 데이터 패킷 차단 로그 동기화를 위한 흐름도를 나타낸다.
도 15는 다양한 실시예들에 따른 애플리케이션 실행 종료를 위한 흐름도를 나타낸다.
이하, 본 발명의 다양한 실시예가 첨부된 도면을 참조하여 기재된다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 실시예의 다양한 변경(modification), 균등물(equivalent), 및/또는 대체물(alternative)을 포함하는 것으로 이해되어야 한다.
본 문서에서 아이템에 대응하는 명사의 단수 형은 관련된 문맥상 명백하게 다르게 지시하지 않는 한, 상기 아이템 한 개 또는 복수 개를 포함할 수 있다. 본 문서에서, "A 또는 B", "A 및 B 중 적어도 하나", "A 또는 B 중 적어도 하나", "A, B 또는 C", "A, B 및 C 중 적어도 하나" 및 "A, B, 또는 C 중 적어도 하나"와 같은 문구들 각각은 그 문구들 중 해당하는 문구에 함께 나열된 항목들 중 어느 하나, 또는 그들의 모든 가능한 조합을 포함할 수 있다. "제 1", "제 2", 또는 "첫째" 또는 "둘째"와 같은 용어들은 단순히 해당 구성요소를 다른 해당 구성요소와 구분하기 위해 사용될 수 있으며, 해당 구성요소들을 다른 측면(예컨대, 중요성 또는 순서)에서 한정하지 않는다. 어떤(예컨대, 제 1) 구성요소가 다른(예컨대, 제 2) 구성요소에, "기능적으로" 또는 "통신적으로"라는 용어와 함께 또는 이런 용어 없이, "커플드" 또는 "커넥티드"라고 언급된 경우, 그것은 상기 어떤 구성요소가 상기 다른 구성요소에 직접적으로(예컨대, 유선으로), 무선으로, 또는 제 3 구성요소를 통하여 연결될 수 있다는 것을 의미한다.
본 문서에서 설명되는 구성요소들의 각각의 구성요소(예컨대, 모듈 또는 프로그램)는 단수 또는 복수의 개체를 포함할 수 있다. 다양한 실시예들에 따르면, 해당 구성요소들 중 하나 이상의 구성요소들 또는 동작들이 생략되거나, 또는 하나 이상의 다른 구성요소들 또는 동작들이 추가될 수 있다. 대체적으로 또는 추가적으로, 복수의 구성요소들(예컨대, 모듈 또는 프로그램)은 하나의 구성요소로 통합될 수 있다. 이 경우, 통합된 구성요소는 상기 복수의 구성요소들 각각의 구성요소의 하나 이상의 기능들을 상기 통합 이전에 상기 복수의 구성요소들 중 해당 구성요소에 의해 수행되는 것과 동일 또는 유사하게 수행할 수 있다. 다양한 실시예들에 따르면, 모듈, 프로그램 또는 다른 구성요소에 의해 수행되는 동작들은 순차적으로, 병렬적으로, 반복적으로, 또는 휴리스틱하게 실행되거나, 상기 동작들 중 하나 이상이 다른 순서로 실행되거나, 생략되거나, 또는 하나 이상의 다른 동작들이 추가될 수 있다.
본 문서에서 사용되는 용어 "모듈"은 하드웨어, 소프트웨어 또는 펌웨어로 구현된 유닛을 포함할 수 있으며, 예를 들면, 로직, 논리 블록, 부품, 또는 회로와 같은 용어와 상호 호환적으로 사용될 수 있다. 모듈은, 일체로 구성된 부품 또는 하나 또는 그 이상의 기능을 수행하는, 상기 부품의 최소 단위 또는 그 일부가 될 수 있다. 예를 들면, 일 실시예에 따르면, 모듈은 ASIC(application-specific integrated circuit)의 형태로 구현될 수 있다.
본 문서의 다양한 실시예들은 기기(machine)에 의해 읽을 수 있는 저장 매체(storage medium)(예컨대, 메모리)에 저장된 하나 이상의 명령어들을 포함하는 소프트웨어(예컨대, 프로그램 또는 애플리케이션)로서 구현될 수 있다. 예를 들면, 기기의 프로세서는, 저장 매체로부터 저장된 하나 이상의 명령어들 중 적어도 하나의 명령을 호출하고, 그것을 실행할 수 있다. 이것은 기기가 상기 호출된 적어도 하나의 명령어에 따라 적어도 하나의 기능을 수행하도록 운영되는 것을 가능하게 한다. 상기 하나 이상의 명령어들은 컴파일러에 의해 생성된 코드 또는 인터프리터에 의해 실행될 수 있는 코드를 포함할 수 있다. 기기로 읽을 수 있는 저장 매체는, 비일시적(non-transitory) 저장 매체의 형태로 제공될 수 있다. 여기서, '비일시적'은 저장 매체가 실재(tangible)하는 장치이고, 신호(signal)(예컨대, 전자기파)를 포함하지 않는다는 것을 의미할 뿐이며, 이 용어는 데이터가 저장 매체에 반영구적으로 저장되는 경우와 임시적으로 저장되는 경우를 구분하지 않는다.
본 문서에 개시된 다양한 실시예들에 따른 방법은 컴퓨터 프로그램 제품(computer program product)에 포함되어 제공될 수 있다. 컴퓨터 프로그램 제품은 상품으로서 판매자 및 구매자 간에 거래될 수 있다. 컴퓨터 프로그램 제품은 기기로 읽을 수 있는 저장 매체(예컨대, compact disc read only memory(CD-ROM))의 형태로 배포되거나, 또는 애플리케이션 스토어를 통해 또는 두 개의 사용자 장치들(예컨대, 스마트폰들) 간에 직접, 온라인으로 배포(예컨대, 다운로드 또는 업로드)될 수 있다. 온라인 배포의 경우에, 컴퓨터 프로그램 제품의 적어도 일부는 제조사의 서버, 애플리케이션 스토어의 서버, 또는 중계 서버의 메모리와 같은 기기로 읽을 수 있는 저장 매체에 적어도 일시 저장되거나, 임시적으로 생성될 수 있다.
도 2는 다양한 실시예들에 따른 네트워크 환경 내의 아키텍처를 나타낸다.
도 2를 참조하면, 단말(201), 스위치(203), 프로텍터(204)의 개수는 도 2에 도시된 개수로 제한되는 것은 아니다. 도 2는 TCP 기반 접속성 제어 기술의 일례이다.
TCP 기반 접속성 제어 기술은 애플리케이션이 서비스 서버(235)에 접속하기 위해 단말(201)에 부여된 IP(사설 IP 또는 공용 IP) 또는 컨트롤러(202)로부터 식별된 IP(공용 IP)를 기반으로 인증된 애플리케이션만 서비스 서버(235)와 TCP 세션 생성 및 유지를 하며 비인가된 단말(201) 또는 인증되지 않은 애플리케이션의 TCP 세션은 프로텍터(204)에 의해 종료되어 지속적으로 통신을 유지할 수 없는 구조를 제공할 수 있다. 프로텍터(204)는 '네트워크 노드'로도 참조될 수 있다.
단말(201)은 네트워크 접속 발생시 컨트롤러(202)로부터 접속 가능 여부를 확인하고, 접속 가능한 경우에만 컨트롤러(202)에 의해 생성된 데이터 플로우 정보를 통해 접속 대상 네트워크의 경계에 존재하는 스위치(203)로 데이터 패킷을 전송할 수 있다. 단말(201)은 인트라넷(200) 내에 위치될 수 있으며, 인트라넷(200)은 단말(201), 스위치(203), 및 프로텍터(204) 등을 포함할 수 있다. 인트라넷(200)에서 단말(201)과 스위치(203) 및 스위치(203)와 프로텍터(204)는 동작 가능하게 연결될 수 있다.
접속 제어 애플리케이션(211)은 서비스 서버(235)와 통신하기 이전에 컨트롤러로(202)부터 접속 가능 여부를 확인하고, 접속 가능한 경우에만 접속 제어 애플리케이션을 통해서 데이터 패킷이 네트워크로 전송되며, 각 네트워크 경계 상에서 IP 기반의 멀티 캐스트 정보를 수신하고 있는 프로텍터(204)는 수신된 TCP 데이터 패킷이 컨트롤러(202)로부터 수신된 데이터 플로우 정보(인가된 출발지 IP, 도착지 IP, 포트)에 포함되어 있지 않은 경우, 해당 TCP 세션을 종료하는 데이터 패킷을 전파함으로써 비인가된 애플리케이션이 서비스 서버(235)와 지속적으로 통신되는 것을 방지한다.
다양한 실시 예들에 따르면, 단말(201)은 단말(201) 내에 저장된 애플리케이션의 네트워크 접속을 관리하기 위한 접속 제어 애플리케이션(211) 및 네트워크 드라이버(미도시)를 포함할 수 있다. 예를 들어, 접속 제어 애플리케이션은 단말(201) 내에서 운영체제를 포함하는 커널(kernel) 및 네트워크 드라이버를 통해 데이터 패킷의 전송을 제어할 수 있다.
컨트롤러(202)는 예를 들어, 서버(또는 클라우드 서버)일 수 있다. 컨트롤러(202)는 단말(201), 프로텍터(204), 및 목적지 네트워크(230) 사이의 데이터 전송을 관리함으로써 네트워크 환경 내에서 신뢰되는 데이터 전송을 보장할 수 있다. 컨트롤러(202)는 애플리케이션의 네트워크 접속 통제 및 단말(201)과 프로텍터(204)가 속하여 있는 네트워크에서의 TCP 접속 제어를 위한 정책 및 프로텍터(204)로부터 수신된 비인가 접속 현황, 서비스 서버 및 연동 시스템으로부터 수신된 보안 이벤트에 따라 생성된 데이터 플로우 제거 및 해제, 블랙리스트를 통한 단말(201)의 격리 등 상시 안전한 네트워크 상태를 유지하기 위한 방법을 제공한다. 한편, 컨트롤러(202)는 서버 또는 외부 서버를 포함할 수 있다. 컨트롤러(202)는 클라우드 네트워크(220) 내에 위치될 수 있으며, 컨트롤러(202)는 연동된 타 보안 시스템(222)과 동작 가능하게 연결될 수 있다.
프로텍터(204)는 네트워크 경계 단위로 존재할 수 있으며 네트워크 대역에 따라 NAT(Network Address Translation)된 단말(201)의 IP를 컨트롤러(202)를 통해서 식별하여 각 경계 별로 NAT된 단말(201)의 IP(출발지 IP)에 최적화된 데이터 플로우 정보를 수신하고 접속을 제어할 수 있다.
관리자는 컨트롤러(202)에 접속하여 애플리케이션과 서버 사이의 접속을 제어하기 위한 TCP 접속(Connection) 중심의 정책을 설정할 수 있으므로, 단순히 IP 접속 통제를 수행하는 기존의 네트워크 보안 기술보다 더 세밀하고 네트워크 접속 관점에서 더 안전한 제어가 가능하다.
프로텍터(204)는 스위치(203) 또는 단말(201)과 같은 네트워크 세그먼트에서 전송된 데이터 패킷을 수신하는 경우, 데이터 플로우에 존재하는 데이터 패킷이 수신되었는지 여부를 확인할 수 있다.
컨트롤러(202)로부터 수신된 데이터 플로우 정보는 출발지 IP, 도착지 IP, 포트 정보를 포함하여, 데이터 플로우가 존재하지 않는 데이터 패킷의 경우 출발지 IP로 TCP 세션을 종료하기 위한 데이터 패킷(예컨대, RST)를 전송함으로써 비인가된 단말(201) 및 애플리케이션이 비인가된 서버로의 접속 및 접속 유지 행위를 차단할 수 있다.
비인가된 단말(201)은 지속적으로 TCP 세션 생성 및 연결 시도를 수행하지만 상기와 같은 TCP 세션 제어 절차를 통해서 TCP 세션은 강제 종료되므로, 실질적 네트워크 접속 및 통신은 불가능하게 된다.
도 3은 다양한 실시예들에 따라 컨트롤러(예컨대, 도 2의 컨트롤러(202))에 저장된 데이터 베이스를 나타내는 기능적 블록도이다. 도 3은 메모리(330)만을 도시하지만, 컨트롤러(202)는 외부 전자 장치(예컨대, 도 2의 단말(201), 스위치(203) 또는 목적지 네트워크(230))와 통신을 수행하기 위한 통신 회로(예컨대, 도 4의 통신 회로(430)) 및 컨트롤러의 전반적인 동작을 제어하기 위한 프로세서(예컨대, 도 4의 프로세서(410))를 더 포함할 수 있다.
도 3을 참조하면, 컨트롤러는 네트워크 접속 및 데이터 전송의 제어를 위한 데이터 베이스(311 내지 316)를 메모리(330)에 저장할 수 있다.
접속 정책 데이터 베이스(311)는 접속하고자 하는 단말(201) 또는 하나 이상의 식별 정보, 애플리케이션 등이 접속 가능한 서비스 정보를 포함하며, 애플리케이션이 네트워크 접속 요청시 해당 정책을 기반으로 식별된 단말(201) 또는 하나 이상의 식별 대상, 애플리케이션 등이 대상이 서비스에 접속 가능한지 여부를 확인할 수 있다.
프로텍터 정책 데이터 베이스(312)는 접속(Connection) 경로 상에서 서비스 서버(도착지 IP 및 포트)의 네트워크 경계 사이에 존재하는 프로텍터 정보, 출발지 노드(단말(201))가 서비스 서버에 접속하기 위해 프로텍터에서 관리할 네트워크 대역 정보 및 주기적 데이터 플로우 갱신을 위한 만료 시간 정보를 포함할 수 있다.
블랙리스트 정책 데이터 베이스(313)는 단말(201) 또는 프로텍터(204)에서 주기적으로 수집되는 보안 이벤트 중 보안 이벤트의 위험도 및 발생 주기, 행위 분석 등을 통해 식별된 정보(단말(201) 또는 하나 이상의 식별 정보, IP 주소, MAC 주소, 사용자 등)를 기반으로 식별된 대상의 접속을 영구적 또는 일시적 차단하기 위한 블랙리스트 등록 정책을 설정할 수 있다.
블랙리스트 데이터 베이스(314)는 블랙리스트 정책 데이터 베이스(313)에 의해 접속 차단된 단말(201) 또는 하나 이상의 식별 정보, IP, MAC 주소, 사용자 등을 포함하고 있으며 애플리케이션은 컨트롤러(202) 접속 요청 시 해당 목록에 포함되어 있을 경우 접속 요청이 거부되기 때문에 네트워크 접속이 불가능한 완전한 격리 상태가 된다.
제어 플로우 테이블(315)은 애플리케이션과 컨트롤러(202) 사이에 생성된 흐름을 관리하기 위한 일종의 세션 테이블로서, 애플리케이션은 성공적으로 컨트롤러(202)에 접속하였을 경우 제어 플로우 및 제어 플로우 식별을 위한 식별 정보가 생성되며 제어 플로우 내에는 컨트롤러(202) 접속 및 인증 시 각각 식별된 IP 주소, 단말(201) 또는 하나 이상의 식별 정보, 애플리케이션 식별 정보, 서비스 서버(235)와의 연계를 통해 추가적으로 식별된 정보 등의 정보를 포함하게 된다.
애플리케이션의 네트워크 접속 요청 시 전송된 제어 플로우 식별 정보와 해당 식별 정보로 검색된 제어 플로우 내에 포함된 각 식별 정보를 접속 정책과 매핑하여 서비스 서버(235)에 접속이 가능한지 여부 및 서비스 서버(235)와의 TCP 세션 생성을 위한 데이터 플로우 생성 가능 여부를 판단하기 위한 정보로 사용된다.
애플리케이션은 주기적으로 제어 플로우의 만료 시각을 갱신해야 하며 일정 시간 동안 갱신이 이루어지지 않았을 경우 제어 플로우가 제거되며, 접속 애플리케이션, 타 보안 애플리케이션 및 프로텍터(204)로부터 수집된 보안 이벤트의 위험 수준에 따라 즉각적인 접속 차단이 필요로 할 경우 또는 애플리케이션의 접속 종료 요청에 따라 제어 플로우는 제거된다.
제어 플로우가 제거되면 관련 데이터 플로우는 모두 회수되며, 애플리케이션과 서비스 서버(235) 사이에 존재하는 프로텍터(204)를 통해서 모든 접속이 차단된다.
데이터 플로우 테이블(316)은 단말(201) 및 단말(201)과 서비스 서버(235) 사이에 존재하는 프로텍터(204)가 세부적인 데이터 패킷이 전송되는 흐름을 관리하기 위한 테이블로써, 출발지 단말(201)의 애플리케이션 및 서버의 서비스 단위로 생성되는 TCP 세션을 관리하기 위한 데이터 플로우 정보를 포함한다.
데이터 플로우를 식별하기 위한 데이터 플로우 식별 정보, 각 단말(201) 또는 하나 이상의 식별 정보 및 애플리케이션은 하나 이상의 서비스와 TCP 세션을 생성할 수 있고, 전송 주체에 부여된 제어 플로우 식별 정보로 종속된 데이터 플로우를 관리할 수 있으며, 애플리케이션과 서비스 서버(235) 사이에 존재하는 프로텍터(204)가 해당 데이터 패킷의 출발지 IP 및 도착지 IP, 서비스 포트 정보를 기반으로 TCP 세션 종료 데이터 패킷 전송 및 해제 처리 여부를 판단하기 위한 인가된 대상 정보, 해당 데이터 플로우를 주기적으로 인증할 경우 필요로 한 인증 만료 시각 정보를 포함할 수 있다.
또한, 컨트롤러(202)에 포함된 데이터 플로우 테이블(316) 구조는 단말(201)과 프로텍터(204)에 각각 동일하거나 유사하게 적용될 수 있다.
도 4는 다양한 실시예들에 따른 노드(예컨대, 도 2의 단말(201) 및 목적지 네트워크(230))의 기능적 블록도를 나타낸다. 도 4를 참조하면, 노드는 단말(201)일 수 있고, 프로세서(410), 메모리(420), 및 통신 회로(430)를 포함할 수 있다. 일 실시예에 따르면, 노드는 사용자와 인터페이스를 수행하기 위하여 디스플레이(440)를 더 포함할 수 있다.
프로세서(410)는 단말(201)의 전반적인 동작을 제어할 수 있다. 다양한 실시예들에서, 프로세서(410)는 하나의 프로세서 코어(single core)를 포함하거나, 복수의 프로세서 코어들을 포함할 수 있다. 예를 들면, 프로세서(410)는 듀얼 코어(dual-core), 쿼드 코어(quad-core), 헥사 코어(hexa-core) 등의 멀티 코어(multi-core)를 포함할 수 있다. 실시예들에 따라, 프로세서(410)는 내부 또는 외부에 위치된 캐시 메모리(cache memory)를 더 포함할 수 있다. 실시예들에 따라, 프로세서(410)는 하나 이상의 프로세서들로 구성될(configured with) 수 있다. 예를 들면, 프로세서(410)는, 애플리케이션 프로세서(application processor), 통신 프로세서(communication processor), 또는 GPU(graphical processing unit) 중 적어도 하나를 포함할 수 있다.
프로세서(410)의 전부 또는 일부는 노드 내의 다른 구성 요소(예를 들면, 메모리(420), 통신 회로(430), 또는 디스플레이(440))와 전기적으로(electrically) 또는 동작 가능하게(operatively) 결합(coupled with)되거나 연결될(connected to) 수 있다. 프로세서(410)는 노드의 다른 구성 요소들의 명령을 수신할 수 있고, 수신된 명령을 해석할 수 있으며, 해석된 명령에 따라 계산을 수행하거나 데이터를 처리할 수 있다. 프로세서(410)는 메모리(420), 통신 회로(430), 또는 디스플레이(440)로부터 수신되는 메시지, 데이터, 명령어, 또는 신호를 해석할 수 있고, 가공할 수 있다. 프로세서(410)는 수신된 메시지, 데이터, 명령어, 또는 신호에 기초하여 새로운 메시지, 데이터, 명령어, 또는 신호를 생성할 수 있다. 프로세서(410)는 가공되거나 생성된 메시지, 데이터, 명령어, 또는 신호를 메모리(420), 통신 회로(430), 또는 디스플레이(440)에게 제공할 수 있다.
프로세서(410)는 프로그램에서 생성되거나 발생되는 데이터 또는 신호를 처리할 수 있다. 예를 들면, 프로세서(410)는 프로그램을 실행하거나 제어하기 위해 메모리(420)에게 명령어, 데이터 또는 신호를 요청할 수 있다. 프로세서(410)는 프로그램을 실행하거나 제어하기 위해 메모리(420)에게 명령어, 데이터, 또는 신호를 기록(또는 저장)하거나 갱신할 수 있다.
메모리(420)는 노드를 제어하는 명령어, 제어 명령어 코드, 제어 데이터, 또는 사용자 데이터를 저장할 수 있다. 예를 들면, 메모리(420)는 애플리케이션(application) 프로그램, OS(operating system)(예컨대, Microsoft Windows, Google Android, Apple iOS, MacOS 등), 미들웨어(middleware), 또는 디바이스 드라이버(device driver) 중 적어도 하나를 포함할 수 있다.
메모리(420)는 휘발성 메모리(volatile memory) 또는 불휘발성(non-volatile memory) 중 하나 이상을 포함할 수 있다. 휘발성 메모리는 DRAM(dynamic random access memory), SRAM(static RAM), SDRAM(synchronous DRAM), PRAM(phase-change RAM), MRAM(magnetic RAM), RRAM(resistive RAM), FeRAM(ferroelectric RAM) 등을 포함할 수 있다. 불휘발성 메모리는 ROM(read only memory), PROM(programmable ROM), EPROM(electrically programmable ROM), EEPROM(electrically erasable programmable ROM), 플래시 메모리(flash memory) 등을 포함할 수 있다. 메모리(420)는 하드 디스크 드라이브(HDD, hard disk drive), 솔리드 스테이트 디스크(SSD, solid state disk), eMMC(embedded multimedia card), UFS(universal flash storage)와 같은 불휘발성 매체(medium)를 더 포함할 수 있다.
일 실시예에 따르면, 메모리(420)는 컨트롤러(202)의 메모리(예컨대, 도 3의 메모리(330))에 포함된 정보 중 일부를 저장할 수 있다.
통신 회로(430)는 단말(201)과 외부 전자 장치(예컨대, 도 2의 컨트롤러(202) 또는 스위치(203)) 사이의 유선 또는 무선 통신 연결의 수립, 및 수립된 연결을 통한 통신 수행을 지원할 수 있다. 일 실시예에 따르면, 통신 회로(430)는 무선 통신 회로(예컨대, 셀룰러 통신 회로, 근거리 무선 통신 회로, 또는 GNSS(global navigation satellite system) 통신 회로) 또는 유선 통신 회로(예컨대, LAN(local area network) 통신 회로, 또는 전력선 통신 회로)를 포함하고, 그 중 해당하는 통신 회로를 이용하여 블루투스, WiFi direct 또는 IrDA(infrared data association) 같은 근거리 통신 네트워크 또는 셀룰러 네트워크, 인터넷, 또는 컴퓨터 네트워크와 같은 원거리 통신 네트워크를 통하여 외부 전자 장치와 통신할 수 있다. 상술한 여러 종류의 통신 회로(430)는 하나의 칩으로 구현되거나 또는 각각 별도의 칩으로 구현될 수 있다.
디스플레이(440)는, 컨텐츠, 데이터, 또는 신호를 시각적으로 출력할 수 있다. 다양한 실시예들에서, 디스플레이(440)는 프로세서(410)에 의해 가공된 이미지 데이터를 표시할 수 있다. 실시예들에 따라, 디스플레이(440)는 터치 입력 등을 수신할 수 있는 복수의 터치 센서들(미도시)과 결합됨으로써, 일체형의 터치 스크린(touch screen)으로 구성될(configured with) 수도 있다. 디스플레이(440)가 터치 스크린으로 구성되는 경우, 복수의 터치 센서들은, 디스플레이(440) 위에 배치되거나, 디스플레이(440) 아래에 배치될 수 있다.
한편, 일 실시예에 따른 서버(예컨대, 컨트롤러(202))는 프로세서(410), 메모리(420), 및 통신 회로(430)를 포함할 수 있다. 서버에 포함되는 프로세서(410), 메모리(420) 및 통신 회로(430)는 상술한 프로세서(410), 메모리(420) 및 통신 회로(430)와 실질적으로 동일할 수 있다.
도 5는 다양한 실시예들에 따라 네트워크 접속이 차단되는 동작을 설명한다.
일 실시예에 따르면, 접속 애플리케이션은 컨트롤러(202)와 접속된 상태가 아닌 경우, 서비스 서버(235)로 전송되는 데이터 패킷은 TCP 세션 생성이 프로텍터(204)에서 차단되어 컨트롤러(202)로 전송되는 데이터 패킷을 제외한 어떠한 데이터 패킷도 서비스 서버(235)로 전송되지 않는다.
접속 제어 애플리케이션(211)은 컨트롤러(202)와 접속된 상태가 아닌 경우, 서비스 서버(235)로 전송되는 데이터 패킷은 TCP 세션 생성이 프로텍터(204)에서 차단되어 컨트롤러(202)로 전송되는 데이터 패킷을 제외한 어떠한 데이터 패킷도 서비스 서버(235)로 전송되지 않는다.
접속 제어 애플리케이션(211)은 반드시 컨트롤러(202)에 접속하여 단말(201) 또는 하나 이상의 식별 정보 및 애플리케이션에 대한 식별 및 인증을 수행해야 하며, 인증 수행 이후 서비스 서버(235) 접속 시, 접속 네트워크 정보를 컨트롤러(202)에 질의하여 접속 가능 여부를 확인하고, 인가된 애플리케이션의 데이터 패킷만 네트워크로 전송한다.
그에 따라, 비인가 단말(201) 또는 애플리케이션은 기본적으로 서비스 서버(235)에 접속할 수 없는 상태이며, 인가된 단말(201) 또는 애플리케이션이더라도 컨트롤러(202)로부터 해당 애플리케이션의 접속 정보를 포함하는 데이터 플로우 정보가 프로텍터(204)에 전달되지 않은 경우, TCP 세션 생성이 차단 및 종료되기 때문에 서비스 서버(235)에 도달할 수 없는 상태, 즉 격리된 상태가 된다.
도 6 내지 도 7은 다양한 실시예들에 따른 컨트롤러 접속을 위한 동작을 설명한다. 도 6은 컨트롤러 접속을 위한 신호 흐름도를 나타내고, 도 7은 컨트롤러 접속을 위한 사용자 인터페이스 화면을 나타낸다.
단말(201)이 네트워크를 접속 또는 수신하기 위해서는 컨트롤러(202)에 의하여 인가될 필요가 있으므로, 단말(201)의 접속 제어 애플리케이션(211)은 컨트롤러(202)에게 제어 플로우(제어 데이터 패킷 흐름 및 일련의 세션)의 생성을 요청함으로서 단말(201)의 컨트롤러 접속을 시도할 수 있다. 또한, 접속 제어 애플리케이션(211)은 도 2에서의 접속 제어 애플리케이션(211)을 포함할 수 있다.
사용자는 컨트롤러(202) 접속을 위해 접속 제어 애플리케이션(211) 실행시 접속 정보를 기입하고 사용자 접속 버튼(714)을 클릭할 수 있다.
컨트롤러(202)는 접속 제어 애플리케이션(211)이 접속 요청한 정보(해당 단말(201)의 종류, 위치 정보, 환경 및 단말(201)이 포함되어 있는 네트워크 등)가 정책에 의해 접속 가능한 상태인지 여부, 단말(201) 및 네트워크 식별 정보(단말(201) 식별 정보, IP, MAC 주소 등)가 블랙리스트에 포함되어 있는지 여부를 검사하여 단말(201)이 접속 가능한 상태인지를 확인하고, 접속 가능한 상태인 경우 제어 플로우를 생성하고 생성된 제어 플로우 식별 정보를 단말(201)에 전송할 수 있다.
만약 단말(201)이 접속 불가능한 상태인 경우, 접속 제어 애플리케이션(211)은 화면에 접속 불가 메시지 및 사유를 표시할 수 있다(725).
컨트롤러(202)에 정상적으로 접속된 경우, 이후 단말(201)에서 발생되는 모든 네트워크 접속 요청은 컨트롤러(202)를 통해 인가 여부를 확인하게 되며, 현재 단계에서는 사용자 인증이 이루어지지 않은 상태이므로 비식별 사용자(게스트)에 해당하는 접속 정책이 적용된다.
도 6을 참조하면, 동작 605에서, 단말(201)은 컨트롤러 접속 이벤트를 감지할 수 있다. 예를 들어, 접속 제어 애플리케이션(211)은 컨트롤러(202)와 제어 플로우(제어 데이터 패킷 흐름 및 일련의 세션)를 생성하기 위해 컨트롤러(202) 접속 요청할 수 있다(동작 610).
컨트롤러 접속 이벤트의 예시적인 실시예로서, 도 7을 참조하면, 접속 제어 애플리케이션(211)이 실행되면 단말(201)은 컨트롤러 접속을 위하여 필요한 정보를 수신하기 위한 사용자 인터페이스 화면(710)을 표시할 수 있다. 사용자 인터페이스 화면(710)은 컨트롤러(202)의 IP 또는 도메인을 입력하기 위한 입력 창(711), 사용자 식별 정보를 입력하기 위한 입력 창(712), 비밀번호를 입력하기 위한 입력 창(713), 및/또는 접속 위치를 입력하기 위한 입력 창(714)을 포함할 수 있다. 입력 창들(711 내지 714)에 대한 정보가 입력된 후 인증된 사용자의 컨트롤러 접속을 위한 버튼(715)을 수신함으로써 단말(201)은 컨트롤러 접속 이벤트를 감지할 수 있다. 다른 예를 들어, 단말(201)의 사용자 인증이 아직 완료되지 않은 상태라면, 단말(201)은 비인가된 사용자(즉, 게스트)의 컨트롤러 접속을 위한 버튼(716)을 수신함으로써 컨트롤러 접속 이벤트를 감지할 수 있다.
동작 615에서, 컨트롤러(202)는 접속 제어 애플리케이션(211)이 접속 요청한 정보(해당 단말(201)의 종류, 위치 정보, 환경 및 단말(201)이 포함되어 있는 네트워크, 접속 제어 애플리케이션(211) 정보 등)가 정책에 의해 접속 가능한 상태인지 여부, 단말(201) 및 네트워크 식별 정보(단말(201) 식별 정보, IP, MAC 주소 등)가 블랙리스트에 포함되어 있는지 여부를 검사하여 단말(201)이 접속 가능한 상태인지를 확인할 수 있다.
만약 접속이 불가능하거나 블랙리스트에 포함된 경우 접속 불가 정보를 단말(2011)로 전송한다.
동작 620에서, 접속 가능한 단말(201)인 경우, 제어 플로우를 생성하고 난수 형태로 제어 플로우 식별 정보 생성, 단말(201) 및 네트워크 식별 정보(단말(201) 식별 정보, IP, MAC 주소 등)를 기입하여 제어 플로우 테이블에 추가한다.
동작 625에서, 컨트롤러(202)는 식별된 정보(단말(201), 출발지 네트워크 정보 등)와 매칭된 접속 정책에서, 접속 가능한 애플리케이션 화이트리스트 정보를 생성하며, 접속 결과로써 접속 완료 상태 및 이후 단말(201)의 사용자 인증 요청 및 지속적인 단말(201) 정보 업데이트시, 제어 플로우를 식별하기 위한 제어 플로우 식별 정보 및 상기의 과정을 통해서 생성된 애플리케이션 화이트리스트를 반환한다. 만약 접속이 불가능한 경우, 컨트롤러(202)는 단말(201)에 접속 불가 결과를 전송한다.
동작 630에서, 단말(201)은 컨트롤러(202)로부터 수신된 접속 요청 결과값을 처리할 수 있다. 만약 접속이 불가능한 경우, 접속 제어 애플리케이션(211)의 실행을 중지하고 종료하거나, 관련 오류 메시지를 표시한다.
동작 635에서, 단말(201)은 컨트롤러(202)로부터 애플리케이션 화이트리스트를 수신한 경우, 해당 애플리케이션이 단말(201)에 설치되어 있는지 여부를 확인하고, 존재하는 애플리케이션의 경우, 유효성 검사 정책에 따라 해당 애플리케이션의 무결성 및 안전성 여부(애플리케이션 위변조 여부, 코드 사이닝 검사, 핑거프린트 검사 등) 검사를 수행한 결과를 컨트롤러(202)로 전송한다.
동작 640에서, 접속이 가능한 경우, 해당 네트워크에 연결된 단말(201)의 접속을 허용하기 위해 프로텍터(204) 정책에서 해당 단말(201)이 위치한 프로텍터(204)를 확인하고, 데이터 플로우 테이블(316)에서 해당 도착지 IP와 포트로 접속 가능한 데이터 플로우 정보가 존재하는지 확인할 수 있다.
만약 데이터 플로우 테이블(316)에서 유효한 데이터 플로우 정보가 없는 경우, 해당 애플리케이션이 서비스 서버(235) 사이의 TCP 세션 생성을 허용할 수 있도록 출발지 IP, 도착지 IP 및 포트 정보를 기반으로 데이터 플로우 정보를 생성하고, 해당 정보를 식별된 프로텍터(204)에 각각 데이터 플로우 정보를 전송할 수 있다(동작 645).
만약 데이터 플로우 테이블(316)에서 접속 가능한 데이터 플로우 정보가 존재하는 경우, 해당 정보를 단말(201)에 전송할 수 있다.
동작 650에서, 단말(201)은 컨트롤러(202)로부터 수신된 접속 요청 결과값을 처리할 수 있다.
도 8은 다양한 실시예들에 따른 사용자 인증을 위한 신호 흐름도를 나타낸다.
컨트롤러(202)는 접속 제어 애플리케이션(211)이 인증 요청한 정보(사용자 식별 정보 및 비밀번호, 강화된 인증 정보 등)를 기반으로 접속 가능한 사용자인지 여부와 블랙리스트에 포함되어 있는지 여부를 검사하여 해당 사용자가 차단되어 있는지 여부를 확인하고 접속 가능한 상태인 경우 인증 절차를 완료하고 제어 플로우에 사용자 식별 정보를 추가한다.
만약 사용자 인증이 실패한 경우, 접속 제어 애플리케이션(211)은 화면에 접속 불가 메시지 및 사유를 표시한다.
사용자가 정상적으로 인증된 경우, 인증된 사용자에 해당하는 접속 정책이 적용되어 네트워크 접속 인가 여부를 확인하게 된다.
도 8을 참조하면, 동작 805에서, 접속 제어 애플리케이션(211)은 네트워크의 상세한 접속 권한을 부여받기 위해 사용자 인증을 수행할 수 있으며, 사용자 식별 정보 및 비밀번호 또는 강화된 인증 방법에 의한 인증 정보를 컨트롤러(202)로 전송할 수 있다(동작 810).
동작 815에서, 컨트롤러(202)는 접속 제어 애플리케이션(211)이 인증 요청한 정보(사용자 식별 정보 및 비밀번호, 강화된 인증 정보 등)를 기반으로 접속 가능한 사용자인지 여부와 블랙리스트에 포함되어 있는지 여부를 검사하여 해당 사용자가 차단되어 있는지 여부를 확인할 수 있다.
인증이 불가능한 경우, 컨트롤러(202)는 단말(201)에 접속이 불가능하거나 블랙리스트에 포함된 경우 접속 불가 정보를 전송한다.
동작 820에서, 접속 가능한 사용자인 경우, 전송한 제어 플로우 식별 정보로 제어 플로우 테이블에서 제어 플로우를 검색하고, 검색된 제어 플로우에의 식별 정보에 사용자 식별 정보(사용자 식별 정보)를 추가할 수 있다. 컨트롤러(202)는 사용자 인증 결과로써 인증 완료 상태 및 인증된 사용자의 접속 정책 정보를 반환할 수 있다.
동작 825에서, 컨트롤러(202)는 식별된 정보(단말(201), 출발지 네트워크 정보, 사용자 식별 정보 등)와 매칭된 접속 정책에서, 접속 가능한 애플리케이션 화이트리스트 정보를 생성하며, 접속 결과로써 접속 완료 상태 및 이후 단말(201)의 사용자 인증 요청 및 지속적인 단말(201) 정보 업데이트시, 제어 플로우를 식별하기 위한 제어 플로우 식별 정보 및 상기의 과정을 통해서 생성된 애플리케이션 화이트리스트를 반환한다.
만약 접속이 불가능한 경우, 컨트롤러(202)는 단말(201)에 접속 불가 결과를 전송한다.
동작 830에서, 단말(201)은 컨트롤러(202)로부터 수신된 접속 요청 결과값을 처리할 수 있다. 만약 접속이 불가능한 경우, 접속 제어 애플리케이션(211)의 실행을 중지하고 종료하거나, 관련 오류 메시지를 사용자 인터페이스를 통해 표시할 수 있다.
동작 835에서, 단말(201)은 컨트롤러(202)로부터 애플리케이션 화이트리스트를 수신한 경우, 해당 애플리케이션이 단말(201)에 설치되어 있는지 여부를 확인하고, 존재하는 애플리케이션의 경우, 유효성 검사 정책에 따라 해당 애플리케이션의 무결성 및 안전성 여부(애플리케이션 위변조 여부, 코드 사이닝 검사, 핑거프린트 검사 등) 검사를 수행한 결과를 컨트롤러(202)로 전송할 수 있다.
동작 840에서, 접속이 가능한 경우, 해당 네트워크에 연결된 단말(201)의 접속을 허용하기 위해 프로텍터(204) 정책에서 해당 단말(201)이 위치한 프로텍터(204)를 확인하고, 데이터 플로우 테이블(316)에서 해당 도착지 IP와 포트로 접속 가능한 데이터 플로우 정보가 존재하는지 확인할 수 있다.
만약 데이터 플로우 테이블(316)에서 유효한 데이터 플로우 정보가 없는 경우, 해당 애플리케이션이 서비스 서버(235) 사이의 TCP 세션 생성을 허용할 수 있도록 출발지 IP, 도착지 IP 및 포트 정보를 기반으로 데이터 플로우 정보를 생성하고, 해당 정보를 식별된 프로텍터(204)에 각각 데이터 플로우 정보를 전송한다(동작 845).
만약 데이터 플로우 테이블(316)에서 접속 가능한 데이터 플로우 정보가 존재하는 경우, 해당 정보를 단말(201)에 전송할 수 있다.
동작 850에서, 단말(201)은 컨트롤러(202)로부터 수신된 접속 요청 결과값을 처리할 수 있다.
도 9는 네트워크 접속을 처리하기 위한 신호 흐름도를 나타낸다.
접속 제어 애플리케이션(211)은 네트워크 접속 요청이 들어오는 경우, 접속 요청한 애플리케이션과 도착지 IP, 서비스 포트 정보를 식별하고 데이터 플로우 테이블(316)에서 해당 식별 정보로 사용할 수 있는 유효한 데이터 플로우 정보가 있는지 확인한다.
데이터 플로우 테이블(316)은 접속 및 관리 단위 별로 데이터 패킷을 전송할 수 있는지 여부를 판단하기 위한 정보를 제공할 수 있다.
사용할 수 있는 데이터 플로우 정보가 있다면 데이터 패킷을 전송할 수 있다.
데이터 플로우 정보가 존재하지 않는 경우, 유효성 검사 정책에 따라 유효성 검사 절차를 수행한다. 유효성 검사는 접속 요청한 애플리케이션의 무결성 및 안전성 여부(애플리케이션 위변조 여부, 코드 사이닝 검사, 핑거프린트 검사 등) 검사 및 컨트롤러(202)로부터 수신된 접속 정책에 따라 접속 제어 애플리케이션(211), 접속 대상 IP 및 포트가 접속 가능한 상태인지를 사전에 확인하는 절차를 수행할 수 있다.
만약 유효성 검사에 실패한 경우, 데이터 패킷을 드롭(DROP)하고 접속 제어 애플리케이션(211)에 접속 불가 메시지 및 사유를 표시할 수 있다.
유효성 검사에 성공한 경우, 단말(201)은 컨트롤러(202)에 접속 요청을 수행하며 요청 시 각 식별 정보(접속 제어 애플리케이션(211), 접속 대상 IP, 서비스 포트 정보 등)를 전송할 수 있다.
컨트롤러(202)는 제어 플로우 상에 식별된 정보(단말(201), 사용자, 출발지 네트워크 정보 등)와 매칭된 접속 정책에서, 접속 요청한 식별 정보(접속 제어 애플리케이션(211) 및 접속 대상 IP 및 서비스 포트 정보 등)의 포함 여부 및 접속 가능 여부를 확인할 수 있다.
만약 접속이 불가능한 경우, 컨트롤러(202)는 단말(201)에 접속 불가 결과를 전송하고, 접속 제어 애플리케이션(211)은 해당 데이터 패킷을 드롭(DROP)하고 접속 불가 메시지 및 사유를 표시할 수 있다.
접속이 가능한 경우, 서비스 서버(235) 사이에 존재하는 프로텍터(204)에 해당 데이터 패킷 차단을 해제하기 위한 정보를 포함하는 데이터 플로우 정보를 전송한다.
접속 제어 애플리케이션(211)은 컨트롤러(202)로부터 수신된 접속 요청 결과값을 확인한다.
데이터 플로우 정보를 수신한 접속 제어 애플리케이션(211)은 서비스 서버(235)로 데이터 패킷을 전송하며, 애플리케이션과 서비스 서버(235) 사이에 존재하는 프로텍터(204)는 수신된 데이터 패킷이 해당 인증 데이터 패킷 및 출발지 IP, 도착지 IP, 포트 기반으로 유효한 데이터 플로우가 존재하는지 여부를 확인하여 유효하지 않은 경우, TCP 세션 종료 데이터 패킷(예컨대, RST)을 단말(201)로 전송한다.
이와 같은 절차를 통해 애플리케이션은 기본적으로 서비스 서버(235)와 차단된 상태이며, 컨트롤러(202)의 인가 과정 및 프로텍터(204)의 TCP 세션 모니터링 과정을 통해 허용된 데이터 플로우 테이블(316)에 포함된 데이터 패킷만 전송할 수 있는 환경이 제공된다.
도 9를 참조하면, 동작 905에서, 접속 제어 애플리케이션(211)은 네트워크 접속 이벤트를 감지할 수 있다. 예를 들어, 접속 제어 애플리케이션(211)은 웹 브라우저와 같은 타겟 애플리케이션이 인터넷과 같은 목적지 네트워크(230)를 포함하는 목적지 네트워크로의 접속을 시도함을 감지할 수 있다. 예를 들어, 사용자는 웹 브라우저를 실행하고 접속하고자 하는 웹 주소를 입력 및 호출할 수 있다.
동작 910에서, 접속 제어 애플리케이션(211)은 서비스 서버(235)와 통신을 수행해야 하는 경우, 해당 서비스 서버(235)와 통신하기 위해 애플리케이션 식별 정보, 도착지 IP와 포트 정보를 기반으로 데이터 플로우 정보가 존재하는지 확인할 수 있다. 만약 데이터 플로우가 존재하지만 유효하지 않은 경우(예컨대, 데이터 패킷 전송 불가 상태) 데이터 패킷은 드롭(DROP)될 수 있다. 만약 데이터 플로우가 존재하는 경우 데이터 패킷을 전송할 수 있다.
동작 915에서, 만약 데이터 패킷이 존재하지 않거나, 인증 시각이 만료되어 갱신이 필요로 한 경우 및 그 외의 사항에 의하여 데이터 플로우를 갱신해야 하는 경우, 유효성 검사 정책에 따라 유효성 검사 절차를 수행할 수 있다. 유효성 검사는 접속 제어 애플리케이션(211) 의 무결성 및 안전성 여부(애플리케이션 위변조 여부, 코드 사이닝 검사, 핑거프린트 검사 등) 검사를 포함할 수 있다.
동작 920에서, 접속 제어 애플리케이션(211) 애플리케이션은 네트워크 접속 이벤트 이전에 컨트롤러(202)와 생성된 제어 플로우를 식별하기 위한 제어 플로우 식별 정보와 애플리케이션 식별 정보, 접속하고자 하는 서버의 도착지IP 및 포트 정보를 기반으로 컨트롤러(202)에 네트워크 접속 요청을 수행할 수 있다.
동작 925에서, 컨트롤러(202)는 제어 플로우 상에 식별된 정보(단말(201), 사용자, 출발지 네트워크 정보 등)와 매칭된 접속 정책에서, 접속 요청한 식별 정보(애플리케이션, 도착지 IP 및 서비스 포트 정보 등)의 포함 여부 및 해당 식별 정보로 매핑된 도착지 서버와의 접속 가능 여부를 확인할 수 있다. 만약 접속이 불가능한 경우, 컨트롤러(202)는 단말(201)에 접속 불가 결과를 전송할 수 있다.
동작 930에서, 접속이 가능한 경우, 해당 네트워크에 연결된 단말(201)의 접속을 허용하기 위해 프로텍터(204) 정책에서 해당 단말(201)이 위치한 프로텍터(204)를 확인하고, 데이터 플로우 테이블(316)에서 해당 도착지 IP와 포트로 접속 가능한 데이터 플로우 정보가 존재하는지 확인할 수 있다.
만약 데이터 플로우 테이블(316)에서 유효한 데이터 플로우 정보가 없는 경우, 해당 애플리케이션이 서비스 서버(235) 사이의 TCP 세션 생성을 허용할 수 있도록 출발지 IP, 도착지 IP 및 포트 정보를 기반으로 데이터 플로우 정보를 생성하고, 해당 정보를 식별된 프로텍터(204)에 각각 데이터 플로우 정보를 전송할 수 있다(동작 935).
만약 데이터 플로우 테이블(316)에서 접속 가능한 데이터 플로우 정보가 존재하는 경우, 해당 정보를 단말(201)에 전송할 수 있다.
동작 940에서, 접속 제어 애플리케이션(211)은 컨트롤러(202)로부터 수신된 접속 요청 결과값을 처리할 수 있다. 만약 네트워크 접속에 실패한 경우, 데이터 패킷은 드롭(DROP) 될 수 있다. 만약 기존에 존재하는 데이터 플로우를 기반으로 접속이 가능한 경우, 데이터 패킷을 전송할 수 있다.
도 10는 다양한 실시예들에 따라 네트워크 접속을 차단하기 위한 신호 흐름도를 나타낸다.
동작 1005에서, 프로텍터(204)는 스위치(203)를 통해서 단말(201)과 같은 세그먼트에 존재하는 멀티캐스팅된 데이터 패킷을 수신할 수 있다.
동작 1005에서, 프로텍터(204)는 데이터 패킷을 수신하는 경우, IP(Internet Protocol)의 5 Tuples 정보에 포함된 출발지 IP, 도착지 IP, 도착지 포트 정보를 기반으로 데이터 플로우 테이블(316)에서 수신된 출발지 IP에 해당하는 데이터 플로우가 존재하는지 확인할 수 있다.
동작 1010에서, 만약 데이터 플로우 테이블(316)에 출발지 IP에 해당하는 데이터 플로우가 존재하지 않는 경우, 프로텍터(204)는 IP 차단 데이터 패킷(ARP Spoofing)을 전송하고 데이터 패킷 전송 차단 로그를 기록할 수 있다(동작 1015).
데이터 플로우 테이블(316)에 출발지 IP가 존재하는 경우, 도착지 IP 및 도착지 포트에 해당하는 데이터 플로우 정보가 존재하는지 확인할 수 있다.
동작 1020에서, 만약 데이터 플로우가 존재하지 않는 경우 TCP 세션을 강제로 종료시키는 TCP 데이터 패킷(예컨대, RST 패킷)을 전송하고 데이터 패킷 전송 차단 로그를 기록할 수 있다.
도 11은 다양한 실시예들에 따른 제어 플로우 갱신하기 위한 흐름도를 나타낸다.
동작 1105에서, 애플리케이션은 제어 플로우 및 현재 접속된 데이터 플로우 정보를 유지하고, 갱신된 데이터 플로우를 컨트롤러(202)로부터 수신하기 위해 주기적으로 부여받은 제어 플로우 식별 정보를 기반으로 제어 플로우를 갱신 요청할 수 있다.
동작 1110에서, 컨트롤러(202)는 단말(201)이 요청한 제어 플로우 식별 정보를 기반으로 제어 플로우 테이블에서 제어 플로우가 존재하는지 여부를 확인할 수 있다.
만약 제어 플로우가 존재하지 않는 경우(예컨대, 타 보안 시스템에 의해서 접속 해제, 갱신 시각 초과, 자체적인 위험 탐지 등에 의한 접속 해제 등), 해당 단말(201)의 접속이 유효하지 않으므로, 접속 불가 정보를 반환할 수 있다.
만약 제어 플로우가 존재하는 경우 갱신 시각을 업데이트하고, 해당 제어 플로우에 종속된 데이터 플로우 정보를 탐색할 수 있다.
만약 데이터 플로우 중 재인증을 수행해야 하거나, 더 이상 접속이 불가능한 데이터 플로우가 존재하는 경우, 해당 데이터 플로우 정보를 반환할 수 있다.
동작 1115에서, 만약 제어 플로우 갱신 결과가 접속 불가인 경우, 애플리케이션을 종료하거나, 애플리케이션의 모든 네트워크 접속을 차단할 수 있다.
만약 제어 플로우 갱신 결과가 정상이고, 갱신된 데이터 플로우 정보가 있는 경우, 애플리케이션 내의 데이터 플로우 테이블(316) 정보를 갱신할 수 있다.
도 12는 다양한 실시예들에 따른 네트워크 접속을 해제하기 위한 흐름도를 나타낸다.
동작 1205에서, 애플리케이션이 종료되거나 더 이상 네트워크 접속을 사용하지 않는 경우, 연동 시스템으로부터 식별된 정보를 기반으로 접속 종료 요청이 발생하는 경우, 컨트롤러(202)에 제어 플로우 종료 요청을 수행할 수 있다.
동작 1210에서, 컨트롤러(202)는 단말(201)이 요청한 제어 플로우 식별 정보를 기반으로 식별 및 검색된 제어 플로우를 제거할 수 있다.
동작 1215에서, 제어 플로우가 제거되면 종속되어 있는 모든 데이터 플로우를 중계하는 프로텍터(204)에 해당 데이터 플로우를 제거 요청할 수 있다.
동작 1220에서, 프로텍터(204)에서 데이터 플로우를 제거하므로, 해당 애플리케이션이 더 이상 목적지 네트워크로 데이터 패킷을 전송할 수 없는 상태가 될 수 있다.
도 13은 다양한 실시예들에 따른 단위 네트워크 접속을 해제하기 위한 흐름도를 나타낸다.
동작 1305에서, 애플리케이션은 특정 서비스 서버(235)에 대해서 더 이상 접속할 필요가 없는 경우, 연동 시스템으로부터 식별된 정보를 기반으로 접속 종료 요청이 발생하는 경우, 컨트롤러(202)에 데이터 플로우 종료 요청을 수행할 수 있다.
동작 1310에서, 컨트롤러(202)는 단말(201)이 요청한 제어 플로우 식별 정보 및 데이터 플로우 식별 정보를 기반으로 식별 및 검색된 제어 플로우에 종속된 데이터 플로우를 제거할 수 있다.
동작 1315에서, 해당 데이터 플로우를 중계하는 프로텍터(204)에 해당 데이터 플로우를 제거 요청함으로써 해당 애플리케이션이 더 이상 목적지 네트워크로 데이터 패킷을 전송할 수 없는 상태가 될 수 있다.
도 14는 다양한 실시예들에 따른 데이터 패킷 차단 로그 동기화를 위한 흐름도를 나타낸다.
동작 1405에서, 프로텍터(204)는 IP 차단 또는 TCP 세션 강제 종료 절차에 따라 수집된 데이터 패킷 차단 로그를 일정 주기 단위로 컨트롤러(202)에 전송할 수 있다.
동작 1410에서, 컨트롤러(202)는 프로텍터(204)로부터 수신된 데이터 패킷 차단 로그에 포함된 차단된 출발지 IP 주소 및 도착지 IP 주소, 포트 정보에 기초하여 블랙리스트 정책 데이터 베이스(313)에 저장되는 블랙리스트 정책에 의해 주기적으로 비허용된 접속 수행 발생시, 동작 1415에서, 해당 출발지 IP 주소가 일시적 또는 영구적으로 접속할 수 없도록 블랙리스트에 추가하거나 기존 블랙리스트(블랙리스트 데이터 베이스(314))에 포함되어 있을 경우 해당 정보를 업데이트할 수 있다.
도 15는 다양한 실시예들에 따른 애플리케이션 실행 종료를 위한 흐름도를 나타낸다.
동작 1505에서, 접속 제어 애플리케이션은 단말에서 실행중인 애플리케이션의 종료 여부를 실시간으로 확인하고 애플리케이션이 종료된 경우 데이터 플로우 테이블(316)을 검사하는 절차를 수행할 수 있다.
동작 1510에서, 종료된 애플리케이션의 식별 정보 및 PID(Process ID 및 Child Process ID Tree) 정보가 데이터 플로우 테이블에 존재하는지 여부를 확인한다.
동작 1515에서, 만약 데이터 플로우 테이블에 종료된 애플리케이션의 식별 정보와 PID에 해당하는 데이터 플로우가 존재하는 경우 데이터 플로우 삭제를 요청할 수 있다.
다중으로 실행 가능한 애플리케이션의 종료를 추적하기 위해 종료된 애플리케이션이 실행중인 프로세스 목록에서 존재하지 않는 경우, 종료된 애플리케이션의 식별 정보에 해당하는 데이터 플로우를 모두 삭제 요청할 수 있다.
접속 제어 애플리케이션(211)은 삭제된 데이터 플로우 목록을 컨트롤러(202)에 전송하여 데이터 플로우의 삭제를 요청할 수 있다.
동작 1520에서, 컨트롤러(202)는 단말에서 수신된 삭제된 데이터 플로우 목록을 기반으로 데이터 플로우 테이블(316)에서 해당 데이터 플로우를 삭제하고, 삭제된 데이터 플로우 목록을 프로텍터로 전송할 수 있다.
동작 1525에서, 프로텍터(204)는 삭제된 데이터 플로우 목록에 포함된 출발지 IP 주소 및 도착지 IP 주소, 도착지 포트 정보에 해당하는 데이터 패킷이 더 이상 포워딩되지 않도록 처리할 수 있다.
이상의 설명은 본 문서에 개시된 기술 사상을 예시적으로 설명한 것에 불과한 것으로서, 본 문서에 개시된 실시예들이 속하는 기술 분야에서 통상의 지식을 가진 자라면 본 문서에 개시된 실시예들의 본질적인 특성에서 벗어나지 않는 범위에서 다양한 수정 및 변형이 가능할 것이다.
따라서, 본 문서에 개시된 실시예들은 본 문서에 개시된 기술 사상을 한정하기 위한 것이 아니라 설명하기 위한 것이고, 이러한 실시예에 의하여 본 문서에 개시된 기술 사상의 범위가 한정되는 것은 아니다. 본 문서에 개시된 기술 사상의 보호 범위는 아래의 청구범위에 의하여 해석되어야 하며, 그와 동등한 범위 내에 있는 모든 기술 사상은 본 문서의 권리범위에 포함되는 것으로 해석되어야 할 것이다.
Claims (10)
- 네트워크 노드에 있어서,통신 회로;메모리; 및상기 통신 회로 및 상기 메모리와 동작 가능하게 연결되는 프로세서를 포함하고, 상기 프로세서는,서버로부터, 출발지 노드와 목적지 네트워크 사이의 TCP 세션 생성을 허용할 수 있도록 생성된 노드 IP, 목적지 네트워크 IP 및 포트 정보를 포함하는 데이터 플로우를 수신하고,상기 출발지 노드가 속한 네트워크의 스위치를 통해서 상기 출발지 노드로부터 브로드캐스팅 또는 멀티캐스팅된 데이터 패킷을 모니터링하고,상기 모니터링을 통해 수신된 데이터 패킷의 출발지 IP에 대응하는 데이터 플로우가 존재하지 않는 경우, IP 차단 데이터 패킷을 상기 출발지 노드로 전송하거나, 또는상기 모니터링을 통해 수신된 데이터 패킷의 도착지 IP 및 도착지 포트 정보에 대응하는 데이터 플로우가 존재하지 않는 경우, TCP 세션을 강제로 종료시키는 TCP 데이터 패킷을 상기 출발지 노드로 전송하고,상기 스위치에 연결되는, 네트워크 노드.
- 제 1 항에 있어서, 상기 프로세서는,상기 서버로부터 데이터 플로우 제거 요청을 받는 경우, 데이터 플로우를 제거함으로써 상기 출발지 노드의 접속 제어 애플리케이션으로 하여금 목적지 네트워크로 데이터 패킷을 전송하지 못하게 하는, 네트워크 노드.
- 제 1 항에 있어서, 상기 프로세서는,데이터 패킷 차단 로그 동기화를 위해, 데이터 패킷 차단 로그 갱신 이벤트를 감지하는 것에 응답하여, 수집된 데이터 패킷 차단 로그를 일정 주기 단위로 상기 서버에 전송하도록 하는, 네트워크 노드.
- 제 3 항에 있어서,상기 데이터 패킷 차단 로그 갱신 이벤트는 IP 차단 또는 TCP 세션 강제 종료를 포함하고,상기 데이터 패킷 차단 로그는 차단된 노드 IP 주소, 도착지 IP 주소, 및 포트 정보를 포함하는, 네트워크 노드.
- 서버에 있어서,통신 회로;데이터 베이스를 저장하는 메모리; 및상기 통신 회로 및 상기 메모리와 동작 가능하게 연결되는 프로세서를 포함하고, 상기 프로세서는,출발지 노드의 접속 제어 애플리케이션으로부터 네트워크 접속의 요청을 수신하고,상기 출발지 노드, 사용자, 상기 출발지 노드의 네트워크 정보를 포함하는 제어 플로우 상에 식별된 정보와 매칭된 접속 정책에서, 애플리케이션, 목적지 네트워크 IP 및 서비스 포트 정보를 포함하는 식별 정보의 포함 여부 및 상기 식별 정보로 매핑된 목적지 네트워크와의 접속 가능 여부를 확인하며,접속이 가능한 경우, 상기 출발지 노드의 접속을 허용하기 위해 네트워크 노드 정책에서 상기 출발지 노드가 위치한 네트워크 노드를 식별하고,데이터 플로우 테이블에서 상기 목적지 네트워크 IP와 상기 서비스 포트 정보로 접속 가능한 데이터 플로우 정보가 존재하는지 확인하며,상기 데이터 플로우 테이블에서 유효한 데이터 플로우 정보가 없는 경우, 상기 애플리케이션이 상기 목적지 네트워크 사이에서 TCP 세션 생성할 수 있도록 상기 출발지 노드의 IP, 상기 목적지 네트워크 IP 및 상기 서비스 포트 정보에 기초하여 데이터 플로우 정보를 생성하고, 생성된 상기 데이터 플로우 정보를 상기 출발지 노드 및 식별된 상기 네트워크 노드에 각각 데이터 플로우 정보를 전송하며,상기 데이터 플로우 테이블에서 접속 가능한 데이터 플로우 정보가 존재하는 경우, 상기 데이터 플로우 정보를 상기 출발지 노드에 전송하고,상기 네트워크 노드로부터 데이터 패킷 차단 로그를 수신하고,상기 데이터 패킷 차단 로그 및 상기 데이터 베이스에 포함된 블랙리스트 정책에 기반하여 블랙리스트를 갱신하도록 하는, 서버.
- 제 5 항에 있어서, 상기 프로세서는,상기 출발지 노드의 접속 제어 애플리케이션으로부터 사용자 인증의 요청을 수신하고,상기 접속 제어 애플리케이션이 인증을 요청한 정보에 기초하여 접속 가능한 사용자인지 여부와 상기 사용자가 블랙리스트에 포함되어 있는지 여부를 검사함으로써 상기 사용자가 차단되어 있는지 여부를 확인하며,상기 사용자가 접속 가능한 사용자로 확인된 경우, 제어 플로우 식별 정보로 제어 플로우 테이블에서 제어 플로우를 검색하고, 검색된 제어 플로우에의 식별 정보에 사용자 식별 정보를 추가하고,사용자 인증 결과로써 인증 완료 상태 및 인증된 사용자의 접속 정책 정보를 상기 출발지 노드에 반환하도록 하는, 서버.
- 제 6 항에 있어서, 상기 프로세서는,상기 식별된 정보와 매칭된 접속 정책에서, 접속 가능한 애플리케이션 화이트리스트 정보를 생성하고,접속 결과로써 접속 완료 상태를 반환하며,추가적인 상기 출발지 노드의 사용자 인증 요청 또는 지속적인 단말 정보 업데이트 요청이 수신되는 경우, 제어 플로우를 식별하기 위한 제어 플로우 식별 정보 및 생성된 상기 애플리케이션 화이트리스트를 반환하도록 하는, 서버.
- 제 6 항에 있어서, 상기 프로세서는,상기 출발지 노드로부터 제어 플로우 갱신 요청을 수신하고,상기 제어 플로우 갱신 요청에 응답하여, 상기 출발지 노드가 요청한 제어 플로우 식별 정보에 기초하여 상기 제어 플로우 테이블에서 제어 플로우가 존재하는지 여부를 확인하며,상기 제어 플로우 테이블에서 상기 출발지 노드에 대한 제어 플로우가 존재하지 않는 경우, 상기 출발지 노드의 접속이 유효하지 않다는 접속 불가 정보를 상기 출발지 노드로 반환하고,상기 제어 플로우 테이블에서 상기 출발지 노드에 대한 제어 플로우가 존재하는 경우 갱신 시각을 업데이트하고, 상기 제어 플로우에 종속된 데이터 플로우 정보를 탐색하며,상기 출발지 노드에 대한 데이터 플로우 중 재인증을 수행해야 하거나 접속이 불가능한 데이터 플로우가 존재하는 경우, 데이터 플로우 정보를 상기 출발지 노드로 반환하고,제어 플로우 갱신 결과가 정상이고, 갱신된 데이터 플로우 정보가 있는 경우, 상기 데이터 플로우 테이블의 정보를 갱신하도록 하는, 서버.
- 제 8 항에 있어서, 상기 프로세서는,상기 출발지 노드로부터 제어 플로우 종료 요청을 수신하고,상기 제어 플로우 종료 요청에 응답하여, 상기 출발지 노드가 요청한 제어 플로우 식별 정보에 기초하여 식별 및 검색된 제어 플로우를 제거하며,상기 제어 플로우가 제거되는 경우, 상기 네트워크 노드로 데이터 플로우 제거 요청을 전송 제거 요청하도록 하고,상기 네트워크 노드는 상기 데이터 플로우 제거 요청에 응답하여 데이터 플로우를 제거함으로써 상기 접속 제어 애플리케이션으로 하여금 목적지 네트워크로 데이터 패킷을 전송하지 못하게 하는, 서버.
- 네트워크 노드의 동작 방법에 있어서,서버로부터, 출발지 노드와 목적지 네트워크 사이의 TCP 세션 생성을 허용할 수 있도록 생성된 노드 IP, 목적지 네트워크 IP 및 포트 정보를 포함하는 데이터 플로우를 수신하는 단계;상기 출발지 노드가 속한 네트워크의 스위치를 통해서 상기 출발지 노드로부터 브로드캐스팅 또는 멀티캐스팅된 데이터 패킷을 모니터링하는 단계;상기 모니터링을 통해 수신된 데이터 패킷의 출발지 IP에 대응하는 데이터 플로우가 존재하지 않는 경우, IP 차단 데이터 패킷을 상기 출발지 노드로 전송하는 단계; 및상기 모니터링을 통해 수신된 데이터 패킷의 도착지 IP 및 도착지 포트 정보에 대응하는 데이터 플로우가 존재하지 않는 경우, TCP 세션을 강제로 종료시키는 TCP 데이터 패킷을 상기 출발지 노드로 전송하는 단계;를 포함하고,상기 네트워크 노드는 상기 스위치에 연결되는, 네트워크 노드의 동작 방법.
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
KR1020210117398A KR102379721B1 (ko) | 2021-09-03 | 2021-09-03 | Tcp 세션 제어에 기초하여 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 |
KR10-2021-0117398 | 2021-09-03 |
Publications (1)
Publication Number | Publication Date |
---|---|
WO2023033586A1 true WO2023033586A1 (ko) | 2023-03-09 |
Family
ID=80997418
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
PCT/KR2022/013193 WO2023033586A1 (ko) | 2021-09-03 | 2022-09-02 | Tcp 세션 제어에 기초하여 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 |
Country Status (2)
Country | Link |
---|---|
KR (1) | KR102379721B1 (ko) |
WO (1) | WO2023033586A1 (ko) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN116886449A (zh) * | 2023-09-07 | 2023-10-13 | 杭州优云科技有限公司 | 一种智能识别并拦截域名的方法 |
Families Citing this family (8)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR102379721B1 (ko) * | 2021-09-03 | 2022-03-29 | 프라이빗테크놀로지 주식회사 | Tcp 세션 제어에 기초하여 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 |
KR102517981B1 (ko) * | 2022-05-13 | 2023-04-05 | 프라이빗테크놀로지 주식회사 | 애플리케이션 검사 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 |
KR102495371B1 (ko) * | 2022-05-13 | 2023-02-06 | 프라이빗테크놀로지 주식회사 | 애플리케이션 검사에 기반하여 데이터 플로우를 제어하기 위한 시스템 및 그에 관한 방법 |
KR102495372B1 (ko) * | 2022-05-13 | 2023-02-06 | 프라이빗테크놀로지 주식회사 | 애플리케이션 검사에 기반하여 데이터 플로우를 제어하기 위한 시스템 및 그에 관한 방법 |
KR102517982B1 (ko) * | 2022-05-19 | 2023-04-05 | 프라이빗테크놀로지 주식회사 | 애플리케이션 검사 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 |
KR102495373B1 (ko) * | 2022-05-19 | 2023-02-06 | 프라이빗테크놀로지 주식회사 | 애플리케이션 검사 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 |
KR102620214B1 (ko) * | 2022-12-21 | 2024-01-03 | 프라이빗테크놀로지 주식회사 | 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 |
KR102564417B1 (ko) * | 2022-12-21 | 2023-08-08 | 프라이빗테크놀로지 주식회사 | 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 |
Citations (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR20090099165A (ko) * | 2008-03-17 | 2009-09-22 | 삼성전자주식회사 | 네트워크 접속 제어 시스템 및 방법 |
KR20140102502A (ko) * | 2013-02-14 | 2014-08-22 | 주식회사 시큐아이 | 트래픽 제어 방법 및 장치 |
KR101679578B1 (ko) * | 2015-05-27 | 2016-11-25 | 주식회사 윈스 | IoT 보안을 위한 제어 서비스 제공 장치 및 방법 |
KR101692672B1 (ko) * | 2016-05-02 | 2017-01-03 | 김광태 | 전송장치 이원화에 의한 tcp/ip 망단절형 단방향 접속 시스템 및 그 방법 |
KR20210045917A (ko) * | 2019-09-24 | 2021-04-27 | 프라이빗테크놀로지 주식회사 | 터널 및 데이터 플로우에 기반하여 노드의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 |
KR102379721B1 (ko) * | 2021-09-03 | 2022-03-29 | 프라이빗테크놀로지 주식회사 | Tcp 세션 제어에 기초하여 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 |
-
2021
- 2021-09-03 KR KR1020210117398A patent/KR102379721B1/ko active IP Right Grant
-
2022
- 2022-09-02 WO PCT/KR2022/013193 patent/WO2023033586A1/ko unknown
Patent Citations (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR20090099165A (ko) * | 2008-03-17 | 2009-09-22 | 삼성전자주식회사 | 네트워크 접속 제어 시스템 및 방법 |
KR20140102502A (ko) * | 2013-02-14 | 2014-08-22 | 주식회사 시큐아이 | 트래픽 제어 방법 및 장치 |
KR101679578B1 (ko) * | 2015-05-27 | 2016-11-25 | 주식회사 윈스 | IoT 보안을 위한 제어 서비스 제공 장치 및 방법 |
KR101692672B1 (ko) * | 2016-05-02 | 2017-01-03 | 김광태 | 전송장치 이원화에 의한 tcp/ip 망단절형 단방향 접속 시스템 및 그 방법 |
KR20210045917A (ko) * | 2019-09-24 | 2021-04-27 | 프라이빗테크놀로지 주식회사 | 터널 및 데이터 플로우에 기반하여 노드의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 |
KR102379721B1 (ko) * | 2021-09-03 | 2022-03-29 | 프라이빗테크놀로지 주식회사 | Tcp 세션 제어에 기초하여 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 |
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN116886449A (zh) * | 2023-09-07 | 2023-10-13 | 杭州优云科技有限公司 | 一种智能识别并拦截域名的方法 |
CN116886449B (zh) * | 2023-09-07 | 2023-12-05 | 杭州优云科技有限公司 | 一种智能识别并拦截域名的方法 |
Also Published As
Publication number | Publication date |
---|---|
KR102379721B1 (ko) | 2022-03-29 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
WO2023033586A1 (ko) | Tcp 세션 제어에 기초하여 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2021060854A1 (ko) | 네트워크 접속 제어 시스템 및 그 방법 | |
WO2023038387A1 (ko) | 데이터 플로우 기반 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2022231306A1 (ko) | 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2023163509A1 (ko) | 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2023085793A1 (ko) | 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2023085791A1 (ko) | 컨트롤러 기반 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2023146308A1 (ko) | 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2023090755A1 (ko) | 가상화 인스턴스의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2023211122A1 (ko) | 프록시에 기반하여 애플리케이션의 파일 송신 및 수신을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2023146304A1 (ko) | 애플리케이션의 파일 송신 및 수신을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2023211104A1 (ko) | 컨트롤러 기반 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2023136658A1 (ko) | 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2023211124A1 (ko) | 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2023177238A1 (ko) | 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2022231304A1 (ko) | 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2023163514A1 (ko) | 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2023033585A1 (ko) | 분산 게이트웨이 환경에 최적화된 터널링 및 게이트웨이 접속 시스템 및 그에 관한 방법 | |
WO2023033588A1 (ko) | 가상화 단말에서 데이터 플로우를 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2017034072A1 (ko) | 네트워크 보안 시스템 및 보안 방법 | |
WO2022235007A1 (ko) | 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2021261728A1 (ko) | 다기능을 가지는 보안 연결을 제공하는 보안 통신 장치 및 그 동작 방법 | |
WO2018101565A1 (ko) | 네트워크 가상화 환경에서 보안 관리를 위한 구조 | |
WO2024136247A1 (ko) | 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 | |
WO2021060859A1 (ko) | 단말의 네트워크 접속을 인증 및 제어하기 위한 시스템 및 그에 관한 방법 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 22865088 Country of ref document: EP Kind code of ref document: A1 |
|
NENP | Non-entry into the national phase |
Ref country code: DE |