침입방지시스템 및 그 제어방법 document_id A220623017044

본 발명은 침입방지시스템에 관한 것으로서, 특히 네트워크로 유입되는 정상 패킷정보에 대한 오탐지(False Positive) 확률을 최소화하도록 하기 위한 침입방지시스템 및 그 제어방법에 관한 것이다. 컴퓨터의 급속한 보급과 인터넷의 사용이 일반화되면서, 인터넷을 통한 서비스 확산에 따라 보안 문제의 중요성이 높아지고 있다. 이러한 보안문제를 해결하기 위해 유해 트래픽에 대한 침입방지 시스템 또는 침입차단 시스템이 개발되었다. 상기 침입방지/침입차단 시스템은 효과적으로 전자적 침해행위를 방지하고 차단할 수 있는 것으로서, 가입자 네트워크와 공중망 네트워크와의 접속점, 또는 가입자 네트워크 내부에 설치하여 입/출력되는 트래픽의 이상 여부를 검출하여 유해 트래픽을 차단하고 있다. 상기 침입방지시스템은 네트워크 관리자가 설정해 놓은 일련의 규칙(보안정책)에 기반을 두고 즉각적인 행동을 취할 수 있는 능력을 가지도록 설계된다. 이를 위하여 대다수의 침입방지시스템은 어떤 한 패킷을 검사하여 그것이 부당한 패킷이라고 판단되면, 해당 아이피(IP)주소 또는 유입 트래픽을 봉쇄하는 한편, 합법적인 트래픽에 대해서는 아무런 방해나 서비스 지연 없이 수신측에 전달하도록 구성된다. 이와 더불어, 상기 부당한 패킷에 대한 처리뿐만 아니라 정상 패킷이 공격 패킷으로 잘못 탐지되었을때 이를 다시 탐지하여 서비스 성능을 향상시키기 위한 구성이 제안되고 있다. 즉, 네트워크 트래픽에 대하여 하드웨어적으로 필터링을 일차 수행하고 다시 소프트웨어적으로 필터링을 이차 수행하는 침입방지시스템(보안시스템)이 제공되어 보다 안전하게 내부 네트워크 망을 보호하고 있다. 도 1은 이와 같이 다단계로 공격 패킷을 필터링하는 일반적인 침입방지시스템의 구성도이다. 도시된 바에 따르면, 침입방지시스템은 공격 패킷에 대한 보안정책(공격룰)을 로딩하기 위한 메모리(SRAM)(1) 및 상기 보안정책을 적용하여 공격 패킷을 필터링하기 위한 탐지/차단 모듈(3)이 구비된 ASIC기반의 패킷전용처리부(5)가 구비된다. 상기 패킷전용처리부(5)는 정적 공격, 즉 단위 패킷만으로 공격 특성을 판단할 수 있는 공격 여부를 일차 필터링한다. 상기 패킷전용처리부(5)에서 처리된 결과를 선별하여 제공받고 일정 시간동안 발생되는 패킷 스트림을 분석하여 이차적으로 공격 패킷을 필터링하는 소프트웨어엔진부(7)가 제공된다. 상기 소프트웨어엔진부(7)에는 상기 처리된 결과로서 유입된 패킷에 대한 차단결과정보, 일차 필터링된 패킷정보, 상기 패킷전용처리부(5)에서 유입된 패킷(즉 전체패킷, 정상패킷, 임의의 조건에 따른 패킷의 일부 정보-헤더정보 등)을 사용자 설정에 의해 선택적으로 전달받으며, 관리자 경보기능(Alert)을 수행하는 패킷처리부(9)와, 상기 유입된 패킷정보 중에서 정상패킷에 대해 패턴 매칭을 다시 수행하여 공격탐지를 탐지하는 S/W탐지부(11)가 제공된다. 그리고, 상기 공격 패킷에 대한 탐지결과 정보를 제공받으며 공격룰을 생성하며 상기 공격룰을 공격 패킷의 탐지에 적용하도록 제공하는 운영모듈부(13)가 구성된다. 상기 운영모듈부(13)은 상기 공격룰를 상기 패킷전용처리부(5)와 소프트웨어엔진부(7)에 온라인으로 전송한다. 이러한 구성에 따르면, 상기 패킷전용처리부(5)가 일차적으로 패킷정보의 공격여부를 판단하여 대응정책을 적용하고, 상기 패킷전용처리부(5)로부터의 유입된 패킷 정보중에서 아이피(IP) 및 티씨피(TCP) 단으로 쪼개져서 전달되는 패킷 모두에 대해 패턴 매칭을 수행하여 누락될 수 있는 탐지를 소프트웨어엔진부(7)가 이차적으로 다시 수행한다. 따라서 상기 소프트웨어엔진부(7)는 패킷 정보가 공격 패킷으로 판단하면 다시 패킷전용처리부(5)로 대응정책을 전송하고 상기 패킷전용처리부(5)는 상기 대응정책에 따라 정의된 일정 시간동안 상기 패킷 IP(공격자 IP)로부터 유입되는 모든 패킷정보를 차단하게 된다. 이때 상기 패킷 접속과 차단에 대한 탐지결과는 관리자가 확인가능하도록 실시간으로 화면 표시된다. 그러나, 종래 침입방지시스템에서 공격 패킷에 대한 필터링을 수행하는데 있어서 다음과 같은 문제점이 있었다. 종래에는 패킷에 대한 공격여부를 탐지하는데 있어, 다음 [표 1]에 정의된 공격룰을 근거로 판단하고 있다. [표 1] 하지만, 상기 [표 1]에 정의된 공격룰에는 패킷정보를 탐지하고 그 탐지결과에 따라 차단/접속과 같은 대응정책 정보만을 포함한다. 따라서 상기 공격룰이 종래 침입방지시스템에 전송되어 적용되면, 상기 공격룰에 의해서만 공격 패킷을 탐지하고 탐지된 이후에는 차단/접속/경고 등의 일반 대응정책만을 수행하게 된다. 이 경우, 정상적인 패킷이 공격 패킷으로 탐지되는 오탐이 발생된 경우에는, 이미 상기 오탐과 대응되는 패킷에 대한 대응정책이 차단으로 설정되어 처리된 상태이기 때문에, 정상 패킷일지라도 네트워크 서비스에서 정상적인 웹 접속 서비스가 차단되거나 또는 정상적인 메일의 송수신이 차단되는 것과 같은 서비스 장애를 발생시키게 된다. 그리고, 설명한 바와 같이 정상 패킷을 잘못 탐지하는 경우에 대비하여 공격룰의 대응정책에서 공격 패킷에 대해 탐지모드로만 설정하게 되면 탐지모드에서 탐지한 실제 공격 패킷에 대해 적극적으로 대처할 수 없다. 다시 말해, 종래 침입방지시스템에서는 오탐에 대한 대응정책이 탐지 후 차단/접속 상태만이 제공되고 있어 공격 패킷에 대한 침입방지를 제대로 적용할 수 없었다.