에스아이피(ＳＩＰ) 기반 서비스의 보호를 위한 ＳＩＰ 침입 탐지 및 대응 시스템 document_id A220623061813

SIP는 멀티미디어 세션을 개시, 관리, 종료시키기 위한 신호 프로토콜이다. SIP 기반 서비스는 VoIP(Voice over Internet Protocol), 프레즌스 서비스(presence service), 인스터트 메시징(instant messaging) 및 화상 회의(video conferencing) 등의 IP 멀티미디어 통신을 의미한다. SIP는 IETF(the Internet Engineering Task Force)에 의해 개발되었다. 3GPP(the 3rd Generation Partnership Project)에서 SIP를 IMS(IP Multimedia Core Network Subsystem)의 신호 프로토콜로서 선정한 이후에, 3GPP의 IMS에 보조를 맞추며 다양한 SIP 관련 표준들이 출현하였다. 따라서 SIP는 IP 멀티미디어 서비스에서 중요한 역할을 할 것으로 기대되고 있다. 예를 들어서, 한국에서는 SIP 기반의 VoIP 서비스가 정부의 육성 정책, 서비스 제공자의 마케팅 전략, 저렴한 서비스요금, 다양한 부가서비스 등에 힘입어 대중화되기 시작하고 있다. 그러나 SIP 기반 서비스는 인터넷을 통해 제공되기 때문에, 인터넷 환경에서 유래하는 보안상의 위협(바이러스나 웜 등)을 받게 된다. 또한 인터넷을 통한 멀티미디어 트래픽 전송을 위한 새로운 기술이 도입된 것이기 때문에 새로운 보안상의 위협이 존재하게 된다. SIP 기반 서비스에 대한 공격에 대처하기 위하여, 전통적인 IP 기반 보안 솔루션들이 진화되어 왔다. 그러나 이것들에는, SIP 기반 공격에 대처하는데 있어서 아래와 같은 특성들을 고려해야 하기 때문에 한계가 있다. 첫째, SIP 기반 서비스에서는 신호 경로와 미디어 전달 경로가 분리되어 있다. 윈도우즈 미디어(Windows Media Technology), 리얼 미디어(Real Media), 퀵타임(QuickTime) 등의 여타 멀티미디어 프로토콜에서와 같이, SIP 기반 서비스에서는 세션 개설을 위한 신호 프로토콜로서 SIP를, 스트리밍 데이터를 전달하기 위한 미디어 프로토콜로서 RTP(Real-time Transport Protocol)를 사용한다. 이는 곧 크로스 프로토콜 침입탐지(cross protocol intrusion detection) 방식을 사용해야 함을 의미한다. 여기서 크로스 프로토콜 침입탐지란, 다중 프로토콜로 확장된 규칙 매칭(SIP 내의 패턴과 후속 RTP 패킷 내의 패턴을 탐지) 상의 기능을 의미한다. 둘째, SIP 기반 서비스는 지연(delay), 지터(jitter), 패킷유실과 같은 네트워크 QoS(Quality of Service)에 민감하다. 이는 곧, 탐지 및 대응의 성능이 매우 중요함을 의미한다. 즉, 탐지 메커니즘이 응용계층(application layer) 내의 패킷 페이로드(payload)를 파싱(parse)하기 위하여 패킷 조사를 과도하게 요구하더라도, 탐지 및 대응에 의해서 QoS가 훼손되어서는 안 된다는 것이다. 이는 또한, 최종단에서 서비스 품질을 감시하는 네트워크 QoS 기준을 준수해야 함을 의미한다. SIP 기반 서비스를 보호하는 관련 연구는 크게 세 가지 범주로 나뉜다. 첫째, SIPAssure와 같은 SIP 인식 ALG(Application Level Gateway)가 있다. 기존의 방화벽 솔루션이 RTP를 지원하기 위해 일정 범위의 포트(port)를 개방하는 반면에, SIP 인식 ALG는 동적인 핀홀 필터링(시그널링 동안 관찰된 협상에 기반하여 통화 를 위해 미디어 포트를 동적으로 개폐함)을 제공한다. 그러나 이러한 접근방법은 SIP 기반 공격을 탐지하는 것이 아니라 필터링에 초점을 둔 것이다. 둘째로는 기존의 IDS(Intrusion Detection System : 침입탐지시스템)가 SIP 기반 공격에 대한 탐지성능을 강화할 수 있다. 이에는 티핑포인트(TippingPoint) 와 SNOCER 프로젝트가 있다. 잘못 형성된 SIP 메시지와 SIP DoS(Denial of Service : 서비스거부) 공격을 시그니처기반 탐지 기법에 기반하여 탐지할 수 있다. 그러나 이들 시그니처들은 제한적이며, 사용료 부정(toll fraud)과 같은 교묘한 SIP 기반 공격은 탐지하지 못한다. 셋째, Sipera IPCS나 VoIP SEAL과 같은 SIP 인식 보안 장치가 있다. Sipera IPCS는, VoIP SBC(Session Border Controller)를 기반으로 VPN(Virtual Private LAN), IPS, 스팸방지 기능을 제공한다. VoIP SEAL은 인터넷 전화를 통해 전파되는 스팸을 차단하는 솔루션을 제공한다. 하지만 상기의 연구들은 모두 SIP 기반 서비스의 보호를 위한 SIP 침입 탐지 및 대응하는데 한계점을 드러내고 있는 실정이다. 그러므로 멀티미디어 품질의 저하 없이 새로운 SIP 기반의 공격에 대해서 대처할 수 있고, 공격자가 SIP 메시지의 조작 및 정당한 사용자들 간의 세션탈취를 통하여 통화를 방해하거나, 인증을 우회하여 사용료의 부정을 꾀하는 공격을 봉쇄할 목적으로 SIP 인식 IPS를 통해 신호 및 미디어 채널을 조사하게 되며, 네트워크의 좁은 지점에 트래픽감시 센서를 설치하여, 이 센서에 의해 수집된 트래픽 데이터를 트래픽 분석기를 통해 분석할 수 있고, 관리시스템을 통해 SIP 인식 IPS와, 비정상 SIP 트래픽 탐지시스템 및 기타 SIP 서버를 일관되게 운용하고 관리할 수 있는 SIP 기반 서비스의 보호를 위한 SIP 침입 탐지 및 대응 구조의 개발이 절실히 요구되고 있는 실정이다.