맞춤기술찾기

홈으로 가기
맞춤기술찾기
이전대상기술
프린트하기

이전대상기술

네트워크 공격 탐지 장치 및 방법

  • 기술번호 : KST2015086476
  • 담당센터 : 대전기술혁신센터
  • 전화번호 : 042-610-2279
상담신청 PDF 받기
요약, Int. CL, CPC, 출원번호/일자, 출원인, 등록번호/일자, 공개번호/일자, 공고번호/일자, 국제출원번호/일자, 국제공개번호/일자, 우선권정보, 법적상태, 심사진행상태, 심판사항, 구분, 원출원번호/일자, 관련 출원번호, 기술이전 희망, 심사청구여부/일자, 심사청구항수의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 서지정보 표입니다.
요약 본 발명은 두 개의 네트워크 사이 혹은 이더넷 스위치의 포트 미러링을 통해 연결되어 네트워크를 통해 흐르는 모든 패킷을 실시간 모니터링하여, 알려지지 않은 네트워크 공격이라도 신속하고 정확하게 판정할 수 있는 네트워크 공격 탐지 장치 및 방법에 관한 것으로서, 본 발명은 인입되는 네트워크 패킷의 페이로드 부분을 기계어 인스트럭션 단위로 디코딩한 후, 디코딩된 기계어 코드에 대하여 명령어들 간의 연관성을 분석하여 실행 가능한 코드가 포함되어 있는 지를 판단하고, 이후 실행 가능한 코드가 포함된 경우, 해당 서비스 및 그 서비스의 특정 트랜젝션에서 실행가능 코드가 존재할 가능성에 대한 통계치를 바탕으로 유해 패킷인지를 판단하도록 구현된다. 공격 탐지 시스템(IDS), 공격 방지 시스템(IPS), 실행 코드
Int. CL H04L 9/00 (2006.01) H04L 12/22 (2006.01)
CPC
출원번호/일자 1020070037488 (2007.04.17)
출원인 한국전자통신연구원
등록번호/일자 10-0922579-0000 (2009.10.13)
공개번호/일자 10-2008-0049586 (2008.06.04) 문서열기
공고번호/일자 (20091021) 문서열기
국제출원번호/일자
국제공개번호/일자
우선권정보 대한민국  |   1020060120259   |   2006.11.30
법적상태 소멸
심사진행상태 수리
심판사항
구분
원출원번호/일자
관련 출원번호
심사청구여부/일자 Y (2007.04.17)
심사청구항수 16

출원인

번호, 이름, 국적, 주소의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 인명정보 - 출원인 표입니다.
번호 이름 국적 주소
1 한국전자통신연구원 대한민국 대전광역시 유성구

발명자

번호, 이름, 국적, 주소의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 인명정보 - 발명자 표입니다.
번호 이름 국적 주소
1 김익균 대한민국 대전 유성구
2 최양서 대한민국 대전 유성구
3 김대원 대한민국 대전 유성구
4 오진태 대한민국 대전 유성구
5 장종수 대한민국 대전 유성구

대리인

번호, 이름, 국적, 주소의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 인명정보 - 대리인 표입니다.
번호 이름 국적 주소
1 특허법인씨엔에스 대한민국 서울 강남구 언주로 **길 **, 대림아크로텔 *층(도곡동)

최종권리자

번호, 이름, 국적, 주소의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 인명정보 - 최종권리자 표입니다.
번호 이름 국적 주소
1 한국전자통신연구원 대한민국 대전광역시 유성구
번호, 서류명, 접수/발송일자, 처리상태, 접수/발송일자의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 행정처리 표입니다.
번호 서류명 접수/발송일자 처리상태 접수/발송번호
1 특허출원서
Patent Application		 2007.04.17 수리 (Accepted) 1-1-2007-0291878-40
2 선행기술조사의뢰서
Request for Prior Art Search		 2007.12.28 수리 (Accepted) 9-1-9999-9999999-89
3 선행기술조사보고서
Report of Prior Art Search		 2008.01.15 수리 (Accepted) 9-1-2008-0004113-87
4 의견제출통지서
Notification of reason for refusal		 2008.09.11 발송처리완료 (Completion of Transmission) 9-5-2008-0474017-30
5 [명세서등 보정]보정서
[Amendment to Description, etc.] Amendment		 2008.10.09 보정승인간주 (Regarded as an acceptance of amendment) 1-1-2008-0705372-39
6 [거절이유 등 통지에 따른 의견]의견(답변, 소명)서
[Opinion according to the Notification of Reasons for Refusal] Written Opinion(Written Reply, Written Substantiation)		 2008.10.09 수리 (Accepted) 1-1-2008-0705371-94
7 의견제출통지서
Notification of reason for refusal		 2009.03.23 발송처리완료 (Completion of Transmission) 9-5-2009-0124696-81
8 [명세서등 보정]보정서
[Amendment to Description, etc.] Amendment		 2009.05.06 보정승인간주 (Regarded as an acceptance of amendment) 1-1-2009-0272661-29
9 [거절이유 등 통지에 따른 의견]의견(답변, 소명)서
[Opinion according to the Notification of Reasons for Refusal] Written Opinion(Written Reply, Written Substantiation)		 2009.05.06 수리 (Accepted) 1-1-2009-0272660-84
10 출원인정보변경(경정)신고서
Notification of change of applicant's information		 2009.08.04 수리 (Accepted) 4-1-2009-5150899-36
11 등록결정서
Decision to grant		 2009.09.25 발송처리완료 (Completion of Transmission) 9-5-2009-0396615-50
12 출원인정보변경(경정)신고서
Notification of change of applicant's information		 2015.02.02 수리 (Accepted) 4-1-2015-0006137-44
번호, 청구항의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 청구항 표입니다.
번호 청구항
1 1
인입되는 네트워크 패킷의 페이로드 부분을 기계어 인스트럭션 단위로 디코딩하여 의사 기계 코드로 변환하는 바이너리 필터부; 상기 바이너리 필터부에서 디코딩된 의사 기계 코드에 대하여 명령어들 간의 연관성을 분석하여 실행 가능한 코드가 포함되어 있는 지를 판단하는 코드 분석부; 및 상기 코드 분석부에서 실행 가능한 코드가 포함된 것으로 판단된 네트워크 패킷에 대하여, 해당하는 서비스 및 그 서비스의 특정 트랜젝션에서 실행가능 코드가 존재할 가능성에 대한 통계치를 바탕으로 유해 패킷인지를 판단하는 프로토콜 검토부를 포함하는 네트워크 공격 탐지 장치
2 2
제1항에 있어서, 상기 바이너리 필터부에서 디코딩된 인스트럭션 단위의 의사 기계 코드를 저장하는 메모리부를 더 포함하는 네트워크 공격 탐지 장치
3 3
제2항에 있어서, 상기 바이너리 필터부는 인입된 네트워크 패킷의 페이로드부를 바이너리 코드로 가정하여, 인스트럭션을 패취하는 인스트럭션 패춰; 상기 인스트럭션 패취에서 패취한 인스트럭션과 미리 저장된 OP 코드 집합의 인스트럭션을 비교하여 의미 있는 인스트럭션인지를 판단하는 비교기; 상기 비교기에서 의미있는 인스트럭션으로 판단된 인스트럭션을 의사 기계어 코드 형태로 상기 메모리부에 저장하는 인스트럭션 덤퍼; 및 상기 비교기에서 의미 없는 인스트럭션인 경우 저장하지 않고 스킵하도록 하는 스키퍼를 포함하는 것을 특징으로 하는 네트워크 공격 탐지 장치
4 4
제3항에 있어서, 상기 인스트럭션 덤퍼는 하나의 네트워크 패킷의 페이로드부에서 패춰한 인스트럭션의 수가 기 설정된 임계값 이상인 경우에만 메모리부에 저장되도록 하는 네트워크 공격 탐지 장치
5 5
제2항에 있어서, 상기 코드 분석부는 각 기계어 코드의 OP 코드별로 해당하는 의미 집합을 매핑하여 저장하는 OP 코드 매핑 테이블; 상기 바이너리 필터부에서 디코딩된 의사 기계 코드들을 상기 OP 코드 매핑 테이블을 기준으로 설정된 수의 의미 집합으로 분류하는 코드 분류기; 및 상기 코드 분류기의 분류 결과를 기준으로, 특정 시점의 일정 크기의 시간 윈도우내에서의 코드 스펙트럼을 확인하여, 실행 가능한 코드의 포함 여부를 판별하는 스펙트럼 분석기를 포함하는 것을 특징으로 하는 네트워크 공격 탐지 장치
6 6
제5항에 있어서, 상기 코드 분석부는 각 의미 집합별로 서로 다른 색깔을 정의하고, 상기 코드 스펙트럼을 색상 패턴으로 표시하는 것을 특징으로 하는 네트워크 공격 탐지 장치
7 7
제5항에 있어서, 상기 의미 집합은, 연산 명령과 관련된 코드 집합, 논리 명령과 관련된 코드 집합, 로딩/저장 명령과 관련된 코드 집합, 전송 명령과 관련된 코드 집합, 스택 명령과 관련된 코드 집합, 입출력 명령과 관련된 코드 집합, 제어 명령과 관련된 코드 집합, 인터럽트 명령과 관련된 코드 집합 및 상기 명령을 제외한 코드로 이루어지는 집합을 포함하는 것을 특징으로 하는 네트워크 공격 탐지 장치
8 8
제5항 또는 제6항에 있어서, 상기 스펙트럼 분석기는 기계어 인스트럭션이 가지는 실행가능 코드의 코드 스펙트럼 패턴과 비실행 코드의 코드 스펙트럼 패턴을 미리 저장하여 두고, 입력된 코드 스펙트럼과 상기 저장된 패턴을 비교하여 실행 가능 코드의 포함 여부를 판별하는 것을 특징으로 하는 네트워크 공격 탐지 장치
9 9
제2항에 있어서, 상기 프로토콜 검토부는 서비스별 및 그 서비스의 트랜잭션별로 실행 코드가 포함되는 통계치를 저장하는 서비스 매핑 테이블; 및 상기 실행 가능한 코드가 포함된 것으로 판별된 네트워크 패킷의 프로토콜을 분석하여, 관련된 서비스 및 트랜잭션을 확인하고, 상기 서비스 매핑 테이블에서 해당 서비스 및 트랜잭션의 패킷이 실행 코드를 포함할 통계치를 확인하여, 유해 패킷인지를 판단하는 비정상 패킷 검토부를 포함하는 것을 특징으로 하는 네트워크 침입 탐지 장치
10 10
네트워크 패킷에 실행 가능한 코드가 포함되어 있는 지를 판별하는 단계; 상기 네트워크 패킷에 정상적으로 실행 가능한 코드가 포함될 가능성을 판별하는 단계; 및 상기 실행 가능한 코드의 포함 여부 및 실행 가능한 코드가 포함될 가능성에 근거하여, 네트워크 패킷의 유해 여부를 판단하는 단계를 포함하는 네트워크 공격 탐지 방법
11 11
제10항에 있어서, 상기 네트워크 패킷에 실행 가능한 코드가 포함되어 있는 지를 판별하는 단계는, 네트워크 패킷의 페이로드 부분을 기계어 인스트럭션 단위로 디코딩하여, 의사-기계 코드 형태로 변환하는 단계; 상기 변환된 의사-기계 코드를 기설정된 의미 집합으로 분류하는 단계; 상기 분류 결과에 근거하여 상기 네트워크 패킷의 코드 스펙트럼을 추출하는 단계; 및 상기 추출된 코드 스펙트럼을 분석하여 실행 가능 코드의 포함 여부를 판별하는 단계를 포함하는 것을 특징으로 하는 네트워크 공격 탐지 방법
12 12
제10항에 있어서, 상기 네트워크 패킷에 정상적으로 실행 가능한 코드가 포함될 가능성을 판별하는 단계는, 실행 가능한 코드를 포함하는 네트워크 패킷에 대하여, 해당 네트워크 패킷의 프로토콜을 분석하여, 관련된 서비스 및 트랙잭션을 확인하는 단계; 및 상기 확인된 서비스 및 트랜잭션에 정상적으로 실행 가능한 코드가 포함되는 통계치를 확인하는 단계를 포함하는 것을 특징으로 하는 네트워크 공격 탐지 방법
13 13
제10항에 있어서, 상기 네트워크 패킷의 유해 여부를 판단하는 단계는, 상기 실행 가능한 코드가 포함되어 있지 않거나, 상기 실행 가능한 코드가 포함되어 있으나 해당 네트워크 패킷에 실행 가능한 코드가 포함될 가능성이 높으면, 정상 패킷으로 판단하고, 상기 실행 가능한 코드가 포함되어 있으며 해당 네트워크 패킷에 실행 가능한 코드가 포함될 가능성이 적으면 유해 패킷으로 판단하는 것을 특징으로 하는 네트워크 공격 탐지 방법
14 14
제11항에 있어서, 상기 분류 결과에 근거하여 상기 네트워크 패킷의 코드 스펙트럼을 추출하는 단계는, 상기 의미 집합별로 서로 다른 색상을 부여하여, 상기 코드 스펙트럼을 부여된 색상으로 표현하는 것을 특징으로 하는 네트워크 공격 탐지 방법
15 15
제14항에 있어서, 상기 추출된 코드 스펙트럼을 분석하여 실행 가능 코드의 포함 여부를 판별하는 단계는, 상기 기설정된 의미 집합에 근거하여, 비실행 코드에 나타내는 코드 스펙트럼 패턴과, 실행 코드에 나타나는 코드 스펙트럼 패턴을 미리 저장하여 두고, 상기 저장된 코드 스펙트럼 패턴과 상기 추출된 코드 스펙트럼 패턴을 비교하여 실행 가능 코드의 포함 여부를 판별하는 것을 특징으로 하는 네트워크 공격 탐지 방법
16 16
제11항에 있어서, 상기 의미 집합은, 연산 명령과 관련된 코드 집합, 논리 명령과 관련된 코드 집합, 로딩/저장 명령과 관련된 코드 집합, 전송 명령과 관련된 코드 집합, 스택 명령과 관련된 코드 집합, 입출력 명령과 관련된 코드 집합, 제어 명령과 관련된 코드 집합, 인터럽트 명령과 관련된 코드 집합 및 상기 명령을 제외한 코드로 이루어지는 집합을 포함하는 것을 특징으로 하는 네트워크 공격 탐지 방법
지정국 정보가 없습니다
순번, 패밀리번호, 국가코드, 국가명, 종류의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 패밀리정보 - 패밀리정보 표입니다.
순번 패밀리번호 국가코드 국가명 종류
1 US08095973 US 미국 FAMILY
2 US20080134334 US 미국 FAMILY

DOCDB 패밀리 정보

순번, 패밀리번호, 국가코드, 국가명, 종류의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 패밀리정보 - DOCDB 패밀리 정보 표입니다.
순번 패밀리번호 국가코드 국가명 종류
1 US2008134334 US 미국 DOCDBFAMILY
2 US8095973 US 미국 DOCDBFAMILY
국가 R&D 정보가 없습니다.