| 1 |
1
가상 사설망을 통하여 네트워크 망과 연결된 모바일 단말의 트래픽들을 수집하는 트래픽 수집부;상기 트래픽 수집부에서 수집되는 상기 트래픽들을 저장하는 트래픽 저장부;상기 트래픽 저장부에 저장되는 상기 트래픽들에 대한 확률통계 분석을 통하여, 봇넷에 의한 비정상 트래픽 모델을 생성하는 모델 생성부; 및 상기 비정상 트래픽 모델과 상기 트래픽 수집부에 수집되는 소정 트래픽을 비교하여, 상기 소정 트래픽이 상기 봇넷에 의한 트래픽인지를 판단하는 봇넷 판별부를 포함하는 것을 특징으로 하는 모바일 봇넷 탐지 장치
|
| 2 |
2
청구항 1에 있어서,상기 봇넷 판별부에서 상기 소정 트래픽이 정상 트래픽으로 판별된 경우, 상기 소정 트래픽이 기 설정된 시그너처 정보와 일치하는 정보를 포함하는지 판단하여, 상기 소정 트래픽이 상기 시그너처 정보와 일치하는 경우 상기 소정 트래픽을 상기 봇넷에 의한 비정상 트래픽으로 최종 판별하고, 상기 소정 트래픽이 상기 시그너처 정보와 일치하지 않는 경우 상기 소정 트래픽을 정상 트래픽으로 최종 판별하는 시그너처 판별부를 더 포함하는 것을 특징으로 하는 모바일 봇넷 탐지 장치
|
| 3 |
3
청구항 1에 있어서, 상기 봇넷 판별부에서 상기 봇넷에 의한 비정상 트래픽으로 판별된 경우, 상기 소정 트래픽이 기 설정된 화이트리스트에 포함되었는지를 판단하여, 상기 소정 트래픽이 상기 화이트리스트에 포함되는 경우 상기 소정 트래픽을 정상 트래픽으로 최종 판별하고, 상기 소정 트래픽이 상기 화이트리스트에 포함되지 않는 경우 상기 소정 트래픽을 상기 봇넷에 의한 비정상 트래픽으로 최종 판별하는 화이트리스트 판별부를 더 포함하는 것을 특징으로 하는 모바일 봇넷 탐지 장치
|
| 4 |
4
청구항 1에 있어서, 상기 모델 생성부는,상기 트래픽에 대한 은닉 마르코프 모델(HMM; Hidden Markov Model)을 이용하여 상기 비정상 트래픽 모델을 생성하는 것을 특징으로 하는 모바일 봇넷 탐지 장치
|
| 5 |
5
청구항 1에 있어서, 상기 모델 생성부는, 소정 시간 동안의 정상 트래픽의 패킷들의 합의 범위, 패킷들의 평균의 범위, 데이터 크기들의 합의 범위, 데이터 크기들의 평균의 범위, 플로우들의 합의 범위, 및 플로우들의 평균의 범위에 대한 정상 범위를 설정하고, 상기 봇넷 판별부는, 상기 소정 트래픽에 대한 정보가 소정 시간 동안 상기 정상 범위 내에 들어오지 않는 경우, 상기 소정 트래픽을 상기 봇넷에 의한 트래픽인 것으로 판단하는 것을 특징으로 하는 모바일 봇넷 탐지 장치
|
| 6 |
6
청구항 1에 있어서, 상기 모델 생성부는,상기 모바일 단말에서 상기 가상 사설망측으로 주기적으로 업로드 되는 트래픽을 기준으로 상기 봇넷에 의한 비정상 트래픽 모델을 생성하는 것을 특징으로 하는 모바일 봇넷 탐지 장치
|
| 7 |
7
청구항 2에 있어서, 상기 시그너처 정보는, 봇넷에 대한 IMEI(International Mobile Equipment Identity), IMSI(International Mobile Station Identity), location Information, SDK(Software Development Kit) version, device model, phone number, 및 installed package 중 적어도 하나의 정보를 포함하여 구성되는 것을 특징으로 하는 모바일 봇넷 탐지 장치
|
| 8 |
8
가상 사설망을 이용하여 모바일 단말과 네트워크 망을 연결하는 단계;상기 모바일 단말과 상기 네트워크 망 사이의 상기 가상 사설망에서 트래픽 수집부에 의하여, 상기 모바일 단말의 트래픽들을 수집하는 단계;트래픽 저장부에 의하여, 상기 트래픽 수집부에서 수집되는 상기 트래픽들을 저장하는 단계;모델 생성부에 의하여, 상기 트래픽 저장부에 저장된 상기 트래픽들에 대한 확률통계 분석을 통하여, 봇넷에 의한 비정상 트래픽 모델을 생성하는 단계; 및봇넷 판별부에 의하여, 상기 비정상 트래픽 모델과 상기 트래픽 수집부에 수집되는 소정 트래픽을 비교하여, 상기 소정 트래픽이 상기 봇넷에 의한 트래픽인지를 판단하는 단계를 포함하는 것을 특징으로 하는 모바일 봇넷 탐지 방법
|
| 9 |
9
청구항 8에 있어서,상기 판단하는 단계는,상기 소정 트래픽이 정상 트래픽으로 판별된 경우, 상기 소정 트래픽이 기 설정된 시그너처 정보와 일치하는 정보를 포함하는지 판단하는 단계; 상기 소정 트래픽이 상기 시그너처 정보와 일치하는 경우, 상기 소정 트래픽을 상기 봇넷에 의한 비정상 트래픽으로 최종 판별하는 단계; 및상기 소정 트래픽이 상기 시그너처 정보와 일치하지 않는 경우, 상기 소정 트래픽을 정상 트래픽으로 최종 판별하는 단계를 포함하는 것을 특징으로 하는 모바일 봇넷 탐지 방법
|
| 10 |
10
청구항 8에 있어서, 상기 판단하는 단계는,상기 소정 트래픽이 상기 봇넷에 의한 비정상 트래픽으로 판별된 경우, 상기 소정 트래픽이 기 설정된 화이트리스트에 포함되는지 판단하는 단계; 상기 소정 트래픽이 상기 화이트리스트에 포함되는 경우, 상기 소정 트래픽을 정상 트래픽으로 최종 판별하는 단계; 및상기 소정 트래픽이 상기 화이트리스트에 포함되지 않는 경우 상기 소정 트래픽을 상기 봇넷에 의한 비정상 트래픽으로 최종 판별하는 단계를 포함하는 것을 특징으로 하는 모바일 봇넷 탐지 방법
|
| 11 |
11
청구항 8에 있어서, 상기 봇넷에 의한 비정상 트래픽 모델을 생성하는 단계는, 상기 트래픽에 대한 은닉 마르코프 모델(HMM; Hidden Markov Model)을 이용하여 상기 비정상 트래픽 모델을 생성하는 것을 특징으로 하는 모바일 봇넷 탐지 방법
|
| 12 |
12
청구항 8에 있어서, 상기 봇넷에 의한 비정상 트래픽 모델을 생성하는 단계는, 소정 시간 동안의 정상 트래픽의 패킷들의 합의 범위, 패킷들의 평균의 범위, 데이터 크기들의 합의 범위, 데이터 크기들의 평균의 범위, 플로우들의 합의 범위, 및 플로우들의 평균의 범위에 대한 정상 범위를 설정하고, 상기 판단하는 단계는, 상기 소정 트래픽에 대한 정보가 소정 시간 동안 상기 정상 범위 내에 들어오지 않는 경우, 상기 소정 트래픽을 상기 봇넷에 의한 트래픽인 것으로 판단하는 것을 특징으로 하는 모바일 봇넷 탐지 방법
|
| 13 |
13
청구항 8에 있어서, 상기 봇넷에 의한 비정상 트래픽 모델을 생성하는 단계는, 상기 모바일 단말에서 상기 가상 사설망측으로 주기적으로 업로드 되는 트래픽을 기준으로 상기 봇넷에 의한 비정상 트래픽 모델을 생성하는 것을 특징으로 하는 모바일 봇넷 탐지 방법
|
| 14 |
14
청구항 9에 있어서, 상기 시그너처 정보는, 봇넷에 대한 IMEI(International Mobile Equipment Identity), IMSI(International Mobile Station Identity), location Information, SDK(Software Development Kit) version, device model, phone number, 및 installed package 중 적어도 하나의 정보를 포함하여 구성되는 것을 특징으로 하는 모바일 봇넷 탐지 방법
|
