| 1 |
1
네트워크 내의 트래픽을 수집하여 봇넷을 탐지하는 봇넷 탐지 시스템과, 상기 봇넷의 트래픽을 격리시키는 봇넷 격리 시스템을 포함하며, 상기 봇넷 격리 시스템은,
보호대상 리스트와 좀비 IP 및 C0026#C IP 리스트를 포함하는 봇넷 그룹 정보를 송신하는 격리 시스템 매니저와,
상기 격리 시스템 매니저에서 송신된 봇넷 그룹 정보를 기초로 봇넷 그룹을 격리시키는 격리 시스템 에이전트와,
상기 봇넷 격리 시스템을 실시간으로 모니터링하는 격리 시스템 모니터링을 포함하는 것을 특징으로 하는 봇넷 정보를 이용한 악성 트래픽 격리 시스템
|
| 2 |
2
삭제
|
| 3 |
3
청구항 1에 있어서,
상기 격리 시스템 에이전트는,
상기 격리 시스템 매니저에서 보내진 보호대상 리스트 및 좀비 IP, C0026#C IP 리스트를 수신하고 의심 트래픽 및 이에 대한 차단 정보를 송신하는 격리 시스템 에이전트 송수신부와,
상기 격리 시스템 에이전트 송수신부에서 트래픽을 수신하는 BGP부와,
상기 BGP부에서 유입된 트래픽에 대하여 필터링을 제어하는 IP테이블부과,
상기 의심 트래픽에 대하여 임시로 저장 및 격리 시스템 에이전트로 전송하는 의심 봇넷 저장부를 포함하는 것을 특징으로 하는 봇넷 정보를 이용한 악성 트래픽 격리 시스템
|
| 4 |
4
네트워크 내의 봇넷을 탐지하는 단계와,
상기 봇넷을 탐지하고자 하는 네트워크의 외부에서 내부로 유입되는 봇넷 그룹의 트래픽을 격리하거나, 상기 봇넷을 탐지하고자 하는 네트워크의 내부에서 외부로 유출되는 봇넷의 트래픽을 격리하는 단계를 포함하며,
상기 봇넷을 탐지하고자 하는 네트워크의 외부에서 내부로 유입되는 봇넷의 트래픽을 격리하는 단계는,
세이프티 존(safety zone)으로 향하는 트래픽 중 좀비 IP에서 출발한 DDoS 트래픽과, C0026#C IP에서 출발한 통신 트래픽을 격리시켜 1차 필터링을 수행하는 단계와,
L2/L3/L4 정보와 단위시간당 패킷유입수(PPS), 단위시간당 트래픽 양, 페이로드 사이즈를 통한 봇넷 IP와 유사도 검증으로 DDoS 트래픽을 2차적으로 판단하여 대응하도록 하는 2차 필터링을 수행하는 단계와,
상기 1차 필터링을 수행하는 단계와 상기 2차 필터링을 수행하는 단계를 수행한 이후에도 다량의 트래픽이 상기 네트워크의 외부에서 내부로 유입되는 경우, 레이트-리미트를 적용하여 3차 필터링을 수행하는 단계를 포함하는 것을 특징으로 하는 봇넷 정보를 이용한 악성 트래픽 격리 방법
|
| 5 |
5
삭제
|
| 6 |
6
삭제
|
| 7 |
7
삭제
|
| 8 |
8
청구항 4에 있어서,
상기 세이프티 존(safety zone)으로 향하는 트래픽 중 좀비 IP에서 출발한 DDoS 트래픽과, C0026#C IP에서 출발한 통신 트래픽을 격리시켜 1차 필터링을 수행하는 단계는,
C0026#C IP로 향하는 트래픽 중 좀비 IP에서 출발한 통신 트래픽과, 알려지지 않은 IP에서 출발한 트래픽을 격리시키는 것을 특징으로 하는 봇넷 정보를 이용한 악성 트래픽 격리 방법
|
| 9 |
9
청구항 4에 있어서,
상기 봇넷을 탐지하고자 하는 네트워크의 내부에서 외부로 유출되는 봇넷의 트래픽을 격리하는 단계는,
C0026#C IP로 향하는 통신 트래픽을 격리시키되 SRC IP가 알려진 좀비 IP인 경우 드롭시키며, 좀비 IP로 향하는 통신 트래픽을 격리시켜 1차 필터링을 수행하는 단계와,
상기 1차 필터링을 수행하는 단계에서 C0026#C IP로 향하는 통신 트래픽 또는 좀비 IP로 향하는 통신 트래픽에서 SRC IP가 알려지지 않은 IP일 때, 해당 트래픽의 L2/L3/L4 정보와 단위시간당 패킷유입수(PPS), 단위시간당 트래픽 양, 페이로드 사이즈를 통한 신규 봇넷 정보 획득하고 SRC IP를 좀비 IP로 또는 SRC IP를 C0026#C IP로 획득하며, 이를 격리하거나 관리자에게 통보하여 대응하도록 하는 단계를 포함하는 것을 특징으로 하는 봇넷 정보를 이용한 악성 트래픽 격리 방법
|
