| 1 |
1
시그니처 기반 네트워크 공격 탐지 및 공격 시그니처 생성 방법으로, 네트워크로부터 수신되는 입력 패킷 내에서 기저장된 적어도 하나의 압축 공격 시그니처와 매치되는 문자열을 탐지하는 1차 공격 탐지 단계; 상기 1차 공격 탐지 단계에서 탐지된 문자열이 기저장된 적어도 하나의 개별 공격 시그니처와 매치되는지 여부를 판단하는 2차 공격 탐지 단계; 및상기 탐지된 문자열이 상기 기저장된 적어도 하나의 개별 공격 시그니처와 매치되면, 상기 입력 패킷을 공격 패킷으로 판단하고, 매치되지 않으면 새로운 공격 시그니처로 생성하는 단계를 포함하되, 상기 적어도 하나의 압축 공격 시그니처는, 상기 적어도 하나의 개별 공격 시그니처를 기설정된 알고리즘에 따라 압축하여 생성되는 것을 특징으로 하는 방법
|
| 2 |
2
제1항에 있어서, 적어도 하나의 개별 공격 시그니처는,상기 적어도 하나의 개별 공격 시그니처를 구성하는 적어도 하나의 문자를 노드로 갖는 트리 형태로 상세 데이터 베이스에 기저장되고,상기 적어도 하나의 압축 공격 시그니처는,상기 노드 중 연속되는 문자를 병합하여 구성된 트리 형태로 압축 데이터 베이스에 기저장되는 것을 특징으로 하는 방법
|
| 3 |
3
제2항에 있어서, 상기 1차 공격 탐지 단계는, 기저장된 시그니처 정보 데이터 베이스 내에서 상기 탐지된 문자열에 대응하는 시그니처 정보가 검색되는지 여부를 판단하는 단계; 및상기 시그니처 정보가 검색되면, 상기 2차 공격 탐지 단계로 진행하는 단계를 포함하는 것을 특징으로 하는 방법
|
| 4 |
4
제3항에 있어서, 상기 시그니처 정보는,상기 적어도 하나의 개별 공격 시그니처에 대한 길이 정보 및 마지막 문자 정보를 포함하는 것을 특징으로 하는 방법
|
| 5 |
5
제2항에 있어서, 상기 1차 공격 탐지 단계는, 상기 시그니처 정보가 검색되지 않으면, 상기 탐지된 문자열 및 상기 압축 데이터 베이스의 상기 노드 별로 기저장된 노드 정보를 기초로 통계적 매칭을 수행하는 단계; 및상기 통계적 매칭이 성공하면, 상기 탐지된 문자열을 기초로 개별 공격 시그니처 처를 생성하는 단계를 더 포함하는 것을 특징으로 하는 방법
|
| 6 |
6
제5항에 있어서, 상기 통계적 매칭을 수행하는 단계는,상기 탐지된 문자열의 길이가 기설정된 임계값 이상이면, 상기 통계적 매칭을 수행하는 단계를 포함하는 것을 특징으로 하는 방법
|
| 7 |
7
제5항에 있어서, 상기 통계적 매칭을 수행하는 단계는, 균등 분포 난수를 발생시키는 단계; 및상기 노드 정보에 포함된 해당 노드에서 종료되는 공격 시그니처의 수와 해당 노드를 통과하는 시그니처 수의 비율이 상기 균등 분포 난수보다 크거나 같으면, 상기 통계적 매칭이 성공한 것으로 판단하는 단계를 포함하는 것을 특징으로 하는 방법
|
| 8 |
8
제5항에 있어서, 상기 통계적 매칭이 실패하면, 상기 입력 패킷을 무해 패킷으로 판단하는 단계;상기 통계적 매칭이 성공하면, 상기 탐지된 문자열의 중복 문자를 통합하여 압축하는 단계; 적어도 하나의 압축된 문자열들을 클러스터링하는 단계;상기 클러스터링 된 문자열들을 검증하는 단계; 및 상기 검증 결과 유해한 패킷이면, 상기 탐지된 문자열을 새로운 공격 시그니처로 생성하고, 상기 검증 결과 무해한 패킷이면, 상기 탐지된 문자열을 공격 탐지 시 예외 처리를 위한 화이트리스트로 저장하는 단계를 더 포함하는 것을 특징으로 하는 방법
|
| 9 |
9
시그니처 기반 네트워크 공격 탐지 및 공격 시그니처 생성 장치로, 네트워크로부터 입력 패킷을 수신하는 통신부;적어도 하나의 개별 공격 시그니처를 저장하는 상세 데이터 베이스 및 상기 개별 공격 시그니처를 기설정된 알고리즘에 따라 압축하여 생성되는 적어도 하나의 압축 공격 시그니처를 저장하는 압축 데이터 베이스를 포함하는 저장부; 및상기 입력 패킷 내에서 상기 압축 데이터 베이스와 매치되는 문자열이 탐지되면, 상기 탐지된 문자열을 상기 상세 데이터 베이스와 비교하고, 상기 탐지된 문자열이 상기 상세 데이터 베이스와 매치되면, 상기 입력 패킷을 공격 패킷으로 판단하고, 매치되지 않으면 새로운 공격 시그니처로 생성하는 제어부를 포함하는 것을 특징으로 하는 장치
|
| 10 |
10
제9항에 있어서, 상기 상세 데이터 베이스는,상기 적어도 하나의 개별 공격 시그니처를 구성하는 적어도 하나의 문자를 노드로 갖는 트리 형태로 구성되고,상기 압축 데이터 베이스는, 상기 노드 중 연속되는 문자를 병합하여 구성되는 것을 특징으로 하는 장치
|
| 11 |
11
제10항에 있어서, 상기 저장부는, 상기 적어도 하나의 개별 공격 시그니처에 대한 길이 정보 및 마지막 문자 정보를 포함하는 시그니처 정보 데이터 베이스를 더 포함하고,상기 제어부는,상기 시그니처 정보 데이터 베이스 내에서 상기 탐지된 문자열에 대응하는 시그니처 정보가 검색되면, 상기 탐지된 문자열을 상기 상세 데이터 베이스와 비교하는 것을 특징으로 하는 장치
|
| 12 |
12
제11항에 있어서, 상기 압축 데이터 베이스는, 상기 노드 별로 해당 노드에서 종료되는 공격 시그니처의 수와 해당 노드를 통과하는 시그니처 수의 비율을 포함하는 노드 정보를 포함하고, 상기 제어부는, 상기 시그니처 정보가 검색되지 않으면, 상기 탐지된 문자열 및 상기 노드 정보를 기초로 통계적 매칭을 수행하고, 상기 통계적 매칭이 성공하면, 상기 탐지된 문자열을 기초로 개별 공격 시그니처 및 압축 공격 시그니처를 생성하는 것을 특징으로 하는 장치
|
| 13 |
13
제12항에 있어서, 상기 제어부는, 상기 탐지된 문자열의 길이가 기설정된 임계값 이상이면 균등 분포 난수를 발생시키고, 상기 노드 정보에 포함된 비율이 상기 균등 분포 난수보다 크거나 같으면, 상기 통계적 매칭이 성공한 것으로 판단하는 것을 특징으로 하는 장치
|
| 14 |
14
제12항에 있어서, 상기 저장부는, 공격 탐지 시 예외 처리를 위한 적어도 하나의 문자열을 포함하는 화이트리스트를 더 포함하고, 상기 제어부는, 상기 통계적 매칭이 실패하면, 상기 입력 패킷을 무해 패킷으로 판단하고, 상기 통계적 매칭이 성공하면, 탐지된 문자열의 중복 문자를 통합하여 압축하고 적어도 하나의 압축된 문자열들을 클러스터링한 후, 클러스터링 된 문자열들을 검증하여 상기 검증 결과 유해한 패킷이면, 상기 탐지된 문자열을 새로운 공격 시그니처로 생성하고, 상기 검증 결과 무해한 패킷이면, 상기 탐지된 문자열을 상기 화이트리스트에 저장하는 것을 특징으로 하는 장치
|
