WO2017155280A2 - Sdn/nfv 기반 ip 통화 서비스 보안 시스템 및 보안 시스템의 동작 방법 - Google Patents

Sdn/nfv 기반 ip 통화 서비스 보안 시스템 및 보안 시스템의 동작 방법 Download PDF

Info

Publication number
WO2017155280A2
WO2017155280A2 PCT/KR2017/002448 KR2017002448W WO2017155280A2 WO 2017155280 A2 WO2017155280 A2 WO 2017155280A2 KR 2017002448 W KR2017002448 W KR 2017002448W WO 2017155280 A2 WO2017155280 A2 WO 2017155280A2
Authority
WO
WIPO (PCT)
Prior art keywords
security
voip
condition
information
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/KR2017/002448
Other languages
English (en)
French (fr)
Other versions
WO2017155280A3 (ko
Inventor
안태진
이세희
김우태
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
KT Corp
Original Assignee
KT Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by KT Corp filed Critical KT Corp
Publication of WO2017155280A2 publication Critical patent/WO2017155280A2/ko
Publication of WO2017155280A3 publication Critical patent/WO2017155280A3/ko
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/54—Organization of routing tables
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Definitions

  • the present invention relates to a security system and a security processing method for IP-based call services such as wired or wireless voice over (VoIP) and voice over LTE (VoLTE), and more particularly, software-defined networking (SDN).
  • IP-based call services such as wired or wireless voice over (VoIP) and voice over LTE (VoLTE), and more particularly, software-defined networking (SDN).
  • VoIP voice over
  • VoIP voice over LTE
  • SDN software-defined networking
  • the present invention relates to a technology for detecting and blocking illegal use of IP-based call services in an NFV (Network Function Virtualization) environment.
  • NFV Network Function Virtualization
  • SDN Software defined network refers to a user-oriented network in which a user has control authority regardless of basic network equipment such as a router or a switch, and a separate software controller controls traffic flow.
  • ONF defines the interface between hardware (switch) and controller (Network OS). This is a protocol for interacting with the data plane by separating the control plane from the physical network to control how data packets are delivered through the network.
  • the IETF creates working groups that define and implement standard interfaces for providing Network Security Services in network environments that use Network Functions Virtualization (NFV) as the underlying infrastructure.
  • NFV Network Functions Virtualization
  • the structure and operation method of the flexible and centralized security service system in the SDN / NFV-based environment as described above have not yet been specified.
  • a first object of the present invention for solving the above problems is to provide a security system for detecting and blocking illegal use of IP-based call service (VoIP or VoLTE) in the SDN and NFV environment.
  • VoIP IP-based call service
  • a second object of the present invention for solving the above problems is to provide a security processing method for detecting and blocking the illegal use of IP-based call services in the SDN and NFV environment.
  • a third object of the present invention for solving the above problems is to generate a security policy as a predetermined information model for a security system that detects and blocks illegal use of IP-based call services in SDN and NFV environments.
  • the present invention provides a method of operating a security controller that controls security functions that provide security services.
  • VoIP Voice over IP
  • SDN software-defined networking
  • the VoIP security service A security service manager for setting and managing a security service policy required for use;
  • a VoIP security controller (VoIP Security Controller) for generating a security service policy received through the security service manager as a predetermined information model and transferring the security service policy to a VoIP security function;
  • at least one VoIP security function providing a VoIP security service based on the information model received from the VoIP security controller.
  • the security service manager may serve as an application gateway.
  • the VoIP security function may be connected to at least one SDN controller managing at least one SDN switch.
  • the VoIP security function interprets the information model received from the VoIP security controller, calls an API that the SDN controller can transfer to the SDN switch, or converts the message into a message conforming to the interworking standard of the SDN controller and the SDN switch. It can be delivered to the SN controller.
  • the information model defines a condition for determining whether a specific operation is applied to a packet transmitted and received through a network device or a packet belonging to a specific flow, and an operation to be performed when the condition is satisfied. May contain information.
  • the condition may include a packet value condition that can be determined in a single packet and a context condition that can be determined through a session or a flow.
  • the operation information may include a traffic ingress control operation, a traffic output control operation, and an advanced action for applying a function profile for controlling a security service.
  • the information model may further include event information defining an application target of the condition and the operation.
  • the event information may include event time information and user action information.
  • the VoIP security function may operate on a virtual machine.
  • a method for processing a centralized Voice over IP (VoIP) service security based on software-defined networking (SDN) is a security service manager.
  • SDN software-defined networking
  • a security service manager creating a security service policy required to use the VoIP security service; Receiving a security service policy by a VoIP security function, generating the security service policy as a predetermined information model, and delivering the security service policy to at least one VoIP security function; And the at least one VoIP security function, based on the received information model, providing a VoIP security service.
  • the security service manager may serve as an application gateway.
  • the VoIP security function may be connected to at least one SDN controller managing at least one SDN switch.
  • the VoIP security function interprets the information model received from the VoIP security controller to call an API that the SDN controller can transfer to the SDN switch, or the interworking standard between the SDN controller and the SDN switch.
  • the method may further include converting the message into a message form suitable for the SDN controller.
  • the information model defines a condition for determining whether a specific operation is applied to a packet transmitted and received through a network device or a packet belonging to a specific flow, and an operation to be performed when the condition is satisfied. May contain information.
  • the condition may include a packet value condition that can be determined in a single packet and a context condition that can be determined through a session or a flow.
  • the operation information may include a traffic ingress control operation, a traffic output control operation, and an advanced action for applying a function profile for controlling a security service.
  • the information model may further include event information defining an application target of the condition and the operation.
  • the event information may include event time information and user action information.
  • a security service manager and a method of operating a VoIP security controller interoperating with at least one VoIP security function, Receiving a security service policy required for using a VoIP security service from the security service manager; Generating the security service policy into a predetermined information model and transferring the security service policy to the at least one VoIP security function; And receiving a result of executing the security service policy performed according to the predetermined information model from the at least one VoIP security function.
  • the information model defines a condition for determining whether a specific operation is applied to a packet transmitted and received through a network device or a packet belonging to a specific flow, and an operation to be performed when the condition is satisfied. May contain information.
  • the condition may include a packet value condition that can be determined in a single packet and a context condition that can be determined through a session or a flow.
  • the operation information may include a traffic ingress control operation, a traffic output control operation, and an advanced action for applying a function profile for controlling a security service.
  • the information model may add event information defining objects to which the condition and the operation are applied.
  • the event information may include event time information and user action information.
  • an information model (Information model) based on SDN / NFV, it detects and blocks the illegal / malicious use of IP-based call services such as VoIP and VoLTE in real time. It is possible to provide centralized and flexible service at low cost because it provides service by dynamically configuring information model in SW-based SDN / NFV environment rather than existing HW-based security equipment.
  • FIG. 1 is a schematic diagram showing the configuration of an SDN / NFV-based IP call service security system according to an embodiment of the present invention.
  • FIG. 2 is a view for explaining an example of the components of the interworking information model between the VoIP security controller and VoIP security functions in the SDN / NFV-based IP call service security system according to an embodiment of the present invention.
  • FIG. 3 is a diagram for describing example information for each component of an information model according to an embodiment of the present invention illustrated in FIG. 2.
  • FIG. 4 is a flowchart illustrating a SDN / NFV based IP call service security processing method according to an embodiment of the present invention.
  • FIG. 5 illustrates an example of components of an interworking information model between a VoIP security controller and VoIP security functions in an SDN / NFV based IP call service security system according to another embodiment of the present invention.
  • FIG. 6 is a diagram for describing example information for each component of an information model according to another embodiment of the present invention illustrated in FIG. 5.
  • FIG. 7 is a flowchart illustrating a method of blocking an illegal authentication attempt by detecting a dual registration pattern in an illegal authentication attempt detection of a wired (including mobile VoIP such as WiFi) terminal according to another embodiment of the present invention.
  • FIG. 8 is a flowchart illustrating a method of blocking an illegal authentication attempt by detecting a dual registration pattern in detecting an illegal authentication attempt of a wireless terminal according to another embodiment of the present invention.
  • FIG. 9 is a flowchart illustrating a method of blocking an illegal authentication attempt by detecting an abnormal operation pattern of an authentication expiration time in detecting an illegal authentication attempt of a VoIP and VoLTE terminal according to another embodiment of the present invention.
  • first, second, A, and B may be used to describe various components, but the components should not be limited by the terms. The terms are used only for the purpose of distinguishing one component from another.
  • the first component may be referred to as the second component, and similarly, the second component may also be referred to as the first component.
  • the 'controller' described in the specification means a functional entity that controls related components (eg, a switch, a router, etc.) in order to control the flow of traffic. It is not limited to an implementation position.
  • the controller may mean a controller function entity defined in ONF, IETF, ETSI, and / or ITU-T.
  • switch refers to a functional element that substantially forwards, switches, or routes traffic (or packets), and includes switches, routers, and the like defined in ONF, IETF, ETSI, and / or ITU-T. It may mean a switch element, a router element, a forwarding element, or the like.
  • VoIP service described in the specification refers to various IP network-based voice / video call services such as wired / WiFI / VoLTE.
  • FIG. 1 is a schematic diagram showing the configuration of an SDN / NFV-based IP call service security system according to an embodiment of the present invention.
  • an IP call service system 100 may include a security service manager (SSM) 110, a VoIP security controller (VSC) 120, and at least one VoIP security. It may be configured to include a function (VSF, VoIP Security Function; 130-1, ..., 130-N).
  • SSM security service manager
  • VSC VoIP security controller
  • VSF VoIP Security Function
  • the IP call service system 100 may include a wired / WiFi VoIP service network 210, a core network 220, and a wireless VoLTE service network 230.
  • each service network may include a plurality of switches.
  • the wired / WiFI VoIP service network 210 and the wireless VoLTE service network 230 are connected to the core network 220, respectively.
  • the security service manager 110 may serve as an application gateway for setting and managing a security service policy and / or control conditions necessary for a user or an administrator to use the VoIP security service.
  • a user or an administrator may request a security service policy to be used through a user interface screen or a command-line interface (CLI) through the security service manager 110.
  • CLI command-line interface
  • the VoIP security controller 120 is a security service policy received through the security service manager 110 at least one VoIP security functions (130-1, ..., 130-N) is the SDN controller 140 -1, ..., 140-M) and a predefined information model is generated and applied to at least one VoIP security function to be applied to switches controlled by the SDN controllers.
  • This information model contains a comparison condition for applying a specific action to a packet transmitted and received through a network device (such as a switch) and a packet belonging to this specific flow, and an operation procedure for how to perform the action when the condition is satisfied. It is defined.
  • the VoIP security controller 120 is configured to perform VoIP security service operations such as changing the calling number and detecting / blocking a device for hacking on the packets delivered by the VoIP security functions through the information model. Make a judgment. As illustrated in FIG. 1, one VoIP security controller may be connected to one or more VoIP security controllers.
  • the VoIP security functions 130-1,..., 130 -N interpret the information model received from the security controller 120 to provide an actual VoIP security service.
  • Each of the VoIP security functions calls an API that the SDN controllers 140-1, ..., 140-M can transfer to the SDN switches, or conforms to the interworking standard between the two information models received from the security controller 120. It converts the message into the SDN controller 140-1, ..., 140-M.
  • the VoIP security function may be implemented on an independent hardware server, or may be implemented on or on a virtual machine (VM) in a cloud environment. As illustrated in FIG. 1, one VoIP security function may be connected with one or more SDN controllers.
  • VM virtual machine
  • the SDN controllers 140-1, ..., 140-M refer to functional entities that control related components (e.g. switches, routers, etc.) to control the flow of traffic. It may mean various kinds of controllers such as controller function entities defined in IETF, ETSI and / or ITU-T.
  • a network device is a functional element that substantially forwards, switches, or routes traffic (or packets or flows), and is a switch, router, or switch defined in ONF, IETF, ETSI, and / or ITU-T. Element, router element, and forwarding element.
  • FIG. 2 is a view for explaining an example of the components of the interworking information model between the VoIP security controller and VoIP security functions in the SDN / NFV-based IP call service security system according to an embodiment of the present invention.
  • the information model according to an embodiment of the present invention may be configured to include all or part of four types of information of policy, rule, condition, and action.
  • the policy and the rules belonging to the policy, the conditions and the operation belonging to the rules may have a hierarchical structure.
  • policy 310 defines a security service policy at the service level.
  • the policy may be a unit security service such as an intrusion prevention system (or, service), an intrusion detection system (or, service), a web filter, etc.
  • the VoIP / VoLTE security policy may correspond to this policy
  • a policy may be defined including a name of a policy, an identifier of the policy, and the like.
  • the rule 320 identifies matching conditions for determining whether a specific operation is performed on the traffic / flow, and an action performed on the corresponding traffic and flow when the condition is satisfied.
  • one or more rules may be defined in one policy.
  • rules such as detection and control of 'VoIP / VoLTE account theft', 'calling number alteration', and 'sending a large number of messages' may be rules.
  • one rule may comprise at least one condition and at least one action. That is, the conditions may mean a matching condition for determining whether to perform a corresponding operation, and the operation may mean an operation procedure performed when the corresponding condition is satisfied.
  • a condition included in a rule is a set of one or more conditions for determining whether a particular rule is satisfied.
  • condition 330 may be divided into a packet value condition and a context condition.
  • packet value conditions are conditions that can be determined in a single packet.
  • MAC medium access control
  • VLAN virtual LAN
  • source and destination IP address source and destination port
  • packet header / payload value etc.
  • the situation condition is a condition related to a context that can be determined through a session or a flow.
  • a call call state, local location, etc. may be included, such as during a call attempt, a call cancellation, a call, and a call termination.
  • the priority (priority) as an additional information element indicates the priority of the rule to apply the operation when a plurality of rules that the comparison is satisfied.
  • Operation 340 defines a method of processing for packets or flows for which a comparison condition is satisfied.
  • An action may be divided into a basic action and an advanced action.
  • the basic operation may mean a simple control operation such as packet blocking, passing, copying, etc.
  • the application operation may mean application of a function profile for controlling a security service.
  • the application operation may include a VoIP / VoLTE security profile, an IPS operation profile, a URL filtering profile, an anti-virus file, and the like.
  • FIG. 3 is a diagram for describing example information for each component of an information model according to an embodiment of the present invention illustrated in FIG. 2.
  • the packet value condition 331 is a call packet's origin / destination IP address, origin / destination port number, outgoing call number, session's call-id type (length, letter / number, domain representation, etc.), call It may include all or part of the information in the header description (From, To, Via, Cseq, etc.) of the signaling message and the Session Description Protocol (SDP) indicating voice / video call session information.
  • SDP Session Description Protocol
  • the situation condition 332 includes call call status information (call attempt, busy, call termination, call failure, etc.), subscriber terminal model information (OS version, manufacturer information, etc.) and source IP location information (assigned IP provisions). Business, country, etc.) may be included in whole or in part.
  • the priority indicates the priority of the rule to which the operation should be applied when there are a plurality of rules that satisfy the condition.
  • the basic action may include an operation of allowing the packet, an operation of blocking the packet, an operation of copying the packet and delivering the packet to the VoIP security controller 120 when the condition is satisfied. Can be.
  • an advanced action is a call control operation according to a call state and a network device of the VoIP security controller 120 or the VoIP security controller 130-1,..., 130-N. It may include a VoIP / VoLTE security profile application operation that can determine whether to directly block or allow traffic without additional control.
  • FIG. 4 is a flowchart illustrating a SDN / NFV based IP call service security processing method according to an embodiment of the present invention.
  • the security service manager 110 transmits a security service policy application command message including the VoIP security service policy to the VoIP security controller 120 (S410).
  • the message includes a security service policy set by a user or an administrator through a user interface screen or a command line interface.
  • the security service policy may include changing a calling number, scanning a device / device for hacking, sending a large amount of messages such as a DDOS attack, and detecting / blocking account theft.
  • the VoIP security controller 120 generates an information model for performing the security service policy received from the security service manager 110 (S420), and transmits the generated information model to the VoIP security functions 130. Transfer (S430).
  • the range of VoIP security functions that receive the information model may vary depending on the target to which the information model is applied.
  • the information model includes a condition for applying a specific operation to a packet transmitted and received through a network device (switch, etc.) and a packet belonging to this specific flow, and how to perform the operation when the condition is satisfied.
  • the operating procedure for whether or not to be defined is defined.
  • the VoIP security function 130 that has received the information model from the VoIP security controller 120 interprets the received information model and provides an API (eg, OpenFlow) of the SDN controller 140 that can provide a practical VoIP security service.
  • an API eg, OpenFlow
  • the interpretation of the information model may be delivered by converting the VoIP security function into a message format conforming to a predetermined interworking standard between the SDN controller.
  • the SDN controller 140 checks the API (or message) requested by the VoIP security function 130, converts the network device 150 into an interface (OpenFlow, NetConf, etc.) that the network device 150 can understand. Can be delivered to (S460).
  • the network device 150 generates a flow table or the like according to a command transmitted from the SDN controller 140, monitors whether a packet matching the condition is introduced, and blocks the packet if the packet meets the condition. Control such as permission and transfer is performed (S470).
  • the network device 150, the SDN controller 140, the VoIP security function 130, and the VoIP security controller 120 may deliver the results according to the received request to the upper layer, respectively (S481, S482, S483, S484).
  • braces ⁇ in square brackets [] are used to distinguish condition information from the operation information.
  • the parentheses () in braces indicate details of the information model. If the parentheses are null, this means that they are not applicable.
  • the VoIP security controller 120 allows the VoIP security function 130 to copy and forward the corresponding signaling packet when the call state is in a call attempt or call connection state according to rule 1 and rule 2 below.
  • rule 2 convey the defined information model.
  • the service port of outgoing or incoming packet is designated as 5060.
  • the port number 5060 is an example, and enter the port value used in the call service.
  • Priority 1000 (in one embodiment, a lower value is a higher priority)
  • the rule 2 is, before the VoIP security controller 130 applies the rule 3 (to be described later) to block the call while the VoIP security controller 120 determines whether the number is modified according to rule 1, If a call message (200 OK, etc.) indicating that the call status is changed to the busy state occurs in case of a call that changes the call state from the call attempt to the busy state, the call is transmitted to the VoIP security controller 120 before the call is blocked. It is a rule to block even the outgoing call number change call.
  • the VoIP security controller 120 is a source packet IP address (IP_1), caller ID (From URI number, caller ID_1), display name (Caller-ID, CID_1) in the signal packet copied and transmitted from the VoIP security function 130 ), And compare the display name that the subscriber applied for at the time of opening, discard the copied packet because it is normal in other cases, and if it is different, make rule 3 to conclude the call and end the call. Deliver to function 130.
  • IP_1 IP address
  • caller ID From URI number, caller ID_1
  • display name Caller-ID, CID_1
  • the VoIP security function 130 blocks the packet whose source IP is IP_1, the source number is calling number_1, and the CID_1. Since rule 3 has a priority of 100, rule 3 has priority over rule 1 and rule 2 having a priority of 1000.
  • IP_1, CID_1 is added to the block list by applying the VoIP / VoLTE security profile, which is an application operation, and the call is attempted with the corresponding IP and CID_1 in the future, the device is immediately blocked from the network device without the control of the VoIP security controller and the VoIP security function. Can be.
  • the VoIP security controller 120 forwards the rule 3 to the VoIP security function 130, the call is blocked when the call state condition is “Calling” in the situation comparison condition to block the call when the call is connected and busy.
  • Rule 4 is generated and forwarded to the VoIP security function 130 so that the call can be blocked using a message.
  • the VoIP security function 130 generates a signaling message (BYE, etc.) to block this call by call control operation, which is the application operation of Rule 4, and transmits it to the exchange equipment that was processing the source IP and the corresponding call, and corresponding call. Ends the process.
  • call control operation which is the application operation of Rule 4
  • the VoIP security controller 120 copies and transmits the corresponding signal packet when the VoIP security function 130 is a call attempt or authentication (SIP register, etc.) according to rule 1 and rule 2. Pass the following rules to).
  • context information SIP Options, etc.
  • SIP Options etc.
  • the service port of outgoing or incoming packet is designated as 5060.
  • the port number 5060 is an example, and enter the port value used in the call service.
  • ⁇ Default Action Copy the packet and forward it to the VoIP security controller.
  • ⁇ Default Action Copy the packet and forward it to the VoIP security controller.
  • the VoIP security controller 120 extracts source IP address (IP_1), source number (From URI number, source number_1) information from the signal packet copied and transferred from the VoIP security function 130. Similar messages may be transferred from the plurality of VoIP security functions 130 to the VoIP security controller 120 because the hacker can send messages to a large number of terminals / devices during scanning. Accordingly, the VoIP security controller 120 may determine scanning by integrating messages transmitted from one or more VoIP security functions 130 to determine scanning. The VoIP security controller 120 accumulates and sums each source IP address (IP_1) and source number (From URI number, source number_1) in cycle time (seconds / minutes, etc.) for each VSF. If the value exceeds the set threshold, it is determined as a scanning attempt. There are two control operation methods for the case determined by scanning.
  • the first method generates rule 3 to block the packet of the call with the source IP_1 and the source number_1 and delivers it to the VoIP security function 130.
  • the second method may pass the Session Description Protocol (SDP) of the call determined by scanning to the VoIP security function 130 to add it to the VoIP / VoLTE security profile and immediately block it at the network device.
  • SDP Session Description Protocol
  • the VoIP security function 130 blocks all packets for the call whose source IP is IP_1 and the caller ID_1.
  • the network device can be immediately blocked without controlling the VoIP security controller and the VoIP security function.
  • FIG. 5 illustrates an example of components of an interworking information model between a VoIP security controller and VoIP security functions in an SDN / NFV based IP call service security system according to another embodiment of the present invention.
  • An information model according to another embodiment of the present invention may be configured to include all or part of five pieces of information of a policy, a rule, an event, a condition, and an action. .
  • the policies, rules belonging to the policies, events belonging to the rules, conditions, and actions may take a hierarchical structure.
  • the difference between the information model illustrated in FIG. 2 and the information model illustrated in FIG. 5, in the case of the information model illustrated in FIG. 5, further includes event information, and is somewhat different in the definition of motion information. Is that there is.
  • policy 510 defines a security service policy at the service level.
  • the policy may be a unit security service such as IPS, IDS, web filter, IP call security, and so on.
  • the VoIP / VoLTE security policy may correspond thereto.
  • a policy may be defined including a name of the policy, an identifier of the policy, and the like.
  • the rule 520 may include matching conditions 540 for detecting a specific policy, an action performed on the corresponding traffic and flow when the condition is satisfied, and the action 550. It may include an event 530 that defines a target of the condition and the action.
  • one or more rules may be defined in one policy. In the present embodiment, rules such as detection and control of 'illegal authentication attempt through VoIP / VoLTE account theft', 'change of calling number', and 'change of authentication expiration time' may be rules.
  • one rule may comprise at least one event, at least one condition and at least one action.
  • the event is to specify the main targets for operating by comparing the conditions.
  • condition refers to a condition for determining whether to perform a corresponding operation
  • operation may refer to an operation procedure performed when the corresponding condition is satisfied.
  • a condition included in a rule is a set of one or more conditions for determining whether a particular rule is satisfied.
  • an event 530 may be divided into an event time and a user action.
  • event time it means information on the time of occurrence of an event (eg, authentication or call), and in the case of a user action, it means an action (ie, event) performed by the user (eg, terminal registration / authentication and call origination / reception).
  • action ie, event
  • Etc terminal registration / authentication and call origination / reception
  • condition 540 may be divided into a packet value condition and a context condition.
  • packet value conditions are conditions that can be determined in a single packet.
  • MAC medium access control
  • VLAN virtual LAN
  • source and destination IP address source and destination port
  • packet header / payload value etc.
  • the situation condition is a condition related to a context that can be determined through a session or a flow.
  • the location information (geographic location or country unit) of the terminal IP may be included in the authentication attempt, authentication, and call.
  • the priority (priority) as an additional information element of the condition 540 indicates the priority of the rule to apply the operation when there are a plurality of rules for which the comparison is satisfied.
  • Operation 550 defines a method of processing for packets or flows in which the condition is met.
  • the operation may be classified into a traffic ingress control operation, a traffic output control operation, and an application operation.
  • a traffic ingress control operation is a control operation for traffic entering a specific network device such as packet accepting, blocking, and copying.
  • the traffic output control operation is a control operation for traffic output to a specific network device such as packet forwarding.
  • the application operation may mean the application of a function profile that controls security services other than ingress / output control of traffic.
  • the application operation may include a VoIP / VoLTE security profile, an IPS operation profile, a URL filtering profile, an anti-virus file, and the like.
  • motion information is divided into a basic operation and an application operation.
  • information model according to the embodiments described with reference to FIGS. are classified into traffic ingress control operation, traffic output control operation, and application operation.
  • traffic ingress control operation and the traffic output control operation may be understood as more subdivided the basic operation.
  • FIG. 6 is a diagram for describing example information for each component of an information model according to another embodiment of the present invention illustrated in FIG. 5.
  • an event may be divided into an event time and a user action as mentioned above.
  • the authentication time may include authentication / call time information.
  • the user operation 632 may include terminal registration / authentication and call origination / reception.
  • the packet value condition 6411 includes the originating / destination IP address of the call packet, the originating / destination port number, the calling telephone number, the call-id type of the session (length, letter / number, domain representation, etc.), call signaling message. It may include all or part of the information in the header order (From, To, Via, Cseq, etc.) and the Session Description Protocol (SDP) indicating the voice / video call session information.
  • SDP Session Description Protocol
  • Situation condition 642 includes call call status information (call attempt, busy, call termination, call failure, etc.), subscriber terminal model information (OS version, manufacturer information, etc.) and source IP location information (assigned IP provider, country). Etc.), authentication expiration time, dual registration status, and all or part of cell location information.
  • Priority indicates the priority of a rule to which an action should be applied when there are a plurality of rules that satisfy a condition.
  • the traffic ingress control operation 651 may include an operation of allowing a corresponding packet, an operation of blocking a packet, and an operation of mirroring when the condition is satisfied.
  • the traffic output control operation 652 may include copying the packet and then mirroring the packet to the VoIP security controller 120.
  • the application operation 653 is an operation when authentication fails, call control operation by call status according to the above situation condition
  • the network device is VoIP security controller 120 or VoIP security controller 130-1, ..., 130- It may include a VoIP / VoLTE security profile application operation for determining whether to directly block or allow traffic without N).
  • event information is added to the information model, and the type of specific information included in the information model varies depending on the application purpose. Except, the method according to the embodiment described with reference to FIG. 4 is not significantly different.
  • the SDN / NFV based IP call service security processing method according to another embodiment of the present invention will be described.
  • the security service manager 110 transmits a security service policy application command message including the VoIP security service policy to the VoIP security controller 120 (S410).
  • the message includes a security service policy set by a user or an administrator through a user interface screen or a command line interface.
  • the security service policy may include authentication attempts, location information of the terminal IP during authentication and call, change of calling number, scanning of devices / devices for hacking, sending of a large amount of messages such as DDOS attack, detection and blocking of account theft. have.
  • the VoIP security controller 120 generates an information model for performing the security service policy received from the security service manager 110 (S420), and transmits the generated information model to the VoIP security functions 130. Transfer (S430).
  • the range of VoIP security functions that receive the information model may vary depending on the target to which the information model is applied.
  • the information model includes events, conditions, and conditions for applying specific operations to packets transmitted and received through network devices (switches, routers, etc.) and to packets belonging to a particular flow.
  • network devices switches, routers, etc.
  • an operation procedure for how to perform the action is defined.
  • the VoIP security function 130 that has received the information model from the VoIP security controller 120 interprets the received information model and provides an API (eg, OpenFlow) of the SDN controller 140 that can provide a practical VoIP security service.
  • an API eg, OpenFlow
  • the interpretation of the information model may be delivered by converting the VoIP security function into a message format conforming to a predetermined interworking standard between the SDN controller.
  • the SDN controller 140 checks the API (or message) requested by the VoIP security function 130, converts the network device 150 into an interface (OpenFlow, NetConf, etc.) that the network device 150 can understand. Can be delivered to (S460).
  • the network device 150 generates a flow table or the like according to a command transmitted from the SDN controller 140, monitors whether a packet matching the condition is introduced, and blocks the packet if the packet meets the condition. Control such as permission and transfer is performed (S470).
  • the network device 150, the SDN controller 140, the VoIP security function 130, and the VoIP security controller 120 may deliver the results according to the received request to the upper layer, respectively (S481, S482, S483, S484).
  • the VoIP security controller 120 may copy (mirror) the corresponding signal packet and deliver only the copied packet to the VoIP security controller 120 when an authentication challenge event occurs in the terminal according to the rule 1 below.
  • the original packet may be delivered along the routing path to set up a rule such that the call service proceeds without signal delay.
  • the packet is transmitted to the VoIP security controller 120 as it is without copying the packet to set the call / authentication flow only in the case of normal call / authentication. You can also set rules to make them work.
  • Rule 1 may be interpreted to mean:
  • Event time Event occurrence time (terminal authentication attempt time in this example)
  • Rule 2 is to block immediately when the authentication attempt message is received from the IP address, port value, terminal type, etc. designated by the black list, or when the authentication expiration time is less than the threshold value. This is a rule for applying a packet blocking policy in traffic ingress control because it is an illegal authentication attempt. Therefore, Rule 2 may be defined in the following form according to the defined information model.
  • Event time Time of occurrence (time of terminal authentication attempt in this application)
  • Packet value condition IP, port, authentication expiration time value, condition value corresponding to terminal type stored in black list among authentication messages
  • the VoIP security controller 120 is copied to the VoIP security controller 120 from a network device in a network area (such as a cloud area such as a data center or an SDN control area) managed by the VoIP security function 130 according to rule 1 above.
  • a network area such as a cloud area such as a data center or an SDN control area
  • the base station ID (cell-id, Cell_1), source IP address (IP_1), port number (port_1), caller ID (From URI number, caller ID_1), authentication expiration time (expire time, ET_1), display name (Caller-ID, CID_1)) may be extracted to determine whether to attempt normal authentication, and control may be determined according to the result.
  • FIG. 7 is a flowchart illustrating a method of blocking an illegal authentication attempt by detecting a dual registration pattern in an illegal authentication attempt detection of a wired (including mobile VoIP such as WiFi) terminal according to another embodiment of the present invention.
  • a process of detecting an illegal authentication attempt by detecting a dual registration pattern of a wired (including mobile VoIP such as WiFi) terminal is as follows.
  • the VoIP security controller 120 may extract the originating IP (IP2) and the originating number (From number) from the authentication challenge packet copied / delivered from the network device (S710).
  • step S720 After determining the inquiry result at step S720 (S730), if the extracted caller ID does not exist in the authentication DB, the terminal requesting the first authentication of the terminal sending the corresponding authentication attempt packet due to a new subscription or the like. In operation S740, the processor 100 determines that the authentication DB is added to the authentication DB. If the extracted calling number is retrieved from the authentication DB, the next step is to determine whether the registration is double.
  • the sender IP (IP2) of the current authentication request packet is compared with the caller IP (eg, IP1) that previously sent the authentication request message to the corresponding number (S750). If both are the same, it is determined that the message is a reauthentication request message sent periodically according to the authentication period of the authentication expiration time value (ET1) under the condition that there is no movement of the terminal (eg, IP change, etc.), and the next process is performed. .
  • step S750 when it is determined that the originating IP IP2 of the current authentication request packet does not match the originating IP IP1 previously sent to the corresponding number, the normal terminal moves (eg, IP). In order to determine whether the change is made or a negative authentication attempt, ET2 (expire expiration time value of the current authentication request message) and ET1 (authentication expiration time value of the previous authentication request message) are extracted, respectively (S760).
  • ET2 expiration time value of the current authentication request message
  • ET1 authentication expiration time value of the previous authentication request message
  • step S770 when the authentication request message is flowed in from IP1 within the ET1 time range, the existing terminal may be known to remain intact without changing its location. In this case, the authentication request message introduced from IP2 may be hacked. It may be determined that authentication is attempted by another terminal or device for negative use.
  • the authentication request message flows from IP1 within the ET1 time range in step S770, it is determined that the authentication request message from IP2 is a negative authentication request, and the authentication request from IP2 is blocked or the previous authentication is successfully processed.
  • the authentication IP of the terminal number in the authentication DB is maintained as IP1.
  • IP2 (or port (port2)), authentication expiration time value (ET2), terminal type (UserAgent2) value, and combination of values) for which a negative authentication attempt is made for blacklist IP management are stored / managed in the blacklist candidate DB. Can be. If the authentication or call attempt at IP2 exceeds a certain number, it can be added to the blacklist information. When added to the blacklist DB, authentication or call attempt messages coming from IP2 (or port (port2)), authentication expiration time value (ET2), terminal type (UserAgent2) value, and combination of values) will be added to Rule 2. All are blocked.
  • step S770 if the authentication request message does not flow in IP1 within the ET1 time range, it is determined that the IP of the terminal is normally moved from IP1 to IP2 (or changed to DHCP, etc.), and the authentication flowed in from IP2.
  • the request message is normally processed (S790), and the authentication IP of the corresponding terminal number is then managed by IP2 in the authentication DB.
  • the VoIP security function 130 may notify the security controller 120 that an unauthorized authentication attempt has occurred at IP2 in order to block the authentication request and the call request message flowing from IP2.
  • the security controller 120 may transfer the following rules 3 and 4 to the VoIP security function 130 to block authentication and calls attempted from IP2 in the VoIP security function 130.
  • Packet value condition Condition value (or port (port2)), authentication expiration time value (ET2), terminal type (UserAgent2) value and combination of values that the source IP corresponds to IP2 among authentication messages
  • Packet value condition Condition value (or port (port2)), authentication expiration time value (ET2), terminal type (UserAgent2) value, and combination of values of the source IP corresponding to IP2 in the call message
  • FIG. 8 is a flowchart illustrating a method of blocking an illegal authentication attempt by detecting a dual registration pattern in detecting an illegal authentication attempt of a wireless terminal according to another embodiment of the present invention.
  • a process of detecting an illegal authentication attempt by detecting a dual registration pattern of a wireless terminal is as follows.
  • the VoIP security controller 120 is based on Rule 1 described above, is based on the base station ID (base station code value, SIP P-Access-) from the authentication challenge packet copied and forwarded from the network device.
  • a Network-Info header value, Cell-ID2) and a calling number (From number) may be extracted (S810).
  • step S820 when the search result is determined (S830), if the extracted caller ID does not exist in the authentication DB, the terminal requesting the first authentication of the terminal sending the authentication attempt packet for a new subscription or the like, may be necessary.
  • step S840 the authentication is added to the authentication DB and authentication is performed. If the extracted calling number is retrieved from the authentication DB, the next step is to determine whether the registration is double.
  • the base station ID (Cell-ID2) of the current authentication request message is compared with the base station ID (Cell-ID1) previously sent to the corresponding authentication request message (S850). If both are the same, it is determined that the message is a reauthentication request message that is periodically sent according to the authentication period of the authentication expiration time value (ET1) under the condition that there is no movement of the terminal (ie, base station change; handover) and the next processing is performed. Proceed.
  • E1 authentication expiration time value
  • step S850 if it is determined that the base station ID (Cell-ID2) of the current authentication request message and the base station ID (Cell-ID1) of the previous authentication request message do not match, it is normal terminal movement (base station change) or negative.
  • ET1 expiration time value of current authentication request message
  • ET2 authentication expiration time value of previous authentication request message
  • the authentication request message is no longer introduced from the existing base station (Cell-ID1), the authentication request message is only introduced from the new base station (Cell-ID2).
  • the authentication request message is sent, it is checked whether the authentication request message flows from the Cell-ID1 within the ET1 time range (S870).
  • step S870 when the authentication request message is transmitted from the Cell-ID1 within the ET1 time range, it can be seen that the existing terminal remains intact without changing the location. In this case, the authentication request message flowed from the Cell-ID2. May be determined to attempt authentication at another terminal or device for negative use by hacking or the like.
  • the authentication request message from Cell-ID2 is determined to be a negative authentication request, and the authentication request from Cell-ID2 is blocked, If authentication is successful, authentication is blocked by transmitting an authentication failure message (S880).
  • step S870 If the authentication request message is not transmitted from Cell-ID1 within the ET1 time range in step S870, it is determined that the base station ID of the terminal is normally changed from Cell-ID1 to Cell-ID2, and the authentication flows from Cell-ID2.
  • the request message is normally processed (S890), and then the authentication base station ID of the corresponding terminal number is managed by Cell-ID2 in the authentication DB.
  • FIG. 9 is a flowchart illustrating a method of blocking an illegal authentication attempt by detecting an abnormal operation pattern of an authentication expiration time in detecting an illegal authentication attempt of a VoIP and VoLTE terminal according to another embodiment of the present invention.
  • a process of detecting an illegal operation pattern of an authentication expiration time of a VoIP and VoLTE terminal to block illegal authentication attempts is as follows.
  • the VoIP security controller 120 based on Rule 1 described above, the originating IP (IP2) and the originating number (From number) from the authentication challenge packet copied and forwarded from the network device It may be extracted (S910).
  • the caller IP (IP2) of the current authentication request message is compared with the caller IP (IP1) that previously sent the authentication request message to the corresponding number (S950). If the two are the same, it is determined that the re-authentication request message is periodically sent according to the authentication period of the authentication expiration time value (ET1) in the absence of the movement of the terminal (for example, IP change, etc.) and proceeds to the next process.
  • step S950 when it is determined that the originating IP IP2 of the current authentication request packet does not match the originating IP IP1 previously sent to the corresponding number, the normal terminal moves (eg, IP). In order to determine whether the change is made or a negative authentication attempt, ET2 (expire expiration time value of the current authentication request message) and ET1 (authentication expiration time value of the previous authentication request message) are extracted, respectively (S960).
  • ET2 expiration time value of the current authentication request message
  • ET1 authentication expiration time value of the previous authentication request message
  • the purpose of attempting a negative authentication is to make a call without paying a call after successful authentication, to interrogate network access fees that must be settled between operators, or to a number that is subject to expensive charges (eg, international calls, etc.). It is the purpose of monetizing the charges by making illegal calls. Therefore, when attempting a negative authentication, it is used by manipulating the authentication expiration time value which is much smaller than the normal authentication expiration time.
  • step S970 the ET1 value and the ET2 value are compared with each other.
  • step S970 if it is determined that ET2 is equal to or larger than ET1 (that is, the authentication expiration time value of the current authentication request message is not set smaller than the authentication expiration time value of the previous authentication request message), it is not a negative authentication. Judgment proceeds to the next process.
  • step S970 if ET2 is determined to be smaller than ET1 (i.e., the authentication expiration time value of the current authentication request message is set smaller than the authentication expiration time value of the previous authentication request message), there is a possibility of negative authentication. It can be judged that. In this case, the actual occurrence period of the authentication request message can be measured later for more accurate determination. In normal cases, reauthentication is requested within 1/3 ⁇ 1/2 hours of ET2, but in case of negative authentication, reauthentication is requested in a much shorter time period. Therefore, it may be determined whether the re-authentication request occurs at a shorter period than the threshold period value (1/5, 1/10, 1/100, etc.) designated by the operator (S980).
  • the threshold period value (1/5, 1/10, 1/100, etc.
  • step S980 when the reauthentication request period is not shorter than the threshold value, it is determined that the normal period value is changed and the authentication process is performed.
  • step S980 If it is determined in step S980 that the re-authentication request period is shorter than the threshold value, it is determined to be a negative authentication request, and the authentication request transmitted from the IP (IP2) fails or the authentication is performed if the authentication is successful.
  • the authentication message is blocked by transmitting a failure message (S990).
  • the authentication IP of the terminal number in the authentication DB is maintained as IP1.
  • IP2 that has a negative authentication attempt for blacklist IP management can be stored / managed in the blacklist candidate DB. If the authentication or call attempt at IP2 exceeds a certain number, it can be added to the blacklisted IP. When added to the blacklist DB, authentication or call attempt messages coming from IP2 in the future are all blocked by rule 2.
  • the methods according to the invention can be implemented in the form of program instructions that can be executed by various computer means and recorded on a computer readable medium.
  • Computer-readable media may include, alone or in combination with the program instructions, data files, data structures, and the like.
  • the program instructions recorded on the computer readable medium may be those specially designed and constructed for the present invention, or may be known and available to those skilled in computer software.
  • Examples of computer readable media include hardware devices that are specifically configured to store and execute program instructions, such as ROM, RAM, flash memory, and the like.
  • Examples of program instructions include machine language code, such as produced by a compiler, as well as high-level language code that can be executed by a computer using an interpreter or the like.
  • the hardware device described above may be configured to operate with at least one software module to perform the operations of the present invention, and vice versa.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Telephonic Communication Services (AREA)
  • Exchange Systems With Centralized Control (AREA)

Abstract

SDN 및 NFV 환경에서 IP 기반 통화 서비스(VoIP 또는 VoLTE)의 불법 사용 여부를 탐지하고 차단하는 보안 시스템 및 보안 처리 방법이 개시된다. SDN 기반의 중앙 집중형 VoIP 서비스 보안 시스템은, VoIP 보안 서비스를 이용하기 위해 필요한 보안 서비스 정책을 설정하고 관리하는 보안 서비스 관리자; 보안 서비스 관리자를 통해 전달받은 보안 서비스 정책을 소정의 정보 모델로 생성하여 VoIP 보안 기능에 전달하는 VoIP 보안 컨트롤러; 및 VoIP 보안 컨트롤러로부터 전달받은 정보 모델에 기초하여, VoIP 보안 서비스를 제공하는 적어도 하나의 VoIP 보안 기능을 포함하여 구성된다. 따라서, 기존의 하드웨어 기반 보안 장비가 아닌 소프트웨어 기반의 SDN/NFV 환경에서 정보 모델을 동적으로 구성하여 보안 서비스를 제공하기 때문에 중앙 집중화된 유연한 서비스 제공이 가능하다.

Description

SDN/NFV 기반 IP 통화 서비스 보안 시스템 및 보안 시스템의 동작 방법
본 발명은 유선 또는 무선 VoIP(Voice over) 및 VoLTE(Voice over LTE) 등의 IP 기반 통화 서비스에 대한 보안 시스템 및 보안 처리 방법에 관한 것으로써, 더욱 자세하게는 소프트웨어 정의 네트워크(SDN, Software-defined networking) 및 네트워크 기능 가상화(NFV, Network Function Virtualization) 환경에서 IP 기반 통화 서비스의 불법 사용 여부를 탐지하고 차단하는 기술에 관한 것이다.
최근 들어, 스위치의 트래픽 포워딩 기능과 스위치의 제어 기능을 분리하여 통신 시스템을 효율적으로 운용하는 기술에 대한 표준화가 ONF(Open Networking Foundation), IETF(Internet Engineering Task Force), ETSI ISG NFV(Network Function Virtualization) 및 ITU-T 등을 중심으로 진행되고 있다.
SDN(Software Defined Network)은 라우터나 스위치 등의 기본 네트워크 장비에 관계없이 사용자가 통제 권한을 가지며, 별도의 소프트웨어 컨트롤러가 트래픽 흐름을 제어하는 사용자 중심의 네트워크를 의미한다.
SDN의 기술 중의 하나인 오픈플로우(OpenFlow) 기술 표준화를 추진하고 있는 표준화 단체들 중 ONF는 하드웨어(스위치)와 컨트롤러(Network OS) 사이를 연결하는 인터페이스를 정의하고 있다. 이는 네트워크를 통해 데이터 패킷을 어떻게 전달할 것인지 제어하기 위한 기능(Control Plane)을 물리적 네트워크와 분리하여 데이터 전달 기능(Data Plane)과 상호작용 하기 위한 프로토콜이다. IETF는 NFV(Network Functions Virtualization)를 기본 인프라로 이용하는 네트워크 환경에서 네트워크 보안 서비스(Network Security Service)를 제공하기 위한 표준 인터페이스를 정의하고 구현하는 워킹 그룹을 만들고, 네트워크 서비스 인프라 구축 및 운영 비용을 절감하기 위한 네트워크 기능 가상화인 NFV 연구 및 표준화를 활발히 진행되고 있다.
한편, VoIP 및 VoLTE 등의 IP 기반 통화 서비스에 대해 상기와 같은 SDN/NFV 기반의 환경에서의 유연하고 중앙집중적인 보안 서비스 시스템의 구조 및 동작 방법에 대해서는 아직 구체화되고 있지 않다.
상기와 같은 문제점을 해결하기 위한 본 발명의 제1 목적은, SDN 및 NFV 환경에서 IP 기반 통화 서비스(VoIP 또는 VoLTE)의 불법 사용 여부를 탐지하고 차단하는 보안 시스템을 제공하는 것이다.
상기와 같은 문제점을 해결하기 위한 본 발명의 제2 목적은, SDN 및 NFV 환경에서 IP 기반 통화 서비스의 불법 사용 여부를 탐지하고 차단하는 보안 처리 방법을 제공하는 것이다.
상기와 같은 문제점을 해결하기 위한 본 발명의 제3 목적은, SDN 및 NFV 환경에서 IP기반 통화 서비스의 불법 사용 여부를 탐지하고 차단하는 보안 시스템을 위해, 전달받은 보안 정책을 소정의 정보 모델로 생성하고, 보안 서비스를 제공하는 보안 기능(security function)들을 제어하는 보안 컨트롤러(security controller)의 동작 방법을 제공하는 것이다.
상술한 본 발명의 제1 목적을 달성하기 위한 본 발명의 일 측면에 따른 소프트웨어 정의 네트워킹(SDN, software-defined networking) 기반의 중앙 집중형 VoIP(Voice over IP) 서비스 보안 시스템은, VoIP 보안 서비스를 이용하기 위해 필요한 보안 서비스 정책을 설정하고 관리하는 보안 서비스 관리자(Security Service Manager); 상기 보안 서비스 관리자를 통해 전달받은 보안 서비스 정책을 소정의 정보 모델로 생성하여 VoIP 보안 기능(VoIP security function)에 전달하는 VoIP 보안 컨트롤러(VoIP Security Controller); 및 상기 VoIP 보안 컨트롤러로부터 전달받은 정보 모델에 기초하여, VoIP 보안 서비스를 제공하는 적어도 하나의 VoIP 보안 기능(VoIP security function)을 포함하여 구성될 수 있다.
상기 보안 서비스 관리자는 어플리케이션 게이트웨이(application gateway) 역할을 수행할 수 있다.
상기 VoIP 보안 기능은, 적어도 하나의 SDN 스위치를 관리하는 적어도 하나의 SDN 컨트롤러에 연결될 수 있다.
상기 VoIP 보안 기능은, 상기 VoIP 보안 컨트롤러로부터 전달받은 정보 모델을 해석하여, 상기 SDN 컨트롤러가 SDN 스위치로 전달할 수 있는 API를 호출하거나 상기 SDN 컨트롤러와 상기 SDN 스위치의 연동 규격에 맞는 메시지 형태로 변환하여 상기 SN 컨트롤러로 전달할 수 있다.
상기 정보 모델은, 네트워크 장치를 통해 송수신되는 패킷 또는 특정 플로우에 속하는 패킷에 대해 특정 동작의 적용 여부를 판단하기 위한 조건(condition) 및 상기 조건이 만족되었을 때 수행될 동작(action)을 정의하는 동작 정보를 포함할 수 있다.
상기 조건은 단일 패킷에서 판단할 수 있는 패킷 값 조건과, 세션(session) 또는 플로우(flow) 등을 통하여 판단할 수 있는 상황(context) 조건을 포함할 수 있다.
상기 동작 정보는 트래픽 인입 제어 동작, 트래픽 출력 제어 동작, 및 보안 서비스를 제어하는 기능 프로파일(profile)을 적용하는 응용 동작(advanced action)을 포함할 수 있다.
상기 정보 모델은, 상기 조건과 상기 동작의 적용 대상을 정의하는 사건(event) 정보를 추가로 포함할 수 있다.
상기 사건 정보는 이벤트 시간(event time) 정보와 사용자 동작(user action) 정보를 포함할 수 있다.
상기 VoIP 보안 기능은 가상 머신 상에서 동작할 수 있다.
상술한 본 발명의 제2 목적을 달성하기 위한 본 발명의 일 측면에 따른 소프트웨어 정의 네트워킹(SDN, software-defined networking) 기반의 중앙 집중형 VoIP(Voice over IP) 서비스 보안 처리 방법은, 보안 서비스 관리자(Security Service Manager)가 VoIP 보안 서비스를 이용하기 위해 필요한 보안 서비스 정책을 생성하는 단계; VoIP 보안 기능(VoIP security function)가 상기 보안 서비스 정책을 수신하고, 상기 보안 서비스 정책을 소정의 정보 모델로 생성하여 적어도 하나의 VoIP 보안 기능(VoIP security function)에 전달하는 단계; 및 상기 적어도 하나의 VoIP 보안 기능이, 상기 전달받은 정보 모델에 기초하여, VoIP 보안 서비스를 제공하는 단계를 포함하여 구성될 수 있다.
상기 보안 서비스 관리자는 어플리케이션 게이트웨이(application gateway) 역할을 수행할 수 있다.
상기 VoIP 보안 기능은, 적어도 하나의 SDN 스위치를 관리하는 적어도 하나의 SDN 컨트롤러에 연결될 수 있다.
상기 VoIP 서비스 보안 처리 방법은, 상기 VoIP 보안 기능이 상기 VoIP 보안 컨트롤러로부터 전달받은 정보 모델을 해석하여, 상기 SDN 컨트롤러가 SDN 스위치로 전달할 수 있는 API를 호출하거나 상기 SDN 컨트롤러와 상기 SDN 스위치의 연동 규격에 맞는 메시지 형태로 변환하여 상기 SDN 컨트롤러로 전달하는 단계를 추가로 포함할 수 있다.
상기 정보 모델은, 네트워크 장치를 통해 송수신되는 패킷 또는 특정 플로우에 속하는 패킷에 대해 특정 동작의 적용 여부를 판단하기 위한 조건(condition) 및 상기 조건이 만족되었을 때 수행될 동작(action)을 정의하는 동작 정보를 포함할 수 있다.
상기 조건은 단일 패킷에서 판단할 수 있는 패킷 값 조건과, 세션(session) 또는 플로우(flow) 등을 통하여 판단할 수 있는 상황(context) 조건을 포함할 수 있다.
상기 동작 정보는 트래픽 인입 제어 동작, 트래픽 출력 제어 동작, 및 보안 서비스를 제어하는 기능 프로파일(profile)을 적용하는 응용 동작(advanced action)을 포함할 수 있다.
상기 정보 모델은, 상기 조건과 상기 동작의 적용 대상을 정의하는 사건(event) 정보를 추가로 포함할 수 있다.
상기 사건 정보는 이벤트 시간(event time) 정보와 사용자 동작(user action) 정보를 포함할 수 있다.
상술한 본 발명의 제3 목적을 달성하기 위한 본 발명의 일 측면에 따른, SDN 기반 중앙 집중형 VoIP 보안 시스템에서 보안 서비스 관리자 및 적어도 하나의 VoIP 보안 기능과 연동하는 VoIP 보안 컨트롤러의 동작 방법은, 상기 보안 서비스 관리자로부터 VoIP 보안 서비스를 이용하기 위해 필요한 보안 서비스 정책을 수신하는 단계; 상기 보안 서비스 정책을 소정의 정보 모델로 생성하여 상기 적어도 하나의 VoIP 보안 기능(VoIP security function)에 전달하는 단계; 및 상기 적어도 하나의 VoIP 보안 기능으로부터 상기 소정의 정보 모델에 따라 수행된 상기 보안 서비스 정책의 수행 결과를 수신하는 단계를 포함하여 구성될 수 있다.
상기 정보 모델은, 네트워크 장치를 통해 송수신되는 패킷 또는 특정 플로우에 속하는 패킷에 대해 특정 동작의 적용 여부를 판단하기 위한 조건(condition) 및 상기 조건이 만족되었을 때 수행될 동작(action)을 정의하는 동작 정보를 포함할 수 있다.
상기 조건은 단일 패킷에서 판단할 수 있는 패킷 값 조건과, 세션(session) 또는 플로우(flow) 등을 통하여 판단할 수 있는 상황(context) 조건을 포함할 수 있다.
상기 동작 정보는 트래픽 인입 제어 동작, 트래픽 출력 제어 동작, 및 보안 서비스를 제어하는 기능 프로파일(profile)을 적용하는 응용 동작(advanced action)을 포함할 수 있다.
상기 정보 모델은, 상기 조건과 상기 동작의 적용 대상을 정의하는 사건(event) 정보를 추가할 수 있다.
상기 사건 정보는 이벤트 시간(event time) 정보와 사용자 동작(user action) 정보를 포함할 수 있다.
상기와 같은 본 발명에 따르면, SDN/NFV 기반의 정보 모델(Information model)을 정의하여, VoIP 및 VoLTE 등 IP기반 통화 서비스를 불법/악의적으로 사용하는 것을 실시간으로 탐지하여 차단한다. 기존의 HW 기반 보안 장비가 아닌 SW기반의 SDN/NFV 환경에서 정보모델을 동적으로 구성하여 서비스를 제공하기 때문에 저비용으로 중앙 집중화된 유연한 서비스 제공이 가능하다.
도 1은 본 발명의 일 실시예에 따른 SDN/NFV 기반 IP 통화 서비스 보안 시스템의 구성을 개략적으로 나타낸 구성도이다.
도 2는 본 발명의 일 실시예에 따른 SDN/NFV 기반 IP 통화 서비스 보안 시스템에서 VoIP 보안 컨트톨러와 VoIP 보안 기능들 간의 연동 정보 모델의 구성요소들의 예를 설명하기 위한 도면이다.
도 3은 도 2에서 예시한 본 발명의 일 실시예에 따른 정보 모델의 각 구성 요소별 예시 정보를 설명하기 위한 도면이다.
도 4는 본 발명의 일 실시예에 따른 SDN/NFV 기반 IP 통화 서비스 보안 처리 방법을 설명하기 위한 순서도이다.
도 5는 본 발명의 다른 실시예에 따른 SDN/NFV 기반 IP 통화 서비스 보안 시스템에서 VoIP 보안 컨트톨러와 VoIP 보안 기능들 간의 연동 정보 모델의 구성요소들의 예를 설명하기 위한 도면이다.
도 6은 도 5에서 예시한 본 발명의 다른 실시예에 따른 정보 모델의 각 구성 요소별 예시 정보를 설명하기 위한 도면이다.
도 7는 본 발명의 다른 실시예에 따른 유선(WiFi 등의 mobile VoIP 포함) 단말의 불법 인증 시도 탐지에서 이중등록 패턴을 탐지하여 불법 인증 시도를 차단하는 방법을 설명하기 위한 흐름도이다.
도 8은 본 발명의 다른 실시예에 따른 무선 단말의 불법 인증 시도 탐지에서 이중등록 패턴을 탐지하여 불법 인증 시도를 차단하는 방법을 설명하기 위한 흐름도이다.
도 9는 본 발명의 다른 실시예에 따른 VoIP 및 VoLTE 단말의 불법 인증 시도 탐지에서 인증 만료시간의 비정상 동작 패턴을 탐지하여 불법 인증 시도를 차단하는 방법을 설명하기 위한 흐름도이다.
본 발명은 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시예들을 도면에 예시하고 상세한 설명에 상세하게 설명하고자 한다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다. 각 도면을 설명하면서 유사한 참조부호를 유사한 구성요소에 대해 사용하였다.
제1, 제2, A, B 등의 용어는 다양한 구성요소들을 설명하는데 사용될 수 있지만, 상기 구성요소들은 상기 용어들에 의해 한정되어서는 안 된다. 상기 용어들은 하나의 구성요소를 다른 구성요소로부터 구별하는 목적으로만 사용된다. 예를 들어, 본 발명의 권리 범위를 벗어나지 않으면서 제1 구성요소는 제2 구성요소로 명명될 수 있고, 유사하게 제2 구성요소도 제1 구성요소로 명명될 수 있다. 및/또는 이라는 용어는 복수의 관련된 기재된 항목들의 조합 또는 복수의 관련된 기재된 항목들 중의 어느 항목을 포함한다.
어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다.
본 출원에서 사용한 용어는 단지 특정한 실시예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 출원에서, "포함하다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가지고 있다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥 상 가지는 의미와 일치하는 의미를 가지는 것으로 해석되어야 하며, 본 출원에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.
또한, 명세서에 기재된 '컨트롤러(controller)'는 트래픽의 흐름을 제어하기 위해 관련 구성 요소(예를 들면, 스위치, 라우터 등)를 제어하는 기능 요소(entity)를 의미하는 것으로, 물리적인 구현 형태나 구현 위치 등에 한정되지 않는다. 예를 들어, 컨트롤러는 ONF나, IETF, ETSI 및/또는 ITU-T 등에서 정의하고 있는 컨트롤러 기능 요소(entity)를 의미할 수 있다.
또한, 명세서에 기재된 '스위치'는 트래픽(또는 패킷)을 실질적으로 포워딩하거나 스위칭 또는 라우팅하는 기능 요소를 의미하는 것으로, ONF나, IETF, ETSI 및/또는 ITU-T 등에서 정의하고 있는 스위치, 라우터, 스위치 요소, 라우터 요소, 포워딩 요소 등을 의미할 수 있다.
또한, 명세서에 기재한 VoIP 서비스는 상기 유선/WiFI/VoLTE 등 다양한 IP 망 기반의 음성/영상 통화 서비스를 통칭한다.
이하, 도면을 참조로 하여 본 발명의 실시예에 대하여 상세히 설명한다.
도 1은 본 발명의 일 실시예에 따른 SDN/NFV 기반 IP 통화 서비스 보안 시스템의 구성을 개략적으로 나타낸 구성도이다.
도 1을 참조하면, 일 실시예에 따른 IP 통화 서비스 시스템(100)은 보안 서비스 관리자(SSM, Security Service Manager; 110), VoIP 보안 컨트롤러(VSC, VoIP Security Controller; 120) 및 적어도 하나의 VoIP 보안 기능 (VSF, VoIP Security Function; 130-1, ...,130-N)을 포함하여 구성될 수 있다.
이때, 상기 IP 통화 서비스 시스템(100)은 유선/WiFi VoIP 서비스망(210), 코어 망(core network, 220), 무선 VoLTE 서비스망(230)을 모두 포괄하여 적용될 수 있다. 또한, 각각의 서비스 망은 복수의 스위치(network device)를 포함할 수 있다. 또한, 유선/WiFI VoIP 서비스 망(210)과 무선 VoLTE 서비스 망(230)은 코어 망(220)과 각각 연결된다.
먼저, 보안 서비스 관리자(110)는 사용자 또는 관리자(administrator)가 VoIP 보안 서비스를 이용하기 위해 필요한 보안 서비스 정책 및/또는 제어 조건을 설정하고 관리하는 어플리케이션 게이트웨이(application gateway)이 역할을 수행할 수 있다. 예를 들어, 사용자 또는 관리자는 사용자 인터페이스(User Interface) 화면 또는 커맨드 라인 인터페이스(CLI, command-line interface) 등을 통해 이용하고자 하는 보안서비스 정책을 상기 보안 서비스 관리자(110)를 통해 요청할 수 있다.
다음으로, VoIP 보안 컨트롤러(120)는 보안 서비스 관리자(110)를 통해 전달받은 보안 서비스 정책을 적어도 하나의 VoIP 보안 기능들(130-1, ..., 130-N)이 SDN 컨트롤러들(140-1, ..., 140-M) 및 SDN 컨트롤러들의 제어를 받는 스위치들에 적용될 수 있도록 사전 정의된 정보 모델(Information Model)를 생성하여 적어도 하나의 VoIP 보안 기능들로 전달한다. 이 정보 모델에는 네트워크 디바이스(스위치 등)를 통해 송수신되는 패킷 및 이 특정 플로우에 속하는 패킷에 대해 특정 동작을 적용하기 위한 비교 조건 및 그 조건이 만족되었을 때 해당 동작을 어떻게 수행할지에 대한 동작 절차가 정의되어 있다. VoIP 보안 컨트롤러(120)는 VoIP 보안 기능들이 정보모델을 통해 전달해 준 패킷에 대해 발신번호 변작, 해킹을 위한 장비검색(scanning) 탐지/차단 등의 VoIP 보안 서비스 동작을 수행할 수 있도록 하기 위한 논리적인 판단을 수행한다. 도 1에 예시된 바와 같이, 하나의 VoIP 보안 컨트롤러는 1개 이상의 VoIP 보안 컨트롤러에 연결될 수 있다.
VoIP 보안 기능들(130-1, ..., 130-N)은 보안 컨트롤러(120)로부터 전달받은 정보 모델을 해석하여 실제적인 VoIP 보안 서비스를 제공한다. VoIP 보안 기능들 각각은 보안 컨트롤러(120)로부터 전달 받은 정보 모델을 SDN 컨트롤러(140-1, ..., 140-M)가 SDN 스위치들로 전달할 수 있는 API를 호출하거나 둘 간의 연동 규격에 맞는 메시지 형태로 변환하여 SDN 컨트롤러(140-1, ..., 140-M)로 전달한다. VoIP 보안 기능은 독립적인 하드웨어 서버에 구현될 수도 있고, 클라우드(cloud) 환경의 가상 머신(VM, Virtual Machine)으로 또는 가상 머신 상에 구현될 수도 있다. 도 1에서 예시된 바와 같이, 하나의 VoIP 보안 기능은 1개 이상의 SDN 컨트롤러들과 연결될 수 있다.
SDN 컨트롤러(140-1, ..., 140-M)는 트래픽의 흐름을 제어하기 위해 관련 구성 요소(예를 들면, 스위치, 라우터 등)를 제어하는 기능 요소(entity)를 의미하는 것으로, ONF나, IETF, ETSI 및/또는 ITU-T 등에서 정의하고 있는 컨트롤러 기능 요소(entity) 등 다양한 종류의 컨트롤러를 의미할 수 있다.
스위치(Network Device)는 트래픽(또는 패킷 또는 플로우)을 실질적으로 포워딩하거나 스위칭 또는 라우팅하는 기능 요소를 의미하는 것으로, ONF나, IETF, ETSI 및/또는 ITU-T 등에서 정의하고 있는 스위치, 라우터, 스위치 요소, 라우터 요소, 포워딩 요소 등을 의미할 수 있다.
도 2는 본 발명의 일 실시예에 따른 SDN/NFV 기반 IP 통화 서비스 보안 시스템에서 VoIP 보안 컨트톨러와 VoIP 보안 기능들 간의 연동 정보 모델의 구성요소들의 예를 설명하기 위한 도면이다.
본 발명의 일 실시예에 따른 정보 모델은 정책(policy), 규칙(rule), 조건(condition), 및 동작(action) 4 가지 정보들의 전부 또는 일부를 포함하여 구성될 수 있다. 이때, 도 2에서 예시된 바와 같이, 정책과 정책에 속한 규칙들, 규칙들에 속한 조건과 동작은 계층적인 구조를 가질 수 있다.
먼저, 정책(policy, 310)은 서비스 레벨에서의 보안 서비스 정책을 정의한다. 일반적으로 정책은 IPS(Intrusion Prevention System(or, service)), IDS(Intrusion Detection System(or, service), 웹 필터(web filter) 등 단위 보안 서비스 등이 될 수 있다. 본 발명의 일 실시예에서는 VoIP/VoLTE 보안 정책이 이에 해당될 수 있다. 정보 모델 내에서 정책은 정책의 명칭(name), 정책의 식별자(identifier) 등을 포함하여 정의될 수 있다.
다음으로, 규칙(rule, 320)은 트래픽/플로우에 대하여 특정 동작의 수행여부를 결정하기 위한 매칭(matching) 조건들과 상기 조건이 만족되었을 때 해당 트래픽, 플로우에 대해서 수행되는 동작(action)을 정의한다. 도 2에서 예시된 바와 같이, 1개의 정책에는 1개 이상 규칙이 정의될 수 있다. 본 발명의 일 실시예에서는 'VoIP/VoLTE 계정 도용', '발신번호 변작', '다량 메시지 발송' 등의 탐지 및 제어 등이 규칙이 될 수 있다. 도 2에서 예시된 바와 같이, 하나의 규칙은 적어도 하나의 조건들과 적어도 하나의 동작들을 포함하여 구성될 수 있다. 즉, 조건들은 대응되는 동작의 수행 여부를 결정하기 위한 매칭 조건을 의미하며, 동작은 해당 조건이 만족되었을 때 수행되는 동작 절차를 의미할 수 있다. 즉, 규칙 내에 포함되는 조건은 특정 규칙이 만족되는지를 판단하기 위한 1개 이상의 조건의 집합이다.
여기서, 조건330)은 패킷 값 조건과 상황(context) 조건으로 구분될 수 있다.
먼저, 패킷 값 조건은 단일 패킷에서 판단할 수 있는 조건들이다. 단말의 MAC(medium access control) 주소, VLAN(Virtual LAN), 소스(source) 및 목적지(destination) IP 주소, 소스 및 목적지 포트(port), 패킷 헤더(header)/페이로드(payload) 값 등 패킷 에서 추출하여 비교할 수 있는 TCP/IP의 Layer1부터 Layer7까지의 조건들이 이에 해당한다.
다음으로, 상황 조건은 세션 또는 플로우(flow) 등을 통하여 판단할 수 있는 상황(context)과 관련된 조건이다. 본 발명의 실시예에서는 통화 시도 중, 통화 취소, 통화 중, 통화 종료 등 통화 호의 상태, 지역적인 위치 등이 포함될 수 있다.
한편, 추가적인 정보 요소로서 우선순위(priority)는 비교가 만족되는 복수 개의 규칙이 존재할 경우 동작을 적용해야 할 규칙의 우선순위를 나타낸다.
동작(340)은 비교 조건이 만족되는 패킷이나 플로우에 대한 처리 방법을 정의한다. 동작은 기본동작(basic action)과 응용동작(advanced action)으로 구분될 수 있다. 예를 들면, 기본 동작은 패킷 차단, 통과, 복사 등의 단순한 제어 동작을 의미하며, 응용동작은 보안 서비스를 제어하는 기능 프로파일의 적용을 의미할 수 있다. 예를 들어, 응용동작은 VoIP/VoLTE 보안 프로파일(Security Profile), IPS 동작 프로파일, URL 필터링(filtering) 프로파일, Anti-virus file 등이 해당될 수 있다.
도 3은 도 2에서 예시한 본 발명의 일 실시예에 따른 정보 모델의 각 구성 요소별 예시 정보를 설명하기 위한 도면이다.
먼저, 패킷 값 조건(331)은 통화 패킷의 발/착신지 IP 주소, 발/착신지 포트 번호, 발신전화번호, 세션의 call-id 유형(길이, 문자/숫자, 도메인 표현 여부 등), 통화 신호 메시지의 헤더 순서(From, To, Via, Cseq 등) 및 음성/영상 통화 세션 정보를 나타내는 SDP(Session Description Protocol) 내의 정보의 전부 또는 일부를 포함할 수 있다.
다음으로, 상황 조건(332)은 통화 호 상태 정보(통화 시도, 통화중, 통화 종료, 통화 실패 등), 가입자 단말 기종 정보(OS버전, 제조사 정보 등) 및 발신지 IP 위치 정보(할당된 IP 제공 사업자, 국가 등)의 전부 또는 일부를 포함할 수 있다.
다음으로, 우선순위는 조건이 만족되는 복수 개의 규칙이 존재할 경우 동작을 적용해야 할 규칙의 우선순위를 나타낸다.
다음으로, 기본 동작(basic action)은 상기 조건이 만족되었을 경우, 해당 패킷을 허용하는 동작, 해당 패킷을 차단하는 동작, 해당 패킷을 복사하여 VoIP 보안 컨트롤러(120)로 전달하는 동작 등을 포함할 수 있다.
다음으로, 응용 동작(advanced action)은 상기 상황기반 비교에서 호 상태에 따른 호 제어 동작과 네트워크 장치가 VoIP 보안 컨트롤러(120)나 VoIP 보안 컨트롤러(130-1,...,130-N)의 별도 제어 없이 직접 트래픽 차단/허용 여부를 판단할 수 있는 VoIP/VoLTE 보안 프로파일 적용 동작을 포함할 수 있다.
도 4는 본 발명의 일 실시예에 따른 SDN/NFV 기반 IP 통화 서비스 보안 처리 방법을 설명하기 위한 순서도이다.
먼저, 보안 서비스 관리자(110)는 VoIP 보안 컨트롤러(120)로 VoIP 보안 서비스 정책을 포함한 보안 서비스 정책 적용 명령 메시지를 전송한다(S410). 해당 메시지는 앞서 설명한 바와 같이, 사용자 인터페이스 화면이나 커맨드 라인 인터페이스 등을 통해 사용자나 관리자가 설정한 보안 서비스 정책을 포함한다. 보안 서비스 정책으로는 발신번호 변작, 해킹을 위한 단말/장비 검색(scanning), DDOS attack 등의 다량 메시지 발송, 계정 도용 탐지/차단 등이 포함될 수 있다.
다음으로, VoIP 보안 컨트롤러(120)는 보안 서비스 관리자(110)로부터 전달받은 보안 서비스 정책을 수행할 수 있도록 하는 정보 모델을 생성하며(S420), 생성된 정보 모델을 VoIP 보안 기능들(130)에게 전달한다(S430). 이때, 해당 정보 모델을 수신하는 VoIP 보안 기능들의 범위는 해당 정보 모델이 적용되는 대상에 따라서 달라질 수 있다.
또한, 앞서 언급된 바와 같이, 정보 모델에는 네트워크 디바이스(스위치 등)를 통해 송수신되는 패킷 및 이 특정 플로우에 속하는 패킷에 대해 특정 동작을 적용하기 위한 조건 및 그 조건이 만족되었을 때 해당 동작을 어떻게 수행할지에 대한 동작 절차가 정의되어 있다.
다음으로, VoIP 보안 컨트롤러(120)로부터 정보 모델을 전달받은 VoIP 보안 기능(130)은 전달받은 정보모델을 해석하여 실제적인 VoIP 보안 서비스를 제공할 수 있는 SDN 컨트롤러(140)의 API(예컨대, OpenFlow의 North Bound API 등)를 호출할 수 있다(S440, S450). 한편, API 호출을 대신하여, VoIP 보안 기능과 SDN 컨트롤러간에 미리 약속된 연동 규격에 맞는 메시지 형태로 변환하여 상기 정보 모델의 해석 내용이 전달될 수도 있다.
다음으로, SDN 컨트롤러(140)는 VoIP 보안 기능(130)이 요청한 API(또는, 메시지)를 확인하여, 네트워크 장치(150)가 이해할 수 있는 인터페이스(OpenFlow, NetConf 등)로 변환하여 네트워크 장치(150)에게 전달할 수 있다(S460).
다음으로, 네트워크 장치(150)는 SDN 컨트롤러(140)가 전달한 명령에 따라 플로우 테이블(flow table) 등을 생성하여, 조건에 맞는 패킷이 유입되는지 모니터링 하여, 해당 조건에 맞는 패킷인 경우 패킷 차단, 허용, 전달 등의 제어를 수행한다(S470).
마지막으로, 네트워크 장치(150), SDN 컨트롤러(140), VoIP 보안 기능(130), VoIP 보안 컨트롤러(120)는 각각 수신된 요청에 따른 결과를 상위 계층으로 전달할 수 있다(S481, S482, S483, S484).
이하에서는, 상술된 본 발명의 일 실시예에 따른 VoIP 서비스 보안 시스템 및 처리 방법이 구체적인 보안 서비스에 적용되는 절차를 예시적으로 설명하기로 한다. 이하에서는 발신번호 변작을 탐지/제어하는 보안 서비스의 적용 절차와 VoIP/VoLTE 해킹 대상 단말/장비 검색(scanning) 탐지/차단 정책 수행 절차를 예시적으로 설명하기로 한다.
이하의 설명에서, 정보 모델은 아래의 형태로 기술한다.
규칙 n: [{(패킷 값 조건), (상황 조건), (우선순위)}, {(기본동작), (응용동작)}]
대괄호[] 내의 중괄호{}는 조건 정보와 동작 정보을 구분하기 위한 것이며, 중괄호 내의 소괄호()는 정보 모델의 세부 사항을 의미한다. 소괄호가 null 값인 경우는 해당 사항이 없음을 의미한다.
적용예#1-발신번호 변작 탐지/제어
VoIP 보안 컨트롤러(120)는 VoIP 보안 기능(130)이 아래 규칙 1과 규칙2에 의해서 통화상태가 통화시도 또는 통화가 연결되어 통화중 상태가 될 경우 해당 신호 패킷을 복사하여 전달할 수 있도록 하기 규칙 1과 규칙 2가 정의된 정보 모델을 전달한다.
규칙1: [{(port=5060), (통화시도), (1000)}, {(패킷 복사), ()}]
⇒ 패킷 값 조건: 발신 또는 착신 패킷의 서비스 포트가 5060으로 지정된다. 여기에서, 포트번호는 5060은 하나의 예시이며, 통화서비스에서 사용하는 포트 값을 입력한다.
⇒ 상황 조건: 통화시도 상태
⇒ 우선순위: 1000 (일 실시예에서, 값이 작은 경우가 우선순위가 높음)
⇒ 기본동작: 패킷을 복사하여 VSC로 전달
⇒ 응용동작: 해당 없음
규칙2: [{(port=5060), (통화중), (1000)}, {(패킷 복사), ()}]
⇒ 패킷 값 조건: 발신 또는 착신 패킷의 서비스 포트가 5060
⇒ 상황 조건: 통화 시도하여 상태가 전화를 받은 통화중 상태
⇒ 우선순위: 1000
⇒ 기본동작: 패킷을 복사하여 VSC로 전달
⇒ 응용동작: 해당 없음
여기에서, 규칙 2는 VoIP 보안 컨트롤러(120)가 규칙1에 따라 번호 변작호 여부를 판단하고 있는 동안 해당 호를 차단하기 위한 규칙3(후술됨)이 VoIP 보안 기능(130)에 적용되기 전에, 통화 상태가 통화 시도에서 통화 중으로 변경되는 호가 발생할 경우를 대비하여 통화중 상태로 변경되었음을 알리는 신호 메시지(200 OK 등)가 발생할 경우 이를 VoIP 보안 컨트롤러(120)로 전달하여 차단여부 판단 이 전에 통화중 상태로 변경된 발신번호 변작 호까지도 차단하기 위한 규칙이다.
VoIP 보안 컨트롤러(120)는 VoIP 보안 기능(130)에서 복사되어 전달된 신호 패킷에서 발신지 IP 주소(IP_1), 발신번호(From URI번호, 발신번호_1), display name(Caller-ID, CID_1))을 추출하여, 가입자가 개통시에 신청한 display name과 비교하여, 같은 경우 정상이므로 복사된 패킷을 폐기하고, 다른 경우 발신번호 변작호로 판단하고 이 통화를 종료하기 위한 규칙3을 생성하여 VoIP 보안 기능(130)으로 전달한다.
규칙3: [{(port=5060, source ip=IP_1, 발신번호_1, CID_1), (),(100)}, {(패킷 차단), (VoIP/VoLTE 보안 프로파일 적용)} ]
규칙3에 의해 VoIP 보안 기능(130)은 발신지IP가 IP_1이고, 발신번호가 발신번호_1이고, CID_1인 패킷은 차단한다. 그리고, 규칙3은 우선순위가 100이므로 우선순위가 1000인 규칙1, 규칙2보다 우선 적용된다.
그리고, 응용동작인 VoIP/VoLTE 보안 프로파일 적용에 의해 차단 리스트에 (IP_1, CID_1)을 추가하여 향후 해당 IP와 CID_1로 호가 시도되면 별도의 VoIP 보안 컨트롤러 및 VoIP 보안 기능의 제어 없이 네트워크 장치에서 즉시 차단할 수 있다.
또한 VoIP 보안 컨트롤러(120)가 상기 규칙3을 VoIP 보안 기능(130)으로 전달할 때, 해당 호가 통화 연결되어 통화 중인 경우 이를 차단하기 위해 상황비교 조건 중 호상태 조건이 "통화중"인 경우 호 차단 메시지를 사용하여 해당 호를 차단할 수 있도록 규칙 4를 생성하여 VoIP 보안 기능(130)으로 전달한다.
규칙4: [{(port=5060, source ip= IP_1, 발신번호_1, CID_1), (통화중), (100)}, {(), (호 차단 응용동작 (BYE 메시지 생성하여 호 차단)}]
VoIP 보안 기능(130)는 규칙4의 응용동작인 호 제어 동작에 의해 이 호를 차단하기 위한 신호 메시지(BYE 등)를 생성하여 발신지 IP와 해당 호를 처리하고 있던 교환장비로 전송하여, 해당 호를 종료 처리 한다.
적용예#2-해킹 대상 단말/장비 검색(scanning)
VoIP 보안 컨트롤러(120)는 VoIP 보안 기능(130)이 규칙 1과 규칙2에 의해서 통화상태가 통화시도 또는 인증(SIP Register 등) 시도인 경우에 해당 신호 패킷을 복사하여 전달하도록 VoIP 보안 기능(130)에게 하기 규칙들을 전달한다. 통화시도와 인증 시도 이외에도 단말/장비 탐색(scanning)에 사용될 수 있는 상황정보(SIP Options 등)는 규칙은 필요에 따라 추가할 수 있다.
규칙1: [{(port=5060), (통화 시도), (1000)}, {(패킷 복사), ()}]
⇒ 패킷 값 조건: 발신 또는 착신 패킷의 서비스 포트가 5060으로 지정된다. 여기에서, 포트번호는 5060은 하나의 예시이며, 통화서비스에서 사용하는 포트 값을 입력한다.
⇒ 상황 조건: 통화시도 상태
⇒ 우선순위: 1000
⇒ 기본동작: 패킷을 복사하여 VoIP 보안 컨트롤러로 전달
⇒ 응용동작: 해당 없음
규칙2: [{(port=5060), (인증 시도), (1000)}, {(패킷 복사), ()}]
⇒ 패킷 값 조건: 발신 또는 착신 패킷의 서비스 포트가 5060
⇒ 상황 조건: 인증시도 상태
⇒ 우선순위: 1000
⇒ 기본동작: 패킷을 복사하여 VoIP 보안 컨트롤러로 전달
⇒ 응용동작: 해당 없음
VoIP 보안 컨트롤러(120)는 VoIP 보안 기능(130)에서 복사되어 전달된 신호 패킷에서 발신지 IP 주소(IP_1), 발신번호(From URI번호, 발신번호_1) 정보를 추출한다. 스캐닝(scanning) 시에는 해커가 다량의 단말/장비로 메시지를 보낼 수 있기 때문에 유사한 메시지가 복수의 VoIP 보안 기능(130)로부터 VoIP 보안 컨트롤러(120)로 전달될 수도 있다. 따라서 VoIP 보안 컨트롤러(120)는 scanning 여부를 판단하기 위해 1개 이상의 VoIP 보안 기능(130)에서 전달된 메시지를 통합하여 scanning 여부를 판단 할 수 있다. VoIP 보안 컨트롤러(120)는 각 VSF별로 추출된 발신지 IP 주소(IP_1)와 발신번호(From URI번호, 발신번호_1) 각각에 대해 주기시간(초/분 단위 등) 단위로 누적하여 합산한 후 그 값이 설정된 임계치를 넘어가는 경우 스캐닝 시도로 판단한다. 스캐닝으로 판단된 경우에 대한 제어 동작 방법은 2가지이다.
첫 번째 방법은 발신지 IP_1과 발신번호_1인 호의 패킷을 차단하는 규칙3을 생성하여 VoIP 보안 기능(130)으로 전달한다. 두 번째 방법은 스캐닝으로 판단한 호의 SDP(Session Description Protocol)를 VoIP/VoLTE 보안 프로파일에 추가하도록 VoIP 보안 기능(130)으로 전달하여 네트워크 장치에서 즉시 차단할 수 있다.
규칙3: [{(port=5060, source ip= IP_1, 발신번호_1), (), ()}, {(패킷 차단), (VoIP/VoLTE Security Profile 업데이트)}] -> 보안 프로파일 중 차단 리스트에 SDP_1추가
규칙3에 의해 VoIP 보안 기능(130)는 발신지IP가 IP_1이고, 발신번호가 발신번호_1인 통화에 대한 패킷은 모두 차단한다. 그리고, VoIP/VoLTE 보안 프로파일의 차단 정책 리스트에 SDP_1을 신규 추가하여 향후 동일 SDP를 가지는 호가 시도되면 별도의 VoIP 보안 컨트롤러 및 VoIP 보안 기능의 제어 없이 네트워크 장치에서 즉시 차단할 수 있다.
도 5는 본 발명의 다른 실시예에 따른 SDN/NFV 기반 IP 통화 서비스 보안 시스템에서 VoIP 보안 컨트톨러와 VoIP 보안 기능들 간의 연동 정보 모델의 구성요소들의 예를 설명하기 위한 도면이다.
본 발명의 다른 실시예에 따른 정보 모델은 정책(policy), 규칙(rule), 사건(event), 조건(condition), 및 동작(action) 5 가지 정보들의 전부 또는 일부를 포함하여 구성될 수 있다. 이때, 도 5에서 예시된 바와 같이, 정책과 정책에 속한 규칙들, 규칙들에 속한 사건, 조건과 동작은 계층적인 구조를 취할 수 있다. 한편, 도 2에서 예시된 정보 모델과 도 5에서 예시된 정보 모델의 차이점은, 도 5에서 예시된 정보 모델의 경우, 사건(event) 정보를 추가로 포함하고 있고, 동작 정보의 정의에서 다소 차이가 있다는 점이다.
먼저, 정책(policy, 510)은 서비스 레벨에서의 보안 서비스 정책을 정의한다. 일반적으로 정책은 IPS, IDS, 웹 필터, IP 통화 보안 등 단위 보안 서비스 등이 될 수 있다. 본 발명의 일 실시예에서는 VoIP/VoLTE 보안 정책이 이에 해당될 수 있다. 정보 모델 내에서 정책은 정책의 명칭(name), 정책의 식별자(identifier) 등을 포함하여 정의될 수 있다.
다음으로, 규칙(rule, 520)은, 특정 정책을 탐지하기 위한 매칭(matching) 조건들(540), 상기 조건이 만족되었을 때 해당 트래픽, 플로우에 대해서 수행되는 동작(action, 550), 및 상기 조건과 동작의 적용 대상을 정의하는 사건(event, 530)을 포함할 수 있다. 도 5에서 예시된 바와 같이, 1개의 정책에는 1개 이상 규칙이 정의될 수 있다. 본 실시예에서는 'VoIP/VoLTE 계정 도용을 통한 불법 인증 시도', '발신번호 변작', '인증 만료시간 변작' 등의 탐지와 제어 등이 규칙이 될 수 있다. 도 5에서 예시된 바와 같이, 하나의 규칙은 적어도 하나의 사건, 적어도 하나의 조건과 적어도 하나의 동작들을 포함하여 구성될 수 있다. 여기에서, 사건은 조건을 비교하여 동작하기 위한 주요한 대상을 지정하는 것이다. 또한, 즉, 조건은 대응되는 동작의 수행여부를 결정하기 조건을 의미하며, 동작은 해당 조건이 만족되었을 때 수행되는 동작 절차를 의미할 수 있다. 즉, 규칙 내에 포함되는 조건은 특정 규칙이 만족되는지를 판단하기 위한 1개 이상의 조건의 집합이다.
먼저, 사건(530)은 이벤트 시간(event time)와 사용자 동작(user action)으로 구분될 수 있다. 이벤트 시간의 경우, 이벤트(예컨대, 인증 또는 통화)의 발생 시각 정보를 의미하며, 사용자 동작의 경우 사용자가 수행하는 행위(즉, 이벤트)를 의미한다(예컨대, 단말 등록/인증과 통화 발/착신 등).
다음으로, 조건540)은 패킷 값 조건과 상황(context) 조건으로 구분될 수 있다.
먼저, 패킷 값 조건은 단일 패킷에서 판단할 수 있는 조건들이다. 단말의 MAC(medium access control) 주소, VLAN(Virtual LAN), 소스(source) 및 목적지(destination) IP 주소, 소스 및 목적지 포트(port), 패킷 헤더(header)/페이로드(payload) 값 등 패킷 에서 추출하여 비교할 수 있는 TCP/IP의 Layer1부터 Layer7까지의 조건들이 해당한다.
다음으로, 상황 조건은 세션 또는 플로우(flow) 등을 통하여 판단할 수 있는 상황(context)과 관련된 조건이다. 본 실시예에서는 인증 시도, 인증 및 통화시 단말 IP의 위치정보(지리적 위치 또는 국가 단위) 등이 포함될 수 있다.
한편, 조건(540)의 추가적인 정보 요소로서 우선순위(priority)는 비교가 만족되는 복수 개의 규칙이 존재할 경우 동작을 적용해야 할 규칙의 우선순위를 나타낸다.
동작(550)은 상기 조건이 만족되는 패킷이나 플로우에 대한 처리 방법을 정의한다. 동작은 트래픽 인입 제어 동작, 트래픽 출력 제어 동작, 응용 동작으로 구분될 수 있다. 예를 들면, 트래픽 인입 제어 동작은 패킷 허용, 차단, 복사 등의 특정 네트워크 장치로 인입되는 트래픽에 대한 제어 동작이다. 또한, 트래픽 출력 제어 동작은 패킷 전달 등 특정 네트워크 장치에 출력되는 트래픽에 대한 제어 동작이다. 마지막으로, 응용 동작은 트래픽의 인입/출력 제어 이외의 보안 서비스를 제어하는 기능 프로파일의 적용을 의미할 수 있다. 예컨대, 응용동작은 VoIP/VoLTE 보안 프로파일(Security Profile), IPS 동작 프로파일, URL 필터링(filtering) 프로파일, Anti-virus file 등을 포함할 수 있다.
한편, 도 2 및 도 3에서 설명된 본 발명의 일 실시예에 따른 정보 모델에서는 동작 정보를 기본 동작과 응용 동작으로 구분하였으나, 도 5 및 도 6에서 설명되는 실시예에 따른 정보 모델에서는 동작 정보를 트래픽 인입 제어 동작, 트래픽 출력 제어 동작, 응용 동작으로 구분하고 있다. 여기에서, 트래픽 인입 제어 동작과 트래픽 출력 제어 동작은 기본 동작을 보다 세분화한 것으로 이해될 수 있다.
도 6은 도 5에서 예시한 본 발명의 다른 실시예에 따른 정보 모델의 각 구성 요소별 예시 정보를 설명하기 위한 도면이다.
먼저, 사건(event)은 앞서 언급된 바와 같이 이벤트 시간(event time)와 사용자 동작(user action)으로 구분될 수 있다. 이벤트 시간(631)의 경우, 인증/통화 시각 정보를 포함할 수 있다. 사용자 동작(632)의 경우 단말 등록/인증과 통화 발/착신을 포함할 수 있다.
패킷 값 조건(6411)은 통화 패킷의 발/착신지 IP 주소, 발/착신지 포트 번호, 발신전화번호, 세션의 call-id 유형(길이, 문자/숫자, 도메인 표현 여부 등), 통화 신호 메시지의 헤더 순서(From, To, Via, Cseq 등) 및 음성/영상 통화 세션 정보를 나타내는 SDP(Session Description Protocol) 내의 정보의 전부 또는 일부를 포함할 수 있다.
상황 조건(642)은 통화 호 상태 정보(통화 시도, 통화중, 통화 종료, 통화 실패 등), 가입자 단말 기종 정보(OS버전, 제조사 정보 등) 및 발신지 IP 위치 정보(할당된 IP 제공 사업자, 국가 등), 인증 만료 시간(expire time), 이중 등록 여부, 및 기지국(cell) 위치 정보의 전부 또는 일부를 포함할 수 있다.
우선순위는 조건이 만족되는 복수 개의 규칙이 존재할 경우 동작을 적용해야 할 규칙의 우선순위를 나타낸다.
트래픽 인입 제어 동작(651)은 상기 조건이 만족되었을 경우, 해당 패킷을 허용하는 동작, 차단하는 동작, 및 미러링(mirroring)하는 동작을 포함할 수 있다.
트래픽 출력 제어 동작(652)는 해당 패킷을 복사하여 VoIP 보안 컨트롤러(120)로 전달하기(mirroring) 등을 포함할 수 있다.
마지막으로, 응용 동작(653)은 인증 실패시 동작, 상기 상황 조건에 따른 호 상태 별 호 제어 동작, 네트워크 장치가 VoIP 보안 컨트롤러(120)나 VoIP 보안 컨트롤러(130-1,...,130-N)의 별도 제어 없이 직접 트래픽 차단/허용 여부를 판단할 수 있는 VoIP/VoLTE 보안 프로파일 적용 동작을 포함할 수 있다.
본 발명의 다른 실시예에 따른 SDN/NFV 기반 IP 통화 서비스 보안 처리 방법은, 정보 모델에 사건(event) 정보가 추가되고, 적용 목적에 따라서 정보 모델에 포함되는 구체적인 정보의 종류가 달라진다는 점을 제외하면, 도 4를 통해서 설명된 실시예에 따른 방법과 크게 차이가 나지 않는다. 이하에서는, 도 4를 다시 참조하여, 본 발명의 다른 실시예에 따른 SDN/NFV 기반 IP 통화 서비스 보안 처리 방법을 설명한다.
먼저, 보안 서비스 관리자(110)는 VoIP 보안 컨트롤러(120)로 VoIP 보안 서비스 정책을 포함한 보안 서비스 정책 적용 명령 메시지를 전송한다(S410). 해당 메시지는 앞서 설명한 바와 같이, 사용자 인터페이스 화면이나 커맨드 라인 인터페이스 등을 통해 사용자나 관리자가 설정한 보안 서비스 정책을 포함한다. 보안 서비스 정책으로는 인증 시도, 인증 및 통화시 단말 IP의 위치 정보, 발신번호 변작, 해킹을 위한 단말/장비 검색(scanning), DDOS attack 등의 다량 메시지 발송, 계정 도용 탐지/차단 등이 포함될 수 있다.
다음으로, VoIP 보안 컨트롤러(120)는 보안 서비스 관리자(110)로부터 전달받은 보안 서비스 정책을 수행할 수 있도록 하는 정보 모델을 생성하며(S420), 생성된 정보 모델을 VoIP 보안 기능들(130)에게 전달한다(S430). 이때, 해당 정보 모델을 수신하는 VoIP 보안 기능들의 범위는 해당 정보 모델이 적용되는 대상에 따라서 달라질 수 있다.
또한, 앞서 언급된 바와 같이, 정보 모델에는 네트워크 장치(스위치, 라우터 등)를 통해 송수신되는 패킷 및 특정 플로우에 속하는 패킷에 대해 특정 동작을 적용하기 위한 사건(event), 조건(condition) 및 그 조건이 만족되었을 때 해당 동작(action)을 어떻게 수행할지에 대한 동작 절차가 정의되어 있다.
다음으로, VoIP 보안 컨트롤러(120)로부터 정보 모델을 전달받은 VoIP 보안 기능(130)은 전달받은 정보모델을 해석하여 실제적인 VoIP 보안 서비스를 제공할 수 있는 SDN 컨트롤러(140)의 API(예컨대, OpenFlow의 North Bound API 등)를 호출할 수 있다(S440, S450). 한편, API 호출을 대신하여, VoIP 보안 기능과 SDN 컨트롤러간에 미리 약속된 연동 규격에 맞는 메시지 형태로 변환하여 상기 정보 모델의 해석 내용이 전달될 수도 있다.
다음으로, SDN 컨트롤러(140)는 VoIP 보안 기능(130)이 요청한 API(또는, 메시지)를 확인하여, 네트워크 장치(150)가 이해할 수 있는 인터페이스(OpenFlow, NetConf 등)로 변환하여 네트워크 장치(150)에게 전달할 수 있다(S460).
다음으로, 네트워크 장치(150)는 SDN 컨트롤러(140)가 전달한 명령에 따라 플로우 테이블(flow table) 등을 생성하여, 조건에 맞는 패킷이 유입되는지 모니터링 하여, 해당 조건에 맞는 패킷인 경우 패킷 차단, 허용, 전달 등의 제어를 수행한다(S470).
마지막으로, 네트워크 장치(150), SDN 컨트롤러(140), VoIP 보안 기능(130), VoIP 보안 컨트롤러(120)는 각각 수신된 요청에 따른 결과를 상위 계층으로 전달할 수 있다(S481, S482, S483, S484).
이하에서는, 상술된 본 발명의 다른 실시예에 따른 VoIP 서비스 보안 시스템 및 처리 방법이 구체적인 보안 서비스에 적용되는 절차를 예시적으로 설명하기로 한다. 이하에서는 IP 통화 서비스의 불법 인증 시도를 탐지하고 차단하는 보안 서비스의 적용 절차를 예시적으로 설명하기로 한다.
이하의 설명에서, 정보 모델은 아래의 형태로 기술한다.
규칙 n: [{(이벤트 시간), (사용자 동작)}, {(패킷 값 조건), (상황 조건)}, {(트래픽 인입 제어), (트래픽 출력 제어), (응용 제어)}]
대괄호[] 내의 중괄호{}는 사건, 조건, 동작 정보를 구분하며, 중괄호 내의 소괄호()는 정보 모델의 세부 사항을 의미한다. 소괄호가 null인 경우는 해당 사항이 없음을 의미한다.
적용예#3 - 불법 인증 시도 탐지/차단
VoIP 보안 컨트롤러(120)는 VoIP 보안 기능(130)이 아래 규칙 1 에 의해서 단말에서 인증 시도 이벤트가 발생될 경우 해당 신호 패킷을 복사(미러)하여 복사된 패킷만 VoIP 보안 컨트롤러(120)에게 전달하도록 하고 원 패킷은 라우팅 경로에 따라 전달하여 통화 서비스가 신호 지연 없이 진행되도록 규칙을 설정할 수 있다. 또한, 다소간의 서비스의 지연이 발생하더라도, 정상적인 호/인증 인지 아닌지를 판단한 후 정상인 호/인증인 경우에만 호/인증 flow를 설정하기 위해서 패킷을 복사하지 않고, 그대로 VoIP 보안 컨트롤러(120)로 전달하도록 하는 규칙을 설정할 수도 있다.
규칙1: [{(이벤트 시각), (인증시도)}, {(인증시도 메시지), ()}, {(패킷 복사), (), ()}]
규칙 1은 아래의 의미로 해석될 수 있다.
⇒ 이벤트 시각: 이벤트 발생 시각(본 적용예에서는 단말 인증 시도 시각)
⇒ 사용자 동작: 단말 인증 시도
⇒ 패킷 값 조건: 인증 메시지(SIP인 경우 'Register')
⇒ 트래픽 인입 제어: 패킷 복사
규칙2는 블랙 리스트(black list)로 지정된 IP 주소나 포트(port) 값, 단말 기종 등에서 인증 시도 메시지가 인입된 경우이거나, 인증 만료시간이 임계값 이하인 경우에, 다른 조건을 판단하지 않고 즉시 차단해야 하는 불법적인 인증시도이므로 트래픽 인입 제어에서 패킷 차단 정책을 적용하기 위한 규칙이다. 따라서 규칙2는 정의된 정보 모델에 따라 다음의 형태로 정의될 수 있다.
규칙2: [{(이벤트시각), (인증시도)}, {(인증시도 메시지, 블랙리스트로 지정된 IP, port, 인증만료시간(expire time) 값, 단말기종(UserAgent)), ()}, {(패킷 차단), (), ()}]
⇒ 이벤트 시각: 발생 시각(본 적용예에서는 단말 인증 시도 시각)
⇒ 사용자 동작: 단말 인증 시도
⇒ 패킷 값 조건: 인증 메시지 중 블랙 리스트에 저장된 IP, port, 인증만료시간값, 단말기종에 해당하는 조건 값
⇒ 트래픽 인입 제어: 패킷 차단
VoIP 보안 컨트롤러(120)는, 상기 규칙1에 의해 VoIP 보안 기능(130)이 관리하는 네트워크 영역(데이터 센터 등의 cloud 영역 또는 SDN 제어 영역 등) 내의 네트워크 장치에서 VoIP 보안 컨트롤러(120)로 복사되어 전달된 인증 시도 패킷에서, 기지국ID(cell-id, Cell_1), 발신지 IP주소(IP_1), 포트번호(port_1), 발신번호(From URI번호, 발신번호_1), 인증 만료 시간(expire time, ET_1), display name (Caller-ID, CID_1))을 추출하여 정상 인증 시도 여부를 판단하여 결과에 맞는 제어를 결정할 수 있다.
이하에서는, 상기 적용예#3의 불법 인증 시도 탐지/차단에 있어서, 유선(WiFi 등의 mobile VoIP 포함) 단말의 이중등록 패턴 탐지에 기초한 방법, 무선 단말의 이중등록 패턴 탐지에 기초한 방법, 및 인증 만료 시간 비정상 동작 패턴 탐지에 기초한 방법을 보다 구체적으로 설명한다.
도 7는 본 발명의 다른 실시예에 따른 유선(WiFi 등의 mobile VoIP 포함) 단말의 불법 인증 시도 탐지에서 이중등록 패턴을 탐지하여 불법 인증 시도를 차단하는 방법을 설명하기 위한 흐름도이다.
도 7을 참조하면, 유선(WiFi 등의 mobile VoIP포함) 단말의 이중 등록 패턴을 탐지하여 불법 인증 시도를 차단하는 과정은 다음과 같다.
앞서 설명된 규칙1에 의거하여, VoIP 보안 컨트롤러(120)는, 네트워크 장치로부터 복사/전달된 인증 시도 패킷으로부터, 발신 IP(IP2) 및 발신번호(From 번호)를 추출할 수 있다(S710).
다음으로, 추출한 발신번호가 현재 시스템의 인증 DB에 저장되어 있는지 조회할 수 있다(S720).
단계(S720)에서의 조회 결과를 판단하여(S730), 추출된 발신 번호가 인증 DB에 존재하지 않는다면, 해당 인증 시도 패킷을 발송한 단말을 신규 가입(new subscription) 등의 이유로 최초 인증 요청하는 단말로 판단하여, 인증 DB에 추가하고 인증을 진행한다(S740). 만약 추출된 발신 번호가 인증 DB에서 조회가 된다면 이중 등록 여부를 판단하기 위한 다음 단계로 진행한다.
만약 추출된 발신 번호가 인증 DB에서 조회가 된다면, 현재 인증 요청 패킷의 발신 IP(IP2)와, 해당 번호로 이전에 인증 요청 메시지를 보낸 발신 IP(예컨대, IP1)가 일치하는지 비교하고(S750), 만약 양자가 동일하다면, 단말의 이동(예컨대, IP 변동 등)이 없는 상황 하에서 인증 만료시간 값(ET1)의 인증 주기 에 따라 주기적으로 발송되는 재인증 요청 메시지인 것으로 판단하고 다음 처리를 진행한다.
단계(S750)에서, 현재 인증 요청 패킷의 발신 IP(IP2)와, 해당 번호로 이전에 인증 요청 메시지를 보낸 발신 IP(IP1)가 일치하지 않는 것으로 판단된 경우, 정상적인 단말의 이동(예컨대, IP 변경)인지, 부정적인 인증시도인지를 판단하기 위해 ET2(현재 인증요청 메시지의 인증 만료시간(expire time) 값)과 ET1(이전 인증요청 메시지의 인증 만료시간 값)를 각각 추출 한다(S760).
정상적인 단말 이동(예컨대, IP변경)이라면, 기존 IP(IP1)에서는 인증요청 메시지가 더 이상 유입되지 않고, 새로운 IP 주소인 IP2에서만 인증요청 메시지가 유입될 것이기 때문에, IP1에서 인증 요청 메시지를 보냈을 때의 ET1 시간 범위 내에 IP1에서 인증 요청메시지가 들어오는지 확인한다(S770).
상기 단계(S770)에서의 확인 결과, ET1 시간 범위 내에 IP1에서 인증 요청 메시지가 유입되는 경우, 기존 단말은 위치 변경 없이 그대로 있음을 알 수 있고, 이 경우 IP2에서 유입된 인증 요청 메시지는 해킹 등에 의해 부정적인 사용을 목적으로 타 단말 또는 장비에서 인증을 시도하는 것으로 판단할 수 있다.
따라서, 상기 단계(S770)에서 ET1 시간 범위 내에 IP1에서 인증 요청 메시지가 유입되는 경우, IP2로부터의 인증 요청 메시지를 부정 인증 요청으로 판단하고 IP2에서의 인증 요청을 차단하거나, 기 인증 성공 처리한 경우에는 인증 실패 메시지를 전송하여 인증 차단한다(S780). 그리고, 인증 DB에서 해당 단말 번호의 인증 IP는 IP1으로 유지한다. 블랙리스트 IP 관리를 위해 부정적인 인증 시도가 발생한 IP2(또는 port(port2)), 인증 만료시간 값(ET2), 단말기종(UserAgent2) 값 및 값들의 조합 조건)는 블랙리스트 후보 DB에 저장/관리할 수 있다. IP2에서의 인증 또는 호 시도가 일정 횟수를 초과하는 경우 블랙리스트 정보에 추가할 수 있다. 블랙리스트 DB에 추가할 경우 향후 IP2(또는 port(port2)), 인증 만료시간 값(ET2), 단말기종(UserAgent2) 값 및 값들의 조합 조건)에서 유입되는 인증 또는 통화시도 메시지는 상기 규칙2에 의해서 모두 차단된다.
상기 단계(S770)에서, ET1 시간 범위 내에 IP1에서 인증 요청 메시지가 유입되지 않는 경우, 정상적으로 단말의 IP가 IP1에서 IP2로 이동(또는 DHCP 등으로 IP 변경)된 것으로 판단하여, IP2에서 유입된 인증 요청 메시지를 정상적으로 처리하고(S790), 이후 인증 DB에서 해당 단말 번호의 인증 IP는 IP2로 관리한다.
한편 상기 단계(S780)에서 IP2에서 유입되는 인증 요청 및 통화 요청 메시지를 차단하기 위해서 VoIP 보안 기능(130)이 보안 컨트롤러(120)으로 IP2에서 부정 인증 시도가 발생했음을 통보할 수 있다. 이 경우, 보안 컨트롤러(120)는 VoIP 보안 기능(130)에서 IP2로부터 시도되는 인증 및 통화를 차단하기 위해 하기 규칙3 및 규칙4를 VoIP 보안 기능(130)으로 전달할 수 있다.
규칙3: [{(), (인증 시도)}, {(인증시도 메시지, IP2), ()}, {(패킷 차단), (), ()}]
⇒ 사용자 동작: 인증 시도
⇒ 패킷 값 조건: 인증 메시지 중 발신지 IP가 IP2에 해당하는 조건 값(또는 port(port2)), 인증 만료시간 값(ET2), 단말기종(UserAgent2) 값 및 값들의 조합 조건)
⇒ 트래픽 인입 제어: 패킷 차단
규칙4: [{(), (통화 시도)}, {(통화시도 메시지, IP2), ()}, {(패킷 차단), (), ()}]
⇒ 사용자 동작: 통화 시도
⇒ 패킷 값 조건: 통화 메시지 중 발신지 IP가 IP2에 해당하는 조건 값(또는 port(port2)), 인증 만료시간 값(ET2), 단말기종(UserAgent2) 값 및 값들의 조합 조건)
⇒ 트래픽 인입 제어: 패킷 차단
도 8은 본 발명의 다른 실시예에 따른 무선 단말의 불법 인증 시도 탐지에서 이중등록 패턴을 탐지하여 불법 인증 시도를 차단하는 방법을 설명하기 위한 흐름도이다.
도 8을 참조하면, 무선 단말(예컨대, 셀룰러 이동통신 단말(VoLTE 단말))의 이중 등록 패턴을 탐지하여 불법 인증 시도를 차단하는 과정은 다음과 같다.
도 7을 통해서도 설명된 바와 같이, VoIP 보안 컨트롤러(120)는, 앞서 설명된 규칙1에 의거하여, 네트워크 장치로부터 복사되어 전달된 인증 시도 패킷으로부터, 기지국 ID(기지국 코드값, SIP P-Access-Network-Info 헤더 값, Cell-ID2) 및 발신번호(From 번호)를 추출할 수 있다(S810).
다음으로, 추출한 발신번호가 현재 시스템의 인증 DB에 저장되어 있는지 조회할 수 있다(S820).
단계(S820)에서의 조회 결과를 판단하여(S830), 추출된 발신 번호가 인증 DB에 존재하지 않는다면, 해당 인증 시도 패킷을 발송한 단말을 신규 가입(new subscription) 등의 이유로 최초 인증 요청하는 단말로 판단하여, 인증 DB에 추가하고 인증을 진행한다(S840). 만약 추출된 발신 번호가 인증 DB에서 조회가 된다면 이중 등록 여부를 판단하기 위한 다음 단계로 진행한다.
만약 추출된 발신 번호가 인증 DB에서 조회가 된다면, 현재 인증 요청 메시지의 기지국 ID(Cell-ID2)와 해당 번호로 이전에 인증 요청 메시지를 보낸 기지국 ID(Cell-ID1)가 일치하는지 비교하고(S850), 만약 양자가 동일하다면, 단말의 이동(즉, 기지국 변경; 핸드오버)이 없는 상황 하에서 인증 만료시간 값(ET1)의 인증 주기 에 따라 주기적으로 발송되는 재인증 요청 메시지인 것으로 판단하고 다음 처리를 진행한다.
단계(S850)에서, 현재 인증 요청 메시지의 기지국 ID(Cell-ID2)와 이전 인증 요청 메시지의 기지국 ID(Cell-ID1)가 일치하지 않는 것으로 판단된 경우, 정상적인 단말 이동(기지국 변경)인지, 부정적인 인증시도인지 판단하기 위해 ET1(현 인증요청 메시지의 인증 만료시간(expire time) 값)과 ET2(이전 인증요청 메시지의 인증 만료시간 값)를 각각 추출 한다(S860).
정상적인 단말 이동(예컨대, 기지국 변경)이라면, 기존 기지국(Cell-ID1)에서는 인증요청 메시지가 더 이상 유입되지 않고, 새로운 기지국(Cell-ID2) 에서만 인증요청 메시지가 유입될 것이기 때문에, Cell-ID1에서 인증 요청 메시지를 보냈을 때의 ET1 시간 범위 내에 Cell-ID1 에서 인증 요청메시지가 유입되는지 확인한다(S870).
상기 단계(S870)에서의 확인 결과, ET1 시간 범위 내에 Cell-ID1에서 인증 요청 메시지가 유입되는 경우, 기존 단말은 위치 변경 없이 그대로 있음을 알 수 있고, 이 경우 Cell-ID2에서 유입된 인증 요청 메시지는 해킹 등에 의해 부정적인 사용을 목적으로 타 단말 또는 장비에서 인증을 시도하는 것으로 판단할 수 있다.
따라서, 상기 단계(S870)에서 ET1 시간 범위 내에 Cell-ID1에서 인증 요청 메시지가 유입되는 경우, Cell-ID2로부터의 인증 요청 메시지를 부정 인증 요청으로 판단하고 Cell-ID2에서의 인증 요청을 차단하거나, 기 인증 성공 처리한 경우에는 인증 실패 메시지를 전송하여 인증 차단한다(S880).
상기 단계(S870)에서 ET1 시간 범위 내에 Cell-ID1에서 인증 요청 메시지가 유입되지 않는 경우, 정상적으로 단말의 기지국 ID가 Cell-ID1에서 Cell-ID2로 변동된 것으로 판단하여, Cell-ID2에서 유입된 인증 요청 메시지를 정상적으로 처리하고(S890), 이후 인증 DB에서 해당 단말 번호의 인증 기지국 ID는 Cell-ID2로 관리한다.
도 9는 본 발명의 다른 실시예에 따른 VoIP 및 VoLTE 단말의 불법 인증 시도 탐지에서 인증 만료시간의 비정상 동작 패턴을 탐지하여 불법 인증 시도를 차단하는 방법을 설명하기 위한 흐름도이다.
도 9를 참조하면, VoIP 및 VoLTE 단말의 인증 만료시간의 비정상 동작 패턴을 탐지하여 불법 인증 시도를 차단하는 과정은 다음과 같다.
도 7을 통해서도 설명된 바와 같이, VoIP 보안 컨트롤러(120)는, 앞서 설명된 규칙1에 의거하여, 네트워크 장치로부터 복사되어 전달된 인증 시도 패킷으로부터, 발신 IP(IP2) 및 발신번호(From 번호)를 추출할 수 있다(S910).
다음으로, 추출한 발신번호가 현재 시스템의 인증 DB에 저장되어 있는지 조회할 수 있다(S920).
단계(S920)에서의 조회 결과를 판단하여(S930), 추출된 발신 번호가 인증 DB에 존재하지 않는다면, 해당 인증 시도 패킷을 발송한 단말을 신규 가입(new subscription) 등의 이유로 최초 인증 요청하는 단말로 판단하여, 인증 DB에 추가하고 인증을 진행한다(S940). 만약 추출된 발신 번호가 인증 DB에서 조회가 된다면 이중 등록 여부를 판단하기 위한 다음 단계로 진행한다.
만약 추출된 발신 번호가 인증 DB에서 조회가 된다면, 현재 인증 요청 메시지의 발신 IP(IP2)와, 해당 번호로 이전에 인증 요청 메시지를 보낸 발신 IP(IP1)가 일치하는지 비교하고(S950), 만약 양자가 동일하다면, 단말의 이동(예컨대, IP 변동 등)이 없는 상황하에서 인증 만료시간 값(ET1)의 인증 주기 에 따라 주기적으로 발송되는 재인증 요청 메시지인 것으로 판단하고 다음 처리를 진행한다.
단계(S950)에서, 현재 인증 요청 패킷의 발신 IP(IP2)와, 해당 번호로 이전에 인증 요청 메시지를 보낸 발신 IP(IP1)가 일치하지 않는 것으로 판단된 경우, 정상적인 단말의 이동(예컨대, IP 변경)인지, 부정적인 인증시도인지를 판단하기 위해 ET2(현재 인증요청 메시지의 인증 만료시간(expire time) 값)과 ET1(이전 인증요청 메시지의 인증 만료시간 값)를 각각 추출 한다(S960).
일반적으로, 부정적인 인증을 시도하는 목적은 인증 성공 후 통화요금을 내지 않고 통화하거나, 사업자 간에 정산되어야 하는 망 접속료를 중간에서 편취하거나, 또는 고가의 요금이 부과되는 번호(예컨대, 국제전화 등)로 불법적인 전화를 걸어 그 요금을 수익화하기 위한 목적이라 할 수 있다. 따라서 부정적인 인증을 시도하는 경우 정상적인 인증 만료시간(Expire Time)보다 매우 작은 값의 인증 만료시간값으로 조작하여 사용한다.
따라서, 단계(S970)에서는, ET1 값과 ET2 값을 상호 비교한다.
단계(S970)에서, ET2가 ET1과 같거나 큰 것으로 판단된다면(즉, 현재 인증요청 메시지의 인증 만료시간 값이 이전 인증요청메시지의 인증 만료시간 값보다 작지 않게 설정된 경우), 부정 인증이 아닌 것으로 판단하여 다음 처리를 진행한다.
그러나, 단계(S970)에서, ET2가 ET1보다 작은 것으로 판단된다면(즉, 현재 인증요청 메시지의 인증 만료시간 값이 이전 인증요청메시지의 인증 만료시간 값보다 작게 설정된 경우), 부정 인증여부 가능성이 있는 것으로 판단할 수 있다. 이 경우, 보다 정확한 판단을 위해 이 후 인증 요청 메시지의 실제 발생 주기를 측정할 수 있다. 정상적인 경우는 ET2의 1/3~1/2 시간 이내에 재인증을 요청하지만, 부정 인증을 시도하는 경우는 이보다 월등히 짧은 시간 주기로 재인증을 요청한다. 따라서 운용자가 지정한 임계 주기값(1/5, 1/10, 1/100 등) 보다 짧은 주기로 재인증 요청이 발생하는지를 판단할 수 있다(S980).
단계(S980)에서 판단한 결과, 재인증 요청 주기가 임계값보다 짧지 않은 경우, 정상적인 주기값 변경으로 판단하고 인증처리를 진행한다.
단계(S980)에서 판단한 결과, 재인증 요청 주기가 임계값보다 짧은 경우, 부정 인증 요청으로 판단하고, 해당 IP(IP2)에서 전송되는 인증 요청은 실패처리를 하거나, 기 인증 성공 처리한 경우에는 인증 실패 메시지를 전송하여 인증 차단한다(S990). 그리고, 인증 DB에서 해당 단말 번호의 인증 IP는 IP1으로 유지한다. 블랙리스트 IP 관리를 위해 부정적인 인증 시도가 발생한 IP2는 블랙리스트 후보 DB에 저장/관리할 수 있다. IP2에서의 인증 또는 호 시도가 일정 횟수를 초과하는 경우 블랙리스트 IP에 추가할 수 있다. 블랙리스트 DB에 추가할 경우 향후 IP2에서 유입되는 인증 또는 통화시도 메시지는 상기 규칙2에 의해서 모두 차단된다.
본 발명에 따른 방법들은 다양한 컴퓨터 수단을 통해 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 컴퓨터 판독 가능 매체에 기록되는 프로그램 명령은 본 발명을 위해 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다.
컴퓨터 판독 가능 매체의 예에는 롬(rom), 램(ram), 플래시 메모리(flash memory) 등과 같이 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 프로그램 명령의 예에는 컴파일러(compiler)에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터(interpreter) 등을 사용해서 컴퓨터에 의해 실행될 수 있는 고급 언어 코드를 포함한다. 상술한 하드웨어 장치는 본 발명의 동작을 수행하기 위해 적어도 하나의 소프트웨어 모듈로 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.
이상 실시예를 참조하여 설명하였지만, 해당 기술 분야의 숙련된 당업자는 하기의 특허 청구의 범위에 기재된 본 발명의 사상 및 영역으로부터 벗어나지 않는 범위 내에서 본 발명을 다양하게 수정 및 변경시킬 수 있음을 이해할 수 있을 것이다.

Claims (25)

  1. 소프트웨어 정의 네트워킹(SDN, software-defined networking) 기반의 중앙 집중형 VoIP(Voice over IP) 서비스 보안 시스템으로서,
    VoIP 보안 서비스를 이용하기 위해 필요한 보안 서비스 정책을 설정하고 관리하는 보안 서비스 관리자(Security Service Manager);
    상기 보안 서비스 관리자를 통해 전달받은 보안 서비스 정책을 소정의 정보 모델로 생성하여 VoIP 보안 기능(VoIP security function)에 전달하는 VoIP 보안 컨트롤러(VoIP Security Controller); 및
    상기 VoIP 보안 컨트롤러로부터 전달받은 정보 모델에 기초하여, VoIP 보안 서비스를 제공하는 적어도 하나의 VoIP 보안 기능(VoIP security function)을 포함하는, VoIP 서비스 보안 시스템.
  2. 청구항 1에 있어서,
    상기 보안 서비스 관리자는 어플리케이션 게이트웨이(application gateway) 역할을 수행하는, VoIP 서비스 보안 시스템.
  3. 청구항 1에 있어서,
    상기 VoIP 보안 기능은, 적어도 하나의 SDN 스위치를 관리하는 적어도 하나의 SDN 컨트롤러에 연결되는, VoIP 서비스 보안 시스템.
  4. 청구항 3에 있어서,
    상기 VoIP 보안 기능은, 상기 VoIP 보안 컨트롤러로부터 전달받은 정보 모델을 해석하여, 상기 SDN 컨트롤러가 SDN 스위치로 전달할 수 있는 API를 호출하거나 상기 SDN 컨트롤러와 상기 SDN 스위치의 연동 규격에 맞는 메시지 형태로 변환하여 상기 SN 컨트롤러로 전달하는, VoIP 서비스 보안 시스템.
  5. 청구항 1에 있어서,
    상기 정보 모델은, 네트워크 장치를 통해 송수신되는 패킷 또는 특정 플로우에 속하는 패킷에 대해 특정 동작의 적용 여부를 판단하기 위한 조건(condition) 및 상기 조건이 만족되었을 때 수행될 동작(action)을 정의하는 동작 정보를 포함하는, VoIP 서비스 보안 시스템.
  6. 청구항 5에 있어서,
    상기 조건은 단일 패킷에서 판단할 수 있는 패킷 값 조건과, 세션(session) 또는 플로우(flow) 등을 통하여 판단할 수 있는 상황(context) 조건을 포함하는, VoIP 서비스 보안 시스템.
  7. 청구항 5에 있어서,
    상기 동작 정보는 트래픽 인입 제어 동작, 트래픽 출력 제어 동작, 및 보안 서비스를 제어하는 기능 프로파일(profile)을 적용하는 응용 동작(advanced action)을 포함하는, VoIP 서비스 보안 시스템.
  8. 청구항 5에 있어서,
    상기 정보 모델은, 상기 조건과 상기 동작의 적용 대상을 정의하는 사건(event) 정보를 추가로 포함하는, VoIP 서비스 보안 시스템.
  9. 청구항 8에 있어서,
    상기 사건 정보는 이벤트 시간(event time) 정보와 사용자 동작(user action) 정보를 포함하는, VoIP 서비스 보안 시스템.
  10. 청구항 1에 있어서,
    상기 VoIP 보안 기능은 가상 머신 상에서 동작하는, VoIP 서비스 보안 시스템.
  11. 소프트웨어 정의 네트워킹(SDN, software-defined networking) 기반의 중앙 집중형 VoIP(Voice over IP) 서비스 보안 처리 방법으로서,
    보안 서비스 관리자(Security Service Manager)가 VoIP 보안 서비스를 이용하기 위해 필요한 보안 서비스 정책을 생성하는 단계;
    VoIP 보안 기능(VoIP security function)가 상기 보안 서비스 정책을 수신하고, 상기 보안 서비스 정책을 소정의 정보 모델로 생성하여 적어도 하나의 VoIP 보안 기능(VoIP security function)에 전달하는 단계; 및
    상기 적어도 하나의 VoIP 보안 기능이, 상기 전달받은 정보 모델에 기초하여, VoIP 보안 서비스를 제공하는 단계를 포함하는, VoIP 서비스 보안 처리 방법.
  12. 청구항 11에 있어서,
    상기 보안 서비스 관리자는 어플리케이션 게이트웨이(application gateway) 역할을 수행하는, VoIP 서비스 보안 처리 방법.
  13. 청구항 11에 있어서,
    상기 VoIP 보안 기능은, 적어도 하나의 SDN 스위치를 관리하는 적어도 하나의 SDN 컨트롤러에 연결되는, VoIP 서비스 보안 처리 방법.
  14. 청구항 13에 있어서,
    상기 VoIP 보안 기능이, 상기 VoIP 보안 컨트롤러로부터 전달받은 정보 모델을 해석하여, 상기 SDN 컨트롤러가 SDN 스위치로 전달할 수 있는 API를 호출하거나 상기 SDN 컨트롤러와 상기 SDN 스위치의 연동 규격에 맞는 메시지 형태로 변환하여 상기 SDN 컨트롤러로 전달하는 단계를 추가로 포함하는, VoIP 서비스 보안 처리 방법.
  15. 청구항 11에 있어서,
    상기 정보 모델은, 네트워크 장치를 통해 송수신되는 패킷 또는 특정 플로우에 속하는 패킷에 대해 특정 동작의 적용 여부를 판단하기 위한 조건(condition) 및 상기 조건이 만족되었을 때 수행될 동작(action)을 정의하는 동작 정보를 포함하는, VoIP 서비스 보안 처리 방법.
  16. 청구항 15에 있어서,
    상기 조건은 단일 패킷에서 판단할 수 있는 패킷 값 조건과, 세션(session) 또는 플로우(flow) 등을 통하여 판단할 수 있는 상황(context) 조건을 포함하는, VoIP 서비스 보안 처리 방법.
  17. 청구항 15에 있어서,
    상기 동작 정보는 트래픽 인입 제어 동작, 트래픽 출력 제어 동작, 및 보안 서비스를 제어하는 기능 프로파일(profile)을 적용하는 응용 동작(advanced action)을 포함하는, VoIP 서비스 보안 처리 방법.
  18. 청구항 15에 있어서,
    상기 정보 모델은, 상기 조건과 상기 동작의 적용 대상을 정의하는 사건(event) 정보를 추가로 포함하는, VoIP 서비스 보안 처리 방법.
  19. 청구항 8에 있어서,
    상기 사건 정보는 이벤트 시간(event time) 정보와 사용자 동작(user action) 정보를 포함하는, VoIP 서비스 보안 처리 방법.
  20. 소프트웨어 정의 네트워킹(SDN, software-defined networking) 기반의 중앙 집중형 VoIP(Voice over IP) 보안 시스템에서, 보안 서비스 관리자(Security Service Manager) 및 적어도 하나의 VoIP 보안 기능(VoIP security function)과 연동하는 VoIP 보안 컨트롤러(VoIP Security Controller)의 동작 방법으로서,
    상기 보안 서비스 관리자로부터 VoIP 보안 서비스를 이용하기 위해 필요한 보안 서비스 정책을 수신하는 단계;
    상기 보안 서비스 정책을 소정의 정보 모델로 생성하여 상기 적어도 하나의 VoIP 보안 기능(VoIP security function)에 전달하는 단계; 및
    상기 적어도 하나의 VoIP 보안 기능으로부터 상기 소정의 정보 모델에 따라 수행된 상기 보안 서비스 정책의 수행 결과를 수신하는 단계를 포함한, VoIP 서비스 보안 컨트롤러의 동작 방법.
  21. 청구항 20에 있어서,
    상기 정보 모델은, 네트워크 장치를 통해 송수신되는 패킷 또는 특정 플로우에 속하는 패킷에 대해 특정 동작의 적용 여부를 판단하기 위한 조건(condition) 및 상기 조건이 만족되었을 때 수행될 동작(action)을 정의하는 동작 정보를 포함하는, VoIP 서비스 보안 컨트롤러의 동작 방법.
  22. 청구항 21에 있어서,
    상기 조건은 단일 패킷에서 판단할 수 있는 패킷 값 조건과, 세션(session) 또는 플로우(flow) 등을 통하여 판단할 수 있는 상황(context) 조건을 포함하는, VoIP 서비스 보안 컨트롤러의 동작 방법.
  23. 청구항 21에 있어서,
    상기 동작 정보는 트래픽 인입 제어 동작, 트래픽 출력 제어 동작, 및 보안 서비스를 제어하는 기능 프로파일(profile)을 적용하는 응용 동작(advanced action)을 포함하는, VoIP 서비스 보안 컨트롤러의 동작 방법.
  24. 청구항 21에 있어서,
    상기 정보 모델은, 상기 조건과 상기 동작의 적용 대상을 정의하는 사건(event) 정보를 추가로 포함하는, VoIP 서비스 보안 컨트롤러의 동작 방법.
  25. 청구항 24에 있어서,
    상기 사건 정보는 이벤트 시간(event time) 정보와 사용자 동작(user action) 정보를 포함하는, VoIP 서비스 보안 컨트롤러의 동작 방법.
PCT/KR2017/002448 2016-03-08 2017-03-07 Sdn/nfv 기반 ip 통화 서비스 보안 시스템 및 보안 시스템의 동작 방법 Ceased WO2017155280A2 (ko)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
KR20160027900 2016-03-08
KR10-2016-0027900 2016-03-08
KR20160081195 2016-06-28
KR10-2016-0081195 2016-06-28

Publications (2)

Publication Number Publication Date
WO2017155280A2 true WO2017155280A2 (ko) 2017-09-14
WO2017155280A3 WO2017155280A3 (ko) 2018-09-07

Family

ID=59789580

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2017/002448 Ceased WO2017155280A2 (ko) 2016-03-08 2017-03-07 Sdn/nfv 기반 ip 통화 서비스 보안 시스템 및 보안 시스템의 동작 방법

Country Status (2)

Country Link
KR (1) KR102299225B1 (ko)
WO (1) WO2017155280A2 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112839007A (zh) * 2019-11-22 2021-05-25 深圳布洛城科技有限公司 一种网络攻击的防御方法及装置

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US12341809B2 (en) * 2022-11-16 2025-06-24 Zscaler, Inc. Defending against volumetric attacks

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8295188B2 (en) * 2007-03-30 2012-10-23 Extreme Networks, Inc. VoIP security
KR100862050B1 (ko) * 2007-11-23 2008-10-09 한국정보보호진흥원 ＶｏＩＰ 보안 통신을 제공하는 사용자 에이전트 및 이를이용한 보안 통신 제공 방법
KR101580185B1 (ko) * 2009-06-29 2015-12-24 삼성전자주식회사 ＶｏＩＰ 서비스에서 스팸 제어 방법 및 장치
CN105745886B (zh) * 2013-09-23 2019-06-04 迈克菲有限公司 在两个实体之间提供快速路径
KR101535502B1 (ko) * 2014-04-22 2015-07-09 한국인터넷진흥원 보안 내재형 가상 네트워크 제어 시스템 및 방법
CN106416131B (zh) * 2014-05-22 2020-02-21 科锐安特股份有限公司 网元和管理该网元的控制器
KR101466895B1 (ko) * 2014-08-12 2014-12-10 주식회사 크레블 VoIP 불법 검출 방법, 이를 수행하는 VoIP 불법 검출 장치 및 이를 저장하는 기록매체

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112839007A (zh) * 2019-11-22 2021-05-25 深圳布洛城科技有限公司 一种网络攻击的防御方法及装置
CN112839007B (zh) * 2019-11-22 2022-11-01 深圳布洛城科技有限公司 一种网络攻击的防御方法及装置

Also Published As

Publication number Publication date
KR102299225B1 (ko) 2021-09-07
WO2017155280A3 (ko) 2018-09-07
KR20170104947A (ko) 2017-09-18

Similar Documents

Publication Publication Date Title
WO2021060857A1 (ko) 원격 실행 코드 기반 노드의 제어 플로우 관리 시스템 및 그에 관한 방법
WO2021054747A1 (ko) 무선 통신 시스템에서 psa-upf 재배치를 위한 장치 및 방법
WO2020218843A1 (en) Method and system for providing non-access stratum (nas) message protection
WO2021133092A1 (en) Method and apparatus to manage nssaa procedure in wireless communication network
WO2018101565A1 (ko) 네트워크 가상화 환경에서 보안 관리를 위한 구조
WO2021235880A1 (ko) 무선 통신 시스템에서 단말로 지역 데이터 네트워크 정보를 제공하기 위한 방법 및 장치
WO2011056034A2 (en) Method for controlling session and server using the same
WO2016023148A1 (zh) 报文的控制方法、交换机及控制器
WO2012091529A2 (ko) 단말기
WO2015016627A1 (ko) 동일한 네트워크 상의 복수개의 ap 장치 중 하나의 ap 장치와 단말기를 연결하는 방법 및 장치
WO2014209075A1 (ko) 인터넷 프로토콜을 이용한 서비스를 위한 다중 연결 시스템 및 방법
WO2018048230A1 (en) Method for managing short data service (sds) in mission critical data (mc data) communication system
WO2019098678A1 (ko) 보안 서비스를 제공하기 위한 방법 및 이를 위한 장치
WO2018038412A1 (ko) 차세대 네트워크에서 복수의 액세스를 통해 접속을 수행하는 방법 및 사용자 장치
WO2012165809A2 (ko) 이기종 네트워크 기반 데이터 동시 전송 서비스 방법 및 장치
WO2023059127A1 (ko) 무선 통신 시스템에서 트래픽 분류를 이용한 트래픽 처리 방법 및 장치
WO2016013846A1 (ko) 무선 통신 시스템에서 요청 메시지를 처리하기 위한 방법 및 이를 위한 장치
WO2014171727A1 (en) Apparatus and method for generating key hierarchy in wireless network
WO2021071316A1 (en) Method and apparatus for edge computing service
WO2022203465A1 (ko) 가상 기업망을 구성하기 위한 장치 및 방법
WO2012165805A2 (ko) 2 이상의 네트워크 기반 데이터 동시 전송 서비스 방법 및 장치
WO2019088671A1 (ko) 네트워크 보안 서비스를 제공하기 위한 방법 및 이를 위한 장치
WO2017155280A2 (ko) Sdn/nfv 기반 ip 통화 서비스 보안 시스템 및 보안 시스템의 동작 방법
WO2017131285A1 (ko) 컨테이너 네트워크 관리 시스템 및 컨테이너 네트워킹 방법
WO2018097422A1 (ko) 네트워크 보안 기능에 의해 트리거되는 트래픽 스티어링을 위한 방법 및 시스템, 이를 위한 장치

Legal Events

Date Code Title Description
NENP Non-entry into the national phase

Ref country code: DE

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17763541

Country of ref document: EP

Kind code of ref document: A2

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205A DATED 12/04/2019)

122 Ep: pct application non-entry in european phase

Ref document number: 17763541

Country of ref document: EP

Kind code of ref document: A2