WO2018097344A1 - 탐지 결과의 유효성을 검증하는 방법 및 시스템 - Google Patents

탐지 결과의 유효성을 검증하는 방법 및 시스템 Download PDF

Info

Publication number
WO2018097344A1
WO2018097344A1 PCT/KR2016/013526 KR2016013526W WO2018097344A1 WO 2018097344 A1 WO2018097344 A1 WO 2018097344A1 KR 2016013526 W KR2016013526 W KR 2016013526W WO 2018097344 A1 WO2018097344 A1 WO 2018097344A1
Authority
WO
WIPO (PCT)
Prior art keywords
event
security
analysis
information
server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/KR2016/013526
Other languages
English (en)
French (fr)
Inventor
윤주호
가성호
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Z Intermediate Global Corp
Original Assignee
Line Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Line Corp filed Critical Line Corp
Priority to PCT/KR2016/013526 priority Critical patent/WO2018097344A1/ko
Priority to JP2019525866A priority patent/JP6932779B2/ja
Publication of WO2018097344A1 publication Critical patent/WO2018097344A1/ko
Priority to US16/403,994 priority patent/US11956264B2/en
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass

Definitions

  • the description below relates to a method and system for validating detection results.
  • Intrusion Detection System IDS
  • IPS Intrusion Prevention System
  • the IDS / IPS detects unauthorized and abnormal behaviors in the system to be protected and classifies detected illegal behaviors and blocks intrusion in real time. In addition, it detects and records the actions of the internal network to immediately identify when an abnormal situation occurs, and realizes the security of the internal system by blocking the packet that caused the illegal activity.
  • This IDS / IPS is composed of several components as an example.
  • the sensor raises a security event
  • the console monitors the event as it occurs, controls or alerts the sensor
  • the central engine records the event recorded by the sensor in a database or from a received security event using system rules. Create an alert.
  • Korean Patent Laid-Open No. 10-2009-0076612 discloses an intrusion detection system and method and an intrusion detection control system and method through multiple servers which are cooperative.
  • the validity of detection results detected through various heterogeneous security devices including the intrusion detection system and recorded in the database should be verified by a person, such as a control manpower deployed for the system to be protected.
  • a person such as a control manpower deployed for the system to be protected.
  • the person in charge of the control center performs validation to confirm the response to the same type of detection result.
  • most detection results contain detection results that have no influence.
  • a detection result is generated and recorded for an attack on a site that is not really influential, such as when an attack is actually attempted on a specific page but the server fails to find the requested page and returns a 404 error message.
  • the control personnel have no such influence and have to deal directly with unnecessary verification for detection results, which account for the majority of the detection results.
  • there is a problem that it is very inefficient for a person to directly validate all detection results.
  • a security information & event management (SIEM) server receives events detected by heterogeneous security devices and correlates the received events to correspond to a predetermined correlation among the received events.
  • SIEM security information & event management
  • a validation server comprising: at least one processor implemented to execute computer readable instructions, the at least one processor receiving events detected at heterogeneous security devices at a security and information event management server and By associating the received events and determining an event corresponding to a predetermined correlation rule among the received events as an event requiring analysis, the event requiring the analysis is received from the security and information event management server.
  • Control the validation server to register control the validation server to collect raw data of the registered event from a security device corresponding to the registered event of the heterogeneous security devices, and collect the collected raw data Analyze according to the registered event
  • the attack obtains the location information on the target network, and determines whether or not the validity of the event required analysis, based on the obtained location information, and if it is determined that the analysis is not valid, the analysis It provides a validation server, characterized in that for controlling the validation server to generate an exception handling message of the required event and transmit it to the security and information event management server.
  • FIG. 1 is a view showing an example of the overall structure of the validation system according to an embodiment of the present invention.
  • FIG. 2 is a diagram illustrating an example of an event list detected in an IDS management console according to one embodiment of the present invention.
  • FIG. 3 is a diagram illustrating an example of detailed information on an event detected in an IDS management console according to one embodiment of the present invention.
  • FIG. 4 is a diagram illustrating an example of actual network packet information for an event detected in an IDS management console according to one embodiment of the present invention.
  • FIG. 5 is a diagram illustrating an example of an alert generated by a security and information event management server according to an embodiment of the present invention.
  • FIG. 6 is a diagram illustrating an example of a waiting list of registered events according to one embodiment of the present invention.
  • FIG. 7 is a diagram for one example of confirming the influence of a detected event according to one embodiment of the present invention.
  • FIG. 8 is a block diagram illustrating an internal configuration of a validation server according to an embodiment of the present invention.
  • FIG. 9 is a block diagram illustrating an example of a component that a processor of a validation server may include according to an embodiment of the present invention.
  • FIG. 10 is a flowchart illustrating an example of a validation method that can be performed by a validation server according to an exemplary embodiment of the present invention.
  • 11 and 12 illustrate examples of steps that may be further included in the validation method according to an embodiment of the present invention.
  • FIG. 1 is a view showing an example of the overall structure of the validation system according to an embodiment of the present invention.
  • the dotted box 110 represents security devices such as an intrusion detection / prevention system (IDS / IPS), a cloud security solution, Deepsecurity, and a Symantec Endpoint Protection Manager (SEPM). have.
  • security equipment is already well known.
  • IDS Intrusion detection / prevention system
  • SEPM Symantec Endpoint Protection Manager
  • HIDS HyperText-based Intrusion Detection System
  • HIDS HyperText-based Intrusion Detection System
  • SIEM Security Information & Event Management
  • the security and information event management server 120 may determine the event according to a predetermined correlation rule by associating heterogeneous events. For example, when the first event and the second event are generated within a predetermined time interval (for example, within 1 minute) and transmitted to the security and information event management server 120 in two or more security devices, The security and information event management server 120 may determine the first and second events as events meeting the correlation rule. Such correlations will be readily understood by those skilled in the art through well known techniques for security and information event management. In this case, the security and information event management server 120 may transmit the determined events to the security control task management server 130 to be registered as a task. The process of 2 shown in FIG.
  • the security and information event management server 120 may generate a security and information event management ticket for the determined events and transmit it to the security management task management server 130, the security control task management server 130 By registering the received security and information event management ticket, it is possible to register an event (an event requiring analysis) for a particular attack.
  • the security control task management server 130 may provide information on events for an attack registered as a task to the control personnel, and may provide a function for the control personnel to process the registered events. For example, the security management task management server 130 may provide the control personnel with a user interface that allows the control personnel to view detailed information about individual events, validate the attack of these individual events, and specify whether to validate them. Can be.
  • the security control task management server 130 may be easily understood by those skilled in the art through, for example, a technology such as a risk management system (TMS).
  • TMS risk management system
  • the validation system may include an event analysis server 140 and a log check server 150 as shown in FIG.
  • the validation system according to the embodiment of FIG. 1 includes a security control task management server 130, an event analysis server 140, and a log check server 150 as individual devices, but according to an embodiment, the event analysis server 140 )
  • the log check server 150 may be configured as a system combined with the security control task management server 130.
  • one server device may provide all the functions to be provided through the security control task management server 130, the event analysis server 140, and the log check server 150.
  • the event analysis server 140 may collect events registered in the security control task management server 130.
  • the event analysis server 140 may collect events registered in the security management task management server 130 at a predetermined time interval (for example, 1 minute).
  • the process of 3 shown in FIG. 1 may represent an example of a process in which the event analysis server 140 collects registered events.
  • the event analysis server 140 may deliver the collected event to the log check server 150.
  • process 4 illustrated in FIG. 1 may represent an example of a process of inserting the collected event into the server 150, which is the log number, by the event analysis server 140.
  • the log check server 150 may collect raw data corresponding to the received event from the database 160 of the security device that generated the event. For example, the log checking server 150 uses the name of the received event, the IP address / port number of the source, and the IP address / port number of the destination, and the database 160 of the security device that generated the event. ), And raw data corresponding to the event can be obtained as a result of the inquiry.
  • Process 5 shown in FIG. 1 may represent an example of a process of collecting raw data.
  • the log checking server 150 may parse the collected raw data.
  • An example of a process of parsing raw data collected by 6 shown in FIG. 1 may be illustrated.
  • parsing raw data may be performed to extract the Uniform Resource Identifier (URI) of the page targeted for the attack corresponding to the event.
  • URI Uniform Resource Identifier
  • the log check server 150 may check the response result by performing the same attack as the attack corresponding to the event using the parsed information.
  • the log checking server 150 may check the response result of the corresponding page by executing the same attack as the actual attack on the network 170 with the page checked using the extracted URI.
  • Process 7 shown in FIG. 1 may represent an example of a process for checking the response result.
  • the log checking server 510 may transmit the confirmed response result to the event analysis server 140.
  • the process 8 shown in FIG. 1 may represent an example of the process for delivering such a response result.
  • the event analysis server 140 may determine the degree of risk of the event by analyzing the delivered response result. For example, if an HTTP 404 message is received that the page cannot be found according to the attack executed through URI in the process of 7 described above, the attack may be judged as an influential attack, and the event may be of low risk. Can be determined by the event. In this case, the event analysis server 140 may transmit a security and information event management event to the security and information event management server 120 for a high risk event (for example, an event having a predetermined or more risk). In addition, the event analysis server 140 may transmit an exception handling message to the security and information event management server 120 for a low-risk event (eg, an event whose risk is less than a predetermined level). Process 9 shown in FIG. 1 may represent an example of a process of sending such a security and information event management event and / or an exception handling message.
  • the security and information event management server 120 may add an event corresponding to the exception handling message to the security and information event management filter according to the exception handling message.
  • future events resulting from attacks on the same URI may be further filtered by the security and information event management server 120. Therefore, these exception-handled events are not delivered to the security management task management server 130, and since there are a plurality of packets for the same attack, the control personnel in the security control task management server 130 as the exception processing increases. This greatly reduces the number of events that need to be validated. In other words, since the validity of the influential event can be automatically verified through the validation system according to the present embodiment, unnecessary waste of resources can be prevented and efficiency of response to an attack through the network can be improved.
  • FIG. 2 is a diagram illustrating an example of an event list detected in an IDS management console according to one embodiment of the present invention.
  • the IDS can detect traffic that matches a pre-registered pattern, for strings that are determined to be a security attack in network traffic (eg, received packets).
  • the event list of FIG. 2 may refer to a list of events detected in IDS. As shown in FIG. 2, an attack type, a signature group, a severity, and a detected time are shown in FIG. 2. Information such as detected, source IP address, attacker port, attacker IP address, destination port, and destination port may be included.
  • FIG. 3 is a diagram illustrating an example of detailed information on an event detected by an IDS management console according to an embodiment of the present invention
  • FIG. 4 is a diagram illustrating an event detected by an IDS management console according to an embodiment of the present invention. Is a diagram illustrating an example of actual network packet information. 3 indirectly shows that an event can be identified using the event name, source IP address, source port, destination IP address, destination port, detected time, and the like. 4 shows that actual network packet information is managed for one event.
  • the event detected in the security equipment such as IDS may be transmitted to the security and information event management server 120, the security and information event management server 120 checks the conditions according to the correlation rules for the received event It is possible to determine whether to generate an alert, and to generate an alert for an event requiring further analysis.
  • FIG. 5 is a diagram illustrating an example of an alert generated by a security and information event management server according to an embodiment of the present invention.
  • Fig. 5 shows an example of information on related events with warnings. Such information may be sent from the security and information event management server 120 to the security control task management server 130 and registered in the security control task management server 130.
  • 6 is a diagram illustrating an example of a waiting list of registered events according to one embodiment of the present invention.
  • 6 is a screen 600 of a part of the user interface screen that the security management task management server 130 provides to the control personnel, the lease of the events registered in the security control task management server 130 and waiting for validation It is shown.
  • the control personnel may select the events shown on the screen 600 to check detailed information of each event, and verify the validity of the selected events.
  • the 'detect' button 610 of FIG. 6 may be used to specify that the selected event is a valid detection
  • the 'false' button 620 may be used to designate that the selected event is an invalid detection.
  • the event analysis server 140 and the log check server 150 register exception processing for the influential event in the security and information event management server 120 to secure and inform the server. Since the event management server 120 does not register the influential event to the security management task management server 130, the number of events that the control personnel need to manually validate may be reduced.
  • FIG. 7 is a diagram for one example of confirming the influence of a detected event according to one embodiment of the present invention.
  • the first dotted line box 710 shows an example of raw data collected from the database 160 of the security equipment that generated the event received by the log checking server 150 through the process 5 shown in FIG. 1.
  • the second dotted line box 720 shows an example of a URL (Uniform Resource Locator) extracted by parsing the raw data by the log check server 150 through 6 shown in FIG.
  • URL Uniform Resource Locator
  • the third dotted line box 730 is a response result received from the corresponding server (source code of the page corresponding to the URL as the log access server 150 accesses through the URL extracted through the process 7 shown in FIG. ) Is shown.
  • the log checking server 150 may transmit the received response result to the event analysis server 140, and the event analysis server 140 checks the 404 response code in the response result so that the event is not influential. can confirm.
  • the fourth dotted line box 740 represents the identifier (USD_316_Eval_One_Line_PHP_WebShell_090803), the target IP address (125.6.190.6), and the target port number 80 for the attack.
  • the security and information event management server 120 may exempt such an attack, a target IP address, and a target port number so that an event does not occur for the corresponding attack or target thereafter.
  • FIG. 7 illustrates an embodiment of exception processing for an influential event
  • the security control task management server (not only the registration of the event for the high-impact event, but also the security and information event management server 120).
  • the security control task management server By sending a separate Alert message to 130, it is possible for the control personnel not to miss a high impact event.
  • the validation server 800 may include a memory 810, a processor 820, a communication module 830, and an input / output interface 840 as shown in FIG. 8.
  • the memory 810 is a computer-readable recording medium.
  • the memory 810 may include a permanent mass storage device such as random access memory (RAM), read only memory (ROM), and a disk drive.
  • RAM random access memory
  • ROM read only memory
  • a disk drive The ROM and the non-volatile mass recording device may be included as a separate permanent storage device separately from the memory 810.
  • the memory 810 may store an operating system and at least one program code. These software components may be loaded from a computer readable recording medium separate from the memory 810. Such a separate computer-readable recording medium may include a computer-readable recording medium such as a floppy drive, disk, tape, DVD / CD-ROM drive, memory card, and the like. In other embodiments, software components may be loaded into the memory 810 via a communication module 830 rather than a computer readable recording medium.
  • the processor 820 may be configured to process instructions of a computer program by performing basic arithmetic, logic, and input / output operations. Instructions may be provided to the processor 820 by the memory 810 or the communication module 830. For example, the processor 820 may be configured to execute a command received according to a program code loaded in the memory 810.
  • the communication module 830 may provide a function for communicating with other physical devices through an actual computer network.
  • the communication module 830 may provide a function for transmitting and receiving data through a network with the security and information event management server 120 or security devices.
  • the input / output interface 840 may be a means for interfacing with the input / output device 850.
  • an input device may include a device such as a keyboard or a mouse
  • an output device may include a device such as a display or a speaker.
  • the input / output device 850 is represented as a separate device from the validation server 800, but according to an embodiment, the validation server 800 is implemented so that the input / output device 850 is included in the validation server 800. May be
  • the validation server 800 may include more components than the components of FIG. 8. However, it is not necessary to clearly show most of the prior art components.
  • the validation server 800 may be implemented to further include various components such as various physical buttons, a touch panel, or an optical output device.
  • FIG. 9 is a block diagram illustrating an example of a component that a processor of a validation server may include according to an embodiment of the present invention.
  • FIG. 10 is a diagram illustrating a validation server according to an embodiment of the present invention.
  • 11 and 12 illustrate examples of steps that may be further included in the validation method according to an embodiment of the present invention.
  • the processor 820 may further include at least one of a validity message transmitter 960, an alert message receiver 970, and a user interface provider 980, as shown in FIG. 9. .
  • the processor 820 and the components of the processor 820 may include the steps 1010 to 1060 included in the validation method of FIG. 10, and the steps 1110, 1120 and 1210 illustrated in FIGS. 11 and 12. Can be done.
  • the processor 820 and the components of the processor 820 may be implemented to execute instructions according to code of an operating system and / or code of at least one computer program included in the memory 810.
  • the components of the processor 820 may be different functions of the processor 820 performed by the processor 820 according to a control command provided by a code of a computer program stored in the validation server 800.
  • the processor 820 may read a necessary control command from the memory 810 loaded with a command related to the control of the validation server 800, and the steps 1010 to be described later according to the read control command.
  • the validation server 800 may be controlled.
  • the event register 910 receives events detected by heterogeneous security devices in a Security Information & Event Management (SIEM) server and correlates the received events to receive the received events.
  • SIEM Security Information & Event Management
  • the validation server 800 may be controlled to receive and register an event requiring analysis from the security and information event management server.
  • the security and information event management server may correspond to the security and information event management server 120 described with reference to FIG. 1.
  • the security and information event management server may receive events detected by heterogeneous security devices as shown in the dotted box 110 of FIG.
  • the event meeting the correlation rule may be transmitted to the validation server 800 to be registered.
  • the event registration unit 910 may control the validation server 800 to register an event received from the security and information event management server.
  • step 1210 illustrated in FIG. 12 may be performed.
  • the UI providing unit 980 may provide a UI that may designate validity of the registered event. For example, as shown in FIG. 6 described above, a waiting list of events registered through the validation server 800 and a user interface for designating whether or not validity of the events on the waiting list may be provided to the control personnel. . This user interface may be displayed to the control personnel via a display directly connected with the validation server 800 or through the display of terminals of the control personnel in communication with the validation server 800.
  • the raw data collector 920 may control the validation server 800 to collect raw data of a registered event from security devices corresponding to a registered event among heterogeneous security devices.
  • the validation server 800 may control the raw data collector 920.
  • the IDS / IPS security equipment can be accessed to collect raw data of registered events from the database included in the IDS / IPS security equipment. An example of raw data has been described with reference to FIG. 7.
  • the location information acquisition unit 930 may analyze the collected raw data to obtain location information on a network targeted by an attack according to a registered event.
  • location information on the network may be a URI including a URL.
  • the attack on the network is not limited to the pages.
  • the location information on the network may mean location information on a resource on the network targeted by the attacker's packet.
  • the validity determiner 940 may determine whether an event for which analysis is required is valid based on the acquired location information. For example, the validity determiner 940 performs the same attack as the attack based on the acquired location information, and checks and analyzes the response result from the system corresponding to the obtained location information to determine an event requiring analysis. The validity can be determined.
  • the acquired location information may include a URI for a page on a network.
  • the validity determiner 940 may attempt to access the page through the URI, receive a response code for the status of the page, and determine whether the event requiring analysis is valid by analyzing the received response code. .
  • an attack on a page that can't be found such as HTTP 404 code, has no effect and is therefore not valid.
  • Step 1050 indicates that step 1060 is performed when validity exists or not, according to validity, and step 1110 of FIG. 11 may be performed when validity does not exist.
  • the exception handling message transmission unit 950 is determined that the validity of the event that requires analysis
  • the exception handling message of the event requiring analysis is generated and transmitted to the security and information event management server.
  • the verification server 800 may be controlled.
  • the security and information event management server may update the preset correlation rule to re-examine and exception the received event. . That is, the event corresponding to the exception handling message is filtered by the security and information event management server is not registered in the validation server 800, thus reducing the number of events that the control personnel to validate.
  • the validity message transmitter 960 transmits a validation message for the event requiring analysis to the security and information event management server. 800) can be controlled. For example, if it is determined that the risk is high for a particular event, the validation server 800 may send a validation message for that event to the security and information event management server.
  • the security and information event management server is searched again and received.
  • the validation server 800 may be controlled to receive a warning message generated from the security event and the information event management server.
  • the security and information event management server registers the event with the validation server 800 as described in step 1010.
  • a separate warning message may be further transmitted to the validation server 800.
  • the validation server 800 may provide additional information or warnings to the control personnel in relation to the event according to the warning message, so that the control personnel may not miss the analysis of the event.
  • the system or apparatus described above may be implemented as a hardware component, a software component or a combination of hardware components and software components.
  • the devices and components described in the embodiments are, for example, processors, controllers, arithmetic logic units (ALUs), digital signal processors, microcomputers, field programmable gate arrays (FPGAs).
  • ALUs arithmetic logic units
  • FPGAs field programmable gate arrays
  • PLU programmable logic unit
  • the processing device may execute an operating system (OS) and one or more software applications running on the operating system.
  • the processing device may also access, store, manipulate, process, and generate data in response to the execution of the software.
  • processing device includes a plurality of processing elements and / or a plurality of types of processing elements. It can be seen that it may include.
  • the processing device may include a plurality of processors or one processor and one controller.
  • other processing configurations are possible, such as parallel processors.
  • the software may include a computer program, code, instructions, or a combination of one or more of the above, and configure the processing device to operate as desired, or process it independently or collectively. You can command the device.
  • Software and / or data may be any type of machine, component, physical device, virtual equipment, computer storage medium or device in order to be interpreted by or to provide instructions or data to the processing device. It may be embodied permanently or temporarily.
  • the software may be distributed over networked computer systems so that they may be stored or executed in a distributed manner.
  • Software and data may be stored on one or more computer readable recording media.
  • the method according to the embodiment may be embodied in the form of program instructions that can be executed by various computer means and recorded in a computer readable medium.
  • the computer readable medium may include program instructions, data files, data structures, etc. alone or in combination.
  • the program instructions recorded on the media may be those specially designed and constructed for the purposes of the embodiments, or they may be of the kind well-known and available to those having skill in the computer software arts.
  • Examples of computer-readable recording media include magnetic media such as hard disks, floppy disks, and magnetic tape, optical media such as CD-ROMs, DVDs, and magnetic disks, such as floppy disks.
  • Examples of program instructions include not only machine code generated by a compiler, but also high-level language code that can be executed by a computer using an interpreter or the like.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

탐지 결과의 유효성을 검증하는 방법 및 시스템을 제공한다. 유효성 검증 방법은, 보안 및 정보 이벤트 관리(Security Information & Event Management, SIEM) 서버에서 이기종의 보안 장비들에서 탐지된 이벤트들을 수신하고 상기 수신된 이벤트들을 연관분석하여 상기 수신된 이벤트들 중 기설정된 상관룰에 해당하는 이벤트를 분석이 요구되는 이벤트로 결정함에 따라, 상기 보안 및 정보 이벤트 관리 서버로부터 상기 분석이 요구되는 이벤트를 수신하여 등록하는 단계, 상기 등록된 이벤트의 로 데이터를 상기 이기종의 보안 장비들 중 상기 등록된 이벤트에 대응하는 보안 장비로부터 수집하는 단계, 상기 수집된 로 데이터를 분석하여 상기 등록된 이벤트에 따른 공격이 목적하는 네트워크상의 위치 정보를 획득하는 단계, 상기 획득한 위치 정보에 기반하여 상기 분석이 요구되는 이벤트의 유효성 여부를 결정하는 단계 및 상기 분석이 요구되는 이벤트의 유효성이 없는 것으로 판단되는 경우, 상기 분석이 요구되는 이벤트의 예외처리 메시지를 생성하여 상기 보안 및 정보 이벤트 관리 서버로 전송하는 단계를 포함할 수 있다.

Description

탐지 결과의 유효성을 검증하는 방법 및 시스템
아래의 설명은 탐지 결과의 유효성을 검증하는 방법 및 시스템에 관한 것이다.
침입 탐지 시스템(Intrusion Detection System, IDS)/침입 차단 시스템(Intrusion Prevention System, IPS)은 네트워크에서 백신과 유사한 역할을 하는 것으로, 네트워크를 통한 공격을 탐지/차단하기 위한 장비이다. 이러한 IDS/IPS는 보호하고자 하는 시스템에 인가되지 않은 행위와 비정상적인 행동을 탐지하고, 탐지된 불법행위를 구분하여 실시간으로 침입을 차단하는 기능을 가진다. 또한 내부 네트워크의 행동들을 탐지하고 기록하여 이상 상황 발생 시 즉시 이를 파악하고, 불법행위를 일으킨 패킷을 차단하여 내부 시스템의 보안을 실현한다. 이러한 IDS/IPS는 일례로 여러 개의 컴포넌트들로 구성된다. 센서는 보안 이벤트를 발생시키며, 콘솔은 발생된 이벤트를 모니터하고 센서를 제어하거나 경계하며(alert), 중앙 엔진은 센서에 의해 기록된 이벤트를 데이터베이스에 기록하거나 시스템 규칙을 사용하여 수신된 보안 이벤트로부터 경고를 생성한다. 예를 들어, 한국공개특허 제10-2009-0076612호는 상호 협력적인 다중 서버를 통한 침입 탐지 시스템 및 방법 그리고 침입 탐지 통제 시스템 및 방법에 대해 개시하고 있다.
한편, 이러한 침입 탐지 시스템을 포함하는 다양한 이기종의 보안 장비들을 통해 탐지되어 데이터베이스에 기록된 탐지 결과의 유효성은 보호하고자 하는 시스템을 위해 배치된 관제 인력과 같이 사람이 직접 검증해야 한다. 예를 들어, 관제센터의 담당자가 동일한 형태의 탐지 결과에 대한 응답 내용을 확인하는 유효성 검증을 수행한다. 그러나 대부분의 탐지 결과는 영향력이 없는 탐지 결과를 포함하고 있다. 예를 들어, 특정 페이지에 대해 실제로 공격은 시도가 되었으나 해당 서버가 요청된 페이지를 찾지 못하여 404 에러 메시지를 리턴하는 경우와 같이 실제로 영향력이 없는 사이트에 대한 공격에 대해서도 탐지 결과가 생성 및 기록된다. 이 경우 관제 인력은 이러한 영향력이 없을 뿐만 아니라 전체 탐지 결과에서 대다수를 차지하는 탐지 결과들에 대해서도 직접 불필요한 검증 작업을 처리해야 한다. 다시 말해, 모든 탐지 결과들에 대해 사람이 직접 유효성을 검증하는 것은 매우 비효율적이라는 문제점이 있다.
보안 동작과 관련하여 탐지되는 이벤트들의 영향력에 따라 유효성 검증의 필요성이 낮은 탐지 결과들에 대한 유효성 확인을 자동화함으로써, 불필요한 자원 낭비를 막을 수 있고 네트워크를 통한 공격에 대한 대응의 효율성을 높일 수 있는 유효성 검증 방법 및 시스템을 제공한다.
보안 및 정보 이벤트 관리(Security Information & Event Management, SIEM) 서버에서 이기종의 보안 장비들에서 탐지된 이벤트들을 수신하고 상기 수신된 이벤트들을 연관분석하여 상기 수신된 이벤트들 중 기설정된 상관룰에 해당하는 이벤트를 분석이 요구되는 이벤트로 결정함에 따라, 상기 보안 및 정보 이벤트 관리 서버로부터 상기 분석이 요구되는 이벤트를 수신하여 등록하는 단계; 상기 등록된 이벤트의 로 데이터를 상기 이기종의 보안 장비들 중 상기 등록된 이벤트에 대응하는 보안 장비로부터 수집하는 단계; 상기 수집된 로 데이터를 분석하여 상기 등록된 이벤트에 따른 공격이 목적하는 네트워크상의 위치 정보를 획득하는 단계; 상기 획득한 위치 정보에 기반하여 상기 분석이 요구되는 이벤트의 유효성 여부를 결정하는 단계; 및 상기 분석이 요구되는 이벤트의 유효성이 없는 것으로 판단되는 경우, 상기 분석이 요구되는 이벤트의 예외처리 메시지를 생성하여 상기 보안 및 정보 이벤트 관리 서버로 전송하는 단계를 포함하는 것을 특징으로 하는 유효성 검증 방법을 제공한다.
유효성 검증 서버에 있어서, 컴퓨터에서 판독 가능한 명령을 실행하도록 구현되는 적어도 하나의 프로세서를 포함하고, 상기 적어도 하나의 프로세서는, 보안 및 정보 이벤트 관리 서버에서 이기종의 보안 장비들에서 탐지된 이벤트들을 수신하고 상기 수신된 이벤트들을 연관분석하여 상기 수신된 이벤트들 중 기설정된 상관룰에 해당하는 이벤트를 분석이 요구되는 이벤트로 결정함에 따라, 상기 보안 및 정보 이벤트 관리 서버로부터 상기 분석이 요구되는 이벤트를 수신하여 등록하도록 상기 유효성 검증 서버를 제어하고, 상기 등록된 이벤트의 로 데이터를 상기 이기종의 보안 장비들 중 상기 등록된 이벤트에 대응하는 보안 장비로부터 수집하도록 상기 유효성 검증 서버를 제어하고, 상기 수집된 로 데이터를 분석하여 상기 등록된 이벤트에 따른 공격이 목적하는 네트워크상의 위치 정보를 획득하고, 상기 획득한 위치 정보에 기반하여 상기 분석이 요구되는 이벤트의 유효성 여부를 결정하고, 상기 분석이 요구되는 이벤트의 유효성이 없는 것으로 판단되는 경우, 상기 분석이 요구되는 이벤트의 예외처리 메시지를 생성하여 상기 보안 및 정보 이벤트 관리 서버로 전송하도록 상기 유효성 검증 서버를 제어하는 것을 특징으로 하는 유효성 검증 서버를 제공한다.
보안 동작과 관련하여 탐지되는 이벤트들의 영향력에 따라 유효성 검증의 필요성이 낮은 탐지 결과들에 대한 유효성 확인을 자동화함으로써, 불필요한 자원 낭비를 막을 수 있고 네트워크를 통한 공격에 대한 대응의 효율성을 높일 수 있다.
도 1은 본 발명의 일실시예에 있어서, 유효성 검증 시스템의 전체 구조의 예를 도시한 도면이다.
도 2는 본 발명의 일실시예에 있어서, IDS 관리 콘솔에서 탐지된 이벤트 리스트의 예를 도시한 도면이다.
도 3은 본 발명의 일실시예에 있어서, IDS 관리 콘솔에서 탐지된 이벤트에 대한 세부 정보의 예를 나타낸 도면이다.
도 4는 본 발명의 일실시예에 있어서, IDS 관리 콘솔에서 탐지된 이벤트에 대한 실제 네트워크 패킷 정보의 예를 나타낸 도면이다.
도 5는 본 발명의 일실시예에 있어서, 보안 및 정보 이벤트 관리 서버에서 발생되는 경고의 예를 도시한 도면이다.
도 6은 본 발명의 일실시예에 있어서, 등록된 이벤트의 대기목록의 예를 도시한 도면이다.
도 7은 본 발명의 일실시예에 있어서, 탐지된 이벤트의 영향력을 확인하는 예를 도시한 도면이다.
도 8은 본 발명의 일실시예에 있어서, 유효성 검증 서버의 내부 구성을 설명하기 위한 블록도이다.
도 9는 본 발명의 일실시예에 있어서, 유효성 검증 서버의 프로세서가 포함할 수 있는 구성요소의 예를 도시한 블록도이다.
도 10은 본 발명의 일실시예에 따른 유효성 검증 서버가 수행할 수 있는 유효성 검증 방법의 예를 도시한 흐름도이다.
도 11 및 도 12는 본 발명의 일실시예에 따른 유효성 검증 방법이 더 포함할 수 있는 단계들의 예를 도시한 도면이다.
이하, 실시예를 첨부한 도면을 참조하여 상세히 설명한다.
도 1은 본 발명의 일실시예에 있어서, 유효성 검증 시스템의 전체 구조의 예를 도시한 도면이다.
도 1에서 점선박스(110)는, 침입 탐지/방지 시스템(Intrusion Detection/Prevention System, IDS/IPS), 클라우드 보안 솔루션인 딥시큐리티(Deepsecurity) 및 SEPM(Symantec Endpoint Protection Manager) 등과 같은 보안 장비들을 나타내고 있다. 이러한 보안 장비들에 대해서는 이미 잘 알려져 있다. 따라서, 도 1에 도시된 보안 장비들 이외에도 HIDS(Host-based Intrusion Detection System, HIDS) 등과 같이 역시 잘 알려진 다양한 보안 장비들 중 하나 이상이 본 발명의 실시예들을 위해 활용될 수 있음에 대해, 그리고 이러한 보안 장비들이 네트워크를 통한 공격을 탐지하기 위해 어떻게 동작하는가에 대해서는 당업자라면 용이하게 이해할 수 있을 것이다.
이러한 보안 장비들에서 탐지된 이벤트들은 보안 및 정보 이벤트 관리(Security Information & Event Management, SIEM) 서버(120)로 발송될 수 있다. 도 1에 나타난 ①의 과정은 보안 장비들에서 탐지된 이벤트들이 보안 및 정보 이벤트 관리 서버(120)로 전송되는 과정의 예를 나타낸다.
또한, 보안 및 정보 이벤트 관리 서버(120)는 이기종의 이벤트들을 연관분석하여 기설정된 상관룰에 맞는 이벤트를 결정할 수 있다. 예를 들어, 둘 이상의 보안 장비들에서 제1 이벤트와 제2 이벤트가 기설정된 시간 간격 이내(일례로, 1분 이내의 간격)로 발생되어 보안 및 정보 이벤트 관리 서버(120)로 전송되는 경우, 보안 및 정보 이벤트 관리 서버(120)는 제1, 2 이벤트들을 상관룰에 맞는 이벤트들로 결정할 수 있다. 이러한 상관룰은 이미 잘 알려져 있는 보안 및 정보 이벤트 관리에 대한 기술을 통해 당업자가 쉽게 이해할 수 있을 것이다. 이 경우, 보안 및 정보 이벤트 관리 서버(120)는 결정된 이벤트들을 보안관제 업무 관리 서버(130)로 전송하여 업무로서 등록되도록 할 수 있다. 도 1에 나타난 ②의 과정이 이러한 이벤트를 보안 및 정보 이벤트 관리 서버(120)에서 보안관제 업무 관리 서버(130)로 전송하여 등록하는 과정의 예를 나타낼 수 있다. 예를 들어, 보안 및 정보 이벤트 관리 서버(120)는 결정된 이벤트들에 대한 보안 및 정보 이벤트 관리 티켓을 생성하여 보안관제 업무 관리 서버(130)로 전송할 수 있고, 보안관제 업무 관리 서버(130)는 수신된 보안 및 정보 이벤트 관리 티켓을 등록함으로써 특정 공격에 대한 이벤트(분석이 요구되는 이벤트)를 등록할 수 있다.
보안관제 업무 관리 서버(130)는 업무로서 등록되는 공격에 대한 이벤트들의 정보를 관제 인력들에게 제공하고, 관제 인력들이 등록된 이벤트들을 처리할 수 있는 기능을 제공할 수 있다. 예를 들어, 보안관제 업무 관리 서버(130)는 관제 인력들이 개별 이벤트들에 대한 상세 정보를 살펴보고 이러한 개별 이벤트들의 공격 유효성을 검증하여 유효성 여부를 지정할 수 있는 사용자 인터페이스를 관제 인력들에게 제공할 수 있다. 이러한 보안관제 업무 관리 서버(130)는 일례로, 위험 관리 시스템(Threat Management System, TMS)과 같은 기술을 통해 당업자가 용이하게 이해할 수 있다.
한편, 이미 설명한 바와 같이 등록되는 모든 이벤트들의 유효성을 사람이 직접 검증하는 것은 매우 비효율적이다. 이러한 문제점을 해결하기 위해, 본 발실시예들에 따른 유효성 검증 시스템은 도 1에 도시된 바와 같이 이벤트 분석 서버(140)와 로그 확인 서버(150)를 포함할 수 있다. 도 1의 실시예에 따른 유효성 검증 시스템은 보안관제 업무 관리 서버(130), 이벤트 분석 서버(140) 및 로그 확인 서버(150)를 개별 장치로서 포함하고 있으나, 실시예에 따라 이벤트 분석 서버(140)와 로그 확인 서버(150)는 보안관제 업무 관리 서버(130)와 결합된 하나의 시스템으로 구성될 수도 있다. 예를 들어, 하나의 서버 장치에서 보안관제 업무 관리 서버(130), 이벤트 분석 서버(140) 및 로그 확인 서버(150)를 통해 제공하고자 하는 모든 기능을 제공할 수도 있다.
이벤트 분석 서버(140)는 보안관제 업무 관리 서버(130)에 등록된 이벤트를 수집할 수 있다. 예를 들어, 이벤트 분석 서버(140)는 기설정된 시간 간격(일례로, 1분)마다 보안관제 업무 관리 서버(130)에 등록된 이벤트들을 수집할 수 있다. 도 1에 도시된 ③의 과정이 이벤트 분석 서버(140)가 등록된 이벤트들을 수집하는 과정의 예를 나타낼 수 있다.
또한, 이벤트 분석 서버(140)는 수집된 이벤트를 로그 확인 서버(150)로 전달할 수 있다. 예를 들어, 도 1에 도시된 ④의 과정은 이벤트 분석 서버(140)가 수집된 이벤트를 로그 호가인 서버(150)로 삽입(insert)하는 과정의 예를 나타낼 수 있다.
로그 확인 서버(150)는 수신된 이벤트에 대응하는 로(raw) 데이터를 해당 이벤트를 생성한 보안 장비의 데이터베이스(160)로부터 수집할 수 있다. 예를 들어, 로그 확인 서버(150)는 수신된 이벤트의 이름과 소스의 IP 주소/포트 넘버, 그리고 목적지의 IP 주소/포트 넘버 등의 정보를 이용하여 해당 이벤트를 생성한 보안 장비의 데이터베이스(160)를 조회할 수 있고, 조회 결과로서 해당 이벤트에 대응하는 로 데이터를 얻을 수 있다. 도 1에 도시된 ⑤의 과정이 로 데이터를 수집하는 과정의 예를 나타낼 수 있다.
로그 확인 서버(150)는 수집된 로 데이터를 파싱할 수 있다. 도 1에 도시된 ⑥의 과정이 수집된 로 데이터를 파싱하는 과정의 예를 나타낼 수 있다. 예를 들어, 로 데이터의 파싱은 해당 이벤트에 대응하는 공격이 목적한 페이지의 URI(Uniform Resource Identifier)를 추출하기 위해 이루어질 수 있다.
또한, 로그 확인 서버(150)는 파싱된 정보를 이용하여 이벤트에 대응하는공격과 동일한 공격을 실시하여 응답 결과를 확인할 수 있다. 예를 들어, 로그 확인 서버(150)는 추출된 URI를 이용하여 확인되는 페이지로 네트워크(170)를 실제 공격과 동일한 공격을 실행함으로써, 해당 페이지에서의 응답 결과를 확인할 수 있다. 도 1에 도시된 ⑦의 과정이 이러한 응답 결과의 확인을 위한 과정의 예를 나타낼 수 있다.
로그 확인 서버(510)는 확인된 응답 결과를 이벤트 분석 서버(140)로 전달할 수 있다. 도 1에 도시된 ⑧의 과정이 이러한 응답 결과의 전달을 위한 과정의 예를 나타낼 수 있다.
이벤트 분석 서버(140)는 전달된 응답 결과를 분석하여 이벤트의 리스크 정도를 결정할 수 있다. 예를 들어, 상술한 ⑦의 과정에서 URI를 통해 실행된 공격에 따라 해당 페이지를 찾을 수 없다는 HTTP 404 메시지가 수신된다면, 해당 공격은 영향력이 없는 공격으로 판단될 수 있고, 해당 이벤트는 리스크가 낮은 이벤트로 결정될 수 있다. 이때, 이벤트 분석 서버(140)는 리스크가 큰 이벤트(일례로, 리스크가 기설정된 정도 이상인 이벤트)에 대해서는 보안 및 정보 이벤트 관리 이벤트를 보안 및 정보 이벤트 관리 서버(120)로 전송할 수 있다. 또한, 이벤트 분석 서버(140)는 리스크가 낮은 이벤트(일례로, 리스크가 기설정된 정도 미만인 이벤트)에 대해서는 예외처리 메시지를 보안 및 정보 이벤트 관리 서버(120)로 전송될 수 있다. 도 1에 도시된 ⑨의 과정이 이러한 보안 및 정보 이벤트 관리 이벤트 및/또는 예외처리 메시지를 발송하는 과정의 예를 나타낼 수 있다.
이때, 보안 및 정보 이벤트 관리 서버(120)는 예외처리 메시지에 따라 예외처리 메시지에 대응하는 이벤트를 보안 및 정보 이벤트 관리 필터에 추가할 수 있다. 이 경우, 향후에 동일한 URI에 대해 발생하는 공격에 따른 이벤트는 보안 및 정보 이벤트 관리 서버(120)에서 추가적으로 필터링될 수 있다. 따라서, 이러한 예외처리되는 이벤트들은 보안관제 업무 관리 서버(130)로 전달되지 않게 되고, 동일한 공격을 위한 다수의 패킷들이 존재하기 때문에 이러한 예외처리가 증가할수록 보안관제 업무 관리 서버(130)에서 관제 인력이 유효성을 검증해야 할 이벤트의 수가 급격히 감소하게 된다. 다시 말해, 본 실시예에 따른 유효성 검증 시스템을 통해 영향력이 없는 이벤트에 대한 유효성이 자동적으로 검증될 수 있기 때문에 불필요한 자원 낭비를 막을 수 있고 네트워크를 통한 공격에 대한 대응의 효율성을 높일 수 있다.
도 2는 본 발명의 일실시예에 있어서, IDS 관리 콘솔에서 탐지된 이벤트 리스트의 예를 도시한 도면이다. 보안 장비로서 IDS는 네트워크 트래픽(일례로, 수신되는 패킷들)에서 보안 공격으로 판단되는 문자열에 대해, 사전에 등록된 패턴과 일치하는 트래픽을 탐지할 수 있다. 도 2의 이벤트 리스트는 IDS에서 탐지된 이벤트들의 리스트를 의미할 수 있고, 도 2에 도시된 바와 같이 공격 유형(Attack Type), 서명 그룹(Signature Group), 심각도(Severity), 탐지된 시각(Time detected), 소스 IP 주소(Source IP), 공격자 포트(Attacker port), 목적지 IP 주소(Destination IP), 목적지 포트(Destination Port)와 같은 정보들을 포함할 수 있다.
도 3은 본 발명의 일실시예에 있어서, IDS 관리 콘솔에서 탐지된 이벤트에 대한 세부 정보의 예를 나타낸 도면이고, 도 4는 본 발명의 일실시예에 있어서, IDS 관리 콘솔에서 탐지된 이벤트에 대한 실제 네트워크 패킷 정보의 예를 나타낸 도면이다. 도 3은 하나의 이벤트가 이벤트 이름, 소스 IP 주소, 소스 포트, 목적지 IP 주소, 목적지 포트, 탐지된 시각 등을 이용하여 식별될 수 있음을 간접적으로 보여준다. 또한, 도 4는 하나의 이벤트에 대해 실제 네트워크 패킷 정보가 관리됨을 보여주고 있다.
또한, IDS와 같은 보안 장비에서 탐지된 이벤트는 보안 및 정보 이벤트 관리 서버(120)로 전송될 수 있고, 보안 및 정보 이벤트 관리 서버(120)에서는 수신되는 이벤트에 대해 상관룰에 따른 조건을 체크하여 경고(Alert)를 발생할지 여부를 판단할 수 있고, 추가 분석이 필요한 이벤트에 대해서는 경고를 발생할 수 있다.
도 5는 본 발명의 일실시예에 있어서, 보안 및 정보 이벤트 관리 서버에서 발생되는 경고의 예를 도시한 도면이다. 도 5는 경고가 발생한 이벤트에 대한 정보와 관련 데이터의 예를 나타내고 있다. 이러한 정보들은 보안 및 정보 이벤트 관리 서버(120)에서 보안관제 업무 관리 서버(130)으로 발송되어 보안관제 업무 관리 서버(130)에 등록될 수 있다.
도 6은 본 발명의 일실시예에 있어서, 등록된 이벤트의 대기목록의 예를 도시한 도면이다. 도 6은 보안관제 업무 관리 서버(130)이 관제 인력에게 제공하는 사용자 인터페이스 화면 중 일부의 화면(600)으로서, 보안관제 업무 관리 서버(130)에 등록되어 유효성 검증을 위해 대기 중인 이벤트들의 리스를 나타내고 있다. 이때, 관제 인력은 화면(600)에 나타난 이벤트들을 선택하여 각 이벤트들의 상세 정보를 확인할 수 있고, 선택된 이벤트들의 유효성을 검증할 수 있다. 예를 들어, 도 6의 '정탐' 버튼(610)은 선택된 이벤트가 유효성이 있는 탐지임을, '오탐' 버튼(620)은 선택된 이벤트가 유효성이 없는 탐지임을 각각 지정하기 위해 이용될 수 있다.
이처럼, 보안관제 업무 관리 서버(130)에 등록되는 이벤트들에 대해서는 관제 인력이 매번 수동으로 유효성을 검증할 필요가 있다. 본 발명의 실시예들에서는 이미 설명한 바와 같이 이벤트 분석 서버(140)와 로그 확인 서버(150)를 통해 영향력이 없는 이벤트에 대한 예외처리를 보안 및 정보 이벤트 관리 서버(120)에 등록하여 보안 및 정보 이벤트 관리 서버(120)가 영향력 없는 이벤트를 필터링하여 보안관제 업무 관리 서버(130)에 등록하지 않음으로써 관제 인력이 수동으로 유효성을 검증해야 할 이벤트의 수를 줄일 수 있다.
도 7은 본 발명의 일실시예에 있어서, 탐지된 이벤트의 영향력을 확인하는 예를 도시한 도면이다.
제1 점선박스(710)는 도 1에 도시된 ⑤의 과정을 통해 로그 확인 서버(150)가 수신된 이벤트를 생성한 보안 장비의 데이터베이스(160)로부터 수집한 로 데이터의 예를 나타내고 있다.
또한, 제2 점선박스(720)는 도 1에 도시된 ⑥의 과정을 통해 로그 확인 서버(150)가 로 데이터를 파싱하여 추출한 URL(Uniform Resource Locator)의 예를 나타내고 있다.
또한, 제3 점선박스(730)는 도 1에 도시된 ⑦의 과정을 통해 로그 확인 서버(150)가 추출한 URL을 통해 접근함에 따라 해당 서버로부터 수신한 응답 결과(URL에 대응하는 페이지의 소스 코드)의 예를 나타내고 있다.
이미 설명한 바와 같이 로그 확인 서버(150)는 수신한 응답 결과를 이벤트 분석 서버(140)로 전송할 수 있고, 이벤트 분석 서버(140)는 응답 결과에서 404 응답 코드를 확인함에 따라 해당 이벤트가 영향력이 없음을 확인할 수 있다.
제4 점선박스(740)는 해당 공격에 대한 식별자(USD_316_Eval_One_Line_PHP_WebShell_090803)와 대상 IP 주소(125.6.190.6), 그리고 대상 포트 넘버(80)를 나타내고 있다. 보안 및 정보 이벤트 관리 서버(120)는 이러한 공격, 대상 IP 주소 및 대상 포트 넘버를 예외처리함으로써 이후에는 해당 공격이나 대상에 대해 이벤트가 발생하지 않도록 조치할 수 있다.
도 7은 영향력이 없는 이벤트에 대한 예외처리의 실시예를 설명하였으나, 실시예에 따라 영향력이 높은 이벤트에 대해서는 이벤트의 등록뿐만 아니라, 보안 및 정보 이벤트 관리 서버(120)에서 보안관제 업무 관리 서버(130)으로 별도의 경고(Alert) 메시지를 발송함으로써, 관제 인력이 영향력이 높은 이벤트를 놓치지 않도록 할 수 있다.
도 8은 본 발명의 일실시예에 있어서, 유효성 검증 서버의 내부 구성을 설명하기 위한 블록도이다. 본 실시예에서는 보안관제 업무 관리 서버(130), 이벤트 분석 서버(140) 및 로그 확인 서버(150)가 하나의 장치인 유효성 검증 서버(800)로서 구현되는 예를 설명한다. 유효성 검증 서버(800)는 도 8에 도시된 바와 같이 메모리(810), 프로세서(820), 통신 모듈(830) 그리고 입출력 인터페이스(840)를 포함할 수 있다. 메모리(810)는 컴퓨터에서 판독 가능한 기록매체로서, RAM(random access memory), ROM(read only memory) 및 디스크 드라이브와 같은 비소멸성 대용량 기록장치(permanent mass storage device)를 포함할 수 있다. 여기서 ROM과 비소멸성 대용량 기록장치는 메모리(810)와 분리되어 별도의 영구 저장 장치로서 포함될 수도 있다. 또한, 메모리(810)에는 운영체제와 적어도 하나의 프로그램 코드가 저장될 수 있다. 이러한 소프트웨어 구성요소들은 메모리(810)와는 별도의 컴퓨터에서 판독 가능한 기록매체로부터 로딩될 수 있다. 이러한 별도의 컴퓨터에서 판독 가능한 기록매체는 플로피 드라이브, 디스크, 테이프, DVD/CD-ROM 드라이브, 메모리 카드 등의 컴퓨터에서 판독 가능한 기록매체를 포함할 수 있다. 다른 실시예에서 소프트웨어 구성요소들은 컴퓨터에서 판독 가능한 기록매체가 아닌 통신 모듈(830)을 통해 메모리(810)에 로딩될 수도 있다.
프로세서(820)는 기본적인 산술, 로직 및 입출력 연산을 수행함으로써, 컴퓨터 프로그램의 명령을 처리하도록 구성될 수 있다. 명령은 메모리(810) 또는 통신 모듈(830)에 의해 프로세서(820)로 제공될 수 있다. 예를 들어 프로세서(820)는 메모리(810)에 로딩된 프로그램 코드에 따라 수신되는 명령을 실행하도록 구성될 수 있다.
통신 모듈(830)은 실제 컴퓨터 네트워크를 통해 다른 물리적인 기기들과 서로 통신하기 위한 기능을 제공할 수 있다. 일례로, 통신 모듈(830)은 보안 및 정보 이벤트 관리 서버(120)나 보안 장비들과의 네트워크를 통해 데이터를 송수신 하기 위한 기능을 제공할 수 있다.
입출력 인터페이스(840)는 입출력 장치(850)와의 인터페이스를 위한 수단일 수 있다. 예를 들어, 입출력 장치(850)에서 입력 장치는 키보드 또는 마우스 등의 장치를, 그리고 출력 장치는 디스플레이나 스피커와 같은 장치를 포함할 수 있다. 도 8에서 입출력 장치(850)는 유효성 검증 서버(800)와 별도의 장치로 표현되었으나, 실시예에 따라 입출력 장치(850)가 유효성 검증 서버(800)에 포함되도록 유효성 검증 서버(800)가 구현될 수도 있다.
또한, 다른 실시예들에서 유효성 검증 서버(800)는 도 8의 구성요소들보다 더 많은 구성요소들을 포함할 수도 있다. 그러나, 대부분의 종래기술적 구성요소들을 명확하게 도시할 필요성은 없다. 예를 들어, 유효성 검증 서버(800)는 각종 물리적인 버튼이나 터치패널, 또는 광출력 장치 등의 다양한 구성요소들을 더 포함하도록 구현될 수도 있다.
도 9는 본 발명의 일실시예에 있어서, 유효성 검증 서버의 프로세서가 포함할 수 있는 구성요소의 예를 도시한 블록도이고, 도 10은 본 발명의 일실시예에 따른 유효성 검증 서버가 수행할 수 있는 유효성 검증 방법의 예를 도시한 흐름도이다. 또한, 도 11 및 도 12는 본 발명의 일실시예에 따른 유효성 검증 방법이 더 포함할 수 있는 단계들의 예를 도시한 도면이다.
도 9는 앞서 설명한 유효성 검증 서버(800)의 프로세서(820)가 포함할 수 있는 구성요소들로서 이벤트 등록부(910), 로 데이터 수집부(920), 위치 정보 획득부(930), 유효성 결정부(940) 및 예외처리 메시지 전송부(950)를 나타내고 있다. 또한, 프로세서(820)는 도 9에 도시된 바와 같이 실시예에 따라, 유효성 메시지 전송부(960), 경고 메시지 수신부(970) 및 사용자 인터페이스 제공부(980) 중 적어도 하나를 더 포함할 수 있다. 이러한 프로세서(820) 및 프로세서(820)의 구성요소들은 도 10의 유효성 검증 방법이 포함하는 단계들(1010 내지 1060), 그리고 도 11 및 도 12에 도시된 단계들(1110, 1120 및 1210)을 수행할 수 있다. 이때, 프로세서(820) 및 프로세서(820)의 구성요소들은 메모리(810)가 포함하는 운영체제의 코드 및/또는 적어도 하나의 컴퓨터 프로그램의 코드에 따른 명령(instruction)을 실행하도록 구현될 수 있다. 여기서, 프로세서(820)의 구성요소들은 유효성 검증 서버(800)에 저장된 컴퓨터 프로그램의 코드가 제공하는 제어 명령에 따라 프로세서(820)에 의해 수행되는 프로세서(820)의 서로 다른 기능들(different functions)의 표현들일 수 있다. 예를 들어, 프로세서(820)는 유효성 검증 서버(800)의 제어와 관련된 명령이 로딩된 메모리(810)로부터 필요한 제어 명령을 읽어드릴 수 있으며, 읽어들인 제어 명령에 따라 이후 설명될 단계들(1010 내지 1060, 1110, 1120 및 1210)을 수행하도록 유효성 검증 서버(800)를 제어할 수 있다.
단계(1010)에서 이벤트 등록부(910)는 보안 및 정보 이벤트 관리(Security Information & Event Management, SIEM) 서버에서 이기종의 보안 장비들에서 탐지된 이벤트들을 수신하고 수신된 이벤트들을 연관분석하여 수신된 이벤트들 중 기설정된 상관룰에 해당하는 이벤트를 분석이 요구되는 이벤트로 결정함에 따라, 보안 및 정보 이벤트 관리 서버로부터 분석이 요구되는 이벤트를 수신하여 등록하도록 유효성 검증 서버(800)를 제어할 수 있다. 여기서, 보안 및 정보 이벤트 관리 서버는 도 1을 통해 설명한 보안 및 정보 이벤트 관리 서버(120)에 대응할 수 있다. 다시 말해, 보안 및 정보 이벤트 관리 서버는 도 1의 점선박스(110)에 나타난 바와 같은 이기종의 보안 장비들에서 탐지되는 이벤트들을 수신할 수 있으며, 수신된 이벤트들을 연관분석하여 이러한 이벤트들 중 기설정된 상관룰에 맞는 이벤트를 유효성 검증 서버(800)로 전송하여 등록되도록 할 수 있다. 이때, 이벤트 등록부(910)는 보안 및 정보 이벤트 관리 서버로부터 수신되는 이벤트를 등록하도록 유효성 검증 서버(800)를 제어할 수 있다.
상술한 단계(1010) 이후에는 도 12에 도시된 단계(1210)이 수행될 수 있다.
단계(1210)에서 사용자 인터페이스 제공부(980)는 등록된 이벤트에 대한 유효성 여부를 지정할 수 있는 사용자 인터페이스를 제공할 수 있다. 예를 들어, 앞서 설명한 도 6에서와 같이 유효성 검증 서버(800)를 통해 등록된 이벤트의 대기목록과 이러한 대기목록상의 이벤트에 대한 유효성 여부를 지정할 수 있는 사용자 인터페이스가 관제 인력들에게 제공될 수 있다. 이러한 사용자 인터페이스는 유효성 검증 서버(800)와 직접 연결된 디스플레이 또는 유효성 검증 서버(800)와 통신하는 관제 인력들의 단말기들의 디스플레이를 통해 관제 인력들에게 표시될 수 있다.
단계(1020)에서 로 데이터 수집부(920)는 등록된 이벤트의 로 데이터를 이기종의 보안 장비들 중 등록된 이벤트에 대응하는 보안 장비로부터 수집하도록 유효성 검증 서버(800)를 제어할 수 있다. 예를 들어, 상기 등록된 이벤트가 도 1에서 제1 점선박스(110)에 나타난 IDS/IPS 보안 장비에서 생성된 이벤트인 경우, 유효성 검증 서버(800)는 로 데이터 수집부(920)의 제어에 따라 IDS/IPS 보안 장비에 접근하여 IDS/IPS 보안 장비가 포함하는 데이터베이스로부터 등록된 이벤트의 로 데이터를 수집할 수 있다. 로 데이터의 예는 도 7을 통해 설명한 바 있다.
단계(1030)에서 위치 정보 획득부(930)는 수집된 로 데이터를 분석하여 등록된 이벤트에 따른 공격이 목적하는 네트워크상의 위치 정보를 획득할 수 있다. 이러한 네트워크상의 위치 정보는 URL을 포함하는 URI일 수 있다. 앞서 실시예들은 네트워크상의 특정 페이지로 한정하여 설명하였으나, 네트워크상의 공격이 페이지로 한정되지는 않는다. 다시 말해, 본 실시예에서 네트워크상의 위치 정보는 공격자의 패킷이 목적하는 네트워크상의 자원에 대한 위치 정보를 의미할 수 있다.
단계(1040)에서 유효성 결정부(940)는 획득한 위치 정보에 기반하여 분석이 요구되는 이벤트의 유효성 여부를 결정할 수 있다. 예를 들어, 유효성 결정부(940)는 획득한 위치 정보에 기반하여 상기 공격과 동일한 공격을 실시하고, 획득한 위치 정보에 대응하는 시스템으로부터의 응답 결과를 확인 및 분석하여 분석이 요구되는 이벤트의 유효성 여부를 결정할 수 있다. 보다 구체적인 예로, 획득한 위치 정보는 네트워크상의 페이지에 대한 URI를 포함할 수 있다. 이 경우, 유효성 결정부(940)는 상기 URI를 통해 페이지에 접속을 시도하여 페이지의 상태에 대한 응답 코드를 수신하고, 수신된 응답 코드를 분석하여 분석이 요구되는 이벤트의 유효성 여부를 결정할 수 있다. 이미 HTTP 404 코드와 같이 찾을 수 없는 페이지에 대한 공격은 영향력이 없기 때문에 이벤트의 유효성이 없음을 설명한 바 있다.
단계(1050)은 유효성 여부에 따라 유효성이 존재하는 경우 단계(1060)이 수행되고, 유효성이 존재하지 않는 경우 도 11의 단계(1110)이 수행될 수 있음을 나타내고 있다.
단계(1060)에서 예외처리 메시지 전송부(950)는 분석이 요구되는 이벤트의 유효성이 없는 것으로 판단되는 경우, 분석이 요구되는 이벤트의 예외처리 메시지를 생성하여 보안 및 정보 이벤트 관리 서버로 전송하도록 유효성 검증 서버(800)를 제어할 수 있다. 이 경우, 보안 및 정보 이벤트 관리 서버는 예외처리 메시지에 대응하는 이벤트가 이기종의 보안 장비들에서 재탐색되어 수신되는 경우, 재탐색되어 수신된 이벤트를 예외처리하도록 기설정된 상관룰을 갱신할 수 있다. 즉, 예외처리 메시지에 대응하는 이벤트는 보안 및 정보 이벤트 관리 서버에서 필터링되어 유효성 검증 서버(800)에 등록되지 않게 되며, 따라서 관제 인력들이 유효성을 검증해야 할 이벤트들의 수가 줄어들게 된다.
단계(1110)에서 유효성 메시지 전송부(960)는 분석이 요구되는 이벤트의 유효성이 있는 것으로 판단되는 경우, 분석이 요구되는 이벤트에 대한 유효성 메시지를 보안 및 정보 이벤트 관리 서버로 전송하도록 유효성 검증 서버(800)를 제어할 수 있다. 예를 들어, 특정 이벤트에 대해 리스크가 높다고 결정되면, 유효성 검증 서버(800)는 보안 및 정보 이벤트 관리 서버로 해당 이벤트에 대한 유효성 메시지를 전송할 수 있다.
단계(1120)에서 경고 메시지 수신부(970)는 보안 및 정보 이벤트 관리 서버에서 유효성 메시지에 대응하는 이벤트가 이기종의 보안 장비들에서 재탐색되어 수신되는 경우, 보안 및 정보 이벤트 관리 서버가 재탐색되어 수신된 이벤트에 대해 생성하는 경고 메시지를 보안 및 정보 이벤트 관리 서버로부터 수신하도록 유효성 검증 서버(800)를 제어할 수 있다. 다시 말해, 보안 및 정보 이벤트 관리 서버는 유효성 메시지에 대응하는 이벤트가 이기종의 보안 장비들에서 재탐색되어 수신되는 경우, 단계(1010)에서 설명한 바와 같이 해당 이벤트를 유효성 검증 서버(800)에 등록할 뿐만 아니라, 별도의 경고 메시지를 유효성 검증 서버(800)로 더 전송할 수 있다. 이 경우, 유효성 검증 서버(800)는 경고 메시지에 따른 이벤트와 관련하여 추가적인 정보나 경고를 관제 인력들에게 제공함으로써, 관제 인력들이 해당 이벤트에 대한 분석을 놓치지 않도록 할 수 있다.
이상에서와 같이, 본 발명의 실시예들에 따르면, 보안 동작과 관련하여 탐지되는 이벤트들의 영향력에 따라 유효성 검증의 필요성이 낮은 탐지 결과들에 대한 유효성 확인을 자동화함으로써, 불필요한 자원 낭비를 막을 수 있고 네트워크를 통한 공격에 대한 대응의 효율성을 높일 수 있다.
이상에서 설명된 시스템 또는 장치는 하드웨어 구성요소, 소프트웨어 구성요소 또는 하드웨어 구성요소 및 소프트웨어 구성요소의 조합으로 구현될 수 있다. 예를 들어, 실시예들에서 설명된 장치 및 구성요소는, 예를 들어, 프로세서, 콘트롤러, ALU(arithmetic logic unit), 디지털 신호 프로세서(digital signal processor), 마이크로컴퓨터, FPGA(field programmable gate array), PLU(programmable logic unit), 마이크로프로세서, 또는 명령(instruction)을 실행하고 응답할 수 있는 다른 어떠한 장치와 같이, 하나 이상의 범용 컴퓨터 또는 특수 목적 컴퓨터를 이용하여 구현될 수 있다. 처리 장치는 운영 체제(OS) 및 상기 운영 체제 상에서 수행되는 하나 이상의 소프트웨어 어플리케이션을 수행할 수 있다. 또한, 처리 장치는 소프트웨어의 실행에 응답하여, 데이터를 접근, 저장, 조작, 처리 및 생성할 수도 있다. 이해의 편의를 위하여, 처리 장치는 하나가 사용되는 것으로 설명된 경우도 있지만, 해당 기술분야에서 통상의 지식을 가진 자는, 처리 장치가 복수 개의 처리 요소(processing element) 및/또는 복수 유형의 처리 요소를 포함할 수 있음을 알 수 있다. 예를 들어, 처리 장치는 복수 개의 프로세서 또는 하나의 프로세서 및 하나의 콘트롤러를 포함할 수 있다. 또한, 병렬 프로세서(parallel processor)와 같은, 다른 처리 구성(processing configuration)도 가능하다.
소프트웨어는 컴퓨터 프로그램(computer program), 코드(code), 명령(instruction), 또는 이들 중 하나 이상의 조합을 포함할 수 있으며, 원하는 대로 동작하도록 처리 장치를 구성하거나 독립적으로 또는 결합적으로(collectively) 처리 장치를 명령할 수 있다. 소프트웨어 및/또는 데이터는, 처리 장치에 의하여 해석되거나 처리 장치에 명령 또는 데이터를 제공하기 위하여, 어떤 유형의 기계, 구성요소(component), 물리적 장치, 가상 장치(virtual equipment), 컴퓨터 저장 매체 또는 장치에 영구적으로, 또는 일시적으로 구체화(embody)될 수 있다. 소프트웨어는 네트워크로 연결된 컴퓨터 시스템 상에 분산되어서, 분산된 방법으로 저장되거나 실행될 수도 있다. 소프트웨어 및 데이터는 하나 이상의 컴퓨터 판독 가능 기록 매체에 저장될 수 있다.
실시예에 따른 방법은 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 상기 매체에 기록되는 프로그램 명령은 실시예를 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다. 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다.
이상과 같이 실시예들이 비록 한정된 실시예와 도면에 의해 설명되었으나, 해당 기술분야에서 통상의 지식을 가진 자라면 상기의 기재로부터 다양한 수정 및 변형이 가능하다. 예를 들어, 설명된 기술들이 설명된 방법과 다른 순서로 수행되거나, 및/또는 설명된 시스템, 구조, 장치, 회로 등의 구성요소들이 설명된 방법과 다른 형태로 결합 또는 조합되거나, 다른 구성요소 또는 균등물에 의하여 대치되거나 치환되더라도 적절한 결과가 달성될 수 있다.
그러므로, 다른 구현들, 다른 실시예들 및 특허청구범위와 균등한 것들도 후술하는 특허청구범위의 범위에 속한다.

Claims (13)

  1. 보안 및 정보 이벤트 관리(Security Information & Event Management, SIEM) 서버에서 이기종의 보안 장비들에서 탐지된 이벤트들을 수신하고 상기 수신된 이벤트들을 연관분석하여 상기 수신된 이벤트들 중 기설정된 상관룰에 해당하는 이벤트를 분석이 요구되는 이벤트로 결정함에 따라, 상기 보안 및 정보 이벤트 관리 서버로부터 상기 분석이 요구되는 이벤트를 수신하여 등록하는 단계;
    상기 등록된 이벤트의 로 데이터를 상기 이기종의 보안 장비들 중 상기 등록된 이벤트에 대응하는 보안 장비로부터 수집하는 단계;
    상기 수집된 로 데이터를 분석하여 상기 등록된 이벤트에 따른 공격이 목적하는 네트워크상의 위치 정보를 획득하는 단계;
    상기 획득한 위치 정보에 기반하여 상기 분석이 요구되는 이벤트의 유효성 여부를 결정하는 단계; 및
    상기 분석이 요구되는 이벤트의 유효성이 없는 것으로 판단되는 경우, 상기 분석이 요구되는 이벤트의 예외처리 메시지를 생성하여 상기 보안 및 정보 이벤트 관리 서버로 전송하는 단계
    를 포함하는 것을 특징으로 하는 유효성 검증 방법.
  2. 제1항에 있어서,
    상기 보안 및 정보 이벤트 관리 서버는 상기 예외처리 메시지에 대응하는 이벤트가 상기 이기종의 보안 장비들에서 재탐색되어 수신되는 경우, 재탐색되어 수신된 이벤트를 예외처리하도록 상기 기설정된 상관룰을 갱신하는 것을 특징으로 하는 유효성 검증 방법.
  3. 제1항에 있어서,
    상기 분석이 요구되는 이벤트의 유효성이 있는 것으로 판단되는 경우, 상기 분석이 요구되는 이벤트에 대한 유효성 메시지를 상기 보안 및 정보 이벤트 관리 서버로 전송하는 단계; 및
    상기 보안 및 정보 이벤트 관리 서버에서 상기 유효성 메시지에 대응하는 이벤트가 상기 이기종의 보안 장비들에서 재탐색되어 수신되는 경우, 상기 보안 및 정보 이벤트 관리 서버가 상기 재탐색되어 수신된 이벤트에 대해 생성하는 경고 메시지를 상기 보안 및 정보 이벤트 관리 서버로부터 수신하는 단계
    를 더 포함하는 것을 특징으로 하는 유효성 검증 방법.
  4. 제1항에 있어서,
    상기 분석이 요구되는 이벤트의 유효성 여부를 결정하는 단계는,
    상기 획득한 위치 정보에 기반하여 상기 공격과 동일한 공격을 실시하고, 상기 획득한 위치 정보에 대응하는 시스템으로부터의 응답 결과를 확인 및 분석하여 상기 분석이 요구되는 이벤트의 유효성 여부를 결정하는 것을 특징으로 하는 유효성 검증 방법.
  5. 제1항에 있어서,
    상기 획득한 위치 정보는 네트워크상의 페이지에 대한 URI(Uniform Resource Identifier)를 포함하고,
    상기 분석이 요구되는 이벤트의 유효성 여부를 결정하는 단계는,
    상기 URI를 통해 상기 페이지에 접속을 시도하여 상기 페이지의 상태에 대한 응답 코드를 수신하고, 상기 수신된 응답 코드를 분석하여 상기 분석이 요구되는 이벤트의 유효성 여부를 결정하는 것을 특징으로 하는 유효성 검증 방법.
  6. 제1항에 있어서,
    상기 등록된 이벤트에 대한 유효성 여부를 지정할 수 있는 사용자 인터페이스를 제공하는 단계
    를 더 포함하는 것을 특징으로 하는 유효성 검증 방법.
  7. 제1항 내지 제6항 중 어느 한 항의 방법을 컴퓨터에 실행시키기 위한 프로그램이 기록되어 있는 것을 특징으로 하는 컴퓨터에서 판독 가능한 기록매체.
  8. 유효성 검증 서버에 있어서,
    컴퓨터에서 판독 가능한 명령을 실행하도록 구현되는 적어도 하나의 프로세서
    를 포함하고,
    상기 적어도 하나의 프로세서는,
    보안 및 정보 이벤트 관리(Security Information & Event Management, SIEM) 서버에서 이기종의 보안 장비들에서 탐지된 이벤트들을 수신하고 상기 수신된 이벤트들을 연관분석하여 상기 수신된 이벤트들 중 기설정된 상관룰에 해당하는 이벤트를 분석이 요구되는 이벤트로 결정함에 따라, 상기 보안 및 정보 이벤트 관리 서버로부터 상기 분석이 요구되는 이벤트를 수신하여 등록하도록 상기 유효성 검증 서버를 제어하고,
    상기 등록된 이벤트의 로 데이터를 상기 이기종의 보안 장비들 중 상기 등록된 이벤트에 대응하는 보안 장비로부터 수집하도록 상기 유효성 검증 서버를 제어하고,
    상기 수집된 로 데이터를 분석하여 상기 등록된 이벤트에 따른 공격이 목적하는 네트워크상의 위치 정보를 획득하고,
    상기 획득한 위치 정보에 기반하여 상기 분석이 요구되는 이벤트의 유효성 여부를 결정하고,
    상기 분석이 요구되는 이벤트의 유효성이 없는 것으로 판단되는 경우, 상기 분석이 요구되는 이벤트의 예외처리 메시지를 생성하여 상기 보안 및 정보 이벤트 관리 서버로 전송하도록 상기 유효성 검증 서버를 제어하는 것
    을 특징으로 하는 유효성 검증 서버.
  9. 제8항에 있어서,
    상기 보안 및 정보 이벤트 관리 서버는 상기 예외처리 메시지에 대응하는 이벤트가 상기 이기종의 보안 장비들에서 재탐색되어 수신되는 경우, 재탐색되어 수신된 이벤트를 예외처리하도록 상기 기설정된 상관룰을 갱신하는 것을 특징으로 하는 유효성 검증 서버.
  10. 제8항에 있어서,
    상기 적어도 하나의 프로세서는,
    상기 분석이 요구되는 이벤트의 유효성이 있는 것으로 판단되는 경우, 상기 분석이 요구되는 이벤트에 대한 유효성 메시지를 상기 보안 및 정보 이벤트 관리 서버로 전송하도록 상기 유효성 검증 서버를 제어하고,
    상기 보안 및 정보 이벤트 관리 서버에서 상기 유효성 메시지에 대응하는 이벤트가 상기 이기종의 보안 장비들에서 재탐색되어 수신되는 경우, 상기 보안 및 정보 이벤트 관리 서버가 상기 재탐색되어 수신된 이벤트에 대해 생성하는 경고 메시지를 상기 보안 및 정보 이벤트 관리 서버로부터 수신하도록 상기 유효성 검증 서버를 제어하는 것
    을 특징으로 하는 유효성 검증 서버.
  11. 제8항에 있어서,
    상기 적어도 하나의 프로세서는,
    상기 분석이 요구되는 이벤트의 유효성 여부를 결정하기 위해, 상기 획득한 위치 정보에 기반하여 상기 공격과 동일한 공격을 실시하고, 상기 획득한 위치 정보에 대응하는 시스템으로부터의 응답 결과를 확인 및 분석하여 상기 분석이 요구되는 이벤트의 유효성 여부를 결정하는 것을 특징으로 하는 유효성 검증 서버.
  12. 제8항에 있어서,
    상기 획득한 위치 정보는 네트워크상의 페이지에 대한 URI를 포함하고,
    상기 적어도 하나의 프로세서는,
    상기 분석이 요구되는 이벤트의 유효성 여부를 결정하기 위해, 상기 URI를 통해 상기 페이지에 접속을 시도하여 상기 페이지의 상태에 대한 응답 코드를 수신하고, 상기 수신된 응답 코드를 분석하여 상기 분석이 요구되는 이벤트의 유효성 여부를 결정하는 것을 특징으로 하는 유효성 검증 서버.
  13. 제8항에 있어서,
    상기 적어도 하나의 프로세서는,
    상기 등록된 이벤트에 대한 유효성 여부를 지정할 수 있는 사용자 인터페이스를 제공하는 것
    을 특징으로 하는 유효성 검증 서버.
PCT/KR2016/013526 2016-11-23 2016-11-23 탐지 결과의 유효성을 검증하는 방법 및 시스템 Ceased WO2018097344A1 (ko)

Priority Applications (3)

Application Number Priority Date Filing Date Title
PCT/KR2016/013526 WO2018097344A1 (ko) 2016-11-23 2016-11-23 탐지 결과의 유효성을 검증하는 방법 및 시스템
JP2019525866A JP6932779B2 (ja) 2016-11-23 2016-11-23 検知結果が有効であるかないかを検証する方法およびシステム
US16/403,994 US11956264B2 (en) 2016-11-23 2019-05-06 Method and system for verifying validity of detection result

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/KR2016/013526 WO2018097344A1 (ko) 2016-11-23 2016-11-23 탐지 결과의 유효성을 검증하는 방법 및 시스템

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US16/403,994 Continuation US11956264B2 (en) 2016-11-23 2019-05-06 Method and system for verifying validity of detection result

Publications (1)

Publication Number Publication Date
WO2018097344A1 true WO2018097344A1 (ko) 2018-05-31

Family

ID=62195863

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2016/013526 Ceased WO2018097344A1 (ko) 2016-11-23 2016-11-23 탐지 결과의 유효성을 검증하는 방법 및 시스템

Country Status (3)

Country Link
US (1) US11956264B2 (ko)
JP (1) JP6932779B2 (ko)
WO (1) WO2018097344A1 (ko)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109240922A (zh) * 2018-08-30 2019-01-18 北京大学 基于RASP提取webshell软件基因进行webshell检测的方法
CN116389066A (zh) * 2023-03-01 2023-07-04 奇安信网神信息技术(北京)股份有限公司 一种检测安全规则有效性的方法及装置

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10904288B2 (en) * 2017-04-18 2021-01-26 Perspecta Labs Inc. Identifying and deceiving adversary nodes and maneuvers for attack deception and mitigation
EP3451626B1 (en) * 2017-08-31 2021-11-17 FIMER S.p.A. Method and system for data stream processing
US10819652B2 (en) * 2018-07-02 2020-10-27 Amazon Technologies, Inc. Access management tags
US11388192B2 (en) 2018-07-09 2022-07-12 Blackberry Limited Managing third party URL distribution
KR102361766B1 (ko) * 2021-10-08 2022-02-14 주식회사 이글루시큐리티 자산 서버 정보를 수집함으로써 siem의 경보 규칙을 최적화하는 방법 및 이를 지원하는 장치
JPWO2023112382A1 (ko) * 2021-12-15 2023-06-22
CN114567480B (zh) * 2022-02-28 2024-03-12 天翼安全科技有限公司 有效攻击告警识别的方法、装置、安全网络及存储介质
US12095808B1 (en) * 2024-03-13 2024-09-17 Wiz, Inc. System and method for near-real time cloud security posture management

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20010079361A (ko) * 2001-07-09 2001-08-22 김상욱 네트워크 상태 기반의 방화벽 장치 및 그 방법
KR20040042397A (ko) * 2002-11-14 2004-05-20 한국전자통신연구원 분산 서비스 거부 공격 대응 시스템 및 방법
KR20110006175A (ko) * 2009-07-13 2011-01-20 국방과학연구소 우선순위 기반의 침해감내 프록시 시스템 및 방법
KR20110022141A (ko) * 2009-08-27 2011-03-07 한국전자통신연구원 응용계층 분산 서비스 거부 공격 탐지 및 차단 장치 및 그 방법
US20130160122A1 (en) * 2011-12-15 2013-06-20 Electronics And Telecommunications Research Institute Two-stage intrusion detection system for high-speed packet processing using network processor and method thereof

Family Cites Families (48)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3351318B2 (ja) * 1997-11-07 2002-11-25 株式会社日立製作所 計算機システムの監視方法
US20010056362A1 (en) * 1998-07-29 2001-12-27 Mike Hanagan Modular, convergent customer care and billing system
US6473772B1 (en) * 1998-12-17 2002-10-29 International Business Machines Corporation Apparatus and methods for dynamic simulation event triggering
US6856950B1 (en) * 1999-10-15 2005-02-15 Silicon Graphics, Inc. Abstract verification environment
US8087054B2 (en) * 2002-09-30 2011-12-27 Eastman Kodak Company Automated event content processing method and system
US7469287B1 (en) * 2003-11-17 2008-12-23 Lockheed Martin Corporation Apparatus and method for monitoring objects in a network and automatically validating events relating to the objects
US9584522B2 (en) * 2004-02-26 2017-02-28 Vmware, Inc. Monitoring network traffic by using event log information
US7783544B2 (en) * 2004-12-21 2010-08-24 Weather Risk Solutions, Llc Financial activity concerning tropical weather events
ATE479240T1 (de) * 2005-12-15 2010-09-15 British Telecomm Anruf-zugangskontrolle in einem ad-hoc-netz
US7956735B2 (en) * 2006-05-15 2011-06-07 Cernium Corporation Automated, remotely-verified alarm system with intrusion and video surveillance and digital video recording
US7937334B2 (en) * 2006-05-31 2011-05-03 Lockheed Martin Corporation System and method for defining normal operating regions and identifying anomalous behavior of units within a fleet, operating in a complex, dynamic environment
JP2008083751A (ja) * 2006-09-25 2008-04-10 Hitachi Information Systems Ltd 不正アクセス対応ネットワークシステム
US8276115B2 (en) * 2007-02-06 2012-09-25 Progress Software Corporation Automated construction and deployment of complex event processing applications and business activity monitoring dashboards
US7974888B2 (en) * 2007-03-30 2011-07-05 Amazon Technologies, Inc. Services for providing item association data
KR100956498B1 (ko) 2008-01-09 2010-05-07 한양대학교 산학협력단 상호 협력적인 다중 서버를 통한 침입 탐지 시스템 및 방법그리고 침입 탐지 통제 시스템 및 방법
US8150674B2 (en) * 2009-06-02 2012-04-03 At&T Intellectual Property I, Lp Automated testing platform for event driven systems
US9866426B2 (en) * 2009-11-17 2018-01-09 Hawk Network Defense, Inc. Methods and apparatus for analyzing system events
DE112010002916T5 (de) * 2010-08-10 2012-07-05 International Business Machines Corp. Verfahren und System zum automatischen Testen einer Web-Anwendung
US8660979B2 (en) * 2011-03-03 2014-02-25 Hewlett-Packard Development Company, L.P. Event prediction
US8578493B1 (en) * 2011-05-10 2013-11-05 Narus, Inc. Botnet beacon detection
US9030522B2 (en) * 2011-06-24 2015-05-12 At&T Intellectual Property I, Lp Apparatus and method for providing media content
JP5655191B2 (ja) * 2011-06-28 2015-01-21 日本電信電話株式会社 特徴情報抽出装置、特徴情報抽出方法および特徴情報抽出プログラム
US9811667B2 (en) * 2011-09-21 2017-11-07 Mcafee, Inc. System and method for grouping computer vulnerabilities
US9384018B2 (en) * 2012-07-27 2016-07-05 Vmware, Inc. Virtual intelligent platform management interface for hardware components
US20140075018A1 (en) * 2012-09-11 2014-03-13 Umbel Corporation Systems and Methods of Audience Measurement
US10467327B1 (en) * 2013-03-15 2019-11-05 Matan Arazi Real-time event transcription system and method
US9413762B2 (en) * 2013-06-17 2016-08-09 Cable Television Laboratories, Inc. Asynchronous user permission model for applications
US9306962B1 (en) * 2013-07-25 2016-04-05 Niddel Corp Systems and methods for classifying malicious network events
US9892178B2 (en) * 2013-09-19 2018-02-13 Workday, Inc. Systems and methods for interest-driven business intelligence systems including event-oriented data
TWI525543B (zh) * 2013-11-20 2016-03-11 財團法人資訊工業策進會 混合式動態碼編譯裝置、方法及其服務系統
EP2908195B1 (de) * 2014-02-13 2017-07-05 Siemens Aktiengesellschaft Verfahren zur Überwachung der Sicherheit in einem Automatisierungsnetzwerk sowie Automatisierungsnetzwerk
US9749146B2 (en) * 2014-10-21 2017-08-29 Electronics And Telecommunications Research Institute Apparatus and methods for providing home network service
WO2016065307A1 (en) * 2014-10-23 2016-04-28 Insurance Services Office, Inc. Systems and methods for computerized fraud detection using machine learning and network analysis
US9576466B2 (en) * 2014-11-04 2017-02-21 Canary Connect, Inc. Backup contact for security/safety monitoring system
US20180032829A1 (en) * 2014-12-12 2018-02-01 Snu R&Db Foundation System for collecting event data, method for collecting event data, service server for collecting event data, and camera
US9819722B2 (en) * 2014-12-23 2017-11-14 Dell Products, L.P. System and method for controlling an information handling system in response to environmental events
US9686296B1 (en) * 2015-01-06 2017-06-20 Blackpoint Holdings, Llc Systems and methods for providing network security monitoring
KR102059688B1 (ko) * 2015-01-13 2019-12-27 한국전자통신연구원 사이버 블랙박스 시스템 및 그 방법
CN104580230B (zh) * 2015-01-15 2017-12-08 广州品唯软件有限公司 网站攻击验证方法及装置
US10230742B2 (en) * 2015-01-30 2019-03-12 Anomali Incorporated Space and time efficient threat detection
US20160314224A1 (en) * 2015-04-24 2016-10-27 Northrop Grumman Systems Corporation Autonomous vehicle simulation system
US9786146B2 (en) * 2015-05-22 2017-10-10 3Si Security Systems, Inc. Asset tracking device configured to selectively retain information during loss of communication
US20170034108A1 (en) * 2015-07-30 2017-02-02 Facebook, Inc. Determining event recommendability in online social networks
AU2016331221B2 (en) * 2015-09-30 2020-02-27 Alarm.Com Incorporated Drone-augmented emergency response services
US20170178013A1 (en) * 2015-12-21 2017-06-22 International Business Machines Corporation Augmented reality recommendations in emergency situations
US20170238882A1 (en) * 2016-02-18 2017-08-24 Shanghai United Imaging Healthcare Co., Ltd. System and method for medical imaging
US10380100B2 (en) * 2016-04-27 2019-08-13 Western Digital Technologies, Inc. Generalized verification scheme for safe metadata modification
US11055300B2 (en) * 2016-09-26 2021-07-06 Splunk Inc. Real-time search techniques

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20010079361A (ko) * 2001-07-09 2001-08-22 김상욱 네트워크 상태 기반의 방화벽 장치 및 그 방법
KR20040042397A (ko) * 2002-11-14 2004-05-20 한국전자통신연구원 분산 서비스 거부 공격 대응 시스템 및 방법
KR20110006175A (ko) * 2009-07-13 2011-01-20 국방과학연구소 우선순위 기반의 침해감내 프록시 시스템 및 방법
KR20110022141A (ko) * 2009-08-27 2011-03-07 한국전자통신연구원 응용계층 분산 서비스 거부 공격 탐지 및 차단 장치 및 그 방법
US20130160122A1 (en) * 2011-12-15 2013-06-20 Electronics And Telecommunications Research Institute Two-stage intrusion detection system for high-speed packet processing using network processor and method thereof

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109240922A (zh) * 2018-08-30 2019-01-18 北京大学 基于RASP提取webshell软件基因进行webshell检测的方法
CN109240922B (zh) * 2018-08-30 2021-07-09 北京大学 基于RASP提取webshell软件基因进行webshell检测的方法
CN116389066A (zh) * 2023-03-01 2023-07-04 奇安信网神信息技术(北京)股份有限公司 一种检测安全规则有效性的方法及装置

Also Published As

Publication number Publication date
JP2019536158A (ja) 2019-12-12
US11956264B2 (en) 2024-04-09
JP6932779B2 (ja) 2021-09-08
US20190260797A1 (en) 2019-08-22

Similar Documents

Publication Publication Date Title
WO2018097344A1 (ko) 탐지 결과의 유효성을 검증하는 방법 및 시스템
EP3373179B1 (en) Information processing device, information processing method, and information processing program
EP2106085B1 (en) System and method for securing a network from zero-day vulnerability exploits
WO2021162473A1 (ko) 차량 내 네트워크에 대한 침입 탐지를 위한 시스템 및 방법
KR102293773B1 (ko) 인공지능을 사용한 네트워크 트래픽 분석 장치 및 방법
KR101768079B1 (ko) 침입탐지 오탐 개선을 위한 시스템 및 방법
KR102040371B1 (ko) 네트워크 공격 패턴 분석 및 방법
WO2017171188A1 (ko) 웹 애플리케이션 서버 또는 웹 서버로부터 수집된 트랜잭션 정보를 이용한 보안장치
WO2014148667A1 (ko) 클라우드 환경에서의 성능 테스트 비용 절감을 위한 테스트 시스템 및 테스트 방법
WO2022119286A1 (ko) 지능형 봇 탐지 방법 및 장치
CN102624721B (zh) 一种特征码验证平台装置及特征码验证方法
KR20140107914A (ko) 비행자료 보호 장치 및 비행자료 보호 방법
WO2018199366A1 (ko) 덱스 파일의 난독화 적용 여부의 탐지 및 보안성 평가를 위한 방법 및 시스템
JP2010250607A (ja) 不正アクセス解析システム、不正アクセス解析方法、および不正アクセス解析プログラム
WO2015190692A1 (ko) 에이전트 프로그램을 이용한 인터넷 접속 차단 방법
KR101767591B1 (ko) 침입탐지 오탐 개선을 위한 시스템 및 방법
WO2019066099A1 (ko) 통합된 분석 모델에 기초하여 이상 행동을 감지하는 시스템 및 그 방법
WO2018088680A1 (ko) 차단된 사이트로의 접속 요청을 처리하는 보안 시스템 및 방법
CN118901066A (zh) 用于保护联网基础设施的方法和网络部件
WO2015046951A1 (ko) Ip 주소를 이용한 네트워크 보안 방법 및 장치
CN119743285B (zh) 一种异常流量治理方法、装置、服务网格和计算设备
Kim et al. A Study on Log Collection to Analyze Causes of Malware Infection in IoT Devices in Smart city Environments.
WO2015167151A1 (ko) Ip 주소 및 url를 이용한 인터넷 접속 차단 방법
CN117014211B (zh) 一种基于大数据的电厂网络安全动态防御方法及系统
KR102925961B1 (ko) 무선통합 방식의 유선 부가서비스 제공 시스템의 동작방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16922481

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2019525866

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 16922481

Country of ref document: EP

Kind code of ref document: A1