KR101818508B1 - 기업내 보안망 제공시스템, 그 방법 및 컴퓨터 판독가능한 기록 매체 - Google Patents

Abstract

기업 내 보안망 제공시스템 및 그 방법이 개시된다. 상기 기업 내 보안망 제공시스템은 기업 내의 내부망에 연결된 제1단말기를 포함하는 복수의 단말기들에 보안망을 제공하며, 상기 제1단말기와 상기 내부 망에 존재하는 타장치 간의 통신을 위해 상기 제1단말기와 제1보안 채널을 형성하기 위한 게이트웨이 서버 및 상기 제1보안 채널의 설정을 위해 상기 게이트웨이 서버 및 상기 제1단말기를 제어하기 위한 매니저 서버를 포함한다.

Description

기업내 보안망 제공시스템, 그 방법 및 컴퓨터 판독가능한 기록 매체{System, method and computer readable recording medium for providing secure network in enterprise}

본 발명은 기업 내 보안망 제공시스템 및 그 방법에 관한 것으로, 보다 상세하게는 기업내의 내부망에서도 네트워크 장치들(예컨대, 사용자 단말기 또는 서버 등)간의 보안채널을 형성하여 보안망을 제공할 수 있도록 함으로써 안전한 기업 내부망을 구축할 수 있는 시스템 및 그 방법에 관한 것이다.

기업 내부의 통신망 즉, 내부망의 보안성을 유지하기 위한 다양한 시도가 있어왔다.

이러한 시도는 일반적으로 외부망에서 내부망으로의 침입을 방지하는 방향으로 주로 발전해왔다. 예컨대, 기업 외부의 단말기에서 내부망에 접속하기 위해서는 소정의 보안채널(예컨대, VPN(Virtual Private Network) 채널 등)을 통하여야 하는 방식 등이 그러하다.

도 1은 종래의 기업 내부망을 보호하기 위한 방식을 설명하기 위한 도면이다.

도 1을 참조하면, 종래의 방식은 기업의 외부에 존재하는 소정의 외부 단말기(20)가 기업의 내부망(40)에 접속하기 위해서는 상기 외부 단말기(20)와 상기 기업을 위한 게이트웨이(10) 간에 소정의 보안채널을 형성하여야 했다. 그리고 이러한 보안채널(예컨대, VPN 채널)은 미리 검증된 외부 단말기(20)에 설치된 VPN 클라이언트와 상기 게이트웨이(10) 간에 형성되었다. 따라서, 검증 또는 인증된 외부 단말기(20)만이 상기 게이트웨이(10)를 통해 상기 내부망(40)에 접근할 수 있었다.

하지만, 이러한 종래의 보안채널의 활용방식은 주로 외부망에서 내부망으로의 접근제어를 위해 사용되었을 뿐, 즉, 공개된 네트워크에서의 보안성 부여를 위해 주로 사용되어 왔을 뿐이다. 그리고 실제 내부망(40) 안에서의 통신은 크게 보안성에 신경을 쓰지 않고 있었다.

하지만, 최근의 내부망 자체에 대한 보안성 확보 필요가 급증하면서, 외부망과는 별도로 내부망을 위한 다양한 보안 솔루션들이 필요하게 되었다. 예컨대, 내부망에 존재하는 단말기들의 네트워크 접근 제어를 위한 NAC(Network Acess Control) 솔루션, 필요에 따라 외부망과 내부망을 분리하기 위한 망 분리 솔루션, 최근에 문제시되고 있는 불법 와이파이 단말기의 차단을 위한 WIPS(Wireless Intrusion Prevention System) 등 다양한 솔루션들이 모두 별도로 내부망의 안정성을 위해 설치되어야 하는 추세이다.

따라서, 내부망 자체만을 위해서도 이처럼 다양한 보안 솔루션들이 존재하는데, 이러한 솔루션들을 모두 채용하여 개별적으로 구축하는데에 상당한 비용이 소모되는 문제점이 있다.

또한, 개별적으로 다양한 솔루션들이 구축된다고 하더라도 각각의 솔루션들은 취약점이 존재한다. 예컨대, NAC의 경우 인증이 된 내부 호스트들에 대해서는 통제가 힘들다는 문제점이 있고, 망분리 솔루션의 경우 호스트 자체(또는 단말기 자체)의 이중화 또는 각 호스트마다 OS의 이중화를 해야하는 막대한 비용의 문제점이 있으며, WIPS의 경우에는 불법 AP(Access Point)의 탐지를 위해 계속 기업 내부에서 유통되는 무선신호를 모니터링하여야 하는 버든(burden)이 존재한다.

따라서, 내부망에 대한 보안성을 제공하면서도 개별적으로 구축되어야 하는 다양한 솔루션들을 통합하여 제공할 수 있으며, 내부망 및 외부망에 대해 동일한 방식의 접근제어를 수행할 수 있는 효과적인 기업 내부망을 위한 보안 솔루션이 절실히 요구된다.

등록특허공보 10-0446816 "네트워크 기반의 통합 보안 관리 서비스망"

따라서, 본 발명이 이루고자 하는 기술적인 과제는 기업 내부의 호스트들간의 통신을 게이트웨이를 매개로 하는 보안채널을 통해 수행할 수 있는 시스템 및 그 방법을 제공하는 것이다.

또한, 동적으로 호스트와 게이트웨이 사이의 보안채널을 설정함으로써 보안 채널의 형성에도 안정성을 제공할 수 있는 시스템 및 그 방법을 제공하는 것이다.

또한, 보안채널을 통해 보안성이 높은 보안 망(secure network)를 제공하면서도 호스트의 내부망에서의 접근권한의 제어 및/또는 애플리케이션별 접근제어가 가능할 수 있는 시스템 및 그 방법을 제공하는 것이다..

상기의 기술적 과제를 해결하기 위한 본 발명의 기술적 사상에 따른 기업 내 보안망 제공시스템은 기업 내의 내부망에 연결된 제1단말기를 포함하는 복수의 단말기들에 보안망을 제공하며, 상기 제1단말기와 상기 내부 망에 존재하는 타장치 간의 통신을 위해 상기 제1단말기와 제1보안 채널을 형성하기 위한 게이트웨이 서버 및 상기 제1보안 채널의 설정을 위해 상기 게이트웨이 서버 및 상기 제1단말기를 제어하기 위한 매니저 서버를 포함한다.

상기 매니저 서버는 상기 제1단말기의 사용자를 인증하기 위한 인증부 및 상기 제1단말기의 사용자가 인증된 경우 상기 제1보안 채널을 위한 채널 설정 정보를 생성하여 상기 제1단말기 및 상기 게이트웨이 서버로 전송하기 위한 보안채널 설정부를 포함할 수 있다.

*상기 보안채널 설정부는 상기 제1보안 채널의 통신상대, 암호화알고리즘, 또는 암호화 키 값 중 적어도 하나를 포함하는 상기 채널 설정정보를 동적으로 생성하여 상기 제1단말기 및 상기 게이트웨이 서버로 전송하는 것을 특징으로 할 수 있다.

상기 보안채널 설정부는 상기 게이트웨이 서버에 포함된 복수의 게이트웨이 장치들 각각의 보안 채널설정 로드(load)에 기초하여, 상기 복수의 게이트웨이 장치들 중 상기 제1단말기와 상기 제1보안 채널을 형성할 게이트웨이 장치를 선택하는 것을 특징으로 할 수 있다.

상기 매니저 서버는 상기 제1단말기를 통해 접근할 수 있는 상기 타장치에 대한 정보를 특정하기 위한 접근권한 정보를 설정하는 접근제어부를 더 포함하며, 상기 접근제어부는 상기 게이트웨이 서버로 상기 제1단말기에 상응하는 상기 접근권한 정보를 전송하여, 상기 게이트웨이 서버가 상기 제1단말기가 상기 접근권한정보에 상응하도록 상기 타장치로의 접근을 선택적으로 허용하도록 제어하는 것을 특징으로 할 수 있다.

상기 매니저 서버는 상기 제1단말기에 설치되는 애플리케이션 중 상기 보안망에 접속할 수 있는 허용 애플리케이션에 대한 정보를 특정하기 위한 애플리케이션 관리정보를 설정하는 애플리케이션 관리부를 더 포함하며, 상기 애플리케이션 관리부는 상기 애플리케이션 관리정보를 상기 제1단말기로 전송하여, 상기 제1단말기가 상기 허용 애플리케이션만 상기 보안망에 선택적으로 접근을 허용하도록 제어하는 것을 특징으로 할 수 있다.

상기 게이트웨이 서버는 상기 매니저 서버의 제어하에 상기 제1단말기와 보안 채널을 형성하기 위한 보안 채널 형성부를 포함하며, 상기 보안 채널 형성부는 외부망에 존재하는 소정의 외부장치와 외부 보안 채널을 더 형성하는 것을 특징으로 할 수 있다.

상기 게이트웨이 서버는 외부망과 상기 내부망 사이에 소정의 방화벽을 제공하기 위한 방화벽 제공부, 상기 외부망으로부터 상기 내부망으로의 침입을 탐지하기 위한 침입탐지부, 또는 상기 외부망 또는 상기 내부망으로의 접근 URL을 필터링하기 위한 URL 필터링부 중 적어도 하나를 더 포함할 수 있다.

상기 제1단말기는 상기 매니저 서버로부터 채널 설정정보를 수신하고, 수신된 상기 채널 설정정보에 기초하여 상기 게이트웨이 서버와 상기 제1보안 채널을 형성하기 위한 보안 채널 형성모듈을 포함하는 에이전트 시스템을 포함할 수 있다.

상기 에이전트 시스템은 상기 애플리케이션 관리부로부터 소정의 애플리케이션 관리정보를 수신하고, 수신된 애플리케이션 관리정보에 기초하여 특정되는 허용 애플리케이션만이 상기 보안 채널 형성모듈을 통해 상기 보안망에 접속하도록 제어하는 제어모듈을 더 포함할 수 있다.

상기 제어모듈은 상기 애플리케이션 관리정보에 기초하여 차단되는 차단 애플리케이션에 대한 정보를 상기 매니저 서버로 전송하거나, 상기 차단 애플리케이션의 프로세스를 강제종료 하는 것을 특징으로 할 수 있다.

상기 보안채널은 VPN 채널인 것을 특징으로 할 수 있다.

상기 기술적 과제를 해결하기 위한 기업 내의 내부망에 연결된 제1단말기를 포함하는 복수의 단말기들에 보안망을 제공하기 위한 기업 내 보안망 제공방법은 상기 제1단말기가 매니저 서버를 통해 사용자 인증을 수행하는 단계, 인증결과에 따라 상기 제1단말기가 게이트웨이 서버와 제1보안 채널을 형성하는 단계, 및 상기 제1단말기가 상기 제1보안 채널과 상기 게이트웨이 서버와 상기 보안망에 접속된 타장치 간에 형성된 제2보안 채널을 통해 상기 타장치와 통신을 수행하는 단계를 포함한다.

상기 기업 내 보안망 제공방법은 인증이 성공되면 상기 제1단말기가 상기 매니저 서버로부터 상기 제1보안 채널을 형성하기 위한 채널 설정정보를 수신하는 단계를 더 포함하며, 수신된 상기 채널 설정정보에 기초하여 상기 제1단말기가 상기 게이트웨이 서버와 상기 제1보안 채널을 형성하는 것을 특징으로 할 수 있다.

상기 게이트웨이 서버는 복수의 게이트웨이 장치들을 포함하며, 인증결과에 따라 상기 제1단말기가 게이트웨이 서버와 제1보안 채널을 형성하는 단계는, 상기 복수의 게이트웨이 장치들 각각의 보안 채널설정 로드(load)에 기초하여 선택된 소정의 게이트웨이 장치와 상기 제1단말기가 상기 제1보안 채널을 형성하는 단계를 포함할 수 있다.

상기 타장치와 통신을 수행하는 단계는 상기 매니저 서버로부터 상기 게이트웨이 서버로 전송된 접근권한 정보에 기초하여 상기 게이트웨이 서버에 의해 선택적으로 허용되는 상기 타장치와 통신을 수행하는 것을 특징으로 할 수 있다.

상기 기업 내 보안망 제공방법은 상기 제1단말기가 상기 매니저 서버로부터 상기 제1단말기에 설치되는 애플리케이션 중 상기 보안망에 접속할 수 있는 허용 애플리케이션에 대한 정보를 특정하기 위한 애플리케이션 관리정보를 수신하는 단계 및 수신된 상기 애플리케이션 관리정보에 기초하여 상기 제1단말기가 상기 허용 애플리케이션만 상기 보안망에 선택적으로 접근을 허용하도록 제어하는 단계를 더 포함할 수 있다.

상기 기업 내 보안망 제공방법은 프로그램을 기록한 컴퓨터 판독가능한 기록매체에 저장될 수 있다.

본 발명의 기술적 사상에 따르면, 기업 내부의 호스트들간의 통신을 게이트웨이를 매개로 하는 보안채널을 통해 수행할 수 있으므로, 내부망에서도 강력한 보안성이 부여되는 보안 네트워크를 구축할 수 있는 효과가 있다.

또한, 동적으로 호스트와 게이트웨이 사이의 보안채널을 설정함으로써 보안 채널의 형성 자체에도 안정성을 제공할 수 있는 효과가 있다.

또한, 보안채널을 통해 보안성이 높은 보안 망(secure network)를 제공하면서도 호스트의 내부망에서의 접근권한의 제어 및/또는 애플리케이션별 접근제어가 가능할 수 있다. 특히, 본 발명의 기술적 사상을 통해 단말단에서 애플리케이션로 접근제어가 가능하므로 차세대방화벽을 도입하는 효과가 있으며, 사용자별 접속권한 및 접속대상을 통제할 수 있는 효과가 있다.

또한, 보안망(보안 네트워크)와 비보안망을 논리적으로 분리함으로써 어느 정도의 망분리 솔루션을 도입한 효과를 가져올 수 있다.

또한, 보안채널의 형성을 위해서는 강력한 인증이 수행되어야 하므로 NAC 도입효과를 얻을 수 있으며, 내부 호스트들 간의 통신도 암호화 통신을 수행할 수 있으므로 네트워크 미러링 등의 공격을 사전에 차단할 수 있는 효과가 있다. 또한, 이를 통해 네트워크 미러링 등을 통한 불법 와이파이 망을 차단할 수 있으므로 WIPS 솔루션을 구축하는 효과도 있다.

또한, 내부망 및 외부망 모두 동일한 접속 방식을 통해 보안성을 제공할 수 있는 효과가 있다.

본 발명의 상세한 설명에서 인용되는 도면을 보다 충분히 이해하기 위하여 각 도면의 간단한 설명이 제공된다.
도 1은 종래의 보안채널을 활용한 기업 내부망으로의 접근방식을 설명하기 위한 도면이다.
도 2는 본 발명의 실시 예에 따른 기업 내 보안망 제공방법을 구현하기 위한 시스템 구성을 개략적으로 나타낸다.
도 3은 본 발명의 실시 예에 따른 매니저 서버의 개략적인 구성을 나타낸다.
도 4는 본 발명의 실시 예에 따른 게이트웨이 서버의 개략적인 구성을 나타낸다.
도 5는 본 발명의 실시 예에 따른 내부 호스트에 설치되는 에이전트 시스템의 개략적인 구성을 나타낸다.
도 6은 본 발명의 일 실시 예에 따른 기업 내 보안망 제공방법을 설명하기 위한 데이터 플로우를 나타낸다.
도 7은 본 발명의 실시 예에 따른 기업 내 보안망 제공방법에 따라 접근제어가 수행되는 데이터 플로우를 나타낸다.

본 발명과 본 발명의 동작상의 이점 및 본 발명의 실시에 의하여 달성되는 목적을 충분히 이해하기 위해서는 본 발명의 바람직한 실시 예를 예시하는 첨부 도면 및 첨부 도면에 기재된 내용을 참조하여야만 한다.

또한, 본 명세서에 있어서는 어느 하나의 구성요소가 다른 구성요소로 데이터를 '전송'하는 경우에는 상기 구성요소는 상기 다른 구성요소로 직접 상기 데이터를 전송할 수도 있고, 적어도 하나의 또 다른 구성요소를 통하여 상기 데이터를 상기 다른 구성요소로 전송할 수도 있는 것을 의미한다.

반대로 어느 하나의 구성요소가 다른 구성요소로 데이터를 '직접 전송'하는 경우에는 상기 구성요소에서 다른 구성요소를 통하지 않고 상기 다른 구성요소로 상기 데이터가 전송되는 것을 의미한다.

이하, 첨부한 도면을 참조하여 본 발명의 바람직한 실시 예를 설명함으로써, 본 발명을 상세히 설명한다. 각 도면에 제시된 동일한 참조부호는 동일한 부재를 나타낸다.

도 2는 본 발명의 실시 예에 따른 기업 내 보안망 제공방법을 구현하기 위한 시스템 구성을 개략적으로 나타낸다.

도 2를 참조하면, 본 발명의 실시 예에 따른 기업 내 보안망 제공방법을 구현하기 위해서는 매니저 서버(100) 및 게이트웨이 서버(200)가 구비될 수 있다.

상기 게이트웨이 서버(200)를 통해 소정의 기업내의 내부망과 외부망이 구분될 수 있다.

상기 내부망은 물리적인 망(40)으로 구현될 수 있으며, 상기 물리적인 망(40)을 통해 복수의 호스트들 즉 복수의 단말기들(300, 310)이 연결될 수 있다. 또한, 상기 복수의 호스트들에는 소정의 무선 단말기(320)가 포함될 수도 있다. 또한, 상기 물리적인 망(40)에는 적어도 하나의 서버들(410, 420)을 포함하는 서버팜(server farm)이 연결될 수 있다.

상기 매니저 서버(100) 역시 상기 물리적인 망(40)을 통해 복수의 호스트들 및/또는 상기 게이트웨이 서버(200)와 연결될 수 있다. 상기 매니저 서버(100)는 상기 게이트웨이 서버(200) 및 상기 물리적인 망(40)에 연결된 복수의 호스트들을 제어함으로써 본 발명의 기술적 사상을 구현할 수 있다.

상기 복수의 호스트들 각각에는 본 발명의 기술적 사상을 구현하기 위한 소정의 에이전트 시스템이 구비될 수 있다.

본 발명의 기술적 사상에 의하면, 상기 내부 망에 포함된 네트워크 장치들(예컨대, 복수의 호스트들(300, 310, 320), 서버팜(400) 등)은 각각 상기 게이트웨이 서버(200)와 보안채널을 형성하여 상기 보안채널을 통해 상기 내부 망에 포함된 타장치와 통신을 수행할 수 있다. 따라서, 상기 게이트웨이 서버(200)는 내부 망에 존재하는 두 네트워크 장치간의 통신을 릴레이하는 역할을 수행할 수 있다.

상기 매니저 서버(100)는 이러한 게이트웨이 서버(200)와 내부 망에 존재하는 소정의 네트워크 장치간의 보안채널 형성을 제어할 수 있다. 상기 보안채널 형성을 제어하기 위해 동적으로 상기 보안채널 형성에 필요한 정보를 설정하고, 이를 보안채널에 참여하는 두 장치로 전송함으로써 동적으로 보안채널을 형성하도록 할 수 있다. 또한, 상기 매니저 서버(100)는 사용자별(호스트별)로 보안 네트워크를 통해 접속가능한 대상을 제어할 수도 있고, 또한 접속가능한 애플리케이션의 제어도 수행할 수 있다.

도 2에서 보안채널은 굵은 양방향 화살표로 표시되고 있는데, 이러한 보안채널은 1:1 암호화 통신을 수행하게 되므로 기업의 내부 망에서도 보안 네트워크(보안망)를 구축하는 효과가 있다. 예컨대, 제1단말기(300)와 제2단말기(310)가 통신을 하기 위해서는 물리적인 망(40)을 이용하여 비보안 네트워크 통신을 수행할 수도 있다. 하지만, 본 발명의 기술적 사상에 의한 보안 네트워크(보안망)를 통해 통신을 수행하는 경우에는, 상기 제1단말기(300)는 상기 게이트웨이 서버(200)와 제1보안채널을 형성하고, 상기 제2단말기(310) 역시 상기 게이트웨이 서버(200)와 제2보안채널을 형성할 수 있다. 그러면, 상기 제1단말기(300)와 상기 제2단말기(310)는 상기 제1보안채널 및 상기 제2보안채널을 통해 수행될 수 있다.

상기 제1단말기(300) 및 상기 제2단말기(310)가 상기 게이트웨이 서버(200)와 형성하는 보안채널은 VPN(Virtual Private Network) 채널일 수 있다. 상기 VPN 채널을 형성하기 위한 VPN 터널링을 통해 상기 제1단말기(300) 및/또는 상기 제2단말기(310)는 상기 게이트웨이 서버(200)는 논리적인 보안채널을 형성할 수 있다.

이러한 보안채널은 보안채널을 형성하는 두 네트워크 장치간에 암호화 통신을 수행할 수 있으므로, 상기 보안채널의 경로상에 존재하는 물리적인 장치에 의해 패킷이 유출되거나 공격되더라도 데이터의 유출이 일어나지 않을 수 있는 효과가 있다.

또한, 암호화 통신을 위한 IKE(Internet Key Exchange) 인증을 수행할 수 있어서 강력한 사용자 인증 솔루션을 제공할 수 있기 때문에 NAC 솔루션을 도입하는 효과가 있다.

또한, 내부 망을 본 발명의 기술적 사상이 적용되는 보안 네트워크만 이용하도록 할 수도 있지만, 기존의 물리적인 망도 허용하는 경우에는 물리적인 망은 비보안 네트워크로 작동하고 본 발명의 기술적 사상에 따른 솔루션은 상기 비보안 네트워크와는 독립적으로 작용하는 보안 네트워크로 사용할 수 있으므로 어느 정도의 망 이중화 솔루션을 제공하는 효과도 있다. 이는 후술할 바와 같이 상기 보안 네트워크를 이용할 수 있는 사용자별 애플리케이션 제어 및/또는 사용자별 접근권한 제어를 통해 더욱 망 이중화 효과를 가져올 수도 있다. 물론, 기존의 호스트나 OS 자체의 이중화를 수행하는 경우에 비해서는 다소 보안성이 낮아질 수 있음은 별론으로 한다.

또한, 내부망에 존재하는 호스트들(단말기들)은 게이트웨이 서버(200)와 1:1 암호화 채널을 통해 통신을 수행하므로, 네트워크 미러링 공격에 의한 무선 AP의 복제 즉, 불법적인 와이파이 통신을 차단할 수 있는 효과가 있다. 이는 기존의 WIPS 솔루션을 도입하는 효과도 제공할 수 있다.

또한, 후술할 바와 같이 사용자별 애플리케이션의 접근제어, 사용자별 접속권한제어가 가능하므로 차세대방화벽을 도입하는 효과가 있다.

또한, 종래의 보안채널의 활용방식과 같이 소정의 외부망에 존재하는 외부 단말기(500) 역시 상기 게이트웨이 서버(200)와 보안채널을 형성할 수 있다. 따라서, 외부의 단말기(500) 또는 내부의 단말기들(300, 310, 320) 모두 통일된 통신방식을 통해 내부망에 접속할 수 있는 효과도 있다.

또한, 종래에는 예컨대, 외부 단말기(500)에서 서버군(400)에 접속을 하는 경우, 외부 단말기에서 게이트웨이 서버(200)까지만 보안채널을 통해 통신을 하고 내부망에 접속되어서는 비보안 네트워크로 상기 서버군(400)에 접속을 하게 되지만, 본 발명의 기술적 사상에 의하면 게이트웨이 서버(200)와 상기 서버군(400) 사이도 보안 네트워크를 통해 통신을 수행하게 되므로 훨씬 보안성이 높은 접근환경을 외부에 제공할 수 있는 효과가 있다.

이러한 기술적 사상을 구현하기 위한 본 발명의 실시 예에 따른 매니저 서버(100)는 도 3과 같이 구현될 수 있다.

도 3은 본 발명의 실시 예에 따른 매니저 서버의 개략적인 구성을 나타낸다.

도 3을 참조하면, 본 발명의 실시 예에 따른 매니저 서버(100)는 인증부(110) 및 보안채널 설정부(120)를 포함한다. 상기 매니저 서버(100)는 접근 제어부(130)를 더 포함할 수 있다. 또한, 상기 매니저 서버(100)는 애플리케이션 관리부(140)를 더 포함할 수 있다.

상기 매니저 서버(100)는 본 발명의 기술적 사상을 구현하기 위해 필요한 하드웨어 리소스(resource) 및/또는 소프트웨어를 구비한 논리적인 구성을 의미할 수 있으며, 반드시 하나의 물리적인 구성요소를 의미하거나 하나의 장치를 의미하는 것은 아니다. 즉, 상기 매니저 서버(100)는 본 발명의 기술적 사상을 구현하기 위해 구비되는 하드웨어 및/또는 소프트웨어의 논리적인 결합을 의미할 수 있으며, 필요한 경우에는 서로 이격된 장치에 설치되어 각각의 기능을 수행함으로써 본 발명의 기술적 사상을 구현하기 위한 논리적인 구성들의 집합으로 구현될 수도 있다. 또한, 상기 매니저 서버(100)는 본 발명의 기술적 사상을 구현하기 위한 각각의 기능 또는 역할별로 별도로 구현되는 구성들의 집합을 의미할 수도 있다.

또한, 본 명세서에서 '~부' 또는 '~모듈'이라 함은, 본 발명의 기술적 사상을 수행하기 위한 하드웨어 및 상기 하드웨어를 구동하기 위한 소프트웨어의 기능적, 구조적 결합을 의미할 수 있다. 예컨대, 상기 '~부' 또는 '~모듈'은 소정의 코드와 상기 소정의 코드가 수행되기 위한 하드웨어 리소스(resource)의 논리적인 단위를 의미할 수 있으며, 반드시 물리적으로 연결된 코드를 의미하거나, 한 종류의 하드웨어를 의미하는 것은 아님은 본 발명의 기술분야의 평균적 전문가에게는 용이하게 추론될 수 있다.

예컨대, 상기 인증부(110), 상기 보안채널 설정부(120), 상기 접근 제어부(130), 및/또는 상기 애플리케이션 관리부(140) 각각은 서로 다른 물리적 장치에 위치할 수도 있고, 동일한 물리적 장치에 위치할 수도 있다. 또한, 구현 예에 따라서는 상기 인증부(110), 상기 보안채널 설정부(120), 상기 접근 제어부(130), 및/또는 상기 애플리케이션 관리부(140) 각각을 구성하는 소프트웨어 및/또는 하드웨어의 결합 역시 서로 다른 물리적 장치에 위치하고, 서로 다른 물리적 장치에 위치한 구성들이 서로 유기적으로 결합되어 각각의 상기 모듈들을 구현할 수도 있다.

상기 인증부(110)는 본 발명의 기술적 사상이 적용되는 소정의 기업 내의 내부망에 존재하는 제1단말기(예컨대, 300)의 사용자를 인증할 수 있다. 이를 위해 상기 매니저 서버(100)는 도 3에는 도시되지 않았지만, 사용자 DB(미도시)를 더 포함할 수 있음은 물론이다. 사용자의 인증은 예컨대, 상기 제1단말기(예컨대, 300)에 설치되어 본 발명의 기술적 사상을 구현하기 위한 소정의 에이전트 시스템과 상기 인증부(110)에 의해 수행될 수 있다. 상기 에이전트 시스템은 본 발명의 기술적 사상에 의해 제공되는 보안 네트워크에 접속하고자 할 때, 사용자에게 로그인 절차를 수행하도록 할 수 있다. 그러면, 상기 인증부(110)는 상기 에이전트 시스템으로부터 수신되는 로그인 정보에 기초하여 상기 제1단말기(예컨대, 300)의 사용자를 인증할 수 있다.

인증부(110)에 의해 인증이 성공되는 경우, 상기 제1단말기(예컨대, 300)는 상기 게이트웨이 서버(200)와 소정의 제1보안채널(예컨대, VPN 채널)을 형성할 수 있다. 이러한 제1보안채널의 형성은 상기 보안채널 설정부(120)에 의해 제어될 수 있다.

상기 보안채널 설정부(120)는 상기 제1보안채널을 형성하기 위한 채널 설정 정보를 생성하고, 이를 상기 제1단말기(예컨대, 300) 및 상기 게이트웨이 서버(200)로 각각 전송함으로써 상기 게이트웨이 서버(200)와 인증이 성공한 상기 제1단말기(예컨대, 300) 사이에 보안채널이 형성되도록 제어할 수 있다.

상기 제1보안채널의 형성이 상기 게이트웨이 서버(200)와 상기 제1단말기(예컨대, 300)간의 통신에 의해 직접 수행되는 것이 아니라, 상기 보안채널 설정부(120)에 의해 동적으로 제어됨으로써 설령 상기 제1단말기(예컨대, 300) 및/또는 상기 게이트웨이 서버(200)가 공격을 당하여 상기 제1보안채널의 형성을 위한 파라미터들즉, 채널 설정정보(예컨대, 암호화 키 값, 암호화 알고리즘 등)이 유출될 위험을 줄일 수 있는 효과가 있다.

상기 채널 설정정보는 상기 제1보안채널의 형성을 위해 정의되어야 하는 정보를 적어도 하나 포함할 수 있다. 상기 채널 설정정보는 예컨대, 보안채널을 통해 통신을 수행할 상대장치, 암호화알고리즘, 및/또는 암호화 키값(예컨대, PSK 키 값 등)을 포함할 수 있다. 상기 채널 설정정보에 포함되는 정보들 중 일부는 고정될 수 있고, 일부만 동적으로 상기 보안채널 설정부(120)에 의해 생성될 수도 있다.

상기 채널 설정정보의 생성은 상기 제1보안채널이 형성되기 전이면 언제든지 수행될 수 있다. 또한, 상기 제1단말기(예컨대, 300)와 상기 게이트웨이 서버(200)로 전송되는 채널 설정정보는 서로 대응되는 것이 바람직하다. 즉, 상기 제1단말기(예컨대, 300)로 전송되는 제1채널 설정정보는 상기 게이트웨이 서버(200)를 상대장치로 특정할 수 있으며, 상기 게이트웨이 서버(200)로 전송되는 제2채널 설정정보는 상기 제1단말기(예컨대, 300)를 상대장치로 특정할 수 있다. 또한, 상기 제1채널 설정정보 및 상기 제2채널 설정정보는 각각 동일한 암호화 알고리즘에 대한 정보를 포함하고 있는 것이 바람직하며, 암호화 키 값으로는 서로 대응되는 키 값을 포함하고 있는 것이 바람직하다. 상기 제1단말기(예컨대, 300)와 상기 게이트웨이 서버(200)는 예컨대, IPSec(Internet Protocol Security)의 IKE(Internet Key Exchange) 인증을 통해 서로를 인증할 수 있으며, 이를 위한 암호화 알고리즘 및 각각이 가져야할 암호화 키 값들이 상기 제1채널 설정정보 및 상기 제2채널 설정정보에 정의될 수 있다. 또한, IKE 인증을 사용하는 경우, 암호화 키를 통한 서로간의 인증이 수행되므로, 내부망에 연결된 호스트들(단말기들)에 대한 강력한 인증도구가 될 수 있다.

상기 보안채널 설정부(120)에 의해 상기 제1채널 설정정보가 상기 제1단말기(예컨대, 300)로 전송되고, 상기 제2채널 설정정보가 상기 게이트웨이 서버(200)로 전송되면, 상기 제1단말기(예컨대, 300)와 상기 게이트웨이 서버(200)는 서로 수신된 정보에 기초하여 VPN 터널링을 수행할 수 있다. 그리고, 상기 제1보안채널을 형성할 수 있다.

이와 같은 방식으로 각각의 단말기들(예컨대, 300~320)이 상기 게이트웨이 서버(200)와 보안채널을 형성하게 되면, 상기 게이트웨이 서버(200)를 중심으로 하나의 가상의(또는 논리적인) 네트워크가 형성되며, 이러한 네트워크를 본 명세서에서는 보안 네트워크로 정의할 수 있다.

한편, 상기 게이트웨이 서버(200)는 후술할 바와 같이 어느 하나의 서버 또는 장치로 구현되지 않고, 복수의 장치 즉, 게이트웨이 장치로 구현될 수 있다. 즉, 상기 게이트웨이 서버(200)의 기능은 복수의 게이트웨이 장치로 구현될 수 있다. 이러한 경우, 상기 제1단말기(예컨대, 300)가 어떠한 게이트웨이 장치와 보안채널을 형성할지에 따라 전체 보안 네트워크의 통신성능이 결정될 수도 있다. 따라서, 상기 보안채널 설정부(120)는 각각의 게이트웨이 장치의 로드(load) 즉, 현재 얼마나 많은 보안채널을 형성하고 있는지 여부를 고려하여, 로드를 밸런싱할 수 있도록 복수의 게이트웨이 장치들 중에서 어느 하나의 게이트웨이 장치를 선택할 수 있다. 상기 보안채널 설정부(120)가 소정의 단말기들(예컨대, 300~320)과 상기 게이트웨이 장치들 각각의 보안채널 형성을 제어하므로, 상기 보안채널 설정부(120)는 어떠한 게이트웨이 장치가 현재 몇개의 보안채널을 형성하고 있는지 또는 후술할 바와 같이 보안채널을 통한 트래픽 양이 모니터링될 수 있는 경우에는 이러한 트래픽 양까지 고려하여 전체 게이트웨이 장치들이 가급적 비슷한 로드를 가질 수 있도록 게이트웨이 장치를 선택할 수 있다.

이와 같은 방식으로 본 발명의 기술적 사상에 따른 보안 네트워크에 접속하기 위해서는 내부망에 존재하는 호스트들(단말기들(300~320))은 각각 게이트웨이 서버(200)와 보안채널을 형성할 수 있다. 따라서, 예컨대, 상기 제1단말기(예컨대, 300)와 상기 제2단말기(예컨대, 310)간의 통신은 상기 제1단말기(예컨대, 300)와 상기 게이트웨이 서버(200)가 형성하는 제1보안채널 및 상기 제2단말기(예컨대, 310)와 상기 게이트웨이 서버(200)가 형성하는 제2보안채널을 통해 수행될 수 있다.

그러므로, 상기 게이트웨이 서버(200)는 상기 제1단말기(예컨대, 300)와 상기 제1단말기(예컨대, 300)가 통신을 수행할 타장치(예컨대, 310, 320, 400 등)와의 통신을 중계하는 역할을 수행할 수 있다.

한편, 상기 게이트웨이 서버(200)는 상기 제1단말기(예컨대, 300)가 요청하는 모든 타장치로의 접근을 중계할 수도 있지만, 상기 제1단말기(예컨대, 300)의 사용자가 누구인지에 따라 접근제어를 수행할 수도 있다. 이러한 접근제어는 기업망에서 특히 유용할 수 있다. 이러한 접근제어 역시 상기 매니저 서버(100)에 의해 제어될 수 있다. 그리고, 이러한 접근제어는 상기 매니저 서버(100)의 접근 제어부(130)에 의해 통제될 수 있다.

상기 접근 제어부(130)는 상기 제1단말기(예컨대, 300)의 사용자 인증이 성공하면, 상기 사용자가 접근할 수 있는 장치에 대한 정보 즉, 상기 제1단말기(예컨대, 300)가 접근할 수 있는 타장치에 대한 정보를 특정할 수 있다. 상기 타장치는 예컨대, 내부망에 존재하는 타 호스트들(예컨대, 310~320)일 수도 있고, 상기 내부망에 존재하는 서버군(400)에 포함된 서버들(410, 420)일 수도 있다. 또는, 상기 게이트웨이 서버(200)를 통해 외부망에 존재하는 외부 단말기(500)에 접근할 수 있는지에 대한 정보도 포함될 수 있다.

상기 사용자가 상기 제1단말기(예컨대, 300)를 통해 접근할 수 있는 타장치에 대한 정보는 접근권한 정보에 의해 특정될 수 있다. 상기 접근 제어부(130)는 사용자별로 접근권한 정보를 설정할 수 있다. 사용자의 직책 또는 업무에 따라 상기 접근권한 정보가 달라질 수 있음은 물론이다.

상기 접근권한 정보는 화이트리스트 방식 즉, 접근할 수 있는 장치들에 대한 정보가 리스트업된 방식일 수도 있고, 블랙리스트 방식 즉, 접근할 수 없는 장치들에 대한 정보가 리스트업되는 방식으로 구현될 수도 있다.

따라서, 상기 접근 제어부(130)는 상기 제1단말기(예컨대, 300)의 사용자가 인증되면, 상기 사용자에 상응하는 접근권한 정보를 상기 게이트웨이 서버(200) 또는 복수의 게이트웨이 장치들 중 상기 제1단말기(예컨대, 300)와 보안채널을 형성하도록 선택된 게이트웨이 장치로 전송할 수 있다. 그러면, 상기 게이트웨이 서버(200)(또는 선택된 게이트웨이 장치)는 상기 제1단말기(예컨대, 300)로부터 소정의 장치들(예컨대, 310, 320, 410, 420) 중 어느 하나로의 접근요청이 수신되면, 상기 접근권한 정보에 기초하여 상기 제1단말기(예컨대, 300)가 접속가능한 장치로의 접근요청인지를 판단하고 판단결과에 따라 선택적으로 상기 접근요청을 허용하거나 불허할 수 있다. 물론, 상기 게이트웨이 서버(200)(또는 선택된 게이트웨이 장치)가 상기 제1단말기(예컨대, 300)로부터의 접근요청에 응답하여 소정의 타장치로 접근을 허락하기 위해서는 해당 타장치와 상기 게이트웨이 서버(200)가 보안채널이 형성되어 있어야 할 수 있다. 일반적으로 상기 서버군(400)에 포함된 각각의 서버들(410, 420)과 상기 게이트웨이 서버(200)는 보안채널이 상시적으로 형성되어 있을 수 있으며, 이때에는 상기 서버들(410, 420)을 위한 별도의 인증은 수행되거나 또는 수행되지 않을 수도 있다. 하지만, 내부망에 존재하는 단말기들(예컨대, 300~320)은 전술한 바와 같이 상기 인증부(110)에 의해 인증이 수행되어야 보안채널이 형성될 수 있다.

만약, 상기 제1단말기(예컨대, 300)와 보안채널을 형성하고 있는 제1게이트웨이 장치와 상기 타장치와 보안채널을 형성하고 있는 제2게이트웨이 장치가 서로 다른 경우에는, 상기 제1게이트웨이 장치와 상기 제2게이트웨이 장치 간에도 보안채널이 형성될 수 있다. 물론, 이때에도 상기 제1게이트웨이 장치와 상기 제2게이트웨이 장치간의 보안채널 역시 상기 매니저 서버(100)의 보안채널 설정부(120)에 의해 제어될 수 있다.

한편, 상기 매니저 서버(100)는 사용자별 애플리케이션을 관리할 수도 있다. 이를 위해 상기 매니저 서버(100)는 애플리케이션 관리부(140)를 더 포함할 수 있다.

상기 애플리케이션 관리부(140)는 사용자별로(단말기들(예컨대, 300~320)별로) 상기 보안 네트워크에 접속할 수 있는 애플리케이션 즉, 허용 애플리케이션을 특정할 수 있다. 즉, 상기 허용 애플리케이션만이 상기 게이트웨이 서버(200)와 형성된 보안채널을 통해 타장치에 접근할 수 있도록 제어할 수 있다. 또한, 사용자별로 허용 애플리케이션을 특정한다고 함은, 사용자별로 허용 애플리케이션을 다르게 설정할 수 있음을 의미하는 것이지 반드시 모든 사용자별로 허용 애플리케이션이 달라야하는 것의 의미하는 것은 아니다.

상기 애플리케이션 관리부(140)는 인증부(110)에 의해 상기 제1단말기(예컨대, 300)의 사용자가 인증되면, 상기 제1단말기(예컨대, 300)에서 상기 보안 네트워크에 접속이 허용되는 허용 애플리케이션에 대한 정보를 포함하는 애플리케이션 관리정보를 상기 제1단말기(예컨대, 300)로 전송할 수 있다. 그러면 상기 제1단말기(예컨대, 300)는 전송된 상기 애플리케이션 관리정보에 기초하여 상기 보안 네트워크에 접속가능한 애플리케이션을 제어할 수 있다. 예컨대, 상기 보안 네트워크에 접속되어 있는 경우에는, 허용 애플리케이션만이 실행될 수 있고, 그렇지 않은 애플리케이션은 실행이 차단되거나 이미 실행되고 있는 애플리케이션의 프로세스가 상기 제1단말기(예컨대, 300)에 의해 강제종료 또는 킬(kill)될 수도 있다. 또는, 상기 보안 네트워크에 접속해 있더라도 보안 네트워크를 통해 타장치에 접근하는 애플리케이션만이 관리될 수도 있다. 즉, 허용 애플리케이션만 상기 보안 네트워크를 통해 타 장치에 접근할 수 있도록 상기 제1단말기(예컨대, 300)가 제어할 수도 있고, 상기 보안 네트워크의 접속여부와는 관계없이 상기 제1단말기(예컨대, 300)가 보안 네트워크에 접속되어 있는 경우에 실행될 수 있는 애플리케이션이 상기 애플리케이션 관리정보에 의해 제어될 수도 있다.

상기 애플리케이션 관리정보 역시 화이트리스트 방식으로 허용 애플리케이션을 리스트업할 수도 있고, 블랙리스트 방식으로 차단 애플리케이션을 리스트업하도록 구현될 수도 있다.

따라서, 상기 매니저 서버(100)에 의해 본 발명의 기술적 사상에 따른 기업 내 보안망 제공시스템은 강력한 보안채널을 통한 암호화 통신을 수행하면서도, 내부망에 존재하는 호스트들(단말기들(예컨대, 300~320))의 인증, 사용자별 접근권한의 제어, 및/또는 사용자별 허용 애플리케이션의 제어가 가능한 효과가 있다. 그리고 이러한 효과는 전술한 바와 같이 상기 기업의 내부망에 NAC 및 차세대방화벽을 구축한 효과를 제공할 수 있다. 또한, 각각의 단말기들(예컨대, 300~320)은 보안 네트워크 상에서는 암호화 통신을 하여야 하므로, 네트워크 미러링에 대한 강력한 보안대책이 되고, 내부망을 전술한 바와 같은 보안 네트워크와 기존의 물리적인 망(40)을 통한 통신을 같이 허용하는 경우에는 망 이중화 솔루션을 어느 정도 실현하는 효과도 존재할 수 있다.

한편, 상술한 바와 같은 본 발명의 기술적 사상을 구현하기 위한 게이트웨이 서버(200)의 구성은 도 4에 도시된다. 또한, 내부망에 포함된 단말기의 구성은 도 5에 도시된다.

도 4는 본 발명의 실시 예에 따른 게이트웨이 서버의 개략적인 구성을 나타낸다. 또한, 도 5는 본 발명의 실시 예에 따른 내부 호스트에 설치되는 에이전트 시스템의 개략적인 구성을 나타낸다.

먼저 도 4를 참조하면, 본 발명의 실시 예에 따른 게이트웨이 서버(200)는 전술한 바와 같이 대량의 보안채널의 형성 및 형성된 보안채널을 통한 통신을 수행하기 위해 복수의 게이트웨이 장치들(예컨대, 210, 220)을 포함할 수 있다.

상기 게이트웨이 장치들(예컨대, 210, 220) 각각은 보안채널 형성부(211)를 포함할 수 있다. 상기 보안채널 형성부(211)는 전술한 바와 같이 상기 매니저 서버(100)의 보안채널 설정부(120)의 제어 하에 소정의 제1단말기(예컨대, 300)와 보안채널을 형성할 수 있다. 또한, 전술한 바와 같이 상기 보안채널 형성부(211)는 각각의 단말기들(예컨대, 300~320)별로 즉, 사용자별로 접속가능한 타장치들로만 접근을 허용할 수도 있다. 이를 위해 사용자별(단말기들(예컨대, 300~320)별)로 접근권한 정보를 상기 보안채널 설정부(120)로부터 수신하고, 수신된 접근권한 정보에 상응하도록 접근권한을 제어할 수 있다.

또한, 상기 보안채널 형성부(211)는 외부망에 위치한 외부 단말기(500)와도 보안채널을 형성할 수 있다. 그리고 상기 외부 단말기(500)의 접근권한에 대해서도 미리 또는 실시간으로 상기 보안채널 설정부(120)로부터 제어를 받아서 접근제어를 수행할 수도 있다.

상기 보안채널 형성부(211)는 접근권한이 있는 두 장치들(예컨대, 300 및 310)간의 통신을 중계함으로써 상기 두 장치들이 자신을 통해 서로 다른 보안채널을 통한 통신을 수행하도록 할 수 있다.

또한, 전술한 바와 같이 두 장치들(예컨대, 300 및 310)이 보안채널을 형성하는 게이트웨이 장치들(예컨대, 210, 220)이 서로 다른 경우에는 상기 보안채널 형성부(211)는 다른 게이트웨이 장치(예컨대, 220)에 포함된 보안채널 형성부와 보안채널을 형성할 수도 있다. 이러한 경우에는 3 개의 서로 다른 보안채널을 통해 상기 두 장치들(예컨대, 300 및 310)이 통신을 수행할 수도 있다.

또한, 각각의 게이트웨이 장치들(210, 220)은 각각 UTM(Unified Threat Management)으로 구현될 수 있다. 따라서, 원래의 게이트웨이가 수행하여야 할 외부로부터 내부망을 보호하기 위한 방확벽 기능 뿐만 아니라, 침입탐지(또는 방지)(IPS, Intrusion Prevention System), URL 필터링 등의 기능을 더 수행할 수 있다. 그리고 이러한 기능들을 수행하기 위한 각각의 구성들 즉, 방화벽 제공부(212), 침입탐지부(213), URL 필터링부(214) 들이 상기 각각의 게이트웨이 장치들(210, 220)에 더 포함될 수 있다. 이외에도 구현 예에 따라, DDos 탐지기능을 위한 구성, 스팸 처리를 위한 구성 들이 상기 각각의 게이트웨이 장치들(210, 220)에 더 포함될 수 있음은 물론이다. 상기 보안채널 형성부(211)를 제외한 상기 게이트웨이 장치들(210, 220)에 포함되는 구성들(예컨대, 212~214 등)은 널리 공지된 구성이므로 본 명세서에서는 상세한 설명은 생략하도록 한다.

도 5를 참조하면, 내부망에 포함되는 단말기들(예컨대, 300~320) 각각에는 본 발명의 기술적 사상을 구현하기 위한 소정의 에이전트 시스템이 설치될 수 있다. 제1단말기(예컨대, 300)를 일 예로 들면, 상기 제1단말기(300)에는 상기 에이전트 시스템이 설치될 수 있다. 상기 에이전트 시스템은 본 발명의 기술적 사상을 구현하기 위해 상기 제1단말기(300)에 설치되는 소프트웨어 및 상기 제1단말기(300)의 하드웨어가 유기적으로 결합되어 구현되는 시스템을 의미할 수 있다.

상기 에이전트 시스템은 보안채널 형성모듈(310)을 포함할 수 있다.

상기 보안채널 형성모듈(310)은 전술한 바와 같이 상기 게이트웨이 서버(200)에 포함되는 보안채널 형성부(211)와 보안채널을 형성할 수 있다. 전술한 상기 보안채널 형성부(211) 및 상기 보안채널 형성모듈(310)은 상기 매니저 서버(100)에 포함된 보안채널 설정부(120)의 제어하에 보안채널을 형성할 수 있다. 예컨대, 상기 보안채널 형성부(211) 및 상기 보안채널 형성모듈(310)은 서로 통신을 수행하여 VPN 터널링을 수행하고 VPN 채널을 형성할 수 있다.

또한, 상기 에이전트 시스템은 제어모듈(320)을 더 포함할 수 있다.

상기 제어모듈(320)은 상기 매니저 서버(100)에 포함된 애플리케이션 관리부(140)의 제어하에 허용 애플리케이션을 관리하는 기능을 수행할 수 있다. 상기 제어모듈(320)은 허용 애플리케이션만이 상기 보안 네트워크에 접속하도록 제어할 수 있다. 구현 예에 따라서는, 상기 제1단말기(300)가 상기 보안 네트워크에 접속된 경우에는 상기 허용 애플리케이션만이 실행되도록 제어할 수도 있다.

또한, 상기 제어모듈(320)은 허용 애플리케이션이 상기 보안 네트워크를 통해 통신하는 트래픽량, 사용시간, 애플리케이션의 이름 등을 상기 애플리케이션 관리부(140)로 전송하여 상기 매니저 서버(100)가 보안 네트워크의 네트워크 모니터링을 수행하도록 할 수도 있다. 또한 상기 제어모듈(320)에 의해 차단되는 애플리케이션에 대한 정보(차단 애플리케이션의 이름, 실행위치, 사용시간 등의 로그정보)를 상기 매니저 서버(100)로 전송함으로써, 상기 매니저 서버(100)가 상기 보안 네트워크에서 실행요청되는 애플리케이션에 대한 전반적인 모니터링 및 관리를 수행하도록 할 수도 있다.

도 6은 본 발명의 일 실시 예에 따른 기업 내 보안망 제공방법을 설명하기 위한 데이터 플로우를 나타낸다.

도 6을 참조하면, 기업의 내부망에 존재하는 소정의 제1단말기(300)는 매니저 서버(100)로 인증을 요청할 수 있다(S100). 그러면, 상기 매니저 서버(100)는 인증을 수행할 수 있다(S110). 인증결과 인증이 성공하면, 상기 매니저 서버(100)는 상기 제1단말기(300)가 보안채널을 형성할 게이트웨이 장치를 복수의 게이트웨이 장치들간의 로드를 고려하여 선택할 수도 있다(S120). 그러면, 선택된 게이트웨이 장치와 상기 제1단말기(300)로 전송할 채널 설정정보를 상기 매니저 서버(100)는 동적으로 생성하고(S130), 생성된 채널 설정정보를 상기 제1단말기(300) 및 상기 선택된 게이트웨이 장치(또는 게이트웨이 서버(200))로 전송할 수 있다(S140, S150).

그러면, 채널 설정정보를 각각 수신한 상기 제1단말기(300)와 상기 선택된 게이트웨이 장치(또는 게이트웨이 서버(200))는 수신된 채널 설정정보에 기초하여 보안채널을 형성할 수 있다(S160).

도 7은 본 발명의 실시 예에 따른 기업 내 보안망 제공방법에 따라 접근제어가 수행되는 데이터 플로우를 나타낸다.

도 7을 참조하면, 상기 제1단말기(300)의 인증이 성공하면, 상기 매니저 서버(100)는 상기 제1단말기(300)에 상응하는 접근권한 정보를 생성할 수 있다(S200). 또한 상기 게이트웨이 서버(200)와 상기 제1단말기(300)가 통신을 수행할 타장치 역시 미리 도 6에 도시된 바와 같은 방식으로 소정의 보안채널이 형성된 상태일 수 있다(S200-1).

그러면, 상기 매니저 서버(100)는 생성한 상기 접근권한 정보를 상기 게이트웨이 서버(200)(또는 선택된 게이트웨이 장치)로 전송할 수 있다(S210).

그리고, 도 6에서 설명한 바와 같이 상기 제1단말기(300)와 상기 게이트웨이 서버(200)(또는 선택된 게이트웨이 장치)가 보안채널이 형성된 후(S220), 상기 제1단말기(300)는 상기 게이트웨이 서버(200)(또는 선택된 게이트웨이 장치)로 상기 타장치에 대한 접근요청을 할 수 있다(S230). 그러면, 상기 게이트웨이 서버(200)(또는 선택된 게이트웨이 장치)는 과정(S210)을 통해 수신한 상기 접근권한 정보에 기초하여 상기 제1단말기(300)가 상기 타장치에 접근할 권한이 있는지 여부 즉, 상기 제1단말기(300)의 상기 타장치로의 접근의 허용여부를 판단한 수 있다(S240). 판단결과 허용된다고 판단되면, 상기 게이트웨이 서버(200)는 상기 제1단말기(300)와 상기 타장치간의 통신을 중계함으로써, 결과적으로는 상기 제1단말기(300)와 상기 타장치간에 보안채널이 형성되는 효과를 가져올 수 있다(S250).

본 발명의 실시 예에 따른 기업 내 보안망 제공방법은 컴퓨터로 읽을 수 있는 기록매체에 컴퓨터가 읽을 수 있는 코드로서 구현하는 것이 가능하다. 컴퓨터가 읽을 수 있는 기록매체는 컴퓨터 시스템에 의하여 읽혀질 수 있는 데이터가 저장되는 모든 종류의 기록 장치를 포함한다. 컴퓨터가 읽을 수 있는 기록매체의 예로는 ROM, RAM, CD-ROM, 자기 테이프, 하드 디스크, 플로피 디스크, 광 데이터 저장장치 등이 있다. 또한, 컴퓨터가 읽을 수 있는 기록매체는 네트워크로 연결된 컴퓨터 시스템에 분산되어, 분산방식으로 컴퓨터가 읽을 수 있는 코드가 저장되고 실행될 수 있다. 그리고 본 발명을 구현하기 위한 기능적인(functional) 프로그램, 코드 및 코드 세그먼트들은 본 발명이 속하는 기술분야의 프로그래머들에 의해 용이하게 추론될 수 있다.

본 발명은 도면에 도시된 일 실시 예를 참고로 설명되었으나 이는 예시적인 것에 불과하며, 본 기술 분야의 통상의 지식을 가진 자라면 이로부터 다양한 변형 및 균등한 타 실시 예가 가능하다는 점을 이해할 것이다. 따라서, 본 발명의 진정한 기술적 보호 범위는 첨부된 등록청구범위의 기술적 사상에 의해 정해져야 할 것이다.

Claims (10)

1. 기업 내의 물리적인 내부망에 연결된 제1단말기를 포함하는 복수의 단말기들에 보안망을 제공하기 위한 기업 내 보안망 제공시스템에 있어서,
   상기 내부 망과 외부 망 사이의 통신을 중개하며, 상기 제1단말기와 상기 내부 망에 존재하는 타장치 간의 통신을 위해 상기 제1단말기와 제1보안 채널을 형성하기 위한 게이트웨이 서버; 및
   상기 제1보안 채널의 설정을 위해 상기 게이트웨이 서버 및 상기 제1단말기를 제어하기 위한 매니저 서버를 포함하며,
   상기 게이트웨이 서버는,
   상기 타장치와 제2보안채널을 형성하며,
   상기 제1단말기와 상기 타장치는,
   상기 물리적인 내부망을 통한 통신 또는 제1보안채널과 상기 제2보안채널을 통한 통신 중 어느 하나를 선택적으로 이용하여 통신할 수 있는 것을 특징으로 하는 기업 내 보안망 제공시스템.
   
2. 제1항에 있어서, 상기 매니저 서버는,
   상기 제1단말기의 사용자를 인증하기 위한 인증부; 및
   상기 제1단말기의 사용자가 인증된 경우 상기 제1보안 채널을 위한 채널 설정 정보를 생성하여 상기 제1단말기 및 상기 게이트웨이 서버로 전송하기 위한 보안채널 설정부를 포함하는 기업 내 보안망 제공시스템.
   
3. 삭제
4. 삭제
5. 제2항에 있어서, 상기 매니저 서버는,
   상기 제1단말기를 통해 접근할 수 있는 상기 타장치에 대한 정보를 특정하기 위한 접근권한 정보를 설정하는 접근제어부를 더 포함하며,
   상기 접근제어부는,
   상기 게이트웨이 서버로 상기 제1단말기에 상응하는 상기 접근권한 정보를 전송하여, 상기 게이트웨이 서버가 상기 제1단말기가 상기 접근권한정보에 상응하도록 상기 타장치로의 접근을 선택적으로 허용하도록 제어하는 것을 특징으로 하는 기업 내 보안망 제공시스템.
   
6. 제2항에 있어서, 상기 매니저 서버는,
   상기 제1단말기에 설치되는 애플리케이션 중 상기 보안망에 접속할 수 있는 허용 애플리케이션에 대한 정보를 특정하기 위한 애플리케이션 관리정보를 설정하는 애플리케이션 관리부를 더 포함하며,
   상기 애플리케이션 관리부는,
   상기 애플리케이션 관리정보를 상기 제1단말기로 전송하여, 상기 제1단말기가 상기 허용 애플리케이션만 상기 보안망에 선택적으로 접근을 허용하도록 제어하는 것을 특징으로 하는 기업 내 보안망 제공시스템.
   
7. 삭제
8. 기업 내의 물리적인 내부망에 존재하는 제1단말기를 포함하는 복수의 단말기들에 보안망을 제공하기 위한 기업 내 보안망 제공방법에 있어서,
   상기 제1단말기가 매니저 서버를 통해 사용자 인증을 수행하는 단계;
   인증이 성공하면 상기 제1단말기가 상기 내부 망과 외부 망 사이의 통신을 중개하는 게이트웨이 서버와 제1보안 채널을 형성하는 단계; 및
   상기 제1단말기가 상기 제1보안 채널과 상기 게이트웨이 서버와 상기 내부망에 존재하는 타장치 간에 형성된 제2보안 채널을 통해 상기 타장치와 통신을 수행하는 단계를 포함하며,
   상기 제1단말기와 상기 타장치는,
   선택적으로 상기 물리적인 내부망을 통해서도 통신할 수 있는 것을 특징으로 하는 기업 내 보안망 제공방법.
   
9. 기업 내의 물리적인 내부망에 존재하는 제1단말기를 포함하는 복수의 단말기들에 보안망을 제공하기 위한 기업 내 보안망 제공방법에 있어서,
   상기 내부 망과 외부 망 사이의 통신을 중개하는 게이트웨이 서버가 상기 제1단말기와 제1보안채널을 형성하는 단계;
   상기 게이트웨이 서버가 상기 내부망에 존재하며 상기 제1단말기에 의해 요청되는 타장치와 제2보안채널을 형성하는 단계; 및
   상기 게이트웨이 서버가 상기 제1보안채널과 상기 제2보안채널을 통해 상기 제1단말기와 상기 타장치간의 통신을 중개하는 단계를 포함하며,
   상기 제1단말기와 상기 타장치는,
   선택적으로 상기 물리적인 내부망을 통해서도 통신할 수 있는 것을 특징으로 하는 기업 내 보안망 제공방법.
   
10. 제8항 또는 제9항 중 어느 한 항에 기재된 방법을 수행하기 위한 프로그램을 기록한 컴퓨터 판독가능한 기록매체.
    
    

Images