KR20150033816A

KR20150033816A - Device for Detecting Abnormal Surge in Control Packet

Info

Publication number: KR20150033816A
Application number: KR20130113408A
Authority: KR
Inventors: 차양명
Original assignee: 주식회사 아이디어웨어
Priority date: 2013-09-24
Filing date: 2013-09-24
Publication date: 2015-04-02

Abstract

본 발명은 제어패킷 이상 증가 검출장치에 관한 것으로, 통신망을 통해 복수개 무선단말장치 및 복수개 서버 간 상호 송수신하는 복수개 패킷을 수집 또는 캡쳐하는 수집부와, 상기 수집부가 수집 또는 캡쳐하는 패킷들을 서버 IP별로 분류 후, 각각의 IP에 대해서 발생한 제어패킷을 플래그 각각에 대해서 최근 n초 동안의 발생량을 측정하는 측정부와, 현재시각을 기준으로 지난 일정 시간 동안 발생했던 제어패킷 플래그별 개수를 초단위로 일정 시간동안 기록을 하며, 일정시간 동안 초단위로 기록된 플래그들의 개수 정보를 이용하여 평균 또는 최대 발생량을 계산하는 기록부와, 상기 측정부에서 측정되는 제어 플래그들의 초당 발생량과 상기 기록부에서 계산된 플래그별 초당 유입량의 평균값 또는 최대값을 이용하여 제어패킷의 이상 증가를 검출하는 판단부를 구비한다.The present invention relates to a control packet abnormality increase detecting apparatus, comprising: a collecting unit for collecting or capturing a plurality of packets transmitted and received between a plurality of wireless terminal apparatuses and a plurality of servers through a communication network; A measurement unit for measuring an amount of occurrence of a control packet generated for each IP in the last n seconds for each of the flags after classification; and a measurement unit for measuring the number of control packet flags generated in the past time period based on the current time, A recording unit for performing recording for a predetermined period of time and calculating an average or maximum generation amount using information on the number of flags recorded in units of seconds for a predetermined period of time; Detect abnormal increase of control packet by using mean value or maximum value of inflow per second It is provided with parts determined.

Description

BACKGROUND OF THE INVENTION 1. Field of the Invention [0001] The present invention relates to a device for detecting an abnormal increase in control packet,

본 발명은 무선 네트워크 부하의 주요 원인인 제어패킷의 이상 증가 현상을 검출하기 위한 것이다.
The present invention is intended to detect an abnormal increase in a control packet, which is a main cause of a wireless network load.

스마트폰의 보급 이후 개인의 단말 사용 패턴은 음성통화에서 데이터 통신위주로 급속히 전환되고 있다.
Since the spread of smartphones, the usage patterns of individual users are rapidly changing from voice calls to data communication.

도면 1의 모바일(무선) 데이터 트래픽 지표에서 보는 바와 같이, 향후 10~15년간 약 26배의 모바일 트래픽 증가가 예상되며, 2010년 개인이 하루에 사용하는 모바일 데이터량은 15MB수준이었으나, 2020년에 1GB에 이르게 될 수 있다.
As shown in the mobile (wireless) data traffic indicator in Figure 1, mobile traffic is expected to increase by about 26 times over the next 10 to 15 years. In 2010, the amount of mobile data used by individuals in a day was 15 MB, It can be up to 1GB.

이러한, 모바일 트래픽 증가는 이동통신사의 수익성 및 서비스 품질에 직접적으로 영향을 미치는 요인으로 작용하며, 서비스 사업자인 이동통신사의 장비증설을 수반하며, 이에 따른 수익악화가 불가피한 실정이며, 모바일 네트워크를 이용하는 사용자 또한 데이터 통신 속도 지연에 따른 서비스 불만족이 증가하게 된다.
This increase in mobile traffic directly affects the profitability and service quality of mobile carriers, and it is inevitable that profitability deterioration is accompanied by equipment expansion of service providers, such as mobile carriers, In addition, service dissatisfaction increases due to a delay in data communication speed.

이에 따라, 이동통신사들은 투자부담 감소와 서비스 품질보장을 위해 네트워크 인프라를 효율적으로 활용해야 하는 과제에 봉착했으며 현재의 솔루션에는 한계가 존재하므로 예측가능성과 실시간 통제가 보장되는 대안이 필요한 실정이다.
As a result, mobile telecommunication carriers have been struggling to utilize the network infrastructure effectively to reduce the investment burden and ensure the quality of service.

한편, 도면 2에서 보는 바와 같이, 모바일 네트워크 혼잡의 주요 요인은 무선단말장치에 설치된 각종 애플리케이션을 통한 통신망 상의 서버와의 트래픽 채널 생성이다.
Meanwhile, as shown in FIG. 2, a main factor of mobile network congestion is traffic channel generation with a server on a communication network through various applications installed in a wireless terminal device.

즉, 무선단말장치에서 통신망 상의 서버와 하나의 트래픽 채널을 생성하기 위해서는 기지국의 위치확인 등 통신망 상의 장치들과 수십여번의 시그날 통신이 선행되어야 하며, 이러한 시그날 통신은 대용량의 패킷 전송보다 통신망 상에 더 커다란 부하를 유발한다.
That is, in order to generate a single traffic channel with a server on a communication network, a wireless terminal apparatus must precede several tens of times of signal communication with apparatuses on a communication network such as a position determination of a base station. Causing a larger load.

또한, 하나의 서버(IP로 구분)에 여러 무선단말장치들이 TCP 프로토콜을 이용하여 서버와 연결되어 있는 상황에서, 서버관리를 위해 서버를 정상 종료시키거나 다양한 원인으로 인해 서버가 다운되어 무선단말장치와의 연결이 끊어지게 될 경우, 짧은 시간 내에 서버에 접속 중인 무선단말장치들에게 TCP의 제어플래그인 RST 또는 FIN이 설정된 제어패킷이 전송된다.
Also, in a situation where a plurality of wireless terminal devices are connected to a server by using a TCP protocol in one server (divided into IP), the server is shut down normally for server management or the server is down due to various reasons, A control packet in which a control flag of RST or FIN, which is a control flag of TCP, is transmitted to the wireless terminal devices connected to the server in a short period of time.

사용자가 많은 대형 서비스들의 서버가 여러 무선단말장치와 연결되어 있었을 경우 이러한 상황에서는 제어패킷이 순간적으로 폭발적인 증가상태를 보일 수 있으며, 특히 무선망에서는 이러한 제어패킷들은 해당 무선단말장치에 전달되기 위해서 기지국에 과부하를 발생시킬 수 있게 된다.
In a situation where a server of a large number of users is connected to a plurality of wireless terminal devices, a control packet may instantaneously show an explosive increase state. In particular, in a wireless network, So that an overload can be generated.

결론적으로, 네트워크 혼잡에 따른 이동통신 사업자의 막대한 비용소모와 무선단말정치 사용자들의 서비스 불만족을 해결해기 위해서는 과도한 트래픽 채널 생성을 유도하는 서버 정보와 트래픽 채널 생성 및 해제에 따른 제어패킷의 이상 증가 현상을 모니터링 할 수 있어야 하나, 통신망 시스템 상에서 이러한 모니터링을 보다 쉽고 편리하게 처리할 수 있는 방안이 전무한 실정이다.
In conclusion, in order to solve the problem of dissatisfaction of service users of wireless terminals and the enormous cost of mobile communication service providers due to network congestion, it is necessary to increase the number of control packets due to server information and traffic channel generation / However, there is no way to handle such monitoring more easily and conveniently on a communication network system.

상기한 종래 기술의 문제점 및 과제에 대한 인식은 본 발명의 기술 분야에서 통상의 지식을 가진 자에게 자명한 것이 아니므로 이러한 인식을 기반으로 선행기술들과 대비한 본 발명의 진보성을 판단하여서는 아니됨을 밝혀둔다.
The recognition of the problems and problems of the prior art is not obvious to a person having ordinary skill in the art, so that the inventive step of the present invention should not be judged based on the recognition based on such recognition I will reveal.

상기와 같은 문제점을 해소하기 위한 본 발명의 목적은, 통신망을 통해 복수개 무선단말장치 및 복수개 서버 간 상호 송수신하는 복수개 패킷들을 서버 IP별로 분류 후, 각각의 IP에 대해서 발생한 제어패킷들의 이상 증가를 검출함으로써, 모바일 네트워크의 과부하 원인 중 하나인 제어패킷의 이상 증가현상을 모니터링 할 수 있도록 하는 장치를 제공함에 있다.
An object of the present invention to solve the above problems is to classify a plurality of packets transmitted and received between a plurality of wireless terminal devices and a plurality of servers through a communication network by each server IP and detect an abnormal increase of control packets generated for each IP Which is one of the causes of the overload of the mobile network.

본 발명에서 이루고자 하는 기술적 과제는 이상에서 언급한 기술적 과제로 제한되지 않으며, 언급하지 않은 또 다른 기술적 과제들은 아래의 기재로부터 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 명확하게 이해될 수 있을 것이다.
It is to be understood that both the foregoing general description and the following detailed description are exemplary and explanatory and are not restrictive of the invention, as claimed, but are not to be construed as limiting the invention. There will be.

본 발명에 따른 제어패킷 이상 증가 검출장치는, 통신망을 통해 복수개 무선단말장치 및 복수개 서버 간 상호 송수신하는 복수개 패킷을 수집 또는 캡쳐하는 수집부와, 상기 수집부가 수집 또는 캡쳐하는 패킷들을 서버 IP별로 분류 후, 각각의 IP에 대해서 발생한 제어패킷을 플래그 각각에 대해서 최근 n초 동안의 발생량을 측정하는 측정부와, 현재시각을 기준으로 지난 일정 시간 동안 발생했던 제어패킷 플래그별 개수를 초단위로 일정 시간동안 기록을 하며, 일정시간 동안 초단위로 기록된 플래그들의 개수 정보를 이용하여 평균 또는 최대 발생량을 계산하는 기록부와, 상기 측정부에서 측정되는 제어 플래그들의 초당 발생량과 상기 기록부에서 계산된 플래그별 초당 유입량의 평균값 또는 최대값을 이용하여 제어패킷의 이상 증가를 검출하는 판단부를 구비한다.
The control packet abnormal increase detecting apparatus according to the present invention includes a collecting unit for collecting or capturing a plurality of packets for mutually transmitting and receiving a plurality of wireless terminal apparatuses and a plurality of servers through a communication network; A measurement unit for measuring an amount of generation of control packets generated for each IP in the last n seconds for each of the flags, a measurement unit for counting the number of control packet flags generated over a certain period of time based on the current time, And a control unit for controlling the amount of generation of control flags per second measured by the measuring unit and the number of flags calculated per second by the flag calculated by the recording unit, A version that detects an abnormal increase in control packets using the average or maximum value of inflow And a unit.

또 다른 측면에 따르면, 상기 제어패킷 이상 증가 검출장치는, 상기 판단부의 검출결과, 제어패킷의 이상 증가가 검출되면, 하나 이상의 단말 또는 서버로 제어패킷 이상 증가를 통지하는 통신부를 더 구비할 수 있다.
According to another aspect of the present invention, the control packet abnormality detection apparatus may further include a communication unit for notifying at least one terminal or server of an increase in control packet abnormality when an abnormal increase in the control packet is detected as a result of the determination unit .

또 다른 측면에 따르면, 상기 판단부는, 특정 플래그의 초당 발생량이 기 설정한 임의의 상한치를 넘어설 경우 제어패킷의 이상 증가로 판단하거나, 또는 플래그별 초당 발생량이 플래그별 초당 유입량의 평균값보다 기 설정한 배수 이상 커지고, 기 설정한 임의의 하한치를 넘을 경우, 제어패킷의 이상 증가로 판단할 수 있다.
According to another aspect of the present invention, the determination unit determines that an abnormal increase in the control packet occurs when the amount of occurrence per second of the specific flag exceeds a preset upper limit value, or if the amount of occurrence per second per flag is greater than the average value of the inflow amount per second If the number of control packets increases by more than a multiple and exceeds a predetermined lower limit value, it can be determined that the control packet is abnormally increased.

또 다른 측면에 따르면, 상기 판단부는, 이상증가가 발생한 서버의 IP정보와, 이상 증가 발생 시각 정보와, 이상 증가 발생 시각의 이전 일정 시각~이후 일정 시각까지의 제어패킷들에 대한 정보를 하나 이상 검출할 수 있으며, 상기 기록부에서 현재시각을 기준으로 지난 일정 시간 동안 발생했던 제어패킷 플래그별 개수를 초단위로 일정 시간동안 기록시, 얼마 간의 시간 동안 기록을 할 지 조절할 수 있다.
According to another aspect of the present invention, the determination unit may determine that the IP information of the server in which the abnormal increase has occurred, the abnormal increase occurrence time information, and the information on the control packets from the predetermined fixed time to the predetermined time after the abnormal increase occurring time, And the number of control packet flags generated during the predetermined time period based on the current time in the recording unit can be adjusted for recording for a certain period of time in units of seconds and for a certain period of time.

본 발명의 일 양상에 따르면, 무선단말장치와 서버 간 통신망 상에서의 제어패킷 이상 증가현상을 검출함으로써, 특정 서버와의 제어패킷 이상 증가에 따른 네트워크 과부하를 제어할 수 있는 모니터링을 보다 쉽고 빠르게 처리할 수 있는 효과를 지니고 있다.
According to an aspect of the present invention, it is possible to more easily and quickly perform monitoring, which can control a network overload due to abnormal increase of control packets with a specific server, by detecting abnormal increase of control packets on a communication network between a wireless terminal device and a server It has the effect of being able to.

본 발명의 일 양상에 따른 또 다른 효과는, 과도한 제어패킷 증가현상을 유도하는 특정 서버와의 접속을 제어할 수 있도록 하여, 네트워크 이용의 최적화를 가져올 수 있으며, 이를 통해 이동통신사업자의 네트워크 증설비용을 최소화 할 수 있다.
Another effect according to an aspect of the present invention is to control connection to a specific server that leads to an excessive control packet increase phenomenon, thereby optimizing the use of the network, Can be minimized.

본 발명의 일 양상에 따른 또 다른 효과는, 네트워크 이용의 최적화를 통해 데이터 통신지연 등에 따른 무선단말장치 사용자의 불만을 최소화 하는 동시에 무선단말장치의 배터리 소모를 크게 줄일 수 있도록 한다.
Another effect of the present invention is to minimize dissatisfaction of a user of a wireless terminal device due to delay in data communication or the like, and to reduce battery consumption of a wireless terminal device by optimizing network utilization.

본 명세서에 첨부되는 다음의 도면들은 본 발명의 바람직한 실시예를 예시하는 것이며, 전술한 발명의 상세한 설명과 함께 본 발명의 기술사상을 더욱 이해시키는 역할을 하는 것이므로, 본 발명은 그러한 도면에 기재된 사항에만 한정되어 해석되지 않아야 한다.
도 1은 모바일(무선) 데이터 트래픽 지표를 도시한 도면이다.
도 2는 종래 모바일 네트워크 혼잡의 주요 요인 중 하나를 도시한 도면이다.
도 3은 본 발명의 실시 방법에 따른 제어패킷 이상 증가 검출장치의 주요 구성부를 도시한 도면이다.
도 4는 일반적인 제어패킷이 포함된 패킷의 사례를 보여주는 도면이다.
도 5는 측정된 제어패킷을 도식화한 일실시예도이다.
도 6은 측정된 제어패킷을 도식화한 또 다른 일실시예도이다.
도 7은 본 발명의 실시 방법에 따른 제어 플래그들의 초당 발생량을 측정하는 일실시예도이다.
도 8은 본 발명의 실시 방법에 따른 제어패킷의 이상 증가 현상을 검출하는 프로세스를 도시한 도면이다.BRIEF DESCRIPTION OF THE DRAWINGS The accompanying drawings, which are incorporated in and form a part of the specification, illustrate preferred embodiments of the invention and, together with the description of the invention given above, serve to further the understanding of the technical idea of the invention. And should not be construed as interpretation.
1 is a diagram illustrating a mobile (wireless) data traffic indicator.
2 is a diagram showing one of the main factors of conventional mobile network congestion.
3 is a block diagram illustrating a configuration of a control packet abnormal increase detection apparatus according to an embodiment of the present invention.
4 is a diagram showing an example of a packet including a general control packet.
FIG. 5 is a diagram illustrating an embodiment of the measured control packet.
FIG. 6 is a diagram showing another embodiment of the measured control packet.
Figure 7 is an embodiment of measuring the amount of generation per second of control flags according to an embodiment of the present invention.
8 is a diagram illustrating a process for detecting an abnormal increase in a control packet according to an embodiment of the present invention.

이하 첨부된 도면과 설명을 참조하여 본 발명의 바람직한 실시예에 대한 동작 원리를 상세히 설명한다. 다만, 하기에 도시되는 도면과 후술되는 설명은 본 발명의 특징을 효과적으로 설명하기 위한 여러 가지 방법 중에서 바람직한 실시 방법에 대한 것이며, 본 발명이 하기의 도면과 설명만으로 한정되는 것은 아니다. 또한, 하기에서 본 발명을 설명함에 있어 관련된 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략할 것이다. 그리고 후술되는 용어들은 본 발명에서의 기능을 고려하여 정의된 용어들로서, 이는 사용자, 운용자의 의도 또는 관례 등에 따라 달라질 수 있다. 그러므로 그 정의는 본 발명에서 전반에 걸친 내용을 토대로 내려져야 할 것이다.
The operation principle of the preferred embodiment of the present invention will be described in detail with reference to the accompanying drawings and description. It should be understood, however, that the drawings and the following detailed description are exemplary and explanatory and are intended to provide further explanation of the invention, and are not to be construed as limiting the present invention. In the following description of the present invention, a detailed description of known functions and configurations incorporated herein will be omitted when it may make the subject matter of the present invention rather unclear. The terms used below are defined in consideration of the functions of the present invention, which may vary depending on the user, intention or custom of the operator. Therefore, the definition should be based on the contents throughout the present invention.

결과적으로, 본 발명의 기술적 사상은 청구범위에 의해 결정되며, 이하 실시예는 진보적인 본 발명의 기술적 사상을 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 효율적으로 설명하기 위한 일 수단일 뿐이다.
As a result, the technical idea of the present invention is determined by the claims, and the following embodiments are merely means for effectively explaining the technical idea of the present invention to a person having ordinary skill in the art to which the present invention belongs Only.

도 3은 본 발명의 실시 방법에 따른 제어패킷 이상 증가 검출장치(100)의 주요 구성부를 도시한 도면이다.
FIG. 3 is a diagram showing a main configuration of a control packet abnormal increase detection apparatus 100 according to an embodiment of the present invention.

보다 상세하게 본 도면3은 제어패킷 이상 증가 검출장치(100)가 복수개의 무선단말장치(200)와 복수개의 서버(300)가 패킷 송수신을 하는 통신망 또는 네트워크와 연결되어 상기 패킷(상기 패킷은 데이터로 표현이 가능하며, 이하 패킷과 데이터는 동일한 의미로 해석된다.)을 수집 또는 캡쳐한 후, 제어패킷의 이상 증가현상을 검출하는 구성을 도시한 것이다.
3 shows a control packet abnormality detection apparatus 100 connected to a communication network or a network through which a plurality of wireless terminal apparatuses 200 and a plurality of servers 300 transmit and receive packets, The packet and the data are interpreted in the same meaning as follows.) Is collected or captured, and then an abnormal increase phenomenon of the control packet is detected.

본 도면 3에 도시된 각각의 구성은 본 발명의 실시예를 설명하기 위한 구성일 뿐, 본 발명은 도면 3에 도시된 실시 방법만으로 그 기술적 특징이 한정되지 아니한다.
Each of the configurations shown in FIG. 3 is a configuration for explaining an embodiment of the present invention, and the technical features of the present invention are not limited only by the implementation method shown in FIG.

본 발명의 일 실시방법에 따르면, 상기 제어패킷 이상 증가 검출장치(100)는 통신망을 통해 복수개 무선단말장치(200) 및 복수개 서버(300) 간 상호 송수신하는 복수개 패킷을 수집 또는 캡쳐하고, 상기 수집 또는 캡쳐하는 패킷들을 서버 IP별로 분류 후, 각각의 IP에 대해서 발생한 제어패킷을 플래그 각각에 대해서 최근 n초 동안의 발생량을 측정하고, 현재시각을 기준으로 지난 일정 시간 동안 발생했던 제어패킷 플래그별 개수를 초단위로 일정 시간동안 기록을 하며, 일정시간 동안 초단위로 기록된 플래그들의 개수 정보를 이용하여 평균 또는 최대 발생량을 계산한 후, 상기 측정되는 제어 플래그들의 초당 발생량과 상기 계산된 플래그별 초당 유입량의 평균값 또는 최대값을 이용하여 제어패킷의 이상 증가를 검출하는 역할을 수행한다.
According to an embodiment of the present invention, the control packet abnormal increase detection apparatus 100 collects or captures a plurality of packets transmitted and received between a plurality of wireless terminal apparatuses 200 and a plurality of servers 300 through a communication network, Or packets to be captured are classified according to the server IP, the control packet generated for each IP is measured for each of the flags in the last n seconds, and the number of control packet flags And a control unit for calculating an average or a maximum generation amount using information on the number of flags recorded in units of seconds for a predetermined period of time, And detects the abnormal increase of the control packet by using the average value or the maximum value of the inflow amount.

여기서, 상기 제어패킷은, 하나 이상의 무선단말장치(200)와 연결된 서버(300)를 정상 종료시키거나 또는 하나 이상의 원인으로 인해 상기 서버(300)가 다운되어 상기 무선단말장치(200)와의 연결이 끊어지게 될 경우, 서버(300)에 접속 중인 무선단말장치(200)들에게 전송하는 TCP의 제어플래그인 세션의 재시작(RST) 또는 세션의 종료(FIN) 또는 세션의 연결(SYN)이 설정된 패킷을 의미하며, 상기 제어패킷 플래그는, 세션의 재시작(RST), 세션의 종료(FIN), 세션의 연결(SYN)을 하나 이상 포함한다.
Here, the control packet may be generated when a server 300 connected to one or more wireless terminal devices 200 is terminated normally or when the server 300 is down due to one or more causes and a connection with the wireless terminal device 200 (RST), session end (FIN), or session connection (SYN), which is a control flag of TCP transmitted to the wireless terminal devices 200 connected to the server 300, , And the control packet flag includes at least one of a session restart (RST), a session end (FIN), and a session connection (SYN).

또한, 상기 이상 증가는, 제어패킷의 초당 발생량이 기 설정한 임의의 기준을 넘어설 경우인 것을 의미하며, 상기 n초는, 1초인 것이 바람직할 것이다.
Further, the abnormal increase means that the amount of generation per second of the control packet exceeds a predetermined criterion, and it is preferable that the n second is 1 second.

도면 3을 참조하면, 본 발명의 실시 방법에 따른 제어패킷 이상 증가 검출장치(100)는, 수집부(10)와, 측정부(20)와, 기록부(30)와, 판단부(40)와, 출력부(50)와, 통신부(60)를 포함하여 구성된다.
3, a control packet abnormal increase detection apparatus 100 according to an embodiment of the present invention includes a collecting unit 10, a measuring unit 20, a recording unit 30, a determination unit 40, An output unit 50, and a communication unit 60. [

여기서, 상기 제어패킷 이상 증가 검출장치(100)는 실시예 설명을 위해 도면 상에는 단일 장치로 도시되어 있으나, 상기 각각의 구성부가 각각 하나 이상의 장치 또는 서버로 분리되어 구성될 수 있다.
Here, the control packet abnormality increase detecting apparatus 100 is shown as a single apparatus in the drawing for explaining the embodiment, but each of the constituent units may be configured separately from one or more apparatuses or servers.

도면 3을 참조하면, 상기 수집부(10)는, 통신망을 통해 복수개 무선단말장치(200) 및 복수개 서버(300) 간 상호 송수신하는 복수개 패킷을 수집 또는 캡쳐하는 역할을 수행한다.
Referring to FIG. 3, the collecting unit 10 collects or captures a plurality of packets transmitted and received between a plurality of wireless terminal devices 200 and a plurality of servers 300 through a communication network.

본 발명의 일 실시방법에 따르면, 무선단말장치(200)가 서버(300)(게임, 웹, 채팅, 유튜브 등)와 통신을 할 때, 기본적으로 무선단말장치(200)에서 발생된 패킷은 GGSN(Gateway GPRS Support Node)을 거치면서 TCP/IP프로토콜로 변환되어 해당하는 서버(300)로 전달되는데, 무선단말장치(200)와 서버(300) 간에 주고 받던 통신에 문제를 발생시키지 않으면서 패킷들을 분석해야 하는 바, 상기 수집부(10)는 패킷을 복제한 후, 복제된 패킷을 측정부(20)와 기록부(30)로 전달하는 것이 바람직할 것이다.
According to an embodiment of the present invention, when the wireless terminal device 200 communicates with the server 300 (game, web, chat, YouTube, etc.), the packet generated in the wireless terminal device 200 is basically transmitted to the GGSN IP protocol through the gateway GPRS Support Node and transmitted to the corresponding server 300. The packet is transmitted to the server 300 without causing a problem in communication between the wireless terminal 200 and the server 300. [ It is preferable that the collecting unit 10 copies the packet and then transmits the copied packet to the measuring unit 20 and the recording unit 30. [

일반적으로, 서버(300)와 무선단말장치(200) 간에 TCP프로토콜을 이용하여 세션의 연결(SYN), 데이터의 송수신, 세션의 종료(FIN), 세션의 재시작(RST)등을 수행하기 위해서는 서로 간에 TCP헤더 상의 특정한 필드값을 설정하여 패킷을 주고 받으면서, 제어패킷을 통해 연결을 맺거나 데이터를 전송하거나 끊게 되는데, 해당 헤더의 정보는 도면 4와 같다.
Generally, in order to perform session connection (SYN), data transmission / reception, session termination (FIN), and session restart (RST) between the server 300 and the wireless terminal device 200 using the TCP protocol, A specific field value on the TCP header is set, and the packet is exchanged, the connection is made through the control packet, the data is transmitted or disconnected, and the information of the corresponding header is shown in FIG.

도면 4는 일반적으로 무선단말장치(200)와 서버(300) 간 송수신하는 패킷의 헤더의 정보를 보여주는 일실시예를 보여준다.
4 shows an example of header information of a packet transmitted and received between the wireless terminal device 200 and the server 300. As shown in FIG.

도 4에 따르면, 헤더 정보 중, “RST (1 bit) ? Reset the connection”, “SYN (1 bit) ? Synchronize sequence numbers. Only the first packet sent from each end should have this 플래그 set. Some other 플래그s change meaning based on this 플래그, and some -are only valid for when it is set, and others when it is clear”, “FIN (1 bit) ? No more data from sender” 등 제어패킷을 구분하는 구성을 볼 수 있다. 4, among the header information, " RST (1 bit)? Reset the connection "," SYN (1 bit)? Synchronize sequence numbers. Only the first packet sent from each end should have this flag set. Some other flag s change meaning based on this flag, and some -are only valid for when it is set, and others when it is clear "," FIN (1 bit)? No more data from sender ".

본 발명은 서버(300)에서 무선단말장치(200)로 짧은 시간에 많은 양의 FIN이나 RST가 설정이 된 제어패킷이 발생하는 경우 등 이러한 제어 플래그의 양이 이상 증가할 경우를 검출함으로서, 네트워크의 과부하 원인을 모니터링 할 수 있도록 하는 것이다.
The present invention detects a case where the amount of control flag is increased excessively such as when a control packet in which a large amount of FIN or RST is set in a short time from the server 300 to the wireless terminal device 200 is detected, So that it can monitor the cause of overload.

본 발명의 일 실시방법에 따른 측정부(20)는, 상기 수집부(10)가 수집 또는 캡쳐하는 패킷들을 서버(300) IP별로 분류 후, 각각의 IP에 대해서 발생한 제어패킷을 플래그 각각에 대해서 최근 n초 동안의 발생량을 측정하는 역할을 수행한다.
The measuring unit 20 according to an embodiment of the present invention classifies the packets collected or captured by the collecting unit 10 by IP of the server 300 and then generates a control packet for each IP And it plays a role of measuring the amount of generation in the n seconds.

도면 5는 한 시간 동안 특정 서버(300)가 무선단말장치(200)와 주고 받은 제어플래그들의 개수를 종류에 따라서 초단위로 도식화한 예이다(그래프 설명 : 가로선인 TX, RX를 기준으로, +y축은 서버(300)가 무선단말장치(200)로 보낸 초당 제어패킷의 개수이며, -y축은 무선단말장치(200)에서 서버(300)로 보낸 초당 제어패킷의 개수).
5 illustrates an example in which the number of control flags transmitted / received by the specific server 300 to the wireless terminal device 200 for one hour is plotted in units of seconds according to the type (graph: y axis represents the number of control packets per second sent to the wireless terminal device 200 by the server 300 and -y axis represents the number of control packets per second transmitted from the wireless terminal device 200 to the server 300).

도 5에 따르면, 약 50여분 정도는 일정한 양의 FIN, SYN, RST패킷들이 서버(300)로 부터 발생하다가 54분 정도에 RST 패킷이 급증한 것을 볼 수 있다.
Referring to FIG. 5, it can be seen that a certain amount of FIN, SYN, and RST packets are generated from the server 300 for about 50 minutes, and that the RST packets are rapidly increased in about 54 minutes.

도면 6은 도 5를 통해 확인된 제어패킷의 이상 증가가 발생한 시점을 기준으로 이상 증가 관련 정보들을 검출하기 위한 그래프를 도식화 한 것이다.
FIG. 6 is a graph showing a graph for detecting abnormal increase related information based on a time point at which abnormal increase of a control packet is confirmed as shown in FIG.

본 발명의 일 실시방법에 따르면, 상기 제어패킷 이상 증가 검출장치(100)는 도 5와 도 6을 통해 제어패킷의 이상 증가 현상을 확인한 후, 이상증가가 발생한 서버(300)의 IP정보와, 이상 증가 발생 시각정보, 발생 시각의 이전 일정 시각~이후 일정 시각까지의 제어패킷들에 대한 정보 등을 하나 이상 검출한다.According to an embodiment of the present invention, the control packet abnormal increase detection apparatus 100 confirms abnormal increase of a control packet through FIG. 5 and FIG. 6, and then transmits the IP information of the server 300, And information on control packets from the previous predetermined time to the predetermined time of the generation time, and the like.

도면 7은 측정부(20)를 통해 현재 유입되고 있는 패킷들을 서버(300) IP별로 분류 후, 각각의 IP에 대해서 발생한 제어패킷을 플래그(SYN, FIN, RST등) 각각에 대해서 최근 1초 동안의 발생량을 측정하는 일실시사례를 보여준다.
FIG. 7 is a flowchart illustrating a process of classifying packets currently flowing through the measuring unit 20 into IPs of the server 300 according to the IPs, and transmitting control packets generated for each IP to flags SYN, FIN, RST, Of the total amount of water.

여기서, TX는 서버(300)에서 무선단말장치(200)로 보내는 패킷을 의미하며, RX는 무선단말장치(200)에서 서버(300)로 보내는 패킷을 의미한다.
Here, TX denotes a packet sent from the server 300 to the wireless terminal 200, and RX denotes a packet sent from the wireless terminal 200 to the server 300.

본 발명의 일 실시방법에 따르면, 상기 수집부(10)로부터 캡쳐되서 들어오는 패킷에는 패킷이 캡쳐된 시각이 밀리세컨드 (1/1000초)단위로 기록이 되어 지속적으로 들어오게 되며, 상기 측정부(20)는 이 패킷들 중 최근 1초 동안 패킷들에 대해서 플래그별로 합산을 하여 초당 유입량을 계산한다.
According to an embodiment of the present invention, the time at which a packet is captured is recorded in units of milliseconds (1/1000 second) in a packet captured and received from the collecting unit 10, 20) calculates the inflow per second by summing the packets for the last one second of these packets by flags.

본 발명의 일 실시방법에 따른 기록부(30)는, 현재시각을 기준으로 지난 일정 시간 동안 발생했던 제어패킷 플래그별 개수를 초단위로 일정 시간동안 기록을 하며, 일정시간 동안 초단위로 기록된 플래그들의 개수 정보를 이용하여 평균 또는 최대 발생량을 계산하는 역할을 수행한다.
The recording unit 30 according to an embodiment of the present invention records the number of control packet flags generated for the predetermined time in the past based on the current time for a predetermined time in units of seconds, And calculates the average or maximum generation amount using the number information.

본 발명의 일 실시방법에 따른 판단부(40)는, 상기 측정부(20)에서 측정되는 제어 플래그들의 초당 발생량과 상기 기록부(30)에서 계산된 플래그별 초당 유입량의 평균값 또는 최대값을 이용하여 제어패킷의 이상 증가를 검출하는 역할을 수행한다.
The judging unit 40 according to an embodiment of the present invention uses the average value or the maximum value of the amount of generation per second of the control flags measured by the measuring unit 20 and the inflow amount per second calculated by the recording unit 30 And detects the abnormal increase of the control packet.

본 발명에 따르면, 상기 판단부(40)는, 특정 플래그의 초당 발생량이 기 설정한 임의의 상한치를 넘어설 경우 제어패킷의 이상 증가로 판단하거나, 또는 플래그별 초당 발생량이 플래그별 초당 유입량의 평균값보다 기 설정한 배수 이상이고, 기 설정한 임의의 하한치를 넘을 경우 제어패킷의 이상 증가로 판단할 수 있다.
According to the present invention, the determination unit (40) determines that an abnormal increase in the control packet occurs when the amount of occurrence per second of the specific flag exceeds a predetermined upper limit value, or if the amount of occurrence per second per flag is larger than the average value It is judged that the control packet is abnormally increased if it exceeds the predetermined lower limit value.

또한, 상기 판단부(40)는, 이상증가가 발생한 서버(300)의 IP정보와, 이상 증가 발생 시각 정보와, 이상 증가 발생 시각의 이전 일정 시각~이후 일정 시각까지의 제어패킷들에 대한 정보를 하나 이상 검출할 수 있으며, 상기 기록부(30)에서 현재시각을 기준으로 지난 일정 시간 동안 발생했던 제어패킷 플래그별 개수를 초단위로 일정 시간동안 기록시, 얼마 간의 시간 동안 기록을 할 지 조절하는 역할을 더 수행할 수 있다.
In addition, the determination unit 40 determines whether or not the IP information of the server 300 in which the abnormal increase has occurred, the abnormal increase occurrence time information, and the information about the control packets up to a predetermined time after the abnormal increase occurrence time And the number of control packet flags generated during the predetermined period of time based on the current time in the recording unit 30 is controlled for recording for a certain period of time in units of seconds and for a certain period of time You can perform more roles.

본 발명의 일 실시방법에 따른 출력부(50)는, 상기 판단부(40)의 검출결과, 제어패킷의 이상 증가가 검출되면, 알람을 출력하는 역할을 수행한다.
The output unit 50 according to an embodiment of the present invention outputs an alarm when an abnormal increase of the control packet is detected as a result of the determination unit 40. [

본 발명에 따르면, 상기 출력부(50)는 모니터링 화면 상에 알람을 출력하거나, 또는 스피커를 통해 알람을 출력할 수 있다.
According to the present invention, the output unit 50 may output an alarm on a monitoring screen or an alarm through a speaker.

본 발명의 일 실시방법에 따른 통신부(60)는, 상기 판단부(40)의 검출결과, 제어패킷의 이상 증가가 검출되면, 하나 이상의 단말 또는 서버(300)로 제어패킷 이상 증가를 통지하는 역할을 수행한다.
The communication unit 60 according to one embodiment of the present invention notifies a control packet abnormal increase to one or more terminals or servers 300 when an abnormal increase in control packets is detected as a result of detection by the determination unit 40 .

본 발명에 따르면, 상기 통신부(60)는, 기 설정된 하나 이상의 관리자의 유선 및/또는 무선단말로 제어패킷 이상 증가를 통지할 수 있다.
According to the present invention, the communication unit 60 can notify a wired and / or wireless terminal of one or more administrators set in advance to the control packet abnormal increase.

본 발명에 따르면, 상기 제어패킷 이상 증가 검출장치(100)의 각 구성부는 프로그램 내지 프로그램 셋의 형태로 구현 가능하며, 두 개 이상의 장치에 분할되어 구비될 수 있다.
According to the present invention, each component of the control packet abnormal increase detection apparatus 100 can be implemented in the form of a program or a program set, and can be divided into two or more devices.

도 8은 본 발명의 실시 방법에 따른 제어패킷의 이상 증가 현상을 검출하는 프로세스를 도시한 도면이다.
8 is a diagram illustrating a process for detecting an abnormal increase in a control packet according to an embodiment of the present invention.

우선, 제어패킷 이상 증가 검출장치(100)는 수집부(10)를 통해 복수개 무선단말장치(200) 및 복수개 서버(300) 간 상호 송수신하는 복수개 패킷을 수집 또는 캡쳐한다(S810).
First, the control packet abnormal increase detecting apparatus 100 collects or captures a plurality of packets mutually transmitting and receiving a plurality of wireless terminal apparatuses 200 and a plurality of servers 300 through the collecting unit 10 (S810).

이후, 제어패킷 이상 증가 검출장치(100)는 측정부(20)를 통해 상기 수집부(10)가 수집 또는 캡쳐하는 패킷들을 서버(300) IP별로 분류(S820).
Thereafter, the control packet abnormality increase detecting apparatus 100 classifies the packets collected or captured by the collecting unit 10 through the measuring unit 20 by IP of the server 300 (S820).

이후, 제어패킷 이상 증가 검출장치(100)의 측정부(20)는 각각의 IP에 대해서 발생한 제어패킷을 플래그 각각에 대해서 최근 n초 동안의 발생량을 측정한다(S830).
Thereafter, the measuring unit 20 of the control packet abnormality increase detecting apparatus 100 measures the generation amount of control packets generated for each IP for the last n seconds (S830).

한편, 패킷 이상 증가 검출장치(100)는 기록부(30)를 통해 현재시각을 기준으로 지난 일정 시간 동안 발생했던 제어패킷 플래그별 개수를 초단위로 일정 시간동안 기록한다(S840).
In step S840, the abnormal packet detection apparatus 100 records the number of control packet flags generated for a predetermined period of time based on the current time through the recording unit 30 for a predetermined period of time in units of seconds.

이후, 패킷 이상 증가 검출장치(100)는 기록부(30)를 통해 일정시간 동안 초단위로 기록된 플래그들의 개수 정보를 이용하여 평균 또는 최대 발생량을 계산한다(S850).
Thereafter, the abnormal packet detection apparatus 100 calculates an average or maximum generation amount using the number of flags recorded in units of seconds for a predetermined time through the recording unit 30 (S850).

여기서, 상기 (S820)과 (S830)과정은 상기 (S840)과정과 (S850)과정과 그 순서를 바꾸어도 무방하며, 상기 (S820) 및 (S830)과정과 상기 (S840)과정 및 (S850)과정은 동시에 수행되어도 무방하다.
Here, steps S820 and S830 may be performed in step S840, step S850, and steps S820 and S830, step S840, and step S850. May be performed at the same time.

이후, 패킷 이상 증가 검출장치(100)는 판단부(40)를 통해 특정 플래그의 초당 발생량이 기 설정한 임의의 상한치를 넘는지 확인한다(S860).
Thereafter, the packet abnormal increase detecting apparatus 100 checks whether the amount of generation per second of the specific flag exceeds the predetermined upper limit value through the determination unit 40 (S860).

만약, (S860)과정에서, 확인결과, 특정 플래그의 초당 발생량이 기 설정한 임의의 상한치를 넘어설 경우(S870), 패킷 이상 증가 검출장치(100)의 판단부(40)는 제어패킷의 이상 증가로 판단한다(S875).
If it is determined in step S860 that the amount of occurrence of the specific flag per second exceeds the predetermined upper limit value in step S870, the determination unit 40 of the packet abnormal increase detection apparatus 100 determines whether the error (S875).

만약, (S860)과정에서, 확인결과, 특정 플래그의 초당 발생량이 기 설정한 임의의 상한치를 넘어서지 않는 경우(S880), 패킷 이상 증가 검출장치(100)는 판단부(40)를 통해 플래그별 초당 발생량이 플래그별 초당 유입량의 평균값보다 기 설정한 배수 이상 커지고, 기 설정한 임의의 하한치를 넘는지 확인한다(S885).
If it is determined in step S860 that the amount of occurrence of the specific flag per second does not exceed the predetermined upper limit value in step S880, the packet abnormal increase detection apparatus 100 transmits, It is checked whether the amount of generated oil is larger than the average value of the inflow amount per second per flag by a predetermined multiple or exceeding a predetermined lower limit value (S885).

만약, (S885)과정에서, 확인결과, 플래그별 초당 발생량이 플래그별 초당 유입량의 평균값보다 기 설정한 배수 이상 커지고, 설정한 임의의 하한치를 넘는 경우(S890), 패킷 이상 증가 검출장치(100)의 판단부(40)는 제어패킷의 이상 증가로 판단한다(S875).
If it is determined in step S885 that the amount of occurrence per second per flag is greater than a predetermined multiple of the average value of the inflow per second per flag and exceeds the set lower limit value in step S890, The determination unit 40 determines that the control packet has abnormally increased (S875).

만약, (S885)과정에서, 확인결과, 플래그별 초당 발생량이 플래그별 초당 유입량의 평균값보다 기 설정한 배수 이상 커지지 않거나, 또는 기 설정한 임의의 하한치를 넘지 않거나, 기설정한 배수 이상 커지더라도 기설정한 임의의 하한치를 넘지 않는 경우(S895), 상기 제어패킷 이상 증가 검출장치(100)는 (S810)과정을 반복한다(S895).
If it is determined in step S885 that the amount per second generated per flag does not increase by more than a predetermined number of times larger than the average value of the inflow amount per second per flag or does not exceed a predetermined lower limit value or becomes larger than a predetermined multiple, If the set lower limit value is not exceeded (S895), the control packet abnormality increase detecting apparatus 100 repeats the process of S810 (S895).

도 8에서는 본 발명의 일 실시사례 설명을 위하여 (S860)과정과 (S885)과정이 순차적으로 처리되는 것으로 도시되었으나, (S860)과정과 (S885)과정은 그 순서를 바꾸어도 무방하며, 동시에 처리되어도 무방하다.
In FIG. 8, steps S860 and S885 are sequentially performed for explaining an embodiment of the present invention. However, steps S860 and S885 may be performed in sequence, It is acceptable.

도면 상에는 별도로 도시하지는 않았으나, (S875)과정을 통해 제어패킷의 이상 증가를 검출되면, 이후 상기 제어패킷 이상 증가 검출장치(100)는 출력부(50)를 통해 모니터링 화면 또는 스피커 상에 알람을 출력하거나, 및/또는 통신부(60)를 통해 하나 이상의 단말 또는 서버(300)로 제어패킷 이상 증가를 통지한다.
Although not shown in the drawing, when abnormal increase of the control packet is detected in step S875, the control packet abnormal increase detecting apparatus 100 outputs an alarm on the monitor screen or the speaker through the output unit 50 And notifies the at least one terminal or server 300 via the communication unit 60 of an increase in control packet abnormality.

100 : 제어패킷 이상 증가 검출장치
200 : 무선단말장치 300 : 서버
10 : 수집부 20 : 측정부
30 : 기록부 40 : 판단부
50 : 출력부 60 : 통신부100: control packet abnormal increase detection device
200: wireless terminal device 300: server
10: collecting section 20: measuring section
30: recording unit 40:
50: output unit 60: communication unit

Claims

A collecting unit for collecting or capturing a plurality of packets transmitted and received between a plurality of wireless terminal devices and a plurality of servers through a communication network;
A measuring unit for classifying the packets collected or captured by the collecting unit according to the server IP and measuring the amount of the control packet generated for each IP for the last n seconds for each flag;
A recording unit for recording the number of control packet flags generated for a predetermined period of time based on the current time for a predetermined time in units of seconds and calculating an average or maximum generation amount using the number of flags recorded in units of seconds for a predetermined period of time; ;
And a determination unit for detecting an abnormal increase in a control packet by using an average value or a maximum value of an inflow amount per second for each flag calculated in the recording unit and a generation amount per second of control flags measured by the measurement unit,
Control packet abnormal increase detection device.

The method according to claim 1,
Further comprising an output unit for outputting an alarm when a result of detection by the determination unit indicates that an abnormally increased control packet has been detected,
Control packet abnormal increase detection device.

The method according to claim 1,
Further comprising a communication unit for notifying at least one terminal or server of an increase in control packet abnormality when an abnormal increase in the control packet is detected as a result of the determination by the determination unit,
Control packet abnormal increase detection device.

The apparatus of claim 1,
When the amount of occurrence per second of the specific flag exceeds the predetermined upper limit value, it is determined that the control packet is abnormal increase, or
When the amount of generated per second per flag is larger than the average value of the inflow amount per second per flag and exceeds the predetermined lower limit value,
Control packet abnormal increase detection device.

The apparatus of claim 1,
Detecting one or more pieces of information on control packets from a predetermined time to a predetermined time after the abnormal increase occurrence time,
Control packet abnormal increase detection device.

The apparatus of claim 1,
A control unit for controlling the number of control packet flags generated for a predetermined time based on the current time in the recording unit,
Control packet abnormal increase detection device.

2. The method of claim 1,
When the server is shut down due to one or more causes and the connection with the wireless terminal device is cut off, the TCP connection to the wireless terminal devices connected to the server is terminated (RST), a session end (FIN), or a session connection (SYN) is set as a control flag.
Control packet abnormal increase detection device.

2. The method of claim 1,
(RST), end of session (FIN), connection of session (SYN)
Control packet abnormal increase detection device.

2. The method of claim 1,
And the generation amount per second of the control packet exceeds a preset arbitrary criterion.
Control packet abnormal increase detection device.

2. The method of claim 1,
1 < / RTI >
Control packet abnormal increase detection device.