Nothing Special   »   [go: up one dir, main page]

WO2024177384A1 - 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 - Google Patents

네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 Download PDF

Info

Publication number
WO2024177384A1
WO2024177384A1 PCT/KR2024/002271 KR2024002271W WO2024177384A1 WO 2024177384 A1 WO2024177384 A1 WO 2024177384A1 KR 2024002271 W KR2024002271 W KR 2024002271W WO 2024177384 A1 WO2024177384 A1 WO 2024177384A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
node
data packet
authentication
gateway
Prior art date
Application number
PCT/KR2024/002271
Other languages
English (en)
French (fr)
Inventor
김영랑
Original Assignee
프라이빗테크놀로지 주식회사
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 프라이빗테크놀로지 주식회사 filed Critical 프라이빗테크놀로지 주식회사
Publication of WO2024177384A1 publication Critical patent/WO2024177384A1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/028—Capturing of monitoring data by filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • H04L47/80—Actions related to the user profile or the type of traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Definitions

  • Embodiments disclosed in this document relate to a system for controlling network access and a method thereof.
  • a number of devices can communicate data over a network.
  • a terminal can transmit or receive data to or from a server over the Internet.
  • the network can include a public network such as the Internet, as well as a private network such as an intranet.
  • Controlling a node's network access using tunneling or authentication information embedded in data packets can prevent unauthorized or insecure nodes from accessing the destination network.
  • a gateway existing at the border of a destination network must use authentication information included in a tunnel or data packet, which is the minimum access control unit, to check whether the node is authorized, etc.
  • an access control application network access control application
  • an access control application network access control application
  • a node attempts to access a target service without an access control application installed, access to the destination network is blocked, and there is a problem in that the user of the node has no idea why access to the destination network is blocked.
  • the access control application cannot be installed (e.g., a node with an old operating system for which technical support required to install the access control application has ended, a low-power IoT with low absolute hardware specifications, a node with an operating system not supported by the access control application, etc.), there is a problem in that the node cannot access the destination network.
  • a gateway comprises a communication circuit, a memory, and a processor operatively connected to the communication circuit and the memory, wherein the processor is configured to receive a data packet for a service request from a node, determine whether a channel corresponding to the data packet exists, and if it is determined that the channel exists, forward the data packet to a destination network of the data packet, and if it is determined that the channel does not exist, forward the data packet to an external server, and after forwarding the data packet to the external server, receive information about the channel from the external server according to an authentication result for the node.
  • an external server includes a communication circuit, a memory, and a processor operatively connected to the communication circuit and the memory, wherein the processor may be configured to, when a data packet for a service request is obtained, transmit authentication support information to the node with reference to the data packet, obtain a network connection request including a source IP (internet protocol) from the node based on the authentication support information, determine whether the node is connectable to the destination network based on information included in the network connection request, and, if it is determined that connection is possible, transmit information about a channel to a gateway.
  • the processor may be configured to, when a data packet for a service request is obtained, transmit authentication support information to the node with reference to the data packet, obtain a network connection request including a source IP (internet protocol) from the node based on the authentication support information, determine whether the node is connectable to the destination network based on information included in the network connection request, and, if it is determined that connection is possible, transmit information about a channel to a gateway.
  • the method of operating the gateway may include the steps of receiving a data packet for a service request from a node, the step of checking whether a data flow and a security session corresponding to the data packet exist, and if it is checked that the data flow and the security session exist, the step of forwarding the data packet to a destination network of the data packet, and if it is checked that the data flow and the security session do not exist, the step of forwarding the data packet to an external server, and then receiving information on the channel from the external server according to the authentication result for the node.
  • a node can access a target service even if a connection control application is not installed on the node.
  • a node installing an access control application is granted first access rights
  • a node performing an authentication process is granted second access rights, thereby enabling the node to efficiently access a target service.
  • the security of the destination network can be improved by recovering a tunnel or data flow when a target application installed on a node is terminated or based on a security event received from a linking system.
  • network access can be controlled independently for each node based on the channel.
  • Figure 1 illustrates an architecture within a network environment according to various embodiments.
  • FIG. 2 is a functional block diagram illustrating a database stored in a control server according to various embodiments.
  • FIG. 3 illustrates a functional block diagram of a gateway according to various embodiments.
  • FIGS. 4A and 4B illustrate operations for controlling transmission of data packets according to various embodiments.
  • Figure 5 is a diagram explaining the operation of a gateway when a node on which an access control application is not installed attempts to access a service server.
  • Figures 6 to 10 are drawings for explaining operations related to nodes on which an access control application is not installed.
  • FIG. 11 is a diagram illustrating data packets according to various embodiments related to authentication information required for creating a logical connection.
  • Figures 12 to 16 are drawings for explaining operations related to a node on which an access control application is installed.
  • Figure 17 is a diagram explaining the protocol inspection process.
  • Figure 18 is a flowchart schematically illustrating the process by which a gateway creates a secure session.
  • Figure 19 is a diagram explaining the process by which a gateway processes a service request.
  • Figure 20 is a diagram for explaining the structure of service request information with a data flow header inserted.
  • a component e.g., a first component
  • another component e.g., a second component
  • the component can be connected to the other component directly (e.g., wired), wirelessly, or through a third component.
  • Each component (e.g., a module or a program) of the components described in this document may include a single or multiple entities. According to various embodiments, one or more of the components or operations of the components may be omitted, or one or more other components or operations may be added. Alternatively or additionally, a plurality of components (e.g., a module or a program) may be integrated into a single component. In such a case, the integrated component may perform one or more functions of each of the components of the plurality of components identically or similarly to those performed by the corresponding component of the plurality of components before the integration.
  • the operations performed by the module, program or other component may be executed sequentially, in parallel, repeatedly, or heuristically, or one or more of the operations may be executed in a different order, omitted, or one or more other operations may be added.
  • module or “...part” used in this document may include a unit implemented in hardware, software or firmware, and may be used interchangeably with terms such as logic, logic block, component, or circuit.
  • a module may be an integrally configured component or a minimum unit of the component or a portion thereof that performs one or more functions.
  • a module may be implemented in the form of an application-specific integrated circuit (ASIC).
  • ASIC application-specific integrated circuit
  • Various embodiments of the present document may be implemented as software (e.g., a program or an application) including one or more instructions stored in a storage medium (e.g., a memory) that can be read by a machine.
  • a storage medium e.g., a memory
  • a processor of the machine may call at least one instruction among the one or more instructions stored from the storage medium and execute it. This enables the machine to operate to perform at least one function according to the at least one instruction called.
  • the one or more instructions may include code generated by a compiler or code that can be executed by an interpreter.
  • the machine-readable storage medium may be provided in the form of a non-transitory storage medium.
  • 'non-transitory' only means that the storage medium is a tangible device and does not include a signal (e.g., an electromagnetic wave), and this term does not distinguish between cases where data is stored semi-permanently and cases where it is stored temporarily in the storage medium.
  • a signal e.g., an electromagnetic wave
  • the method according to various embodiments disclosed in this document may be provided as included in a computer program product.
  • the computer program product may be traded between a seller and a buyer as a commodity.
  • the computer program product may be distributed in the form of a machine-readable storage medium (e.g., a compact disc read only memory (CD-ROM)), or may be distributed online (e.g., downloaded or uploaded) through an application store or directly between two user devices (e.g., smartphones).
  • a part of the computer program product may be temporarily stored or temporarily generated in a machine-readable storage medium, such as a memory of a manufacturer's server, a server of an application store, or an intermediary server.
  • Figure 1 illustrates an architecture within a network environment according to various embodiments.
  • nodes (103_1, 103_2) may be various types of devices capable of performing data communication.
  • nodes (103_1, 103_2) may include portable devices such as smartphones or tablets, computer devices such as desktops or laptops, multimedia devices, medical devices, cameras, wearable devices, virtual reality (VR) devices, or home appliance devices, but are not limited to the aforementioned devices.
  • Nodes (103_1, 103_2) may also be referred to as 'electronic devices' or 'terminals'.
  • the gateway (101) can be connected to nodes (103_1, 103_2).
  • the gateway (101) can support nodes (103_1, 103_2) to connect to service servers (105_1, 105_2) by providing nodes (103_1, 103_2) with a structure that allows communication only when a data flow authorized by a control server (102) exists.
  • the gateway (101) can provide nodes (103_1, 103_2) with a structure that allows communication only when a data flow does not exist.
  • the gateway (101) may receive a data packet for connection to a destination network from a node, check whether a channel (e.g., a tunnel or a secure session) corresponding to the data packet exists, and if it is determined that the channel exists, forward the data packet to the destination network to support processing of the node's service request. If it is determined that the channel does not exist, the gateway may forward the data packet to an external server (e.g., an authentication server (104)) to support authentication of the node. In addition, information about the channel may be received from the external server according to the authentication result of the node.
  • a channel e.g., a tunnel or a secure session
  • the gateway (101) if it is confirmed that a channel exists, checks whether a data flow corresponding to the data packet exists, and if it is confirmed that the data flow exists, the gateway can forward the data packet to a destination network. If it is confirmed that the data flow does not exist, it checks whether the data packet is a data packet of an authenticable protocol, and if it is confirmed that the data packet is a data packet of an authenticable protocol, the gateway can perform a network address translation (NAT) process that converts a destination IP and a destination port of the data packet to an external server IP and an external server port corresponding to an external server (e.g., an authentication server (104)), thereby forwarding the data packet.
  • NAT network address translation
  • the gateway (101) when an access control application is installed, receives a tunnel creation request for creating a tunnel from a node (103_1), creates a tunnel with the node (103_1) based on the tunnel creation request, and then communicates with the node through the tunnel.
  • the service server (105_1, 105_2) may be various types of devices capable of performing data communication.
  • the service server (105_1, 105_2) may include a portable device such as a smart phone or a tablet, a computer device such as a desktop or a laptop, a multimedia device, a medical device, a camera, a wearable device, a virtual reality (VR) device, or a home appliance device, but is not limited to the aforementioned devices.
  • the service server (105_1, 105_2) may also be referred to as an 'electronic device' or a 'terminal'.
  • Nodes (103_1, 103_2) can transmit data packets to service servers (105_1, 105_2) or receive data packets from service servers (105_1, 105_2).
  • Some of the target applications included in nodes (103_1, 103_2) may be trusted and/or secure applications, such as web browsers or business applications, while others may be untrusted or insecure malicious programs. Therefore, the network access control system according to embodiments may block access of unauthorized programs (applications) to service servers (105_1, 105_2) and isolate (e.g., blacklist) such programs.
  • the control server (102) can ensure reliable data transmission within a network environment by managing data transmission between the gateway (101) and the service servers (105_1, 105_2). For example, the control server (102) can allow network access of an authorized access control application through policy information or blacklist information. The control server (102) can provide authentication information that can perform authentication between the gateway (101) and the service servers (105_1, 105_2). Accordingly, the access control application can prevent an unauthorized node from transmitting data packets to an unauthorized destination.
  • the network access of a node may be blocked by a connection control application, a control server (102), or a gateway (101).
  • the control server (102) may transmit and receive control data packets with the gateway (101) in order to perform various operations (e.g., registration, approval, authentication, renewal, termination) associated with the network access of the gateway (101).
  • the flow in which the control data packets are transmitted may be referred to as a 'control flow'.
  • the control server (102) may immediately recover a tunnel according to a security event received from a linking system (e.g., gateway), or may immediately recover a tunnel when a target application is terminated, thereby maintaining a secure network state at all times.
  • the above-described structure may be substantially equally applied to the relationship between the connection control application and the control server (102).
  • control server (102) can communicate with the authentication server (104).
  • FIG. 1 illustrates a case where the control server (102) and the authentication server (104) are separated, the present invention is not limited thereto, and the control server (102) and the authentication server (104) may be configured as a single integrated server (e.g., an external server).
  • FIG. 2 is a functional block diagram showing a database stored in a control server (102) according to various embodiments. Although FIG. 2 only shows a memory, the control server (102) may further include a communication circuit for performing communication with an external electronic device and a processor for controlling the overall operation of the control server (102).
  • An administrator can access the control server (102) and set a connection-centric policy to control access between the access control application, gateway (101), and service server, thereby enabling more detailed and safer control of network access than managing sessions at the service level.
  • the access policy database (211) may include at least some of the information for identification of the node (such as unique node identification information, user information corresponding to the node, information about services that the target application of the node can access, etc.) and authentication (such as a certificate). For example, when a network access request is obtained from a target application controlled by the access control application, the control server (102) may determine whether the node, target application, and/or user identified at the time of the network access request can access the destination (such as a service server or gateway (101)) based on the policy of the access policy database (211).
  • the control server (102) may determine whether the node, target application, and/or user identified at the time of the network access request can access the destination (such as a service server or gateway (101)) based on the policy of the access policy database (211).
  • control server (102) may determine whether the node, target application, and/or user identified at the time of the network access request can access the destination (such as a service server or gateway) based on the policy of the access policy database (211) when a network access request is obtained from the target application.
  • control server (102) can check whether connection is possible and generate a data flow based on a method for identifying a connection target and identification information (e.g., an identification method based on a MAC address of a node, an identification method based on authentication information transmitted by a node when requesting network connection, an identification method of an application requesting network connection within a router (201) and thus, destination IP and port information included in an IP header, protocol information (e.g., TCP, UDP, etc.), MAC address, application identification information, IP allocated to the node, received network interface identification information, etc.).
  • a method for identifying a connection target and identification information e.g., an identification method based on a MAC address of a node, an identification method based on authentication information transmitted by a node when requesting network connection, an identification method of an application requesting network connection within a router (201) and thus, destination IP and port information included in an IP header, protocol information (e.g., TCP, UDP, etc.), MAC address
  • the tunnel policy database (212) may include a series of information (e.g., authentication information, encryption algorithm, tunnel endpoint IP, etc.) required to create a tunnel to be connected to a gateway (101) on a connection path according to a connection policy. If a tunnel already connected to another gateway (not shown) on the connection path exists, a series of information (e.g., whether to collect IP information assigned to a node and whether to perform replacement processing) for using it may be included.
  • the control server (102) may provide a tunnel and gateway (101) optimized for the node based on the tunnel policy when a network connection request is made by a node connected to the gateway (101).
  • the authentication policy database (213) may include a series of information related to whether to authenticate network access based on the identification information of a node when a node connected to the gateway (101) accesses the network according to the access policy (211) and, if authentication is performed, the authentication method.
  • the authentication policy database (213) may include certificate information (e.g., Mutual-TLS) previously issued to a connection target (e.g., a node) and may include certificate information (e.g., TLS) for inducing a connection target (e.g., a node) to create a secure session in a proxy included in the gateway (101).
  • certificate information e.g., Mutual-TLS
  • TLS certificate information for inducing a connection target (e.g., a node) to create a secure session in a proxy included in the gateway (101).
  • the protocol policy database (214) may include protocol identification signature information, protocol version information, protocol header information, and agreement information for identifying protocol information included when transmitting and receiving data packets as protocol information that can communicate with the target service.
  • the protocol policy database (214) includes information on whether to process a data packet as a normal protocol by examining the data packet to a certain extent (length) to identify the protocol, information on the timing of a network connection attempt or the protocol examination cycle, information on the protocol examination performing entity, and a series of information related to network connection release, control flow release, and isolation in case of non-compliance with the protocol.
  • the service policy database (215) may include service IP and port information, protocol information (e.g., HTTP, FTP, IoT-specific protocol, etc.) that a connection target (e.g., a node) can access through a proxy (e.g., a proxy included in a gateway (101)) according to the access policy (211).
  • the service policy database (215) may include whether service request filtering is necessary, a service request filtering processing method, filtering information (e.g., personal information, harmful service request information), and a series of information for blocking unnecessary or dangerous service requests in advance in the proxy.
  • the service policy database (215) may include a series of information for setting the number of service requests possible per a certain time unit and adjusting the number of service requests in the proxy accordingly when QoS (Quality of Service) for a service request is required.
  • the control flow table (216) is an example of a session table for managing the flow of control data packets (e.g., control flows) generated between the connection control application and the control server (102).
  • control flow information may be generated by the control server (102).
  • the control flow information may include identification information of the control flow, an IP address identified upon connection and authentication to the control server (102), node identification information, target application identification information, information additionally identified through linkage with the service server, etc.
  • the control server (102) may search for control flow information through the control flow identification information, and may determine (decide) whether the node can connect to the service server, whether to generate a data flow for data packet transmission, etc. by mapping the identification information included in the searched control flow information to the connection policy database (211).
  • a control flow may have an expiration time.
  • the access control application must periodically/aperiodically update the expiration time of the control flow, and if the expiration time is not updated for a certain period of time, the control flow (or control flow information) may be removed.
  • the control server (102) may remove the control flow. If the control flow is removed, previously generated data flows are also removed, so that access to the service server through the corresponding gateway (101) may be blocked.
  • the data flow table (217) is a table for managing the flow (e.g., data flow) of detailed data packets transmitted between a node and a gateway (101), and may include data flow information for managing tunnels and/or sessions in a target application of the node, the gateway (101), and a service server.
  • data flow identification information e.g., ID
  • node identification information e.g., MAC address information
  • the data flow table (217) may include at least a portion of the following: an application and a minimum identification unit of the application; information for the gateway (101) to determine whether network connection is possible based on the source IP, destination IP, and service port information of the data packet; a series of information (authentication information, encryption algorithm, Tunnel End Point IP, etc.) required to create a tunnel with the gateway (101) on the connection path; data flow status information regarding whether the data flow is available; and authentication expiration time information required when periodically authenticating the corresponding data flow.
  • an application and a minimum identification unit of the application information for the gateway (101) to determine whether network connection is possible based on the source IP, destination IP, and service port information of the data packet
  • a series of information authentication information, encryption algorithm, Tunnel End Point IP, etc.
  • the data flow table (217) may include authentication information.
  • the authentication information may include a series of information for checking whether an authorized node has transmitted a data packet, a method for checking authentication information by protocol (e.g., in the case of TCP, TCP SYN packet inspection, in the case of UDP, authentication information inspection by data packet or authentication information inspection at regular intervals (or cycles), inspection method, etc.), information for decrypting authentication information, algorithm information for generating and verifying authentication information, and a series of information included in the algorithm (e.g., information such as Secret Key when generating HMAC OTP, etc.).
  • protocol e.g., in the case of TCP, TCP SYN packet inspection, in the case of UDP, authentication information inspection by data packet or authentication information inspection at regular intervals (or cycles), inspection method, etc.
  • information for decrypting authentication information e.g., information such as Secret Key when generating HMAC OTP, etc.
  • the data flow table (217) may include certificate information issued in advance to process a request for creating a secure session of an authorized connection target (e.g., a node).
  • an authorized connection target e.g., a node
  • the data flow table may contain information about security sessions.
  • the data flow table (217) may include service information.
  • the service information may include service IP and port information that an allowed connection target can access through the proxy, protocol information (e.g., HTTP, FTP, IoT-specific protocol, etc.), whether service request filtering is necessary, a service request filtering processing method, and filtering information (e.g., personal information, harmful service request information).
  • the service information may include a series of information for blocking unnecessary or dangerous service requests in advance in the proxy, and a series of information for setting a number of service requestable times per period when QoS (Quality of Service) for the service request is required, and adjusting the number of service requests in the proxy accordingly.
  • the service information may be generated based on a service policy (318).
  • the data flow table (217) may be identically stored in the node and/or gateway (101) where the access control application is installed.
  • the tunnel table (218) may include identification information of a tunnel created between a target application and a gateway (101), an IP address of the tunnel, etc.
  • the control server (102) may determine whether a tunnel has been created between a target application and a gateway (101) based on the tunnel table (218).
  • the tunnel table (218) is a table for managing tunnels connected between the target application and the gateway (101), and may be configured with a tunnel ID for managing and identifying a tunnel if a valid tunnel exists, a control flow ID for controlling between the gateway (101) and the control server (102), and additional information for managing a TEP (tunnel endpoint), a TSP (tunnel start point), a tunnel algorithm and type, an encryption level, etc.
  • the blacklist database (219) may include a list of targets blocked by the blacklist policy database (220). For example, if the identification information of a target application requesting network access is included in the blacklist database (219), the control server (102) may isolate the target application by denying the network access request.
  • the blacklist policy database (220) may represent a blacklist registration policy for blocking access of a target (e.g., at least one of a node ID (identifier), an IP address, a MAC (media access control) address, and a user) identified through analysis of the risk level, occurrence cycle, and/or behavior of a security event among security events periodically collected from a node or gateway (101).
  • a target e.g., at least one of a node ID (identifier), an IP address, a MAC (media access control) address, and a user
  • FIG. 3 illustrates a functional block diagram of a gateway (101) according to various embodiments.
  • the gateway (101) may include a processor (310), a memory (320), and a communication circuit (330).
  • the processor (310) may control the overall operation of the gateway (101).
  • the processor (310) may include a single processor core or may include a plurality of processor cores.
  • the processor (310) may include a multi-core such as a dual-core, a quad-core, a hexa-core, etc.
  • the processor (310) may further include a cache memory located internally or externally.
  • the processor (310) may be configured with one or more processors.
  • the processor (310) may include at least one of an application processor, a communication processor, or a GPU (graphical processing unit).
  • All or part of the processor (310) may be electrically or operatively coupled with or connected to other components (e.g., memory (320), communication circuitry (330)) within the control server (102).
  • the processor (310) may receive commands from other components of the gateway (101), interpret the received commands, and perform calculations or process data according to the interpreted commands.
  • the processor (310) may interpret and process messages, data, commands, or signals received from the memory (320), communication circuitry (330).
  • the processor (310) may generate new messages, data, commands, or signals based on the received messages, data, commands, or signals.
  • the processor (310) may provide the processed or generated messages, data, commands, or signals to the memory (320), communication circuitry (330).
  • the processor (310) can process data or signals generated or produced by the program. For example, the processor (310) can request a command, data, or signal from the memory (320) to execute or control the program. The processor (310) can record (or store) or update a command, data, or signal to the memory (320) to execute or control the program.
  • the memory (320) can store commands, control command codes, control data, or user data for controlling the gateway (101).
  • the memory (320) can include at least one of an application program, an operating system (OS), middleware, or a device driver.
  • OS operating system
  • middleware middleware
  • device driver a device driver
  • the memory (320) may include one or more of volatile memory or non-volatile memory.
  • the volatile memory may include dynamic random access memory (DRAM), static RAM (SRAM), synchronous DRAM (SDRAM), phase-change RAM (PRAM), magnetic RAM (MRAM), resistive RAM (RRAM), ferroelectric RAM (FeRAM), etc.
  • the non-volatile memory may include read only memory (ROM), programmable ROM (PROM), electrically programmable ROM (EPROM), electrically erasable programmable ROM (EEPROM), flash memory, etc.
  • the memory (320) may further include a non-volatile medium such as a hard disk drive (HDD), a solid state disk (SSD), an embedded multi media card (eMMC), or a universal flash storage (UFS).
  • a non-volatile medium such as a hard disk drive (HDD), a solid state disk (SSD), an embedded multi media card (eMMC), or a universal flash storage (UFS).
  • HDD hard disk drive
  • SSD solid state disk
  • eMMC embedded multi media card
  • UFS universal flash storage
  • the communication circuit (330) can support the establishment of a wired or wireless communication connection between the gateway (101) and an external electronic device (e.g., the control server, the service server, etc. of FIG. 1), and the performance of communication through the established connection.
  • the communication circuit (330) includes a wireless communication circuit (e.g., a cellular communication circuit, a short-range wireless communication circuit, or a GNSS (global navigation satellite system) communication circuit) or a wired communication circuit (e.g., a LAN (local area network) communication circuit, or a power line communication circuit), and using a corresponding communication circuit among them, communication can be made with an external electronic device through a short-range communication network such as Bluetooth, WiFi direct, or IrDA (infrared data association), or a long-range communication network such as a cellular network, the Internet, or a computer network.
  • the various types of communication circuits (330) described above can be implemented as one chip or can be implemented as separate chips.
  • gateway For reference, the above has described the structure of the gateway (101), but the same/similar description may be applied to the control server (102), nodes (103_1, 103_2), authentication server (104), and/or service server (105_1, 105_2).
  • FIGS. 4A and 4B illustrate operations for controlling transmission of data packets according to various embodiments.
  • connection control application when a network connection request to a service server from a target application (e.g., malware) is detected by the connection control application, and the connection control application or gateway (101) is not connected to the control server (102), the connection control application can block transmission of data packets in a kernel or network driver including an operating system. Through the connection control application, the control server can block connections from malicious nodes in advance in the application layer of the OSI layer.
  • a target application e.g., malware
  • a node (103) connected to a connection control application must perform authentication by connecting to an external server (e.g., control server (102)), and after performing authentication, when connecting to a service server (105), it queries the control server (102) for connection network information to check whether connection is possible, and if connection is possible, it can transmit a data packet to the service server (105).
  • an external server e.g., control server (102)
  • control server (102) queries the control server (102) for connection network information to check whether connection is possible, and if connection is possible, it can transmit a data packet to the service server (105).
  • the gateway (101) can confirm the data packet received from the target application through an external server (e.g., control server (102)), and if it is a data packet transmitted by an authorized target application, it can allow transmission of a response data packet to the target application. For example, the gateway (101) can confirm whether a tunnel has been created with the target application from which the data packet has been received, and can forward the data packet to the destination only if a tunnel has been created. As a result, unauthorized nodes are basically unable to communicate with each other, and even authorized nodes cannot transmit and receive data packets if a tunnel determined by the control server (102) is not created.
  • an external server e.g., control server (102)
  • the gateway (101) can determine whether the node and/or the target application is authenticated, and if the node and/or the target application is not authenticated, can drop the data packet.
  • Figure 5 is a drawing for explaining the operation of the gateway (101) according to the target application type.
  • the gateway (101) can check whether the service request is in accordance with a universal protocol. If it is a universal protocol (e.g., IETF RFC standard protocols such as HTTP and FTP) that can be processed by the proxy of the gateway (101), the gateway (101) can perform detailed service access control by data flow. On the other hand, in the case of a native protocol that cannot be processed by the proxy, the gateway (101) can perform access control and data packet inspection by data flow.
  • a universal protocol e.g., IETF RFC standard protocols such as HTTP and FTP
  • Figure 6 schematically illustrates the process of forwarding data packets from a node where an access control application is not installed.
  • a node (103) on which an access control application is not installed may transmit a series of data packets for accessing a service server, and the data packets may pass through a gateway (101) located at the boundary between the service server and the node.
  • the gateway (101) can check whether the data packet is transmitted from a node (103) on which the access control application is not installed by referring to the data flow information obtained from the control server (102). If it is confirmed that the data packet is transmitted from a node (103) on which the access control application is not installed, the gateway (101) can check whether there is a data flow that can access the service server IP and port based on the source IP (e.g., node IP).
  • the source IP e.g., node IP
  • the gateway (101) can forward the data packet to the service server based on the data flow obtained from the control server (102). At this time, by updating the time or Timestamp information corresponding to the last data packet forwarding time, the control server (102) can be made aware that the node (103) is continuously performing network access through periodic data flow synchronization between the gateway (101) and the control server (102).
  • the node (103) may be considered as an unauthenticated node.
  • the gateway (101) may check whether the data packet obtained from the node (103) is a data packet of an authenticable protocol (e.g., a data packet using the HTTP protocol) in order to induce the node (103) to install an access control application or to communicate with an authentication server (104) for separate authentication.
  • an authenticable protocol e.g., a data packet using the HTTP protocol
  • the data packet is forwarded to an external server (e.g., an authentication server (104)) by performing NAT (Network Address Translation) processing on the destination IP and port included in the IP header of the data packet based on external server IP and external server port information, and in operation 630, the authentication server (104) can receive the data packet.
  • an authenticable protocol e.g., a data packet using the HTTP protocol
  • the gateway (101) can drop the data packet, but is not limited thereto, and similarly to the case of a data packet of an authenticable protocol, it can also be forwarded to the authentication server (104) after NAT processing.
  • Figure 7 schematically illustrates the authentication processing process when a node (103) on which an access control application is not installed transmits a service request.
  • a node (103) on which an access control application is not installed may attempt to access a service by executing an application, and may transmit a service request accordingly in operation 710.
  • the service request of the node (103) may be forwarded to an external server (e.g., an authentication server (104)) after NAT processing through the gateway (101).
  • an external server e.g., an authentication server (104)
  • the present invention is not limited thereto, and the node (103) may also directly transmit a service request to the authentication server (104).
  • the authentication server (104) may receive a service request, and in operation 725, return authentication-related service information for installing an access control application or performing separate authentication to the node (103).
  • the node (103) receives the service connection result, and may attempt to connect to the network by installing a connection control application according to the received service connection result (e.g., authentication-related service information) or perform network connection through an authentication procedure. This will be described with reference to FIG. 8.
  • a connection control application e.g., authentication-related service information
  • Figure 8 schematically illustrates authentication-related service information output through the display of a node.
  • a node (user) can perform an authentication procedure by (i) installing a connection control application (network connection control application) based on the authentication-related service information illustrated in Fig. 8, or (ii) using a separate authentication method (user ID-based authentication, QR authentication, Multi Factor Authentication, etc.) provided by an authentication server (104).
  • the control server (102) When authentication for a node is completed, the control server (102) generates data flow information including information on a service server to which the node can connect and transmits it to the gateway (101), after which the node can connect to the service server.
  • Figure 9 schematically illustrates a process in which a node (103) performs an authentication procedure according to a separate authentication method provided by an external server (e.g., an authentication server (104)).
  • an external server e.g., an authentication server (104)
  • a node (103) when a node (103) transmits an authentication request to an authentication server (104), it may be transmitted to a gateway (101) as in operation 905, and then forwarded to the authentication server (104) after NAT processing through the gateway (101) in operation 910, but is not limited thereto, and the node (103) may also directly transmit an authentication request to the authentication server (104).
  • processing for the authentication request may be performed by an authentication server (104) or a control server (102) including an authentication server function, and in operation 920, the authentication server (104) may perform processing for the authentication request by processing an authentication request received from a node (103) or an authentication request by another authentication system (e.g., Multi Factor Authentication, etc.) connected to the authentication server (104).
  • an authentication server (104) or a control server (102) including an authentication server function in operation 915, processing for the authentication request may be performed by an authentication request received from a node (103) or an authentication request by another authentication system (e.g., Multi Factor Authentication, etc.) connected to the authentication server (104).
  • another authentication system e.g., Multi Factor Authentication, etc.
  • the authentication server (104) can check the information related to the authentication request transmitted by the node (103), and if authentication fails, return authentication failure information to the node (103).
  • the authentication server (104) can request authentication to the control server (102) based on node identification information (operating system information of the node that has been authenticated, terminal type information, etc.), source IP information, user identification information, etc. identified during the authentication process.
  • node identification information operating system information of the node that has been authenticated, terminal type information, etc.
  • source IP information source IP information
  • user identification information etc. identified during the authentication process.
  • the authentication server can request authentication to the control server (102) by including data flow identification information and security session identification information included in the authentication request information.
  • the control server (102) can generate a control flow based on authentication request information (node identification information (operating system information of the node that has completed authentication, terminal type information, etc.), source IP information, user identification information, etc.) received from the authentication server (104) when the node performs initial authentication, and add the control flow to the control flow table.
  • authentication request information node identification information (operating system information of the node that has completed authentication, terminal type information, etc.), source IP information, user identification information, etc.) received from the authentication server (104) when the node performs initial authentication, and add the control flow to the control flow table.
  • control server (102) checks whether there is a service server that the node (103) can connect to by looking up the connection policy database, and if there is a service server that can connect, the source IP, destination IP, service port information, and information for checking the protocol of the data packet transmitted and received between the service servers so that the node (103) can connect to the service server, including protocol identification signature and version information, header information, and protocol information included when transmitting and receiving the data packet, and information on whether to process the data packet to a certain extent (length) to identify the protocol and whether to process it as a normal protocol, information on whether to check the protocol at the time of a network connection attempt or periodically, and status information on whether the check is completed or whether more checks are needed, and service IP and port information that can be accessed through the proxy included in the gateway (101), protocol information (e.g., HTTP, FTP, IoT-specific protocol, etc.), and whether service request filtering is necessary, service request filtering processing method, filtering information (e.g., personal information
  • control server (102) can return to the authentication server authentication information including authentication information for identification and verification so that the data flow can match the security session.
  • control server (102) can search for data flows using the received data flow identification information when the node performs authentication by authentication service redirection from the gateway (101) rather than initial authentication.
  • control server (102) may return authentication failure information.
  • control server (102) can check whether the authentication request information (node identification information (operating system information of the node that has completed authentication, terminal type information), source IP information, and user identification information) received from the authentication server matches the identified data flow information and the control flow information included in the data flow information.
  • authentication request information node identification information (operating system information of the node that has completed authentication, terminal type information), source IP information, and user identification information) received from the authentication server matches the identified data flow information and the control flow information included in the data flow information.
  • control server (102) may return authentication failure information.
  • control server (102) updates the security session identification information and whether the security session is matched (completed) to the identified data flow so that a node accessing the corresponding security session can identify the data flow based on the security session identification information, transmit the corresponding data flow information to the gateway (101), and return the authentication request result information to the authentication server.
  • the node (103) can access the service server with the second access right (e.g., minimum access right) without installing the access control application.
  • the second access right e.g., minimum access right
  • a node (103) can transmit a deauthentication request to an external server (e.g., an authentication server (104)) through an authentication deauthentication request function.
  • an external server e.g., an authentication server (104)
  • a related data packet can be forwarded to the authentication server after NAT processing at the gateway (101) as in operation 1010.
  • the present invention is not limited thereto, and the node (103) can also transmit a deauthentication request to the authentication server (104).
  • the authentication server (104) receives a deauthentication request, and the deauthentication request processing can be performed by the authentication server (104) or the control server (102) including the authentication server function, and in operation 1020, the authentication server (104) can process the deauthentication request by processing the deauthentication request received from the node (103) or the deauthentication request of another authentication system (e.g., Multi Factor Authentication, etc.) connected to the authentication server (104).
  • the deauthentication request processing can be performed by the authentication server (104) or the control server (102) including the authentication server function
  • the authentication server (104) can process the deauthentication request by processing the deauthentication request received from the node (103) or the deauthentication request of another authentication system (e.g., Multi Factor Authentication, etc.) connected to the authentication server (104).
  • another authentication system e.g., Multi Factor Authentication, etc.
  • the authentication server (104) can check information related to the deauthentication request transmitted by the node (103), and if the deauthentication request fails, return deauthentication failure information to the node (103).
  • the authentication server (104) may request the control server (102) to deauthenticate the node (103) based on the identified node identification information (operating system information of the authenticated node, terminal type information, etc.), source IP information, user identification information, etc.
  • the identified node identification information operating system information of the authenticated node, terminal type information, etc.
  • source IP information source IP information
  • user identification information etc.
  • control server (102) removes the control flow according to the authentication de-authentication request information (node identification information (operating system information of the node that has been authenticated, terminal type information, etc.), source IP information, user identification information) received from the authentication server (104), and can remove a series of data flow information dependent on the control flow.
  • authentication de-authentication request information node identification information (operating system information of the node that has been authenticated, terminal type information, etc.), source IP information, user identification information) received from the authentication server (104), and can remove a series of data flow information dependent on the control flow.
  • control server (102) can propagate the removed data flow information to the gateway (101), and in operation 1040, the result of processing the deauthentication request can be returned to the authentication server (104).
  • the authentication server (104) returns the result of the deauthentication request processing to the node (103), and if the deauthentication is completed, the node (103) may be in a state where it can access the service server only after installing an access control application or performing a separate authentication process.
  • FIG. 11 illustrates data packets according to various embodiments related to authentication information required to create a logical connection.
  • a UDP data packet (1110) including node (terminal) header information may include an IP header, a node header (Device Header), and a payload.
  • the node header (1130) may include node identification information and node authentication information.
  • a TCP data packet (1120) including node header information may include an IP header, a TCP header, a node header, and a payload.
  • the node header (1130) may include node identification information and node authentication information.
  • node authentication information may be information for commonly authenticating all network connections transmitted from a node (103) or for authenticating network connection units (destination IP and port).
  • the node (103) may generate a node header and include it in a data packet based on at least one of a method of inserting node identification information and authentication information previously provided from the control server (102) (e.g., in the case of TCP, inserting a TCP SYN packet, in the case of UDP, inserting authentication information for each data packet or inserting authentication information at regular intervals (or cycles), insertion method and timing, etc.), information for encrypting authentication information, information on an algorithm for generating authentication information, and a series of information included in the algorithm (e.g., information such as a Secret Key when generating HMAC OTP).
  • the node header included in the data packet may be checked to determine whether it is a normally transmitted data packet by performing authentication by the gateway (101) or the control server (102).
  • Figure 12 schematically illustrates a connection step of a node (103) on which a connection control application is installed to an external server (e.g., a control server (102)).
  • an external server e.g., a control server (102)
  • a connection control application installed on a node (103) may request a connection to a control server (102) to create a control flow (control data packet flow and a series of sessions).
  • the control server (102) verifies the connection request, and based on a policy database (e.g., a connection policy database, a tunnel policy database, a blacklist database, etc.), the access control application can refer to the information requested for connection (type of node, location information, environment and network including the node, access control application information, user or device authentication information for identifying whether the node is an authorized node, etc.) to verify whether the node (103) is in a connectable state, and can check whether node and network identification information (node ID, IP, MAC address, etc.) is included in a blacklist.
  • a policy database e.g., a connection policy database, a tunnel policy database, a blacklist database, etc.
  • the access control application can refer to the information requested for connection (type of node, location information, environment and network including the node, access control application information, user or device authentication information for identifying whether the node is an authorized node, etc.) to verify whether the node (103) is in a connectable state
  • connection to node (103) is impossible or included in a blacklist, the control server (102) transmits connection impossibility information to node (103), and node (103) can stop and terminate execution of the connection control application or output related error information.
  • control server (102) can generate a control flow, generate a control flow ID in the form of a random number, and add node and network identification information (node ID, IP, MAC address, etc.) to the control flow table.
  • control server (102) can refer to the access policy database and tunnel policy database that match the identified information (node, source network information, etc.) to check whether there is destination network information that the currently connected node (103) can basically connect to, and generate a whitelist of applications that can connect.
  • the control server (102) can return a control flow ID and application whitelist information for identifying the control flow.
  • control server (102) lists the types of tunnels and gateways (101) that can be connected to the node (103) by referring to the type of the node (103), location information, environment, and information such as the network in which the node (103) is included, the IP of the node (103), and can identify the optimal tunnel and optimal gateway by checking the status (throughput, failure status) of the listed gateways.
  • control server (102) can transmit a series of information, such as a gateway and tunnel authentication for creating a tunnel, to the node (103).
  • the node (103) requests tunnel creation to the corresponding gateway (101) based on a series of information required for tunnel creation, such as a gateway for tunnel creation and tunnel authentication, received from the control server (102), thereby creating a tunnel.
  • control server (102) can obtain tunnel creation completion information and/or dedicated IP information set according to tunnel creation, register the tunnel dedicated IP and the corresponding tunnel creation information in the tunnel table, and update a series of information transmitted by the node (103) in the control flow.
  • control server (102) may not transmit separate tunnel creation information to the node (103). If tunnel creation is not required, an application whitelist check may be performed.
  • the control server (102) checks the gateway where the node is located by referring to the access policy database and the service policy database in order to allow access of a node connected to the network according to the application installation list transmitted by the node (103), and allows the node to allow network access without a network access request procedure, and includes protocol identification signatures and version information, header information, and protocol information included when transmitting and receiving data packets as information for examining the protocol of the data packets transmitted and received by the application, and information on whether to examine the data packets to a certain extent (length) to identify the protocol and process them as a normal protocol, whether the network access control application will perform the protocol inspection or whether to transmit the data packet information to the controller, information on whether to examine the protocol at the time of a network access attempt or periodically, and status information on whether the inspection has been completed or whether more inspection is needed, and service IP and port information that can be accessed through a proxy included in the gateway, and protocol information (e.g., HTTP, FTP, IoT).
  • protocol information e.g.,
  • the data flow information includes information on whether filtering of a service request is required (e.g., a dedicated protocol, etc.), a method for processing service request filtering, filtering information (e.g., personal information, information on harmful service requests), a series of information for blocking unnecessary or dangerous service requests in advance at the proxy, a series of information for setting the number of possible service requests per unit of time and adjusting the number of service requests at the proxy accordingly when QoS (Quality of Service) for the service request is required, certificate information for verifying whether the access target is an allowed target when creating a security session, etc., and in operations 1245 and 1250, the information is transmitted to the node (103) and the gateway, and in operation 1255, the gateway (101) can receive the data flow information.
  • filtering information e.g., personal information, information on harmful service requests
  • a series of information for blocking unnecessary or dangerous service requests in advance at the proxy e.g., personal information, information on harmful service requests
  • the node (103) and/or gateway (101) when the node (103) and/or gateway (101) receives updated data flow information from the control server (102), it can update the data flow information by referring to it.
  • Figure 13 schematically illustrates the user authentication step of a node (103) on which an access control application is installed.
  • the access control application of the node (103) may request user authentication by transmitting authentication information using a user ID and password or an enhanced authentication method after creating a control flow with an external server (e.g., control server (102)).
  • an external server e.g., control server (102)
  • the control server (102) receives a user authentication request, and checks whether the user of the corresponding node (103) is a user who can access based on the information (user ID and password, reinforced authentication information, etc.) requested for authentication by the access control application, and whether the user is included in a blacklist, thereby checking whether the user is blocked, and if access is not possible or included in a blacklist, information on inaccessibility can be transmitted to the node (103).
  • control server (102) can search for a corresponding control flow in the control flow table by referencing the control flow ID, add user identification information (user ID) to the identification information of the control flow, and return an authentication completion status and access policy information of the authenticated user to the node (103) as a result of user authentication.
  • control server (102) can refer to the access policy database and tunnel policy database that match the identified information (node, source network information, etc.) to check whether there is destination network information to which the currently connected node (103) can connect, and generate a whitelist of applications that can connect.
  • the node (103) can list the types of tunnels and gateways that the node (103) can connect to through the type, location information, environment, network that the node is included in, etc. of the node (103) included in the control flow to connect to the destination network, the IP of the node identified through the control server (102), and the IP of the node identified in the node, etc., and the status (throughput, failure status) of the listed gateways can be checked to identify the optimal tunnel and the optimal gateway.
  • control server (102) can transmit a series of information, such as a gateway and tunnel authentication for creating a tunnel, to the node (103).
  • the node (103) processes the result value of the user authentication request processing received from the control server (102), and if tunnel creation is required, a tunnel can be created by requesting tunnel creation to the gateway (101) based on a series of information required for tunnel creation, such as the gateway (101) for tunnel creation and tunnel authentication received from the control server (102).
  • the node (103) can transmit tunnel creation completion information and IP information, if there is a dedicated IP set according to tunnel creation, to the control server (102).
  • the control server (102) In operation 1335, when an application whitelist is received from the control server (102), the result of checking whether the corresponding application is installed in the node (103) can be transmitted to the control server (102).
  • control server (102) can register the tunnel-only IP assigned to the node (103) and the corresponding tunnel creation information in the tunnel table and update a series of information transmitted by the node (103) to the identified control flow.
  • the gateway where the node is located is verified in the access and service policy, and the information for checking the protocol of the data packet transmitted and received by the application, such as the source IP, destination IP, service port information, and protocol information included when transmitting and receiving the data packet so that the node can allow network access without a network access request procedure, the protocol identification signature and version information, header information, and protocol information, etc.
  • protocol information for identifying the protocol included when transmitting and receiving the data packet, and information on whether to inspect the data packet to a certain extent (length) as necessary to identify the protocol and process it as a normal protocol, whether the protocol inspection will be performed by the access control application or performed by transmitting the data packet information to the controller, information on whether to inspect the protocol at the time of a network access attempt or periodically, and status information on whether the inspection has been completed or whether more inspection is needed, and the service IP and port information that can be accessed through the proxy included in the gateway, protocol information (e.g., HTTP, FTP, IoT-specific protocol, etc.), and whether service request filtering is necessary, service request filtering processing method, and filtering.
  • protocol information e.g., HTTP, FTP, IoT-specific protocol, etc.
  • the data flow information may be generated to include information (e.g., personal information, harmful service request information), a series of information for blocking unnecessary or dangerous service requests in advance from the proxy, a series of information for setting the number of possible service requests per certain time unit and adjusting the number of service requests from the proxy accordingly when QoS (Quality of Service) for the service request is required, and certificate information for verifying whether the access target is an allowed target when creating a security session.
  • information e.g., personal information, harmful service request information
  • a series of information for blocking unnecessary or dangerous service requests in advance from the proxy e.g., a series of information for blocking unnecessary or dangerous service requests in advance from the proxy
  • a series of information for setting the number of possible service requests per certain time unit and adjusting the number of service requests from the proxy accordingly when QoS (Quality of Service) for the service request is required
  • certificate information for verifying whether the access target is an allowed target when creating a security session.
  • the control server (102) can obtain tunnel creation completion information and/or dedicated IP information set according to tunnel creation, register the tunnel dedicated IP allocated to the node (103) and the corresponding tunnel creation information in the tunnel table, and update a series of information transmitted by the node (103) to the identified control flow.
  • the node (103) can refer to it and update the data flow information stored in the node (103).
  • Figure 14 schematically illustrates the network connection processing steps of a node (103) on which a connection control application is installed.
  • the access control application of the node (103) can detect the network access of the target application.
  • it can be checked whether data flow information exists based on the target application identification information, destination IP, and port information to communicate with the destination network (1410). If a valid data flow exists, the access control application can transmit a data packet to the gateway. If the data flow exists but is invalid (e.g., in a state where transmission is not possible or network access has been rejected by the control server (102) in the past), the data packet can be dropped.
  • a network connection request may be sent.
  • control server (102) can refer to a connection policy database that matches the information (node, application, source network information, etc.) identified in the control flow to check whether the requested connection identification information (destination IP and service port information, etc.) is included and whether connection to a service server mapped to the corresponding identification information is possible.
  • control server (102) may transmit a connection failure result to the node (103), which may cause data packets to be dropped.
  • control server (102) can check whether a tunnel has been created in the tunnel table to connect to the network.
  • control server (102) refers to at least a part of the tunnel policy database and the protocol policy database to check whether a tunnel must be created in order to access the corresponding service, and if it is confirmed that a tunnel must be created, the control server (102) can transmit a connection failure result to the node (103).
  • control server (102) can check whether there is a valid data flow corresponding to the information (destination IP and service port information, etc.) requested for connection by the node (103) in the data flow table.
  • the corresponding information can be transmitted to the node (103) and/or gateway (101).
  • the control server (102) includes protocol information including a source IP, a destination IP, service port information, protocol information included when transmitting and receiving data packets as information for examining the protocol of the data packets transmitted and received by the corresponding application, a protocol identification signature and version information, header information, and protocol information, and information on whether to examine the data packets to a certain extent (length) to identify the protocol and process them as a normal protocol, whether the protocol examination will be performed by the network access control application or performed by transmitting data packet information to the controller, information on whether to examine the protocol at the time of a network access attempt or periodically, and status information on whether the examination is completed or further examination is required, and service IP and port information that can be accessed through a proxy included in the gateway, protocol information (e.g., HTTP, FTP, IoT-only protocol, etc.), and whether service request filtering is necessary, a service request filtering processing method, and filtering information (e.g., personal information, harmful service request information), and
  • protocol information e.g., HTTP, F
  • a data flow information including a series of information for setting the number of possible service requests per a certain time unit and adjusting the number of service requests from a proxy accordingly, certificate information for verifying whether the connection target is an allowed target when creating a security session, etc. is generated, and in operation 1440, the corresponding information is transmitted to a gateway (101), and in operation 1435, the result of processing a network connection request can be transmitted to a node (103).
  • connection control application can process the connection request result value received from the control server (102).
  • the access control application can update the data flow information stored in the node (103), and if the network access request is successful, the data packet can be transmitted to the gateway (101).
  • Figure 15 schematically illustrates a tunneling-based data packet forwarding process of a node (103) on which an access control application is installed.
  • the node (103) may request tunnel creation to the gateway (101) based on a series of information required for tunnel creation, such as tunnel authentication and gateway (101) for tunnel creation, received from an external server (e.g., control server (102)).
  • an external server e.g., control server (102)
  • the gateway (101) can perform a data flow inspection, and can check whether the data packet received from the node (103) is a data packet for tunnel creation processing, and whether the port on which the tunneling-related module existing in the gateway (101) is receiving is confirmed, and if it is confirmed that the port on which the tunneling-related module is receiving is confirmed, the data packet is forwarded and, in operation 1515, the tunnel creation is processed by referring to the data packet related to the tunnel creation request, and, in operation 1520, the tunnel creation result can be transmitted to the node (103).
  • the gateway (101) can drop the data packet.
  • the node (103) receives the tunnel creation result, and if tunnel creation is completed, in operation 1530, it can perform connection (data packet transmission) to the service server based on tunneling.
  • the gateway (101) can perform a data flow inspection and, based on the tunneling IP assigned to the node (103), can determine whether the node (103) can connect to the service server by referring to the accessible data flow information received from the control server (102). In operation 1540, if the connection is possible, the data packet is forwarded to the service server, and in operation 1545, the service server can receive the data packet.
  • the gateway (101) can drop the data packet.
  • Figure 16 schematically illustrates a data packet forwarding process based on data packet authentication of a node (103) on which an access control application is installed.
  • a logical connection e.g., TCP authentication-based TCP Session creation, UDP authentication-based UDP related Session or flow creation, etc.
  • the node (103) may request the service server to create a logical connection based on a series of information required for creating authentication information for logical connection authentication received from the control server (102).
  • the gateway (101) can perform a data flow inspection, and, in order to verify a series of data packets for a logical connection received from a node (103), can check whether authentication information for the logical connection is valid based on authentication information received from the control server (102), and can check whether connection to the service server is possible with the authentication information.
  • the gateway (101) forwards the data packet to the service server, and if the authentication information is invalid or the network connection request is from a service server that cannot be connected with the authentication information, the gateway (101) can drop the data packet.
  • a logical connection is created, and in operation 1625, a result of creating the logical connection is transmitted to the node (103), and when the node (103) receives the result of creating the logical connection in operation 1630, in operation 1635, the node (103) can transmit a data packet to the service server based on the logical connection.
  • the gateway (101) examines data flow information received from the control server (102) based on logical connection information assigned to the node (103), and in operation 1645, if the node (103) can connect to the service server, forwards the data packet to the service server, and in operation 1650, the service server can receive the data packet.
  • the gateway (101) may drop the data packet.
  • the gateway (101) can perform network access and data packet transmission control only for nodes (103) to which authentication-based logical connections have been granted.
  • FIG 17 is a flow chart schematically illustrating the process by which a gateway (101) examines a protocol.
  • the gateway (101) may receive a data packet transmission event from the network kernel of the operating system, and in operation 1710, may perform a data flow inspection.
  • the gateway (101) can check whether data flow information exists by using one or more of the destination IP and port information, protocol information (e.g., TCP, UDP, etc.), and source IP or logical connection information included in the received IP header.
  • protocol information e.g., TCP, UDP, etc.
  • the gateway (101) may drop the data packet.
  • the gateway (101) can determine whether a protocol inspection is necessary based on a protocol inspection status (whether a protocol inspection is necessary, whether a protocol inspection is completed by inspection of a previous data packet transmission, whether a protocol inspection is necessary periodically, etc.) included in the protocol information included in the data flow.
  • a protocol inspection status whether a protocol inspection is necessary, whether a protocol inspection is completed by inspection of a previous data packet transmission, whether a protocol inspection is necessary periodically, etc.
  • the gateway (101) can forward the data packet to the service server.
  • protocol inspection can be performed by a gateway (101) or an external server (e.g., a control server (102)).
  • a gateway (101) or an external server (e.g., a control server (102)).
  • the gateway (101) checks whether the data packet contains or complies with a signature and version information, header information, and protocol information for identifying whether the data packet is an allowed protocol based on information for inspecting the protocol of the data packet included in the data flow, and can inspect the data packet up to the inspection range (length) included in the protocol information as necessary.
  • protocol check If the protocol check is successful, the protocol check status changes to completed, and data packets can be forwarded.
  • the gateway can drop the corresponding data packet, remove the data flow, and in operation 1730, transmit the protocol inspection result including the control flow identification information to the control server (102).
  • the control server (102) can receive the protocol inspection result and determine the level of risk by referring to the corresponding protocol policy database and blacklist policy database.
  • control server (102) can remove the corresponding data flow and propagate the updated data flow to the gateway (101).
  • the control server (102) can remove the control flow and tunnel so that the corresponding node (103) can no longer maintain network connection, and propagate the updated control flow, data flow, and tunnel information to the gateway (101).
  • the control server (102) can add the identified node (103) to a blacklist so that it can no longer access after performing the above-described control flow removal procedure.
  • gateway (101) can process the result value upon receiving the protocol inspection result transmission result from the control server (102).
  • the gateway (101) may collect all data packets or, if necessary, up to the inspection range (length) included in the protocol information to identify whether the data packet is an allowed protocol based on information for inspecting the protocol of the data packet included in the data flow.
  • the gateway (101) can request a protocol inspection to the control server (102) including the collected data packets and data flow identification information.
  • the control server (102) can check whether the data packet contains or complies with the signature and version information, header information, and protocol information based on the identified data flow information and the protocol information included in the data flow.
  • control server (102) can change the inspection status of the received data packet of the data flow to complete and return the updated data flow information to the gateway (101).
  • the control server (102) can determine whether there is a risk based on the protocol policy and blacklist policy according to the protocol inspection result. If the risk is low, the control server (102) can remove the data flow and transmit the updated data flow information to the gateway (101). On the other hand, if the risk is high, the control server (102) can remove the control flow and tunnel so that the corresponding node (103) can no longer maintain network connection, and transmit the updated control flow, data flow, and tunnel information to the gateway (101). If the risk is severe, the control server (102) can add the corresponding node (103) to the blacklist so that it can no longer access after performing the above-mentioned control flow removal procedure.
  • FIG 18 is a flow chart schematically illustrating the process by which a gateway (101) creates a security session.
  • the gateway (101) receives a request to create a secure session (e.g., a secure session such as TLS, QUIC, etc. for protecting a protocol such as HTTP) from a node, and at operation 1910, the gateway (101) can examine a data flow to identify a source IP included in an IP header and determine whether a valid data flow corresponding to a proxy port included in the gateway (101) exists to create a secure session.
  • a secure session e.g., a secure session such as TLS, QUIC, etc. for protecting a protocol such as HTTP
  • the gateway (101) may reject the secure session creation request.
  • the gateway (101) can create a secure session between the node and the proxy through the proxy and return the result to the node.
  • the gateway (101) can check the certificate information used to create the secure session and update the data flow.
  • the gateway (101) updates the security session identification information and whether the security session is matched (completed) for the data flow identified based on the specific certificate identification information, and enables the node connecting to the security session thereafter to identify the data flow based on the security session identification information.
  • the certificate is a general certificate that can be used by all nodes, the security session identification information and whether the security session is matched (incomplete) are updated in the security session information of the data flow identified by the source IP, and the node or user using the security session identification information can be matched through the authentication procedure thereafter.
  • FIG 19 is a flow chart schematically illustrating the process by which a gateway (101) processes a service request.
  • a proxy included in the gateway (101) can perform a data flow inspection to check whether data flow information exists using the destination IP and port information and protocol information (e.g., TCP, UDP, etc.) included in the received IP header.
  • protocol information e.g., TCP, UDP, etc.
  • the gateway (101) may reject the service request.
  • the gateway (101) checks whether authentication information exists in the received service request header or parameter.
  • authentication information may be information used by the gateway (101) to match the authentication information with a security session by returning the authentication information in the form of a header or parameter after node and user authentication is completed through the authentication server, and then the node includes the authentication information when requesting a security session-based service and transmits it.
  • the gateway (101) redirects to the authentication server including data flow identification information and security session identification information, and when node and user authentication is completed, it checks whether the data flow and the security session can be matched and updates the data flow.
  • the gateway (101) can check whether the authentication information is valid based on the authentication information of the data flow.
  • the gateway (101) updates the security session identification information and whether the security session is matched (complete) in the security session information of the data flow, and then examines the data flow based on the security session identification information. On the other hand, if the authentication information is invalid, the gateway (101) can reject the service request.
  • the gateway (101) can check whether service information allowing the service request exists in the data flow information based on the destination IP or domain identification information and port information included in the received service request header.
  • the gateway (101) may reject the service request.
  • the gateway (101) can check whether QoS is required through the service request QoS information included in the service information.
  • the gateway (101) can perform service request QoS processing.
  • the gateway (101) can check the number of service requests per a certain time period included in the service request QoS information, and if it is confirmed that the number of service requests exceeds the allowable number of service requests per a certain time period, the gateway (101) can delay the service request for a certain time period and then process it, or reject the service request to induce a service re-request, according to the service request QoS method.
  • the gateway (101) can filter service request information and, through service filtering information included in the service information, determine whether the protocol of the service request (e.g., HTTP, FTP, or a dedicated protocol for IoT devices, etc.) is normal.
  • the protocol of the service request e.g., HTTP, FTP, or a dedicated protocol for IoT devices, etc.
  • the gateway (101) may reject the service request.
  • the gateway (101) can replace the request information through replacement information or rules included in the service filtering information and transmit the service request if replacement of the information is required.
  • the gateway (101) can transmit the service request.
  • the gateway (101) may reject transmission of the service request.
  • the gateway (101) can generate authentication information using an authentication information generation algorithm and additional information included in the authentication information of the data flow. Thereafter, the authentication information can be encrypted using an encryption algorithm and an encryption key included in the authentication information. Then, in operation 1825, the gateway (101) can insert a data flow header that combines the encrypted authentication information and the data flow identification information into the service request information according to the protocol specification of the service application, and in operation 1830, can transmit the service request.
  • the gateway (101) can reflect the number of times the service request is processed in the QoS statistical information included in the service information in the data flow.
  • the gateway (101) can update the data flow through the following process.
  • the gateway (101) updates the processing time or Timestamp information when forwarding a data packet or service request from a node (103) based on the data flow received from the control server (102), and may periodically request the control server (102) to update the data flow information.
  • control server (102) can check whether data flow information exists by referring to the received data flow identification information.
  • a data flow does not exist, it means that the node (103) has terminated the network connection, so the control server (102) can return invalid data flow information to the gateway (101) so that access with the data flow information through the gateway (101) is no longer possible.
  • control server (102) checks the last connection processing time of the data flow, and if the time available after the first authentication has expired according to the authentication policy and re-authentication is required, or if the connection of the node (103) has been released, the data flow and control flow of the corresponding node (103) can be removed, and since the corresponding node (103) has terminated the network connection, invalid data flow information can be returned to the gateway (101) so that the corresponding gateway (101) can no longer be connected.
  • the gateway (101) can delete invalid data flows based on the received data flow information.
  • the structure of service request information with a data flow header inserted by the gateway (101) can be confirmed.
  • a proxy included in a gateway (101) can insert data flow header information that can identify a service request target from a service server based on authentication information included in a data flow into a portion suitable for the protocol of the service application (e.g., a header area in the case of HTTP) and retransmit the data flow header information to the service server, and return a response value of the service server for the service request to the node (103).
  • a portion suitable for the protocol of the service application e.g., a header area in the case of HTTP
  • a data flow header can be inserted to verify whether a data packet received from a control server (102) is an authenticated data packet in a data packet flow between a node (103), a gateway (101), and a service server.
  • These data flow headers may include data flow identification information and encrypted authentication information.
  • the service server queries the control server (102) using the data flow identification information included in the data flow header to check whether an authenticated target has connected, and receives additional information about the authenticated target stored by the control server (102) to perform authentication processing.
  • encrypted authentication information in addition to the data flow identification information included in the data flow header, can be used to verify whether an authenticated gateway (101) forwarded the service request.
  • an authenticated target i.e., when a data flow exists
  • Decrypted authentication information may include information in the form of a One-Time Password (OTP) and Random Generation that changes at each authentication time, rather than being a fixed value at each data packet authentication time, such as data flow identification information.
  • OTP One-Time Password
  • Random Generation Random Generation that changes at each authentication time, rather than being a fixed value at each data packet authentication time, such as data flow identification information.
  • the gateway (101) can generate OTP information that changes at each service request forwarding time based on information for OTP generation and verification included in the authentication information of the data flow, and forward service request information including data flow header information in which data flow identification information is inserted by encrypting the corresponding value.
  • a service access of a node using a general protocol such as HTTP is identified, and a secure session is connected through a proxy, and after the secure session is connected, a data flow header is inserted into service information through user authentication of the node and returned to the node, and during the return process to the node or the service re-request process of the node, a gateway performs a procedure of mapping security session identification information to the corresponding data flow based on data flow identification information included in the service information, thereby inspecting the data flow of a node that connects to the service thereafter based on node authentication information and/or security session, and accordingly, even when data packets received from a plurality of nodes include the same source IP, network access can be controlled independently for each node.
  • a general protocol such as HTTP

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)

Abstract

본 문서에 개시되는 실시예에 따르면, 게이트웨이는, 통신 회로, 메모리, 및 상기 통신 회로 및 상기 메모리와 작동적으로 연결되는 프로세서를 포함하고, 상기 프로세서는, 서비스 요청을 위한 데이터 패킷을 노드로부터 수신하고, 상기 데이터 패킷에 대응되는 채널이 존재하는지 여부를 확인하고, 상기 채널이 존재하는 것으로 확인되면, 상기 데이터 패킷의 목적지 네트워크로 상기 데이터 패킷을 포워딩하고, 상기 채널이 존재하지 않는 것으로 확인되면, 상기 데이터 패킷을 외부 서버로 포워딩하고, 상기 데이터 패킷을 상기 외부 서버로 포워딩한 후, 상기 노드에 대한 인증 결과에 따라 상기 외부 서버로부터 상기 채널에 대한 정보를 수신하도록 구성될 수 있다.

Description

네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
관련출원과의 상호인용
본 발명은 2023.02.21.에 출원된 한국 특허 출원 제10-2023-0022775호에 기초한 우선권의 이익을 주장하며, 해당 한국 특허 출원의 문헌에 개시된 모든 내용을 본 명세서의 일부로 포함한다.
기술분야
본 문서에 개시되는 실시예들은 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법에 관한 것이다.
다수의 장치들은 네트워크를 통해서 데이터를 통신할 수 있다. 예를 들어, 단말은 인터넷을 통해 서버와 데이터를 송신하거나 수신할 수 있다. 네트워크는 인터넷과 같은 공용 네트워크(public network)뿐만 아니라 인트라넷과 같은 사설 네트워크(private network)를 포함할 수 있다.
터널링 또는 데이터 패킷에 포함된 인증 정보를 사용하여 노드의 네트워크 접속을 제어할 경우, 허용되지 않은 노드 또는 안전하지 않은 노드가 목적지 네트워크에 접속하는 것을 사전에 차단할 수 있게 된다.
종래에 위와 같은 방식으로 노드의 네트워크 접속을 제어하고자, 목적지 네트워크(대상 서비스)의 경계에 존재하는 게이트웨이가, 최소한의 접속 제어 단위인 터널링 또는 데이터 패킷에 포함된 인증 정보를 사용하여 노드의 인가 여부 등을 확인하기 위해서는, 인증 정보를 생성하는 접속 제어 애플리케이션(네트워크 접속 제어 애플리케이션)이 노드에 설치되어야 한다.
만약, 접속 제어 애플리케이션이 설치되지 않은 상태에서 노드가 대상 서비스에 접속하고자 시도하는 경우, 목적지 네트워크에 대한 접속이 차단되는데, 노드의 사용자 입장에서는 어떤 이유로 목적지 네트워크에 대한 접속이 차단되는지 전혀 알 수 없는 문제점이 존재한다.
또한, 접속 제어 애플리케이션을 설치할 수 없는 경우(예: 접속 제어 애플리케이션을 설치하기 위해 필요한 기술 지원이 종료된 구버전의 운영체제가 설치된 노드, 하드웨어의 절대적인 사양이 낮은 저전력 IoT, 접속 제어 애플리케이션이 지원하지 않는 운영체제가 설치된 노드 등), 해당 노드는 목적지 네트워크에 대한 접속이 불가능한 문제점이 존재한다.
본 문서에 개시되는 실시예에 따른 게이트웨이는, 통신 회로, 메모리, 및 상기 통신 회로 및 상기 메모리와 작동적으로 연결되는 프로세서를 포함하고, 상기 프로세서는, 서비스 요청을 위한 데이터 패킷을 노드로부터 수신하고, 상기 데이터 패킷에 대응되는 채널이 존재하는지 여부를 확인하고, 상기 채널이 존재하는 것으로 확인되면, 상기 데이터 패킷의 목적지 네트워크로 상기 데이터 패킷을 포워딩하고, 상기 채널이 존재하지 않는 것으로 확인되면, 상기 데이터 패킷을 외부 서버로 포워딩하고, 상기 데이터 패킷을 상기 외부 서버로 포워딩한 후, 상기 노드에 대한 인증 결과에 따라 상기 외부 서버로부터 상기 채널에 대한 정보를 수신하도록 구성될 수 있다.
또한, 본 문서에 개시되는 실시예에 따른 외부 서버는, 통신 회로, 메모리, 및 상기 통신 회로 및 상기 메모리와 작동적으로 연결되는 프로세서를 포함하고, 상기 프로세서는, 서비스 요청을 위한 데이터 패킷이 획득되면, 상기 데이터 패킷을 참조하여 인증 지원 정보를 상기 노드로 전송하고, 상기 인증 지원 정보에 기반하여 상기 노드로부터 출발지 IP(internet protocol)를 포함하는 네트워크 접속 요청을 획득하고, 상기 네트워크 접속 요청에 포함된 정보에 기반하여 상기 목적지 네트워크에 상기 노드가 접속 가능한지 확인하고, 접속이 가능한 것으로 확인되면, 채널에 대한 정보를 게이트웨이에 전송하도록 구성될 수 있다.
또한, 본 문서에 개시되는 실시예에 따른 게이트웨이의 동작 방법은, 서비스 요청을 위한 데이터 패킷을 노드로부터 수신하는 단계, 상기 데이터 패킷에 대응되는 데이터 플로우 및 보안 세션이 존재하는지 여부를 확인하는 단계 및 상기 데이터 플로우 및 상기 보안 세션이 존재하는 것으로 확인되면, 상기 데이터 패킷의 목적지 네트워크로 상기 데이터 패킷을 포워딩하고, 상기 데이터 플로우 및 상기 보안 세션이 존재하지 않는 것으로 확인되면, 상기 데이터 패킷을 외부 서버로 포워딩한 후, 상기 노드에 대한 인증 결과에 따라 상기 외부 서버로부터 상기 채널에 대한 정보를 수신하는 단계를 포함할 수 있다.
본 문서에 개시되는 실시예들에 따르면, 노드에 접속 제어 애플리케이션이 설치되지 않은 경우에도, 노드가 대상 서비스에 접속할 수 있다.
또한, 본 문서에 개시되는 실시예들에 따르면, 접속 제어 애플리케이션을 설치하는 노드에 제1 접근 권한이 부여되고, 인증 프로세스를 수행하는 노드에 제2 접근 권한이 부여됨으로써 노드가 대상 서비스에 효율적으로 접속할 수 있다.
또한, 본 문서에 개시되는 실시예들에 따르면, 허용되지 않은 목적지 네트워크로 데이터 패킷이 무단으로 전송되는 것을 방지할 수 있다.
또한, 본 문서에 개시되는 실시예들에 따르면, 노드에 설치된 대상 애플리케이션이 종료되었을 경우 또는 연동 시스템으로부터 수신한 보안 이벤트에 기반하여 터널 또는 데이터 플로우를 회수함으로써 목적지 네트워크의 보안성을 향상할 수 있다.
또한, 본 문서에 개시되는 실시예들에 따르면, 복수의 노드로부터 수신된 데이터 패킷들이 동일한 출발지 IP를 포함하는 경우에도, 채널에 기반하여 각각의 노드에 대해 독립적으로 네트워크 접속을 제어할 수 있다.
이 외에, 본 문서를 통해 직접적 또는 간접적으로 파악되는 다양한 효과들이 제공될 수 있다.
도 1은 다양한 실시예들에 따른 네트워크 환경 내의 아키텍처를 나타낸다.
도 2는 다양한 실시예들에 따라 제어 서버에 저장된 데이터베이스를 나타내는 기능적 블록도이다.
도 3은 다양한 실시예들에 따른 게이트웨이의 기능적 블록도를 나타낸다.
도 4a 및 도 4b는 다양한 실시예들에 따라 데이터 패킷의 전송을 제어하는 동작을 설명한다.
도 5는 접속 제어 애플리케이션이 설치되지 않은 노드가 서비스 서버에 접속하고자 하는 경우에 게이트웨이의 동작을 설명하기 위한 도면이다.
도 6 내지 도 10은 접속 제어 애플리케이션이 설치되지 않은 노드에 관련된 동작을 설명하기 위한 도면이다.
도 11은 논리적 연결 생성에 필요한 인증 정보와 관련된 다양한 실시예들에 따른 데이터 패킷을 설명하기 위한 도면이다.
도 12 내지 도 16는 접속 제어 애플리케이션이 설치된 노드에 관련된 동작을 설명하기 위한 도면이다.
도 17은 프로토콜 검사 과정을 설명하기 위한 도면이다.
도 18은 게이트웨이가 보안 세션을 생성하는 과정을 개략적으로 도시한 흐름도이다.
도 19는 게이트웨이가 서비스 요청을 처리하는 과정을 설명하기 위한 도면이다.
도 20은 데이터 플로우 헤더가 삽입된 서비스 요청 정보의 구조를 설명하기 위한 도면이다.
도면의 설명과 관련하여, 동일 또는 유사한 구성요소에 대해서는 동일 또는 유사한 참조 부호가 사용될 수 있다.
이하, 본 발명의 다양한 실시 예가 첨부된 도면을 참조하여 기재된다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 실시 예의 다양한 변경(modification), 균등물(equivalent), 및/또는 대체물(alternative)을 포함하는 것으로 이해되어야 한다.
본 문서에서 아이템에 대응하는 명사의 단수 형은 관련된 문맥상 명백하게 다르게 지시하지 않는 한, 상기 아이템 한 개 또는 복수 개를 포함할 수 있다. 본 문서에서, "A 또는 B", "A 및 B 중 적어도 하나",“A 또는 B 중 적어도 하나”, "A, B 또는 C", "A, B 및 C 중 적어도 하나” 및 “A, B, 또는 C 중 적어도 하나"와 같은 문구들 각각은 그 문구들 중 해당하는 문구에 함께 나열된 항목들 중 어느 하나, 또는 그들의 모든 가능한 조합을 포함할 수 있다. "제 1", "제 2", 또는 "첫째" 또는 "둘째"와 같은 용어들은 단순히 해당 구성요소를 다른 해당 구성요소와 구분하기 위해 사용될 수 있으며, 해당 구성요소들을 다른 측면(예: 중요성 또는 순서)에서 한정하지 않는다. 어떤(예: 제 1) 구성요소가 다른(예: 제 2) 구성요소에, “기능적으로” 또는 “통신적으로”라는 용어와 함께 또는 이런 용어 없이, “커플드” 또는 “커넥티드”라고 언급된 경우, 그것은 상기 어떤 구성요소가 상기 다른 구성요소에 직접적으로(예: 유선으로), 무선으로, 또는 제 3 구성요소를 통하여 연결될 수 있다는 것을 의미한다.
본 문서에서 설명되는 구성요소들의 각각의 구성요소(예: 모듈 또는 프로그램)는 단수 또는 복수의 개체를 포함할 수 있다. 다양한 실시 예들에 따르면, 해당 구성요소들 중 하나 이상의 구성요소들 또는 동작들이 생략되거나, 또는 하나 이상의 다른 구성요소들 또는 동작들이 추가될 수 있다. 대체적으로 또는 추가적으로, 복수의 구성요소들(예: 모듈 또는 프로그램)은 하나의 구성요소로 통합될 수 있다. 이런 경우, 통합된 구성요소는 상기 복수의 구성요소들 각각의 구성요소의 하나 이상의 기능들을 상기 통합 이전에 상기 복수의 구성요소들 중 해당 구성요소에 의해 수행되는 것과 동일 또는 유사하게 수행할 수 있다. 다양한 실시 예들에 따르면, 모듈, 프로그램 또는 다른 구성요소에 의해 수행되는 동작들은 순차적으로, 병렬적으로, 반복적으로, 또는 휴리스틱하게 실행되거나, 상기 동작들 중 하나 이상이 다른 순서로 실행되거나, 생략되거나, 또는 하나 이상의 다른 동작들이 추가될 수 있다.
본 문서에서 사용되는 용어 "모듈", 또는 “...부”는 하드웨어, 소프트웨어 또는 펌웨어로 구현된 유닛을 포함할 수 있으며, 예를 들면, 로직, 논리 블록, 부품, 또는 회로와 같은 용어와 상호 호환적으로 사용될 수 있다. 모듈은, 일체로 구성된 부품 또는 하나 또는 그 이상의 기능을 수행하는, 상기 부품의 최소 단위 또는 그 일부가 될 수 있다. 예를 들면, 일 실시 예에 따르면, 모듈은 ASIC(application-specific integrated circuit)의 형태로 구현될 수 있다.
본 문서의 다양한 실시 예들은 기기(machine)에 의해 읽을 수 있는 저장 매체(storage medium)(예: 메모리)에 저장된 하나 이상의 명령어들을 포함하는 소프트웨어(예: 프로그램 또는 애플리케이션)로서 구현될 수 있다. 예를 들면, 기기의 프로세서는, 저장 매체로부터 저장된 하나 이상의 명령어들 중 적어도 하나의 명령을 호출하고, 그것을 실행할 수 있다. 이것은 기기가 상기 호출된 적어도 하나의 명령어에 따라 적어도 하나의 기능을 수행하도록 운영되는 것을 가능하게 한다. 상기 하나 이상의 명령어들은 컴파일러에 의해 생성된 코드 또는 인터프리터에 의해 실행될 수 있는 코드를 포함할 수 있다. 기기로 읽을 수 있는 저장 매체는, 비일시적(non-transitory) 저장 매체의 형태로 제공될 수 있다. 여기서, '비일시적'은 저장 매체가 실재(tangible)하는 장치이고, 신호(signal)(예: 전자기파)를 포함하지 않는다는 것을 의미할 뿐이며, 이 용어는 데이터가 저장 매체에 반영구적으로 저장되는 경우와 임시적으로 저장되는 경우를 구분하지 않는다.
본 문서에 개시된 다양한 실시예들에 따른 방법은 컴퓨터 프로그램 제품(computer program product)에 포함되어 제공될 수 있다. 컴퓨터 프로그램 제품은 상품으로서 판매자 및 구매자 간에 거래될 수 있다. 컴퓨터 프로그램 제품은 기기로 읽을 수 있는 저장 매체(예: compact disc read only memory(CD-ROM))의 형태로 배포되거나, 또는 애플리케이션 스토어를 통해 또는 두 개의 사용자 장치들(예: 스마트폰들) 간에 직접, 온라인으로 배포(예: 다운로드 또는 업로드)될 수 있다. 온라인 배포의 경우에, 컴퓨터 프로그램 제품의 적어도 일부는 제조사의 서버, 애플리케이션 스토어의 서버, 또는 중계 서버의 메모리와 같은 기기로 읽을 수 있는 저장 매체에 적어도 일시 저장되거나, 임시적으로 생성될 수 있다.
도 1은 다양한 실시예들에 따른 네트워크 환경 내의 아키텍처를 나타낸다.
도 1을 참조하면, 노드(103_1, 103_2)는 데이터 통신을 수행할 수 있는 다양한 형태의 장치일 수 있다. 다른 예를 들어, 노드(103_1, 103_2)는 스마트폰 또는 태블릿과 같은 휴대용 장치, 데스크탑(desktop) 또는 랩탑(laptop)과 같은 컴퓨터 장치, 멀티미디어 장치, 의료 기기, 카메라, 웨어러블 장치, VR(virtual reality) 장치, 또는 가전 장치를 포함할 수 있으며 전술한 기기들에 한정되지 않는다. 노드(103_1, 103_2)는 '전자 장치' 또는 '단말'로도 참조될 수 있다.
게이트웨이(101)는 노드(103_1, 103_2)와 연결될 수 있다. 예를 들어, 게이트웨이(101)는, 제어 서버(102)에 의해서 인가된 데이터 플로우가 존재하여야 통신이 가능한 구조를 노드(103_1, 103_2)에 제공함으로써 노드(103_1, 103_2)가 서비스 서버(105_1, 105_2)에 접속하도록 지원할 수 있다. 또한, 게이트웨이(101)는, 데이터 플로우가 존재하지 않는 경우 통신을 수행할 수 없는 구조를 노드(103_1, 103_2)에 제공할 수 있다.
실시예에 따르면, 게이트웨이(101)는 목적지 네트워크로의 접속을 위한 데이터 패킷을 노드로부터 수신하고, 데이터 패킷에 대응되는 채널(가령, 터널 또는 보안 세션 등)이 존재하는지 여부를 확인하고, 채널이 존재하는 것으로 확인되면, 데이터 패킷을 목적지 네트워크로 포워딩함으로써 노드의 서비스 요청이 처리되도록 지원할 수 있다. 만약, 채널이 존재하지 않는 것으로 확인되면, 데이터 패킷을 외부 서버(가령, 인증 서버(104))로 포워딩하여 노드에 대한 인증이 이루어지도록 지원할 수 있다. 그리고, 노드에 대한 인증 결과에 따라 외부 서버로부터 채널에 대한 정보를 수신할 수 있다.
실시예에 따르면, 게이트웨이(101)는, 채널이 존재하는 것으로 확인되면, 데이터 패킷에 대응되는 데이터 플로우가 존재하는지 여부를 확인하고, 데이터 플로우가 존재하는 것으로 확인되면, 목적지 네트워크로 데이터 패킷을 포워딩할 수 있다. 데이터 플로우가 존재하지 않는 것으로 확인되면, 데이터 패킷이 인증 가능한 프로토콜의 데이터 패킷인지 여부를 확인하고, 데이터 패킷이 인증 가능한 프로토콜의 데이터 패킷으로 확인되면, 데이터 패킷의 도착지 IP 및 도착지 포트를 외부 서버(가령, 인증 서버(104))에 대응되는 외부 서버 IP 및 외부 서버 포트로 변환하는 네트워크 주소 변환(NAT) 프로세스를 수행함으로써 데이터 패킷을 포워딩 할 수 있다.
실시예에 따르면, 게이트웨이(101)는 접속 제어 애플리케이션이 설치되면 터널을 생성하기 위한 터널 생성 요청을 노드(103_1)로부터 수신하고, 터널 생성 요청에 기반하여 노드(103_1)와의 터널을 생성한 후, 터널을 통해 노드와 통신을 할 수 있다.
또한, 서비스 서버(105_1, 105_2)는 데이터 통신을 수행할 수 있는 다양한 형태의 장치일 수 있다. 다른 예를 들어, 서비스 서버(105_1, 105_2)는 스마트폰 또는 태블릿과 같은 휴대용 장치, 데스크탑(desktop) 또는 랩탑(laptop)과 같은 컴퓨터 장치, 멀티미디어 장치, 의료 기기, 카메라, 웨어러블 장치, VR(virtual reality) 장치, 또는 가전 장치를 포함할 수 있으며 전술한 기기들에 한정되지 않는다. 서비스 서버(105_1, 105_2)는 '전자 장치' 또는 '단말'로도 참조될 수 있다.
노드(103_1, 103_2)는 서비스 서버(105_1, 105_2)로 데이터 패킷을 전송하거나 서비스 서버(105_1, 105_2)로부터 데이터 패킷을 수신할 수 있다. 노드(103_1, 103_2)에 포함된 대상 애플리케이션 중 일부는 웹 브라우저 또는 비즈니스 애플리케이션과 같이 신뢰된 및/또는 보안된 애플리케이션인 반면에 다른 일부는 신뢰되지 않거나 보안되지 않은 악성 프로그램일 수 있으므로, 실시예들에 따른 네트워크 접속 제어 시스템은 인가되지 않은 프로그램(애플리케이션)의 서비스 서버(105_1, 105_2)에 대한 접속을 차단하고 해당 프로그램을 격리(가령, 블랙리스트 등록)할 수 있다.
제어 서버(102)는 게이트웨이(101) 및 서비스 서버(105_1, 105_2) 간 데이터 전송을 관리함으로써 네트워크 환경 내에서 신뢰되는 데이터 전송을 보장할 수 있다. 예를 들어, 제어 서버(102)는 정책 정보 또는 블랙리스트 정보를 통해 인가된 접속 제어 애플리케이션의 네트워크 접속을 허용할 수 있다. 제어 서버(102)는 게이트웨이(101) 및 서비스 서버(105_1, 105_2) 간 인증을 수행할 수 있는 인증 정보를 제공할 수 있다. 따라서, 접속 제어 애플리케이션은 허용되지 않은 노드가 허용되지 않은 목적지로 데이터 패킷을 전송하는 것을 방지할 수 있다.
실시예에 따르면, 노드의 네트워크 접속은 접속 제어 애플리케이션, 제어 서버(102) 또는 게이트웨이(101)에 의해 차단될 수 있다. 일 실시예에 따르면, 제어 서버(102)는 게이트웨이(101)의 네트워크 접속과 연관된 다양한 동작(예: 등록, 승인, 인증, 갱신, 종료)을 수행하기 위하여 게이트웨이(101)와 제어 데이터 패킷을 송수신할 수 있다. 제어 데이터 패킷이 전송되는 흐름은 '제어 플로우(control flow)'로 참조될 수 있다. 실시예에 따르면, 제어 서버(102)는 연동 시스템(예: 게이트웨이)으로부터 수신된 보안 이벤트에 따라 터널을 즉시 회수하거나, 대상 애플리케이션이 종료되는 경우 터널을 즉시 회수함으로써 안전한 네트워크 상태를 상시 유지할 수 있다. 또한 상기와 같은 구조는 접속 제어 애플리케이션 및 제어 서버(102) 사이의 관계에서도 실질적으로 동일하게 적용될 수 있다.
실시예에 따르면, 제어 서버(102)는 인증 서버(104)와 통신할 수 있다. 참고로, 도 1에서는 제어 서버(102) 및 인증 서버(104)가 분리된 경우를 도시하고 있으나, 본 발명이 이에 한정되는 것은 아니며, 제어 서버(102) 및 인증 서버(104)는 하나의 통합된 서버(가령, 외부 서버)로 구성될 수도 있다.
도 2는 다양한 실시예들에 따라 제어 서버(102)에 저장된 데이터베이스를 나타내는 기능적 블록도이다. 도 2는 메모리만 도시하고 있으나, 제어 서버(102)는 외부 전자 장치와 통신을 수행하기 위한 통신 회로 및 제어 서버(102)의 전반적인 동작을 제어하기 위한 프로세서를 더 포함할 수 있다.
관리자는 제어 서버(102)에 접속하여 접속 제어 애플리케이션, 게이트웨이(101) 및 서비스 서버 간 접속을 제어하기 위한 연결 중심의 정책을 설정할 수 있으므로, 서비스 단에서 세션을 관리하는 것 보다 세밀하고 안전하게 네트워크 접속을 제어할 수 있다.
접속 정책 데이터베이스(211)는 노드의 식별(노드 고유 식별 정보, 노드에 대응되는 사용자 정보, 노드의 대상 애플리케이션이 접속 가능한 서비스에 대한 정보 등) 및 인증(인증서 등)을 위한 정보 중 적어도 일부를 포함할 수 있다. 예를 들어, 제어 서버(102)는, 접속 제어 애플리케이션에 의해 제어되는 대상 애플리케이션으로부터 네트워크 접속 요청이 획득되면, 접속 정책 데이터베이스(211)의 정책에 기반하여 네트워크 접속 요청시 식별된 노드, 대상 애플리케이션 및/또는 사용자가 목적지(예: 서비스 서버 또는 게이트웨이(101))에 접속이 가능한지 여부를 결정할 수 있다. 또한, 접속 제어 애플리케이션이 설치되지 않은 경우에도, 제어 서버(102)는, 대상 애플리케이션으로부터 네트워크 접속 요청이 획득되면, 접속 정책 데이터베이스(211)의 정책에 기반하여 네트워크 접속 요청시 식별된 노드, 대상 애플리케이션 및/또는 사용자가 목적지(예: 서비스 서버 또는 게이트웨이)에 접속이 가능한지 여부를 결정할 수 있다.
실시예에 따르면, 제어 서버(102)는 접속 대상을 식별하기 위한 방법 및 식별 정보(예: 노드의 MAC 주소 기반 식별 방식, 노드가 네트워크 접속 요청시 전송한 인증 정보 기반 식별 방식, 라우터(201) 내에서 네트워크 접속 요청한 애플리케이션 식별 방식 및 이에 따라 IP 헤더에 포함된 도착지 IP와 포트 정보, 프로토콜 정보(예: TCP, UDP 등), MAC 주소, 애플리케이션 식별 정보, 노드에 할당된 IP, 수신된 네트워크 인터페이스 식별 정보 등)에 기반하여 접속 가능 여부를 확인하고 데이터 플로우를 생성할 수 있다.
터널 정책 데이터베이스(212)는 접속 정책에 따라 접속 (Connection) 경로 상의 게이트웨이(101)에 연결할 터널을 생성하기 위해 필요한 일련의 정보(가령, 인증 정보, 암호화 알고리즘, 터널 엔드 포인트 IP 등)를 포함할 수 있다. 만약, 접속 경로 상의 타 게이트웨이(미도시)에 이미 연결된 터널이 존재하는 경우, 이를 사용하기 위한 일련의 정보(노드에 할당된 IP 정보 수집 및 대체 처리 여부 등)를 포함할 수 있다. 예를 들어, 제어 서버(102)는 게이트웨이(101)에 연결된 노드의 네트워크 접속 요청시 터널 정책을 기반으로 노드에 최적화된 터널 및 게이트웨이(101)를 제공할 수 있다.
인증 정책 데이터베이스(213)는 접속 정책(211)에 따라 게이트웨이(101)에 연결된 노드의 네트워크 접속 시 노드의 식별 정보를 기반으로 네트워크 접속을 인증할 것인지 여부 및 인증을 수행할 경우 인증 방식과 관련된 일련의 정보를 포함할 수 있다. 또한, 인증 정책 데이터베이스(213)는, 접속 대상(가령, 노드)에 사전에 발급한 인증서 정보(가령, Mutual-TLS)를 포함할 수 있으며, 게이트웨이(101)에 포함된 프록시에서 접속 대상(가령, 노드)으로 하여금 보안 세션 생성을 하도록 유도하기 위한 인증서 정보(가령, TLS)를 포함할 수 있다.
프로토콜 정책 데이터베이스(214)는 접속 대상 서비스와 통신할 수 있는 프로토콜 정보로서, 데이터 패킷 전송 및 수신 시 포함된 프로토콜 정보를 식별하기 위한 프로토콜 식별 시그니처 정보 및 프로토콜 버전 정보, 프로토콜 헤더 정보, 규약 정보를 포함할 수 있다. 또한, 프로토콜 정책 데이터베이스(214)는 어느 정도의 범위(길이)까지 데이터 패킷을 검사하여 프로토콜을 식별함으로써 정상적인 프로토콜로 처리할 것인지에 대한 정보, 네트워크 접속 시도 시점 또는 프로토콜을 검사 주기 정보, 프로토콜 검사 수행 주체에 관한 정보, 프로토콜을 준수하지 않았을 경우의 네트워크 접속 해제, 제어 플로우 해제 및 격리와 관련한 일련의 정보를 포함한다.
서비스 정책 데이터베이스(215)는 접속 정책(211)에 따라서 접속 대상(가령, 노드)이 프록시(예: 게이트웨이(101)에 포함된 프록시)를 통해서 접속할 수 있는 서비스 IP와 포트 정보, 프로토콜 정보(예: HTTP, FTP, IoT 전용 프로토콜 등)를 포함할 수 있다. 또한, 서비스 정책 데이터베이스(215)는 서비스 요청 필터링 필요 여부, 서비스 요청 필터링 처리 방식, 필터링 정보(예: 개인 정보, 유해 서비스 요청 정보)를 포함하며, 프록시에서 사전에 불필요하거나 위험한 서비스 요청을 차단하기 위한 일련의 정보를 포함할 수 있다. 실시예에 따르면, 서비스 정책 데이터베이스(215)는 서비스 요청에 대한 QoS (Quality of Service)가 필요로 한 경우 일정 시간 단위로 서비스 요청 가능 횟수를 설정하고 그에 따라 프록시에서 서비스 요청 횟수를 조절하기 위한 일련의 정보를 포함할 수 있다.
제어 플로우 테이블(216)은 접속 제어 애플리케이션 및 제어 서버(102) 사이에 생성된 제어 데이터 패킷의 흐름(예: 제어 플로우)을 관리하기 위한 세션(session) 테이블의 일 예이다. 성공적으로 제어 서버(102)에 접속하는 경우, 제어 플로우 정보는 제어 서버(102)에 의하여 생성될 수 있다. 제어 플로우 정보는 제어 플로우의 식별 정보, 제어 서버(102)에 대한 접속 및 인증 시 식별되는 IP 주소, 노드 식별 정보, 대상 애플리케이션 식별 정보, 서비스 서버와의 연계를 통해 추가적으로 식별된 정보 등을 포함할 수 있다. 예를 들어, 서비스 서버에 대한 접속이 요청되면, 제어 서버(102)는 제어 플로우 식별 정보를 통해 제어 플로우 정보를 검색할 수 있고, 검색된 제어 플로우 정보 내에 포함된 식별 정보를 접속 정책 데이터베이스(211)에 매핑함으로써 노드가 서비스 서버에 접속이 가능한지 여부, 데이터 패킷 전송을 위한 데이터 플로우 생성 여부 등을 판단(결정)할 수 있다.
일 실시예에 따르면, 제어 플로우는 만료 시각을 가질 수 있다. 접속 제어 애플리케이션은 제어 플로우의 만료 시각을 주기적/비주기적으로 갱신해야 하며, 일정 시간 동안에 만료 시각이 갱신되지 않으면 제어 플로우(또는, 제어 플로우 정보)는 제거될 수 있다. 또한, 대상 애플리케이션 및/또는 게이트웨이(101)로부터 수집된 보안 이벤트에 따라서 즉각적인 접속 차단이 필요하다고 결정되는 경우 또는 대상 애플리케이션의 접속 종료 요청이 획득되는 경우, 제어 서버(102)는 제어 플로우를 제거할 수 있다. 제어 플로우가 제거되면 기존에 생성된 데이터 플로우 또한 제거되기 때문에 해당 게이트웨이(101)를 통한 서비스 서버로의 접속이 차단될 수 있다.
데이터 플로우 테이블(217)은 노드 및 게이트웨이(101) 사이에서 세부적인 데이터 패킷이 전송되는 흐름(예: 데이터 플로우)을 관리하기 위한 테이블로서, 노드의 대상 애플리케이션, 게이트웨이(101), 서비스 서버에서의 터널 및/또는 세션을 관리하기 위한 데이터 플로우 정보를 포함할 수 있다.
데이터 플로우를 식별하기 위한 데이터 플로우 식별 정보(예: ID), 노드의 식별 정보(가령, MAC 주소 정보)는 서비스 서버와 하나 이상의 논리적 연결을 생성할 수 있기 때문에, 데이터 플로우 테이블(217)은 제어 플로우 ID에 기반하여 관리될 수 있다.
실시예에 따르면, 데이터 플로우 테이블(217)은 애플리케이션 및 애플리케이션의 최소 식별 단위, 게이트웨이(101)가 데이터 패킷의 출발지 IP, 도착지 IP, 서비스 포트 정보를 기반으로 네트워크 접속 가능 여부를 판단하기 위한 정보, 접속 경로 상에서 게이트웨이(101)와의 터널 생성에 필요로 한 일련의 정보(인증 정보, 암호화 알고리즘, Tunnel End Point IP 등), 데이터 플로우가 사용 가능한 상태인지 여부에 관한 데이터 플로우 상태 정보, 해당 데이터 플로우를 주기적으로 인증할 경우 필요로 한 인증 만료 시각 정보 중 적어도 일부를 포함할 수 있다.
실시예에 따르면, 데이터 플로우 테이블(217)은 인증 정보를 포함할 수 있다. 예를 들어, 인증 정보는 허용된 노드가 데이터 패킷을 전송하였는지 여부를 확인하기 위한 일련의 정보로서 프로토콜별로 인증 정보를 검사하는 방식(예: TCP의 경우, TCP SYN 패킷 검사, UDP의 경우 데이터 패킷별 인증 정보 검사 또는 일정 간격(또는 주기)으로 인증 정보 검사, 검사 방식 등), 인증 정보 복호화를 위한 정보, 인증 정보 생성 및 검증을 위한 알고리즘 정보 및 알고리즘에 포함되는 일련의 정보(예: HMAC OTP 생성시 Secret Key 등의 정보 등)를 포함할 수 있다.
실시예에 따르면, 데이터 플로우 테이블(217)은, 인가된 접속 대상(예: 노드)의 보안 세션 생성 요청을 처리하기 위해 사전에 발급한 인증서 정보를 포함할 수 있다.
또한, 데이터 플로우 테이블은, 보안 세션에 관한 정보를 포함할 수 있다.
실시예에 따르면, 데이터 플로우 테이블(217)은 서비스 정보를 포함할 수 있다. 예를 들어, 서비스 정보는 허용된 접속 대상이 프록시를 통해서 접속할 수 있는 서비스 IP와 포트 정보, 프로토콜 정보(예: HTTP, FTP, IoT 전용 프로토콜 등) 및 서비스 요청 필터링 필요 여부, 서비스 요청 필터링 처리 방식, 필터링 정보(예: 개인 정보, 유해 서비스 요청 정보)를 포함할 수 있다. 또한, 서비스 정보는 프록시에서 사전에 불필요로 한 또는 위험한 서비스 요청을 차단하기 위한 일련의 정보와 서비스 요청에 대한 QoS (Quality of Service)가 필요로 한 경우 일정 시간 단위로 서비스 요청 가능 횟수를 설정하고 그에 따라 프록시에서 서비스 요청 횟수를 조절하기 위한 일련의 정보를 포함할 수 있다. 실시예에 따르면, 서비스 정보는 서비스 정책(318)에 기반하여 생성될 수 있다.
실시예에 따르면, 데이터 플로우 테이블(217)은 접속 제어 애플리케이션이 설치된 노드 및/또는 게이트웨이(101)에 동일하게 저장될 수 있다.
터널 테이블(218)은 대상 애플리케이션 및 게이트웨이(101) 간 생성된 터널의 식별 정보 및 터널의 IP 등을 포함할 수 있다. 예를 들어, 제어 서버(102)는 터널 테이블(218)에 기반하여 대상 애플리케이션 및 게이트웨이(101) 간 터널이 생성되었는지 여부 등을 판단할 수 있다. 또한, 터널 테이블(218)은 대상 애플리케이션 및 게이트웨이(101) 사이에 연결된 터널을 관리하기 위한 테이블로서, 유효한 터널이 존재하는 경우 터널을 관리 및 식별하기 위한 터널 ID와 게이트웨이(101)와 제어 서버(102) 사이의 제어를 위한 제어 플로우 ID 그리고 TEP (터널 엔드 포인트), TSP (터널 스타트 포인트), 터널 알고리즘 및 종류, 암호화 수준 등을 관리하기 위한 부가 정보로 구성될 수 있다.
블랙리스트 데이터베이스(219)는 블랙리스트 정책 데이터베이스(220)에 의해서 차단된 대상에 대한 목록을 포함할 수 있다. 예를 들어, 네트워크 접속을 요청하는 대상 애플리케이션의 식별 정보가 블랙리스트 데이터베이스(219)에 포함된 경우, 제어 서버(102)는 네트워크 접속 요청을 거부함으로써 대상 애플리케이션을 격리시킬 수 있다.
블랙리스트 정책 데이터베이스(220)는 노드 또는 게이트웨이(101)에서 주기적으로 수집되는 보안 이벤트 중에서 보안 이벤트의 위험도, 발생 주기, 및/또는 행위 분석을 통해 식별된 대상(예: 노드 ID(identifier), IP 주소, MAC(media access control) 주소, 사용자 중 적어도 하나)의 접속을 차단하기 위한 블랙리스트 등록 정책을 나타낼 수 있다.
도 3는 다양한 실시예들에 따른 게이트웨이(101)의 기능적 블록도를 나타낸다. 도 3을 참조하면, 게이트웨이(101)는 프로세서(310), 메모리(320), 및 통신 회로(330)를 포함할 수 있다.
프로세서(310)는 게이트웨이(101)의 전반적인 동작을 제어할 수 있다. 다양한 실시 예들에서, 프로세서(310)는 하나의 프로세서 코어(single core)를 포함하거나, 복수의 프로세서 코어들을 포함할 수 있다. 예를 들면, 프로세서(310)는 듀얼 코어(dual-core), 쿼드 코어(quad-core), 헥사 코어(hexa-core) 등의 멀티 코어(multi-core)를 포함할 수 있다. 실시 예들에 따라, 프로세서(310)는 내부 또는 외부에 위치된 캐시 메모리(cache memory)를 더 포함할 수 있다. 실시 예들에 따라, 프로세서(310)는 하나 이상의 프로세서들로 구성될(configured with) 수 있다. 예를 들면, 프로세서(310)는, 애플리케이션 프로세서(application processor), 통신 프로세서(communication processor), 또는 GPU(graphical processing unit) 중 적어도 하나를 포함할 수 있다.
프로세서(310)의 전부 또는 일부는 제어 서버(102) 내의 다른 구성 요소(예를 들면, 메모리(320), 통신 회로(330))와 전기적으로(electrically) 또는 작동적으로(operatively) 결합(coupled with)되거나 연결될(connected to) 수 있다. 프로세서(310)는 게이트웨이(101)의 다른 구성 요소들의 명령을 수신할 수 있고, 수신된 명령을 해석할 수 있으며, 해석된 명령에 따라 계산을 수행하거나 데이터를 처리할 수 있다. 프로세서(310)는 메모리(320), 통신 회로(330)로부터 수신되는 메시지, 데이터, 명령어, 또는 신호를 해석할 수 있고, 가공할 수 있다. 프로세서(310)는 수신된 메시지, 데이터, 명령어, 또는 신호에 기반하여 새로운 메시지, 데이터, 명령어, 또는 신호를 생성할 수 있다. 프로세서(310)는 가공되거나 생성된 메시지, 데이터, 명령어, 또는 신호를 메모리(320), 통신 회로(330)에게 제공할 수 있다.
프로세서(310)는 프로그램에서 생성되거나 발생되는 데이터 또는 신호를 처리할 수 있다. 예를 들면, 프로세서(310)는 프로그램을 실행하거나 제어하기 위해 메모리(320)에게 명령어, 데이터 또는 신호를 요청할 수 있다. 프로세서(310)는 프로그램을 실행하거나 제어하기 위해 메모리(320)에게 명령어, 데이터, 또는 신호를 기록(또는 저장)하거나 갱신할 수 있다.
메모리(320)는 게이트웨이(101)를 제어하는 명령어, 제어 명령어 코드, 제어 데이터, 또는 사용자 데이터를 저장할 수 있다. 예를 들면, 메모리(320)는 애플리케이션(application) 프로그램, OS(operating system), 미들웨어(middleware), 또는 디바이스 드라이버(device driver) 중 적어도 하나를 포함할 수 있다.
메모리(320)는 휘발성 메모리(volatile memory) 또는 불휘발성 메모리(non-volatile memory) 중 하나 이상을 포함할 수 있다. 휘발성 메모리는 DRAM(dynamic random access memory), SRAM(static RAM), SDRAM(synchronous DRAM), PRAM(phase-change RAM), MRAM(magnetic RAM), RRAM(resistive RAM), FeRAM(ferroelectric RAM) 등을 포함할 수 있다. 불휘발성 메모리는 ROM(read only memory), PROM(programmable ROM), EPROM(electrically programmable ROM), EEPROM(electrically erasable programmable ROM), 플래시 메모리(flash memory) 등을 포함할 수 있다.
메모리(320)는 하드 디스크 드라이브(HDD, hard disk drive), 솔리드 스테이트 디스크(SSD, solid state disk), eMMC(embedded multi media card), UFS(universal flash storage)와 같은 불휘발성 매체(medium)를 더 포함할 수 있다.
통신 회로(330)는 게이트웨이(101) 및 외부 전자 장치(예: 도 1의 제어 서버, 서비스 서버 등) 간의 유선 또는 무선 통신 연결의 수립, 및 수립된 연결을 통한 통신 수행을 지원할 수 있다. 일 실시 예에 따르면, 통신 회로(330)는 무선 통신 회로(예: 셀룰러 통신 회로, 근거리 무선 통신 회로, 또는 GNSS(global navigation satellite system) 통신 회로) 또는 유선 통신 회로(예: LAN(local area network) 통신 회로, 또는 전력선 통신 회로)를 포함하고, 그 중 해당하는 통신 회로를 이용하여 블루투스, WiFi direct 또는 IrDA(infrared data association) 같은 근거리 통신 네트워크 또는 셀룰러 네트워크, 인터넷, 또는 컴퓨터 네트워크와 같은 원거리 통신 네트워크를 통하여 외부 전자 장치와 통신할 수 있다. 상술한 여러 종류의 통신 회로(330)는 하나의 칩으로 구현되거나 또는 각각 별도의 칩으로 구현될 수 있다.
참고로, 상기에서는, 게이트웨이(101)의 구조에 대해서 설명하였으나, 제어 서버(102), 노드(103_1, 103_2), 인증 서버(104) 및/또는 서비스 서버(105_1, 105_2)에 대해서도 동일/유사한 설명이 적용될 수 있다.
도 4a 및 도 4b는 다양한 실시예들에 따라 데이터 패킷의 전송을 제어하는 동작을 설명한다.
도 4a를 참조하면, 대상 애플리케이션(예: 멀웨어)으로부터 서비스 서버에 대한 네트워크 접속 요청이 접속 제어 애플리케이션에 의해 감지된 상태에서, 접속 제어 애플리케이션 또는 게이트웨이(101)가 제어 서버(102)와 접속된 상태가 아닌 경우, 접속 제어 애플리케이션은 운영체제가 포함되는 커널(kernel)이나 네트워크 드라이버에서 데이터 패킷의 전송을 차단할 수 있다. 접속 제어 애플리케이션을 통해, 제어 서버는 OSI 계층 중 응용 계층에서 악의적인 노드의 접속을 사전에 차단할 수 있다.
접속 제어 애플리케이션에 연결된 노드(103)는 반드시 외부 서버(가령, 제어 서버(102))에 접속하여 인증을 수행하여야 하며, 인증 수행 이후 서비스 서버(105)에 접속 시, 접속 네트워크 정보를 제어 서버(102)에 질의하여 접속 가능 여부를 확인하고, 접속이 가능한 경우 데이터 패킷을 서비스 서버(105)로 전송할 수 있다.
게이트웨이(101)는 대상 애플리케이션으로부터 수신된 데이터 패킷을 외부 서버(가령, 제어 서버(102))를 통해서 확인하고, 인가된 대상 애플리케이션이 전송한 데이터 패킷인 경우 이에 대한 응답 데이터 패킷을 대상 애플리케이션으로 전송하는 것을 허용할 수 있다. 예를 들어, 게이트웨이(101)는 데이터 패킷이 수신된 대상 애플리케이션과 터널이 생성되어 있는지 여부를 확인하여, 터널이 생성된 경우에만 데이터 패킷을 목적지로 포워딩할 수 있다. 결과적으로, 비인가 노드는 기본적으로 상호간에 통신을 할 수 없는 상태이고, 인가된 노드라고 하더라도 제어 서버(102)에서 결정된 터널이 생성되지 않으면 데이터 패킷을 전송 및 수신할 수 없다.
또한, 도 4b를 참조하면, 게이트웨이(101)는 대상 애플리케이션으로부터 데이터 패킷이 수신되면, 노드 및/또는 대상 애플리케이션이 인증되었는지 여부를 판단하고, 노드 및/또는 대상 애플리케이션이 인증되지 않은 경우, 해당 데이터 패킷을 드랍할 수 있다.
도 5는 게이트웨이(101)의 대상 애플리케이션 유형 별 동작을 설명하기 위한 도면이다.
도 5를 참조하면, 접속 제어 애플리케이션이 설치되지 않은 노드(103)가 서비스 서버(105_1, 105_2)에 접속을 시도하는 경우, 게이트웨이(101)는, 범용 프로토콜에 따른 서비스 요청인지 여부를 확인할 수 있다. 만약, 게이트웨이(101)의 프록시에서 처리할 수 있는 범용 프로토콜(가령, HTTP, FTP 등의 IETF RFC 표준 프로토콜 등)의 경우, 게이트웨이(101)는 데이터 플로우에 의한 상세한 서비스 접속 제어를 수행할 수 있다. 반면에, 프록시에서 처리할 수 없는 네이티브 프로토콜의 경우, 게이트웨이(101)는 데이터 플로우에 의한 접속 제어 및 데이터 패킷 검사를 수행할 수 있다.
도 6은 접속 제어 애플리케이션이 설치되지 않은 노드로부터의 데이터 패킷 포워딩 과정을 개략적으로 도시하고 있다.
도 6을 참조하면, 동작 605에서, 접속 제어 애플리케이션이 설치되어 있지 않은 노드(103)는 서비스 서버에 접속하기 위한 일련의 데이터 패킷을 전송할 수 있으며, 해당 데이터 패킷은 서비스 서버 및 노드 사이의 경계에 위치하는 게이트웨이(101)를 경유할 수 있다.
그리고, 동작 610에서, 게이트웨이(101)는, 제어 서버(102)로부터 획득한 데이터 플로우 정보를 참조하여 접속 제어 애플리케이션이 설치되지 않은 노드(103)로부터 전송된 데이터 패킷인지를 확인할 수 있다. 접속 제어 애플리케이션이 설치되지 않은 노드(103)로부터 전송된 것으로 확인되면, 게이트웨이(101)는, 출발지 IP(가령, 노드 IP)를 기준으로 서비스 서버 IP 및 포트에 접근 가능한 데이터 플로우가 존재하는지 여부를 확인할 수 있다.
동작 615에서, 접근 가능한 데이터 플로우가 존재하는 것으로 확인되면, 해당 노드(103)는 최소한의 인증 및 접근 권한을 제어 서버(102)로부터 이미 획득한 상태이므로, 게이트웨이(101)는 제어 서버(102)로부터 획득한 데이터 플로우에 기반하여 해당 데이터 패킷을 서비스 서버로 포워딩할 수 있다. 이때, 마지막 데이터 패킷 포워딩 시점에 해당하는 시각 또는 Timestamp 정보를 갱신함으로써, 게이트웨이(101) 및 제어 서버(102) 사이에 주기적인 데이터 플로우 동기화를 통해 해당 노드(103)가 지속적으로 네트워크 접속을 수행하고 있음을 제어 서버(102)가 알 수 있도록 할 수 있다.
반면, 데이터 플로우가 존재하지 않는 경우, 해당 노드(103)는 비인증 노드로 간주될 수 있다. 이와 같은 경우, 게이트웨이(101)는 해당 노드(103)에게 접속 제어 애플리케이션 설치를 유도하거나 별도 인증을 위한 인증 서버(104)와의 통신을 유도하기 위해, 노드(103)로부터 획득한 데이터 패킷이 인증 가능한 프로토콜의 데이터 패킷(가령, HTTP 프로토콜을 사용하는 데이터 패킷)인지 여부를 확인할 수 있다.
동작 625에서, 만약 인증 가능한 프로토콜의 데이터 패킷인 경우, 외부 서버 IP 및 외부 서버 포트 정보를 기반으로 하여, 데이터 패킷의 IP 헤더에 포함된 도착지 IP 및 포트를 NAT (Network Address Translation) 처리 함으로써 외부 서버(가령, 인증 서버(104))로 데이터 패킷을 포워딩하고, 동작 630에서, 인증 서버(104)는 데이터 패킷을 수신할 수 있다. 만약 인증 가능한 프로토콜의 데이터 패킷(가령, HTTP 프로토콜을 사용하는 데이터 패킷)이 아닌 경우, 게이트웨이(101)는 데이터 패킷을 드랍할 수 있으나, 이에 한정되는 것은 아니며, 인증 가능한 프로토콜의 데이터 패킷의 경우와 유사하게, NAT 처리 후 인증 서버(104)로 포워딩할 수도 있다.
도 7은 접속 제어 애플리케이션이 설치되지 않은 노드(103)가 서비스 요청을 전송하는 경우의 인증 처리 과정을 개략적으로 도시하고 있다.
도 7을 참조하면, 동작 705에서, 접속 제어 애플리케이션이 설치되지 않은 노드(103)가 애플리케이션을 실행하여 서비스 접속을 시도하고, 그에 따라 동작 710에서 서비스 요청을 전송할 수 있다. 동작 715에서, 노드(103)의 서비스 요청은 게이트웨이(101)를 통해 NAT 처리 후 외부 서버(가령, 인증 서버(104))로 포워딩될 수 있다. 다만, 이에 한정되는 것은 아니며, 노드(103)가 인증 서버(104)에 서비스 요청을 직접 전송할 수도 있다.
그리고, 동작 720에서, 인증 서버(104)는 서비스 요청을 수신하고, 동작 725에서, 접속 제어 애플리케이션 설치 또는 별도 인증을 수행하기 위한 인증 관련 서비스 정보를 노드(103)에 반환할 수 있다.
그리고, 동작 730에서, 노드(103)는 서비스 접속 결과를 수신하여, 수신된 서비스 접속 결과(가령, 인증 관련 서비스 정보)에 따라 접속 제어 애플리케이션을 설치하여 네트워크 접속 시도를 하거나, 인증 절차를 통해서 네트워크 접속을 수행할 수 있다. 이에 대해서는 도 8을 참조하여 설명하기로 한다.
도 8은 노드의 디스플레이를 통해 출력되는 인증 관련 서비스 정보를 개략적으로 도시하고 있다.
노드(사용자)는 도 8에 도시된 인증 관련 서비스 정보에 기반하여 (i) 접속 제어 애플리케이션(네트워크 접속 제어 애플리케이션)을 설치하거나 (ii) 인증 서버(104)에서 제공되는 별도의 인증 방식 (사용자 ID 기반 인증, QR 인증, Multi Factor Authentication 등)을 통해서 인증 절차를 수행할 수 있다. 노드에 대한 인증이 완료되면 제어 서버(102)는 해당 노드가 접속할 수 있는 서비스 서버 정보를 포함하는 데이터 플로우 정보를 생성하여 게이트웨이(101)로 전송하게 되며, 이후 노드는 서비스 서버로 접속이 가능하게 된다.
도 9는 노드(103)가 외부 서버(가령, 인증 서버(104))에서 제공되는 별도의 인증 방식에 따라 인증 절차를 수행하는 과정을 개략적으로 도시하고 있다.
도 9를 참조하면, 노드(103)가 인증 요청을 인증 서버(104)로 전송함에 있어서, 동작 905에서와 같이 게이트웨이(101)로 전송 후, 동작 910에서, 게이트웨이(101)를 통해 NAT 처리 후 인증 서버(104)로 포워딩될 수 있으나, 이에 한정되는 것은 아니며, 노드(103)가 인증 서버(104)에 인증 요청을 직접 전송할 수도 있다.
동작 915에서, 인증 요청이 수신되면, 인증 요청에 대한 처리는 인증 서버(104) 또는 인증 서버 기능을 포함하는 제어 서버(102)에 의해 수행될 수 있으며, 동작 920에서, 인증 서버(104)는 노드(103)로부터 수신된 인증 요청 또는 인증 서버(104)와 연결된 타 인증 시스템(예: Multi Factor Authentication 등) 등의 인증 요청 처리에 의해 인증 요청에 대한 처리를 수행할 수 있다.
인증 서버(104)는 노드(103)가 전송한 인증 요청 관련 정보를 확인하고, 인증에 실패한 경우, 인증 실패 정보를 노드(103)에 반환할 수 있다.
인증에 성공한 경우, 동작 925에서, 인증 서버(104)는 인증 과정에서 식별된 노드 식별 정보(인증 완료된 노드의 운영체제 정보, 단말 종류 정보 등), 출발지 IP 정보, 사용자 식별 정보 등을 기반으로 제어 서버(102)에 인증을 요청할 수 있다.
또한 게이트웨이(101)로부터 인증 서버 리다이렉션을 통해서 인증 요청을 진행하는 경우, 인증 서버는 인증 요청 정보에 포함된 데이터 플로우 식별 정보 및 보안 세션 식별 정보를 포함하여 제어 서버(102)에 인증 요청할 수 있다.
제어 서버(102)는, 노드가 최초 인증을 수행하는 경우, 인증 서버(104)로부터 수신된 인증 요청 정보(노드 식별 정보(인증 완료된 노드의 운영체제 정보, 단말 종류 정보 등), 출발지 IP 정보, 사용자 식별 정보 등)에 따라 제어 플로우를 생성하여 제어 플로우 테이블에 추가할 수 있다.
또한, 동작 930에서, 제어 서버(102)는, 접속 정책 데이터베이스를 조회하여 노드(103)가 접속 가능한 서비스 서버가 존재하는지 여부를 확인하고, 접속 가능한 서비스 서버가 존재하는 경우, 해당 노드(103)가 서비스 서버에 접속할 수 있도록 출발지 IP, 도착지 IP, 서비스 포트 정보, 해당 서비스 서버간에 송수신하는 데이터 패킷의 프로토콜을 검사하기 위한 정보로써 데이터 패킷 전송 및 수신시 포함된 프로토콜 정보를 식별하기 위한 프로토콜 식별 시그니처 및 버전 정보, 헤더 정보, 규약 정보 등 및 필요에 따라 어느 정도의 범위(길이)까지 데이터 패킷을 검사하여 프로토콜을 식별하고, 정상적인 프로토콜로 처리할 것인지에 대한 정보, 네트워크 접속 시도 시점 또는 주기적으로 프로토콜을 검사할 것인지에 대한 정보, 및 검사가 완료되었는지 또는 검사가 더 필요로 한지에 대한 상태 정보 등을 포함하는 프로토콜 정보 및 게이트웨이(101)에 포함된 프록시를 통해서 접속할 수 있는 서비스 IP와 포트 정보, 프로토콜 정보(예: HTTP, FTP, IoT 전용 프로토콜 등) 및 서비스 요청 필터링 필요 여부, 서비스 요청 필터링 처리 방식, 필터링 정보(예: 개인 정보, 유해 서비스 요청 정보)를 포함하며, 프록시에서 사전에 불필요로 한 또는 위험한 서비스 요청을 차단하기 위한 일련의 정보와 서비스 요청에 대한 QoS (Quality of Service)가 필요로 한 경우 일정 시간 단위로 서비스 요청 가능 횟수를 설정하고 그에 따라 프록시에서 서비스 요청 횟수를 조절하기 위한 일련의 정보, 접속 대상이 보안 세션 생성시 허용된 대상인지 확인하기 위해 인증서 정보, 해당 노드가 보안 세션을 생성하여 서비스 요청을 수행하는 경우 데이터 플로우와 보안 세션을 매칭할 수 있도록 식별 및 검사하기 위한 인증 정보 등을 포함하는 일련의 데이터 플로우 정보를 생성하고, 동작 935에서, 게이트웨이(101)에 데이터 플로우 정보를 전송할 수 있으며, 동작 940에서, 인증 서버(104)에 결과 정보를 반환할 수 있다.
여기서, 해당 노드가 보안 세션을 생성하여 서비스 요청을 수행하는 경우, 제어 서버(102)는 데이터 플로우와 보안 세션을 매칭할 수 있도록 식별 및 검사하기 위한 인증 정보를 포함하여 인증 서버에 반환할 수 있다.
한편, 제어 서버(102)는, 노드가 최초 인증이 아닌 게이트웨이(101)로부터 인증 서비스 리다이렉션에 의해 인증을 수행하는 경우, 수신된 데이터 플로우 식별 정보로 데이터 플로우를 탐색할 수 있다.
데이터 플로우가 존재하지 않는 경우, 제어 서버(102)는 인증 실패 정보를 반환할 수 있다.
데이터 플로우가 존재하는 경우, 제어 서버(102)는 인증 서버로부터 수신된 인증 요청 정보(노드 식별 정보(인증 완료된 노드의 운영체제 정보, 단말 종류 정보), 출발지 IP 정보, 사용자 식별 정보)와 식별된 데이터 플로우 정보 및 데이터 플로우 정보에 포함된 제어 플로우 정보와 일치하는지 여부를 확인할 수 있다.
일치하지 않는 경우, 제어 서버(102)는 인증 실패 정보를 반환할 수 있다.
일치하는 경우, 제어 서버(102)는 식별된 데이터 플로우에 보안 세션 식별 정보 및 보안 세션 매칭 여부(완료)를 갱신하여 이후 해당 보안 세션으로 접속하는 노드를 보안 세션 식별 정보 기반으로 데이터 플로우를 식별할 수 있도록 하며, 해당 데이터 플로우 정보를 게이트웨이(101)에 전송하고, 인증 서버에 인증 요청 결과 정보를 반환할 수 있다.
그리고, 동작 945에서, 인증 서버(104)가 인증 요청 처리 결과를 노드(103)에 반환하게 되면, 노드(103)는 접속 제어 애플리케이션 설치 없이도 제2 접근 권한(가령, 최소한의 접근 권한)으로 서비스 서버에 접속할 수 있다.
위와 같이 인증이 완료된 노드가 인증 해제를 요청하는 경우에 대해서는 도 10을 참조하여 설명하기로 한다.
도 10을 참조하면, 노드(103)는 인증 해제 요청 기능을 통해서 외부 서버(가령, 인증 서버(104))로 인증 해제 요청을 전송할 수 있는데, 이때, 동작 1005와 같이 게이트웨이로 인증 해제 요청을 전송한 후, 동작 1010과 같이 게이트웨이(101)에서 NAT 처리 후 관련 데이터 패킷이 인증 서버로 포워딩될 수 있으나, 이에 한정되는 것은 아니며, 노드(103)가 인증 서버(104)로 인증 해제 요청을 전송할 수도 있다.
동작 1015에서, 인증 서버(104)는 인증 해제 요청을 수신하고, 인증 해제 요청 처리는 인증 서버(104) 또는 인증 서버 기능을 포함하는 제어 서버(102)에 의해서 수행될 수 있으며, 동작 1020에서, 인증 서버(104)는 노드(103)로부터 수신된 인증 해제 요청 또는 인증 서버(104)와 연결된 타 인증 시스템(예: Multi Factor Authentication 등) 등의 인증 해제 요청 처리에 의해 인증 해제 요청을 처리할 수 있다.
인증 서버(104)는, 노드(103)가 전송한 인증 해제 요청 관련 정보를 확인하고, 인증 해제 요청에 실패한 경우, 인증 해제 실패 정보를 노드(103)에 반환할 수 있다.
동작 1025에서, 인증 해제를 위한 정보가 유효한 경우, 인증 서버(104)는, 식별된 노드 식별 정보(인증 완료된 노드의 운영체제 정보, 단말 종류 정보 등), 출발지 IP 정보, 사용자 식별 정보 등을 기반으로 제어 서버(102)에 노드(103)에 대한 인증 해제를 요청할 수 있다.
동작 1030에서, 제어 서버(102)는 인증 서버(104)로부터 수신된 인증 해제 요청 정보(노드 식별 정보(인증 완료된 노드의 운영체제 정보, 단말 종류 정보 등), 출발지 IP 정보, 사용자 식별 정보)에 따라 제어 플로우를 제거하며, 제어 플로우에 종속되어 있는 일련의 데이터 플로우 정보를 제거할 수 있다.
동작 1035에서, 제어 서버(102)가, 제거된 데이터 플로우 정보를 게이트웨이(101)로 전파하고, 동작 1040에서, 인증 해제 요청 처리 결과를 인증 서버(104)에 반환할 수 있다.
그리고, 동작 1045에서, 인증 서버(104)는 인증 해제 요청 처리 결과를 노드(103)에 반환하며, 인증 해제가 완료된 경우, 노드(103)는 이후 접속 제어 애플리케이션 설치 또는 별도의 인증 프로세스를 수행해야 서비스 서버에 접속할 수 있는 상태가 될 수 있다.
도 11은 논리적 연결 생성에 필요한 인증 정보와 관련된 다양한 실시예들에 따른 데이터 패킷을 도시한다.
도 11을 참조하면, 노드(단말) 헤더 정보가 포함된 UDP 데이터 패킷(1110)은 IP 헤더와 노드 헤더(Device Header), 페이로드(Payload)를 포함할 수 있다. 예를 들어, 노드 헤더(1130)는 노드 식별 정보와 노드 인증 정보를 포함할 수 있다.
또한, 노드 헤더 정보가 포함된 TCP 데이터 패킷(1120)은 IP 헤더, TCP 헤더, 노드 헤더 및 페이로드를 포함할 수 있다. 예를 들어, 노드 헤더(1130)는 노드 식별 정보와 노드 인증 정보를 포함할 수 있다.
실시예에 따르면, 노드 인증 정보는 노드(103)에서 전송되는 모든 네트워크 접속을 공통적으로 인증하거나, 네트워크 접속 단위(도착지 IP 및 포트)로 인증하기 위한 정보일 수 있다.
노드(103)는 사전에 제어 서버(102)로부터 부여 받은 노드 식별 정보 및 인증 정보를 삽입하는 방식(예: TCP의 경우, TCP SYN 패킷 삽입, UDP의 경우 데이터 패킷별 인증 정보 삽입 또는 일정 간격(또는 주기)으로 인증 정보 삽입, 삽입 방식 및 시점 등), 인증 정보 암호화를 위한 정보, 인증 정보 생성을 위한 알고리즘 정보 및 알고리즘에 포함되는 일련의 정보(예: HMAC OTP 생성시 Secret Key 등의 정보) 중 적어도 어느 하나)에 기반하여 노드 헤더를 생성하여 데이터 패킷에 포함시킬 수 있다. 데이터 패킷에 포함된 노드 헤더는 게이트웨이(101) 또는 제어 서버(102)에 의해 인증이 수행되어 정상적으로 전송된 데이터 패킷인지 여부가 검사될 수 있다.
도 12는, 접속 제어 애플리케이션이 설치된 노드(103)의 외부 서버(가령, 제어 서버(102)) 접속 단계를 개략적으로 도시하고 있다.
도 12를 참조하면, 동작 1205에서, 노드(103)에 설치된 접속 제어 애플리케이션이 제어 플로우(제어 데이터 패킷 흐름 및 일련의 세션)를 생성하기 위해 제어 서버(102)에 접속을 요청할 수 있다.
동작 1210에서, 제어 서버(102)는 접속 요청을 확인하고, 정책 데이터베이스(가령, 접속 정책 데이터베이스 및 터널 정책 데이터베이스, 블랙리스트 데이터베이스 등)에 기반하여, 접속 제어 애플리케이션이 접속 요청한 정보(노드의 종류, 위치 정보, 환경 및 노드가 포함되어 있는 네트워크, 접속 제어 애플리케이션 정보, 해당 노드가 인가된 노드인지를 식별하기 위한 사용자 또는 기기 인증 정보 등)를 참조하여 노드(103)가 접속 가능한 상태인지 여부를 확인할 수 있으며, 노드 및 네트워크 식별 정보 (노드 ID, IP, MAC 주소 등)가 블랙리스트에 포함되어 있는지 여부를 검사할 수 있다.
만약 노드(103)의 접속이 불가능하거나 블랙리스트에 포함된 경우 제어 서버(102)는 접속 불가 정보를 노드(103)에 전송하며, 노드(103)는, 접속 제어 애플리케이션의 실행을 중지하고 종료하거나, 관련 오류 정보를 출력할 수 있다.
반면, 동작 1215에서, 접속 가능한 노드로 판단되면, 제어 서버(102)는, 제어 플로우를 생성하고 난수 형태로 제어 플로우 ID를 생성하며, 노드 및 네트워크 식별 정보(노드 ID, IP, MAC 주소 등)를 제어 플로우 테이블에 추가할 수 있다.
동작 1220에서, 제어 서버(102)는 식별된 정보(노드, 출발지 네트워크 정보 등)와 매칭되는 접속 정책 데이터베이스 및 터널 정책 데이터베이스를 참조하여, 현재 접속된 노드(103)가 기본적으로 연결할 수 있는 목적지 네트워크 정보가 존재하는지 확인하고, 접속 가능한 애플리케이션 화이트리스트 정보를 생성할 수 있다.
제어 서버(102)는, 제어 플로우를 식별하기 위한 제어 플로우 ID 및 애플리케이션 화이트리스트 정보를 반환할 수 있다.
또한, 제어 서버(102)는, 노드(103)의 종류, 위치 정보, 환경 및 노드(103)가 포함되어 있는 네트워크 등의 정보, 노드(103)의 IP 등을 참조하여 노드(103)에 연결할 수 있는 터널 종류 및 게이트웨이(101)를 목록화하고, 목록화된 게이트웨이의 상태(처리량, 장애 여부)를 확인하여 최적의 터널 및 최적의 게이트웨이를 식별할 수 있다.
동작 1225에서, 노드(103)에 접속 가능한 터널 및 게이트웨이가 존재하는 경우, 제어 서버(102)는 터널을 생성하기 위한 게이트웨이 및 터널 인증 등의 일련의 정보를 노드(103)에 전송할 수 있다.
동작 1230에서, 새로운 터널 생성이 필요한 경우, 노드(103)는 제어 서버(102)로부터 수신한 터널 생성을 위한 게이트웨이 및 터널 인증 등 터널 생성이 필요로 한 일련의 정보를 기반으로 해당 게이트웨이(101)에 터널 생성을 요청함으로써 터널이 생성될 수 있다.
터널 생성이 완료된 경우, 제어 서버(102)는 터널 생성 완료 정보 및/또는 터널 생성에 따라 설정된 전용 IP 정보를 획득할 수 있으며, 터널 전용 IP 및 해당 터널 생성 정보를 터널 테이블에 등록하고 노드(103)가 전송한 일련의 정보를 제어 플로우에 갱신할 수 있다.
동작 1235에서, 만약 새로운 터널이 생성되지 않고, 노드(103)가 속한 네트워크에 존재하는 게이트웨이(101)와 목적지 네트워크 경계에 존재하는 게이트웨이(101) 사이에 사전에 연결된 터널을 통해서 접속하는 경우, 또는 노드(103)와 목적지 네트워크 경계 사이에 타 터널 기술을 통해서 접속하는 경우, 제어 서버(102)는 별도의 터널 생성 정보를 노드(103)에 전송하지 않을 수 있다. 만약 터널 생성이 필요로 하지 않은 경우, 애플리케이션 화이트리스트 검사가 수행될 수 있다.
동작 1240에서, 제어 서버(102)는, 노드(103)가 전송한 애플리케이션 설치 목록에 따라 해당 네트워크에 연결된 노드의 접속을 허용하기 위해 접속 정책 데이터베이스 및 서비스 정책 데이터베이스를 참조하여 해당 노드가 위치한 게이트웨이를 확인하고, 해당 노드가 네트워크 접속 요청 절차 없이 네트워크 접속을 허용 할 수 있도록 출발지 IP, 도착지 IP, 서비스 포트 정보, 해당 애플리케이션이 송수신하는 데이터 패킷의 프로토콜을 검사하기 위한 정보로서 데이터 패킷 전송 및 수신시 포함된 프로토콜 정보를 식별하기 위한 프로토콜 식별 시그니처 및 버전 정보, 헤더 정보, 규약 정보 등 및 필요에 따라 어느 정도의 범위(길이)까지 데이터 패킷을 검사하여 프로토콜을 식별하고, 정상적인 프로토콜로 처리할 것인지에 대한 정보, 프로토콜 검사를 네트워크 접속 제어 애플리케이션이 수행할 것인지 또는 데이터 패킷 정보를 컨트롤러로 전송하여 수행할 것인지 여부, 네트워크 접속 시도 시점 또는 주기적으로 프로토콜을 검사할 것인지에 대한 정보, 및 검사가 완료되었는지 또는 검사가 더 필요로 한지에 대한 상태 정보 등을 포함하는 프로토콜 정보 및 게이트웨이에 포함된 프록시를 통해서 접속할 수 있는 서비스 IP와 포트 정보, 프로토콜 정보(예 : HTTP, FTP, IoT 전용 프로토콜 등) 및 서비스 요청 필터링 필요 여부, 서비스 요청 필터링 처리 방식, 필터링 정보(예 : 개인 정보, 유해 서비스 요청 정보)를 포함하며, 프록시에서 사전에 불필요로 한 또는 위험한 서비스 요청을 차단하기 위한 일련의 정보와 서비스 요청에 대한 QoS (Quality of Service)가 필요로 한 경우 일정 시간 단위로 서비스 요청 가능 횟수를 설정하고 그에 따라 프록시에서 서비스 요청 횟수를 조절하기 위한 일련의 정보, 접속 대상이 보안 세션 생성시 허용된 대상인지 확인하기 위해 인증서 정보 등을 포함하는 데이터 플로우 정보를 생성/갱신/처리하고, 동작 1245 및 동작 1250에서, 노드(103) 및 게이트웨이에 해당 정보를 전송하고, 동작 1255에서, 게이트웨이(101)는 데이터 플로우 정보를 수신할 수 있다.
그리고, 노드(103) 및/또는 게이트웨이(101)는 제어 서버(102)로부터 갱신된 데이터 플로우 정보를 수신하면, 이를 참조하여 데이터 플로우 정보를 갱신할 수 있다.
도 13은, 접속 제어 애플리케이션이 설치된 노드(103)의 사용자 인증 단계를 개략적으로 도시하고 있다.
도 13을 참조하면, 동작 1305에서, 노드(103)의 접속 제어 애플리케이션은 외부 서버(가령, 제어 서버(102))와의 제어 플로우 생성 이후 사용자 ID 및 비밀번호 또는 강화된 인증 방법에 의한 인증 정보를 전송함으로써 사용자 인증을 요청할 수 있다.
동작 1310에서, 제어 서버(102)는 사용자 인증 요청을 수신하고, 접속 제어 애플리케이션이 인증 요청한 정보(사용자 ID 및 비밀번호, 강화된 인증 정보 등)를 기반으로 해당 노드(103)의 사용자가 접속 가능한 사용자인지 여부 및 해당 사용자가 블랙리스트에 포함되어 있는지 여부를 검사하여 해당 사용자가 차단되어 있는지 여부를 확인하며, 만약 접속이 불가능하거나 블랙리스트에 포함된 경우 노드(103)에 접속 불가 정보를 전송할 수 있다.
동작 1315에서, 접속 가능한 사용자인 것으로 확인되면, 제어 서버(102)는 제어 플로우 ID를 참조하여 제어 플로우 테이블에서 대응되는 제어 플로우를 검색하고, 제어 플로우의 식별 정보에 사용자 식별 정보(사용자 ID)를 추가할 수 있으며, 사용자 인증 결과로서 인증 완료 상태 및 인증된 사용자의 접속 정책 정보를 노드(103)에 반환할 수 있다.
동작 1320에서, 제어 서버(102)는 식별된 정보(노드, 출발지 네트워크 정보 등)와 매칭되는 접속 정책 데이터베이스 및 터널 정책 데이터베이스를 참조하여, 현재 접속된 노드(103)가 연결할 수 있는 목적지 네트워크 정보가 존재하는지 확인하고, 접속 가능한 애플리케이션 화이트리스트 정보를 생성할 수 있다.
접속이 가능한 경우, 해당 노드(103)가 목적지 네트워크에 접속하기 위해서 제어 플로우에 포함된 노드(103)의 종류, 위치 정보, 환경 및 노드가 포함되어 있는 네트워크 등의 정보와 제어 서버(102)를 통해서 식별된 노드의 IP 및 노드에서 식별된 노드의 IP 등을 통해서 노드(103)가 연결할 수 있는 터널 종류와 게이트웨이를 목록화하고, 목록화된 게이트웨이의 상태 (처리량, 장애 여부)를 확인하여 최적의 터널 및 최적의 게이트웨이를 식별할 수 있다.
동작 1325에서, 노드(103)에 접속 가능한 터널 및 게이트웨이가 존재하는 경우, 제어 서버(102)는 터널을 생성하기 위한 게이트웨이 및 터널 인증 등의 일련의 정보를 노드(103)에 전송할 수 있다.
노드(103)와 게이트웨이(101) 사이에 터널이 생성되는 구조가 아니고 노드(103)가 속한 네트워크에 존재하는 게이트웨이(101)와 목적지 네트워크 경계에 존재하는 게이트웨이(101) 사이에 사전에 연결된 터널을 통해서 접속하는 경우, 또는 노드(103)와 목적지 네트워크 경계 사이에 타 터널 기술을 통해서 접속하는 경우, 별도의 터널 생성 정보를 노드(103)에 전송하지 않을 수 있다.
동작 1330에서, 노드(103)는 제어 서버(102)로부터 수신된 사용자 인증 요청 처리 결과값을 처리하며, 터널 생성이 필요로 한 경우, 제어 서버(102)로부터 수신한 터널 생성을 위한 게이트웨이(101) 및 터널 인증 등 터널 생성이 필요로 한 일련의 정보를 기반으로 해당 게이트웨이(101)에 터널 생성을 요청함으로써 터널이 생성될 수 있다.
터널 생성이 완료되면, 노드(103)는 터널 생성 완료 정보 및 터널 생성에 따라 설정된 전용 IP가 있는 경우 IP 정보를 제어 서버(102)에 전송할 수 있다. 동작 1335에서, 제어 서버(102)로부터 애플리케이션 화이트리스트를 수신한 경우, 해당 애플리케이션이 노드(103)에 설치되어 있는지 여부를 확인한 결과를 제어 서버(102)로 전송할 수 있다.
동작 1340에서, 제어 서버(102)는 터널 생성 처리 결과에 따라 터널 생성이 완료된 경우 노드(103)에 할당된 터널 전용 IP 및 해당 터널 생성 정보를 터널 테이블에 등록하고 노드(103)가 전송한 일련의 정보를 식별된 제어 플로우에 갱신할 수 있다. 또한 노드(103)가 전송한 애플리케이션 설치 목록에 따라 해당 네트워크에 연결된 노드의 접속을 허용하기 위해 접속 및 서비스 정책에서 해당 노드가 위치한 게이트웨이를 확인하고, 해당 노드가 네트워크 접속 요청 절차 없이 네트워크 접속을 허용 할 수 있도록 출발지 IP, 도착지 IP, 서비스 포트 정보, 해당 애플리케이션이 송수신하는 데이터 패킷의 프로토콜을 검사하기 위한 정보로써 데이터 패킷 전송 및 수신시 포함된 프로토콜 정보를 식별하기 위한 프로토콜 식별 시그니처 및 버전 정보, 헤더 정보, 규약 정보 등 및 필요에 따라 어느 정도의 범위(길이)까지 데이터 패킷을 검사하여 프로토콜을 식별하고, 정상적인 프로토콜로 처리할 것인지에 대한 정보, 프로토콜 검사를 접속 제어 애플리케이션이 수행할 것인지 또는 데이터 패킷 정보를 컨트롤러로 전송하여 수행할 것인지 여부, 네트워크 접속 시도 시점 또는 주기적으로 프로토콜을 검사할 것인지에 대한 정보, 및 검사가 완료되었는지 또는 검사가 더 필요로 한지에 대한 상태 정보 등을 포함하는 프로토콜 정보 및 게이트웨이에 포함된 프록시를 통해서 접속할 수 있는 서비스 IP와 포트 정보, 프로토콜 정보(예: HTTP, FTP, IoT 전용 프로토콜 등) 및 서비스 요청 필터링 필요 여부, 서비스 요청 필터링 처리 방식, 필터링 정보(예: 개인 정보, 유해 서비스 요청 정보)를 포함하며, 프록시에서 사전에 불필요로 한 또는 위험한 서비스 요청을 차단하기 위한 일련의 정보와 서비스 요청에 대한 QoS (Quality of Service)가 필요로 한 경우 일정 시간 단위로 서비스 요청 가능 횟수를 설정하고 그에 따라 프록시에서 서비스 요청 횟수를 조절하기 위한 일련의 정보, 접속 대상이 보안 세션 생성시 허용된 대상인지 확인하기 위해 인증서 정보 등을 포함하는 데이터 플로우 정보를 생성할 수 있다. 동작 1345 및 동작 1350에서, 제어 서버(102)는 노드(103) 및 게이트웨이(101)에 해당 정보를 전송하고, 동작 1355에서, 게이트웨이(101)는 데이터 플로우 정보를 수신할 수 있다.
만약 제어 서버(102)에 의해서 터널 생성이 불필요로 한 경우 또는 터널 생성이 완료된 경우, 제어 서버(102)는 터널 생성 완료 정보 및/또는 터널 생성에 따라 설정된 전용 IP 정보를 획득할 수 있으며, 노드(103)에 할당된 터널 전용 IP 및 해당 터널 생성 정보를 터널 테이블에 등록하고 노드(103)가 전송한 일련의 정보를 식별된 제어 플로우에 갱신할 수 있다.
그리고, 제어 서버(102)로부터 갱신된 데이터 플로우 정보가 수신되면, 노드(103)는 이를 참조하여 노드(103)에 저장된 데이터 플로우 정보를 갱신할 수 있다.
도 14는, 접속 제어 애플리케이션이 설치된 노드(103)의 네트워크 접속 처리 단계를 개략적으로 도시하고 있다.
도 14를 참조하면, 동작 1405에서, 노드(103)의 접속 제어 애플리케이션은 대상 애플리케이션의 네트워크 접속을 탐지할 수 있다. 동작 1410에서, 목적지 네트워크와 통신하기 위해 대상 애플리케이션 식별 정보, 도착지 IP와 포트 정보를 기반으로 데이터 플로우 정보가 존재하는지 확인할 수 있다(1410). 유효한 데이터 플로우가 존재하는 경우, 접속 제어 애플리케이션은 게이트 웨이로 데이터 패킷을 전송할 수 있다. 데이터 플로우가 존재하지만 유효하지 않은 경우(예: 전송 불가 상태 또는 과거에 제어 서버(102)에 의해 네트워크 접속이 거절된 경우), 데이터 패킷은 드랍될 수 있다.
동작 1415에서, 데이터 플로우가 존재하지 않는 경우, 인증 시각이 만료되는 등의 이유로 데이터 플로우 갱신이 필요한 경우, 네트워크 접속 요청을 전송할 수 있다.
동작 1420에서, 제어 서버(102)는 제어 플로우 상에 식별된 정보(노드, 애플리케이션, 출발지 네트워크 정보 등)와 매칭되는 접속 정책 데이터베이스를 참조하여, 접속 요청한 식별 정보(도착지 IP 및 서비스 포트 정보 등)가 포함되었는지 여부 및 해당 식별 정보로 매핑된 서비스 서버로의 접속 가능 여부를 확인할 수 있다.
매핑된 서비스 서버로의 접속이 불가능한 경우, 제어 서버(102)는 노드(103)에 접속 불가 결과를 전송할 수 있으며, 이에 따라 데이터 패킷이 드랍될 수 있다.
매핑된 서비스 서버로의 접속이 가능한 경우, 제어 서버(102)는 해당 네트워크에 접속하기 위해 터널 테이블에서 터널이 생성되었는지 여부를 확인할 수 있다.
동작 1425에서, 터널이 생성되어 있지 않은 경우, 제어 서버(102)는 터널 정책 데이터베이스 및 프로토콜 정책 데이터베이스 중 적어도 일부를 참조하여, 해당 서비스에 접속하기 위해서 반드시 터널이 생성되어 있어야 하는지 확인하고, 반드시 터널이 생성되어 있어야 하는 것으로 확인되면, 제어 서버(102)는 노드(103)에 접속 불가 결과를 전송할 수 있다.
터널이 이미 생성되어 있거나, 터널 생성이 불필요로 한 것으로 확인되면, 제어 서버(102)는, 데이터 플로우 테이블에서 노드(103)가 접속 요청한 정보(도착지 IP 및 서비스 포트 정보 등)에 대응되는 유효한 데이터 플로우가 존재하는지 여부를 확인할 수 있다.
유효한 데이터 플로우가 존재하는 경우 해당 정보(네트워크 접속 요청 결과값)를 노드(103) 및/또는 게이트웨이(101)에 전송할 수 있다.
동작 1430에서, 유효한 데이터 플로우가 존재하지 않는 경우, 제어 서버(102)는, 출발지 IP, 도착지 IP, 서비스 포트 정보, 해당 애플리케이션이 송수신하는 데이터 패킷의 프로토콜을 검사하기 위한 정보로써 데이터 패킷 전송 및 수신시 포함된 프로토콜 정보를 식별하기 위한 프로토콜 식별 시그니처 및 버전 정보, 헤더 정보, 규약 정보 등 및 필요에 따라 어느 정도의 범위(길이)까지 데이터 패킷을 검사하여 프로토콜을 식별하고, 정상적인 프로토콜로 처리할 것인지에 대한 정보, 프로토콜 검사를 네트워크 접속 제어 애플리케이션이 수행할 것인지 또는 데이터 패킷 정보를 컨트롤러로 전송하여 수행할 것인지 여부, 네트워크 접속 시도 시점 또는 주기적으로 프로토콜을 검사할 것인지에 대한 정보, 및 검사가 완료되었는지 또는 검사가 더 필요로 한지에 대한 상태 정보 등을 포함하는 프로토콜 정보 및 게이트웨이에 포함된 프록시를 통해서 접속할 수 있는 서비스 IP와 포트 정보, 프로토콜 정보(예 : HTTP, FTP, IoT 전용 프로토콜 등) 및 서비스 요청 필터링 필요 여부, 서비스 요청 필터링 처리 방식, 필터링 정보(예 : 개인 정보, 유해 서비스 요청 정보)를 포함하며, 프록시에서 사전에 불필요로 한 또는 위험한 서비스 요청을 차단하기 위한 일련의 정보와 서비스 요청에 대한 QoS (Quality of Service)가 필요로 한 경우 일정 시간 단위로 서비스 요청 가능 횟수를 설정하고 그에 따라 프록시에서 서비스 요청 횟수를 조절하기 위한 일련의 정보, 접속 대상이 보안 세션 생성시 허용된 대상인지 확인하기 위해 인증서 정보 등을 포함하는 데이터 플로우 정보를 생성하고, 동작 1440에서, 게이트웨이(101)에 해당 정보를 전송하고, 동작 1435에서, 노드(103)로 네트워크 접속 요청 처리 결과를 전송할 수 있다.
그리고, 접속 제어 애플리케이션은 제어 서버(102)로부터 수신된 접속 요청 결과값을 처리할 수 있다.
만약 제어 서버(102)로부터 데이터 플로우 정보를 수신한 경우, 접속 제어 애플리케이션은 노드(103)에 저장하고 있는 데이터 플로우 정보를 갱신할 수 있으며, 네트워크 접속 요청에 성공한 경우, 데이터 패킷을 게이트웨이(101)로 전송할 수 있다.
도 15는 접속 제어 애플리케이션이 설치된 노드(103)의 터널링 기반 데이터 패킷 포워딩 과정을 개략적으로 도시하고 있다.
도 15를 참조하면, 동작 1505에서, 터널 생성이 필요한 경우, 노드(103)는 외부 서버(가령, 제어 서버(102))로부터 수신한 터널 생성을 위한 게이트웨이(101) 및 터널 인증 등 터널 생성에 필요한 일련의 정보를 기반으로 게이트웨이(101)에 터널 생성을 요청할 수 있다.
동작 1505에서, 게이트웨이(101)는 데이터 플로우 검사를 할 수 있으며, 노드(103)로부터 수신된 데이터 패킷이 터널 생성 처리를 위한 데이터 패킷임을 확인하기 위해 게이트웨이(101) 내에 존재하는 터널링 관련 모듈이 수신하고 있는 포트인지 여부를 확인할 수 있으며, 터널링 관련 모듈이 수신하고 있는 포트인 것으로 확인되면, 데이터 패킷을 포워딩 처리하고, 동작 1515에서, 터널 생성 요청 관련 데이터 패킷을 참조하여 터널 생성을 처리하고, 동작 1520에서, 터널 생성 결과를 노드(103)로 전송할 수 있다.
만약 터널링 관련 모듈이 수신하고 있지 않는 포트이고, 허용되지 않은 출발지 IP 및 도착지 IP, 포트로 접속을 시도하는 데이터 패킷인 경우 게이트웨이(101)는, 데이터 패킷을 드랍 처리할 수 있다.
그리고, 동작 1525에서, 노드(103)는 터널 생성 결과를 수신하여, 터널 생성이 완료된 경우, 동작 1530에서, 터널링에 기반하여 서비스 서버에 접속을 수행(데이터 패킷 전송)할 수 있다.
동작 1535에서, 게이트웨이(101)는 데이터 플로우 검사를 수행할 수 있으며, 노드(103)에 할당된 터널링 IP를 기준으로 제어 서버(102)로부터 수신된 접속 가능한 데이터 플로우 정보를 참조하여, 해당 노드(103)가 서비스 서버에 접속이 가능한지 판단할 수 있다. 동작 1540에서, 접속이 가능한 경우, 데이터 패킷을 서비스 서버로 포워딩하고, 동작 1545에서, 서비스 서버는 데이터 패킷을 수신할 수 있다.
만약 허용되지 않은 출발지 IP 및 도착지 IP, 포트로 접속을 시도하는 데이터 패킷인 경우, 게이트웨이(101)는 데이터 패킷을 드랍 처리할 수 있다.
도 16은 접속 제어 애플리케이션이 설치된 노드(103)의 데이터 패킷 인증 기반 데이터 패킷 포워딩 과정을 개략적으로 도시하고 있다.
도 16을 참조하면, 동작 1605에서, 노드(103) 및 서비스 서버 사이에 논리적 연결(예: TCP 인증 기반 TCP Session 생성, UDP 인증 기반 UDP 관련 Session 또는 흐름 생성 등)이 필요한 경우, 노드(103)는 제어 서버(102)로부터 수신한 논리적 연결 인증을 위해 인증 정보 생성에 필요로 한 일련의 정보를 기반으로 서비스 서버로 논리적 연결 생성을 요청할 수 있다.
동작 1610에서, 게이트웨이(101)는 데이터 플로우 검사를 수행할 수 있으며, 노드(103)로부터 수신된 논리적 연결을 위한 일련의 데이터 패킷을 확인하기 위해서, 제어 서버(102)로부터 수신된 인증 정보를 기반으로 해당 논리적 연결을 위한 인증 정보가 유효한지 여부를 확인하고, 해당 인증 정보로 서비스 서버에 접속이 가능한지 여부를 확인할 수 있다.
동작 1615에서, 인증 정보가 유효한 경우, 게이트웨이(101)는, 데이터 패킷을 서비스 서버로 포워딩 처리하며, 인증 정보가 유효하지 않거나 해당 인증 정보로 접속할 수 없는 서비스 서버의 네트워크 접속 요청인 경우 데이터 패킷을 드랍 처리할 수 있다.
그리고, 동작 1620에서, 논리적 연결이 생성되고, 동작 1625에서, 논리적 연결 생성 결과가 노드(103)로 전송되어, 동작 1630에서, 노드(103)가 논리적 연결 생성 결과를 수신하면, 동작 1635에서, 노드(103)는 논리적 연결에 기반하여 서비스 서버에 데이터 패킷을 전송할 수 있다.
동작 1640에서, 게이트웨이(101)는 노드(103)에 할당된 논리적 연결 정보를 기준으로 하여 제어 서버(102)로부터 수신된 데이터 플로우 정보를 검사하고, 동작 1645에서, 해당 노드(103)가 서비스 서버에 접속이 가능한 경우 데이터 패킷을 서비스 서버로 포워딩하고, 동작 1650에서, 서비스 서버는 데이터 패킷을 수신할 수 있다.
만약 허용되지 않은 허용되지 않은 논리적 연결을 기반으로 서비스 접속을 시도하는 데이터 패킷인 경우, 게이트웨이(101)는 데이터 패킷을 드랍 처리할 수 있다.
본 과정을 통하여 게이트웨이(101)는 인증 기반 논리적 연결이 부여된 노드(103)에 한해서 네트워크 접속 및 데이터 패킷 전송 제어를 수행할 수 있다.
도 17은, 게이트웨이(101)가 프로토콜을 검사하는 과정을 개략적으로 도시한 흐름도이다.
도 17을 참조하면, 동작 1705에서, 게이트웨이(101)는 데이터 패킷 전송 이벤트를 운영체제의 네트워크 커널로부터 수신할 수 있으며, 동작 1710에서, 데이터 플로우 검사를 수행할 수 있다.
일례로, 게이트웨이(101)는, 수신된 IP 헤더에 포함된 도착지 IP와 포트 정보, 프로토콜 정보(예: TCP, UDP 등) 및 출발지 IP 또는 논리적 연결 정보 중 하나 또는 하나 이상을 사용하여 데이터 플로우 정보가 존재하는지 확인할 수 있다.
유효한 데이터 플로우가 존재하지 않는 경우, 게이트웨이(101)는 데이터 패킷을 드랍할 수 있다.
동작 1715에서, 유효한 데이터 플로우가 존재하는 경우, 게이트웨이(101)는, 해당 데이터 플로우에 포함된 프로토콜 정보에 포함된 프로토콜 검사 상태(프로토콜 검사 필요 여부, 이전 데이터 패킷 전송 검사에 의해 프로토콜 검사 완료 여부, 주기적으로 프로토콜 검사 필요 여부 등)에 기반하여 프로토콜 검사가 필요한지 여부를 판단할 수 있다.
프로토콜 검사가 필요로 하지 않은 경우, 게이트웨이(101)는 서비스 서버로 데이터 패킷을 포워딩할 수 있다.
프로토콜 검사가 필요한 경우, 게이트웨이(101) 또는 외부 서버(가령, 제어 서버(102))에 의해 프로토콜 검사가 수행될 수 있다.
동작 1720에서, 게이트웨이(101)가 프로토콜 검사를 직접 수행하는 경우, 게이트웨이(101)는 데이터 플로우에 포함된 데이터 패킷의 프로토콜을 검사하기 위한 정보를 기반으로 데이터 패킷에서 허용된 프로토콜 여부를 식별하기 위한 시그니처 및 버전 정보, 헤더 정보, 규약 정보가 포함되어 있거나 준수하는지 여부를 확인하며, 필요에 따라 프로토콜 정보에 포함된 검사 범위(길이)까지 데이터 패킷을 검사할 수 있다.
프로토콜 검사에 성공한 경우, 프로토콜 검사 상태가 완료 상태로 변경되며, 데이터 패킷이 포워딩 될 수 있다.
동작 1725에서, 프로토콜 검사에 실패한 경우, 게이트 웨이는 해당 데이터 패킷을 드랍하고, 데이터 플로우를 제거하며, 동작 1730에서, 제어 플로우 식별 정보를 포함하는 프로토콜 검사 결과를 제어 서버(102)로 전송할 수 있다. 동작 1735에서, 제어 서버(102)는 프로토콜 검사 결과를 수신하고, 해당 프로토콜 정책 데이터베이스 및 블랙리스트 정책 데이터베이스를 참조하여 위험도를 판단할 수 있다.
동작 1740에서, 만약 위험도가 낮은 경우, 제어 서버(102)는 해당 데이터 플로우를 제거하고, 갱신된 데이터 플로우를 게이트웨이(101)에 전파할 수 있다. 반면에, 위험도가 높은 경우, 제어 서버(102)는 해당 노드(103)가 더이상 네트워크 접속을 유지할 수 없도록 제어 플로우 및 터널을 제거하고 갱신된 제어 플로우, 데이터 플로우, 터널 정보를 게이트웨이(101)에 전파할 수 있다. 만약 위험도가 심각한 경우, 제어 서버(102)는 상기의 제어 플로우 제거 절차를 수행한 이후 식별된 노드(103)가 더 이상 접속할 수 없도록 블랙리스트에 추가할 수 있다.
그리고 게이트웨이(101)는 제어 서버(102)로부터 프로토콜 검사 결과 전송 결과를 수신함에 따라 결과값을 처리할 수 있다.
한편, 도 17에 도시되지는 않았으나, 제어 서버(102)에 의해 프로토콜 검사가 수행되는 경우에도 동일/유사한 설명이 적용될 수 있다.
일례로, 게이트웨이(101)는 데이터 플로우에 포함된 데이터 패킷의 프로토콜을 검사하기 위한 정보를 기반으로 데이터 패킷에서 허용된 프로토콜 여부를 식별하기 위해 데이터 패킷 전부 또는 필요에 따라 프로토콜 정보에 포함된 검사 범위(길이)까지 데이터 패킷을 수집할 수 있다.
그리고, 게이트웨이(101)는 수집된 데이터 패킷 및 데이터 플로우 식별 정보를 포함하여 제어 서버(102)에 프로토콜 검사를 요청할 수 있다.
제어 서버(102)는 식별된 데이터 플로우 정보 및 데이터 플로우에 포함된 프로토콜 정보를 기반으로 하여, 데이터 패킷에서 시그니처 및 버전 정보, 헤더 정보, 규약 정보가 포함되어 있거나 준수하는지 여부를 검사할 수 있다.
만약 검사에 성공한 경우, 제어 서버(102)는 데이터 플로우의 수신 데이터 패킷 검사 상태를 완료로 변경하고 갱신된 데이터 플로우 정보를 게이트웨이(101)에 반환할 수 있다.
반면 검사에 실패한 경우, 제어 서버(102)는 프로토콜 검사 결과에 따라 해당 프로토콜 정책 및 블랙리스트 정책을 기반으로 위험 여부를 판단할 수 있다. 만약 위험도가 낮은 경우, 제어 서버(102)는 데이터 플로우를 제거하고, 갱신된 데이터 플로우 정보를 게이트웨이(101)에 전파할 수 있다. 반면에 위험도가 높은 경우, 제어 서버(102)는 해당 노드(103)가 더 이상 네트워크 접속을 유지할 수 없도록 제어 플로우 및 터널을 제거하고 갱신된 제어 플로우, 데이터 플로우, 터널 정보를 게이트웨이(101)에 전파할 수 있다. 만약 위험도가 심각한 경우, 제어 서버(102)는 상기의 제어 플로우 제거 절차를 수행한 이후 해당 노드(103)가 더 이상 접속할 수 없도록 블랙리스트에 추가할 수 있다.
도 18은 게이트웨이(101)가 보안 세션을 생성하는 과정을 개략적으로 도시한 흐름도이다.
도 18을 참조하면, 동작 1905에서, 게이트웨이(101)는 보안 세션(예: HTTP와 같은 프로토콜을 보호하기 위한 TLS, QUIC 등의 보안 세션) 생성 요청을 노드로부터 수신하고, 동작 1910에서, 데이터 플로우를 검사하여 IP 헤더에 포함된 출발지 IP를 식별하고, 보안 세션을 생성하기 위해 게이트웨이(101)에 포함된 프록시 포트에 대응하는 유효한 데이터 플로우가 존재하는지 여부를 확인할 수 있다.
동작 1925에서, 유효한 데이터 플로우가 존재하지 않는 경우, 게이트웨이(101)는 보안 세션 생성 요청을 거절할 수 있다.
동작 1915에서, 유효한 데이터 플로우가 존재하는 경우, 게이트웨이(101)는 프록시를 통해서 노드와 프록시 사이에 보안 세션을 생성하고, 그 결과를 노드에 반환할 수 있다.
동작 1920에서, 또한 보안 세션 생성이 완료된 경우, 게이트웨이(101)는 보안 세션 생성에 사용된 인증서 정보를 검사하고 데이터 플로우를 갱신할 수 있다.
해당 인증서가 특정 노드를 식별하기 위한 특정 인증서인 경우, 게이트웨이(101)는 특정 인증서 식별 정보를 기준으로 식별된 데이터 플로우에 보안 세션 식별 정보 및 보안 세션 매칭 여부(완료)를 갱신하고, 이후에 해당 보안 세션으로 접속하는 노드에 대해서는 보안 세션 식별 정보 기반으로 데이터 플로우를 식별할 수 있도록 한다.
해당 인증서가 모든 노드에서 사용할 수 있는 범용 인증서인 경우, 출발지 IP 기준으로 식별된 데이터 플로우의 보안 세션 정보에 보안 세션 식별 정보 및 보안 세션 매칭 여부(미완료)를 갱신하고, 이후에 인증 절차를 통해서 해당 보안 세션 식별 정보를 사용하는 노드 또는 사용자를 매칭할 수 있도록 한다.
도 19는 게이트웨이(101)가 서비스 요청을 처리하는 과정을 개략적으로 도시한 흐름도이다.
도 19를 참조하면, 동작 1805에서, 보안 세션 기반 서비스 요청 이벤트가 수신되면, 동작 1810에서, 게이트웨이(101)에 포함된 프록시는 데이터 플로우 검사를 수행하여 수신된 IP 헤더에 포함된 도착지 IP와 포트 정보, 프로토콜 정보(예: TCP, UDP 등)를 사용하여 데이터 플로우 정보가 존재하는지 확인할 수 있다.
동작 1840에서, 데이터 플로우가 존재하지만 유효하지 않은 경우(예: 데이터 패킷 전송 불가 상태 등) 또는 데이터 플로우가 존재하지 않는 경우, 게이트웨이(101)는 서비스 요청을 거절할 수 있다.
동작 1840에서, 인증 정보 검사가 필요한 데이터 플로우가 존재하는 경우, 게이트웨이(101)는 수신된 서비스 요청 헤더 또는 파라메터에 인증 정보가 존재하는지 여부를 확인한다.
참고로, 인증 정보는 인증 서버를 통해서 노드 및 사용자 인증이 완료된 후, 인증 정보를 헤더 또는 파라미터 형태로 반환하여 이후 노드가 보안 세션 기반 서비스 요청시 해당 인증 정보를 포함하여 전송함으로써 게이트웨이(101)가 해당 인증 정보와 보안 세션을 매칭하기 위한 정보로 사용되는 정보일 수 있다.
동작 1850에서, 인증 정보가 존재하지 않는 경우, 게이트웨이(101)는 데이터 플로우 식별 정보 및 보안 세션 식별 정보를 포함하여 인증 서버로 리다이렉션하고, 노드 및 사용자 인증이 완료되면, 해당 데이터 플로우와 보안 세션이 매칭 가능한 상태인지 여부를 확인하고 데이터 플로우를 갱신할 수 있다.
인증 정보가 존재하는 경우, 게이트웨이(101)는 데이터 플로우의 인증 정보에 기반하여 해당 인증 정보가 유효한지 여부를 검사할 수 있다.
동작 1845에서, 유효한 인증 정보인 경우, 게이트웨이(101)는 데이터 플로우의 보안 세션 정보에 보안 세션 식별 정보 및 보안 세션 매칭 여부(완료)를 갱신하고, 이후 해당 보안 세션 식별 정보에 기반하여 데이터 플로우를 검사할 수 있다. 반면에, 유효하지 않은 인증 정보인 경우, 게이트웨이(101)는 서비스 요청을 거절할 수 있다.
그리고, 유효한 데이터 플로우가 존재하는 경우, 게이트웨이(101)는 수신된 서비스 요청 헤더에 포함된 도착지 IP 또는 도메인 식별 정보와 포트 정보를 기반으로 데이터 플로우 정보 내에 서비스 요청을 허용하는 서비스 정보가 존재하는지 확인할 수 있다.
서비스 요청을 허용하는 서비스 정보가 존재하지 않는 경우, 게이트웨이(101)는 해당 서비스 요청을 거절할 수 있다.
서비스 요청을 허용하는 서비스 정보가 존재하는 경우, 게이트웨이(101)는 서비스 정보에 포함된 서비스 요청 QoS 정보를 통해서 QoS가 필요한지 여부를 확인할 수 있다.
동작 1815에서, 서비스 요청 QoS가 필요한 경우, 게이트웨이(101)는 서비스 요청 QoS 처리를 수행할 수 있다. 게이트웨이(101)는 서비스 요청 QoS 정보에 포함된 일정 시간당 서비스 요청 가능 횟수를 확인할 수 있으며, 서비스 요청 횟수가 일정 시간당 허용 가능한 횟수를 초과하는 것으로 확인되면, 서비스 요청 QoS 방식에 따라 해당 서비스 요청을 일정 시간 지연시킨 후 처리하거나 서비스 요청을 거절하여 서비스 재요청을 유도할 수 있다.
동작 1820에서, 서비스 요청 QoS가 필요하지 않은 경우, 게이트웨이(101)는 서비스 요청 정보를 필터링할 수 있으며, 서비스 정보에 포함된 서비스 필터링 정보를 통해서 해당 서비스 요청의 프로토콜(예: HTTP, FTP 또는 IoT 기기를 위한 전용 프로토콜 등)이 정상적인지 여부를 확인할 수 있다.
해당 서비스 요청의 프로토콜이 정상적이지 않은 경우, 게이트웨이(101)는 서비스 요청을 거절할 수 있다.
한편, 게이트웨이(101)는, 서비스 요청 정보를 필터링할 때, 정보에 대한 치환이 필요로 한 경우, 서비스 필터링 정보에 포함된 치환 정보 또는 규칙을 통해서 해당 요청 정보를 치환하고 해당 서비스 요청을 전송할 수 있다.
반면에, 서비스 요청에 대한 필터링이 필요로 하지 않은 경우 및/또는 서비스 요청 정보에 대한 치환이 필요로 하지 않은 경우, 게이트웨이(101)는 해당 서비스 요청을 전송할 수 있다.
만약 서비스 요청에 대해 차단이 필요로 한 경우, 게이트웨이(101)는 해당 서비스 요청 전송을 거절할 수 있다.
게이트웨이(101)는 데이터 플로우의 인증 정보에 포함된 인증 정보 생성 알고리즘 및 부가 정보를 사용하여 인증 정보를 생성할 수 있다. 이후 인증 정보에 포함된 암호화 알고리즘 및 암호화 키로 해당 인증 정보를 암호화할 수 있다. 그리고, 동작 1825에서, 게이트웨이(101)는 암호화된 인증 정보와 데이터 플로우 식별 정보를 결합한 데이터 플로우 헤더를 서비스 애플리케이션의 프로토콜 규격에 따라 서비스 요청 정보에 삽입하고, 동작 1830에서, 해당 서비스 요청을 전송할 수 있다.
동작 1835에서, 서비스 요청 전송 또는 서비스 요청 거절을 처리한 이후 게이트웨이(101)는 서비스 요청 처리 횟수를 데이터 플로우 내의 서비스 정보에 포함된 QoS 통계 정보에 반영할 수 있다.
한편, 게이트웨이(101)는 아래와 같은 과정을 통해 데이터 플로우를 갱신할 수 있다.
일례로, 게이트웨이(101)는 제어 서버(102)로부터 수신된 데이터 플로우에 기반하여, 노드(103)로부터의 데이터 패킷 또는 서비스 요청을 포워딩할 때 처리 시각 또는 Timestamp 정보를 갱신하며, 주기적으로 제어 서버(102)에 데이터 플로우 정보 갱신을 요청할 수 있다.
그리고, 제어 서버(102)는 수신된 데이터 플로우 식별 정보를 참조하여 데이터 플로우 정보가 존재하는지 확인할 수 있다.
데이터 플로우가 존재하지 않는 경우, 해당 노드(103)가 네트워크 접속을 종료한 것이므로, 제어 서버(102)는 해당 게이트웨이(101)를 통해 해당 데이터 플로우 정보로 더 이상 접속할 수 없도록 유효하지 않은 데이터 플로우 정보를 게이트웨이(101)로 반환할 수 있다.
또한 제어 서버(102)는, 데이터 플로우의 마지막 접속 처리 시각을 확인하고 인증 정책에 따라 최초 인증 이후 사용할 수 있는 시각이 만료되어 재인증이 필요로 하거나, 노드(103)의 접속이 해제된 경우 해당 노드(103)의 데이터 플로우 및 제어 플로우를 제거하고, 해당 노드(103)가 네트워크 접속을 종료한 것이므로 해당 게이트웨이(101)를 통해 더 이상 접속할 수 없도록 유효하지 않은 데이터 플로우 정보를 게이트웨이(101)로 반환할 수 있다.
그리고, 게이트웨이(101)는 수신된 데이터 플로우 정보를 기반으로 유효하지 않은 데이터 플로우를 삭제할 수 있다.
도 20을 참조하면, 게이트웨이(101)에 의해 데이터 플로우 헤더가 삽입된 서비스 요청 정보의 구조를 확인할 수 있다.
게이트웨이(101)에 포함된 프록시는, 데이터 플로우에 포함된 인증 정보에 기반하여, 서비스 서버에서 서비스 요청 대상을 식별할 수 있는 데이터 플로우 헤더 정보를 서비스 애플리케이션의 프로토콜에 적합한 부분(예: HTTP의 경우 헤더 영역)에 삽입하여 서비스 서버로 재전송하고, 서비스 요청에 대한 서비스 서버의 응답값을 노드(103)로 반환할 수 있다.
데이터 플로우 헤더는 노드(103), 게이트웨이(101), 서비스 서버 간 데이터 패킷 흐름에서 제어 서버(102)로부터 수신된 데이터 플로우를 기반으로 서비스 서버에서 인증된 데이터 패킷인지 여부를 확인하기 위해 삽입될 수 있다.
이러한 데이터 플로우 헤더는 데이터 플로우 식별 정보 및 암호화된 인증 정보를 포함할 수 있다.
IP 네트워크에서 데이터 패킷은 5 Tuples 정보 (프로토콜, 출발지 IP, 포트, 도착지 IP, 포트) 이외에는 식별할 수 있는 정보가 없기 때문에, 서비스 서버는, IP를 할당받은 노드(103)가 실질적으로 인증되었는지 여부 및 실질적 통신 주체인 애플리케이션이 허용된 대상에 의해서 전송되었는지 여부를 알 수 없다.
따라서, 서비스 요청 처리시, 서비스 서버는 데이터 플로우 헤더에 포함된 데이터 플로우 식별 정보로 제어 서버(102)에 질의하여 인증된 대상이 접속하였는지 여부를 확인하고, 제어 서버(102)가 저장하고 있는 인증된 대상에 대한 부가적인 정보를 수신하여 인증 처리할 수 있게 된다.
또한, 데이터 플로우 헤더에 포함된 데이터 플로우 식별 정보 이외에 암호화된 인증 정보는 인증된 게이트웨이(101)가 서비스 요청을 포워딩하였는지 여부를 확인하기 위해 사용될 수 있다.
이때, 암호화된 인증 정보는, 제어 서버(102)로부터 수신된 데이터 플로우의 인증 정보에 포함된 인증 정보 암호화/복호화 키를 통해서 인증된 대상(즉, 데이터 플로우가 존재하는 경우)만 암호화된 인증 정보를 복호화할 수 있다.
복호화된 인증 정보는 데이터 플로우 식별 정보와 같이 매 데이터 패킷 인증 시점마다 고정되어 있는 값이 아니라 인증 시점마다 변경되는 OTP (One-Time Password) 및 Random Generation 형태의 정보를 포함할 수 있다.
또한, 게이트웨이(101)는 데이터 플로우의 인증 정보에 포함된 OTP 생성 및 검증을 위한 정보를 기반으로 하여, 매 서비스 요청 포워딩 시점마다 변경되는 OTP 정보를 생성하고, 해당 값을 암호화하여 데이터 플로우 식별 정보를 삽입한 데이터 플로우 헤더 정보를 포함하는 서비스 요청 정보를 포워딩할 수 있다.
본 발명의 실시예에 따르면, HTTP와 같이 범용 프로토콜을 사용하는 노드의 서비스 접속을 식별하고 프록시를 통해서 보안 세션을 연결하도록 유도하며, 보안 세션 연결 이후 노드의 사용자 인증을 통해서 서비스 정보에 데이터 플로우 헤더를 삽입하여 노드에 반환하고, 노드로의 반환 과정 또는 노드의 서비스 재요청 과정에서 게이트웨이가 서비스 정보에 포함된 데이터 플로우 식별 정보를 기반으로 해당 데이터 플로우에 보안 세션 식별 정보를 매핑하는 절차를 수행함으로써, 이후에 서비스 접속하는 노드의 데이터 플로우를 노드 인증 정보 및/또는 보안 세션에 기반하여 검사하고, 이에 따라 복수의 노드로부터 수신된 데이터 패킷들이 동일한 출발지 IP를 포함하는 경우에도, 각각의 노드에 대해 독립적으로 네트워크 접속을 제어할 수 있다.
이상의 설명은 본 문서에 개시된 기술 사상을 예시적으로 설명한 것에 불과한 것으로서, 본 문서에 개시된 실시예들이 속하는 기술 분야에서 통상의 지식을 가진 자라면 본 문서에 개시된 실시예들의 본질적인 특성에서 벗어나지 않는 범위에서 다양한 수정 및 변형이 가능할 것이다.
따라서, 본 문서에 개시된 실시예들은 본 문서에 개시된 기술 사상을 한정하기 위한 것이 아니라 설명하기 위한 것이고, 이러한 실시예에 의하여 본 문서에 개시된 기술 사상의 범위가 한정되는 것은 아니다. 본 문서에 개시된 기술 사상의 보호 범위는 아래의 청구범위에 의하여 해석되어야 하며, 그와 동등한 범위 내에 있는 모든 기술 사상은 본 문서의 권리범위에 포함되는 것으로 해석되어야 할 것이다.

Claims (12)

  1. 게이트웨이에 있어서,
    통신 회로;
    메모리; 및
    상기 통신 회로 및 상기 메모리와 작동적으로 연결되는 프로세서를 포함하고, 상기 프로세서는,
    서비스 요청을 위한 데이터 패킷을 노드로부터 수신하고,
    상기 데이터 패킷에 대응되는 채널이 존재하는지 여부를 확인하고,
    상기 채널이 존재하는 것으로 확인되면, 상기 데이터 패킷의 목적지 네트워크로 상기 데이터 패킷을 포워딩하고,
    상기 채널이 존재하지 않는 것으로 확인되면, 상기 데이터 패킷을 외부 서버로 포워딩하고,
    상기 데이터 패킷을 상기 외부 서버로 포워딩한 후, 상기 노드에 대한 인증 결과에 따라 상기 외부 서버로부터 상기 채널에 대한 정보를 수신하도록 구성된, 게이트웨이.
  2. 제 1 항에 있어서,
    상기 채널은 터널 또는 보안 세션을 포함하는, 게이트웨이.
  3. 제 1 항에 있어서,
    상기 프로세서는,
    상기 채널이 존재하는 것으로 확인되면, 상기 데이터 패킷에 대응되는 데이터 플로우가 존재하는지 여부를 확인하고,
    상기 데이터 플로우가 존재하는 것으로 확인되면, 상기 목적지 네트워크로 상기 데이터 패킷을 포워딩하도록 구성된, 게이트웨이.
  4. 제 3 항에 있어서,
    상기 프로세서는,
    상기 데이터 플로우가 존재하는 것으로 확인되면, 상기 데이터 플로우에 포함된 QoS(Quality of Service) 정보에 기반하여 상기 서비스 요청에 대해 QoS가 필요한지 여부를 확인하고,
    상기 서비스 요청에 대해 상기 QoS가 필요한 것으로 확인되면, 상기 서비스 요청이 상기 QoS 정보에 대응되는 임계 서비스 요청 조건을 만족하는지 여부를 확인하고,
    상기 서비스 요청이 상기 임계 서비스 요청 조건을 만족하지 않는 것으로 확인되면, 기설정된 시간이 경과된 후 상기 서비스 요청이 전송되도록 하거나, 상기 노드로 하여금 상기 서비스 요청을 재전송하도록 구성된, 게이트웨이.
  5. 제 4 항에 있어서,
    상기 프로세서는,
    상기 데이터 플로우가 존재하는 것으로 확인되면, 상기 데이터 패킷에 포함된 노드 인증 정보의 유효성을 판단하고,
    상기 노드 인증 정보가 유효한 것으로 판단되면, 상기 데이터 플로우를 갱신한 후, 상기 서비스 요청에 대해 상기 QoS가 필요한지 여부를 확인하도록 구성된, 게이트웨이.
  6. 제 4 항에 있어서,
    상기 프로세서는,
    상기 서비스 요청이 상기 임계 서비스 요청 조건을 만족하는 것으로 확인되거나, 상기 서비스 요청에 대해 상기 QoS가 필요하지 않은 것으로 확인되면, 상기 데이터 플로우에 포함된 필터링 정보에 기반하여 상기 데이터 패킷의 프로토콜이 정상인지 여부를 확인하고,
    상기 데이터 패킷의 프로토콜이 정상으로 확인되면, 상기 필터링 정보에 기반하여 상기 데이터 패킷에 포함된 정보의 치환이 필요한지 여부를 판단하고,
    상기 치환이 필요한 것으로 판단되면, 상기 필터링 정보에 포함된 치환 정보 및 치환 규칙 중 적어도 일부에 기반하여 상기 데이터 패킷에 포함된 정보를 치환하여 상기 목적지 네트워크로 포워딩하도록 구성된, 게이트웨이.
  7. 제 3 항에 있어서,
    상기 프로세서는,
    데이터 플로우 식별 정보에 기반하여 인가된 노드를 식별하기 위한 인가 노드 식별 정보를 생성하고,
    상기 인가 노드 식별 정보를 상기 서비스 요청을 위한 데이터 패킷에 삽입하여 상기 목적지 네트워크로 포워딩하도록 구성된, 게이트웨이.
  8. 제 1 항에 있어서,
    상기 프로세서는,
    상기 데이터 패킷을 상기 외부 서버로 포워딩한 후, 상기 인증 결과가 인증 조건을 만족함에 따라 상기 외부 서버로부터 상기 채널에 대한 정보를 수신하되,
    상기 인증 조건은 상기 노드의 접속 제어 애플리케이션의 설치 정보 및 상기 노드의 인증 프로세스 수행 정보 중 적어도 하나에 대응되는, 게이트웨이.
  9. 외부 서버에 있어서,
    통신 회로;
    메모리; 및
    상기 통신 회로 및 상기 메모리와 작동적으로 연결되는 프로세서를 포함하고, 상기 프로세서는,
    서비스 요청을 위한 데이터 패킷이 획득되면, 상기 데이터 패킷을 참조하여 인증 지원 정보를 상기 노드로 전송하고,
    상기 인증 지원 정보에 기반하여 상기 노드로부터 출발지 IP(internet protocol)를 포함하는 네트워크 접속 요청을 획득하고,
    상기 네트워크 접속 요청에 포함된 정보에 기반하여 상기 목적지 네트워크에 상기 노드가 접속 가능한지 확인하고,
    접속이 가능한 것으로 확인되면, 채널에 대한 정보를 게이트웨이에 전송하도록 구성된, 외부 서버.
  10. 제 9 항에 있어서,
    상기 프로세서는,
    상기 인증 지원 정보에 기반하여 상기 노드에 접속 제어 애플리케이션이 설치되면, 상기 목적지 네트워크에 대한 제1 접근 권한을 상기 노드에게 부여하고,
    상기 인증 지원 정보에 기반하여 노드 인증 프로세스가 수행되면, 상기 목적지 네트워크에 대한 제2 접근 권한을 상기 노드에게 부여하도록 구성된, 외부 서버.
  11. 게이트웨이의 동작 방법에 있어서,
    서비스 요청을 위한 데이터 패킷을 노드로부터 수신하는 단계;
    상기 데이터 패킷에 대응되는 데이터 플로우 및 보안 세션이 존재하는지 여부를 확인하는 단계; 및
    상기 데이터 플로우 및 상기 보안 세션이 존재하는 것으로 확인되면, 상기 데이터 패킷의 목적지 네트워크로 상기 데이터 패킷을 포워딩하고, 상기 데이터 플로우 및 상기 보안 세션이 존재하지 않는 것으로 확인되면, 상기 데이터 패킷을 외부 서버로 포워딩한 후, 상기 노드에 대한 인증 결과에 따라 상기 외부 서버로부터 상기 채널에 대한 정보를 수신하는 단계를 포함하는, 방법.
  12. 제 11 항에 있어서,
    상기 데이터 패킷을 상기 목적지 네트워크로 포워딩 하는 단계는,
    데이터 플로우 식별 정보에 기반하여 인가된 노드를 식별하기 위한 인가 노드 식별 정보를 생성하는 단계; 및
    상기 인가 노드 식별 정보를 상기 데이터 패킷에 삽입하여 상기 목적지 네트워크로 포워딩하는 단계를 포함하는, 방법.
PCT/KR2024/002271 2023-02-21 2024-02-21 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법 WO2024177384A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020230022775A KR102600442B1 (ko) 2023-02-21 2023-02-21 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR10-2023-0022775 2023-02-21

Publications (1)

Publication Number Publication Date
WO2024177384A1 true WO2024177384A1 (ko) 2024-08-29

Family

ID=88742164

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2024/002271 WO2024177384A1 (ko) 2023-02-21 2024-02-21 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법

Country Status (2)

Country Link
KR (1) KR102600442B1 (ko)
WO (1) WO2024177384A1 (ko)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102600442B1 (ko) * 2023-02-21 2023-11-10 프라이빗테크놀로지 주식회사 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20120014329A (ko) * 2010-08-09 2012-02-17 충북대학교 산학협력단 ＱｏＳ를 고려한 큐 관리 방법 및 장치
KR20210045917A (ko) * 2019-09-24 2021-04-27 프라이빗테크놀로지 주식회사 터널 및 데이터 플로우에 기반하여 노드의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102349038B1 (ko) * 2021-09-02 2022-01-11 프라이빗테크놀로지 주식회사 분산 게이트웨이 환경에 최적화된 터널링 및 게이트웨이 접속 시스템 및 그에 관한 방법
KR102364445B1 (ko) * 2021-04-28 2022-02-18 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102460694B1 (ko) * 2022-02-24 2022-10-31 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102600442B1 (ko) * 2023-02-21 2023-11-10 프라이빗테크놀로지 주식회사 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20120014329A (ko) * 2010-08-09 2012-02-17 충북대학교 산학협력단 ＱｏＳ를 고려한 큐 관리 방법 및 장치
KR20210045917A (ko) * 2019-09-24 2021-04-27 프라이빗테크놀로지 주식회사 터널 및 데이터 플로우에 기반하여 노드의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102364445B1 (ko) * 2021-04-28 2022-02-18 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102349038B1 (ko) * 2021-09-02 2022-01-11 프라이빗테크놀로지 주식회사 분산 게이트웨이 환경에 최적화된 터널링 및 게이트웨이 접속 시스템 및 그에 관한 방법
KR102460694B1 (ko) * 2022-02-24 2022-10-31 프라이빗테크놀로지 주식회사 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
KR102600442B1 (ko) * 2023-02-21 2023-11-10 프라이빗테크놀로지 주식회사 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법

Also Published As

Publication number Publication date
KR102600442B1 (ko) 2023-11-10

Similar Documents

Publication Publication Date Title
WO2023163509A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2021060854A1 (ko) 네트워크 접속 제어 시스템 및 그 방법
WO2022231306A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2023033586A1 (ko) Tcp 세션 제어에 기초하여 애플리케이션의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2024177384A1 (ko) 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2018008800A1 (ko) 블록체인을 기반으로 하는 공인인증서 인증시스템과 이를 이용한 블록체인을 기반으로 하는 공인인증서 인증방법
WO2023146308A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2024177386A1 (ko) 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2023163514A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2024177382A1 (ko) 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2023085793A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2023211124A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2023033588A1 (ko) 가상화 단말에서 데이터 플로우를 제어하기 위한 시스템 및 그에 관한 방법
WO2023177238A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2015157942A1 (zh) 接入无线网络的装置及方法
WO2021261728A1 (ko) 다기능을 가지는 보안 연결을 제공하는 보안 통신 장치 및 그 동작 방법
WO2023211104A1 (ko) 컨트롤러 기반 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2023211122A1 (ko) 프록시에 기반하여 애플리케이션의 파일 송신 및 수신을 제어하기 위한 시스템 및 그에 관한 방법
WO2023136658A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2023163506A1 (ko) 애플리케이션의 파일 송신 및 수신을 제어하기 위한 시스템 및 그에 관한 방법
WO2023090755A1 (ko) 가상화 인스턴스의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2023085791A1 (ko) 컨트롤러 기반 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2022231304A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2024136247A1 (ko) 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2024177380A1 (ko) 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 24760573

Country of ref document: EP

Kind code of ref document: A1