보안 시스템의 자동 관리를 위한 보안 네트워크 관리 구조의 설계 및 성능 분석

안개일,Ahn Gae-Il 한국통신학회 2005 韓國通信學會論文誌 Vol.30 No.8B

본 논문에서는 정책 기반의 네트워크 관리 구조를 확장하여, 보안 네트워크의 구성의 자동화를 지원할 수 있는 보안 네트워크 관리 구조와 방법을 제안한다. 제안하는 구조 및 방법은 보안 관리 서버가 보안 시스템의 역할과 능력 그리고 보안 정책의 역할과 시간 정보를 기반으로 하여 보안 시스템이 필요로 하는 최적의 보안 정책을 자동 결정하고 보안 정책 룰을 가장 효과적이고 효율적으로 실행할 수 있는 보안 시스템을 자동 결정할 수 있게 한다 본 논문에서는 기존의 네트워크 시스템과 보안 시스템을 통합 제어할 수 있는 SNMP 프로토콜기반의 보안 네트워크 토폴러지 맵 자동 생성기도 제안한다. 본 논문에서 제안된 구조와 방법의 우수성을 보여주기 위하여 공격에 대한 자동 대응 기능을 시뮬레이션하고 그 성능을 평가한다. This paper proposes the architecture and the methods of security network management for auto-configuration of security systems by extending the existing policy-based network management architecture. The architecture and the methods proposed in this paper enable a security management sewer to automatically decide the best-suited security policy to apply to a security system and the most effective and efficient security system to perform security policy rule, based on the role and capability information of security systems and the role and time information of security policy. For integrated control of network system and security system, this paper also proposes SNMP protocol based security network topology map generator. To show the excellence of the proposed architecture and methods, we simulate and evaluate the automatic response against attacks.

IPv6 네트워크에서 SEND 프로토콜의 구현

안개일,나재훈 한국통신학회 2007 韓國通信學會論文誌 Vol.32 No.7

IPv6 네트워크에서 SEND 프로토콜의 구현

안개일,나재훈,An, Gae-Il,Nah, Jae-Hoon 한국통신학회 2007 韓國通信學會論文誌 Vol.32 No.7b

IPv6 유무선 로컬 네트워크에서 이웃하는 호스트와 라우터를 발견하기 위한 목적으로 ND (Neighbor Discovery) 프로토콜이 제안되었다. 그러나 ND 프로토콜은 악의 있는 사용자가 프로토콜 메시지를 위조하여 정상적인 호스트나 라우터로 위장하는 것이 가능하기 때문에 네트워크 공격에 취약한 문제를 가지고 있다. ND 프로토콜을 보호하기 위한 목적으로 SEND (Secure Neighbor Discovery) 프로토콜이 제안되었다. SEND 프로토콜은 주소 소유권 증명, 메시지 보호, 재현 공격 방지, 그리고 라우터 인증 메커니즘을 제공한다. 본 논문에서는 IPv6 네트워크상에서 핵심적으로 운용될 프로토콜중의 하나인 SEND 프로토콜을 설계 및 구현하다. 또한 본 논문에서 구현한 SEND 프로토콜을 IPv6 네트워크상에서 실험함으로써 SEND 프로토콜의 공격 방어 능력과 프로토콜의 성능을 평가하고 분석한다. Neighbor Discovery (ND) protocol was proposed to discover neighboring hosts and routers in IPv6 wire/wireless local networks. ND protocol, however, has a problem that it is vulnerable to network attacks because ND protocol allows malicious users to impersonate other legitimate hosts or routers by forging ND protocol messages. To address the security problem, Secure Neighbor Discovery (SEND) protocol was proposed. SEND protocol provides address ownership proof mechanism, ND protocol message protection mechanism, reply attack prevention mechanism, and router authentication mechanism to protect ND protocol. In this paper, we design and implement SEND protocol in IPv6 local networks. And also, we evaluate and analyze the security vulnerability and performance of SEND protocol by experimenting the implemented SEND protocol on IPv6 networks.

인위적인 네트워크 혼잡으로부터 정상 트래픽의 서비스 품질을 보호하기 위한 소수자 우선 게이트웨이

안개일,Ann Gae-Il 한국통신학회 2005 韓國通信學會論文誌 Vol.30 No.7B

서비스 거부 공격은 네트워크 자원을 독점하여 서버 시스템 및 네트워크상에 인위적인 혼잡을 발생시키는 공격으로써, 일반 사용자가 정상적인 서비스를 제공받지 못하도록 하는 것을 목적으로 한다. 본 논문에서는 인위적인 네트워크 혼잡 상황에서도 정상 트래픽의 서비스 품질을 보장할 수 있는 소수자 우선 게이트웨이를 제안한다. 소수자 우선 게이트웨이는 어떤 집합 플로우가 혼잡유발 트래픽인지를 빠르게 결정할 수 있는 방법을 제공한다. 소수자 우선 게이트웨이는 정상 트래픽으로 판정된 집합 플로우에게는 높은 우선순위의 서비스를 제공하여 그 품질을 보호하고, 혼잡유발 트래픽으로 판정된 집합 플로우에게는 낮은 우선순위의 서비스를 제공하여 네트워크 혼잡이 혼잡유발 트래픽에게만 영향을 미치도록 한다. 제안하는 소수자 우선 게이트웨이는 서비스 거부 공격 뿐만 아니라 다중 노드에서 동시에 혼잡을 일으키는 분산 서비스 거부 공격에서도 정상 트래픽의 서비스 품질을 보장하는 효과를 제공함을 시뮬레이션을 통하여 확인하였다. A Denial of Sewice (DoS) attack attempts to prevent legitimate users of a sewice from being adequately served by monopolizing networks resources and, eventually, resulting in network or system congestion. This paper proposes a Minority First (MF) gateway, which is capable of guaranteeing the Quality of Service (QoS) of legitimate service traffic under DoS situations. A MF gateway can rapidly determine whether an aggregated flow is a congestion-inducer and can protect the QoS of legitimate traffic by providing high priority service to the legitimate as aggregate flows, and localize network congestion only upon attack traffic by providing low priority to aggregate flows regarded as congestion-inducer. We verify through simulation that the suggested mechanism possesses excellence in that it guarantees the QoS of legitimate traffic not only under a regular DoS occurrence, but also under a Distributed DoS (DDoS) attack which brings about multiple concurrent occurrences of network congestion.

휴대용통신단말의 효과적인 보안관리를 위한 보안 재구성기법의 설계 및 구현

안개일,김기영,서동일,An, Gae-Il,Kim, Ki-Young,Seo, Dong-Il 한국정보처리학회 2009 정보처리학회논문지 C : 정보통신,정보보안 Vol.16 No.6

휴대용 통신 단말은 스마트 폰이나 PDA와 같은 통신 서비스를 제공하는 작은 크기의 휴대용 컴퓨터이다. 현재 휴대용 통신 단말의 발전을 가로막는 가장 큰 장벽중의 하나가 바로 보안이다. 비록 휴대용 통신 단말을 보호할 수 있는 다양한 보안기술들은 있지만, 휴대용 통신 단말은 데스크톱 컴퓨터에 비해 컴퓨팅 자원이 빈약하고 사용자 인터페이스가 불편하여 그 보안기술 모두를 휴대용 통신 단말에 운용할 수 없기 때문이다. 본 논문에서는 휴대용 통신 단말의 보안을 효과적으로 관리할 수 있는 상황인지형 보안재구성 기법을 제안하고 설계한다. 본 보안재구성 기법은 휴대용 통신 단말의 현재 보안 상황에 가장 적합한 최적의 보안 서비스를 자동으로 제공할 수 있다. 본 제안하는 기법의 구현과 실험을 통하여 본 기법이 보안수준을 떨어뜨리는 것 없이 자원 효율성과 사용자 편의성에서 우수하다는 것을 확인하였다. A mobile communication device is a small size of portable computer which provides communication service, such as smart phone and PDA. Currently, one of the biggest barriers in developing the mobile communication device is security issue. Even though there are excellent security functions which can remove the security issues, there is a problem that the mobile communication device can not be loaded with all the functions because it has low storage, poor computational power, and inconvenient user interface, compared to the desktop personal computer. This paper proposes a context-aware security reconfiguration scheme for effective security management of the mobile communication device. The scheme can provide the mobile communication device with the optimized security service which is most adapted to its current security context. Through the prototype implementation and the experiments of the proposed scheme, we have confirmed that the proposed scheme is excellent in terms of computing resource efficiency and usability, without degrading security level.

무선랜 환경에서 디바이스 식별 기술 동향

안개일,김신효,An, G.I.,Kim, S.H. 한국전자통신연구원 2013 전자통신동향분석 Vol.28 No.3

무선랜이 폭발적으로 증가함에 따라, 기술 발전에 힘입은 네트워크 품질은 많이 향상되었지만, 보안 품질은 아직도 요원한 상황이다. 본고에서는 무선랜상에서 아이디 보안 취약성을 이용한 공격들과 이를 탐지하고 방어할 수 있는 디바이스 식별 기술에 대한 동향을 파악한다. 무선랜상에서 아이디 보안 취약성을 이용하는 MAC 속임 공격은 공격자의 존재를 속일 수 있을 뿐만 아니라, 네트워크 및 시스템 권한을 획득할 수 있기 때문에 네트워크 보안에 큰 위협이 되고 있다. 무선디바이스 식별 기술로서는 인증 방식, 프로토콜 분석 방식, 위치확인 방식, RF 지문 방식 등 많은 기법들이 있다. 본고에서는 이러한 기술들 중에서 현재 가장 활발하게 연구되고 있는 RF 지문 기술을 시스템 구조, 디바이스 식별 방법, 보안 취약성, 그리고 보안 응용 관점에서 자세히 분석한다.

[기술해설]전자 도서관 표준 프로토콜 개요 및 구현 방안

안개일,전우직 한국정보과학회 1997 정보과학회지 Vol.15 No.2

보안 시스템의 자동 관리를 위한 보안네트워크 관리 구조의 설계 및 성능 분석

안개일 한국통신학회 2005 韓國通信學會論文誌 Vol.30 No.8

인위적인 네트워크 혼잡으로부터 정상 트래픽의 서비스 품질을 보호하기 위한 소수자 우선 게이트웨이

안개일 한국통신학회 2005 韓國通信學會論文誌 Vol.30 No.7

MPLS망에서 대체 LSP의 동적 설정을 이용한 복구기법

안개일,전우직 한국통신학회 2001 韓國通信學會論文誌 Vol.26 No.9

MPLS 망에서 설정된 LSP (Label Switched Path)내에 링크/노드 장애나 혼잡이 발생한 트래픽을 대체 경로로 우회시킴으로써 신뢰성 있는 서비스를 제공하는 것은 필수적이다. 기존에 제안된 기법들은 장애가 발생하기 전에 대체 경로를 미리 설정하기 때문에 빠른 장애 복구를 제공할 수 있지만 자원 낭비가 심하며 기본 LSP와 대체 LSP가 모두 장애인 경우에는 대처할 수가 없는 문제점을 가지고 있다. 본 논문에서는 장애를 탐지한 노드가 기본 경로상에 존재할 수 있는 가능한 모든 대체 경로 중에서 비용이 최소인 대체 경로를 계산한 후에 그 경로를 따라서 대체 LSP를 설정하는 동적 복구 기법을 제안한다. 제안된 기법은 최소 비용인 대체 경로를 계산하기 위하여 제안된 알고리즘을 사용함으로써 비교적 빠른 시간 내에 대체 LSP를 설정할 수 있으며, 자원 효율성이 높고, 기본경로와 대체 경로가 장애인 경우에도 대처할 수 있다. 제안된 기법의 성능을 평가하기 위하여 링크 장애, 노드 장애, 대체 경로 장애, 그리고 동시 발생 장애에 대하여 각각 시뮬레이션 하였다. 실험 결과, 제안된 기법은 기존의 기법들과 비교해서 동시 발생 장애에서는 성능이 좋지 않았지만, 링크 장애와 노드 장애의 경우에 비교적 성능이 좋았고, 기본 경로와 대체 경로가 장애인 경우에도 복구할 수 있었으며 자원 효율성에서는 월등히 우수했다.