公开(公告)号：KR100687746B1

公开(公告)日：2007-02-27

申请号：KR1020050069079

申请日：2005-07-28

Applicant: 한국전자통신연구원

Inventor： 임재덕 ,  정보흥 ,  한민호 ,  류승호 ,  김영호 ,  김기영

IPC: H04L12/28 ,  H04L29/06

Abstract: 본 발명은 주소 충돌 방지 장치 및 방법에 관한 것으로, N개의 고정적인 주소를 할당하는 주소 관리 서버에서 주소 충돌을 방지하기 위한 장치에서, 프로미스큐오스 모드를 이용하여 수신한 패킷의 헤더를 기초로 패킷이 네이버 요청(NS) 메세지를 포함한 경우 상기 패킷을 수신하는 수신부; 수신된 네이버 요청(NS) 메세지 내에 포함된 사용하고자 하는 주소와 N 개의 고정적인 주소가 일치하는지 여부를 판단하는 유일성 판단부; N개의 고정적인 주소 중 아직 할당되지 않은 주소와 사용하고자 하는 주소가 일치하는 경우, 사용하고자 하는 주소가 중복됨을 표시하는 네이버 선언(NA) 메세지를 전송하는 충돌알림부;를 포함한다. 이로써 비상태기반 주소 자동 할당 기법을 통해 다양한 이동 단말과 가전등의 네트워크 연결시 충돌을 방지 한다.
주소 충돌 방지, 주소 자동할당

公开(公告)号：KR100656403B1

公开(公告)日：2006-12-11

申请号：KR1020050113849

申请日：2005-11-26

Applicant: 한국전자통신연구원

Inventor： 정보흥 ,  류승호 ,  임재덕 ,  김영호 ,  김기영

IPC: H04L12/22

Abstract: An intrusion detecting method in a network system is provided to perform pattern matching by re-assembling a fragmented packet, currently arriving, with continuous fragmented packets which has previously arrived and stored in a packet buffer, thereby predicting a size of a search buffer necessary for pattern reassembling and according enabling an administrator to easily manage the search buffer. An intrusion detecting method in a network system comprises the following steps of: merging a payload part of a fragmented packet, which currently arrives, with contents stored in a packet buffer and storing the merged contents in a search buffer(220); initializing the packet buffer if the fragmented packet, currently arriving, is the last fragmented pack(250); copying a part, set as a cut-off area, to the packet buffer and updating the contents of the packet buffer if the fragmented packet, which currently arrives, is not the last fragmented pack(240); and performing a predetermined pattern matching algorithm on the contents stored in the search buffer and searching whether a malicious code has intruded or not(260).

Abstract translation: 提供了一种网络系统中的入侵检测方法，用于通过将当前到达的碎片分组重新组装成先前到达并存储在分组缓冲器中的连续碎片分组来执行模式匹配，从而预测 模式重新组合，并使管理员能够轻松管理搜索缓冲区。 网络系统中的入侵检测方法包括以下步骤：将当前到达的分段分组的有效载荷部分与存储在分组缓冲区中的内容合并，并将合并的内容存储在搜索缓冲区中（220）; 如果当前到达的分段分组是最后的分段包（250），则初始化分组缓冲器; 如果当前到达的分段数据包不是最后一个分段数据包（240），则将设置为截止区域的部分复制到分组缓冲器并更新分组缓冲器的内容; 以及对存储在搜索缓冲器中的内容执行预定的模式匹配算法，并搜索恶意代码是否已经侵入（260）。

公开(公告)号：KR1020060067784A

公开(公告)日：2006-06-20

申请号：KR1020050010250

申请日：2005-02-03

Applicant: 한국전자통신연구원

Inventor： 강동호 ,  오진태 ,  김기영

IPC: G06F15/00

Abstract: 본 발명은 유니코드를 이용한 침입 탐지 시스템 우회 공격 대응 장치 및 방법에 관한 것으로, 네트워크로부터 수신한 패킷의 헤더를 분석하여 유니코드 디코딩이 필요한 HTTP 요구 패킷인지 판단하는 패킷 분석부; 상기 패킷 분석부로부터 수신한 HTTP 요구 패킷의 위치 정보를 나타내는 URI 부분중에서 유니코드로 구성된 유니코드 스트링을 추출하는 전처리부; ASCII 코드 리스트에 ASCII 코드값을 기 저장하고 있는 디코딩 테이블을 가지는 메모리부; 및 상기 전처리부에서 추출된 유니코드 스트링을 수신하고, 상기 유니코드 스트링을 상기 ASCII 코드값을 검색하기 위한 ASCII 코드값 검색용 주소로 변환하며, 상기 ASCII 코드값 검색용 주소를 통하여 상기 메모리부의 디코딩 테이블에서 해당하는 ASCII 코드값을 추출하여 침입 탐지 시스템의 입력값으로 출력하는 유니코드 변환부;로 구성된다. 따라서, 유니코드 취약점을 이용함으로써 침입 탐지 시스템을 우회하여 공격하는 방법을 탐지하여 방어할 수 있게 된다.

公开(公告)号：KR1020060064474A

公开(公告)日：2006-06-13

申请号：KR1020050049680

申请日：2005-06-10

Applicant: 한국전자통신연구원

Inventor： 박상길 ,  오진태 ,  김기영

IPC: H04L12/42 ,  H04L12/433 ,  H04L12/28

Abstract: 본 발명은 토큰 버켓을 이용한 대역폭 제어 방법 및 대역폭 제어 장치에 관한 것으로, 네트워크 환경에서 다량의 대역폭을 사용하는 의심스러운 트래픽 및 대역폭고갈 공격에 대응하는 토큰 버켓을 이용한 재구성 가능한 대역폭 제어 장치 및 그 방법에 관한 것이다. 이를 위하여 본 발명은 기본 대역폭 및 추가 제어 대역폭 각각의 크기에 대응하는 초기 토큰수가 할당된 노멀 버켓 및 버스트 버켓으로 구성된 더블 토큰 버켓 스택에서 대역폭 제어를 수행하며, 노멀 버켓 및 버스트 버켓의 토큰을 순차적으로 사용하는 더블 토큰 버켓 스택의 토큰 수에서 입력 패킷의 크기에 해당하는 토큰 수를 감하고, 더블 토큰 버켓 스택 내에 남아 있는 토큰 수가 음수인 경우 상기 패킷을 폐기하며 더블 토큰 버켓 스택 내에 남아 있는 토큰 수가 상기 버스트 버켓 내의 초기토큰수보다 큰 경우 패킷을 전송하고 더블 토큰 버켓 스택 내에 남아 있는 토큰 수가 상기 버스트 버켓 내의 초기토큰수보다 작은 경우 패킷을 전송과 함께 사용자에게 경보 메세지를 전송하는 것을 특징으로 한다.
토큰 버켓, 대역폭 제어,

公开(公告)号：KR1020060034581A

公开(公告)日：2006-04-24

申请号：KR1020040083752

申请日：2004-10-19

Applicant: 한국전자통신연구원

Inventor： 신승원 ,  오진태 ,  김기영 ,  장종수 ,  손승원

IPC: H04L12/22

CPC classification number: H04L63/1416 ,  H04L63/12 ,  H04L69/22

Abstract: The present invention relates to a network intrusion detection and prevention system. The system includes: a signature based detecting device; an anomaly behavior based detecting device; and a new signature creating and verifying device disposed between the signature based detecting device and the anomaly behavior based detecting device, wherein if the anomaly behavior based detecting device detects network-attack-suspicious packets, the new signature creating and verifying device collects and searches the detected suspicious packets for common information, and then creates a new signature on the basis of the searched common information and at the same time, verifies whether or not the created new signature is applicable to the signature based detecting device, and then registers the created new signature to the signature based detecting device if it is determined that the created new signature is applicable.

公开(公告)号：KR100490729B1

公开(公告)日：2005-05-24

申请号：KR1020030031992

申请日：2003-05-20

Applicant: 한국전자통신연구원

Inventor： 김병구 ,  김익균 ,  이종국 ,  김기영 ,  장종수

IPC: H04L12/22

CPC classification number: H04L63/1408

Abstract: 본 발명에 따른 기가급 침입 탐지 기능을 갖는 보안 게이트웨이 시스템은 네트워크 망에서 송수신되는 네트워크 패킷을 수집하고, 보안 게이트웨이 시스템의 하드웨어 영역에서 수집된 패킷의 헤더 부분과 침입 패턴간의 매칭 여부를 판단한 다음 커널 영역에서 헤더 부분이 매칭된 패킷의 데이터 부분과 침입 패턴간의 매칭되는지의 여부를 판단하여 침입을 탐지한다.

公开(公告)号：KR100490728B1

公开(公告)日：2005-05-24

申请号：KR1020020082207

申请日：2002-12-21

Applicant: 한국전자통신연구원

Inventor： 김건량 ,  장종수 ,  김기영

IPC: H04L12/22

Abstract: 다양한 종류의 정책 클라이언트 시스템들에서 사용되는 탐지 정책, 차단 정책, 센싱 정책, IP 보안 정책, 경보 제어 정책을 수용할 수 있는 본 발명에 따른 정책 기반의 네트워크 보안 시스템의 보안 정책을 위한 정보 모델은 네트워크를 통해 유입되는 패킷을 분석하여 침입을 탐지하는 탐지 규칙과, 보안 시스템의 방화벽에서 패킷을 차단하거나 허용하는 차단 허용 규칙, 네트워크를 통해 유입되는 패킷들 중에서 특정 패킷들만을 분석하기 위한 센싱 규칙과, 정책 클라이언트에서 정책 서버로 전송되는 여러 경보 메시지들을 축약하거나 결합하는 경보 제어 규칙과, 정책 서버와 클라이언트간의 연결 보안을 위한 IP 보안 규칙을 포함한다.
또한, 본 발명은 정책 정보 모델을 통해 정책 전달을 위한 PIB 구조, 정책 저장을 위한 정책 데이터베이스의 스키마, 정책 제어 및 관리를 위한 정책 관리 도구의 동작 구조를 정의하는 작업의 효율성을 높일 수 있다.

公开(公告)号：KR100466214B1

公开(公告)日：2005-01-14

申请号：KR1020010082497

申请日：2001-12-21

Applicant: 한국전자통신연구원

Inventor： 김진오 ,  방효찬 ,  김기영 ,  장종수

IPC: H04L12/22

Abstract: PURPOSE: A method for setting security ranks reflecting variable security condition and a recorded medium therefor are provided to analyze and process detected invasion data and system management data, and to measure a current network situation with a security rank, then to operate a state transferring model, thereby establishing and performing strategies in consideration of flexible network situations. CONSTITUTION: If invasion or attach detection data are received through a network, an analyzer analyzes invasion or attach risks, importance of an attacked target, traffic amount and traffic frequency of the invasion data, and seriousness of the invasion data based on a preset analysis standard. The system sets security ranks based on a preset security rank table by analyzed results. The system decides whether to maintain the set security ranks according to variable security conditions, and re-controls the security ranks.

Abstract translation: 目的：提供一种设置反映可变安全条件的安全等级的方法及其记录介质，用于分析和处理检测到的入侵数据和系统管理数据，并以安全等级测量当前网络状况，然后运行状态转移模型 从而在考虑到灵活的网络状况的情况下建立并执行策略。 构成：如果通过网络接收到入侵或附着检测数据，分析仪根据预设的分析标准分析入侵或附着风险，攻击目标的重要性，入侵数据的流量和流量频率以及入侵数据的严重性 。 系统根据预设的安全等级表，通过分析结果设置安全等级。 系统根据可变安全条件决定是否维持设定的安全级别，并重新控制安全级别。

公开(公告)号：KR1020040099864A

公开(公告)日：2004-12-02

申请号：KR1020030031992

申请日：2003-05-20

Applicant: 한국전자통신연구원

Inventor： 김병구 ,  김익균 ,  이종국 ,  김기영 ,  장종수

IPC: H04L12/22

CPC classification number: H04L63/1408

Abstract: PURPOSE: A security gateway system and an intrusion detection method using the same are provided to enhance detection efficiency and system stability by effectively and quickly detecting intrusion in a wide area network. CONSTITUTION: A header pattern table(252) of an intrusion pattern table(250) has intrusion header pattern information formed based on header information of each protocol of a packet. A data pattern table(254) of the intrusion pattern table(250) has intrusion data pattern information formed based on a data part except for the intrusion header pattern information. A hardware intrusion detection performing unit(240) collects network packets transmitted/received in a network and determines whether a header part of the collected packet and the intrusion header pattern information are matched. A kernel intrusion detection performing unit(230) detects an intrusion by determining whether a data part of a packet having a header part matched to the intrusion header pattern information and the intrusion data pattern information are matched.

Abstract translation: 目的：提供安全网关系统和使用该安全网关的入侵检测方法，通过有效，快速地检测广域网中的入侵来提高检测效率和系统稳定性。 构成：入侵模式表（250）的报头模式表（252）具有基于分组的每个协议的报头信息形成的入侵报头模式信息。 入侵模式表（250）的数据模式表（254）具有基于除了入侵标题模式信息之外的数据部分形成的入侵数据模式信息。 硬件入侵检测执行单元（240）收集在网络中发送/接收的网络分组，并且确定所收集的分组的报头部分和入侵报头模式信息是否匹配。 内核入侵检测执行单元（230）通过确定具有与入侵头模式信息和入侵数据模式信息匹配的头部部分的分组的数据部分是否匹配来检测入侵。

公开(公告)号：KR100439177B1

公开(公告)日：2004-07-05

申请号：KR1020020002465

申请日：2002-01-16

Applicant: 한국전자통신연구원

Inventor： 김숙연 ,  김건량 ,  김명은 ,  김기영 ,  장종수 ,  손승원 ,  방효찬

IPC: H04L12/22

CPC classification number: H04L63/0263 ,  H04L63/20

Abstract: A network security policy is represented, stored and edited by using a rule object, a condition object, an action object, and their associations. The condition object is a one-packet-condition object, a repeated-packet-condition object or a linear-packet-condition object. The action object is an alert-action object, a packet-drop-action object, a packet-admission-action object, a session-drop-action object, a session-admission-action object, a session-logging-action object, a traceback-action object or an ICMP-unreachable-message-sending-action object.

Abstract translation: 网络安全策略通过使用规则对象，条件对象，动作对象及其关联来表示，存储和编辑。 条件对象是单数据包条件对象，重复数据包条件对象或线性数据包条件对象。 动作对象是警报动作对象，数据包丢弃动作对象，数据包允许动作对象，会话放置动作对象，会话允许动作对象，会话记录动作对象， 追踪动作对象或ICMP不可达消息发送动作对象。