ゾンビ識別のための仮想サーバー及びその方法、並びに仮想サーバーに基づいてゾンビ情報を統合管理するためのシンクホールサーバー及び方法
【課題】ＤＤｏＳ攻撃のようなボットによる悪性行為を遮断する。
【解決手段】ホストから受信されたウェブサーバー接続要請メッセージがクッキーを含まない場合、自動接続防止（ＣＡＰＴＣＨＡ）テストを利用して前記ホストを認証し、前記認証されたホストにクッキーを提供する認証処理モジュール２２０と、前記ウェブサーバー接続要請メッセージがクッキーを含む場合、前記ウェブサーバー接続要請メッセージからクッキー値を抽出し、前記抽出されたクッキー値を検証するクッキー値検証モジュール２４０と、前記クッキー値の検証に成功する場合、前記ホストが前記ウェブサーバーに接続することができるように誘導するウェブページ接続誘導モジュール２５０と、前記クッキー値の検証に失敗した場合、前記ホストの接続を遮断し、前記遮断回数が臨界値を超過する場合、前記ホストをゾンビとして識別するゾンビ識別モジュール２６０と、を含む。
【解決手段】ホストから受信されたウェブサーバー接続要請メッセージがクッキーを含まない場合、自動接続防止（ＣＡＰＴＣＨＡ）テストを利用して前記ホストを認証し、前記認証されたホストにクッキーを提供する認証処理モジュール２２０と、前記ウェブサーバー接続要請メッセージがクッキーを含む場合、前記ウェブサーバー接続要請メッセージからクッキー値を抽出し、前記抽出されたクッキー値を検証するクッキー値検証モジュール２４０と、前記クッキー値の検証に成功する場合、前記ホストが前記ウェブサーバーに接続することができるように誘導するウェブページ接続誘導モジュール２５０と、前記クッキー値の検証に失敗した場合、前記ホストの接続を遮断し、前記遮断回数が臨界値を超過する場合、前記ホストをゾンビとして識別するゾンビ識別モジュール２６０と、を含む。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、悪性ボット（bot）によって感染されて悪性行為を行うゾンビ（zombie）ホストを識別及び遮断するための方法及びこれを行う仮想サーバー、並びにこのような仮想サーバーに基盤して獲得されたゾンビ情報を分析することによって、ゾンビの規模及び分布を把握するための方法及びこれを行うシンクホールサーバーに関する。
【背景技術】
【０００２】
最近、インターネットサービスが多様化されるにつれて、インターネット使用率が増加しており、これによって、コンピュータウイルスやインターネットワームなどのような悪性コードがインターネットを介して広く拡散され、ユーザに多くの被害をもたらしている。特に、悪性コードであるボットに感染された多数のコンピュータ（これをボットネットという）が特定のウェブサーバーへのトラフィックを急増させて、ウェブサーバーが正常機能を行うことができないように妨害するＤＤｏＳ（Distributed Denial of Service：分散サービス拒否）攻撃は、深刻な問題となっている。
【０００３】
ボットに感染されたコンピュータは、コンピュータユーザの意志に関係なく、ハッカーによって操縦されて悪性行為を行うので、ゾンビホストと呼ばれる。このようなボットの感染を防止し悪性行為を遮断するために、シンクホールサーバーを用いてボットによる悪性行為を遮断する方法が活用されている。
【０００４】
既存のシンクホールサーバーを利用した悪性行為遮断方式は、ゾンビホストがボットネット制御サーバーのドメインに対するＩＰを得るために、ＤＮＳ（Domain Name Service）サーバーに問い合わせするとき、シンクホールサーバーのＩＰを応答するようにして、以後ゾンビホストのトラフィックがシンクホールサーバーに向かうようにすることによって、悪性行為を遮断する方式である。しかし、このような方式は、知られたボットネット制御サーバーのドメインを問い合わせするゾンビホストにのみ限って対応することができるという問題がある。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】韓国特許登録第１０−０９００４９１号
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明は、前述のような問題点を解決するためになされたもので、ＤＤｏＳ攻撃の主な対象となるウェブサーバーの前段にゾンビ識別のための仮想サーバーを提供することによって、認証を受けていないホストをゾンビとして識別し、ウェブサーバー接続を源泉遮断することを目的とする。
【０００７】
また、本発明は、仮想サーバーによって識別されたゾンビホスト情報を分析し、ゾンビの規模及び分布を把握することによって、以後の２次攻撃に備えるようにすることを目的とする。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、本発明の一実施例によるゾンビ識別仮想サーバーは、ホストから受信されたウェブサーバー接続要請メッセージがクッキーを含まない場合、自動接続防止（ＣＡＰＴＣＨＡ）テストを利用して前記ホストを認証し、前記認証されたホストにクッキーを提供する認証処理モジュールと、前記ウェブサーバー接続要請メッセージがクッキーを含む場合、前記ウェブサーバー接続要請メッセージからクッキー値を抽出し、前記抽出されたクッキー値を検証するクッキー値検証モジュールと、前記クッキー値の検証に成功する場合、前記ホストが前記ウェブサーバーに接続することができるように誘導するウェブページ接続誘導モジュールと、前記クッキー値の検証に失敗した場合、前記ホストの接続を遮断し、前記遮断回数が臨界値を超過する場合、前記ホストをゾンビとして識別するゾンビ識別モジュールと、を含む。
【０００９】
本発明の他の実施例によるシンクホールサーバーは、ウェブサーバーの前段に配置され、前記ウェブサーバーへの接続を試みるゾンビを識別する仮想サーバーから提供されたゾンビのＩＰアドレスを収集し、前記ＩＰアドレスのうち重複されるＩＰアドレスを除去する重複ＩＰ除去モジュールと、前記重複除去されたＩＰアドレスの総個数を算出することによって、ゾンビの規模を算定するゾンビ規模算定モジュールと、前記ＩＰアドレスに内在する地理的情報を利用してゾンビの地理的分布を把握する地理分布把握モジュールと、前記算定されたゾンビの規模及び前記地理的分布を格納するゾンビ情報ＤＢと、を含む。
【００１０】
本発明のさらに他の実施例によるゾンビ識別方法は、ホストから受信されたウェブサーバー接続要請メッセージがクッキーを含むか否かを判断する段階と、前記接続要請メッセージがクッキーを含まない場合、前記ホストに自動接続防止ページを伝送する段階と、前記ホストから前記自動接続防止ページに対する正解が受信されれば、前記ホストのＩＰアドレスに対応するクッキーを伝送する段階と、前記接続要請メッセージがクッキーを含む場合、前記接続要請メッセージからクッキー値を抽出し、前記抽出されたクッキー値が前記ホストのＩＰアドレスに対応するクッキー値であるか否かを検証する段階と、前記クッキー値の検証に失敗した場合、前記ウェブサーバーへの接続を遮断し、遮断回数が臨界値を超過する場合、前記ホストをゾンビとして識別する段階と、を含む。
【００１１】
本発明のさらに他の実施例によるゾンビ情報統合管理方法は、ウェブサーバーの前段に配置され、前記ウェブサーバーへの接続を試みるゾンビを識別する仮想サーバーから提供されるゾンビのＩＰアドレスを収集する段階と、前記収集されたＩＰアドレスのうち重複されるＩＰアドレスを除去する段階と、前記重複除去されたＩＰアドレスの総個数を算出することによって、ゾンビの規模を算定する段階と、前記ＩＰアドレスに内在する地理的情報を利用してゾンビの地理的分布を把握する段階と、を含む。
【発明の効果】
【００１２】
本発明による仮想サーバーを活用してウェブサーバーに非正常的に接続するゾンビホストを識別し、ＤＤｏＳ攻撃を誘発するボットネットの規模をリアルタイムに分析することができる。各仮想サーバーでゾンビとして識別されたトラフィックは、ＤＤｏＳシンクホールサーバーに流入され、総合的な管理が可能である。また、ＤＤｏＳゾンビとして識別されたホストＩＰは、再度ウェブサーバーの防火壁設定に登録され、攻撃を迅速に遮断することができる。結果的に、統合的なゾンビ規模算定と分布把握を通じてボットネットの規模と分布に対する情報を習得することができ、以後当該ボットネットのトラフィック流れをモニタリングすることができる官制技術側面でのネットワーク情報を提供する。
【図面の簡単な説明】
【００１３】
【図１】本発明の一実施例による仮想サーバーを介してウェブサーバー及びシンクホールシステムに伝達されるトラフィックの流れを概念的に示す。
【図２】本発明の一実施例によってゾンビ識別を行う仮想サーバー２００の構成を示すブロック図である。
【図３】本発明の一実施例によるシンクホールサーバーの構成を示すブロック図である。
【図４】本発明の一実施例によって仮想サーバーで行われるＤＤｏｓゾンビ識別過程を示す流れ図である。
【図５】本発明の一実施例によって正常ユーザの接続トラフィック制御流れ図を示す。
【図６】本発明の一実施例によってゾンビとして識別されるホストの接続トラフィック制御流れ図を示す。
【発明を実施するための形態】
【００１４】
以下、添付図面を参照して本発明の実施例について本発明の属する技術分野における通常の知識を有する者が容易に実施することができるように詳細に説明する。しかし、本発明は、様々な他の形態で変形することができ、本発明の範囲が下記実施例に限定されるものではない。なお、図面において、本発明を正確に説明するために、説明と関係ない部分を省略し、明細書全般において、同一の参照符号は同一の構成要素を示す。
【００１５】
また、明細書全般において、或る部分が任意の構成要素を「含む」とするとき、これは、特に反対される記載がない限り、他の構成要素を除外するものではなく、他の構成要素をさらに含むことができることを意味する。また、明細書に記載された「…部」、「モジュール」などの用語は、少なくとも１つの機能や動作を処理する単位を意味し、これは、ハードウェアやソフトウェアまたはハードウェア及びソフトウェアの組合せによって具現することができる。
【００１６】
図１は、本発明の一実施例による仮想サーバー、ウェブサーバー及びシンクホールサーバー間のトラフィック流れを概念的に示す。図示のように、仮想サーバー１３０は、ウェブサーバー１４０の前段に配置され、ウェブサーバー１４０に接続を要請するホストの認証を行い、認証を受けていないホストをゾンビとして識別し、ウェブサーバー１４０への接続を源泉的に遮断させる機能を果たす。
【００１７】
正常ユーザホスト１１０は、仮想サーバー１３０の認証をパスした場合、ウェブサーバー１４０を接続することができる。仮想サーバー１３０の認証は、自動接続防止（ＣＡＰＴＣＨＡ：Completely Automated Public Turing test to tell Computers and Human Apart）ページに基づく問い合せを利用して行われ、認証にパスしたユーザホストは、仮想サーバー１３０から提供されるクッキーを利用してウェブサーバーに接続することができる。仮想サーバー１３０の認証過程は、残りの図面を参照して詳しく後述する。ユーザホストは、汎用ＰＣ、ラップトップ、携帯用コンピュータまたはタブレットなどネットワーク機能を具備した多様な類型のコンピュータのうち１つを使用することができるが、これらに限定されるものではない。
【００１８】
一方、ＤＤｏＳ攻撃を行うゾンビホスト１２０は、仮想サーバー１３０の認証過程をパスすることができない。その後、ゾンビホスト１２０から発生するトラフィックは、仮想サーバー１３０によってシンクホールサーバー１５０に再伝達される。図面には、ＤＤｏＳ攻撃を行うゾンビの識別を例示しつつ説明しているが、本発明がＤＤｏＳ攻撃を行うゾンビの識別にのみ限定されるものではなく、任意の悪性行為を行う悪性ボットに感染されたすべてのゾンビに適用されるということは、当該技術分野の当業者であれば充分に理解することができる。
【００１９】
一方、図面には、正常ユーザ１１０及びゾンビ１２０のクッキー検証と自動接続防止のためのページを利用した認証手続がすべて仮想サーバー１３０で行われるものと図示されているが、認証手続機能は、別途の認証サーバーで行われるように具現することができる。この場合、仮想サーバー１３０で受信された接続要請メッセージ内にクッキーが存在するか否かを確認する。クッキーが存在しない場合は、前記接続要請メッセージが認証サーバーに再伝達され、認証サーバーによる認証過程が行われる。認証が完了した正常ユーザにクッキーを伝達した後、仮想サーバーに再接続するように誘導し、仮想サーバー１３０でクッキー値の検証が成功すれば、ウェブサーバー１４０への接続が可能である。
【００２０】
図２は、本発明の一実施例によってゾンビ識別を行う仮想サーバー２００の構成を示すブロック図である。図示のように、仮想サーバー２００は、クッキー確認モジュール２１０、認証処理モジュール２２０、クッキーＤＢ２３０、クッキー値検証モジュール２４０、ウェブページ接続誘導モジュール２５０及びゾンビ識別モジュール２６０を含む。
【００２１】
クッキー確認モジュール２１０は、ホストから受信されたウェブサーバー接続要請メッセージにクッキーが存在するか否かを確認する。ウェブサーバー接続要請メッセージ内にクッキーが存在しない場合は、ホストがウェブサーバー接続要請を最初に試みた場合なので、仮想サーバーからまだクッキーを提供されていない場合であるか、それとも、ホストがゾンビである場合に該当する。
【００２２】
認証処理モジュール２２０は、クッキーを含まないウェブサーバー接続要請メッセージを伝送したホストに自動接続防止（ＣＡＰＴＣＨＡ）テストを利用して前記ホストを認証し、前記認証されたホストにクッキーを伝送する。このような認証過程は、ネットワーク階層Ｌ３で行われる。
【００２３】
自動接続防止（ＣＡＰＴＣＨＡ）テストは、ユーザが実際人間なのかコンピュータプログラムなのかを区別するために使用される方式であって、人間は、区別することができるが、コンピュータは、区別しにくく意図的に拗れたコードまたは絵を見せてからその内容を尋ねる方式である。ウェブサイトにＤＤｏＳトラフィックを発生させるゾンビは、ユーザの介入なしに自動化されたプログラムによって作動するので、このような自動接続防止（ＣＡＰＴＣＨＡ）テストをパスすることができない。
【００２４】
一実施例において、認証処理モジュール２２０は、臨界回数分だけ自動接続防止（ＣＡＰＴＣＨＡ）テストページを再伝送することによって、ホストに正解を提出することができる機会を提供し、ホストが臨界回数分だけの正解提出機会の間に正解を提出しない場合、前記ホストをゾンビとして識別する。認証処理モジュール２２０は、ゾンビとして識別されたホストの接続を強制終了させ、前記ホストから受信された接続要請メッセージまたは前記ホストのＩＰアドレスをシンクホールサーバーに伝達する。
【００２５】
一方、認証処理モジュール２２０は、自動接続防止（ＣＡＰＴＣＨＡ）テストをパスしたホストに対しては、正常ユーザとして識別し、以後ウェブサーバー接続時に認証キーとして利用されるクッキーをホストに提供する。この際、ホストのＩＰアドレスにマッチングされるクッキーが提供される。クッキーＤＢ２３０は、各ＩＰアドレス別にあらかじめ計算されたクッキーリストを格納している。一例として、クッキー値は、前記ホストのＩＰアドレスのハッシュ値に対応して生成される。
【００２６】
クッキー値検証モジュール２４０は、ホストから受信されたウェブサーバー接続要請メッセージがクッキーを含む場合、前記接続要請メッセージからクッキー値を抽出し、前記抽出されたクッキー値が前記認証処理モジュール２２０によって前記ホストに正当に提供されたクッキー値であるか否かを検証する。クッキー値の抽出は、ＨＴＴＰヘッダー開始点の探索過程を経て抽出される。クッキー値検証モジュール２４０は、抽出されたクッキー値とクッキーＤＢ２３０に格納されたＩＰ別にクッキー値とを比較することによって、クッキー値が正しい値であるか否かを検証する。
【００２７】
ウェブページ接続誘導モジュール２５０は、クッキー値の検証に成功する場合、ホストが要請したウェブサーバー１４０のウェブページを提供することによって、前記ホストが前記ウェブサーバーに接続することができるように誘導し、ウェブサーバーと連結を中継する。
【００２８】
ゾンビ識別モジュール２６０は、クッキー値の検証に失敗した場合、前記ホストの接続を遮断し、前記遮断された回数が臨界値を超過する場合、前記ホストをゾンビとして識別する。また、前記ゾンビとして識別されたホストから受信されたメッセージをシンクホールサーバー１５０に再伝達するか、または前記ゾンビとして識別されたホストのＩＰアドレスをシンクホールサーバー１５０に伝達する。一実施例において、ネットワーク負荷を減少させるために、一定の期間の間にゾンビとして識別されたホストのＩＰアドレスを取り合わせた後、取り合わされた情報をシンクホールサーバー１５０に伝達することができる。
【００２９】
一方、前述の実施例では、認証処理モジュール２２０が仮想サーバー２００内に含まれるものと説明されているが、他の実施例では、認証処理モジュール２２０によって行われる認証機能が仮想サーバー２００とは別途の認証サーバーで行われてもよい。この場合、仮想サーバー２００のクッキー確認モジュール２１０がホストからの接続要請メッセージ内にクッキーが存在するか否かを確認し、クッキーが存在しない場合は、前記接続要請メッセージを認証サーバーに再伝達し、認証サーバーによって認証処理が行われるようにする。認証サーバーは、認証が完了した正常ユーザにクッキーを伝達した後、仮想サーバーに再接続するように誘導する。
【００３０】
図３は、本発明の一実施例によるシンクホールサーバーの構成を示すブロック図である。図示のように、シンクホールサーバー３００は、重複ＩＰ除去モジュール３１０、ゾンビ規模算定モジュール３２０、ゾンビ分布把握モジュール３３０及びゾンビ情報ＤＢ３４０を含む。
【００３１】
前述した図２は、説明の便宜上、１つの仮想サーバーと１つのウェブサーバーを例としてあげて説明したが、本発明による仮想サーバーは、ＤＤｏＳ攻撃の主な対象になる多数のウェブサーバーの前段に設置され、認証に失敗するホストをゾンビとして識別し、ゾンビから流入されたトラフィックまたはゾンビのＩＰアドレスをシンクホールサーバー３００に伝達する。シンクホールサーバー３００は、多数の仮想サーバー２００に流入されるゾンビに対する情報を統合管理し、ゾンビの全体的な規模及び地理的分布を把握することによって、官制技術側面で以後当該ボットネットのトラフィック流れをモニタリングし、以後の２次攻撃に備えることができるようにする。
【００３２】
具体的に、重複ＩＰ除去モジュール３１０は、多数の仮想サーバーから伝達されるゾンビのＩＰアドレスを収集し、収集されたＩＰアドレスのうち重複されるＩＰアドレスを除去する。代案的に、仮想サーバーからゾンビのＩＰアドレスでないゾンビから発生したトラフィックがそのまま再伝達される場合は、トラフィックからＩＰアドレスを抽出するＩＰアドレス抽出モジュール（図示せず）が追加的に必要とされうる。
【００３３】
ゾンビ規模算定モジュール３２０は、重複ＩＰ除去モジュール３１０により重複されたＩＰアドレスが除去されたＩＰアドレスの総個数を算出することによって、ゾンビの規模を算定する。
【００３４】
ゾンビ分布把握モジュール３３０は、ＩＰアドレスに内在する地理的情報（例えば、国家、都市及び地域情報）を利用してゾンビの世界的な地理分布を把握する。
【００３５】
ゾンビ情報ＤＢ３４０は、ゾンビ規模算定モジュール３２０によって算定されたゾンビの総個数及びゾンビ分布把握モジュール３３０によって把握された地理的分布情報が格納される場所である。ゾンビ情報ＤＢ３４０は、ゾンビ規模算定モジュール３２０及びゾンビ分布把握モジュール３３０の実行結果によって周期的に更新される。
【００３６】
図４は、本発明の一実施例によって仮想サーバーで行われるＤＤｏＳゾンビ識別過程を示す流れ図である。
【００３７】
まず、ユーザ（ホスト）から最初にウェブページ接続要請メッセージが受信されれば（段階４１０）、前記接続要請メッセージ内にクッキーの存在有無を確認する（段階４２０）。
【００３８】
段階４２０で、クッキーが存在しないものと確認されれば、ユーザに自動接続防止（ＣＡＰＴＣＨＡ）ページを伝送し、問題に対する正解を提出することによって、ユーザ認証を行い（４３０）、認証されたユーザにクッキーを伝送する（段階４４０）。
【００３９】
当該クッキー値は、ＩＰ別にクッキー値が格納されたクッキーＤＢから持って来る。ユーザは、以後にウェブサーバーに接続するとき、前記クッキーを接続要請メッセージに含ませることによって、認証キーとして利用する。
【００４０】
一方、正解を提出せず、認証に失敗したユーザには、ＣＡＰＴＣＨＡページを再伝送することによって、臨界値分だけの正解提出機会を提供し、失敗回数が臨界値を超過したものと判断された場合（段階４７０）、ＤＤｏＳゾンビとして識別し、当該ゾンビから受信された接続要請メッセージをＤＤｏＳシンクホールに再伝達する（段階４８０）。
【００４１】
段階４２０で、ウェブクッキーが存在するものと確認された場合、クッキー値を抽出し、当該ウェブクッキーの正当性可否をクッキーＤＢと比較して検証する（段階４５０）。
【００４２】
段階４５０で、ウェブクッキーの検証が成功すれば、正常ユーザとして識別し、ウェブサーバーに連結を誘導し、ユーザとウェブサーバーとの通信を中継する（段階４６０）。
【００４３】
一方、段階４５０で、ウェブクッキーの検証に失敗した場合、当該ユーザに対するクッキー検証失敗回数が臨界値を超過するか否かを判断し（段階４７０）、臨界値を超過した場合、当該ユーザホストをＤＤｏＳゾンビとして識別し、ウェブサーバーへの接続を遮断し、ホストから受信された接続要請メッセージをＤＤｏＳシンクホールに再伝達する（段階４８０）。
【００４４】
図５は、本発明の一実施例によって正常ユーザの接続トラフィック制御流れ図を示す。図示のように、ウェブサーバーに接続を最初に試みる正常ユーザホストからクッキーを伴わない接続要請メッセージが受信される（５００）。
【００４５】
ホストから接続要請メッセージが受信されれば、仮想サーバーは、ホストに自動接続防止（ＣＡＰＴＣＨＡ）ページを伝送する（５０１）。この際、ユーザの接続は終了する（５０２）。
【００４６】
ホストから自動接続防止ページに対する正解が提出されれば（５１０）、前記ホストのＩＰに対応するクッキーを生成してホストに伝送すると同時に、ウェブサーバーの当該ウェブページ切換を誘導する（５１１）。
【００４７】
その後、ユーザは、ウェブサーバー接続のためにクッキーを伴った接続要請メッセージを伝送し（５２０）、クッキーを伴った接続要請を受信した仮想サーバーは、クッキー値を検証し、クッキー値が正当なものと検証された場合、ウェブサーバーと連結を中継する（５２１）。仮想サーバーは、ウェブサーバーの応答を受信し（５２２）、ユーザに伝達する（５２３）。
【００４８】
代案的に、クッキーを伴った接続要請メッセージがウェブサーバーによって直接受信されることができ、この場合、ウェブサーバーでクッキー値を検証し、直接ホストに応答することができる。
【００４９】
図６は、本発明の一実施例によってゾンビとして識別されるホストの接続トラフィック制御流れ図を示す。ホストからクッキーを伴わない接続要請を受信する（６００）。
【００５０】
ホストから接続要請メッセージが受信されれば、仮想サーバーは、ユーザに自動接続防止（ＣＡＰＴＣＨＡ）ページを伝送する（６０１）。この際、ユーザの接続は終了する（６０２）。
【００５１】
ホストからＣＡＰＴＣＨＡ誤答が受信されれば（６１０）、接続を強制終了する（６１１）。ホストからアブノーマルクッキーを伴った接続要請が受信されれば（６２０）、クッキー検証を行い、クッキーが非正常であることを確認し、接続を強制終了する（６２１）。
【００５２】
各接続が強制終了する場合が臨界値を超過すれば、当該ホストをＤＤｏＳゾンビとして識別し、前記ホストから受信された接続要請メッセージをＤＤｏＳシンクホールに再伝達する（６３０）。
【００５３】
以上、本発明について好ましい実施例を中心に説明した。本発明の属する技術分野における通常の知識を有する者は、本発明が本発明の本質的な特性から逸脱しない範囲内で変形された形態で具現されることができることを理解することができるだろう。したがって、開示された実施例は、限定的な観点でなく、説明的な観点で考慮されなければならない。本発明の範囲は、前述の説明ではなく、特許請求の範囲に示されており、それと同等な範囲内にあるすべての差異点は、本発明に含まれたものと解すべきである。
【符号の説明】
【００５４】
１１０ 正常ユーザホスト
１２０ ゾンビホスト
１３０ 仮想サーバー
１４０ ウェブサーバー
１５０ シンクホールサーバー
２１０ クッキー確認モジュール
２２０ 認証処理モジュール
２３０ クッキーＤＢ
２４０ クッキー値検証モジュール
２５０ ウェブページ接続誘導モジュール
２６０ ゾンビ識別モジュール
【技術分野】
【０００１】
本発明は、悪性ボット（bot）によって感染されて悪性行為を行うゾンビ（zombie）ホストを識別及び遮断するための方法及びこれを行う仮想サーバー、並びにこのような仮想サーバーに基盤して獲得されたゾンビ情報を分析することによって、ゾンビの規模及び分布を把握するための方法及びこれを行うシンクホールサーバーに関する。
【背景技術】
【０００２】
最近、インターネットサービスが多様化されるにつれて、インターネット使用率が増加しており、これによって、コンピュータウイルスやインターネットワームなどのような悪性コードがインターネットを介して広く拡散され、ユーザに多くの被害をもたらしている。特に、悪性コードであるボットに感染された多数のコンピュータ（これをボットネットという）が特定のウェブサーバーへのトラフィックを急増させて、ウェブサーバーが正常機能を行うことができないように妨害するＤＤｏＳ（Distributed Denial of Service：分散サービス拒否）攻撃は、深刻な問題となっている。
【０００３】
ボットに感染されたコンピュータは、コンピュータユーザの意志に関係なく、ハッカーによって操縦されて悪性行為を行うので、ゾンビホストと呼ばれる。このようなボットの感染を防止し悪性行為を遮断するために、シンクホールサーバーを用いてボットによる悪性行為を遮断する方法が活用されている。
【０００４】
既存のシンクホールサーバーを利用した悪性行為遮断方式は、ゾンビホストがボットネット制御サーバーのドメインに対するＩＰを得るために、ＤＮＳ（Domain Name Service）サーバーに問い合わせするとき、シンクホールサーバーのＩＰを応答するようにして、以後ゾンビホストのトラフィックがシンクホールサーバーに向かうようにすることによって、悪性行為を遮断する方式である。しかし、このような方式は、知られたボットネット制御サーバーのドメインを問い合わせするゾンビホストにのみ限って対応することができるという問題がある。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】韓国特許登録第１０−０９００４９１号
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明は、前述のような問題点を解決するためになされたもので、ＤＤｏＳ攻撃の主な対象となるウェブサーバーの前段にゾンビ識別のための仮想サーバーを提供することによって、認証を受けていないホストをゾンビとして識別し、ウェブサーバー接続を源泉遮断することを目的とする。
【０００７】
また、本発明は、仮想サーバーによって識別されたゾンビホスト情報を分析し、ゾンビの規模及び分布を把握することによって、以後の２次攻撃に備えるようにすることを目的とする。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、本発明の一実施例によるゾンビ識別仮想サーバーは、ホストから受信されたウェブサーバー接続要請メッセージがクッキーを含まない場合、自動接続防止（ＣＡＰＴＣＨＡ）テストを利用して前記ホストを認証し、前記認証されたホストにクッキーを提供する認証処理モジュールと、前記ウェブサーバー接続要請メッセージがクッキーを含む場合、前記ウェブサーバー接続要請メッセージからクッキー値を抽出し、前記抽出されたクッキー値を検証するクッキー値検証モジュールと、前記クッキー値の検証に成功する場合、前記ホストが前記ウェブサーバーに接続することができるように誘導するウェブページ接続誘導モジュールと、前記クッキー値の検証に失敗した場合、前記ホストの接続を遮断し、前記遮断回数が臨界値を超過する場合、前記ホストをゾンビとして識別するゾンビ識別モジュールと、を含む。
【０００９】
本発明の他の実施例によるシンクホールサーバーは、ウェブサーバーの前段に配置され、前記ウェブサーバーへの接続を試みるゾンビを識別する仮想サーバーから提供されたゾンビのＩＰアドレスを収集し、前記ＩＰアドレスのうち重複されるＩＰアドレスを除去する重複ＩＰ除去モジュールと、前記重複除去されたＩＰアドレスの総個数を算出することによって、ゾンビの規模を算定するゾンビ規模算定モジュールと、前記ＩＰアドレスに内在する地理的情報を利用してゾンビの地理的分布を把握する地理分布把握モジュールと、前記算定されたゾンビの規模及び前記地理的分布を格納するゾンビ情報ＤＢと、を含む。
【００１０】
本発明のさらに他の実施例によるゾンビ識別方法は、ホストから受信されたウェブサーバー接続要請メッセージがクッキーを含むか否かを判断する段階と、前記接続要請メッセージがクッキーを含まない場合、前記ホストに自動接続防止ページを伝送する段階と、前記ホストから前記自動接続防止ページに対する正解が受信されれば、前記ホストのＩＰアドレスに対応するクッキーを伝送する段階と、前記接続要請メッセージがクッキーを含む場合、前記接続要請メッセージからクッキー値を抽出し、前記抽出されたクッキー値が前記ホストのＩＰアドレスに対応するクッキー値であるか否かを検証する段階と、前記クッキー値の検証に失敗した場合、前記ウェブサーバーへの接続を遮断し、遮断回数が臨界値を超過する場合、前記ホストをゾンビとして識別する段階と、を含む。
【００１１】
本発明のさらに他の実施例によるゾンビ情報統合管理方法は、ウェブサーバーの前段に配置され、前記ウェブサーバーへの接続を試みるゾンビを識別する仮想サーバーから提供されるゾンビのＩＰアドレスを収集する段階と、前記収集されたＩＰアドレスのうち重複されるＩＰアドレスを除去する段階と、前記重複除去されたＩＰアドレスの総個数を算出することによって、ゾンビの規模を算定する段階と、前記ＩＰアドレスに内在する地理的情報を利用してゾンビの地理的分布を把握する段階と、を含む。
【発明の効果】
【００１２】
本発明による仮想サーバーを活用してウェブサーバーに非正常的に接続するゾンビホストを識別し、ＤＤｏＳ攻撃を誘発するボットネットの規模をリアルタイムに分析することができる。各仮想サーバーでゾンビとして識別されたトラフィックは、ＤＤｏＳシンクホールサーバーに流入され、総合的な管理が可能である。また、ＤＤｏＳゾンビとして識別されたホストＩＰは、再度ウェブサーバーの防火壁設定に登録され、攻撃を迅速に遮断することができる。結果的に、統合的なゾンビ規模算定と分布把握を通じてボットネットの規模と分布に対する情報を習得することができ、以後当該ボットネットのトラフィック流れをモニタリングすることができる官制技術側面でのネットワーク情報を提供する。
【図面の簡単な説明】
【００１３】
【図１】本発明の一実施例による仮想サーバーを介してウェブサーバー及びシンクホールシステムに伝達されるトラフィックの流れを概念的に示す。
【図２】本発明の一実施例によってゾンビ識別を行う仮想サーバー２００の構成を示すブロック図である。
【図３】本発明の一実施例によるシンクホールサーバーの構成を示すブロック図である。
【図４】本発明の一実施例によって仮想サーバーで行われるＤＤｏｓゾンビ識別過程を示す流れ図である。
【図５】本発明の一実施例によって正常ユーザの接続トラフィック制御流れ図を示す。
【図６】本発明の一実施例によってゾンビとして識別されるホストの接続トラフィック制御流れ図を示す。
【発明を実施するための形態】
【００１４】
以下、添付図面を参照して本発明の実施例について本発明の属する技術分野における通常の知識を有する者が容易に実施することができるように詳細に説明する。しかし、本発明は、様々な他の形態で変形することができ、本発明の範囲が下記実施例に限定されるものではない。なお、図面において、本発明を正確に説明するために、説明と関係ない部分を省略し、明細書全般において、同一の参照符号は同一の構成要素を示す。
【００１５】
また、明細書全般において、或る部分が任意の構成要素を「含む」とするとき、これは、特に反対される記載がない限り、他の構成要素を除外するものではなく、他の構成要素をさらに含むことができることを意味する。また、明細書に記載された「…部」、「モジュール」などの用語は、少なくとも１つの機能や動作を処理する単位を意味し、これは、ハードウェアやソフトウェアまたはハードウェア及びソフトウェアの組合せによって具現することができる。
【００１６】
図１は、本発明の一実施例による仮想サーバー、ウェブサーバー及びシンクホールサーバー間のトラフィック流れを概念的に示す。図示のように、仮想サーバー１３０は、ウェブサーバー１４０の前段に配置され、ウェブサーバー１４０に接続を要請するホストの認証を行い、認証を受けていないホストをゾンビとして識別し、ウェブサーバー１４０への接続を源泉的に遮断させる機能を果たす。
【００１７】
正常ユーザホスト１１０は、仮想サーバー１３０の認証をパスした場合、ウェブサーバー１４０を接続することができる。仮想サーバー１３０の認証は、自動接続防止（ＣＡＰＴＣＨＡ：Completely Automated Public Turing test to tell Computers and Human Apart）ページに基づく問い合せを利用して行われ、認証にパスしたユーザホストは、仮想サーバー１３０から提供されるクッキーを利用してウェブサーバーに接続することができる。仮想サーバー１３０の認証過程は、残りの図面を参照して詳しく後述する。ユーザホストは、汎用ＰＣ、ラップトップ、携帯用コンピュータまたはタブレットなどネットワーク機能を具備した多様な類型のコンピュータのうち１つを使用することができるが、これらに限定されるものではない。
【００１８】
一方、ＤＤｏＳ攻撃を行うゾンビホスト１２０は、仮想サーバー１３０の認証過程をパスすることができない。その後、ゾンビホスト１２０から発生するトラフィックは、仮想サーバー１３０によってシンクホールサーバー１５０に再伝達される。図面には、ＤＤｏＳ攻撃を行うゾンビの識別を例示しつつ説明しているが、本発明がＤＤｏＳ攻撃を行うゾンビの識別にのみ限定されるものではなく、任意の悪性行為を行う悪性ボットに感染されたすべてのゾンビに適用されるということは、当該技術分野の当業者であれば充分に理解することができる。
【００１９】
一方、図面には、正常ユーザ１１０及びゾンビ１２０のクッキー検証と自動接続防止のためのページを利用した認証手続がすべて仮想サーバー１３０で行われるものと図示されているが、認証手続機能は、別途の認証サーバーで行われるように具現することができる。この場合、仮想サーバー１３０で受信された接続要請メッセージ内にクッキーが存在するか否かを確認する。クッキーが存在しない場合は、前記接続要請メッセージが認証サーバーに再伝達され、認証サーバーによる認証過程が行われる。認証が完了した正常ユーザにクッキーを伝達した後、仮想サーバーに再接続するように誘導し、仮想サーバー１３０でクッキー値の検証が成功すれば、ウェブサーバー１４０への接続が可能である。
【００２０】
図２は、本発明の一実施例によってゾンビ識別を行う仮想サーバー２００の構成を示すブロック図である。図示のように、仮想サーバー２００は、クッキー確認モジュール２１０、認証処理モジュール２２０、クッキーＤＢ２３０、クッキー値検証モジュール２４０、ウェブページ接続誘導モジュール２５０及びゾンビ識別モジュール２６０を含む。
【００２１】
クッキー確認モジュール２１０は、ホストから受信されたウェブサーバー接続要請メッセージにクッキーが存在するか否かを確認する。ウェブサーバー接続要請メッセージ内にクッキーが存在しない場合は、ホストがウェブサーバー接続要請を最初に試みた場合なので、仮想サーバーからまだクッキーを提供されていない場合であるか、それとも、ホストがゾンビである場合に該当する。
【００２２】
認証処理モジュール２２０は、クッキーを含まないウェブサーバー接続要請メッセージを伝送したホストに自動接続防止（ＣＡＰＴＣＨＡ）テストを利用して前記ホストを認証し、前記認証されたホストにクッキーを伝送する。このような認証過程は、ネットワーク階層Ｌ３で行われる。
【００２３】
自動接続防止（ＣＡＰＴＣＨＡ）テストは、ユーザが実際人間なのかコンピュータプログラムなのかを区別するために使用される方式であって、人間は、区別することができるが、コンピュータは、区別しにくく意図的に拗れたコードまたは絵を見せてからその内容を尋ねる方式である。ウェブサイトにＤＤｏＳトラフィックを発生させるゾンビは、ユーザの介入なしに自動化されたプログラムによって作動するので、このような自動接続防止（ＣＡＰＴＣＨＡ）テストをパスすることができない。
【００２４】
一実施例において、認証処理モジュール２２０は、臨界回数分だけ自動接続防止（ＣＡＰＴＣＨＡ）テストページを再伝送することによって、ホストに正解を提出することができる機会を提供し、ホストが臨界回数分だけの正解提出機会の間に正解を提出しない場合、前記ホストをゾンビとして識別する。認証処理モジュール２２０は、ゾンビとして識別されたホストの接続を強制終了させ、前記ホストから受信された接続要請メッセージまたは前記ホストのＩＰアドレスをシンクホールサーバーに伝達する。
【００２５】
一方、認証処理モジュール２２０は、自動接続防止（ＣＡＰＴＣＨＡ）テストをパスしたホストに対しては、正常ユーザとして識別し、以後ウェブサーバー接続時に認証キーとして利用されるクッキーをホストに提供する。この際、ホストのＩＰアドレスにマッチングされるクッキーが提供される。クッキーＤＢ２３０は、各ＩＰアドレス別にあらかじめ計算されたクッキーリストを格納している。一例として、クッキー値は、前記ホストのＩＰアドレスのハッシュ値に対応して生成される。
【００２６】
クッキー値検証モジュール２４０は、ホストから受信されたウェブサーバー接続要請メッセージがクッキーを含む場合、前記接続要請メッセージからクッキー値を抽出し、前記抽出されたクッキー値が前記認証処理モジュール２２０によって前記ホストに正当に提供されたクッキー値であるか否かを検証する。クッキー値の抽出は、ＨＴＴＰヘッダー開始点の探索過程を経て抽出される。クッキー値検証モジュール２４０は、抽出されたクッキー値とクッキーＤＢ２３０に格納されたＩＰ別にクッキー値とを比較することによって、クッキー値が正しい値であるか否かを検証する。
【００２７】
ウェブページ接続誘導モジュール２５０は、クッキー値の検証に成功する場合、ホストが要請したウェブサーバー１４０のウェブページを提供することによって、前記ホストが前記ウェブサーバーに接続することができるように誘導し、ウェブサーバーと連結を中継する。
【００２８】
ゾンビ識別モジュール２６０は、クッキー値の検証に失敗した場合、前記ホストの接続を遮断し、前記遮断された回数が臨界値を超過する場合、前記ホストをゾンビとして識別する。また、前記ゾンビとして識別されたホストから受信されたメッセージをシンクホールサーバー１５０に再伝達するか、または前記ゾンビとして識別されたホストのＩＰアドレスをシンクホールサーバー１５０に伝達する。一実施例において、ネットワーク負荷を減少させるために、一定の期間の間にゾンビとして識別されたホストのＩＰアドレスを取り合わせた後、取り合わされた情報をシンクホールサーバー１５０に伝達することができる。
【００２９】
一方、前述の実施例では、認証処理モジュール２２０が仮想サーバー２００内に含まれるものと説明されているが、他の実施例では、認証処理モジュール２２０によって行われる認証機能が仮想サーバー２００とは別途の認証サーバーで行われてもよい。この場合、仮想サーバー２００のクッキー確認モジュール２１０がホストからの接続要請メッセージ内にクッキーが存在するか否かを確認し、クッキーが存在しない場合は、前記接続要請メッセージを認証サーバーに再伝達し、認証サーバーによって認証処理が行われるようにする。認証サーバーは、認証が完了した正常ユーザにクッキーを伝達した後、仮想サーバーに再接続するように誘導する。
【００３０】
図３は、本発明の一実施例によるシンクホールサーバーの構成を示すブロック図である。図示のように、シンクホールサーバー３００は、重複ＩＰ除去モジュール３１０、ゾンビ規模算定モジュール３２０、ゾンビ分布把握モジュール３３０及びゾンビ情報ＤＢ３４０を含む。
【００３１】
前述した図２は、説明の便宜上、１つの仮想サーバーと１つのウェブサーバーを例としてあげて説明したが、本発明による仮想サーバーは、ＤＤｏＳ攻撃の主な対象になる多数のウェブサーバーの前段に設置され、認証に失敗するホストをゾンビとして識別し、ゾンビから流入されたトラフィックまたはゾンビのＩＰアドレスをシンクホールサーバー３００に伝達する。シンクホールサーバー３００は、多数の仮想サーバー２００に流入されるゾンビに対する情報を統合管理し、ゾンビの全体的な規模及び地理的分布を把握することによって、官制技術側面で以後当該ボットネットのトラフィック流れをモニタリングし、以後の２次攻撃に備えることができるようにする。
【００３２】
具体的に、重複ＩＰ除去モジュール３１０は、多数の仮想サーバーから伝達されるゾンビのＩＰアドレスを収集し、収集されたＩＰアドレスのうち重複されるＩＰアドレスを除去する。代案的に、仮想サーバーからゾンビのＩＰアドレスでないゾンビから発生したトラフィックがそのまま再伝達される場合は、トラフィックからＩＰアドレスを抽出するＩＰアドレス抽出モジュール（図示せず）が追加的に必要とされうる。
【００３３】
ゾンビ規模算定モジュール３２０は、重複ＩＰ除去モジュール３１０により重複されたＩＰアドレスが除去されたＩＰアドレスの総個数を算出することによって、ゾンビの規模を算定する。
【００３４】
ゾンビ分布把握モジュール３３０は、ＩＰアドレスに内在する地理的情報（例えば、国家、都市及び地域情報）を利用してゾンビの世界的な地理分布を把握する。
【００３５】
ゾンビ情報ＤＢ３４０は、ゾンビ規模算定モジュール３２０によって算定されたゾンビの総個数及びゾンビ分布把握モジュール３３０によって把握された地理的分布情報が格納される場所である。ゾンビ情報ＤＢ３４０は、ゾンビ規模算定モジュール３２０及びゾンビ分布把握モジュール３３０の実行結果によって周期的に更新される。
【００３６】
図４は、本発明の一実施例によって仮想サーバーで行われるＤＤｏＳゾンビ識別過程を示す流れ図である。
【００３７】
まず、ユーザ（ホスト）から最初にウェブページ接続要請メッセージが受信されれば（段階４１０）、前記接続要請メッセージ内にクッキーの存在有無を確認する（段階４２０）。
【００３８】
段階４２０で、クッキーが存在しないものと確認されれば、ユーザに自動接続防止（ＣＡＰＴＣＨＡ）ページを伝送し、問題に対する正解を提出することによって、ユーザ認証を行い（４３０）、認証されたユーザにクッキーを伝送する（段階４４０）。
【００３９】
当該クッキー値は、ＩＰ別にクッキー値が格納されたクッキーＤＢから持って来る。ユーザは、以後にウェブサーバーに接続するとき、前記クッキーを接続要請メッセージに含ませることによって、認証キーとして利用する。
【００４０】
一方、正解を提出せず、認証に失敗したユーザには、ＣＡＰＴＣＨＡページを再伝送することによって、臨界値分だけの正解提出機会を提供し、失敗回数が臨界値を超過したものと判断された場合（段階４７０）、ＤＤｏＳゾンビとして識別し、当該ゾンビから受信された接続要請メッセージをＤＤｏＳシンクホールに再伝達する（段階４８０）。
【００４１】
段階４２０で、ウェブクッキーが存在するものと確認された場合、クッキー値を抽出し、当該ウェブクッキーの正当性可否をクッキーＤＢと比較して検証する（段階４５０）。
【００４２】
段階４５０で、ウェブクッキーの検証が成功すれば、正常ユーザとして識別し、ウェブサーバーに連結を誘導し、ユーザとウェブサーバーとの通信を中継する（段階４６０）。
【００４３】
一方、段階４５０で、ウェブクッキーの検証に失敗した場合、当該ユーザに対するクッキー検証失敗回数が臨界値を超過するか否かを判断し（段階４７０）、臨界値を超過した場合、当該ユーザホストをＤＤｏＳゾンビとして識別し、ウェブサーバーへの接続を遮断し、ホストから受信された接続要請メッセージをＤＤｏＳシンクホールに再伝達する（段階４８０）。
【００４４】
図５は、本発明の一実施例によって正常ユーザの接続トラフィック制御流れ図を示す。図示のように、ウェブサーバーに接続を最初に試みる正常ユーザホストからクッキーを伴わない接続要請メッセージが受信される（５００）。
【００４５】
ホストから接続要請メッセージが受信されれば、仮想サーバーは、ホストに自動接続防止（ＣＡＰＴＣＨＡ）ページを伝送する（５０１）。この際、ユーザの接続は終了する（５０２）。
【００４６】
ホストから自動接続防止ページに対する正解が提出されれば（５１０）、前記ホストのＩＰに対応するクッキーを生成してホストに伝送すると同時に、ウェブサーバーの当該ウェブページ切換を誘導する（５１１）。
【００４７】
その後、ユーザは、ウェブサーバー接続のためにクッキーを伴った接続要請メッセージを伝送し（５２０）、クッキーを伴った接続要請を受信した仮想サーバーは、クッキー値を検証し、クッキー値が正当なものと検証された場合、ウェブサーバーと連結を中継する（５２１）。仮想サーバーは、ウェブサーバーの応答を受信し（５２２）、ユーザに伝達する（５２３）。
【００４８】
代案的に、クッキーを伴った接続要請メッセージがウェブサーバーによって直接受信されることができ、この場合、ウェブサーバーでクッキー値を検証し、直接ホストに応答することができる。
【００４９】
図６は、本発明の一実施例によってゾンビとして識別されるホストの接続トラフィック制御流れ図を示す。ホストからクッキーを伴わない接続要請を受信する（６００）。
【００５０】
ホストから接続要請メッセージが受信されれば、仮想サーバーは、ユーザに自動接続防止（ＣＡＰＴＣＨＡ）ページを伝送する（６０１）。この際、ユーザの接続は終了する（６０２）。
【００５１】
ホストからＣＡＰＴＣＨＡ誤答が受信されれば（６１０）、接続を強制終了する（６１１）。ホストからアブノーマルクッキーを伴った接続要請が受信されれば（６２０）、クッキー検証を行い、クッキーが非正常であることを確認し、接続を強制終了する（６２１）。
【００５２】
各接続が強制終了する場合が臨界値を超過すれば、当該ホストをＤＤｏＳゾンビとして識別し、前記ホストから受信された接続要請メッセージをＤＤｏＳシンクホールに再伝達する（６３０）。
【００５３】
以上、本発明について好ましい実施例を中心に説明した。本発明の属する技術分野における通常の知識を有する者は、本発明が本発明の本質的な特性から逸脱しない範囲内で変形された形態で具現されることができることを理解することができるだろう。したがって、開示された実施例は、限定的な観点でなく、説明的な観点で考慮されなければならない。本発明の範囲は、前述の説明ではなく、特許請求の範囲に示されており、それと同等な範囲内にあるすべての差異点は、本発明に含まれたものと解すべきである。
【符号の説明】
【００５４】
１１０ 正常ユーザホスト
１２０ ゾンビホスト
１３０ 仮想サーバー
１４０ ウェブサーバー
１５０ シンクホールサーバー
２１０ クッキー確認モジュール
２２０ 認証処理モジュール
２３０ クッキーＤＢ
２４０ クッキー値検証モジュール
２５０ ウェブページ接続誘導モジュール
２６０ ゾンビ識別モジュール
【特許請求の範囲】
【請求項１】
ホストから受信されたウェブサーバー接続要請メッセージがクッキーを含まない場合、自動接続防止（ＣＡＰＴＣＨＡ）テストを利用して前記ホストを認証し、前記認証されたホストにクッキーを提供する認証処理モジュールと、
前記ウェブサーバー接続要請メッセージがクッキーを含む場合、前記ウェブサーバー接続要請メッセージからクッキー値を抽出し、前記抽出されたクッキー値を検証するクッキー値検証モジュールと、
前記クッキー値の検証に成功する場合、前記ホストが前記ウェブサーバーに接続することができるように誘導するウェブページ接続誘導モジュールと、
前記クッキー値の検証に失敗した場合、前記ホストの接続を遮断し、前記遮断回数が臨界値を超過する場合、前記ホストをゾンビとして識別するゾンビ識別モジュールと、を含むことを特徴とするゾンビ識別仮想サーバー。
【請求項２】
前記ホストのＩＰアドレスに対応するクッキー値を格納するクッキー値ＤＢをさらに含むことを特徴とする請求項１に記載のゾンビ識別仮想サーバー。
【請求項３】
前記認証処理モジュールは、前記ホストが前記自動接続防止テストに対する正解を提出しない場合、臨界値分だけ正解提出機会を提供することを特徴とする請求項１に記載のゾンビ識別仮想サーバー。
【請求項４】
前記認証処理モジュールは、前記ホストが前記臨界値分だけの正解提出機会の間に正解を提出しない場合、前記ホストをゾンビとして識別し、前記ホストの接続を遮断し、前記ホストの接続要請メッセージまたはＩＰアドレスをシンクホールサーバーに伝達することを特徴とする請求項３に記載のゾンビ識別仮想サーバー。
【請求項５】
前記クッキー値検証モジュールは、前記抽出されたクッキー値と前記クッキーＤＢに格納された前記ホストのＩＰアドレスに対応するクッキー値とを比較することによって、前記クッキー値を検証することを特徴とする請求項２に記載のゾンビ識別仮想サーバー。
【請求項６】
前記ゾンビ識別モジュールは、前記ゾンビとして識別されたホストから受信されたメッセージまたは前記ゾンビとして識別されたホストのＩＰアドレスをシンクホールサーバーに伝達することを特徴とする請求項１に記載のゾンビ識別仮想サーバー。
【請求項７】
ウェブサーバーの前段に配置され、前記ウェブサーバーへの接続を試みるゾンビを識別する仮想サーバーから提供されたゾンビのＩＰアドレスを収集し、前記ＩＰアドレスのうち重複されるＩＰアドレスを除去する重複ＩＰ除去モジュールと、
前記重複除去されたＩＰアドレスの総個数を算出することによって、ゾンビの規模を算定するゾンビ規模算定モジュールと、
前記ＩＰアドレスに内在する地理的情報を利用してゾンビの地理的分布を把握する地理分布把握モジュールと、
前記算定されたゾンビの規模及び前記地理的分布を格納するゾンビ情報ＤＢと、を含むことを特徴とするシンクホールサーバー。
【請求項８】
前記仮想サーバーからゾンビトラフィックが再伝達された場合、前記ゾンビトラフィックから前記ゾンビのＩＰアドレスを抽出するＩＰアドレス抽出モジュールをさらに含むことを特徴とする請求項７に記載のシンクホールサーバー。
【請求項９】
ホストから受信されたウェブサーバー接続要請メッセージがクッキーを含むか否かを判断する段階と、
前記接続要請メッセージがクッキーを含まない場合、前記ホストに自動接続防止ページを伝送する段階と、
前記ホストから前記自動接続防止ページに対する正解が受信されれば、前記ホストのＩＰアドレスに対応するクッキーを伝送する段階と、
前記接続要請メッセージがクッキーを含む場合、前記接続要請メッセージからクッキー値を抽出し、前記抽出されたクッキー値が前記ホストのＩＰアドレスに対応するクッキー値であるか否かを検証する段階と、
前記クッキー値の検証に失敗した場合、前記ウェブサーバーへの接続を遮断し、遮断回数が臨界値を超過する場合、前記ホストをゾンビとして識別する段階と、を含むことを特徴とするゾンビ識別方法。
【請求項１０】
前記ホストから前記自動接続防止ページに対する正解が受信されない場合、前記ホストに前記自動接続防止ページを再伝送することによって、臨界値分だけ正解提出機会を提供し、前記ホストの正解失敗回数が臨界値を超過する場合、前記ホストをゾンビとして識別する段階をさらに含むことを特徴とする請求項９に記載のゾンビ識別方法。
【請求項１１】
前記ゾンビとして識別されたホストから受信された接続要請メッセージ、または前記ホストのＩＰアドレスをシンクホールサーバーに再伝達する段階をさらに含むことを特徴とする請求項９または１０に記載のゾンビ識別方法。
【請求項１２】
前記クッキー値の検証に成功する場合、前記ホストが前記ウェブサーバーに接続することができるように前記ウェブサーバーのウェブページを提供する段階をさらに含むことを特徴とする請求項９に記載のゾンビ識別方法。
【請求項１３】
ウェブサーバーの前段に配置され、前記ウェブサーバーへの接続を試みるゾンビを識別する仮想サーバーから提供されるゾンビのＩＰアドレスを収集する段階と、
前記収集されたＩＰアドレスのうち重複されるＩＰアドレスを除去する段階と、
前記重複除去されたＩＰアドレスの総個数を算出することによって、ゾンビの規模を算定する段階と、
前記ＩＰアドレスに内在する地理的情報を利用してゾンビの地理的分布を把握する段階と、を含むことを特徴とするゾンビ情報統合管理方法。
【請求項１】
ホストから受信されたウェブサーバー接続要請メッセージがクッキーを含まない場合、自動接続防止（ＣＡＰＴＣＨＡ）テストを利用して前記ホストを認証し、前記認証されたホストにクッキーを提供する認証処理モジュールと、
前記ウェブサーバー接続要請メッセージがクッキーを含む場合、前記ウェブサーバー接続要請メッセージからクッキー値を抽出し、前記抽出されたクッキー値を検証するクッキー値検証モジュールと、
前記クッキー値の検証に成功する場合、前記ホストが前記ウェブサーバーに接続することができるように誘導するウェブページ接続誘導モジュールと、
前記クッキー値の検証に失敗した場合、前記ホストの接続を遮断し、前記遮断回数が臨界値を超過する場合、前記ホストをゾンビとして識別するゾンビ識別モジュールと、を含むことを特徴とするゾンビ識別仮想サーバー。
【請求項２】
前記ホストのＩＰアドレスに対応するクッキー値を格納するクッキー値ＤＢをさらに含むことを特徴とする請求項１に記載のゾンビ識別仮想サーバー。
【請求項３】
前記認証処理モジュールは、前記ホストが前記自動接続防止テストに対する正解を提出しない場合、臨界値分だけ正解提出機会を提供することを特徴とする請求項１に記載のゾンビ識別仮想サーバー。
【請求項４】
前記認証処理モジュールは、前記ホストが前記臨界値分だけの正解提出機会の間に正解を提出しない場合、前記ホストをゾンビとして識別し、前記ホストの接続を遮断し、前記ホストの接続要請メッセージまたはＩＰアドレスをシンクホールサーバーに伝達することを特徴とする請求項３に記載のゾンビ識別仮想サーバー。
【請求項５】
前記クッキー値検証モジュールは、前記抽出されたクッキー値と前記クッキーＤＢに格納された前記ホストのＩＰアドレスに対応するクッキー値とを比較することによって、前記クッキー値を検証することを特徴とする請求項２に記載のゾンビ識別仮想サーバー。
【請求項６】
前記ゾンビ識別モジュールは、前記ゾンビとして識別されたホストから受信されたメッセージまたは前記ゾンビとして識別されたホストのＩＰアドレスをシンクホールサーバーに伝達することを特徴とする請求項１に記載のゾンビ識別仮想サーバー。
【請求項７】
ウェブサーバーの前段に配置され、前記ウェブサーバーへの接続を試みるゾンビを識別する仮想サーバーから提供されたゾンビのＩＰアドレスを収集し、前記ＩＰアドレスのうち重複されるＩＰアドレスを除去する重複ＩＰ除去モジュールと、
前記重複除去されたＩＰアドレスの総個数を算出することによって、ゾンビの規模を算定するゾンビ規模算定モジュールと、
前記ＩＰアドレスに内在する地理的情報を利用してゾンビの地理的分布を把握する地理分布把握モジュールと、
前記算定されたゾンビの規模及び前記地理的分布を格納するゾンビ情報ＤＢと、を含むことを特徴とするシンクホールサーバー。
【請求項８】
前記仮想サーバーからゾンビトラフィックが再伝達された場合、前記ゾンビトラフィックから前記ゾンビのＩＰアドレスを抽出するＩＰアドレス抽出モジュールをさらに含むことを特徴とする請求項７に記載のシンクホールサーバー。
【請求項９】
ホストから受信されたウェブサーバー接続要請メッセージがクッキーを含むか否かを判断する段階と、
前記接続要請メッセージがクッキーを含まない場合、前記ホストに自動接続防止ページを伝送する段階と、
前記ホストから前記自動接続防止ページに対する正解が受信されれば、前記ホストのＩＰアドレスに対応するクッキーを伝送する段階と、
前記接続要請メッセージがクッキーを含む場合、前記接続要請メッセージからクッキー値を抽出し、前記抽出されたクッキー値が前記ホストのＩＰアドレスに対応するクッキー値であるか否かを検証する段階と、
前記クッキー値の検証に失敗した場合、前記ウェブサーバーへの接続を遮断し、遮断回数が臨界値を超過する場合、前記ホストをゾンビとして識別する段階と、を含むことを特徴とするゾンビ識別方法。
【請求項１０】
前記ホストから前記自動接続防止ページに対する正解が受信されない場合、前記ホストに前記自動接続防止ページを再伝送することによって、臨界値分だけ正解提出機会を提供し、前記ホストの正解失敗回数が臨界値を超過する場合、前記ホストをゾンビとして識別する段階をさらに含むことを特徴とする請求項９に記載のゾンビ識別方法。
【請求項１１】
前記ゾンビとして識別されたホストから受信された接続要請メッセージ、または前記ホストのＩＰアドレスをシンクホールサーバーに再伝達する段階をさらに含むことを特徴とする請求項９または１０に記載のゾンビ識別方法。
【請求項１２】
前記クッキー値の検証に成功する場合、前記ホストが前記ウェブサーバーに接続することができるように前記ウェブサーバーのウェブページを提供する段階をさらに含むことを特徴とする請求項９に記載のゾンビ識別方法。
【請求項１３】
ウェブサーバーの前段に配置され、前記ウェブサーバーへの接続を試みるゾンビを識別する仮想サーバーから提供されるゾンビのＩＰアドレスを収集する段階と、
前記収集されたＩＰアドレスのうち重複されるＩＰアドレスを除去する段階と、
前記重複除去されたＩＰアドレスの総個数を算出することによって、ゾンビの規模を算定する段階と、
前記ＩＰアドレスに内在する地理的情報を利用してゾンビの地理的分布を把握する段階と、を含むことを特徴とするゾンビ情報統合管理方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２０１１−２３３１２８（Ｐ２０１１−２３３１２８Ａ）
【公開日】平成２３年１１月１７日（２０１１．１１．１７）
【国際特許分類】
【出願番号】特願２０１０−１９８０１７（Ｐ２０１０−１９８０１７）
【出願日】平成２２年９月３日（２０１０．９．３）
【出願人】（５９６１８００７６）韓國電子通信研究院 (733)
【氏名又は名称原語表記】Ｅｌｅｃｔｒｏｎｉｃｓ ａｎｄ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｒｅｓｅａｒｃｈ Ｉｎｓｔｉｔｕｔｅ
【住所又は居所原語表記】１６１ Ｋａｊｏｎｇ−ｄｏｎｇ， Ｙｕｓｏｎｇ−ｇｕ， Ｔａｅｊｏｎ ｋｏｒｅａ
【Ｆターム（参考）】
【公開日】平成２３年１１月１７日（２０１１．１１．１７）
【国際特許分類】
【出願日】平成２２年９月３日（２０１０．９．３）
【出願人】（５９６１８００７６）韓國電子通信研究院 (733)
【氏名又は名称原語表記】Ｅｌｅｃｔｒｏｎｉｃｓ ａｎｄ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｒｅｓｅａｒｃｈ Ｉｎｓｔｉｔｕｔｅ
【住所又は居所原語表記】１６１ Ｋａｊｏｎｇ−ｄｏｎｇ， Ｙｕｓｏｎｇ−ｇｕ， Ｔａｅｊｏｎ ｋｏｒｅａ
【Ｆターム（参考）】
[ Back to top ]