KR101566882B1

KR101566882B1 - 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템 및 그 방법

Info

Publication number: KR101566882B1
Application number: KR1020140014034A
Authority: KR
Inventors: 문대원; 김유호; 조돈섭
Original assignee: (주)이글로벌시스템
Priority date: 2014-02-07
Filing date: 2014-02-07
Publication date: 2015-11-06
Also published as: US20160350546A1; JP6385462B2; KR20150093366A; WO2015119341A1; US10181044B2; JP2017507445A

Abstract

암호화된 정보의 모니터링과 상기 암호화된 정보의 대량 복호화를 차단하기 위한 시스템으로서, 복호화 정보를 메모리하는 AC 유닛; AC 유닛으로부터 복호화 정보를 참고하여, 암호화된 정보를 복호화하는 크립토 유닛; 크립토 유닛이 복호화 처리하는 건 수를 카운팅하는 카운터; 카운터에서 카운팅된 복호화 처리된 건 수를 저장하는 이벤트 로거; 및 크립토 유닛으로부터 복호화된 처리 건 수에 대한 정보를 수신하여, 디스플레이하는 모니터링 서버를 포함하여, 암호화된 데이터를 모니터링하고, 암호화된 데이터에 대해 인가권한이 부여된 인가자의 대량 복호화를 감시와 차단을 가능하도록 하는 효과를 제공한다.

Description

암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템 및 그 방법{SYSTEM AND METHOD FOR MONITORING ENCRYPTED DATABASE AND PREVENTING MASSIVE DECRYPTION}

본 발명은 데이터베이스 보안 분야에 속한 것으로서, 중요 정보 또는 민감정보를 암호화하여 저장/처리하고 있는 데이터베이스에서 암호화 및 복호화의 오류처리 상황의 감시 및 실시간 대응 방법에 관한 것과, 암호화된 데이터베이스가 정상적으로 작동하는 상황에서, 권한이 인가된 사용자가 데이터를 복호화하여 유출하려는 징후를 포착하고 이에 대한 경고 및 차단하는 것과 관련된 기술분야이다.

다수의 사용자들이 접근 혹은 사용할 수 있는 데이터베이스(database, DB)를 암·복호화하는 방법들 중 하나는 암호모듈을 DB 서버 내에 설치하고 외부 프로그램 호출 방식으로 DBMS(database management system)가 암호모듈을 호출하여 SQL(structured query language, 데이터베이스 질의어) 등의 데이터 처리과정에서 암호화 또는 복호화가 처리되는 형태가 존재한다.

데이터베이스를 암·복호화하는 또 다른 방식으로는, 암호모듈을 DB서버가 아닌 애플리케이션 서버 등에 설치하여 데이터베이스와는 무관하게 암.복호화 처리를 하는 것이 존재한다.

암·복호화 방식 중 어떠한 것을 취하든, 데이터의 처리 과정에서 암·복호화가 프로그램의 호출에 의해 자동 작동하기 때문에, 관리자는 그 처리과정을 모니터링할 수가 없으므로 암호모듈이 정상적으로 작동하지 않아 오류가 발생하더라도 사용자로부터 오류사실을 통보받거나 작동 로그를 점검하기까지는 장애사실을 인지하지 못하게 되며, 이로 인해 장시간 동안 암·복호화 오류가 계속 발생하는 문제점이 존재하였다.

현재까지는 데이터베이스 자체의 작동 상태를 모니터링할 수 있는 기술과 제품은 존재하지만, 데이터베이스 서버 또는 애플리케이션 서버 등에 설치된 암호모듈의 암·복호 처리과정이나 그 오류 상황을 모니터링 할 수 있는 기술은 개발되어 있지 않다.

또한, 정상적으로 작동하는 암호화된 데이터베이스에서 발생할 수 있는 보안 문제점중 하나는, 최근 금융권에서 일어난 유출 사고처럼 권한이 인가된 자가 고의로 데이터를 유출하려는 시도를 확실하고 직접적인 방법으로 차단하기 어려운 문제점이 존재하였다.

물론 이에 대해, 네트워크 경로 상에 설치되어 운영되는 보안제품을 이용하여 간접적인 통제 구조를 구성할 수는 있으나, 데이터의 처리와 직접적으로 관련성이 없는 네트워크 상의 보안제품을 이용한 통제는 간접적이고 불확실할 수밖에 없다. 암호화 제품에서도 일반적인 정책기반의 통제방식(RBAC, Rule Based Access Control)으로는 DB, 파일 또는 디스크 등에 대한 접근만을 통제하므로 인가 조건을 충족한 인가자가 비정상적으로 대량의 데이터를 복호화하는 것을 직접 통제하는 것이 불가능하기 때문에 다른 방식에 의한 추가적인 통제가 필요하다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템 및 그 방법은 상기한 바와 같은 종래 문제점을 해결하기 위해 안출된 것으로서, 다음과 같은 해결과제를 가진다.

첫째, 암호화된 정보에 대한 접근 권한이 부여된 인가자의 정보 유출을 감시 및 차단할 수 있는 시스템 혹은 그 방법을 제공하고자 한다.

둘째, 인가자가 암호화된 정보에 접근하여 복호화하는 경우, 복호화 건 수를 시간당 혹은 누적적으로 모니터링하도록 하는 시스템 혹은 그 방법을 제공하고자 한다.

셋째, 인가자가 암호화된 정보를 짧은 시간에 대량 복호화하거나, 누적적으로 대량 복호화를 진행하는 것을 모니터링할 수 있도록 하고, 감시자에게는 이러한 상황을 실시간으로 알릴 수 있는 시스템 혹은 그 방법을 제공하고자 한다.

본 발명의 해결과제는 이상에서 언급된 것들에 한정되지 않으며, 언급되지 아니한 다른 해결과제들은 아래의 기재로부터 당업자에게 명확하게 이해될 수 있을 것이다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템 및 그 방법은 상기의 해결하고자 하는 과제를 위하여 다음과 같은 과제 해결 수단을 가진다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템은 암호화된 정보의 모니터링과 상기 암호화된 정보의 대량 복호화를 차단하기 위한 시스템으로서, 복호화 정보를 메모리하는 AC 유닛(access control unit); 상기 AC 유닛으로부터 상기 복호화 정보를 참고하여, 암호화된 정보를 복호화하는 크립토 유닛(crypto unit); 상기 크립토 유닛이 복호화 처리하는 건 수를 카운팅하는 카운터(counter); 상기 카운터에서 카운팅된 상기 복호화 처리된 건 수를 저장하는 이벤트 로거(event logger); 및 상기 크립토 유닛으로부터 상기 복호화된 처리 건 수에 대한 정보를 수신하여, 디스플레이하는 모니터링 서버를 포함하는 것을 특징으로 한다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템은 상기 이벤트 로거에 저장된 상기 복호화 처리된 건 수를 수신하여, 상기 모니터링 서버로 전송하는 데몬 유닛을 더 포함하는 것을 특징으로 할 수 있다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템의 상기 카운터는, 메모리, 파일, DB 테이블 또는 원격지 서버 중 어느 하나에 해당하는 것을 특징으로 할 수 있다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템의 상기 복호화 정보는, 복호화에 대한 인가 조건과 상기 인가 조건별로 복호화 건수 임계치에 대한 정보를 포함하되, 상기 모니터링 서버는, 상기 크립토 유닛이 수행하는 복호화 건 수가 상기 복호화 건수 임계치에 도달하는 경우, 상기 크립토 유닛의 복호화 기능을 차단하며, 경보를 발생시키는 것을 특징으로 할 수 있다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템의 상기 모니터링 서버는, 수신한 상기 복호화된 처리 건 수에 대한 정보를 저장하는 데이터베이스; 및 수신한 상기 복호화된 처리 건 수에 대한 정보를 대쉬 보드 GUI를 통해 디스플레이하는 모니터링 유닛을 포함하는 것을 특징으로 할 수 있다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템의 상기 크립토 유닛은, 복호화를 요청하는 사용자의 계정 정보, 복호화를 요청하는 사용자의 서버 명, 복호화를 요청하는 사용자의 IP 주소 및 복호화를 요청하는 사용자의 애플리케이션 명을 포함하는 일군으로부터 적어도 하나 이상을 상기 이벤트 로거에 기록하는 것을 특징으로 할 수 있다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템의 상기 인가 조건은, 상기 복호화를 요청하는 사용자의 ID, 상기 복호화를 요청하는 측의 IP 어드레스, 상기 복호화를 요청하는 애플리케이션의 종류에 따라 상이한 것을 특징으로 할 수 있다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템의 상기 복호화 건수 임계치는, 단위 시간당 소정의 복호화 건 수에 해당하며, 상기 소정의 복호화 건 수는 임의 설정 가능한 것을 특징으로 할 수 있다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템의 상기 카운터는, 암호화된 데이터의 세션(session)을 기준으로 복호화 처리하는 건 수를 카운팅하는 것을 특징으로 할 수 있다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템의 상기 카운터는, 복호화를 요청하는 애플리케이션의 프로세서 혹은 스레드(thread)를 기준으로 복호화 처리하는 건수를 카운팅하는 것을 특징으로 할 수 있다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템의 상기 모니터링 서버는, 상기 경보를 상기 모니터링 서버를 운영하는 관리자의 단말기로 전송하는 것을 특징으로 할 수 있다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템의 상기 경보는, 이메일 또는 SMS 방식으로 상기 관리자의 단말기로 전송되는 것을 특징으로 할 수 있다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템의 상기 복호화 건 수 임계치는, 복 수개의 단계로 이루어지는 것을 특징으로 할 수 있다.

본 발명에 따른, 암호화된 정보의 모니터링과 상기 암호화된 정보의 대량 복호화를 차단하기 위한 방법은, (a) 크립토 유닛에 의해 암호화된 정보를 복호화하는 단계; (b) 상기 크립토 유닛이 복호화 처리 건 수를 카운터가 카운팅하는 단계; (c) 상기 복호화 처리 건 수에 대한 정보를 수신하는 단계; (d) 상기 복호화 처리 건 수와 복호화 건 수 임계치를 비교하는 단계; (e) 상기 크립토 유닛이 수행한 복호화 처리 건수가 상기 복호화 건 수 임계치에 도달한 경우, 상기 크립토 유닛의 복호화 기능을 차단하는 단계를 포함하는 것을 특징으로 한다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 방법의 상기 (b) 단계는, 데이터베이스의 세션(session)을 기준으로 복호화 처리 건 수를 누적하여 카운팅하는 것을 특징으로 할 수 있다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 방법의 상기 (b) 단계는, 데이터베이스를 복호화하는 애플리케이션의 프로세서 혹은 스레드(thread) 별로 복호화 건수를 누적하여 카운팅하는 것을 특징으로 하는, 대량 복호화 차단을 위한 방법.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 방법의 상기 (b) 단계는, 복호화하를 요청하는 사용자의 ID, IP 어드레스, 애플리케이션 이름을 기준으로 복호화 건수를 누적하여 카운팅하는 것을 특징으로 할 수 있다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 방법의 상기 (b) 단계는, 시간당 복호화 건수를 카운팅하는 것을 특징으로 할 수 있다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 방법은, 상기 (e) 단계 후, 상기 복호화 처리 건 수가 상기 복호화 건 수 임계치에 도달하였음을 모니터링 서버로 전송하여 경보하는 단계를 더 포함하는 것을 특징으로 할 수 있다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 방법의 상기 경보는, 관리자의 단말기로 SMS 또는 이메일로 전송되는 것을 특징으로 할 수 있다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 방법의 상기 임계치는, 복수 개의 단계로 이루어지며, 상기 복수 개의 단계는 임의 설정 가능한 것을 특징으로 할 수 있다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 방법의 상기 복수 개의 단계는, 상이한 경보를 발생시키는 것을 특징으로 할 수 있다.

이상과 같은 구성의 본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템 및 그 방법은 다음과 같은 효과를 가진다.

첫째, 본 발명은 암호화된 데이터베이스 내.외부에서 이루어지는 암.복호화 처리 및 정책 위반으로 인한 암.복호화 차단 등의 암호화 모듈의 처리 상황을 실시간으로 모니터링할 수 있고 유출 추정 상황들에 대해 경보를 발령하고 관리자에게 이메일이나 SMS등으로 상황을 통지해 줌으로써 관리자로 하여금 신속하고 적절한 조치를 취할 수 있도록 한다.

둘째, 본 발명은 데이터베이스와 이에 대한 복호화에 대한 접근 권한을 가진 인가자가 복호화 할 수 있는 데이터 건수의 총량을 제어할 수 있어, 불순한 유출 시도를 근원적으로 차단할 수 있도록 하여, 지금까지 보안수단으로는 차단이 불가능 하다고 여겨졌던 SQL Injection 공격에 대해서도 효과적으로 대응할 수 있도록 한다.

본 발명의 효과는 이상에서 언급한 것들에 한정되지 않으며, 언급되지 아니한 다른 효과들은 아래의 기재로부터 당업자에게 명확하게 이해될 수 있을 것이다.

도 1은 본 발명의 바람직한 실시예에 따른, 각 구성들과 이들 구성의 상호 관계를 도시한 블록도이다.
도 2는 본 발명의 바람직한 실시예에 따라, 인가자에 의한 대량 복호화를 모니터링하며, 이에 대한 차단하는 절차를 도시한 순서도이다.
도 3은 본 발명의 일 구성 요소인 모니터링 서버의 모니터링 유닛이 취하고 있는 대쉬 보드 GUI의 일 실시예이다.

본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템 및 그 방법은 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는바, 특정 실시예들을 도면에 예시하고 상세한 설명에 상세하게 설명하고자 한다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 기술적 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다.

이하에서는 도면을 참조하여, 본 발명에 따른 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템 및 그 방법을 상세히 설명하고자 한다.

도 1에 도시된 바와 같이, 본 발명에 따른, 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 시스템은 AC 유닛(access control unit, 105); 크립토 유닛(crypto unit, 110); 카운터(counter, 120); 이벤트 로거(event logger, 130); 및 모니터링 서버(200)를 포함한다.

먼저, 상술한 구성들은 DB/애플리케이션 서버(100)의 하위 구성들로서, 이러한 DB/애플리케이션 서버(100)에 포함되는 것들이다.

DB/애플리케이션 서버(100)는 암호화된 데이터베이스(미도시)에 접근 권한을 가지고 있으며, 이는 모니터링 서버(200)와 별도로 분리된 서버(도 1 참조)일 수 있으며, 또 다른 예시적으로는 하나의 서버에서 개념적으로 분리된 기능을 수행하는 구성일 수도 있다. 도 1은 DB/애플리케이션 서버(100)와 모니터링 서버(200)가 물리적으로 구별되는 것으로 도시하였으나, 반드시 이러한 예시에 한정할 것은 아니며, 이들 기능에 초점을 맞추어 본 발명의 기술적 사상을 이해하여야 하며, 도 1의 실시예에 의해 본 발명의 권리 범위를 제한해서는 안된다.

AC 유닛(105)은 암호화된 정보 즉, 데이터베이스의 복호화 정보를 메모리하고 있는 구성이다.

이러한 복호화 정보는 관리자에 의해 임의 설정이 가능한 것인데, 구체적으로는, 복호화에 대한 인가 조건과 이러한 인가 조건 별로 복호화 건수에 대한 허용되는 임계치 정보를 포함하게 된다.

보다 구체적으로는, 인가 조건은 복호화를 요청하는 사용자(즉, 암호화된 데이터베이스에 접근 권한이 부여된 인가자)의 ID, 복호화를 요청하는 측의 IP 어드레스, 그리고 복호화를 요청하는 애플리케이션의 종류에 따라 상이하게 설정될 수 있다.

따라서, 인가 조건이 상술한 바에 따라, 사용자의 ID, IP 어드레스, 애플리케이션에 따라 상이한 바, 복호화 건수에 대한 임계치는 이들 사용자의 ID, IP 어드레스, 애플리케이션에 따라 상이할 수 있음은 당연하다.

상술한 복호화 건수 임계치는 복호화를 허용하게 되는 최대 건 수를 의미하는바, 단위 시간 당 몇 건으로 설정될 수도 있고, 누적적으로 그 복호화를 수행한 건 수로 설정될 수도 있다. 그리고 이러한 임계치는 하나의 단계로 설정될 수도 있으나, 그 복호화 건 수의 경중에 따라 상이하게 판단할 수 있는 것이므로, 임계치를 복 수개의 단계로 이루어질 수 있도록 할 수도 있다.

크립토 유닛(110)은 데이터베이스를 암·복호화하도록 수행하는 모듈이며, 복호화 수행시에는 상술한 바와 같은 AC 유닛(105)으로부터 복호화 정보를 참고하여, 암호화된 정보를 복호화 한다. 즉, 인가 조건에 따라, 그 복호화를 시도할 수 있는 것이다.

크립토 유닛(110)은 후술하게 되는 카운터(120)를 생성할 수 있으며, 카운터(120)에 복호화 처리 건수를 카운팅하도록 하고, 카운팅된 복호화 건 수에 대한 기록을 로딩할 수도 있다. 또한, 후술하게 되는 이벤트 로거(130)로 상기 복호화된 건수에 대한 정보를 저장하며 동시에, 이에 대한 정보를 모니터링 서버(200)로, 혹은 데몬 유닛(deamon unit, 101)을 매개하여 전송할 수도 있다.

카운터(120)는 크립토 유닛(110)이 수행하는 복호화 건수를 카운팅하는 구성이다. 크립토 유닛(110)은 복호화 건수의 카운팅을 위하여, 카운터(120)를 생성하게 되는데, 카운터(120)는 메모리(memory), 파일(file), DB 테이블 또는 원격지 서버 중 어느 하나에 해당할 수 있다.

카운터(120)는 복호화를 요청하는 애플리케이션의 프로세서(processor) 혹은 스레드(thread)를 기준으로 그 복호화 건수를 개별적으로 카운팅할 수 있다.

이벤트 로거(130)는 크립토 유닛(110)이 복호화한 건 수를 기록하는 구성이며, 동시에 크립토 유닛(110)이 수행한 복호화에 대한 포괄적인 정보를 담는 구성이다.

이벤트 로거(130)에는 크립토 유닛(110)이 복호화시에 일어난 모든 이벤트 즉, 복호화된 내용과 그 리스트 그리고 복호화율(오류율)에 대한 정보를 저장하며, 상술한 바와 같이 이들 정보는 모니터링 서버(200)로 전송된다.

크립토 유닛(110)은 복호화를 요청하는 사용자의 계정 정보, 복호화를 요청하는 사용자의 서버 명, 복호화를 요청하는 사용자의 IP 주소 및 복호화를 요청하는 사용자의 애플리케이션 명을 포함하는 일군으로부터 적어도 하나 이상을 상기 이벤트 로거에 기록하게 된다.

모니터링 서버(200)는 복호화된 처리 건 수에 대한 정보를 수신하여, 디스플레이하게 되는 구성이다.

도 1 및 3에 도시된 바와 같이, 모니터링 서버(200)는 데이터베이스(210); 및 모니터링 유닛(220)를 포함할 수 있다.

데이터베이스(210)는 상술한 바와 같은 암호화되고 복호화하기 위한 데이터베이스와는 개념적으로 상이한 것으로, DB/애플리케이션 서버(100)로부터 수신한, 복호화된 처리 건 수에 대한 정보를 저장하는 구성이다.

모니터링 유닛(220)은 상술한 바와 같은, 복호화 정보 즉, 복호화에 대한 인가 조건과 이들 인가 조건 별로 복호화 건수 임계치를 기록하고 있는 구성으로서, 크립토 유닛(110)이 수행하는 복호화 건 수와 상술한 복호화 건 수 임계치를 비교하여, 크립토 유닛(110)이 수행하는 복호화 건 수가 상술한 복호화 건 수 임계치에 도달하는 경우, 경보를 발생시키는 구성이다.

구체적으로 모니터링 유닛(220)은 이러한 경보 정보를 관리자의 단말기(유무선 포함)로 전송하게 되며, 이러한 전송의 방식은 이메일 혹은 SMS 등의 종류를 가리지 않는다.

모니터링 유닛(220)의 경우, 도 3에 도시된 바와 같이, 대쉬 보드의 GUI(graphical user interface)를 통해 관리자의 직관적 인식에 의한 감시가 이루어 질 수 있도록 구성할 수 있다.

도 3을 참고하면, "crypto event"는 특정 IP 등에서 과도한 복호화 시도를 실시간 확인할 수 있도록 하는 인터페이스이며, "crypto service"는 보안 정책이 OS의 shared memory에 정상적으로 적재되는지 여부를 모니터링할 수 있도록 하며, "access log"는 허가되지 않은 프로그램이나 비정상적인 IP의 불법적 암복화시도 여부를 나타내는 인터페이스이다.

이러한 정보는 문자 혹은 그래픽으로 가공되어, 관리자의 모바일 단말기 등으로 전송되거나 이메일로 전송될 수 있음은 상술한 바와 같다.

이하에서는 도 2를 참조하여, 본 발명에 따른, 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 방법을 시계열적 구성을 통해 설명하고자 한다.

먼저, 본 발명에 따른, 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 방법은 (a) 크립토 유닛에 의해 암호화된 정보를 복호화하는 단계; (b) 상기 크립토 유닛이 복호화 처리 건 수를 카운터가 카운팅하는 단계; (c) 상기 복호화 처리 건 수에 대한 정보를 수신하는 단계; (d) 상기 복호화 처리 건 수와 복호화 건 수 임계치를 비교하는 단계; (e) 상기 크립토 유닛이 수행한 복호화 처리 건수가 상기 복호화 건 수 임계치에 도달한 경우, 상기 크립토 유닛의 복호화 기능을 차단하는 단계를 포함하게 된다.

여기서, (b) 단계는, 데이터베이스의 세션(session)을 기준으로 복호화 처리 건 수를 누적하여 카운팅하게 된다.

또한, (b) 단계는, 데이터베이스를 복호화하는 애플리케이션의 프로세서 혹은 스레드(thread) 별로 복호화 건수를 누적하여 카운팅할 수도 있으며, 복호화하를 요청하는 사용자의 ID, IP 어드레스, 애플리케이션 이름을 기준으로 복호화 건수를 누적하여 카운팅할 수도 있다.

그리고, (b) 단계는, 시간당 복호화 건수를 카운팅도 가능하다.

본 발명에 따른, 암호화된 데이터베이스 모니터링과, 대량 복호화 차단을 위한 방법은 (e) 단계 후, 복호화 처리 건 수가 상기 복호화 건 수 임계치에 도달하였음을 모니터링 서버로 전송하여 경보하는 단계를 더 포함할 수 있다.

본 발명에서 언급하는 경보는 상술한 바와 같이, 관리자의 단말기로 SMS 또는 이메일로 전송되어, 관리자로 하여금 실시간 모니터링이 가능하도록 돕는다.

그리고 상술한 바와 같이, 언급된 임계치는 복수 개의 단계로 이루어지며, 상기 복수 개의 단계는 임의 설정 가능한 것이다. 이러한 임의 설정은 상술한 바와 같은, 모니터링 서버(200)에서 이루어지며, 이러한 정보는 상술한 AC 유닛(105)에서 기록된다.

그리고 이들 임계치의 복수 개의 단계는 상이한 경보를 발생시켜, 관리자로 하여금 복호화의 경중에 대한 판단이 가능하도록 돕는다.

본 명세서에서 사용되는 용어에서 단수의 표현은 문맥상 명백하게 다르게 해석되지 않는 한 복수의 표현을 포함하는 것으로 이해되어야 하고, "포함한다" 등의 용어는 설시된 특징, 개수, 단계, 동작, 구성요소, 부분품 또는 이들을 조합한 것이 존재함을 의미하는 것이지, 하나 또는 그 이상의 다른 특징들이나 개수, 단계 동작 구성요소, 부분품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 배제하지 않는 것으로 이해되어야 한다.

본 발명의 권리 범위는 특허청구범위에 기재된 사항에 의해 결정되며, 특허 청구범위에 사용된 괄호는 선택적 한정을 위해 기재된 것이 아니라, 명확한 구성요소를 위해 사용되었으며, 괄호 내의 기재도 필수적 구성요소로 해석되어야 한다.

100: DB/애플리케이션 서버
101: 제 1 데몬 유닛(deamon unit)
105: AC 유닛(access control unit)
110: 크립토 유닛(crypto unit)
120: 카운터(counter)
130: 이벤트 로거(event logger)
200: 통합 모니터링 서버
205: 제 2 데몬 유닛
210: 데이터베이스(database)
220: 모니터링 유닛

Claims

암호화된 정보의 모니터링과 상기 암호화된 정보의 대량 복호화를 차단하기 위한 시스템에 있어서,
복호화 정보를 메모리하는 AC 유닛(access control unit);
상기 AC 유닛으로부터 상기 복호화 정보를 참고하여, 암호화된 정보를 복호화하는 크립토 유닛(crypto unit);
상기 크립토 유닛이 복호화 처리하는 건 수를 카운팅하는 카운터(counter);
상기 카운터에서 카운팅된 상기 복호화 처리된 건 수를 저장하는 이벤트 로거(event logger); 및
상기 크립토 유닛으로부터 상기 복호화된 처리 건 수에 대한 정보를 수신하여, 디스플레이하는 모니터링 서버를 포함하되,
상기 복호화 정보는,
복호화에 대한 인가 조건과 상기 인가 조건별로 복호화 건수 임계치에 대한 정보를 포함하며,
상기 모니터링 서버는,
상기 크립토 유닛이 수행하는 복호화 건 수가 상기 복호화 건수 임계치에 도달하는 경우, 상기 크립토 유닛의 복호화 기능을 차단하며, 경보를 발생시키는 것을 특징으로 하는, 대량 복호화 차단을 위한 시스템.
제1항에 있어서, 상기 시스템은,
상기 이벤트 로거에 저장된 상기 복호화 처리된 건 수를 수신하여, 상기 모니터링 서버로 전송하는 데몬 유닛을 더 포함하는 것을 특징으로 하는, 대량 복호화 차단을 위한 시스템.
제1항에 있어서, 상기 카운터는,
메모리, 파일, DB 테이블 또는 원격지 서버 중 어느 하나에 해당하는 것을 특징으로 하는, 대량 복호화 차단을 위한 시스템.
삭제
제1항에 있어서, 상기 모니터링 서버는,
수신한 상기 복호화된 처리 건 수에 대한 정보를 저장하는 데이터베이스; 및
수신한 상기 복호화된 처리 건 수에 대한 정보를 대쉬 보드 GUI를 통해 디스플레이하는 모니터링 유닛을 포함하는 것을 특징으로 하는, 대량 복호화 차단을 위한 시스템.
제1항에 있어서, 상기 크립토 유닛은,
복호화를 요청하는 사용자의 계정 정보, 복호화를 요청하는 사용자의 서버 명, 복호화를 요청하는 사용자의 IP 주소 및 복호화를 요청하는 사용자의 애플리케이션 명을 포함하는 일군으로부터 적어도 하나 이상을 상기 이벤트 로거에 기록하는 것을 특징으로 하는, 대량 복호화 차단을 위한 시스템.
제1항에 있어서, 상기 인가 조건은,
상기 복호화를 요청하는 사용자의 ID, 상기 복호화를 요청하는 측의 IP 어드레스, 상기 복호화를 요청하는 애플리케이션의 종류에 따라 상이한 것을 특징으로 하는, 대량 복호화 차단을 위한 시스템.
제1항에 있어서, 상기 복호화 건수 임계치는,
단위 시간당 소정의 복호화 건 수에 해당하며, 상기 소정의 복호화 건 수는 임의 설정 가능한 것을 특징으로 하는, 대량 복호화 차단을 위한 시스템.
제1항에 있어서, 상기 카운터는,
암호화된 데이터의 세션(session)을 기준으로 복호화 처리하는 건 수를 카운팅하는 것을 특징으로 하는, 대량 복호화 차단을 위한 시스템.
제1항에 있어서, 상기 카운터는,
복호화를 요청하는 애플리케이션의 프로세서 혹은 스레드(thread)를 기준으로 복호화 처리하는 건수를 카운팅하는 것을 특징으로 하는, 대량 복호화 차단을 위한 시스템.
제1항에 있어서, 상기 모니터링 서버는,
상기 경보를 상기 모니터링 서버를 운영하는 관리자의 단말기로 전송하는 것을 특징으로 하는, 대량 복호화 차단을 위한 시스템.
제11항에 있어서, 상기 경보는,
이메일 또는 SMS 방식으로 상기 관리자의 단말기로 전송되는 것을 특징으로 하는, 대량 복호화 차단을 위한 시스템.
제1항에 있어서, 상기 복호화 건 수 임계치는,
복수 개의 값으로 이루어지는 것을 특징으로 하는, 대량 복호화 차단을 위한 시스템.
삭제
삭제
삭제
암호화된 정보의 모니터링과 상기 암호화된 정보의 대량 복호화를 차단하기 위한 방법에 있어서,
(a) 크립토 유닛에 의해 암호화된 정보를 복호화하는 단계;
(b) 상기 크립토 유닛이 복호화 처리 건 수를 카운터가 카운팅하는 단계;
(c) 상기 복호화 처리 건 수에 대한 정보를 수신하는 단계;
(d) 상기 복호화 처리 건 수와 복호화 건 수 임계치를 비교하는 단계;
(e) 상기 크립토 유닛이 수행한 복호화 처리 건수가 상기 복호화 건 수 임계치에 도달한 경우, 상기 크립토 유닛의 복호화 기능을 차단하는 단계를 포함하되,
상기 (b) 단계는,
복호화하를 요청하는 사용자의 ID, IP 어드레스, 애플리케이션 이름을 기준으로 복호화 건수를 누적하여 카운팅하는 것을 특징으로 하는, 대량 복호화 차단을 위한 방법.
암호화된 정보의 모니터링과 상기 암호화된 정보의 대량 복호화를 차단하기 위한 방법에 있어서,
(a) 크립토 유닛에 의해 암호화된 정보를 복호화하는 단계;
(b) 상기 크립토 유닛이 복호화 처리 건 수를 카운터가 카운팅하는 단계;
(c) 상기 복호화 처리 건 수에 대한 정보를 수신하는 단계;
(d) 상기 복호화 처리 건 수와 복호화 건 수 임계치를 비교하는 단계;
(e) 상기 크립토 유닛이 수행한 복호화 처리 건수가 상기 복호화 건 수 임계치에 도달한 경우, 상기 크립토 유닛의 복호화 기능을 차단하는 단계를 포함하되,
상기 (b) 단계는,
시간당 복호화 건수를 카운팅하는 것을 특징으로 하는, 대량 복호화 차단을 위한 방법.
암호화된 정보의 모니터링과 상기 암호화된 정보의 대량 복호화를 차단하기 위한 방법에 있어서,
(a) 크립토 유닛에 의해 암호화된 정보를 복호화하는 단계;
(b) 상기 크립토 유닛이 복호화 처리 건 수를 카운터가 카운팅하는 단계;
(c) 상기 복호화 처리 건 수에 대한 정보를 수신하는 단계;
(d) 상기 복호화 처리 건 수와 복호화 건 수 임계치를 비교하는 단계;
(e) 상기 크립토 유닛이 수행한 복호화 처리 건수가 상기 복호화 건 수 임계치에 도달한 경우, 상기 크립토 유닛의 복호화 기능을 차단하는 단계; 및
상기 복호화 처리 건 수가 상기 복호화 건 수 임계치에 도달하였음을 모니터링 서버로 전송하여 경보하는 단계를 포함하는 것을 특징으로 하는, 대량 복호화 차단을 위한 방법.
제19항에 있어서, 상기 경보는,
관리자의 단말기로 SMS 또는 이메일로 전송되는 것을 특징으로 하는, 대량 복호화 차단을 위한 방법.
암호화된 정보의 모니터링과 상기 암호화된 정보의 대량 복호화를 차단하기 위한 방법에 있어서,
(a) 크립토 유닛에 의해 암호화된 정보를 복호화하는 단계;
(b) 상기 크립토 유닛이 복호화 처리 건 수를 카운터가 카운팅하는 단계;
(c) 상기 복호화 처리 건 수에 대한 정보를 수신하는 단계;
(d) 상기 복호화 처리 건 수와 복호화 건 수 임계치를 비교하는 단계;
(e) 상기 크립토 유닛이 수행한 복호화 처리 건수가 상기 복호화 건 수 임계치에 도달한 경우, 상기 크립토 유닛의 복호화 기능을 차단하는 단계를 포함하되,
상기 임계치는,
복수 개의 값으로 이루어지며, 상기 복수 개의 값은 임의로 수정될 수 있는 것을 특징으로 하는, 대량 복호화 차단을 위한 방법.
제21항에 있어서, 상기 복수 개의 단계는,
상이한 경보를 발생시키는 것을 특징으로 하는, 대량 복호화 차단을 위한 방법.
제17항 내지 제19항 중 어느 한 항에 있어서, 상기 (b) 단계는,
데이터베이스의 세션(session)을 기준으로 복호화 처리 건 수를 누적하여 카운팅하는 것을 특징으로 하는, 대량 복호화 차단을 위한 방법.
제17항 내지 제19항 중 어느 한 항에 있어서, 상기 (b) 단계는,
데이터베이스를 복호화하는 애플리케이션의 프로세서 혹은 스레드(thread) 별로 복호화 건수를 누적하여 카운팅하는 것을 특징으로 하는, 대량 복호화 차단을 위한 방법.