An intrusion tolerant system (ITS) is a network security system composed of redundant virtual servers that are online only in a short time window, called exposure time. The virtual servers are periodically recovered to their clean state, and any infected servers are refreshed again, so attackers have insufficient time to succeed in breaking into the servers. However, there is a conflicting interest in determining exposure time, short for security and long for performance. In other words, the short exposure time can increase security but requires more virtual servers to run to process incoming requests in a timely manner. In this dissertation, we propose an ITS incorporated in SDN (Software Defined Networking), which can reduce exposure time without consuming more computing resources. In the proposed system, there are two types of servers: some servers with long exposure time (White server) and others with short exposure time (Gray server). Then, the proposed system classifies incoming network traffic into benign and suspicious types with the help of SDN/NFV (Network Function Virtualization) technology that also allows dynamically forwarding the classified traffic to White and Gray servers, respectively. By reducing exposure time of a set of servers, the proposed system can decrease exposure time on average.
침입 감내 시스템은 어떤 시스템에 공격 또는 침입과 같은 보안상의 위협이 발생한다 하더라도, 그 위협으로 인한 피해를 최소화하여 시스템의 보안성을 높이는 동시에 시스템의 생존성을 극대화하는 네트워크 보안 시스템이다. 침입 감내 시스템은 최근들어 노출 시간이라고 부르는 매우 짧은 시간 동안에만 온라인 상태를 유지하는 복수의 가상 머신 서버들로 구성되어, 시스템의 구성요소들이 외부에 노출되는 시간을 줄임으로써 시스템에 발생할 수 있는 보안 상의 위협을 줄이는 방향으로 발전해오고 있다. 이러한 전략의 이점은 공격자들이 해당 시스템에 대한 원격 연결을 유지하기가 어려워지므로, 결과적으로 공격 대상이 되는 시스템에 침입하기가 매우 어렵게 된다. 그러나 이러한 노출 시간을 정해는 데 있어서 이익의 상충이 발생하는데, 이는 높은 보안 성능을 위해서는 짧은 노출 시간을 선택해야 하고, 반대로 일반 성능을 높이기 위해서는 긴 노출 시간을 선택해야하기 때문이다. 즉, 짧은 노출 시간은 보안성을 향상시키지만, 동시에 짧은 노출 시간을 유지하려면 제때에 네트워크 요청을 처리하기 위해 많은 수의 가상 머신 서버를 운영해야 한다. 이러한 문제를 해결하기 위해서, 본 연구에서는 더 많은 수의 가상 서버를 사용하지 않으면서도 노출 시간을 줄일 수 있는 소프트웨어 정의 네트워킹 기술 기반의 침입 감내 시스템을 제안한다. 제안하는 시스템은 두 종류의 서버들로 구성되는데, 하나는 긴 노출 시간을 갖는 서버들이고 다른 하나는 짧은 노출 시간을 갖는 서버들이다. 제안하는 시스템은 유입되는 요청들을 정상 유형과 의심 유형으로 구분하고, 구분된 두 유형의 요청들을 각각 다른 유형의 서버들로 동적으로 전달할 수 있는 SDN/NFV 기술을 활용한다. 이 기술들은 긴 노출 시간을 갖는 서버들은 정상 유형의 요청을 처리하게 하고, 짧은 노출 시간을 갖는 서버들은 의심되는 요청을 처리하게 한다. 이처럼 시스템의 전체 가상 서버중 일부 서버의 노출 시간을 줄임으로써, 본 연구는 전체 시스템에 대하여 평균적으로 더 짧은 노출 시간을 갖도록 하며, 결과적으로 더 높은 수준의 보안 성능을 갖게 된다.
