IndexFiguresTables |
Chan-woo Lee♦ , Yeong-jae Kim* , Yong-gwon Lee* , Oh-min Kwon° , Seung-hoon Lee** and Jae-jung Yun*A Synchronization via Centrality Analysis of Battery Systems with Input DelayAbstract: In this paper, synchronization controller design via centrality analysis of electrically connected battery systems with input delay is studied. By utilizing Lyapunov-Krasovskii functionals (LKF), centrality analysis method, some useful lemmas and mathematical facts, a synchronization criterion is derived in terms of linear matrix inequalities (LMIs) and the synchronization controller gain is obtained through the feasible solution of the established LMIs. For analyzing effectiveness of the proposed result, a set of battery systems equivalent circuit numerical example is applied, resultswith orwithout centrality analysisutilization are compared. Keywords: Synchronization , Lyapunov-Krasovski Functionals , Battery system , Time-delay , Linear Matrix Inequality 이찬우♦, 이용권*, 김영재*, 권오민°, 이승훈**, 윤재중*입력 지연을 갖는 배터리 시스템의 중심성 분석을 활용한 동기화 연구요 약: 본 논문에서는 입력 지연을 갖는 전기적으로 연결된 배터리 시스템의 중심성 분석을 활용한 동기화 제어기 설계가 연구되었다. 리아프노프-크라소프스키 함수(Lyapunov-Krasovskii functionals), 중심성 분석 방법, 몇 가지 보조정리와 수학적인 사실들을 이용하여, 시스템의 동기화를 위한 선형 행렬 부등식의 형태로 조건을 도출하며, 동기화 제어기 이득을 구한다. 얻어진 결과의 유효성 분석을 위해서 배터리 시스템 등가회로 수치 예제에 적용하고, 중심성 분석 활용 유무에 따른 결과를 비교하였다. 키워드: 동기화, 리아프노프-크라소프스키 함수법, 배터리 시스템, 시간 지연, 선형 행렬 부등식 Ⅰ. 서 론인터넷 환경에서 외부의 공격을 차단하기 위해 개별적인 목적에 맞는 보안장비들이 사용되고 있다. 그림 1의 Anti DDoS(Distributed Denial of Service), IP(Internet Protocol)/Port 차단을 위한 방화벽(Firewall), 침입 탐지 방지 목적의 IPS(Intursion Prevention System), 웹 어플리케이션 공격 차단용 WAF(Web Application Firewall)로 구분된다. 대부분의 대형 인터넷 서비스 인프라 환경에서 보안장비의 구성은 DDoS, 방화벽, IPS ,WAF로 구성되며 장비별 방어 특성으로 공격을 차단한다. IPS/WAF와 같은 보안장비는 OSI(Open Systems Interconnection Reference Model) Layer 7(Application) 보안장비로 활용되며, 공격이 발생하는 경우 IPS나 WAF에서 Layer 7 필터링이 진행되고, 보안관리자는 필터링되는 정보를 모니터링 확인하여 Layer 4(Transport) 및 Layer 3(Network)에서 원천 차단하기 위해 방화벽에 차단 설정하여 내부망인 방화벽과 IPS/WAF 사이에 부하와 보안 위협 개선 활동을 수행한다. 근래의 보안 공격들은 복잡하고 동적으로 진행된다. 특히 NAT(Network Address Translation) 환경에서 공격 IP와 Port 변호가 실시간으로 변경되는 경우 보안 관리자가 변경 전 정보를 찾아 방화벽에 차단룰을 설정하는 것은 현실적으로 불가능하다. 또한 보안장비 협업하여 정보를 취합하여 대응에도 시간이 소요된다. 보안장비 차단 및 이벤트 정보를 통합적으로 관제[3]하기 위해 개발된 SIEM(Secuirty Information and event Manager) 또는 ESM(Enterprise Security Management)을 사용하기도 하지만 이 역시 관리자가 정보를 확인하여 방화벽에 룰을 설정하는 수동적인 방법을 수행하여 IPS/WAF까지의 내부 네트워크에 공격 트래픽에 의한 병목 현상과 보안위협을 실시간으로 적용하기 어려운 실정이다. 본 논문에서는 Layer 7 공격 트래픽이 NAT에서 IP와 Port 정보가 변경되고 내부망 IPS에서 차단되는 환경으로 차단 정보와 NAT 세션 정보를 실시간으로 수집하여 공격자 정보를 복원하고, Layer 3 방화벽에 실시간 자동 차단룰을 설정하여 내부망 네트워크에 발생하는 부하현상 및 보안 위협을 개선하는 시스템을 제시하고 개발하여 검증함에 목적이 있다. Ⅱ. 기존 연구 및 제안 시스템2.1 기존 연구 및 제안 시스템 적용기법기존의 연구는 보안장비의 차단 및 이벤트 정보를 통합관제하여 보안 탐지 및 보안대응 업무 개선을 위한 내용이 주류를 이루고 있으며 차단 로그를 수집하여 불필요한 중복제거 위험도 자동 분류 비정상 통신을 연구하거나[1], 보안 강화를 위해 필요한 상시적인 업무의 반복적 대응 자동화에 중점을 두고 있으나[2], 본 연구는 Layer 7 보안장비에서 차단된 정보와 Layer 4의 NAT IP와 Port의 원본 정보를 분석하여 Layer 3 방화벽에 자동으로 차단룰을 설정하는 시스템으로 기존 연구와 차별성이 있다. 제안 시스템은 Layer 4 NAT 장비에서 변환되기 전/후의 TCP 서비스의 IP와 Port 정보를 수집하고, IPS 장비의 차단 로그를 수집 분석하여 IP와 Port 정보를 생성한다. NAT 장비에서 수집된 변환된 IP와 Port 정보를 Layer 7 IPS 차단 IP와 Port 정보를 대조하여 NAT에서 변경되기 전의 공격 IP와 Port 정보를 복원하여 네트워크 Layer 3 방화벽에 실시간으로 차단 정책을 적용하는 Layer 연계 시스템으로 본 논문에서 Orchestration 시스템으로 가칭한다. 2.2 제안 시스템 실험 구성실험 시스템은 구성의 단순화를 위해 WAF를 제외하고 공격성 User-Agnet를 분석하여 HTTP 요청을 차단하는 장비를 ㉥IPS로 한정하여 IPS에서 차단되는 정보를 수집하는 구성 하고 내부 네트워크 구간 병목 및 보안위협 개선을 위한 보안장비 연계 자동적용 ⒷOrchestration 프로그램을 개발하였다. 그림 3 및 표 3의 구성과 같이 본 실험을 위한 VM 구성용 ●호스트 서버에 정상 사용자 및 공격 트래픽 발생을 위해 JMeter[4]를 이용한여 ㉠일반 사용자는 User-Agent 정보를 Mozilla/5.0으로 VM을 구성하고, ㉡공격 사용자는 User-Agent를 Attack로 설정하여 부하 발생을 위한 VM으로 구성된다. 정상 사용자 트래픽은 JMeter 40Thread Ramp-Up 1Sec 주기로 동작하도록 설정 하고, 공격 트래픽은 JMeter 80Thread Ramp-Up 1Sec 주기로 정상 대비 공격 사용자 Thread 를 두배로 설정한다. IPS 차단 및 NAT 세션 정보를수집하여 Firewall에 차단 정책을 적용하는 보안장비 구성 및 ⒷOrchestration 프로그램이 포함된 호스트 서버는 4개의 물리 ㉣Bridge Adapter로 구성되고 ㉢Firewall VM은 두 개의 가상 NIC를 Bridge 구성하여 nftables 설정으로 방화벽 차단 기능을 수행한다. ㉤NAT Gateway VM은 두 개의 가상 NIC에 192.168.20.0/24 와 192.168.40.0/24 네트워크를 구성하고 iptables postrouting maquerade 설정으로 192.168.20.0/24 네트워크에서 발생하는 HTTP Web 요청 트래픽을 192.168.40.1 IP로 변환한다. NAT 세션 변환 전/후 정보는 conntrack[7]을 이용하여 실시간 업데이트 정보를 수집하는 구성이다. ㉥IPS VM은 두 개의 가상 NIC에 snort inline으로 구성되며 User-Agent가 Attack로 발생한 트래픽을 차단하는 설정은 “drop tcp any any → any any (msg: “MALWARE User Agent”; flow:to_server,established; content:“Attack”; http_header; classtype:trojan-activity; sid:1000002;)”이며, 두 개의 가상 NIC에 패킷을 수집하여 차단된 트래픽 IP/Port 정보는 ⒷOrchestration 프로그램이 snort log에서 수집한다. ㉦Web Server VM은 192,168.40.50:3000으로 구성된 서비스이다. ⒷOrchestration 프로그램은 ㉥IPS VM에서 차단된 공격 트래픽 사용자 정보를 수집하고, NAT Gateway VM에서 수집된 NAT 세션 정보와 매핑하여 원천 사용자 공격 IP/Port 정보를 분석하여. 방화벽에 자동으로 차단 설정을 하여 Firewall과 IPS 사이에서 구간 부하 및 공격 트래픽을 차단하는 기능으로 구성되어 있다. 그림 4 및 표 1에서 Orchestration 소프트웨어 프로그램은 NAT Session Table을 생성 초기화하고, conntrack 로그를 수집 분석하는 Thread_01과 Snort IPS 차단 로그를 수집 분석하는 Thread_02를 실행시키는 Main Thread로 구성되어 있다. Thread_01은 NAT Session Table 추적에 사용되는 conntrack 로그정보를 수집하고 “[NEW]” 패턴 정보가 확인되면 신규 세션으로 판단하여 NAT Session Table에서 기존 정보가 존재하는지 확인하여 없는 경우 신규 테이블로 Insert한다. “[NEW]” 패턴이 아닌 경우 NAT Session Table에서 기존 정보가 존재하는지 확인하여 있는 경우 Update한다. Thread_02에서 Layer 7 IPS 차단 정보 수집을 위해 Snort IPS 로그에서 수집된 차단정보가 NAT Session Table에서 확인되면 Layer 3 방화벽에 nftables로 차단룰을 설정하고 세션 정보를 Delete한다. 본 논문에서는 NAT 환경에서 L7 공격에 대한 IPS 장비의 공격 차단에도 내부 네트워크 부하가 존재함을 실험으로 증명하고 IPS차단 대비 IPS/NAT/Firewall을 이용한 제안 시스템의 부하 감소 및 정상 부하의 개선비율을 직관적으로 확인하기 위해 JMeter를 이용하여 정상 부하는 40Thread, 공격 부하는 80Thread로 정상 대비 공격을 2배 비율로 실험하는 설정을 하였다. 표(Table) 1. Orchestration 프로그램 의사코드 (Orchestartion Program Sudo Code)
표(Table) 2. JMeter 부하 발생 및 공격 트래픽 (JMter Load Generation and Attack Traffi)
표(Table) 3. 실험 시스템의 설정 및 기능 (Experimental System Configuration&Function)
Ⅲ. 실 험표 4 ➊단계에서 정상 HTTP와 공격 HTTP 요청이 동시에 발생하고 있는 단계이며, 공격 HTTP 부하가 발생하고 HTTP Layer 7 User-Agent 정보가 Attack인 공격 요청을 IPS에서 차단 되기 전 단계이다. 그림 5 / 그림 6 / 그림 7 / 그림 8의 ➊단계에서 정상 HTTP 요청과 공격 HTTP 요청에 WEB Server가 응답하고 있으며 트래픽이 일정하고 유지되고 있다. 표(Table) 4. 실험 단계별 정상 및 공격 트래픽 결과 (Normal and Attack traffic results by Experimental phase)
그림 5 / 그림 6 / 그림 7 / 그림 8의 ➋단계에서 HTTP Header의 Layer 7 User-Agent Attack 정보를 차단하는 정책이 적용되어 공격 HTTP 요청이 필터링 되는 단계로 ➊→➋에서 정상 HTTP Packet Count가 약 50% 향상되었으며 IPS가 정상적으로 동작함을 확인 할 수 있지만 공격 HTTP Packet Count는 약 35%만 감소함을 확인 할 수 있다. 그림 5 / 그림 6 / 그림 7 / 그림 8의 ➋단계에서 정상 HTTP Packet Count는 약 6,000에서 14,000까지 일정하지 않으며 이러한 결과는 User-Agent가 Attack으로 확인된 Layer 7 Packet만 차단되어 외부 유입 공격은 여전히 내부 구간에 ➊단계 대비 약 65% 비율로 부하를 발생시킨다. ➌단계에서 IPS에서 차단된 정보를 활용하여 방화벽 정책에 적용하기 위해서는 NAT Gateway에 의해 공격 HTTP 요청의 IP정보가 192.168.40.1 단일 IP로 변경되어 방화벽 차단 정책에 적용하지 못하는 문제를 표 5와 같이 NAT Gateway의 수집된 Connection Tracking Session 정보로 공격자 원천 IP/Port 정보를 찾아 방화벽 차단 정책이 적용되었으며 ➌단계는 ➊단계 대비 공격 HTTP Packet Count가 100% 차단되고 정상 HTTP Packet Count가 초당 평균적으로 4,811→14,111로 9,300개 증가하여 그림 9 및 그림 10에서 IPS & NAT & Firewall 연계 차단으로 부하가 개선됨을 확인하였다. 표(Table) 5. NAT 세션 테이블(데이터 일부) (NAT Session Table(Part of Dat))
Ⅳ. 결 론본 논문에서는 Layer 7 공격 트래픽이 내부 구간의 IPS에서 차단 가능하지만 원천 차단되지 못하고, 내부 네트워크 구간에서 발생하는 부하 현상과 보안 위협을 개선하고자 공격 IP/Port가 NAT에 의해 변경되어 원천 공격 정보를 운영자가 차단하기 어려운 환경에서 운영자의 개입 없이 Layer 7 IPS, Layer 4 NAT Session Table, Layer 3 방화벽을 연계하여 공격 차단을 설정하는 시스템을 개발하고 실험하여 내부 네트워크 부하가와 보안 위협이 개선됨을 확인하였다. 본 논문에서는 VM을 이용한 실험 환경으로 구성하였으나 고부하 테스트가 가능한 별도로 분리된 장비의 물리적 구성 및 네트워크 장비의 ACL(Access Control List) 정보, Layer 7 웹 크롤링 정보 등의 다양한 데이터를 수집 연동하여 네트워크 세그먼트 단위 및 구간별 차단이 가능한 통합 차단 시스템으로 발전시키고자 하며, 제안 시스템에서 적용된 NAT Session Table 정보 취득 방법은 iptables conntrack를 이용하여 메모리와 CPU가 사용되어 오버헤드가 발생한다. 향후 실험에서는 물리적 상용 네트워크 장비 및 SNMP(Simple Network Management Protocol)를 이용한 환경을 구성하여 NAT Session Table 정보 취득 시 제안 시스템 구성에서 발생 가능한 오버헤드를 비교하고 최소화 가능한 시스템으로 적용하고자 한다. BiographyBiographyBiographyBiographyBiographyBiographyReferences
|
StatisticsCite this articleIEEE StyleC. Lee, Y. Kim, Y. Lee, O. Kwon, S. Lee, J. Yun, "A Synchronization via Centrality Analysis of Battery Systems with Input Delay," The Journal of Korean Institute of Communications and Information Sciences, vol. 49, no. 9, pp. 1319-1329, 2024. DOI: 10.7840/kics.2024.49.9.1319.
ACM Style Chan-woo Lee, Yeong-jae Kim, Yong-gwon Lee, Oh-min Kwon, Seung-hoon Lee, and Jae-jung Yun. 2024. A Synchronization via Centrality Analysis of Battery Systems with Input Delay. The Journal of Korean Institute of Communications and Information Sciences, 49, 9, (2024), 1319-1329. DOI: 10.7840/kics.2024.49.9.1319.
KICS Style Chan-woo Lee, Yeong-jae Kim, Yong-gwon Lee, Oh-min Kwon, Seung-hoon Lee, Jae-jung Yun, "A Synchronization via Centrality Analysis of Battery Systems with Input Delay," The Journal of Korean Institute of Communications and Information Sciences, vol. 49, no. 9, pp. 1319-1329, 9. 2024. (https://doi.org/10.7840/kics.2024.49.9.1319)
|