11( ) CPLV15-18.hwp

Size: px

Start display at page:

Download "11(506-511) CPLV15-18.hwp"

상종 탄
7 years ago
Views:

1 ISSN (Print) / ISSN (Online) KIISE Transactions on Computing Practices, Vol. 21, No. 7, pp , 입출력 가상화 기반 가상 데스크탑 서비스를 이용한 물리적 네트워크 망분리 시스템 설계 및 구현 (Design and Implementation of a Physical Network Separation System using Virtual Desktop Service based on I/O Virtualization) 김 선 욱 김 성 운 김 학 영 정 성 권 이 숙 영 (Sunwook Kim) (Seongwoon Kim) (Hakyoung Kim) (Seongkwon Chung) (Sookyoung Lee) 요 약 입출력 가상화는 하나의 물리적 입출력 장치를 하나 이상의 가상 데스크탑들이 공유해서 사용 할 수 있도록 하는 기술로서 일반적으로 가상화 소프트웨어가 소프트웨어적으로 에뮬레이션하여 제공하는 가상 I/O 장치들을 가상 데스크탑에서 사용한다. 소프트웨어 에뮬레이션 기반 I/O 장치들을 사용하는 가 상 데스크탑들은 성능이 떨어지고 고사양의 응용 프로그램을 지원할 수 없는 문제점을 가지고 있다. 본 논문에서는 이러한 서비스의 품질 및 성능 저하를 극복하기 위해 PCI기반 하드웨어 직접 할당기술을 이용 한 망분리 가상 데스크탑 시스템을 제안한다. 제안하는 시스템은 하나의 물리적 데스크탑 컴퓨터에 서버 가상화 기술을 이용하여 사용자에게 인터넷 등의 외부망과 인트라넷 등의 업무망 접속을 위한 독립적인 데스크탑을 제공한다. 이를 통해 물리적 망분리를 위한 별도의 데스크탑 설치 및 논리적 망분리를 위한 네트워크 패킷의 검사에 따른 성능의 저하 없이 가상 데스크탑 서비스를 이용한 물리적 네트워크 망분리 시스템을 제공한다. 키워드: 서버 가상화, 입출력 가상화, PCI Passthrough, 망분리 시스템, 가상 데스크탑, VDI, Hypervisor, 물리적 망분리 Abstract IOV is a technology that supports one or more virtual desktops, and can share a single physical device. In general, the virtual desktop uses the virtual IO devices which are provided by virtualization SW, using SW emulation technology. Virtual desktops that use the IO devices based on SW emulation have a problem in which service quality and performance are declining. Also, they cannot support the high-end application operations such as 3D-based CAD and game applications. In 이 논문은 2015년도 정부(미래창조과학부)의 재원으로 정보통신진흥센터의 지 원을 받아 수행된 연구임(No , 서버당 100Gbps급 I/O로 적응형 클라 우드 서비스를 백만 사용자에게 제공하는 빅 가상 플랫폼 인프라 기술 개발) 이 논문은 제41회 동계학술발표회에서 IOV 기반 가상 데스크탑 서비스를 이용한 물리적 네트워크 망분리 시스템 설계 및 구현 의 제목으로 발표된 논 문을 확장한 것임 정 회 원 : 한국전자통신연구원 서버플랫폼연구실(ETRI) swkim99@etri.re.kr (Corresponding author임) 종신회원 : 한국전자통신연구원 서버플랫폼연구실 ksw@etri.re.kr h0kim@etri.re.kr 비 회 원 : (주)컴트리 sk.jung@comtree.kr ceo@comtree.kr 논문접수 : 2015년 3월 24일 (Received 24 March 2015) 논문수정 : 2015년 4월 28일 (Revised 28 April 2015) 심사완료 : 2015년 5월 10일 (Accepted 10 May 2015) CopyrightC2015 한국정보과학회ː개인 목적이나 교육 목적인 경우, 이 저작물 의 전체 또는 일부에 대한 복사본 혹은 디지털 사본의 제작을 허가합니다. 이 때, 사본은 상업적 수단으로 사용할 수 없으며 첫 페이지에 본 문구와 출처를 반드시 명시해야 합니다. 이 외의 목적으로 복제, 배포, 출판, 전송 등 모든 유형의 사용행위 를 하는 경우에 대하여는 사전에 허가를 얻고 비용을 지불해야 합니다. 정보과학회 컴퓨팅의 실제 논문지 제21권 제7호( )

http://dx.doi.org/10.5626/ktcp.2015.21.7.

2 입출력 가상화 기반 가상 데스크탑 서비스를 이용한 물리적 네트워크 망분리 시스템 설계 및 구현 507 this paper, we propose a physical network separation system using Virtual Desktop Service based on HW direct assignments to overcome these problems. The proposed system provides independent desktops that are used to access the intranet or internet using server virtualization technology in a physical desktop computer for the user. In addition, this system can also support a network separation without network performance degradation caused by inspection of the network packet for logical network separations and additional installations of the desktop for physical network separations. Keywords: server virtualization, IO virtualization, PCI passthrough, network separation system, virtual desktop, VDI, hypervisor, physical network separation 1. 서 론 최근 컴퓨터 기술의 발달 및 네트워크 속도의 증가로 인해 컴퓨터 및 인터넷 기반 네트워크 사용이 급증하고 있으며 특히 공공기관이나 회사에서도 원활한 업무 수 행을 위해 업무망 뿐만 아니라 인터넷 등의 외부망을 활발히 사용하고 있다. 위와 같이 인터넷 등의 외부 공격에 쉽게 노출될 수 있는 외부망이 광범위하게 이용됨에 따라 인터넷을 사 용하는 모든 곳에서의 고민 사항은 정보 보호이다. 어떻 게 하면 자신의 자료를 외부에 노출시키지 않고 인터넷 의 공용 망을 사용하여 업무의 효율성을 증대시키는가 하는 문제이다. 또한 자신의 자료를 보호 하고자 하는 사용자에 반하여 이를 해킹 하고자 하는 사용자도 있기 때문에 정보 보호의 중요성이 대두 되고 있다. 이를 위 해 공공기관이나 회사등에서는 파이어월을 설치하여 운 용하고 있으나 이는 파이어월을 우회하여 침투되는 접 근에 대해서는 침투를 방지할 수 없는 등 외부의 의도 적인 공격으로부터 완벽하게 내부의 중요 정보를 차단 시키지는 못하고 있다. 이에 따라, 최근에는 업무망과 인터넷망을 분리하여 외 부로터의 칩입을 막고 내부 정보의 유출을 방지하는 것 을 목적으로 하는 망분리 기술이 도입되고 있다. 망분리 는 인터넷과 인트라넷을 분리하여, 외부 인터넷 접속 PC 가 악성코드에 감염되더라도, 내부 인트라넷 시스템으로 의 해킹 시도를 원천적으로 막을 수 있는 방안이다[1]. 인터넷망과 업무망을 분리하는 망분리 방식은 크게 물리적 망분리와 논리적 망분리로 나눌 수 있다. 물리적 망분리는 업무용과는 별도로 인터넷망을 위한 네트워크 를 가설하고 인터넷 접속용 PC도 물리적으로 분리되어 사용하는 방식을 일컫는다. 논리적 망분리는 실제 네트 워크는 물리적으로 구분되어 있지 않지만, 가상화 기술 등을 사용하여 업무용망과 인터넷망이 분리되어 있는 효과를 동일하게 볼 수 있도록 구현하는 방식이다. 물리적 망분리는 비용과 업무 효율성은 다소 떨어지 지만 보안에 대한 가시성이 높은 방식으로 망분리 초기 에 가장 먼저 도입된 방식이다. 물리적 망분리는 크게 2 대 PC방식, 망분리 전환 장치 이용방식, 멀티 PC 방식 이 있다. 논리적 망분리는 실제로는 존재하지 않는 가상 의 망을 구축해야 하기 때문에 다양한 가상화 기술 및 보안 기술을 사용한다. 논리적 망분리 방식으로는 크게 서버 기반 가상화와 PC 기반 가상화 방식이 있다. 그러나, 위와 같은 종래 망분리 기술들은 1인당 2대 PC 지급으로 인한 비용의 증가 및 업무 공간의 협소화, 발열 등의 문제가 발생하며 여러 명의 사용자가 한 대 의 서버에 접속해서 사용함으로 인한 사용 편의성 및 성능 저하, 이를 해결하기 위한 대량의 퍼포먼스 처리 능력이 필요하다는 문제점을 가지고 있다. 이에 본 논문에서는 하나의 물리적 데스크탑 컴퓨터 에 두 개 이상의 독립적인 데스크탑 사용을 가능케 하 는 서버 가상화 기반 가상 데스크탑 서비스를 이용한 물리적 망분리 시스템 및 방법을 제안한다. 제안하는 시 스템은 사용자에게 인터넷(internet)등의 외부망과 인트 라넷(intranet) 등의 업무망 접속을 위한 독립적인 데스 크탑을 제공함으로써 망분리를 위한 별도의 데스크탑 설치 및 네트워크 패킷의 검사에 따른 네트워크 성능의 저하 없이 망분리 환경을 제공한다. 2. 배경 연구 입출력 가상화(IOV : IO Virtualization)는 하나의 물 리적 입출력 장치를 하나 이상의 가상 머신(Virtual Machine)들이 공유해서 사용할 수 있도록 하는 기술로 서 전 가상화 기반의 윈도우즈 운영체제를 지원하는 HVM(Hardware Virtual Machine)[2]은 에뮬레이션된 가상 하드웨어 장치를 사용한다. 가상 머신의 하드웨어 장치에 접근하려는 I/O 요청은 소프트웨어로 모델링된 가상 하드웨어 장치로 전달되고, 특권 가상 머신에 설치 된 드라이버 모듈(실제 장치에 접근할 수 있는 S/W 모 듈)을 통해 해당 I/O 요청들이 처리된다. 만일 가상 머 신들의 I/O 데이터가 집중되게 되면 하이퍼바이저의 스 케쥴링 및 SW 에뮬레이션 기반 하드웨어 장치의 부하 가 증가하게 되어 모든 가상 머신의 I/O 반응 속도 저 하를 초래할 수 있다. 이러한 서비스의 품질 및 성능 저하를 극복하기 위해 PCI기반 하드웨어 직접 할당(Passthrough) 기술[3] 및

In addition, this system can also support a network separation without network performance degradation caused by inspection of the network packet for logical network separations and additional

508 정보과학회 컴퓨팅의 실제 논문지 제 21 권 제 7 호(2015. 7) 그림 1 입출력 가상화 기반 가상 플랫폼 구조 Fig. 1 Architecture of a Virtual Platform based on IOV SR-IOV(Single Root-I/O Virtualization) 기술들이 사 용되고 있다.

1 선점된 물리적 자원의 가상 머신 접근 기능 서버 가상화 환경에서 각 가상 머신은 메모리 가상화 를 통해 자신의 독립적인 가상 주소 공간을 사용하게 된다. 가상 주소를 사용하는 가상 머신과 물리적 장치의 1:1 연결을 위해서는 인텔의 VT-D[4] 또는 AMD의 IOMMU 기술을 사용한다.

3 508 정보과학회 컴퓨팅의 실제 논문지 제 21 권 제 7 호( ) 그림 1 입출력 가상화 기반 가상 플랫폼 구조 Fig. 1 Architecture of a Virtual Platform based on IOV SR-IOV(Single Root-I/O Virtualization) 기술들이 사 용되고 있다. 그림 1은 입출력 가상화 기반의 플랫폼 가 상화 지원 시스템의 구조이다. 본 논문의 기반이 되는 하드웨어 직접 할당 기술은 각각의 플랫폼, 즉 가상 머신에게 물리적 자원을 직접 할당하는 기능이다. 이를 지원하기 위해서는 해당 물리 적 하드웨어 장치의 가상 머신 접근 기능 및 해당 장치 의 선점 기능을 제공해야 한다. 2.1 선점된 물리적 자원의 가상 머신 접근 기능 서버 가상화 환경에서 각 가상 머신은 메모리 가상화 를 통해 자신의 독립적인 가상 주소 공간을 사용하게 된다. 가상 주소를 사용하는 가상 머신과 물리적 장치의 1:1 연결을 위해서는 인텔의 VT-D[4] 또는 AMD의 IOMMU 기술을 사용한다. 해당 기술은 물리 장치의 고 유 메모리 주소를 가상 머신이 직접 접근할 수 있도록 DMA(Direct Memory Access) 메모리 주소 값을 변환 및 관리해주는 기술이다. 2.2 고사양 응용 프로그램 지원을 위한 물리적 자원 선점 기능 가상 데스크탑의 물리적 망분리 및 고사양 응용 프로그 램 지원을 위한 물리적 자원 선점 기능은 pciback 커널 모듈을 통해 지원 된다. pciback 커널 모듈은 특권 가상 머신에서 선점하고 있는 물리적 하드웨어 자원의 연결 패 스를 제거하여 물리적 망분리 서비스를 위한 가상 머신에 게 물리적 장치를 연결 시켜주는 기능을 제공한다. 그림 2는 물리적 자원 선점 기능을 제공하는 pciback 커 널 모듈 기반 하드웨어 직접 할당(PCI Passthrough)[5] 설정 구조를 보여준다. 2.3 펌웨어 연동 하드웨어 장치의 직접 할당 일반적인 PCI 장치인 네트워크 인터페이스 장치와 USB 호스트 장치와 달리 그래픽 장치는 하드웨어적으 로 복잡한 구조를 가지고 있기 때문에 일반적인 PCI 장 치의 직접 할당 설정에 추가 설정이 요구된다[6,7]. 하이퍼바이져에 의한 가상 그래픽 장치의 구동 방법 은 일반 데스크탑의 그래픽 장치 구동 방법과 유사하지 만 가상 그래픽 장치의 펌웨어를 가상 머신의 바이오스 영역에 복사하고, 해당 인터페이스를 통해 다수 대의 가 상 머신 그래픽 처리를 위한 명령을 수신한다는 것이 차이점이다. 이로 인해 해당 가상 머신에서는 가상 그래 픽 장치의 전용 드라이버를 설치할 수 없으며 DirectX 기반의 CAD 및 게임과 같은 고사양 그래픽 웅용 프로 그램을 지원할 수 없다는 단점을 가지고 있다. 위와 같이 가상 그래픽 장치 기반의 가상 머신과 달 리 PCI 장치 직접 할당 기술 기반의 가상 머신에서는 그래픽 장치를 가상 머신에게 직접 할당해 줌으로써 일 반 데스크탑 PC처럼 게임과 같은 고사양 그래픽 프로 그램을 사용할 수 있다. 일반적인 PCI 장치인 네트워크 인터페이스 장치와 USB 호스트 장치와 달리 그래픽 장 치의 직접 할당을 위해 추가되는 절차는 다음과 같다. 그림 2 하드웨어 직접 할당 기술 구조 Fig. 2 Architecture of HW Direct Assignments

4 입출력 가상화 기반 가상 데스크탑 서비스를 이용한 물리적 네트워크 망분리 시스템 설계 및 구현 509 가상 머신에 직접 할당할 그래픽 장치의 실제 펌웨어를 가상 데스크탑의 VGA 바이오스 영역에 복사하고 가상 머신의 생성 설정 파일에 가상 그래픽 장치의 사용을 비 활성화 시킨다. 해당 그래픽 장치의 BAR(Base Address Register)에 저장되어 있는 물리적 메모리 주소를 확인한다. 가상 머신을 동작시키는 커널 모듈의 장치 주소 설정 파 일(dsdt.asl)에 가상 머신의 그래픽 장치 드라이버가 사 용할 메모리 주소와 그래픽 장치의 물리적 메모리 주소 를 매핑시킨다. 3. 가상 데스크탑 기반 망분리 시스템 설계 및 구현 가상 데스크탑 서비스를 이용한 물리적 네트워크 망 분리 시스템은 호스트 인터페이스 기반 하드웨어 직접 할당 기술, 즉 PCI passthrough 기술을 기반으로 하고 있다. 각각의 가상 데스크탑은 가상화된 컴퓨팅 자원을 기반으로 생성 및 동작하며 독립적 컴퓨팅 환경 및 고 사양 응용 프로그램 지원을 위한 그래픽 어댑터 및 USB 호스트와 오디오 장치를 가상 데스크탑에 직접 할 당한다. 그리고 외부망 연결을 위한 가상 데스크탑에는 해당 장치 이외에 외부망 접속을 위한 네트워크 인터페 이스 장치를 직접 할당해줌으로써 하이퍼바이저가 구동 하는 특권 가상 머신 조차도 접속할 수 없는 외부망 접 속 가상 데스크탑의 전용 네트워크 장치로 할당된다. 또 한 가상 데스크탑의 이미지 저장소인 하드 디스크를 외 부에 의한 내부 데이터 유출을 강력히 방지하기 위해 별도의 하드 디스크를 할당하여 사용한다. 그림 3은 입출력 가상화 기반 가상 데스크탑 서비스 를 이용한 물리적 망분리 시스템의 전체 구조를 나타낸다. 상기 설계된 구조를 기반으로 구현된 망분리 상용화 그림 3 가상 데스크탑 기반 망분리 시스템의 구조 Fig. 3 Architecture of Network Separation Systems based on Virtual Desktops 그림 4 가상 데스크탑 기반 상용 물리적 망분리 시스템 Fig. 4 Network Separation Systems for Commercial Use based on Virtual Desktops 시스템은 그림 4와 같다. 해당 시스템[8]은 데스크탑 PC 1대로 업무망과 인터넷망을 분리하여 해킹과 내부정보 유출 원인을 차단하는 개인용 망분리 데스크탑 PC이며 용도에 따라 1대의 PC를 2명이 동시에 사용할 수 있는 다중 사용자 데스크탑 PC이다. 기존의 물리적 망분리 기법은 1명의 사용자가 2대의 PC 또는 2개의 메인 보 드가 장착된 데스크탑 PC를 KVM(Keyboard Video Mouse) 스위치로 전환하여 사용한다. 본 논문의 기술을 적용한 가상 데스크탑 기반 망분리 시스템은 네트워크 인터페이스 장치 분할로 물리적 망분리를 지원하며 1대 의 PC에서 SW 스위치로 간편하게 내/외부망을 전환, 사용자 편의성을 극대화 하였으며 기존 시스템 대비 소 비 전력 및 도입 비용 절감 효과를 제공한다. 4. 실험 결과 및 분석 본 장에서는 제안하는 망분리 시스템의 주요 성능인 상호 독립성을 검증하기 위해 그림 5와 같이 시험 환경 을 구성하였다. 단일 데스크탑 PC 환경에서 제공하는 Host PC1과 Host PC2는 각각 내외부 연결망 전용 가 상 데스크탑이며 Test PC1와 Test PC2는 각각 내외부 망 전용 가상 데스크탑 테스트를 위한 시스템이다. 업무망과 인터넷망을 분리하여 외부로터의 칩입을 막 고 내부 정보의 유출을 방지하는 것을 목적으로 하는 망분리 시스템은 외부 인터넷망 접속 데스크탑 PC가 악성코드에 감염되거나 서비스 차단을 위한 DDoS 공격 을 받아도 업무망 데스크탑 PC의 사용에는 전혀 영향 을 주지 말아야 한다. 상기 목적을 위한 물리적 망분리 시스템의 독립성 시 험은 외부망을 통한 DDoS 공격 발생시 내외부망 전용 가상 데스크탑들의 오피스 구동과 네트워크 접속 시험, 그리고 외부망 전용 가상 데스크탑의 악성 코드 감염에

가상 데스크탑 기반 망분리 시스템 설계 및 구현 가상 데스크탑 서비스를 이용한 물리적 네트워크 망 분리 시스템은 호스트 인터페이스 기반 하드웨어 직접 할당 기술, 즉 PCI passthrough 기술을 기반으로 하고 있다.

510 정보과학회 컴퓨팅의 실제 논문지 제 21 권 제 7 호(2015.

해당 결과를 통해 각각의 가상 데스크탑 네트워크 는 물리적으로 분리되어 상호독립적임을 알 수 있다. 그림 5 상용 물리적 망분리 시스템 테스트 환경 Fig.

5 510 정보과학회 컴퓨팅의 실제 논문지 제 21 권 제 7 호( ) 그림 6을 통해 내부망 데스크탑은 DDoS공격과 상관 없이 동일한 CPU 사용으로 오피스 프로그램들을 구동 시키지만 외부망 데스크탑의 CPU 사용량은 증가하는 것을 알 수 있으며 그림 7을 통해 DDoS 공격간 네트 워크 접속시 외부망 가상 데스크탑은 공격전 후 대비 평균 2배 정도의 CPU 사용률이 증가한다는 것을 알 수 있다. 해당 결과를 통해 각각의 가상 데스크탑 네트워크 는 물리적으로 분리되어 상호독립적임을 알 수 있다. 그림 5 상용 물리적 망분리 시스템 테스트 환경 Fig. 5 Test Environments for Network Separation Systems for Commercial Use 따른 내부망 전용 가상 데스크탑의 오피스 구동 및 네 트워크 접속 시험을 실시하였다. 네트워크 접속 시험은 인터넷이 연결되지 않은 Host PC 1은 Test PC 1과의 원격 데스크탑 연결 시험이며 인터넷이 연결되어 있는 Host PC 2는 웹 포탈 접속 시험이다. 4.1 DDoS 공격에 따른 가상 데스크탑의 구동 DDoS 공격에 따른 가상 데스크탑의 구동 시험은 DDoS 공격이 망분리 시스템에서 제공하는 내외부망 전 용 가상 데스크탑들의 오피스 프로그램 구동 및 네트워 크 접속에 어떠한 영향을 미치는지 확인하는 시험이다. DDoS 공격 PC는 외부망에 연결되어 있으며 망분리 시스템에 공격을 시도한다. Test PC1과 Test PC2는 네트워크 접속 상태를 확인한다. (a) CPU Utilization of Virtual Desktop for Intranet during Network Access (b) CPU Utilization of Virtual Desktop for Internet during Network Acccess 그림 7 DDoS 공격간 네트워크 접속을 위한 가상 데스 크탑의 CPU사용률 Fig. 7 CPU Utilization of Virtual Desktops for Network Access during DDoS Attacks (a) CPU Utilization of Virtual Desktop for Intranet during Office Program Running (a) CPU Utilization of Virtual Desktop for Intranet (b) CPU Utilization of Virtual Desktop for Internet during Office Program Running 그림 6 DDoS 공격간 가상 데스크탑의 CPU사용률 Fig. 6 CPU Utilization of Virtual Desktops during DDoS Attacks (b) CPU Utilization of Virtual Desktop for Internet 그림 8 악성 코드 감염에 따른 가상 데스크탑의 CPU사용률 Fig. 8 CPU Utilization of Virtual Desktops caused by Virus Infections

6 입출력 가상화 기반 가상 데스크탑 서비스를 이용한 물리적 네트워크 망분리 시스템 설계 및 구현 악성 코드 감염에 따른 가상 데스크탑의 구동 악성 코드 감염에 따른 가상 데스크탑의 구동 시험은 바이러스에 감염된 외부망 전용 가상 데스크탑이 내부망 전용 가상 데스크탑 구동에 영향 여부를 확인하는 시험이다. 그림 8은 Host PC2의 악성 코드 감염 전후의 오피스 프로그램 구동간 CPU 사용률 변화를 나타낸다. 상기 그 림을 통해 알 수 있듯이 망분리 PC의 가상 데스크탑들은 상호 독립적인 운영체제 및 하드웨어 리소스를 사용하기 때문에 악성 코드에 따른 성능 저하 및 시스템 고장에 상 호 독립적이다. 표 1은 악성 코드 감염 전후의 네트워크 접속간 시험 결과이다. 표 1 악성 코드 감염에 따른 네트워크 접속 시험 결과 Table 1 Test Results of Network Access caused by Virus Infection Target Host PC 1 Host PC 2 Status CPU Memory Time Usage(max) Usage(max) (sec) Before 39.06% 644 MB 12 After 39.06% 644 MB 12 Before 83.59% 932 MB 12 After 100% 863 MB 결론 및 향후 연구 하드웨어 직접 할당 기반 망분리 시스템은 가상화된 컴퓨팅 자원 외에 직접 할당 기술로 그래픽 어댑터 및 USB, 네트워크 장치등을 가상 데스크탑에 할당하여 독 립적인 데스크탑 컴퓨팅 환경 및 물리적 망분리 기능을 제공해 준다. 이를 통해 물리적 망 분리 방법의 단점인 추가 데스크탑 설치 및 논리적 망 분리 방법의 단점인 다양한 PC환경에 대한 유연성 부족 및 중앙 집중 처리 로 인한 대량의 퍼포먼스 처리 능력 요구의 단점을 해 결할 수 있다. 향후 해당 기술 확장을 통한 사용자 편의 성 제공을 위해 사용자 이미지 백업 및 복구 솔루션과 통합 관리 시스템의 연동 기능도 제공할 예정이다. References [1] J. Kwon, "Guide of Network Separation Soluton," Security World, pp , Oct (in Korean) [2] P. Barham, B. Dragovic, K. Fraser, S. Hand, T. Harris, A. Ho, R. Neugebauer, I. Pratt, and A. Warfield, "Xen and the art of virtualization," Proc. of the 9th SOSP, pp , Oct [3] B. Liu, L. Lishen, and X. Qin, "Research on Hardware I/O Passthrough in Computer Virtualization," Proc. of ISCSCT 2010, pp Aug [4] R. Pavlicek. (2014, Oct. 8). VTd How To [Online]. Available: To [5] J. LIU, W. Huang, B. Abali, and D. K. Panda, "High Performance VMM-bypass I/O in virtual machines," Proc. of USENIX Annual Technical Conference, May [6] B. H. Ng, B. Lau, and A. Prakash. (2009, July. 20). Direct Access to GraphicsCard Leveraging VT-d Technical Report [Online]. Available: learningace.com/doc/609755/869c46ae6cf492b7aeeda 4b14d0232e2v/vgapt_techreport [7] Y. Schaeffer.(2009, Feb.01). Xen VGA passthrough [Online]. Available: [8] Comtree.(2014, May. 15). What is network separation PC from Comtree? [Online]. Available: blog.naver.com/comtreestory/ 김 선 욱 1996년 충북대학교 컴퓨터과학과(학사) 2001년 한양대학교 전자계산학과(석사) 2011년 고려대학교 전자계산학과(박사) 2001년~현재 한국전자통신연구원 클라우 드컴 퓨팅 연구부 책임연구원. 관심분야는 클라우드 컴퓨팅, 서버 가상화, VDI, 김 성 운 1987년 부경대학교 전자공학과(학사) 년 충남대학교 전자공학과(석사). 2006년 충남대학교 전자공학과(박사). 2001년~현 재 한국전자통신연구원 클라우드컴 퓨팅 연구부 책임연구원. 관심분야는 컴퓨터 구 조, SoC, 그린 컴퓨팅, 클라우드 컴퓨팅 김 학 영 1983년 경북대학교 전자계산학과(학사) 년 경북대학교 전자계산학과(석사) 년 충남대학교 컴퓨터공학과(박사) 년~현재 한국전자통신연구원 서버플랫폼 연구실 실장. 관심분야는 클라우드 컴퓨팅, 슈퍼컴퓨팅, 마이크로서버기술 정 성 권 1988년 광운대학교 전자계산학과(학사) 1996년~2000년 지트로닉스 코리아(주) 차장, 2000년~2007년 모빌씨앤씨(주) 부 장. 2007년~2009년 SK C&C(주) 부장. 2010년~현재 컴트리(주) 수석연구원. 관 심분야는 가상화 시스템, 임베디드시스템 이 숙 영 2010년 경원대학교 경영학과(석사) 년~2006 가나시스템(주) 대표이사 년~현재 컴트리(주) 대표이사. 관심분야 는 가상화 시스템

À¯Çõ Ãâ·Â

À¯Çõ Ãâ·Â Network Virtualization Techniques for Future Internet Services in cloud computing are based on network virtualization that provides both flexibility and network isolation. Network virtualization consists