- PDF 무료 다운로드

Size: px

Start display at page:

Download ""

상종 간
5 years ago
Views:

1 출원일자 관인생략출원번호통지서 특기사항심사청구 ( 무 ) 공개신청 ( 무 ) 출원번호 ( 접수번호 ) 출원인명칭 주식회사케이티 ( ) 외 1 명 대리인성명특허법인명문 ( ) 발명자성명 발명의명칭 정현호김봉기리샤드알리예프서동원이시형이희조입누무바로크황영헌 네트워크트래픽과서버부하에따른복제서버자원의동적관리방법, 그장치및시스템 특허청장 << 안내 >> 1. 귀하의출원은위와같이정상적으로접수되었으며, 이후의심사진행상황은출원번호를통해확인하실수있습니다. 2. 출원에따른수수료는접수일로부터다음날까지동봉된납입영수증에성명, 납부자번호등을기재하여가까운우체국또는은행에납부하여야합니다. 납부자번호 : 0131( 기관코드 ) + 접수번호 3. 귀하의주소, 연락처등의변경사항이있을경우, 즉시 [ 출원인코드정보변경 ( 경정 ), 정정신고서 ] 를제출하여야출원이후의각종통지서를정상적으로받을수있습니다. 특허로 (patent.go.kr) 접속 > 민원서식다운로드 > 특허법시행규칙별지제 5 호서식 4. 특허 ( 실용신안등록 ) 출원은명세서또는도면의보정이필요한경우, 등록결정이전또는의견서제출기간이내에출원서에최초로첨부된명세서또는도면에기재된사항의범위안에서보정할수있습니다. 5. 외국으로출원하고자하는경우 PCT 제도 ( 특허 실용신안 ) 나마드리드제도 ( 상표 ) 를이용할수있습니다. 국내출원일을외국에서인정받고자하는경우에는국내출원일로부터일정한기간내에외국에출원하여야우선권을인정받을수있습니다. 제도안내 : 마드리드 우선권인정기간 : 특허 실용신안은 12 개월, 상표 디자인은 6 개월이내 미국특허상표청의선출원을기초로우리나라에우선권주장출원시, 선출원이미공개상태이면, 우선일로부터 16 개월이내에미국특허상표청에 [ 전자적교환허가서 (PTO/SB/39) 를제출하거나우리나라에우선권증명서류를제출하여야합니다. 6. 본출원사실을외부에표시하고자하는경우에는아래와같이하여야하며, 이를위반할경우관련법령에따라처벌을받을수있습니다. 특허출원 , 상표등록출원 기타심사절차에관한사항은동봉된안내서를참조하시기바랍니다.

2 명세서 발명의명칭 네트워크트래픽과서버부하에따른복제서버자원의동적관리방법, 그 장치및시스템 {Dynamic Management Methods of Replica Server Resorces, Apparatus Thereof, And Sytem Comprising The Same} 기술분야 <0001> 본발명은분산서비스거부공격등의네트워크트래픽및이로인한서버 부하를관리하기위한방법에관한것으로서, 보다상세하게는네트워크트래픽및 서버부하에따라클라우드기반의복제서버를동적으로관리하는방법에관한것 이다. 발명의배경이되는기술 <0002> 분산서비스거부공격은여러대의공격자를분산배치하여동시에동작하 게함으로써특정사이트를공격하는해킹방식의하나이다. 이방식은서비스공 격을위한도구들을여러대의컴퓨터에심어놓고공격목표인사이트의컴퓨터시 스템이처리할수없을정도로엄청난분량의패킷을동시에범람시킴으로써네트 워크의성능을저하시키거나시스템을마비시키게된다. <0003> 기존 DDoS 공격에대한방어기법은 DDoS 공격의일정한규칙을이용하여트 래픽을차단하여폐기하는데주력하였다. 그러나최근의 DDoS 공격방법은정상 트래픽패턴과유사하므로이와같은규칙을적용하더라도많은양의악성트래픽 이여전히공격대상서버에도달하게된다. 또한이러한규칙기반의대응방법을 34-1

3 이용하는경우플래시크라우드 (Flash crowds) 와같은정상적인트래픽집중현상 이발생할때도악성트래픽으로오인하는경우가발생한다. <0004> 한편, 한국등록특허제 호는오리진서버를포함하는복수의서버로구 성하고, 오리진서버의트래픽상태가분산서비스거부공격상태로판단되는경 우, 오리진서버의 IP 주소를복수의서버로 IP 주소로변경하여오리진서버의부 하를경감하는방식의대응방법을제시하고있다. <0005> 그러나, 이방식의경우공격의강도에따라코어망에유입되는트래픽을최 소화하기위한서버자원의동적관리에관한고려가없다. 발명의내용 해결하고자하는과제 <0006> 상기종래기술의문제점을해결하기위하여본발명은, 복제서버의자원을 동적으로관리하는방법을제공하는것을목적으로한다. <0007> 또한, 본발명은상기복제서버자원을동적으로관리하기위한복제서버관 리장치및시스템을제공하는것을목적으로한다. 과제의해결수단 <0008> 상기기술적과제를달성하기위하여본발명은, 메인서버의성능메트릭을 측정하는단계 ; 상기메인서버의성능메트릭과사전설정된제 1 기준을대비하여 상기메인서버로의경로상에복제서버의개시여부를결정하는단계 ; 및상기메 인서버의성능메트릭과상기사전설정된제 1 기준보다낮은제 2 기준을대비하여 상기메인서버로의경로상의복제서버의중지여부를결정하는단계를포함하는 34-2

4 복제서버의자원관리방법을제공한다. <0009> 본발명에서상기성능메트릭은메인서버의응답시간정보또는 CPU 부하를 포함할수있다. <0010> 이때, 상기성능메트릭은소정기간동안측정된값이고, 상기사전설정 된제 1 기준은제 1 임계값및상기제 1 임계값보다낮은제 2 임계값을포함하고, 상기소정기간측정된성능메트릭과상기제 1 임계값또는상기제 2 임계값과의 대비에따라복제서버의개시여부가결정될수있다. <0011> 또, 상기성능메트릭의상기사전설정된제 2 기준은제 3 임계값및상기 제 3 임계값보다낮은제 4 임계값을포함하고, 상기소정기간측정된성능메트릭 과상기제 3 임계값또는제 4 임계값을대비하여복제서버의중지여부가결정될 수있다. <0012> 본발명은상기메인서버의성능메트릭의변화에따라상기복제서버를스 케일링하는단계를더포함할수있다. <0013> 또한, 본발명에서상기측정단계는, 네트워크에산재된복수의센서로부터 의성능메트릭을수신하는단계를포함할수있다. 이때, 상기성능메트릭은상 기메인서버로의응답시간정보를포함하는것이바람직하다. 또한, 상기성능메 트릭은상기센서로부터상기메인서버로의네트워크상의경로정보를포함할수 있다. 또한, 상기성능메트릭이상기제 1 기준을초과하는경우상기성능메트릭 에포함된경로정보로부터추출된링크들중상기메인서버로부터가장먼링크에 연결된복제서버를우선적으로개시하는것이바람직하다. 34-3

5 <0014> 상기다른기술적과제를달성하기위하여본발명은네트워크에산재된복 수의센서로부터성능메트릭정보를수신하는상태모니터링부 ; 상기성능메트릭 정보와사전설정된기준을대비하여 DDoS 공격여부를판단하는공격판단부 ; DDoS 공격이있는것으로판단되는경우상기네트워크상에복제서버의위치를결 정하는복제서버위치결정부 ; 및상기복제서버를개시및중지하며상기복제서버 의자원을관리하는복제서버자원관리부를포함하는복제서버관리장치를제공한 다. <0015> 본발명에서상기성능메트릭정보는상기복수의센서와상기메인서버간 의링크정보를포함하고, 상기복제서버위치결정부는상기성능메트릭정보가 사전설정된기준을초과하는경우해당센서와메인서버간의링크정보로부터정 체상태인링크중네트워크경로상의거리가가장먼링크를식별한다. <0016> 본발명에서상기복제서버자원관리부는 DDoS 공격강도에따라상기복제 서버의자원을증감시키는것이바람직하다. <0017> 상기또다른기술적과제를달성하기위하여본발명은네트워크에산재된 복수의복제서버팜에인접하여메인서버의성능메트릭을측정하는측정센서 ; 및 상기측정센서로부터의성능메트릭데이터로부터상기네트워크의트래픽을측정 하고, 측정된네트워크트래픽에따라복제서버의자원을관리하는복제서버관리 장치를포함하는복제서버관리시스템을제공한다. 발명의효과 34-4

6 <0018> 본발명에따르면, DDoS 등의공격자의공격강도에따라복제서버를개시 및중지하고확장및축소하여클라우드기반복제서버를효율적으로운용할수있 게된다. <0019> 또한, 본발명에따르면, 메인서버의인스톨이나변경없이도복제서버의자 원을효율적으로관리할수있게된다. <0020> 또한, 본발명에따르면메인서버로이르는네트워크경로중메인서버에서 가장먼정체링크에속하는복제서버를개시함으로써, DDoS 공격등을효율적으로 차단하는한편, 선의의사용자에게는메인서버에서제공하는서비스를지장없이제 공할수있게된다. 도면의간단한설명 <0021> 도 1 은본발명의바람직한실시예에따른공격트래픽분산방법을구현하 기위한전체시스템구성을모식적으로도시한도면이다. 도 2 는본발명의구현예로서복제서버와관련한자원관리절차를개략적으 로도시한도면이다. 도 3 은본발명의바람직한실시예에따른복제서버관리장치의구성을개략 적으로도시한도면이다. 도 4 는본발명의바람직한실시예에따른복제서버의동작의일례를설명하 기위한시스템구성을모식적으로도시한도면이다. 도 5 의 (a) 및 (b) 는본발명의바람직한실시예에따라복제서버의위치를 결정하는방법을모식적으로도시한도면이다. 34-5

7 도 6 은시간의경과에따른성능메트릭의변화를예시적으로나타내는그래 프이다. 도 7 의 (a) 및 (b) 는성능메트릭에기초하여복제서버를동적으로개시및 중지하기위한실시예를예시적으로설명하기위한도면이다. 도 8 의 (a) 및 (b) 는성능메트릭에기초하여복제서버를동적으로개시및 중지하기위한다른실시예를예시적으로설명하기위한도면이다. 도 9 의 (a) 및 (b) 는성능메트릭에기초하여복제서버를동적으로개시및 중지하기위한또다른실시예를예시적으로설명하기위한도면이다. 도 10 의 (a) 및 (b) 는성능메트릭에기초하여복제서버를동적으로개시및 중지하기위한또다른변형례를예시적으로설명하기위한도면이다. 발명을실시하기위한구체적인내용 <0022> 이하, 첨부한도면을참조하여, 본발명이속하는기술분야에서통상의지 식을가진자가용이하게실시할수있도록본발명을상술한다. 그러나본발명은 아래에서예시한것과다른형태로구현될수있으며여기에서설명하는실시예에 한정되지않는다. 또, 도면에서본발명을명확하게설명하기위해서설명과관계 없는부분은생략하였으며, 명세서전체를통하여유사한부분에대해서는유사한 도면부호를붙였다. <0023> 본발명을설명함에있어서, 관련된공지구성또는기능에대한구체적인 설명이본발명의요지를흐릴수있다고판단되는경우에는그상세한설명은생 략한다. 34-6

8 <0024> 도 1 은본발명의바람직한실시예에따른공격트래픽분산방법을구현하 기위한전체시스템구성을모식적으로도시한도면이다. <0025> 도시된바와같이, 메인서버 (S M ) 와다수의복제서버 (R 11, R 12, R 21, R 23 ) 가인 터넷서비스공급자 (Internet Service Provider) 에의해제공되는네트워크 ( Network; 10) 에분산되어있다. <0026> 본발명에서메인서버 (S M ) 는예컨대 ' 과같은도메인네임을 가지고웹페이지상의서비스를구현하는웹서버일수있다. <0027> 상기복제서버 (R 11, R 12, R 21, R 23 ) 는상기메인서버가보유한원본콘텐츠의 전부또는일부의사본을구비하여메인서버 (R 11, R 12, R 21, R 23 ) 의기능을제공할 수있는서버를말한다. <0028> 복제서버 (R 11, R 12, R 21, R 23 ) 는다양한유형으로구현될수있다. 먼저, 복제 서버는메인서버의전체콘텐츠를복제서버에복사하는형태로구성될수있다. 복제소요시간이오래걸리고, 저장장치의자원이많이요구되지만, 사용자에게 가장안정적인서비스를제공할수있다. <0029> 이와달리, 사용자의요청이빈번한특정콘텐츠를복제서버에복사하는형 태로복제서버가구성될수있다. 이와같은관심기반복제서버는사용자요청이 빈번한콘텐츠인지여부를콘텐츠에대한사용자의요청횟수에기반하여판단할 수있다. 관심기반복제서버는상대적으로적은자원이요구되지만, 서비스제공 34-7

9 자는어떤콘텐츠에사용자들이관심을두는지모니터링해야하고, 이에따라복 제서버의콘텐츠를갱신해야한다. <0030> 또한, 멀티미티어파일, 문서파일, 사용자파일등으로콘텐츠의타입을나 누어콘텐츠를저장하는콘텐츠타입기반복제서버로구성될수도있다. 즉, 하나 의복제서버는하나이상의콘텐츠타입을담당하게된다. 이때, 콘텐츠타입이 란, 콘텐츠의파일형식이될수있고, 기설정된콘텐츠의분류가될수도있다. <0031> 본발명에서복제서버 (R 11, R 12, R 21, R 23 ) 는클라우드컴퓨팅기술로구현될 수있다. 클라우드컴퓨팅은서로다른물리적인위치에존재하는컴퓨터들의자원 을가상화기술로통합해제공하는기술로, 복제서버의자원을효율적으로사용할 수있게하며, 가상공간에있는서버의자원을이용하여복제서버를구축할수있 도록한다. 물리적으로, 상기복제서버는메인서버관리자가관리하는데이터센 터또는상기관리자와약정관계에있는다른사업자의데이터센터내에위치할 수있다. <0032> 본발명에서상기복제서버가반드시클라우드컴퓨팅기술로구현되어야하 는것은아니고별도의내부또는외부의리소스로구성되는것도가능하다. <0033> 본발명에따르면, 네트워크 (10) 에연결된사용자 (U) 와공격자 (A) 를포함하 는네트워크트래픽은적절히분리된다. <0034> 정상동작모드에서상기사용자 (U) 에의해전송되는정상패킷 (normal packet) 은네트워크 (10) 상의경로를거쳐메인서버 (S M ) 로전송된다. 34-8

10 <0035> 악의의사용자 (A) 의 DDoS 공격에의한패킷 (Attack Packets) 범람시메인서 버로향하는네트워크경로상의적절한위치에복제서버가활성화된다. 상기복제 서버는활성화될위치에관계된데이터센터의관리자로전송되는서버용량, 개 수및활성화시점등을포함하는개시메시지 (invoke message) 에의해활성화될 수있다. 상기복제서버는상기메인서버와동기화된다. 상기복제서버와메인서 버의동기화를위하여별도의네트워크예컨대콘텐츠전달네트워크 (CDN) 가구성 될수도있을것이다. <0036> DDoS 공격시범람패킷 (attack flood) 은상기메인서버로의네트워크경로 상에위치한활성화된복제서버 (R 11, R 12 ) 로리디렉션된다. <0037> 본발명에서상기복제서버의활성화위치 (activate location) 및요구되는 리소스를결정하기위하여상기네트워크 (10) 에는복제서버관리장치 (100) 가구비 된다. <0038> 상기복제서버관리장치 (100) 는네트워크 (10) 의트래픽및상기메인서 버 (S M ) 의상태를모니터링하고, 이에기초하여복제서버와관련한자원 (Resoruce) 을 관리한다. 상기복제서버관리장치 (100) 는복제서버의개시 (invoction) 여부를결 정하기위하여별도의센서를운용할수있다. 또한, 상기복제서버관리장치 (100) 는별도의 IDS(Intrusion Detection System) 로부터 DDoS 공격여부에대한정보를 수신하여복제서버의개시여부결정에참조할수있다. 본발명에서복제서버의 동작에관해서는후술한다. 34-9

11 <0039> 도 2 는본발명의구현예로서복제서버와관련한자원관리절차를개략적으 로도시한도면이다. <0040> 도 2 를참조하면, DDoS 등의공격에의한패킷범람이검출되고공격상황으 로판단되면, 해당공격을방어하기위한적절한복제서버위치가활성화된다. 네 트워크상태, 메인서버상태및복제서버의상태가지속적으로모니터링되고해당 위치에서복제서버가개시 (invoke) 되거나중지 (revoke) 되며복제서버는동적으로 확장또는축소 (scaling) 된다. 이어서, 해당위치와관련한 DDoS 공격상태가해 소되면, 복제서버위치는비활성화된다. <0041> 도 3 은본발명의바람직한실시예에따른복제서버관리장치 (100) 의구성을 개략적으로도시한도면이다. <0042> 도 3 을참조하면, 복제서버관리장치 (100) 는상태모니터링부 (120), DDoS 공 격판단부 (140), 복제서버위치결정부 (160) 및복제서버자원관리부 (180) 를포함한 다. <0043> 상기상태모니터링부 (140) 는다양한상태정보를모니터링한다. 예컨대, CPU 로드등메인서버및복제서버의상태가모니터링될수있다. 또한, 네트워크내 외에위치한센서로부터의트래픽상태가모니터링될수있다. 또한, IDS 와같은 외부장치에서취득된 DDoS 공격정보가모니터링될수있다. 이때, OpenNMS, Nagios, PA Server Monitor 등과같은서버모니터링툴이사용될수있다. <0044> DDoS 공격판단부 (140) 는모니터링된정보를기초로 DDoS 공격여부와복제 서버의개시여부를판단한다. 이때, 응답시간 (Response Time; RT), CPU 로 34-10

12 드 (load), 네트워크 I/O(input/output), 메모리사용량이나, 단위시간당패킷, 단 위시간당접속, 단위시간당리퀘스트 (request) 와같은통계데이터를지 표 (indicator) 로사용될수있다. 전술한지표중최소한하나이상을반영한성능 메트릭 (performance metric) 으로부터 DDoS 공격여부와복제서버의동작여부를판 단한다. 예컨대, 상기성능메트릭은예컨대응답시간과같은수치이고, 상기수치 가사전설정된임계값을초과하는경우 DDoS 공격이발생하였음을판단할수있 다. <0045> 물론당업자라면상기성능메트릭이하나이상의지표가통합되어운용될 수있음을알수있을것이다. 또한, 상기성능메트릭의하나이상의지표에는가 중치가부여될수도있을것이다. <0046> 상기 DDoS 공격판단부 (140) 에의해복제서버의개시 (invoke) 가결정되는경 우, 상기복제서버위치결정부 (160) 는활성화될복제서버의위치를결정한다. 복 제서버의위치결정방법에대해서는후술한다. <0047> 상기복제서버위치결정부 (160) 가활성화될복제서버의위치를결정하면, 복제서버자원관리부 (180) 는해당위치에서의복제서버의개수및용량을포함하여 요구되는복제서버자원을결정한다. 이때, 상기복제서버자원관리부 (180) 는공 격의강도를고려하여복제서버자원을결정할수있다. <0048> 상기복제서버자원관리부 (180) 는복제서버의개시 (invoke) 를의미하는메시 지를상기복제서버또는상기복제서버의관리자에게전송하여복제서버를활성화 할수있다. 상기개시메시지 (invoke msg.) 에는복제서버자원의크기를특정하는 34-11

13 메시지가포함될수있다. <0049> 또한, 복제서버자원관리부 (180) 는상기복제서버자원을동적으로관리한 다. 복제서버의개시이후공격의강도에맞추어적절한복제서버자원이추가되거 나삭제될수있다. 상기복제서버자원관리부 (180) 는개시메시지 (invoke msg.) 및중지메시지 (revoke msg.) 를통해복제서버자원을동적으로관리한다. <0050> 이하에서는도 4 및도 5 를참조하여본발명에따른복제서버의개시및중 지방법을설명한다. <0051> 도 4 는본발명의바람직한실시예에따른복제서버의동작의일례를설명하 기위한시스템구성을모식적으로도시한도면이다. <0052> 도시된같이, 네트워크상에는복수의복제서버팜 (replica farm; RF) 이산 재되어있다. 상기복제서버팜 (RF 1, RF 2, RF 3, RF 4 ) 은각각최소한하나이상의복 제서버들 (R1, R2, R3) 이구비되어있다. 상기복제서버팜 (RF 1, RF 2, RF 3, RF 4 ) 은예 컨대 ISP 사업자가운영하는데이터센터또는데이터저장소일수있다. <0053> 네트워크상의적절한위치에센서에이전트 (S) 가구비된다. 도시된바와같 이상기센서에이전트들 (S I1, S I2, S I3, S I4 ) 은상기복제서버팜 (RF 1, RF 2, RF 3, RF 4 ) 내부에구비될수있으며, 일부센서 (S O1 ) 는사용자와동일한환경에있도록네트워 크외부에구비될수있다. 상기센서에이전트들 (S I1, S I2, S I3, S I4, S O1 ) 은메인서 버 (S M ) 로의성능메트릭을측정한다. 상기센서에의해측정되는성능메트릭은예 34-12

14 컨대임의의요청에대한메인서버의응답시간 (RT) 이될수있다. <0054> 응답시간은상기센서에이전트들 (S I1, S I2, S I3, S I4, S O1 ) 이메인서버로 TCP SYN 신호를전송하거나다른간단한 HTTP 요청을전송하고, 상기메인서버로부터 응답을수신함으로써측정될수있다. 상기센서들은메인서버의응답시간에대응 하는정보를포함하는센싱데이터를복제서버관리장치 (100) 로전송한다. 상기센 싱데이터는요청과응답이송수신된네트워크경로의링크정보를포함한다. 성능 메트릭으로응답시간을이용하는방식은단순한정보요청에의해구현될수있으 며, 메인서버에대한인스톨이나변경문제를유발하지않는장점을갖는다. <0055> 복제서버관리장치 (100) 는상기센서들에의해전송된정보에서응답시간정 보및정체링크정보를추출한다. 예컨대, 정상동작시를기준으로한평균응답 시간을현저히초과하는응답시간이발생한해당센서와메인서버의경로상에정 체가발생하였음을의미한다. 상기복제서버관리장치 (100) 는응답시간이사전설 정된값을초과한경우센서로부터전송된경로정보로부터정체가발생한링크를 추출하고, 해당링크에관련된복제서버를개시할수있다. <0056> 또한, 상기센서는상기복제서버관리장치 (100) 로응답시간정보를주기적 으로전송한다. 복제서버가개시된상태에서전송된응답시간정보로부터추출된 응답시간이사전설정된값미만으로하락한경우상기복제서버관리장치 (100) 는 해당링크의정체상태가해소되었음을판단하고해당링크에관련된복제서버를 중지할수있다. 복제서버의중지를위한사전설정된값은메인서버가핸들링가 34-13

15 능한트래픽을기준으로설정될수있다. <0057> 도 5 의 (a) 및 (b) 는본발명의바람직한실시예에따라복제서버의위치를 결정하는방법을모식적으로도시한도면이다. <0058> 도 5 의 (a) 에도시된바와같이, 네트워크에산재된각복제서버팜 (RF) 의 센서들 (S) 은주기적으로 TCP SYN 신호를메인서버로전송하고그응답으로서 ACK 신호를수신한다. 상기센서들 (S) 이수신한데이터는응답시간정보로서메인서브 를경유하여또는직접복제서버관리장치 (100) 로전송된다. <0059> 복제서버관리장치 (100) 는전송된정보로부터정체된링크를판별한다. 예컨 대, 악의의공격자 (A) 에의한공격트래픽 ( 실선 ) 이발생하면, 그경로상의복제서 버팜 (RF 1, RF 2 ) 의센서들 (S I1, S I2 ) 로부터전송된데이터에는링크정체상태가포함 될수있다. 따라서, 상기복제서버관리장치 (100) 는상기정체링크에연결된복 제서버팜 (RF 1, RF 2 ) 의복제서버를활성화할수있을것이다. <0060> 도 5 의 (b) 는상기복제서버관리장치 (100) 는정체된링크에연관된복제서 버중메인서버로부터가장먼링크에연관된복제서버팜 (RF 1 ) 의복제서버를우선 적으로활성화하는것을보여주고있다. 이와같이정체링크들중메인서버로의 경로상의가장먼링크에연관된복제서버를활성화함으로써공격자들이메인서버 로접속하는것을차단하고해당링크를이용하지않는다수의사용자들은메인서 버의서비스에장애없이접속할수있게된다. 메인서버로의경로에서가장먼링 크는센서데이터에포함된경로정보중홉거리 (hop distance) 또는 TTL(Time to 34-14

16 Live) 정보를이용하여추출될수있다. <0061> 상술한실시예는하나의복제서버팜을활성화하는것을기술한것이지만, 공격이여러지역의공격자로부터동시다발적으로이루어지는상황에서는서로다 른링크에연관된복수의복제서버팜이활성화될수있음은당업자라면누구나알 수있을것이다. <0062> 또한, 본발명에서복제서버는공격의강도에따라동적으로증감 (scaling) 된다. <0063> 복제서버의개시에도불구하고응답시간의감소가유발되지않고응답시간이 여전히사전설정된임계값이상을유지하는경우복제서버의크기는증가하여야 하고, 반대로응답시간이감소하여소정기준이하로되는경우복제서버의크기는 감축되어야한다. 또한, 응답시간값이소정기준값상하로변동하는경우복제서 버의크기는증가또는감소되어야한다. <0064> 본발명에서복제서버의스케일링은사전설정된용량단위로수행될수있 다. 예컨대복제서버는예컨대메인서버의용량과동일한크기단위로개시및중 지될수있고또이를증감단위로하여스케일링될수있다. 또한, 본발명에서 복제서버의스케일링은복제서버의개시및중지명령과동일한명령에의하여수 행될수있다. <0065> 이하본발명의구현예로써성능메트릭에기초하여복제서버의개시, 중지 및스케일링을실행하는방법을예시적으로설명한다. <0066> 본발명은복제서버의개시나중지결정을위한성능메트릭의판단기준으 34-15

17 로서각각하나의임계값과임계값들사이에존재하는완충값을사용한다. 완충값 은 DDoS 공격에의한트래픽의요동 (fluctuation) 시복제서버의점진적인스케일링 을가능하게하며, 메인서버및복제서버에의한서비스의지속성을보장한다. <0067> 도 6 은시간의경과에따른성능메트릭의변화를예시적으로나타내고있 다. <0068> 전술한바와같이, 상기성능메트릭 (Performance Metric; 이하 'PM' 이라한 다 ) 으로는응답시간 (RT), CPU 부하등의성능지표가사용될수있다. 바람직하게 는상기성능메트릭은네트워크내부나외부의센서 (S) 로부터전송되는응답시간 정보이다. <0069> 도시된바와같이, PM 에대응하여 4 개의사전설정된값즉개시임계 값 (threshold invoke; θ inv ), 개시완충값 (bumper invoke; β inv ), 중지완충 값 (bumper revoke; β rev ) 및중지임계값 (θ rev ) 이표시되어있다. 개시완충값 (β inv) 이상의영역은개시영역 (invoke area) 이라하고, 중지완충값 (β rev ) 미만의영 역은중지영역 (revoke area), 그사이의영역은안정영역 (stable area) 이라부른 다. <0070> 도시된 PM 은중지영역을거쳐점진적으로증가하여개시임계값 (θ inv ) 을지 나상승하고있다. 이와같이평균 PM 이개시임계값 (θ inv ) 이상이고, 현재의 PM 또한개시임계값 (θ inv ) 이상인경우초기 DDoS 공격으로판단하고복제서버가개 34-16

18 시된다. <0071> 복제서버가개시된후 PM 의요동 (fluctuation) 이존재하는경우에는주어진 모니터링시간 (T monitor ) 동안의 PM 의평균값이개시완충값 (bumper invoke; β inv ) 을 초과할때에복제서버가개시되는것이바람직하다. 또한, 주어진시간동안성능 메트릭의평균값이중지완충값 (bumper revoke; β rev ) 미만일때에는복제서버가 중지되는것이바람직하다. 이하에서는평균 PM 및최종 PM 값을기준으로복제서 버의개시및중지를판단하는다양한예를설명한다. <0072> 도 7 의 (a) 및 (b) 는 PM 에기초하여복제서버를동적으로개시및중지하기 위한제 1 실시예를예시적으로설명하기위한도면이다. <0073> 우선도 7 의 (a) 를참조하면, 소정의모니터링개시점 (M u_start ) 과모니터링 중지점 (M u_stop ) 사이의주어진모니터링기간 (T monitor ) 동안 PM 이모니터링되고그 기간의평균 PM 값이개시완충값 (β inv ) 을초과하고, 모니터링기간중마지막으로 얻어진 PM 값즉 M u_stop 에서의 PM 값이개시완충값 (β inv ) 이상일때복제서버가개시 된다. <0074> 도 7 의 (b) 를참조하면, 모니터링기간 (T monitor ) 동안의평균 PM 이중지완충 값 (β inv ) 미만이고, 최종 PM 값이중지완충값 (β inv ) 미만일때복제서버는중지된 다. <0075> 도 8 의 (a) 및 (b) 는 PM 에기초하여복제서버를동적으로개시및중지하기 34-17

19 위한제 2 실시예를예시적으로설명하기위한도면이다. <0076> 도 8 의 (a) 와같이, 모니터링기간에서의최종 PM 이안정영역 (stable area) 에존재하더라도, 평균 PM 이개시임계값 (θ inv ) 을초과하는경우에는복제서버가 개시된다. 또한, (b) 와같이모니터링기간에서의최종 PM 이안정영역에존재하더 라도, 평균 PM 이중지임계값 (θ rev ) 미만일때에는복제서버는중지된다. <0077> 도 9 의 (a) 및 (b) 는성능메트릭에기초하여복제서버를동적으로개시및 중지하기위한제 3 실시예를예시적으로설명하기위한도면이다. <0078> 도 9 의 (a) 와같이, 최종 PM 이개시임계값 (θ inv ) 을초과하고, 평균 PM 이중 지완충값 (β inv ) 미만일경우에는안정상태로판단하여복제서버는개시되지않는 다. <0079> 이와유사하게, 도 9 의 (b) 와같이, 최종 PM 이개시임계값 (θ rev ) 을초과하 고, 평균 PM 이중지완충값 (β rev ) 이상일경우에는안정상태로판단하여복제서버 는중지되지않는다. <0080> 도 10 의 (a) 및 (b) 는성능메트릭에기초하여복제서버를동적으로개시및 중지하기위한제 4 실시예를예시적으로설명하기위한도면이다. <0081> 도 10 의 (a) 와같이, 측정된최종 PM 값이개시임계값 (threshold invoke; θ inv ) 이상이고, 그기간동안의평균 PM 이개시임계값 (threshold invoke; θ inv ) 이상인경우복제서버가개시된다. 이때, 복제서버의용량은단위복제서버의크 34-18

20 기의 2 배가된다. <0082> 이와유사하게, 도 10 의 (b) 와같이, 측정된최종 PM 값이개시임계 값 (threshold invoke; θ rev ) 미만이고, 그기간동안의평균 PM 이개시임계 값 (threshold invoke; θ rev ) 미만인경우복제서버가중지된다. 이때, 중지되는 복제서버의용량은단위복제서버의크기의 2 배가된다. <0083> 상술한복제서버의개시및중지에의하여메인서버로의트래픽은복제서버 로분산된다. 트래픽의분산은 DNS 라운드로빈 (DNS Round Robin) 이나스위치기반 부하분산방법등의통상의기법에의해수행될수있다. DNS 라운드로빈은예를 들어 에대한서비스를 이라는 IP 를소유한서버가담당하 고있었다면, 과도한트래픽이집중될시에는 , 등의복제서버의 IP 를해당도메인의담당서버로등록하여사용자의트래픽이복제서버로분산될 수있도록하는기법을말한다. 한편, 스위치기반부하분산방법은특정 IP 영역 을근원지 IP 로가지는패킷혹은일정확률로선택된패킷을지정된대상으로전 달하는네트워크스위치기능을이용하여복제서버로트래픽을분산하는기법을말 한다. 부호의설명 <0084> A 공격자 U 사용자 34-19

21 R RF S 복제서버 복제서버팜 센서 10 네트워크 100 복제서버자원관리장치 120 상태모니터링부 140 DDoS 공격판단부 160 복제서버위치결정부 180 복제서버자원관리부 34-20

22 특허청구범위 청구항 1 메인서버의성능메트릭을측정하는단계 ; 상기메인서버의성능메트릭과사전설정된제 1 기준을대비하여상기메인 서버로의경로상에복제서버의개시여부를결정하는단계 ; 및 상기메인서버의성능메트릭과상기사전설정된제 1 기준보다낮은제 2 기 준을대비하여상기메인서버로의경로상의복제서버의중지여부를결정하는단 계를포함하는복제서버의자원관리방법. 청구항 2 제 1 항에있어서, 상기성능메트릭은메인서버의응답시간정보또는 CPU 부하를포함하는것 을특징으로하는복제서버의자원관리방법. 청구항 3 제 1 항에있어서, 상기성능메트릭은소정기간동안측정된값이고, 상기사전설정된제 1 기준은제 1 임계값및상기제 1 임계값보다낮은제 2 임계값을포함하고, 상기소정기간측정된성능메트릭과상기제 1 임계값또는상기제 2 임계 값과의대비에따라복제서버의개시여부를결정하는것을특징으로하는복제서 버의자원관리방법

23 청구항 4 제 1 항에있어서, 상기성능메트릭은소정기간동안측정된값이고, 상기사전설정된제 2 기준은제 3 임계값및상기제 3 임계값보다낮은제 4 임계값을포함하고, 상기소정기간측정된성능메트릭과상기제 3 임계값또는제 4 임계값을 대비하여복제서버의중지여부를판단하는것을특징으로하는복제서버의자원 관리방법. 청구항 5 제 1 항에있어서, 상기메인서버의성능메트릭의변화에따라상기복제서버를스케일링하는 단계를더포함하는것을특징으로하는복제서버의자원관리방법. 청구항 6 제 1 항에있어서, 상기측정단계는, 네트워크에산재된복수의센서로부터의성능메트릭을수신하는단계를포 함하는것을특징으로하는복제서버의자원관리방법. 청구항 7 제 6 항에있어서, 상기성능메트릭은상기메인서버로의응답시간정보를포함하는것을특징 34-22

24 으로하는복제서버의자원관리방법. 청구항 8 제 6 항에있어서, 상기성능메트릭은상기센서로부터상기메인서버로의네트워크상의경로 정보를포함하는것을특징으로하는복제서버의자원관리방법. 청구항 9 제 8 항에있어서, 상기복제서버개시여부의결정단계는, 상기성능메트릭이상기제 1 기준을초과하는경우상기성능메트릭에포 함된경로정보로부터추출된링크들중상기메인서버로부터가장먼링크에연결 된복제서버를우선적으로개시하는것을특징으로하는복제서버의관리방법. 청구항 10 네트워크에산재된복수의센서로부터성능메트릭정보를수신하는상태모 니터링부 ; 상기성능메트릭정보와사전설정된기준을대비하여 DDoS 공격여부를판 단하는공격판단부 ; DDoS 공격이있는것으로판단되는경우상기네트워크상에복제서버의위치 를결정하는복제서버위치결정부 ; 및 상기복제서버를개시및중지하며상기복제서버의자원을관리하는복제서 버자원관리부를포함하는복제서버관리장치

25 청구항 11 제 10 항에있어서, 상기성능메트릭정보는상기복수의센서와상기메인서버간의링크정보 를포함하고, 상기복제서버위치결정부는상기성능메트릭정보가사전설정된기준을 초과하는경우해당센서와메인서버간의링크정보로부터정체상태인링크중네 트워크경로상의거리가가장먼링크를식별하는것을특징으로하는복제서버 관리장치. 청구항 12 제 10 항에있어서, 상기복제서버자원관리부는 DDoS 공격강도에따라상기복제서버의자원 을증감시키는것을특징으로하는복제서버관리장치. 청구항 13 네트워크에산재된복수의복제서버팜에인접하여메인서버의성능메트릭 을측정하는측정센서 ; 및 상기측정센서로부터의성능메트릭데이터로부터상기네트워크의트래픽 을측정하고, 측정된네트워크트래픽에따라복제서버의자원을관리하는복제서 버관리장치를포함하는복제서버관리시스템

26 요약서 요약 본발명은네트워크트래픽및서버부하에따라클라우드기반의복제서버 를동적으로관리하는방법에관한것이다. 본발명은, 메인서버의성능메트릭을 측정하는단계 ; 상기메인서버의성능메트릭과사전설정된제 1 기준을대비하여 상기메인서버로의경로상에복제서버의개시여부를결정하는단계 ; 및상기메 인서버의성능메트릭과상기사전설정된제 1 기준보다낮은제 2 기준을대비하여 상기메인서버로의경로상의복제서버의중지여부를결정하는단계를포함하는 복제서버의자원관리방법을제공한다. 본발명에따르면, DDoS 등공격자의공격 강도에따라복제서버를개시및중지하고확장및축소하여클라우드기반복제서 버를효율적으로운용할수있게된다. 대표도 도

27 도면 도

28 도 2 도

29 도

30 도

31 도

32 도

33 도

34 도

35 도

시스템, 네트워크모니터링을통한보안강화 네트워크의미래를제시하는세미나 세미나 NetFocus 2003 : IT 관리자를위한네트워크보안방법론 피지피넷 /

시스템, 네트워크모니터링을통한보안강화 네트워크의미래를제시하는세미나 세미나 NetFocus 2003 : IT 관리자를위한네트워크보안방법론 피지피넷 / 팀장나병윤!dewymoon@pgpnet.com 주요내용 시스템모니터링! 패킷크기와장비의 CPU 및 Memory 사용량! SNMP를장비의상태관찰 비정상적인트래픽모니터링! Packet 분석기의다양한트래픽모니터링도구를이용한비정상적인트래픽관찰!