KR101042558B1

KR101042558B1 - Internet Security System with Enhanced Security and Its Operation Method

Info

Publication number: KR101042558B1
Application number: KR1020090111549A
Authority: KR
Inventors: 고완선
Original assignee: 중소기업은행
Priority date: 2009-11-18
Filing date: 2009-11-18
Publication date: 2011-06-20
Anticipated expiration: 2029-11-18
Also published as: KR20110054779A

Abstract

보안성을 강화한 인터넷 보안 시스템 및 그 동작방법이 개시된다. 상기 인터넷 보안 시스템의 일예에 따르면, 적어도 하나의 사용자 컴퓨터 및 인증서버가 연결된 내부 통신망과, 인증된 사용자 컴퓨터가 외부의 인터넷망에 접속하도록 제어하며, 상기 인증된 사용자 컴퓨터가 상기 인터넷망을 통하여 외부의 서버와 파일을 송수신하도록 제어하는 보안 서버와, 상기 내부 통신망과 상기 보안 서버 사이에 배치되어 상기 내부 통신망과 상기 보안 서버 사이의 통신의 일부를 차단하기 위한 제1 방화벽 및 상기 보안 서버와 상기 외부 인터넷망 사이에 배치되어 상기 보안 서버와 상기 외부 인터넷망 사이의 통신의 일부를 차단하기 위한 제2 방화벽을 구비하는 것을 특징으로 한다.Disclosed are an internet security system and a method of operating the same. According to an example of the Internet security system, an internal communication network to which at least one user computer and an authentication server are connected, an authenticated user computer is controlled to access an external Internet network, and the authenticated user computer is externally connected through the Internet network. A security server for controlling transmission and reception of a file with a server, a first firewall arranged between the internal communication network and the security server to block a part of communication between the internal communication network and the security server, and the security server and the external device. And a second firewall disposed between the internet networks to block a part of communication between the security server and the external internet network.

Description

Internet Security System having an enhanced security and Operating Method Thereof}

본 발명은 인터넷 보안 시스템 및 그 동작방법에 관한 것으로서, 자세하게는 바이러스 등 외부의 불법 프로그램에 대한 보안성을 강화한 인터넷 보안 시스템 및 그 동작방법에 관한 것이다.The present invention relates to an internet security system and a method of operating the same, and more particularly, to an internet security system and a method of operating the security of an external illegal program such as a virus.

인터넷은 TCP/IP(Transmission Control Protocol/Internet Protocol)를 사용하는 네트워크로서, 인터넷 기술이 발달함에 따라 인터넷의 사용 영역이 확장됨으로써 개인 및 일반 기업체에서도 인터넷 망에 접속하여 각종 정보를 취득하고 이를 업무에 이용하고 있다. 그러나, 상기와 같은 정보 취득의 장점과는 반대로 바이러스 등 각종 해킹 프로그램이 인터넷에 난무하게 되고, 인터넷에 접속된 네트워크 망에 바이러스 등이 침입하게 됨에 따라 인터넷을 사용하는 시스템이 공격을 받게 된다.The Internet is a network using TCP / IP (Transmission Control Protocol / Internet Protocol). As the Internet technology develops, the area of use of the Internet expands so that individuals and general corporations can access the Internet network and acquire various information. I use it. However, contrary to the above-mentioned advantages of information acquisition, various hacking programs such as viruses are scattered on the Internet, and as the virus enters the network connected to the Internet, the system using the Internet is attacked.

이러한 바이러스 등 각종 해킹 프로그램의 피해 사례는 다양하게 보고되고 있다. 일예로서, 기업체의 내부 통신망에 악성 코드등의 각종 위험한 프로그램이 설치됨으로써, 시스템의 성능을 저하시키는 등의 문제를 야기하거나 기업체의 내부 정보가 인터넷을 통해 유출되는 피해가 발생할 수 있다. 이와 같은 각종 불법적인 침해를 예방하기 위하여 각 사례별로 각종 보안 서비스를 제공하기 위한 연구 개발이 진행되고 있다. Various damage cases of various hacking programs such as viruses have been reported. For example, various dangerous programs such as malicious codes are installed in an internal communication network of a company, which may cause problems such as degrading the performance of the system or damage of internal information of the company leaked through the Internet. In order to prevent such various illegal infringements, research and development are being conducted to provide various security services for each case.

최근 인터넷 보안 관련 시스템 중에서 방화벽(Firewall) 시스템에 대한 연구가 활발히 진행되고 있다. 방화벽 시스템은 해당 기관의 보안 정책에 따라 인가된 인터넷 서비스에 대한 액세스는 허용하고, 인가되지 않은 서비스에 따르는 트래픽을 차단함으로써 효율적인 보안 서비스를 제공한다. 즉, 해당 기관 내부에서 설정한 보안 등급에 따라 허용된 서버에서 제공되는 트래픽만을 허용하며, 이외 다른 서버로부터의 불법적인 트래픽이 수신되는 것을 원천적으로 차단함에 의하여 보안 서비스를 제공한다. Recently, researches on firewall systems among Internet security related systems are being actively conducted. The firewall system provides efficient security services by allowing access to authorized Internet services in accordance with the security policy of the corresponding authority, and blocking traffic following unauthorized services. That is, only the traffic provided by the allowed server is allowed according to the security level set in the relevant institution, and the security service is provided by blocking the illegal traffic from other servers at the source.

그러나, 이와 같은 일반적인 방화벽을 이용한 보안 시스템의 경우, 단지 선택적으로 서버를 허용하는 방식을 이용하는 것으로서, 상기 허용된 서버로부터 제공되는 불법적인 트래픽을 원천적으로 차단할 수 없는 문제가 발생한다. 이에 따라 외부 인터넷과 내부 통신망 사이에 방화벽이 설치되더라도 여전히 내부 통신망은 보안에 취약할 수 있다. However, in the case of a security system using such a general firewall, only a method of selectively allowing a server is used, and a problem arises in that the illegal traffic provided from the allowed server cannot be blocked. As a result, even if a firewall is installed between the external Internet and the internal communication network, the internal communication network may still be vulnerable to security.

본 발명은 상기와 같은 문제점을 해결하기 위한 것으로서, 외부로부터의 불법 프로그램의 무단 유입으로부터 내부 시스템을 보호하기 위한 보안성을 강화한 인터넷 보안 시스템을 제공하는 것을 목적으로 한다.The present invention has been made to solve the above problems, and an object of the present invention is to provide an Internet security system with enhanced security for protecting the internal system from unauthorized inflow of illegal programs from the outside.

상기와 같은 목적을 달성하기 위하여, 본 발명의 일실시예에 따른 인터넷 보안 시스템은, 적어도 하나의 사용자 컴퓨터 및 인증서버가 연결된 내부 통신망과, 인증된 사용자 컴퓨터가 외부의 인터넷망에 접속하도록 제어하며, 상기 인증된 사용자 컴퓨터가 상기 인터넷망을 통하여 외부의 서버와 파일을 송수신하도록 제어하는 보안 서버와, 상기 내부 통신망과 상기 보안 서버 사이에 배치되어 상기 내부 통신망과 상기 보안 서버 사이의 통신의 일부를 차단하기 위한 제1 방화벽 및 상기 보안 서버와 상기 외부 인터넷망 사이에 배치되어 상기 보안 서버와 상기 외부 인터넷망 사이의 통신의 일부를 차단하기 위한 제2 방화벽을 구비하는 것을 특징으로 한다.In order to achieve the above object, the Internet security system according to an embodiment of the present invention, the internal communication network to which at least one user computer and the authentication server is connected, and the authenticated user computer to access the external Internet network And a security server for controlling the authenticated user computer to transmit and receive files to and from an external server through the Internet network, and a portion of communication between the internal communication network and the security server. A first firewall for blocking and a second firewall disposed between the security server and the external internet network to block a part of communication between the security server and the external internet network.

바람직하게는, 상기 보안 서버와 상기 외부 인터넷망은 TCP/IP(Transmission Control Protocol/Internet Protocol)를 이용하여 정보를 송수신하며, 상기 내부 통신망과 상기 보안 서버는 TCP 중 이미지 및 파일의 전송에 관계된 두 개의 포트를 통하여 정보를 송수신하는 것을 특징으로 한다.Preferably, the security server and the external Internet network transmits and receives information using TCP / IP (Transmission Control Protocol / Internet Protocol), and the internal communication network and the security server are related to the transmission of images and files in TCP. It is characterized by transmitting and receiving information through two ports.

또한 바람직하게는, 상기 보안 서버는, 상기 인증된 사용자 컴퓨터의 상기 인터넷망을 통한 인터넷 서핑을 관리하기 위한 서핑 서버와, 상기 인증된 사용자 컴퓨터의 상기 인터넷망을 통한 파일 송수신을 관리하기 위한 파일 서버 및 상기 파일 서버를 통해 수신된 외부의 파일에 대한 바이러스 점검 동작을 수행하기 위한 바이러스 관리서버를 구비하는 것을 특징으로 한다.Also preferably, the security server may include a surfing server for managing internet surfing through the internet network of the authenticated user computer, and a file server for managing file transmission and reception through the internet network of the authenticated user computer. And a virus management server for performing a virus check operation on the external file received through the file server.

또한 바람직하게는, 상기 서핑 서버는, 상기 사용자 컴퓨터가 상기 인터넷망 을 통한 인터넷 서핑을 수행하도록 승인이 되었는지를 판단하기 위한 제1 인증 확인부 및 상기 인터넷망을 통하여 수신된 웹페이지의 형식을 이미지 형식으로 변환하기 위한 웹 변환부를 구비하는 것을 특징으로 한다.Also preferably, the surfing server may include a first authentication check unit for determining whether the user computer is authorized to surf the Internet through the Internet network and a format of a web page received through the Internet network. And a web conversion unit for converting the format.

또한 바람직하게는, 상기 파일 서버는, 상기 사용자 컴퓨터가 상기 인터넷망을 통한 파일 송수신을 수행하도록 승인이 되었는지를 판단하기 위한 제2 인증 확인부와, 상기 사용자 컴퓨터로부터 수신된 전송 파일 및 상기 인터넷망을 통해 수신된 수신 파일을 저장하기 위한 파일 저장부 및 상기 제2 인증 확인부의 판단 결과에 따라 상기 전송 파일을 외부 인터넷망으로 전송하거나 상기 수신 파일을 상기 사용자 컴퓨터로 전송하는 파일 전송부를 구비하는 것을 특징으로 한다.Also preferably, the file server may further include a second authentication check unit for determining whether the user computer is authorized to perform file transmission and reception through the Internet network, a transmission file received from the user computer, and the Internet network. And a file storage unit for storing the received file received through the device and a file transmission unit for transmitting the transmission file to the external internet network or transmitting the received file to the user computer according to a determination result of the second authentication check unit. It features.

한편, 본 발명의 일실시예에 따른 인터넷 보안 시스템의 동작방법은, 인터넷 접속 및/또는 파일 송수신을 승인 요청하는 단계와, 제1 방화벽을 통해 보안 서버에 접속하는 단계와, 제2 방화벽을 통해 외부의 인터넷망에 접속하는 단계와, 상기 외부의 인터넷망을 통해 제공되는 웹페이지 및/또는 파일을 상기 제2 방화벽을 통하여 보안 서버에서 수신하는 단계와, 상기 수신된 웹페이지를 변환하거나 상기 수신된 파일에 대한 바이러스 점검을 수행하는 단계 및 상기 웹페이지 및/또는 파일을 상기 제1 방화벽을 통하여 사용자 컴퓨터로 제공하는 단계를 구비하는 것을 특징으로 한다.On the other hand, the operation method of the Internet security system according to an embodiment of the present invention, the step of requesting approval of the Internet connection and / or file transfer, accessing the security server through the first firewall, and through the second firewall Accessing an external internet network, receiving a web page and / or file provided through the external internet network at a security server through the second firewall, converting or receiving the received web page Performing a virus check on the file and providing the web page and / or file to the user computer through the first firewall.

상기한 바와 같은 본 발명에 따르면, 하나 이상의 방화벽을 통해 외부 인터넷 망과 내부 통신망이 논리적으로 분리되도록 하며, 또한 외부 불법 프로그램의 무단 유입을 방지하기 위한 웹 페이지 변환동작 및 바이러스 검사 등이 내부 통신망과 분리된 영역에서 수행되므로 보안성을 강화한 인터넷 보안 시스템을 제공할 수 있는 효과가 있다.According to the present invention as described above, the external Internet network and the internal communication network is logically separated through at least one firewall, and the web page conversion operation and virus check for preventing unauthorized inflow of external illegal programs and the internal communication network and the like. Since it is performed in a separate area, there is an effect of providing an internet security system with enhanced security.

본 발명과 본 발명의 동작상의 이점 및 본 발명의 실시에 의하여 달성되는 목적을 충분히 이해하기 위해서는 본 발명의 바람직한 실시 예를 예시하는 첨부 도면 및 도면에 기재된 내용을 참조하여야 한다.DETAILED DESCRIPTION In order to fully understand the present invention, the operational advantages of the present invention, and the objects achieved by the practice of the present invention, reference should be made to the accompanying drawings that illustrate preferred embodiments of the present invention.

이하, 첨부한 도면을 참조하여 본 발명의 바람직한 실시 예를 설명함으로써, 본 발명을 상세히 설명한다. 각 도면에 제시된 동일한 참조부호는 동일한 부재를 나타낸다.Hereinafter, exemplary embodiments of the present invention will be described in detail with reference to the accompanying drawings. Like reference numerals in the drawings denote like elements.

도 1은 본 발명의 일실시예에 따른 인터넷 보안 시스템을 나타내는 블록도이다. 도 1에 도시된 바와 같이, 상기 인터넷 보안 시스템(1000)은 내부 통신망에 연결되는 적어도 하나의 사용자 컴퓨터(1110, 1120), 인증서버(1130)를 구비하며, 또한 내부 통신망과 외부의 인터넷 망 사이에 배치되는 적어도 하나의 방화벽과 보안서버(1300)를 구비한다. 상기 적어도 하나의 방화벽의 일예로서, 내부 통신망과 보안서버(1300) 사이에 배치되는 제1 방화벽(1210)과, 보안서버(1300)와 인터넷 망 사이에 배치되는 제2 방화벽(1220)이 구비될 수 있다.1 is a block diagram illustrating an internet security system according to an embodiment of the present invention. As shown in FIG. 1, the Internet security system 1000 includes at least one user computer 1110 and 1120 and an authentication server 1130 connected to an internal communication network, and also between an internal communication network and an external internet network. At least one firewall and security server 1300 is provided in the. As an example of the at least one firewall, a first firewall 1210 disposed between the internal communication network and the security server 1300 and a second firewall 1220 disposed between the security server 1300 and the internet network may be provided. Can be.

해당 기관의 사용자들은 각각 사용자 컴퓨터(1110, 1120)를 이용하여 해당 기관과 관련된 업무를 수행하며, 또한 내부 통신망을 통하여 인증 서버(1130) 및 기타 업무 서버(미도시)에 접속할 수 있다. 또한 업무와 관련되거나 또는 관련되지 않더라도 사용자 컴퓨터(1110, 1120)는 외부 인터넷 망을 통하여 외부의 서버에 접속할 필요가 있으며, 또한 문서 파일을 포함하여 각종 파일들을 외부와 송수신할 필요가 있다. 사용자들이 외부 인터넷 망을 통하여 외부의 서버에 접속하거나 파일을 송수신하는 경우, 이를 허용하는 권한을 가진 승인권자에게 승인을 요청하기 위하여, 승인 요청을 인증 서버(1130)로 전송할 수 있다. Users of the organization may perform tasks related to the organization by using the user computers 1110 and 1120, respectively, and may access the authentication server 1130 and other business servers (not shown) through the internal communication network. In addition, even if it is not related to work or not, the user computers 1110 and 1120 need to access an external server through an external internet network, and also need to transmit and receive various files including document files. When the user accesses an external server or transmits and receives a file through an external internet network, an authorization request may be transmitted to the authentication server 1130 in order to request approval from an approver having permission to permit the authorization.

본 발명의 일실시예의 인터넷 보안 시스템(1000)에 따르면, 외부의 인터넷 망을 통하여 불법 프로그램이 유입되는 것을 원천적으로 차단하고 또한 내부 정보가 무단으로 외부로 유출되는 것을 방지하기 위하여, 내부 통신망과 외부의 인터넷 망 사이에 배치되는 적어도 하나의 방화벽과 보안서버(1300)가 배치된다. 내부 통신망에 연결된 사용자 컴퓨터(1110, 1120)와 보안서버(1300)의 통신은 제1 방화벽(1210)을 통하여 이루어진다. 또한 보안서버(1300)와 외부의 인터넷 망에 연결된 외부의 서버는 제2 방화벽(1220)을 통하여 이루어진다. 보안서버(1300)와 외부의 인터넷 망에 연결된 외부의 서버 사이의 통신은 외부로부터의 불법 프로그램이 내부 통신망으로 제공되기 이전의 통신이므로, 상기 보안서버(1300)와 외부의 인터넷 망에 연결된 외부의 서버는 일반적인 TCP/IP(Transmission Control Protocol/Internet Protocol)에 의하여 통신할 수 있다. 반면에, 보안서버(1300)와 내부 통신망에 연결된 사용자 컴퓨터(1110, 1120) 사이의 통신은 불법 프로그램이 전달되는 것을 원천적으로 차단할 필요가 있으므로, 이는 TCP 중 일부의 포트(일예로서, 이미지 전송 포트, 파일 전송 포트)만을 사용하여 통신할 수 있다. According to the Internet security system 1000 of an embodiment of the present invention, the internal communication network and the external in order to fundamentally block the inflow of illegal programs through the external Internet network and to prevent the internal information from being leaked to outside At least one firewall and the security server 1300 is disposed between the Internet network of the. Communication between the user computers 1110 and 1120 connected to the internal communication network and the security server 1300 is performed through the first firewall 1210. In addition, the external server connected to the security server 1300 and the external Internet network is made through the second firewall (1220). Since the communication between the security server 1300 and an external server connected to an external Internet network is communication before an illegal program from the outside is provided to the internal communication network, the security server 1300 and an external Internet network connected to the external Internet network The server can communicate by the general Transmission Control Protocol / Internet Protocol (TCP / IP). On the other hand, the communication between the security server 1300 and the user computers 1110 and 1120 connected to the internal communication network need to fundamentally prevent the transmission of illegal programs, which is why some ports of TCP (for example, image transmission ports) are used. Only the file transfer port.

한편, 보안서버(1300)는 그 내부에 사용자의 인터넷 서핑 서비스를 제공하기 위한 서버와, 사용자가 외부로 파일을 송수신하기 위한 서비스를 제공하는 서버 등을 구비할 수 있다. 또한, 보안서버(1300)는 승인받지 않은 사용자가 인터넷 서핑이나 파일 송수신을 수행하는 것을 차단하기 위한 확인하기 위한 기능을 수행한다. 사용자는 상기 보안서버(1300)에 구비되는 각종 서버들을 이용하여 외부 인터넷 망에 접속하며, 또한 적어도 하나의 방화벽이 사용자 컴퓨터(1110, 1120)와 외부 인터넷 망 사이에 배치되므로, 통신이 허용되지 않는 정보들은 상기 방화벽을 통해 원천적으로 차단되도록 한다. The security server 1300 may include a server for providing a user's Internet surfing service and a server for providing a service for transmitting and receiving a file to the outside. In addition, the security server 1300 performs a function for checking to prevent unauthorized users from surfing the Internet or performing file transmission and reception. The user connects to the external Internet network using various servers provided in the security server 1300, and since at least one firewall is disposed between the user computers 1110 and 1120 and the external Internet network, communication is not allowed. Information is blocked at source through the firewall.

상기와 같이 구성될 수 있는 본 발명의 일실시예에 따른 인터넷 보안 시스템의 자세한 동작을 도 2 및 도 3을 참조하여 설명하면 다음과 같다. Referring to Figures 2 and 3 the detailed operation of the Internet security system according to an embodiment of the present invention can be configured as follows.

도 2는 도 1의 보안 서버의 일구현예를 나타내는 블록도이다. 도 2에 도시된 바와 같이, 보안서버(1300)는 사용자의 인터넷 서핑과 관련된 서비스를 제공하기 위한 서핑 서버(1310)와, 사용자가 인터넷 망을 통하여 외부와 파일을 송수신하도록 하는 서비스를 제공하기 위한 파일 서버(1320)를 구비할 수 있다. 또한, 보안서버(1300)는 외부로부터 제공되는 각종 정보 및 파일 등에 대한 바이러스 및 악성 프로그램 등의 점검을 수행하기 위한 바이러스 관리서버(1330)를 구비할 수 있다. 설명의 편의상 보안서버(1300)와 내부 통신망 사이에 배치되는 제1 방화벽(1210)과, 보안서버(1300)와 외부 인터넷 망 사이에 배치되는 제2 방화벽(1220)이 도 2에 더 도시된다.2 is a block diagram illustrating an embodiment of the security server of FIG. 1. As shown in FIG. 2, the security server 1300 is a surf server 1310 for providing a service related to the user's surfing of the Internet, and a service for providing a service for allowing a user to transmit and receive files to and from the outside through the Internet. The file server 1320 may be provided. In addition, the security server 1300 may be provided with a virus management server 1330 for checking the virus and malicious programs for various information and files provided from the outside. For convenience of description, a first firewall 1210 disposed between the security server 1300 and the internal communication network and a second firewall 1220 disposed between the security server 1300 and the external internet network are further illustrated in FIG. 2.

사용자는 인터넷 서핑 또는 파일 송수신과 관련된 승인을 얻기 위하여, 승인 요청을 내부 통신망을 통해 인증서버로 전송하며, 승인권자는 이에 대한 승인명령 을 내부 통신망으로 전송한다. 서핑 서버(1310)는 사용자가 인터넷 서핑과 관련한 승인을 얻었는지를 확인하고, 승인이 존재하는 것으로 확인된 경우 상기 사용자에게 인터넷 서핑 기능을 제공한다. 외부의 인터넷 망을 통하여 수신되는 웹 페이지는 내부 통신망을 거쳐 사용자 컴퓨터로 제공되며, 또한 사용자 컴퓨터로부터 수신되는 웹 페이지 요청이나 기타 정보들을 인터넷 망을 통해 외부로 전송한다. 서핑 서버(1310)는 TCP의 일부 포트들, 일예로서 이미지나 파일 송수신을 위한 포트들만을 이용하여 보안 서버(1300)와 사용자 컴퓨터들 사이에 통신이 이루어지도록 한다. 또한 제1 방화벽(1210)은 허용 가능한 정보의 전달 수준을 기 설정하고, 이에 따른 허용된 정보만이 송수신되도록 하여 불법 프로그램의 유입을 사전 차단한다.The user sends an approval request to the authentication server through the internal communication network in order to obtain an approval related to surfing the Internet or sending and receiving files, and the approver sends an approval command to the internal communication network. The surfing server 1310 checks whether the user has obtained approval related to surfing the Internet, and provides the user with the Internet surfing function if the approval is found to exist. The web page received through the external internet network is provided to the user computer through the internal communication network, and also transmits the web page request or other information received from the user computer to the outside via the internet network. The surfing server 1310 allows communication between the security server 1300 and user computers using only some ports of TCP, for example, ports for transmitting or receiving images or files. In addition, the first firewall 1210 pre-sets an acceptable level of information transmission, and thus allows only the allowed information to be transmitted and received to block the inflow of illegal programs in advance.

외부로부터 웹 페이지와 관련된 정보가 수신되면, 바이러스 관리서버(1330)는 상기 정보에 대하여 바이러스 점검을 기본적으로 수행한다. 서핑 서버(1310)는 외부의 정보에 대한 바이러스 점검 결과를 기반으로 하여, 상기 외부로부터 수신된 정보를 내부 통신망을 통하여 사용자 컴퓨터로 전송한다. 상술하였던 바와 같이, 보안 서버(1300)는 외부의 인터넷 망을 통하여 외부 서버와 일반적인 TCP/IP(Transmission Control Protocol/Internet Protocol)를 이용하여 통신하여도 무방하다. 제2 방화벽(1220) 또한 허용 가능한 정보의 전달 수준을 기 설정하고, 이에 따른 허용된 정보만이 송수신되도록 하여 불법 프로그램의 유입을 사전 차단한다. 제2 방화벽(1220)은 제1 방화벽(1210)과 그 정보 전달의 허용 수준이 동일하거나 다르게 설정되어도 무방하다. 일예로서, 제2 방화벽(1220)으로 제공되는 외부의 정보들은 아직 바이러스 점검이 수행되기 전의 정보이므로, 제2 방화벽(1220)의 보안 수준은 제1 방화벽(1210)보다 상대적으로 낮게 설정되어도 무방하다.When information related to a web page is received from the outside, the virus management server 1330 basically performs a virus check on the information. The surfing server 1310 transmits the information received from the outside to the user computer through the internal communication network based on the virus check result for the external information. As described above, the security server 1300 may communicate with the external server through the external Internet network using a general Transmission Control Protocol / Internet Protocol (TCP / IP). The second firewall 1220 also pre-sets an acceptable level of information transmission, and thus allows only the allowed information to be transmitted and received, thereby preventing the inflow of illegal programs in advance. The second firewall 1220 may be configured to have the same or different level of permission of the first firewall 1210 and its information transfer. As an example, since the external information provided to the second firewall 1220 is still information before the virus check is performed, the security level of the second firewall 1220 may be set relatively lower than that of the first firewall 1210. .

파일 서버(1320) 또한 상기 서핑 서버(1310)와 유사한 서비스를 제공할 수 있다. 외부로 파일을 전송하기 위해서는 인터넷 망을 사용하기 위한 승인이 선행되어야 한다. 상기 승인 절차는 인터넷 서핑에 대한 승인 및 파일 전송에 대한 승인이 서로 구분되어도 무방하며, 하나의 승인 절차로 통합되어도 무방하다. The file server 1320 may also provide a service similar to the surf server 1310. In order to transfer files to the outside, approval to use the Internet network must be preceded. The approval procedure may be distinguished from the approval for surfing the Internet and the approval for file transfer, or may be integrated into one approval procedure.

도 3은 도 2의 서핑 서버, 파일 서버 및 바이러스 관리서버의 일구현예를 나타내는 블록도이다. 도 3에 도시된 바와 같이, 서핑 서버(1310)는 제1 인증 확인부(1311)와 웹 변환부(1312)를 구비할 수 있으며, 또한 파일 서버(1320)는 제2 인증 확인부(1321), 파일 저장부(1322) 및 파일 전송부(1323)를 구비할 수 있다. 또한 바이러스 관리서버(1330)는 바이러스 점검부(1331)를 구비할 수 있다.3 is a block diagram illustrating an embodiment of a surfing server, a file server, and a virus management server of FIG. 2. As shown in FIG. 3, the surfing server 1310 may include a first authentication checker 1311 and a web converter 1312, and the file server 1320 may include a second authentication checker 1321. The file storage unit 1322 and the file transfer unit 1323 may be provided. In addition, the virus management server 1330 may be provided with a virus check unit 1331.

서핑 서버(1310)는 사용자의 인터넷 서핑 서비스를 제공하는 것으로서, 제1 인증 확인부(1311)는 인증서버로부터 상기 사용자의 인터넷 서핑이 승인되었는지를 확인한다. 특히 웹 변환부(1312)는 사용자 컴퓨터로부터의 정보를 변환하여 외부의 인터넷 망을 통해 전송하거나, 또는 외부의 인터넷 망으로부터 제공된 정보를 변환하여 사용자 컴퓨터로 전송한다. 일예로서, 서핑 서버(1310)는 TCP의 이미지 및 파일 전송과 관련된 포트만을 사용하여 웹 페이지의 정보를 사용자 컴퓨터로 제공하므로, 외부의 인터넷 망을 통해 수신된 웹 페이지의 정보를 참조하여 이를 이미지 파일로 변환하고 이를 TCP의 이미지 포트를 통해 사용자 컴퓨터로 전송한다. 즉, HTML 기반의 웹 페이지 정보를 참조하여 상기 웹 페이지와 동일한 화면을 갖는 가상 이미지를 생성하고, 상기 생성된 이미지 파일을 사용자 컴퓨터로 제공하여 사용 자가 실제 HTML 기반의 웹 페이지를 보는 것과 동일한 효과를 발생하도록 한다. The surf server 1310 provides a user's Internet surfing service, and the first authentication checker 1311 confirms whether the user's internet surfing is approved from the authentication server. In particular, the web conversion unit 1312 converts the information from the user's computer and transmits it through the external internet network, or converts the information provided from the external internet network and transmits the information to the user's computer. For example, since the surfing server 1310 provides information of a web page to a user computer using only a port related to image and file transfer of TCP, the surfing server 1310 refers to the information of a web page received through an external internet network and thus displays the image file. And transfer it to your computer through TCP's image port. That is, a virtual image having the same screen as the web page is generated by referring to the HTML-based web page information, and the generated image file is provided to the user's computer to have the same effect as a user viewing the actual HTML-based web page. To occur.

또한, 상기 웹 페이지에는 사용자가 검색어라든지 아이디나 패스워드 등을 실제 입력하는 창이 존재할 수 있다. 상기 웹 변환부(1312)는 웹 페이지 정보에 포함되는 해당 화면의 좌표값을 참조하여, 상기 생성되는 이미지의 대응하는 위치에 사용자가 텍스트를 입력할 수 있는 창이 형성되도록 한다. 사용자가 상기 텍스트 창에 소정의 텍스트를 입력하면, 웹 변환부(1312)는 그 입력된 텍스트를 인식하고 상기 텍스트 정보를 포함하는 HTML 기반의 정보를 인터넷 망을 통해 외부의 서버로 전송한다. 상기 외부의 서버는 이에 따른 또 다른 웹 페이지를 서핑 서버(1310)로 제공하며, 웹 변환부(1312)는 상기 수신된 웹 페이지 정보를 참조하여 또 다시 이미지 정보를 발생하고 이를 사용자 컴퓨터로 제공한다.In addition, the web page may include a window where the user actually inputs a search word or an ID or password. The web converter 1312 refers to a coordinate value of a corresponding screen included in web page information so that a window for allowing a user to input text is formed at a corresponding position of the generated image. When a user inputs predetermined text in the text window, the web converter 1312 recognizes the input text and transmits HTML-based information including the text information to an external server through the Internet. The external server provides another web page accordingly to the surfing server 1310, and the web converting unit 1312 generates image information again by referring to the received web page information and provides it to the user computer. .

한편, 파일 서버(1320)에 구비되는 제2 인증 확인부(1321)는 사용자가 승인권자로부터 외부로의 파일 송수신에 대한 인증을 얻었는지를 확인한다. 파일 전송부(1323)는 상기 인증 확인 절차를 거친 사용자에 대해서만 파일이 송수신 가능하도록 전송을 제어한다. 파일 저장부(1322)는 외부로 전송될 파일들 및 외부로부터 전송된 파일들에 대한 일시 또는 소정 기간 동안 저장할 수 있다. 파일 전송부(1323)는 승인 확인에 기반하여 파일의 송수신을 제어하는 것 외에도, 외부로부터 수신된 파일에 대하여 바이러스 점검부(1331)의 점검 결과에 기반하여 파일의 송수신을 제어할 수도 있다. On the other hand, the second authentication check unit 1321 provided in the file server 1320 checks whether the user has obtained authentication for file transmission and reception from the approver to the outside. The file transmitter 1323 controls the transmission so that the file can be transmitted and received only to the user who has passed the authentication check procedure. The file storage unit 1322 may store files to be transmitted to the outside and files transmitted from the outside for a temporary or predetermined period of time. In addition to controlling the transmission and reception of the file based on the confirmation confirmation, the file transmission unit 1323 may also control the transmission and reception of the file based on the result of the virus check unit 1331 check of the file received from the outside.

상기와 같은 본 발명의 일실시예에 따른 인터넷 보안 시스템에 따르면, 내부 통신망과 외부 인터넷 망 사이에 두 개의 방화벽이 존재하고, 또한 상기 두 개의 방화벽 사이에 보안과 관련된 서버가 추가로 구비된다. 이에 따라, 해당 기관에서 사용하는 내부 통신망과 외부의 인터넷 망이 논리적으로 분리될 수 있으므로, 내부 통신망을 통하여 외부의 불법 프로그램이 사용자 컴퓨터로 전달되는 것을 차단할 수 있다. According to the Internet security system according to an embodiment of the present invention as described above, two firewalls exist between an internal communication network and an external internet network, and a server related to security is further provided between the two firewalls. Accordingly, since the internal communication network and the external Internet network used by the corresponding organization can be logically separated, it is possible to block external illegal programs from being transmitted to the user computer through the internal communication network.

도 4a,b는 본 발명의 일실시예에 따른 인터넷 보안 시스템의 동작방법을 나타내는 플로우차트이다. 도 4a는 외부의 인터넷 망을 통하여 인터넷 서핑을 수행하는 동작의 플로우차트이며, 도 4b는 외부와 파일을 송수신하는 동작을 나타내는 플로우차트이다.4A and 4B are flowcharts illustrating a method of operating an Internet security system according to an embodiment of the present invention. 4A is a flowchart of an operation of surfing the Internet through an external Internet network, and FIG. 4B is a flowchart of an operation of transmitting and receiving a file with the outside.

도 4a에 도시된 바와 같이, 해당 기관의 사용자가 인터넷 서핑을 수행하기 위해서는 인터넷 접속의 승인 요청을 승인 서버로 전송하는 단계가 수행된다(S11). 인터넷 접속이 승인되면, 사용자는 사용자 컴퓨터에 구비되는 소정의 브라우저를 통하여 웹 페이지 수신을 위한 요청을 외부 인터넷 망을 통해 전송한다. 이를 위하여, 사용자 컴퓨터는 시스템 내에 구비되는 제1 방화벽을 통해 서핑 서버에 접속되며(S12), 또한 상기 서핑 서버 및 제2 방화벽을 통해 외부의 인터넷 망에 접속된다(S13).As illustrated in FIG. 4A, in order to surf the Internet, a user of the corresponding authority transmits a request for approval of an internet connection to an approval server (S11). If the internet connection is approved, the user transmits a request for receiving a web page through an external internet network through a predetermined browser provided in the user's computer. To this end, the user computer is connected to the surfing server through the first firewall provided in the system (S12), and is also connected to the external internet network through the surfing server and the second firewall (S13).

사용자로부터 제공된 웹 페이지 수신 요청이 외부의 서버로 제공되면, 외부의 서버는 이에 응답하여 웹 페이지를 제공한다. 상기 외부 서버로부터의 웹 페이지 정보는 제2 방화벽을 통해 상기 서핑 서버에서 수신된다(S14). 상기 서핑 서버는 외부의 인터넷 망과 일반적인 TCP/IP를 통해 정보를 송수신한다. 반면에, 서핑 서버는 내부 통신망을 통해 사용자 컴퓨터와 정보를 송수신하는 경우, TCP 중 이미 지 및 파일 전송과 관련된 일부의 포트들만을 사용하여 정보를 송수신한다. 이를 위하여, 상기 서핑 서버는 외부 서버로부터 제공된 웹 페이지 정보를 참조하여 이를 이미지 파일로 변환하는 동작을 수행한다(S15). 즉, 상기 웹 페이지와 실질적으로 동일한 화면을 갖는 이미지를 생성하여, 이를 제1 방화벽을 통해 사용자 컴퓨터로 전달한다(S16). 사용자 컴퓨터에는 가상 웹 페이지 화면이 디스플레이 되며, 이에 따라 상기 웹 페이지를 직접 전송함에 의하여 상기 웹 페이지 정보에 포함될 수 있는 기타 다른 불법 프로그램들의 전송을 차단할 수 있다.When a request for receiving a web page provided from a user is provided to an external server, the external server provides a web page in response. Web page information from the external server is received at the surfing server through a second firewall (S14). The surf server transmits and receives information to and from the external Internet network through general TCP / IP. On the other hand, when the surf server transmits and receives information to and from the user's computer through the internal communication network, it transmits and receives information using only some ports related to image and file transfer among TCP. To this end, the surfing server refers to the web page information provided from the external server and converts it to an image file (S15). That is, an image having a screen substantially the same as the web page is generated and transferred to the user computer through the first firewall (S16). A virtual web page screen is displayed on the user's computer. Accordingly, the web page may be directly transmitted to block transmission of other illegal programs that may be included in the web page information.

한편, 도 4b에 도시된 바와 같이, 사용자가 외부의 인터넷 망을 통하여 파일을 전송하는 경우에는, 인증 서버로 파일 송수신과 관련된 승인 요청을 전달하며(S21), 승인이 이루어진 경우 사용자 컴퓨터는 제1 방화벽을 통해 파일 서버에 접속한다(S22). 또한, 앞서 도 4a에서 설명된 것과 유사하게, 파일 서버는 제2 방화벽을 통해 인터넷 망에 접속하며(S23), 상기 접속된 인터넷 망을 통하여 파일을 전달하거나 또는 외부로부터 파일을 수신한다(S24).On the other hand, as shown in Figure 4b, when the user transmits the file via the external Internet network, and transmits the approval request associated with the transmission and reception of the file to the authentication server (S21), if the approval is made, the user computer first The file server is accessed through the firewall (S22). In addition, similar to the above described in Figure 4a, the file server is connected to the Internet network through the second firewall (S23), and transfers files through the connected Internet network or receives files from the outside (S24) .

일예로서, 외부로부터 파일을 수신하는 경우, 외부의 파일은 제2 방화벽을 통하여 파일 서버로 수신된다(S24). 상기 외부의 파일이 수신되는 경우, 상기 파일 서버 내부에 구비되거나 또는 그 외부에 구비되는 바이러스 점검 서버에 의하여 상기 외부의 파일에 대한 바이러스 점검 동작을 수행한다(S25). 상기 바이러스 점검 결과에 따라서, 파일 서버는 외부 파일이 사용자 컴퓨터로 전달되는 것을 차단하거나, 만약 바이러스가 존재하지 않는 것으로 점검된 경우에는 파일 서버는 상기 수신된 파일을 제1 방화벽을 통하여 사용자 컴퓨터로 전달한다.As an example, when receiving a file from the outside, the external file is received by the file server through the second firewall (S24). When the external file is received, a virus check operation is performed on the external file by a virus check server provided inside or outside the file server (S25). According to the virus check result, the file server blocks external files from being delivered to the user's computer or, if it is checked that a virus does not exist, the file server delivers the received file to the user's computer through the first firewall. do.

본 발명은 도면에 도시된 실시예를 참고로 설명되었으나 이는 예시적인 것에 불과하며, 본 기술 분야의 통상의 지식을 가진 자라면 이로부터 다양한 변형 및 균등한 다른 실시예가 가능하다는 점을 이해할 것이다. 따라서, 본 발명의 진정한 기술적 보호 범위는 첨부된 특허청구범위의 기술적 사상에 의하여 정해져야 할 것이다.Although the present invention has been described with reference to the embodiments shown in the drawings, this is merely exemplary, and it will be understood by those skilled in the art that various modifications and equivalent other embodiments are possible. Therefore, the true technical protection scope of the present invention will be defined by the technical spirit of the appended claims.

도 1은 본 발명의 일실시예에 따른 인터넷 보안 시스템을 나타내는 블록도이다.1 is a block diagram illustrating an internet security system according to an embodiment of the present invention.

도 2는 도 1의 보안 서버의 일구현예를 나타내는 블록도이다.2 is a block diagram illustrating an embodiment of the security server of FIG. 1.

도 3은 도 2의 서핑 서버, 파일 서버 및 바이러스 관리서버의 일구현예를 나타내는 블록도이다.3 is a block diagram illustrating an embodiment of a surfing server, a file server, and a virus management server of FIG. 2.

도 4a,b는 본 발명의 일실시예에 따른 인터넷 보안 시스템의 동작방법을 나타내는 플로우차트이다.4A and 4B are flowcharts illustrating a method of operating an Internet security system according to an embodiment of the present invention.

* 도면의 주요부분에 대한 부호의 설명 * Explanation of symbols on the main parts of the drawings

1000: 인터넷 보안 시스템1000: Internet Security System

1110, 1120: 사용자 컴퓨터1110, 1120: your computer

1130: 인증서버1130: authentication server

1210, 1220: 제1 및 제2 방화벽1210, 1220: first and second firewall

1300: 보안 서버1300: security server

Claims

An internal communication network to which at least one user computer and an authentication server are connected;

A security server for controlling an authenticated user computer to access an external internet network, and controlling the authenticated user computer to transmit and receive a file with an external server through the internet network;

A first firewall disposed between the internal communication network and the security server to block a part of communication between the internal communication network and the security server; And

A second firewall disposed between the security server and the external internet network to block a part of communication between the security server and the external internet network;

The security server includes a surfing server for managing internet surfing through the internet network of the authenticated user computer,

The surfing server,

The image file is converted into an image file having the same screen as the web page by using the information of the web page received through the internet network, and the corresponding image of the converted image file is referred to by referring to a coordinate value of a window for inputting information on the web page. Form a text window for entering text at the location, and transfer the converted image file to the user's computer through an image port of Transmission Control Protocol (TCP);

And an HTML-based information including text information of the text window input by the user computer to an external server through the internet network.

The method of claim 1,

The security server and the external Internet network transmit and receive information using TCP / IP (Transmission Control Protocol / Internet Protocol), and the internal communication network and the security server transmit and receive information through the image port and the file port of TCP. Internet security system, characterized in that.

The method of claim 1, wherein the security server,

A file server for managing file transmission and reception through the internet network of the authenticated user computer; And

And a virus management server for performing a virus check operation on the external file received through the file server.

The method of claim 3, wherein the surf server,

A first authentication check unit for determining whether the user computer is authorized to surf the Internet through the Internet network; And

And a web conversion unit for converting the information of the web page received through the internet network into the image file.

The method of claim 3, wherein the file server,

A second authentication check unit for determining whether the user computer is authorized to perform file transmission and reception through the Internet network;

A file storage unit for storing a transmission file received from the user computer and a reception file received through the Internet network; And

And a file transmission unit configured to transmit the transmission file to an external internet network or to transmit the received file to the user computer according to a determination result of the second authentication confirmation unit.

delete