KR101489142B1

KR101489142B1 - Client system and control method thereof

Info

Publication number: KR101489142B1
Application number: KR20130082294A
Authority: KR
Inventors: 이주석; 김주현
Original assignee: 주식회사 안랩
Priority date: 2013-07-12
Filing date: 2013-07-12
Publication date: 2015-02-05
Also published as: KR20150007803A; WO2015005736A1

Abstract

본 발명은, 비록 AV-Killing 악성프로그램에 의해 시스템 내 악성진단프로그램이 공격받아 종료되었지만, 악성진단프로그램을 종료시킨 AV-Killing 악성프로그램에 대한 정보들(종료관련정보)을 다잉메시지와 같이 남겨, 서버를 통해서 다수의 다른 클라이언트들이 AV-Killing 악성프로그램을 진단대상으로서 인지할 수 있도록 함으로써, 하나의 클라이언트시스템의 희생을 기반으로 다른 다수의 클라이언트들이 새로운 AV-Killing 악성프로그램 자체를 빠르게 진단하여 AV-Killing 악성프로그램의 실행을 원천 차단할 수 있는 클라이언트시스템 및 클라이언트시스템의 동작 방법에 관한 것이다.Killing malicious programs that terminate the malicious diagnostic program although the malicious diagnostic program in the system has been terminated by an attack by the AV-Killing malicious program, leaving the information about the malicious program (termination related information) as a dying message, Killing malicious programs can be diagnosed by a number of other clients through the server, so that a number of other clients can rapidly diagnose new AV-Killing malicious programs themselves based on the sacrifice of one client system, Killing Malicious programs that can block the execution of the client system and client system.

Description

[0001] CLIENT SYSTEM AND CONTROL METHOD THEREOF [0002]

본 발명의 실시예들은, 악성진단프로그램(예 : 안티 바이러스 제품)을 공격하여 종료시키는 악성프로그램으로부터 시스템을 빠르고 효율적으로 보호할 수 있도록 하는 기술들과 관련된다.Embodiments of the present invention relate to techniques that allow a system to be protected quickly and efficiently from malicious programs that attack and terminate malicious diagnostic programs (e.g., anti-virus products).

많은 악성코드(악성프로그램)들이 자신을 진단하는 악성진단프로그램(예: 안티 바이러스 제품)에 대항하기 위해, 악성진단프로그램을 공격하여 종료시킨 후에 시스템을 감염 시키고 있다. 이런 기술을 AV-Killing 기술이라고 부르는데, AV-Killing 기술에 의해 악성진단프로그램이 종료되면, 악성진단프로그램의 진단 기능이 무력화가 되어 더 이상 시스템을 보호 하는 것이 불가능해 진다. Many malicious programs (malicious programs) are infecting the system after attacking and terminating the malicious diagnostic program against malicious diagnostic programs (such as antivirus products) that diagnose themselves. This technology is called AV-Killing technology. When the malicious diagnostic program is terminated by AV-Killing technology, the diagnosis function of the malicious diagnostic program is disabled and it is no longer possible to protect the system.

이러한, AV-Killing 기술에 대응하고자 많은 악성진단프로그램 업체들은 자신의 제품에 자체 보호 기술을 적용하여 무력화 되지 않도록 방어하고 있다.To cope with such AV-Killing technology, many malicious diagnostic program vendors are applying self-protection technology to their products to prevent them from being disabled.

하지만, 이와 같은 방어 기법을 악성진단프로그램에 적용하는 방식은, 얼마 지나지 않아 악성코드들이 그 방어 기법을 무력화 하는 새로운 공격 기법으로 악성진단프로그램을 공격하기 때문에 방어와 공격의 악순환이 반복될 뿐이다.However, the method of applying such a defense technique to a malicious diagnostic program is only a repetition of a vicious cycle of defense and attack because malicious codes attack a malicious diagnostic program as a new attack technique which nullifies the defense technique in a short period of time.

이에, 본 발명에서는, 악성진단프로그램에 방어 기법을 적용하는 기존의 자체 보호 기술 보다는, 악성진단프로그램을 공격하는 악성코드 자체를 빠르게 진단하여 이에 대처할 수 있도록 함으로써 악성코드의 실행을 원천적으로 차단할 수 있는 방안을 제안하고자 한다.Accordingly, in the present invention, it is possible to quickly diagnose and cope with malicious codes that attack malicious diagnostic programs, rather than existing self-protection techniques that apply defense techniques to malicious diagnostic programs, thereby preventing malicious code from being executed I would like to propose a plan.

본 발명의 실시예들은 악성진단프로그램(예 : 안티 바이러스 제품)을 공격하여 종료시키는 악성프로그램으로부터 시스템을 빠르고 효율적으로 보호하기 위한 기술로서, 악성진단프로그램을 공격하는 악성프로그램 자체를 빠르게 진단하여 결과적으로 악성프로그램의 실행을 원천 차단할 수 있는 클라이언트시스템 및 클라이언트시스템의 동작 방법을 제안하고자 한다.Embodiments of the present invention are technologies for quickly and efficiently protecting a system from a malicious program that attacks and terminates a malicious diagnostic program (for example, an antivirus product). It quickly diagnoses a malicious program that attacks a malicious diagnostic program, We propose a client system and a client system that can block malicious programs from running.

상기 목적을 달성하기 위한 본 발명의 제 1 관점에 따른 클라이언트시스템의 동작 방법은, 악성진단프로그램이 비정상적으로 종료되는지 여부를 판단하는 판단단계; 상기 악성진단프로그램이 비정상적으로 종료되면, 상기 악성진단프로그램의 비정상적인 종료와 관련된 종료관련정보를 생성하는 정보생성단계; 및 상기 생성한 종료관련정보를 서버로 제공하여, 상기 서버가 상기 종료관련정보를 기초로 상기 악성진단프로그램을 종료시킨 악성프로그램을 인지하고 진단대상으로 추가하여 상기 서버와 연동하는 타 클라이언트에서 상기 악성프로그램이 실행되기 이전에 진단할 수 있도록 하는 제공단계를 포함한다.According to a first aspect of the present invention, there is provided a method of operating a client system, the method comprising: determining whether a malicious diagnostic program is abnormally terminated; An information generating step of generating termination-related information related to abnormally terminating the malicious diagnostic program when the malicious diagnostic program abnormally terminates; And providing the generated termination related information to a server to recognize a malicious program terminated by the server based on the termination related information and add the termination related information to a diagnosis target, And a providing step for enabling diagnosis before the program is executed.

상기 목적을 달성하기 위한 본 발명의 제 2 관점에 따른 클라이언트시스템은, 악성진단프로그램이 비정상적으로 종료되는지 여부를 판단하는 비정상종료판단부; 상기 악성진단프로그램이 비정상적으로 종료되면, 상기 악성진단프로그램의 비정상적인 종료와 관련된 종료관련정보를 생성하는 정보생성부; 및 상기 생성한 종료관련정보를 서버로 제공하여, 상기 서버가 상기 종료관련정보를 기초로 상기 악성진단프로그램을 종료시킨 악성프로그램을 인지하고 진단대상으로 추가하여 상기 서버와 연동하는 타 클라이언트에서 상기 악성프로그램이 실행되기 이전에 진단할 수 있도록 하는 정보제공부를 포함한다.According to a second aspect of the present invention, there is provided a client system including an abnormal termination determination unit for determining whether a malicious diagnostic program abnormally terminates; An information generating unit generating termination-related information related to abnormal termination of the malicious diagnostic program when the malicious diagnostic program abnormally terminates; And providing the generated termination related information to a server to recognize a malicious program terminated by the server based on the termination related information and add the termination related information to a diagnosis target, And an information providing unit for making a diagnosis before the program is executed.

본 발명의 실시예들은 하나의 클라이언트시스템의 희생을 기반으로 다른 다수의 클라이언트들이 새로운 AV-Killing 악성프로그램 자체를 빠르게 진단하여 AV-Killing 악성프로그램의 실행을 원천 차단할 수 있는 효과를 갖는다.The embodiments of the present invention have an effect that many other clients based on the sacrifice of one client system can quickly diagnose a new AV-Killing malicious program itself and block the execution of the AV-Killing malicious program.

도 1은 본 발명의 바람직한 실시예에 따른 클라이언트시스템이 포함된 전체 시스템을 보여주는 예시도이다.
도 2는 본 발명의 바람직한 실시예에 따른 클라이언트시스템의 구성을 보여주는 구성도이다.
도 3은 본 발명의 바람직한 실시예에 따른 클라이언트시스템이 포함된 전체 시스템의 제어 흐름을 보여주는 흐름도이다.
도 4는 본 발명의 바람직한 실시예에 따른 클라이언트시스템의 동작 방법을 보여주는 동작 흐름도이다.1 is an exemplary diagram illustrating an entire system including a client system according to a preferred embodiment of the present invention.
2 is a block diagram illustrating a configuration of a client system according to a preferred embodiment of the present invention.
FIG. 3 is a flowchart illustrating a control flow of an entire system including a client system according to a preferred embodiment of the present invention.
4 is a flowchart illustrating an operation method of a client system according to an exemplary embodiment of the present invention.

본 발명은 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시예들을 도면에 예시하고 상세하게 설명하고자 한다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다. 각 도면을 설명하면서 유사한 참조부호를 유사한 구성요소에 대해 사용하였다.While the invention is susceptible to various modifications and alternative forms, specific embodiments thereof are shown by way of example in the drawings and will herein be described in detail. It should be understood, however, that the invention is not intended to be limited to the particular embodiments, but includes all modifications, equivalents, and alternatives falling within the spirit and scope of the invention. Like reference numerals are used for like elements in describing each drawing.

어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다.It is to be understood that when an element is referred to as being "connected" or "connected" to another element, it may be directly connected or connected to the other element, . On the other hand, when an element is referred to as being "directly connected" or "directly connected" to another element, it should be understood that there are no other elements in between.

본 출원에서 사용한 용어는 단지 특정한 실시예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 출원에서, "포함하다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.The terminology used in this application is used only to describe a specific embodiment and is not intended to limit the invention. The singular expressions include plural expressions unless the context clearly dictates otherwise. In the present application, the terms "comprises" or "having" and the like are used to specify that there is a feature, a number, a step, an operation, an element, a component or a combination thereof described in the specification, But do not preclude the presence or addition of one or more other features, integers, steps, operations, elements, components, or combinations thereof.

다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가지고 있다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥 상 가지는 의미와 일치하는 의미를 가지는 것으로 해석되어야 하며, 본 출원에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.Unless defined otherwise, all terms used herein, including technical or scientific terms, have the same meaning as commonly understood by one of ordinary skill in the art to which this invention belongs. Terms such as those defined in commonly used dictionaries are to be interpreted as having a meaning consistent with the contextual meaning of the related art and are to be interpreted as either ideal or overly formal in the sense of the present application Do not.

이하, 첨부된 도면을 참조하여 본 발명의 바람직한 실시예에 대하여 설명한다.Hereinafter, preferred embodiments of the present invention will be described with reference to the accompanying drawings.

먼저, 도 1을 참조하여 본 발명을 설명하면 다음과 같다. 여기서, 도 1은 본 발명의 바람직한 실시예에 따른 클라이언트시스템이 포함된 전체 시스템을 보여주고 있다.First, the present invention will be described with reference to FIG. FIG. 1 illustrates an overall system including a client system according to a preferred embodiment of the present invention.

도 1에 도시된 바와 같이 시스템에는, 클라이언트시스템(100)을 비롯한 다수의 클라이언트들(300)과, 클라이언트시스템(100)을 비롯한 다수의 클라이언트들(300)에서 악성코드(이하, 악성프로그램이라 함)를 진단할 수 있도록 하는 서버(200)를 포함한다. 1, the system includes a plurality of clients 300 including the client system 100 and a plurality of clients 300 including the client system 100. The malicious code (hereinafter referred to as a malicious program) The server 200 includes a server 200 and a server 200.

기본적으로, 클라이언트시스템(100)을 비롯한 다수의 클라이언트들(300)은, 컴퓨터, 스마트폰, 이동통신단말 등과 같이, 탑재된 운영체제를 기반으로 동작하는 시스템일 수 있다.Basically, a plurality of clients 300 including the client system 100 may be a system that operates based on an operating system, such as a computer, a smart phone, a mobile communication terminal, and the like.

이러한, 클라이언트시스템(100)을 비롯한 다수의 클라이언트들(300)에는, 악성프로그램에 의한 감염 및 공격으로부터 시스템을 보호하기 위해서, 시스템에서 악성프로그램을 진단하는 악성진단프로그램(예 : 안티 바이러스 제품)이 설치되어 있다. A plurality of clients 300 including the client system 100 are provided with a malicious diagnostic program (e.g., an anti-virus product) for diagnosing a malicious program in the system in order to protect the system from infection and attack by malicious programs Is installed.

클라이언트시스템(100)을 비롯한 다수의 클라이언트들(300)에 설치되는 악성진단프로그램(예 : 안티 바이러스 제품)은, 서버(200)로부터 제공되어 설치되며 이후에도 서버(200)와의 연동을 통해서 주기적으로 업데이트되는 프로그램으로서, 기 등록된 진단대상이 되는 악성프로그램들에 대한 정보를 기반으로, 자신이 실행되는 시스템 내에서 악성프로그램들을 진단하게 된다.A malicious diagnostic program (e.g., an anti-virus product) installed in a plurality of clients 300 including the client system 100 is provided and installed from the server 200 and is periodically updated through interoperation with the server 200 The malicious programs are diagnosed in the system in which the malicious programs are executed based on the information about the malicious programs to be diagnosed.

예컨대, 악성진단프로그램은, 자체적으로 시스템 내에서 악성프로그램들을 진단하는 클라이언트 기반 진단 방식, 또는 진단 시마다 서버(200)와 연동하여 악성프로그램들을 진단하는 클라우드 기반 진단 방식 중 어느 하나의 방식으로, 악성프로그램을 진단할 수 있다.For example, the malicious diagnostic program may be a client-based diagnostic method for self-diagnosing malicious programs in the system, or a cloud-based diagnostic method for diagnosing malicious programs in cooperation with the server 200 at each diagnosis, Can be diagnosed.

이에, 클라이언트시스템(100)을 비롯한 다수의 클라이언트들(300)는, 시스템 구동과 함께 악성진단프로그램을 실행하여, 시스템 구동 중에 지속적으로 또는 주기적으로 악성진단프로그램이 클라이언트 기반 진단 방식, 또는 클라우드 기반 진단 방식 중 어느 하나의 방식으로 시스템 내에서 악성프로그램을 진단할 수 있도록 함으로써, 이러한 진단 결과에 따른 이후 절차(예 : 진단결과 보고, 진단된 악성프로그램 삭제, 진단된 악성프로그램에 의한 감염 치료 등)을 수행할 수 있게 된다. Accordingly, the plurality of clients 300 including the client system 100 can execute the malicious diagnostic program together with the system, and continuously or periodically execute the malicious diagnostic program in a client-based diagnostic mode or a cloud-based diagnostic mode (Eg, reporting diagnostic results, deleting diagnosed malicious programs, and treating infections with diagnosed malicious programs) by allowing the malicious program to be diagnosed within the system in any of the following ways: .

헌데, 최근에는 이러한 악성진단프로그램을 공격하여 종료시킨 후에 시스템을 감염 시키는 악성프로그램(이하, AV-Killing 악성프로그램이라 함)이 등장하였다. 이러한 AV-Killing 악성프로그램에 의해 시스템에서 악성진단프로그램이 종료되면, 악성진단프로그램의 진단 기능이 무력화가 되어 더 이상 시스템을 보호 하는 것이 불가능해 진다. In recent years, a malicious program (hereinafter referred to as AV-Killing malicious program) that infects a system after attacking and terminating such a malicious diagnostic program has appeared. When the malicious diagnostic program is terminated by the AV-Killing malicious program, the diagnostic function of the malicious diagnostic program is disabled and it is no longer possible to protect the system.

이에, 본 발명에서는, 악성진단프로그램을 공격하는 AV-Killing 악성프로그램 자체를 빠르게 진단하여 이에 대처할 수 있도록 함으로써, AV-Killing 악성프로그램의 실행을 원천적으로 차단할 수 있는 방안을 제안하고자 한다. Accordingly, the present invention proposes a method of blocking the execution of AV-Killing malicious programs by promptly diagnosing AV-Killing malicious programs that attack malicious diagnostic programs and coping with them.

우선, 설명의 편의를 위해, 클라이언트시스템(100)을 비롯한 다수의 클라이언트들(300)에는, 악성진단프로그램이 진단할 수 없는 AV-Killing 악성프로그램, 다시 말해 현재 설치된 버전의 악성진단프로그램이 진단대상으로서 인지하지 못하는 새로운 AV-Killing 악성프로그램이 설치되었다고 가정한다.First, for ease of explanation, a plurality of clients 300, including the client system 100, are provided with an AV-Killing malicious program that can not be diagnosed by the malicious diagnostic program, that is, It is assumed that a new AV-Killing malicious program is installed.

이때, 본 발명에 따른 클라이언트시스템(100)은, 클라이언트시스템(100)을 비롯한 다수의 클라이언트들(300) 중에서 전술의 AV-Killing 악성프로그램이 가장 먼저 실행되는 클라이언트인 것으로 가정하여 설명한다. Here, the client system 100 according to the present invention will be described on the assumption that the aforementioned AV-Killing malicious program is the first client among a plurality of clients 300 including the client system 100.

즉, 클라이언트시스템(100)에서는, 전술한 바와 같이 시스템 구동과 함께 악성진단프로그램을 실행하여, 시스템 구동 중에 지속적으로 또는 주기적으로 악성진단프로그램이 시스템 내에서 악성프로그램을 진단할 수 있도록 할 것이다.That is, in the client system 100, as described above, the malicious diagnostic program is executed along with the system operation so that the malicious diagnostic program can continuously or periodically diagnose malicious programs in the system while the system is running.

이때, 클라이언트시스템(100)에서는, AV-Killing 악성프로그램이 계획한 특정 시점에 실행되어 클라이언트시스템(100) 내 실행 중인 악성진단프로그램을 공격하여 종료시킬 수 있다. At this time, in the client system 100, the AV-Killing malicious program can be executed at a specific time point planned and attacked and terminated by attacking the malicious diagnostic program running in the client system 100. [

이때, 본 발명에 따른 클라이언트시스템(100)은, 먼저 악성진단프로그램이 비정상적으로 종료되었는지 여부를 판단하고, 악성진단프로그램이 비정상적으로 종료된 것으로 판단되면, 악성진단프로그램의 비정상적인 종료와 관련된 종료관련정보를 생성한다. At this time, the client system 100 according to the present invention determines whether or not the malicious diagnostic program has abnormally terminated first. If it is determined that the malicious diagnostic program has abnormally terminated, .

즉, 클라이언트시스템(100)은, 악성진단프로그램이 비정상적으로 종료되는 경우 악성진단프로그램이 AV-Killing 악성프로그램에 의해 공격받아 종료된 것으로 보고, 악성진단프로그램의 비정상적인 종료와 관련된 종료관련정보를 생성하는 것이다.That is, when the malicious diagnostic program is terminated abnormally, the client system 100 determines that the malicious diagnostic program has been attacked and terminated by the AV-Killing malicious program and generates the termination related information related to the abnormal termination of the malicious diagnostic program will be.

결과적으로, 클라이언트시스템(100)은, 시스템 내에서 비록 AV-Killing 악성프로그램에 의해 악성진단프로그램이 공격받아 종료되었지만, 악성진단프로그램을 종료시킨 AV-Killing 악성프로그램에 대한 정보들(종료관련정보)을 다잉메시지와 같이 남기는 것이다.As a result, the client system 100 is able to detect information (termination-related information) about the AV-Killing malicious program which terminated the malicious diagnostic program although the malicious diagnostic program was terminated by attack by the AV-Killing malicious program in the system, As a Dying message.

이에, 클라이언트시스템(100)은, 생성한 종료관련정보를 서버(200)로 제공하여, 서버(200)가 상기 종료관련정보를 기초로 악성진단프로그램을 종료시킨 악성프로그램 즉 AV-Killing 악성프로그램을 인지하고, 인지한 AV-Killing 악성프로그램을 진단대상으로 추가하여 서버(200)와 연동하는 다수의 다른 클라이언트(300)에서 AV-Killing 악성프로그램이 실행되기 이전에 진단할 수 있도록 한다. Accordingly, the client system 100 provides the generated termination related information to the server 200, and the malicious program, that is, the AV-Killing malicious program terminated the malicious diagnostic program based on the termination-related information Killing malicious program is recognized as a diagnostic target and a plurality of other clients 300 interworking with the server 200 can diagnose the AV-Killing malicious program before execution.

보다 구체적으로 설명하면, 서버(200)는, AV-Killing 악성프로그램에 의해서 가장 먼저 공격받은 클라이언트시스템(100)로부터 생성/제공되는 종료관련정보를 기초로 새로운 AV-Killing 악성프로그램을 인지할 수 있다.More specifically, the server 200 can recognize a new AV-Killing malicious program based on the end-related information generated / provided from the client system 100 that was first attacked by the AV-Killing malicious program .

이에, 서버(200)는, 다음 업데이트 주기 도달 시, 전술의 인지한 AV-Killing 악성프로그램을 진단대상으로 추가하여 클라이언트시스템(100)을 비롯한 다수의 클라이언트들(300)에 설치된 악성진단프로그램을 업데이트할 수 있다. The server 200 then adds the above-identified AV-Killing malicious program to the diagnosis target when the next update cycle is reached, and updates the malicious diagnostic program installed in the plurality of clients 300 including the client system 100 can do.

따라서, 비록 클라이언트시스템(100)은 AV-Killing 악성프로그램에 의해 공격을 받았지만, 아직 AV-Killing 악성프로그램이 실행되지 않은 다른 다수의 클라이언트들(300)에서는 서버(200)에 의해 업데이트된 악성진단프로그램이 진단대상으로서 추가된 AV-Killing 악성프로그램을 인지/진단할 수 있기 때문에, 이러한 진단 결과에 따른 이후 절차(예 : 진단결과 보고, 진단된 악성프로그램 삭제, 진단된 악성프로그램에 의한 감염 치료 등)을 수행할 수 있게 된다.Therefore, although the client system 100 is attacked by the AV-Killing malicious program, the malicious diagnostic program updated by the server 200 in the plurality of clients 300, which have not yet executed the AV-Killing malicious program, Since the AV-Killing malicious program added as the diagnosis target can be recognized / diagnosed, a subsequent procedure according to the diagnosis result (for example, diagnosis result report, deletion of diagnosed malicious program, infection treatment by diagnosed malicious program, etc.) . &Lt; / RTI >

한편, 서버(200)는, 클라이언트시스템(100)로부터 생성/제공되는 종료관련정보를 기초로 새로운 AV-Killing 악성프로그램을 인지하면, 클라이언트시스템(100)를 제외한 다수의 클라이언트들(300)와의 전술한 클라우드 기반 진단 방식(또는 네트워크 진단 방식이라 함)을 통해, 다수의 클라이언트들(300)에서 AV-Killing 악성프로그램을 인지/진단하여 이후 절차(예 : 진단결과 보고, 진단된 악성프로그램 삭제, 진단된 악성프로그램에 의한 감염 치료 등)을 수행하도록 할 수도 있다.Meanwhile, when the server 200 recognizes a new AV-Killing malicious program based on the termination-related information generated / provided by the client system 100, the server 200 performs a tactical operation with a plurality of clients 300 excluding the client system 100 Killing malicious programs are recognized / diagnosed by a plurality of clients 300 through a cloud-based diagnosis method (also referred to as a network diagnosis method), and subsequent procedures (for example, diagnosis result report, Infection treatment by a malicious program, etc.).

즉, 전술한 바와 같은 본 발명에 따르면, 하나의 클라이언트시스템(100)의 희생을 기반으로 다른 다수의 클라이언트들이 새로운 AV-Killing 악성프로그램 자체를 빠르게 진단할 수 있는 환경을 조성함으로써, AV-Killing 악성프로그램의 실행을 원천 차단할 수 있는 효과를 도출할 수 있다. In other words, according to the present invention as described above, an environment in which a plurality of other clients can quickly diagnose a new AV-Killing malicious program itself based on the sacrifice of one client system 100, It is possible to obtain the effect of blocking the execution of the program from the source.

이하에서는, 도 2를 참조하여 본 발명의 바람직한 실시예에 따른 클라이언트시스템의 구성을 보다 구체적으로 설명하도록 한다. 설명의 편의를 위해 도 1에서 언급한 참조번호를 이용하여 설명하도록 하겠다.Hereinafter, a configuration of a client system according to a preferred embodiment of the present invention will be described in more detail with reference to FIG. For convenience of explanation, reference will be made to the reference numerals mentioned in FIG.

본 발명의 바람직한 실시예에 따른 클라이언트시스템(100)은, 악성진단프로그램(110)이 비정상적으로 종료되는지 여부를 판단하는 비정상종료판단부(130)와, 악성진단프로그램(110)이 비정상적으로 종료되면, 악성진단프로그램(110)의 비정상적인 종료와 관련된 종료관련정보를 생성하는 정보생성부(140)와, 상기 생성한 종료관련정보를 서버(200)로 제공하여, 상기 서버가 상기 종료관련정보를 기초로 악성진단프로그램(110)을 종료시킨 악성프로그램을 인지하고 진단대상으로 추가하여 서버(200)와 연동하는 다수의 다른 클라이언트들(300)에서 상기 악성프로그램이 실행되기 이전에 진단할 수 있도록 하는 정보제공부(150)를 포함한다. The client system 100 according to the preferred embodiment of the present invention includes an abnormal termination determination unit 130 that determines whether or not the malicious diagnostic program 110 abnormally terminates, and an abnormal termination determination unit 130 when the malicious diagnostic program 110 is abnormally terminated Related information related to abnormal termination of the malicious diagnostic program 110 to the server 200. The server 200 provides the generated termination related information to the server 200, Information for allowing the malicious program to be diagnosed before execution of the malicious program in a plurality of other clients 300 recognizing the malicious program ending the malicious diagnostic program 110 as a diagnosis target and adding the malicious program to the server 200 And includes a providing unit 150.

그리고, 클라이언트시스템(100)에는, 악성진단프로그램(110) 이외에도 다수의 프로그램들(120)이 설치될 수 있다.The client system 100 may include a plurality of programs 120 in addition to the malicious diagnostic program 110.

전술한 바와 같이, 클라이언트시스템(100)에서는, 시스템 구동과 함께 악성진단프로그램(110)을 실행하여, 시스템 구동 중에 지속적으로 또는 주기적으로 악성진단프로그램(110)이 시스템 내에서 악성프로그램을 진단할 수 있도록 한다.As described above, in the client system 100, the malicious diagnostic program 110 is executed along with the system operation so that the malicious diagnostic program 110 can continuously or periodically diagnose malicious programs in the system while the system is running .

여기서, 클라이언트시스템(100)에는, 악성진단프로그램(110)이 진단할 수 없는 AV-Killing 악성프로그램, 다시 말해 현재 설치된 버전의 악성진단프로그램(110)이 진단대상으로서 인지하지 못하는 새로운 AV-Killing 악성프로그램이 설치되었다고 가정한다. Here, the client system 100 is provided with an AV-Killing malicious program that can not be diagnosed by the malicious diagnostic program 110, that is, a malicious diagnostic program 110 of the currently installed version, It is assumed that the program is installed.

비정상종료판단부(130)는, 악성진단프로그램(110)이 비정상적으로 종료되는지 여부를 판단한다.The abnormal termination determination unit 130 determines whether or not the malicious diagnostic program 110 is abnormally terminated.

보다 구체적으로 설명하면, 비정상종료판단부(130)는, 악성진단프로그램(110)이 종료되는지 여부를 확인하고, 악성진단프로그램(110)이 종료되면 이러한 종료가 비정상적인 종료인지 여부를 판단하는 것이다.More specifically, the abnormal termination determination unit 130 determines whether or not the malicious diagnostic program 110 is terminated. When the malicious diagnostic program 110 is terminated, the abnormal termination determination unit 130 determines whether or not the termination is abnormally terminated.

이때, 악성진단프로그램(110)의 종료가 비정상적인 종료인지 여부를 판단하는 실시예를 설명하면 다음과 같다.Hereinafter, an embodiment for determining whether the termination of the malicious diagnostic program 110 is abnormally terminated will be described.

예컨대, 비정상종료판단부(130)는, 악성진단프로그램(110)의 종료와 관련된 행위가 기 설정된 정상종료절차에 따른 행위가 아닌 경우, 악성진단프로그램(110)이 비정상적으로 종료되는 것으로 판단할 수 있다. For example, the abnormal termination determination unit 130 may determine that the malicious diagnostic program 110 is abnormally terminated if the action related to termination of the malicious diagnostic program 110 is not an action based on the predetermined normal termination procedure have.

다시 말하면, 악성진단프로그램(110)은, AV-Killing 악성프로그램의 공격에 의한 종료 이외에도, 클라이언트시스템(100)의 사용자 조작에 의해 정상 종료될 수도 있고, 또는 악성진단프로그램(110) 업데이트를 위해 일시적으로 정상 종료될 수도 있다. In other words, the malicious diagnostic program 110 may be terminated normally by the user operation of the client system 100 in addition to the termination by the attack of the AV-Killing malicious program, or may be temporarily terminated for updating the malicious diagnostic program 110 . &Lt; / RTI >

이에, 비정상종료판단부(130)에는, 악성진단프로그램(110)을 정상 종료시키는 명령어들 또는 악성진단프로그램(110)을 정상 종료시키는 프로그램들에 대한 화이트리스트가 기 설정되어 있을 수 있다. Accordingly, the abnormal termination determination unit 130 may be preliminarily set with a white list of commands for normally terminating the malicious diagnostic program 110 or programs for terminating the malicious diagnostic program 110 normally.

이에, 비정상종료판단부(130)는, 악성진단프로그램(110)의 종료와 관련된 행위가 기 설정된 화이트리스트에 속하는 명령어 또는 프로그램에 의한 행위라고 판단되면, 금번 악성진단프로그램(110)의 종료가 기 설정된 정상종료절차에 따르는 것으로 판단할 것이다.If the malfunction diagnostic program 110 determines that the malicious diagnostic program 110 has been terminated, the abnormal termination determination unit 130 determines that the malicious diagnostic program 110 has been terminated It will judge that it follows the established normal termination procedure.

한편, 비정상종료판단부(130)는, 악성진단프로그램(110)의 종료와 관련된 행위가 기 설정된 화이트리스트에 속하는 명령어 또는 프로그램에 의한 행위가 아니라고 판단되면, 금번 악성진단프로그램(110)의 종료가 기 설정된 정상종료절차에 따르지 않는다고 판단하여, 악성진단프로그램(110)이 비정상적으로 종료되는 것으로 판단할 수 있다. On the other hand, if it is determined that the action related to the termination of the malicious diagnostic program 110 is not an action based on a command or a program belonging to the predetermined whitelist, the abnormal termination determination unit 130 determines that the termination of the current malicious diagnostic program 110 It can be determined that the malicious diagnostic program 110 does not conform to the preset normal termination procedure and it can be determined that the malicious diagnostic program 110 is abnormally terminated.

정보생성부(140)는, 비정상종료판단부(130)에서 악성진단프로그램(110)이 비정상적으로 종료되는 것으로 판단되면, 악성진단프로그램(110)의 비정상적인 종료와 관련된 종료관련정보를 생성한다.The information generating unit 140 generates the termination related information related to the abnormal termination of the malicious diagnostic program 110 when the abnormal termination determining unit 130 determines that the malicious diagnostic program 110 is abnormally terminated.

즉, 정보생성부(140)는, 악성진단프로그램(110)이 비정상적으로 종료되는 경우를 악성진단프로그램(110)이 AV-Killing 악성프로그램에 의해 공격받아 종료된 것으로 보고, 악성진단프로그램(110)의 비정상적인 종료와 관련된 종료관련정보를 생성하는 것이다.That is, the information generating unit 140 determines that the malicious diagnostic program 110 is terminated abnormally when the malicious diagnostic program 110 is abnormally terminated by the AV-Killing malicious program, Related information related to the abnormal termination of the network.

이하에서는, 악성진단프로그램(110)의 비정상적인 종료와 관련된 종료관련정보를 생성하는 실시예를 설명하도록 한다.Hereinafter, an embodiment for generating termination-related information related to abnormal termination of the malicious diagnostic program 110 will be described.

먼저, 제1실시예를 설명하면, 정보생성부(140)는, 클라이언트시스템(100)에서 실행되는 각 프로그램1,2.. .N에 의한 행위가 기록된 로그정보를 기초로, 악성진단프로그램(110)을 공격한 프로그램을 검색하여 상기 검색한 프로그램에 대한 정보를 종료관련정보로 생성할 수 있다. First, according to the first embodiment, the information generation unit 140 generates a malicious diagnostic program (hereinafter referred to as a malicious diagnostic program) based on log information in which an action by each program 1, 2, ..., N executed in the client system 100 is recorded It is possible to search for a program that has attacked the computer 110 and generate information about the searched program as termination related information.

보다 구체적으로 설명하면, 클라이언트시스템(100)에는 클라이언트시스템(100)에서 실행되는 각 프로그램1,2.. .N에 의한 행위가 로그정보로서 기록될 수 있다. More specifically, in the client system 100, an action by each program 1, 2, ..., N executed in the client system 100 can be recorded as log information.

예를 들면, 악성진단프로그램(110)이 클라이언트시스템(100)에서 실행되는 각 프로그램1,2.. .N에 의한 행위를 감시하여 기 등록된 진단대상의 악성프로그램을 진단하는 행위기반 진단프로그램이라면, 악성진단프로그램(110)은 AV-Killing 악성프로그램에 의해 공격받아 종료되기 이전까지 지속적으로 감시한 각 프로그램1,2.. .N에 의한 행위를 로그정보로서 기록했을 것이다. For example, if the malicious diagnostic program 110 is an action-based diagnostic program that monitors malfunctions of the programs 1, 2, ..., N executed in the client system 100 and diagnoses malicious programs to be diagnosed as previously registered , The malicious diagnostic program 110 may have recorded the behavior of the programs 1, 2, ..., N continuously monitored by the AV-Killing malicious program as log information before being terminated.

물론, 악성진단프로그램(110) 이외의 다른 프로그램 또는 함수에 의해, 클라이언트시스템(100)에서 실행되는 각 프로그램1,2.. .N에 의한 행위가 로그정보로서 기록될 수 있다. Of course, an action by each program 1, 2, ..., N executed in the client system 100 can be recorded as log information by a program or function other than the malicious diagnostic program 110. [

이에, 정보생성부(140)는, 비정상종료판단부(130)에서 악성진단프로그램(110)이 비정상적으로 종료되는 것으로 판단되면, 전술과 같이 기록된 로그정보를 기초로 악성진단프로그램(110)을 공격한 프로그램을 검색할 수 있다. 이하에서는, 설명의 편의를 위해, 도 2와 같이 클라이언트시스템(100)에 설치된 다수의 프로그램1,2.. .N 중에서 프로그램1이 AV-Killing 악성프로그램인 것으로 설명하겠다.If the malicious diagnostic program 110 is abnormally terminated by the abnormal termination determination unit 130, the information generation unit 140 generates the malicious diagnostic program 110 based on the log information recorded as described above You can search for attacked programs. Hereinafter, for convenience of explanation, it is assumed that the program 1 is an AV-Killing malicious program among a plurality of programs 1, 2, ..., N installed in the client system 100 as shown in FIG.

따라서, 예를 들면 정보생성부(140)는, 전술과 같이 기록된 로그정보를 기초로 악성진단프로그램(110)을 실질적으로 종료시킨 프로그램을 확인하고, 확인된 프로그램(예 : 프로그램1)을 악성진단프로그램(110)을 공격한 프로그램인 것으로 검색할 수 있다. Therefore, for example, the information generation unit 140 confirms a program that substantially terminates the malicious diagnostic program 110 based on the log information recorded as described above, and transmits the confirmed program (e.g., program 1) It can be detected that the diagnostic program 110 is an attacked program.

그리고, 정보생성부(140)는, 전술과 같이 검색한 프로그램(예 : 프로그램1)에 대한 정보를 종료관련정보로 생성할 수 있다.Then, the information generation unit 140 can generate information related to the searched program (e.g., program 1) as termination related information.

예컨대, 정보생성부(140)는, 검색한 프로그램(예 : 프로그램1)을 인지할 수 있도록 하는 정보(예 : 프로그램이름정보, 사이즈정보, 해쉬값(예 : MD5) 등)을 종료관련정보로서 생성할 수 있다.For example, the information generation unit 140 may store information (e.g., program name information, size information, hash value (e.g., MD5), etc.) that enables the user to recognize the searched program Can be generated.

한편, 제1실시예와는 다른 제2실시예를 설명하면, 정보생성부(140)는, 악성진단프로그램(110)이 비정상적으로 종료된 시점에 실행 중인 프로그램 중에서 인증되지 않은 적어도 하나의 프로그램을 확인하고, 상기 확인한 적어도 하나의 프로그램에 대한 정보를 종료관련정보로 생성할 수 있다. The information generating unit 140 generates at least one program that is not authenticated among the programs being executed at the time when the malicious diagnostic program 110 abnormally terminates And may generate information related to at least one of the identified programs as termination related information.

보다 구체적으로 설명하면, 클라이언트시스템(100)에 설치된 각 프로그램1,2.. .N이 모두 동시간 대에 실행되는 것은 아니다. More specifically, the programs 1, 2, ..., N installed in the client system 100 are not all executed at the same time.

이에, 정보생성부(140)는, 비정상종료판단부(130)에서 악성진단프로그램(110)이 비정상적으로 종료되는 것으로 판단되면, 각 프로그램1,2.. .N 중에서 악성진단프로그램(110)이 비정상적으로 종료된 시점에 실행 중인 프로그램(예 : 프로그램1,2, N-2, N)을 확인하고, 확인한 프로그램(예 : 프로그램1,2, N-2, N) 중에서 인증되지 않은 적어도 하나의 프로그램(예 : 프로그램1,2)을 확인할 수 있다. If the malicious diagnostic program 110 is determined to be abnormally terminated by the abnormal termination determination unit 130, the information generation unit 140 determines that the malicious diagnostic program 110 (E.g., programs 1, 2, N-2, N) at the time when the program is abnormally terminated and confirms at least one You can check the program (eg programs 1 and 2).

이때, 인증되지 않은 적어도 하나의 프로그램은, 악성진단프로그램(110)에 의한 가장 최근의 진단 시 진단범위에 속하지 않아 진단되지 않았거나 또는 기 등록된 인증프로그램 리스트에 속하지 않거나 또는 별도 인증절차에 의해 인증되지 않은 프로그램일 수 있다. At this time, at least one program that has not been authenticated is not diagnosed because it does not belong to the diagnosis range of the most recent diagnosis by the malicious diagnostic program 110, or is not included in the previously registered authentication program list or is authenticated Lt; / RTI >

다시 말해, 인증되지 않은 적어도 하나의 프로그램이란, 어떠한 방식으로든 정상프로그램이라고 인증되지 않은 의심스러운 프로그램을 의미할 것이다.In other words, at least one unauthorized program will mean a suspicious program that is not authenticated as a normal program in any way.

그리고, 정보생성부(140)는, 전술과 같이 확인한 적어도 하나의 프로그램(예 : 프로그램1,2)에 대한 정보를 종료관련정보로 생성할 수 있다. Then, the information generation unit 140 can generate information on at least one program (e.g., programs 1 and 2) confirmed as described above as end-related information.

예컨대, 정보생성부(140)는, 적어도 하나의 프로그램(예 : 프로그램1,2)을 포함하는 종료관련정보를 생성할 수 있다.For example, the information generation unit 140 may generate termination related information including at least one program (e.g., programs 1 and 2).

결과적으로, 정보생성부(140)는, 클라이언트시스템(100) 내에서 비록 AV-Killing 악성프로그램에 의해 악성진단프로그램(110)이 공격받아 종료되었지만, 악성진단프로그램(110)을 종료시킨 AV-Killing 악성프로그램에 대한 정보들(종료관련정보)을 다잉메시지와 같이 남기는 것이다.As a result, the information generating unit 140 generates the AV-Killing (which is terminated by the malicious diagnostic program 110 although the malicious diagnostic program 110 is terminated due to the AV-Killing malicious program in the client system 100) Leaving information about the malicious program (termination-related information) like a dying message.

이러한 정보생성부(140)는, 클라이언트시스템(100)의 커널 메모리(Kernel Memory)에서 구동되는 쓰레드(예 : Recoder Thread)에 의한 구성일 수 있다. The information generating unit 140 may be configured by a thread (e.g., a Recorder Thread) that is driven in a kernel memory of the client system 100. [

정보제공부(150)는, 정보생성부(140)에서 생성한 종료관련정보를 서버(200)로 제공하여, 서버(200)가 상기 종료관련정보를 기초로 악성진단프로그램(110)을 종료시킨 악성프로그램 즉 AV-Killing 악성프로그램을 인지하고, 인지한 AV-Killing 악성프로그램을 진단대상으로 추가하여 서버(200)와 연동하는 다수의 다른 클라이언트들(300)에서 AV-Killing 악성프로그램이 실행되기 이전에 진단할 수 있도록 한다. The information providing unit 150 provides the termination related information generated by the information generating unit 140 to the server 200 so that the server 200 terminates the malicious diagnostic program 110 based on the termination related information Killing malicious program is executed in a plurality of other clients 300 that recognize the malicious program, that is, the AV-Killing malicious program, and add the recognized AV-Killing malicious program as a diagnosis target and interwork with the server 200 To be diagnosed.

즉, 전술의 제1실시예에 따르면, 서버(200)는, 클라이언트시스템(100)로부터 생성/제공되는 종료관련정보에 따른 프로그램(예 : 프로그램1)을 악성프로그램 즉 새로운 AV-Killing 악성프로그램인 것으로 인지하여 진단대상으로 추가할 수 있다. That is, according to the first embodiment described above, the server 200 stores a program (e.g., program 1) in accordance with the termination related information generated / provided by the client system 100 as a malicious program, that is, a new AV- And can be added to the diagnosis target.

다시 말하면, 전술의 제1실시예의 경우 클라이언트시스템(100)로부터 생성/제공되는 종료관련정보에는 프로그램(예 : 프로그램1)을 인지할 수 있도록 하는 정보(예 : 프로그램이름정보, 사이즈정보, 해쉬값(예 : MD5) 등)가 포함될 것이다. In other words, in the above-described first embodiment, the termination-related information generated / provided from the client system 100 includes information (e.g., program name information, size information, hash value (E.g., MD5), etc.).

이에, 서버(200)는, 종료관련정보를 기초로 프로그램1이 악성프로그램 즉 새로운 AV-Killing 악성프로그램임을 인지할 수 있고, AV-Killing 악성프로그램 즉 프로그램1을 진단대상으로 추가할 수 있다. Accordingly, the server 200 can recognize that the program 1 is a malicious program, that is, a new AV-Killing malicious program based on the termination-related information, and add the AV-Killing malicious program, that is, the program 1, as a diagnosis target.

한편, 전술의 제2실시예에 따르면, 서버(200)는, 클라이언트시스템(100)로부터 생성/제공되는 종료관련정보에 따른 적어도 하나의 프로그램(예 : 프로그램1,2)을 순차적으로 실행하여 적어도 하나의 프로그램(예 : 프로그램1,2) 중 서버(200)에서 실행 중인 악성진단프로그램을 종료시키는 프로그램(예 : 프로그램1)을 악성프로그램 즉 새로운 AV-Killing 악성프로그램인 것으로 인지하여 진단대상으로 추가할 수 있다. On the other hand, according to the above-described second embodiment, the server 200 sequentially executes at least one program (e.g., programs 1 and 2) in accordance with the termination-related information generated / provided by the client system 100 A program (for example, program 1) terminating a malicious diagnostic program running on the server 200 among a single program (for example, programs 1 and 2) is recognized as a malicious program, that is, a new AV- can do.

다시 말하면, 전술의 제2실시예의 경우 클라이언트시스템(100)로부터 생성/제공되는 종료관련정보에는, 적어도 하나의 프로그램(예 : 프로그램1,2)이 포함될 것이다. In other words, in the above-described second embodiment, the termination-related information generated / provided from the client system 100 will include at least one program (e.g., programs 1 and 2).

이에, 서버(200)는, 클라이언트시스템(100)에 설치된 악성진단프로그램(110)과 동일한 악성진단프로그램을 실행하고, 종료관련정보에 포함된 적어도 하나의 프로그램(예 : 프로그램1,2)을 순차적으로 실행하여 어떤 프로그램이 실행될 때 악성진단프로그램이 종료되는지를 확인한다.Accordingly, the server 200 executes the same malicious diagnostic program as the malicious diagnostic program 110 installed in the client system 100, and transmits at least one program (e.g., programs 1 and 2) included in the termination- And confirms whether the malicious diagnostic program is terminated when a certain program is executed.

따라서, 서버(200)에서 프로그램1을 실행시킬 때 악성진단프로그램이 종료되는 것으로 가정하면, 서버(200)는 종료관련정보에 포함된 적어도 하나의 프로그램(예 : 프로그램1,2) 중 서버(200)에서 실행 중인 악성진단프로그램을 종료시키는 프로그램1을 악성프로그램 즉 새로운 AV-Killing 악성프로그램인 것으로 인지할 수 있고, AV-Killing 악성프로그램 즉 프로그램1을 진단대상으로 추가할 것이다. Therefore, if it is assumed that the malicious diagnostic program is terminated when the program 200 is executed by the server 200, the server 200 determines whether the malicious diagnostic program is executed by the server 200 ), It is possible to recognize that the program 1 that terminates the malicious diagnostic program being executed is a malicious program, that is, a new AV-Killing malicious program, and the AV-Killing malicious program, that is, program 1, will be added as a diagnostic target.

이에, 서버(200)는, 다음 업데이트 주기 도달 시, 전술의 인지한 AV-Killing 악성프로그램 즉 프로그램1을 진단대상으로 추가하여 클라이언트시스템(100)을 비롯한 다수의 클라이언트들(300)에 설치된 악성진단프로그램을 업데이트할 수 있다. Killing malicious program, that is, program 1, is added to the diagnosis target when the next update cycle is reached, and the server 200 adds malicious diagnostic information to the client system 100, You can update the program.

따라서, 본 발명에 따르면, 비록 클라이언트시스템(100)은 AV-Killing 악성프로그램에 의해 공격을 받았지만, 아직 AV-Killing 악성프로그램이 실행되지 않은 다른 다수의 클라이언트들(300)에서는 서버(200)에 의해 업데이트된 악성진단프로그램이 진단대상으로서 추가된 AV-Killing 악성프로그램을 인지/진단할 수 있기 때문에, 이러한 진단 결과에 따른 이후 절차(예 : 진단결과 보고, 진단된 악성프로그램 삭제, 진단된 악성프로그램에 의한 감염 치료 등)을 수행할 수 있게 된다.Thus, according to the present invention, although the client system 100 has been attacked by an AV-Killing malicious program, many other clients 300, which have not yet executed an AV-Killing malicious program, Since the updated malicious diagnostic program can recognize / diagnose the added AV-Killing malicious program that is added as the diagnosis target, it is possible to perform the following procedure according to the diagnosis result (for example, report diagnosis results, delete the diagnosed malicious program, Treatment of infections caused by infection, etc.).

따라서, 비록 클라이언트시스템(100)은 AV-Killing 악성프로그램에 의해 공격을 받았지만, 아직 AV-Killing 악성프로그램이 실행되지 않은 다른 다수의 클라이언트들(300)에서는 서버(200)에 의해 진단대상으로서 추가된 AV-Killing 악성프로그램을 인지/진단할 수 있기 때문에, 이러한 진단 결과에 따른 이후 절차(예 : 진단결과 보고, 진단된 악성프로그램 삭제, 진단된 악성프로그램에 의한 감염 치료 등)을 수행할 수 있게 된다.Therefore, although the client system 100 has been attacked by the AV-Killing malicious program, in many other clients 300 in which the AV-Killing malicious program has not been executed yet, AV-Killing Since malicious programs can be recognized / diagnosed, it is possible to carry out subsequent procedures (such as reporting diagnostic results, deleting diagnosed malicious programs, treating infections with diagnosed malicious programs, etc.) .

이상에서 설명한 바와 같이 본 발명에 따른 클라이언트시스템은, 비록 AV-Killing 악성프로그램에 의해 시스템 내 악성진단프로그램이 공격받아 종료되었지만, 악성진단프로그램을 종료시킨 AV-Killing 악성프로그램에 대한 정보들(종료관련정보)을 다잉메시지와 같이 남겨, 서버를 통해서 다수의 다른 클라이언트들이 AV-Killing 악성프로그램을 진단대상으로서 인지할 수 있도록 함으로써, 하나의 클라이언트시스템의 희생을 기반으로 다른 다수의 클라이언트들이 새로운 AV-Killing 악성프로그램 자체를 빠르게 진단하여 AV-Killing 악성프로그램의 실행을 원천 차단할 수 있는 효과를 도출한다.As described above, the client system according to the present invention can prevent the malicious diagnostic program from terminating the malicious diagnostic program even though the malicious diagnostic program in the system has been terminated due to the AV-Killing malicious program, Killing malicious program as a diagnostic target by allowing a number of other clients to recognize a malicious program as a diagnostic target through a server so that a number of other clients can access a new AV-Killing It quickly diagnoses the malicious program itself, and it is possible to block the execution of AV-Killing malicious program.

한편, 전술에서 설명한 본 발명의 비정상종료판단부(130), 정보생성부(140) 및 정보제공부(150) 구성은, 하나의 프로그램(어플리케이션) 형태로 구성되어, 클라이언트시스템(100)을 비롯한 다수의 다른 클라이언트들(300)에 설치되는 것도 가능할 것이다. The abnormal termination determination unit 130, the information generation unit 140 and the information providing unit 150 of the present invention described above are configured in the form of one program (application) It may be installed in a plurality of different clients 300.

이하에서는, 도 3 및 도 4를 참조하여 본 발명의 바람직한 실시예에 따른 클라이언트시스템의 동작 방법을 설명하도록 한다. 설명의 편의를 위해 전술한 도 1 및 도 2의 참조번호를 이용하여 설명하도록 하겠다. Hereinafter, an operation method of a client system according to a preferred embodiment of the present invention will be described with reference to FIG. 3 and FIG. For convenience of description, the description will be made using the reference numerals of FIG. 1 and FIG.

먼저, 도 3을 참조하여 바람직한 실시예에 따른 클라이언트시스템(100)이 포함된 전체 시스템의 제어 흐름을 설명하도록 한다.First, the control flow of the entire system including the client system 100 according to the preferred embodiment will be described with reference to FIG.

클라이언트시스템(100)에서는, 전술한 바와 같이 시스템 구동과 함께 악성진단프로그램(110)을 실행하여, 시스템 구동 중에 지속적으로 또는 주기적으로 악성진단프로그램(110)이 시스템 내에서 악성프로그램을 진단할 수 있도록 할 것이다(S10).In the client system 100, as described above, the malicious diagnostic program 110 is executed along with the system so that the malicious diagnostic program 110 continuously or periodically diagnoses malicious programs in the system while the system is running (S10).

이때, 클라이언트시스템(100)에서는, AV-Killing 악성프로그램이 계획한 특정 시점에 실행되어 클라이언트시스템(100) 내 실행 중인 악성진단프로그램(110)을 공격하여 종료시킬 수 있다. At this time, in the client system 100, the AV-Killing malicious program may be executed at a specific point of time planned and attacked by the malicious diagnostic program 110 running in the client system 100 and terminated.

이때, 본 발명에 따른 클라이언트시스템(100)은, 악성진단프로그램(110)이 종료되면 비정상적으로 종료되었는지 여부를 판단하고(S20), 악성진단프로그램(110)이 비정상적으로 종료된 것으로 판단되면 악성진단프로그램(110)의 비정상적인 종료와 관련된 종료관련정보를 생성한다(S30). At this time, the client system 100 according to the present invention determines whether or not the malicious diagnostic program 110 is abnormally terminated when the malicious diagnostic program 110 is terminated (S20). If it is determined that the malicious diagnostic program 110 is terminated abnormally, Related information related to the abnormal termination of the program 110 (S30).

즉, 클라이언트시스템(100)은, 악성진단프로그램(110)이 비정상적으로 종료되는 경우 악성진단프로그램(110)이 AV-Killing 악성프로그램에 의해 공격받아 종료된 것으로 보고, 악성진단프로그램(110)의 비정상적인 종료와 관련된 종료관련정보를 생성하는 것이다.That is, when the malicious diagnostic program 110 abnormally terminates, the client system 100 determines that the malicious diagnostic program 110 is terminated by being attacked by the AV-Killing malicious program, and the malicious diagnostic program 110 is abnormal Related information related to termination.

결과적으로, 클라이언트시스템(100)은, 시스템 내에서 비록 AV-Killing 악성프로그램에 의해 악성진단프로그램(110)이 공격받아 종료되었지만, 악성진단프로그램(110)을 종료시킨 AV-Killing 악성프로그램에 대한 정보들(종료관련정보)을 다잉메시지와 같이 남기는 것이다.As a result, although the client system 100 has received the information about the AV-Killing malicious program that terminated the malicious diagnostic program 110 although the malicious diagnostic program 110 was terminated due to the AV-Killing malicious program in the system, (Termination related information) as a dying message.

이에, 클라이언트시스템(100)은, 생성한 종료관련정보를 서버(200)로 제공하여(S40), 서버(200)가 상기 종료관련정보를 기초로 악성진단프로그램(110)을 종료시킨 악성프로그램 즉 AV-Killing 악성프로그램을 인지하고, 인지한 AV-Killing 악성프로그램을 진단대상으로 추가하여 서버(200)와 연동하는 다수의 다른 클라이언트(300)에서 AV-Killing 악성프로그램이 실행되기 이전에 진단할 수 있도록 한다. The client system 100 provides the generated termination related information to the server 200 in step S40 so that the malicious program 110 terminates the malicious diagnostic program 110 based on the termination- Killing malicious programs and recognizing the AV-Killing malicious programs and adding the detected AV-Killing malicious programs as diagnostic targets, a plurality of other clients 300 interlocked with the server 200 can diagnose AV-Killing malicious programs before they are executed .

보다 구체적으로 설명하면, 서버(200)는, AV-Killing 악성프로그램에 의해서 가장 먼저 공격받은 클라이언트시스템(100)로부터 생성/제공되는 종료관련정보를 기초로 새로운 AV-Killing 악성프로그램을 인지할 수 있다.More specifically, the server 200 can recognize a new AV-Killing malicious program based on the termination-related information generated / provided from the client system 100 that was first attacked by the AV-Killing malicious program .

이에, 서버(200)는, 다음 업데이트 주기 도달 시, 전술의 인지한 AV-Killing 악성프로그램을 진단대상으로 추가하여(S50), 클라이언트시스템(100)을 비롯한 다수의 클라이언트들(300)와 연동하여 설치된 악성진단프로그램(110)을 업데이트할 수 있다(S60). Killing malicious programs described above are added to the diagnosis target (S50) when the next update period is reached, and the server 200, in cooperation with a plurality of clients 300 including the client system 100 The installed malicious diagnostic program 110 can be updated (S60).

따라서, 비록 클라이언트시스템(100)은 AV-Killing 악성프로그램에 의해 공격을 받았지만, 아직 AV-Killing 악성프로그램이 실행되지 않은 다른 다수의 클라이언트들(300)에서는 서버(200)에 의해 업데이트된 악성진단프로그램(110)이 진단대상으로서 추가된 AV-Killing 악성프로그램을 인지/진단할 수 있기 때문에(S70,S72,S74), 이러한 진단 결과에 따른 이후 절차(예 : 진단결과 보고, 진단된 악성프로그램 삭제, 진단된 악성프로그램에 의한 감염 치료 등)을 수행할 수 있게 된다.Therefore, although the client system 100 is attacked by the AV-Killing malicious program, the malicious diagnostic program updated by the server 200 in the plurality of clients 300, which have not yet executed the AV-Killing malicious program, (S70, S72, S74), it is possible to recognize the AV-Killing malicious program added as a diagnostic target (S70, S72, S74) Treatment of infection by the diagnosed malicious program, etc.).

즉, 전술한 바와 같은 본 발명에 따르면, 하나의 클라이언트시스템(100)의 희생을 기반으로 다른 다수의 클라이언트들이 새로운 AV-Killing 악성프로그램 자체를 빠르게 진단할 수 있는 환경을 조성함으로써, AV-Killing 악성프로그램의 실행을 원천 차단할 수 있는 효과를 도출할 수 있다.In other words, according to the present invention as described above, an environment in which a plurality of other clients can quickly diagnose a new AV-Killing malicious program itself based on the sacrifice of one client system 100, It is possible to obtain the effect of blocking the execution of the program from the source.

이하에서는 도 4를 참조하여 본 발명의 바람직한 실시예에 따른 클라이언트시스템의 동작 방법을 설명하도록 하겠다.Hereinafter, an operation method of a client system according to a preferred embodiment of the present invention will be described with reference to FIG.

전술한 바와 같이, 클라이언트시스템(100)에서는, 시스템 구동과 함께 악성진단프로그램(110)을 실행하여, 시스템 구동 중에 지속적으로 또는 주기적으로 악성진단프로그램(110)이 시스템 내에서 악성프로그램을 진단할 수 있도록 한다(S100).As described above, in the client system 100, the malicious diagnostic program 110 is executed along with the system operation so that the malicious diagnostic program 110 can continuously or periodically diagnose malicious programs in the system while the system is running (S100).

본 발명의 클라이언트시스템(100)의 동작 방법은, 악성진단프로그램(110)이 비정상적으로 종료되는지 여부를 판단한다(S110).The operation method of the client system 100 of the present invention determines whether the malicious diagnostic program 110 is terminated abnormally (S110).

보다 구체적으로 설명하면, 본 발명의 클라이언트시스템(100)의 동작 방법은, 악성진단프로그램(110)이 종료되는지 여부를 확인하고, 악성진단프로그램(110)이 종료되면 이러한 종료가 비정상적인 종료인지 여부를 판단하는 것이다.More specifically, the method of operation of the client system 100 of the present invention checks whether or not the malicious diagnostic program 110 is terminated, and when the malicious diagnostic program 110 is terminated, It is judgment.

예컨대, 본 발명의 클라이언트시스템(100)의 동작 방법은, 악성진단프로그램(110)의 종료와 관련된 행위가 기 설정된 정상종료절차에 따른 행위가 아닌 경우, 악성진단프로그램(110)이 비정상적으로 종료되는 것으로 판단할 수 있다. For example, the operation method of the client system 100 of the present invention is such that, when the action related to the termination of the malicious diagnostic program 110 is not an action according to the predetermined normal termination procedure, the malicious diagnostic program 110 is abnormally terminated .

예를 들면, 본 발명의 클라이언트시스템(100)의 동작 방법은, 악성진단프로그램(110)의 종료와 관련된 행위가 기 설정된 화이트리스트에 속하는 명령어 또는 프로그램에 의한 행위라고 판단되면, 금번 악성진단프로그램(110)의 종료가 기 설정된 정상종료절차에 따르는 것으로 판단할 것이다.For example, when it is determined that the action related to the termination of the malicious diagnostic program 110 is an action by a command or a program belonging to a predetermined whitelist, the operation method of the client system 100 of the present invention is executed by the malicious diagnostic program 110 will follow the predetermined normal termination procedure.

한편, 본 발명의 클라이언트시스템(100)의 동작 방법은, 악성진단프로그램(110)의 종료와 관련된 행위가 기 설정된 화이트리스트에 속하는 명령어 또는 프로그램에 의한 행위가 아니라고 판단되면, 금번 악성진단프로그램(110)의 종료가 기 설정된 정상종료절차에 따르지 않는다고 판단하여, 악성진단프로그램(110)이 비정상적으로 종료되는 것으로 판단할 수 있다. If it is determined that the action related to the termination of the malicious diagnostic program 110 is not an action based on a command or a program belonging to the predetermined whitelist, the operation method of the client system 100 of the present invention is such that the malicious diagnostic program 110 ) Is determined not to follow the predetermined normal termination procedure, so that it can be determined that the malicious diagnostic program 110 is abnormally terminated.

본 발명의 클라이언트시스템(100)의 동작 방법은, S110단계에서 악성진단프로그램(110)이 비정상적으로 종료되는 것으로 판단되면, 악성진단프로그램(110)의 비정상적인 종료와 관련된 종료관련정보를 생성한다(S120).In the operation method of the client system 100 of the present invention, if it is determined in step S110 that the malicious diagnostic program 110 is terminated abnormally, the termination-related information related to the abnormal termination of the malicious diagnostic program 110 is generated ).

즉, 본 발명의 클라이언트시스템(100)의 동작 방법은, 악성진단프로그램(110)이 비정상적으로 종료되는 경우를 악성진단프로그램(110)이 AV-Killing 악성프로그램에 의해 공격받아 종료된 것으로 보고, 악성진단프로그램(110)의 비정상적인 종료와 관련된 종료관련정보를 생성하는 것이다.That is, the operation method of the client system 100 of the present invention is a method in which when the malicious diagnostic program 110 abnormally terminates, the malicious diagnostic program 110 detects that the malicious diagnostic program 110 has been attacked by the AV- Related information related to the abnormal termination of the diagnostic program 110. [

먼저, 제1실시예를 설명하면, 본 발명의 클라이언트시스템(100)의 동작 방법은, S110단계에서 악성진단프로그램(110)이 비정상적으로 종료되는 것으로 판단되면, 전술과 같이 기록된 로그정보를 기초로 악성진단프로그램(110)을 공격한 프로그램을 검색할 수 있다. 이하에서는, 설명의 편의를 위해, 도 2와 같이 클라이언트시스템(100)에 설치된 다수의 프로그램1,2.. .N 중에서 프로그램1이 AV-Killing 악성프로그램인 것으로 설명하겠다.First, the first embodiment will be described. In the operation method of the client system 100 of the present invention, if it is determined in step S110 that the malicious diagnostic program 110 is abnormally terminated, The malicious diagnostic program 110 can be searched. Hereinafter, for convenience of explanation, it is assumed that the program 1 is an AV-Killing malicious program among a plurality of programs 1, 2, ..., N installed in the client system 100 as shown in FIG.

따라서, 예를 들면 본 발명의 클라이언트시스템(100)의 동작 방법은, 전술과 같이 기록된 로그정보를 기초로 악성진단프로그램(110)을 실질적으로 종료시킨 프로그램을 확인하고, 확인된 프로그램(예 : 프로그램1)을 악성진단프로그램(110)을 공격한 프로그램인 것으로 검색할 수 있다. Therefore, for example, the method of operation of the client system 100 of the present invention can be realized by checking a program in which the malicious diagnostic program 110 is substantially terminated based on the log information recorded as described above, Program 1) as a program that has attacked the malicious diagnostic program 110 can be searched.

그리고, 본 발명의 클라이언트시스템(100)의 동작 방법은, 전술과 같이 검색한 프로그램(예 : 프로그램1)에 대한 정보를 종료관련정보로 생성할 수 있다.The operation method of the client system 100 of the present invention can generate information on the searched program (for example, program 1) as termination related information as described above.

예컨대, 본 발명의 클라이언트시스템(100)의 동작 방법은, 검색한 프로그램(예 : 프로그램1)을 인지할 수 있도록 하는 정보(예 : 프로그램이름정보, 사이즈정보, 해쉬값(예 : MD5) 등)을 종료관련정보로서 생성할 수 있다.For example, the method of operation of the client system 100 of the present invention is a method of operating the client system 100, including information (e.g., program name information, size information, hash value (e.g., MD5) Can be generated as termination related information.

한편, 제1실시예와는 다른 제2실시예를 설명하면, 본 발명의 클라이언트시스템(100)의 동작 방법은, S110단계에서 악성진단프로그램(110)이 비정상적으로 종료되는 것으로 판단되면, 악성진단프로그램(110)이 비정상적으로 종료된 시점에 실행 중인 프로그램 중에서 인증되지 않은 적어도 하나의 프로그램을 확인하고, 상기 확인한 적어도 하나의 프로그램에 대한 정보를 종료관련정보로 생성할 수 있다. In the operation method of the client system 100 of the present invention, when it is determined in step S110 that the malicious diagnostic program 110 is terminated abnormally, It is possible to identify at least one program that is not authenticated among the programs being executed at the time when the program 110 abnormally ends and to generate information about the confirmed at least one program as the end related information.

예를 들어, 본 발명의 클라이언트시스템(100)의 동작 방법은, 각 프로그램1,2.. .N 중에서 악성진단프로그램(110)이 비정상적으로 종료된 시점에 실행 중인 프로그램(예 : 프로그램1,2, N-2, N)을 확인하고, 확인한 프로그램(예 : 프로그램1,2, N-2, N) 중에서 인증되지 않은 적어도 하나의 프로그램(예 : 프로그램1,2)을 확인할 수 있다. For example, the operation method of the client system 100 of the present invention is a method of operating a program (for example, programs 1, 2 and 3) running at the time when the malicious diagnostic program 110 abnormally terminates among the programs 1, , N-2, N) and confirm at least one program (for example, programs 1 and 2) that has not been authenticated among the confirmed programs (for example, programs 1, 2, N-2 and N).

그리고, 본 발명의 클라이언트시스템(100)의 동작 방법은, 전술과 같이 확인한 적어도 하나의 프로그램(예 : 프로그램1,2)에 대한 정보를 종료관련정보로 생성할 수 있다. The method of operation of the client system 100 of the present invention can generate information on at least one program (e.g., programs 1 and 2) identified as described above as end-related information.

예컨대, 본 발명의 클라이언트시스템(100)의 동작 방법은, 적어도 하나의 프로그램(예 : 프로그램1,2)을 포함하는 종료관련정보를 생성할 수 있다.For example, the method of operation of the client system 100 of the present invention may generate termination related information including at least one program (e.g., programs 1 and 2).

결과적으로, 본 발명의 클라이언트시스템(100)의 동작 방법은, 클라이언트시스템(100) 내에서 비록 AV-Killing 악성프로그램에 의해 악성진단프로그램(110)이 공격받아 종료되었지만, 악성진단프로그램(110)을 종료시킨 AV-Killing 악성프로그램에 대한 정보들(종료관련정보)을 다잉메시지와 같이 남기는 것이다.As a result, the method of operation of the client system 100 of the present invention is such that although the malicious diagnostic program 110 is terminated in the client system 100 by the AV-Killing malicious program, the malicious diagnostic program 110 is terminated The information about the terminated AV-Killing malicious program (termination related information) is left as a dying message.

본 발명의 클라이언트시스템(100)의 동작 방법은, S120단계에서 생성한 종료관련정보를 서버(200)로 제공하여(S130), 서버(200)가 상기 종료관련정보를 기초로 악성진단프로그램(110)을 종료시킨 악성프로그램 즉 AV-Killing 악성프로그램을 인지하고, 인지한 AV-Killing 악성프로그램을 진단대상으로 추가하여 서버(200)와 연동하는 다수의 다른 클라이언트들(300)에서 AV-Killing 악성프로그램이 실행되기 이전에 진단할 수 있도록 한다(S140). The operation method of the client system 100 of the present invention provides the termination related information generated in step S120 to the server 200 in step S130 and the server 200 executes the malicious diagnostic program 110 Killing malicious program that recognizes an AV-Killing malicious program that terminated the AV-Killing malicious program and adds the detected AV-Killing malicious program as a diagnosis target to the AV-Killing malicious program in a plurality of other clients 300 interworking with the server 200. [ (Step S140).

이상에서 설명한 바와 같이 본 발명에 따른 클라이언트시스템의 동작 방법은, 비록 AV-Killing 악성프로그램에 의해 시스템 내 악성진단프로그램이 공격받아 종료되었지만, 악성진단프로그램을 종료시킨 AV-Killing 악성프로그램에 대한 정보들(종료관련정보)을 다잉메시지와 같이 남겨, 서버를 통해서 다수의 다른 클라이언트들이 AV-Killing 악성프로그램을 진단대상으로서 인지할 수 있도록 함으로써, 하나의 클라이언트시스템의 희생을 기반으로 다른 다수의 클라이언트들이 새로운 AV-Killing 악성프로그램 자체를 빠르게 진단하여 AV-Killing 악성프로그램의 실행을 원천 차단할 수 있는 효과를 도출한다.As described above, the operation method of the client system according to the present invention is such that the information about the AV-Killing malicious program which terminated the malicious diagnostic program although the malicious diagnostic program in the system was terminated due to the AV-Killing malicious program, (Termination-related information) is left as a dying message, and a plurality of other clients can recognize AV-Killing malicious programs as diagnostic targets through the server, so that a large number of clients AV-Killing Quickly diagnose the malicious program itself, and it is possible to block the execution of AV-Killing malicious program.

본 발명의 일실시예에 따른 클라이언트시스템의 동작 방법은, 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 상기 매체에 기록되는 프로그램 명령은 본 발명을 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다. 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다. 상기된 하드웨어 장치는 본 발명의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.A method of operating a client system according to an embodiment of the present invention may be implemented in the form of a program command that can be executed through various computer means and recorded in a computer readable medium. The computer-readable medium may include program instructions, data files, data structures, and the like, alone or in combination. The program instructions recorded on the medium may be those specially designed and constructed for the present invention or may be available to those skilled in the art of computer software. Examples of computer-readable media include magnetic media such as hard disks, floppy disks and magnetic tape; optical media such as CD-ROMs and DVDs; magnetic media such as floppy disks; Magneto-optical media, and hardware devices specifically configured to store and execute program instructions such as ROM, RAM, flash memory, and the like. Examples of program instructions include machine language code such as those produced by a compiler, as well as high-level language code that can be executed by a computer using an interpreter or the like. The hardware devices described above may be configured to operate as one or more software modules to perform the operations of the present invention, and vice versa.

이상과 같이 본 발명에서는 구체적인 구성 요소 등과 같은 특정 사항들과 한정된 실시예 및 도면에 의해 설명되었으나 이는 본 발명의 보다 전반적인 이해를 돕기 위해서 제공된 것일 뿐, 본 발명은 상기의 실시예에 한정되는 것은 아니며, 본 발명이 속하는 분야에서 통상적인 지식을 가진 자라면 이러한 기재로부터 다양한 수정 및 변형이 가능하다. As described above, the present invention has been described with reference to particular embodiments, such as specific elements, and specific embodiments and drawings. However, it should be understood that the present invention is not limited to the above- And various modifications and changes may be made thereto by those skilled in the art to which the present invention pertains.

따라서, 본 발명의 사상은 설명된 실시예에 국한되어 정해져서는 아니되며, 후술하는 특허청구범위뿐 아니라 이 특허청구범위와 균등하거나 등가적 변형이 있는 모든 것들은 본 발명 사상의 범주에 속한다고 할 것이다.Accordingly, the spirit of the present invention should not be construed as being limited to the embodiments described, and all of the equivalents or equivalents of the claims, as well as the following claims, belong to the scope of the present invention .

100 : 클라이언트시스템
200 : 서버
300 : 다수의 클라이언트100: Client system
200: Server
300: Multiple clients

Claims

A judgment step of judging whether or not the malicious diagnostic program is abnormally terminated;
An information generating step of generating termination-related information related to abnormally terminating the malicious diagnostic program when the malicious diagnostic program abnormally terminates; And
Related information to the server so that the server recognizes the malicious program that terminated the malicious diagnostic program based on the termination related information and adds the detected malicious program to the diagnosis target, Comprising: a providing step for allowing a user to diagnose a service before the service is executed;
The information generation step includes:
Based on the log information in which an action by each program executed in the client system is recorded, searches for a program that has attacked the malicious diagnostic program and generates information on the searched program as the termination related information, or
Wherein the malicious diagnostic program identifies at least one program that is not authenticated among the programs being executed at the time when the malicious diagnostic program is abnormally terminated and generates information on the confirmed at least one program as the termination related information How it works.

The method according to claim 1,
Wherein,
Wherein the malicious diagnostic program determines that the malicious diagnostic program is abnormally terminated if the action related to termination of the malicious diagnostic program is not an action according to a predetermined normal termination procedure.

delete

The method according to claim 1,
Wherein the server, which is provided with the termination related information,
The malicious program is identified as a malicious program and is added to the diagnosis target or at least one program according to the termination related information is sequentially executed to determine whether the malicious program executing in the server among the at least one program A program for terminating the diagnostic program is recognized as the malicious program and added as a diagnosis target.

An abnormal termination determination unit for determining whether or not the malicious diagnostic program is abnormally terminated;
An information generating unit generating termination-related information related to abnormal termination of the malicious diagnostic program when the malicious diagnostic program abnormally terminates; And
Related information to the server so that the server recognizes the malicious program that terminated the malicious diagnostic program based on the termination related information and adds the detected malicious program to the diagnosis target, And an information providing unit for allowing the user to diagnose the information before execution thereof;
Wherein the information generating unit comprises:
Based on the log information in which an action by each program executed in the client system is recorded, searches for a program that has attacked the malicious diagnostic program and generates information on the searched program as the termination related information, or
Wherein the malicious diagnostic program checks at least one program that is not authenticated among the programs being executed at the time when the malicious diagnostic program is abnormally terminated and generates information on the confirmed at least one program as the termination related information.

delete

The method according to claim 6,
Wherein the server, which is provided with the termination related information,
The malicious program is identified as a malicious program and is added to the diagnosis target or at least one program according to the termination related information is sequentially executed to determine whether the malicious program executing in the server among the at least one program Recognizes that the program that terminates the diagnostic program is the malicious program, and adds the program to the diagnostic target.

A computer-readable recording medium recording a program for performing the method of any one of claims 1, 2, and 5.