JP2011233125A - 偽装仮想マシン情報を利用したインテリジェントボット対応方法及び装置 - Google Patents

Abstract

【課題】ユーザ端末がインテリジェントボットに感染されても、悪性プロセスを実行しないようにして、ＤＤｏｓ攻撃または情報流出などの被害を予防する。
【解決手段】プロセスからの仮想マシン探知要請を全域フッキングする段階（Ｓ２１０）と、既保存された悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断する段階（Ｓ２２０）と、前記判断の結果、悪性プロセスに該当すれば、前記プロセスがインテリジェントボットによって生成されたものと判断し、偽装仮想マシン情報を前記プロセスにリターンする段階（Ｓ２３０）と、を含む。
【選択図】図２

Description

本発明は、偽装仮想マシン情報を利用したインテリジェントボット対応方法及び装置に関し、より詳細には、インテリジェントボットの悪性プロセスを中断するようにする偽装仮想マシン情報を利用したインテリジェントボット対応方法及び装置に関する。

インテリジェントボット（Intelligent Bots）は、ユーザの直接的な参加なしに正規的に情報を収集するか、またはサービスを行うプログラムを言う。一般的に、インテリジェントボットは、ユーザが提供したパラメータを使用してインターネットに接続された端末を検索し、ユーザが関心を持っている情報を収集し、ユーザに提供する。しかし、このようなインテリジェントボットは、その特性上、ユーザの意図によって悪性行為に使用されることができる。

したがって、保安専門家は、このようなインテリジェントボットを利用した悪性行為を分析するために、仮想マシン（Virtual Machine）を実行し、仮想マシン上でインテリジェントボットが実行されるようにして、悪性行為を分析及び追跡している。

しかし、インテリジェントボットの製作者は、このような仮想マシン実行を用いた方法に対応するために、仮想マシンの動作を探知する方法を使用している。このような仮想マシンの動作を探知する方法によれば、インテリジェントボットが仮想マシン上で動作するか否かを探知し、インテリジェントボットが仮想マシン上で動作するものと判断すれば、悪性行為を実行せずに終了する。

韓国登録特許第１０−０９２７２４０号公報

本発明は、前述したような従来の問題点を解決するためになされたもので、その目的は、仮想マシンの動作を探知するインテリジェントボットが仮想マシン上で動作するものと判断するように、偽装仮想マシン情報を提供し、インテリジェントボットが悪性プロセスを中断するようにすることによって、ユーザ端末がインテリジェントボットに感染されても、悪性プロセスを実行しないようにして、ＤＤｏｓ（distributed denial of service）攻撃または情報流出などの被害を予防することにある。

上記目的を達成するために、本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法は、プロセスからの仮想マシン探知要請を全域フッキング（Global hooking）する段階と、既保存された悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断する段階と、前記判断結果、悪性プロセスに該当すれば、前記プロセスがインテリジェントボットによって生成されたものと判断し、偽装仮想マシン情報を前記プロセスにリターンする段階とを含む。

本発明の他の一実施例によれば、前記プロセスが悪性プロセスに該当するか否かを判断する段階は、前記プロセスがユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つを実行する悪性プロセスに該当するか否かを判断することができる。

本発明のさらに他の一実施例によれば、前記プロセスが悪性プロセスに該当するか否かを判断する段階は、前記プロセスが既保存された正常プロセスのリストであるホワイトリストに含まれるか否かを判断する段階をさらに含むことができる。

本発明のさらに他の一実施例によれば、前記プロセスが悪性プロセスに該当するか否かを判断する段階は、前記仮想マシン探知要請のバイナリーハッシュ値が既保存された悪性コードのハッシュ値と一致するか否かを判断する段階をさらに含むことができる。

本発明のさらに他の一実施例によれば、前記判断結果、一致しなければ、前記仮想マシン探知要請のバイナリーハッシュ値を保存する段階をさらに含むことができる。

本発明のさらに他の一実施例によれば、前記偽装仮想マシン情報は、ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことができる。

本発明のさらに他の一実施例によれば、前記判断結果、悪性プロセスに該当しなければ、ユーザ端末のウィンドウカーネル（Kernel）に前記仮想マシン探知要請を伝達する段階と、前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンする段階とをさらに含むことができる。

本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応装置は、ユーザ端末が仮想マシンを使用するものとして偽装する偽装仮想マシン情報及び悪性プロセスを判断するための悪性プロセス情報を保存する仮想マシン情報データベースと、プロセスからの仮想マシン探知要請を全域フッキングし、前記仮想マシン情報データベースに保存された前記悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断し、前記判断結果、前記プロセスが悪性プロセスに該当すれば、前記仮想マシン情報データベースに保存された偽装仮想マシン情報を前記プロセスにリターンする全域フッキングモジュールとを含む。

本発明のさらに他の一実施例によれば、前記全域フッキングモジュールは、前記悪性プロセス情報に基づいて前記プロセスが前記ユーザ端末のファイルに対する接近を実行すれば、悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装ファイル情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするファイル制御モジュールと、前記悪性プロセス情報に基づいて前記プロセスが仮想マシンネットワークアドレス検査を実行すれば、悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装ネットワークアドレス情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするネットワーク制御モジュールと、前記悪性プロセス情報に基づいて前記プロセスが前記ユーザ端末のレジストリ接近を実行すれば、前記プロセスが悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装レジストリ情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするレジストリ制御モジュールとを含む。

本発明のさらに他の一実施例によれば、前記全域フッキングモジュールは、前記プロセスが前記仮想マシン情報データベースに保存された正常プロセスのリストであるホワイトリストに含まれなければ、前記プロセスが悪性プロセスであると判断することができる。

本発明のさらに他の一実施例によれば、前記全域フッキングモジュールは、前記仮想マシン探知要請のバイナリーハッシュ値が前記仮想マシン情報データベースに保存された悪性コードのハッシュ値と一致すれば、前記プロセスが悪性プロセスであると判断することができる。

本発明のさらに他の一実施例によれば、前記偽装仮想マシン情報は、前記ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことができる。

本発明のさらに他の一実施例によれば、前記悪性プロセス情報は、前記ユーザ端末のファイル、前記仮想マシンのネットワークアドレス及び前記ユーザ端末のレジストリのうち少なくともいずれか１つに接近するための情報を含むことができる。

本発明のさらに他の一実施例によれば、前記全域フッキングモジュールは、前記判断結果、悪性プロセスに該当しなければ、前記ユーザ端末のウィンドウカーネルに前記仮想マシン探知要請を伝達し、前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンすることができる。

本発明によれば、仮想マシンの動作を探知するインテリジェントボットが仮想マシン上で動作するものと判断するように偽装仮想マシン情報を提供し、インテリジェントボットが悪性プロセスを中断するようにして、ユーザ端末がインテリジェントボットに感染されても、悪性プロセスを実行しないようにして、ＤＤｏｓ（Distributed denial of service）攻撃または情報流出などの２次被害を予防することができる。

本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応装置の構成図である。 本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明するための流れ図である。 本発明の他の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明するための流れ図である。

以下、本発明による実施例を添付の図面を参照して詳細に説明する。しかし、本発明が下記実施例に限定されるものではない。各図面に示された同一の参照符号は、同一の部材を示す。

図１は、本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応装置の構成図である。図１を参照して本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボットに対応装置の構成を説明する。

図１に示されたように、本発明の一実施例によるインテリジェントボット対応装置１００は、全域フッキングモジュール１１０及び仮想マシン情報データベース１２０を備えて構成される。

インテリジェントボット１３０がユーザ端末で仮想マシンを使用するか否かを判断するために、前記ユーザ端末にプロセスの実行のための仮想マシン（Virtual Machine）の探知要請を伝送すれば、全域フッキングモジュール１１０は、前記仮想マシンの探知要請を全域フッキング（Global hooking）する。

全域フッキングモジュール１１０は、仮想マシン情報データベース１２０に保存された悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断する。

仮想マシン情報データベース１２０は、ユーザ端末が仮想マシンを使用するものとして偽装する偽装仮想マシン情報及び悪性プロセスを判断するための悪性プロセス情報を保存する。仮想マシン情報データベース１２０に保存される前記悪性プロセス情報は、前記ユーザ端末のファイル、前記仮想マシンのネットワークアドレス及び前記ユーザ端末のレジストリのうち少なくともいずれか１つに接近するための情報を含むことができる。

したがって、全域フッキングモジュール１１０は、前記プロセスが悪性プロセスに該当するものと判断すれば、前記ユーザ端末で仮想マシンを使用するものとして偽装するための偽装仮想マシン情報を仮想マシン情報データベース１２０から読み込んで、前記プロセスを実行したインテリジェントボット１３０にリターンする。この際、前記偽装仮想マシン情報は、仮想マシン情報データベース１２０に保存され、前記ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことができる。

以下では、全域フッキングモジュール１１０についてさらに詳細に説明する。
全域フッキングモジュール１１０は、ファイル制御モジュール１１１、ネットワーク制御モジュール１１２及びレジストリ制御モジュール１１３を備えて構成されることができる。

ファイル制御モジュール１１１は、仮想マシン情報データベース１２０に保存された悪性プロセス情報を参照して前記プロセスがユーザ端末のファイルに対する接近を実行すれば、前記プロセスを悪性プロセスであると判断する。それによって、ファイル制御モジュール１１１は、前記仮想マシンに偽装するための偽装ファイル情報を仮想マシン情報データベース１２０から受信し、前記プロセスを実行したインテリジェントボット１３０にリターンすることができる。

また、ネットワーク制御モジュール１１２は、仮想マシン情報データベース１２０に保存された悪性プロセス情報を参照して前記プロセスが仮想マシンネットワークアドレス検査を実行すれば、前記プロセスを悪性プロセスであると判断する。それによって、ネットワーク制御モジュール１１２は、前記仮想マシンに偽装するための偽装ネットワークアドレス情報を仮想マシン情報データベース１２０から受信し、前記プロセスを実行したインテリジェントボット１３０にリターンすることができる。

また、レジストリ制御モジュール１１３は、仮想マシン情報データベース１２０に保存された悪性プロセス情報を参照して前記プロセスが前記ユーザ端末のレジストリ接近を実行する要請なら、前記プロセスを悪性プロセスであると判断する。それによって、レジストリ制御モジュール１１３は、前記仮想マシンに偽装するための偽装レジストリ情報を仮想マシン情報データベース１２０から受信し、前記プロセスを実行したインテリジェントボット１３０にリターンすることができる。

それに加えて、全域フッキングモジュール１１０は、前記仮想マシン探知要請のバイナリーハッシュ値が仮想マシン情報データベース１２０に保存された悪性コードのハッシュ値と一致すれば、前記プロセスが悪性プロセスであると判断するように構成されることができる。

一方、全域フッキングモジュール１１０は、前記プロセスが仮想マシン情報データベース１２０に保存された正常プロセスのリストであるホワイトリストに含まれるか否かを判断し、前記判断結果、ホワイトリストに含まれない場合にのみ、上記のような悪性プロセスの判断を行うように構成されることができる。

全域フッキングモジュール１１０は、前記仮想マシン探知要請を伝達したプロセスが悪性プロセスではないものと判断するか、前記プロセスが前記ホワイトリストに含まれれば、前記プロセスが正常プロセスであると判断することができる。全域フッキングモジュール１１０は、上記のように、プロセスが正常プロセスであると判断すれば、前記ユーザ端末のウィンドウカーネル（Kernel）１４０に前記仮想マシン探知要請を伝達し、前記ユーザ端末のウィンドウカーネル１４０から前記仮想マシン探知要請に対する正常値を受信し、前記プロセスを実行したインテリジェントボット１３０にリターンすることができる。

一方、本発明の一実施例によるインテリジェントボット１３０からの仮想マシン探知要請は、ＶＭｗａｒｅまたはＣＷ Ｓａｎｄｂｏｘなどで具現される仮想マシン（Virtual Machine）を対象にした要請であることができる。

したがって、本発明の一実施例によれば、仮想マシンの動作を探知するインテリジェントボットが仮想マシン上で動作するものと判断するように偽装仮想マシン情報を提供し、インテリジェントボットが悪性プロセスを中断するようにすることができる。

図２は、本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明するための流れ図である。図２を参照して、本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明する。

本発明の一実施例によれば、インテリジェントボット対応装置は、プロセスからの仮想マシン探知要請を全域フッキングする（Ｓ２１０）。

インテリジェントボット対応装置は、既保存された悪性プロセスに基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断する（Ｓ２２０）。

インテリジェントボット対応装置は、前記判断結果、悪性プロセスに該当すれば、偽装仮想マシン情報を前記プロセスにリターンし、この際、前記偽装仮想マシン情報は、ユーザ端末が仮想マシンを使用するものとして偽装するための情報である（Ｓ２３０）。

一方、インテリジェントボット対応装置は、前記プロセスが悪性プロセスに該当しないものと判断すれば、前記ユーザ端末のウィンドウカーネルに前記仮想マシン探知要請を伝達することができる（Ｓ２４０）。その後、インテリジェントボット対応装置は、前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンすることができる（Ｓ２５０）。

図３は、本発明の他の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明するための流れ図である。図３を参照して本発明のさらに他の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明する。

インテリジェントボット対応装置は、プロセスからの仮想マシン探知要請を全域フッキングし（Ｓ３１０）、前記プロセスがホワイトリストに含まれるか否かを判断することができる（Ｓ３２０）。この際、前記ホワイトリストは、正常プロセスのリストとして仮想マシン情報データベースに保存される。

インテリジェントボット対応装置は、前記判断結果、前記プロセスが前記ホワイトリストに含まれない場合、前記プロセスが前記ユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つを実行するプロセスであるか否かを判断することができる（Ｓ３３０）。

インテリジェントボット対応装置は、前記プロセスが前記ユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つを実行するプロセスであると判断すれば、前記仮想マシン探知要請のバイナリーハッシュ値が仮想マシン情報データベースに保存されている悪性コードのハッシュ値と一致するか否かによって悪性プロセスであるか否かを判断することができる（Ｓ３３５）。

例えば、インテリジェントボット対応装置は、前記プロセスが００−０５−６９−ｘｘ−ｘｘ−ｘｘ、００−０ｃ−２９−ｘｘ−ｘｘ−ｘｘ、００−５０−５６−ｘｘ−ｘｘ−ｘｘなどのように、仮想マシンで使用するＭＡＣアドレスに接近するか否かによって悪性プロセスであるか否かを判断するか、前記レジストリに接近し、仮想マシンで使用するプロダクト（product）ＩＤ、ハードドライバー、ビデオドライバーなどの情報に接近するか否かによって悪性プロセスであるか否かを判断することができる。

インテリジェントボット対応装置は、前記判断結果、前記プロセスが前記ユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つに該当し、前記仮想マシン探知要請のバイナリーハッシュ値が悪性コードのハッシュ値と一致し、悪性プロセスであると判断した場合には、ユーザ端末が仮想マシンを使用するものとして偽装するための偽装仮想マシン情報を前記プロセスを要請した前記プロセスにリターンする（Ｓ３４０）。この際、前記偽装仮想マシン情報は前記ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことができる。

一方、インテリジェントボット対応装置は、前記判断結果、前記プロセスが前記ホワイトリストに含まれるか、前記仮想マシン探知要請が前記ユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つに該当しないか、前記仮想マシン探知要請のバイナリーハッシュ値が悪性コードのハッシュ値と一致しないものと判断する場合には、前記プロセスが悪性プロセスに該当しないものと判断し、前記ユーザ端末のウィンドウカーネルに前記仮想マシン探知要請を伝達することができる（Ｓ３５０）。

また、前記プロセスがホワイトリストに含まれず、前記仮想マシン探知要請が前記ユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つに該当するが、前記仮想マシン探知要請のバイナリーハッシュ値が悪性コードハッシュ値と一致しない場合には、仮想マシン情報データベースに前記仮想マシン探知要請のバイナリーハッシュ値を保存する（Ｓ３３６）。この際、ファイル、プロセス、レジストリ、ネットワークに対する行為を別途の外部システムで分析して悪性可否を判断し、悪性の場合には、前記バイナリーハッシュ値を悪性コードハッシュ値として仮想マシン情報データベースに保存することができる。

それによって、インテリジェントボット対応装置は、前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンすることができる（Ｓ３６０）。

したがって、本発明によれば、仮想マシンの動作を探知するインテリジェントボットが仮想マシン上で動作するものと判断するように偽装仮想マシン情報を提供し、インテリジェントボットが悪性プロセスを中断するようにすることができる。したがって、本発明によれば、ユーザ端末がインテリジェントボットに感染されても、悪性プロセスを実行しないようにして、ＤＤｏｓ（Distributed denial of service）攻撃または情報流出などの２次被害を予防することができる。

前述した本発明の実施例は、任意の多様な方法で具現されることができる。例えば、実施例は、ハードウェア、ソフトウェアまたはそれらの組み合わせを利用して具現されることができる。ソフトウェアで具現される場合に、多様な運営体制またはプラットフォームを利用する１つ以上のプロセッサ上で実行されるソフトウェアとして具現されることができる。追加的に、このようなソフトウェアは、多数の適合なプログラミング言語のうち任意のものを使用して作成されることができ、また、フレームワークまたは仮想マシンで実行される実行可能な機械語コードまたは中間コードにコンパイルされることができる。

また、本発明は、１つ以上のコンピューターまたは他のプロセッサ上で実行される場合、上記で論議された本発明の多様な実施例を具現する方法を行う１つ以上のプログラムが記録されたコンピュータで読み取り可能な媒体（例えば、コンピュータメモリ、１つ以上のプロッピィーディスク、コンパクトディスク、光学ディスク、磁気テープ、フラッシュメモリなど）で具現されることができる。

以上のように、本発明では具体的な構成要素などのような特定事項と限定された実施例及び図面によって説明されたが、これは、本発明のさらに全般的な理解を助けるために提供されるものに過ぎず、本発明は、上記実施例に限定されるものではなく、本発明の属する分野における通常的な知識を有する者ならこのような記載から多様な修正及び変形が可能である。したがって、本発明の思想は、説明された実施例に限って定められるものではなく、後述する特許請求範囲だけでなく、この特許請求範囲と均等または等価的変形があるすべてのものなどは、本発明思想の範疇に属すると言える。

１００ インテリジェントボット対応装置
１１０ 全域フッキングモジュール
１１１ ファイル制御モジュール
１１２ ネットワーク制御モジュール
１１３ レジストリ制御モジュール
１２０ 仮想マシン情報データベース
１３０ インテリジェントボット
１４０ ウィンドウカーネル

Claims (14)

1. プロセスからの仮想マシン探知要請を全域フッキング（Global hooking）する段階と、
   既保存された悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断する段階と、
   前記判断の結果、悪性プロセスに該当すれば、前記プロセスがインテリジェントボットによって生成されたものと判断し、偽装仮想マシン情報を前記プロセスにリターンする段階と、
   を含む偽装仮想マシン情報を利用したインテリジェントボット対応方法。
2. 前記プロセスが悪性プロセスに該当するか否かを判断する段階は、
   前記プロセスがユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つを実行する悪性プロセスに該当するか否かを判断することを特徴とする請求項１に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
3. 前記プロセスが悪性プロセスに該当するか否かを判断する段階は、
   前記プロセスが既保存された正常プロセスのリストであるホワイトリストに含まれるか否かを判断する段階をさらに含むことを特徴とする請求項１に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
4. 前記プロセスが悪性プロセスに該当するか否かを判断する段階は、
   前記仮想マシン探知要請のバイナリーハッシュ値が既保存された悪性コードのハッシュ値と一致するか否かを判断する段階をさらに含むことを特徴とする請求項１に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
5. 前記判断の結果、一致しなければ、前記仮想マシン探知要請のバイナリーハッシュ値を保存する段階をさらに含むことを特徴とする請求項４に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
6. 前記偽装仮想マシン情報は、
   ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことを特徴とする請求項１に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
7. 前記判断の結果、悪性プロセスに該当しなければ、ユーザ端末のウィンドウカーネルに前記仮想マシン探知要請を伝達する段階と、
   前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンする段階と、
   をさらに含むことを特徴とする請求項１に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
8. ユーザ端末が仮想マシンを使用するものとして偽装する偽装仮想マシン情報及び悪性プロセスを判断するための悪性プロセス情報を保存する仮想マシン情報データベースと、
   プロセスからの仮想マシン探知要請を全域フッキングし、前記仮想マシン情報データベースに保存された前記悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断し、前記判断の結果、前記プロセスが悪性プロセスに該当すれば、前記仮想マシン情報データベースに保存された偽装仮想マシン情報を前記プロセスにリターンする全域フッキングモジュールと、
   を含む偽装仮想マシン情報を利用したインテリジェントボット対応装置。
9. 前記全域フッキングモジュールは、
   前記悪性プロセス情報に基づいて前記プロセスが前記ユーザ端末のファイルに対する接近を実行すれば、悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装ファイル情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするファイル制御モジュールと、
   前記悪性プロセス情報に基づいて前記プロセスが仮想マシンネットワークアドレス検査を実行すれば、悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装ネットワークアドレス情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするネットワーク制御モジュールと、
   前記悪性プロセス情報に基づいて前記プロセスが前記ユーザ端末のレジストリ接近を実行すれば、前記プロセスが悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装レジストリ情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするレジストリ制御モジュールと、
   を含むことを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。
10. 前記全域フッキングモジュールは、
    前記プロセスが前記仮想マシン情報データベースに保存された正常プロセスのリストであるホワイトリストに含まれなければ、前記プロセスが悪性プロセスであると判断することを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。
11. 前記全域フッキングモジュールは、
    前記仮想マシン探知要請のバイナリーハッシュ値が前記仮想マシン情報データベースに保存された悪性コードのハッシュ値と一致すれば、前記プロセスが悪性プロセスであると判断することを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。
12. 前記偽装仮想マシン情報は、
    前記ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。
13. 前記悪性プロセス情報は、
    前記ユーザ端末のファイル、前記仮想マシンのネットワークアドレス及び前記ユーザ端末のレジストリのうち少なくともいずれか１つに接近するための情報であることを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。
14. 前記全域フッキングモジュールは、
    前記判断結果、悪性プロセスに該当しなければ、前記ユーザ端末のウィンドウカーネルに前記仮想マシン探知要請を伝達し、前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンすることを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。

Images