JP2016522489A - データプロセシングシステムのセキュリティ装置とセキュリティ方法 - Google Patents

Abstract

本発明は、様々な悪意的コードからデータプロセシングシステムを保護し、データの流出及び誤作動などを防止するセキュリティ装置とセキュリティ方法に関するものであって、ルーチン形式のセキュリティローダーと原本実行ファイルが構成されたスタブを備えたスタブファイルの実行時、前記セキュリティローダによって呼び出され、前記セキュリティローダーによって前記スタブから復元された前記原本実行ファイルが実行されるように処理する実行モジュール、及び復元された前記原本実行ファイルの実行によるデータプロセシングシステムの動作を監視する監視モジュールを含む。【選択図】 図１

Description

本発明は、各種の悪意的コードからデータプロセシングシステムを保護し、データの流出及び誤作動などを防止するセキュリティ装置とセキュリティ方法に関する。

各種のデータを運営して管理するコンピューターまたはモバイル端末機などのデータプロセシングシステムと、これらの相互通信を媒介するインターネットのようなネットワークが発達しながら、数多くのデータがデータプロセシングシステムを通じて扱われている。

このようなデータにはユーザに有益な情報だけでなく、害悪を及ぼす情報も含まれるが、このような情報は、ウイルス(ｖｉｒｕｓ)、スパイウェア(ｓｐｙｗａｒｅ)、アドウェア(ａｄｗａｒｅ)などの悪意的なコードが例示されることができる。前記悪意的なコードは、特定または不特定多数のユーザが使用するデータプロセシングシステムに致命的な損傷を負わせたり、ユーザが望んでいない動作を遂行するようにし、さらに、ユーザの個人情報を流出して該当ユーザに経済的に損失を及ぼす。したがって、このような悪意的コードを持続的に監視して遮断しようとする努力が持続的に遂行されている。

従来では、一般的に悪意的なコードを検索するため、あらかじめ悪意的なコードのパターンをＤＢに保存し、該当パターンのファイルが指定されたデータプロセシングシステムまたはネットワーク内の特定位置に存在するかどうかを監視した。

しかし、従来の方式は保存されたファイルを無作為に確認して前記ＤＢに保存されたパターンと比較するものであるため、投資時間及び投資資源に対比して保安度が高くない問題があった。また、従来の方式はファイルの実行とは関係なく従来のセキュリティ装置の駆動時点にのみ該当ファイルに対し、無作為に保安度を監視するので、特定時点では悪意的なコードが活性化されなかったり、悪意的コード自体がなかったが、特定プロセシングが遂行されたり、特定時点になれば、悪意的機能を開始する悪意的なコードは、従来のセキュリティ装置が全く監視できないという限界があった。

このような問題を解消するため、従来のセキュリティ装置は、データプロセシングシステムまたは特定の位置に存在するすべてのファイルを一定周期で一々確認する方法が提案された。しかし、従来のセキュリティ装置が監視すべきセキュリティの対象ファイルの個数は、データプロセシングシステムまたは特定の位置の規模によってその数が少なくなく、監視回数も周期が短くなるほど増加するしかないので、精密なファイルの監視のためには、従来のセキュリティ装置に少なくない仕様が要求される問題があった。

本発明は、前記のような問題を解消するために発明されたものであって、悪意的なコードの動作を誘導する実行ファイルの監視を効率的に実行するデータプロセシングシステムのセキュリティ装置とセキュリティ方法の提供を解決しようという課題とする。

前記技術的課題を達成するため、本発明は、
ルーチン形式のセキュリティローダーと原本実行ファイルが構成されたスタブを備えたスタブファイルの実行時、前記セキュリティローダーによって呼び出され、前記セキュリティローダーによって前記スタブから復元された前記原本実行ファイルが実行されるように処理する実行モジュールと、
復元された前記原本実行ファイルの実行によるデータプロセシングシステムの動作を監視する監視モジュールと、
を含むデータプロセシングシステムのセキュリティ装置である。

前記他の技術的課題を達成するため、本発明は、
データプロセッシングシステム内のスタブファイルの実行時、前記スタブファイルのセキュリティローダーが前記データプロセシングシステムのセキュリティ装置を呼び出すセキュリティ装置設置確認ステップと、
前記スタブファイルのスタブから原本実行ファイルを復元して保存する対象ファイル情報保存ステップと、
復元された前記原本実行ファイルの実行によるデータプロセシングシステムの動作を監視する原本実行ファイル監視ステップと、
を含むデータプロセシングシステムセキュリティ方法である。

前記本発明は、実行ファイルに含まれた悪意的なコードの動作を監視するセキュリティ装置が前記実行ファイルの実行時に受動的に駆動しながら動作するので、悪意的なコードに対する監視効率と動作効率を高めることができ、また監視動作の際、システム負荷を最小化できる効果がある。

本発明に係るセキュリティ装置の構造を概略的に示した構成図である。 本発明に係るセキュリティ装置に基づいて行われるセキュリティ方法で順次示すフローチャートである。 本発明に係るセキュリティ装置の他の構造を概略的に示した構成図である。 本発明に係るセキュリティ装置を介してスタブファイルに変換された原本実行ファイルの様子とアイコンの様子を示す図である。 本発明に係るスタブファイルのアイコンイメージを示す図である。 本発明に係るセキュリティ装置に基づいて行われるセキュリティ方法の他の実施例を順次示すフローチャートである。

前述した本発明の特徴及び効果は、添付の図面と関連した次の詳細な説明を通じてより明確になるものであり、それに応じて、本発明が属する技術分野で通常の知識を有する者が本発明の技術的思想を容易に実施することがことができるものである。本発明は、様々な変更を加えることができ、様々な形態を有することができるため、特定の実施例を図面に例示し、本文に詳細に説明する。しかし、これは本発明を特定の開示形態について限定するものではなく、本発明の思想及び技術範囲に含まれるすべての変更、均等物ないし代替物を含むものと理解されるべきである。本出願で使用される用語は、単に特定の実施例を説明するために使用されたもので、本発明を限定する意図はない。

以下、本発明を実施するための具体的な内容を添付の図面に基づいて詳細に説明する。

図１は、本発明に係るセキュリティ装置の構造を概略的に示した構成図であり、これを参照して説明する。

本発明に係るセキュリティ装置１０は、スタブファイル４０の実行時、特定の区域で発生する活動を確認し、その活動が指定された活動を外れた場合、これを遮断及び/又は警告する監視モジュール１１と、セキュリティ処理されたスタブファイル４０を原本実行ファイルに復元して実行されるように処理する実行モジュール１２とから構成される。

監視モジュール１１は、スタブファイル４０の実行時、より具体的には、スタブファイル４０に構成された原本実行ファイルの実行時にデータプロセシングシステムのレジストリ、ファイルＩ/Ｏ、サービス、ウィンドウ、カーネル領域ドライブなどの区域でなされるデータの生成及び編集などの活動を確認し、スタブファイル４０に構成された該当原本実行ファイルとは関係なかったり、関連アプリケーションのアクセスまたは動作が許可されない実行が感知されると、これを強制的に停止させたり、警告ウィンドウを出力させてユーザに通知する。該当原本実行ファイルとは関係なかったり、関連アプリケーションのアクセスまたは動作が許可されない実行とは、原本実行ファイルまたはスタブファイル４０などに無断で記録された悪意的コードが任意の区域で原本実行ファイルまたはスタブファイル４０とは関係ない動作を遂行したり、システムの運用に影響を及ぼすことができる区域（レジストリ、ファイルＩ／Ｏ、サービスなど）への変更（生成及び修正、削除など）をいう。参考までに、悪意的コードの活動を監視する監視モジュール１１は、公知、公用のワクチンプログラム技術が適用され、該当技術には、許可されていない実行の感知時、これを強制的に停止させたり、警告ウィンドウなどを出力させる技術が含まれる。

実行モジュール１２は、スタブファイル４０の実行によって受動的に呼び出されて実行され、スタブファイル４０に構成されたセキュリティローダー４３がプログラムに基づいて動作できるように処理してスタブファイル４０のスタブ４１が原本実行ファイルに復元されるようにする。すなわち、実行モジュール１２は、セキュリティローダー４３が設定されたプログラムルーチンによって実行されるように処理する構成である。

スタブファイル４０は、原本実行ファイルから構成されたスタブ４１と、スタブファイル４０を生成したコンストラクタの情報及び/又は生成されたシステムに対する情報などを有するヘッダ４２と、原本実行ファイルの実行のための処理を制御しながら、セキュリティ装置１０を呼び出すセキュリティローダー４３から構成され、構成データがストリーミング方式で処理されることができるように、セキュリティローダー４３、ヘッダ４２及びスタブ４１は、該当ＯＳ及びアプリケーション３０で順次処理されうるように順次配列される。結局、セキュリティローダー４３は、スタブファイル４０の実行を能動的にセキュリティ装置１０に通知し、セキュリティ装置１０に構成された実行モジュール１２と連動しながら、該当原本データであるスタブ４１の復元作業を行うようにプログラムされたルーチンの一種である。参考までに、セキュリティ装置１０の一構成である実行モジュール１２は、セキュリティローダー４３から復元された原本実行ファイルの位置を受信して前記原本実行ファイルが実行するように制御する装置である。

本発明に係るセキュリティ装置１０のより具体的な技術説明は、セキュリティ方法を説明しながら詳細にする。

図２は、本発明に係るセキュリティ装置に基づいて行われるセキュリティ方法で順次示すフローチャートであり、これを参照して説明する。

Ｓ１０:実行ファイルの実行ステップ
データプロセシングシステムでは、該当システムまたはアプリケーション３０の駆動のための実行ファイルがユーザの選択または設定されたフローに基づいて実行される。ここで、実行ファイルは、* .ｅｘｅ、* .ｄｌｌなどのＰＥ（Ｐｏｒｔａｂｌｅ Ｅｘｅｃｕｔａｂｌｅ）構造を持つファイルであり、以外にも様々な拡張子の実行ファイルが適用されることができる。

参考までに、本発明の対象となるスタブファイル４０の名称は、原本実行ファイルの名称と同様に保存されるので、前記原本実行ファイルを実行させるＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ; ２０）またはアプリケーション３０は、実行ファイルとして認知するスタブファイル４０を、該当原本実行ファイルで確認し、その実行を進行する。したがって、原本実行ファイルが「ａ.ｅｘｅ」であれば、スタブファイル４０又は「ａ.ｅｘｅ」に変換されて保存されるので、ＯＳ２０または該当アプリケーション３０は、該当実行ファイルが処理されなければならないタイミングにスタブファイル４０に変換保存された「ａ.ｅｘｅ」の実行を処理する。

次に、実行ファイルに記録された情報は、ＯＳ２０又はアプリケーション３０によってストリーミング方式で順次処理される。したがって、実行ファイルがスタブファイル４０である場合、ＯＳ２０又はアプリケーション３０は、スタブファイル４０に記録された情報であるセキュリティローダー４３、ヘッダ４２及びスタブ４１を保存して順次処理する。

Ｓ２０:セキュリティ装置の設置確認ステップ
ＯＳ２０又はアプリケーション３０の処理過程でセキュリティローダー４３が確認され、セキュリティローダー４３が設定された内容に基づいて動作しながら、セキュリティ装置１０を呼び出す。

一方、前記実行ファイルが、本発明によりセキュリティ処理されたスタブファイル４０でない一般的な実行ファイルである場合、該当実行ファイルには、セキュリティローダー４３を構成していないので、ＯＳ２０又はアプリケーション３０の処理時にセキュリティ装置１０は呼び出されず、前記実行ファイルのスタブ４１が該当アプリケーションによって直ちに実行される。

参考までに、本発明に係るセキュリティ装置１０が設けられないデータプロセシングシステムにスタブファイル４０が実行される場合、スタブファイル４０のセキュリティローダー４３は、呼び出しの対象がないため、以降のステップが行われない。結局、セキュリティ装置１０が設けられないデータプロセシングシステムでは、監視対象の実行ファイルの実行自体が基本的に遮断されるので、セキュリティが最大化する効果がある。

Ｓ３０:対象ファイルの確認ステップ
プログラムルーチンの一種であるセキュリティローダー４３は、スタブファイル４０の位置を確認するための第１のフルパス（Ｆｕｌｌ Ｐａｔｈ）情報と、スタブファイル４０に構成されたセキュリティローダー４３とヘッダ４２とスタブ４１の大きさをそれぞれ確認する。スタブファイル４０は、ユーザの意志によって様々な位置に移動して実行されうる独立したファイルであるので、特定の位置に制限的に固定位置していない。したがって、セキュリティローダー４３は、スタブファイル４０が実行される度に自分の位置及びサイズなどを確認する。参考までに、フルパス（Ｆｕｌｌ Ｐａｔｈ）は、ファイル名を指定するとき、ドライブ名から開始して、すべてのディレクトリ名を指定して入力するもので、ファイルの絶対位置を確認する周知、寛容情報である。

スタブ４１は、原本実行ファイル区間として、スタブファイル４０への変換処理時に、原本実行ファイル区間は、暗号化されうる。結局、原本実行ファイルをスタブファイル４０に変換した場合、原本実行ファイルは、暗号化によりその実行時に悪意的コードが活動することを基本的に遮断するのはもちろん、原本実行ファイルのデータに対して無断で流出されることが防止される効果がある。

Ｓ４０:対象ファイルの情報保存ステップ
セキュリティローダー４３は、スタブ４１の原本実行ファイルを臨時フォルダＦに分離保存し、該当臨時フォルダＦの位置である第２のフルパス情報を確認して前記第１のフルパス情報とともにセキュリティ装置１０の実行モジュール１２に伝達する。

参考までに、スタブ４１の原本実行ファイルが暗号化された場合、セキュリティローダー４３が暗号化された原本実行ファイルを復号化した後、臨時フォルダＦに保存することができ、セキュリティローダー４３が暗号化された原本実行ファイルを臨時フォルダＦに先ず保存した後、該当原本実行ファイルの実行直前に実行モジュール１２が、これを復号化することもできる。

Ｓ５０:原本実行ファイルの実行ステップ
セキュリティローダー４３によって呼び出されたセキュリティ装置１０の実行モジュール１２は、セキュリティローダー４３から前記第２のフルパス情報を受信し、実行モジュール１２は、前記第２のフルパス情報に該当する原本実行ファイルが実行されるように処理する。

前記原本実行ファイルは、実行モジュール１２の制御によって、 固有の該当実行を開始し、連動するアプリケーションは、その駆動を開始する。

Ｓ６０:原本実行ファイルの監視ステップ
セキュリティ装置１０の監視モジュール１１は、セキュリティローダー４３が伝送した 第１、２フルパス情報に基づいて臨時フォルダＦ内の前記原本実行ファイルを確認し、前記原本実行ファイルが実行される場合、データプロセシングシステムのレジストリ、ファイルＩ／Ｏ、サービス、ウィンドウ、カーネル領域ドライブなどの区域で生成及び編集されたすべてのデータを把握して、悪意的なコードの有無または非認可された行為の発生の有無などを確認する。

監視モジュール１１は、前記原本実行ファイルの動作以降に実行情報を持つので、前記原本実行ファイルの動作以降、指定された実行情報の他の動作が発生する場合、監視モジュール１１は、データプロセシングシステムの該当区域に悪意的コードまたは非認可された行為が発生するものと見なし、後続処理を行う。

Ｓ７０:監視対象の後続処理ステップ
監視モジュール１１は、データプロセシングシステムの該当区域に悪意的コードまたは非認可された行為が発生したことが確認されると、前記データプロセシングシステムの該当動作を停止させることができ、ユーザに警告ウィンドウを出力して後続処理を実行するようにすることができる。

監視モジュール１１の後続処理内容は、ＯＳの起動に必要な領域（ＭＢＲなど）に変更の試み確認（ファイル監視）、一般的なユーザレベルではないカーネルレベルでの不要なレジストリ値の変更の試み確認（レジストリ監視）、アクセスを遮断したり、要求する部分に対するログの保存などのデータ生成または編集などが例示される。

前述したように、監視モジュール１１は、悪意的コードの駆動または非認可された行為を制限するための公知、公用の装置が適用されることができる。

一方、スタブファイル４０は、ヘッダ４２を含むが、監視モジュール１１は、ヘッダ４２でスタブファイル４０のヘッダ情報を確認する。前記ヘッダ情報は、スタブファイル４０を生成したコンストラクタの情報及び/又は生成先の情報、ファイル流入経路（以下、「ファイル流入経路情報」）などを含むが、前記ヘッダ情報に基づいてスタブファイル４０の実行を制御したり、削除などのセキュリティ対策となるようにすることができる。

これをより具体的に説明すると、監視モジュール１１は、原本実行ファイル監視ステップ（Ｓ６０）においてスタブファイル４０のヘッダ情報に基づいて該当スタブファイル４０のファイル流入経路情報（例えば、ファイルを発信した送信人のメールアドレス、ファイルをダウンロードしたＵＲＬアドレス、ファイルが含まれたＵＳＢデバイス名など）を優先的に照会する。照会されたファイルの流入経路情報が既存に悪意的コードの駆動または非認可された行為をすることが確認されて政策的に不正な流入経路である場合、該当原本実行ファイルの実行を遮断したり、スタブファイル４０を削除するように処理することができ、さらに該当ファイル流入経路自体を遮断するように前記ファイル流入経路情報を持つ他のスタブファイルの動作を制限処理する後続の処理をすることができる。

Ｓ８０:実行ファイルの終了ステップ
該当実行ファイルの実行が終了すると、実行モジュール１２は、原本実行ファイルが臨時保存された臨時フォルダＦまたは原本実行ファイルを削除する。

図３は、本発明に係るセキュリティ装置の他の構造を概略的に示した構成図であり、図４は、本発明に係るセキュリティ装置を介してスタブファイルに変換された原本実行ファイルの様子とアイコンの様子を示す図であり、図５は、本発明に係るスタブファイルのアイコンイメージを示す図面であり、これを参照して説明する。

本発明に係るセキュリティ装置１０’は、監視対象の原本実行ファイルをスタブファイル４０に変換処理する生成モジュール１３をさらに含む。

実行ファイルの中には、セキュリティが保持されなければならないアプリケーションの実行ファイルがある。したがって、該当アプリケーションが動作するときには、セキュリティが前提でなければならず、そのためには、前記アプリケーションの実行ファイルの起動時、悪意的なコードもともに活動するかどうかをリアルタイムに監視しなければならない。したがって、本発明に係るセキュリティ装置１０’は、指定された原本実行ファイルをスタブファイル４０に変換処理する生成モジュール１３を含む。

一方、実行ファイルの中には実行時に下位実行ファイルを追加で生成及び実行させながら、新しいプログラムなどが実行されるようにするものがある。一例として、プログラムの設置ファイルなどのような実行ファイルは、ユーザが該当実行ファイルを実行する場合、下位実行ファイルを追加で生成させて自動的に実行されるようにしたり、ユーザが選択的に実行されるようにする。

したがって、生成モジュール１３は、メインの実行ファイルがスタブファイル４０に変換処理された場合は、該当スタブファイル４０の実行時に生成される下位実行ファイルも自動にスタブファイルに変換されるように処理する。

図４（a）に示すように、生成モジュール１３は、スタブファイル４０変換のため、セキュリティローダー４３を生成し、変換対象である原本実行ファイルの前段にセキュリティローダー４３を挿入して前記原本実行ファイルがスタブファイル４０に変換されるようにする。結局、生成モジュール１３は、原本実行ファイルに該当するスタブ４１の前段にセキュリティローダー４３を配置してスタブファイル４０に変換する。

原本実行ファイルにセキュリティローダーを挿入する技術について、もう少し具体的に説明する。

原本実行ファイルの中にスタブプログラムのセキュリティローダー４３を入れることや、セキュリティローダー４３とデータを合わせることや、すべて実行ファイルにデータを追加する作業である。このように、実行可能ファイルとデータを合わせる方法は、いくつかの種類があり、本発明に係る実施例では、次のように例示する。

（１）第１の実施例
セキュリティローダー４３をリソースに追加する。この方法は、通常、コンパイルタイムに使用される方法であって、セキュリティローダー４３に該当するスタブプログラムを生成する実行モジュール１３で多く使用される。原本実行ファイル自体をバイナリリソースに含ませた後、それをロードして使用する形態である。ウィンドウで提供するリソースのＡＰＩを使用すると、このような作業を簡単にすることができる。リソースは、原本実行ファイルとともにメモリにロードされるため、リソースに追加されたセキュリティローダー４３が大きく、一度にロードする必要がない場合には、メモリの無駄が発生することがある。

（２）第２の実施例
新しいセクションを原本実行ファイルに追加し、そこにセキュリティローダー４３を追加する。セクション追加方法は、コンパイルタイムとコンパイル以降の両方で使用することができる。コンパイルタイムにセクションを追加するためには、#ｐｒａｇｍａ ｄａｔａ_ｓｅｇを使用すればよい。完成されたスタブファイル４０にセクションを追加するためには、別途のユーティリティを製作しなければならない。この方式の最大の利点は、実行可能なコードを追加することができるという点である。一方、サポートするＡＰＩがないので、既に作成されたスタブファイル４０にセクションを追加することは、直接具現しなければならないという欠点がある。セクションもリソースと同様に、メモリにともに上がっていくので、メモリの無駄に対する問題はそのまま残るこがある。

次に、スタブファイル４０に変換が完了したら、生成モジュール１３は、表示がマーキングされたアイコンイメージ情報をスタブファイル４０のリソースに保存し、これにより、表示がマーキングされたアイコンイメージが掲示されてユーザがこれを識別できるようにする。スタブファイル４０は、実行ファイルの一種である原本実行ファイルを監視する目的で変換したもので、ファイル名が原本実行ファイルと同じなので、アイコンイメージも既存の原本実行ファイルのアイコンイメージと同一するしかない。したがって、ユーザがこれを区別できるように、図４（b）に示すように、変換されたスタブファイル４０のアイコンイメージ（ＩＣ）には、「検」の表示（Ｔ）をＯｖｅｒｌａｙなどの方法でマーキングする。図５は、表示がマーキングされたスタブファイル４０のアイコンイメージを例示した図であり、ユーザは該当フォルダに出力された前記アイコンイメージを見ながらスタブファイル４０に変換された原本実行ファイルを直ちに区別することができ、これにより、安全な作業環境が保障されうる。

図６は、本発明に係るセキュリティ装置に基づいて行われるセキュリティ方法の他の実施例を順次示すフローチャートであり、これを参照して説明する。

Ｓ０５:スタブファイルの変換ステップ
データプロセシングシステムに新しい実行ファイルが入力されたり、特定のアプリケーションが監視対象として設定されると、セキュリティ装置１０’の生成モジュール１３は、前記実行ファイルまたは特定のアプリケーションの実行ファイルを監視対象に変換するため、プログラムルーチンの一種であるセキュリティローダー４３を、前記実行ファイルである原本実行ファイルに挿入し、これを介して前記原本実行ファイルをスタブファイル４０に変換させる。

新しい実行ファイルがデータプロセシングシステムに入力される形態は、電子メールなどの添付ファイルを通じた伝送（ダウンロード）、ＵＳＢまたはＣＤなどのようなリムーバブルディスクなどを通じた伝送などの様子で表示されることができる。また、特定のアプリケーションが監視対象として設定される形態は、オンラインバンキングまたはオンライン決済などのためのアプリケーションの設置などの様子で表示されることができる。

以外にも、ユーザがインストールファイルを実行する途中で、新たに生成される実行ファイルによってデータプロセシングシステムに新しい実行ファイルが入力されることもある。

実行ファイルの実行ステップ（Ｓ１０）、セキュリティ装置の設置確認ステップ（Ｓ２０）、対象ファイルの確認ステップ（Ｓ３０）、対象ファイルの情報保存ステップ（Ｓ４０）、原本実行ファイルの実行ステップ（Ｓ５０）、原本実行ファイル監視ステップ（Ｓ６０）、監視対象後続処理ステップ（Ｓ７０）は、前述した内容と同じ/類似するため、該当内容の重複説明は省略する。

Ｓ６５:実行ファイルの生成確認ステップ
セキュリティ装置１０’の生成モジュール１３は、原本実行ファイルの実行時に新しい実行ファイルの生成可否を確認する。前述したように、実行ファイルは、インストールファイルのように従来にはない新しい実行ファイルを生成する実行可能ファイルを含むので、生成モジュール１３は、従来にはない新しい実行ファイルの生成を確認してスタブファイルの変換ステップ（Ｓ０５）を進行する。

もちろん、新しく生成された実行ファイルが存在しないことが確認されると、原本実行ファイルの実行に対する監視を続行したり、実行ファイルの終了を進行する。

前述した本発明の詳細な説明では、本発明の好ましい実施例を参照して説明したが、該当技術分野の熟練した当業者または該当技術分野で通常の知識を有する者であれば、後述の特許請求の範囲に記載された本発明の思想及び技術領域から外れない範囲内で、本発明を多様に修正及び変更させることができることを理解できるだろう。

１０、１０'：セキュリティ装置
１１：監視モジュール
１２：実行モジュール
１３：生成モジュール
２０：ＯＳ
３０：アプリケーション
４０：スタブファイル
４１：スタブ
４２：ヘッダ
４３：セキュリティローダー

Claims (14)

1. ルーチン形式のセキュリティローダーと原本実行ファイルが構成されたスタブを備えたスタブファイルの実行時、前記セキュリティローダによって呼び出され、前記セキュリティローダーによって前記スタブから復元された前記原本実行ファイルが実行されるように処理する実行モジュールと、
   復元された前記原本実行ファイルの実行によるデータプロセシングシステムの動作を監視する監視モジュールと、
   を含むことを特徴とするデータプロセシングシステムのセキュリティ装置。
2. 指定された原本実行ファイルに前記セキュリティローダーを結合または挿入して前記指定された原本実行ファイルがスタブファイルに変換するように処理する生成モジュールを
   さらに含むことを特徴とする請求項１に記載のデータプロセシングシステムのセキュリティ装置。
3. 前記生成モジュールは、前記スタブファイルの原本実行ファイルの実行により生成された新しい原本実行ファイルを確認すると、前記新しい原本実行ファイルに前記セキュリティローダーを結合または挿入して前記新しい原本実行ファイルがスタブファイルに変換するように処理することを特徴とする請求項２に記載のデータプロセシングシステムのセキュリティ装置。
4. 前記スタブファイルの処理時、前記セキュリティローダーが優先的に処理されるように、前記セキュリティローダーとスタブが順次配置されたことを特徴とする請求項２または請求項３に記載のデータプロセシングシステムのセキュリティ装置。
5. 前記実行モジュールは、前記セキュリティローダーが前記スタブファイルから復元して臨時保存した原本実行ファイルを前記原本実行ファイルの実行終了後に削除することを特徴とする請求項１に記載のデータプロセシングシステムのセキュリティ装置。
6. 前記監視モジュールは、前記スタブファイルに構成されたヘッダのヘッダ情報を確認することを特徴とする請求項１に記載のデータプロセシングシステムのセキュリティ装置。
7. 前記監視モジュールは、復元された前記原本実行ファイルを実行時に生成または編集されたデータを確認し、許可されないデータの生成または編集が確認されると、前記原本実行ファイルの実行を停止させたり、警告ウィンドウを出力することを特徴とする請求項１に記載のデータプロセシングシステムのセキュリティ装置。
8. データプロセシングシステム内のスタブファイルの実行時、前記スタブファイルのセキュリティローダーが前記データプロセシングシステムのセキュリティ装置を呼び出すセキュリティ装置の設置確認ステップと、
   前記スタブファイルのスタブから原本実行ファイルを復元して保存する対象ファイル情報の保存ステップと、
   復元された前記原本実行ファイルの実行によるデータプロセシングシステムの動作を監視する原本実行ファイルの監視ステップと、
   を含むことを特徴とするデータプロセシングシステムのセキュリティ方法。
9. 前記スタブファイルの情報を確認できるように、前記セキュリティ装置の設置確認ステップと対象ファイル情報の保存ステップの間に、前記セキュリティローダーが前記スタブファイルの位置に対する第１のフルパス情報とサイズ情報を確認する対象ファイルの確認ステップをさらに含むことを特徴とする請求項８に記載のデータプロセシングシステムのセキュリティ方法。
10. 前記対象ファイルの情報保存ステップは、復元された前記原本実行ファイルの位置に対する第２のフルパス情報を前記セキュリティ装置に伝送し、
    前記原本実行ファイルの監視ステップにおいて、前記セキュリティ装置は、前記第２のフルパス情報に該当する原本実行ファイルの実行を監視することを特徴とする請求項８または請求項９に記載のデータプロセシングシステムのセキュリティ方法。
11. 前記原本実行ファイル監視ステップ以降、前記原本実行ファイルの実行が終了すると、復元された前記原本実行ファイルを前記セキュリティ装置が削除する実行ファイル終了ステップをさらに含むことを特徴とする請求項８に記載のデータプロセシングシステムのセキュリティ方法。
12. 前記対象ファイルの情報保存ステップ以降、前記原本実行ファイルの実行により生成された新しい原本実行ファイルを確認すると、前記新しい原本実行ファイルに前記セキュリティローダーを結合または挿入して前記新しい原本実行ファイルがスタブファイルに変換するように処理するステップをさらに含むことを特徴とする請求項８に記載のデータプロセシングシステムのセキュリティ方法。
13. 前記原本実行ファイル監視ステップ以後、前記セキュリティ装置が復元された前記原本実行ファイルの実行時に生成または編集されるデータを確認し、許可されないデータの生成または編集が確認されると、前記原本実行ファイルの実行を停止させたり、警告ウィンドウを出力する監視対象の後続処理ステップをさらに含むことを特徴とする請求項８に記載のデータプロセシングシステムのセキュリティ方法。
14. 前記原本実行ファイルの監視ステップにおいて、前記セキュリティ装置は、前記スタブファイルのヘッダ情報でファイル流入経路情報を確認し、
    前記原本実行ファイル監視ステップ以後、前記セキュリティ装置が復元された前記原本実行ファイルの実行時に生成または編集されるデータを確認し、許可されないデータの生成または編集が確認されると、前記原本実行ファイルの実行を停止させたり、警告ウィンドウを出力し、前記ファイル流入経路情報を持つ他のスタブファイルの動作を制限処理する監視対象後続の処理ステップとをさらに含むことを特徴とする請求項８に記載のデータプロセシングシステムのセキュリティ方法。