JP2023503760A - ランサムウェアまたはフィッシング攻撃遮断方法及びシステム - Google Patents

Abstract

サーバーと物理的に独立された別の格納装置として前記サーバー内の保管データをバックアップするための用途を持ち、前記サーバーとの通信接続を可能とする通信インターフェースを含む、バックアップ用ストレージ装置；及び前記サーバー内に取り付けられて前記バックアップ用ストレージ装置との通信を仲介するサービスエージェント；を含むランサムウェア攻撃を遮断するためのサーバー用システムが提供される。本発明の実施例によると、前記バックアップ用ストレージ装置が前記サーバーにストレージマウントされた状態で、前記サーバー内の保管データに関する前記バックアップ用ストレージ装置へのデータバックアップが処理された以後、前記バックアップ用ストレージ装置にバックアップ処理されたバックアップデータに関するロック命令がある場合、前記バックアップ用ストレージ装置は前記ロック命令にしたがって該当バックアップデータをロック処理して該当ロック処理されたバックアップデータが修正不可能な読み取り専用モードのみで提供されるように処理することができる。

Description

本発明はランサムウェア（ｒａｎｓｏｍｗａｒｅ）またはフィッシング（ｐｈｉｓｈｉｎｇ）攻撃を遮断する方法及びシステムに関する。

ハッカーが配布するフィッシングとランサムウェアが多様化されながら段々使用者のデータが脅かされている。一般に、フィッシングとは、使用者の端末機に格納されたデータを流出する攻撃であって、使用者端末機に存在するアカウント情報やデジタル証明書、主要データなどを奪取する攻撃を意味する。また、ランサムウェアとは、使用者の端末機に格納されていたり繋がったネットワーク格納場所に保管されたデータを使用者がアクセスできないように暗号化した後、金銭を要求する攻撃技法を言う。最近はデータを流出した後、使用者が使用できないようにすることから端末機のディスクパーティションを操作してＰＣ端末機を使用できないようにすることまで、その方法と形式が多様化されている。

このようなフィッシング攻撃に対応する既存方法ではＰＣ内の格納空間を暗号化して該当特定格納空間に近付くプロセスが事前に指定されたプロセスであるか否かを確認する技術が利用されたが、該当格納空間を暗号化しても暗号化された格納空間を構成したファイルを奪取して復呼化する場合が発生している。

また、ランサムウェア攻撃に対応する既存方法ではＰＣ内の資料を安全な格納領域で周期的にバックアップして、ＰＣがランサムウェア攻撃を受けてもバックアップされた資料を持ってきて使う方法がある。しかし、この方式によっても最近作業したファイルに対する損失は避けられない問題点がある。他の既存方法ではファイルサーバーにアクセスするプロセスを事前に登録しておいてＰＣ内で認可されたプロセスのみ資料に接近可能とすることで、事前に登録されていないプロセスがデータへアクセスする時、これを遮断してランサムウェアプロセスが資料にアクセスできないようにする方法がある。しかし、この方式は認可されたプロセスを事前に登録しなければならない不便さが発生し、随時プログラムが設置される場合、毎回プロセスを煩わしく登録することができない限界点もある。

また、最近はランサムウェア自体がＰＣ内で格納されたデータのみを暗号化することではなく、ＰＣ全体を暗号化したり、ＰＣにマウントされたディスク全体を暗号化してランサムマネーを要求する事例まで発生しているところ、データ暗号化を防ぐことだけでは十分ではない状況が発生している。

さらに、ＰＣのみならずリナックスやユニックスサービスサーバーに格納されている全体データまでに一気に暗号化する攻撃まで発生していて、根本的な代案が必要な状況である。したがって、フィッシングを予防するためにＰＣやサービスサーバーに生成した暗号化された格納空間が奪取されないようにしながら、ランサムウェアがＰＣやサービスサーバーで駆動されるとしても、これによる攻撃を遮断することができる新しい技術が必要である。

本発明は別途サーバー管理人力がいなくても安価で、且つ便利な方法でサーバーに保管されたデータ及びバックアップされたデータをランサムウェアから安全に管理することができるサーバー用ランサムウェア攻撃遮断方法及びシステムを提供するためのものである。

本発明は使用者端末またはサービスサーバーのデータを流出するための外部からのフィッシング攻撃を予防及び遮断することができる方法及びシステムを提供するためのものである。

本発明の一側面によると、ランサムウェア攻撃を遮断するためのサーバー用システムであって、
サーバーと物理的に独立された別の格納装置として前記サーバー内の保管データをバックアップするための用途を持ち、前記サーバーとの通信接続を可能とする通信インターフェースを含む、バックアップ用ストレージ装置；及び前記サーバー内に取り付けられて前記バックアップ用ストレージ装置との通信を仲介するサービスエージェント；を含み、
前記バックアップ用ストレージ装置が前記サーバーにストレージマウントされた状態で、前記サーバー内の保管データに関する前記バックアップ用ストレージ装置へのデータバックアップが処理された以後、前記バックアップ用ストレージ装置にバックアップ処理されたバックアップデータに関するロック命令がある場合、
前記バックアップ用ストレージ装置は前記ロック命令にしたがって該当バックアップデータをロック処理して、該当ロック処理されたバックアップデータが修正不可能な読み取り専用モードのみで提供されるように処理する、ランサムウェア攻撃遮断システムが提供される。

一実施例において、前記バックアップ用ストレージ装置へのデータバックアップは、
前記サーバー内の保管データに関するバックアップ命令が行われた場合に限って、前記サービスエージェントが前記サーバーに受信されたバックアップ命令を前記バックアップ用ストレージ装置に伝達し、前記バックアップ用ストレージ装置が受信されたバックアップ命令にしたがって該当保管データをバックアップすることで処理されることができる。

一実施例において、前記バックアップ用ストレージ装置は、
前記サーバーに受信されたデータ修正命令が前記サービスエージェントから伝達された場合、前記データ修正命令のターゲットデータが前記ロック処理されたバックアップデータに関するものであるか否かを確認し、前記ロック処理されたバックアップデータに関するデータ修正命令であると確認された場合、該当データ修正命令を拒否処理することができる。

一実施例において、前記バックアップ用ストレージ装置は、
前記データ修正命令のターゲットデータが前記ロック処理されたバックアップデータである場合、前記ロック処理されたバックアップデータが前記サーバーとは違うストレージ装置にストレージマウントされる場合も前記他のストレージ装置から受信される該当バックアップデータに関するデータ修正命令を拒否処理し、該当バックアップデータが読み取り専用モードのみで提供されるように処理することができる。

一実施例において、前記バックアップ用ストレージ装置は、
前記バックアップデータに設定されたロック処理状態を解除するためのハードウェアスイッチまたはソフトウェアスイッチを含み、
前記ロック処理されたバックアップデータに対するロック解除命令が前記サービスエージェントを通じて伝達される場合も、前記ハードウェアスイッチまたは前記ソフトウェアスイッチの動作切替を通じてロック解除状態への切替が行われていない場合は前記ロック解除命令を拒否処理することができる。

一実施例において、前記バックアップ用ストレージ装置は、
前記ハードウェアスイッチまたは前記ソフトウェアスイッチを通じて前記ロック解除状態への切替が行われた場合、ロック処理状態による前記バックアップデータに関する読み取り専用モードを解除して該当バックアップデータをデータ修正が可能な状態に切替処理することができる。

一実施例において、前記ロック解除状態への切替は、前記バックアップ用ストレージ装置内にバックアップされたデータ全体に対して行われる一括解除方式及び要請されたバックアップデータに限って行われる選択解除方式の中でいずれか一つが選択可能である。

本発明の他の側面によると、フィッシング防止ストレージ装置；使用者端末またはサービスサーバーに取り付けられ、前記使用者端末またはサービスサーバーが前記フィッシング防止ストレージ装置とネットワークを通じてつながって前記フィッシング防止ストレージ装置内の格納領域がネットワークドライブ形態でマウントされた場合、前記フィッシング防止ストレージ装置との連動動作を遂行するエージェントプログラム；を含むフィッシング攻撃防止システムが提供される。

ここで、前記使用者端末またはサービスサーバーから前記フィッシング防止ストレージ装置に保管されたファイルに対してオープン要請がある場合、前記フィッシング防止ストレージ装置は、ストレージ動作モードをチェックして、前記ストレージ動作モードがリストオンリーモード（Ｌｉｓｔ‐ｏｎｌｙ ｍｏｄｅ）にあたる場合、オープン要請された原本ファイルではなく偽のファイル（ｆａｋｅ ｆｉｌｅ）を生成して、前記使用者端末またはサービスサーバーに偽のファイルが返還されるようにすることができる。

一実施例において、前記偽のファイルは、オープン要請された原本ファイルとファイルの容量は同一であるが、ファイル本文がナル値（ｎｕｌｌ ｖａｌｕｅ）または未知値（ｕｎｋｎｏｗｎ ｖａｌｕｅ）で満たされたものである。

一実施例において、前記エージェントプログラムは、前記使用者端末またはサービスサーバーにネットワークドライブ形態でマウントされる前記フィッシング防止ストレージ装置内の保管フォルダまたはファイルに関して使用者が編集モードに切替及び終了を選択できるようにする選択情報を提供し、前記ファイルオープン要請が前記編集モードに切替による編集モードで開く要請にあたる場合、前記フィッシング防止ストレージ装置へ前記リストオンリーモードの解除を要請することができる。

このとき、前記フィッシング防止ストレージ装置は、前記編集モードで開く要請によって前記リストオンリーモードを解除し、前記オープン要請された原本ファイルが前記使用者端末またはサービスサーバーに提供されるようにする。

一実施例において、前記エージェントプログラムは、前記使用者端末またはサービスサーバーから事前に登録された方式による前記リストオンリーモードの解除要請がある場合、前記フィッシング防止ストレージ装置へ前記リストオンリーモードの解除を要請することができる。

このとき、前記フィッシング防止ストレージ装置は、前記リストオンリーモードの解除要請によって、前記オープン要請された原本ファイルが前記使用者端末またはサービスサーバーに提供されるようにする。

ここで、前記リストオンリーモードの解除は、使用者から事前に登録処理された認証装置を通じる権限者認証を通じて実行されることができる。

本発明の実施例によるサーバー用ランサムウェア攻撃遮断方法及びシステムによると、別途サーバー管理人力がいなくても安価で、且つ便利な方法でサーバーに保管されたデータ及びバックアップされたデータをランサムウェアから安全に保護することができる効果がある。

本発明の実施例によるフィッシング攻撃防止方法及びシステムによると、使用者端末またはサービスサーバーとネットワークでつながって、物理的には独立された別の格納装置として保安政策によってリストオンリーモード（Ｌｉｓｔ‐ｏｎｌｙ Ｍｏｄｅ）で動作可能なフィッシング防止用ストレージ装置を利用することで外部からのフィッシング攻撃を予防及び遮断することができる効果がある。

本発明の実施例によるランサムウェア攻撃を遮断するためのサーバー用システムにおいて、バックアップ用ストレージ装置がサーバーにストレージマウントされる過程を示す図面。 本発明の実施例によるランサムウェア攻撃を遮断するためのサーバー用システムにおいて、バックアップ用ストレージ装置がデータバックアップ及びロック処理される過程を示す図面。 本発明の実施例によるランサムウェア攻撃を遮断するためのサーバー用システムにおいて、バックアップ用ストレージ装置がロック処理が解除される過程を示す図面。 本発明の実施例によるフィッシング攻撃防止方法及びシステムによる基本プロセスとしてリストオンリーモードを説明するための図面。 本発明の実施例によるリストオンリーモードを解除してファイルを編集可能な状態で開くための方法を説明するための図面。 本発明の実施例によるリストオンリーモードを解除する過程で追加認証を遂行する方法を説明するための図面。 ウィンドウズ探索機でフィッシング攻撃防止用ストレージ装置の格納空間がネットワークドライブにマウントされた後、使用者が特定ファイルを「編集モードで開く」または「編集モードに切替」しようとする場合に対する画面例示。 図７の編集モードを解除されるようにする時、編集モード終了命令を伝送させる実施画面例示。

本発明の第１技術的目的として、ランサムウェア攻撃を遮断するサーバー用システムについて以下で説明する（図１～図３参照）。

以下、図１～図３を参照して本発明の一実施例によるランサムウェア攻撃を遮断するサーバー用システムを説明する前に、本発明を理解しやすくするために、本発明の方式と他の方式との間の差を説明すると、以下のとおりである。

従来の先行技術の中で「プログラム基盤の読み取り専用ストレージ」具現方式があるが、これはファイル保護政策上、認可されたプログラムであるか否かを判断して、認可されたプログラムであればファイルの修正ができるようにし、そうでない場合は読み取り専用モードのみで動作されるようにする技術である。このようなプログラム基盤の読み取り専用ストレージ具現方式は基本的にファイル単位で命令及び応答が行われるので、ファイル単位の読み取り専用でファイルを提供するようになる。しかし、このようなプログラム基盤の読み取り専用ストレージ具現方式は次のような弱点を持つ。

例えば、リナックス運営体制の場合、管理者アカウント（Ａｄｍｉｎ ａｃｃｏｕｎｔ）が奪取されると、バックアップサーバーに伝達される全ての命令またはトラフィックをハッカー側で閲覧できるようになるので、ハッカーがバックアップサーバーに伝達される命令を見ている途中で認可されたプログラムの指紋価などを奪取してリプレイアタック（すなわち、ハッキングプログラムをその認可されたプログラム名と同一にして、奪取した指紋価をバックアップサーバーに伝達して、まるで正常プログラムのように偽装する攻撃）を実施すれば、前記技術の保安方式が無力化される弱点を持つ。

一方、本発明によると、前述したように管理者アカウントが奪取された場合でもハッカーによるランサムウェア攻撃などを遮断させることができる。これに対しては、後述する本発明に関する説明から明確に理解されることができる。

他の方式として、「ファイル生成時間による読み取り専用ストレージ」具現方式がある。これは自社で出願した韓国特許出願第１０‐２０１８‐００２９４９０号による方式であって、ファイルを読む専用のみで提供することを基本にするが、新規ファイルの生成が必要な場合に限って該当ファイルの生成要請時点を基準にして所定時間（すなわち、ファイル生成有効時間範囲）内で該当ファイルの生成を許容する技術であり、これもファイル単位を基本単位にして動作する。

ただし、上述したファイル生成時間基盤の読み取り専用ストレージ具現方式の場合も場合によって次のような保安上弱点が表れる。すなわち、ファイル生成過程でアップロードされるファイルのサイズ（容量）が小さいファイルは問題にならないが、サイズが大きいファイルのバックアップの場合、前記ファイル生成有効時間の範囲を長く与えなければならないが、このように時間を長い間開いておくと、その間外部攻撃へ露出される可能性が大きくなる。例えば、バックアップの場合、格納の効率を高めるために一つのファイル単位でバックアップするのではなく、ＴａｒやＺＩＰフォーマットで一つのファイルにしてバックアップするようになるが、ファイルのサイズが大きすぎるとファイルの修正可能時間を充分長く与えなければならないためである。

上述した問題点を改善するために、本発明の実施例では「命令語基盤の読み取り専用ストレージ」具現方式を提案する。このような命令語基盤の読み取り専用ストレージ具現方式は、バックアップ命令、ロック命令、ロック解除命令によって実行され、この時のバックアップ／ロック／ロック解除はファイル単位でも動作されることはもちろん、フォルダ単位でも動作されることができる。したがって、特定ファイルに対する修正要請がある場合も該当ファイルの経路にしたがって該当ファイルを保管しているフォルダ（該当フォルダの上位フォルダまで拡張される）がロック状態である場合は、該当ファイルに関する修正要請が拒否される。

このようなバックアップ／ロック／ロック解除命令はリナックス運営体制による時、次のような命令語にしたがう命令構造が活用されることができる。

バックアップ命令の例
User>mount 192.10.1.1 localhost＼backup
(Mkdir ＼backup＼websource_backup_20190805)
Copy/Backup ‘＼websource’ ‘＼backup＼websource_backup_20190805’
ロック命令の例
freeze ＼backup＼websource_backup_20190805
ロック解除命令の例
Melt ＼backup＼websource_backup_20190805 (OTP 201023)
上述したように、ロック解除命令の場合、ワンタイムパスワード（ＯＴＰ）による認証をさらに要求することもできる。

上述したように、本発明の方式によると、バックアップされた資料をとても単純なコンソールコマンド（Ｃｏｎｓｏｌｅ ｃｏｍｍａｎｄ）で特定フォルダ以下の全てのファイル及びフォルダをロック処理して読み取り専用モードに変えることができる。

本発明の実施例による命令語基盤の読み取り専用ストレージ具現方式によると、一般的にマウントされているドライブにファイルを要請する場合、該当要請にファイルを保管するフォルダの経路も含まれるが、このようにファイル及びフォルダ経路を基準にして修正要請を制限すると非常に効率的な保安管理が可能となり、またフォルダを基準にして保安管理をするようになると個別ファイル別に不要なメタデータ管理（前述した生成時間基盤の読み取り専用ストレージ具現方式の場合、生成時間対比現在要請時間の差、前述したプログラム基盤の読み取り専用ストレージ具現方式の場合、該当プログラムの属性情報、指紋価など）を省略することができる利点がある。

以下、図１～図３を参照して、本発明の実施例を順次説明する。

本発明の実施例によるランサムウェア攻撃を遮断するためのサーバー用システムは、サーバーと物理的に独立された別個の格納装置であって、前記サーバー内の保管データをバックアップするための用途を持ち、前記サーバーとの通信接続を可能とする通信インターフェースを含むバックアップ用ストレージ装置（図１～図３の「Ｍｅｇａ Ｓｔｏｒａｇｅ」参照、以下同一である）；及び前記サーバー内に取り付けられて前記バックアップ用ストレージ装置との通信を仲介するサービスエージェント（図１～図３の「Ｍｅｇａ ｃｏｎｎｅｃｔｏｒ」参照、以下同一である）；を含む。

本発明のランサムウェア攻撃を遮断するためのサーバー用システムにおいて、前記バックアップ用ストレージ装置は、ネットワーク及び直接連結可能な一般的なストレージと同じ環境を提供する。すなわち、ＮＡＳ、ＤＡＳ、ＳＡＮなどでつながった一般的なストレージのようにｍｏｕｎｔ／ｕｎｍｏｕｎｔを提供し、運営体制のＩ／Ｏをそのまま提供することでｒｓｙｎｃのような多様なバックアップユーティリティ及びツールが動作するに問題ないように具現される。

また、サービスエージェントは、その設置段階で運営体制のサービスレベルで駆動されることができたり、運営体制のプログラム実行環境パスを登録させて、どの位置でも駆動されることができるように取り付けられることができる。

本発明の実施例によると、前記バックアップ用ストレージ装置が前記サーバーにストレージマウントされた状態で、前記サーバー内の保管データに関する前記バックアップ用ストレージ装置へのデータバックアップが処理された以後、前記バックアップ用ストレージ装置にバックアップ処理されたバックアップデータに関するロック命令がある場合、前記バックアップ用ストレージ装置は前記ロック命令にしたがって該当バックアップデータをロック処理して該当ロック処理されたバックアップデータが修正不可能な読み取り専用モードのみで提供されるように処理するようになるが、これに関しては以下で詳しく説明する。

本発明の実施例によると、前記バックアップ用ストレージ装置へのデータバックアップは、前記サーバー内の保管データに関するバックアップ命令が行われた場合に限って、前記サービスエージェントが前記サーバーに受信されたバックアップ命令を前記バックアップ用ストレージ装置に伝達し、前記バックアップ用ストレージ装置が受信されたバックアップ命令にしたがって該当保管データをバックアップすることで処理されることができる。以下、これに関して図１を参照して説明する。ここで、図１は本発明の実施例によるランサムウェア攻撃を遮断するためのサーバー用システムにおいて、バックアップ用ストレージ装置がサーバーにストレージマウントされる過程を示す図面である。

図１を参照すると、バックアップ用ストレージ装置（Ｍｅｇａ Ｓｔｏｒａｇｅ）は実際に格納装置を内蔵してＨｙｂｒｉｄ ＷＯＲＭプログラムを搭載したデバイスまたはサーバー装置を意味し、サービスエージェント（Ｍｅｇａ Ｃｏｎｎｅｃｔｏｒ）は顧客サービスサーバーに取り付けられてバックアップ用ストレージ装置（Ｍｅｇａ Ｓｔｏｒａｇｅ）と通信するモジュールである。

使用者が自社サービスサーバーの資料をバックアップするためには、バックアップ用ストレージ装置（Ｍｅｇａ Ｓｔｏｒａｇｅ）を自社サービスサーバーにマウント（ｍｏｕｎｔ）しなければならない。使用者のマウント（ｍｏｕｎｔ）要請はサービスエージェント（Ｍｅｇａ Ｃｏｎｎｅｃｔｏｒ）が受けて処理し、ストレージマウント（ｍｏｕｎｔ）に係わる運営体制の各種Ｉ／Ｏはサービスエージェント（Ｍｅｇａ Ｃｏｎｎｅｃｔｏｒ）がバックアップ用ストレージ装置（Ｍｅｇａ Ｓｔｏｒａｇｅ）を通じて処理した後、結果を運営体制に返還する方式で処理される。

図１の例では／mediaというフォルダの下にｂａｃｋｕｐという新しいフォルダにバックアップ用ストレージ装置（Ｍｅｇａ Ｓｔｏｒａｇｅ）がマウントされる例を示す。

また、図２はバックアップ用ストレージ装置がデータバックアップ及びロック処理される過程を示す図面である。

本発明の実施例において、前記バックアップ用ストレージ装置は、前記サーバーに受信されたデータ修正命令が前記サービスエージェントから伝達された場合、前記データ修正命令のターゲットデータが前記ロック処理されたバックアップデータに関するものであるか否かを確認し、前記ロック処理されたバックアップデータに関するデータ修正命令と確認された場合、該当データ修正命令を拒否処理する。

図２を参照すれば、使用者が／websourceの資料を／media／backup／websource／20180101にバックアップした後（図２の（ａ）参照）、ロック（ｌｏｃｋ、これはサービスエージェント（Ｍｅｇａ Ｃｏｎｎｅｃｔｏｒ）が提供）を要請すると、バックアップ用ストレージ装置（Ｍｅｇａ Ｓｔｏｒａｇｅ）は該当フォルダをロック処理することで、以後は読み取り専用モード（ｒｅａｄ ｏｎｌｙ ｍｏｄｅ）のみで動作されるようにする（図２の（ｂ）及び（ｃ）参照）。

この時、／media／backup／websource／20180101フォルダは、リナックス運営体制の場合ｍｋｄｉｒのような命令で生成することができる。

また、ロック処理されたフォルダの情報はバックアップ用ストレージ装置（Ｍｅｇａ Ｓｔｏｒａｇｅ）の非揮発性メモリ（データベースなど）に格納されて、バックアップ用ストレージ装置（Ｍｅｇａ Ｓｔｏｒａｇｅ）への電源供給が中断されてもデータが維持される。

以後、使用者またはランサムウェア（Ｒａｎｓｏｍｗａｒｅ）を含む任意のプロセッサによって／media／backup／websource／20180101に対するデータ修正要請（例えば、ｗｒｉｔｅ ｆｉｌｅ、ｍｏｄｉｆｙ ｆｉｌｅ、ｍｏｖｅ ｆｉｌｅ、ｄｅｌｅｔｅ ｆｉｌｅなど）はいずれも拒否処理される。

また、他の実施例によると、前記バックアップ用ストレージ装置は、前記データ修正命令のターゲットデータが前記ロック処理されたバックアップデータである場合、前記ロック処理されたバックアップデータが前記サーバーとは違う他のストレージ装置にストレージマウントされる場合も前記他のストレージ装置から受信される該当バックアップデータに関するデータ修正命令を拒否処理し、該当バックアップデータが読み取り専用モードのみで提供されるように処理することができる。

すなわち、ロック処理されたフォルダの情報はバックアップ用ストレージ装置（Ｍｅｇａ Ｓｔｏｒａｇｅ）の格納場所基準経路で設定（図１の例では／websource／20180101）になるし、バックアップ用ストレージ装置（Ｍｅｇａ Ｓｔｏｒａｇｅ）が他の装置に違う経路（例えば、／media／data）にマウントされても／media／data／websource／20180101は依然として読み取り専用のみでアクセスできるように具現されることができる。

図３はバックアップ用ストレージ装置がロック処理解除される過程を示す図面である。

本発明の実施例において、前記バックアップ用ストレージ装置は、前記バックアップデータに設定されたロック処理状態を解除するためのハードウェアスイッチ（例えば、バックアップ用ストレージ装置に備えられたロック設定及び解除用ハードウェアボタンなど）またはソフトウェアスイッチを含むことができる。これによって、前記ロック処理されたバックアップデータに対するロック解除命令が前記サービスエージェントを通じて伝達される場合も、前記ハードウェアスイッチまたは前記ソフトウェアスイッチ動作の切替を通じてロック解除状態への切替が行われていない場合は前記ロック解除命令を拒否処理することができる（図３の（ｄ）参照）。

これによって、前記バックアップ用ストレージ装置は、前記ハードウェアスイッチまたは前記ソフトウェアスイッチを通じて前記ロック解除状態への切替が行われた場合、ロック処理状態による前記バックアップデータに関する読み取り専用モードを解除して該当バックアップデータをデータ修正可能な状態に切替処理することができる（図３の（ｅ）及び（ｆ）参照）。

この時、前記ロック解除状態への切替は、前記バックアップ用ストレージ装置内にバックアップされたデータ全体に対して行われる一括解除方式及び要請されたバックアップデータに限って行われる選択解除方式の中でいずれか一つが選択可能である。

上述したように、本発明では、基本的に一度ロック処理されたフォルダ及びそれ以下のファイル及びフォルダに対しては読み取り専用のみで接近可能であり、使用者による任意のロック解除は不可能となるように具現されることができる。しかし、ロック処理されたフォルダが増加すると、バックアップ用ストレージ装置（Ｍｅｇａ Ｓｔｏｒａｇｅ）の書き込み可能な領域は減り続ける。したがって、ストレージを再度使用できるようにロック解除することができる機能を備えておかなければならないが、本発明のバックアップ用ストレージ装置（Ｍｅｇａ Ｓｔｏｒａｇｅ）ではハードウェアスイッチ（ｐｈｙｓｉｃａｌ ｓｗｉｔｃｈ（ｔｈｅ ｐｒｏｔｅｃｔ ｓｗｉｔｃｈ））またはソフトウェアスイッチをオフ（ｏｆｆ）する動作によってロック解除が処理される。このように該当スイッチ（Ｔｈｅ ｐｒｏｔｅｃｔ ｓｗｉｔｃｈ）がオフ（ｏｆｆ）されている間は特定フォルダをロック解除処理したり、バックアップ用ストレージ装置（Ｍｅｇａ Ｓｔｏｒａｇｅ）全体をロック解除処理することが可能である。もちろんハードウェアスイッチ及びソフトウェアスイッチのオン／オフ方式以外にもＯＴＰ（ｏｎｅ ｔｉｍｅ ｐａｓｓｗｏｒｄ）を利用したオン／オフ（すなわち、ロック及びロック解除）方式も適用可能である。

上述したようなロック及びロック解除方式と係わって、次のような多様な方式がさらに存在することができる。以下、これに関する多様な実施例を説明する。

本発明の一実施例によると、バックアップ用ストレージ装置のロック処理は事前に指定されたロック命令（ｅｘ．ｆｒｅｅｚｅ命令語を利用したロック命令）が受動入力されないと実行できない（すなわち、読み取り専用に変更する）方式によることもできるが、所定条件によって自動で実行されるようにすることもできる。一例として、使用者端末に設置されたクライアントプログラムから該当ネットワークドライブに入ってくるファイルイベントがファイル／フォルダ生成イベント（ｅｘ．ｃｒｅａｔｅイベント）である場合は該当ファイルの生成を許容し、該当ファイル／フォルダの終了イベント（ｅｘ．ｃｌｏｓｅイベント）が入ってくると自動で該当ファイル／フォルダに関するロック処理を実行する方式が適用されることもできる。

ここで、ファイルハンドル（Ｆｉｌｅ ｈａｎｄｌｅ）をクローズ（ｃｌｏｓｅ）するＩ／Ｏ ｅｖｅｎｔを発生させるＣ関数では、ウィンドウズＯＳによると、以下の２つのＣ関数が代表的に利用されることができる。
int fclose(FILE *stream)
BOOL CloseHandle(HANDLE hObject)
また、ここで、ファイルハンドル（Ｆｉｌｅ ｈａｎｄｌｅ）をクローズ（ｃｌｏｓｅ）するＩ／Ｏ ｅｖｅｎｔを発生させるＣ関数では、Ｌｉｎｕｘ／Ｕｎｉｘ ＯＳによると、以下のようなＣ関数が代表的に利用されることができる。
int close(int fd)
前記のようにファイルハンドル（Ｆｉｌｅ ｈａｎｄｌｅ）を閉じるＡＰＩをプログラムが呼び出すと、ファイルハンドル（Ｆｉｌｅ ｈａｎｄｌｅ）をクローズ（ｃｌｏｓｅ）するＩ／Ｏ ｅｖｅｎｔが発生し、このイベント（ｅｖｅｎｔ）はファイルシステム（Ｆｉｌｅ Ｓｙｓｔｅｍ）に伝達される。この場合、ＷｉｎｄｏｗｓはＣａｌｌｂａｃｋ Ｆｉｌｅ Ｓｙｓｔｅｍ（Ｆｉｌｅ Ｓｙｓｔｅｍ Ｄｒｉｖｅｒ）によってこのＩ／Ｏが感知され、Ｌｉｎｕｘはヒューズ（ＦＵＳＥ）を通じてこのＩ／Ｏが感知されることができる。

また、特定アプリケーション（Ａｐｐｌｉｃａｔｉｏｎ）がファイルハンドル（Ｆｉｌｅ Ｈａｎｄｌｅ）を開いたまま終了すると、一般的にＯＳによって強制的にオープンされたファイルハンドル（Ｆｉｌｅ Ｈａｎｄｌｅ）がクローズされ、この時も同じｅｖｅｎｔ Ｉ／Ｏが発生する。

前記説明した関数は、Ｃ言語で使用するものであり、各言語別にファイルハンドルを閉じる関数が別に存在する。該当関数は全てファイルシステム（Ｆｉｌｅ Ｓｙｓｔｅｍ）でファイルハンドル（Ｆｉｌｅ ｈａｎｄｌｅ）をクローズ（Ｃｌｏｓｅ）するイベント（Ｅｖｅｎｔ）を発生させる。

また、以上ではハードウェアスイッチなどを利用したオン／オフ選択を通じてバックアップ用ストレージ装置に保管されたデータをフォルダ単位で読み取り専用化したり、読み取り専用を解除する方式を主に説明したが、システム設計方式によって上述したようにファイルの終了イベントを感知して自動で読み取り専用モードに変更する方式を採用し、ハードウェアスイッチなどがオンになった状態では該当ディスクの初期化命令がある場合もディスク初期化が動作されない方式が適用されることもできる。

本発明の第２技術的目的として、フィッシング攻撃を遮断するシステムについて以下で説明する（図４～図８参照）。

以下、図４～図８を参照して本発明の他の実施例によるフィッシング攻撃を遮断するサーバー用システムを説明する前に、本発明を理解しやすくするために、本発明の方式と他の方式の間の差を説明すると、以下のとおりである。

従来の先行技術によると、ハッカーによる悪性プログラムが知らず知らずのうちに設置されることによってＰＣなどの使用者端末、サービスサーバーに保管されたデータの流出及び改作を防ぐために、ファイル保安政策上、保安が必要なファイルを保安格納領域に別途保管する方式を利用したり、認可されたプログラムに限ってファイルを編集できるように許容する方式を利用したり、または読み取り専用ストレージで構成して読み取り専用モードのみでファイルを開くことができるように許容する方式などが利用されてきた。

しかし、保安格納領域に別途保管する方式と、認可されたプログラムに限ってファイル編集を許容する方式は、運営体制の管理者アカウント（Ａｄｍｉｎ ａｃｃｏｕｎｔ）が奪取されると同時に無力化される脆弱性を持つ。前記のように管理者アカウントが奪取される場合、入出力される全ての命令またはトラフィックをハッカー側で閲覧することができるようになるので、ハッカーが該当入出力命令を見ている途中で認可されたプログラムの指紋価などを奪取してリプレイアタック（すなわち、ハッキングプログラムをその認可されたプログラム名と同一にして、奪取した指紋価をバックアップサーバーに伝達して、まるで正常なプログラムのように偽装する攻撃）などを実施すれば、前記技術の保安方式が無力化される。

また、読み取り専用ストレージで構成して読み取り専用モードのみでファイルを開くことができるように許容する方式の場合も、ランサムウェア攻撃（ｒａｎｓｏｍｗａｒｅ ａｔｔａｃｋ）には強いが、読み取り専用で開かれたファイルの内容をキャプチャーするなどの方式でデータ流出が可能であるため、フィッシング攻撃に無力化される可能性がある。

上述した問題点を改善するために、本発明の実施例では「リストオンリーモード（Ｌｉｓｔ‐ｏｎｌｙ Ｍｏｄｅ）」として基本動作する物理的に独立された別のストレージ装置（以下、フィッシング攻撃防止ストレージ装置と命名する）を利用することで上述したような脆弱性問題を改善し、フィッシング攻撃によるデータ流出を防ぐことができる方法を提案する。

以下、添付された図面を参照して本発明の実施例を順次詳しく説明する。

図４は、本発明の実施例によるフィッシング攻撃防止方法及びシステムによる基本プロセスとしてリストオンリーモードを説明するための図面である。

本明細書では説明の便宜及び集中のために、ＰＣのような使用者端末がフィッシング攻撃防止ストレージ装置とネットワークでつながってフィッシング攻撃防止ストレージ装置全体の格納領域または特定格納領域が使用者端末にネットワークドライブ形態でマウントされる場合を中心として説明する。ただし、本発明はリナックスやユニックスシステム基盤のサービスサーバーが前記フィッシング攻撃防止ストレージ装置の格納領域をマウントして使用する場合も同様に適用されることができることは自明である。

図４を参照すれば、使用者がＬｉｓｔ‐ｏｎｌｙ状態のファイルをファイル探索機を通じて開くことを試みると、ファイル探索機は該当ファイルの拡張子を処理する基本プログラム（例えば、ｄｏｃｘ拡張子を処理する基本プログラムＷＩＮＷＯＲＤ．ＥＸＥ）を実行した後、ファイル情報を伝達する。基本プログラムは運営体制を通じてファイルの読み取りを要請し、これはファイルシステムドライバー（Ｆｉｌｅ ｓｙｓｔｅｍ ｄｒｉｖｅｒ）として動作するエージェントプログラム（以下、これをファイリングボックスミニアプリケーションと称する）を経てフィッシング攻撃防止ストレージ装置（以下、これをファイリングボックスミニ装置と称する）に伝達される。

ファイリングボックスミニ装置は要請されたファイルのＬｉｓｔ‐Ｏｎｌｙモードをチェックして（Ｌｉｓｔ‐Ｏｎｌｙモードの場合）偽の資料を返還し、これは基本プログラムに提供される。これによって使用者は最終的に偽の資料を持つ文書を見たり、偽の資料によって基本プログラムが発生させた誤謬を確認するようになる。

前記偽のファイルは、オープン要請された原本ファイルとファイル容量は同一であるが、ファイル本文がナル値（ｎｕｌｌ ｖａｌｕｅ）または何の意味も分からない未知値（ｕｎｋｎｏｗｎ ｖａｌｕｅ）で満たされることができる。

図５は、本発明の実施例によるリストオンリーモードを解除してファイルを編集可能な状態で開くための方法を説明するための図面である。

図５を参照すれば、使用者がファイル探索機で特定ファイルを選択した後、マウスの右ボタンをクリックしてファイル探索機のシェルエクステンション（Ｓｈｅｌｌ Ｅｘｔｅｎｓｉｏｎ）のＣｏｎｔｅｘｔ Ｍｅｎｕをポップアップした後「編集モードで開く」メニューを選択すると、ファイル探索機はファイリングボックスミニアプリケーションに該当ファイルのＬｉｓｔ‐Ｏｎｌｙモード解除を要請し、ファイリングボックスミニアプリケーションはこの要請をファイリングボックスミニ装置に遂行させる。該当ファイルのＬｉｓｔ‐Ｏｎｌｙモードが正常に解除されると、ファイル探索機は該当ファイルの拡張子を処理する基本プログラムを実行した後でファイル情報を伝達し、基本プログラムは運営体制、ファイリングボックスミニアプリケーションを経てファイリングボックスミニ装置から原本資料を読み込んで処理する。

図６は、本発明の実施例によるリストオンリーモードを解除する過程で追加認証を遂行する方法を説明するための図面である。

図６を参照すれば、使用者が特定ファイルを使用可能な形態で開こうとする時、追加ＯＴＰ認証を経て該当ファイルのＬｉｓｔ‐Ｏｎｌｙモードを解除する過程である。

使用者は自分のＯＴＰ装置（モバイルなど）をファイリングボックスミニ装置に最初一回登録しなければならない。

使用者はファイリングボックスミニアプリケーションを通じて自分のＩＤとともに装置登録を要請し、要請を伝達してもらったファイリングボックスミニ装置は内部の装置認証部に該当使用者ＩＤで使用する新規ＴＯＴＰ Ｐａｒａｍｅｔｅｒの生成及び登録を要請する。正常に装置認証部に登録されたＴＯＴＰ Ｐａｒａｍｅｔｅｒはファイリングボックスミニアプリケーションに伝達されて使用者に露出される。使用者は該当ＴＯＴＰ Ｐａｒａｍｅｔｅｒを自分のＯＴＰ装置に登録すれば初期ＯＴＰ装置登録過程が完了される。

以後、使用者がファイル探索機で特定ファイルを選択した後、マウスの右ボタンをクリックしてファイル探索機（Ｓｈｅｌｌ Ｅｘｔｅｎｓｉｏｎ）のＣｏｎｔｅｘｔ Ｍｅｎｕをポップアップした後「編集モードで開く」メニューを選択すると、ファイリングボックスミニアプリケーションはファイリングボックスミニ装置から認証政策を照会してＯＴＰ認証が必要であることを認知して使用者にＴＯＴＰ値を要請する。使用者は自分のＯＴＰ装置からＴＯＴＰ値を得てファイリングボックスミニ装置に提供し、この値を伝達してもらったファイリングボックスミニ装置は内部の装置認証部に認証を要求する。認証が成功的に行われると、ファイリングボックスミニ装置は該当ファイルのＬｉｓｔ‐Ｏｎｌｙモードを解除して使用可能な状態に変更する。

ここで、図７はウィンドウズ探索機でフィッシング攻撃防止用ストレージ装置の格納空間がネットワークドライブにマウントされた後、使用者が特定ファイルを「編集モードで開く」または「編集モードに切替」しようとする場合に関する画面の例示で、図８は図７の編集モードが解除されるようにする時、編集モード終了命令を伝送することができるようにする実施画面の例示である。

また、上述した編集モードに切替または／及び編集モード終了の処理は単位ファイル単位で行われることもできるが、場合によってはファイル駆動上必要な範囲内で、あるいは設定された範囲内で複数のファイルで同時に行われることもできる。一例として、ＣＡＤやソフトウェア開発ツールの場合のように、下位フォルダを持っている参照ファイルを同時にアクセスして使わなければならない必要がある場合は、いずれか一つのファイルに関する編集モードに切替／終了操作によっても、これと係わる該当下位フォルダ全体または下位フォルダ内の参照ファイルを一緒に編集モードに切替／終了処理することもできる。

以上、本発明の実施例を参照して説明したが、該当技術分野で通常の知識を有する者であれば下記の特許請求の範囲に記載された本発明の思想及び領域から脱しない範囲内で本発明を多様に修正及び変更させることができることを容易に理解することができる。

Claims (11)

1. ランサムウェア攻撃を遮断するためのサーバー用システムであって、
   サーバーと物理的に独立された別の格納装置として前記サーバー内の保管データをバックアップするための用途を持ち、前記サーバーとの通信接続を可能とする通信インターフェースを含む、バックアップ用ストレージ装置；及び前記サーバー内に取り付けられて前記バックアップ用ストレージ装置との通信を仲介するサービスエージェント；を含み、
   前記バックアップ用ストレージ装置が前記サーバーにストレージマウントされた状態で、前記サーバー内の保管データに関する前記バックアップ用ストレージ装置へのデータバックアップが処理された以後、前記バックアップ用ストレージ装置にバックアップ処理されたバックアップデータに関するロック命令がある場合、
   前記バックアップ用ストレージ装置は前記ロック命令にしたがって該当バックアップデータをロック処理して、該当ロック処理されたバックアップデータが修正不可能な読み取り専用モードのみで提供されるように処理する、ランサムウェア攻撃遮断システム。
2. 前記バックアップ用ストレージ装置へのデータバックアップは、
   前記サーバー内の保管データに関するバックアップ命令が行われた場合に限って、前記サービスエージェントが前記サーバーに受信されたバックアップ命令を前記バックアップ用ストレージ装置に伝達し、前記バックアップ用ストレージ装置が受信されたバックアップ命令にしたがって該当保管データをバックアップすることで処理されることを特徴とする、請求項１に記載のランサムウェア攻撃遮断システム。
3. 前記バックアップ用ストレージ装置は、
   前記サーバーに受信されたデータ修正命令が前記サービスエージェントから伝達された場合、前記データ修正命令のターゲットデータが前記ロック処理されたバックアップデータに関するものであるか否かを確認し、前記ロック処理されたバックアップデータに関するデータ修正命令であると確認された場合、該当データ修正命令を拒否処理する、請求項１に記載のランサムウェア攻撃遮断システム。
4. 前記バックアップ用ストレージ装置は、
   前記データ修正命令のターゲットデータが前記ロック処理されたバックアップデータである場合、前記ロック処理されたバックアップデータが前記サーバーとは違う他のストレージ装置にストレージマウントされる場合も前記他のストレージ装置から受信される該当バックアップデータに関するデータ修正命令を拒否処理し、該当バックアップデータが読み取り専用モードのみで提供されるように処理する、請求項３に記載のランサムウェア攻撃遮断システム。
5. 前記バックアップ用ストレージ装置は、
   前記バックアップデータに設定されたロック処理状態を解除するためのハードウェアスイッチまたはソフトウェアスイッチを含み、
   前記ロック処理されたバックアップデータに対するロック解除命令が前記サービスエージェントを通じて伝達される場合も、前記ハードウェアスイッチまたは前記ソフトウェアスイッチ動作の切替を通じてロック解除状態への切替が行われていない場合は前記ロック解除命令を拒否処理する、請求項１に記載のランサムウェア攻撃遮断システム。
6. 前記バックアップ用ストレージ装置は、
   前記ハードウェアスイッチまたは前記ソフトウェアスイッチを通じて前記ロック解除状態への切替が行われた場合、ロック処理状態による前記バックアップデータに関する読み取り専用モードを解除して該当バックアップデータをデータ修正が可能な状態に切替処理する、請求項５に記載のランサムウェア攻撃遮断システム。
7. 前記ロック解除状態への切替は、前記バックアップ用ストレージ装置内にバックアップされたデータ全体に対して行われる一括解除方式及び要請されたバックアップデータに限って行われる選択解除方式の中でいずれか一つが選択できたことを特徴とする、請求項６に記載のランサムウェア攻撃遮断システム。
8. フィッシング攻撃防止システムであって、
   フィッシング攻撃防止ストレージ装置；
   使用者端末またはサービスサーバーに取り付けられ、前記使用者端末またはサービスサーバーが前記フィッシング攻撃防止ストレージ装置とネットワークを通じてつながって前記フィッシング攻撃防止ストレージ装置内の格納領域がネットワークドライブ形態でマウントされた場合、前記フィッシング攻撃防止ストレージ装置との連動動作を遂行するエージェントプログラム；を含み、
   前記使用者端末またはサービスサーバーから前記フィッシング攻撃防止ストレージ装置に保管されたファイルに関するオープン要請がある場合、
   前記フィッシング攻撃防止ストレージ装置は、ストレージ動作モードをチェックして、前記ストレージ動作モードがリストオンリーモード（Ｌｉｓｔ‐ｏｎｌｙ ｍｏｄｅ）にあたる場合、オープン要請された原本ファイルではなく偽のファイル（ｆａｋｅ ｆｉｌｅ）を生成して、前記使用者端末またはサービスサーバーに偽のファイルが返還されるようにすることを特徴とする、フィッシング攻撃防止システム。
9. 前記偽のファイルは、オープン要請された原本ファイルとファイル容量は同一であるが、ファイル本文がナル値（ｎｕｌｌ ｖａｌｕｅ）または未知値（ｕｎｋｎｏｗｎ ｖａｌｕｅ）で満たされることを特徴とする、請求項８に記載のフィッシング攻撃防止システム。
10. 前記エージェントプログラムは、
    前記使用者端末またはサービスサーバーにネットワークドライブ形態でマウントされる前記フィッシング攻撃防止ストレージ装置内の保管フォルダまたはファイルに関して使用者が編集モードに切替及び終了を選択できるようにする選択情報を提供し、
    前記ファイルオープン要請が前記編集モードに切替による編集モードで開く要請に当たる場合、前記フィッシング攻撃防止ストレージ装置へ前記リストオンリーモードの解除を要請し、
    前記フィッシング攻撃防止ストレージ装置は、
    前記編集モードで開く要請によって前記リストオンリーモードを解除し、前記オープン要請された原本ファイルが前記使用者端末またはサービスサーバーに提供されるようにすることを特徴とする、請求項９に記載のフィッシング攻撃防止システム。
11. 前記エージェントプログラムは、前記使用者端末またはサービスサーバーから事前に登録された方式による前記リストオンリーモードの解除要請がある場合、前記フィッシング攻撃防止ストレージ装置へ前記リストオンリーモードの解除を要請し、
    前記フィッシング攻撃防止ストレージ装置は、前記リストオンリーモードの解除要請にしたがって、前記オープン要請された原本ファイルが前記使用者端末またはサービスサーバーに提供されるようにし、
    前記リストオンリーモードの解除は、使用者から事前に登録処理された認証装置を通じる権限者認証を通じて実行されることを特徴とする、請求項９に記載のフィッシング攻撃防止システム。
    
    

Images