JP5603491B2

JP5603491B2 - Ｄｒｍ環境における悪質コードのリアルタイム検査装置及びその方法をコンピュータで行わせるためのプログラムを記録した記録媒体

Info

Publication number: JP5603491B2
Application number: JP2013519561A
Authority: JP
Inventors: パク，チョル; リ，ジョン−イル; イ，ヨン−フン; チン，キョ−ヨン
Original assignee: Fasoo com Co Ltd
Current assignee: Fasoo com Co Ltd
Priority date: 2010-07-16
Filing date: 2011-01-25
Publication date: 2014-10-08
Anticipated expiration: 2031-01-25
Also published as: EP2595081A1; US20130219501A1; WO2012008669A1; EP2595081A4; JP2013531316A; KR101091777B1

Description

本発明は、悪質コードのリアルタイム検査装置及びその方法をコンピュータで行わせるためのプログラムを記録した記録媒体に係り、さらに詳細には、ＤＲＭが適用されたファイルの悪質コード感染如何をリアルタイムで検査できる装置及びその方法をコンピュータで行わせるためのプログラムを記録した記録媒体に関する。

インターネットの拡散は、時間的、空間的制約を飛び越える情報共有という肯定的側面と、ハッキング、悪質コード流布などの否定的側面とを同時に持っている。このうち、ウイルス、スパイウェア、ワームなどの悪質コードを用いた他のシステムへの攻撃、他の端末機の情報破壊問題は、現在一般的な問題と感じられるほど深刻な実情である。これらの悪質コードは、主にインターネットを通じてダウンロードしたファイル、プログラムなどを通じて流布され、その対備策として広く使われる方法が、ワクチンプログラムを用いた感染如何の確認及び治療である。

ワクチンプログラムによる悪質コードの治療は、一般的なファイルについては最も簡単で容易な方法である。しかし、デジタル著作権（ＤｉｇｉｔａｌＲｉｇｈｔｓＭａｎａｇｅｍｅｎｔ：ＤＲＭ）がかかっているファイルについては、暗号化されているファイルを復号して初めてワクチンプログラムによる検査及び治療が可能であるという問題がある。これにより、ＤＲＭが適用されたファイルにおいては、一般ファイルとは異なるウイルス検査及び治療技法が要求される。

先ず、ワクチンプログラムが提供するユーザ検査によるＤＲＭ適用ファイルについての悪質コードの検査及び治療について調べる。ユーザ検査は、ユーザモード（ＵｓｅｒＭｏｄｅ）で動作するため、ＤＲＭで提供する暗号化されたファイルに近づけられるソフトウェア開発キット（ＳｏｆｔｗａｒｅＤｅｖｅｌｏｐｍｅｎｔＫｉｔ：ＳＤＫ）を使って具現される。この時、ＤＲＭモジュールは、ワクチンプログラムと連動して動作する。ユーザがワクチンプログラムを駆動した後、検査及び治療を希望するＤＲＭ適用ファイルを選択すれば、ワクチンプログラムは、ＤＲＭモジュールを呼び出して該ファイルの復号を要請する。ＤＲＭモジュールは、該ファイルについて‘保存’権限があると確認されれば、該ファイルを復号してメモリに、治療のための原本ファイルとして保存する。ワクチンプログラムは、メモリに保存されている原本ファイルについてのウイルス検査及び治療を行った後、再びＤＲＭモジュールを呼び出す。ＤＲＭモジュールは、治療が終わった原本ファイルを暗号化した後、保存する。

次いで、リアルタイム検査は、ドライバで具現されてカーネルモード（ＫｅｒｎｅｌＭｏｄｅ）で動作し、応用プログラムのファイル接近（すなわち、応用プログラムのファイル開き及び閉じ）をフッキングする方式で具現される。しかし、ＤＲＭは、文書を復号するためにユーザ認証、キー接近、使用内訳の伝送などの作業を必要とするため、カーネルモードで行われない。したがって、ユーザモードで動作するＤＲＭが適用されたファイルについては、カーネルモードで動作するリアルタイム検査を適用できないという問題がある。

本発明が解決しようとする技術的課題は、ＤＲＭが適用されて暗号化されたファイルについて、リアルタイムで悪質コードの感染如何を検査及び治療できる装置を提供するところにある。

本発明が解決しようとする他の技術的課題は、ＤＲＭが適用されて暗号化されたファイルについて、リアルタイムで悪質コードの感染如何を検査及び治療できる方法をコンピュータで行わせるためのプログラムを記録したコンピュータで読み取り可能な記録媒体を提供するところにある。

前記技術的課題を解決するための、本発明によるＤＲＭ環境における悪質コードのリアルタイム検査装置についての望ましい実施形態は、ユーザが、ＤＲＭが適用されたファイルについての実行命令を入力すれば、前記ファイルに対応して生成したハンドルに基づいて前記ファイルについてのユーザの権限を確認した後、前記ファイルに対応して生成されたハンドルによるファイル読み出し動作時に復号化を行い、前記ファイルに対応して生成されたハンドル及びファイル経路が含まれた検査要請メッセージを出力し、前記ファイルについての悪質コード検査結果によって前記ファイルの開き動作の実行如何を定めるＤＲＭモジュール；前記ＤＲＭモジュールから入力された前記検査要請メッセージを伝達するインターフェースモジュール；前記インターフェースモジュールから伝達された前記検査要請メッセージに含まれている前記ファイルに対応して生成されたハンドル及びファイル経路に基づいて、前記ＤＲＭモジュールによって復号化されて読み取られる原本ファイルについての悪質コード感染如何を検査し、前記原本ファイルについての悪質コード検査結果を、前記インターフェースモジュールを通じて前記ＤＲＭモジュールに伝達する悪質コード検査モジュール；を備える。

前記他の技術的課題を解決するための、本発明による記録媒体は、（ａ）ユーザがＤＲＭが適用されたファイルについての実行命令を入力すれば、前記ファイルに対応して生成したハンドルに基づいて前記ファイルについてのユーザの権限を確認した後、前記ファイルに対応して生成されたハンドルによるファイル読み出し動作時に復号化を行い、前記ファイルに対応して生成されたハンドル及びファイル経路が含まれた検査要請メッセージを出力する段階；（ｂ）前記ＤＲＭモジュールから入力された前記検査要請メッセージに含まれている、前記ファイルに対応して生成されたハンドル及びファイル経路に基づいて、前記復号化されて読み取られる原本ファイルについての悪質コード感染如何を検査し、前記原本ファイルについての悪質コード検査結果をリターンする段階；（ｃ）前記ファイルについての悪質コード検査結果によって前記ファイルの開き動作の実行如何を定める段階；を含む、ＤＲＭ環境における悪質コードのリアルタイム検査方法をコンピュータで行わせるためのプログラムを持つ。

本発明によるＤＲＭ環境における悪質コードのリアルタイム検査装置及びその方法をコンピュータで行わせるためのプログラムを記録した記録媒体によれば、ＤＲＭ具現においてワクチンプログラムと連動できるインターフェースを提供し、ワクチンプログラムをＤＲＭ支援応用プログラムにローディングすることで、ＤＲＭが適用されて暗号化された文書の悪質コード感染如何をリアルタイムで検査して治療することができる。

本発明によるＤＲＭ環境における悪質コードのリアルタイム検査装置に関する望ましい実施形態の構成を示す図面である。本発明によるＤＲＭ環境における悪質コードのリアルタイム検査方法に関する望ましい実施形態の実行過程を示すフローチャートである。

以下、添付した図面を参照して本発明によるＤＲＭ環境における悪質コードのリアルタイム検査装置及びその方法をコンピュータで行わせるためのプログラムを記録した記録媒体の望ましい実施形態について詳細に説明する。

図１は、本発明によるＤＲＭ環境における悪質コードのリアルタイム検査装置に関する望ましい実施形態の構成を示す図面である。図１を参照すれば、本発明によるＤＲＭ環境における悪質コードのリアルタイム検査装置に関する望ましい実施形態１００は、ＤＲＭモジュール１１０、インターフェースモジュール１２０、悪質コード検査モジュール１３０及び悪質コード治療モジュール１４０で構成される。

ＤＲＭモジュール１１０は、ユーザがＤＲＭが適用されたファイルをダブルクリックするなどの動作により‘ファイル開き’命令を入力すれば、該ファイルに対応して生成されたハンドルに基づいて該ファイルについてのユーザの権限を確認する。この時、該ファイルに対応して生成されたハンドルは、ＤＲＭモジュール１１０が備えられたプロセス内でのみ有効である。もし、ユーザに該ファイルについての‘読み取り権限’があると確認されれば、ＤＲＭモジュール１１０は、該ファイルに対応して生成されたハンドルによるファイル読み出し／書き込み動作時に復号化／暗号化を行う。次いで、ＤＲＭモジュール１１０は、該ファイルに対応して生成されたハンドル及びファイル経路を提供してインターフェースモジュール１２０を呼び出す。そして、インターフェースモジュール１２０から伝達された悪質コード検査結果によるメッセージをユーザに出力する。ＤＲＭモジュール１１０がユーザに出力する検査結果は、悪質コードの検出如何によって変わる。もし、インターフェースモジュール１２から悪質コードが検出されていないという検査結果が伝達されれば、ＤＲＭモジュール１１０は、ユーザに別途のメッセージを出力せずに該ファイル開き動作を行う。これとは異なって悪質コードが検出されたという検査結果が伝達されれば、ＤＲＭモジュール１１０は、悪質コード感染事実を知らせるメッセージをユーザに出力し、該ファイルについてのハンドルを返してファイル開き動作を終了する。

インターフェースモジュール１２０は、暗号化されたファイルが開かれる前に悪質コード検査モジュール１３０に、ＤＲＭモジュール１１０から渡されたファイルに対応するハンドル及びファイル経路を提供して悪質コード検査を要請する。そして、悪質コード検査モジュール１３０による検査結果をＤＲＭモジュール１１０に出力する。これらのインターフェースモジュール１２０は、ＤＲＭモジュール１１０に一体に具現されてもよい。

悪質コード検査モジュール１３０は、インターフェースモジュール１２０から提供されたファイルについてのハンドル及びファイル経路に基づいて、ＤＲＭモジュール１１０によって復号化されて読み取られる原本ファイルについての悪質コード感染如何を検査する。これらの悪質コード検査モジュール１３０は、ＤＲＭモジュール１１０支援応用プログラムにローディングされて行われるので、パラメータとして伝達されたハンドルを使って、暗号化されたファイルの内容を復号化された状態に読み取れる。また悪質コード検査モジュール１３０は、フッキングされたコンテクストから呼び出されるので、ＣｒｅａｔｅＦｉｌｅ（）呼び出し、メッセージ出力などの動作を行ってはならず、該ファイルのハンドルを使って検査のみ行わねばならない。もし悪質コードの検査中に“検査中です”のようなメッセージを出力しようとすれば、悪質コード治療モジュール１４０に該メッセージの出力を要請する。このようなメッセージの出力は、悪質コード検査結果をインターフェースモジュール１２０にリターンする前に行われる。そして悪質コード検査モジュール１３０は、未感染、感染、誤りなどの検査結果をインターフェースモジュール１２０にリターンする。さらには、悪質コード検査モジュール１３０は、該ファイルが悪質コードに感染されたと確認されれば、該ファイル経路を悪質コード治療モジュール１４０に提供して感染事実を知らせる。

悪質コード治療モジュール１４０は、悪質コード検査モジュール１３０から伝達された該ファイル経路に基づいて、ユーザの選択によって悪質コードを治療する。このような悪質コード治療動作は、ユーザ検査（すなわち、手動検査）と同様にＤＲＭモジュール１１０で提供するＳＤＫを使って具現される。したがって、悪質コード検査モジュール１３０が該ファイルから悪質コードを検出した後には、既存の手動検査と同じ方式によって悪質コードの治療が行われる。このように悪質コード治療モジュール１４０が別途の動作によって治療動作を行う理由は、ＤＲＭモジュール１１０、インターフェースモジュール１２０及び悪質コード検査モジュール１３０は同じプロセスで動作するため、ファイルハンドルを共有してファイル内容を復号化された状態で近付くことができるが、悪質コード治療モジュール１４０は、これらとは異なるプロセスで動作するため、ファイルハンドルを共有できず、ファイル内容を復号化された状態で近付くことができないからである。

図２は、本発明によるＤＲＭ環境における悪質コードのリアルタイム検査方法に関する望ましい実施形態の実行過程を示すフローチャートである。

図２を参照すれば、ユーザが、ＤＲＭが適用されたファイルについての‘ファイル開き’命令を入力すれば、ＤＲＭモジュール１１０は、該ファイルに対応して生成されたハンドルに基づいて、該ファイルについてのユーザの権限を確認する（Ｓ２００）。もし、ユーザに該ファイルについての‘読み取り権限’があると確認されれば（Ｓ２０５）、ＤＲＭモジュール１１０は、該ファイルに対応して生成されたハンドルによるファイル読み出し／書き込み動作時に復号化／暗号化を行う（Ｓ２１０）。次いで、ＤＲＭモジュール１１０は、該ファイルに対応して生成されたハンドル及びファイル経路を提供して、インターフェースモジュール１２０を呼び出す（Ｓ２１５）。次いで、インターフェースモジュール１２０は、暗号化されたファイルが開かれる前に悪質コード検査モジュール１３０に、ＤＲＭモジュール１１０から渡された該ファイルに対応するハンドル及びファイル経路を提供して、悪質コード検査を要請する（Ｓ２２０）。悪質コード検査モジュール１３０は、インターフェースモジュール１２０から提供されたファイルについてのハンドル及びファイル経路に基づいて、ＤＲＭモジュール１１０により復号化されて読み取られる原本ファイルについての悪質コード感染如何を検査する（Ｓ２２５）。

次いで、悪質コード検査モジュール１３０は、インターフェースモジュール１２０に検査結果をリターンする（Ｓ２３０）。インターフェースモジュール１２０は、悪質コード検査モジュール１３０からリターンされた検査結果をＤＲＭモジュール１１０に伝達する（Ｓ２３５）。ＤＲＭモジュール１１０は、伝達された検査結果を確認する（Ｓ２４０）。もし、悪質コードが見つけられると確認されれば、ＤＲＭモジュール１１０は、該ファイルに対応して生成されたハンドルを返してファイル開き動作を終了する（Ｓ２４５）。このようなファイル開き動作の終了は、Ｓ２０５段階で、ユーザに該ファイルについての‘読み取り権限’がないと確認された場合にも同様に行われる。これとは異なって、悪質コードが見つけられていないと確認されれば、ＤＲＭモジュール１１０は、該ファイル開き動作を行い続ける（Ｓ２５０）。

一方、悪質コード検査モジュール１３０は、悪質コードが見つけられたファイル経路を悪質コード治療モジュール１４０に提供して、悪質コードの治療を要請する。このような悪質コードの治療要請動作は、設定状態によって選択的に行われる。この時、悪質コード治療モジュール１４０は、ＤＲＭモジュール１１０に検査結果がリターンされた後、悪質コード検査モジュール１３０から伝達された該ファイル経路に基づいて、該ファイルの悪質コード感染についてのメッセージをユーザに出力し、ユーザから治療如何を選択される。もし、ユーザが治療を選択すれば、悪質コード治療モジュール１４０は、該ファイルの治療動作を行う。このような悪質コード治療モジュール１４０による治療動作は、従来のＤＲＭが適用されたファイルの手動治療過程と同一である。

本発明はまた、コンピュータで読み取り可能な記録媒体にコンピュータで読み取り可能なコードとして具現できる。コンピュータで読み取り可能な記録媒体は、コンピュータシステムによって読み取られるデータが保存されるすべての記録装置を含む。コンピュータで読み取り可能な記録媒体の例には、ＲＯＭ、ＲＡＭ、ＣＤ−ＲＯＭ、磁気テープ、フロッピー（登録商標）ディスク、光データ保存装置などがあり、また、キャリアウエーブ（例えばインターネットを通じる伝送）の形態で具現されるものも含む。またコンピュータで読み取り可能な記録媒体は、ネットワークに連結されたコンピュータシステムに分散されて、分散方式でコンピュータで読み取り可能なコードが保存されて行われる。

以上、本発明の望ましい実施形態について図示して説明したが、本発明は前述した特定の望ましい実施形態に限定されるものではなく、特許請求の範囲で請求する本発明の趣旨を逸脱せずに当業者ならば多様な変形実施が可能であるということはいうまでもなく、かかる変更は、特許請求の範囲に記載の範囲内にある。

Claims

ユーザが、ＤＲＭが適用されたファイルについての実行命令を入力すれば、前記ファイルに対応して生成したハンドルに基づいて前記ファイルについてのユーザの権限を確認した後、前記ファイルに対応して生成されたハンドルによるファイル読み出し動作時に復号化を行い、前記ファイルに対応して生成されたハンドル及びファイル経路が含まれた検査要請メッセージを出力し、前記ファイルについての悪質コード検査結果によって前記ファイルの開き動作の実行如何を定めるＤＲＭモジュールと、
前記ＤＲＭモジュールから入力された前記検査要請メッセージを伝達するインターフェースモジュールと、
前記インターフェースモジュールから伝達された前記検査要請メッセージに含まれている前記ファイルに対応して生成されたハンドル及びファイル経路に基づいて、前記ＤＲＭモジュールによって復号化されて読み取られる原本ファイルについての悪質コード感染如何を検査し、前記原本ファイルについての悪質コード検査結果を、前記インターフェースモジュールを通じて前記ＤＲＭモジュールに伝達する悪質コード検査モジュールと、を備えることを特徴とするＤＲＭ環境における悪質コードのリアルタイム検査装置。
前記悪質コード検査モジュールから伝達された前記ファイル経路に基づいて、ユーザの選択によって悪質コードを治療する悪質コード治療モジュールをさらに備えることを特徴とする請求項１に記載のＤＲＭ環境における悪質コードのリアルタイム検査装置。
前記悪質コード治療モジュールは、前記ＤＲＭモジュールに悪質コード検査結果がリターンされた後、前記悪質コード検査モジュールから伝達された前記ファイル経路に基づいて、前記ファイルの悪質コード感染についてのメッセージをユーザに出力した後、ユーザから治療如何を選択されることを特徴とする請求項２に記載のＤＲＭ環境における悪質コードのリアルタイム検査装置。
前記ＤＲＭモジュールは、前記ファイルで悪質コードが検出されたと確認されれば、悪質コード感染事実及び治療如何を問い合わせるメッセージをユーザに出力し、前記ファイルについてのハンドルを返して前記ファイルの開き動作を終了することを特徴とする請求項１または２に記載のＤＲＭ環境における悪質コードのリアルタイム検査装置。
前記悪質コード検査モジュールは、悪質コードの検査中に前記悪質コード治療モジュールに、ユーザに悪質コード検査中であることを知らせるメッセージの出力を要請することを特徴とする請求項２に記載のＤＲＭ環境における悪質コードのリアルタイム検査装置。
（ａ）ユーザがＤＲＭが適用されたファイルについての実行命令を入力すれば、前記ファイルに対応して生成したハンドルに基づいて前記ファイルについてのユーザの権限を確認した後、前記ファイルに対応して生成されたハンドルによるファイル読み出し動作時に復号化を行い、前記ファイルに対応して生成されたハンドル及びファイル経路が含まれた検査要請メッセージを出力する段階と、
（ｂ）前記ＤＲＭモジュールから入力された前記検査要請メッセージに含まれている、前記ファイルに対応して生成されたハンドル及びファイル経路に基づいて、前記復号化されて読み取られる原本ファイルについての悪質コード感染如何を検査し、前記原本ファイルについての悪質コード検査結果をリターンする段階と、
（ｃ）前記ファイルについての悪質コード検査結果によって前記ファイルの開き動作の実行如何を定める段階と、を含むことを特徴とするＤＲＭ環境における悪質コードのリアルタイム検査方法をコンピュータで行わせるためのプログラムを記録したコンピュータで読み取り可能な記録媒体。
前記（ｃ）段階で、前記ファイルで悪質コードが検出されたと確認されれば、悪質コード感染事実及び治療如何を問い合わせるメッセージをユーザに出力し、前記ファイルについてのハンドルを返して前記ファイルの開き動作を終了することを特徴とする請求項６に記載の記録媒体。