KR100882349B1 - 기밀문서 유출 방지 방법 및 장치 - Google Patents

Abstract

본 발명은, 기밀문서 유출 방지 방법 및 장치에 관한 것으로서, 지원하는 모든 감시단으로부터 문서를 수집하고, 등록된 문서 및 등록되지 않은 문서 모두에 대해 기밀문서 여부를 인식하기 위한 기밀문서 지식을 습득하고, 상기 기밀문서 지식의 습득에 따라 해당 기밀 탐지 알고리즘을 기반으로 기밀문서를 감시 및 판정하고, 상기 판정된 기밀문서를 차단하는 것을 특징으로 하며, 이에 따라 기존에 감시하지 못했던 산재되어 있는 데이터(등록되지 않은 기밀문서)도 감시 및 실시간 차단할 수 있는 효과가 있다.

기밀문서 유출 방지, 기밀문서, 언어 기반 기밀 탐지 알고리즘, 비언어 기반 기밀 탐지 알고리즘, 학습 모델, 핑거 프린트 모델.

Description

기밀문서 유출 방지 방법 및 장치{METHOD AND APPARATUS FOR PREVENTING CONFIDENTIAL INFORMATION LEAK}

도 1은 본 발명의 실시예에 따른 기밀문서 유출 방지를 위한 시스템 구조를 도시한 구성도,

도 2는 본 발명의 실시예에 따른 기밀문서 유출 방지 장치의 구조를 도시한 구성도,

도 3은 본 발명의 실시예에 따라 기밀문서 유출 방지 장치에서 기밀 데이터에 대한 지식 습득 과정을 도시한 흐름도,

도 4a 및 도 4b는 본 발명의 실시예에 따라 기밀문서 유출 방지 장치에서 자동 기밀 판정 알고리즘의 적용 지점들을 보여주는 블록도,

도 5는 본 발명의 실시예에 따라 기밀문서 유출 방지 장치에서 언어기반 기밀문서 판정 과정을 도시한 흐름도,

도 6은 본 발명의 실시예에 따라 기밀문서 유출 방지 장치에서 비언어기반 기밀문서 판정 과정을 도시한 흐름도,

도 7은 본 발명의 실시예에 따라 기밀문서 유출 방지 장치에서 두 가지 기밀문서 판정 알고리즘의 적용 과정을 도시한 흐름도.

본 발명은 정부, 기업 등의 네트워크에서의 기밀문서 유출 방지 시스템에 관한 것으로서, 특히 기밀문서 유출 방지 시스템에서 기계 학습(언어 기반) 및 핑거 프린팅(비언어 기반)을 이용한 기밀문서 유출 방지 방법 및 장치에 관한 것이다.

현재, 고객의 개인정보나 기업의 기밀정보 등이 이메일, 인스턴트 메시징 서비스, P2P 등을 통하여 의도적으로 또는 부주의로 인하여 무분별하게 유통됨으로써 심각한 정보 유출이 우려되고 있는 실정이다.

일반적으로 여러 가지 손실 유형 가운데 기밀문서 유출에 의한 경제적 손실이 가장 많은 부분을 차지하며, 매년 이러한 경제적 손실이 증가하는 추세이다.

최근 국내에서 발생한 정보 유출에 대한 산업 스파이 사건은 2003년 이후 급증하고 있으며, 2003년부터 2005년 12월까지 총 61건이 적발되었고 업계 추산 약 82조 3,270억원의 손실이 발생하였다. 유출 양상도 과거 생계형에서 최근 발생한 반도체 기술 유출 사건에서 볼 수 있듯이 외국 정부 연계 및 기업형 사건으로 대형화되고 있고, 수법도 핵심인력 매수, 스카우트, 위장업체 설립, 절취·해킹 등 모든 수단이 동원되고 있다.

이와 같은 기밀문서 유출을 방지하기 위한 종래의 기술은 DRM과 같은 정적인 문서 보안 방법을 중점을 두고 있었다. 하지만, 상기 DRM을 이용한 문서 보안 방법은 문서 보안 운영 체계를 보았을 때 변형된 문서 또는 작업 중인 문서 등에 대해서 정보 누출에 취약한 부분이 많이 있다. 특히, 이러한 DRM을 이용한 문서 보안은 기밀문서를 사용자가 직접 등록을 해야 한다. 즉, 상기 종래의 기술은 사용자들이 지정한 기밀문서만 보호하게 된다. 그러나 내부자가 자신이 작성하거나 수정한 정보를 유출하고자 한다면 이를 실시간으로 차단하기가 어려운 실정이다. 이와 같은 내부 정보 유출이 발생을 막기 위해서는 해당 문서의 내용을 모르는 사람이 막아야만 한다. 또한, 상기 종래의 기술은 일단 등록된 문서에 대해서도 내부자가 기밀문서 파일을 직접 복사하거나 인쇄하지 않고, 새 문서 파일에 기밀문서의 내용을 직접 입력하거나 부분 복사하는 경우, 상기 DRM 방식으로는 대응이 불가능하다.

또한, 종래의 기밀문서의 유출을 막기 위한 시스템에서는 기밀문서의 자동 판단이 불가능해서 데이터 입출력 자체를 불가능하게 하거나, 키워드 비교만으로 감시하였으므로 무조건적인 컴퓨터 사용을 제한하였다.

따라서 본 발명의 목적은 사용자가 등록하지 않은 기밀문서를 자동으로 기밀문서 여부를 판정하고 차단함으로써 기밀문서 유출을 방지하기 위한 방법 및 장치를 제공함에 있다.

본 발명의 다른 목적은 언어적인 방법 및 비언어적인 방법을 이용하여 데이터의 상태에 따라 모든 유출 가능 포인트에서 모든 데이터를 자동 감시 및 기밀 유 출 판정을 하여 실시간으로 차단하기 위한 기밀문서 유출 방지 방법 및 장치를 제공함에 있다.

상기 이러한 본 발명의 목적들을 달성하기 위한 기밀문서 유출 방지 방법은, 지원하는 모든 감시단으로부터 문서를 수집하는 과정과, 상기 수집된 문서들을 분류한 후 분류된 기밀문서에 대한 모델을 생성하여 등록된 문서 및 등록되지 않은 문서 모두에 대해 기밀문서 여부를 인식하기 위한 기밀문서 지식을 습득하는 과정과, 상기 기밀문서 지식의 습득에 따라 단어들의 조합을 통해 상기 기밀문서의 문맥을 파악 및 상기 기밀문서가 기술하는 분야를 판정하는 언어 기반 방식 또는 미리 상기 기밀문서를 학습시켜 이진 코드 기반의 상기 기밀 문서에 대한 핑거 프린트를 확보하는 비언어 기반 방식을 이용하여 기밀문서를 감시 및 판정하는 과정과, 상기 판정된 기밀문서를 차단하는 과정을 포함하는 것을 특징으로 한다.

상기 본 발명의 목적들을 달성하기 위한 기밀문서 유출 방지 장치는, 지원하는 모든 감시단으로부터 문서를 수집하는 문서 수집부와, 상기 수집된 기밀문서 중에서 등록된 문서 및 등록되지 않은 문서 모두에 대해 기밀문서 여부를 인식하기 위한 기밀문서 지식을 습득하고, 상기 기밀문서 지식의 습득에 따라 단어들의 조합을 통해 상기 기밀문서의 문맥을 파악 및 상기 기밀문서가 기술하는 분야를 판정하는 언어 기반 방식 또는 미리 상기 기밀문서를 학습시켜 이진 코드 기반의 상기 기밀 문서에 대한 핑거 프린트를 확보하는 비언어 기반 방식을 이용하여 기밀문서 여부를 판정하는 제어부와, 상기 기밀문서 지식의 습득에 따라 상기 모든 감시단에서 문서의 유출을 감시하고, 상기 제어부에서 판정된 기밀문서를 차단하는 감시 및 차단부와, 정보 및 습득한 기밀문서 지식 및 상기 기밀문서 지식의 습득에 따라 생성된 모델에 대한 정보를 저장하는 저장부를 포함하는 것을 특징으로 한다.

이하, 본 발명의 바람직한 실시 예를 첨부한 도면을 참조하여 상세히 설명한다. 우선 각 도면의 구성 요소들에 참조 부호를 부가함에 있어서, 동일한 구성 요소들에 한해서는 비록 다른 도면상에 표시되더라도 가능한 한 동일한 부호를 가지도록 하고 있음에 유의해야 한다. 그리고 본 발명을 설명함에 있어, 관련된 공지 기능 혹은 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우 그 상세한 설명을 생략한다.

본 발명의 실시예에서는 기밀문서의 유출을 탐지하기 위해 언어적인 방법(기계 학습)과 비언어적인 방법(핑거 프린트)을 이용하여 네트워크단과 데스탑의 입/출력(I/O) 단에서 유출되는 모든 데이터를 자동으로 감시하고, 기밀 유출로 판정되는 경우 이를 실시간으로 차단하도록 한다.

상기 언어 정보에 기반으로 하는 기계 학습 방법은 생물학에서 정의한 분류학(Taxonomy)에 기반을 두고 있다. 예를 들어 제약회사의 기밀문서를 판정해야 한다면, 해당 기밀문서는 제약학에 관련된 단어를 포함할 확률이 높다. 이와 같이 각 분야를 대표하는 단어를 포함하는 기반으로 문서를 분야별로 분류할 수 있다. 이를 기반으로 제약 관련 문서와 그렇지 않은 문서의 분류를 기계 학습할 경우 상당히 높은 수준의 판정율을 기대할 수 있다. 현재까지 언어 분류학은 모든 분야의 문서에 대한 분류가 아니라, 특정 분야의 문서 분류의 경우 실용화가 가능한 수준의 탐지율을 보이고 있다.

한편, 비언어적인 방법은 코드 기반 알고리즘을 통해 암호학에서 쓰이는 해쉬 이론을 적용함으로써, 기물 문서들을 수집해서 각 문서들의 고유한 키를 생성한 다. 이렇게 생성되는 키는 기밀문서마다 고유한 것으로 사람의 지문 또는 DNA에 비유될 수 있다. 이러한 키 개념은 일반적으로 암호화에서 많이 적용되는 것으로서, 원문에 대해 한 개의 키만 생성되기 때문에 하나의 문서만을 식별할 수 있으나, 본원 발명의 실시예에서는 생성되는 키가 문서의 유사도에 따라서 동일 문서의 변형본인 경우에도 같은 키가 생성되도록 한다. 즉, 기밀문서의 변형을 탐지할 수 있도록 한다. 이와 같은 코드 기반의 알고리즘의 경우 언어 정보를 보는 것이 아니라 이진 파일 수준에서의 코드를 키 정보로 활용하기 때문에 한번 시스템이 구축되면 언어에 독립적으로 보안 시스템을 구축할 수 있다.

그러면 상기 언어 기반 및 코드 기반의 알고리즘을 이용하여 기밀문서 유출을 감시 및 차단함으로써 유출을 방지하기 위한 본 발명의 실시예에 따른 기밀문서 유출 방지 시스템의 구조를 첨부된 도면을 참조하여 설명하기로 한다.

도 1은 본 발명의 실시예에 따른 기밀문서 유출 방지를 위한 시스템 구조를 도시한 구성도이다.

상기 도 1을 참조하면, 상기 정보 유출 방지 시스템은 크게 언어 기반(기계 학습)과, 비언어적인 코드 기반(핑거 프린트)의 기밀 인식 기술을 적용하며, 네트워크 내의 다수의 PC들(101a 내지 101n)과 연계하고, 상기 각 PC들(101a 내지 101 n)의 기밀문서들을 감시(데스크탑 감시 및 네트워크 감시) 및 유출되는 기밀문서를 차단하는 기밀문서 유출 방지 장치(110)를 포함한다. 이러한 기밀문서 유출 방지 장치에 대해 첨부된 도 2를 참조하여 구체적으로 설명하기로 한다.

상기 기밀문서 유출 방지 장치는 송/수신부(111)와, 감시 및 차단부(112)와, 제어부(113)와, 저장부(114) 및 정보 수집부(115)를 포함한다.

상기 송/수신부(111)는 각 PC들(101a 내지 101n)의 기밀문서, 네트워크 전송 정보 및 입/출력(I/O) 정보 등 기밀 유출 방지에 관련된 모든 정보들을 송/수신한다.

상기 감시 및 차단부(112)는 상기 네트워크 단의 모든 I/O단 예를 들어, 상기 모든 PC들(101a 내지 101 n)로 입/출력되는 문서들을 실시간 감시하고, 기밀문서로 판정된 문서에 대한 기밀문서를 차단한다.

상기 제어부(113)는 상기 송/수신부(111)를 통해 수신된 문서들의 정보를 확인하여 기밀문서 여부를 판정하고, 언어기반 및 비언어기반의 알고리즘을 이용하여 기밀문서인지를 인식하기 위한 지식을 획득하고, 관련 모델을 생성한다. 여기서 상기 제어부(113)는 비언어기반의 알고리즘을 이용한 판정 시 고유 함수를 통해 100% 일치하는 문서만 검사하는 것이 아닌, 문서의 부분 삭제, 위치 수정과 같은 변경된 문서에 대해서도 판정을 한다.

상기 저장부(114)는 상기 기밀문서 수동 등록 및 수신된 문서들의 정보를 관리하고, 상기 기밀문서인지를 위해 획득한 지식들 및 생성된 관련 모델을 저장한다. 또한, 저장부(114)는 해당 분야의 사전 및 기밀문서 핑거 프린트에 대한 정보를 저장한다.

상기 정보 수집부(115)는 상기 각 PC들(101a 내지 101n)에서 새로 생성된 파일들의 정보를 수집하여 제어부(113)로 전달한다.

이와 같은 구조를 갖는 기밀문서 유출 방지 장치에서 기밀 데이터에 대한 지식 습득 및 기밀문서 판정을 통해 기밀문서 유출을 방지하기 위한 방법에 대해 구체적으로 설명하기로 한다.

기밀문서 유출 방지 장치는 기밀문서 유출을 방지하기 위해 우선, 기밀문서 지식을 생성해야 하는데, 기밀문서 지식 생성은 구조화된 데이터와 비구조화된 데이터 모두에 대해 기밀문서를 인식할 수 있는 지식 습득을 의미한다. 이러한 기밀문서 지식 습득에 대한 과정을 첨부된 도면을 참조하여 설명하기로 한다.

도 3은 본 발명의 실시예에 따라 기밀문서 유출 방지 장치에서 기밀 데이터에 대한 지식 습득 과정을 도시한 흐름도이다.

상기 도 3을 참조하면, 201단계에서 기밀문서 유출 방지 장치는 정보 수집부(115)를 통해 기업 네트워크 내 모든 PC들(101a 내지 101n)에서 문서를 수집한다. 이후, 202단계에서 기밀문서 유출 방지 장치는 수집된 문서들을 문서의 타입(doc, pdf, hwp 등) 별로 분류하고, 203단계에서 분류된 파일을 아스키코드로 변환(ex. doc->txt)한다. 그런 다음 204단계에서 변환된 파일의 데이터를 문서 분류 기술을 이용하여 분야별로 분류한다.

205단계에서 기밀문서 유출 방지 장치는 상기 분야별로 분류된 문서가 기밀문서인지를 확인하여 기밀문서인 경우 206단계로 진행하고, 그렇지 않은 경우 동작을 종료한다.

이후, 기밀문서 유출 방지 장치는 상기 기밀문서로 판정된 문서를 언어 기반 또는 비언어 기반 방식에 따라 즉, 언어 기반 또는 비언어 기반 기밀 탐지 알고리 즘을 이용하여 해당 모델들을 생성 및 갱신하게 된다. 따라서 206단계에서 기밀문서 유출 방지 장치는 상기 기밀문서가 새로운 기밀문서로서, 언어 기반 기밀 탐지 알고리즘을 이용하는 경우, 207단계에서 상기 기밀문서로 분류된 문서 중에서 새 단어를 추출하고, 208단계에서 사전 및 학습 모델을 생성 및 갱신한 다음 213단계로 진행한다.

반면, 상기 206단계에서 상기 언어 기반 탐지 알고리즘을 이용하지 않는 경우, 209단계에서 기밀문서 유출 방지 장치는 비언어(코드) 기반 기밀 탐지 알고리즘을 이용할 것인지를 판단하여 비언어 기반 탐지 알고리즘을 이용하는 경우라면 210단계에서 등록된 기밀문서인지를 판단한다. 만약, 기존에 등록된 기밀문서인 경우 그대로 동작을 종료하고, 기존에 등록되지 않은 기밀문서인 경우 211단계에서 새로운 기밀문서의 핑거 프린트를 생성하고, 212단계에서 생성된 핑거 프린트를 핑거 프린트 모델에 추가하여 상기 핑거 프린트 모델을 갱신한다.

그런 다음 213단계에서 기밀문서 유출 방지 장치는 학습 모델 및 핑거 프린트 모델을 주기적으로 각 감시단으로 배포한다.

이와 같은 지식 습득 과정의 상기 204단계에서 분야별 데이터 분류는 예를 들어 하기 <표 1> 내지 <표 3>에 나타낸 바와 같을 수 있다.

데이터 분류 방법	설명
구조화된 데이터	데이터베이스 파일과 같이 파일 구성이 규격화된 파일
비 구조화된 데이터	일반 문서 파일처럼 그 구성이 규격화되지 않은 파일
관리되는 데이터	기업망 내부의 지정된 파일 서버에 수집, 관리되는 파일
산재된 데이터	각 사용자 PC에 산재되어 있는 관리되지 않는 파일

상기 <표 1>에 나타낸 바와 같이, 상기 데이터 분류는 구조화된 데이터, 비 구조화된 데이터, 관리되는 데이터 및 산재된 데이터 등으로 분류될 수 있다. 여기서 상기 구조화된 데이터는 데이터베이스 파일과 같이 파일 구성이 규격화된 파일을 나타내고, 비 구조화된 데이터는 일반 문서 파일처럼 그 구성이 규격화되지 않은 파일을 나타낸다. 그리고 상기 관리되는 데이터는 기업망 내부의 지정된 파일 서버에 수집 및 관리되는 파일을 나타내고, 산재된 데이터는 각 사용자 PC에 산재되어 있는 관리되지 않은 파일을 나타낸다.

파일 예제	구조화된 데이터	비 구조화된 데이터
관리되는 데이터	1) 기업 DB 데이터들	2) 파일 서버의 각종 문서.
산재된 데이터	3) 개인용 DB 데이터들	4) 각 PC의 각종 문서들

보안 난이도 (기존 시스템)	구조화된 데이터	비 구조화된 데이터
관리되는 데이터	가장 보안이 쉬움	기존 DRM 기반 보안 시스템
산재된 데이터	기존 시스템 보안지원 안됨	기존 시스템 보안지원 안됨

상기 <표 2>에 나타낸 바와 같이, 첫 번째로 상기 관리되는 데이터이고 구조화된 데이터는 기업 DB 데이터들을 의미하고, 두 번째로 상기 관리되는 데이터이고 비 구조화된 데이터는 파일 서버의 각종 문서를 의미하고, 세 번째로 상기 산재된 데이터이고 구조화된 데이터는 개인용 DB 데이터들을 의미하고, 네 번째로 상기 산재된 데이터이고 비 구조화된 데이터는 각 PC의 각종 문서들을 의미한다. 이러한 경우 상기 <표 3>을 참조하여 기존 시스템의 보안 난이도를 살펴보면, 첫 번째의 경우 가장 쉽게 보안이 가능하고, 두 번째의 경우 기존 DRM 기반 보안 시스템을 이용하여 보안이 가능하며, 세 번째 및 네 번째 경우에는 기존 시스템으로는 보안이 불가능하다.

한편, 데이터의 상태는 크게 저장 중인 데이터(Data at rest), 사용 중인 데이터(Data in use), 이동 중인 데이터(Data in motion)로 구분할 수 있다. 이러한 저장 중인 데이터는 관리되는 데이터에 분류될 수 있으며, 나머지 사용 중인 데이터 및 이동 중인 데이터는 산재된 데이터에 분류될 수 있다. 따라서 기존의 DRM의 경우, 저장 중인 데이터는 기밀문서 유출이 차단이 가능하지만, 사용 중인 데이터 및 이동 중인 데이트는 차단이 불가능한 상태이다.

따라서 습득한 기밀문서 지식에 따라 구조화된 데이터는 물론 비구조화된 데이터 즉, 등록되지 않은 데이터들에 대해서도 감시하여 기밀문서의 유출을 차단할 수 있어야 한다. 그러므로 이하, 본 발명의 실시예에 따라 등록되지 않은 데이터들에 대해서도 감시 및 기밀 여부를 판정하여 유출을 차단하는 과정에 대해 설명하기로 한다. 그리고 상술한 바와 같은 지식 습득 방법도 언어 기반 및 비언어 기반에 따르므로 기밀정보 탐지 방법 또한 언어 기반 기밀정보 탐지 알고리즘과 비언어 기반 기밀문서 탐지 알고리즘을 이용하여 설명하기로 한다.

상기 사용 중인 데이터의 차단을 위해서는 완벽한 호스트 감시 에이전트 기술을 지원해야 한다. 이는 대부분의 정보 유출이 USB 복사, CD 복사, 프린팅 등으로 이루어지기 때문에 본 발명의 실시예에서는 운영체제 단에서 USB, CD, 프린트 요청 등을 가로채서 기밀문서 여부를 감시한다. 이때, 유출되는 파일은 등록된 기밀문서 뿐만 아니라 그 문서의 일부분 또는 변형본일 수 있기 때문에 본 발명의 실시예서는 파일 등록 여부에 관계없이 기밀문서 여부를 판정한다. 이를 위해 기밀문서 유출 방지 장치에서 감시 및 차단부(112)가 지원하는 모든 감시단의 위치에 대해 첨부된 도 4의 (b)를 참조하여 설명하기로 한다.

상기 감시 및 차단부(112)는 321단계에서 기업 내부의 모든 PC에 보안 에이전트 설치를 하고, 322단계 모든 PC에서 데이터 유출입 감시한다. 구체적으로 323단계 내지 325단계와 같이, CD 저장 과정 감시, USB 저장 과정 감시, 파일 저장 과정 감시한다. 그런 다음 이러한 감시 결과를 통해 상기 감시 및 차단부(112)는 326단계에서 기밀문서 판정 시 해당 세션을 차단 및 기록 저장한다.

한편, 상기 이동 중인 데이터의 차단을 위해서는 실시간 패킷 캡처링 기술과 고성능 게이트웨이 형태의 제품을 제공할 수 있다. 만약, 기밀문서가 이메일, 웹 트래픽, FTP, P2P 등과 같은 네트워크를 통해 외부로 유출되는 경우 이를 실시간으로 탐지하고 차단하기 위해서는 기업 네트워크의 관문(Ingress/Egress) 단에서 게이트웨이를 설치하고, 이동 중인 트래픽의 기밀 여부를 판정, 차단할 수 있으며, 등록되지 않은 파일도 기밀 여부를 판정할 수 있다. 이를 위해 기밀문서 유출 방지 장치에서 감시 및 차단부(112)가 지원하는 모든 감시단의 위치에 대해 첨부된 도 4 (a)를 참조하여 설명하기로 한다.

상기 감시 및 차단부(112)는 321단계에서 Ingress/Egress 포인트에 게이트웨이를 설치한다. 이에 따라 312단계에서 모든 네트워크 단에서의 데이터 유출입을 감시한다. 그리고 313단계 내지 315단계에서 감시 및 차단부(112)는 계층 7(Layer 7)까지 모든 트래픽의 데이터 분석, HTTP, FTP, 메신저 등 각종 응용 트래픽 분석, 이메일의 첨부 파일 분석을 수행한다. 이렇게 분석된 결과를 통해 316단계에서 상기 감시 및 차단부(112)는 기밀문서 판정 시 해당 세션 차단 및 기록 저장을 수행한다.

그러면 이와 같은 감시 및 분석에 따른 기밀문서 판정 과정에 대해 언어 기반 및 비언어 기반 방식으로 구분하여 첨부된 도면들을 참조하여 설명하기로 한다.

도 5는 본 발명의 실시예에 따라 기밀문서 유출 방지 장치에서 언어기반 기밀문서 판정 과정을 도시한 흐름도이고, 도 6은 본 발명의 실시예에 따라 기밀문서 유출 방지 장치에서 비언어 기반 기밀문서 판정 과정을 도시한 흐름도이다.

우선, 언어 기반 방식은 분류학(Taxonomy)의 원리를 이용하여 각 분야에 대표적인 단어들의 조합을 통해서 문서의 문맥을 파악, 해당 문서가 기술하는 분야를 판정하는 방법이다.

상기 도 5를 참조하면, 이러한 언어 기반에 따른 기밀문서 탐지를 위해 기밀문서 유출 방지 장치는 410단계에서 시스템 도입 초기에 해당 기업의 기밀문서 예제를 수집한다. 이와 함께 기밀문서 유출 방지 장치는 비 기밀문서도 수집한다.

그러면 420단계에서 기밀문서 유출 방지 장치는 수집된 문서를 분석하여 통계 사전을 구축하고, 430단계에서 기밀문서에 자주 등장하는 단어로 단어 리스트를 구축한다. 즉, 해당 분야의 고유한 사전을 구축하는데, 예를 들어 제약 회사인 경우 문서에 질병명이나 제약 관련 화학 약품 명칭을 많이 포함하고 있을 것이므로 기밀문서 유출 방지 장치는 일반적인 문서에 포함되는 일상 단어들은 모두 제거하고 해당 회사에서 많이 쓰이는 단어들을 선별해서 사전을 구축한다.

이후 440단계에서 기밀문서 유출 방지 장치는 기계학습 알고리즘을 이용하여 문서에 단어가 포함된 정도를 기준으로 기밀문서인지를 판정할 수 있는 확률 모델(예를 들어 TFIDF 등)을 생성한다. 그러면 450단계에서 기밀문서 유출 방지 장치는 상기 생성된 확률 모델을 이용하여 각종 I/O단에서 문서 전송이 탐지되는 경우 전송될 문서가 기밀문서인지를 판정한다. 이러한 확률 모델은 사용자의 요청에 따라 갱신될 수 있다. 예들 들어, 신상품이 개발되어 새로운 용어들이 많이 추가될 경우 예제 문서를 새로 수집하여 사전을 갱신하고, 기계학습 과정을 새로 수행하여 확률 모델을 갱신할 수 있다.

다음으로, 비언어 기반 방식은 미리 기밀문서를 학습시켜서 기밀문서들의 핑거 프린트를 확보한다. 이러한 핑거 프린트는 언어 정보에 기반을 둔 것이 아니라 이진 코드에 기반을 둔 것으로 내용 일부의 추가, 삭제, 위치 변경과 같은 문서의 유형에 상관없이 동일 문서 인식이 가능하다.

상기 도 6을 참조하면, 510단계에서 기밀문서 유출 방지 장치는 기밀문서를 수집한다. 이후, 기밀문서 유출 방지 장치는 비언어 기반의 기밀문서 탐지를 위해 관리되는 기밀문서에 대해서 주기적으로 해쉬키(hash key) 등록을 수행해야 한다. 따라서 520단계에서 기밀문서 유출 방지 장치는 기밀문서를 해쉬 함수에 입력하고, 530단계에서 기밀문서에 해당하는 해쉬 키를 반환한다.

그런 다음 540단계에서 기밀문서 유출 방지 장치는 기밀문서들의 해쉬 키들을 모아놓은 집합 파일 즉, 해쉬 리스트를 생성하여 주기적으로 각 감시단에 배포한 후, 550단계에서 해쉬 리스트를 이용하여 기밀 문서 여부를 검사한다.

따라서 이러한 비언어 기반 방식에서 기밀문서 유출 방지 장치는 핑거 프린트 함수(해쉬 함수)를 이용하여 원본 문서와 100% 일치해야 동일 문서인지를 인식하는 것이 아닌, 문서의 변형에 상관없이 같은 내용을 포함하고 있는지를 인식할 수 있다. 예를 들어, 문서의 일부분이 삭제되어 있거나, 문서의 두 부분이 위치가 변경되는 경우라도 같은 문서의 변형본인지를 탐지할 수 있다.

그러면 상술한 바와 같은 언어 기반 방식과 비언어 기반 방식을 혼용하는 경우의 과정을 도면을 참조하여 설명하기로 한다.

도 7은 본 발명의 실시예에 따라 기밀문서 유출 방지 장치에서 두 가지 기밀문서 판정 알고리즘의 적용 과정을 도시한 흐름도이다.

상기 도 7을 참조하면, 601단계에서 기밀문서 유출 방지 장치는 상기 도 6에서 설명한 바와 같이, 비언어 기반 검사를 수행한 후 602단계에서 기밀문서 파일인지를 확인한다. 확인 결과, 기밀문서 파일인 경우 603단계에서 기밀문서 유출 방지 장치는 작업을 차단하고, 사용자의 기밀문서 유출 행위에 대한 로그 정보를 저장한 후 607단계로 진행한다.

반면, 비언어 기반 방식의 기밀문서 파일이 아닌 경우, 604단계에서 기밀문서 유출 방지 장치는 상기 도 5에서 설명한 바와 같이, 언어 기반 방식의 검사를 수행하여 605단계에서 기밀문서 파일인지를 확인하다. 확인결과, 기밀문서 파일이 아닌 경우 다시 601단계로 진행하여 대기 상태를 유지한다. 반면, 언어 기반 방식의 기밀문서 파일인 경우 606단계에서 기밀정보 유출 방지 장치는 작업을 차단하고, 사용자의 기밀문서 유출 행위에 대한 로그 정보를 저장한다.

그런 다음 607단계에서 기밀문서 유출 방지 장치는 보안 서버로 새로 탐지된 기밀문서 파일을 전송하고, 608단계에서 상기 도 5에서 설명한 바와 같이, 구축된 사전 및 판정 모델을 갱신한다.

이와 같이 언어 기반, 비언어 기반의 두 가지 기밀 탐지 알고리즘은 감시단의 상황에 따라 각각 이용하거나 혼용하여 이용할 수 있다. 예를 들어 상기 <표 2>의 첫 번째 및 두 번째 경우와 같이, 기업 내부망의 파일 서버에 설치된 감시단이라면 저장된 파일들이 모두 등록된 기밀문서이므로 비언어 기반 알고리즘만 적용하고, 세 번째 및 네 번째 경우와 같이, 일반 PC의 감시단이라면 등록되지 않은 기밀문서가 산재되어 있으므로 두 알고리즘 모두를 적용해야 한다.

상술한 바와 같이 언어 기반, 비언어 기반의 두 가지 기밀 탐지 알고리즘을 이용하여 기밀문서를 감시함에 따라 기밀문서 유출 방지 장치는 기밀문서 유출을 인식 즉, 판정할 수 있다. 이러한 기밀문서 유출 인식을 위해 기밀문서 유출 방지 장치는 상술한 바와 같은 기밀문서 지식 습득 과정을 통해 확보한 지식을 기반으로 하여 실시간으로 감시 대상에 대한 검사를 수행한다.

따라서 이러한 기밀문서 유출 감시는 사용자의 컴퓨팅 환경에 영향을 최소화하면서 실시간으로 수행할 수 있고, 네트워크 트래픽 감시의 경우에는 트래픽 양의 변화에 관계없이 일정한 성능을 보일 수 있다.

또한, 본 발명의 실시예에서는 상기 도 5 내지 도 7에서 설명한 바와 같은 과정들을 유기적으로 결합시켜서 시너지 효과를 얻을 수 있는 정책 기반 보안 체계를 구축할 수 있다. 더욱이, 본 발명의 실시예에서는 비언어 기반 탐지 알고리즘을 통해 사용 언어에 상관없이 기밀문서를 파악할 수 있으므로 다른 언어를 사용하는 시스템 구축도 가능하다.

한편, 본 발명의 상세한 설명에서는 구체적인 실시 예에 관하여 설명하였으나, 본 발명의 범위에서 벗어나지 않는 한도 내에서 여러 가지 변형이 가능함은 물론이다. 그러므로 본 발명의 범위는 설명된 실시 예에 국한되어 정해져서는 안되며 후술하는 발명청구의 범위뿐만 아니라 이 발명청구의 범위와 균등한 것들에 의해 정해져야 한다.

상술한 바와 같이 본 발명은 언어 기반 및 비언어 기반의 탐지 알고리즘을 적용함으로써 데이터 내용을 확인하는 선별적 감시 체계 구축이 가능하며, 기존에 감시하지 못했던 산재되어 있는 데이터(등록되지 않은 기밀문서)도 감시 및 실시간 차단할 수 있는 효과가 있다.

또한, 본 발명은 무조건적인 사용 금지 조치나 보안사고 발생 후 로그 파일을 통한 사후 추적이 아닌 사용자가 모든 I/O 작업을 불편함이 없이 그대로 사용할 수 있고, 보안 관리자가 실시간 감시 및 추적이 가능한 보안 체계를 구축할 수 있는 효과가 있다.

Claims (20)

1. 지원하는 모든 감시단으로부터 문서를 수집하는 과정과,

   상기 수집된 문서들을 분류한 후 분류된 기밀문서에 대한 모델을 생성하여 등록된 문서 및 등록되지 않은 문서 모두에 대해 기밀문서 여부를 인식하기 위한 기밀문서 지식을 습득하는 과정과,

   상기 기밀문서 지식의 습득에 따라 단어들의 조합을 통해 상기 기밀문서의 문맥을 파악 및 상기 기밀문서가 기술하는 분야를 판정하는 언어 기반 방식 또는 미리 상기 기밀문서를 학습시켜 이진 코드 기반의 상기 기밀 문서에 대한 핑거 프린트를 확보하는 비언어 기반 방식을 이용하여 기밀문서를 감시 및 판정하는 과정과,

   상기 판정된 기밀문서를 차단하는 과정을 포함하는 것을 특징으로 하는 기밀문서 유출 방지 방법.
2. 제1항에 있어서, 상기 기밀문서를 감시 및 판정하는 과정은,

   상기 기밀문서 지식의 습득에 따른 감시 대상에 저장된 파일이 모두 등록된 문서인 경우, 상기 비언어 기반의 방식을 이용하여 상기 기밀문서를 감시 및 판정함을 특징으로 하는 기밀문서 유출 방지 방법.
3. 제2항에 있어서, 상기 기밀문서를 감시 및 판정하는 과정은,

   상기 기밀문서 지식의 습득에 따른 감시 대상에 저장된 파일이 등록되지 않은 문서인 경우, 상기 언어 기반 방식 및 상기 비언어 기반의 방식을 이용하여 상기 기밀문서를 감시 및 판정함을 특징으로 하는 기밀문서 유출 방지 방법.
4. 제1항에 있어서, 상기 기밀문서 지식을 습득하는 과정은,

   상기 수집된 문서를 타입별로 분류하는 단계와,

   상기 분류된 문서를 코드 변환하는 단계와,

   상기 변환된 문서를 분야별로 분류하는 단계와,

   상기 분야별 분류된 문서가 기밀 문서인지를 확인하는 단계와,

   언어 기반 또는 비언어 기반의 방식을 이용하여 확인된 상기 기밀문서에 대한 모델을 생성 및 갱신하는 단계와,

   상기 생성된 모델을 주기적으로 상기 각 감시단에 배포하는 단계를 포함하는 것을 특징으로 하는 기밀문서 유출 방지 방법.
5. 제4항에 있어서, 상기 언어 기반의 방식에 따라 확인된 상기 기밀 문서에 대한 모델을 생성하는 단계는,

   임의의 검사 대상의 예제 문서들을 수집하는 단계와,

   상기 수집된 문서들에서 기술하는 해당 분야의 통계 사전을 구축하는 단계와,

   상기 수집된 문서들에서 상기 통계 사전을 이용하여 상기 해당 분야에서 자주 쓰이는 단어들을 선별하여 단어 리스트를 생성하는 단계와,

   상기 단어 리스트에서 상기 선별된 단어가 포함된 확률에 따른 학습 모델을 생성하는 단계를 포함하는 것을 특징으로 하는 기밀문서 유출 방지 방법.
6. 제4항에 있어서, 상기 비언어 기반의 방식에 따라 확인된 상기 기밀 문서에 대한 모델을 생성하는 단계는,

   저장된 기밀문서들을 수집하는 단계와,

   상기 수집된 기밀문서들을 해쉬 함수에 각각 입력하는 단계와,

   상기 기밀문서들에 해당하는 해쉬 키를 반환하여 해쉬 키 등록을 수행하는 단계와,

   상기 기밀문서들의 해쉬 키를 모아서 해쉬 리스트를 생성하는 단계와,

   상기 생성된 해쉬 리스트를 통해 핑거 프린트 모델을 생성하는 단계를 포함하는 것을 특징으로 하는 기밀문서 유출 방지 방법.
7. 제2항에 있어서, 상기 기밀문서를 감시 및 판정하는 과정은,

   상기 비언어 기반의 방식을 이용하는 경우, 상기 기밀문서 지식의 습득에 따라 생성된 상기 모델이 상기 각 감시단에 배포되면 상기 각 감시단으로 유출되는 문서를 감시하는 단계와,

   기밀문서들의 해쉬키를 모아서 생성된 해쉬 리스트를 이용하여 상기 유출되는 문서가 상기 기밀문서인지를 판정하는 단계를 포함하는 것을 특징으로 하는 기밀문서 유출 방지 방법.
8. 제3항에 있어서, 상기 기밀문서를 감시 및 판정하는 과정은,

   상기 언어 기반의 방식을 이용하는 경우, 상기 기밀문서 지식의 습득에 따라 생성된 모델이 각 감시단에 배포되면 상기 각 감시단으로 유출되는 문서를 감시하는 단계와,

   상기 생성된 모델을 이용하여 상기 기밀문서에 단어가 포함된 정도를 기준으로 상기 유출되는 문서가 상기 기밀문서인지를 판정하는 단계를 포함하는 것을 특징으로 하는 기밀문서 유출 방지 방법.
9. 제1항에 있어서, 상기 기밀문서를 감시하는 과정은,

   상기 감시단이 네트워크 감시단인 경우, 모든 네트워크 감시단에서 모든 트래픽의 데이터 분석, 응용 트래픽 분석 및 이메일의 첨부 파일 분석을 통해 감시함을 특징으로 하는 기밀문서 유출 방지 방법.
10. 제1항에 있어서, 상기 기밀문서를 감시하는 과정은,

    상기 감시단이 데스크탑(PC) 감시단인 경우, 모든 PC에서 데이터 유출입을 감시하며, 씨디(CD) 저장 과정, 유에스비(USB) 저장 과정, 파일 저장 과정을 감시함을 특징으로 하는 기밀문서 유출 방지 방법.
11. 지원하는 모든 감시단으로부터 문서를 수집하는 문서 수집부와,

    상기 수집된 기밀문서 중에서 등록된 문서 및 등록되지 않은 문서 모두에 대해 기밀문서 여부를 인식하기 위한 기밀문서 지식을 습득하고, 상기 기밀문서 지식의 습득에 따라 단어들의 조합을 통해 상기 기밀문서의 문맥을 파악 및 상기 기밀문서가 기술하는 분야를 판정하는 언어 기반 방식 또는 미리 상기 기밀문서를 학습시켜 이진 코드 기반의 상기 기밀 문서에 대한 핑거 프린트를 확보하는 비언어 기반 방식을 이용하여 기밀문서 여부를 판정하는 제어부와,

    상기 기밀문서 지식의 습득에 따라 상기 모든 감시단에서 문서의 유출을 감시하고, 상기 제어부에서 판정된 기밀문서를 차단하는 감시 및 차단부와,

    정보 및 습득한 기밀문서 지식 및 상기 기밀문서 지식의 습득에 따라 생성된 모델에 대한 정보를 저장하는 저장부를 포함하는 것을 특징으로 하는 기밀문서 유출 방지 장치.
12. 제11항에 있어서,

    상기 제어부는 상기 기밀문서 지식의 습득에 따른 감시 대상에 저장된 파일이 모두 등록된 문서인 경우, 상기 비언어 기반의 방식을 이용하여 상기 기밀문서 여부를 판정함을 특징으로 하는 기밀문서 유출 방지 장치.
13. 제11항에 있어서,

    상기 제어부는 상기 기밀문서 지식의 습득에 따른 감시 대상에 저장된 파일이 등록되지 않은 문서인 경우, 상기 언어 기반 방식 및 상기 비언어 기반의 방식을 이용하여 상기 기밀문서 여부를 판정함을 특징으로 하는 기밀문서 유출 방지 장치.
14. 제11항에 있어서,

    상기 제어부는 상기 수집부에서 수집된 문서들을 전달받아 타입별로 분류하고, 상기 분류된 파일을 코드 변환하여 변환된 파일의 문서를 분야별로 분류하고, 상기 분야별 분류된 문서가 기밀 문서인지를 확인하고, 언어 기반 또는 비언어 기반의 방식에 따라 확인된 상기 기밀문서에 대한 모델을 생성 및 갱신하여 주기적으로 상기 각 감시단에 배포함을 특징으로 하는 기밀문서 유출 방지 장치.
15. 제14항에 있어서,

    상기 제어부는 상기 언어 기반의 방식에 따라 모델을 생성하는 경우, 상기 문서 수집부를 통해 수집된 임의의 검사 대상의 예제 문서들에서 기술하는 해당 분야의 통계 사전을 구축하고, 상기 통계 사전을 이용하여 상기 해당 분야에서 자주 쓰이는 단어들을 선별하여 단어 리스트를 생성하고, 생성된 단어 리스트에서 상기 선별된 단어가 포함된 확률에 따른 학습 모델을 생성하는 단계를 포함하는 것을 특징으로 하는 기밀문서 유출 방지 장치.
16. 제14항에 있어서,

    상기 제어부는 상기 비언어 기반의 방식에 따라 모델을 생성하는 경우, 상기 문서 수집부에서 수집된 기밀문서들을 해쉬 함수에 각각 입력하고, 상기 기밀문서들에 해당하는 해쉬 키를 반환하여 해쉬 키를 등록하고, 상기 기밀문서들의 해쉬 키를 모아서 구축한 해쉬 리스트를 갖는 핑거 프린트 모델을 생성함을 특징으로 하는 기밀문서 유출 방지 장치.
17. 제11항에 있어서,

    상기 감시 및 차단부는 상기 감시단이 네트워크 감시단인 경우, 모든 네트워크 감시단에서 모든 트래픽의 데이터 분석, 응용 트래픽 분석 및 이메일의 첨부 파일 분석을 통해 감시함을 특징으로 하는 기밀문서 유출 방지 장치.
18. 제17항에 있어서,

    상기 감시단이 상기 네트워크 감시단인 경우, 모든 네트워크 감시단의 입/출입 포인트는 게이트웨이를 구비함을 특징으로 하는 기밀문서 유출 방지 장치.
19. 제11항에 있어서,

    상기 감시 및 차단부는 상기 감시단이 데스크탑(PC) 감시단인 경우, 모든 PC에서 데이터 유출입을 감시하며, 씨디(CD) 저장 과정, 유에스비(USB) 저장 과정, 파일 저장 과정을 감시함을 특징으로 하는 기밀문서 유출 방지 장치.
20. 제19항에 있어서,

    상기 감시단이 상기 데스크 탑 감시단인 경우, 모든 데스크 탑(PC)은 보안 에이전트를 구비함을 특징으로 하는 기밀문서 유출 방지 장치.

Images