KR101255359B1

KR101255359B1 - 사용자 변경가능 파일들의 효과적인 화이트 리스팅

Info

Publication number: KR101255359B1
Application number: KR1020050086757A
Authority: KR
Inventors: 다모드하란 울라가라트차간; 미하이 코스테아; 스콧 에이. 필드
Original assignee: 마이크로소프트 코포레이션
Priority date: 2004-10-29
Filing date: 2005-09-16
Publication date: 2013-04-17
Also published as: US10043008B2; CN1766778A; EP1657662A3; US20060095971A1; JP2006127497A; US20180307836A1; KR20060051379A; JP4851150B2; US20130347115A1; CN100585534C; EP1657662A2; EP1657662B1; US10699011B2; US20060230452A1; US8544086B2

Abstract

수신된 파일이 멀웨어가 아닌지를 효과적으로 결정하기 위한 시스템 및 방법이 제공된다. 동작에 있어서, 컴퓨터 디바이스에 파일이 수신될 때, 파일이 사용자 변경가능한, 또는 피상적인, 데이터 영역들, 즉 본질에 의해 통상적으로 멀웨어를 수행하지 않거나 내장하고 있지 않은 파일의 영역을 포함하는지의 여부에 대한 평가가 이루어진다. 만일 파일이 피상적인 데이터 영역을 포함하고 있다면, 이들 피상적인 데이터 영역은 필터링되고 수신된 파일의 나머지 부분들에 기초하여 파일 서명이 생성된다. 다음으로, 파일은 공지된 멀웨어의 리스트에 대해 비교되어 파일이 멀웨어인지를 결정한다. 대안적으로, 파일은 공지된 신뢰 파일들의 리스트에 대해 비교되어, 파일이 신뢰가치가 있는지를 결정한다.

컴퓨터 소프트웨어, 컴퓨터 보안, 멀웨어, 네트워크

Description

사용자 변경가능 파일들의 효과적인 화이트 리스팅{EFFICIENT WHITE LISTING OF USER-MODIFIABLE FILES}

도 1은 안티바이러스 소프트웨어와 관련된 취약성있는 윈도우, 특히 서명 인식 방법들을 도시한 예시적인 타임라인의 블럭도.

도 2는 예시적인 사용자 변경가능 문서를 나타낸 블럭도.

도 3은 도 2의 예시적인 사용자 변경가능 문서를 도시한 블럭도로서, 파일의 임의의 세그먼트들만이 파일에 대한 서명을 개발하는데 필요하다는 것을 또한 도시한 도면.

도 4는 본 발명의 양상들을 수행하는데 적합한 예시적인 네트워크화된 환경을 도시한 도면.

도 5는 본 발명에서 이용하기에 적합한 예시적인 화이트 리스트 데이터를 도시한 블럭도.

도 6은 본 발명의 양상에 따른 신뢰성있는 파일로서 파일이 화이트 리스팅되었는지를 결정하는데 적합한 예시적인 루틴을 도시한 블럭도.

도 7은 본 발명의 양상에 따라 채택된 예시적인 서명 생성 루틴을 나타낸 블럭도.

〈도면의 주요 부분에 대한 부호의 설명〉

202 : 마크로

204 : 템플레이트

206 : 내장된 오브젝트들

206 : 적용 스타일

210, 212 ; 사용자 데이터

402, 404, 406 : 컴퓨터

408 : 화이트 리스트 서비스

410 : 화이트 리스트 데이터 저장 장치

412 : 네트워크

본 발명은 컴퓨터 소프트웨어 및 컴퓨터 보안에 관한 것으로, 특히 본 발명은 컴퓨터에서 수신된 사용자 변경가능 파일들의 효과적인 보안 화이트 리스팅에 관한 것이다.

컴퓨터, 특히 네트워크에 접속된 컴퓨터를 구동하는 불행한 현실은 컴퓨터가 지속적으로 공격하에 놓여져 있다는 것이다. 이들 공격에는 컴퓨터 바이러스, 웜스(worms), 컴퓨터 활용(즉, 합법적인 컴퓨터 서비스들을 남용하거나 오용하는 것), 애드웨어 또는 스파이웨어 등을 포함하지만 이에 국한되지 않는 다양한 형태가 있다. 이들 다양한 컴퓨터 공격들 각각에 대한 동작의 메카니즘이 상당히 구분되 고 있지만, 일반적으로, 이들은 모두 컴퓨터 상에서 일부 허용되지 않은, 통상적으로 환영받지 못한, 종종 파과적인, 행동을 수행하도록 설계되어 있다. 본 발명을 위해, 이들 공격들은 통상적으로 이하 멀웨어(malware)로서 참조될 것이다.

멀웨어가 통상적으로 컴퓨터들에 대한 현실이며, 특히 네트워크 컴퓨터들에 대한 현실이기 때문에, 컴퓨터 상에서 멀웨어가 악의있는 의도를 수행하는 것을 방지하는 다양한 도구들이 고안되고 전개되어 왔다. 이들 도구는 공격받기 쉬운 어플리케이션에 대한 방어벽(firewall), 프럭시(proxy) 및 보안 설정을 포함한다. 그러나, 멀웨어에 대해서 컴퓨터를 보호하는 가장 공통적으로 사용되는 도구는 안티바이러스 소프트웨어이다.

본 분야의 숙련된 자라면, 대부분의 안티바이러스 소프트웨어는 패턴 인식 서비스로서 동작한다는 것을 알 수 있을 것이다. 특히, 파일이 컴퓨터에 의해 수신될 때, 파일이 워드 프로세싱 문서, 이미지 등을 실행가능한지의 여부에 무관하게, 컴퓨터가 파일을 "분석"하는 것을 보호하는 안티바이러스 소프트웨어가 멀웨어로서 알려져 있는지를 결정한다. 안티바이러스 소프트웨어는 파일에 대한, 서명으로서 참조되는, 해쉬(hash) 값을 생성함으로써 파일을 "분석"한다. 이 서명은 다른 파일이 동일 서명을 갖게 되는 것이 극히 드물게 되도록 생성되기 때문에, 그 파일에 고유한 것으로 고려된다. 일단 서명이 생성되면, 서명은 일명 서명 파일내의 공지된 멀웨어의 다른 서명들에 대해 비교된다. 따라서, 파일의 생성된 서명이 서명 파일내의 공지된 멀웨어의 서명과 일치하지 않는다면, 안티바이러스 소프트웨어는 그 파일을 멀웨어라는 것을 발견하게 되고 적당한 액션을 취한다.

불행하게도, 서명 인식은 컴퓨터를 멀웨어로부터 보호하기 위해 멀웨어가 이전에 공지된(식별된) 것이기를 요구한다. 따라서, 안티바이러스 소프트웨어는 시간-제로 보호, 즉, 네트워크상에서 배포되자 마자, 또는 타임-제로시 컴퓨터를 멀웨어로부터 보호하는 것이 아니다. 대신에, 공격받기 쉬운 윈도우는 새로운, 비공지된 멀웨어가 배포되는 동안 그리고 안티바이러스 소프트웨어가 컴퓨터를 새로운 멀웨어로부터 보호할 수 있을 때에 존재한다.

도 1은 현재의 안티바이러스 소프트웨어의 서명 인식과 관련된 취약성있는 윈도우를 나타낸 예시적인 타임라인(100)의 블럭도이다. 도 1에 나타난 바와 같이, 이벤트(102)로 표시된 바와 같이, 적시에 일부 포인트에서, 악의가 있는 파티는 인터넷과 같은, 네트워크 상에 새로운, 비공지된 멀웨어를 배포한다. 명백하게, 일단 새로운, 비공지된 멀웨어가 배포되면, 네트워크에 접속된 컴퓨터들은 위험에 처하거나 공격받기 쉬운 상태에 놓여진다. 따라서, 취약성있는 윈도우가 오픈된다.

네트워크상의 새로운 멀웨어를 검출하기 위한 실제 시간은 활용가능한 통계치에 따른, 새로운 멀웨어의 독성을 포함하는 수많은 요인들에 따라 좌우되는 동안, 안티바이러스 소프트웨어 커뮤니티, 즉, 안티바이러스 소프트웨어 제공자들이 새로운 멀웨어를 검출하거나 인식하는데 4시간 내지 3일이 걸린다. 이벤트(104)로 표시된 바와 같이, 일단 검출되면, 안티바이러스 커뮤니티는 멀웨어를 식별하기 시작할 수 있다. 새로운 멀웨어에 대한 서명을 생성하는 것에 부가하여, 멀웨어를 식별하는 것은 또한 통상적으로 멀웨어의 궁극적인 영향을 조사하고/결정하고, 그 공격 모드를 결정하고, 공격에 의해 노출되는 시스템 취약점을 식별하여, 감염된 컴퓨터로부터 멀웨어를 제거하기 위한 계획을 고안해 내는 것을 포함한다.

통상적으로 대략 4시간(적어도 서명 식별의 경우) 걸리는, 멀웨어를 식별한 후에, 안티바이러스 제공자는 이벤트(106)에 의해 표시된 바와 같이, 다운로딩된 서비스에 대한 갱신된 서명 파일을 포스트할 것이다. 불행하게도, 컴퓨터들(자동적으로, 또는 사용자의 요청시)은 그들의 서명 파일들을 즉시 갱신하지 않는다. 통상적으로, 대부분의 컴퓨터들은 이벤트(108)로 표시된 바와 같이, 그들의 서명 파일들을 갱신하는데 4시간 내지 1주일이 걸린다. 물론, 안티바이러스 소프트웨어가 새로운 멀웨어로부터 컴퓨터를 방어할 수 있는 컴퓨터 상에 갱신된 서명 파일이 다운로딩된 후이며, 이로써 취약한 윈도우(110)를 클로즈한다. 실제로, 컴퓨터 사용자가 휴가중일 때와 같은, 개인적인 환경하에 따라, 최신 서명 파일들로 컴퓨터를 갱신하는 것은 1주일 이상 걸릴 수 있다.

알 수 있는 바와 같이, 새로운, 비공지된 멀웨어는 안티바이러스 소프트웨어에 의해 체크되지 않은 채로, 네트워크 커뮤니티상에서 악의있는 파괴를 수행하는데 수시간 내지 수 주 어딘가에 있다. 안티바이러스 소프트웨어는 시간-제로 보호가 아니다. 유익한 소식은 대부분의 컴퓨터들은 멀웨어가 임의의 한 컴퓨터를 공격하려고 하기 전에 보호된다는 것이다. 불행하게도, 일부는 취약성있는 윈도우 동안 노출되고, 멀웨어에 의해 감염된다. 대부분, 특히 그들의 컴퓨터들에 크게 의존하는 것들, 이 취약성있는 윈도우는 전체적으로 수용할 수 없다.

본 분야의 숙련된 자라면 서명이 파일을 고유하게 식별하도록 파일에 대한 서명을 생성하는 것이 중요하다는 것을 바로 인식할 것이다. 복잡한 알고리즘 및 수학적 처리는 파일을 긍정적으로 식별하는하며, 동시에 임의의 다른 파일을 식별하지 않는 서명을 연산적으로 생성하는 것을 포함한다. 불행하게도, 고유하게, 서명을 생성하기 위해, 사용된 알고리즘은 파일에 대해 매우 민감하다. 파일에 대한 임의의 변형은 서명 생성 알고리즘이 오리지널 파일에 대한 것과 상이한 서명을 생성하게 할 것이다. 바꾸어 말하자면, 공지된 멀웨어에 대한 간단한, 표면적인 변경은 서명 생성 알고리즘이 전체적으로 상이한 서명을 리턴되도록 할 것이다. 따라서, 공지된 멀웨어에 대한 표면적인 변경(즉, 서명 파일내의 서명에 의해 식별된 것)은 적어도 변형된 멀웨어가 인식될 때까지 변형된 멀웨어가 검출을 피할 수 있게 하기에 충분하며, 서명 파일내에 생성 및 저장된 서명도 마찬가지이다.

멀웨어의 문제점은 통상적으로 멀웨어가 종종 사용자가 변형가능한 파일들내에 내장되어 있다는 사실에 의해 혼합된다. 예를 들면, 멀웨어는 워드 프로세싱 문서내에 내장된 실행가능한 스크립트로서 변장하여 배포될 수도 있다. 이들 경우, 멀웨어 부분(즉, 내장된 스크립트)는 문서의 편집가능한 부분에 전혀 무관한다. 따라서, 워드 프로세싱 문서의 데이터 영역에 대한, 작은 또는 큰 변형들은 완전한 멀웨어 파일이 오리지널과는 상이한 서명을 배출할 수 있게 하는 반면, 내장된 악의성있는 스크립트는 영향받지 않고 유지된다. 이들 사용자 변형가능한 파일들은 워드 프로세싱 문서들, 스프레드시트, 이미지들, HTML 문서들 등을 포함하지만 이에 국한되지 않는다. 게다가, 멀웨어 생성기들은, 안티바이러스 소프트웨 어 검출을 늦춰서 대기하기 위해, 자기 변형된 멀웨어: 비검출된 안티바이러스 소프트웨어를 유지하기 위해 파일의 일부분을 랜덤하게 변형하는 문서들을 생성하기 시작했다. 다음으로, 명백하게, 수많은 경우에 있어서, 배포된 멀웨어보다 앞서서 대기하기는 매우 어려우며, 특히 멀웨어를 정지시키기 위해 공지되어야 할 때 멀웨어보다 앞서서 대기하기는 매우 어렵다.

상술한 논의의 관점에서, 필요한 것은 안티바이러스 소프트웨어와 통상적으로 관련된 취약한 윈도우를 컴퓨터가 클로즈할 수 있게 함으로써, 안티바이러스 소프트웨어 또는 다른 보안 측정을 통해 자유롭게 패스하는 멀웨어-프리 또는 신뢰된 것으로 알려진 파일들을 허용하거나 화이트 리스팅하는 시스템 및 방법이다, 또한, 필요한 것은 전체 파일 이외의 서명 정보에 기초한 화이트 리스트된 사용자 변형가능 파일들을 식별하는 능력이다. 본 발명은 종래 기술에서 발견된 이들 및 다른 문제들을 논의한다.

본 발명의 관점들에 따르면, 수신된 파일이 멀웨어인지의 여부를 식별하기 위한 컴퓨터 시스템이 제공된다. 컴퓨터 시스템은 프로세서, 통신 접속 및 메모리를 포함한다. 컴퓨터 시스템은 통신 접속에서 파일을 수신시, 수신된 파일이 사용자 변형가능 파일인지의 여부에 대해 판별이 이루어지도록 구성된다. 만일 그렇다면, 보다 영구적인 사용자 변형가능 파일의 부분들이 선택된다. 파일 서명은 보다 영구적인 수신된 파일의 선택된 부분들에 기초하여 생성된다. 수신된 파일이 생성된 파일 서명에 기초한 멀웨어인지의 여부에 대한 판별이 이루어진다.

본 발명의 다른 양상에 따르면, 수신된 파일이 멀웨어인지의 여부를 판별하기 위한, 외부 소스로부터 파일들을 수신할 수 있는 컴퓨터 디바이스상에서 수행되는 방법이 제공된다. 파일을 수신시, 파일이 피상적인 데이터 영역들을 포함하는지의 여부에 대한 판별이 이루어진다. 만일 수신된 파일이 피상적인 데이터 영역을 포함하고 있다면, 수신된 파일의 이들 피상적인 데이터 영역들을 제거한다. 파일 서명은 피상적인 데이터 영역이 아닌 수신된 파일의 나머지 부분들에 기초하여 생성된다. 수신된 파일이 생성된 파일 서명에 기초한 멀웨어인지의 여부에 대한 판별이 이루어진다.

본 발명의 또 다른 양상에 따르면, 외부 소스로부터 파일들을 수신할 수 있는 컴퓨팅 디바이스상에서 실행될 때, 수신된 파일이 멀웨어인지의 여부를 판정하기 위한 방법을 수행하는 컴퓨터 실행가능 명령들을 내장한 컴퓨터 판독가능 매체가 제공된다. 파일을 수신시, 파일이 피상적인 데이터 영역들을 포함하는지의 여부에 대한 판정이 이루어진다. 만일 수신된 파일이 피상적인 데이터 영역들을 포함한다면, 수신된 파일의 이들 피상적인 데이터 영역들은 제거된다. 파일 서명은 피상적인 데이터 영역들이 아닌 수신된 파일의 나머지 부분들에 기초하여 생성된다. 다음으로, 수신된 파일이 생성된 파일 서명에 기초한 멀웨어인지의 여부에 대한 판정이 이루어진다.

본 발명의 양상에 따르면, 전체적인 사용자 변경가능 문서에 기초하여 멀웨어 서명을 생성한다기 보다는, 한 문서의 한 부분만이 서명을 생성하기 위한 기본으로서 사용된다. 보다 구체적으로, 멀웨어 서명은 사용자 변경가능 파일의, 임의 의 보다 영구적인 부분들에 기초하여 생성된다. 보다 영구적이 되는 사용자 변경가능 문서의 부분들에 대한 멀웨어 서명을 바이어싱함으로써, 간단한 표면적인 변경을 통한 검출을 벗어나기 위한 자기-변형 멀웨어 및 멀웨어 생성기들의 능력은 완벽하게 제거되지 않는다고 할지라도, 실질적으로 감소된다.

본 분야의 숙련된 자라면 사용자 변경가능 문서가 수많은 구성요소들을 포함하며, 이들 중 일부는 다른 것보다 영구적이 될 것이라는 것을 알 수 있을 것이다. 일반적으로 본 발명이 서명에 기초한 문서의 보다 영구적인 요소들/부분들이다. 도 2는 예시적인 사용자 변경가능 문서(200)를 도시하고 사용자 변경가능 문서의 다양한 요소들을 논의하기 위한 블럭도이다.

도 2에 나타난 바와 같이, 사용자 변경가능 문서(200)는 마크로(202), 템플레이트(204), 액티브 X 및 COM과 같은 내장된 오브젝트들(206), 적용 스타일(208) 등과 타은 다양한 요소들/부분들을 포함한다. 이들 요소들 각각은 보다 영구적이며, 즉 사용자가 사용자 변경가능 문서들을 편집할 때마다 변경되지 않는다. 부가적으로, 이들은 멀웨어의 "코어(core)"를 포함하는 문서 요소들의 타입들이다. 예를 들면, 멀웨어 생성기들은 마크로 또는 액티브 X 제어의 형태로 악의성있는 설계를 구현한다. 이들은 워드 프로세싱 문서들, 스프레드시트 또는 이미지들과 같은 사용자 변경가능 파일들에 배치된다. 사용자 데이터 영역들(210, 212)과 같은, 사용자 데이터 영역들내의 임의의 정보는 그 자체로 멀웨어에 거의 또는 전혀 영향을 미지치 않지만, 종종 사용자가 의심하지 않는 사용자의 컴퓨터상에 멀웨어를 구동하고 및/또는 배포하도록 유인하는 정보를 포함한다. 따라서, 이미 언급된 바와 같이, 현재의 서명 기초 검출 시스템의 본질로 인해, 멀웨어의 변동은 문서에 대한 표면적인 변경을 통해 쉽게 생성된다.

본 논의는 용어 "사용자 변경가능" 파일을 이용할 수도 있지만, 이는 단지 설명을 위한 것이며, 본 발명에 적용가능한 파일의 한가지 타입만을 나타내고 있다는 것을 이해할 수 있어야 한다. 상술한 바와 같이, 매우 종종 어플리케이션으로서 배포된 멀웨어는 멀웨어의 기능에 영향을 미치지 않는 데이터 영역들의 변경을 포함할 것이다. 이들 데이터 영역들은 이하 피상적인 데이터 영역들로서 참조될 것이다. 사용자 변경가능 파일들은 피상적인 데이터 영역들, 즉 사용자(또는 내장된 멀웨어)가 내장된 멀웨어에 영향을 미치지 않고 변경될 수도 있는 영역들을 포함한다. 따라서, "사용자 변경가능" 파일들 또는 피상적인 데이터 영역들을 갖는 파일들은 변경이 멀웨어의 기능에 영향을 미치는 데이터 영역들(일반적으로 파일의 보다 영구적인 부분들로서 참조됨)과 변경이 멀웨어에 대해 기능적인 영향을 미치지 않는 영역들(일반적으로 사용자 변경가능 데이터 영역들 또는 피상적인 데이터 영역들로서 참조됨)을 포함하는 모든 파일들을 포함한다는 것을 알 수 있을 것이다.

도 3은 예시적인 사용자 변경가능 문서(200)을 도시한 블럭도로서, 문서들의 부분들만이 문서에 대한 서명을 생성하는데 사용되는 것을 또한 도시한 것이다. 상술한 바와 같이, 본 발명에 따르면, 파일 서명을 생성할 때, 마크로(202), 템플레이트(204), 스타일(208) 및 내장된 오브젝트(206)과 같은, 그러나 이에 국한되지 않는 사용자 변경가능 문서의 보다 영구적인 부분들이 식별되고 사용된다. 역으 로, 사용자 데이터 영역들(210, 212)와 같은, 사용자 데이터 부분들은 서명 생성 프로세스 중에 필터링된다.

상술한 바와 같이, 사용자 변경가능 파일의 보다 영구적인 양상에 대한 멀웨어 서명을 바이어싱할 때 조차도, 멀웨어 검출은 타임-제로 보호, 즉 멀웨어 파일이 배포되는 순간의 보호를 항상 제공하지 않는다. 본 발명의 양상들에 따르면, 컴퓨터 또는 네트워크에 대한 타임-제로 보호를 제공하기 위해, 멀웨어가 아니라고 신뢰하는 파일들은 일명 화이트 리스트로 식별된다. 한 파일이 컴퓨터에 도달할 때, 그러나 컴퓨터상에 활용될 수 있기 전에, 그 파일에 대한 서명이 생성되어 신뢰되는 것으로 알려진 파일들의 화이트 리스트에 대해 비교된다. 본 발명의 추가적인 양상에 따르면, 파일의 서명은, 만일 파일이 사용자 변경가능 파일이라면, 상술한 바와 같이, 그 이상의 영구적인 부분들에 기초한다. 이러한 방식으로, 사용자 변경가능 파일은 파일의 배포가 신뢰할만한 가치가 있다고 완벽하게 확신이 있는 컴퓨터들 가운데 편집되고 쉽게 배포될 수 있다. 역으로, 화이트 리스트내의 서명들에 대해 매칭될 수 없는 파일들은 신뢰할만한 가치가 없는 것으로 고려되고, 보안 대책들은 컴퓨터 및/또는 네트워크의 보호를 수행할 수 있다. 이러한 방식으로, 타임-제로 보호가 구현된다.

본 발명에 따르면, 화이트 리스트는 컴퓨터상에 또는 신뢰된 네트워크 위치에 또는 둘다에 국부적으로 저장될 수도 있다. 본 발명은 임의의 한 구성 또는 배치에 국한되지 않는다. 부가적으로, 일 실시예에 따르면, 컴퓨터는 효율 및 리던던시를 포함하는, 다양한 이유에 대한 복수의 화이트 리스트들에 따라 좌우될 수도 있다. 도 4는 복수의 컴퓨터들에 활용가능한 화이트 리스트의 하나의 예시적인 네트워크 구성(400)을 도시한 도면이다. 도 4에 나타난 바와 같이, 예시적인 네트워크 구성(400)은 컴퓨터들(402-406)과 같은 컴퓨터들로부터 요구들을 수신하여 수신된 파일이 화이트 리스트화되었는지의 여부를 식별하는 화이트 리스트 서비스(408)를 포함한다. 화이트 리스트 서비스(408)는 인터넷(412)에 접속된 웹 서버일 수도 있지만, 본 발명은 여기세 제한되지는 않는다.

화이트 리스트 서비스(408)가 엄밀하게 화이트 리스팅 서비스, 즉 화이트 리스트에 대한 파일들에 대해 정보를 제공하는 것일 수도 있지만, 대안적으로, 화이트 리스트 서비스는 화이트 리스트화된 파일들은 물론 블랙 리스트화된 파일들, 즉 공지된 멀웨어 둘다에 대해 정보를 제공할 수도 있다.

화이트 리스트 서비스(408)은 화이트 리스트 데이터 저장 장치(410)에 결합된 것으로서 도시되어 있다. 화이트 리스트 데이터 저장 장치는 신뢰할 가치가 있는 것으로서 식별되는 파일들을 포함한다. 일 실시예에서, 화이트 리스트 서비스(408) 및 화이트 리스트 데이터 저장장치(412)를 별개의 엔티티(entities)로서 식별하고 있지만, 이는 도시 및 설명을 위해 논리적인 분리를 한 것이다. 실제 실시예에서, 화이트 리스트 데이터 저장 장치 및 화이트 리스트 서비스는 단일 엔티티로서 또는 컴퓨터 상에 제공된 서비스로서 결합될 수도 있다.

일 실시예에서, 화이트 리스트 데이터 저장 장치는 화이트 리스트화된 파일들의 서명만을 포함하고 있지만, 본 발명은 여기에 국한되지 않는다. 매우 빈번하게, 다수의 파일들을 갖는 신뢰의 레벨은 파일들간에 변화한다. 예를 들면, 사용 자에 의해 생성되는 공지의 파일은 동일 사용자에 의해 높은 레벨의 신뢰를 즐기려고 할 것이다. 유사하게, 인증기관에서 인증한 디지털 서명이 수반되는, 신뢰하고 있는 파티(party)에 의해 생성된 파일은 가장 높은 레벨의 신뢰를 즐길 수도 있다. 대안적으로, 수 일 동안 일명 "샌드박스(sandbox)"로 보장되며, 멀웨어의 프로세싱 표시를 나타내지 않는 파일은 "신뢰화"될 수도 있지만, 신뢰화된 소스에 의해 디지털적으로 표시된 것보다 더 적은 정도로 신뢰될 수도 있다. 또 다른 대안은 특정 파일이 신뢰될 수 있는 사용자들로부터 포지티브 피드백 수신될 수 있다는 것이다. 그러한 파일은 그 신뢰도에 관련돤 피드백의 볼륨에 기초하여 신뢰도를 수신할 수도 있으며, 특히 스파이웨어 및 애드웨어를 식별하는 것에 관련하여 유용하다. 따라서, 본 발명의 양상에 따르면, 화이트 리스트 데이터 저장 장치는 "신뢰성있는" 파일의 파일 서명들 이상을 포함한다.

본 발명의 앞선 논의는 컴퓨터를 참조하여 이루어졌지만, 본 발명은 프로세서, 통신 접속 및 정보를 저장하기 위한 메모리를 가지고 파일 서명 생성을 수행할 수 있는 컴퓨터들을 포함하지만, 이에 국한되지 않는 대부분의 임의의 컴퓨팅 디바이스들에 대해 수행될 수도 있다는 것을 알 수 있을 것이다. 예를 들면, 적당한 컴퓨팅 디바이스는 개인용 컴퓨터, 노트북 또는 태블릿 컴퓨터, PDA(personal digital assistant), 미니컴퓨터 및 메인프레임 컴퓨터들, 하이브리드 컴퓨팅 디바이스들(예를 들면, 셀 폰/PDA 조합) 등일 수도 있다.

도 5는 화이트 리스트 데이터 저장 장치(410)에 존재할 수도 있는 예시적인 필드를 도시한 블럭도이다. 일 실시예에서, 화이트 리스트 데이터 저장 장치(410) 는 데이터 저장 장치에 파일된 각 화이트 리스트에 대한 기록을 저장할 것이며, 각 기록은 정보 저장을 위한 하나 이상의 필드들을 포함한다. 도 5에 나타난 바와 같이, 화이트 리스트 데이터 저장 장치(410)내의 각 기록은 서명 필드(502)를 포함한다. 서명 필드는 파일 서명을 저장하고, 파일 서명이든 아니든 파일의 더욱 영구적인 부분들에만 기초하여 생성되었다. 상술한 바와 같이, 특정 파일을 즐기는 신뢰도를 식별하는데 종종 유용하다. 따라서, 예시적인 기록들은 또한 신뢰 필드(504)를 포함한다. 도시된 바와 같이, 신뢰 필드는 가장 높은 신뢰를 나타내는 10과 가장 낮은 신뢰를 나타내는 1사이의 수치값을 포함한다. 그러나, 이러한 랭킹은 단지 설명을 위한 것이며, 본 발명을 제한하는 것으로서 유추되지 말아야 한다는 것을 이해할 수 있을 것이다. 또 다른 대안으로서, 신뢰 필드(504)는 또한 멀웨어를 식별하는데 사용될 수 있을 것이다. 예를 들면, 만일 파일에 0의 신뢰 레벨이 할당되었다면, 파일은 멀웨어라고 알려지도록 표시될 수 있다.

화이트 리스트 데이터 저장 장치(410)에 나타난 것 또한 부가적인 데이터 필드(506)이다. 부가적인 데이터 필드(506)는, 그 명칭 제안으로서, 화이트 리스트 파일에 관련하여 사용자에게 유용할 수도 있는 정보를 포함한다. 도 5에 나타난 바와 같이, 부가적인 데이터 필드는 파일 창시자(file originator) 또는 소스, 관찰된 행위, 멀웨어 행위의 부족 등과 같은 파일의 할당된 신뢰도 이면의 이유를 식별할 수 있다. 대부분의 임의의 적당한 정보는 부가적인 데이터 필드(506)에 저장될 수 있다. 유사하게, 대안적인 실시예에서, 임의 개수의 필드들은 화이트 리스트 데이터 저장 장치(410)에 포함될 수 있다.

도 6은 파일이 신뢰도 있는 파일로서 화이트 리스트화되었는지의 여부를 판정하기 위한 예시적인 루틴(600)을 도시한 흐름도이다. 블럭(602)에서 시작하여, 컴퓨터는 파일이 멀웨어인지 또는 화이트 리스트화되었는지의 여부를 컴퓨터가 아직 알지 못한다는 것을 의미하는, 미지/비신뢰 파일을 수신한다. 블럭(604)에서, 수신된 파일에 대해 서명이 생성된다. 파일에 대한 서명을 생성하는 것은 도 7에 관련하여 이하에 기술된다.

도 7은 본 발명의 양상들에 따른 파일 서명을 생성하기 위한 것으로, 도 6의 루틴(600)에 의해 이용하기에 적합한 예시적인 서브루틴(700)을 도시한 흐름도이다. 결정 블럭(702)에서 시작하여, 파일이 사용자 변경가능 파일인지의 여부에 대한 결정이 이루어진다. 만일 파일이 사용자 변경가능한 것이 아니라면, 블럭(704)에서, 예시적인 서브루틴(700)은 전체 파일에 기초하여 파일에 대한 서명을 생성한다. 이후, 블럭(710)에서, 예시적인 서브루틴(700)은 생성된 서명을 리턴시키고 종료한다.

만일 파일이 사용자 변경가능 파일이라면, 블럭(706)에서, 예시적인 서브루틴(700)은 파일의 사용자 변경가능 부분들을 필터링한다. 다음으로, 블럭(708)에서, 서브루틴(700)은 파일의 필터링되지 않은 부분들, 나머지에 기초하여 파일의 서명을 생성한다. 파일의 설명을 생성한 후에, 블럭(710)에서, 예시적인 서브루틴(700)은 생성된 서명을 리턴시키고 종료한다.

도 6을 다시 참조하면, 파일의 서명을 생성한 후, 블럭(606)에서, 예시적인 루틴(600)은 화이트 리스트 서비스(408)과 접속된다. 상술한 바와 같이, 화이트 리스트 서비스는 컴퓨터 상에 또는 LAN(local area network)상에 인스톨되는 로컬 서비스/파일이거나, 대안적으로 도 4에서 식별되는 것과 같은 원격 화이트 리스트 서비스일 수도 있다. 부가적으로(미도시됨), 복수의 화이트 리스트 서비스들이 있을 수도 있다. 예를 들면, 컴퓨터상에 인스톨된 화이트 리스트 서비스는 컴퓨터에 의해 자주 접하게 되는 적은 수의 파일 서명들을 포함할 수도 있다. 만일 로컬 화이트 리스트 서비스내에 서명이 발견되지 않는다면, 컴퓨터는 다수의 서명들을 포함하고 있는 네트워크 화이트 리스트 서비스로 리턴할 수도 있다. 더욱이, 만일 로컬 또는 네트워크 화이트 리스트 서비스슬 어디에서도 서명이 발견되지 않는다면, 도 4의 화이트 리스트 서비스(408)과 같은, 원격/글로벌 화이트 리스트 서비스가 참조될 수도 있다. 물론, 원격 화이트 리스트 서비스(408)는 구동 시스템 제공자로부터 도움(help) 또는 서비스 문서들과 같은 글로벌하게 이용가능한 파일들만을 포함할 것이다. 일 실시예에 따르면, 로컬 화이트 리스트 서비스는 네트워크 화이트 리스트 서비스를 인식하고, 이와 통신하며, 네트워크 화이트 리스트 서비스는 원격 화이트 리스트 서비스를 인식하고, 이와 통신하여, 로컬 화이트 리스트 서비스에 대한 단일 요구는 파일의 서명이 발견되지 않을 경우 다른 것을 연속적으로 체크하도록 되어 있다.

화이트 리스트 서비스와 접속한 후, 블럭(600)에서, 루틴(600)은 서명을 제출하고 파일에 대응하는 신뢰도를 취득한다. 결정 블럭(610)에서, 화이트 리스트 서비스가 또한 멀웨어(본 발명이 이에 국한되지 않는다고 할지라도)를 식별한다고 가정하면, 파일이 멀웨어로서 식별되었는지의 여부를 결정한다. 만일 그렇다면, 블럭(612)에서, 루틴은 설정된 절차에 따라 멀웨어를 처리한다. 멀웨어를 처리하는 것은 본 분야에 잘 알려져 있으며, 파일을 검출하고, 파일을 검역 격리하거나, 파일로부터 멀웨어를 제거하는 것과 같은 액션을 포함한다. 이후, 루틴(600)이 종료된다.

만일 파일이 화이트 리스트 서비스(408)로부터 취득된 신뢰도에 따라 멀웨어로서 식별되지 않는다면, 블럭(614)에서, 루틴(600)은 파일에 대한 신뢰도에 관련한 설정된 대책들에 따라 컴퓨터 시스템에 파일을 허용한다. 예를 들면, 만일 신뢰도가 가장 높다면, 컴퓨터 사용자는 파일이 완벽하게 신뢰가치가 있는 것으로 만족하고, 그 파일을 임의의 목적으로 시스템에 허용할 수 있다. 대안적으로, 만일 신뢰도가 상당히 낮다면, 컴퓨터 시스템은 시주기 동안 파일을 검역 격리시키고, 일명 샌드박스내에서 파일을 실행시키고, 파일을 조작하는 동안 임의의 특성인 네트워크 능력을 디세이블시키는 등과 같지만, 이에 국한되지는 않는 임의의 제약으로 시스템에 파일을 허용하도록 프로그래밍될 수도 있다. 컴퓨터 시스템에 파일을 허용한 후, 예시적인 루틴(600)이 종료된다.

상술한 루틴(600)이 2진법, 즉, 예/아니오를 포함하고 있지만, 파일이 멀웨어인지의 여부에 관련한 결정, 실제 실시예에서, 파일에 관련된 신뢰도에 따라 다수의 결정이 이루어질 수도 있다. 예를 들면, 신뢰도가 8의 값 이상인지에 대한 판정이 이루어져서, 그 레벨 또는 그 이상의 신뢰도를 갖는 임의의 파일이 자동적으로 허용되도록 할 수도 있다. 유사하게, 3 내지 7사이의 신뢰도를 갖는 파일들은 일정 주기동안 일명 샌드박스내에서 실행되도록 요구될 수도 있다. 더욱이, 3 이하의 신뢰도를 갖는 파일들은 컴퓨터 시스템에 허용되기 전에 검역 격리되어야만 한다. 따라서, 예시적인 루틴(600)은 단지 설명을 위한 것이며, 본 발명에 대한 제한으로서 해석되지 말아야 한다.

본 발명은 수신된 파일이 멀웨어가 아닌지를 효과적으로 결정하기 위한 시스템 및 방법을 제공할 수 있는 효과가 있다.

본 발명의 바람직한 실시예를 포함하는 다양한 실시예들이 도시되고 설명되었지만, 다양한 변경은 본 발명의 사상 및 범위로부터 동떨어짐없이 그 내에서 이루어질 수 있다는 것을 알 수 있을 것이다.

Claims

수신된 파일들 중에서 멀웨어(malware)를 식별하기 위한 컴퓨터 시스템으로서,

프로세서;

파일을 수신하기 위한 컴퓨터 접속; 및

메모리를 포함하며,

상기 컴퓨터 시스템은,

파일을 수신하고;

상기 파일이 사용자 변경가능 파일인지 여부를 판정하고;

상기 파일이 사용자 변경가능 파일인 경우,

상기 파일 내의 적어도 하나의 스크립트(script)를 식별하고 - 상기 적어도 하나의 스크립트는 기능적인 부분(functional portion) 및 비기능적인 부분(non-functional portion)을 포함하고, 상기 파일의 피상적인 데이터 영역(superficial data area)은 상기 비기능적인 부분을 포함하고 상기 기능적인 부분을 포함하지 않음 - ;

상기 파일의 상기 피상적인 데이터 영역을 필터링(filter out)하고;

상기 파일의 상기 피상적인 데이터 영역을 더 이상 포함하지 않도록 필터링된 파일로부터 제1 파일 서명을 생성하고;

상기 제1 파일 서명에 기초하여 상기 파일이 멀웨어인지 여부를 확인하고;

상기 파일이 사용자 변경가능 파일이 아닌 경우,

상기 파일의 전체로부터 제2 파일 서명을 생성하고; 및

상기 제2 파일 서명에 기초하여 상기 파일이 멀웨어인지 여부를 확인하는, 멀웨어 식별 컴퓨터 시스템.
제1항에 있어서, 상기 컴퓨터 시스템은 신뢰 파일들의 기록의 집합(collection of records of trusted files)을 포함하는 화이트 리스트 데이터 저장 장치를 더 포함하고, 상기 집합을 이루는 각각의 기록은 신뢰 파일의 파일 서명을 포함하고, 상기 컴퓨터 시스템은 상기 파일이 멀웨어인지 여부를 상기 제1 파일 서명 또는 상기 제2 파일 서명을 상기 화이트 리스트 데이터 저장 장치 내의 파일 서명들과 비교함으로써 확인하는, 멀웨어 식별 컴퓨터 시스템.
제2항에 있어서, 상기 화이트 리스트 데이터 저장 장치는 상기 컴퓨터 시스템에 원격(remote)이고, 상기 컴퓨터 시스템은 상기 컴퓨터 접속을 통해 상기 화이트 리스트 데이터 저장 장치에 접속하는, 멀웨어 식별 컴퓨터 시스템.
제1항에 있어서, 상기 컴퓨터 시스템은, 상기 제1 파일 서명 또는 상기 제2 파일 서명을 공지된 멀웨어의 파일 서명들과 비교함으로써 상기 파일이 멀웨어인지 여부를 확인하는, 멀웨어 식별 컴퓨터 시스템.
수신된 파일이 멀웨어인지 여부를 판정하기 위한 방법으로서, 상기 방법은 하나 이상의 컴퓨터 판독가능 기록매체에 저장되어 있는 명령어들이 하나 이상의 컴퓨터 프로세서에 의해 실행되는 컴퓨팅 환경에서 실행되고, 상기 방법은,

수신된 파일이 사용자 변경가능 파일인지 여부를 판정하는 단계와,

상기 수신된 파일이 사용자 변경가능 파일인 경우,

상기 수신된 파일 내의 적어도 하나의 스크립트(script)를 식별하는 단계 - 상기 적어도 하나의 스크립트는 기능적인 부분(functional portion) 및 비기능적인 부분(non-functional portion)을 포함하고, 상기 수신된 파일의 피상적인 데이터 영역(superficial data area)은 상기 비기능적인 부분을 포함하고 상기 기능적인 부분을 포함하지 않음 - ;

상기 수신된 파일의 상기 피상적인 데이터 영역을 필터링(filter out)하는 단계;

상기 수신된 파일의 상기 피상적인 데이터 영역을 더 이상 포함하지 않도록 필터링된 파일로부터 제1 파일 서명을 생성하는 단계;

상기 제1 파일 서명에 기초하여 상기 수신된 파일이 멀웨어인지 여부를 확인하는 단계

를 포함하고,

상기 수신된 파일이 사용자 변경가능 파일이 아닌 경우,

상기 수신된 파일의 전체로부터 제2 파일 서명을 생성하는 단계; 및

상기 제2 파일 서명에 기초하여 상기 수신된 파일이 멀웨어인지 여부를 확인하는 단계

를 포함하는, 멀웨어 여부 판정 방법.
제5항에 있어서, 상기 방법은 상기 제1 파일 서명 또는 상기 제2 파일 서명을 화이트 리스트 데이터 저장 장치 내의 파일 서명들과 비교하는 단계를 더 포함하고, 상기 화이트 리스트 데이터 저장 장치는 신뢰 파일들의 기록의 집합(collection of records of trusted files)을 포함하고, 상기 집합을 이루는 각각의 기록은 신뢰 파일의 파일 서명을 포함하는, 멀웨어 여부 판정 방법.
제6항에 있어서, 상기 화이트 리스트 데이터 저장 장치는 컴퓨팅 장치에 위치하는, 멀웨어 여부 판정 방법.
제5항에 있어서, 상기 방법은, 상기 제1 파일 서명 또는 상기 제2 파일 서명을 공지된 멀웨어의 파일 서명들과 비교하는 단계를 더 포함하는, 멀웨어 여부 판정 방법.
컴퓨터 실행가능 명령어들을 저장하는 컴퓨터 판독가능 기록매체로서, 상기 컴퓨터 실행가능 명령어들은 프로세서에 의해 실행되었을 때,

파일이 사용자 변경가능 파일인지 여부를 판정하고;

상기 파일이 사용자 변경가능 파일인 경우,

상기 파일 내의 적어도 하나의 스크립트(script)를 식별하고 - 상기 적어도 하나의 스크립트는 기능적인 부분(functional portion) 및 비기능적인 부분(non-functional portion)을 포함하고, 상기 파일의 피상적인 데이터 영역(superficial data area)은 상기 비기능적인 부분을 포함하고 상기 기능적인 부분을 포함하지 않음 - ;

상기 파일의 상기 피상적인 데이터 영역을 필터링(filter out)하고;

상기 파일의 상기 피상적인 데이터 영역을 더 이상 포함하지 않도록 필터링된 파일로부터 제1 파일 서명을 생성하고;

상기 제1 파일 서명에 기초하여 상기 파일이 멀웨어인지 여부를 확인하고;

상기 파일이 사용자 변경가능 파일이 아닌 경우,

상기 파일의 전체로부터 제2 파일 서명을 생성하고; 및

상기 제2 파일 서명에 기초하여 상기 파일이 멀웨어인지 여부를 확인하는, 컴퓨터 판독가능 기록매체.
제9항에 있어서, 상기 컴퓨터 실행가능 명령어들은, 상기 제1 파일 서명 또는 상기 제2 파일 서명을 화이트 리스트 데이터 저장 장치 내의 파일 서명들과 비교하기 위한 명령어들을 더 포함하고, 상기 화이트 리스트 데이터 저장 장치는 신뢰 파일들의 기록의 집합(collection of records of trusted files)을 포함하고, 상기 집합을 이루는 각각의 기록은 신뢰 파일의 파일 서명을 포함하는, 컴퓨터 판독가능 기록매체.
제10항에 있어서, 상기 화이트 리스트 데이터 저장 장치는 컴퓨팅 장치에 위치하는, 컴퓨터 판독가능 기록매체.
제9항에 있어서, 상기 컴퓨터 실행가능 명령어들은, 상기 제1 파일 서명 또는 상기 제2 파일 서명을 공지된 멀웨어의 파일 서명들과 비교하기 위한 명령어들을 더 포함하는, 컴퓨터 판독가능 기록매체.
제2항에 있어서, 상기 각각의 기록은 파일과 연관된 신뢰 레벨을 식별하는 신뢰 필드를 더 포함하며, 적어도 부분적으로 상기 신뢰 필드에 기초하여 상기 파일이 멀웨어인지 여부를 판정하는, 멀웨어 식별 컴퓨터 시스템.
제6항에 있어서, 상기 각각의 기록은 파일과 연관된 신뢰 레벨을 식별하는 신뢰 필드를 더 포함하며, 적어도 부분적으로 상기 신뢰 필드에 기초하여 상기 파일이 멀웨어인지 여부를 판정하는, 멀웨어 여부 판정 방법.
제10항에 있어서, 상기 각각의 기록은 파일과 연관된 신뢰 레벨을 식별하는 신뢰 필드를 더 포함하며, 적어도 부분적으로 상기 신뢰 필드에 기초하여 상기 파일이 멀웨어인지 여부를 판정하는, 컴퓨터 판독가능 기록매체.
제13항에 있어서, 상기 파일과 연관된 상기 신뢰 레벨은, 상기 파일의 신뢰도(trustworthiness)에 대하여 하나 이상의 사용자들로부터 획득된 피드백에 기초한 것인, 멀웨어 식별 컴퓨터 시스템.
제13항에 있어서, 상기 파일은 상기 파일과 연관된 상기 신뢰 레벨에 기초하여 하나 이상의 제한(constraint)을 가지면서 파일 시스템에 허용(admit)되는, 멀웨어 식별 컴퓨터 시스템.
제17항에 있어서, 상기 하나 이상의 제한은,

상기 파일 시스템에 상기 파일이 허용되기 전에 상기 파일을 일정 주기 검사하는 것;

상기 파일 시스템에 상기 파일이 허용되는 동안에 상기 파일과 연관된 특징들을 디스에이블(disable)하는 것; 및

일정 주기 동안 제한된 환경에서 상기 파일을 실행하는 것 중 적어도 하나를 포함하는, 멀웨어 식별 컴퓨터 시스템.
제1항에 있어서, 상기 피상적인 데이터 영역은 매크로(macro), 템플레이트(template), 스타일 및 임베딩된 객체(embedded object) 각각을 포함하지 않는, 멀웨어 식별 컴퓨터 시스템.
제19항에 있어서, 상기 임베딩된 객체는 액티브 엑스(Active X) 객체인, 멀웨어 식별 컴퓨터 시스템.