KR101412203B1 - 악성코드 관련 긴급검사수행장치 및 악성코드 관련 긴급검사수행장치의 동작 방법 - Google Patents

Abstract

본 발명은, 악성코드 관련 긴급검사수행장치 및 악성코드 관련 긴급검사수행장치의 동작 방법이 개시되어 있다. 본 발명의 실시예들은 클라이언트단말에서 이용하는 플랫폼에 최적화/생성된 긴급검사정보를 기초로 클라이언트단말에서 파일시스템 전체가 아니라 특정 악성코드와 관련된 특정 검사위치(파일)에 대해서만 악성 감염 여부에 대한 긴급 검사를 선 수행함으로써, 기존의 온디멘드방식 및 온엑세스방식 각각의 장점을 성취하면서도, 동일한 악성코드인 경우라도 클라이언트단말에서 이용하는 플랫폼 별로 상이한 위치에서 설치 및 악성행위를 수행한다는 점을 고려하여 검사의 효율을 증대시킬 수 있는 기술에 대한 것이다.

Description

악성코드 관련 긴급검사수행장치 및 악성코드 관련 긴급검사수행장치의 동작 방법{FAST DETECTING PERFORMANCE DEVICE FOR MALICIOUS CODE, AND FAST DETECTING PERFORMANCE METHOF FOR MALICIOUS CODE}

본 발명의 실시예들은, 동일한 악성코드인 경우라도 클라이언트단말에서 이용하는 플랫폼 별로 상이한 위치에서 설치 및 악성행위를 수행한다는 점에 기인하여, 각 플랫폼 별로 상이한 긴급검사정보를 생성하여 각 클라이언트단말이 자신이 이용하는 플랫폼의 긴급검사정보에 따라 자신이 이용하는 플랫폼에 최적화된 악성 감염 여부 긴급 검사를 선 수행하도록 함으로써, 클라이언트단말 전체를 검사하는데 비하여 검사 시간을 단축하면서 검사의 효율을 증대시킬 수 있는 기술들과 관련된다.

현재, 클라이언트단말에 대하여 악성코드 감염 여부를 검사하는 방식은, 온디멘드(On-demand)방식과 온엑세스(On-Access)방식이 존재한다.

온디멘드방식은, 사용자의 검사 요청에 따라 악성코드 감염 여부를 검사하는 방식으로, 악성코드의 활동 전에 감염 여부를 조기 발견할 수 있고 상세검사가 가능하다는 장점이 있으나 클라이언트단말의 전체를 검사할 경우 검사를 수행하는데 소요되는 검사 시간이 길다는 단점이 있다.

반면, 온엑세스방식은, 클라이언트단말에서 특정 파일이 오픈되거나 특정 파일에 Read/Write가 발생하거나 특정 파일이 종료될 때 해당 특정 파일에 대해서 악성코드 감염 여부를 검사하는 방식으로, 검사를 수행하는데 소요되는 검사 시간이 짧은 장점이 있으나 악성코드의 활동 전에 감염 여부를 발견하기 어렵다는 단점이 있다.

한편, 최근 클라이언트단말에서 탑재/이용할 수 있는 플랫폼의 종류가 매우 다양해지고 각 플랫폼의 구조가 점점 더 상이해짐에 따라, 동일한 악성코드가 클라이언트단말에 침입하더라도 해당 클라이언트단말이 이용하고 있는 플랫폼이 무엇이냐에 따라 악성코드가 설치되고 악성행위를 수행하는 위치가 상이해지고 있다.

이에 본 발명에서는, 전술의 온디멘드방식 및 온엑세스방식 각각의 장점을 성취하면서도, 동일한 악성코드인 경우라도 클라이언트단말에서 이용하는 플랫폼 별로 상이한 위치에서 설치 및 악성행위를 수행한다는 점에 기인하여 클라이언트단말에서 자신의 플랫폼에 최적화된 긴급 검사를 수행할 수 있도록 하는 방안을 제안하고자 한다.

본 발명의 실시예들은 각 플랫폼 별로 상이한 긴급검사정보를 생성하여 각 클라이언트단말이 자신이 이용하는 플랫폼의 긴급검사정보에 따라 자신이 이용하는 플랫폼에 최적화된 악성 감염 여부 긴급 검사를 선 수행하도록 함으로써, 클라이언트단말 전체를 검사하는데 비하여 검사소요시간을 단축하면서 검사의 효율을 증대시킬 수 있는 기술 방안을 제안할 수 있다.

상기 목적을 달성하기 위한 본 발명의 제 1 관점에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 클라이언트단말의 각 플랫폼 별로 상이하게 생성된 플랫폼별 긴급검사정보 중, 특정 클라이언트단말에서 이용하는 특정 플랫폼의 긴급검사정보를 확인하는 긴급검사정보확인단계; 및 기 지정된 긴급검사 수행 이벤트 발생 시, 상기 특정 플랫폼의 긴급검사정보를 기초로 상기 특정 클라이언트단말 내의 전체 검사위치 중에서 특정 악성코드와 관련된 특정 검사위치에 대해서만 악성 감염 여부를 긴급 검사하는 긴급검사수행단계를 포함한다.

상기 목적을 달성하기 위한 본 발명의 제 2 관점에 따른 악성코드 관련 긴급검사수행장치는, 클라이언트단말의 각 플랫폼 별로 상이하게 생성된 플랫폼별 긴급검사정보 중, 특정 클라이언트단말에서 이용하는 특정 플랫폼의 긴급검사정보를 확인하는 긴급검사정보확인부; 및 기 지정된 긴급검사 수행 이벤트 발생 시, 상기 특정 플랫폼의 긴급검사정보를 기초로 상기 특정 클라이언트단말 내의 전체 검사위치 중에서 특정 악성코드와 관련된 특정 검사위치에 대해서만 악성 감염 여부를 긴급 검사하는 긴급검사수행부를 포함한다.

본 발명의 실시예들은 긴급검사 수행 이벤트 발생 시 클라이언트단말에서 이용하는 플랫폼에 최적화/생성된 긴급검사정보를 기초로 클라이언트단말에서 파일시스템 전체가 아니라 특정 악성코드와 관련된 특정 검사위치(파일)에 대해서만 악성 감염 여부에 대한 긴급 검사를 선 수행함으로써, 기존의 온디멘드방식 및 온엑세스방식 각각의 장점을 성취하면서도, 동일한 악성코드인 경우라도 클라이언트단말에서 이용하는 플랫폼 별로 상이한 위치에서 설치 및 악성행위를 수행한다는 점을 고려하여 검사의 효율을 증대시킬 수 있는 효과를 갖는다.

도 1은 본 발명의 바람직한 실시예에 따른 악성코드 관련 긴급검사수행장치가 포함된 시스템의 네트워크 구성을 보여주는 예시도이다.
도 2는 본 발명의 바람직한 실시예에 따른 악성코드 관련 긴급검사수행장치의 구성을 보여주는 구성도이다.
도 3은 본 발명의 바람직한 실시예에 따른 악성코드 관련 긴급검사수행장치가 포함된 시스템의 제어 흐름을 보여주는 흐름도이다.
도 4는 본 발명의 바람직한 실시예에 따른 악성코드 관련 긴급검사수행장치의 동작 방법을 보여주는 동작 흐름도이다.

본 발명은 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시예들을 도면에 예시하고 상세한 설명에 상세하게 설명하고자 한다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다. 각 도면을 설명하면서 유사한 참조부호를 유사한 구성요소에 대해 사용하였다.

어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다.

본 출원에서 사용한 용어는 단지 특정한 실시예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 출원에서, "포함하다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.

다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가지고 있다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥 상 가지는 의미와 일치하는 의미를 가지는 것으로 해석되어야 하며, 본 출원에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.

이하, 첨부된 도면을 참조하여 본 발명의 바람직한 실시예에 대하여 설명한다.

먼저, 도 1을 참조하여 본 발명을 설명하면 다음과 같다. 여기서, 도 1은 본 발명의 바람직한 실시예에 따른 악성코드 관련 긴급검사수행장치가 포함된 시스템의 네트워크 구성을 보여주고 있다.

도 1에 도시된 바와 같이 시스템에는, 클라이언트단말(100) 및 악성코드대응서버(200)가 포함된다. 그리고, 클라이언트단말(100) 및 악성코드대응서버(200) 중 어느 하나에 본 발명에 따른 악성코드 관련 긴급검사수행장치(300)가 포함될 수 있다.

이하에서는 설명의 편의를 위해, 도 1에 도시된 바와 같이 클라이언트단말(100)에 악성코드 관련 긴급검사수행장치(300)가 포함/탑재되는 것으로 설명하도록 하겠다.

클라이언트단말(100)은, 다수의 플랫폼 중 어느 하나의 플랫폼이 설치되어 설치된 플랫폼을 기반으로 동작하게 되는 장치로서, 예컨대 컴퓨터 및 모바일단말 등을 포함할 수 있다. 여기서, 다수의 플랫폼으로는, 예컨대 윈도우 7, 윈도우 8, 리눅스 등이 있다.

악성코드대응서버(200)는, 클라이언트단말의 각 플랫폼 별로 최적화된 긴급검사정보를 생성하고 이를 관리하는 서버이다.

예컨대, 악성코드대응서버(200)는, 다양한 플랫폼이 설치된 수많은 종류의 클라이언트단말들로부터 보고되는 각 악성코드에 대한 감염정보로부터, 다수의 악성코드 각각이 어떤 플랫폼 기반의 클라이언트단말에 침입 시 클라이언트단말 내 파일시스템 중 어느 위치에 설치되고 악성코드에 의한 악성행위로 인해서 어느 위치가 조작되는지 등에 대한 정보를 파악할 수 있다.

이에, 악성코드대응서버(200)는, 이처럼 수많은 종류의 클라이언트단말들로부터의 정보에서 파악한 정보들을 DB화 함으로써, 각 플랫폼 별로 어떤 악성코드들이 어떤 위치에 설치 및/또는 어떤 위치를 조작하는지에 대한 정보 즉 검사위치정보를 포함하는 플랫폼별 긴급검사정보를 생성/관리할 수 있다.

이러한, 악성코드대응서버(200)는, 주기적으로 또는 신규 악성코드가 발견되는 경우 또는 특정 악성코드가 급격하게 확산되는 경우 등, 다양한 경우에 전술의 플랫폼별 긴급검사정보를 업데이트 생성하는 것이 바람직하다.

그리고, 악성코드대응서버(200)는, 다수의 클라이언트단말 각각으로, 플랫폼별 긴급검사정보 중에서 해당 클라이언트단말에 설치된 플랫폼에 따르는 긴급검사정보를 제공할 수 있다.

이하에서는 설명의 편의를 위해 다수의 클라이언트단말을 대표하여 클라이언트단말(100)을 언급하여 설명하도록 하겠다.

이에, 예컨대 악성코드대응서버(200)는, 클라이언트단말(100)에 대하여 기 지정된 배포주기에 도달하거나 또는 클라이언트단말(100)로부터의 요청이 수신되는 등 다양한 경우에, 전술의 플랫폼별 긴급검사정보 중에서 클라이언트단말(100)에 설치된 즉 클라이언트단말(100)에서 이용하는 특정 플랫폼의 긴급검사정보를 추출하여 클라이언트단말(100)에 제공할 수 있다.

물론, 악성코드대응서버(200)는, 클라이언트단말(100)에서 이용하는 플랫폼의 종류와 상관없이 전술의 플랫폼별 긴급검사정보를 클라이언트단말(100)에 제공하는 것도 가능할 것이다.

클라이언트단말(100)은, 다수의 플랫폼 중 특정 플랫폼(예 : 윈도우 8)을 기반으로 동작하며, 전술과 같이 본 발명에 따른 악성코드 관련 긴급검사수행장치(300)가 포함/탑재된다.

본 발명에 따른 악성코드 관련 긴급검사수행장치(300)는, 전술의 플랫폼별 긴급검사정보 중, 클라이언트단말(100)에서 이용하는 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 확인한다.

예컨대, 악성코드 관련 긴급검사수행장치(300)는, 전술과 같이 악성코드대응서버(200)로부터 제공되는 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 수신하여 저장하는 것으로서, 클라이언트단말(100)에서 이용하는 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 확인할 수 있다.

물론, 악성코드 관련 긴급검사수행장치(300)는, 악성코드대응서버(200)로부터 플랫폼별 긴급검사정보를 수신하여 저장한 경우라면, 기 저장된 플랫폼별 긴급검사정보에서 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 추출하는 것으로서, 클라이언트단말(100)에서 이용하는 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 확인할 수도 있다.

이러한 악성코드 관련 긴급검사수행장치(300)는, 기 지정된 긴급검사 수행 이벤트 발생 시, 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 기초로 클라이언트단말(100) 내의 전체 검사위치 중에서 특정 악성코드와 관련된 특정 검사위치에 대해서만 악성 감염 여부를 긴급 검사한다.

여기서, 긴급검사 수행 이벤트는, 클라이언트단말(100)의 구동이 시작되는 시점, 클라이언트단말(100)에 탑재된 악성코드 관련 긴급검사수행장치(300)의 구동이 시작되는 시점 및 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보가 업데이트되는 시점 중 적어도 하나의 시점에 발생될 수 있다.

따라서, 본 발명에 따른 악성코드 관련 긴급검사수행장치(300)는, 클라이언트단말(100)의 구동이 시작되면 즉시 또는 악성코드 관련 긴급검사수행장치(300)의 구동이 시작되면 즉시 또는 클라이언트단말(100)의 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보가 업데이트되면 즉시, 특정 플랫폼(예 : 윈도우 8)에 최적화된 긴급검사정보를 기초로 특정 플랫폼(예 : 윈도우 8)에서 활동하는 특정 악성코드(예 : 악성코드2,3)와 관련된 특정 검사위치에 대해서만 악성 감염 여부 긴급 검사를 선 수행할 수 있다.

이하에서는, 도 2를 참조하여 본 발명의 바람직한 실시예에 따른 악성코드 관련 긴급검사수행장치의 구성을 보다 구체적으로 설명하도록 한다.

더불어, 이하에서는 설명의 편의를 위해 전술의 도 1에서 설명한 바와 같이, 클라이언트단말(100)에 악성코드 관련 긴급검사수행장치가 탑재되는 경우로 설명하도록 하겠다.

본 발명에 따른 악성코드 관련 긴급검사수행장치(300)는, 클라이언트단말의 각 플랫폼 별로 상이하게 생성된 플랫폼별 긴급검사정보 중, 특정 클라이언트단말 다시 말해 악성코드 관련 긴급검사수행장치(300) 자신이 탑재된 클라이언트단말(100)에서 이용하는 특정 플랫폼의 긴급검사정보를 확인하는 긴급검사정보확인부(310)와, 기 지정된 긴급검사 수행 이벤트 발생 시, 상기 특정 플랫폼의 긴급검사정보를 기초로 클라이언트단말(100) 내의 전체 검사위치 중에서 특정 악성코드와 관련된 특정 검사위치에 대해서만 악성 감염 여부를 긴급 검사하는 긴급검사수행부(320)를 포함한다.

긴급검사정보확인부(310)는, 클라이언트단말의 각 플랫폼 별로 상이하게 생성된 플랫폼별 긴급검사정보 중, 클라이언트단말(100)에서 이용하는 특정 플랫폼의 긴급검사정보를 확인한다.

예컨대, 긴급검사정보확인부(310)는, 전술과 같이 악성코드대응서버(200)로부터 제공되는 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 수신하여 저장하는 것으로서, 클라이언트단말(100)에서 이용하는 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 확인할 수 있다.

물론, 긴급검사정보확인부(310)는, 악성코드대응서버(200)로부터 플랫폼별 긴급검사정보를 수신하여 저장한 경우라면, 기 저장된 플랫폼별 긴급검사정보에서 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 추출하는 것으로서, 클라이언트단말(100)에서 이용하는 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 확인할 수도 있다.

여기서, 플랫폼별 긴급검사정보를 보다 구체적으로 설명하면 다음과 같다.

플랫폼별 긴급검사정보는, 다양한 플랫폼이 설치된 수많은 종류의 클라이언트단말들로부터 보고되는 각 악성코드에 대한 감염정보로부터, 다수의 악성코드 각각이 어떤 플랫폼 기반의 클라이언트단말에 침입 시 클라이언트단말 내 파일시스템 중 어느 위치에 설치되고 악성코드에 의한 악성행위로 인해 어느 위치가 조작되는지 등에 대한 정보들을 파악하여 DB화한 정보이다.

즉, 플랫폼별 긴급검사정보는, 각 플랫폼 별로 어떤 악성코드들이 어떤 위치에 설치 및/또는 어떤 위치를 조작하는지에 대한 정보 즉 검사위치정보를 포함할 수 있다.

이하에서는, 플랫폼별 긴급검사정보 중에서 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 언급하여, 플랫폼별 긴급검사정보에 대하여 보다 구체적으로 설명하도록 한다.

즉, 특정 플랫폼 예컨대 윈도우 8 플랫폼의 긴급검사정보는, 다수의 악성코드 중 윈도우 8 플랫폼에서 악성행위를 실행하는 특정 악성코드에 관련하여, 윈도우 8 플랫폼을 이용하는 클라이언트단말에서 상기 특정 악성코드가 설치되는 설치위치 및 상기 특정 악성코드에 의해 조작되는 조작위치 중 적어도 하나를 포함하는 특정 검사위치에 대한 검사위치정보를 포함할 수 있다.

그리고, 플랫폼별 긴급검사정보는, 특정 플랫폼(예 : 윈도우 8) 및 특정 플랫폼(예 : 윈도우 8)과는 다른 플랫폼(예 : 윈도우 7) 모두에서 악성행위를 실행하는 동일한 악성코드에 관련하여, 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보에 포함된 검사위치정보 및 다른 플랫폼(예 : 윈도우 7)의 긴급검사정보에 포함된 검사위치정보가 서로 상이하다.

예컨대, 윈도우 7 플랫폼에서는 악성행위를 실행하지만 윈도우 8 플랫폼에서는 설치만 될 뿐 악성행위를 실행하지 않는 악성코드1이 있다면, 윈도우 8 플랫폼의 긴급검사정보에서는 악성코드1에 관련하여 검사위치정보를 포함할 필요가 없다.

이에, 윈도우 8 플랫폼의 긴급검사정보는, 다수의 악성코드 중 윈도우 8 플랫폼에서 악성행위를 실행하지 않는 악성코드는 배제하고, 악성행위를 실행하는 특정 악성코드들만 고려하면 된다.

물론, 윈도우 8 플랫폼의 긴급검사정보는, 윈도우 8 플랫폼에서 악성행위를 실행하는 악성코드 중에서도 긴급성이 요구되는 지정된 악성코드(예 : 신규 악성코드, 급격하게 확산되는 악성코드, 클라이언트단말에 심각한 장애를 일으키는 것으로 기 지정된 악성코드)만을 고려할 수도 있다.

한편, 윈도우 8 플랫폼에서도 악성행위를 실행하고 윈도우 7 플랫폼 모두에서도 악성행위를 실행하는 동일한 악성코드2가 있다면, 윈도우 8 플랫폼을 이용하는 클라이언트단말 내 파일시스템에서 악성코드2가 설치되는 설치위치 및 악성코드2에 의해 조작되는 조작위치와, 윈도우 7 플랫폼을 이용하는 클라이언트단말 내 파일시스템에서 악성코드2가 설치되는 설치위치 및 악성코드2에 의해 조작되는 조작위치가 서로 다르다. 이는 플랫폼의 구조 차이에 의해 발생되는 것이다.

이에, 동일한 하나의 악성코드2에 관련하더라도, 윈도우 8 플랫폼의 긴급검사정보에 포함된 악성코드2의 검사위치정보 및 윈도우 7 플랫폼의 긴급검사정보에 포함된 악성코드2의 검사위치정보 서로 상이하게 된다.

따라서, 전술의 플랫폼별 긴급검사정보 각각은, 다수의 악성코드 중 해당 플랫폼에서 악성행위를 실행하는 특정 악성코드만을 고려하며, 이처럼 고려하는 특정 악성코드에 관련하여 해당 플랫폼을 이용하는 클라이언트단말 내 파일시스템에서 상기 특정 악성코드가 설치되는 설치위치 및 상기 특정 악성코드에 의해 조작되는 조작위치 중 적어도 하나를 포함하는 특정 검사위치에 대한 검사위치정보를 포함하는 것이다.

이때, 검사위치정보는, 클라이언트단말 내 파일시스템에서 전술의 특정 검사위치에 해당되는 특정 파일에 대한 파일패스정보인 것이 바람직하다.

즉, 플랫폼별 긴급검사정보 각각은, 전술과 같이 해당 플랫폼에서 악성행위를 실행하는 특정 악성코드의 검사위치(설치위치 및/또는 조작위치 포함)에 대한 검사위치정보를 포함하되, 이처럼 포함하는 검사위치정보는 파일패스정보 형태를 따르게 된다.

이에 예를 들면, 윈도우 8 플랫폼에서 악성행위를 시행하는 특정 악성코드로서 악성코드2 및 악성코드3을 언급하여 설명하면, 윈도우 8 플랫폼의 긴급검사정보에는 악성코드2와 관련된 검사위치정보로서 설치위치인 파일패스정보2A(예 : C:\AAA\BBB\ABC.exe)와 조작위치인 파일패스정보2B(예 : C:\AAA\BBB\BCD.adp), 악성코드3과 관련된 검사위치정보로서 설치위치인 파일패스정보3A(예 : D:\CCC\EEE\CDE.dll)와 조작위치인 파일패스정보3B(예 : D:\CCC\EEE\DEF.adp)가 포함될 수 있다.

긴급검사수행부(320)는, 기 지정된 긴급검사 수행 이벤트 발생 시, 상기 특정 플랫폼의 긴급검사정보를 기초로 클라이언트단말(100) 내의 전체 검사위치 중에서 특정 악성코드와 관련된 특정 검사위치에 대해서만 악성 감염 여부를 긴급 검사한다.

여기서, 긴급검사 수행 이벤트는, 클라이언트단말(100)의 구동이 시작되는 시점, 클라이언트단말(100)에 탑재된 악성코드 관련 긴급검사수행장치(300)의 구동이 시작되는 시점 및 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보가 업데이트되는 시점 중 적어도 하나의 시점에 발생될 수 있다.

이에, 긴급검사수행부(320)는, 클라이언트단말(100)의 구동이 시작되면 즉시 또는 악성코드 관련 긴급검사수행장치(300)의 구동이 시작되면 즉시 또는 클라이언트단말(100)의 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보가 업데이트되면, 클라이언트단말(100) 내의 전체 검사위치 즉 클라이언트단말(100) 내의 파일시스템 전체에 대해서 악성 감염 여부를 검사하는 것이 아니라, 클라이언트단말(100) 내의 파일시스템 중에서 특정 플랫폼 예컨대 윈도우 8 플랫폼의 긴급검사정보의 검사위치정보에 따라서, 특정 악성코드(예 : 악성코드2,3)와 관련된 특정 검사위치, 예컨대 전술의 파일패스정보2A(예 : C:\AAA\BBB\ABC.exe), 파일패스정보2B(예 : C:\AAA\BBB\BCD.adp), 파일패스정보3A(예 : D:\CCC\EEE\CDE.dll), 파일패스정보3B(예 : D:\CCC\EEE\DEF.adp)에 대해서만 악성 감염 여부를 긴급 검사할 수 있다.

여기서, 긴급검사수행부(320)는, 특정 악성코드와 관련된 상기 특정 검사위치에 대해서 긴급 검사를 수행할 때, 상기 특정 검사위치에 따라서 상이한 긴급 검사를 수행하는 것이 바람직하다.

즉, 긴급검사수행부(320)는, 클라이언트단말(100) 내의 파일시스템 중에서 윈도우 8 플랫폼의 긴급검사정보의 검사위치정보에 따라서 특정 악성코드(예 : 악성코드2,3)와 관련된 특정 검사위치에 대해서만 긴급 검사를 수행함에 있어서, 특정 검사위치에 따라서 예컨대 검사위치에 해당되는 파일패스정보의 확장자 종류에 따라서 상이한 긴급 검사를 수행할 수 있는 것이다.

이를 보다 구체적으로 설명하면, 긴급검사수행부(320)는, 윈도우 8 플랫폼의 긴급검사정보 내 검사위치정보를 기초로 확인되는 특정 검사위치에 해당되는 특정 파일에 대한 파일패스정보의 확장자가, 특정 악성코드에 의해 생성되는 파일인 것으로 식별되는 특정 확장자인지 여부를 확인한다.

여기서, 특정 악성코드에 의해 생성되는 파일인 것으로 식별되는 특정 확장자는, 긴급검사정보 생성 시에 지정되는 정보로서, 예컨대 adp 와 같이 악성코드가 클라이언트단말 내의 파일시스템으로부터 읽어들인 정보를 저장하는 악성행위에 의해 생성된 파일의 파일확장자 등일 수 있다.

이에, 예를 들면, 긴급검사수행부(320)는, 윈도우 8 플랫폼의 긴급검사정보로부터 전술의 악성코드2의 검사위치정보, 악성코드3의 검사위치정보를 확인하여, 악성코드2의 검사위치에 해당되는 파일에 대한 파일패스정보2A,2B의 확장자 및 악성코드3의 검사위치에 해당되는 파일에 대한 파일패스정보3A,3B의 확장자가 특정 확장자(예 : adp 등)인지 여부를 확인한다.

그리고, 긴급검사수행부(320)는, 확인 결과 특정 확장자(예 : adp 등)인 것으로 확인되면, 클라이언트단말(100)에서 특정 확장자(예 : adp 등)인 것으로 확인된 특정 파일의 발견 시 삭제하도록 하는 긴급 검사를 수행할 수 있다.

이에, 예를 들어 긴급검사수행부(320)는, 전술과 같이 긴급검사 수행 이벤트 발생 시, 윈도우 8 플랫폼의 긴급검사정보의 검사위치정보에 따라서 특정 악성코드(예 : 악성코드2,3)와 관련된 검사위치, 예컨대 전술의 파일패스정보2A(예 : C:\AAA\BBB\ABC.exe), 파일패스정보2B(예 : C:\AAA\BBB\BCD.adp), 파일패스정보3A(예 : D:\CCC\EEE\CDE.dll), 파일패스정보3B(예 : D:\CCC\EEE\DEF.adp)에 대해서만 악성 감염 여부를 긴급 검사할 때, 특정 확장자(예 : adp 등)인 악성코드2의 파일패스정보2B와 악성코드3의 파일패스정보3B에 대해서는 클라이언트단말(100)에서 파일패스정보2B 및 파일패스정보3B에 해당하는 파일의 발견 시 삭제하도록 하는 긴급 검사를 수행할 수 있다.

한편, 긴급검사수행부(320)는, 확인 결과 특정 확장자(예 : adp 등)가 아니 것으로 확인되면, 클라이언트단말(100)에서 특정 확장자(예 : adp 등)가 아닌 것으로 확인된 특정 파일의 발견 시 특정 파일에 대하여 해당 악성코드와 관련하여 기 지정된 진단 및 치료절차를 수행하도록 하는 긴급 검사를 수행할 수 있다.

이에, 예를 들어 긴급검사수행부(320)는, 전술과 같이 긴급검사 수행 이벤트 발생 시, 윈도우 8 플랫폼의 긴급검사정보의 검사위치정보에 따라서 특정 악성코드(예 : 악성코드2,3)와 관련된 검사위치, 예컨대 전술의 파일패스정보2A(예 : C:\AAA\BBB\ABC.exe), 파일패스정보2B(예 : C:\AAA\BBB\BCD.adp), 파일패스정보3A(예 : D:\CCC\EEE\CDE.dll), 파일패스정보3B(예 : D:\CCC\EEE\DEF.adp)에 대해서만 악성 감염 여부를 긴급 검사할 때, 특정 확장자(예 : adp 등)가 아닌 악성코드2의 파일패스정보2A와 악성코드3의 파일패스정보3A에 대해서는 클라이언트단말(100)에서 파일패스정보2A 및 파일패스정보3a에 해당하는 파일의 발견 시 해당 파일에 대하여 해당 악성코드2,3 각각과 관련하여 기 지정된 진단 및 치료절차를 수행하도록 하는 긴급 검사를 수행할 수 있다.

예컨대, 긴급검사수행부(320)는, 클라이언트단말(100)에서 파일패스정보2A 및 파일패스정보3a에 해당하는 파일의 발견 시, 악성 감염 여부에 대한 상세검사가 가능한 진단 및 치료부(130)와 연동하여 진단 및 치료부(130)가 해당 파일에 대하여 해당 악성코드2,3 각각과 관련하여 기 지정된 진단 및 치료절차를 수행하도록 할 수도 있다.

여기서, 진단 및 치료부(130)는, 예를 들어 클라이언트단말(100)에 기 탑재된 기존의 일반검사방식(예 : 온디멘드방식, 온엑세스방식 등)에 따라서 악성 감염여부를 진단 및 치료할 수 있는 엔진일 수 있으며, 물론, 긴급검사수행부(320)와 진단 및 치료부(130)가 하나의 기능부로서 구성되는 것도 가능할 것이다.

여기서, 기 지정된 진단 및 치료절차란, 악성코드 시그니처를 이용하여 악성 감염 여부를 진단하고 감염이 진단되면 기 지정된 절차에 따라 치료를 수행하는 기존의 다양한 방식들 중 어느 하나를 채택하여 이루어질 수 있다.

전술과 같이 본 발명에 따른 악성코드 관련 긴급검사수행장치(300)는, 전술과 같이 긴급검사 수행 이벤트 발생 시, 클라이언트단말(100) 내의 전체 검사위치 즉 클라이언트단말(100) 내의 파일시스템 전체에 대해서 악성 감염 여부를 검사하는 것이 아니라, 클라이언트단말(100)의 플랫폼(예 : 윈도우 8)에 최적화된 긴급검사정보를 기초로 윈도우 8 플랫폼에서 활동하는 특정 악성코드(예 : 악성코드2,3)와 관련된 특정 검사위치에 대해서만 긴급 검사를 선 수행할 수 있다.

한편, 전술에서는 본 발명의 악성코드 관련 긴급검사수행장치가 클라이언트단말(100)에 포함되는 구성으로 설명하고 있으나, 이는 일 실시예일 뿐이다.

예컨대, 본 발명의 악성코드 관련 긴급검사수행장치가 악성코드대응서버(200)에 포함되고, 전술의 긴급검사 수행 이벤트 발생 시에 클라이언트단말(100) 및 악성코드대응서버(200)가 통신을 개시함으로써 악성코드대응서버(200)에 포함된 악성코드 관련 긴급검사수행장치에 의해 전술의 악성 감염 여부에 대한 긴급검사가 수행되는 것도 가능할 것이다.

이상에서 설명한 바와 같이 본 발명에 따른 악성코드 관련 긴급검사수행장치는, 긴급검사 수행 이벤트 발생 시 클라이언트단말에서 이용하는 플랫폼에 최적화/생성된 긴급검사정보를 기초로 클라이언트단말에서 파일시스템 전체가 아니라 특정 악성코드와 관련된 특정 검사위치(파일)에 대해서만 악성 감염 여부에 대한 긴급 검사를 선 수행함으로써, 클라이언트단말 전체를 검사하는데 비하여 검사 시간을 단축하면서 악성코드에 대한 조기 검사가 가능해져 기존의 온디멘드방식 및 온엑세스방식 각각의 장점을 성취하면서도, 동일한 악성코드인 경우라도 클라이언트단말에서 이용하는 플랫폼 별로 상이한 위치에서 설치 및 악성행위를 수행한다는 점을 고려하여 검사의 효율을 증대시킬 수 있는 효과를 갖는다.

이하에서는, 도 3 및 도 4를 참조하여 본 발명의 바람직한 실시예에 따른 악성코드 관련 긴급검사수행장치의 동작 방법을 보다 구체적으로 설명하도록 한다. 여기서, 설명의 편의를 위해 전술한 도 1 및 도 2에 도시된 구성은 해당 참조번호를 언급하여 설명하겠다.

먼저 도 3을 참조하여 본 발명에 따른 악성코드 관련 긴급검사수행장치가 포함된 시스템의 제어 흐름을 설명하도록 한다. 이에 앞서 이하에서는 설명의 편의를 위해, 도 1에 도시된 바와 같이 클라이언트단말(100)에 악성코드 관련 긴급검사수행장치가 포함/탑재되는 것으로 설명하도록 하겠다.

악성코드대응서버(200)는, 클라이언트단말의 각 플랫폼 별로 최적화된 긴급검사정보를 생성하여 관리한다(S10).

이러한 악성코드대응서버(200)는, 다수의 클라이언트단말 각각으로, 플랫폼별 긴급검사정보 중에서 해당 클라이언트단말에 설치된 플랫폼에 따르는 긴급검사정보를 제공할 수 있다. 이하에서는 설명의 편의를 위해 다수의 클라이언트단말을 대표하여 클라이언트단말(100)을 언급하여 설명하도록 하겠다.

이에, 예컨대 악성코드대응서버(200)는, 클라이언트단말(100)에 대하여 기 지정된 배포주기에 도달하거나 또는 클라이언트단말(100)로부터의 요청이 수신되는 등 다양한 경우에, 전술의 플랫폼별 긴급검사정보 중에서 클라이언트단말(100)에 설치된 즉 클라이언트단말(100)에서 이용하는 특정 플랫폼의 긴급검사정보를 추출하여 클라이언트단말(100)에 제공할 수 있다(S20).

클라이언트단말(100)은, 다수의 플랫폼 중 특정 플랫폼(예 : 윈도우 8)을 기반으로 동작하며, 전술과 같이 본 발명에 따른 악성코드 관련 긴급검사수행장치(300)가 포함/탑재된다.

이러한 클라이언트단말(100)에서 본 발명에 따른 악성코드 관련 긴급검사수행장치는, 전술의 플랫폼별 긴급검사정보 중, 클라이언트단말(100)에서 이용하는 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 확인한다(S30).

예컨대, 악성코드 관련 긴급검사수행장치는, 전술과 같이 악성코드대응서버(200)로부터 제공되는 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 수신하여 저장하는 것으로서, 클라이언트단말(100)에서 이용하는 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 확인할 수 있다.

클라이언트단말(100)에서 본 발명에 따른 악성코드 관련 긴급검사수행장치는, 기 지정된 긴급검사 수행 이벤트 발생 시(S40), 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 기초로 클라이언트단말(100) 내의 전체 검사위치 중에서 특정 악성코드와 관련된 특정 검사위치에 대해서만 악성 감염 여부를 긴급 검사한다(S50).

여기서, 긴급검사 수행 이벤트는, 클라이언트단말(100)의 구동이 시작되는 시점, 클라이언트단말(100)에 탑재된 악성코드 관련 긴급검사수행장치(300)의 구동이 시작되는 시점 및 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보가 업데이트되는 시점 중 적어도 하나의 시점에 발생될 수 있다.

따라서, 클라이언트단말(100)에서 본 발명에 따른 악성코드 관련 긴급검사수행장치는, 클라이언트단말(100)의 구동이 시작되면 즉시 또는 악성코드 관련 긴급검사수행장치(300)의 구동이 시작되면 즉시 또는 클라이언트단말(100)의 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보가 업데이트되면 즉시, 특정 플랫폼(예 : 윈도우 8)에 최적화된 긴급검사정보를 기초로 특정 플랫폼(예 : 윈도우 8)에서 활동하는 특정 악성코드(예 : 악성코드2,3)와 관련된 특정 검사위치에 대해서만 악성 감염 여부 긴급 검사를 선 수행할 수 있다.

이하에서는 도 4를 참조하여 본 발명의 바람직한 실시예에 따른 악성코드 관련 긴급검사수행장치의 동작 방법을 구체적으로 설명하도록 한다.

본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 클라이언트단말의 각 플랫폼 별로 상이하게 생성된 플랫폼별 긴급검사정보 중, 클라이언트단말(100)에서 이용하는 특정 플랫폼의 긴급검사정보를 확인한다(S110).

예컨대, 본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 전술과 같이 악성코드대응서버(200)로부터 제공되는 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 수신하여 저장하는 것으로서, 클라이언트단말(100)에서 이용하는 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 확인할 수 있다.

물론, 본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 악성코드대응서버(200)로부터 플랫폼별 긴급검사정보를 수신하여 저장한 경우라면, 기 저장된 플랫폼별 긴급검사정보에서 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 추출하는 것으로서, 클라이언트단말(100)에서 이용하는 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 확인할 수도 있다.

여기서, 플랫폼별 긴급검사정보를 보다 구체적으로 설명하면 다음과 같다.

플랫폼별 긴급검사정보는, 다양한 플랫폼이 설치된 수많은 종류의 클라이언트단말들로부터 보고되는 각 악성코드에 대한 감염정보로부터, 다수의 악성코드 각각이 어떤 플랫폼 기반의 클라이언트단말에 침입 시 클라이언트단말 내 파일시스템 중 어느 위치에 설치되고 악성코드에 의한 악성행위로 인해 어느 위치가 조작되는지 등에 대한 정보들을 파악하여 DB화한 정보이다.

즉, 플랫폼별 긴급검사정보는, 각 플랫폼 별로 어떤 악성코드들이 어떤 위치에 설치 및/또는 어떤 위치를 조작하는지에 대한 정보 즉 검사위치정보를 포함할 수 있다.

이하에서는, 플랫폼별 긴급검사정보 중에서 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보를 언급하여, 플랫폼별 긴급검사정보에 대하여 보다 구체적으로 설명하도록 한다.

즉, 특정 플랫폼 예컨대 윈도우 8 플랫폼의 긴급검사정보는, 다수의 악성코드 중 윈도우 8 플랫폼에서 악성행위를 실행하는 특정 악성코드에 관련하여, 윈도우 8 플랫폼을 이용하는 클라이언트단말에서 상기 특정 악성코드가 설치되는 설치위치 및 상기 특정 악성코드에 의해 조작되는 조작위치 중 적어도 하나를 포함하는 특정 검사위치에 대한 검사위치정보를 포함할 수 있다.

그리고, 플랫폼별 긴급검사정보는, 특정 플랫폼(예 : 윈도우 8) 및 특정 플랫폼(예 : 윈도우 8)과는 다른 플랫폼(예 : 윈도우 7) 모두에서 악성행위를 실행하는 동일한 악성코드에 관련하여, 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보에 포함된 검사위치정보 및 다른 플랫폼(예 : 윈도우 7)의 긴급검사정보에 포함된 검사위치정보가 서로 상이하다.

예컨대, 윈도우 7 플랫폼에서는 악성행위를 실행하지만 윈도우 8 플랫폼에서는 설치만 될 뿐 악성행위를 실행하지 않는 악성코드1이 있다면, 윈도우 8 플랫폼의 긴급검사정보에서는 악성코드1에 관련하여 검사위치정보를 포함할 필요가 없다.

이에, 윈도우 8 플랫폼의 긴급검사정보는, 다수의 악성코드 중 윈도우 8 플랫폼에서 악성행위를 실행하지 않는 악성코드는 배제하고, 악성행위를 실행하는 특정 악성코드들만 고려하면 된다.

물론, 윈도우 8 플랫폼의 긴급검사정보는, 윈도우 8 플랫폼에서 악성행위를 실행하는 악성코드 중에서도 긴급성이 요구되는 지정된 악성코드(예 : 신규 악성코드, 급격하게 확산되는 악성코드, 클라이언트단말에 심각한 장애를 일으키는 것으로 기 지정된 악성코드)만을 고려할 수도 있다.

한편, 윈도우 8 플랫폼에서도 악성행위를 실행하고 윈도우 7 플랫폼 모두에서도 악성행위를 실행하는 동일한 악성코드2가 있다면, 윈도우 8 플랫폼을 이용하는 클라이언트단말 내 파일시스템에서 악성코드2가 설치되는 설치위치 및 악성코드2에 의해 조작되는 조작위치와, 윈도우 7 플랫폼을 이용하는 클라이언트단말 내 파일시스템에서 악성코드2가 설치되는 설치위치 및 악성코드2에 의해 조작되는 조작위치가 서로 다르다. 이는 플랫폼의 구조 차이에 의해 발생되는 것이다.

이에, 동일한 하나의 악성코드2에 관련하더라도, 윈도우 8 플랫폼의 긴급검사정보에 포함된 악성코드2의 검사위치정보 및 윈도우 7 플랫폼의 긴급검사정보에 포함된 악성코드2의 검사위치정보 서로 상이하게 된다.

따라서, 전술의 플랫폼별 긴급검사정보 각각은, 다수의 악성코드 중 해당 플랫폼에서 악성행위를 실행하는 특정 악성코드만을 고려하며, 이처럼 고려하는 특정 악성코드에 관련하여 해당 플랫폼을 이용하는 클라이언트단말 내 파일시스템에서 상기 특정 악성코드가 설치되는 설치위치 및 상기 특정 악성코드에 의해 조작되는 조작위치 중 적어도 하나를 포함하는 특정 검사위치에 대한 검사위치정보를 포함하는 것이다.

이때, 검사위치정보는, 클라이언트단말 내 파일시스템에서 전술의 특정 검사위치에 해당되는 특정 파일에 대한 파일패스정보인 것이 바람직하다.

즉, 플랫폼별 긴급검사정보 각각은, 전술과 같이 해당 플랫폼에서 악성행위를 실행하는 특정 악성코드의 검사위치(설치위치 및/또는 조작위치 포함)에 대한 검사위치정보를 포함하되, 이처럼 포함하는 검사위치정보는 파일패스정보 형태를 따르게 된다.

이에 예를 들면, 윈도우 8 플랫폼에서 악성행위를 시행하는 특정 악성코드로서 악성코드2 및 악성코드3을 언급하여 설명하면, 윈도우 8 플랫폼의 긴급검사정보에는 악성코드2와 관련된 검사위치정보로서 설치위치인 파일패스정보2A(예 : C:\AAA\BBB\ABC.exe)와 조작위치인 파일패스정보2B(예 : C:\AAA\BBB\BCD.adp), 악성코드3과 관련된 검사위치정보로서 설치위치인 파일패스정보3A(예 : D:\CCC\EEE\CDE.dll)와 조작위치인 파일패스정보3B(예 : D:\CCC\EEE\DEF.adp)가 포함될 수 있다.

본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 기 지정된 긴급검사 수행 이벤트 발생 시(S110 Yes), 상기 특정 플랫폼의 긴급검사정보를 기초로 클라이언트단말(100) 내의 전체 검사위치 중에서 특정 악성코드와 관련된 특정 검사위치에 대해서만 악성 감염 여부를 긴급 검사한다(S120,S130).

즉, 본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 클라이언트단말(100)의 구동이 시작되면 즉시 또는 악성코드 관련 긴급검사수행장치(300)의 구동이 시작되면 즉시 또는 클라이언트단말(100)의 특정 플랫폼(예 : 윈도우 8)의 긴급검사정보가 업데이트되면, 클라이언트단말(100) 내의 전체 검사위치 즉 클라이언트단말(100) 내의 파일시스템 전체에 대해서 악성 감염 여부를 검사하는 것이 아니라, 클라이언트단말(100) 내의 파일시스템 중에서 특정 플랫폼 예컨대 윈도우 8 플랫폼의 긴급검사정보의 검사위치정보에 따라서, 특정 악성코드(예 : 악성코드2,3)와 관련된 특정 검사위치, 예컨대 전술의 파일패스정보2A(예 : C:\AAA\BBB\ABC.exe), 파일패스정보2B(예 : C:\AAA\BBB\BCD.adp), 파일패스정보3A(예 : D:\CCC\EEE\CDE.dll), 파일패스정보3B(예 : D:\CCC\EEE\DEF.adp)에 대해서만 악성 감염 여부를 긴급 검사할 수 있다.

여기서, 본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 특정 악성코드와 관련된 상기 특정 검사위치에 대해서 긴급 검사를 수행할 때, 상기 특정 검사위치에 따라서 상이한 긴급 검사를 수행하는 것이 바람직하다.

즉, 본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 클라이언트단말(100) 내의 파일시스템 중에서 윈도우 8 플랫폼의 긴급검사정보의 검사위치정보에 따라서 특정 악성코드(예 : 악성코드2,3)와 관련된 특정 검사위치에 대해서만 긴급 검사를 수행함에 있어서, 특정 검사위치에 따라서 예컨대 검사위치에 해당되는 파일패스정보의 확장자 종류에 따라서 상이한 긴급 검사를 수행할 수 있는 것이다.

이를 보다 구체적으로 설명하면, 본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 윈도우 8 플랫폼의 긴급검사정보 내 검사위치정보를 기초로 확인되는 특정 검사위치에 해당되는 특정 파일에 대한 파일패스정보의 확장자가, 특정 악성코드에 의해 생성되는 파일인 것으로 식별되는 특정 확장자인지 여부를 확인한다(S120).

여기서, 특정 악성코드에 의해 생성되는 파일인 것으로 식별되는 특정 확장자는, 긴급검사정보 생성 시에 지정되는 정보로서, 예컨대 adp 와 같이 악성코드가 클라이언트단말 내의 파일시스템으로부터 읽어들인 정보를 저장하는 악성행위에 의해 생성된 파일의 파일확장자 등일 수 있다.

이에, 예를 들면, 본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 윈도우 8 플랫폼의 긴급검사정보로부터 전술의 악성코드2의 검사위치정보, 악성코드3의 검사위치정보를 확인하여, 악성코드2의 검사위치에 해당되는 파일에 대한 파일패스정보2A,2B의 확장자 및 악성코드3의 검사위치에 해당되는 파일에 대한 파일패스정보3A,3B의 확장자가 특정 확장자(예 : adp 등)인지 여부를 확인한다.

그리고, 본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 확인 결과 특정 확장자(예 : adp 등)인 것으로 확인되면, 클라이언트단말(100)에서 특정 확장자(예 : adp 등)인 것으로 확인된 특정 파일의 발견 시 삭제하도록 하는 긴급 검사를 수행할 수 있다(S130 ①).

이에, 예를 들어 본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 전술과 같이 긴급검사 수행 이벤트 발생 시, 윈도우 8 플랫폼의 긴급검사정보의 검사위치정보에 따라서 특정 악성코드(예 : 악성코드2,3)와 관련된 검사위치, 예컨대 전술의 파일패스정보2A(예 : C:\AAA\BBB\ABC.exe), 파일패스정보2B(예 : C:\AAA\BBB\BCD.adp), 파일패스정보3A(예 : D:\CCC\EEE\CDE.dll), 파일패스정보3B(예 : D:\CCC\EEE\DEF.adp)에 대해서만 악성 감염 여부를 긴급 검사할 때, 특정 확장자(예 : adp 등)인 악성코드2의 파일패스정보2B와 악성코드3의 파일패스정보3B에 대해서는 클라이언트단말(100)에서 파일패스정보2B 및 파일패스정보3B에 해당하는 파일의 발견 시 삭제하도록 하는 긴급 검사를 수행할 수 있다(S130 ①).

한편, 본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 확인 결과 특정 확장자(예 : adp 등)가 아니 것으로 확인되면, 클라이언트단말(100)에서 특정 확장자(예 : adp 등)가 아닌 것으로 확인된 특정 파일의 발견 시 특정 파일에 대하여 해당 악성코드와 관련하여 기 지정된 진단 및 치료절차를 수행하도록 하는 긴급 검사를 수행할 수 있다(S130 ②).

이에, 예를 들어 본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 전술과 같이 긴급검사 수행 이벤트 발생 시, 윈도우 8 플랫폼의 긴급검사정보의 검사위치정보에 따라서 특정 악성코드(예 : 악성코드2,3)와 관련된 검사위치, 예컨대 전술의 파일패스정보2A(예 : C:\AAA\BBB\ABC.exe), 파일패스정보2B(예 : C:\AAA\BBB\BCD.adp), 파일패스정보3A(예 : D:\CCC\EEE\CDE.dll), 파일패스정보3B(예 : D:\CCC\EEE\DEF.adp)에 대해서만 악성 감염 여부를 긴급 검사할 때, 특정 확장자(예 : adp 등)가 아닌 악성코드2의 파일패스정보2A와 악성코드3의 파일패스정보3A에 대해서는 클라이언트단말(100)에서 파일패스정보2A 및 파일패스정보3a에 해당하는 파일의 발견 시 해당 파일에 대하여 해당 악성코드2,3 각각과 관련하여 기 지정된 진단 및 치료절차를 수행하도록 하는 긴급 검사를 수행할 수 있다(S130 ②).

예컨대, 본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 클라이언트단말(100)에서 파일패스정보2A 및 파일패스정보3a에 해당하는 파일의 발견 시, 악성 감염 여부에 대한 상세검사가 가능한 진단 및 치료부(130)와 연동하여 진단 및 치료부(130)가 해당 파일에 대하여 해당 악성코드2,3 각각과 관련하여 기 지정된 진단 및 치료절차를 수행하도록 할 수도 있다.

전술과 같이 본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 전술과 같이 긴급검사 수행 이벤트 발생 시, 클라이언트단말(100) 내의 전체 검사위치 즉 클라이언트단말(100) 내의 파일시스템 전체에 대해서 악성 감염 여부를 검사하는 것이 아니라, 클라이언트단말(100)의 플랫폼(예 : 윈도우 8)에 최적화된 긴급검사정보를 기초로 윈도우 8 플랫폼에서 활동하는 특정 악성코드(예 : 악성코드2,3)와 관련된 특정 검사위치에 대해서만 긴급 검사를 선 수행할 수 있다.

여기서, 진단 및 치료부(130)는 예를 들어 클라이언트단말(100)에 기 탑재된 기존의 일반검사방식(예 : 온디멘드방식, 온엑세스방식 등)에 따라서 악성 감염여부를 진단 및 치료할 수 있는 엔진일 수 있으며, 본 발명에 따른 악성코드 관련 긴급검사수행장치에 진단 및 치료부(130)가 포함되도록 구성되는 것도 가능할 것이다.

이 경우라면, 본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 전술과 같이 긴급검사 수행 이벤트 발생 시 긴급 검사를 선 수행한 후, 일반검사이벤트가 발생되는지 여부를 판단하고(S140), 일반검사이벤트가 발생하면 해당되는 일반검사 예컨대 온디멘드방식의 검사 및/또는 온엑세스방식의 검사를 수행할 수 있다(S150).

그리고, 본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 클라이언트단말(100)의 구동이 오프되지 않는 동안(S160 No), 전술의 긴급검사 및/또는 일반검사를 반복 수행할 수 있다.

이상에서 설명한 바와 같이 본 발명에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은, 긴급검사 수행 이벤트 발생 시 클라이언트단말에서 이용하는 플랫폼에 최적화/생성된 긴급검사정보를 기초로 클라이언트단말에서 파일시스템 전체가 아니라 특정 악성코드와 관련된 특정 검사위치(파일)에 대해서만 악성 감염 여부에 대한 긴급 검사를 선 수행함으로써, 기존의 온디멘드방식 및 온엑세스방식 각각의 장점을 성취하면서도, 동일한 악성코드인 경우라도 클라이언트단말에서 이용하는 플랫폼 별로 상이한 위치에서 설치 및 악성행위를 수행한다는 점을 고려하여 검사의 효율을 증대시킬 수 있는 효과를 갖는다.

본 발명의 일실시예에 따른 악성코드 관련 긴급검사수행장치의 동작 방법은 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 상기 매체에 기록되는 프로그램 명령은 본 발명을 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다. 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다. 상기된 하드웨어 장치는 본 발명의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.

이상과 같이 본 발명에서는 구체적인 구성 요소 등과 같은 특정 사항들과 한정된 실시예 및 도면에 의해 설명되었으나 이는 본 발명의 보다 전반적인 이해를 돕기 위해서 제공된 것일 뿐, 본 발명은 상기의 실시예에 한정되는 것은 아니며, 본 발명이 속하는 분야에서 통상적인 지식을 가진 자라면 이러한 기재로부터 다양한 수정 및 변형이 가능하다.

따라서, 본 발명의 사상은 설명된 실시예에 국한되어 정해져서는 아니되며, 후술하는 특허청구범위뿐 아니라 이 특허청구범위와 균등하거나 등가적 변형이 있는 모든 것들은 본 발명 사상의 범주에 속한다고 할 것이다.

100 : 클라이언트단말
200 : 악성코드대응서버
300 : 악성코드 관련 긴급검사수행장치

Claims (13)

1. 특정 클라이언트단말에 포함되거나 또는 특정 클라이언트단말과 통신하는 악성코드대응서버에 포함되는 악성코드 관련 긴급검사수행장치의 동작 방법에 있어서,
   클라이언트단말의 각 플랫폼 별로 상이하게 생성된 플랫폼별 긴급검사정보 중, 특정 클라이언트단말에서 이용하는 특정 플랫폼의 긴급검사정보를 확인하는 긴급검사정보확인단계; 및
   기 지정된 긴급검사 수행 이벤트 발생 시, 상기 특정 플랫폼의 긴급검사정보를 기초로 상기 특정 클라이언트단말 내의 전체 검사위치 중에서 특정 악성코드와 관련된 특정 검사위치에 대해서만 악성 감염 여부를 긴급 검사하는 긴급검사수행단계를 포함하는 것을 특징으로 하는 악성코드 관련 긴급검사수행장치의 동작 방법.
2. 제 1 항에 있어서,
   상기 특정 플랫폼의 긴급검사정보는,
   다수의 악성코드 중 상기 특정 플랫폼에서 악성행위를 실행하는 특정 악성코드에 관련하여, 상기 특정 플랫폼을 이용하는 클라이언트단말에서 상기 특정 악성코드가 설치되는 설치위치 및 상기 특정 악성코드에 의해 조작되는 조작위치 중 적어도 하나를 포함하는 특정 검사위치에 대한 검사위치정보를 포함하는 것을 특징으로 하는 악성코드 관련 긴급검사수행장치의 동작 방법.
3. 제 2 항에 있어서,
   상기 플랫폼별 긴급검사정보는,
   상기 특정 플랫폼 및 상기 특정 플랫폼과는 다른 플랫폼 모두에서 악성행위를 실행하는 동일한 악성코드에 관련하여, 상기 특정 플랫폼의 긴급검사정보에 포함된 검사위치정보 및 상기 다른 플랫폼의 긴급검사정보에 포함된 검사위치정보가 서로 상이한 것을 특징으로 하는 악성코드 관련 긴급검사수행장치의 동작 방법.
4. 제 2 항에 있어서,
   상기 긴급검사수행단계는,
   상기 특정 악성코드와 관련된 상기 특정 검사위치에 대해서 긴급 검사를 수행할 때, 상기 특정 검사위치에 따라서 상이한 긴급 검사를 수행하는 것을 특징으로 하는 악성코드 관련 긴급검사수행장치의 동작 방법.
5. 제 4 항에 있어서,
   상기 검사위치정보는, 상기 특정 검사위치에 해당되는 특정 파일에 대한 파일패스정보(filepath)이며,
   상기 긴급검사수행단계는,
   상기 검사위치정보를 기초로 확인되는 상기 특정 검사위치에 해당되는 특정 파일에 대한 파일패스정보의 확장자가, 상기 특정 악성코드에 의해 생성되는 파일인 것으로 식별되는 특정 확장자인지 여부를 확인하고,
   상기 확인 결과 상기 특정 확장자인 것으로 확인되면, 상기 특정 클라이언트단말에서 상기 특정 파일의 발견 시 삭제하도록 하는 긴급 검사를 수행하고,
   상기 확인 결과 상기 특정 확장자가 아닌 것으로 확인되면, 상기 특정 클라이언트단말에서 상기 특정 파일의 발견 시 상기 특정 파일에 대하여 상기 특정 악성코드와 관련하여 기 지정된 진단 및 치료절차를 수행하도록 하는 긴급 검사를 수행하는 것을 특징으로 하는 악성코드 관련 긴급검사수행장치의 동작 방법.
6. 제 1 항에 있어서,
   상기 긴급검사 수행 이벤트는,
   상기 특정 클라이언트단말의 구동이 시작되는 시점, 상기 악성코드 관련 긴급검사수행장치의 구동이 시작되는 시점 및 상기 특정 플랫폼의 긴급검사정보가 업데이트되는 시점 중 적어도 하나의 시점에 발생되는 것을 특징으로 하는 악성코드 관련 긴급검사수행장치의 동작 방법.
7. 클라이언트단말의 각 플랫폼 별로 상이하게 생성된 플랫폼별 긴급검사정보 중, 특정 클라이언트단말에서 이용하는 특정 플랫폼의 긴급검사정보를 확인하는 긴급검사정보확인부; 및
   기 지정된 긴급검사 수행 이벤트 발생 시, 상기 특정 플랫폼의 긴급검사정보를 기초로 상기 특정 클라이언트단말 내의 전체 검사위치 중에서 특정 악성코드와 관련된 특정 검사위치에 대해서만 악성 감염 여부를 긴급 검사하는 긴급검사수행부를 포함하는 것을 특징으로 하는 악성코드 관련 긴급검사수행장치.
8. 제 7 항에 있어서,
   상기 특정 플랫폼의 긴급검사정보는,
   다수의 악성코드 중 상기 특정 플랫폼에서 악성행위를 실행하는 특정 악성코드에 관련하여, 상기 특정 플랫폼을 이용하는 클라이언트단말에서 상기 특정 악성코드가 설치되는 설치위치 및 상기 특정 악성코드에 의해 조작되는 조작위치 중 적어도 하나를 포함하는 특정 검사위치에 대한 검사위치정보를 포함하는 것을 특징으로 하는 악성코드 관련 긴급검사수행장치.
9. 제 8 항에 있어서,
   상기 플랫폼별 긴급검사정보는,
   상기 특정 플랫폼 및 상기 특정 플랫폼과는 다른 플랫폼 모두에서 악성행위를 실행하는 동일한 악성코드에 관련하여, 상기 특정 플랫폼의 긴급검사정보에 포함된 검사위치정보 및 상기 다른 플랫폼의 긴급검사정보에 포함된 검사위치정보가 서로 상이한 것을 특징으로 하는 악성코드 관련 긴급검사수행장치.
10. 제 8 항에 있어서,
    상기 긴급검사수행부는,
    상기 특정 악성코드와 관련된 상기 특정 검사위치에 대해서 긴급 검사를 수행할 때, 상기 특정 검사위치에 따라서 상이한 긴급 검사를 수행하는 것을 특징으로 하는 악성코드 관련 긴급검사수행장치.
11. 제 10 항에 있어서,
    상기 검사위치정보는, 상기 특정 검사위치에 해당되는 특정 파일에 대한 파일패스정보이며,
    상기 긴급검사수행부는,
    상기 검사위치정보를 기초로 확인되는 상기 특정 검사위치에 해당되는 특정 파일에 대한 파일패스정보의 확장자가, 상기 특정 악성코드에 의해 생성되는 파일인 것으로 식별되는 특정 확장자인지 여부를 확인하고,
    상기 확인 결과 상기 특정 확장자인 것으로 확인되면, 상기 특정 클라이언트단말에서 상기 특정 파일의 발견 시 삭제하도록 하는 긴급 검사를 수행하고,
    상기 확인 결과 상기 특정 확장자가 아닌 것으로 확인되면, 상기 특정 클라이언트단말에서 상기 특정 파일의 발견 시 상기 특정 파일에 대하여 상기 특정 악성코드와 관련하여 기 지정된 진단 및 치료절차를 수행하도록 하는 긴급 검사를 수행하는 것을 특징으로 하는 악성코드 관련 긴급검사수행장치.
12. 제 7 항에 있어서,
    상기 긴급검사 수행 이벤트는,
    상기 특정 클라이언트단말의 구동이 시작되는 시점, 상기 악성코드 관련 검사 수행 장치의 구동이 시작되는 시점 및 상기 특정 플랫폼의 긴급검사정보가 업데이트되는 시점 중 적어도 하나의 시점에 발생되는 것을 특징으로 하는 악성코드 관련 긴급검사수행장치.
13. 제 1 항 내지 제 6 항 중 어느 한 항의 방법을 수행하는 프로그램을 기록한 컴퓨터 판독 가능 기록 매체.

Images