KR101636805B1 - 악의적인 파일 유출 방지 방법 - Google Patents

Abstract

악의적인 파일 유출 방지 방법이 개시된다. 본 발명의 일측면에 따른 컴퓨팅 장치에서 수행되는 악의적인 파일 유출을 방지하는 방법은, 내부에 저장된 파일에 대한 첨부 행위를 수행하는 프로세스를 인식하는 단계; 프로세스에 따른 프로그램 실행창이 실행 중인지에 대한 행위 검증을 수행하는 단계; 및 행위 검증의 수행 결과에 따라 파일의 첨부 허용 여부를 결정하는 단계를 포함한다.

Description

악의적인 파일 유출 방지 방법{Method for preventing malicious file outflow}

본 발명은 사용자의 의도와 상관없는 악의적인 파일 유출을 방지하는 방법 및 그 기록매체에 관한 것이다.

최근, 개인 사용자의 컴퓨터가 대용량화됨과 동시에 처리 속도가 향상됨에 따라, 예를 들어 기술자료, 설계도면, 개발자료, 시험자료, 영업자료, 생산정보, 군기밀자료 및 개인정보와 같은 사적인 작업내용 및 공적인 업무자료가 개인컴퓨터에 저장되어 관리되고 있다.

그런데, 최근에는 컴퓨팅 장치의 일부 소프트웨어 또는 하드웨어를 제대로 작동하지 못하게 하는 악성코드뿐 아니라, 중요한 내부 데이터를 외부로 유출시키는 악성코드가 문제가 되고 있다. 이에 따라 개인정보의 유출뿐 아니라, 공적인 업무에 따라 보안상 중요한 파일 등이 외부로 유출됨으로써, 그 피해가 커지고 있다.

외부로 데이터를 유출시키는 악성 코드의 경우, 사용자의 명령과는 상관없이 자체적으로 프로세스를 구동시켜 내부 파일을 첨부하여 특정 목적지로 유출시킨다. 이로 인해 개인정보뿐 아니라 업무상 중요한 데이터까지도 외부로 유출될 수 있어, 보안적으로 위험한 상황을 초래할 수 있다.

백신 프로그램에 의해 악성 코드를 치료할 수도 있으나, 신종 악성 코드인 경우 백신이 존재하지 않을 수 있어 해당 악성 코드를 발견 또는 치료할 수 없게 되는 문제점이 있다.

대한민국 등록특허 제10-0901356 (등록일자 2009년06월01일) 에이전트 기반에서 첨부파일의 정보유출 방지 방법

따라서, 본 발명은 상술한 문제점을 해결하기 위해 안출된 것으로서, 파일 첨부 시도가 사용자의 의도에 의한 것인지 여부를 검증함으로써, 악성코드에 의한 악의적인 파일 유출을 방지하는 방법 및 그 방법을 수행하는 프로그램이 기록된 기록매체를 제공하기 위한 것이다.

본 발명의 다른 목적들은 이하에 서술되는 바람직한 실시예를 통하여 보다 명확해질 것이다.

본 발명의 일 측면에 따르면, 컴퓨팅 장치에서 수행되는 악의적인 파일 유출을 방지하는 방법에 있어서, 내부에 저장된 파일에 대한 첨부 행위를 수행하는 프로세스를 인식하는 단계; 상기 프로세스에 따른 프로그램 실행창이 실행 중인지에 대한 행위 검증을 수행하는 단계; 및 상기 행위 검증의 수행 결과에 따라 상기 파일의 첨부 허용 여부를 결정하는 단계를 포함하는 악의적인 파일 유출 방지 방법 및 그 방법을 실행하는 프로그램이 기록된 기록매체가 제공된다.

여기서, 상기 행위 검증은 상기 프로그램 실행창이 화면에 표시 중인지 여부를 더 확인할 수 있다.

또한, 상기 행위 검증은 상기 프로그램 실행창이 최상위 실행창인지 여부를 더 확인할 수 있다.

또한, 상기 프로그램 실행창이 최상위 실행창이 아닌 경우 상기 파일의 첨부를 보류하고, 상기 프로그램 실행창이 최상위 실행창이 되는 경우 상기 파일의 첨부 내역을 화면에 표시한 이후, 사용자로부터 첨부 명령이 입력되거나 일정 시간이 경과하면 상기 파일의 첨부를 허용할 수 있다.

또한, 상기 프로그램 실행창이 최상위 실행창인 경우, 상기 행위 검증은 상기 프로그램 실행창으로의 사용자 입력이 존재하였는지를 더 확인할 수 있다.

또한, 상기 행위 검증은 상기 프로그램 실행창을 캡처한 이미지와 하나 이상 미리 저장된 첨부가용 이미지를 서로 비교하고, 일정 수치 이상 일치하는지 여부를 더 확인할 수 있다.

그리고, 컴퓨팅 장치에서 수행되는 악의적인 파일 유출을 방지하는 방법에 있어서, 내부에 저장된 파일에 대한 첨부 행위를 인식하는 단계; 화면에 표시되는 최상위 실행창을 캡처하는 단계; 캡처된 최상위 실행창 이미지와 하나 이상 미리 저장된 첨부가용 이미지를 서로 비교하는 단계; 및 비교 결과 일정 수치 이상 일치하는 경우에만 상기 파일의 첨부를 허용하는 단계를 포함하는 악의적인 파일 유출 방지 방법 및 그 방법을 실행하는 프로그램이 기록된 기록매체가 제공된다.

본 발명에 따르면, 실제 사용자에 의해 실행된 프로그램에 따라 사용자의 의도에 의해 파일 첨부 시도가 수행되었는지를 검증할 수 있어, 악성코드에 의한 악의적인 파일 유출을 방지할 수 있다.

도 1 내지 도 3은 본 발명의 각 실시예에 따른 컴퓨팅 장치에서 수행되는 악의적인 파일 유출 방지 과정을 도시한 흐름도들.
도 4는 화면에 표시되는 실행창을 예시한 예시도.
도 5는 본 발명의 일 실시예에 따른 컴퓨팅 장치에서 수행되는 실행창 비교를 이용한 악의적인 파일 유출 방지 과정을 도시한 흐름도.

본 발명은 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시예들을 도면에 예시하고 상세한 설명에 상세하게 설명하고자 한다. 그러나 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다.

어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다.

제1, 제2 등의 용어는 다양한 구성요소들을 설명하는데 사용될 수 있지만, 상기 구성요소들은 상기 용어들에 의해 한정되어서는 안 된다. 상기 용어들은 하나의 구성요소를 다른 구성요소로부터 구별하는 목적으로만 사용된다. 예를 들어, 후술될 제1 임계값, 제2 임계값 등의 용어는 실질적으로는 각각 상이하거나 일부는 동일한 값인 임계값들로 미리 지정될 수 있으나, 임계값이라는 동일한 단어로 표현될 때 혼동의 여지가 있으므로 구분의 편의상 제1, 제2 등의 용어를 병기하기로 한다.

본 명세서에서 사용한 용어는 단지 특정한 실시예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 명세서에서, "포함하다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.

또한, 각 도면을 참조하여 설명하는 실시예의 구성 요소가 해당 실시예에만 제한적으로 적용되는 것은 아니며, 본 발명의 기술적 사상이 유지되는 범위 내에서 다른 실시예에 포함되도록 구현될 수 있으며, 또한 별도의 설명이 생략될지라도 복수의 실시예가 통합된 하나의 실시예로 다시 구현될 수도 있음은 당연하다.

또한, 첨부 도면을 참조하여 설명함에 있어, 도면 부호에 관계없이 동일한 구성 요소는 동일하거나 관련된 참조부호를 부여하고 이에 대한 중복되는 설명은 생략하기로 한다. 본 발명을 설명함에 있어서 관련된 공지 기술에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우 그 상세한 설명을 생략한다.

도 1 내지 도 3은 본 발명의 각 실시예에 따른 컴퓨팅 장치에서 수행되는 악의적인 파일 유출 방지 과정을 도시한 흐름도들이고, 도 4는 화면에 표시되는 실행창을 예시한 예시도이다.

먼저 일례에 따른 파일 유출 방지 과정을 도시한 도 1을 참조하면, 컴퓨팅 장치는 첨부 행위를 인식한다(S10). 컴퓨팅 장치는 내부에 저장된 파일에 대한 첨부 행위를 수행한 프로세스를 감지하는 것이다. 예를 들어, 이메일 프로그램에 따른 파일 첨부 프로세스를 감지하거나, 또는 악성 코드에 의해 실행된 프로세스에 의해 외부 유출을 목적으로 하는 파일의 첨부 행위를 감지하는 것이다. 다시 말해, 컴퓨팅 장치는 실행중인 프로세스들을 모니터링하여, 내부 저장수단(예를 들어, SSD, HDD 등)에 저장된 파일에 대해 접근하여 첨부하는 행위를 수행하는 프로세스를 인식한다.

그리고, 컴퓨팅 장치는 첨부 행위를 수행한 프로세스에 따른 프로그램의 실행창이 현재 실행 중인지 여부를 확인하는 행위 검증을 수행한다(S20). 즉, 내부 파일에 대한 첨부 행위를 수행하는 프로세스를 실행시킨 프로그램의 실행창(이하 프로그램 실행창이라 칭함)이 현재 화면에 표시되고 있는지 여부를 확인하는 것이다. 도 4를 함께 참조하면, 사용자가 이메일 프로그램을 실행하고, 그에 따른 프로그램 실행창으로써 이메일 작성 실행창(400)을 실행시켜 화면에 표시되고 있는 상태에서, 해당 프로그램 실행창(400)을 이용하여 파일 첨부를 수행한 경우를 가정한다. 그러면, 컴퓨팅 장치는 파일 첨부를 수행한 프로세스에 따른 프로그램이 이메일 프로그램임을 식별하고, 그 프로그램 실행창(400)이 현재 실행중임을 인식하게 되는 것이다.

S20에서의 판단 결과, 프로그램 실행창이 실행 중이라면, 컴퓨팅 장치는 정상적으로 사용자가 의도를 가지고 파일 첨부 행위를 수행함으로 인식하여 파일 첨부에 대해 허용한다(S30).

이와 달리, 프로그램 실행창이 실행 중이 아니라면, 컴퓨팅 장치는 악성코드 등에 의한 악의적인 파일 유출을 위한 첨부 행위라 판단하여 파일 첨부를 차단한다(S40)

다른 일례에 따르면, 상술한 행위 검증 방식으로서, 프로그램 실행창이 실행 중인지 여부를 확인하는 것뿐만 아니라, 해당 프로그램 실행창이 최상위 실행창인지 여부를 더 확인할 수 있다.

이에 따른 실시예를 도시한 도 2를 참조하면, 컴퓨팅 장치는 프로그램 실행창이 현재 최상위 실행창인지를 확인하고(S210), 최상위 실행창인지 여부에 따라(S220), 파일 첨부를 허용하거나(S240), 파일 첨부를 차단할 수 있다. 도 4를 함께 참조하면, 파일 첨부를 수행한 프로세스에 따른 프로그램 실행창(400)이 다른 하위 실행창(410, 420)에 비해 최상위에 존재하게 되므로, 이 경우 컴퓨팅 장치는 파일 첨부를 허용하는 것이다.

또는 도면에 도시된 바와 같이, 프로그램 실행창이 실행 중이지만 최상위 실행창이 아닌 경우, 해당 프로그램 실행창이 최상위 실행창으로 전환될 때까지 파일 첨부를 보류할 수도 있다(S230). 여기서, 프로그램 실행창이 최상위 실행창으로 전환되면, 사용자에게 파일 첨부를 확인하는 과정을 더 포함할 수도 있다. 예를 들어, 파일 첨부가 시도됨을 사용자가 인지할 수 있는 정보를 화면에 표시하고, 사용자로부터 확인 명령이 입력되거나 또는 일정 시간이 경과한 이후 파일 첨부를 허용한다.

또 다른 실시예에 따르면, 프로그램 실행창이 최상위 실행창인 경우에도, 실제 사용자가 해당 프로그램 실행창에 어떠한 입력을 수행했는지 여부를 더 확인할 수도 있다.

이에 따른 실시예를 도시한 도 3을 참조하면, 파일 첨부를 시도한 프로세스에 따른 프로그램 실행창이 최상위 실행창으로 확인되는 경우, 컴퓨팅 장치는 현재 시점을 기준으로 일정 시간(예를 들어, 3초 등) 이전에 해당 프로그램 실행창으로의 사용자 입력이 존재하였는지를 판단하고(S310), 사용자 입력이 존재하지 않았으면 파일 첨부를 차단한다(S330).

이와 달리 사용자 입력(예를 들어, 마우스, 터치패드, 키보드 등의 입력 수단을 이용한 입력)이 존재하였다면, 컴퓨팅 장치는 파일 첨부를 허용한다(S320).

도 4를 함께 참조하면, 이메일 프로그램의 실행창에 파일(첨부파일1)을 마우스를 이용하여 첨부하였다면, 도면에 도시된 바와 같이 최상위 실행창으로서 이메일 프로그램의 실행창이 표시될 것이며, 해당 실행창으로의 사용자 입력이 확인될 것이므로 파일 첨부는 허용될 것이다.

이와 달리, 악성코드에 의한 프로그램이 실제 실행창을 실행하도록 하더라도, 실제 사용자 입력이 존재하지 않게 됨으로 인해, 해당 파일 첨부는 차단될 것이다.

지금까지는 파일 첨부 행위를 수행한 프로세스를 식별하고, 그에 따른 프로그램의 실행창 실행 여부를 이용하는 방식을 위주로 설명하였다.

이와 다른 실시예에 따르면, 프로세스의 식별 없이 화면에 표시되고 있는 실행창만을 확인하는 방식을 행위 검증을 수행할 수도 있다.

도 5는 본 발명의 일 실시예에 따른 컴퓨팅 장치에서 수행되는 실행창 비교를 이용한 악의적인 파일 유출 방지 과정을 도시한 흐름도이다.

도 5를 참조하면, 컴퓨팅 장치는 첨부 행위를 인식하면(S510), 현재 화면에 표시되고 있는 최상위 실행창을 캡처한 실행창 이미지와 미리 저장된 하나 이상의 첨부가용 이미지를 서로 비교한다(S520).

예를 들어, 첨부가용 이미지는 도 4에 도시된 바와 같은 이메일 프로그램과 가은 각종 이메일 프로그램들의 실행창에 대한 이미지, 또는 각종 웹사이트들에서 제공되는 이메일 작성 웹페이지들의 이미지 등일 수 있다. 물론 상술한 예들 외에도 일반적으로 파일 첨부를 수행하는 각종 사용자 인터페이스 화면에 따른 이미지들을 첨부가용 이미지로서 활용할 수도 있음은 당연하다.

컴퓨팅 장치는 비교 결과 실행창 이미지와 일정 수치(예를 들어, 80% 등) 이상 일치하는 첨부가용 이미지가 존재하는지 여부를 판단하고(S530, 그 결과에 따라 파일 첨부를 허용하거나(S540), 또는 차단한다(S550).

본 실시예에 따르면, 파일 첨부 행위를 인식하는 시점에 실행중인 최상위 실행창을 이미지 분석함으로써, 일반적으로 사용자의 의도에 의해 수행되는 파일 첨부를 위한 인터페이스를 갖는지 여부를 확인하는 것이다. 이에 따라 사용자의 의도와 상관없이 수행되는 악성코드에 의한 파일 첨부와 같은 악의적인 파일 외부 유출을 차단할 수 있다.

참고로, 본 실시예에 따른 최상위 실행창에 대한 첨부가용 이미지와의 비교 절차를 수행하는 행위 검증 방식은 도 2 내지 도 3에 따른 실시예에서도 함께 이용될 수 있다. 예를 들어, 프로그램 실행창이 최상위 실행창인지 여부를 확인한 이후 또는 해당 프로그램 실행창으로의 사용자 입력이 확인된 이후, 프로그램 실행창과 첨부가용 이미지와의 비교 절차를 수행한 후에 파일 첨부의 허용 여부를 결정하는 것이다.

상술한 본 발명에 따른 악의적인 파일 유출 방지 방법은 컴퓨터로 읽을 수 있는 기록 매체에 컴퓨터가 읽을 수 있는 코드로서 구현되는 것이 가능하다. 컴퓨터가 읽을 수 있는 기록매체로는 컴퓨터 시스템에 의하여 해독될 수 있는 데이터가 저장된 모든 종류의 기록 매체를 포함한다. 예를 들어, ROM(Read Only Memory), RAM(Random Access Memory), 자기 테이프, 자기 디스크, 플래쉬 메모리, 광 데이터 저장장치 등이 있을 수 있다. 또한, 컴퓨터가 읽을 수 있는 기록매체는 컴퓨터 통신망으로 연결된 컴퓨터 시스템에 분산되어, 분산방식으로 읽을 수 있는 코드로서 저장되고 실행될 수 있다.

또한, 상기에서는 본 발명의 바람직한 실시예를 참조하여 설명하였지만, 해당 기술 분야에서 통상의 지식을 가진 자라면 하기의 특허 청구의 범위에 기재된 본 발명의 사상 및 영역으로부터 벗어나지 않는 범위 내에서 본 발명을 다양하게 수정 및 변경시킬 수 있음을 이해할 수 있을 것이다.

400 : 최상위 실행창
410, 420 : 하위 실행창

Claims (8)

1. 컴퓨팅 장치에서 수행되는 악의적인 파일 유출을 방지하는 방법에 있어서,
   내부에 저장된 파일에 대한 첨부 행위를 수행하는 프로세스를 인식하는 단계;
   상기 프로세스에 따른 프로그램 실행창이 최상위 실행창인지 여부와 상기 프로그램 실행창으로의 사용자 입력이 존재하였는지를 확인하는 행위 검증을 수행하는 단계; 및
   상기 행위 검증의 수행 결과에 따라 상기 파일의 첨부 허용 여부를 결정하는 단계를 포함하는 악의적인 파일 유출 방지 방법.
   
2. 삭제
3. 삭제
4. 컴퓨팅 장치에서 수행되는 악의적인 파일 유출을 방지하는 방법에 있어서,
   내부에 저장된 파일에 대한 첨부 행위를 수행하는 프로세스를 인식하는 단계;
   상기 프로세스에 따른 프로그램 실행창이 최상위 실행창인지에 대한 행위 검증을 수행하는 단계; 및
   상기 행위 검증의 수행 결과에 따라 상기 파일의 첨부 허용 여부를 결정하는 단계를 포함하되,
   상기 프로그램 실행창이 최상위 실행창이 아닌 경우 상기 파일의 첨부를 보류하고, 상기 프로그램 실행창이 최상위 실행창이 되는 경우에 상기 파일의 첨부 내역을 화면에 표시한 이후 상기 파일의 첨부를 허용하는 것을 특징으로 하는 악의적인 파일 유출 방지 방법.
   
5. 삭제
6. 컴퓨팅 장치에서 수행되는 악의적인 파일 유출을 방지하는 방법에 있어서,
   내부에 저장된 파일에 대한 첨부 행위를 수행하는 프로세스를 인식하는 단계;
   상기 프로세스에 따른 프로그램 실행창이 실행 중인지 여부 및 상기 프로그램 실행창을 캡처한 이미지가 하나 이상 미리 저장된 첨부가용 이미지와 일치하는지 여부를 확인하는 행위 검증을 수행하는 단계; 및
   상기 행위 검증의 수행 결과에 따라 상기 파일의 첨부 허용 여부를 결정하는 단계를 포함하는 악의적인 파일 유출 방지 방법.
   
7. 컴퓨팅 장치에서 수행되는 악의적인 파일 유출을 방지하는 방법에 있어서,
   내부에 저장된 파일에 대한 첨부 행위를 인식하는 단계;
   화면에 표시되는 최상위 실행창을 캡처하는 단계;
   캡처된 최상위 실행창 이미지와 하나 이상 미리 저장된 첨부가용 이미지를 서로 비교하는 단계; 및
   상기 비교의 결과 일치되는 것으로 판단되는 경우에만 상기 파일의 첨부를 허용하는 단계를 포함하는 악의적인 파일 유출 방지 방법.
   
8. 제 1항, 제 4항, 제 6항 내지 제 7항 중 어느 한 항의 방법을 수행하기 위한 프로그램이 컴퓨터가 읽을 수 있도록 기록된 기록 매체.

Images