KR102265129B1 - 저장매체 통제 시스템 및 통제 방법 - Google Patents

저장매체 통제 시스템 및 통제 방법 Download PDF

Info

Publication number
KR102265129B1
KR102265129B1 KR1020190133185A KR20190133185A KR102265129B1 KR 102265129 B1 KR102265129 B1 KR 102265129B1 KR 1020190133185 A KR1020190133185 A KR 1020190133185A KR 20190133185 A KR20190133185 A KR 20190133185A KR 102265129 B1 KR102265129 B1 KR 102265129B1
Authority
KR
South Korea
Prior art keywords
file
storage medium
server
verification
user
Prior art date
Application number
KR1020190133185A
Other languages
English (en)
Other versions
KR20210048915A (ko
Inventor
이도한
손성원
김광재
Original Assignee
한국전력공사
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 한국전력공사 filed Critical 한국전력공사
Priority to KR1020190133185A priority Critical patent/KR102265129B1/ko
Publication of KR20210048915A publication Critical patent/KR20210048915A/ko
Application granted granted Critical
Publication of KR102265129B1 publication Critical patent/KR102265129B1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • G06F21/46—Structures or tools for the administration of authentication by designing passwords or checking the strength of passwords
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G06F21/565—Static detection by checking file integrity

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Virology (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Mathematical Physics (AREA)
  • Storage Device Security (AREA)

Abstract

본 발명은 USB와 같은 저장매체를 통제할 수 있는 저장매체 통제 시스템 및 그것의 통제 방법에 관한 것이다. 상기 저장매체 통제 시스템은, 파일이 저장된 저장매체가 삽입되는 경우, 상기 파일에 대한 검증을 요청한 사용자의 사용자 정보를 입력받고, 상기 사용자 정보에 근거하여 상기 파일을 검증하며, 검증이 성공한 경우 상기 저장매체에 대응하는 고유의 식별코드를 생성하는 검증 장치, 상기 식별코드 및 상기 사용자 정보를 수신하는 것에 응답하여 상기 저장 매체를 위한 일회용 비밀번호를 생성하는 서버 및 상기 저장매체가 삽입되는 경우, 상기 저장매체에 대한 접근을 제한하는 잠금화면을 출력하며, 상기 잠금화면을 통해 사용자 비밀번호가 수신되는 경우, 상기 사용자 비밀번호를 상기 서버로 전송하는 입력 장치를 포함한다. 상기 서버는 상기 일회용 비밀번호 및 상기 사용자 비밀번호가 일치하는 경우, 상기 저장매체에 대한 접근을 허용하도록 제어하는 제어메시지를 상기 입력 장치로 전송하는 것을 특징으로 한다.

Description

저장매체 통제 시스템 및 통제 방법{STORAGE MEDIA CONTROL SYSTEM AND CONTROL METOHD THEREOF}
본 발명은 USB와 같은 저장매체를 통제할 수 있는 저장매체 통제 시스템 및 그것의 통제 방법에 관한 것이다.
물리적 망분리란 업무망과 외부 인터넷 망을 물리적으로 구분하는 것으로, 네트워크 회선이 나뉘어 있으며 인터넷 PC와 업무 PC를 사용하여 네트워크를 물리적으로 분리한다.
오늘날 공공기관들은 보안 등의 이유로 물리적 망분리를 실시하고 있으며, 기반 시설들도 인터넷 망, 내부망, 제어망으로 용도에 따라 망을 분리하여 운영하고 있다. 또한, 기업들도 정부의 정보통신망법 개정에 따라 망분리의 도입을 적극적으로 검토하고 있는 추세이다.
물리적 망분리 환경에서, 업무 시 사용하는 망은 인터넷 사용 불가능한 독립적인 망이다. 이로 인하여 인터넷으로부터 업무에 필요한 자료를 다운받거나, 운영체제 보안 패치 및 백신 업데이트도 수동 업데이트 파일을 다운로드받아 휴대용 저장매체에 저장하여 내부망으로 반입해야 한다.
또한, 기반시설에 위치한 각종 현장 기기들은 벤더사 등의 유지보수를 위한 외부 인력이 USB 메모리 등에 펌웨어 파일을 저장하여 내부로 유입하는 경우도 많다.
많은 기관들은 사용자가 직접 인터넷 망에 위치한 특정 PC를 켜서, 유입하고자 하는 휴대용 저장 매체를 먼저 연결하여 백신 검사를 수행한다. 그리고 백신 검사를 수행한 후, 내부망의 지정 단말기에 해당 휴대용 저장 매체를 연결하는 방식으로 내부망에 반입한다. 또한, 내부망에 반입되는 휴대용 저장 매체의 반입 이력을 작성하여 관리한다.
그러나 종래의 이러한 방법으로는 추후 문제 발생 시, 원인을 명확하게 찾을 수 없다. 휴대용 저장 매체의 반입 이력을 수기 또는 문서로 작성하는 과정에서 누락되거나 위조 될 수 있으며, 휴대용 저장 매체에 어떠한 파일들이 저장되어 있었는지, 어떠한 파일이 해당 기관에 적용되었는지도 추론하기 어렵다.
또한, 가용성이 중시되는 기반 시설의 경우, 단 하나라도 오탐된 파일이 내부망에 유입될 경우, 블랙에너지(Black Energy)에 의한 우크라이나의 대규모 정전 사태와 같이 치명적인 피해를 입을 수 있다.
따라서, 백신 검사의 수행 이외에 추가적인 검사를 진행할 필요가 있으며, 내부망으로 유입되는 파일에 대해 효과적으로 검사를 진행하여 안전한 파일만을 내부망으로 유입하는 기술의 개발이 필요하다.
검사를 진행하지 않은 저장매체에 대한 기술적 통제 방법이 필요하며, 정상적으로 검사를 시행한 매체의 경우라도 사용매체와의 동일여부, 즉 무결성 확인이 이루어져야 한다.
(특허문헌 1) KR10-1052734 B1
본 발명의 목적은 내부망으로 유입할 파일들의 감염 여부 및 위변조 여부를 검사하여, 안전한 파일만 내부망으로 유입될 수 있도록 하는 것이다.
또한, 본 발명의 목적은 휴대용 저장 매체의 반입, 내부망으로 유입된 파일의 목록, 의심 파일 목록 등의 이력을 관리하여, 관리자의 업무를 감소시키고, 신뢰성을 향상시키는 것이다.
또한, 본 발명의 목적은 로그 작성, 파일의 유입 이력 관리 및 원본 파일의 백업을 수행하여, 각종 문제 발생시 증거 자료로 활용될 수 있도록 하는 것이다.
또한, 본 발명의 목적은 내부망으로 유입할 검증 대상 파일의 검증을 내부망과 분리된 시스템에서 수행하여, 내부망에 발생할 수 있는 위협을 사전에 예방하는 것이다.
본 발명은 USB와 같은 저장매체를 통제할 수 있는 저장매체 통제 시스템 및 그것의 통제 방법에 관한 것이다.
상기 저장매체 통제 시스템은 파일이 저장된 저장매체가 삽입되는 경우, 상기 파일에 대한 검증을 요청한 사용자의 사용자 정보를 입력받고, 상기 사용자 정보에 근거하여 상기 파일을 검증하며, 검증이 성공한 경우 상기 저장매체에 대응하는 고유의 식별코드를 생성하는 검증 장치; 상기 식별코드 및 상기 사용자 정보를 수신하는 것에 응답하여 상기 저장 매체를 위한 일회용 비밀번호를 생성하는 서버; 및 상기 저장매체가 삽입되는 경우, 상기 저장매체에 대한 접근을 제한하는 잠금화면을 출력하며, 상기 잠금화면을 통해 사용자 비밀번호가 수신되는 경우, 상기 사용자 비밀번호를 상기 서버로 전송하는 입력 장치를 포함하며, 상기 서버는, 상기 일회용 비밀번호 및 상기 사용자 비밀번호가 일치하는 경우, 상기 저장매체에 대한 접근을 허용하도록 제어하는 제어메시지를 상기 입력 장치로 전송한다.
일 실시 예에 따르면, 상기 서버는, 상기 식별코드를 이용하여 상기 입력 장치에 삽입된 상기 저장매체를 검증할 수 있다.
일 실시 예에 따르면, 상기 서버는 상기 식별코드를 이용하여 가상 머신을 생성하며, 상기 가상 머신은 상기 파일을 검증하고 검증 결과 정보를 상기 서버 및 상기 입력 장치 중 적어도 하나로 전송할 수 있다.
일 실시 예에 따르면, 상기 서버는, 상기 식별코드에 따라 복수의 가상 머신들 중 어느 하나의 가상 머신을 선택적으로 생성하며, 상기 파일에 대한 검증이 상기 어느 하나의 가상 머신에 따라 서로 다른 방식으로 이루어질 수 있다.
일 실시 예에 따르면, 상기 서버는, 상기 파일을 펌웨어 파일, 패치 파일, 문서 파일 및 기타 파일 중 적어도 어느 하나의 파일 유형으로 분류하는 파일 분류부; 분류된 상기 파일을 복수의 가상 머신들 중 상기 파일 유형에 상응하는 어느하나의 가상 머신을 선택하는 가상 머신 선택부; 및 상기 파일에 대한 검증이 완료되는 경우, 상기 파일을 이용하여 내부망 전달용 파일을 생성하는 전달용 파일 생성부를 포함할 수 있다.
일 실시 예에 따르면, 상기 가상 머신은, 상기 파일에 대한 백신 검사 및 위변조 검사 중 적어도 어느 하나를 포함하는 공통 검사를 수행한 후, 상기 파일 유형에 따라 가변되는 서로 다른 검증 방법으로 개별 검사를 수행할 수 있다.
일 실시 예에 따르면, 상기 서버는, 제1 가상 서버에 의하여 제1 파일에 대한 검증이 이루어지는 중에 제2 파일에 대한 검증 요청이 수신되는 경우, 상기 제1 가상 서버와 다른 제2 가상 서버에 의하여 상기 제2 파일에 대한 검증이 이루어지도록 상기 제2 가상 서버를 생성할 수 있다.
일 실시 예에 따르면, 상기 서버는, 상기 제1 파일에 대한 검증이 완료되는 경우, 상기 제1 가상 서버를 초기화할 수 있다.
일 실시 예에 따르면, 상기 서버는 상기 제1 가상 서버가 초기화되는 경우, 상기 제1 가상 서버에 할당된 자원을 상기 제2 가상 서버에 재할당할 수 있다.
일 실시 예에 따르면, 상기 서버는, 상기 저장매체의 전체용량, 저장되어 있는 전체 파일수, 가장 최근에 수정된 파일 중 적어도 하나를 이용하여 상기 식별코드에 대응하는 상기 저장매체의 무결성을 검증할 수 있다.
또한, 하나 또는 그 이상의 컴퓨팅 디바이스들에 의하여 수행되는 저장매체 통제 방법은 파일이 저장된 저장매체가 삽입되는 경우, 상기 파일에 대한 검증을 요청한 사용자의 사용자 정보를 입력받는 단계; 상기 사용자 정보에 근거하여 상기 파일을 검증하는 단계; 검증이 성공한 경우 상기 저장매체에 대응하는 고유의 식별코드를 생성하는 단계; 상기 식별코드 및 상기 사용자 정보에 근거하여 상기 저장 매체를 위한 일회용 비밀번호를 생성하는 단계; 상기 저장매체가 삽입되는 경우, 상기 저장매체에 대한 접근을 제한하는 잠금화면을 출력하는 단계; 상기 잠금화면을 통해 사용자 비밀번호가 수신되는 경우, 상기 일회용 비밀번호 및 상기 사용자 비밀번호가 일치하는지 여부를 판단하는 단계; 및 상기 일회용 비밀번호 및 상기 사용자 비밀번호가 일치하는 경우, 상기 저장매체에 대한 접근을 허용하는 단계를 포함할 수 있다.
나아가, 본 발명은 USB와 같은 저장매체에 저장된 파일을 물리적으로 분리된 네트워크에서 검증할 수 있는 저장매체 통제 시스템 및 그것의 파일 검증 방법을 제공한다.
상기 저장매체 통제 시스템은, 저장매체에 저장된 파일에 접근할 수 있도록 이루어지며, 상기 파일에 대한 검증을 요청한 사용자의 사용자 정보를 입력받는 입력 장치; 및 상기 사용자 정보를 네트워크를 통해 상기 입력 장치로부터 수신하는 서버를 포함하며, 상기 서버는 상기 사용자 정보에 근거하여 가상 머신을 생성하며, 상기 가상 머신은 상기 파일을 검증하고 검증 결과 정보를 상기 서버 및 상기 입력 장치 중 적어도 하나로 전송한다.
일 실시 예에 따르면, 상기 서버는, 상기 사용자 정보에 따라 복수의 가상 머신들 중 어느 하나의 가상 머신을 선택적으로 생성하며, 상기 파일에 대한 검증이 상기 어느 하나의 가상 머신에 따라 서로 다른 방식으로 이루어질 수 있다.
일 실시 예에 따르면, 상기 서버는, 상기 파일을 펌웨어 파일, 패치 파일, 문서 파일 및 기타 파일 중 적어도 어느 하나의 파일 유형으로 분류하는 파일 분류부; 분류된 상기 파일을 복수의 가상 머신들 중 상기 파일 유형에 상응하는 어느 하나의 가상 머신을 선택하는 가상 머신 선택부; 및 상기 파일에 대한 검증이 완료되는 경우, 상기 파일을 이용하여 내부망 전달용 파일을 생성하는 전달용 파일 생성부를 포함할 수 있다.
일 실시 예에 따르면, 상기 가상 머신은, 상기 파일에 대한 백신 검사 및 위변조 검사 중 적어도 어느 하나를 포함하는 공통 검사를 수행한 후, 상기 파일 유형에 따라 가변되는 서로 다른 검증 방법으로 개별 검사를 수행할 수 있다.
일 실시 예에 따르면, 상기 입력 장치는 서로 다른 장소에 위치한 복수의 입력 장치들을 포함하며, 상기 서버는, 상기 복수의 입력 장치들 각각에 대하여 서로 다른 가상 머신을 생성할 수 있다.
일 실시 예에 따르면, 상기 입력 장치는 상기 파일을 상기 저장매체로부터 추출해 상기 서버로 전송하며, 상기 서버는 상기 입력 장치로부터 수신된 상기 파일을 상기 가상 머신으로 전달할 수 있다.
일 실시 예에 따르면, 상기 서버는, 상기 검증 결과 정보 및 상기 사용자 정보를 데이터베이스에 저장할 수 있다.
일 실시 예에 따르면, 상기 서버는, 제1 가상 서버에 의하여 제1 파일에 대한 검증이 이루어지는 중에 제2 파일에 대한 검증 요청이 수신되는 경우, 상기 제1 가상 서버와 다른 제2 가상 서버에 의하여 상기 제2 파일에 대한 검증이 이루어지도록 상기 제2 가상 서버를 생성할 수 있다.
일 실시 예에 따르면, 상기 서버는, 상기 제1 파일에 대한 검증이 완료되는 경우, 상기 제1 가상 서버를 초기화할 수 있다.
일 실시 예에 따르면, 상기 서버는, 상기 제1 가상 서버가 초기화되는 경우, 상기 제1 가상 서버에 할당된 자원을 상기 제2 가상 서버에 재할당할 수 있다.
또한, 저장매체 통제 시스템의 파일 검증 방법은, 파일이 저장된 저장매체가 입력 장치에 입력되는 경우, 검증을 요청한 사용자의 사용자 정보를 상기 입력 장치를 통해 입력받는 단계; 상기 사용자 정보를 네트워크를 통해 상기 입력 장치에서 서버로 수신받는 단계; 상기 사용자 정보에 근거하여 가상 머신을 생성하는 단계; 상기 가상 머신을 통해 상기 파일을 검증하는 단계; 및상기 파일을 검증한 검증 결과 정보를 상기 서버 및 상기 입력 장치 중 적어도 하나로 전송하는 단계를 포함한다.
일 실시 예에 따르면, 상기 가상 머신을 생성하는 단계에서는 상기 사용자 정보에 따라 복수의 가상 머신들 중 어느 하나의 가상 머신이 선택적으로 생성되며, 상기 파일에 대한 검증은 상기 어느 하나의 가상 머신에 따라 서로 다른 방식으로 이루어질 수 있다.
일 실시 예에 따르면, 제1 가상 서버에 의하여 제1 파일에 대한 검증이 이루어지는 중에 제2 파일에 대한 검증 요청이 수신되는 경우, 상기 제1 가상 서버와 다른 제2 가상 서버에 의하여 상기 제2 파일에 대한 검증이 이루어지도록 상기 제2 가상 서버를 생성하는 단계를 더 포함할 수 있다.
일 실시 예에 따르면, 상기 제1 파일에 대한 검증이 완료되는 경우, 상기 제1 가상 서버를 초기화하는 단계를 더 포함할 수 있다.
일 실시 예에 따르면, 상기 제1 가상 서버가 초기화되는 경우, 상기 제1 가상 서버에 할당된 자원을 상기 제2 가상 서버에 재할당하는 단계를 더 포함할 수 있다.
본 발명에 따르면, 저장매체에 저장된 파일을 원격으로 검사하는 파일 검증시스템이 제공되며, 사용자의 저장매체 바이러스 검사를 위한 원거리 방문의 번거로움을 해소시켜, 사용자의 시간적, 경제적 부담을 완화한다.
기존에 수기로 관리하던 사용자 인증이력 및 바이러스 검사이력 등을 실시간으로 시스템에 기록함으로써 보안관리 대장 현황을 효과적으로 관리할 수 있다.
본 발명에 따르면, 저장매체에 대한 바이러스 검사여부 확인 및 통제가 가능해지므로, 바이러스 미검사 저장매체를 통제할 효율적 사이버 안전망이 구축된다.
도 1은 종래 파일을 검사하는 방법을 설명하기 위한 개념도
도 2는 본 발명의 일 실시 예에 따른 저장매체 통제 시스템을 설명하기 위한 블록도
도 3은 도 2의 저장매체 통제 시스템에 의한 파일 검증 방법을 설명하기 위한 흐름도
도 4는 저장매체 통제 시스템을 좀 더 구체적으로 설명하기 위한 개념도
도 5는 서버가 가상 머신을 위해 자원을 할당하는 방법을 설명하기 위한 개념도
도 6은 사용자 인증 등을 통해 서버로의 접근을 차단하는 방법을 설명하기 위한 개념도
도 7은 본 발명의 일 실시 예에 따른 파일 검증 방법을 설명하기 위한 흐름도
도 8은 본 발명의 일 실시 예에 따른 검증 장치를 설명하기 위한 구성도
도 9는 본 발명의 일 실시 예에 따른 서버 및 입력 장치를 설명하기 위한 구성도
도 10은 본 발명의 일 실시 예에 따른 저장매체 검증 방법을 설명하기 위한 흐름도
이하, 첨부된 도면을 참조하여 본 명세서에 개시된 실시 예를 상세히 설명하되, 도면 부호에 관계없이 동일하거나 유사한 구성요소에는 동일한 참조 번호를 부여하고 이에 대한 중복되는 설명은 생략하기로 한다. 이하의 설명에서 사용되는 구성요소에 대한 접미사 "모듈" 및 "부"는 명세서 작성의 용이함만이 고려되어 부여되거나 혼용되는 것으로서, 그 자체로 서로 구별되는 의미 또는 역할을 갖는 것은 아니다. 또한, 본 명세서에 개시된 실시 예를 설명함에 있어서 관련된 공지 기술에 대한 구체적인 설명이 본 명세서에 개시된 실시 예의 요지를 흐릴 수 있다고 판단되는 경우 그 상세한 설명을 생략한다. 또한, 첨부된 도면은 본 명세서에 개시된 실시 예를 쉽게 이해할 수 있도록 하기 위한 것일 뿐, 첨부된 도면에 의해 본 명세서에 개시된 기술적 사상이 제한되지 않으며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다.
제1, 제2 등과 같이 서수를 포함하는 용어는 다양한 구성요소들을 설명하는데 사용될 수 있지만, 상기 구성요소들은 상기 용어들에 해 의한정되지는 않는다. 상기 용어들은 하나의 구성요소를 다른 구성요소로부터 구별하는 목적으로만 사용된다.
어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다.
단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다.
본 출원에서, "포함한다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
본 발명에서 설명되는 단말기는 이동 단말기 및 고정 단말기 중 적어도 하나에 해당할 수 있다. 이동 단말기에는 휴대폰, 스마트 폰(smart phone), 노트북 컴퓨터(laptop computer), 디지털방송용 단말기, PDA(personal digital assistants), PMP(portable multimedia player), 네비게이션, 슬레이트 PC(slate PC), 태블릿 PC(tablet PC), 울트라북(ultrabook) 등이 포함될 수 있다. 고정 단말기에는 데스크탑 컴퓨터, 서버 등이 포함될 수 있다.
도 1은 종래 파일을 검사하는 방법을 설명하기 위한 개념도이다.
정보보안 강화방안에 따라 USB, CD등의 저장매체를 기반시설망인 SCADA, DAS, 집감반 등에서 사용하기 위해 바이러스 검사장치인 저장매체 검사전용 PC를 사용하고 있으나 검사 PC는 전국 17개소에서만 설치 운영 중이다.
검사전용 PC는 본부직할 클린Zone에서 설치 운영 중이고 평상시에는 네트워크를 분리하여 운영되며, V3 업데이트 시에만 인터넷망 네트워크에 연결하고, 저장매체 바이러스 검사 시 네트워크를 분리한 후 UBS, CD등의 저장매체에 대한 바이러스 검사 수행하고 있다. 평상시 검사전용 PC가 네트워크와 분리되어 있어 바이러스 검사 전 V3 업데이트틀 위해 많은 시간이 소요되어 사용자 불편 초래하고 있다.
검사전용 PC가 산업부 관리기준에 따라, 본부직할에만 설치되어 운영되고 있어 원거리 사업소 사용자의 경우 USB, CD등의 바이러스 검사를 위해 본부직할을 방문해야 한다. 검사 전용 PC의 사용률이 저조하고, 바이러스 검사를 수행하지 않은 USB, CD 사용으로 기반망에 바이러스 탐지가 지속되고 있다.
나아가, 저장매체 바이러스 검사기록, 사용자 이력의 관리대장 및 결재 등을 수기로 관리하고 있어 효율적 관리에 어려움이 있다.
도 2는 본 발명의 일 실시 예에 따른 저장매체 통제 시스템을 설명하기 위한 블록도이다.
상기 저장매체 통제 시스템은 입력 장치(110), 서버(120), 가상 머신(130) 그리고 검증 장치(140)를 포함한다.
상기 저장매체 통제 시스템은 가상화 기반의 저장매체 검사 시스템으로 저장매체 바이러스 검사를 위한 검사 애플리케이션이 설치된 서버를 설치하고 원거리 사업소에서 더미단말을 이용하여 원격접속을 통해 바이러스 검사를 수행하는 시스템일 수 있다.
가상화 기반의 저장매체 검사시스템은 USB, CD등의 저장매체를 삽입하여 바이러스 검사를 수행하는 입력 장치(110)와 사용자 인증과 바이러스 검사 프로그램이 설치된 서버(120, 또는 검사전용 PC)로 구성될 수 있다.
상기 입력 장치(110)는 저장매체에 저장된 파일에 접근할 수 있도록 이루어지며, 상기 파일에 대한 검증을 요청한 사용자의 사용자 정보를 입력받는다.
상기 입력 장치(110)는 저장장치가 없고 OS가 없는 더미단말(또는 제로 클라인언트)로 CD나 USB 등의 저장매체를 삽입하고, 바이러스 검사를 위해 데이터를 입력할 수 있는 키보드 등의 입력부와 바이러스 검사결과 등을 디스플레이할 수 있는 표시부로 구성될 수 있다.
상기 입력 장치(110)는 외부망에 위치하며, CD/DVD 및 USB 중 적어도 어느 하나의 형태의 저장매체로부터 하나 이상의 검증 대상 파일을 입력받을 수 있다. 또한, 상기 입력 장치(110)는 외부망에 위치한 관리자 단말기로부터 하나 이상의 검증 대상 파일을 입력받을 수도 있다.
상기 입력 장치(110)는 키오스크(Kiosk) 형태로 구현될 수 있으며, 처음 운영 기관에 방문한 외주 업체 직원들도 친숙하게 사용 가능한 형태로 구현될 수 있다.
상기 서버(120)는 상기 사용자 정보를 네트워크를 통해 상기 입력 장치로부터 수신한다. 상기 서버(120)는 상기 사용자 정보에 근거하여 가상 머신(130)을 생성한다.
상기 서버(120)는 입력 장치(110) 및 사용자를 인증하기 위한 인증서버, 가상 머신을 생성할 채널을 설정하는 제어서버, 가상 머신을 생성하고 가상 머신을 관리하는 관리서버, 그리고 사용자 인증, 바이러스 검사 및 검사기록 등의 클린PC 사용이력을 생성하고, 검색하여 출력할 수 있는 운영서버 중 적어도 하나를 포함할 수 있다.
가상 머신(Virtual Machine, VM)은 컴퓨팅 환경을 소프트웨어로 구현한 것으로, 컴퓨터를 에뮬레이션하는 소프트웨어를 의미한다. 가상 머신에서 운영 체제나 응용 프로그램을 설치 및 실행할 수 있다.
가상 머신은 원래 Popek와 Goldberg가 "실제 컴퓨터의 효율적이고 고립된 복제물"로 정의했다. 현재는 "실제 하드웨어와 직접적인 통신이 없는 가상 컴퓨터"를 가리킨다.
가상 머신은 실제 컴퓨터와 어느 정도의 통신과 사용을 기반으로 두 가지로 나뉜다. 시스템 가상 머신은 완전한 시스템 플랫폼을 제공하며, 다시 말해 완전한 운영 체제(OS)의 실행을 지원한다. 반대로, 프로세스 가상 머신은 하나의 단일 프로그램을 실행하기 위해 만들어져 있는데, 다시 말해 단일 프로세스를 지원한다. 가상 머신의 중요한 특징은 가상 머신 안에서 돌아가는 소프트웨어가 가상 머신이 제공하는 환경과 자원에 제한을 받으며 가상 세계를 벗어날 수 없다는 것이다.
실행할 수 있는 기능에 따라 여러 종류의 가상 머신들이 분류될 수 있다.
시스템 가상 머신들은(또한 완전한 가상화 가상 머신들으로 알려진) 실제 기계의 대체제를 제공하고 완전한 운영체계의 실행을 위한 요구되는 기능성의 수준을 제공한다. 하이퍼 바이저는 하드웨어를 공유하고 관리하기 위해 네이티브 실행을 이용한다. 그리고 하이퍼바이저는 독립된 다른 환경들을 같은 물리적인 기계에서 실행하기 위해서 허용한다. 현대의 하이퍼바이저들은 하드웨어의 도움을 받는 가상화를 이용하는데, 그것들은 주로 CPU들의 특정 하드웨어 기능을 사용하여 효과적이고 완전한 가상화를 제공한다. 프로세스 가상머신들은 플랫폼에 독립적인 프로그램 실행 환경과 추상화를 제공하여 하나의 프로그램을 실행하도록 설계되었다.
시스템 가상 머신은 때로 하드웨어 가상 머신이라고 하며 각 운영 체제를 실행하는 가상 머신 사이의 기초가 되는 물리 컴퓨터를 다중화(multiplex)한다. 가상화를 제공하는 소프트웨어 계층은 가상 머신 모니터 또는 하이퍼바이저라고 한다. 하이퍼바이저는 순 그대로의 하드웨어 또는 호스트 운영 체제 위에서 실행할 수 있다.
시스템 가상 머신의 주요 이점은 첫째, 여러 운영 체제를 쓰는 환경은 운영 체제가 완벽히 고립된 채로 같은 컴퓨터에서 존재할 수 있다는 것이고, 둘째, 가상 머신은 실제의 컴퓨터가 제공하는 것과 다른 형태의 명령어 집합 구조 (ISA)를 제공한다는 점이다.
프로세스 가상 머신은 응용 프로그램 가상 머신이라고도 하며, 운영 체제 안에서 일반 응용 프로그램을 돌리고 단일 프로세스를 지원한다. 프로세스가 시작하고, '끝내기'되어 파괴될 때 만들어진다. 목적은 플랫폼 - 아무 플랫폼에서나 같은 방식으로 실행하는 프로그램을 허용하고 기초가 되는 하드웨어나 운영 체제의 상세한 부분을 가져오는 독립 프로그래밍 환경을 제공하기 위함이다.
상기 가상 머신(130)은 저장매체에 저장된 파일을 검증하고 검증 결과 정보를 상기 서버(120) 및 상기 입력 장치(110) 중 적어도 하나로 전송할 수 있다.
상기 가상 머신(130)은 망 분리를 구축한 운영기관에서, 내부망으로 배포 또는 전달하고자 하는 파일들의 악성코드 감염 여부 검사 및 위변조 여부 검사를 간편하고 효율적으로 수행하고, 검증이 완료된 안전한 파일만 내부망으로 유입될 수 있도록 한다.
검증 장치(140)는 사용자가 소지한 저장매체를 검증하는 기능을 수행한다.
구체적으로, 검증 장치(140)는 파일이 저장된 저장매체가 삽입되는 경우, 상기 파일에 대한 검증을 요청한 사용자의 사용자 정보를 입력받고, 상기 사용자 정보에 근거하여 상기 파일을 검증하며, 검증이 성공한 경우 상기 저장매체에 대응하는 고유의 식별코드를 생성한다.
서버(120)는 상기 식별코드 및 상기 사용자 정보를 수신하는 것에 응답하여 상기 저장 매체를 위한 일회용 비밀번호를 생성한다. 상기 일회용 비밀번호는 OTP(One Time Password)로 호칭될 수 있다. 상기 일회용 비밀번호는 소정 주기마다 변경될 수 있고, 각 일회용 비밀번호에는 유효기간이 설정될 수 있다.
상기 입력 장치(110)는 검증된 저장매체에 대해서만 접근을 허용하도록 이루어진다. 구체적으로, 상기 입력 장치(110)는 상기 저장매체가 삽입되는 경우, 상기 저장매체에 대한 접근을 제한하는 잠금화면을 출력하며, 상기 잠금화면을 통해 사용자 비밀번호가 수신되는 경우, 상기 사용자 비밀번호를 상기 서버로 전송한다.
서버(120)는 상기 일회용 비밀번호 및 상기 사용자 비밀번호가 일치하는 경우, 상기 저장매체에 대한 접근을 허용하도록 제어하는 제어메시지를 상기 입력 장치(110)로 전송한다. 상기 입력 장치(110)는 상기 제어메시지가 수신된 경우에 한하여 상기 저장매체에 대한 접근을 허용한다. 상기 제어메시지가 수신되기 전까지 상기 저장매체에 대한 접근이 허용되지 않으며, 상기 저장매체와 상기 입력 장치(110) 사이에 물리적인 연결을 해제할 수 있다. 이를 통해, 상기 저장매체에 저장되어 있는 파일의 바이러스가 상기 입력 장치(110)로 유입되는 것을 사전에 차단할 수 있다.
상기 서버(120)는 상기 식별코드를 이용하여 상기 입력 장치에 삽입된 상기 저장매체를 검증한다.
상기 서버(120)는 상기 저장매체의 전체용량, 저장되어 있는 전체 파일수, 가장 최근에 수정된 파일 중 적어도 하나를 이용하여 상기 식별코드에 대응하는 상기 저장매체의 무결성을 검증할 수 있다.
상술한 저장매체 검증 시스템에 의하면, 바이러스 미검사 저장매체에 대해 SCADA, DAS 등의 기반시설에서의 사용을 원천 차단하기 때문에, 정보통신기반시설의 사이버 안전성을 확보할 수 있으며, 안정적 전력공급에 기여할 수 있다.
기반시설에 사용될 저장매체에 대해 검증 장치 및/또는 입력 장치의 사용을 의무화 할 기술적 통제기반을 확보할 수 있으며, 바이러스 감염을 사전 예방하여 정보통신기반시설의 정보보안 수준 향상시킬 수 있다.
바이러스, 해킹 등의 사이버 위협에 대해 체계적으로 관리할 수 있는 사이버 안전 인프라 가 구축되며, 주요 정보통신기반시설의 보안취약점 강화할 수 있다. 저장매체에 대한 무결성 확보로 저장매체에 의한 사내망 보안위협을 원천 차단할 수 있다.
도 3은 도 2의 저장매체 통제 시스템에 의한 파일 검증 방법을 설명하기 위한 흐름도이다.
상기 서버(120)는 상기 입력 장치(110)를 통해 파일에 대한 검증을 요청한 사용자의 사용자 정보를 네트워크를 통해 수신한다(S310).
먼저, 사용자는 아이디와 비밀번호를 이용하여 사용자 인증을 진행하거나 자신의 보안카드를 이용하여 사용자 인증을 진행할 수 있다. 입력된 사용자 정보는 상기 서버(120)로 전송된다.
상기 서버(120)는 사용자 정보에 근거하여 가상 머신(130)을 생성한다(S330).
사용자 정보에 의한 인증이 완료되는 경우, 가상 머신(130)이 생성되고, 인증이 완료되지 않는 경우, 가상 머신(130)은 생성되지 않는다.
상기 서버(120)는 상기 사용자 정보에 따라 복수의 가상 머신들 중 어느 하나의 가상 머신을 선택적으로 생성하며, 상기 파일에 대한 검증이 상기 어느 하나의 가상 머신에 따라 서로 다른 방식으로 이루어질 수 있다.
상기 서버(120)는 상기 파일을 펌웨어 파일, 패치 파일, 문서 파일 및 기타 파일 중 적어도 어느 하나의 파일 유형으로 분류하는 파일 분류부, 분류된 상기 파일을 복수의 가상 머신들 중 상기 파일 유형에 상응하는 어느 하나의 가상 머신을 선택하는 가상 머신 선택부 및 상기 파일에 대한 검증이 완료되는 경우, 상기 파일을 이용하여 내부망 전달용 파일을 생성하는 전달용 파일 생성부 중 적어도 하나를 포함할 수 있다.
파일 분류부는 입력받은 검증 대상 파일을 파일의 유형별로 분류하고, 파일 유형의 분류 결과를 출력할 수 있다. 파일 분류부는 각각의 검증 대상 파일을 펌웨어 파일, 패치 파일, 문서 파일 및 기타 파일 중 어느 하나의 파일 유형으로 분류할 수 있다. 그리고 분류 결과 출력부가 사용자에게 파일 유형의 분류 결과를 출력하여 제공한 후, 파일 분류부는 사용자로부터 검증 대상 파일의 재분류를 입력받아, 검증 대상 파일의 유형을 설정할 수 있다.
파일 분류부는 1차적으로 자동으로 파일의 유형을 분류할 수 있으며, 1차 분류 결과를 사용자에게 제공하고, 사용자로부터 2차 분류를 입력받아 최종적으로 검증 대상 파일의 파일 유형을 분류할 수 있다. 그리고 파일 분류부는 사용자로부터 하나 또는 복수 개의 검증 대상 파일들의 파일 유형을 선택적으로 정정할 수 있다.
이때, 파일 분류부는 기 설정된 정책에 의해 특정한 파일 유형으로 분류되지 않은 검증 대상 파일(미분류 파일)에 대하여, 사용자로부터 신규 분류를 입력받을 수 있다. 또한, 파일 분류부는 기 설정된 정책에 의해 어느 하나의 파일 유형으로 기 분류된 검증 대상 파일에 대하여, 사용자로부터 재분류를 입력받을 수 있다.
예를 들어, 파일 분류부가 검증 대상 파일 중 하나인 파일 A를 펌웨어 파일로 분류하였으나 사용자가 파일 A가 내부망으로 유입(전달)되지 않기를 희망하는 경우, 파일 분류부는 사용자로부터 기 분류된 검증 대상 파일인 파일 A를 미분류 파일로 다시 분류하는 재분류를 입력받을 수 있다.
파일 분류부가 검증 대상 파일 중 하나인 파일 B를 패치 파일로 분류하였으나 사용자가 파일 유형의 분류 결과를 확인한 결과 파일 B의 파일 유형이 잘못 분류된 것으로 판단한 경우, 파일 분류부는 사용자로 부터 기 분류된 검증 대상 파일인 파일 B를 펌웨어 파일로 다시 분류하는 재분류를 입력받을 수 있다.
사용자로부터 재분류를 입력받을 때, 파일 분류부(330)는 이미 특정 유형으로 분류되어 사용자에 의한 2차 분류가 불가능한 지정 파일 유형에 대해서는 2차 분류를 허용하지 않고, 파일 유형의 변경이 가능한 비지정 파일 유형에 대해서만 사용자로부터 2차 분류를 입력받을 수 있다.
즉, 관리자에 의해 유입 불허 형태의 파일에 대한 시스템 정책이 기 설정되어 있는 경우, 파일 분류부는 유입 불허 형태의 파일에 대해서는 사용자의 2차 분류를 허용하지 않는다.
파일 분류부에서 분류되지 않은 파일 또는 유입 불허 형태의 파일은 파일 검증부(350)에 의한 검증 대상에서 제외된다. 또한, 전달용 파일 생성부의 내부망 전달용 파일 생성 과정에서도 제외되므로 내부망으로 유입되지 못한다.
가상 머신(130)은 분류된 검증 대상 파일을 파일 유형에 상응하는 검증 방법으로 검증한다. 가상 머신(130)은 파일 유형이 분류된 검증 대상 파일의 악성코드 감염 여부, 파일 위변조 여부 등을 검사하여, 내부망으로 유입하고자 하는 검증 대상 파일의 무결함을 검증할 수 있다.
가상 머신(130)은 검증 대상 파일의 파일 유형이 펌웨어 파일인 경우, 펌웨어 RDS 데이터를 기반으로 RDS(Reference Data Set) 검사를 수행할 수 있다. 또한, 파일 검증부(350)는 검증 대상 파일의 파일 유형이 패치 파일인 경우, 코드 사인 검증을 수행하여 검증 대상 파일의 변조 여부를 검사할 수 있다. 그리고 가상 머신(130)은 파일 유형이 문서 파일인 경우, 숨겨진 스크립트 및 매크로 중 적어도 어느 하나의 존재 여부를 판단할 수 있다.
설명의 편의상, 가상 머신(130)은 검증 대상 파일의 파일 유형에 상응하는 검증 방법으로 검증 대상 파일을 검증하는 것으로 설명하였으나 이에 한정하지 않고, 파일 검증부(350)는 모든 검증 대상 파일에 대하여 백신 검사를 수행할 수 있으며, 모든 검증 대상 파일에 대하여 위변조 여부 검사를 수행할 수 있다.
이때, 가상 머신(130)은 파일 유형에 상응하는 검증 방법으로 검증 대상 파일을 검증하기 이전에 모든 검증 대상 파일에 대한 백신 검사 및 위변조 여부 검사를 수행하거나, 파일 유형에 상응하는 검증 방법으로 검증을 수행한 후에 백신 검사 및 위변조 여부 검사를 수행할 수 있으며, 백신 검사 및 위변조 여부 검사의 수행 순서는 이에 한정되지 않는다.
검증 대상 파일의 검사를 완료한 후, 가상 머신(130)은 수행된 검사의 정보 및 검사의 결과를 사용자에게 제공할 수 있다. 이때, 가상 머신(130)은 전체 검증 대상 파일의 수, 검증에 성공한 파일의 정보, 검증에 실패한 파일의 정보 등을 사용자에게 제공할 수 있다.
서버(120) 또는 가상 머신(130)은 입력받은 하나 이상의 검증 대상 파일을 파일 유형별로 분류하고, 파일 유형에 상응하는 검증 방법으로 검증 대상 파일을 검증할 수 있다.
상기 입력 장치(110)는 서로 다른 장소에 위치한 복수의 입력 장치들을 포함할 수 있다. 예를 들어, 상기 입력 장치(110)는 다양한 장소에 배치될 수 있고, 동시에 또는 순차적으로 서로 다른 파일에 대한 검증을 상기 서버(120)로 요청할 수 있다.
상기 서버(120)는 상기 복수의 입력 장치들 각각에 대하여 서로 다른 가상 머신을 생성할 수 있다. 예를 들어, 상기 서버(120)는 제1 가상 서버에 의하여 제1 파일에 대한 검증이 이루어지는 중에 제2 파일에 대한 검증 요청이 수신되는 경우, 상기 제1 가상 서버와 다른 제2 가상 서버에 의하여 상기 제2 파일에 대한 검증이 이루어지도록 상기 제2 가상 서버를 생성할 수 있다.
상기 서버(120)는 상기 제1 파일에 대한 검증이 완료되는 경우, 상기 제1 가상 서버를 초기화하고, 상기 제1 가상 서버가 초기화되는 경우, 상기 제1 가상 서버에 할당된 자원을 상기 제2 가상 서버에 재할당할 수 있다.
상기 입력 장치(110)는 상기 파일을 상기 저장매체로부터 추출해 상기 서버(120)로 전송하며, 상기 서버(120)는 상기 입력 장치(110)로부터 수신된 상기 파일을 상기 가상 머신(130)으로 전달할 수 있다. 이와 달리, 상기 가상 머신은 상기 입력 장치(110)에 대한 접근 권한을 획득하고, 상기 가상 머신이 상기 저장매체로 직접 접속하여 상기 저장매체에 저장된 파일을 검증하는 것도 가능하다.
상기 서버(120)는 가상 머신(130)을 통해 상기 파일을 검증하고 검증 결과 정보를 전송한다(S350).
상기 가상 머신(130)은 상기 파일에 대한 백신 검사 및 위변조 검사 중 적어도 어느 하나를 포함하는 공통 검사를 수행한 후, 상기 파일 유형에 따라 가변되는 서로 다른 검증 방법으로 개별 검사를 수행할 수 있다.
검증이 완료되는 경우, 상기 가상 머신(130)은 검증이 완료된 검증 대상 파일을 이용하여 내부망 전달용 파일을 생성할 수 있다.
상기 서버(120)는, 상기 검증 결과 정보 및 상기 사용자 정보를 데이터베이스에 장할 수 있다.
도 4는 저장매체 통제 시스템을 좀 더 구체적으로 설명하기 위한 개념도이다.
도 4를 참조하면, 입력 장치(110)에 입력된 사용자 정보에 근거하여 사용자 인증이 이루어진다. 사용자 인증은 원거리 사업소의 사용자가 입력 장치(110)를 부팅시키고, 서버(120)의 인증서버를 통해 인증을 시행하는데, 가상PC 인증용 ID 및 PW를 입력하여 가상PC 인증을 최초로 시행하고, SSO 인증 또는 사번을 입력하여 직원인증을 시행하여 총 2단계 사용자 인증을 시행한다.
도 5는 서버가 가상 머신을 위해 자원을 할당하는 방법을 설명하기 위한 개념이다. 도 5를 참조하면, 가상화시스템의 관리서버는 물리적 서버의 용량과 동시사용자수를 고려하여 가상 머신을 생성 하는데, 그 중 4개 채널은 인증서버, 제어서버, 관리서버, 운영서버로 각각 사용되고, 나머지 채널은 입력 장치의 가상 머신에 사용되며, 각각의 채널 할당은 제어서버를 통해 이루어진다.
가상 머신이 사용 중이거나, 초기화 중에도 다른 가상 머신을 사용할 수 있고, 실시간 백신 업데이트된 가상 머신을 통해 바이러스 검사가 가능해 빠른 바이러스 검사가 가능하다.
도 6은 사용자 인증 등을 통해 서버로의 접근을 차단하는 방법을 설명하기 위한 개념도이다. 도 6을 참조하면, 네트워크 접속을 통해 일반 PC가 서버(120)에 접속할 수 없도록 방화벽 등을 설치하여, 등록된 입력 장치(110)만 서버(120)에 접속할 수 있어야 한다.
관리서버는 네트워크에 상시 연결되어 있어 실시간으로 업데이트된 바이러스 검사를 위해 백신배포서버에 접속할 수 있어야 하며, 사용신청 및 메일연동을 위해 사내포털시스템과 실시간으로 접속할수 있어야 하며, 사용자 인증결과 및 바이러스 검사결과를 기록할 수 있는 운영서버가 있어야 한다.
USB, CD등의 저장매체 검사를 위해 사용자는 KEPCO-EPi 서버에 저장매체 검사 목록을 신청하면, KEPCO-EPi 서버는 검사목록을 관리서버로 전달한다.
사용자 인증이 완료되면 신청목록 창 팝업이 뜨는데, 사용자는 신청한 저장매체 목록을 확인 후 확인 버튼을 클릭하면, 사용자 이용자 정보, 매체정보(CD/USB 등), 내용, 목적, 사용처 등의 기본 정보는 관리서버를 통해 운영서버에 기록된다.
신청목록 확인 절차가 완료 후, 자동으로 검사PC 사용원칙, 이용절차 및 감염 CD 사용금지 사항 등의 공지 창 팝업이 뜨는데, 공지 팝업을 바이러스 검사 종료될 때까지 지속적으로 띄워 바이러스 검사 목적의 다른 작업을 못하도록 원천 차단한다.
청목록 확인 절차 후 USB, CD 등의 저장매체에 대해 바이러스 검사를 시행하는데, 바이러스 검사는 가상 머신의 백신을 통해 수행되며, 사용자가 바이러스 검사 창에 검사 시작 버튼을 클릭하면, V3검사와 Symantec 검사 등의 2단계 정밀검사가 수행되며, 바이러스 검사가 완료되면 검사결과를 클린PC운영서버에 기록하고, 검사결과 메시지 팝업을 생성한다. 바이러스 검사 중 바이러스가 발견되면 바로 검사가 종료되고, 클린PC운영서버에 검사결과를 기록하고, 바이러스가 탐지되었다는 메시지 팝업을 생성하며, 관리자에게 바이러스 탐지결과 메일을 송신할 수 있다.
도 7은 본 발명의 일 실시 예에 따른 파일 검증 방법을 설명하기 위한 흐름도이다.
사용자 인증 및 파일 신청 목록 작성이 완료되면 공지창이 입력 장치(110)의 표시부를 통해 출력된다. 공지창에 출력되는 동안 V3 검사 및 Symantec 검사 등이 이루어지며, 바이러스 발견시 메일 등으로 검증을 강제 종료 한다. 검증이 완료되는 경우, 관리대장을 업데이트 한다.
가상시스템 관리자는 대장관리 서버를 통해 가상PC 사용자 이력 및 바이러스 검사기록 등의 관리대장 목록에 대해 온라인 조회가 가능하고, 리스트로 출력할 수 있어야 하며, 관리대장은 메일을 통해 온라인 결재시행이 가능하다.
도 8은 본 발명의 일 실시 예에 따른 검증 장치를 설명하기 위한 구성도이다.
저장매체 검증 시스템(또는, 바이러스 미검사 저장매체 통제시스템)은 바이러스 검사를 수행한 저장매체에 인증코드를 생성하여 인증된 저장매체만 내부망(또는, 기반시설)에 반입할 수 있게 하고, 바이러스 미검사한 저장매체에 대해 기반시설에 반입할 수 없게 하는 통제시스템이다.
저장매체 검증 시스템은 USB, CD등의 저장매체를 삽입하여 바이러스 검사를 수행한 후 식별코드를 생성하는 검증 장치(140), 식별코드를 수신하여 사용자에게본인인증용 OTP코드를 전송하고 본인인증용 OTP코드와 매체인증코드를 비교하여 본인인증과 저장매체에 대한 매체인증을 수행하는 서버(120)로 구성된다. 입력 장치(110)는 저장매체가 삽입된 경우 서버(120)로부터 저장매체 사용승인(또는 제어메시지)이 있는 경우에 한하여 저장매체에 대한 접근을 허용한다.
검증 장치(140)는 사용자가 저장매체의 바이러스 검사를 위해 사용자 사번을 입력하면 서버(120)를 통해 사용자 인증을 한다. 사용자 인증이 완료되면 USB, CD등의 저장매체를 검증 장치(140)에 삽입된 바이러스 검사가 이루어진다. 상기 바이러스 검사는 상기 서버(120) 또는 상기 검증 장치(140)의 가상 머신에 의하여 수행될 수 있다. 바이러스 검사가 완료되면 검증 장치(140)는 바이러스 검사결과 정보, 사용자 정보, 저장매체 정보 중 적어도 하나에 근거하여 식별코드를 생성하고, 식별코드를 암호화하여 서버(120)에 전송한다.
저장매체에 대한 바이러스 검사결과 정보는 정상, 비정상으로 구분되는데, 바이러스 미발견시 정상 값이 나오고, 바이러스 발견시 비정상 값이 나오나, 바이러스 치료시 정상 값으로 검사결과 값이 변경될 수 있다.
식별코드는 검증 장치(140)에서 바이러스 검사를 한 저장매체와 입력 장치(110)에서 사용될 저장매체의 동일여부를 판단하기 위해 사용된다. 서버(120)는 USB, CD등 저장매체의 전체용량, 최초정보, 마지막정보, 파일 수 등의 값으로 무결성을 검증할 수 있다.
상기 서버(140)는 상기 저장매체의 전체용량, 저장되어 있는 전체 파일수, 가장 최근에 수정된 파일 중 적어도 하나를 이용하여 상기 식별코드에 대응하는 상기 저장매체의 무결성을 검증할 수 있다.
바이러스 검사 완료 후 생성된 저장매체의 식별코드는 저장매체정보와 사용자 정보 등과 함께 암호 hash(SHA256)에 의하여 안전하게 암호화 되어 서버로 전송되고, 서버(140)에 저장될 수 있다.
도 9는 본 발명의 일 실시 예에 따른 서버 및 입력 장치를 설명하기 위한 구성도이다.
서버(120)는 검증 장치(140)로부터 식별코드를 수신하면, 검증 장치(140)로 통해 수신된 사용자 정보를 기반으로 본인인증 OTP코드(또는, 일회용 비밀번호)를 생성할 수 있다. 생성된 OTP코드는 SMS서버를 통해 사용자 휴대폰으로 전소오딜 nt 있다. 생성된 OTP코드에는 유효기간이 설정될 수 있으며, 유효기간 내에만 사용될 수 있다. 이후에는 저장매체의 사용이 불가하므로, OTP 코드는 자동으로 파기된다.
서버(120)는 사용자가 기반시설에서 USB, CD등의 저장매체를 사용하기 위한 저장매체인증 및 통제를 수행하는데, 초기 설정은 차단으로 설정되어 있어, 본인인증과 매체인증을 통해 정상 인증 후에 입력 장치(110)를 통한 저장매체의 사용이 허용된다.
입력 장치(110)에 파일이 저장된 저장매체가 삽입되는 경우, 입력 장치(110)는 상기 저장매체에 대한 접근을 제한하는 잠금화면을 출력한다. 입력 장치(110)는 상기 잠금화면을 통해 사용자 비밀번호가 수신되는 경우, 상기 사용자 비밀번호를 상기 서버(120)로 전송한다.
다시 말해, 사용자가 서버(142)에서 SMS로 전송된 본인인증용 OTP코드를 입력 장치(110)에 입력하면, 1단계 본인 인증으로 OTP코드 검증이 이루어진다. OTP 코드 정상 인증시 입력 장치(110)에 의한 저장매체에 대한 읽기가 허용한다. 이때 물리적인 연결이 해제상태에서 연결상태로 가변될 수 있다.
저장매체 읽기가 허용되면 저장매체를 내부망에 반입하여, 2단계 매체인증을 수행한다. 보다 구체적으로, 상기 서버(120)는 저장매체에 저장된 파일 및 상기 저장매체에 대응하는 고유의 식별코드를 이용하여 상기 저장매체에 대한 무결성(또는 유효성) 검증을 수행할 수 있다. 나아가, 서버(120)는 상기 입력 장치(110)에 저장된 파일을 읽어와 가상 머신(130)을 통해 파일 검증을 수행할 수 있다.
사용자는 복수의 저장매체를 기반시설등 내부PC망에서 사용할 경우 각각의 본인인증코드와 매체인증코드를 생성하여 정상인증시에 한해 저장매체 반입이 가능하다.
도 10은 본 발명의 일 실시 예에 따른 저장매체 검증 방법을 설명하기 위한 흐름도이다.
상기 검증 장치(140)에서는 사용자 정보(SSO)를 입력받아 사용자 인증을 수행할 수 있다. 이후 바이러스 검사를 통해 저장매체에 대한 정상/비정상을 판단한다.
감염된 바이러스에 대한 치료가 불가능한 경우에는 저장매체에 대한 식별코드 생성이 제한된다. 감염된 바이러스가 없거나 감염된 바이러스가 치료된 경우에는 저장매체에 대한 식별코드가 생성되어 서버(120)로 전송된다.
상기 서버(120)는 사용자 정보 및 식별코드가 수신되는 것에 응답하여 일회용 비밀번호를 생성한다. 상기 저장매체가 상기 입력 장치(110)에 삽입되는 경우, 상기 입력 장치(110)를 통해 사용자 비밀번호가 수신되며, 상기 서버(120)는 사용자 비밀번호와 일회용 비밀번호가 일치되는 경우에 저장매체에 대한 읽기 권한을 부여한다. 일치되지 않는 경우에는 읽기 권한이 부여되지 않으며 저장매체에 대한 차단이 유지된다.
읽기 권한이 부여된 입력 장치(110)는 저장매체에 저장된 파일정보를 읽어와 서버(120)로 전송할 수 있다. 서버(120)는 상기 파일정보와 상기 저장매체에 대응하는 고유의 식별코드를 이용하여 상기 저장매체에 대한 무결성을 검증한다. 무결성 검증이란 식별코드가 생성되었던 시점과 무결성을 검증하는 시점에서 저장매체에 저장된 파일들이 완전히 동일한지 여부를 검증하는 것이다. 무결성이 검증된 경우에는 상기 저장매체에 대한 읽기 및 쓰기 권한이 부여되지만, 이와 달리 무결성이 검증되지 않는 경우에는 상기 저장매체에 대한 쓰기 권한이 부여되지 않는다.
무결성이 검증된 저장매체만 내부망에 연결된 입력 장치(110)에서 사용될 수 있기 때문에, 바이러스 등이 내부망으로 침투되는 것을 사전에 차단할 수 있다. 본 발명에 따르면, 저장매체에 대한 바이러스 검사여부 확인 및 통제가 가능해지므로, 바이러스 미검사 저장매체를 통제할 효율적 사이버 안전망이 구축된다.
본 발명은, 프로그램이 기록된 매체에 컴퓨터가 읽을 수 있는 코드로서 구현하는 것이 가능하다. 컴퓨터가 읽을 수 있는 매체는, 컴퓨터 시스템에 의하여 읽혀질 수 있는 데이터가 저장되는 모든 종류의 기록장치를 포함한다. 컴퓨터가 읽을 수 있는 매체의 예로는, HDD(Hard Disk Drive), SSD(Solid State Disk), SDD(Silicon Disk Drive), ROM, RAM, CD-ROM, 자기 테이프, 플로피 디스크, 광 데이터 저장 장치 등이 있으며, 또한 캐리어 웨이브(예를 들어, 인터넷을 통한 전송)의 형태로 구현되는 것도 포함한다. 또한, 상기 컴퓨터는 단말기를 포함할 수도 있다.
따라서, 상기의 상세한 설명은 모든 면에서 제한적으로 해석되어서는 아니되고 예시적인 것으로 고려되어야 한다. 본 발명의 범위는 첨부된 청구항의 합리적 해석에 의해 결정되어야 하고, 본 발명의 등가적 범위 내에서의 모든 변경은 본 발명의 범위에 포함된다.
100: 저장매체 통제 시스템
110: 입력 장치
120: 서버
130: 가상 머신
140: 검증 장치

Claims (11)

  1. 파일이 저장된 저장매체가 삽입되는 경우, 상기 파일에 대한 검증을 요청한 사용자의 사용자 정보를 입력받고, 상기 사용자 정보에 근거하여 상기 파일을 검증하며, 검증이 성공한 경우 상기 저장매체에 대응하는 고유의 식별코드를 생성하는 검증 장치;
    상기 식별코드 및 상기 사용자 정보를 수신하는 것에 응답하여 상기 저장 매체를 위한 일회용 비밀번호를 생성하는 서버; 및
    상기 저장매체가 삽입되는 경우, 상기 저장매체에 대한 접근을 제한하는 잠금화면을 출력하며, 상기 잠금화면을 통해 사용자 비밀번호가 수신되는 경우, 상기 사용자 비밀번호를 상기 서버로 전송하는 입력 장치를 포함하며,
    상기 서버는,
    상기 파일을 펌웨어 파일, 패치 파일, 문서 파일 및 기타 파일 중 적어도 어느 하나의 파일 유형으로 분류하고, 상기 파일 유형에 상응하는 검증 방법으로 상기 파일을 검증하며,
    상기 일회용 비밀번호 및 상기 사용자 비밀번호가 일치하는 경우, 상기 저장매체에 대한 접근을 허용하도록 제어하는 제어메시지를 상기 입력 장치로 전송하는 것을 특징으로 하는 저장매체 통제 시스템.
  2. 제1항에 있어서,
    상기 서버는,
    상기 식별코드를 이용하여 상기 입력 장치에 삽입된 상기 저장매체를 검증하는 것을 특징으로 하는 저장매체 통제 시스템.
  3. 제2항에 있어서,
    상기 서버는 상기 식별코드를 이용하여 가상 머신을 생성하며,
    상기 가상 머신은 상기 파일을 검증하고 검증 결과 정보를 상기 서버 및 상기 입력 장치 중 적어도 하나로 전송하는 것을 특징으로 하는 저장매체 통제 시스템.
  4. 제3항에 있어서,
    상기 서버는,
    상기 식별코드에 따라 복수의 가상 머신들 중 어느 하나의 가상 머신을 선택적으로 생성하며,
    상기 파일에 대한 검증이 상기 어느 하나의 가상 머신에 따라 서로 다른 방식으로 이루어지는 것을 특징으로 하는 저장매체 통제 시스템.
  5. 제3항에 있어서,
    상기 서버는,
    상기 파일을 펌웨어 파일, 패치 파일, 문서 파일 및 기타 파일 중 적어도 어느 하나의 파일 유형으로 분류하는 파일 분류부;
    분류된 상기 파일을 복수의 가상 머신들 중 상기 파일 유형에 상응하는 어느 하나의 가상 머신을 선택하는 가상 머신 선택부; 및
    상기 파일에 대한 검증이 완료되는 경우, 상기 파일을 이용하여 내부망 전달용 파일을 생성하는 전달용 파일 생성부를 포함하는 것을 특징으로 하는 저장매체 통제 시스템.
  6. 제5항에 있어서,
    상기 가상 머신은,
    상기 파일에 대한 백신 검사 및 위변조 검사 중 적어도 어느 하나를 포함하는 공통 검사를 수행한 후, 상기 파일 유형에 따라 가변되는 서로 다른 검증 방법으로 개별 검사를 수행하는 것을 특징으로 하는 저장매체 통제 시스템.
  7. 제3항에 있어서,
    상기 서버는,
    제1 가상 서버에 의하여 제1 파일에 대한 검증이 이루어지는 중에 제2 파일에 대한 검증 요청이 수신되는 경우, 상기 제1 가상 서버와 다른 제2 가상 서버에 의하여 상기 제2 파일에 대한 검증이 이루어지도록 상기 제2 가상 서버를 생성하는 것을 특징으로 하는 저장매체 통제 시스템.
  8. 제7항에 있어서,
    상기 서버는,
    상기 제1 파일에 대한 검증이 완료되는 경우, 상기 제1 가상 서버를 초기화하는 것을 특징으로 하는 저장매체 통제 시스템.
  9. 제8항에 있어서,
    상기 서버는,
    상기 제1 가상 서버가 초기화되는 경우, 상기 제1 가상 서버에 할당된 자원을 상기 제2 가상 서버에 재할당하는 것을 특징으로 하는 저장매체 통제 시스템.
  10. 제2항에 있어서,
    상기 서버는,
    상기 저장매체의 전체용량, 저장되어 있는 전체 파일수, 가장 최근에 수정된 파일 중 적어도 하나를 이용하여 상기 식별코드에 대응하는 상기 저장매체의 무결성을 검증하는 것을 특징으로 하는 저장매체 통제 시스템.
  11. 하나 또는 그 이상의 컴퓨팅 디바이스들에 의하여 수행되는 저장매체 통제 방법으로서,
    파일이 저장된 저장매체가 삽입되는 경우, 상기 파일에 대한 검증을 요청한 사용자의 사용자 정보를 입력받는 단계;
    상기 파일을 펌웨어 파일, 패치 파일, 문서 파일 및 기타 파일 중 적어도 어느 하나의 파일 유형으로 분류하는 단계;
    상기 파일 유형에 상응하는 검증 방법으로 상기 사용자 정보에 근거하여 상기 파일을 검증하는 단계;
    검증이 성공한 경우 상기 저장매체에 대응하는 고유의 식별코드를 생성하는 단계;
    상기 식별코드 및 상기 사용자 정보에 근거하여 상기 저장 매체를 위한 일회용 비밀번호를 생성하는 단계;
    상기 저장매체가 삽입되는 경우, 상기 저장매체에 대한 접근을 제한하는 잠금화면을 출력하는 단계;
    상기 잠금화면을 통해 사용자 비밀번호가 수신되는 경우, 상기 일회용 비밀번호 및 상기 사용자 비밀번호가 일치하는지 여부를 판단하는 단계; 및
    상기 일회용 비밀번호 및 상기 사용자 비밀번호가 일치하는 경우, 상기 저장매체에 대한 접근을 허용하는 단계를 포함하는 저장매체 통제 방법.
KR1020190133185A 2019-10-24 2019-10-24 저장매체 통제 시스템 및 통제 방법 KR102265129B1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020190133185A KR102265129B1 (ko) 2019-10-24 2019-10-24 저장매체 통제 시스템 및 통제 방법

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020190133185A KR102265129B1 (ko) 2019-10-24 2019-10-24 저장매체 통제 시스템 및 통제 방법

Publications (2)

Publication Number Publication Date
KR20210048915A KR20210048915A (ko) 2021-05-04
KR102265129B1 true KR102265129B1 (ko) 2021-06-15

Family

ID=75914155

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020190133185A KR102265129B1 (ko) 2019-10-24 2019-10-24 저장매체 통제 시스템 및 통제 방법

Country Status (1)

Country Link
KR (1) KR102265129B1 (ko)

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101285281B1 (ko) * 2012-03-29 2013-08-23 주식회사 씨디에스 자가조직 저장매체의 보안 시스템 및 그 방법

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20070065852A (ko) * 2007-03-19 2007-06-25 (주)게슈타포 인증번호를 이용한 제품의 정품 인증 방법
KR101062916B1 (ko) * 2008-06-30 2011-09-07 (주)아이티네이드 유에스비 포트용 저장매체의 보안 관리 시스템 및 방법
US20100083381A1 (en) * 2008-09-30 2010-04-01 Khosravi Hormuzd M Hardware-based anti-virus scan service
KR101600694B1 (ko) * 2014-07-23 2016-03-07 농협은행(주) 테이프 백업 데이터 검증 방법

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101285281B1 (ko) * 2012-03-29 2013-08-23 주식회사 씨디에스 자가조직 저장매체의 보안 시스템 및 그 방법

Also Published As

Publication number Publication date
KR20210048915A (ko) 2021-05-04

Similar Documents

Publication Publication Date Title
US7788730B2 (en) Secure bytecode instrumentation facility
CN100533451C (zh) 用于使文件系统免于恶意程序的增强安全层的系统和方法
US9805199B2 (en) Securely booting a computer from a user trusted device
CN110661831B (zh) 一种基于可信第三方的大数据试验场安全初始化方法
US20070180509A1 (en) Practical platform for high risk applications
KR102074074B1 (ko) 암호화폐 계좌 분석 및 Remote Attestation을 활용한 안전한 암호화폐 거래 방법
CN101002156A (zh) 一种能够加速对不期望的或恶意的代码扫描的方法和装置
US20050163317A1 (en) Method and apparatus for initializing multiple security modules
KR20220009388A (ko) 통합되고 격리된 애플리케이션에서 랜섬웨어 경감
CN103329093A (zh) 更新软件
CN1981277A (zh) 隔离系统
CN107665316B (zh) 一种基于认证和可信度量的计算机bios设计方法
US20100153671A1 (en) System and method to secure a computer system by selective control of write access to a data storage medium
KR101989581B1 (ko) 내부망 전달용 파일 검증 장치 및 방법
CN111414612B (zh) 操作系统镜像的安全保护方法、装置及电子设备
CN102289622A (zh) 基于认证策略文件和硬件信息收集的可信开机启动方法
CN110543775B (zh) 一种基于超融合理念的数据安全防护方法及系统
US11941264B2 (en) Data storage apparatus with variable computer file system
KR102265129B1 (ko) 저장매체 통제 시스템 및 통제 방법
KR101445708B1 (ko) 보안 시스템, 이를 위한 단말기 및 보안 방법
US20210334085A1 (en) Systems and methods for secure over-the-air updates for cyber-physical systems
US11080403B1 (en) Securely constructing a trusted virtual environment
KR20210043348A (ko) 파일 검증 시스템 및 그것의 파일 검증 방법
KR102367756B1 (ko) 폐쇄형 내부망으로의 입력 소프트웨어 보안시스템과 보안방법
US11822648B2 (en) Systems and methods for remote anomaly data scanner for cyber-physical systems

Legal Events

Date Code Title Description
E701 Decision to grant or registration of patent right
GRNT Written decision to grant