KR102546068B1 - 위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법 - Google Patents

위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법 Download PDF

Info

Publication number
KR102546068B1
KR102546068B1 KR1020220011946A KR20220011946A KR102546068B1 KR 102546068 B1 KR102546068 B1 KR 102546068B1 KR 1020220011946 A KR1020220011946 A KR 1020220011946A KR 20220011946 A KR20220011946 A KR 20220011946A KR 102546068 B1 KR102546068 B1 KR 102546068B1
Authority
KR
South Korea
Prior art keywords
mail
information
security
threat
level
Prior art date
Application number
KR1020220011946A
Other languages
English (en)
Inventor
김충한
Original Assignee
(주)기원테크
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by (주)기원테크 filed Critical (주)기원테크
Priority to KR1020220011946A priority Critical patent/KR102546068B1/ko
Priority to US18/549,161 priority patent/US20240163299A1/en
Priority to PCT/KR2022/001427 priority patent/WO2023145995A1/ko
Priority to JP2022573722A priority patent/JP2024507423A/ja
Application granted granted Critical
Publication of KR102546068B1 publication Critical patent/KR102546068B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/06—Resources, workflows, human or project management; Enterprise or organisation planning; Enterprise or organisation modelling
    • G06Q10/063—Operations research, analysis or management
    • G06Q10/0635—Risk analysis of enterprise or organisation activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G06F17/10—Complex mathematical operations
    • G06F17/18—Complex mathematical operations for evaluating statistical data, e.g. average values, frequency distributions, probability functions, regression analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/06—Resources, workflows, human or project management; Enterprise or organisation planning; Enterprise or organisation modelling
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/10—Office automation; Time management
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/10—Office automation; Time management
    • G06Q10/107—Computer-aided management of electronic mailing [e-mailing]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/06—Generation of reports
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • General Physics & Mathematics (AREA)
  • Business, Economics & Management (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Human Resources & Organizations (AREA)
  • Strategic Management (AREA)
  • Entrepreneurship & Innovation (AREA)
  • Data Mining & Analysis (AREA)
  • Operations Research (AREA)
  • Economics (AREA)
  • Tourism & Hospitality (AREA)
  • Mathematical Optimization (AREA)
  • Computational Mathematics (AREA)
  • General Business, Economics & Management (AREA)
  • Pure & Applied Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Physics (AREA)
  • Quality & Reliability (AREA)
  • Marketing (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Algebra (AREA)
  • Educational Administration (AREA)
  • Development Economics (AREA)
  • Game Theory and Decision Science (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Databases & Information Systems (AREA)
  • Evolutionary Biology (AREA)
  • Probability & Statistics with Applications (AREA)

Abstract

본 발명의 실시 예에 따른 서비스 제공 장치는, 하나 이상의 사용자 단말 간 송수신되는 메일정보를 수집하는 수집부; 사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭을 처리하고, 상기 매칭 처리된 메일보안 프로세스에 의해 상기 메일정보를 검사하며, 상기 검사결과에 따른 메일보안 검사정보를 저장 및 관리하는 보안위협 검사부; 및 상기 보안위협 검사부의 아키텍처 처리 정보로부터, 진단 대상 메일 시스템의 위협 레벨 요소 분류 기준에 대응하는 정량 분석 정보를 산출하며, 상기 정량 분석 정보 기반의 이메일 보안 진단 분석 리포팅을 구성하여 관리자의 사용자 단말로 제공하는 이메일 보안 진단 서비스부를 포함한다.

Description

위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법{Device and its operation methods for providing E-mail security service using hierarchical architecture based on security level}
본 발명은 이메일 보안 진단 장치 및 그 동작 방법에 관한 것으로, 보다 상세하게는 이메일을 통한 악성 코드 감염, 사회공학적 해킹 등의 사이버 위협을 탐지하고 차단할 수 있는 보안 레벨 기반의 계층적 아키텍처를 이용한 위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법에 관한 것이다.
오늘날의 사회는 전세계적으로 컴퓨터와 정보통신기술의 발전으로 사회 생활의 전 분야에 걸쳐 사이버 의존도가 높아지고 있고 이는 더욱 더 가속화되는 추세에 있다. 근래에는 초고속, 초저지연, 초연결성을 지닌 5G 이동통신이 상용화되고 이를 기반으로 한 새로운 서비스가 등장하면서 사이버보안은 더욱 중요해지고 있다.
사물인터넷(IoT), 클라우드 시스템, 빅데이터, 인공지능(AI) 등의 기술분야는 정보통신기술과 결합하여 새로운 서비스 환경을 제공하고 있다. 이같은 서비스를 제공하는 시스템은 인터넷망 무선망 등을 통하여 PC 또는 휴대용 단말장치 등과 연결되어 실생활에서 이용될 수 있다.
이와 같이 다양한 단말장치 또는 통신기기와 연결되는 정보통신기술이 실생활과 더욱 밀접해지면서, 이를 이용하여 악의적인 의도를 가진 사이버 보안 위협이 나날이 증가하고 있다. 정교화되고 고도화된 사이버 보안 위협은 단체나 기관, 개인의 정보통신 단말장치의 이상 실행을 발생기키거나 관리정보의 위변조를 통한 사람의 실수를 유도하여 정보를 탈취하고 훼손하는 등의 피해를 입힐 수 있다. 또한 사이버 보안 위협을 통해 불법적으로 탈취된 정보는 금전 사기 범죄나 다른 경제적, 사회적 범죄를 저지르는데 이용될 수 있다.
사이버 보안 위협을 차단하고 대응하기 위하여 시스템화된 정보통신기술을 보호하고 관리되는 정보보호시스템이 활용될 수 있다. 정보보호시스템은 다양한 사이버 위협에 대응될 수 있도록 정보통신기술의 시스템 유형 또는 기술 특징에 따라 구축될 수 있고 단계별로 적용될 수 있다.
정보통신기술에서 활용되고 있는 이메일 시스템은 컴퓨터 단말을 통해 이용자 간 통신 회선을 이용하여 메시지를 주고 받을 수 있도록 내용 본문을 포함하는 전자우편물 서비스를 제공할 수 있다. 이 때, 이메일은 공유하고자 하는 내용을 포함하는 전자파일을 첨부할 수 있고 또는 웹사이트 연결 링크(URL; Uniform Resource Locator)를 본문에 기재하거나 첨부파일 내에 삽입할 수 있다.
이같이 이메일 시스템을 통해서 악의적인 의도를 가지고 악성 코드를 포함하는 실행 가능한 전자파일이 첨부되거나 특정 웹 사이트로 연결될 수 있는 URL이 삽입될 수 있다. 이를 통해, 이메일 수신자로 하여금 악성 코드를 실행시키거나 삽입된 URL을 통해 위변조된 웹사이트에 접속함으로써 사용자가 의도하지 않는 정보 처리가 수행되고 정보를 탈취당할 수 있다.
이같이 경제적, 사회적 피해를 유발할 수 있고 다양한 범죄와 연결될 수 있는 이메일 보안 위협에 대응하기 위하여 대한민국 등록특허 제10-1595379호와 같이 '악성코드가 첨부된 전자메일의 통제 및 차단 시스템'이 개시되어 있다. 상기 등록특허에는 외부의 서버 또는 단말기로부터 발송된 전자메일이 방화벽과, 스팸차단 소프트웨어가 내장되어 있는 스팸차단장치를 경유하여 전송되어 오면 대상시스템에서 전자메일을 수신하는 기능과, 상기 전자메일을 대상시스템에서 첨부파일이 있는지 여부를 확인하는데, 첨부파일이 없으면 대상시스템에서 메일서버로 상기 전자메일을 전송하고, 첨부파일이 있으면 사용자 업무 목적에 가장 많이 사용하는 첨부파일의 Type(문서, 압축, 이미지) 이외에는 상기 전자메일을 차단하여 악성코드 감염을 사전 방지하는 기능과, 첨부 파일 Type이 이미지인 경우에는 이미지는 변환이 불가능하므로 악성코드 감염이 불가하여 대상시스템에서 메일서버로 상기 전자메일을 전송하고, 첨부 파일 Type이 문서인 경우에는 수정이 불가능한 형태의 PDF로 문서를 변환하여 문서내부에 악성코드가 반영된 URL등을 메일 수신자가 클릭하여 사용자 단말기에 악성코드 감염되는 경우를 사전에 차단하는 방식으로 대상시스템에서 사용자단말기로 전자메일, 메신저, 모바일, 카카오톡 중에서 단수 또는 복수개로 선택하여 알림메일을 전송하는 기능과, 첨부 파일 Type이 압축 파일인 경우에는 먼저 압축을 해제하여 파일의 Type 분석하고 이미지인 경우에는 상기 방식으로 처리하고, 문서인 경우에는 PDF로 변환하여 상기 방식으로 처리하고, 실행파일인 경우에는 여러 종류의 악성코드 치료 솔루션이 탑재된 Virtual BOX에서 악성코드 감염 검사 및 치료를 실시하고 결과를 포함하는 알림메일을 전자메일, 메신저, 모바일, 카카오톡 중에서 단수 또는 복수개로 선택하여 대상시스템에서 메일서버로 알림처리를 전송하는 기능과, 대상시스템에서 실행 파일 이외에 악성코드 검사가 필요한 첨부 파일을 Virtual BOX로 전달하여 악성코드 검사 및 치료를 처리하고 그 결과를 다시 대상시스템에 전달하여 처리하는 기능을 갖는 대상시스템과; 상기 대상시스템으로부터 실행파일을 수신하는 Virtual BOX는 별도의 시스템으로 가상화 환경을 구성하고 여러종류의 악성코드 치료 솔루션을 탑재하여 실행파일 속에 숨겨진 악성코드 검사 및 치료를 처리하고 그 결과를 다시 대상시스템에 전달하여 주고, 검사 이전의 환경으로 원상복구 처리하는 Virtual BOX와; 상기 대상시스템으로부터 전자메일(알림 메일 포함)을 수신하고 사용자 단말기로 전자메일(알림 메일 포함)을 전달하는 기능을 갖는 메일서버와; 상기 대상시스템으로부터 알림 메일을 수신시 사용자가 알림 메일 확인을 통해서 원본 전자메일의 허용 또는 거부를 선택하는 기능과, 상기 수신된 전자메일을 로그인한 다음 확인하는 기능을 갖는 사용자단말기;를 포함하는 악성코드가 첨부된 전자메일의 통제 및 차단 시스템에 대하여 기술되어 있다.
그러나 이 같은 악성코드가 첨부된 전자메일의 통제 및 차단 시스템은 이메일의 수신측면에서의 대응 시스템으로 국한되어 있고 이외, 이메일의 발신측면과 함께 이메일의 관리시스템 내부측면, 사용자 단말장치 단에서의 이메일 처리측면에 대한 사이버 보안 위협의 대응에는 한계가 있다.
또한 이메일에 첨부된 첨부파일에 심어진 악성코드 및 위변조 URL에 대한 PDF 변환과 가상환경을 이용한 실행파일과 첨부 파일의 검사와 치료에 국한되어 있기 때문에 유사도메인으로 위장된 메일과 사회공학적 공격을 가할 수 있는 관계분석 등과 같은 위협 진단과 대응에는 한계가 발생될 수 있다.
그리고, 전자메일의 통제 및 차단행위만으로는 이메일 시스템에 대한 보안 위협의 근본적인 문제점으로서, 이메일 시스템 사용자의 보안 위험 행동들을 사전에 방지하지는 못하는 문제점이 있다. 사용자의 위험 행동을 최대한 방지하기 위하여, 최근에는 모의실험이나 악성코드 트레이닝 메일 등을 이용한 진단 및 학습 교육 등의 프로세스도 제안되고는 있으나, 이는 가상의 시뮬레이션이나 단순 설문 조사 등에 근거한 것으로서, 실제 상황과는 다소 상이한 문제점이 있다.
특히, 실제 직면하고 있는 사이버 보안 위협은 현재 시점에서도 실시간으로 발생되고 있기 때문에, 이러한 현재 시스템의 보안 위협을 당사자의 실제 데이터를 기반으로 정확하게 진단하고 사용자의 위험 행동을 실제로 방지할 수 있는 효과적인 진단 시스템이 요구되고 있다.
공개특허공보 제10-2021-0017986호 공개특허공보 제10-2004-0011863호
본 발명은 상기한 바와 같은 문제점들을 해결하고자 안출된 것으로, 이메일 시스템에서 처리되는 수신메일, 발신메일, 시스템 내 메일처리, 사용자 단말장치 등과 같은 측면에서 고려될 수 있는 스팸, 해킹, 사기 등의 사이버 보안 위협에 대하여 보안 레벨 기반의 계층적 아키텍처를 이용하여 단계적인 사이버 보안 위협 대응과 이메일 시스템의 통제 관리가 가능한 이메일 보안 서비스를 제공하며, 상기 통제 관리에 따라 획득되는 아키텍처 처리 정보를 이용하여, 실제 직면하고 있는 사이버 보안 위협을 정량적으로 분석함에 따라. 현재 시스템의 보안 위협을 당사자의 실제 데이터를 기반으로 정확하게 진단하고 사용자의 위험 행동을 실제로 방지할 수 있는 효과적인 사이버 보안 위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법을 제공하는 데 그 목적이 있다.
상기한 바와 같은 과제를 해결하기 위한 본 발명의 실시 예에 따른 장치는, 서비스 제공 장치에 있어서, 하나 이상의 사용자 단말 간 송수신되는 메일정보를 수집하는 수집부; 사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭을 처리하고, 상기 매칭 처리된 메일보안 프로세스에 의해 상기 메일정보를 검사하며, 상기 검사결과에 따른 메일보안 검사정보를 저장 및 관리하는 보안위협 검사부; 및 상기 보안위협 검사부의 아키텍처 처리 정보로부터, 진단 대상 메일 시스템의 위협 레벨 요소 분류 기준에 대응하는 정량 분석 정보를 산출하며, 상기 정량 분석 정보 기반의 이메일 보안 진단 분석 리포팅을 구성하여 관리자의 사용자 단말로 제공하는 이메일 보안 진단 서비스부를 포함한다.
또한, 상기한 바와 같은 과제를 해결하기 위한 본 발명의 실시 예에 따른 방법은, 서비스 제공 장치의 동작 방법에 있어서, 하나 이상의 사용자 단말 간 송수신되는 메일정보를 수집하는 단계; 사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭을 처리하고, 상기 매칭 처리된 메일보안 프로세스에 의해 상기 메일정보를 검사하며, 상기 검사결과에 따른 메일보안 검사정보를 저장 및 관리하는 단계; 및 상기 보안위협 검사부의 아키텍처 처리 정보로부터, 진단 대상 메일 시스템의 위협 레벨 요소 분류 기준에 대응하는 정량 분석 정보를 산출하며, 상기 정량 분석 정보 기반의 이메일 보안 진단 분석 리포팅을 구성하여 관리자의 사용자 단말로 제공하는 단계를 포함한다.
한편, 상기한 바와 같은 과제를 해결하기 위한 본 발명의 실시 예에 따른 방법은, 상기 방법을 컴퓨터에서 실행시키기 위한 프로그램 및 그 프로그램이 기록된 컴퓨터 판독 가능한 기록 매체로 구현될 수 있다.
본 발명의 실시 예에 따르면, 이메일을 수신측면에서 스팸메일, 악성코드가 포함된 첨부파일, 위변조된 URLs, 유사도메인, 사기성 내용으로 위협을 구분하여 분석하고 단계적인 위협 대응 처리를 가능하게 함으로써, 악의적인 목적으로 보내진 메일을 수신자가 열어보기 전 차단하거나 시스템에 무해한 메일로 변환할 수 있다.
또한 이메일을 발신측면에서 사이버 보안 위협을 감지하고 차단하며, 이메일 관리 시스템 내부측면에서는 정보 유출이 의심되거나 관리되는 시스템 접근 IP 주소 정보의 불일치 등의 잠재 위협을 사전에 감지하여 악의적인 목적으로 이용되지 못하도록 피해를 미연에 방지할 수 있다. 이같이 이메일 시스템을 통해 이루어질 수 있는 해킹, 사기, 스팸 등과 같은 비정상적인 처리를 통제하고 피해를 방지함으로써 사용자간 안전한 정보 교환과 처리를 보장하는 이메일 서비스를 제공할 수 있다.
나아가, 본 발명의 실시 예에 따르면, 단계적인 위협 대응 처리의 통제 관리에 따라 획득되는 아키텍처 처리 정보를 이용하여, 실제 직면하고 있는 사이버 보안 위협을 정량적으로 분석함에 따라. 현재 시스템의 보안 위협을 당사자의 실제 데이터를 기반으로 정확하게 진단하고 사용자의 위험 행동을 실제로 방지할 수 있는 효과적인 사이버 보안 위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법을 제공할 수 있다.
도 1은 본 발명의 일 실시 예에 따른 전체 시스템을 도시한 개념도이다.
도 2는 본 발명의 일 실시 예에 따른 메일 보안 서비스 제공 장치를 설명하기 위한 블록도이다.
도 3은 본 발명의 일 실시 예에 따른 메일 보안 서비스 제공 장치의 일부 구성을 보다 구체적으로 설명하기 위한 블록도이다.
도 4는 본 발명의 일 실시 예에 따른 메일 보안 서비스 제공 장치의 동작 방법을 설명하기 위한 흐름도이다.
도 5는 본 발명의 일 실시 예에 따른 메일 보안 서비스의 아키텍처에 따른 검사 방식을 설명하기 위한 예시도이다.
도 6은 본 발명의 실시 예에 따른 이메일 보안 진단 서비스부를 보다 구체적으로 설명하기 위한 블록도이다.
도 7은 본 발명의 실시 예에 따른 이메일 보안 진단 서비스부의 동작을 설명하기 위한 흐름도이다.
도 8 내지 도 9는 본 발명의 실시 예에 따른 위협 레벨 비율 요소와, 단계 분류별 스코어 산출을 위한 참조 테이블을 예시한 도면이다.
도 10 내지 도 12는 본 발명의 실시 예에 따라 사용자 단말로 제공되는 진단 리포팅 인터페이스의 예시도이다.
이하의 내용은 단지 본 발명의 원리를 예시한다. 그러므로 당업자는 비록 본 명세서에 명확히 설명되거나 도시되지 않았지만 본 발명의 원리를 구현하고 본 발명의 개념과 범위에 포함된 다양한 장치와 방법을 발명할 수 있는 것이다. 또한, 본 명세서에 열거된 모든 조건부 용어 및 실시 예들은 원칙적으로, 본 발명의 개념이 이해되도록 하기 위한 목적으로만 명백히 의도되고, 이와 같이 특별히 열거된 실시 예들 및 상태들에 제한적이지 않는 것으로 이해되어야 한다.
또한, 본 발명의 원리, 관점 및 실시 예들 뿐만 아니라 특정 실시 예를 열거하는 모든 상세한 설명은 이러한 사항의 구조적 및 기능적 균등물을 포함하도록 의도되는 것으로 이해되어야 한다. 또한 이러한 균등물들은 현재 공지된 균등물뿐만 아니라 장래에 개발될 균등물 즉 구조와 무관하게 동일한 기능을 수행하도록 발명된 모든 소자를 포함하는 것으로 이해되어야 한다.
따라서, 예를 들어, 본 명세서의 블록도는 본 발명의 원리를 구체화하는 예시적인 회로의 개념적인 관점을 나타내는 것으로 이해되어야 한다. 이와 유사하게, 모든 흐름도, 상태 변환도, 의사 코드 등은 컴퓨터가 판독 가능한 매체에 실질적으로 나타낼 수 있고 컴퓨터 또는 프로세서가 명백히 도시되었는지 여부를 불문하고 컴퓨터 또는 프로세서에 의해 수행되는 다양한 프로세스를 나타내는 것으로 이해되어야 한다.
또한 프로세서, 제어 또는 이와 유사한 개념으로 제시되는 용어의 명확한 사용은 소프트웨어를 실행할 능력을 가진 하드웨어를 배타적으로 인용하여 해석되어서는 아니 되고, 제한 없이 디지털 신호 프로세서(DSP) 하드웨어, 소프트웨어를 저장하기 위한 롬(ROM), 램(RAM) 및 비휘발성 메모리를 암시적으로 포함하는 것으로 이해되어야 한다. 주지관용의 다른 하드웨어도 포함될 수 있다.
상술한 목적, 특징 및 장점은 첨부된 도면과 관련한 다음의 상세한 설명을 통하여 보다 분명해질 것이며, 그에 따라 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자가 본 발명의 기술적 사상을 용이하게 실시할 수 있을 것이다. 또한, 본 발명을 실시함에 있어서 본 발명과 관련된 공지 기술에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에 그 상세한 설명을 생략하기로 한다.
본 출원에서 사용한 용어는 단지 특정한 실시 예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 출원에서, "포함하다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
이하, 첨부한 도면들을 참조하여, 본 발명의 바람직한 실시 예를 보다 상세하게 설명하고자 한다. 본 발명을 설명함에 있어 전체적인 이해를 용이하게 하기 위하여 도면상의 동일한 구성요소에 대해서는 동일한 참조부호를 사용하고 동일한 구성요소에 대해서 중복된 설명은 생략한다.
본 명세서에서 사용되는 '메일(mail)'은 사용자가 단말장치와 이에 설치되는 클라이언트 프로그램 또는 웹사이트를 통해 컴퓨터 통신망을 이용하여 주고 받는 이메일(Electronic mail), 웹메일(Web mail), 전자우편, 전자우편물 등의 용어를 통칭하여 사용할 수 있다.
도 1은 본 발명의 일 실시 예에 따른 전체 시스템을 도시한 개념도이다.
도 1을 참조하면, 본 발명의 일 실시 예에 따른 시스템은 서비스 제공 장치(100), 사용자단말(200), 메일서버(300)를 포함한다.
보다 구체적으로, 서비스 제공 장치(100), 사용자단말(200), 메일서버(300)는 공중망(Public network)과의 연결을 통해 유선 및 무선 중 하나 이상으로 연결되어 데이터를 송수신할 수 있다. 상기 공중망은 국가 혹은 통신 기간 사업자가 구축 및 관리하는 통신망으로, 일반적으로 전화망, 데이터망, CATV망 및 이동 통신망 등을 포함하여 불특정 다수의 일반인이 타 통신망이나 인터넷에 접속 가능하도록 연결 서비스를 제공한다. 본 발명에서는 상기 공중망을 네트워크로 대체하여 표기한다.
또한, 상기 서비스 제공 장치(100), 사용자단말(200), 메일서버(300)는 각 통신망에 상응하는 프로토콜로 통신하기 위한 각각의 통신 모듈을 포함할 수 있다.
상기 서비스 제공 장치(100)는 메일 보안 및 진단 서비스 제공을 위해, 각 사용자단말(200) 및 메일서버(300)와 유/무선 네트워크를 통해 연결될 수 있으며, 각 네트워크에 연결된 장치 또는 단말들은 사전 설정된 네트워크 채널을 통해 상호간 통신을 수행할 수 있다.
여기서 상기 각 네트워크는 근거리 통신망(Local Area Network; LAN), 광역 통신망(Wide Area Network; WAN), 부가가치 통신망(Value Added Network; VAN), 개인 근거리 무선통신(Personal Area Network; PAN), 이동 통신망(Mobile radio communication network) 또는 위성 통신망 등과 같은 모든 종류의 유/무선 네트워크로 구현될 수 있다.
본 명세서에서 설명되는 서비스 제공 장치(100)는 메일을 통하여 의도하지 않은 프로그램의 실행과 메일 관련 시스템의 데이터 처리 능력 저하, 피싱 사기 등을 야기하는 공격을 탐지하고 차단할 수 있는 메일 보안 서비스를 제공할 수 있다.
또한, 서비스 제공 장치(100)는, 메일 보안 서비스의 보안 레벨에 기초한 아키텍처 처리 정보를 이용하여, 메일 보안 위협 요소의 정량 분석 기반의 메일 진단 프로세스를 수행하고, 각 이메일 시스템 사용자단말(200)로 상기 진단 프로세스에 기초한 진단 리포팅을 제공하는 메일 진단 서비스를 제공할 수 있다.
그리고 본 명세서에서 설명되는 사용자단말(200)은 PC(personal computer), 노트북 컴퓨터(laptop computer), 휴대폰(Mobile phone), 태블릿 PC(Tablet PC), PDA(Personal Digital Assistants), PMP(Portable Multimedia Player) 등이 포함될 수 있으나, 본 발명은 이에 한정되지 아니하며 공중망 또는 사설망 등을 통해 상기 서비스 제공 장치(100)와 메일서버(300) 등과 연결이 가능한 장치일 수 있다.
이에 더하여 각각의 장치는 애플리케이션 구동 또는 웹 브라우징을 통한 정보의 입출력이 가능한 다양한 장치일 수 있다. 특히, 일반적으로 사용자단말(200)들은 개별적인 보안 네트워크를 통해 상기 서비스 제공 장치(100)와 연결될 수 있다.
상기 메일서버(300)는 사용자가 사용자단말(200)을 통해 작성한 메일을 발신하거나 상대방이 사용자단말(200)을 통해 작성한 메일을 수신할 수 있도록 전자 우편 내용을 중계 및 보관하는 시스템이다. 상기 메일서버(300)는 메일의 수신과 발신 처리라는 사용 목적에 따라 사전 설정된 프로토콜을 활용하여 상호간 통신을 수행할 수 있다.
일반적으로 상기 프로토콜은 메일의 수신 처리 시, POP3(Post Office Protocol 3), IMAP(Internet Message Access Protocol)이 사용될 수 있다. 또한 상기 프로토콜은 메일의 발신 처리 시, SMTP(Simple Mail Transfer Protocol)가 사용될 수 있다. 이와 같이, 메일서버(300)는 메일 송수신 처리를 위한 서버(server) 시스템으로 구성되어 작동할 수 있다. 또한 상기 메일서버(300)는 메일수신서버와 메일발신서버로 세분화되어 각각의 기능을 제공할 수 있다.
도 2 및 도 3은 본 발명의 일 실시 예에 따른 메일 보안 서비스 제공 장치를 설명하기 위한 블록도이다.
도 2 및 도 3을 참조하면, 본 발명의 일 실시 예에 따른 서비스 제공 장치(100)는, 제어부(110), 수집부(120), 보안위협 검사부(130), 관계분석부(140), 메일 처리부(150), 사용자단말 통제부(160), 레코드 관리부(170), 취약점 테스트부(180), 통신부(125) 및 이메일 보안 진단 서비스부(190)를 포함할 수 있다.
제어부(110)는 상기 서비스 제공 장치(100) 각 구성요소들의 동작을 전반적으로 제어하기 위한 하나 이상의 프로세서로 구현될 수 있다.
통신부(125)는, 사용자단말(200) 또는 메일서버(300)가 위치한 네트워크와 통신하기 위한 하나 이상의 통신 모듈을 구비할 수 있다.
수집부(120)는 하나 이상의 사용자단말(200) 간 송수신되는 메일정보를 수집할 수 있다. 상기 메일정보는 이메일 헤더 정보, 이메일 제목, 이메일 내용 본문, 일정 기간 수신 횟수 등을 포함할 수 있다.
구체적으로, 상기 이메일 헤더 정보는 메일 발신 서버 IP 주소, 메일 발신 서버 호스트 이름 정보, 발신자 메일 도메인 정보, 발신자 메일 주소, 메일 수신 서버 IP 주소, 메일 수신 서버 호스트 이름 정보, 수신자 메일 도메인 정보, 수신자 메일 주소, 메일 프로토콜 정보, 메일 수신 시간 정보, 메일 발신 시간 정보 등을 포함할 수 있다.
또한 상기 이메일 헤더는 메일이 송수신 되는 과정에 있어 필요한 네트워크 경로 정보, 메일 교환을 위한 메일 서비스 시스템 간 사용 프로토콜 정보 등을 포함할 수 있다.
추가적으로 상기 메일정보는 첨부파일의 확장자, 첨부파일의 해시정보, 첨부파일명, 첨부파일 내용 본문, URL(Uniform Resource Locator) 정보 등을 포함할 수 있다. 상기 첨부파일은 발신자가 수신자에게 전달하고자 하는 메일 본문 내용에 더하여 추가적인 정보를 전달하거나 또는 정보 회신을 요구하기 위한 추가적인 콘텐츠를 포함할 수 있다.
상기 콘텐츠는 텍스트, 이미지, 동영상 등을 제공할 수 있다. 수신자는 메일에 첨부되어 있는 파일에 대응되는 애플리케이션을 실행시켜 콘텐츠를 확인할 수 있다. 또한 수신자는 메일에 첨부되어 있는 파일을 로컬저장장치에 다운로드하여 저장 및 관리가 가능하다.
상기 첨부파일의 확장자는 파일의 형식이나 종류를 구분할 수 있다. 상기 첨부파일의 확장자는 일반적으로 파일의 속성이나 파일을 생성한 애플리케이션을 나타내는 문자열로 구분될 수 있다. 예를 들어, 텍스트 파일은 [파일명].txt, MS워드 파일은 [파일명].doc(docx), 한글 파일은 [파일명].hwp 등의 확장자로 구분될 수 있다. 또한 이미지 파일은 gif, jpg, png, tif 등으로 확장자가 구분될 수 있다.
추가적으로 코드화 된 명령에 따라 지시된 작업을 수행하도록 하는 컴퓨터 파일인 실행파일은 [파일명].com, [파일명].exe, [파일명].bat, [파일명].dll, [파일명].sys, [파일명].scr 등으로 구분될 수 있다.
상기 첨부파일의 해시정보는 정보의 위변조를 확인하여 정보의 무결성을 보장할 수 있다. 해시정보 또는 해시값은 해시함수를 통해 임의의 길이를 가지는 임의의 데이터에 대해 일정한 길이의 비트열로 매핑될 수 있다.
이를 통해 최초 생성되는 첨부파일에 대하여 해시함수를 통해 출력되는 해시정보는 고유의 값을 가지게 된다. 상기 출력되는 해시정보 또는 해시값은 역으로 함수에 입력되는 데이터를 추출할 수 없는 일방향성을 가진다. 또한 해시함수는 하나의 주어진 입력 데이터에 대하여 출력된 해시정보 또는 해시값과 동일한 출력을 제공하는 또 다른 입력 데이터는 계산적으로 불가능한 충돌 회피성을 보장할 수 있다. 이에 따라, 상기 첨부파일의 데이터를 수정하거나 추가하게 되면 해시함수의 출력값은 상이하게 반환된다.
이와 같이, 상기 첨부파일의 고유한 해시정보는 메일을 통해 주고 받는 파일에 대하여 해시정보 또는 해시값을 비교함으로써 파일의 수정, 위변조 여부를 확인할 수 있다. 또한 상기 해시정보는 고유한 값으로 고정되기 때문에 악의적인 의도를 가지고 생성한 파일에 대한 과거 히스토리의 데이터베이스인 평판 정보를 활용함으로써 사전 방역 조치를 가능하게 할 수 있다. 추가적으로 상기 해시함수는 일방향성과 충돌 회피성을 보장할 수 있는 기술 및 버전으로 이용될 수 있다.
예를 들어, 해시정보는 바이러스토탈 웹사이트나 멀웨어즈 웹사이트를 통해 파일의 악성코드 유무에 대한 검색 정보로 활용될 수 있다. 상기 파일의 해시정보 분석을 제공하는 웹사이트를 통해서 파일의 제공업체, 파일의 해시값 등의 정보를 제공받을 수 있다. 또한 파일의 해시정보에 대한 검색 결과는 다수의 IT 정보 보안 솔루션을 제공하는 글로벌 회사에서 판별한 평판 정보를 크로스 체크할 수 있어 보다 신뢰성 있는 정보로 판단이 가능하다.
보안위협 검사부(130)는 사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭을 처리하고, 상기 매칭 처리된 메일보안 프로세스에 의해 상기 메일정보를 검사하며, 상기 검사결과에 따른 메일보안 검사정보를 저장 및 관리할 수 있다.
상기 보안위협 아키텍처는 스팸메일 보안위협, 악성코드 보안위협, 사회공학적 보안위협, 내부정보 유출 보안위협 등으로 구분될 수 있다. 상기 보안위협 아키텍처에 의해 보안위협 유형/레벨/프로세스/우선순위/처리순서가 설정될 수 있다.
상기 보안위협 아키텍처에 따라 대응되는 메일보안 프로세스는 스팸메일 보안 프로세스, 악성코드 보안 프로세스, 사칭메일 보안 프로세스, 메일반출 보안 프로세스 등을 포함할 수 있다.
상기 메일보안 프로세스는 상기 보안위협 아키텍처에 따라 수신메일인지 발신메일인지에 대응하는 서로 다른 메일보안 프로세스가 결정될 수 있다. 또한 상기 메일보안 프로세스의 검사 순서 또는 검사 레벨은 사전 설정한 보안 단계 및 아키텍처에 의해 결정될 수 있다.
상기 메일보안 프로세스는 수신 또는 발신을 위한 메일정보가 사용자 단말(200)에서 전송되면 독립적으로 구분 된 프로세스가 리소스로 할당되고 상기 메일정보에서 할당된 검사영역에서 즉각적으로 실행될 수 있는 유동적 리소스 할당 방식은 가상공간 개념으로 설명될 수 있다. 상기 가상공간으로 리소스를 할당하는 방식에서 메일보안 프로세스는 처리가 완료 시, 순차적으로 유입되는 메일정보에서 할당된 검사영역에서 작업을 즉각적으로 처리할 수 있다.
대조적으로 가상환경, 가상머신과 같이 하나의 리소스 안에서 처리가 제한되는 일정 프로세스가 할당된 환경은 요청되는 작업을 처리 시, 특정 프로세스의 처리가 완료되기 까지 다른 프로세스들이 대기하는 아이들(idle) 타임을 가질 수 있다. 이처럼 프로세스를 통한 분석 방식에 있어서, 유동적 리소스는 고정형 리소스와 비교 시 처리 속도 및 성능에서 우위를 가질 수 있다.
상기 보안위협 검사부(130)는 상기 수집부(120)에서 수집된 상기 메일정보에 따라 수신 또는 발신 목적으로 메일을 구분할 수 있다. 이 후, 상기 보안위협 검사부(130)는 상기 메일보안 프로세스를 순차적 또는 설정된 우선순위에 근거하여 매칭하고 분석함으로써 각각의 메일에 대한 메일보안 검사 정보를 획득할 수 있다.
상기 스팸메일 보안위협은 관계없는 발신자와 수신자 간에 광고와 홍보 등을 목적으로 일방적, 대량으로 불특정 다수에게 무차별적으로 살포되는 메일 유형을 포함할 수 있다. 또한 대량의 스팸메일은 메일 시스템의 데이터 처리 능력에 부하를 주게 되어 시스템의 처리 능력을 저하시키는 원인이 될 수도 있다. 또한 스팸메일은 내용 본문 등에 포함된 무분별한 정보에 대하여 사용자가 의도하지 않게 연결될 수 있고 잠재적인 피싱 사기를 위한 정보로 위장될 수 있는 위험성이 있다.
이같은 스팸메일을 검출하고 필터링하기 위하여 상기 보안위협 검사부(130)는 스팸메일 검사부(131)를 포함할 수 있다. 상기 스팸메일 검사부(131)는 상기 메일보안 프로세스가 스팸메일 보안 프로세스인 경우, 메일 헤더 정보, 메일 제목, 메일 내용 본문, 일정 기간 수신 횟수 등을 포함하는 상기 메일정보를 사전 설정한 스팸지표와 단계별로 매칭할 수 있다.
상기 스팸메일 검사부(131)는 메일 헤더 정보와 메일 제목, 메일 내용 본문 등을 포함하는 메일정보에 대하여 스팸메일로 구분할 수 있는 일정 패턴 검사 등을 통해 스팸지표에서 검사항목으로 이용할 수 있다. 이를 통해 상기 스팸메일 검사부(131)는 상기 스팸지표를 단계별로 매칭하여 스팸메일 검사정보를 획득하고 저장 및 관리할 수 있다.
상기 스팸지표는 단계별로 메일정보에 포함되는 항목에 기반한 검사항목과 검사를 통한 수준값이 설정될 수 있다. 본 발명의 일 실시 예에 따르면, 스팸지표는 Level 1, Level 2, Level 3, ..., Level [n]으로 세분화 및 단계화되어 구성될 수 있다.
상기 스팸지표 Level 1은 빅데이터 및 평판 정보에 기반하여 메일정보에 포함되는 메일 제목 데이터를 매칭할 수 있다. 이를 통해 상기 스팸지표 Level 1은 평가된 수준값을 스팸지표 Level 1의 검사정보로 획득할 수 있다. 상기 수준값은 정량적으로 측정될 수 있는 정보로 설정될 수 있다. 예를 들어, 상기 스팸지표 Level 1의 검사정보는 검사항목인 메일 제목에 '광고', '홍보' 등의 문구가 포함되어 있을 시, 상기 빅데이터 및 평판 정보에서 스팸메일로 정의한 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 스팸지표 Level 1의 검사정보는 '1'로 획득될 수 있다.
추가적으로 상기 스팸지표 Level 2는 사용자 지정 키워드에 기반하여 메일정보에 포함되는 데이터를 매칭할 수 있다. 이를 통해 상기 스팸지표 Level 2는 평가된 수준값을 스팸지표 Level 2의 검사정보로 획득할 수 있다. 예를 들어, 상기 스팸지표 Level 2의 검사정보는 검사항목인 메일 내용 본문에 '특가', '초특가', '세일', 'sale', '품절' 등을 포함하는 키워드가 포함되어 있을 시, 상기 사용자 지정 키워드에서 스팸메일로 정의한 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 스팸지표 Level 2의 검사정보는 '1'로 획득될 수 있다.
다음 단계로 상기 스팸지표 Level 3은 이미지 분석에 기반하여 메일정보에 포함되는 데이터를 매칭할 수 있다. 이를 통해 상기 스팸지표 Level 3은 평가된 수준값을 스팸지표 Level 3의 검사정보로 획득할 수 있다. 예를 들어, 상기 스팸지표 Level 3의 검사정보는 검사항목인 메일 내용 본문에 포함되는 이미지를 분석하여 추출한 데이터에서 '080'으로 시작하는 전화번호 등이 포함되어 있을 시, 상기 이미지 분석에서 스팸메일로 정의한 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 스팸지표 Level 3의 검사정보는 '1'로 획득될 수 있다.
이와 같이 상기 스팸메일 보안 프로세스를 통해 스팸지표 레벨 단위로 획득된 검사정보는 최종적으로 합산('3')되어 스팸메일 검사정보로 저장 및 관리될 수 있다. 이렇게 합산된 스팸메일 검사정보는 상기 메일보안 검사정보에 포함되어 관리될 수 있고 상기 메일 처리부(150)에서 보안위협 판별정보로 활용될 수 있다.
상기 보안위협 검사부(130)는 악성코드 검사부(132)를 더 포함할 수 있다. 상기 악성코드 검사부(132)는 상기 메일보안 프로세스가 악성코드 보안 프로세스인 경우, 첨부파일의 확장자, 첨부파일의 해시정보, 첨부파일명, 첨부파일 내용 본문, URL(Uniform Resource Locator) 정보 등을 더 포함하는 상기 메일정보를 사전 설정한 악성코드지표와 단계별로 매칭할 수 있다.
상기 악성코드 검사부(132)는 첨부파일의 속성값으로 확인할 수 있는 첨부파일의 확장자, 첨부파일의 해시정보, 첨부파일명 등과 함께 첨부파일 내용 본문과 내용 본문에 포함되는 URL(Uniform Resource Locator) 정보를 악성코드지표 검사 항목으로 이용할 수 있다. 이를 통해 상기 악성코드 검사부(132)는 상기 악성코드지표를 항목에 따라 단계별로 매칭하여 악성코드 검사정보를 획득하고 저장 및 관리할 수 있다.
상기 악성코드지표는 단계별로 메일정보에 포함되는 항목에 기반한 검사항목과 검사를 통한 수준값이 설정될 수 있다. 본 발명의 일 실시 예에 따르면, 악성코드지표는 Level 1, Level 2, Level 3, ..., Level [n]으로 세분화 및 단계화되어 구성될 수 있다.
상기 악성코드지표 Level 1은 빅데이터 및 평판 정보에 기반하여 메일정보에 포함되는 첨부파일명, 첨부파일의 확장자를 매칭할 수 있다. 이를 통해 상기 악성코드지표 Level 1은 평가된 수준값을 악성코드지표 Level 1의 검사정보로 획득할 수 있다. 예를 들어, 상기 악성코드지표 Level 1의 검사정보는 검사항목인 첨부파일명이 'Trojan', 첨부파일의 확장자가 'exe'를 포함하고 있을 시, 상기 빅데이터 및 평판 정보에서 악성코드로 정의된 정보와 일치되는 경우, 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 악성코드지표 Level 1의 검사정보는 '1'로 획득될 수 있다.
추가적으로 상기 악성코드지표 Level 2는 빅데이터 및 평판 정보에 기반하여 메일 첨부파일의 해시정보를 매칭할 수 있다. 이를 통해 평가된 수준값을 악성코드지표 Level 2의 검사정보로 획득할 수 있다. 예를 들어, 상기 악성코드지표 Level 2의 검사정보는 검사항목인 첨부파일 해시정보가 'a1b2c3d4'로 분석 시, 상기 평판 정보에서 악성코드로 정의된 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 악성코드지표 Level 2의 검사정보는 '1'로 획득될 수 있다.
다음 단계로 상기 악성코드지표 Level 3은 URL 평판 정보에 기반하여 첨부파일 또는 메일 내용 본문에 포함된 URL(Uniform Resource Locator) 정보를 매칭할 수 있다. 이를 통해 평가된 수준값을 악성코드지표 Level 3의 검사정보로 획득할 수 있다. 예를 들어, 상기 악성코드지표 Level 3의 검사정보는 검사항목인 URL 정보가 'www.malicious-code.com'으로 확인 시, 상기 URL 평판 정보에서 악성코드 파일이 포함되는 유해 사이트로 정의된 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 악성코드지표 Level 3의 검사정보는 '1'로 획득될 수 있다. 그리고 상기 악성코드 검사부(132)는 URL 평판 정보에서 누락될 수 있는 제로데이 공격에 대응할 수 있다. 상기 악성코드 검사부(132)는 평판 정보가 없는 URL에 대한 링크 IP 주소를 특정 시스템의 IP 주소로 변경하고 변경된 IP 주소를 사용자단말(200)에 제공할 수 있다. 상기 사용자단말(200)은 상기 URL에 접속하고자 할 시, 상기 악성코드 검사부(132)가 변경한 특정 시스템의 IP 주소로 접속될 수 있다. 이 전에 상기 URL에 대한 링크 IP 주소로 변경된 특정 시스템은 지속적으로 URL의 엔드포인트까지 악성코드 포함 여부를 검사할 수 있다.
이와 같이 상기 악성코드 보안 프로세스를 통해 악성코드지표 레벨 단위로 획득된 검사정보는 최종적으로 합산('3')되어 악성코드 검사정보로 저장 및 관리될 수 있다. 이렇게 합산된 악성코드 검사정보는 상기 메일보안 검사정보에 포함되어 관리될 수 있고 상기 메일 처리부(150)에서 보안위협 판별정보로 활용될 수 있다.
상기 보안위협 검사부(130)는 사칭메일 검사부(133)를 더 포함할 수 있다. 상기 사칭메일 검사부(133)는 메일보안 프로세스가 사칭메일 보안 프로세스인 경우로 상기 관계분석부(140)를 통해 획득되는 관계분석정보에 대하여 사전 설정한 관계분석지표와 단계별로 매칭할 수 있다. 상기 관계분석정보는 메일정보 및 정상으로 확인 된 메일의 속성정보 등을 포함하는 메일정보 분석을 통해 획득될 수 있다.
상기 사칭메일 검사부(133)는 정상으로 판별된 메일에서 추출될 수 있는 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅, 메일 내용 본문 정보 등을 관계분석지표 검사항목으로 이용할 수 있다. 이를 통해 상기 사칭메일 검사부(133)는 상기 관계분석지표를 항목에 따라 단계별로 매칭하여 사칭메일 검사정보를 획득하고 저장 및 관리할 수 있다. 이를 통해 상기 사칭메일 검사부(133)는 유사 도메인을 검출할 수 있고 메일의 발송 경로를 추적 또는 검증하여 보안위협을 가할 수 있는 메일을 필터링 할 수 있다.
상기 관계분석지표는 단계별로 상기 관계분석정보에 기반한 검사항목과 검사를 통한 수준값이 설정될 수 있다. 본 발명의 일 실시 예에 따르면, 관계분석지표는 Level 1, Level 2, Level 3, ..., Level [n]으로 세분화 및 단계화되어 구성될 수 있다.
상기 관계분석지표 Level 1은 평판 정보에 기반하여 발신자 메일의 도메인, 발신자 메일의 주소 등을 매칭할 수 있다. 이를 통해 상기 관계분석지표 Level 1은 평가된 수준값을 관계분석지표 Level 1의 검사정보로 획득할 수 있다. 예를 들어, 상기 관계분석지표 Level 1의 검사정보는 검사항목인 발신된 메일의 도메인이 '@사칭.com'이고 발신자 메일의 주소가 '사칭@'을 포함하고 있을 시, 상기 평판 정보에서 악성코드로 정의된 정보와 일치되는 경우, 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다.
추가적으로 상기 관계분석지표 Level 2는 상기 관계분석정보에 기반하여 발신자 메일의 도메인, 발신자 메일의 주소 등을 매칭할 수 있다. 이를 통해 상기 관계분석지표 Level 2는 평가된 수준값을 관계분석지표 Level 2의 검사정보로 획득할 수 있다. 예를 들어, 상기 관계분석지표 Level 2의 검사정보는 검사항목인 발신된 메일의 도메인이 '@사칭.com'이고 발신자 메일의 주소가 '사칭@'을 포함하고 있을 시, 상기 관계분석정보에서 정상메일의 속성정보로 정의된 정보와 일치되지 않는 경우, 0과 1로 구분된 수준값에서 '1'로 평가 될 수 있다. 이를 통해 관계분석지표 Level 3의 검사정보는 '1'로 획득될 수 있다.
다음단계로 상기 관계분석지표 Level 3는 상기 관계분석정보에 기반하여 메일 라우팅 정보 등을 매칭할 수 있다. 이를 통해 상기 관계분석지표 Level 3는 평가된 수준값을 관계분석지표 Level 3의 검사정보로 획득할 수 있다. 예를 들어, 상기 관계분석지표 Level 3의 검사정보는 검사항목인 메일 라우팅 정보가 '1.1.1.1', '2.2.2.2', '3.3.3.3' 으로 확인 시, 메일의 전송 경로인 상기 라우팅 정보가 상기 관계분석정보에서 정상메일의 속성정보로 정의된 정보와 일치되지 않는 경우, 0과 1로 구분된 수준값에서 '1'로 평가 될 수 있다. 이를 통해 관계분석지표 Level 3의 검사정보는 '1'로 획득될 수 있다.
이와 같이 상기 사칭메일 보안 프로세스를 통해 관계분석지표 레벨 단위로 획득된 검사정보는 최종적으로 합산('3')되어 사칭메일 검사정보로 저장 및 관리될 수 있다. 이렇게 합산된 사칭메일 검사정보는 상기 메일보안 검사정보에 포함되어 관리될 수 있고 상기 메일 처리부(150)에서 보안위협 판별정보로 활용될 수 있다.
상기 보안위협 검사부(130)는 내부정보 유출 보안 위협에 대응할 수 있도록 메일반출 검사부(134)를 포함할 수 있다. 상기 메일반출 검사부(134)는 메일보안 프로세스가 메일반출 보안 프로세스인 경우, 상기 메일정보에 기반하여 사전 설정한 메일반출 관리지표와 단계별로 매칭할 수 있다.
상기 메일반출 검사부(134)는 상기 메일정보의 속성 정보를 활용하여 메일반출 관리지표 검사항목으로 이용할 수 있다. 또한 상기 관리지표 검사항목은 내부적으로 관리되는 사용자단말(200)의 할당 IP 정보가 이용될 수 있다.
상기 메일반출 관리지표는 단계별로 사전 설정된 검사항목과 검사를 통한 수준값이 설정될 수 있다. 본 발명의 일 실시 예에 따르면, 메일반출 관리지표는 Level 1, Level 2, Level 3, ..., Level [n]으로 세분화 및 단계화되어 구성될 수 있다.
상기 메일반출 관리지표는 발신 환경 검사를 위해 사용자단말(200)에 할당 된 IP 주소에서 허용된 IP 주소만이 메일정보를 등록할 수 있도록 통제하는 항목을 포함할 수 있다. 미인증된 사용자단말은 내부정보를 유출할 가능성이 상대적으로 높고 또한 메일을 통해 보안위협을 가할 가능성이 상대적으로 높기 때문에 이를 사전에 차단할 수 있는 관리지표를 관리할 수 있다.
또한 상기 메일반출 검사부(134)는 상기 메일반출 관리지표를 IP 주소 정보, 발송 횟수 정보 등의 검사항목으로 구분하여 메일반출 관리지표로 활용할 수 있다. 또한 상기 메일반출 검사부(134)는 메일 발신 환경 검사 항목으로 승인 프로세스 등의 통제부를 추가적으로 구비하여 내부정보 유출 위협을 감소시킬 수 있다. 이를 통해 상기 메일반출 검사부(134)는 메일반출 프로세스를 통해 검사항목과 매칭하여 산출된 수준값을 메일반출 검사정보로 저장하고 관리할 수 있다.
관계분석부(140)는 상기 메일정보 및 신뢰인증로그 분석에 기초하여 획득되는 관계분석정보를 저장 및 관리할 수 있다. 상기 신뢰인증로그는 상기 레코드 관리부(170)에서 보안위협 판별정보에 따라 메일정보를 정상메일로 처리하는 경우, 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅, 메일 내용 본문 정보 등을 포함하는 레코드정보를 포함할 수 있다.
메일 처리부(150)는 상기 메일보안 검사정보 및 상기 메일정보 분석을 통해 획득되는 보안위협 판별정보에 따라 메일 상태를 처리할 수 있다.
상기 메일 처리부(150)는 사전 설정된 우선순위에 따른 상기 메일보안 프로세스가 수행될 수 있다. 상기 메일 처리부(150)는 상기 메일보안 프로세스를 통한 상기 보안위협 판별정보가 비정상 메일로 판별되는 경우, 후속 메일보안 프로세스 중단여부를 판단하여 메일 상태를 처리할 수 있다. 이를 통해, 상기 메일 처리부(150)는 우선순위에 따라 먼저 검사 단계에서 문제점이 발견된 경우, 그 단계에서 필요한 처리만을 수행하고 검사종료여부를 판단하여 후속 검사단계는 수행하지 않고 종료할 수 있다. 이를 통해, 메일 보안 서비스의 효율성을 확보하여 시스템의 복잡성을 낮추고 처리효율을 향상시킬 수 있다.
상기 메일보안 검사정보는 상기 보안위협 검사부(130)에서 산출된 스팸메일 검사정보와 악성코드 검사정보, 사칭메일 검사정보, 메일반출 검사정보를 종합하여 획득된 정보를 활용할 수 있다. 예를 들어, 상기 보안위협 검사부(130)가 메일정보에 대하여 프로세스수행을 통해, 상기 스팸메일 검사정보로 산출된 스코어가 '3', 악성코드 검사정보로 산출된 스코어가 '2', 사칭메일 검사정보 '1', 메일반출 검사정보로 산출된 스코어가 '0' 인 경우, 메일보안 검사정보로 합산되는 스코어는 '7'로 획득될 수 있다. 이 때, 사전 설정된 보안위협 판별정보의 기준으로 종합 스코어가 0-3의 범위일 시 정상메일, 4-6의 범위일 시 그레이메일, 7-12의 범위일 시 비정상메일로 분류될 수 있다. 이에 따라, 상기 메일보안 검사정보가 '7'인 메일은 비정상메일로 판별될 수 있다. 그리고 상기 메일정보 검사정보에 포함되는 각각의 검사정보 항목의 결과값은 항목에 따라 절대적인 우선순위가 지정되거나 가중치에 따른 정보로 우선순위가 정해질 수 있다.
상기 메일 처리부(150)는 상기 보안위협 판별정보에 따라 정상메일로 판별된 메일에 대하여, 상기 사용자단말이 처리 가능한 수신 또는 발신 상태로 처리하는 메일분배 처리부(151)를 포함할 수 있다.
또한 상기 메일 처리부(150)는 상기 보안위협 판별정보에 따라 비정상메일로 판별된 메일에 대하여, 상기 사용자단말의 접근이 불가능한 상태로 처리하는 메일폐기 처리부(152)를 더 포함할 수 있다.
추가적으로 상기 메일 처리부(150)는 상기 보안위협 판별정보에 따라 그레이메일로 판별된 메일에 대하여, 상기 그레이메일을 비실행파일 콘텐츠로 변환 처리하고 상기 사용자단말이 메일 상태를 선택적으로 처리할 수 있도록 제공하는 메일 무해화 처리부(153)를 더 포함할 수 있다.
일반적으로 상기 그레이메일은 스팸메일 또는 정크메일로 구분될 수도 있고 반대로 정상메일로 구분될 수 있다. 본 발명에서는 상기 그레이메일은 보안위협 판별정보가 정상 또는 비정상으로 확정할 수 없는 일정 범위 내에서의 중간 값으로 산출되었을 경우 구분되는 메일 유형으로 정의할 수 있다. 상기 메일 무해화 처리부(153)는 의심되는 내용 본문 등을 포함한 그레이메일을 이미지 파일로 변환하고 사용자단말(200)이 확인 가능한 메일 상태로 제공할 수 있다. 또한 상기 메일 무해화 처리부(153)는 첨부파일 내 악성코드로 의심되는 부문을 제거 또는 수정하여 사용자단말(200)로 제공할 수 있다.
사용자단말 통제부(160)는 상기 사용자단말(200)이 네트워크망에서 사용하는 IP address(Internet Protocol Address; IP 주소)정보가 사전 설정한 비인가 IP 주소에 해당하는 경우, 상기 메일정보의 전송을 통제할 수 있다.
레코드 관리부(170)는 상기 보안위협 판별정보에 따라 처리된 상기 메일정보를 레코드정보로 저장하고 관리할 수 있다. 상기 레코드 관리부(170)는 상기 보안위협 판별정보에 따라 정상메일로 처리되는 경우, 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅, 메일 내용 본문 정보 등을 포함하는 상기 레코드정보를 신뢰인증로그로 저장하고 관리하는 관계정보 관리부(171)를 더 포함할 수 있다. 이를 통해 상기 신뢰인증로그는 수신자와 발신자 메일정보에 대하여 신뢰할 수 있는 관계정보 분석에 활용될 수 있다. 또한 상기 신뢰인증로그에 포함된 정보는 상호 간 정보 교환을 통해 지속적으로 데이터가 축적되면서 신뢰도가 보장될 수 있다.
또한 상기 레코드 관리부(170)는 상기 보안위협 판별정보에 따라 비정상메일로 처리되는 경우, 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅, 메일 내용 본문 정보 등을 포함하는 상기 레코드정보를 메일보안 프로세스 수행 시 비정상 메일 판단 지표로 활용될 수 있다.
취약점 테스트부(180)는 상기 보안위협 판별정보에 따라 비정상메일로 판별된 메일에 대하여, 상기 비정상메일을 비실행파일 콘텐츠로 변환시켜 상기 사용자단말에서 수신 또는 발신 처리가 될 수 있도록 제공할 수 있다. 상기 취약점 테스트부(180)는 상기 비정상메일에 대하여 수신 또는 발신 처리한 상기 사용자단말의 식별정보를 획득하여 유형별 취약정보로 저장 및 관리하는 취약정보 관리부(181)를 포함할 수 있다.
한편, 이메일 보안 진단 서비스부(190)는, 메일 보안위협 아키텍처에 따라 처리되는 보안위협 검사부(130)의 처리 결과 정보를 수집하고, 처리 결과 정보로부터 이메일 보안 진단 서비스 정보를 구성하여 사용자단말(200)로의 이메일 보안 진단 서비스로 제공할 수 있다.
보다 구체적으로, 이메일 보안 진단 서비스부(190)는, 보안위협 검사부(130)에서 처리된 보안위협 아키텍처 기반의 메일보안 프로세스의 단계별 매칭 결과 정보를 수집할 수 있으며, 수집된 매칭 결과 정보에 대응하는, 하나 이상의 정량 분류 조건을 적용하기 위한 위협 레벨 비율 요소를 결정할 수 있다.
그리고, 이메일 보안 진단 서비스부(190)는, 매칭 결과로부터 위협 레벨 비율 요소에 대응하는 정량 분석 정보를 산출할 수 있으며, 정량 분석 정보에 기초하여, 진단 대상인 메일 시스템의 위협 레벨 단계 분류별 스코어를 결정할 수 있다.
이에 따라, 이메일 보안 진단 서비스부(190)는, 위협 레벨 단계 분류별 스코어에 기초한 이메일 보안 진단 분석 리포팅을 구성할 수 있으며, 구성된 이메일 보안 진단 분석 리포팅 정보는 사용자단말(200)로 제공될 수 있다.
전술한 바와 같이, 상기 보안위협 아키텍처는 스팸메일 보안위협, 악성코드 보안위협, 사회공학적 보안위협, 내부정보 유출 보안위협 등으로 구분될 수 있으며, 상기 보안위협 아키텍처에 의해 보안위협 유형/레벨/프로세스/우선순위/처리순서가 설정될 수 있고, 상기 보안위협 아키텍처에 따라 대응되는 메일보안 프로세스는 스팸메일 보안 프로세스, 악성코드 보안 프로세스, 사칭메일 보안 프로세스, 메일반출 보안 프로세스 등을 포함할 수 있는 바, 각각의 매칭 처리 결과를 다양한 정량 분류 조건에 대응시켜, 각 위협 레벨 비율 요소의 매칭 건수가 산출될 수 있다. 이러한 정량 분류 조건은 위협 레벨 요소 분류 기준이라고도 할 수 있다.
또한, 이메일 보안 진단 서비스부(190)는 각 위협 레벨 비율 요소의 정량 분석 정보를 사전 설정된 위협 레벨 단계 분류별 스코어 산출식에 적용함으로써, 진단 대상 이메일 시스템의 종합적 보안 위협 정도를 확인하고, 이에 대응하는 사용자의 대응 가이드를 제공할 수 있는 진단 분석 리포팅 정보가 구성될 수 있다.
이에 따라, 사용자단말(200)에서는 상기 진단 분석 리포팅 정보를 제공받아, 보안위협 아키텍처 기반의 이메일 보안위협 상태를, 정량적인 실제 데이터를 기반으로 정확히 확인할 수 있으며, 이에 대응하는 가이드를 제공받아 조치함으로써 표적형 이메일 공격 등의 보다 다양해지는 보안위협들을 사전에 차단할 수 있게 된다.
도 4는 본 발명의 일 실시 예에 따른 메일 보안 서비스 제공 장치의 동작 방법을 설명하기 위한 흐름도이다.
도 4를 참조하면, 메일 보안 서비스 제공 장치의 동작 방법에 있어서, 수집단계(S101)는 하나 이상의 사용자단말(200) 간 송수신되는 메일정보를 수집할 수 있다.
보안위협 검사단계(S103)는 사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭을 처리할 수 있다. 이 후, 상기 보안위협 검사단계(S103)는 상기 매칭 처리된 메일보안 프로세스에 의해 상기 메일정보를 검사할 수 있다. 이를 통해 상기 보안위협 검사단계(S103)는 상기 검사결과에 따른 메일보안 검사정보를 저장 및 관리할 수 있다.
상기 메일보안 프로세스는 상기 보안위협 아키텍처에 따라 수신메일인지 발신메일인지에 대응하는 서로 다른 메일보안 프로세스가 결정될 수 있다. 또한 상기 메일보안 프로세스의 검사 순서 또는 검사 레벨은 사전 설정한 보안 단계 및 아키텍처에 의해 결정될 수 있다.
메일 처리단계(S105)는 상기 메일보안 검사정보 및 상기 메일정보 분석을 통해 획득되는 보안위협 판별정보에 따라 메일 상태를 처리할 수 있다.
상기 메일 처리단계(S105)는 사전 설정된 우선순위에 따른 상기 메일보안 프로세스가 수행될 수 있다. 상기 메일 처리단계(S105)는 상기 메일보안 프로세스를 통한 상기 보안위협 판별정보가 비정상 메일로 판별되는 경우, 후속 메일보안 프로세스 중단여부를 판단하여 메일 상태를 처리할 수 있다. 이를 통해, 상기 메일 처리단계(S105)는 우선순위에 따라 먼저 검사 단계에서 문제점이 발견된 경우 그 단계에서 필요한 처리만을 수행하고 검사종료여부를 판단하여 후속 검사단계는 수행하지 않고 종료할 수 있다. 이를 통해 메일 보안 서비스의 효율성을 확보하여 시스템의 복잡성을 낮추고 처리효율을 향상시킬 수 있다.
레코드 관리단계(S107)는 상기 보안위협 판별정보에 따라 처리된 상기 메일정보를 레코드정보로 저장하고 관리할 수 있다. 상기 레코드 관리단계(S107)는 상기 보안위협 판별정보에 따라 정상메일로 처리되는 경우, 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅 정보, 메일 내용 본문 등을 포함하는 상기 레코드정보를 신뢰인증로그로 저장하고 관리하는 관계정보 관리단계를 더 포함할 수 있다.
관계분석단계(도면미도시)는 상기 메일정보 및 상기 신뢰인증로그 분석에 기초하여 획득되는 관계분석정보를 저장 및 관리할 수 있다.
상기 보안위협 검사단계(S103)는 상기 메일보안 프로세스가 스팸메일 보안 프로세스인 경우, 이메일 헤더 정보, 이메일 제목, 이메일 내용 본문, 일정 기간 수신 횟수 중 하나 이상을 포함하는 상기 메일정보를 사전 설정한 스팸지표와 단계별로 매칭하는 스팸메일 검사단계를 더 포함할 수 있다. 추가적으로 상기 보안위협 검사단계(S103)는 상기 메일보안 프로세스가 악성코드 보안 프로세스인 경우, 첨부파일의 확장자, 첨부파일의 해시정보, 첨부파일명, 첨부파일 내용 본문, URL(Uniform Resource Locator) 정보 중 하나 이상을 포함하는 상기 메일정보를 사전 설정한 악성코드지표와 단계별로 매칭하는 악성코드 검사단계를 더 포함할 수 있다. 또한 상기 보안위협 검사단계(S103)는 상기 메일보안 프로세스가 사칭메일 보안 프로세스인 경우, 상기 관계분석정보에 대하여 사전 설정한 관계분석지표와 단계별로 매칭하는 사칭메일 검사단계를 더 포함할 수 있다. 그리고 상기 보안위협 검사단계(S103)는 상기 메일보안 프로세스가 메일반출 보안 프로세스인 경우, 상기 메일정보에 기반하여 사전 설정한 메일반출 관리지표와 단계별로 매칭하는 메일반출 검사단계를 더 포함할 수 있다.
상기 메일 처리단계(S105)는 상기 보안위협 판별정보에 따라 정상메일로 판별된 메일에 대하여, 상기 사용자단말이 처리 가능한 수신 또는 발신 상태로 처리하는 메일분배 처리단계를 더 포함할 수 있다. 또한 상기 메일 처리단계(S105)는 상기 보안위협 판별정보에 따라 비정상메일로 판별된 메일에 대하여, 상기 사용자단말의 접근이 불가능한 상태로 처리하는 메일폐기 처리단계를 더 포함할 수 있다.
추가적으로 상기 메일 처리단계(S105)는 상기 보안위협 판별정보에 따라 그레이메일로 판별된 메일에 대하여, 상기 그레이메일을 비실행파일 콘텐츠로 변환 처리하고 상기 사용자단말이 메일 상태를 선택적으로 처리할 수 있도록 제공하는 메일 무해화 처리단계를 더 포함할 수 있다.
취약점 테스트단계(도면 미도시)는 상기 보안위협 판별정보에 따라 비정상메일로 판별된 메일에 대하여, 상기 비정상메일을 비실행파일 콘텐츠로 변환시켜 상기 사용자단말에서 수신 또는 발신 처리가 될 수 있도록 제공할 수 있다. 상기 취약점 테스트단계는 상기 비정상메일에 대하여 수신 또는 발신 처리한 상기 사용자단말의 식별정보를 획득하여 유형별 취약정보로 저장 및 관리하는 취약정보 관리단계를 더 포함할 수 있다.
도 5는 본 발명의 일 실시 예에 따른 메일 보안 서비스의 아키텍처에 따른 검사 방식을 설명하기 위한 예시도이다.
도 5를 참조하면, 메일 보안 서비스를 제공하기 위한 아키텍처로써, 이에 따라 보안위협의 유형과 레벨, 프로세스, 우선순위, 처리순서 등이 설정될 수 있다. 상기 메일 보안 서비스의 아키텍처는 수신메일, 발신메일, 내부메일, 사용자 교육 등의 최상위 카테고리로 구분되어 각 카테고리마다 하부 구조로 계층적, 단계적인 구성과 처리 방식이 적용될 수 있다. 상기 최상위 카테고리는 메일정보에 포함되는 속성 값 또는 사용자단말(200)의 메일 이용 목적에 따라 접속하는 시스템의 구분에 따라 분류될 수 있다.
각각의 보안위협 유형 내에는 하나 이상의 특정 메일보안 프로세스가 할당될 수 있고 이는 레벨로 구분되어 단계적이고 순차적으로 실행될 수 있다. 세부적으로, 보안위협 유형은 SPAM, Malicious code(Attachment), Malicious code(URL), Social Engineering Attack 등의 보안위협 유형으로 구분될 수 있다. 이에 따른, 보안위협 유형의 검사 프로세스가 순차적으로 이행될 수 있다. 또한 각각의 상기 보안위협 유형 내에서는 레벨 1, 2, 3, ...[n] 단계로 구분되어 순차적으로 이행될 수 있다. 이 때 각 레벨은 검사하는 특정 항목과 지표가 할당되어 검사 결과를 획득할 수 있다.
또한 아키텍처 설정에 따라 각각의 보안위협 유형 내 메일보안 프로세스는 할당 된 검사 영역을 병렬적으로 병행 검사 처리하는 방식으로도 수행될 수 있다.
최상위 카테고리 중 하나인 상기 수신메일은 하위 계층으로 보안위협 유형이 구분될 수 있다. 세부적으로, 상기 보안위협 유형은 SPAM 처리, 악성코드 처리, 사회공학적 처리 등으로 구분될 수 있다.
수신메일의 보안위협 검사를 위해 SPAM 처리 부문 내 레벨 1(Lv.1)은 평판 기반으로의 스팸메일 여부를 검사할 수 있다. 이 후, 평판 기반의 스팸메일 검사에서 발견된 문제점이 없는 경우 레벨 2(Lv.2)은 사용자 지정 키워드에 근거하여 필터링을 통한 스팸메일 여부를 검사할 수 있다.
레벨 2의 수행이 완료된 후, 다음 단계인 레벨 3(Lv.3)은 이미지 기반의 내용 분석을 통한 스팸메일 여부를 검사할 수 있다. 이와 같이, 메일보안 서비스 아키텍처는 SPAM 처리 유형 내에서의 특정 스팸필터링 프로세스를 통해 레벨별 검증을 수행하고, 상기 검증이 완료될 시 다음 레벨로 이행될 수 있도록 한다. 그리고 상기 메일보안 서비스 아키텍처는 SPAM 처리를 통한 메일의 스팸여부 검사를 완료한 후, 메일 내 악성코드 포함 여부를 판별하는 악성코드 처리 단계로 이행될 수 있다.
상기 악성코드 처리는 레벨 1의 평판 기반 악성코드 포함 여부를 판별할 수 있고, 정상 확인 시 다음 단계로 이행될 수 있다. 레벨 n(Lv.n)은 악성코드가 포함될 수 있는 가능성이 있는 첨부파일로 판별 시, 첨부 파일 내 포함된 실행 코드를 변형하는 무해화 처리를 통해 악성코드 처리 단계를 종료할 수 있다. 상기 악성코드 처리 검사가 완료되는 경우, 검사 단계는 사회공학적 처리 검사 단계로 이행될 수 있다. 상기 사회공학적 처리 검사 단계는 레벨 1(Lv.1)의 메타데이터 기반, 레벨 n(Lv.n)의 관계 분석 기반의 사회공학적 공격 메일 검사 프로세스를 실행한 후, 검사 결과 정보에 따라 대응을 처리 또는 요청할 수 있다.
최상위 카테고리 중 하나인 상기 발신메일은 하위 계층으로 보안위협 유형이 구분될 수 있다. 상기 발신메일의 카테고리 또한 수신메일의 보안위협 유형과 같이 SPAM 처리, 악성코드 처리, 사회공학적 처리 단계로 구분되고 검사가 수행 될 수 있다.
특히 발신메일의 보안위협 검사는 발신 환경 검사 단계를 포함할 수 있다. 상기 발신 환경 검사 단계는 메일 발신을 목적으로 하나 이상의 사용자단말(200)이 시스템에 접속할 시, 사전에 등록된 화이트리스트에 따른 IP 주소 허용 사용자단말인지를 검증하는 레벨 1(Lv.1) 단계를 수행할 수 있다. 상기 레벨 1 단계 검증을 통해 인증이 된 사용자단말(200)은 메일 발송 횟수에 대하여 일정 기준 횟수 이내로 부합할 시, 정상 메일로 판별하고 다음 단계로 이행될 수 있다. 이 후, 레벨 n(Lv.n) 단계는 발신메일 내용을 사전에 검사하여 이상 여부를 판별하는 프로세스가 실행되어 정상 메일 여부를 검증할 수 있다.
최상위 카테고리 중 하나인 상기 내부메일은 하위 계층으로 내부 정보 유출을 방지할 수 있는 내부 메일 관리 단계가 수행될 수 있다. 상기 내부 메일 관리 단계는 레벨 1(Lv.1)의 승인 프로세스를 통해 이상 메일을 검사할 수 있다. 상기 승인 프로세스는 내부정보가 포함된 메일에 대한 정보 유출 위험도를 판단할 수 있다.
상기 승인프로세스는 메일 관리 시스템에 의해 순차적으로 승인 처리되어 외부로 보내지는 메일 내용에 대하여 사전 검열되는 방식으로 수행될 수 있다. 이 후, 레벨 2(Lv.2) 단계로 DLP(Data Loss Prevention; 데이터 유출 방지) 및 DRM(Digital Rights Management: 디지털 저작권 관리) 통제 프로세스가 수행되어 내부 정보 유출 여부를 검사할 수 있다. 상기 DLP 통제 프로세스는 승인 등의 허가 없이 정책에 위반되는 시스템에 접근하여 정보를 전송하려는 행위를 감지 및 통제할 수 있다. 상기 DRM 통제 프로세스는 암호화된 내부 문서가 승인 등의 허가 없이 복호화 되거나 복호화 된 파일을 메일에 첨부하는 시도를 탐지하여 통제할 수 있다. 이 후, 레벨 n(Lv.n) 단계는 메일을 발신하고자 할 때, 사용자단말(200) 인증 처리단계로 1단계, 2단계 등의 다단계 인증 프로세스를 제공할 수 있다. 이를 통해, 계정 탈취나 도용을 시도하는 사용자를 차단함으로써 정상적인 메일 처리를 보장할 수 있다.
최상위 카테고리 중 하나인 상기 사용자 교육은 하위 계층으로 모의피싱과 피드백 시스템의 단계를 포함할 수 있다. 상기 모의피싱 단계에서는 보안위협이 포함된 메일을 사용한 이력이 있는 사용자단말(200)의 식별값과 횟수 등의 정보를 저장 및 관리할 수 있다. 상기 보안위협은 실제 시스템이나 콘텐츠에 무해한 방식으로 구성된 메일이 사용될 수 있다. 이를 통해 피드백 시스템은 모의피싱을 통해 산출된 통계값이나 위협정도를 분석한 결과값을 제공할 수 있다.
상기 카테고리별로 구성된 보안위협 검사는 아키텍처 및 보안 단계에 의해 결정될 수 있다. 이에 따라 검사 순서 및 검사 레벨이 결정될 수 있고 순차적인 검사에 따라 이상 여부를 확인할 수 있다. 또한 상기 검사 순서 및 검사 레벨의 우선순위는 아키텍처 및 보안 단계에 따라 설정될 수 있다. 상기 우선순위에 따라 수행된 프로세스는 획득되는 검사 결과에 따라 문제점이 발견되는 경우, 그 단계에서 필요한 처리를 수행하고 검사 종료 여부를 판단할 수 있다. 상기 문제점은 스팸메일로 판별되거나 악성코드가 포함된 메일로 판별될 시, 메일을 사용자단말(200)에서 확인할 수 없도록 폐기 처리하거나 반송 등의 처리로 해결될 수 있다. 이렇게 특정 단계에서의 검사 프로세스를 통해 메일의 문제점을 처리하는 경우, 후속 검사단계는 또는 병렬처리 중인 나머지 검사단계는 수행되지 않고 종료될 수 있다.
한편, 본 발명의 실시 예에 따른 보안위협 검사부(130)의 아키텍처 기반 검사 중 일부 프로세스의 경우, 인공지능 프로세스를 기초로 수행될 수 있다.
보다 구체적으로, 예를 들어, 보안위협 검사부(130)는 행위 검출의 경우, 가상환경에서의 행위 검출과, 랜섬웨어 탐지 후 유형을 분류하는 처리를 수행할 수 있는바, 이를 위해 알려진 인공지능 의사결정 트리 데이터 처리 기반의 행위 검출 및 랜섬웨어 코드 데이터 검출 프로세스가 이용될 수 있다.
보다 구체적으로, 보안위협 검사부(130)는, 가상환경에서 이메일을 열람함에 따라, 검출된 행위 정보와, 랜섬웨어 정보를 데이터베이스에 저장할 수 있으며, 저장된 데이터에 의사결정 트리 알고리즘을 적용하여 행위 검출 및 랜섬웨어 검출 모델을 학습할 수 있다.
그리고, 보안위협 검사부(130)는, 학습된 모델의 데이터 속성 조건에 따라, 이후 수집되는 실시간 이메일의 행위 검출 및 랜섬웨어 검출 및 유형을 판단할 수 있다.
또한, 예를 들어, 보안위협 검사부(130)는 악성 URL 검출의 경우, URL, HTML데이터를 기초로 자가 조직화 지도(Self Organizing Map)을 구축하여 상기 악성 URL을 검출할 수 있다.
이 경우, 보안위협 검사부(130)는, 가상환경에서 URL을 실행시키고 HTML 데이터를 수집 및 학습하며, 자가 조직화 지도 알고리즘 기반 악성 URL 차단 모델이 공통적인 특징을 가진 데이터를 군집으로 분류하여 지도 형식의 학습 모델 데이터를 구축할 수 있다.
그리고, 보안위협 검사부(130)는, 상기 학습 모델 데이터를 이용한 실시간 악성 URL 탐지로 실시간 네트워크 트래픽의 특성을 반영하여 시간차 공격 또한 탐지를 수행할 수 있다.
나아가, 보안위협 검사부(130)는, 분류된 악성코드 의심 메일에 대하여 영구적으로 삭제가 가능하거나 사용자 요청 시 재전송하는 기능을 제공할 수 있으며, 악성코드 공격에 대응하기 위하여 가상영역(virtual machine) 내에서 검사할 경우 다양한 파일 확장자에 대하여 검사를 수행할 수 있다.
특히, 보안위협 검사부(130)는, 제로데이 취약점을 이용하는 신종 악성코드 공격에 대응하기 위하여 행위 기반 검사를 시행하여 패턴에 등록되지 않은 신종 바이러스를 검출할 수 있을 뿐만 아니라, URL에 악성코드 포함 여부 검사 시 다중으로 연결된 URL의 최종 URL까지 검사할 수 있다.
또한, 보안위협 검사부(130)는, URL에 악성코드 포함 여부 검사 시 악성으로 의심되는 URL의 경우 사용자가 실수로 실행할 수 있는 경우를 방지할 수 있도록, URL의 하이퍼링크를 제거하거나, URL을 별도의 문구로 표기하거나, URL을 이미지로 변환하는 등의 별도의 기능을 사용자단말(200)로 제공할 수 있다.
또한, 보안위협 검사부(130)는, URL에 악성코드 포함 여부 검사 시, 사후 URL 활성 공격을 차단하기 위하여 사용자가 이메일에 수신된 URL을 실행할 때마다 안전 여부를 검사할 수 있고, URL에 악성코드 포함 여부 검사 시 URL에 악성 요소가 있을 시 해당 URL이 분리되어 보안 웹 게이트웨이로 유도된 후 그곳에서 위험한 요소를제거하여 안전한 웹 사이트 콘텐츠만 사용자단말(200)로 제공되도록 처리할 수 있다.
또한, 보안위협 검사부(130)는, 발송지 변경 및 헤더 위변조 탐지를 위해, 연관 규칙 알고리즘 기반의 고객사 계정, 발송지, 헤더 값 및 IP주소 분석을 수행할 수 있다. 예를 들어, 보안위협 검사부(130)는, 고객사 계정의 발송지, 기존 헤더 값, IP 주소 데이터와 같은 계정으로 수신된 메일의 발송지, 헤더 값, IP 주소 간의 연관 관계를 연관 규칙 알고리즘 기반으로 분석하는 위변조 탐지 모델을 구축할 있다.
이에 따라, 보안위협 검사부(130)는, 위변도 탐지 모델 내 연관 규칙에 위배되는 발송지, 헤더 값과 IP 주소 데이터가 탐지되면 해당 메일을 차단하고, 발송지 변경 및 헤더 위변조가 검출된 것으로 처리할 수 있다.
한편, 보안위협 검사부(130)는, 유사 도메인 탐지 및 차단을 위해, 랜덤 포레스트 기반의 고객사 계정 도메인의 텍스트 데이터를 분석할 수 있다. 예를 들어, 보안위협 검사부(130)는, 랜덤 포레스트 알고리즘 기반 유사 도메인 탐지 모델이 고객사 계정 도메인 데이터를 수집하는 학습 모델을 구축할 수 있다.
이에 따라, 보안위협 검사부(130)는, 학습 모델이 고객사 실제 도메인 데이터를 학습하여 사람의 눈으로 구별할 수 없는 유사 도메인 내 변경된 텍스트 데이터를 추출하여 유사 도메인 메일로 판단하고 차단하며, 검출 정보를 처리할 수 있다.
도 6은 본 발명의 실시 예에 따른 이메일 보안 진단 서비스부를 보다 구체적으로 설명하기 위한 블록도이다.
도 6을 참조하면, 본 발명의 실시 예에 따른 이메일 보안 진단 서비스부(190)는, 아키텍처 처리 정보 정량 분석부(191), 보안 요소별 위협 레벨 결정부(192) 및 위협 레벨 기반 가이드 콘텐츠 제공부(193)를 포함한다.
아키텍처 처리 정보 정량 분석부(191)는, 보안위협 검사부(130)의 보안위협 아키텍처의 레벨별 프로세스 수행에 따른 매칭 결과 정보를 수집하고, 이메일 수발신 보안시 발생되는 하나 이상의 위협 레벨 요소 분류 기준의 분류 조건에 따라 사전 설정된 위협 레벨 비율 요소별 정량 분석 정보를 산출한다.
보다 구체적으로, 아키텍처 처리 정보 정량 분석부(191)는, 진단 대상인 이메일 시스템에 대응하여, 진단 기간 및 진단 도메인을 획득할 수 있다. 그리고, 진단 기간 및 진단 도메인에 대한 보안위협 아키텍처 기반 메일 수발신 보안 처리 결과를 기초로, 상기 위협 레벨 요소 분류 기준의 분류 조건에 대응하여 처리된 정량적 매칭 건수를 산출할 수 있다.
여기서, 상기 위협 레벨 요소 분류 기준의 분류 조건은 각 보안위협 아키텍처의 레벨별 처리 결과에 대응하여 설정될 수 있으며, 예를 들어, 악성코드 메일 검출, 악성코드 행위 검출, 바이러스 검출, 랜섬웨어 검출, 악성 URL 검출, 본문 내 URL 검출, 첨부파일 내 URL 검출, 사회공학 메일 검출, 헤더 위변조 검출, 답장시 주소 변경 검출, ID 변경 검출, 도메인 변경 검출, ID & 도메인 순서 변경 검출, 발송지 변경 검출, 유사 도메인 검출, 헤더 위변조 주의 메일 검출, 스팸 메일(광고성, 업무성) 검출, 신뢰도 주의 메일 검출 중 적어도 하나를 포함할 수 있다.
이러한 각 분류 조건에 해당하는 경우, 전체 수발신 메일 건수 대비 각각의 보안위협 유형별 검출 건수의 비율이 산출될 수 있는 바, 비율 정보는 상기 정량 분석 정보에 포함될 수 있다.
예를 들어, 악성 코드 위협 비율 조건 분류의 정량 분석 정보는 (악성 코드 검출 건수 + 악성 URL 검출 건수 + 랜섬웨어 검출 건수) / (전체 수발신 메일 수) X 100%로 산출될 수 있다.
또한, 예를 들어, 사회공학 위협 비율 조건 분류의 정량 분석 정보는 (헤더 위변조 검출 건수 + 유사도메인 검출 건수) / (전체 수발신 메일 수) X 100%로 산출될 수 있다.
그리고, 예를 들어, 스팸 메일 위협 비율 조건 분류의 정량 분석 정보는 스팸 메일 건수 그 자체로 산출될 수 있다.
또한, 예를 들어, 신뢰도 주의 위협 비율 조건 분류의 정량 분석 정보는 신뢰도 80% 미만으로 매칭된 메일의 건수 대비 전체 수발신 메일 수의 비율 정보로 산출될 수 있다.
그리고, 예를 들어, 신뢰도 주의 위협 비율 조건 분류의 정량 분석 정보는 신뢰도 80% 미만으로 매칭된 메일의 건수 대비 전체 수발신 메일 수의 비율 정보로 산출될 수 있다.
또한, 예를 들어, 발송지 주의 위협 비율 조건 분류의 정량 분석 정보는 발송지 국가, 서버 또는 경로 중 적어도 하나가 변경 검출된 메일 건수의, 전체 수발신 메일 수 대비 비율 정보로 산출될 수 있다.
여기서, 상기 조건 분류별 위험 요소는 중복으로 카운팅 될 수 있으며, 동일한 메일에 대하여도 헤더 위변조 검출과, 유사 도메인 검출 건수는 동시에 카운팅될 수 있다.
그리고, 보안 요소별 위협 레벨 결정부(192)는, 상기 정량 분석 정보에 기초하여, 진단 대상 메일 시스템의 위협 레벨 단계 분류별 스코어를 결정할 수 있다.
보다 구체적으로, 위협 레벨 단계 분류별로 상기 분류 조건들이 각각 할당될 수 있으며, 상기 분류 조건에 따라 검출된 정량 분석 값들이 상기 각 위협 레벨 단계 분류에 대응하여 합산 처리될 수 있으며, 합산 처리된 값에 따라 각 위협 레벨 단계 분류별 스코어가 결정될 수 있다.
예를 들어, 위협 레벨 단계는, 그 위험도에 따라 제1 단계, 제2 단계, 제3 단계, 제4 단계로 분류될 수 있으며, 각 단계별로 상기 정량 분석 정보들이 배치될 수 있다. 상기 정량 분석 정보에 포함된 각 비율 값들은 합산 처리되며, 보안 요소별 위협 레벨 결정부(192)는, 합산 처리된 값에 따라 각 위협 레벨 단계별 스코어를 획득할 수 있다.
나아가, 보안 요소별 위협 레벨 결정부(192)는, 상기 각 위협 레벨 단계에 대응하는 위험도 가중치를 설정할 수 있다. 위험도 가중치는, 제1 레벨에 대응하여 10%, 제2 레벨에 대응하여 20%, 제3 레벨에 대응하여 30%, 제4 레벨에 대응하여 40%와 같이 할당될 수 있다.
이에 따라, 보안 요소별 위협 레벨 결정부(192)는, 각 위협 레벨 단계별 스코어에, 상기 각 위험도 가중치를 곱연산하고, 그 결과를 합산함에 따라, 종합적인 보안위협 아키텍처 기반의 이메일 수발신 보안 위협 위험도를 산출할 수 있다.
이러한 보안위협 아키텍처 기반의 이메일 수발신 보안 위협 위험도는, 사전 설정된 등급에 따라 A, B, C, D, E와 같은 보안 등급에 매핑될 수 있고, 이러한 매핑에 따라, 위협 레벨 기반 가이드 콘텐츠 제공부(193)는, 종합적인 이메일 보안 시스템의 도메인/기간별 보안 위협 위험도를 보안 등급으로 표시하는 위협 레벨 기반 가이드 콘텐츠를 구성하여, 사용자단말(200)로 제공할 수 있다.
여기서, 위협 레벨 기반 가이드 콘텐츠는, 상기 보안 요소별 위협 레벨 정보와, 상기 아키텍처 처리 정보 정량 분석부의 정량 분석 정보에 기초하여 구성될 수 있다. 위협 레벨 기반 가이드 콘텐츠는, 보안위협 아키텍처에서 검출되는 메일 유형별 검출 건수와, 검출 통계 정보 기반의 진단 그래프, 진단 등급, 진단 유형별 메일 검출 비율 정보, 조치 사항 등의 이메일 보안 진단 분석 리포팅 인터페이스를 포함할 수 있다.
도 7은 본 발명의 실시 예에 따른 이메일 보안 진단 서비스부의 동작을 설명하기 위한 흐름도이다.
도 7을 참조하면, 본 발명의 실시 예에 따른 이메일 보안 진단 서비스부(190)는, 이메일 수발신 보안시 발생되는 하나 이상의 위협 레벨 비율 요소를 결정한다(S201).
그리고, 이메일 보안 진단 서비스부(190)는, 진단 대상인 메일 시스템의 진단 도메인 및 진단 기간에 대응하여, 보안위협 검사부(130)로부터 아키텍처 처리 정보를 획득하고, 상기 아키텍처 처리 정보로부터 상기 위협 레벨 비율 요소에 대응하는 정량 분석 정보를 산출한다(S203).
이후, 이메일 보안 진단 서비스부(190)는, 상기 정량 분석 정보에 기초하여, 진단 대상 메일 시스템의 위협 레벨 단계 분류별 스코어를 결정한다(S205).
그리고, 이메일 보안 진단 서비스부(190)는, 상기 위협 레벨 단계 분류별 스코어에 기초하여, 이메일 보안 진단 분석 리포팅을 구성한다(S207).
이후, 이메일 보안 진단 서비스부(190)는, 이메일 보안 진단 분석 리포팅을 사용자 단말로 제공하며(S209), 제공 결과에 대응하는 사용자단말(200)의 피드백 정보를 확인하며, 이후 기간의 진단 정보 업데이트를 수행한다(S211).
도 8 내지 도 9는 본 발명의 실시 예에 따른 위협 레벨 비율 요소와, 단계 분류별 스코어 산출을 위한 참조 테이블을 예시한 도면이다.
도 8을 참조하면, 위협 레벨 비율 요소를 결정하기 위한 분류 조건이 사전 설정될 수 있으며, 분류 조건에 해당하는지 여부와 그 건수는 보안위협 검사부(130)의 보안위협 아키텍처 처리에 따른 매칭 결과 정보로부터 산출될 수 있다.
이러한 분류 조건은, 도 11에 도시된 바와 같이, 행위검출, 바이러스, 본문 내 URL, 첨부파일 URL, 랜섬웨어, 헤더 위변조, 유사 도메인 중 적어도 하나를 포함할 수 있다.
여기서, 악성코드, 악성 URL, 랜섬웨어의 경우 악성 코드 메일로 분류될 수 있으며, 헤더 위변조, 유사 도메인의 경우 표적형 이메일 공격을 포함하는 사회공학적 공격 메일로 분류될 수 있다.
보다 구체적으로, 상기 행위 검출은, 이메일에 등록되지 않은 패턴의 악성코드이거나 사용자의 허가 없이 설치되는 파일이 존재하는 경우에 해당할 수 있다.
또한, 바이러스 검출의 경우, 이미 알려진 패턴의 악성코드가 검출된 경우에 해당할 수 있다.
그리고, 랜섬웨어 검출의 경우, 데이터를 암호화해 사용할 수 없도록 하는 악성 프로그램이 검출된 경우에 해당할 수 있다.
또한, 악성 URL 중 본문 내 URL 검출의 경우, 이메일 본문에 있는 URL 링크에서 악성코드가 검출되는 경우에 해당할 수 있다.
그리고, 악성 URL 중 첨부파일 내 URL 검출의 경우, 이메일 첨부 파일에 있는 링크에서 악성코드가 검출되는 경우에 해당할 수 있다.
한편, 스팸 메일의 경우에는 사전 설정된 이메일 규칙에 어긋나는 요소가 존재하는 광고성 또는 업무성 메일이 검출되는 경우에 해당할 수 있다.
그리고, 신뢰도 주의 메일의 경우에는 동일한 메일 서버에서 발송되지 않은 이메일이 검출되는 경우에 해당할 수 있다.
그리고, 헤더 위변조 메일 중 답장시 주소 변경 검출의 경우에는, 주소 변경발송된 이메일에 답장 시 실제 발송자의 이메일 주소와 다른 이메일 주소로 변경되는 메일이 검출되는 경우에 해당할 수 있다.
그리고, 헤더 위변조 메일 중 ID 변경 검출의 경우에는, 실제 발송자의 이메일 주소 중 ID 부분을 변경하여 발송한 메일이 검출되는 경우에 해당할 수 있다.
나아가, 헤더 위변조 메일 중 도메인 변경 검출의 경우에는, 실제 발송자의 이메일 주소 중 도메인 부분을 변경하여 발송한 메일이 검출되는 경우에 해당할 수 있다.
또한, 헤더 위변조 메일 중 ID & 도메인 순서 변경 검출의 경우에는, 실제 발송자의 이메일 주소 중 ID와 도메인 순서를 변경하여 발송한 메일이 검출되는 경우에 해당할 수 있다.
한편, 도 8에 도시되지는 않았으나 발송지 변경 검출 또한 분류 조건에 포함될 수 있다. 발송지 변경 검출이 이루어지는 경우는, 발송지 국가 변경 이전에 이메일이 발송된 이력과 비교 하였을 때 발송지 국가가 변경된 것으로 검출된 경우이거나, 발송 메일 서버 변경이전에 이메일이 발송된 이력과 비교 하였을 때 발송 메일 서버가 변경된 것을 검출된 경우이거나, 발송 경로 변경 이전에 이메일이 발송된 이력과 비교 하였을 때 발송 경로가 변경된 것으로 검출된 경우 중 어느 하나일 수 있다.
그리고, 유사 도메인은 그 변경 정도에 따라 상, 중, 하로 분류될 수 있다.
유사 도메인 검출이 '상'인 경우, 이전에 수신한 이메일 주소와 문자가 3개 이상 변경된 유사한 이메일 주소가 검출된 경우일 수 있으며, '중'인 경우, 이전에 수신한 이메일 주소와 문자가 2개 이상 변경된 유사한 이메일 주소가 검출된 경우에 해당할 수 있고, '하'인 경우, 이전에 수신한 이메일 주소와 문자가 1개 이상 변경된 유사한 이메일 주소가 검출된 경우에 해당할 수 있다.
그리고, 유사 도메인 검출이 최상위 도메인(Top Level Domain (TLD)) 인 경우는, 이전에 수신한 이메일 주소에서 상위 도메인이 변경된 유사한 이메일 주소가 검출된 경우에 해당할 수 있다.
그리고, 도 9에 도시된 바와 같이, 각 분류 조건에 따라 검출된 정량 분석 정보는, 위협 레벨 단계별로 분류될 수 있으며, 각 단계별 정량 분석 정보는 합산 처리되어 단계별 스코어 산출에 이용될 수 있다.
예를 들어, 도 9에 도시된 바와 같이, 제1 단계(일반위협)는 신뢰도 주의 메일 비율, 유사도메인(하) 비율을 포함하고, 제2 단계(일반위협)는 바이러스 메일 비율, 본문 내 URL 비율, 발송경로변경 메일 비율, 유사도메인(중) 비율, ID 변경 메일 비율, 도메인 변경 메일 비율을 포함할 수 있으며, 제3 단계(다소 위험)는, 발송지 국가변경 메일 비율, ID&도메인 순서 변경 메일 비율, 유사도메인(상) 메일 비율, 답장시 주소 변경 메일 비율을 포함하고, 제4 단계(매우 위험)는, 발송메일서버변경 비율, 랜섬웨어 메일 비율, 첨부파일 내 URL 메일 비율, 유사도(상) 및 TLD 메일 비율을 포함할 수 있다.
이에 따라, 보안 요소별 위협 레벨 결정부(192)는, 상기 각 위협 레벨 단계에 대응하는 위험도 가중치를 설정할 수 있고, 각 단계별 정량 분석에 따라 획득된 비율 정보를 합산한 값에 위험도 가중치가 곱연산될 수 있으며, 단계별 곱연산된 값들을 합산하여 최종 보안 위협 스코어가 등급에 따라 결정될 수 있다. 상기 가중치는 전술한 바와 같이, 제1 레벨에 대응하여 10%, 제2 레벨에 대응하여 20%, 제3 레벨에 대응하여 30%, 제4 레벨에 대응하여 40%와 같이 할당되는 것이 예시될 수 있으나, 이는 각 도메인의 속성이나 관리자 설정에 따라 가변될 수 있다.
도 10 내지 도 12는 본 발명의 실시 예에 따라 사용자 단말로 제공되는 진단 리포팅 인터페이스의 예시도이다.
여기서, 상기 진단 리포팅 인터페이스는 이메일 보안 진단 서비스부(190)로부터 사용자단말(200)로 제공될 수 있는 바, 여기서 사용자단말(200)은 이메일 시스템의 보안 관리자의 사용자 단말(200)이 예시될 수 있다.
도 10에 도시된 바와 같이, 본 발명의 실시 예에 따른 진단 리포팅 인터페이스는, 각 보안 위협 비율 요소(주의 메일 유형)의 분류 조건별 검출 건수와, 분류 유형별 검출 건수 기반의 그래프 인터페이스를 포함할 수 있다.
도 10을 참조하면, 그래프 인터페이스는 행위 검출, 랜섬웨어, 바이러스, 악성 URL, 첨부파일 내 URL, 헤더 위변조, 발송지 변경, 유사 도메인을 각 꼭지점으로 하며, 각 꼭지점의 중심점으로부터 외곽까지의 거리가 상기 분류 조건에 대응하는 정량 분석 산출값에 따라 결정되는 다각형 인터페이스를 포함할 수 있다.
사용자 또는 이메일 보안 관리자는, 이와 같은 다각형 인터페이스를 참조하여, 현재 시스템에서 취약한 부분을 시각적으로 쉽게 확인할 수 있다.
또한, 본 발명의 실시 예에 따른 진단 리포팅 인터페이스는 사용자단말(200)로 상기한 바와 같은 인터페이스의 검출 정보와 함께, 진단 기간에 대응하는 보안 등급과, 정보 유출 관련 메일 수신 비율, 오송금 사기 관련 메일 수신 비율, 전산마비관련 메일 수신 비율 등의 부가 분석 정보를 함께 제공할 수 있다.
그리고, 본 발명의 실시 예에 따른 진단 리포팅 인터페이스는, 취약한 공격유형에 특화된 보안 솔루션을 이용할 것을 추천하거나, 다시 진단할 것을 제안하는 이메일 보안 진단 기반의 가이드 정보를 함께 출력할 수 있다.
또한, 도 11을 참조하면, 본 발명의 실시 예에 따른 진단 리포팅 인터페이스는, 상기 분류 조건별 정량 분석 정보를 기반으로 산출되는 비정상 메일 발송 국가 및 순위 진단 리포트를 제공할 수 있다. 도 14에 도시된 바와 같이, 비정상 메일 발송 국가 및 순위가 그래픽 객체로 표시될 수 있는 바, 사용자는 쉽고 직관적으로 국가별 메일 보안 위협 위험도를 확인할 수 있다.
한편, 도 12는 검출 정보에 대응하는 대응 방안 가이드 제공 인터페이스를 도시한 것으로, 도 12에 도시된 바와 같이, 특정 보안 위협 분류 조건이 선택되면, 선택된 보안 위협 분류 조건에 대응하는 정량 분석 정보가 수치화되어 표시되며, 상기 정량 분석 정보에 기초한 검출 분석 정보와, 대응 방안 가이드 정보가 사전 구축된 데이터베이스로부터 추출되어 사용자단말(200)로 제공될 수 있다.
도 12에서는 악성 URL 검출에 대한 검출 정보 및 대응 방안 가이드가 표시되고 있으나, 행위 검출, 헤더 위변조, 발송지 변경, 유사 도메인, 스팸 메일 등의 다양한 분류 조건의 정량 분석 정보 기반의 검출 정보 및 대응 방안 가이드가 구성되어 각각 사용자단말(200)로 제공될 수 있다.
상술한 본 발명에 따른 방법은 컴퓨터에서 실행되기 위한 프로그램으로 제작되어 컴퓨터가 읽을 수 있는 기록 매체에 저장될 수 있으며, 컴퓨터가 읽을 수 있는 기록 매체의 예로는 ROM, RAM, CD-ROM, 자기 테이프, 플로피디스크, 광 데이터 저장장치 등이 있다.
컴퓨터가 읽을 수 있는 기록 매체는 네트워크로 연결된 컴퓨터 시스템에 분산되어, 분산방식으로 컴퓨터가 읽을 수 있는 코드가 저장되고 실행될 수 있다. 그리고, 상기 방법을 구현하기 위한 기능적인(function) 프로그램, 코드 및 코드 세그먼트들은 본 발명이 속하는 기술분야의 프로그래머들에 의해 용이하게 추론될 수 있다.
또한, 이상에서는 본 발명의 바람직한 실시 예에 대하여 도시하고 설명하였지만, 본 발명은 상술한 특정의 실시 예에 한정되지 아니하며, 청구범위에서 청구하는 본 발명의 요지를 벗어남이 없이 당해 발명이 속하는 기술분야에서 통상의 지식을 가진 자에 의해 다양한 변형 실시가 가능한 것은 물론이고, 이러한 변형 실시들은 본 발명의 기술적 사상이나 전망으로부터 개별적으로 이해되어서는 안될 것이다.

Claims (20)

  1. 서비스 제공 장치에 있어서,
    하나 이상의 사용자 단말 간 송수신되는 메일정보를 수집하는 수집부;
    사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭을 처리하고, 상기 매칭 처리된 메일보안 프로세스에 의해 상기 메일정보를 검사하며, 상기 메일정보의 검사결과에 따른 메일보안 검사정보를 저장 및 관리하는 보안위협 검사부; 및
    상기 보안위협 검사부의 아키텍처 처리 정보로부터, 진단 대상 메일 시스템의 위협 레벨 요소 분류 기준에 대응하는 정량 분석 정보를 산출하며, 상기 정량 분석 정보 기반의 이메일 보안 진단 분석 리포팅을 구성하여 관리자의 사용자 단말로 제공하는 이메일 보안 진단 서비스부를 포함하고,
    상기 보안위협 검사부는,
    상기 보안위협 아키텍처에 따라, 수신메일, 발신메일 및 내부메일 각각에 대응하여 특정 검사 항목과 지표가 설정된 보안위협 유형 및 레벨에 기초하여, 상기 메일 보안 프로세스를 단계적으로 매칭하여 순차적으로 이행하되, 상기 보안위협 유형은 스팸 처리, 악성코드 처리, 사회공학적 처리, 발신 환경 검사 및 내부 메일 관리를 포함하고,
    상기 메일보안 프로세스는 상기 수신메일의 보안위협 검사를 각 레벨에 따라 수행함에 있어서, 상기 수신메일의 스팸 처리 유형에 대응하는 스팸메일 여부 검사 단계와, 상기 수신메일의 상기 악성코드 처리 유형에 대응하여 상기 수신메일 내 악성코드 포함 여부를 판별하는 악성코드 처리 단계와, 상기 사회공학적 처리 유형에 대응하여 상기 수신메일의 관계 분석 기반의 사회공학적 공격 메일 검사를 수행하는 사회공학적 처리 단계가 이행되도록 처리하는 단계적 검사 프로세스를 포함하며,
    상기 메일보안 프로세스는 상기 발신메일의 보안위협 검사를 각 레벨에 따라 수행함에 있어서, 상기 발신 환경 검사 유형에 대응하는 발신 환경 검사 단계가 추가 이행되도록 처리하는 단계적 검사 프로세스를 포함하며, 상기 발신 환경 검사 단계는 메일 발신을 목적으로 접속하는 사용자 단말이 사전 등록된 화이트리스트에 따른 IP 주소 허용 사용자 단말인지를 검증하는 레벨 단계를 포함하고,
    상기 메일보안 프로세스는 상기 내부메일의 보안위협 검사를 각 레벨에 따라 수행함에 있어서, 상기 내부 메일 관리 유형에 대응하여 내부 정보 유출을 방지하기 위한 내부 메일 관리 단계가 이행되도록 처리하는 단계적 검사 프로세스를 포함하며,
    상기 이메일 보안 진단 서비스부는, 상기 아키텍처 처리 정보로부터, 상기 메일 보안 프로세스의 단계적 매칭 및 순차적 이행에 따른 상기 정량 분석 정보가 수치화되어 표시되며, 상기 정량 분석 정보에 기초한 검출 분석 정보와, 대응 방안 가이드 정보를 포함하는 이메일 보안 진단 분석 리포팅 인터페이스를 구성하여, 상기 사용자 단말로 제공하는
    서비스 제공 장치.
  2. 제1항에 있어서,
    상기 이메일 보안 진단 서비스부는,
    상기 진단 대상 메일 시스템에 대응하여, 진단 기간 및 진단 도메인을 획득하고, 상기 진단 기간 및 진단 도메인에 대한 상기 보안위협 검사부의 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭 결과를 기초로, 상기 위협 레벨 요소 분류 기준에 대응하여 처리된 정량적 매칭 건수를 산출하는 아키텍처 처리 정보 정량 분석부를 포함하는
    서비스 제공 장치.
  3. 제2항에 있어서,
    상기 아키텍처 처리 정보 정량 분석부는,
    상기 진단 기간 동안의 악성 코드 검출 건수와, 악성 URL 검출 건수와, 랜섬웨어 검출 건수를 합산한 건수를, 전체 수발신 메일 수와 비교하여 악성 코드 위협 비율 조건 분류의 정량 분석 정보를 산출하는
    서비스 제공 장치.
  4. 제2항에 있어서,
    상기 아키텍처 처리 정보 정량 분석부는,
    상기 진단 기간 동안의 헤더 위변조 검출 건수와, 유사도메인 검출 건수를 합산한 건수를, 전체 수발신 메일 수와 비교하여 사회공학 위협 비율 조건 분류의 정량 분석 정보를 산출하는
    서비스 제공 장치.
  5. 제2항에 있어서,
    상기 아키텍처 처리 정보 정량 분석부는,
    상기 진단 기간 동안 처리된 메일 중, 동일한 메일 서버에서 발송되지 않아 신뢰도가 일정 값 미만으로 검출된 메일의 건수를, 전체 수발신 메일 수 대비 비율 정보로 산출하여 신뢰도 주의 위협 비율 조건 분류의 정량 분석 정보로 출력하는
    서비스 제공 장치.
  6. 제2항에 있어서,
    상기 아키텍처 처리 정보 정량 분석부는,
    상기 진단 기간 동안 처리된 메일 중, 이전에 이메일이 발송된 이력과 비교 하였을 때 발송지 국가, 서버, 경로 중 적어도 하나가 변경된 경우에 해당하는 발송지 변경 메일의 검출 건수를, 전체 수발신 메일 수 대비 비율 정보로 산출하여 발송지 주의 위협 비율 조건 분류의 정량 분석 정보로 출력하는
    서비스 제공 장치.
  7. 제1항에 있어서,
    위협 레벨 단계 분류별로 상기 위협 레벨 요소 분류 기준들을 각각 할당하며, 상기 위협 레벨 요소 분류 기준의 분류 조건에 따라 검출된 정량 분석 값을 이용하여, 각 위협 레벨 단계 분류별 스코어를 결정하는 보안 요소별 위협 레벨 결정부를 더 포함하는
    서비스 제공 장치.
  8. 제7항에 있어서,
    상기 보안 요소별 위협 레벨 결정부는,
    상기 위협 레벨 단계 분류별 스코어에, 상기 각 위협 레벨 단계에 대응하는 위험도 가중치를 곱연산하고, 그 결과를 합산함에 따라, 종합적 보안위협 아키텍처 기반의 이메일 수발신 보안 위협 위험도를 산출하는
    서비스 제공 장치.
  9. 제1항에 있어서,
    상기 이메일 보안 진단 분석 리포팅은,
    상기 위협 레벨 요소 분류 기준에 포함된 행위 검출, 랜섬웨어, 바이러스, 악성 URL, 첨부파일 내 URL, 헤더 위변조, 발송지 변경 및 유사 도메인을 각 꼭지점으로 하며, 각 꼭지점의 중심점으로부터 외곽까지의 거리가 상기 위협 레벨 요소 분류 기준에 대응하는 정량 분석 산출값에 따라 결정되는 다각형 인터페이스를 포함하여, 상기 관리자의 사용자 단말에서 출력되는
    서비스 제공 장치.
  10. 삭제
  11. 서비스 제공 장치의 동작 방법에 있어서,
    하나 이상의 사용자 단말 간 송수신되는 메일정보를 수집하는 단계;
    사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭을 처리하고, 상기 매칭 처리된 메일보안 프로세스에 의해 상기 메일정보를 검사하며, 상기 메일정보의 검사결과에 따른 메일보안 검사정보를 저장 및 관리하는 단계; 및
    보안위협 검사부의 아키텍처 처리 정보로부터, 진단 대상 메일 시스템의 위협 레벨 요소 분류 기준에 대응하는 정량 분석 정보를 산출하며, 상기 정량 분석 정보 기반의 이메일 보안 진단 분석 리포팅을 구성하여 관리자의 사용자 단말로 제공하는 단계를 포함하고,
    상기 관리하는 단계는,
    상기 보안위협 아키텍처에 따라, 수신메일, 발신메일 및 내부메일 각각에 대응하여 특정 검사 항목과 지표가 설정된 보안위협 유형 및 레벨에 기초하여, 상기 메일 보안 프로세스를 단계적으로 매칭하여 순차적으로 이행하되, 상기 보안위협 유형은 스팸 처리, 악성코드 처리, 사회공학적 처리, 발신 환경 검사 및 내부 메일 관리를 포함하고,
    상기 메일보안 프로세스는 상기 수신메일의 보안위협 검사를 각 레벨에 따라 수행함에 있어서, 상기 수신메일의 스팸 처리 유형에 대응하는 스팸메일 여부 검사 단계와, 상기 수신메일의 상기 악성코드 처리 유형에 대응하여 상기 수신메일 내 악성코드 포함 여부를 판별하는 악성코드 처리 단계와, 상기 사회공학적 처리 유형에 대응하여 상기 수신메일의 관계 분석 기반의 사회공학적 공격 메일 검사를 수행하는 사회공학적 처리 단계가 이행되도록 처리하는 단계적 검사 프로세스를 포함하며,
    상기 메일보안 프로세스는 상기 발신메일의 보안위협 검사를 각 레벨에 따라 수행함에 있어서, 상기 발신 환경 검사 유형에 대응하는 발신 환경 검사 단계가 추가 이행되도록 처리하는 단계적 검사 프로세스를 포함하며, 상기 발신 환경 검사 단계는 메일 발신을 목적으로 접속하는 사용자 단말이 사전 등록된 화이트리스트에 따른 IP 주소 허용 사용자 단말인지를 검증하는 레벨 단계를 포함하고,
    상기 메일보안 프로세스는 상기 내부메일의 보안위협 검사를 각 레벨에 따라 수행함에 있어서, 상기 내부 메일 관리 유형에 대응하여 내부 정보 유출을 방지하기 위한 내부 메일 관리 단계가 이행되도록 처리하는 단계적 검사 프로세스를 포함하며,
    상기 제공하는 단계는,
    상기 아키텍처 처리 정보로부터, 상기 메일 보안 프로세스의 단계적 매칭 및 순차적 이행에 따른 상기 정량 분석 정보가 수치화되어 표시되며, 상기 정량 분석 정보에 기초한 검출 분석 정보와, 대응 방안 가이드 정보를 포함하는 이메일 보안 진단 분석 리포팅 인터페이스를 구성하여, 상기 사용자 단말로 제공하는 단계를 포함하는
    서비스 제공 장치의 동작 방법.
  12. 제11항에 있어서,
    상기 제공하는 단계는,
    상기 진단 대상 메일 시스템에 대응하여, 진단 기간 및 진단 도메인을 획득하고, 상기 진단 기간 및 진단 도메인에 대한 상기 보안위협 검사부의 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭 결과를 기초로, 상기 위협 레벨 요소 분류 기준에 대응하여 처리된 정량적 매칭 건수를 산출하는 단계를 포함하는
    서비스 제공 장치의 동작 방법.
  13. 제12항에 있어서,
    상기 산출하는 단계는,
    상기 진단 기간 동안의 악성 코드 검출 건수와, 악성 URL 검출 건수와, 랜섬웨어 검출 건수를 합산한 건수를, 전체 수발신 메일 수와 비교하여 악성 코드 위협 비율 조건 분류의 정량 분석 정보를 산출하는 단계를 포함하는
    서비스 제공 장치의 동작 방법.
  14. 제12항에 있어서,
    상기 산출하는 단계는,
    상기 진단 기간 동안의 헤더 위변조 검출 건수와, 유사도메인 검출 건수를 합산한 건수를, 전체 수발신 메일 수와 비교하여 사회공학 위협 비율 조건 분류의 정량 분석 정보를 산출하는 단계를 포함하는
    서비스 제공 장치의 동작 방법.
  15. 제12항에 있어서,
    상기 산출하는 단계는,
    상기 진단 기간 동안 처리된 메일 중, 동일한 메일 서버에서 발송되지 않아 신뢰도가 일정 값 미만으로 검출된 메일의 건수를, 전체 수발신 메일 수 대비 비율 정보로 산출하여 신뢰도 주의 위협 비율 조건 분류의 정량 분석 정보로 출력하는 단계를 포함하는
    서비스 제공 장치의 동작 방법.
  16. 제12항에 있어서,
    상기 산출하는 단계는,
    상기 진단 기간 동안 처리된 메일 중, 이전에 이메일이 발송된 이력과 비교 하였을 때 발송지 국가, 서버, 경로 중 적어도 하나가 변경된 경우에 해당하는 발송지 변경 메일의 검출 건수를, 전체 수발신 메일 수 대비 비율 정보로 산출하여 발송지 주의 위협 비율 조건 분류의 정량 분석 정보로 출력하는 단계를 포함하는
    서비스 제공 장치의 동작 방법.
  17. 제11항에 있어서,
    위협 레벨 단계 분류별로 상기 위협 레벨 요소 분류 기준들을 각각 할당하며, 상기 위협 레벨 요소 분류 기준의 분류 조건에 따라 검출된 정량 분석 값을 이용하여, 각 위협 레벨 단계 분류별 스코어를 결정하는 단계를 더 포함하는
    서비스 제공 장치의 동작 방법.
  18. 제17항에 있어서,
    상기 결정하는 단계는,
    상기 위협 레벨 단계 분류별 스코어에, 상기 각 위협 레벨 단계에 대응하는 위험도 가중치를 곱연산하고, 그 결과를 합산함에 따라, 종합적 보안위협 아키텍처 기반의 이메일 수발신 보안 위협 위험도를 산출하는 단계를 포함하는
    서비스 제공 장치의 동작 방법.
  19. 제11항에 있어서,
    상기 이메일 보안 진단 분석 리포팅은,
    상기 위협 레벨 요소 분류 기준에 포함된 행위 검출, 랜섬웨어, 바이러스, 악성 URL, 첨부파일 내 URL, 헤더 위변조, 발송지 변경 및 유사 도메인을 각 꼭지점으로 하며, 각 꼭지점의 중심점으로부터 외곽까지의 거리가 상기 상기 위협 레벨 요소 분류 기준에 대응하는 정량 분석 산출값에 따라 결정되는 다각형 인터페이스를 포함하여, 상기 관리자의 사용자 단말에서 출력되는
    서비스 제공 장치의 동작 방법.
  20. 삭제
KR1020220011946A 2022-01-27 2022-01-27 위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법 KR102546068B1 (ko)

Priority Applications (4)

Application Number Priority Date Filing Date Title
KR1020220011946A KR102546068B1 (ko) 2022-01-27 2022-01-27 위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법
US18/549,161 US20240163299A1 (en) 2022-01-27 2022-01-27 Email security diagnosis device based on quantitative analysis of threat elements, and operation method thereof
PCT/KR2022/001427 WO2023145995A1 (ko) 2022-01-27 2022-01-27 위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법
JP2022573722A JP2024507423A (ja) 2022-01-27 2022-01-27 脅威要素の定量分析に基づく電子メールセキュリティの診断装置及びその動作方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020220011946A KR102546068B1 (ko) 2022-01-27 2022-01-27 위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법

Publications (1)

Publication Number Publication Date
KR102546068B1 true KR102546068B1 (ko) 2023-06-21

Family

ID=86989517

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020220011946A KR102546068B1 (ko) 2022-01-27 2022-01-27 위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법

Country Status (4)

Country Link
US (1) US20240163299A1 (ko)
JP (1) JP2024507423A (ko)
KR (1) KR102546068B1 (ko)
WO (1) WO2023145995A1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117150486A (zh) * 2023-07-27 2023-12-01 安徽启慧信息科技有限公司 基于互联网的信息安全防护系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20040011863A (ko) 2002-07-31 2004-02-11 컨설팅하우스 주식회사 실시간 정보보안 위험관리 시스템 및 그 방법
KR20210017986A (ko) 2019-08-07 2021-02-17 (주)기원테크 인공지능 기반의 메일 관리 방법 및 장치
KR20210083607A (ko) * 2019-12-27 2021-07-07 우정우 위험 분석을 위한 보안요소 지수화 시스템 및 방법

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20120057066A (ko) * 2010-11-26 2012-06-05 한국전자통신연구원 네트워크 보안관제 시스템 및 방법, 네트워크 보안관제를 위한 보안 이벤트 처리 장치 및 시각화 처리 장치
KR101857969B1 (ko) * 2017-06-28 2018-06-28 (주)기원테크 사기성 메일의 위험도를 판단하는 방법 및 그를 위한 장치

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20040011863A (ko) 2002-07-31 2004-02-11 컨설팅하우스 주식회사 실시간 정보보안 위험관리 시스템 및 그 방법
KR20210017986A (ko) 2019-08-07 2021-02-17 (주)기원테크 인공지능 기반의 메일 관리 방법 및 장치
KR20210083607A (ko) * 2019-12-27 2021-07-07 우정우 위험 분석을 위한 보안요소 지수화 시스템 및 방법

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117150486A (zh) * 2023-07-27 2023-12-01 安徽启慧信息科技有限公司 基于互联网的信息安全防护系统
CN117150486B (zh) * 2023-07-27 2024-04-26 河南中信科大数据科技有限公司 基于互联网的信息安全防护系统

Also Published As

Publication number Publication date
JP2024507423A (ja) 2024-02-20
US20240163299A1 (en) 2024-05-16
WO2023145995A1 (ko) 2023-08-03

Similar Documents

Publication Publication Date Title
US11044267B2 (en) Using a measure of influence of sender in determining a security risk associated with an electronic message
US11019094B2 (en) Methods and systems for malicious message detection and processing
US11102244B1 (en) Automated intelligence gathering
US11323464B2 (en) Artifact modification and associated abuse detection
US11722513B2 (en) Using a measure of influence of sender in determining a security risk associated with an electronic message
KR102464629B1 (ko) 보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법
KR102648653B1 (ko) 메일 보안 기반의 제로데이 url 공격 방어 서비스 제공 장치 및 그 동작 방법
KR102546068B1 (ko) 위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법
EP3195140B1 (en) Malicious message detection and processing
KR102494546B1 (ko) 이메일 통신 프로토콜 기반 접속 관리 및 차단 기능을 제공하는 메일 접속 보안 시스템의 메일 보안 처리 장치 및 그 동작 방법
WO2023102105A1 (en) Detecting and mitigating multi-stage email threats
Gaur et al. Prevention of Security Attacks in Cloud Computing
Sousa et al. MONDEO-Tactics5G: Multistage botnet detection and tactics for 5G/6G networks
KR20240019673A (ko) 표적형 이메일 공격 차단 및 대응을 위한 진단 리포팅을 제공하는 이메일 보안 시스템 및 그 동작 방법
US20230171213A1 (en) Detecting and mitigating multi-stage email threats
US20230412625A1 (en) System and Method for Determining If a Sender's Email is being Eavesdropped On
Siadati Prevention, detection, and reaction to cyber impersonation attacks
Kshetri et al. algoXSSF: Detection and analysis of cross-site request forgery (XSRF) and cross-site scripting (XSS) attacks via Machine learning algorithms

Legal Events

Date Code Title Description
E701 Decision to grant or registration of patent right
GRNT Written decision to grant