KR20070065306A

KR20070065306A - 엔드 유저 위험 관리

Info

Publication number: KR20070065306A
Application number: KR1020077003763A
Authority: KR
Inventors: 제이슨 리에브리치; 노먼 더스틴
Original assignee: 리플렉턴트 소프트웨어, 인크.
Priority date: 2004-07-20
Filing date: 2005-06-23
Publication date: 2007-06-22
Also published as: US20090178142A1; EP1769618A2; IL180821A0; AU2005275524B2; AU2005275524A1; US7865958B2; CA2574483A1; JP2008507757A; WO2006019513A3; HK1107881A1; US20060020814A1; EP1769618B1; WO2006019513A2; US7490356B2

Abstract

유연하며 이용하기 간편한 컴퓨터 보안 관리 시스템은 각종 컴퓨팅 플랫폼에서 그리고 급속히 변하는 네트워크 환경에서의 정보 위험을 효율적으로 평가하여 응답한다. 개별적인 컴퓨터 시스템은 네트워크 연결성에 상관없이 엔드 유저를 동적으로 모니터링하여, 위험도를 연산하여 엔드 유저의 동작이 회사 정보나 그 외 자산을 위험에 빠뜨리지 않는 것을 확실히 할 수 있다. 이런 위험과 응답에 관한 데이터는 실시간으로 분석 저장된다.

위험도, 엔드 유저, 보안 에이전트, 보안 위험, 액세스 제한,

Description

엔드 유저 위험 관리{END USER RISK MANAGEMET}

본 발명은 컴퓨터 보안에 관한 것으로, 더욱 특히 각종 컴퓨터 시스템에에서의 신임 정보의 보안성 증가를 용이하게 하는 것에 관한 것이다.

기업이 성장함에 따라, 이들의 컴퓨터 필요성과 이에 따른 연산 인프라가 크기와 복잡성에서 증가하고 있다. 수천 또는 수만개의 컴퓨터들이 단일의 기구 내에 서로 연결되어 있다. 수많은 컴퓨터 유저나 엔드 유저는 각 컴퓨터에 액세스할 수 있다. 언제라도, 각 컴퓨터는 기업체 인트라넷, 인터넷 또는 다른 통신망에 연결될 수도 분리될 수 있다. 부가하여, 여러 네트워크화 컴퓨터에 의해, 각 엔드 유저는 민감하고 중요한 가치 있는 기업체 정보에 액세스할 수 있다. 정보 산업 관리자는 인증된 개인에 의해 동일한 정보에 대한 유비쿼터스 액세스를 용이하게 하면서 비인증된 개인에는 이 정보의 개시를 방지하는 작업을 행한다. 이를 만족하면서 극히 드문 엔드 유저의 목표가 도전적이긴 하지만, 이 문제는 다수의 엔드 유저가 증가하면서 지수적으로 증가하게 된다.

통상의 기업체 환경에서, 몇 개의 호스트 컴퓨터 시스템은 개별의 워크스테이션과 그 외 네트워크 리소스가 연결되게 되는 인트라넷을 통해 내부적으로 상호 연결된다. 또한 근거리 통신망 (LAN)으로 알려진 이들 인트라넷은 래거시 (legacy) 데이터베이스와 정보 리소스가 기구 전체에 걸cu 액세스와 이용에 광범위하게 이용 될 수 있게 한다. 이들 동일한 기업체 자원은 또한 인터넷 전체에 걸쳐 위치된 원격 연산 리소스에 직접 연결되거나 원거리 통신망 (WAN)을 통해 연결될 수 있다. 인터넷에 의해, 외부 엔드 유저에게 제한된 트랜잭션이나 데이터 전달을 완성할 목적으로, 기업체 웹사이트와 같은 기업체 리소스를 선택하도록 제한된 액세스가 주어질 수 있다.

대부분의 현재 네트워크는 W.R.Stevens "TCP/IP Illustrated", Vol.1, Ch.1, Addison-Wesley (1994)에 기재된 바와 같은 전송 제어 프로토콜/인터넷 프로토콜 (TCP/IP) 수트에 기초한 것이다. TCP/IP 수트를 이용하는 컴퓨터 시스템 및 네트워크 디바이스는 네트워크 프로토콜 스택을 구현하며, 이는 계층적으로 구성된 프로토콜 계층의 세트를 포함한다. 부가하여, 다른 네트워킹 프로토콜 및 여러 네트워크 매체는 글로벌하게 구현되어, 다양한 동적인 가상 영역을 형성하게 된다.

분산 컴퓨팅 환경, 특히 인터넷에 연결되는 것의 성장은, 특히 운영 시스템과 애플리케이션 소프트웨어 및 저장된 데이터를 보호하기 위해, 컴퓨터 보안의 필요성을 증가시켰다. 통상, 폭넓은 보안 애플리케이션과 기술이 효율적인 보안을 보장하기 위해 이용된다. 예를 들어, 방화벽과 침입 검출 시스템이 네트워크 칩임자, 소위 네트워크 세계의 "해커"와 싸우는 데에 있어 필요하다. 유사하게, 안티바이러스 스캐닝 애플리케이션이 컴퓨터 바이러스, 트로이목마, 및 그 외 비인증 컨텐트를 검출하여 근절하기 위해서, 정규적으로 실행되고 갱신되어야 한다. 이와 함께, 방화벽, 침입 검출 시스템, 안티바이러스 애플리케이션 등은 방대한 작용적 보안 애플리케이션 계층을 형성하게 된다.

이들 작용적 보안 애플리케이션에 부가하여, 동적 보안 애플리케이션이 외부 칩임에 대처하기 위해 계속 이용이 증가하고 있다. 예를 들어, 취약한 스캐너는 회사의 네트워크 내에 잠재적인 보안 위험을 조사하여 식별한다. 유사하게, "허니 포트 (honey pot)"나 디코이 (decoy) 호스트 시스템은 장차 해커가 추적 및 식별될 수 있는 비교적 안전 장치가 없는 가상 호스트의 네트워크의 착시를 형성한다.

동적인 반응성 보안 애플리케이션이 강력한 방어적 및 공격적인 보안 툴의 보급을 형성하지만, 특히 원격 클라이언트 시스템 상에 보안 애플리케이션을 설비, 구성하여 유지하는 것은 복잡하고 시간 소모가 많다. 일반적인 보안 관리 애플리케이션은 설비 하드웨어, 운영 시스템 유형 및 패치 레벨 및 각 클라이언트 시스템에 대한 애플리케이션 세트와 버전 레벨의 변형으로 인해 보통 이상이 생기게 된다. 따라사, 각 클라이언트 시스템은 변경이 작용되기 전에 개별적으로 평가되어야 하는데, 이 작업은 이미 지루한 프로세스에 더욱 시간을 추가하기만 한다.

보안 애플리케이션의 이용에 부가하여, 조직체는 보안 애플리케이션의 효율성을 최대화하기 위해 때로 보안 폴리시를 구현하게 된다. 하나의 보안 폴리시는 개별적인 클라이언트 패스워드가 매달 변경되거나, 미리 정해진 보안 가이드라인에 따라 설정되는 것을 요구한다. 다른 보안 폴리시는 민감성 문서가 패스워드 보안되거나 암호화되게 할 수 있다. 보안 정보에의 액세스는 높은 신뢰도의 개인만을 포함하도록 제한될 수 있다.

임의의 사이트 내에서도, 보안 폴리시는 상당히 변할 수 있고 플랫폼과 체계 의 필요성에 따라 여러가지 설정을 요구할 수 있다. 일정한 보안 폴리시는 하이레벨의 관리인의 매우 민감성 정보를 비교적 안전 장치 없이 방치하면서, 제한된 정보 액세스를 갖는 고용인에게 너무 많은 불편함을 초래한다. 더욱, 통상적인 보안 폴리시는 일단 설정되면, 자동적인 자기 구성을 위한 메커니즘을 제공하지 않는다. 본질적으로, 이들은 "무엇이든 들어맞는 (one size fits all)" 접근법을 따르게 된다.

때로, 네트워크 사이트를 적당히 구성하고 유지하는 데에 필요한 시간은 각 설비 플랫폼에 따라 급격하게 늘어난다. 네트워크가 확장됨에 따라, 민감성 정보를 추적하고 보안하며, 외부 취약성을 제한하고, 인증된 개인에게 광범위한 정보 액세스를 제공하는 것의 문제는 가장 정교한 정보 산업 분야도 압도할 수 있다.

마지막으로, 네트워크화 분야와 네트워크에 영향을 주는 애플리케이션의 이용이 급증함에 따라, 보안을 확실하기 위한 각 엔드 유저의 의무가 생기게 된다. 네트워크 활용의 증가로, 애플리케이션은 더욱 복잡하게 되고 경험있는 엔드 유저를 당황하게 한다. 이들 엔드 유저는 그들이 그렇게 하고 있다고 알지 못하고 네트워크와 기업체의 지적 자산을 보안의 위험으로 부주의하게도 노출시킬 수 있다. 또한, 컴퓨터 시스템의 복잡성 증가로 악의를 가진 엔드 유저가 그들의 노력을 더욱 쉽게 숨길 수가 있게 된다.

따라서, 광범위한 컴퓨팅 플랫폼 상에서 또한 급변하는 네트워크 환경에서 정보적인 위험성을 효율적으로 평가하에 이에 응답할 수 있는 유연하며, 효율적이며, 이용하기 용이한 실시간 보안 관리 시스템의 필요성이 대두되고 있다. 또한, 엔드 유저의 동작이 기업체 정보나 다른 자산을 위험에 빠뜨리지 않는 것을 보장하기 위해서, 네트워크에 연결되었든지 안되었든지, 개별적 컴퓨터 시스템이 엔드 유저를 동적으로 모니터할 수 있는 해결책이 필요하다. 또한 이러한 위험과 응답에 관한 데이터를 실시간으로 분석 및 저장하는 능력이 필요하다.

본 발명은 각 컴퓨터 시스템과 애플리케이션으로 엔드 유저를 모니터하고 관리함으로써, 또한 이들 상호 작용에 따라 각 엔드 유저에 대해 적합한 위험도와 응답을 결정함으로써, 이들 요구에 일반적으로 만족하게 된다.

본 발명의 일 형태에 따르면, 엔드 유저가 전자적으로 이용 가능한 정보에 부여하는 위험을 평가하는 방법이 제공된다. 이 방법은 엔드 유저가 액세스한 전자적으로 이용 가능한 정보 각각에 대한 자산 가치를 평가하는 단계, 엔드 유저가 전자적으로 이용 가능한 정보를 액세스하게 하는 컴퓨터 시스템과의 엔드 유저의 상호 작용을 모니터링하는 단계, 및 자산 가치와 엔드 유저의 상호 작용에 기초하여 엔드 유저에 대한 위험도를 결정하는 단계를 포함하고, 이 위험도는 엔드 유저가 전자적으로 이용 가능한 정보에 부여하는 위험을 나타낸다. 위험도는 엔드 유저가 전자적으로 이용 가능한 정보에 대해 부여한 위험을 확인하기 위해 또한, 엔드 유저의 위험도가 임계치를 초과한 경우에 전자적으로 이용 가능한 정보에 대한 액세스를 제한하기 위해 이용될 수 있다.

본 발명의 다른 형태에 따르면, 엔드 유저 위험 관리 시스템이 제공된다. 시스템은 컴퓨터 시스템 및 둘 이상의 데이터 요소들을 기록하도록 구성된 데이터베이스를 포함하고, 데이터 요소들 각각은 엔드 유저의 컴퓨터와의 상호 작용에 관한 정보를 포함한다. 시스템은 또한 컴퓨터 상에서 실행되는 보안 에이전트를 포함하고, 이 에이전트는 제1 데이터 요소와 제2 데이터 요소를 비교하여 이 비교에 기초하여 엔드 유저에 대한 위험도를 결정하도록 구성된다. 각 데이터 요소는 엔드 유저의 컴퓨터 및 컴퓨터 시스템 상에서 실행되는 애플리케이션과의 상호 작용을 기술하는 일시적 정보를 포함한다. 이 시스템에서, 위험도는 엔드 유저가 엔드 유저에 의해 액세스 가능한 전자적으로 이용 가능한 정보에 대해 부여한 위험을 나타낸다.

본 발명의 다른 형태에 따르면, 엔드 유저 위험 관리 방법이 제공된다. 이 방법은 데이터베이스에 둘 이상의 데이터 요소들을 기록하는 단계를 포함하고, 이 데이터 요소 각각은 엔드 유저의 컴퓨터 시스템과의 상호 작용에 관한 정보를 포함한다. 그 후, 제1 보안 에이전트는 제1 데이터 요소와 제2 데이터 요소를 비교하여 비교에 기초하여 엔드 유저에 대한 위험도를 결정한다. 위험도는 컴퓨터 시스템을 통해 액세스 가능한 전자적으로 이용 가능한 정보에 대해 엔드 유저가 부여한 위험을 나타낸다. 각 데이터 요소는 컴퓨터 시스템과 또는 컴퓨터 시스템 상에서 실행되는 애플리케이션과 엔드 유저와의 상호 작용을 설명하는 일시적 정보를 포함할 수 있다.

본 발명의 또 다른 형태에 따르면, 엔드 유저가 전자적으로 이용 가능한 정보에 부여하는 위험을 평가하는 방법이 제공된다. 이 방법은 (a) 엔드 유저가 액세스한 전자적으로 이용 가능한 정보 각각에 대한 자산 가치를 평가하는 단계; (b) 엔드 유저가 전자적으로 이용 가능한 정보에 액세스하게 하는 컴퓨터 시스템과 엔드 유저와의 상호 작용을 모니터링하는 단계; (c) 자산 가치와 엔드 유저의 상호 작용에 기초하여 엔드 유저에 대한 위험도를 결정하는 단계 - 위험도는 상기 엔드 유저가 상기 전자적으로 이용 가능한 정보에 부여하는 위험을 나타냄 -; (d) 엔드 유저에게 상기 위험도를 표시하는 단계; 및 (e) 엔드 유저가 상기 컴퓨터 시스템과 계속 상호 작용하게 하면서, 단계 (a)로 돌아가는 단계를 포함한다.

본 발명의 이들 및 다른 형태는 아래 설명과 첨부한 도면으로부터 명백하게 되며, 이 도면은 본 발명을 설명하기 위한 것이지 제한하고자 하는 것은 아니다.

도 1은 본 발명의 일 실시예에 따른 통상의 기업체 컴퓨팅 환경을 나타낸다.

도 2는 통상의 컴퓨터의 형태를 나타내는 블럭도이다.

도 3은 본 발명의 여러 실시예에 따라 엔드 유저와 컴퓨터 시스템 간의 관계를 나타낸다.

도 4는 본 발명의 예시의 실시예에 따라 컴퓨터 시스템에서 실행되는 여러가지 소프트웨어 컴포넌트를 나타내는 블럭도이다.

도 5는 보안 에이전트의 아키텍처와 컴퓨터 시스템 상에서 실행되는 애플리케이션과의 상호 작용을 설명하는 블럭도이다.

도 6은 기업체 관리 시스템 내의 샘플 네트워크화 환경을 나타낸다.

도 7은 본 발명의 일 실시예의 동작을 설명하는 플로우챠트도이다.

엔드 유저와 이들의 각 컴퓨터와의 상호 작용을 모니터링하고 관리하고, 이런 상호 작용에 따라 각 엔드 유저에 대한 적당한 위험도와 응답을 결정하기 위한 방법 및 시스템이 본 발명에 따른 특정 실시예에 관련하여 이하 설명된다. 여기 기재된 방법과 시스템은 단지 예시적인 것으로 본 발명의 정신과 영역에서 벗어나지 않고 변형될 수 있다. 본 발명은 첨부한 도면을 참조한 아래 상세 설명으로 더욱 완전히 이해될 것이다.

통상의 기업체 컴퓨팅 환경에서는, 많은 엔드 유저가 각종 네트워크화 컴퓨터 시스템을 통해 민감한 회사 정보에 액세스하게 된다. 이들 컴퓨터 시스템은 네트워크에 연결되든 안되든 랩톱 컴퓨터, 데스크톱 컴퓨터, 퍼스널 디지털 보조장치 및 그 외 엔드 유저에 의해 이용되는 장치를 포함한다. 흔히, 엔드 유저는 이들의 작업을 실행하기 위해 매일 컴퓨터 시스템을 이용하게 된다. 예를 들어, 판매 대리인은 회사 고객에 대한 정보를 포함하는 클라이언트 데이터베이스를 공유하게 된다. 유사하게, 소프트웨어 개발자는 흔히 공유 코드를 액세스하며 다수의 개발자도 여러 파일과 라이브러리에 액세스하게 된다. 관리자는 가장 민감하며 매우 기밀적인 회사 정보에 관여하게 되며, 이의 공개는 회사에게는 매우 피해를 주는 일이다. 따라서, 임의의 조직에서의 여러 엔드 유저들은 다양한 레벨의 민감도의 정보나 데이터에 액세스할 수 있다.

엔드 유저가 민감성 정보에 액세스하기 위해 컴퓨터 시스템을 이용하게 되면, 이들은 이 정보에 대해 다음에, 신뢰성과 기밀성이 유지되어야 하는 회사와 고객에 대한 위험도를 제시한다. 이들 위험은 민감성 정보가 오류가 나거나 파괴된 비인증된 당사자에게 공개될 수 있을 가능성을 포함한다. 이 위험은 의도적이든 부주의에 의한 것일 수 있으며; 즉, 악의나 소홀에 의한 것일 수 있다. 고용인은 컴퓨터 시스템과의 상호 작용이 정보를 위험에 빠뜨릴 수 있다는 것을 모르는 경우가 있다. 또한, 고용인이 전반적인 정보 보안에 대해 이들의 작용이 미치는 영향을 인식할 수 있게 하는 조직 내의 피드백이 거의 없다는 것이 일반적이다. 마지막으로, 이 피드백은 실시간으로 각 엔드 유저에게 보내지지 않는다.

본 발명은 각 엔드 유저에 대해 이들의 컴퓨터 시스템과의 상호 작용과 이들이 액세스하는 정보에 기초하여 개별적인 위험도를 연산하는 방법을 제공함으로써 이들 문제를 해결한다. 엔드 유저의 작용을 모니터링하여, 본 발명에 따른 시스템은 실시간으로 위험도를 갱신할 수 있다. 위험도가 갱신되면, 시스템은 엔드유저가 민감성 정보로 부주의하거나 비인증된 위험에 처하는 것을 방지할 수 있다. 부가하여, 시스템이 엔드 유저에게 피드백을 제공하여, 이들이 실시간으로 이들의 위험도를 볼 수 있게 한다. 몇 실시예에서, 시스템은 전체 위험도를 회사의 민감성 정보로 축소하기 위해 엔드 유저가 그들의 동작을 수정하게 할 것이다. 이런 시스템의 상세 사항을 이하 기재한다.

A. 네트워크 토폴러지

도 1은 본 발명의 일 실시예에 따른 통상의 기업체 컴퓨팅 환경(100)을 나타낸다. 기업체 컴퓨팅 환경(100)은 하나 이상의 네트워크를 통해 상호 연결되는 복수의 컴퓨터 시스템을 포함한다. 도 1에 하나의 실시예만이 도시되었지만, 기업체 컴퓨팅 환경(100)은 각종 방법으로 상호 연결되며 각종 소프트웨어 애플리케이션을 실행하는 다양한 이종성 컴퓨터 시스템과 네트워크를 포함한다.

하나 이상의 국부 영역망, LAN(104)이 기업체 컴퓨팅 환경(100)에 포함된다. LAN(104)은 보통 비교적 짧은 거리의 네트워크이다. 통상, LAN(104)는 하나의 빌딩이나 빌딩 그룹에 한정된다. LAN(104)에 연결된 각 개별의 컴퓨터 시스템이나 장치는 그만의 중앙 처리 유닛, 또는 프로세서를 가지며, 이것으로 컴퓨터를 실행하며, 각 컴퓨터 시스템은 또한 LAN(104) 상의 데이터와 장치에 액세스할 수 있다. LAN(104)은 많은 유저들이 프린터나 다른 장치 뿐만 아니라 하나 이상의 파일 서버(124)에 저장된 데이터를 공유할 수 있게 한다. LAN(104)은 각종 네트워크 토폴러지 (즉, 네트워크에서의 장치의 기하학적 구성), 프로토콜 (즉, 데이터를 보내기 위한 규칙 및 엔코딩 상세 사항, 및 네트워크가 피어투피어 또는 클라이언트/서버 아키텍처를 이용하는지의 여부), 및 매체 (예를 들어, 트위스트 페어 와이어, 동축 케이블, 광섬유 케이블, 무선파)로 특성화된다. 도 1에 나타낸 바와 같이, 기업체 컴퓨팅 환경(100)은 하나의 LAN(104)을 포함한다. 그러나, 다른 실시예에서 기업체 컴퓨팅 환경(100)은 광영역망 또는 WAN(102)을 통해 서로 결합되는 복수의 LAN(104)을 포함할 수 있다. WAN(102)은 비교적 넓은 지리적 영역에 걸친 네트워크로서, 매우 멀리 떨어진 개별의 컴퓨터나 전체 LAN을 연결할 수 있다.

각 LAN(104)은 복수의 상호 연결 컴퓨터 시스템 및 그 외, 예를 들어 하나 이상의 워크스케이션(110a), 하나 이상의 퍼스널 컴퓨터(112a), 하나 이상의 랩톱 또는 노트북 컴퓨터 시스템(114), 하나 이상의 서버 컴퓨터 시스템 (서버; 116), 및 하나 이상의 소형 핸드헬드 장치 (예를 들어, PDA나 셀폰)을 포함하는 장치를 포함한다. 도 1에 나타낸 바와 같이, LAN(104)은 컴퓨터 시스템(110a, 112a, 114 및 116) 중 하나 및 하나의 프린터(118)를 포함한다. LAN(104)은 WAN(102)을 통해 다른 컴퓨터 시스템, 장치나 LAN에 결합될 수 있다.

상술된 바와 같이, 하나 이상의 워크스테이션(110a)은 LAN(104)를 통한 기업체 컴퓨팅 환경(100)의 일부이다. 각 워크스테이션(110a)은 비휘발성 메모리 소스 (도 2에 나타낸 하드 드라이브(220) 등)에 저장되거나 네트워크를 통해 상기 워크스테이션(110a)에 액세스 가능한 컴퓨터 프로그램을 포함하는 것이 바람직하다. 각 워크스테이션(110a)은 관련 메모리 매체를 구비한, 인텔사에 의한 펜티엄 프로세서와 같은 CPU를 포함한다. 메모리 매체는 컴퓨터 프로그램의 프로그램 명령을 저장하고, 이 때 프로그램 명령은 CPU에 의해 실행 가능하다. 메모리 매체는 RAM(204)와 같은 시스템 메모리, 및 하드 디스크(220)와 같은 비휘발성 메모리를 포함한다. 바람직한 실시예에서, 각 워크스테이션(110a)은 디스플레이(208), 키보드(214) 및 마우스(218)을 더 포함한다. 워크스테이션(110a)은 컴퓨터 프로그램으르 실행하도록 동작한다.

하나 이상의 메인프레임 컴퓨터 시스템(120)은 기업체 컴퓨팅 환경(100)의 일부일 수 있다. 도 1에 나타낸 바와 같이, 메인프레임(120)은 WAN(102)을 거쳐 기업체 컴퓨팅 환경(100)에 결합되지만, 다르게 하나 이상의 메인프레임(120)은 하나 이상의 LAN(104)을 거쳐 결합될 수 있다. 나타낸 바와 같이, 메인프레임(120)은 저장 장치나 파일 서버(124) 및 메인프레임 단말(122a, 122b, 및 122c)에 결합된다. 메인 프레임 단말(122a, 122b, 122c)은 메인프레임 컴퓨터 시스템(120)에 결합되거나 포함되는 저장 장치나 파일 서버에 저장된 데이터를 액세스한다.

기업체 컴퓨팅 환경(100)은 또한 예를 들어, 워크스테이션(110b) 및 퍼스널 컴퓨터(112b)를 포함하는 WAN(102)를 통해 연결되는 하나 이상의 컴퓨터 시스템을 갖는다. 다시 말해, 기업체 컴퓨팅 환경(100)은 LAN(104)을 통해 기업체 컴퓨팅 환경(100)에 결합되지 않은 하나 이상의 컴퓨터 시스템을 선택적으로 포함한다.

B. 시스템 아키텍처

1. 하드웨어

바람직한 실시예에서, 각종 컴퓨터 시스템은 LAN, WAN 또는 다른 네트워크를 통해 서로 주기적으로 또는 연속적으로 통신할 수 있다. 여러 실시예에서, 이들 컴퓨터 시스템은 퍼스널 컴퓨터(112a), 랩톱(114), 서버(116), 메인프레임(120), 퍼스널 디지털 보조 장치(PDA), 셀룰러 전화, 워크스테이션(110a) 등을 포함한다. 그러나, 당업자라면 여기 기재된 원리가 이들 및 그 외 유형의 컴퓨터 시스템에도 동일하게 적용될 수 있다는 것이 이해될 것이다.

이하 도 2를 참조하여, 통상의 컴퓨터 시스템(200)은 프로세서(202), 프로그램과 데이터를 저장하기 위한 메인 메모리 유닛(204), 입/출력 (I/O) 제어기(206), 디스플레이 장치(208), 및 이들 구성 요소를 이들 유닛 간에서 통신하도록 결합하는 데이터 버스(210)을 포함한다. 메모리(204)는 랜덤 액세스 메모리(RAM) 및 리드 온리 메모리(ROM)을 포함한다. 컴퓨터 시스템(200)은 키보드(214) (예를 들어, 영수자 키보드 및/또는 음악 키보드)와 같은 하나 이상의 입력 장치(212), 마우스(218), 및 몇 실시예예는 조이스틱(216)을 포함한다. 부가하여, 컴퓨터 시스 템(200)은 예를 들어, 이더넷 또는 WiFI 통신 하드웨어를 포함하는 네트워크 인터페이스(219)를 통해 다른 컴퓨터 및 장치와 통신할 수 있다.

컴퓨터 시스템(200)은 또한 하드 디스크 드라이브(220) 및 3.5인치 디스크와 같은 플로피 디스크를 수용하기 위한 플로피 디스크 드라이브(222)를 갖는다. 다른 장치(224)는 또한 CD-ROM, DVD 또는 그 외 매체 상의 디지털 데이터를 수신 및 판독하기 위한 출력 장치 (예를 들어, 프린터) 및/또는 광학 디스크 드라이브를 포함하는 컴퓨터 시스템(200)의 일부일 수 있다. 바람직한 실시예에서, 하나 이상의 컴퓨터 애플리케이션이나 프로그램은 컴퓨터 시스템(200)의 동작 능력을 정의한다. 이들 프로그램은 하드 드라이브(220)상에 및/또는 컴퓨터 시스템(200)의 메모리(204)에 플로피 드라이브(222)를 통해 로딩될 수 있다. 마우스(218)나 여러 다른 수단을 이용하여 디스플레이 장치(208) 상에 표시되는 관련 아이콘을 더블 클릭하여 애플리케이션이 실행되게 할 수 있다.

도 3은 본 발명의 여러 실시예에 따라 엔드 유저와 컴퓨터 시스템 간의 관계를 나타낸다. 도시한 바와 같이, 엔드 유저(302)는 회사 정보를 액세스하기 위해 컴퓨터 시스템(304)과 상호 작용한다. 상술한 바와 같이, 컴퓨터 시스템(304)은 예를 들어, 데스크톱 컴퓨터, 랩톱 컴퓨터, 워크스테이션, PDA, 셀폰 또는 그 외 엔드 유저에 의해 이용하게 되는 컴퓨팅 장치일 수 있다. 보안 에이전트는 컴퓨터 시스템(304)에서 실행되어, 보안 에이전트 데이터베이스(306)를 액세스한다. 논의된 바와 같이, 보안 에이전트는 엔드 유저(302), 컴퓨터 시스템(304)과, 컴퓨터 시스템(304)에서 실행되는 애플리케이션 간의 상호 작용을 모니터하여, 그 엔드 유 저(302)에 대한 위험도를 형성한다.

또한 제2 컴퓨터 시스템(314)과 상호 작용하는 제2 엔드 유저(312)가 도시되어 있다. 보안 에이전트 소프트웨어는 제2 엔드 유저와 그 시스템과의 상호 작용을 모니터하기 위해 제2 컴퓨터 시스템(314)에서 실행된다. 이전과 같이, 제2 컴퓨터 시스템(314)은 제2 엔드 유저(312)에 특정적인 제2 위험도를 형성하게 된다. 제2 컴퓨터 시스템(314)은 또한 제2 보안 에이전트 데이터베이스(316)의 정보를 저장 및 액세스한다.

두 컴퓨터 시스템(304, 314) 각각은 유선이나 무선 네트워크의 이용으로 중앙 서버(308)와 통신한다. 각 컴퓨터 시스템(304, 314)이 서버(308)에 연결되어 있지 않을 때 비한계 동작이 가능하기 때문에, 서버(308)와 각 컴퓨터 시스템(304, 314) 간의 각 통신 채널은 영구적일 필요가 없다.

서버(308)는 자신의 서버 데이터베이스(310)를 보유하며, 여기에 각 엔드 유저(302, 312)와 각 컴퓨터 시스템(304, 314)에 관한 정보를 저장한다.

2. 소프트웨어

도 4는 본 발명의 예시의 실시예에 따른 컴퓨터 시스템(304)에서 실행되는 여러 소프트웨어 컴포넌트를 설명하는 블럭도이다. 도시된 바와 같이, 컴퓨터 시스템(304)에서 실행되는 애플리케이션은 운영 시스템(402), 보안 에이전트(404), 웹 브라우저(406), 이메일 애플리케이션(408), 워드 프로세서(410) 및 문서 관리 시스템(412)을 포함한다. 부가하여, 보안 에이전트 데이터베이스(306)가 또한 유지되어 컴퓨터 시스템(304)에 의해 액세스된다. 도 4에 도시되어 컴퓨터 시스 템(304)과 관련하여 설명되는 소프트웨어 컴포넌트는 도 1의 기업체 컴퓨팅 환경(100)의 제2 컴퓨터 시스템(314)와 그 외 다른 엔드 유저 장치에서 실행될 수 있다.

운영 시스템(402)은 키보드로부터 입력을 인식하고, 디스플레이 스크린에 출력으로 보내고, 하드 드라이브 상의 파일과 디렉토리를 추적하고 스캐너와 프린터 등의 주변 장치를 제어하는 등의 기본 작업의 실행을 담당한다. 운영 시스템(402)은 제한 없이, 보안 에이전트(404), 웹 브라우저(406), 이메일 애플리케이션(408), 워드 프로세서(410), 문서 관리 시스템(412) 및 보안 에이전트의 데이터베이스(306)를 포함하는 다른 프로램의 실행의 관리를 담당한다. 마이크로소프트사의 윈도우 XP는 허용되는 운영 시스템(402)의 일 예이다. 운영 시스템(402)은 또한 시스템 보안, 메모리 이용, 물리적 장치, 현재 실행중 프로세스, 네트워크 통신, CPU 이용 등에 관한 정보를 보유한다.

웹 브라우저(406)는 컴퓨터 시스템(304)상에 웹 페이지나 그 외 정보를 위치 결정하여 표시하는 데에 이용되는 소프트웨어 애플리케이션이다. 웹 브라우저(406)은 또한 유저가 선호하는 웹 사이트의 리스트를 보유하며 여러 웹 사이트나 인터넷 포털과의 통신을 용이하게 한다. 부가하여, 웹 브라우저(406)는 또한 액세스와 요청 간의 시간, 흔히 액세스되는 웹 사이트, 개인 및 보안 정보 및 임의의 웹 페이지에 대한 설명 정보를 포함하여, 웹 사이트 액세스에 관한 정보를 추적할 수 있다. 웹 브라우저(406)의 일반 예는 네츠케이프 커뮤니케이션사의 네츠케이프 네비게이터 및 마이크로소프트사에 의한 인터넷 익스플로어를 포함한다.

어떤 실시예에서, 웹 브라우저(406)는 이메일을 보내고 받는 데에 이용된다. 다른 실시예에서, 이메일은 마이크로소프트 아웃룩과 같은 단독형 이메일 애플리케이션(408)을 통해 주고 받는다.

워드 프로세서(410)는 문서를 형성, 수정, 표시 및 인쇄하는 데에 보통 이용되는 소프트웨어 애플리케이션이다. 워드 프로세서(410)는 유저가 로컬 (예를 들어, 컴퓨터 시스템(304) 내부의 하드 디스크)나 원격 (예를 들어, 파일 서버(124)) 저장 위치로부터 문서를 저장 및 검색할 수 있게 한다. 부가하여, 워드 프로세서는 최근에 액세스된 문서, 문서 특성 (예를 들어, 형성, 수정 및 액세스된 날자), 문서 버전 등을 추적한다. 일반적인 워드 프로세서(410)는 마이크로소프트사에 의한 마이크로소프트 워드 및 코렐사에 의한 워드퍼펙트를 포함한다.

바람직하게, 워드 프로세서(410)는 문서를 추적, 저장, 보안, 패스워드 보호하기 위해 문서 관리 시스템(412)과 상호 작용한다. 문서 관리 시스템(412)은 중앙 데이터베이스나 그 외 저장소에서 문서의 저장을 조정한다. 일반 문서 관리 시스템은 iManage에 의한 iManage DeskSite 및 Hummingbird Ltd.에 의한 DOCS Open를 포함한다.

바람직한 실시예에서, 웹 브라우저(406)과 워드 프로세서(410) 등의 소프트웨어 애플리케이션이 컴퓨터 시스템(304)에서 실행될 때, 보안 에이전트(404)는 이들 애플리케이션 뿐만 아니라, 컴퓨터 시스템(304)의 리소스나 이벤트를 모니터, 분석 및 제어하도록 동작한다. 컴퓨터 시스템(304)의 리소스나 이벤트는 제한없이:

* 컴퓨터 시스템(304) 상에서 실행되는 프로세스와 애플리케이션;

* 여러 물리적 장치의 상태와 이것과의 커널 상호작용;

* 엔드 유저 입력 (예를 들어, 텍스트 입력, 다이얼로그 박스에 대한 응답, 애플리케이션 이용);

* 시스템 리소스 (예를 들어, CPU 이용, 메모리 이용 및 페이지 파일 이용);

* 애플리케이션 이벤트와 에러 (예를 들어, 치명적인 예외 및 다이얼러그 박스)

* 공유된 네트워크 리소스 (예를 들어, 네트워크 어댑터, 링크 속도, 레이턴시 및 네트워크 활용);

* 공유 네트워크 시스템 (예를 들어, 파일 서버(124) 및 프린터(118));

* 그 외 운영 시스템(402)에 의해 용이하게 되는 이벤트

상술된 바와 같이, 컴퓨터 시스템(304)은 복수의 소프트웨어 애플리케이션이나 프로세스를 실행한다. 각 소프트웨어 애플리케이션 또는 프로세스는 컴퓨터 시스템(304) 및/또는 네트워크의 리소스, 예를 들어, CPU 시간, 메모리 이용, 하드 디스크 이용, 네트워크 대역폭 및 입/출력 (I/O)의 일부를 소모한다. 바람직한 실시예에서, 보안 에이전트(404)를 포함하는 소프트웨어는 연속하여 워크스테이션의 리소스와 이벤트를 모니터하고, 보안 에이전트의 데이터베이스(306)에 상기 리소스와 이벤트에 대하 정보를 주기적으로 기록한다.

보안 에이전트의 데이터베이스(306)는 컴퓨터 시스템(304)의 리소스와 이벤트에 관한 원하는 데이터를 신속하게 카테고리화, 선택, 저장 및 검색할 수 있는 식으로 체계화된 정보의 집합이다. 상용 데이터베이스는 오라클사의 오라클 9i 데이터베이스, IBM사에 의한 DB2 유니버설 데이터베이스 또는 마이크로소프트사에 의한 마이크로소프트 제트를 포함한다. 에이전트의 데이터베이스(306)는 RAM(204) 또는 하드 디스크(220)에 저장된다. 보안 에이전트(404)는 에이전트의 데이터베이스(306)를 이용하여 컴퓨터 시스템(304)의 리소스와 이벤트에 관한 정보를 저장 및 검색한다.

3. 보안 에이전트

도 5는 보안 에이전트(404)의 아키텍처와 컴퓨터 시스템(304)에서 실행되는 애플리케이션과의 상호 작용을 설명하는 블럭도이다. 도시한 바와 같이, 보안 에이전트(404)는 멀티 드레드, 멀티 태스킹 소프트웨어 애플리케이션인 것이 바람직하다. 보안 에이전트(404)의 주요 목적은 엔드 유저와 컴퓨터 시스템(304) 간의 상호 작용을 모니터하고 그 엔드 유저(302)의 특정 위험도를 밝히기 위한 것이다. 먼저 보안 에이전트(404)의 아키텍처를 설명하고 이어서 그 기능을 설명한다.

바람직한 실시예에서, 세 주요 드레드가 보안 에이전트(404)의 작업의 대부분에 작용한다. 특히, 이들 세 드레드는 큐 관리 드레드 ("Qthread")(502), 프로세스 모니터링 드레드 ("Pthread") (504) 및 스케줄링 드레드 ("Sthread") (506)을 포함한다. 이들 드레드는 다른 형태의 보안 에이전트(404)와 함께 컴퓨터 시스템(304)의 리소스와 이벤트를 모니터하고 관리하도록 작용한다.

a. Qthread

Qthread(502)는 바람직하게 큐(508)과 보안 에이전트의 데이터베이스(306) 둘 다의 인스턴스 생성을 담담한다. 큐(508)와 보안 에이전트의 데이터베이스(306)의 형성 후에, Qthread(502)는 큐(508) 내부와 외부로의 데이터 흐름을 관리하고, 큐(508)를 체계화하고 데이터를 보안 에이전트의 데이터베이스(306) 내부와 외부로의 데이터 흐름을 관리한다.

바람직하게, 큐(508)는 다수의 프로세스 데이터 기록 및 단일 프로세스 데이터 판독을 가능하게 하는 이중 버퍼링 데이터 큐가 된다. 초기화시, 보안 에이전트(404)는 공지의 후킹 (hooking) 방법으로 현재 실행중인 애플리케이션으로 후킹되고 각 애플리케이션과 큐(508) 사이에 인터셉션 모듈 ("ZIntrept")(510, 512, 514)을 설정한다.

바람직한 실시예에서, 각 ZIntrept 모듈(510, 512, 514)는 하나의 애플리케이션을 연속하여 모니터하고, 주기적으로나, 특정한 이벤트의 발생시 데이터를 큐(508)에 부가한다. 큐(508)에 부가된 데이터는 애플리케이션과 컨텍스트에 특정적이다. 예를 들어, 도 5에서 나타낸 실시예에서, 제1 ZIntrpt(510)은 운영 시스템(402)를 모니터하도록 할당된다. 제1 ZIntrept(510)은 운영 시스템(402)의 프로세스와 변수를 주시하고, 현재 실행중인 애플리케이션에서 사용되는 CPU의 퍼센티지, 메모리 이용 및 컴퓨터 시스템(304)에 의한 네트워크 이용과 같은 정보를 큐에 주기적으로 기록한다. 이 실시예에서, 제2 ZIntrept(512)는 웹 브라우저(406)를 모니터하도록 할당된다. 웹 브라우저(406)가 실행되면, 제2 ZIntrept(512)는 브라우저(406)가 방문한 페이지, 페이지 요청과 페이지 뷰 간의 레이턴시, 각 페이지가 관찰된 날의 시간, 및 데이터가 보안 또는 암호화된 형식으로 전송되고 수신되었는 지의 여부에 관한 정보를 큐(508)에 기록한다. 유사하게, 제3 ZIntrept(514)는 액세스된 문서, 각 액세스된 문서가 특정 키워드를 포함하는지의 여부, 문서를 저장하고 검색하는 데에 필요한 시간, 및 워드 프로세서(410)의 동작 동안 발생한 에러나 예외에 관한 정보를 큐(508)에 기록한다. 이 실시예에서, ZIntrept(510, 512 및 514)는 상술된 바와 같이 애플리케이션을 모니터하고 데이터를 기록하도록 할당되었지만, 당업자라면 어느 애플리케이션으로부터나 데이터가 유사한 방식으로 모니터되어 기록될 수 있다는 것을 이해할 것이다.

또한 초기화시, 보안 에이전트(404)는 공지의 후킹 방법을 통해 운영 시스템 커널로 후킹되고, 각 물리적 장치에 대한 커널 레벨에서 커널 인터셉션 모듈 ("KInterept")(516, 518)을 설정한다. 설명한 바와 같이, KIntrepts(516, 518)은 하드 드라이브(220) 및 네트워크 인터페이스(219)를 모니터한다. 당업자라면 KIntrepts(516, 518)이 물리적 장치와 커널 사이의 상호 작용을 모니터할 수 있다는 것을 인식할 것이다.

ZIntrepts(510, 512, 514)에서와 같이, KIntrepts(516, 518)은 커널 및 컴퓨터 시스템(304)를 포함하는 물리적 장치를 주시한다. 주기적으로, KIntrepts(516, 518)은 큐에 정보를 기록한다. 이 실시예에서, 제1 Kintrept(516)은 하드 드라이브(220)를 모니터하도록 할당된다. 하드 드라이브(220)가 스풀업 (spool up)되거나, 커널의 명령으로 동작되면, KIntrept는 큐(508)에의 하드 드라이브 액세스에 대한 정보를 기록한다. 이 정보는 판독, 기록 또는 재기록되든지, 또한 복사 방지나 그 외 플랙이 설정되든 설정되지 않든, 어느 파일이 액세스되었는지에 대한 설 명을 포함한다.

제2 KIntrept(518)은 네트워크 인터페이스(219)를 모니터하고, 네트워크 인터페이스(219)의 네트워크 통신에 대한 정보를 큐(508)에 기록한다. 이 정보는 예를 들어, 액세스되고 있는 컴퓨터의 I.P. 또는 MAC 주소, 및 네트워크를 통해 전송되거나 수신된 데이터를 포함한다.

(a) 엔드 유저의 위험도가 특정 임계치를 초과하고; (b) 보안 에이전트(404)가 보안 침해를 검출하고 (예를 들어, KIntrept 또는 ZIntrept 트랩으로); c) 보안 에이전트(404)가 그 정상 운영 파라미터 외부로 중단, 에러 또는 그외 이벤트를 경험하게 된 경우, 이벤트는 "예외적 이벤트"로 지정되게 된다. 보안 에이전트(404)는 이후 설명되는 바와 같이, 적당히 응답하기 위해서, 데이터베이스(306)에 저장된 이력 정보와 함께, 예외적 이벤트를 즉시 분석한다.

ZIntrepts(510, 512, 및 514)와 KInteprets(516, 518)이 큐(508)에 데이터를 부가하면, Qthread(502)는 큐(508)의 컨텐트를 연속적으로 모니터 분석한다. 큐 (508)가 그 용량에 접근하는 경우, Qthread(502)는 보안 에이전트의 데이터베이스(306)와 데이터를 같은 높이로 한다. 부가하여, Qthread(502)가 큐(508) 내의 긴급 시스템 경고나 이벤트에 부닥치게 되면, Qthread는 즉시 이를 보안 에이전트(404)에 제공하고, 이들을 보안 에이전트의 데이터베이스(306)에 기록하고 보안 에이전트(404) 내에서 긴급 동작 루틴을 초기화한다.

b. Pthread

바람직한 실시예에서, Pthread(504)는 컴퓨터 시스템(304)에서 실행하고 있 는 여러 프로세스, 서비스 및 애플리케이션을 연속하여 모니터한다. 바람직하게, Pthread는 컴퓨터 시스템(304)의 프로세스, 리소스 및 이벤트의 현재 상태를 결정하도록 운영 시스템(402)에 질의한다. Pthread(504)는 이 데이터를 고찰 분석하고 (큐를 이용하든 하지않든), 이를 보안 에이전트의 데이터베이스(306)에 저장된 이력 정보와 비교한다. 예를 들어, Pthread(504)는 실행중 프로세스의 여러 동작 파라미터, 이들이 실행되는 순서, 및 이들이 새로 실행되는 프로세스인지의 여부에 대한 새로운 정보를 수신하고, 이 정보와 보안 에이전트의 데이터베이스(306)에 이미 저장된 동일한 유형의 이력 정보를 비교한다. 특정한 상황에서 (예를 들어, 엔드 유저(302)의 동작이 회사 정보를 위험에 빠뜨리게 되면), Pthread는 보안 에이전트(404) 내의 긴급 동작 루틴을 초기화할 수 있다.

C. Sthread

바람직한 실시예에서, Sthread(506)는 경량의 프로세스 또는 CPU의 최소한의 이용으로 각종 유용한 기능을 실행하는 스케줄 항목을 초기화하여 보유한다. 바람직하게, 스케줄 항목은 작업이나 작업의 세트를 주기적으로 실행한다. 예를 들어, 매 5초 마다, 스케줄 항목은 컴퓨터 시스템(304)을 이용하여 엔드 유저(302)가 유휴 상태인지를 판정하기 위해 운영 시스템(402)으로 체크한다. 엔드 유저(302)가 사실상 유휴 상태이면, Sthread(506)는 예를 들어, 보안 에이전트의 데이터베이스(306)를 소형화하거나 RAM(204)으로부터 또는 하드 디스크(220)로부터 불필요한 정보를 삭제하는 것을 포함하여, 각종 유용한 프로세스 집약적 기능을 실행하게 된다. 부가하여, 시간에 기초하여 필요할 때, Sthread(506)는 에이전트의 데이터베 이스를 모아 간결하게 하고, 내부 데이터 구조를 정리하는 임무가 있다.

부가하여, 스케쥴된 항목은 각종 루틴 분석 작업을 실행하여 필요한 데이터를 보안 에이전트 데이터베이스(306)에 기록한다. 예를 들어, 바람직한 실시예에서, 스케줄된 항목은 제한 없이, 특정 엔드 유저(302)에게 할당된 위험도, 프로세스 CPU 이용, 메모리 이용 및 자산 활용을 포함하여 매 3초당 운영 시스템(402)으로부터 특정 성능 통계 자료를 요청하여 검색할 수 있다. 이 삼초 데이터 스냅샷은 보안 에이전트(404)에 의해 분석되고, 또한 보안 에이전트 데이터베이스(306)에 요약 및/또는 저장될 수 있다.

4. 서버

하나 이상의 보안 에이전트(404)가 하나 이상의 컴퓨터 시스템(304)에서 실행중이면, 본 발명의 실시예는 각 보안 에이전트(404)에 의해 형성된 데이터를 수집하고, 추적하여 이에 응답하는 네트워크 관리자나 서버(116)를 제공하게 된다.

서버(116)는 서버 소프트웨어가 실행중인 컴퓨터 시스템을 포함한다. 보안 에이전트(404)와 같이, 서버(116)는 그 자신의 데이터베이스 (도 6에 나타낸 서버 데이터베이스(614))를 보유하게 된다. 바람직한 실시예에서, 서버(116)는 보안 에이전트(404)와 실질적으로 유사하지만, 보안 에이전트(404)에 존재하지 않는 부가의 기능을 제공한다. 이 부가의 기능은 서버(116)가 복수의 에이전트(404)를 관리하게 한다. 부가하여, 서버(116)는 각 보안 에이전트(404)로부터 소프트웨어를 설치하거나 삭제하고, 각 보안 에이전트(404)에 명령을 제공하고, 각 보안 에이전트(404)로부터의 질의에 응답할 수 있다. 더욱, 서버(116)는 각 보안 에이전 트(404)로부터 수신한 정보의 분석에 기초하여 복수의 리포트를 형성할 수 있다. 바람직하게, 서버(116)는 그 자신의 애플리케이션, 리소스 및 이벤트에 관한 리포트나 분석을 형성할 수 있다. 따라서, 서버(116)는 애플리케이션, 리소스 및 이 둘 자체와 복수의 보안 에이전트(408)의 이벤트를 모니터, 분석 및 관리하도록 동작한다.

바람직하게, 서버(116)는 보안 에이전트(404)의 리소스와 이벤트에 대한 정보를 포함하는 데이터 스냅샷을 각 보안 에이전트(404)로부터 주기적으로 수신한다. 상술된 3초 데이터 스냅샷과 같이, 이 데이터 스냅샷은 엔드 유저의 위험도, 프로세스 CPU 이용, 메모리 이용 및 자산 활용과 같은 항목을 포함한다. 그러나, 당업자라면 보안 에이전트(404)의 애플리케이션, 리소스 또는 이벤트에 관한 데이터가 이용될 수 있다는 것이 이해될 것이다. 상술된 3초 데이터 스냅샷과 반대로, 이 데이터 스냅샷은 데이터가 실제 평가되는 것 보다 덜 자주 보내진다. 바람직한 실시예에서, 이 데이터 스냅샷은 매 5분당 한번 취해진다. 이렇게, 서버(116)는 각 보안 에이전트(404)에 의해 평가되는 것 보다 정보를 상당히 덜 수신하게 된다. 네트워크 트래픽은 최소화되었지만, 3초 간격의 기존의 데이터는 분석과 진단에 필요하다면 각 보안 에이전트의 데이터베이스(306) 내에서 여전히 이용 가능하다.

보안 에이전트(404)가 예외적 이벤트를 검출한 경우, 보안 에이전트(404)는 예외적 이벤트를 서버(116)에게 알리는 것을 선택한다. 이 경우: (a) 서버(116)는 예외적 이벤트를 처리하는 방법에 대해 보안 에이전트(404)에게 명령을 제공하고; (b) 서버는 다른 에이전트(408)에서 발생한 유사한 예외적 이벤트의 가능성에 대해 경고받게 되고; (c) 서버(116)를 운영하는 사람인 네트워크 관리자나 정보 기술 전문가는 예외적 이벤트에 대해 평가하여 엔드 유저 상호 작용과 같은 상세한 감사 추적을 조사하는 것과 같이 필요로 하는 동작을 취할 수 있다.

보안 에이전트(404)가 분리되거나 아니면 서버(116)와 바로 통신할 수 없다면, 이런 보안 에이전트(404)는 보안 에이전트의 데이터베이스(306)에 모든 데이터 스냅샷 뿐만 아니라 분리된 동안 경험하게 되는 모든 예외적 이벤트를 저장하고, 다시 한번 서버(116)와 통신할 수 있을 때 이 정보를 전송할 수 있다.

서버(116)를 문제 해결 기구와 정보 수집 기구로서 이용하는 것에 부가하여, 서버(116)를 운영하는 네트워크 관리자는 또한 여러 보안 에이전트(404)의 소프트웨어 구성을 질의하고 관리할 수 있다. 예를 들어, 네트워크 관리자가 각 엔드 유저(302)의 평균 위험도를 결정하길 원하는 경우, 각 네트워크화 보안 에이전트(404)는 조사될 수 있다. 평균 위험도가 미리 정해진 임계치 외부이면, 서버(116)는 상기 평균 위험도를 갖는 모든 엔드 유저(302)를 네트워크로부터 분리시킨다.

유사하게, 서버(116)는 로컬 하드드라이브에 라이센스된 바이러스 스캐닝 소프트웨어가 저장되어 있는 보안 에이전트(404)의 개수를 계수하는 것과 같은 기능을 실행한다. 이 질의의 수신시, 각 보안 에이전트(404)는 서버(116)에 응답하여, 정확한 계수를 용이하게 한다. 이 지식으로, 네트워크 관리자는 필요에 따라 소프트웨어의 라이센스를 구매하고 이의 카피를 인스톨한다. 다르게, 관리자는 이 소프트웨어를 필요로 하지 않는 컴퓨터 시스템(302)에서 라이센스된 바이러스 스캐닝 소프트웨어를 삭제한다. 이런 식으로, 네트워크 관리자는 전체 기업체 컴퓨팅 환경(100) 전체에 걸쳐 컴퓨터 시스템(302) 상에서 보안 애플리케이션의 유형과 이 애플리케이션에 대한 라이센스를 효율적으로 모니터하게 된다.

서버(116)가 기업체 컴퓨팅 환경(100)의 관리 인프라 내에 포함되었지만, 본 발명의 다른 실시예에서는 서버(116)가 전혀 필요하지 않다는 점에 주지해야 한다. 예를 들어, 보안 에이전트(404)는 예외적 이벤트에 응답하여 도움을 요청하도록 다른 보안 에이전트(404)와 통신할 수 있다. 다르게, 보안 에이전트(404)는 다른 보안 에이전트(404)와 통신하여 다른 에이전트에게 공유 리소스 (예를 들어, 프린터(118) 또는 로컬 영역망(104))에서의 문제나 보안 침해를 알린다. 이런 식으로, 에이전트-에이전트 통신은 각종 실시예에서, 특히 피어투피어 네트워크에서 에이전트-서버 통신으로 대체될 수 있다.

도 6은 기업체 관리 시스템 내의 샘플 네트워크 환경을 나타낸다. 바람직한 실시예에서, 하나 이상의 에이전트(404)는 하나 이상의 다른 에이전트(404) 및 하나 이상의 서버(116)와 연결된다. 도 6에서 나타낸 바와 같이, 에이전트 A(602), 에이전트 B(604) 및 서버 A(606)는 모두 인터넷(608)을 통해 서로 연결된다. 에이전트 A(602)와 서버 A(606)가 연속적으로 인터넷(608)를 통해 서로 연결되었지만, 서버 B(604)는 인터넷(608)에 가끔씩만 연결된다. 따라서, 에이전트 A(602)와 에이전트 B(604) 간이나 서버 A(606)와 에이전트 B(604) 간의 통신은 에이전트 B(604)가 인터넷(608)에 연결될 때에만 발생한다.

설명된 바와 같이, 각 서버와 에이전트는 그 자신의 데이터베이스에 연결된 다. 따라서, 에이전트 A(602)는 A의 데이터베이스(610)에 연결된다. 에이전트 B(604)는 B의 데이터베이스(612)에 연결된다. 유사하게, 서버 A(606)는 서버 데이터베이스(614)에 연결된다.

C. 위험도의 연산

설명된 시스템의 기본 아키텍쳐로, 이하 본 발명의 바람직한 실시예가 하나 이상의 엔드 유저의 하나 이상의 위험도를 연산하는 방법에 대해 설명한다.

바람직한 실시예에서, 위험도는 컴퓨터 시스템을 통해 독점식 회사 데이터에 액세스하는 각 엔드 유저에 대해 위험도가 연산된다. 각 위험도는 엔드 유저가 액세스한 정보와 엔드 유저와 그의 컴퓨터 시스템과의 상호 작용에 기초하는 것이 바람직하다.

더욱 구체적으로, 각 엔드 유저에 대한 위험도는 다수의 요인의 가중 평균에 기초하게 된다. 바람직하게, 위험도의 일 구성 요소는 엔드 유저와 컴퓨터나 컴퓨터 상에서 실행되는 애플리케이션과의 상호 작용을 설명하는 일시적인 정보로부터 나온다. 이 일시적 정보는 ZIntrept(510, 512, 514) 또는 KIntrept(516, 518)에 의해 트랩되어 나중에 처리하도록 큐(508)에 위치되게 된다. 일시 정보는 일반적으로 엔드 유저와 컴퓨터 시스템과의 상호 작용에 관한 데이터를 포함하며, 또한:

* 엔드 유저에게 다이얼로그 박스로 표시되는 정보 (예를 들어, 시스템 경고);

* 운영 시스템에 의해 보통 로깅되지 않는 정보;

* 애플리케이션에 의해 보통 로깅되지 않는 정보 (예를 들어, 다이얼로그 박 스 텍스트);

* 엔드 유저의 이메일 활동에 관한 정보 (예를 들어, 송수신 이메일);

* 엔드 유저의 파일 전달 활동에 관한 정보 (예를 들어, FTP 또는 파일 카피복사 로그); 또는

* 엔드 유저와 비신뢰 또는 외부 웹 사이트나 컴퓨터 서버와의 상호 작용에 관한 정보를 포함할 수 있다.

논리적으로, 일시적 정보는 여러 다른 위험 카테고리에 작용하게 되며, 이는 전체 엔드 유저 위험도를 형성하기 위해 조합되게 된다. 바람직하게, 위험 카테고리는 제한 없이:

* 데이터 위험;

* 애플리케이션 위험;

* 패스워드 위험;

* 은폐 위험;

* 이메일 위험; 및

* 자산 위험을 포함한다.

데이터 위험은 문서나 그 외 데이터 소스에서의 민감성 정보의 가치와 이의 개시, 부정 행위나 삭제의 위험을 반영한다. 여러 실시예에서, 데이터는 워드 처리 문서, 스프레드시트, 소스 코드 또는 그 외 데이터베이스나 인트라넷 웹사이트에 존재하는 바와 같은 컴퓨터 판독 가능 데이터의 유형일 수 있다. 바람직하게, 데이터 위험은 임의의 엔드 유저가 액세스한 각 문서나 데이터 소스에 대해 평가된 다. 데이터 소스에는 그 속성에 기초한 데이터 위험도가 할당된다. 데이터 위험도는 다음에 엔드 유저의 위험도 또는 엔드 유저나 문서의 그룹에 대한 총 위험도를 결정하는 데에 이용된다.

일 실시예에서 데이터 위험을 포함하는 속성을 아래 표 1에서 나타내었다. 속성은 좌측에 열거되고, 전체 가능한 점수가 각 속성에 할당되어 우측에 있다. 이 실시예에서, 데이터가 한 사람 이상에 의해 편집된 경우, 데이터 위험은 10점까지 증가되게 된다. 예를 들어, 한사람이 데이터 소스를 액세스한 경우, 일점만이 "한 사람 이상에 의해 편집"된 속성에 액세스되게 된다. 반대로, 50사람이 이 데이터 소스에 액세스하면, "한 사람 이상에 의해 편집"된 속성은 10점에 이르게 된다. 유사하게, 서버 상의 보안 위치에 데이터가 저장되면, "네트워크 위치" 속성은 전체 할당 가능한 5점을 수용하게 된다. 데이터가 회사의 방화벽 외측에서 공용 가능한 서버에 저장되면, "네트워크 위치" 속성은 일점의 점수만을 수용하게 된다.

유사한 방식으로, 표 1에서 특정된 속성 모두가 전체 데이터 위험을 형성하도록 조합되는 것이 바람직하다. 이 실시예에서, 데이터 위험도 자체는 엔드 유저의 위험도로 전체 가능한 위험 점수 100까지 기여할 수 있다. 당업자라면 표 1에서와, 이 명세서 후반부에 걸쳐 나타낸 속성 점수는 완전히 예시적이며, 특정 실시예에 따라 변할 수 있다는 것이 이해될 것이다. 유사하게, 엔드 유저의 위험도는 어느 유형의 속성이 전체 엔드 유저 위험도를 형성하도록 조합되었는지에 따라 변하게 된다. 당업자라면 표 1에 나타낸 바와 같이, 데이터 위험도는 복수의 데이터 소스에 대한 평균 위험도를 결정하도록 조합되거나 평균화될 수 있다는 것을 이해할 것이다.

데이터 위험 데이터 소스 당 속성 할당된 위험 점수 한사람 이상에 의해 편집 10 네트워크 위치 5 제거 가능한 매체 위치 10 키워드 매치 (신뢰성, 전달되지 않음) 40 패스워드 보호 5 암호화된 저장 위치 5 다운로드된 데이터 (이메일, 인터넷) 10 자동화 데이터 소스 (스크립트) 5 분류된 데이터 소스 유형 10 총 가능한 위험 점수 100

모든 문서 당 속성 할당된 위험 점수 모든 데이터 소스의 평균 위험 33.3 데이터 위치의 평균 위험 33.3 데이터 편집 애플리케이션의 평균 수 33.4 총 가능한 위험 점수 100

애플리케이션 위험은 임의의 애플리케이션의 엔드 유저의 이용이 이 애플리케이션에 의해 액세스된 민감성 정보의 개시, 삭제 또는 부정 행위의 결과를 초래할 가능성을 반영하는 것이다. 여러 실시예에서, 애플리케이션은 제한 없이, 웹 브라우저(406), 이메일 애플리케이션(408), 워드 프로세서(410) 또는 문서 관리 시스템(412)을 포함한다 (도 4 참조). 바람직하게, 애플리케이션 위험은 임의의 엔드 유저가 액세스한 각 애플리케이션에 대해 액세스된다. 애플리케이션 위험도는 엔드 유저의 총 위험도 또는 엔드 유저나 애플리케이션의 그룹에 대한 총 위험도를 결정하는 데에 이용된다. 이 실시예에서 애플리케이션 위험을 포함하는 속성을 표 2에서 나타내었다.

애플리케이션 위험 애플리케이션에 대해 속성 할당된 위험 점수 네트워크 액세스 2.5 네트워크 파일 공유 액세스 2.5 패스워드 보호 애플리케이션 10 편집/세이브 문서 2.5 데이터베이스 액세스 10 공지의 스파이웨어 20 파일 시스템 스캐닝 애플리케이션 2.5 개인 수준을 올려주는 애플리케이션 10 리슨 소켓을 오픈하는 애플리케이션 8 브라우저 제어를 호스트하는 애플리케이션 8 액티브 제어를 호스트하는 애플리케이션 8 자바를 호스트하는 애플리케이션 8 분류된 위험성 애플리케이션 8 총 가능한 위험 점수 100

모든 애플리케이션에 대해 속성 할당된 위험 점수 실행되는 애플리케이션의 평균 위험 25 네트워크 애플리케이션의 수 25 스파이웨이 애플리케이션의 수 25 최고 위험성 애플리케이션에서 소비된 시간 25 총 가능한 위험 점수 100

패스워드 위험은 엔드 유저의 패스워드가 타협되어 민감성 정보의 비인증된 개시, 삭제나 부정 행위를 가능하게 할 가능성을 반영한다. 여러 실시예에서, 패스워드 위험은 엔드 유저가 선택한 패스워드의 복잡성, 그가 패스워드를 얼마나 자주 변경하는지, 그리고 그 패스워드를 다른 개인이나 여러 애플리케이션과 공유하는지에 의해 결정된다. 이전과 같이, 패스워드 위험도는 엔드 유저의 전체 위험도 또는 엔드 유저의 그룹에 대한 전체 위험도를 결정하는 데에 이용된다. 이 실시예에서 패스워드 위험을 포함하는 속성을 표 3에서 나타내었다.

패스워드 위험 패스워드에 대해 속성 할당된 위험 점수 패스워드 복삽성 40 패스워드 정적 10 패스워드 공유 (애플리케이션과 서버에서) 10 패스워드 공유 (인트라넷과 인터넷에서) 40 총 가능한 위험 점수 100

모든 패스워드에 대해 속성 할당된 위험 점수 패스워드의 평균 33.3 패스워드의 총수 33.3 패스워드와 위험성 애플리케이션의 단면적 33.3 총 가능한 위험 점수 100

은폐 위험은 엔드 유저가 보안 또는 암호화된 통신 채널을 이용하여 비인증된 당사자에게 민감성 정보를 고의로 또는 악의적으로 전송하게 될 가능성을 반영한다. 이 위험도는 엔드 유저가 그의 컴퓨터 시스템으로부터 잠재적으로 은폐된 통신 기술을 자주 이용함에 따라 증가하고 있다. 이전과 같이, 은폐 위험은 엔드 유저나 엔드 유저의 그룹에 대한 위험도를 결정하는 데에 이용될 수 있다. 이 실시예에서 은폐 위험의 속성을 표 4에서 나타내었다.

은폐 위험 속성 할당 가능한 위험 점수 SSL 보호 사이트 액세스 10 SSL 보호 사이트를 통해 업로드 30 파일 시스템 암호화 20 패스워드 보호 문서 형성 15 패스워드 보호 집파일 형성 25 총 가능한 위험 점수 100

엔드 유저의 이메일 위험은 이메일의 이용으로 컴퓨터 시스템 상에서의 민감성 정보의 개시나 공격의 가능성을 특성화한다. 이 위험 수준은 엔드 유저가 달갑지 않은 이메일 또는 스팸을 수신함에 따라 증가하고 있다. 또한 일 실시예로 표 5에서 나타낸, 여러 다른 요인에 대하서도 증가하게 된다. 이전과 같이, 이메일 위험은 엔드 유저나 엔드 유저의 그룹에 대한 위험도를 결정하는 데에 이용될 수 있다.

이메일 위험 이메일 계정에 대해 속성 할당 가능한 위험 점수 스팸 수신 5 첨부물 수신 5 바이러스 수신 10 HTML 메일 수신 10 첨부물 송신 15 위험한 첨부물 송신 20 외부 이메일 송신 5 다른 개인 이메일 계정으로 보냄 15 다수의 내부 계정에 대해 액세스 5 계정으로부터 파일 다운로드 10 총 가능한 위험 점수 100

모든 이메일 계정에 대해 속성 할당 가능한 위험 점수 평균 이메일 계정 위험 50 외부 이메일 계정 액세스 50 총 가능한 위험 점수 100

엔드 유저의 자산 위험은 그가 이용하는 컴퓨터와 컴퓨터를 이용하는 방식이 민감성 회사 정보의 비인증된 개시, 부정 행위나 삭제의 원인이 되는 경우를 말한다. 이하 표 6은 본 발명의 일 실시예에서, 임의의 자산 위험을 결정하기 위해 평가될 수 있는 여러 속성을 개시한다.

도시된 바와 같이, 엔드 유저의 전체 자산 위험은 주변기기 위험, 컨피규레이션 위험, 계정 위험 및 이동성 위험을 포함하게 된다. 주변 위험은 엔드 유저가 주변 장치 (예를 들어, 프린터, 모뎀, 집 드라이브 등)의 이용으로 민감성 정보를 인쇄, 복사 및 전송하는 능력을 반영한 것이다. 컨피규레이션 위험은 비인증된 유저가 엔드 유저의 컴퓨터 시스템에 해킹하거나 액세스할 수 있는 경우를 말한다. 계정 위험은 임의의 컴퓨터 시스템이 비인증된 유저에 의해 타협될 가능성을 특성화한다. 이동성 위험은 퍼스널 디지털 보조 장치, 무선 랩톱 컴퓨터, 셀룰러 전화 및 그 외 이동성 주변 장치에서의 특정 약점에 관한 것이다. 이와 함께, 이들 위험들은 전체적인 자산 위험의 원인이 되고, 다음에 임의의 엔드 유저나 엔드 유저의 그룹에 대해 위험도를 평가하는 것을 도와줄 수 있다.

자산 위험 주변기기 위험 속성 할당 가능한 위험 점수 프린터에 액세스 5 프린터 이용 15 기록 가능한 착탈식 매체를 가짐 5 기록 가능한 착탈식 매체를 이용 15 장치상에 USB 포트 5 USB 장치 이용 15 모뎀 가짐 5 모뎀 이용 15 무선 액세스 5 무선 이용 15 총 가능한 위험 점수 100 컨피규레이션 위험 속성 할당 가능한 위험 점수 장치는 패스워드 보호되지 않음 20 장치는 미약하게 패스워드 보호됨 10 장치가 드물게 이용됨 10 장치가 패스워드 보호된 스크린세이버를 갖지 않음 10 장치가 취약성을 가짐 (O.S.패치) 30 장치가 자주 재구성됨 10 장치가 새로운 소프트웨어를 가짐 10 총 가능한 위험 점수 100 계정 위험 속성 할당 가능한 위험 점수 장치가 많은 사용되지 않는 로긴 계정 가짐 10 장치 계정이 도메인 관리되지 않음 30 로컬 장치 패스워드가 맞지 않은 30 의심가는 계정 로긴 동작이 기록되었음 30 총 가능한 위험 점수 100 이동성 위험 속성 할당 가능한 위험 점수 장치가 동기화됨 10 파일이 장치로 이동 30 파일이 장치로부터 이동 20 장치가 이메일 저장소임 40 총 가능한 위험 점수 100 모든 자산에 대해 속성 할당 가능한 위험 점수 평균 주변기기 위험 25 평균 컨피규레이션 위험 25 평균 계정 위험 30 평균 이동성 위험 20 총 가능한 위험 점수 100

D. 바람직한 실시예의 동작

이하 본 발명의 바람직한 실시예의 동작에 대해 설명한다. 도 7은 본 발명의 실시예의 동작을 설명하는 플로우챠트이다. 설명된 바와 같이, 적어도 6단계는 바람직한 동작 방법: 데이터 캡쳐링(702), 예비 분석 실행(704), 데이터 기록(706), 데이터에 응답하여 분석(708), 데이터 집약(710) 및 보고 응답 분석(712)을 포함한다.

데이터 캡쳐링 단계(702)는 외부 이벤트 (예를 들어, 서버(116)로부터의 요청)나, 엔드 유저(302)의 컴퓨터 시스템(304)과의 상호 작용 (예를 들어, 파일 오프닝, 애플리케이션 시작 등)에 응답하여, 주기적으로 (예를 들어, 매 3초당) 트리거된다. 데이터 캡쳐 단계(702)가 트리거되면, KIntrept(516, 518) 및 ZIntrept(510, 512, 514)는 애플리케이션, 운영 시스템 및 물리적 장치로부터 데이터를 트랩한다. 데이터 캡(702) 동안, 여러 위험 요소 속성을 설명하는 정보가 큐(508)에 삽입된다. 이 정보는 예를 들어:

* 오픈되어 있는 파일의 위치.

* 데이터가 네트워크 인터페이스로 이동하고 있는지의 여부.

* 엔드 유저가 이메일을 보내려고 시도하고 있는지의 여부.

* 컴퓨터 시스템이 마지막으로 바이러스 스캔된 시간.

* 작업중 문서가 키워드 (예를 들어, "신임")을 포함하는지의 여부.

* 유저가 금지된 동작 (예를 들어, 파일을 외부 장치에 복사)에 연관되었는지의 여부를 포함한다.

다음에, 예비 분석(704)이 발생한다. 예비 분석(704) 동안, 트랩된 정보는 엔드 유저의 동작에 의해 가해진 즉각적인 보안 위험이 있는지, 또는 예외적인 이벤트가 발생했는지를 평가하는 데에 이용된다. 일 실시예에서, 보안 에이전트(404)는 애플리케이션(410)이 데이터에 액세스하도록 하기 전에 엔드 유저가 액세스 시도하고 있는 데이터를 철저히 조사한다. 데이터가 특정 키워드 (예를 들어, "특권")를 포함하거나 엔드 유저(302)가 데이터 액세스 비인증된 경우, 보안 에이전트(404)는 컴퓨터 시스템(304)이 데이터를 엔드 유저(302)에게 표시하지 못하게 할 수 있다.

이 시점에서, 엔드 유저의 위험도는 갱신되는 것이 바람직하다. 엔드 유저(302)가 취한 동작에 따라, 그의 개인적인 위험도가 증가 또는 감소된다. 몇 실시예에서, 엔드 유저(302)에게는 그 자신의 위험도나 그 변형이 나타날 수 있다.

예비 분석(704) 동안, 엔드 유저의 위험도가 특정 수준을 초과하지 않고, 그의 동작이 긴급 보안 위험이나 예외적 이벤트를 나타내지 않는다면, 결국에 보안 에이전트(404)에 의해 처리될 때 까지 데이터는 단지 큐(508)를 진행하게 된다.

보안 에이전트(404)는 선입선출 ("FIFO") 형식으로 큐(508)로부터 데이터를 제거한다. 일 실시예에서, 보안 에이전트(404)는 분석을 위해 큐(508)로부터 제거되면서 데이터를 집약하여 합산한다. 그 후, 보안 에이전트(404)는 보안 에이전트의 데이터베이스(306)에 이 데이터를 기록한다 (단계706).

분석 및 응답 단계(708) 동안, 보안 에이전트(404)는 큐로부터 수신된 데이터를 분석하여, 이를 보안 에이전트 데이터베이스(306)에 저장된 데이터와 선택적으로 비교한다. 임의의 동작이 엔드 유저의 위험도를 미리 정해진 임계치 이상으로 증가시키는지를 판정한 후에, 보안 에이전트는:

* 엔드 유저에게 그의 동작으로 형성된 잠재적인 보안 위험을 경고함,

* 엔드 유저의 동작을 차단함.

* 위험에도 불구하고 엔드 유저가 진행하길 원하는 확인을 요청함.

* 시스템을 중단함

* 시스템으로부터 엔드 유저를 로깅

* 컴퓨터 시스템을 네트워크와 분리

* 서버나 관리자에게 엔드 유저의 동작을 경고

* 엔드 유저에게 위험도를 표시하는 것을 포함하여, 하나 이상의 동작을 취한다.

엔드 유저의 동작이 컴퓨터 시스템(304)에 보안 위험을 가하지 않거나, 보안 위험이 보안 에이전트의 응답으로 처리된다면, 프로세스는 데이터 캡처링 단계(702)로 돌아가게 된다. 다르게, 보안 에이전트(404)는 집약하고 (단계 710) 선택적으로 분석, 보고 및 보안 에이전트에게 응답하는 (단계 712) 서버(116)에게 정보를 보낸다. 본 발명의 바람직한 실시예의 동작은 도 1-7을 참조하고 가설 시나리오를 이용하여 이하 기재된다.

1. 컴퓨터 시스템에서의 통상적인 데이터 캡쳐 , 분석 및 응답

엔드 유저(302)가 에이전트 A(602), 보안 에이전트(404)로 작용하고 있는 컴퓨터 시스템(304)를 이용한다고 가정한다. 에이전트 A(602)가 인터넷에 연결된다. 이 때, 엔드 유저(302)는 문서를 편집하기 위해 워드 처리 프로그램을 이용하고 있다. 문서는 민감성 정보를 포함하지 않으며, 엔드 유저(302)는 허용 가능하게 내부 네트워크를 통해 문서를 액세스하고 있다.

일정한 간격 (예를 들어, 매 3초)으로, 에이전트 A(602) 내의 스케줄된 항목이 운영 시스템(402)으로부터 프로세스, 자산, 리소스 및 이벤트 정보를 설명하는 데이터를 캡쳐하도록 (단계 702) 질의를 시작한다. ZIntrept(510)은 운영 시스템(402)으로부터 요청된 리소스 및 이용 정보를 트랩하여 상기 정보를 큐(508)에 입력한다. 유사하게, KIntrept(518)은 네트워크 인터페이스(219)에 관한 커널 정보를 트랩하여, 이 정보를 큐에 입력한다. 집합적으로, KIntrept(518), Zintrept(510)에 의해, 운영 시스템(402)으로부터 트랩된 정보는 정상적 데이터세트를 형성한다.

큐(508) 내의 정보를 연속하여 판독하는 Qthread(502)는 정상적 데이터세트에 대해 예비 분석(단계 704)을 실행한다. 이 예비 분석(704) 동안, 정상적 데이터세트는 엔드 유저의 동작이 즉각적인 보안 위반을 초래하는지의 여부를 판정하도록 평가된다. 엔드 유저(302)의 이용이 허용 가능하면 즉각적인 보안 위반은 없다. 부가하여, 예비 분석(704) 동안, 에이전트 A(602)는 엔드 유저(302)에 대한 현재의 위험도가 허용 가능한 범위 내에 있다고 증명한다.

엔드 유저(302)의 위험도가 특정된 한계치 내에 있다는 것을 증명하고, 정상적 데이터세트가 예외적 이벤트를 포함하지 않는다고 결정한 후에, 에이전트 A(602)는 나중의 처리를 위해 정상적 데이터세트가 큐(508) 내의 위치에 유지되게 한다.

상술된 바와 같이, 각 보안 에이전트(404)는 FIFO 형식으로 큐(508)로부터 정보를 제거한다. 따라서, 정상적 데이터세트는 에이전트 A(602)에 의해 취득되어 평가된다. 이 시점에서, 에이전트 A(602)는 데이터를 기록한다 (단계 706). 그 후, 에이전트 A(602)는 A 데이터베이스(610) 내에 이미 저장된 데이터세트와 정상적 데이터세트를 비교한다. 정상적 데이터세트와 A 데이터베이스(610) 내에 이미 저장된 데이터세트 간의 차이가 허용 한계치 내에 있기 때문에, 에이전트 A(602)는 정상적 데이터세트를 A 데이터베이스(610)에 저장한다.

에이전트 A(602)가 마지막으로 데이터세트를 서버 A(606)에 전송한 이후 5분이 지났기 때문에, 에이전트 A(606)는 정상적 데이터세트를 인터넷(608)를 통해 서버 A(606)에 전송한다. 서버 A(606)는 에이전트 A(602)로부터 정상적 데이터세트를 수신하여 이를 불규칙성에 대해 분석한다. 아무것도 발견되지 않으면, 서버 A(606)는 그 서버 데이터베이스(614)에 정상적 데이터세트를 기록한다. 이 주기는 에이전트 A(602)가 매 3초마다 다른 정상적 데이터세트를 기록하고 서버 A(606)가 매 5분마다 정상적 데이터세트를 기록하여, 반복된다.

2. 보안 위반 처리.

다른 보안 에이전트(404)가 실행중일 때, 제2 엔드 유저(312)가 컴퓨터 시스템(314)의 이용으로 웹을 현재 브라우징하고 있다고 가정한다. 이 엔드 유저(312)는 웹을 네비게이트하면서, 신임 문서를 비신뢰 당사자에게 이메일 보내기로 결정한다.

상술된 바와 같이, 보안 에이전트(404)는 이 컴퓨터 시스템(314)에서 현재 실행중이다. 따라서, ZIntrept(512)는 그의 이메일(408)과 워드 처리 소프트웨어(410) 둘 다를 정기적으로 모니터링한다. ZIntrept(512)는 엔드 유저(312)의 마우스 클릭 작용으로 의심가는 이메일의 전송을 트리거하여, 큐(508)에 서술 정보를 즉각적으로 위치시킨다 ("예외적 데이터세트").

큐(508) 내의 정보를 연속하여 판독하는 Qthread는 예외적 데이터세트를 판독하고, 그 중요도를 인식하여, 이를 큐(508)로부터 제거하고 이를 보안 에이전트(404)로 보내어 평가한다. 예외적 데이터세트의 수신시, 보안 에이전트(404)는 엔드 유저(312)가 허용할 수 없는 동작에 관련되려 한다고 인식하여, 예외적 데이터세트를 보안 에이전트의 데이터베이스(306)에 바로 기록한다.

보안 에이전트(404)는 이 동작이 엔드 유저(312)의 위험도를 미리 정해진 임계치 이상으로 상승시킨다고 결정한다. 보안 에이전트(404)는 네 개의 다른 에러 처리 루틴을 시작한다. 먼저, 보안 에이전트(404)는 비신뢰 수신인에게 신임 문서를 이메일 보내어, 민감한 회사 정보의 개시에 위험이 되고 있는 것을 알리어, 엔드 유저에게 처리하길 원하는지를 묻는다. 둘째, 보안 에이전트(404)는 이 엔드 유저(312)가 과거에 유사한 동작을 시도했었는지의 여부를 판정하기 위해 데이터베이스(306)를 검색한다. 보안 에이전트(404)는 데이터베이스(306)에 저장된 관련 종래 정보를 찾지 않는다. 세째, 보안 에이전트(404)는 엔드 유저(312)에게 그의 증가된 위험도를 표시한다. 네째, 보안 에이전트(404)는 관리자에게 엔드 유저(312)의 동작을 알린다.

관리자에 의한 승인 및 엔드 유저(312)에 의한 시도된 이메일이 여전히 바람직하다는 확인시, 위험에도 불구하고, 컴퓨터 시스템(314)은 지정된 수신인에게 의심스런 이메일을 보내고 엔드 유저에 의한 행동이 허용 가능하며 관리자가 이런 행동을 승인한 것을 감사 추적의 목적으로 기록한다.

3. 다른 에이전트와 서버에 대한 간헐적 연결

다른 예로서, 에이전트 B(604)는 랩톱 컴퓨터(114)에서 실행중이고 에이전트 A(602)와 정확히 동일하게 실행되게 구성된다고 가정한다. 그러나, 에이전트 B(604)가 모바일이면, 긴 지연 사이에 짧은 시간 동안 인터넷(608)에 연결될 수 있다. 따라서, 에이전트 B(604)는 에이전트 A(602) 또는 서버 A(606)와 일정하게 통신할 수 없다. 따라서, 에이전트 B(604)는 인터넷(608)으로부터 분리되어 있는 동안 자동으로 동작해야 한다.

에이전트 A(602)와 같이, 에이전트 B(604)는 매 3초마다 정상적 데이터세트를 B 데이터베이스(612)에 기록한다. 또한 에이전트 A(602)와 같이, 에이전트 B(604)는 이들 정상적 데이터세트의 카피를 매 5분마다 서버 A(606)에 보낸다 (각각, "5분 데이터세트"). 에이전트 B(604)가 인터넷(608)에서 분리된 기간 동안, 에이전트 B는 그 데이터베이스(612)에 5분 데이터세트를 저장한다. 에이전트 B(604)가 인터넷(608)을 통해 서버 A(606)에 재연결되면, 에이전트 B(604)는 서버 A(606)와 5분 데이터세트를 동기화하여 서버 A(606)에 마지막 동기 이후 형성된 5분 데이터세트만을 제공한다.

유사하게, 에이전트 B(604)가 인터넷(608)에서 분리되어 예외적 이벤트를 경험하게 되면, 에이전트 B(604)는 에이전트 A(602)나 서버 A(606)로부터 원조를 구할 수 없다. 따라서, 에이전트 B(604)는 분리된 동안 작용할 수 있는 에러 취급 루틴을 실행한다. 부가하여, 데이터베이스(612)에 예외적 이벤트에 대한 정보를 저장하여, 에이전트 B(604)가 인터넷(608)에 재연결될 때, 필요하다면 원조 요청과 함께 에이전트 A(602)와 서버 A에게 예외적 이벤트의 통지를 전달할 수 있게 한다.

이런 형식으로, 에이전트 B(604)는 여전히 동작할 수 있으며, 다른 보안 에이전트(404)나 서버(116)에 연결되지 않을 때에도 예외적 이벤트와 보안 위반을 검출, 분석 및 취급할 수 있다.

4. 자동적 에러 검출

에이전트 A(602)가 상술된 바와 같이 실행중이라고 가정한다. 상술된 바와 같이, 정규 간격 (예를 들어, 매 3초)으로, 에이전트 A(602) 내의 스케줄된 항목은 운영 시스템(402)로부터 프로세스, 자산, 리소스 및 이벤트 정보를 취득하기 위해 질의를 초기화한다. ZIntrept(510)은 운영 시스템(402)으로부터 요청된 리소스 및 이용 정보를 트랩하여 상기 정보 ("비정상 데이터세트")를 큐(508)에 입력한다. 큐(508) 내의 정보를 연속하여 판독하는 Qthread(502)는 비정상 데이터세트를 판독하고, 예외적 이벤트가 없다고 검출되면 큐(508) 내에 데이터세트가 제위치에 유지되게 한다. 보안 에이전트(404)는 다시 FIFO 형식으로 큐(508)으로부터 정보를 제거한다. 따라서, 비정상 데이터세트는 에이전트 A(602)에 의해 취득되어 평가된다. 에이전트 A(602)는 비정상 데이터세트와 A 데이터베이스(610) 내에 이미 저장된 정상적 데이터세트를 비교하여 비정상 데이터세트와 A 데이터베이스에 이미 저장된 정상적 데이터세트 간의 차이가 허용 한계치 내에 있지 않은 것을 확인하게 된다. 특히, 엔드 유저(304)는 더욱 민감한 문서를 액세스하여 카피하려고 한다. 혼자인 경우, 각 개인의 액세스는 엔드 유저(304)의 위험도를 증가시키지 않는다. 그러나, 함께인 경우, 에이전트 A(602)는 패턴이 보안 위험을 구성한다고 결정할 수 있다.

에이전트 A(602)는 엔드 유저(304)의 액세스에 대한 이유를 더욱 평가하기 위해 각종 기술을 이용하여, 상술된 바와 같이 보안 위험을 분석하여 이에 응답하는 것이 바람직하다. 이런 식으로, 네트워크로부터 분리될 때에도, 시스템의 실시예는 민감성 정보에 대한 위험으로부터 보호될 수 있다.

E. 장점.

본 발명의 시스템 및 방법을 통해, 각종 장점들이 상기 설명한 보안 관리 시스템에 의해 실현된다. 이들 장점들은:

1. 각 엔드 유저에 대한 위험도를 결정

본 발명은 일반적으로 엔드 유저가 민감성 정보에 가한 위험을 평가하고, 각 엔드 유저의 위험도를 실시간으로 연산 갱신하는 단계를 포함한다. 엔드 유저와 그의 컴퓨터, 이들이 액세스하는 데이터와 문서, 이들이 액세스하는 리소스 간의 상호 작용을 평가하고, 이들 평가를 위험 평가로 축소함으로써, 본 발명에 따른 보안 에이전트는 기업 전체에 걸쳐 컴퓨터 시스템 내의 이례적인 동작을 검출하기 위한 기초를 제공한다.

2. 보안 대응책의 초점에 대한 통찰

기업체 내에 취약한 요소가 어디에 있는지를 평가하여, 관리자는 보안 대응책을 어디에 적용할지 어느 대응책을 적용할지 신속히 결정할 수 있다. 그 후, 관리자는 대응책이 전조직에 미치는 보안을 개선하는지를 판정하기 위해 전조직에 미치는 수준의 위험을 재평가할 수 있다.

3. 고용인 자극

각 엔드 유저에게 그의 각 위험도를 보여주고, 그 위험도를 실시간으로 갱신함으로써, 본 발명은 개개인이 자신의 위험, 나아기서는 조직의 전체 보안 위험을 낮추기 위해 자신의 동작을 수정하는 것을 도와준다. 부가하여, 관리자나 그 외 회사 대표자는 개인 위험도를 감소시킨 고용인에게 보너스나 이익을 제공할 수도 있다. 유사하게, 관리자는 위험도가 증가하고 있거나 만족스럽지 못한 고용인을 징계할 수도 있다. 이런 식으로, 본 발명은 전체 조직에 걸쳐 조직적인 행동의 변경을 실행하는 것을 도와준다.

4. 실시간 위험 분석 및 응답

각 보안 에이전트(404)는 그 엔드 유저(302)에 관한 정보를 신속하게 수신하여 응답함에 따라, 그 엔드 유저에 의해 가해지는 개시나 보안 위험을 자동으로 좌절시킬 수 있다. 보통 신뢰되는 개인이 어느 날 회사의 민감성 정보의 일부나 모두를 무단 사용하거나 전송하려고 하는 경우, 그의 컴퓨터 시스템(302)은 실제로 그가 이를 행하지 못하게 한다. 시스템의 응답 시간은 현재 이용 가능한 시스템의 것 보다 상당히 더 빠르게 된다.

본 발명의 정신 및 영역에서 벗어나지 않고 상술된 방법과 시스템에 대해 여러 부가 및 수정이 행해질 수 있다. 여기에서 설명되는 것은 예시적인 것으로, 본 발명을 제한하고자 하는 것이 아니다.

Claims

엔드 유저가 전자적으로 이용 가능한 정보에 부여하는 위험을 평가하는 방법에 있어서:

상기 엔드 유저가 액세스한 전자적으로 이용 가능한 정보 각각에 대한 자산 가치를 평가하는 단계;

상기 엔드 유저가 상기 전자적으로 이용 가능한 정보를 액세스하게 하는 컴퓨터 시스템과의 상기 엔드 유저의 상호 작용을 모니터링하는 단계; 및

상기 자산 가치와 상기 엔드 유저의 상호 작용에 기초하여 상기 엔드 유저에 대한 위험도를 결정하는 단계 - 상기 위험도는 상기 엔드 유저가 상기 전자적으로 이용 가능한 정보에 부여하는 위험을 나타냄 -

를 포함하는 방법.
제1항에 있어서, 상기 엔드 유저가 상기 전자적으로 이용 가능한 정보에 대해 부여한 위험을 확인하도록 상기 위험도를 이용하는 단계를 더 포함하는 방법.
제2항에 있어서, 상기 엔드 유저의 위험도가 임계치를 초과한 경우에 상기 전자적으로 이용 가능한 정보에 대한 액세스를 제한하는 단계를 더 포함하는 방법.
제1항에 있어서, 상기 엔드 유저에게 그의 위험도를 알리는 단계를 더 포함 하는 방법.
제4항에 있어서, 상기 엔드 유저가 상기 컴퓨터 시스템과의 상호 작용을 수정함으로써 그의 위험도를 수정할 수 있게 하는 단계를 더 포함하는 방법.
제5항에 있어서, 상기 엔드 유저에게 그의 위험도를 낮추기 위해 보상을 제공하는 단계를 더 포함하는 방법.
제1항에 있어서, 상기 엔드 유저는 상기 컴퓨터 시스템과 원격적으로 상호 작용하는 방법.
제1항에 있어서, 상기 위험도를 예외적 이벤트의 발생에 응답하여 조정하는 단계를 더 포함하는 방법.
엔드 유저 위험 관리 시스템에 있어서:

컴퓨터 시스템;

상기 컴퓨터 시스템과 통신하여, 둘 이상의 데이터 요소들을 기록하도록 구성된 데이터베이스 - 상기 데이터 요소들 각각은 상기 컴퓨터 시스템과 엔드 유저와의 상호 작용에 관한 정보를 포함함 - ; 및

상기 컴퓨터 시스템 상에서 실행되며 상기 데이터 요소들 중 제1 요소와 상 기 데이터 요소들 중 제2 요소를 비교하여 상기 비교에 기초하여 상기 엔드 유저에 대한 위험도를 판정하도록 구성된 제1 보안 에이전트

를 포함하고, 상기 위험도는 상기 컴퓨터 시스템을 통해 액세스 가능한 전자적으로 이용 가능한 정보에 대해 상기 엔드 유저가 부여한 위험을 나타내는 시스템.
제9항에 있어서, 각 데이터 요소는 상기 컴퓨터 시스템과 또는 상기 컴퓨터 시스템 상에서 실행되는 애플리케이션과 엔드 유저와의 상호 작용을 설명하는 일시적 정보를 포함하는 시스템.
제10항에 있어서, 상기 일시적 정보는:

상기 엔드 유저에 대해 다이얼로그 박스로 표시되는 정보;

운영 시스템에 의해 관례적으로 로그되지 않은 정보;

애플리케이션에 의해 관례적으로 로그되지 않은 정보;

상기 엔드 유저의 이메일 동작에 관한 정보;

상기 엔드 유저의 파일 전달 동작에 관한 정보; 또는

비신뢰적 또는 외부적 웹 사이트나 컴퓨터 시스템 서버와 상기 엔드 유저와의 상호 작용에 관한 정보

중 하나 이상을 포함하는 시스템.
제9항에 있어서, 상기 위험도는 민감성 정보에 액세스하려는 상기 엔드 유저의 능력에 따라 결정되는 시스템.
제12항에 있어서, 상기 위험도는 상기 엔드 유저의 일시적 정보를 평가하여 결정되는 시스템.
제13항에 있어서, 상기 위험도가 미리 정해진 임계치를 초과하면, 상기 컴퓨터 시스템은 상기 컴퓨터 시스템에 대한 상기 엔드 유저의 액세스를 제한하는 시스템.
제14항에 있어서, 상기 컴퓨터 시스템 제한은:

상기 엔드 유저가 민감성 정보를 다른 컴퓨터 시스템으로 전송하는 것을 방지하는 것;

상기 엔드 유저가 비신뢰적이거나 외부적인 웹 사이트나 컴퓨터 서버에 액세스하는 것을 방지하는 것;

상기 엔드 유저가 민감성 정보에 액세스하는 것을 방지하는 것;

상기 엔드 유저에게 잠재적인 보안 위험을 경고하는 것;

상기 엔드 유저로부터 상기 엔드 유저가 진행하길 원한다는 확인을 요청하는 것; 또는

상기 앤드 유저로부터의 모든 명령이나 지시를 실행 거부하는 것

중에서 하나 이상을 포함하는 시스템.
제9항에 있어서, 제2 보안 에이전트는 원격 호스트에서 실행되는 시스템.
제9항에 있어서, 상기 위험도는 하나 이상의 예외적 이벤트의 발생에 응답하여 조정되는 시스템.
제16항에 있어서, 상기 제1 보안 에이전트는 상기 제2 보안 에이전트에게 상기 엔드 유저의 위험도를 알리는 시스템.
제18항에 있어서, 상기 제2 보안 에이전트는 상기 제1 보안 에이전트에게 응답을 형성하여 보내는 시스템.
제19항에 있어서, 상기 응답은 상기 엔드 유저의 상기 컴퓨터에 대한 액세스를 제한하는 것과 관련된 상기 제1 보안 에이전트에 대한 명령을 포함하는 시스템.
제9항에 있어서, 상기 제1 보안 에이전트는 관리자에게 상기 엔드 유저의 위험도를 알리는 시스템.
제9항에 있어서, 상기 제1 보안 에이전트는 원격 호스트에서 실행되는 서버 에 상기 엔드 유저의 위험도를 알리는 시스템.
제22항에 있어서, 상기 엔드 유저의 위험도가 특정 수준을 초과하면 상기 서버가 관리자에게 알리는 시스템.
제22항에 있어서, 상기 엔드 유저의 위험도가 특정 수준을 초과하면, 상기 서버는 상기 제1 보안 에이전트에게 상기 엔드 유저의 상기 컴퓨터 시스템에 대한 액세스를 제한하도록 명령하는 시스템.
제9항에 있어서, 상기 위험도는:

상기 엔드 유저가 액세스하는 각 문서에 포함된 정보의 민감도를 평가하는 데이터 위험;

상기 엔드 유저의 컴퓨터 시스템에서 실행되는 프로그램의 취약성, 이용, 액세스 및 안정성을 평가하는 애플리케이션 위험;

상기 엔드 유저가 상기 컴퓨터 시스템과의 상호 작용을 은폐하려는 정도를 평가하는 은폐 위험;

상기 엔드 유저에 의해 이용되는 패스워드의 보안성을 평가하는 패스워드 위험;

상기 엔드 유저가 기업 및 외부 이메일 시스템을 이용하는 방법을 평가하는 이메일 위험;

각 기업 자산의 취약성을 평가하는 자산 위험;

상기 엔드 유저가 상기 인터넷에 액세스하는 방법을 평가하는 인터넷 위험; 또는

상기 엔드 유저가 퍼스널 디지털 보조 장치를 이용하는 방법을 평가하는 PDA 위험

중 하나 이상에 기초하는 시스템.
제9항에 있어서, 상기 엔드 유저가 그의 위험도를 보고받는 시스템.
제26항에 있어서, 상기 엔드 유저는 그의 위험도를 변경하기 위해 그의 동작을 수정할 수 있는 시스템.
제27항에 있어서, 상기 엔드 유저는 그의 위험도를 낮추기 위해 보상을 받는 시스템.
제9항에 있어서, 상기 엔드 유저는 상기 컴퓨터 시스템과 원격적으로 상호 작용하는 시스템.
엔드 유저 위험 관리 방법에 있어서:

데이터베이스에 둘 이상의 데이터 요소들을 기록하는 단계 - 상기 데이터 요 소 각각은 엔드 유저의 컴퓨터 시스템과의 상호 작용에 관한 정보를 포함함 - ; 및

제1 보안 에이전트를 실행하여, 상기 데이터 요소들 중 제1 요소와 상기 데이터 요소들 중 제2 요소를 비교하여 상기 비교에 기초하여 상기 엔드 유저에 대한 위험도를 결정하는 단계 - 상기 위험도는 상기 컴퓨터 시스템을 통해 액세스 가능한 전자적으로 이용 가능한 정보에 대해 상기 엔드 유저가 부여한 위험을 나타냄 -

를 포함하는 방법.
제30항에 있어서, 각 데이터 요소는 상기 컴퓨터 시스템과 또는 상기 컴퓨터 시스템 상에서 실행되는 애플리케이션과 엔드 유저와의 상호 작용을 설명하는 일시적 정보를 포함하는 방법.
제31항에 있어서, 상기 일시적 정보는:

상기 엔드 유저에 대해 다이얼로그 박스로 표시되는 정보;

운영 시스템에 의해 관례적으로 로그되지 않은 정보;

애플리케이션에 의해 관례적으로 로그되지 않은 정보;

상기 엔드 유저의 이메일 동작에 관한 정보;

상기 엔드 유저의 파일 전달 동작에 관한 정보; 또는

비신뢰적 또는 외부적 웹 사이트나 컴퓨터 시스템 서버와 상기 엔드 유저와의 상호 작용에 관한 정보

중 하나 이상을 포함하는 방법.
제30항에 있어서, 민감성 정보에 액세스하려는 상기 엔드 유저의 능력에 따라 상기 위험도를 결정하는 단계를 더 포함하는 방법.
제33항에 있어서, 상기 엔드 유저의 일시적 정보를 평가하여 상기 위험도를 결정하는 단계를 더 포함하는 방법.
제34항에 있어서, 상기 위험도가 미리 정해진 임계치를 초과하면, 상기 컴퓨터 시스템에 대한 상기 엔드 유저의 액세스를 제한하는 단계를 더 포함하는 방법.
제35항에 있어서, 상기 컴퓨터 시스템에 대한 상기 엔드 유저의 액세스를 제한하는 단계는:

상기 엔드 유저가 민감성 정보를 다른 컴퓨터 시스템으로 전송하는 것을 방지하는 단계;

상기 엔드 유저가 비신뢰적 또는 외부적 웹 사이트나 컴퓨터 서버에 액세스하는 것을 방지하는 단계;

상기 엔드 유저가 민감성 정보에 액세스하는 것을 방지하는 단계;

상기 엔드 유저에게 잠재적인 보안 위험을 경고하는 단계;

상기 엔드 유저로부터 상기 엔드 유저가 진행하길 원한다는 확인을 요청하는 단계; 또는

상기 앤드 유저로부터의 모든 명령이나 지시를 실행 거부하는 단계

중에서 하나 이상을 포함하는 방법.
제30항에 있어서, 상기 컴퓨터 시스템과 통신하도록 원격 호스트에서 실행되는 제2 보안 에이전트를 이용하는 단계를 더 포함하는 방법.
제39항에 있어서, 상기 제1 보안 에이전트가 상기 제2 보안 에이전트에게 상기 엔드 유저의 위험도를 알리는 단계를 더 포함하는 방법.
제38항에 있어서, 상기 제2 보안 에이전트가 상기 제1 보안 에이전트에게 응답을 형성하여 보내는 단계를 더 포함하는 방법.
제39항에 있어서, 상기 응답은 상기 엔드 유저의 상기 컴퓨터에 대한 액세스를 제한하는 것과 관련된 상기 제1 보안 에이전트에 대한 명령을 포함하는 방법.
제30항에 있어서, 상기 제1 보안 에이전트가 관리자에게 상기 엔드 유저의 위험도를 알리는 단계를 더 포함하는 방법.
제30항에 있어서, 상기 제1 보안 에이전트가 원격 호스트에서 실행되는 서버에 상기 엔드 유저의 위험도를 알리는 방법.
제38항에 있어서, 상기 엔드 유저의 위험도가 특정 수준을 초과하면 상기 서버가 관리자에게 알리는 방법.
제38항에 있어서, 상기 엔드 유저의 위험도가 특정 수준을 초과하면, 상기 서버는 상기 제1 보안 에이전트에게 상기 엔드 유저의 상기 컴퓨터 시스템에 대한 액세스를 제한하도록 명령하는 방법.
제30항에 있어서, 상기 위험도는:

상기 엔드 유저가 액세스하는 각 문서에 포함된 정보의 민감도를 평가하는 데이터 위험;

상기 엔드 유저의 컴퓨터 시스템에서 실행되는 프로그램의 취약성, 이용, 액세스 및 안정성을 평가하는 애플리케이션 위험;

상기 엔드 유저가 상기 컴퓨터 시스템과의 상호 작용을 은폐하려는 정도를 평가하는 은폐 위험;

상기 엔드 유저에 의해 이용되는 패스워드의 보안성을 평가하는 패스워드 위험;

상기 엔드 유저가 기업 및 외부 이메일 시스템을 이용하는 방법을 평가하는 이메일 위험;

각 기업 자산의 취약성을 평가하는 자산 위험;

상기 엔드 유저가 상기 인터넷에 액세스하는 방법을 평가하는 인터넷 위험; 또는

상기 엔드 유저가 퍼스널 디지털 보조 장치를 이용하는 방법을 평가하는 PDA 위험

중 하나 이상에 기초하는 방법.
제30항에 있어서, 상기 엔드 유저에게 그의 위험도를 보고하는 단계를 더 포함하는 방법.
제46항에 있어서, 상기 엔드 유저가 그의 동작을 수정하여 위험도를 변경할 수 있게 하는 단계를 더 포함하는 방법.
제47항에 있어서, 상기 엔드 유저가 그의 위험도를 낮추면 상기 엔드 유저에게 보상을 제공하는 단계를 더 포함하는 방법.
엔드 유저가 전자적으로 이용 가능한 정보에 부여하는 위험을 평가하는 방법에 있어서:

(a) 상기 엔드 유저가 액세스한 전자적으로 이용 가능한 정보 각각에 대한 자산 가치를 평가하는 단계;

(b) 상기 엔드 유저가 상기 전자적으로 이용 가능한 정보에 액세스하게 하는 컴퓨터 시스템과 엔드 유저와의 상호 작용을 모니터링하는 단계;

(c) 상기 자산 가치와 상기 엔드 유저의 상호 작용에 기초하여 상기 엔드 유저에 대한 위험도를 결정하는 단계 - 상기 위험도는 상기 엔드 유저가 상기 전자적으로 이용 가능한 정보에 부여하는 위험을 나타냄 - ;

(d) 상기 엔드 유저에게 상기 위험도를 표시하는 단계; 및

(e) 상기 엔드 유저가 상기 컴퓨터 시스템과 계속 상호 작용하게 하면서, 단계 (a)로 돌아가는 단계

를 포함하는 방법.