KR20100002592A

KR20100002592A - 정보보안 감사방법, 이를 수행하기 위한 프로그램이 저장된컴퓨터가 판독가능한 기록매체 및 이를 수행하기 위한시스템

Info

Publication number: KR20100002592A
Application number: KR1020080062540A
Authority: KR
Inventors: 이을석
Original assignee: 주식회사 이너버스
Priority date: 2008-06-30
Filing date: 2008-06-30
Publication date: 2010-01-07
Also published as: KR101011456B1

Abstract

사내정보시스템의 로그 정보를 이용한 정보보안 감사방법, 이를 수행하기 위한 프로그램이 저장된 컴퓨터가 판독가능한 기록매체 및 이를 수행하기 위한 시스템이 개시된다. 정보보안감사 시스템은 사용자별 시스템 사용내역이 저장된 로그파일에서 로그 정보를 수집하는 로그 정보 수집모듈과, 코드테이블 DB에 저장된 로그별 아이디를 추출하여 해당 로그들을 표준화하는 아이디 표준화모듈과, 상기 아이디 표준화모듈에 의해 표준화된 로그 정보를 이벤트별로 추출하는 이벤트 추출모듈과, 상기 이벤트 추출모듈에 의해 추출된 이벤트별 로그 정보에 가중치를 설정하는 가중치 설정모듈과, 이벤트별 초기임계값을 받아 임계값을 설정하는 임계값 설정모듈과, 가중치가 설정된 이벤트에 대응하는 로그 정보들이 임계치를 초과했는지의 여부를 분석하는 임계값 분석모듈과, 이벤트별 또는 로그별 모니터링 항목과 이에 대응하는 평가 항목을 서로 연계시키는 연계 분석모듈과, 상기 연계 분석모듈에 의해 분석된 정보를 근거로 사용자별 또는 이벤트별 보안위험지수를 산정하는 보안위험지수 산정모듈을 포함한다. 이에 따라, 개인 별 보안위험지수를 산정하여 비정상적인 정보를 사용하는 행위를 감사할 수 있는 기능과 임계값 조정을 통해 감사의 효율성을 높일 수 있다.

Description

정보보안 감사방법, 이를 수행하기 위한 프로그램이 저장된 컴퓨터가 판독가능한 기록매체 및 이를 수행하기 위한 시스템{METHOD FOR ACCOUNTING INFORMATION SECURITY, COMPUTER-READABLE MEDIUM FOR STORING A PROGRAM FOR EXECUTING THE METHOD, AND SYSTEM FOR PREFORMING THE SAME}

본 발명은 정보보안 감사방법, 이를 수행하기 위한 프로그램이 저장된 컴퓨터가 판독가능한 기록매체 및 이를 수행하기 위한 시스템에 관한 것으로, 보다 상세하게는 사내정보시스템의 로그 정보를 이용한 정보보안 감사방법, 이를 수행하기 위한 프로그램이 저장된 컴퓨터가 판독가능한 기록매체 및 이를 수행하기 위한 시스템에 관한 것이다.

근래들어, 전자 및 컴퓨터 기술이 비약적으로 발전하면서, 정보의 수집, 교환 및 전송 등이 활발해지고 있다. 문자, 음성, 이미지(Image), 동영상 등으로 구성된 정보를 모두 컴퓨터에서 사용하는 화일 형태로 작성, 편집할 수 있게 되어, 컴퓨터가 일반 사회에 보편적으로 보급된 이후에는 대부분의 업무 처리가 컴퓨터를 통해 이루어지고 있다. 최근에는 일정한 장소에 고정되어 있는 기존의 데스크탑 컴퓨터(Desktop Computer)에 비해 휴대성과 이동성 측면에서 장점을 가지는 랩탑 컴 퓨터(Laptop Computer), PDA(Personal Digital Assistant) 등의 이동식 컴퓨터의 이용이 활성화되고 있다.

하지만, 정보의 수집, 교환 및 전송 등이 용이해지면서 이동식 컴퓨터에 저장된 기업 내부 정보가 유출될 수 있는 위험성도 그만큼 커지고 있으며, 기업의 내부 정보 유출로 인한 피해 규모도 계속해서 증가하는 추세이다. 따라서, 많은 기업들은 자체적으로 기업의 내부 정보를 보호하고 보안을 유지하기 위한 노력을 기울이고 있다.

이동식 컴퓨터에 저장된 정보의 유출을 방지하기 위한 종래의 보안 솔루션(Solution)은 이동식 컴퓨터에 설치된 에이전트(Agent)와 에이전트를 관리하기 위한 서버로 구성되어 있다. 서버는 기업 내부 네트워크를 통해 이동식 컴퓨터와 연결되어 있으며, 이동식 컴퓨터에 설치된 에이전트를 관리한다. 에이전트는 이동식 컴퓨터에 저장된 정보의 유출 경로를 모니터링하고 차단하여 기업 내부 정보의 유출을 방지하는 역할을 한다.

하지만, 이러한 보안조치에도 컴퓨터를 이용한 다양한 방식으로 기업 내부 정보는 유출될 수 있다.

최근 들어, 전세계에서 현재 운용되고 있는 전체 네트워크를 통한 정보 보안사고뿐만 아니라 일반 회사의 사내 혹은 지사를 포함하는 한정된 관리 대상 네트워크를 통한 정보 보안사고가 급격하게 증가하고 있으며, 이로 인해 네트워크의 내부 IT 자산(예컨대, 웹 서버, DB 서버 등)에 대한 피해 복구 등과 관련한 손실이 증가하고 있다.

이에 본 발명의 기술적 과제는 이러한 종래의 문제점을 해결하기 위한 것으로, 본 발명의 목적은 사내정보시스템에서 단일 목적에는 충실하지만, 전체 조직의 정보 유통을 감사하기 위한 기능이 존재하지는 않는 개별 보안솔루션의 기능을 활용하여, 개인 별 보안위험지수를 산정하여 비정상적인 정보를 사용하는 행위를 감사할 수 있는 기능과 임계값 조정을 통해 감사의 효율성을 높이기 위한 로그 정보를 이용한 정보보안 감사방법을 제공하는 것이다.

본 발명의 다른 목적은 상기한 정보보안 감사방법을 수행하기 위한 프로그램이 저장된 컴퓨터가 판독가능한 기록매체를 제공하는 것이다.

본 발명의 또 다른 목적은 상기한 정보보안 감사방법을 수행하기 위한 정보보안감사 시스템을 제공하는 것이다.

상기한 본 발명의 목적을 실현하기 위하여 일실시예에 따른 정보보안 감사방법은, (a) 사용자별 시스템 사용내역이 저장된 로그파일에서 추출된 로그 정보를 근거로 상기 로그 정보별 이벤트 표준화 및 연계 분석을 수행하고, 표준화 이벤트를 추출하는 단계와, (b) 추출된 표준화 이벤트가 정보보안감사에 대응하는 평가항목에 포함되면, 상기 평가항목별로 이벤트를 집계하고, 사용자의 시스템을 이용한 활동별 모니터링 항목을 분류하는 단계와, (c) 임계값이 설정됨에 따라, 상기 이벤트별 모니터링 항목에 상기 임계값을 부여하는 단계와, (d) 보안관리자에 의한 보 안위험지수의 설정 요청으로 체크되면, 정보보안감사에 대응하여 사용자별 시스템 이용 항목별 추이분석 및 통계분석을 수행하고, 보안위험지수를 산정하는 단계를 포함한다.

본 발명의 실시예에서, 정보보안 감사방법은 (e) 보안관리자에 의한 임계값 조정이 요청됨에 따라, 평가항목별로 조정된 임계값을 반영한 후, 단계(c)로 피드백하는 단계를 더 포함할 수 있다.

본 발명의 실시예에서, 정보보안 감사방법은 (f) 가중치가 설정됨에 따라, 상기 이벤트별 모니터링 항목에 상기 가중치를 부여하는 단계를 더 포함할 수 있다.

본 발명의 실시예에서, 상기 사용내역이 저장된 로그파일은 구직활동에 따른 웹접속 정보, 업무 및 일반 메일 발송 정보, 저장 및 인쇄의 KMS 정보, 저장 및 인쇄의 EDMS정보, 저장 및 인쇄의 도면관리 정보, USB 저장 정보 및 복호화 정보중 적어도 어느 하나를 포함할 수 있다.

본 발명의 실시예에서, 상기 보안위험지수는 바이어스 감염정보, 사무실보안위반정보, 컴퓨터보안 소프트웨어 미설치 정보, 취업사이트 방문 이력정보, 이력서전송 정보, 사업부 요청정보, 협력업체정보, 보안프로그램 우회자 정보, 정보유출자정보, 부서보안정보, 퇴직예정자 정보 및 인사징계자 정보중 적어도 하나 이상을 근거로 산정될 수 있다.

상기한 본 발명의 다른 목적을 실현하기 위하여 일실시예에 따른 정보보안 감사방법을 수행하기 위한 프로그램이 저장된 컴퓨터가 판독가능한 기록매체는, (a) 사용자별 시스템 사용내역이 저장된 로그파일에서 추출된 로그 정보를 근거로 상기 로그 정보별 이벤트 표준화 및 연계 분석을 수행하고, 표준화 이벤트를 추출하는 과정과, (b) 추출된 표준화 이벤트가 정보보안감사에 대응하는 평가항목에 포함되면, 상기 평가항목별로 이벤트를 집계하고, 사용자의 시스템을 이용한 활동별 모니터링 항목을 분류하는 과정과, (c) 임계값이 설정됨에 따라, 상기 이벤트별 모니터링 항목에 상기 임계값을 부여하는 과정과, (d) 보안관리자에 의한 보안위험지수의 설정 요청으로 체크되면, 정보보안감사에 대응하여 사용자별 시스템 이용 항목별 추이분석 및 통계분석을 수행하고, 보안위험지수를 산정하는 과정을 포함한다.

상기한 본 발명의 또 다른 목적을 실현하기 위하여 일실시예에 따른 정보보안감사 시스템은 사용자별 시스템 사용내역이 저장된 로그파일에서 로그 정보를 수집하는 로그 정보 수집모듈과, 코드테이블 DB에 저장된 로그별 아이디를 추출하여 해당 로그들을 표준화하는 아이디 표준화모듈과, 상기 아이디 표준화모듈에 의해 표준화된 로그 정보를 이벤트별로 추출하는 이벤트 추출모듈과, 상기 이벤트 추출모듈에 의해 추출된 이벤트별 로그 정보에 가중치를 설정하는 가중치 설정모듈과, 이벤트별 초기임계값을 받아 임계값을 설정하는 임계값 설정모듈과, 가중치가 설정된 이벤트에 대응하는 로그 정보들이 임계치를 초과했는지의 여부를 분석하는 임계값 분석모듈과, 이벤트별 또는 로그별 모니터링 항목과 이에 대응하는 평가 항목을 서로 연계시키는 연계 분석모듈과, 상기 연계 분석모듈에 의해 분석된 정보를 근거로 사용자별 또는 이벤트별 보안위험지수를 산정하는 보안위험지수 산정모듈을 포 함한다.

본 발명의 실시예에서, 정보보안감사 시스템은 사용자별 또는 이벤트별, 날짜나 시간별 보안위험지수에 상응하는 정보를 분석하여 보안관리자에 의해 인식이 가능하도록 그래프나 테이블 형태로 표시하는 추이 분석모듈을 더 포함할 수 있다.

본 발명의 실시예에서, 정보보안감사 시스템은 상기 추이분석모듈에서 분석된 보안위험지수에 상응하는 정보를 근거로 임계값이 적정하게 설정되도록 정합시켜 상기 임계값 설정모듈에 제공하는 임계값 정합성 분석모듈을 더 포함할 수 있다.

이러한 정보보안 감사방법, 이를 수행하기 위한 프로그램이 저장된 컴퓨터가 판독가능한 기록매체 및 이를 수행하기 위한 시스템에 의하면, 개별 보안제품의 모니터링 결과를 활용하여 보안이벤트를 표준화하고, 표준화된 데이터를 사용하여 정의된 모니터링 항목 및 평가 항목에 대한 연계분석 및 기본 통계분석을 통해 가공된 기초 데이터에 대해 임계값 및 각 항목별 보안위험 가중치를 적용한 보안위험지수를 산정하고, 산정에 사용되는 임계값을 추이 분석 및 변량의 변화에 대한 추적을 통해 조정할 수 있다.

이하, 첨부한 도면들을 참조하여, 본 발명을 보다 상세하게 설명하고자 한다. 본 발명은 다양한 변경을 가할 수 있고 여러 가지 형태를 가질 수 있는 바, 특정 실시예들을 도면에 예시하고 본문에 상세하게 설명하고자 한다. 그러나, 이는 본 발명을 특정한 개시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다. 각 도면을 설명하면서 유사한 참조부호를 유사한 구성요소에 대해 사용하였다. 제1, 제2 등의 용어는 다양한 구성요소들을 설명하는데 사용될 수 있지만, 상기 구성요소들은 상기 용어들에 의해 한정되어서는 안 된다. 상기 용어들은 하나의 구성요소를 다른 구성요소로부터 구별하는 목적으로만 사용된다. 예를들어, 본 발명의 권리 범위를 벗어나지 않으면서 제1 구성요소는 제2 구성요소로 명명될 수 있고, 유사하게 제2 구성요소도 제1 구성요소로 명명될 수 있다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다.

본 출원에서, "포함하다" 또는 "가지다" 등의 용어는 명세서 상에 기재된 특징, 숫자, 단계, 동작 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부분품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.

도 1은 본 발명의 일실시예에 따른 로그 정보를 이용한 정보보안감사 시스템의 동작을 설명하는 구성도이다.

도 1을 참조하면, 본 발명의 일실시예에 따른 로그 정보를 이용한 정보보안감사 시스템(100)은 사내정보시스템에서 획득된 로그 정보를 저장하는 사용자별 로그DB(200)로부터 추출된 로그 정보를 근거로 보안위험지수를 산정하고, 산정에 필요한 임계값의 조정을 통해 보안관리자의 개입없이 정보사용패턴에 대한 조정 기능 을 통해 보안감사를 수행하고, 수행된 보안감사 정보는 활동별 집계 DB(300)에 저장하도록 프로그래밍된다.

상기 사내정보시스템은 기업보안관리시스템(Enterprise Security Management: ESM)이나, 시스템자원관리시스템(System Management System: SMS), 네트워크관리시스템(Network Management System) 등을 포함할 수 있다. 상기한 사내정보시스템에는 인증된 사용자 PC(600)가 억세스 가능하도록 설계될 수 있다.

상기 사용자별 로그DB(200)는 로그파일 수집부(400)에 의해 이루어질 수 있다. 즉, 상기 로그파일 수집부(400)는 사내정보시스템에 포함될 수 있는 게이트웨이(500) 등에 연결되어, 사용자 PC(600)가 사내정보시스템에 억세스함에 따라, 또는 인터넷 등을 통해 다른 사이트에 방문하거나, 메일을 송수신하는 등의 일련의 동작에 따른 로그 정보를 수집하고, 수집된 로그 정보를 사용자별 로그DB(200)에 저장한다.

본 발명에서 정보보안 감사시 이용되는 로그파일(logfile)에는 사내정보시스템이나 게이트웨이를 통해 이루어지는 모든 작업들에 대한 기록이 저장된다. 사용자 PC(600)가 상기 사내정보시스템에 접속하면, 접속후의 모든 작업들은 상기 사내정보시스템의 미리 정해놓은 위치에 로그파일 형태로 남는다. 즉, 상기 로그파일에는 상기 사내정보시스템이 수행한 작업들에 대한 정보가 포함된다. 이들은 단순히 특정 작업 요청과 성공 여부에 대한 것뿐만 아니라, 해당 특정 작업을 실패했을 경우 그 해결책에 대한 정보도 포함된다.

즉, 상기 로그파일에는 복수의 로그라인들이 저장되고, 상기 로그라인에는 방문자의 접속 인터넷 프로토콜(Internet Protocol, IP), 방문 날짜 및 시간, 방문 페이지 정보, 방문 상태 등의 정보들이 저장된다. 통계와 함께 로그라인 정보를 확인할 필요가 있을 때, 발견된 원본 로그라인은 다른 파일에 저장된다. 이에 따라, 발견횟수와 상기 발견횟수의 근거가 되는 로그라인이 함께 확인될 수 있다. 이러한 정보는 웹사이트를 방문하는 방문자들의 트렌드뿐만 아니라, 발견된 명확한 근거가 필요한 보안분야에서 반드시 필요한 처리이다.

이상에서 설명된 바와 같이, 본 발명에 따른 로그 정보를 이용한 정보보안감사 시스템(100)은 보안위험지수 산출 및 학습을 통한 보안감사 동작을 수행하게 된다. 이러한 보안감사 동작에 의하면, 단일 보안시스템으로는 확인 불가능한 보안정책 위반 시도, 정보 자산의 유출 시도, 보안시스템 우회 시도 등을 보안위험지수를 통해 감사하여 보안사고 예방을 위한 활동을 진행할 수 있다.

또한, 모니터링 활동의 결과물을 이용하여 정책 위반 경고 등의 보안의식 고취 활동을 통해 보안사고를 사전에 방지할 수 있도록 한다. 또한 이미 발생한 보안사고에 대한 추적 및 보안사고 원인을 감사하여 향후 동일 유형의 보안사고가 발생하는 것을 방지할 수 있다.

도 2a는 도 1에 도시된 사용자별 로그DB(200)를 설명하는 블록도이다. 도 2b는 도 1에 도시된 정보보안감사 시스템(100)을 설명하는 블록도이다.

도 2a 및 도 2b를 참조하면, 사용자별 로그 DB(200)는 인사DB(210), 메일사용 DB(220), 웹사용 DB(230), PC 사용 DB(240), VPN 사용 DB(250), 안티바이러스 DB(260), 메신저 DB(270), 정보관리 DB(280) 및 출력 DB(290)를 포함할 수 있다. 도 2a에서는 설명의 편의를 위해 사용자별 로그 DB(200)를 논리적으로 구분하였을 뿐, 하드웨어적으로 구분한 것은 아니다.

상기 인사DB(210)는 사용자별 인사기록 정보를 저장한다. 상기 인사기록 정보는 핵심 인원 여부, 퇴사예정일, 퇴사일, 퇴사사유 등을 포함한다. 예를들어, 핵심 인원으로 기재된 경우나, 퇴사예정일이 기재된 인사기록 등의 경우, 해당 사용자의 각종 네트워크 사용에 있어서 중점 관리 대상이 되어질 수 있다. 상기 인사DB(210)에는 사용자의 동의서가 함께 저장될 수 있다. 즉, 사내시스템을 이용하는데 있어서 관리의 대상이 된다고 하더라도 개인의 사생활에 따른 문제점 등을 제기하지 않는다는 동의서 등이 포함될 수 있다.

상기 메일사용 DB(220)는 사용자별 메일사용에 따른 각종 정보를 저장할 수 있다. 예를들어, 사내정보시스템이나, 게이트웨이 등을 경유하여 발송되는 메일이나, 메일에 첨부된 파일 등이 메일사용 DB(220)에 저장될 수 있다.

상기 웹사용 DB(230)는 사용자별 인터넷 서핑에 따른 각종 정보를 저장할 수 있다. 즉, 인터넷 사용에 따른 방문 사이트 정보, 특정 사이트를 방문하여 체재한 정보 등을 포함할 수 있다.

상기 PC 사용 DB(240)는 사용자별 개인 PC 사용에 따른 각종 정보를 저장할 수 있고, VPN 사용 DB(250)는 사용자별 VPN 사용에 따른 각종 정보를 저장할 수 있으며, 상기 안티바이러스 DB(260)는 사용자별 안티바이러스 사용이나 해제에 따른 각종 정보를 저장할 수 있다.

상기 메신저 DB(270)는 사용자별 메신저 사용에 따른 각종 정보를 저장할 수 있고, 상기 정보관리 DB(280)는 사용자별 위험요소 접근이나 비인가된 사무실의 출입 등에 따른 각종 정보를 저장할 수 있다.

상기 출력 DB(290)는 사용자별 프린트 사용 등에 따른 각종 정보, USB 메모리 등과 같은 이동가능하고 컴퓨터가 판독가능한 기록매체에 파일을 저장하는 등의 각종 정보를 저장할 수 있다.

상기 정보보안감사 시스템(100)은 도 2b에 도시된 바와 같이, 로그 정보 수집모듈(110), 아이디 표준화모듈(115), 코드테이블 DB(120), 이벤트 추출모듈(125), 가중치 설정모듈(130), 임계값 설정모듈(135), 임계값 분석모듈(140), 연계 분석모듈(145) 및 보안위험지수 산정모듈(150)을 포함하고, 사내 시스템에서 발생될 수 있는 정보누설을 방지하기 위해 사용자별 시스템 사용내역이 저장된 로그파일을 근거로 보안위험지수를 반영한다. 도 2b에서는 설명의 편의를 위해 정보보안감사 시스템(100)을 논리적으로 구분하였을 뿐, 하드웨어적으로 구분한 것은 아니다.

상기 로그 정보 수집모듈(110)은 시스템로그 정보를 수집하여 상기 아이디 표준화모듈(115)에 제공한다. 상기 시스템로그 정보는 상기 사용자별 로그 DB(200)에 저장된 각종 사용자별 또는 이벤트별 로그 정보를 포함할 수 있다. 예를들어, 상기 사용내역이 저장된 로그파일은 구직활동에 따른 웹접속 정보, 업무 및 일반 메일 발송 정보, 저장 및 인쇄의 KMS(Knowledge Management System) 정보, 저장 및 인쇄의 EDMS(Electric Document Management) 정보, 저장 및 인쇄의 도면관리 정보, USB 저장 정보 및 복호화 정보 등을 포함할 수 있다.

상기 아이디 표준화모듈(115)은 상기 코드테이블 DB(120)에 저장된 로그별 아이디를 추출하여 해당 로그들을 표준화한다.

상기 이벤트 추출모듈(125)은 아이디 표준화모듈(115)에 의해 표준화된 로그 정보를 이벤트별로 추출한다.

상기 가중치 설정모듈(130)은 이벤트 추출모듈(125)에 의해 추출된 이벤트별 로그 정보에 가중치를 설정한다. 여기서, 설정되는 가중치는 보안관리자의 PC(50)에 의해 실시간으로 가변될 수도 있고, 보안관리자의 PC(50)에 의해 미리 설정된 값일 수도 있다.

상기 임계값 설정모듈(135)은 이벤트별 초기임계값을 받아 상기 임계값 분석모듈(140)에 제공한다.

상기 임계값 분석모듈(140)은 가중치가 설정된 이벤트에 대응하는 로그 정보들이 일정 임계치를 초과했는지 등을 분석한다.

상기 연계 분석모듈(145)은 이벤트별 또는 로그별 모니터링 항목과 이에 대응하는 평가 항목 등을 서로 연계시키는 동작을 수행한다.

상기 보안위험지수 산정모듈(150)은 상기 연계 분석모듈(145)에 의해 이루어진 정보를 근거로 사용자별 또는 이벤트별 보안위험지수를 산정한다. 여기서, 상기 보안위험지수는 바이어스 감염정보, 사무실보안위반정보, 컴퓨터보안 소프트웨어 미설치 정보, 취업사이트 방문 이력정보, 이력서전송 정보, 사업부 요청정보, 협력업체정보, 보안프로그램우회자 정보, 정보유출자정보, 부서보안정보, 퇴직예정자 정보 및 인사징계자 정보를 근거로 산정될 수 있다.

상기 정보보안감사 시스템(100)은 추이 분석모듈(155) 및 임계값 정합성 분석모듈(160)을 더 포함할 수 있다.

상기 추이 분석모듈(155)은 사용자별 또는 이벤트별, 날짜나 시간별 보안위험지수에 상응하는 정보를 분석하여 보안관리자에 의해 인식이 가능하도록 그래프나 테이블 형태로 표시한다. 표시된 보안위험지수에 상응하는 정보는 분석된 시간별로 별도로 저장될 수도 있다.

상기 임계값 정합성 분석모듈(160)은 상기 추이분석모듈(155)에서 분석된 보안위험지수에 상응하는 정보를 근거로 임계값이 적정하게 설정되도록 정합시켜 임계값 설정모듈에 제공한다. 예를들어, 특정 이벤트에 대응하여 사용자의 보안위험지수가 너무 낮거나 높은 경우, 평균치를 근거로 임계값을 높이거나 낮추는 동작을 수행할 수 있다. 또한, 특정 시간동안에는 해당 임계값을 설정하지 않거나 강하하는 등의 동작을 수행할 수도 있다. 이러한 임계값 정합 과정을 통해 보안위험지수가 과도하게 높게 산정되거나 과도하게 낮게 산정되어 불필요하게 정보보안이 강화되는 등의 문제를 방지할 수 있다.

통상적으로, 개별 보안솔루션은 단일 목적에 충실하여 전체 조직의 정보 유통을 감사하기 위한 기능이 존재하지 않는다. 하지만, 본 발명에 따르면, 사용자별 로그 정보를 활용하면서, 각 개별 보안제품의 기능을 활용하여, 개인별 보안위험지수를 산정하여 비정상적인 정보를 사용하는 행위를 감사할 수 있는 기능과 임계값 조정을 통해 감사의 효율성을 높일 수 있다.

도 3은 본 발명에 따라 수행되는 보안위험지수 산정 과정을 설명하는 개념도 이다.

도 3을 참조하면, 이벤트가 추출되어 연계분석이 이루어진 후, 연계분석된 정보를 근거로 모니터링항목 및 평가항목에 대한 분류 동작이 이루어진다.

상기 모니터링 항목에는 정보수집활동에 따른 동작, 정보 전송 동작에 따른 동작, 반출 위반 활동에 따른 동작, 우회 활동에 따른 동작을 포함할 수 있다.

한편, 상기 정보수집 활동에 따른 동작은 도 4에 도시된 바와 같이, 다운로드, 저장매체 이용, 네트워크 등을 포함할 수 있다.

도 4는 도 3의 모니터링 항목에서 정의되는 정보수집 활동을 설명하는 테이블이다.

도 4를 참조하면, 정보수집 활동에 따른 다운로드 항목의 세부항목은 주요 어플리케이션 프로그램에서 보호대상 파일의 정의 항목, 다운로드 통로 관리 항목이 포함될 수 있다. 또한 정보수집 활동에 따른 저장매체 세부항목은 파일 복사/저장 항목, 파일 레코딩 항목 등이 포함될 수 있다. 또한, 정보수집 활동에 따른 저장매체 세부 항목은 파일 복사/저장 항목 등이 포함될 수 있다.

한편, 상기 정보전송 활동에 따른 동작은 도 5에 도시된 바와 같이, 메일전송, 네트워크를 통한 전송 등을 포함할 수 있다.

도 5는 도 3의 모니터링 항목에서 정의되는 정보전송 활동을 설명하는 테이블이다.

도 5를 참조하면, 메일전송 항목은 사내 메일을 통한 정보 전송하는 세부항목, 사외에서 웹 메일을 이용하여 정보를 전송하는 세부항목, 회사의 인터넷 서비 스 홈페이지(동호회 등)를 통한 메일 전송하는 세부 항목 등이 포함될 수 있다. 또한, 네트워크 전송 항목은 게시판을 통한 파일 첨부하는 세부 항목, 웹하드를 이용한 정보 전송하는 세부항목, 파일 전송 모니터링 세부 항목 등을 포함할 수 있다.

한편, 상기 반출 위반 활동에 따른 동작은 도 6에 도시된 바와 같이, 저장매체, 출력물, 출입통제, 보안위반, ID 도용 등을 포함할 수 있다.

도 6은 도 3의 모니터링 항목에서 정의되는 반출 위반 활동을 설명하는 테이블이다.

도 6을 참조하면, 매체 반출 항목은 USB 반출에 대응하는 세부항목, HDD 반출에 대응하는 세부항목, CD/DVD 미디어 반출에 대응하는 세부항목, PC/노트북 반출에 대응하는 세부항목 등을 포함할 수 있다. 또한, 출입 항목은 비인가 사무실 출입시도 세부 항목, 근무시간외 사무실 출입 세부 항목 등을 포함할 수 있다.

한편, 상기 우회 활동에 따른 동작은 도 7에 도시된 바와 같이, PC 보안, 저장, 전송, 보안통제, 파일변경 등을 포함할 수 있다.

도 7은 도 3의 모니터링 항목에서 정의되는 우회 활동을 설명하는 테이블이다.

도 7을 참조하면, PC 우회 항목은 멀티 OS 설치에 대응하는 세부항목, PC 보안프로세스 삭제 시도에 대응하는 세부항목, DOS 사용에 대응하는 세부항목 등을 포함할 수 있다. 또한, 저장우회 항목은 불법 소프트웨어 관리에 대응하는 세부항목, 불법 소프트웨어 설치에 대응하는 세부항목, 중요파일 이름 변경에 대응하는 세부항목 등을 포함할 수 있다.

도 3의 설명으로 환원하면, 분류된 정보들에 대해 항목별 가중치가 반영되고, 가중치가 반영된 항목별 점수 표준화가 이루어진 후, 보안위험지수가 산정된다.

도 8a 및 도 8b는 본 발명의 일실시예에 따른 로그 정보를 이용한 정보보안 감사방법을 설명하는 흐름도들이다.

도 8a 및 도 8b를 참조하면, 사용자별 로그DB에 저장된 로그 정보에서 이벤트를 추출하고, 추출된 이벤트들에 대해 표준화 동작을 수행한다(단계 S100).

이어, 추출된 이벤트들에 대해 표준화 동작을 수행하고, 연계 분석 동작을 수행한다(단계 S102).

이어, 표준화 이벤트를 추출한다(단계 S104).

이어, 추출된 표준화 이벤트가 평가항목에 포함되는지의 여부를 체크하여(단계 S106), 추출된 표준화이벤트가 평가항목에 포함되지 않은 것으로 체크되면 상세 데이터를 저장한다(단계 S108).

단계 S106에서, 추출된 표준화 이벤트가 평가항목에 포함되는 것으로 체크되면 평가항목별로 이벤트를 집계한다(단계 S110).

이어, 활동별 모니터링 항목을 분류하고(단계 S112), 가중치의 설정 여부를 체크한다(단계 S114).

단계 S114에서, 가중치 미설정으로 체크되면 활동별 집계 데이터를 저장한다(단계 S116).

단계 S114에서, 가중치 설정으로 체크되면 이벤트별 모니터링 항목에 가중치 를 부여한다(단계 S118).

이어, 임계값의 설정 여부를 체크한다(단계 S120).

단계 S120에서, 임계값의 설정으로 체크되지 않으면 활동별 집계 데이터를 저장한다(단계 S122).

단계 S120에서, 임계값의 설정으로 체크되면 이벤트별 모니터링 항목에 임계값을 부여한다(단계 S124).

이어, 보안관리자에 의한 보안위험지수의 선정 요청 여부를 체크한다(단계 S126).

단계 S126에서, 보안위험지수의 설정 미요청으로 체크되면 활동별 집계 데이터를 저장한다(단계 S128).

단계 S126에서, 보안위험지수의 설정 요청으로 체크되면 사용자별 추이분석 및 통계분석을 수행하고, 보안위험지수를 산정한다(단계 S130). 상기한 보안위험지수는 예를들어 최종 표준 점수들의 연산을 통해 이루어질 수 있다. 상기한 최종 표준 점수의 산정은 하기하는 도 9에 도시된 바와 같은 테이블 형태로 설명되어질 수 있다.

도 9는 본 발명에 따라 활동별 임계값 및 가중치를 적용한 최종 표준 점수 산정을 설명하는 테이블이다.

도 9를 참조하면, 분류된 항목별로 가중치가 설정되고, 임계범위가 설정되며, 항목에 따른 횟수를 카운트하여 이를 점수화한다. 예를들어, 사용자가 구직사이트에 방문하는 동작은 퇴직의 의사를 갖기 때문에 정보보안의 강도를 높이는 것 이 바람직하고, 경쟁사의 사이트를 방문하는 동작 역시 퇴직후 경쟁사에 취업할 의사가 높기 때문에 정보보안의 강도를 더욱 높이는 것이 바람직하다.

따라서, 구직사이트 방문의 경우, 2라는 가중치를 부여하였고, 경쟁사 사이트를 방문하는 경우, 3이라는 가중치를 부여하였다. 가중치가 부여된 항목에 대해 일정 임계범위를 설정하고, 해당 임계범위내에 동작이 이루어지면 3이라는 최종 표준 점수를 산정하였고, 해당 임계범위를 벗어나는 동작이 이루어지면 5라는 최종 표준 점수를 산정하였다.

이러한 각 항목별 표준 점수는 향후 사용자별로 누적되어 있다가, 정보보안위험지수를 산정할 때 이용될 수 있다.

도 8의 설명으로 환원하여, 단계 S130에서 산정된 보안위험지수의 산정 결과를 보안관리자측에 출력한다(단계 S132). 여기서, 보안관리자측에 출력되는 화면은 하기하는 도 10에 도시된 바와 같은 이미지 형태로 표시될 수 있다.

도 10은 본 발명에 따른 정보보안감사 프로그램에 의한 사용자의 추이분석 팝업 화면의 일례이다.

도 10을 참조하면, 메일 반송 이벤트에 대응하는 보안위반 추이 분석 그래프, 파일의 저장이나 인쇄에 대응하는 보안위반 추이분석 그래프, USB 저장에 대응하는 보안위반 추이 분석 그래프, PC 문서의 출력이나 복호화에 대응하는 보안위반 추이분석 그래프 등이 표시된다.

도 8의 설명으로 환원하여, 보안관리자측에 보안위험지수의 산정 결과를 출력한 후, 보안관리자에 의한 임계값 조정이 요청되는지의 여부를 체크한다(단계 S134). 단계 S134에서, 임계값의 조정으로 체크되지 않으면 종료하고, 임계값의 조정으로 체크되면 평가항목별로 조정된 임계값을 반영한 후(단계 S136), 단계 S120으로 피드백한다.

도 11은 본 발명에 따른 정보보안감사 프로그램에 의한 핵심기술인력의 정보보안활동을 항목별로 모니터링하여 조회된 결과 화면의 일례이다.

도 11을 참조하면, 사용자별 구직활동에 따른 웹접속 정보, 업무 및 일반 메일 발송 정보, 저장 및 인쇄의 KMS(Knowledge Management System) 정보, 저장 및 인쇄의 EDMS(Electric Document Management) 정보, 저장 및 인쇄의 도면관리 정보, USB 저장 정보 및 복호화 정보 등이 표시된다.

화면의 우측 컬럼에는 추이분석팝업을 위한 버튼, 보안위반 징후자의 등록을 위한 버튼, 보안관리자의 확인여부 등록을 위한 체크창이 구비된다.

이상에서는 실시예를 참조하여 설명하였지만, 해당 기술 분야의 숙련된 당업자는 하기의 특허 청구의 범위에 기재된 본 발명의 사상 및 영역으로부터 벗어나지 않는 범위 내에서 본 발명을 다양하게 수정 및 변경시킬 수 있음을 이해할 수 있을 것이다.

이상에서 설명한 바와 같이, 본 발명에 따르면, 보안위험지수를 산정하고 산정에 필요한 임계값을 조정하여 보안관리자의 개입없이 정보 사용 패턴에 대한 조정 기능을 통한 보안감사를 수행할 수 있다.

특히, 개별 보안제품의 모니터링 결과를 활용하여 보안이벤트를 표준화하고, 표준화된 데이터를 사용하여 정의된 모니터링 항목 및 평가 항목에 대한 연계분석 및 기본 통계분석을 통해 가공된 기초 데이터에 대해 임계값 및 각 항목별 보안위험 가중치를 적용한 보안위험지수를 산정하고, 산정에 사용되는 임계값을 추이 분석 및 변량의 변화에 대한 추적을 통해 조정할 수 있다.

도 2a는 도 1에 도시된 사용자별 로그DB를 설명하는 블록도이고, 도 2b는 도 1에 도시된 정보보안감사 시스템을 설명하는 블록도이다.

도 3은 본 발명에 따라 수행되는 보안위험지수 산정 과정을 설명하는 개념도이다.

<도면의 주요부분에 대한 부호의 설명>

100 : 정보보안감사 시스템 110 : 로그 정보 수집모듈

115 : 아이디 표준화모듈 120 : 코드테이블 DB

125 : 이벤트 추출모듈 130 : 가중치 설정모듈

135 : 임계값 설정모듈 140 : 임계값 분석모듈

145 : 연계 분석모듈 150 : 보안위험지수 산정모듈

200 : 사용자별 로그DB 210 : 인사DB

220 : 메일사용 DB 230 : 웹사용 DB

240 : PC 사용 DB 250 : VPN 사용 DB

260 : 안티바이러스 DB 270 : 메신저 DB

280 : 정보관리 DB 290 : 출력 DB

300 : 활동별 집계 DB 400 : 로그파일 수집부

500 : 게이트웨이 600 : 사용자 PC

Claims

(a) 사용자별 시스템 사용내역이 저장된 로그파일에서 추출된 로그 정보를 근거로 상기 로그 정보별 이벤트 표준화 및 연계 분석을 수행하고, 표준화 이벤트를 추출하는 단계;

(b) 추출된 표준화 이벤트가 정보보안감사에 대응하는 평가항목에 포함되면, 상기 평가항목별로 이벤트를 집계하고, 사용자의 시스템을 이용한 활동별 모니터링 항목을 분류하는 단계;

(c) 임계값이 설정됨에 따라, 상기 이벤트별 모니터링 항목에 상기 임계값을 부여하는 단계; 및

(d) 보안관리자에 의한 보안위험지수의 설정 요청으로 체크되면, 정보보안감사에 대응하여 사용자별 시스템 이용 항목별 추이분석 및 통계분석을 수행하고, 보안위험지수를 산정하는 단계를 포함하는 로그 정보를 이용한 정보보안 감사방법.
제1항에 있어서,

(e) 보안관리자에 의한 임계값 조정이 요청됨에 따라, 평가항목별로 조정된 임계값을 반영한 후, 단계(c)로 피드백하는 단계를 더 포함하는 것을 특징으로 하는 로그 정보를 이용한 정보보안 감사방법.
제1항에 있어서,

(f) 가중치가 설정됨에 따라, 상기 이벤트별 모니터링 항목에 상기 가중치를 부여하는 단계를 더 포함하는 것을 특징으로 하는 로그 정보를 이용한 정보보안 감사방법.
제1항에 있어서, 상기 사용내역이 저장된 로그파일은 구직활동에 따른 웹접속 정보, 업무 및 일반 메일 발송 정보, 저장 및 인쇄의 KMS 정보, 저장 및 인쇄의 EDMS정보, 저장 및 인쇄의 도면관리 정보, USB 저장 정보 및 복호화 정보중 적어도 어느 하나를 포함하는 것을 특징으로 하는 로그 정보를 이용한 정보보안 감사방법.
제1항에 있어서, 상기 보안위험지수는 바이어스 감염정보, 사무실보안위반정보, 컴퓨터보안 소프트웨어 미설치 정보, 취업사이트 방문 이력정보, 이력서전송 정보, 사업부 요청정보, 협력업체정보, 보안프로그램우회자 정보, 정보유출자정보, 부서보안정보, 퇴직예정자 정보 및 인사징계자 정보중 적어도 하나 이상을 근거로 산정되는 것을 특징으로 하는 로그 정보를 이용한 정보보안 감사방법.
(a) 사용자별 시스템 사용내역이 저장된 로그파일에서 추출된 로그 정보를 근거로 상기 로그 정보별 이벤트 표준화 및 연계 분석을 수행하고, 표준화 이벤트를 추출하는 과정;

(b) 추출된 표준화 이벤트가 정보보안감사에 대응하는 평가항목에 포함되면, 상기 평가항목별로 이벤트를 집계하고, 사용자의 시스템을 이용한 활동별 모니터링 항목을 분류하는 과정;

(c) 임계값이 설정됨에 따라, 상기 이벤트별 모니터링 항목에 상기 임계값을 부여하는 과정; 및

(d) 보안관리자에 의한 보안위험지수의 설정 요청으로 체크되면, 정보보안감사에 대응하여 사용자별 시스템 이용 항목별 추이분석 및 통계분석을 수행하고, 보안위험지수를 산정하는 과정을 포함하는 로그 정보를 이용한 정보보안 감사방법이 탑재된 컴퓨터가 판독가능한 기록매체.
사용자별 시스템 사용내역이 저장된 로그파일에서 로그 정보를 수집하는 로그 정보 수집모듈;

코드테이블 DB에 저장된 로그별 아이디를 추출하여 해당 로그들을 표준화하는 아이디 표준화모듈;

상기 아이디 표준화모듈에 의해 표준화된 로그 정보를 이벤트별로 추출하는 이벤트 추출모듈;

상기 이벤트 추출모듈에 의해 추출된 이벤트별 로그 정보에 가중치를 설정하는 가중치 설정모듈;

이벤트별 초기임계값을 받아 임계값을 설정하는 임계값 설정모듈;

가중치가 설정된 이벤트에 대응하는 로그 정보들이 임계치를 초과했는지의 여부를 분석하는 임계값 분석모듈;

이벤트별 또는 로그별 모니터링 항목과 이에 대응하는 평가 항목을 서로 연 계시키는 연계 분석모듈; 및

상기 연계 분석모듈에 의해 분석된 정보를 근거로 사용자별 또는 이벤트별 보안위험지수를 산정하는 보안위험지수 산정모듈을 포함하는 로그 정보를 이용한 정보보안감사 시스템.
제7항에 있어서, 사용자별 또는 이벤트별, 날짜나 시간별 보안위험지수에 상응하는 정보를 분석하여 보안관리자에 의해 인식이 가능하도록 그래프나 테이블 형태로 표시하는 추이 분석모듈을 더 포함하는 것을 특징으로 하는 로그 정보를 이용한 정보보안감사 시스템.
제8항에 있어서, 상기 추이분석모듈에서 분석된 보안위험지수에 상응하는 정보를 근거로 임계값이 적정하게 설정되도록 정합시켜 상기 임계값 설정모듈에 제공하는 임계값 정합성 분석모듈을 더 포함하는 것을 특징으로 하는 로그 정보를 이용한 정보보안감사 시스템.
제7항에 있어서, 상기 사용내역이 저장된 로그파일은 구직활동에 따른 웹접속 정보, 업무 및 일반 메일 발송 정보, 저장 및 인쇄의 KMS 정보, 저장 및 인쇄의 EDMS 정보, 저장 및 인쇄의 도면관리 정보, USB 저장 정보 및 복호화 정보중 적어도 어느 하나를 포함하는 것을 특징으로 하는 로그 정보를 이용한 정보보안감사 시스템.
제7항에 있어서, 상기 보안위험지수는 바이어스 감염정보, 사무실보안위반정보, 컴퓨터보안 소프트웨어 미설치 정보, 취업사이트 방문 이력정보, 이력서전송 정보, 사업부 요청정보, 협력업체정보, 보안프로그램우회자 정보, 정보유출자정보, 부서보안정보, 퇴직예정자 정보 및 인사징계자 정보중 적어도 하나 이상을 근거로 산정되는 것을 특징으로 하는 로그 정보를 이용한 정보보안감사 시스템.