KR20100078081A - 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템 및 방법 - Google Patents

커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템 및 방법 Download PDF

Info

Publication number
KR20100078081A
KR20100078081A KR1020080136230A KR20080136230A KR20100078081A KR 20100078081 A KR20100078081 A KR 20100078081A KR 1020080136230 A KR1020080136230 A KR 1020080136230A KR 20080136230 A KR20080136230 A KR 20080136230A KR 20100078081 A KR20100078081 A KR 20100078081A
Authority
KR
South Korea
Prior art keywords
behavior
harmful
monitoring
kernel
data
Prior art date
Application number
KR1020080136230A
Other languages
English (en)
Inventor
김기홍
정가람
정현철
임채태
지승구
노상균
오주형
Original Assignee
(주) 세인트 시큐리티
한국인터넷진흥원
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by (주) 세인트 시큐리티, 한국인터넷진흥원 filed Critical (주) 세인트 시큐리티
Priority to KR1020080136230A priority Critical patent/KR20100078081A/ko
Priority to US12/571,825 priority patent/US20100169973A1/en
Publication of KR20100078081A publication Critical patent/KR20100078081A/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/28—Error detection; Error correction; Monitoring by checking the correct order of processing
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Quality & Reliability (AREA)
  • Debugging And Monitoring (AREA)

Abstract

본 발명은 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템 및 방법에 관한 것으로, 보다 상세하게는 커널 레벨에서 시스템 이벤트를 실시간으로 모니터링하여 수집한 이벤트 데이터로부터 행위 데이터를 구성하고, 구성된 행위 데이터가 사전에 정의된 유해행위에 해당하는지 여부를 판단하여, 유해행위에 해당하는 경우 해당 유해행위의 주체를 역추적하여 처리함으로써 알려지지 않은 악성코드 또는 바이러스에 능동적으로 대응할 수 있도록 하는 기술에 관한 것이다.
Figure P1020080136230
악성코드, 바이러스, 커널, 행위 분석, 유해행위, 실시간 모니터링

Description

커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템 및 방법 {SYSTEM AND METHOD FOR DETECTING UNKNOWN MALICIOUS CODES BY ANALYZING KERNEL BASED SYSTEM EVENTS}
본 발명은 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템 및 방법에 관한 것으로, 보다 상세하게는 커널 레벨에서 시스템 이벤트를 실시간으로 모니터링하여 수집한 이벤트 데이터로부터 행위 데이터를 구성하고, 구성된 행위 데이터가 사전에 정의된 유해행위에 해당하는지 여부를 판단하여, 유해행위에 해당하는 경우 해당 유해행위의 주체를 역추적하여 처리함으로써 알려지지 않은 악성코드 또는 바이러스에 능동적으로 대응할 수 있도록 하는 기술에 관한 것이다.
종래의 악성코드 또는 바이러스 탐지는 주로 파일 기반으로 수행되었다. 즉, 종래에는 악성코드의 탐지를 위해 알려진 모든 악성코드 파일의 패턴 또는 해쉬값 등의 특성을 추출하여 악성코드 데이터베이스에 저장해 두어야 하며, 시스템에 존 재하는 모든 파일의 특성을 추출한 후 이를 악성코드 데이터베이스에 저장된 데이터와 비교하여 양자가 일치하는 경우 해당 파일을 악성코드라고 판단하였다.
이와 같은 종래 기술에 의하면, 악성코드 파일의 특성을 보유하고 있는 경우 해당 악성코드를 빠르고 정확하게 탐지할 수 있다는 장점이 있다. 그러나, 악성코드 파일의 특성을 보유하고 있지 않는 경우, 즉 알려지지 않은 악성코드의 경우에는 탐지 자체가 불가능하며, 기 알려진 악성코드라도 그 변종이 발생되면 동일한 유해행위를 일으키는 악성코드임에도 불구하고 탐지하기 어렵다는 단점이 있다.
또한, 종래 기술에 의하면, 악성코드를 탐지하기 위해 시스템에 존재하는 모든 파일에 대해 개별적으로 검사를 수행해야 하므로 악성코드 탐지 시간이 길어지는 단점이 있다.
특히, 하루에 4천여 개 이상의 변종이 나오는 봇과 같은 악성코드의 경우, 악성코드 탐지를 위해 모든 변종 악성코드 파일의 샘플을 보유하고, 샘플 파일로부터 악성코드 탐지를 위한 파일의 특성을 일일이 추출해야 한다. 따라서, 메모리 효율 및 탐지 효율이 떨어지는 단점이 있다.
따라서 본 발명은 상기와 같은 종래 기술의 문제점을 해결하기 위한 것으로, 커널 레벨에서 시스템 이벤트를 실시간으로 모니터링하여 수집한 이벤트 데이터로부터 행위 데이터를 구성하고, 구성된 행위 데이터가 사전에 정의된 유해행위에 해당하는지 여부를 판단하여, 유해행위에 해당하는 경우 해당 유해행위의 주체를 역추적하여 처리함으로써 알려지지 않은 악성코드 또는 바이러스에 능동적으로 대응할 수 있도록 하는 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템 및 방법을 제공하기 위한 것이다.
상기한 목적을 달성하기 위한 본 발명의 일 실시예에 의한 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템은, 커널 레벨에 설치되어 시스템에서 일어나는 이벤트를 실시간으로 모니터링하여 이벤트 데이터를 수집하는 모니터링 드라이버; 및 상기 모니터링 드라이버에 의해 수집된 이벤트 데이터로부터 행위 데이터를 구성하고, 구성된 행위 데이터가 사전에 정의된 유해행위에 해당하는지 여부를 판단하여, 유해행위에 해당하는 경우 상기 유해행위의 주체를 역추적하여 처리하는 악성코드 탐지 및 처리부를 포함한다.
바람직하게는, 상기 모니터링 드라이버는, 프로세스 관련 이벤트를 모니터링하는 프로세스 모니터링 드라이버; 파일 관련 이벤트를 모니터링하는 파일 모니터 링 드라이버; 레지스트리 관련 이벤트를 모니터링하는 레지스트리 모니터링 드라이버; 네트워크 관련 이벤트를 모니터링하는 네트워크 모니터링 드라이버; 및 프로세스, 파일, 레지스트리 및 네트워크 이외에 기타 시스템 관련 이벤트를 모니터링하는 시스템 모니터링 드라이버 중 하나 이상을 포함한다.
이때, 상기 시스템 모니터링 드라이버는, ReadVirtualMemory 또는 WriteVirtualMemory 시스템 콜(System call) 이벤트를 모니터링하는 것이 바람직하다.
또한, 본 발명의 다른 실시예에 의한 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템은, 기 정의된 유해행위 데이터가 저장된 유해행위 데이터베이스를 더 포함한다.
이때, 상기 악성코드 탐지 및 처리부는, 상기 모니터링 드라이버에 의해 수집된 이벤트 데이터로부터 행위 데이터를 구성하는 행위데이터 구성 모듈; 상기 행위 데이터와 상기 유해행위 데이터베이스에 저장된 유해행위 데이터를 비교하여 상기 행위 데이터가 유해행위에 해당하는지 여부를 판단하는 유해행위 판단 모듈; 및 상기 유해행위 판단 모듈에 의해 유해행위로 판단된 행위의 주체를 역추적하여 처리하는 유해행위 처리 모듈을 포함하도록 구성된다.
또한, 상기 유해행위 처리 모듈은, 유해행위의 차단, 유해행위 주체의 강제 종료, 유해행위를 일으키는 파일의 삭제, 사용자에게 통보 중 하나 이상을 수행하는 것이 바람직하다.
또한, 본 발명의 또 다른 실시예에 의한 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 방법은, 커널 레벨에서 시스템에서 일어나는 이벤트를 실시간으로 모니터링하는 단계; 수집된 이벤트 데이터로부터 행위 데이터를 구성하는 단계; 상기 행위 데이터가 사전에 정의된 유해행위에 해당하는지 여부를 판단하는 단계; 및 유해행위에 해당한다고 판단되는 경우, 유해행위로 판단된 행위의 주체를 역추적하여 처리하는 단계를 포함한다.
이때, 상기 모니터링하는 단계는, 프로세스 관련 이벤트, 파일 관련 이벤트, 레지스트리 관련 이벤트, 네트워크 관련 이벤트 및 기타 시스템 관련 이벤트 중 하나 이상에 대해 수행되는 것이 바람직하다.
또한, 상기 처리하는 단계는, 유해행위의 차단, 유해행위 주체의 강제 종료, 유해행위를 일으키는 파일의 삭제, 사용자에게 통보 중 하나 이상을 수행하는 것이 바람직하다.
본 발명에 의하면, 커널 레벨에서 시스템 이벤트를 실시간으로 모니터링하여 수집한 이벤트 데이터로부터 행위 데이터를 구성하고, 구성된 행위 데이터가 사전에 정의된 유해행위에 해당하는지 여부를 판단함으로써 유해행위를 일으키는 프로세스 또는 모듈을 탐지할 수 있다.
따라서 유해행위에 대해서만 상세히 정의해 놓으면 개별 악성코드 파일의 패 턴이나 해쉬값 등의 특성을 보유하지 않더라도 해당 유해행위를 일으키는 악성코드에 대한 탐지가 가능해진다. 이로써 악성코드의 변종이 나올 때마다 그 샘플을 수집하여 파일의 특성을 추출해야 할 필요가 없어지게 되어, 알려지지 않은 악성코드 또는 바이러스에 대해서도 능동적으로 대응할 수 있게 된다.
이하, 첨부된 도면을 참조하여 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자가 본 발명을 용이하게 실시할 수 있도록 바람직한 실시예를 상세히 설명한다. 다만, 본 발명의 바람직한 실시예를 상세하게 설명함에 있어, 관련된 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략한다. 또한, 유사한 기능 및 작용을 하는 부분에 대해서는 도면 전체에 걸쳐 동일한 부호를 사용한다.
덧붙여, 명세서 전체에서, 어떤 부분이 다른 부분과 '연결'되어 있다고 할 때, 이는 '직접적으로 연결'되어 있는 경우뿐만 아니라, 그 중간에 다른 소자를 사이에 두고 '간접적으로 연결'되어 있는 경우도 포함한다. 또한, 어떤 구성요소를 '포함'한다는 것은, 특별히 반대되는 기재가 없는 한 다른 구성요소를 제외하는 것이 아니라 다른 구성요소를 더 포함할 수 있다는 것을 의미한다.
또한, '모듈'이란 용어는 특정한 기능이나 동작을 수행하는 하나의 단위를 의미하며, 이는 하드웨어 또는 소프트웨어 또는 하드웨어와 소프트웨어의 결합으로 구현될 수 있다.
도 1은 본 발명의 일 실시예에 의한 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템의 구성도로서, 상기 악성코드 탐지 시스템은 모니터링 드라이버(10), 악성코드 탐지 및 처리부(20) 및 유해행위 데이터베이스(30)를 포함하여 구성된다.
모니터링 드라이버(10)는 커널 레벨에 설치되어 시스템에서 일어나는 각종 이벤트를 실시간으로 모니터링하여 이벤트 데이터를 수집하고, 수집한 이벤트 데이터를 악성코드 탐지 및 처리부(20)로 전달한다.
모니터링 드라이버(10)는 프로세스 관련 이벤트를 모니터링하는 프로세스 모니터링 드라이버(11), 파일 관련 이벤트를 모니터링하는 파일 모니터링 드라이버(12), 레지스트리 관련 이벤트를 모니터링하는 레지스트리 모니터링 드라이버(13), 네트워크 관련 이벤트를 모니터링하는 네트워크 모니터링 드라이버(14), 및 프로세스, 파일, 레지스트리 및 네트워크 이외에 기타 시스템 관련 이벤트를 모니터링하는 시스템 모니터링 드라이버(15) 중 하나 이상을 포함하여 구성될 수 있으며, 이때, 상기 각각의 드라이버는 상호 독립적으로 동작하도록 구성된다.
구체적으로, 시스템 모니터링 드라이버(15)는 컴퓨터 시스템을 운영하기 위해서 커널 내부에서 수행되는 시스템 콜(System call) 이벤트를 모니터링 하도록 구성될 수 있다. 예를 들어, ReadVirtualMemory는 하나의 프로세스 A가 다른 프로세스 B의 메모리를 읽으려고 할 때 사용하는 시스템 콜로서, 악성코드가 다른 안티 바이러스 솔루션의 작동 상태 등을 알고자 할 때 호출하는 시스템 내부 함수이므로 모니터링 대상이 되는 것이 바람직하다. 또한, WriteVirtualMemory는 하나의 프로세스 A 가 다른 프로세스 B 의 메모리에 쓰려고 할 때 사용하는 시스템 콜로서, 악성코드가 공격하려고 하는 다른 프로세스의 메모리에 원하는 값을 기록하고자 할 때 호출하는 시스템 내부 함수이므로 모니터링 대상이 되는 것이 바람직하다.
악성코드 탐지 및 처리부(20)는 모니터링 드라이버(10)에 의해 수집된 이벤트 데이터를 전달받아 이로부터 행위 데이터를 구성하고, 구성된 행위 데이터가 사전에 정의된 유해행위에 해당하는지 여부를 판단하여, 유해행위에 해당하는 경우 해당 유해행위의 주체를 역추적하여 처리하는 것으로, 악성코드 탐지 및 처리부(20)는 행위데이터 구성 모듈(21), 유해행위 판단 모듈(22) 및 유해행위 처리 모듈(23)로 구성될 수 있다.
행위데이터 구성 모듈(21)은 모니터링 드라이버(10)로부터 전달받은 이벤트 데이터로부터 행위 데이터를 구성한다. 이때, 행위 데이터는 이벤트 종류, 이벤트 내용 및 데이터로 구성할 수 있다. 다음의 표 1 내지 표 5는 각각 프로세스 관련 이벤트, 파일 관련 이벤트, 레지스트리 관련 이벤트, 네트워크 관련 이벤트 및 기타 시스템 관련 이벤트로부터 구성한 행위 데이터의 구체적인 예를 나타낸다.
이벤트 종류 이벤트 내용 데이터
프로세스 생성 프로세스 경로 정보
프로세스 종료 프로세스 경로 정보
이벤트 종류 이벤트 내용 데이터
파일 생성 파일 경로 정보
파일 쓰기 파일 경로 정보
파일 삭제 파일 경로 정보
파일 수정 파일 경로 정보
이벤트 종류 이벤트 내용 데이터
레지스트리 키 생성 레지스트리 키 경로 정보
레지스트리 키 삭제 레지스트리 키 경로 정보
레지스트리 키 값 생성 레지스트리 키 값 정보
레지스트리 키 값 삭제 레지스트리 키 값 정보
이벤트 종류 이벤트 내용 데이터
네트워크 DNS DNS 요청 정보 (DNS 주소)
네트워크 HTTP HTTP 요청 정보 (웹 서버 주소, 요청 데이터)
네트워크 SOCKET SOCKET 생성 정보 (프로토콜, IP, 포트)
이벤트 종류 이벤트 내용 데이터
ReadVirtualMemory 시스템 콜 호출 각각의 함수 호출 정보
WrtieVirtualMemory 시스템 콜 호출 각각의 함수 호출 정보
LoadLibrary 시스템 콜 호출 각각의 함수 호출 정보
행위데이터 구성 모듈(21)에 의해 상기 표 1 내지 표 5와 같이 구성된 행위 데이터는 커널 메모리에 적재되었다가 유해행위 판단 모듈(22)에 의한 분석이 완료되는 대로 삭제되도록 구성될 수 있다.
유해행위 판단 모듈(22)은 행위데이터 구성 모듈(21)에 의해 구성된 행위 데이터가 사전에 정의된 유해행위, 즉 유해행위 데이터베이스(30)에 기 정의되어 있는 유해행위에 해당하는지 여부를 판단한다. 이를 위해, 유해행위 판단 모듈 (22)은 유해행위 데이터베이스(30)에 저장된 유해행위 데이터를 읽어와서 상기 행위 데이터가 유해행위 데이터를 포함하는지 여부를 판단한다.
유해행위 판단 모듈(22)에 의해 상기 행위 데이터가 유해행위에 해당한다고 판단된 경우, 유해행위 처리 모듈(23)은 상기 유해행위로 판단된 행위의 주체를 역추적하여 처리한다.
구체적으로, 유해행위 처리 모듈(23)은 행위 데이터에 포함된 프로세스 ID로부터 유해행위의 주체를 파악할 수 있다. 유해행위의 주체가 파악되면, 유해행위 처리 모듈(23)은 유해행위 차단, 유해행위 주체(예를 들어, 프로세스, 실행모듈 등)의 강제 종료, 해당 파일 삭제, 사용자에게 통보 등과 같은 조치를 통해 악성코드 탐지에 적절하게 대응할 수 있다.
유해행위 데이터베이스(30)에는 기 정의된 유해행위 데이터가 저장되어 있다. 여기서, 유해행위라 함은 각종 악성코드 또는 바이러스가 일반적으로 수행하는 행위를 표준화시킨 행위를 말하며, 유해행위 데이터는 실제 악성코드 또는 바이러스가 실행될 때 일어나는 커널 레벨의 이벤트를 기반으로 작성된다. 따라서, 유해행위 데이터는 상기 표 1 내지 표 5에 나타난 행위 데이터와 같은 형태로 구성될 수 있다. 또한, 유해행위 데이터는 암호화되어 일반 사용자들이 식별할 수 없는 형태로 구성되는 것이 바람직하다.
도 2는 본 발명의 다른 실시예에 의한 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 과정의 흐름도이다.
우선, 커널 레벨에서 시스템에서 일어나는 각종 이벤트를 실시간으로 모니터링한다(S10). 이때, 모니터링은, 프로세스 관련 이벤트, 파일 관련 이벤트, 레지스트리 관련 이벤트, 네트워크 관련 이벤트 및 기타 시스템 관련 이벤트 중 하나 이상에 대해 수행될 수 있다.
이벤트가 발생하는 경우(S20), 이벤트 데이터를 수집하고(S30), 수집된 이벤트 데이터로부터 행위 데이터를 구성한다(S40). 이때, 행위 데이터의 구성은 상술한 바와 동일한 바, 이에 대한 구체적인 설명은 생략한다.
이후, 상기 이벤트 데이터로부터 구성된 행위 데이터가 사전에 정의된 유해행위에 해당하는지 여부를 판단하여(S50), 유해행위에 해당한다고 판단될 경우 유해행위로 판단된 행위의 주체를 역추적하여 처리한다(S60).
구체적으로, 유해행위의 주체는 상기 행위 데이터에 포함된 프로세스 ID를 이용하여 파악하며, 유해행위의 주체가 파악되면, 유해행위 차단, 유해행위 주체(예를 들어, 프로세스, 실행모듈 등)의 강제 종료, 해당 파일 삭제, 사용자에게 통보 등과 같은 조치를 통해 악성코드 탐지에 적절하게 대응할 수 있다.
본 발명은 전술한 실시예 및 첨부된 도면에 의해 한정되는 것이 아니다. 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 있어, 본 발명의 기술적 사상을 벗어나지 않는 범위 내에서 본 발명에 따른 구성요소를 치환, 변형 및 변경할 수 있다는 것이 명백할 것이다.
도 1은 본 발명의 일 실시예에 의한 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템의 구성도, 그리고
도 2는 본 발명의 다른 실시예에 의한 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 과정의 흐름도이다.
*도면의 주요 부분에 대한 부호의 설명*
10: 모니터링 드라이버
20: 악성코드 탐지 및 처리부
30: 유해행위 데이터베이스

Claims (9)

  1. 커널 레벨에 설치되어 시스템에서 일어나는 이벤트를 실시간으로 모니터링하여 이벤트 데이터를 수집하는 모니터링 드라이버; 및
    상기 모니터링 드라이버에 의해 수집된 이벤트 데이터로부터 행위 데이터를 구성하고, 구성된 행위 데이터가 사전에 정의된 유해행위에 해당하는지 여부를 판단하여, 유해행위에 해당하는 경우 상기 유해행위의 주체를 역추적하여 처리하는 악성코드 탐지 및 처리부를 포함하는 것을 특징으로 하는 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템.
  2. 제 1 항에 있어서, 상기 모니터링 드라이버는
    프로세스 관련 이벤트를 모니터링하는 프로세스 모니터링 드라이버;
    파일 관련 이벤트를 모니터링하는 파일 모니터링 드라이버;
    레지스트리 관련 이벤트를 모니터링하는 레지스트리 모니터링 드라이버;
    네트워크 관련 이벤트를 모니터링하는 네트워크 모니터링 드라이버; 및
    프로세스, 파일, 레지스트리 및 네트워크 이외에 기타 시스템 관련 이벤트를 모니터링하는 시스템 모니터링 드라이버 중 하나 이상을 포함하는 것을 특징으로 하는 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템.
  3. 제 2 항에 있어서, 상기 시스템 모니터링 드라이버는
    ReadVirtualMemory 또는 WriteVirtualMemory 시스템 콜(System call) 이벤트를 모니터링하는 것을 특징으로 하는 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템.
  4. 제 1 항에 있어서,
    기 정의된 유해행위 데이터가 저장된 유해행위 데이터베이스를 더 포함하는 것을 특징으로 하는 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템.
  5. 제 4 항에 있어서, 상기 악성코드 탐지 및 처리부는
    상기 모니터링 드라이버에 의해 수집된 이벤트 데이터로부터 행위 데이터를 구성하는 행위데이터 구성 모듈;
    상기 행위 데이터와 상기 유해행위 데이터베이스에 저장된 유해행위 데이터를 비교하여 상기 행위 데이터가 유해행위에 해당하는지 여부를 판단하는 유해행위 판단 모듈; 및
    상기 유해행위 판단 모듈에 의해 유해행위로 판단된 행위의 주체를 역추적하 여 처리하는 유해행위 처리 모듈을 포함하는 것을 특징으로 하는 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템.
  6. 제 5 항에 있어서, 상기 유해행위 처리 모듈은
    유해행위의 차단, 유해행위 주체의 강제 종료, 유해행위를 일으키는 파일의 삭제, 사용자에게 통보 중 하나 이상을 수행하는 것을 특징으로 하는 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템.
  7. 커널 레벨에서 시스템에서 일어나는 이벤트를 실시간으로 모니터링하는 단계;
    수집된 이벤트 데이터로부터 행위 데이터를 구성하는 단계;
    상기 행위 데이터가 사전에 정의된 유해행위에 해당하는지 여부를 판단하는 단계;
    유해행위에 해당한다고 판단되는 경우, 유해행위로 판단된 행위의 주체를 역추적하여 처리하는 단계를 포함하는 것을 특징으로 하는 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 방법.
  8. 제 7 항에 있어서, 상기 모니터링하는 단계는
    프로세스 관련 이벤트, 파일 관련 이벤트, 레지스트리 관련 이벤트, 네트워크 관련 이벤트 및 기타 시스템 관련 이벤트 중 하나 이상에 대해 수행되는 것을 특징으로 하는 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 방법.
  9. 제 7 항에 있어서, 상기 처리하는 단계는
    유해행위의 차단, 유해행위 주체의 강제 종료, 유해행위를 일으키는 파일의 삭제, 사용자에게 통보 중 하나 이상을 수행하는 것을 특징으로 하는 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 방법.
KR1020080136230A 2008-12-30 2008-12-30 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템 및 방법 KR20100078081A (ko)

Priority Applications (2)

Application Number Priority Date Filing Date Title
KR1020080136230A KR20100078081A (ko) 2008-12-30 2008-12-30 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템 및 방법
US12/571,825 US20100169973A1 (en) 2008-12-30 2009-10-01 System and Method For Detecting Unknown Malicious Code By Analyzing Kernel Based System Actions

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020080136230A KR20100078081A (ko) 2008-12-30 2008-12-30 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템 및 방법

Publications (1)

Publication Number Publication Date
KR20100078081A true KR20100078081A (ko) 2010-07-08

Family

ID=42286557

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020080136230A KR20100078081A (ko) 2008-12-30 2008-12-30 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템 및 방법

Country Status (2)

Country Link
US (1) US20100169973A1 (ko)
KR (1) KR20100078081A (ko)

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012176978A2 (ko) * 2011-06-23 2012-12-27 (주)잉카인터넷 네트워크 접근 제어시스템 및 방법
KR101223594B1 (ko) * 2011-01-28 2013-01-17 한남대학교 산학협력단 Ｌｋｍ 루트킷 검출을 통한 실시간 운영정보 백업 방법 및 그 기록매체
WO2014062252A1 (en) * 2012-10-19 2014-04-24 Mcafee, Inc. Secure disk access control
KR101431192B1 (ko) * 2013-03-28 2014-08-19 한신대학교 산학협력단 모바일 단말의 루팅 공격 이벤트 검출 방법
KR101446280B1 (ko) * 2013-03-26 2014-10-01 건국대학교 산학협력단 인터미디어트 드라이버를 이용한 변종 악성코드 탐지 및 차단 시스템 및 그 방법
KR101453357B1 (ko) * 2012-09-18 2014-10-21 에스케이텔레콤 주식회사 휴대 단말에서의 악성코드 진단 및 제거 방법과 그 장치
WO2015053906A1 (en) * 2013-10-08 2015-04-16 Crowdstrick, Inc. Event model for correlating system component states
KR20150091716A (ko) * 2014-02-03 2015-08-12 한국전자통신연구원 수집된 이벤트 정보 기반 악성코드 탐지 장치 및 방법
KR20160031590A (ko) * 2014-09-12 2016-03-23 고려대학교 산학협력단 악성 앱 분류 장치 및 악성 앱 분류 방법
KR101676366B1 (ko) * 2016-06-23 2016-11-15 국방과학연구소 사이버 공격 대응을 위한 악성코드 침해 경로 및 행위 추적을 수행하는 침해 공격 추적 시스템 및 방법
KR101710918B1 (ko) * 2015-11-30 2017-02-28 (주)이스트소프트 사용자파일을 암호화하는 악성코드의 모니터링 장치 및 방법
KR20180065535A (ko) 2016-12-08 2018-06-18 동국대학교 산학협력단 커널 루트킷 탐지 시스템 및 방법
KR20210078396A (ko) * 2019-12-18 2021-06-28 주식회사 쏘마 컴퓨터 내 행위 이벤트 축약 방법

Families Citing this family (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7565697B2 (en) * 2000-09-22 2009-07-21 Ecd Systems, Inc. Systems and methods for preventing unauthorized use of digital content
US9043903B2 (en) 2012-06-08 2015-05-26 Crowdstrike, Inc. Kernel-level security agent
US9292881B2 (en) 2012-06-29 2016-03-22 Crowdstrike, Inc. Social sharing of security information in a group
US9104864B2 (en) 2012-10-24 2015-08-11 Sophos Limited Threat detection through the accumulated detection of threat characteristics
US10409980B2 (en) 2012-12-27 2019-09-10 Crowdstrike, Inc. Real-time representation of security-relevant system state
WO2014158151A1 (en) * 2013-03-27 2014-10-02 Intel Corporation Method and system for detecting concurrency programming errors in kernel modules and device drivers
US20150222646A1 (en) 2014-01-31 2015-08-06 Crowdstrike, Inc. Tagging Security-Relevant System Objects
US10289405B2 (en) 2014-03-20 2019-05-14 Crowdstrike, Inc. Integrity assurance and rebootless updating during runtime
US9798882B2 (en) 2014-06-06 2017-10-24 Crowdstrike, Inc. Real-time model of states of monitored devices
US11507663B2 (en) 2014-08-11 2022-11-22 Sentinel Labs Israel Ltd. Method of remediating operations performed by a program and system thereof
US10102374B1 (en) 2014-08-11 2018-10-16 Sentinel Labs Israel Ltd. Method of remediating a program and system thereof by undoing operations
US9710648B2 (en) * 2014-08-11 2017-07-18 Sentinel Labs Israel Ltd. Method of malware detection and system thereof
US20160164917A1 (en) 2014-12-03 2016-06-09 Phantom Cyber Corporation Action recommendations for computing assets based on enrichment information
US10339316B2 (en) 2015-07-28 2019-07-02 Crowdstrike, Inc. Integrity assurance through early loading in the boot phase
RU2638710C1 (ru) * 2016-10-10 2017-12-15 Акционерное общество "Лаборатория Касперского" Способы обнаружения вредоносных элементов веб-страниц
US11695800B2 (en) 2016-12-19 2023-07-04 SentinelOne, Inc. Deceiving attackers accessing network data
US11616812B2 (en) 2016-12-19 2023-03-28 Attivo Networks Inc. Deceiving attackers accessing active directory data
US10387228B2 (en) 2017-02-21 2019-08-20 Crowdstrike, Inc. Symmetric bridge component for communications between kernel mode and user mode
JP2020530922A (ja) 2017-08-08 2020-10-29 センチネル ラボ, インコーポレイテッドSentinel Labs, Inc. エッジネットワーキングのエンドポイントを動的にモデリングおよびグループ化する方法、システム、およびデバイス
US10740459B2 (en) 2017-12-28 2020-08-11 Crowdstrike, Inc. Kernel- and user-level cooperative security processing
US11470115B2 (en) 2018-02-09 2022-10-11 Attivo Networks, Inc. Implementing decoys in a network environment
US10757093B1 (en) * 2018-08-31 2020-08-25 Splunk Inc. Identification of runtime credential requirements
US10853478B1 (en) 2018-08-31 2020-12-01 Splunk Inc. Encrypted storage and provision of authentication information for use when responding to an information technology incident
WO2020100307A1 (ja) * 2018-11-16 2020-05-22 三菱電機株式会社 攻撃検知装置、攻撃検知方法、および攻撃検知プログラム
US10762200B1 (en) 2019-05-20 2020-09-01 Sentinel Labs Israel Ltd. Systems and methods for executable code detection, automatic feature extraction and position independent code detection
US11579857B2 (en) 2020-12-16 2023-02-14 Sentinel Labs Israel Ltd. Systems, methods and devices for device fingerprinting and automatic deployment of software in a computing network using a peer-to-peer approach
US11899782B1 (en) 2021-07-13 2024-02-13 SentinelOne, Inc. Preserving DLL hooks

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100456635B1 (ko) * 2002-11-14 2004-11-10 한국전자통신연구원 분산 서비스 거부 공격 대응 시스템 및 방법
US7617534B1 (en) * 2005-08-26 2009-11-10 Symantec Corporation Detection of SYSENTER/SYSCALL hijacking
US7483978B2 (en) * 2006-05-15 2009-01-27 Computer Associates Think, Inc. Providing a unified user interface for managing a plurality of heterogeneous computing environments
US7870612B2 (en) * 2006-09-11 2011-01-11 Fujian Eastern Micropoint Info-Tech Co., Ltd Antivirus protection system and method for computers

Cited By (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101223594B1 (ko) * 2011-01-28 2013-01-17 한남대학교 산학협력단 Ｌｋｍ 루트킷 검출을 통한 실시간 운영정보 백업 방법 및 그 기록매체
WO2012176978A3 (ko) * 2011-06-23 2013-02-14 (주)잉카인터넷 네트워크 접근 제어시스템 및 방법
WO2012176978A2 (ko) * 2011-06-23 2012-12-27 (주)잉카인터넷 네트워크 접근 제어시스템 및 방법
US9246937B2 (en) 2011-06-23 2016-01-26 Inca Internet Co., Ltd. Network access control system and method
KR101453357B1 (ko) * 2012-09-18 2014-10-21 에스케이텔레콤 주식회사 휴대 단말에서의 악성코드 진단 및 제거 방법과 그 장치
US9672374B2 (en) 2012-10-19 2017-06-06 Mcafee, Inc. Secure disk access control
CN104662552B (zh) * 2012-10-19 2017-12-12 迈克菲股份有限公司 安全的盘访问控制
CN104662552A (zh) * 2012-10-19 2015-05-27 迈克菲股份有限公司 安全的盘访问控制
US11270015B2 (en) 2012-10-19 2022-03-08 Mcafee, Llc Secure disk access control
WO2014062252A1 (en) * 2012-10-19 2014-04-24 Mcafee, Inc. Secure disk access control
US10360398B2 (en) 2012-10-19 2019-07-23 Mcafee, Llc Secure disk access control
KR101446280B1 (ko) * 2013-03-26 2014-10-01 건국대학교 산학협력단 인터미디어트 드라이버를 이용한 변종 악성코드 탐지 및 차단 시스템 및 그 방법
KR101431192B1 (ko) * 2013-03-28 2014-08-19 한신대학교 산학협력단 모바일 단말의 루팅 공격 이벤트 검출 방법
WO2015053906A1 (en) * 2013-10-08 2015-04-16 Crowdstrick, Inc. Event model for correlating system component states
US9477835B2 (en) 2013-10-08 2016-10-25 Crowdstrike, Inc. Event model for correlating system component states
KR20150091716A (ko) * 2014-02-03 2015-08-12 한국전자통신연구원 수집된 이벤트 정보 기반 악성코드 탐지 장치 및 방법
KR20160031590A (ko) * 2014-09-12 2016-03-23 고려대학교 산학협력단 악성 앱 분류 장치 및 악성 앱 분류 방법
KR101710918B1 (ko) * 2015-11-30 2017-02-28 (주)이스트소프트 사용자파일을 암호화하는 악성코드의 모니터링 장치 및 방법
WO2017094990A1 (ko) * 2015-11-30 2017-06-08 (주)이스트소프트 사용자파일을 암호화하는 악성코드의 모니터링 장치 및 방법
US10097569B2 (en) 2016-06-23 2018-10-09 Agency For Defense Development System and method for tracking malware route and behavior for defending against cyberattacks
KR101676366B1 (ko) * 2016-06-23 2016-11-15 국방과학연구소 사이버 공격 대응을 위한 악성코드 침해 경로 및 행위 추적을 수행하는 침해 공격 추적 시스템 및 방법
KR20180065535A (ko) 2016-12-08 2018-06-18 동국대학교 산학협력단 커널 루트킷 탐지 시스템 및 방법
KR20210078396A (ko) * 2019-12-18 2021-06-28 주식회사 쏘마 컴퓨터 내 행위 이벤트 축약 방법

Also Published As

Publication number Publication date
US20100169973A1 (en) 2010-07-01

Similar Documents

Publication Publication Date Title
KR20100078081A (ko) 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템 및 방법
CN108881294B (zh) 基于网络攻击行为的攻击源ip画像生成方法以及装置
US9979742B2 (en) Identifying anomalous messages
EP2893447B1 (en) Systems and methods for automated memory and thread execution anomaly detection in a computer network
US8516573B1 (en) Method and apparatus for port scan detection in a network
CN109586282B (zh) 一种电网未知威胁检测系统及方法
US10122738B2 (en) Botnet detection system and method
CN111651757A (zh) 攻击行为的监测方法、装置、设备及存储介质
JP2007334536A (ja) マルウェアの挙動解析システム
JP6656211B2 (ja) 情報処理装置、情報処理方法及び情報処理プログラム
KR101132197B1 (ko) 악성 코드 자동 판별 장치 및 방법
US10091225B2 (en) Network monitoring method and network monitoring device
JP4705961B2 (ja) ウィルス被害範囲予測システム
US10515213B2 (en) Detecting malware by monitoring execution of a configured process
CN112818307B (zh) 用户操作处理方法、系统、设备及计算机可读存储介质
US20190044965A1 (en) Systems and methods for discriminating between human and non-human interactions with computing devices on a computer network
KR100991807B1 (ko) 마이크로소프트 윈도우 운영체제를 사용하는 컴퓨터시스템에서의 악성코드 탐지 및 처리 시스템 및 방법
JP2020149390A (ja) サイバー攻撃検知装置
JP6864610B2 (ja) 特定システム、特定方法及び特定プログラム
CN112784268A (zh) 一种主机行为数据的分析方法、装置、设备及存储介质
JP2016535365A (ja) コンピュータネットワークにおけるルートキット検出
JP5437977B2 (ja) 解析システム、解析装置、解析方法及び解析プログラム
Liu et al. A system call analysis method with mapreduce for malware detection
Engelberth et al. The inmas approach
JP2010134536A (ja) パタンファイル更新システム、パタンファイル更新方法、及びパタンファイル更新プログラム

Legal Events

Date Code Title Description
A201 Request for examination
N231 Notification of change of applicant
E902 Notification of reason for refusal
E601 Decision to refuse application