KR20220089459A - 보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법 - Google Patents
보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법 Download PDFInfo
- Publication number
- KR20220089459A KR20220089459A KR1020200180096A KR20200180096A KR20220089459A KR 20220089459 A KR20220089459 A KR 20220089459A KR 1020200180096 A KR1020200180096 A KR 1020200180096A KR 20200180096 A KR20200180096 A KR 20200180096A KR 20220089459 A KR20220089459 A KR 20220089459A
- Authority
- KR
- South Korea
- Prior art keywords
- information
- security
- inspection
- security threat
- Prior art date
Links
- 238000000034 method Methods 0.000 title claims abstract description 153
- 238000007689 inspection Methods 0.000 claims abstract description 183
- 230000008569 process Effects 0.000 claims abstract description 117
- 238000012545 processing Methods 0.000 claims abstract description 95
- 238000004458 analytical method Methods 0.000 claims abstract description 61
- 230000002159 abnormal effect Effects 0.000 claims description 26
- 238000012360 testing method Methods 0.000 claims description 9
- 238000001784 detoxification Methods 0.000 claims description 7
- 238000007726 management method Methods 0.000 description 29
- 238000004891 communication Methods 0.000 description 16
- 230000006870 function Effects 0.000 description 16
- 230000005540 biological transmission Effects 0.000 description 9
- 238000010586 diagram Methods 0.000 description 9
- 238000005516 engineering process Methods 0.000 description 9
- 230000000903 blocking effect Effects 0.000 description 8
- 238000000682 scanning probe acoustic microscopy Methods 0.000 description 6
- 208000015181 infectious disease Diseases 0.000 description 4
- 230000004044 response Effects 0.000 description 4
- 238000010295 mobile communication Methods 0.000 description 3
- 238000012384 transportation and delivery Methods 0.000 description 3
- 238000012795 verification Methods 0.000 description 3
- 230000008901 benefit Effects 0.000 description 2
- 230000006866 deterioration Effects 0.000 description 2
- 238000010191 image analysis Methods 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000011017 operating method Methods 0.000 description 2
- 230000002265 prevention Effects 0.000 description 2
- 230000007704 transition Effects 0.000 description 2
- 230000005856 abnormality Effects 0.000 description 1
- 230000009471 action Effects 0.000 description 1
- 238000013473 artificial intelligence Methods 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 238000006243 chemical reaction Methods 0.000 description 1
- 238000012790 confirmation Methods 0.000 description 1
- 238000013500 data storage Methods 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 238000003745 diagnosis Methods 0.000 description 1
- 238000001914 filtration Methods 0.000 description 1
- ZXQYGBMAQZUVMI-GCMPRSNUSA-N gamma-cyhalothrin Chemical compound CC1(C)[C@@H](\C=C(/Cl)C(F)(F)F)[C@H]1C(=O)O[C@H](C#N)C1=CC=CC(OC=2C=CC=CC=2)=C1 ZXQYGBMAQZUVMI-GCMPRSNUSA-N 0.000 description 1
- 230000001939 inductive effect Effects 0.000 description 1
- 230000010365 information processing Effects 0.000 description 1
- 238000010606 normalization Methods 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 238000003672 processing method Methods 0.000 description 1
- 238000013468 resource allocation Methods 0.000 description 1
- 230000002194 synthesizing effect Effects 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L51/00—User-to-user messaging in packet-switching networks, transmitted according to store-and-forward or real-time protocols, e.g. e-mail
- H04L51/21—Monitoring or handling of messages
- H04L51/212—Monitoring or handling of messages using filtering or selective blocking
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
-
- G06Q50/32—
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q50/00—Information and communication technology [ICT] specially adapted for implementation of business processes of specific business sectors, e.g. utilities or tourism
- G06Q50/60—Business processes related to postal services
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L51/00—User-to-user messaging in packet-switching networks, transmitted according to store-and-forward or real-time protocols, e.g. e-mail
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1433—Vulnerability analysis
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computing Systems (AREA)
- Theoretical Computer Science (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Software Systems (AREA)
- General Physics & Mathematics (AREA)
- Physics & Mathematics (AREA)
- Business, Economics & Management (AREA)
- Virology (AREA)
- Human Resources & Organizations (AREA)
- Marketing (AREA)
- Primary Health Care (AREA)
- Strategic Management (AREA)
- Tourism & Hospitality (AREA)
- General Business, Economics & Management (AREA)
- Economics (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Information Transfer Between Computers (AREA)
Abstract
본 발명의 실시 예에 따른 이메일 보안 서비스 제공 장치의 동작 방법에 있어서, 하나 이상의 사용자단말 간 송수신되는 메일정보를 수집하는 수집단계; 사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭을 처리하고, 상기 매칭 처리된 메일보안 프로세스에 의해 상기 메일정보를 검사하며, 상기 검사결과에 따른 메일보안 검사정보를 저장 및 관리하는 보안위협 검사단계; 상기 메일보안 검사정보 및 상기 메일정보 분석을 통해 획득되는 보안위협 판별정보에 따라 메일 상태를 처리하는 메일 처리단계; 및 상기 보안위협 판별정보에 따라 처리된 상기 메일정보를 레코드정보로 저장하고 관리하는 레코드 관리단계;를 포함한다.
Description
본 발명은 이메일 보안 서비스 제공 장치 및 그 동작 방법에 관한 것으로, 보다 상세하게는 이메일을 통한 악성 코드 감염, 사회공학적 해킹 등의 사이버 위협을 탐지하고 차단할 수 있는 보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법에 관한 것이다.
오늘날의 사회는 전세계적으로 컴퓨터와 정보통신기술의 발전으로 사회 생활의 전 분야에 걸쳐 사이버 의존도가 높아지고 있고 이는 더욱 더 가속화되는 추세에 있다. 근래에는 초고속, 초저지연, 초연결성을 지닌 5G 이동통신이 상용화되고 이를 기반으로 한 새로운 서비스가 등장하면서 사이버보안은 더욱 중요해지고 있다.
사물인터넷(IoT), 클라우드 시스템, 빅데이터, 인공지능(AI) 등의 기술분야는 정보통신기술과 결합하여 새로운 서비스 환경을 제공하고 있다. 이같은 서비스를 제공하는 시스템은 인터넷망 무선망 등을 통하여 PC 또는 휴대용 단말장치 등과 연결되어 실생활에서 이용될 수 있다.
이와 같이 다양한 단말장치 또는 통신기기와 연결되는 정보통신기술이 실생활과 더욱 밀접해지면서, 이를 이용하여 악의적인 의도를 가진 사이버 보안 위협이 나날이 증가하고 있다. 정교화되고 고도화된 사이버 보안 위협은 단체나 기관, 개인의 정보통신 단말장치의 이상 실행을 발생기키거나 관리정보의 위변조를 통한 사람의 실수를 유도하여 정보를 탈취하고 훼손하는 등의 피해를 입힐 수 있다. 또한 사이버 보안 위협을 통해 불법적으로 탈취된 정보는 금전 사기 범죄나 다른 경제적, 사회적 범죄를 저지르는데 이용될 수 있다.
사이버 보안 위협을 차단하고 대응하기 위하여 시스템화된 정보통신기술을 보호하고 관리되는 정보보호시스템이 활용될 수 있다. 정보보호시스템은 다양한 사이버 위협에 대응될 수 있도록 정보통신기술의 시스템 유형 또는 기술 특징에 따라 구축될 수 있고 단계별로 적용될 수 있다.
정보통신기술에서 활용되고 있는 이메일 시스템은 컴퓨터 단말을 통해 이용자 간 통신 회선을 이용하여 메시지를 주고 받을 수 있도록 내용 본문을 포함하는 전자우편물 서비스를 제공할 수 있다. 이 때, 이메일은 공유하고자 하는 내용을 포함하는 전자파일을 첨부할 수 있고 또는 웹사이트 연결 링크(URL; Uniform Resource Locator)를 본문에 기재하거나 첨부파일 내에 삽입할 수 있다.
이같이 이메일 시스템을 통해서 악의적인 의도를 가지고 악성 코드를 포함하는 실행 가능한 전자파일이 첨부되거나 특정 웹 사이트로 연결될 수 있는 URL이 삽입될 수 있다. 이를 통해, 이메일 수신자로 하여금 악성 코드를 실행시키거나 삽입된 URL을 통해 위변조된 웹사이트에 접속함으로써 사용자가 의도하지 않는 정보 처리가 수행되고 정보를 탈취당할 수 있다.
이같이 경제적, 사회적 피해를 유발할 수 있고 다양한 범죄와 연결될 수 있는 이메일 보안 위협에 대응하기 위하여 대한민국 등록특허 제10-1595379호와 같이 '악성코드가 첨부된 전자메일의 통제 및 차단 시스템'이 개시되어 있다. 상기 등록특허에는 외부의 서버 또는 단말기로부터 발송된 전자메일이 방화벽과, 스팸차단 소프트웨어가 내장되어 있는 스팸차단장치를 경유하여 전송되어 오면 대상시스템에서 전자메일을 수신하는 기능과, 상기 전자메일을 대상시스템에서 첨부파일이 있는지 여부를 확인하는데, 첨부파일이 없으면 대상시스템에서 메일서버로 상기 전자메일을 전송하고, 첨부파일이 있으면 사용자 업무 목적에 가장 많이 사용하는 첨부파일의 Type(문서, 압축, 이미지) 이외에는 상기 전자메일을 차단하여 악성코드 감염을 사전 방지하는 기능과, 첨부 파일 Type이 이미지인 경우에는 이미지는 변환이 불가능하므로 악성코드 감염이 불가하여 대상시스템에서 메일서버로 상기 전자메일을 전송하고, 첨부 파일 Type이 문서인 경우에는 수정이 불가능한 형태의 PDF로 문서를 변환하여 문서내부에 악성코드가 반영된 URL등을 메일 수신자가 클릭하여 사용자 단말기에 악성코드 감염되는 경우를 사전에 차단하는 방식으로 대상시스템에서 사용자단말기로 전자메일, 메신저, 모바일, 카카오톡 중에서 단수 또는 복수개로 선택하여 알림메일을 전송하는 기능과, 첨부 파일 Type이 압축 파일인 경우에는 먼저 압축을 해제하여 파일의 Type 분석하고 이미지인 경우에는 상기 방식으로 처리하고, 문서인 경우에는 PDF로 변환하여 상기 방식으로 처리하고, 실행파일인 경우에는 여러 종류의 악성코드 치료 솔루션이 탑재된 Virtual BOX에서 악성코드 감염 검사 및 치료를 실시하고 결과를 포함하는 알림메일을 전자메일, 메신저, 모바일, 카카오톡 중에서 단수 또는 복수개로 선택하여 대상시스템에서 메일서버로 알림처리를 전송하는 기능과, 대상시스템에서 실행 파일 이외에 악성코드 검사가 필요한 첨부 파일을 Virtual BOX로 전달하여 악성코드 검사 및 치료를 처리하고 그 결과를 다시 대상시스템에 전달하여 처리하는 기능을 갖는 대상시스템과; 상기 대상시스템으로부터 실행파일을 수신하는 Virtual BOX는 별도의 시스템으로 가상화 환경을 구성하고 여러종류의 악성코드 치료 솔루션을 탑재하여 실행파일 속에 숨겨진 악성코드 검사 및 치료를 처리하고 그 결과를 다시 대상시스템에 전달하여 주고, 검사 이전의 환경으로 원상복구 처리하는 Virtual BOX와; 상기 대상시스템으로부터 전자메일(알림 메일 포함)을 수신하고 사용자 단말기로 전자메일(알림 메일 포함)을 전달하는 기능을 갖는 메일서버와; 상기 대상시스템으로부터 알림 메일을 수신시 사용자가 알림 메일 확인을 통해서 원본 전자메일의 허용 또는 거부를 선택하는 기능과, 상기 수신된 전자메일을 로그인한 다음 확인하는 기능을 갖는 사용자단말기;를 포함하는 악성코드가 첨부된 전자메일의 통제 및 차단 시스템에 대하여 기술되어 있다.
그러나 이 같은 악성코드가 첨부된 전자메일의 통제 및 차단 시스템은 이메일의 수신측면에서의 대응 시스템으로 국한되어 있고 이외, 이메일의 발신측면과 함께 이메일의 관리시스템 내부측면, 사용자 단말장치 단에서의 이메일 처리측면에 대한 사이버 보안 위협의 대응에는 한계가 있다.
또한 이메일에 첨부된 첨부파일에 심어진 악성코드 및 위변조 URL에 대한 PDF 변환과 가상환경을 이용한 실행파일과 첨부 파일의 검사와 치료에 국한되어 있기 때문에 유사도메인으로 위장된 메일과 사회공학적 공격을 가할 수 있는 관계분석 등과 같은 위협 진단과 대응에는 한계가 발생될 수 있다.
본 발명은 상기한 종래의 문제점을 해결하기 위한 것으로, 이메일 시스템에서 처리되는 수신메일, 발신메일, 시스템 내 메일처리, 사용자 단말장치 등과 같은 측면에서 고려될 수 있는 스팸, 해킹, 사기 등의 사이버 보안 위협에 대하여 보안 레벨 기반의 계층적 아키텍처를 이용하여 단계적인 사이버 보안 위협 대응과 이메일 시스템의 통제 관리가 가능한 이메일 보안 서비스 제공 장치 및 그 동작 방법을 제공하는데 그 목적이 있다.
상기 과제를 해결하기 위한 본 발명의 실시 예에 따른 방법은, 이메일 보안 서비스 제공 장치의 동작 방법에 있어서, 하나 이상의 사용자단말 간 송수신되는 메일정보를 수집하는 수집단계; 사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭을 처리하고, 상기 매칭 처리된 메일보안 프로세스에 의해 상기 메일정보를 검사하며, 상기 검사결과에 따른 메일보안 검사정보를 저장 및 관리하는 보안위협 검사단계; 상기 메일보안 검사정보 및 상기 메일정보 분석을 통해 획득되는 보안위협 판별정보에 따라 메일 상태를 처리하는 메일 처리단계; 및 상기 보안위협 판별정보에 따라 처리된 상기 메일정보를 레코드정보로 저장하고 관리하는 레코드 관리단계;를 포함한다.
또한, 상기와 같은 과제를 해결하기 위한 본 발명의 실시 예에 따른 장치는, 하나 이상의 사용자단말 간 송수신되는 메일정보를 수집하는 수집부; 사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭을 처리하고, 상기 매칭 처리된 메일보안 프로세스에 의해 상기 메일정보를 검사하며, 상기 검사결과에 따른 메일보안 검사정보를 저장 및 관리하는 보안위협 검사부; 상기 메일보안 검사정보 및 상기 메일정보 분석을 통해 획득되는 보안위협 판별정보에 따라 메일 상태를 처리하는 메일 처리부; 및 상기 보안위협 판별정보에 따라 처리된 상기 메일정보를 레코드정보로 저장하고 관리하는 레코드 관리부;를 포함하는 이메일 보안 서비스 제공 장치이다.
한편, 상기와 같은 과제를 해결하기 위한 본 발명의 실시 예에 따른 방법은 상기 방법을 실행시키기 위한 프로그램 또는 상기 프로그램이 기록되어 컴퓨터가 읽을 수 있는 기록 매체로 구현될 수 있다.
본 발명의 실시 예에 따르면, 이메일을 수신측면에서 스팸메일, 악성코드가 포함된 첨부파일, 위변조된 URLs, 유사도메인, 사기성 내용으로 위협을 구분하여 분석하고 단계적인 위협 대응 처리를 가능하게 함으로써, 악의적인 목적으로 보내진 메일을 수신자가 열어보기 전 차단하거나 시스템에 무해한 메일로 변환할 수 있다. 또한 이메일을 발신측면에서 사이버 보안 위협을 감지하고 차단하며, 이메일 관리 시스템 내부측면에서는 정보 유출이 의심되거나 관리되는 시스템 접근 IP 주소 정보의 불일치 등의 잠재 위협을 사전에 감지하여 악의적인 목적으로 이용되지 못하도록 피해를 미연에 방지할 수 있다. 이같이 이메일 시스템을 통해 이루어질 수 있는 해킹, 사기, 스팸 등과 같은 비정상적인 처리를 통제하고 피해를 방지함으로써 사용자간 안전한 정보 교환과 처리를 보장하는 이메일 서비스를 제공할 수 있다.
도 1은 본 발명의 일 실시 예에 따른 전체 시스템을 도시한 개념도이다.
도 2는 본 발명의 일 실시 예에 따른 메일 보안 서비스 제공 장치를 설명하기 위한 블록도이다.
도 3은 본 발명의 일 실시 예에 따른 메일 보안 서비스 제공 장치의 일부 구성을 보다 구체적으로 설명하기 위한 블록도이다.
도 4는 본 발명의 일 실시 예에 따른 메일 보안 서비스 제공 장치의 동작 방법을 설명하기 위한 흐름도이다.
도 5는 본 발명의 일 실시 예에 따른 메일 보안 서비스의 아키텍처에 따른 검사 방식을 설명하기 위한 예시도이다.
도 2는 본 발명의 일 실시 예에 따른 메일 보안 서비스 제공 장치를 설명하기 위한 블록도이다.
도 3은 본 발명의 일 실시 예에 따른 메일 보안 서비스 제공 장치의 일부 구성을 보다 구체적으로 설명하기 위한 블록도이다.
도 4는 본 발명의 일 실시 예에 따른 메일 보안 서비스 제공 장치의 동작 방법을 설명하기 위한 흐름도이다.
도 5는 본 발명의 일 실시 예에 따른 메일 보안 서비스의 아키텍처에 따른 검사 방식을 설명하기 위한 예시도이다.
이하의 내용은 단지 본 발명의 원리를 예시한다. 그러므로 당업자는 비록 본 명세서에 명확히 설명되거나 도시되지 않았지만 본 발명의 원리를 구현하고 본 발명의 개념과 범위에 포함된 다양한 장치와 방법을 발명할 수 있는 것이다. 또한, 본 명세서에 열거된 모든 조건부 용어 및 실시 예들은 원칙적으로, 본 발명의 개념이 이해되도록 하기 위한 목적으로만 명백히 의도되고, 이와 같이 특별히 열거된 실시 예들 및 상태들에 제한적이지 않는 것으로 이해되어야 한다.
또한, 본 발명의 원리, 관점 및 실시 예들 뿐만 아니라 특정 실시 예를 열거하는 모든 상세한 설명은 이러한 사항의 구조적 및 기능적 균등물을 포함하도록 의도되는 것으로 이해되어야 한다. 또한 이러한 균등물들은 현재 공지된 균등물뿐만 아니라 장래에 개발될 균등물 즉 구조와 무관하게 동일한 기능을 수행하도록 발명된 모든 소자를 포함하는 것으로 이해되어야 한다.
따라서, 예를 들어, 본 명세서의 블록도는 본 발명의 원리를 구체화하는 예시적인 회로의 개념적인 관점을 나타내는 것으로 이해되어야 한다. 이와 유사하게, 모든 흐름도, 상태 변환도, 의사 코드 등은 컴퓨터가 판독 가능한 매체에 실질적으로 나타낼 수 있고 컴퓨터 또는 프로세서가 명백히 도시되었는지 여부를 불문하고 컴퓨터 또는 프로세서에 의해 수행되는 다양한 프로세스를 나타내는 것으로 이해되어야 한다.
또한 프로세서, 제어 또는 이와 유사한 개념으로 제시되는 용어의 명확한 사용은 소프트웨어를 실행할 능력을 가진 하드웨어를 배타적으로 인용하여 해석되어서는 아니 되고, 제한 없이 디지털 신호 프로세서(DSP) 하드웨어, 소프트웨어를 저장하기 위한 롬(ROM), 램(RAM) 및 비휘발성 메모리를 암시적으로 포함하는 것으로 이해되어야 한다. 주지관용의 다른 하드웨어도 포함될 수 있다.
상술한 목적, 특징 및 장점은 첨부된 도면과 관련한 다음의 상세한 설명을 통하여 보다 분명해질 것이며, 그에 따라 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자가 본 발명의 기술적 사상을 용이하게 실시할 수 있을 것이다. 또한, 본 발명을 실시함에 있어서 본 발명과 관련된 공지 기술에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에 그 상세한 설명을 생략하기로 한다.
본 출원에서 사용한 용어는 단지 특정한 실시 예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 출원에서, "포함하다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
이하, 첨부한 도면들을 참조하여, 본 발명의 바람직한 실시 예를 보다 상세하게 설명하고자 한다. 본 발명을 설명함에 있어 전체적인 이해를 용이하게 하기 위하여 도면상의 동일한 구성요소에 대해서는 동일한 참조부호를 사용하고 동일한 구성요소에 대해서 중복된 설명은 생략한다.
본 명세서에서 사용되는 '메일(mail)'은 사용자가 단말장치와 이에 설치되는 클라이언트 프로그램 또는 웹사이트를 통해 컴퓨터 통신망을 이용하여 주고 받는 이메일(Electronic mail), 웹메일(Web mail), 전자우편, 전자우편물 등의 용어를 통칭하여 사용할 수 있다.
도 1은 본 발명의 일 실시 예에 따른 전체 시스템을 도시한 개념도이다.
도 1을 참조하면, 본 발명의 일 실시 예에 따른 시스템은 서비스 제공 장치(100), 사용자단말(200), 메일서버(300)를 포함한다.
보다 구체적으로, 서비스 제공 장치(100), 사용자단말(200), 메일서버(300)는 공중망(Public network)과의 연결을 통해 유선 및 무선 중 하나 이상으로 연결되어 데이터를 송수신할 수 있다. 상기 공중망은 국가 혹은 통신 기간 사업자가 구축 및 관리하는 통신망으로, 일반적으로 전화망, 데이터망, CATV망 및 이동 통신망 등을 포함하여 불특정 다수의 일반인이 타 통신망이나 인터넷에 접속 가능하도록 연결 서비스를 제공한다. 본 발명에서는 상기 공중망을 네트워크로 대체하여 표기한다.
또한, 상기 서비스 제공 장치(100), 사용자단말(200), 메일서버(300)는 각 통신망에 상응하는 프로토콜로 통신하기 위한 각각의 통신 모듈을 포함할 수 있다.
상기 서비스 제공 장치(100)는 메일 보안 서비스 제공을 위해, 각 사용자단말(200) 및 메일서버(300)와 유/무선 네트워크를 통해 연결될 수 있으며, 각 네트워크에 연결된 장치 또는 단말들은 사전 설정된 네트워크 채널을 통해 상호간 통신을 수행할 수 있다.
여기서 상기 각 네트워크는 근거리 통신망(Local Area Network; LAN), 광역 통신망(Wide Area Network; WAN), 부가가치 통신망(Value Added Network; VAN), 개인 근거리 무선통신(Personal Area Network; PAN), 이동 통신망(Mobile radio communication network) 또는 위성 통신망 등과 같은 모든 종류의 유/무선 네트워크로 구현될 수 있다.
본 명세서에서 설명되는 서비스 제공 장치(100)는 메일을 통하여 의도하지 않은 프로그램의 실행과 메일 관련 시스템의 데이터 처리 능력 저하, 피싱 사기 등을 야기하는 공격을 탐지하고 차단할 수 있는 메일 보안 서비스를 제공할 수 있다.
그리고 본 명세서에서 설명되는 사용자단말(200)은 PC(personal computer), 노트북 컴퓨터(laptop computer), 휴대폰(Mobile phone), 태블릿 PC(Tablet PC), PDA(Personal Digital Assistants), PMP(Portable Multimedia Player) 등이 포함될 수 있으나, 본 발명은 이에 한정되지 아니하며 공중망 또는 사설망 등을 통해 상기 서비스 제공 장치(100)와 메일서버(300) 등과 연결이 가능한 장치일 수 있다.
이에 더하여 각각의 장치는 애플리케이션 구동 또는 웹 브라우징을 통한 정보의 입출력이 가능한 다양한 장치일 수 있다. 특히, 일반적으로 사용자단말(200)들은 개별적인 보안 네트워크를 통해 상기 서비스 제공 장치(100)와 연결될 수 있다.
상기 메일서버(300)는 사용자가 사용자단말(200)을 통해 작성한 메일을 발신하거나 상대방이 사용자단말(200)을 통해 작성한 메일을 수신할 수 있도록 전자 우편 내용을 중계 및 보관하는 시스템이다. 상기 메일서버(300)는 메일의 수신과 발신 처리라는 사용 목적에 따라 사전 설정된 프로토콜을 활용하여 상호간 통신을 수행할 수 있다.
일반적으로 상기 프로토콜은 메일의 수신 처리 시, POP3(Post Office Protocol 3), IMAP(Internet Message Access Protocol)이 사용될 수 있다. 또한 상기 프로토콜은 메일의 발신 처리 시, SMTP(Simple Mail Transfer Protocol)가 사용될 수 있다. 이와 같이, 메일서버(300)는 메일 송수신 처리를 위한 서버(server) 시스템으로 구성되어 작동할 수 있다. 또한 상기 메일서버(300)는 메일수신서버와 메일발신서버로 세분화되어 각각의 기능을 제공할 수 있다.
도 2 및 도 3은 본 발명의 일 실시 예에 따른 메일 보안 서비스 제공 장치를 설명하기 위한 블록도이다.
도 2 및 도 3을 참조하면, 본 발명의 일 실시 예에 따른 서비스 제공 장치(100)는, 제어부(110), 수집부(120), 보안위협 검사부(130), 관계분석부(140), 메일 처리부(150), 사용자단말 통제부(160), 레코드 관리부(170), 취약점 테스트부(180), 통신부(190)를 포함할 수 있다.
제어부(110)는 상기 서비스 제공 장치(100) 각 구성요소들의 동작을 전반적으로 제어하기 위한 하나 이상의 프로세서로 구현될 수 있다.
수집부(120)는 하나 이상의 사용자단말(200) 간 송수신되는 메일정보를 수집할 수 있다. 상기 메일정보는 이메일 헤더 정보, 이메일 제목, 이메일 내용 본문, 일정 기간 수신 횟수 등을 포함할 수 있다.
구체적으로, 상기 이메일 헤더 정보는 메일 발신 서버 IP 주소, 메일 발신 서버 호스트 이름 정보, 발신자 메일 도메인 정보, 발신자 메일 주소, 메일 수신 서버 IP 주소, 메일 수신 서버 호스트 이름 정보, 수신자 메일 도메인 정보, 수신자 메일 주소, 메일 프로토콜 정보, 메일 수신 시간 정보, 메일 발신 시간 정보 등을 포함할 수 있다.
또한 상기 이메일 헤더는 메일이 송수신 되는 과정에 있어 필요한 네트워크 경로 정보, 메일 교환을 위한 메일 서비스 시스템 간 사용 프로토콜 정보 등을 포함할 수 있다.
추가적으로 상기 메일정보는 첨부파일의 확장자, 첨부파일의 해시정보, 첨부파일명, 첨부파일 내용 본문, URL(Uniform Resource Locator) 정보 등을 포함할 수 있다. 상기 첨부파일은 발신자가 수신자에게 전달하고자 하는 메일 본문 내용에 더하여 추가적인 정보를 전달하거나 또는 정보 회신을 요구하기 위한 추가적인 콘텐츠를 포함할 수 있다.
상기 콘텐츠는 텍스트, 이미지, 동영상 등을 제공할 수 있다. 수신자는 메일에 첨부되어 있는 파일에 대응되는 애플리케이션을 실행시켜 콘텐츠를 확인할 수 있다. 또한 수신자는 메일에 첨부되어 있는 파일을 로컬저장장치에 다운로드하여 저장 및 관리가 가능하다.
상기 첨부파일의 확장자는 파일의 형식이나 종류를 구분할 수 있다. 상기 첨부파일의 확장자는 일반적으로 파일의 속성이나 파일을 생성한 애플리케이션을 나타내는 문자열로 구분될 수 있다. 예를 들어, 텍스트 파일은 [파일명].txt, MS워드 파일은 [파일명].doc(docx), 한글 파일은 [파일명].hwp 등의 확장자로 구분될 수 있다. 또한 이미지 파일은 gif, jpg, png, tif 등으로 확장자가 구분될 수 있다.
추가적으로 코드화 된 명령에 따라 지시된 작업을 수행하도록 하는 컴퓨터 파일인 실행파일은 [파일명].com, [파일명].exe, [파일명].bat, [파일명].dll, [파일명].sys, [파일명].scr 등으로 구분될 수 있다.
상기 첨부파일의 해시정보는 정보의 위변조를 확인하여 정보의 무결성을 보장할 수 있다. 해시정보 또는 해시값은 해시함수를 통해 임의의 길이를 가지는 임의의 데이터에 대해 일정한 길이의 비트열로 매핑될 수 있다.
이를 통해 최초 생성되는 첨부파일에 대하여 해시함수를 통해 출력되는 해시정보는 고유의 값을 가지게 된다. 상기 출력되는 해시정보 또는 해시값은 역으로 함수에 입력되는 데이터를 추출할 수 없는 일방향성을 가진다. 또한 해시함수는 하나의 주어진 입력 데이터에 대하여 출력된 해시정보 또는 해시값과 동일한 출력을 제공하는 또 다른 입력 데이터는 계산적으로 불가능한 충돌 회피성을 보장할 수 있다. 이에 따라, 상기 첨부파일의 데이터를 수정하거나 추가하게 되면 해시함수의 출력값은 상이하게 반환된다.
이와 같이, 상기 첨부파일의 고유한 해시정보는 메일을 통해 주고 받는 파일에 대하여 해시정보 또는 해시값을 비교함으로써 파일의 수정, 위변조 여부를 확인할 수 있다. 또한 상기 해시정보는 고유한 값으로 고정되기 때문에 악의적인 의도를 가지고 생성한 파일에 대한 과거 히스토리의 데이터베이스인 평판 정보를 활용함으로써 사전 방역 조치를 가능하게 할 수 있다. 추가적으로 상기 해시함수는 일방향성과 충돌 회피성을 보장할 수 있는 기술 및 버전으로 이용될 수 있다.
예를 들어, 해시정보는 바이러스토탈 웹사이트나 멀웨어즈 웹사이트를 통해 파일의 악성코드 유무에 대한 검색 정보로 활용될 수 있다. 상기 파일의 해시정보 분석을 제공하는 웹사이트를 통해서 파일의 제공업체, 파일의 해시값 등의 정보를 제공받을 수 있다. 또한 파일의 해시정보에 대한 검색 결과는 다수의 IT 정보 보안 솔루션을 제공하는 글로벌 회사에서 판별한 평판 정보를 크로스 체크할 수 있어 보다 신뢰성 있는 정보로 판단이 가능하다.
보안위협 검사부(130)는 사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭을 처리하고, 상기 매칭 처리된 메일보안 프로세스에 의해 상기 메일정보를 검사하며, 상기 검사결과에 따른 메일보안 검사정보를 저장 및 관리할 수 있다.
상기 보안위협 아키텍처는 스팸메일 보안위협, 악성코드 보안위협, 사회공학적 보안위협, 내부정보 유출 보안위협 등으로 구분될 수 있다. 상기 보안위협 아키텍처에 의해 보안위협 유형/레벨/프로세스/우선순위/처리순서가 설정될 수 있다.
상기 보안위협 아키텍처에 따라 대응되는 메일보안 프로세스는 스팸메일 보안 프로세스, 악성코드 보안 프로세스, 사칭메일 보안 프로세스, 메일반출 보안 프로세스 등을 포함할 수 있다.
상기 메일보안 프로세스는 상기 보안위협 아키텍처에 따라 수신메일인지 발신메일인지에 대응하는 서로 다른 메일보안 프로세스가 결정될 수 있다. 또한 상기 메일보안 프로세스의 검사 순서 또는 검사 레벨은 사전 설정한 보안 단계 및 아키텍처에 의해 결정될 수 있다.
상기 메일보안 프로세스는 수신 또는 발신을 위한 메일정보가 사용자 단말(200)에서 전송되면 독립적으로 구분 된 프로세스가 리소스로 할당되고 상기 메일정보에서 할당된 검사영역에서 즉각적으로 실행될 수 있는 유동적 리소스 할당 방식은 가상공간 개념으로 설명될 수 있다. 상기 가상공간으로 리소스를 할당하는 방식에서 메일보안 프로세스는 처리가 완료 시, 순차적으로 유입되는 메일정보에서 할당된 검사영역에서 작업을 즉각적으로 처리할 수 있다.
대조적으로 가상환경, 가상머신과 같이 하나의 리소스 안에서 처리가 제한되는 일정 프로세스가 할당된 환경은 요청되는 작업을 처리 시, 특정 프로세스의 처리가 완료되기 까지 다른 프로세스들이 대기하는 아이들(idle) 타임을 가질 수 있다. 이처럼 프로세스를 통한 분석 방식에 있어서, 유동적 리소스는 고정형 리소스와 비교 시 처리 속도 및 성능에서 우위를 가질 수 있다.
상기 보안위협 검사부(130)는 상기 수집부(120)에서 수집된 상기 메일정보에 따라 수신 또는 발신 목적으로 메일을 구분할 수 있다. 이 후, 상기 보안위협 검사부(130)는 상기 메일보안 프로세스를 순차적 또는 설정된 우선순위에 근거하여 매칭하고 분석함으로써 각각의 메일에 대한 메일보안 검사 정보를 획득할 수 있다.
상기 스팸메일 보안위협은 관계없는 발신자와 수신자 간에 광고와 홍보 등을 목적으로 일방적, 대량으로 불특정 다수에게 무차별적으로 살포되는 메일 유형을 포함할 수 있다. 또한 대량의 스팸메일은 메일 시스템의 데이터 처리 능력에 부하를 주게 되어 시스템의 처리 능력을 저하시키는 원인이 될 수도 있다. 또한 스팸메일은 내용 본문 등에 포함된 무분별한 정보에 대하여 사용자가 의도하지 않게 연결될 수 있고 잠재적인 피싱 사기를 위한 정보로 위장될 수 있는 위험성이 있다.
이같은 스팸메일을 검출하고 필터링하기 위하여 상기 보안위협 검사부(130)는 스팸메일 검사부(131)를 포함할 수 있다. 상기 스팸메일 검사부(131)는 상기 메일보안 프로세스가 스팸메일 보안 프로세스인 경우, 메일 헤더 정보, 메일 제목, 메일 내용 본문, 일정 기간 수신 횟수 등을 포함하는 상기 메일정보를 사전 설정한 스팸지표와 단계별로 매칭할 수 있다.
상기 스팸메일 검사부(131)는 메일 헤더 정보와 메일 제목, 메일 내용 본문 등을 포함하는 메일정보에 대하여 스팸메일로 구분할 수 있는 일정 패턴 검사 등을 통해 스팸지표에서 검사항목으로 이용할 수 있다. 이를 통해 상기 스팸메일 검사부(131)는 상기 스팸지표를 단계별로 매칭하여 스팸메일 검사정보를 획득하고 저장 및 관리할 수 있다.
상기 스팸지표는 단계별로 메일정보에 포함되는 항목에 기반한 검사항목과 검사를 통한 수준값이 설정될 수 있다. 본 발명의 일 실시 예에 따르면, 스팸지표는 Level 1, Level 2, Level 3, ..., Level [n]으로 세분화 및 단계화되어 구성될 수 있다.
상기 스팸지표 Level 1은 빅데이터 및 평판 정보에 기반하여 메일정보에 포함되는 메일 제목 데이터를 매칭할 수 있다. 이를 통해 상기 스팸지표 Level 1은 평가된 수준값을 스팸지표 Level 1의 검사정보로 획득할 수 있다. 상기 수준값은 정량적으로 측정될 수 있는 정보로 설정될 수 있다. 예를 들어, 상기 스팸지표 Level 1의 검사정보는 검사항목인 메일 제목에 '광고', '홍보' 등의 문구가 포함되어 있을 시, 상기 빅데이터 및 평판 정보에서 스팸메일로 정의한 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 스팸지표 Level 1의 검사정보는 '1'로 획득될 수 있다.
추가적으로 상기 스팸지표 Level 2는 사용자 지정 키워드에 기반하여 메일정보에 포함되는 데이터를 매칭할 수 있다. 이를 통해 상기 스팸지표 Level 2는 평가된 수준값을 스팸지표 Level 2의 검사정보로 획득할 수 있다. 예를 들어, 상기 스팸지표 Level 2의 검사정보는 검사항목인 메일 내용 본문에 '특가', '초특가', '세일', 'sale', '품절' 등을 포함하는 키워드가 포함되어 있을 시, 상기 사용자 지정 키워드에서 스팸메일로 정의한 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 스팸지표 Level 2의 검사정보는 '1'로 획득될 수 있다.
다음 단계로 상기 스팸지표 Level 3은 이미지 분석에 기반하여 메일정보에 포함되는 데이터를 매칭할 수 있다. 이를 통해 상기 스팸지표 Level 3은 평가된 수준값을 스팸지표 Level 3의 검사정보로 획득할 수 있다. 예를 들어, 상기 스팸지표 Level 3의 검사정보는 검사항목인 메일 내용 본문에 포함되는 이미지를 분석하여 추출한 데이터에서 '080'으로 시작하는 전화번호 등이 포함되어 있을 시, 상기 이미지 분석에서 스팸메일로 정의한 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 스팸지표 Level 3의 검사정보는 '1'로 획득될 수 있다.
이와 같이 상기 스팸메일 보안 프로세스를 통해 스팸지표 레벨 단위로 획득된 검사정보는 최종적으로 합산('3')되어 스팸메일 검사정보로 저장 및 관리될 수 있다. 이렇게 합산된 스팸메일 검사정보는 상기 메일보안 검사정보에 포함되어 관리될 수 있고 상기 메일 처리부(150)에서 보안위협 판별정보로 활용될 수 있다.
상기 보안위협 검사부(130)는 악성코드 검사부(132)를 더 포함할 수 있다. 상기 악성코드 검사부(132)는 상기 메일보안 프로세스가 악성코드 보안 프로세스인 경우, 첨부파일의 확장자, 첨부파일의 해시정보, 첨부파일명, 첨부파일 내용 본문, URL(Uniform Resource Locator) 정보 등을 더 포함하는 상기 메일정보를 사전 설정한 악성코드지표와 단계별로 매칭할 수 있다.
상기 악성코드 검사부(132)는 첨부파일의 속성값으로 확인할 수 있는 첨부파일의 확장자, 첨부파일의 해시정보, 첨부파일명 등과 함께 첨부파일 내용 본문과 내용 본문에 포함되는 URL(Uniform Resource Locator) 정보를 악성코드지표 검사 항목으로 이용할 수 있다. 이를 통해 상기 악성코드 검사부(132)는 상기 악성코드지표를 항목에 따라 단계별로 매칭하여 악성코드 검사정보를 획득하고 저장 및 관리할 수 있다.
상기 악성코드지표는 단계별로 메일정보에 포함되는 항목에 기반한 검사항목과 검사를 통한 수준값이 설정될 수 있다. 본 발명의 일 실시 예에 따르면, 악성코드지표는 Level 1, Level 2, Level 3, ..., Level [n]으로 세분화 및 단계화되어 구성될 수 있다.
상기 악성코드지표 Level 1은 빅데이터 및 평판 정보에 기반하여 메일정보에 포함되는 첨부파일명, 첨부파일의 확장자를 매칭할 수 있다. 이를 통해 상기 악성코드지표 Level 1은 평가된 수준값을 악성코드지표 Level 1의 검사정보로 획득할 수 있다. 예를 들어, 상기 악성코드지표 Level 1의 검사정보는 검사항목인 첨부파일명이 'Trojan', 첨부파일의 확장자가 'exe'를 포함하고 있을 시, 상기 빅데이터 및 평판 정보에서 악성코드로 정의된 정보와 일치되는 경우, 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 악성코드지표 Level 1의 검사정보는 '1'로 획득될 수 있다.
추가적으로 상기 악성코드지표 Level 2는 빅데이터 및 평판 정보에 기반하여 메일 첨부파일의 해시정보를 매칭할 수 있다. 이를 통해 평가된 수준값을 악성코드지표 Level 2의 검사정보로 획득할 수 있다. 예를 들어, 상기 악성코드지표 Level 2의 검사정보는 검사항목인 첨부파일 해시정보가 'a1b2c3d4'로 분석 시, 상기 평판 정보에서 악성코드로 정의된 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 악성코드지표 Level 2의 검사정보는 '1'로 획득될 수 있다.
다음 단계로 상기 악성코드지표 Level 3은 URL 평판 정보에 기반하여 첨부파일 또는 메일 내용 본문에 포함된 URL(Uniform Resource Locator) 정보를 매칭할 수 있다. 이를 통해 평가된 수준값을 악성코드지표 Level 3의 검사정보로 획득할 수 있다. 예를 들어, 상기 악성코드지표 Level 3의 검사정보는 검사항목인 URL 정보가 'www.malicious-code.com'으로 확인 시, 상기 URL 평판 정보에서 악성코드 파일이 포함되는 유해 사이트로 정의된 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 악성코드지표 Level 3의 검사정보는 '1'로 획득될 수 있다. 그리고 상기 악성코드 검사부(132)는 URL 평판 정보에서 누락될 수 있는 제로데이 공격에 대응할 수 있다. 상기 악성코드 검사부(132)는 평판 정보가 없는 URL에 대한 링크 IP 주소를 특정 시스템의 IP 주소로 변경하고 변경된 IP 주소를 사용자단말(200)에 제공할 수 있다. 상기 사용자단말(200)은 상기 URL에 접속하고자 할 시, 상기 악성코드 검사부(132)가 변경한 특정 시스템의 IP 주소로 접속될 수 있다. 이 전에 상기 URL에 대한 링크 IP 주소로 변경된 특정 시스템은 지속적으로 URL의 엔드포인트까지 악성코드 포함 여부를 검사할 수 있다.
이와 같이 상기 악성코드 보안 프로세스를 통해 악성코드지표 레벨 단위로 획득된 검사정보는 최종적으로 합산('3')되어 악성코드 검사정보로 저장 및 관리될 수 있다. 이렇게 합산된 악성코드 검사정보는 상기 메일보안 검사정보에 포함되어 관리될 수 있고 상기 메일 처리부(150)에서 보안위협 판별정보로 활용될 수 있다.
상기 보안위협 검사부(130)는 사칭메일 검사부(133)를 더 포함할 수 있다. 상기 사칭메일 검사부(133)는 메일보안 프로세스가 사칭메일 보안 프로세스인 경우로 상기 관계분석부(140)를 통해 획득되는 관계분석정보에 대하여 사전 설정한 관계분석지표와 단계별로 매칭할 수 있다. 상기 관계분석정보는 메일정보 및 정상으로 확인 된 메일의 속성정보 등을 포함하는 메일정보 분석을 통해 획득될 수 있다.
상기 사칭메일 검사부(133)는 정상으로 판별된 메일에서 추출될 수 있는 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅, 메일 내용 본문 정보 등을 관계분석지표 검사항목으로 이용할 수 있다. 이를 통해 상기 사칭메일 검사부(133)는 상기 관계분석지표를 항목에 따라 단계별로 매칭하여 사칭메일 검사정보를 획득하고 저장 및 관리할 수 있다. 이를 통해 상기 사칭메일 검사부(133)는 유사 도메인을 검출할 수 있고 메일의 발송 경로를 추적 또는 검증하여 보안위협을 가할 수 있는 메일을 필터링 할 수 있다.
상기 관계분석지표는 단계별로 상기 관계분석정보에 기반한 검사항목과 검사를 통한 수준값이 설정될 수 있다. 본 발명의 일 실시 예에 따르면, 관계분석지표는 Level 1, Level 2, Level 3, ..., Level [n]으로 세분화 및 단계화되어 구성될 수 있다.
상기 관계분석지표 Level 1은 평판 정보에 기반하여 발신자 메일의 도메인, 발신자 메일의 주소 등을 매칭할 수 있다. 이를 통해 상기 관계분석지표 Level 1은 평가된 수준값을 관계분석지표 Level 1의 검사정보로 획득할 수 있다. 예를 들어, 상기 관계분석지표 Level 1의 검사정보는 검사항목인 발신된 메일의 도메인이 '@사칭.com'이고 발신자 메일의 주소가 '사칭@'을 포함하고 있을 시, 상기 평판 정보에서 악성코드로 정의된 정보와 일치되는 경우, 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다.
추가적으로 상기 관계분석지표 Level 2는 상기 관계분석정보에 기반하여 발신자 메일의 도메인, 발신자 메일의 주소 등을 매칭할 수 있다. 이를 통해 상기 관계분석지표 Level 2는 평가된 수준값을 관계분석지표 Level 2의 검사정보로 획득할 수 있다. 예를 들어, 상기 관계분석지표 Level 2의 검사정보는 검사항목인 발신된 메일의 도메인이 '@사칭.com'이고 발신자 메일의 주소가 '사칭@'을 포함하고 있을 시, 상기 관계분석정보에서 정상메일의 속성정보로 정의된 정보와 일치되지 않는 경우, 0과 1로 구분된 수준값에서 '1'로 평가 될 수 있다. 이를 통해 관계분석지표 Level 3의 검사정보는 '1'로 획득될 수 있다.
다음단계로 상기 관계분석지표 Level 3는 상기 관계분석정보에 기반하여 메일 라우팅 정보 등을 매칭할 수 있다. 이를 통해 상기 관계분석지표 Level 3는 평가된 수준값을 관계분석지표 Level 3의 검사정보로 획득할 수 있다. 예를 들어, 상기 관계분석지표 Level 3의 검사정보는 검사항목인 메일 라우팅 정보가 '1.1.1.1', '2.2.2.2', '3.3.3.3' 으로 확인 시, 메일의 전송 경로인 상기 라우팅 정보가 상기 관계분석정보에서 정상메일의 속성정보로 정의된 정보와 일치되지 않는 경우, 0과 1로 구분된 수준값에서 '1'로 평가 될 수 있다. 이를 통해 관계분석지표 Level 3의 검사정보는 '1'로 획득될 수 있다.
이와 같이 상기 사칭메일 보안 프로세스를 통해 관계분석지표 레벨 단위로 획득된 검사정보는 최종적으로 합산('3')되어 사칭메일 검사정보로 저장 및 관리될 수 있다. 이렇게 합산된 사칭메일 검사정보는 상기 메일보안 검사정보에 포함되어 관리될 수 있고 상기 메일 처리부(150)에서 보안위협 판별정보로 활용될 수 있다.
상기 보안위협 검사부(130)는 내부정보 유출 보안 위협에 대응할 수 있도록 메일반출 검사부(134)를 포함할 수 있다. 상기 메일반출 검사부(134)는 메일보안 프로세스가 메일반출 보안 프로세스인 경우, 상기 메일정보에 기반하여 사전 설정한 메일반출 관리지표와 단계별로 매칭할 수 있다.
상기 메일반출 검사부(134)는 상기 메일정보의 속성 정보를 활용하여 메일반출 관리지표 검사항목으로 이용할 수 있다. 또한 상기 관리지표 검사항목은 내부적으로 관리되는 사용자단말(200)의 할당 IP 정보가 이용될 수 있다.
상기 메일반출 관리지표는 단계별로 사전 설정된 검사항목과 검사를 통한 수준값이 설정될 수 있다. 본 발명의 일 실시 예에 따르면, 메일반출 관리지표는 Level 1, Level 2, Level 3, ..., Level [n]으로 세분화 및 단계화되어 구성될 수 있다.
상기 메일반출 관리지표는 발신 환경 검사를 위해 사용자단말(200)에 할당 된 IP 주소에서 허용된 IP 주소만이 메일정보를 등록할 수 있도록 통제하는 항목을 포함할 수 있다. 미인증된 사용자단말은 내부정보를 유출할 가능성이 상대적으로 높고 또한 메일을 통해 보안위협을 가할 가능성이 상대적으로 높기 때문에 이를 사전에 차단할 수 있는 관리지표를 관리할 수 있다.
또한 상기 메일반출 검사부(134)는 상기 메일반출 관리지표를 IP 주소 정보, 발송 횟수 정보 등의 검사항목으로 구분하여 메일반출 관리지표로 활용할 수 있다. 또한 상기 메일반출 검사부(134)는 메일 발신 환경 검사 항목으로 승인 프로세스 등의 통제부를 추가적으로 구비하여 내부정보 유출 위협을 감소시킬 수 있다. 이를 통해 상기 메일반출 검사부(134)는 메일반출 프로세스를 통해 검사항목과 매칭하여 산출된 수준값을 메일반출 검사정보로 저장하고 관리할 수 있다.
관계분석부(140)는 상기 메일정보 및 신뢰인증로그 분석에 기초하여 획득되는 관계분석정보를 저장 및 관리할 수 있다. 상기 신뢰인증로그는 상기 레코드 관리부(170)에서 보안위협 판별정보에 따라 메일정보를 정상메일로 처리하는 경우, 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅, 메일 내용 본문 정보 등을 포함하는 레코드정보를 포함할 수 있다.
메일 처리부(150)는 상기 메일보안 검사정보 및 상기 메일정보 분석을 통해 획득되는 보안위협 판별정보에 따라 메일 상태를 처리할 수 있다.
상기 메일 처리부(150)는 사전 설정된 우선순위에 따른 상기 메일보안 프로세스가 수행될 수 있다. 상기 메일 처리부(150)는 상기 메일보안 프로세스를 통한 상기 보안위협 판별정보가 비정상 메일로 판별되는 경우, 후속 메일보안 프로세스 중단여부를 판단하여 메일 상태를 처리할 수 있다. 이를 통해, 상기 메일 처리부(150)는 우선순위에 따라 먼저 검사 단계에서 문제점이 발견된 경우, 그 단계에서 필요한 처리만을 수행하고 검사종료여부를 판단하여 후속 검사단계는 수행하지 않고 종료할 수 있다. 이를 통해, 메일 보안 서비스의 효율성을 확보하여 시스템의 복잡성을 낮추고 처리효율을 향상시킬 수 있다.
상기 메일보안 검사정보는 상기 보안위협 검사부(130)에서 산출된 스팸메일 검사정보와 악성코드 검사정보, 사칭메일 검사정보, 메일반출 검사정보를 종합하여 획득된 정보를 활용할 수 있다. 예를 들어, 상기 보안위협 검사부(130)가 메일정보에 대하여 프로세스수행을 통해, 상기 스팸메일 검사정보로 산출된 스코어가 '3', 악성코드 검사정보로 산출된 스코어가 '2', 사칭메일 검사정보 '1', 메일반출 검사정보로 산출된 스코어가 '0' 인 경우, 메일보안 검사정보로 합산되는 스코어는 '7'로 획득될 수 있다. 이 때, 사전 설정된 보안위협 판별정보의 기준으로 종합 스코어가 0-3의 범위일 시 정상메일, 4-6의 범위일 시 그레이메일, 7-12의 범위일 시 비정상메일로 분류될 수 있다. 이에 따라, 상기 메일보안 검사정보가 '7'인 메일은 비정상메일로 판별될 수 있다. 그리고 상기 메일정보 검사정보에 포함되는 각각의 검사정보 항목의 결과값은 항목에 따라 절대적인 우선순위가 지정되거나 가중치에 따른 정보로 우선순위가 정해질 수 있다.
상기 메일 처리부(150)는 상기 보안위협 판별정보에 따라 정상메일로 판별된 메일에 대하여, 상기 사용자단말이 처리 가능한 수신 또는 발신 상태로 처리하는 메일분배 처리부(151)를 포함할 수 있다.
또한 상기 메일 처리부(150)는 상기 보안위협 판별정보에 따라 비정상메일로 판별된 메일에 대하여, 상기 사용자단말의 접근이 불가능한 상태로 처리하는 메일폐기 처리부(152)를 더 포함할 수 있다.
추가적으로 상기 메일 처리부(150)는 상기 보안위협 판별정보에 따라 그레이메일로 판별된 메일에 대하여, 상기 그레이메일을 비실행파일 콘텐츠로 변환 처리하고 상기 사용자단말이 메일 상태를 선택적으로 처리할 수 있도록 제공하는 메일 무해화 처리부(153)를 더 포함할 수 있다.
일반적으로 상기 그레이메일은 스팸메일 또는 정크메일로 구분될 수도 있고 반대로 정상메일로 구분될 수 있다. 본 발명에서는 상기 그레이메일은 보안위협 판별정보가 정상 또는 비정상으로 확정할 수 없는 일정 범위 내에서의 중간 값으로 산출되었을 경우 구분되는 메일 유형으로 정의할 수 있다. 상기 메일 무해화 처리부(153)는 의심되는 내용 본문 등을 포함한 그레이메일을 이미지 파일로 변환하고 사용자단말(200)이 확인 가능한 메일 상태로 제공할 수 있다. 또한 상기 메일 무해화 처리부(153)는 첨부파일 내 악성코드로 의심되는 부문을 제거 또는 수정하여 사용자단말(200)로 제공할 수 있다.
사용자단말 통제부(160)는 상기 사용자단말(200)이 네트워크망에서 사용하는 IP address(Internet Protocol Address; IP 주소)정보가 사전 설정한 비인가 IP 주소에 해당하는 경우, 상기 메일정보의 전송을 통제할 수 있다.
레코드 관리부(170)는 상기 보안위협 판별정보에 따라 처리된 상기 메일정보를 레코드정보로 저장하고 관리할 수 있다. 상기 레코드 관리부(170)는 상기 보안위협 판별정보에 따라 정상메일로 처리되는 경우, 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅, 메일 내용 본문 정보 등을 포함하는 상기 레코드정보를 신뢰인증로그로 저장하고 관리하는 관계정보 관리부(171)를 더 포함할 수 있다. 이를 통해 상기 신뢰인증로그는 수신자와 발신자 메일정보에 대하여 신뢰할 수 있는 관계정보 분석에 활용될 수 있다. 또한 상기 신뢰인증로그에 포함된 정보는 상호 간 정보 교환을 통해 지속적으로 데이터가 축적되면서 신뢰도가 보장될 수 있다.
또한 상기 레코드 관리부(170)는 상기 보안위협 판별정보에 따라 비정상메일로 처리되는 경우, 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅, 메일 내용 본문 정보 등을 포함하는 상기 레코드정보를 메일보안 프로세스 수행 시 비정상 메일 판단 지표로 활용될 수 있다.
취약점 테스트부(180)는 상기 보안위협 판별정보에 따라 비정상메일로 판별된 메일에 대하여, 상기 비정상메일을 비실행파일 콘텐츠로 변환시켜 상기 사용자단말에서 수신 또는 발신 처리가 될 수 있도록 제공할 수 있다. 상기 취약점 테스트부(180)는 상기 비정상메일에 대하여 수신 또는 발신 처리한 상기 사용자단말의 식별정보를 획득하여 유형별 취약정보로 저장 및 관리하는 취약정보 관리부(181)를 포함할 수 있다.
도 4는 본 발명의 일 실시 예에 따른 메일 보안 서비스 제공 장치의 동작 방법을 설명하기 위한 흐름도이다.
도 4를 참조하면, 메일 보안 서비스 제공 장치의 동작 방법에 있어서, 수집단계(S101)는 하나 이상의 사용자단말(200) 간 송수신되는 메일정보를 수집할 수 있다.
보안위협 검사단계(S103)는 사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭을 처리할 수 있다. 이 후, 상기 보안위협 검사단계(S103)는 상기 매칭 처리된 메일보안 프로세스에 의해 상기 메일정보를 검사할 수 있다. 이를 통해 상기 보안위협 검사단계(S103)는 상기 검사결과에 따른 메일보안 검사정보를 저장 및 관리할 수 있다.
상기 메일보안 프로세스는 상기 보안위협 아키텍처에 따라 수신메일인지 발신메일인지에 대응하는 서로 다른 메일보안 프로세스가 결정될 수 있다. 또한 상기 메일보안 프로세스의 검사 순서 또는 검사 레벨은 사전 설정한 보안 단계 및 아키텍처에 의해 결정될 수 있다.
메일 처리단계(S105)는 상기 메일보안 검사정보 및 상기 메일정보 분석을 통해 획득되는 보안위협 판별정보에 따라 메일 상태를 처리할 수 있다.
상기 메일 처리단계(S105)는 사전 설정된 우선순위에 따른 상기 메일보안 프로세스가 수행될 수 있다. 상기 메일 처리단계(S105)는 상기 메일보안 프로세스를 통한 상기 보안위협 판별정보가 비정상 메일로 판별되는 경우, 후속 메일보안 프로세스 중단여부를 판단하여 메일 상태를 처리할 수 있다. 이를 통해, 상기 메일 처리단계(S105)는 우선순위에 따라 먼저 검사 단계에서 문제점이 발견된 경우 그 단계에서 필요한 처리만을 수행하고 검사종료여부를 판단하여 후속 검사단계는 수행하지 않고 종료할 수 있다. 이를 통해 메일 보안 서비스의 효율성을 확보하여 시스템의 복잡성을 낮추고 처리효율을 향상시킬 수 있다.
레코드 관리단계(S107)는 상기 보안위협 판별정보에 따라 처리된 상기 메일정보를 레코드정보로 저장하고 관리할 수 있다. 상기 레코드 관리단계(S107)는 상기 보안위협 판별정보에 따라 정상메일로 처리되는 경우, 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅 정보, 메일 내용 본문 등을 포함하는 상기 레코드정보를 신뢰인증로그로 저장하고 관리하는 관계정보 관리단계를 더 포함할 수 있다.
관계분석단계(도면미도시)는 상기 메일정보 및 상기 신뢰인증로그 분석에 기초하여 획득되는 관계분석정보를 저장 및 관리할 수 있다.
상기 보안위협 검사단계(S103)는 상기 메일보안 프로세스가 스팸메일 보안 프로세스인 경우, 이메일 헤더 정보, 이메일 제목, 이메일 내용 본문, 일정 기간 수신 횟수 중 하나 이상을 포함하는 상기 메일정보를 사전 설정한 스팸지표와 단계별로 매칭하는 스팸메일 검사단계를 더 포함할 수 있다. 추가적으로 상기 보안위협 검사단계(S103)는 상기 메일보안 프로세스가 악성코드 보안 프로세스인 경우, 첨부파일의 확장자, 첨부파일의 해시정보, 첨부파일명, 첨부파일 내용 본문, URL(Uniform Resource Locator) 정보 중 하나 이상을 포함하는 상기 메일정보를 사전 설정한 악성코드지표와 단계별로 매칭하는 악성코드 검사단계를 더 포함할 수 있다. 또한 상기 보안위협 검사단계(S103)는 상기 메일보안 프로세스가 사칭메일 보안 프로세스인 경우, 상기 관계분석정보에 대하여 사전 설정한 관계분석지표와 단계별로 매칭하는 사칭메일 검사단계를 더 포함할 수 있다. 그리고 상기 보안위협 검사단계(S103)는 상기 메일보안 프로세스가 메일반출 보안 프로세스인 경우, 상기 메일정보에 기반하여 사전 설정한 메일반출 관리지표와 단계별로 매칭하는 메일반출 검사단계를 더 포함할 수 있다.
상기 메일 처리단계(S105)는 상기 보안위협 판별정보에 따라 정상메일로 판별된 메일에 대하여, 상기 사용자단말이 처리 가능한 수신 또는 발신 상태로 처리하는 메일분배 처리단계를 더 포함할 수 있다. 또한 상기 메일 처리단계(S105)는 상기 보안위협 판별정보에 따라 비정상메일로 판별된 메일에 대하여, 상기 사용자단말의 접근이 불가능한 상태로 처리하는 메일폐기 처리단계를 더 포함할 수 있다.
추가적으로 상기 메일 처리단계(S105)는 상기 보안위협 판별정보에 따라 그레이메일로 판별된 메일에 대하여, 상기 그레이메일을 비실행파일 콘텐츠로 변환 처리하고 상기 사용자단말이 메일 상태를 선택적으로 처리할 수 있도록 제공하는 메일 무해화 처리단계를 더 포함할 수 있다.
취약점 테스트단계(도면 미도시)는 상기 보안위협 판별정보에 따라 비정상메일로 판별된 메일에 대하여, 상기 비정상메일을 비실행파일 콘텐츠로 변환시켜 상기 사용자단말에서 수신 또는 발신 처리가 될 수 있도록 제공할 수 있다. 상기 취약점 테스트단계는 상기 비정상메일에 대하여 수신 또는 발신 처리한 상기 사용자단말의 식별정보를 획득하여 유형별 취약정보로 저장 및 관리하는 취약정보 관리단계를 더 포함할 수 있다.
도 5는 본 발명의 일 실시 예에 따른 메일 보안 서비스의 아키텍처에 따른 검사 방식을 설명하기 위한 예시도이다.
도 5를 참조하면, 메일 보안 서비스를 제공하기 위한 아키텍처로써, 이에 따라 보안위협의 유형과 레벨, 프로세스, 우선순위, 처리순서 등이 설정될 수 있다. 상기 메일 보안 서비스의 아키텍처는 수신메일, 발신메일, 내부메일, 사용자 교육 등의 최상위 카테고리로 구분되어 각 카테고리마다 하부 구조로 계층적, 단계적인 구성과 처리 방식이 적용될 수 있다. 상기 최상위 카테고리는 메일정보에 포함되는 속성 값 또는 사용자단말(200)의 메일 이용 목적에 따라 접속하는 시스템의 구분에 따라 분류될 수 있다.
각각의 보안위협 유형 내에는 하나 이상의 특정 메일보안 프로세스가 할당될 수 있고 이는 레벨로 구분되어 단계적이고 순차적으로 실행될 수 있다. 세부적으로, 보안위협 유형은 SPAM, Malicious code(Attachment), Malicious code(URL), Social Engineering Attack 등의 보안위협 유형으로 구분될 수 있다. 이에 따른, 보안위협 유형의 검사 프로세스가 순차적으로 이행될 수 있다. 또한 각각의 상기 보안위협 유형 내에서는 레벨 1, 2, 3, ...[n] 단계로 구분되어 순차적으로 이행될 수 있다. 이 때 각 레벨은 검사하는 특정 항목과 지표가 할당되어 검사 결과를 획득할 수 있다.
또한 아키텍처 설정에 따라 각각의 보안위협 유형 내 메일보안 프로세스는 할당 된 검사 영역을 병렬적으로 병행 검사 처리하는 방식으로도 수행될 수 있다.
최상위 카테고리 중 하나인 상기 수신메일은 하위 계층으로 보안위협 유형이 구분될 수 있다. 세부적으로, 상기 보안위협 유형은 SPAM 처리, 악성코드 처리, 사회공학적 처리 등으로 구분될 수 있다.
수신메일의 보안위협 검사를 위해 SPAM 처리 부문 내 레벨 1(Lv.1)은 평판 기반으로의 스팸메일 여부를 검사할 수 있다. 이 후, 평판 기반의 스팸메일 검사에서 발견된 문제점이 없는 경우 레벨 2(Lv.2)은 사용자 지정 키워드에 근거하여 필터링을 통한 스팸메일 여부를 검사할 수 있다.
레벨 2의 수행이 완료된 후, 다음 단계인 레벨 3(Lv.3)은 이미지 기반의 내용 분석을 통한 스팸메일 여부를 검사할 수 있다. 이와 같이, 메일보안 서비스 아키텍처는 SPAM 처리 유형 내에서의 특정 스팸필터링 프로세스를 통해 레벨별 검증을 수행하고, 상기 검증이 완료될 시 다음 레벨로 이행될 수 있도록 한다. 그리고 상기 메일보안 서비스 아키텍처는 SPAM 처리를 통한 메일의 스팸여부 검사를 완료한 후, 메일 내 악성코드 포함 여부를 판별하는 악성코드 처리 단계로 이행될 수 있다.
상기 악성코드 처리는 레벨 1의 평판 기반 악성코드 포함 여부를 판별할 수 있고, 정상 확인 시 다음 단계로 이행될 수 있다. 레벨 n(Lv.n)은 악성코드가 포함될 수 있는 가능성이 있는 첨부파일로 판별 시, 첨부 파일 내 포함된 실행 코드를 변형하는 무해화 처리를 통해 악성코드 처리 단계를 종료할 수 있다. 상기 악성코드 처리 검사가 완료되는 경우, 검사 단계는 사회공학적 처리 검사 단계로 이행될 수 있다. 상기 사회공학적 처리 검사 단계는 레벨 1(Lv.1)의 메타데이터 기반, 레벨 n(Lv.n)의 관계 분석 기반의 사회공학적 공격 메일 검사 프로세스를 실행한 후, 검사 결과 정보에 따라 대응을 처리 또는 요청할 수 있다.
최상위 카테고리 중 하나인 상기 발신메일은 하위 계층으로 보안위협 유형이 구분될 수 있다. 상기 발신메일의 카테고리 또한 수신메일의 보안위협 유형과 같이 SPAM 처리, 악성코드 처리, 사회공학적 처리 단계로 구분되고 검사가 수행 될 수 있다.
특히 발신메일의 보안위협 검사는 발신 환경 검사 단계를 포함할 수 있다. 상기 발신 환경 검사 단계는 메일 발신을 목적으로 하나 이상의 사용자단말(200)이 시스템에 접속할 시, 사전에 등록된 화이트리스트에 따른 IP 주소 허용 사용자단말인지를 검증하는 레벨 1(Lv.1) 단계를 수행할 수 있다. 상기 레벨 1 단계 검증을 통해 인증이 된 사용자단말(200)은 메일 발송 횟수에 대하여 일정 기준 횟수 이내로 부합할 시, 정상 메일로 판별하고 다음 단계로 이행될 수 있다. 이 후, 레벨 n(Lv.n) 단계는 발신메일 내용을 사전에 검사하여 이상 여부를 판별하는 프로세스가 실행되어 정상 메일 여부를 검증할 수 있다.
최상위 카테고리 중 하나인 상기 내부메일은 하위 계층으로 내부 정보 유출을 방지할 수 있는 내부 메일 관리 단계가 수행될 수 있다. 상기 내부 메일 관리 단계는 레벨 1(Lv.1)의 승인 프로세스를 통해 이상 메일을 검사할 수 있다. 상기 승인 프로세스는 내부정보가 포함된 메일에 대한 정보 유출 위험도를 판단할 수 있다.
상기 승인프로세스는 메일 관리 시스템에 의해 순차적으로 승인 처리되어 외부로 보내지는 메일 내용에 대하여 사전 검열되는 방식으로 수행될 수 있다. 이 후, 레벨 2(Lv.2) 단계로 DLP(Data Loss Prevention; 데이터 유출 방지) 및 DRM(Digital Rights Management: 디지털 저작권 관리) 통제 프로세스가 수행되어 내부 정보 유출 여부를 검사할 수 있다. 상기 DLP 통제 프로세스는 승인 등의 허가 없이 정책에 위반되는 시스템에 접근하여 정보를 전송하려는 행위를 감지 및 통제할 수 있다. 상기 DRM 통제 프로세스는 암호화된 내부 문서가 승인 등의 허가 없이 복호화 되거나 복호화 된 파일을 메일에 첨부하는 시도를 탐지하여 통제할 수 있다. 이 후, 레벨 n(Lv.n) 단계는 메일을 발신하고자 할 때, 사용자단말(200) 인증 처리단계로 1단계, 2단계 등의 다단계 인증 프로세스를 제공할 수 있다. 이를 통해, 계정 탈취나 도용을 시도하는 사용자를 차단함으로써 정상적인 메일 처리를 보장할 수 있다.
최상위 카테고리 중 하나인 상기 사용자 교육은 하위 계층으로 모의피싱과 피드백 시스템의 단계를 포함할 수 있다. 상기 모의피싱 단계에서는 보안위협이 포함된 메일을 사용한 이력이 있는 사용자단말(200)의 식별값과 횟수 등의 정보를 저장 및 관리할 수 있다. 상기 보안위협은 실제 시스템이나 콘텐츠에 무해한 방식으로 구성된 메일이 사용될 수 있다. 이를 통해 피드백 시스템은 모의피싱을 통해 산출된 통계값이나 위협정도를 분석한 결과값을 제공할 수 있다.
상기 카테고리별로 구성된 보안위협 검사는 아키텍처 및 보안 단계에 의해 결정될 수 있다. 이에 따라 검사 순서 및 검사 레벨이 결정될 수 있고 순차적인 검사에 따라 이상 여부를 확인할 수 있다. 또한 상기 검사 순서 및 검사 레벨의 우선순위는 아키텍처 및 보안 단계에 따라 설정될 수 있다. 상기 우선순위에 따라 수행된 프로세스는 획득되는 검사 결과에 따라 문제점이 발견되는 경우, 그 단계에서 필요한 처리를 수행하고 검사 종료 여부를 판단할 수 있다. 상기 문제점은 스팸메일로 판별되거나 악성코드가 포함된 메일로 판별될 시, 메일을 사용자단말(200)에서 확인할 수 없도록 폐기 처리하거나 반송 등의 처리로 해결될 수 있다. 이렇게 특정 단계에서의 검사 프로세스를 통해 메일의 문제점을 처리하는 경우, 후속 검사단계는 또는 병렬처리 중인 나머지 검사단계는 수행되지 않고 종료될 수 있다.
상술한 본 발명에 따른 방법은 컴퓨터에서 실행되기 위한 프로그램으로 제작되어 컴퓨터가 읽을 수 있는 기록 매체에 저장될 수 있으며, 컴퓨터가 읽을 수 있는 기록 매체의 예로는 ROM, RAM, CD-ROM, 자기 테이프, 플로피디스크, 광 데이터 저장장치 등이 있으며, 또한 캐리어 웨이브(예를 들어 인터넷을 통한 전송)의 형태로 구현되는 것도 포함한다.
컴퓨터가 읽을 수 있는 기록 매체는 네트워크로 연결된 컴퓨터 시스템에 분산되어, 분산방식으로 컴퓨터가 읽을 수 있는 코드가 저장되고 실행될 수 있다. 그리고, 상기 방법을 구현하기 위한 기능적인(function) 프로그램, 코드 및 코드 세그먼트들은 본 발명이 속하는 기술분야의 프로그래머들에 의해 용이하게 추론될 수 있다.
또한, 이상에서는 본 발명의 바람직한 실시 예에 대하여 도시하고 설명하였지만, 본 발명은 상술한 특정의 실시 예에 한정되지 아니하며, 청구범위에서 청구하는 본 발명의 요지를 벗어남이 없이 당해 발명이 속하는 기술분야에서 통상의 지식을 가진 자에 의해 다양한 변형 실시가 가능한 것은 물론이고, 이러한 변형 실시들은 본 발명의 기술적 사상이나 전망으로부터 개별적으로 이해되어서는 안될 것이다.
Claims (20)
- 서비스 제공 장치에 있어서,
하나 이상의 사용자단말 간 송수신되는 메일정보를 수집하는 수집부;
사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭을 처리하고, 상기 매칭 처리된 메일보안 프로세스에 의해 상기 메일정보를 검사하며, 상기 검사결과에 따른 메일보안 검사정보를 저장 및 관리하는 보안위협 검사부;
상기 메일보안 검사정보 및 상기 메일정보 분석을 통해 획득되는 보안위협 판별정보에 따라 메일 상태를 처리하는 메일 처리부; 및
상기 보안위협 판별정보에 따라 처리된 상기 메일정보를 레코드정보로 저장하고 관리하는 레코드 관리부;를 포함하는
서비스 제공 장치. - 제 1항에 있어서,
상기 레코드 관리부는,
상기 보안위협 판별정보에 따라 정상메일로 처리되는 경우, 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅, 메일 내용 본문 정보 중 하나 이상을 포함하는 상기 레코드정보를 신뢰인증로그로 저장하고 관리하는 관계정보 관리부;를 더 포함하는
서비스 제공 장치. - 제 2항에 있어서,
상기 메일정보 및 상기 신뢰인증로그 분석에 기초하여 획득되는 관계분석정보를 저장 및 관리하는 관계분석부;를 더 포함하는
서비스 제공 장치. - 제 3항에 있어서,
상기 보안위협 검사부는,
상기 메일보안 프로세스가 스팸메일 보안 프로세스인 경우, 이메일 헤더 정보, 이메일 제목, 이메일 내용 본문, 일정 기간 수신 횟수 중 하나 이상을 포함하는 상기 메일정보를 사전 설정한 스팸지표와 단계별로 매칭하는 스팸메일 검사부;를 포함하는
서비스 제공 장치. - 제 4항에 있어서,
상기 보안위협 검사부는,
상기 메일보안 프로세스가 악성코드 보안 프로세스인 경우, 첨부파일의 확장자, 첨부파일의 해시정보, 첨부파일명, 첨부파일 내용 본문, URL(Uniform Resource Locator) 정보 중 하나 이상을 더 포함하는 상기 메일정보를 사전 설정한 악성코드지표와 단계별로 매칭하는 악성코드 검사부;를 더 포함하는
서비스 제공 장치. - 제 5항에 있어서,
상기 보안위협 검사부는,
상기 메일보안 프로세스가 사칭메일 보안 프로세스인 경우, 상기 관계분석정보에 대하여 사전 설정한 관계분석지표와 단계별로 매칭하는 사칭메일 검사부;를 더 포함하는
서비스 제공 장치. - 제 6항에 있어서,
상기 보안위협 검사부는,
상기 메일보안 프로세스가 메일반출 보안 프로세스인 경우, 상기 메일정보에 기반하여 사전 설정한 메일반출 관리지표와 단계별로 매칭하는 메일반출 검사부;를 더 포함하는
서비스 제공 장치. - 제 1항에 있어서,
상기 메일 처리부는,
상기 보안위협 판별정보에 따라 정상메일로 판별된 메일에 대하여, 상기 사용자단말이 처리 가능한 수신 또는 발신 상태로 처리하는 메일분배 처리부; 및
상기 보안위협 판별정보에 따라 비정상메일로 판별된 메일에 대하여, 상기 사용자단말의 접근이 불가능한 상태로 처리하는 메일폐기 처리부;를 포함하는
서비스 제공 장치. - 제 8항에 있어서,
상기 메일 처리부는,
상기 보안위협 판별정보에 따라 그레이메일로 판별된 메일에 대하여, 상기 그레이메일을 비실행파일 콘텐츠로 변환 처리하고 상기 사용자단말이 메일 상태를 선택적으로 처리할 수 있도록 제공하는 메일 무해화 처리부;를 더 포함하는
서비스 제공 장치. - 제 1항에 있어서,
상기 보안위협 판별정보에 따라 비정상메일로 판별된 메일에 대하여, 상기 비정상메일을 비실행파일 콘텐츠로 변환시켜 상기 사용자단말에서 수신 또는 발신 처리가 될 수 있도록 제공하는 취약점 테스트부;를 더 포함하는
서비스 제공 장치. - 제 10항에 있어서,
상기 취약점 테스트부는,
상기 비정상메일에 대하여 수신 또는 발신 처리한 상기 사용자단말의 식별정보를 획득하여 유형별 취약정보로 저장 및 관리하는 취약정보 관리부;를 포함하는
서비스 제공 장치. - 제 4항에 있어서,
상기 이메일 헤더 정보는 메일 발신 서버 IP 주소, 메일 발신 서버 호스트 이름 정보, 발신자 메일 도메인 정보, 발신자 메일 주소, 메일 수신 서버 IP 주소, 메일 수신 서버 호스트 이름 정보, 수신자 메일 도메인 정보, 수신자 메일 주소, 메일 프로토콜 정보, 메일 수신 시간 정보, 메일 발신 시간 정보 중 하나 이상을 포함하는
서비스 제공 장치. - 제 1항에 있어서,
상기 메일보안 프로세스는 상기 보안위협 아키텍처에 따라 수신메일인지 발신메일인지에 대응하는 서로 다른 메일보안 프로세스가 결정되고,
상기 메일보안 프로세스의 검사 순서 또는 검사 레벨은 사전 설정한 보안 단계 및 아키텍처에 의해 결정되는
서비스 제공 장치. - 제 1항에 있어서,
상기 메일 처리부는,
사전 설정된 우선순위에 따른 상기 메일보안 프로세스를 통해 획득되는 상기 보안위협 판별정보가 비정상 메일로 판별되는 경우, 후속 메일보안 프로세스 중단여부를 판단하여 메일 상태를 처리하는
서비스 제공 장치. - 서비스 제공 장치의 동작 방법에 있어서,
하나 이상의 사용자단말 간 송수신되는 메일정보를 수집하는 수집단계;
사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭을 처리하고, 상기 매칭 처리된 메일보안 프로세스에 의해 상기 메일정보를 검사하며, 상기 검사결과에 따른 메일보안 검사정보를 저장 및 관리하는 보안위협 검사단계;
상기 메일보안 검사정보 및 상기 메일정보 분석을 통해 획득되는 보안위협 판별정보에 따라 메일 상태를 처리하는 메일 처리단계; 및
상기 보안위협 판별정보에 따라 처리된 상기 메일정보를 레코드정보로 저장하고 관리하는 레코드 관리단계;를 포함하는
서비스 제공 장치의 동작 방법. - 제 15항에 있어서,
상기 레코드 관리단계는,
상기 보안위협 판별정보에 따라 정상메일로 처리되는 경우, 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅 정보, 메일 내용 본문 중 하나 이상을 포함하는 상기 레코드정보를 신뢰인증로그로 저장하고 관리하는 관계정보 관리단계;를 더 포함하는
서비스 제공 장치의 동작 방법. - 제 16항에 있어서,
상기 메일정보 및 상기 신뢰인증로그 분석에 기초하여 획득되는 관계분석정보를 저장 및 관리하는 관계분석단계;를 더 포함하는
서비스 제공 장치의 동작 방법. - 제 17항에 있어서,
상기 보안위협 검사단계는,
상기 메일보안 프로세스가 스팸메일 보안 프로세스인 경우, 이메일 헤더 정보, 이메일 제목, 이메일 내용 본문, 일정 기간 수신 횟수 중 하나 이상을 포함하는 상기 메일정보를 사전 설정한 스팸지표와 단계별로 매칭하는 스팸메일 검사단계;
상기 메일보안 프로세스가 악성코드 보안 프로세스인 경우, 첨부파일의 확장자, 첨부파일의 해시정보, 첨부파일명, 첨부파일 내용 본문, URL(Uniform Resource Locator) 정보 중 하나 이상을 포함하는 상기 메일정보를 사전 설정한 악성코드지표와 단계별로 매칭하는 악성코드 검사단계;
상기 메일보안 프로세스가 사칭메일 보안 프로세스인 경우, 상기 관계분석정보에 대하여 사전 설정한 관계분석지표와 단계별로 매칭하는 사칭메일 검사단계; 및
상기 메일보안 프로세스가 메일반출 보안 프로세스인 경우, 상기 메일정보에 기반하여 사전 설정한 메일반출 관리지표와 단계별로 매칭하는 메일반출 검사단계;를 더 포함하는
서비스 제공 장치의 동작 방법. - 제 15항에 있어서,
상기 메일 처리단계는,
상기 보안위협 판별정보에 따라 정상메일로 판별된 메일에 대하여, 상기 사용자단말이 처리 가능한 수신 또는 발신 상태로 처리하는 메일분배 처리단계;
상기 보안위협 판별정보에 따라 비정상메일로 판별된 메일에 대하여, 상기 사용자단말의 접근이 불가능한 상태로 처리하는 메일폐기 처리단계; 및
상기 보안위협 판별정보에 따라 그레이메일로 판별된 메일에 대하여, 상기 그레이메일을 비실행파일 콘텐츠로 변환 처리하고 상기 사용자단말이 메일 상태를 선택적으로 처리할 수 있도록 제공하는 메일 무해화 처리단계;를 더 포함하는
서비스 제공 장치의 동작 방법. - 제 15항에 있어서,
상기 보안위협 판별정보에 따라 비정상메일로 판별된 메일에 대하여, 상기 비정상메일을 비실행파일 콘텐츠로 변환시켜 상기 사용자단말에서 수신 또는 발신 처리가 될 수 있도록 제공하는 취약점 테스트단계;를 더 포함하는
서비스 제공 장치의 동작 방법.
Priority Applications (5)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| KR1020200180096A KR102454600B1 (ko) | 2020-12-21 | 2020-12-21 | 보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법 |
| PCT/KR2021/006395 WO2022139078A1 (ko) | 2020-12-21 | 2021-05-24 | 보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법 |
| US18/255,321 US20240007498A1 (en) | 2020-12-21 | 2021-05-24 | Apparatus for providing mail security service using hierarchical architecture based on security level and operation method therefor |
| JP2022573716A JP2023527568A (ja) | 2020-12-21 | 2021-05-24 | セキュリティレベルに基づく階層的アーキテクチャーを用いた電子メールセキュリティサービスの提供装置及びその動作方法 |
| KR1020220128975A KR102464629B1 (ko) | 2020-12-21 | 2022-10-07 | 보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| KR1020200180096A KR102454600B1 (ko) | 2020-12-21 | 2020-12-21 | 보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법 |
Related Child Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| KR1020220128975A Division KR102464629B1 (ko) | 2020-12-21 | 2022-10-07 | 보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법 |
Publications (3)
| Publication Number | Publication Date |
|---|---|
| KR20220089459A true KR20220089459A (ko) | 2022-06-28 |
| KR102454600B1 KR102454600B1 (ko) | 2022-10-14 |
| KR102454600B9 KR102454600B9 (ko) | 2023-04-17 |
Family
ID=82158088
Family Applications (2)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| KR1020200180096A KR102454600B1 (ko) | 2020-12-21 | 2020-12-21 | 보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법 |
| KR1020220128975A KR102464629B1 (ko) | 2020-12-21 | 2022-10-07 | 보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법 |
Family Applications After (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| KR1020220128975A KR102464629B1 (ko) | 2020-12-21 | 2022-10-07 | 보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법 |
Country Status (4)
| Country | Link |
|---|---|
| US (1) | US20240007498A1 (ko) |
| JP (1) | JP2023527568A (ko) |
| KR (2) | KR102454600B1 (ko) |
| WO (1) | WO2022139078A1 (ko) |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR102488942B1 (ko) * | 2022-10-07 | 2023-01-18 | 시큐레터 주식회사 | 이메일에 첨부된 암호를 갖는 압축파일의 처리를 위한 방법 및 이를 위한 장치 |
| KR102534016B1 (ko) * | 2022-07-18 | 2023-05-18 | 주식회사 세퍼드 | 지원사업 연계 보안 서비스 제공 방법 및 그 장치 |
| CN117150486A (zh) * | 2023-07-27 | 2023-12-01 | 安徽启慧信息科技有限公司 | 基于互联网的信息安全防护系统 |
| WO2024019506A1 (ko) * | 2022-07-22 | 2024-01-25 | (주)기원테크 | 이메일 통신 프로토콜 기반 접속 관리 및 차단 기능을 제공하는 메일 접속 보안 시스템의 메일 보안 처리 장치 및 그 동작 방법 |
| WO2024029666A1 (ko) * | 2022-08-04 | 2024-02-08 | (주)기원테크 | 표적형 이메일 공격 차단 및 대응을 위한 이메일 보안 시스템 및 그 동작 방법 |
| WO2024029796A1 (ko) * | 2022-08-04 | 2024-02-08 | (주)기원테크 | 비승인 이메일 서버 접근 공격 검사를 수행하는 표적형 이메일 공격 차단 및 대응을 위한 이메일 보안 시스템 및 그 동작 방법 |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20130131133A (ko) * | 2012-05-23 | 2013-12-03 | 경기대학교 산학협력단 | 내외부 트래픽 모니터링을 통한 지능화된 피싱 메일의 차단방법 및 지능화된 피싱 메일의 차단시스템 |
| KR101595379B1 (ko) | 2015-02-04 | 2016-02-18 | (주)이월리서치 | 악성코드가 첨부된 전자메일의 통제 및 차단 시스템 |
| KR101989509B1 (ko) * | 2017-12-29 | 2019-06-14 | (주)리투인소프트웨어 | 전자메일 가공 시스템 및 방법 |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8719352B2 (en) * | 2010-01-29 | 2014-05-06 | Mcafee, Inc. | Reputation management for network content classification |
| US8521667B2 (en) * | 2010-12-15 | 2013-08-27 | Microsoft Corporation | Detection and categorization of malicious URLs |
| US9143476B2 (en) * | 2012-09-14 | 2015-09-22 | Return Path, Inc. | Real-time classification of email message traffic |
-
2020
- 2020-12-21 KR KR1020200180096A patent/KR102454600B1/ko active IP Right Grant
-
2021
- 2021-05-24 WO PCT/KR2021/006395 patent/WO2022139078A1/ko active Application Filing
- 2021-05-24 JP JP2022573716A patent/JP2023527568A/ja active Pending
- 2021-05-24 US US18/255,321 patent/US20240007498A1/en active Pending
-
2022
- 2022-10-07 KR KR1020220128975A patent/KR102464629B1/ko active IP Right Grant
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20130131133A (ko) * | 2012-05-23 | 2013-12-03 | 경기대학교 산학협력단 | 내외부 트래픽 모니터링을 통한 지능화된 피싱 메일의 차단방법 및 지능화된 피싱 메일의 차단시스템 |
| KR101595379B1 (ko) | 2015-02-04 | 2016-02-18 | (주)이월리서치 | 악성코드가 첨부된 전자메일의 통제 및 차단 시스템 |
| KR101989509B1 (ko) * | 2017-12-29 | 2019-06-14 | (주)리투인소프트웨어 | 전자메일 가공 시스템 및 방법 |
Cited By (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR102534016B1 (ko) * | 2022-07-18 | 2023-05-18 | 주식회사 세퍼드 | 지원사업 연계 보안 서비스 제공 방법 및 그 장치 |
| WO2024019235A1 (ko) * | 2022-07-18 | 2024-01-25 | 주식회사 세퍼드 | 지원사업 연계 보안 서비스 제공 방법 및 그 장치 |
| WO2024019506A1 (ko) * | 2022-07-22 | 2024-01-25 | (주)기원테크 | 이메일 통신 프로토콜 기반 접속 관리 및 차단 기능을 제공하는 메일 접속 보안 시스템의 메일 보안 처리 장치 및 그 동작 방법 |
| WO2024029666A1 (ko) * | 2022-08-04 | 2024-02-08 | (주)기원테크 | 표적형 이메일 공격 차단 및 대응을 위한 이메일 보안 시스템 및 그 동작 방법 |
| WO2024029796A1 (ko) * | 2022-08-04 | 2024-02-08 | (주)기원테크 | 비승인 이메일 서버 접근 공격 검사를 수행하는 표적형 이메일 공격 차단 및 대응을 위한 이메일 보안 시스템 및 그 동작 방법 |
| KR102488942B1 (ko) * | 2022-10-07 | 2023-01-18 | 시큐레터 주식회사 | 이메일에 첨부된 암호를 갖는 압축파일의 처리를 위한 방법 및 이를 위한 장치 |
| WO2024075871A1 (ko) * | 2022-10-07 | 2024-04-11 | 시큐레터 주식회사 | 이메일에 첨부된 암호를 갖는 압축파일의 처리를 위한 방법 및 이를 위한 장치 |
| CN117150486A (zh) * | 2023-07-27 | 2023-12-01 | 安徽启慧信息科技有限公司 | 基于互联网的信息安全防护系统 |
| CN117150486B (zh) * | 2023-07-27 | 2024-04-26 | 河南中信科大数据科技有限公司 | 基于互联网的信息安全防护系统 |
Also Published As
| Publication number | Publication date |
|---|---|
| KR102454600B1 (ko) | 2022-10-14 |
| WO2022139078A1 (ko) | 2022-06-30 |
| JP2023527568A (ja) | 2023-06-29 |
| KR102464629B9 (ko) | 2023-04-17 |
| KR20220141774A (ko) | 2022-10-20 |
| KR102464629B1 (ko) | 2022-11-09 |
| KR102454600B9 (ko) | 2023-04-17 |
| US20240007498A1 (en) | 2024-01-04 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| KR102464629B1 (ko) | 보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법 | |
| US11102244B1 (en) | Automated intelligence gathering | |
| US11044267B2 (en) | Using a measure of influence of sender in determining a security risk associated with an electronic message | |
| US20220078197A1 (en) | Using message context to evaluate security of requested data | |
| US11323464B2 (en) | Artifact modification and associated abuse detection | |
| US11722513B2 (en) | Using a measure of influence of sender in determining a security risk associated with an electronic message | |
| JP5118020B2 (ja) | 電子メッセージ中での脅威の識別 | |
| US20240089285A1 (en) | Automated responsive message to determine a security risk of a message sender | |
| WO2018102308A2 (en) | Detecting computer security risk based on previously observed communications | |
| US11336610B2 (en) | Email sender and reply-to authentication to prevent interception of email replies | |
| KR20070103774A (ko) | 통신 제어 장치 및 통신 제어 시스템 | |
| KR102648653B1 (ko) | 메일 보안 기반의 제로데이 url 공격 방어 서비스 제공 장치 및 그 동작 방법 | |
| KR102546068B1 (ko) | 위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법 | |
| KR102494546B1 (ko) | 이메일 통신 프로토콜 기반 접속 관리 및 차단 기능을 제공하는 메일 접속 보안 시스템의 메일 보안 처리 장치 및 그 동작 방법 | |
| Jakobsson | The rising threat of launchpad attacks | |
| WO2023102105A1 (en) | Detecting and mitigating multi-stage email threats | |
| US20230171287A1 (en) | System and method for identifying a phishing email | |
| Amin | Detecting targeted malicious email through supervised classification of persistent threat and recipient oriented features | |
| KR20240019669A (ko) | 표적형 이메일 공격 차단 및 대응을 위한 이메일 보안 시스템 및 그 동작 방법 | |
| US20230171213A1 (en) | Detecting and mitigating multi-stage email threats | |
| CN117527746A (zh) | 一种邮件处理方法、装置、电子设备及存储介质 | |
| CN117254971A (zh) | 基于区块链网络的邮件传输方法、装置、设备及存储介质 | |
| GARG | Integrated Approach for Email Spam Filter |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| E701 | Decision to grant or registration of patent right | ||
| GRNT | Written decision to grant | ||
| G170 | Re-publication after modification of scope of protection [patent] |