KR20220097037A - 데이터 유출 방지 시스템 - Google Patents

데이터 유출 방지 시스템 Download PDF

Info

Publication number
KR20220097037A
KR20220097037A KR1020200190003A KR20200190003A KR20220097037A KR 20220097037 A KR20220097037 A KR 20220097037A KR 1020200190003 A KR1020200190003 A KR 1020200190003A KR 20200190003 A KR20200190003 A KR 20200190003A KR 20220097037 A KR20220097037 A KR 20220097037A
Authority
KR
South Korea
Prior art keywords
file
leakage prevention
data leakage
storage device
program
Prior art date
Application number
KR1020200190003A
Other languages
English (en)
Inventor
우종현
홍민의
김효동
황인욱
최유선
양영모
이성진
김신애
이하은
신세윤
김응표
신영일
임연택
Original Assignee
(주)나무소프트
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by (주)나무소프트 filed Critical (주)나무소프트
Priority to KR1020200190003A priority Critical patent/KR20220097037A/ko
Publication of KR20220097037A publication Critical patent/KR20220097037A/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/10—File systems; File servers
    • G06F16/17—Details of further file system functions
    • G06F16/176—Support for shared access to files; File sharing support
    • G06F16/1767—Concurrency control, e.g. optimistic or pessimistic approaches
    • G06F16/1774—Locking methods, e.g. locking methods for file systems allowing shared and concurrent access to files

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Data Mining & Analysis (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)

Abstract

데이터 유출 방지 스토리지 장치; 및 사용자 단말 또는 서비스 서버에 설치되며, 상기 데이터 유출 방지 스토리지 장치와의 연동 동작을 수행하는 에이전트 프로그램;을 포함하는 데이터 유출 방지 시스템이 제공된다. 여기서, 상기 에이전트 프로그램은, 상기 사용자 단말 또는 상기 서비스 서버로부터 상기 데이터 유출 방지 스토리지 장치에 보관된 파일에 관한 열기 요청이 있는 경우, 열기 요청된 파일의 실행을 담당할 사전 등록된 실행 프로그램을 조회하고, 조회된 실행 프로그램의 경로 정보를 상기 데이터 유출 방지 스토리지 장치로 전달한다. 이때, 상기 데이터 유출 방지 스토리지 장치는, 수신된 상기 실행 프로그램의 경로 정보의 검증을 수행하여, 등록된 경로와 다른 실행 프로그램을 통한 열기 요청인 경우 상기 열기 요청을 거부하거나 또는 열기 요청된 원본 파일이 아닌 가짜 파일(fake file)을 반환한다.

Description

데이터 유출 방지 시스템{DATA LEAK PREVENTION SYSTEM}
본 발명은 데이터 유출 방지 시스템에 관한 것으로서, 보다 구체적으로는 허용되지 않는 프로세스에 의해 중요 데이터 파일의 정보가 유출되는 것을 방지하는 시스템에 관한 것이다.
해커들에 의한 피싱 공격이 갈수록 다양화되면서 점점 더 사용자들의 데이터가 위협받고 있다. 일반적으로 피싱(phishing)이란 사용자의 단말기에 저장된 데이터를 유출하는 공격으로 사용자 단말기에 존재하는 계정정보나 전자인증서, 주요 데이터 등을 탈취하는 공격을 의미한다.
이러한 피싱 공격에 대응하는 기존 방법으로는 PC내 저장공간을 암호화하고 해당특정 저장공간에 접근하는 프로세스가 사전에 지정된 프로세스인지 아닌지를 확인하는 기술이 사용되었으나, 해당 저장공간을 암호화하였더라도 암호화된 저장공간을 구성한 파일을 탈취하여 복호화하는 경우가 발생하고 있다. 따라서 데이터 유출을 예방하기 위한 신규의 기술이 요구된다.
본 발명은 허용되지 않는 프로세스에 의해 중요 데이터 파일의 정보가 유출되는 것을 방지하는 데이터 유출 방지 시스템을 제공하기 위한 것이다.
본 발명의 일 측면에 따르면, 데이터 유출 방지 스토리지 장치; 및 사용자 단말 또는 서비스 서버에 설치되며, 상기 데이터 유출 방지 스토리지 장치와의 연동 동작을 수행하는 에이전트 프로그램;을 포함하는 데이터 유출 방지 시스템이 제공된다. 여기서, 상기 에이전트 프로그램은, 상기 사용자 단말 또는 상기 서비스 서버로부터 상기 데이터 유출 방지 스토리지 장치에 보관된 파일에 관한 열기 요청이 있는 경우, 열기 요청된 파일의 실행을 담당할 사전 등록된 실행 프로그램을 조회하고, 조회된 실행 프로그램의 경로 정보를 상기 데이터 유출 방지 스토리지 장치로 전달한다. 이때, 상기 데이터 유출 방지 스토리지 장치는, 수신된 상기 실행 프로그램의 경로 정보의 검증을 수행하여, 등록된 경로와 다른 실행 프로그램을 통한 열기 요청인 경우 상기 열기 요청을 거부하거나 또는 열기 요청된 원본 파일이 아닌 가짜 파일(fake file)을 반환한다.
본 발명의 실시예에 따른 데이터 유출 방지 시스템에 의하면, 사용자 단말 또는 서비스 서버와 네트워크 연결되되 물리적으로는 독립된 별개의 저장 장치를 이용하되, 보안 정책에 따라 허용되지 않는 프로세스에 의한 데이터 파일의 정보 유출을 방지함으로써, 외부로부터의 데이터 탈취 공격을 예방 및 차단할 수 있는 효과가 있다.
도 1은 본 발명의 실시예에 따른 데이터 유출 방지 시스템의 전반적 시스템 구성을 도시한 도면.
도 2는 본 발명의 실시예에 따라, 파일 별 연결 프로그램을 지정하여 보안 프로그램을 등록하는 과정을 도시한 도면.
도 3은 본 발명의 실시예에 따른 데이터 유출 방지 방법에 관한 처리 절차를 도시한 도면.
도 4는 본 발명의 실시예에 따른 편집 모드에서의 데이터 유출 방지 방법에 관한 처리 절차를 도시한 도면.
도 5는 윈도우 탐색기에서 데이터 유출 방지 스토리지 장치의 저장공간이 네트워크 드라이브로 마운트된 후에, 사용자가 특정 파일을 '편집모드 열기' 또는 ' 편집모드 전환'하려는 경우에 대한 화면 예시.
본 발명은 다양한 변환을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시예들을 도면에 예시하고 상세한 설명에 상세하게 설명하고자 한다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변환, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다.
본 발명을 설명함에 있어서, 관련된 공지 기술에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우 그 상세한 설명을 생략한다. 또한, 본 명세서의 설명 과정에서 이용되는 숫자(예를 들어, 제1, 제2 등)는 하나의 구성요소를 다른 구성요소와 구분하기 위한 식별기호에 불과하다.
또한, 명세서 전체에서, 일 구성요소가 다른 구성요소와 "연결된다" 거나 "접속된다" 등으로 언급된 때에는, 상기 일 구성요소가 상기 다른 구성요소와 직접 연결되거나 또는 직접 접속될 수도 있지만, 특별히 반대되는 기재가 존재하지 않는 이상, 중간에 또 다른 구성요소를 매개하여 연결되거나 또는 접속될 수도 있다고 이해되어야 할 것이다. 또한, 명세서 전체에서, 어떤 부분이 어떤 구성요소를 "포함"한다고 할 때, 이는 특별히 반대되는 기재가 없는 한 다른 구성요소를 제외하는 것이 아니라 다른 구성요소를 더 포함할 수 있는 것을 의미한다. 또한, 명세서에 기재된 "부", "모듈" 등의 용어는 적어도 하나의 기능이나 동작을 처리하는 단위를 의미하며, 이는 하나 이상의 하드웨어나 소프트웨어 또는 하드웨어 및 소프트웨어의 조합으로 구현될 수 있음을 의미한다.
이하, 첨부된 도면들을 참조하여 본 발명의 실시예를 상세히 설명한다.
도 1은 본 발명의 실시예에 따른 데이터 유출 방지 시스템의 전반적 시스템 구성을 도시한 도면이고, 도 2는 본 발명의 실시예에 따라, 파일 별 연결 프로그램을 지정하여 보안 프로그램을 등록하는 과정을 도시한 도면이며, 도 3은 본 발명의 실시예에 따른 데이터 유출 방지 방법에 관한 처리 절차를 도시한 도면이고, 도 4는 본 발명의 실시예에 따른 편집 모드에서의 데이터 유출 방지 방법에 관한 처리 절차를 도시한 도면이다. 또한, 도 5는 윈도우 탐색기에서 데이터 유출 방지 스토리지 장치의 저장공간이 네트워크 드라이브로 마운트된 후에, 사용자가 특정 파일을 '편집모드 열기' 또는 ' 편집모드 전환'하려는 경우에 대한 화면 예시이다.
[도 1의 설명]
본 발명의 실시예에 따른, 데이터 유출 방지 시스템은, 데이터 유출 방지 스토리지 장치; 및 PC, 노트북 등의 사용자 단말(또는 시스템 구성에 따라 서비스 서버일 수도 있음, 이하 이와 동일함)에 설치되며, 상기 데이터 유출 방지 스토리지 장치와의 연동 동작을 수행하는 에이전트 프로그램(도 1의 agent 참조, 이하, 도 2 ~ 도 4도 동일함);을 포함한다.
이때, 데이터 유출 방지 스토리지 장치는, 데이터 저장소(도 1의 Storage 참조) 및 데이터 저장소에 저장된 파일의 접근을 제어하는 접근 제어 장치(도 1의 grpServer 참조, 도 2 ~ 도 4도 동일함)를 포함하여 구현될 수 있다.
이때, 에이전트 프로그램은, 상기 데이터 유출 방지 스토리지 장치와 네트워크를 통해 연결되어, 상기 데이터 유출 방지 스토리지 장치의 데이터 저장소 내의 특정 저장 영역이 네트워크 드라이브 형태로 상기 사용자 단말에 마운트되도록 하고, 상기 데이터 저장소에 보관된 파일에 접근하려고 하는 연결 프로그램을 관리한다. 이러한 에이전트 프로그램은, 파일 탐색기(Explorer.exe)(예를 들어, 윈도우 탐색기)에 Shell Extension된 메뉴 형태로 추가될 수 있다.
또한 도면 도시에 의할 때, grpProcess는 사용자 단말에 설치된 OS(Operating System)의 커널(kernel)로부터 각종 파일 I/O 이벤트를 모니터링하고, 해당 파일 I/O 이벤트와 관련된 프로그램의 실행 및 종료를 모니터링한다.
[도 2의 설명]
도 2를 참조하면, 사용자가 파일 탐색기에서 특정 파일에 관한 열기 요청을 하면, 에이전트 프로그램은 파일 열기 요청을 수신하고, 해당 파일과 연결된 실행 프로그램을 조회한다.
즉, 도 2에 의할 때, 상기 에이전트 프로그램은, 상기 데이터 유출 방지 스토리지 장치의 데이터 저장소에 보관된 파일 마다 해당 파일의 실행을 담당할 실행 프로그램을 사전에 연계하여 등록시키는 프로세스를 진행함으로써, 각 파일 별로 연결될 실행 프로그램(이하, 파일별 연결 프로그램이라 간략 명명함)이 사용자(혹은 관리자)에 의해 지정되도록 할 수 있다. 이 과정에서 소정의 인증 절차(도 2의 TOTP(Time OTP)를 이용한 인증 절차 참조)가 추가될 수 있다.
상술한 과정을 통해서 파일 별 연결 프로그램이 지정되면, 상기 에이전트 프로그램은 이에 관한 파일-프로그램 연결정보를 등록할 수 있다. 이러한 파일-프로그램 연결정보는 상기 데이터 유출 방지 스토리지 장치의 접근 제어 장치(도 2의 grpServer 참조)로도 전달되어 저장된다.
이때, 파일-프로그램 연결정보로는, 해당 파일의 실행을 담당할 것으로 지정된 해당 실행 프로그램의 경로 정보가 이용될 수 있다.
일 예로, 상기 실행 프로그램의 경로 정보는, 상기 실행 프로그램에 관한 실행 파일이 저장된 위치에 상응하는 전체 경로(full path)에 관한 해시(hash) 값이 이용될 수 있다. 다른 예로, 상기 실행 프로그램의 경로 정보는, 상기 실행 프로그램의 실행 파일에 관한 상기 전체 경로 정보 및 상기 실행 프로그램의 실행 파일의 바이너리(binary) 값을 이용하여 생성되는 해시값이 이용될 수 있다.
또한 시스템 구현 방식에 따라, 상기 실행 프로그램의 경로 정보인 해시값을 생성할 때, 위 2가지 예시에서의 정보와 해당 파일 자체의 전체 경로(full path)를 함께 이용할 수도 있음은 물론이다.
[도 3의 설명]
상술한 바와 같이, 각각의 파일 별 연결 프로그램에 관한 파일-프로그램 연결정보가 등록되면, 이를 이용하여 데이터 유출 방지 동작을 실행하게 된다.
도 3을 참조하면, 상기 에이전트 프로그램은, 상기 사용자 단말로부터 상기 데이터 유출 방지 스토리지 장치의 데이터 저장소에 보관된 파일에 관한 열기 요청이 있는 경우, 열기 요청된 파일의 연결 프로그램을 조회하고, 열기 요청된 해당 파일 및 조회된 파일-프로그램 연결정보(즉, 상술한 해시값, 도 3의 process hash 참조)를 상기 데이터 유출 방지 스토리지 장치의 접근 제어 장치(도 3의 grpServer 참조)로 전달할 수 있다.
이 경우, 상기 데이터 유출 방지 스토리지 장치는 상기 에이전트 프로그램으로부터 수신된 해시값이 자체 등록해둔 해시값과 일치하는지에 관한 검증을 수행하고, 이에 따라, 양 해시값이 일치하는 경우 상기 열기 요청된 원본 파일을 상기 에이전트 프로그램으로 반환하고, 양 해시값이 불일치하는 경우 상기 열기 요청을 거부하거나 또는 열기 요청된 원본 파일이 아닌 가짜 파일(fake file)을 반환할 수 있다.
본 발명의 실시예에서, 상기 가짜 파일(fake file)은, 열기 요청된 원본 파일과 파일 용량은 동일하되, 파일 본문이 널 값(null value) 또는 미지의 값(unknown value)으로 채워진 파일일 수 있다.
본 발명은 상술한 바와 같이, 사용자 단말에 네트워크 드라이브 형태로 마운트되되 물리적으로는 독립된 별개의 저장 장치를 이용하되, 보안 정책에 따라서 파일 별로 연계 지정된 연결 프로그램의 경로 정보의 검증을 통해서, 사전 지정해둔 프로그램이 아닌 실행 프로그램을 이용하여 접근하는 프로세스에 의한 데이터 파일의 정보 유출을 방지함으로써, 외부로부터의 데이터 탈취 공격을 예방 및 차단할 수 있는 효과가 있다.
[도 4의 설명]
본 발명의 데이터 유출 방지 시스템은 일부 예외적인 데이터 처리 방식으로서, 편집 모드에 의한 파일 열기를 허용할 수 있는데, 도 4는 이에 관한 처리 방식을 도시한 도면이다.
편집 모드란, 랜섬웨어 공격 등과 명확히 구별되는 정당 사용자의 파일 조작 행위임이 인정되는 상황이라면, 해당 사용자의 자유로운 파일 조작 행위는 허용해주자는 취지의 예외적 처리 방법에 해당한다.
예를 들어, 도 5에 도시된 바와 같이, 사용자는 마우스 우클릭을 통해 보여지는 메뉴 항목에서 편집 모드 열기를 선택함으로써, 앞서 도 1 ~ 3의 처리 방식의 예외로서 해당 파일에 관한 자유로운 조작이 가능할 수 있다.
다만, 이러한 편집 모드에서도 일정 수준의 데이터 보안은 필요한 바, 본 발명의 실시예에서는 도 4와 같은 처리 절차에 의해 데이터 보안을 유지한다.
도 4를 참조하면, 사용자에 의해 특정 파일에 관한 편집 모드 열기가 선택된 경우, 해당 파일이 보관 위치가 상기 데이터 유출 방지 스토리지 장치의 데이터 보관소에 해당하는 경우로서(도 4의 네트워크 드라이브 참조), 해당 파일 열기 요청에 따른 프로세스가 앞서 설명한 연결 프로그램에 의한 것(도 4의 보안 프로세스 참조)이 아닌 일반 프로세스에 의하는 경우라면, 편집 모드 열기가 선택된 경우라도, 상기 데이터 유출 방지 스토리지 장치가, 해당 편집 모드 열기 요청이 거부하거나 또는 가짜 파일을 반환할 수 있다.
이상에서는 본 발명의 실시예를 참조하여 설명하였지만, 해당 기술 분야에서 통상의 지식을 가진 자라면 하기의 특허 청구의 범위에 기재된 본 발명의 사상 및 영역으로부터 벗어나지 않는 범위 내에서 본 발명을 다양하게 수정 및 변경시킬 수 있음을 쉽게 이해할 수 있을 것이다.

Claims (4)

  1. 데이터 유출 방지 시스템으로서,
    데이터 유출 방지 스토리지 장치; 및 사용자 단말 또는 서비스 서버에 설치되며, 상기 데이터 유출 방지 스토리지 장치와의 연동 동작을 수행하는 에이전트 프로그램;을 포함하고,
    상기 에이전트 프로그램은, 상기 사용자 단말 또는 상기 서비스 서버로부터 상기 데이터 유출 방지 스토리지 장치에 보관된 파일에 관한 열기 요청이 있는 경우, 열기 요청된 파일의 실행을 담당할 사전 등록된 실행 프로그램을 조회하고, 조회된 실행 프로그램의 경로 정보를 상기 데이터 유출 방지 스토리지 장치로 전달하고,
    상기 데이터 유출 방지 스토리지 장치는, 수신된 상기 실행 프로그램의 경로 정보의 검증을 수행하여, 등록된 경로와 다른 실행 프로그램을 통한 열기 요청인 경우 상기 열기 요청을 거부하거나 또는 열기 요청된 원본 파일이 아닌 가짜 파일(fake file)을 반환하는 것을 특징으로 하는, 데이터 유출 방지 시스템.
  2. 제1항에 있어서,
    상기 실행 프로그램의 경로 정보로는,
    상기 실행 프로그램에 관한 실행 파일이 저장된 위치에 상응하는 전체 경로(full path)에 관한 해시(hash) 값, 또는
    상기 전체 경로 및 상기 실행 프로그램에 관한 실행 파일의 바이너리 값을 이용하여 생성된 해시 값이 이용되는 것을 특징으로 하는, 데이터 유출 방지 시스템.
  3. 제2항에 있어서,
    상기 에이전트 프로그램은, 상기 열기 요청된 파일 및 상기 해시값을 상기 데이터 유출 방지 스토리지 장치로 전달하고,
    상기 데이터 유출 방지 스토리지 장치는, 상기 수신된 해시값이 상기 열기 요청된 파일과 연계 등록된 실행 프로그램에 관한 등록 해시값과 일치하는지를 검증하여, 양 해시값이 일치하는 경우 상기 열기 요청된 원본 파일을 상기 에이전트 프로그램으로 반환하고, 양 해시값이 불일치하는 경우, 상기 열기 요청을 거부하거나 또는 열기 요청된 원본 파일이 아닌 가짜 파일을 반환하는 것을 특징으로 하는, 데이터 유출 방지 시스템.
  4. 제1항에 있어서,
    상기 가짜 파일은, 열기 요청된 원본 파일과 파일 용량은 동일하되, 파일 본문이 널 값(null value) 또는 미지의 값(unknown value)으로 채워지는 것을 특징으로 하는, 데이터 유출 방지 시스템.
KR1020200190003A 2020-12-31 2020-12-31 데이터 유출 방지 시스템 KR20220097037A (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020200190003A KR20220097037A (ko) 2020-12-31 2020-12-31 데이터 유출 방지 시스템

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020200190003A KR20220097037A (ko) 2020-12-31 2020-12-31 데이터 유출 방지 시스템

Publications (1)

Publication Number Publication Date
KR20220097037A true KR20220097037A (ko) 2022-07-07

Family

ID=82397849

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020200190003A KR20220097037A (ko) 2020-12-31 2020-12-31 데이터 유출 방지 시스템

Country Status (1)

Country Link
KR (1) KR20220097037A (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2024071529A1 (ko) * 2022-09-30 2024-04-04 (주)나무소프트 로컬 데이터 보호 시스템

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2024071529A1 (ko) * 2022-09-30 2024-04-04 (주)나무소프트 로컬 데이터 보호 시스템

Similar Documents

Publication Publication Date Title
US7761618B2 (en) Using a USB host controller security extension for controlling changes in and auditing USB topology
US6173402B1 (en) Technique for localizing keyphrase-based data encryption and decryption
US6253324B1 (en) Server verification of requesting clients
JP5019869B2 (ja) コンピュータ装置の暗号化データへのアクセスを提供する方法
US7870610B1 (en) Detection of malicious programs
CN109923548A (zh) 通过监管进程访问加密数据实现数据保护的方法、系统及计算机程序产品
US20040255145A1 (en) Memory protection systems and methods for writable memory
US10979450B2 (en) Method and system for blocking phishing or ransomware attack
JP4975127B2 (ja) 取り外し可能な媒体に格納された実行可能なコードにタンパーエビデント性を提供する装置
JP2004265286A (ja) 環境に応じて選択されたセキュリティ・ポリシーに従うモバイル機器の管理
JP2007286905A (ja) 情報処理端末装置、ファイル流出防止方法およびファイル流出防止プログラム
CN115329389B (zh) 一种基于数据沙箱的文件保护系统及方法
WO2021051591A1 (zh) 安全键盘实现方法、装置、计算机设备及存储介质
KR20220097037A (ko) 데이터 유출 방지 시스템
KR20200013013A (ko) 피싱 또는 랜섬웨어 공격을 차단하는 방법 및 시스템
CN113162936B (zh) 一种防止异常动态分析的方法和系统
KR101844534B1 (ko) 전자 파일에 대한 보안 적용 방법
CN111506893A (zh) 一种外部设备管理方法、装置、电子设备及存储介质
US20230214505A1 (en) Read-only security protection
US11822699B1 (en) Preventing surreptitious access to file data by malware
KR102623168B1 (ko) 데이터 보호 시스템
JP2023516517A (ja) データ保護システム
US20240163264A1 (en) Real-time data encryption/decryption security system and method for network-based storage
US20020138434A1 (en) Method and apparatus in a data processing system for a keystore
CN117932595A (zh) 权限控制方法、装置、终端设备及计算机可读存储介质