KR20220098316A - 메일 보안 기반의 제로데이 url 공격 방어 서비스 제공 장치 및 그 동작 방법 - Google Patents
메일 보안 기반의 제로데이 url 공격 방어 서비스 제공 장치 및 그 동작 방법 Download PDFInfo
- Publication number
- KR20220098316A KR20220098316A KR1020217025415A KR20217025415A KR20220098316A KR 20220098316 A KR20220098316 A KR 20220098316A KR 1020217025415 A KR1020217025415 A KR 1020217025415A KR 20217025415 A KR20217025415 A KR 20217025415A KR 20220098316 A KR20220098316 A KR 20220098316A
- Authority
- KR
- South Korea
- Prior art keywords
- url
- information
- day
- zero
- Prior art date
Links
- 238000000034 method Methods 0.000 title claims abstract description 116
- 230000007123 defense Effects 0.000 title abstract description 25
- 238000007689 inspection Methods 0.000 claims abstract description 199
- 230000008569 process Effects 0.000 claims abstract description 86
- 238000003745 diagnosis Methods 0.000 claims abstract description 51
- 238000006243 chemical reaction Methods 0.000 claims abstract description 18
- 238000012545 processing Methods 0.000 claims description 79
- 238000004458 analytical method Methods 0.000 claims description 55
- 238000013515 script Methods 0.000 claims description 8
- 230000006698 induction Effects 0.000 claims 2
- 238000011017 operating method Methods 0.000 abstract description 3
- 238000007726 management method Methods 0.000 description 25
- 238000004891 communication Methods 0.000 description 18
- 230000006870 function Effects 0.000 description 16
- 238000010586 diagram Methods 0.000 description 14
- 230000002159 abnormal effect Effects 0.000 description 13
- 238000005516 engineering process Methods 0.000 description 10
- 238000012360 testing method Methods 0.000 description 9
- 230000005540 biological transmission Effects 0.000 description 8
- 230000000903 blocking effect Effects 0.000 description 8
- 230000005856 abnormality Effects 0.000 description 6
- 238000000682 scanning probe acoustic microscopy Methods 0.000 description 6
- 238000001784 detoxification Methods 0.000 description 4
- 238000011156 evaluation Methods 0.000 description 4
- 208000015181 infectious disease Diseases 0.000 description 4
- 230000009471 action Effects 0.000 description 3
- 230000008859 change Effects 0.000 description 3
- 238000002347 injection Methods 0.000 description 3
- 239000007924 injection Substances 0.000 description 3
- 238000013507 mapping Methods 0.000 description 3
- 238000010295 mobile communication Methods 0.000 description 3
- 239000000243 solution Substances 0.000 description 3
- 238000012795 verification Methods 0.000 description 3
- 230000008901 benefit Effects 0.000 description 2
- 238000012790 confirmation Methods 0.000 description 2
- 230000006866 deterioration Effects 0.000 description 2
- 238000000605 extraction Methods 0.000 description 2
- 238000010191 image analysis Methods 0.000 description 2
- 230000001939 inductive effect Effects 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 230000002265 prevention Effects 0.000 description 2
- 206010000117 Abnormal behaviour Diseases 0.000 description 1
- 241000700605 Viruses Species 0.000 description 1
- 230000004075 alteration Effects 0.000 description 1
- 238000013473 artificial intelligence Methods 0.000 description 1
- 235000014510 cooky Nutrition 0.000 description 1
- 238000013500 data storage Methods 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 238000001914 filtration Methods 0.000 description 1
- ZXQYGBMAQZUVMI-GCMPRSNUSA-N gamma-cyhalothrin Chemical compound CC1(C)[C@@H](\C=C(/Cl)C(F)(F)F)[C@H]1C(=O)O[C@H](C#N)C1=CC=CC(OC=2C=CC=CC=2)=C1 ZXQYGBMAQZUVMI-GCMPRSNUSA-N 0.000 description 1
- 230000010365 information processing Effects 0.000 description 1
- 239000000203 mixture Substances 0.000 description 1
- 238000010606 normalization Methods 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 238000003672 processing method Methods 0.000 description 1
- 238000013468 resource allocation Methods 0.000 description 1
- 230000004044 response Effects 0.000 description 1
- 230000007480 spreading Effects 0.000 description 1
- 230000002194 synthesizing effect Effects 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
- 230000007704 transition Effects 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
-
- G06Q50/32—
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q50/00—Information and communication technology [ICT] specially adapted for implementation of business processes of specific business sectors, e.g. utilities or tourism
- G06Q50/60—Business processes related to postal services
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L51/00—User-to-user messaging in packet-switching networks, transmitted according to store-and-forward or real-time protocols, e.g. e-mail
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L51/00—User-to-user messaging in packet-switching networks, transmitted according to store-and-forward or real-time protocols, e.g. e-mail
- H04L51/21—Monitoring or handling of messages
- H04L51/212—Monitoring or handling of messages using filtering or selective blocking
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computing Systems (AREA)
- Theoretical Computer Science (AREA)
- Software Systems (AREA)
- General Physics & Mathematics (AREA)
- Physics & Mathematics (AREA)
- General Health & Medical Sciences (AREA)
- Health & Medical Sciences (AREA)
- Virology (AREA)
- Business, Economics & Management (AREA)
- Human Resources & Organizations (AREA)
- Economics (AREA)
- Marketing (AREA)
- Primary Health Care (AREA)
- Strategic Management (AREA)
- Tourism & Hospitality (AREA)
- General Business, Economics & Management (AREA)
- Information Transfer Between Computers (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
본 발명의 실시 예에 따른 메일 보안 기반의 제로데이 URL 공격 방어 서비스 제공 장치의 동작 방법에 있어서, 하나 이상의 사용자단말 간 송수신되는 메일정보를 수집하는 수집단계; 사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 URL(Uniform Resource Locator)이 포함되는 경우, 메일보안 프로세스에 의해 URL을 검사하고, 상기 검사 결과에 따른 URL 검사정보를 저장 및 관리하는 보안위협 검사단계; 상기 URL 검사정보에 기반하여, 상기 URL이 제로데이 공격 위험성이 잠재적으로 존재하는 제로데이 URL로 판별되는 경우, 상기 제로데이 URL을 사전 설정된 보안 URL로 변환하는 제로데이 URL 변환단계; 및 주기적으로, 상기 제로데이 URL을 대상으로 악성 URL 여부를 진단하는 제로데이 URL 진단단계;를 포함한다.
Description
본 발명은 메일 보안 기반의 제로데이 URL 공격 방어 서비스 제공 장치 및 그 동작 방법에 관한 것으로, 보다 상세하게는 메일에 포함되는 URL을 통해 보안위협을 가하는 제로데이 공격을 탐지하고 차단할 수 있는 메일 보안 기반의 제로데이 URL 공격 방어 서비스 제공 장치 및 그 동작 방법에 관한 것이다.
오늘날의 사회는 전세계적으로 컴퓨터와 정보통신기술의 발전으로 사회 생활의 전 분야에 걸쳐 사이버 의존도가 높아지고 있고 이는 더욱 더 가속화되는 추세에 있다. 근래에는 초고속, 초저지연, 초연결성을 지닌 5G 이동통신이 상용화되고 이를 기반으로 한 새로운 서비스가 등장하면서 사이버보안은 더욱 중요해지고 있다.
사물인터넷(IoT), 클라우드 시스템, 빅데이터, 인공지능(AI) 등의 기술분야는 정보통신기술과 결합하여 새로운 서비스 환경을 제공하고 있다. 이같은 서비스를 제공하는 시스템은 인터넷망 무선망 등을 통하여 PC 또는 휴대용 단말장치 등과 연결되어 실생활에서 이용될 수 있다.
이와 같이 다양한 단말장치 또는 통신기기와 연결되는 정보통신기술이 실생활과 더욱 밀접해지면서, 이를 이용하여 악의적인 의도를 가진 사이버 보안 위협이 나날이 증가하고 있다. 정교화되고 고도화된 사이버 보안 위협은 단체나 기관, 개인의 정보통신 단말장치의 이상 실행을 발생기키거나 관리정보의 위변조를 통한 사람의 실수를 유도하여 정보를 탈취하고 훼손하는 등의 피해를 입힐 수 있다. 또한 사이버 보안 위협을 통해 불법적으로 탈취된 정보는 금전 사기 범죄나 다른 경제적, 사회적 범죄를 저지르는데 이용될 수 있다.
사이버 보안 위협을 차단하고 대응하기 위하여 시스템화된 정보통신기술을 보호하고 관리되는 정보보호시스템이 활용될 수 있다. 정보보호시스템은 다양한 사이버 위협에 대응될 수 있도록 정보통신기술의 시스템 유형 또는 기술 특징에 따라 구축될 수 있고 단계별로 적용될 수 있다.
정보통신기술에서 활용되고 있는 이메일 시스템은 컴퓨터 단말을 통해 이용자 간 통신 회선을 이용하여 메시지를 주고 받을 수 있도록 내용 본문을 포함하는 전자우편물 서비스를 제공할 수 있다. 이 때, 이메일은 공유하고자 하는 내용을 포함하는 전자파일을 첨부할 수 있고 또는 웹사이트 연결 링크(URL; Uniform Resource Locator)를 본문에 기재하거나 첨부파일 내에 삽입할 수 있다.
이같이 이메일 시스템을 통해서 악의적인 의도를 가지고 악성 코드를 포함하는 실행 가능한 전자파일이 첨부되거나 특정 웹 사이트로 연결될 수 있는 URL이 삽입될 수 있다. 이를 통해, 이메일 수신자로 하여금 악성 코드를 실행시키거나 삽입된 URL을 통해 위변조된 웹사이트에 접속함으로써 사용자가 의도하지 않는 정보 처리가 수행되고 정보를 탈취당할 수 있다.
이같이 경제적, 사회적 피해를 유발할 수 있고 다양한 범죄와 연결될 수 있는 이메일 보안 위협에 대응하기 위하여 대한민국 등록특허 제10-1595379호와 같이 '악성코드가 첨부된 전자메일의 통제 및 차단 시스템'이 개시되어 있다. 상기 등록특허에는 외부의 서버 또는 단말기로부터 발송된 전자메일이 방화벽과, 스팸차단 소프트웨어가 내장되어 있는 스팸차단장치를 경유하여 전송되어 오면 대상시스템에서 전자메일을 수신하는 기능과, 상기 전자메일을 대상시스템에서 첨부파일이 있는지 여부를 확인하는데, 첨부파일이 없으면 대상시스템에서 메일서버로 상기 전자메일을 전송하고, 첨부파일이 있으면 사용자 업무 목적에 가장 많이 사용하는 첨부파일의 Type(문서, 압축, 이미지) 이외에는 상기 전자메일을 차단하여 악성코드 감염을 사전 방지하는 기능과, 첨부 파일 Type이 이미지인 경우에는 이미지는 변환이 불가능하므로 악성코드 감염이 불가하여 대상시스템에서 메일서버로 상기 전자메일을 전송하고, 첨부 파일 Type이 문서인 경우에는 수정이 불가능한 형태의 PDF로 문서를 변환하여 문서내부에 악성코드가 반영된 URL등을 메일 수신자가 클릭하여 사용자 단말기에 악성코드 감염되는 경우를 사전에 차단하는 방식으로 대상시스템에서 사용자단말기로 전자메일, 메신저, 모바일, 카카오톡 중에서 단수 또는 복수개로 선택하여 알림메일을 전송하는 기능과, 첨부 파일 Type이 압축 파일인 경우에는 먼저 압축을 해제하여 파일의 Type 분석하고 이미지인 경우에는 상기 방식으로 처리하고, 문서인 경우에는 PDF로 변환하여 상기 방식으로 처리하고, 실행파일인 경우에는 여러 종류의 악성코드 치료 솔루션이 탑재된 Virtual BOX에서 악성코드 감염 검사 및 치료를 실시하고 결과를 포함하는 알림메일을 전자메일, 메신저, 모바일, 카카오톡 중에서 단수 또는 복수개로 선택하여 대상시스템에서 메일서버로 알림처리를 전송하는 기능과, 대상시스템에서 실행 파일 이외에 악성코드 검사가 필요한 첨부 파일을 Virtual BOX로 전달하여 악성코드 검사 및 치료를 처리하고 그 결과를 다시 대상시스템에 전달하여 처리하는 기능을 갖는 대상시스템과; 상기 대상시스템으로부터 실행파일을 수신하는 Virtual BOX는 별도의 시스템으로 가상화 환경을 구성하고 여러종류의 악성코드 치료 솔루션을 탑재하여 실행파일 속에 숨겨진 악성코드 검사 및 치료를 처리하고 그 결과를 다시 대상시스템에 전달하여 주고, 검사 이전의 환경으로 원상복구 처리하는 Virtual BOX와; 상기 대상시스템으로부터 전자메일(알림 메일 포함)을 수신하고 사용자 단말기로 전자메일(알림 메일 포함)을 전달하는 기능을 갖는 메일서버와; 상기 대상시스템으로부터 알림 메일을 수신시 사용자가 알림 메일 확인을 통해서 원본 전자메일의 허용 또는 거부를 선택하는 기능과, 상기 수신된 전자메일을 로그인한 다음 확인하는 기능을 갖는 사용자단말기;를 포함하는 악성코드가 첨부된 전자메일의 통제 및 차단 시스템에 대하여 기술되어 있다.
이 같은 악성코드가 첨부된 전자메일의 통제 및 차단 시스템은 해킹코드(또는 악성코드)가 실행될 수 있는 첨부파일이 포함된 메일에 대하여 가상화 환경을 구성하여 검사와 치료를 수행할 수 있다. 그러나 상기 내용은 첨부파일에 내포될 수 있는 악성코드에 대한 검사에만 국한되어 있다. 또한 첨부파일 내에 악성코드 내포가 의심되면 PDF 형태로 변환하여 수신자에게 전달하는 방식은 수신자가 PDF에 포함된 URL을 직접 클릭하거나 웹브라우저에 입력할 시에는 보안리스크를 예방할 수 없는 한계가 있다. 또한 상기 내용은 첨부파일 이외에 메일 내용 본문에 포함될 수 있는 악성 URL에 대한 대응에는 한계가 있다.
본 발명은 상기한 종래의 문제점을 해결하기 위한 것으로, 이메일 시스템에서 처리되는 수신메일 내용 본문 또는 첨부파일 등에 포함될 수 있는 URL을 추출하여 검사하고 특히, 평판 정보가 없는 제로데이 URL인 경우, 정상 URL로 보장받을 수 있는 데이터가 축적되기 전까지 사용자에게 보안지대를 제공하여 URL 연결 요청 시 1차적으로 경유하고, URL에 대한 보안검사를 통해 안전성이 보장되는 경우 연결을 허용해 주는 메일 보안 기반의 제로데이 URL 공격 방어 서비스 제공 장치 및 그 동작 방법을 제공하는데 그 목적이 있다.
상기 과제를 해결하기 위한 본 발명의 실시 예에 따른 방법은, 메일 보안 기반의 제로데이 URL 공격 방어 서비스 제공 장치의 동작 방법에 있어서, 하나 이상의 사용자단말 간 송수신되는 메일정보를 수집하는 수집단계; 사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 URL(Uniform Resource Locator)이 포함되는 경우, 메일보안 프로세스에 의해 URL을 검사하고, 상기 검사 결과에 따른 URL 검사정보를 저장 및 관리하는 보안위협 검사단계; 상기 URL 검사정보에 기반하여, 상기 URL이 제로데이 공격 위험성이 잠재적으로 존재하는 제로데이 URL로 판별되는 경우, 상기 제로데이 URL을 사전 설정된 보안 URL로 변환하는 제로데이 URL 변환단계; 및 주기적으로, 상기 제로데이 URL을 대상으로 악성 URL 여부를 진단하는 제로데이 URL 진단단계;를 포함한다.
또한, 상기와 같은 과제를 해결하기 위한 본 발명의 실시 예에 따른 장치는, 하나 이상의 사용자단말 간 송수신되는 메일정보를 수집하는 수집부; 사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 URL(Uniform Resource Locator)이 포함되는 경우, 메일보안 프로세스에 의해 URL을 검사하고, 상기 검사 결과에 따른 URL 검사정보를 저장 및 관리하는 보안위협 검사부; 상기 URL 검사정보에 기반하여, 상기 URL이 제로데이 공격 위험성이 잠재적으로 존재하는 제로데이 URL로 판별되는 경우, 상기 제로데이 URL을 사전 설정된 보안 URL로 변환하는 제로데이 URL 변환부; 및 주기적으로, 상기 제로데이 URL을 대상으로 악성 URL 여부를 진단하는 제로데이 URL 진단부;를 포함하는 제로데이 URL 공격 방어 서비스 제공 장치이다.
한편, 상기와 같은 과제를 해결하기 위한 본 발명의 실시 예에 따른 방법은 상기 방법을 실행시키기 위한 프로그램 또는 상기 프로그램이 기록되어 컴퓨터가 읽을 수 있는 기록 매체로 구현될 수 있다.
본 발명의 실시 예에 따르면, 수신메일 내용 본문 또는 첨부파일 등에 포함될 수 있는 URL에 대한 안전성 검사를 수행하여 보안위협이 제거된 정보를 수신자(사용자)에게 제공할 수 있다. 특히 정상 URL 또는 악성 URL로 분석되지 않는 제로데이 URL이 검출되는 경우, 상기 제로데이 URL을 보안 URL로 변환하여 수신자(사용자)가 URL 연결을 요청할 시 보안성이 확보된 URL로 1차적인 연결을 처리할 수 있다. 이와 동시에 실제 기재되었던 제로데이 URL의 보안검사를 수행하여 안전한 URL로 판별이 되는 경우에만 수신자(사용자)의 연결을 허용할 수 있다. 또한 제로데이 URL에서 링크되어 파생되는 추가적인 URL을 추적 검사함으로써 여러 링크 단계를 거쳐 악성 URL을 배포하려는 악의적인 목적을 차단할 수 있다. 이같이 신규 URL에 대한 미흡한 평가 정보를 이용하여 제로데이 악성 URL을 생성하고 사용자의 정보 탈취, 시스템 공격, 악성코드 전파 등을 노리는 악의적인 목적을 사전에 차단하고 사용자의 피해를 미연에 방지할 수 있다. 이를 통해, 사용자간 안전한 정보 교환과 처리를 보장하는 이메일 서비스를 제공할 수 있다.
도 1은 본 발명의 일 실시 예에 따른 전체 시스템을 도시한 개념도이다.
도 2는 본 발명의 일 실시 예에 따른 메일 보안 기반의 제로데이 공격 방어 서비스 제공 장치를 설명하기 위한 블록도이다.
도 3은 본 발명의 일 실시 예에 따른 메일 보안 기반의 제로데이 공격 방어 서비스 제공 장치의 동작 방법을 설명하기 위한 흐름도이다.
도 4는 본 발명의 일 실시 예에 따른 메일 보안 기반의 제로데이 공격 방어 서비스 제공 장치를 통해 URL 변환을 적용한 수신메일을 설명하기 위한 예시도이다.
도 5는 본 발명의 일 실시 예에 따른 메일 보안 기반의 제로데이 공격 방어 서비스 제공 장치를 통해 메일 수신 경로에 따른 URL 접속 경로를 비교 설명하는 예시도이다.
도 6은 본 발명의 일 실시 예에 따른 메일 보안 기반의 제로데이 공격 방어 서비스 제공 장치를 통해 제로데이 URL과 이에 파생되는 URL의 검사 단계를 설명하는 절차도이다.
도 7은 본 발명의 일 실시 예에 따른 메일 보안 아키텍처에 따른 검사 방식을 설명하기 위한 예시도이다
도 2는 본 발명의 일 실시 예에 따른 메일 보안 기반의 제로데이 공격 방어 서비스 제공 장치를 설명하기 위한 블록도이다.
도 3은 본 발명의 일 실시 예에 따른 메일 보안 기반의 제로데이 공격 방어 서비스 제공 장치의 동작 방법을 설명하기 위한 흐름도이다.
도 4는 본 발명의 일 실시 예에 따른 메일 보안 기반의 제로데이 공격 방어 서비스 제공 장치를 통해 URL 변환을 적용한 수신메일을 설명하기 위한 예시도이다.
도 5는 본 발명의 일 실시 예에 따른 메일 보안 기반의 제로데이 공격 방어 서비스 제공 장치를 통해 메일 수신 경로에 따른 URL 접속 경로를 비교 설명하는 예시도이다.
도 6은 본 발명의 일 실시 예에 따른 메일 보안 기반의 제로데이 공격 방어 서비스 제공 장치를 통해 제로데이 URL과 이에 파생되는 URL의 검사 단계를 설명하는 절차도이다.
도 7은 본 발명의 일 실시 예에 따른 메일 보안 아키텍처에 따른 검사 방식을 설명하기 위한 예시도이다
이하의 내용은 단지 본 발명의 원리를 예시한다. 그러므로 당업자는 비록 본 명세서에 명확히 설명되거나 도시되지 않았지만 본 발명의 원리를 구현하고 본 발명의 개념과 범위에 포함된 다양한 장치와 방법을 발명할 수 있는 것이다. 또한, 본 명세서에 열거된 모든 조건부 용어 및 실시 예들은 원칙적으로, 본 발명의 개념이 이해되도록 하기 위한 목적으로만 명백히 의도되고, 이와 같이 특별히 열거된 실시 예들 및 상태들에 제한적이지 않는 것으로 이해되어야 한다.
또한, 본 발명의 원리, 관점 및 실시 예들 뿐만 아니라 특정 실시 예를 열거하는 모든 상세한 설명은 이러한 사항의 구조적 및 기능적 균등물을 포함하도록 의도되는 것으로 이해되어야 한다. 또한 이러한 균등물들은 현재 공지된 균등물뿐만 아니라 장래에 개발될 균등물 즉 구조와 무관하게 동일한 기능을 수행하도록 발명된 모든 소자를 포함하는 것으로 이해되어야 한다.
따라서, 예를 들어, 본 명세서의 블록도는 본 발명의 원리를 구체화하는 예시적인 회로의 개념적인 관점을 나타내는 것으로 이해되어야 한다. 이와 유사하게, 모든 흐름도, 상태 변환도, 의사 코드 등은 컴퓨터가 판독 가능한 매체에 실질적으로 나타낼 수 있고 컴퓨터 또는 프로세서가 명백히 도시되었는지 여부를 불문하고 컴퓨터 또는 프로세서에 의해 수행되는 다양한 프로세스를 나타내는 것으로 이해되어야 한다.
또한 프로세서, 제어 또는 이와 유사한 개념으로 제시되는 용어의 명확한 사용은 소프트웨어를 실행할 능력을 가진 하드웨어를 배타적으로 인용하여 해석되어서는 아니 되고, 제한 없이 디지털 신호 프로세서(DSP) 하드웨어, 소프트웨어를 저장하기 위한 롬(ROM), 램(RAM) 및 비휘발성 메모리를 암시적으로 포함하는 것으로 이해되어야 한다. 주지관용의 다른 하드웨어도 포함될 수 있다.
상술한 목적, 특징 및 장점은 첨부된 도면과 관련한 다음의 상세한 설명을 통하여 보다 분명해질 것이며, 그에 따라 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자가 본 발명의 기술적 사상을 용이하게 실시할 수 있을 것이다. 또한, 본 발명을 실시함에 있어서 본 발명과 관련된 공지 기술에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에 그 상세한 설명을 생략하기로 한다.
본 출원에서 사용한 용어는 단지 특정한 실시 예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 출원에서, "포함하다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
이하, 첨부한 도면들을 참조하여, 본 발명의 바람직한 실시 예를 보다 상세하게 설명하고자 한다. 본 발명을 설명함에 있어 전체적인 이해를 용이하게 하기 위하여 도면상의 동일한 구성요소에 대해서는 동일한 참조부호를 사용하고 동일한 구성요소에 대해서 중복된 설명은 생략한다.
본 명세서에서 사용되는 '메일(mail)'은 사용자가 단말장치와 이에 설치되는 클라이언트 프로그램 또는 웹사이트를 통해 컴퓨터 통신망을 이용하여 주고 받는 이메일(Electronic mail), 웹메일(Web mail), 전자우편, 전자우편물 등의 용어를 통칭하여 사용할 수 있다.
도 1은 본 발명의 일 실시 예에 따른 전체 시스템을 도시한 개념도이다.
도 1을 참조하면, 본 발명의 일 실시 예에 따른 시스템은 서비스 제공 장치(100), 사용자단말(200), 메일서버(300), URL서비스장치(400)를 포함한다.
보다 구체적으로, 서비스 제공 장치(100), 사용자단말(200), 메일서버(300), URL서비스장치(400)는 공중망(Public network)과의 연결을 통해 유선 및 무선 중 하나 이상으로 연결되어 데이터를 송수신할 수 있다. 상기 공중망은 국가 혹은 통신 기간 사업자가 구축 및 관리하는 통신망으로, 일반적으로 전화망, 데이터망, CATV망 및 이동 통신망 등을 포함하여 불특정 다수의 일반인이 타 통신망이나 인터넷에 접속 가능하도록 연결 서비스를 제공한다. 본 발명에서는 상기 공중망을 네트워크로 대체하여 표기한다.
또한, 상기 서비스 제공 장치(100), 사용자단말(200), 메일서버(300), URL서비스장치(400)는 각 통신망에 상응하는 프로토콜로 통신하기 위한 각각의 통신 모듈을 포함할 수 있다.
상기 서비스 제공 장치(100)는 메일 보안 서비스 제공을 위해, 각 사용자단말(200) 및 메일서버(300)와 유/무선 네트워크를 통해 연결될 수 있으며, 각 네트워크에 연결된 장치 또는 단말들은 사전 설정된 네트워크 채널을 통해 상호간 통신을 수행할 수 있다. 또한 상기 사용자단말(200)이 수신메일 내용 본문 또는 첨부파일 내 포함된 URL을 이용하기 위하여 연결 요청 시, 상기 유/무선 네트워크를 통해 접속되고 서비스를 제공하는 URL서비스장치(400)와 연결될 수 있다.
여기서 상기 각 네트워크는 근거리 통신망(Local Area Network; LAN), 광역 통신망(Wide Area Network; WAN), 부가가치 통신망(Value Added Network; VAN), 개인 근거리 무선통신(Personal Area Network; PAN), 이동 통신망(Mobile radio communication network) 또는 위성 통신망 등과 같은 모든 종류의 유/무선 네트워크로 구현될 수 있다.
본 명세서에서 설명되는 서비스 제공 장치(100)는 메일을 통하여 의도하지 않은 프로그램의 실행과 승인되지 않은 정보 유출, 메일 관련 시스템의 데이터 처리 능력 저하, 피싱 사기 등을 야기하는 공격을 탐지하고 차단할 수 있는 메일 보안 서비스를 제공할 수 있다.
그리고 본 명세서에서 설명되는 사용자단말(200)은 PC(personal computer), 노트북 컴퓨터(laptop computer), 휴대폰(Mobile phone), 태블릿 PC(Tablet PC), PDA(Personal Digital Assistants), PMP(Portable Multimedia Player) 등이 포함될 수 있으나, 본 발명은 이에 한정되지 아니하며 공중망 또는 사설망 등을 통해 상기 서비스 제공 장치(100)와 메일서버(300) 등과 연결이 가능한 장치일 수 있다.
이에 더하여 각각의 장치는 애플리케이션 구동 또는 웹 브라우징을 통한 정보의 입출력이 가능한 다양한 장치일 수 있다. 특히, 일반적으로 사용자단말(200)들은 개별적인 보안 네트워크를 통해 상기 서비스 제공 장치(100)와 연결될 수 있다.
상기 메일서버(300)는 사용자가 사용자단말(200)을 통해 작성한 메일을 발신하거나 상대방이 사용자단말(200)을 통해 작성한 메일을 수신할 수 있도록 전자 우편 내용을 중계 및 보관하는 시스템이다. 상기 메일서버(300)는 메일의 수신과 발신 처리라는 사용 목적에 따라 사전 설정된 프로토콜을 활용하여 상호간 통신을 수행할 수 있다.
일반적으로 상기 프로토콜은 메일의 수신 처리 시, POP3(Post Office Protocol 3), IMAP(Internet Message Access Protocol)이 사용될 수 있다. 또한 상기 프로토콜은 메일의 발신 처리 시, SMTP(Simple Mail Transfer Protocol)가 사용될 수 있다. 이와 같이, 메일서버(300)는 메일 송수신 처리를 위한 서버(server) 시스템으로 구성되어 작동할 수 있다. 또한 상기 메일서버(300)는 메일수신서버와 메일발신서버로 세분화되어 각각의 기능을 제공할 수 있다.
도 2는 본 발명의 일 실시 예에 따른 메일 보안 기반의 제로데이 공격 방어 서비스 제공 장치를 설명하기 위한 블록도이다.
도 2를 참조하면, 본 발명의 일 실시 예에 따른 서비스 제공 장치(100)는, 제어부(110), 수집부(120), 보안위협 검사부(130), 제로데이 URL 변환부(140), 메일 처리부(150), 제로데이 URL 진단부(160), URL분류정보 관리부(170), 보안 URL 접속부(180), 통신부(190)를 포함할 수 있다. 추가적으로 상기 메일 처리부(150)는 제로데이 메일 처리부(151)를 포함할 수 있다. 또한 상기 제로데이 URL 진단부(160)는 URL 추적 모듈(161)과 URL 체인 진단 모듈(162)을 포함할 수 있다.
제어부(110)는 상기 서비스 제공 장치(100) 각 구성요소들의 동작을 전반적으로 제어하기 위한 하나 이상의 프로세서로 구현될 수 있다.
수집부(120)는 하나 이상의 사용자단말(200) 간 송수신되는 메일정보를 수집할 수 있다. 상기 메일정보는 이메일 헤더 정보, 이메일 제목, 이메일 내용 본문, 일정 기간 수신 횟수 등을 포함할 수 있다.
구체적으로, 상기 이메일 헤더 정보는 메일 발신 서버 IP 주소, 메일 발신 서버 호스트 이름 정보, 발신자 메일 도메인 정보, 발신자 메일 주소, 메일 수신 서버 IP 주소, 메일 수신 서버 호스트 이름 정보, 수신자 메일 도메인 정보, 수신자 메일 주소, 메일 프로토콜 정보, 메일 수신 시간 정보, 메일 발신 시간 정보 등을 포함할 수 있다.
또한 상기 이메일 헤더는 메일이 송수신 되는 과정에 있어 필요한 네트워크 경로 정보, 메일 교환을 위한 메일 서비스 시스템 간 사용 프로토콜 정보 등을 포함할 수 있다.
추가적으로 상기 메일정보는 첨부파일의 확장자, 첨부파일의 해시정보, 첨부파일명, 첨부파일 내용 본문, URL(Uniform Resource Locator) 등을 포함할 수 있다. 상기 첨부파일은 발신자가 수신자에게 전달하고자 하는 메일 본문 내용에 더하여 추가적인 정보를 전달하거나 또는 정보 회신을 요구하기 위한 추가적인 콘텐츠를 포함할 수 있다. 상기 URL은 메일 내용 본문에 포함될 수 있고, 첨부파일 내용에 포함되는 정보로 확인될 수 있다.
상기 콘텐츠는 텍스트, 이미지, 동영상 등을 제공할 수 있다. 수신자는 메일에 첨부되어 있는 파일에 대응되는 애플리케이션을 실행시켜 콘텐츠를 확인할 수 있다. 또한 수신자는 메일에 첨부되어 있는 파일을 로컬저장장치에 다운로드하여 저장 및 관리가 가능하다. 이 때, 상기 콘텐츠 내 URL이 텍스트 정보로 포함될 수 있다. 이를 통해, 사용자단말(200)이 상기 URL에 대한 연결을 요청 시, 상기 URL서비스장치(400)에서 제공하는 서비스를 확인할 수 있다. 상기 URL은 웹 페이지에서 수행되는 스크립트 등에 의해 호출될 수 있다. 또한 상기 URL은 사용자단말(200)이 웹 페이지 등에서 발생시키는 이벤트에 의해 호출될 수도 있다.
상기 첨부파일의 확장자는 파일의 형식이나 종류를 구분할 수 있다. 상기 첨부파일의 확장자는 일반적으로 파일의 속성이나 파일을 생성한 애플리케이션을 나타내는 문자열로 구분될 수 있다. 예를 들어, 텍스트 파일은 [파일명].txt, MS워드 파일은 [파일명].doc(docx), 한글 파일은 [파일명].hwp 등의 확장자로 구분될 수 있다. 또한 이미지 파일은 gif, jpg, png, tif 등으로 확장자가 구분될 수 있다.
추가적으로 코드화 된 명령에 따라 지시된 작업을 수행하도록 하는 컴퓨터 파일인 실행파일은 [파일명].com, [파일명].exe, [파일명].bat, [파일명].dll, [파일명].sys, [파일명].scr 등으로 구분될 수 있다.
상기 첨부파일의 해시정보는 정보의 위변조를 확인하여 정보의 무결성을 보장할 수 있다. 해시정보 또는 해시값은 해시함수를 통해 임의의 길이를 가지는 임의의 데이터에 대해 일정한 길이의 비트열로 매핑될 수 있다.
이를 통해 최초 생성되는 첨부파일에 대하여 해시함수를 통해 출력되는 해시정보는 고유의 값을 가지게 된다. 상기 출력되는 해시정보 또는 해시값은 역으로 함수에 입력되는 데이터를 추출할 수 없는 일방향성을 가진다. 또한 해시함수는 하나의 주어진 입력 데이터에 대하여 출력된 해시정보 또는 해시값과 동일한 출력을 제공하는 또 다른 입력 데이터는 계산적으로 불가능한 충돌 회피성을 보장할 수 있다. 이에 따라, 상기 첨부파일의 데이터를 수정하거나 추가하게 되면 해시함수의 출력값은 상이하게 반환된다.
이와 같이, 상기 첨부파일의 고유한 해시정보는 메일을 통해 주고 받는 파일에 대하여 해시정보 또는 해시값을 비교함으로써 파일의 수정, 위변조 여부를 확인할 수 있다. 또한 상기 해시정보는 고유한 값으로 고정되기 때문에 악의적인 의도를 가지고 생성한 파일에 대한 과거 히스토리의 데이터베이스인 평판 정보를 활용함으로써 사전 방역 조치를 가능하게 할 수 있다. 추가적으로 상기 해시함수는 일방향성과 충돌 회피성을 보장할 수 있는 기술 및 버전으로 이용될 수 있다.
예를 들어, 해시정보는 바이러스토탈 웹사이트나 멀웨어즈 웹사이트를 통해 파일의 악성코드 유무에 대한 검색 정보로 활용될 수 있다. 또한 상기 웹사이트는 URL 정보에 대하여 이상유무 평가 및 분석 정보를 제공할 수 있다. 상기 파일의 해시정보 분석을 제공하는 웹사이트를 통해서 파일의 제공업체, 파일의 해시값 등의 정보를 제공받을 수 있다. 또한 파일의 해시정보에 대한 검색 결과는 다수의 IT 정보 보안 솔루션을 제공하는 글로벌 회사에서 판별한 평판 정보를 크로스 체크할 수 있어 보다 신뢰성 있는 정보로 판단이 가능하다.
보안위협 검사부(130)는 사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 URL(Uniform Resource Locator)이 포함되는 경우, 메일보안 프로세스에 의해 URL을 검사하고, 상기 검사 결과에 따른 URL 검사정보를 저장 및 관리할 수 있다. 상기 보안위협 아키텍처는 스팸메일 보안위협, 악성코드 보안위협, 사회공학적 보안위협, 내부정보 유출 보안위협 등으로 구분될 수 있다. 상기 보안위협 아키텍처에 의해 보안위협 유형/레벨/프로세스/우선순위/처리순서가 설정될 수 있다.
상기 보안위협 아키텍처에 따라 대응되는 메일보안 프로세스는 스팸메일 보안 프로세스, 악성코드 보안 프로세스, 사칭메일 보안 프로세스, 메일반출 보안 프로세스 등을 포함할 수 있다. 특히, 상기 메일정보에 URL이 포함되는 지 여부에 대한 검사는 메일보안 프로세스 중 악성코드 보안 프로세스에 포함될 수 있다.
상기 보안위협 검사부(130)는 메일보안 프로세스 중 악성코드 보안 프로세스를 통해 상기 메일정보에 검출되는 URL에 대한 검사를 수행할 수 있다. 상기 보안위협 검사부(130)는 메일 내용 본문, 첨부파일 내 포함될 수 있는 URL 정보를 텍스트 기반 추출 방식, 이미지 기반 추출 방식 등을 통해 검출할 수 있다. 또한 웹 형식으로 이루어지는 첨부파일의 경우 소스코드에 대하여 URL이 검출되는 지 여부를 검사할 수 있다. 이를 통해, 상기 보안위협 검사부(130)는 추출한 URL에 대하여 자체적으로 관리하는 블랙리스트 또는 화이트리스트와 매핑하여 검사 결과를 획득할 수 있다. 또는 상기 보안위협 검사부(130)는 추출한 URL에 대하여 국내외 사이버보안 관련 기관 및 기업, 포털사 등에서 분석하고 공유하고 있는 평판 분석 URL정보와 연동하여 매칭할 수 있다.
예를 들어, 상기 보안위협 검사부(130)에서 검출한 URL이 'www.*fake-url*.com'으로 확인 시, 상기 검출 URL은 1차적으로 평판 분석 URL정보와 매칭될 수 있다. 이를 통해, 상기 보안위협 검사부(130)는 상기 URL이 평가된 정보를 크로스 체크할 수 있고 이를 통해, 신뢰(정상) URL인지 아니면 악성 URL 인지에 대한 검사정보를 획득할 수 있다.
또한 보안위협 검사부(130)는 사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭을 처리하고, 상기 매칭 처리된 메일보안 프로세스에 의해 상기 메일정보를 검사하며, 상기 검사 결과에 따른 메일보안 검사정보를 저장 및 관리할 수 있다.
상기 메일보안 프로세스는 상기 보안위협 아키텍처에 따라 수신메일인지 발신메일인지에 대응하는 서로 다른 메일보안 프로세스가 결정될 수 있다. 또한 상기 메일보안 프로세스의 검사 순서 또는 검사 레벨은 사전 설정한 보안 단계 및 아키텍처에 의해 결정될 수 있다
상기 메일보안 프로세스는 수신 또는 발신을 위한 메일정보가 사용자 단말(200)에서 전송되면 독립적으로 구분 된 프로세스가 리소스로 할당되고 상기 메일정보에서 할당된 검사영역에서 즉각적으로 실행될 수 있는 유동적 리소스 할당 방식은 가상공간 개념으로 설명될 수 있다. 상기 가상공간으로 리소스를 할당하는 방식에서 메일보안 프로세스는 처리가 완료 시, 순차적으로 유입되는 메일정보에서 할당된 검사영역에서 작업을 즉각적으로 처리할 수 있다.
대조적으로 가상환경, 가상머신과 같이 하나의 리소스 안에서 처리가 제한되는 일정 프로세스가 할당된 환경은 요청되는 작업을 처리 시, 특정 프로세스의 처리가 완료되기 까지 다른 프로세스들이 대기하는 아이들(idle) 타임을 가질 수 있다. 이처럼 프로세스를 통한 분석 방식에 있어서, 유동적 리소스는 고정형 리소스와 비교 시 처리 속도 및 성능에서 우위를 가질 수 있다.
상기 보안위협 검사부(130)는 상기 수집부(120)에서 수집된 상기 메일정보에 따라 수신 또는 발신 목적으로 메일을 구분할 수 있다. 이 후, 상기 보안위협 검사부(130)는 상기 메일보안 프로세스를 순차적 또는 설정된 우선순위에 근거하여 매칭하고 분석함으로써 각각의 메일에 대한 메일보안 검사 정보를 획득할 수 있다.
상기 스팸메일 보안위협은 관계없는 발신자와 수신자 간에 광고와 홍보 등을 목적으로 일방적, 대량으로 불특정 다수에게 무차별적으로 살포되는 메일 유형을 포함할 수 있다. 또한 대량의 스팸메일은 메일 시스템의 데이터 처리 능력에 부하를 주게 되어 시스템의 처리 능력을 저하시키는 원인이 될 수도 있다. 또한 스팸메일은 내용 본문 등에 포함된 무분별한 정보에 대하여 사용자가 의도하지 않게 연결될 수 있고 잠재적인 피싱 사기를 위한 정보로 위장될 수 있는 위험성이 있다.
이같은 스팸메일을 검출하고 필터링하기 위하여 상기 보안위협 검사부(130)는 스팸메일 검사부(미도시)를 포함할 수 있다. 상기 스팸메일 검사부는 상기 메일보안 프로세스가 스팸메일 보안 프로세스인 경우, 메일 헤더 정보, 메일 제목, 메일 내용 본문, 일정 기간 수신 횟수 등을 포함하는 상기 메일정보를 사전 설정한 스팸지표와 단계별로 매칭할 수 있다.
상기 스팸메일 검사부는 메일 헤더 정보와 메일 제목, 메일 내용 본문 등을 포함하는 메일정보에 대하여 스팸메일로 구분할 수 있는 일정 패턴 검사 등을 통해 스팸지표에서 검사항목으로 이용할 수 있다. 이를 통해 상기 스팸메일 검사부는 상기 스팸지표를 단계별로 매칭하여 스팸메일 검사정보를 획득하고 저장 및 관리할 수 있다.
상기 스팸지표는 단계별로 메일정보에 포함되는 항목에 기반한 검사항목과 검사를 통한 수준값이 설정될 수 있다. 본 발명의 일 실시 예에 따르면, 스팸지표는 Level 1, Level 2, Level 3, ..., Level [n]으로 세분화 및 단계화되어 구성될 수 있다.
상기 스팸지표 Level 1은 빅데이터 및 평판 정보에 기반하여 메일정보에 포함되는 메일 제목 데이터를 매칭할 수 있다. 이를 통해 상기 스팸지표 Level 1은 평가된 수준값을 스팸지표 Level 1의 검사정보로 획득할 수 있다. 상기 수준값은 정량적으로 측정될 수 있는 정보로 설정될 수 있다. 예를 들어, 상기 스팸지표 Level 1의 검사정보는 검사항목인 메일 제목에 '광고', '홍보' 등의 문구가 포함되어 있을 시, 상기 빅데이터 및 평판 정보에서 스팸메일로 정의한 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 스팸지표 Level 1의 검사정보는 '1'로 획득될 수 있다.
추가적으로 상기 스팸지표 Level 2는 사용자 지정 키워드에 기반하여 메일정보에 포함되는 데이터를 매칭할 수 있다. 이를 통해 상기 스팸지표 Level 2는 평가된 수준값을 스팸지표 Level 2의 검사정보로 획득할 수 있다. 예를 들어, 상기 스팸지표 Level 2의 검사정보는 검사항목인 메일 내용 본문에 '특가', '초특가', '세일', 'sale', '품절' 등을 포함하는 키워드가 포함되어 있을 시, 상기 사용자 지정 키워드에서 스팸메일로 정의한 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 스팸지표 Level 2의 검사정보는 '1'로 획득될 수 있다.
다음 단계로 상기 스팸지표 Level 3은 이미지 분석에 기반하여 메일정보에 포함되는 데이터를 매칭할 수 있다. 이를 통해 상기 스팸지표 Level 3은 평가된 수준값을 스팸지표 Level 3의 검사정보로 획득할 수 있다. 예를 들어, 상기 스팸지표 Level 3의 검사정보는 검사항목인 메일 내용 본문에 포함되는 이미지를 분석하여 추출한 데이터에서 '080'으로 시작하는 전화번호 등이 포함되어 있을 시, 상기 이미지 분석에서 스팸메일로 정의한 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 스팸지표 Level 3의 검사정보는 '1'로 획득될 수 있다.
이와 같이 상기 스팸메일 보안 프로세스를 통해 스팸지표 레벨 단위로 획득된 검사정보는 최종적으로 합산('3')되어 스팸메일 검사정보로 저장 및 관리될 수 있다. 이렇게 합산된 스팸메일 검사정보는 상기 메일보안 검사정보에 포함되어 관리될 수 있고 상기 메일 처리부(150)에서 보안위협 판별정보로 활용될 수 있다.
상기 보안위협 검사부(130)는 악성코드 검사부(미도시)를 더 포함할 수 있다. 상기 악성코드 검사부는 상기 메일보안 프로세스가 악성코드 보안 프로세스인 경우, 첨부파일의 확장자, 첨부파일의 해시정보, 첨부파일명, 첨부파일 내용 본문, URL(Uniform Resource Locator) 정보 등을 더 포함하는 상기 메일정보를 사전 설정한 악성코드지표와 단계별로 매칭할 수 있다.
상기 악성코드 검사부는 첨부파일의 속성값으로 확인할 수 있는 첨부파일의 확장자, 첨부파일의 해시정보, 첨부파일명 등과 함께 첨부파일 내용 본문과 내용 본문에 포함되는 URL(Uniform Resource Locator) 정보를 악성코드지표 검사 항목으로 이용할 수 있다. 이를 통해 상기 악성코드 검사부는 상기 악성코드지표를 항목에 따라 단계별로 매칭하여 악성코드 검사정보를 획득하고 저장 및 관리할 수 있다.
상기 악성코드지표는 단계별로 메일정보에 포함되는 항목에 기반한 검사항목과 검사를 통한 수준값이 설정될 수 있다. 본 발명의 일 실시 예에 따르면, 악성코드지표는 Level 1, Level 2, Level 3, ..., Level [n]으로 세분화 및 단계화되어 구성될 수 있다.
상기 악성코드지표 Level 1은 빅데이터 및 평판 정보에 기반하여 메일정보에 포함되는 첨부파일명, 첨부파일의 확장자를 매칭할 수 있다. 이를 통해 상기 악성코드지표 Level 1은 평가된 수준값을 악성코드지표 Level 1의 검사정보로 획득할 수 있다. 예를 들어, 상기 악성코드지표 Level 1의 검사정보는 검사항목인 첨부파일명이 'Trojan', 첨부파일의 확장자가 'exe'를 포함하고 있을 시, 상기 빅데이터 및 평판 정보에서 악성코드로 정의된 정보와 일치되는 경우, 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 악성코드지표 Level 1의 검사정보는 '1'로 획득될 수 있다.
추가적으로 상기 악성코드지표 Level 2는 빅데이터 및 평판 정보에 기반하여 메일 첨부파일의 해시정보를 매칭할 수 있다. 이를 통해 평가된 수준값을 악성코드지표 Level 2의 검사정보로 획득할 수 있다. 예를 들어, 상기 악성코드지표 Level 2의 검사정보는 검사항목인 첨부파일 해시정보가 'a1b2c3d4'로 분석 시, 상기 평판 정보에서 악성코드로 정의된 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 악성코드지표 Level 2의 검사정보는 '1'로 획득될 수 있다.
다음 단계로 상기 악성코드지표 Level 3은 URL 평판 정보에 기반하여 첨부파일 또는 메일 내용 본문에 포함된 URL(Uniform Resource Locator) 정보를 매칭할 수 있다. 이를 통해 평가된 수준값을 악성코드지표 Level 3의 검사정보로 획득할 수 있다. 예를 들어, 상기 악성코드지표 Level 3의 검사정보는 검사항목인 URL 정보가 'www.malicious-code.com'으로 확인 시, 상기 URL 평판 정보에서 악성코드 파일이 포함되는 유해 사이트로 정의된 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 악성코드지표 Level 3의 검사정보는 '1'로 획득될 수 있다. 그리고 상기 악성코드 검사부는 URL 평판 정보에서 누락될 수 있는 제로데이 공격에 대응할 수 있다. 상기 악성코드 검사부는 평판 정보가 없는 URL에 대한 링크 IP 주소를 특정 시스템의 IP 주소로 변경하고 변경된 IP 주소를 사용자단말(200)에 제공할 수 있다. 상기 사용자단말(200)은 상기 URL에 접속하고자 할 시, 상기 악성코드 검사부가 변경한 특정 시스템의 IP 주소로 접속될 수 있다. 이 전에 상기 URL에 대한 링크 IP 주소로 변경된 특정 시스템은 지속적으로 URL의 엔드포인트까지 악성코드 포함 여부를 검사할 수 있다.
이와 같이 상기 악성코드 보안 프로세스를 통해 악성코드지표 레벨 단위로 획득된 검사정보는 최종적으로 합산('3')되어 악성코드 검사정보로 저장 및 관리될 수 있다. 이렇게 합산된 악성코드 검사정보는 상기 메일보안 검사정보에 포함되어 관리될 수 있고 상기 메일 처리부(150)에서 보안위협 판별정보로 활용될 수 있다.
상기 보안위협 검사부(130)는 사칭메일 검사부(미도시)를 더 포함할 수 있다. 상기 사칭메일 검사부는 메일보안 프로세스가 사칭메일 보안 프로세스인 경우로 사전 설정한 관계분석지표와 단계별로 매칭할 수 있다. 상기 관계분석정보는 메일정보 및 정상으로 확인 된 메일의 속성정보 등을 포함하는 메일정보 분석을 통해 획득될 수 있다.
상기 사칭메일 검사부는 정상으로 판별된 메일에서 추출될 수 있는 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅, 메일 내용 본문 정보 등을 관계분석지표 검사항목으로 이용할 수 있다. 이를 통해 상기 사칭메일 검사부는 상기 관계분석지표를 항목에 따라 단계별로 매칭하여 사칭메일 검사정보를 획득하고 저장 및 관리할 수 있다. 이를 통해 상기 사칭메일 검사부는 유사 도메인을 검출할 수 있고 메일의 발송 경로를 추적 또는 검증하여 보안위협을 가할 수 있는 메일을 필터링 할 수 있다.
상기 관계분석지표는 단계별로 상기 관계분석정보에 기반한 검사항목과 검사를 통한 수준값이 설정될 수 있다. 본 발명의 일 실시 예에 따르면, 관계분석지표는 Level 1, Level 2, Level 3, ..., Level [n]으로 세분화 및 단계화되어 구성될 수 있다.
상기 관계분석지표 Level 1은 평판 정보에 기반하여 발신자 메일의 도메인, 발신자 메일의 주소 등을 매칭할 수 있다. 이를 통해 상기 관계분석지표 Level 1은 평가된 수준값을 관계분석지표 Level 1의 검사정보로 획득할 수 있다. 예를 들어, 상기 관계분석지표 Level 1의 검사정보는 검사항목인 발신된 메일의 도메인이 '@사칭.com'이고 발신자 메일의 주소가 '사칭@'을 포함하고 있을 시, 상기 평판 정보에서 악성코드로 정의된 정보와 일치되는 경우, 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다.
추가적으로 상기 관계분석지표 Level 2는 상기 관계분석정보에 기반하여 발신자 메일의 도메인, 발신자 메일의 주소 등을 매칭할 수 있다. 이를 통해 상기 관계분석지표 Level 2는 평가된 수준값을 관계분석지표 Level 2의 검사정보로 획득할 수 있다. 예를 들어, 상기 관계분석지표 Level 2의 검사정보는 검사항목인 발신된 메일의 도메인이 '@사칭.com'이고 발신자 메일의 주소가 '사칭@'을 포함하고 있을 시, 상기 관계분석정보에서 정상메일의 속성정보로 정의된 정보와 일치되지 않는 경우, 0과 1로 구분된 수준값에서 '1'로 평가 될 수 있다. 이를 통해 관계분석지표 Level 3의 검사정보는 '1'로 획득될 수 있다.
다음단계로 상기 관계분석지표 Level 3는 상기 관계분석정보에 기반하여 메일 라우팅 정보 등을 매칭할 수 있다. 이를 통해 상기 관계분석지표 Level 3는 평가된 수준값을 관계분석지표 Level 3의 검사정보로 획득할 수 있다. 예를 들어, 상기 관계분석지표 Level 3의 검사정보는 검사항목인 메일 라우팅 정보가 '1.1.1.1', '2.2.2.2', '3.3.3.3' 으로 확인 시, 메일의 전송 경로인 상기 라우팅 정보가 상기 관계분석정보에서 정상메일의 속성정보로 정의된 정보와 일치되지 않는 경우, 0과 1로 구분된 수준값에서 '1'로 평가 될 수 있다. 이를 통해 관계분석지표 Level 3의 검사정보는 '1'로 획득될 수 있다.
이와 같이 상기 사칭메일 보안 프로세스를 통해 관계분석지표 레벨 단위로 획득된 검사정보는 최종적으로 합산('3')되어 사칭메일 검사정보로 저장 및 관리될 수 있다. 이렇게 합산된 사칭메일 검사정보는 상기 메일보안 검사정보에 포함되어 관리될 수 있고 상기 메일 처리부(150)에서 보안위협 판별정보로 활용될 수 있다.
상기 보안위협 검사부(130)는 내부정보 유출 보안 위협에 대응할 수 있도록 메일반출 검사부(미도시)를 포함할 수 있다. 상기 메일반출 검사부는 메일보안 프로세스가 메일반출 보안 프로세스인 경우, 상기 메일정보에 기반하여 사전 설정한 메일반출 관리지표와 단계별로 매칭할 수 있다.
상기 메일반출 검사부는 상기 메일정보의 속성 정보를 활용하여 메일반출 관리지표 검사항목으로 이용할 수 있다. 또한 상기 관리지표 검사항목은 내부적으로 관리되는 사용자단말(200)의 할당 IP 정보가 이용될 수 있다.
상기 메일반출 관리지표는 단계별로 사전 설정된 검사항목과 검사를 통한 수준값이 설정될 수 있다. 본 발명의 일 실시 예에 따르면, 메일반출 관리지표는 Level 1, Level 2, Level 3, ..., Level [n]으로 세분화 및 단계화되어 구성될 수 있다.
상기 메일반출 관리지표는 발신 환경 검사를 위해 사용자단말(200)에 할당 된 IP 주소에서 허용된 IP 주소만이 메일정보를 등록할 수 있도록 통제하는 항목을 포함할 수 있다. 미인증된 사용자단말은 내부정보를 유출할 가능성이 상대적으로 높고 또한 메일을 통해 보안위협을 가할 가능성이 상대적으로 높기 때문에 이를 사전에 차단할 수 있는 관리지표를 관리할 수 있다.
또한 상기 메일반출 검사부는 상기 메일반출 관리지표를 IP 주소 정보, 발송 횟수 정보 등의 검사항목으로 구분하여 메일반출 관리지표로 활용할 수 있다. 또한 상기 메일반출 검사부는 메일 발신 환경 검사 항목으로 승인 프로세스 등의 통제부를 추가적으로 구비하여 내부정보 유출 위협을 감소시킬 수 있다. 이를 통해 상기 메일반출 검사부는 메일반출 프로세스를 통해 검사항목과 매칭하여 산출된 수준값을 메일반출 검사정보로 저장하고 관리할 수 있다.
제로데이 URL 변환부(140)는 상기 보안위협 검사부(130)를 통해 획득한 상기 URL 검사정보에 기반하여, 상기 URL이 제로데이 공격 위험성이 잠재적으로 존재하는 제로데이 URL로 판별되는 경우, 상기 제로데이 URL을 사전 설정된 보안 URL로 변환할 수 있다. 제로데이 공격은 ICT(Infomation and Communucation Technology;정보통신기술)시스템과 관련된 문제의 존재 자체가 공표되거나 분석되기 전 보안 취약점 또는 보안 공격 방어 시스템의 미구축 상황 등을 악용하여 이루어질 수 있다. 이 때, 평판 분석 URL 정보 등을 통해 정상 URL 또는 악성 URL로 판별되거나 분석되지 못하는 URL은 제로데이 URL로 구분될 수 있다. 상기 제로데이 URL은 생성자의 의도에 따라 제로데이 공격 가능성을 내포할 수 있다. 상기 제로데이 URL은 정상 URL로 위장될 수 있고, 또한 정상 URL로 판명받은 URL에서 링크되어 연결되는 URL에서 악성 URL이 포함되고 파생될 수 있다. 이렇게 상기 제로데이 URL은 제로데이 공격의 한 수단으로 악용될 수 있다.
상기 보안위협 검사부(130)는 추출한 URL의 평가 정보를 분석하여 신뢰(정상) URL인지 아니면 악성 URL 인지를 판별하지만 신규 생성된 URL에 대해서는 평가 정보를 획득하는 데 한계가 있다. 또한 상기 보안위협 검사부(130)는 URL과 매핑되는 IP주소에 대해서도 블랙리스트 또는 화이트리스트 정보에 포함되지 않을 시, 이상 여부에 대한 판별 정보를 제공할 수 없다. 이렇게 상기 제로데이 URL 변환부(140)는 추출된 URL이 내외부 관리 데이터를 통한 평판 분석에 대응되지 않고 알려지지 않은 정보로 판명 시, 상기 추출 URL을 제로데이 URL로 판별할 수 있다.
이에 따라, 상기 제로데이 URL 변환부(140)는 제로데이 URL로 판별된 URL을 신뢰할 수 있는 URL 정보인 보안 URL로 변환하여 메일정보에 포함할 수 있다. 상기 제로데이 URL 변환부(140)는 제로데이 URL로 판별된 URL을 메일정보에서 삭제하고 삭제된 부분에 보안 URL을 삽입하여 변환하되, 삭제한 URL과 보안 URL의 변환 내역을 저장 및 관리할 수 있도록 URL 변환 테이블을 생성할 수 있다. 상기 URL 변환 테이블은 사용자단말(200)이 열람할 수 있는 수신메일에 적용된 보안 URL로 사용자단말(200)에서 연결 요청이 발생되는 경우, 검증이 완료 된 제로데이 URL로의 연결이 가능할 수 있는 정보로 활용될 수 있다.
메일 처리부(150)는 상기 URL 검사정보 분석에 따라 메일 상태를 처리할 수 있다. 상기 메일 처리부(150)는 상기 제로데이 URL이 포함되는 메일에 대하여, 상기 제로데이 URL을 상기 보안 URL로 대체하고 상기 사용자단말이 접근 가능한 수신 상태로 처리하는 제로데이 메일 처리부(151)를 포함할 수 있다.
상기 제로데이 메일 처리부(151)는 상기 보안 URL로 대체된 메일을 수신 상태로 처리하고, 이를 통해 사용자단말(200)은 메일 내용 본문 또는 첨부파일 내 기재된 URL을 최초 기재된 제로데이 URL이 아닌 보안 URL로 인지할 수 있다.
또한 메일 처리부(150)는 상기 메일보안 검사정보 및 상기 메일정보 분석을 통해 획득되는 보안위협 판별정보에 따라 메일 상태를 처리할 수 있다.
관계분석부(미도시)는 상기 메일정보 및 신뢰인증로그 분석에 기초하여 획득되는 관계분석정보를 저장 및 관리할 수 있다. 상기 신뢰인증로그는 상기 메일 처리부(150)를 통해 보안위협 판별정보에 따라 메일정보를 정상메일로 처리하는 경우, 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅, 메일 내용 본문 정보 등을 포함하는 레코드정보를 포함할 수 있다.
상기 메일 처리부(150)는 사전 설정된 우선순위에 따른 상기 메일보안 프로세스가 수행될 수 있다. 상기 메일 처리부(150)는 상기 메일보안 프로세스를 통한 상기 보안위협 판별정보가 비정상 메일로 판별되는 경우, 후속 메일보안 프로세스 중단여부를 판단하여 메일 상태를 처리할 수 있다. 이를 통해, 상기 메일 처리부(150)는 우선순위에 따라 먼저 검사 단계에서 문제점이 발견된 경우, 그 단계에서 필요한 처리만을 수행하고 검사종료여부를 판단하여 후속 검사단계는 수행하지 않고 종료할 수 있다. 이를 통해, 메일 보안 서비스의 효율성을 확보하여 시스템의 복잡성을 낮추고 처리효율을 향상시킬 수 있다.
상기 메일보안 검사정보는 상기 보안위협 검사부(130)에서 산출된 스팸메일 검사정보와 악성코드 검사정보, 사칭메일 검사정보, 메일반출 검사정보를 종합하여 획득된 정보를 활용할 수 있다. 예를 들어, 상기 보안위협 검사부(130)가 메일정보에 대하여 프로세스수행을 통해, 상기 스팸메일 검사정보로 산출된 스코어가 '3', 악성코드 검사정보로 산출된 스코어가 '2', 사칭메일 검사정보 '1', 메일반출 검사정보로 산출된 스코어가 '0' 인 경우, 메일보안 검사정보로 합산되는 스코어는 '7'로 획득될 수 있다. 이 때, 사전 설정된 보안위협 판별정보의 기준으로 종합 스코어가 0-3의 범위일 시 정상메일, 4-6의 범위일 시 그레이메일, 7-12의 범위일 시 비정상메일로 분류될 수 있다. 이에 따라, 상기 메일보안 검사정보가 '7'인 메일은 비정상메일로 판별될 수 있다. 그리고 상기 메일정보 검사정보에 포함되는 각각의 검사정보 항목의 결과값은 항목에 따라 절대적인 우선순위가 지정되거나 가중치에 따른 정보로 우선순위가 정해질 수 있다.
상기 메일 처리부(150)는 상기 보안위협 판별정보에 따라 정상메일로 판별된 메일에 대하여, 상기 사용자단말이 처리 가능한 수신 또는 발신 상태로 처리하는 메일분배 처리부(미도시)를 포함할 수 있다.
또한 상기 메일 처리부(150)는 상기 보안위협 판별정보에 따라 비정상메일로 판별된 메일에 대하여, 상기 사용자단말의 접근이 불가능한 상태로 처리하는 메일폐기 처리부(미도시)를 더 포함할 수 있다.
추가적으로 상기 메일 처리부(150)는 상기 보안위협 판별정보에 따라 그레이메일로 판별된 메일에 대하여, 상기 그레이메일을 비실행파일 콘텐츠로 변환 처리하고 상기 사용자단말이 메일 상태를 선택적으로 처리할 수 있도록 제공하는 메일 무해화 처리부(미도시)를 더 포함할 수 있다.
일반적으로 상기 그레이메일은 스팸메일 또는 정크메일로 구분될 수도 있고 반대로 정상메일로 구분될 수 있다. 본 발명에서는 상기 그레이메일은 보안위협 판별정보가 정상 또는 비정상으로 확정할 수 없는 일정 범위 내에서의 중간 값으로 산출되었을 경우 구분되는 메일 유형으로 정의할 수 있다. 상기 메일 무해화 처리부는 의심되는 내용 본문 등을 포함한 그레이메일을 이미지 파일로 변환하고 사용자단말(200)이 확인 가능한 메일 상태로 제공할 수 있다. 또한 상기 메일 무해화 처리부는 첨부파일 내 악성코드로 의심되는 부문을 제거 또는 수정하여 사용자단말(200)로 제공할 수 있다.
제로데이 URL 진단부(160)는 주기적으로, 상기 제로데이 URL을 대상으로 악성 URL 여부를 진단할 수 있다. 상기 악성 URL은 개인정보 입력 유도, 악성코드 다운로드, 악성 스크립트 실행, 웹 취약점 공격 등의 보안위협을 포함할 수 있다.
상기 제로데이 URL은 기존에 사용되거나 이에 대한 평가가 이루어지지 않은 상태이기 때문에, 이를 통한 연결에서 제공되는 서비스 또는 콘텐츠에 대한 신뢰도가 보장되지 않는다. 또한 상기 제로데이 URL은 정상적인 웹 페이지를 모방하여 위조 또는 변조를 통해 악의적인 목적으로 제공될 가능성이 있다. 물론 정상적인 서비스 또는 콘텐츠를 제공하는 제로데이 URL이 발생될 수 있다. 이는 단지 URL이 제공되는 시점이 최초이기 때문에 제로데이 URL로 구분된다.
그러나 상기 제로데이 URL은 어떠한 목적으로 서비스되고 콘텐츠 등을 제공하는 지 분석되고 평가된 정보가 전무하기 때문에, 사용자로 하여금 비정상적인 행위를 실행시키고 피해를 입힐 가능성도 배제할 수 없다. 이에 따라, 상기 제로데이 URL은 발견 즉시 악성 URL 여부가 판별될 수 있도록 보안 검사를 받아야 한다.
상기 보안 검사는 상기 제로데이 URL이 대응하는 IP 주소를 추출하고 이에 대한 블랙리스트를 재매칭하는 1차적인 단계를 거칠 수 있다. 상기 블랙리스트는 자체적으로 유해 IP로 분류하여 저장한 데이터베이스 정보를 이용할 수 있다. 또한 국내외 사이버보안 관련 기관 및 기업, 포털사 등에서 분석하고 공유하고 있는 유해 IP 주소 평판 분석 정보를 활용할 수 있다.
이같은 블랙리스트 매칭 검사는 최초 상기 보안위협 검사부(130)를 통한 평판 분석 URL정보 대응 검사에 활용될 수 있다. 하지만 상기 평판 분석 URL정보와 유해 IP에 대한 평판 정보는 실시간으로 업데이트 되는 분석 정보를 활용하기 위하여 상기 제로데이 URL 진단부(160)에서 추가적으로 실시될 수 있다.
상기 제로데이 URL 진단부(160)는 1차적으로 상기 제로데이 URL와 매핑되는 IP에 대한 유해 IP 여부를 검사 결과에 따라 후속 검사를 진행할 수 있다.
상기 제로데이 URL이 정상 또는 비정상으로 구분되지 않는 제로데이 URL로 재판별 시, 상기 제로데이 URL 진단부(160)는 상기 제로데이 URL에 접속하여 제공 서비스 또는 콘텐츠에 대한 정상 여부를 검사할 수 있다.
상기 제로데이 URL 진단부(160)는 상기 제로데이 URL에 접속하여 행위 기반 동적 검사를 실시할 수 있다. 이를 통해 상기 제로데이 URL 진단부(160)는 상기 제로데이 URL에서 개인정보 입력을 유도하는 지, 악성코드를 다운로드 하거나 악성코드 다운로드를 유도하는 지, 악성 스크립트를 실행시키는 지 등에 대한 검사를 단계적으로 수행할 수 있다. 또한 웹 취약점 공격이 발생될 수 있는 사항에 대하여 점검할 수 있다.
상기 제로데이 URL 진단부(160)는 우선순위에 따라 먼저 검사 단계에서 문제점이 발견된 경우, 그 단계에서 필요한 처리만을 수행하고 검사종료여부를 판단하여 후속 검사단계는 수행하지 않고 종료할 수 있다. 이를 통해, 메일 보안 서비스의 효율성을 확보하여 시스템의 복잡성을 낮추고 처리효율을 향상시킬 수 있다.
본 발명의 실시 예에 따라, 상기 제로데이 URL 진단부(160)가 악성 URL 여부에 대한 검사를 아래와 같이 수행할 수 있다.
우선 상기 제로데이 URL 진단부(160)는 평판 분석 URL정보를 실시간으로 재검사할 수 있다.
예를 들어, 제로데이 URL로 판별되는 'www.*zerodayurl1*.com'이 제공되었을 때, 상기 제로데이 URL 진단부(160)는 상기 'www.*zerodayurl1*.com'에 대하여 1차적으로 악성 URL 여부를 진단할 수 있다. 이 때, 'www.*zerodayurl1*.com'에 매핑되는 IP주소를 분석하여 획득한 '1.2.3.4'의 IP 주소 정보를 통해 유해 IP 여부를 함께 진단할 수 있다. 상기 제로데이 URL 진단부(160)는 상기 제로데이 URL과 이에 매핑되는 IP주소가 여전히 평판 분석 정보에 대응되지 않음을 확인할 수 있다.
다음 단계로, 상기 제로데이 URL 진단부(160)는 상기 제로데이 URL에 직접 연결 또는 접속하여 행위 기반의 동적 검사를 실행할 수 있다.
예를 들어, 상기 제로데이 URL 진단부(160)는 제로데이 URL인 'www.*zerodayurl1.com*'에 직접 연결 또는 접속하여 위변조 URL인지를 검사할 수 있다. 상기 제로데이 URL 진단부(160)는 상기 'www.*zerodayurl1*.com'에서 금융서비스를 제공하는 웹 페이지 메뉴가 구성되고 이를 통해 개인정보 및 금융관련 정보 입력을 유도하는 URL인 것을 확인할 수 있다. 상기 제로데이 URL 진단부(160)는 이를 통해 개인 정보 또는 금융관련 정보를 탈취하려는 URL 인지를 검사하여 판별할 수 있다. 상기 검사를 통해 악성 URL로 판별되는 경우는, 상기 제로데이 URL 진단부(160)가 상기 'www.*zerodayurl1*.com'는 정상적인 금융서비스를 제공하는 'www.*zerodayurl*.com'의 웹 페이지 구성과 유사하게 제공하는 것을 감지하고 이를 이용하는 사용자의 개인 정보 및 금융 정보 탈취 시도를 확인하였을 때 악성 URL로 평가될 수 있다. 상기 악성 URL로 판별된 'www.*zerodayurl1*.com'은 정상 URL인 'www.*zerodayurl*.com'의 2단계 도메인인 zerodayurl에 숫자 1을 추가함으로써 사용자로 하여금 정상 URL로 착각시키고 접속을 유도시킬 수 있다. 또한 상기 제로데이 URL 진단부(160)는 상기 'www.*zerodayurl1*.com'에 연결 또는 접속 시, 악성코드가 포함된 파일이 다운로드 되거나 다운로드를 유도하는 지 여부를 검사할 수 있다. 추가적으로, 상기 제로데이 URL 진단부(160)는 상기 'www.*zerodayurl1*.com'에 연결 또는 접속 시, 악성 스크립트가 실행되는 지 여부를 검사할 수 있다. 이와 함께, 상기 제로데이 URL 진단부(160)는 상기 'www.*zerodayurl1*.com'에서 제공하는 메뉴의 실행 동작을 파악하고 이상 여부를 검사할 수 있다.
또한 상기 제로데이 URL 진단부(160)는 웹 취약점 등을 이용한 공격이 이루어 지는지 검사하고 정상 여부를 판별할 수 있다. 상기 웹 취약점은 소스코드 영역에 대한 프로그래밍을 통하여 사이버 공격, 정보 탈취, 불법적인 권한 획득, 사기 등의 악의적인 목적을 달성하기 위한 도구로 악용될 수 있다. 상기 웹 취약점은 SQL 인젝션, XPath 인젝션, 악성 콘텐츠 주입, 크로스사이트 스크립트(XSS), 크로스사이트 리퀘스트 변조, 자동화 공격, 파일 업로드, 쿠키 변조 등으로 이루어질 수 있다.
상기 제로데이 URL 진단부(160)는 일정 주기로, 상기 제로데이 URL에서 연결되는 하나 이상의 제1 파생 URL과 이를 통해 연쇄적으로 파생되는 제[n] 파생 URL을 추적 관리하여 URL 체인정보를 획득하는 URL 추적 모듈(161)을 포함할 수 있다. 상기 URL 추적 모듈(161)은 상기 제로데이 URL에 직접 연결 또는 접속하여 제공되는 서비스 또는 콘텐츠 등을 점검하여 추가 링크로 제공되는 URL 정보를 추적할 수 있다. 상기 URL 추적 모듈(161)은 상기 URL 체인정보를 획득함으로써 상기 제로데이 URL과 링크되어 연결되는 파생 URL 중 기존에 악성 URL로 판명된 URL이 선별될 수 있도록 상기 URL 체인정보를 활용할 수 있다.
이 때, 상기 제로데이 URL이 웹 페이지로 서비스를 제공하는 경우, 상기 제로데이 URL은 웹 페이지에 메뉴를 구성할 수 있다. 상기 제로데이 URL은 이를 통해 웹 페이지의 추가적인 동작을 실행할 수 있고 추가적인 링크를 제공하여 제1 파생 URL로 이동될 수 있다. 이같은 제1 파생 URL은 상기 제로데이 URL이 제공하는 웹 페이지에서 하나 이상으로 제공될 수 있다. 상기 제1 파생 URL이 링크되어 연결 또는 접속되는 웹 페이지는 메뉴 등을 통해 추가적인 링크인 제2 파생 URL을 제공할 수 있다. 상기 제2 파생 URL은 하나 이상의 메뉴 등을 통해 하나 이상이 제공될 수 있다. 이처럼 상기 제로데이 URL은 제공하는 서비스 또는 콘텐츠를 통해 제1 파생 URL을 포함할 수 있고, 상기 제1 파생 URL 또한 제2 파생 URL을 포함할 수 있다. 또한 제2 파생 URL은 제3, 제4, 그리고 제[n] 파생 URL을 연쇄적으로 포함할 수 있다.
이를 통해, 상기 URL 추적 모듈(161)은 상기 제로데이 URL부터 제[n] 파생 URL까지 검출된 URL 정보를 종합하여 지도화(mapping)하는 URL 체인정보를 획득할 수 있다.
이에 따라, 상기 제로데이 URL 진단부(160)는 위와 같이 제로데이 URL과 상기 제로데이 URL에서 파생된 제1 파생 URL, 제1 파생 URL에서 파생된 제2 파생 URL 등 연쇄적으로 포함되는 URL 체인정보를 이용하여 악성 URL 여부를 검사하고 판별할 수 있다. 이같은 상기 제로데이 URL 진단부(160)는 일정 시, 분, 초의 간격 또는 주기적으로 구분될 수 있는 특정 기준에 따라 상기 제로데이 URL 부터 제[n] 파생 URL이 검출되지 않는 최종점(end point)까지를 대상으로 URL 정보를 추적하고 추출할 수 있다.
또한 상기 제로데이 URL 진단부(160)는 상기 URL 체인정보에 기반하여, 제[n] 파생 URL을 대상으로 악성 URL 여부를 일정 주기로 진단하여 체인 진단정보를 저장 및 관리하는 URL 체인 진단 모듈(162)을 더 포함할 수 있다.
상기 URL 체인 진단 모듈(162)는 상기 체인 진단정보를 지속적으로 갱신하여 최신정보로 유지할 수 있다. 이를 통해 상기 URL 체인 진단 모듈(162)은 악성 URL로 판별되는 URL을 외부 기관과 연동하여 블랙리스트로 추가할 수 있도록 제공할 수도 있다.
URL분류정보 관리부(170)는 상기 URL 검사정보 분석에 따라, 정상 URL, 악성 URL, 제로데이 URL 중 택일되어 판별되는 정보를 URL분류정보로 저장하고 관리할 수 있다. 상기 URL분류정보 관리부(170)는 상기 체인 진단정보에 기반하여 제로데이 URL과 제[n] 파생 URL에 대한 이상유무 판별 정보를 URL분류정보에 포함할 수 있다. 이를 통해, 상기 URL분류정보 관리부(170)는 URL분류정보의 최신화를 유지하여 신속하게 보안위협에 대응할 수 있는 정보를 제공할 수 있다.
보안 URL 접속부(180)는 상기 보안 URL을 포함하는 메일을 수신하는 상기 사용자단말(200)이 상기 보안 URL로의 연결을 요청 시, 1차적으로 상기 사용자단말(200)에서 리다이렉팅되는 보안지대로 제공될 수 있다. 상기 보안 URL 접속부(180)는 상기 진단정보에 기반하여 악성 URL이 아닌 것으로 판별되는 상기 제로데이 URL과 제[n] 파생 URL로의 연결을 처리할 수 있다.
예를 들어, 사용자단말(200)은 최초 메일 내용에 기재된 제로데이 URL인 'www.*zerodayurl123*.com'(매핑 IP 주소: 1.1.1.1)이 보안 URL인 'www.*security123*.com'(매핑 IP 주소: 10.10.10.10)으로 대체된 수신메일을 확인할 수 있다. 또는 제로데이 URL인 'www.*zerodayurl123*.com'은 변경없이 이와 매핑되는 IP주소를 변환한 보안 URL 변환정보를 사용자단말(200)이 연결 요청 시 적용할 수 있다. 상기 사용자단말(200)은 메일 내용을 추가적으로 확인하기 위해 기재된 상기 'www.*security123*.com'을 클릭 또는 웹 브라우저에 입력하여 접속하고자 할 수 있다. 이 때, 상기 사용자단말(200)이 메일 내용에 기재된 상기 'www.*security123*.com'을 클릭하여 연결을 요청하게 되면, 상기 사용자단말(200)은 1차적으로 상기 보안 URL 접속부(180)의 IP 주소인 10.10.10.10으로 접속되도록 리다이렉팅될 수 있다. 이 후, 악성 URL 검사 정보에 따라, 상기 'www.*zerodayurl123*.com'와 매핑되었던 1.1.1.1 인 IP 주소로 이동을 허용하거나 차단할 수 있다. 이에 대한 정보는 알림창 등으로 사용자단말(200)에서 확인할 수 있도록 제공할 수 있다.
레코드 관리부(미도시)는 상기 보안위협 판별정보에 따라 처리된 상기 메일정보를 레코드정보로 저장하고 관리할 수 있다. 상기 레코드 관리부는 상기 보안위협 판별정보에 따라 정상메일로 처리되는 경우, 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅, 메일 내용 본문 정보 등을 포함하는 상기 레코드정보를 신뢰인증로그로 저장하고 관리하는 관계정보 관리부(미도시)를 더 포함할 수 있다. 상기 레코드 관리부는 메일 내용 본문에 포함되는 URL에 대한 이상 여부 판단 정보에 기반하여 신뢰인증로그에 정상 URL 정보를 추가적으로 포함할 수 있다. 이를 통해 상기 신뢰인증로그는 수신자와 발신자 메일정보에 대하여 신뢰할 수 있는 관계정보 분석에 활용될 수 있다. 또한 상기 신뢰인증로그에 포함된 정보는 상호 간 정보 교환을 통해 지속적으로 데이터가 축적되면서 신뢰도가 보장될 수 있다.
또한 상기 레코드 관리부는 상기 보안위협 판별정보에 따라 비정상메일로 처리되는 경우, 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅, 메일 내용 본문 정보 등을 포함하는 상기 레코드정보를 메일보안 프로세스 수행 시 비정상 메일 판단 지표로 활용될 수 있다. 또한 상기 레코드 관리부는 메일 내용 본문에 포함되는 URL에 대한 이상 여부 판단 정보에 기반하여 비정상 메일 판단 지표로 악성 URL 정보를 추가적으로 포함할 수 있다.
도 3은 본 발명의 일 실시 예에 따른 메일 보안 기반의 제로데이 공격 방어 서비스 제공 장치의 동작 방법을 설명하기 위한 흐름도이다.
도 3을 참조하면, 제로데이 공격 방어 서비스 제공 장치의 동작 방법에 있어서, 수집단계(S101)는 하나 이상의 사용자단말(200) 간 송수신되는 메일정보를 수집할 수 있다.
이와 함께, 상기 메일정보에 URL이 수집되는 지 여부를 판단한다(S103).
보안위협 검사단계(S105)는 사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 URL(Uniform Resource Locator)이 포함되는 경우, 메일보안 프로세스에 의해 URL을 검사할 수 있다. 상기 보안위협 검사단계(S105)는 상기 검사 결과에 따른 URL 검사정보를 저장 및 관리할 수 있다.
상기 메일보안 프로세스는 상기 보안위협 아키텍처에 따라 수신메일인지 발신메일인지에 대응하는 서로 다른 메일보안 프로세스가 결정될 수 있다. 또한 상기 메일보안 프로세스의 검사 순서 또는 검사 레벨은 사전 설정한 보안 단계 및 아키텍처에 의해 결정될 수 있다.
이와 함께, 상기 검사 결과에 제로데이 URL로 판별되는지를 판단한다(S107).
URL 변환단계(S109)는 URL 검사정보에 기반하여, 상기 URL이 평판 분석 URL정보와 대응되지 않는 제로데이 URL로 판별되는 경우, 상기 제로데이 URL을 사전 설정된 보안 URL로 변환할 수 있다.
제로데이 URL 진단단계(S111)는 일정 주기로, 상기 제로데이 URL을 대상으로 악성 URL 여부를 진단할 수 있다.
상기 제로데이 URL 진단단계(S111)는 일정 주기로, 상기 제로데이 URL에서 연결되는 하나 이상의 제1 파생 URL과 이를 통해 연쇄적으로 파생되는 제[n] 파생 URL을 추적 관리하여 URL 체인정보를 획득하는 URL 추적단계(미도시)를 더 포함할 수 있다.
또한 상기 제로데이 URL 진단단계(S111)는 상기 URL 체인정보를 기반으로 제[n] 파생 URL을 대상으로 악성 URL 여부를 일정 주기로 진단하여 체인 진단정보를 저장 및 관리하는 URL 체인 진단단계(미도시)를 더 포함할 수 있다.
메일 처리단계(S113)는 URL 검사정보 분석에 따라 메일 상태를 처리할 수 있다. 상기 메일 처리단계(S113)는 상기 제로데이 URL이 포함되는 메일에 대하여, 상기 제로데이 URL을 상기 보안 URL로 대체하고 상기 사용자단말(200)이 접근 가능한 수신 상태로 처리하는 제로데이 메일 처리단계(미도시)를 더 포함할 수 있다.
URL분류정보 관리단계(미도시)가 더 포함되어, 상기 URL 검사정보 분석에 따라, 정상 URL, 악성 URL, 제로데이 URL 중 택일되어 판별되는 정보를 URL분류정보로 저장하고 관리할 수 있다.
보안 URL 접속단계(미도시)가 더 포함되어, 상기 보안 URL을 포함하는 메일을 수신하는 상기 사용자단말(200)이 상기 보안 URL로의 연결을 요청 시, 1차적으로 상기 사용자단말(200)에서 보안 URL로 지정된 보안 장치에 리다이렉팅되고, 상기 진단정보에 기반하여 악성 URL이 아닌 것으로 판별되는 상기 제로데이 URL와 제[n] 파생 URL로의 연결을 처리할 수 있다.
도 4는 본 발명의 일 실시 예에 따른 메일 보안 기반의 제로데이 공격 방어 서비스 제공 장치를 통해 URL 변환을 적용한 수신메일을 설명하기 위한 예시도이다.
도 4을 참조하면, 외부에서 발송한 메일은 메일서버를 통해 수집될 수 있다. 이 때, 서비스 제공 장치(100)는 메일보안 프로세스의 수행을 통해 검출한 URL은 http://www.**zeroday-url**.com으로 확인할 수 있다. 상기 서비스 제공 장치(100)는 상기 URL에 대한 검사를 통해 제로데이 URL 여부를 판별할 수 있다. 이를 통해 제로데이 URL로 판별된 경우, 상기 서비스 제공 장치(100)는 상기 http://www.**zeroday-url**.com을 보안 URL로 변환할 수 있다. 상기 보안 URL은 사전 설정된 http://www.**security-platform**.com으로 변환되어 메일 내용에 적용되고 메일은 수신자에게 전송될 수 있다.
이를 통해 수신자는 김메일이 보낸 메일 내용과 상기 메일 내용에 포함된 URL 정보를 보안 URL인 http://www.**security-platform**.com로 확인할 수 있다. 만약, 상기 제로데이 URL은 사용자단말(200)을 통해 클릭 시, 정상 URL로 보장될 수 없는 웹 페이지 등으로 연결될 수 있고 이를 통해 보안 리스크가 발생될 수 있다.
이에 반해, 변환된 보안 URL은 사용자단말(200)을 통해 클릭 시, 안전한 URL로 보장되는 보안 장치에서 제공하는 웹 페이지 등으로 연결될 수 있다. 이 후, 보안 장치는 실시간으로 실제 URL인 http://www.**zeroday-url**.com의 보안 검사를 실시하여 안전하다고 판단될 시 상기 실제 URL로 접속을 허용하여 상기 사용자단말(200)을 연결할 수 있다.
도 5는 본 발명의 일 실시 예에 따른 메일 보안 기반의 제로데이 공격 방어 서비스 제공 장치를 통해 메일 수신 경로에 따른 URL 접속 경로를 비교 설명하는 예시도이다.
도 5a를 참조하면, 본 발명의 실시 예에 따른 URL 정보 제공과 URL 연결 경로를 설명하기 위한 예시도이다. 외부인은 제로데이 URL인 'www.*zerodayurl*.com'을 포함하는 메일을 발송할 수 있다. 사용자단말 3은 메일서버와 제로데이공격방어시스템을 통해 수신한 메일을 열람할 수 있다. 이 때, 상기 'www.*zerodayurl*.com'은 'www.*securityurl*.com'으로 변환되어 사용자 단말3에게 제공된다. 상기 사용자단말 3은 메일 내용의 추가 확인을 위하여 포함된 URL을 클릭하여 연결을 요청할 수 있다. 이 때, 사용자단말 3이 클릭한 URL인 'www.*securityurl*.com'이 호출되어 이와 IP 주소가 매핑된 제로데이공격방어시스템으로 접속된다. 상기 제로데이공격방어시스템은 사용자단말 3에게 웹 페이지 등으로 접속 상황 등의 정보를 제공할 수 있다. 상기 접속 상황 등의 정보는 사용자단말 3에게 전달된 메일 내용에 포함된 본래의 URL은 'www.*zerodayurl*.com' 였지만 제로데이 URL로 판별되어 보안리스크를 예방하기 위해 검사를 진행한다라는 메시지 등으로 이해를 도울 수 있다.
이와 동시에 상기 제로데이공격방어시스템은 상기 'www.*zerodayurl*.com'에 대한 악성 URL여부를 검사할 수 있다. 상기 제로데이공격방어시스템은 상기 'www.*zerodayurl*.com'이 악성 URL로 판별 시, 이에 대한 링크를 차단하고 사용자단말 3의 접속을 차단할 수 있다. 반대로, 상기 제로데이공격방어시스템은 상기 'www.*zerodayurl*.com'이 보안 위협이 없는 정상 URL로 판별 시, 이에 대한 링크를 허용하고 사용자단말 3을 상기 'www.*zerodayurl*.com'로 연결시킬 수 있다.
도 5b를 참조하면, 종래 기술에 따른 URL 정보 제공과 URL 연결 경로를 설명하는 예시도이다. 외부인은 제로데이 URL인 'www.*zerodayurl*.com'을 포함하는 메일을 발송할 수 있다. 사용자단말 7은 외부자가 보낸 제로데이 URL인 'www.*zerodayurl*.com'에 대한 보안 검사 또는 URL 변경 조치 없이 수신하게 된다. 상기 사용자단말 7은 제로데이공격방어시스템을 거치지 않기 때문에, 상기 www.*zerodayurl*.com 정보가 악성 URL인지 정상 URL인지 판별하는 보안점검을 거치지 못하게 된다. 이를 통해, 상기 사용자단말 7은 상기 URL로 연결 요청 시, 악성 URL인 경우 개인정보 탈취, 악성코드 다운로드, 악성 스크립트 실행 등의 공격에 무방비 상태로 노출될 수 있다.
도 6은 본 발명의 일 실시 예에 따른 메일 보안 기반의 제로데이 공격 방어 서비스 제공 장치를 통해 제로데이 URL과 이에 파생되는 URL의 검사 단계를 설명하는 절차도이다.
도 6을 참조하면, 상기 제로데이 URL로 판명되는 1차 URL은 웹 페이지로 서비스를 제공하는 경우, 상기 제로데이 URL은 웹 페이지에 메뉴를 구성할 수 있고 이를 통해 웹 페이지의 추가적인 동작을 실행할 수 있다. 이를 통해, 상기 제로데이 URL은 추가적인 링크를 제공하여 2차 URL로 이동될 수 있다. 이같은 2차 URL은 추가 링크를 통해 3차 URL을 제공할 수 있고 이에 파생되는 3차, 4차, [n]차 URL이 연쇄적으로 확인될 수 있다. 이러한 단계별 URL에 대하여 보안검사를 실시하여 아성 URL 여부를 판별하고 최종점(end point)까지 추적하여 악성코드가 발견되는 지 여부를 판별할 수 있다.
도 7은 본 발명의 일 실시 예에 따른 메일 보안 아키텍처에 따른 검사 방식을 설명하기 위한 예시도이다.
도 7을 참조하면, 메일 보안 제공하기 위한 아키텍처로써, 이에 따라 보안위협의 유형과 레벨, 프로세스, 우선순위, 처리순서 등이 설정될 수 있다. 상기 메일 보안 서비스의 아키텍처는 수신메일, 발신메일, 내부메일, 사용자 교육 등의 최상위 카테고리로 구분되어 각 카테고리마다 하부 구조로 계층적, 단계적인 구성과 처리 방식이 적용될 수 있다. 상기 최상위 카테고리는 메일정보에 포함되는 속성 값 또는 사용자단말(200)의 메일 이용 목적에 따라 접속하는 시스템의 구분에 따라 분류될 수 있다.
각각의 보안위협 유형 내에는 하나 이상의 특정 메일보안 프로세스가 할당될 수 있고 이는 레벨로 구분되어 단계적이고 순차적으로 실행될 수 있다. 세부적으로, 보안위협 유형은 SPAM, Malicious code(Attachment), Malicious code(URL), Social Engineering Attack 등의 보안위협 유형으로 구분될 수 있다. 이에 따른, 보안위협 유형의 검사 프로세스가 순차적으로 이행될 수 있다. 또한 각각의 상기 보안위협 유형 내에서는 레벨 1, 2, 3, ...[n] 단계로 구분되어 순차적으로 이행될 수 있다. 이 때 각 레벨은 검사하는 특정 항목과 지표가 할당되어 검사 결과를 획득할 수 있다.
또한 아키텍처 설정에 따라 각각의 보안위협 유형 내 메일보안 프로세스는 할당 된 검사 영역을 병렬적으로 병행 검사 처리하는 방식으로도 수행될 수 있다.
최상위 카테고리 중 하나인 상기 수신메일은 하위 계층으로 보안위협 유형이 구분될 수 있다. 세부적으로, 상기 보안위협 유형은 SPAM 처리, 악성코드 처리, 사회공학적 처리 등으로 구분될 수 있다.
수신메일의 보안위협 검사를 위해 SPAM 처리 부문 내 레벨 1(Lv.1)은 평판 기반으로의 스팸메일 여부를 검사할 수 있다. 이 후, 평판 기반의 스팸메일 검사에서 발견된 문제점이 없는 경우 레벨 2(Lv.2)은 사용자 지정 키워드에 근거하여 필터링을 통한 스팸메일 여부를 검사할 수 있다.
레벨 2의 수행이 완료된 후, 다음 단계인 레벨 3(Lv.3)은 이미지 기반의 내용 분석을 통한 스팸메일 여부를 검사할 수 있다. 이와 같이, 메일보안 서비스 아키텍처는 SPAM 처리 유형 내에서의 특정 스팸필터링 프로세스를 통해 레벨별 검증을 수행하고, 상기 검증이 완료될 시 다음 레벨로 이행될 수 있도록 한다. 그리고 상기 메일보안 서비스 아키텍처는 SPAM 처리를 통한 메일의 스팸여부 검사를 완료한 후, 메일 내 악성코드 포함 여부를 판별하는 악성코드 처리 단계로 이행될 수 있다.
상기 악성코드 처리는 레벨 1의 평판 기반 악성코드 포함 여부를 판별할 수 있고, 정상 확인 시 다음 단계로 이행될 수 있다. 레벨 n(Lv.n)은 악성코드가 포함될 수 있는 가능성이 있는 첨부파일로 판별 시, 첨부 파일 내 포함된 실행 코드를 변형하는 무해화 처리를 통해 악성코드 처리 단계를 종료할 수 있다. 상기 악성코드 처리 검사가 완료되는 경우, 검사 단계는 사회공학적 처리 검사 단계로 이행될 수 있다. 상기 사회공학적 처리 검사 단계는 레벨 1(Lv.1)의 메타데이터 기반, 레벨 n(Lv.n)의 관계 분석 기반의 사회공학적 공격 메일 검사 프로세스를 실행한 후, 검사 결과 정보에 따라 대응을 처리 또는 요청할 수 있다.
최상위 카테고리 중 하나인 상기 발신메일은 하위 계층으로 보안위협 유형이 구분될 수 있다. 상기 발신메일의 카테고리 또한 수신메일의 보안위협 유형과 같이 SPAM 처리, 악성코드 처리, 사회공학적 처리 단계로 구분되고 검사가 수행 될 수 있다.
특히 발신메일의 보안위협 검사는 발신 환경 검사 단계를 포함할 수 있다. 상기 발신 환경 검사 단계는 메일 발신을 목적으로 하나 이상의 사용자단말(200)이 시스템에 접속할 시, 사전에 등록된 화이트리스트에 따른 IP 주소 허용 사용자단말인지를 검증하는 레벨 1(Lv.1) 단계를 수행할 수 있다. 상기 레벨 1 단계 검증을 통해 인증이 된 사용자단말(200)은 메일 발송 횟수에 대하여 일정 기준 횟수 이내로 부합할 시, 정상 메일로 판별하고 다음 단계로 이행될 수 있다. 이 후, 레벨 n(Lv.n) 단계는 발신메일 내용을 사전에 검사하여 이상 여부를 판별하는 프로세스가 실행되어 정상 메일 여부를 검증할 수 있다.
최상위 카테고리 중 하나인 상기 내부메일은 하위 계층으로 내부 정보 유출을 방지할 수 있는 내부 메일 관리 단계가 수행될 수 있다. 상기 내부 메일 관리 단계는 레벨 1(Lv.1)의 승인 프로세스를 통해 이상 메일을 검사할 수 있다. 상기 승인 프로세스는 내부정보가 포함된 메일에 대한 정보 유출 위험도를 판단할 수 있다.
상기 승인프로세스는 메일 관리 시스템에 의해 순차적으로 승인 처리되어 외부로 보내지는 메일 내용에 대하여 사전 검열되는 방식으로 수행될 수 있다. 이 후, 레벨 2(Lv.2) 단계로 DLP(Data Loss Prevention; 데이터 유출 방지) 및 DRM(Digital Rights Management: 디지털 저작권 관리) 통제 프로세스가 수행되어 내부 정보 유출 여부를 검사할 수 있다. 상기 DLP 통제 프로세스는 승인 등의 허가 없이 정책에 위반되는 시스템에 접근하여 정보를 전송하려는 행위를 감지 및 통제할 수 있다. 상기 DRM 통제 프로세스는 암호화된 내부 문서가 승인 등의 허가 없이 복호화 되거나 복호화 된 파일을 메일에 첨부하는 시도를 탐지하여 통제할 수 있다. 이 후, 레벨 n(Lv.n) 단계는 메일을 발신하고자 할 때, 사용자단말(200) 인증 처리단계로 1단계, 2단계 등의 다단계 인증 프로세스를 제공할 수 있다. 이를 통해, 계정 탈취나 도용을 시도하는 사용자를 차단함으로써 정상적인 메일 처리를 보장할 수 있다.
최상위 카테고리 중 하나인 상기 사용자 교육은 하위 계층으로 모의피싱과 피드백 시스템의 단계를 포함할 수 있다. 상기 모의피싱 단계에서는 보안위협이 포함된 메일을 사용한 이력이 있는 사용자단말(200)의 식별값과 횟수 등의 정보를 저장 및 관리할 수 있다. 상기 보안위협은 실제 시스템이나 콘텐츠에 무해한 방식으로 구성된 메일이 사용될 수 있다. 이를 통해 피드백 시스템은 모의피싱을 통해 산출된 통계값이나 위협정도를 분석한 결과값을 제공할 수 있다.
상기 카테고리별로 구성된 보안위협 검사는 아키텍처 및 보안 단계에 의해 결정될 수 있다. 이에 따라 검사 순서 및 검사 레벨이 결정될 수 있고 순차적인 검사에 따라 이상 여부를 확인할 수 있다. 또한 상기 검사 순서 및 검사 레벨의 우선순위는 아키텍처 및 보안 단계에 따라 설정될 수 있다. 상기 우선순위에 따라 수행된 프로세스는 획득되는 검사 결과에 따라 문제점이 발견되는 경우, 그 단계에서 필요한 처리를 수행하고 검사 종료 여부를 판단할 수 있다. 상기 문제점은 스팸메일로 판별되거나 악성코드가 포함된 메일로 판별될 시, 메일을 사용자단말(200)에서 확인할 수 없도록 폐기 처리하거나 반송 등의 처리로 해결될 수 있다. 이렇게 특정 단계에서의 검사 프로세스를 통해 메일의 문제점을 처리하는 경우, 후속 검사단계는 수행되지 않고 종료될 수 있다.
상술한 본 발명에 따른 방법은 컴퓨터에서 실행되기 위한 프로그램으로 제작되어 컴퓨터가 읽을 수 있는 기록 매체에 저장될 수 있으며, 컴퓨터가 읽을 수 있는 기록 매체의 예로는 ROM, RAM, CD-ROM, 자기 테이프, 플로피디스크, 광 데이터 저장장치 등이 있으며, 또한 캐리어 웨이브(예를 들어 인터넷을 통한 전송)의 형태로 구현되는 것도 포함한다.
컴퓨터가 읽을 수 있는 기록 매체는 네트워크로 연결된 컴퓨터 시스템에 분산되어, 분산방식으로 컴퓨터가 읽을 수 있는 코드가 저장되고 실행될 수 있다. 그리고, 상기 방법을 구현하기 위한 기능적인(function) 프로그램, 코드 및 코드 세그먼트들은 본 발명이 속하는 기술분야의 프로그래머들에 의해 용이하게 추론될 수 있다.
또한, 이상에서는 본 발명의 바람직한 실시 예에 대하여 도시하고 설명하였지만, 본 발명은 상술한 특정의 실시 예에 한정되지 아니하며, 청구범위에서 청구하는 본 발명의 요지를 벗어남이 없이 당해 발명이 속하는 기술분야에서 통상의 지식을 가진 자에 의해 다양한 변형 실시가 가능한 것은 물론이고, 이러한 변형 실시들은 본 발명의 기술적 사상이나 전망으로부터 개별적으로 이해되어서는 안될 것이다.
Claims (14)
- 서비스 제공 장치에 있어서,
하나 이상의 사용자단말 간 송수신되는 메일정보를 수집하는 수집부;
사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 URL(Uniform Resource Locator)이 포함되는 경우, 메일보안 프로세스에 의해 URL을 검사하고, 상기 검사 결과에 따른 URL 검사정보를 저장 및 관리하는 보안위협 검사부;
상기 URL 검사정보에 기반하여, 상기 URL이 제로데이 공격 위험성이 잠재적으로 존재하는 제로데이 URL로 판별되는 경우, 상기 제로데이 URL을 사전 설정된 보안 URL로 변환하는 제로데이 URL 변환부; 및
주기적으로, 상기 제로데이 URL을 대상으로 악성 URL 여부를 진단하는 제로데이 URL 진단부;를 포함하는
서비스 제공 장치. - 제 1항에 있어서,
상기 URL 검사정보 분석에 따라 메일 상태를 처리하는 메일 처리부;를 더 포함하고,
상기 메일 처리부는,
상기 제로데이 URL이 포함되는 메일에 대하여, 상기 제로데이 URL을 상기 보안 URL로 대체하고 상기 사용자단말이 접근 가능한 수신 상태로 처리하는 제로데이 메일 처리부;를 포함하는
서비스 제공 장치. - 제 2항에 있어서,
상기 URL 검사정보 분석에 따라, 정상 URL, 악성 URL, 제로데이 URL 중 택일되어 판별되는 정보를 URL분류정보로 저장하고 관리하는 URL분류정보 관리부;를 더 포함하는
서비스 제공 장치. - 제 3항에 있어서,
상기 제로데이 URL 진단부는,
일정 주기로, 상기 제로데이 URL에서 연결되는 하나 이상의 제1 파생 URL과 이를 통해 연쇄적으로 파생되는 제[n] 파생 URL을 추적 관리하여 URL 체인정보를 획득하는 URL 추적 모듈;을 포함하는
서비스 제공 장치. - 제 4항에 있어서,
상기 제로데이 URL 진단부는,
상기 URL 체인정보에 기반하여, 제[n] 파생 URL을 대상으로 악성 URL 여부를 일정 주기로 진단하여 체인 진단정보를 저장 및 관리하는 URL 체인 진단 모듈;을 더 포함하는
서비스 제공 장치. - 제 5항에 있어서,
상기 보안 URL을 포함하는 메일을 수신하는 상기 사용자단말이 상기 보안 URL로의 연결을 요청 시, 1차적으로 상기 사용자단말에서 리다이렉팅되고, 상기 진단정보에 기반하여 악성 URL이 아닌 것으로 판별되는 상기 제로데이 URL과 상기 제[n] 파생 URL로의 연결을 처리하는 보안 URL 접속부;를 더 포함하는
서비스 제공 장치. - 제 1항에 있어서,
상기 악성 URL은 개인정보 입력 유도, 악성코드 다운로드, 악성 스크립트 실행, 웹 취약점 공격 중 하나 이상을 포함하는 것을 특징으로 하는
서비스 제공 장치. - 서비스 제공 장치의 동작 방법에 있어서,
하나 이상의 사용자단말 간 송수신되는 메일정보를 수집하는 수집단계;
사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 URL(Uniform Resource Locator)이 포함되는 경우, 메일보안 프로세스에 의해 URL을 검사하고, 상기 검사 결과에 따른 URL 검사정보를 저장 및 관리하는 보안위협 검사단계;
상기 URL 검사정보에 기반하여, 상기 URL이 제로데이 공격 위험성이 잠재적으로 존재하는 제로데이 URL로 판별되는 경우, 상기 제로데이 URL을 사전 설정된 보안 URL로 변환하는 제로데이 URL 변환단계; 및
주기적으로, 상기 제로데이 URL을 대상으로 악성 URL 여부를 진단하는 제로데이 URL 진단단계;를 포함하는
서비스 제공 장치의 동작 방법. - 제 8항에 있어서,
상기 URL 검사정보 분석에 따라 메일 상태를 처리하는 메일 처리단계;를 더 포함하고,
상기 메일 처리단계는,
상기 제로데이 URL이 포함되는 메일에 대하여, 상기 제로데이 URL을 상기 보안 URL로 대체하고 상기 사용자단말이 접근 가능한 수신 상태로 처리하는 제로데이 메일 처리단계;를 더 포함하는
서비스 제공 장치의 동작 방법. - 제 9항에 있어서,
상기 URL 검사정보 분석에 따라, 정상 URL, 악성 URL, 제로데이 URL 중 택일되어 판별되는 정보를 URL분류정보로 저장하고 관리하는 URL분류정보 관리단계;를 더 포함하는
서비스 제공 장치의 동작 방법. - 제 10항에 있어서,
상기 제로데이 URL 진단단계는,
일정 주기로, 상기 제로데이 URL에서 연결되는 하나 이상의 제1 파생 URL과 이를 통해 연쇄적으로 파생되는 제[n] 파생 URL을 추적 관리하여 URL 체인정보를 획득하는 URL 추적단계;를 더 포함하는
서비스 제공 장치의 동작 방법. - 제 11항에 있어서,
상기 제로데이 URL 진단단계는,
상기 URL 체인정보에 기반하여, 제[n] 파생 URL을 대상으로 악성 URL 여부를 일정 주기로 진단하여 체인 진단정보를 저장 및 관리하는 URL 체인 진단단계;를 더 포함하는
서비스 제공 장치의 동작 방법. - 제 12항에 있어서,
상기 보안 URL을 포함하는 메일을 수신하는 상기 사용자단말이 상기 보안 URL로의 연결을 요청 시, 1차적으로 상기 사용자단말에서 리다이렉팅되고, 상기 진단정보에 기반하여 악성 URL이 아닌 것으로 판별되는 상기 제로데이 URL과 상기 제[n] 파생 URL로의 연결을 처리하는 보안 URL 접속단계;를 더 포함하는
서비스 제공 장치의 동작 방법. - 제 8항에 있어서,
상기 악성 URL은 개인정보 입력 유도, 악성코드 다운로드, 악성 스크립트 실행, 웹 취약점 공격 중 하나 이상을 포함하는 것을 특징으로 하는
서비스 제공 장치의 동작 방법.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| KR1020247008031A KR20240036146A (ko) | 2020-12-29 | 2020-12-29 | 메일 보안 기반의 제로데이 url 공격 방어 서비스 제공 장치 및 그 동작 방법 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| PCT/KR2020/019256 WO2022145501A1 (ko) | 2020-12-29 | 2020-12-29 | 메일 보안 기반의 제로데이 url 공격 방어 서비스 제공 장치 및 그 동작 방법 |
Related Child Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| KR1020247008031A Division KR20240036146A (ko) | 2020-12-29 | 2020-12-29 | 메일 보안 기반의 제로데이 url 공격 방어 서비스 제공 장치 및 그 동작 방법 |
Publications (3)
| Publication Number | Publication Date |
|---|---|
| KR20220098316A true KR20220098316A (ko) | 2022-07-12 |
| KR102648653B1 KR102648653B1 (ko) | 2024-03-18 |
| KR102648653B9 KR102648653B9 (ko) | 2024-04-16 |
Family
ID=82260822
Family Applications (2)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| KR1020217025415A KR102648653B1 (ko) | 2020-12-29 | 2020-12-29 | 메일 보안 기반의 제로데이 url 공격 방어 서비스 제공 장치 및 그 동작 방법 |
| KR1020247008031A KR20240036146A (ko) | 2020-12-29 | 2020-12-29 | 메일 보안 기반의 제로데이 url 공격 방어 서비스 제공 장치 및 그 동작 방법 |
Family Applications After (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| KR1020247008031A KR20240036146A (ko) | 2020-12-29 | 2020-12-29 | 메일 보안 기반의 제로데이 url 공격 방어 서비스 제공 장치 및 그 동작 방법 |
Country Status (4)
| Country | Link |
|---|---|
| US (1) | US20240015182A1 (ko) |
| JP (1) | JP2023551858A (ko) |
| KR (2) | KR102648653B1 (ko) |
| WO (1) | WO2022145501A1 (ko) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2024029796A1 (ko) * | 2022-08-04 | 2024-02-08 | (주)기원테크 | 비승인 이메일 서버 접근 공격 검사를 수행하는 표적형 이메일 공격 차단 및 대응을 위한 이메일 보안 시스템 및 그 동작 방법 |
| WO2024063184A1 (ko) * | 2022-09-23 | 2024-03-28 | 시큐레터 주식회사 | Pdf 또는 hwp에서 link의 무해화를 위한 방법 및 장치 |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20230403256A1 (en) * | 2022-06-14 | 2023-12-14 | Bank Of America Corporation | Preventing Data Loss Using Enhanced Analysis of the URLs and URIs in Webpage Requests |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20130131133A (ko) * | 2012-05-23 | 2013-12-03 | 경기대학교 산학협력단 | 내외부 트래픽 모니터링을 통한 지능화된 피싱 메일의 차단방법 및 지능화된 피싱 메일의 차단시스템 |
| KR101959534B1 (ko) * | 2017-03-08 | 2019-03-18 | (주)리투인소프트웨어 | 전자메일 보안 시스템 및 그 방법 |
| KR20200014398A (ko) * | 2020-01-29 | 2020-02-10 | 에스케이텔레콤 주식회사 | 스미싱 방지장치 및 방법 |
Family Cites Families (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR100769221B1 (ko) * | 2006-08-04 | 2007-10-29 | 한국정보보호진흥원 | 제로데이 공격 대응 시스템 및 방법 |
| KR102148189B1 (ko) * | 2015-10-07 | 2020-10-14 | 에스케이텔레콤 주식회사 | 악성사이트 차단을 위한 장치 및 방법 |
| KR101689298B1 (ko) * | 2015-10-19 | 2016-12-23 | 한국과학기술정보연구원 | 보안이벤트 자동 검증 방법 및 장치 |
| KR101847381B1 (ko) * | 2017-02-02 | 2018-04-12 | (주)리투인소프트웨어 | 전자메일 제공 시스템 및 그 방법 |
| KR101907392B1 (ko) * | 2017-05-19 | 2018-10-12 | 소프트캠프(주) | 이메일 본문에 게재된 링크주소의 악성 여부 검사방법과 검사시스템 |
-
2020
- 2020-12-29 KR KR1020217025415A patent/KR102648653B1/ko active IP Right Grant
- 2020-12-29 JP JP2023532749A patent/JP2023551858A/ja active Pending
- 2020-12-29 WO PCT/KR2020/019256 patent/WO2022145501A1/ko active Application Filing
- 2020-12-29 KR KR1020247008031A patent/KR20240036146A/ko active Search and Examination
- 2020-12-29 US US18/255,324 patent/US20240015182A1/en active Pending
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20130131133A (ko) * | 2012-05-23 | 2013-12-03 | 경기대학교 산학협력단 | 내외부 트래픽 모니터링을 통한 지능화된 피싱 메일의 차단방법 및 지능화된 피싱 메일의 차단시스템 |
| KR101959534B1 (ko) * | 2017-03-08 | 2019-03-18 | (주)리투인소프트웨어 | 전자메일 보안 시스템 및 그 방법 |
| KR20200014398A (ko) * | 2020-01-29 | 2020-02-10 | 에스케이텔레콤 주식회사 | 스미싱 방지장치 및 방법 |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2024029796A1 (ko) * | 2022-08-04 | 2024-02-08 | (주)기원테크 | 비승인 이메일 서버 접근 공격 검사를 수행하는 표적형 이메일 공격 차단 및 대응을 위한 이메일 보안 시스템 및 그 동작 방법 |
| WO2024063184A1 (ko) * | 2022-09-23 | 2024-03-28 | 시큐레터 주식회사 | Pdf 또는 hwp에서 link의 무해화를 위한 방법 및 장치 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2023551858A (ja) | 2023-12-13 |
| KR102648653B9 (ko) | 2024-04-16 |
| KR20240036146A (ko) | 2024-03-19 |
| US20240015182A1 (en) | 2024-01-11 |
| KR102648653B1 (ko) | 2024-03-18 |
| WO2022145501A1 (ko) | 2022-07-07 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| KR102464629B1 (ko) | 보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법 | |
| US20220078197A1 (en) | Using message context to evaluate security of requested data | |
| US11323464B2 (en) | Artifact modification and associated abuse detection | |
| US11102244B1 (en) | Automated intelligence gathering | |
| CN110620753B (zh) | 反击对用户的计算设备的攻击的系统和方法 | |
| US20210058395A1 (en) | Protection against phishing of two-factor authentication credentials | |
| US9241009B1 (en) | Malicious message detection and processing | |
| WO2019118838A1 (en) | Using a measure of influence of sender in determining a security risk associated with an electronic message | |
| KR102648653B1 (ko) | 메일 보안 기반의 제로데이 url 공격 방어 서비스 제공 장치 및 그 동작 방법 | |
| Giani et al. | Data exfiltration and covert channels | |
| Lee et al. | Classification of attack types and analysis of attack methods for profiling phishing mail attack groups | |
| EP3195140B1 (en) | Malicious message detection and processing | |
| KR102546068B1 (ko) | 위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법 | |
| JP2024532043A (ja) | 電子メール通信プロトコルベースの接続管理及び遮断機能を提供するメール接続セキュリティシステムのメールセキュリティ処理装置及びその動作方法 | |
| Sipahi et al. | Detecting spam through their Sender Policy Framework records | |
| El Aassal et al. | Spears Against Shields: Are Defenders Winning The Phishing War? | |
| Kshetri et al. | algoXSSF: Detection and analysis of cross-site request forgery (XSRF) and cross-site scripting (XSS) attacks via Machine learning algorithms | |
| JP2024533009A (ja) | 非承認の電子メールサーバーへのアクセス攻撃の検査を行う標的型電子メールの攻撃の遮断及び対応のための電子メールセキュリティシステム及びその動作方法 | |
| KR20240019725A (ko) | 비승인 이메일 서버 접근 공격 검사를 수행하는 표적형이메일 공격 차단 및 대응을 위한 이메일 보안 시스템 및 그 동작 방법 | |
| KR20240118315A (ko) | 메일 보안 방화벽 장치 및 그 동작 방법 | |
| JP2024533008A (ja) | 標的型電子メール攻撃の遮断及び対応のための電子メールセキュリティシステム及びその動作方法 | |
| Siadati | Prevention, detection, and reaction to cyber impersonation attacks | |
| Lee et al. | Security Monitoring Technological Approach for Spear Phishing Detection | |
| Kanthety | Prevention of Phishing Attacks using Link-Guard Algorithm |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| E902 | Notification of reason for refusal | ||
| E90F | Notification of reason for final refusal | ||
| E701 | Decision to grant or registration of patent right | ||
| A107 | Divisional application of patent | ||
| GRNT | Written decision to grant | ||
| G170 | Re-publication after modification of scope of protection [patent] |