WO2010024606A2 - 정상 파일 데이터베이스 제공 시스템 및 방법 - Google Patents

정상 파일 데이터베이스 제공 시스템 및 방법 Download PDF

Info

Publication number
WO2010024606A2
WO2010024606A2 PCT/KR2009/004788 KR2009004788W WO2010024606A2 WO 2010024606 A2 WO2010024606 A2 WO 2010024606A2 KR 2009004788 W KR2009004788 W KR 2009004788W WO 2010024606 A2 WO2010024606 A2 WO 2010024606A2
Authority
WO
WIPO (PCT)
Prior art keywords
normal file
database
file database
providing
terminal
Prior art date
Application number
PCT/KR2009/004788
Other languages
English (en)
French (fr)
Other versions
WO2010024606A3 (ko
Inventor
황규범
Original Assignee
주식회사 안철수 연구소
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 안철수 연구소 filed Critical 주식회사 안철수 연구소
Priority to US13/060,820 priority Critical patent/US20110161364A1/en
Publication of WO2010024606A2 publication Critical patent/WO2010024606A2/ko
Publication of WO2010024606A3 publication Critical patent/WO2010024606A3/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6236—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database between heterogeneous systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q50/00—Information and communication technology [ICT] specially adapted for implementation of business processes of specific business sectors, e.g. utilities or tourism
    • G06Q50/10—Services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2101—Auditing as a secondary aspect

Definitions

  • the present invention relates to a normal file database used in an anti-virus program, and more particularly, to create a normal file database without being exposed to external intrusions such as viruses and malicious code, and to provide the same to a terminal through a communication network.
  • a normal file database providing system and method.
  • an anti-virus program or a malware diagnosis and treatment program builds a database that stores related information of a normal file in a terminal in order to speed up diagnosis of viruses and malware.
  • the normal file filtering method checks the basic information of the file on the file system in the terminal to determine whether the file has changed, and if the file has changed, the important contents of the file are verified and verified based on the actual change history.
  • the antivirus program detects the presence of a virus or malicious code based only on basic information on the file system, there is a disadvantage in that the malicious code is not properly detected in the case of modification without increase of contents, for example, a code patch or a virus infection.
  • the antivirus program's monitor determines whether a file has been modified using a method of monitoring the write to the file and a method of verifying a free area (padding area) on the header.
  • file-related information consists of values representing each file, including the message digest value of the full path where the file exists (such as CRC64), the file creation date, the message digest value abbreviating the importance of the file content, A message digest value of the padding area of the file, and a message digest value of the entire contents of the file.
  • the anti-virus program checks whether there is a file change in the terminal based on the file related information stored in the database and uses it to diagnose and treat viruses and malicious codes. More specifically, the anti-virus program compares the file-related information stored in the device with the file-related information stored in the database and skips the scan in the same case, and if it is changed, scans the file to determine whether it is infected with a virus or malware, Perform.
  • An example of a method of comparing file related information is a method of calculating a hash value of a file.
  • This database is reset at the engine update cycle of the antivirus program, and reconfigured using the file related information in the terminal during the engine update.
  • the basic information on the file system in the terminal is identified to determine whether the file has changed, and if it is changed, the important contents of the file are checked to verify the file change based on the actual change history, thereby filtering the normal file. Do this.
  • the conventional normal file database is reset and reconfigured according to the engine update cycle, so that the file infected by the undiagnosed and new malicious code is set as a normal file before the engine update, and the antivirus program recognizes the infected file as a normal file. There is this.
  • the present invention creates a normal file database in a normal file database providing server operated by a company such as an antivirus company without being exposed to external intrusions such as viruses and malware, and then provides the normal file database to a terminal through a communication network. It is to provide a providing system and method.
  • the normal file database providing system includes a database server storing normal file databases constructed for different operating systems and corresponding operating system information through the database server based on operating system information of a terminal on which an antivirus program is installed. And a file providing server for searching a normal file database and providing the searched normal file database to the terminal through a communication network.
  • the method for providing a normal file database is a method for providing a normal file database using a database server in which a normal file database constructed for different operating systems is stored. And searching for a normal file database suitable for a terminal on which the same operating system as the identified operating system is installed based on the identified operating system information, and providing the retrieved normal file database to each terminal through the communication network. It includes a step.
  • the present invention can improve the reliability of the normal file database by generating a normal file database and providing it to the terminal through a communication network without being exposed to external intrusions such as viruses and malicious codes.
  • the present invention builds a normal file database for each different operating system in a server and distributes it to a terminal through a communication network, the terminal does not need to build a normal file database, thereby reducing the load on the terminal.
  • FIG. 1 is a block diagram showing a schematic configuration of a normal file database providing system according to an embodiment of the present invention
  • FIG. 2 is a flowchart illustrating a normal file database providing method according to an exemplary embodiment of the present invention.
  • FIG. 1 is a block diagram illustrating a schematic configuration of a normal file database providing system according to an exemplary embodiment of the present invention, which includes a database server 100, a file providing server 110, an update server 120, and a communication network 130. And a plurality of terminals 140.
  • the plurality of terminals 140 are provided with an anti-virus program or malware diagnosis and treatment program, and a normal file database required for driving the anti-virus program or malware diagnosis and treatment program is installed.
  • the database server 100 stores normal file databases of different operating systems, for example, Windows 98, Windows 2000, Windows XP, Vista, Linux, etc., and searches for a normal file database in response to a request of the file providing server 110. It provides to the providing server 110.
  • the database server 100 receives the patch information for each operating system through the communication network 130, and updates the normal file database of any operating system based on the patch information of the received operating system.
  • the normal file database is configured by using file related information stored in a storage medium, for example, a hard disk or an optical disk, on which an operating system is installed without being exposed to viruses and malicious codes. More specifically, the normal file database is constructed using file related information in a storage medium in which not only an operating system but also basic utilities such as Word, Korean, decompression programs, and media playback programs are installed.
  • the file providing server 110 performs a function of distributing a normal file database to a plurality of terminals 140 through the communication network 130, and receives operating system information installed in each terminal 140 and corresponds to the operating system information based on the received operating system information.
  • the normal file database is provided from the database server 100, and the provided normal file database is provided to each terminal 140.
  • the file providing server 110 may be configured using a server that provides an update engine of an antivirus program. In this case, when the update engine is distributed, the operating system information of each terminal 140 is identified and a normal file database is distributed to each terminal 140 based on the information.
  • the file update server 120 provides the updated normal file database to the terminal 140 installed with the same operating system as any operating system as the normal file database associated with any operating system in the database server 100 is updated.
  • the file update server 120 provides the updated normal file database via the communication network 130 to the terminal 140 installed any operating system when the update engine of the anti-virus program is distributed.
  • the anti-virus program installed in the terminal 140 diagnoses normal files that are not infected with viruses and malicious codes by using a normal file database provided from the file providing server 110 through the communication network 130, and then detects unnecessary viruses and malicious codes. The diagnosis will be skipped.
  • the terminal 140 may update the normal file database by comparing the provided normal file database with file related information stored in its storage medium. That is, the normal file database may be reconfigured by extracting only the relevant information of the file stored in the storage medium of the terminal 140 from the file related information stored in the normal file database.
  • FIG. 2 is a flowchart illustrating a normal file database providing method according to an exemplary embodiment of the present invention.
  • the database server 100 constructs a normal file database for each operating system using related information of files stored in a storage medium on which different operating systems and basic utilities are installed (S200).
  • the file providing server 110 receives the operating system information installed in the terminal 140 from the terminal 140 in which the antivirus diagnosis and treatment program is installed (S202), and stores the normal file database corresponding to the received operating system information in the database server.
  • the search is provided (S204).
  • the file providing server 110 distributes the normal file database provided from the database server 100 to the terminal 140 (S206).
  • the present invention has been described as an example that receives the operating system information from the terminal 140 to distribute the normal file database corresponding thereto.
  • the present invention may be configured such that the file providing server 110 identifies the operating system installed in the terminal 140 in which the antivirus program is installed and then distributes a normal file database corresponding thereto.
  • the file providing server 110 may distribute a normal file database when distributing an update engine of an antivirus program installed in the terminal 140.
  • the database server 110 determines whether patch information is received through the communication network 130 for each operating system (S208).
  • the database server 110 updates the normal file database corresponding to the arbitrary operating system based on the patch information (S210).
  • the file update server 120 distributes the updated normal file database to the terminal 140 through the communication network 130 (S212), thereby updating the normal file database of the terminal 140 driven by an arbitrary operating system ( S214).
  • the time point for updating the normal file database of the terminal 140 may be made when distributing an update engine of an anti-virus program installed in the terminal 140.
  • the terminal 140 does not create a normal file database on its own, but generates a normal file database generated in a safe working environment, that is, not infected by viruses and malicious codes, and then generates the normal file database.
  • a normal file database generated in a safe working environment, that is, not infected by viruses and malicious codes.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Databases & Information Systems (AREA)
  • Bioethics (AREA)
  • Business, Economics & Management (AREA)
  • Virology (AREA)
  • Tourism & Hospitality (AREA)
  • Economics (AREA)
  • Human Resources & Organizations (AREA)
  • Marketing (AREA)
  • Primary Health Care (AREA)
  • Strategic Management (AREA)
  • General Business, Economics & Management (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Storage Device Security (AREA)

Abstract

본 발명에 따른 정상 파일 데이터베이스 제공 시스템은, 서로 상이한 운영체제별로 구축된 정상 파일 데이터베이스가 저장되어 있는 데이터베이스 서버와, 안티 바이러스 프로그램이 설치된 단말기의 운영체제 정보를 토대로 데이터베이스 서버를 통해 운영체제 정보에 대응되는 정상 파일 데이터베이스를 검색하고, 검색된 정상 파일 데이터베이스를 통신망을 통해 단말기에 제공하는 파일 제공 서버를 포함한다. 이와 같이, 본 발명은 바이러스 및 악성 코드와 같은 외부의 침입에 노출되지 않은 상태에서 정상 파일 데이터베이스를 생성한 후 이를 통신망을 통해 단말기에 제공함으로서, 정상 파일 데이터베이스의 신뢰성을 향상시킬 수 있다.

Description

정상 파일 데이터베이스 제공 시스템 및 방법
본 발명은 안티 바이러스 프로그램에서 이용되는 정상 파일 데이터베이스에 관한 것으로, 더욱 상세하게는 바이러스 및 악성 코드와 같은 외부의 침입에 노출되지 않은 상태에서 정상 파일 데이터베이스를 생성한 후 이를 통신망을 통해 단말기에 제공하는 정상 파일 데이터베이스 제공 시스템 및 방법에 관한 것이다.
일반적으로, 안티 바이러스 프로그램 혹은 악성코드 진단 및 치료 프로그램은 바이러스 및 악성 코드의 진단 속도를 향상시키기 위해 단말기 내에 정상 파일의 관련 정보를 저장하는 데이터베이스를 구축한다.
데이터베이스 구성 시 정상 파일의 필터링 방법은 단말기 내의 파일 시스템 상의 파일의 기본 정보를 파악하여 파일의 변경 여부를 파악하고, 만일 파일이 변경되었다면 파일의 중요 내용을 파악하여 실제 변동 내역을 토대로 검증한다.
한편, 안티바이러스 프로그램이 파일 시스템 상의 기본 정보만으로 바이러스 또는 악성 코드 존재를 파악할 경우, 내용의 증가 없는 수정, 예컨대 코드 패치 내지 바이러스 감염의 경우에 악성 코드를 제대로 감지하지 못하는 단점이 있다.
이러한 단점을 해결하기 위해서 안티바이러스 프로그램의 감시기에서는 해당 파일에 대한 쓰기를 모니터링하는 방법과 헤더 상에 빈 영역(패딩 영역)을 검증하는 방법을 이용하여 파일의 수정 여부를 판단한다.
이와 같이, 안티 바이러스 프로그램이 감시할 대상은 정상 파일 관련 정보가 저장되어 있는 데이터베이스에 존재하는 파일이 되는데, 데이터베이스에 존재하지 않는 파일에 대해서는 스킵(skip)하거나 감시 대상에 포함시키지 않는다. 이와 관련하여, 파일 관련 정보는 각 파일을 대표하는 값들로 구성되며, 파일이 존재하는 전체 경로의 메시지 다이제스트 값(CRC64 등과 같은 값), 파일 작성 날짜, 파일 내용의 중요부를 축약한 메시지 다이제스트 값, 파일의 패딩 영역의 메시지 다이제스트 값, 및 파일의 전체 내용에 대한 메시지 다이제스트 값을 포함한다.
즉, 안티 바이러스 프로그램은 데이터베이스에 저장된 파일 관련 정보를 토대로 단말기 내의 파일 변경 유무를 체크한 후 이를 이용하여 바이러스 및 악성 코드를 진단 및 치료한다. 더욱 상세하게는 안티 바이러스 프로그램이 단말기 내에 저장된 파일 관련 정보와 데이터베이스에 저장된 파일 관련 정보를 비교하여 같은 경우 검사를 스킵하고, 변경된 경우 해당 파일을 검사하여 바이러스 및 악성 코드에 감염되었는지를 판단한 후 치료를 수행한다.
파일 관련 정보를 비교하는 방법의 예로는 파일의 해쉬값을 산출하는 방법이 존재한다.
이러한 데이터베이스는 안티 바이러스 프로그램의 엔진 업데이트 주기 시에 리셋되며, 엔진 업데이트 시 단말기 내의 파일 관련 정보를 이용하여 재구성된다. 전술한 바와 같이, 데이터베이스 구성 시 단말기 내의 파일 시스템 상의 기본 정보를 파악하여 파일의 변경 여부를 파악하고, 변경되었다면 파일의 중요 내용을 파악하여 실제 변동 내역을 토대로 파일 변경을 검증함으로써, 정상 파일의 필터링을 수행한다.
그러나, 안티 바이러스 프로그램의 바이러스 및 악성 코드 진단을 위한 정상 파일 데이터베이스는 단말기 내에 설치되기 때문에 설치 당시 단말기 내 존재하는 신종 또는 미진단 샘플이 있을 경우 악성 파일이 정상 파일로 설정되는 문제점이 있다.
또한, 종래의 정상 파일 데이터베이스는 엔진 업데이트 주기에 맞춰서 리셋되어 재구성되기 때문에 엔진 업데이트 전에 미진단 및 신종 악성 코드에 의해 감염된 파일이 정상 파일로 설정되어 안티 바이러스 프로그램이 감염된 파일을 정상 파일로 인식하는 문제점이 있다.
또한, 최근 엔진 업데이트 주기가 빠른 경우에는 데이터베이스의 리셋 빈도가 잦아 효율성이 떨어지는 문제점이 있다.
본 발명은 백신 업체와 같은 회사에서 운영하는 정상 파일 데이터베이스 제공 서버에서 바이러스 및 악성 코드와 같은 외부의 침입에 노출되지 않은 상태에서 정상 파일 데이터베이스를 생성한 후 이를 통신망을 통해 단말기에 제공하는 정상 파일 데이터베이스 제공 시스템 및 방법을 제공하는 것이다.
본 발명에 따른 정상 파일 데이터베이스 제공 시스템은, 서로 상이한 운영체제별로 구축된 정상 파일 데이터베이스가 저장되어 있는 데이터베이스 서버와, 안티 바이러스 프로그램이 설치된 단말기의 운영체제 정보를 토대로 상기 데이터베이스 서버를 통해 상기 운영체제 정보에 대응되는 정상 파일 데이터베이스를 검색하고, 상기 검색된 정상 파일 데이터베이스를 통신망을 통해 상기 단말기에 제공하는 파일 제공 서버를 포함한다.
본 발명에 따른 정상 파일 데이터베이스 제공 방법은, 서로 상이한 운영체제별로 구축된 정상 파일 데이터베이스가 저장되어 있는 데이터베이스 서버를 이용한 정상 파일 데이터베이스 제공 방법으로서, 안티 바이러스 프로그램이 설치된 다수의 단말기들에 대한 운영체제 정보를 파악하는 단계와, 상기 파악된 운영체제 정보에 의거하여 상기 파악된 운영체제와 동일한 운영체제가 설치된 단말기에 적합한 정상 파일 데이터베이스를 검색하는 단계와, 상기 검색된 각각의 정상 파일 데이터베이스를 상기 통신망을 통해 상기 각 단말기에 제공하는 단계를 포함한다.
따라서, 본 발명은 바이러스 및 악성 코드와 같은 외부의 침입에 노출되지 않은 상태에서 정상 파일 데이터베이스를 생성한 후 이를 통신망을 통해 단말기에 제공함으로서, 정상 파일 데이터베이스의 신뢰성을 향상시킬 수 있다.
또한, 본 발명은 임의의 서버에서 서로 상이한 운영체제별로 정상 파일 데이터베이스를 구축한 후 이를 통신망을 통해 단말기에 배포함으로서, 단말기 자체적으로 정상 파일 데이터베이스를 구축할 필요가 없기 때문에 단말기에서 부하를 줄일 수 있다.
도 1은 본 발명의 바람직한 실시 예에 따른 정상 파일 데이터베이스 제공 시스템의 개략적인 구성을 도시한 블록도이며,
도 2는 본 발명의 바람직한 실시 예에 따른 정상 파일 데이터베이스 제공 방법을 도시한 흐름도이다.
이하, 본 발명의 바람직한 실시예를 첨부된 도면들을 참조하여 상세히 설명한다. 아울러 본 발명을 설명함에 있어, 관련된 공지 구성 또는 기능에 대한 구체적인 설명이 본 발명의 요지를 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략한다.
도 1은 본 발명의 바람직한 실시 예에 따라 정상 파일 데이터베이스 제공 시스템의 개략적인 구성을 도시한 블록도로서, 데이터베이스 서버(100), 파일 제공 서버(110), 업데이트 서버(120), 통신망(130) 및 다수의 단말기(140)를 포함한다.
다수의 단말기(140)에는 안티 바이러스 프로그램 혹은 악성코드 진단 및 치료 프로그램이 설치되어 있으며, 안티 바이러스 프로그램 혹은 악성코드 진단 및 치료 프로그램의 구동 시에 필요한 정상 파일 데이터베이스가 설치된다.
데이터베이스 서버(100)는 서로 다른 운영체제, 예컨대 Windows 98, Windows 2000, Windows XP, Vista, 리눅스 등의 정상 파일 데이터베이스를 저장하고 있으며, 파일 제공 서버(110)의 요청에 따라 정상 파일 데이터베이스를 검색하여 파일 제공 서버(110)에 제공한다.
또한, 데이터베이스 서버(100)는 각각의 운영체제에 대한 패치 정보가 통신망(130)을 통해 수신하고, 수신된 운영체제의 패치 정보를 토대로 임의의 운영체제의 정상 파일 데이터베이스를 업데이트시킨다.
여기서, 정상 파일 데이터베이스는 바이러스 및 악성 코드에 노출되지 않은 상태에서 운영체제가 설치된 저장매체, 예컨대 하드디스크 또는 광 디스크에 저장된 파일 관련 정보를 이용하여 구성된다. 더욱 상세하게는 정상 파일 데이터베이스는 운영체제뿐만 아니라 기본적인 유틸리티, 예컨대 워드, 한글, 압축 해제 프로그램, 미디어 재생 프로그램 등이 설치된 저장매체 내 파일 관련 정보를 이용하여 구성된다.
파일 제공 서버(110)는 통신망(130)을 통해 다수의 단말기(140)에 정상 파일 데이터베이스를 배포하는 기능을 수행하며, 각 단말기(140)에 설치된 운영체제 정보를 제공받은 후 이를 토대로 운영체제 정보에 해당되는 정상 파일 데이터베이스를 데이터베이스 서버(100)로부터 제공받고, 제공받은 정상 파일 데이터베이스를 각 단말기(140)에 제공한다.
파일 제공 서버(110)는 안티 바이러스 프로그램의 업데이트 엔진을 제공하는 서버를 이용하여 구성될 수도 있다. 이런 경우 업데이트 엔진 배포 시에 각 단말기(140)의 운영체제 정보를 파악한 후 이를 토대로 정상 파일 데이터베이스를 각 단말기(140)에 배포한다.
파일 업데이트 서버(120)는 데이터베이스 서버(100) 내 임의의 운영체제에 연관된 정상 파일 데이터베이스가 업데이트됨에 따라 업데이트된 정상 파일 데이터베이스를 임의의 운영체제와 동일한 운영체제가 설치된 단말기(140)에 제공한다. 특히 파일 업데이트 서버(120)는 안티 바이러스 프로그램의 업데이트 엔진이 배포될 때 업데이트된 정상 파일 데이터베이스를 통신망(130)을 통해 임의의 운영체제가 설치된 단말기(140)에 제공한다.
단말기(140)에 설치된 안티 바이러스 프로그램은 통신망(130)을 통해 파일 제공 서버(110)로부터 제공받은 정상 파일 데이터베이스를 이용하여 바이러스 및 악성 코드에 감염되지 않은 정상 파일들을 진단하여 불필요한 바이러스 및 악성 코드의 진단을 스킵하게 된다.
여기서, 단말기(140)는 제공받은 정상 파일 데이터베이스를 자신의 저장매체에 저장된 파일 관련 정보와 비교하여 정상 파일 데이터베이스를 업데이트시킬 수 있다. 즉, 정상 파일 데이터베이스에 저장된 파일 관련 정보 중에서 단말기(140)의 저장매체에 저장된 파일의 관련 정보만 추출하여 정상 파일 데이터베이스를 재구성할 수 있다.
상기와 같은 구성을 갖는 정상 파일 데이터베이스 제공 시스템이 동작하는 과정에 대해 도 2를 참조하여 설명한다.
도 2는 본 발명의 바람직한 실시 예에 따른 정상 파일 데이터베이스 제공 방법을 도시한 흐름도이다.
도 2를 참조하면, 먼저 데이터베이스 서버(100)는 서로 다른 운영체제와 기본 유틸리티가 설치된 저장매체에 저장된 파일들의 관련 정보를 이용하여 운영체제별 정상 파일 데이터베이스를 구축한다(S200).
이후, 파일 제공 서버(110)는 안티 바이러스 진단 및 치료 프로그램이 설치된 단말기(140)로부터 단말기(140) 내에 설치된 운영체제 정보를 제공받고(S202), 제공받은 운영체제 정보에 대응되는 정상 파일 데이터베이스를 데이터베이스 서버(100)에서 검색하여 제공받는다(S204).
그런 다음, 파일 제공 서버(110)는 데이터베이스 서버(100)로부터 제공받은 정상 파일 데이터베이스를 단말기(140)에 배포한다(S206).
본 발명의 바람직한 실시 예에서는 단말기(140)로부터 운영체제 정보를 제공받아 이에 상응하는 정상 파일 데이터베이스를 배포하는 것으로 예로 들어 설명하였다. 대안으로, 본 발명은 파일 제공 서버(110)가 안티 바이러스 프로그램이 설치된 단말기(140)에 설치된 운영체제를 파악한 후 이에 대응되는 정상 파일 데이터베이스를 배포하도록 구성할 수도 있다.
한편, 파일 제공 서버(110)는 단말기(140)에 설치된 안티 바이러스 프로그램의 업데이트 엔진을 배포할 때 정상 파일 데이터베이스를 배포할 수도 있다.
이후, 데이터베이스 서버(110)는 운영체제별로 패치 정보가 통신망(130)을 통해 수신되는지를 판단한다(S208).
S208의 판단 결과, 임의의 운영체제에 대한 패치 정보가 수신되는 경우 데이터베이스 서버(110)는 패치 정보를 토대로 임의의 운영체제에 대응되는 정상 파일 데이터베이스를 업데이트시킨다(S210).
이후, 파일 업데이트 서버(120)는 업데이트된 정상 파일 데이터베이스를 통신망(130)을 통해 단말기(140)에 배포(S212)함으로서, 임의의 운영체제로 구동되는 단말기(140)의 정상 파일 데이터베이스를 업데이트시킨다(S214).
단말기(140)의 정상 파일 데이터베이스를 업데이트시키는 시점은 단말기(140)에 설치된 안티 바이러스 프로그램의 업데이트 엔진을 배포할 때 이루어질 수 있다.
본 발명의 바람직한 실시 예에 따르면, 단말기(140) 자체적으로 정상 파일 데이터베이스를 생성하지 않고, 안전한 작업 환경, 즉 바이러스 및 악성 코드에 의해 감염되지 않은 상태에서 생성된 정상 파일 데이터베이스를 생성한 후 이를 통신망(130)을 통해 단말기(140)에 제공함으로서, 정상 파일 데이터베이스의 신뢰성을 향상시킬 수 있다.
지금까지 본 발명의 일 실시예에 국한하여 설명하였으나 본 발명의 기술이 당업자에 의하여 용이하게 변형 실시될 가능성이 자명하다. 이러한 변형된 실시 예들은 본 발명의 특허청구범위에 기재된 기술사상에 포함된다고 하여야 할 것이다.

Claims (10)

  1. 서로 상이한 운영체제별로 구축된 정상 파일 데이터베이스가 저장되어 있는 데이터베이스 서버와,
    안티 바이러스 프로그램이 설치된 단말기의 운영체제 정보를 토대로 상기 데이터베이스 서버를 통해 상기 운영체제 정보에 대응되는 정상 파일 데이터베이스를 검색하고, 상기 검색된 정상 파일 데이터베이스를 통신망을 통해 상기 단말기에 제공하는 파일 제공 서버를 포함하는 정상 파일 데이터베이스 제공 시스템.
  2. 제 1 항에 있어서,
    상기 파일 제공 서버는, 상기 안티 바이러스 프로그램의 엔진 업데이트 시 상기 정상 파일 데이터베이스를 상기 단말기에 제공하는 것을 특징으로 하는 정상 파일 데이터베이스 제공 시스템.
  3. 제 1 항에 있어서,
    상기 데이터베이스 서버는,
    각 운영체제에 대한 패치가 이루어질 때마다 상기 패치에 대응되는 정보를 토대로 상기 운영체제의 정상 파일 데이터베이스를 업데이트시키는 것을 특징으로 하는 정상 파일 데이터베이스 제공 시스템.
  4. 제 3 항에 있어서,
    상기 각각의 운영체제에 대한 정상 파일 데이터베이스가 업데이트됨에 따라 대응하는 상기 운영체제가 설치된 단말기에 상기 업데이트된 정상 파일 데이터베이스를 제공하는 것을 파일 업데이트 서버를 더 포함하는 정상 파일 데이터베이스 제공 시스템.
  5. 제 4 항에 있어서,
    상기 파일 업데이트 서버는, 상기 업데이트된 정상 파일 데이터베이스를 상기 안티 바이러스 프로그램의 엔진 업데이트 시 상기 단말기에 제공하는 것을 특징으로 하는 정상 파일 데이터베이스 제공 시스템.
  6. 서로 다른 운영체제별로 구축된 정상 파일 데이터베이스가 저장되어 있는 데이터베이스 서버를 이용한 정상 파일 데이터베이스 제공 방법으로서,
    안티 바이러스 프로그램이 설치된 다수의 단말기들에 대한 운영체제 정보를 파악하는 단계와,
    상기 파악된 운영체제 정보에 의거하여 상기 파악된 운영체제와 동일한 운영체제가 설치된 단말기에 적합한 정상 파일 데이터베이스를 검색하는 단계와,
    상기 검색된 각각의 정상 파일 데이터베이스를 상기 통신망을 통해 상기 각 단말기에 제공하는 단계를 포함하는 정상 파일 데이터베이스 제공 방법.
  7. 제 6 항에 있어서,
    상기 각 단말기에 제공하는 단계는, 상기 안티 바이러스 프로그램의 업데이트 엔진을 제공할 때 상기 검색된 각각의 정상 파일 데이터베이스를 상기 각 단말기에 제공하는 것을 특징으로 하는 정상 파일 데이터베이스 제공 방법.
  8. 제 6 항에 있어서,
    임의의 운영체제에 대한 패치 정보가 존재하는지를 판단하는 단계와,
    상기 판단 결과, 상기 패치 정보가 존재할 경우 상기 데이터베이스 서버를 통해 상기 임의의 운영체제에 대응되는 정상 파일 데이터베이스를 업데이트시키는 단계를 더 포함하는 정상 파일 데이터베이스 제공 방법.
  9. 제 8 항에 있어서,
    상기 정상 파일 데이터베이스가 업데이트됨에 따라 상기 임의의 운영체제가 설치된 단말기에 상기 업데이트된 정상 파일 데이터베이스를 제공하는 단계를 더 포함하는 정상 파일 데이터베이스 제공 방법.
  10. 제 9 항에 있어서,
    상기 업데이트된 정상 파일 데이터베이스를 제공하는 단계는, 상기 각 단말기 내에 설치된 안티 바이러스 프로그램이 업데이트될 때 상기 업데이트된 정상 파일 데이터베이스를 제공하는 것을 특징으로 하는 정상 파일 데이터베이스 제공 방법.
PCT/KR2009/004788 2008-08-29 2009-08-27 정상 파일 데이터베이스 제공 시스템 및 방법 WO2010024606A2 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US13/060,820 US20110161364A1 (en) 2008-08-29 2009-08-27 System and method for providing a normal file database

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2008-0085106 2008-08-29
KR1020080085106A KR100996855B1 (ko) 2008-08-29 2008-08-29 정상 파일 데이터베이스 제공 시스템 및 방법

Publications (2)

Publication Number Publication Date
WO2010024606A2 true WO2010024606A2 (ko) 2010-03-04
WO2010024606A3 WO2010024606A3 (ko) 2010-06-10

Family

ID=41722127

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2009/004788 WO2010024606A2 (ko) 2008-08-29 2009-08-27 정상 파일 데이터베이스 제공 시스템 및 방법

Country Status (3)

Country Link
US (1) US20110161364A1 (ko)
KR (1) KR100996855B1 (ko)
WO (1) WO2010024606A2 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2449360C1 (ru) * 2011-03-28 2012-04-27 Закрытое акционерное общество "Лаборатория Касперского" Система и способ формирования антивирусных баз в соответствии с параметрами персонального компьютера

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20120072120A (ko) * 2010-12-23 2012-07-03 한국전자통신연구원 악성 파일 진단 장치 및 방법, 악성 파일 감시 장치 및 방법
KR101337217B1 (ko) * 2012-02-21 2013-12-05 주식회사 안랩 컴퓨터 시스템과, 파일 및 행위 기반 복합룰 작성 시스템
US8281399B1 (en) 2012-03-28 2012-10-02 Symantec Corporation Systems and methods for using property tables to perform non-iterative malware scans
KR101412203B1 (ko) * 2012-12-28 2014-06-27 주식회사 안랩 악성코드 관련 긴급검사수행장치 및 악성코드 관련 긴급검사수행장치의 동작 방법
KR101628449B1 (ko) * 2014-02-18 2016-06-08 한양대학교 에리카산학협력단 접근 관리 장치 및 관리 방법, 접근 관리 시스템
CN105224572B (zh) * 2014-06-30 2019-11-15 北京金山安全软件有限公司 鉴别垃圾目录的方法及装置
US10438000B1 (en) * 2017-09-22 2019-10-08 Symantec Corporation Using recognized backup images for recovery after a ransomware attack
US10725870B1 (en) 2018-01-02 2020-07-28 NortonLifeLock Inc. Content-based automatic backup of images

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5617560A (en) * 1993-08-27 1997-04-01 Olympus Optical Co., Ltd. System for handling platform independent optical card by separating during a read and recombining during a write generic directory information and OS dependent directory information
US6792543B2 (en) * 2001-08-01 2004-09-14 Networks Associates Technology, Inc. Virus scanning on thin client devices using programmable assembly language
US20040205709A1 (en) * 2001-05-09 2004-10-14 Sun Microsystems, Inc. Method,system, and program for providing patch expressions used in determining whether to install a patch
US7210168B2 (en) * 2001-10-15 2007-04-24 Mcafee, Inc. Updating malware definition data for mobile data processing devices

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5960170A (en) 1997-03-18 1999-09-28 Trend Micro, Inc. Event triggered iterative virus detection
AU2001296205A1 (en) * 2000-10-17 2002-04-29 Shyne-Song Chuang A method and system for detecting rogue software
US7478431B1 (en) * 2002-08-02 2009-01-13 Symantec Corporation Heuristic detection of computer viruses
US7475427B2 (en) * 2003-12-12 2009-01-06 International Business Machines Corporation Apparatus, methods and computer programs for identifying or managing vulnerabilities within a data processing network
US7627898B2 (en) * 2004-07-23 2009-12-01 Microsoft Corporation Method and system for detecting infection of an operating system
US8713686B2 (en) * 2006-01-25 2014-04-29 Ca, Inc. System and method for reducing antivirus false positives
US20070250927A1 (en) 2006-04-21 2007-10-25 Wintutis, Inc. Application protection
US20080115219A1 (en) * 2006-11-13 2008-05-15 Electronics And Telecommunications Research Apparatus and method of detecting file having embedded malicious code

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5617560A (en) * 1993-08-27 1997-04-01 Olympus Optical Co., Ltd. System for handling platform independent optical card by separating during a read and recombining during a write generic directory information and OS dependent directory information
US20040205709A1 (en) * 2001-05-09 2004-10-14 Sun Microsystems, Inc. Method,system, and program for providing patch expressions used in determining whether to install a patch
US6792543B2 (en) * 2001-08-01 2004-09-14 Networks Associates Technology, Inc. Virus scanning on thin client devices using programmable assembly language
US7210168B2 (en) * 2001-10-15 2007-04-24 Mcafee, Inc. Updating malware definition data for mobile data processing devices

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2449360C1 (ru) * 2011-03-28 2012-04-27 Закрытое акционерное общество "Лаборатория Касперского" Система и способ формирования антивирусных баз в соответствии с параметрами персонального компьютера
EP2506179A2 (en) 2011-03-28 2012-10-03 Kaspersky Lab Zao System and method for dynamic generation of anti-virus databases
EP2827273A1 (en) 2011-03-28 2015-01-21 Kaspersky Lab, ZAO System and method for dynamic generation of anti-virus databases

Also Published As

Publication number Publication date
KR20100026196A (ko) 2010-03-10
US20110161364A1 (en) 2011-06-30
KR100996855B1 (ko) 2010-11-26
WO2010024606A3 (ko) 2010-06-10

Similar Documents

Publication Publication Date Title
WO2010024606A2 (ko) 정상 파일 데이터베이스 제공 시스템 및 방법
US9479520B2 (en) Fuzzy whitelisting anti-malware systems and methods
US8782791B2 (en) Computer virus detection systems and methods
WO2015178578A1 (ko) 패치파일 분석시스템과 분석방법
JP5557623B2 (ja) 感染検査システム及び感染検査方法及び記録媒体及びプログラム
US8819835B2 (en) Silent-mode signature testing in anti-malware processing
EP2469445B1 (en) Optimization of anti-malware processing by automated correction of detection rules
US5502815A (en) Method and apparatus for increasing the speed at which computer viruses are detected
KR100942795B1 (ko) 악성프로그램 탐지장치 및 그 방법
US5473769A (en) Method and apparatus for increasing the speed of the detecting of computer viruses
US9965630B2 (en) Method and apparatus for anti-virus scanning of file system
US7620990B2 (en) System and method for unpacking packed executables for malware evaluation
US7540030B1 (en) Method and system for automatic cure against malware
RU2487405C1 (ru) Система и способ для исправления антивирусных записей
WO2016088937A1 (en) Apparatus, system and method for detecting and preventing malicious scripts using code pattern-based static analysis and api flow-based dynamic analysis
CN103390130B (zh) 基于云安全的恶意程序查杀的方法、装置和服务器
US20140096184A1 (en) System and Method for Assessing Danger of Software Using Prioritized Rules
WO2011090329A2 (ko) 악성 코드 감염 차단 장치 및 시스템과 그 방법
WO2020165789A1 (en) Monitoring process on iot device
WO2011108864A2 (ko) 실행 파일을 이용한 악성 코드 차단 장치 및 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09810211

Country of ref document: EP

Kind code of ref document: A2

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 09810211

Country of ref document: EP

Kind code of ref document: A2