WO2010044616A2 - 은닉 프로세스 모니터링 방법 및 시스템 - Google Patents

은닉 프로세스 모니터링 방법 및 시스템 Download PDF

Info

Publication number
WO2010044616A2
WO2010044616A2 PCT/KR2009/005931 KR2009005931W WO2010044616A2 WO 2010044616 A2 WO2010044616 A2 WO 2010044616A2 KR 2009005931 W KR2009005931 W KR 2009005931W WO 2010044616 A2 WO2010044616 A2 WO 2010044616A2
Authority
WO
WIPO (PCT)
Prior art keywords
information
application layer
detected
hidden
work window
Prior art date
Application number
PCT/KR2009/005931
Other languages
English (en)
French (fr)
Other versions
WO2010044616A3 (ko
Inventor
김치겸
Original Assignee
주식회사 씨디네트웍스
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 씨디네트웍스 filed Critical 주식회사 씨디네트웍스
Publication of WO2010044616A2 publication Critical patent/WO2010044616A2/ko
Publication of WO2010044616A3 publication Critical patent/WO2010044616A3/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units

Definitions

  • the present invention relates to a hidden process monitoring method and system, and more particularly, to a hidden process monitoring method and system capable of determining the existence of a hidden process running in a system such as a user computer for impure purposes such as hacking. will be.
  • a hidden process is a process that is executed unrecognizable by a user in a system such as a user computer for impure purposes such as hacking.
  • the hidden process does not show any information at the application layer, the user cannot know whether the hidden process exists through the task manager which is a process information program.
  • a hidden process monitoring method has been conventionally used to detect a hidden process by comparing process information represented in an application layer with process information represented in a kernel layer.
  • the conventional hidden process monitoring method first monitors a process in a kernel layer (S100).
  • Monitoring processes in the kernel layer means that the hidden process does not provide any information at the application layer, but because the system has to allocate resources from the system's kernel layer in order to run the process, the kernel layer of the system, like a normal process, Since you have no choice but to disclose the information, you are monitoring the kernel layer's processes.
  • the process in the application layer is monitored (S102), and the process in the kernel layer is compared with the process in the application layer (S104).
  • Detecting processes in the application layer can be easily obtained through task managers of the widely used Windows operating system.
  • OS operating system
  • the present invention proposes a hidden process monitoring method and system that can detect the hidden process without obtaining information from the kernel layer.
  • a method of monitoring a hidden process comprising: detecting a process at an application layer; Detecting task window information in the application layer (b); And comparing (c) the process information in the detected application layer with the work window information and determining a process in which only the work window information is detected as a hidden process.
  • the step (b) may be performed using a task window detection API (Application Program Interface), and the task window detection API may detect task window information by searching for information of all tree structures associated with an application. have.
  • a task window detection API Application Program Interface
  • the task pane detection API may detect task pane information by searching for all routine information related to a program.
  • steps (a) and (b) generate respective lists for the process list in the application layer and the work pane information in the application layer, and step (c) generates the respective list for the generated list. By comparison.
  • Step (c) may further include stopping the process determined to be the concealment process.
  • a method of monitoring a concealment process comprising: detecting task window information in an application layer; Determining whether process information corresponding to the detected work window information is detected (b); And (c) determining a process related to the work window information for which the process information is not detected as the hidden process when the process information is not detected.
  • the step (b) may be performed using a task window detection API (Application Program Interface), and the task window detection API may detect task window information by searching for information of all tree structures associated with an application. have.
  • a task window detection API Application Program Interface
  • the task pane detection API may detect task pane information by searching for all routine information related to a program.
  • Step (c) may further include stopping the process determined to be the concealment process.
  • a hidden process monitoring system is provided.
  • a monitoring system for concealed process comprising: a process monitoring unit for detecting a process in the application layer; A work window monitoring unit for detecting work window information in the application layer; And a comparison unit comparing the process information in the detected application layer with the work window information, wherein the hidden process monitoring system is configured to determine the detected process as the hidden process.
  • the work window monitoring unit may detect work window information in the application layer using a work window detection API (Application Program Interface), and the work window detection API retrieves information of all tree structures associated with an application. By doing so, the work window information can be detected.
  • a work window detection API Application Program Interface
  • the process monitoring unit and the work window monitoring unit generate respective lists for the process list in the application layer and the work window information in the application layer, and the comparison unit uses the generated list for the application layer. You can compare the task pane information with the process information in.
  • the hidden process monitoring system may further include a hidden process blocking unit for stopping a process determined to be a hidden process by comparison of the comparison unit.
  • a monitoring process monitoring system comprising: a work window monitoring unit for detecting work window information in the application layer; And a process monitoring unit which detects process information corresponding to the detected work window information, and wherein the process information is not detected when the process information corresponding to the detected work window information is not detected by the process monitoring unit.
  • a hidden process monitoring system is provided, characterized in that determining a process associated with window information as a hidden process.
  • the work window monitoring unit may detect work window information in the application layer using a work window detection API (Application Program Interface), and the work window detection API retrieves information of all tree structures associated with an application. By doing so, the work window information can be detected.
  • a work window detection API Application Program Interface
  • the hidden process monitoring system may further include a hidden process blocking unit for stopping a process determined to be a hidden process by comparison of the comparison unit.
  • a recording medium having recorded thereon a program for implementing a hidden process monitoring method.
  • a program of instructions executable by a digital processing apparatus is implemented so that a method of monitoring a concealment process is implemented, on a recording medium having recorded thereon a program which can be read by the digital processing apparatus.
  • A detecting a process at the application layer; Detecting task window information in the application layer (b); And comparing (c) the process information in the detected application layer with the work window information and determining a process in which only the work window information is detected as a hidden process.
  • a recording medium having recorded thereon a program is provided.
  • the step (b) may be performed using a task window detection API (Application Program Interface), and the task window detection API may detect task window information by searching for information of all tree structures associated with an application. have.
  • a task window detection API Application Program Interface
  • steps (a) and (b) generate respective lists for the process list in the application layer and the work pane information in the application layer, and step (c) generates the respective list for the generated list. By comparison.
  • Step (c) may further include stopping the process determined to be the concealment process.
  • a recording medium on which a program of instructions executable by a digital processing system is implemented so as to implement a method for monitoring a concealment process and recording a program that can be read by the digital processing system.
  • A detecting task window information in an application layer; Determining whether process information corresponding to the detected work window information is detected (b); And (c) determining a process related to the work window information for which the process information is not detected as the hidden process when the process information is not detected.
  • a record carrier is provided.
  • the step (b) may be performed using a task window detection API (Application Program Interface), and the task window detection API may detect task window information by searching for information of all tree structures associated with an application. have.
  • a task window detection API Application Program Interface
  • Step (c) may further include stopping the process determined to be the concealment process.
  • the hidden process monitoring method and system according to the present invention has an advantage of detecting the hidden process without obtaining information from the kernel layer.
  • 1 is a flow chart showing the order in which the conventional hidden process monitoring method is implemented.
  • Figure 2 is a flow chart showing the order in which the hidden process monitoring method according to an embodiment of the present invention is implemented.
  • FIG. 3 is a flow chart showing the order in which the hidden process monitoring method according to another preferred embodiment of the present invention is implemented.
  • FIG. 4 is a configuration diagram showing a configuration of a conventional hidden process monitoring system.
  • FIG. 5 is a block diagram showing the configuration of a hidden process monitoring system according to an embodiment of the present invention.
  • first and second may be used to describe various components, but the components should not be limited by the terms. The terms are used only for the purpose of distinguishing one component from another.
  • the first component may be referred to as the second component, and similarly, the second component may also be referred to as the first component.
  • FIG. 2 is a flow chart showing the order in which the hidden process monitoring method according to an embodiment of the present invention is implemented.
  • the hidden process monitoring method according to the present invention first monitors the process in the application layer (S200).
  • monitoring and detection are to find specific information such as a process or a work window.
  • monitoring is performed with a certain time period, but monitoring is used in the same sense.
  • process monitoring of the application layer can be easily performed through a task manager in an operating system such as a window widely used by us.
  • the process window is monitored at the application layer without performing process monitoring at the kernel layer (S102).
  • the task pane is information that shows the progress of a task when the process is running and the task is performed in the application layer.
  • Such task panes are generally provided in the form of a user interface so that users can visually recognize them.
  • task panes for operating or managing a computer system are visually displayed regardless of the task that the user wishes to perform.
  • this task pane that is, information indicating that the task is being performed, is generated and performed.
  • the detection of the work window information may be performed using an application program interface (API) for detecting the work window information.
  • API application program interface
  • APIs are typically implemented by calling a function that provides a link to a specific subroutine.
  • the API used to detect the work window information according to the present invention for detecting such work window information may detect the work window information by searching for information of all tree structures associated with a program in the system, that is, an application.
  • Retrieving all tree-structured information associated with such an application for example, in the case of a hidden process included in a particular application, creates a separate task pane that is different from the original task pane associated with the task of the specific application and creates it separately. Since the task pane can perform tasks related to the concealment process, the task pane information is detected by searching the information of all tree structures associated with the application.
  • the task pane information is searched up to a tree structure related to the web browser instead of merely detecting that the task pane information related to the web browser exists. This makes it possible to detect the concealment process more accurately.
  • the work performed in the corresponding work window detected in the work window information but not in the process information of the application layer can be determined as the hidden process, so that the hidden process can be easily detected (S206).
  • the corresponding process may be stopped.
  • a hidden process is detected by detecting and comparing the process of the application layer and the work window information of the application layer, respectively.
  • the process information of this application layer can also be detected from the work window information of the application layer.
  • the process information related to the task pane is found in reverse.
  • the hidden process monitoring method according to the present invention will be described with reference to FIG. 3.
  • FIG. 3 is a flow chart showing the order in which the hidden process monitoring method according to another embodiment of the present invention is implemented.
  • the process information is obtained by determining whether the process information is obtained (S304), it may be determined that the process is not a hidden process (S306).
  • the method of providing a streaming service may be implemented as a program and stored in a computer-readable recording medium (CD-ROM, RAM, ROM, floppy disk, hard disk, magneto-optical disk, etc.).
  • a computer-readable recording medium CD-ROM, RAM, ROM, floppy disk, hard disk, magneto-optical disk, etc.
  • FIG. 5 illustrates a hidden process monitoring system according to the present invention
  • a conventional hidden process monitoring system will be described in comparison with FIG. 4.
  • Figure 4 is a block diagram showing the configuration of a conventional hidden process monitoring system
  • Figure 5 is a block diagram showing the configuration of a hidden process monitoring system according to an embodiment of the present invention.
  • the conventional hidden process monitoring system first obtains process information of the kernel layer through a link with the kernel 430 of the kernel layer in the process monitoring and comparing unit 420.
  • process information of the application layer is obtained through a link with the application program 410, that is, the application layer in the application layer, and compared with each other to detect the hidden process.
  • the process monitor and the comparison unit 420 are illustrated as one for convenience of description, but may be implemented as separate modules according to functions and the like.
  • the link to the kernel layer is not made as shown in FIG. 5.
  • the comparison unit 540 only the task window information detected by the work window monitoring unit 530 and the process information detected by the process monitoring unit 510, in particular, the process information of the application layer are acquired and compared by the comparison unit 540 to detect the hidden process.
  • a hidden process blocking unit (not shown) for stopping the corresponding process may be further included when a process determined as the hidden process is detected.
  • the hidden process monitoring system detects the work window monitoring unit 530 that detects the work window information in the application layer.
  • the process information corresponding to the work window information detected by the work window monitoring unit 530 is not detected by the process monitoring unit 510, including only the process monitoring unit 510 which detects process information corresponding to the generated work window information. If not, it is possible to determine that the process associated with the work window information for which no process information is detected as a hidden process.
  • the concealed process detection system is obvious that the program for implementing the above-described method for detecting the concealed process can be implemented in a form installed in a digital processing device such as a computer.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Quality & Reliability (AREA)
  • Debugging And Monitoring (AREA)
  • Testing And Monitoring For Control Systems (AREA)

Abstract

은닉 프로세스 모니터링 방법 및 시스템이 개시된다. 본 발명의 바람직한 일 실시예에 따르면, 응용 계층에서의 프로세스를 검출하고, 응용 계층에서의 작업창 정보를 검출하여, 검출된 응용 계층에서의 프로세스 정보와 작업창 정보를 비교하여 작업창 정보만이 검출된 프로세스를 은닉 프로세스로 판단한다. 본 발명에 따르면, 커널 계층으로부터 정보를 획득하지 않고도 은닉 프로세스를 검출할 수 있는 장점이 있다.

Description

은닉 프로세스 모니터링 방법 및 시스템
본 발명은 은닉 프로세스 모니터링 방법 및 시스템에 관한 것으로서, 보다 상세하게는 해킹 등의 불순한 목적으로 사용자 컴퓨터 등의 시스템 내에서 실행되고 있는 은닉 프로세스의 존재 여부를 알아낼 수 있는 은닉 프로세스 모니터링 방법 및 시스템에 관한 것이다.
은닉 프로세스(hidden process)는 해킹 등의 불순한 목적으로 사용자 컴퓨터 등의 시스템 내에서 사용자가 인식할 수 없도록 실행되고 있는 프로세스이다.
그러나 은닉 프로세스는 응용(application) 계층에서 어떠한 정보도 나타나지 않기 때문에 사용자는 프로세스 정보 프로그램인 작업 관리자를 통해서 은닉 프로세스의 존재 여부를 알 수 없다.
이러한 문제점을 해결하기 종래에는 응용 계층에서 나타내는 프로세스 정보와 커널(kernel) 계층에서 나타내는 프로세스 정보를 비교하여 은닉 프로세스를 검출하는 은닉 프로세스 모니터링 방법이 사용되었다.
이러한 종래의 은닉 프로세스 모니터링 방법을 도 1을 참조하여 살펴보기로 한다.
도 1에 도시된 바와 같이 종래의 은닉 프로세스 모니터링 방법은 먼저 커널 계층에서의 프로세스를 모니터링 한다(S100).
커널 계층의 프로세스를 모니터링하는 것은 은닉 프로세스가 응용 계층에서 어떠한 정보를 제공하지 않지만, 해당 프로세스를 실행하기 위해 시스템의 커널 계층에서 시스템의 자원을 할당받아야 하기 때문에 일반 프로세스와 같이 시스템의 커널 계층에서는 그 정보를 공개할 수밖에 없기 때문에 커널 계층의 프로세스를 모니터링하는 것이다.
그리고 응용 계층에서의 프로세스를 모니터링하여(S102) 커널 계층의 프로세스와 응용 계층의 프로세스를 비교한다(S104).
비교 결과 커널 계층에서는 검출되었으나 응용 계층에서는 검출되지 않는 프로세스가 은닉 프로세스가 되므로 이를 이용하여 은닉 프로세스를 검출하게 되는 것이다(S106).
응용 계층에서의 프로세스를 검출하는 것은 우리가 널리 사용하는 윈도우 운영체제의 작업 관리자 등을 통해 용이하게 획득할 수 있다.
그러나, 커널 계층은 컴퓨터의 운영체계(OS: Operating System)의 중요한 부분으로서 운용체계의 다른 모든 부분들의 기능에 중요한 역할을 수행하는 부분이므로 철저하게 보호되어 있다.
종래의 은닉 프로세스의 탐지를 위한 다양한 기술들은 커널 계층과 응용 계층의 프로세스의 비교라는 특징을 그대로 이용하되, 커널 계층의 프로세스를 탐지하는 것은 용이하지 않으므로 보다 효과적으로 커널 계층의 프로세스를 탐지하는 방법을 중심으로 개발되고 있다.
예를 들면, 은닉 프로세스를 탐지하기 위해 커널 계층에서 제공되는 실시간 시스템 자원 접근시 제공되는 시스템 이벤트 정보를 이용하거나 커널 계층에 접근할 수 있는 프로세스 링크 정보를 이용하는 방법 등을 제안하고 있다.
그러나 이러한 종래의 은닉 프로세스 모니터링 방법들도 커널 계층에 접근하여 커널 계층으로부터 프로세스 정보 등을 검출하여야만 한다.
따라서 커널 계층에 접근하여 커널 계층으로부터 프로세스 정보 등의 정보를 획득하는 것 자체가 용이하지 않은 문제점이 있다.
상기한 바와 같은 종래의 문제점을 해결하기 위해, 본 발명은 커널 계층으로부터 정보를 획득하지 않고도 은닉 프로세스를 검출할 수 있는 은닉 프로세스 모니터링 방법 및 시스템을 제안하는 것이다.
본 발명의 또 다른 목적들은 이하의 실시예에 대한 설명을 통해 쉽게 이해될 수 있을 것이다.
상기한 바와 같은 목적을 달성하기 위해, 본 발명의 일 측면에 따르면 은닉 프로세스 모니터링 방법이 제공된다.
본 발명의 바람직한 일 실시예에 따르면, 은닉 프로세스의 모니터링 방법에 있어서, 응용 계층에서의 프로세스를 검출하는 단계(a); 상기 응용 계층에서의 작업창 정보를 검출하는 단계(b); 및 상기 검출된 응용 계층에서의 프로세스 정보와 작업창 정보를 비교하여 상기 작업창 정보만이 검출된 프로세스를 은닉 프로세스로 판단하는 단계(c)를 포함하는 것을 특징으로 하는 은닉 프로세스 모니터링 방법이 제공된다.
상기 단계(b)는 작업창 검출 API(Application Program Interface)를 이용하여 수행될 수 있으며, 상기 작업창 검출 API는 어플리케이션(application)과 연관된 모든 트리 구조의 정보를 검색함으로써 작업창 정보를 검출할 수 있다.
상기 작업창 검출 API는 프로그램 관련 모든 루틴 정보를 검색함으로써 작업창 정보를 검출할 수 있다.
상기 단계(a) 및 상기 단계(b)는 상기 응용 계층에서의 프로세스 리스트 및 상기 응용 계층에서의 작업창 정보에 대한 각각의 리스트를 생성하고, 상기 단계(c)는 상기 생성된 각각의 리스트를 비교하여 수행될 수 있다.
상기 단계(c)는 은닉 프로세스로 판단된 프로세스를 중단시키는 단계를 더 포함할 수 있다.
본 발명의 바람직한 다른 일 실시예에 따르면, 은닉 프로세스의 모니터링 방법에 있어서, 응용 계층에서의 작업창 정보를 검출하는 단계(a); 상기 검출된 작업창 정보에 상응하는 프로세스 정보가 검출되는지 판단하는 단계(b); 및 상기 프로세스 정보가 검출되지 않는 경우 상기 프로세스 정보가 검출되지 않는 작업창 정보와 관련된 프로세스를 은닉 프로세스로 판단하는 단계(c)를 포함하는 것을 특징으로 하는 은닉 프로세스 모니터링 방법이 제공된다.
상기 단계(b)는 작업창 검출 API(Application Program Interface)를 이용하여 수행될 수 있으며, 상기 작업창 검출 API는 어플리케이션(application)과 연관된 모든 트리 구조의 정보를 검색함으로써 작업창 정보를 검출할 수 있다.
상기 작업창 검출 API는 프로그램 관련 모든 루틴 정보를 검색함으로써 작업창 정보를 검출할 수 있다.
상기 단계(c)는 은닉 프로세스로 판단된 프로세스를 중단시키는 단계를 더 포함할 수 있다.
본 발명의 다른 측면에 의하면, 은닉 프로세스 모니터링 시스템이 제공된다.
본 발명의 바람직한 일 실시예에 따르면, 은닉 프로세스의 모니터링 시스템에 있어서, 응용 계층에서의 프로세스를 검출하는 프로세스 모니터링부; 상기 응용 계층에서의 작업창 정보를 검출하는 작업창 모니터링부; 및 상기 검출된 응용 계층에서의 프로세스 정보와 작업창 정보를 비교하는 비교부를 포함하여, 상기 작업창 정보만이 검출된 프로세스를 은닉 프로세스로 판단하는 것을 특징으로 하는 은닉 프로세스 모니터링 시스템이 제공된다.
상기 작업창 모니터링부는 작업창 검출 API(Application Program Interface)를 이용하여 상기 응용 계층에서의 작업창 정보를 검출할 수 있으며, 상기 작업창 검출 API는 어플리케이션(application)과 연관된 모든 트리 구조의 정보를 검색함으로써 작업창 정보를 검출할 수 있다.
상기 프로세스 모니터링부 및 상기 작업창 모니터링부는 상기 응용 계층에서의 프로세스 리스트 및 상기 응용 계층에서의 작업창 정보에 대한 각각의 리스트를 생성하고, 상기 비교부는 상기 생성된 각각의 리스트를 이용하여 상기 응용 계층에서의 프로세스 정보와 작업창 정보를 비교할 수 있다.
상기 은닉 프로세스 모니터링 시스템은, 상기 비교부의 비교에 의해 은닉 프로세스로 판단된 프로세스를 중단시키는 은닉 프로세스 차단부를 더 포함할 수 있다.
본 발명의 바람직한 다른 일 실시예에 따르면, 은닉 프로세스의 모니터링 시스템에 있어서, 상기 응용 계층에서의 작업창 정보를 검출하는 작업창 모니터링부; 및 상기 검출된 작업창 정보에 상응하는 프로세스 정보가 검출하는 프로세스 모니터링부를 포함하여, 상기 프로세스 모니터링부에서 상기 검출된 작업창 정보에 상응하는 프로세스 정보가 검출되지 않는 경우 상기 프로세스 정보가 검출되지 않는 작업창 정보와 관련된 프로세스를 은닉 프로세스로 판단하는 것을 특징으로 하는 은닉 프로세스 모니터링 시스템이 제공된다.
상기 작업창 모니터링부는 작업창 검출 API(Application Program Interface)를 이용하여 상기 응용 계층에서의 작업창 정보를 검출할 수 있으며, 상기 작업창 검출 API는 어플리케이션(application)과 연관된 모든 트리 구조의 정보를 검색함으로써 작업창 정보를 검출할 수 있다.
상기 은닉 프로세스 모니터링 시스템은, 상기 비교부의 비교에 의해 은닉 프로세스로 판단된 프로세스를 중단시키는 은닉 프로세스 차단부를 더 포함할 수 있다.
본 발명의 다른 측면에 의하면, 은닉 프로세스 모니터링 방법을 구현하기 위한 프로그램을 기록한 기록매체가 제공된다.
본 발명의 바람직한 일 실시예에 따르면, 은닉 프로세스의 모니터링 방법이 구현되도록, 디지털 처리 장치에 의해 실행될 수 있는 명령어들의 프로그램이 구현되어 있으며 상기 디지털 처리 장치에 의해 판독될 수 있는 프로그램을 기록한 기록매체에 있어서, 응용 계층에서의 프로세스를 검출하는 단계(a); 상기 응용 계층에서의 작업창 정보를 검출하는 단계(b); 및 상기 검출된 응용 계층에서의 프로세스 정보와 작업창 정보를 비교하여 상기 작업창 정보만이 검출된 프로세스를 은닉 프로세스로 판단하는 단계(c)를 포함하는 것을 특징으로 하는 은닉 프로세스 모니터링 방법을 구현하기 위한 프로그램을 기록한 기록매체가 제공된다.
상기 단계(b)는 작업창 검출 API(Application Program Interface)를 이용하여 수행될 수 있으며, 상기 작업창 검출 API는 어플리케이션(application)과 연관된 모든 트리 구조의 정보를 검색함으로써 작업창 정보를 검출할 수 있다.
상기 단계(a) 및 상기 단계(b)는 상기 응용 계층에서의 프로세스 리스트 및 상기 응용 계층에서의 작업창 정보에 대한 각각의 리스트를 생성하고, 상기 단계(c)는 상기 생성된 각각의 리스트를 비교하여 수행될 수 있다.
상기 단계(c)는 은닉 프로세스로 판단된 프로세스를 중단시키는 단계를 더 포함할 수 있다.
본 발명의 바람직한 다른 일 실시예에 따르면, 은닉 프로세스의 모니터링 방법이 구현되도록, 디지털 처리 시스템에 의해 실행될 수 있는 명령어들의 프로그램이 구현되어 있으며 상기 디지털 처리 시스템에 의해 판독될 수 있는 프로그램을 기록한 기록매체에 있어서, 응용 계층에서의 작업창 정보를 검출하는 단계(a); 상기 검출된 작업창 정보에 상응하는 프로세스 정보가 검출되는지 판단하는 단계(b); 및 상기 프로세스 정보가 검출되지 않는 경우 상기 프로세스 정보가 검출되지 않는 작업창 정보와 관련된 프로세스를 은닉 프로세스로 판단하는 단계(c)를 포함하는 것을 특징으로 하는 은닉 프로세스 모니터링 방법을 구현하기 위한 프로그램을 기록한 기록매체가 제공된다.
상기 단계(b)는 작업창 검출 API(Application Program Interface)를 이용하여 수행될 수 있으며, 상기 작업창 검출 API는 어플리케이션(application)과 연관된 모든 트리 구조의 정보를 검색함으로써 작업창 정보를 검출할 수 있다.
상기 단계(c)는 은닉 프로세스로 판단된 프로세스를 중단시키는 단계를 더 포함할 수 있다.
이상에서 설명한 바와 같이, 본 발명에 의한 은닉 프로세스 모니터링 방법 및 시스템에 의하면 커널 계층으로부터 정보를 획득하지 않고도 은닉 프로세스를 검출할 수 있는 장점이 있다.
도 1은 종래의 은닉 프로세스 모니터링 방법이 구현되는 순서를 도시한 순서도.
도 2는 본 발명의 바람직한 일 실시예에 따른 은닉 프로세스 모니터링 방법이 구현되는 순서를 도시한 순서도.
도 3은 본 발명의 바람직한 다른 일 실시예에 따른 은닉 프로세스 모니터링 방법이 구현되는 순서를 도시한 순서도.
도 4는 종래의 은닉 프로세스 모니터링 시스템의 구성을 도시한 구성도.
도 5는 본 발명의 바람직한 일 실시예에 따른 은닉 프로세스 모니터링 시스템의 구성을 도시한 구성도.
본 발명은 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시예들을 도면에 예시하고 상세한 설명에 상세하게 설명하고자 한다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다.
각 도면을 설명하면서 유사한 참조부호를 유사한 구성요소에 대해 사용하였다. 본 발명을 설명함에 있어서 관련된 공지 기술에 대한 구체적인 설명이 본 발명의 요지를 흐릴 수 있다고 판단되는 경우 그 상세한 설명을 생략한다.
제1, 제2 등의 용어는 다양한 구성 요소들을 설명하는데 사용될 수 있지만, 상기 구성 요소들은 상기 용어들에 의해 한정되어서는 안 된다. 상기 용어들은 하나의 구성요소를 다른 구성요소로부터 구별하는 목적으로만 사용된다.
예를 들어, 본 발명의 권리 범위를 벗어나지 않으면서 제1 구성요소는 제2 구성요소로 명명될 수 있고, 유사하게 제2 구성요소도 제1 구성요소로 명명될 수 있다.
및/또는 이라는 용어는 복수의 관련된 기재된 항목들의 조합 또는 복수의 관련된 기재된 항목들 중의 어느 항목을 포함한다.
어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다.
반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다.
본 출원에서 사용한 용어는 단지 특정한 실시예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다.
단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 출원에서, "포함하다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가지고 있다.
일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥상 가지는 의미와 일치하는 의미를 가지는 것으로 해석되어야 하며, 본 출원에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.
이하, 첨부된 도면을 참조하여 본 발명에 따른 바람직한 실시예를 상세히 설명하되, 도면 부호에 관계없이 동일하거나 대응하는 구성 요소는 동일한 참조 번호를 부여하고 이에 대한 중복되는 설명은 생략하기로 한다.
먼저 도 2를 참조하여 본 발명의 바람직한 일 실시예에 따른 은닉 프로세스 모니터링 방법이 구현되는 순서를 살펴본다.
도 2는 본 발명의 바람직한 일 실시예에 따른 은닉 프로세스 모니터링 방법이 구현되는 순서를 도시한 순서도이다.
도 2에 도시된 바와 같이, 본 발명에 의한 은닉 프로세스 모니터링 방법은 먼저 응용 계층에서의 프로세스를 모니터링한다(S200).
한편, 이하의 설명에서는 모니터링(monitoring)과 검출은 프로세스나 작업창 등의 특정 정보를 알아내는 것으로 일반적으로 일정한 시간적 주기를 가지고 검출을 수행하는 것을 모니터링이라 하나 본 명세서서는 동일한 의미로 사용한다.
응용 계층의 프로세스 모니터링은 전술한 바와 같이 우리가 널리 사용하는 윈도우(Window)와 같은 운영체제에서의 작업 관리자 등을 통해 용이하게 이루어질 수 있다.
그리고 도 1에서 도시한 종래의 은닉 프로세스 모니터링 방법과 비교하여 커널 계층에서의 프로세스 모니터링을 수행하지 않고, 응용 계층에서의 작업창을 모니터링한다(S102).
작업창은 프로세스가 동작하여 응용 계층에서 작업을 수행하는 경우 작업이 진행되는 과정 등이 표시되는 정보이다.
이러한 작업창은 사용자가 시각적으로 인식할 수 있도록 사용자 인터페이스(User Interface)의 형태로 제공되는 것이 일반적이나 사용자가 수행하고자 하는 작업과 무관하게 컴퓨터 시스템의 운영이나 관리 등을 위한 작업창은 시각적으로 표시되지는 않으나 이러한 작업창 즉 작업을 수행하고 있음을 나타내는 정보가 생성되고 해당 작업을 수행하게 된다.
한편, 이러한 작업창 정보의 검출은 작업창 정보를 검출하는 API(Application Program Interface)를 이용하여 수행될 수 있다.
API는 일반적으로 특정 서브 루틴에 연결을 제공하는 함수의 호출에 의해 구현된다.
이러한 작업창 정보의 검출을 위해 본 발명에 의한 작업창 정보 검출에 이용되는 API는 시스템 내의 프로그램 즉 어플리케이션(application)과 연관된 모든 트리 구조의 정보를 검색함으로써 작업창 정보를 검출할 수 있다.
이러한 어플리케이션(application)과 연관된 모든 트리 구조의 정보를 검색하는 것은 예를 들어, 특정 어플리케이션에 포함된 은닉 프로세스의 경우 특정 어플리케이션의 작업과 관련된 본래의 작업창과는 다른 별도의 작업창을 생성하고 별도로 생성된 작업창을 통해 은닉 프로세스와 관련된 작업을 수행할 수 있으므로 어플리케이션(application)과 연관된 모든 트리 구조의 정보를 검색하여 작업창 정보를 검출하는 것이다.
예를 들어, 웹 브라우저를 현재 사용자가 동작하고 있고 웹 브라우저상에 포함되어 동작하는 은닉 프로세스가 있다고 가정한다.
사용자가 시각적으로 인지하는 화면상이나 어플리케이션 프로세스 상에서는 웹 브라우저가 작업을 수행하는 것으로 보이지만 은닉 프로세스는 웹 브라우저에서 시각적으로 인지하는 화면상으로 인지할 수 없고 어플리케이션 프로세스 상에서도 검출되지 않는 별도의 작업창을 통해 불순의 목적의 프로세스를 수행하고 있게 된다.
이러한 점을 방지하기 위해 본 발명에서는 예를 들면, 작업창 정보를 검색함에 있어서 단순히 웹 브라우저와 관련된 작업창 정보가 존재한다는 것만을 검출하는 것이 아니라 웹 브라우저와 관련된 트리 구조까지 작업창 정보를 검색함으로써 보다 정확하게 은닉 프로세스를 검출할 수 있게 하는 것이다.
한편, 이러한 작업창 정보의 검출 즉 모니터링이 수행되면 응용 계층의 프로세스와 응용 계층에서의 작업창 정보를 비교한다(S204).
비교 결과 작업창 정보에서는 검출되었으나 응용 계층의 프로세스 정보에서는 검출되지 않는 해당 작업창에서 수행되고 있는 작업 즉 프로세스는 은닉 프로세스로 판단할 수 있어 용이하게 은닉 프로세스를 검출할 수 있게 되는 것이다(S206).
또한, 커널 계층까지 프로세스 정보를 검출하지 않아도 되므로 보다 용이하게 은닉 프로세스를 검출하는 방법을 구현하는 것이 가능하게 된다.
도 2에서는 미도시하였으나 이러한 은닉 프로세스로 판단되는 프로세스가 검출되는 경우 해당 프로세스를 중단시키도록 하는 것도 가능하다.
도 2에서는 응용 계층의 프로세스와 응용 계층의 작업창 정보를 각각 검출하여 비교함으로써 은닉 프로세스를 검출하는 경우를 도시하였다.
한편, 이러한 응용 계층의 프로세스 정보는 응용 계층의 작업창 정보로부터 검출하는 것도 가능하다.
즉 작업창 정보를 이용하여 해당 작업창과 관련된 프로세스 정보를 역으로 찾아내는 것이다. 이러한 경우 본 발명에 의한 은닉 프로세스 모니터링 방법을 도 3을 참조하여 살펴본다.
도 3은 본 발명의 바람직한 다른 일 실시예에 따른 은닉 프로세스 모니터링 방법이 구현되는 순서를 도시한 순서도이다.
도 3에 도시된 바와 같이 응용 계층의 프로세스 정보를 응용 계층의 작업창 정보로부터 검출하여 이를 이용하여 은닉 프로세스를 검출하는 경우 먼저 응용 계층에서 작업창 정보를 획득하고(S300), 획득된 작업창 정보를 이용하여 작업창 정보와 관련된 응용 계층에서의 프로세스 정보의 획득을 시도한다(S302).
한편 프로세스 정보의 획득되는지 판단하여(S304) 프로세스 정보가 획득되는 경우라면 은닉 프로세스가 아닌 것으로 판단할 수 있다(S306).
그러나 프로세스 정보가 획득되지 않는 경우라면 응용 계층에서의 작업창 정보는 존재하는데 프로세스 정보는 검출되지 않는 경우이므로 은닉프로세스로 판단한다(S308).
도 3에서는 미도시하였으나 이러한 은닉 프로세스로 판단되는 프로세스가 검출되는 경우 해당 프로세스를 중단시키도록 하는 것도 가능하다.
한편, 이러한 본 발명에 의한 스트리밍 서비스의 제공 방법은 프로그램으로 구현되어 컴퓨터로 읽을 수 있는 기록매체(씨디롬, 램, 롬, 플로피 디스크, 하드디스크, 광자기디스크 등)에 저장될 수 있다.
이하에서는 도 5를 참조하여 본 발명의 바람직한 일 실시예에 다른 은닉 프로세스 모니터링 시스템에 대해 살펴보기로 한다.
본 발명에 의한 은닉 프로세스 모니터링 시스템을 도시한 도 5를 중심으로 종래의 은닉 프로세스 모니터링 시스템을 도시한 도 4와 비교하여 살펴보기로 한다.
도 4는 종래의 은닉 프로세스 모니터링 시스템의 구성을 도시한 구성도이고, 도 5는 본 발명의 바람직한 일 실시예에 따른 은닉 프로세스 모니터링 시스템의 구성을 도시한 구성도이다.
먼저 도 4에 도시된 바와 같이, 종래의 은닉 프로세스 모니터링 시스템은 프로세스 모니터링 및 비교부(420)에서 먼저 커널 계층의 커널(430)과의 링크를 통해 커널 계층의 프로세스 정보를 획득한다.
그리고 응용 계층에서의 응용 프로그램(410) 즉 어플리케이션과의 링크를 통해 응용 계층의 프로세스 정보를 획득하여 이를 서로 비교하여 은닉 프로세스를 검출하게 된다.
도 4에서는 설명의 편의를 위해 프로세스 모니터 및 비교부(420)를 하나로 도시하였으나 기능 등에 따라 구분하여 별개의 모듈 등으로 구현가능하다.
한편, 본 발명에서는 도 5에 도시된 바와 같이 커널 계층으로의 링크는 이루어지지 않는다.
다만 응용 계층에서의 응용 프로그램(500) 즉 어플리케이션(500)과의 링크를 통해 응용 계층의 프로세스 정보를 획득하는 프로세스 모니터링부(510)와 어플케이션이 동작하는 경우 생성되는 작업창(520)과의 링크를 통해 작업창 정보를 획득하는 작업창 모니터링부(530)를 포함한다.
그리고 작업창 모니터링부(530)에서의 감지된 작업창 정보와 프로세스 모니터링부(510)에서 감지된 프로세스 특히 응용 계층의 프로세스 정보만을 획득하여 비교부(540)에서 비교함으로써 은닉 프로세스를 검출하게 된다.
한편, 도 5에서는 미도시하였으나 이러한 은닉 프로세스로 판단되는 프로세스가 검출되는 경우 해당 프로세스를 중단시키는 은닉 프로세스 차단부(미도시)를 더 포함할 수 있다.
한편, 전술한 바와 같이 응용 계층의 프로세스 정보를 응용 계층의 작업창 정보로부터 검출하는 경우 본 발명에 의한 은닉 프로세스 모니터링 시스템은 응용 계층에서의 작업창 정보를 검출하는 작업창 모니터링부(530)와 검출된 작업창 정보에 상응하는 프로세스 정보를 검출하는 프로세스 모니터링부(510)만을 포함하여, 프로세스 모니터링부(510)에서 작업창 모니터링부(530)에서 검출된 작업창 정보에 상응하는 프로세스 정보가 검출되지 않는 경우 프로세스 정보가 검출되지 않는 작업창 정보와 관련된 프로세스를 은닉 프로세스로 판단하도록 하는 것도 가능하다.
한편, 이러한 본 발명에 의한 은닉 프로세스 모니터링 방법은 응용 계층에서만 수행되므로 프로그램의 작성이나 응용 등이 용이하다.
또한, 커널 계층까지 프로세스 정보를 검출하지 않아도 되므로 보다 용이하게 은닉 프로세스를 검출하는 방법을 구현하는 것이 가능하게 되는 것이다.
한편, 이러한 본 발명에 의한 은닉 프로세스 검출 시스템은 전술한 은닉 프로세스를 검출하는 방법을 구현하기 위한 프로그램이 컴퓨터와 같은 디지털 처리 장치에 설치된 형태로 구현될 수 있음은 자명하다.
상기한 본 발명의 바람직한 실시예는 예시의 목적을 위해 개시된 것이고, 본 발명에 대해 통상의 지식을 가진 당업자라면 본 발명의 사상과 범위 안에서 다양한 수정, 변경, 부가가 가능할 것이며, 이러한 수정, 변경 및 부가는 하기의 특허청구범위에 속하는 것으로 보아야 할 것이다.

Claims (16)

  1. 은닉 프로세스의 모니터링 방법에 있어서,
    응용 계층에서의 프로세스를 검출하는 단계(a);
    상기 응용 계층에서의 작업창 정보를 검출하는 단계(b); 및
    상기 검출된 응용 계층에서의 프로세스 정보와 작업창 정보를 비교하여 상기 작업창 정보만이 검출된 프로세스를 은닉 프로세스로 판단하는 단계(c)를 포함하는 것을 특징으로 하는 은닉 프로세스 모니터링 방법.
  2. 제1항에 있어서,
    상기 단계(b)는,
    작업창 검출 API(Application Program Interface)를 이용하여 수행되는 것을 특징으로 하는 은닉 프로세스 모니터링 방법.
  3. 제1항에 있어서,
    상기 단계(a) 및 상기 단계(b)는 상기 응용 계층에서의 프로세스 리스트 및 상기 응용 계층에서의 작업창 정보에 대한 각각의 리스트를 생성하고,
    상기 단계(c)는 상기 생성된 각각의 리스트를 비교하여 수행되는 것을 특징으로 하는 은닉 프로세스 모니터링 방법.
  4. 은닉 프로세스의 모니터링 방법에 있어서,
    응용 계층에서의 작업창 정보를 검출하는 단계(a);
    상기 검출된 작업창 정보에 상응하는 프로세스 정보가 검출되는지 판단하는 단계(b); 및
    상기 프로세스 정보가 검출되지 않는 경우 상기 프로세스 정보가 검출되지 않는 작업창 정보와 관련된 프로세스를 은닉 프로세스로 판단하는 단계(c)를 포함하는 것을 특징으로 하는 은닉 프로세스 모니터링 방법.
  5. 제4항에 있어서,
    상기 단계(a)는,
    작업창 검출 API(Application Program Interface)를 이용하여 수행되는 것을 특징으로 하는 은닉 프로세스 모니터링 방법.
  6. 제1항 또는 제4항에 있어서,
    상기 단계(c)는,
    은닉 프로세스로 판단된 프로세스를 중단시키는 단계를 더 포함하는 것을 특징으로 하는 은닉 프로세스 모니터링 방법.
  7. 제2항 또는 제5항에 있어서,
    상기 작업창 검출 API는 어플리케이션(application)과 연관된 모든 트리 구조의 정보를 검색함으로써 작업창 정보를 검출하는 것을 특징으로 하는 은닉 프로세스 모니터링 방법.
  8. 은닉 프로세스의 모니터링 시스템에 있어서,
    응용 계층에서의 프로세스를 검출하는 프로세스 모니터링부;
    상기 응용 계층에서의 작업창 정보를 검출하는 작업창 모니터링부; 및
    상기 검출된 응용 계층에서의 프로세스 정보와 작업창 정보를 비교하는 비교부를 포함하여,
    상기 작업창 정보만이 검출된 프로세스를 은닉 프로세스로 판단하는 것을 특징으로 하는 은닉 프로세스 모니터링 시스템.
  9. 제8항에 있어서,
    상기 작업창 모니터링부는,
    작업창 검출 API(Application Program Interface)를 이용하여 상기 응용 계층에서의 작업창 정보를 검출하는 것을 특징으로 하는 은닉 프로세스 모니터링 시스템.
  10. 제8항에 있어서,
    상기 프로세스 모니터링부 및 상기 작업창 모니터링부는 상기 응용 계층에서의 프로세스 리스트 및 상기 응용 계층에서의 작업창 정보에 대한 각각의 리스트를 생성하고,
    상기 비교부는 상기 생성된 각각의 리스트를 이용하여 상기 응용 계층에서의 프로세스 정보와 작업창 정보를 비교하는 것을 특징으로 하는 은닉 프로세스 모니터링 시스템.
  11. 은닉 프로세스의 모니터링 시스템에 있어서,
    상기 응용 계층에서의 작업창 정보를 검출하는 작업창 모니터링부; 및
    상기 검출된 작업창 정보에 상응하는 프로세스 정보가 검출하는 프로세스 모니터링부를 포함하여,
    상기 프로세스 모니터링부에서 상기 검출된 작업창 정보에 상응하는 프로세스 정보가 검출되지 않는 경우 상기 프로세스 정보가 검출되지 않는 작업창 정보와 관련된 프로세스를 은닉 프로세스로 판단하는 것을 특징으로 하는 은닉 프로세스 모니터링 시스템.
  12. 제11항에 있어서,
    상기 작업창 모니터링부는,
    작업창 검출 API(Application Program Interface)를 이용하여 상기 응용 계층에서의 작업창 정보를 검출하는 것을 특징으로 하는 은닉 프로세스 모니터링 시스템.
  13. 제8항 또는 제11항에 있어서,
    상기 은닉 프로세스 모니터링 시스템은,
    상기 비교부의 비교에 의해 은닉 프로세스로 판단된 프로세스를 중단시키는 은닉 프로세스 차단부를 더 포함하는 것을 특징으로 하는 은닉 프로세스 모니터링 시스템.
  14. 제9항 또는 제12항에 있어서,
    상기 작업창 검출 API는 어플리케이션(application)과 연관된 모든 트리 구조의 정보를 검색함으로써 작업창 정보를 검출하는 것을 특징으로 하는 은닉 프로세스 모니터링 시스템.
  15. 은닉 프로세스의 모니터링 방법이 구현되도록, 디지털 처리 시스템에 의해 실행될 수 있는 명령어들의 프로그램이 구현되어 있으며 상기 디지털 처리 시스템에 의해 판독될 수 있는 프로그램을 기록한 기록매체에 있어서,
    응용 계층에서의 프로세스를 검출하는 단계(a);
    상기 응용 계층에서의 작업창 정보를 검출하는 단계(b); 및
    상기 검출된 응용 계층에서의 프로세스 정보와 작업창 정보를 비교하여 상기 작업창 정보만이 검출된 프로세스를 은닉 프로세스로 판단하는 단계(c)를 포함하는 것을 특징으로 하는 은닉 프로세스 모니터링 방법을 구현하기 위한 프로그램을 기록한 기록매체.
  16. 은닉 프로세스의 모니터링 방법이 구현되도록, 디지털 처리 시스템에 의해 실행될 수 있는 명령어들의 프로그램이 구현되어 있으며 상기 디지털 처리 시스템에 의해 판독될 수 있는 프로그램을 기록한 기록매체에 있어서,
    응용 계층에서의 작업창 정보를 검출하는 단계(a);
    상기 검출된 작업창 정보에 상응하는 프로세스 정보가 검출되는지 판단하는 단계(b); 및
    상기 프로세스 정보가 검출되지 않는 경우 상기 프로세스 정보가 검출되지 않는 작업창 정보와 관련된 프로세스를 은닉 프로세스로 판단하는 단계(c)를 포함하는 것을 특징으로 하는 은닉 프로세스 모니터링 방법을 구현하기 위한 프로그램을 기록한 기록매체.
PCT/KR2009/005931 2008-10-15 2009-10-15 은닉 프로세스 모니터링 방법 및 시스템 WO2010044616A2 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2008-0101044 2008-10-15
KR1020080101044A KR101039551B1 (ko) 2008-10-15 2008-10-15 은닉 프로세스 모니터링 방법 및 시스템

Publications (2)

Publication Number Publication Date
WO2010044616A2 true WO2010044616A2 (ko) 2010-04-22
WO2010044616A3 WO2010044616A3 (ko) 2010-07-29

Family

ID=42107061

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2009/005931 WO2010044616A2 (ko) 2008-10-15 2009-10-15 은닉 프로세스 모니터링 방법 및 시스템

Country Status (2)

Country Link
KR (1) KR101039551B1 (ko)
WO (1) WO2010044616A2 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2700185C1 (ru) * 2018-07-27 2019-09-13 Закрытое акционерное общество "Перспективный мониторинг" Способ обнаружения скрытого программного обеспечения в вычислительной системе, работающей под управлением POSIX-совместимой операционной системы

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20070019190A (ko) * 2005-08-11 2007-02-15 주식회사 웨어플러스 파일 시스템 및 레지스트리를 보호하는 방법 및 그 장치
KR20070049511A (ko) * 2005-11-08 2007-05-11 한국정보보호진흥원 악성코드 분석 시스템 및 방법
KR20070076935A (ko) * 2006-01-20 2007-07-25 엔에이치엔(주) 은닉 프로세스 모니터링 방법 및 모니터링 시스템
US20070250927A1 (en) * 2006-04-21 2007-10-25 Wintutis, Inc. Application protection
KR20070121195A (ko) * 2006-06-21 2007-12-27 한국전자통신연구원 시스템 이벤트 정보를 이용한 은닉 프로세스 탐지 시스템및 방법
US20080010310A1 (en) * 2006-07-07 2008-01-10 Patrick Sprowls Method and system for detecting and removing hidden pestware files
US20080016571A1 (en) * 2006-07-11 2008-01-17 Larry Chung Yao Chang Rootkit detection system and method
KR20080043201A (ko) * 2006-11-13 2008-05-16 한국전자통신연구원 악성 코드가 숨겨진 파일 탐지 장치 및 방법

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20070019190A (ko) * 2005-08-11 2007-02-15 주식회사 웨어플러스 파일 시스템 및 레지스트리를 보호하는 방법 및 그 장치
KR20070049511A (ko) * 2005-11-08 2007-05-11 한국정보보호진흥원 악성코드 분석 시스템 및 방법
KR20070076935A (ko) * 2006-01-20 2007-07-25 엔에이치엔(주) 은닉 프로세스 모니터링 방법 및 모니터링 시스템
US20070250927A1 (en) * 2006-04-21 2007-10-25 Wintutis, Inc. Application protection
KR20070121195A (ko) * 2006-06-21 2007-12-27 한국전자통신연구원 시스템 이벤트 정보를 이용한 은닉 프로세스 탐지 시스템및 방법
US20080010310A1 (en) * 2006-07-07 2008-01-10 Patrick Sprowls Method and system for detecting and removing hidden pestware files
US20080016571A1 (en) * 2006-07-11 2008-01-17 Larry Chung Yao Chang Rootkit detection system and method
KR20080043201A (ko) * 2006-11-13 2008-05-16 한국전자통신연구원 악성 코드가 숨겨진 파일 탐지 장치 및 방법

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2700185C1 (ru) * 2018-07-27 2019-09-13 Закрытое акционерное общество "Перспективный мониторинг" Способ обнаружения скрытого программного обеспечения в вычислительной системе, работающей под управлением POSIX-совместимой операционной системы

Also Published As

Publication number Publication date
KR101039551B1 (ko) 2011-06-09
KR20100041971A (ko) 2010-04-23
WO2010044616A3 (ko) 2010-07-29

Similar Documents

Publication Publication Date Title
WO2014054854A1 (ko) 보안 시스템의 로그 분석 시스템 및 방법
WO2012108687A2 (en) Method of detecting arp spoofing attacks using arp locking and computer-readable recording medium storing program for executing the method
WO2016114601A1 (ko) 위치정보 수집이 필요 없는 재난알림 서비스 방법 및 이를 위한 재난알림 서버, 애플리케이션 시스템
WO2014193065A1 (en) Video search apparatus and method
WO2012015171A2 (ko) 해커 바이러스 보안통합관리기
WO2018056601A1 (ko) 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치 및 차단 방법
WO2018066742A1 (ko) 영상 제공 장치 및 방법
WO2022019500A1 (ko) 인공지능 학습데이터 생성을 위한 크라우드소싱 기반 프로젝트에서의 실습 교육 참여자에 대한 보상형 실습 교육 제공 방법, 그 장치 및 그 컴퓨터 프로그램
WO2015129983A1 (ko) 분산 퍼지 연관 규칙 마이닝에 기반한 영화 추천 장치 및 방법
WO2015119326A1 (en) Display device and method for controlling the same
WO2016064024A1 (ko) 이상 접속 검출 장치 및 방법
WO2010044616A2 (ko) 은닉 프로세스 모니터링 방법 및 시스템
WO2015080468A1 (ko) 차량 위치 제공 장치, 그리고 그를 이용한 주차 위치 안내 시스템 및 주차 위치 안내 방법
WO2013125867A1 (ko) 컴퓨터 시스템과, 파일 및 행위 기반 복합룰 작성 시스템
WO2018070598A1 (ko) 소스코드 변경 영향 평가를 이용한 불법 행위 감시 장치 및 그 방법
WO2019231089A1 (ko) 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법
WO2023113158A1 (ko) 범죄 행위자 프로파일링 방법, 이를 수행하는 장치 및 컴퓨터 프로그램
WO2021070978A1 (ko) 블록체인 기반의 edr 장치 및 방법
WO2016190485A1 (ko) 데이터 무단 엑세스 차단 방법 및 그 기능이 구비된 컴퓨팅 장치
WO2022005111A1 (ko) 인공지능 학습데이터 생성을 위한 크라우드소싱 기반 프로젝트의 작업 결과에 기초한 작업자에 대한 검수 권한 자동 부여 방법, 그 장치 및 그 컴퓨터 프로그램
WO2023282442A1 (ko) 컨테이너 환경에서 프로파일 공유를 위한 설계 방법, 이를 수행하기 위한 기록 매체 및 장치
WO2018076539A1 (zh) 伪无线接入点识别方法及系统
WO2018043885A1 (ko) 악성코드탐지시스템 및 악성코드 탐지 방법
WO2018088649A1 (ko) 글린트 검출 방법
WO2021132831A1 (ko) 인공지능 학습데이터 생성을 위한 크라우드소싱 기반 프로젝트의 작업자 및 검수자의 증감 운영 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09820766

Country of ref document: EP

Kind code of ref document: A2

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 09820766

Country of ref document: EP

Kind code of ref document: A2