WO2011108864A2 - 실행 파일을 이용한 악성 코드 차단 장치 및 방법 - Google Patents

실행 파일을 이용한 악성 코드 차단 장치 및 방법 Download PDF

Info

Publication number
WO2011108864A2
WO2011108864A2 PCT/KR2011/001469 KR2011001469W WO2011108864A2 WO 2011108864 A2 WO2011108864 A2 WO 2011108864A2 KR 2011001469 W KR2011001469 W KR 2011001469W WO 2011108864 A2 WO2011108864 A2 WO 2011108864A2
Authority
WO
WIPO (PCT)
Prior art keywords
executable file
file
executable
blocking
specific
Prior art date
Application number
PCT/KR2011/001469
Other languages
English (en)
French (fr)
Other versions
WO2011108864A3 (ko
Inventor
이재한
Original Assignee
주식회사 안철수연구소
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 안철수연구소 filed Critical 주식회사 안철수연구소
Priority to CN201180012046XA priority Critical patent/CN102918541A/zh
Publication of WO2011108864A2 publication Critical patent/WO2011108864A2/ko
Publication of WO2011108864A3 publication Critical patent/WO2011108864A3/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G06F21/565—Static detection by checking file integrity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/568—Computer malware detection or handling, e.g. anti-virus arrangements eliminating virus, restoring damaged files

Definitions

  • the present invention relates to blocking malicious code, and more particularly, to block executable files in an agent system from being moved, deleted, changed, or created so that executable files including malicious code are generated in the agent system or executable files are generated by malicious code.
  • the present invention relates to a malicious code blocking device and method using an executable file that can be prevented from being changed.
  • antivirus products for clients with antivirus engines are installed in the system.
  • Antivirus engines need periodic updates to prevent malware infections, as well as security updates to the system.
  • Such an antivirus engine update has a risk of misdiagnosing a file performing a dedicated function running on a computer system as malware, and an update of a computer system has a risk of incompatibility of a dedicated program.
  • an administrator may block execution of an unspecified file in parallel with a malicious code diagnosis program in order to block malicious code.
  • rules are set by combining file path names, file names, and hashes, and blocking execution or reading of files that do not meet the set rules.
  • the present invention has been made in view of the above, and it is determined whether or not a malicious code is infected to a specific executable file when executing a specific executable file in a blocking mode that blocks moving, deleting, changing, or creating executable files installed in an agent system. After checking the, execute or block the executable file by comparing the DNA value of the tested specific executable file with the original DNA value stored in the database, to create an executable file containing malicious code or to change the executable files by the malicious code.
  • a database comprising: a database storing original DNA values for each of executable files stored in an agent system; A blocking unit for setting a blocking mode for blocking movement, change or creation of the executable files, and backing up an original before changing any executable file when any executable file in the agent system is changed in the blocking mode; ;
  • the DNA value of the specific executable file is compared with the DNA value of the original source of the specific executable file stored in the database to determine whether to execute the specific executable file.
  • a specific executable file is any modified executable file, a malicious code blocking device using an executable file including a file execution unit for recovering and executing the backup original is provided.
  • the step of calculating the original DNA value for each of the executable files stored in the agent system and storing in the database Setting a blocking mode to block moving, deleting, creating or changing the executable files; Checking whether a malicious code is infected with the specific executable file when the agent system executes a request for the specific executable file; Calculating a DNA value of a specific executable file for which the test is completed;
  • a malicious code blocking method using an executable file comprising comparing the calculated DNA value with the original DNA value of the specific executable file stored in the database and blocking the specific executable file if it does not match.
  • the present invention prevents executable files including malicious code from being created or modified by malicious codes by blocking moving, deleting, changing, or creating executable files in the agent system.
  • the effect is to protect the system from code.
  • the present invention prevents moving, deleting, changing, or creating an executable file installed in an agent system, and executes the executable file through comparison between the original DNA value stored in the database and the DNA value of the executable file when executing the executable file; By blocking them, you can improve the security of your agent system with fewer resources without updating your antivirus engine or your system.
  • FIG. 1 is a block diagram of a computer network system including a malicious code blocking apparatus for blocking malicious code according to an embodiment of the present invention.
  • FIG. 2 is a flowchart illustrating a process of blocking malicious code by an apparatus for blocking malicious code according to an embodiment of the present invention.
  • the computer network system includes an agent system 10 in which the malicious code blocking device 100 is installed, and a management server 150 connected through the agent system 10 and the wired / wireless communication network 200.
  • the agent system 10 may be a low-specified terminal. Examples of the agent system 10 may include a terminal for managing automation equipment in a factory, a production management system, a point of sale (POS) system, and the like.
  • the malicious code blocking device 100 installed in the agent system 10 includes a blocking unit 102, a file executing unit 104, an unblocking unit 106, an administrator unit 108, an update unit 110, and a malicious unit.
  • the code checker 112, the database 114, and the executable file storage 116 are included.
  • the executable file storage unit 116 stores executable files to be executed in the agent system 10 and may be a hard disk, a read-only memory (ROM), a random-access memory (RAM), or the like.
  • the database 114 stores original DNA values for each part of the executable files stored in the executable file storage unit 116.
  • the executable file may include a general EXE file, a script file having executable code, a document file having a script function, and the like, and the DNA value is a value obtained by applying a cyclic redundancy check (CRC) based hash function. Can be.
  • CRC cyclic redundancy check
  • the blocking unit 102 sets the agent system 10 to the blocking mode when the agent system 10 is initially driven.
  • the blocking mode refers to a mode that blocks execution files in the agent system 10 from being moved, deleted, created or changed.
  • the blocking unit 102 if there is a change request for any executable file in the blocking mode state, backs up any executable file (original) before the change, and if there is a request for execution for any changed executable file
  • the changed arbitrary executable file is deleted to block execution of the changed arbitrary executable file.
  • the blocking unit 102 compares, for example, the DNA value of the changed arbitrary executable file with the DNA value stored in the database 114, and deletes any changed executable file if it does not match.
  • the backed up original is provided to the file execution unit 104.
  • the file execution unit 104 executes the original of any backed up executable file provided from the blocking unit 102. At this time, it is determined whether or not to execute the original executable file through comparison between the DNA value of the original backup file and the DNA value stored in the database 114.
  • the file execution unit 104 calculates the DNA value of the specific executable file and calculates the DNA value of the specific executable file stored in the database 114. Compare the original DNA values. The file execution unit 104 determines whether to change a specific executable file based on the comparison result and executes the specific file or blocks execution.
  • the file execution unit 104 is specific to the management server 150 connected through the wired or wireless communication network 200 when the DNA value of the specific executable file and the original DNA value of the specific executable file stored in the database 114 do not match. You can request a test for a specific executable file by sending the executable's DNA value.
  • the unblocking unit 106 calculates a DNA value for each executable file in the agent system 10. Subsequently, the unblocking unit 106 checks whether the executable file is changed by comparing the calculated DNA value with the original DNA value stored in the database 114 and determines whether to release the blocking mode.
  • the unblocking unit 106 releases the blocking mode.
  • the administrator may update the executable file in the agent system 10 according to the release of the blocking mode. It is possible to install a new program at (10) or to change or delete files in the agent system (10).
  • the manager unit 108 provides an interface for setting the agent system 10 to the manager mode at the request of the manager while the agent system 10 operates in the blocking mode.
  • the administrator can move, delete, create or change a specific executable file for the treatment or deletion of malicious code files that the agent system 10 does not recognize.
  • the updater 110 updates the executable files in the agent system 10 after the blocking mode is released by the unblocker 106
  • the updater 110 stores the original data stored in the database 114 using the DNA values of the updated executable files. Update the DNA value.
  • the blocking unit 102 sets the agent system 10 back to the blocking mode.
  • the malicious code inspecting unit 112 performs a malicious code scan on a specific file when a request for executing a specific file is executed in the agent system 10, or performs a malicious code scan on files in the agent system 10 at predetermined intervals. do.
  • the malicious code inspection unit 112 may be an antivirus engine as an example.
  • the malicious code inspecting unit 112 determines whether the malicious code is infected by examining the changed executable file or the specific executable file.
  • the malware inspection unit 112 may provide a predetermined notification message to the administrator of the agent system 10 based on the determination result, wherein the notification message may be provided by generating a log, generating a notification window, or sending an email to the administrator's email. Can be.
  • the manager system 108 sets the agent system 10 to the manager mode through the manager unit 108 to manually move, delete, or delete executable files in the agent system 10 in the blocking mode. Can be created or changed.
  • the previous malicious code inspecting unit 112 determined that the specific file was normal without discriminating the specific file as malicious code, but later, the specific file was malicious by the engine update of the malicious code inspecting unit 112. It may be determined as a code, or when the engine of the malicious code inspecting unit 112 is updated, an incorrect update related to a malicious code discrimination function may be used to determine a normal file as a malicious code.
  • the malicious code inspection unit 112 provides the administrator with a scan result for a specific file in the form of a notification message, the administrator sets the agent system 10 to the administrator mode to manually determine the file determined as the final malicious code. Delete or move or restore normal files identified as malicious code.
  • the blocking unit 102 sets the blocking mode by itself, for example.
  • the blocking mode may be set by the control from the management server 150 connected through the wired / wireless communication network.
  • the management server 150 may be operated by an anti-virus service provider that may provide a function for updating the malware information of the malware inspection unit 112 of the agent system 10, a plurality of agents System 10 can be managed. That is, the management server 150 may request a plurality of agent systems 10 to set a blocking mode.
  • an executable file including malicious code is added or existing by the malicious code. You can prevent the executables from changing.
  • FIG. 2 is a flowchart illustrating a process of blocking malicious code by an apparatus for blocking malicious code according to an embodiment of the present invention.
  • the malicious code blocking apparatus 100 of the agent system 10 calculates the original DNA value of each part of each executable file stored in the executable file storage unit 116 and then stores the original DNA value for the database 114. Store in (S200).
  • the blocking unit 102 of the malicious code blocking apparatus 100 sets the agent system 10 to a blocking mode for blocking execution files from being moved, deleted, created or changed (S202).
  • the file execution unit 104 determines whether there is an execution request for a specific execution file (S204).
  • the malicious code inspecting unit 112 checks whether the malicious code is infected with the specific executable file using the hit virus engine, and sends a notification message based on the scan result. It generates and provides it to the manager of the agent system 10 (S206). For example, when a specific executable file is infected with malicious code, the malware inspection unit 112 generates only a notification message indicating that the specific executable file is infected with malicious code without treating, ie, modifying or deleting the specific executable file. 10) Provide to the manager.
  • the administrator Upon receiving the notification message, the administrator sets the agent system 10 to the manager mode through the manager unit 108 to move, delete, or create an executable file in the agent system 10 manually in a blocked mode. Or you can change it.
  • the specific executable file checked by the malicious code inspection unit 112 is provided to the file execution unit 104.
  • the file execution unit 104 calculates the DNA value of the specific executable file that has been scanned for malicious code (S208), and compares the calculated DNA value with the original DNA value of the specific executable file stored in the database 114 to determine whether the file is identical. (S210).
  • the blocking unit 102 determines whether a backup file for a specific executable file exists (S214).
  • the blocking unit 102 deletes the specific execution file (S216) and provides the backup file to the file execution unit 104 to execute (S218).
  • the blocker 102 deletes the specific executable file and transmits the DNA value of the specific executable file to the management server 150 through the wired / wireless communication network 200 to determine the specific executable file. It may request a test for malware infection (S220).
  • the file execution unit 104 executes a specific executable file (S212). Thereafter, the malicious code blocking apparatus 100 determines whether there is an update request for an executable file in the agent system 10 from an administrator (S222).
  • the unblocking unit 106 calculates DNA values for all executable files in the agent system 10.
  • the blocking mode set by the blocking unit 102 is released. Accordingly, the administrator installs a new program in the agent system 10 or By moving, deleting or changing an existing executable file, the executable files in the agent system 10 may be updated.
  • the updater 110 calculates an original DNA value using the updated executable files in the agent system 10 and updates the database 114 based on the updated DNA files (S224).
  • the blocker 102 When the update is completed (S226), the blocker 102 resets the blocking mode to protect executable files in the agent system 10 (S228), and the malicious code blocking device 100 checks for malicious code from an administrator. It is determined whether there is a request for release of the blocking mode for treatment (S230).
  • the manager unit 108 of the malicious code blocking apparatus 100 releases the blocking mode set by the blocking unit 102, such that the administrator moves any executable file. , Can be deleted or changed (S232).
  • the present invention is blocked from moving, deleting, changing or generating an executable file installed in the agent system 10, and when executing the executable file, the original DNA value and the DNA value of the executable file are stored in the database 114.
  • the present invention can be embodied as computer readable codes on a computer readable recording medium.
  • the computer-readable recording medium includes all kinds of recording devices in which data that can be read by a computer system is stored. Examples of computer-readable recording media include ROM, RAM, CO-ROM, magnetic tape, floppy disks, optical data storage devices, and the like, which may also be implemented in the form of carrier waves (for example, transmission over the Internet). Include.
  • the computer readable recording medium can also be distributed over network coupled computer systems so that the computer readable code is stored and executed in a distributed fashion.

Abstract

실행 파일을 이용한 악성 코드 차단 장치는 에이전트 시스템 내 저장된 실행 파일 각각에 대한 원본 DNA값이 저장되어 있는 데이터베이스와; 상기 실행 파일들의 이동, 변경 또는 생성을 차단시키기 위한 차단 모드를 설정하며, 상기 차단 모드에서 상기 에이전트 시스템 내 임의의 실행 파일이 변경되는 경우 상기 임의의 실행 파일의 변경 전의 원본을 백업하는 차단부와; 상기 에이전트 시스템 내 특정 실행 파일에 대한 실행 요청이 있는 경우 상기 특정 실행 파일의 DNA값과 상기 데이터베이스에 저장된 상기 특정 실행 파일의 원본 DNA값을 비교하여 상기 특정 실행 파일의 실행 여부를 결정하며, 상기 특정 실행 파일이 상기 변경된 임의의 실행 파일인 경우, 상기 백업된 원본을 복구하여 실행시키는 파일 실행부를 포함한다.

Description

실행 파일을 이용한 악성 코드 차단 장치 및 방법
본 발명은 악성 코드 차단에 관한 것으로, 더욱 상세하게는 에이전트 시스템 내 실행 파일들이 이동, 삭제, 변경 또는 생성되는 것을 차단하여 악성 코드를 포함한 실행 파일이 에이전트 시스템에 생성되거나 악성 코드에 의해 실행 파일들이 변경되는 것을 방지할 수 있는 실행 파일을 이용한 악성 코드 차단 장치 및 방법에 관한 것이다.
일반적으로 전용 에이전트 시스템, 예컨대 공장내 자동화 설비를 관리하는 전용 컴퓨터 시스템의 악성 코드 감염을 막기 위해서, 시스템 내에 안티바이러스 엔진을 갖고 있는 클라이언트용 안티바이러스 제품이 설치된다. 안티바이러스 엔진은 악성 코드 감염을 막기 위해서 주기적인 업데이트가 필요하며, 더불어 시스템의 보안 업데이트 또한 필요로 한다.
이러한 안티바이러스 엔진 업데이트는 컴퓨터 시스템에서 기동 중인 전용 기능을 수행하는 파일을 악성코드로 오진할 위험성을 가지고 있으며, 컴퓨터 시스템의 업데이트는 전용 프로그램의 비호환성의 위험성을 갖고 있다는 단점이 있다.
한편, 전용 컴퓨터 시스템에서 관리자가 악성 코드를 차단하기 위해 악성 코드 진단 프로그램과 병행하여 지정되지 않는 파일의 실행을 차단할 수 있는 방안이 있다. 예를 들어, 기존의 Secure OS가 설치된 시스템에서는 파일의 경로명, 파일명, 해쉬 등을 조합하여 규칙을 설정하고, 설정된 규칙에 맞지 않는 파일의 실행 또는 읽기를 차단한다.
그러나, 이러한 규칙은 복잡하여 시스템의 업데이트나 신규 프로그램의 설치 시 변경될 필요가 있을 때 수정하기가 어려우므로 관리에 있어서 매우 불편하다는 문제점을 가지고 있다.
본 발명은, 상기 점에 감안하여 이루어진 것으로써, 에이전트 시스템 내에 설치된 실행 파일의 이동, 삭제, 변경 또는 생성하는 것을 차단하는 차단 모드 상태에서 특정 실행 파일을 실행할 때 특정 실행 파일에 대한 악성 코드 감염 여부를 검사한 후 검사 완료된 특정 실행 파일의 DNA값과 데이터베이스에 저장된 원본 DNA값간의 비교를 통해 실행 파일을 실행하거나 차단함으로써, 악성 코드를 포함한 실행 파일이 생성되거나 악성 코드에 의해 실행 파일들이 변경되는 것을 방지할 수 있는 실행 파일을 이용한 악성 코드 차단 장치 및 방법을 제공한다.
본 발명의 제 1 관점에 따르면, 에이전트 시스템 내 저장된 실행 파일 각각에 대한 원본 DNA값이 저장되어 있는 데이터베이스와; 상기 실행 파일들의 이동, 변경 또는 생성을 차단시키기 위한 차단 모드를 설정하며, 상기 차단 모드에서 상기 에이전트 시스템 내 임의의 실행 파일이 변경되는 경우 상기 임의의 실행 파일의 변경 전의 원본을 백업하는 차단부와; 상기 에이전트 시스템 내 특정 실행 파일에 대한 실행 요청이 있는 경우 상기 특정 실행 파일의 DNA값과 상기 데이터베이스에 저장된 상기 특정 실행 파일의 원본의 DNA값을 비교하여 상기 특정 실행 파일의 실행 여부를 결정하며, 상기 특정 실행 파일이 상기 변경된 임의의 실행 파일인 경우, 상기 백업된 원본을 복구하여 실행시키는 파일 실행부를 포함하는 실행 파일을 이용한 악성 코드 차단 장치가 제공된다.
본 발명의 제 2 관점에 따르면, 에이전트 시스템 내 저장된 실행 파일 각각에 대한 원본 DNA값을 산출하여 데이터베이스에 저장하는 단계와; 상기 실행 파일들의 이동, 삭제, 생성 또는 변경을 차단시키기 위한 차단 모드를 설정하는 단계와; 상기 에이전트 시스템에서 특정 실행 파일에 대한 실행 요청이 있는 경우 상기 특정 실행 파일에 대한 악성 코드 감염 여부를 검사하는 단계와; 상기 검사가 완료된 특정 실행 파일의 DNA값을 산출하는 단계와; 상기 산출된 DNA값과 상기 데이터베이스에 저장된 상기 특정 실행 파일의 원본 DNA값을 비교하여 일치하지 않을 경우 상기 특정 실행 파일을 차단시키는 단계를 포함하는 실행 파일을 이용한 악성 코드 차단 방법이 제공된다.
본 발명은 에이전트 시스템 내 실행 파일들이 이동, 삭제, 변경 또는 생성되는 것을 차단함으로써, 악성 코드를 포함한 실행 파일이 생성되거나 악성 코드에 의해 실행 파일들이 변경되는 것을 방지할 수 있기 때문에 별도의 업데이트 없이 악성 코드로부터 시스템을 보호할 수 있는 효과가 있다.
또한, 본 발명은 에이전트 시스템 내에 설치된 실행 파일을 이동, 삭제, 변경 또는 생성하는 것을 차단하고, 실행 파일을 실행할 때 데이터베이스에 저장된 원본 DNA값과 실행 파일의 DNA값간의 비교를 통해 실행 파일을 실행하거나 차단함으로써, 별도의 안티바이러스 엔진의 업데이트나 시스템의 업데이트 없이 적은 리소스로 에이전트 시스템의 보안성을 향상시킬 수 있다.
본 발명의 목적 및 특징은 이하와 같은 첨부 도면과 함께 주어지는 이후의 실시예의 설명으로부터 명백하게 된다.
도 1은 본 발명의 실시 예에 따른 악성 코드 차단을 위한 악성 코드 차단 장치를 포함하는 컴퓨터 네트워크 시스템의 블록도이다.
도 2는 본 발명의 실시 예에 따른 악성 코드 차단 장치가 악성 코드를 차단하는 과정을 도시한 흐름도이다.
본 발명의 목적 및 효과, 그리고 그것들을 달성하기 위한 기술적 구성들은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시예들을 참조하면 명확해질 것이다. 본 발명을 설명함에 있어서 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략할 것이다. 그리고 후술되는 용어들은 본 발명에서의 기능을 고려하여 정의된 용어들로서 이는 사용자, 운용자의 의도 또는 관례 등에 따라 달라질 수 있다.
이하, 첨부된 도면을 참조하여 본 발명의 실시 예를 상세히 설명하기로 한다.
도 1은 본 발명의 실시 예에 따른 악성 코드 차단을 위한 악성 코드 차단 장치를 포함하는 컴퓨터 네트워크 시스템의 블록도이다. 컴퓨터 네트워크 시스템은 악성 코드 차단 장치(100)가 설치된 에이전트 시스템(10) 및 에이전트 시스템(10)과 유무선 통신망(200)을 통해 연결된 관리 서버(150)로 구성된다.
에이전트 시스템(10)은 저사양의 단말이 될 수 있으며, 그 예로 공장 내 자동화 설비를 관리하기 위한 단말, 생산 관리 시스템, POS(Point Of Sale) 시스템 등을 들 수 있다. 이러한 에이전트 시스템(10)에 설치되는 악성 코드 차단 장치(100)는 차단부(102), 파일 실행부(104), 차단 해제부(106), 관리자부(108), 업데이트부(110), 악성 코드 검사부(112), 데이터베이스(114), 실행 파일 저장부(116)를 포함한다.
실행 파일 저장부(116)는 에이전트 시스템(10)에서 실행될 실행 파일들을 저장하고 있으며, 하드디스크, ROM(Read-Only Memory), RAM(Random-Access Memory) 등이 될 수 있다.
데이터베이스(114)에는 실행 파일 저장부(116) 내에 저장된 실행 파일 각각에 대한 부분별 원본 DNA값이 저장되어 있다. 여기서, 실행 파일은 일반적인 EXE 파일, 실행 가능 코드를 갖는 스크립트 파일, 스크립트 기능을 갖고 있는 문서 파일 등을 들 수 있으며, DNA값은 CRC(Cyclic Redundancy Check) 기반의 해쉬 함수를 적용한 값을 그 예로 들 수 있다.
차단부(102)는 에이전트 시스템(10)이 초기 구동될 때 에이전트 시스템(10)을 차단 모드로 설정한다. 여기서, 차단 모드란 에이전트 시스템(10) 내의 실행 파일들이 이동, 삭제, 생성 또는 변경되는 것을 차단시키는 모드를 말한다.
한편, 차단부(102)는 차단 모드 상태에서 임의의 실행 파일에 대한 변경 요청이 있는 경우, 변경되기 전 임의의 실행파일(원본)을 백업하고, 변경된 임의의 실행 파일에 대한 실행 요청이 있는 경우, 변경된 임의의 실행 파일을 삭제하여 변경된 임의의 실행 파일이 실행되는 것을 차단시킨다. 이때, 차단부(102)는, 예를 들면, 변경된 임의의 실행 파일의 DNA값과 데이터베이스(114)에 저장된 DNA값을 비교하여 일치하지 않을 경우, 변경된 임의의 실행 파일을 삭제한다. 백업된 원본은 파일 실행부(104)에 제공된다.
파일 실행부(104)는 차단부(102)로부터 제공받은 백업된 임의의 실행 파일의 원본을 실행시킨다. 이때 백업된 임의의 실행 파일 원본의 DNA값과 데이터베이스(114)에 저장된 DNA값간의 비교를 통해 원본 실행 파일의 실행 여부를 결정한다.
즉, 파일 실행부(104)는 에이전트 시스템(10)에서 특정 실행 파일에 대한 실행 요청이 있는 경우, 특정 실행 파일의 DNA값을 산출하여 산출된 DNA값과 데이터베이스(114)에 저장된 특정 실행 파일의 원본 DNA값을 비교한다. 파일 실행부(104)는 비교 결과를 토대로 특정 실행 파일의 변경 여부를 판단하여 특정 파일을 실행시키거나 실행을 차단한다.
또한, 파일 실행부(104)는 특정 실행 파일의 DNA값과 데이터베이스(114)에 저장된 특정 실행 파일의 원본 DNA값이 일치하지 않을 경우, 유무선 통신망(200)을 통해 연결된 관리 서버(150)에 특정 실행 파일의 DNA값을 전송하여 특정 실행 파일에 대한 검사를 요청할 수 있다.
차단 해제부(106)는 에이전트 시스템(10)의 관리자 또는 관리 서버(150)로부터 차단 해제 요청이 있는 경우, 에이전트 시스템(10) 내 실행 파일 각각에 대한 DNA값을 산출한다. 이어서, 차단 해제부(106)는 산출된 DNA값과 데이터베이스(114)에 저장된 원본 DNA값간의 비교를 통해 실행 파일 각각에 대한 변경 여부를 확인하고 차단 모드의 해제 여부를 결정한다.
에이전트 시스템(10) 내 실행파일의 변경이 없을 때, 차단 해제부(106)는 차단 모드를 해제하며, 차단 모드 해제에 따라 관리자는 에이전트 시스템(10) 내의 실행 파일을 업데이트 할 수 있으며, 에이전트 시스템(10)에 새로운 프로그램을 설치하거나 에이전트 시스템(10) 내에 파일을 변경 또는 삭제시킬 수 있다.
관리자부(108)는 에이전트 시스템(10)이 차단 모드로 동작하는 상태에서 관리자의 요청에 따라 에이전트 시스템(10)을 관리자 모드로 설정할 수 있는 인터페이스를 제공한다. 관리자 모드에서, 관리자는 에이전트 시스템(10)이 인지하지 못하는 악성 코드 파일의 치료 또는 삭제를 위해 특정 실행 파일을 이동, 삭제, 생성 또는 변경하는 것이 가능하다.
업데이트부(110)는 차단 해제부(106)에 의해 차단 모드가 해제된 후 에이전트 시스템(10) 내 실행 파일들이 업데이트됨에 따라, 업데이트된 실행 파일들의 DNA값을 이용하여 데이터베이스(114)에 저장된 원본 DNA값을 업데이트시킨다. 데이터베이스(114)의 업데이트가 완료되면 차단부(102)는 에이전트 시스템(10)을 다시 차단 모드로 설정한다.
악성 코드 검사부(112)는 에이전트 시스템(10) 내 특정 파일의 실행 요청이 있을 시 특정 파일에 대한 악성 코드 검사를 수행하거나, 기 설정된 주기로 에이전트 시스템(10) 내 파일들에 대한 악성 코드 검사를 수행한다. 악성 코드 검사부(112)는 그 예로서 안티바이러스 엔진을 들 수 있다.
구체적으로, 악성 코드 검사부(112)는 에이전트 시스템(10) 내 실행 파일이 변경되거나 특정 실행 파일에 대한 실행 요청이 있을 경우, 변경된 실행 파일 또는 특정 실행 파일을 검사하여 악성 코드 감염 여부를 판단한다. 악성 코드 검사부(112)는 판단 결과에 의거하여 소정의 알림 메시지를 에이전트 시스템(10)의 관리자에게 제공할 수 있는데, 이때 알림 메시지는 로그 생성, 알림창 생성 또는 관리자의 이메일로 이메일 전송을 통해 제공될 수 있다. 이러한 알림 메시지를 수신한 관리자는, 필요에 따라, 관리자부(108)를 통해 에이전트 시스템(10)을 관리자 모드로 설정하여 차단 모드 상태에서 수동으로 에이전트 시스템(10) 내 실행 파일을 이동, 삭제, 생성 또는 변경할 수 있다.
예를 들면, 에이전트 시스템(10)에서 이전의 악성 코드 검사부(112)는 특정 파일을 악성 코드로 판별하지 않고 정상으로 판별하였지만 이후에 악성 코드 검사부(112)의 엔진 업데이트에 의해 해당 특정 파일이 악성 코드로 판별되거나, 악성 코드 검사부(112)의 엔진의 업데이트시 악성 코드 판별 기능과 관련한 잘못된 업데이트로 정상 파일을 악성 코드로 판별하는 일이 있을 수 있다. 이런 경우, 악성 코드 검사부(112)가 특정 파일에 대한 검사 결과를 알림 메시지 형태로 관리자에게 제공함에 따라, 관리자는 에이전트 시스템(10)을 관리자 모드로 설정하여 수동으로 최종 악성코드로 판별된 파일을 삭제 또는 이동하거나, 악성코드로 판별된 정상파일을 복구할 수 있다.
본 발명의 실시 예에서는 차단부(102)가 자체적으로 차단 모드를 설정하는 것으로 예를 들어 설명하였지만, 유무선 통신망을 통해 연결된 관리 서버(150)로부터의 제어에 의해 차단 모드를 설정할 수도 있다. 여기에서, 관리 서버(150)는 에이전트 시스템(10)의 악성 코드 검사부(112)의 악성 코드 정보를 업데이트하기 위한 기능을 제공할 수 있는 안티바이러스 서비스 제공 업체에 의해 운영될 수 있으며, 다수의 에이전트 시스템(10)을 관리할 수 있다. 즉, 관리 서버(150)는 다수의 에이전트 시스템(10)에 차단 모드 설정을 요청할 수 있다.
본 발명의 실시 예에 따르면, 차단부(102)를 이용하여 에이전트 시스템 내 실행 파일들이 이동, 삭제, 변경 또는 생성되는 것을 차단함으로써, 악성 코드가 포함된 실행 파일이 추가되거나 악성 코드에 의해 기존의 실행 파일들이 변경되는 것을 방지할 수 있다.
상기와 같은 구성을 갖는 악성 코드 차단 장치(100)가 동작하여 악성 코드를 차단하는 과정에 대해 도 2를 참조하여 설명한다.
도 2는 본 발명의 실시 예에 따른 악성 코드 차단 장치가 악성 코드를 차단하는 과정을 도시한 흐름도이다.
도 2에 도시된 바와 같이, 에이전트 시스템(10)의 악성 코드 차단 장치(100)는 실행 파일 저장부(116)에 저장된 실행 파일 각각에 대한 부분별 원본 DNA값을 산출한 후 이를 데이터베이스(114)에 저장한다(S200).
그런 다음, 악성 코드 차단 장치(100)의 차단부(102)는 실행 파일들이 이동, 삭제, 생성 또는 변경되는 것을 차단하기 위한 차단 모드로 에이전트 시스템(10)을 설정한다(S202).
이후, 파일 실행부(104)는 특정 실행 파일에 대한 실행 요청이 있는지를 판단한다(S204).
S204의 판단 결과, 특정 실행 파일에 대한 실행 요청이 있는 경우, 악성 코드 검사부(112)는 안타바이러스 엔진을 이용하여 특정 실행 파일에 대한 악성 코드 감염 여부를 검사하고, 검사 결과에 의거하여 알림 메시지를 생성하여 이를 에이전트 시스템(10)의 관리자에게 제공한다(S206). 예를 들어, 특정 실행 파일이 악성 코드에 감염된 경우 악성 코드 검사부(112)는 특정 실행 파일을 치료, 즉 수정 또는 삭제하지 않고 특정 실행 파일이 악성 코드에 감염되었음을 알리는 알림 메시지만을 생성하여 에이전트 시스템(10)의 관리자에게 제공한다. 알림 메시지를 수신한 관리자는, 필요에 따라, 관리자부(108)를 통해 에이전트 시스템(10)을 관리자 모드로 설정하여 차단 모드 상태에서 수동으로 에이전트 시스템(10) 내 실행 파일을 이동, 삭제, 생성 또는 변경할 수 있다. 악성 코드 검사부(112)에 의해 검사 완료된 특정 실행 파일은 파일 실행부(104)에 제공된다.
파일 실행부(104)는 악성 코드 검사 완료된 특정 실행 파일의 DNA값을 산출(S208)하고 산출된 DNA값과 데이터베이스(114)에 저장된 특정 실행 파일의 원본 DNA값을 비교하여 일치하는지의 여부를 판단한다(S210).
S210의 판단 결과, 산출된 DNA값과 원본 DNA값이 일치하지 않을 경우, 차단부(102)는 특정 실행 파일에 대한 백업 파일이 존재하는지를 판단한다(S214).
S214의 판단 결과, 백업 파일이 존재할 경우, 차단부(102)는 특정 실행 파일을 삭제(S216)하고 백업 파일을 파일 실행부(104)에 제공하여 실행시킨다(S218).
S214의 판단 결과, 백업 파일이 존재하지 않을 경우 차단부(102)는 특정 실행 파일을 삭제시키고 특정 실행 파일의 DNA값을 유무선 통신망(200)을 통해 관리 서버(150)에 전송하여 특정 실행 파일의 악성 코드 감염 여부에 대한 검사를 요청할 수 있다(S220).
한편, S210의 판단 결과, 산출된 DNA값과 원본 DNA값이 일치하는 경우, 파일 실행부(104)는 특정 실행 파일을 실행(S212)시킨다. 그 후, 악성 코드 차단 장치(100)는 관리자로부터 에이전트 시스템(10) 내 실행 파일에 대한 업데이트 요청이 있는지를 판단한다(S222).
S222의 판단 결과, 업데이트 요청이 있는 경우, 차단 해제부(106)는 에이전트 시스템(10) 내 모든 실행 파일들에 대한 DNA값을 산출한다. 산출된 DNA값과 데이터베이스(114)에 저장된 원본 DNA값을 비교하여 일치할 경우, 차단부(102)에 의해 설정된 차단 모드를 해제시키며, 이에 따라 관리자는 에이전트 시스템(10)에 새로운 프로그램을 설치하거나 기존의 실행 파일을 이동, 삭제 또는 변경함으로써, 에이전트 시스템(10) 내 실행 파일들을 업데이트시킬 수 있다. 실행 파일들에 대한 업데이트가 완료됨에 따라 업데이트부(110)는 에이전트 시스템(10) 내 업데이트된 실행 파일들을 이용하여 원본 DNA값을 산출하고 이를 토대로 데이터베이스(114)를 업데이트시킨다(S224).
업데이트가 완료(S226)되면, 차단부(102)는 에이전트 시스템(10) 내 실행 파일들을 보호하기 위해 차단 모드를 다시 설정(S228)하며, 악성 코드 차단 장치(100)는 관리자로부터 악성 코드 검사 및 치료를 위한 차단 모드 해제 요청이 있는지를 판단한다(S230).
S230의 판단 결과, 관리자로부터 차단 모드 해제 요청이 있는 경우 악성 코드 차단 장치(100)의 관리자부(108)는 차단부(102)에 의해 설정된 차단 모드를 해제시킴으로써, 관리자는 임의의 실행 파일을 이동, 삭제 또는 변경할 수 있다(S232).
본 발명의 실시 예에 따르면, 에이전트 시스템(10) 내에 설치된 실행 파일을 이동, 삭제, 변경 또는 생성하는 것을 차단하고, 실행 파일을 실행할 때 데이터베이스(114)에 저장된 원본 DNA값과 실행 파일의 DNA값간의 비교를 통해 실행 파일을 실행하거나 차단함으로써, 별도의 안티바이러스 엔진의 업데이트나 시스템의 업데이트 없이 적은 리소스로 에이전트 시스템의 보안성을 향상시킬 수 있다.
본 발명은 컴퓨터로 읽을 수 있는 기록매체에 컴퓨터가 읽을 수 있는 코드로서 구현하는 것이 가능하다. 컴퓨터가 읽을 수 있는 기록매체는 컴퓨터 시스템에 의하여 읽혀질 수 있는 데이터가 저장되는 모든 종류의 기록장치를 포함한다. 컴퓨터가 읽을 수 있는 기록매체의 예로는 ROM, RAM, CO-ROM, 자기 테이프, 플로피 디스크, 광 데이터 저장 장치 등이 있으며, 또한 캐리어 웨이브(예를 들어 인터넷을 통한 전송)의 형태로 구현되는 것도 포함한다. 또한 컴퓨터가 읽을 수 있는 기록매체는 네트워크로 연결된 컴퓨터 시스템에 분산되어, 분산 방식으로 컴퓨터가 읽을 수 있는 코드가 저장되고 실행될 수 있다.
이상, 본 발명의 바람직한 실시형태가 설명되었지만, 본 발명은 이들 특정의 실시형태에 한정되지 않고, 후속하는 청구범위의 범주로부터 벗어나지 않고 다양한 변경 및 변형이 이루어질 수 있으며, 그것도 본 발명의 범주 내에 속한다 할 것이다.

Claims (14)

  1. 에이전트 시스템 내 저장된 실행 파일 각각에 대한 원본 DNA값이 저장되어 있는 데이터베이스와,
    상기 실행 파일들의 이동, 변경 또는 생성을 차단시키기 위한 차단 모드를 설정하며, 상기 차단 모드에서 상기 에이전트 시스템 내 임의의 실행 파일이 변경되는 경우 상기 임의의 실행 파일의 변경 전의 원본을 백업하는 차단부와,
    상기 에이전트 시스템 내 특정 실행 파일에 대한 실행 요청이 있는 경우 상기 특정 실행 파일의 DNA값과 상기 데이터베이스에 저장된 상기 특정 실행 파일의 원본의 DNA값을 비교하여 상기 특정 실행 파일의 실행 여부를 결정하며, 상기 특정 실행 파일이 상기 변경된 임의의 실행 파일인 경우, 상기 백업된 원본을 복구하여 실행시키는 파일 실행부를 포함하는
    실행 파일을 이용한 악성 코드 차단 장치.
  2. 제 1 항에 있어서,
    통신망을 통해 연결된 관리 서버가 차단 해제를 요청하는 경우, 상기 에이전트 시스템 내 실행 파일 각각에 대한 DNA값과 데이터베이스에 저장된 DNA값간의 비교를 통해 상기 실행 파일들의 변경 유무를 확인하여 상기 차단 모드의 해제 여부를 결정하는 차단 해제부를 더 포함하는
    실행 파일을 이용한 악성 코드 차단 장치.
  3. 제 1 항에 있어서,
    상기 차단부는, 통신망을 통해 연결된 관리 서버의 요청에 따라 상기 차단 모드를 설정하는
    실행 파일을 이용한 악성 코드 차단 장치.
  4. 제 1 항에 있어서,
    상기 차단 모드 상태에서 상기 특정 실행 파일의 실행 요청이 있는 경우, 상기 특정 실행 파일에 대한 악성 코드 검사를 수행한 후 상기 검사가 완료된 특정 실행 파일을 상기 파일 실행부에 제공하는 악성 코드 검사부를 더 포함하는
    실행 파일을 이용한 악성 코드 차단 장치.
  5. 제 4 항에 있어서,
    상기 악성 코드 검사부는,
    상기 특정 실행 파일에 대한 악성 코드 검사 결과를 알리는 알림 메시지를 생성하는
    실행 파일을 이용한 악성 코드 차단 장치.
  6. 제 5 항에 있어서,
    상기 알림 메시지는, 로그 발생, 알림창 생성 또는 이메일 전송을 통해 제공되는
    실행 파일을 이용한 악성 코드 차단 장치.
  7. 제 1 항에 있어서,
    상기 파일 실행부는,
    상기 특정 실행 파일의 DNA값과 상기 데이터베이스에 저장된 상기 특정 실행 파일의 원본의 DNA값이 일치하지 않을 경우, 상기 특정 실행 파일의 실행을 차단하고 통신망을 통해 연결된 관리 서버에 상기 특정 실행 파일의 DNA값을 전송하여 검사를 요청하는
    실행 파일을 이용한 악성 코드 차단 장치.
  8. 제 1 항에 있어서,
    상기 차단 모드에서 상기 에이전트 시스템의 관리자의 요청에 따라 임의의 실행 파일을 이동, 삭제, 생성 또는 변경할 수 있는 관리자 모드로 상기 에이전트 시스템을 설정하는 관리자부를 더 포함하는
    실행 파일을 이용한 악성 코드 차단 장치.
  9. 제 2 항에 있어서,
    상기 차단 해제부에 의해 상기 차단 모드가 해제된 후 상기 에이전트 시스템 내 실행 파일들이 업데이트됨에 따라 상기 업데이트된 실행 파일들의 DNA값을 이용하여 상기 데이터베이스를 업데이트시키는 업데이트부를 더 포함하는
    실행 파일을 이용한 악성 코드 차단 장치.
  10. 제 9 항에 있어서,
    상기 차단부는, 상기 데이터베이스의 업데이트가 완료되면 상기 에이전트 시스템을 상기 차단 모드로 재설정하는
    실행 파일을 이용한 악성 코드 차단 장치.
  11. 에이전트 시스템 내 저장된 실행 파일 각각에 대한 원본 DNA값을 산출하여 데이터베이스에 저장하는 단계와,
    상기 실행 파일들의 이동, 삭제, 생성 또는 변경을 차단시키기 위한 차단 모드를 설정하는 단계와,
    상기 에이전트 시스템에서 특정 실행 파일에 대한 실행 요청이 있는 경우 상기 특정 실행 파일에 대한 악성 코드 감염 여부를 검사하는 단계와,
    상기 검사가 완료된 특정 실행 파일의 DNA값을 산출하는 단계와,
    상기 산출된 DNA값과 상기 데이터베이스에 저장된 상기 특정 실행 파일의 원본 DNA값을 비교하여 일치하지 않을 경우 상기 특정 실행 파일을 차단시키는 단계를 포함하는
    실행 파일을 이용한 악성 코드 차단 방법.
  12. 제 11 항에 있어서,
    상기 차단 모드 상태에서 임의의 실행 파일에 대한 변경 요청이 있는지를 판단하는 단계와,
    상기 변경 요청이 있는 경우, 상기 임의의 실행 파일을 백업한 후 상기 임의의 실행 파일을 변경하는 단계와,
    상기 변경된 임의의 실행 파일에 대한 실행 요청이 있는 경우, 상기 백업된 임의의 실행 파일을 복구하여 실행시키는 단계를 더 포함하는
    실행 파일을 이용한 악성 코드 차단 방법.
  13. 제 12 항에 있어서,
    상기 백업된 임의의 실행 파일을 복구하여 실행시키는 단계는,
    상기 변경된 임의의 실행 파일에 대한 실행 요청이 있는 경우, 상기 변경된 임의의 실행 파일에 대한 악성 코드 감염 여부를 검사하는 단계와,
    상기 변경된 임의의 실행 파일에 대한 DNA값과 상기 데이터베이스에 저장된 DNA값을 비교하여 일치하지 않는 경우, 상기 변경된 임의의 실행 파일을 삭제하는 단계와,
    상기 백업된 임의의 실행 파일을 복구하여 실행시키는 단계를 포함하는
    실행 파일을 이용한 악성 코드 차단 방법.
  14. 제 13 항에 있어서,
    상기 악성 코드 감염 여부를 검사하는 단계는,
    상기 변경된 임의의 실행 파일에 대한 악성 코드 감염 여부를 검사하며, 상기 검사 결과 상기 변경된 임의의 실행 파일이 악성 코드에 감염된 경우, 이에 대한 알림 메시지만을 생성하여 상기 에이전트 시스템의 관리자에게 제공하는 단계를 더 포함하는
    실행 파일을 이용한 악성 코드 차단 방법.
PCT/KR2011/001469 2010-03-05 2011-03-03 실행 파일을 이용한 악성 코드 차단 장치 및 방법 WO2011108864A2 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201180012046XA CN102918541A (zh) 2010-03-05 2011-03-03 阻断恶意代码使用执行文件的装置和方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2010-0020016 2010-03-05
KR20100020016A KR101138746B1 (ko) 2010-03-05 2010-03-05 실행 파일을 이용한 악성 코드 차단 장치 및 방법

Publications (2)

Publication Number Publication Date
WO2011108864A2 true WO2011108864A2 (ko) 2011-09-09
WO2011108864A3 WO2011108864A3 (ko) 2012-01-12

Family

ID=44542724

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2011/001469 WO2011108864A2 (ko) 2010-03-05 2011-03-03 실행 파일을 이용한 악성 코드 차단 장치 및 방법

Country Status (3)

Country Link
KR (1) KR101138746B1 (ko)
CN (1) CN102918541A (ko)
WO (1) WO2011108864A2 (ko)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105653974B (zh) * 2015-12-23 2019-07-23 北京奇虎科技有限公司 一种文档防护方法及装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20000030563A (ko) * 1999-12-31 2000-06-05 정연섭 온라인 유해 정보 차단 시스템 및 방법
KR20080043201A (ko) * 2006-11-13 2008-05-16 한국전자통신연구원 악성 코드가 숨겨진 파일 탐지 장치 및 방법
KR20090055669A (ko) * 2007-11-29 2009-06-03 한국전자통신연구원 악성코드 탐지장치 및 방법
KR20090129609A (ko) * 2008-06-13 2009-12-17 주식회사 안철수연구소 컴파일러 구분에 의한 악성코드 진단장치 및 방법

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030115458A1 (en) * 2001-12-19 2003-06-19 Dongho Song Invisable file technology for recovering or protecting a computer file system
US8060867B2 (en) * 2004-05-20 2011-11-15 Computer Associates Think, Inc. Systems and methods for excluding user specified applications
KR100690187B1 (ko) * 2005-06-21 2007-03-09 주식회사 안철수연구소 악성 코드 차단 방법 및 장치 및 그 시스템
US20080115219A1 (en) * 2006-11-13 2008-05-15 Electronics And Telecommunications Research Apparatus and method of detecting file having embedded malicious code
KR100918626B1 (ko) * 2007-08-02 2009-09-25 주식회사 플랜티넷 어플리케이션 프로그램 검증 및 실행 제어 방법
CN101359353B (zh) * 2008-09-05 2011-05-18 成都市华为赛门铁克科技有限公司 一种文件保护方法及装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20000030563A (ko) * 1999-12-31 2000-06-05 정연섭 온라인 유해 정보 차단 시스템 및 방법
KR20080043201A (ko) * 2006-11-13 2008-05-16 한국전자통신연구원 악성 코드가 숨겨진 파일 탐지 장치 및 방법
KR20090055669A (ko) * 2007-11-29 2009-06-03 한국전자통신연구원 악성코드 탐지장치 및 방법
KR20090129609A (ko) * 2008-06-13 2009-12-17 주식회사 안철수연구소 컴파일러 구분에 의한 악성코드 진단장치 및 방법

Also Published As

Publication number Publication date
CN102918541A (zh) 2013-02-06
WO2011108864A3 (ko) 2012-01-12
KR101138746B1 (ko) 2012-04-24
KR20110100924A (ko) 2011-09-15

Similar Documents

Publication Publication Date Title
US7620990B2 (en) System and method for unpacking packed executables for malware evaluation
JP4936294B2 (ja) マルウェアに対処する方法及び装置
US7437764B1 (en) Vulnerability assessment of disk images
US8181247B1 (en) System and method for protecting a computer system from the activity of malicious objects
US20190075125A1 (en) Method and system for detecting and remediating polymorphic attacks across an enterprise
EP2452287B1 (en) Anti-virus scanning
US7398399B2 (en) Apparatus, methods and computer programs for controlling performance of operations within a data processing system or network
US7877806B2 (en) Real time malicious software detection
US7640589B1 (en) Detection and minimization of false positives in anti-malware processing
RU2487405C1 (ru) Система и способ для исправления антивирусных записей
US20100262584A1 (en) Disinfecting a file system
US20040210769A1 (en) Apparatus, methods and articles of manufacture for computer virus testing
US8561180B1 (en) Systems and methods for aiding in the elimination of false-positive malware detections within enterprises
EP2860657A1 (en) Determining a security status of potentially malicious files
JP2010160791A (ja) コンテキストアウェアによるリアルタイムコンピュータ保護システムおよび方法
WO2012107255A1 (en) Detecting a trojan horse
US11477232B2 (en) Method and system for antivirus scanning of backup data at a centralized storage
TW201812634A (zh) 威脅情報雲
EP2417552B1 (en) Malware determination
US9740865B2 (en) System and method for configuring antivirus scans
RU101235U1 (ru) Система проверки на присутствие вредоносного программного обеспечения с изменяемыми настройками проверки
WO2011108864A2 (ko) 실행 파일을 이용한 악성 코드 차단 장치 및 방법
WO2020165789A1 (en) Monitoring process on iot device
EP2584484B1 (en) System and method for protecting a computer system from the activity of malicious objects
WO2011074824A2 (ko) 시그니처 데이터베이스 업데이트 시스템 및 방법과 클라이언트 단말기의 데이터베이스 업데이트 장치

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201180012046.X

Country of ref document: CN

NENP Non-entry into the national phase in:

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11750921

Country of ref document: EP

Kind code of ref document: A2