WO2013077565A1 - 악성코드 진단 및 치료 서비스 장치 및 방법 - Google Patents

악성코드 진단 및 치료 서비스 장치 및 방법 Download PDF

Info

Publication number
WO2013077565A1
WO2013077565A1 PCT/KR2012/008935 KR2012008935W WO2013077565A1 WO 2013077565 A1 WO2013077565 A1 WO 2013077565A1 KR 2012008935 W KR2012008935 W KR 2012008935W WO 2013077565 A1 WO2013077565 A1 WO 2013077565A1
Authority
WO
WIPO (PCT)
Prior art keywords
diagnosis
malware
treatment
service device
guest
Prior art date
Application number
PCT/KR2012/008935
Other languages
English (en)
French (fr)
Inventor
김경희
김건우
정은진
Original Assignee
주식회사 안랩
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 안랩 filed Critical 주식회사 안랩
Publication of WO2013077565A1 publication Critical patent/WO2013077565A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring

Definitions

  • the present invention relates to a malware diagnosis and treatment service, and in particular, a virtualization environment of a client device is divided into a hypervisor environment and a guest operating system environment to effectively share resources required for malware diagnosis and treatment.
  • the present invention relates to a device and method for diagnosing and treating malware.
  • OS operating systems
  • multiple operating systems can be installed on a single physical server and operated separately.
  • the individual OS can also leak information due to virus infection or malicious code distribution through initial file and different file inflow and access through external network.
  • all client OSs have a diagnosis and treatment device with a malware diagnosis and treatment device, and a malware diagnosis and treatment device is installed only on a hypervisor, and the client OS requests a diagnosis and treatment from the hypervisor. There is a way.
  • the system resource occupancy is high because the entire malware diagnosis and treatment device is installed in each client OS. That is, since each client OS includes malware diagnosis and repair function, update function, and malware information storage function, the total system share is inevitably increased.
  • the malware diagnosis and the virtualization environment in the virtual environment that can efficiently utilize the entire system resources required for the diagnosis and treatment of malware Therapeutic services apparatus and methods may be provided.
  • the apparatus for diagnosing and treating malware in a virtualized environment performs diagnosis and treatment for malware according to configuration information necessary for diagnosing and treating malware provided from a device for providing malware diagnosis and treatment services.
  • a minimal resource based on an ID signature of the malware diagnosis and remediation service device for the hypervisor that performs, updates, or stores an ID signature. It may include a device for diagnosing and treating malware for a guest OS (guest operating system) that performs diagnosis and treatment for malware.
  • the apparatus for diagnosing and treating the malicious code for the hypervisor may include a test environment using an actual file I / O (input / output) for a test target for a file or a process installed in the hypervisor, and a test target ID signature. It can provide an environment.
  • the hypervisor malicious code diagnosis and treatment service device may provide a diagnosis result for a request for a malicious code of the inspection target ID signature of the malware diagnosis and treatment service device for the guest OS.
  • the apparatus for diagnosing and treating malware for the hypervisor may perform file I / O based inspection on an accessible resource installed in the hypervisor of the virtualization environment, or provide a check for existence of a specific inspection target. can do.
  • the existence check check may include a function of determining whether or not the ID signature of a specific file is malicious, or whether or not malicious to the target installed in a specific location of the virtualization environment.
  • a target installed at a specific location of the virtualization environment may include at least one of a file path, a directory path, and a window registry.
  • the apparatus for diagnosing and treating malware for hypervisor may selectively perform a cloud-based service or an update-based service according to a system setting and a network environment.
  • the apparatus for diagnosing and treating the malware for the hypervisor may provide a confirmation diagnosis function without platform limitation.
  • the apparatus for diagnosing and treating the malware for the hypervisor may periodically update the components necessary for diagnosing and treating the malware from the apparatus for providing the malware diagnosis and treatment service.
  • the device for diagnosis and treatment of malware for the guest OS has a minimum resource for determining whether a specific inspection target is malicious, and diagnoses and treats the malware for the hypervisor for a specific inspection technique in the process of diagnosis and treatment of malware.
  • the inspection technique of the service device can be utilized.
  • the malicious code diagnosis and treatment service device for the guest OS may provide a treatment function for a test target determined to be malicious.
  • the treatment function may include at least one function of deletion or restoration or infection removal.
  • Malware diagnosis and treatment service apparatus to provide a malware diagnosis and treatment techniques and periodically update the malware diagnosis and treatment information, and the malware diagnosis and treatment It is managed by an engine, and includes a signature database for hypervisors that stores ID signatures from devices for providing malware diagnosis and treatment services, and a network query function for cloud services, and diagnoses the malware in a virtualized environment. And a cloud network query device that provides a treatment technique or the ID signature to a plurality of malware diagnosis and treatment service apparatuses for a plurality of guest OSs.
  • the malicious code diagnosis and treatment engine may provide a confirmation diagnosis function for malicious code to the plurality of malicious code diagnosis and treatment service devices for the guest OS.
  • the ID signature may include any one of a value for identifying uniqueness of a specific file or path information of a specific target.
  • Malware diagnosis and treatment service device the information necessary for the diagnosis and treatment of malware updated from the malware diagnosis and treatment service device for hypervisors when the presence or absence of malicious files, Malware diagnosis and treatment engine that performs malware diagnosis and treatment using an ID signature, and the information necessary for diagnosis and treatment of the malware or the object of inspection by connecting the malware diagnosis and treatment service device for the hypervisor. It may include a cloud network query device for providing a signature to the malware diagnosis and treatment engine.
  • the malicious code diagnosis and treatment engine determines that the final diagnosis result is malicious when the malicious code diagnosis result or the malicious target identification result of the specific target ID signature of the hypervisor malicious code diagnosis and treatment service device is malicious. can do.
  • malware diagnosis and treatment service device for the guest OS may be able to check information without depending on the platform of the malware diagnosis and treatment service device for the hypervisor.
  • a method for diagnosing and treating malware in a virtualized environment may include: activating a malware diagnosis and treatment engine in a device for diagnosing and treating a guest OS according to a file inspection request; and The process of requesting the ID signature necessary for the diagnosis and treatment of the malware by the malware diagnosis and treatment service device for the OS to the malware diagnosis and treatment service device for the hypervisor, and the database of the malware diagnosis and treatment service device for the hypervisor Providing an updated ID signature to the malware diagnosis and treatment service device for the guest OS, and the malware diagnosis and treatment service for the guest OS according to the ID signature obtained from the malware diagnosis and treatment service device for the hypervisor.
  • the process of performing malware diagnosis on the device The method may include determining whether the malicious code is malicious according to the diagnosis result of the malicious code, and treating the malicious code when the diagnosis result of the malicious code is determined to be malicious.
  • the malicious code diagnosis may include self-diagnosis of the malware diagnosis and treatment device for the guest OS.
  • the method may further include a recording medium on which a program for executing a method for diagnosing and treating malware in the virtualization environment is recorded.
  • the cloud-based malware diagnostic and remediation service which consists of malware diagnostic and remediation devices for a single hypervisor and a minimal number of malware diagnostic and remediation devices for individual guest OSes, on a physical device in a virtualized environment, allows each guest OS to be used for hypervisors. Malware Diagnosis and Treatment The same malware diagnosis and treatment services as those installed individually can be guaranteed. In addition, even in complex situations such as virus infection, a full range of treatments are possible, enabling stable content and system security even in virtualized guest OSes.
  • FIG. 1 is a block diagram of a malware diagnosis and treatment service system in a virtualized environment that can be applied to an embodiment of the present invention
  • FIG. 2 is a detailed block diagram of an apparatus for providing malware diagnosis and treatment services in a virtualized environment according to an embodiment of the present invention
  • FIG. 3 is a detailed block diagram of an apparatus for diagnosing and treating malware in a virtualized environment according to an embodiment of the present invention, such as an apparatus for diagnosing and treating malware for a hypervisor;
  • FIG. 4 is a detailed block diagram of an apparatus for diagnosing and treating malware in a virtualized environment according to an embodiment of the present invention, such as an apparatus for diagnosing and treating malware for a guest OS;
  • FIG. 5 is a flowchart illustrating an exemplary process of diagnosing and treating malware in a virtualized environment according to an embodiment of the present invention.
  • Combinations of each block of the accompanying block diagram and each step of the flowchart may be performed by computer program instructions.
  • These computer program instructions may be mounted on a processor of a general purpose computer, special purpose computer, or other programmable data processing equipment such that instructions executed through the processor of the computer or other programmable data processing equipment may not be included in each block or flowchart of the block diagram. It will create means for performing the functions described in each step.
  • These computer program instructions may be stored in a computer usable or computer readable memory that can be directed to a computer or other programmable data processing equipment to implement functionality in a particular manner, and thus the computer usable or computer readable memory.
  • instructions stored in may produce an article of manufacture containing instruction means for performing the functions described in each block or flowchart of each step of the block diagram.
  • Computer program instructions may also be mounted on a computer or other programmable data processing equipment, such that a series of operating steps may be performed on the computer or other programmable data processing equipment to create a computer-implemented process to create a computer or other programmable data. Instructions that perform processing equipment may also provide steps for performing the functions described in each block of the block diagram and in each step of the flowchart.
  • each block or step may represent a portion of a module, segment or code that includes one or more executable instructions for executing a specified logical function (s).
  • a specified logical function s.
  • the functions noted in the blocks or steps may occur out of order.
  • the two blocks or steps shown in succession may in fact be executed substantially concurrently or the blocks or steps may sometimes be performed in the reverse order, depending on the functionality involved.
  • FIG. 1 is a block diagram of a system for diagnosing and treating malware in a virtualized environment according to a preferred embodiment of the present invention, wherein the apparatus for providing malware diagnosis and treatment services 10 and the network 20 are diagnosed with malware And a client device 100 connected to the treatment service providing device 10.
  • the apparatus for providing malicious code diagnosis and treatment service 10 may serve to provide the entire malicious code diagnosis and treatment service to the client device 100 described later. It is to be noted that the apparatus for providing malicious code diagnosis and treatment service 10 may provide the malware diagnosis and treatment service by using an update service method or by providing a cloud service method.
  • the network 20 may provide the malware diagnosis and treatment service providing apparatus 10 and the client device so that an update-based or cloud-based malware diagnosis and treatment service according to an embodiment of the present invention may be provided to the client device 100. 100) can be linked to each other.
  • Such a network 20 may include, for example, a broadband communication network such as the Internet, a wideband code division multiple access (WCDMA), a long term evolution (LTE), or a short-range communication network such as Wi-Fi. And need not be limited to wired or wireless.
  • a broadband communication network such as the Internet, a wideband code division multiple access (WCDMA), a long term evolution (LTE), or a short-range communication network such as Wi-Fi.
  • WCDMA wideband code division multiple access
  • LTE long term evolution
  • Wi-Fi short-range communication network
  • FIG. 2 is a diagram illustrating the malware diagnosis and treatment service providing apparatus 10 of FIG. 1 in more detail.
  • the malware diagnosis and treatment service server 12 for updating, a signature DB (signature database 14), and a cloud are illustrated in FIG. Service server 16 or the like.
  • Update malware diagnosis and treatment service server 12 manages signature DB 14, which is a database for update malware diagnosis and treatment, and updates based malware diagnosis and treatment service through network 20. It may be provided to the device 100.
  • the signature DB 14 may store an ID signature including a value for identifying a uniqueness of a specific file or path information about a specific item (for example, an item such as a file or a window registry).
  • the specific ID signature may be managed through the update malware diagnosis and treatment service server 12.
  • the cloud service server 16 may serve to provide a cloud-based malware diagnosis and treatment service to the client device 100.
  • the update-based service or cloud-based service of the malware diagnosis and treatment service providing apparatus 10 may be selectively provided according to the service environment of the client device 100.
  • the client device 100 is a device for providing a malware diagnosis and treatment service according to an embodiment of the present invention, and a device for diagnosing and treating a malware for a hypervisor 110. And a plurality of malware diagnosis and treatment service devices 120/1 to 120 / N for a guest OS, and the devices 110 and 120/1 to 120 / N may be used. Can be operated within a virtualized environment. Although one client device 100 is illustrated in FIG. 1, this is for convenience of description only, and a plurality of client devices connected to the malicious code diagnosis and treatment service providing device 10 through the network 20 may be implemented. It will be readily understood by those skilled in the art.
  • the client device 100 may receive information for a cloud-based or update-based malware diagnosis and treatment service provided from the malicious code diagnosis and treatment service providing device 10 through the network 20, and a virtualized environment.
  • the malware diagnosis and treatment device for the hypervisor and the malware diagnosis and treatment device for the guest OS are divided into two devices.
  • the malware diagnosis and treatment device for the guest OS includes the minimum resources required for the diagnosis and treatment of the malware, such as a vaccine.
  • By executing only the logic for processing for example, logic having a capacity of less than 5Mbytes
  • by performing the malware diagnosis and repair function, update function, ID signature storage function, etc. for the hypervisor malware diagnosis and treatment device In other words, it can be implemented to utilize the entire system resources efficiently.
  • the malware diagnosis and treatment service device 110 for the hypervisor is a scan environment using a real file I / O (input / output) for a scan target such as a file or a process installed in the hypervisor, and a scan environment using a scan target ID signature.
  • a malicious code diagnosis result using a specific ID of an inspection target object may be provided. That is, the hypervisor's malware diagnosis and treatment service apparatus 110 may identify the ID signature through the malware diagnosis and treatment service apparatus 120/1 to 120 / N for the guest OS.
  • the malicious code diagnosis and treatment service device 110 for the hypervisor may receive a configuration, update, ID signature, etc. necessary for the diagnosis and treatment of malware from the malware diagnosis and treatment service providing device 10.
  • the apparatus for diagnosing and treating malware for the hypervisor 110 performs file I / O based inspection on specific scan targets installed in the hypervisor, for example, an accessible resource such as a file or a process, or performs a specific scan. Confirmation testing for the presence of the subject may be provided.
  • the presence verification check is a function of determining whether a specific file ID signature is malicious or malicious to a target installed at a specific location of the system, for example, a file path or a directory path or a windows registry. It may include. That is, the hypervisor-based malware diagnosis and treatment service apparatus 110 may check whether the scan target is malicious even if the file (process) that is the scan target does not directly access the scan method and the actual scan target.
  • the malicious code diagnosis and treatment service device 110 for the hypervisor in addition to the configuration included in the malware diagnosis and treatment service device 120/1 to 120 / N for the guest OS, malicious to support the inspection of the target ID signature. It can contain the ID signature needed to diagnose the code.
  • the hypervisor-based malicious code diagnosis and treatment service device 110 may perform a scan using a cloud service according to a system setting and a network environment. At this time, not only the scan process using all the information of the malware diagnosis and treatment service already updated in the hypervisor, but also all the malware diagnosis and treatment services provided from the cloud-based external system or externally can be used. It can be checked for malignancy.
  • the malicious code diagnosis and treatment service device 110 for the hypervisor may provide a confirmation diagnosis function without limitation for platforms such as Windows and Linux. That is, if it is unidentifiable on the platform where the malware diagnosis and treatment service device 110 for the hypervisor is installed (for example, the malware diagnosis and treatment service device for the hypervisor is a Linux environment, and the malware diagnosis and Even if the treatment service device is a Windows environment, the malware diagnosis and treatment service device for the guest OS (120/1 to 120) is provided by providing a function to check whether a diagnosis target is malicious (for example, a Windows registry path). / N) can be implemented so that only minimal resources are used.
  • a diagnosis target for example, a Windows registry path
  • malware diagnosis and treatment service device 110 for the hypervisor is regularly updated with the components necessary for the diagnosis and treatment of malware from the malware diagnosis and treatment service providing device 10 to be able to diagnose the latest malware. do. Since the physical devices in a particular virtualization environment typically consist of a minimum number of hypervisors, each hypervisor has fewer resource constraints for malware diagnosis and remediation devices, so that the maximum number of malware diagnosis and remediation configurations can be updated. have.
  • malware diagnosis and treatment service devices 120/1 to 120 / N for guest OSs each have a resource for determining whether a specific scan target is malicious, for example, a minimum resource for scanning a target infected with malware.
  • the inspection technique of the malware diagnosis and treatment service device 110 for hypervisor may be used.
  • each of the guest OS diagnosis and treatment service devices 120/1 to 120 / N for the guest OS may perform a treatment service for a test target determined to be malicious.
  • Malware diagnosis and treatment service device for each guest OS 120/1 ⁇ 120 / N
  • Service can be performed (Delete, Restore, Infection Removal, etc.).
  • the scanning technique of the hypervisor's malicious code diagnosis and treatment service device 110 is used in the diagnosis process, the infected malware can be treated (deleted, restored, and removed) using its own malware diagnosis and treatment service. .
  • FIG. 3 is a diagram specifically illustrating the malware diagnosis and treatment service device 110 for hypervisor in the client device 100, and the malware diagnosis and treatment service device 120 for the malware OS diagnosis and treatment technique is illustrated in FIG. / 1 to 120 / N) and the hypervisor that stores the ID signature from the malware diagnosis and treatment engine 112, the malware diagnosis and treatment service providing apparatus 10 for updating new malware diagnosis and treatment information
  • the signature DB 114, a cloud network query device 116 having a network query function for receiving a cloud service, and the like may be included.
  • the malware diagnosis and treatment engine 112 manages the signature DB 114 for the hypervisor, and checks and diagnoses the malware with the malware diagnosis and treatment service device 120/1 to 120 / N for each guest OS. Can provide functionality.
  • the malicious code diagnosis and treatment service for the guest OS as well as the determination of maliciousness using an analysis process through access to a specific file.
  • a confirmation and diagnosis function for specific information requested from the devices 120/1 to 120 / N may also be provided. This confirmation and diagnosis function can be provided without any I / O for the actual file to be inspected and the registry.
  • the malware diagnosis and treatment engine 112 may continuously receive new malware diagnosis and treatment information from the malware diagnosis and treatment service providing device 10, and the malware diagnosis and treatment service device for the guest OS ( 120/1 to 120 / N), the update period may be short.
  • the signature DB 114 for the hypervisor may store a plurality of blacklist-based malware information composed of target ID signatures to ensure fast inquiry. Stored information may be selected by the malware diagnosis and treatment engine 112 as needed.
  • the cloud network query device 116 is a malware diagnosis and treatment service device for the guest OS using a signature of the target to be detected in a specific malware diagnosis process (120/1 to 120 / N). It can be provided as or look up ID signature information.
  • the relatively high resource usage malware diagnosis and treatment service device 110 for hypervisor is composed of simpler information than the malware diagnosis and treatment service device for guest OS (120/1 ⁇ 120 / N), so that the resource usage is high but fast. Through inquiry and efficient information management, it is possible to quickly respond to requests for confirmation of malicious targets of guest OS.
  • Malware diagnosis and treatment service device 1 (120/1) is a diagram showing in detail.
  • the malware diagnosis and treatment service device 1 120/1 for the guest OS may include a malware diagnosis and treatment engine 122, a cloud network query device 124, and the like.
  • the malware diagnosis and treatment engine 122 may use an updated malware diagnosis and treatment technique for the guest OS from the malware diagnosis and treatment service device 110 for hypervisors when checking whether a file is malicious.
  • malware diagnosis and treatment engine 122 may check the malicious state of the target ID signature of a specific diagnosis process by using the malware diagnosis and treatment technique for the hypervisor through the cloud network query device 124. .
  • the malware diagnosis and treatment engine 122 is a malicious result when the diagnosis result of the device or the malicious confirmation result for the specific target ID signature provided from the malware diagnosis and treatment service device for hypervisor 110 is malicious.
  • the final diagnosis can be judged as malicious.
  • the malware diagnosis and treatment engine 122 may receive new malware diagnosis and treatment information through the malware diagnosis and treatment service device 110 for hypervisor, and the malware diagnosis and treatment service device for the hypervisor ( Compared to 110, the update period may be relatively long.
  • the malicious code diagnosis and treatment engine 122 includes all the functions related to the treatment, self-treatment is possible even if information of the hypervisor's malicious code diagnosis and treatment apparatus 110 is used in the diagnosis process. In particular, even if it is found that the virus is infected, it is possible to restore (cure) the normal file.
  • the malware diagnosis and treatment service device 1 (120/1) for the guest OS may check information regardless of the platform on which the malware diagnosis and treatment service device 110 for the hypervisor is installed. For example, even if the installation environment of the malware diagnosis and treatment service device 110 for the hypervisor is a Linux platform, and the installation environment of the malware diagnosis and treatment service device 1 (120/1) for the guest OS is Windows, It can provide confirmation diagnostics for Windows files and the registry. In this case, the malware diagnosis and treatment service device 1 120/1 for the guest OS and the malware diagnosis and treatment service device 110 for the hypervisor may use a communication protocol that can be changed for a server address and a port.
  • FIG. 5 is a flowchart illustrating an example of a process for diagnosing and treating malware in a virtualized environment according to an embodiment of the present invention.
  • the diagnosis and treatment engine 122 may be activated (S100) (S102).
  • the malware diagnosis and treatment service device 1 (120/1) for the guest OS may request an ID signature for malware diagnosis and treatment to the malware diagnosis and treatment service device 110 for the hypervisor.
  • the malicious code diagnosis and treatment service device 110 for the visor may provide the updated ID signature to the malware diagnosis and treatment service device 1 (120/1) for the guest OS in the hypervisor signature DB 114 (S104). ).
  • the device for malware diagnosis and treatment service 1 (1/1) for the guest OS may use the ID signature of the malware diagnosis and treatment service device 110 for the hypervisor. This requires minimal resources and does not require frequent updates.
  • the guest OS malware diagnosis and treatment service device 1 (120/1) obtained such an ID signature from the malware diagnosis and treatment service apparatus for hypervisor 110 may perform malware diagnosis (S106).
  • the malicious code diagnosis may be a self-diagnosis of the malicious code diagnosis and treatment device 1 (120/1) for the corresponding guest OS, or the diagnosis of malicious status of the ID signature provided from the malware diagnosis and treatment service device 110 for the hypervisor. It may be.
  • Malware diagnosis and treatment service device 1 120/1) for the guest OS can determine whether the malicious code diagnosis results (S108), and if it is determined that the malicious code is cured (deleted, restored, Infection removal, etc.) (S110).
  • the malware diagnosis and treatment service method of the present invention may be embodied as a computer executable program on a computer readable recording medium.
  • the medium may include any kind of recording device that stores data that can be read by a computer system.
  • Such computer-readable recording media may include, for example, non-volatile memory such as ROM, flash memory, magnetic storage, and the like, volatile memory such as RAM, and the like.
  • the computer-executable code or program may be stored in a client device for malware diagnosis and treatment service according to an embodiment of the present invention or distributedly stored in a networked computer system.
  • the program capable of performing the malware diagnosis and treatment service according to an embodiment of the present invention has been described as being stored in a recording medium in the client terminal device, but this is merely illustrative for the description of the embodiment and the rights of the present invention. It does not limit the scope.
  • the above-mentioned information may be permanently stored in the virtualization device (or server) on the network, and the client device may include a cloud computing environment in which the above-mentioned information is temporarily stored.
  • a service for diagnosing and treating malware for a virtualized environment is implemented.
  • companies may restrict access to the outside, which can be applied without any problem.
  • a separate server device performs diagnosis and treatment for a specific file.
  • the malware diagnosis and treatment for the hypervisor is performed only by the specific ID of the target to be scanned.
  • the device may determine whether it is malicious, and even when infected with a virus in an individual terminal, treatment may be provided using a device for diagnosing and treating malware for the guest OS.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Quality & Reliability (AREA)
  • Computing Systems (AREA)
  • Debugging And Monitoring (AREA)

Abstract

본 발명은 가상화 환경에서의 악성코드 진단 및 치료 서비스 장치에 관한 것으로, 악성코드 진단 및 치료를 위한 서비스 정보에 따라 검사 대상 ID 시그니처(Identification signature)를 저장하는 하이퍼바이저(hypervisor)용 악성코드 진단 및 치료 서비스 장치와, 검사 대상 ID 시그니처를 이용하여 악성코드에 대한 진단 및 치료를 수행하는 게스트 OS(guest Operating System)용 악성코드 진단 및 치료 서비스 장치를 포함할 수 있다.

Description

악성코드 진단 및 치료 서비스 장치 및 방법
본 발명은 악성코드 진단 및 치료 서비스에 관한 것으로, 특히 클라이언트 장치의 가상화 환경을 하이퍼바이저(hypervisor) 환경과 게스트 OS(guest Operating System) 환경으로 구분하여 악성코드 진단 및 치료에 필요한 리소스를 효과적으로 공유하는 악성코드 진단 및 치료 서비스 장치 및 방법에 관한 것이다.
가상화 환경에서는 하나의 물리적 서버에 여러 개의 OS(Operating System)가 동시 설치되어 개별 동작될 수 있다. 이때, 개별 OS도 외부 네트워크를 통해 초기 설정상태와 다른 파일 유입 및 접근을 통한 바이러스 감염 또는 악성코드 유포로 인한 정보 유출 등이 가능하다.
이러한 환경에서는 주로 두 가지 형태의 악성코드 진단 및 치료 기법이 존재한다.
예를 들어, 모든 클라이언트 OS마다 악성코드 진단 및 치료 장치를 두고 진단 및 치료를 행하는 방식과, 하이퍼바이저(Hypervisor)에만 악성코드 진단 및 치료 장치를 설치하고 클라이언트 OS는 진단 및 치료를 하이퍼바이저에 요청하는 방식이 존재한다.
첫 번째 방식은 개별 클라이언트 OS마다 전체 악성코드 진단 및 치료 장치가 설치되기 때문에 시스템 리소스 점유율이 높게 나타난다. 즉, 각각의 클라이언트 OS에 악성코드 진단 및 치료 기능, 업데이트 기능, 악성코드 정보 저장 기능 등이 포함되기 때문에 전체 시스템 점유율이 높아질 수밖에 없다.
두 번째 방식은 검사 대상 파일이 클라이언트 OS에서 직접 제어되기 때문에 검사 및 치료 과정에서 검사 속도가 떨어지는 문제가 존재한다.
이에 본 발명의 실시예에서는, 클라이언트 장치의 가상화 환경을 하이퍼바이저(Hypervisor) 및 게스트 OS 환경으로 구분하여 악성코드 진단 및 치료에 필요한 전체 시스템 리소스를 효율적으로 활용할 수 있는 가상화 환경에서의 악성코드 진단 및 치료 서비스 장치 및 방법을 제공할 수 있다.
본 발명의 실시예에 따른 가상화 환경에서의 악성코드 진단 및 치료 서비스 장치는, 악성코드 진단 및 치료 서비스 제공 장치로부터 제공되는 악성코드 진단 및 치료에 필요한 구성 정보에 따라 악성코드에 대한 진단 및 치료를 수행하거나 업데이트를 수행하거나 ID 시그니처(Identification signature)를 저장하는 하이퍼바이저(hypervisor)용 악성코드 진단 및 치료 서비스 장치와, 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치의 ID 시그니처에 의거한 최소 리소스로 악성코드에 대한 진단 및 치료를 수행하는 게스트 OS(guest Operating System)용 악성코드 진단 및 치료 서비스 장치를 포함할 수 있다.
여기서, 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치는, 하이퍼바이저에 설치된 파일 또는 프로세스에 대한 검사 대상을 위한 실제 파일 I/O(Input / Output)를 이용한 검사 환경과 검사 대상 ID 시그니처를 이용한 검사 환경을 제공할 수 있다.
또한, 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치는, 상기 게스트 OS용 악성코드 진단 및 치료 서비스 장치의 상기 검사 대상 ID 시그니처의 악성코드 여부 요청에 대한 진단 결과를 제공할 수 있다.
또한, 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치는, 상기 가상화 환경의 하이퍼바이저에 설치된 접근 가능한 리소스에 대한 파일 I/O 기반의 검사를 수행하거나, 특정 검사 대상에 대한 존재여부 확인 검사를 제공할 수 있다.
또한, 상기 존재여부 확인 검사는, 특정 파일의 ID 시그니처의 악성 여부를 판단하거나, 상기 가상화 환경의 특정 위치에 설치된 대상에 대한 악성 여부를 판단하는 기능을 포함할 수 있다.
또한, 상기 가상화 환경의 특정 위치에 설치된 대상은, 파일 패스(path) 또는 디렉토리 패스 또는 윈도우 레지스트리 중 적어도 하나를 포함할 수 있다.
또한, 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치는, 시스템 설정 및 네트워크 환경에 따라 클라우드 기반의 서비스 또는 업데이트 기반의 서비스를 선택적으로 수행할 수 있다.
또한, 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치는, 플랫폼의 제약이 없는 확인 진단 기능을 제공할 수 있다.
또한, 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치는, 상기 악성코드 진단 및 치료 서비스 제공 장치로부터 상기 악성코드 진단 및 치료에 필요한 구성들을 정기적으로 업데이트 받을 수 있다.
또한, 상기 게스트 OS용 악성코드 진단 및 치료 서비스 장치는, 특정 검사 대상의 악성 여부 판단을 위한 최소 리소스를 가지며, 악성코드 진단 및 치료 과정의 특정 검사 기법에 대해서 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치의 검사 기법을 활용할 수 있다.
또한, 상기 게스트 OS용 악성코드 진단 및 치료 서비스 장치는, 악성으로 판단된 검사 대상에 대한 치료 기능을 제공할 수 있다.
또한, 상기 치료 기능은, 삭제 또는 복원 또는 감염제거 중 적어도 하나의 기능을 포함할 수 있다.
본 발명의 실시예에 따른 악성코드 진단 및 치료 서비스 장치는, 악성코드 진단 및 치료 기법을 제공하고 악성코드 진단 및 치료 정보를 주기적으로 업데이트하는 악성코드 진단 및 치료 엔진과, 상기 악성코드 진단 및 치료 엔진에 의해 관리되며, 악성코드 진단 및 치료 서비스 제공 장치로부터의 ID 시그니처가 저장되는 하이퍼바이저용 시그니처 데이터베이스와, 클라우드 서비스를 위한 네트워크 쿼리(query) 기능을 포함하며, 가상화 환경 내에서 상기 악성코드 진단 및 치료 기법 또는 상기 ID 시그니처를 다수의 게스트 OS용 악성코드 진단 및 치료 서비스 장치로 제공하는 클라우드 네트워크 쿼리 장치를 포함할 수 있다.
여기서, 상기 악성코드 진단 및 치료 엔진은, 상기 다수의 게스트 OS용 악성코드 진단 및 치료 서비스 장치로 악성코드에 대한 확인 진단 기능을 제공할 수 있다.
또한, 상기 ID 시그니처는, 특정 파일에 대한 유일성을 식별할 수 있는 값 또는 특정 대상의 패스 정보 중 어느 하나를 포함할 수 있다.
본 발명의 실시예에 따른 악성코드 진단 및 치료 서비스 장치는, 파일의 악성 유무를 검사할 때 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치로부터 업데이트된 악성코드 진단 및 치료에 필요한 정보, 또는 검사 대상의 ID 시그니처를 이용하여 악성코드 진단 및 치료를 수행하는 악성코드 진단 및 치료 엔진과, 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치를 연결하여 상기 악성코드 진단 및 치료에 필요한 정보, 또는 검사 대상의 ID 시그니처를 상기 악성코드 진단 및 치료 엔진에 제공하는 클라우드 네트워크 쿼리 장치를 포함할 수 있다.
여기서, 상기 악성코드 진단 및 치료 엔진은, 악성코드 진단 결과, 또는 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치의 특정 대상 ID 시그니처의 악성여부 확인 결과가 악성인 경우에 최종 진단 결과를 악성으로 판단할 수 있다.
또한, 상기 게스트 OS용 악성코드 진단 및 치료 서비스 장치는, 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치의 플랫폼에 종속되지 않고 정보 확인이 가능할 수 있다.
본 발명의 실시예에 따른 가상화 환경에서의 악성코드 진단 및 치료 서비스 방법은, 파일 검사 요청에 따라 게스트 OS용 악성코드 진단 및 치료 서비스 장치에서 악성코드 진단 및 치료 엔진을 활성화시키는 과정과, 상기 게스트 OS용 악성코드 진단 및 치료 서비스 장치가 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치로 악성코드 진단 및 치료에 필요한 ID 시그니처를 요청하는 과정과, 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치의 데이터베이스에 업데이트된 ID 시그니처를 상기 게스트 OS용 악성코드 진단 및 치료 서비스 장치로 제공하는 과정과, 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치로부터 획득한 ID 시그니처에 따라 상기 게스트 OS용 악성코드 진단 및 치료 서비스 장치에서 악성코드의 진단을 수행하는 과정과, 상기 악성코드의 진단 결과에 따라 악성 여부를 판단하는 과정과, 상기 악성코드의 진단 결과가 악성으로 판단된 경우에 상기 악성코드를 치료하는 과정을 포함할 수 있다.
여기서, 상기 악성코드 진단은, 상기 게스트 OS용 악성코드 진단 및 치료 장치의 자체 진단을 포함할 수 있다.
또한, 상기 가상화 환경에서의 악성코드 진단 및 치료 서비스 방법을 실행시키기 위한 프로그램이 기록된 기록매체를 포함할 수 있다.
본 발명에 의하면, 최소한의 자원 사용을 통해 가상화 환경의 수십 내지 수백 개의 개별 게스트 OS 각각에 대한 악성코드 진단 및 치료 서비스를 제공받을 수 있다. 가상화 환경의 물리적 장치에서 단일 하이퍼바이저용 악성코드 진단 및 치료 장치와 최소화된 개별 게스트 OS용 악성코드 진단 및 치료 장치로 구성된 클라우드 기반의 악성코드 진단 및 치료 서비스로 인해 각각의 게스트 OS는 하이퍼바이저용 악성코드 진단 및 치료 장치가 개별 설치된 것과 동일한 악성코드 진단 및 치료 서비스를 보장받을 수 있다. 또한, 바이러스 감염과 같이 복잡한 치료가 요구되는 상황에서도 모든 범위의 치료 과정이 가능하여 가상화 환경의 게스트 OS에서도 안정적인 컨텐츠 및 시스템 보안이 가능하다.
도 1은 본 발명의 실시예에 적용될 수 있는 가상화 환경에서의 악성코드 진단 및 치료 서비스 시스템에 대한 블록도,
도 2는 본 발명의 실시예에 따른 가상화 환경에서의 악성코드 진단 및 치료 서비스 제공 장치에 대한 상세 블록도,
도 3은 본 발명의 실시예에 따른 가상화 환경에서의 악성코드 진단 및 치료 서비스 장치, 예컨대 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치의 상세 블록도,
도 4는 본 발명의 실시예에 따른 가상화 환경에서의 악성코드 진단 및 치료 서비스 장치, 예컨대 게스트 OS용 악성코드 진단 및 치료 서비스 장치의 상세 블록도,
도 5는 본 발명의 실시예에 따른 가상화 환경에서의 악성코드 진단 및 치료 서비스 과정을 예시적으로 설명하는 흐름도.
본 발명의 이점 및 특징, 그리고 그것들을 달성하는 방법은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시예들을 참조하면 명확해질 것이다. 그러나 본 발명은 이하에서 개시되는 실시예들에 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 수 있으며, 단지 본 실시예들은 본 발명의 개시가 완전하도록 하고, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 발명의 범주를 완전하게 알려주기 위해 제공되는 것이며, 본 발명은 청구항의 범주에 의해 정의될 뿐이다. 명세서 전체에 걸쳐 동일 도면부호는 동일 구성 요소를 지칭한다.
본 발명의 실시예들을 설명함에 있어서 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략할 것이다. 그리고 후술되는 용어들은 본 발명의 실시예에서의 기능을 고려하여 정의된 용어들로서 이는 사용자, 운용자의 의도 또는 관례 등에 따라 달라질 수 있다. 그러므로 그 정의는 본 명세서 전반에 걸친 내용을 토대로 내려져야 할 것이다.
첨부된 블록도의 각 블록과 흐름도의 각 단계의 조합들은 컴퓨터 프로그램 인스트럭션들에 의해 수행될 수도 있다. 이들 컴퓨터 프로그램 인스트럭션들은 범용 컴퓨터, 특수용 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비의 프로세서에 탑재될 수 있으므로, 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비의 프로세서를 통해 수행되는 그 인스트럭션들이 블록도의 각 블록 또는 흐름도의 각 단계에서 설명된 기능들을 수행하는 수단을 생성하게 된다. 이들 컴퓨터 프로그램 인스트럭션들은 특정 방식으로 기능을 구현하기 위해 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비를 지향할 수 있는 컴퓨터 이용 가능 또는 컴퓨터 판독 가능 메모리에 저장되는 것도 가능하므로, 그 컴퓨터 이용가능 또는 컴퓨터 판독 가능 메모리에 저장된 인스트럭션들은 블록도의 각 블록 또는 흐름도 각 단계에서 설명된 기능을 수행하는 인스트럭션 수단을 내포하는 제조 품목을 생산하는 것도 가능하다. 컴퓨터 프로그램 인스트럭션들은 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비 상에 탑재되는 것도 가능하므로, 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비 상에서 일련의 동작 단계들이 수행되어 컴퓨터로 실행되는 프로세스를 생성해서 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비를 수행하는 인스트럭션들은 블록도의 각 블록 및 흐름도의 각 단계에서 설명된 기능들을 실행하기 위한 단계들을 제공하는 것도 가능하다.
또한, 각 블록 또는 각 단계는 특정된 논리적 기능(들)을 실행하기 위한 하나 이상의 실행 가능한 인스트럭션들을 포함하는 모듈, 세그먼트 또는 코드의 일부를 나타낼 수 있다. 또한, 몇 가지 대체 실시예들에서는 블록들 또는 단계들에서 언급된 기능들이 순서를 벗어나서 발생하는 것도 가능함을 주목해야 한다. 예컨대, 잇달아 도시되어 있는 두 개의 블록들 또는 단계들은 사실 실질적으로 동시에 수행되는 것도 가능하고 또는 그 블록들 또는 단계들이 때때로 해당하는 기능에 따라 역순으로 수행되는 것도 가능하다.
이하, 본 발명의 실시예에 대해 첨부된 도면을 참조하여 상세히 설명하기로 한다.
도 1은 본 발명의 바람직한 실시예에 따른 가상화 환경에서의 악성코드 진단 및 치료 서비스 시스템에 대한 블록도로서, 악성코드 진단 및 치료 서비스 제공 장치(10), 및 네트워크(20)를 통하여 악성코드 진단 및 치료 서비스 제공 장치(10)에 연결된 클라이언트 장치(100) 등을 포함할 수 있다.
도 1에 도시한 바와 같이, 악성코드 진단 및 치료 서비스 제공 장치(10)는 전체 악성코드 진단 및 치료 서비스를 후술하는 클라이언트 장치(100)로 제공하는 역할을 할 수 있다. 이러한 악성코드 진단 및 치료 서비스 제공 장치(10)는 악성코드 진단 및 치료 서비스를 업데이트(update) 서비스 방식으로 제공하거나, 클라우드(cloud) 서비스 방식으로 제공할 수도 있음을 주지할 필요가 있다.
네트워크(20)는 본 발명의 실시예에 따른 업데이트 기반 또는 클라우드 기반의 악성코드 진단 및 치료 서비스가 클라이언트 장치(100)로 제공될 수 있도록 악성코드 진단 및 치료 서비스 제공 장치(10)와 클라이언트 장치(100)를 서로 연결시키는 역할을 할 수 있다.
이러한 네트워크(20)는, 예를 들어 인터넷(Internet), WCDMA(Wideband Code Division Multiple Access), LTE(Long Term Evolution) 등의 광대역 통신 네트워크, 또는 와이파이(WiFi) 등의 근거리 통신 네트워크를 포함할 수 있으며, 유선 또는 무선에 국한될 필요는 없다.
도 2는 도 1의 악성코드 진단 및 치료 서비스 제공 장치(10)를 보다 구체적으로 도시한 도면으로서, 업데이트용 악성코드 진단 및 치료 서비스 서버(12), 시그니처 DB(signature DataBase)(14), 클라우드 서비스 서버(16) 등을 포함할 수 있다.
업데이트용 악성코드 진단 및 치료 서비스 서버(12)는 업데이트용 악성코드 진단 및 치료를 위한 데이터베이스인 시그니처 DB(14)를 관리하며, 업데이트 기반의 악성코드 진단 및 치료 서비스를 네트워크(20)를 통해 클라이언트 장치(100)로 제공할 수 있다.
시그니처 DB(14)에는 특정 파일에 대한 유일성을 식별할 수 있는 값 또는 특정 항목(예를 들어, 파일, 윈도 레지스트리 등의 항목)에 대한 패스(path) 정보 등을 포함하는 ID 시그니처가 저장될 수 있으며, 특정 ID 시그니처는 업데이트용 악성코드 진단 및 치료 서비스 서버(12)를 통해 관리될 수 있다.
클라우드 서비스 서버(16)는 클라우드 기반의 악성코드 진단 및 치료 서비스를 클라이언트 장치(100)에게 제공하는 역할을 할 수 있다.
이와 같은 악성코드 진단 및 치료 서비스 제공 장치(10)의 업데이트 기반 서비스 또는 클라우드 기반 서비스는 클라이언트 장치(100)의 서비스 환경에 따라 선택적으로 제공될 수 있을 것이다.
다시 도 1을 참조하면, 클라이언트 장치(100)는 본 발명의 실시예에 따라 악성코드 진단 및 치료 서비스를 제공하기 위한 장치로서, 하이퍼바이저(Hypervisor)용 악성코드 진단 및 치료 서비스 장치(110)와, 다수의 게스트 OS(guest Operating System)용 악성코드 진단 및 치료 서비스 장치(120/1~120/N) 등을 포함할 수 있으며, 이들 장치들(110)(120/1~120/N)은 가상화 환경 내에서 동작될 수 있다. 도 1에는 하나의 클라이언트 장치(100)를 도시하였으나, 이는 설명의 편의를 위한 것일 뿐, 네트워크(20)를 통해 악성코드 진단 및 치료 서비스 제공 장치(10)와 연결되는 클라이언트 장치는 다수 개 구현될 수 있음을 당업자라면 용이하게 이해할 수 있을 것이다.
이러한 클라이언트 장치(100)는 네트워크(20)를 통해 악성코드 진단 및 치료 서비스 제공 장치(10)로부터 제공되는 클라우드 기반 또는 업데이트 기반의 악성코드 진단 및 치료 서비스를 위한 정보를 제공받을 수 있으며, 가상화 환경을 위한 하이퍼바이저용 악성코드 진단 및 치료 장치와 게스트 OS용 악성코드 진단 및 치료 장치로 구분하고, 각각의 게스트 OS용 악성코드 진단 및 치료 장치에는 악성코드 진단 및 치료에 필요한 최소한의 리소스, 예컨대 백신 처리를 위한 로직(예를 들어, 5Mbyte 미만의 용량을 갖는 로직)만을 실행시키며, 하이퍼바이저용 악성코드 진단 및 치료 장치에는 악성코드 진단 및 치료 기능, 업데이트 기능, ID 시그니처 저장 기능 등을 수행하게 함으로써, 전체 시스템 리소스를 효율적으로 활용하도록 구현할 수 있다.
하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)는 하이퍼바이저에 설치된 파일, 프로세스 등의 검사 대상을 위한 실제 파일 I/O(Input / Output)를 이용한 검사 환경과 검사 대상 ID 시그니처를 이용한 검사 환경을 제공할 수 있으며, 게스트 OS용 악성코드 진단 및 치료 서비스 장치(120/1~120/N)로부터의 요청에 대응하여 특정 검사 대상 ID 시그니처를 이용한 악성코드 진단 결과를 제공할 수 있다. 즉, 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)는 게스트 OS용 악성코드 진단 및 치료 서비스 장치(120/1~120/N)를 통해 ID 시그니처를 확인시킬 수 있다. 또한, 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)는 악성코드 진단 및 치료 서비스 제공 장치(10)로부터 악성코드 진단 및 치료에 필요한 구성, 업데이트, ID 시그니처 등을 제공받을 수 있다.
또한, 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)는 하이퍼바이저에 설치된 특정 검사 대상들, 예를 들어 파일, 프로세스 등 접근 가능한 리소스에 대한 파일 I/O 기반의 검사를 수행하거나, 특정 검사 대상에 대한 존재여부 확인 검사를 제공할 수 있다. 여기서, 존재여부 확인 검사는, 특정 파일 ID 시그니처의 악성 여부를 판단하거나, 시스템의 특정 위치에 설치된 대상, 예를 들어 파일 패스(path) 또는 디렉토리 패스 또는 윈도우 레지스트리 등에 대한 악성 여부를 판단하는 기능을 포함할 수 있다. 즉, 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)는 검사 대상인 파일(프로세스)이 존재할 경우에 검사 방식과 실제 검사 대상에 직접 접근하지 않더라도 해당 검사 대상의 악성 여부를 확인할 수 있다. 이때, 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)는 게스트 OS용 악성코드 진단 및 치료 서비스 장치(120/1~120/N)에 포함된 구성 외에도 검사 대상 ID 시그니처 검사를 지원하기 위한 악성코드 진단에 필요한 ID 시그니처를 포함할 수 있다.
또한, 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)는 시스템 설정 및 네트워크 환경에 따라 클라우드 서비스를 활용한 검사를 진행할 수 있다. 이때, 진단 과정에서 하이퍼바이저에 이미 업데이트된 악성코드 진단 및 치료 서비스의 모든 정보를 이용한 검사 진행뿐만 아니라, 클라우드 방식의 외부 시스템 또는 외부에서 제공되는 악성코드 진단 및 치료 서비스를 모두 사용하여 특정 대상의 악성 여부를 검사할 수 있다.
또한, 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)는 윈도우, 리눅스 등과 같은 플랫폼에 대한 제약이 없는 확인 진단 기능을 제공할 수 있다. 즉, 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)가 설치되는 플랫폼에서 확인 불가능한 경우(예를 들어, 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치는 리눅스 환경이고, 게스트 OS용 악성코드 진단 및 치료 서비스 장치는 윈도우 환경인 경우)에도 진단 대상(예를 들어, 윈도우 레지스트리 패스(path))에 대한 악성 유무 확인 기능을 제공함으로써, 게스트 OS용 악성코드 진단 및 치료 서비스 장치(120/1~120/N)에는 최소한의 리소스만 사용되도록 구현할 수 있다.
또한, 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)는 악성코드 진단 및 치료 서비스 제공 장치(10)로부터 악성코드 진단 및 치료에 필요한 구성들을 정기적으로 업데이트 받아 최신의 악성코드도 진단할 수 있게 한다. 특정 가상화 환경의 물리적 장치는 일반적으로 최소 개수의 하이퍼바이저로 구성되기 때문에 각각의 하이퍼바이저에는 악성코드 진단 및 치료 장치가 사용하는 리소스 제약이 적은 상태이므로 최대한의 악성코드 진단 및 치료 구성을 업데이트 받을 수 있다.
다수의 게스트 OS용 악성코드 진단 및 치료 서비스 장치(120/1~120/N)는 특정 검사 대상의 악성 여부 판단을 위한 리소스, 예컨대 악성코드로 감염된 대상의 검사를 위한 최소한의 리소스를 각각 가지고 있으며, 악성코드 진단 및 치료 과정에서 일부 검사 기법에 대해서는 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)의 검사 기법을 활용할 수도 있다.
또한, 각각의 게스트 OS용 악성코드 진단 및 치료 서비스 장치(120/1~120/N)는 악성으로 판단된 검사 대상에 대한 치료 서비스를 수행할 수 있다. 각각의 게스트 OS용 악성코드 진단 및 치료 서비스 장치(120/1~120/N)는 복합적 진단 및 치료를 필요로 하는 악성코드에 대한 모든 정보를 가지고 있기 때문에, 자체 악성코드 진단 및 치료 서비스만으로 치료(삭제, 복원, 감염제거 등) 서비스를 수행할 수 있다. 진단 과정에서 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)의 검사 기법을 사용한 경우라도 자체 악성코드 진단 및 치료 서비스를 활용하여 감염된 악성코드의 치료(삭제, 복원, 감염제거 등)가 가능하다.
도 3은 이러한 클라이언트 장치(100)에서 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)를 구체적으로 도시한 도면으로서, 악성코드 진단 및 치료 기법을 게스트 OS용 악성코드 진단 및 치료 서비스 장치(120/1~120/N)로 제공하고 새로운 악성코드 진단 및 치료 정보를 업데이트하는 악성코드 진단 및 치료 엔진(112), 악성코드 진단 및 치료 서비스 제공 장치(10)로부터의 ID 시그니처가 저장되는 하이퍼바이저용 시그니처 DB(114), 클라우드 서비스를 제공받기 위한 네트워크 쿼리(query) 기능을 갖는 클라우드 네트워크 쿼리 장치(116) 등을 포함할 수 있다.
악성코드 진단 및 치료 엔진(112)은 하이퍼바이저용 시그니처 DB(114)를 관리하며, 각각의 게스트 OS용 악성코드 진단 및 치료 서비스 장치(120/1~120/N)로 악성코드에 대한 확인 진단 기능을 제공할 수 있다.
즉, 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)에서 제공하는 진단 및 치료 과정에서 실제 특정 파일에 대한 접근을 통한 분석 과정을 이용한 악성 여부 판단뿐 아니라, 게스트 OS용 악성코드 진단 및 치료 서비스 장치(120/1~120/N)로부터 요청되는 특정 정보에 대한 확인 진단 기능도 제공할 수 있다. 이러한 확인 진단 기능은 실제 검사 대상 파일, 레지스트리 등에 대한 I/O 없이도 제공될 수 있다.
또한, 악성코드 진단 및 치료 엔진(112)은 악성코드 진단 및 치료 서비스 제공 장치(10)로부터 새로운 악성코드 진단 및 치료 정보를 지속적으로 업데이트 받을 수 있는데, 게스트 OS용 악성코드 진단 및 치료 서비스 장치(120/1~120/N)에 비해 업데이트 주기가 짧을 수 있다.
하이퍼바이저용 시그니처 DB(114)에는 게스트 OS용 악성코드 진단 및 치료에 필요한 진단 및 치료 정보 외에도, 빠른 조회를 보장하는 대상 ID 시그니처로 구성된 다수의 블랙 리스트 기반의 악성코드 정보가 저장될 수 있으며, 저장된 정보들은 필요에 따라 악성코드 진단 및 치료 엔진(112)에 의해 취사 선택될 수 있다.
클라우드 네트워크 쿼리 장치(116)는 특정 악성코드 진단 과정에서 검사 대상의 ID 시그니처를 이용한 하이퍼바이저용 악성코드 진단 및 치료 기법을 게스트 OS용 악성코드 진단 및 치료 서비스 장치(120/1~120/N)로 제공하거나, ID 시그니처 정보를 조회하는 역할을 할 수 있다.
상대적으로 리소스 사용이 높은 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)는 게스트 OS용 악성코드 진단 및 치료 서비스 장치(120/1~120/N)보다 단순한 정보로 구성되어 리소스 사용은 높지만 빠른 조회 및 효율적인 정보 관리를 통해 게스트 OS의 특정 대상 악성 여부 확인 요청에 신속하게 대응할 수 있다.
도 4는 클라이언트 장치(100)의 다수의 게스트 OS용 악성코드 진단 및 치료 서비스 장치(120/1~120/N)에서 임의의 게스트 OS용 악성코드 진단 및 치료 서비스 장치, 예를 들어 게스트 OS용 악성코드 진단 및 치료 서비스 장치1(120/1)을 구체적으로 나타낸 도면이다.
도 4에도 도시한 바와 같이, 게스트 OS용 악성코드 진단 및 치료 서비스 장치1(120/1)은 악성코드 진단 및 치료 엔진(122), 클라우드 네트워크 쿼리 장치(124) 등을 포함할 수 있다.
악성코드 진단 및 치료 엔진(122)은 파일의 악성 유무를 검사할 때 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)로부터 업데이트된 게스트 OS용 악성코드 진단 및 치료 기법을 이용할 수 있다.
또한, 악성코드 진단 및 치료 엔진(122)은 클라우드 네트워크 쿼리 장치(124)를 통해 하이퍼바이저용 악성코드 진단 및 치료 기법을 이용하여 특정 진단 과정의 검사 대상 ID 시그니처에 대한 악성 여부를 검사할 수 있다.
구체적으로, 악성코드 진단 및 치료 엔진(122)은 해당 장치의 진단 결과 또는 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)로부터 제공되는 특정 대상 ID 시그니처에 대한 악성여부 확인 결과가 악성인 경우에 최종 진단 결과를 악성으로 판단할 수 있다.
이러한 악성코드 진단 및 치료 엔진(122)은 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)를 통해 새로운 악성코드 진단 및 치료 정보를 업데이트 받을 수 있는데, 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)와 비교하여 상대적으로 업데이트 주기가 길 수 있다.
이때, 악성코드 진단 및 치료 엔진(122)은 치료와 관련된 모든 기능을 포함하고 있으므로 진단 과정에서 하이퍼바이저용 악성코드 진단 및 치료 장치(110)의 정보를 이용했더라도 자체 치료가 가능하다. 특히, 바이러스 감염된 것으로 판명된 경우에도 정상파일로의 복원(치료)이 가능하다.
게스트 OS용 악성코드 진단 및 치료 서비스 장치1(120/1)은, 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)가 설치된 플랫폼과 상관없이 정보 확인이 가능하다. 예를 들어, 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)의 설치환경은 리눅스 플랫폼이고, 게스트 OS용 악성코드 진단 및 치료 서비스 장치1(120/1)의 설치환경은 윈도우인 경우에도, 윈도우 파일 및 레지스트리에 대한 확인 진단을 제공할 수 있다. 이때, 게스트 OS용 악성코드 진단 및 치료 서비스 장치1(120/1)과 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)는 서버 주소와 포트에 대해 변경이 가능한 통신 프로토콜을 사용할 수 있다.
도 5는 본 발명의 실시예에 따른 가상화 환경에서의 악성코드 진단 및 치료 서비스 과정을 예시적으로 설명하는 흐름도이다.
도 5에 도시한 바와 같이, 임의의 게스트 OS용 악성코드 진단 및 치료 서비스 장치, 예를 들어 게스트 OS용 악성코드 진단 및 치료 서비스 장치1(120/1)에서 파일 검사 요청이 발생되면, 악성코드 진단 및 치료 엔진(122)을 활성화시킬 수 있다(S100)(S102).
이때, 게스트 OS용 악성코드 진단 및 치료 서비스 장치1(120/1)은 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)로 악성코드 진단 및 치료에 필요한 ID 시그니처를 요청할 수 있으며, 이에 따라 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)는 하이퍼바이저용 시그니처 DB(114)에 업데이트된 ID 시그니처를 게스트 OS용 악성코드 진단 및 치료 서비스 장치1(120/1)로 제공할 수 있다(S104).
즉, 게스트 OS용 악성코드 진단 및 치료 서비스 장치1(120/1)는 악성코드 진단 및 치료에 필요한 전체 파일이 없더라도 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)의 ID 시그니처를 이용하면 되기 때문에, 최소한의 리소스만 필요하며 빈번하게 업데이트를 수행하지 않아도 된다.
이와 같은 ID 시그니처를 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)로부터 획득한 게스트 OS용 악성코드 진단 및 치료 서비스 장치1(120/1)은 악성코드 진단을 수행할 수 있다(S106). 이때의 악성코드 진단은 해당 게스트 OS용 악성코드 진단 및 치료 장치1(120/1)의 자체 진단일 수도 있고, 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치(110)로부터 제공된 ID 시그니처의 악성여부 진단일 수도 있다.
게스트 OS용 악성코드 진단 및 치료 서비스 장치1(120/1)은 이러한 악성코드 진단 결과에 악성 여부를 판단할 수 있으며(S108), 악성으로 판단된 경우에는 해당 악성코드를 치료(삭제, 복원, 감염제거 등)할 수 있다(S110).
한편, 상술한 바와 같이 다양한 실시예를 제시하고 있는 본 발명의 악성코드 진단 및 치료 서비스 방법은, 컴퓨터로 읽을 수 있는 기록 매체에 컴퓨터가 실행할 수 있는 프로그램으로 구현할 수 있는데, 컴퓨터가 읽을 수 있는 기록매체는 컴퓨터 시스템에 의해 읽혀질 수 있는 데이터가 저장되는 모든 종류의 기록 장치를 포함할 수 있다. 이러한 컴퓨터가 읽을 수 있는 기록매체는, 예를 들어 ROM, 플래시 메모리, 자기 기억 장치 등과 같은 비휘발성 메모리(non-volatile memory)와, RAM과 같은 휘발성 메모리(volatile memory) 등을 포함할 수 있으며, 컴퓨터로 실행할 수 있는 코드 또는 프로그램은 본 발명의 실시예에 따른 악성코드 진단 및 치료 서비스를 위한 클라이언트 장치 내에 저장되거나, 네트워크로 연결된 컴퓨터 시스템에 분산 저장될 수 있을 것이다.
또한, 본 발명의 실시예에 따른 악성코드 진단 및 치료 서비스를 수행할 수 있는 프로그램은 클라이언트 단말 장치 내의 기록매체에 저장되는 것으로 설명하였으나, 이는 실시예의 설명을 위해 예시한 것일 뿐, 본 발명의 권리범위를 한정하는 것은 아니다. 예컨대, 네트워크 상의 가상화 장치(또는 서버)에 상술한 정보들이 영구적으로 저장되고, 클라이언트 장치에는 상술한 정보들이 일시적으로 보관되는 클라우드 컴퓨팅(cloud computing) 환경을 포함할 수 있을 것이다. 즉, 상술한 정보들을 네트워크 상의 가상화 장치에 저장하고, 이 정보들을 클라이언트 장치를 통해 언제 어디서든 이용할 수도 있음을 주지할 필요가 있다.
이상 설명한 바와 같이, 본 발명의 실시예에 의하면, 가상화 환경을 위한 악성코드 진단 및 치료를 위한 서비스를 구현하였다. 특히, 기업의 경우 외부로의 접근을 제한하는 경우가 있는데, 이 경우도 문제없이 적용 가능하다. 별도의 장치가 필요 없이 백신 설치만으로 가능하며 중/소 규모의 기업의 서버와 다수의 게스트 OS와 가상장치로 구성된 가상화 구조에 적용될 수 있다. 또한, 가용 리소스가 부족한 전용장비를 위한 악성코드 진단 및 치료 시스템이 설치되는 경우에 악성코드 진단 및 치료 과정의 리소스 사용 부하로 인해 별도의 서버 장치에서 특정 파일에 대한 진단 및 치료를 수행하고 있는데, 기존에는 사전에 검사할 파일을 게스트 OS에서 하이퍼바이저로 전달하는 과정 등이 필요하지만, 본 발명에서는 클라이언트에서 전체 파일을 서버로 업로드하지 못한 경우에도 특정 검사 대상 ID 시그니처 만으로 하이퍼바이저용 악성코드 진단 치료 장치를 이용하여 악성 여부를 판단할 수 있고, 개별 단말기에서 바이러스에 감염된 경우에도 게스트 OS용 악성코드 진단 및 치료 장치를 이용하여 치료를 제공받을 수 있다.

Claims (18)

  1. 가상화 환경에서의 악성코드 진단 및 치료 서비스 장치에 있어서,
    악성코드 진단 및 치료를 위한 서비스 정보에 따라 검사 대상 ID 시그니처(Identification signature)를 저장하는 하이퍼바이저(hypervisor)용 악성코드 진단 및 치료 서비스 장치와,
    상기 검사 대상 ID 시그니처를 이용하여 악성코드에 대한 진단 및 치료를 수행하는 게스트 OS(guest Operating System)용 악성코드 진단 및 치료 서비스 장치를 포함하는
    악성코드 진단 및 치료 서비스 장치.
  2. 제 1 항에 있어서,
    상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치는, 하이퍼바이저에 설치된 검사 대상을 위한 실제 파일 I/O(Input / Output)를 이용한 검사 환경과 상기 검사 대상 ID 시그니처를 이용한 검사 환경을 제공하는
    악성코드 진단 및 치료 서비스 장치.
  3. 제 2 항에 있어서,
    상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치는, 상기 게스트 OS용 악성코드 진단 및 치료 서비스 장치로부터의 요청에 대응하여 상기 검사 대상 ID 시그니처를 이용한 악성코드 진단 결과를 제공하는
    악성코드 진단 및 치료 서비스 장치.
  4. 제 1 항에 있어서,
    상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치는, 상기 가상화 환경의 하이퍼바이저에 설치된 접근 가능한 리소스에 대한 파일 I/O 기반의 검사를 수행하거나, 특정 검사 대상에 대한 존재여부 확인 검사를 선택적으로 수행하는
    악성코드 진단 및 치료 서비스 장치.
  5. 제 4 항에 있어서,
    상기 존재여부 확인 검사는, 상기 검사 대상 ID 시그니처의 악성 여부를 판단하거나, 상기 가상화 환경의 특정 위치에 설치된 검사 대상에 대한 악성 여부를 판단하는
    악성코드 진단 및 치료 서비스 장치.
  6. 제 5 항에 있어서,
    상기 가상화 환경의 특정 위치에 설치된 대상은, 파일 패스(path) 또는 디렉토리 패스 또는 윈도우 레지스트리 중 적어도 하나를 포함하는
    악성코드 진단 및 치료 서비스 장치.
  7. 제 1 항에 있어서,
    상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치는, 시스템 설정 및 네트워크 환경에 따라 클라우드 기반의 서비스 또는 업데이트 기반의 서비스를 선택적으로 수행하는
    악성코드 진단 및 치료 서비스 장치.
  8. 제 1 항에 있어서,
    상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치는, 플랫폼의 제약이 없는 확인 진단 기능을 제공하는
    악성코드 진단 및 치료 서비스 장치.
  9. 제 1 항에 있어서,
    상기 게스트 OS용 악성코드 진단 및 치료 서비스 장치는, 특정 검사 대상의 악성 여부 판단을 위한 최소 리소스를 가지며, 악성코드 진단 및 치료 시 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치의 검사 기법을 이용하는
    악성코드 진단 및 치료 서비스 장치.
  10. 제 1 항에 있어서,
    상기 게스트 OS용 악성코드 진단 및 치료 서비스 장치는 악성으로 판단된 검사 대상에 대한 치료 기능을 제공하는
    악성코드 진단 및 치료 서비스 장치.
  11. 악성코드 진단 및 치료 기법을 포함하고 악성코드 진단 및 치료 정보를 업데이트하는 악성코드 진단 및 치료 엔진과,
    검사 대상 ID 시그니처가 저장되는 하이퍼바이저용 시그니처 데이터베이스와,
    클라우드 서비스를 위한 네트워크 쿼리(query) 기능을 포함하며, 가상화 환경 내에서 상기 악성코드 진단 및 치료 기법 또는 상기 검사 대상 ID 시그니처를 게스트 OS용 악성코드 진단 및 치료 서비스 장치로 제공하는 클라우드 네트워크 쿼리 장치를 포함하는
    하이퍼바이저용 악성코드 진단 및 치료 서비스 장치.
  12. 제 11 항에 있어서,
    상기 악성코드 진단 및 치료 엔진은, 상기 게스트 OS용 악성코드 진단 및 치료 서비스 장치로부터 요청되는 특정 정보에 대한 확인 진단 기능을 상기 게스트 OS용 악성코드 진단 및 치료 서비스 장치로 제공하는
    하이퍼바이저용 악성코드 진단 및 치료 서비스 장치.
  13. 제 11 항에 있어서,
    상기 ID 시그니처는, 특정 파일에 대한 유일성을 식별할 수 있는 값 또는 특정 대상의 패스 정보 중 어느 하나를 포함하는
    하이퍼바이저용 악성코드 진단 및 치료 서비스 장치.
  14. 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치로부터 업데이트되는 악성코드 진단 및 치료에 필요한 정보, 또는 검사 대상의 ID 시그니처를 이용하여 악성코드 진단 및 치료를 수행하는 악성코드 진단 및 치료 엔진과,
    상기 악성코드 진단 및 치료에 필요한 정보, 또는 검사 대상의 ID 시그니처를 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치를 통해 상기 악성코드 진단 및 치료 엔진에 제공하는 클라우드 네트워크 쿼리 장치를 포함하는
    게스트 OS용 악성코드 진단 및 치료 서비스 장치.
  15. 제 14 항에 있어서,
    상기 악성코드 진단 및 치료 엔진은, 악성코드 진단 결과, 또는 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치의 특정 대상 ID 시그니처의 악성여부 확인 결과가 악성인 경우에 최종 진단 결과를 악성으로 판단하는
    게스트 OS용 악성코드 진단 및 치료 서비스 장치.
  16. 제 14 항에 있어서,
    상기 게스트 OS용 악성코드 진단 및 치료 서비스 장치는, 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치의 플랫폼에 종속되지 않고 정보 확인이 가능한
    게스트 OS용 악성코드 진단 및 치료 서비스 장치.
  17. 게스트 OS용 악성코드 진단 및 치료 서비스 장치와, 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치를 포함하는 가상화 환경에서의 악성코드 진단 및 치료 서비스 방법에 있어서,
    파일 검사 요청에 따라 상기 게스트 OS용 악성코드 진단 및 치료 서비스 장치에서 악성코드 진단 및 치료 엔진을 활성화시키는 과정과,
    상기 게스트 OS용 악성코드 진단 및 치료 서비스 장치가 상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치로 악성코드 진단 및 치료에 필요한 ID 시그니처를 요청하는 과정과,
    상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치에서 업데이트된 ID 시그니처를 상기 게스트 OS용 악성코드 진단 및 치료 서비스 장치로 제공하는 과정과,
    상기 하이퍼바이저용 악성코드 진단 및 치료 서비스 장치로부터 제공받은 ID 시그니처에 따라 상기 게스트 OS용 악성코드 진단 및 치료 서비스 장치에서 악성코드의 진단을 수행하는 과정과,
    상기 악성코드의 진단 결과에 따라 악성 여부를 판단하는 과정과,
    상기 악성코드의 진단 결과가 악성으로 판단된 경우에 상기 악성코드를 치료하는 과정을 포함하는
    가상화 환경에서의 악성코드 진단 및 치료 서비스 방법.
  18. 제 17 항에 있어서,
    상기 악성코드 진단은, 상기 게스트 OS용 악성코드 진단 및 치료 장치의 자체 진단을 포함하는
    가상화 환경에서의 악성코드 진단 및 치료 서비스 방법.
PCT/KR2012/008935 2011-11-22 2012-10-29 악성코드 진단 및 치료 서비스 장치 및 방법 WO2013077565A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2011-0122125 2011-11-22
KR1020110122125A KR101291125B1 (ko) 2011-11-22 2011-11-22 악성코드 진단 및 치료 서비스 장치, 방법 및 그 방법을 실행시키기 위한 기록매체

Publications (1)

Publication Number Publication Date
WO2013077565A1 true WO2013077565A1 (ko) 2013-05-30

Family

ID=48469970

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2012/008935 WO2013077565A1 (ko) 2011-11-22 2012-10-29 악성코드 진단 및 치료 서비스 장치 및 방법

Country Status (2)

Country Link
KR (1) KR101291125B1 (ko)
WO (1) WO2013077565A1 (ko)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20090024374A (ko) * 2007-09-04 2009-03-09 삼성전자주식회사 면역 데이터베이스 기반의 악성코드 진단 방법 및 시스템
KR20090055669A (ko) * 2007-11-29 2009-06-03 한국전자통신연구원 악성코드 탐지장치 및 방법
KR20110087826A (ko) * 2010-01-27 2011-08-03 한남대학교 산학협력단 가상머신을 이용한 악성소프트웨어 탐지 방법
KR101070184B1 (ko) * 2011-02-24 2011-10-07 주식회사 윈스테크넷 멀티스레드 사이트 크롤러를 이용한 악성코드 자동수집, 자동분석시스템과 보안장비 연동을 통한 악성코드접근차단시스템 및 방법

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20110051028A (ko) * 2009-11-09 2011-05-17 주식회사 케이티 보안 기능이 구비된 클라우드 컴퓨팅 시스템

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20090024374A (ko) * 2007-09-04 2009-03-09 삼성전자주식회사 면역 데이터베이스 기반의 악성코드 진단 방법 및 시스템
KR20090055669A (ko) * 2007-11-29 2009-06-03 한국전자통신연구원 악성코드 탐지장치 및 방법
KR20110087826A (ko) * 2010-01-27 2011-08-03 한남대학교 산학협력단 가상머신을 이용한 악성소프트웨어 탐지 방법
KR101070184B1 (ko) * 2011-02-24 2011-10-07 주식회사 윈스테크넷 멀티스레드 사이트 크롤러를 이용한 악성코드 자동수집, 자동분석시스템과 보안장비 연동을 통한 악성코드접근차단시스템 및 방법

Also Published As

Publication number Publication date
KR101291125B1 (ko) 2013-08-01
KR20130056488A (ko) 2013-05-30

Similar Documents

Publication Publication Date Title
US10719612B2 (en) Static detection of vulnerabilities in base images of software containers
JP5802848B2 (ja) モバイル環境用のトロイの木馬化されたアプリケーション（アプリ）を特定するためのコンピュータ実装方法、非一時コンピュータ読み取り可能な媒体およびコンピュータシステム
WO2017030252A1 (ko) 컨테이너 이미지 보안 검사 방법 및 그 장치
WO2016088937A1 (en) Apparatus, system and method for detecting and preventing malicious scripts using code pattern-based static analysis and api flow-based dynamic analysis
US9917811B2 (en) Security threat identification, isolation, and repairing in a network
WO2013089340A1 (ko) 어플리케이션의 유사성 검출 장치 및 방법
WO2018182126A1 (ko) 안전 소프트웨어 인증 시스템 및 방법
WO2015178578A1 (ko) 패치파일 분석시스템과 분석방법
WO2015056885A1 (ko) 안드로이드 악성 애플리케이션의 탐지장치 및 탐지방법
WO2020028213A1 (en) Remediation of flush reload attacks
KR20160005489A (ko) 모바일 네트워크 환경에서 행위기반 분석 서비스 제공 방법 및 장치
US10678918B1 (en) Evaluating malware in a virtual machine using copy-on-write
WO2013077538A1 (ko) Ａｐｉ 기반 어플리케이션 분석 장치 및 방법
WO2011090329A2 (ko) 악성 코드 감염 차단 장치 및 시스템과 그 방법
WO2016111525A1 (ko) 소스코드 이관제어 방법 및 이를 위한 컴퓨터 프로그램, 그 기록매체
WO2013100320A1 (ko) 시스템 파일 보호 및 복구를 위한 장치, 방법, 사용자 단말기 및 시스템
WO2022047245A1 (en) Automated application vulnerability and risk assessment
RU2748518C1 (ru) Способ противодействия вредоносному программному обеспечению (ВПО) путем имитации проверочной среды
CN109684829B (zh) 一种虚拟化环境中服务调用监控方法和系统
WO2014168408A1 (ko) 클라우드 기반 악성코드 진단 장치, 시스템 및 방법
WO2014010847A1 (ko) 악성 애플리케이션 진단장치 및 방법
WO2015126079A1 (ko) 리패키징 탐지 방법 및 장치
WO2014168406A1 (ko) 메모리 보호기능 우회 공격 진단 장치 및 방법
WO2019225849A1 (ko) 게스트 운영체제의 무결성과 파일 입출력 제어를 통해서 보안 서비스를 제공하는 보안 장치 및 방법
WO2013077565A1 (ko) 악성코드 진단 및 치료 서비스 장치 및 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12850817

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12850817

Country of ref document: EP

Kind code of ref document: A1