WO2013100320A1 - 시스템 파일 보호 및 복구를 위한 장치, 방법, 사용자 단말기 및 시스템 - Google Patents

시스템 파일 보호 및 복구를 위한 장치, 방법, 사용자 단말기 및 시스템 Download PDF

Info

Publication number
WO2013100320A1
WO2013100320A1 PCT/KR2012/007235 KR2012007235W WO2013100320A1 WO 2013100320 A1 WO2013100320 A1 WO 2013100320A1 KR 2012007235 W KR2012007235 W KR 2012007235W WO 2013100320 A1 WO2013100320 A1 WO 2013100320A1
Authority
WO
WIPO (PCT)
Prior art keywords
system file
hash value
file
storage unit
forgery
Prior art date
Application number
PCT/KR2012/007235
Other languages
English (en)
French (fr)
Inventor
황창연
Original Assignee
주식회사 안랩
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 안랩 filed Critical 주식회사 안랩
Publication of WO2013100320A1 publication Critical patent/WO2013100320A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/572—Secure firmware programming, e.g. of basic input output system [BIOS]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/22—Microcontrol or microprogram arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures

Definitions

  • the present invention relates to a system file protection technology.
  • the present invention relates to a system file protection technology.
  • An apparatus, method, user terminal, and system are provided.
  • the system file is a file which is divided into at least one segment of a function of an operating system program and called as needed. Therefore, the system file modified by the malicious code may not be able to simply perform a specific operation, cause an error, perform a leak of personal information, or may cause a fatal error such as an inoperability of an operating system program or a boot error. .
  • system files are used by operating system programs, which can cause serious problems to the system if mistreated. In other words, if you simply delete the altered system file and download the new system file, it will not be completely recovered. This is because the system file contents are updated and processed along with various driving of operating system programs for each user, so that even if it is known to be malicious, it may not be able to be treated.
  • the operating system program backs up system files in a folder such as dllcache to cope with tampering or damage.
  • Anti-virus programs can protect system files to prevent tampering, but malware can defeat the anti-virus program itself.
  • the apparatus for preventing and forgery of the system files located in the system folder of the computer operating system program, the system file protection and recovery that can perform the recovery of the forged files as a normal file, can be provided.
  • the embodiment of the present invention to prevent the forgery and tampering of the system files located in the system folder of the computer operating system program to calculate the hash value of the critical system files to database the hash information for each file, encrypting the system file
  • a system, a method, a user terminal, and a system for protecting and recovering a system file that can be stored in a specific area of a computer, thereby verifying the modified system file through hash information, and decrypting and restoring the previously stored system file. can do.
  • the system file protection and recovery apparatus includes a system file setting unit for setting a system file in an operating system program of a computing device, calculating a hash value at a predetermined cycle for the set system file, and calculating the hash.
  • a hash value calculator may store a value in a storage unit, and a file backup unit may encrypt a system file corresponding to the calculated hash value and store the encrypted file in the storage unit.
  • the storage unit may include a system file storage unit in which the set system file is stored, a hash value storage unit sequentially storing the hash value, and a backup file storage unit sequentially storing the encrypted system file.
  • the storage unit may store the hash value and the system file in the form of delta backup.
  • the hash value calculator may store the calculated hash value when the calculated hash value is not the same as a previously stored hash value.
  • the system file protection and recovery apparatus includes a checker for deriving a forgery file for the set system file, and a system file forged with a pre-stored hash value for the system file based on a hash value for the derived forgery system file.
  • the apparatus may further include a file restoration unit for performing a recovery.
  • the file restoration unit may delete the forgery system file and then change the searched file to the corresponding system file name.
  • the file reconstructor extracts an encrypted system file corresponding to the pre-stored hash value in the storage unit, and retrieves a file matching the pre-stored hash value, and decrypts the extracted encrypted system file. Can be restored to system files.
  • a method of protecting and recovering a system file includes setting a system file in an operating system program of a computing device, calculating a hash value at a predetermined cycle with respect to the set system file, and storing the calculated hash value. And storing the data in the storage unit by encrypting a system file corresponding to the calculated hash value.
  • the storing may include storing the hash value and the system file in a delta backup form.
  • the storing of the calculated hash value may be stored in the storage unit when the calculated hash value is not the same as the previously stored hash value.
  • the method for protecting and restoring the system file may include a process of deriving a forgery file by examining whether the forgery of the set system file is forged, and a previously stored hash value for the system file based on a hash value of the forgery system file derived. It may include a process of recovering the forged system file.
  • the forged system file may be deleted and the searched file may be changed to a corresponding system file name.
  • the performing of the recovery may include extracting an encrypted system file corresponding to the pre-stored hash value in the storage unit if the file that matches the pre-stored hash value is not found, and extracting the encrypted file. And decrypting the system file to restore the system file.
  • the system file protection and recovery user terminal calculates a hash value at a predetermined interval for a system file of an operating system program, encrypts the system file corresponding to the calculated hash value, and generates the hash value and the system. Calculates the hash value of the detected forgery system file by checking the forgery of the system file with a file protection unit for interfacing the file to a storage unit or a unique storage unit of a cloud server allowed to access through authentication by interworking with a storage unit or a wired / wireless communication network, It may include a diagnosis and treatment unit for performing the restoration of the forgery system file with the calculated and stored hash value.
  • the diagnosis and treatment unit may search for a file matching the calculated and stored hash value, delete the forgery system file, change the searched file to a corresponding system file name, and then calculate the calculated and stored hash value. If the file matching the search result is not searched, the encrypted system file corresponding to the pre-calculated and stored hash value in the storage unit may be extracted, and then decrypted to restore the system file.
  • the cloud provides an application to the user terminal allowed to access through the authentication process, the cloud including a storage unit for storing a hash value and a copy of the system file for each user terminal
  • the server calculates the hash value at predetermined intervals with respect to a system file of an operating system program, encrypts a system file corresponding to the calculated hash value, and transmits the hash value and the system file to the cloud server.
  • a user terminal for calculating a hash value of the retrieved forgery system file by checking whether the forgery is present, and restoring the forgery system file with a previously calculated and stored hash value.
  • the apparatus, method, user terminal and system for system file protection and recovery it is possible to accurately determine whether or not the system file is modified through the hash information, the system file is modified, and the normal system file If the backup has been renamed, you can check the hash information to find and restore the backed up system file.
  • the system file If the system file is tampered with and the backed up normal system file does not exist, the system file can be recovered by encrypting and backing up the existing system. Therefore, there is no need to manually find and recover the normal system file backed up by the malware. It has the effect of automatically recovering from encrypted backup system files.
  • FIG. 1 is a block diagram showing the structure of a system file protection and recovery device according to an embodiment of the present invention
  • FIG. 2A to 2C illustrate a list of files stored in a storage unit according to an exemplary embodiment of the present invention.
  • FIG. 3 is a flowchart illustrating an operation procedure of a file protection device according to an embodiment of the present invention
  • FIG. 4 is a flowchart illustrating an operation procedure of a diagnosis and treatment apparatus according to an embodiment of the present invention
  • FIG. 5 is a flowchart illustrating a file restoration procedure of a diagnosis and treatment device according to an embodiment of the present invention
  • FIG. 6 is a block diagram of a system file protection and recovery system using a cloud server according to an embodiment of the present invention.
  • Combinations of each block of the accompanying block diagram and each step of the flowchart may be performed by computer program instructions.
  • These computer program instructions may be mounted on a processor of a general purpose computer, special purpose computer, or other programmable data processing equipment such that instructions executed through the processor of the computer or other programmable data processing equipment may not be included in each block or flowchart of the block diagram. It will create means for performing the functions described in each step.
  • These computer program instructions may be stored in a computer usable or computer readable memory that can be directed to a computer or other programmable data processing equipment to implement functionality in a particular manner, and thus the computer usable or computer readable memory.
  • instructions stored in may produce an article of manufacture containing instruction means for performing the functions described in each block or flowchart of each step of the block diagram.
  • Computer program instructions may also be mounted on a computer or other programmable data processing equipment, such that a series of operating steps may be performed on the computer or other programmable data processing equipment to create a computer-implemented process to create a computer or other programmable data. Instructions that perform processing equipment may also provide steps for performing the functions described in each block of the block diagram and in each step of the flowchart.
  • each block or step may represent a portion of a module, segment or code that includes one or more executable instructions for executing a specified logical function (s).
  • a specified logical function s.
  • the functions noted in the blocks or steps may occur out of order.
  • the two blocks or steps shown in succession may in fact be executed substantially concurrently or the blocks or steps may sometimes be performed in the reverse order, depending on the functionality involved.
  • An embodiment of the present invention is to prevent forgery and tampering of a system file located in a system folder of a computer operating system program, and to recover a forged file as a normal file, and to calculate and calculate a hash value of important system files.
  • FIG. 1 is a block diagram illustrating a structure of a system file protection and recovery apparatus according to an embodiment of the present invention.
  • the system file protection and recovery device 100 may include a diagnosis and treatment device 110, a file protection device 120, a storage unit 130, and the like.
  • the diagnostic and treatment apparatus 110 may include a checker 112 and a file restorer 114, and the file protector 120 may include a system file setter 122, a hash calculator 124, and a file.
  • the backup unit 126 may be included.
  • the storage unit 130 may include a system file storage unit 132, a hash value storage unit 134, and a backup file storage unit 136.
  • system file protection and recovery apparatus 100 may be run as an application program on an operating system program of a computing device such as a computer, a notebook computer, or a smartphone, or a hardware device in which the application program is stored may be linked with the computing device to protect and recover the system file. Can be performed.
  • each function block may be controlled based on the user control command received from the user interface.
  • the system file protection and recovery apparatus 100 may be driven as an application program in a user terminal interworking with a cloud server and a wired / wireless communication network to perform protection and recovery of system files in an operating system program. You can store a copy of the file on the cloud server. This cloud computing method will be described with reference to FIG. 6.
  • the diagnosis and treatment apparatus 110 in the system file protection and recovery apparatus 100 performs periodic inspection on system files of an operating system program, and then restores the forged system files.
  • a system file of an operating system program may be scanned for malware infection based on a predetermined time zone or a control command received from a user.
  • the scan method for the system file can be performed based on whether there is a sudden change in the system file capacity or a specific call command classified as a risk factor in the system file, and after calculating the hash value, the calculated hash value It can also be judged whether or not forgery through malicious code.
  • the file restoration unit 114 performs restoration of the forged system file.
  • the malicious code When the malicious code generates a file that is modified with the system file name, the file name of the existing system file is changed and backed up. After deleting the file, it can be restored by restoring the normal system file name that was backed up, and if there is no normal system file whose file name has been changed, restore by receiving the latest copy of the encrypted system file backed up from the storage unit 130 can do.
  • the restoration method may first restore the most recent copy of the decrypted system file by deleting the forged system file and then decrypting the encrypted system file.
  • the file protection device 120 may calculate a hash value for the system file of the corresponding operating system program, and transmit the calculated hash value and the corresponding system file to the storage unit 130, in response to a request of the diagnosis and treatment device 110. Therefore, hash value calculation and file backup can be performed.
  • the system file setting unit 122 may set important system files or files requiring inspection in an operating system program. Since there is a system folder area for each operating system program, files in the corresponding folder can be set as system files, or a requested folder or file can be set as system files based on a user control command.
  • the set file may be transferred to the storage unit 130 and stored in the system file storage unit 132 in the storage unit 130.
  • FIGS. 2A to 2C are diagrams showing a list of files stored in the storage unit 130 according to an embodiment of the present invention.
  • the system file storage unit 132 is a system file of a Windows operating system program as shown in FIG. 2A. ws2help.dll, imm32.dll, ddraw.dll, rpcss.dll, comres.dll and the like may be stored.
  • the hash calculator 124 may calculate a hash value for each system file received from the system file setting unit 122 at a predetermined cycle (for example, every 1 day, every 5 days, or every application installation). The calculated hash value may be transferred to the hash value storage unit 134 in the storage unit 130 and stored.
  • the hash value storage may sequentially store all hash values for each system file according to a set method, and may not store the hash value if the hash value is compared with the calculated hash value.
  • the hash values calculated for the system file ws2help.dll are ws_hash1 and ws_hash2. You can additionally store ws_hash3 after ws_hash1 and ws_hash2 stored in.
  • the hash calculation unit 124 may compare the values of ws_hash2 and ws_hash3 and may not store ws_hash3 in the same case.
  • the file backup unit 126 copies the system file from which the hash value is calculated, and then encrypts and performs a backup.
  • the encrypted system file copy may be transferred to the backup file storage unit 136 to perform storage.
  • the copy of the system file stored in the backup file storage unit 136 of FIG. 2C may be stored to correspond to the hash value stored in the hash value storage unit 134.
  • backup file storage unit 136 is simply stored in an accessible location within the operating system program, forgery may be performed on the copy of the system file from the malicious code that has confirmed this.
  • the backup file storage unit 136 may be configured to prevent access through the access right, such as the "system volume information" folder of the Windows operating system program, or to only allow access of the system file protection and recovery device 100.
  • the storage method of the storage unit 130 may store the data in a delta backup method.
  • the backup amount can be backed up by only backing up information about changed block and location such as added, deleted, modified, etc. It also saves time and storage space.
  • FIG. 3 is a flowchart illustrating an operation procedure of a file protection device according to an embodiment of the present invention.
  • step 300 the system file setting unit 122 in the file protection device 120 sets a system file for the corresponding operating system program, and in step 302, the hash calculator 124 is assigned to each of the set system files. Hash is calculated periodically.
  • the hash calculator 124 transmits the calculated hash value to the hash value storage unit 134 in step 304 to be stored.
  • the file backup unit 126 stores the system file corresponding to the calculated hash value. It is delivered to the backup file storage unit 136 to be stored.
  • FIG. 4 is a flowchart illustrating an operation procedure of a diagnosis and treatment apparatus according to an exemplary embodiment of the present invention.
  • step 402 the inspection unit 112 in the diagnosis and treatment apparatus 110 checks whether the system file is forged, and then in step 404, the hash calculator 124. Request a hash value, and the hash calculator 124 calculates a hash value for the found forgery file.
  • step 406 the file restoration unit 114 recovers the forgery file with the hash value stored for the corresponding system file, that is, the hash value stored before the forgery time based on the found hash value of the forgery system file.
  • the system file may be found again as a forgery file. Since the recovered system file has already been forged, in such a case, the operation of FIG. 4 is repeated to restore the system file stored immediately before the restored time of the restored system file.
  • FIG. 5 is a flowchart illustrating a file restoration procedure of a diagnosis and treatment device according to an embodiment of the present invention.
  • the file restoration unit 114 in the diagnosis and treatment apparatus 110 searches for and extracts the hash value stored in the hash value storage unit 134 for the forgery system file.
  • a file matching the extracted hash value is compared with each file in a file in a system folder or an entire folder of an OS program.
  • step 504 If there is a matching file through search in step 504, that is, if the malicious code changes the file name for the normal system file and backs it up, proceed to step 506 to delete the forgery file, and then Restoration is performed by changing the changed file name to the original system file name.
  • the backup file storage unit 136 extracts a copy of the system file corresponding to the previous hash value in step 508.
  • the extracted copy of the system file is encrypted, after decrypting it, the forged file is deleted in step 510 and replaced with the decrypted system file.
  • FIG. 6 is a block diagram of a system file protection and recovery system using a cloud server according to an embodiment of the present invention.
  • a system file protection and recovery system using a cloud server 650 is connected to a plurality of user terminals 600, 610, and 620 through a wired or wireless communication network such as the Internet, a dedicated line, or a wireless network.
  • the cloud server 650 is an example in which three user terminals 600, 610, and 620 are connected to each other, and may be additionally connected to a plurality of user terminals.
  • the cloud server 650 is connected to the user terminals 600, 610, and 620 to perform user authentication (eg, ID / password input method) for each of the user terminals 600, 610, and 620, and the respective user terminals. Copies of hash values and system files transmitted from 600, 610, and 620 may be stored in the storage units 130-1, 130-2, and 130-3 corresponding to each user terminal.
  • user authentication eg, ID / password input method
  • the user terminals 600, 610, and 620 may include various computing devices capable of accessing the wired / wireless communication network and performing a connection with the cloud server 650.
  • the user terminals 600, 610, and 620 may include file protection devices 120-1, 120-2, and 120-3, and diagnostic and treatment devices 110-1, 110-2, and 110-3, respectively. Can be.
  • the devices may be mounted in hardware or installed in an operating system program as an application program.
  • the user terminal 600 calculates a hash value for the system files with the file protection device 120-1, and cloud the calculated hash value and a corresponding copy of the system file.
  • the storage unit 130-1 may be stored in the server 650.
  • an apparatus, a method, a user terminal, and a system for protecting and recovering a system file prevent a forgery and tampering of system files located in a system folder of a computer operating system program, and forge and forge a file. For example, this is to perform recovery as a normal file, and calculates the hash value of important system files to database hash information for each file, encrypts the system file, and stores it in a specific area of the computer. Check the file through the hash information, and restore by decrypting the previously stored system file.

Abstract

시스템 파일 보호 및 복구 장치는 컴퓨팅 장치의 운영체제 프로그램 내 시스템 파일을 설정하는 시스템 파일 설정부와, 설정된 시스템 파일에 대해 기설정된 주기로 해쉬값을 산출하고, 산출된 해쉬값을 저장부에 저장하는 해쉬값 산출부와, 상기 산출된 해쉬값에 대응하는 시스템 파일을 암호화하여 상기 저장부에 저장하는 파일 백업부를 포함한다.

Description

시스템 파일 보호 및 복구를 위한 장치, 방법, 사용자 단말기 및 시스템
본 발명은 시스템 파일 보호 기술에 관한 것으로서, 특히 컴퓨터 운영체제 프로그램의 시스템 폴더 내에 위치한 시스템 파일의 위조 및 변조를 방지하고, 위변조된 파일에 대해서는 정상적인 시스템 파일로 복구를 수행하는데 적합한 시스템 파일 보호 및 복구를 위한 장치, 방법, 사용자 단말기 및 시스템에 관한 것이다.
요즘 들어 개인용 컴퓨터, 노트북, 스마트폰 등과 같이 운영체제 프로그램을 사용하는 컴퓨팅 장치에서 운영체제 프로그램 내 시스템 파일을 변조시키는 악성코드가 증가하고 있다.
시스템 파일은 운영체제 프로그램의 기능을 단계별로 적어도 하나의 세그먼트로 분할하여 필요에 따라 호출하여 사용되는 파일이다. 이에 악성코드에 의해 변조된 시스템 파일은 단순히 특정 동작을 수행하지 못하게 하거나, 오류를 유발시키는 동작부터, 개인 정보 유출을 수행하거나, 운영체제 프로그램의 실행 불능, 부팅 에러와 같이 치명적인 오류를 발생시킬 수도 있다.
예를 들어, 마이크로소프트사 윈도우즈 프로그램의 시스템 폴더 내에 존재하는 ws2help.dll, imm32.dll, ddraw.dll 등과 같이 많은 시스템 파일들이 공격 대상이 된다. 이에 시스템 파일이 악성 코드로부터 공격 받아 위변조된 경우, 해당 시스템 파일들이 악성인지 아닌지 여부는 백신 프로그램을 통해 쉽게 판단할 수 있지만 이에 대한 치료에는 어려움이 따르게 된다.
시스템 파일들은 운영체제 프로그램에서 사용되는 파일이기 때문에 잘못 치료될 경우 시스템에 심각한 문제를 발생시키기 때문이다. 즉, 단순히 변조된 시스템 파일을 삭제하고, 해당 시스템 파일을 새로 다운 받아 설치하는 경우, 완벽하게 복구가 되지 않게 된다. 이는 사용자마다 운영체제 프로그램의 다양한 구동과 함께 시스템 파일 내용도 갱신되어 처리되기 때문에 악성 여부를 알더라도 치료를 못하는 경우가 발생될 수 있다.
이러한 악성코드들은 보통 정상적인 시스템 파일들의 파일명을 다양하게 바꿔서 백업을 수행하므로, 이를 백신 프로그램을 통해 자동적으로 처리할 수는 없는 상태이며, 보안 담당자에 의해 백업된 파일명을 일일이 찾아서 교체하도록 해주어야 하기 때문에 번거롭다.
그리고 악성코드가 시스템 파일명으로 변조된 파일을 생성한 후, 정상 시스템 파일을 백업하지 않고 삭제해 버린다면, 이를 치료하는 것은 매우 어렵게 된다.
상기한 바와 같이 종래 기술에 의한 운영체제 프로그램의 보호 방식에 있어서는, 운영체제 프로그램에서 dllcache 등과 같이 폴더 내에 시스템 파일들을 백업해 두어 변조 또는 손상에 대응하고 있다.
그러나 악성코드 제작자 역시 이를 파악할 수 있으므로 이런 보호 방식은 쉽게 무력화할 수 있다. 이에 백신 프로그램을 통해 시스템 파일들을 보호하여 변조를 방지할 수 도 있지만, 악성코드가 백신 프로그램 자체를 무력화할 수 있다.
이와 같이 시스템 파일이 악성코드에 의해 변조되는 것을 방지하기에는 어려움이 있으므로, 악성코드가 백업한 원본 시스템 파일을 복구하는 방식을 수행하거나, 변조된 시스템 파일에서 악성 부분을 제거하는 방식으로 치료하는 연구를 진행하고 있으나, 이는 시스템 파일의 변조 여부를 진단하는 것 보다 많은 시간이 걸리고, 악성 부분 제거에 따라 운영 체제 프로그램에 심각한 오류가 발생할 수 있는 위험성이 따르게 된다는 문제점이 있었다.
이에 본 발명의 실시예는, 컴퓨터 운영체제 프로그램의 시스템 폴더 내에 위치한 시스템 파일들의 위조 및 변조를 방지하고, 위변조된 파일들에 대해서는 정상적인 파일로 복구를 수행할 수 있는 시스템 파일 보호 및 복구를 위한 장치, 방법, 사용자 단말기 및 시스템을 제공할 수 있다.
또한 본 발명의 실시예는, 컴퓨터 운영체제 프로그램의 시스템 폴더 내에 위치한 시스템 파일들의 위조 및 변조 방지를 위해 중요 시스템 파일들의 해쉬 값을 계산하여 각 파일에 대한 해쉬 정보를 데이터베이스화하고, 해당 시스템 파일을 암호화하여 컴퓨터의 특정 영역에 저장함으로써, 변조된 시스템 파일을 해쉬 정보를 통해 확인하고, 기 저장된 해당 시스템 파일을 복호화하여 복원할 수 있는 시스템 파일 보호 및 복구를 위한 장치, 방법, 사용자 단말기 및 시스템을 제공할 수 있다.
본 발명의 일 실시예에 따른 시스템 파일 보호 및 복구 장치는, 컴퓨팅 장치의 운영체제 프로그램 내 시스템 파일을 설정하는 시스템 파일 설정부와, 설정된 시스템 파일에 대해 기설정된 주기로 해쉬값을 산출하고, 산출된 해쉬값을 저장부에 저장하는 해쉬값 산출부와, 상기 산출된 해쉬값에 대응하는 시스템 파일을 암호화하여 상기 저장부에 저장하는 파일 백업부를 포함할 수 있다.
그리고 상기 저장부는, 상기 설정된 시스템 파일이 저장된 시스템 파일 저장부와, 상기 해쉬값을 순차적으로 저장하는 해쉬값 저장부와, 암호화된 시스템 파일을 순차적으로 저장하는 백업 파일 저장부를 포함할 수 있다.
그리고 상기 저장부는, 상기 해쉬값 및 시스템 파일을 델타백업 형태로 저장할 수 있다.
그리고 상기 해쉬값 산출부는, 상기 산출된 해쉬값이 이전 저장된 해쉬값과 동일하지 않은 경우, 상기 저장부에 저장할 수 있다.
그리고 상기 시스템 파일 보호 및 복구 장치는, 상기 설정된 시스템 파일에 대한 위변조 파일을 도출하는 검사부와, 도출된 위변조 시스템 파일에 대한 해쉬값을 토대로 해당 시스템 파일에 대해 기 저장된 해쉬값으로 위변조된 시스템 파일에 대한 복구를 수행하는 파일 복원부를 더 포함할 수 있다.
그리고 상기 파일 복원부는, 상기 기 저장된 해쉬값과 일치하는 파일을 검색하여 검색된 경우, 상기 위변조 시스템 파일을 삭제한 후, 검색된 파일을 해당 시스템 파일명으로 변경할 수 있다.
그리고 상기 파일 복원부는, 상기 기 저장된 해쉬값과 일치하는 파일을 검색하여 검색되지 않은 경우, 상기 저장부 내 상기 기 저장된 해쉬값에 대응하는 암호화된 시스템 파일을 추출하고, 추출한 암호화된 시스템 파일을 복호화화여 시스템 파일로 복원할 수 있다.
본 발명의 일 실시예에 따른 시스템 파일 보호 및 복구 방법은, 컴퓨팅 장치의 운영체제 프로그램 내 시스템 파일을 설정하는 과정과, 설정된 시스템 파일에 대해 기설정된 주기로 해쉬값을 산출하고, 산출된 해쉬값을 저장부에 저장하는 과정과, 상기 산출된 해쉬값에 대응하는 시스템 파일을 암호화하여 상기 저장부에 저장하는 과정을 포함할 수 있다.
그리고 상기 저장하는 과정은, 상기 해쉬값 및 시스템 파일을 델타백업 형태로 저장할 수 있다.
그리고 상기 산출된 해쉬값을 저장부에 저장하는 과정은, 상기 산출된 해쉬값이 이전 저장된 해쉬값과 동일하지 않은 경우, 상기 저장부에 저장할 수 있다.
그리고 상기 시스템 파일 보호 및 복구 방법은, 상기 설정된 시스템 파일에 대한 위변조 여부를 검사하여 위변조 파일을 도출하는 과정과, 도출된 위변조 시스템 파일에 대한 해쉬값을 토대로 해당 시스템 파일에 대해 기 저장된 해쉬값으로 위변조된 시스템 파일에 대한 복구를 수행하는 과정을 포함할 수 있다.
그리고 상기 복구를 수행하는 과정은, 상기 기 저장된 해쉬값과 일치하는 파일을 검색하여 검색된 경우, 상기 위변조 시스템 파일을 삭제한 후, 검색된 파일을 해당 시스템 파일명으로 변경할 수 있다.
그리고 상기 복구를 수행하는 과정은, 기 저장된 해쉬값과 일치하는 파일을 검색하여 검색되지 않은 경우, 상기 저장부 내 상기 기 저장된 해쉬값에 대응하는 암호화된 시스템 파일을 추출하는 과정과, 추출한 암호화된 시스템 파일을 복호화화여 시스템 파일로 복원하는 과정을 포함할 수 있다.
본 발명의 다른 실시예에 따른 시스템 파일 보호 및 복구 사용자 단말기는, 운영체제 프로그램의 시스템 파일에 대해 기설정된 주기로 해쉬값을 산출하고, 산출된 해쉬값에 대응하는 시스템 파일을 암호화하여 상기 해쉬값 및 시스템 파일을 저장부 또는 유무선 통신망으로 연동되어 인증을 통해 접근 허용된 클라우드 서버의 고유 저장부로 전송하는 파일 보호부와, 상기 시스템 파일에 대한 위변조 여부를 검사하여 검색된 위변조 시스템 파일의 해쉬값을 산출하고, 기 산출되어 저장된 해쉬값으로 상기 위변조 시스템 파일의 복원을 수행하는 진단 및 치료부를 포함할 수 있다.
그리고 상기 진단 및 치료부는, 상기 기 산출되어 저장된 해쉬값과 일치하는 파일을 검색하여 검색된 경우, 상기 위변조 시스템 파일을 삭제한 후, 검색된 파일을 해당 시스템 파일명으로 변경하고, 상기 기 산출되어 저장된 해쉬값과 일치하는 파일을 검색하여 검색되지 않은 경우, 상기 저장부 내 상기 기 산출되어 저장된 해쉬값에 대응하는 암호화된 시스템 파일을 추출한 후, 복호화화여 시스템 파일로 복원할 수 있다.
본 발명의 일 실시예에 따른 시스템 파일 보호 및 복구 시스템은, 인증 절차를 통해 접근 허용된 사용자 단말기에 응용프로그램을 제공하고, 상기 사용자 단말기 별로 해쉬값 및 시스템 파일 복사본을 저장하는 저장부를 포함하는 클라우드 서버와, 운영체제 프로그램의 시스템 파일에 대해 기설정된 주기로 상기 해쉬값을 산출하고, 산출된 해쉬값에 대응하는 시스템 파일을 암호화하여 상기 해쉬값 및 시스템 파일을 상기 클라우드 서버로 전송하고, 상기 시스템 파일에 대한 위변조 여부를 검사하여 검색된 위변조 시스템 파일의 해쉬값을 산출하고, 기 산출되어 저장된 해쉬값으로 상기 위변조 시스템 파일의 복원을 수행하는 사용자 단말기를 포함할 수 있다.
상기와 같은 본 발명의 실시예에 따른 시스템 파일 보호 및 복구를 위한 장치, 방법, 사용자 단말기 및 시스템에 따르면 다음과 같은 효과가 하나 혹은 그 이상이 있다.
본 발명의 실시예에 따른 시스템 파일 보호 및 복구를 위한 장치, 방법, 사용자 단말기 및 시스템에 의하면, 해쉬 정보를 통해 시스템 파일의 변조 여부를 정확히 확인할 수 있으며, 시스템 파일이 변조되고, 정상 시스템 파일의 이름이 변경되어 백업된 경우, 해쉬 정보 확인을 통해 백업된 시스템 파일을 찾아내어 복구시킬 수 있다.
시스템 파일이 변조되고, 백업된 정상 시스템 파일이 존재하지 않는 경우에는 기존에 암호화 백업되어 저장된 해당 시스템 파일을 복구시킬 수 있으므로 악성코드에 의해 백업된 정상 시스템 파일을 수동으로 찾아서 복구해줄 필요가 없으며, 암호화 백업된 시스템 파일을 통해 자동으로 복구를 수행할 수 있는 효과가 있다.
도 1은 본 발명의 실시예에 따른 시스템 파일 보호 및 복구 장치의 구조를 도시한 블록도,
도 2a 내지 2c는 본 발명의 실시예에 따라 저장부 내에 저장되는 파일 목록을 도시한 도면,
도 3은 본 발명의 실시예에 따른 파일 보호 장치의 동작 절차를 도시한 흐름도,
도 4는 본 발명의 실시예에 따른 진단 및 치료 장치의 동작 절차를 도시한 흐름도,
도 5는 본 발명의 실시예에 따른 진단 및 치료 장치의 파일 복원 절차를 도시한 흐름도,
도 6은 본 발명의 실시예에 따라 클라우드 서버를 이용한 시스템 파일 보호 및 복구 시스템의 구성도.
본 발명의 이점 및 특징, 그리고 그것들을 달성하는 방법은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시예들을 참조하면 명확해질 것이다. 그러나 본 발명은 이하에서 개시되는 실시예들에 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 수 있으며, 단지 본 실시예들은 본 발명의 개시가 완전하도록 하고, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 발명의 범주를 완전하게 알려주기 위해 제공되는 것이며, 본 발명은 청구항의 범주에 의해 정의될 뿐이다. 명세서 전체에 걸쳐 동일 참조 부호는 동일 구성 요소를 지칭한다.
본 발명의 실시예들을 설명함에 있어서 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략할 것이다. 그리고 후술되는 용어들은 본 발명의 실시예에서의 기능을 고려하여 정의된 용어들로서 이는 사용자, 운용자의 의도 또는 관례 등에 따라 달라질 수 있다. 그러므로 그 정의는 본 명세서 전반에 걸친 내용을 토대로 내려져야 할 것이다.
첨부된 블록도의 각 블록과 흐름도의 각 단계의 조합들은 컴퓨터 프로그램 인스트럭션들에 의해 수행될 수도 있다. 이들 컴퓨터 프로그램 인스트럭션들은 범용 컴퓨터, 특수용 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비의 프로세서에 탑재될 수 있으므로, 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비의 프로세서를 통해 수행되는 그 인스트럭션들이 블록도의 각 블록 또는 흐름도의 각 단계에서 설명된 기능들을 수행하는 수단을 생성하게 된다. 이들 컴퓨터 프로그램 인스트럭션들은 특정 방식으로 기능을 구현하기 위해 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비를 지향할 수 있는 컴퓨터 이용 가능 또는 컴퓨터 판독 가능 메모리에 저장되는 것도 가능하므로, 그 컴퓨터 이용가능 또는 컴퓨터 판독 가능 메모리에 저장된 인스트럭션들은 블록도의 각 블록 또는 흐름도 각 단계에서 설명된 기능을 수행하는 인스트럭션 수단을 내포하는 제조 품목을 생산하는 것도 가능하다. 컴퓨터 프로그램 인스트럭션들은 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비 상에 탑재되는 것도 가능하므로, 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비 상에서 일련의 동작 단계들이 수행되어 컴퓨터로 실행되는 프로세스를 생성해서 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비를 수행하는 인스트럭션들은 블록도의 각 블록 및 흐름도의 각 단계에서 설명된 기능들을 실행하기 위한 단계들을 제공하는 것도 가능하다.
또한, 각 블록 또는 각 단계는 특정된 논리적 기능(들)을 실행하기 위한 하나 이상의 실행 가능한 인스트럭션들을 포함하는 모듈, 세그먼트 또는 코드의 일부를 나타낼 수 있다. 또, 몇 가지 대체 실시예들에서는 블록들 또는 단계들에서 언급된 기능들이 순서를 벗어나서 발생하는 것도 가능함을 주목해야 한다. 예컨대, 잇달아 도시되어 있는 두 개의 블록들 또는 단계들은 사실 실질적으로 동시에 수행되는 것도 가능하고 또는 그 블록들 또는 단계들이 때때로 해당하는 기능에 따라 역순으로 수행되는 것도 가능하다.
본 발명의 실시예는, 컴퓨터 운영체제 프로그램의 시스템 폴더 내에 위치한 시스템 파일의 위조 및 변조를 방지하고, 위변조된 파일에 대해서는 정상적인 파일로 복구를 수행하기 위한 것으로서, 중요 시스템 파일들의 해쉬 값을 계산하여 계산된 해쉬값을 각 파일에 대한 해쉬 정보로서 데이터베이스화하고, 해당 시스템 파일을 암호화하여 컴퓨터의 특정 영역에 저장함으로써, 변조된 시스템 파일을 해쉬 정보를 통해 확인하고, 기 저장된 해당 시스템 파일을 복호화하여 복원하는 것이다.
이하, 첨부된 도면을 참조하여 본 발명의 실시예를 상세히 설명하기로 한다.
도 1은 본 발명의 실시예에 따른 시스템 파일 보호 및 복구 장치의 구조를 도시한 블록도이다.
도 1을 참조하면, 시스템 파일 보호 및 복구 장치(100)는 진단 및 치료 장치(110), 파일 보호 장치(120) 및 저장부(130) 등을 포함할 수 있다. 여기서 진단 및 치료 장치(110)는 검사부(112) 및 파일 복원부(114) 등을 포함할 수 있으며, 파일 보호 장치(120)는 시스템 파일 설정부(122), 해쉬 산출부(124) 및 파일 백업부(126) 등을 포함할 수 있다. 그리고 저장부(130)는 시스템 파일 저장부(132), 해쉬값 저장부(134) 및 백업 파일 저장부(136) 등을 포함할 수 있다.
구체적으로 시스템 파일 보호 및 복구 장치(100)는 컴퓨터, 노트북, 스마트 폰 등과 같은 컴퓨팅 장치의 운영체제 프로그램 상에서 응용 프로그램으로 구동되거나, 상기 응용 프로그램이 저장된 하드웨어 장치가 컴퓨팅 장치와 연동하여 시스템 파일 보호 및 복구를 수행할 수 있다. 그리고 도시하진 않았으나, 사용자 인터페이스로부터 사용자 제어 명령을 전달 받아 이를 토대로 각 기능 블록을 제어할 수 있다.
이러한 시스템 파일 보호 및 복구 장치(100)는 클라우드 서버와 유무선 통신망으로 연동된 사용자 단말기에서 응용 프로그램으로 구동되어 운영체제 프로그램 내 시스템 파일의 보호 및 복구를 수행할 수 있으며, 변조 위험이 있는 해쉬값 및 시스템 파일 복사본을 클라우드 서버에 저장시킬 수 있다. 이러한 클라우드 컴퓨팅 방식에 대해서는 도 6을 통해 설명하도록 한다.
먼저 시스템 파일 보호 및 복구 장치(100) 내 진단 및 치료 장치(110)는 운영체제 프로그램의 시스템 파일들에 대한 주기적인 검사를 수행한 후, 위변조된 시스템 파일들에 대한 복원을 수행하는 것으로서, 검사부(112)에서는 운영체제 프로그램의 시스템 파일을 기 설정된 시간대 별 또는 사용자로부터 전달받은 제어 명령을 토대로 악성코드 감염 여부를 검사할 수 있다.
시스템 파일에 대한 검사 방식은 시스템 파일 용량의 급격한 변화 여부, 해당 시스템 파일에서 위험요소로 분류된 특정 호출 명령 등을 토대로 검사를 수행할 수 있으며, 해당 해쉬값을 산출한 후, 기 산출된 해쉬값과의 비교를 통해 악성코드를 통한 위변조 여부를 판단할 수도 있다.
파일 복원부(114)는 위변조된 시스템 파일에 대한 복원을 수행하는 것으로서, 악성코드가 시스템 파일명으로 변조된 파일을 생성한 후, 기존 시스템 파일의 파일명이 변경되어 백업된 상태인 경우, 위변조된 시스템 파일을 삭제한 후, 백업된 정상 시스템 파일명을 복원하여 복구할 수 있으며, 파일명이 변경된 정상 시스템 파일이 없는 경우에는 암호화 백업된 해당 시스템 파일의 최근 복사본을 저장부(130)로부터 전달받아 복원을 수행할 수 있다.
이때, 복원 방식은 먼저, 위변조된 시스템 파일을 삭제한 후, 암호화 백업된 해당 시스템 파일에 대한 복호화를 수행하여 복호화된 시스템 파일의 최근 복사본으로 복원을 수행할 수 있다.
파일 보호 장치(120)는 해당 운영체제 프로그램의 시스템 파일에 대한 해쉬값을 산출하고, 산출된 해쉬값 및 해당 시스템 파일을 저장부(130)에 전달할 수 있으며, 진단 및 치료장치(110)의 요청에 따라 해쉬값 산출 및 파일 백업을 수행할 수 있다.
시스템 파일 설정부(122)는 운영체제 프로그램 내에서 중요한 시스템 파일 또는 검사가 필요한 파일들을 설정할 수 있다. 이는 각 운영체제 프로그램 별로 시스템 폴더 영역이 있으므로, 해당 폴더 내 파일들을 시스템 파일로 설정하거나, 사용자 제어 명령을 토대로 요청된 폴더 또는 파일을 시스템 파일로 설정할 수 있다. 설정된 파일은 저장부(130)로 전달하여 저장부(130) 내 시스템 파일 저장부(132)에 저장될 수 있다.
도 2a 내지 2c는 본 발명의 실시예에 따라 저장부(130) 내에 저장되는 파일 목록을 도시한 도면으로서, 시스템 파일 저장부(132)에는 도 2a에 도시된 바와 같이 윈도우즈 운영체제 프로그램의 시스템 파일인 ws2help.dll, imm32.dll, ddraw.dll, rpcss.dll, comres.dll 등이 저장될 수 있다.
해쉬 산출부(124)는 시스템 파일 설정부(122)로부터 전달 받은 시스템 파일 각각에 대한 해쉬값을 기설정된 주기(예컨대, 1일마다, 5일마다 또는 응용프로그램 설치 시 마다 등)로 산출할 수 있으며, 산출된 해쉬값은 저장부(130) 내 해쉬값 저장부(134)에 전달하여 저장할 수 있다.
다만, 해쉬값 저장은 설정된 방식에 따라 각 시스템 파일에 대한 모든 해쉬값을 순차적으로 저장할 수도 있으며, 이 이전에 저장된 해쉬값과 산출된 해쉬값을 비교하여 동일한 경우에는 저장을 수행하지 않을 수도 있다.
도 2b의 해쉬값 저장부(134)를 예로 들면, 시스템 파일 ws2help.dll에 대해 산출된 해쉬값이 ws_hash1, ws_hash2 인 경우로서, 저장 방식이 "모든 해쉬값의 순차적인 저장"으로 설정된 경우에는 기존에 저장된 ws_hash1, ws_hash2 다음에 ws_hash3를 추가적으로 저장할 수 있다.
이때, "동일한 해쉬값을 저장하지 않는 방식"으로 설정된 경우에는 해쉬 산출부(124)에서 ws_hash2과, ws_hash3의 값을 비교하여 동일한 경우에는 ws_hash3을 저장하지 않을 수 있다.
파일 백업부(126)는 해쉬값이 산출된 시스템 파일을 복사한 후, 암호화하여 백업을 수행하는 것으로서, 암호화된 시스템 파일 복사본은 백업 파일 저장부(136)에 전달되어 저장을 수행할 수 있다. 도 2c의 백업 파일 저장부(136)에 저장되는 시스템 파일 복사본은 해쉬값 저장부(134)에 저장되는 해쉬값과 대응되도록 저장할 수 있다.
한편, 백업 파일 저장부(136)가 단순히 운영체제 프로그램 내 접근 가능한 위치에 저장되는 경우에는 이를 확인한 악성코드로부터 시스템 파일 복사본에도 위변조가 수행될 수 있다.
이에 백업 파일 저장부(136)는 윈도우즈 운영체제 프로그램의 "system volume information" 폴더와 같이 접근권한을 통해 접근을 방지하거나, 시스템 파일 보호 및 복구 장치(100)의 접근만을 가능하도록 설정할 수 있다.
그리고 저장부(130)의 저장 방식은 델타 백업(delta backup) 방식으로 저장을 수행할 수 있다. 즉, 해쉬값이나 시스템 파일 복사본의 저장을 수행하는 경우에 해당 파일 전체를 백업하는 것이 아니라 파일 안에서 추가되거나 삭제, 수정 등 변경된 블록과 위치에 관한 정보만을 백업함으로써, 백업량을 할 수 있으며, 백업 시간과 저장 공간 또한 절약할 수 있다.
이러한 시스템 파일 보호 및 복구 장치(100)의 동작 방식에 대해서는 도 3 내지 도 5를 토대로 설명하도록 한다.
도 3은 본 발명의 실시예에 따른 파일 보호 장치의 동작 절차를 도시한 흐름도이다.
도 3을 참조하면, 300단계에서 파일 보호 장치(120) 내 시스템 파일 설정부(122)는 해당 운영체제 프로그램에 대한 시스템 파일을 설정하고, 302단계에서 해쉬 산출부(124)는 설정된 시스템 파일 각각에 대해 주기적으로 해쉬를 산출하게 된다.
이를 통해 304단계에서 해쉬 산출부(124)는 산출된 해쉬값을 해쉬값 저장부(134)에 전달하여 저장되도록 하고, 306단계에서 파일 백업부(126)는 산출된 해쉬값에 대응하는 시스템 파일을 백업 파일 저장부(136)로 전달하여 저장되도록 한다.
도 4는 본 발명의 실시예에 따른 진단 및 치료 장치의 동작 절차를 도시한 흐름도이다.
도 4를 참조하면, 400단계에서 진단 및 치료 장치(110) 내 검사부(112)에서는 시스템 파일에 대한 위변조 여부를 검사하여 402단계에서 위변조 파일이 발견된 경우에는, 404단계에서 해쉬 산출부(124)에 해쉬값 산출을 요청하고, 해쉬 산출부(124)에서는 발견된 위변조 파일에 대한 해쉬값을 산출하게 된다.
이후, 406단계에서 파일 복원부(114)는 발견된 위변조 시스템 파일에 대한 해쉬값을 토대로 해당 시스템 파일에 대해 저장된 해쉬값, 즉 위변조 시점 이전에 저장된 해쉬값으로 위변조 파일에 대한 복구를 수행하게 된다.
물론 시스템 파일의 복구 후에 위변조 여부 검사를 재차 수행하는 경우, 해당 시스템 파일이 위변조 파일로 다시 발견될 수도 있다. 이는 복구한 시스템 파일도 이미 위변조된 상태이므로, 이런 경우에는 도 4의 동작을 반복하여 복구한 시스템 파일의 저장 시점 바로 이전에 저장된 시스템 파일로 복구를 수행하게 된다.
도 5는 본 발명의 실시예에 따른 진단 및 치료 장치의 파일 복원 절차를 도시한 흐름도이다.
도 5를 참조하면, 진단 및 치료 장치(110) 내 파일 복원부(114)에서는 500단계에서 위변조 시스템 파일에 대해 최근 저장된 해쉬값을 해쉬값 저장부(134)에서 검색하여 추출하게 된다. 즉, 해당 시스템 파일이 위변조 되기 전에 저장된 해쉬값을 추출한 후, 502단계에서는 추출한 해쉬값과 일치하는 파일을 시스템 폴더 내 파일 또는 운영체제 프로그램 전체 폴더 내 각 파일들과 비교 검색을 수행하게 된다.
이에 504단계에서 검색을 통해 일치 파일이 존재하는 경우, 즉 악성코드가 정상 시스템 파일에 대해 파일명을 변경하여 백업해 둔 경우에는 506단계로 진행하여 위변조 파일을 삭제한 후, 백업된 정상 시스템 파일의 변경 파일명을 원래의 시스템 파일명으로 변경하여 복원을 수행하게 된다.
그러나 504단계에서 검색을 통해 일치 파일이 존재하지 않는 경우에는 508단계로 진행하여 바로 이전 해쉬값에 해당하는 시스템 파일의 복사본을 백업 파일 저장부(136)에서 추출하게 된다. 이때, 추출된 시스템 파일의 복사본은 암호화 되어 있으므로, 이에 대한 복호화를 수행한 후, 510단계에서 위변조 파일을 삭제하고, 복호화된 시스템 파일로 교체하게 된다.
도 6은 본 발명의 실시예에 따라 클라우드 서버를 이용한 시스템 파일 보호 및 복구 시스템의 구성도이다.
도 6을 참조하면, 클라우드 서버(650)를 이용한 시스템 파일 보호 및 복구 시스템은 인터넷, 전용회선, 무선망 등과 같은 유무선 통신망을 통해 다수의 사용자 단말기(600, 610, 620)와 연결된다. 이에 클라우드 서버(650)가 3대의 사용자 단말기(600, 610, 620)와 연결되는 경우를 예시한 것으로서, 추가적으로 복수의 사용자 단말기들과 연결될 수 있다.
클라우드 서버(650)는 사용자 단말기(600, 610, 620)와 접속하여 각 사용자 단말기(600, 610, 620)에 대한 사용자 인증(예컨대, 아이디/비밀번호 입력 방식)을 수행하고, 각각의 사용자 단말기들(600, 610, 620)로부터 전송된 해쉬값 및 시스템 파일 복사본을 각 사용자 단말기에 대응하는 저장부(130-1, 130-2, 130-3)에 저장할 수 있다.
그리고 사용자 단말기(600, 610, 620)는 유무선 통신망에 접속하여 클라우드 서버(650)와 연결을 수행할 수 있는 다양한 컴퓨팅 장치들을 포함할 수 있다. 이러한 사용자 단말기(600, 610, 620)는 각각 파일 보호 장치(120-1, 120-2, 120-3)와, 진단 및 치료 장치(110-1, 110-2, 110-3)를 포함할 수 있다. 해당 장치들은 하드웨어로 장착되거나, 응용프로그램으로 운영체제 프로그램에 설치될 수 있다.
이에 대한 동작 방식을 설명하면 예를 들어, 사용자 단말기(600)에서는 파일 보호 장치(120-1)로 시스템 파일들에 대한 해쉬값을 산출하여, 산출된 해쉬값 및 이에 대응하는 시스템 파일 복사본을 클라우드 서버(650) 내 저장부(130-1)에 저장시킬 수 있다.
이와 같이 저장부(130-1)를 클라우드 서버(650) 내에 인증방식으로 연결시킴으로써, 저장된 해쉬값 및 시스템 파일 복사본에 대한 위변조를 방지할 수 있다는 장점이 있다.
이상 설명한 바와 같이, 본 발명의 실시예에 따른 시스템 파일 보호 및 복구를 위한 장치, 방법, 사용자 단말기 및 시스템은, 컴퓨터 운영체제 프로그램의 시스템 폴더 내에 위치한 시스템 파일들의 위조 및 변조를 방지하고, 위변조된 파일들에 대해서는 정상적인 파일로 복구를 수행하기 위한 것으로서, 중요 시스템 파일들의 해쉬 값을 계산하여 각 파일에 대한 해쉬 정보를 데이터베이스화하고, 해당 시스템 파일을 암호화하여 컴퓨터의 특정 영역에 저장함으로써, 변조된 시스템 파일을 해쉬 정보를 통해 확인하고, 기 저장된 해당 시스템 파일을 복호화하여 복원을 수행한다.
한편 본 발명의 상세한 설명에서는 구체적인 실시예에 관해 설명하였으나, 본 발명의 범위에서 벗어나지 않는 한도 내에서 여러 가지 변형이 가능함은 물론이다. 그러므로 본 발명의 범위는 설명된 실시예에 국한되지 않으며, 후술되는 특허청구범위뿐만 아니라 이 특허청구범위와 균등한 것들에 의해 정해져야 한다.

Claims (17)

  1. 컴퓨팅 장치의 운영체제 프로그램 내 시스템 파일을 설정하는 시스템 파일 설정부와,
    설정된 시스템 파일에 대해 기설정된 주기로 해쉬값을 산출하고, 산출된 해쉬값을 저장부에 저장하는 해쉬값 산출부와,
    상기 산출된 해쉬값에 대응하는 시스템 파일을 암호화하여 상기 저장부에 저장하는 파일 백업부
    를 포함하는 시스템 파일 보호 및 복구 장치.
  2. 제 1 항에 있어서,
    상기 저장부는,
    상기 설정된 시스템 파일이 저장된 시스템 파일 저장부와,
    상기 해쉬값을 순차적으로 저장하는 해쉬값 저장부와,
    암호화된 시스템 파일을 순차적으로 저장하는 백업 파일 저장부
    를 포함하는 것을 특징으로 하는 시스템 파일 보호 및 복구 장치.
  3. 제 2 항에 있어서,
    상기 저장부는,
    상기 해쉬값 및 시스템 파일을 델타백업 형태로 저장하는 것을 특징으로 하는 시스템 파일 보호 및 복구 장치.
  4. 제 1 항에 있어서,
    상기 해쉬값 산출부는,
    상기 산출된 해쉬값이 이전 저장된 해쉬값과 동일하지 않은 경우, 상기 저장부에 저장하는 것을 특징으로 하는 시스템 파일 보호 및 복구 장치.
  5. 제 1 항에 있어서,
    상기 시스템 파일 보호 및 복구 장치는,
    상기 설정된 시스템 파일에 대한 위변조 여부를 검사하여 위변조 시스템 파일을 도출하는 검사부와,
    도출된 위변조 시스템 파일에 대한 해쉬값을 산출하고, 산출된 해쉬값을 토대로 해당 시스템 파일에 대해 기 저장된 해쉬값으로 위변조된 시스템 파일에 대한 복구를 수행하는 파일 복원부
    를 더 포함하는 것을 특징으로 하는 시스템 파일 보호 및 복구 장치.
  6. 제 5 항에 있어서,
    상기 파일 복원부는,
    상기 기 저장된 해쉬값과 일치하는 파일을 검색하여 검색된 경우, 상기 위변조 시스템 파일을 삭제한 후, 검색된 파일을 해당 시스템 파일명으로 변경하는 것을 특징으로 하는 시스템 파일 보호 및 복구 장치.
  7. 제 5 항에 있어서,
    상기 파일 복원부는,
    상기 기 저장된 해쉬값과 일치하는 파일을 검색하여 검색되지 않은 경우, 상기 저장부 내 상기 기 저장된 해쉬값에 대응하는 암호화된 시스템 파일을 추출하고,
    추출한 암호화된 시스템 파일을 복호화화여 시스템 파일로 복원하는 것을 특징으로 하는 시스템 파일 보호 및 복구 장치.
  8. 컴퓨팅 장치의 운영체제 프로그램 내 시스템 파일을 설정하는 과정과,
    설정된 시스템 파일에 대해 기설정된 주기로 해쉬값을 산출하고, 산출된 해쉬값을 저장부에 저장하는 과정과,
    상기 산출된 해쉬값에 대응하는 시스템 파일을 암호화하여 상기 저장부에 저장하는 과정
    을 포함하는 시스템 파일 보호 및 복구 방법.
  9. 제 8 항에 있어서,
    상기 저장하는 과정은,
    상기 해쉬값 및 시스템 파일을 델타백업 형태로 저장하는 것을 특징으로 하는 시스템 파일 보호 및 복구 방법.
  10. 제 8 항에 있어서,
    상기 산출된 해쉬값을 저장부에 저장하는 과정은,
    상기 산출된 해쉬값이 이전 저장된 해쉬값과 동일하지 않은 경우, 상기 저장부에 저장하는 것을 특징으로 하는 시스템 파일 보호 및 복구 방법.
  11. 제 8 항에 있어서,
    상기 시스템 파일 보호 및 복구 방법은,
    상기 설정된 시스템 파일에 대한 위변조 여부를 검사하여 위변조 시스템 파일을 도출하는 과정과,
    도출된 위변조 시스템 파일에 대한 해쉬값을 산출하는 과정과,
    산출된 해쉬값을 토대로 해당 시스템 파일에 대해 기 저장된 해쉬값으로 위변조된 시스템 파일에 대한 복구를 수행하는 과정
    을 포함하는 것을 특징으로 하는 시스템 파일 보호 및 복구 방법.
  12. 제 11 항에 있어서,
    상기 복구를 수행하는 과정은,
    상기 기 저장된 해쉬값과 일치하는 파일을 검색하여 검색된 경우, 상기 위변조 시스템 파일을 삭제한 후, 검색된 파일을 해당 시스템 파일명으로 변경하는 것을 특징으로 하는 시스템 파일 보호 및 복구 방법.
  13. 제 11 항에 있어서,
    상기 복구를 수행하는 과정은,
    기 저장된 해쉬값과 일치하는 파일을 검색하여 검색되지 않은 경우, 상기 저장부 내 상기 기 저장된 해쉬값에 대응하는 암호화된 시스템 파일을 추출하는 과정과,
    추출한 암호화된 시스템 파일을 복호화화여 시스템 파일로 복원하는 과정
    을 포함하는 것을 특징으로 하는 시스템 파일 보호 및 복구 방법.
  14. 제 8 항 내지 제 13 항 중에서 어느 한 항의 시스템 파일 보호 및 복구 방법을 수행하는 컴퓨터 프로그램이 기록된 기록매체.
  15. 운영체제 프로그램의 시스템 파일에 대해 기설정된 주기로 해쉬값을 산출하고, 산출된 해쉬값에 대응하는 시스템 파일을 암호화하여 상기 해쉬값 및 시스템 파일을 저장부 또는 유무선 통신망으로 연동되어 인증을 통해 접근 허용된 클라우드 서버의 고유 저장부로 전송하는 파일 보호부와,
    상기 시스템 파일에 대한 위변조 여부를 검사하여 검색된 위변조 시스템 파일의 해쉬값을 산출하고, 기 산출되어 저장된 해쉬값으로 상기 위변조 시스템 파일의 복원을 수행하는 진단 및 치료부
    를 포함하는 시스템 파일 보호 및 복구 사용자 단말기.
  16. 제 15 항에 있어서,
    상기 진단 및 치료부는,
    상기 기 산출되어 저장된 해쉬값과 일치하는 파일을 검색하여 검색된 경우, 상기 위변조 시스템 파일을 삭제한 후, 검색된 파일을 해당 시스템 파일명으로 변경하고,
    상기 기 산출되어 저장된 해쉬값과 일치하는 파일을 검색하여 검색되지 않은 경우, 상기 저장부 내 상기 기 산출되어 저장된 해쉬값에 대응하는 암호화된 시스템 파일을 추출한 후, 복호화화여 시스템 파일로 복원하는 것을 특징으로 하는 시스템 파일 보호 및 복구 사용자 단말기.
  17. 인증 절차를 통해 접근 허용된 사용자 단말기에 응용프로그램을 제공하고, 상기 사용자 단말기 별로 해쉬값 및 시스템 파일 복사본을 저장하는 저장부를 포함하는 클라우드 서버와,
    운영체제 프로그램의 시스템 파일에 대해 기설정된 주기로 상기 해쉬값을 산출하고, 산출된 해쉬값에 대응하는 시스템 파일을 암호화하여 상기 해쉬값 및 시스템 파일을 상기 클라우드 서버로 전송하고, 상기 시스템 파일에 대한 위변조 여부를 검사하여 검색된 위변조 시스템 파일의 해쉬값을 산출하고, 기 산출되어 저장된 해쉬값으로 상기 위변조 시스템 파일의 복원을 수행하는 사용자 단말기
    를 포함하는 시스템 파일 보호 및 복구 시스템.
PCT/KR2012/007235 2011-12-29 2012-09-07 시스템 파일 보호 및 복구를 위한 장치, 방법, 사용자 단말기 및 시스템 WO2013100320A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020110146431A KR101369251B1 (ko) 2011-12-29 2011-12-29 시스템 파일 보호 및 복구를 위한 장치, 방법, 사용자 단말기 및 시스템
KR10-2011-0146431 2011-12-29

Publications (1)

Publication Number Publication Date
WO2013100320A1 true WO2013100320A1 (ko) 2013-07-04

Family

ID=48697746

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2012/007235 WO2013100320A1 (ko) 2011-12-29 2012-09-07 시스템 파일 보호 및 복구를 위한 장치, 방법, 사용자 단말기 및 시스템

Country Status (2)

Country Link
KR (1) KR101369251B1 (ko)
WO (1) WO2013100320A1 (ko)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108846298A (zh) * 2018-05-23 2018-11-20 马佳明 一种文件内容的篡改检测方法及相关设备
CN111143807A (zh) * 2019-12-13 2020-05-12 航天信息股份有限公司 一种用于生成电子印章的方法及系统
CN115599595A (zh) * 2022-08-26 2023-01-13 北京万里开源软件有限公司（Cn） 一种基于分布式数据库的物理备份方法

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101832594B1 (ko) 2016-02-18 2018-02-26 라인 가부시키가이샤 중간 언어 파일의 로딩 속도 개선을 위한 방법 및 시스템
KR20170137534A (ko) * 2016-06-03 2017-12-13 주식회사 케이티 파일 백업을 통제하는 장치 및 방법
KR102039498B1 (ko) * 2018-01-11 2019-11-04 주식회사 인텐트 시큐어 악성코드 격리 시스템 및 방법
KR102321497B1 (ko) * 2020-01-02 2021-11-03 주식회사 스텔스솔루션 악성코드 감염 차단 시스템 및 방법
WO2023008620A1 (ko) * 2021-07-30 2023-02-02 (주)기원테크 폴더 보호 기능을 제공하는 보안 장비 시스템의 구동 장치 및 그 동작 방법

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20010038208A (ko) * 1999-10-22 2001-05-15 정선종 공개키 인증기관의 운용정보 관리 방법
KR20090001529A (ko) * 2007-04-23 2009-01-09 주식회사 비전파워 웹페이지 위변조 복구 시스템 및 복구 방법
KR101044291B1 (ko) * 2009-12-29 2011-06-28 주식회사 셀프시큐리티 실시간 웹페이지 위변조 탐지 및 복구시스템
KR101046025B1 (ko) * 2008-10-07 2011-07-01 이경수 임베디드 시스템 데이터 추출 장치 및 그 방법

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20010038208A (ko) * 1999-10-22 2001-05-15 정선종 공개키 인증기관의 운용정보 관리 방법
KR20090001529A (ko) * 2007-04-23 2009-01-09 주식회사 비전파워 웹페이지 위변조 복구 시스템 및 복구 방법
KR101046025B1 (ko) * 2008-10-07 2011-07-01 이경수 임베디드 시스템 데이터 추출 장치 및 그 방법
KR101044291B1 (ko) * 2009-12-29 2011-06-28 주식회사 셀프시큐리티 실시간 웹페이지 위변조 탐지 및 복구시스템

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108846298A (zh) * 2018-05-23 2018-11-20 马佳明 一种文件内容的篡改检测方法及相关设备
CN111143807A (zh) * 2019-12-13 2020-05-12 航天信息股份有限公司 一种用于生成电子印章的方法及系统
CN115599595A (zh) * 2022-08-26 2023-01-13 北京万里开源软件有限公司（Cn） 一种基于分布式数据库的物理备份方法

Also Published As

Publication number Publication date
KR101369251B1 (ko) 2014-03-06
KR20130093775A (ko) 2013-08-23

Similar Documents

Publication Publication Date Title
WO2013100320A1 (ko) 시스템 파일 보호 및 복구를 위한 장치, 방법, 사용자 단말기 및 시스템
CN108351946B (zh) 用于匿名化日志条目的系统和方法
US10050982B1 (en) Systems and methods for reverse-engineering malware protocols
US6922774B2 (en) Device for and method of secure computing using virtual machines
EP3039609B1 (en) Systems and methods for identifying private keys that have been compromised
WO2015056885A1 (ko) 안드로이드 악성 애플리케이션의 탐지장치 및 탐지방법
WO2015053509A1 (ko) 동적 라이브러리를 보호하는 방법 및 장치
US9338012B1 (en) Systems and methods for identifying code signing certificate misuse
WO2018182126A1 (ko) 안전 소프트웨어 인증 시스템 및 방법
WO2018056601A1 (ko) 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치 및 차단 방법
WO2019160195A1 (ko) 파일 내 포함된 악성 위협 탐지 장치 및 방법, 그 기록매체
WO2018164503A1 (ko) 상황 인식 기반의 랜섬웨어 탐지
WO2016024838A1 (ko) 클라우드 기반의 애플리케이션 보안 서비스 제공 방법 및 시스템
WO2016064041A1 (ko) 해쉬값을 이용하여 응용 프로그램의 위변조 여부를 탐지하는 사용자 단말기 및 그것을 이용한 위변조 탐지 방법
WO2023096027A1 (ko) 보안성이 향상된 데이터 백업 시스템
WO2023229063A1 (ko) 무해화(disarming) 동작에서 차이점(delta) 추출 방식을 이용한 원본 파일 백업 공간을 효율화하는 방법 및 이를 위한 장치
WO2018016830A1 (ko) 파일 암호화 방지 장치 및 방법
WO2014185627A1 (ko) 데이터 프로세싱 시스템 보안 장치와 보안방법
WO2017094990A1 (ko) 사용자파일을 암호화하는 악성코드의 모니터링 장치 및 방법
WO2019103443A1 (en) Method, apparatus and system for managing electronic fingerprint of electronic file
WO2014077614A1 (en) Anti-malware system, method of processing data in the same, and computing device
WO2014010847A1 (ko) 악성 애플리케이션 진단장치 및 방법
WO2016064040A1 (ko) 서명정보를 이용하여 응용 프로그램의 위변조 여부를 탐지하는 사용자 단말기 및 그것을 이용한 위변조 탐지 방법
WO2014200201A1 (ko) 시스템 보호를 위한 파일 보안용 관리장치와 관리방법
WO2019177265A1 (ko) 랜섬웨어 대응을 위한 데이터 처리 방법, 이를 실행시키는 프로그램 및 상기 프로그램을 기록한 컴퓨터 판독 가능한 기록매체

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12862730

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12862730

Country of ref document: EP

Kind code of ref document: A1