WO2013125866A1 - 컴퓨터 시스템 및 시그니처검증서버 - Google Patents

컴퓨터 시스템 및 시그니처검증서버 Download PDF

Info

Publication number
WO2013125866A1
WO2013125866A1 PCT/KR2013/001355 KR2013001355W WO2013125866A1 WO 2013125866 A1 WO2013125866 A1 WO 2013125866A1 KR 2013001355 W KR2013001355 W KR 2013001355W WO 2013125866 A1 WO2013125866 A1 WO 2013125866A1
Authority
WO
WIPO (PCT)
Prior art keywords
signature
verification
diagnosis
preliminary
computer system
Prior art date
Application number
PCT/KR2013/001355
Other languages
English (en)
French (fr)
Other versions
WO2013125866A9 (ko
Inventor
황규범
김정훈
Original Assignee
주식회사 안랩
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 안랩 filed Critical 주식회사 안랩
Priority to US14/380,142 priority Critical patent/US9852291B2/en
Publication of WO2013125866A1 publication Critical patent/WO2013125866A1/ko
Publication of WO2013125866A9 publication Critical patent/WO2013125866A9/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G06F21/564—Static detection by virus signature recognition
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • G06F15/16—Combinations of two or more digital computers each having at least an arithmetic unit, a program unit and a register, e.g. for a simultaneous processing of several programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/561—Virus type analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/033—Test or assess software
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic

Definitions

  • Embodiments of the present invention are techniques related to verification of a signature used when a malware is diagnosed, and pre-signatures in which the verification is not completed are pre-distributed to a plurality of user computers, and then stored in a file stored in the plurality of user computers.
  • pre-applied signatures when diagnosing malicious codes for malicious codes, and verifying the pre-applied signatures based on the information gathered in connection with the diagnosis results, the malicious codes for signatures in multiple user computer environments that will use the actual client vaccines.
  • the results of running code diagnostic simulations are related to techniques that can overcome the physical, spatial, and temporal limitations of traditional signature error verification.
  • Malware diagnosis methods are largely divided into a diagnostic method using a signature and a diagnostic method using a code. Diagnostic methods using codes are time-consuming and inexpensive, while diagnostic methods using signatures can respond quickly. Therefore, it is no exaggeration to say that more than 99% of malicious codes are diagnosed using signatures.
  • Malware diagnostic methods using such signatures are generally diagnosed several times with one signature, but diagnostic methods using statistical techniques can diagnose as few as tens or even tens of thousands with one signature.
  • a diagnostic method using signatures has the possibility of misdiagnosing malicious code, that is, diagnosing a normal file which is not a malicious code as a malicious code.
  • the signature verification process is an error verification process.
  • Most existing signature makers use a closed verification method that collects a large number of whitelist files and tests / verifies signatures (validated in a closed laboratory). Verification method).
  • the present invention intends to propose a more extensive verification method to overcome the constraints of the error verification method for the existing signature.
  • Embodiments of the present invention are techniques for verifying a signature for a signature used when diagnosing malware, and pre-signatures of which the verification is not completed are pre-distributed to a plurality of user computers to be stored in files stored in the plurality of user computers.
  • a computer system for achieving the above object, the file storage unit for storing at least one file; A malicious code diagnosis performing unit performing a malicious code diagnosis on the at least one file by using a preliminary application signature of a state in which the error verification is not completed; And in response to the preliminary application signature, when the malicious file is diagnosed as a malicious file as a result of performing the malicious code diagnosis, verifying that the verification related information required for the verification of the error is provided to the specific signature verification server based on the diagnosed diagnosis result. Includes relevant information provider.
  • the signature verification server for achieving the above object is based on a diagnosis result in which a specific file is diagnosed as malicious code in response to a preliminary signature of a state in which the verification of the error is not completed from at least one computer system.
  • Verification-related information collecting unit for collecting verification-related information according to;
  • a verification performing unit configured to perform the false verification on the preliminary applied signature based on the collected verification related information;
  • a verification result providing unit configured to provide a verification result of performing the misdiagnosis to the at least one computer system having the preliminary application signature.
  • a method for supporting signature verification of a computer system including: a file storing step of storing at least one file; Performing a malicious code diagnosis step of performing a malicious code diagnosis on the at least one file by using a pre-applied signature of a state in which the verification of the error is not completed; And in response to the preliminary application signature, when the malicious file is diagnosed as a malicious file as a result of performing the malicious code diagnosis, verifying that the verification related information required for the verification of the error is provided to the specific signature verification server based on the diagnosed diagnosis result. And providing related information.
  • the signature verification method for achieving the above object is based on a diagnosis result in which a specific file is diagnosed as malicious code in response to a pre-applying signature in a state in which the verification of the error is not completed from at least one computer system.
  • Embodiments of the present invention by pre-distributing the pre-applied signature of the state that the verification of the error is not completed to a plurality of user computers to reflect the pre-applied signature when the malicious code for the files stored in the multiple user computers to diagnose
  • the result of running the malware diagnosis simulation of the signatures in multiple user computer environments that will use the actual client vaccine is derived from the existing signature verification. Overcome physical, spatial, and temporal limitations.
  • FIG. 1 is a block diagram showing a signature verification system including a computer system and a signature verification server according to a preferred embodiment of the present invention.
  • FIG. 2 is a block diagram showing the configuration of a computer system according to a preferred embodiment of the present invention.
  • FIG. 3 is a block diagram showing a configuration of a signature verification server according to a preferred embodiment of the present invention.
  • FIG. 4 is a flowchart illustrating a control flow of a signature verification system according to a preferred embodiment of the present invention.
  • FIG. 5 is a flowchart illustrating an operation flow of a signature verification support method of a computer system according to an exemplary embodiment of the present invention.
  • FIG. 6 is a flowchart illustrating an operation flow of a signature verification method according to a preferred embodiment of the present invention.
  • FIG. 1 is a diagram illustrating a signature verification system according to a preferred embodiment of the present invention.
  • the signature verification system may include a plurality of computer systems 100, a signature verification server 200, a signature creation system 300, an update server 400, and the like. .
  • the computer system 100 is a user computer used in various user belongings such as a general home, a business, a school, or an academy, and stores / stores a plurality of files and diagnoses a malicious code of the plurality of files through a client vaccine to be described later. Perform.
  • the signature creation system 300 is a system for creating a signature used when a malicious code is diagnosed. Since the signature creation method may adopt any one of various existing signature creation methods, a detailed description of the signature creation method is omitted. Do it.
  • the signature creation system 300 includes an identifier indicating that the newly created signature is in a state of not validating the verification.
  • the update server 400 provides / distributes the signature created in the signature creation system 300 to the computer system 100 to be distributed, so that the signature is updated in the client vaccine of the computer system 100.
  • the method of updating the client vaccine by distributing the signature to the computer system 100 and updating the client vaccine may adopt any one of various existing methods, and thus detailed description thereof will be omitted.
  • the computer system 100 may perform malicious code diagnosis on a plurality of pre-stored files.
  • the computer system 100 uses a plurality of pre-stored files by using at least one of a pre-signature of a state in which the verification of the error is not completed and an application signature of a state in which the verification of the error is completed. Perform malicious code diagnosis for.
  • the applied signature means a signature that can apply the diagnosis result immediately when the malicious code is diagnosed, that is, a signature in which the verification of the error is completed, and the pre-applied signature is reflected when the malicious code is diagnosed, but the diagnosis result is used as the malware diagnosis simulation.
  • the computer system 100 may make a mistake based on a diagnosis result in which the specific file is diagnosed as the malicious code in response to the preliminary application signature.
  • the verification related information required for verification may be generated and provided to the specific signature verification server 200.
  • reflecting the pre-apply signature when the malware is diagnosed in the computer system 100 is equivalent to performing a malware diagnosis simulation of the pre-apply signature on a plurality of files held / stored in the computer system 100.
  • the signature verification server 200 may collect verification related information according to a diagnosis result of a specific file diagnosed as malicious code in response to a preliminary application signature of a state in which the verification of the error is not completed from the plurality of computer systems 100. .
  • the signature verification server 200 performs a simulation simulation of preliminary application signatures on a plurality of files held / stored in each computer system 100 from a plurality of computer systems 100. It's like collecting information.
  • the signature verification server 200 performs a false verification on the pre-applied signature based on the verification related information collected as described above.
  • the signature verification server 200 provides the verification result of performing the verification to the at least one computer system 100 having the pre-applied signature.
  • the signature verification server 200 determines that the diagnosis by the preliminary application signature is a result of the misleading verification of the preliminary application signature, the signature verification result of the abnormal verification result for the preliminary application signature is created. It may be provided to the system 400, so that the signature creation system 400 to re-create the signature corresponding to the pre-applied signature.
  • the signature verification server 200 provides an abnormal verification result for the pre-apply signature to at least one computer system 100 having the pre-apply signature, thereby changing the pre-apply signature to an inactive state. It can not be reflected when malware is diagnosed.
  • the signature verification server 200 if the misleading determination does not occur during a specific monitoring period as a result of performing the verification of the pre-applied signature, at least one of the normal verification results for the pre-applied signature having the pre-applied signature To the computer system 100.
  • the computer system 100 changes the state of the corresponding pre-apply signature to the application signature state where the verification of the verification is completed. .
  • the signature verification server 200 provides a normal verification result for the pre-applied signature to a signature management system (not shown, for example, the signature creation system 400), and applies the preliminary verification of the pre-applied signature. It can be managed by changing to the signature state.
  • the specific computer system 100 among the plurality of computer systems 100 may be a computer system that holds / stores a white list file.
  • the signature verification server 200 immediately applies the preliminary application.
  • the diagnosis of the signature may be determined as a misdiagnosis, and the abnormal verification result may be provided to the specific computer system 100 and the signature creation system 300.
  • the computer system 100 includes at least one of a file storage unit 110 for storing at least one file, a pre-application signature in a state in which the verification of errors is not completed, and an application signature in a state in which the verification of the errors is completed.
  • the malicious code diagnostic execution unit 120 for performing a malicious code diagnosis for the at least one file, and as a result of performing the malicious code diagnosis, if a specific file is diagnosed as malicious code
  • the verification related information providing unit 130 generates verification related information required for the verification of the false based on a diagnosis result of the specific file diagnosed as a malicious code in response to the preliminary application signature and provides the verification related information to the specific signature verification server 200. ).
  • the computer system 100 may further include a signature state change unit 140.
  • the file storage unit 110 holds / stores at least one file which is a malicious code diagnosis target to be described later.
  • the malicious code diagnosis execution unit 120 uses at least one of a pre-signature signature in which the verification of the error is not completed and an application signature in a status of verification of the completion of the verification, to at least one file of the file storage unit 110. Performs malware diagnosis for
  • the malicious code diagnosis execution unit 120 corresponds to the client vaccine mentioned above.
  • the malicious code diagnosing unit 120 receives the signature provided / distributed from the update server 400 and updates it for use in diagnosing the malicious code.
  • the malicious code diagnosis execution unit 120 stores the file by using at least one of a pre-signature signature in which the verification of the error is not completed and an application signature in the status of verification of the error.
  • the malware is diagnosed for at least one file of the unit 110.
  • the malicious code diagnosis execution unit 120 when a specific file is diagnosed as malicious code in response to the application signature of the malicious code diagnosis result, the application signature is a signature in the state of verification of the error, so that the diagnosis result is applied immediately.
  • General diagnostic procedures such as treating malware, will be performed.
  • the verification-related information providing unit 130 diagnoses the specific file as the malicious code in response to the preliminary application signature as a result of performing the malicious code diagnosis, based on the diagnosis result in which the specific file is diagnosed as the malicious code in response to the preliminary application signature.
  • a specific signature verification server 200
  • the verification-related information the signature identification information of the preliminary application signature, the file identification information of the diagnosed specific file, the diagnosis user's belonging information to which the user corresponding to the computer system 100 belongs, the diagnosis time information, the diagnosis specific information
  • the file preferably includes at least one of file existence period information existing in the computer system 100 and malicious code diagnosis history information of the diagnosed specific file.
  • the verification-related information providing unit 130 when a specific file is diagnosed as a malicious code in response to the preliminary application signature, the signature identification information of the preliminary application signature used for the diagnosis and the file identification of the diagnosed specific file Information, diagnostic user belonging information (eg, school) indicating what user belonging to the user corresponding to the computer system 100 belongs to, and diagnosed diagnosis time information (eg, year / month / day / hour / minute / Second), file existence period information (eg, 200 hours) in which the diagnosed specific file resides in the computer system 100, and malicious code diagnosis history information indicating when the diagnosed specific file has been diagnosed as malicious code in the past.
  • Generate verification related information including at least one of the following.
  • the verification related information providing unit 130 provides the generated verification related information to the signature verification server 200.
  • the verification related information providing unit 130 sends the verification related information about the at least one preliminary applied signature diagnosed each time the malicious code diagnosis performing unit 120 performs the malicious code diagnosis to the signature verification server 200. Can provide.
  • the signature verification server 200 verifies a signature according to a diagnosis result in which a specific file is diagnosed as malicious code in response to a preliminary signature of a state in which the verification of the error is not completed from each of the plurality of computer systems 100.
  • the signature verification server 200 verifies a signature according to a diagnosis result in which a specific file is diagnosed as malicious code in response to a preliminary signature of a state in which the verification of the error is not completed from each of the plurality of computer systems 100.
  • the signature verification server 200 verifies a signature according to a diagnosis result in which a specific file is diagnosed as malicious code in response to a preliminary signature of a state in which the verification of the error is not completed from each of the plurality of computer systems 100.
  • the signature state change unit 140 When the signature state change unit 140 returns a verification result of performing the false verification on the preliminary signature based on the verification related information collected from the at least one computer system in the signature verification server 200, If the returned verification result is normal, the state of the preliminary application signature is changed to the application signature state in which the false verification is completed.
  • the signature state change unit 140 may receive a verification result of the preliminary signature applied when the malicious code diagnosis unit 120 diagnoses the malicious code from the signature verification server 200.
  • the signature state changing unit 140 changes the state of the preliminary application signature to the application signature state in which the false verification is completed if the returned verification result is the normal verification result.
  • the signature state changing unit 140 changes the preliminary signature to an inactive state if the returned verification result is an abnormal verification result.
  • the malicious code diagnosis execution unit 120 will not reflect the pre-applied signature of the inactive state when performing the malware diagnosis thereafter, and may delete the pre-applied signature of the inactive state.
  • the signature verification server 200 includes verification-related information according to a diagnosis result in which a specific file is diagnosed as malicious code in response to a preliminary signature of a state in which the verification of the error is not completed from at least one computer system 100.
  • a verification-related information collecting unit 210 for collecting the verification information, a verification performing unit 220 for performing the error verification on the preliminary signature based on the collected verification-related information, and a verification result of performing the verification of the error It includes a verification result providing unit 230 for providing to the at least one computer system having the pre-applied signature.
  • the verification related information collecting unit 210 collects verification related information according to a diagnosis result in which a specific file is diagnosed as malicious code in response to a preliminary application signature of a state in which the verification of verification is not completed from at least one computer system 100. do.
  • the verification-related information collecting unit 210 by performing a malicious code diagnostics performed on a file having a kind and number close to infinity from a plurality of computer systems 100, preliminary application of the state that the verification of the verification is not completed It is like collecting the verification related information diagnosed in response to the signature, that is, the result of performing the malware diagnosis simulation.
  • the verification performing unit 220 performs a false verification on the pre-applied signature based on the verification related information collected by the verification related information collecting unit 210.
  • the verification related information collecting unit 210 is based on the preliminary application signature verification related information collected by performing a malicious code diagnosis performed on a file having a kind and number close to infinity from a plurality of computer systems 100. Therefore, the verification of the error is performed for the preliminary signature.
  • the verification performing unit 220 performs a false verification based on verification-related information collected from a plurality of computer systems 100, and then specifies a specific file by a corresponding preliminary signature.
  • a first condition in which the number of diagnosed diagnoses is more than a specific number of times, a second condition in which the specific file has a history of no malicious code detection for a specific reference time or more, and a predetermined existence period or more in the computer system 100 in which the specific file is held If the third condition is satisfied, the diagnosis by the preliminary application signature may be determined as a misdiagnosis.
  • the verification performing unit 220 performs the error verification, and the number of times a specific file is diagnosed by the preliminary application signature is more than a certain number of times, and the specific file is retained without a malicious code detection history for a specific reference time or more. If it is determined that the computer system 100 has sufficiently existed for a certain period of time, the diagnosis based on the preliminary signature may be determined as a misdiagnosis.
  • the verification performing unit 220 determines that the diagnosis by the preliminary application signature is a misdiagnosis in the case of the above, instead of determining that the probability of misdiagnosis is high and that the probability of misdiagnosis is high is a specific determination number (eg, If more than 3 times), the diagnosis by the preliminary application signature can be judged as a misdiagnosis.
  • the verification performing unit 220 performs a false verification based on verification related information collected from a plurality of computer systems 100, and is generated by the preliminary signature applied to a specific diagnostic user.
  • the diagnosis by the corresponding pre-applied signature may be determined as a mistake.
  • the verification performing unit 220 performs the erroneous verification so that the number of diagnosis generated by the preliminary signature for a short time (specific concentration occurrence time) in a specific diagnosis user belonging to (eg school) is concentrated (intensively). If it is determined that the occurrence occurs, the diagnosis by the preliminary application signature may be determined as a misdiagnosis.
  • the verification performing unit 220 determines that the diagnosis by the preliminary application signature is a misdiagnosis in the case of the above, instead of determining that the probability of misdiagnosis is high and that the probability of misdiagnosis is high is a specific determination number (eg, If more than 3 times), the diagnosis by the preliminary application signature can be judged as a misdiagnosis.
  • the verification performing unit 220 performs a misleading verification based on verification related information collected from a plurality of computer systems 100, and then distributes the preliminary signature to apply a specific distribution initial time.
  • the verification performing unit 220 performs the error verification, and the number of diagnoses generated by the preliminary application signature at an initial stage (within a specific initial distribution time) of distributing the preliminary application signature is more than a specific large number of occurrences. If a large amount is generated and the feature (eg code size) matching rate between files diagnosed by the preliminary application signature is significantly different below a specific matching criterion, the diagnosis by the preliminary application signature may be determined as a misdiagnosis.
  • the verification performing unit 220 determines that the diagnosis by the preliminary application signature is a misdiagnosis in the case of the above, instead of determining that the probability of misdiagnosis is high and that the probability of misdiagnosis is high is a specific determination number (eg, If more than 3 times), the diagnosis by the preliminary application signature can be judged as a misdiagnosis.
  • the verification performing unit 220 may adopt the above-described first, second, and third embodiments, or may combine the embodiments to perform the misdiagnosis.
  • the verification performing unit 220 determines that the diagnosis by the preliminary application signature as the error as described above, the misdiagnosis basis information on the preliminary application signature that is determined to be misdiagnosed (e.g., diagnosed file identification information, file size, error) Judgment status, etc.) can be reported to the analyst so that the analyst can determine whether the final misrepresentation of the pre-applied signature is taken as a reference.
  • the misdiagnosis basis information on the preliminary application signature that is determined to be misdiagnosed e.g., diagnosed file identification information, file size, error
  • the verification result providing unit 230 provides the verification result of the verification performed by the verification performing unit 220 to the at least one computer system 100 having the preliminary application signature.
  • the verification result providing unit 230 determines that the diagnosis by the preliminary application signature is a result of the misleading verification by the verification performing unit 220, the verification result of the preliminary application signature is abnormal. May be provided to the specific signature creation system 300 to re-create the signature corresponding to the pre-applied signature.
  • the verification result providing unit 230 determines that the diagnosis by the preliminary application signature is a result of misleading verification of the preliminary application signature by the verification execution unit 220
  • the abnormal verification result of the preliminary application signature May be provided to the signature creation system 400 so that the signature creation system 400 may re-create the signature corresponding to the pre-applied signature.
  • the verification result providing unit 230 provides an abnormal verification result for the preliminary application signature to the at least one computer system 100 having the preliminary application signature, thereby changing the preliminary application signature to an inactive state. Afterwards, it can not be reflected in the malware diagnosis.
  • the verification result providing unit 230 when the verification performed by the verification performing unit 220 in the misidentification verification for the pre-applied signature does not occur during a specific monitoring period, the normal verification results for the pre-applied signature To the at least one computer system 100 having the pre-applied signature.
  • the computer system 100 changes the state of the preliminary application signature corresponding to the application signature state where the error verification is completed as described above.
  • the verification result providing unit 230 provides a normal verification result for the preliminary application signature to a signature management system (not shown, for example, the signature creation system 400), and thus the preliminary verification of the preliminary application signature is completed. It can be managed by changing to the applied signature state.
  • the malware is diagnosed for the files stored in the plurality of user computers.
  • the preliminary signature of the time signature and performing the verification of the preliminary signature based on the information gathered in relation to the diagnosis result, it is possible to simulate the malware diagnosis of the signature in a large number of user computer environments that will use the actual client vaccine. Execution results can be derived to overcome the physical, spatial, and temporal limitations of traditional signature error verification.
  • FIGS. 4 to 6 the signature verification method according to the present invention will be described with reference to FIGS. 4 to 6.
  • the configuration shown in FIGS. 1 to 3 described above will be described with reference to the corresponding reference numerals.
  • the plurality of computer systems 100 receive signatures (including pre-applied signatures) distributed / provided from the update server 400 (S10) and update the client vaccine.
  • the computer system 100 uses at least one of a pre-signature of a state in which the verification of the error is not completed and an application signature of a state in which the verification of the error is completed. Perform the malware diagnosis for (S20).
  • the computer system 100 When the specific file is diagnosed as a malicious code in response to the preliminary application signature of the malicious code diagnosis result, the computer system 100 requests the verification of the error based on the diagnosis result in which the specific file is diagnosed as the malicious code in response to the preliminary application signature. Generate the verification related information (S30), and provides the verification related information to the specific signature verification server 200 (S40).
  • the signature verification server 200 may collect verification related information according to a diagnosis result of a specific file diagnosed as a malicious code in response to a pre-application signature of a state in which the verification of the error is not completed from a plurality of computer systems 100. It may be (S50).
  • the signature verification server 200 performs a false verification on the pre-applied signature based on the verification related information collected as described above (S60).
  • the signature verification server 200 provides the verification result of performing the verification to the at least one computer system 100 having the pre-applied signature.
  • the signature verification server 200 determines that the diagnosis by the preliminary application signature is a misleading result as a result of performing a misleading validation on the preliminary application signature (S70)
  • the abnormal verification result of the preliminary application signature is verified. May be provided to the signature creation system 400 (S80), so that the signature creation system 400 may re-create the signature corresponding to the pre-applied signature (S85).
  • the signature verification server 200 provides an abnormal verification result for the pre-apply signature to the at least one computer system 100 having the pre-apply signature (S90), and changes the pre-apply signature to an inactive state. Afterwards, it may not be reflected when the malicious code is diagnosed (S95).
  • the signature verification server 200 if the misleading determination does not occur during a specific monitoring period as a result of performing the verification of the pre-applied signature, at least one of the normal verification results for the pre-applied signature having the pre-applied signature Provided to the computer system 100 (S100).
  • the computer system 100 changes the state of the corresponding pre-apply signature to the application signature state where the verification of the verification is completed. (S110).
  • the signature verification server 200 provides a normal verification result for the pre-applied signature to a signature management system (not shown, for example, the signature creation system 400) (S120), and verifies the pre-applied signature by mistake. It can be managed by changing to the completed applied signature state.
  • a signature management system not shown, for example, the signature creation system 400
  • the signature verification support method of the computer system according to the present invention holds / stores at least one file to be diagnosed as malicious code (S200).
  • the signature verification support method of the computer system according to the present invention may be malicious for at least one file previously stored using at least one of a pre-signature in a state in which the verification of verification is not completed and an application signature in a state in which the verification of verification is completed.
  • the signature verification support method of the computer system when a malicious code is diagnosed as a result of performing a malicious code diagnosis, it is determined whether the signature used in the diagnosis is an applied signature or a pre-applied signature (S230).
  • the signature verification support method of the computer system according to the present invention is that when a specific file is diagnosed as a malicious code in response to the malware signature execution result application signature, the signature is a signature in the state where the verification is completed, so that the diagnosis result is immediately applied. It will proceed with the general diagnostic procedures such as treating the malware (S240).
  • the signature verification support method of the computer system if a specific file is diagnosed as a malicious code in response to the preliminary application signature as a result of performing the malicious code diagnosis, the specific file is diagnosed as malicious code in response to the preliminary application signature Based on the diagnosis result, the verification related information required for the verification of the error is generated and provided to the specific signature verification server 200 (S250).
  • the signature verification server 200 may receive a verification result for the pre-applied signature reflected in the diagnosis of the malware at step S210 (S260).
  • the signature verification support method of the computer system determines whether the returned verification result is a normal verification result or an abnormal verification result (S270), and if it is a normal verification result, the verification of the status of the preliminary applied signature is performed. Change to the completed application signature state (S280).
  • the signature verification support method of the computer system according to the present invention if the returned verification result is an abnormal verification result, the pre-applied signature is changed into an inactive state (S290). Therefore, the signature verification support method of the computer system according to the present invention will not reflect the pre-applied signature of the inactive state when performing malware diagnosis, and may delete the pre-applied signature of the inactive state.
  • the signature verification method collects verification-related information based on a diagnosis result of a specific file diagnosed as malicious code in response to a pre-apply signature of a state in which the verification of verification is not completed from at least one computer system 100. (S300).
  • a preliminary signature of a state in which the verification of the error is not completed is performed by performing a malware diagnosis performed on a file having a kind and number close to infinity from a plurality of computer systems 100. It is like collecting the verification related information diagnosed in response to the malicious code.
  • the signature verification method based on the verification-related information collected in step S300 performs a verification on the pre-applied signature (S310).
  • the signature verification method is based on preliminary signature correspondence verification related information collected by performing malicious code diagnosis performed on a file having a kind and number close to infinity from a plurality of computer systems 100.
  • the validation of the preliminary signature is performed.
  • the procedure for performing the false verification in the signature verification method according to the present invention corresponds to the first, second and third embodiments of the verification performing unit 220 described with reference to FIG. Omit it.
  • the signature verification method according to the present invention provides the verification result of performing the verification in step S310 to at least one computer system 100 having the preliminary application signature.
  • the signature verification method if the diagnosis by the preliminary application signature is determined as a result of the misleading verification of the preliminary application signature (S320), the abnormal verification result of the preliminary application signature is determined. May be provided to the signature creation system 400 (S330), so that the signature creation system 400 may re-create the signature corresponding to the pre-applied signature.
  • the signature verification method according to the present invention provides an abnormal verification result for the pre-apply signature to the at least one computer system 100 having the pre-apply signature (S330), and makes the pre-apply signature in an inactive state. It can be changed and not reflected in the malware diagnosis later.
  • the signature verification method when a misjudge determination does not occur as a result of performing the verification of the pre-applied signature (S340), the normal verification result for the pre-apply signature is preliminary.
  • the at least one computer system 100 having an application signature S350.
  • the computer system 100 changes the state of the preliminary application signature corresponding to the application signature state where the error verification is completed as described above.
  • the signature verification method by providing a normal verification result for the pre-applied signature to a signature management system (not shown, for example, signature creation system 400) (S350), the pre-applied signature is misdiagnosed It can be managed by changing to the applied signature state that has been verified.
  • a signature management system not shown, for example, signature creation system 400
  • a file stored in a plurality of user computers by pre-distributing the signatures in which the verification is not completed is pre-distributed to the plurality of user computers.
  • the security document execution method and the document management method of the terminal device may be implemented in the form of program instructions that can be executed by various computer means and recorded in a computer readable medium.
  • the computer readable medium may include program instructions, data files, data structures, etc. alone or in combination.
  • Program instructions recorded on the media may be those specially designed and constructed for the purposes of the present invention, or they may be of the kind well-known and available to those having skill in the computer software arts.
  • Examples of computer readable recording media include magnetic media such as hard disks, floppy disks and magnetic tape, optical media such as CD-ROMs, DVDs, and magnetic disks such as floppy disks.
  • Magneto-optical media and hardware devices specifically configured to store and execute program instructions, such as ROM, RAM, flash memory, and the like.
  • program instructions include not only machine code generated by a compiler, but also high-level language code that can be executed by a computer using an interpreter or the like.
  • the hardware device described above may be configured to operate as one or more software modules to perform the operations of the present invention, and vice versa.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Quality & Reliability (AREA)
  • Storage Device Security (AREA)
  • Debugging And Monitoring (AREA)

Abstract

본 발명은, 컴퓨터 시스템 및 시그니처검증서버와, 컴퓨터 시스템의 시그니처 검증 지원 방법 및 시그니처 검증 방법이 개시되어 있다. 본 발명의 실시예들은 악성코드 진단 시 이용되는 시그니처에 대한 오진 검증에 관한 기술로서, 오진 검증이 완료되지 않은 상태의 예비적용시그니처를 다수의 사용자 컴퓨터에 선 배포하여 다수의 사용자 컴퓨터에서 저장된 파일에 대한 악성코드 진단 시 예비적용시그니처를 반영하도록 하고 그 진단결과와 관련하여 수집된 정보를 기초로 예비적용시그니처에 대한 오진 검증을 수행함으로써, 실제 클라이언트백신을 사용할 다수의 사용자 컴퓨터 환경에서 시그니처에 대한 악성코드 진단 시뮬레이션을 실행하는 결과를 도출할 수 있어 기존의 시그니처 오진 검증에서 갖는 물리적, 공간적, 시간적 한계를 극복할 수 있는 기술에 대한 것이다.

Description

컴퓨터 시스템 및 시그니처검증서버
본 발명은 실시예들은 악성코드 진단 시 이용되는 시그니처에 대한 오진 검증에 관한 기술로서, 오진 검증이 완료되지 않은 상태의 예비적용시그니처를 다수의 사용자 컴퓨터에 선 배포하여 다수의 사용자 컴퓨터에서 저장된 파일에 대한 악성코드 진단 시 예비적용시그니처를 반영하도록 하고 그 진단결과와 관련하여 수집된 정보를 기초로 예비적용시그니처에 대한 오진 검증을 수행함으로써, 실제 클라이언트백신을 사용할 다수의 사용자 컴퓨터 환경에서 시그니처에 대한 악성코드 진단 시뮬레이션을 실행하는 결과를 도출할 수 있어 기존의 시그니처 오진 검증에서 갖는 물리적, 공간적, 시간적 한계를 극복할 수 있는 기술들과 관련된다.
악성 코드 진단 방법은, 크게 시그니처를 이용하는 진단 방법과 코드를 이용한 진단 방법으로 나누어 진다. 코드를 이용한 진단 방법은 시간이 많이 걸리고 신속성이 떨어지는 반면, 시그니처를 이용한 진단 방법은 빠르게 대응할 수 있다. 이에, 악성 코드 진단의 99% 이상이 시그니처를 이용하여 이루어지고 있다고 해도 과언이 아니다.
이러한 시그니처를 이용한 악성 코드 진단 방법은, 통상적으로는 1개의 시그니처로 수개를 진단하는 것이 일반적이지만 통계 기술을 이용하는 진단 방법들은 1개의 시그니처로 적게는 수십개 많게는 수만개까지 진단하게 된다.
이러한 상황에서 볼 때 시그니처를 이용한 진단 방법으로 인해 발생하는 오진 비율은, 처리량 대비로는 낮다고 볼 수 있으나 빈도는 높다고 할 수 있다. 특히, 시그니처를 이용한 진단 방법은, 악성 코드 진단의 오진, 즉 악성 코드가 아닌 일반적인 정상 파일을 악성 코드로 진단하는 오진 가능성이 있다.
이에, 시그니처를 작성한 후 이를 검증하는 오진 검증 과정을 거치게 되는데, 기존의 대부분 시그니처 작성업체는 오진 검증 과정으로서 화이트리스트 파일을 다수 모아놓고 시그니처를 테스트/검증하는 폐쇄 검증 방법(폐쇄된 연구실내에서 검증하는 검증 방법)을 취하고 있다.
이러한 폐쇄 검증 방법은, 화이트리스트 파일로만 오진 검증을 수행하기 때문에 경우 화이트리스트 품질 문제가 발생하게 되고, 또한 화이트리스트의 저장 용량을 무한정 확대하기도 어렵고, 또한 모든 파일을 다 수집하여 정리하기도 사실상 불가능하기 때문에 물리적, 공간적, 시간적인 비용이 많이 소요되어 구축에 한계가 따른다.
이에, 본 발명에서는 기존의 작성한 시그니처에 대한 오진 검증 방법의 제약 조건들을 극복하기 위해 좀 더 광범위한 검증 방법을 제안하고자 한다.
본 발명의 실시예들은 악성코드 진단 시 이용되는 시그니처에 대한 오진 검증에 관한 기술로서, 오진 검증이 완료되지 않은 상태의 예비적용시그니처를 다수의 사용자 컴퓨터에 선 배포하여 다수의 사용자 컴퓨터에서 저장된 파일에 대한 악성코드 진단 시 예비적용시그니처를 반영하도록 하고 그 진단결과와 관련하여 수집된 정보를 기초로 예비적용시그니처에 대한 오진 검증을 수행함으로써, 실제 클라이언트백신을 사용할 다수의 사용자 컴퓨터 환경에서 시그니처에 대한 악성코드 진단 시뮬레이션을 실행하는 결과를 도출할 수 있어 기존의 시그니처 오진 검증에서 갖는 물리적, 공간적, 시간적 한계를 극복하고자 한다.
상기 목적을 달성하기 위한 본 발명의 제 1 관점에 따른 컴퓨터 시스템은, 적어도 하나의 파일을 저장하는 파일저장부; 오진 검증이 완료되지 않은 상태의 예비적용시그니처를 이용하여, 상기 적어도 하나의 파일에 대한 악성코드 진단을 수행하는 악성코드진단수행부; 및 상기 예비적용시그니처에 대응하여 상기 악성코드 진단 수행 결과 특정 파일이 악성코드로 진단되면, 상기 진단된 진단결과를 기초로 하는 상기 오진 검증에 요구되는 검증관련정보를 특정 시그니처검증서버로 제공하는 검증관련정보제공부를 포함한다.
상기 목적을 달성하기 위한 본 발명의 제 2 관점에 따른 시그니처검증서버는, 적어도 하나의 컴퓨터 시스템으로부터 오진 검증이 완료되지 않은 상태의 예비적용시그니처에 대응하여 특정 파일이 악성코드로 진단된 진단 결과에 따른 검증관련정보를 수집하는 검증관련정보수집부; 상기 수집된 검증관련정보를 기초로 상기 예비적용시그니처에 대하여 상기 오진 검증을 수행하는 검증수행부; 및 상기 오진 검증을 수행한 검증결과를 상기 예비적용시그니처를 보유한 상기 적어도 하나의 컴퓨터 시스템으로 제공하는 검증결과제공부를 포함한다.
상기 목적을 달성하기 위한 본 발명의 제 3 관점에 따른 컴퓨터 시스템의 시그니처 검증 지원 방법은, 적어도 하나의 파일을 저장하는 파일 저장단계; 오진 검증이 완료되지 않은 상태의 예비적용시그니처를 이용하여, 상기 적어도 하나의 파일에 대한 악성코드 진단을 수행하는 악성코드진단 수행단계; 및 상기 예비적용시그니처에 대응하여 상기 악성코드 진단 수행 결과 특정 파일이 악성코드로 진단되면, 상기 진단된 진단결과를 기초로 하는 상기 오진 검증에 요구되는 검증관련정보를 특정 시그니처검증서버로 제공하는 검증관련정보 제공단계를 포함한다.
상기 목적을 달성하기 위한 본 발명의 제 4 관점에 따른 시그니처 검증 방법은, 적어도 하나의 컴퓨터 시스템으로부터 오진 검증이 완료되지 않은 상태의 예비적용시그니처에 대응하여 특정 파일이 악성코드로 진단된 진단 결과에 따른 검증관련정보를 수집하는 검증관련정보 수집단계; 상기 수집된 검증관련정보를 기초로 상기 예비적용시그니처에 대하여 상기 오진 검증을 수행하는 검증 수행단계; 및 상기 오진 검증을 수행한 검증결과를 상기 예비적용시그니처를 보유한 상기 적어도 하나의 컴퓨터 시스템으로 제공하는 검증결과 제공단계를 포함한다.
본 발명의 실시예들은 오진 검증이 완료되지 않은 상태의 예비적용시그니처를 다수의 사용자 컴퓨터에 선 배포하여 다수의 사용자 컴퓨터에서 저장된 파일에 대한 악성코드 진단 시 예비적용시그니처를 반영하도록 하고 그 진단결과와 관련하여 수집된 정보를 기초로 예비적용시그니처에 대한 오진 검증을 수행함으로써, 실제 클라이언트백신을 사용할 다수의 사용자 컴퓨터 환경에서 시그니처에 대한 악성코드 진단 시뮬레이션을 실행하는 결과를 이끌어 내어 기존의 시그니처 오진 검증에서 갖는 물리적, 공간적, 시간적 한계를 극복할 수 있다.
도 1은 본 발명의 바람직한 실시예에 따른 컴퓨터 시스템 및 시그니처검증서버를 포함하는 시그니처 검증 시스템을 나타내는 구성도이다.
도 2는 본 발명의 바람직한 실시예에 따른 컴퓨터 시스템의 구성을 나타내는 블록도이다.
도 3은 본 발명의 바람직한 실시예에 따른 시그니처검증서버의 구성을 나타내는 블록도이다.
도 4는 본 발명의 바람직한 실시예에 따른 시그니처 검증 시스템의 제어 흐름을 나타내는 흐름도이다.
도 5는 본 발명의 바람직한 실시예에 따른 컴퓨터 시스템의 시그니처 검증 지원 방법의 동작 흐름을 나타내는 흐름도이다.
도 6은 본 발명의 바람직한 실시예에 따른 시그니처 검증 방법의 동작 흐름을 나타내는 흐름도이다.
본 발명은 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시예들을 도면에 예시하고 상세한 설명에 상세하게 설명하고자 한다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다. 각 도면을 설명하면서 유사한 참조부호를 유사한 구성요소에 대해 사용하였다.
어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다.
본 출원에서 사용한 용어는 단지 특정한 실시예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 출원에서, "포함하다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가지고 있다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥 상 가지는 의미와 일치하는 의미를 가지는 것으로 해석되어야 하며, 본 출원에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.
이하, 첨부된 도면을 참조하여 본 발명의 바람직한 실시예에 대하여 설명한다.
도 1은 본 발명의 바람직한 실시예에 따른 시그니처 검증 시스템을 도시한 도면이다.
도 1에 도시된 바와 같이, 본 발명에 따른 시그니처 검증 시스템은, 다수의 컴퓨터 시스템(100), 시그니처검증서버(200), 시그니처작성시스템(300), 업데이트서버(400) 등을 포함할 수 있다.
컴퓨터 시스템(100)은, 일반 가정 또는 기업 또는 학교 또는 학원 등의 다양한 사용자소속에서 이용되는 사용자 컴퓨터로서, 다수의 파일을 저장/보유하고 후술할 클라이언트백신을 통해 다수의 파일에 대한 악성코드 진단을 수행한다.
시그니처작성시스템(300)은, 악성코드 진단 시 이용되는 시그니처를 작성하는 시스템으로써, 시그니처를 작성하는 방법은 기존의 다양한 시그니처 작성 방식 중 어느 하나를 채택할 수 있으므로 시그니처 작성 방법에 대한 구체적인 설명을 생략하도록 한다.
특히, 시그니처작성시스템(300)은, 새롭게 작성한 시그니처에 대해서는 오진 검증이 완료되지 않은 상태임을 나타내는 식별자를 포함시켜 작성하는 것이 바람직하다.
업데이트서버(400)은, 시그니처작성시스템(300)에서 작성되는 시그니처를 배포 대상이 되는 컴퓨터 시스템(100)으로 제공/배포하여, 컴퓨터 시스템(100)의 클라이언트백신에 시그니처가 업데이트되도록 한다. 이처럼 업데이트서버(400)가 컴퓨터 시스템(100)으로 시그니처를 배포하여 클라이언트백신을 업데이트하는 방식은 기존에 존재하는 다양한 방식 중 어느 하나를 채택할 수 있으므로 구체적인 설명을 생략하도록 한다.
이에 컴퓨터 시스템(100)은, 기 저장된 다수의 파일에 대한 악성코드 진단을 수행할 수 있다.
즉, 컴퓨터 시스템(100)은, 악성코드 진단 이벤트가 발생하면, 오진 검증이 완료되지 않은 상태의 예비적용시그니처 및 오진 검증이 완료된 상태의 적용시그니처 중 적어도 어느 하나를 이용하여, 기 저장된 다수의 파일에 대한 악성코드 진단을 수행한다.
여기서, 적용시그니처는 악성코드 진단 시 진단결과를 즉시 적용할 수 있는 시그니처 즉 오진 검증이 완료된 상태의 시그니처를 의미하고, 예비적용시그니처는 악성코드 진단 시 반영은 하되 진단결과를 악성코드 진단 시뮬레이션으로 이용하여 즉시 적용할 수 없는 시그니처 즉 오진 검증이 완료되지 않은 상태의 시그니처를 의미한다.
이에, 컴퓨터 시스템(100)은, 악성코드 진단 결과 예비적용시그니처에 대응하여 특정 파일이 악성코드로 진단되면, 상기 예비적용시그니처에 대응하여 상기 특정 파일이 악성코드로 진단된 진단결과를 기초로 오진 검증에 요구되는 검증관련정보를 생성하여 특정 시그니처검증서버(200)로 제공할 수 있다.
다시 말해, 컴퓨터 시스템(100)에서 악성코드 진단 시 예비적용시그니처를 반영하는 것은, 컴퓨터 시스템(100)에 보유/저장된 다수의 파일을 대상으로 예비적용시그니처의 악성코드 진단 시뮬레이션을 수행하는 것과 같다.
시그니처검증서버(200)는, 다수의 컴퓨터 시스템(100)으로부터 오진 검증이 완료되지 않은 상태의 예비적용시그니처에 대응하여 특정 파일이 악성코드로 진단된 진단 결과에 따른 검증관련정보를 수집할 수 있다.
다시 말해, 시그니처검증서버(200)는, 다수의 컴퓨터 시스템(100)으로부터 각 컴퓨터 시스템(100)에 보유/저장된 다수의 파일을 대상으로 예비적용시그니처의 악성코드 진단 시뮬레이션을 수행한 결과 즉 검증관련정보를 수집하게 되는 것과 같다.
이는, 다수의 각 컴퓨터 시스템(100)에 보유/저장된 파일은 그 종류 및 개수가 무한정으로 다양하고 많을 것이며, 다수의 각 컴퓨터 시스템(100)에서 동시 다발적으로 예비적용시그니처의 악성코드 진단 시뮬레이션이 수행되는 것임을 감안한다면, 물리적, 공간적, 시간적 제약이 없는 광범위한 환경에서 수행된 악성코드 진단 시뮬레이션 결과를 수집하는 것과 같다.
시그니처검증서버(200)는, 전술과 같이 수집된 검증관련정보를 기초로 예비적용시그니처에 대하여 오진 검증을 수행한다.
그리고, 시그니처검증서버(200)는, 오진 검증을 수행한 검증결과를 상기 예비적용시그니처를 보유한 적어도 하나의 컴퓨터 시스템(100)으로 제공한다.
보다 구체적으로 설명하면, 시그니처검증서버(200)는, 예비적용시그니처에 대하여 오진 검증을 수행한 결과 상기 예비적용시그니처에 의한 진단을 오진으로 판단하면, 상기 예비적용시그니처에 대한 비정상 검증결과를 시그니처작성시스템(400)으로 제공하여, 시그니처작성시스템(400)에서 상기 예비적용시그니처에 대응하는 시그니처를 재작성하도록 할 수 있다.
더불어, 시그니처검증서버(200)는, 상기 예비적용시그니처에 대한 비정상 검증결과를 상기 예비적용시그니처를 보유한 적어도 하나의 컴퓨터 시스템(100)으로 제공하여, 상기 예비적용시그니처를 비활성 상태로 변경하고 이 후 악성코드 진단 시 반영하지 않도록 할 수 있다.
한편, 시그니처검증서버(200)는, 예비적용시그니처에 대하여 오진 검증을 수행한 결과 특정 모니터링기간 동안 오진 판단이 발생하지 않으면, 상기 예비적용시그니처에 대한 정상 검증결과를 상기 예비적용시그니처를 보유한 적어도 하나의 컴퓨터 시스템(100)으로 제공한다.
이에, 컴퓨터 시스템(100)은, 제공한 검증관련정보에 대응하여 시그니처검증서버(200)로부터 정상 검증결과가 회신되는 경우, 해당되는 예비적용시그니처의 상태를 오진 검증이 완료된 적용시그니처 상태로 변경한다.
더불어, 시그니처검증서버(200)는, 상기 예비적용시그니처에 대한 정상 검증결과를 시그니처관리시스템(미도시, 예 : 시그니처작성시스템(400))으로 제공하여, 상기 예비적용시그니처를 오진 검증이 완료된 적용시그니처 상태로 변경하여 관리하도록 할 수 있다.
한편, 예를 들어 다수의 컴퓨터 시스템(100) 중 특정 컴퓨터 시스템(100)이 화이트리스트 파일을 보유/저장하고 있는 컴퓨터 시스템일 수 있다. 이 경우, 특정 컴퓨터 시스템(100)에서 화이트리스트 파일을 대상으로 악성코드 진단을 수행한 진단 결과 예비적용시그니처에 대응하여 특정 파일이 악성코드로 진단되면, 시그니처검증서버(200)는 즉시 해당 예비적용시그니처의 진단을 오진으로 판단하고 비정상 검증결과를 특정 컴퓨터 시스템(100) 및 시그니처작성시스템(300)으로 제공할 수 있다.
이하에서는, 도 2를 참조하여 본 발명에 따른 컴퓨터 시스템을 보다 구체적으로 설명하도록 한다.
본 발명에 따른 컴퓨터 시스템(100)은, 적어도 하나의 파일을 저장하는 파일저장부(110)와, 오진 검증이 완료되지 않은 상태의 예비적용시그니처 및 상기 오진 검증이 완료된 상태의 적용시그니처 중 적어도 어느 하나를 이용하여, 상기 적어도 하나의 파일에 대한 악성코드 진단을 수행하는 악성코드진단수행부(120)와, 상기 악성코드 진단 수행 결과 상기 예비적용시그니처에 대응하여 특정 파일이 악성코드로 진단되면, 상기 예비적용시그니처에 대응하여 상기 특정 파일이 악성코드로 진단된 진단결과를 기초로 상기 오진 검증에 요구되는 검증관련정보를 생성하여 특정 시그니처검증서버(200)로 제공하는 검증관련정보제공부(130)를 포함한다.
그리고, 본 발명에 따른 컴퓨터 시스템(100)은, 시그니처상태변경부(140)를 더 포함할 수 있다.
파일저장부(110)은, 후술의 악성코드 진단 대상이 되는 적어도 하나의 파일을 보유/저장한다.
악성코드진단수행부(120)는, 오진 검증이 완료되지 않은 상태의 예비적용시그니처 및 오진 검증이 완료된 상태의 적용시그니처 중 적어도 어느 하나를 이용하여, 파일저장부(110)의 적어도 하나의 파일에 대한 악성코드 진단을 수행한다.
이러한, 악성코드진단수행부(120)는, 전술에서 언급한 클라이언트백신에 대응된다.
즉, 악성코드진단수행부(120)는, 업데이트서버(400)로부터 제공/배포되는 시그니처를 수신하여 이를 악성코드 진단 시 이용하기 위해 업데이트한다.
그리고, 악성코드진단수행부(120)는, 악성코드 진단 이벤트가 발생하면, 오진 검증이 완료되지 않은 상태의 예비적용시그니처 및 오진 검증이 완료된 상태의 적용시그니처 중 적어도 어느 하나를 이용하여, 파일저장부(110)의 적어도 하나의 파일에 대한 악성코드 진단을 수행한다.
이에, 악성코드진단수행부(120)는, 악성코드 진단 수행 결과 적용시그니처에 대응하여 특정 파일이 악성코드로 진단되는 경우, 적용시그니처는 오진 검증이 완료된 상태의 시그니처이므로, 진단결과를 즉시 적용하여 악성코드를 치료하는 등 일반적인 진단 절차를 진행할 것이다.
검증관련정보제공부(130)는, 악성코드 진단 수행 결과 예비적용시그니처에 대응하여 특정 파일이 악성코드로 진단되면, 상기 예비적용시그니처에 대응하여 상기 특정 파일이 악성코드로 진단된 진단결과를 기초로 오진 검증에 요구되는 검증관련정보를 생성하여 특정 시그니처검증서버(200)로 제공한다.
여기서, 검증관련정보는, 상기 예비적용시그니처의 시그니처식별정보, 상기 진단된 특정 파일의 파일식별정보, 컴퓨터 시스템(100)에 대응하는 사용자가 속하는 진단사용자소속정보, 진단시간정보, 상기 진단된 특정 파일이 컴퓨터 시스템(100) 내에 상존한 파일상존기간정보, 상기 진단된 특정 파일의 악성코드진단이력정보 중 적어도 어느 하나를 포함하는 것이 바람직하다.
이에 예를 들면, 검증관련정보제공부(130)는, 예비적용시그니처에 대응하여 특정 파일이 악성코드로 진단되면, 진단에 이용된 예비적용시그니처의 시그니처식별정보와, 진단된 특정 파일의 파일식별정보와, 컴퓨터 시스템(100)에 대응하는 사용자가 속하는 사용자소속이 무엇인지를 나타내는 진단사용자소속정보(예 : 학교)와, 진단된 진단시간정보(예 : 년/월/일/시/분/초)와, 진단된 특정 파일이 컴퓨터 시스템(100) 내에 상존한 파일상존기간정보(예 : 200시간)와, 진단된 특정 파일이 과거 언제 악성코드로 진단된 적이 있는지를 나타내는 악성코드진단이력정보 중 적어도 어느 하나를 포함하는 검증관련정보를 생성한다.
그리고, 검증관련정보제공부(130)는, 생성한 검증관련정보를 시그니처검증서버(200)로 제공한다.
이처럼, 검증관련정보제공부(130)는, 악성코드진단수행부(120)에서 악성코드 진단을 수행할 때마다 진단되는 적어도 하나의 예비적용시그니처에 대한 검증관련정보를 시그니처검증서버(200)로 제공할 수 있다.
이에, 전술한 바와 같이 시그니처검증서버(200)는, 다수의 컴퓨터 시스템(100) 각각으로부터 오진 검증이 완료되지 않은 상태의 예비적용시그니처에 대응하여 특정 파일이 악성코드로 진단된 진단 결과에 따른 검증관련정보를 수집함으로써, 각 컴퓨터 시스템(100)에 보유/저장된 다수의 파일을 대상으로 예비적용시그니처의 악성코드 진단 시뮬레이션을 수행한 결과를 수집하는 것과 같은 결과를 갖게 된다.
시그니처상태변경부(140)는, 시그니처검증서버(200)에서 적어도 하나의 상기 컴퓨터 시스템으로부터 수집되는 상기 검증관련정보를 기초로 상기 예비적용시그니처에 대하여 상기 오진 검증을 수행한 검증결과가 회신되면, 상기 회신되는 검증결과가 정상인 경우 상기 예비적용시그니처의 상태를 상기 오진 검증이 완료된 적용시그니처 상태로 변경한다.
보다 구체적으로 설명하면, 시그니처상태변경부(140)는, 시그니처검증서버(200)로부터 악성코드진단수행부(120)에서 악성코드 진단 시 반영한 예비적용시그니처에 대한 검증결과를 회신받을 수 있다.
이에, 시그니처상태변경부(140)는, 회신된 검증결과가 정상 검증결과이면, 해당 예비적용시그니처의 상태를 오진 검증이 완료된 적용시그니처 상태로 변경한다.
한편, 시그니처상태변경부(140)는, 회신된 검증결과가 비정상 검증결과이면, 해당 예비적용시그니처를 비활성 상태로 변경한다. 이에, 악성코드진단수행부(120)는, 이 후 악성코드 진단 수행 시 비활성 상태의 예비적용시그니처를 반영하지 않을 것이고, 더 나아가 비활성 상태의 예비적용시그니처를 삭제할 수도 있다.
이하에서는, 도 3을 참조하여 본 발명에 따른 시그니처검증서버의 구성을 구체적으로 설명하도록 한다.
본 발명에 따른 시그니처검증서버(200)는, 적어도 하나의 컴퓨터 시스템(100)으로부터 오진 검증이 완료되지 않은 상태의 예비적용시그니처에 대응하여 특정 파일이 악성코드로 진단된 진단 결과에 따른 검증관련정보를 수집하는 검증관련정보수집부(210)와, 상기 수집된 검증관련정보를 기초로 상기 예비적용시그니처에 대하여 상기 오진 검증을 수행하는 검증수행부(220)와, 상기 오진 검증을 수행한 검증결과를 상기 예비적용시그니처를 보유한 상기 적어도 하나의 컴퓨터 시스템으로 제공하는 검증결과제공부(230)를 포함한다.
검증관련정보수집부(210)는, 적어도 하나의 컴퓨터 시스템(100)으로부터 오진 검증이 완료되지 않은 상태의 예비적용시그니처에 대응하여 특정 파일이 악성코드로 진단된 진단 결과에 따른 검증관련정보를 수집한다.
이는, 검증관련정보수집부(210)는, 다수의 컴퓨터 시스템(100)으로부터 종류 및 개수가 무한정에 가까운 파일을 대상으로 수행되는 악성코드 진단 수행에 의해, 오진 검증이 완료되지 않은 상태의 예비적용시그니처에 대응하여 진단된 검증관련정보 즉 악성코드 진단 시뮬레이션 수행 결과를 수집하는 것과 같다.
그리고, 검증수행부(220)는, 검증관련정보수집부(210)에서 수집된 검증관련정보를 기초로 예비적용시그니처에 대하여 오진 검증을 수행한다.
즉, 검증관련정보수집부(210)는, 다수의 컴퓨터 시스템(100)으로부터 종류 및 개수가 무한정에 가까운 파일을 대상으로 수행되는 악성코드 진단 수행에 의해 수집된 예비적용시그니처 대응 검증관련정보를 기초로, 해당 예비적용시그니처에 대하여 오진 검증을 수행한다.
보다 구체적으로 설명하면, 제1실시예에 따르면 검증수행부(220)는, 다수의 컴퓨터 시스템(100)으로부터 수집된 검증관련정보를 기초로 오진 검증을 수행하여, 해당 예비적용시그니처에 의해 특정 파일이 진단된 진단 횟수가 특정 횟수 이상인 제1조건, 상기 특정 파일이 특정 기준시간 이상 악성코드 검출이 없는 이력을 가지는 제2조건, 상기 특정 파일이 보유된 컴퓨터 시스템(100)에서 특정 상존기간 이상 상존하는 제3조건을 만족하는 경우, 해당 예비적용시그니처에 의한 진단을 오진으로 판단할 수 있다.
다시 말해, 검증수행부(220)는, 오진 검증을 수행하여, 예비적용시그니처에 의해 특정 파일이 진단된 횟수가 특정 횟수 이상이고 이러한 특정 파일이 특정 기준시간 이상 동안 악성코드 검출 이력이 없으면서 보유된 컴퓨터 시스템(100)에서 특정 상존기간 이상 충분히 상존해 있었다고 판단되면, 해당 예비적용시그니처에 의한 진단을 오진으로 판단할 수 있다.
이때, 검증수행부(220)는, 전술과 같은 경우 해당 예비적용시그니처에 의한 진단을 오진으로 판단하는 대신, 오진 가능성이 높은 것으로 판단하고 오진 가능성이 높은 것으로 판단하는 횟수가 특정 판단횟수(예 : 3회) 이상이면 비로소 해당 예비적용시그니처에 의한 진단을 오진으로 판단할 수도 있다.
또는, 제2실시예에 따르면 검증수행부(220)는, 다수의 컴퓨터 시스템(100)으로부터 수집된 검증관련정보를 기초로 오진 검증을 수행하여, 특정 진단사용자소속에서 해당 예비적용시그니처에 의해 발생하는 진단 횟수가 특정 집중발생시간 동안 특정 집중발생횟수 이상 진단되는 제4조건을 만족하는 경우, 해당 예비적용시그니처에 의한 진단을 오진으로 판단할 수 있다.
다시 말해, 검증수행부(220)는, 오진 검증을 수행하여, 특정 진단사용자소속(예 : 학교)에서 단시간(특정 집중발생시간) 동안 해당 예비적용시그니처에 의해 발생하는 진단 횟수가 집중적으로(집중발생횟수 이상) 발생한다고 판단되면, 해당 예비적용시그니처에 의한 진단을 오진으로 판단할 수 있다.
이때, 검증수행부(220)는, 전술과 같은 경우 해당 예비적용시그니처에 의한 진단을 오진으로 판단하는 대신, 오진 가능성이 높은 것으로 판단하고 오진 가능성이 높은 것으로 판단하는 횟수가 특정 판단횟수(예 : 3회) 이상이면 비로소 해당 예비적용시그니처에 의한 진단을 오진으로 판단할 수도 있다.
또는, 제3실시예에 따르면 검증수행부(220)는, 다수의 컴퓨터 시스템(100)으로부터 수집된 검증관련정보를 기초로 오진 검증을 수행하여, 해당 예비적용시그니처를 배포한 후 특정 배포초기시간 이내에 해당 예비적용시그니처에 의해 발생하는 진단 횟수가 특정 다량발생횟수 이상 진단되는 제5조건, 해당 예비적용시그니처에 의해 상기 특정 배포초기시간 이내에 진단되는 파일 간의 특징매칭율이 특정 매칭기준 이하인 제6조건 중 적어도 어느 하나를 만족하는 경우, 해당 예비적용시그니처에 의한 진단을 오진으로 판단할 수 있다.
다시 말해, 검증수행부(220)는, 오진 검증을 수행하여, 해당 예비적용시그니처를 배포한 초기(특정 배포초기시간 이내)에 해당 예비적용시그니처에 의해 발생하는 진단 횟수가 특정 다량발생횟수 이상으로 다량 발생되면서, 해당 예비적용시그니처에 의해 진단된 파일 간의 특징(예 : 코드크기) 매칭율이 특정 매칭기준 이하로 상당히 상이하다고 판단되면, 해당 예비적용시그니처에 의한 진단을 오진으로 판단할 수 있다.
이때, 검증수행부(220)는, 전술과 같은 경우 해당 예비적용시그니처에 의한 진단을 오진으로 판단하는 대신, 오진 가능성이 높은 것으로 판단하고 오진 가능성이 높은 것으로 판단하는 횟수가 특정 판단횟수(예 : 3회) 이상이면 비로소 해당 예비적용시그니처에 의한 진단을 오진으로 판단할 수도 있다.
이처럼, 검증수행부(220)는, 전술의 제1 및 제2 및 제3 실시예 각각을 채택하여, 또는 각 실시예를 조합 채택하여 오진 검증을 수행할 수 있다.
한편, 검증수행부(220)는, 전술과 같이 예비적용시그니처에 의한 진단을 오진으로 판단하면, 오진 판단된 예비적용시그니처에 대한 오진 판단 근거 정보(예 : 진단된 파일식별정보, 파일 크기, 오진 판단 상황 등)를 분석가에 리포트하여, 분석가가 이를 참고로 예비적용시그니처에 대한 최종 오진 여부를 판단하도록 할 수 있다.
검증결과제공부(230)는, 검증수행부(220)에서 오진 검증을 수행한 검증결과를 해당 예비적용시그니처를 보유한 적어도 하나의 컴퓨터 시스템(100)으로 제공한다.
보다 구체적으로 설명하면, 검증결과제공부(230)는, 검증수행부(220)에서 상기 오진 검증을 수행한 결과 예비적용시그니처에 의한 진단을 오진으로 판단하면, 상기 예비적용시그니처에 대한 비정상 검증결과를 특정 시그니처작성시스템(300)으로 제공하여 상기 예비적용시그니처에 대응하는 시그니처를 재작성하도록 할 수 있다.
즉, 검증결과제공부(230)는, 검증수행부(220)에서 예비적용시그니처에 대하여 오진 검증을 수행한 결과 예비적용시그니처에 의한 진단을 오진으로 판단하면, 상기 예비적용시그니처에 대한 비정상 검증결과를 시그니처작성시스템(400)으로 제공하여, 시그니처작성시스템(400)에서 상기 예비적용시그니처에 대응하는 시그니처를 재작성하도록 할 수 있다.
더불어, 검증결과제공부(230)는, 상기 예비적용시그니처에 대한 비정상 검증결과를 상기 예비적용시그니처를 보유한 적어도 하나의 컴퓨터 시스템(100)으로 제공하여, 상기 예비적용시그니처를 비활성 상태로 변경하고 이 후 악성코드 진단 시 반영하지 않도록 할 수 있다.
한편, 검증결과제공부(230)는, 검증수행부(220)에서 예비적용시그니처에 대하여 오진 검증을 수행한 결과 특정 모니터링기간 동안 오진 판단이 발생하지 않으면, 상기 예비적용시그니처에 대한 정상 검증결과를 상기 예비적용시그니처를 보유한 상기 적어도 하나의 컴퓨터 시스템(100)으로 제공한다.
이에, 컴퓨터 시스템(100)은, 전술과 같이 해당되는 예비적용시그니처의 상태를 오진 검증이 완료된 적용시그니처 상태로 변경한다.
더불어, 검증결과제공부(230)는, 상기 예비적용시그니처에 대한 정상 검증결과를 시그니처관리시스템(미도시, 예 : 시그니처작성시스템(400))으로 제공하여, 상기 예비적용시그니처를 오진 검증이 완료된 적용시그니처 상태로 변경하여 관리하도록 할 수 있다.
이상에서 설명한 바와 같이 본 발명에 따른 컴퓨터 시스템 및 시그니처검증서버에 따르면, 오진 검증이 완료되지 않은 상태의 예비적용시그니처를 다수의 사용자 컴퓨터에 선 배포하여 다수의 사용자 컴퓨터에서 저장된 파일에 대한 악성코드 진단 시 예비적용시그니처를 반영하도록 하고 그 진단결과와 관련하여 수집된 정보를 기초로 예비적용시그니처에 대한 오진 검증을 수행함으로써, 실제 클라이언트백신을 사용할 다수의 사용자 컴퓨터 환경에서 시그니처에 대한 악성코드 진단 시뮬레이션을 실행하는 결과를 도출할 수 있어 기존의 시그니처 오진 검증에서 갖는 물리적, 공간적, 시간적 한계를 극복할 수 있다.
이하에서는, 도 4 내지 도 6을 참조하여 본 발명에 따른 시그니처 검증 방법을 설명하도록 한다. 여기서, 설명의 편의를 위해 전술한 도 1 내지 도 3에 도시된 구성은 해당 참조번호를 언급하여 설명하겠다.
먼저, 도 4를 참조하여 본 발명의 바람직한 실시예에 따른 시그니처 검증 시스템의 제어 흐름을 설명하도록 한다.
다수의 컴퓨터 시스템(100)은 업데이트서버(400)로부터 배포/제공되는 시그니처(예비적용시그니처 포함)를 수신하여(S10), 클라이언트백신을 업데이트한다.
이러한 컴퓨터 시스템(100)은, 악성코드 진단 이벤트가 발생하면, 오진 검증이 완료되지 않은 상태의 예비적용시그니처 및 오진 검증이 완료된 상태의 적용시그니처 중 적어도 어느 하나를 이용하여, 기 저장된 다수의 파일에 대한 악성코드 진단을 수행한다(S20).
컴퓨터 시스템(100)은, 악성코드 진단 결과 예비적용시그니처에 대응하여 특정 파일이 악성코드로 진단되면 상기 예비적용시그니처에 대응하여 상기 특정 파일이 악성코드로 진단된 진단결과를 기초로 오진 검증에 요구되는 검증관련정보를 생성하고(S30), 검증관련정보를 특정 시그니처검증서버(200)로 제공한다(S40).
이에, 시그니처검증서버(200)는, 다수의 컴퓨터 시스템(100)으로부터 오진 검증이 완료되지 않은 상태의 예비적용시그니처에 대응하여 특정 파일이 악성코드로 진단된 진단 결과에 따른 검증관련정보를 수집할 수 있다(S50).
시그니처검증서버(200)는, 전술과 같이 수집된 검증관련정보를 기초로 예비적용시그니처에 대하여 오진 검증을 수행한다(S60).
그리고, 시그니처검증서버(200)는, 오진 검증을 수행한 검증결과를 상기 예비적용시그니처를 보유한 적어도 하나의 컴퓨터 시스템(100)으로 제공한다.
보다 구체적으로 설명하면, 시그니처검증서버(200)는, 예비적용시그니처에 대하여 오진 검증을 수행한 결과 상기 예비적용시그니처에 의한 진단을 오진으로 판단하면(S70), 상기 예비적용시그니처에 대한 비정상 검증결과를 시그니처작성시스템(400)으로 제공하여(S80), 시그니처작성시스템(400)에서 상기 예비적용시그니처에 대응하는 시그니처를 재작성하도록 할 수 있다(S85).
더불어, 시그니처검증서버(200)는, 상기 예비적용시그니처에 대한 비정상 검증결과를 상기 예비적용시그니처를 보유한 적어도 하나의 컴퓨터 시스템(100)으로 제공하여(S90), 상기 예비적용시그니처를 비활성 상태로 변경하고 이 후 악성코드 진단 시 반영하지 않도록 할 수 있다(S95).
한편, 시그니처검증서버(200)는, 예비적용시그니처에 대하여 오진 검증을 수행한 결과 특정 모니터링기간 동안 오진 판단이 발생하지 않으면, 상기 예비적용시그니처에 대한 정상 검증결과를 상기 예비적용시그니처를 보유한 적어도 하나의 컴퓨터 시스템(100)으로 제공한다(S100).
이에, 컴퓨터 시스템(100)은, 제공한 검증관련정보에 대응하여 시그니처검증서버(200)로부터 정상 검증결과가 회신되는 경우, 해당되는 예비적용시그니처의 상태를 오진 검증이 완료된 적용시그니처 상태로 변경한다(S110).
더불어, 시그니처검증서버(200)는, 상기 예비적용시그니처에 대한 정상 검증결과를 시그니처관리시스템(미도시, 예 : 시그니처작성시스템(400))으로 제공하여(S120), 상기 예비적용시그니처를 오진 검증이 완료된 적용시그니처 상태로 변경하여 관리하도록 할 수 있다.
이하에서는, 도 5를 참조하여 본 발명의 바람직한 실시예에 따른 컴퓨터 시스템의 시그니처 검증 지원 방법을 설명하도록 한다.
본 발명에 따른 컴퓨터 시스템의 시그니처 검증 지원 방법은, 후술의 악성코드 진단 대상이 되는 적어도 하나의 파일을 보유/저장한다(S200).
본 발명에 따른 컴퓨터 시스템의 시그니처 검증 지원 방법은, 오진 검증이 완료되지 않은 상태의 예비적용시그니처 및 오진 검증이 완료된 상태의 적용시그니처 중 적어도 어느 하나를 이용하여, 기 저장된 적어도 하나의 파일에 대한 악성코드 진단을 수행한다(S210).
이에 본 발명에 따른 컴퓨터 시스템의 시그니처 검증 지원 방법은, 악성코드 진단 수행 결과 특정 파일에 대한 악성코드가 진단되면, 진단에 이용된 시그니처가 적용시그니처인지 또는 예비적용시그니처인지 판단한다(S230).
본 발명에 따른 컴퓨터 시스템의 시그니처 검증 지원 방법은, 악성코드 진단 수행 결과 적용시그니처에 대응하여 특정 파일이 악성코드로 진단되는 경우, 적용시그니처는 오진 검증이 완료된 상태의 시그니처이므로, 진단결과를 즉시 적용하여 악성코드를 치료하는 등 일반적인 진단 절차를 진행할 것이다(S240).
한편, 본 발명에 따른 컴퓨터 시스템의 시그니처 검증 지원 방법은, 악성코드 진단 수행 결과 예비적용시그니처에 대응하여 특정 파일이 악성코드로 진단되면, 상기 예비적용시그니처에 대응하여 상기 특정 파일이 악성코드로 진단된 진단결과를 기초로 오진 검증에 요구되는 검증관련정보를 생성하여 특정 시그니처검증서버(200)로 제공한다(S250).
그리고, 본 발명에 따른 컴퓨터 시스템의 시그니처 검증 지원 방법은, 시그니처검증서버(200)로부터 S210단계의 악성코드 진단 시 반영한 예비적용시그니처에 대한 검증결과를 회신받을 수 있다(S260).
이에, 본 발명에 따른 컴퓨터 시스템의 시그니처 검증 지원 방법은, 회신된 검증결과가 정상 검증결과인지 또는 비정상 검증결과인지 판단하고(S270), 정상 검증결과이면, 해당 예비적용시그니처의 상태를 오진 검증이 완료된 적용시그니처 상태로 변경한다(S280).
한편, 본 발명에 따른 컴퓨터 시스템의 시그니처 검증 지원 방법은, 회신된 검증결과가 비정상 검증결과이면, 해당 예비적용시그니처를 비활성 상태로 변경한다(S290). 이에, 본 발명에 따른 컴퓨터 시스템의 시그니처 검증 지원 방법은, 이 후 악성코드 진단 수행 시 비활성 상태의 예비적용시그니처를 반영하지 않을 것이고, 더 나아가 비활성 상태의 예비적용시그니처를 삭제할 수도 있다.
이하에서는, 도 6을 참조하여 본 발명의 바람직한 실시예에 따른 시그니처 검증 방법을 설명하도록 한다.
본 발명에 따른 시그니처 검증 방법은, 적어도 하나의 컴퓨터 시스템(100)으로부터 오진 검증이 완료되지 않은 상태의 예비적용시그니처에 대응하여 특정 파일이 악성코드로 진단된 진단 결과에 따른 검증관련정보를 수집한다(S300).
이는, 본 발명에 따른 시그니처 검증 방법은, 다수의 컴퓨터 시스템(100)으로부터 종류 및 개수가 무한정에 가까운 파일을 대상으로 수행되는 악성코드 진단 수행에 의해, 오진 검증이 완료되지 않은 상태의 예비적용시그니처에 대응하여 진단된 검증관련정보 즉 악성코드 진단 시뮬레이션 수행 결과를 수집하는 것과 같다.
그리고, 본 발명에 따른 시그니처 검증 방법은, S300단계에서 수집된 검증관련정보를 기초로 예비적용시그니처에 대하여 오진 검증을 수행한다(S310).
즉, 본 발명에 따른 시그니처 검증 방법은, 다수의 컴퓨터 시스템(100)으로부터 종류 및 개수가 무한정에 가까운 파일을 대상으로 수행되는 악성코드 진단 수행에 의해 수집된 예비적용시그니처 대응 검증관련정보를 기초로, 해당 예비적용시그니처에 대하여 오진 검증을 수행한다.
여기서, 본 발명에 따른 시그니처 검증 방법에서 오진 검증을 수행하는 절차는, 전술의 도 3을 참조하여 설명한 검증수행부(220)의 제1 및 제2 및 제3실시예에 대응되므로, 구체적인 설명을 생략하도록 한다.
그리고, 본 발명에 따른 시그니처 검증 방법은, S310단계에서 오진 검증을 수행한 검증결과를 해당 예비적용시그니처를 보유한 적어도 하나의 컴퓨터 시스템(100)으로 제공한다.
보다 구체적으로 설명하면, 본 발명에 따른 시그니처 검증 방법은, 예비적용시그니처에 대하여 오진 검증을 수행한 결과 예비적용시그니처에 의한 진단을 오진으로 판단하면(S320), 상기 예비적용시그니처에 대한 비정상 검증결과를 시그니처작성시스템(400)으로 제공하여(S330), 시그니처작성시스템(400)에서 상기 예비적용시그니처에 대응하는 시그니처를 재작성하도록 할 수 있다.
더불어, 본 발명에 따른 시그니처 검증 방법은, 상기 예비적용시그니처에 대한 비정상 검증결과를 상기 예비적용시그니처를 보유한 적어도 하나의 컴퓨터 시스템(100)으로 제공하여(S330), 상기 예비적용시그니처를 비활성 상태로 변경하고 이 후 악성코드 진단 시 반영하지 않도록 할 수 있다.
한편, 본 발명에 따른 시그니처 검증 방법은, 예비적용시그니처에 대하여 오진 검증을 수행한 결과 오진 판단이 발생하지 않고 특정 모니터링기간이 경과하면(S340), 상기 예비적용시그니처에 대한 정상 검증결과를 상기 예비적용시그니처를 보유한 상기 적어도 하나의 컴퓨터 시스템(100)으로 제공한다(S350).
이에, 컴퓨터 시스템(100)은, 전술과 같이 해당되는 예비적용시그니처의 상태를 오진 검증이 완료된 적용시그니처 상태로 변경한다.
더불어, 본 발명에 따른 시그니처 검증 방법은, 상기 예비적용시그니처에 대한 정상 검증결과를 시그니처관리시스템(미도시, 예 : 시그니처작성시스템(400))으로 제공하여(S350), 상기 예비적용시그니처를 오진 검증이 완료된 적용시그니처 상태로 변경하여 관리하도록 할 수 있다.
이상에서 설명한 바와 같이 본 발명에 따른 컴퓨터 시스템의 시그니처 검증 지원 방법 및 시그니처 검증 방법에 따르면, 오진 검증이 완료되지 않은 상태의 예비적용시그니처를 다수의 사용자 컴퓨터에 선 배포하여 다수의 사용자 컴퓨터에서 저장된 파일에 대한 악성코드 진단 시 예비적용시그니처를 반영하도록 하고 그 진단결과와 관련하여 수집된 정보를 기초로 예비적용시그니처에 대한 오진 검증을 수행함으로써, 실제 클라이언트백신을 사용할 다수의 사용자 컴퓨터 환경에서 시그니처에 대한 악성코드 진단 시뮬레이션을 실행하는 결과를 도출할 수 있어 기존의 시그니처 오진 검증에서 갖는 물리적, 공간적, 시간적 한계를 극복할 수 있다.
본 발명의 일실시예에 따른 단말 장치의 보안 문서 실행 방법과 문서 관리 방법은 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 상기 매체에 기록되는 프로그램 명령은 본 발명을 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다. 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다. 상기된 하드웨어 장치는 본 발명의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.
이상과 같이 본 발명에서는 구체적인 구성 요소 등과 같은 특정 사항들과 한정된 실시예 및 도면에 의해 설명되었으나 이는 본 발명의 보다 전반적인 이해를 돕기 위해서 제공된 것일 뿐, 본 발명은 상기의 실시예에 한정되는 것은 아니며, 본 발명이 속하는 분야에서 통상적인 지식을 가진 자라면 이러한 기재로부터 다양한 수정 및 변형이 가능하다.
따라서, 본 발명의 사상은 설명된 실시예에 국한되어 정해져서는 아니되며, 후술하는 특허청구범위뿐 아니라 이 특허청구범위와 균등하거나 등가적 변형이 있는 모든 것들은 본 발명 사상의 범주에 속한다고 할 것이다.

Claims (19)

  1. 적어도 하나의 파일을 저장하는 파일저장부;
    오진 검증이 완료되지 않은 상태의 예비적용시그니처를 이용하여, 상기 적어도 하나의 파일에 대한 악성코드 진단을 수행하는 악성코드진단수행부; 및
    상기 예비적용시그니처를 이용하여 상기 악성코드 진단을 수행한 결과 특정 파일이 악성코드로 진단되면, 상기 진단된 진단결과를 기초로 하는 상기 오진 검증에 요구되는 검증관련정보를 특정 시그니처검증서버로 제공하는 검증관련정보제공부를 포함하는 것을 특징으로 하는 컴퓨터 시스템.
  2. 제 1 항에 있어서,
    상기 시그니처검증서버로부터, 적어도 하나의 상기 컴퓨터 시스템으로부터 수집되는 상기 검증관련정보를 기초로 상기 예비적용시그니처에 대하여 상기 오진 검증을 수행한 검증결과가 회신되면, 상기 회신되는 검증결과가 정상인 경우 상기 예비적용시그니처의 상태를 상기 오진 검증이 완료된 적용시그니처 상태로 변경하는 시그니처상태변경부를 더 포함하는 것을 특징으로 하는 컴퓨터 시스템.
  3. 적어도 하나의 컴퓨터 시스템으로부터 오진 검증이 완료되지 않은 상태의 예비적용시그니처에 대응하여 특정 파일이 악성코드로 진단된 진단 결과에 따른 검증관련정보를 수집하는 검증관련정보수집부;
    상기 수집된 검증관련정보를 기초로 상기 예비적용시그니처에 대하여 상기 오진 검증을 수행하는 검증수행부; 및
    상기 오진 검증을 수행한 검증결과를 상기 예비적용시그니처를 보유한 상기 적어도 하나의 컴퓨터 시스템으로 제공하는 검증결과제공부를 포함하는 것을 특징으로 하는 시그니처검증서버.
  4. 제 3 항에 있어서,
    상기 검증수행부는,
    상기 적어도 하나의 컴퓨터 시스템으로부터 수집된 검증관련정보를 기초로, 상기 예비적용시그니처에 의해 상기 특정 파일이 진단된 진단 횟수가 특정 횟수 이상인 제1조건, 상기 특정 파일이 특정 기준시간 이상 악성코드 검출이 없는 이력을 가지는 제2조건, 상기 특정 파일이 보유된 컴퓨터 시스템에서 특정 상존기간 이상 상존하는 제3조건 중 적어도 어느 하나를 만족하는 경우, 상기 예비적용시그니처에 의한 진단을 오진으로 판단하는 것을 특징으로 하는 시그니처검증서버.
  5. 제 3 항에 있어서,
    상기 검증수행부는,
    상기 적어도 하나의 컴퓨터 시스템으로부터 수집된 검증관련정보를 기초로, 특정 진단사용자소속에서 상기 예비적용시그니처에 의해 발생하는 진단 횟수가 특정 집중발생시간 동안 특정 집중발생횟수 이상 진단되는 제4조건을 만족하는 경우, 상기 예비적용시그니처에 의한 진단을 오진으로 판단하는 것을 특징으로 하는 시그니처검증서버.
  6. 제 3 항에 있어서,
    상기 검증수행부는,
    상기 적어도 하나의 컴퓨터 시스템으로부터 수집된 검증관련정보를 기초로, 상기 예비적용시그니처를 상기 적어도 하나의 컴퓨터 시스템으로 배포한 후 특정 배포초기시간 이내에 상기 예비적용시그니처에 의해 발생하는 진단 횟수가 특정 다량발생횟수 이상 진단되는 제5조건, 상기 예비적용시그니처에 의해 상기 특정 배포초기시간 이내에 진단되는 파일 간의 특징매칭율이 특정 매칭기준 이하인 제6조건 중 적어도 어느 하나를 만족하는 경우, 상기 예비적용시그니처에 의한 진단을 오진으로 판단하는 것을 특징으로 하는 시그니처검증서버.
  7. 제 3 내지 제 6 항 중 어느 한 항에 있어서,
    상기 검증결과제공부는,
    상기 검증수행부에서 상기 오진 검증을 수행한 결과 상기 예비적용시그니처에 의한 진단을 오진으로 판단하면 상기 예비적용시그니처에 대한 비정상 검증결과를 특정 시그니처작성시스템으로 제공하여, 상기 특정 시그니처작성시스템에서 상기 예비적용시그니처에 대응하는 시그니처를 재작성하도록 하는 것을 특징으로 하는 시그니처검증서버.
  8. 제 3 내지 제 6 항 중 어느 한 항에 있어서,
    상기 검증결과제공부는,
    상기 검증수행부에서 상기 예비적용시그니처에 대하여 상기 오진 검증을 수행한 결과 특정 모니터링기간 동안 상기 오진 판단이 발생하지 않으면, 상기 예비적용시그니처에 대한 정상 검증결과를 상기 예비적용시그니처를 보유한 상기 적어도 하나의 컴퓨터 시스템으로 제공하는 것을 특징으로 하는 시그니처검증서버.
  9. 적어도 하나의 파일을 저장하는 파일 저장단계;
    오진 검증이 완료되지 않은 상태의 예비적용시그니처를 이용하여, 상기 적어도 하나의 파일에 대한 악성코드 진단을 수행하는 악성코드진단 수행단계; 및
    상기 예비적용시그니처를 이용하여 상기 악성코드 진단을 수행한 결과 특정 파일이 악성코드로 진단되면, 상기 진단된 진단결과를 기초로 하는 상기 오진 검증에 요구되는 검증관련정보를 특정 시그니처검증서버로 제공하는 검증관련정보 제공단계를 포함하는 것을 특징으로 하는 컴퓨터 시스템의 시그니처 검증 지원 방법.
  10. 제 9 항에 있어서,
    상기 시그니처검증서버에서 적어도 하나의 상기 컴퓨터 시스템으로부터 수집되는 상기 검증관련정보를 기초로 상기 예비적용시그니처에 대하여 상기 오진 검증을 수행한 검증결과가 회신되면, 상기 회신되는 검증결과가 정상인 경우 상기 예비적용시그니처의 상태를 상기 오진 검증이 완료된 적용시그니처 상태로 변경하는 시그니처상태 변경단계를 더 포함하는 것을 특징으로 하는 컴퓨터 시스템의 시그니처 검증 지원 방법.
  11. 제 9 항에 있어서,
    상기 검증관련정보는,
    상기 예비적용시그니처의 시그니처식별정보, 상기 진단된 특정 파일의 파일식별정보, 상기 컴퓨터 시스템에 대응하는 사용자가 속하는 진단사용자소속정보, 진단시간정보, 상기 진단된 특정 파일이 상기 컴퓨터 시스템 내에 상존한 파일상존기간정보, 상기 진단된 특정 파일의 악성코드진단이력정보 중 적어도 어느 하나를 포함하는 것을 특징으로 하는 컴퓨터 시스템의 시그니처 검증 지원 방법.
  12. 적어도 하나의 컴퓨터 시스템으로부터 오진 검증이 완료되지 않은 상태의 예비적용시그니처에 대응하여 특정 파일이 악성코드로 진단된 진단 결과에 따른 검증관련정보를 수집하는 검증관련정보 수집단계;
    상기 수집된 검증관련정보를 기초로 상기 예비적용시그니처에 대하여 상기 오진 검증을 수행하는 검증 수행단계; 및
    상기 오진 검증을 수행한 검증결과를 상기 예비적용시그니처를 보유한 상기 적어도 하나의 컴퓨터 시스템으로 제공하는 검증결과 제공단계를 포함하는 것을 특징으로 하는 시그니처검증서버의 시그니처 검증 방법.
  13. 제 12 항에 있어서,
    상기 검증관련정보는,
    상기 예비적용시그니처의 시그니처식별정보, 상기 진단된 특정 파일의 파일식별정보, 상기 컴퓨터 시스템에 대응하는 사용자가 속하는 진단사용자소속정보, 진단시간정보, 상기 진단된 특정 파일이 상기 컴퓨터 시스템 내에 상존한 파일상존기간정보, 상기 진단된 특정 파일의 악성코드진단이력정보 중 적어도 어느 하나를 포함하는 것을 특징으로 하는 시그니처검증서버의 시그니처 검증 방법.
  14. 제 13 항에 있어서,
    상기 검증 수행단계는,
    상기 적어도 하나의 컴퓨터 시스템으로부터 수집된 검증관련정보를 기초로, 상기 예비적용시그니처에 의해 상기 특정 파일이 진단된 진단 횟수가 특정 횟수 이상인 제1조건, 상기 특정 파일이 특정 기준시간 이상 악성코드 검출이 없는 이력을 가지는 제2조건, 상기 특정 파일이 보유된 컴퓨터 시스템에서 특정 상존기간 이상 상존하는 제3조건 중 적어도 어느 하나를 만족하는 경우, 상기 예비적용시그니처에 의한 진단을 오진으로 판단하는 것을 특징으로 하는 시그니처검증서버의 시그니처 검증 방법.
  15. 제 13 항에 있어서,
    상기 검증 수행단계는,
    상기 적어도 하나의 컴퓨터 시스템으로부터 수집된 검증관련정보를 기초로, 특정 진단사용자소속에서 상기 예비적용시그니처에 의해 발생하는 진단 횟수가 특정 집중발생시간 동안 특정 집중발생횟수 이상 진단되는 제4조건을 만족하는 경우, 상기 예비적용시그니처에 의한 진단을 오진으로 판단하는 것을 특징으로 하는 시그니처검증서버의 시그니처 검증 방법.
  16. 제 13 항에 있어서,
    상기 검증 수행단계는,
    상기 적어도 하나의 컴퓨터 시스템으로부터 수집된 검증관련정보를 기초로, 상기 예비적용시그니처를 상기 적어도 하나의 컴퓨터 시스템으로 배포한 후 특정 배포초기시간 이내에 상기 예비적용시그니처에 의해 발생하는 진단 횟수가 특정 다량발생횟수 이상 진단되는 제5조건, 상기 예비적용시그니처에 의해 상기 특정 배포초기시간 이내에 진단되는 파일 간의 특징매칭율이 특정 매칭기준 이하인 제6조건 중 적어도 어느 하나를 만족하는 경우, 상기 예비적용시그니처에 의한 진단을 오진으로 판단하는 것을 특징으로 하는 시그니처검증서버의 시그니처 검증 방법.
  17. 제 14 내지 제 16 항 중 어느 한 항에 있어서,
    상기 검증 수행단계에서 상기 오진 검증을 수행한 결과 상기 예비적용시그니처에 의한 진단을 오진으로 판단하면 상기 예비적용시그니처에 대한 비정상 검증결과를 특정 시그니처작성시스템으로 제공하여, 상기 특정 시그니처작성시스템에서 상기 예비적용시그니처에 대응하는 시그니처를 재작성하도록 하는 단계를 더 포함하는 것을 특징으로 하는 시그니처검증서버의 시그니처 검증 방법.
  18. 제 14 내지 제 16 항 중 어느 한 항에 있어서,
    상기 검증결과 제공단계는,
    상기 검증 수행단계에서 상기 예비적용시그니처에 대하여 상기 오진 검증을 수행한 결과 특정 모니터링기간 동안 상기 오진 판단이 발생하지 않으면, 상기 예비적용시그니처에 대한 정상 검증결과를 상기 예비적용시그니처를 보유한 상기 적어도 하나의 컴퓨터 시스템으로 제공하는 것을 특징으로 하는 시그니처검증서버의 시그니처 검증 방법.
  19. 제9항 내지 제18항 중 어느 한 항의 방법을 수행하는 프로그램을 기록한 컴퓨터 판독 가능 기록 매체.
PCT/KR2013/001355 2012-02-21 2013-02-21 컴퓨터 시스템 및 시그니처검증서버 WO2013125866A1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US14/380,142 US9852291B2 (en) 2012-02-21 2013-02-21 Computer system and signature verification server

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020120017523A KR101337216B1 (ko) 2012-02-21 2012-02-21 컴퓨터 시스템 및 시그니처검증서버
KR10-2012-0017523 2012-02-21

Publications (2)

Publication Number Publication Date
WO2013125866A1 true WO2013125866A1 (ko) 2013-08-29
WO2013125866A9 WO2013125866A9 (ko) 2014-11-13

Family

ID=49005979

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2013/001355 WO2013125866A1 (ko) 2012-02-21 2013-02-21 컴퓨터 시스템 및 시그니처검증서버

Country Status (3)

Country Link
US (1) US9852291B2 (ko)
KR (1) KR101337216B1 (ko)
WO (1) WO2013125866A1 (ko)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8904189B1 (en) 2010-07-15 2014-12-02 The Research Foundation For The State University Of New York System and method for validating program execution at run-time using control flow signatures
KR101671268B1 (ko) 2015-01-08 2016-11-01 주식회사 윈스 시그니처 기반 네트워크 보안 장비의 프로파일링 서비스 방법 및 장치
KR102365532B1 (ko) 2015-09-22 2022-02-21 삼성전자주식회사 보안 기능 수행 방법 및 이를 지원하는 전자 장치
KR101896824B1 (ko) * 2017-01-17 2018-09-10 한국항공대학교산학협력단 Isp를 사용한 바이러스 사전 탐지 장치 및 방법
KR102053781B1 (ko) 2018-04-02 2020-01-22 주식회사 윈스 시그니처 추출 장치 및 방법
KR20230090247A (ko) 2021-12-14 2023-06-21 충남대학교산학협력단 특정 악성코드에 최적화된 시그니처 생성방법 및 장치

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH06250861A (ja) * 1993-01-19 1994-09-09 Internatl Business Mach Corp <Ibm> コンピュータ・ウィルスおよび他の望ましくないソフトウェア実在物のシグネチャを評価し抽出するための方法および装置
KR20100116392A (ko) * 2009-04-22 2010-11-01 주식회사 안철수연구소 악성 코드 재검사 방지 정보의 장시간 운용 방법, 장치 및 그 방법을 실행하는 프로그램이 기록된 컴퓨터로 읽을 수 있는 기록매체
KR101042861B1 (ko) * 2009-12-14 2011-06-20 주식회사 잉카인터넷 유해성 검사 목록 관리 방법 및 유해성 검사 시스템
KR20110108491A (ko) * 2010-03-29 2011-10-06 한국전자통신연구원 악성 스크립트 분석 시스템 및 그를 이용한 악성 스크립트 분석 방법

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7231637B1 (en) * 2001-07-26 2007-06-12 Mcafee, Inc. Security and software testing of pre-release anti-virus updates on client and transmitting the results to the server
US8392996B2 (en) * 2006-08-08 2013-03-05 Symantec Corporation Malicious software detection
US8561180B1 (en) * 2008-10-29 2013-10-15 Symantec Corporation Systems and methods for aiding in the elimination of false-positive malware detections within enterprises
US8356354B2 (en) * 2009-11-23 2013-01-15 Kaspersky Lab, Zao Silent-mode signature testing in anti-malware processing
US8719935B2 (en) * 2010-01-08 2014-05-06 Microsoft Corporation Mitigating false positives in malware detection
US8875286B2 (en) * 2010-12-01 2014-10-28 Cisco Technology, Inc. Method and apparatus for detecting malicious software using machine learning techniques

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH06250861A (ja) * 1993-01-19 1994-09-09 Internatl Business Mach Corp <Ibm> コンピュータ・ウィルスおよび他の望ましくないソフトウェア実在物のシグネチャを評価し抽出するための方法および装置
KR20100116392A (ko) * 2009-04-22 2010-11-01 주식회사 안철수연구소 악성 코드 재검사 방지 정보의 장시간 운용 방법, 장치 및 그 방법을 실행하는 프로그램이 기록된 컴퓨터로 읽을 수 있는 기록매체
KR101042861B1 (ko) * 2009-12-14 2011-06-20 주식회사 잉카인터넷 유해성 검사 목록 관리 방법 및 유해성 검사 시스템
KR20110108491A (ko) * 2010-03-29 2011-10-06 한국전자통신연구원 악성 스크립트 분석 시스템 및 그를 이용한 악성 스크립트 분석 방법

Also Published As

Publication number Publication date
KR20130096033A (ko) 2013-08-29
KR101337216B1 (ko) 2013-12-05
WO2013125866A9 (ko) 2014-11-13
US20150089641A1 (en) 2015-03-26
US9852291B2 (en) 2017-12-26

Similar Documents

Publication Publication Date Title
WO2013125866A1 (ko) 컴퓨터 시스템 및 시그니처검증서버
WO2014035043A1 (ko) 악성 애플리케이션 진단 장치 및 방법
WO2017213400A1 (en) Malware detection by exploiting malware re-composition variations
US20090133125A1 (en) Method and apparatus for malware detection
WO2020096098A1 (ko) 어노테이션 작업 관리 방법, 이를 지원하는 장치 및 시스템
JP2006031109A (ja) 管理システム及び管理方法
CN109684833B (zh) 使程序危险行为模式适应用户计算机系统的系统和方法
WO2020004749A1 (ko) 동영상 파일을 이용한 설비 학습 장치 및 방법
WO2014042297A1 (ko) 코드분석과 화면분석을 이용한 안드로이드 어플의 자동실행 방법
WO2013125867A1 (ko) 컴퓨터 시스템과, 파일 및 행위 기반 복합룰 작성 시스템
JP2011522334A (ja) ソフトウェア問題を識別するための方法、システム、およびコンピュータ・プログラム
JP6567212B2 (ja) 等価性検証装置および等価性検証プログラム
JP6531601B2 (ja) 診断プログラム、診断方法および診断装置
US20050172176A1 (en) Method of verifying a monitoring and responsive infrastructure of a system
WO2023090825A1 (ko) Ai 모델 드리프트 모니터링 장치 및 방법
WO2021261901A1 (ko) 함수 호출 패턴 분석을 통한 이상 검출 장치 및 방법
US7730476B2 (en) Field-replaceable unit revision compatibility
CN114064510A (zh) 功能测试方法、装置、电子设备和存储介质
US8249728B2 (en) Method for operating a management system of function modules
Sejfia et al. Toward Improved Deep Learning-based Vulnerability Detection
CN116257426A (zh) 测试关联方法、装置、电子设备及存储介质
CN112612702A (zh) 一种基于web的自动测试方法及装置
US20160275002A1 (en) Image capture in application lifecycle management for documentation and support
US20220318374A1 (en) Diagnosis apparatus, diagnosis method, and computer-readable recording medium
CN113783856B (zh) 宝塔面板的检测方法、装置和计算机设备

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13751564

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 14380142

Country of ref document: US

122 Ep: pct application non-entry in european phase

Ref document number: 13751564

Country of ref document: EP

Kind code of ref document: A1