WO2013125867A1 - 컴퓨터 시스템과, 파일 및 행위 기반 복합룰 작성 시스템 - Google Patents

컴퓨터 시스템과, 파일 및 행위 기반 복합룰 작성 시스템 Download PDF

Info

Publication number
WO2013125867A1
WO2013125867A1 PCT/KR2013/001356 KR2013001356W WO2013125867A1 WO 2013125867 A1 WO2013125867 A1 WO 2013125867A1 KR 2013001356 W KR2013001356 W KR 2013001356W WO 2013125867 A1 WO2013125867 A1 WO 2013125867A1
Authority
WO
WIPO (PCT)
Prior art keywords
file
rule
behavior
act
diagnosis
Prior art date
Application number
PCT/KR2013/001356
Other languages
English (en)
French (fr)
Inventor
황규범
김정훈
Original Assignee
주식회사 안랩
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 안랩 filed Critical 주식회사 안랩
Publication of WO2013125867A1 publication Critical patent/WO2013125867A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities

Definitions

  • Embodiments of the present invention are techniques for collecting a sample through an action by malware and creating a corresponding rule for malware diagnosis by linking it with a file diagnosis.
  • a file diagnosis rule signature
  • Malware diagnosis methods are mainly classified into a diagnosis method using a signature (diagnosis rule) and a diagnosis method using a code. Diagnostic methods using codes are time-consuming and inexpensive, while diagnostic methods using signatures can respond quickly. Therefore, it is no exaggeration to say that more than 99% of malicious codes are diagnosed using signatures.
  • the action rule was created through analysis in a specific environment, if the environment was not executable by the malicious code, the action could not be extracted and the action blocking rule could not be created. It is difficult to guarantee stability in the test environment and other environments because it is stabilized by using a certain environment and using it for a certain time to verify, and it is impossible to respond because it cannot guarantee the behavior of malicious code by running in a limited environment. There is a lot of utility falls.
  • the malicious code behavior itself may be blocked, but rather the normal behavior of the general program may be blocked or limited to its normal function.
  • file diagnosis rule it is effective to diagnose multiple samples with one file rule by collecting and analyzing files, but there are difficulties in sample collection, and it takes time to analyze the collected samples and determine whether there is malicious activity. There is a problem.
  • the malicious suspicious behavior is defined in addition to the blocking of the malicious behavior that performs a specific behavior through behavior-based observation by the existing malicious code, and through this, the behavioral subject file and the behavioral subject file are collected, and also from the behavioral subject file.
  • Embodiments of the present invention as a technique for creating files and behavior response rules for the diagnosis of malicious code by linking the file diagnosis and the collection of files suspected of malicious activity in addition to blocking the behavior through the action by the malicious code, Collects information and action subject files resulting from malicious suspicious action by action monitoring rules including actions to be blocked and actions to be monitored in the actual user's computer environment of the user, and file diagnosis rules (signatures) using the collected action subject files Create and distribute new response rules or behavior monitoring rules to collect additional samples or block actions by using collected information, improve sample collection and variant response through acts by malware, and file these samples
  • This paper proposes a diagnostic environment that can respond reliably to one environment and improve existing constraints such as the effectiveness, promptness, and potential for diagnosis.
  • a file and action based composite rule creation system comprising: a monitoring rule providing unit for providing an action monitoring rule including at least one malicious suspicious activity to a plurality of computer systems; Collecting behavioral report information including behavioral subject file information and all behaviors to be monitored by the associated thread of the file as the at least one malicious suspicious activity included in the behavioral monitoring rule is generated from the plurality of computer systems; Information collecting unit; And an action subject file for generating the at least one malicious suspect action included in the action monitoring rule based on the collected action report information, and a file corresponding to the action subject files collected from a plurality of computer systems. It includes a diagnostic rule preparation unit for preparing a diagnostic rule.
  • a computer system includes: a file storage unit storing at least one file; A file diagnosis rule storage unit for storing file diagnosis rules used for malware diagnosis; An action monitoring rule storage unit for receiving and storing an action monitoring rule including at least one malicious suspect action; And when the at least one malicious suspicious activity included in the behavior monitoring rule occurs in a file which is not diagnosed as a malicious file by the file diagnosis rule among the at least one file, the action report information based on the specific file and behavior Provided to the composite rule creation system, and includes a behavior report information providing unit for creating a file diagnostic rule based on the series of actions and the transmitted file information included in the behavior report information.
  • a method of creating a file and action based composite rule comprising: providing a monitoring rule including at least one malicious suspicious activity to a plurality of computer systems; An information collection step of collecting activity report information resulting from the occurrence of at least one malicious suspicious activity included in the behavior monitoring rule from the plurality of computer systems; Based on the collected action report information, a diagnostic rule is prepared for identifying an action subject file that causes the at least one malicious suspicious action included in the action monitoring rule and preparing a file diagnosis rule corresponding to the action subject files. Steps.
  • a rule writing support method for a computer system including: a file storing step of storing at least one file; A file diagnosis rule storing step of storing a file diagnosis rule used for malware diagnosis; An action monitoring rule storing step of receiving and storing an action monitoring rule including at least one malicious suspicious action; And when the at least one malicious suspicious activity included in the behavior monitoring rule occurs in a malicious code file which is not diagnosed by the file diagnosis rule among the at least one file, the action report information based on the specific file and behavior Providing a composite rule creation system, and providing a behavior reporting information to create a file diagnosis rule based on the behavior reporting information.
  • Embodiments of the present invention collect all the action report information generated by the thread as a specific action (e.g. malicious suspicious action) defined in the action monitoring rule in a plurality of real user computer environment, and collects the collected action report
  • a specific action e.g. malicious suspicious action
  • the information is linked to various environments based on an unspecified number of user computer environments by linking behavior and file diagnosis by malware. It is possible to reliably collect and respond to suspicious samples and improve / overcome existing constraints such as the effectiveness and speed of diagnosis and the possibility of misdiagnosis.
  • FIG. 1 is a block diagram showing an entire system including a computer system and a poem file and an action-based complex rule writing system according to a preferred embodiment of the present invention.
  • FIG. 2 is a block diagram showing the configuration of a computer system according to a preferred embodiment of the present invention.
  • FIG. 3 is a block diagram showing the configuration of a file and behavior based complex rule creation system according to a preferred embodiment of the present invention.
  • FIG. 4 is a flowchart illustrating a control flow of the entire system according to a preferred embodiment of the present invention.
  • FIG. 5 is a flowchart illustrating an operation flow of a rule writing support method of a computer system according to an exemplary embodiment of the present invention.
  • FIG. 6 is a flowchart illustrating an operation flow of a method for creating a file and behavior based complex rule according to an exemplary embodiment of the present invention.
  • FIG. 1 is a diagram illustrating an entire system including a computer system and a file and behavior based complex rule writing system according to a preferred embodiment of the present invention.
  • the entire system may include a plurality of computer systems 200, a file and behavior-based compound rule creation system 300, an update server 400, and the like.
  • Each computer system 100 included in the plurality of computer systems 200 is a user computer used in various user belongings such as a general home, a business, a school, or an academy, and is unspecified according to the user's purpose, interests, and occupations of the individual. Store / retain a wide variety of files.
  • the file and action-based compound rule creation system 300 provides an action monitoring rule including at least one malicious suspicious activity to the plurality of computer systems 200.
  • the file and action-based compound rule creation system 300 collects actions generated by a file suspected of malicious code, and creates an action monitoring rule including at least one malicious suspect action based on the collected actions. Can be. At this time, it is preferable that the action monitoring rule identification information having a unique sequence number is assigned to each of the created action monitoring rules.
  • the file and behavior based composite rule creation system 300 provides the created behavior monitoring rule to the update server 400, and the update server 400 distributes the behavior monitoring rules to a plurality of computer systems 200. Providing / distributing to each computer system 100, the behavior monitoring rules are updated / stored in the computer system 100.
  • each computer system 100 may retain a plurality of behavior monitoring rules by receiving and storing the behavior monitoring rules from the update server 400.
  • each computer system 100 stores file diagnosis rules used for malware diagnosis. That is, each computer system 100 performs a malicious code diagnosis on a file stored / retained in itself using a file diagnosis rule when a malicious code diagnosis event occurs.
  • each computer system 100 preferably includes a client vaccine that performs malware diagnosis on files stored / stored in the computer system 100 using stored file diagnosis rules.
  • the computer system 100 may perform an action according to the at least one malicious suspicious activity included in the action monitoring rule in a file which is not diagnosed as a malicious code file by a file diagnosis rule among at least one file.
  • the reporting information is provided to the specific file and behavior based complex rule creation system 300.
  • the computer system 100 blocks the file execution for a file diagnosed as a malicious code file by a file diagnosis rule, and identifies a file that is not diagnosed as a malicious code file by a file diagnosis rule. It monitors whether at least one malicious suspicious activity included in the behavior monitoring rule occurs.
  • the computer system 100 determines the behavior report information based on the specific file and behavior. Provided to the compound rule creation system 300.
  • the provided behavior report information may include an action subject corresponding to the above-described file which is determined as an undiagnosed file for generating at least one malicious suspicious action of the above-described specific action monitoring rule.
  • File information, file location information, occurrence time information, occurrence frequency information, and behaviors not defined in the action monitoring rule, in which the above-described file (hereafter, mixed with the action subject file) is located in the computer system 100 is included. If so, it may include at least one of the recorded total information.
  • the computer system 100 in providing the above-described action report information to the file and action-based compound rule creation system 300, when the action report information is a predefined immediate report target file and action-based compound rule creation system (300) can be provided immediately, if the action reporting information is not immediately reported, stored and managed in the internal storage (not shown) and requested from the file and action-based compound rule creation system 300 or reaches the delivery cycle City management / stored behavior reporting information may be provided to the file and behavior-based complex rule creation system 300.
  • the computer system 100 as a result of the above determination, if the specific file that causes at least one malicious suspect action included in the specific behavior monitoring rule, that is, the behavior subject file is a malicious code file, provides the corresponding behavior report information. Instead, it is desirable to block the execution of that particular file.
  • the file and behavior based composite rule creation system 300 collects behavior report information resulting from occurrence of at least one malicious suspicious activity included in the behavior monitoring rule from a plurality of computer systems 200.
  • the file and behavior-based composite rule creation system 300 collects behavior report information provided as malicious suspicious behavior according to the behavior monitoring rule occurs in a file not diagnosed as malicious code from each computer system 100. Collecting behavior report information based on a test result of malicious suspicious behavior using behavior monitoring rules for a plurality of files (undiagnosed files and white list files, etc.) held in a plurality of computer systems 200 Same as
  • the behavior reporting information collected from the computer system 200 will mean the result of testing whether malicious behavior occurs using the behavior monitoring rules collected in various environments based on the unspecified user computer environment.
  • the file and behavior-based compound rule creation system 300 generates at least one malicious suspicious activity included in a specific behavior monitoring rule based on the behavior report information collected from the plurality of computer systems 200 as described above. Check the action subject file and create a file diagnostic rule (signature) corresponding to the identified action subject file.
  • the file and behavior based complex rule creation system 300 is directly or through a linkage with a creation system (not shown) for creating a file diagnosis rule (signature).
  • a creation system not shown
  • a file diagnosis rule signature
  • a sample of the subject files identified as causing suspicious behavior can be collected, and a file diagnosis rule (signature) can be written to diagnose these samples.
  • the method for creating a file diagnosis rule is a method of creating a file diagnosis rule (signature) using an existing sample, such as finding a header information and a part of code information that is common between samples and creating a file diagnosis rule (signature). Since any one of them may be adopted, a detailed description thereof will be omitted.
  • the file and behavior-based compound rule creation system 300 provides the created file diagnosis rule to the update server 400, and the update server 400 provides a plurality of computer systems 200 to which the file diagnosis rule is to be distributed. Provided / distributed to each computer system 100 of, so that the file diagnosis rule newly created in the computer system 100 is updated / stored.
  • the plurality of computer systems 200 may receive the newly created file diagnosis rule from the update server 400 and update / store the newly created file diagnosis rule in the previously stored file diagnosis rule.
  • the plurality of computer systems 200 will also use the newly updated file diagnosis rule when performing the above-mentioned malware diagnosis.
  • the computer system 100 includes a file storage unit 110 for storing at least one file, a file diagnosis rule storage unit 120 for storing file diagnosis rules for use in diagnosing malware, and at least one file.
  • An action monitoring rule storage unit 130 for receiving and storing an action monitoring rule including malicious suspicious activity; and a file not diagnosed as a malicious code file by the file diagnosis rule among the at least one file.
  • Report information providing unit 140 is included.
  • the file storage unit 110 stores various types of files.
  • the file diagnosis rule storage unit 120 stores a file diagnosis rule used to diagnose malware.
  • the file diagnosis rule storage unit 120 is interlocked with a client vaccine that performs malicious code diagnosis on a file stored / stored in the file storage unit 110 by using a file diagnosis rule, Alternatively, the configuration may be included in the client vaccine.
  • the behavior monitoring rule storage unit 130 receives and stores the behavior monitoring rule including at least one malicious suspicious activity.
  • the behavior monitoring rule storage unit 130 may retain the plurality of behavior monitoring rules by receiving and storing the behavior monitoring rules provided by the file and behavior-based compound rule creation system 300 from the update server 400. have.
  • the behavior report information providing unit 140 may include the file included in the behavior monitoring rule in a file that is not diagnosed as a malicious code file by the file diagnosis rule among at least one file stored in the file storage unit 110.
  • the act reporting information is provided to the specific file and the act-based compound rule creation system 300 to prepare a file diagnosis rule based on the act reporting information.
  • the behavior reporting information providing unit 140 may generate at least one malicious suspicious activity included in a specific behavior monitoring rule among a plurality of behavior monitoring rules among files stored / held in the file storage unit 110. Determine whether or not.
  • the behavior report information providing unit 140 is not diagnosed as a malicious code file by the above-mentioned malicious code diagnosis. Determine if the file is not diagnosed.
  • the behavior report information providing unit 140 when the at least one malicious suspicious activity included in a specific behavior monitoring rule occurs in a specific file determined to be an undiagnostic file as a result of the foregoing determination, the behavior report information is provided accordingly. Provided to the file and behavior-based compound rule creation system 300.
  • the action report information providing unit 140 in providing the above-described action report information to the file and action-based compound rule creation system 300, when the action report information is a predefined immediate report target file and action-based compound Can be immediately provided to the rule creation system 300, and if the action reporting information is not immediately reported to be stored and managed in the internal storage (not shown) and requested from the file and action-based compound rule creation system 300 or Upon reaching the provisioning cycle, the management / stored behavior report information may be provided to the file and behavior-based complex rule creation system 300.
  • the file and behavior based composite rule creation system 300 may collect behavior report information resulting from at least one malicious suspicious activity included in the behavior monitoring rule from a plurality of computer systems 200.
  • the behavior report information providing unit 140 if a specific file that causes at least one malicious suspicious activity included in the specific behavior monitoring rule as a result of the foregoing determination, that is, the behavior subject file is a previously diagnosed malicious code file, it corresponds to this. It is preferable to block the execution of the specific file without providing the activity report information.
  • the above-described file diagnosis rule storage unit 120 receives the file diagnosis rule newly created in the file and behavior-based compound rule creation system 300 from the update server 400 as described with reference to FIG.
  • the newly created file diagnosis rule can be updated / saved to the saved file diagnosis rule.
  • the computer system 100 also uses the newly updated file diagnosis rule (which has the same meaning as the signature for the variant file) when the malware is diagnosed to diagnose the malware by the newly updated file diagnosis rule. Execution can also be blocked for files that become
  • the behavior monitoring rule storage unit 130 receives the behavior monitoring rule newly created in the file and behavior based composite rule creation system 300 from the update server 400 and newly monitors the behavior monitoring rule written in the behavior monitoring rule previously stored. You can update / save rules.
  • the computer system 100 may also use the newly updated behavior monitoring rule in providing behavior report information when malicious suspicious behavior occurs based on the behavior monitoring rule as described above.
  • the activity report information may be provided as described above with respect to the occurrence of malicious suspicious behavior by the newly updated behavior monitoring rule.
  • the file and behavior based composite rule creation system 300 includes a surveillance rule providing unit 370 that provides a behavior monitoring rule including at least one malicious suspicious activity to a plurality of computer systems 200, and a plurality of rules.
  • An information collection unit 310 for collecting behavior report information generated by the at least one malicious suspicious activity included in the behavior monitoring rule from the computer system 200 and the behavior monitoring based on the collected behavior report information;
  • a diagnosis rule creation unit 340 for identifying an action subject file for generating the at least one malicious suspect action included in the rule and creating a file diagnosis rule corresponding to the action subject file.
  • the file and behavior-based complex rule creation system 300 includes a report information verification unit 320, a white list unit 330, a diagnosis rule creation unit 360, and a diagnosis rule provider 350. It may further include.
  • the monitoring rule provider 370 provides the behavior monitoring rule to the plurality of computer systems 200.
  • the computer system 100 which will operate the act monitoring rule may be whitelisted, thus forcibly excluded from the whitelist. It is desirable to include a flag.
  • the monitoring rule providing unit 370 provides the created action monitoring rule to the update server 400, and the update server 400 each computer system of the plurality of computer systems 200 to which the action monitoring rule is distributed. 100) to provide / distribute the behavior monitoring rules in the computer system 100.
  • the information collecting unit 310 collects behavior report information from at least one malicious suspicious activity included in the behavior monitoring rule provided as described above from a plurality of computer systems 200.
  • the plurality of computer systems 200 when a file classified as a white list in the corresponding computer system is diagnosed by the behavior monitoring rule, when the behavior monitoring rule includes a whitelist update flag, the diagnostic information on the file.
  • whitelist related information may be included in the activity report information and transmitted to the information collection unit 310.
  • the information collecting unit 310 may collect behavior report information provided immediately from the plurality of computer systems 200, and may collect the behavior report information provided from the plurality of computer systems 200 on request or periodically. Can be collected.
  • the information collecting unit 310 may classify and collect the collected action report information by corresponding action monitoring rule identification information.
  • Diagnosis rule creation unit 340 checks the action subject file that generates at least one malicious suspicious activity included in the action monitoring rule provided as described above based on the action report information collected through the information collection unit 310 and In addition, a file diagnosis rule corresponding to the action subject file is prepared.
  • the diagnostic rule writing unit 340 detects at least one malicious suspicious activity of the same specific behavior monitoring rule that is reported in large numbers (for example, more than a specific report number) in the behavior report information collected through the information collection unit 310. You can check the action subject files that are generated.
  • diagnosis rule writing unit 340 may create a file diagnosis rule (signature) for diagnosing these samples using the sample of the action subject files identified as causing the malicious suspicious behavior by the specific action monitoring rule as described above. .
  • the diagnostic rule creation unit 340 writes the file diagnosis rule as described above, the report information verification unit 320, the action subject is confirmed based on the action report information collected through the information collection unit 310 If it is not a white list file by checking whether the file is a white list file, the diagnosis subject file may be requested to determine the acting subject file as a malicious code file and to write a file diagnosis rule corresponding to the acting subject file. have. In some cases, when the whitelist file registered in advance is a malicious code file due to a wrong decision, it may be changed into a malicious code file by the analyst.
  • the report information verification unit 320 may identify an action subject file that generates at least one malicious suspicious action of a corresponding action monitoring rule with respect to the action report information collected through the information collection unit 310.
  • the report information verification unit 320 checks whether the act subject file checked as described above is a white list file held in the white list unit 330, and is not a white list file or is incorrectly registered due to a mistake in determination. If the list is canceled, the behavior subject file can be determined as a malicious code file.
  • the report information verification unit 320 checks whether the act subject file identified based on the action report information collected through the information collecting unit 310 is a white list file, and is not a white list file. For example, if there is at least one malicious estimation act defined in the act subject file, the act subject file may be determined as a malicious code file.
  • the report information verification unit 320 checks whether the act subject file checked as described above is the white list file held in the white list unit 330, and if not the white list file, the report information verification unit 320 is previously defined in the act subject file. Check whether there is at least one malicious presumed act.
  • the report information verification unit 320 may determine the act subject file that is determined not to be a white list file but at least one predefined malicious presumption act as a malicious code file.
  • the report information verification unit 320 may request the diagnosis rule creation unit 340 to create a file diagnosis rule corresponding to the action subject files determined to be malicious code files.
  • the report information verification unit 320 classifies the action report information collected as described above by the information collection unit 310 by action monitoring rule identification information, and acts determined to be a malicious code file.
  • the activity report information of the subject file can be classified and stored for use in the file diagnosis rule.
  • the report information verification unit 320 if necessary (for example, manual request from the operator, or elapse of a specific cycle time, etc.), to use the action report information of the action subject file determined to be a malicious code file to create a file diagnostic rule Classified / stored information may be provided to specific analysis systems or analysts for later separate monitoring.
  • the diagnostic rule creation unit 340 at least one malicious of the same specific behavior monitoring rule reported a plurality of (eg, more than a specific report number) of the behavior report information classified / stored for use in the file diagnostic rule creation as described above It is possible to identify the action subject files causing suspicious behavior, and to write file diagnosis rules (signatures) for diagnosing these samples using the action subject files as samples.
  • the created file diagnosis rule has a meaning of a signature created for diagnosing malicious code for a file identified as a malicious code file or at least a file identified as not a normal white list file, that is, a variant file.
  • the diagnostic rule creation unit 340 may create a file diagnosis rule including the action subject file collected by the rule other than the same behavior monitoring rule and the previously collected files in the system 300.
  • the report information verification unit 320 checks whether the act subject file identified on the basis of the collected act report information is a white list file, and determines the act subject file as a normal file when the act subject file is the white list file.
  • the diagnostic rule generator 340 may request that the file diagnosis rule corresponding to the subject file not be created.
  • the report information verification unit 320 as described above, as a result of confirming whether the act subject files identified as causing the malicious suspicious behavior by the specific behavior monitoring rule are the white list files held in the white list unit 330, If it is determined that the file is a white list file, the act subject file may be determined as a normal file, and the diagnosis rule creating unit 340 may be requested not to prepare a file diagnosis rule corresponding thereto.
  • the report information verification unit 320 classifies the action report information collected as described above by the information collection unit 310 by the corresponding action monitoring rule identification information, and determines the white list file. It can be classified / stored so that the behavior report information of the generated behavior subject file is not used for the file diagnosis rule.
  • the file diagnosis rule (signature) created by using the action subject files as a sample in the diagnosis rule generator 340 will not include the file diagnosis rule for the white list file.
  • the above-mentioned file diagnosis rules significantly reduce the possibility of collisions and misunderstandings that block the normal behavior of non-malware code, that is, general programs, or limit the normal functions. Even if the variant is partially changed, the quality and efficiency of the signature can be improved by using the file diagnosis rule that uses the characteristics of the code or the file.
  • the report information verification unit 320 classifies the action monitoring rule according to the action report information in which the action subject file determined as the white list file is identified as an undiagnostic rule (or white list rule) as described above.
  • the white list unit 330 When registered in the white list unit 330, at least one malicious suspicious activity included in the behavior monitoring rule classified as a white list rule may be determined as a misdiagnosis. That is, the behavior monitoring rule classified as a white list rule is determined to be a wrongly made rule.
  • the diagnosis rule providing unit 350 may provide the file diagnosis rule created by the diagnosis rule creating unit 340 to the plurality of computer systems 200.
  • the diagnosis rule providing unit 350 determines a matching rate between the file diagnosis rule created by the diagnosis rule creating unit 340 and the corresponding white list file to determine a first condition and a file diagnosis rule that are equal to or less than a first first mismatch matching rate. If the file location and the file related information in the computer system 100 in which the act subject file used for the creation of the file satisfies at least any one of the second conditions belonging to the specific dust safety location, It is possible to provide the file diagnosis rule to the plurality of computer systems 200 by determining that the verification of the error is successful.
  • the diagnostic rule providing unit 350 may determine the first condition determined to be sufficiently different from the first diagnosis matching rate between the created file diagnosis rule and the corresponding white list file, and the acting agent used to create the file diagnosis rule. If the file location in the collected computer system 100 at the time the file is collected satisfies a second condition belonging to a specific safe safety location, it may be determined that the verification of the generated file diagnosis rule is successful.
  • the diagnosis rule providing unit 350 provides the created file diagnosis rule to the update server 400, and the update server 400 distributes the file diagnosis rule. Provided / distributed to each computer system 100 of the plurality of computer systems 200, so that the file diagnostic rules in the computer system 100 is updated / stored.
  • the monitoring rule creation unit 360, the report information verification unit 320 is a new behavior monitoring rule including at least one predefined malicious presumed behavior present in the behavior subject file determined to be a malicious code file
  • the monitoring rule providing unit 370 may be requested to create and provide the information to the plurality of computer systems 200.
  • the monitoring rule creation unit 360 is determined by the report information verification unit 320 as a malicious code file and based on the activity report information classified / stored for use in file diagnosis rule generation as described above, Example: more than a certain number of reports) Identify the action subject files that cause at least one malicious suspicious action of the same specific action monitoring rule reported, and identify at least one predefined malicious presumption act that is common to the action subject files. Can be collected.
  • the monitoring rule preparation unit 360 may create a new behavior monitoring rule including at least one malicious estimation behavior based on the collected malicious estimation behavior. At this time, it is preferable that behavior monitoring rule identification information having a unique sequence number be assigned to the created new behavior monitoring rule.
  • the monitoring rule preparation unit 360 determines the matching rate between the new behavior monitoring rule and the whitelist behavior that has been created, and the monitoring rule providing unit 370 records the new behavior monitoring rule that is created when the matching rate is less than the second specific mismatching rate. ) Can be provided.
  • the monitoring rule creation unit 360 compares the created new behavior monitoring rule with the white list behavior stored in the white list unit 330 to be sufficiently different to be less than or equal to a specific second error matching rate. It may be determined that the verification of the error is successful, and the new behavior monitoring rule created may be provided to the monitoring rule provider 370.
  • the monitoring rule provider 370 may provide the new behavior monitoring rule to the plurality of computer systems 200 through the update server 400 as described above.
  • a plurality of computer systems may be provided with a behavior monitoring rule written based on malicious behavior caused by malicious code. Collects and collects test results, that is, behavioral report information, from multiple computer systems by testing whether malicious behaviors occur by behavior monitoring rules for files of almost unlimited type and number in various unspecified operating environments based on computer systems Based on the behavior report information, a new response rule, that is, a behavior monitoring rule and / or a file diagnosis rule (signature), may be prepared and distributed.
  • file diagnosis rules are utilized by collecting various malicious suspicious files diagnosed by behavior monitoring rules from a plurality of computer systems. By writing, it is possible to diagnose all variants with different diagnosis rates and behaviors or variants with different behaviors and environments, and to diagnose all variants of samples that do not understand behavior through the creation of file diagnosis rules. do.
  • active and optimal novelty for malicious code diagnosis and / or blocking of malicious activity is collected by collecting samples in association with malicious code behavior and file diagnosis based on a plurality of computer systems used by real users.
  • a response rule it is possible to stably respond to various environments based on an unspecified number of user computer environments, and to create an optimal and adaptive response rule that improves existing constraints such as the effectiveness, speed, and possibility of diagnosis.
  • FIGS. 4 to 6 a method of creating a file and an action-based compound rule according to the present invention will be described with reference to FIGS. 4 to 6.
  • the configuration shown in FIGS. 1 to 3 described above will be described with reference to the corresponding reference numerals.
  • the file and behavior based composite rule creation system 300 provides behavior monitoring rules including at least one malicious suspicious activity to the plurality of computer systems 200 through the update server 400 (S10).
  • each computer system 100 may hold a plurality of behavior monitoring rules by receiving and storing the behavior monitoring rules from the update server 400 (S20).
  • each computer system 100 stores file diagnosis rules used for malware diagnosis.
  • the computer system 100 reports the behavior according to the at least one malicious suspicious activity included in the behavior monitoring rule in a file which is not diagnosed as a malicious code file by a file diagnosis rule among at least one file. Provides information to a specific file and behavior based complex rule creation system 300.
  • the computer system 100 when it is confirmed that at least one malicious suspicious activity included in the specific behavior monitoring rule in a specific file of the files stored / held in it (S30), It is determined whether the corresponding specific file is a file not diagnosed as a malicious code file by a malicious code diagnosis (ie, an undiagnosed file) (S40).
  • a malicious code diagnosis ie, an undiagnosed file
  • the computer system 100 displays the behavior report information according to the specific file and behavior. Provided based on the composite rule creation system 300 (S50).
  • the computer system 100 as a result of the above determination, if the specific file that causes at least one malicious suspect action included in the specific behavior monitoring rule, that is, the behavior subject file is a malicious code file, provides the corresponding behavior report information. Instead, it is preferable to block the execution of the specific file (S45).
  • the file and behavior based composite rule creation system 300 collects behavior report information resulting from at least one malicious suspicious activity included in the behavior monitoring rule from a plurality of computer systems 200 (S60).
  • the file and behavior-based composite rule creation system 300 collects behavior report information provided as malicious suspicious behavior according to the behavior monitoring rule occurs in a file not diagnosed as malicious code from each computer system 100. Collecting behavior report information based on a test result of malicious suspicious behavior using behavior monitoring rules for a plurality of files (undiagnosed files and white list files, etc.) held in a plurality of computer systems 200 Same as
  • the file and behavior-based compound rule creation system 300 generates at least one malicious suspicious activity included in a specific behavior monitoring rule based on the behavior report information collected from the plurality of computer systems 200 as described above.
  • the action subject file may be checked (S70), the identified action subject files may be collected as a sample, and a file diagnosis rule (signature) for diagnosing these samples may be prepared (S80).
  • file and behavior-based compound rule creation system 300 may provide / distribute the created file diagnosis rule to each computer system 100 of the plurality of computer systems 200 through the update server 400 (S90). ).
  • the plurality of computer systems 200 may receive the newly created file diagnosis rule from the update server 400 and update / store the newly created file diagnosis rule in the previously stored file diagnosis rule.
  • the plurality of computer systems 200 will also use the newly updated file diagnosis rule when performing the above-mentioned malware diagnosis.
  • the rule writing support method of the computer system according to the present invention stores at least one file (S100).
  • the rule creation support method of the computer system according to the present invention stores a file diagnosis rule used for diagnosing malware (S110).
  • the rule creation support method of the computer system according to the present invention receives and stores an action monitoring rule including at least one malicious suspicious action (S120).
  • the rule creation support method of the computer system by receiving and storing the action monitoring rules provided by the file and action-based compound rule creation system 300 from the update server 400, a plurality of action monitoring rules are stored. I can hold it.
  • the rule creation support method of the computer system according to the present invention determines whether at least one malicious suspicious activity included in a specific behavior monitoring rule occurs among a plurality of behavior monitoring rules in a stored / stored file.
  • the specific file when it is confirmed that at least one malicious suspicious activity included in a specific behavior monitoring rule occurs in a specific file (S130), the specific file is diagnosed as described above. It is determined whether the file is an undiagnosed file not diagnosed as a malicious code file (S140).
  • the rule creation support method of the computer system if the at least one malicious suspicious activity included in a specific behavior monitoring rule occurs in a specific file determined to be an undiagnostic file as a result of the above determination, the action according to this Provide the report information to the file and behavior-based complex rule creation system 300 (S150).
  • the rule creation support method of the computer system according to the present invention the file and action-based complex rule creation system 300 newly received file diagnostic rules and / or newly created behavior monitoring rules from the update server 400 to update / Can be stored (S160).
  • the method for supporting rule creation of a computer system uses a newly updated file diagnosis rule (having the same meaning as a signature for a variant file) when the malicious code is diagnosed, thereby allowing the malware to be newly updated by the file diagnosis rule. Execution can also be blocked for the file being diagnosed.
  • the rule creation support method of the computer system according to the present invention is newly updated by using the newly updated behavior monitoring rules in providing behavior report information when malicious suspicious behavior is generated based on the behavior monitoring rules as described above.
  • the behavior reporting information may be provided as described above.
  • the rule creation support method of the computer system when the above-described determination that the specific file that generates at least one malicious suspicious activity included in the specific behavior monitoring rule, that is, the behavior subject file is a previously diagnosed malicious code file It is preferable to block the execution of the specific file without providing the corresponding activity report information (S170).
  • the method for creating a file and behavior-based composite rule according to the present invention provides an action monitoring rule including at least one malicious suspicious activity to the plurality of computer systems 200 through the update server 400 (S200).
  • the file and behavior based composite rule creation method collects behavior report information resulting from occurrence of at least one malicious suspicious activity included in the behavior monitoring rule provided as described above from a plurality of computer systems 200 ( S210).
  • the file and action-based composite rule creation method may classify and collect collected action report information by corresponding action monitoring rule identification information.
  • the agent may identify an action subject file that generates at least one malicious suspicious activity included in the action monitoring rule provided as described above. Write the file diagnosis rule corresponding to the action subject file.
  • the method for creating a file and an action-based composite rule checks whether the action subject file identified on the basis of the action report information collected in step S210 is a white list file (S230).
  • step S230 when the determination result of step S230 is not a white list file, the method determines whether at least one malicious presumption action is defined in the identified action subject file. (S240).
  • the determined action subject file is determined as a malicious code file as described above.
  • the action report information of the action subject file determined to be a malicious code file may be classified / stored for use in the file diagnosis rule.
  • the file and behavior-based composite rule creation method if the determination result of the step S230 or the at least one malicious estimation action predefined as a result of the determination in step S240, the action subject file It is preferable that the file diagnosis rule corresponding to the acting subject file is not created by determining that the file is normal (S290).
  • the file and behavior-based composite rule preparation method includes the act subject determined as a whitelist file in sorting and arranging the behavior report information collected as described above according to the corresponding behavior monitoring rule identification information.
  • the activity report information of a file can be classified / stored so as not to be used for writing a file diagnosis rule.
  • step S290 the action monitoring rule according to the behavior report information in which the action subject file determined to be a normal file as described above is not diagnosed (or a white list rule). ), At least one malicious suspect act included in the act monitoring rule classified as a white list rule may be registered as a white list act.
  • the file diagnosis rule (signature) created by collecting the action subject files as a sample as described above does not include the file diagnosis rule for the whitelist file.
  • the method for creating a file and behavior-based composite rule according to the present invention includes a file diagnosis rule for diagnosing these samples by using the sample of the subject subject files identified as causing the malicious suspicious behavior by a specific behavior monitoring rule as described above. Signature) can be created (S250).
  • the file and behavior-based composite rule creation method according to the present invention, after verifying the file diagnosis rule (signature) created in step S250, if the verification of the success is successful to the plurality of computer systems 200 through the update server 400 Can be provided (S260).
  • the process of verifying the created file diagnosis rule (signature) corresponds to the verification of the diagnosis rule providing unit 350 described with reference to FIG.
  • file and behavior-based composite rule creation method may create and provide an action monitoring rule in parallel with or separately from the file diagnosis rule creation and provision of S250 and S260.
  • the file and behavior-based composite rule creation method is determined as a malicious code file based on the activity report information classified / stored for use in file diagnosis rule generation as described above through steps S230 and S240.
  • a new behavior monitoring rule including at least one predefined malicious estimation behavior existing in the act subject file is created (S270).
  • the method for creating a file and behavior-based compound rule according to the present invention is based on the behavior report information classified / stored for use in creating a file diagnosis rule, as described above.
  • the act subject files that cause at least one malicious suspect act of a specific act monitoring rule may be identified, and at least one predefined malicious presumption act common to the act subject files may be collected.
  • the file and behavior based composite rule creation method according to the present invention may create a new behavior monitoring rule including at least one malicious estimation behavior based on the collected malicious estimation behavior. At this time, it is preferable that behavior monitoring rule identification information having a unique sequence number be assigned to the created new behavior monitoring rule.
  • the file and behavior-based composite rule creation method according to the present invention may be provided to a plurality of computer systems 200 through the update server 400 if the error verification is successful after verifying the behavior monitoring rule created in step S270. There is (S280). At this time, the process of verifying the created behavior monitoring rule corresponds to the verification of the monitoring rule creating unit 360 described with reference to FIG.
  • an action monitoring rule written based on malicious behavior caused by malicious code is provided to a plurality of computer systems.
  • new response rules that is, behavior monitoring rules and / or file diagnosis rules (signatures) may be created and distributed using the collected behavior report information.
  • the security document execution method and the document management method of the terminal device may be implemented in the form of program instructions that can be executed by various computer means and recorded in a computer readable medium.
  • the computer readable medium may include program instructions, data files, data structures, etc. alone or in combination.
  • Program instructions recorded on the media may be those specially designed and constructed for the purposes of the present invention, or they may be of the kind well-known and available to those having skill in the computer software arts.
  • Examples of computer readable recording media include magnetic media such as hard disks, floppy disks and magnetic tape, optical media such as CD-ROMs, DVDs, and magnetic disks such as floppy disks.
  • Magneto-optical media and hardware devices specifically configured to store and execute program instructions, such as ROM, RAM, flash memory, and the like.
  • program instructions include not only machine code generated by a compiler, but also high-level language code that can be executed by a computer using an interpreter or the like.
  • the hardware device described above may be configured to operate as one or more software modules to perform the operations of the present invention, and vice versa.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Quality & Reliability (AREA)
  • Debugging And Monitoring (AREA)

Abstract

본 발명은, 컴퓨터 시스템, 파일 및 행위 기반 복합룰 작성 시스템과, 컴퓨터 시스템의 룰 작성 지원 방법, 파일 및 행위 기반 복합룰 작성 방법이 개시되어 있다. 본 발명의 실시예들은 악성코드에 의한 행위를 통해 샘플을 수집하고 이를 파일 진단과 연계하여 악성코드 진단에 대한 대응 룰을 작성하기 위한 기술로서, 다수의 실제 사용자 컴퓨터 환경에서 행위감시룰에 의한 악성의심행위가 발생함에 따른 악성의심행위 및 행위주체파일 등의 정보를 샘플로서 수집하고, 수집된 정보들을 이용하여 새로운 대응 룰 즉 행위감시룰 및/또는 파일진단룰(시그니처)을 작성하여 배포함으로써, 악성코드에 의한 행위 및 파일 진단을 연계하여 불특정 다수의 사용자 컴퓨터 환경을 기반으로 하여 다양한 환경에 안정적으로 대응 가능하며 진단의 효과 및 신속성, 오진 가능성 등의 기존 제약을 개선할 수 있는 기술에 대한 것이다.

Description

컴퓨터 시스템과, 파일 및 행위 기반 복합룰 작성 시스템
본 발명은 실시예들은 악성코드에 의한 행위를 통해 샘플을 수집하고 이를 파일 진단과 연계하여 악성코드 진단에 대한 대응 룰을 작성하기 위한 기술로서, 다수의 실제 사용자 컴퓨터 환경에서 행위감시룰에 의한 악성의심행위가 발생함에 따른 악성의심행위 및 행위주체파일 등의 정보를 샘플로서 수집하고, 수집된 정보들을 이용하여 새로운 대응 룰 즉 행위감시룰 및/또는 파일진단룰(시그니처)을 작성하여 배포함으로써, 악성코드에 의한 행위 및 파일 진단을 연계하여 불특정 다수의 사용자 컴퓨터 환경을 기반으로 하여 다양한 환경에 안정적으로 대응 가능하며 진단의 효과 및 신속성, 오진 가능성 등의 기존 제약을 개선할 수 있는 기술들과 관련된다.
악성코드 진단 방법은, 주로 시그니처(진단룰)를 이용하는 진단 방법과 코드를 이용한 진단 방법으로 나누어 진다. 코드를 이용한 진단 방법은 시간이 많이 걸리고 신속성이 떨어지는 반면, 시그니처를 이용한 진단 방법은 빠르게 대응할 수 있다. 이에, 악성 코드 진단의 99% 이상이 시그니처를 이용하여 이루어지고 있다고 해도 과언이 아니다.
한편, 최근에는 악성코드의 동작을 재현시키고 재현된 악성코드의 동작에 대한 행위 분석에 기반하여, 일반적으로 발생하지 않는 특정 행위, 악성코드로부터 추출된 일련의 명확한 악위적 행위 등을 차단하기 위한 행위 룰을 작성하고, 이를 이용하여 진단하는 방법이 연구되고 있다.
이러한 연구의 일환으로, 오래전부터 동적 분석기술을 이용해 신종 악성코드를 행위 관점에서 찾기 위한 노력을 해왔으나 크게 발전하지 못했다. 이는, 기존에는, 샘플 즉 동작을 재현할 악성코드를 수집해 실험실 내에서 실행하거나 동적 분석을 하여 그 행위를 관찰하여 그 행위를 차단하는 형태로 행위 룰을 작성하게 되는 것이 기본이기 때문에, 후 대응 성격이 강하고 샘플 수집 시간이 많이 걸리게 되면서, 행위 룰 작성에 있어서의 어려움이 존재하고 또한 악성코드 변종들이 동작 조건이나 환경에 따라서 다른 순서의 행위를 발생하는 등의 단점으로 인해 행위 룰 기반의 악성코드 진단 방법의 효과가 시그니처 기반 진단을 넘어서긴 어렵다.
더불어, 행위 룰 작성 시 특정한 환경에서의 분석을 통해 이뤄졌기 때문에, 악성코드가 실행할 수 없었던 환경이었다면 행위를 추출할 수 없어 행위 차단 룰을 작성할 수 없게 되며, 실험실내에서 오판 여부를 판단하거나 오판을 검증하기 위해 일정 환경을 갖추고 일정시간 사용해보는 형태로 안정화 과정을 거치고 있기 때문에, 테스트 환경과 다른 환경에서는 안정성을 보장하기 어려우며, 제한된 환경에서 실행함으로써 악성코드의 동작을 보장할 수 없어 대응이 불가능한 사례가 많아 효용성이 떨어진다.
또한, 종래의 행위 룰 기반의 악성코드 진단 방법은, 악성코드 행위 자체는 차단할 수 있으나, 오히려 일반 프로그램의 정상적 행위까지 차단되거나 정상적인 기능까지 제한하게 되는 경우가 발생할 수 있다. 또한 파일진단룰의 경우 파일을 수집하여 분석함으로써 1개의 파일룰로 다수의 샘플을 진단하는 효과는 있으나 샘플 수집의 어려움이 존재하고, 수집된 샘플에 대한 분석 및 악성 행위 존재 여부를 파악하는데 시간이 걸리는 문제가 있다.
이에, 본 발명에서는, 기존의 악성코드에 의한 행위 기반 관찰을 통해 특정 행위를 하는 악성 행위 차단 외에 악성의심행위를 정의하고 이를 통해 행위주체 파일과 그 행위 주체파일을 수집하고, 또한 행위 주체 파일로부터 발생한 일련의 악성의심행위들을 모두 수집하여 악성 행위 여부를 파악하고 또한 수집한 행위주체파일들을 이용하여 파일 진단에 활용함으로써, 샘플 수집력을 높이고 수집된 샘플들로부터 변종진단이 가능한 파일진단룰을 작성함으로써 미발견 샘플까지 대응할 수 있도록 하며, 불특정 다수의 사용자 컴퓨터 환경을 기반으로 하여 다양한 환경에 안정적으로 대응 가능하며 진단의 효과 및 신속성, 오진 가능성 등의 기존 제약을 개선할 수 있는 방안을 제안하고자 한다.
본 발명의 실시예들은 악성코드에 의한 행위를 통해 행위 차단 외에 악성의심행위를 하는 파일 수집 및 이들 파일을 파일 진단에 연계하여 악성코드 진단에 대한 파일 및 행위 대응 룰을 작성하기 위한 기술로서, 다수의 실제 사용자 컴퓨터 환경에서 차단할 행위와 감시할 행위를 포함하는 행위감시룰에 의한 악성의심행위가 발생함에 따른 정보 및 행위주체파일들을 수집하고, 수집된 행위주체파일들을 이용하여 파일진단룰(시그니처)를 작성하고 수집된 정보들을 이용하여 샘플을 추가 수집하거나 행위를 차단하기 위한 새로운 대응 룰 즉 행위감시룰을 작성하여 배포함으로써, 악성코드에 의한 행위를 통해 샘플 수집 및 변종 대응력을 높이고 이들 샘플들을 파일 진단을 통해 처리함으로써, 불특정 다수의 사용자 컴퓨터 환경을 기반으로 하여 다양한 환경에 안정적으로 대응 가능하며 진단의 효과 및 신속성, 오진 가능성 등의 기존 제약을 개선하는 진단 환경을 제안하고자 한다.
상기 목적을 달성하기 위한 본 발명의 제 1 관점에 따른 파일 및 행위 기반 복합룰 작성 시스템은, 적어도 하나의 악성의심행위를 포함하는 행위감시룰을 다수의 컴퓨터 시스템으로 제공하는 감시룰제공부; 상기 다수의 컴퓨터 시스템으로부터 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위가 발생함에 따라 행위주체파일 정보와 해당 파일의 관련된 스레드에 의해 발생한 모니터링 대상인 모든 행위들을 포함하는 행위보고정보를 수집하는 정보수집부; 및 상기 수집한 행위보고정보를 기초로 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위를 발생시키는 행위주체파일을 확인하고, 다수의 컴퓨터 시스템으로부터 수집한 상기 행위주체파일들에 대응되는 파일진단룰을 작성하는 진단룰작성부를 포함한다.
상기 목적을 달성하기 위한 본 발명의 제 2 관점에 따른 컴퓨터 시스템은, 적어도 하나의 파일을 저장하는 파일저장부; 악성코드 진단에 이용하는 파일진단룰을 저장하는 파일진단룰저장부; 적어도 하나의 악성의심행위를 포함하는 행위감시룰을 수신하여 저장하는 행위감시룰저장부; 및 상기 적어도 하나의 파일 중 상기 파일진단룰에 의해 악성파일로 진단되지 않는 파일에서 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위가 발생하는 경우 이에 따른 행위보고정보를 특정 파일 및 행위 기반 복합룰 작성 시스템으로 제공하여, 상기 행위보고정보에 포함된 일련의 행위와 전송된 파일 정보를 기초로 파일진단룰을 작성하도록 하는 행위보고정보제공부를 포함한다.
상기 목적을 달성하기 위한 본 발명의 제 3 관점에 따른 파일 및 행위 기반 복합룰 작성 방법은, 적어도 하나의 악성의심행위를 포함하는 행위감시룰을 다수의 컴퓨터 시스템으로 제공하는 감시룰 제공단계; 상기 다수의 컴퓨터 시스템으로부터 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위가 발생함에 따른 행위보고정보를 수집하는 정보 수집단계; 상기 수집한 행위보고정보를 기초로 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위를 발생시키는 행위주체파일을 확인하고, 상기 행위주체파일들에 대응되는 파일진단룰을 작성하는 진단룰 작성단계를 포함한다.
상기 목적을 달성하기 위한 본 발명의 제 4 관점에 따른 컴퓨터 시스템의 룰 작성 지원 방법은, 적어도 하나의 파일을 저장하는 파일 저장단계; 악성코드 진단에 이용하는 파일진단룰을 저장하는 파일진단룰 저장단계; 적어도 하나의 악성의심행위를 포함하는 행위감시룰을 수신하여 저장하는 행위감시룰 저장단계; 및 상기 적어도 하나의 파일 중 상기 파일진단룰에 의해 진단되지 않는 미악성코드 파일에서 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위가 발생하는 경우 이에 따른 행위보고정보를 특정 파일 및 행위 기반 복합룰 작성 시스템으로 제공하여, 상기 행위보고정보를 기초로 파일진단룰을 작성하도록 하는 행위보고정보 제공단계를 포함한다.
본 발명의 실시예들은 다수의 실제 사용자 컴퓨터 환경에서 행위감시룰에 정의된 특정 행위(예 : 악성의심행위)가 발생함에 따라 해당 스레드에 의해 발생되는 모든 행위보고정보들을 수집하고, 수집된 행위보고정보들을 이용하여 새로운 감시룰 즉 행위감시룰 및/또는 파일진단룰(시그니처)를 작성하여 배포함으로써, 악성코드에 의한 행위 및 파일 진단을 연계하여 불특정 다수의 사용자 컴퓨터 환경을 기반으로 하여 다양한 환경에 안정적으로 의심 샘플을 수집하여 대응 가능하며 진단의 효과 및 신속성, 오진 가능성 등의 기존 제약을 개선/극복한 진단 환경을 제공할 수 있다.
도 1은 본 발명의 바람직한 실시예에 따른 컴퓨터 시스템 및 시 파일 및 행위 기반 복합룰 작성 시스템을 포함하는 전체 시스템을 나타내는 구성도이다.
도 2는 본 발명의 바람직한 실시예에 따른 컴퓨터 시스템의 구성을 나타내는 블록도이다.
도 3은 본 발명의 바람직한 실시예에 따른 파일 및 행위 기반 복합룰 작성 시스템의 구성을 나타내는 블록도이다.
도 4는 본 발명의 바람직한 실시예에 따른 전체 시스템의 제어 흐름을 나타내는 흐름도이다.
도 5는 본 발명의 바람직한 실시예에 따른 컴퓨터 시스템의 룰 작성 지원 방법의 동작 흐름을 나타내는 흐름도이다.
도 6은 본 발명의 바람직한 실시예에 따른 파일 및 행위 기반 복합룰 작성 방법의 동작 흐름을 나타내는 흐름도이다.
본 발명은 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시예들을 도면에 예시하고 상세한 설명에 상세하게 설명하고자 한다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다. 각 도면을 설명하면서 유사한 참조부호를 유사한 구성요소에 대해 사용하였다.
어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다.
본 출원에서 사용한 용어는 단지 특정한 실시예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 출원에서, "포함하다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가지고 있다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥 상 가지는 의미와 일치하는 의미를 가지는 것으로 해석되어야 하며, 본 출원에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.
이하, 첨부된 도면을 참조하여 본 발명의 바람직한 실시예에 대하여 설명한다.
도 1은 본 발명의 바람직한 실시예에 따른 컴퓨터 시스템 및 파일 및 행위 기반 복합룰 작성 시스템이 포함된 전체 시스템을 도시한 도면이다.
도 1에 도시된 바와 같이, 본 발명에 따른 전체 시스템은, 다수의 컴퓨터 시스템(200), 파일 및 행위 기반 복합룰 작성 시스템(300)과, 업데이트서버(400) 등을 포함할 수 있다.
다수의 컴퓨터 시스템(200)에 포함되는 각 컴퓨터 시스템(100)은, 일반 가정 또는 기업 또는 학교 또는 학원 등의 다양한 사용자소속에서 이용되는 사용자 컴퓨터로서, 개개인의 사용자 목적 및 관심분야 및 직업 등에 따라 불특정의 다양한 다수 파일을 저장/보유한다.
파일 및 행위 기반 복합룰 작성 시스템(300)는, 적어도 하나의 악성의심행위를 포함하는 행위감시룰을 다수의 컴퓨터 시스템(200)으로 제공한다.
즉, 파일 및 행위 기반 복합룰 작성 시스템(300)는, 악성코드로 의심되는 파일에 의해 발생되는 행위들을 수집하고, 수집된 행위들을 기반으로 적어도 하나의 악성의심행위를 포함하는 행위감시룰을 작성할 수 있다. 이때, 작성된 각 행위감시룰 각각에는, 고유의 순차번호를 가지는 행위감시룰식별정보가 할당되는 것이 바람직하다.
이에, 파일 및 행위 기반 복합룰 작성 시스템(300)는, 작성한 행위감시룰을 업데이트서버(400)에 제공하고, 업데이트서버(400)는 행위감시룰을 배포 대상이 되는 다수의 컴퓨터 시스템(200)의 각 컴퓨터 시스템(100)으로 제공/배포하여, 컴퓨터 시스템(100)에 행위감시룰이 업데이트/저장되도록 한다.
이에, 각 컴퓨터 시스템(100)은, 행위감시룰을 업데이트서버(400)로부터 수신하여 저장함으로써, 다수의 행위감시룰을 보유할 수 있다.
더불어, 각 컴퓨터 시스템(100)은, 악성코드 진단에 이용하는 파일진단룰을 저장한다. 즉, 각 컴퓨터 시스템(100)은, 악성코드 진단 이벤트가 발생하면 파일진단룰을 이용하여 자신에 저장/보유된 파일에 대한 악성코드 진단을 수행한다. 예를 들면, 각 컴퓨터 시스템(100)은, 저장된 파일진단룰을 이용하여 컴퓨터 시스템(100)에 저장/보유된 파일에 대한 악성코드 진단을 수행하는 클라이언트백신을 탑재하고 있는 것이 바람직하다.
그리고, 컴퓨터 시스템(100)은, 적어도 하나의 파일 중 파일진단룰에 의해 악성코드파일로 진단되지 않는 파일에서, 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위가 발생하는 경우 이에 따른 행위보고정보를 특정 파일 및 행위 기반 복합룰 작성 시스템(300)으로 제공한다.
즉, 컴퓨터 시스템(100)은, 파일진단룰에 의해 악성코드파일로 진단되는 파일에 대해서는 파일 실행을 차단하고, 파일진단룰에 의해 악성코드파일로 진단되지 않는 파일 다시 말해 미진단 파일에 대해서는 특정 행위감시룰에 포함된 적어도 하나의 악성의심행위가 발생하는지 여부를 감시한다.
이에, 컴퓨터 시스템(100)은, 전술의 감시 및 판단 결과, 미진단 파일에서 특정 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위가 발생하는 경우, 이에 따른 행위보고정보를 특정 파일 및 행위 기반 복합룰 작성 시스템(300)으로 제공한다.
여기서, 제공하는 행위보고정보는, 전술의 특정 행위감시룰의 행위감시룰식별정보, 특정 행위감시룰의 적어도 하나의 악성의심행위를 발생시키는 미진단 파일로 판단된 전술의 파일에 대응되는 행위주체파일정보, 전술의 파일(이하에서는, 행위주체파일과 혼용하도록 함)이 컴퓨터 시스템(100) 내에서 위치하는 파일위치정보, 발생시간정보, 발생횟수정보, 행위감시룰에 정의되지 않은 행위가 포함된 경우 기록된 전체 행위정보 중 적어도 어느 하나를 포함할 수 있다.
이때, 컴퓨터 시스템(100)은, 전술의 행위보고정보를 파일 및 행위 기반 복합룰 작성 시스템(300)으로 제공함에 있어서, 행위보고정보가 기 정의된 즉시보고대상인 경우 파일 및 행위 기반 복합룰 작성 시스템(300)로 즉시 제공할 수 있고, 행위보고정보가 즉시보고대상이 아닌 경우 내부저장부(미도시)에 저장하여 관리하고 파일 및 행위 기반 복합룰 작성 시스템(300)로부터 요청되거나 또는 제공주기 도달 시 관리/저장된 행위보고정보들을 파일 및 행위 기반 복합룰 작성 시스템(300)로 제공할 수 있다.
한편, 컴퓨터 시스템(100)은, 전술의 판단 결과 특정 행위감시룰에 포함된 적어도 하나의 악성의심행위를 발생시키는 특정 파일 즉 행위주체파일이 악성코드파일인 경우, 이에 대응하는 행위보고정보를 제공하지 않고, 해당 특정 파일의 실행을 차단하는 것이 바람직하다.
이에, 파일 및 행위 기반 복합룰 작성 시스템(300)는, 다수의 컴퓨터 시스템(200)으로부터 행위감시룰에 포함된 적어도 하나의 악성의심행위가 발생함에 따른 행위보고정보를 수집한다.
즉, 파일 및 행위 기반 복합룰 작성 시스템(300)는, 각 컴퓨터 시스템(100)으로부터 악성코드로 진단되지 않은 파일에서 행위감시룰에 따른 악성의심행위가 발생함에 따라 제공되는 행위보고정보를 수집함으로써, 다수의 컴퓨터 시스템(200)에 보유된 다수의 파일(미진단 파일 및 화이트리스트파일 등)을 대상으로 행위감시룰을 이용한 악성의심행위 발생 여부를 테스트한 결과에 따른 행위보고정보를 수집하게 되는 것과 같다.
이는, 다수의 컴퓨터 시스템(200)에 보유/저장된 파일은 그 종류 및 개수가 무한정으로 다양하고 많을 것이며, 각 컴퓨터 시스템(100)의 동작 환경은 각기 상호 동일하지 않고 매우 다양할 것임을 감안한다면, 다수의 컴퓨터 시스템(200)로부터 수집되는 행위보고정보는 불특정 다수의 사용자 컴퓨터 환경을 기반으로 하여 다양한 환경에서 수집되는 행위감시룰을 이용한 악성행위 발생 여부를 테스트한 결과임을 의미할 것이다.
그리고 파일 및 행위 기반 복합룰 작성 시스템(300)는, 전술과 같이 다수의 컴퓨터 시스템(200)으로부터 수집한 행위보고정보를 기초로, 특정 행위감시룰에 포함된 적어도 하나의 악성의심행위를 발생시키는 행위주체파일을 확인하고, 확인된 행위주체파일에 대응되는 파일진단룰(시그니처)을 작성한다.
예를 들면, 파일 및 행위 기반 복합룰 작성 시스템(300)는, 직접 혹은 파일진단룰(시그니처) 작성을 위한 작성시스템(미도시)과의 연동을 통해, 전술과 같이 특정 행위감시룰에 의한 악성의심행위를 발생시킨다고 확인된 행위주체파일들을 샘플로 모아, 이러한 샘플들을 진단하기 위한 파일진단룰(시그니처)을 작성할 수 있다.
여기서, 파일진단룰(시그니처)를 작성 방법은, 샘플들 간의 공통점이 되는 헤더 정보 및 코드 일부 정보들을 찾아서 파일진단룰(시그니처)을 작성하는 등 기존의 샘플을 이용한 파일진단룰(시그니처) 작성 방식 중 어느 하나를 채택할 수 있으므로 구체적인 설명은 생략하도록 한다.
이에, 파일 및 행위 기반 복합룰 작성 시스템(300)는, 작성한 파일진단룰을 업데이트서버(400)에 제공하고, 업데이트서버(400)는 파일진단룰을 배포 대상이 되는 다수의 컴퓨터 시스템(200)의 각 컴퓨터 시스템(100)으로 제공/배포하여, 컴퓨터 시스템(100)에 새롭게 작성된 파일진단룰이 업데이트/저장되도록 한다.
이후, 다수의 컴퓨터 시스템(200)은, 새롭게 작성된 파일진단룰을 업데이트서버(400)로부터 수신하여, 기 저장하고 있던 파일진단룰에 새롭게 작성된 파일진단룰을 업데이트/저장할 수 있다.
이에, 다수의 컴퓨터 시스템(200)은, 전술의 악성코드 진단 수행 시 새롭게 업데이트된 파일진단룰 역시 이용할 것이다.
이하에서는, 도 2를 참조하여 본 발명에 따른 컴퓨터 시스템의 구성을 보다 구체적으로 설명하도록 한다.
본 발명에 따른 컴퓨터 시스템(100)은, 적어도 하나의 파일을 저장하는 파일저장부(110)와, 악성코드 진단에 이용하는 파일진단룰을 저장하는 파일진단룰저장부(120)와, 적어도 하나의 악성의심행위를 포함하는 행위감시룰을 수신하여 저장하는 행위감시룰저장부(130)와, 상기 적어도 하나의 파일 중 상기 파일진단룰에 의해 악성코드파일로 진단되지 않는 파일에서 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위가 발생하는 경우 이에 따른 행위보고정보를 특정 파일 및 행위 기반 복합룰 작성 시스템(300)으로 제공하여, 상기 행위보고정보를 기초로 파일진단룰을 작성하도록 하는 행위보고정보제공부(140)를 포함한다.
파일저장부(110)는, 다양한 종류의 파일들을 저장한다.
파일진단룰저장부(120)는, 악성코드 진단에 이용하는 파일진단룰을 저장한다.
이러한 파일진단룰저장부(120)는, 악성코드 진단 이벤트가 발생하면 파일진단룰을 이용하여 파일저장부(110)에 저장/보유된 파일에 대한 악성코드 진단을 수행하는 클라이언트백신과 연동되거나, 또는 클라이언트백신에 포함되는 구성일 수 있다.
행위감시룰저장부(130)는, 적어도 하나의 악성의심행위를 포함하는 행위감시룰을 수신하여 저장한다.
즉, 행위감시룰저장부(130)는, 파일 및 행위 기반 복합룰 작성 시스템(300)에서 제공되는 행위감시룰을 업데이트서버(400)로부터 수신하여 저장함으로써, 다수의 행위감시룰을 보유할 수 있다.
행위보고정보제공부(140)는, 파일저장부(110)에 저장된 적어도 하나의 파일 중 상기 파일진단룰에 의해 악성코드파일로 진단되지 않는 파일 즉 미진단 파일에서 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위가 발생하는 경우 이에 따른 행위보고정보를 특정 파일 및 행위 기반 복합룰 작성 시스템(300)으로 제공하여, 상기 행위보고정보를 기초로 파일진단룰을 작성하도록 한다.
보다 구체적으로 설명하면, 행위보고정보제공부(140)는, 파일저장부(110)에 저장/보유된 파일 중 다수의 행위감시룰 중 특정 행위감시룰에 포함된 적어도 하나의 악성의심행위가 발생하는지 여부를 판단한다.
이에, 행위보고정보제공부(140)는, 특정 행위감시룰에 포함된 적어도 하나의 악성의심행위가 발생하는 것이 확인되면, 해당되는 특정 파일이 전술의 악성코드 진단에 의해 악성코드파일로 진단되지 않은 미진단 파일인지 여부를 판단한다.
이에, 행위보고정보제공부(140)는, 전술의 판단 결과 미진단 파일로 판단되는 특정 파일에서 특정 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위가 발생하는 경우, 이에 따른 행위보고정보를 파일 및 행위 기반 복합룰 작성 시스템(300)으로 제공한다.
여기서, 제공하는 행위보고정보의 구체적인 내용은, 전술에서 설명하였으므로 생략하도록 한다.
이때, 행위보고정보제공부(140)는, 전술의 행위보고정보를 파일 및 행위 기반 복합룰 작성 시스템(300)로 제공함에 있어서, 행위보고정보가 기 정의된 즉시보고대상인 경우 파일 및 행위 기반 복합룰 작성 시스템(300)로 즉시 제공할 수 있고, 행위보고정보가 즉시보고대상이 아닌 경우 내부저장부(미도시)에 저장하여 관리하고 파일 및 행위 기반 복합룰 작성 시스템(300)로부터 요청되거나 또는 제공주기 도달 시 관리/저장된 행위보고정보들을 파일 및 행위 기반 복합룰 작성 시스템(300)로 제공할 수 있다.
이에, 파일 및 행위 기반 복합룰 작성 시스템(300)는, 다수의 컴퓨터 시스템(200)으로부터 행위감시룰에 포함된 적어도 하나의 악성의심행위가 발생함에 따른 행위보고정보를 수집할 수 있다.
한편, 행위보고정보제공부(140)는, 전술의 판단 결과 특정 행위감시룰에 포함된 적어도 하나의 악성의심행위를 발생시키는 특정 파일 즉 행위주체파일이 기 진단된 악성코드파일인 경우, 이에 대응하는 행위보고정보를 제공하지 않고, 해당 특정 파일의 실행을 차단하는 것이 바람직하다.
더 나아가, 전술의 파일진단룰저장부(120)는, 도 1을 참조하여 설명한 바와 같이 파일 및 행위 기반 복합룰 작성 시스템(300)에서 새롭게 작성된 파일진단룰을 업데이트서버(400)로부터 수신하여 기 저장하고 있던 파일진단룰에 새롭게 작성된 파일진단룰을 업데이트/저장할 수 있다.
이에, 컴퓨터 시스템(100)(특히 클라이언트백신)은, 악성코드 진단 시 새롭게 업데이트된 파일진단룰(변종 파일에 대한 시그니처와 같은 의미를 가짐) 역시 이용함으로써 새롭게 업데이트된 파일진단룰에 의해 악성코드 진단되는 파일에 대하여서도 실행을 차단할 수 있다.
그리고, 행위감시룰저장부(130)는, 파일 및 행위 기반 복합룰 작성 시스템(300)에서 새롭게 작성된 행위감시룰을 업데이트서버(400)로부터 수신하여 기 저장하고 있던 행위감시룰에 새롭게 작성된 행위감시룰을 업데이트/저장할 수 있다.
이에, 컴퓨터 시스템(100)(특히 행위보고정보제공부(140))은, 전술과 같이 행위감시룰을 기반으로 하는 악성의심행위 발생 시 행위보고정보를 제공함에 있어서 새롭게 업데이트된 행위감시룰 역시 이용함으로써, 새롭게 업데이트된 행위감시룰에 의한 악성의심행위 발생에 대하여서도 전술과 같이 행위보고정보를 제공할 수 있다.
이하에서는, 도 3을 참조하여 본 발명에 따른 파일 및 행위 기반 복합룰 작성 시스템을 보다 구체적으로 설명하도록 한다.
본 발명에 따른 파일 및 행위 기반 복합룰 작성 시스템(300)은, 적어도 하나의 악성의심행위를 포함하는 행위감시룰을 다수의 컴퓨터 시스템(200)으로 제공하는 감시룰제공부(370)와, 다수의 컴퓨터 시스템(200)으로부터 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위가 발생함에 따른 행위보고정보를 수집하는 정보수집부(310)와, 상기 수집한 행위보고정보를 기초로 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위를 발생시키는 행위주체파일을 확인하고, 상기 행위주체파일에 대응되는 파일진단룰을 작성하는 진단룰작성부(340)를 포함한다.
그리고 본 발명에 따른 파일 및 행위 기반 복합룰 작성 시스템(300)은, 보고정보검증부(320)와, 화이트리스트부(330)와, 진단룰작성부(360)와, 진단룰제공부(350)를 더 포함할 수 있다.
감시룰제공부(370)는, 행위감시룰을 다수의 컴퓨터 시스템(200)으로 제공한다. 이때, 행위감시룰에 의해 차단할 행위주체파일이 기존에 판단 잘못으로 화이트리스트로 되어 있는 경우 행위감시룰을 운영할 컴퓨터 시스템(100)에도 화이트리스트로 되어 있을 수 있음으로, 강제로 화이트리스트에서 제외하는 플래그를 포함시키는 것이 바람직하다.
즉, 감시룰제공부(370)는, 작성된 행위감시룰을 업데이트서버(400)에 제공하고, 업데이트서버(400)는 행위감시룰을 배포 대상이 되는 다수의 컴퓨터 시스템(200)의 각 컴퓨터 시스템(100)으로 제공/배포하여, 컴퓨터 시스템(100)에 행위감시룰이 업데이트/저장되도록 한다.
정보수집부(310)는, 다수의 컴퓨터 시스템(200)으로부터 전술과 같이 제공한 행위감시룰에 포함된 적어도 하나의 악성의심행위가 발생함에 따른 행위보고정보를 수집한다. 이 경우 다수의 컴퓨터 시스템(200)은, 해당되는 컴퓨터 시스템내에서 화이트리스트로 분류한 파일이 행위감시룰에 의해 진단되는 경우 행위감시룰에 화이트리스트 갱신 플래그가 포함된 경우 해당 파일에 대한 진단정보와 화이트리스트 관련 정보를 행위보고정보에 포함시켜 정보수집부(310)로 전송할 수 있다.
즉, 정보수집부(310)는, 다수의 컴퓨터 시스템(200)으로부터 즉시 제공되는 행위보고정보를 수집할 수 있고, 요청에 의해 또는 주기적으로 다수의 컴퓨터 시스템(200)으로부터 제공되는 행위보고정보를 수집할 수 있다.
보다 바람직하게는, 정보수집부(310)는, 수집한 행위보고정보들을, 대응되는 행위감시룰식별정보 별로 분류하여 정리할 수 있다.
진단룰작성부(340)는 정보수집부(310)를 통해 수집한 행위보고정보를 기초로 전술과 같이 제공한 행위감시룰에 포함된 적어도 하나의 악성의심행위를 발생시키는 행위주체파일을 확인하고, 상기 행위주체파일에 대응되는 파일진단룰을 작성한다.
즉, 진단룰작성부(340)는 정보수집부(310)를 통해 수집한 행위보고정보들에서, 다수(예 : 특정 보고횟수 이상) 보고된 동일한 특정 행위감시룰의 적어도 하나의 악성의심행위를 발생시키는 행위주체파일들을 확인할 수 있다.
이에, 진단룰작성부(340)는 전술과 같이 특정 행위감시룰에 의한 악성의심행위를 발생시킨다고 확인되는 행위주체파일들을 샘플로 하여 이러한 샘플들을 진단하기 위한 파일진단룰(시그니처)을 작성할 수 있다.
한편, 진단룰작성부(340)에서 전술과 같이 파일진단룰을 작성하기 앞서, 보고정보검증부(320)는, 정보수집부(310)를 통해 수집한 행위보고정보를 기초로 확인되는 행위주체파일이 화이트리스트파일인지 여부를 확인하여 화이트리스트파일이 아닌 경우, 행위주체파일을 악성코드파일로 판단하고 상기 행위주체파일에 대응되는 파일진단룰을 작성하도록 진단룰작성부(340)에 요청할 수 있다. 또한, 경우에 따라서는, 판단 잘못으로 인해 기 등록된 화이트리스트 파일이 악성코드파일인 경우에 분석가의 판단에 의해 악성코드파일로 변경할 수 있다.
즉, 보고정보검증부(320)는, 정보수집부(310)를 통해 수집한 행위보고정보들에 대하여 대응되는 행위감시룰의 적어도 하나의 악성의심행위를 발생시키는 행위주체파일을 확인할 수 있다.
보고정보검증부(320)는, 전술과 같이 확인되는 행위주체파일이 화이트리스트부(330)에 보유된 화이트리스트파일인지 여부를 확인하고, 화이트리스트파일이 아니거나 판단 잘못에 의해 잘못 등록된 화이트리스트를 취소한 경우, 행위주체파일을 비로소 악성코드파일로 판단할 수 있다.
더 구체적으로는, 보고정보검증부(320)는, 정보수집부(310)를 통해 수집한 행위보고정보를 기초로 확인되는 행위주체파일이 화이트리스트파일인지 여부를 확인하여 화이트리스트파일이 아닌 경우, 행위주체파일에 기 정의된 적어도 하나의 악성추정행위가 존재하는지 여부를 확인하여 기 정의된 적어도 하나의 악성추정행위가 존재하면 행위주체파일을 악성코드파일로 판단할 수 있다.
즉, 보고정보검증부(320)는, 전술과 같이 확인되는 행위주체파일이 화이트리스트부(330)에 보유된 화이트리스트파일인지 여부를 확인하고, 화이트리스트파일이 아닌 경우 행위주체파일에 기 정의된 적어도 하나의 악성추정행위가 존재하는지 여부를 확인한다.
이에, 보고정보검증부(320)는, 화이트리스트파일이 아니고 기 정의된 적어도 하나의 악성추정행위가 존재한다고 판단되는 행위주체파일을 비로소 악성코드파일로 판단할 수 있다.
이에, 보고정보검증부(320)는, 악성코드파일로 판단된 행위주체파일들에 대응되는 파일진단룰을 작성하도록 진단룰작성부(340)에 요청할 수 있다.
보다 구체적인 예를 들면, 보고정보검증부(320)는, 정보수집부(310)에서 전술과 같이 수집한 행위보고정보들을 행위감시룰식별정보 별로 분류하여 정리함에 있어서, 악성코드파일로 판단된 행위주체파일의 행위보고정보를 파일진단룰 작성에 이용하도록 분류/저장되게 할 수 있다.
이때, 보고정보검증부(320)는, 필요 시(예 : 운영자의 수동 요청, 또는 특정 주기시간 경과 등), 악성코드파일로 판단된 행위주체파일의 행위보고정보를 파일진단룰 작성에 이용하도록 분류/저장된 정보들을 지정된 특정 분석시스템 또는 분석가에게 제공하여, 추후 개별적인 별도 모니터링이 가능하도록 할 수도 있다.
이에, 진단룰작성부(340)는, 전술과 같이 파일진단룰 작성에 이용하도록 분류/저장된 행위보고정보들 중 다수(예 : 특정 보고횟수 이상) 보고된 동일한 특정 행위감시룰의 적어도 하나의 악성의심행위를 발생시키는 행위주체파일들을 확인하고, 행위주체파일들을 샘플로 하여 이러한 샘플들을 진단하기 위한 파일진단룰(시그니처)을 작성할 수 있다.
이처럼, 작성된 파일진단룰은, 악성코드파일로 확인된 파일 또는 적어도 정상적인 화이트리스트파일이 아니라고 확인된 파일 즉 변종 파일에 대하여 악성코드 진단을 위해 작성된 시그니처의 의미를 갖는다.
또한, 진단룰작성부(340)는, 동일 행위감시룰이 아닌 룰에 의해 수집된 행위주체파일과 시스템(300) 내에 기 수집한 파일들이 존재할 경우, 이를 포함해 파일진단룰을 작성할 수도 있다.
한편, 보고정보검증부(320)는, 수집한 행위보고정보를 기초로 확인되는 행위주체파일이 화이트리스트파일인지 여부를 확인하여 상기 화이트리스트파일인 경우, 행위주체파일을 정상파일로 판단하여 행위주체파일에 대응되는 파일진단룰을 작성하지 않도록 진단룰작성부(340)에 요청할 수 있다.
즉, 보고정보검증부(320)는, 전술과 같이 특정 행위감시룰에 의한 악성의심행위를 발생시킨다고 확인되는 행위주체파일들을 화이트리스트부(330)에 보유된 화이트리스트파일인지 여부를 확인한 결과, 화이트리스트파일이라고 판단되면 이 행위주체파일을 정상파일로 판단하여 이에 대응되는 파일진단룰을 작성하지 않도록 진단룰작성부(340)에 요청할 수 있다.
보다 구체적인 예를 들면, 보고정보검증부(320)는, 정보수집부(310)에서 전술과 같이 수집한 행위보고정보들을 대응되는 행위감시룰식별정보 별로 분류하여 정리함에 있어서, 화이트리스트파일로 판단된 행위주체파일의 행위보고정보를 파일진단룰 작성에 이용하지 않도록 분류/저장되게 할 수 있다.
이에, 진단룰작성부(340)에서 전술과 같이 행위주체파일들을 샘플로 하여 작성되는 파일진단룰(시그니처)에는, 화이트리스트파일을 대상으로 하는 파일진단룰이 포함되지 않을 것이다.
결과적으로, 전술의 작성된 파일진단룰(시그니처)에 의해서 비악성코드 즉 일반 프로그램의 정상적 행위까지 차단하거나 정상적인 기능까지 제한하게 되는 충돌 및 오진 가능성이 현저히 낮아지는 효과와 더불어, 행위를 구성하는 동작정보가 일부 변경되는 변종인 경우에도 코드나 파일의 특성을 이용하는 파일 진단룰을 이용할 경우 시그니처의 품질과 효율을 높일 수 있다.
그리고, 더 나아가 보고정보검증부(320)는, 전술과 같이 화이트리스트파일로 판단된 행위주체파일이 확인된 행위보고정보에 따른 행위감시룰을 미진단룰(또는 화이트리스트룰)로 분류하여, 화이트리스트부(330)에 등록하며, 화이트리스트룰로 분류된 행위감시룰에 포함된 적어도 하나의 악성의심행위가 발생할 경우 오진으로 판단할 수 있다. 즉 화이트리스트룰로서 분류된 해당 행위감시룰은 잘못 만들어진 룰로 판단하게 된다.
그리고, 진단룰제공부(350)는, 진단룰작성부(340)에서 작성된 파일진단룰을 다수의 컴퓨터 시스템(200)으로 제공할 수 있다.
보다 구체적으로, 진단룰제공부(350)는, 진단룰작성부(340)에서 작성된 파일진단룰 및 대응되는 화이트리스트파일 간의 매칭률을 판단하여 특정 제1오진매칭률 이하인 제1조건, 파일진단룰의 작성에 이용된 행위주체파일이 수집된 컴퓨터 시스템(100) 내 파일위치 및 파일 관련 정보가 특정 오진안전위치에 속하는 제2조건 중 적어도 어느 하나의 조건을 만족하는 경우, 작성된 파일진단룰에 대한 오진 검증이 성공한 것으로 판단하여 파일진단룰을 다수의 컴퓨터 시스템(200)으로 제공할 수 있다.
즉, 진단룰제공부(350)는, 작성된 파일진단룰 및 대응되는 화이트리스트파일 간의 매칭률 제1오진매칭률 이하로 충분히 상이하다고 판단되는 제1조건과, 파일진단룰의 작성에 이용된 행위주체파일이 수집될 당시 수집된 컴퓨터 시스템(100) 내 파일위치가 안전한 특정 오진안전위치에 속하는 제2조건을 만족하면, 작성된 파일진단룰에 대한 오진 검증이 성공한 것으로 판단할 수 있다.
이에, 진단룰제공부(350)는, 작성된 파일진단룰에 대한 오진 검증이 성공한 것으로 판단되면, 작성된 파일진단룰을 업데이트서버(400)에 제공하고, 업데이트서버(400)는 파일진단룰을 배포 대상이 되는 다수의 컴퓨터 시스템(200)의 각 컴퓨터 시스템(100)으로 제공/배포하여, 컴퓨터 시스템(100)에 파일진단룰이 업데이트/저장되도록 한다.
그리고, 감시룰작성부(360)는, 보고정보검증부(320)에 의해 악성코드파일로 판단된 행위주체파일에 존재하는 기 정의된 적어도 하나의 악성추정행위를 포함하는 신규의 행위감시룰을 작성하여, 다수의 컴퓨터 시스템(200)으로 제공하도록 감시룰제공부(370)에 요청할 수 있다.
예를 들면, 감시룰작성부(360)는, 보고정보검증부(320)에 의해 악성코드파일로 판단되어 전술과 같이 파일진단룰 작성에 이용하도록 분류/저장된 행위보고정보들을 기반으로, 다수(예 : 특정 보고횟수 이상) 보고된 동일한 특정 행위감시룰의 적어도 하나의 악성의심행위를 발생시키는 행위주체파일들을 확인하고, 행위주체파일들에 공통으로 존재하는 기 정의된 적어도 하나의 악성추정행위를 수집할 수 있다. 그리고, 감시룰작성부(360)는, 수집된 악성추정행위를 기반으로 적어도 하나의 악성추정행위를 포함하는 신규의 행위감시룰을 작성할 수 있다. 이때, 작성된 신규의 행위감시룰에는, 고유의 순차번호를 가지는 행위감시룰식별정보가 할당되는 것이 바람직하다.
그리고, 감시룰작성부(360)는, 작성한 신규의 행위감시룰 및 기 보유한 화이트리스트행위 간의 매칭률을 판단하여 특정 제2오진매칭률 이하인 경우, 작성한 신규의 행위감시룰을 감시룰제공부(370)에 제공할 수 있다.
즉, 감시룰작성부(360)는, 작성한 신규의 행위감시룰을 화이트리스트부(330)에 저장된 화이트리스트행위와 비교하여 특정 제2오진매칭률 이하로 충분히 상이하면, 작성된 신규의 행위감시룰에 대한 오진 검증이 성공한 것으로 판단할 수 있고, 작성한 신규의 행위감시룰을 감시룰제공부(370)에 제공할 수 있다.
이에, 감시룰제공부(370)는, 신규의 행위감시룰 역시 전술과 같이 업데이트서버(400)를 통해 다수의 컴퓨터 시스템(200)으로 제공할 수 있다.
이상에서 설명한 바와 같이, 본 발명에 따른 컴퓨터 시스템과, 파일 및 행위 기반 복합룰 작성 시스템에 따르면, 악성코드에 의해 발생되는 악성행위를 기반으로 작성된 행위감시룰을 다수의 컴퓨터 시스템으로 제공하여 다수의 컴퓨터 시스템 기반 불특정된 다양한 동작 환경에서 종류 및 개수가 무한정에 가까운 파일을 대상으로 행위감시룰에 의한 악성행위 발생 여부를 테스트하도록 하여 다수의 컴퓨터 시스템으로부터 테스트된 결과 즉 행위보고정보를 수집하고, 수집된 행위보고정보들을 이용하여 신규 대응 룰 즉 행위감시룰 및/또는 파일진단룰(시그니처)을 작성하여 배포할 수 있다.
그리고, 본 발명에 따른 컴퓨터 시스템과, 파일 및 행위 기반 복합룰 작성 시스템에 따르면, 다수의 컴퓨터 시스템으로부터 행위감시룰들에 의해 진단되는 다양한 악성 의심 파일들을 수집함으로써 이들 파일들을 이용하여 파일진단룰을 작성함으로써, 진단율 및 행위가 서로 다른 변종 혹은 동작 조건 및 환경에 의해 행위가 달라진 변종들을 모두 진단할 수 있게 되며, 파일진단룰의 작성을 통해 행위를 파악하지 못한 변종 샘플들도 모두 진단할 수 있게 된다.
이처럼 본 발명에 따르면, 실제 사용자에 의해 사용되는 다수의 컴퓨터 시스템을 기반으로 악성코드에 의한 행위 및 파일 진단을 연계하여 샘플을 수집함으로써 악성코드 진단 및/또는 악성행위 차단에 대한 적극적이고 최적의 신규 대응 룰을 작성함으로써, 불특정 다수의 사용자 컴퓨터 환경을 기반으로 하여 다양한 환경에 안정적으로 대응 가능하며 진단의 효과 및 신속성, 오진 가능성 등의 기존 제약을 개선한 최적 및 적응적 대응 룰을 작성할 수 있다.
이하에서는, 도 4 내지 도 6을 참조하여 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법을 설명하도록 한다. 여기서, 설명의 편의를 위해 전술한 도 1 내지 도 3에 도시된 구성은 해당 참조번호를 언급하여 설명하겠다.
먼저, 도 4를 참조하여 본 발명의 바람직한 실시예가 포함된 전체 시스템의 제어 흐름을 설명하도록 한다.
파일 및 행위 기반 복합룰 작성 시스템(300)는, 적어도 하나의 악성의심행위를 포함하는 행위감시룰을 업데이트서버(400)를 통해 다수의 컴퓨터 시스템(200)으로 제공한다(S10).
이에, 각 컴퓨터 시스템(100)은, 행위감시룰을 업데이트서버(400)로부터 수신하여 저장함으로써, 다수의 행위감시룰을 보유할 수 있다(S20).
더불어, 각 컴퓨터 시스템(100)은, 악성코드 진단에 이용하는 파일진단룰을 저장한다.
그리고, 컴퓨터 시스템(100)은, 적어도 하나의 파일 중 파일진단룰에 의해 악성코드파일로 진단되지 않는 파일에서 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위가 발생하는 경우 이에 따른 행위보고정보를 특정 파일 및 행위 기반 복합룰 작성 시스템(300)으로 제공한다.
즉, 컴퓨터 시스템(100)은, 컴퓨터 시스템(100)은, 자신에 저장/보유된 파일 중 특정 파일에서 특정 행위감시룰에 포함된 적어도 하나의 악성의심행위가 발생하는 것이 확인되면(S30), 해당되는 특정 파일이 악성코드 진단에 의해 악성코드파일로 진단되지 않은 파일 즉 미진단 파일인지 여부를 판단한다(S40).
이에, 컴퓨터 시스템(100)은, 전술의 판단 결과 미진단 일로 판단되는 특정 파일에서 특정 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위가 발생하는 경우, 이에 따른 행위보고정보를 특정 파일 및 행위 기반 복합룰 작성 시스템(300)으로 제공한다(S50).
한편, 컴퓨터 시스템(100)은, 전술의 판단 결과 특정 행위감시룰에 포함된 적어도 하나의 악성의심행위를 발생시키는 특정 파일 즉 행위주체파일이 악성코드파일인 경우, 이에 대응하는 행위보고정보를 제공하지 않고, 해당 특정 파일의 실행을 차단하는 것이 바람직하다(S45).
이에, 파일 및 행위 기반 복합룰 작성 시스템(300)는, 다수의 컴퓨터 시스템(200)으로부터 행위감시룰에 포함된 적어도 하나의 악성의심행위가 발생함에 따른 행위보고정보를 수집한다(S60).
즉, 파일 및 행위 기반 복합룰 작성 시스템(300)는, 각 컴퓨터 시스템(100)으로부터 악성코드로 진단되지 않은 파일에서 행위감시룰에 따른 악성의심행위가 발생함에 따라 제공되는 행위보고정보를 수집함으로써, 다수의 컴퓨터 시스템(200)에 보유된 다수의 파일(미진단 파일 및 화이트리스트파일 등)을 대상으로 행위감시룰을 이용한 악성의심행위 발생 여부를 테스트한 결과에 따른 행위보고정보를 수집하게 되는 것과 같다.
그리고 파일 및 행위 기반 복합룰 작성 시스템(300)는, 전술과 같이 다수의 컴퓨터 시스템(200)으로부터 수집한 행위보고정보를 기초로, 특정 행위감시룰에 포함된 적어도 하나의 악성의심행위를 발생시키는 행위주체파일을 확인하고(S70), 확인된 행위주체파일들을 샘플로 모아, 이러한 샘플들을 진단하기 위한 파일진단룰(시그니처)을 작성할 수 있다(S80).
그리고, 파일 및 행위 기반 복합룰 작성 시스템(300)는, 작성한 파일진단룰을 업데이트서버(400)를 통해 다수의 컴퓨터 시스템(200)의 각 컴퓨터 시스템(100)으로 제공/배포할 수 있다(S90).
이에 다수의 컴퓨터 시스템(200)은, 새롭게 작성된 파일진단룰을 업데이트서버(400)로부터 수신하여, 기 저장하고 있던 파일진단룰에 새롭게 작성된 파일진단룰을 업데이트/저장할 수 있다. 그리고 다수의 컴퓨터 시스템(200)은, 전술의 악성코드 진단 수행 시 새롭게 업데이트된 파일진단룰 역시 이용할 것이다.
이하에서는 도 5를 참조하여 본 발명에 따른 컴퓨터 시스템의 룰 작성 지원 방법을 설명하도록 한다.
본 발명에 따른 컴퓨터 시스템의 룰 작성 지원 방법은, 적어도 하나의 파일을 저장한다(S100).
본 발명에 따른 컴퓨터 시스템의 룰 작성 지원 방법은, 악성코드 진단에 이용하는 파일진단룰을 저장한다(S110).
본 발명에 따른 컴퓨터 시스템의 룰 작성 지원 방법은, 적어도 하나의 악성의심행위를 포함하는 행위감시룰을 수신하여 저장한다(S120).
즉, 본 발명에 따른 컴퓨터 시스템의 룰 작성 지원 방법은, 파일 및 행위 기반 복합룰 작성 시스템(300)에서 제공되는 행위감시룰을 업데이트서버(400)로부터 수신하여 저장함으로써, 다수의 행위감시룰을 보유할 수 있다.
본 발명에 따른 컴퓨터 시스템의 룰 작성 지원 방법은, 저장/보유된 파일에서 다수의 행위감시룰 중 특정 행위감시룰에 포함된 적어도 하나의 악성의심행위가 발생하는지 여부를 판단한다.
이에 본 발명에 따른 컴퓨터 시스템의 룰 작성 지원 방법은, 특정 파일에서 특정 행위감시룰에 포함된 적어도 하나의 악성의심행위가 발생하는 것이 확인되면(S130), 해당되는 특정 파일이 전술의 악성코드 진단에 의해 악성코드파일로 진단되지 않은 미진단 파일인지 여부를 판단한다(S140).
이에, 본 발명에 따른 컴퓨터 시스템의 룰 작성 지원 방법은, 전술의 판단 결과 미진단 파일로 판단되는 특정 파일에서 특정 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위가 발생하는 경우, 이에 따른 행위보고정보를 파일 및 행위 기반 복합룰 작성 시스템(300)으로 제공한다(S150).
여기서, 제공하는 행위보고정보의 구체적인 내용은, 전술에서 설명하였으므로 생략하도록 한다.
이후 본 발명에 따른 컴퓨터 시스템의 룰 작성 지원 방법은, 파일 및 행위 기반 복합룰 작성 시스템(300)에서 새롭게 작성된 파일진단룰 및/또는 새롭게 작성된 행위감시룰을 업데이트서버(400)로부터 수신하여 업데이트/저장할 수 있다(S160).
이에, 본 발명에 따른 컴퓨터 시스템의 룰 작성 지원 방법은, 악성코드 진단 시 새롭게 업데이트된 파일진단룰(변종 파일에 대한 시그니처와 같은 의미를 가짐) 역시 이용함으로써 새롭게 업데이트된 파일진단룰에 의해 악성코드 진단되는 파일에 대하여서도 실행을 차단할 수 있다.
또한, 본 발명에 따른 컴퓨터 시스템의 룰 작성 지원 방법은, 전술과 같이 행위감시룰을 기반으로 하는 악성의심행위 발생 시 행위보고정보를 제공함에 있어서 새롭게 업데이트된 행위감시룰 역시 이용함으로써, 새롭게 업데이트된 행위감시룰에 의한 악성의심행위 발생에 대하여서도 전술과 같이 행위보고정보를 제공할 수 있다.
한편, 본 발명에 따른 컴퓨터 시스템의 룰 작성 지원 방법은, 전술의 판단 결과 특정 행위감시룰에 포함된 적어도 하나의 악성의심행위를 발생시키는 특정 파일 즉 행위주체파일이 기 진단된 악성코드파일인 경우, 이에 대응하는 행위보고정보를 제공하지 않고, 해당 특정 파일의 실행을 차단하는 것이 바람직하다(S170).
이하에서는 도 6을 참조하여 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법을 설명하도록 한다.
본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, 적어도 하나의 악성의심행위를 포함하는 행위감시룰을 업데이트서버(400)를 통해 다수의 컴퓨터 시스템(200)으로 제공한다(S200).
본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, 다수의 컴퓨터 시스템(200)으로부터 전술과 같이 제공한 행위감시룰에 포함된 적어도 하나의 악성의심행위가 발생함에 따른 행위보고정보를 수집한다(S210).
그리고, 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, 수집한 행위보고정보들을, 대응되는 행위감시룰식별정보 별로 분류하여 정리할 수 있다.
본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, 수집한 행위보고정보를 기초로 전술과 같이 제공한 행위감시룰에 포함된 적어도 하나의 악성의심행위를 발생시키는 행위주체파일을 확인하고, 상기 행위주체파일에 대응되는 파일진단룰을 작성한다.
보다 구체적으로 설명하면, 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, S210단계에서 수집한 행위보고정보를 기초로 확인되는 행위주체파일이 화이트리스트파일인지 여부를 확인한다(S230).
이에, 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, S230단계의 판단 결과 화이트리스트파일이 아닌 경우, 확인된 행위주체파일에 기 정의된 적어도 하나의 악성추정행위가 존재하는지 여부를 확인한다(S240).
이에, 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, S240단계의 판단 결과 기 정의된 적어도 하나의 악성추정행위가 존재하면, 확인된 행위주체파일을 비로소 악성코드파일로 판단하여 전술과 같이 수집한 행위보고정보들을 행위감시룰식별정보 별로 분류하여 정리함에 있어서, 악성코드파일로 판단된 행위주체파일의 행위보고정보를 파일진단룰 작성에 이용하도록 분류/저장되게 할 수 있다.
한편, 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, S230단계의 판단 결과 화이트리스트파일이거나, 혹은 S240단계의 판단 결과 기 정의된 적어도 하나의 악성추정행위가 존재하지 않으면, 행위주체파일을 정상파일로 판단하여 행위주체파일에 대응되는 파일진단룰을 작성하지 않는 것이 바람직하다(S290).
따라서, 이 경우에 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, 전술과 같이 수집한 행위보고정보들을 대응되는 행위감시룰식별정보 별로 분류하여 정리함에 있어서, 화이트리스트파일로 판단된 행위주체파일의 행위보고정보를 파일진단룰 작성에 이용하지 않도록 분류/저장되게 할 수 있다.
더 나아가 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, S290단계에서 전술과 같이 정상파일로 판단된 행위주체파일이 확인된 행위보고정보에 따른 행위감시룰을 미진단룰(또는 화이트리스트룰)로 분류하여, 화이트리스트룰로 분류된 행위감시룰에 포함된 적어도 하나의 악성의심행위를 화이트리스트행위로서 등록할 수 있다.
이에, 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법에서 전술과 같이 행위주체파일들을 샘플로 수집하여 작성되는 파일진단룰(시그니처)에는, 화이트리스트파일을 대상으로 하는 파일진단룰이 포함되지 않을 것이다.
즉, 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, 수집한 행위보고정보들에서 특히 전술과 같이 파일진단룰 작성에 이용하도록 분류/저장된 행위보고정보들 중, 다수(예 : 특정 보고횟수 이상) 보고된 동일한 특정 행위감시룰의 적어도 하나의 악성의심행위를 발생시키는 행위주체파일들을 확인할 수 있다. 이에, 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, 전술과 같이 특정 행위감시룰에 의한 악성의심행위를 발생시킨다고 확인되는 행위주체파일들을 샘플로 하여 이러한 샘플들을 진단하기 위한 파일진단룰(시그니처)을 작성할 수 있다(S250).
그리고, 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, S250단계에서 작성한 파일진단룰(시그니처)을 검증한 후 오진 검증이 성공하면 업데이트서버(400)를 통해 다수의 컴퓨터 시스템(200)으로 제공할 수 있다(S260). 이때 작성한 파일진단룰(시그니처)을 검증하는 과정은, 전술의 도 3을 참조하여 설명한 진단룰제공부(350)의 검증과 대응되므로 설명을 생략하도록 한다.
더불어, 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, S250 및 S260의 파일진단룰 작성 및 제공과 병행 또는 별개로 하여, 행위감시룰을 작성 및 제공할 수 있다.
이를 설명하면, 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, S230단계 및 S240단계를 통해 전술과 같이 파일진단룰 작성에 이용하도록 분류/저장된 행위보고정보들을 기반으로, 악성코드파일로 판단된 행위주체파일에 존재하는 기 정의된 적어도 하나의 악성추정행위를 포함하는 신규의 행위감시룰을 작성한다(S270).
예를 들면, 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, 전술과 같이 파일진단룰 작성에 이용하도록 분류/저장된 행위보고정보들을 기반으로, 다수(예 : 특정 보고횟수 이상) 보고된 동일한 특정 행위감시룰의 적어도 하나의 악성의심행위를 발생시키는 행위주체파일들을 확인하고, 행위주체파일들에 공통으로 존재하는 기 정의된 적어도 하나의 악성추정행위를 수집할 수 있다. 그리고, 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, 수집된 악성추정행위를 기반으로 적어도 하나의 악성추정행위를 포함하는 신규의 행위감시룰을 작성할 수 있다. 이때, 작성된 신규의 행위감시룰에는, 고유의 순차번호를 가지는 행위감시룰식별정보가 할당되는 것이 바람직하다.
그리고, 본 발명에 따른 파일 및 행위 기반 복합룰 작성 방법은, S270단계에서 작성한 행위감시룰을 검증한 후 오진 검증이 성공하면 업데이트서버(400)를 통해 다수의 컴퓨터 시스템(200)으로 제공할 수 있다(S280). 이때 작성한 행위감시룰을 검증하는 과정은, 전술의 도 3을 참조하여 설명한 감시룰작성부(360)의 검증과 대응되므로 설명을 생략하도록 한다.
이상에서 설명한 바와 같이 본 발명에 따른 컴퓨터 시스템의 룰 작성 지원 방법 및 파일 및 행위 기반 복합룰 작성 방법에 따르면, 악성코드에 의해 발생되는 악성행위를 기반으로 작성된 행위감시룰을 다수의 컴퓨터 시스템으로 제공하여 다수의 컴퓨터 시스템 기반 불특정된 다양한 동작 환경에서 종류 및 개수가 무한정에 가까운 파일을 대상으로 행위감시룰에 의한 악성행위 발생 여부를 테스트하도록 하여 다수의 컴퓨터 시스템으로부터 테스트된 결과 즉 행위보고정보를 수집하고, 수집된 행위보고정보들을 이용하여 신규 대응 룰 즉 행위감시룰 및/또는 파일진단룰(시그니처)을 작성하여 배포할 수 있다.
본 발명의 일실시예에 따른 단말 장치의 보안 문서 실행 방법과 문서 관리 방법은 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 상기 매체에 기록되는 프로그램 명령은 본 발명을 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다. 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다. 상기된 하드웨어 장치는 본 발명의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.
이상과 같이 본 발명에서는 구체적인 구성 요소 등과 같은 특정 사항들과 한정된 실시예 및 도면에 의해 설명되었으나 이는 본 발명의 보다 전반적인 이해를 돕기 위해서 제공된 것일 뿐, 본 발명은 상기의 실시예에 한정되는 것은 아니며, 본 발명이 속하는 분야에서 통상적인 지식을 가진 자라면 이러한 기재로부터 다양한 수정 및 변형이 가능하다.
따라서, 본 발명의 사상은 설명된 실시예에 국한되어 정해져서는 아니되며, 후술하는 특허청구범위뿐 아니라 이 특허청구범위와 균등하거나 등가적 변형이 있는 모든 것들은 본 발명 사상의 범주에 속한다고 할 것이다.

Claims (20)

  1. 적어도 하나의 악성의심행위를 포함하는 행위감시룰을 다수의 컴퓨터 시스템으로 제공하는 감시룰제공부;
    상기 다수의 컴퓨터 시스템으로부터 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위가 발생함에 따른 행위주체파일을 포함하는 행위보고정보를 수집하는 정보수집부; 및
    상기 다수의 컴퓨터 시스템으로부터 수집한 각 행위보고정보를 기초로 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위를 발생시키는 행위주체파일들을 확인하고, 상기 행위주체파일들을 진단하기 위한 파일진단룰을 작성하는 진단룰작성부를 포함하는 것을 특징으로 하는 파일 및 행위 기반 복합룰 작성 시스템.
  2. 제 1 항에 있어서,
    상기 진단룰작성부에서 작성된 상기 파일진단룰 및 대응되는 화이트리스트파일 간의 매칭률을 판단하여 매칭률이 특정 제1오진매칭률 이하인 제1조건, 상기 파일진단룰의 작성에 이용된 상기 행위주체파일이 수집된 컴퓨터 시스템 내 파일위치가 특정 오진안전위치에 속하는 제2조건 중 적어도 어느 하나의 조건을 만족하는 경우, 작성된 상기 파일진단룰을 상기 다수의 컴퓨터 시스템으로 제공하는 진단룰제공부를 더 포함하는 것을 특징으로 하는 파일 및 행위 기반 복합룰 작성 시스템.
  3. 제 1 항에 있어서,
    상기 수집한 각 행위보고정보를 기초로 확인되는 상기 행위주체파일들이 화이트리스트파일인지 여부를 확인하여 상기 화이트리스트파일이 아닌 경우, 상기 행위주체파일들을 악성코드파일로 판단하고 상기 행위주체파일들에 대응되는 파일진단룰을 작성하도록 상기 진단룰작성부에 요청하는 보고정보검증부를 더 포함하는 것을 특징으로 하는 파일 및 행위 기반 복합룰 작성 시스템.
  4. 제 1 항에 있어서,
    상기 수집한 각 행위보고정보를 기초로 확인되는 상기 행위주체파일들에 기 정의된 적어도 하나의 악성추정행위가 존재하는지 여부를 확인하여 상기 기 정의된 적어도 하나의 악성추정행위가 존재하면, 상기 행위주체파일들을 악성코드파일로 판단하고 상기 행위주체파일들에 대응되는 파일진단룰을 작성하도록 상기 진단룰작성부에 요청하는 보고정보검증부를 더 포함하는 것을 특징으로 하는 파일 및 행위 기반 복합룰 작성 시스템.
  5. 제 4 항에 있어서,
    상기 악성코드파일로 판단된 상기 행위주체파일들에 존재하는 상기 기 정의된 적어도 하나의 악성추정행위를 포함하는 신규의 행위감시룰을 작성하여, 상기 다수의 컴퓨터 시스템으로 제공하도록 상기 감시룰제공부에 요청하는 감시룰작성부를 더 포함하는 것을 특징으로 하는 파일 및 행위 기반 복합룰 작성 시스템.
  6. 제 5 항에 있어서,
    상기 감시룰작성부는,
    작성한 상기 신규의 행위감시룰 및 기 보유한 화이트리스트행위 간의 매칭률을 판단하여 매칭률이 특정 제2오진매칭률 이하인 경우, 작성한 상기 신규의 행위감시룰을 상기 감시룰제공부에 제공하는 것을 특징으로 하는 파일 및 행위 기반 복합룰 작성 시스템.
  7. 제 1 항에 있어서,
    상기 수집한 각 행위보고정보를 기초로 확인되는 상기 행위주체파일들이 화이트리스트파일인지 여부를 확인하여 상기 화이트리스트파일인 경우, 상기 행위주체파일들을 정상파일로 판단하여 상기 행위주체파일들에 대응되는 파일진단룰을 작성하지 않도록 상기 진단룰작성부에 요청하는 보고정보검증부를 더 포함하는 것을 특징으로 하는 파일 및 행위 기반 복합룰 작성 시스템.
  8. 제 7 항에 있어서,
    상기 보고정보검증부는,
    상기 정상파일로 판단된 상기 행위주체파일들이 확인된 상기 행위보고정보에 따른 상기 행위감시룰을 미진단룰로 분류하여 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위를 화이트리스트행위로 등록하는 것을 특징으로 하는 파일 및 행위 기반 복합룰 작성 시스템.
  9. 적어도 하나의 파일을 저장하는 파일저장부;
    악성코드 진단에 이용하는 파일진단룰을 저장하는 파일진단룰저장부;
    적어도 하나의 악성의심행위를 포함하는 행위감시룰을 수신하여 저장하는 행위감시룰저장부; 및
    상기 적어도 하나의 파일 중 상기 파일진단룰에 의해 악성코드파일로 진단되지 않는 파일에서 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위가 발생하는 경우 이에 따른 행위보고정보를 특정 파일 및 행위 기반 복합룰 작성 시스템으로 제공하여, 상기 행위보고정보를 기초로 파일진단룰을 작성하도록 하는 행위보고정보제공부를 포함하는 것을 특징으로 하는 컴퓨터 시스템.
  10. 제 9 항에 있어서,
    상기 행위보고정보는,
    상기 행위감시룰의 행위감시룰식별정보, 상기 적어도 하나의 악성의심행위를 발생시키는 해당 파일을 나타내는 행위주체파일정보, 상기 해당 파일의 파일위치정보, 발생시간정보, 발생횟수정보 중 적어도 어느 하나를 포함하는 것을 특징으로 하는 컴퓨터 시스템.
  11. 적어도 하나의 악성의심행위를 포함하는 행위감시룰을 다수의 컴퓨터 시스템으로 제공하는 감시룰 제공단계;
    상기 다수의 컴퓨터 시스템으로부터 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위가 발생함에 따른 행위보고정보를 수집하는 정보 수집단계;
    상기 다수의 컴퓨터 시스템으로부터 수집한 각 행위보고정보를 기초로 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위를 발생시키는 행위주체파일들을 확인하고, 상기 행위주체파일들을 진단하기 위한 파일진단룰을 작성하는 진단룰 작성단계를 포함하는 것을 특징으로 하는 파일 및 행위 기반 복합룰 작성 방법.
  12. 제 11 항에 있어서,
    상기 진단룰 작성단계에서 작성된 상기 파일진단룰 및 대응되는 화이트리스트파일 간의 매칭률을 판단하여 매칭률이 특정 제1오진매칭률 이하인 제1조건, 상기 파일진단룰의 작성에 이용된 상기 행위주체파일이 수집된 컴퓨터 시스템 내 파일위치가 특정 오진안전위치에 속하는 제2조건 중 적어도 어느 하나의 조건을 만족하는 경우, 작성된 상기 파일진단룰을 상기 다수의 컴퓨터 시스템으로 제공하는 진단룰 제공단계를 더 포함하는 것을 특징으로 하는 파일 및 행위 기반 복합룰 작성 방법.
  13. 제 11 항에 있어서,
    상기 수집한 각 행위보고정보를 기초로 확인되는 상기 행위주체파일들이 화이트리스트파일인지 여부를 확인하여 상기 화이트리스트파일이 아닌 경우, 상기 행위주체파일들을 악성코드파일로 판단하여 상기 진단룰 작성단계가 수행되도록 하는 보고정보 검증단계를 더 포함하는 것을 특징으로 하는 파일 및 행위 기반 복합룰 작성 방법.
  14. 제 11 항에 있어서,
    상기 보고정보 검증단계는,
    상기 수집한 각 행위보고정보를 기초로 확인되는 상기 행위주체파일들에 기 정의된 적어도 하나의 악성추정행위가 존재하는지 여부를 확인하여 상기 기 정의된 적어도 하나의 악성추정행위가 존재하면 상기 행위주체파일들을 악성코드파일로 판단하여 상기 진단룰 작성단계가 수행되도록 하는 보고정보 검증단계를 더 포함하는 것을 특징으로 하는 파일 및 행위 기반 복합룰 작성 방법.
  15. 제 14 항에 있어서,
    상기 악성코드파일로 판단된 상기 행위주체파일들에 존재하는 상기 기 정의된 적어도 하나의 악성추정행위를 포함하는 신규의 행위감시룰을 작성하여, 상기 다수의 컴퓨터 시스템으로 제공하는 감시룰 작성단계를 더 포함하는 것을 특징으로 하는 파일 및 행위 기반 복합룰 작성 방법.
  16. 제 15 항에 있어서,
    상기 감시룰 작성단계는,
    작성한 상기 신규의 행위감시룰 및 기 보유한 화이트리스트행위 간의 매칭률을 판단하여 매칭률이 특정 제2오진매칭률 이하인 경우, 작성한 상기 신규의 행위감시룰을 제공하는 것을 특징으로 하는 파일 및 행위 기반 복합룰 작성 방법.
  17. 제 11 항에 있어서,
    상기 수집한 각 행위보고정보를 기초로 확인되는 상기 행위주체파일들이 화이트리스트파일인지 여부를 확인하여 상기 화이트리스트파일인 경우, 상기 행위주체파일들을 정상파일로 판단하여, 상기 행위주체파일들에 대응되는 상기 진단룰 작성단계가 미수행되도록 하는 보고정보 검증단계를 더 포함하는 것을 특징으로 하는 파일 및 행위 기반 복합룰 작성 방법.
  18. 제 17 항에 있어서,
    상기 정상파일로 판단된 상기 행위주체파일들이 확인된 상기 행위보고정보에 따른 상기 행위감시룰을 미진단룰로 분류하여 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위를 화이트리스트행위로 등록하는 단계를 더 포함하는 것을 특징으로 하는 파일 및 행위 기반 복합룰 작성 방법.
  19. 적어도 하나의 파일을 저장하는 파일 저장단계;
    악성코드 진단에 이용하는 파일진단룰을 저장하는 파일진단룰 저장단계;
    적어도 하나의 악성의심행위를 포함하는 행위감시룰을 수신하여 저장하는 행위감시룰 저장단계; 및
    상기 적어도 하나의 파일 중 상기 파일진단룰에 의해 악성코드파일로 진단되지 않는 파일에서 상기 행위감시룰에 포함된 상기 적어도 하나의 악성의심행위가 발생하는 경우 이에 따른 행위보고정보를 특정 파일 및 행위 기반 복합룰 작성 시스템으로 제공하여, 상기 행위보고정보를 기초로 파일진단룰을 작성하도록 하는 행위보고정보 제공단계를 포함하는 것을 특징으로 하는 컴퓨터 시스템의 룰 작성 지원 방법.
  20. 제11항 내지 제19항 중 어느 한 항의 방법을 수행하는 프로그램을 기록한 컴퓨터 판독 가능 기록 매체.
PCT/KR2013/001356 2012-02-21 2013-02-21 컴퓨터 시스템과, 파일 및 행위 기반 복합룰 작성 시스템 WO2013125867A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2012-0017538 2012-02-21
KR1020120017538A KR101337217B1 (ko) 2012-02-21 2012-02-21 컴퓨터 시스템과, 파일 및 행위 기반 복합룰 작성 시스템

Publications (1)

Publication Number Publication Date
WO2013125867A1 true WO2013125867A1 (ko) 2013-08-29

Family

ID=49005980

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2013/001356 WO2013125867A1 (ko) 2012-02-21 2013-02-21 컴퓨터 시스템과, 파일 및 행위 기반 복합룰 작성 시스템

Country Status (2)

Country Link
KR (1) KR101337217B1 (ko)
WO (1) WO2013125867A1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9171155B2 (en) 2013-09-30 2015-10-27 Kaspersky Lab Zao System and method for evaluating malware detection rules

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10356113B2 (en) 2016-07-11 2019-07-16 Korea Electric Power Corporation Apparatus and method for detecting abnormal behavior
KR102024053B1 (ko) * 2017-12-28 2019-09-24 주식회사 안랩 행위 기반 실시간 접근 제어 시스템 및 행위 기반 실시간 접근 제어 방법
KR102156502B1 (ko) 2019-09-30 2020-09-15 주식회사 체크멀 화이트 리스트 기반 백신의 프로그램 관리 방법

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100996855B1 (ko) * 2008-08-29 2010-11-26 주식회사 안철수연구소 정상 파일 데이터베이스 제공 시스템 및 방법
KR20100124441A (ko) * 2009-05-19 2010-11-29 주식회사 안철수연구소 컨텐츠 검사 장치와 악성 코드 관제 장치 및 이를 이용한 컨텐츠 검사 방법
KR20110088042A (ko) * 2010-01-28 2011-08-03 주식회사 안철수연구소 악성 코드 자동 판별 장치 및 방법
KR20110108491A (ko) * 2010-03-29 2011-10-06 한국전자통신연구원 악성 스크립트 분석 시스템 및 그를 이용한 악성 스크립트 분석 방법

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100996855B1 (ko) * 2008-08-29 2010-11-26 주식회사 안철수연구소 정상 파일 데이터베이스 제공 시스템 및 방법
KR20100124441A (ko) * 2009-05-19 2010-11-29 주식회사 안철수연구소 컨텐츠 검사 장치와 악성 코드 관제 장치 및 이를 이용한 컨텐츠 검사 방법
KR20110088042A (ko) * 2010-01-28 2011-08-03 주식회사 안철수연구소 악성 코드 자동 판별 장치 및 방법
KR20110108491A (ko) * 2010-03-29 2011-10-06 한국전자통신연구원 악성 스크립트 분석 시스템 및 그를 이용한 악성 스크립트 분석 방법

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9171155B2 (en) 2013-09-30 2015-10-27 Kaspersky Lab Zao System and method for evaluating malware detection rules

Also Published As

Publication number Publication date
KR101337217B1 (ko) 2013-12-05
KR20130096039A (ko) 2013-08-29

Similar Documents

Publication Publication Date Title
WO2017213400A1 (en) Malware detection by exploiting malware re-composition variations
WO2014035043A1 (ko) 악성 애플리케이션 진단 장치 및 방법
US9069668B2 (en) Diagnosing distributed applications using application logs and request processing paths
TWI396995B (zh) 惡意軟體清除方法、系統及電腦程式產品與儲存媒體
WO2013169059A1 (ko) 웹 서비스 모니터링 시스템 및 방법
US8516586B1 (en) Classification of unknown computer network traffic
US20120005755A1 (en) Infection inspection system, infection inspection method, storage medium, and program
WO2012023657A1 (ko) 가상 머신을 이용한 네트워크 기반 유해 프로그램 검출 방법 및 그 시스템
WO2012015171A2 (ko) 해커 바이러스 보안통합관리기
CN101156156A (zh) 补救不希望有的应用程序的影响
WO2013125867A1 (ko) 컴퓨터 시스템과, 파일 및 행위 기반 복합룰 작성 시스템
CN110362994B (zh) 恶意文件的检测方法、设备和系统
KR20090038683A (ko) 자동 취약점 진단 웹 방화벽 및 이를 이용한 취약점 진단방법
CN111191248B (zh) 针对Android车载终端系统的漏洞检测系统及方法
WO2016111525A1 (ko) 소스코드 이관제어 방법 및 이를 위한 컴퓨터 프로그램, 그 기록매체
CN109074448B (zh) 计算装置的安全状态与额定安全状态的偏差的检测
CN110826058B (zh) 基于用户交互的恶意软件检测的设备、方法、介质
US20180004939A1 (en) Anti-malware device, anti-malware system, anti-malware method, and recording medium in which anti-malware program is stored
WO2017188535A1 (ko) 실시간성 이벤트를 탐지하는 방법 및 이를 이용한 서버
CN113158191B (zh) 基于智能探针的漏洞验证方法及相关iast方法、系统
WO2013125866A1 (ko) 컴퓨터 시스템 및 시그니처검증서버
WO2019231089A1 (ko) 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법
WO2016064024A1 (ko) 이상 접속 검출 장치 및 방법
WO2018043885A1 (ko) 악성코드탐지시스템 및 악성코드 탐지 방법
WO2011126254A2 (ko) 단말 장치 및 상기 단말 장치의 파일 배포처 확인 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13752364

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13752364

Country of ref document: EP

Kind code of ref document: A1