WO2017082567A1 - 전자 장치를 보호하기 위한 장치 및 방법 - Google Patents

전자 장치를 보호하기 위한 장치 및 방법 Download PDF

Info

Publication number
WO2017082567A1
WO2017082567A1 PCT/KR2016/012383 KR2016012383W WO2017082567A1 WO 2017082567 A1 WO2017082567 A1 WO 2017082567A1 KR 2016012383 W KR2016012383 W KR 2016012383W WO 2017082567 A1 WO2017082567 A1 WO 2017082567A1
Authority
WO
WIPO (PCT)
Prior art keywords
signal
data
hacking
address
control device
Prior art date
Application number
PCT/KR2016/012383
Other languages
English (en)
French (fr)
Inventor
강병익
김민수
김원진
여필구
정상철
정태동
Original Assignee
삼성전자주식회사
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 삼성전자주식회사 filed Critical 삼성전자주식회사
Priority to CN201680066265.9A priority Critical patent/CN108292353B/zh
Priority to US15/775,519 priority patent/US11126712B2/en
Priority to EP16864493.8A priority patent/EP3376427B1/en
Publication of WO2017082567A1 publication Critical patent/WO2017082567A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Definitions

  • the following embodiments are related to the protection of an electronic device.
  • the electronic device has reached a mobile convergence stage that includes functions of other devices.
  • the electronic device may have a calling function such as a voice call and a video call, a message sending / receiving function such as a Short Message Service (SMS) / Multimedia Message Service (MMS) and an e-mail, an electronic organizer function, and a shooting function.
  • SMS Short Message Service
  • MMS Multimedia Message Service
  • SNS social networking service
  • the following embodiments are provided to provide an apparatus and a method for protecting the electronic device from an attack occurring on the electronic device.
  • Apparatus may include a transceiver and a controller operatively coupled to the transceiver, wherein the controller is configured to receive an address to which a first signal transmitted from a control device to a storage device is assigned. And if the first signal includes the specified address, sending a second signal to the control device, the first signal being transmitted to the storage device by the control device.
  • the second signal may be a signal for detecting whether abnormal data is included in a signal generated from the first signal.
  • an operation method of an apparatus may include detecting whether a first signal transmitted from a control apparatus to a storage device includes a designated address, and when the first signal includes the designated address, And transmitting a signal to the control device, wherein the first signal may be a signal for the control device to request data from the storage device, and the second signal may be generated from the first signal.
  • the signal may be a signal for detecting whether abnormal data is included in the signal.
  • Apparatus according to various embodiments of the present disclosure and a method of operating the same may protect the electronic device from various attacks.
  • FIG 1 illustrates an operating environment of an electronic device.
  • FIG. 2 illustrates a functional block configuration of an electronic device that performs various functions.
  • 3 illustrates the structure of a security technique using software.
  • FIG. 4 illustrates the structure of a security technique using hardware.
  • FIG. 5 is a block diagram illustrating a functional block of an electronic device according to various embodiments of the present disclosure.
  • FIG. 6 is a functional block diagram of a security device according to various embodiments of the present disclosure.
  • FIG. 7 illustrates a hardware configuration of an electronic device according to various embodiments of the present disclosure.
  • FIG. 8 illustrates a hardware configuration of an electronic device that detects hacking through a signal according to various embodiments of the present disclosure.
  • FIG 9 illustrates a hardware configuration of an electronic device that detects hacking through an operation pattern according to a signal according to various embodiments of the present disclosure.
  • FIG. 10 illustrates an example of detecting a hack through a data pattern according to various embodiments of the present disclosure.
  • FIG. 11 illustrates a hardware configuration of an electronic device that predicts hacking through a signal according to various embodiments of the present disclosure.
  • FIG. 12 illustrates a hardware configuration of an electronic device that detects hacking through a signal of an application area in various embodiments.
  • FIG. 13 illustrates an example of a signal of an application area according to various embodiments of the present disclosure.
  • FIG. 14 is a diagram illustrating another hardware configuration of an electronic device that detects hacking through a signal of an application area according to various embodiments of the present disclosure.
  • 15 is a flowchart illustrating an operation of an electronic device that detects hacking according to various embodiments of the present disclosure.
  • 16 is a view illustrating an example in which a security device is mounted on a vehicle according to various embodiments of the present disclosure.
  • 17 is a flowchart illustrating an operation of an apparatus according to various embodiments of the present disclosure.
  • FIG. 18 is a flowchart illustrating an operation of an apparatus for predicting hacking according to various embodiments of the present disclosure.
  • 19 is a flowchart illustrating an operation of an apparatus for displaying a warning message by predicting hacking according to various embodiments of the present disclosure.
  • FIG. 20 illustrates a signal flow of an electronic device for predicting hacking according to various embodiments of the present disclosure.
  • 21 is a flowchart illustrating an operation of an apparatus for detecting a hack through a signal according to various embodiments of the present disclosure.
  • FIG. 22 is a flowchart illustrating another operation of an apparatus for detecting a hack through a signal according to various embodiments of the present disclosure.
  • 23 illustrates a signal flow of an electronic device that detects hacking through a signal according to various embodiments of the present disclosure.
  • 24 is a flowchart illustrating an operation of an apparatus for detecting hacking through an operation corresponding to a signal according to various embodiments of the present disclosure.
  • 25 is a flowchart illustrating another operation of an apparatus for detecting a hack through an operation corresponding to a signal according to various embodiments of the present disclosure.
  • 26 illustrates another signal flow of an electronic device that detects a hack according to various embodiments of the present disclosure.
  • FIG. 27 is a flowchart illustrating an operation of an apparatus for detecting a hack of an application area according to various embodiments of the present disclosure.
  • FIG. 28 is a flowchart illustrating another operation of an apparatus for detecting a hack of an application area according to various embodiments of the present disclosure.
  • 29 is a flowchart illustrating a signal flow of an electronic device that detects hacking of an application area according to various embodiments of the present disclosure.
  • An electronic device may include, for example, a smartphone, a tablet personal computer, a mobile phone, a video phone, and an e-book reader.
  • Desktop personal computer PC
  • laptop personal computer PC
  • netbook computer workstation
  • server personal digital assistant
  • PMP portable multimedia player
  • MP3 player MP3 player
  • It may include at least one of a mobile medical device, a camera, or a wearable device.
  • a wearable device may be an accessory type (e.g., watch, ring, bracelet, anklet, necklace, glasses, contact lens, or head wear device (HMD, head-mounted-device, etc.), fabric or clothing type)
  • an accessory type e.g., watch, ring, bracelet, anklet, necklace, glasses, contact lens, or head wear device (HMD, head-mounted-device, etc.), fabric or clothing type
  • HMD head-mounted-device, etc.
  • fabric or clothing type For example, it may include at least one of an electronic garment, a body attachment type (eg, a skin pad or a tattoo), or a living implantable type (eg, an implantable circuit).
  • communication functions are embedded in various embedded systems such as home appliances, mobile devices, and wearable computers. Accordingly, various electronic devices or embedded systems having a communication function may be vulnerable to protection of personal information, protection of financial information, and the like. For example, a user of a smartphone may be hijacked personal information in the smartphone, and a user of a home appliance equipped with a communication function may be exposed to a denial of service attack (DDoS) attack against a higher network. Homes with fixtures may be exposed to light on / off control attacks.
  • DDoS denial of service attack
  • Methods for defending various hacks on the electronic device may be divided into a method using a hardware security technology and a method using a software security technology.
  • the hacking may be a term encompassing all operations of extracting or damaging data by invading an electronic device without a user's permission.
  • the hacking may be a term encompassing all operations for operating the electronic device differently from the intention of the user.
  • the hacking may be a term encompassing all operations for causing the electronic device to perform an unspecified operation.
  • Security techniques using software can generally record information about system calls and analyze the records to maintain security.
  • the system call may be a signal generated by an application.
  • the system call may be delivered to various components in the electronic device through an operating system (OS) installed in the electronic device.
  • OS operating system
  • Security technology using software may have a problem that the detection target is limited to system calls.
  • security technology using software may have a problem that the detection target is limited to the application.
  • Hardware-based security techniques can generally be secured by monitoring memory traffic generated by security devices connected to processing and storage devices.
  • Security technology using hardware may have a problem that the hack can be detected after hacking occurs.
  • Security techniques using hardware may have a problem in that the detection area may not be flexibly extended.
  • Security technology using hardware may have a problem that the detection target may be limited to the OS.
  • Apparatus may predict the hacking.
  • the device may detect hacking of the electronic device in real time through hardware.
  • the device may detect various attacks on the electronic device through flexible management.
  • the device may respond to hacking on an electronic device including the device without degrading its performance.
  • the device may detect not only a hack for an OS area but also a hack for an application area.
  • the device may predict hacking on the electronic device.
  • the device may analyze the read signal to predict hacking.
  • the read signal may include data requested by the control device to the storage device.
  • the read signal may be transmitted from the storage device to the control device.
  • the device may analyze the series of instruction information included in the read signal to predict hacking before hacking occurs. For example, the device may detect a read signal that is suspected to be associated with hacking or that hacking is likely to occur.
  • the device may track the read signal to predict hacking on the electronic device.
  • the device may detect hacking on the electronic device.
  • the device may analyze signals in the electronic device to detect not only a hack for an OS area but also a hack for an application area. For example, the device may predict hacking by analyzing a write signal.
  • the write signal may include data that the control device wants to write to the storage device.
  • the write signal may be transmitted from the control device to the storage device.
  • the device may detect a hack of the OS area in real time by analyzing a write signal for a memory area being used by the OS.
  • the device may detect hacking by analyzing transmission / reception information and application information between the control device and the hardware devices.
  • the hardware devices may be devices that directly or indirectly communicate with the control device.
  • the hardware devices may be devices in which the control device can control an operation.
  • the hardware device may be a communication device (for example, a network interface card (NIC), a Wi-Fi module, etc.), a storage device (for example, a dynamic random access memory (DRAM), a secure digital (SD) card, etc.), a sensor Devices (eg, global positioning systems, gyroscopes, etc.), input / output devices (eg, displays, keyboards, touch pads, touch screens, etc.) and the like.
  • the device may detect a hacking attack in real time by determining that this is a hacking when communication or control of a hardware device that is not permitted to access is generated in a running application. The device can detect the hack by checking the association between accessible hardware devices.
  • the device determines that this is a hack and detects a hacking attack. can do.
  • the apparatus may provide a corresponding method with respect to the detected hack. If hacking is detected, the device may determine a corresponding method for the hacking.
  • the corresponding method may include a method of controlling by controlling hardware.
  • the corresponding method may include a method of controlling and controlling an application related to the hacking attack.
  • the device may block transmission of instructions, data, or signals related to the detected hack.
  • the device may discard instructions, data, or signals associated with the detected hack.
  • the device may indicate on the output device (eg, a display device) that the hacking has occurred so that the user can recognize the hacking.
  • FIG 1 illustrates an operating environment of an electronic device.
  • the electronic device 100 may communicate with a service providing server 130 or an application providing server 160 through a wired or wireless path.
  • the electronic device 100 is a mobile phone, a smart phone, a personal digital assistant (PDA), a portable multimedia player (PMP), a digital camera, a music player ( may be any mobile system such as a music player, a portable game console, a navigation system, a laptop computer, and the like. Also, the electronic device 100 may be a fixed system such as a non-mobile device, a personal computer (PC), or the like that supports machine type communication (MIC).
  • PDA personal digital assistant
  • PMP portable multimedia player
  • a digital camera a music player
  • a music player may be any mobile system such as a music player, a portable game console, a navigation system, a laptop computer, and the like.
  • the electronic device 100 may be a fixed system such as a non-mobile device, a personal computer (PC), or the like that supports machine type communication (MIC).
  • MIC machine type communication
  • the electronic device 100 may communicate with the application providing server 160 to receive an application or a service user interface (UI). For example, the electronic device 100 may request an application from the application providing server 160. In response to the request of the application, the application providing server 160 may provide an application or a service UI to the electronic device 100.
  • UI application user interface
  • the electronic device 100 may communicate with the service providing server 130 to receive a service.
  • the electronic device 100 may request a service from the service providing server 130 through a service UI installed in the electronic device 100.
  • the service providing server 130 may provide a service to the electronic device 100.
  • the electronic device 100 may request a service from the service providing server 130 through an application installed in the electronic device 100.
  • the service providing server 130 may provide a service to the electronic device 100.
  • the electronic device 100 may include a communication function.
  • the electronic device 100 having a communication function may provide convenience to a user. However, the electronic device 100 having a communication function may be easily exposed to various kinds of hacking attacks.
  • FIG. 2 illustrates a functional block configuration of an electronic device that performs various functions.
  • the block configuration illustrated in FIG. 2 may be included in the electronic device 100 illustrated in FIG. 1.
  • the electronic device 100 may include a control device 210, a storage device 220, a communication device 230, a sensing device 240, an input / output device 250, and a display device 260.
  • the control device 210 may control the overall operation of the electronic device 100.
  • the electronic device 100 may execute an application for providing an internet browser, a game, a video, and the like.
  • the control device 210 may include one processor core or may include a plurality of processor cores.
  • the control device 210 may include multiple cores such as dual-core, quad-core, and hexa-core.
  • the control device 210 may further include a cache memory located inside or outside.
  • the storage device 220 may store a control command code, control data, or user data for controlling the electronic device 210.
  • the storage device 220 may include at least one of volatile memory and nonvolatile memory.
  • Nonvolatile memory includes read only memory (ROM), programmable ROM (PROM), electrically programmable ROM (EPROM), electrically erasable ROM (EEPROM), flash memory, phase-change RAM (PRAM), magnetic RAM (MRAM), and RRAM ( resistive RAM), FRAM (ferroelectric RAM), and the like.
  • Volatile memory includes a variety of memories such as dynamic RAM (DRAM), static RAM (SRAM), synchronous DRAM (SDRAM), phase-change RAM (PRAM), magnetic RAM (MRAM), resistive RAM (RRAM), ferroelectric RAM (FeRAM), and the like. It may include at least one of them.
  • DRAM dynamic RAM
  • SRAM static RAM
  • SDRAM synchronous DRAM
  • PRAM phase-change RAM
  • MRAM magnetic RAM
  • RRAM resistive RAM
  • FeRAM ferroelectric RAM
  • the storage device 220 may include nonvolatile media such as a hard disk drive (HDD), a solid state disk (SSD), an embedded multi media card (eMMC), and a universal flash storage (UFS). have.
  • the storage device 220 may store user information provided through the input / output device 250 and sensing information collected through the sensing device 240.
  • the communication device 230 may include a transmitter and / or a receiver.
  • the electronic device 100 may receive information from other devices (eg, a gateway, an access point, a base station, a terminal, etc.) through the transmitter and / or the receiver.
  • the electronic device 100 may transmit information to other devices through the transmitter and / or the receiver.
  • the sensing device 240 may be a sensor for sensing external information.
  • the sensing device 240 may be an image sensor.
  • the sensing device 240 may be connected to the control device 210 to transmit the generated image information to the control device 210.
  • the sensing device 240 may be a biosensor that detects biometric information.
  • the sensing device 240 may detect a fingerprint, an iris pattern, a heart rate, a blood sugar, and the like, generate sensing data corresponding to the detected information, and provide the sensing data to the control device 210.
  • the sensing device 240 may be any sensor such as a camera, an illuminance sensor, an acoustic sensor acceleration sensor, or the like.
  • the input / output device 250 may include input means such as a touch pad, a keypad, an input button, and an output means such as a speaker.
  • the input / output device 250 may detect an input of the electronic device 100.
  • the input / output device 250 may sense a touch or hovering input of a finger and a pen.
  • the display device 260 may display an image signal processed by the control device 210.
  • the display device 260 may display a capture or still image, and display a moving image or a camera preview image.
  • the display device 260 may be a liquid crystal display (LCD) or an organic light emitting diode (OLED).
  • the input / output device 250 and the display device 260 may be configured as an integrated touch screen.
  • FIG. 3 illustrates the structure of a security technique using software.
  • the structure illustrated in FIG. 3 may be performed by the electronic device 100 illustrated in FIG. 1.
  • the user may execute a user application installed in the electronic device 100.
  • the user application may generate a system call.
  • the user application may generate the system call through a library as in step 320.
  • the library may include control information, commands, data, etc. for the user application. If the electronic device 100 does not use a security technology using software, the electronic device 100 may activate a system call in step 330.
  • the electronic device 100 may temporarily intercept the system call in order to apply a security technology using software.
  • the electronic device 100 may log the blocked system call to apply a security technology.
  • the electronic device 100 may analyze whether the recorded system call includes data related to hacking or the like. The analysis of the recorded system call may be performed in the electronic device 100.
  • the analysis of the recorded system call may be performed outside of the electronic device 100 (for example, a server). The system call may be analyzed by the electronic device 100 in step 360-1 or by the server in step 360-2.
  • step 330 when no data related to hacking is detected in the recorded system call, the electronic device 100 may perform an operation for processing the system call.
  • the system call may be delivered through a kernel.
  • the kernel may mean an area of an OS installed in the electronic device 100.
  • the system call may be provided to a device driver.
  • the device driver may perform operations corresponding to the system call.
  • the security technique using software may include a blocking operation of the system call as in step 340, a recording operation as in 350, and an analysis operation as in 360.
  • Security technology using software that includes these operations can degrade the performance of the application.
  • security techniques using software that include these operations can slow down the execution of the application.
  • a security technology using software may have a problem that a sensing target may be limited to an application.
  • FIG. 4 illustrates the structure of a security technique using hardware.
  • the structure illustrated in FIG. 4 may be performed by the electronic device 100 illustrated in FIG. 1.
  • an electronic device that performs a security technology using hardware may include a security device 410.
  • the security device 410 may monitor a signal between the control device 210 and the storage device 220 shown in FIG. 2.
  • the security device 410 may analyze the monitored signal.
  • a security technology using hardware unlike the security technology using the software illustrated in FIG. 3, an operation for blocking a system call, recording, and analyzing may not be performed.
  • the security technology using hardware may not cause the performance degradation of the application, the execution speed of the application, or the like.
  • a sensing target may be limited to an OS area.
  • security technology using hardware cannot flexibly expand the sensing object.
  • a security technology using hardware may only be possible after the hacking occurs.
  • the device may protect the electronic device without causing a performance degradation.
  • the device can also predict hacking before hacking occurs.
  • the device may monitor the application area as well as the OS area to expand the hacking detection area.
  • the device can flexibly cope with various kinds of hacks.
  • FIG. 5 is a block diagram illustrating a functional block of an electronic device according to various embodiments of the present disclosure.
  • the term “device” used may mean a unit for processing at least one function or operation.
  • the term “device” may be implemented in hardware or software, or a combination of hardware and software. If implemented in hardware.
  • the term “device” may be referred to as “circuitry.”
  • the electronic device 500 may include the control device 210, the storage device 220, the security device 510, and the peripheral device (s) 520 illustrated in FIG. 2.
  • the peripheral device 520 may include the communication device 230, the sensing device 240, the input / output device 250, the display device 260, and the like illustrated in FIG. 2.
  • the control device 210, the storage device 220, and the peripheral device 520 eg, the communication device 230, the sensing device 240, the input / output device 250, and the display device 260
  • the functions illustrated in FIG. 2. can do.
  • control device 210 the storage device 220, and the peripheral device 520 (eg, the communication device 230, the sensing device 240, the input / output device 250, the display device 260, etc.) are illustrated in FIG. 2.
  • peripheral device 520 eg, the communication device 230, the sensing device 240, the input / output device 250, the display device 260, etc.
  • the signal may be a request signal or a response signal.
  • the signal may include an address.
  • the address may indicate a subject (eg, a component of the electronic device 500) that generated the signal.
  • the address may indicate the subject from which the signal is received.
  • the control device 210 may control the OS and / or an application installed in the electronic device 500.
  • the control device 210 may control other components of the electronic device 100 according to a system call generated from the OS and / or an application.
  • the control device 210 may execute the OS and / or an application.
  • the control device 210 may execute the OS and / or an application based on a signal or data received from the sensing device 240 or the input / output device 250.
  • the control device 210 may process data or signals generated or generated by the OS and / or the application. For example, the control device 210 may request data or a signal from the storage device 220 for the OS or the application. The control device 210 may record (or store) or update data or a signal in the storage device 220 for the OS or the application.
  • the storage device 220 may store data, commands, etc. for other components of the electronic device 500.
  • the storage device 220 may store data, instructions, and the like for a program and / or a module installed in the electronic device 500.
  • the storage device 220 may store data, commands, etc. for an OS and / or an application installed in the electronic device 500.
  • the storage device 220 may receive a request signal from other components of the electronic device 500.
  • the request signal may be a signal for requesting to provide data or a command stored in the storage device 220.
  • the storage device 220 may provide a read signal to the control device 210.
  • the read signal may be a signal including data requested by the control device 210.
  • the request signal may be a signal for requesting to update data or a command stored in the storage device 220.
  • the request signal may be a signal for providing data or a command desired to be stored in the storage device 220.
  • the storage device 220 may receive a write signal from the control device 210.
  • the write signal may include data that the control device 210 intends to store in the storage device 220.
  • the write signal may include an address on the storage device 220 to store the data.
  • the write signal may be a combination of a signal carrying the data and a signal carrying the address.
  • the write signal may be in the form of a data unit including a payload including data and control information including an address.
  • the display device 260 may display a message warning that hacking has occurred in the electronic device 500.
  • the display device 260 may display a warning message based on a signal received from the control device or the security device 510.
  • the communication device 230, the sensing device 240, the input / output device 250, and / or the display device 260 may be referred to as the peripheral device 520.
  • the security device 510 may detect hacking on the electronic device 500.
  • the security device 510 may detect a signal or data related to hacking of the electronic device 500.
  • the security device 510 may predict hacking on the electronic device 500.
  • the security device 510 may specify a signal or data that may be vulnerable to hacking among the signals or data generated by the electronic device 500 and changed.
  • the security device 510 may generate a tag signal for tracking the signal or data.
  • the security device 510 may insert a tag into the signal or data. The security device 510 may predict whether a hack occurs through the generated tag or tag signal.
  • the security device 510 may provide a method for responding to a hack occurring in the electronic device 500. For example, when hacking occurs in the electronic device 500, the security device 510 may block the data or signal related to the hacking to correspond to the hacking. For another example, the security device 510 may correspond to the hack by removing data or signals related to the hack. As another example, the security device 510 may display a warning message on the display device 260 including information on data or signals related to the hacking.
  • the security device 510 may include a signal detector, an address translator, a signal generator, a data recorder, and a temporary storage unit.
  • FIG. 6 is a functional block diagram of a security device according to various embodiments of the present disclosure. Such a block configuration may be included in the security device 510 shown in FIG. 5.
  • the security device 510 may include a signal detector 610, an address translator 620, a data recorder 630, a temporary storage 640, and a signal generator 650.
  • the signal detector 610 may detect a read request signal vulnerable to hacking among the read request signals transmitted from the control device 210 to the storage device 220.
  • the signal detector 610 may detect a read request signal vulnerable to hacking based on the address and / or data included in the read request signal. For example, when an address included in a read request signal indicates the communication device 230, the input / output device 250, or the like, the signal detector 610 may detect the read request signal as a read request signal vulnerable to hacking. For another example, when the data requested by the read request signal includes information about personal information or financial information, the signal detector 610 may detect the read request signal as a read request signal vulnerable to hacking. .
  • the signal detector 610 may detect a read request signal that is vulnerable to hacking by comparing with a specified address and an address included in the received read request signal. By detecting the read request signal, the device according to various embodiments may predict hacking.
  • the signal detector 610 may detect a write signal related to hacking among write signals provided to the storage device. For example, the signal detector 610 may detect a write signal related to hacking based on an address and / or data included in the write signal. When the write signal includes an address for an immutable region, the signal detector 610 may detect the write signal as a write signal related to hacking.
  • the constant region may be a permanent, semi-permanent, or temporarily write-protected region.
  • the constant region may be defined in advance when the electronic device 500 is manufactured, or may be defined by an OS. For example, the constant region may be one of a code region of the OS, a system call table, and an interrupt descriptor table. Through detection of such a write signal, the device according to various embodiments may detect hacking.
  • the signal detector 610 may detect a signal related to hacking based on the recording of the write signal. Assume that the data structure of the first write signal recorded in the data recording unit 630 or the like is composed of data A, data B, and data C. FIG. When the data structure of the first write signal is changed to the data A, the data B, the data D, and the data C, the signal detector 610 may recognize the update of the data (addition of the data D). In the case of the added data D, the data D may be data according to the update of the application, but may also be data according to hacking. The signal detector 610 may track the data A to the data D. When the data D is not actually used, the data D, a signal related to the data D, or the first write signal may be detected as a signal related to hacking. Through such detection, a device according to various embodiments may detect a hack.
  • the signal detector 610 may detect a signal or data related to hacking based on a signal including data for activating the peripheral device 520 or the like.
  • the signal detector 610 may detect the signal as a signal related to the hacking. Can be.
  • Whether the application is related to the peripheral device 520 may be set by an authentication or a specified procedure of the user during the installation of the application.
  • Whether the application is related to the peripheral device 520 may be set by an authentication or a specified procedure of the user in the process of updating the application. For example, assume that an application corresponding to the signal A uses the input / output device 250 and the display device 260.
  • the signal detector 610 may detect the signal A as a signal related to hacking.
  • the signal detector 610 may detect a signal related to hacking based on information, data, or a signal to which a flag is attached.
  • the flag may be an indication for protecting the data or signal from hacking.
  • the signal generator 650 may continuously monitor the signal with the flag. When the signal with the flag does not perform an operation on an application scenario or is exposed to an outside range of authority, the signal generator 650 may determine that hacking has occurred and detect signals related to the hacking.
  • the address converter 620 may convert an address included in a signal related to hacking.
  • a signal related to hacking is stored in the storage device 220 or the like, the electronic device 500 may be damaged due to hacking.
  • the address conversion unit 620 may block the transmission to the storage device 220 by converting an address included in a signal determined to be related to hacking. For example, when it is detected that a write signal includes an address for an invariant region, the address conversion unit 620 may convert an address included in the detected write signal into an address for the temporary storage unit 640. Through such address translation, the device according to various embodiments can prevent damage to hacking.
  • the data recorder 630 may record an operation according to a write signal.
  • the data recorder 630 may group operations according to a write signal based on addresses and data included in the write signal.
  • the data recorder 630 may group and record the operations according to the write signal through data pattern matching.
  • the temporary storage unit 640 may store a signal including the address converted by the address conversion unit 620.
  • the converted address may be an address of the temporary storage unit 640.
  • the temporary storage unit 640 may store a signal related to hacking to prevent the signal related to hacking from leaking into or out of the electronic device 500.
  • the temporary storage unit 640 may be configured to be separated from the security device 510.
  • the temporary storage unit 640 may be an independent component of the electronic device 500 or may be included in the storage device 220.
  • the temporary storage unit 640 may be omitted, depending on the implementation.
  • the signal generator 650 may generate a signal for tracking a signal vulnerable to hacking or a signal related to the hacking. When a signal vulnerable to hacking is detected through the signal detector 610, the signal generator 650 may generate an independent tag signal for continuous monitoring. According to an embodiment, the signal generator 650 may attach a tag to a signal vulnerable to the hacking for continuous monitoring. An apparatus according to various embodiments may predict hacking through the tag or tag signal.
  • the signal generator 650 may attach a flag to information, data, or a signal requiring security.
  • the signal generator 650 may attach a flag to data or signals including personal information, financial information, and the like.
  • a device may detect hacking through a signal with the flag attached thereto.
  • the signal generator 650 may generate a signal including null data by converting the received signal.
  • the signal generator 650 may prevent a signal related to hacking from being transmitted to the electronic device 500 by generating a signal including the null data. For example, when a signal including data for leaking financial information is received through the communication device 230 of the electronic device 500, the signal generator 650 converts the received signal to include null data. You can generate a signal.
  • the signal generator 650 may generate a signal corresponding to hacking. For example, when a signal related to hacking is detected through the signal detector 610, the signal generator 650 may generate a signal for a warning message.
  • the signal for the warning message may be directly transmitted to the display device 260 illustrated in FIG. 5 or may be transmitted to the display device 260 through the control device 210.
  • the display device 260 receiving the signal for the warning message may display the warning message.
  • the security device 510 may include a transceiver that communicates with components of the electronic device 500.
  • the security device 510 may receive a signal or data from components of the electronic device 500 through the transceiver.
  • the security device 510 may transmit a signal or data to the components of the electronic device 500 through the transceiver.
  • the signal detector 610, the address converter 620, the data recorder 630, and the signal generator 650 may be referred to as a controller.
  • the security device 510 may be configured as the controller and the transceiver.
  • FIG. 7 illustrates a hardware configuration of an electronic device according to various embodiments of the present disclosure.
  • the hardware configuration illustrated in FIG. 7 may be included in the electronic device 500 illustrated in FIG. 5.
  • the electronic device 500 may include the control device 210, the storage device 220, the security device 510, and the peripheral device 520 illustrated in FIG. 5.
  • the security device 510 may be operatively coupled to a transmission path between the control device 210 and the storage device 220.
  • the control device 210 may exchange a signal with the storage device 220.
  • the signal may be a write signal or a read signal.
  • the security device 510 may monitor a transmission path between the control device 210 and the storage device 220 to detect a signal vulnerable to hacking or a signal related to the hacking.
  • the security device 510 may be operatively coupled with the control device 210.
  • the security device 510 may receive a reference signal or reference data necessary for security from the control device 210.
  • the security device 510 may detect a signal vulnerable to hacking or a signal related to hacking based on the reference signal received from the control device 210.
  • the security device 510 may be operatively coupled with the peripheral device 520.
  • the security device 510 may detect a signal vulnerable to hacking or a signal related to hacking based on a signal generated from the peripheral device 520 (eg, a signal for activating the peripheral device 520). For example, when a signal not related to GPS activates the GPS, the security device 510 may detect the signal as a signal vulnerable to hacking or a signal related to hacking.
  • FIG. 8 illustrates a hardware configuration of an electronic device that detects hacking through a signal according to various embodiments of the present disclosure. Such a hardware configuration may be included in the electronic device 500 shown in FIG. 5.
  • the electronic device 500 may include the control device 210, the storage device 220, the security device 510, the temporary storage unit 640, and the bus 810.
  • the security device 510 may include the signal detector 610 and the address converter 620 shown in FIG. 6.
  • the bus 810 may be a device for operatively combining the security device 510, the storage device 230, and / or the temporary storage unit 640.
  • the bus 810 may provide a signal to other devices based on an address included in the signal.
  • the control device 210 may transmit a write signal to store data in the storage device 220.
  • the write signal may include the data and an address to store the data.
  • the write signal may be received by the security device 510 before being received by the storage device 220.
  • the signal detector 610 may detect an address included in the write signal.
  • the detected address may include an address for the constant region. Since the constant region may be an area not controlled by the user, the signal detector 610 may detect the write signal as a signal related to hacking.
  • the signal detector 610 may transmit to the address conversion unit 620 that the write signal may be related to hacking.
  • the address converter 620 may convert an address included in the write signal. In order to prevent damage due to hacking, the address conversion unit 620 may convert an address included in the write signal from an address of the storage device 220 to an address of the temporary storage unit 640 shown in FIG. 6.
  • the temporary storage unit 640 may temporarily store the write signal.
  • the temporary storage unit 640 may be referred to as a dummy. If the write signal whose address is converted by the address conversion unit 620 is a signal that is not related to hacking (for example, a signal newly generated through an update, etc.), the signal stored in the temporary storage unit 640 Can be restored.
  • the security device 510 may store the stored signal in the storage device 220.
  • the temporary storage unit 640 is implemented outside the security device 510. According to an embodiment, the temporary storage unit 640 may be included in the security device 510.
  • the storage device 220 and the temporary storage unit 640 are configured as separate components.
  • the storage device 220 and the temporary storage unit 640 may be implemented as one component.
  • the temporary storage unit 640 may be included in the storage device 220.
  • a device may detect a hack in real time by analyzing a write operation of an OS to a storage device.
  • the device may determine whether the write operation of the OS is a normal operation. For example, when the write operation of the OS is an operation for a code region, the device may determine that the write operation is an abnormal operation.
  • the device may specify the address and data corresponding to the write operation determined to be abnormal.
  • the device can prevent the specified data from being written to the specified address. For example, the device may process the specified data to be written to the temporary storage to prevent the specified data from being written to the specified address.
  • FIG. 9 illustrates a hardware configuration of an electronic device that detects hacking through an operation pattern according to a signal according to various embodiments of the present disclosure.
  • a hardware configuration may be included in the electronic device 500 shown in FIG. 5.
  • the electronic device 500 may include the control device 210, the storage device 220, the security device 510, and the bus 810.
  • the security device 510 may include the signal detector 610 and the data recorder 630 shown in FIG. 6.
  • the control device 210 may store data in the storage device 220 through the bus 810 to store data as a result of executing an application.
  • the data may be transmitted via a write signal.
  • the write signal may include an address and data.
  • the data recorder 630 may record data of the write signal. When data of the write signal is updated, the data recorder 630 may record the updated data. If there is the updated data, the signal detector 610 may track whether the structure of the updated data is changed. When the structure of the updated data is changed, the signal detector 610 may detect data related to the changed data or the write signal as data or signals related to hacking.
  • the structure of the data included in the write signal includes a linked list of data A, data B, and data C, but the data structure stored in the storage device 220 is the data A, the signal detector 610 may detect data or a signal related to the data B as data or a signal related to hacking. For example, when the address indicated by the data A is changed from the address of the data B to the address of the data C, the signal detector 610 detects a signal related to the data B or the data B as a signal related to hacking. can do.
  • the security device 510 may specify an address and data by grouping operations according to a write signal.
  • the security device 510 may group operations according to a write signal through data pattern matching.
  • the security device 510 may detect hacking using modulation of the connection list using data pattern matching.
  • the linked list may be a list that can easily insert or remove an intermediate node by keeping the relation between each node in a node.
  • the linked list may be a list in which a node array does not match an address and is made independent of storage space. If the address of the portion where the modulation occurs due to hacking cannot be specified, the device may specify a data pattern recorded in the corresponding area. The device may monitor hacking based on the data pattern. Through the above-described method, the device can detect the hacking in real time, reduce the complexity of the device, and reduce the spatial size of the device.
  • FIG. 10 illustrates an example of detecting a hack through a data pattern according to various embodiments of the present disclosure.
  • the hacking detection may be performed by the security device 510 shown in FIG. 5.
  • the security device 510 may record a list structure 1000 corresponding to an operation according to a write signal.
  • the list structure 1000 may include data A and data B.
  • the list structure 1020 may be updated with the list structure 1000 according to a write signal.
  • the list structure 1020 may include not only the data A and the data B but also data C.
  • the data C may be data generated by the control device 210 shown in FIG. 5 or data generated by hacking.
  • the security device 510 may monitor the list structure 1020 to prevent hacking.
  • the list structure 1040 may be a list structure stored in the storage device.
  • the list structure 1040 may be a list structure monitored by the signal detector 610.
  • the list structure 1040 may be a modulated list structure 1020.
  • the list structure 1040 may have a structure 1035 in which the data C is disconnected from the list structure 1020.
  • the signal detector 610 may recognize that the address indicating the data C is changed to the address indicating the data A.
  • FIG. The signal detector 610 may detect the data C or a signal related to the data C as data or a signal related to hacking.
  • the security device 510 may process the detected data or signal to prevent hacking. For example, the security device 510 may discard the detected data or signal. For another example, the security device 510 may temporarily store the detected data or signal in the temporary storage unit 640.
  • FIG. 11 illustrates a hardware configuration of an electronic device that predicts hacking through a signal according to various embodiments of the present disclosure. Such hardware configuration may be performed by the electronic device 500 illustrated in FIG. 5.
  • the electronic device 500 may include the control device 210, the security device 510, the storage device 220, and the bus 810 shown in FIG. 5.
  • the security device 510 may include the signal detector 610 and the signal generator 650 shown in FIG. 6.
  • the control device 210 may transmit a read request signal to the storage device 220.
  • the read request signal may be received by the storage device 220 through the security device 510.
  • the signal detector 610 may determine whether the read request signal is vulnerable to hacking based on the address included in the read request signal. For example, when the read request signal is a signal including personal information, the signal detector 610 may determine that the read request signal is vulnerable to hacking.
  • the signal generator 650 may attach a tag to the read request signal to predict hacking that may occur later. According to an embodiment, the signal generator 650 may transmit a tag signal independent of the read request signal to predict hacking that may occur later.
  • the security device 510 may track a signal or data generated based on the read request signal through the tag or the tag signal. The security device 510 may predict hacking by recording operations according to the tracked data or signal.
  • FIG. 12 illustrates a hardware configuration of an electronic device that detects hacking through a signal of an application area in various embodiments. Such a hardware configuration may be included in the electronic device 500 illustrated in FIG. 5.
  • the electronic device 500 may include the control device 210, the temporary storage unit 640, the storage device 220, the bus 810, the security device 510, the display device 260, and the detection device 240.
  • the security device 510 may include the signal detector 610, the address converter 620, a display controller 1210, a command controller 1220, and a power controller 1230.
  • the control device 210 may be operatively coupled to the display device 260 through the bus 810.
  • the control device 210 may transmit a signal through the display controller 1210 to display a UI on the display device 260.
  • the control device 210 may transmit a signal through the command controller 1220 to update the UI displayed on the display device 260.
  • the control device 210 may transmit a signal through the power controller 1230 to control power of the display device 260.
  • the sensing device 240 may be a camera. If the display device 260 is deactivated and a signal is transmitted from the sensing device 240, or if the display device 260 is deactivated and a signal is received from the sensing device 240, the security device 510 is connected to the hack. It can be detected by a signal. This is because using the sensing device 240 without a screen such as a preview may be irrelevant to the user's intention.
  • the address conversion unit 620 may convert an address included in the detected signal into an address of the temporary storage unit 640. By changing an address included in the detected signal, the security device 510 may block the detected signal from being transmitted to the control device 210 or the storage device 220. Although not shown in FIG. 12, according to an embodiment, the security device 510 may generate a warning message through the signal generator 650 shown in FIG. 6. The display device 260 may display the generated warning message.
  • the electronic device 500 may determine a hacking possibility based on the relationship between components.
  • the relationship between the display device 260 and the sensing device 240 is illustrated, but a similar procedure may be performed between other devices.
  • the security device 510 may add a device for monitoring each element to each element.
  • FIG. 13 illustrates an example of a signal of an application area according to various embodiments of the present disclosure.
  • a signal 1310 may be a signal for the display device 260 illustrated in FIG. 5.
  • the signal 1310 may indicate that the display device 260 is in an inactive state in an interval 1320.
  • the signal 1350 may be a signal for the sensing device 240 illustrated in FIG. 5.
  • the signal 1350 may indicate that the sensing device 240 is activated in the interval 1360.
  • the sensing device 240 may be a camera.
  • the signal 1310 and the signal 1350 may share the same time axis.
  • the signal 1310 and the signal 1350 may indicate that the sensing device 240 is activated while the display device 260 is inactivated. In such a situation, since the user cannot use the preview screen or the like, the security device 500 may detect the signal 1350 as a hacking signal.
  • FIG. 14 is a diagram illustrating another hardware configuration of an electronic device that detects hacking through a signal of an application area according to various embodiments of the present disclosure. Such a hardware configuration may be included in the electronic device 500 illustrated in FIG. 5.
  • the electronic device 500 may include the control device 210, the storage device 220, the bus 810, the security device 510, and the communication device 230 shown in FIG. 5.
  • the security device 510 may include the signal detector 610 and the signal generator 650 shown in FIG. 6.
  • the control device 210 may transmit a signal to the communication device 230 through the bus 810.
  • the signal may be a signal transmitted to another device through the communication device 230.
  • the control device 210 may receive a signal from the communication device 230 through the bus 810.
  • the signal detector 610 may detect whether a signal transmitted to the communication device 230 or a signal received from the communication device 230 is a signal related to hacking.
  • the signal detector 610 may detect whether the signal is a signal related to hacking by comparing a source port number of the signals and a processor ID.
  • the signal detector 610 may detect a signal transmitted or generated through an application not related to the communication device 230 as a signal related to hacking based on the source port number and the processor ID.
  • the signal detector 610 may detect signals for the flagged signal as a signal related to hacking.
  • the signal generator 650 may insert a flag into a signal or data (eg, personal information or financial information that should not be leaked) that requires security.
  • the signal generator 650 may insert a tag into a signal or data (for example, a signal or data determined to be vulnerable to hacking) through the signal detection unit 610.
  • the signal generator 650 may insert a tag into a signal received from the outside.
  • the signal generator 650 may generate a signal including null data by converting a signal related to the hacking. For example, assume that a signal including data capable of leaking personal information is received through the communication device 230. The signal detector 610 may detect the received signal as a signal related to hacking based on the data included in the received signal. In response, the signal generator 650 may generate a signal including null data by converting the received signal to stop the transmission of the received signal.
  • the security device 510 may determine the hacking possibility based on the relationship between the application and the components.
  • the relationship with respect to the communication device 230 is illustrated, but similar procedures may be performed with respect to other components.
  • FIG. 15 is a flowchart illustrating an operation of an electronic device that detects hacking according to various embodiments of the present disclosure. Such an operation example may be performed by the electronic device 500 illustrated in FIG. 5.
  • the electronic device 500 may include the control device 210, the communication device 230, the sensing device 240, the input / output device 250, and the security device 510 illustrated in FIG. 5.
  • the security device 510 may include the signal detector 610 illustrated in FIG. 6.
  • the control device 210 may execute a user application (eg, a chat app) 1510 by a user's input.
  • the control device 210 may transmit signals generated by the execution of the user application to each peripheral device 520.
  • the security device 510 may detect whether a signal related to hacking is included in the signals between the control device 210 and the peripheral device 520.
  • the signal detector 610 included in the security device 510 may analyze signals between the control device 210 and the peripheral device 520.
  • the electronic device 500 running the user application 1510 may activate the communication device 230, the sensing device 240, and the input / output device 250.
  • control device 210 may activate the communication device 230.
  • the communication device 230 may transmit and receive text information and the like through various communication methods.
  • control device 210 may activate the input / output device 250.
  • the input / output device 250 may transmit a user's touch input to the control device 210.
  • the sensing device 240 may not be related to execution of the user application 1510. Nevertheless, when the control device 210 activates the sensing device 240, the signal transmitted from the control device 210 to the sensing device 240 may be a signal related to hacking. In addition, when the control device 210 receives a signal from the sensing device 240 that is already activated, the signal may be a signal related to hacking. This is because the execution of the user application 1510 and the activation of the sensing device 240 may not be related.
  • the signal detector 610 may detect a signal between the control device and the detection device 240 as a signal related to hacking. For example, the signal detector 610 may determine whether a signal between the control device 210 and the peripheral device 520 includes data for activating a device not related to the signal. When the signal between the control device 210 and the peripheral device 520 activates a device whose signal is not related to the signal (for example, the sensing device 240), the signal between the control device 210 and the peripheral device 520. Can be detected as a signal related to hacking.
  • the security device 510 may discard a signal between the control device 210 and the peripheral device 520.
  • FIG. 16 is a view illustrating an example in which a security device is mounted on a vehicle according to various embodiments of the present disclosure.
  • the security device mounted on the vehicle may be the security device 510 illustrated in FIG. 5.
  • the secure network environment 1600 may include a secure network server 1605, a safety system 1610, a drive system 1620, a body system 1630, and a convenience system 1640.
  • the safety system 1610 may include devices for driving safety of a vehicle or driver safety.
  • the safety system 1610 may include a brake, an airbag, and the like.
  • the motor vehicle may include a communication function.
  • the vehicle may pursue convenience through the communication function.
  • the vehicle may be exposed to hacking due to the communication function.
  • the security device 510 illustrated in FIG. 5 may be installed in the brake, the airbag, and the like, respectively.
  • the security device 510 may detect a signal related to hacking received by the vehicle.
  • the security device 510 may block the reception of the detected signal to protect the vehicle from a hacking attack.
  • the security device 510 may communicate with the secure network server 1605.
  • the security device 510 may receive a signal including update information from the secure network server 1605 to perform an update.
  • the drive system 1620 may include devices related to a driveline of an automobile.
  • the driving system 1620 may include an engine control unit (ECU), an engine, a transmission, and the like. Since the vehicle may include a communication function, the driving system 1620 may be exposed to a hacking attack. If the drive system 1620 malfunctions due to hacking, the user of the vehicle may be at risk.
  • the security device 510 may be installed in the ECU, the engine, the transmission, and the like, respectively. The security device 510 may detect a signal related to hacking received by the vehicle. The security device 510 may block the reception of the detected signal to protect the vehicle from a hacking attack.
  • the security device 510 may communicate with the secure network server 1605 to perform an update for the driving system 1620.
  • the body system 1630 may include devices related to the structure of a vehicle.
  • the body system 1630 may include an air conditioning apparatus, a sheet apparatus, and the like. Since the motor vehicle may include a communication function, the body system 1630 may be exposed to a hacking attack. If the drive system 1630 malfunctions due to hacking, the user of the vehicle may be at risk. For example, if the seating device seated by a driving user moves, the user may be in danger.
  • the security device 510 may be installed in each of the air conditioner and the seat device to predict, detect, and counteract the hacking attack. The security device 510 may detect a signal related to a hack received by the vehicle and protect the body system 1630 from a hacking attack.
  • the convenience system 1640 may include devices for user convenience.
  • the convenience system may include a navigation system, telematics, and the like.
  • the convenience system 1640 may be exposed to a hacking attack due to the communication function of the vehicle.
  • the navigation system may malfunction due to reception of signals related to hacking.
  • the security device 510 may predict a hacking attack, detect a hacking attack, and respond to the hacking attack.
  • Each system may exchange information with each other.
  • the information exchange may provide convenience to a user or the like. However, with this trade-off, the information exchange may provide an environment that can be easily exposed to hacking attacks.
  • the security device 510 may be installed in each system to share data, signals, etc. related to hacking.
  • the security device 510 may update the security device 510 through communication with the security network server 1605. By sharing and updating the information as described above, the security device 510 can flexibly cope with hacking.
  • An apparatus may include a transceiver and a controller operatively coupled to the transceiver, wherein the controller is a first signal transmitted from a control device to a storage device. Is configured to detect whether a includes a designed address, and when the first signal includes the designated address, sending a second signal to the control device, wherein the first signal is:
  • the control device may be a signal for requesting data from the storage device, and the second signal may be a signal for detecting whether uncommon data is included in a signal generated from the first signal.
  • the controller may be further configured to display, on the display device, a warning message including information on the first signal when the first signal includes the designated address.
  • the controller may be further configured to detect whether the third signal transmitted from the control device to the storage device includes an address for an immutable area, and wherein the third signal is included in the constant area. And a third address, the third signal may be configured to convert the address of the third signal to block transmission to the storage device, and the third signal may include data for writing to the storage device by the control device. It may include.
  • the controller may be further configured to display, on the display device, a warning message including information on the third signal when the third signal includes an address for the constant region.
  • the controller may be configured to discard the third signal when the third signal includes an address for the constant region.
  • the controller may be further configured to record data of the third signal based on an address included in the third signal transmitted from the control device to the storage device, and detect whether the recorded data is updated. And further configured to detect whether the structure of the data is changed after the third signal is stored in the storage device when the recorded data is updated, and when the structure of the data is changed, the changed Further configured to detect data or a signal associated with the changed data, and further configured to discard the changed data or a signal associated with the changed data, wherein the third signal is recorded by the control device in the storage device. It may include data for.
  • the controller may be further configured to display a warning message on the display device when the changed data or a signal related to the changed data is detected.
  • the control unit is further configured to detect whether a fourth signal between the control device and another device includes data for activating a device that is not associated with the fourth signal, wherein the fourth signal is the fourth signal. If it includes data for activating a device that is not associated with a signal, it may be further configured to block transmission of the fourth signal. In addition, the controller may be configured to discard the fourth signal when the fourth signal includes data for activating a device not related to the fourth signal.
  • FIG. 17 is a flowchart illustrating an operation of an apparatus according to various embodiments of the present disclosure. This operation may be performed by the security device 510 shown in FIG. 5.
  • the security device 510 may be referred to as an apparatus.
  • the security device 510 may detect whether a first signal transmitted from the control device 210 to the storage device 220 includes a specified address.
  • the first signal may be a signal for the control device 210 to request data from the storage device 220.
  • the first signal may correspond to a read request signal.
  • the specified address may be an address predetermined by a user's setting and a setting of the electronic device 500.
  • the designated address may be an address indicating a location where hacking is likely to occur.
  • the security device 510 may transmit a second signal to the control device 210.
  • the first signal may be processed after being received by the control device 210.
  • the control device 210 may generate a plurality of control signals and the like based on the first signal.
  • the generated plurality of control signals may be signals that have a high risk of being exposed to hacking.
  • the security device 510 may track the generated plurality of control signals.
  • the security device 510 may insert a tag or add a tag signal to the generated control signals.
  • the second signal may be a signal for detecting whether uncommon data is included in the signal generated from the first signal.
  • the second signal may mean a tag or a tag signal.
  • the security device 510 may predict whether hacking may occur through the first signal. When it is determined that the first signal is a signal that is easily exposed to hacking, the security device 510 may monitor the first signal and the signals generated from the first signal to predict whether the hacking has occurred.
  • FIG. 18 is a flowchart illustrating an operation of an apparatus for predicting hacking according to various embodiments of the present disclosure. This operation flow may be performed by the security device 510 shown in FIG. 5.
  • the security device 510 may detect whether a first signal transmitted from the control device 210 to the storage device 220 includes a specified address. If the first signal does not include the designated address, the security device 510 may no longer track the first signal. This is because the first signal may be a signal having a low risk of being exposed to hacking if it does not include a designated address. Through this operation, the security device 510 may reduce the occupied area of the circuit, reduce the complexity, and efficiently cope with hacking.
  • the security device 510 may transmit the second signal to the control device. By transmitting the second signal, the security device 510 may track the first signal and signals originating from the first signal. Through this tracking, the security device 510 may detect whether hacking occurs in the first signal and signals derived from the first signal, and whether hacking may occur.
  • the security device 510 may predict hacking based on a read request signal.
  • the security device 510 may more flexibly respond to a hacking attack by predicting hacking based on a read request signal.
  • FIG. 19 is a flowchart illustrating an operation of an apparatus for displaying a warning message by predicting hacking according to various embodiments of the present disclosure. This operation flow may be performed by the security device 510 shown in FIG. 5.
  • steps 1910 and 1920 may correspond to steps 1810 and 1820 of FIG. 18.
  • the security device 510 may display a warning message on the display device 260 shown in FIG. 5 to warn the user that hacking may occur.
  • operation 1920 and the operation of operation 1930 may be performed simultaneously or in the reverse order.
  • the security device 510 may provide a better security by displaying a situation in which a hacking may occur to a user or the like.
  • FIG. 20 illustrates a signal flow of an electronic device for predicting hacking according to various embodiments of the present disclosure. Such a signal flow may occur inside the electronic device 500 illustrated in FIG. 5.
  • the control device 210 may transmit a first signal to the storage device 220.
  • the first signal may be a read request signal.
  • the control device 210 may request a command, data, etc. from the storage device 220.
  • the read request signal may be a signal for requesting the command, the data, and the like.
  • the security device 510 may detect whether the first signal includes a designated address.
  • the security device 510 may determine whether the address of the first signal is a designated address. For example, if the specified address includes the address of the communication device 230 shown in FIG. 5, and the first signal includes the address of the communication device 230, the security device 510 is the address of the first signal. Can be detected to contain the specified address.
  • the security device 510 may generate a second signal.
  • the second signal may be a signal for tracking the first signal.
  • the second signal may be a signal for tracking signals generated from the first signal.
  • the security device 510 may transmit the second signal to the control device 210. Through the second signal, the security device 510 may detect whether hacking occurs.
  • the security device 510 may transmit a warning message display command to the display device 260.
  • the display device 260 may receive the warning message display command.
  • step 2050 and step 2060 may be performed sequentially, in the reverse order, or may be performed simultaneously.
  • the display device 260 may display a warning message. Through the warning message, the user of the electronic device 500 may predict that a hack may occur in the electronic device 500.
  • Step 2060 and step 2070 may be omitted, according to an embodiment.
  • 21 is a flowchart illustrating an operation of an apparatus for detecting a hack through a signal according to various embodiments of the present disclosure. This operation flow may be performed by the security device 510 shown in FIG. 5.
  • the security device 510 may detect whether the third signal includes an address of an invariant region.
  • the third signal may be a signal including data for the control device to write to the storage device 220.
  • the third signal may be a write signal.
  • the control device 210 may store data to be updated and data to be newly stored in the storage device 220 through the write signal.
  • the constant region may be one of a code region of the OS, a system call table, and an interrupt descriptor table.
  • the constant region may not be updated or may be a limited region. It may be a hack that a particular signal is transmitted in this constant region.
  • the security device 510 may detect whether a hack occurs in the electronic device 500 by detecting whether the third signal includes an address for the constant region.
  • the security device 510 may determine that the third signal is not related to hacking, and may transmit the third signal to the storage device 220.
  • the security device 510 may convert the address of the third signal to block transmission to the storage device 220. For example, the security device 510 may change the existing address of the third signal to the address of the temporary storage unit 640 shown in FIG. 6 to prevent the third signal from being recorded in the storage device 220. .
  • the security device 510 may display a warning message on the display device 260 illustrated in FIG. 5.
  • the warning message may be a message indicating that hacking has occurred.
  • the warning message may be a message indicating that hacking is found in the third signal and transmission is blocked.
  • step 2130 may be omitted.
  • the security device 510 may prevent the hacking signal from being stored in the storage device 220.
  • the security device 510 may detect hacking from a write signal to maintain security of the electronic device 500.
  • FIG. 22 is a flowchart illustrating another operation of an apparatus for detecting a hack through a signal according to various embodiments of the present disclosure. This operation flow may be performed by the security device 510 shown in FIG. 5.
  • operation 2210 may correspond to operation 2110 illustrated in FIG. 21.
  • the security device 510 discards the third signal.
  • the security device 510 may discard the third signal.
  • the security device 510 may discard a signal related to hacking to maintain security of the electronic device 500 illustrated in FIG. 5.
  • FIG. 23 illustrates a signal flow of an electronic device that detects hacking through a signal according to various embodiments of the present disclosure. This signal flow may be performed by the electronic device 500 illustrated in FIG. 5.
  • the control device 210 may transmit a third signal to the security device 510.
  • the third signal may be a write signal.
  • the third signal may be transmitted to the storage device 220 through the security device 510.
  • the third signal may include data for the control device to write to the storage device.
  • the security device 510 may detect whether the third signal includes an address for an invariant region. Since the constant area is an area where the update is restricted, the security device 510 may detect the third signal as a signal related to hacking when the third signal includes an address for the constant area.
  • the security device 510 may transmit the third signal to the temporary storage unit 640.
  • the security device 510 may convert an address of the third signal into an address of the temporary storage unit 640 to block transmission of the third signal to the storage device 220.
  • the security device 510 may transmit a warning message display command to the display device 260.
  • the warning message may be a message indicating that the third signal is a signal related to hacking.
  • step 2330 and the operation of 2340 may be performed simultaneously or sequentially.
  • the display device 260 may display a warning message.
  • the user of the electronic device 500 may recognize that the hacking has occurred in the electronic device 500 through the warning message.
  • the user of the electronic device 500 may recognize that the third signal is blocked through the warning message.
  • the warning message may be stored in the storage device 220 through an input of the user.
  • the security device 510 may transmit the third signal to the storage device 220.
  • the storage device 220 may receive the third signal.
  • the storage device 220 may record data included in the third signal.
  • FIG. 24 is a flowchart illustrating an operation of an apparatus for detecting hacking through an operation corresponding to a signal according to various embodiments of the present disclosure. This operation flow may be performed by the security device 510 shown in FIG. 5.
  • the security device 510 may record data of a third signal.
  • the security device 510 may monitor whether the data is updated based on the recorded data.
  • the security device 510 may determine whether an update of the recorded data is performed. When data is updated, the security device 510 may monitor the updated data.
  • the security device 510 may monitor whether the structure related to the updated data is changed after being stored in the storage device 220. For example, the security device 510 may monitor whether an address indicating data included in the third signal is changed after being stored in the storage device 220.
  • the security device 510 may detect changed data or a signal related to the changed data. For example, a data structure having a linked list structure of data A, data B, and data C is stored in the storage device 220 and then changed to a data data structure having a linked list structure of data A and data C. The security device 510 may detect the data B or a signal (eg, the third signal) related to the data B as data or a signal related to hacking.
  • a signal eg, the third signal
  • the security device 510 may display a warning message on the display device 260.
  • the warning message may indicate to the user of the electronic device 500 that there is a signal or data determined to be related to hacking.
  • the warning message may indicate to the user of the electronic device 500 that transmission of a signal or data determined to be related to hacking is blocked.
  • 25 is a flowchart illustrating another operation of an apparatus for detecting a hack through an operation corresponding to a signal according to various embodiments of the present disclosure. This operation flow may be performed by the security device 510 shown in FIG. 5.
  • steps 2510 to 2540 may correspond to operations of steps 2410 to 2440 illustrated in FIG. 24.
  • the security device 510 discards the changed data or the signal related to the changed data.
  • the operation in step 2550 may be another example of the operation in step 2450.
  • the security device 510 may discard the data or the signal.
  • the security device 510 may maintain security of the electronic device 500.
  • 26 illustrates another signal flow of an electronic device that detects a hack according to various embodiments of the present disclosure. This signal flow may be performed by the electronic device 500 illustrated in FIG. 5.
  • the control device 210 may transmit a third signal to the security device 510.
  • the third signal may be a signal for recording data in the storage device 220.
  • the third signal may be a signal for controlling the operation of internal components of the electronic device 500.
  • the third signal may be a signal for controlling operations of the peripheral device 520 and the storage device 220 of the electronic device 500.
  • the security device 510 may receive the third signal.
  • the security device 510 may record data of the third signal. For example, when the third signal includes data A, data B, and data C, the security device 510 may record a data structure of the data A, data B, and data C. The recorded data can be used as a reference for determining whether the data structure is updated.
  • the security device 510 may determine whether the data has been updated using the recorded data structure. For example, when new data is added to the data structure, the security device 510 may recognize that data according to the third signal is updated.
  • the security device 510 may detect whether the structure of the data has changed after the updated data is stored in the storage device 220. For example, suppose that the data structure stored in the storage device 220 has a structure of data A, data C.
  • the third signal may be a signal for updating a data structure having a structure of the data A, the data C.
  • the third signal may be a signal for adding data B between the data A and the data C.
  • the data structure may be updated in the order of the data A, the data B, and the data C.
  • the security device 510 may recognize an update (or addition of data) of such a data structure.
  • the security device 510 may detect whether the updated data structure is changed after being stored in the storage device 220.
  • the security device 510 may detect changed data or a signal related to the changed data.
  • the security device 510 when the structure of the data is changed in the order of the data A, the data C except the data B after being stored in the storage device 220, the security device 510 is associated with the data B or the data B Signals can be detected as data or signals related to hacking.
  • the security device 510 may detect the data B and the signals related to the data B as data or signals related to hacking. .
  • the security device 510 may transmit a warning message display command to the display device 260.
  • the display device 260 may receive the warning message display command from the security device 510.
  • the display device 260 may display a warning message in response to the reception of the warning message display command. Through the warning message, the user of the electronic device 500 may recognize that the electronic device 500 has been exposed to hacking.
  • the security device 510 may detect hacking in real time through operations in steps 2610 to 2670.
  • the security device 510 may detect hacking with higher accuracy through the above-described operations.
  • the security device 510 may efficiently respond to a hacking attack on the electronic device 500 through the above-described operations.
  • FIG. 27 is a flowchart illustrating an operation of an apparatus for detecting a hack of an application area according to various embodiments of the present disclosure. This operation flow may be performed by the security device 510 shown in FIG. 5.
  • the security device 510 may detect whether to activate a device to which a fourth signal is not related.
  • the fourth signal may be a signal generated by a system call of an application.
  • the fourth signal may be a signal for activating the peripheral device 520 illustrated in FIG. 5.
  • the security device 510 may detect whether to activate a device to which the fourth signal is not related, based on data included in the fourth signal and an application corresponding to the fourth signal.
  • the application corresponding to the fourth signal is a camera (for example, the sensing device 240) application
  • the fourth signal activates the power supply device, the communication interface 230, etc. in the electronic device 500. In this case, the security device 510 may detect that the fourth signal is not activated.
  • the security device 510 may determine that the data related to the hack is not included in the fourth signal.
  • the security device 510 may block transmission of the fourth signal.
  • the security device 510 may block transmission of the fourth signal by translating an address included in the fourth signal.
  • the security device 510 may prevent a signal related to hacking from being spread within the electronic device 500.
  • FIG. 28 is a flowchart illustrating another operation of an apparatus for detecting a hack of an application area according to various embodiments of the present disclosure. This operation flow may be performed by the security device 510 shown in FIG. 5.
  • the operation in operation 2810 may correspond to the operation in operation 2710 illustrated in FIG. 27.
  • the security device 510 may discard the fourth signal.
  • the security device 510 may discard the fourth signal to maintain security of the electronic device 500.
  • 29 is a flowchart illustrating a signal flow of an electronic device that detects hacking of an application area according to various embodiments of the present disclosure. Such a signal flow may occur in the electronic device 500 illustrated in FIG. 5.
  • control device 210 may communicate with the storage device 220.
  • the control device 210 and the storage device 220 may communicate to execute an application installed in the electronic device 500.
  • the control device 210 and the storage device 220 may communicate to control the components included in the electronic device 500.
  • the control device 210 may transmit the fourth signal to the security device 510.
  • the fourth signal may be a signal to be transmitted to the peripheral device 520.
  • the fourth signal may be a signal for controlling the peripheral device 520.
  • the operation of step 2920 illustrates a case in which the control device 210 transmits the fourth signal to the peripheral device 520, but the same applies to the case in which the peripheral device 520 transmits the fourth signal to the control device 210. Can be applied.
  • the security device 510 may receive the fourth signal from the control device 210.
  • the security device 510 may detect whether the fourth signal activates a device not related to the fourth signal. For example, when the control device 210 transmits the fourth signal to the detection device 240 in response to the execution of a chat app without a camera function, the security device 510 determines that the fourth signal is a signal related to hacking. can do. In contrast, when the control device 210 transmits the fourth signal to the input / output device 250 in response to the execution of a chat app without a camera function, the security device 510 determines that the fourth signal is not a hacking related signal. It can be determined.
  • the security device 510 may transmit the fourth signal to the peripheral device 520.
  • the security device 510 may block transmission of the fourth signal.
  • the security device 510 may block transmission of the fourth signal by translating an address included in the fourth signal.
  • the security device 510 may transmit a warning message display command to the display device 260.
  • the display device 260 may receive the warning message display command from the security device 510.
  • the display device 260 may display a warning message.
  • the user of the electronic device 500 may recognize that a hacking attack is detected in the electronic device 500.
  • the user of the electronic device 500 may recognize that a specific signal is blocked in the electronic device 500.
  • the specific signal may be a signal related to hacking.
  • the security device 510 may maintain security of the electronic device 500.
  • the security device 510 may detect a hacking attack on an area of an application of the electronic device 500.
  • the security device 510 may respond in real time to a hacking attack on an area of an application of the electronic device 500.
  • a method of operating a device may include detecting whether a first signal transmitted from a control device to a storage device includes a designed address, and wherein the first signal is specified. And including an address, transmitting a second signal to the control device, wherein the first signal may be a signal for the control device to request data from the storage device, and the second signal
  • the signal generated from the first signal may be a signal for detecting whether or not uncommon data is included.
  • the method of operating the device may further include displaying, on the display device, a warning message including information on the first signal when the first signal includes the designated address.
  • the method of operating the device may further include detecting whether the third signal transmitted from the control device to the storage device includes an address for an immutable area, and the third signal is transmitted to the constant area.
  • the method may further include the step of translating the address of the third signal to block transmission to the storage device, wherein the third signal is for writing to the storage device by the control device. May contain data.
  • the method of operating the device may further include displaying, on the display device, a warning message including information on the third signal when the third signal includes an address for the constant region.
  • the method of operating the device may discard the third signal when the third signal includes an address for the constant region.
  • the method of operating the device may further include: recording data of the third signal based on an address included in the third signal transmitted from the control device to the storage device; and whether the recorded data is updated.
  • the method may further include displaying a warning message on the display device when the changed data or a signal related to the changed data is detected.
  • the method of operating the device may further include detecting whether a fourth signal between the control device and another device includes data for activating a device not related to the fourth signal, and the fourth signal being the If the data includes data for activating a device not related to the fourth signal, the method may further include blocking the transmission of the fourth signal. The method of operating the device may discard the fourth signal when the fourth signal includes data for activating a device not related to the fourth signal.
  • a computer-readable storage medium for storing one or more programs (software modules) may be provided.
  • One or more programs stored in a computer readable storage medium are configured for execution by one or more processors in an electronic device.
  • One or more programs include instructions that cause an electronic device to execute methods in accordance with embodiments described in the claims or specifications of this disclosure.
  • Such programs may include random access memory, non-volatile memory including flash memory, read only memory (ROM), and electrically erasable programmable ROM.
  • EEPROM Electrically Erasable Programmable Read Only Memory
  • magnetic disc storage device compact disc ROM (CD-ROM), digital versatile discs (DVDs) or other forms
  • CD-ROM compact disc ROM
  • DVDs digital versatile discs
  • It can be stored in an optical storage device, a magnetic cassette. Or, it may be stored in a memory composed of some or all of these combinations.
  • each configuration memory may be included in plural.
  • the program may be configured through a communication network such as the Internet, an intranet, a local area network (LAN), a wide area network (WLAN), or a storage area network (SAN), or a combination thereof. It may be stored in an attachable storage device that is accessible. Such a storage device may be connected to a device that performs an embodiment of the present disclosure through an external port. In addition, a separate storage device on a communication network may be connected to a device that performs an embodiment of the present disclosure.
  • a communication network such as the Internet, an intranet, a local area network (LAN), a wide area network (WLAN), or a storage area network (SAN), or a combination thereof. It may be stored in an attachable storage device that is accessible. Such a storage device may be connected to a device that performs an embodiment of the present disclosure through an external port.
  • a separate storage device on a communication network may be connected to a device that performs an embodiment of the present disclosure.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)
  • Computing Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

다양한 실시 예들에 따른 장치(apparatus)의 동작 방법은, 제어 장치에서 저장 장치로 송신되는 제1 신호가 지정된(designated) 주소를 포함하는지 여부를 검출하는 동작과, 상기 제1 신호가 상기 지정된 주소를 포함하는 경우, 제2 신호를 상기 제어 장치에게 송신하는 동작을 포함할 수 있고, 상기 제1 신호는, 상기 제어 장치가 상기 저장 장치에게 데이터를 요청하는 신호일 수 있고, 상기 제2 신호는, 상기 제1 신호로부터 생성된 신호에 이상(uncommon) 데이터가 포함되었는지 여부를 검출하기 위한 신호일 수 있다.

Description

전자 장치를 보호하기 위한 장치 및 방법
아래의 실시 예들은 전자 장치의 보호에 관한 것이다.
최근 디지털 기술의 발달과 함께 이동통신 단말기, 스마트 폰(smart phone), 테블릿(tablet) PC(Personal Computer), PDA(Personal Digital Assistant), 전자수첩, 노트북(notebook) 또는 웨어러블 디바이스(wearable device) 등과 같은 다양한 유형의 전자 장치가 널리 사용되고 있다. 상기 전자 장치는, 다른 장치들의 기능까지 아우르는 모바일 컨버전스(mobile convergence) 단계에 이르고 있다. 예를 들어, 전자 장치는 음성통화 및 영상통화 등과 같은 통화 기능, SMS(Short Message Service)/MMS(Multimedia Message Service) 및 전자 메일(e-mail) 등과 같은 메시지 송수신 기능, 전자수첩 기능, 촬영 기능, 방송 재생 기능, 동영상 재생 기능, 음악 재생 기능, 인터넷 기능, 메신저 기능, 게임 기능, 또는 소셜 네트워크 서비스(SNS, Social Networking Service) 기능 등을 제공할 수 있다.
아래의 실시 예들은, 전자 장치를 대상으로 발생되는 공격으로부터 상기 전자 장치를 보호하는 장치 및 방법을 제공하기 위한 것이다.
다양한 실시 예들에 따른 장치(apparatus)는, 송수신부와, 상기 송수신부와 동작적으로 결합된 제어부를 포함할 수 있고, 상기 제어부는, 제어 장치에서 저장 장치로 송신되는 제1 신호가 지정된 주소를 포함하는지 여부를 검출하도록 구성되고, 상기 제1 신호가 상기 지정된 주소를 포함하는 경우, 제2 신호를 상기 제어 장치에게 송신하도록 구성되며, 상기 제1 신호는, 상기 제어 장치가 상기 저장 장치에게 데이터를 요청하는 신호일 수 있고, 상기 제2 신호는, 상기 제1 신호로부터 생성된 신호에 이상 데이터가 포함되었는지 여부를 검출하기 위한 신호일 수 있다.
다양한 실시 예들에 따른 장치의 동작 방법은, 제어 장치에서 저장 장치로 송신되는 제1 신호가 지정된 주소를 포함하는지 여부를 검출하는 동작과, 상기 제1 신호가 상기 지정된 주소를 포함하는 경우, 제2 신호를 상기 제어 장치에게 송신하는 동작을 포함할 수 있고, 상기 제1 신호는, 상기 제어 장치가 상기 저장 장치에게 데이터를 요청하는 신호일 수 있고, 상기 제2 신호는, 상기 제1 신호로부터 생성된 신호에 이상 데이터가 포함되었는지 여부를 검출하기 위한 신호일 수 있다.
다양한 실시 예들에 따른 장치(apparatus) 및 그의 동작 방법은, 다양한 공격으로부터 전자 장치를 보호할 수 있다.
본 개시에 대한 보다 완전한 이해를 위해 첨부된 도면을 참조하여 아래의 상세한 설명이 이뤄진다. 도면에서 동일한 참조번호는 동일한 구성 요소를 나타낸다.
도 1은 전자 장치의 동작 환경을 도시한다.
도 2는 다양한 기능을 수행하는 전자 장치의 기능적 블록 구성을 도시한다.
도 3은 소프트웨어를 이용한 보안 기술의 구조를 도시한다.
도 4는 하드웨어를 이용한 보안 기술의 구조를 도시한다.
도 5는 다양한 실시 예들에 따른 전자 장치의 기능적 블록 구성을 도시한다.
도 6은 다양한 실시 예들에 따른 보안 장치의 기능적 블록 구성을 도시한다.
도 7은 다양한 실시 예들에 따른 전자 장치의 하드웨어 구성을 도시한다.
도 8은 다양한 실시 예들에 따른 신호를 통해 해킹을 감지하는 전자 장치의 하드웨어 구성을 도시한다.
도 9는 다양한 실시 예들에 따른 신호에 따른 동작 패턴을 통해 해킹을 감지하는 전자 장치의 하드웨어 구성을 도시한다.
도 10은 다양한 실시 예들에 따른 데이터 패턴을 통해 해킹을 감지하는 예를 도시한다.
도 11은 다양한 실시 예들에 따른 신호를 통해 해킹을 예측하는 전자 장치의 하드웨어 구성을 도시한다.
도 12는 다양한 실시 예들에 어플리케이션 영역의 신호를 통해 해킹을 감지하는 전자 장치의 하드웨어 구성을 도시한다.
도 13은 다양한 실시 예들에 따른 어플리케이션 영역의 신호의 예를 도시한다.
도 14는 다양한 실시 예들에 따른 어플리케이션 영역의 신호를 통해 해킹을 감지하는 전자 장치의 다른 하드웨어 구성을 도시한다.
도 15는 다양한 실시 예들에 따른 해킹을 감지하는 전자 장치의 동작 예를 도시한다.
도 16은 다양한 실시 예들에 따른 보안 장치가 자동차에 장착된 예를 도시한다.
도 17은 다양한 실시 예들에 따른 장치의 동작을 도시한 흐름도이다.
도 18은 다양한 실시 예들에 따른 해킹을 예측하는 장치의 동작을 도시한 흐름도이다.
도 19는 다양한 실시 예들에 따른 해킹을 예측하여 경고 메시지를 표시하는 장치의 동작을 도시한 흐름도이다.
도 20은 다양한 실시 예들에 따른 해킹을 예측하는 전자 장치의 신호 흐름을 도시한다.
도 21은 다양한 실시 예들에 따른 신호를 통해 해킹을 감지하는 장치의 동작을 도시한 흐름도이다.
도 22는 다양한 실시 예들에 따른 신호를 통해 해킹을 감지하는 장치의 다른 동작을 도시한 흐름도이다.
도 23은 다양한 실시 예들에 따른 신호를 통해 해킹을 감지하는 전자 장치의 신호 흐름을 도시한다.
도 24는 다양한 실시 예들에 따른 신호에 대응하는 동작을 통해 해킹을 감지하는 장치의 동작을 도시한 흐름도이다.
도 25는 다양한 실시 예들에 따른 신호에 대응하는 동작을 통해 해킹을 감지하는 장치의 다른 동작을 도시한 흐름도이다.
도 26을 다양한 실시 예들에 따른 해킹을 감지하는 전자 장치의 다른 신호 흐름을 도시한다.
도 27을 다양한 실시 예들에 따른 어플리케이션 영역의 해킹을 감지하는 장치의 동작을 도시한 흐름도이다.
도 28은 다양한 실시 예들에 따른 어플리케이션 영역의 해킹을 감지하는 장치의 다른 동작을 도시한 흐름도이다.
도 29는 다양한 실시 예들에 따른 어플리케이션 영역의 해킹을 감지하는 전자 장치의 신호 흐름을 도시한다.
이하, 다양한 실시 예가 첨부된 도면을 참조하여 기재된다. 그러나 이는 본 개시에 기재된 기술을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 개시의 실시 예의 다양한 변경(modifications), 균등물(equivalents), 및/또는 대체물(alternatives)을 포함하는 것으로 이해되어야 한다. 도면의 설명과 관련하여, 유사한 구성 요소에 대해서는 유사한 참조 부호가 사용될 수 있다.
본 개시에서 사용된 용어들은 단지 특정한 실시 예를 설명하기 위해 사용된 것으로, 다른 실시 예의 범위를 한정하려는 의도가 아닐 수 있다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함할 수 있다. 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 용어들은 본 개시에 기재된 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가질 수 있다. 본 개시에 사용된 용어들 중 일반적인 사전에 정의된 용어들은, 관련 기술의 문맥상 가지는 의미와 동일 또는 유사한 의미로 해석될 수 있으며, 본 개시에서 명백하게 정의되지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다. 경우에 따라서, 본 개시에서 정의된 용어일지라도 본 개시의 실시 예들을 배제하도록 해석될 수 없다.
이하 설명에서 이용되는 하드웨어 구성 요소를 지칭하는 용어, 구성 요소들 간 송수신되는 신호/데이터를 지칭하는 용어, 신호의 처리 동작을 지칭하는 용어 등은 설명의 편의를 위해 예시된 것이다. 본 개시가 후술되는 용어들에 한정되는 것은 아니며, 동등한 기술적 의미를 가지는 다른 용어가 이용될 수 있다.
다양한 실시 예들에 따른 전자 장치(electronic device)는, 예를 들면, 스마트폰(smartphone), 테블릿 PC(tablet personal computer), 이동 전화기(mobile phone), 영상 전화기, 전자책 리더기(e-book reader), 데스크탑 PC(desktop personal computer), 랩탑 PC(laptop personal computer), 넷북 컴퓨터(netbook computer), 워크스테이션(workstation), 서버, PDA(personal digital assistant), PMP(portable multimedia player), MP3 플레이어, 모바일 의료기기, 카메라(camera), 또는 웨어러블 장치(wearable device) 중 적어도 하나를 포함할 수 있다. 다양한 실시 예들에 따르면, 웨어러블 장치는 액세서리형(예: 시계, 반지, 팔찌, 발찌, 목걸이, 안경, 콘택트 렌즈, 또는 머리착용형 장치(HMD, head-mounted-device 등), 직물 또는 의류 일체형(예: 전자 의복), 신체 부착형(예: 스킨 패드(skin pad) 또는 문신), 또는 생체 이식형(예: implantable circuit) 중 적어도 하나를 포함할 수 있다.
이하에서 설명되는 본 개시의 다양한 실시 예들에서는 하드웨어적인 접근 방법을 예시로서 설명한다. 하지만, 본 개시의 다양한 실시 예들에서는 하드웨어와 소프트웨어를 모두 사용하는 기술을 포함하고 있으므로, 본 개시의 다양한 실시 예들이 소프트웨어 기반의 접근 방법을 제외하는 것은 아니다.
통신 기술의 발달로 가전 제품, 모바일 장치, 웨어러블 컴퓨터 등과 같은 다양한 임베디드 시스템(embedded system)에 통신기능이 내장되고 있다. 이에 따라, 통신 기능을 가지는 다양한 전자 장치(electronic device) 또는 임베디드 시스템들은 개인 정보의 보호, 금융 정보의 보호 등에 취약할 수 있다. 예를 들면, 스마트폰의 사용자는 스마트폰 내의 개인 정보를 탈취 당할 수 있고, 통신 기능이 탑재된 가전 제품의 사용자는 상위 네트워크에 대한 DDoS(denial of service attack) 공격에 노출될 수 있으며, IoT(internet of things) 조명기를 설치한 가정은 조명 ON/OFF 컨트롤 공격에 노출될 수 있다.
전자 장치에 대한 여러 해킹들을 방어하기 위한 방법은 하드웨어 보안 기술을 이용하는 방법과 소프트웨어 보안 기술을 이용하는 방법으로 나눌 수 있다. 상기 해킹은 전자 장치에 사용자의 허락 없이 침입하여 데이터를 추출하거나 손상시키는 모든 동작들을 포괄하는 용어일 수 있다. 상기 해킹은 사용자의 의도와는 다르게 전자 장치를 동작하도록 하는 모든 동작들을 포괄하는 용어일 수 있다. 상기 해킹은 상기 전자 장치가 지정되지 않은 동작을 수행하도록 하는 모든 동작들을 포괄하는 용어일 수 있다.
소프트웨어를 이용한 보안 기술은 일반적으로 시스템 콜(system call)에 대한 정보를 기록하고, 상기 기록을 분석하여 보안을 유지할 수 있다. 상기 시스템 콜은 어플리케이션에 의해 발생되는 신호일 수 있다. 상기 시스템 콜은 상기 전자 장치에 설치(install)된 운영 체제(OS, operating system)를 통해 상기 전자 장치 내의 여러 구성 요소들에게 전달될 수 있다. 소프트웨어를 이용한 보안 기술은 감지 대상이 시스템 콜로 한정된다는 문제점을 가질 수 있다. 또한, 소프트웨어를 이용한 보안 기술은 감지 대상이 어플리케이션으로 한정된다는 문제점을 가질 수 있다.
하드웨어를 이용한 보안 기술은 일반적으로 처리 장치와 저장 장치에 연결된 보안 장치를 이용하여 발생되는 메모리 트래픽(traffic)을 모니터링하여 보안을 유지할 수 있다. 하드웨어를 이용한 보안 기술은 해킹 발생 이후에 해킹을 감지할 수 있다는 문제점을 가질 수 있다. 하드웨어를 이용한 보안 기술은 감지 영역을 유연하게 확장할 수 없다는 문제점을 가질 수 있다. 하드웨어를 이용한 보안 기술은 감지 대상이 OS로 한정될 수 있다는 문제점을 가질 수 있다.
다양한 실시 예들에 따른 장치(apparatus)는 해킹을 예측할 수 있다. 상기 장치는 하드웨어를 통해 상기 전자 장치에 대한 해킹을 실시간으로 감지할 수 있다. 상기 장치는 유연한 관리를 통해 상기 전자 장치에 대한 다양한 공격들을 감지할 수 있다. 상기 장치는 성능의 저하 없이 상기 장치를 포함하는 전자 장치에 대한 해킹에 대응할 수 있다. 상기 장치는 OS 영역에 대한 해킹 뿐만 아니라, 어플리케이션 영역에 대한 해킹도 감지할 수 있다.
상기 장치는 전자 장치에 대한 해킹을 예측할 수 있다. 상기 장치는 읽기(read) 신호를 분석하여 해킹을 예측할 수 있다. 상기 읽기 신호는 제어 장치가 저장 장치에게 요청하는 데이터를 포함할 수 있다. 상기 읽기 신호는 상기 저장 장치에서 상기 제어 장치로 전송될 수 있다. 상기 장치는 상기 읽기 신호에 포함된 일련의 명령어(instruction) 정보를 분석하여 해킹 발생 이전에 해킹을 예측할 수 있다. 예를 들면, 상기 장치는 해킹과 관련된다고 의심되거나 해킹이 발생하기 용이하다고 판단되는 읽기 신호를 검출할 수 있다. 상기 장치는 상기 읽기 신호를 추적하여 상기 전자 장치에 대한 해킹을 예측할 수 있다.
상기 장치는 상기 전자 장치에 대한 해킹을 검출할 수 있다. 상기 장치는 상기 전자 장치 내의 신호들을 분석하여 OS 영역에 대한 해킹 뿐만 아니라, 어플리케이션 영역에 대한 해킹도 검출할 수 있다. 예를 들면, 상기 장치는 쓰기(write) 신호를 분석하여 해킹을 예측할 수 있다. 상기 쓰기 신호는 상기 제어 장치가 상기 저장 장치에 기록하기를 원하는 데이터를 포함할 수 있다. 상기 쓰기 신호는 상기 제어 장치에서 상기 저장 장치로 송신될 수 있다. 상기 장치는 OS에서 이용 중인 메모리 영역에 대한 쓰기 신호를 분석하여 OS 영역의 해킹을 실시간으로 감지할 수 있다. 다른 예를 들면, 상기 장치는 상기 제어 장치와 하드웨어 장치들 사이의 송수신 정보와 어플리케이션 정보를 분석하여 해킹을 검출할 수 있다. 상기 하드웨어 장치들은 직접 또는 간접적으로 상기 제어 장치와 통신하는 장치일 수 있다. 상기 하드웨어 장치들은 상기 제어 장치가 동작을 제어할 수 있는 장치일 수 있다. 상기 하드웨어 장치는 통신 장치(예를 들면, NIC(network interface card), Wi-Fi 모듈 등), 저장 장치(예를 들면, DRAM(dynamic random access memory), SD(secure digital) 카드 등), 센서 장치(예를 들면, GPS(global positioning system), 자이로스코프(gyroscope) 등), 입출력 장치(예를 들면, 디스플레이, 키보드, 터치패드, 터치스크린 등) 등일 수 있다. 상기 장치는 실행 중인 어플리케이션에서 접근이 허용되지 않은 하드웨어 장치에 대한 통신 또는 제어가 발생되는 경우, 이를 해킹으로 판단하여 실시간으로 해킹 공격을 감지할 수 있다. 상기 장치는 접근 가능한 하드웨어 장치 사이의 연관성을 확인하여, 해킹을 감지할 수 있다. 서로 연관성이 없거나 같이 이용되면 안되는 복수의 하드웨어 장치가 동시에 이용되는 경우, 또는 하드웨어 장치를 이용해서는 안되는 상황인데도 불구하고 상기 하드웨어 장치를 이용하려고 하는 경우, 상기 장치는 이를 해킹으로 판단하여 해킹 공격을 감지할 수 있다.
상기 장치는 상기 검출된 해킹에 대하여 대응 방법을 제공할 수 있다. 해킹이 검출된 경우, 상기 장치는 상기 해킹에 대한 대응 방법을 결정할 수 있다. 상기 대응 방법은 하드웨어를 제어하여 대응하는 방법을 포함할 수 있다. 상기 대응 방법은 상기 해킹 공격과 관련된 어플리케이션을 제어하여 대응하는 방법을 포함할 수 있다. 예를 들면, 상기 장치는 상기 검출된 해킹과 관련된 명령어, 데이터, 또는 신호의 전송을 차단할 수 있다. 다른 예를 들면, 상기 장치는 상기 검출된 해킹과 관련된 명령어, 데이터, 또는 신호를 폐기할 수 있다. 또 다른 예를 들면, 사용자가 상기 해킹을 인지할 수 있도록, 상기 장치는 해킹이 발생되었음을 출력 장치(예를 들면, 표시 장치)에 표시할 수 있다.
도 1은 전자 장치의 동작 환경을 도시한다.
상기 도 1을 참조하면, 전자 장치 100은 유선 또는 무선 경로를 통해 서비스 제공 서버 130 또는 어플리케이션 제공 서버 160 등과 통신할 수 있다.
상기 전자 장치 100은 휴대폰(mobile phone), 스마트 폰(smart phone), 개인 정보 단말기(PDA, personal digital assistant), 휴대용 멀티미디어 플레이어(PMP, portable multimedia player), 디지털 카메라(digital camera), 음악 재생기(music player), 휴대용 게임 콘솔(portable game console), 네비게이션(navigation) 시스템, 랩탑 컴퓨터(laptop computer) 등과 같은 임의의 모바일 시스템일 수 있다. 또한, 상기 전자 장치 100은 MIC(machine type communication)을 지원하는 비-이동 장치, PC(personal computer) 등과 같은 고정된 시스템일 수 있다.
상기 전자 장치 100은 어플리케이션 또는 서비스 유저 인터페이스(UI, user interface)를 제공받기 위해 어플리케이션 제공 서버 160과 통신할 수 있다. 예를 들면, 상기 전자 장치 100은 상기 어플리케이션 제공 서버 160에게 어플리케이션을 요청할 수 있다. 상기 어플리케이션의 요청에 대응하여, 상기 어플리케이션 제공 서버 160은 상기 전자 장치 100에게 어플리케이션 또는 서비스 UI를 제공할 수 있다.
상기 전자 장치 100은 서비스를 제공받기 위해 상기 서비스 제공 서버 130과 통신할 수 있다. 예를 들면, 상기 전자 장치 100은 상기 전자 장치 100에 설치(install)된 서비스 UI를 통해 상기 서비스 제공 서버 130에게 서비스를 요청할 수 있다. 상기 서비스의 요청에 대응하여, 상기 서비스 제공 서버 130은 상기 전자 장치 100에게 서비스를 제공할 수 있다. 다른 예를 들면, 상기 전자 장치 100은 상기 전자 장치 100에 설치된 어플리케이션을 통해 상기 서비스 제공 서버 130에게 서비스를 요청할 수 있다. 상기 서비스의 요청에 대응하여, 상기 서비스 제공 서버 130은 상기 전자 장치 100에게 서비스를 제공할 수 있다.
상기 도 1에 도시된 예시와 같이, 전자 장치 100은 통신 기능을 포함할 수 있다. 통신 기능을 가지는 전자 장치 100은 사용자에게 편의를 제공할 수 있다. 하지만 통신 기능을 가지는 전자 장치 100은 다양한 종류의 해킹 공격에 쉽게 노출될 수 있다.
도 2는 다양한 기능을 수행하는 전자 장치의 기능적 블록 구성을 도시한다. 상기 도 2에 예시된 블록 구성은 상기 도 1에 도시된 전자 장치 100에 포함될 수 있다.
상기 도 2를 참조하면, 상기 전자 장치 100은 제어 장치 210, 저장 장치 220, 통신 장치 230, 감지 장치 240, 입출력 장치 250, 표시 장치 260을 포함할 수 있다.
상기 제어 장치 210은 상기 전자 장치 100의 전반적인 동작을 제어할 수 있다. 상기 전자 장치 100은 인터넷 브라우저, 게임, 동영상 등을 제공하는 어플리케이션을 실행할 수 있다. 실시 예에 따라, 상기 제어 장치 210은 하나의 프로세서 코어(single core)를 포함하거나, 복수의 프로세서 코어들(multi-core)를 포함할 수 있다. 예를 들어, 상기 제어 장치 210은 듀얼 코어(dual-core), 쿼드 코어(quad-core), 헥사 코어(hexa-core) 등의 멀티 코어들을 포함할 수 있다. 실시 예에 따라, 상기 제어 장치 210은 내부 또는 외부에 위치한 캐시 메모리(cache memory)를 더 포함할 수 있다.
상기 저장 장치 220은 상기 전자 장치 210을 제어하는 제어 명령어 코드, 제어 데이터, 또는 사용자 데이터를 저장할 수 있다. 상기 저장 장치 220은 휘발성 메모리(volatile memory) 또는 불휘발성 메모리(nonvolatile memory) 중 적어도 하나를 포함할 수 있다. 불휘발성 메모리는 ROM(read only memory), PROM(programmable ROM), EPROM(electrically Programmable ROM), EEPROM(electrically erasable ROM), 플래시 메모리, PRAM(phase-change RAM), MRAM(magnetic RAM), RRAM(resistive RAM), FRAM(ferroelectric RAM) 등을 포함할 수 있다. 휘발성 메모리는 DRAM(dynamic RAM), SRAM(static RAM), SDRAM(synchronous DRAM), PRAM(phase-change RAM), MRAM(magnetic RAM), RRAM(resistive RAM), FeRAM(ferroelectric RAM) 등과 같은 다양한 메모리들 중 적어도 하나를 포함할 수 있다.
상기 저장 장치 220은 하드 디스크 드라이브(HDD, hard disk drive), 솔리드 스테이트 디스크(SSD, solid state disk), eMMC(embedded multi media card), UFS(universal flash storage)와 같은 불휘발성 매체를 포함할 수 있다. 상기 저장 장치 220은 상기 입출력 장치 250을 통해 제공되는 사용자의 정보 및 상기 감지 장치 240을 통해 수집된 센싱(sensing) 정보들을 저장할 수 있다.
상기 통신 장치 230은 송신부(transceiver) 및/또는 수신부(receiver)를 포함할 수 있다. 상기 전자 장치 100은 상기 송신부 및/또는 수신부를 통하여 다른 장치들(예를 들면, 게이트웨이, 액세스 포인트, 기지국, 단말 등)으로부터 정보를 수신할 수 있다. 상기 전자 장치 100은 상기 송신부 및/또는 수신부를 통하여 다른 장치들에게 정보를 송신할 수 있다.
상기 감지 장치 240은 외부의 정보들을 감지하는 센서일 수 있다. 예를 들면, 상기 감지 장치 240은 이미지 센서일 수 있다. 상기 감지 장치 240은 상기 제어 장치 210과 연결되어, 생성된 이미지 정보를 상기 제어 장치 210으로 전송할 수 있다. 다른 예를 들면, 상기 감지 장치 240은 신체 정보(biometric information)을 감지하는 바이오 센서일 수 있다. 상기 감지 장치 240은 지문, 홍채 패턴, 심박수, 혈당 등을 감지하고, 감지된 정보에 상응하는 센싱 데이터를 생성하여 상기 제어 장치 210에게 제공할 수 있다. 상기의 예시 뿐 아니라, 상기 감지 장치 240은 카메라, 조도(illuminance) 센서, 음향 센서 가속도 센서 등과 같은 임의의 센서일 수 있다.
상기 입출력 장치 250은 터치패드, 키패드, 입력 버튼 등과 같은 입력 수단 및 스피커 등과 같은 출력 수단을 포함할 수 있다. 상기 입출력 장치 250은 상기 전자 장치 100의 입력을 감지할 수 있다. 상기 입출력 장치 250은 손가락 및 펜의 터치 또는 호버링(hovering) 입력을 감지할 수 있다.
상기 표시 장치 260은 상기 제어 장치 210에 의해 가공된 영상 신호를 표시할 수 있다. 상기 표시 장치 260은 캡쳐(capture) 또는 스틸(still) 이미지를 표시할 수 있고, 동영상 또는 카메라 프리뷰(preview) 이미지를 표시할 수 있다. 상기 표시 장치 260은 LCD(liquid crystal display) 또는 OLED(organic light emitting diode)일 수 있다.
상기 입출력 장치 250과 상기 표시 장치 260은 일체형의 터치 스크린(touch screen)으로 구성될 수도 있다.
도 3은 소프트웨어를 이용한 보안 기술의 구조를 도시한다. 상기 도 3에 예시된 구조는 상기 도 1에 도시된 상기 전자 장치 100에 의해 수행될 수 있다.
상기 도 3을 참조하면, 사용자는 310 단계에서, 상기 전자 장치 100에 설치된 사용자 어플리케이션(user application) 을 실행할 수 있다. 상기 사용자의 제어에 따라, 상기 사용자 어플리케이션은 시스템 콜을 발생시킬 수 있다. 실시 예에 따라, 상기 사용자 어플리케이션은 320 단계에서와 같이 라이브러리(library)를 통해 상기 시스템 콜을 발생시킬 수 있다. 상기 라이브러리는 상기 사용자 어플리케이션을 위한 제어 정보, 명령어, 데이터 등을 포함할 수 있다. 상기 전자 장치 100이 소프트웨어를 이용한 보안 기술을 이용하지 않는 경우, 상기 전자 장치 100은 330 단계에서 시스템 콜을 활성화할 수 있다.
340 단계에서, 상기 전자 장치 100은 소프트웨어를 이용한 보안 기술의 적용을 위해 상기 시스템 콜을 일시적으로 차단(intercept)할 수 있다. 350 단계에서, 상기 전자 장치 100은 보안 기술의 적용을 위해 상기 차단된 시스템 콜을 기록(logging)할 수 있다. 360-1 단계에서, 상기 전자 장치 100은 상기 기록된 시스템 콜에 해킹과 관련된 데이터 등이 포함되어 있는지 여부를 분석(analysis)할 수 있다. 상기 기록된 시스템 콜의 분석은 상기 전자 장치 100의 내부에서 수행될 수 있다. 실시 예에 따라, 360-2 단계에서, 상기 기록된 시스템 콜의 분석은 상기 전자 장치 100의 외부(예를 들면, 서버 등)에서 수행될 수 있다. 시스템 콜은 360-1 단계에 같이 상기 전자 장치 100에 의해 분석되거나 360-2 단계와 같이 상기 서버에 의해 분석될 수 있다.
상기 330 단계에서, 상기 기록된 시스템 콜에서 해킹과 관련된 데이터가 검출되지 않은 경우, 상기 전자 장치 100은 상기 시스템 콜의 처리를 위한 동작을 수행할 수 있다.
370 단계에서, 상기 시스템 콜은 커널(kernel)을 통해 전달될 수 있다. 상기 커널은 상기 전자 장치 100에 설치된 OS의 영역을 의미할 수 있다.
380 단계에서, 상기 시스템 콜은 장치 드라이버(device driver) 등에 제공될 수 있다. 상기 장치 드라이버는 상기 시스템 콜에 대응하는 동작들을 수행할 수 있다.
상기 도 3에 도시된 바와 같이, 소프트웨어를 이용한 보안 기술은 상기 340 단계와 같은 시스템 콜의 차단 동작, 상기 350 단계와 같은 기록 동작, 상기 360 단계와 같은 분석 동작을 포함할 수 있다. 이러한 동작들을 포함하는 소프트웨어를 이용한 보안 기술은 어플리케이션 등의 성능을 저하시킬 수 있다. 또한, 이러한 동작들을 포함하는 소프트웨어를 이용한 보안 기술은 어플리케이션의 실행 속도를 저하시킬 수 있다. 또한, 소프트웨어를 이용한 보안 기술은 감지 대상이 어플리케이션으로 한정될 수 있다는 문제점을 가질 수 있다.
도 4는 하드웨어를 이용한 보안 기술의 구조를 도시한다. 상기 도 4에 예시된 구조는 상기 도 1에 도시된 상기 전자 장치 100에 의해 수행될 수 있다.
상기 도 4를 참조하면, 하드웨어를 이용한 보안 기술을 수행하는 전자 장치는 보안 장치 410을 포함할 수 있다. 상기 보안 장치 410은 상기 도 2에 도시된 상기 제어 장치 210와 상기 저장 장치 220 간의 신호를 모니터링할(monitoring) 수 있다. 상기 보안 장치 410은 상기 모니터링된 신호를 분석할 수 있다.
하드웨어를 이용한 보안 기술의 경우, 상기 도 3에서 예시한 소프트웨어를 이용한 보안 기술과 달리, 시스템 콜을 차단하는 동작, 기록하는 동작, 분석하는 동작을 수행하지 않을 수 있다. 이러한 측면에서, 하드웨어를 이용한 보안 기술은 어플리케이션의 성능 저하, 어플리케이션의 실행 속도 저하 등을 발생시키지 않을 수 있다. 하지만, 하드웨어를 이용한 보안 기술은 감지 대상이 OS 영역으로 한정될 수 있다. 또한, 하드웨어를 이용한 보안 기술은 감지 대상을 유연하게 확장할 수 없다. 또한, 하드웨어를 이용한 보안 기술은 해킹 발생 이후 사후 대처만이 가능할 수 있다.
상기 도 3 및 상기 도 4에 예시된 보안 기술을 적용한 전자 장치와 달리, 다양한 실시 예들에 따른 장치는 성능 저하를 발생시키지 않고 전자 장치를 보호할 수 있다. 또한, 상기 장치는 해킹이 발생하기 이전에 해킹을 예측할 수 있다. 또한, 상기 장치는 OS 영역 뿐만 아니라 어플리케이션 영역에 대하여도 모니터링을 수행하여 해킹 감지 영역을 확장시킬 수 있다. 또한, 상기 장치는 다양한 종류의 해킹들에 대하여 유연하게 대처할 수 있다.
도 5는 다양한 실시 예들에 따른 전자 장치의 기능적 블록 구성을 도시한다. 이하, 이용되는 용어 "장치"는 적어도 하나의 기능이나 동작을 처리하는 단위를 의미할 수 있다. 상기 용어 "장치"는 하드웨어나 소프트웨어, 또는 하드웨어 및 소프트웨어의 결합으로 구현될 수 있다. 하드웨어로 구현되는 경우. 상기 용어 "장치"는 "회로(circuitry)"로 지칭될 수 있다.
상기 도 5를 참조하면, 전자 장치 500은 상기 도 2에 도시된 상기 제어 장치 210, 상기 저장 장치 220, 보안 장치 510, 주변 장치(들) 520을 포함할 수 있다. 상기 주변 장치 520은 도 2에 예시된 상기 통신 장치 230, 상기 감지 장치 240, 상기 입출력 장치 250, 상기 표시 장치 260 등을 포함할 수 있다. 상기 제어 장치 210, 상기 저장 장치 220, 상기 주변 장치 520(예를 들면, 상기 통신 장치 230, 상기 감지 장치 240, 상기 입출력 장치 250, 상기 표시 장치 260)등은 상기 도 2에서 예시된 기능들을 수행할 수 있다. 또한, 상기 제어 장치 210, 상기 저장 장치 220, 상기 주변 장치 520(예를 들면, 상기 통신 장치 230, 상기 감지 장치 240, 상기 입출력 장치 250, 상기 표시 장치 260 등)은 상기 도 2에서 예시된 방식들로 구현될 수 있다.
상기 전자 장치 500의 다른 구성 요소들(예를 들면, 상기 저장 장치 220, 상기 주변 장치 520 등)은 다양한 종류의 신호들을 발생시킬 수 있다. 예를 들면, 상기 신호는 요청 신호일 수 있고, 응답 신호일 수 있다. 상기 신호는 주소(address)를 포함할 수 있다. 상기 주소는 신호를 발생 시킨 주체(예를 들면, 상기 전자 장치 500의 구성 요소)를 지시할 수 있다. 상기 주소는 신호가 수신되는 주체를 지시할 수 있다.
상기 제어 장치 210은 상기 전자 장치 500에 설치된 OS 및/또는 어플리케이션에 대한 제어를 수행할 수 있다. 예를 들면, 상기 제어 장치 210은 상기 OS 및/또는 어플리케이션으로부터 발생되는 시스템 콜에 따라 상기 전자 장치 100의 다른 구성 요소들을 제어할 수 있다.
상기 제어 장치 210은 상기 OS 및/또는 어플리케이션을 실행할 수 있다. 예를 들면, 상기 제어 장치 210은 상기 감지 장치 240, 또는 상기 입출력 장치 250으로부터 수신된 신호 또는 데이터에 기반하여 상기 OS 및/또는 어플리케이션을 실행할 수 있다.
상기 제어 장치 210은 상기 OS 및/또는 상기 어플리케이션에서 생성되거나 발생되는 데이터 또는 신호를 처리할 수 있다. 예를 들면, 상기 제어 장치 210은 상기 OS 또는 상기 어플리케이션을 위해 상기 저장 장치 220에게 데이터 또는 신호를 요청할 수 있다. 상기 제어 장치 210은 상기 OS 또는 상기 어플리케이션을 위해 상기 저장 장치 220에 데이터 또는 신호를 기록(또는 저장)하거나 갱신할 수 있다.
상기 저장 장치 220은 상기 전자 장치 500의 다른 구성 요소들을 위한 데이터, 명령어 등을 저장할 수 있다. 상기 저장 장치 220은 상기 전자 장치 500에 설치된 프로그램 및/또는 모듈을 위한 데이터, 명령어 등을 저장할 수 있다. 예를 들면, 상기 저장 장치 220은 상기 전자 장치 500에 설치된 OS 및/또는 어플리케이션에 대한 데이터, 명령어 등을 저장할 수 있다.
상기 저장 장치 220은 상기 전자 장치 500의 다른 구성 요소들로부터 요청 신호를 수신할 수 있다.
상기 요청 신호는 상기 저장 장치 220에 저장된 데이터 또는 명령어를 제공해 줄 것을 요청하는 신호일 수 있다. 예를 들어, 상기 제어 장치 210이 상기 저장 장치 220에게 데이터를 요청하는 경우, 상기 저장 장치 220은 읽기(read) 신호를 상기 제어 장치 210에게 제공할 수 있다. 상기 읽기 신호는 상기 제어 장치 210이 요청한 데이터를 포함하는 신호일 수 있다.
상기 요청 신호는 상기 저장 장치 220에 저장된 데이터 또는 명령어를 갱신할 것을 요청하는 신호일 수 있다. 상기 요청 신호는 상기 저장 장치 220에 저장되길 원하는 데이터 또는 명령어를 제공하는 신호일 수 있다. 예를 들면, 상기 저장 장치 220은 상기 제어 장치 210으로부터 쓰기 신호를 수신할 수 있다. 상기 쓰기 신호는 상기 제어 장치 210이 상기 저장 장치 220에 저장하고자 하는 데이터를 포함할 수 있다. 상기 쓰기 신호는 상기 데이터를 저장할 상기 저장 장치 220 상의 주소를 포함할 수 있다. 상기 쓰기 신호는 상기 데이터를 전달하는 신호 및 상기 주소를 전달하는 신호의 조합일 수 있다. 상기 쓰기 신호는 데이터를 포함하는 페이로드 및 주소를 포함하는 제어 정보를 포함하는 데이터 유닛의 형태일 수 있다.
상기 표시 장치 260은 상기 전자 장치 500에서 해킹이 발생되었음을 경고하는 메시지를 표시할 수 있다. 예를 들면, 상기 표시 장치 260은 상기 제어 장치 또는 상기 보안 장치 510으로부터 수신한 신호에 기반하여 경고 메시지를 표시할 수 있다.
상기 통신 장치 230, 상기 감지 장치 240, 상기 입출력 장치 250, 및/또는 상기 표시 장치 260은 상기 주변 장치 520으로 지칭될 수 있다.
상기 보안 장치 510은 상기 전자 장치 500에 대한 해킹을 감지할 수 있다. 예를 들면, 상기 보안 장치 510은 상기 전자 장치 500에 대한 해킹과 관련된 신호 또는 데이터를 검출할 수 있다.
상기 보안 장치 510은 상기 전자 장치 500에 대한 해킹을 예측할 수 있다. 예를 들면, 상기 보안 장치 510은 상기 전자 장치 500에서 생성되고, 변경되는 신호 또는 데이터 중에서 해킹에 취약할 수 있는 신호 또는 데이터를 특정할 수 있다. 해킹에 취약할 수 있는 신호 또는 데이터가 활성화되는 경우, 상기 보안 장치 510은 상기 신호 또는 데이터를 추적하기 위한 태그(tag) 신호를 생성할 수 있다. 해킹에 취약할 수 있는 신호 또는 데이터가 활성화되는 경우, 상기 보안 장치 510은 상기 신호 또는 데이터에 태그를 삽입할 수도 있다. 상기 보안 장치 510은 상기 생성된 태그 또는 태그 신호를 통해 해킹 발생 여부를 예측할 수 있다.
상기 보안 장치 510은 상기 전자 장치 500에서 발생한 해킹에 대한 대응 방법을 제공할 수 있다. 예를 들면, 상기 전자 장치 500에서 해킹이 발생한 경우, 상기 보안 장치 510은 상기 해킹과 관련된 데이터 또는 신호를 차단하여 상기 해킹에 대응할 수 있다. 다른 예를 들면, 상기 보안 장치 510은 상기 해킹과 관련된 데이터 또는 신호를 제거하여 상기 해킹에 대응할 수 있다. 또 다른 예를 들면, 상기 보안 장치 510은 상기 해킹과 관련된 데이터 또는 신호에 대한 정보를 포함하는 경고 메시지를 상기 표시 장치 260에 표시할 수 있다.
상기 보안 장치 510은 신호 검출부, 주소 변환부, 신호 생성부, 데이터 기록부, 임시 저장부를 포함할 수 있다.
도 6은 다양한 실시 예들에 따른 보안 장치의 기능적 블록 구성을 도시한다. 이러한 블록 구성은 상기 도 5에 도시된 상기 보안 장치 510에 포함될 수 있다.
상기 도 6을 참조하면, 상기 보안 장치 510은 신호 검출부 610, 주소 변환부 620, 데이터 기록부 630, 임시 저장부 640, 신호 생성부 650을 포함할 수 있다.
상기 신호 검출부 610은 상기 제어 장치 210에서 상기 저장 장치 220으로 송신되는 읽기 요청 신호들 중에서 해킹에 취약한 읽기 요청 신호를 검출할 수 있다. 상기 신호 검출부 610은 읽기 요청 신호에 포함된 주소 및/또는 데이터에 기반하여 해킹에 취약한 읽기 요청 신호를 검출할 수 있다. 예를 들어, 읽기 요청 신호에 포함된 주소가 상기 통신 장치 230, 입출력 장치 250 등을 지시하는 경우, 상기 신호 검출부 610은 상기 읽기 요청 신호를 해킹에 취약한 읽기 요청 신호로 검출할 수 있다. 다른 예를 들어, 읽기 요청 신호에 의해 요청되는 데이터가 개인 정보, 또는 금융 정보에 대한 내용을 포함하고 있는 경우, 상기 신호 검출부 610은 상기 읽기 요청 신호를 해킹에 취약한 읽기 요청 신호로 검출할 수 있다. 상기 신호 검출부 610은 지정된 주소와 수신되는 읽기 요청 신호에 포함된 주소와 비교하여 해킹에 취약한 읽기 요청 신호를 검출할 수 있다. 이러한 읽기 요청 신호의 검출을 통해, 다양한 실시 예들에 따른 장치는 해킹을 예측할 수 있다.
상기 신호 검출부 610은 상기 저장 장치에게 제공되는 쓰기 신호들 중에서 해킹과 관련된 쓰기 신호를 검출할 수 있다. 예를 들면, 상기 신호 검출부 610은 쓰기 신호에 포함된 주소 및/또는 데이터에 기반하여 해킹과 관련된 쓰기 신호를 검출할 수 있다. 쓰기 신호가 불변(immutable) 영역에 대한 주소를 포함하고 있는 경우, 상기 신호 검출부 610은 상기 쓰기 신호를 해킹과 관련된 쓰기 신호로 검출할 수 있다. 상기 불변 영역은 영구적, 반영구적, 또는 일시적으로 쓰기 금지된 영역일 수 있다. 상기 불변 영역은, 상기 전자 장치 500의 제조 시 미리 정의되거나, OS에 의해 정의될 수 있다. 예를 들면, 상기 불변 영역은 OS의 코드 영역, 시스템 콜 테이블, 및 인터럽트(interrupt) 설명자 테이블 중 하나일 수 있다. 이러한 쓰기 신호의 검출을 통해, 다양한 실시 예들에 따른 장치는 해킹을 검출할 수 있다.
상기 신호 검출부 610은 쓰기 신호에 대한 기록에 기반하여 해킹과 관련된 신호를 검출할 수 있다. 상기 데이터 기록부 630 등에 기록되어 있는 제1 쓰기 신호의 데이터 구조는, 데이터 A, 데이터 B, 데이터 C로 구성된다고 가정하자. 이러한 제1 쓰기 신호의 데이터 구조가 상기 데이터 A, 상기 데이터 B, 데이터 D, 상기 데이터 C로 변경된 경우, 상기 신호 검출부 610은 이러한 데이터의 갱신(상기 데이터 D의 추가)을 인지할 수 있다. 추가된 상기 데이터 D의 경우, 어플리케이션의 갱신에 따른 데이터일 수 있지만, 해킹에 따른 데이터일 수도 있다. 상기 신호 검출부 610은 상기 데이터 A 내지 상기 데이터 D를 추적할 수 있다. 상기 데이터 D가 실제로 이용되지 않는 경우, 상기 데이터 D, 상기 데이터 D와 관련된 신호, 또는 상기 제1 쓰기 신호를 해킹과 관련된 신호로 검출할 수 있다. 이러한 검출을 통해, 다양한 실시 예들에 따른 장치는 해킹을 검출할 수 있다.
상기 신호 검출부 610은 상기 주변 장치 520 등을 활성화하기 위한 데이터를 포함하는 신호에 기반하여 해킹과 관련된 신호 또는 데이터를 검출할 수 있다. 상기 신호 검출부 610은 상기 주변 장치 520 등을 활성화하기 위한 신호가 상기 신호에 대응하는 어플리케이션과 관련되지 않은 상기 주변 장치 520을 활성화하는 데이터를 포함하는 경우, 상기 신호를 상기 해킹과 관련된 신호로 검출할 수 있다. 상기 어플리케이션과 상기 주변 장치 520이 관련되는지 여부는 상기 어플리케이션의 설치 과정에서 사용자의 인증 또는 지정된 절차에 의해 설정될 수 있다. 상기 어플리케이션과 상기 주변 장치 520이 관련되는지 여부는 상기 어플리케이션의 업데이트 과정에서 사용자의 인증 또는 지정된 절차에 의해 설정될 수 있다. 예를 들어, 신호 A에 대응하는 어플리케이션은 상기 입출력 장치 250과 상기 표시 장치 260을 이용한다고 가정하자. 상기 신호 A가 상기 통신 장치 230 또는 상기 감지 장치 240을 활성화하기 위한 데이터를 포함하는 경우, 상기 신호 검출부 610을 상기 신호 A를 해킹과 관련된 신호로 검출할 수 있다.
상기 신호 검출부 610은 플래그(flag)가 첨부된 정보, 데이터, 또는 신호에 기반하여 해킹과 관련된 신호를 검출할 수 있다. 상기 플래그는 해킹으로부터 상기 데이터 또는 신호를 보호하기 위한 표시일 수 있다. 상기 신호 생성부 650은 상기 플래그가 첨부된 신호에 대하여 지속적인 감시를 수행할 수 있다. 상기 플래그가 첨부된 신호가 어플리케이션의 시나리오 상의 동작을 수행하지 않거나, 권한 밖의 범위에 노출되는 경우, 상기 신호 생성부 650은 해킹이 발생하였다고 판단하여 해킹과 관련된 신호들을 검출할 수 있다.
상기 주소 변환부 620은 해킹과 관련된 신호에 포함된 주소를 변환할 수 있다. 해킹과 관련된 신호가 상기 저장 장치 220 등에 저장되는 경우, 상기 전자 장치 500은 해킹으로 인하여 손상될 수 있다. 상기 주소 변환부 620은 해킹과 관련된다고 판단되는 신호에 포함된 주소를 변환하여 상기 저장 장치 220으로의 전송을 차단할 수 있다. 예를 들면, 쓰기 신호가 불변 영역에 대한 주소를 포함하고 있다고 검출된 경우, 상기 주소 변환부 620은 검출된 쓰기 신호에 포함된 주소를 상기 임시 저장부 640에 대한 주소로 변환할 수 있다. 이러한 주소 변환을 통해, 다양한 실시 예들에 따른 장치는 해킹에 대한 피해를 방지할 수 있다.
상기 데이터 기록부 630은 쓰기 신호에 따른 동작을 기록할 수 있다. 상기 데이터 기록부 630은 쓰기 신호에 따른 동작을 상기 쓰기 신호에 포함된 주소와 데이터에 기반하여 그룹화할 수 있다. 상기 데이터 기록부 630은 데이터 패턴 매칭(data pattern matching)을 통해 상기 쓰기 신호에 따른 동작을 그룹화하여 기록할 수 있다.
상기 임시 저장부 640은 상기 주소 변환부 620에 의해 변환된 주소를 포함하는 신호를 저장할 수 있다. 상기 변환된 주소는 상기 임시 저장부 640의 주소일 수 있다. 상기 임시 저장부 640은 해킹과 관련된 신호를 저장하여 해킹과 관련된 신호가 전자 장치 500의 내부 또는 외부로 유출되는 것을 방지할 수 있다.
상기 임시 저장부 640은 상기 보안 장치 510에서 분리되어 구성될 수 있다. 예를 들면, 상기 임시 저장부 640은 상기 전자 장치 500의 독립된 구성 요소일 수도 있고, 상기 저장 장치 220에 포함될 수도 있다. 또한, 상기 임시 저장부 640은 구현에 따라, 상기 임시 저장부 640은 생략될 수도 있다.
상기 신호 생성부 650은 해킹에 취약한 신호, 또는 해킹과 관련된 신호를 추적하기 위한 신호를 생성할 수 있다. 상기 신호 검출부 610을 통해 해킹에 취약한 신호가 검출된 경우, 상기 신호 생성부 650은 지속적인 감시를 위해 독립된 태그 신호를 생성할 수 있다. 실시 예에 따라, 상기 신호 생성부 650은 지속적인 감시를 위해 상기 해킹에 취약한 신호에 태그를 첨부할 수도 있다. 다양한 실시 예들에 따른 장치는 상기 태그 또는 태그 신호를 통해 해킹을 예측할 수 있다.
상기 신호 생성부 650은 보안이 필요한 정보, 데이터, 또는 신호에 플래그를 첨부할 수 있다. 예를 들어, 상기 신호 생성부 650은 개인 정보, 금융 정보 등을 포함하는 데이터 또는 신호에 플래그(flag)를 첨부할 수 있다. 다양한 실시 예들에 따른 장치는 상기 플래그가 첨부된 신호를 통해 해킹을 감지할 수 있다.
상기 신호 생성부 650은 해킹과 관련된 신호가 수신되는 경우, 상기 수신되는 신호를 변환하여 널(null) 데이터를 포함하는 신호를 생성할 수 있다. 상기 신호 생성부 650은 상기 널 데이터가 포함된 신호의 생성을 통해 상기 전자 장치 500에 해킹과 관련된 신호가 전송되는 것을 막을 수 있다. 예를 들어, 상기 전자 장치 500의 상기 통신 장치 230을 통해 금융 정보를 유출하기 위한 데이터를 포함하는 신호가 수신되는 경우, 상기 신호 생성부 650은 상기 수신되는 신호를 변환하여, 널 데이터가 포함된 신호를 생성할 수 있다.
상기 신호 생성부 650은 해킹에 대응하기 위한 신호를 생성할 수 있다. 예를 들어, 상기 신호 검출부 610을 통해 해킹과 관련된 신호가 검출된 경우, 상기 신호 생성부 650은 경고 메시지를 위한 신호를 생성할 수 있다. 상기 경고 메시지를 위한 신호는 직접 상기 도 5에 도시된 상기 표시 장치 260에 전달되거나, 상기 제어 장치 210을 통해 상기 표시 장치 260에 전달될 수 있다. 상기 경고 메시지를 위한 신호를 수신한 상기 표시 장치 260은 상기 경고 메시지를 표시할 수 있다.
상기 도 6에 도시하지 않았지만, 상기 보안 장치 510은 상기 전자 장치 500의 구성 요소들과 통신하는 송수신부를 포함할 수 있다. 상기 보안 장치 510은 상기 송수신부를 통해, 상기 전자 장치 500의 구성 요소들로부터 신호 또는 데이터를 수신할 수 있다. 상기 보안 장치 510은 상기 송수신부를 통해, 상기 전자 장치 500의 구성 요소들에게 신호 또는 데이터를 전송할 수 있다.
상기 신호 검출부 610, 상기 주소 변환부 620, 상기 데이터 기록부 630, 및 상기 신호 생성부 650는 제어부로 지칭될 수도 있다. 다양한 실시 예들에 따른 상기 보안 장치 510은 상기 제어부와 상기 송수신부로 구성될 수도 있다.
도 7은 다양한 실시 예들에 따른 전자 장치의 하드웨어 구성을 도시한다. 상기 도 7에 예시된 하드웨어 구성은 상기 도 5에 도시된 상기 전자 장치 500에 포함될 수 있다.
상기 도 7을 참조하면, 상기 전자 장치 500은 상기 도 5에 도시된 제어 장치 210, 상기 저장 장치 220, 상기 보안 장치 510, 상기 주변 장치 520를 포함할 수 있다.
상기 보안 장치 510은 상기 제어 장치 210과 상기 저장 장치 220 간의 전송 경로에 동작적으로 결합될 수 있다. 어플리케이션의 실행 또는 제어 등을 위해, 상기 제어 장치 210은 상기 저장 장치 220과 신호를 주고 받을 수 있다. 상기 신호는 쓰기 신호 또는 읽기 신호일 수 있다. 상기 보안 장치 510은 상기 제어 장치 210과 상기 저장 장치 220 간의 전송 경로를 모니터링하여 해킹에 취약한 신호 또는 해킹과 관련된 신호를 검출할 수 있다.
상기 보안 장치 510은 상기 제어 장치 210과 동작적으로 결합될 수 있다. 상기 보안 장치 510은 상기 제어 장치 210으로부터 보안에 필요한 참조 신호 또는 참조 데이터를 수신할 수 있다. 예를 들면, 상기 보안 장치 510은 상기 제어 장치 210으로부터 수신된 참조 신호에 기반하여 해킹에 취약한 신호 또는 해킹과 관련된 신호를 검출할 수 있다.
상기 보안 장치 510은 상기 주변 장치 520과 동작적으로 결합될 수 있다. 상기 보안 장치 510은 상기 주변 장치 520으로부터 생성된 신호(예를 들면, 상기 주변 장치 520을 활성화하는 신호 등)에 기반하여 해킹에 취약한 신호 또는 해킹과 관련된 신호를 검출할 수 있다. 예를 들어, GPS와 관련이 없는 신호가 GPS를 활성화하는 경우, 상기 보안 장치 510은 상기 신호를 해킹에 취약한 신호 또는 해킹과 관련된 신호로 검출할 수 있다.
도 8은 다양한 실시 예들에 따른 신호를 통해 해킹을 감지하는 전자 장치의 하드웨어 구성을 도시한다. 이러한 하드웨어 구성은 상기 도 5에 도시된 전자 장치 500에 포함될 수 있다.
상기 도 8을 참조하면, 상기 전자 장치 500은 상기 제어 장치 210, 상기 저장 장치 220, 상기 보안 장치 510, 상기 임시 저장부 640, 버스 810을 포함할 수 있다. 상기 보안 장치 510은 상기 도 6에 도시된 상기 신호 검출부 610, 상기 주소 변환부 620을 포함할 수 있다.
상기 버스 810은 상기 보안 장치 510, 상기 저장 장치 230, 및/또는 상기 임시 저장부 640을 동작적으로 결합하기 위한 장치일 수 있다. 상기 버스 810은 신호에 포함된 주소에 기반하여 신호를 다른 장치들에게 제공할 수 있다.
상기 제어 장치 210은 상기 저장 장치 220에 데이터를 저장하기 위해 쓰기 신호를 송신할 수 있다. 상기 쓰기 신호는 상기 데이터 및 상기 데이터를 저장할 주소를 포함할 수 있다. 상기 쓰기 신호는 상기 저장 장치 220에 수신되기 이전에, 상기 보안 장치 510에 수신될 수 있다. 상기 신호 검출부 610은 상기 쓰기 신호에 포함된 주소를 검출할 수 있다. 상기 검출된 주소는 불변 영역에 대한 주소를 포함할 수 있다. 상기 불변 영역은 사용자에 의해 제어되지 않는 영역일 수 있기 때문에, 상기 신호 검출부 610은 상기 쓰기 신호를 해킹과 관련된 신호로 검출할 수 있다. 상기 신호 검출부 610은 상기 쓰기 신호가 해킹과 관련될 수 있음을 상기 주소 변환부 620에 전달할 수 있다.
상기 주소 변환부 620은 상기 쓰기 신호에 포함된 주소를 변환할 수 있다. 해킹에 따른 피해를 방지하기 위해, 상기 주소 변환부 620은 상기 쓰기 신호에 포함된 주소를 상기 저장 장치 220의 주소에서 상기 도 6에 도시된 임시 저장부 640의 주소로 변환할 수 있다.
쓰기 신호가 해킹과 관련된 신호라고 판단된 경우, 상기 임시 저장부 640은 상기 쓰기 신호를 임시 저장할 수 있다. 상기 임시 저장부 640은 더미(dummy)로 지칭될 수도 있다. 상기 주소 변환부 620에 의해 주소가 변환된 쓰기 신호가 해킹과 관련이 없는 신호인 경우(예를 들어, 업데이트 등을 통해 새롭게 생성된 유형의 신호인 경우), 상기 임시 저장부 640에 저장된 신호는 복원될 수 있다. 예를 들어, 상기 보안 장치 510은 상기 임시 저장부 640에 저장된 신호가 해킹과 관련된 신호가 아닌 경우, 상기 저장된 신호를 상기 저장 장치 220에 저장되도록 할 수 있다.
상기 도 8은 상기 임시 저장부 640이 상기 보안 장치 510의 외부에서 구현되는 예시를 도시한다. 실시 예에 따라, 상기 임시 저장부 640은 상기 보안 장치 510의 내부에 포함될 수도 있다.
상기 도 8은 상기 저장 장치 220 및 상기 임시 저장부 640이 별도의 구성 요소로 구성된 경우를 예시한다. 실시 예에 따라, 상기 저장 장치 220 및 상기 임시 저장부 640은 하나의 구성요소로 구현될 수 있다. 예를 들면, 상기 임시 저장부 640은 상기 저장 장치 220에 포함될 수 있다.
다양한 실시 예들에 따른 장치는 저장 장치에 대한 OS의 쓰기 동작을 분석하여 실시간으로 해킹을 감지할 수 있다. 상기 장치는 OS의 쓰기 동작이 정상 동작인지 여부를 판정할 수 있다. 예를 들어, 상기 OS의 상기 쓰기 동작이 코드 영역에 대한 동작인 경우, 상기 장치는 상기 쓰기 동작이 비정상적인 동작이라고 판정할 수 있다. 상기 장치는 비정상적이라고 판정된 쓰기 동작에 대응하는 주소와 데이터를 특정할 수 있다. 상기 장치는 상기 특정된 주소에 상기 특정된 데이터가 기록되는 것을 방지할 수 있다. 예를 들면, 상기 장치는 상기 특정된 데이터가 임시 저장부에 기록되도록 처리하여 상기 특정된 데이터가 상기 특정된 주소에 기록되는 것을 방지할 수 있다.
도 9는 다양한 실시 예들에 따른 신호에 따른 동작 패턴을 통해 해킹을 감지하는 전자 장치의 하드웨어 구성을 도시한다. 이러한 하드웨어 구성은 도 5에 도시된 상기 전자 장치 500에 포함될 수 있다.
상기 도 9를 참조하면, 상기 전자 장치 500은 상기 제어 장치 210, 상기 저장 장치 220, 상기 보안 장치 510, 상기 버스 810을 포함할 수 있다. 상기 보안 장치 510은 상기 도 6에 도시된 상기 신호 검출부 610, 상기 데이터 기록부 630을 포함할 수 있다.
상기 제어 장치 210은 어플리케이션의 실행에 따른 결과, 데이터의 저장 등을 위해 상기 버스 810을 통해 상기 저장 장치 220에 데이터를 저장할 수 있다. 상기 데이터는 쓰기 신호를 통해 전송될 수 있다. 상기 쓰기 신호는 주소와 데이터를 포함할 수 있다. 상기 데이터 기록부 630은 상기 쓰기 신호의 데이터들을 기록할 수 있다. 상기 쓰기 신호의 데이터들이 갱신되는 경우, 상기 데이터 기록부 630은 갱신된 데이터를 기록할 수 있다. 상기 갱신된 데이터가 있는 경우, 상기 신호 검출부 610은 상기 갱신된 데이터의 구조가 변경되는지 여부를 추적할 수 있다. 상기 갱신된 데이터의 구조가 변경되는 경우, 상기 신호 검출부 610은 상기 변경된 데이터와 관련된 데이터 또는 상기 쓰기 신호를 해킹과 관련된 데이터 또는 신호로 검출할 수 있다. 예를 들어, 상기 쓰기 신호에 포함된 데이터의 구조는 데이터 A, 데이터 B, 데이터 C의 순의 연결 리스트(linked-list)를 포함하지만, 상기 저장 장치 220에 저장된 데이터 구조가 상기 데이터 A, 상기 데이터 C로 변경된 경우, 상기 신호 검출부 610은 상기 데이터 B와 관련된 데이터 또는 신호를 해킹과 관련된 데이터 또는 신호로 검출할 수 있다. 예를 들어, 상기 데이터 A가 지시하는 주소가 상기 데이터 B의 주소에서 상기 데이터 C의 주소로 변경된 경우, 상기 신호 검출부 610은 상기 데이터 B, 또는 상기 데이터 B와 관련된 신호를 해킹과 관련된 신호로 검출할 수 있다.
다양한 실시 예들에 따른 상기 보안 장치 510은 쓰기 신호에 따른 동작을 그룹화하여 주소와 데이터를 특정할 수 잇다. 상기 보안 장치 510은 데이터 패턴 매칭을 통해 쓰기 신호에 따른 동작을 그룹화할 수 있다. 예를 들면, 상기 보안 장치 510은 데이터 패턴 매칭을 이용하여 연결 리스트의 변조를 이용한 해킹을 감지할 수 있다. 상기 연결 리스트는 각 노드 간의 관련성을 노드에 보관하여 중간 노드의 삽입, 제거를 손쉽게할 수 있는 리스트일 수 있다. 상기 연결 리스트는 노드 배열이 주소와 일치하지 않고, 저장 공간과 독립적으로 이루어진 리스트일 수 있다. 해킹으로 인하여 변조가 발생한 부분의 주소를 특정할 수 없는 경우, 상기 장치는 해당 영역에 기록되는 데이터 패턴을 특정할 수 있다. 상기 장치는 상기 데이터 패턴을 기준으로 하여 해킹을 감시할 수 있다. 상술한 방법을 통해, 상기 장치는 실시간으로 해킹을 감지하면서, 상기 장치의 복잡도를 낮출 수 있으며, 상기 장치의 공간적 크기를 줄일 수 있다.
도 10은 다양한 실시 예들에 따른 데이터 패턴을 통해 해킹을 감지하는 예를 도시한다. 이러한 해킹 감지는 상기 도 5에 도시된 상기 보안 장치 510에서 수행될 수 있다.
상기 도 10을 참조하면, 상기 보안 장치 510은 쓰기 신호에 따른 동작에 대응하는 리스트(list) 구조 1000을 기록할 수 있다. 상기 리스트 구조 1000은 데이터 A와 데이터 B를 포함할 수 있다.
상기 리스트 구조 1020은 쓰기 신호에 따라, 상기 리스트 구조 1000가 갱신된 것일 수 있다. 상기 리스트 구조 1020은 상기 데이터 A, 상기 데이터 B 뿐만 아니라, 데이터 C를 포함할 수 있다. 상기 데이터 C는 상기 도 5에 도시된 상기 제어 장치 210 등에 의해 생성된 데이터이거나, 해킹에 의해 생성된 데이터일 수 있다. 상기 리스트 구조 1020과 같이 리스트 구조의 갱신이 이뤄진 경우, 상기 보안 장치 510은 해킹 방지를 위해 상기 리스트 구조 1020을 감시할 수 있다.
리스트 구조 1040은 상기 저장 장치에 저장된 리스트 구조일 수 있다. 상기 리스트 구조 1040은 상기 신호 검출부 610이 감시하고 있는 리스트 구조일 수 있다. 상기 리스트 구조 1040은 상기 리스트 구조 1020이 변조된 것일 수 있다. 상기 리스트 구조 1040은 상기 리스트 구조 1020에서 데이터 C의 연결이 끊어진 구조 1035를 가질 수 있다. 이러한 경우, 상기 신호 검출부 610은 상기 데이터 C를 지시하는 주소가 상기 데이터 A를 지시하는 주소로 변경된 것을 인지할 수 있다. 상기 신호 검출부 610은 상기 데이터 C 또는 상기 데이터 C와 관련된 신호를 해킹과 관련된 데이터 또는 신호로 검출할 수 있다.
상기 보안 장치 510은 해킹을 방지하기 위해 상기 검출된 데이터 또는 신호를 가공할 수 있다. 예를 들면, 상기 보안 장치 510은 상기 검출된 데이터 또는 신호를 폐기할 수 있다. 다른 예를 들면, 상기 보안 장치 510은 상기 검출된 데이터 또는 신호를 상기 임시 저장부 640에 임시 저장할 수 있다.
도 11은 다양한 실시 예들에 따른 신호를 통해 해킹을 예측하는 전자 장치의 하드웨어 구성을 도시한다. 이러한 하드웨어 구성은 상기 도 5에 도시된 상기 전자 장치 500에 의해 수행될 수 있다.
상기 전자 장치 500은 상기 도 5에 도시된 상기 제어 장치 210, 상기 보안 장치 510, 상기 저장 장치 220, 상기 버스 810을 포함할 수 있다. 상기 보안 장치 510은 상기 도 6에 도시된 상기 신호 검출부 610, 상기 신호 생성부 650을 포함할 수 있다.
상기 제어 장치 210은 상기 저장 장치 220에게 읽기 요청 신호를 송신할 수 있다. 상기 읽기 요청 신호는 상기 보안 장치 510을 통해 상기 저장 장치 220에 수신될 수 있다. 상기 신호 검출부 610은 상기 읽기 요청 신호에 포함된 주소에 기반하여 상기 읽기 요청 신호가 해킹에 취약한 신호인지 여부를 판정할 수 있다. 예를 들어, 상기 읽기 요청 신호가 개인 정보를 포함하는 신호인 경우, 상기 신호 검출부 610은 상기 읽기 요청 신호가 해킹에 취약한 신호라고 판정할 수 있다. 상기 신호 생성부 650은 이후에 발생할 수 있는 해킹을 예측하기 위해 상기 읽기 요청 신호에 태그를 첨부할 수 있다. 실시 예에 따라, 상기 신호 생성부 650은 이후에 발생할 수 있는 해킹을 예측하기 위해 상기 읽기 요청 신호와 독립된 태그 신호를 송신할 수 있다. 상기 보안 장치 510은 상기 태그 또는 상기 태그 신호를 통해, 상기 읽기 요청 신호에 기반하여 생성된 신호 또는 데이터를 추적할 수 있다. 상기 보안 장치 510은 상기 추적되는 데이터 또는 신호에 따른 동작들을 기록하여 해킹을 예측할 수 있다.
도 12는 다양한 실시 예들에 어플리케이션 영역의 신호를 통해 해킹을 감지하는 전자 장치의 하드웨어 구성을 도시한다. 이러한 하드웨어 구성은 상기 도 5에 도시된 상기 전자 장치 500에 포함될 수 있다.
상기 도 12를 참조하면, 상기 전자 장치 500은 상기 제어 장치 210, 상기 임시 저장부 640, 상기 저장 장치 220, 상기 버스 810, 상기 보안 장치 510, 상기 표시 장치 260, 상기 감지 장치 240을 포함할 수 있다. 상기 보안 장치 510은 상기 신호 검출부 610, 상기 주소 변환부 620, 표시 제어부 1210, 명령 제어부 1220, 전력 제어부 1230을 포함할 수 있다.
상기 제어 장치 210은 상기 버스 810을 통해 상기 표시 장치 260과 동작적으로 결합될 수 있다. 상기 제어 장치 210은 상기 표시 장치 260에 UI 등을 표시하기 위해, 상기 표시 제어부 1210을 통해 신호를 송신할 수 있다. 상기 제어 장치 210은 상기 표시 장치 260에 표시된 UI 등을 갱신하기 위해, 상기 명령 제어부 1220을 통해 신호를 송신할 수 있다. 상기 제어 장치 210은 상기 표시 장치 260의 전력 제어를 위해 상기 전력 제어부 1230을 통해 신호를 송신할 수 있다. 상기 감지 장치 240은 카메라일 수 있다. 상기 표시 장치 260이 비활성화되었는데, 상기 감지 장치 240으로부터 신호가 송신되는 경우, 또는 상기 표시 장치 260이 비활성화되었는데, 상기 감지 장치 240에게 신호가 수신되는 경우, 상기 보안 장치 510은 상기 신호들을 해킹과 관련된 신호로 검출할 수 있다. 왜냐하면 프리뷰 등의 화면 없이 상기 감지 장치 240을 이용하는 것은 사용자의 의사와 무관할 수 있기 때문이다.
상기 주소 변환부 620은 상기 검출된 신호에 포함된 주소를 상기 임시 저장부 640의 주소로 변환할 수 있다. 상기 검출된 신호에 포함된 주소의 변경을 통해, 상기 보안 장치 510은 상기 검출된 신호가 상기 제어 장치 210 또는 상기 저장 장치 220으로 전송되는 것을 차단할 수 있다. 도 12에 도시하지 않았지만, 실시 예에 따라, 상기 보안 장치 510은 상기 도 6에 도시된 상기 신호 생성부 650을 통해 경고 메시지를 생성할 수 있다. 상기 표시 장치 260은 상기 생성된 경고 메시지를 표시할 수 있다.
상술한 바와 같이, 상기 전자 장치 500은 구성 요소들 간의 관계에 기초하여 해킹 가능성을 판단할 수 있다. 상기 도 12의 경우, 상기 표시 장치 260과 상기 감지 장치 240 간의 관계를 예시하였으나, 다른 장치들 간에서도 유사한 절차가 수행될 수 있다. 실시 예에 따라, 상기 보안 장치 510은 각각의 구성요소들을 모니터링하는 장치를 각각의 구성요소에 추가할 수 있다.
도 13은 다양한 실시 예들에 따른 어플리케이션 영역의 신호의 예를 도시한다.
상기 도 13을 참조하면, 신호 1310은 상기 도 5에 도시된 상기 표시 장치 260에 대한 신호일 수 있다. 상기 신호 1310은 구간 1320에서 상기 표시 장치 260이 비활성화 상태임을 지시할 수 있다.
신호 1350은 상기 도 5에 도시된 상기 감지 장치 240에 대한 신호일 수 있다. 상기 신호 1350은 구간 1360에서 상기 감지 장치 240이 활성화 상태임을 지시할 수 있다. 상기 감지 장치 240은 카메라일 수 있다.
상기 신호 1310과 상기 신호 1350은 같은 시간축을 공유할 수 있다. 상기 신호 1310과 상기 신호 1350은 상기 표시 장치 260이 비활성화되어 있는 동안, 상기 감지 장치 240이 활성화되어 있다는 것을 지시할 수 있다. 이러한 상황에서는, 사용자 등이 프리뷰 화면 등을 이용할 수 없기 때문에, 상기 보안 장치 500은 상기 신호 1350을 해킹 신호로 검출할 수 있다.
도 14는 다양한 실시 예들에 따른 어플리케이션 영역의 신호를 통해 해킹을 감지하는 전자 장치의 다른 하드웨어 구성을 도시한다. 이러한 하드웨어 구성은 상기 도 5에 도시된 상기 전자 장치 500에 포함될 수 있다.
상기 전자 장치 500은 상기 도 5에 도시된 상기 제어 장치 210, 상기 저장 장치 220, 상기 버스 810, 상기 보안 장치 510, 상기 통신 장치 230을 포함할 수 있다. 상기 보안 장치 510은 상기 도 6에 도시된 상기 신호 검출부 610, 상기 신호 생성부 650을 포함할 수 있다.
상기 제어 장치 210은 상기 버스 810을 통해 상기 통신 장치 230에게 신호를 송신할 수 있다. 상기 신호는 상기 통신 장치 230을 통해 다른 장치에게 송신되는 신호일 수 있다. 상기 제어 장치 210은 상기 버스 810을 통해 상기 통신 장치 230으로부터 신호를 수신할 수 있다.
상기 신호 검출부 610은 상기 통신 장치 230에게 송신되는 신호 또는 상기 통신 장치 230으로부터 수신되는 신호가 해킹과 관련된 신호인지 여부를 검출할 수 있다. 상기 신호 검출부 610은 상기 신호들의 소스 포트 넘버(source port number)와 프로세서 ID(identifier)를 비교하여 상기 신호가 해킹과 관련된 신호인지 여부를 검출할 수 있다. 예를 들어, 상기 신호 검출부 610은 상기 소스 포트 넘버와 상기 프로세서 ID에 기반하여 상기 통신 장치 230과 관련성이 없는 어플리케이션을 통해 전송되거나 생성된 신호를 해킹과 관련된 신호로 검출할 수 있다. 다른 예를 들어, 플래그가 첨부된 신호가 상기 플래그와 대응하지 않는 영역으로 노출된다고 판단되는 경우, 상기 신호 검출부 610은 상기 플래그가 첨부된 신호에 대한 신호들을 해킹과 관련된 신호로 검출할 수 있다.
상기 신호 생성부 650은 보안이 필요한 신호 또는 데이터(예를 들면, 유출되지 않아야 할 개인 정보, 금융 정보 등)에 플래그를 삽입할 수 있다. 상기 신호 생성부 650은 해킹에 대한 감시가 요구되는 신호 또는 데이터(예를 들면, 상기 신호 검출부 610을 통해 해킹에 취약할 수 있다고 판단된 신호 또는 데이터)에 태그를 삽입할 수 있다. 예를 들면, 상기 신호 생성부 650은 외부로부터 수신된 신호에 태그를 삽입할 수 있다.
상기 통신 장치 230을 통해 해킹과 관련된 신호가 수신된다고 판단되는 경우, 상기 신호 생성부 650은 상기 해킹과 관련된 신호를 변환하여 널(null) 데이터가 포함된 신호를 생성할 수 있다. 예를 들어, 개인 정보를 유출할 수 있는 데이터를 포함하는 신호가 상기 통신 장치 230을 통해 수신된다고 하자. 상기 신호 검출부 610은 상기 수신되는 신호에 포함된 데이터에 기반하여 상기 수신되는 신호를 해킹과 관련된 신호로 검출할 수 있다. 이에 대응하여 상기 신호 생성부 650은 상기 수신되는 신호의 전송을 중단시키기 위해, 상기 수신되는 신호를 변환하여 널 데이터가 포함된 신호를 생성할 수 있다.
상술한 바와 같이, 상기 보안 장치 510은 어플리케이션 및 구성 요소들 간의 관계에 기초하여 해킹 가능성을 판단할 수 있다. 상기 도 13의 경우, 상기 통신 장치 230에 대한 관계를 예시하였지만, 다른 구성 요소들에 대하여도 유사한 절차가 수행될 수 있다.
도 15는 다양한 실시 예들에 따른 해킹을 감지하는 전자 장치의 동작 예를 도시한다. 이러한 동작 예는 상기 도 5에 도시된 상기 전자 장치 500에 의해 수행될 수 있다.
상기 전자 장치 500은 상기 도 5에 도시된 제어 장치 210, 상기 통신 장치 230, 상기 감지 장치 240, 상기 입출력 장치 250, 상기 보안 장치 510을 포함할 수 있다. 상기 보안 장치 510은 상기 도 6에 도시된 상기 신호 검출부 610을 포함할 수 있다.
상기 제어 장치 210은 사용자의 입력 등에 의해 사용자 어플리케이션(예를 들면, 채팅 앱) 1510을 실행할 수 있다. 상기 제어 장치 210은 상기 사용자 어플리케이션의 실행에 의해 발생되는 신호들을 각각의 주변 장치 520에게 송신할 수 있다. 상기 보안 장치 510은 상기 제어 장치 210과 상기 주변 장치 520 간의 신호들에 해킹과 관련된 신호가 포함되었는지 여부를 감지할 수 있다.
상기 보안 장치 510에 포함된 상기 신호 검출부 610은 상기 제어 장치 210과 상기 주변 장치 520 간의 신호들을 분석할 수 있다. 예를 들어, 상기 사용자 어플리케이션 1510이 실행되고 있는 상기 전자 장치 500은 상기 통신 장치 230, 상기 감지 장치 240, 상기 입출력 장치 250을 활성화할 수 있다.
상기 어플리케이션 1510의 실행(채팅 앱의 실행)을 위해, 상기 제어 장치 210은 상기 통신 장치 230을 활성화할 수 있다. 상기 통신 장치 230은 여러 가지 통신 방식을 통해 텍스트 정보 등을 송수신할 수 있다.
상기 어플리케이션 1510의 실행(채팅 앱의 실행)을 위해, 상기 제어 장치 210은 상기 입출력 장치 250을 활성화할 수 있다. 상기 도 15의 예시에서, 상기 입출력 장치 250은 사용자의 터치 입력을 상기 제어 장치 210에게 전달할 수 있다.
상기 도 15의 예시에서, 상기 감지 장치 240은 상기 사용자 어플리케이션 1510의 실행과 관련성이 없을 수 있다. 그럼에도 불구하고, 상기 제어 장치 210이 상기 감지 장치 240을 활성화하는 경우, 상기 제어 장치 210에서 상기 감지 장치 240으로 전달되는 신호는 해킹과 관련된 신호일 수 있다. 또한, 이미 활성화된 상기 감지 장치 240으로부터 상기 제어 장치 210이 신호를 수신하는 경우, 상기 신호는 해킹과 관련된 신호일 수 있다. 왜냐하면 상기 사용자 어플리케이션 1510의 실행과 상기 감지 장치 240의 활성화는 관련이 없을 수 있기 때문이다.
상기 신호 검출부 610은 상기 제어 장치와 상기 감지 장치 240 간의 신호를 해킹과 관련된 신호로 검출할 수 있다. 예를 들어, 상기 신호 검출부 610은 상기 제어 장치 210와 상기 주변 장치 520 간의 신호가 상기 신호와 관련되지 않은 장치를 활성화하기 위한 데이터를 포함하는지 여부를 판정할 수 있다. 상기 신호 검출부 610은 상기 제어 장치 210과 상기 주변 장치 520 간의 신호가 상기 신호와 관련되지 않은 장치를 활성화하는 경우(예를 들면, 상기 감지 장치 240), 상기 제어 장치 210과 상기 주변 장치 520 간의 신호를 해킹과 관련된 신호로 검출할 수 있다.
실시 예에 따라, 상기 보안 장치 510은 상기 제어 장치 210과 상기 주변 장치 520 간의 신호를 폐기할 수도 있다.
도 16은 다양한 실시 예들에 따른 보안 장치가 자동차에 장착된 예를 도시한다. 상기 자동차에 장착된 보안 장치는 상기 도 5에 도시된 상기 보안 장치 510일 수 있다.
상기 도 16을 참조하면, 상기 보안 네트워크 환경 1600은 보안 네트워크 서버 1605, 안전 시스템 1610, 구동 시스템 1620, 바디 시스템 1630, 편의 시스템 1640을 포함할 수 있다.
상기 안전 시스템 1610은 자동차의 주행 안전 또는 운전자의 안전을 위한 장치들을 포함할 수 있다. 예를 들면, 상기 안전 시스템 1610은 브레이크, 에어백 등을 포함할 수 있다. 상기 자동차는 통신 기능을 포함할 수 있다. 상기 자동차는 상기 통신 기능을 통해, 편의성을 추구할 수 있다. 하지만, 상기 자동차는 상기 통신 기능으로 인하여 해킹에 노출될 수 있다. 예를 들면, 상기 자동차는 해킹 공격으로 인하여 브레이크의 오작동을 일으킬 수 있다. 이러한 해킹 공격을 검출하고, 상기 해킹 공격에 대응하기 위하여 상기 도 5에 도시된 상기 보안 장치 510은 상기 브레이크, 상기 에어백 등에 각각 설치될 수 있다. 상기 보안 장치 510은 상기 자동차에 수신되는 해킹과 관련된 신호를 검출할 수 있다. 상기 보안 장치 510은 상기 검출된 신호의 수신을 차단하여 해킹 공격으로부터 상기 자동차를 보호할 수 있다. 상기 보안 장치 510은 상기 보안 네트워크 서버 1605과 통신할 수 있다. 상기 보안 장치 510은 상기 보안 네트워크 서버 1605으로부터 업데이트 정보를 포함하는 신호를 수신하여 업데이트를 수행할 수 있다.
상기 구동 시스템 1620은 자동차의 구동계와 관련된 장치들을 포함할 수 잇다. 예를 들면, 상기 구동 시스템 1620은 ECU(engine control unit), 엔진, 트랜스미션 등을 포함할 수 있다. 상기 자동차는 통신 기능을 포함할 수 있기 때문에, 상기 구동 시스템 1620은 해킹 공격에 노출될 수 있다. 해킹으로 인하여 상기 구동 시스템 1620이 오작동하는 경우, 상기 자동차의 사용자는 위험에 처할 수 있다. 이러한 해킹 공격을 검출하고, 상기 해킹 공격에 대응하기 위하여 상기 보안 장치 510은 상기 ECU, 상기 엔진, 상기 트랜스미션 등에 각각 설치될 수 있다. 상기 보안 장치 510은 상기 자동차에 수신되는 해킹과 관련된 신호를 검출할 수 있다. 상기 보안 장치 510은 상기 검출된 신호의 수신을 차단하여 해킹 공격으로부터 상기 자동차를 보호할 수 있다. 상기 보안 장치 510은 상기 보안 네트워크 서버 1605과 통신하여 상기 구동 시스템 1620을 위한 업데이트를 수행할 수 있다.
상기 바디 시스템 1630은 자동차의 구조와 관련된 장치들을 포함할 수 있다. 예를 들면, 상기 바디 시스템 1630은 공조 장치, 시트 장치 등을 포함할 수 있다. 상기 자동차는 통신 기능을 포함할 수 있기 때문에, 상기 바디 시스템 1630은 해킹 공격에 노출될 수 있다. 해킹으로 인하여 상기 구동 시스템 1630이 오작동하는 경우, 상기 자동차의 사용자는 위험에 처할 수 있다. 예를 들어, 운전 중인 사용자가 착석한 시트 장치가 움직이는 경우, 상기 사용자는 위험에 처할 수 있다. 이러한 해킹 공격을 예측하고, 검출하며, 상기 해킹 공격에 대응하기 위하여 상기 보안 장치 510은 상기 공조 장치, 상기 시트 장치 각각에 설치될 수 있다. 상기 보안 장치 510은 상기 자동차에 수신되는 해킹과 관련된 신호를 검출하여, 해킹 공격으로부터 상기 바디 시스템 1630을 보호할 수 있다.
상기 편의 시스템 1640은 사용자의 편의를 위한 장치들을 포함할 수 있다. 예를 들면, 상기 편의 시스템은 네비게이션 시스템, 텔레메틱스 등을 포함할 수 있다. 상기 편의 시스템 1640은 상기 자동차의 통신 기능으로 인하여 해킹 공격에 노출될 수 있다. 예를 들어, 상기 네비게이션 시스템은 해킹과 관련된 신호의 수신으로 인하여 오작동할 수 있다. 상기 해킹 공격에 대응하기 위하여 상기 보안 장치 510은 해킹 공격을 예측하고, 해킹 공격을 검출하며, 상기 해킹 공격에 대응할 수 있다.
각각의 시스템(예를 들면, 상기 안전 시스템 1610, 상기 구동 시스템 1620, 상기 바디 시스템 1630, 상기 편의 시스템 1640 등)들은 상호 간에 정보 교환을 수행할 수 있다. 상기 정보 교환은 사용자 등에게 편의를 제공할 수 있다. 하지만 이에 대한 트레이드-오프(trade-off)로 상기 정보 교환은 해킹 공격에 쉽게 노출될 수 있는 환경을 제공할 수도 있다. 상기 보안 장치 510은 각각의 시스템에 설치되어 해킹과 관련된 데이터, 신호 등을 공유할 수 있다. 또한, 상기 보안 장치 510은 상기 보안 네트워크 서버 1605와의 통신을 통해 상기 보안 장치 510을 업데이트할 수 있다. 상술한 바와 같은 정보 공유 및 업데이트를 통해, 상기 보안 장치 510은 유연하게 해킹에 대처할 수 있다.
상술한 바와 같은 다양한 실시 예들에 따른 장치(apparatus)는, 송수신부와, 상기 송수신부와 동작적으로 결합된 제어부를 포함할 수 있고, 상기 제어부는, 제어 장치에서 저장 장치로 송신되는 제1 신호가 지정된(designated) 주소를 포함하는지 여부를 검출하도록 구성되고, 상기 제1 신호가 상기 지정된 주소를 포함하는 경우, 제2 신호를 상기 제어 장치에게 송신하도록 구성될 수 있으며, 상기 제1 신호는, 상기 제어 장치가 상기 저장 장치에게 데이터를 요청하는 신호일 수 있고, 상기 제2 신호는, 상기 제1 신호로부터 생성된 신호에 이상(uncommon) 데이터가 포함되었는지 여부를 검출하기 위한 신호일 수 있다. 상기 제어부는, 상기 제1 신호가 상기 지정된 주소를 포함하는 경우, 상기 제1 신호에 대한 정보를 포함하는 경고 메시지를 표시 장치에 표시하도록 더 구성될 수 있다.
또한, 상기 제어부는, 상기 제어 장치에서 상기 저장 장치로 송신되는 제3 신호가 불변(immutable) 영역에 대한 주소를 포함하는지 여부를 검출하도록 더 구성될 수 있고, 상기 제3 신호가 상기 불변 영역에 대한 주소를 포함하는 경우, 상기 제3 신호의 주소를 변환하여 상기 저장 장치로의 전송을 차단하도록 더 구성될 수 있으며, 상기 제3 신호는, 상기 제어 장치가 상기 저장 장치에 기록하기 위한 데이터를 포함할 수 있다. 상기 제어부는, 상기 제3 신호가 상기 불변 영역에 대한 주소를 포함하는 경우, 상기 제3 신호에 대한 정보를 포함하는 경고 메시지를 표시 장치에 표시하도록 더 구성될 수 있다. 또한, 상기 제어부는, 상기 제3 신호가 상기 불변 영역에 대한 주소를 포함하는 경우, 상기 제3 신호를 폐기(discard)하도록 구성될 수 있다.
또한, 상기 제어부는, 상기 제어 장치에서 상기 저장 장치로 송신되는 제3 신호에 포함된 주소에 기반하여 상기 제3 신호의 데이터를 기록하도록 더 구성되고, 상기 기록된 데이터가 갱신되는지 여부를 검출하도록 더 구성되고, 상기 기록된 데이터가 갱신되는 경우, 상기 제3 신호가 상기 저장 장치에 저장된 후 상기 데이터의 구조가 변경되는지 여부를 검출하도록 더 구성되고, 상기 데이터의 구조가 변경되는 경우, 상기 변경된 데이터 또는 상기 변경된 데이터와 관련된 신호를 검출하도록 더 구성되고, 상기 변경된 데이터 또는 상기 변경된 데이터와 관련된 신호를 폐기하도록 더 구성될 수 있으며, 상기 제3 신호는, 상기 제어 장치가 상기 저장 장치에 기록하기 위한 데이터를 포함할 수 있다. 상기 제어부는, 상기 변경된 데이터 또는 상기 변경된 데이터와 관련된 신호가 검출된 경우, 경고 메시지를 표시 장치에 표시하도록 더 구성되될 수 있다.
또한, 상기 제어부는, 상기 제어 장치와 다른 장치 간의 제4 신호가 상기 제4 신호와 관련되지 않은 장치를 활성화하기 위한 데이터를 포함하는지 여부를 검출하도록 더 구성되고, 상기 제4 신호가 상기 제4 신호와 관련되지 않은 장치를 활성화하기 위한 데이터를 포함하는 경우, 상기 제4 신호의 전송을 차단하도록 더 구성될 수 있다. 또한, 상기 제어부는, 상기 제4 신호가 상기 제4 신호와 관련되지 않은 장치를 활성화하기 위한 데이터를 포함하는 경우, 상기 제4 신호를 폐기(discard)하도록 구성될 수 있다.
도 17은 다양한 실시 예들에 따른 장치의 동작을 도시한 흐름도이다. 이러한 동작은 상기 도 5에 도시된 상기 보안 장치 510에 의해 수행될 수 있다. 상기 보안 장치 510은 장치(apparatus)로 지칭될 수도 있다.
상기 도 17을 참조하면, 1710 단계에서, 상기 보안 장치 510은 상기 제어 장치 210에서 상기 저장 장치 220으로 송신되는 제1 신호가 지정된 주소를 포함하는지 여부를 검출할 수 있다. 상기 제1 신호는 상기 제어 장치 210이 상기 저장 장치 220에게 데이터를 요청하는 신호일 수 있다. 상기 제1 신호는 읽기 요청 신호에 대응할 수 있다. 상기 지정된 주소는 사용자의 설정, 상기 전자 장치 500의 설정에 의해 미리 정해진 주소일 수 있다. 상기 지정된 주소는 해킹이 발생하기 쉬운 위치를 의미하는 주소일 수 있다.
1720 단계에서, 상기 제1 신호가 상기 지정된 주소를 포함하는 경우, 상기 보안 장치 510은 제2 신호를 상기 제어 장치 210에게 송신할 수 있다. 상기 제1 신호는 상기 제어 장치 210에 수신된 후, 가공될 수 있다. 예를 들면, 상기 제어 장치 210은 상기 제1 신호에 기반하여 여러 개의 제어 신호 등을 생성할 수 있다. 상기 생성된 여러 개의 제어 신호들은 해킹에 노출될 위험이 큰 신호일 수 있다. 상기 보안 장치 510은 상기 생성된 여러 개의 제어 신호들을 추적할 수 있다. 예를 들면, 상기 보안 장치 510은 상기 생성된 여러 개의 제어 신호들에 태그를 삽입하거나, 태그 신호를 부가할 수 있다. 상기 제2 신호는 상기 제1 신호로부터 생성된 신호에 이상(uncommon) 데이터가 포함되었는지 여부를 검출하기 위한 신호일 수 있다. 상기 제2 신호는 태그 또는 태그 신호를 의미할 수 있다.
다양한 실시 예들에 따른 상기 보안 장치 510은 상기 제1 신호를 통해 해킹이 발생할 수 있을지 여부를 예측할 수 있다. 상기 제1 신호가 해킹에 노출되기 쉬운 신호라고 판정한 경우, 해킹 발생 여부를 예측하기 위해, 상기 보안 장치 510은 상기 제1 신호와 상기 제1 신호로부터 생성된 신호들을 감시할 수 있다.
도 18은 다양한 실시 예들에 따른 해킹을 예측하는 장치의 동작을 도시한 흐름도이다. 이러한 동작 흐름은 상기 도 5에 도시된 상기 보안 장치 510에 의해 수행될 수 있다.
상기 도 18을 참조하면, 1810 단계에서, 상기 보안 장치 510은 상기 제어 장치 210에서 상기 저장 장치 220으로 송신되는 제1 신호가 지정된 주소를 포함하는지 여부를 검출할 수 있다. 상기 제1 신호가 지정된 주소를 포함하지 않는 경우, 상기 보안 장치 510은 상기 제1 신호를 더 이상 추적하지 않을 수 있다. 지정된 주소를 포함하는 않는 경우, 상기 제1 신호는 해킹에 노출될 위험이 적은 신호일 수 있기 때문이다. 이러한 동작을 통해, 상기 보안 장치 510은 회로의 점유 면적을 줄일 수 있고, 복잡도를 감소시킬 수 있으며, 효율적으로 해킹에 대응할 수 있다.
상기 제1 신호가 지정된 주소를 포함하는 경우, 1820 단계에서, 상기 보안 장치 510은 상기 제2 신호를 상기 제어 장치에게 송신할 수 있다. 상기 제2 신호의 송신을 통해, 상기 보안 장치 510은 상기 제1 신호와 상기 제1 신호로부터 비롯된 신호들을 추적할 수 있다. 상기 보안 장치 510은 이러한 추적을 통해, 상기 제1 신호와 상기 제1 신호로부터 비롯된 신호들에서 해킹이 발생되는지 여부, 해킹이 발생될 수 있는지 여부를 검출할 수 있다.
다양한 실시 예들에 따른 상기 보안 장치 510은 읽기 요청 신호에 기반하여 해킹을 예측할 수 있다. 다양한 실시 예들에 따른 상기 보안 장치 510은 읽기 요청 신호에 기반하여 해킹을 예측함으로써, 해킹 공격에 대하여 보다 유연하게 대응할 수 있다.
도 19는 다양한 실시 예들에 따른 해킹을 예측하여 경고 메시지를 표시하는 장치의 동작을 도시한 흐름도이다. 이러한 동작 흐름은 상기 도 5에 도시된 상기 보안 장치 510에 의해 수행될 수 있다.
상기 도 19를 참조하면, 1910 단계와 1920 단계는 상기 도 18의 상기 1810 단계와 상기 1820 단계에 대응될 수 있다.
해킹이 예측되는 경우, 1930 단계에서, 상기 보안 장치 510은 사용자에게 해킹이 발생될 수 있다는 것을 경고하기 위해 경고 메시지를 상기 도 5에 도시된 상기 표시 장치 260에 표시할 수 있다.
상기 1920 단계의 동작과, 상기 1930 단계에서의 동작은 상기 도 19의 예시와 달리, 동시에 수행될 수도 있고, 역순으로 수행될 수도 있다.
다양한 실시 예들에 따른 상기 보안 장치 510은 해킹이 발생될 수 있는 상황을 사용자 등에게 표시하여 보다 나은 보안을 제공할 수 있다.
도 20은 다양한 실시 예들에 따른 해킹을 예측하는 전자 장치의 신호 흐름을 도시한다. 이러한 신호 흐름은 상기 도 5에 도시된 상기 전자 장치 500의 내부에서 발생될 수 있다.
상기 도 20을 참조하면, 2010 단계에서, 상기 제어 장치 210은 상기 저장 장치 220에게 제1 신호를 송신할 수 있다. 상기 제1 신호는 읽기 요청 신호일 수 있다. 어플리케이션의 실행, 상기 전자 장치 500의 제어를 위해 상기 제어 장치 210은 상기 저장 장치 220에게 명령어, 데이터 등을 요구할 수 있다. 상기 읽기 요청 신호는 상기 명령어, 상기 데이터 등을 요구하는 신호일 수 있다.
2030 단계에서, 상기 보안 장치 510은 상기 제1 신호가 지정된 주소를 포함하는지 여부를 검출할 수 있다. 상기 보안 장치 510은 상기 제1 신호의 주소가 지정된 주소인지 여부를 판정할 수 있다. 예를 들어, 지정된 주소가 상기 도 5에 도시된 상기 통신 장치 230의 주소를 포함하고, 상기 제1 신호가 상기 통신 장치 230의 주소를 포함하는 경우, 상기 보안 장치 510은 상기 제1 신호의 주소가 지정된 주소를 포함한다고 검출할 수 있다.
상기 제1 신호가 상기 지정된 주소를 포함하는 경우, 2040 단계에서, 상기 보안 장치 510은 제2 신호를 생성할 수 있다. 상기 제2 신호는 상기 제1 신호를 추적하기 위한 신호일 수 있다. 상기 제2 신호는 상기 제1 신호로부터 생성된 신호들을 추적하기 위한 신호일 수 있다.
2050 단계에서, 상기 보안 장치 510은 상기 제2 신호를 상기 제어 장치 210에게 송신할 수 있다. 상기 제2 신호를 통해, 상기 보안 장치 510은 해킹이 발생되는지 여부를 검출할 수 있다.
2060 단계에서, 상기 보안 장치 510은 경고 메시지 표시 명령을 상기 표시 장치 260에게 송신할 수 있다. 이에 대응하여, 상기 표시 장치 260은 상기 경고 메시지 표시 명령을 수신할 수 있다.
상기 2050 단계와 상기 2060 단계의 동작들 각각은 순차적으로 수행될 수도 있고, 역순으로 수행될 수도 있으며, 동시에 수행될 수도 있다.
2070 단계에서, 상기 표시 장치 260은 경고 메시지를 표시할 수 있다. 상기 경고 메시지를 통해, 상기 전자 장치 500의 사용자는 상기 전자 장치 500에서 해킹이 발생될 수 있음을 예측할 수 있다.
상기 2060 단계 및 상기 2070 단계는 실시 예에 따라, 생략될 수 있다.
도 21은 다양한 실시 예들에 따른 신호를 통해 해킹을 감지하는 장치의 동작을 도시한 흐름도이다. 이러한 동작 흐름은 상기 도 5에 도시된 상기 보안 장치 510에 의해 수행될 수 있다.
상기 도 21을 참조하면, 2110 단계에서, 상기 보안 장치 510은 제3 신호가 불변 영역에 대한 주소를 포함하는지 여부를 검출할 수 있다. 상기 제3 신호는 상기 제어 장치가 상기 저장 장치 220에 기록하기 위한 데이터를 포함하는 신호일 수 있다. 상기 제3 신호는 쓰기 신호일 수 있다. 상기 제어 장치 210은 갱신이 필요한 데이터, 새로 저장할 데이터를 상기 쓰기 신호를 통해 상기 저장 장치 220에게 저장할 수 있다. 상기 불변 영역은 OS의 코드 영역, 시스템 콜 테이블, 및 인터럽트(interrupt) 설명자 테이블 중 하나일 수 있다. 상기 불변 영역은 갱신이 발생될 수 없거나, 제한된 영역일 수 있다. 이러한 불변 영역에 특정 신호가 송신된다는 것은 해킹일 수도 있다. 상기 보안 장치 510은 상기 제3 신호가 상기 불변 영역에 대한 주소를 포함하는지 여부를 검출하여 상기 전자 장치 500에서 해킹이 발생되는지 여부를 검출할 수 있다.
상기 제3 신호가 불변 영역에 대한 주소를 포함하지 않는 경우, 상기 보안 장치 510은 상기 제3 신호가 해킹과 관련이 없다고 판단하고, 상기 제3 신호를 상기 저장 장치 220에게 전달되도록 할 수 있다.
상기 제3 신호가 불변 영역에 대한 주소를 포함하는 경우, 2120 단계에서, 상기 보안 장치 510은 상기 제3 신호의 주소를 변환하여 상기 저장 장치 220으로의 전송을 차단할 수 있다. 예를 들면, 상기 보안 장치 510은 상기 제3 신호의 기존 주소를 상기 도 6에 도시된 상기 임시 저장부 640의 주소로 변경하여 상기 제3 신호가 상기 저장 장치 220에 기록되는 것을 방지할 수 있다.
2130 단계에서, 상기 보안 장치 510은 상기 도 5에 도시된 상기 표시 장치 260에 경고 메시지를 표시할 수 있다. 상기 경고 메시지는 해킹이 발생되었다는 것을 나타내는 메시지일 수 있다. 상기 경고 메시지를 통해, 상기 전자 장치 500의 사용자는 해킹이 상기 전자 장치 500에서 발생하였음을 인지할 수 있다. 상기 경고 메시지는 상기 제3 신호에서 해킹이 발견되어 전송이 차단되었음을 나타내는 메시지일 수도 있다. 실시 예에 따라, 상기 2130 단계는 생략될 수 있다.
다양한 실시 예들에 따른 보안 장치 510은 해킹과 관련된 신호가 상기 저장 장치 220에게 저장되지 않도록 하여 해킹을 막을 수 있다. 다양한 실시 예들에 따른 보안 장치 510은 쓰기 신호에서 해킹을 검출하여 상기 전자 장치 500의 보안을 유지할 수 있다.
도 22는 다양한 실시 예들에 따른 신호를 통해 해킹을 감지하는 장치의 다른 동작을 도시한 흐름도이다. 이러한 동작 흐름은 상기 도 5에 도시된 상기 보안 장치 510에 의해 수행될 수 있다.
상기 도 22를 참조하면, 2210 단계는 상기 도 21에 도시된 상기 2110 단계에 대응될 수 있다.
2220 단계에서, 상기 보안 장치 510은 상기 제3 신호를 폐기할 수 있다. 상기 제3 신호가 해킹과 관련된 신호라고 판정된 경우, 상기 보안 장치 510은 상기 제3 신호를 폐기(discard)할 수 있다.
다양한 실시 예들에 따른 상기 보안 장치 510은 해킹과 관련된 신호를 폐기하여 상기 도 5에 도시된 상기 전자 장치 500의 보안을 유지할 수 있다.
도 23은 다양한 실시 예들에 따른 신호를 통해 해킹을 감지하는 전자 장치의 신호 흐름을 도시한다. 이러한 신호 흐름은 상기 도 5에 도시된 상기 전자 장치 500에 의해 수행될 수 있다.
상기 도 23을 참조하면, 2310 단계에서, 상기 제어 장치 210은 상기 보안 장치 510에게 제3 신호를 송신할 수 있다. 상기 제3 신호는 쓰기 신호일 수 있다. 상기 제3 신호는 상기 보안 장치 510을 통해 상기 저장 장치 220에게 전송될 수 있다. 상기 제3 신호는 상기 제어 장치가 상기 저장 장치에 기록하기 위한 데이터를 포함할 수 있다.
2320 단계에서, 상기 보안 장치 510은 상기 제3 신호가 불변 영역에 대한 주소를 포함하는지 여부를 검출할 수 있다. 불변 영역은 갱신이 제한되는 영역이기 때문에, 상기 보안 장치 510은 상기 제3 신호가 불변 영역에 대한 주소를 포함하는 경우, 상기 제3 신호를 해킹과 관련된 신호로 검출할 수 있다.
상기 제3 신호가 불변 영역에 대한 주소를 포함하는 경우, 2330 단계에서, 상기 보안 장치 510은 상기 임시 저장부 640에게 상기 제3 신호를 전송할 수 있다. 상기 보안 장치 510은 상기 제3 신호의 주소를 상기 임시 저장부 640의 주소로 변환하여 상기 제3 신호가 상기 저장 장치 220에게 전송되는 것을 차단할 수 있다.
2340 단계에서, 상기 보안 장치 510은 경고 메시지 표시 명령을 상기 표시 장치 260에게 전송할 수 있다. 상기 경고 메시지는 상기 제3 신호가 해킹과 관련된 신호임을 지시하는 메시지일 수 있다.
상기 2330 단계의 동작과 상기 2340 단계의 동작은 동시에 수행될 수도 있고, 순차적으로 수행될 수도 있다.
2350 단계에서, 상기 경고 메시지 표시 명령의 수신에 대응하여, 상기 표시 장치 260은 경고 메시지를 표시할 수 있다. 상기 전자 장치 500의 사용자는 상기 경고 메시지를 통해 상기 전자 장치 500에서 해킹이 발생되었음을 인지할 수 있다. 또한, 상기 전자 장치 500의 사용자는 상기 경고 메시지를 통해 상기 제3 신호가 차단되었음을 인지할 수 있다. 상기 제3 신호가 해킹과 관련된 신호가 아닌 경우, 상기 사용자의 입력을 통해 상기 경고 메시지는 상기 저장 장치 220에 저장될 수도 있다.
상기 제3 신호가 불변 영역에 대한 주소를 포함하지 않는 경우, 2360 단계에서, 상기 보안 장치 510은 상기 제3 신호를 상기 저장 장치 220에게 전송할 수 있다. 상기 저장 장치 220은 상기 제3 신호를 수신할 수 있다. 상기 저장 장치 220은 상기 제3 신호에 포함된 데이터를 기록할 수 있다.
도 24는 다양한 실시 예들에 따른 신호에 대응하는 동작을 통해 해킹을 감지하는 장치의 동작을 도시한 흐름도이다. 이러한 동작 흐름은 상기 도 5에 도시된 상기 보안 장치 510에 의해 수행될 수 있다.
상기 도 24를 참조하면, 2410 단계에서, 상기 보안 장치 510은 제3 신호의 데이터를 기록할 수 있다. 상기 보안 장치 510은 상기 기록된 데이터에 기반하여 상기 데이터의 갱신 여부를 모니터링할 수 있다.
2420 단계에서, 상기 보안 장치 510은 상기 기록된 데이터에 대한 갱신이 이뤄지는지 여부를 판정할 수 있다. 데이터가 갱신되는 경우, 상기 보안 장치 510은 상기 갱신된 데이터를 모니터링할 수 있다.
데이터의 갱신이 있는 경우, 2430 단계에서, 상기 보안 장치 510은 상기 저장 장치 220에 저장된 후, 상기 갱신된 데이터와 관련된 구조가 변경되는지 여부를 모니터링할 수 있다. 예를 들면, 상기 보안 장치 510은 상기 제3 신호에 포함된 데이터를 지시하는 주소가 상기 저장 장치 220에 저장된 후 변경되는지 여부를 모니터링할 수 있다.
상기 저장 장치 220에 저장된 데이터의 구조가 변경되는 경우, 상기 2440 단계에서, 상기 보안 장치 510은 변경된 데이터 또는 상기 변경된 데이터와 관련된 신호를 검출할 수 있다. 예를 들어, 데이터 A, 데이터 B, 데이터 C 순의 연결 리스트 구조를 가지는 데이터 구조가 상기 저장 장치 220에 저장된 후, 상기 데이터 A, 상기 데이터 C 순의 연결 리스트 구조를 가지는 데이터 데이터 구조로 변경된 경우, 상기 보안 장치 510은 상기 데이터 B 또는 상기 데이터 B와 관련된 신호(예를 들면, 상기 제3 신호)를 해킹과 관련된 데이터 또는 신호로 검출할 수 있다.
2450 단계에서, 상기 보안 장치 510은 상기 표시 장치 260에 경고 메시지를 표시할 수 있다. 상기 경고 메시지는 상기 전자 장치 500의 사용자에게 해킹과 관련된다고 판단되는 신호 또는 데이터가 있음을 지시할 수 있다. 상기 경고 메시지는 상기 전자 장치 500의 사용자에게 해킹과 관련된다고 판단되는 신호 또는 데이터의 전송이 차단되었음을 지시할 수 있다.
도 25는 다양한 실시 예들에 따른 신호에 대응하는 동작을 통해 해킹을 감지하는 장치의 다른 동작을 도시한 흐름도이다. 이러한 동작 흐름은 상기 도 5에 도시된 상기 보안 장치 510에 의해 수행될 수 있다.
상기 도 25를 참조하면, 2510 단계 내지 2540 단계의 동작은 상기 도 24에 도시된 2410 단계 내지 상기 2440 단계의 동작에 대응될 수 있다.
2550 단계에서, 상기 보안 장치 510은 변경된 데이터 또는 변경된 데이터와 관련된 신호를 폐기할 수 있다. 상기 2550 단계에서의 동작은 상기 2450 단계에서의 동작의 다른 예시일 수 있다. 상기 변경된 데이터 또는 상기 변경된 데이터와 관련된 신호가 해킹과 관련된 데이터라고 확정된 경우, 상기 보안 장치 510은 상기 데이터 또는 신호를 폐기할 수 있다. 상기 2550 단계에서의 동작을 통해, 상기 보안 장치 510은 상기 전자 장치 500의 보안을 유지할 수 있다.
도 26을 다양한 실시 예들에 따른 해킹을 감지하는 전자 장치의 다른 신호 흐름을 도시한다. 이러한 신호 흐름은 상기 도 5에 도시된 상기 전자 장치 500에 의해 수행될 수 있다.
상기 도 26을 참조하면, 2610 단계에서, 상기 제어 장치 210은 상기 보안 장치 510에게 제3 신호를 송신할 수 있다. 상기 제3 신호는 상기 저장 장치 220에 데이터를 기록하기 위한 신호일 수 있다. 상기 제3 신호는 상기 전자 장치 500의 내부 구성요소의 동작을 제어하는 신호일 수 있다. 예를 들면, 상기 제3 신호는 상기 전자 장치 500의 상기 주변 장치 520, 상기 저장 장치 220 등의 동작을 제어하는 신호일 수 있다. 상기 보안 장치 510은 상기 제3 신호를 수신할 수 있다.
2620 단계에서, 상기 보안 장치 510은 상기 제3 신호의 데이터를 기록할 수 있다. 예를 들어, 상기 제3 신호가 데이터 A, 데이터 B, 데이터 C를 포함하는 경우, 상기 보안 장치 510은 상기 데이터 A, 상기 데이터 B, 상기 데이터 C의 데이터 구조를 기록할 수 있다. 상기 기록된 데이터들은 상기 데이터 구조가 갱신되는지 여부를 판단하기 위한 참조로 이용될 수 있다.
2630 단계에서, 상기 보안 장치 510은 상기 기록된 데이터 구조를 이용하여 상기 데이터가 갱신되었는지 여부를 판정할 수 있다. 예를 들어, 새로운 데이터가 상기 데이터 구조에 추가되는 경우, 상기 보안 장치 510은 상기 제3 신호에 따른 데이터가 갱신되었음을 인지할 수 있다.
상기 제3 신호에 따른 데이터가 갱신되었다고 판단되는 경우, 2640 단계에서, 상기 보안 장치 510은 갱신된 데이터가 상기 저장 장치 220에 저장된 후 데이터의 구조가 변경되었는지 여부를 검출할 수 있다. 예를 들어, 상기 저장 장치 220에 저장된 데이터 구조가 데이터 A, 데이터 C 순의 구조를 가졌다고 가정하자. 상기 제3 신호는 상기 데이터 A, 상기 데이터 C 순의 구조를 가지는 데이터 구조를 갱신하는 신호일 수 있다. 상기 제3 신호는 상기 데이터 A와 상기 데이터 C 사이에 데이터 B를 추가하기 위한 신호일 수 있다. 이러한 경우, 상기 데이터 구조는 상기 데이터 A, 상기 데이터 B, 상기 데이터 C의 순의 구조로 갱신될 수 있다. 상기 보안 장치 510은 이러한 데이터 구조의 갱신(또는 데이터의 추가)을 인지할 수 있다. 상기 보안 장치 510은 상기 갱신된 데이터 구조가 상기 저장 장치 220에 저장된 후, 변경되는지 여부를 검출할 수 있다.
상기 저장 장치 220에 저장된 후, 상기 갱신된 데이터의 구조가 변경되는 경우, 2650 단계에서, 상기 보안 장치 510은 변경된 데이터 또는 상기 변경된 데이터와 관련된 신호를 검출할 수 있다. 상기의 예시에서, 상기 저장 장치 220에 저장된 후, 상기 데이터의 구조가 상기 데이터 B를 제외한 상기 데이터 A, 상기 데이터 C 순으로 변경되는 경우, 상기 보안 장치 510은 상기 데이터 B 또는 상기 데이터 B와 관련된 신호를 해킹과 관련된 데이터 또는 신호로 검출할 수 있다. 구체적으로, 상기 보안 장치 510은 상기 데이터 A가 지시하는 주소가 상기 데이터 B에서 상기 데이터 C로 변경되는 경우, 상기 데이터 B와 상기 데이터 B와 관련된 신호를 해킹과 관련된 데이터 또는 신호로 검출할 수 있다.
2660 단계에서, 상기 보안 장치 510은 상기 표시 장치 260에게 경고 메시지 표시 명령을 송신할 수 있다. 상기 표시 장치 260은 상기 보안 장치 510으로부터 상기 경고 메시지 표시 명령을 수신할 수 있다.
2670 단계에서, 상기 표시 장치 260은 상기 경고 메시지 표시 명령의 수신에 대응하여 경고 메시지를 표시할 수 있다. 상기 경고 메시지를 통해, 상기 전자 장치 500의 사용자는 상기 전자 장치 500이 해킹에 노출되었음을 인지할 수 있다.
다양한 실시 예들에 따른 상기 보안 장치 510은 2610 단계에서의 동작 내지 2670 단계에서의 동작을 통해, 실시간으로 해킹을 감지할 수 있다. 상기 보안 장치 510은 상술한 동작들을 통해, 보다 높은 정확도로 해킹을 감지할 수 있다. 상기 보안 장치 510은 상술한 동작들을 통해, 상기 전자 장치 500에 대한 해킹 공격에 효율적으로 대응할 수 있다.
도 27을 다양한 실시 예들에 따른 어플리케이션 영역의 해킹을 감지하는 장치의 동작을 도시한 흐름도이다. 이러한 동작 흐름은 상기 도 5에 도시된 상기 보안 장치 510에 의해 수행될 수 있다.
상기 도 27을 참조하면, 2710 단계에서, 상기 보안 장치 510은 제4 신호가 관련되지 않은 장치를 활성화하는지 여부를 검출할 수 있다. 상기 제4 신호는 어플리케이션의 시스템 콜에 의해 생성되는 신호일 수 있다. 상기 제4 신호는 상기 도 5에 도시된 상기 주변 장치 520을 활성화하기 위한 신호일 수 있다. 상기 보안 장치 510은 상기 제4 신호에 포함된 데이터와 상기 제4 신호에 대응하는 어플리케이션에 기반하여 상기 제4 신호가 관련되지 않은 장치를 활성화하는지 여부를 검출할 수 있다. 예를 들어, 상기 제4 신호와 대응하는 어플리케이션이 카메라(예를 들면, 상기 감지 장치 240) 어플리케이션임에도 불구하고, 상기 제4 신호가 상기 전자 장치 500 내의 전원 장치, 상기 통신 인터페이스 230 등을 활성화하는 경우, 상기 보안 장치 510은 상기 제4 신호가 관련되지 않은 장치를 활성화한다는 것을 검출할 수 있다.
이와 달리, 상기 제4 신호가 관련된 장치들을 활성화하는 경우, 상기 보안 장치 510은 상기 제4 신호에 해킹과 관련된 데이터가 포함되지 않았다고 판정할 수 있다.
상기 제4 신호가 관련되지 않은 장치를 활성화하는 경우, 2720 단계에서, 상기 보안 장치 510은 상기 제4 신호의 전송을 차단할 수 있다. 상기 보안 장치 510은 상기 제4 신호에 포함된 주소를 변환하여 상기 제4 신호의 전송을 차단할 수 있다. 상기 2720 단계에서의 동작을 통해, 상기 보안 장치 510은 해킹과 관련된 신호가 상기 전자 장치 500 내에서 확산되는 것을 막을 수 있다.
도 28은 다양한 실시 예들에 따른 어플리케이션 영역의 해킹을 감지하는 장치의 다른 동작을 도시한 흐름도이다. 이러한 동작 흐름은 상기 도 5에 도시된 상기 보안 장치 510에 의해 수행될 수 있다.
상기 도 28을 참조하면, 2810 단계에서의 동작은 상기 도 27에 도시된 상기 2710 단계에서의 동작에 대응될 수 있다.
2820 단계에서, 상기 보안 장치 510은 상기 제4 신호를 폐기할 수 있다. 상기 제4 신호가 해킹과 관련된 신호라고 확정된 경우, 상기 보안 장치 510은 상기 전자 장치 500의 보안 유지를 위해 상기 제4 신호를 폐기할 수 있다.
도 29는 다양한 실시 예들에 따른 어플리케이션 영역의 해킹을 감지하는 전자 장치의 신호 흐름을 도시한다. 이러한 신호 흐름은 상기 도 5에 도시된 상기 전자 장치 500에서 발생될 수 있다.
상기 도 29를 참조하면, 2910 단계에서, 상기 제어 장치 210은 상기 저장 장치 220과 통신할 수 있다. 상기 제어 장치 210과 상기 저장 장치 220은 상기 전자 장치 500에 설치된 어플리케이션의 실행을 위해 통신할 수 있다. 상기 제어 장치 210과 상기 저장 장치 220은 상기 전자 장치 500에 포함된 구성 요소들을 제어하기 위해 통신할 수 있다.
2920 단계에서, 상기 제어 장치 210은 상기 제4 신호를 상기 보안 장치 510에게 송신할 수 있다. 상기 제4 신호는 상기 주변 장치 520에게 전달될 신호일 수 있다. 상기 제4 신호는 상기 주변 장치 520을 제어하기 위한 신호일 수 있다. 상기 2920 단계의 동작은 상기 제어 장치 210이 상기 주변 장치 520에게 상기 제4 신호를 전송하는 경우를 예시하고 있지만, 상기 주변 장치 520이 상기 제어 장치 210에게 상기 제4 신호를 전송하는 경우에도 동일하게 적용될 수 있다. 상기 보안 장치 510은 상기 제어 장치 210으로부터 상기 제4 신호를 수신할 수 있다.
2930 단계에서, 상기 보안 장치 510은 상기 제4 신호와 관련되지 않은 장치를 상기 제4 신호가 활성화하는지 여부를 검출할 수 있다. 예를 들어, 카메라 기능이 없는 채팅 앱의 실행에 대응하여 상기 제어 장치 210이 상기 감지 장치 240에게 상기 제4 신호를 송신하는 경우, 상기 보안 장치 510은 상기 제4 신호가 해킹과 관련된 신호라고 판정할 수 있다. 이와 달리, 카메라 기능이 없는 채팅 앱의 실행에 대응하여 상기 제어 장치 210이 상기 입출력 장치 250에게 상기 제4 신호를 송신하는 경우, 상기 보안 장치 510은 상기 제4 신호가 해킹과 관련되지 않은 신호라고 판정할 수 있다.
상기 제4 신호가 상기 제4 신호와 관련된 장치를 활성화하는 경우, 2970 단계에서, 상기 보안 장치 510은 상기 제4 신호를 상기 주변 장치 520에게 송신할 수 있다.
상기 제4 신호가 상기 제4 신호와 관련되지 않은 장치를 활성화하는 경우, 2940 단계에서, 상기 보안 장치 510은 상기 제4 신호의 전송을 차단할 수 있다. 상기 보안 장치 510은 상기 제4 신호에 포함된 주소를 변환하여 상기 제4 신호의 전송을 차단할 수 있다.
2950 단계에서, 상기 보안 장치 510은 상기 표시 장치 260에게 경고 메시지 표시 명령을 송신할 수 있다. 상기 표시 장치 260은 상기 보안 장치 510으로부터 상기 경고 메시지 표시 명령을 수신할 수 있다.
2960 단계에서, 상기 표시 장치 260은 경고 메시지를 표시할 수 있다. 상기 경고 메시지의 표시를 통해, 상기 전자 장치 500의 사용자는 상기 전자 장치 500 내에서 해킹 공격이 감지되었음을 인지할 수 있다. 상기 경고 메시지의 표시를 통해, 상기 전자 장치 500의 사용자는 상기 전자 장치 500 내에서 특정 신호가 차단되었음을 인지할 수 있다. 상기 특정 신호는 해킹과 관련된 신호일 수 있다.
상기 2910 단계 내지 상기 2960 단계에서의 동작을 통해, 다양한 실시 예들에 따른 상기 보안 장치 510은 상기 전자 장치 500의 보안을 유지할 수 있다. 상기 보안 장치 510은 상기 전자 장치 500의 어플리케이션의 영역에 대한 해킹 공격을 감지할 수 있다. 상기 보안 장치 510은 상기 전자 장치 500의 어플리케이션의 영역에 대한 해킹 공격에 실시간으로 대응할 수 있다.
상술한 바와 같은, 다양한 실시 예들에 따른 장치의 동작 방법은, 제어 장치에서 저장 장치로 송신되는 제1 신호가 지정된(designated) 주소를 포함하는지 여부를 검출하는 동작과, 상기 제1 신호가 상기 지정된 주소를 포함하는 경우, 제2 신호를 상기 제어 장치에게 송신하는 동작을 포함할 수 있고, 상기 제1 신호는, 상기 제어 장치가 상기 저장 장치에게 데이터를 요청하는 신호일 수 있고, 상기 제2 신호는, 상기 제1 신호로부터 생성된 신호에 이상(uncommon) 데이터가 포함되었는지 여부를 검출하기 위한 신호일 수 있다. 상기 장치의 동작 방법은, 상기 제1 신호가 상기 지정된 주소를 포함하는 경우, 상기 제1 신호에 대한 정보를 포함하는 경고 메시지를 표시 장치에 표시하는 동작을 더 포함할 수 있다.
또한, 상기 장치의 동작 방법은, 상기 제어 장치에서 상기 저장 장치로 송신되는 제3 신호가 불변(immutable) 영역에 대한 주소를 포함하는지 여부를 검출하는 동작과, 상기 제3 신호가 상기 불변 영역에 대한 주소를 포함하는 경우, 상기 제3 신호의 주소를 변환하여 상기 저장 장치로의 전송을 차단하는 동작을 더 포함할 수 있고, 상기 제3 신호는, 상기 제어 장치가 상기 저장 장치에 기록하기 위한 데이터를 포함할 수 있다. 상기 장치의 동작 방법은, 상기 제3 신호가 상기 불변 영역에 대한 주소를 포함하는 경우, 상기 제3 신호에 대한 정보를 포함하는 경고 메시지를 표시 장치에 표시하는 동작을 더 포함할 수 있다. 또한, 상기 장치의 동작 방법은, 상기 제3 신호가 상기 불변 영역에 대한 주소를 포함하는 경우, 상기 제3 신호를 폐기(discard)할 수 있다.
또한, 상기 장치의 동작 방법은, 상기 제어 장치에서 상기 저장 장치로 송신되는 제3 신호에 포함된 주소에 기반하여 상기 제3 신호의 데이터를 기록하는 동작과, 상기 기록된 데이터가 갱신되는지 여부를 검출하는 동작과, 상기 기록된 데이터가 갱신되는 경우, 상기 제3 신호가 상기 저장 장치에 저장된 후 상기 데이터의 구조가 변경되는지 여부를 검출하는 동작과, 상기 데이터의 구조가 변경되는 경우, 상기 변경된 데이터 또는 상기 변경된 데이터와 관련된 신호를 검출하는 동작과, 상기 변경된 데이터 또는 상기 변경된 데이터와 관련된 신호를 폐기하는 동작을 더 포함할 수 있고, 상기 제3 신호는, 상기 제어 장치가 상기 저장 장치에 기록하기 위한 데이터를 포함할 수 있다. 또한, 상기 장치의 동작 방법은, 상기 변경된 데이터 또는 상기 변경된 데이터와 관련된 신호가 검출된 경우, 경고 메시지를 표시 장치에 표시하는 동작을 더 포함할 수 있다.
또한, 상기 장치의 동작 방법은, 상기 제어 장치와 다른 장치 간의 제4 신호가 상기 제4 신호와 관련되지 않은 장치를 활성화하기 위한 데이터를 포함하는지 여부를 검출하는 동작과, 상기 제4 신호가 상기 제4 신호와 관련되지 않은 장치를 활성화하기 위한 데이터를 포함하는 경우, 상기 제4 신호의 전송을 차단하는 동작을 더 포함할 수 있다. 상기 장치의 동작 방법은, 상기 제4 신호가 상기 제4 신호와 관련되지 않은 장치를 활성화하기 위한 데이터를 포함하는 경우, 상기 제4 신호를 폐기(discard)할 수 있다.
본 개시의 청구항 또는 명세서에 기재된 실시 예들에 따른 방법들은 하드웨어, 소프트웨어, 또는 하드웨어와 소프트웨어의 조합의 형태로 구현될(implemented) 수 있다.
소프트웨어로 구현하는 경우, 하나 이상의 프로그램(소프트웨어 모듈)을 저장하는 컴퓨터 판독 가능 저장 매체가 제공될 수 있다. 컴퓨터 판독 가능 저장 매체에 저장되는 하나 이상의 프로그램은, 전자 장치(device) 내의 하나 이상의 프로세서에 의해 실행 가능하도록 구성된다(configured for execution). 하나 이상의 프로그램은, 전자 장치로 하여금 본 개시의 청구항 또는 명세서에 기재된 실시 예들에 따른 방법들을 실행하게 하는 명령어(instructions)를 포함한다.
이러한 프로그램(소프트웨어 모듈, 소프트웨어)은 랜덤 액세스 메모리 (random access memory), 플래시(flash) 메모리를 포함하는 불휘발성(non-volatile) 메모리, 롬(ROM: Read Only Memory), 전기적 삭제가능 프로그램가능 롬(EEPROM: Electrically Erasable Programmable Read Only Memory), 자기 디스크 저장 장치(magnetic disc storage device), 컴팩트 디스크 롬(CD-ROM: Compact Disc-ROM), 디지털 다목적 디스크(DVDs: Digital Versatile Discs) 또는 다른 형태의 광학 저장 장치, 마그네틱 카세트(magnetic cassette)에 저장될 수 있다. 또는, 이들의 일부 또는 전부의 조합으로 구성된 메모리에 저장될 수 있다. 또한, 각각의 구성 메모리는 다수 개 포함될 수도 있다.
또한, 상기 프로그램은 인터넷(Internet), 인트라넷(Intranet), LAN(Local Area Network), WLAN(Wide LAN), 또는 SAN(Storage Area Network)과 같은 통신 네트워크, 또는 이들의 조합으로 구성된 통신 네트워크를 통하여 접근(access)할 수 있는 부착 가능한(attachable) 저장 장치(storage device)에 저장될 수 있다. 이러한 저장 장치는 외부 포트를 통하여 본 개시의 실시 예를 수행하는 장치에 접속할 수 있다. 또한, 통신 네트워크상의 별도의 저장장치가 본 개시의 실시 예를 수행하는 장치에 접속할 수도 있다.
상술한 본 개시의 구체적인 실시 예들에서, 개시에 포함되는 구성 요소는 제시된 구체적인 실시 예에 따라 단수 또는 복수로 표현되었다. 그러나, 단수 또는 복수의 표현은 설명의 편의를 위해 제시한 상황에 적합하게 선택된 것으로서, 본 개시가 단수 또는 복수의 구성 요소에 제한되는 것은 아니며, 복수로 표현된 구성 요소라 하더라도 단수로 구성되거나, 단수로 표현된 구성 요소라 하더라도 복수로 구성될 수 있다.
한편 본 개시의 상세한 설명에서는 구체적인 실시 예에 관해 설명하였으나, 본 개시의 범위에서 벗어나지 않는 한도 내에서 여러 가지 변형이 가능함은 물론이다. 그러므로 본 개시의 범위는 설명된 실시 예에 국한되어 정해져서는 아니 되며 후술하는 특허청구의 범위뿐만 아니라 이 특허청구의 범위와 균등한 것들에 의해 정해져야 한다.

Claims (14)

  1. 장치(apparatus)의 동작 방법에 있어서,
    제어 장치에서 저장 장치로 송신되는 제1 신호가 지정된(designated) 주소를 포함하는지 여부를 검출하는 동작과,
    상기 제1 신호가 상기 지정된 주소를 포함하는 경우, 제2 신호를 상기 제어 장치에게 송신하는 동작을 포함하고,
    상기 제1 신호는,
    상기 제어 장치가 상기 저장 장치에게 데이터를 요청하는 신호이고,
    상기 제2 신호는,
    상기 제1 신호로부터 생성된 신호에 이상(uncommon) 데이터가 포함되었는지 여부를 검출하기 위한 신호인 방법.
  2. 청구항 1에 있어서,
    상기 제1 신호가 상기 지정된 주소를 포함하는 경우, 상기 제1 신호에 대한 정보를 포함하는 경고 메시지를 표시 장치에 표시하는 동작을 더 포함하는 방법.
  3. 청구항 1에 있어서,
    상기 제어 장치에서 상기 저장 장치로 송신되는 제3 신호가 불변(immutable) 영역에 대한 주소를 포함하는지 여부를 검출하는 동작과,
    상기 제3 신호가 상기 불변 영역에 대한 주소를 포함하는 경우, 상기 제3 신호의 주소를 변환하여 상기 저장 장치로의 전송을 차단하는 동작을 더 포함하고,
    상기 제3 신호는,
    상기 제어 장치가 상기 저장 장치에 기록하기 위한 데이터를 포함하는 방법.
  4. 청구항 3에 있어서,
    상기 제3 신호가 상기 불변 영역에 대한 주소를 포함하는 경우, 상기 제3 신호에 대한 정보를 포함하는 경고 메시지를 표시 장치에 표시하는 동작을 더 포함하는 방법.
  5. 청구항 1에 있어서,
    상기 제어 장치에서 상기 저장 장치로 송신되는 제3 신호에 포함된 주소에 기반하여 상기 제3 신호의 데이터를 기록하는 동작과,
    상기 기록된 데이터가 갱신되는지 여부를 검출하는 동작과,
    상기 기록된 데이터가 갱신되는 경우, 상기 제3 신호가 상기 저장 장치에 저장된 후 상기 데이터의 구조가 변경되는지 여부를 검출하는 동작과,
    상기 데이터의 구조가 변경되는 경우, 상기 변경된 데이터 또는 상기 변경된 데이터와 관련된 신호를 검출하는 동작과,
    상기 변경된 데이터 또는 상기 변경된 데이터와 관련된 신호를 폐기하는 동작을 더 포함하고,
    상기 제3 신호는,
    상기 제어 장치가 상기 저장 장치에 기록하기 위한 데이터를 포함하는 방법.
  6. 청구항 5에 있어서,
    상기 변경된 데이터 또는 상기 변경된 데이터와 관련된 신호가 검출된 경우, 경고 메시지를 표시 장치에 표시하는 동작을 더 포함하는 방법.
  7. 청구항 1에 있어서,
    상기 제어 장치와 다른 장치 간의 제4 신호가 상기 제4 신호와 관련되지 않은 장치를 활성화하기 위한 데이터를 포함하는지 여부를 검출하는 동작과,
    상기 제4 신호가 상기 제4 신호와 관련되지 않은 장치를 활성화하기 위한 데이터를 포함하는 경우, 상기 제4 신호의 전송을 차단하는 동작을 더 포함하는 방법.
  8. 장치(apparatus)에 있어서,
    송수신부와,
    상기 송수신부와 동작적으로 결합된 제어부를 포함하고,
    상기 제어부는,
    제어 장치에서 저장 장치로 송신되는 제1 신호가 지정된(designated) 주소를 포함하는지 여부를 검출하도록 구성되고,
    상기 제1 신호가 상기 지정된 주소를 포함하는 경우, 제2 신호를 상기 제어 장치에게 송신하도록 구성되며,
    상기 제1 신호는,
    상기 제어 장치가 상기 저장 장치에게 데이터를 요청하는 신호이고,
    상기 제2 신호는,
    상기 제1 신호로부터 생성된 신호에 이상(uncommon) 데이터가 포함되었는지 여부를 검출하기 위한 신호인 장치.
  9. 청구항 8에 있어서, 상기 제어부는,
    상기 제1 신호가 상기 지정된 주소를 포함하는 경우, 상기 제1 신호에 대한 정보를 포함하는 경고 메시지를 표시 장치에 표시하도록 더 구성되는 장치.
  10. 청구항 8에 있어서, 상기 제어부는,
    상기 제어 장치에서 상기 저장 장치로 송신되는 제3 신호가 불변(immutable) 영역에 대한 주소를 포함하는지 여부를 검출하도록 더 구성되고,
    상기 제3 신호가 상기 불변 영역에 대한 주소를 포함하는 경우, 상기 제3 신호의 주소를 변환하여 상기 저장 장치로의 전송을 차단하도록 더 구성되며,
    상기 제3 신호는,
    상기 제어 장치가 상기 저장 장치에 기록하기 위한 데이터를 포함하는 장치.
  11. 청구항 10에 있어서, 상기 제어부는,
    상기 제3 신호가 상기 불변 영역에 대한 주소를 포함하는 경우, 상기 제3 신호에 대한 정보를 포함하는 경고 메시지를 표시 장치에 표시하도록 더 구성되는 장치.
  12. 청구항 8에 있어서, 상기 제어부는,
    상기 제어 장치에서 상기 저장 장치로 송신되는 제3 신호에 포함된 주소에 기반하여 상기 제3 신호의 데이터를 기록하도록 더 구성되고,
    상기 기록된 데이터가 갱신되는지 여부를 검출하도록 더 구성되고,
    상기 기록된 데이터가 갱신되는 경우, 상기 제3 신호가 상기 저장 장치에 저장된 후 상기 데이터의 구조가 변경되는지 여부를 검출하도록 더 구성되고,
    상기 데이터의 구조가 변경되는 경우, 상기 변경된 데이터 또는 상기 변경된 데이터와 관련된 신호를 검출하도록 더 구성되고,
    상기 변경된 데이터 또는 상기 변경된 데이터와 관련된 신호를 폐기하도록 더 구성되며,
    상기 제3 신호는,
    상기 제어 장치가 상기 저장 장치에 기록하기 위한 데이터를 포함하는 장치.
  13. 청구항 12에 있어서, 상기 제어부는,
    상기 변경된 데이터 또는 상기 변경된 데이터와 관련된 신호가 검출된 경우, 경고 메시지를 표시 장치에 표시하도록 더 구성되는 장치.
  14. 청구항 8에 있어서, 상기 제어부는,
    상기 제어 장치와 다른 장치 간의 제4 신호가 상기 제4 신호와 관련되지 않은 장치를 활성화하기 위한 데이터를 포함하는지 여부를 검출하도록 더 구성되고,
    상기 제4 신호가 상기 제4 신호와 관련되지 않은 장치를 활성화하기 위한 데이터를 포함하는 경우, 상기 제4 신호의 전송을 차단하도록 더 구성되는 장치.
PCT/KR2016/012383 2015-11-13 2016-10-31 전자 장치를 보호하기 위한 장치 및 방법 WO2017082567A1 (ko)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN201680066265.9A CN108292353B (zh) 2015-11-13 2016-10-31 用于保护电子设备的装置和方法
US15/775,519 US11126712B2 (en) 2015-11-13 2016-10-31 Apparatus and method for protecting electronic device
EP16864493.8A EP3376427B1 (en) 2015-11-13 2016-10-31 Apparatus and method for protecting electronic device

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020150159962A KR102411770B1 (ko) 2015-11-13 2015-11-13 전자 장치를 보호하기 위한 장치 및 방법
KR10-2015-0159962 2015-11-13

Publications (1)

Publication Number Publication Date
WO2017082567A1 true WO2017082567A1 (ko) 2017-05-18

Family

ID=58695706

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2016/012383 WO2017082567A1 (ko) 2015-11-13 2016-10-31 전자 장치를 보호하기 위한 장치 및 방법

Country Status (5)

Country Link
US (1) US11126712B2 (ko)
EP (1) EP3376427B1 (ko)
KR (1) KR102411770B1 (ko)
CN (1) CN108292353B (ko)
WO (1) WO2017082567A1 (ko)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11507656B2 (en) * 2020-12-23 2022-11-22 Intel Corporation Ransomware detection and remediation

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070239751A1 (en) * 2006-03-31 2007-10-11 Sap Ag Generic database manipulator
US20080040565A1 (en) * 2006-08-11 2008-02-14 Carlos Rozas Method and apparatus for supporting immutable memory
WO2008067335A2 (en) * 2006-11-27 2008-06-05 Smobile Systems, Inc. Wireless intrusion prevention system and method
US20150220707A1 (en) * 2014-02-04 2015-08-06 Pegasus Media Security, Llc System and process for monitoring malicious access of protected content
US20150288720A1 (en) * 1996-11-08 2015-10-08 Finjan, Inc. Malicious Mobile Code Runtime Monitoring System and Methods

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004362146A (ja) * 2003-06-03 2004-12-24 Hitachi Ltd ストレージ制御装置の制御方法及びストレージ制御装置
KR100527274B1 (ko) * 2004-06-04 2005-12-13 주식회사 르노소프트 시스템 영역 정보 테이블과 매핑 테이블을 사용한 컴퓨터하드디스크 시스템 데이터 보호 장치 및 그 방법
JP2008117342A (ja) * 2006-11-08 2008-05-22 Hitachi Ltd ストレージシステムおよびリモートコピーを制御するためのコントローラ
US8510569B2 (en) 2009-12-16 2013-08-13 Intel Corporation Providing integrity verification and attestation in a hidden execution environment
CN102034045B (zh) * 2010-12-15 2012-11-28 上海交通大学 低计算机系统资源开销的软件漏洞检测系统
US20130145439A1 (en) * 2011-12-06 2013-06-06 Samsung Electronics Co. Ltd. Apparatus and method for secure storage of information on a mobile terminal
KR101358815B1 (ko) * 2013-06-04 2014-02-11 서울대학교산학협력단 스누프 기반의 커널 무결성 감시 장치 및 그 방법

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150288720A1 (en) * 1996-11-08 2015-10-08 Finjan, Inc. Malicious Mobile Code Runtime Monitoring System and Methods
US20070239751A1 (en) * 2006-03-31 2007-10-11 Sap Ag Generic database manipulator
US20080040565A1 (en) * 2006-08-11 2008-02-14 Carlos Rozas Method and apparatus for supporting immutable memory
WO2008067335A2 (en) * 2006-11-27 2008-06-05 Smobile Systems, Inc. Wireless intrusion prevention system and method
US20150220707A1 (en) * 2014-02-04 2015-08-06 Pegasus Media Security, Llc System and process for monitoring malicious access of protected content

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3376427A4 *

Also Published As

Publication number Publication date
KR20170056369A (ko) 2017-05-23
CN108292353A (zh) 2018-07-17
CN108292353B (zh) 2023-04-07
EP3376427A4 (en) 2018-09-26
US11126712B2 (en) 2021-09-21
KR102411770B1 (ko) 2022-06-22
EP3376427B1 (en) 2021-08-18
US20180357417A1 (en) 2018-12-13
EP3376427A1 (en) 2018-09-19

Similar Documents

Publication Publication Date Title
WO2018012719A1 (en) Electronic apparatus having a hole area within screen and control method thereof
WO2018097662A1 (en) Method and apparatus for managing program of electronic device
WO2017142373A1 (en) Method of controlling the sharing of videos and electronic device adapted thereto
WO2016105033A1 (en) Method and apparatus for providing communication-related information
WO2017164585A1 (en) Electronic device and control method thereof
WO2020246822A1 (en) Electronic device and method for switching electronic device between dual standby mode and single standby mode
WO2018082142A1 (zh) 一种录屏方法以及装置
WO2018139857A1 (en) Electronic device and method for managing data in electronic device
WO2017142256A1 (en) Electronic device for authenticating based on biometric data and operating method thereof
WO2016064156A1 (en) Method for controlling security and electronic device thereof
WO2016093543A1 (en) Method for controlling and electronic device thereof
WO2016039531A1 (en) Electronic device and control method thereof
WO2015156640A1 (en) Method and device for controlling security screen in electronic device
WO2018194313A1 (en) Motion detection method and electronic device supporting the same
WO2018128432A1 (ko) 전자 장치 간 콘텐츠 공유 시스템 및 전자 장치의 콘텐츠 공유 방법
WO2017052053A1 (en) Apparatus and method for protecting information in communication system
WO2018062894A1 (ko) 전력을 제어하는 전자 장치
WO2017126878A1 (ko) 사용자 인터페이스를 표시하는 방법 및 이를 지원하는 전자 장치
EP3374914A1 (en) Electronic device and operating method thereof
WO2018026164A1 (en) Method of processing touch events and electronic device adapted thereto
WO2023033588A1 (ko) 가상화 단말에서 데이터 플로우를 제어하기 위한 시스템 및 그에 관한 방법
WO2016085256A1 (en) Electronic device for managing use of data from other electronic device and method for controlling the same
WO2018076890A1 (zh) 数据备份的方法、装置、存储介质、服务器及系统
WO2019172724A1 (en) Electronic device for determining state of display using one or more specified pins
WO2017010739A1 (en) Electronic device and input/output method thereof

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16864493

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2016864493

Country of ref document: EP