WO2018056601A1 - 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치 및 차단 방법 - Google Patents

콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치 및 차단 방법 Download PDF

Info

Publication number
WO2018056601A1
WO2018056601A1 PCT/KR2017/009512 KR2017009512W WO2018056601A1 WO 2018056601 A1 WO2018056601 A1 WO 2018056601A1 KR 2017009512 W KR2017009512 W KR 2017009512W WO 2018056601 A1 WO2018056601 A1 WO 2018056601A1
Authority
WO
WIPO (PCT)
Prior art keywords
program
content file
access
exe
trusted
Prior art date
Application number
PCT/KR2017/009512
Other languages
English (en)
French (fr)
Inventor
이병곤
Original Assignee
주식회사 위드네트웍스
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 위드네트웍스 filed Critical 주식회사 위드네트웍스
Priority to JP2018559737A priority Critical patent/JP2019531519A/ja
Priority to US16/327,510 priority patent/US20190171826A1/en
Publication of WO2018056601A1 publication Critical patent/WO2018056601A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6281—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database at program execution time, where the protection is within the operating system
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2139—Recurrent verification

Definitions

  • the present invention relates to a ransomware blocking device using a content file access control and a method thereof.
  • Ransomware is a type of malware that is illegally installed on a user's computer without the user's consent, which encrypts the user's file, making it impossible to use, and in return for providing a password to decrypt the password. Says a malicious program.
  • ransomware is a major source of revenue for attackers, the distribution and file types are diversifying, and the damage from ransomware attacks is growing. Therefore, a defense technique is needed.
  • ransomware blocking device and blocking method according to the present invention are intended to detect and block unauthorized encryption of user content files.
  • the present invention is to provide a device and method for controlling when a random access to a content file is performed by a program that does not have a right to modify the content file by broadening the scope without detecting and blocking only ransomware.
  • the ransomware blocking device using the content file access control checks whether a program of a process detected by a user computer is a trusted program, and checks whether a parent process of the program is a trusted program, An access permission program checker that determines whether the program is a program that is allowed to access a content file; A white list register that registers content file information to be protected; And allowing the process to access the content file registered in the white list register when the program of the process is a program that is allowed to access the content file determined by the access permission program checker, and the program of the process And a content file access control unit for blocking the process from accessing the content file registered in the white list registration unit when the program is not allowed to access the content file determined by the access permission program check unit.
  • the access permission program checking unit includes a process start detecting unit, a trust program checking unit, a process tree tracking unit, and a content file access permission information storage unit.
  • the process start detecting unit detects that a process is started in a user computer.
  • the trusted program confirming unit determines whether the program of the process detected by the process start detecting unit is a reliable program.
  • the trusted program is any one of a program installed on the user's computer or a program basically installed on the user's computer.
  • the process tree tracer obtains parent process path information for the program of the process.
  • the content file access permission information storage unit acquires parent process path information for the program when the program of the process is a trusted program, and if the program of the parent process is a trusted program, the program of the parent process is Explorer It determines whether the .exe or Services.exe, and if the program of the parent process is Explorer.exe or Services.exe and stores the program of the process as a program that is allowed to access the content file.
  • the content file access permission information storage unit acquires parent process path information for the program when the program of the process is a trusted program, and if the program of the parent process is a trusted program, the program of the parent process is Explorer Repeating the step of determining whether the .exe or Services.exe is repeated, if the program of the final parent process is Explorer.exe or Services.exe to store the program of the process as a program that is allowed to access the content file.
  • the content file access controller includes a file access detector, a white list checker, a content file access permission information checker, and a process blocker.
  • the file access detector detects that the process attempts to access and modify the content file.
  • the white list checking unit checks whether the content file that the process attempts to modify is a file registered in the white list registration unit.
  • the content file access permission information checking unit confirms whether the program of the process is a program that is allowed to access the content file stored in the content file access permission information storage unit.
  • the process blocking unit prevents the process from accessing the content file registered in the white list register when the program of the process is a program that is not allowed to access the content file.
  • Ransomware blocking method using the content file access control comprises the steps of determining whether the program of the process is detected that the start of the user computer access to the content file; And if the program of the process is not a program that is allowed to access the content file, blocking the process from accessing the content file registered in the white list register that registered the content file information to be protected, Determining whether a program of the process is a program that is allowed to access a content file comprises: determining whether a program of the process is a trusted program; If the program of the process is a trusted program, the process tree is traced to obtain parent process information about the program of the process, and whether the acquired parent process is a trusted program, and the parent process A parent process information checking step of determining whether the parent process's program is Explorer.exe or Services.exe if the program of trusted is a trusted program; And when the program of the parent process is Explorer.exe or Services.exe, storing the program of the process as a content file access permission program.
  • the determining of whether the program is a reliable program may include determining whether the program is one of a program installed in a user computer or a program basically installed in the user computer.
  • the checking of the parent process information may include obtaining parent process information about a program of the process by tracking a process tree when the program of the process is a trusted program, and obtaining the program of the parent process obtained by the process. Determining whether the program of the parent process is a trusted program, and if the program of the parent process is Explorer.exe or Services.exe, repeating the program of the final parent process. Determining whether it is Explorer.exe or Services.exe.
  • the step of preventing the process from accessing the content file registered in the white list register the process access the content file to the content file Detecting what you are trying to fix; Checking whether the content file is a content file registered in the white list registration unit; If it is determined that the content file is a content file registered in the white list register, checking whether the program of the process is a program that is allowed to access the content file; And if the program of the process is not a program that is allowed to access the content file, blocking the process from accessing the content file.
  • Detecting that the process attempts to modify the content file by accessing the content file includes registering a minifilter with the operating system of the user computer to detect the file modification attempt.
  • an apparatus and method for detecting and blocking unauthorized encryption of a user file and an apparatus and method for controlling a random access to a content file by a program that does not have permission to modify the content file. There is an effect that can provide.
  • FIG. 1 is a detailed block diagram of a ransomware blocking apparatus using content file access control according to an embodiment of the present invention.
  • FIG. 2A is an exemplary diagram illustrating a program installed on a user computer by a user on a window
  • FIG. 2B is an exemplary diagram illustrating a program installed on a user computer.
  • FIG. 3 is a diagram illustrating a process of obtaining a parent process path using a process tree.
  • FIG. 4 is a flowchart illustrating a method (S100) of determining whether a program used in a user computer according to the present invention is a program that is allowed to access a content file.
  • FIG. 5 is a flowchart illustrating a method S200 of allowing a program used in a user computer to access a content file according to the present invention.
  • a content file which is a technical term used in the present invention is defined.
  • a content file is a file on your computer that stores the information you need, such as .xls, .doc, .pdf, .jpg, avi, .rar, .zip, .mp4, .png, .psd, .hwp, say .java, js etc.
  • the content file may be stored in a local storage space built into a user computer, or may be stored in an external memory card that is removable from the user computer.
  • the external memory card may include a Secure Digital (SD) card, a Multi Media Card (MMC), a Compact Flash (CF) card, a Micro Drive, a Memory Stick, and a Smart Media.
  • SD Secure Digital
  • MMC Multi Media Card
  • CF Compact Flash
  • the memory may be stored in a universal serial bus (USB) memory or a solid state drive (SSD). Further, the file may be a file stored in an external storage space using a cloud service formed outside the user computer.
  • USB universal serial bus
  • SSD solid state drive
  • FIG. 1 is a detailed block diagram of a ransomware blocking apparatus using content file access control according to an embodiment of the present invention.
  • the ransomware blocking apparatus 100 using the content file access control is a device for blocking the ransomware to access and modify a content file of a user computer. And an access permission program check unit 10, a white list registration unit 20, and a content file access control unit 30.
  • the ransomware blocking apparatus 100 using the content file access control may further include an interface unit or a predetermined network communication unit for connection with other devices.
  • the user computer may include a desktop computer, a smart phone, a tablet computer, and the like.
  • the user computer may execute various programs based on an operating system (OS), and the operating system may include all operating systems of Microsoft Corporation including Windows XP, Windows 7, Windows 8, Windows 10, and the like. .
  • OS operating system
  • the access permission program checker 10 determines and classifies whether a program used in a user computer is a program that is allowed to access a content file.
  • the access permission program checking unit 10 may include a process start detecting unit 11, a trust program checking unit 12, a process tree tracking unit 13, and a content file access permission information storing unit 14. It includes.
  • the process start detecting unit 11 detects that a specific process is started in the user computer.
  • the process is the execution of a program on the user's computer.
  • the trusted program confirming unit 12 determines whether the program of the process detected by the process start detecting unit 11 is a reliable program.
  • the trusted program is either a program installed on the user's computer or a program installed on the user's computer.
  • FIG. 2A is an exemplary diagram illustrating a program installed on a user computer by a user on a window
  • FIG. 2B is an exemplary diagram illustrating a program installed on a user computer.
  • various programs such as bfsvc.exe, explorer.exe, HelpPane.exe, hh.exe, IERegBack.exe, ImageSAFERSvc.exe, notepad.exe, and the like are installed in a user's computer. Is disclosed.
  • the process tree tracking unit 13 obtains parent process path information for the program when the program of the process is a reliable program.
  • the parent process path information can be obtained by tracking the process tree.
  • the process tree tracking section 13 determines whether it is Explorer.exe or Services.exe when the parent process is a trusted program.
  • FIG. 3 is a diagram illustrating a process of obtaining a parent process path using a process tree.
  • the content file access permission information storage unit 14 stores the program of the process as a program that is allowed to access the content file when the program of the parent process is Explorer.exe or Services.exe. Also, if the program of the process is an untrusted program, and the parent process for the program of the process is an untrusted program, even if the program of the process is a trusted program, the program of the process is transferred to the content file. Save as a program that you do not have access to.
  • the notepad.exe is stored as a program that allows access to the content file.
  • the white list registration unit 20 registers content file information to be protected as a white list.
  • the white list registration unit 20 may register an extension of a content file and may also register individual files.
  • the content file access control unit 30 permits access to the content file when the program of the process is a program that is allowed to access the content file, and the program that allows the program of the process to access the content file. Otherwise, the process blocks access to and modification of the content file.
  • the content file access control unit 30 includes a file access detecting unit 31, a white list checking unit 32, a content file access permission information checking unit 33, and a process blocking unit 34.
  • the file access detecting unit 31 detects that the process attempts to access the content file and modify the content file.
  • a minifilter may be registered in an operating system to detect an attempt to modify a file.
  • the white list checking unit 32 checks whether the content file that the process attempts to modify is a file registered in the white list registering unit 20.
  • the process may allow access to the content file stored in the user computer to modify the content file.
  • the content file access permission information checking unit 33 is a program of the process when the content file that the process attempts to modify is a content file registered in the white list registration unit 20. Check whether or not the program is allowed to access the content file stored in (14).
  • the process blocking unit 34 blocks the access to the content file of the process and terminates the process if the program of the process is not allowed to access the content file, and the program of the process is attached to the content file. If the program allows access, the process allows access to the content file.
  • Ransomware blocking device 100 using the content file access control according to an embodiment of the present invention is divided into detailed blocks, but may be integrated into one or classified into various forms.
  • FIG. 4 is a flowchart illustrating a method (S100) of determining whether a program used in a user computer according to the present invention is a program that is allowed to access a content file.
  • the trusted program is either a program installed on the user's computer or a program installed on the user's computer.
  • the process tree is traced to obtain parent process information of the program of the process (S103).
  • program of the parent process is a trusted program, it is determined whether the program of the parent process is Explorer.exe or Services.exe (S105).
  • the program of the parent process is Explorer.exe or Services.exe
  • the program of the process is stored as a content file access permission program (S106).
  • the upper parent process information of the program of the parent process is obtained again (S103). Thereafter, it is again determined whether the program of the upper parent process is a reliable program (S104). This process is repeated until the parent process of the parent process is Explorer.exe or Services.exe.
  • the program used in the user computer is a program that is allowed to access the content file.
  • FIG. 5 is a flowchart illustrating a method S200 of allowing a program used in a user computer to access a content file according to the present invention.
  • a minifilter may be registered in an operating system to detect an attempt to modify a file.
  • the process may allow access to the content file stored in the user computer and modify the file (S204).
  • the method determines whether the program of the process is a program that is allowed to access the content file (S100). Check whether the program is allowed (S203).
  • the program of the process is a program that is allowed to access the content file, and allows access to the content file of the process (S204)
  • the program of the process is not a program to allow access to the content file, Access to the content file of the process is blocked and the process ends (S205).
  • a program used on a user's computer may allow or block access to a content file.
  • the program information and the parent process information of the program to access the content file are tracked and identified to allow and block access to the content file of the process, thereby preventing damage to the content file by ransomware.
  • ransomware can be blocked immediately when ransomware has access to a user's content file with modification rights. There is an effect that can rise dramatically.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Databases & Information Systems (AREA)
  • Automation & Control Theory (AREA)
  • Multimedia (AREA)
  • Technology Law (AREA)
  • Virology (AREA)
  • Storage Device Security (AREA)

Abstract

본 발명은 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치에 관한 것으로, 사용자 컴퓨터에서 시작이 감지된 프로세스의 프로그램이 신뢰할 수 있는 프로그램인지를 확인하고, 상기 프로그램의 부모 프로세스가 신뢰할 수 있는 프로그램인지를 확인하여, 상기 프로그램이 콘텐츠 파일에 접근이 허용되는 프로그램인지를 판단하는 접근 허용 프로그램 확인부; 보호하고자 하는 콘텐츠 파일 정보를 등록한 화이트 리스트 등록부; 및 상기 프로세스의 프로그램이 상기 접근 허용 프로그램 확인부에서 판단한 콘텐츠 파일에 접근이 허용되는 프로그램인 경우에 상기 프로세스가 상기 화이트 리스트 등록부에 등록된 상기 콘텐츠 파일에 접근하는 것을 허용하고, 상기 프로세스의 프로그램이 상기 접근 허용 프로그램 확인부에서 판단한 콘텐츠 파일에 접근이 허용되는 프로그램이 아닌 경우에 상기 프로세스가 상기 화이트 리스트 등록부에 등록된 상기 콘텐츠 파일에 접근하는 것을 차단하는 콘텐츠 파일 접근 제어부;를 포함한다.

Description

콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치 및 차단 방법
본 발명은 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치 및 그 방법에 관한 것이다.
랜섬웨어란 악성코드(malware)의 일종으로, 사용자의 동의 없이 사용자 컴퓨터에 불법으로 설치되어 사용자의 파일을 암호화해서 사용이 불가능 하게 만들어, 암호를 해독하기 위한 비밀번호를 알려주는 대가로 금전적인 요구를 하는 악성 프로그램을 말한다.
랜섬웨어가 공격자의 주요 수익원이 되면서 유포 방식과 파일 형태도 다양해지고 있으며, 랜섬웨어 공격에 대한 피해가 점차 커지고 있다. 따라서 이에 대한 방어 기술이 필요하게 되었다.
이러한 문제점을 해결하기 위하여 시그니처(Signature) 기반 탐지, 행위기반 탐지, 디코이 기반 탐지, 파일 백업 기반 방어 등의 랜섬웨어를 방어하기 위한 다양한 탐지 장치 및 방법이 사용되고 있다.
기존 보안 솔루션들이 사용하는 위와 같은 기술들은 바이러스, 트로이 목마와 같은 악성프로그램을 탐지하기 위한 기술들이며 암호화 자체를 막을 수 없는 문제점이 있다.
본 발명에 의한 랜섬웨어 차단 장치 및 차단 방법에 의하여 사용자 콘텐츠 파일에 대한 무단암호화를 탐지하여 차단하고자 한다.
또한, 랜섬웨어만을 구분하여 탐지 및 차단하지 않고 범위를 더 넓혀 콘텐츠 파일에 대한 수정 권한이 없는 프로그램이 콘텐츠 파일에 무작위 접근을 할 때 제어하는 장치 및 방법을 제공하고자 한다.
본 발명에 따른 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치는 사용자 컴퓨터에서 시작이 감지된 프로세스의 프로그램이 신뢰할 수 있는 프로그램인지를 확인하고, 상기 프로그램의 부모 프로세스가 신뢰할 수 있는 프로그램인지를 확인하여, 상기 프로그램이 콘텐츠 파일에 접근이 허용되는 프로그램인지를 판단하는 접근 허용 프로그램 확인부; 보호하고자 하는 콘텐츠 파일 정보를 등록한 화이트 리스트 등록부; 및 상기 프로세스의 프로그램이 상기 접근 허용 프로그램 확인부에서 판단한 콘텐츠 파일에 접근이 허용되는 프로그램인 경우에 상기 프로세스가 상기 화이트 리스트 등록부에 등록된 상기 콘텐츠 파일에 접근하는 것을 허용하고, 상기 프로세스의 프로그램이 상기 접근 허용 프로그램 확인부에서 판단한 콘텐츠 파일에 접근이 허용되는 프로그램이 아닌 경우에 상기 프로세스가 상기 화이트 리스트 등록부에 등록된 상기 콘텐츠 파일에 접근하는 것을 차단하는 콘텐츠 파일 접근 제어부;를 포함한다.
상기 접근 허용 프로그램 확인부는 프로세스 시작 감지부, 신뢰 프로그램 확인부, 프로세스 트리 추적부 및 콘텐츠 파일 접근 허용 정보 저장부를 포함한다.
상기 프로세스 시작 감지부는 사용자 컴퓨터에서 프로세스가 시작되는 것을 감지한다.
상기 신뢰 프로그램 확인부는 상기 프로세스 시작 감지부에서 감지된 프로세스의 프로그램이 신뢰할 수 있는 프로그램인지 여부를 판단한다.
상기 신뢰할 수 있는 프로그램은 사용자가 사용자 컴퓨터에 설치한 프로그램 또는 사용자 컴퓨터에 기본설치되는 프로그램 중 어느 하나이다.
상기 프로세스 트리 추적부는 상기 프로세스의 프로그램에 대한 부모 프로세스 경로 정보를 얻는다.
상기 콘텐츠 파일 접근 허용 정보 저장부는 상기 프로세스의 프로그램이 신뢰할 수 있는 프로그램인 경우에, 상기 프로그램에 대한 부모 프로세스 경로 정보를 획득하여 상기 부모 프로세스의 프로그램이 신뢰할 수 있는 프로그램이면 상기 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인지 판단하고, 상기 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인 경우에 상기 프로세스의 프로그램을 상기 콘텐츠 파일에 접근이 허용되는 프로그램으로 저장한다.
상기 콘텐츠 파일 접근 허용 정보 저장부는 상기 프로세스의 프로그램이 신뢰할 수 있는 프로그램인 경우에, 상기 프로그램에 대한 부모 프로세스 경로 정보를 획득하여 상기 부모 프로세스의 프로그램이 신뢰할 수 있는 프로그램이면 상기 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인지 판단하는 단계를 반복하여 최종적인 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인 경우에 상기 프로세스의 프로그램을 상기 콘텐츠 파일에 접근이 허용되는 프로그램으로 저장한다.
상기 콘텐츠 파일 접근 제어부는 파일 접근 감지부, 화이트 리스트 확인부, 콘텐츠 파일 접근 허용 정보 확인부 및 프로세스 차단부를 포함한다.
상기 파일 접근 감지부는 상기 프로세스가 상기 콘텐츠 파일에 접근하여 수정하려고 시도하려는 것을 감지한다.
상기 화이트 리스트 확인부는 상기 프로세스가 수정하려고 시도하는 콘텐츠 파일이 상기 화이트 리스트 등록부에 등록된 파일인지를 확인한다.
상기 콘텐츠 파일 접근 허용 정보 확인부는 상기 프로세스의 프로그램이 상기 콘텐츠 파일 접근 허용 정보 저장부에 저장된 콘텐츠 파일에 접근이 허용되는 프로그램인지를 확인한다.
상기 프로세스 차단부는 상기 프로세스의 프로그램이 콘텐츠 파일에 접근이 허용되지 않은 프로그램일 경우에, 상기 프로세스가 상기 화이트 리스트 등록부에 등록된 상기 콘텐츠 파일에 접근하는 것을 차단한다.
본 발명에 따른 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 방법은 사용자 컴퓨터에서 시작이 감지된 프로세스의 프로그램이 콘텐츠 파일에 접근이 허용되는 프로그램인지를 판단하는 단계; 및 상기 프로세스의 프로그램이 콘텐츠 파일에 접근이 허용되는 프로그램이 아닌 경우에, 보호하고자 하는 콘텐츠 파일 정보를 등록한 화이트 리스트 등록부에 등록된 상기 콘텐츠 파일에 상기 프로세스가 접근하는 것을 차단하는 단계를 포함하고, 상기 프로세스의 프로그램이 콘텐츠 파일에 접근이 허용되는 프로그램인지를 판단하는 단계는, 상기 프로세스의 프로그램이 신뢰할 수 있는 프로그램인지를 판단하는 단계; 상기 프로세스의 프로그램이 신뢰할 수 있는 프로그램인 경우에 프로세스 트리를 추적하여 상기 프로세스의 프로그램에 대한 부모 프로세스 정보를 획득하고, 획득된 상기 부모 프로세스의 프로그램이 신뢰할 수 있는 프로그램인지를 판단하고, 상기 부모 프로세스의 프로그램이 신뢰할 수 있는 프로그램인 경우에 상기 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인지를 판단하는 것을 포함하는 부모 프로세스 정보 확인 단계; 및 상기 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인 경우에 상기 프로세스의 프로그램을 콘텐츠 파일 접근 허용 프로그램으로 저장하는 단계;를 포함한다.
상기 프로그램이 신뢰할 수 있는 프로그램인지를 판단하는 단계는, 상기 프로그램이 사용자가 사용자 컴퓨터에 설치한 프로그램 또는 사용자 컴퓨터에 기본설치되는 프로그램 중 어느 하나인지를 판단한다.
상기 부모 프로세스 정보 확인 단계는, 상기 프로세스의 프로그램이 신뢰할 수 있는 프로그램인 경우에, 프로세스 트리를 추적하여 상기 프로세스의 프로그램에 대한 부모 프로세스 정보를 획득하는 단계, 획득된 상기 부모 프로세스의 프로그램이 신뢰할 수 있는 프로그램인지를 판단하는 단계, 및 상기 부모 프로세스의 프로그램이 신뢰할 수 있는 프로그램인 경우에 상기 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인지를 판단하는 단계를 반복하여, 최종적인 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인지를 판단하는 단계를 포함한다.
상기 프로세스의 프로그램이 콘텐츠 파일에 접근이 허용되는 프로그램이 아닌 경우에 상기 화이트 리스트 등록부에 등록된 상기 콘텐츠 파일에 상기 프로세스가 접근하는 것을 차단하는 단계는, 상기 프로세스가 상기 콘텐츠 파일에 접근하여 콘텐츠 파일을 수정하려고 시도하려는 것을 감지하는 단계; 상기 콘텐츠 파일이 상기 화이트 리스트 등록부에 등록된 콘텐츠 파일인지 를 확인하는 단계; 상기 콘텐츠 파일이 상기 화이트 리스트 등록부에 등록된 콘텐츠 파일로 판단되면, 상기 프로세스의 프로그램이 상기 콘텐츠 파일에 접근이 허용되는 프로그램인지를 확인하는 단계; 및 상기 프로세스의 프로그램이 상기 콘텐츠 파일에 접근이 허용되는 프로그램이 아니면 상기 콘텐츠 파일에 상기 프로세스가 접근하는 것을 차단하는 단계를 포함한다.
상기 프로세스가 상기 콘텐츠 파일에 접근하여 콘텐츠 파일을 수정하려고 시도하려는 것을 감지하는 단계는, 상기 사용자 컴퓨터의 운영체제에 미니필터를 등록하여 파일 수정 시도를 감지한다.
본 발명에 의하면, 사용자 파일에 대한 무단암호화를 탐지 및 차단할 수 있는 장치 및 방법을 제공할 수 있으며, 또한 콘텐츠 파일에 대한 수정 권한이 없는 프로그램이 콘텐츠 파일에 무작위 접근 할 때 이를 제어하는 장치 및 방법을 제공할 수 있는 효과가 있다.
이하, 본 발명의 실시예가 제공한 기술방안을 보다 명확히 해석하기 위하여, 실시예에 대한 설명에 필요한 도면을 간략하게 소개한다. 이하에서 설명하는 도면은 본 발명의 모든 실시예이며, 본 기술분야의 통상의 지식을 가진 자는 진보성 창출에 힘쓰지 않는 전제하에 이러한 도면에 의하여 진일보로 다른 도면을 얻을 수 있는 것은 물론이다.
도 1은 본 발명의 일 실시예에 따른 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치의 세부적인 블럭도이다.
도 2a는 윈도우 상에서 사용자가 사용자 컴퓨터에 설치한 프로그램을 나타내는 예시도이고, 도 2b는 사용자 컴퓨터에 기본설치되는 프로그램을 나타내는 예시도이다.
도 3은 프로세스 트리를 이용하여 부모 프로세스 경로를 얻는 과정을 나타낸 도면이다.
도 4는 본 발명에 따른 사용자 컴퓨터에서 사용되는 프로그램이 콘텐츠 파일에 접근이 허용되는 프로그램인지를 판단하는 방법(S100)을 나타내는 흐름도이다.
도 5는 본 발명에 따른 사용자 컴퓨터에서 사용되는 프로그램이 콘텐츠 파일에 접근하는 것을 허용하는 방법(S200)을 나타내는 흐름도이다.
본 발명의 이점 및 특징, 그리고 그것들을 달성하는 방법은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시예들을 참조하면 명확해질 것이다. 그러나 본 발명은 이하에서 개시되는 실시예들에 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 수 있으며, 단지 본 실시예들은 본 발명의 개시가 완전하도록 하고, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 발명의 범주를 완전하게 알려주기 위해 제공되는 것이며, 본 발명은 청구항의 범주에 의해 정의될 뿐이다.
본 발명의 실시예들을 설명함에 있어서 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략할 것이다. 그리고 후술되는 용어들은 본 발명의 실시예에서의 기능을 고려하여 정의된 용어들로서 이는 사용자, 운용자의 의도 또는 관례 등에 따라 달라질 수 있다. 그러므로 그 정의는 본 명세서 전반에 걸친 내용을 토대로 내려져야 할 것이다.
먼저, 본 발명에서 사용되는 기술용어인 콘텐츠 파일에 대하여 정의한다. 콘텐츠 파일이란 사용자 컴퓨터에서 사용자가 필요한 정보를 저장한 파일, 예를 들어 .xls, .doc, .pdf, .jpg, avi, .rar, .zip, .mp4, .png, .psd, .hwp, .java, js 등을 말한다. 상기 콘텐츠 파일은 사용자 컴퓨터에 내장된 로컬(local) 저장 공간에 저장되어 있을 수도 있고, 상기 사용자 컴퓨터에 탈착이 가능한 외장 메모리 카드에 저장되어 있을 수도 있다. 상기 외장 메모리 카드는 SD(Secure Digital)카드, 멀티미디어 카드(Multi Media Card; MMC), 컴팩트 플래시(Compact Flash: CF) 카드, 마이크로 드라이브(Micro Drive), 메모리 스틱(Memory Stick), 스마트 미디어(Smart Media) 카드, xD 픽처(Extreme Digital Picture) 카드 중 하나일 수 있다. 또한, USB(Universal Serial Bus) 메모리, SSD(Soli State Drive)에 저장되어 있을 수 있다. 나아가, 상기 사용자 컴퓨터 외부에 형성되는 클라우드 서비스를 이용한 외부 저장 공간에 저장된 파일일 수도 있다.
이와 같은 콘텐츠 파일은 사용자에게 필요한 정보가 저장되어 있으므로, 콘텐츠 파일에 대한 랜섬웨어의 접근을 차단할 필요가 있다.
이하 본 발명의 랜섬웨어를 차단하기 위한 장치 및 방법을 설명한다.
도 1은 본 발명의 일 실시예에 따른 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치의 세부적인 블럭도이다.
도 1을 참조하면, 본 발명의 일 실시예에 의한 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치(100)는 사용자 컴퓨터의 콘텐츠 파일에 랜섬웨어가 접근하여 수정하려는 경우에 이를 차단하기 위한 장치로서, 접근 허용 프로그램 확인부(10), 화이트 리스트 등록부(20) 및 콘텐츠 파일 접근 제어부(30)를 포함한다. 여기서 상기 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치(100)는 그 외 다른 기기와의 연결을 위한 인터페이스부 또는 소정의 네트워크 통신부를 더 포함할 수 있다.
상기 사용자 컴퓨터는 데스크 탑 컴퓨터, 스마트 폰, 태블릿 컴퓨터 등을 포함할 수 있다. 또한, 상기 사용자 컴퓨터는 운영체제(Operation System; OS)를 기반으로 다양한 프로그램을 실행할 수 있으며, 상기 운영체제는 Windows XP, Windows 7, Windows 8, Windows 10 등을 포함하는 Microsoft사의 운영체제를 모두 포함할 수 있다.
먼저, 상기 접근 허용 프로그램 확인부(10)는 사용자 컴퓨터에서 사용되는 프로그램이 콘텐츠 파일에 접근이 허용되는 프로그램인지를 판단하고 분류한다. 이와 같은 판단 및 분류를 위하여 접근 허용 프로그램 확인부(10)는 프로세스 시작 감지부(11), 신뢰 프로그램 확인부(12), 프로세스 트리 추적부(13), 콘텐츠 파일 접근 허용 정보 저장부(14)를 포함한다.
상기 프로세스 시작 감지부(11)는 사용자 컴퓨터에서 특정 프로세스가 시작되는 것을 감지한다. 상기 프로세스는 상기 사용자 컴퓨터에서 프로그램이 실행되는 것이다.
상기 신뢰 프로그램 확인부(12)는 상기 프로세스 시작 감지부(11)에서 감지된 프로세스의 프로그램이 신뢰할 수 있는 프로그램인지 여부를 판단한다. 여기서 신뢰할 수 있는 프로그램이란 사용자가 사용자 컴퓨터에 설치한 프로그램 또는 사용자 컴퓨터에 기본설치되는 프로그램 중 어느 하나이다.
도 2a는 윈도우 상에서 사용자가 사용자 컴퓨터에 설치한 프로그램을 나타내는 예시도이고, 도 2b는 사용자 컴퓨터에 기본설치되는 프로그램을 나타내는 예시도이다.
도 2a를 참조하면, 사용자가 사용자 컴퓨터에 설치한 프로그램이 Windows//Programe Files 하부 목록에 개시되어 있다.
또한, 도 2b를 참조하면, 사용자 컴퓨터에 기본설치되는 프로그램으로 Windows 하부에 bfsvc.exe, explorer.exe, HelpPane.exe, hh.exe, IERegBack.exe, ImageSAFERSvc.exe, notepad.exe 등 다양한 프로그램이 개시되어 있다.
상기 프로세스 트리 추적부(13)는 상기 프로세스의 프로그램이 신뢰할 수 있는 프로그램인 경우에 상기 프로그램에 대한 부모 프로세스 경로 정보를 얻는다. 상기 부모 프로세스 경로 정보는 프로세스 트리를 추적하여 파악할 수 있다.
상기 프로세스 트리 추적부(13)는 이후 상기 부모 프로세스가 신뢰할 수 있는 프로그램인 경우에 그것이 최종적으로 Explorer.exe 또는 Services.exe인지 여부를 판단한다.
도 3은 프로세스 트리를 이용하여 부모 프로세스 경로를 얻는 과정을 나타낸 도면이다.
도 3을 참조하면, 상기 프로세스의 프로그램이 notepad.exe인 경우에 notepad.exe의 프로세스 ID와 부모 프로세스 ID를 구하고(①), 부모 프로세스 ID를 추적하여 부모 프로세스를 확인한다(②). 도 3의 실시예에서는 explorer.exe가 부모 프로세스의 프로그램임을 알 수 있다.
상기 콘텐츠 파일 접근 허용 정보 저장부(14)는 상기 부모 프로세스의 프로그램이 최종적으로 Explorer.exe 또는 Services.exe인 경우에 상기 프로세스의 프로그램을 상기 콘텐츠 파일에 접근이 허용되는 프로그램으로 저장한다. 또한 상기 프로세스의 프로그램이 신뢰할 수 없는 프로그램인 경우와, 상기 프로세스의 프로그램이 신뢰할 수 있는 프로그램인 경우에도 상기 프로세스의 프로그램에 대한 부모 프로세스가 신뢰할 수 없는 프로그램인 경우에는 상기 프로세스의 프로그램을 상기 콘텐츠 파일에 접근 권한이 없는 프로그램으로 저장한다.
도 3의 실시예에서는 상기 부모 프로세스의 프로그램이 최종적으로 Explorer.exe 이므로, 상기 notepad.exe를 상기 콘텐츠 파일에 접근이 허용되는 프로그램으로 저장한다.
상기 화이트 리스트 등록부(20)는 보호하고자 하는 콘텐츠 파일 정보를 화이트 리스트(white list)로 등록한다.
상기 화이트 리스트 등록부(20)에는 콘텐츠 파일의 확장자를 등록할 수 있으며, 또한 개별적인 파일을 등록할 수도 있다.
상기 콘텐츠 파일 접근 제어부(30)는 상기 프로세스의 프로그램이 상기 콘텐츠 파일에 접근이 허용되는 프로그램인 경우에는 콘텐츠 파일에 대한 접근을 허용하고, 상기 프로세스의 프로그램이 상기 콘텐츠 파일에 접근이 허용되는 프로그램이 아닌 경우에 상기 프로세스가 상기 콘텐츠 파일에 접근하여 수정하는 것을 차단한다. 상기 콘텐츠 파일 접근 제어부(30)는 파일 접근 감지부(31), 화이트 리스트 확인부(32), 콘텐츠 파일 접근 허용 정보 확인부(33) 및 프로세스 차단부(34)를 포함한다.
상기 파일 접근 감지부(31)는 상기 프로세스가 상기 콘텐츠 파일에 접근하여 상기 콘텐츠 파일을 수정하려고 시도하려는 것을 감지한다. 구체적으로 운영체제에 미니필터를 등록하여 파일 수정 시도를 감지할 수 있다.
상기 화이트 리스트 확인부(32)는 상기 프로세스가 수정하려고 시도하는 콘텐츠 파일이 상기 화이트 리스트 등록부(20)에 등록된 파일인지 여부를 확인한다.
이때 상기 프로세스가 수정하려고 시도하는 콘텐츠 파일이 상기 화이트 리스트 등록부(20)에 등록되지 않은 파일인 경우에는 상기 프로세스가 상기 사용자 컴퓨터에 저장된 콘텐츠 파일에 접근하여 콘텐츠 파일을 수정하는 것을 허용할 수 있다.
상기 콘텐츠 파일 접근 허용 정보 확인부(33)는 상기 프로세스가 수정하려고 시도하는 콘텐츠 파일이 상기 화이트 리스트 등록부(20)에 등록된 콘텐츠 파일인 경우에 상기 프로세스의 프로그램이 상기 콘텐츠 파일 접근 허용 정보 저장부(14)에 저장된 콘텐츠 파일에 접근이 허용되는 프로그램인지 여부를 확인한다.
상기 프로세스 차단부(34)는 상기 프로세스의 프로그램이 콘텐츠 파일에 접근이 허용되지 않은 프로그램이면 상기 프로세스의 상기 콘텐츠 파일에 대한 접근을 차단하고 상기 프로세스를 종료하고, 상기 프로세스의 프로그램이 상기 콘텐츠 파일에 접근이 허용되는 프로그램이면 상기 프로세스의 상기 콘텐츠 파일에 대한 접근을 허용한다.
본 발명의 일 실시예에 의한 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치(100)는 세부적인 블럭으로 구분되어 있으나, 하나로 통합되거나 다양한 형태로 분류될 수 있다.
이와 같은 장치에 의하여 콘텐츠 파일에 대한 수정 권한이 없는 프로세스가 콘텐츠 파일에 무작위 접근을 할 때 이를 차단하면 랜섬웨어을 차단할 수 있으며, 그에 따라 랜섬웨어에 의한 피해를 줄일 수 있는 효과가 있다.
이하 본 발명에 따른 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 방법을 도 4 및 도 5을 참조하여 설명한다.
먼저, 사용자 컴퓨터에서 사용되는 프로그램이 콘텐츠 파일에 접근이 허용되는 프로그램인지를 판단하는 방법에 대하여 설명한다.
도 4는 본 발명에 따른 사용자 컴퓨터에서 사용되는 프로그램이 콘텐츠 파일에 접근이 허용되는 프로그램인지를 판단하는 방법(S100)을 나타내는 흐름도이다.
도 4를 참조하면, 먼저 사용자 컴퓨터에서 프로세스가 시작되는 것을 감지한다(S101).
이후 시작이 감지된 프로세스의 프로그램이 신뢰할 수 있는 프로그램인지 여부를 판단한다(S102). 여기서 신뢰할 수 있는 프로그램이란 사용자가 사용자 컴퓨터에 설치한 프로그램 또는 사용자 컴퓨터에 기본설치되는 프로그램 중 어느 하나이다.
여기서, 시작이 감지된 프로세스의 프로그램이 신뢰할 수 있는 프로그램인 경우에는 프로세스 트리를 추적하여 상기 프로세스의 프로그램에 대한 부모 프로세스 정보를 획득한다(S103).
이후 획득된 상기 부모 프로세스의 프로그램이 신뢰할 수 있는 프로그램인지 여부를 판단한다(S104).
상기 부모 프로세스의 프로그램이 신뢰할 수 있는 프로그램인 경우에는 상기 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인지 여부를 판단한다(S105).
상기 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인 경우에는 상기 프로세스의 프로그램을 콘텐츠 파일 접근 허용 프로그램으로 저장한다(S106).
만약 상기 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe이 아닌 경우에는 다시 상기 부모 프로세스의 프로그램에 대한 상위 부모 프로세스 정보를 얻는다(S103). 이후 다시 상기 상위 부모 프로세스의 프로그램이 신뢰할 수 있는 프로그램인지 여부를 판단한다(S104). 이와 같은 과정은 상기 부모 프로세스의 부모 프로세스가 Explorer.exe 또는 Services.exe인 경우까지 계속하여 반복한다.
따라서 최종적으로 상기 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인 경우에, 상기 프로세스의 프로그램을 콘텐츠 파일 접근 허용 프로그램으로 정보를 저장한다(S106).
만약 시작이 감지된 프로세스의 프로그램이 신뢰할 수 없는 프로그램인 경우에는 콘텐츠 파일에 대한 접근 권한이 없는 것으로 판단한다(S107). 또한 상기 부모 프로세스가 신뢰할 수 없는 프로그램인 경우에도 콘텐츠 파일에 대한 접근 권한이 없는 것으로 판단한다(S107).
이와 같은 단계를 거쳐 사용자 컴퓨터에서 사용되는 프로그램이 콘텐츠 파일에 접근이 허용되는 프로그램인지를 판단할 수 있다.
도 5는 본 발명에 따른 사용자 컴퓨터에서 사용되는 프로그램이 콘텐츠 파일에 접근하는 것을 허용하는 방법(S200)을 나타내는 흐름도이다.
도 5를 참조하면, 특정 프로세스가 콘텐츠 파일에 접근하여 콘텐츠 파일을 수정하려고 시도하려는 것을 감지한다(S201). 구체적으로 운영체제에 미니필터를 등록하여 파일 수정 시도를 감지할 수 있다.
이후 상기 프로세스가 수정하려고 시도하는 콘텐츠 파일이 상기 화이트 리스트 등록부에 저장된 콘텐츠 파일인지 여부를 확인한다(S202).
이때 상기 프로세스가 수정하려고 시도하는 콘텐츠 파일이 상기 화이트 리스트 등록부에 등록되지 않은 콘텐츠 파일인 경우에는 상기 프로세스가 상기 사용자 컴퓨터에 저장된 콘텐츠 파일에 접근 및 파일을 수정하는 것을 허용할 수 있다(S204).
상기 프로세스가 수정하려고 시도하는 파일이 상기 화이트 리스트 등록부에 등록된 콘텐츠 파일로 판단되면, 상기 프로세스의 프로그램이 콘텐츠 파일에 접근이 허용되는 프로그램인지를 판단하는 방법(S100)에 의하여 판단된 콘텐츠 파일 접근 허용 프로그램인지 여부를 확인한다(S203).
이때 상기 프로세스의 프로그램이 상기 콘텐츠 파일에 접근이 허용되는 프로그램이면, 상기 프로세스의 상기 콘텐츠 파일에 대한 접근을 허용하고(S204), 상기 프로세스의 프로그램이 상기 콘텐츠 파일에 접근이 허용되는 프로그램이 아니면, 상기 프로세스의 상기 콘텐츠 파일에 대한 접근을 차단하고 프로세스를 종료한다(S205).
이와 같은 단계를 거쳐 사용자 컴퓨터에서 사용되는 프로그램이 콘텐츠 파일에 접근을 허용 또는 차단할 수 있다.
이와 같이 프로세스가 시작되면 콘텐츠 파일에 접근하려는 프로그램의 정보 및 그 부모 프로세스 정보를 추적하고 파악하여 상기 프로세스의 콘텐츠 파일에 대한 접근을 허용 및 차단함으로써, 랜섬웨어에 의한 콘텐츠 파일의 피해를 방지할 수 있으며, 또한 랜섬웨어만을 구분하여 탐지 및 차단하지 않고 범위를 더 넓혀 콘텐츠 파일에 대한 수정 권한이 없는 프로그램의 콘텐츠 파일에 대한 무작위 접근을 제어할 수 있는 효과가 있다.
이와 같은 콘텐츠 파일 접근 제어 기술을 사용하면 사용자가 직접 문서파일을 열어 수정하는 것인지, 비합법적인 프로그램이 파일을 열어 수정하는 것인지 구분이 가능하게 된다. 따라서 랜섬웨어가 어떤식으로 동작하던지, 랜섬웨어의 유입경로 및 형태에 상관없이, 랜섬웨어가 수정권한을 가지고 사용자의 콘텐츠 파일에 접근했을 경우에 랜섬웨어를 즉시 차단할 수 있으며, 사용자 컴퓨터의 보안성을 비약적으로 상승시킬 수 있는 효과가 있다.
위에서 언급한 것은 단지 본 발명의 바람직한 실시 예일 뿐 본 발명을 한정하기 위한 것이 아니다. 본 발명의 정신과 원리의 범주 내에서 진행하는 모든 수정, 등가적 대체와 개선은 모두 본 발명의 보호범위 내에 속해야 할 것이다.
(부호의 설명)
100 : 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치
10 : 접근 허용 프로그램 확인부
20 : 화이트 리스트 등록부
30 : 콘텐츠 파일 접근 제어부
11 : 프로세스 시작 감지부
12 : 신뢰 프로그램 확인부
13 : 프로세스 트리 추적부
14 : 콘텐츠 파일 접근 허용 정보 저장부
31 : 파일 접근 감지부
32 : 화이트 리스트 확인부
33 : 콘텐츠 파일 접근 허용 정보 확인부
34 : 프로세스 차단부

Claims (18)

  1. 사용자 컴퓨터에서 시작이 감지된 프로세스의 프로그램이 신뢰할 수 있는 프로그램인지를 확인하고, 상기 프로그램의 부모 프로세스가 신뢰할 수 있는 프로그램인지를 확인하여, 상기 프로그램이 콘텐츠 파일에 접근이 허용되는 프로그램인지를 판단하는 접근 허용 프로그램 확인부;
    보호하고자 하는 콘텐츠 파일 정보를 등록한 화이트 리스트 등록부; 및
    상기 프로세스의 프로그램이 상기 접근 허용 프로그램 확인부에서 판단한 콘텐츠 파일에 접근이 허용되는 프로그램인 경우에 상기 프로세스가 상기 화이트 리스트 등록부에 등록된 상기 콘텐츠 파일에 접근하는 것을 허용하고, 상기 프로세스의 프로그램이 상기 접근 허용 프로그램 확인부에서 판단한 콘텐츠 파일에 접근이 허용되는 프로그램이 아닌 경우에 상기 프로세스가 상기 화이트 리스트 등록부에 등록된 상기 콘텐츠 파일에 접근하는 것을 차단하는 콘텐츠 파일 접근 제어부;를 포함하는 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치.
  2. 제1항에 있어서,
    상기 접근 허용 프로그램 확인부는 프로세스 시작 감지부, 신뢰 프로그램 확인부, 프로세스 트리 추적부 및 콘텐츠 파일 접근 허용 정보 저장부를 포함하는 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치.
  3. 제2항에 있어서,
    상기 프로세스 시작 감지부는 사용자 컴퓨터에서 프로세스가 시작되는 것을 감지하는 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치.
  4. 제2항에 있어서,
    상기 신뢰 프로그램 확인부는 상기 프로세스 시작 감지부에서 감지된 프로세스의 프로그램이 신뢰할 수 있는 프로그램인지 여부를 판단하는 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치.
  5. 제4항에 있어서,
    상기 신뢰할 수 있는 프로그램은 사용자가 사용자 컴퓨터에 설치한 프로그램 또는 사용자 컴퓨터에 기본설치되는 프로그램 중 어느 하나인 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치.
  6. 제2항에 있어서,
    상기 프로세스 트리 추적부는 상기 프로세스의 프로그램에 대한 부모 프로세스 경로 정보를 얻는 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치.
  7. 제6항에 있어서,
    상기 콘텐츠 파일 접근 허용 정보 저장부는 상기 프로세스의 프로그램이 신뢰할 수 있는 프로그램인 경우에, 상기 프로그램에 대한 부모 프로세스 경로 정보를 획득하여 상기 부모 프로세스의 프로그램이 신뢰할 수 있는 프로그램이면 상기 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인지 판단하고, 상기 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인 경우에 상기 프로세스의 프로그램을 상기 콘텐츠 파일에 접근이 허용되는 프로그램으로 저장하는 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치.
  8. 제7항에 있어서,
    상기 콘텐츠 파일 접근 허용 정보 저장부는 상기 프로세스의 프로그램이 신뢰할 수 있는 프로그램인 경우에, 상기 프로그램에 대한 부모 프로세스 경로 정보를 획득하여 상기 부모 프로세스의 프로그램이 신뢰할 수 있는 프로그램이면 상기 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인지 판단하는 단계를 반복하여 최종적인 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인 경우에 상기 프로세스의 프로그램을 상기 콘텐츠 파일에 접근이 허용되는 프로그램으로 저장하는 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치.
  9. 제2항에 있어서,
    상기 콘텐츠 파일 접근 제어부는 파일 접근 감지부, 화이트 리스트 확인부, 콘텐츠 파일 접근 허용 정보 확인부 및 프로세스 차단부를 포함하는 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치.
  10. 제9항에 있어서,
    상기 파일 접근 감지부는 상기 프로세스가 상기 콘텐츠 파일에 접근하여 수정하려고 시도하려는 것을 감지하는 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치.
  11. 제10항에 있어서,
    상기 화이트 리스트 확인부는 상기 프로세스가 수정하려고 시도하는 콘텐츠 파일이 상기 화이트 리스트 등록부에 등록된 파일인지를 확인하는 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치.
  12. 제9항에 있어서,
    상기 콘텐츠 파일 접근 허용 정보 확인부는 상기 프로세스의 프로그램이 상기 콘텐츠 파일 접근 허용 정보 저장부에 저장된 콘텐츠 파일에 접근이 허용되는 프로그램인지를 확인하는 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치.
  13. 제9항에 있어서,
    상기 프로세스 차단부는 상기 프로세스의 프로그램이 콘텐츠 파일에 접근이 허용되지 않은 프로그램일 경우에, 상기 프로세스가 상기 화이트 리스트 등록부에 등록된 상기 콘텐츠 파일에 접근하는 것을 차단하는 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치.
  14. 사용자 컴퓨터에서 시작이 감지된 프로세스의 프로그램이 콘텐츠 파일에 접근이 허용되는 프로그램인지를 판단하는 단계; 및
    상기 프로세스의 프로그램이 콘텐츠 파일에 접근이 허용되는 프로그램이 아닌 경우에, 보호하고자 하는 콘텐츠 파일 정보를 등록한 화이트 리스트 등록부에 등록된 상기 콘텐츠 파일에 상기 프로세스가 접근하는 것을 차단하는 단계를 포함하고,
    상기 프로세스의 프로그램이 콘텐츠 파일에 접근이 허용되는 프로그램인지를 판단하는 단계는,
    상기 프로세스의 프로그램이 신뢰할 수 있는 프로그램인지를 판단하는 단계;
    상기 프로세스의 프로그램이 신뢰할 수 있는 프로그램인 경우에 프로세스 트리를 추적하여 상기 프로세스의 프로그램에 대한 부모 프로세스 정보를 획득하고, 획득된 상기 부모 프로세스의 프로그램이 신뢰할 수 있는 프로그램인지를 판단하고, 상기 부모 프로세스의 프로그램이 신뢰할 수 있는 프로그램인 경우에 상기 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인지를 판단하는 것을 포함하는 부모 프로세스 정보 확인 단계; 및
    상기 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인 경우에 상기 프로세스의 프로그램을 콘텐츠 파일 접근 허용 프로그램으로 저장하는 단계;를 포함하는 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 방법.
  15. 제14항에 있어서,
    상기 프로그램이 신뢰할 수 있는 프로그램인지를 판단하는 단계는, 상기 프로그램이 사용자가 사용자 컴퓨터에 설치한 프로그램 또는 사용자 컴퓨터에 기본설치되는 프로그램 중 어느 하나인지를 판단하는 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 방법.
  16. 제14항에 있어서,
    상기 부모 프로세스 정보 확인 단계는,
    상기 프로세스의 프로그램이 신뢰할 수 있는 프로그램인 경우에,
    프로세스 트리를 추적하여 상기 프로세스의 프로그램에 대한 부모 프로세스 정보를 획득하는 단계, 획득된 상기 부모 프로세스의 프로그램이 신뢰할 수 있는 프로그램인지를 판단하는 단계, 및 상기 부모 프로세스의 프로그램이 신뢰할 수 있는 프로그램인 경우에 상기 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인지를 판단하는 단계를 반복하여, 최종적인 부모 프로세스의 프로그램이 Explorer.exe 또는 Services.exe인지를 판단하는 단계를 포함하는 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 방법.
  17. 제14항에 있어서,
    상기 프로세스의 프로그램이 콘텐츠 파일에 접근이 허용되는 프로그램이 아닌 경우에 상기 화이트 리스트 등록부에 등록된 상기 콘텐츠 파일에 상기 프로세스가 접근하는 것을 차단하는 단계는,
    상기 프로세스가 상기 콘텐츠 파일에 접근하여 콘텐츠 파일을 수정하려고 시도하려는 것을 감지하는 단계;
    상기 콘텐츠 파일이 상기 화이트 리스트 등록부에 등록된 콘텐츠 파일인지 를 확인하는 단계;
    상기 콘텐츠 파일이 상기 화이트 리스트 등록부에 등록된 콘텐츠 파일로 판단되면, 상기 프로세스의 프로그램이 상기 콘텐츠 파일에 접근이 허용되는 프로그램인지를 확인하는 단계;및
    상기 프로세스의 프로그램이 상기 콘텐츠 파일에 접근이 허용되는 프로그램이 아니면 상기 콘텐츠 파일에 상기 프로세스가 접근하는 것을 차단하는 단계를 포함하는 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 방법.
  18. 제17항에 있어서,
    상기 프로세스가 상기 콘텐츠 파일에 접근하여 콘텐츠 파일을 수정하려고 시도하려는 것을 감지하는 단계는, 상기 사용자 컴퓨터의 운영체제에 미니필터를 등록하여 파일 수정 시도를 감지하는 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 방법.
PCT/KR2017/009512 2016-09-22 2017-08-30 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치 및 차단 방법 WO2018056601A1 (ko)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2018559737A JP2019531519A (ja) 2016-09-22 2017-08-30 コンテンツファイルアクセス制御を利用したランサムウェア遮断装置および遮断方法
US16/327,510 US20190171826A1 (en) 2016-09-22 2017-08-30 Apparatus and method for blocking ransome ware using access control to the contents file

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020160121605A KR101883713B1 (ko) 2016-09-22 2016-09-22 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치 및 차단 방법
KR10-2016-0121605 2016-09-22

Publications (1)

Publication Number Publication Date
WO2018056601A1 true WO2018056601A1 (ko) 2018-03-29

Family

ID=61689605

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2017/009512 WO2018056601A1 (ko) 2016-09-22 2017-08-30 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치 및 차단 방법

Country Status (4)

Country Link
US (1) US20190171826A1 (ko)
JP (1) JP2019531519A (ko)
KR (1) KR101883713B1 (ko)
WO (1) WO2018056601A1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20210294910A1 (en) * 2020-03-18 2021-09-23 Veritas Technologies Llc Systems and methods for protecting a folder from unauthorized file modification

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11126718B2 (en) * 2017-07-12 2021-09-21 Acronis International Gmbh Method for decrypting data encrypted by ransomware
KR101899149B1 (ko) * 2018-04-30 2018-09-14 에스엠테크놀러지(주) 비정상 프로세스 감시 및 통제 시스템 및 방법, 상기 방법을 수행하기 위한 기록 매체
US10831916B2 (en) 2018-08-01 2020-11-10 Sogang University Research Foundation Method for blocking access of malicious application and storage device implementing the same
JP7289739B2 (ja) * 2019-06-27 2023-06-12 キヤノン株式会社 情報処理装置、情報処理方法およびプログラム
CN111209015B (zh) * 2019-10-24 2023-10-03 浙江中控技术股份有限公司 一种基于文件过滤驱动实现安装跟踪的方法
CN111125721B (zh) * 2019-12-31 2023-05-26 奇安信科技集团股份有限公司 一种进程启动的控制方法、计算机设备和可读存储介质
KR102254283B1 (ko) * 2020-11-12 2021-05-21 주식회사 시큐브 멀티프로세스 클러스터링 기반 랜섬웨어 공격 탐지 장치, 방법 및 그 방법을 실현하기 위한 프로그램을 기록한 기록매체
KR102431638B1 (ko) * 2020-11-19 2022-08-10 정경수 인공 신경망에 기반한 악성 데이터 분류 모델을 활용하여 분할된 파일 시스템 사이의 파일 접근을 제어하는 방법 및 클라우드 시스템

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010238168A (ja) * 2009-03-31 2010-10-21 Fujitsu Ltd 実行制御プログラムおよび情報処理システム
KR101585342B1 (ko) * 2014-09-30 2016-01-14 한국전력공사 이상행위 탐지 장치 및 방법
KR20160019615A (ko) * 2014-08-11 2016-02-22 노틸러스효성 주식회사 화이트리스트와 블랙리스트 혼용 기반의 보안장치 및 방법
JP2016099857A (ja) * 2014-11-25 2016-05-30 株式会社日立システムズ 不正プログラム対策システムおよび不正プログラム対策方法
JP5996145B1 (ja) * 2016-07-14 2016-09-21 三井物産セキュアディレクション株式会社 プログラム、情報処理装置、及び情報処理方法

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4327698B2 (ja) * 2004-10-19 2009-09-09 富士通株式会社 ネットワーク型ウィルス活動検出プログラム、処理方法およびシステム
GB0513375D0 (en) * 2005-06-30 2005-08-03 Retento Ltd Computer security
JP5933797B1 (ja) * 2015-10-07 2016-06-15 株式会社ソリトンシステムズ ログ情報生成装置及びプログラム並びにログ情報抽出装置及びプログラム

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010238168A (ja) * 2009-03-31 2010-10-21 Fujitsu Ltd 実行制御プログラムおよび情報処理システム
KR20160019615A (ko) * 2014-08-11 2016-02-22 노틸러스효성 주식회사 화이트리스트와 블랙리스트 혼용 기반의 보안장치 및 방법
KR101585342B1 (ko) * 2014-09-30 2016-01-14 한국전력공사 이상행위 탐지 장치 및 방법
JP2016099857A (ja) * 2014-11-25 2016-05-30 株式会社日立システムズ 不正プログラム対策システムおよび不正プログラム対策方法
JP5996145B1 (ja) * 2016-07-14 2016-09-21 三井物産セキュアディレクション株式会社 プログラム、情報処理装置、及び情報処理方法

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20210294910A1 (en) * 2020-03-18 2021-09-23 Veritas Technologies Llc Systems and methods for protecting a folder from unauthorized file modification

Also Published As

Publication number Publication date
KR20180032409A (ko) 2018-03-30
KR101883713B1 (ko) 2018-07-31
JP2019531519A (ja) 2019-10-31
US20190171826A1 (en) 2019-06-06

Similar Documents

Publication Publication Date Title
WO2018056601A1 (ko) 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치 및 차단 방법
WO2021060853A1 (ko) 네트워크 접속 제어 시스템 및 그 방법
WO2015034175A1 (ko) 기업 내부 정보 보안을 강화하기 위한 방법, 시스템 및 장치
WO2013168913A1 (ko) 비실행 파일 검사 장치 및 방법
WO2015115876A1 (en) Methods and apparatus for protecting operating system data
WO2015053509A1 (ko) 동적 라이브러리를 보호하는 방법 및 장치
WO2013168951A1 (ko) 악성 파일 검사 장치 및 방법
WO2010087678A2 (ko) 클립보드 보안 시스템 및 방법
WO2014119936A1 (en) Method of and apparatus for processing software using hash function to secure software, and computer-readable medium storing executable instructions for performing the method
EP2740064A2 (en) Sandboxing technology for webruntime system
WO2019039730A1 (ko) 랜섬웨어 방지 장치 및 방법
WO2017034072A1 (ko) 네트워크 보안 시스템 및 보안 방법
WO2019160195A1 (ko) 파일 내 포함된 악성 위협 탐지 장치 및 방법, 그 기록매체
WO2018030667A1 (ko) 피싱 또는 랜섬웨어 공격을 차단하는 방법 및 시스템
WO2014088262A1 (ko) 애플리케이션 위/변조 탐지장치 및 방법
WO2013100320A1 (ko) 시스템 파일 보호 및 복구를 위한 장치, 방법, 사용자 단말기 및 시스템
WO2014193058A1 (ko) 원격 디지털 포렌식 환경에서 보안 제공 장치 및 그 방법
WO2014157826A1 (ko) 스마트 기기 기반 악성코드의 침입을 차단하기 위한 시스템 및 그 방법
WO2018016830A1 (ko) 파일 암호화 방지 장치 및 방법
WO2020045826A1 (ko) 디지털 키를 처리하는 전자 디바이스 및 그 동작 방법
WO2018043832A1 (ko) 보안 웹브라우저 동작 방법
WO2014077615A1 (en) Anti-malware system, method of processing packet in the same, and computing device
WO2014200201A1 (ko) 시스템 보호를 위한 파일 보안용 관리장치와 관리방법
WO2016064040A1 (ko) 서명정보를 이용하여 응용 프로그램의 위변조 여부를 탐지하는 사용자 단말기 및 그것을 이용한 위변조 탐지 방법
WO2014168406A1 (ko) 메모리 보호기능 우회 공격 진단 장치 및 방법

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2018559737

Country of ref document: JP

Kind code of ref document: A

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17853315

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205 DATED 21/06/2019)

122 Ep: pct application non-entry in european phase

Ref document number: 17853315

Country of ref document: EP

Kind code of ref document: A1