WO2018212455A1 - 이메일 본문에 게재된 링크주소의 악성 여부 검사방법과 검사시스템 - Google Patents

이메일 본문에 게재된 링크주소의 악성 여부 검사방법과 검사시스템 Download PDF

Info

Publication number
WO2018212455A1
WO2018212455A1 PCT/KR2018/004071 KR2018004071W WO2018212455A1 WO 2018212455 A1 WO2018212455 A1 WO 2018212455A1 KR 2018004071 W KR2018004071 W KR 2018004071W WO 2018212455 A1 WO2018212455 A1 WO 2018212455A1
Authority
WO
WIPO (PCT)
Prior art keywords
address
link address
module
email
inspection
Prior art date
Application number
PCT/KR2018/004071
Other languages
English (en)
French (fr)
Inventor
배환국
Original Assignee
소프트캠프(주)
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 소프트캠프(주) filed Critical 소프트캠프(주)
Priority to JP2019563383A priority Critical patent/JP7141643B2/ja
Priority to CN201880033035.1A priority patent/CN110637302A/zh
Priority to US16/614,044 priority patent/US20200074079A1/en
Publication of WO2018212455A1 publication Critical patent/WO2018212455A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2119—Authenticating web pages, e.g. with suspicious links

Definitions

  • the present invention checks the link address posted in the body of the e-mail to determine whether malicious, and through the link address to prevent malicious e-mail recipients from accessing the malicious site through the malicious addressing method and inspection system of the link address posted in the body of the e-mail will be.
  • E-mail an online means of e-mail, has become a basic means of communicating messages to senders regardless of time and place, and has become a daily communication tool.
  • Various guide information is widely used as a communication means for delivering to the receiver.
  • e-mail contains not only the advertisement information that the recipient wants to receive, but also various phishing mails and malware that can cause financial and psychological damage to the recipient. It was used as a means of communication.
  • a URL address (hereinafter referred to as a 'link address') of a specific website is displayed in an e-mail body, so that a recipient can easily access the specific website simply by clicking on the link address.
  • a link address has the convenience of eliminating the hassle of inputting a corresponding URL address in a web browser in order to access a website.
  • the conventional security technology has the function of checking the risk of the link address itself while storing and managing the link address containing the malicious code as management data, but the link address of the website contaminated with the malicious code is continuously updated with the new address. Therefore, the existing management data alone has a limit in filtering the malicious link address of the new address.
  • the conventional security technology does not have a security function to filter the malicious code contamination through the link address, so if the receiver unknowingly clicks the link address or the image or the text containing the link address, the terminal is contaminated with the malicious code to cause damage. There was a problem with wearing.
  • the body or the attached file of the e-mail is read in an isolated sandbox environment, and thus, the receiving terminal 20 can be safely detected.
  • the conventional security technology using the sandbox has a limitation that it does not detect phishing through a link address posted in an email body.
  • the present invention was invented to solve the above problems, and prevents the reception of an e-mail contaminated with malware or spam, as well as checking the website access of the link address included in the e-mail in advance. It is an object of the present invention to solve the problem of providing a malicious inspection method and inspection system of a link address posted in an e-mail body so that a recipient can safely receive an e-mail and communicate information.
  • An address DB for storing at least one of a link address and recipient information and an alternate address
  • a link address replacement module for extracting and replacing a link address displayed in an email body with an alternate address, and storing one or more of the corresponding link address and recipient information and the alternate address in the address DB;
  • a link address checking module which checks the link address in the address DB, accesses a target web site, and checks for malicious status when the receiving terminal connected to the e-mail server confirms execution of an alternative address of the e-mail module;
  • An inspection information guide module for transmitting the inspection result of the inspection target website to the receiving terminal from the link address inspection module;
  • An email confirmation step of the email module of the receiving terminal accessing an email server to confirm a received email
  • a target website checking step of the link address checking module confirming access execution of the alternate address posted in the email body and searching for a link address for the alternate address in the address DB;
  • a link address checking module which checks whether the link address checking module is malicious by accessing a test target website of a link address searched from the address DB;
  • the present invention not only prevents the reception of e-mails contaminated with malware, but also allows the recipients to securely receive e-mails and exchange information by allowing them to check and access the website of the link address posted in the e-mail body in advance. It is effective.
  • the present invention can perform a security function for the defense system only when the user clicks the link address without having to prevent the incoming email every day, greatly reducing the load on the security system and execute the security function at a faster security speed It can be effective.
  • FIG. 1 is a view schematically showing a network connection configuration of the inspection system according to the present invention
  • FIG. 2 is a block diagram showing an embodiment of an inspection system according to the present invention.
  • FIG. 3 is a flowchart sequentially showing an embodiment of the inspection method according to the present invention.
  • Figure 4 is an image showing an embodiment of the body of the e-mail inspected by the inspection system according to the present invention
  • 5 and 6 are images showing one embodiment of the source code of the email body shown in FIG.
  • FIG. 8 is a block diagram showing another embodiment of an inspection system according to the present invention.
  • FIG. 1 is a diagram schematically illustrating a network connection configuration of an inspection system according to the present invention
  • FIG. 2 is a block diagram illustrating an inspection system according to the present invention.
  • the inspection system of the present embodiment checks the link address included in the e-mail body and substitutes the replacement server 200 with an alternate address, and the inspection server that checks the web browser's access through the alternate address and examines the website of the link address. 300.
  • a sender and a receiver can send and receive email data using a communication terminal such as a laptop 10, 20, a mobile 10 ', 20', a tablet, or the like, which can be connected to a communication network.
  • 100 relays the email communication between the calling terminal 10, 10 '(hereinafter referred to as 10) and the receiving terminal 20, 20' (hereinafter referred to as 20).
  • Substitution server 200 includes a link address replacement module 210 for extracting a link address from the email body configured in the email data to replace the replacement address, and the address DB 220 for storing the link address and the replacement address in pairs do.
  • the address DB 220 searches for one or more selected from the corresponding link address and recipient information to check whether the inspection target website 30 is malicious.
  • the inspection information guide module 320 for authorizing communication of the web browser to the inspection target website 30 and guiding inspection information according to the link address inspection module 310 and the inspection result of the link address inspection module 310. ).
  • the inspection server 300 of the present embodiment is assumed to be a server independent of the replacement server 200, but the replacement server 200 and the inspection server 300 may be integrated in hardware.
  • the inspection system of the present embodiment while communicating with the inspection information guide module 320 outputs the inspection information from the receiving terminal 20, the inspection information for transmitting the input information of the receiving terminal 20 to the inspection server 300 And a confirmation module 22.
  • FIG. 4 is an image showing an embodiment of an email body inspected by the inspection system according to the present invention
  • FIGS. 5 and 6 are FIGS. 4 is an image showing one embodiment of the source code of the email body shown in Figure 4
  • Figure 7 is an image showing an embodiment of the query system showing the query to the web page of the email link address according to the present invention.
  • the inspection method of this embodiment starts by changing the link address posted in the email body to an alternate address which is the address of the inspection server 300.
  • Examples of communication methods for link address substitution in an email body may include a proxy method, a bridge method, and an address substitution method through an Eml file.
  • the communication method for link address substitution will be described as a proxy method. do.
  • the proxy method changes the MX record of the DNS server, so that the alternate server 200 first receives the email flowing into the email server 100, replaces the link address with the alternate address, and replaces the alternate address with the alternate address. Deliver the email to the email server 100.
  • the bridge method replaces the link address with an alternate address by placing the alternate server 200 on the inline with the email server 100 and by setting the SMTP traffic to the email server 100 to be the alternate server 200.
  • the address substitution method through the Eml file transfers the email address of the link address replacement target from the email server 100 to the replacement server 200 in the form of an eml file, so that the replacement server 200 replaces the link address with the replacement address.
  • Figure 4 (a) is an email body that the word 'naver' is posted
  • Figure 4 (b) is an email body that the URL address of 'http://www.naver.com/' is posted as a link address to be.
  • Link address replacement module 210 of the replacement server 200 analyzes the source code of the sender's email sent in conjunction with the email relay module 110 of the email server 100, through which the link address shown in Figure 6 Check that there is.
  • the link address replacement module 210 changes the link address confirmed in the email body into an alternative address of the inspection server 300.
  • the link address 'http://www.naver.com/' included in the source code of the body of the email is 'http://TEST1.com/' which is the URL address of the inspection server 300.
  • the original link address 'http://www.naver.com/' posted in the e-mail body is changed to the alternative address 'http://TEST1.com/'.
  • the link address replacement module 210 stores the link address and the alternative address or the link address and the alternative address and the recipient information in pairs in the address DB 220.
  • the recipient information may be a recipient email address.
  • the e-mail server 100 relays e-mail transmission and reception between numerous senders and recipients, and the e-mail body may include a large number of link addresses. Therefore, the link address substitution module 210 of the present embodiment pairs alternate forms of different forms for each link address. That is, if there are two link addresses posted in the body of the email as' http://www.naver.com/ 'and' http://www.daum.net/ ', the link address replacement module 210 is' Pair with 'http://TEST1.com/' as an alternative address at http://www.naver.com/, and 'http: // TEST2' as 'http://www.daum.net/' Pair with .com / 'as an alternate address.
  • test server 300 different forms of 'http://TEST1.com/' and 'http://TEST2.com/' allow access to the same test server 300, so that no matter what alternative address the recipient selects, the test server Only connect to (300).
  • the link address replacement module 210 of another embodiment may change the link address posted in the body of the email as only one replacement address, and pair the recipient's email address with the link address when storing the address DB 220. .
  • the link address replacement module 210 of another embodiment may change a plurality of link addresses posted in an email body into different substitute addresses, and when storing in the address DB 220, an email address, a link address, and an alternate address of a recipient By pairing, the number of different alternate addresses can be greatly reduced.
  • the link address replacement module 210 of another embodiment may check the link address posted in the body of the email, so that the link address may be maintained without changing to the replacement address when the link address of the secure website is managed. .
  • the format of the alternate address is 'http://TEST.com/link address /', and includes the corresponding link address in the alternate address itself, and the link address checking module 310 selects the corresponding link address based on the alternate address. You can check it.
  • the address DB 220 may store only the alternative address and the recipient information in pairs.
  • the email relay module 110 searches for the received email of the recipient and sends the email module ( 21, the email relay module 110 outputs the received received email to the receiving terminal 20.
  • the e-mail module 21 requests the e-mail relay module 110 for the e-mail body selected by the recipient, and the e-mail relay module 110 retrieves the e-mail body and presents the e-mail body to the e-mail module 21.
  • the email module 21 receives and outputs the presented email body.
  • the receiver can check the email body in his or her receiving terminal 20.
  • the recipient selects and clicks an alternative address from the e-mail body displayed on the receiving terminal 20, and the web browser of the receiving terminal 20 accesses the inspection server 300 corresponding to the alternative address.
  • Link address inspection module 310 of the inspection server 300 retrieves the address DB 220 based on at least one selected from the alternate address and the recipient email address, the link address of the original target website that the recipient is trying to access Check.
  • the link address checking module 310 accesses the original website according to the link address retrieved from the address DB 220.
  • the inspection server 300 of the present embodiment is a kind of a remote access agent server, and the link address inspection module 310 executes its own web browser to access the corresponding link address.
  • the web browser of the link address check module 310 checks the web page of the link address, and the check information guide module 320 captures an image of the web page as a captured image as shown in FIG. 7.
  • the link address checking module 310 generates a gao area to limit the execution of the malicious code of the link address and the generation of Internet traffic, and the access to the link address is made in the isolated virtual area. After all, even if the installation of the malicious program proceeds by the execution of the malicious code contained in the link address, since the installation is made in the virtual area, the malicious code affects not only the link address checking module 310 but also the receiving terminal 20. Does not interfere. If the link address inspection module 310 is contaminated with malicious code, the virtual region may be deleted, or the external region and additional data stored in the virtual region may be deleted. Thus, the inspection server 300 may be free from malicious code. It can communicate securely with the inspection target website (30).
  • the inspection information guide module 320 transmits the captured image to the inspection information confirming module 22 of the receiving terminal 20, and the inspection information confirming module 22 receives the captured image as shown in FIG. Output to the terminal 20.
  • the receiver checks the captured image output to the receiving terminal 20 to determine whether it is a malicious site, and determines the website access of the link address.
  • the inspection information guide module 320 presents a 'yes' and a 'no' menu that the recipient can select with the captured image, and determines the connection to the inspection target website corresponding to the link address, the receiving terminal.
  • the web browser of (20) is connected to the inspection target website corresponding to the link address.
  • the link address inspection module 310 may check whether the website of the link address is malicious through its own inspection, and if it is determined as malicious, the inspection information guide module 320 may identify the link address and the type and name of the malicious code. The posted report is generated and transmitted to the inspection information checking module 22 of the receiving terminal 20.
  • the inspection information confirming module 22 outputs inspection information in the report form to inform the recipient of the reason for the access restriction.
  • FIG. 8 is a block diagram showing another embodiment of the inspection system according to the present invention
  • Figure 9 is a flow chart showing another embodiment of the inspection method according to the present invention in sequence.
  • the inspection system of the present embodiment includes a website DB 340 that stores at least one selected from among secure website address information and malicious code infected website address information, and website address information to which a recipient is allowed to access. It further includes a receiver DB (330) for storing at least one selected from the website address information, and the connection management module 350 for determining whether to access the link address based on the website DB (340) and the receiver DB (330) do.
  • the website DB 340 may store website address information such as a general portal site, a corporate website, and a public office website, which are authorized websites, and may store website address information that is confirmed to be infected with malware. .
  • the receiver DB 330 may store address information of a website to which the receiver has authorized or disallowed access.
  • the access management module 350 searches for the link address checked by the link address checking module 310 in the website DB 340 and the receiver DB 330 first, so that the link address checking module 310 accesses the website.
  • the connection is determined before (S35, S36).
  • the inspection information guide module 320 causes the web browser of the receiving terminal 20 to access the website of the link address, and the access management module 350 disallows access. Then, the inspection information guide module 320 generates a report posting the link address and the type and name of the malicious code and transmits it to the inspection information confirmation module 22 of the receiving terminal 20.
  • the inspection information confirming module 22 outputs inspection information in the report form to inform the recipient of the reason for the access restriction.
  • the receiver DB 330 of the present embodiment stores identification information for each recipient such as an IP of the reception terminal 20 or an email address of the recipient, and the access management module 350 inputs for each recipient based on the identification information.
  • Website address information related to whether the user is authorized to access the service can be distinguished.
  • the website DB 340 and the receiver DB 330 reflect the stored data in the inspection of the link address checking module 310, but the stored data is reflected when replacing the link address of the link address replacing module 210.
  • the link address of a safety-certified website or a link address of a recipient-approved website may be maintained without substitution with an alternate address.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Signal Processing (AREA)
  • Virology (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Information Transfer Between Computers (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

본 발명은 이메일 본문에 게시되는 링크주소를 확인해서 악성 여부를 파악하며 상기 링크주소를 통해 이메일 수신자가 악성사이트에 접속하는 것을 방지하는 이메일 본문에 게재된 링크주소의 악성 검사방법과 검사시스템에 관한 것으로, 링크주소와 수신자정보 중 하나 이상과 대체주소를 저장하는 주소DB; 이메일 본문에 게재된 링크주소를 추출해서 대체주소로 대체하고, 해당 링크주소와 수신자정보 중 하나 이상과 상기 대체주소를 상기 주소DB에 저장하는 링크주소 대체모듈; 이메일 서버에 접속한 수신단말에 이메일모듈의 대체주소 실행을 확인하면, 상기 주소DB에서 해당 링크주소를 검색하여 검사 대상 웹사이트에 접속하고 악성 여부를 검사하는 링크주소 검사모듈; 상기 링크주소 검사모듈로부터 상기 검사 대상 웹사이트의 검사 결과를 상기 수신단말에 전송하는 검사정보 안내모듈;을 포함하는 것이다.

Description

이메일 본문에 게재된 링크주소의 악성 여부 검사방법과 검사시스템
본 발명은 이메일 본문에 게시되는 링크주소를 확인해서 악성 여부를 파악하며 상기 링크주소를 통해 이메일 수신자가 악성사이트에 접속하는 것을 방지하는 이메일 본문에 게재된 링크주소의 악성 검사방법과 검사시스템에 관한 것이다.
온라인을 통한 메일 수단인 이메일은 시간과 장소 등에 구애 없이 발신자의 메시지를 수신자에게 전달할 수 있는 기본적인 통신 수단으로 일상에 자리매김했고, 이메일을 이용한 개인들 간의 정보 교환은 물론이고, 관공서 또는 일반 기업체의 각종 안내 정보까지도 수신자에게 전달하는 통신수단으로 널리 활용되고 있다.
하지만 이메일은 수신자가 원치 않는 광고성 정보는 물론이고, 수신자에게 금전적/정신적 피해를 줄 수 있는 각종 피싱메일 및 악성코드를 포함하면서, 수신자의 개인정보를 무단으로 유출하거나 수신자에게 금전적인 피해를 주는 악의적인 통신수단으로 활용되었다.
이러한 악성 이메일이 범람하면서 이메일을 대상으로 하는 다양한 종래 보안기술이 개발되었다. 종래 보안기술은 일반적인 스팸메일은 물론이고, 악성코드가 포함된 이메일을 필터링해서, 수신자가 선택적으로 열람할 수 있게 한 것으로, 수신자는 보다 안전하게 이메일을 수신하고 활용할 수 있었다.
한편, 이메일 본문에는 특정 웹사이트의 URL주소(이하 '링크주소')를 게재하도록 되어서, 수신자는 상기 링크주소를 클릭하는 것만으로도 상기 특정 웹사이트에 손쉽게 접속할 수 있다. 이러한 링크주소는 사용자가 웹사이트에 접속하기 위해서 웹브라우저에 해당 URL주소를 일일이 입력하는 번거로움을 해소하는 편리함이 있다.
하지만, 전술한 종래 보안기술의 보안 기능을 피하기 위해서 최근 악성 이메일은 이메일 자체에 악성코드 등을 포함시키지 않고, 이메일 본문에 게재된 링크주소의 해당 웹사이트에 악성코드를 포함시켰다. 결국, 수신자가 링크주소를 통해 해당 웹사이트에 접속하면, 상기 링크주소의 웹사이트에 포함된 악성코드는 수신자의 단말을 오염시켜서 수신단말에 포함된 각종 개인정보 등을 유출시켰다.
물론 종래 보안기술은 악성코드를 포함하는 링크주소를 관리데이터로 저장 및 관리하면서 링크주소 자체의 위험성을 확인하는 기능을 갖추었지만, 악성코드로 오염된 웹사이트의 링크주소는 신규 주소로 계속해서 갱신하므로, 기존 관리데이터만으로는 신규 주소의 악성 링크주소를 필터링하는데 한계가 있었다.
결국, 종래 보안기술은 링크주소를 통한 악성코드 오염을 필터링하는 보안 기능은 갖추지 못하므로, 수신자가 무의식적으로 링크주소 또는 링크주소가 포함된 이미지나 글씨를 클릭하면 단말이 악성코드에 오염되어 피해를 입는 문제가 있었다.
이러한 문제를 해소하기 위해서 샌드박스를 활용해서 악성코드를 탐지하는 다른 종래 보안기술이 개발되었다. 샌드박스 방식은 이메일의 본문이나 첨부파일을 격리된 샌드박스 환경에서 열람하므로, 수신단말(20)의 감염여부를 안전하게 탐지할 수 있었다. 그러나 샌드박스를 활용한 종래 보안기술은 이메일 본문에 게재된 링크주소를 통한 피싱은 감지하지 못한다는 한계가 있었다.
한편, 악성주소 리스트를 기초로 링크주소의 악성여부를 검사하는 다른 종래 보안기술이 개발되었다. 그러나 이러한 보안 방식은 검사 당시에 악성주소 리스트에 포함된 악성주소만 필터링할 수 있었고, 대부분의 악성주소는 생성된 지 수시간에서 수일이 지난후에야 악성주소 리스트를 갱신할 수 있으므로, 신규 악성주소는 필터링할 수 없다는 한계가 있었다.
이외에도 이메일 본문에 게재된 링크주소가 악성주소인 경우에, 수신자가 상기 링크주소를 선택하면 접속 트래픽이 비정상적으로 증가한다는 점을 응용한 다른 종래 보안기술이 개발되었다. 이러한 종래 보안기술은 접속 트래픽이 기준치 이상이 되면 해당 링크주소를 악성주소로 간주해서 실행을 제한했다. 하지만, 상기 종래 보안기술의 보안 방식은 네트워크 부하가 매우 크게 발생하며, 검사 전까지는 수신자가 인터넷에 접속할 수 없게 되는 지연 문제로 인해서, 링크주소의 악성주소 검사 방식이 비효율적이라는 한계가 있었다.
이에 본 발명은 상기와 같은 문제를 해소하기 위해 발명된 것으로서, 악성코드 또는 스팸 등으로 오염된 이메일의 수신을 방지함은 물론이고 이메일 본문에 포함된 링크주소의 해당 웹사이트 접속도 사전에 확인하고 접속할 수 있도록 해서, 수신자가 안전하게 이메일을 수신하고 정보 통신을 할 수 있게 하는 이메일 본문에 게재된 링크주소의 악성 검사방법과 검사시스템의 제공을 해결하고자 하는 과제로 한다.
상기의 과제를 달성하기 위하여 본 발명은,
링크주소와 수신자정보 중 하나 이상과 대체주소를 저장하는 주소DB;
이메일 본문에 게재된 링크주소를 추출해서 대체주소로 대체하고, 해당 링크주소와 수신자정보 중 하나 이상과 상기 대체주소를 상기 주소DB에 저장하는 링크주소 대체모듈;
이메일 서버에 접속한 수신단말에 이메일모듈의 대체주소 실행을 확인하면, 상기 주소DB에서 해당 링크주소를 검색하여 검사 대상 웹사이트에 접속하고 악성 여부를 검사하는 링크주소 검사모듈; 및
상기 링크주소 검사모듈로부터 상기 검사 대상 웹사이트의 검사 결과를 상기 수신단말에 전송하는 검사정보 안내모듈;
을 포함하는 이메일 본문에 게재된 링크주소의 악성 여부 검사시스템이다.
상기의 다른 기술적 과제를 달성하기 위하여 본 발명은,
대체서버의 링크주소 대체모듈이 이메일 본문에 게재된 링크주소를 추출해서 대체주소로 대체하고, 해당 링크주소와 수신자정보 중 하나 이상과 상기 대체주소를 상기 주소DB에 저장하는 링크주소 대체 단계;
수신단말의 이메일모듈이 이메일 서버에 접속해서 수신 이메일을 확인하는 이메일 확인 단계;
링크주소 검사모듈이 이메일 본문에 게재된 대체주소의 접속 실행을 확인하고, 상기 주소DB에서 상기 대체주소에 대한 링크주소를 검색하는 대상 웹사이트 확인 단계;
상기 링크주소 검사모듈이 상기 주소DB에서 검색한 링크주소의 검사 대상 웹사이트에 접속해서 악성 여부를 검사하는 링크주소 검사모듈; 및
검사정보 안내모듈이 상기 링크주소 검사모듈로부터 수신한 상기 검사 대상 웹사이트의 검사 결과 정보를 상기 수신단말에 전송하는 단계;
를 포함하는 이메일 본문에 게재된 링크주소의 악성 여부 검사방법이다.
본 발명은 악성코드로 오염된 이메일의 수신을 방지함은 물론이고 이메일 본문에 게재된 링크주소의 해당 웹사이트 접속도 사전에 확인하고 접속할 수 있도록 해서 수신자가 안전하게 이메일을 수신하고 정보를 교환할 수 있게 하는 효과가 있다.
또한 본 발명은 수신하는 이메일을 일일이 방역할 필요 없이 사용자가 링크주소를 클릭할 때만 해당 방역을 위한 보안 기능을 수행하면 되므로, 보안시스템의 부하를 크게 줄일 수 있고 보다 빠른 보안 속도로 보안 기능을 실행할 수 있는 효과가 있다.
도 1은 본 발명에 따른 검사시스템의 네트워크 연결 구성을 개략적으로 도시한 도면이고,
도 2는 본 발명에 따른 검사시스템의 일실시 예를 도시한 블록도이고,
도 3은 본 발명에 따른 검사방법의 일실시 예를 순차로 보인 플로차트이고,
도 4는 본 발명에 따른 검사시스템이 검사하는 이메일 본문의 일실시 모습을 보인 이미지이고,
[규칙 제91조에 의한 정정 26.07.2018]　
도 5및 도 6은 도 4에서 보인 이메일 본문의 소스코드의 일실시 모습을 보인 이미지이고,
[규칙 제91조에 의한 정정 26.07.2018]　
도 7은 본 발명에 따른 검사시스템이 이메일 링크주소의 웹페이지를 보여 질의하는 일실시 모습을 보인 이미지이고,
[규칙 제91조에 의한 정정 26.07.2018]　
도 8은 본 발명에 따른 검사시스템의 다른 실시 예를 도시한 블록도이고,
[규칙 제91조에 의한 정정 26.07.2018]　
도 9는 본 발명에 따른 검사방법의 다른 실시 예를 순차로 보인 플로차트이다.
상술한 본 발명의 특징 및 효과는 첨부된 도면과 관련한 다음의 상세한 설명을 통하여 분명해질 것이며, 그에 따라 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자가 본 발명의 기술적 사상을 용이하게 실시할 수 있을 것이다. 본 발명은 다양한 변경을 가할 수 있고 여러 가지 형태를 가질 수 있는바, 특정 실시 예들을 도면에 예시하고 본문에 상세하게 설명하고자 한다. 그러나 이는 본 발명을 특정한 개시형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다. 본 출원에서 사용한 용어는 단지 특정한 실시 예들을 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다.
이하, 본 발명을 구체적인 내용이 첨부된 도면에 의거하여 상세히 설명한다.
도 1은 본 발명에 따른 검사시스템의 네트워크 연결 구성을 개략적으로 도시한 도면이고, 도 2는 본 발명에 따른 검사시스템을 도시한 블록도이다.
본 실시의 검사시스템은 이메일 본문에 포함된 링크주소를 확인해서 대체주소로 대체하는 대체서버(200)와, 대체주소를 통한 웹브라우저의 접근을 확인하고 해당 링크주소의 웹사이트를 검사하는 검사서버(300)를 포함한다.
주지된 바와 같이, 발신자와 수신자는 통신망에 접속 가능한 랩탑(10, 20), 모바일(10', 20'), 태블릿 등의 통신단말을 이용해서 이메일 데이터를 발,수신할 수 있고, 이메일 서버(100)는 발신단말(10, 10'; 이하 10)과 수신단말(20, 20'; 이하 20) 간의 이메일 통신을 중계한다.
대체서버(200)는 이메일 데이터에 구성된 이메일 본문에서 링크주소를 추출하여 대체주소로 대체하는 링크주소 대체모듈(210)과, 링크주소와 대체주소를 짝으로 연결해 저장하는 주소DB(220)를 포함한다.
검사서버(300)는 상기 대체주소를 통한 웹브라우저의 통신시도를 확인하면 주소DB(220)에서 해당 링크주소 및 수신자정보 중 선택된 하나 이상을 검색하여 검사대상 웹사이트(30)의 악성 여부를 확인하는 링크주소 검사모듈(310)과, 링크주소 검사모듈(310)의 검사 결과에 따라 검사대상 웹사이트(30)에 대한 상기 웹브라우저의 통신을 인가하고 검사정보를 안내하는 검사정보 안내모듈(320)을 포함한다. 본 실시의 검사서버(300)는 대체서버(200)와 하드웨어적으로 독립한 서버인 것으로 했으나, 대체서버(200)와 검사서버(300)는 하드웨어적으로 일체일 수 있다.
한편, 본 실시의 검사시스템은, 검사정보 안내모듈(320)과 통신하면서 검사정보를 수신단말(20)에서 출력시키고, 수신단말(20)의 입력정보를 검사서버(300)에 전송시키는 검사정보 확인모듈(22)를 포함한다.
이상 설명한 본 실시의 검사시스템을 통해서 링크주소의 악성 여부를 검사하는 방법을 아래에서 상세히 설명한다.
[규칙 제91조에 의한 정정 26.07.2018]　
도 3은 본 발명에 따른 검사방법의 일실시 예를 순차로 보인 플로차트이고, 도 4는 본 발명에 따른 검사시스템이 검사하는 이메일 본문의 일실시 모습을 보인 이미지이고, 도 5및 도 6은 도 4에서 보인 이메일 본문의 소스코드의 일실시 모습을 보인 이미지이고, 도 7은 본 발명에 따른 검사시스템이 이메일 링크주소의 웹페이지를 보여 질의하는 일실시 모습을 보인 이미지이다.
S10; 링크주소 대체 단계
본 실시의 검사방법은 이메일 본문에 게재된 링크주소를 검사서버(300)의 주소인 대체주소로 변경함으로써 시작한다.
이메일 본문에 게재된 링크주소 대체를 위한 통신 방식은 프락스 방식과 브릿지 방식과 Eml 파일을 통한 주소 대체 방식 등이 예시될 수 있는데, 이하에서는 링크주소 대체를 위한 통신 방식을 프락스 방식으로 해서 설명한다.
참고로, 프락스 방식은 DNS 서버의 MX레코드를 변경해서, 대체서버(200)가 이메일 서버(100)로 유입되던 이메일을 우선 수신하고, 링크주소를 대체주소로 대체하며, 대체주소로 대체된 이메일을 이메일 서버(100)에 전달한다.
브릿지 방식은 대체서버(200)를 이메일 서버(100)와 inline상에 위치시키고, 이메일 서버(100)로의 SMTP 트래픽이 대체서버(200)가 되도록 설정해서 링크주소를 대체주소로 대체한다.
Eml 파일을 통한 주소 대체 방식은 이메일 서버(100)에서 링크주소 대체 대상인 이메일을 eml 파일 형태로 대체서버(200)에 전달해서, 대체서버(200)가 링크주소를 대체주소로 대체하도록 한다.
도 4의 (a)도면은 'naver' 단어가 게재된 이메일 본문이고, 도 4의 (b)도면은 'http://www.naver.com/'의 URL 주소가 링크주소로 게재된 이메일 본문이다.
[규칙 제91조에 의한 정정 26.07.2018]　
그런데 도 4의 (a)도면에서 보인 이메일 본문의 내용은 일반 단어이므로, 도 5도면에서 보인 소스코드에는 'naver'만 확인된다. 반면, 도 4의 (b)도면에서 보인 이메일 본문은 URL형식의 링크주소이므로, 도 6 도면에서 보인 소스코드에는 'http://www.naver.com/'로 확인된다.
[규칙 제91조에 의한 정정 26.07.2018]　
대체서버(200)의 링크주소 대체모듈(210)은 이메일 서버(100)의 이메일 중계모듈(110)과 연동하여 발신자의 발송 이메일의 소스코드를 분석하며, 이를 통해 도 6도면에서 보인 링크주소가 있음을 확인한다.
계속해서, 링크주소 대체모듈(210)은 이메일 본문에서 확인된 링크주소를 검사서버(300)의 대체주소로 변경한다. 일 예를 들어 설명하면, 이메일 본문의 소스코드에 포함된 링크주소인 'http://www.naver.com/'를 검서서버(300)의 URL 주소인 'http://TEST1.com/'으로 변경한다. 결국, 이메일 본문에 게재된 원래의 링크주소인 'http://www.naver.com/'은 대체주소인 'http://TEST1.com/'으로 변경된다.
링크주소에 대한 대체주소 변경이 완료하면, 링크주소 대체모듈(210)은 상기 링크주소와 대체주소 또는 링크주소와 대체주소와 수신자정보를 짝으로 연결해서 주소DB(220)에 저장한다. 여기서 상기 수신자정보는 수신자 이메일주소일 수 있다.
참고로 이메일 서버(100)는 수많은 발신자 및 수신자 간에 이메일 발,수신을 중계하며, 이메일 본문에는 수많은 링크주소가 포함될 수 있다. 그러므로 본 실시의 링크주소 대체모듈(210)은 서로 다른 다양한 형태의 대체주소를 링크주소별로 짝을 짓는다. 즉, 이메일 본문에 게재된 링크주소가 'http://www.naver.com/'와 더불어 'http://www.daum.net/'으로 2개라면, 링크주소 대체모듈(210)은 'http://www.naver.com/'에 'http://TEST1.com/'을 대체주소로 하여 짝을 짓고, 'http://www.daum.net/'에 'http://TEST2.com/'을 대체주소로 하여 짝을 짓는 것이다.
하지만, 서로 다른 형태의 'http://TEST1.com/'과 'http://TEST2.com/'은 동일한 검사서버(300)에 접속할 수 있도록 해서, 수신자가 어떠한 대체주소를 선택하더라도 검사서버(300)로만 접속되도록 한다.
이외에도 다른 실시의 링크주소 대체모듈(210)은 이메일 본문에 게재된 링크주소의 변경을 하나의 대체주소로만 하고, 주소DB(220)에 저장할 때에는 수신자의 이메일주소와 링크주소를 짝으로 할 수 있다.
이외에도 다른 실시의 링크주소 대체모듈(210)은 이메일 본문에 게재된 다수의 링크주소의 변경을 각각 서로 다른 대체주소로 하고, 주소DB(220)에 저장할 때에는 수신자의 이메일주소와 링크주소 및 대체주소를 짝으로 해서, 서로 다른 대체주소의 개수를 크게 줄일 수 있다.
이외에도 다른 실시의 링크주소 대체모듈(210)은 이메일 본문에 게재된 링크주소를 확인해서, 안전한 웹사이트의 링크주소로 관리되는 경우에는 해당 링크주소는 대체주소로로 변경하지 않고 유지되도록 할 수 있다.
이외에도 대체주소의 형식을 'http://TEST.com/링크주소/'로 해서, 대체주소 자체에 해당 링크주소를 포함시키고, 링크주소 검사모듈(310)은 대체주소를 기반으로 해당 링크주소를 확인할 수 있다. 이때, 주소DB(220)는 대체주소와 수신자정보만을 짝으로 연결해 저장할 수 있다.
S20; 이메일 확인 단계
수신자는 수신단말(20)의 웹브라우저를 기반으로 실행하는 이메일모듈(21)이 이메일 서버(100)에 접속해 로그인하면, 이메일 중계모듈(110)은 상기 수신자의 수신 이메일을 검색해서 이메일모듈(21)에 제시하고, 이메일 중계모듈(110)은 제시된 수신 이메일을 수신단말(20)에 출력시킨다.
계속해서, 이메일모듈(21)은 수신자가 선택한 이메일 본문을 이메일 중계모듈(110)에 요청하고, 이메일 중계모듈(110)은 해당 이메일 본문을 검색하여 이메일 모듈(21)에 제시한다.
이메일모듈(21)은 제시된 이메일 본문을 수신하여 출력한다.
이를 통해 수신자는 자신의 수신단말(20)에서 이메일 본문을 확인할 수 있다.
이메일 서버(100)와 수신단말(20) 간의 이메일 본문 출력 기술은 이미 공지의 기술이므로, 여기서는 이메일 본문을 열람하는 구체적인 프로세스 설명은 생략한다.
S30; 대상 웹사이트 확인 단계
수신자는 수신단말(20)에 출력된 이메일 본문에서 대체주소를 선택해 클릭하고, 수신단말(20)의 웹브라우저는 상기 대체주소에 해당하는 검사서버(300)에 접속한다.
검사서버(300)의 링크주소 검사모듈(310)은 상기 대체주소와 수신자 이메일주소 중 선택된 하나 이상을 기초로 주소DB(220)를 검색해서, 수신자가 접속하고자 한 원래의 대상 웹사이트의 링크주소를 확인한다.
S40; 대상 웹사이트 접속 단계
링크주소 검사모듈(310)은 주소DB(220)에서 검색한 링크주소에 따라 원래의 웹사이트에 접속한다.
S50; 링크주소 악성 검사 단계
본 실시의 검사서버(300)는 원격 접속 대행 서버의 일종으로, 링크주소 검사모듈(310)이 자체 웹브라우저를 실행해서 해당 링크주소에 접속한다.
[규칙 제91조에 의한 정정 26.07.2018]　
링크주소 검사모듈(310)의 웹브라우저는 해당 링크주소의 웹페이지를 확인하고, 검사정보 안내모듈(320)는 도 7에서 보인 바와 같이 상기 웹페이지의 이미지를 캡처해서 캡처이미지로 수집한다.
여기서 링크주소 검사모듈(310)은 링크주소의 악성코드 실행과 이로 인한 인터넷 트래픽의 발생을 제한하도록 가영영역을 생성시켜서, 상기 링크주소로의 접속이 격리된 가상영역 내에서 이루어진다. 결국, 링크주소에 포함된 악성코드의 실행으로 악성프로그램의 설치가 진행되어도, 상기 가상영역 내에서 그 설치가 이루어지므로, 악성코드는 링크주소 검사모듈(310)은 물론 수신단말(20)에도 영향을 끼치지 않는다. 링크주소 검사모듈(310)은 악성코드로 가상영역이 오염되면, 상기 가상영역 자체를 삭제하거나 가상영역에 저장된 외부데이터 및 추가데이터를 삭제하면 되므로, 검사서버(300)는 악성코드에 의한 부담없이 검사대상 웹사이트(30)와 안전하게 통신할 수 있다.
[규칙 제91조에 의한 정정 26.07.2018]　
계속해서, 검사정보 안내모듈(320)은 상기 캡처이미지를 수신단말(20)의 검사정보 확인모듈(22)에 전송하고, 검사정보 확인모듈(22)은 상기 캡처이미지를 도 7에서 보인 대로 수신단말(20)에 출력한다. 수신자는 수신단말(20)에 출력된 상기 캡처이미지를 확인해서 악성사이트 여부를 판단하고, 해당 링크주소의 웹사이트 접속을 결정한다.
S60; 대상 웹사이트 연결 단계
본 실시에서 검사정보 안내모듈(320)은 캡처이미지와 함께 수신자가 선택할 수 있는 '예'와 '아니오' 메뉴를 제시하고, 링크주소에 해당하는 검사 대상 웹사이트로의 접속을 결정하면, 수신단말(20)의 웹브라우저를 상기 링크주소에 해당하는 검사 대상 웹사이트에 접속시킨다.
S70; 검사정보 안내 단계
이외에도 링크주소 검사모듈(310)은 자체 검사를 통해서 링크주소의 웹사이트의 악성 여부를 확인할 수 있고, 악성으로 확인되면 검사정보 안내모듈(320)은 해당 링크주소와 악성코드의 종류와 명칭 등을 게시한 보고서를 생성해서 수신단말(20)의 검사정보 확인모듈(22)에 전송한다.
검사정보 확인모듈(22)은 상기 보고서 형식의 검사정보를 출력해서, 수신자에게 접속 제한 이유를 안내한다.
[규칙 제91조에 의한 정정 26.07.2018]　
도 8은 본 발명에 따른 검사시스템의 다른 실시 예를 도시한 블록도이고, 도 9는 본 발명에 따른 검사방법의 다른 실시 예를 순차로 보인 플로차트이다.
본 실시의 검사시스템은 안전한 웹사이트 주소정보와 악성코드로 감염된 웹사이트 주소정보 중 선택된 하나 이상을 저장하는 웹사이트DB(340)와, 수신자가 접속을 허용한 웹사이트 주소정보와 접속을 불허한 웹사이트 주소정보 중 선택된 하나 이상을 저장하는 수신자DB(330)와, 웹사이트DB(340)와 수신자DB(330)를 기준으로 링크주소의 접속 여부를 결정하는 접속관리모듈(350)을 더 포함한다.
웹사이트DB(340)는 공인된 웹사이트인 일반 포털사이트와 기업 웹사이트, 관공서 웹사이트 등의 웹사이트 주소정보를 저장할 수 있고, 악성코드로 감염됨이 확인된 웹사이트 주소정보를 저장할 수 있다.
수신자DB(330)는 수신자가 접속을 승인하거나 불허한 웹사이트의 주소정보를 저장할 수 있다.
접속관리모듈(350)은 링크주소 검사모듈(310)이 확인한 링크주소를 웹사이트DB(340) 및 수신자DB(330)에서 우선 검색해서, 링크주소 검사모듈(310)이 해당 웹사이트에 접속하기 전에 접속 여부를 결정한다(S35, S36). 접속관리모듈(350)이 접속을 승인하면, 검사정보 안내모듈(320)은 수신단말(20)의 웹브라우저가 해당 링크주소의 웹사이트에 접속하게 하고, 접속관리모듈(350)이 접속을 불허하면, 검사정보 안내모듈(320)은 해당 링크주소와 악성코드의 종류와 명칭 등을 게시한 보고서를 생성해서 수신단말(20)의 검사정보 확인모듈(22)에 전송한다.
검사정보 확인모듈(22)은 상기 보고서 형식의 검사정보를 출력해서, 수신자에게 접속 제한 이유를 안내한다.
참고로, 본 실시의 수신자DB(330)는 수신단말(20)의 IP 또는 수신자의 이메일 주소 등의 수신자별 식별정보를 저장하며, 접속관리모듈(350)은 상기 식별정보를 기준으로 수신자별로 입력된 접속 승인 여부 관련 웹사이트 주소정보를 구분할 수 있다.
본 실시에서 웹사이트DB(340)와 수신자DB(330)가 링크주소 검사모듈(310)의 검사에 저장데이터를 반영하는 것으로 했으나, 링크주소 대체모듈(210)의 링크주소 대체시 저장데이터를 반영해서 안전이 공인된 웹사이트의 링크주소 또는 수신자가 승인한 웹사이트의 링크주소는 대체주소로의 대체 없이 그 상태를 유지하도록 할 수도 있다.
앞서 설명한 본 발명의 상세한 설명에서는 본 발명의 바람직한 실시 예들을 참조해 설명했지만, 해당 기술분야의 숙련된 당업자 또는 해당 기술분야에 통상의 지식을 갖는 자라면 후술될 특허청구범위에 게재된 본 발명의 사상 및 기술영역으로부터 벗어나지 않는 범위 내에서 본 발명을 다양하게 수정 및 변경시킬 수 있음을 이해할 수 있을 것이다.

Claims (5)

  1. 링크주소와 수신자정보 중 하나 이상과 대체주소를 저장하는 주소DB;
    수신자의 식별정보와, 수신자가 입력한 접속 승인 여부 관련 웹사이트 주소정보를 각각 저장하는 수신자DB;
    이메일 본문에 게재된 링크주소를 추출해서 대체주소로 대체하고, 해당 링크주소와 수신자정보 중 하나 이상과 상기 대체주소를 상기 주소DB에 저장하는 링크주소 대체모듈;
    이메일 서버에 접속한 수신단말에 이메일모듈의 대체주소 실행을 확인하면, 상기 주소DB에서 해당 링크주소를 검색하여 격리된 가상영역에서 자체 웹브라우저를 이용해 검사 대상 웹사이트에 접속하고, 악성 여부를 검사하는 링크주소 검사모듈;
    상기 링크주소 검사모듈이 접속한 검사 대상 웹사이트의 화면을 캡처해서 해당 캡처이미지를 수신단말에 전송하고, 상기 링크주소 검사모듈로부터 상기 검사 대상 웹사이트의 검사 결과를 상기 수신단말에 전송하는 검사정보 안내모듈; 및
    상기 링크주소 검사모듈이 확인한 링크주소를 상기 수신자DB에서 검색해서, 웹사이트 주소별 접속 승인 여부에 따라 해당 웹사이트로의 접속을 결정하는 접속관리모듈;
    을 포함하는 것을 특징으로 하는 이메일 본문에 게재된 링크주소의 악성 여부 검사시스템.
  2. 제 1 항에 있어서,
    상기 링크주소 대체모듈은 이메일 데이터를 이메일 서버보다 우선 수신 후에 링크주소를 대체하고 이메일 서버로 전송하거나, 이메일 데이터를 수신한 이메일 서버가 검사 대상 이메일을 상기 링크주소 대체모듈에 전송하는 것을 특징으로 하는 이메일 본문에 게재된 링크주소의 악성 여부 검사시스템.
  3. 제 1 항에 있어서,
    상기 링크주소 대체모듈은 대체 대상에서 제외된 링크주소는 대체 없이 이메일 본문에 유지시키는 것을 특징으로 하는 이메일 본문에 게재된 링크주소의 악성 여부 검사시스템.
  4. 제 1 항에 있어서,
    안전성이 확인된 웹사이트 주소정보와 악성코드 오염이 확인된 웹사이트 주소정보 중 하나 이상을 저장하는 웹사이트DB;를 더 포함하고,
    상기 접속관리모듈은, 상기 링크주소 검사모듈이 확인한 링크주소를 웹사이트DB에서 검색하여 해당 웹사이트로의 접속 여부를 결정하는 것;
    을 특징으로 하는 이메일 본문에 게재된 링크주소의 악성 여부 검사시스템.
  5. 대체서버의 링크주소 대체모듈이 이메일 본문에 게재된 링크주소를 추출해서 대체주소로 대체하고, 해당 링크주소와 수신자정보 중 하나 이상과 상기 대체주소를 상기 주소DB에 저장하는 링크주소 대체 단계;
    수신단말의 이메일모듈이 이메일 서버에 접속해서 수신 이메일을 확인하는 이메일 확인 단계;
    링크주소 검사모듈이 상기 주소DB에서 상기 대체주소에 대한 링크주소를 검색하고, 수신자의 식별정보와 상기 수신자가 입력한 접속 승인 여부 관련 웹사이트 주소정보를 각각 저장한 수신자DB에서, 접속관리모듈이 상기 링크주소를 검색하여 상기 링크주소의 웹사이트 접속여부를 결정하는 대상 웹사이트 확인 단계;
    상기 대상 웹사이트 확인 단계에서 확인된 상기 링크주소로의 접속 여부에 따라 검사 대상 웹사이트로의 접속이 결정되되, 상기 대상 웹사이트 확인 단계에서 접속 여부가 결정되지 않으면, 격리된 가상영역에서 상기 링크주소 검사모듈이 상기 주소DB에서 검색한 링크주소의 검사 대상 웹사이트에 접속하여 악성 여부를 검사하고, 상기 링크주소 검사모듈이 접속한 검사 대상 웹사이트의 화면을 검사정보 안내모듈이 캡처해서 해당 캡처이미지를 수신단말에 전송하는 링크주소 검사모듈;
    상기 검사정보 안내모듈이 상기 링크주소 검사모듈로부터 수신한 상기 검사 대상 웹사이트의 검사 결과 정보와 캡처이미지를 상기 수신단말에 전송하는 단계;
    상기 검사 결과 정보와 캡처이미지를 수시한 상기 수신단말의 검사정보 확인모듈이 출력하는 단계;
    를 포함하는 것을 특징으로 하는 이메일 본문에 게재된 링크주소의 악성 여부 검사방법.
PCT/KR2018/004071 2017-05-19 2018-04-06 이메일 본문에 게재된 링크주소의 악성 여부 검사방법과 검사시스템 WO2018212455A1 (ko)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2019563383A JP7141643B2 (ja) 2017-05-19 2018-04-06 電子メール本文に掲載されたリンクアドレスの悪性検査方法及び検査システム
CN201880033035.1A CN110637302A (zh) 2017-05-19 2018-04-06 电子邮件正文中恶意超链接的检查方法与检查系统
US16/614,044 US20200074079A1 (en) 2017-05-19 2018-04-06 Method and system for checking malicious hyperlink in email body

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020170062100A KR101907392B1 (ko) 2017-05-19 2017-05-19 이메일 본문에 게재된 링크주소의 악성 여부 검사방법과 검사시스템
KR10-2017-0062100 2017-05-19

Publications (1)

Publication Number Publication Date
WO2018212455A1 true WO2018212455A1 (ko) 2018-11-22

Family

ID=63876650

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2018/004071 WO2018212455A1 (ko) 2017-05-19 2018-04-06 이메일 본문에 게재된 링크주소의 악성 여부 검사방법과 검사시스템

Country Status (5)

Country Link
US (1) US20200074079A1 (ko)
JP (1) JP7141643B2 (ko)
KR (1) KR101907392B1 (ko)
CN (1) CN110637302A (ko)
WO (1) WO2018212455A1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102232206B1 (ko) * 2020-01-03 2021-03-26 (주)새움소프트 발송메일의 오동작 패턴을 기초로 위험성을 자동 감지하는 방법 및 컴퓨터 프로그램

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20190106044A (ko) * 2018-03-07 2019-09-18 삼성전자주식회사 웹 페이지의 표시 방법 및 전자 장치
US10735436B1 (en) * 2020-02-05 2020-08-04 Cyberark Software Ltd. Dynamic display capture to verify encoded visual codes and network address information
KR102527260B1 (ko) * 2020-09-15 2023-04-27 주식회사 카카오 스팸 url을 판단하는 방법 및 시스템
KR102184485B1 (ko) 2020-10-05 2020-11-30 크리니티(주) 악성 메일 처리 시스템 및 방법
KR20240036146A (ko) * 2020-12-29 2024-03-19 (주)기원테크 메일 보안 기반의 제로데이 url 공격 방어 서비스 제공 장치 및 그 동작 방법
US11943257B2 (en) * 2021-12-22 2024-03-26 Abnormal Security Corporation URL rewriting
KR102448188B1 (ko) * 2022-05-06 2022-09-28 (주)지란지교시큐리티 웹 격리 기술 기반의 메일 보안 시스템 및 메일 보안 서비스 제공 방법
CN115134147A (zh) * 2022-06-29 2022-09-30 中国工商银行股份有限公司 电子邮件检测方法及装置

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20080027035A (ko) * 2006-09-22 2008-03-26 주식회사 소프트런 피싱 방지를 위한 웹 사이트 및 메일 검증 방법과 그 방법에 대한 컴퓨터 프로그램을 저장한 기록매체
US7516488B1 (en) * 2005-02-23 2009-04-07 Symantec Corporation Preventing data from being submitted to a remote system in response to a malicious e-mail
JP2014513834A (ja) * 2011-04-18 2014-06-05 ファイヤアイ インク マルウェア検出のための電子メッセージ分析
KR20150019663A (ko) * 2013-08-14 2015-02-25 소프트캠프(주) 이메일의 첨부파일 처리시스템과 처리방법
KR20150062644A (ko) * 2013-11-29 2015-06-08 (주)노르마 스미싱 메시지 검출 시스템과 이에 사용되는 서버 및 프로그램을 기록한 기록매체

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4682855B2 (ja) 2006-01-30 2011-05-11 日本電気株式会社 不正サイトへの誘導防止システム、方法、プログラム、及び、メール受信装置
US20100299735A1 (en) * 2009-05-19 2010-11-25 Wei Jiang Uniform Resource Locator Redirection
JP5805585B2 (ja) 2012-05-23 2015-11-04 日本電信電話株式会社 中継サーバおよび代理アクセス方法
JP6361090B2 (ja) 2013-05-16 2018-07-25 ヤマハ株式会社 中継装置
KR101940310B1 (ko) * 2013-05-24 2019-01-21 한국전자통신연구원 웹 사이트 검증 장치 및 그 방법
CN105491053A (zh) * 2015-12-21 2016-04-13 用友网络科技股份有限公司 一种Web恶意代码检测方法及系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7516488B1 (en) * 2005-02-23 2009-04-07 Symantec Corporation Preventing data from being submitted to a remote system in response to a malicious e-mail
KR20080027035A (ko) * 2006-09-22 2008-03-26 주식회사 소프트런 피싱 방지를 위한 웹 사이트 및 메일 검증 방법과 그 방법에 대한 컴퓨터 프로그램을 저장한 기록매체
JP2014513834A (ja) * 2011-04-18 2014-06-05 ファイヤアイ インク マルウェア検出のための電子メッセージ分析
KR20150019663A (ko) * 2013-08-14 2015-02-25 소프트캠프(주) 이메일의 첨부파일 처리시스템과 처리방법
KR20150062644A (ko) * 2013-11-29 2015-06-08 (주)노르마 스미싱 메시지 검출 시스템과 이에 사용되는 서버 및 프로그램을 기록한 기록매체

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102232206B1 (ko) * 2020-01-03 2021-03-26 (주)새움소프트 발송메일의 오동작 패턴을 기초로 위험성을 자동 감지하는 방법 및 컴퓨터 프로그램

Also Published As

Publication number Publication date
CN110637302A (zh) 2019-12-31
JP2020521221A (ja) 2020-07-16
US20200074079A1 (en) 2020-03-05
KR101907392B1 (ko) 2018-10-12
JP7141643B2 (ja) 2022-09-26

Similar Documents

Publication Publication Date Title
WO2018212455A1 (ko) 이메일 본문에 게재된 링크주소의 악성 여부 검사방법과 검사시스템
US7325249B2 (en) Identifying unwanted electronic messages
WO2018143605A1 (ko) 전자메일 제공 시스템 및 그 방법
US8881277B2 (en) Method and systems for collecting addresses for remotely accessible information sources
US20190014143A1 (en) Identifying malicious messages based on received message data of the sender
WO2022139078A1 (ko) 보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법
US7684339B2 (en) Communication control system
CN103095676A (zh) 过滤系统以及过滤方法
US20160241575A1 (en) Information processing system and information processing method
US9787636B2 (en) Relay device and control method of relay device
CN104243214B (zh) 一种数据处理的方法、装置及系统
JP2010171471A (ja) メールフィルタリングシステム
JP2016139935A (ja) 情報処理装置、情報処理方法及びプログラム
WO2022145501A1 (ko) 메일 보안 기반의 제로데이 url 공격 방어 서비스 제공 장치 및 그 동작 방법
JPWO2008062542A1 (ja) 通信制御装置
WO2024019506A1 (ko) 이메일 통신 프로토콜 기반 접속 관리 및 차단 기능을 제공하는 메일 접속 보안 시스템의 메일 보안 처리 장치 및 그 동작 방법
WO2010090357A1 (ko) 웹사이트 주소 검증 시스템 및 주소 검증 방법
US20090210500A1 (en) System, computer program product and method of enabling internet service providers to synergistically identify and control spam e-mail
JP2009037346A (ja) 迷惑メール排除システム
US20040230644A1 (en) E-mail transfer server apparatus and e-mail transfer system
JP2009182724A (ja) 監視装置
JP2009182728A (ja) 試験装置
WO2022054982A1 (ko) 전자 메일을 관리하는 방법 및 장치
WO2014163355A1 (ko) 전자문서 검역방법 및 검역시스템
WO2024029666A1 (ko) 표적형 이메일 공격 차단 및 대응을 위한 이메일 보안 시스템 및 그 동작 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18801789

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2019563383

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18801789

Country of ref document: EP

Kind code of ref document: A1