WO2023158086A1 - 진단서버에 의해 제공되는 취약점 진단 방법 - Google Patents

진단서버에 의해 제공되는 취약점 진단 방법 Download PDF

Info

Publication number
WO2023158086A1
WO2023158086A1 PCT/KR2022/020749 KR2022020749W WO2023158086A1 WO 2023158086 A1 WO2023158086 A1 WO 2023158086A1 KR 2022020749 W KR2022020749 W KR 2022020749W WO 2023158086 A1 WO2023158086 A1 WO 2023158086A1
Authority
WO
WIPO (PCT)
Prior art keywords
diagnosis
client
vulnerability
file
procedure
Prior art date
Application number
PCT/KR2022/020749
Other languages
English (en)
French (fr)
Inventor
조서연
김미란
김예리
김성한
이윤지
양환석
Original Assignee
중부대학교 산학협력단
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 중부대학교 산학협력단 filed Critical 중부대학교 산학협력단
Publication of WO2023158086A1 publication Critical patent/WO2023158086A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities

Definitions

  • the present invention relates to a technique for checking/diagnosing security vulnerabilities that are vulnerable to malicious attacks.
  • Security vulnerability inspection means checking for threats that may allow illegal users to access the information system or threats to leak, falsify, or delete important data managed by the system to be inspected. .
  • checking security vulnerabilities means analyzing the security level of the system to be checked after performing a task of checking whether or not there are security vulnerabilities in the system to be checked.
  • Existing methods for checking security vulnerabilities are methods of selecting clients (eg, PCs, network devices, etc.) to be inspected, performing inspections according to predetermined diagnosis criteria, and checking whether security vulnerabilities exist in the clients.
  • clients eg, PCs, network devices, etc.
  • a new method of vulnerability check that can increase the reliability of the check result and further reduce unnecessary load and cost in the check process. (diagnostic) technology is provided.
  • a method for diagnosing vulnerabilities provided by a diagnosis server includes a connection step of allowing a remote administrator to access a client requesting diagnosis using a web-based terminal emulator-based connection service (SSH); an execution step of transmitting a specific script by the manager to the client so that the specific script is executed in the client; performing a procedure for performing a vulnerability diagnosis procedure in the client through execution of the specific script; storing the diagnosis result data generated according to the vulnerability diagnosis procedure to be processed into a form that can be displayed on the web and then stored in a database; and a browsing step of allowing the client to view a vulnerability diagnosis report according to at least one or more diagnosis result data in a customer page of the client based on data stored in the DB when the client accesses the diagnosis server through login.
  • SSH web-based terminal emulator-based connection service
  • the vulnerability diagnosis procedure includes a plurality of predetermined check items
  • the step of performing the procedure includes, among the plurality of check items, past diagnosis result data of the client inquired from the DB and diagnosis request of the client.
  • a vulnerability diagnosis procedure consisting of check items selected according to at least one of administrators at a remote location to be processed may be performed.
  • the client further includes performing a preset mock attack in relation to a specific check item identified as a vulnerability;
  • the diagnosis result data stored in the DB and the mock attack execution result may be stored together, or the simulation result data stored in the DB may be stored after reflecting and processing the diagnosis result data stored in the DB. .
  • an exception is processed so that the specified important file is not accessed during the vulnerability diagnosis procedure, and the specified important file is a file identified from the data structure of the client's file system.
  • the file may be identified as being created at the time of creation of the root filesystem based on at least one of the time of creation and the location of the file.
  • the specified important file is the smallest block and I-node number in which file data is first stored in a block and I-node bitmap, from a data structure that stores files in block units at locations identified by nodes.
  • Check the creation time of at least one of the blocks and the I-node bitmap, and check a file having the same creation time as the checked creation time and having a number smaller than at least one of the preset critical block and I-node numbers can be identified as a file created at the time of creation of the root file system.
  • a method of performing a vulnerability diagnosis procedure with past diagnosis results of a client and a check item selected by an administrator in the case of a remote administrator, a method of performing a mock attack based on the diagnosis result, and a vulnerability diagnosis procedure We are implementing a new type of vulnerability diagnosis technology by realizing an exception handling method to prevent access to important system files during
  • FIG. 1 is a diagram showing the structure of a vulnerability diagnosis system according to an embodiment of the present invention.
  • FIG. 2 is a flow chart showing the operation flow of a vulnerability diagnosis method according to an embodiment of the present invention.
  • 3 and 4 are exemplary diagrams showing diagnosis result data (before/after processing) obtained by the vulnerability diagnosis method of the present invention.
  • the present invention relates to a technique for checking/diagnosing security vulnerabilities that are vulnerable to malicious attacks.
  • Security vulnerability inspection means checking for threats that may allow illegal users to access the information system or threats to leak, falsify, or delete important data managed by the system to be inspected. .
  • checking security vulnerabilities means analyzing the security level of the system to be checked after performing a task of checking whether or not there are security vulnerabilities in the system to be checked.
  • Existing methods for checking security vulnerabilities are methods of selecting clients (eg, PCs, network devices, etc.) to be inspected, performing inspections according to predetermined diagnosis criteria, and checking whether security vulnerabilities exist in the clients.
  • clients eg, PCs, network devices, etc.
  • the present invention intends to implement a new type of vulnerability diagnosis technology by proposing/realizing a specific technical configuration capable of increasing the reliability of inspection results and reducing unnecessary load and cost in the inspection process.
  • the vulnerability diagnosis system is a user who may correspond to a client (eg, PC, network equipment, etc.) to be inspected (diagnosed), and a vulnerability diagnosis procedure can be performed from a remote location. It includes a manager, and a diagnosis server 100 and a DB in charge of the method for diagnosing vulnerabilities of the present invention.
  • a client eg, PC, network equipment, etc.
  • a vulnerability diagnosis procedure can be performed from a remote location. It includes a manager, and a diagnosis server 100 and a DB in charge of the method for diagnosing vulnerabilities of the present invention.
  • the vulnerability diagnosis system of the present invention based on organic communication and operation between each component shown in FIG. It is possible to realize a detailed technical configuration that can increase reliability and reduce unnecessary load and cost in the diagnosis process.
  • FIG. 1 an example of a vulnerability diagnosis scenario by the vulnerability diagnosis system (vulnerability diagnosis method) of the present invention will be described in more detail.
  • the diagnosis server 100 is a server that manages a method for diagnosing vulnerabilities, and may be referred to as a so-called IR (Inform Relief) System.
  • the user can input information about his/her PC (hereinafter referred to as a client) and request vulnerability diagnosis ( One).
  • a client his/her PC
  • One request vulnerability diagnosis
  • a remote administrator accesses a corresponding client using a terminal emulator-based connection service (Secure Shell, SSH) based on user information (hereinafter referred to as client information) (2) .
  • SSH Secure Shell
  • the remote manager transfers a specific script (hereinafter referred to as IR.tar) located on the desktop of the manager computer from cmd to the user's PC, that is, the client to be diagnosed, using the scp command (2) .
  • IR.tar a specific script located on the desktop of the manager computer
  • the vulnerability diagnosis procedure can be started in the client.
  • the vulnerability diagnosis procedure is performed by executing IR.tar on the client.
  • diagnosis result data when the vulnerability diagnosis procedure is completed in the client, diagnosis result data according to the vulnerability diagnosis procedure is generated.
  • diagnosis result data may be created as a txt file containing all results in the form of date + IP address.txt.
  • the client since data must be processed in a form that can be viewed by users (customers) on the web, in the present invention, the client processes the diagnosis result data (eg, date + IP address.txt file) generated through the vulnerability diagnosis procedure.
  • diagnosis result data e.g. date + IP address.txt file
  • diagnosis is completed by saving it in the DB using the mysql command can handle (3).
  • the user accesses the diagnosis server 100 through login
  • the user can view the vulnerability diagnosis report according to the diagnosis result data of the previously performed vulnerability diagnosis procedure on My Page of the user (customer). Yes (4).
  • the vulnerability diagnosis procedure proceeds through transmission of commands or scripts by a remote manager (or manager) without installing a vulnerability diagnosis agent in the client (e.g., PC, network equipment, etc.) to be diagnosed. , execution, processing, completion) as the basic configuration.
  • a remote manager or manager
  • a vulnerability diagnosis agent in the client (e.g., PC, network equipment, etc.)
  • a user provides a vulnerability diagnosis report (eg, found vulnerabilities and detailed cause analysis to solutions) according to vulnerability diagnosis conducted by an administrator through a web service (eg, My Page). make it readable
  • the vulnerability diagnosis system of the present invention security threats can be drastically reduced, and an administrator can efficiently maintain a client system in a safe state.
  • effects such as convenient usability through an additional graphic interface of the diagnosis server (100, IR System) and provision of diagnosis results made easy for the user to see can be expected.
  • the vulnerability diagnosis system of the present invention in particular, the diagnosis server (100, IR System), compliance with legal security regulations related to vulnerability inspection/diagnosis of major infrastructure and financial infrastructure is satisfied, and periodic vulnerability inspection/diagnosis is performed. Prevention of security incidents can be strengthened through the diagnosis server (100, IR System).
  • the security vulnerability diagnosis for the client eg, PC, network equipment, etc.
  • the client eg, PC, network equipment, etc.
  • the PC that is, the client It is possible to request input of information required for vulnerability diagnosis and vulnerability diagnosis (S10).
  • the diagnosis server 100 is a client requesting vulnerability diagnosis as described above, so that a remote manager is connected using a web-based terminal emulator-based connection service. Do (S20).
  • the diagnosis server 100 uses a web-based terminal emulator (e.g., shell in a box) based on information of a client for which a connected and logged-in administrator requests vulnerability diagnosis. If you launch it and try to connect based on the access service (SSH) supported by the Linux OS, you can connect to the corresponding client.
  • SSH access service
  • a remote administrator may be connected to a client by using a connection service supported by the Windows OS (eg, Xshell, PuTTY, iTerm, etc.) .
  • a connection service supported by the Windows OS eg, Xshell, PuTTY, iTerm, etc.
  • the diagnosis server 100 transfers a specific script by the manager to the corresponding client, allowing the specific script to be executed in the corresponding client. (S30).
  • the diagnosis server 100 sends a scp command to a specific script (hereinafter referred to as IR.tar) located on the desktop of a remote administrator (computer) connected to the client.
  • a specific script i.e., IR.tar
  • IR.tar a specific script located on the desktop of a remote administrator (computer) connected to the client.
  • the vulnerability diagnosis procedure can be started in the client (S40).
  • the diagnosis server 100 performs a vulnerability diagnosis procedure by executing IR.tar in the client, thereby checking/diagnosing whether or not a security vulnerability exists in the client. Do (S50).
  • the present invention proposes the following technical configurations for improving the reliability of the diagnosis result according to the vulnerability diagnosis procedure and minimizing unnecessary load and cost.
  • a vulnerability diagnosis procedure is defined as including a plurality of preset check items.
  • the diagnosis server 100 performs a vulnerability diagnosis procedure in a client through IR.
  • a vulnerability diagnosis procedure consisting of check items selected according to at least one of past diagnosis result data of the client inquired from the DB and a remote manager processing the diagnosis request of the corresponding client may be performed (S50). ).
  • the subject that causes the dynamic vulnerability diagnosis procedure consisting of selection of check items and the selected check items to be performed may be an administrator, a specific script (eg, IR.tar) executed on the client, or the diagnosis server 100. there is.
  • a specific script eg, IR.tar
  • the diagnosis server 100 may select at least one inspection item from among a plurality of inspection items preset in a vulnerability diagnosis procedure, based on past diagnosis result data of a corresponding client inquired from a DB.
  • the DB stores/manages diagnosis result data (+ vulnerability diagnosis report) for the previously performed vulnerability diagnosis procedure for each client.
  • the diagnosis server 100 can search the past diagnosis result data of the client in the DB at the time when a specific script, that is, IR.tar, is transmitted by the manager to the client, Based on this, for a certain period of time in the past (eg, N months or N times of past vulnerability diagnosis procedures), a number of pre-set check items in the vulnerability diagnosis process are checked for the check items for which it is determined that vulnerabilities do not exist (eg, “satisfactory” as a result of the diagnosis). You can select the remaining inspection items excepted from the list.
  • a specific script that is, IR.tar
  • the vulnerability diagnosis procedure to be performed at the present time Even if it is included in the list, it is highly likely that the vulnerability does not exist (eg, “satisfactory” as a result of the diagnosis), so it is excluded from the inspection items subject to diagnosis.
  • diagnosis server 100 may perform a vulnerability diagnosis procedure consisting of inspection items selected based on past diagnosis result data of the client.
  • the check item with high possibility of determining that there is no vulnerability for the same client eg, “satisfied” as a result of the diagnosis
  • the dynamic vulnerability diagnosis procedure selected/consisting of the remaining check items except for the effect of minimizing and reducing unnecessary load and cost in the process of diagnosing security vulnerabilities can be expected.
  • the diagnosis server 100 may select at least one inspection item from among a plurality of inspection items preset in a vulnerability diagnosis procedure based on a remote administrator who processes a diagnosis request of a client.
  • the diagnosis server 100 may check the level or expertise score or authority of the administrator at the time when the remote administrator attempts SSH-based access to the client. To this end, according to a predefined policy, evaluation of vulnerability diagnosis procedures performed in the past for each manager may be performed, and a level or expertise score or authority may be assigned according to the evaluation.
  • the diagnosis server 100 allows the administrator to select check items having a greater security issue in stages as the level or expertise score or authority increases, based on the level or expertise score or authority confirmed for the administrator. At least one check item may be selected from a plurality of preset check items in the vulnerability diagnosis procedure.
  • diagnosis server 100 may perform a vulnerability diagnosis procedure consisting of inspection items selected on the basis of an administrator.
  • the present invention unlike the existing procedure of performing the same security vulnerability diagnosis procedure for the same client every time, by performing a dynamic vulnerability diagnosis procedure consisting of check items selected according to the administrator's level or expertise score or authority, etc.
  • a dynamic vulnerability diagnosis procedure consisting of check items selected according to the administrator's level or expertise score or authority, etc.
  • it can be expected to improve the reliability of the diagnosis result by satisfying the accuracy, legitimacy, and security issues of the diagnosis result, which may vary depending on the manager.
  • the diagnosis server 100 combines the client's past diagnosis result data and the remote manager who processes the diagnosis request of the client (if necessary, applies a weight to each of the past diagnosis result data and manager), and displays the combination result. Based on this, a vulnerability diagnosis procedure consisting of the selected check items may be performed by selecting a check item from a plurality of preset check items in the vulnerability diagnosis procedure.
  • the diagnosis server 100 performs the vulnerability diagnosis procedure in the client through the execution of IR.tar as described above, for the specified important file. Exceptions are processed so that they are not accessed during the diagnostic procedure (S50).
  • the specified important file is described as a file identified as being created at the time of creation of the root filesystem based on at least one of the file creation time and the file location identified from the data structure of the client's file system. can do.
  • Vulnerability diagnosis procedures carried out for a safe computing environment may have different diagnosis items or different diagnosis methods, but the common point that has the most important effect on performance is that reliable diagnosis results are obtained without affecting the client's system. I will say that
  • critical system files important files that must be treated as exceptions without being accessed during the vulnerability diagnosis procedure must be able to be identified/determined.
  • the diagnosis server 100 is identified through a digital signature (or certificate) in performing the vulnerability diagnosis procedure in the client through IR.tar execution as described above. Exceptions can be made to prevent access to critical system files during the vulnerability diagnosis procedure.
  • Linux OS does not support digital signatures (or certificates), so it is difficult to identify/determine important system files that must be treated as exceptions.
  • the diagnosis server 100 confirms from the data structure of the file system of the client in performing the vulnerability diagnosis procedure in the client through IR.tar execution as described above. Based on at least one of the file creation time and file location, the file identified as being created at the time of creation of the root filesystem is determined as an important system file, and access to this important system file is performed during the vulnerability diagnosis procedure. You can handle exceptions so that nothing happens.
  • a subject that handles exceptions so that important system files are not accessed during the process of identifying and diagnosing vulnerabilities may be a specific script (eg, IR.tar) executed on the client or the diagnosis server 100.
  • IR.tar e.g., IR.tar
  • the basic data structure of the file system used in the Linux OS may consist of a boot block and several block groups (0,1,...,n).
  • Each block group consists of a super block, group descriptor, block bitmap, I-node bitmap, and directory and data blocks.
  • This block group structure increases the intensity of key data and file data, reducing fragmentation when saving files and reducing the response speed related to disk I/O.
  • a block bitmap and an I-node bitmap are particularly utilized in the data structure of such a file system.
  • the block bitmap is located next to the group descriptor in the block group structure.
  • the block bitmap literally represents the use (assignment) state of blocks expressed in bits.
  • Each block present in the block group corresponds to one bit in the block bitmap. So, if a specific block is being used, it indicates that the index of the corresponding block in the block bitmap is allocated (used).
  • file data is stored in the Ext filesystem is the I-node data structure. All files and directories are allocated one I-node, and all I-nodes have a unique address (or index).
  • the data structure of the basic file system used in the Linux OS can be said to be a data structure that stores files in block units at locations identified as I-nodes.
  • the I-node bitmap represents the use (assignment) status of all I-nodes managed by the corresponding block group expressed in bits. That is, each I-node present in the block group corresponds to one bit in the I-node bitmap. Therefore, if a specific I-node is used, it indicates that the index of the corresponding I-node of the I-node bitmap is allocated (used).
  • the diagnosis server 100 from the data structure of the client's file system, the smallest block in which file data is first stored in the block bitmap and the I-node bitmap. Number and I-Node Number, at least one generation time can be confirmed.
  • the creation time at this time will mean the time of file creation.
  • the diagnostic server 100 from the block bitmap and the I-node bitmap, a file having a creation time equal to the checked creation time and a number smaller than at least one of the predetermined critical block number and the I-node number. make it possible to check The number at this time will mean the file location.
  • the preset critical block number and I-node number are the maximum block number and I-node to be used when blocks and I-nodes are used (allocated) for all of the actual important system files of the file system in the client. It may be preset to a number that is the same as the number or larger by a certain size.
  • the diagnosis server 100 determines the generation time of at least one of the smallest block number and the I-node number in the block bitmap and the I-node bitmap, and a number smaller than at least one of the critical block number and the I-node number.
  • the present invention by performing a vulnerability diagnosis procedure that identifies important system files and handles exceptions so that important system files are not accessed during the process of diagnosing security vulnerabilities, the reliability of the diagnosis result is improved and the critical situation for the client system is performed. The effect of avoiding the occurrence of problems that cause can be expected.
  • the diagnosis server 100 stores/manages diagnosis result data generated according to the vulnerability diagnosis procedure performed in step S50 in a DB (see FIG. 1). make it possible
  • diagnosis result data when the vulnerability diagnosis procedure is completed in the client, diagnosis result data according to the vulnerability diagnosis procedure is generated.
  • diagnosis result data may be created as a txt file containing all results in the form of date + IP address.txt.
  • the generated diagnosis result data is processed into a form that can be displayed on the web and then stored in a DB (see FIG. 1).
  • the client executes a script called "./final_DB.sh” to process the diagnosis result data (eg date + IP address.txt file) generated through the vulnerability diagnosis procedure, and the diagnosis result data (eg date + IP address.txt file) can be processed into a form that can be displayed on the web (S60), and then stored in the DB using the mysql command (S80).
  • a script called "./final_DB.sh” to process the diagnosis result data (eg date + IP address.txt file) generated through the vulnerability diagnosis procedure, and the diagnosis result data (eg date + IP address.txt file) can be processed into a form that can be displayed on the web (S60), and then stored in the DB using the mysql command (S80).
  • a subject that allows diagnosis result data to be stored in a DB after processing may be a specific script (eg, IR.tar) executed on a client or the diagnosis server 100 .
  • a specific script eg, IR.tar
  • FIG 3 illustrates an example of diagnosis result data obtained by the vulnerability diagnosis method of the present invention.
  • FIG. 4 is an exemplary view showing after the diagnosis result data of FIG. 3 is processed into a displayable form on the web.
  • the diagnosis server 100 when a user (client) accesses the diagnosis server 100 through login, the customer page based on the data stored in the DB.
  • My Page it is possible to view the vulnerability diagnosis report according to the diagnosis result data of the previously performed vulnerability diagnosis procedure (S90).
  • the vulnerability diagnosis report may include user member information, diagnosis results, and detailed results, and the detailed results include item codes, importance, inspection status, diagnosis results, and actions for each inspection item performed ( solutions), users can check the vulnerabilities found in their PC (client) from detailed cause analysis to solutions through the vulnerability diagnosis report.
  • the diagnosis server 100 Before processing), based on the diagnosis result data this time, a preset mock attack may be performed in relation to a specific check item identified as a vulnerability in the corresponding client (S70).
  • the diagnosis server 100 in relation to the inspection items for which the diagnosis result is "partial satisfaction", such as item codes U-01, U-04, and U-45, the corresponding inspection
  • a preset mock attack can be performed for each item, or a preset mock attack can be performed for each check item in relation to a check item whose importance is "High” and the diagnosis result is "Partial Satisfaction", and the importance is "High”.
  • a preset mock attack may be performed for each corresponding check item for all of the check items.
  • diagnosis server 100 may cause the simulation attack performance result to be stored together when the current diagnosis result data for the corresponding client is stored in the DB, or the simulation attack execution result may be stored in the current diagnosis result data stored in the DB. After reflecting and processing, it can be saved (S80).
  • the user connects to the diagnosis server 100 through login and performs the vulnerability diagnosis procedure through the customer page (My Page) on the web.
  • My Page customer page
  • a new type of vulnerability diagnosis technology is implemented by realizing an exception handling method to prevent access to important system files during the vulnerability diagnosis procedure.
  • a vulnerability diagnosis method may be implemented in the form of program instructions that can be executed through various computer means and recorded on a computer readable medium.
  • the computer readable medium may include program instructions, data files, data structures, etc. alone or in combination.
  • Program instructions recorded on the medium may be those specially designed and configured for the present invention or those known and usable to those skilled in computer software.
  • Examples of computer-readable recording media include magnetic media such as hard disks, floppy disks and magnetic tapes, optical media such as CD-ROMs and DVDs, and magnetic media such as floptical disks.
  • - includes hardware devices specially configured to store and execute program instructions, such as magneto-optical media, and ROM, RAM, flash memory, and the like.
  • program instructions include high-level language codes that can be executed by a computer using an interpreter, as well as machine language codes such as those produced by a compiler.
  • the hardware devices described above may be configured to act as one or more software modules to perform the operations of the present invention, and vice versa.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Test And Diagnosis Of Digital Computers (AREA)

Abstract

본 발명은, 클라이언트(예: PC, 네트워크 장비 등)에 대한 보안 취약점 점검을 수행함에 있어, 점검 결과의 신뢰도를 높이고 더 나아가 점검 과정에서의 불필요한 부하 및 비용을 절감할 수 있는 새로운 방식의 취약점 점검(진단) 기술을 제안하고 있다.

Description

진단서버에 의해 제공되는 취약점 진단 방법
본 발명은, 악성 공격에 취약한 보안 취약점을 점검/진단하는 기술에 관한 것이다.
본원 출원은 2022년 2월 18일자로 출원된 한국 출원 제10-2022-0021182호의 우선권을 주장하고, 이러한 출원의 내용 전체가 모든 목적들을 위해서 참조로서 본원에 포함된다.
악성 행위를 수행하여 공격을 감행하는 악성코드의 종류는 다양해지고 있으며, 이러한 악성 공격에 의한 보안 사고(해킹 및 침해 사고) 역시 빈번히 일어나고 있다.
이에, 안전한 컴퓨팅 환경을 위해, 다양한 방식의 악성코드 진단 방안 및 보안 취약점 점검 방안들이 등장하였다.
보안 취약점 점검이란, 정보 시스템에 불법적인 사용자의 접근을 허용할 수 있는 위협이나 점검 대상 시스템에서 관리하는 중요 데이터의 유출, 변조, 삭제에 대한 위협이 발생할 수 있는 사항들에 대하여 점검하는 것을 의미한다.
즉, 보안 취약점 점검은, 점검 대상 시스템에 보안 취약점이 존재하고 있는지에 대한 점검 작업을 수행한 후 점검 대상 시스템의 보안수준을 분석하는 것을 의미한다.
기존의 보안 취약점 점검 방안은, 점검 대상이 되는 클라이언트(예: PC, 네트워크 장비 등)를 선택하고 기 정해진 진단 기준에 따른 점검을 수행하여, 클라이언트에 보안 취약점이 존재하는지 여부를 점검하는 방식이다.
이와 같은 기존의 보안 취약점 점검 방안은, 진단 기준에 따른 점검을 수행하여 보안 취약점 존재 여부의 점검 결과를 얻을 뿐, 그 점검 결과의 신뢰도에 대한 검증이 이루어지지 않고 있다.
이에, 기존 방식으로는, 보안 취약점 점검이 원격지의 관리자에 의해 진행될 경우 관리자에 따라 그 점검 결과의 정확도 및 정당성이 달라질 수 있는 한계, 또는 단순히 진단 기준에 따른 점검 결과에 대해 보다 강력한 정확도가 필요한 상황이나 이를 만족시키기 어려운 한계가 있다.
이 외에도, 기존 방식으로는, 보안 취약점 점검 과정 중에 접근해선 안 되는 중요 시스템파일에 접근하게 되는 경우가 발생할 경우 이를 예외 처리하지 못하여, 점검 결과의 신뢰도가 낮아질 뿐 아니라 클라이언트 내 시스템에 치명적인 상황을 야기시키는 문제까지도 발생할 수 있다.
이 밖에도, 기존 방식으로는, 동일 클라이언트에 대해 매번 동일하게 보안 취약점 점검을 수행하므로, 보안 취약점 점검 과정에서의 불필요한 부하 및 비용이 소요되는 한계도 있을 수 있다.
이에, 본 발명에서는, 클라이언트(예: PC, 네트워크 장비 등)에 대한 보안 취약점 점검을 수행함에 있어, 점검 결과의 신뢰도를 높이고 더 나아가 점검 과정에서의 불필요한 부하 및 비용을 절감할 수 있는 방식의 취약점 점검(진단) 기술을 제안하고자 한다.
본 발명은, 클라이언트(예: PC, 네트워크 장비 등)에 대한 보안 취약점 점검을 수행함에 있어, 점검 결과의 신뢰도를 높이고 더 나아가 점검 과정에서의 불필요한 부하 및 비용을 절감할 수 있는 새로운 방식의 취약점 점검(진단) 기술을 제공하는데 있다.
본 발명의 일 실시 예에 따른 진단서버에 의해 제공되는 취약점 진단 방법은, 진단을 요청하는 클라이언트로, 원격지의 관리자가 웹기반 터미널 에뮬레이터 기반의 접속 서비스(SSH)를 이용하여 접속되도록 하는 접속 단계; 상기 관리자에 의한 특정 스크립트를 상기 클라이언트로 전달하여, 상기 클라이언트에서 상기 특정 스크립트를 실행하도록 하는 실행 단계; 상기 특정 스크립트 실행을 통해, 상기 클라이언트에서 취약점 진단 절차가 수행되게 하는 절차 수행 단계; 상기 취약점 진단 절차에 따라 생성되는 진단 결과 데이터가 웹에서 표시 가능한 형태로 가공된 후 데이터 베이스(DB)에 저장되도록 하는 저장 단계; 및 상기 클라이언트가 로그인을 통해 상기 진단서버에 접속하면, 상기 DB 내 저장 데이터를 기반으로 상기 클라이언트의 고객 페이지에서 적어도 하나 이상의 진단 결과 데이터에 따른 취약점 진단 보고서를 열람할 수 있게 하는 열람 단계를 포함한다.
구체적으로, 상기 취약점 진단 절차에는 기 설정된 다수의 점검 항목이 포함되며, 상기 절차 수행 단계는, 상기 다수의 점검 항목 중에서, 상기 DB에서 조회되는 상기 클라이언트의 과거 진단 결과 데이터 및 상기 클라이언트의 진단 요청을 처리하는 원격지의 관리자 중 적어도 하나에 따라 선택되는 점검 항목으로 이루어지는 취약점 진단 절차가 수행되도록 할 수 있다.
구체적으로, 상기 취약점 진단 절차에 따른 진단 결과를 근거로, 상기 클라이언트에서 취약점으로 확인되는 특정 점검 항목과 관련하여 기 설정된 모의 공격을 수행하는 단계를 더 포함하며; 상기 저장 단계는, 상기 DB에 저장되는 진단 결과 데이터와 상기 모의 공격 수행 결과가 함께 저장되도록 하거나, 상기 DB에 저장되는 진단 결과 데이터에 상기 모의 공격 수행 결과를 반영 및 처리한 후 저장되도록 할 수 있다.
구체적으로, 상기 절차 수행 단계는, 기 특정된 중요 파일에 대해서는 상기 취약점 진단 절차 수행 중에 접근되는 일이 없도록 예외 처리하며, 상기 특정된 중요 파일은, 상기 클라이언트의 파일시스템의 데이터 구조로부터 확인되는 파일 생성시점 및 파일 위치 중 적어도 하나를 근거로, 루트 파일시스템(root filesystem) 생성 시점에 생성된 것으로 식별되는 파일일 수 있다.
구체적으로, 상기 특정된 중요 파일은, 노드로 식별되는 위치에 블록 단위로 파일을 저장하는 데이터 구조로부터, 블록 및 I-노드 비트맵에서 파일 데이터가 가장 먼저 저장되는 가장 작은 블록 및 I-노드 넘버 중 적어도 하나의 생성시간을 확인하고, 블록 및 I-노드 비트맵으로부터, 상기 확인한 생성시간과 같은 생성시간을 가지며 기 설정된 임계 블록 및 I-노드 넘버 중 적어도 하나 보다 작은 넘버를 가지는 파일을 확인하여, 상기 루트 파일시스템 생성 시점에 생성된 파일로 식별될 수 있다.
본 발명의 실시 예들에 따르면, 클라이언트의 과거 진단 결과 및 원격지의 관리자에 의한 경우 관리자에 따라 선택되는 점검 항목으로 취약점 진단 절차를 수행하는 방식, 진단 결과 기반의 모의 공격을 수행하는 방식, 취약점 진단 절차 중에 중요 시스템파일에 접근되는 일 이 없도록 예외 처리하는 방식 실현을 통해, 새로운 방식의 취약점 진단 기술을 구현해 내고 있다.
이로써, 본 발명에 따르면, 보안 취약점을 진단하는데 있어, 진단 결과의 신뢰도를 높이고 진단 과정에서의 불필요한 부하 및 비용을 절감할 수 있는 효과를 도출할 수 있다.
도 1은 본 발명의 일 실시 예에 따른 취약점 진단 시스템의 구조를 보여주는 도면이다.
도 2는 본 발명의 일 실시 예에 따른 취약점 진단 방법이 동작하는 흐름을 보여주는 흐름도이다.
도 3 및 도 4는 본 발명의 취약점 진단 방법에 의해 얻을 수 있는 진단 결과 데이터(가공 전/후)를 보여주는 예시 도이다.
본 발명은 다양한 변경을 가할 수 있고 여러 가지 실시 예를 가질 수 있는 바, 특정 실시 예들을 도면에 예시하고 상세하게 설명하고자 한다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다. 각 도면을 설명하면서 유사한 참조부호를 유사한 구성요소에 대해 사용하였다.
어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다.
본 출원에서 사용한 용어는 단지 특정한 실시예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 출원에서, "포함하다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가지고 있다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥 상 가지는 의미와 일치하는 의미를 가지는 것으로 해석되어야 하며, 본 출원에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.
이하, 첨부된 도면을 참조하여 본 발명에 대하여 설명한다.
본 발명은, 악성 공격에 취약한 보안 취약점을 점검/진단하는 기술에 관한 것이다.
악성 행위를 수행하여 공격을 감행하는 악성코드의 종류는 다양해지고 있으며, 이러한 악성 공격에 의한 보안 사고(해킹 및 침해 사고) 역시 빈번히 일어나고 있다.
이에, 안전한 컴퓨팅 환경을 위해, 다양한 방식의 악성코드 진단 방안 및 보안 취약점 점검 방안들이 등장하였다.
보안 취약점 점검이란, 정보 시스템에 불법적인 사용자의 접근을 허용할 수 있는 위협이나 점검 대상 시스템에서 관리하는 중요 데이터의 유출, 변조, 삭제에 대한 위협이 발생할 수 있는 사항들에 대하여 점검하는 것을 의미한다.
즉, 보안 취약점 점검은, 점검 대상 시스템에 보안 취약점이 존재하고 있는지에 대한 점검 작업을 수행한 후 점검 대상 시스템의 보안수준을 분석하는 것을 의미한다.
기존의 보안 취약점 점검 방안은, 점검 대상이 되는 클라이언트(예: PC, 네트워크 장비 등)를 선택하고 기 정해진 진단 기준에 따른 점검을 수행하여, 클라이언트에 보안 취약점이 존재하는지 여부를 점검하는 방식이다.
이와 같은 기존의 보안 취약점 점검 방안은, 진단 기준에 따른 점검을 수행하여 보안 취약점 존재 여부의 점검 결과를 얻을 뿐, 그 점검 결과의 신뢰도에 대한 검증이 이루어지지 않고 있다.
이에, 기존 방식으로는, 보안 취약점 점검이 원격지의 관리자에 의해 진행될 경우 관리자에 따라 그 점검 결과의 정확도 및 정당성이 달라질 수 있는 한계, 또는 단순히 진단 기준에 따른 점검 결과에 대해 보다 강력한 정확도가 필요한 상황이나 이를 만족시키기 어려운 한계가 있다.
이 외에도, 기존 방식으로는, 보안 취약점 점검 과정 중에 접근해선 안 되는 중요 시스템파일에 접근하게 되는 경우가 발생할 경우 이를 예외 처리하지 못하여, 점검 결과의 신뢰도가 낮아질 뿐 아니라 클라이언트 내 시스템에 치명적인 상황을 야기시키는 문제까지도 발생할 수 있다.
이 밖에도, 기존 방식으로는, 동일 클라이언트에 대해 매번 동일하게 보안 취약점 점검을 수행하므로, 보안 취약점 점검 과정에서의 불필요한 부하 및 비용이 소요되는 한계도 있을 수 있다.
이에, 본 발명에서는, 클라이언트(예: PC, 네트워크 장비 등)에 대한 보안 취약점 점검을 수행함에 있어, 점검 결과의 신뢰도를 높이고 더 나아가 점검 과정에서의 불필요한 부하 및 비용을 절감할 수 있는 방식의 취약점 점검(진단) 기술을 제안하고자 한다.
더 정확히 설명하면, 본 발명에서는, 점검 결과의 신뢰도를 높이고 점검 과정에서의 불필요한 부하 및 비용을 절감할 수 있는 구체화된 기술 구성을 제안/실현함으로써, 새로운 방식의 취약점 진단 기술을 구현하고자 한다.
먼저, 도 1을 참조하여, 본 발명에서 제안하는 취약점 진단 시스템에 대하여 설명하겠다.
도 1에 도시된 바와 같이, 본 발명에 따른 취약점 진단 시스템은, 점검(진단) 대상이 되는 클라이언트(예: PC, 네트워크 장비 등)에 해당될 수 있는 사용자, 원격지에서 취약점 진단 절차를 진행할 수 있는 관리자, 그리고 본 발명의 취약점 진단 방안을 관장하는 진단서버(100) 및 DB를 포함한다.
즉, 본 발명의 취약점 진단 시스템은, 도 1에 도시된 각 구성들 간의 유기적인 통신 및 동작을 기반으로, 클라이언트(예: PC, 네트워크 장비 등)에 대한 취약점 진단을 수행함에 있어, 진단 결과의 신뢰도를 높이고 진단 과정에서의 불필요한 부하 및 비용을 절감할 수 있는 구체화된 기술 구성을 실현할 수 있다.
이하에서는, 도 1을 참조하여, 본 발명의 취약점 진단 시스템(취약점 진단 방법)에 의한 취약점 진단 시나리오의 일 예를 조금 더 구체적으로 설명하겠다.
본 발명에서 진단서버(100)는 취약점 진단 방안을 관장하는 서버로서, 일명 IR(Inform Relief) System이라 칭할 수 있다.
본 발명에서는, 진단서버(100)에서 제공하는 웹 페이지에 사용자가 회원 가입 후 로그인을 한 후, 사용자는 자신의 PC(이하, 클라이언트라 함)에 대한 정보를 입력하고 취약점 진단을 요청할 수 있다(1).
이렇게 되면, 본 발명에서는, 원격지의 관리자가 사용자의 정보(이하, 클라이언트 정보라 함)을 토대로, 기반 터미널 에뮬레이터 기반의 접속 서비스(Secure Shell, SSH)를 이용하여 해당 클라이언트에 접속하게 된다(2).
이후, 본 발명에서 원격지의 관리자는 cmd에서 관리자 컴퓨터의 바탕화면에 있던 특정 스크립트(이하, IR.tar라 함)를, scp 명령어를 사용하여 사용자의 PC 즉 진단 대상의 클라이언트에 전달한다(2).
본 발명에서 사용자의 PC 즉 진단 대상의 클라이언트에서는, 특정 스크립트 즉 IR.tar의 압출을 풀고 실행하면 클라이언트에서 취약점 진단 절차가 시작될 수 있다. 즉, 클라이언트에서 IR.tar 실행을 통해 취약점 진단 절차가 수행되는 것이다.
그리고 본 발명에서는, 클라이언트에서 취약점 진단 절차가 끝나면, 취약점 진단 절차에 따른 진단 결과 데이터가 생성된다. 예를 들면, 진단 결과 데이터는, 날짜 + IP주소.txt 형태로서, 모든 결과가 들어있는 txt 파일로 생성될 수 있다.
아울러, 웹에서 사용자(고객)가 볼 수 있는 형태로 데이터를 가공해야 하기 때문에, 본 발명에서 클라이언트에서는, 취약점 진단 절차를 통해 생성된 진단 결과 데이터(예: 날짜 + IP주소.txt 파일)를 가공시켜 줄 "./final_DB.sh"라는 스크립트를 실행시켜 진단 결과 데이터(예: 날짜 + IP주소.txt 파일)를 웹에서 표시 가능한 형태로 가공한 후, mysql 명령어를 이용하여 DB에 저장하며 진단 완료를 처리할 수 있다(3).
이후, 본 발명에서는, 사용자(고객)가 로그인을 통해 진단서버(100)에 접속하면, 사용자(고객)의 마이 페이지에서 앞서 진행한 취약점 진단 절차의 진단 결과 데이터에 따른 취약점 진단 보고서를 열람할 수 있다(4).
이렇듯, 본 발명에서는, 진단 대상의 클라이언트(예: PC, 네트워크 장비 등)에 취약점 진단 Agent를 설치하지 않고, 원격지의 관리자(또는 매니저)에 의한 명령어나 스크립트 전송을 통해 취약점 진단 절차가 진행(시작, 수행, 가공, 완료)되는 방식을 기본 구성으로 한다.
즉, 본 발명에서는, 사용자(고객)가 웹 서비스(예: 마이 페이지)를 통해서, 관리자에 의해 진행된 취약점 진단에 따른 취약점 진단 보고서(예: 발견된 취약점들 및 상세 원인 분석부터 해결방법까지)를 열람할 수 있게 한다.
이로 인해, 본 발명의 취약점 진단 시스템에 따르면, 보안상의 위협을 급감시킬 수 있고, 관리자가 효율적으로 클라이언트 시스템을 안전한 상태로 유지 시킬 수 있다. 이 외에도 본 발명에서는, 진단서버(100, IR System)가 갖는 부가적인 그래픽 인터페이스를 통한 편리한 사용성과 사용자가 보기 편하도록 만들어진 진단 결과 제공 등의 효과를 기대할 수 있다.
그리고, 본 발명의 취약점 진단 시스템 특히 진단서버(100, IR System) 도입 시, 주요기반시설, 금융기반 시설 등 취약점 점검/진단과 관련된 법적 보안 규제 준수를 만족하게 되고, 주기적인 취약점 점검/진단을 통한 보안 사고에 대한 사전예방을 강화할 수 있다.
더 나아가, 본 발명에서는, 전술한 바와 같은 클라이언트(예: PC, 네트워크 장비 등)에 대한 보안 취약점 진단을 수행함에 있어, 진단 결과의 신뢰도를 높이고 진단 과정에서의 불필요한 부하 및 비용을 절감할 수 있는 구체화된 기술 구성을 실현하는데 특징이 있다.
이하에서는, 본 발명에서 실현하는 특징 기술 구성에 대해, 도 2를 참조하여 설명하겠다.
도 2에 도시된 바와 같이, 본 발명의 일 실시 예에 따른 취약점 진단 방법에서는, 사용자가 자신의 PC(이하, 클라이언트라 함)를 통해 진단서버(100)에 접속 및 로그인한 후 PC 즉 클라이언트에 대해 취약점 진단에서 요구하는 정보를 입력 및 취약점 진단을 요청할 수 있다(S10).
이렇게 되면, 본 발명의 일 실시 예에 따른 취약점 진단 방법에서 진단서버(100)는, 전술과 같이 취약점 진단을 요청하는 클라이언트로, 원격지의 관리자가 웹기반 터미널 에뮬레이터 기반의 접속 서비스를 이용하여 접속되도록 한다(S20).
본 발명에서는, 리눅스(Linux) 운영체제를 기반으로 구체적인 실시 예들을 설명하고 있다.
즉, 본 발명의 일 실시 예에 따른 취약점 진단 방법에서 진단서버(100)는, 접속 및 로그인한 관리자가 취약점 진단을 요청하는 클라이언트의 정보를 토대로 웹기반 터미널 에뮬레이터(예: shell in a box)를 띄워 리눅스 OS에서 지원하는 접속 서비스(SSH) 기반의 접속을 시도하면, 해당 클라이언트에 접속되도록 할 수 있다.
물론, 본 발명에서는, 리눅스가 아닌 다른 운영체제 예컨대 윈도의 OS의 경우라면, 윈도우 OS에서 지원하는 접속 서비스(예: Xshell, PuTTY, iTerm 등)를 이용하여 원격지의 관리자가 클라이언트에 접속되도록 할 수도 있다.
다만 이하 설명에서는, 설명의 편의 상 계속해서 리눅스 OS를 기반으로 하여 실시 예를 설명하겠다.
본 발명의 일 실시 예에 따른 취약점 진단 방법에서 진단서버(100)는, 원격지의 관리자가 클라이언트에 접속되면, 관리자에 의한 특정 스크립트를 해당클라이언트로 전달하여, 해당 클라이언트에서 특정 스크립트를 실행할 수 있게 한다(S30).
즉, 본 발명의 일 실시 예에 따른 취약점 진단 방법에서 진단서버(100)는, 클라이언트에 접속된 원격의 관리자(컴퓨터) 바탕화면에 있던 특정 스크립트(이하, IR.tar라 함)를 scp 명령어를 사용하여 전송하면, 특정 스크립트 즉 IR.tar를 진단 대상의 클라이언트 즉 관리자가 접속된 상태의 클라이언트로 전달할 수 있다.
이에, 본 발명에서는, 특정 스크립트 즉 IR.tar를 전달받은 클라이언트에서, IR.tar의 압출을 풀고 실행하면 클라이언트에서 취약점 진단 절차가 시작될 수 있다(S40).
즉, 본 발명의 일 실시 예에 따른 취약점 진단 방법에서 진단서버(100)는, 클라이언트에서 IR.tar 실행을 통해 취약점 진단 절차가 수행되도록 함으로써, 클라이언트에 보안 취약점이 존재하는지 여부가 점검/진단되도록 한다(S50).
이때, 본 발명에서는, 취약점 진달 절차에 따른 진단 결과의 신뢰도를 향상시키고 불필요한 부하 및 비용 소요를 최소화하기 위한 다음의 기술 구성들을 제안한다.
구체적인 실시 예를 설명하면, 본 발명의 경우, 취약점 진단 절차에는 기 설정된 다수의 점검 항목이 포함되는 것으로 정의한다.
이에 구체적인 실시 예에 따르면, 본 발명의 일 실시 예에 따른 취약점 진단 방법에서 진단서버(100)는, IR.tar 실행을 통해 클라이언트에서 취약점 진단 절차가 수행되도록 함에 있어, 취약점 진단 절차에 기 설정된 다수의 점검 항목 중에서, DB에서 조회되는 해당 클라이언트의 과거 진단 결과 데이터 및 해당 클라이언트의 진단 요청을 처리하는 원격지의 관리자 중 적어도 하나에 따라 선택되는 점검 항목으로 이루어지는 취약점 진단 절차가 수행되도록 할 수 있다(S50).
예를 들어, 점검 항목 선택 및 선택된 점검 항목으로 이루어진 동적 취약점 진단 절차가 수행되도록 하는 주체는, 관리자 측일 수도 있고, 클라이언트에서 실행되는 특정 스크립트(예: IR.tar)이거나 진단서버(100)일 수 있다.
구체적인 일 예를 들면, 진단서버(100)는, DB에서 조회되는 해당 클라이언트의 과거 진단 결과 데이터를 근거로, 취약점 진단 절차에 기 설정된 다수의 점검 항목 중에서 적어도 하나의 점검 항목을 선택할 수 있다.
앞서 설명한 바 있듯이, DB(도 1 참조)에는, 클라이언트 별로 기 수행한 취약점 진단 절차에 대한 진단 결과 데이터(+ 취약점 진단 보고서)가 저장/관리되고 있다.
이에, 본 발명에서 진단서버(100)는, 관리자에 의한 특정 스크립트 즉 IR.tar를 클라이언트로 전달하는 시점에 해당 클라이언트의 과거 진단 결과 데이터를 DB에서 조회할 수 있으며, 조회된 과거 진단 결과 데이터를 근거로 과거 일정 기간(예: N 개월, 또는 직접부터 N회의 과거 취약점 진단 절차) 동안에 취약점이 존재하지 않는다고 판단(예: 진단 결과 "만족")된 점검 항목을 취약점 진단 절차에 기 설정된 다수의 점검 항목에서 제외하고 남은 점검 항목을 선택할 수 있다.
즉, 과거 일정 기간(예: N 개월, 또는 직접부터 N회의 과거 취약점 진단 절차) 동안에 취약점이 존재하지 않는다고 판단(예: 진단 결과 "만족")된 점검 항목은, 현 시점에 수행할 취약점 진단 절차에 포함시키더라도 취약점이 존재하지 않는다고 판단(예: 진단 결과 "만족")될 가능성이 높으므로, 진단 대상의 점검 항목에서 제외하는 것이다.
그리고, 진단서버(100)는, 클라이언트의 과거 진단 결과 데이터를 근거로 선택된 점검 항목들로 이루어지는 취약점 진단 절차가 수행되도록 할 수 있다.
이렇게 되면, 본 발명에서는, 동일 클라이언트에 대해 매번 동일하게 보안 취약점 진단 절차를 수행하는 기존과 달리, 동일 클라이언트에 대해 취약점이 존재하지 않는다고 판단(예: 진단 결과 "만족")될 가능성이 높은 점검 항목을 제외한 나머지 점검 항목으로 선택/이루어진 동적인 취약점 진단 절차를 수행함으로써, 보안 취약점 진단 과정에서의 불필요한 부하 및 비용 소요를 최소화하여 줄이는 효과를 기대할 수 있다.
또 다른 일 예를 들면, 진단서버(100)는, 클라이언트의 진단 요청을 처리하는 원격지의 관리자를 근거로, 취약점 진단 절차에 기 설정된 다수의 점검 항목 중에서 적어도 하나의 점검 항목을 선택할 수 있다.
구체적으로, 본 발명에서 진단서버(100)는, 원격지의 관리자가 클라이언트로의 접속 서비스(SSH) 기반 접속을 시도하는 시점에 해당 관리자에 대한 레벨 또는 전문성 점수 또는 권한 등을 확인할 수 있다. 이를 위해서는, 기 정의된 정책에 따라서, 관리자 별로 과거에 진행했던 취약점 진단 절차들에 대한 평가가 이루어지고 평가에 따른 레벨 또는 전문성 점수 또는 권한 등이 부여될 수 있다.
이에, 진단서버(100)는, 관리자에 대해 확인한 레벨 또는 전문성 점수 또는 권한 등을 근거로, 레벨 또는 전문성 점수 또는 권한 등이 높을수록 보안 이슈가 큰 점검 항목을 단계적으로 선택할 수 있게 하는 방식으로, 취약점 진단 절차에 기 설정된 다수의 점검 항목 중에서 적어도 하나의 점검 항목을 선택할 수 있다.
그리고, 진단서버(100)는, 관리자를 근거로 선택된 점검 항목들로 이루어지는 취약점 진단 절차가 수행되도록 할 수 있다.
이렇게 되면, 본 발명에서는, 동일 클라이언트에 대해 매번 동일하게 보안 취약점 진단 절차를 수행하는 기존과 달리, 금번 관리자의 레벨 또는 전문성 점수 또는 권한 등에 따라 선택되는 점검 항목으로 이루어진 동적인 취약점 진단 절차를 수행함으로써, 관리자에 따라 달라질 수 있는 진단 결과의 정확도 및 정당성, 보안 이슈를 만족시켜 진단 결과의 신뢰도를 향상시키는 효과를 기대할 수 있다.
물론, 진단서버(100)는, 클라이언트의 과거 진단 결과 데이터 및 해당 클라이언트의 진단 요청을 처리하는 원격지의 관리자를 조합(필요 시 과거 진단 결과 데이터 및 관리자 각각에 가중치를 적용)하여, 그 조합 결과를 근거로 취약점 진단 절차에 기 설정된 다수의 점검 항목 중 점검 항목을 선택하여 선택된 점검 항목들로 이루어지는 취약점 진단 절차가 수행되도록 할 수도 있다.
한편, 본 발명의 일 실시 예에 따른 취약점 진단 방법에서 진단서버(100)는, 전술과 같이 IR.tar 실행을 통해 클라이언트에서 취약점 진단 절차가 수행되도록 함에 있어, 기 특정된 중요 파일에 대해서는 상기 취약점 진단 절차 수행 중에 접근되는 일이 없도록 예외 처리하도록 한다(S50).
여기서, 특정된 중요 파일은, 클라이언트의 파일시스템의 데이터 구조로부터 확인되는 파일 생성시점 및 파일 위치 중 적어도 하나를 근거로, 루트 파일시스템(root filesystem) 생성 시점에 생성된 것으로 식별되는 파일인 것으로 설명할 수 있다.
안전한 컴퓨팅 환경을 위해 진행되는 취약점 진단 절차는 진단 항목이 달라지거나 진단 방식은 달라질 수 있겠지만, 결국 그 성능에 가장 중요한 영향을 미치는 공통된 점은 클라이언트 내 시스템에 영향을 미치지 않으면서도 신뢰도 높은 진단 결과를 얻는 것이라 하겠다.
즉, 취약점 진단 과정 중에 접근해선 안 되는 중요 시스템파일에 접근하게 되는 경우가 발생한다면, 클라이언트 시스템에 치명적인 상황을 야기시키는 문제가 발생될 수 있고 점검 결과의 신뢰도 역시 낮아질 것이다.
이에, 취약점 진단 절차 수행 중에 접근되는 일 없이 예외 처리해야만 하는 중요 파일(이하, 중요 시스템파일)은 반드시 식별/판단될 수 있어야만 한다.
예를 들면, 윈도우 OS의 경우, OS 제작사가 배포한 중요 시스템파일에 대해서는 제작사의 디지털서명(또는 인증서)을 가지고 있어, 해당 디지털서명을 통해 예외 처리해야만 하는 중요 시스템파일인지 여부를 식별/판단할 수 있도록 하고 있다.
이러한 점을 고려하여, 본 발명에서 진단서버(100)는, 윈도우 OS의 경우, 전술과 같이 IR.tar 실행을 통해 클라이언트에서 취약점 진단 절차가 수행되도록 함에 있어, 디지털서명(또는 인증서)를 통해 식별되는 중요 시스템파일에 대해서는 취약점 진단 절차 수행 중에 접근되는 일이 없도록 예외 처리하도록 할 수 있다.
헌데, 리눅스 OS의 경우, 윈도우 OS와 달리 디지털서명(또는 인증서)을 지원하고 있지 않기 때문에, 예외 처리해야만 하는 중요 시스템파일을 식별/판단해내기 어렵다.
이러한 점을 고려하여, 본 발명에서 진단서버(100)는, 리눅스 OS의 경우, 전술과 같이 IR.tar 실행을 통해 클라이언트에서 취약점 진단 절차가 수행되도록 함에 있어, 클라이언트의 파일시스템의 데이터 구조로부터 확인되는 파일 생성시점 및 파일 위치 중 적어도 하나를 근거로, 루트 파일시스템(root filesystem) 생성 시점에 생성된 것으로 식별되는 파일을 중요 시스템파일로 판단하고, 이러한 중요 시스템파일에 대해서는 취약점 진단 절차 수행 중에 접근되는 일이 없도록 예외 처리하도록 할 수 있다.
예를 들어, 중요 시스템파일을 식별 및 취약점 진단 절차 수행 중에 접근되는 일이 없도록 예외 처리하도록 하는 주체는, 클라이언트에서 실행되는 특정 스크립트(예: IR.tar)이거나 진단서버(100)일 수 있다.
보다 구체적으로 설명하면, 리눅스 OS에서 사용되고 있는 파일시스템의 기본적인 데이터 구조는, 부트 블록과 여러 개의 블록 그룹(0,1,...,n)으로 구성될 수 있다.
각각의 블록 그룹은, 슈퍼 블록, 그룹 디스크립터, 블록 비트맵, I-노드 비트맵, 그리고 디렉토리 및 데이터 블록으로 구성된다.
이러한 블록 그룹의 구조는, 주요 데이터와 파일 데이터 의 집약도를 높여주기 때문에 파일을 저장할 때 단편화를 줄여주며, 디스크 I/O와 관련한 응답 속도를 줄여줄 수 있는 계기가 된다.
본 발명에서는, 이러한 파일시스템의 데이터 구조에서 특히 블록 비트맵 및 I-노드 비트맵을 활용한다.
블록 비트맵은, 블록 그룹의 구조에서 그룹 디스크립터의 다음에 위치한다. 블록 비트맵은, 말 그대로 블록의 사용(할당) 상태를 비트로 표현하여 나타낸 것이다. 블록 그룹 내에 존재하는 각각의 블록은 블록 비트맵에서 하나하나의 비트에 해당한다. 그래서 특정 블록이 사용되고 있으면 블록 비트맵의 해당 블록의 인덱스가 할당(사용)된 상태임을 나타내게 된다.
여기서, 블록 그룹의 데이터 구조에서는, 낮은 넘버의 블록부터 차례대로 사용(할당)하는 특징이 있다.
Ext filesystem에서 파일 데이터가 저장되는 곳은 I-노드 데이터 구조이다. 모든 파일들과 디렉토리들은 각각 1개의 I-노드를 할당하고 있으며, 모든 I-노드들은 고유한 주소(또는 인덱스)를 가지고 있다.
따라서, 리눅스 OS에서 사용되고 있는 기본적인 파일시스템의 데이터 구조는, I-노드로 식별되는 위치에 블록 단위로 파일을 저장하는 데이터 구조라 할 수 있다.
I-노드 비트맵은, 블록 비트맵과 마찬가지로, 해당 블록 그룹이 관리하는 모든 I-노드의 사용(할당) 상태를 비트로 표현하여 나타낸 것이다. 즉, 블록 그룹 내에 존재하는 각각의 I-노드는 I-노드 비트맵에서 하나하나의 비트에 해당한다. 그래서 특정 I-노드가 사용되고 있으면 I-노드 비트맵의 해당 I-노드의 인덱스가 할당(사용)된 상태임을 나타내게 된다.
여기서, 블록 그룹의 데이터 구조에서는, 낮은 넘버의 I-노드부터 차례대로 사용(할당)하는 특징이 있다.
다시 중요 시스템파일을 식별/판단하는 방식을 설명하면, 진단서버(100)는, 클라이언트의 파일시스템의 데이터 구조로부터, 블록 비트맵 및 I-노드 비트맵에서 파일 데이터가 가장 먼저 저장되는 가장 작은 블록 넘버 및 I-노드 넘버 중 적어도 하나의 생성시간을 확인할 수 있게 한다. 이때의 생성시간은, 파일 생성시점을 의미할 것이다.
그리고, 진단서버(100)는, 블록 비트맵 및 I-노드 비트맵으로부터, 상기 확인한 생성시간과 같은 생성시간을 가지며 기 설정된 임계 블록 넘버 및 I-노드 넘버 중 적어도 하나 보다 작은 넘버를 가지는 파일을 확인할 수 있게 한다. 이때의 넘버는 파일 위치를 의미할 것이다.
여기서, 기 설정된 임계 블록 넘버 및 I-노드 넘버는, 클라이언트 내 파일시스템의 실제 중요 시스템파일 모두에 대하여 블록 및 I-노드를 사용(할당)하는 경우, 최대로 사용하게 되는 블록 넘버 및 I-노드 넘버와 동일하거나 일정 크기 큰 넘버로 기 설정될 수 있다.
이에, 진단서버(100)는, 블록 비트맵 및 I-노드 비트맵에서 가장 작은 블록 넘버 및 I-노드 넘버 중 적어도 하나의 생성시간, 그리고 임계 블록 넘버 및 I-노드 넘버 중 적어도 하나 보다 작은 넘버를 가지는 것으로 확인되는 파일을, 루트 파일시스템 생성 시점에 생성된 파일로 식별하게 하여, 이 파일 즉 중요 시스템파일에 대해서는 취약점 진단 절차 수행 중에 접근되는 일이 없도록 예외 처리하도록 할 수 있다.
이렇게 되면, 본 발명에서는, 중요 시스템파일을 식별하고 보안 취약점 진단 과정 중에 중요 시스템파일에 접근되는 일 이 없도록 예외 처리하는 취약점 진단 절차를 수행함으로써, 진단 결과의 신뢰도를 향상시키고 아울러 클라이언트 시스템에 치명적인 상황을 야기시키는 문제 발생을 회피하는 효과를 기대할 수 있다.
계속해서 설명하면, 본 발명의 일 실시 예에 따른 취약점 진단 방법에서 진단서버(100)는, S50단계에서 수행되는 취약점 진단 절차에 따라 생성되는 진단 결과 데이터가 DB(도 1 참조)에 저장/관리될 수 있도록 한다.
구체적으로 설명하면, 본 발명에서는, 클라이언트에서 취약점 진단 절차가 끝나면, 취약점 진단 절차에 따른 진단 결과 데이터가 생성된다. 예를 들면, 진단 결과 데이터는, 날짜 + IP주소.txt 형태로서, 모든 결과가 들어있는 txt 파일로 생성될 수 있다.
이때 본 발명의 일 실시 예에 따른 취약점 진단 방법에서는, 생성된 진단 결과 데이터가 웹에서 표시 가능한 형태로 가공된 후 DB(도 1 참조)에 저장되도록 한다.
즉, 이에 클라이언트에서는, 취약점 진단 절차를 통해 생성된 진단 결과 데이터(예: 날짜 + IP주소.txt 파일)를 가공시켜 줄 "./final_DB.sh"라는 스크립트를 실행시켜 진단 결과 데이터(예: 날짜 + IP주소.txt 파일)를 웹에서 표시 가능한 형태로 가공한 후(S60), mysql 명령어를 이용하여 DB에 저장할 수 있다(S80).
예를 들어, 진단 결과 데이터가 가공 후 DB에 저장되도록 하는 주체는 클라이언트에서 실행되는 특정 스크립트(예: IR.tar)이거나 진단서버(100)일 수 있다.
도 3는 본 발명의 취약점 진단 방법에 의해 얻을 수 있는 진단 결과 데이터의 일 예를 도시하고 있다.
그리고, 도 4는 도 3의 진단 결과 데이터가 웹에서 표시 가능한 형태로 가공된 이후를 보여주는 일 예시도이다.
계속해서 설명하면, 본 발명의 일 실시 예에 따른 취약점 진단 방법에서 진단서버(100)는, 사용자(클라이언트)가 로그인을 통해 진단서버(100)에 접속하면, DB 내 저장 데이터를 기반으로 고객 페이지(마이 페이지)에서 앞서 진행한 취약점 진단 절차의 진단 결과 데이터에 따른 취약점 진단 보고서를 열람할 수 있게 한다(S90).
도 4에서 알 수 있듯이, 취약점 진단 보고서에는, 사용자의 회원 정보, 진단 결과, 상세 결과가 포함될 수 있으며, 상세 결과에는 진행한 점검 항목 별로 항목 코드, 중요도, 점검 현황, 진단 결과, 그리고 조치 사항(해결방법)이 포함되어, 사용자는 취약점 진단 보고서를 통해 자신의 PC(클라이언트)에서 발견된 취약점들 및 상세 원인 분석부터 해결방법까지 확인할 수 있게 된다.
한편, 취약점 진달 절차에 따른 진단 결과의 신뢰도를 향상시키기 위한 또 다른 실시 예를 설명하면, 본 발명의 일 실시 예에 따른 취약점 진단 방법에서 진단서버(100)는, 진단 결과 데이터가 생성된 시점(가공 이전)에, 금번 진단 결과 데이터를 근거로 해당 클라이언트에서 취약점으로 확인되는 특정 점검 항목과 관련하여 기 설정된 모의 공격을 수행해 볼 수 있다(S70).
예를 들어, 도 4를 참조하여 설명하면, 진단서버(100)는, 항목 코드 U-01, U-04, U-45와 같이 진단 결과가 "부분만족"인 점검 항목과 관련하여, 해당 점검 항목 별로 기 설정된 모의 공격을 수행할 수 있고, 또는 중요도가 "상"이면서 진단 결과가 "부분만족"인 점검 항목과 관련하여, 해당 점검 항목 별로 기 설정된 모의 공격을 수행할 수도 있고, 중요도가 "상"인 점검 항목 모두에 대해 해당 점검 항목 별로 기 설정된 모의 공격을 수행할 수도 있다.
그리고, 진단서버(100)는, 해당 클라이언트에 대한 금번 진단 결과 데이터가 DB에 저장될 때 모의 공격 수행 결과가 함께 저장되도록 할 수 있고, 또는 DB에 저장되는 금번 진단 결과 데이터에 모의 공격 수행 결과를 반영 및 처리한 후 저장되도록 할 수 있다(S80).
이렇게 되면, 본 발명에서는, 사용자(클라이언트)가 로그인을 통해 진단서버(100)에 접속하여 웹 상의 고객 페이지(마이 페이지)를 통해, 취약점 진단 절차를 수행하여 얻어지는 진단 결과에서 더 나아가 모의 공격 수행 결과까지 반영된 취약점 진단 보고서를 조회할 수 있도록 제공함으로써, 단순한 진단 결과 보다 더 강력한 정확도가 필요한 상황까지도 만족시켜 취약점 진단의 신뢰도를 향상시키는 효과를 기대할 수 있다.
이상 설명한 바와 같이, 본 발명의 실시 예들에 따르면, 클라이언트의 과거 진단 결과 및 원격지의 관리자에 따라 선택되는 점검 항목으로 이루어진 동적 취약점 진단 절차를 수행하는 방식, 진단 결과 기반의 모의 공격을 수행하는 방식, 취약점 진단 절차 중에 중요 시스템파일에 접근되는 일 이 없도록 예외 처리하는 방식 실현을 통해, 새로운 방식의 취약점 진단 기술을 구현해 내고 있다.
이로써, 본 발명에 따르면, 전술과 같이 구현한 새로운 방식의 취약점 진단 기술을 통해 취약점 진단을 수행함으로써, 취약점 진단 절차를 수행함에 있어서 진단 결과의 신뢰도를 높이고 진단 과정에서의 불필요한 부하 및 비용을 절감할 수 있는 효과를 도출할 수 있다.
본 발명의 실시 예에 따르는 취약점 진단 방법은, 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 상기 매체에 기록되는 프로그램 명령은 본 발명을 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다. 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다. 상기된 하드웨어 장치는 본 발명의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.
이상과 같이 본 발명에서는 구체적인 구성 요소 등과 같은 특정 사항들과 한정된 실시예 및 도면에 의해 설명되었으나 이는 본 발명의 보다 전반적인 이해를 돕기 위해서 제공된 것일 뿐, 본 발명은 상기의 실시예에 한정되는 것은 아니며, 본 발명이 속하는 분야에서 통상적인 지식을 가진 자라면 이러한 기재로부터 다양한 수정 및 변형이 가능하다.
따라서, 본 발명의 사상은 설명된 실시예에 국한되어 정해져서는 아니되며, 후술하는 특허청구범위뿐 아니라 이 특허청구범위와 균등하거나 등가적 변형이 있는 모든 것들은 본 발명 사상의 범주에 속한다고 할 것이다.

Claims (6)

  1. 진단서버에 의해 제공되는 취약점 진단 방법에 있어서,
    진단을 요청하는 클라이언트로, 원격지의 관리자가 웹기반 터미널 에뮬레이터 기반의 접속 서비스(SSH)를 이용하여 접속되도록 하는 접속 단계;
    상기 관리자에 의한 특정 스크립트를 상기 클라이언트로 전달하여, 상기 클라이언트에서 상기 특정 스크립트를 실행하도록 하는 실행 단계;
    상기 특정 스크립트 실행을 통해, 상기 클라이언트에서 취약점 진단 절차가 수행되게 하는 절차 수행 단계;
    상기 취약점 진단 절차에 따라 생성되는 진단 결과 데이터가 웹에서 표시 가능한 형태로 가공된 후 데이터 베이스(DB)에 저장되도록 하는 저장 단계; 및
    상기 클라이언트가 로그인을 통해 상기 진단서버에 접속하면, 상기 DB 내 저장 데이터를 기반으로 상기 클라이언트의 고객 페이지에서 적어도 하나 이상의 진단 결과 데이터에 따른 취약점 진단 보고서를 열람할 수 있게 하는 열람 단계를 포함하는 것을 특징으로 하는 취약점 진단 방법.
  2. 제 1 항에 있어서,
    상기 취약점 진단 절차에는 기 설정된 다수의 점검 항목이 포함되며,
    상기 절차 수행 단계는,
    상기 다수의 점검 항목 중에서, 상기 DB에서 조회되는 상기 클라이언트의 과거 진단 결과 데이터 및 상기 클라이언트의 진단 요청을 처리하는 원격지의 관리자 중 적어도 하나에 따라 선택되는 점검 항목으로 이루어지는 취약점 진단 절차가 수행되도록 하는 것을 특징으로 하는 취약점 진단 방법.
  3. 제 1 항에 있어서,
    상기 취약점 진단 절차에 따른 진단 결과를 근거로, 상기 클라이언트에서 취약점으로 확인되는 특정 점검 항목과 관련하여 기 설정된 모의 공격을 수행하는 단계를 더 포함하며;
    상기 저장 단계는,
    상기 DB에 저장되는 진단 결과 데이터와 상기 모의 공격 수행 결과가 함께 저장되도록 하거나, 상기 DB에 저장되는 진단 결과 데이터에 상기 모의 공격 수행 결과를 반영 및 처리한 후 저장되도록 하는 것을 특징으로 하는 취약점 진단 방법.
  4. 제 1 항에 있어서,
    상기 절차 수행 단계는,
    기 특정된 중요 파일에 대해서는 상기 취약점 진단 절차 수행 중에 접근되는 일이 없도록 예외 처리하며,
    상기 특정된 중요 파일은,
    상기 클라이언트의 파일시스템의 데이터 구조로부터 확인되는 파일 생성시점 및 파일 위치 중 적어도 하나를 근거로, 루트 파일시스템(root filesystem) 생성 시점에 생성된 것으로 식별되는 파일인 것을 특징으로 하는 취약점 진단 방법.
  5. 제 4 항에 있어서,
    상기 특정된 중요 파일은,
    I-노드로 식별되는 위치에 블록 단위로 파일을 저장하는 데이터 구조로부터, 블록 비트맵 및 I-노드 비트맵에서 파일 데이터가 가장 먼저 저장되는 가장 작은 블록 넘버 및 I-노드 넘버 중 적어도 하나의 생성시간을 확인하고,
    블록 비트맵 및 I-노드 비트맵으로부터, 상기 확인한 생성시간과 같은 생성시간을 가지며 기 설정된 임계 블록 넘버 및 I-노드 넘버 중 적어도 하나 보다 작은 넘버를 가지는 파일을 확인하여, 상기 루트 파일시스템 생성 시점에 생성된 파일로 식별되는 것을 특징으로 하는 취약점 진단 방법.
  6. 진단을 요청하는 클라이언트; 및
    원격지의 관리자가 웹기반 터미널 에뮬레이터 기반의 접속 서비스(SSH)를 이용하여 상기 클라이언트로 접속되도록 하며, 상기 관리자에 의한 특정 스크립트를 상기 클라이언트로 전달하여 상기 클라이언트에서 상기 특정 스크립트를 실행하도록 하며, 상기 특정 스크립트 실행을 통해 상기 클라이언트에서 취약점 진단 절차가 수행되게 하고, 상기 취약점 진단 절차에 따라 생성되는 진단 결과 데이터가 웹에서 표시 가능한 형태로 가공된 후에 데이터 베이스(DB)에 저장되도록 하는 진단서버를 포함하며;
    상기 진단서버는,
    상기 클라이언트가 로그인을 통해 상기 진단서버에 접속하면, 상기 DB 내 저장 데이터를 기반으로 상기 클라이언트의 고객 페이지에서 적어도 하나 이상의 진단 결과 데이터에 따른 취약점 진단 보고서를 열람할 수 있게 하는 것을 특징으로 하는 취약점 진단 시스템.
PCT/KR2022/020749 2022-02-18 2022-12-19 진단서버에 의해 제공되는 취약점 진단 방법 WO2023158086A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2022-0021182 2022-02-18
KR1020220021182A KR20230124189A (ko) 2022-02-18 2022-02-18 진단서버에 의해 제공되는 취약점 진단 방법

Publications (1)

Publication Number Publication Date
WO2023158086A1 true WO2023158086A1 (ko) 2023-08-24

Family

ID=87578794

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2022/020749 WO2023158086A1 (ko) 2022-02-18 2022-12-19 진단서버에 의해 제공되는 취약점 진단 방법

Country Status (2)

Country Link
KR (1) KR20230124189A (ko)
WO (1) WO2023158086A1 (ko)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100918370B1 (ko) * 2008-05-23 2009-09-21 주식회사 나우콤 웹관리시스템 및 그 방법
KR102176324B1 (ko) * 2020-03-19 2020-11-10 주식회사 이글루시큐리티 임시 권한부여를 통한 보안취약점 진단시스템 및 그 방법
KR102186127B1 (ko) * 2020-05-11 2020-12-03 (주)케이엔비씨 해킹 방지용 모의 훈련 방법, 이를 구현하기 위한 프로그램이 저장된 기록매체 및 이를 구현하기 위해 매체에 저장된 컴퓨터프로그램

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100918370B1 (ko) * 2008-05-23 2009-09-21 주식회사 나우콤 웹관리시스템 및 그 방법
KR102176324B1 (ko) * 2020-03-19 2020-11-10 주식회사 이글루시큐리티 임시 권한부여를 통한 보안취약점 진단시스템 및 그 방법
KR102186127B1 (ko) * 2020-05-11 2020-12-03 (주)케이엔비씨 해킹 방지용 모의 훈련 방법, 이를 구현하기 위한 프로그램이 저장된 기록매체 및 이를 구현하기 위해 매체에 저장된 컴퓨터프로그램

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
KIM DONG HO, NOH DONG KUN: "Implement an efficient automation tool for diagnosing and responding to security vulnerabilities", 2021 KOREA COMMUNICATIONS SOCIETY WINTER CONFERENCE, 28 February 2021 (2021-02-28), pages 447 - 448, XP093086259, Retrieved from the Internet <URL:https://www.dbpia.co.kr/pdf/pdfView.do?nodeId=NODE10547601> [retrieved on 20230927] *
YANG HWAN SEOK, LEE BYOUNG CHEON, YOO SEUNG JEA: "Study on Intrusion Detection System under Cloud Computing Environment", JOURANL OF INFORMATION AND SECURITY, vol. 12, no. 3, 30 June 2012 (2012-06-30), pages 59 - 65, XP093086258, ISSN: 1598-7329 *

Also Published As

Publication number Publication date
KR20230124189A (ko) 2023-08-25

Similar Documents

Publication Publication Date Title
KR100551333B1 (ko) 시스템자원으로의소프트웨어접근을제어하기위한방법및그장치
RU2568295C2 (ru) Система и способ временной защиты операционной системы программно-аппаратных устройств от приложений, содержащих уязвимости
US7788730B2 (en) Secure bytecode instrumentation facility
WO2019198885A1 (ko) 블록체인 기반의 다수의 서비스 노드를 사용하는 탈중앙화 서비스 플랫폼
CN106687971A (zh) 用来减少软件的攻击面的自动代码锁定
US20060053492A1 (en) Software tracking protection system
US20090077631A1 (en) Allowing a device access to a network in a trusted network connect environment
RU2606559C1 (ru) Система и способ оптимизации антивирусной проверки файлов
US8990904B2 (en) Web-based security proxy for computing system environment scanning
CN109684829B (zh) 一种虚拟化环境中服务调用监控方法和系统
WO2017131355A1 (ko) 시스템 환경 및 사용자 행동 분석 기반의 자기 방어 보안 장치와 이의 작동 방법
WO2019039730A1 (ko) 랜섬웨어 방지 장치 및 방법
WO2014185627A1 (ko) 데이터 프로세싱 시스템 보안 장치와 보안방법
WO2023158086A1 (ko) 진단서버에 의해 제공되는 취약점 진단 방법
WO2019231089A1 (ko) 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법
WO2014200201A1 (ko) 시스템 보호를 위한 파일 보안용 관리장치와 관리방법
CN117032894A (zh) 容器安全状态检测方法、装置、电子设备及存储介质
WO2019225849A1 (ko) 게스트 운영체제의 무결성과 파일 입출력 제어를 통해서 보안 서비스를 제공하는 보안 장치 및 방법
US11010479B2 (en) Cyber security for space-switching program calls
RU2571380C2 (ru) Система и способ для изоляции ресурсов посредством использования ресурсных менеджеров
WO2016190485A1 (ko) 데이터 무단 엑세스 차단 방법 및 그 기능이 구비된 컴퓨팅 장치
CN115396140A (zh) 应用访问控制方法、装置、存储介质及计算机设备
WO2018043885A1 (ko) 악성코드탐지시스템 및 악성코드 탐지 방법
WO2021049763A1 (ko) 봇 구별 테스트를 활용한 크라우드 소싱 기반의 데이터 수집 방법
WO2014030978A1 (ko) 이동식 저장매체 보안시스템 및 그 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22927482

Country of ref document: EP

Kind code of ref document: A1