WO2024019506A1 - 이메일 통신 프로토콜 기반 접속 관리 및 차단 기능을 제공하는 메일 접속 보안 시스템의 메일 보안 처리 장치 및 그 동작 방법 - Google Patents

이메일 통신 프로토콜 기반 접속 관리 및 차단 기능을 제공하는 메일 접속 보안 시스템의 메일 보안 처리 장치 및 그 동작 방법 Download PDF

Info

Publication number
WO2024019506A1
WO2024019506A1 PCT/KR2023/010365 KR2023010365W WO2024019506A1 WO 2024019506 A1 WO2024019506 A1 WO 2024019506A1 KR 2023010365 W KR2023010365 W KR 2023010365W WO 2024019506 A1 WO2024019506 A1 WO 2024019506A1
Authority
WO
WIPO (PCT)
Prior art keywords
mail
information
security
access
communication protocol
Prior art date
Application number
PCT/KR2023/010365
Other languages
English (en)
French (fr)
Inventor
김충한
Original Assignee
(주)기원테크
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by (주)기원테크 filed Critical (주)기원테크
Priority to JP2023578197A priority Critical patent/JP2024532043A/ja
Publication of WO2024019506A1 publication Critical patent/WO2024019506A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L51/00—User-to-user messaging in packet-switching networks, transmitted according to store-and-forward or real-time protocols, e.g. e-mail
    • H04L51/21—Monitoring or handling of messages
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Definitions

  • the present invention relates to a mail security processing device and a method of operating the same. More specifically, the present invention relates to a mail security processing device and operating method of a mail access security system that provides access management and blocking functions based on an email communication protocol.
  • the email system used in information and communication technology can provide an email service that includes the body of the content so that messages can be exchanged using a communication line between users through a computer terminal.
  • an electronic file containing the content to be shared can be attached to the email, or a resource link (URL; Uniform Resource Locator) can be written in the text or inserted into the attached file.
  • URL Uniform Resource Locator
  • a separate security system such as a firewall that protects the mail server has been established, and a security network has been established to protect the mail server for receiving mail, eliminating basic threats to data packets received from the outside to the mail server.
  • Various security system solutions are being developed and applied that detect in the middle and notify and filter when a threat is detected.
  • the communication protocol for mail engines is a standard that allows sending and receiving emails by directly communicating with the mail server once the dedicated access address for the mail server's email protocol is confirmed. It is a preset communication protocol for emails, and decrypts and encrypts emails. You can check the contents of the data only if you have a mail engine module that can do so.
  • email standards Simple Mail Transfer Protocol
  • POP3 Post Office Protocol 3
  • IMAP Internet Message Access Protocol
  • MAPI Message Application Programming Interface
  • Packets based on the communication protocol for these mail engines are encrypted and sent and received based on the Transport Layer Security Protocol (TLS), and each mail server communicates based on the Transport Layer Security Protocol (TLS) to send and receive email data.
  • TLS Transport Layer Security Protocol
  • Protocol-specific access address information may be available.
  • Outlook programs and various mail client applications that are mainly installed on external mail connection devices are configured to set access address (path) information and port information dedicated to each mail protocol such as SMTP, POP3, IMAP, and MAPI. Once dedicated access address (path) information and port information are set, external mail access devices can directly send and receive email packets based on communication protocols for mail engines that are difficult to decipher in normal security systems with the mail server.
  • path access address
  • port information dedicated to each mail protocol
  • external mail access devices can directly send and receive email packets based on communication protocols for mail engines that are difficult to decipher in normal security systems with the mail server.
  • the current system cannot even determine what type of attack it is, such as account takeover, malicious email distribution, or personal information leakage, when an attack based on communication protocol access for the mail engine is attempted.
  • the present invention was devised to solve the problems described above. While maintaining the existing mail server system, the present invention protects the mail server from email attacks by performing a security threat check corresponding to the mail sent to and received from the mail server system.
  • Establish a security system based on a mail security device that builds a security network, and guide access route information based on the communication protocol for the mail engine to the mail security device to access the malicious mail server based on the communication protocol for the mail engine to the mail server.
  • Access management and blocking based on an email communication protocol that configures the mail security device to detect and block attempts in advance, thereby effectively protecting the mail server from mail engine protocol-based attacks on the mail server.
  • the purpose is to provide a mail security processing device and operation method of a mail access security system that provides functions.
  • the method according to an embodiment of the present invention to solve the above-described problem configures a security network of an email access security system, and includes a security threat inspection unit that performs a security threat inspection corresponding to incoming mail and the security threat inspection.
  • the mail security device receives mail server connection request information received from an external mail connection device based on base connection path information;
  • the mail security device inputs the mail server connection request information into a communication protocol processing module for a mail engine used in the security threat inspection unit and the mail processing unit, and provides one or more detailed connection information included in the mail server connection request information.
  • the device to the embodiment of the present invention to solve the problems described above constitutes a security network of a mail access security system, and includes a security threat inspection unit that performs a security threat inspection corresponding to incoming mail and the security threat.
  • a mail security device including a mail processing unit that delivers mail that has completed inspection to a mail server within the security network; a communication unit that receives mail server connection request information received from an external mail connection device based on mail communication protocol-based connection path information pre-distributed outside the security network of the mail connection security system; A mail server connection request for obtaining one or more detailed connection information included in the mail server connection request information by inputting the mail server connection request information into the communication protocol processing module for the mail engine used in the security threat inspection unit and the mail processing unit.
  • a blocking decision unit that determines whether to block access using the one or more detailed access information
  • a connection blocking processing unit that blocks transmission of the mail server connection request information to the mail server according to the determined connection blocking status.
  • a mail security device constituting a mail access security system is, based on mail communication protocol-based access path information pre-distributed outside the security network of the mail access security system, from an external mail access device.
  • Receives incoming mail server connection request information inputs the mail server connection request information into the communication protocol processing module for the mail engine used in the security threat inspection unit and the mail processing unit, and inputs the mail server connection request information into the mail server connection request information.
  • the detailed access information may be obtained, and it may be determined whether or not to block access using the one or more detailed access information.
  • the security system protects the mail server from email attacks by performing a security threat check corresponding to mail sent to and received from the mail server system while maintaining the existing mail server system.
  • Establish a security system based on a mail security device that builds a security network, but guide access path information based on the communication protocol for the mail engine to the mail security device, and attempt to access a malicious mail server based on the communication protocol for the mail engine to the mail server. is configured so that the mail security device can detect and block it in advance, thereby efficiently protecting the mail server from mail engine protocol-based attacks on the mail server.
  • direct access attempts to malicious mail servers based on the communication protocol for the mail engine are blocked, which not only reduces the load on the mail server, but also reduces the load on the mail engine communication protocol. It has the advantage of being able to detect each type of attack by decoding the information directly connected to the underlying malicious mail server, and to handle appropriate responses accordingly, allowing a more efficient construction of an email security system.
  • FIG. 1 is a conceptual diagram schematically showing the entire system according to an embodiment of the present invention.
  • FIG. 2 is a block diagram illustrating in more detail a mail security device according to an embodiment of the present invention.
  • Figure 3 is a block diagram illustrating in more detail a security threat inspection unit and a mail processing unit according to an embodiment of the present invention.
  • FIG. 4 is a block diagram illustrating in more detail the mail server connection security authentication processing unit of the mail security device according to an embodiment of the present invention.
  • Figure 5 is a flowchart for explaining the operation of a mail security device according to an embodiment of the present invention.
  • block diagrams herein should be understood as representing a conceptual view of an example circuit embodying the principles of the invention.
  • all flow diagrams, state transition diagrams, pseudo-code, etc. are understood to represent various processes that can be substantially represented on a computer-readable medium and are performed by a computer or processor, whether or not the computer or processor is explicitly shown. It has to be.
  • processor control, or similar concepts should not be construed as exclusively referring to hardware capable of executing software, and should not be construed as referring exclusively to hardware capable of executing software, including, without limitation, digital signal processor (DSP) hardware, and ROM for storing software. It should be understood as implicitly including ROM, RAM, and non-volatile memory. Other hardware for public use may also be included.
  • DSP digital signal processor
  • 'mail' refers to electronic mail, web mail, e-mail, Terms such as e-mail can be used collectively.
  • FIG. 1 is a conceptual diagram schematically showing the entire system according to an embodiment of the present invention.
  • the system includes a user terminal 10, an incoming mail security device 100, an outgoing mail security device 200, a mail server 300, and an external mail access device 400. ) includes.
  • the incoming mail security device 100, the outgoing mail security device 200, and the mail server 300 may form a separately secured security network.
  • the secure network is a secure network in which mail can be transmitted to and from the mail server 300 only through the incoming mail security device 100 and the outgoing mail security device 200, and each device has a secure network based on various network interface environments for this purpose. Internal networks and security devices may be established.
  • each device constituting the network can be connected to each other through a wired/wireless network, and devices or terminals connected to each network can communicate with each other through a mutually secured network channel.
  • each of the above networks is a local area network (LAN), a wide area network (WAN), a value added network (VAN), a personal area network (PAN), and a mobile communication network ( It can be implemented with various types of wired/wireless networks, such as a mobile radio communication network or a satellite communication network.
  • LAN local area network
  • WAN wide area network
  • VAN value added network
  • PAN personal area network
  • mobile communication network It can be implemented with various types of wired/wireless networks, such as a mobile radio communication network or a satellite communication network.
  • the user terminal 10 and external mail access device 400 described in this specification include a personal computer (PC), a laptop computer, a mobile phone, a tablet PC, and a personal digital assistant (PDA). Digital Assistants), PMP (Portable Multimedia Player), etc. may be included, but the present invention is not limited thereto, and various devices can be connected to the mail server 300 or the receiving mail security device 100 through an internal network, public network, or private network. These can be exemplified.
  • the user terminal 10 and the external mail access device 400 may be various devices capable of inputting and outputting information through application operation or web browsing.
  • the incoming mail security device 100 and the outgoing mail security device 200 pose a security threat to email data received and sent from the external mail access device 400 to the account of the user terminal 10 through the mail server 300.
  • the incoming mail security device 100 and the outgoing mail security device 200 are shown as being configured separately. However, according to an embodiment of the present invention, the incoming mail security device 100 and the outgoing mail security device 200 are It may consist of a single mail security device.
  • the external mail access device 400 located in an external network can transmit and receive data by being connected to one or more of wired and wireless connections through a connection to a public network.
  • the above-mentioned public network is a communication network built and managed by the state or a telecommunications carrier. It generally includes telephone networks, data networks, CATV networks, and mobile communication networks, and provides connection services so that an unspecified number of people can access other communication networks or the Internet. You can.
  • the external mail access device 400 checks the connection information based on the communication protocol for the mail engine of the mail server 300 in order to directly connect to the malicious mail server based on the communication protocol for the mail engine, A connection based on the communication protocol for the mail engine can be attempted according to the connection information.
  • This communication protocol for the mail engine may typically consist of encrypted packets based on the Transport Layer Security Protocol (TLS), and typically the communication protocol-based connection information for the mail engine of the mail server 300 is provided by an external mail access device (400). ) is distributed.
  • TLS Transport Layer Security Protocol
  • the communication protocols for the mail engine include the Simple Mail Transfer Protocol (SMTP) standard protocol, the Post Office Protocol 3 (POP3) standard protocol, the Internet Message Access Protocol (IMAP) standard protocol, and the Message Application Programming Interface (MAPI). ) may include at least one of the standard protocols.
  • SMTP Simple Mail Transfer Protocol
  • POP3 Post Office Protocol 3
  • IMAP Internet Message Access Protocol
  • MAPI Message Application Programming Interface
  • connection information based on the communication protocol for the mail engine of the mail server 300 may be replaced with connection information based on the communication protocol for the mail engine of the receiving mail security device 100 and distributed.
  • the distribution of the TLS communication protocol access path information to the mail server 300 may be blocked in advance, and this path may be deactivated in advance.
  • the mail server 300 can also disable the existing TLS communication protocol access path in advance by setting up port blocking, etc. to not allow access to it.
  • the external mail access device 400 can connect to the mail server 300 only through the receiving mail security device 100, and a TLS communication protocol access path for this can be formed.
  • the receiving mail security device 100 uses communication protocol-based connection information for the mail engine of the mail server 300 to communicate with the mail engine of the receiving mail security device 100. It can be distributed by replacing it with protocol-based access information.
  • the receiving mail security device 100 connects to the mail server received from the external mail access device 400 based on mail communication protocol-based access path information pre-distributed outside the security network of the mail access security system. You can receive the requested information instead.
  • the receiving mail security device 100 inputs the mail server connection request information into the communication protocol processing module for the mail engine used in the security threat inspection unit and mail processing unit provided for the security of sending and receiving emails as described above, One or more detailed connection information included in the mail server connection request information may be obtained.
  • the receiving mail security device 100 may determine whether to block access using the one or more detailed access information, and depending on whether to block the determined access, transmit the mail server connection request information to the mail server 300. You can block or allow.
  • the one or more detailed access information includes at least one of mail user identification information, encrypted mail user password information, device identification information, access IP information, access location information, access time information, and communication protocol identification information for the mail engine.
  • the receiving mail security device 100 may include preconfigured blocking policy information corresponding to the mail user identification information, the device identification information, access IP information, access location information, access time information, and the mail engine. If at least one of the communication protocol identification information matches, it may be determined whether to block the access.
  • the blocking policy information may include learning-based blocking policy information variably configured according to learning data of activity information collected in advance in response to the mail user identification information, and the activity information may include the mail user identification information. It may include at least one of corresponding device identification information, connection IP information, connection location information, connection time information, and mail engine communication protocol identification information.
  • the receiving mail security device 100 provides the mail user identification information in response to the mail user identification information. It is also possible to inquire whether the mail server connection request information is blocked using a preset user terminal 10. In this case, the receiving mail security device 100 may determine whether to block the access or allow it, depending on the response data received from the user terminal 10 in response to the inquiry.
  • the receiving mail security device 100 based on the mail server connection request information that is not blocked according to the determination of whether to block the access and is consequently allowed, provides the mail user identification information and the encrypted mail user password information.
  • Authentication query information including the information may be transmitted to the mail server 300, and according to the authentication response of the mail server 300 corresponding to the authentication query information, the mail server connection request information may be transmitted to the mail server 300. It can be handled.
  • the receiving mail security device 100 obtains mail server connection response information corresponding to the mail server connection request information from the mail server 300, and sends the mail server connection response information to the external mail connection device. It can be sent to (400).
  • the external mail access device 400 even if the external mail access device 400 performs TLS-based communication using communication protocols for mail engines such as SMTP, POP3, IMAP, and MAPI, the external mail access device 400 passes through the receiving mail security device 100. Only then can email data be sent and received with the mail server 300, and the receiving mail security device 100 uses an email engine module for security threat inspection to decode at least part of the email packet based on the communication protocol for the mail engine, This can be blocked by comparing it with a preset policy, or the presence and type of attack can be identified and notification processed to the user terminal 10.
  • communication protocols for mail engines such as SMTP, POP3, IMAP, and MAPI
  • the email security system maintains the existing mail server-based incoming and outgoing security system, while maintaining the direct connection attack based on the mail engine protocol against the mail server 300 without building a separate additional system. can be identified and blocked, and in the case of a connection request based on a normal mail engine protocol, email exchange with the mail server 300 is possible, making it possible to build an efficient and safe email sending and receiving security system.
  • FIGS. 2 to 4 are block diagrams to explain in more detail the incoming mail security device 100 according to an embodiment of the present invention.
  • the receiving mail security device 100 includes a control unit 110, a collection unit 120, a security threat inspection unit 130, and a relationship analysis unit 140. ), a mail processing unit 150, a user information management unit 160, a record management unit 170, a vulnerability testing unit 180, a communication unit 125, and a mail server access security authentication processing unit 190.
  • the control unit 110 may be implemented with one or more processors to overall control the operation of each component of the receiving mail security device 100.
  • control unit 110 is provided with a communication protocol processing module for a mail engine, and decrypts, encrypts, or modifies data based on the email communication protocol processed in each component, thereby providing a communication protocol packet for the mail engine. It can enable data processing.
  • the communication unit 125 may include one or more communication modules for communicating with the user terminal 10 or the network where the mail server 300 is located, or with an external mail connection device 400.
  • the collection unit 120 can restore communication protocol packets for a mail engine transmitted and received from the mail server 300 or the external mail connection device 400 and collect mail information of the received and transmitted email packet data.
  • the mail information may include email header information, email title, email content body, number of receptions over a certain period of time, etc.
  • the email header information includes mail sending server IP address, mail sending server host name information, sender mail domain information, sender mail address, mail receiving server IP address, mail receiving server host name information, recipient mail domain information, and recipient mail. It may include address, mail protocol information, mail reception time information, mail sending time information, etc.
  • the email header may include network path information necessary in the process of sending and receiving mail, protocol information used between mail service systems for mail exchange, etc.
  • the mail information may include the extension of the attached file, hash information of the attached file, the attached file name, the body of the attached file content, and URL (Uniform Resource Locator) information.
  • the attached file may contain additional content to convey additional information or request a response to the information in addition to the content of the email body that the sender wishes to convey to the recipient.
  • the content may provide text, images, videos, etc.
  • the recipient can check the content by running the application corresponding to the file attached to the email. Additionally, recipients can download and store and manage files attached to emails to a local storage device.
  • the extension of the attached file can distinguish the format or type of the file.
  • the extension of the attached file can generally be classified into a string indicating the file's attributes or the application that created the file.
  • text files can be classified by extensions such as [file name].txt, MS Word files by [file name].doc(docx), and Hangul files by [file name].hwp.
  • image files may have extensions such as gif, jpg, png, and tif.
  • executable files which are computer files that perform instructions according to coded commands, include [file name].com, [file name].exe, [file name].bat, [file name].dll, [file name].sys, [ [File name].scr, etc.
  • the hash information of the attached file can ensure the integrity of the information by confirming forgery and alteration of the information.
  • Hash information or hash values can be mapped to arbitrary data of arbitrary length into a bit string of a certain length through a hash function.
  • the hash information output through the hash function for the initially created attached file has a unique value.
  • the output hash information or hash value has a one-way nature that makes it impossible to extract data input to the function.
  • the hash function can guarantee collision avoidance, which is computationally impossible for another input data that provides the same output as the hash information or hash value output for one given input data. Accordingly, when the data in the attached file is modified or added, the output value of the hash function is returned differently.
  • the unique hash information of the attached file can be used to check whether the file has been modified or forged by comparing the hash information or hash value of the file sent and received through email. Additionally, since the hash information is fixed to a unique value, it is possible to take proactive quarantine measures by utilizing reputation information, which is a database of past history of files created with malicious intent. Additionally, the hash function can be used in technologies and versions that can guarantee one-way and collision avoidance.
  • hash information can be used as search information for the presence or absence of malicious code in a file through the Virus Total website or the Malwares website. You can receive information such as the file provider and the hash value of the file through a website that provides hash information analysis of the file.
  • search results for file hash information can be judged as more reliable information by cross-checking reputation information determined by global companies that provide multiple IT information security solutions.
  • the security threat inspection unit 130 processes step-by-step matching of the mail security process corresponding to the mail information according to a preset security threat architecture, inspects the mail information by the matched mail security process, and performs the inspection result.
  • Mail security inspection information can be stored and managed.
  • the security threat architecture can be divided into spam mail security threats, malware security threats, social engineering security threats, and internal information leakage security threats.
  • Security threat type/level/process/priority/processing order can be set according to the security threat architecture.
  • Mail security processes corresponding to the security threat architecture may include a spam email security process, a malicious code security process, an impersonation email security process, and an email export security process.
  • the mail security process may determine different mail security processes corresponding to incoming mail or outgoing mail depending on the security threat architecture. Additionally, the inspection order or inspection level of the mail security process may be determined by preset security steps and architecture.
  • the mail security process is a flexible resource allocation method in which when mail information for reception or sending is transmitted from the user terminal 200, an independently divided process is allocated as a resource and can be immediately executed in the inspection area allocated in the mail information. It can be explained with the concept of virtual space. In the method of allocating resources to the virtual space, the mail security process can immediately process work in the assigned inspection area from sequentially incoming mail information upon completion of processing.
  • the security threat inspection unit 130 can classify mail for reception or sending purposes according to the mail information collected by the collection unit 120. Afterwards, the security threat inspection unit 130 can obtain mail security inspection information for each mail by matching and analyzing the mail security process sequentially or based on a set priority.
  • the security threat inspection unit 130 includes a spam mail inspection unit 131, a malicious code inspection unit 132, an impersonation email inspection unit 133, and an email export inspection unit 134.
  • spam email security threats may include a type of email that is indiscriminately distributed unilaterally and in large quantities to an unspecified number of people for the purpose of advertising and promotion between unrelated senders and recipients. Additionally, large amounts of spam mail can place a load on the data processing capacity of the mail system, which may cause the system's processing capacity to deteriorate. Additionally, there is a risk that spam emails may unintentionally connect users to indiscriminate information contained in the content and may be disguised as information for potential phishing scams.
  • the security threat inspection unit 130 may include a spam mail inspection unit 131. If the mail security process is a spam mail security process, the spam mail inspection unit 131 combines the mail information, including mail header information, mail title, mail content body, number of receptions during a certain period, etc. with preset spam indicators and step-by-step spam indicators. You can match with .
  • the spam mail inspection unit 131 can use mail information, including mail header information, mail title, and mail content body, as a check item in the spam index by checking a certain pattern that can be classified as spam mail. Through this, the spam mail inspection unit 131 can acquire, store, and manage spam mail inspection information by matching the spam indicators step by step.
  • the spam indicator can be set to a level value through inspection items and inspection based on items included in mail information at each stage.
  • the spam indicator can be divided and configured into Level 1, Level 2, Level 3, ..., Level [n].
  • the spam indicator Level 1 can match email subject data included in email information based on big data and reputation information. Through this, the spam indicator Level 1 can obtain the evaluated level value as the inspection information of the spam indicator Level 1.
  • the level value may be set to information that can be measured quantitatively.
  • the spam indicator level 1 inspection information matches the information defined as spam mail in the big data and reputation information when the title of the mail that is inspected includes phrases such as 'advertisement' or 'promotion'.
  • the level value divided into 0 and 1 can be evaluated as '1'.
  • the spam index level 1 inspection information can be obtained as '1'.
  • the Spam Index Level 2 can match data included in mail information based on user-specified keywords. Through this, the spam index Level 2 can obtain the evaluated level value as the inspection information of the spam index Level 2. For example, the inspection information for Spam Index Level 2 is checked when the email content body contains keywords such as 'special price', 'super special price', 'sale', 'sale', 'out of stock', etc. If the user-specified keyword matches the information defined as spam mail, it may be evaluated as '1' at the level divided into 0 and 1. Through this, the spam index level 2 inspection information can be obtained as '1'.
  • the Spam Index Level 3 can match data included in mail information based on image analysis.
  • the spam index Level 3 can obtain the evaluated level value as the inspection information of the spam index Level 3.
  • the spam index level 3 inspection information is extracted from the data extracted by analyzing the image included in the email content, which is a inspection item, and if a phone number starting with '080' is included, the image analysis indicates that it is a spam mail. If it matches the information defined, it can be evaluated as '1' at the level value divided into 0 and 1. Through this, the spam index level 3 inspection information can be obtained as '1'.
  • the inspection information obtained in units of spam indicator levels through the spam mail security process can be finally summed ('3') and stored and managed as spam mail inspection information.
  • the spam mail inspection information aggregated in this way can be managed by being included in the mail security inspection information and can be used as security threat determination information in the mail processing unit 150.
  • the security threat inspection unit 130 may further include a malicious code inspection unit 132. If the mail security process is a malicious code security process, the malicious code inspection unit 132 further includes the extension of the attached file, hash information of the attached file, attached file name, attached file content body, URL (Uniform Resource Locator) information, etc. The mail information can be matched step by step with preset malware indicators.
  • the malicious code inspection unit 132 detects the attached file content body and URL (Uniform Resource Locator) information included in the content body, along with the extension of the attached file, hash information of the attached file, and the attached file name, which can be confirmed by the attribute value of the attached file. It can be used as a malware indicator check item. Through this, the malicious code inspection unit 132 can acquire, store, and manage malicious code inspection information by matching the malicious code indicators step by step according to each item.
  • URL Uniform Resource Locator
  • the malicious code indicator can be set to a level value through inspection items and inspection based on items included in mail information at each stage.
  • the malicious code indicator can be divided and categorized into Level 1, Level 2, Level 3, ..., Level [n].
  • the malicious code indicator Level 1 can match the attachment file name and extension of the attachment included in mail information based on big data and reputation information. Through this, the Malicious Code Index Level 1 can obtain the evaluated level value as inspection information for Malicious Code Index Level 1.
  • the inspection information of the malicious code indicator level 1 is defined as malicious code in the big data and reputation information when the attachment file name, which is a inspection item, includes 'Trojan' and the extension of the attachment file is 'exe'. If it matches the information, it can be evaluated as '1' in the level values divided into 0 and 1. Through this, the inspection information of Malicious Code Index Level 1 can be obtained as '1'.
  • the malware indicator Level 2 can match hash information of email attachments based on big data and reputation information.
  • the evaluated level value can be obtained as inspection information for Malicious Code Index Level 2.
  • the inspection information of Malicious Code Index Level 2 is divided into levels of 0 and 1 when the hash information of the attached file, which is a inspection item, is analyzed as 'a1b2c3d4' and matches the information defined as malicious code in the reputation information. The value may be evaluated as '1'. Through this, the inspection information of Malicious Code Index Level 2 can be obtained as '1'.
  • the malware indicator Level 3 can match URL (Uniform Resource Locator) information included in the attached file or email content based on URL reputation information.
  • URL Uniform Resource Locator
  • the evaluated level value can be obtained as inspection information for Malicious Code Index Level 3.
  • the URL reputation information is defined as a harmful site containing malicious code files. If it matches, it can be evaluated as '1' in the level values divided into 0 and 1. Through this, the inspection information of Malicious Code Index Level 3 can be obtained as '1'.
  • the malicious code inspection unit 132 can respond to zero-day attacks that may be omitted from URL reputation information.
  • the malicious code inspection unit 132 may change the link IP address for a URL without reputation information to the IP address of a specific system and provide the changed IP address to the user terminal 200.
  • the user terminal 200 attempts to access the URL, it can be connected to the IP address of a specific system changed by the malicious code inspection unit 132.
  • a specific system that has previously changed the link IP address for the URL can continuously check whether the URL's endpoint contains malicious code.
  • the inspection information obtained in units of malicious code indicator levels through the above malicious code security process can be finally summed ('3') and stored and managed as malicious code inspection information.
  • the aggregated malicious code inspection information can be managed by being included in the mail security inspection information and can be used as security threat determination information in the mail processing unit 150.
  • the security threat inspection unit 130 may further include an impersonation email inspection unit 133.
  • the impersonation mail inspection unit 133 can match the relationship analysis information obtained through the relationship analysis unit 140 with a preset relationship analysis index step by step.
  • the relationship analysis information can be obtained through analysis of mail information including mail information and attribute information of mail confirmed to be normal.
  • the impersonation mail inspection unit 133 uses the incoming mail domain, outgoing mail domain, incoming mail address, outgoing mail address, mail routing, and mail content body information that can be extracted from the mail determined to be normal as relationship analysis index inspection items. You can. Through this, the impersonation email inspection unit 133 can obtain, store, and manage impersonation email inspection information by matching the relationship analysis index step by step according to the item. Through this, the impersonation mail inspection unit 133 can detect similar domains and track or verify the sending path of the mail to filter mail that may pose a security threat.
  • the relationship analysis index can be set to a level value through inspection items and inspection based on the relationship analysis information in each step.
  • the relationship analysis index can be divided and structured into Level 1, Level 2, Level 3, ..., Level [n].
  • the relationship analysis index Level 1 can match the domain of the sender's email, the address of the sender's email, etc. based on reputation information. Through this, the relationship analysis index Level 1 can obtain the evaluated level value as inspection information of the relationship analysis index Level 1. For example, the inspection information of the relationship analysis index Level 1 is malicious when the domain of the sent email, which is a test item, is '@impersonation.com' and the address of the sender's email includes 'impersonation@', the reputation information is malicious. If it matches the information defined by the code, it can be evaluated as '1' at the level value divided into 0 and 1.
  • the relationship analysis index Level 2 can match the domain of the sender's email, the address of the sender's email, etc. based on the relationship analysis information. Through this, the relationship analysis index Level 2 can obtain the evaluated level value as inspection information of the relationship analysis index Level 2. For example, in the relationship analysis index Level 2 inspection information, if the domain of the sent email, which is a test item, is '@impersonation.com' and the address of the sender's email includes 'impersonation@', the relationship analysis information If it does not match the information defined as the attribute information of normal mail, it may be evaluated as '1' at the level value divided into 0 and 1. Through this, the inspection information of relationship analysis index level 3 can be obtained as '1'.
  • the relationship analysis index Level 3 can match mail routing information, etc. based on the relationship analysis information.
  • the relationship analysis index Level 3 can obtain the evaluated level value as inspection information of the relationship analysis index Level 3.
  • the inspection information of the relationship analysis index Level 3 is the routing information that is the transmission path of the mail when the mail routing information, which is a inspection item, is confirmed as '1.1.1.1', '2.2.2.2', and '3.3.3.3'. If does not match the information defined as attribute information of normal mail in the above relationship analysis information, it may be evaluated as '1' at the level value divided into 0 and 1. Through this, the inspection information of relationship analysis index level 3 can be obtained as '1'.
  • the inspection information obtained in units of relationship analysis index levels through the impersonation email security process can be finally summed ('3') and stored and managed as impersonation email inspection information.
  • the impersonation email inspection information aggregated in this way can be managed by being included in the mail security inspection information and can be used as security threat determination information in the mail processing unit 150.
  • the security threat inspection unit 130 may include an email export inspection unit 134 to respond to internal information leakage security threats.
  • the mail export inspection unit 134 can match each step with a preset mail export management index based on the mail information.
  • the mail export inspection unit 134 can use the attribute information of the mail information as a mail export management index inspection item. Additionally, the internally managed assigned IP information of the user terminal 200 may be used for the management indicator inspection items.
  • the mail export management index can be set to a level value through preset inspection items and inspection for each step. According to an embodiment of the present invention, the mail export management index can be divided and staged into Level 1, Level 2, Level 3, ..., Level [n].
  • the mail export management index may include a control item to ensure that only IP addresses permitted from the IP address assigned to the user terminal 200 can register mail information for the purpose of checking the sending environment. Since unauthenticated user terminals have a relatively high possibility of leaking internal information and pose security threats through e-mail, management indicators that can block these in advance can be managed.
  • the mail export inspection unit 134 can divide the mail export management index into inspection items such as IP address information and transmission count information and use it as a mail export management index.
  • the mail export inspection unit 134 is additionally equipped with a control unit such as an approval process as a mail sending environment inspection item, thereby reducing the threat of internal information leakage. Through this, the mail export inspection unit 134 can store and manage the level value calculated by matching the inspection items through the mail export process as mail export inspection information.
  • the relationship analysis unit 140 may store and manage relationship analysis information obtained based on analysis of the mail information and trust authentication log.
  • the trust authentication log includes incoming mail domain, sending mail domain, receiving mail address, sending mail address, mail routing, and mail content body. It may contain record information including information, etc.
  • the mail processing unit 150 may process mail status according to the mail security check information and security threat determination information obtained through analysis of the mail information.
  • the mail processing unit 150 may perform the mail security process according to a preset priority. If the security threat determination information through the mail security process is determined to be an abnormal mail, the mail processing unit 150 may determine whether to stop the subsequent mail security process and process the mail status. Through this, if a problem is discovered in the inspection step according to priority, the mail processing unit 150 can perform only the necessary processing at that step, determine whether the inspection is finished, and end it without performing the subsequent inspection step. Through this, the efficiency of mail security services can be secured, reducing system complexity and improving processing efficiency.
  • the mail security inspection information may utilize information obtained by combining spam mail inspection information, malicious code inspection information, impersonation mail inspection information, and mail export inspection information calculated by the security threat inspection unit 130.
  • the security threat inspection unit 130 performs a process on mail information, and the score calculated with the spam mail inspection information is '3', the score calculated with the malicious code inspection information is '2', and the score calculated with the malicious code inspection information is '2'. If the inspection information is '1' and the score calculated from the mail export inspection information is '0', the score added to the mail security inspection information can be obtained as '7'.
  • the overall score is in the range of 0-3, it can be classified as normal mail, if it is in the range of 4-6, it can be classified as gray mail, and if it is in the range of 7-12, it can be classified as abnormal mail. Accordingly, an email with the mail security check information of '7' may be determined to be an abnormal email.
  • the result value of each inspection information item included in the mail information inspection information may be assigned an absolute priority depending on the item or may be prioritized according to weight.
  • the mail processing unit 150 includes a mail distribution processing unit 151, a mail discard processing unit 152, and a mail detoxification processing unit 153.
  • the mail processing unit 150 may include a mail distribution processing unit 151 that processes mail determined as normal mail according to the security threat determination information into a reception or sending state that can be processed by the user terminal.
  • the mail processing unit 150 may further include a mail discard processing unit 152 that processes mail determined as abnormal mail according to the security threat determination information in a state in which the user terminal is inaccessible.
  • the mail processing unit 150 converts the gray mail into non-executable file content for mail determined to be gray mail according to the security threat identification information and provides the user terminal with the ability to selectively process the mail status. It may further include a mail detoxification processing unit 153.
  • the gray mail can be classified as spam mail or junk mail, or conversely, it can be classified as normal mail.
  • the gray mail can be defined as a type of mail that is distinguished when the security threat determination information is calculated as an intermediate value within a certain range that cannot be determined as normal or abnormal.
  • the mail detoxification processing unit 153 can convert gray mail containing the body of suspicious content into an image file and provide the mail in a state that can be checked by the user terminal 200. Additionally, the mail detoxification processing unit 153 can remove or modify sections suspected of being malicious code in the attached file and provide the file to the user terminal 200.
  • the user information management unit 160 can store and manage user information of the user terminal 10, and the user information includes, for example, user name information, email account information, access IP information, phone number information, and access information. It may include at least one of device information, MAC information, etc.
  • the record management unit 170 can store and manage the mail information processed according to the security threat determination information as record information.
  • the record management unit 170 records the record including the receiving mail domain, sending mail domain, receiving mail address, sending mail address, mail routing, mail content body information, etc.
  • It may further include a relationship information management unit 171 that stores and manages information as a trust authentication log.
  • the trust authentication log can be used to analyze reliable relationship information about recipient and sender mail information. Additionally, the reliability of the information included in the trust authentication log can be guaranteed as data is continuously accumulated through mutual information exchange.
  • the record management unit 170 when the record management unit 170 processes an abnormal email according to the security threat determination information, the record management unit 170 includes the receiving mail domain, sending mail domain, receiving mail address, sending mail address, mail routing, mail content body information, etc. Record information can be used as an indicator for determining abnormal mail when performing the mail security process.
  • the vulnerability test unit 180 may convert the abnormal mail into non-executable file content for mail determined to be abnormal according to the security threat determination information so that it can be received or sent from the user terminal.
  • the vulnerability testing unit 180 may include a vulnerable information management unit 181 that acquires identification information of the user terminal that has received or sent the abnormal email and stores and manages it as vulnerable information by type.
  • the mail server access security authentication processing unit 190 uses the external mail access device 400 based on mail communication protocol-based access path information pre-distributed outside the security network of the mail access security system. ), the mail server connection request information is input into the communication protocol processing module for the mail engine used in the security threat inspection unit 130 and the mail processing unit 150, and the mail server connection request information is received from One or more detailed access information included in the server connection request information is acquired, and authentication processing is performed to determine whether to block access using the one or more detailed access information.
  • the mail server connection security authentication processing unit 190 includes a mail server connection request information processing unit 191, a blocking decision unit 193, an access blocking processing unit 195, and an authentication processing unit 197. and a connection information monitoring unit 199.
  • the mail server connection request information processing unit 191 connects external mail based on mail communication protocol-based access path information pre-distributed outside the security network of the mail access security system through the communication unit 125.
  • Mail server connection request information received from the device can be received and processed.
  • the mail server connection request information processing unit 191 configures connection path information based on a preset mail communication protocol in response to the mail security device 100, and transmits the connection path information based on the preset mail communication protocol to an external mail connection device. It can be distributed at (400).
  • the distribution method is various, such as broadcasting through a public network or other private server, uploading to a web page provided by a separate accessible information server, or delivering by email or other electronic messages in various formats. It can be exemplified.
  • the mail server connection request information processing unit 191 sends the mail server connection request information of the external mail connection device 400, which is configured with a communication protocol for a mail engine encrypted based on the Transport Layer Security Protocol (TLS), to the communication unit 125. It can be received through .
  • the communication protocols for mail engines encrypted using the TLS method include SMTP (Simple Mail Transfer Protocol) standard protocol, POP3 (Post Office Protocol 3) standard protocol, IMAP (Internet Message Access Protocol) standard protocol, and MAPI (Message Access Protocol).
  • SMTP Simple Mail Transfer Protocol
  • POP3 Post Office Protocol 3
  • IMAP Internet Message Access Protocol
  • MAPI Message Access Protocol
  • At least one of the Application Programming Interface (Application Programming Interface) standard protocols may be used.
  • the mail server connection request information processing unit 191 sends the mail server connection request information to the communication protocol processing module for the mail engine of the control unit 110 used in the security threat inspection unit 130 and the mail processing unit 150. By entering, one or more detailed access information included in the mail server connection request information can be obtained, and the detailed access information can be transmitted to the blocking decision unit 193.
  • the detailed connection information is obtained by decrypting at least a part of the email server connection request packet according to the communication protocol for the mail engine, and includes mail user identification information, encrypted mail user password information, device identification information, and connection IP information. , may include at least one of connection location information, connection time information, and communication protocol identification information for the mail engine.
  • the mail server connection request information is information obtained by encrypting the request information for connecting to the conventional mail server 300 from the external mail connection device 400 according to the communication protocol for the mail engine, and the mail server connection request information processing unit ( 191) decrypts at least part of the mail server connection request information using a communication protocol processing module for the mail engine, extracts detailed connection information, and transmits it to the blocking decision unit 193.
  • the blocking decision unit 193 uses the detailed access information to calculate in advance the possibility that the mail server connection request information responds to a communication protocol-based connection attack for the mail engine, and to use the detailed connection information to calculate the possibility that the mail server connection request information will respond to a communication protocol-based connection attack for the mail engine. If the possibility of responding to is greater than a threshold, blocking of the mail server connection request information can be processed.
  • the blocking decision unit 193 may determine whether to block and whether to block a connection attack based on a communication protocol for a mail engine using the detailed access information, according to a preset connection blocking algorithm.
  • the blocking decision unit 193 includes pre-configured blocking policy information corresponding to the mail user identification information, the device identification information, access IP information, access location information, access time information, and communication for the mail engine. If at least one piece of protocol identification information matches, it may be determined whether to block the access.
  • This blocking policy information may include learning-based blocking policy information variably configured according to learning data of activity information collected in advance in response to the mail user identification information, and the activity information is included in the mail user identification information. It may include at least one of corresponding device identification information, connection IP information, connection location information, connection time information, and communication protocol identification information for a mail engine.
  • the learning-based blocking policy information variably configured according to the learning data includes device identification information corresponding to the mail user identification information, access IP information, access location information, access time information, and communication for the mail engine.
  • the protocol identification information can be configured by a machine learning model that learns the deep learning-based correlation with learning data of preset attack cases.
  • various machine learning technologies such as well-known CNN, RNN, DNN, LSTM, and regression analysis can be used as deep learning-based correlation learning technology.
  • the blocking decision unit 193 learns in advance the IP information of the detailed access information obtained from the connection request information based on the communication protocol for the mail engine of the external mail access device 400. or is different from the IP address specified in the blocking policy information, access to the external mail access device 400 may be blocked.
  • the blocking decision unit 193 may use the access country information of the detailed access information obtained from the connection request information based on the communication protocol for the mail engine of the external mail access device 400, If the information is different from the country information learned in advance or specified in the blocking policy information, access to the external mail access device 400 may be blocked.
  • the blocking decision unit 193 may use the mail engine communication protocol of the detailed access information obtained from the connection request information based on the mail engine communication protocol of the external mail access device 400. If the identification information is different from the communication protocol identification information for the mail engine learned in advance or specified in the blocking policy information, access to the external mail access device 400 may be blocked. More specifically, the blocking decision unit 193 determines that a specific user has been using an email application for a certain period of time using only the POP3 protocol, and suddenly the external email access device 400 is connected to another protocol such as IMAP. If it occurs more than a certain number of times within a period of time, access to the external mail access device 400 can be blocked.
  • the blocking decision unit 193 determines that a specific user has been using an email application for a certain period of time using only the POP3 protocol, and suddenly the external email access device 400 is connected to another protocol such as IMAP. If it occurs more than a certain number of times within a period of time, access to the external mail access device 400 can be blocked.
  • the blocking decision unit 193 may include device identification information of detailed access information obtained from connection request information based on a communication protocol for a mail engine of the external mail access device 400, Even if the device identification information is different from the device identification information learned in advance or specified in the blocking policy information, access to the external mail access device 400 can be blocked.
  • the blocking decision unit 193 may preset certain time conditions and frequency conditions for such blocking. For example, if the possibility of an attack is judged to be higher than a threshold, or if access request information based on a communication protocol for a mail engine with detailed access information that does not match the blocking policy is received more than a certain number of times within a certain time, the connection may be blocked. It is possible. These time and frequency settings may be processed differently for each type and type of detailed access information.
  • the access blocking processing unit 195 may block access to the mail server 300 of the external mail access device 400 determined to be blocked by the blocking decision unit 193. However, the access blocking processing unit 195 may check response information according to the inquiry to the user terminal 10 prior to blocking processing and determine whether to perform access blocking according to the response information.
  • the access blocking processing unit 195 determines whether the communication protocol identification information for the mail engine preset in response to the mail user identification information in the blocking decision unit 193 is different from the communication protocol identification information for the mail engine.
  • a user terminal 10 preset in response to the mail user identification information may be inquired as to whether the mail server connection request information is blocked, and the inquiry may be answered.
  • the access blocking processing unit 195 may configure blocking response information according to access blocking and transmit it to the external mail access device 400.
  • the access blocking processing unit 195 may transmit detailed access information of the access blocking processed communication protocol-based connection request information for the mail engine to the access information monitoring unit 199.
  • connection information monitoring unit 199 may analyze the detailed connection information of the communication protocol-based connection request information for the mail engine for which the connection has been blocked, and classify and determine the type of attack. For example, the access information monitoring unit 199 may determine that it is a password theft attack if repeated attempts to log in to an email account corresponding to the same account are confirmed, and if multiple accounts are accessed in large quantities from completely different countries, It may be judged to be a spam or malware attack.
  • connection information monitoring unit 199 may configure the classified attack type information into a report interface and provide it to the user terminal 10.
  • the authentication processing unit 197 sends authentication query information including the mail user identification information and the encrypted mail user password information based on the mail server connection request information that is not blocked according to the determination of whether to block the connection.
  • the mail server connection request information may be delivered to the mail server 300 according to the authentication response of the mail server 300 corresponding to the authentication query information.
  • the authentication processing unit 197 obtains mail server connection response information corresponding to the mail server connection request information from the mail server 300, and sends the mail server connection response information to the external mail connection device 400. It can be sent to .
  • the authentication processing unit 197 can allow a connection based on a communication protocol for a normal mail engine that is not blocked, and the incoming and outgoing mail data after connection authentication is sent to the security threat inspection unit 130 and the mail processing unit 150. As it is protected through , system vulnerabilities are resolved, making it possible to provide a safe email security system.
  • the operation of the incoming mail security device 100 has been mainly described, but the blocking function and operation of mail server connection request information based on the mail engine protocol are the same in the case of the outgoing mail security device 200. It can be configured. Accordingly, the mail server connection security authentication processing unit 190 according to an embodiment of the present invention can operate in the same manner even if it is linked with the outgoing mail security device 200. That is, as described above, the incoming mail security device 100 and the outgoing mail security device 200 according to an embodiment of the present invention are one mail security device that commonly includes a mail server connection security authentication processing unit 190. can be configured, and is not limited by its name.
  • Figure 5 is a flowchart for explaining the operation of a mail security device according to an embodiment of the present invention.
  • the mail security device 100 first receives information from the external mail access device 400 based on mail communication protocol-based access path information pre-distributed outside the security network.
  • Mail server connection request information is received (S101).
  • the mail security device 100 inputs the mail server connection request information into the mail engine communication protocol processing module and obtains one or more detailed connection information included in the mail server connection request information (S103).
  • the mail security device 100 determines whether to block access based on detailed access information (S105).
  • the mail security device 100 transmits authentication query information including mail user identification information and encrypted mail user password information to the mail server 300 (S109).
  • the mail security device 100 obtains mail server connection response information corresponding to the mail server connection request information from the mail server 300 and transmits it to the external mail connection device (S111).
  • the mail security device 100 monitors the sending and receiving of mail data to and from an authenticated external mail access device (S113), performs a security threat check, and detects spam mail, malicious mail, and social engineering attacks depending on the contents of the mail. You can block more.
  • S113 authenticated external mail access device
  • the mail security device 100 blocks the transmission of the mail server connection request information of the external mail access device 400 to the mail server 300 (S107).
  • response information for blocking by blocking can be configured and transmitted to the external mail access device 400.
  • the blocking response information may include separate external user authentication request information.
  • the external mail access device 400 may perform separate external user authentication, configure mail server access request information including an authentication value, and request it again to the mail security device 100, and these authentication values may be
  • the mail security device 100 may cancel the access blocking and perform steps S109 to S113 again.
  • the method according to the present invention described above can be produced as a program to be executed on a computer and stored in a computer-readable recording medium.
  • Examples of computer-readable recording media include ROM, RAM, CD-ROM, and magnetic tape. , floppy disks, optical data storage devices, etc.
  • the computer-readable recording medium is distributed in a computer system connected to a network, so that computer-readable code can be stored and executed in a distributed manner. And, functional programs, codes, and code segments for implementing the method can be easily deduced by programmers in the technical field to which the present invention pertains.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computing Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

본 발명의 실시 예에 따른 방법은, 메일 접속 보안 시스템의 보안 망을 구성하며, 수신 메일에 대응하는 보안위협 검사를 수행하는 보안위협 검사부 및 상기 보안위협 검사가 완료된 메일을 상기 보안 망 내부의 메일 서버로 전달하는 메일 처리부를 구비한 메일 보안 장치의 동작 방법에 있어서, 상기 메일 보안 장치가, 상기 메일 접속 보안 시스템의 상기 보안 망 외부로 사전 배포된 메일 통신 프로토콜 기반 접속 경로 정보에 기반하여, 외부 메일 접속 장치로부터 수신되는 메일 서버 접속 요청 정보를 수신하는 단계; 상기 메일 보안 장치가, 상기 보안위협 검사부 및 상기 메일 처리부에서 이용되는 메일 엔진용 통신 프로토콜 처리 모듈에 상기 메일 서버 접속 요청 정보를 입력하여, 상기 메일 서버 접속 요청 정보에 포함된 하나 이상의 세부 접속 정보를 획득하는 단계; 상기 메일 보안 장치에서, 상기 하나 이상의 세부 접속 정보를 이용한 접속 차단 여부를 결정하는 단계; 및 상기 메일 보안 장치에서, 상기 결정된 접속 차단여부에 따라, 상기 메일 서버 접속 요청 정보의 상기 메일 서버로의 전달을 차단하는 단계를 포함한다.

Description

이메일 통신 프로토콜 기반 접속 관리 및 차단 기능을 제공하는 메일 접속 보안 시스템의 메일 보안 처리 장치 및 그 동작 방법
본 발명은 메일 보안 처리 장치 및 그 동작 방법에 관한 것이다. 보다 구체적으로, 본 발명은 이메일 통신 프로토콜 기반 접속 관리 및 차단 기능을 제공하는 메일 접속 보안 시스템의 메일 보안 처리 장치 및 그 동작 방법에 관한 것이다.
오늘날의 사회는 전세계적으로 컴퓨터와 정보통신기술의 발전으로 사회 생활의 전 분야에 걸쳐 사이버 의존도가 높아지고 있고 이는 더욱 더 가속화되는 추세에 있다. 근래에는 초고속, 초저지연, 초연결성을 지닌 5G 이동통신이 상용화되고 이를 기반으로 한 새로운 서비스가 등장하면서 사이버보안 시스템은 더욱 중요해지고 있다.
사이버보안 시스템의 구축에 따라 사물인터넷(IoT), 클라우드 시스템, 빅데이터, 인공지능(AI) 등의 기술분야는 정보통신기술과 결합하여 새로운 서비스 환경을 제공하고 있다. 이같은 서비스를 제공하는 시스템은 인터넷망 무선망 등을 통하여 PC 또는 휴대용 단말장치 등과 연결되어 실생활에서 이용될 수 있다.
특히, 정보통신기술에서 활용되고 있는 이메일 시스템은 컴퓨터 단말을 통해 이용자 간 통신 회선을 이용하여 메시지를 주고 받을 수 있도록 내용 본문을 포함하는 전자우편물 서비스를 제공할 수 있다. 이 때, 이메일은 공유하고자 하는 내용을 포함하는 전자파일을 첨부할 수 있고 또는 리소스 연결 링크(URL; Uniform Resource Locator)를 본문에 기재하거나 첨부파일 내에 삽입할 수 있다.
그러나, 최근에는 이메일 및 자료교환에 대한 보안 우려가 높아지고 있다. 특히, 이메일의 송수신을 처리하는 메일 서버가 해킹이나 사칭 메일, 계정 탈취, 개인 정보 유출 등으로 인해 다양한 위협에 노출됨에 따라, 메일 서버에 대한 보안 필요성은 나날이 증가하고 있다.
이에 따라, 현재는 메일 서버를 보호하는 방화벽 등의 보안 시스템을 별도로 구축하고, 메일 수신을 위한 메일 서버를 보호하는 보안 망을 구성하여, 외부로부터 메일 서버로 수신되는 데이터 패킷들에 대한 기본적 위협을 중간에서 검출하고, 위협 검출시 알림 및 필터링하여 주는 다양한 보안 시스템 솔루션들이 개발 및 적용되고 있다.
하지만, 메일 해킹 방식 또한 점차 고도화되고 있는 바, 최근에는 이러한 보안 망을 우회하고, 데이터 패킷의 위협 검사만으로는 검출이 어려운 메일 엔진용 통신 프로토콜 기반의 메일 서버 접속 프로세스를 이용하여 메일을 탈취하거나 계정 탈취를 통해 악성 메일을 유포하는 공격 시도가 나타나고 있다.
이는 메일 서버 그 자체에 직접 접속할 수 있는 메일 엔진용 통신 프로토콜 기반의 접속 프로세스를 공격에 활용하는 것으로, 방화벽이나 통상의 보안 검사 시스템만으로는 메일 엔진용 통신 프로토콜 패킷의 이메일 세부 내용을 확인하기 어려운 시스템의 취약점을 악용하고 있는 것이다.
보다 구체적으로, 메일 엔진용 통신 프로토콜은 메일 서버의 이메일 프로토콜 전용 접속 주소가 확인되면 메일 서버와 직접 통신하여 이메일을 송수신할 수 있는 규격으로서, 사전 설정된 이메일용 통신 프로토콜이며, 이메일을 해독 및 암호화 처리할 수 있는 메일 엔진 모듈이 있어야만 그 데이터의 내용을 확인할 수 있다. 이는 이메일 표준 규격에 따라 SMTP(Simple Mail Trasnfer Protococl) 표준 프로토콜, POP3(Post Office Protocol 3) 표준 프로토콜, IMAP(Internet Message Access Protocol) 표준 프로토콜, MAPI(Messageing Application Programming Interface) 표준 프로토콜 등이 이용되고 있다.
이러한 메일 엔진용 통신 프로토콜 기반의 패킷은 전송 레이어 보안 프로토콜(TLS)를 기반으로 암호화되어 송수신되는 것으로, 각 메일 서버는 이러한 전송 레이어 보안 프로토콜(TLS)를 기반으로 통신하여 이메일 데이터를 송수신하기 위한 메일 프로토콜 전용 접속 주소 정보를 가질 수 있다.
그리고, 외부 메일 접속 장치에 주로 설치되는 아웃룩 프로그램이나 다양한 메일 클라이언트 어플리케이션들은 SMTP, POP3, IMAP, MAPI와 같은 각 메일 프로토콜 전용 접속 주소(경로) 정보와 포트 정보를 설정할 수 있도록 구성되어 있으며, 메일 프로토콜 전용 접속 주소(경로) 정보와 포트 정보가 설정되면, 외부 메일 접속 장치들은 통상의 보안 시스템상에서는 해독이 어려운 메일 엔진용 통신 프로토콜 기반의 이메일 패킷에 대한 메일 서버와의 직접 송수신이 가능하게 된다.
그런데, 방화벽이나 패킷 내 악성 코드 검출 등만을 수행하는 현재의 보안 시스템에서는, 이러한 이메일 패킷의 내용을 확인할 수 있는 메일 엔진 모듈이 구비되어 있지 않으므로, 메일 엔진용 통신 프로토콜 기반의 패킷의 세부적인 내용을 확인할 수는 없고, 따라서 공격자가 악의적인 의도로 위와 같은 메일 엔진용 통신 프로토콜 전용 접속 주소로 이메일 아이디 또는 비밀번호를 무한정 바꾸어가며 계정 탈취용 접속 공격을 반복적으로 시도하거나, 탈취된 계정으로 무수한 스팸 및 악성 메일을 발송하더라도, 이를 파악할 수는 없는 문제점이 있다.
나아가, 현재의 시스템은 메일 엔진용 통신 프로토콜 접속 기반 공격이 시도되는 경우, 그 공격이 계정 탈취인지, 악성 메일 유포인지, 개인정보 유출인지 등 어떠한 유형의 공격인지조차도 전혀 파악할 수가 없는 상황이다.
본 발명은 상기한 바와 같은 문제점들을 해결하고자 안출된 것으로, 기존의 메일 서버 시스템은 유지하면서도, 상기 메일 서버 시스템으로 송수신되는 메일에 대응하는 보안위협 검사를 중간에서 수행하여 이메일 공격로부터 메일 서버를 보호하도록 보안 망을 구축하는 메일 보안 장치 기반의 보안 시스템을 구축하되, 메일 엔진용 통신 프로토콜 기반 접속 경로 정보를 상기 메일 보안 장치로 유도하여, 메일 서버에 대한 메일 엔진용 통신 프로토콜 기반의 악의적 메일 서버 접속 시도를, 상기 메일 보안 장치에서 미리 검출 및 차단할 수 있도록 구성하고, 이에 따라 메일 서버에 대한 메일 엔진 프토로콜 기반의 공격으로부터 상기 메일 서버를 효율적으로 보호할 수 있는 이메일 통신 프로토콜 기반 접속 관리 및 차단 기능을 제공하는 메일 접속 보안 시스템의 메일 보안 처리 장치 및 그 동작 방법을 제공하는데 그 목적이 있다.
상기한 바와 같은 과제를 해결하기 위한 본 발명의 실시 예에 따른 방법은, 메일 접속 보안 시스템의 보안 망을 구성하며, 수신 메일에 대응하는 보안위협 검사를 수행하는 보안위협 검사부 및 상기 보안위협 검사가 완료된 메일을 상기 보안 망 내부의 메일 서버로 전달하는 메일 처리부를 구비한 메일 보안 장치의 동작 방법에 있어서, 상기 메일 보안 장치가, 상기 메일 접속 보안 시스템의 상기 보안 망 외부로 사전 배포된 메일 통신 프로토콜 기반 접속 경로 정보에 기반하여, 외부 메일 접속 장치로부터 수신되는 메일 서버 접속 요청 정보를 수신하는 단계; 상기 메일 보안 장치가, 상기 보안위협 검사부 및 상기 메일 처리부에서 이용되는 메일 엔진용 통신 프로토콜 처리 모듈에 상기 메일 서버 접속 요청 정보를 입력하여, 상기 메일 서버 접속 요청 정보에 포함된 하나 이상의 세부 접속 정보를 획득하는 단계; 상기 메일 보안 장치에서, 상기 하나 이상의 세부 접속 정보를 이용한 접속 차단 여부를 결정하는 단계; 및 상기 메일 보안 장치에서, 상기 결정된 접속 차단여부에 따라, 상기 메일 서버 접속 요청 정보의 상기 메일 서버로의 전달을 차단하는 단계를 포함한다.
또한, 상기한 바와 같은 과제를 해결하기 위한 본 발명의 실시 예에 따른 장치는, 메일 접속 보안 시스템의 보안 망을 구성하며, 수신 메일에 대응하는 보안위협 검사를 수행하는 보안위협 검사부 및 상기 보안위협 검사가 완료된 메일을 상기 보안 망 내부의 메일 서버로 전달하는 메일 처리부를 구비한 메일 보안 장치에 있어서; 상기 메일 접속 보안 시스템의 상기 보안 망 외부로 사전 배포된 메일 통신 프로토콜 기반 접속 경로 정보에 기반하여, 외부 메일 접속 장치로부터 수신되는 메일 서버 접속 요청 정보를 수신하는 통신부; 상기 보안위협 검사부 및 상기 메일 처리부에서 이용되는 메일 엔진용 통신 프로토콜 처리 모듈에 상기 메일 서버 접속 요청 정보를 입력하여, 상기 메일 서버 접속 요청 정보에 포함된 하나 이상의 세부 접속 정보를 획득하는 메일 서버 접속 요청 정보 처리부; 상기 메일 보안 장치에서, 상기 하나 이상의 세부 접속 정보를 이용한 접속 차단 여부를 결정하는 차단여부 결정부; 및 상기 메일 보안 장치에서, 상기 결정된 접속 차단여부에 따라, 상기 메일 서버 접속 요청 정보의 상기 메일 서버로의 전달을 차단하는 접속 차단 처리부를 포함한다.
본 발명의 실시 예에 따르면, 메일 접속 보안 시스템을 구성하는 메일 보안 장치는, 상기 메일 접속 보안 시스템의 상기 보안 망 외부로 사전 배포된 메일 통신 프로토콜 기반 접속 경로 정보에 기반하여, 외부 메일 접속 장치로부터 수신되는 메일 서버 접속 요청 정보를 수신하고, 상기 보안위협 검사부 및 상기 메일 처리부에서 이용되는 메일 엔진용 통신 프로토콜 처리 모듈에 상기 메일 서버 접속 요청 정보를 입력하여, 상기 메일 서버 접속 요청 정보에 포함된 하나 이상의 세부 접속 정보를 획득하며, 상기 하나 이상의 세부 접속 정보를 이용한 접속 차단 여부를 결정할 수 있다.
이에 따라, 본 발명의 실시 예에 따른 보안 시스템은, 기존의 메일 서버 시스템은 유지하면서도, 상기 메일 서버 시스템으로 송수신되는 메일에 대응하는 보안위협 검사를 중간에서 수행하여 이메일 공격로부터 메일 서버를 보호하도록 보안 망을 구축하는 메일 보안 장치 기반의 보안 시스템을 구축하되, 메일 엔진용 통신 프로토콜 기반 접속 경로 정보를 상기 메일 보안 장치로 유도하여, 메일 서버에 대한 메일 엔진용 통신 프로토콜 기반의 악의적 메일 서버 접속 시도를, 상기 메일 보안 장치에서 미리 검출 및 차단할 수 있도록 구성하고, 이에 따라 메일 서버에 대한 메일 엔진 프토로콜 기반의 공격으로부터 상기 메일 서버를 효율적으로 보호할 수 있게 된다.
이러한 본 발명의 실시 예에 따른 보안 시스템 구성에 따라, 메일 엔진용 통신 프로토콜 기반의 악의적 메일 서버 직접 접속 시도가 차단되며, 이는 메일 서버에 대한 부하를 저감시킬 수 있을 뿐만 아니라, 메일 엔진용 통신 프로토콜 기반의 악의적 메일 서버 직접 접속 정보를 해독하여 각 공격 유형을 검출할 수 있고, 이에 따른 적절한 대응 처리도 가능하게 되어, 이메일 보안 시스템을 보다 효율적으로 구축할 수 있게 되는 장점이 있다.
도 1은 본 발명의 실시 예에 따른 전체 시스템을 개략적으로 도시한 개념도이다.
도 2는 본 발명의 실시 예에 따른 메일 보안 장치를 보다 구체적으로 도시한 블록도이다.
도 3은 본 발명의 실시 예에 따른 보안위협 검사부 및 메일 처리부를 보다 구체적으로 도시한 블록도이다.
도 4는 본 발명의 실시 예에 따른 메일 보안 장치의 메일 서버 접속 보안 인증 처리부를 보다 구체적으로 도시한 블록도이다.
도 5는 본 발명의 실시 예에 따른 메일 보안 장치의 동작을 설명하기 위한 흐름도이다.
이하의 내용은 단지 본 발명의 원리를 예시한다. 그러므로 당업자는 비록 본 명세서에 명확히 설명되거나 도시되지 않았지만 본 발명의 원리를 구현하고 본 발명의 개념과 범위에 포함된 다양한 장치와 방법을 발명할 수 있는 것이다. 또한, 본 명세서에 열거된 모든 조건부 용어 및 실시 예들은 원칙적으로, 본 발명의 개념이 이해되도록 하기 위한 목적으로만 명백히 의도되고, 이와 같이 특별히 열거된 실시 예들 및 상태들에 제한적이지 않는 것으로 이해되어야 한다.
또한, 본 발명의 원리, 관점 및 실시 예들 뿐만 아니라 특정 실시 예를 열거하는 모든 상세한 설명은 이러한 사항의 구조적 및 기능적 균등물을 포함하도록 의도되는 것으로 이해되어야 한다. 또한 이러한 균등물들은 현재 공지된 균등물뿐만 아니라 장래에 개발될 균등물 즉 구조와 무관하게 동일한 기능을 수행하도록 발명된 모든 소자를 포함하는 것으로 이해되어야 한다.
따라서, 예를 들어, 본 명세서의 블록도는 본 발명의 원리를 구체화하는 예시적인 회로의 개념적인 관점을 나타내는 것으로 이해되어야 한다. 이와 유사하게, 모든 흐름도, 상태 변환도, 의사 코드 등은 컴퓨터가 판독 가능한 매체에 실질적으로 나타낼 수 있고 컴퓨터 또는 프로세서가 명백히 도시되었는지 여부를 불문하고 컴퓨터 또는 프로세서에 의해 수행되는 다양한 프로세스를 나타내는 것으로 이해되어야 한다.
또한 프로세서, 제어 또는 이와 유사한 개념으로 제시되는 용어의 명확한 사용은 소프트웨어를 실행할 능력을 가진 하드웨어를 배타적으로 인용하여 해석되어서는 아니 되고, 제한 없이 디지털 신호 프로세서(DSP) 하드웨어, 소프트웨어를 저장하기 위한 롬(ROM), 램(RAM) 및 비휘발성 메모리를 암시적으로 포함하는 것으로 이해되어야 한다. 주지관용의 다른 하드웨어도 포함될 수 있다.
상술한 목적, 특징 및 장점은 첨부된 도면과 관련한 다음의 상세한 설명을 통하여 보다 분명해질 것이며, 그에 따라 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자가 본 발명의 기술적 사상을 용이하게 실시할 수 있을 것이다. 또한, 본 발명을 실시함에 있어서 본 발명과 관련된 공지 기술에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에 그 상세한 설명을 생략하기로 한다.
본 출원에서 사용한 용어는 단지 특정한 실시 예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 출원에서, "포함하다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
이하, 첨부한 도면들을 참조하여, 본 발명의 바람직한 실시 예를 보다 상세하게 설명하고자 한다. 본 발명을 설명함에 있어 전체적인 이해를 용이하게 하기 위하여 도면상의 동일한 구성요소에 대해서는 동일한 참조부호를 사용하고 동일한 구성요소에 대해서 중복된 설명은 생략한다.
본 명세서에서 사용되는 '메일(mail)'은 사용자가 단말장치와 이에 설치되는 클라이언트 프로그램 또는 웹사이트를 통해 컴퓨터 통신망을 이용하여 주고 받는 이메일(Electronic mail), 웹메일(Web mail), 전자우편, 전자우편물 등의 용어를 통칭하여 사용할 수 있다.
도 1은 본 발명의 실시 예에 따른 전체 시스템을 개략적으로 도시한 개념도이다.
도 1을 참조하면, 본 발명의 일 실시 예에 따른 시스템은 사용자 단말(10), 수신 메일 보안 장치(100), 발신 메일 보안 장치(200), 메일 서버(300), 외부 메일 접속 장치(400)를 포함한다.
보다 구체적으로, 수신 메일 보안 장치(100), 발신 메일 보안 장치(200) 및 메일 서버(300)는 별도 보안화된 보안 네트워크를 구성할 수 있다. 보안 네트워크는, 수신 메일 보안 장치(100) 및 발신 메일 보안 장치(200)를 경유하여야만 메일 서버(300)와의 메일 전송이 가능한 보안 네트워크로서, 각 장치에는 이를 위한 다양한 네트워크 인터페이스 환경 기반의 보안화된 내부 네트워크 및 보안 장치들이 구축될 수 있다.
여기서, 네트워크를 구성하는 각 장치들은 상호간 유/무선 네트워크를 통해 연결될 수 있으며, 각 네트워크에 연결된 장치 또는 단말들은 상호 보안화된 네트워크 채널을 통해 상호간 통신을 수행할 수 있다.
여기서 상기 각 네트워크는 근거리 통신망(Local Area Network; LAN), 광역 통신망(Wide Area Network; WAN), 부가가치 통신망(Value Added Network; VAN), 개인 근거리 무선통신(Personal Area Network; PAN), 이동 통신망(Mobile radio communication network) 또는 위성 통신망 등과 같은 다양한 종류의 유/무선 네트워크로 구현될 수 있다.
그리고 본 명세서에서 설명되는 사용자 단말(10) 및 외부 메일 접속 장치(400)는, PC(personal computer), 노트북 컴퓨터(laptop computer), 휴대폰(Mobile phone), 태블릿 PC(Tablet PC), PDA(Personal Digital Assistants), PMP(Portable Multimedia Player) 등이 포함될 수 있으나, 본 발명은 이에 한정되지 아니하며 내부망, 공중망 또는 사설망 등을 통해 메일 서버(300) 또는 수신 메일 보안 장치(100)에 접속가능한 다양한 장치들이 예시될 수 있다. 이에 더하여 사용자 단말(10) 및 외부 메일 접속 장치(400)는, 애플리케이션 구동 또는 웹 브라우징을 통한 정보의 입출력이 가능한 다양한 장치일 수 있다.
그리고, 수신 메일 보안 장치(100) 및 발신 메일 보안 장치(200)는, 외부 메일 접속 장치(400)에서 메일 서버(300)를 통해 사용자 단말(10)의 계정으로 수발신되는 이메일 데이터에 대한 보안위협 검사를 수행할 수 있으며, 보안위협 검사가 완료된 메일의 수발신 처리를 차단 또는 허용하는 메일 보안 시스템을 구성할 수 있다.
도 1에서는 수신 메일 보안 장치(100) 및 발신 메일 보안 장치(200)가 분리 구성된 것으로 도시하고 있으나, 본 발명의 실시 예에 따라, 수신 메일 보안 장치(100) 및 발신 메일 보안 장치(200)는 하나의 메일 보안 장치로 구성될 수도 있다.
이러한 보안 망 시스템 및 동작과는 달리, 외부 네트워크에 위치한 외부 메일 접속 장치(400)는, 공중망(Public network)과의 연결을 통해 유선 및 무선 중 하나 이상으로 연결되어 데이터를 송수신할 수 있다. 상기 공중망은 국가 혹은 통신 기간 사업자가 구축 및 관리하는 통신망으로, 일반적으로 전화망, 데이터망, CATV망 및 이동 통신망 등을 포함하여 불특정 다수의 일반인이 타 통신망이나 인터넷에 접속 가능하도록 연결 서비스를 제공할 수 있다.
전술한 배경기술에 따르면, 외부 메일 접속 장치(400)는, 메일 엔진용 통신 프로토콜 기반의 악의적 메일 서버 직접 접속을 시도하고자, 메일 서버(300)의 메일 엔진용 통신 프로토콜 기반 접속 정보를 확인하고, 그 접속 정보에 따른 메일 엔진용 통신 프로토콜 기반의 접속을 시도할 수 있다. 이러한 메일 엔진용 통신 프로토콜은 통상적으로 전송 레이어 보안 프로토콜(TLS) 기반으로 암호화된 패킷으로 구성될 수 있으며, 통상적으로 메일 서버(300)의 메일 엔진용 통신 프로토콜 기반 접속 정보는 외부 메일 접속 장치(400)로 배포된다.
여기서, 전술한 바와 같이, 상기 메일 엔진용 통신 프로토콜은 SMTP(Simple Mail Trasnfer Protococl) 표준 프로토콜, POP3(Post Office Protocol 3) 표준 프로토콜, IMAP(Internet Message Access Protocol) 표준 프로토콜, MAPI(Messageing Application Programming Interface) 표준 프로토콜 중 적어도 하나를 포함할 수 있다.
그러나, 본 발명의 실시 예에 따르면, 메일 서버(300)의 메일 엔진용 통신 프로토콜 기반 접속 정보는, 수신 메일 보안 장치(100)의 메일 엔진용 통신 프로토콜 기반 접속 정보로 대체되어 배포될 수 있다. 즉, 메일 서버(300)에 대한 TLS 통신 프로토콜 접속 경로 정보에 대한 배포 자체가 사전 차단될 수 있으며, 이러한 경로는 미리 비활성화 처리될 수 있다. 예를 들어, 메일 서버(300)에서도 기존의 TLS 통신 프로토콜 접속 경로에 대한 접속 자체를 허용하지 않도록 포트 차단 설정 등을 수행하여 미리 비활성화 처리할 수 있다.
이러한 접속 경로 비활성화를 통해, 외부 메일 접속 장치(400)에서는 수신 메일 보안 장치(100)를 경유하여야만 메일 서버(300)로 접속할 수 있게 되며, 이를 위한 TLS 통신 프로토콜 접속 경로가 형성될 수 있다. TLS 통신 프로토콜 접속 경로 형성을 위해, 수신 메일 보안 장치(100)는, 전술한 바와 같이 메일 서버(300)의 메일 엔진용 통신 프로토콜 기반 접속 정보를, 수신 메일 보안 장치(100)의 메일 엔진용 통신 프로토콜 기반 접속 정보로 대체시켜 배포할 수 있는 것이다.
이에 따라, 수신 메일 보안 장치(100)는, 상기 메일 접속 보안 시스템의 상기 보안 망 외부로 사전 배포된 메일 통신 프로토콜 기반 접속 경로 정보에 기반하여, 외부 메일 접속 장치(400)로부터 수신되는 메일 서버 접속 요청 정보를 대신 수신할 수 있다.
그리고, 수신 메일 보안 장치(100)는, 앞서 설명한 바와 같은 이메일 수발신 보안을 위해 구비된 보안위협 검사부 및 메일 처리부에서 이용되는 메일 엔진용 통신 프로토콜 처리 모듈에, 상기 메일 서버 접속 요청 정보를 입력하여, 상기 메일 서버 접속 요청 정보에 포함된 하나 이상의 세부 접속 정보를 획득할 수 있다.
그리고, 수신 메일 보안 장치(100)는, 상기 하나 이상의 세부 접속 정보를 이용한 접속 차단 여부를 결정할 수 있으며, 상기 결정된 접속 차단여부에 따라, 상기 메일 서버 접속 요청 정보의 상기 메일 서버(300)로의 전달을 차단하거나, 허용할 수 있다.
여기서, 상기 하나 이상의 세부 접속 정보는, 메일 사용자 식별 정보, 암호화된 메일 사용자 암호 정보, 기기 식별 정보, 접속 IP 정보, 접속 위치 정보, 접속 시간 정보, 상기 메일 엔진용 통신 프로토콜 식별 정보 중 적어도 하나를 포함할 수 있는 바, 수신 메일 보안 장치(100)는, 상기 메일 사용자 식별 정보에 대응하여 사전 구성된 차단 정책 정보와, 상기 기기 식별 정보, 접속 IP 정보, 접속 위치 정보, 접속 시간 정보, 상기 메일 엔진용 통신 프로토콜 식별 정보 중 적어도 하나가 매칭되는 경우, 상기 접속 차단 여부를 차단으로 결정할 수 있다.
나아가, 상기 차단 정책 정보는, 상기 메일 사용자 식별 정보에 대응하여 미리 수집된 활동 정보의 학습 데이터에 따라 가변적으로 구성되는 학습 기반 차단 정책 정보를 포함할 수 있으며, 상기 활동 정보는 상기 메일 사용자 식별 정보에 대응하는 기기 식별 정보, 접속 IP 정보, 접속 위치 정보, 접속 시간 정보, 메일 엔진용 통신 프로토콜 식별 정보 중 적어도 하나를 포함할 수 있다.
또한, 수신 메일 보안 장치(100)는, 상기 메일 사용자 식별 정보에 대응하여 미리 설정된 메일 엔진용 통신 프로토콜 식별 정보와, 상기 메일 엔진용 통신 프로토콜 식별 정보가 상이한 경우, 상기 메일 사용자 식별 정보에 대응하여 미리 설정된 사용자 단말(10)로 상기 메일 서버 접속 요청 정보의 차단 여부를 질의할 수도 있다. 이 경우, 수신 메일 보안 장치(100)는, 상기 질의에 대응하여 상기 사용자 단말(10)로부터 수신되는 응답 데이터에 따라, 상기 접속 차단 여부를 차단으로 결정하거나, 허용으로 결정할 수 있다.
또한, 수신 메일 보안 장치(100)는, 상기 접속 차단 여부 결정에 따라 차단되지 않고, 결과적으로 허용된 상기 메일 서버 접속 요청 정보에 기초하여, 상기 메일 사용자 식별 정보 및 상기 암호화된 메일 사용자 암호 정보를 포함하는 인증 질의 정보를 메일 서버(300)로 전달할 수 있으며, 상기 인증 질의 정보에 대응하는 상기 메일 서버(300)의 인증 응답에 따라, 상기 메일 서버 접속 요청 정보를 상기 메일 서버(300)로 전달 처리할 수 있다.
이 경우, 수신 메일 보안 장치(100)는, 상기 메일 서버(300)로부터, 상기 메일 서버 접속 요청 정보에 대응하는 메일 서버 접속 응답 정보를 획득하고, 상기 메일 서버 접속 응답 정보를 상기 외부 메일 접속 장치(400)로 전송할 수 있다.
이와 같은 시스템 구성에 따라, 실질적으로 외부 메일 접속 장치(400)는, SMTP, POP3, IMAP, MAPI 등의 메일 엔진용 통신 프로토콜을 이용한 TLS 기반 통신을 수행하더라도, 수신 메일 보안 장치(100)를 경유하여야만 메일 서버(300)와의 이메일 데이터 송수신이 가능하게 되며, 수신 메일 보안 장치(100)에서는 보안위협 검사용 이메일 엔진 모듈을 이용하여, 메일 엔진용 통신 프로토콜 기반의 이메일 패킷의 적어도 일부를 해독함으로써, 이를 사전 설정된 정책과 비교하여 차단하거나, 공격 여부 및 공격 유형을 파악하여 사용자 단말(10)로 알림 처리할 수 있다.
이에 따라, 본 발명의 실시 예에 따른 이메일 보안 시스템은, 기존의 메일 서버 기반 수발신 보안 시스템은 유지하면서도, 별도의 부가적인 시스템 구축 없이 메일 서버(300)에 대한 메일 엔진용 프로토콜 기반의 직접 접속 공격을 식별하여 차단시킬 수 있으며, 정상적인 메일 엔진용 프로토콜 기반 접속 요청의 경우에는 메일 서버(300)와의 이메일 교환을 가능하게 하는 바, 효율적이면서도 안전한 이메일 수발신 보안 시스템 구축을 가능하게 한다.
도 2 내지 도 4는 본 발명의 일 실시 예에 따른 수신 메일 보안 장치(100)를 보다 구체적으로 설명하기 위한 블록도이다.
도 2 내지 도 4를 참조하면, 먼저 본 발명의 일 실시 예에 따른 수신 메일 보안 장치(100)는, 제어부(110), 수집부(120), 보안위협 검사부(130), 관계분석부(140), 메일 처리부(150), 사용자 정보 관리부(160), 레코드 관리부(170), 취약점 테스트부(180), 통신부(125) 및 메일 서버 접속 보안 인증 처리부(190)를 포함할 수 있다.
제어부(110)는 상기 수신 메일 보안 장치(100)의 각 구성요소들의 동작을 전반적으로 제어하기 위한 하나 이상의 프로세서로 구현될 수 있다.
또한, 제어부(110)는, 메일 엔진용 통신 프로토콜 처리 모듈을 구비하여, 각 구성부에서 처리되는 이메일 통신 프로토콜 기반의 데이터를 복호화하거나, 암호화하거나, 변조 처리함에 따라, 메일 엔진용 통신 프로토콜 패킷에 대한 데이터 처리를 가능하게 할 수 있다.
통신부(125)는, 사용자 단말(10) 또는 메일 서버(300)가 위치한 네트워크 또는, 외부 메일 접속 장치(400)와 통신하기 위한 하나 이상의 통신 모듈을 구비할 수 있다.
그리고, 수집부(120)는 메일 서버(300) 또는 외부 메일 접속 장치(400)로부터 송수신되는 메일 엔진용 통신 프로토콜 패킷을 복원하여, 수발신되는 이메일 패킷 데이터의 메일 정보를 수집할 수 있다. 상기 메일 정보는 이메일 헤더 정보, 이메일 제목, 이메일 내용 본문, 일정 기간 수신 횟수 등을 포함할 수 있다.
구체적으로, 상기 이메일 헤더 정보는 메일 발신 서버 IP 주소, 메일 발신 서버 호스트 이름 정보, 발신자 메일 도메인 정보, 발신자 메일 주소, 메일 수신 서버 IP 주소, 메일 수신 서버 호스트 이름 정보, 수신자 메일 도메인 정보, 수신자 메일 주소, 메일 프로토콜 정보, 메일 수신 시간 정보, 메일 발신 시간 정보 등을 포함할 수 있다.
또한 상기 이메일 헤더는 메일이 송수신 되는 과정에 있어 필요한 네트워크 경로 정보, 메일 교환을 위한 메일 서비스 시스템 간 사용 프로토콜 정보 등을 포함할 수 있다.
추가적으로 상기 메일정보는 첨부파일의 확장자, 첨부파일의 해시정보, 첨부파일명, 첨부파일 내용 본문, URL(Uniform Resource Locator) 정보 등을 포함할 수 있다. 상기 첨부파일은 발신자가 수신자에게 전달하고자 하는 메일 본문 내용에 더하여 추가적인 정보를 전달하거나 또는 정보 회신을 요구하기 위한 추가적인 콘텐츠를 포함할 수 있다.
상기 콘텐츠는 텍스트, 이미지, 동영상 등을 제공할 수 있다. 수신자는 메일에 첨부되어 있는 파일에 대응되는 애플리케이션을 실행시켜 콘텐츠를 확인할 수 있다. 또한 수신자는 메일에 첨부되어 있는 파일을 로컬저장장치에 다운로드하여 저장 및 관리가 가능하다.
상기 첨부파일의 확장자는 파일의 형식이나 종류를 구분할 수 있다. 상기 첨부파일의 확장자는 일반적으로 파일의 속성이나 파일을 생성한 애플리케이션을 나타내는 문자열로 구분될 수 있다. 예를 들어, 텍스트 파일은 [파일명].txt, MS워드 파일은 [파일명].doc(docx), 한글 파일은 [파일명].hwp 등의 확장자로 구분될 수 있다. 또한 이미지 파일은 gif, jpg, png, tif 등으로 확장자가 구분될 수 있다.
추가적으로 코드화 된 명령에 따라 지시된 작업을 수행하도록 하는 컴퓨터 파일인 실행파일은 [파일명].com, [파일명].exe, [파일명].bat, [파일명].dll, [파일명].sys, [파일명].scr 등으로 구분될 수 있다.
상기 첨부파일의 해시정보는 정보의 위변조를 확인하여 정보의 무결성을 보장할 수 있다. 해시정보 또는 해시값은 해시함수를 통해 임의의 길이를 가지는 임의의 데이터에 대해 일정한 길이의 비트열로 매핑될 수 있다.
이를 통해 최초 생성되는 첨부파일에 대하여 해시함수를 통해 출력되는 해시정보는 고유의 값을 가지게 된다. 상기 출력되는 해시정보 또는 해시값은 역으로 함수에 입력되는 데이터를 추출할 수 없는 일방향성을 가진다. 또한 해시함수는 하나의 주어진 입력 데이터에 대하여 출력된 해시정보 또는 해시값과 동일한 출력을 제공하는 또 다른 입력 데이터는 계산적으로 불가능한 충돌 회피성을 보장할 수 있다. 이에 따라, 상기 첨부파일의 데이터를 수정하거나 추가하게 되면 해시함수의 출력값은 상이하게 반환된다.
이와 같이, 상기 첨부파일의 고유한 해시정보는 메일을 통해 주고 받는 파일에 대하여 해시정보 또는 해시값을 비교함으로써 파일의 수정, 위변조 여부를 확인할 수 있다. 또한 상기 해시정보는 고유한 값으로 고정되기 때문에 악의적인 의도를 가지고 생성한 파일에 대한 과거 히스토리의 데이터베이스인 평판 정보를 활용함으로써 사전 방역 조치를 가능하게 할 수 있다. 추가적으로 상기 해시함수는 일방향성과 충돌 회피성을 보장할 수 있는 기술 및 버전으로 이용될 수 있다.
예를 들어, 해시정보는 바이러스토탈 웹사이트나 멀웨어즈 웹사이트를 통해 파일의 악성코드 유무에 대한 검색 정보로 활용될 수 있다. 상기 파일의 해시정보 분석을 제공하는 웹사이트를 통해서 파일의 제공업체, 파일의 해시값 등의 정보를 제공받을 수 있다. 또한 파일의 해시정보에 대한 검색 결과는 다수의 IT 정보 보안 솔루션을 제공하는 글로벌 회사에서 판별한 평판 정보를 크로스 체크할 수 있어 보다 신뢰성 있는 정보로 판단이 가능하다.
보안위협 검사부(130)는 사전 설정된 보안위협 아키텍처에 따라, 상기 메일정보에 대응하는 메일보안 프로세스의 단계별 매칭을 처리하고, 상기 매칭 처리된 메일보안 프로세스에 의해 상기 메일정보를 검사하며, 상기 검사결과에 따른 메일보안 검사정보를 저장 및 관리할 수 있다.
상기 보안위협 아키텍처는 스팸메일 보안위협, 악성코드 보안위협, 사회공학적 보안위협, 내부정보 유출 보안위협 등으로 구분될 수 있다. 상기 보안위협 아키텍처에 의해 보안위협 유형/레벨/프로세스/우선순위/처리순서가 설정될 수 있다.
상기 보안위협 아키텍처에 따라 대응되는 메일보안 프로세스는 스팸메일 보안 프로세스, 악성코드 보안 프로세스, 사칭메일 보안 프로세스, 메일반출 보안 프로세스 등을 포함할 수 있다.
상기 메일보안 프로세스는 상기 보안위협 아키텍처에 따라 수신메일인지 발신메일인지에 대응하는 서로 다른 메일보안 프로세스가 결정될 수 있다. 또한 상기 메일보안 프로세스의 검사 순서 또는 검사 레벨은 사전 설정한 보안 단계 및 아키텍처에 의해 결정될 수 있다.
상기 메일보안 프로세스는 수신 또는 발신을 위한 메일정보가 사용자 단말(200)에서 전송되면 독립적으로 구분 된 프로세스가 리소스로 할당되고 상기 메일정보에서 할당된 검사영역에서 즉각적으로 실행될 수 있는 유동적 리소스 할당 방식은 가상공간 개념으로 설명될 수 있다. 상기 가상공간으로 리소스를 할당하는 방식에서 메일보안 프로세스는 처리가 완료 시, 순차적으로 유입되는 메일정보에서 할당된 검사영역에서 작업을 즉각적으로 처리할 수 있다.
대조적으로 가상환경, 가상머신과 같이 하나의 리소스 안에서 처리가 제한되는 일정 프로세스가 할당된 환경은 요청되는 작업을 처리 시, 특정 프로세스의 처리가 완료되기 까지 다른 프로세스들이 대기하는 아이들(idle) 타임을 가질 수 있다. 이처럼 프로세스를 통한 분석 방식에 있어서, 유동적 리소스는 고정형 리소스와 비교 시 처리 속도 및 성능에서 우위를 가질 수 있다.
상기 보안위협 검사부(130)는 상기 수집부(120)에서 수집된 상기 메일정보에 따라 수신 또는 발신 목적으로 메일을 구분할 수 있다. 이 후, 상기 보안위협 검사부(130)는 상기 메일보안 프로세스를 순차적 또는 설정된 우선순위에 근거하여 매칭하고 분석함으로써 각각의 메일에 대한 메일보안 검사 정보를 획득할 수 있다.
도 3(a)에 도시된 바와 같이, 보안위협 검사부(130)는 스팸메일 검사부(131), 악성코드 검사부(132), 사칭메일 검사부(133), 메일반출 검사부(134)를 포함한다.
먼저, 스팸메일 보안위협은 관계없는 발신자와 수신자 간에 광고와 홍보 등을 목적으로 일방적, 대량으로 불특정 다수에게 무차별적으로 살포되는 메일 유형을 포함할 수 있다. 또한 대량의 스팸메일은 메일 시스템의 데이터 처리 능력에 부하를 주게 되어 시스템의 처리 능력을 저하시키는 원인이 될 수도 있다. 또한 스팸메일은 내용 본문 등에 포함된 무분별한 정보에 대하여 사용자가 의도하지 않게 연결될 수 있고 잠재적인 피싱 사기를 위한 정보로 위장될 수 있는 위험성이 있다.
이같은 스팸메일을 검출하고 필터링하기 위하여 상기 보안위협 검사부(130)는 스팸메일 검사부(131)를 포함할 수 있다. 상기 스팸메일 검사부(131)는 상기 메일보안 프로세스가 스팸메일 보안 프로세스인 경우, 메일 헤더 정보, 메일 제목, 메일 내용 본문, 일정 기간 수신 횟수 등을 포함하는 상기 메일정보를 사전 설정한 스팸지표와 단계별로 매칭할 수 있다.
상기 스팸메일 검사부(131)는 메일 헤더 정보와 메일 제목, 메일 내용 본문 등을 포함하는 메일정보에 대하여 스팸메일로 구분할 수 있는 일정 패턴 검사 등을 통해 스팸지표에서 검사항목으로 이용할 수 있다. 이를 통해 상기 스팸메일 검사부(131)는 상기 스팸지표를 단계별로 매칭하여 스팸메일 검사정보를 획득하고 저장 및 관리할 수 있다.
상기 스팸지표는 단계별로 메일정보에 포함되는 항목에 기반한 검사항목과 검사를 통한 수준값이 설정될 수 있다. 본 발명의 일 실시 예에 따르면, 스팸지표는 Level 1, Level 2, Level 3, ..., Level [n]으로 세분화 및 단계화되어 구성될 수 있다.
상기 스팸지표 Level 1은 빅데이터 및 평판 정보에 기반하여 메일정보에 포함되는 메일 제목 데이터를 매칭할 수 있다. 이를 통해 상기 스팸지표 Level 1은 평가된 수준값을 스팸지표 Level 1의 검사정보로 획득할 수 있다. 상기 수준값은 정량적으로 측정될 수 있는 정보로 설정될 수 있다. 예를 들어, 상기 스팸지표 Level 1의 검사정보는 검사항목인 메일 제목에 '광고', '홍보' 등의 문구가 포함되어 있을 시, 상기 빅데이터 및 평판 정보에서 스팸메일로 정의한 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 스팸지표 Level 1의 검사정보는 '1'로 획득될 수 있다.
추가적으로 상기 스팸지표 Level 2는 사용자 지정 키워드에 기반하여 메일정보에 포함되는 데이터를 매칭할 수 있다. 이를 통해 상기 스팸지표 Level 2는 평가된 수준값을 스팸지표 Level 2의 검사정보로 획득할 수 있다. 예를 들어, 상기 스팸지표 Level 2의 검사정보는 검사항목인 메일 내용 본문에 '특가', '초특가', '세일', 'sale', '품절' 등을 포함하는 키워드가 포함되어 있을 시, 상기 사용자 지정 키워드에서 스팸메일로 정의한 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 스팸지표 Level 2의 검사정보는 '1'로 획득될 수 있다.
다음 단계로 상기 스팸지표 Level 3은 이미지 분석에 기반하여 메일정보에 포함되는 데이터를 매칭할 수 있다. 이를 통해 상기 스팸지표 Level 3은 평가된 수준값을 스팸지표 Level 3의 검사정보로 획득할 수 있다. 예를 들어, 상기 스팸지표 Level 3의 검사정보는 검사항목인 메일 내용 본문에 포함되는 이미지를 분석하여 추출한 데이터에서 '080'으로 시작하는 전화번호 등이 포함되어 있을 시, 상기 이미지 분석에서 스팸메일로 정의한 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 스팸지표 Level 3의 검사정보는 '1'로 획득될 수 있다.
이와 같이 상기 스팸메일 보안 프로세스를 통해 스팸지표 레벨 단위로 획득된 검사정보는 최종적으로 합산('3')되어 스팸메일 검사정보로 저장 및 관리될 수 있다. 이렇게 합산된 스팸메일 검사정보는 상기 메일보안 검사정보에 포함되어 관리될 수 있고 상기 메일 처리부(150)에서 보안위협 판별정보로 활용될 수 있다.
상기 보안위협 검사부(130)는 악성코드 검사부(132)를 더 포함할 수 있다. 상기 악성코드 검사부(132)는 상기 메일보안 프로세스가 악성코드 보안 프로세스인 경우, 첨부파일의 확장자, 첨부파일의 해시정보, 첨부파일명, 첨부파일 내용 본문, URL(Uniform Resource Locator) 정보 등을 더 포함하는 상기 메일정보를 사전 설정한 악성코드지표와 단계별로 매칭할 수 있다.
상기 악성코드 검사부(132)는 첨부파일의 속성값으로 확인할 수 있는 첨부파일의 확장자, 첨부파일의 해시정보, 첨부파일명 등과 함께 첨부파일 내용 본문과 내용 본문에 포함되는 URL(Uniform Resource Locator) 정보를 악성코드지표 검사 항목으로 이용할 수 있다. 이를 통해 상기 악성코드 검사부(132)는 상기 악성코드지표를 항목에 따라 단계별로 매칭하여 악성코드 검사정보를 획득하고 저장 및 관리할 수 있다.
상기 악성코드지표는 단계별로 메일정보에 포함되는 항목에 기반한 검사항목과 검사를 통한 수준값이 설정될 수 있다. 본 발명의 일 실시 예에 따르면, 악성코드지표는 Level 1, Level 2, Level 3, ..., Level [n]으로 세분화 및 단계화되어 구성될 수 있다.
상기 악성코드지표 Level 1은 빅데이터 및 평판 정보에 기반하여 메일정보에 포함되는 첨부파일명, 첨부파일의 확장자를 매칭할 수 있다. 이를 통해 상기 악성코드지표 Level 1은 평가된 수준값을 악성코드지표 Level 1의 검사정보로 획득할 수 있다. 예를 들어, 상기 악성코드지표 Level 1의 검사정보는 검사항목인 첨부파일명이 'Trojan', 첨부파일의 확장자가 'exe'를 포함하고 있을 시, 상기 빅데이터 및 평판 정보에서 악성코드로 정의된 정보와 일치되는 경우, 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 악성코드지표 Level 1의 검사정보는 '1'로 획득될 수 있다.
추가적으로 상기 악성코드지표 Level 2는 빅데이터 및 평판 정보에 기반하여 메일 첨부파일의 해시정보를 매칭할 수 있다. 이를 통해 평가된 수준값을 악성코드지표 Level 2의 검사정보로 획득할 수 있다. 예를 들어, 상기 악성코드지표 Level 2의 검사정보는 검사항목인 첨부파일 해시정보가 'a1b2c3d4'로 분석 시, 상기 평판 정보에서 악성코드로 정의된 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 악성코드지표 Level 2의 검사정보는 '1'로 획득될 수 있다.
다음 단계로 상기 악성코드지표 Level 3은 URL 평판 정보에 기반하여 첨부파일 또는 메일 내용 본문에 포함된 URL(Uniform Resource Locator) 정보를 매칭할 수 있다. 이를 통해 평가된 수준값을 악성코드지표 Level 3의 검사정보로 획득할 수 있다. 예를 들어, 상기 악성코드지표 Level 3의 검사정보는 검사항목인 URL 정보가 'www.malicious-code.com'으로 확인 시, 상기 URL 평판 정보에서 악성코드 파일이 포함되는 유해 사이트로 정의된 정보와 일치되는 경우 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다. 이를 통해 악성코드지표 Level 3의 검사정보는 '1'로 획득될 수 있다. 그리고 상기 악성코드 검사부(132)는 URL 평판 정보에서 누락될 수 있는 제로데이 공격에 대응할 수 있다. 상기 악성코드 검사부(132)는 평판 정보가 없는 URL에 대한 링크 IP 주소를 특정 시스템의 IP 주소로 변경하고 변경된 IP 주소를 사용자단말(200)에 제공할 수 있다. 상기 사용자단말(200)은 상기 URL에 접속하고자 할 시, 상기 악성코드 검사부(132)가 변경한 특정 시스템의 IP 주소로 접속될 수 있다. 이 전에 상기 URL에 대한 링크 IP 주소로 변경된 특정 시스템은 지속적으로 URL의 엔드포인트까지 악성코드 포함 여부를 검사할 수 있다.
이와 같이 상기 악성코드 보안 프로세스를 통해 악성코드지표 레벨 단위로 획득된 검사정보는 최종적으로 합산('3')되어 악성코드 검사정보로 저장 및 관리될 수 있다. 이렇게 합산된 악성코드 검사정보는 상기 메일보안 검사정보에 포함되어 관리될 수 있고 상기 메일 처리부(150)에서 보안위협 판별정보로 활용될 수 있다.
상기 보안위협 검사부(130)는 사칭메일 검사부(133)를 더 포함할 수 있다. 상기 사칭메일 검사부(133)는 메일보안 프로세스가 사칭메일 보안 프로세스인 경우로 상기 관계분석부(140)를 통해 획득되는 관계분석정보에 대하여 사전 설정한 관계분석지표와 단계별로 매칭할 수 있다. 상기 관계분석정보는 메일정보 및 정상으로 확인 된 메일의 속성정보 등을 포함하는 메일정보 분석을 통해 획득될 수 있다.
상기 사칭메일 검사부(133)는 정상으로 판별된 메일에서 추출될 수 있는 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅, 메일 내용 본문 정보 등을 관계분석지표 검사항목으로 이용할 수 있다. 이를 통해 상기 사칭메일 검사부(133)는 상기 관계분석지표를 항목에 따라 단계별로 매칭하여 사칭메일 검사정보를 획득하고 저장 및 관리할 수 있다. 이를 통해 상기 사칭메일 검사부(133)는 유사 도메인을 검출할 수 있고 메일의 발송 경로를 추적 또는 검증하여 보안위협을 가할 수 있는 메일을 필터링 할 수 있다.
상기 관계분석지표는 단계별로 상기 관계분석정보에 기반한 검사항목과 검사를 통한 수준값이 설정될 수 있다. 본 발명의 일 실시 예에 따르면, 관계분석지표는 Level 1, Level 2, Level 3, ..., Level [n]으로 세분화 및 단계화되어 구성될 수 있다.
상기 관계분석지표 Level 1은 평판 정보에 기반하여 발신자 메일의 도메인, 발신자 메일의 주소 등을 매칭할 수 있다. 이를 통해 상기 관계분석지표 Level 1은 평가된 수준값을 관계분석지표 Level 1의 검사정보로 획득할 수 있다. 예를 들어, 상기 관계분석지표 Level 1의 검사정보는 검사항목인 발신된 메일의 도메인이 '@사칭.com'이고 발신자 메일의 주소가 '사칭@'을 포함하고 있을 시, 상기 평판 정보에서 악성코드로 정의된 정보와 일치되는 경우, 0과 1로 구분된 수준값에서 '1'로 평가될 수 있다.
추가적으로 상기 관계분석지표 Level 2는 상기 관계분석정보에 기반하여 발신자 메일의 도메인, 발신자 메일의 주소 등을 매칭할 수 있다. 이를 통해 상기 관계분석지표 Level 2는 평가된 수준값을 관계분석지표 Level 2의 검사정보로 획득할 수 있다. 예를 들어, 상기 관계분석지표 Level 2의 검사정보는 검사항목인 발신된 메일의 도메인이 '@사칭.com'이고 발신자 메일의 주소가 '사칭@'을 포함하고 있을 시, 상기 관계분석정보에서 정상메일의 속성정보로 정의된 정보와 일치되지 않는 경우, 0과 1로 구분된 수준값에서 '1'로 평가 될 수 있다. 이를 통해 관계분석지표 Level 3의 검사정보는 '1'로 획득될 수 있다.
다음단계로 상기 관계분석지표 Level 3는 상기 관계분석정보에 기반하여 메일 라우팅 정보 등을 매칭할 수 있다. 이를 통해 상기 관계분석지표 Level 3는 평가된 수준값을 관계분석지표 Level 3의 검사정보로 획득할 수 있다. 예를 들어, 상기 관계분석지표 Level 3의 검사정보는 검사항목인 메일 라우팅 정보가 '1.1.1.1', '2.2.2.2', '3.3.3.3' 으로 확인 시, 메일의 전송 경로인 상기 라우팅 정보가 상기 관계분석정보에서 정상메일의 속성정보로 정의된 정보와 일치되지 않는 경우, 0과 1로 구분된 수준값에서 '1'로 평가 될 수 있다. 이를 통해 관계분석지표 Level 3의 검사정보는 '1'로 획득될 수 있다.
이와 같이 상기 사칭메일 보안 프로세스를 통해 관계분석지표 레벨 단위로 획득된 검사정보는 최종적으로 합산('3')되어 사칭메일 검사정보로 저장 및 관리될 수 있다. 이렇게 합산된 사칭메일 검사정보는 상기 메일보안 검사정보에 포함되어 관리될 수 있고 상기 메일 처리부(150)에서 보안위협 판별정보로 활용될 수 있다.
상기 보안위협 검사부(130)는 내부정보 유출 보안 위협에 대응할 수 있도록 메일반출 검사부(134)를 포함할 수 있다. 상기 메일반출 검사부(134)는 메일보안 프로세스가 메일반출 보안 프로세스인 경우, 상기 메일정보에 기반하여 사전 설정한 메일반출 관리지표와 단계별로 매칭할 수 있다.
상기 메일반출 검사부(134)는 상기 메일정보의 속성 정보를 활용하여 메일반출 관리지표 검사항목으로 이용할 수 있다. 또한 상기 관리지표 검사항목은 내부적으로 관리되는 사용자단말(200)의 할당 IP 정보가 이용될 수 있다.
상기 메일반출 관리지표는 단계별로 사전 설정된 검사항목과 검사를 통한 수준값이 설정될 수 있다. 본 발명의 일 실시 예에 따르면, 메일반출 관리지표는 Level 1, Level 2, Level 3, ..., Level [n]으로 세분화 및 단계화되어 구성될 수 있다.
상기 메일반출 관리지표는 발신 환경 검사를 위해 사용자단말(200)에 할당 된 IP 주소에서 허용된 IP 주소만이 메일정보를 등록할 수 있도록 통제하는 항목을 포함할 수 있다. 미인증된 사용자단말은 내부정보를 유출할 가능성이 상대적으로 높고 또한 메일을 통해 보안위협을 가할 가능성이 상대적으로 높기 때문에 이를 사전에 차단할 수 있는 관리지표를 관리할 수 있다.
또한 상기 메일반출 검사부(134)는 상기 메일반출 관리지표를 IP 주소 정보, 발송 횟수 정보 등의 검사항목으로 구분하여 메일반출 관리지표로 활용할 수 있다. 또한 상기 메일반출 검사부(134)는 메일 발신 환경 검사 항목으로 승인 프로세스 등의 통제부를 추가적으로 구비하여 내부정보 유출 위협을 감소시킬 수 있다. 이를 통해 상기 메일반출 검사부(134)는 메일반출 프로세스를 통해 검사항목과 매칭하여 산출된 수준값을 메일반출 검사정보로 저장하고 관리할 수 있다.
관계분석부(140)는 상기 메일정보 및 신뢰인증로그 분석에 기초하여 획득되는 관계분석정보를 저장 및 관리할 수 있다. 상기 신뢰인증로그는 상기 레코드 관리부(170)에서 보안위협 판별정보에 따라 메일정보를 정상메일로 처리하는 경우, 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅, 메일 내용 본문 정보 등을 포함하는 레코드정보를 포함할 수 있다.
메일 처리부(150)는 상기 메일보안 검사정보 및 상기 메일정보 분석을 통해 획득되는 보안위협 판별정보에 따라 메일 상태를 처리할 수 있다.
상기 메일 처리부(150)는 사전 설정된 우선순위에 따른 상기 메일보안 프로세스가 수행될 수 있다. 상기 메일 처리부(150)는 상기 메일보안 프로세스를 통한 상기 보안위협 판별정보가 비정상 메일로 판별되는 경우, 후속 메일보안 프로세스 중단여부를 판단하여 메일 상태를 처리할 수 있다. 이를 통해, 상기 메일 처리부(150)는 우선순위에 따라 먼저 검사 단계에서 문제점이 발견된 경우, 그 단계에서 필요한 처리만을 수행하고 검사종료여부를 판단하여 후속 검사단계는 수행하지 않고 종료할 수 있다. 이를 통해, 메일 보안 서비스의 효율성을 확보하여 시스템의 복잡성을 낮추고 처리효율을 향상시킬 수 있다.
상기 메일보안 검사정보는 상기 보안위협 검사부(130)에서 산출된 스팸메일 검사정보와 악성코드 검사정보, 사칭메일 검사정보, 메일반출 검사정보를 종합하여 획득된 정보를 활용할 수 있다. 예를 들어, 상기 보안위협 검사부(130)가 메일정보에 대하여 프로세스수행을 통해, 상기 스팸메일 검사정보로 산출된 스코어가 '3', 악성코드 검사정보로 산출된 스코어가 '2', 사칭메일 검사정보 '1', 메일반출 검사정보로 산출된 스코어가 '0' 인 경우, 메일보안 검사정보로 합산되는 스코어는 '7'로 획득될 수 있다. 이 때, 사전 설정된 보안위협 판별정보의 기준으로 종합 스코어가 0-3의 범위일 시 정상메일, 4-6의 범위일 시 그레이메일, 7-12의 범위일 시 비정상메일로 분류될 수 있다. 이에 따라, 상기 메일보안 검사정보가 '7'인 메일은 비정상메일로 판별될 수 있다. 그리고 상기 메일정보 검사정보에 포함되는 각각의 검사정보 항목의 결과값은 항목에 따라 절대적인 우선순위가 지정되거나 가중치에 따른 정보로 우선순위가 정해질 수 있다.
이에 따라, 도 3(b)에 도시된 바와 같이, 메일 처리부(150)는 메일분배 처리부(151), 메일폐기 처리부(152), 메일 무해화 처리부(153)를 포함한다.
상기 메일 처리부(150)는 상기 보안위협 판별정보에 따라 정상메일로 판별된 메일에 대하여, 상기 사용자단말이 처리 가능한 수신 또는 발신 상태로 처리하는 메일분배 처리부(151)를 포함할 수 있다.
또한 상기 메일 처리부(150)는 상기 보안위협 판별정보에 따라 비정상메일로 판별된 메일에 대하여, 상기 사용자단말의 접근이 불가능한 상태로 처리하는 메일폐기 처리부(152)를 더 포함할 수 있다.
추가적으로 상기 메일 처리부(150)는 상기 보안위협 판별정보에 따라 그레이메일로 판별된 메일에 대하여, 상기 그레이메일을 비실행파일 콘텐츠로 변환 처리하고 상기 사용자단말이 메일 상태를 선택적으로 처리할 수 있도록 제공하는 메일 무해화 처리부(153)를 더 포함할 수 있다.
일반적으로 상기 그레이메일은 스팸메일 또는 정크메일로 구분될 수도 있고 반대로 정상메일로 구분될 수 있다. 본 발명에서는 상기 그레이메일은 보안위협 판별정보가 정상 또는 비정상으로 확정할 수 없는 일정 범위 내에서의 중간 값으로 산출되었을 경우 구분되는 메일 유형으로 정의할 수 있다. 상기 메일 무해화 처리부(153)는 의심되는 내용 본문 등을 포함한 그레이메일을 이미지 파일로 변환하고 사용자단말(200)이 확인 가능한 메일 상태로 제공할 수 있다. 또한 상기 메일 무해화 처리부(153)는 첨부파일 내 악성코드로 의심되는 부문을 제거 또는 수정하여 사용자단말(200)로 제공할 수 있다.
한편, 사용자 정보 관리부(160)는 상기 사용자 단말(10)의 사용자 정보를 저장 및 관리할 수 있으며, 사용자 정보는 예를 들어, 사용자 이름 정보, 이메일 계정 정보, 접속 IP 정보, 전화번호 정보, 접속 기기 정보, MAC 정보 등 중 적어도 하나를 포함할 수 있다.
그리고, 레코드 관리부(170)는 상기 보안위협 판별정보에 따라 처리된 상기 메일정보를 레코드정보로 저장하고 관리할 수 있다. 상기 레코드 관리부(170)는 상기 보안위협 판별정보에 따라 정상메일로 처리되는 경우, 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅, 메일 내용 본문 정보 등을 포함하는 상기 레코드정보를 신뢰인증로그로 저장하고 관리하는 관계정보 관리부(171)를 더 포함할 수 있다. 이를 통해 상기 신뢰인증로그는 수신자와 발신자 메일정보에 대하여 신뢰할 수 있는 관계정보 분석에 활용될 수 있다. 또한 상기 신뢰인증로그에 포함된 정보는 상호 간 정보 교환을 통해 지속적으로 데이터가 축적되면서 신뢰도가 보장될 수 있다.
또한 상기 레코드 관리부(170)는 상기 보안위협 판별정보에 따라 비정상메일로 처리되는 경우, 수신 메일 도메인, 발신 메일 도메인, 수신 메일 주소, 발신 메일 주소, 메일 라우팅, 메일 내용 본문 정보 등을 포함하는 상기 레코드정보를 메일보안 프로세스 수행 시 비정상 메일 판단 지표로 활용될 수 있다.
취약점 테스트부(180)는 상기 보안위협 판별정보에 따라 비정상메일로 판별된 메일에 대하여, 상기 비정상메일을 비실행파일 콘텐츠로 변환시켜 상기 사용자단말에서 수신 또는 발신 처리가 될 수 있도록 제공할 수 있다. 상기 취약점 테스트부(180)는 상기 비정상메일에 대하여 수신 또는 발신 처리한 상기 사용자단말의 식별정보를 획득하여 유형별 취약정보로 저장 및 관리하는 취약정보 관리부(181)를 포함할 수 있다.
한편, 메일 서버 접속 보안 인증 처리부(190)는, 통신부(125)를 통해, 메일 접속 보안 시스템의 상기 보안 망 외부로 사전 배포된 메일 통신 프로토콜 기반 접속 경로 정보에 기반하여, 외부 메일 접속 장치(400)로부터 수신되는 메일 서버 접속 요청 정보가 수신되면, 상기 보안위협 검사부(130) 및 상기 메일 처리부(150)에서 이용되는 메일 엔진용 통신 프로토콜 처리 모듈에 상기 메일 서버 접속 요청 정보를 입력하여, 상기 메일 서버 접속 요청 정보에 포함된 하나 이상의 세부 접속 정보를 획득하며, 상기 하나 이상의 세부 접속 정보를 이용한 접속 차단 여부를 결정하는 인증 처리를 수행한다.
이를 위해, 도 4를 참조하면, 메일 서버 접속 보안 인증 처리부(190)는, 메일 서버 접속 요청 정보 처리부(191), 차단여부 결정부(193), 접속 차단 처리부(195), 인증 처리부(197) 및 접속 정보 모니터링부(199)를 포함한다.
보다 구체적으로, 먼저 메일 서버 접속 요청 정보 처리부(191)는, 통신부(125)를 통해 상기 메일 접속 보안 시스템의 상기 보안 망 외부로 사전 배포된 메일 통신 프로토콜 기반 접속 경로 정보에 기반하여, 외부 메일 접속 장치로부터 수신되는 메일 서버 접속 요청 정보를 수신 처리할 수 있다.
이를 위해, 메일 서버 접속 요청 정보 처리부(191)는, 메일 보안 장치(100)에 대응하여 사전 설정된 메일 통신 프로토콜 기반 접속 경로 정보를 구성하고, 사전 설정된 메일 통신 프로토콜 기반 접속 경로 정보를 외부 메일 접속 장치(400)로 배포할 수 있다. 여기서, 배포 방식은 공중망 또는 기타 사설 서버를 통해 브로드캐스팅하거나, 접속 가능한 별도의 안내 서버에서 제공되는 웹 페이지상에 업로드하거나, 이메일 또는 기타 다양한 포맷의 전자 메시지 등으로 전달하는 방식 등, 다양한 방식이 예시될 수 있다.
이에 따라, 메일 서버 접속 요청 정보 처리부(191)는, 전송 레이어 보안 프로토콜(TLS) 기반으로 암호화된 메일 엔진용 통신 프로토콜로 구성된 외부 메일 접속 장치(400)의 메일 서버 접속 요청 정보를 통신부(125)를 통해 수신할 수 있게 된다. 앞서 설명한 바와 같이, TLS 방식으로 암호화된 메일 엔진용 통신 프로토콜은, SMTP(Simple Mail Trasnfer Protococl) 표준 프로토콜, POP3(Post Office Protocol 3) 표준 프로토콜, IMAP(Internet Message Access Protocol) 표준 프로토콜, MAPI(Messageing Application Programming Interface) 표준 프로토콜 중 적어도 하나가 이용될 수 있다.
그리고, 메일 서버 접속 요청 정보 처리부(191)는, 상기 보안위협 검사부(130) 및 상기 메일 처리부(150)에서 이용되는 제어부(110)의 메일 엔진용 통신프로토콜 처리 모듈에 상기 메일 서버 접속 요청 정보를 입력하여, 상기 메일 서버 접속 요청 정보에 포함된 하나 이상의 세부 접속 정보를 획득할 수 있으며, 세부 접속 정보는 차단여부 결정부(193)로 전달될 수 있다.
여기서, 상기 세부 접속 정보는, 이메일 서버 접속 요청 패킷의 적어도 일부를, 메일 엔진용 통신 프로토콜에 따라 복호화하여 획득되는 것으로서, 메일 사용자 식별 정보, 암호화된 메일 사용자 암호 정보, 기기 식별 정보, 접속 IP 정보, 접속 위치 정보, 접속 시간 정보, 상기 메일 엔진용 통신 프로토콜 식별 정보 중 적어도 하나를 포함할 수 있다.
즉, 메일 서버 접속 요청 정보는, 외부 메일 접속 장치(400)에서 종래의 메일 서버(300)에 접속하고자 하는 요청 정보를 메일 엔진용 통신 프로토콜에 따라 암호화한 정보로서, 메일 서버 접속 요청 정보 처리부(191)는 메일 서버 접속 요청 정보 중 적어도 일부를, 메일 엔진용 통신 프로토콜 처리 모듈을 이용해 복호화하고, 세부 접속 정보를 추출하여 차단여부 결정부(193)로 전달할 수 있는 것이다.
그리고, 차단여부 결정부(193)는, 상기 세부 접속 정보를 이용하여, 상기 메일 서버 접속 요청 정보가 메일 엔진용 통신 프로토콜 기반 접속 공격에 대응할 가능성을 미리 산출하고, 메일 엔진용 통신 프로토콜 기반 접속 공격에 대응될 가능성이 임계치 이상인 경우 그 메일 서버 접속 요청 정보에 대한 차단을 처리할 수 있다.
이를 위해, 차단여부 결정부(193)는, 사전 설정된 접속 차단 알고리즘에 따라, 상기 세부 접속 정보를 이용한 메일 엔진용 통신 프로토콜 기반 접속 공격 여부와 차단 여부를 결정할 수 있다.
예를 들어, 차단여부 결정부(193)는, 상기 메일 사용자 식별 정보에 대응하여 사전 구성된 차단 정책 정보와, 상기 기기 식별 정보, 접속 IP 정보, 접속 위치 정보, 접속 시간 정보, 상기 메일 엔진용 통신 프로토콜 식별 정보 중 적어도 하나가 매칭되는 경우, 상기 접속 차단 여부를 차단으로 결정할 수 있다.
이러한, 차단 정책 정보는, 상기 메일 사용자 식별 정보에 대응하여 미리 수집된 활동 정보의 학습 데이터에 따라 가변적으로 구성되는 학습 기반 차단 정책 정보를 포함할 수 있으며, 상기 활동 정보는 상기 메일 사용자 식별 정보에 대응하는 기기 식별 정보, 접속 IP 정보, 접속 위치 정보, 접속 시간 정보, 메일 엔진용 통신 프로토콜 식별 정보 중 적어도 하나를 포함할 수 있다.
여기서, 상기 학습 데이터에 따라 학습 데이터에 따라 가변적으로 구성되는 학습 기반 차단 정책 정보는, 상기 메일 사용자 식별 정보에 대응하는 기기 식별 정보, 접속 IP 정보, 접속 위치 정보, 접속 시간 정보, 메일 엔진용 통신 프로토콜 식별 정보를, 사전 설정된 공격 케이스의 학습 데이터와 딥러닝 기반 연관 학습시킨 기계 학습 모델에 의해 구성될 수 있다. 여기서, 딥러닝 기반 연관 학습 기술은 잘 알려진 CNN, RNN, DNN, LSTM, 회귀분석 등 다양한 기계학습 기술들이 이용될 수 있다.
예를 들어, 본 발명의 실시 예에 따른 차단여부 결정부(193)는, 외부 메일 접속 장치(400)의 메일 엔진용 통신 프로토콜 기반 접속 요청 정보로부터 획득되는 세부 접속 정보의 IP 정보가, 미리 학습되거나 차단 정책 정보에서 지정된 IP 주소와 상이한 경우, 그 외부 메일 접속 장치(400)의 접속을 차단 처리할 수 있다.
또한, 예를 들어 본 발명의 실시 예에 따른 차단여부 결정부(193)는, 외부 메일 접속 장치(400)의 메일 엔진용 통신 프로토콜 기반 접속 요청 정보로부터 획득되는 세부 접속 정보의 접속 국가 정보가, 미리 학습되거나 차단 정책 정보에서 지정된 국가 정보와 상이한 경우, 그 외부 메일 접속 장치(400)의 접속을 차단 처리할 수 있다.
또한, 예를 들어 본 발명의 실시 예에 따른 차단여부 결정부(193)는, 외부 메일 접속 장치(400)의 메일 엔진용 통신 프로토콜 기반 접속 요청 정보로부터 획득되는 세부 접속 정보의 메일 엔진용 통신 프로토콜 식별 정보가, 미리 학습되거나 차단 정책 정보에서 지정된 메일 엔진용 통신 프로토콜 식별 정보와 상이한 경우, 그 외부 메일 접속 장치(400)의 접속을 차단 처리할 수 있다. 보다 구체적으로, 차단여부 결정부(193)는, 특정 사용자가 POP3 프로토콜만을 이용하여 일정 기간 이상 이메일 어플리케이션을 사용하고 있었는데, 갑자기 외부 메일 접속 장치(400)에서 다른 IMAP과 같은 프로토콜을 이용한 접속이 일정 시간 이내 일정 횟수 이상 발생된 경우, 그 외부 메일 접속 장치(400)의 접속을 차단 처리할 수 있는 것이다.
또한, 예를 들어 본 발명의 실시 예에 따른 차단여부 결정부(193)는, 외부 메일 접속 장치(400)의 메일 엔진용 통신 프로토콜 기반 접속 요청 정보로부터 획득되는 세부 접속 정보의 기기 식별 정보가, 미리 학습되거나 차단 정책 정보에서 지정된 기기 식별 정보와 상이한 경우에도, 그 외부 메일 접속 장치(400)의 접속을 차단 처리할 수 있다.
차단여부 결정부(193)는, 이러한 차단을 위한 일정 시간 조건 및 횟수 조건을 미리 설정할 수 있다. 예를 들어, 공격 가능성이 임계치 이상 높게 판단되거나, 차단 정책에 매칭되지 않는 세부 접속 정보를 갖는 메일 엔진용 통신 프로토콜 기반 접속 요청 정보가 일정 시간 이내에 일정 횟수 이상 수신된 경우, 그 접속을 차단 처리할 수 있는 것이다. 이러한 시간 및 횟수 설정은 각 세부 접속 정보의 종류 및 유형마다 상이하게 처리될 수 있다.
한편, 접속 차단 처리부(195)는, 차단여부 결정부(193)에서 차단으로 결정된 외부 메일 접속 장치(400)의 메일 서버(300) 접속을 차단 처리할 수 있다. 다만, 접속 차단 처리부(195)는, 차단 처리에 앞서 사용자 단말(10)로의 질의에 따른 응답 정보를 확인하고, 응답 정보에 따른 접속 차단 수행 여부를 결정할 수 있다.
예를 들어, 접속 차단 처리부(195)는, 차단여부 결정부(193)에서 상기 메일 사용자 식별 정보에 대응하여 미리 설정된 메일 엔진용 통신 프로토콜 식별 정보와, 상기 메일 엔진용 통신 프로토콜 식별 정보가 상이하여 차단으로 결정된 메일 엔진용 통신 프로토콜 기반 접속 요청 정보에 대응하여, 상기 메일 사용자 식별 정보에 대응하여 미리 설정된 사용자 단말(10)로 상기 메일 서버 접속 요청 정보의 차단 여부를 질의할 수 있으며, 상기 질의에 대응하여 상기 사용자 단말(10)로부터 수신되는 응답 데이터에 따라, 상기 접속 차단 여부를 차단으로 결정하고, 외부 메일 접속 장치(400)와의 접속을 차단할 수 있다. 접속 차단 처리부(195)는 접속 차단에 따른 차단 응답 정보를 구성하여, 외부 메일 접속 장치(400)로 전송할 수 있다.
이에 따라, 공격자로 판단된 외부 메일 접속 장치(400)에서는 메일 엔진용 통신 프로토콜 기반 메일 서버(300) 통신이 차단되며, 별도의 경로를 통해 본인 인증 등의 차단 해제를 수행하여야만 정상적인 메일 엔진용 통신 프로토콜 기반 메일 서버(300)와의 데이터 송수신이 가능하게 될 수 있다.
나아가, 접속 차단 처리부(195)는 접속 차단 처리된 메일 엔진용 통신 프로토콜 기반 접속 요청 정보의 세부 접속 정보를 접속 정보 모니터링부(199)로 전달할 수 있다.
그리고, 접속 정보 모니터링부(199)는, 접속 차단 처리된 메일 엔진용 통신 프로토콜 기반 접속 요청 정보의 세부 접속 정보를 분석하여, 그 공격 유형을 분류 판단할 수 있다. 예를 들어, 접속 정보 모니터링부(199)는, 동일 계정에 대응하는 반복적인 이메일 계정 로그인 시도가 확인되는 경우, 비밀번호 탈취 공격으로 판단할 수 있으며, 다수의 계정이 전혀 다른 국가에서 대량 접속되는 경우 스팸 또는 악성코드 공격으로 판단할 수도 있다.
그리고, 접속 정보 모니터링부(199)는, 분류된 공격 유형 정보를 리포트 인터페이스로 구성하여 사용자 단말(10)로 제공할 수 있다.
한편, 인증 처리부(197)는, 상기 접속 차단 여부 결정에 따라 차단되지 않은 상기 메일 서버 접속 요청 정보에 기초하여, 상기 메일 사용자 식별 정보 및 상기 암호화된 메일 사용자 암호 정보를 포함하는 인증 질의 정보를 메일 서버(300)로 전달하고, 상기 인증 질의 정보에 대응하는 상기 메일 서버(300)의 인증 응답에 따라, 상기 메일 서버 접속 요청 정보를 상기 메일 서버(300)로 전달할 수 있다.
그리고, 인증 처리부(197)는, 상기 메일 서버(300)로부터, 상기 메일 서버 접속 요청 정보에 대응하는 메일 서버 접속 응답 정보를 획득하고, 상기 메일 서버 접속 응답 정보를 상기 외부 메일 접속 장치(400)로 전송할 수 있다.
이에 따라, 인증 처리부(197)는, 접속 차단되지 않은 정상적 메일 엔진용 통신 프로토콜 기반의 접속을 허용할 수 있으며, 접속 인증 이후의 수발신 되는 메일 데이터는 보안위협 검사부(130) 및 메일 처리부(150)를 통해 보호 처리되는 바, 시스템 취약점이 해소되어 안전한 메일 보안 시스템을 제공할 수 있게 된다.
본 발명의 실시 예에서, 수신 메일 보안 장치(100)의 동작을 위주로 설명하였으나, 메일 엔진용 프로토콜 기반의 메일 서버 접속 요청 정보의 차단 기능 및 동작은 발신 메일 보안 장치(200)의 경우에도 동일하게 구성될 수 있다. 따라서, 본 발명의 실시 예에 따른 메일 서버 접속 보안 인증 처리부(190)는, 발신 메일 보안 장치(200)와 연동하더라도, 동일한 방식으로 동작할 수 있다. 즉, 앞서 설명한 바와 같이, 본 발명의 실시 예에 따른 수신 메일 보안 장치(100) 및 발신 메일 보안 장치(200)는, 메일 서버 접속 보안 인증 처리부(190)를 공통으로 구비하는 하나의 메일 보안 장치를 구성할 수 있으며, 그 명칭에 의해 제한되는 것은 아니다.
도 5는 본 발명의 실시 예에 따른 메일 보안 장치의 동작을 설명하기 위한 흐름도이다.
도 5를 참조하면, 본 발명의 실시 예에 따른 메일 보안 장치(100)는, 먼저 보안 망 외부로 사전 배포된 메일 통신 프로토콜 기반 접속 경로 정보에 기반하여, 외부 메일 접속 장치(400)로부터 수신되는 메일 서버 접속 요청 정보를 수신한다(S101).
그리고, 메일 보안 장치(100)는, 메일 엔진용 통신 프로토콜 처리 모듈에 상기 메일 서버 접속 요청 정보를 입력하여, 상기 메일 서버 접속 요청 정보에 포함된 하나 이상의 세부 접속 정보를 획득한다(S103).
이후, 메일 보안 장치(100)는, 세부 접속 정보에 기초하여, 접속 차단 여부를 결정한다(S105).
접속 차단으로 결정된 경우, 메일 보안 장치(100)는, 메일 사용자 식별 정보 및 암호화된 메일 사용자 암호 정보를 포함하는 인증 질의 정보를 메일 서버(300)로 전달한다(S109).
그리고, 메일 보안 장치(100)는, 상기 메일 서버(300)로부터, 상기 메일 서버 접속 요청 정보에 대응하는 메일 서버 접속 응답 정보를 획득하하여, 상기 외부 메일 접속 장치로 전송한다(S111).
이후, 메일 보안 장치(100)는, 인증된 외부 메일 접속 장치와의 메일 데이터의 수발신 모니터링을 수행하여(S113), 보안위협 검사를 수행하고, 메일 내용에 따라 스팸 메일, 악성 메일, 사회공학적 공격 등을 더 차단할 수 있다.
한편, S105 단계에서 접속 차단으로 결정된 경우, 메일 보안 장치(100)는 외부 메일 접속 장치(400)의 상기 메일 서버 접속 요청 정보의 상기 메일 서버(300)로의 전달을 차단한다(S107).
여기서, 상기 차단에 의한 차단 응답 정보가 구성되어, 외부 메일 접속 장치(400)로 전달될 수 있다. 차단 응답 정보는 예를 들어, 별도의 외부 사용자 인증 요청 정보가 포함될 수 있다. 이 경우, 외부 메일 접속 장치(400)는 별도의 외부 사용자 인증을 수행하고, 인증 값을 포함하는 메일 서버 접속 요청 정보를 구성하여, 메일 보안 장치(100)로 다시 요청할 수도 있으며, 이러한 인증 값이 포함된 메일 서버 접속 요청 정보가 수신된 경우 메일 보안 장치(100)는, 접속 차단을 해제하고, S109 내지 S113 단계를 다시 수행할 수 있다.
상술한 본 발명에 따른 방법은 컴퓨터에서 실행되기 위한 프로그램으로 제작되어 컴퓨터가 읽을 수 있는 기록 매체에 저장될 수 있으며, 컴퓨터가 읽을 수 있는 기록 매체의 예로는 ROM, RAM, CD-ROM, 자기 테이프, 플로피디스크, 광 데이터 저장장치 등이 있다.
컴퓨터가 읽을 수 있는 기록 매체는 네트워크로 연결된 컴퓨터 시스템에 분산되어, 분산방식으로 컴퓨터가 읽을 수 있는 코드가 저장되고 실행될 수 있다. 그리고, 상기 방법을 구현하기 위한 기능적인(function) 프로그램, 코드 및 코드 세그먼트들은 본 발명이 속하는 기술분야의 프로그래머들에 의해 용이하게 추론될 수 있다.
또한, 이상에서는 본 발명의 바람직한 실시 예에 대하여 도시하고 설명하였지만, 본 발명은 상술한 특정의 실시 예에 한정되지 아니하며, 청구범위에서 청구하는 본 발명의 요지를 벗어남이 없이 당해 발명이 속하는 기술분야에서 통상의 지식을 가진 자에 의해 다양한 변형 실시가 가능한 것은 물론이고, 이러한 변형 실시들은 본 발명의 기술적 사상이나 전망으로부터 개별적으로 이해되어서는 안될 것이다.

Claims (19)

  1. 메일 접속 보안 시스템의 보안 망을 구성하며, 수신 메일에 대응하는 보안위협 검사를 수행하는 보안위협 검사부 및 상기 보안위협 검사가 완료된 메일을 상기 보안 망 내부의 메일 서버로 전달하는 메일 처리부를 구비한 메일 보안 장치의 동작 방법에 있어서,
    상기 메일 보안 장치가, 상기 메일 접속 보안 시스템의 상기 보안 망 외부로 사전 배포된 메일 통신 프로토콜 기반 접속 경로 정보에 기반하여, 외부 메일 접속 장치로부터 수신되는 메일 서버 접속 요청 정보를 수신하는 단계;
    상기 메일 보안 장치가, 상기 보안위협 검사부 및 상기 메일 처리부에서 이용되는 메일 엔진용 통신 프로토콜 처리 모듈에 상기 메일 서버 접속 요청 정보를 입력하여, 상기 메일 서버 접속 요청 정보에 포함된 하나 이상의 세부 접속 정보를 획득하는 단계;
    상기 메일 보안 장치에서, 상기 하나 이상의 세부 접속 정보를 이용한 접속 차단 여부를 결정하는 단계; 및
    상기 메일 보안 장치에서, 상기 결정된 접속 차단여부에 따라, 상기 메일 서버 접속 요청 정보의 상기 메일 서버로의 전달을 차단하는 단계를 포함하는
    메일 보안 장치의 동작 방법.
  2. 제1항에 있어서,
    상기 메일 서버 접속 요청 정보는,
    통신 프로토콜은 전송 레이어 보안 프로토콜(TLS) 기반으로 암호화된 메일 엔진용 통신 프로토콜로 구성된 것을 특징으로 하는
    메일 보안 장치의 동작 방법.
  3. 제2항에 있어서,
    상기 메일 엔진용 통신 프로토콜은 SMTP(Simple Mail Trasnfer Protococl) 표준 프로토콜, POP3(Post Office Protocol 3) 표준 프로토콜, IMAP(Internet Message Access Protocol) 표준 프로토콜, MAPI(Messageing Application Programming Interface) 표준 프로토콜 중 적어도 하나를 포함하는
    메일 보안 장치의 동작 방법.
  4. 제1항에 있어서,
    상기 하나 이상의 세부 접속 정보는, 메일 사용자 식별 정보, 암호화된 메일 사용자 암호 정보, 기기 식별 정보, 접속 IP 정보, 접속 위치 정보, 접속 시간 정보, 상기 메일 엔진용 통신 프로토콜 식별 정보 중 적어도 하나를 포함하는
    메일 보안 장치의 동작 방법.
  5. 제4항에 있어서,
    상기 접속 차단 여부를 결정하는 단계는,
    상기 메일 사용자 식별 정보에 대응하여 사전 구성된 차단 정책 정보와, 상기 기기 식별 정보, 접속 IP 정보, 접속 위치 정보, 접속 시간 정보, 상기 메일 엔진용 통신 프로토콜 식별 정보 중 적어도 하나가 매칭되는 경우, 상기 접속 차단 여부를 차단으로 결정하는 단계를 포함하는
    메일 보안 장치의 동작 방법.
  6. 제5항에 있어서,
    상기 차단 정책 정보는, 상기 메일 사용자 식별 정보에 대응하여 미리 수집된 활동 정보의 학습 데이터에 따라 가변적으로 구성되는 학습 기반 차단 정책 정보를 포함하고,
    상기 활동 정보는 상기 메일 사용자 식별 정보에 대응하는 기기 식별 정보, 접속 IP 정보, 접속 위치 정보, 접속 시간 정보, 메일 엔진용 통신 프로토콜 식별 정보 중 적어도 하나를 포함하는
    메일 보안 장치의 동작 방법.
  7. 제4항에 있어서,
    상기 접속 차단 여부를 결정하는 단계는,
    상기 메일 사용자 식별 정보에 대응하여 미리 설정된 메일 엔진용 통신 프로토콜 식별 정보와, 상기 메일 엔진용 통신 프로토콜 식별 정보가 상이한 경우, 상기 메일 사용자 식별 정보에 대응하여 미리 설정된 사용자 단말로 상기 메일 서버 접속 요청 정보의 차단 여부를 질의하는 단계; 및
    상기 질의에 대응하여 상기 사용자 단말로부터 수신되는 응답 데이터에 따라, 상기 접속 차단 여부를 차단으로 결정하는 단계를 포함하는
    메일 보안 장치의 동작 방법.
  8. 제4항에 있어서,
    상기 접속 차단 여부 결정에 따라 차단되지 않은 상기 메일 서버 접속 요청 정보에 기초하여, 상기 메일 사용자 식별 정보 및 상기 암호화된 메일 사용자 암호 정보를 포함하는 인증 질의 정보를 메일 서버로 전달하는 단계; 및
    상기 인증 질의 정보에 대응하는 상기 메일 서버의 인증 응답에 따라, 상기 메일 서버 접속 요청 정보를 상기 메일 서버로 전달하는 단계를 포함하는
    메일 보안 장치의 동작 방법.
  9. 제8항에 있어서,
    상기 메일 서버로부터, 상기 메일 서버 접속 요청 정보에 대응하는 메일 서버 접속 응답 정보를 획득하는 단계; 및
    상기 메일 서버 접속 응답 정보를 상기 외부 메일 접속 장치로 전송하는 단계를 포함하는
    메일 보안 장치의 동작 방법.
  10. 메일 접속 보안 시스템의 보안 망을 구성하며, 수신 메일에 대응하는 보안위협 검사를 수행하는 보안위협 검사부 및 상기 보안위협 검사가 완료된 메일을 상기 보안 망 내부의 메일 서버로 전달하는 메일 처리부를 구비한 메일 보안 장치에 있어서;
    상기 메일 접속 보안 시스템의 상기 보안 망 외부로 사전 배포된 메일 통신 프로토콜 기반 접속 경로 정보에 기반하여, 외부 메일 접속 장치로부터 수신되는 메일 서버 접속 요청 정보를 수신하는 통신부;
    상기 보안위협 검사부 및 상기 메일 처리부에서 이용되는 메일 엔진용 통신 프로토콜 처리 모듈에 상기 메일 서버 접속 요청 정보를 입력하여, 상기 메일 서버 접속 요청 정보에 포함된 하나 이상의 세부 접속 정보를 획득하는 메일 서버 접속 요청 정보 처리부;
    상기 메일 보안 장치에서, 상기 하나 이상의 세부 접속 정보를 이용한 접속 차단 여부를 결정하는 차단여부 결정부; 및
    상기 메일 보안 장치에서, 상기 결정된 접속 차단여부에 따라, 상기 메일 서버 접속 요청 정보의 상기 메일 서버로의 전달을 차단하는 접속 차단 처리부를 포함하는
    메일 보안 장치.
  11. 제10항에 있어서,
    상기 메일 서버 접속 요청 정보는,
    통신 프로토콜은 전송 레이어 보안 프로토콜(TLS) 기반으로 암호화된 메일 엔진용 통신 프로토콜로 구성된 것을 특징으로 하는
    메일 보안 장치.
  12. 제11항에 있어서,
    상기 메일 엔진용 통신 프로토콜은 SMTP(Simple Mail Trasnfer Protococl) 표준 프로토콜, POP3(Post Office Protocol 3) 표준 프로토콜, IMAP(Internet Message Access Protocol) 표준 프로토콜, MAPI(Messageing Application Programming Interface) 표준 프로토콜 중 적어도 하나를 포함하는
    메일 보안 장치.
  13. 제10항에 있어서,
    상기 하나 이상의 세부 접속 정보는, 메일 사용자 식별 정보, 암호화된 메일 사용자 암호 정보, 기기 식별 정보, 접속 IP 정보, 접속 위치 정보, 접속 시간 정보, 상기 메일 엔진용 통신 프로토콜 식별 정보 중 적어도 하나를 포함하는
    메일 보안 장치.
  14. 제13항에 있어서,
    상기 접속 차단 처리부는,
    상기 메일 사용자 식별 정보에 대응하여 사전 구성된 차단 정책 정보와, 상기 기기 식별 정보, 접속 IP 정보, 접속 위치 정보, 접속 시간 정보, 상기 메일 엔진용 통신 프로토콜 식별 정보 중 적어도 하나가 매칭되는 경우, 상기 접속 차단 여부를 차단으로 결정하는
    메일 보안 장치.
  15. 제14항에 있어서,
    상기 차단 정책 정보는, 상기 메일 사용자 식별 정보에 대응하여 미리 수집된 활동 정보의 학습 데이터에 따라 가변적으로 구성되는 학습 기반 차단 정책 정보를 포함하고,
    상기 활동 정보는 상기 메일 사용자 식별 정보에 대응하는 기기 식별 정보, 접속 IP 정보, 접속 위치 정보, 접속 시간 정보, 메일 엔진용 통신 프로토콜 식별 정보 중 적어도 하나를 포함하는
    메일 보안 장치.
  16. 제13항에 있어서,
    상기 접속 차단 처리부는,
    상기 메일 사용자 식별 정보에 대응하여 미리 설정된 메일 엔진용 통신 프로토콜 식별 정보와, 상기 메일 엔진용 통신 프로토콜 식별 정보가 상이한 경우, 상기 통신부를 통해 상기 메일 사용자 식별 정보에 대응하여 미리 설정된 사용자 단말로 상기 메일 서버 접속 요청 정보의 차단 여부를 질의하고, 상기 질의에 대응하여 상기 사용자 단말로부터 상기 통신부를 통해 수신되는 응답 데이터에 따라, 상기 접속 차단 여부를 차단으로 결정하는
    메일 보안 장치.
  17. 제10항에 있어서,
    상기 접속 차단 여부 결정에 따라 차단되지 않은 상기 메일 서버 접속 요청 정보에 기초하여, 상기 메일 사용자 식별 정보 및 상기 암호화된 메일 사용자 암호 정보를 포함하는 인증 질의 정보를 메일 서버로 전달하고, 상기 인증 질의 정보에 대응하는 상기 메일 서버의 인증 응답에 따라, 상기 메일 서버 접속 요청 정보를 상기 메일 서버로 전달하는 인증 처리부를 포함하는
    메일 보안 장치.
  18. 제17항에 있어서,
    상기 인증 처리부는,
    상기 메일 서버로부터, 상기 메일 서버 접속 요청 정보에 대응하는 메일 서버 접속 응답 정보를 획득하고, 상기 메일 서버 접속 응답 정보를 상기 외부 메일 접속 장치로 전송하는
    메일 보안 장치.
  19. 제1항 내지 제9항 중 어느 한 항에 기재된 발명을 컴퓨터에서 실행시키기 위해 컴퓨터 판독 가능한 비 휘발성 기록 매체에 저장되는 컴퓨터 프로그램.
PCT/KR2023/010365 2022-07-22 2023-07-19 이메일 통신 프로토콜 기반 접속 관리 및 차단 기능을 제공하는 메일 접속 보안 시스템의 메일 보안 처리 장치 및 그 동작 방법 WO2024019506A1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2023578197A JP2024532043A (ja) 2022-07-22 2023-07-19 電子メール通信プロトコルベースの接続管理及び遮断機能を提供するメール接続セキュリティシステムのメールセキュリティ処理装置及びその動作方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020220091025A KR102494546B1 (ko) 2022-07-22 2022-07-22 이메일 통신 프로토콜 기반 접속 관리 및 차단 기능을 제공하는 메일 접속 보안 시스템의 메일 보안 처리 장치 및 그 동작 방법
KR10-2022-0091025 2022-07-22

Publications (1)

Publication Number Publication Date
WO2024019506A1 true WO2024019506A1 (ko) 2024-01-25

Family

ID=85224345

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2023/010365 WO2024019506A1 (ko) 2022-07-22 2023-07-19 이메일 통신 프로토콜 기반 접속 관리 및 차단 기능을 제공하는 메일 접속 보안 시스템의 메일 보안 처리 장치 및 그 동작 방법

Country Status (3)

Country Link
JP (1) JP2024532043A (ko)
KR (1) KR102494546B1 (ko)
WO (1) WO2024019506A1 (ko)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102494546B1 (ko) * 2022-07-22 2023-02-06 (주)기원테크 이메일 통신 프로토콜 기반 접속 관리 및 차단 기능을 제공하는 메일 접속 보안 시스템의 메일 보안 처리 장치 및 그 동작 방법

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20060026666A (ko) * 2004-09-21 2006-03-24 주식회사 케이티 아이피-기반 스팸메일 차단 시스템 및 그 방법
KR101666614B1 (ko) * 2015-07-06 2016-10-14 (주)다우기술 이력을 이용한 지능형 지속 위협 탐지 시스템 및 방법
KR102176564B1 (ko) * 2020-04-22 2020-11-09 (주)리얼시큐 사칭 또는 위변조 메일 관리 방법 및 시스템
KR20210056196A (ko) * 2019-11-08 2021-05-18 삼성전자주식회사 무선 접속 네트워크상의 보안 위협 판단 방법 및 전자 장치
KR20220089459A (ko) * 2020-12-21 2022-06-28 (주)기원테크 보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법
KR102494546B1 (ko) * 2022-07-22 2023-02-06 (주)기원테크 이메일 통신 프로토콜 기반 접속 관리 및 차단 기능을 제공하는 메일 접속 보안 시스템의 메일 보안 처리 장치 및 그 동작 방법

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20060026666A (ko) * 2004-09-21 2006-03-24 주식회사 케이티 아이피-기반 스팸메일 차단 시스템 및 그 방법
KR101666614B1 (ko) * 2015-07-06 2016-10-14 (주)다우기술 이력을 이용한 지능형 지속 위협 탐지 시스템 및 방법
KR20210056196A (ko) * 2019-11-08 2021-05-18 삼성전자주식회사 무선 접속 네트워크상의 보안 위협 판단 방법 및 전자 장치
KR102176564B1 (ko) * 2020-04-22 2020-11-09 (주)리얼시큐 사칭 또는 위변조 메일 관리 방법 및 시스템
KR20220089459A (ko) * 2020-12-21 2022-06-28 (주)기원테크 보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법
KR102494546B1 (ko) * 2022-07-22 2023-02-06 (주)기원테크 이메일 통신 프로토콜 기반 접속 관리 및 차단 기능을 제공하는 메일 접속 보안 시스템의 메일 보안 처리 장치 및 그 동작 방법

Also Published As

Publication number Publication date
KR102494546B1 (ko) 2023-02-06
JP2024532043A (ja) 2024-09-05
KR102494546B9 (ko) 2023-04-17

Similar Documents

Publication Publication Date Title
WO2022139078A1 (ko) 보안 레벨 기반의 계층적 아키텍처를 이용한 이메일 보안 서비스 제공 장치 및 그 동작 방법
US10542006B2 (en) Network security based on redirection of questionable network access
US9661017B2 (en) System and method for malware and network reputation correlation
EP1681825B1 (en) Network-based security platform
CN114145004B (zh) 用于使用dns消息以选择性地收集计算机取证数据的系统及方法
US20080196085A1 (en) Communication Control Apparatus
WO2022145501A1 (ko) 메일 보안 기반의 제로데이 url 공격 방어 서비스 제공 장치 및 그 동작 방법
JP2008516306A (ja) ネットワークベースのセキュリティプラットフォーム
CN1656731A (zh) 基于多方法网关的网络安全系统和方法
US11392691B1 (en) System and method of securing e-mail against phishing and ransomware attack
US12003537B2 (en) Mitigating phishing attempts
WO2024019506A1 (ko) 이메일 통신 프로토콜 기반 접속 관리 및 차단 기능을 제공하는 메일 접속 보안 시스템의 메일 보안 처리 장치 및 그 동작 방법
US20060156400A1 (en) System and method for preventing unauthorized access to computer devices
JPWO2008062542A1 (ja) 通信制御装置
WO2023145995A1 (ko) 위협 요소의 정량 분석 기반 이메일 보안 진단 장치 및 그 동작 방법
WO2024158069A1 (ko) 메일 보안 방화벽 장치 및 그 동작 방법
Rm et al. A comprehensive approach for network security
WO2024029666A1 (ko) 표적형 이메일 공격 차단 및 대응을 위한 이메일 보안 시스템 및 그 동작 방법
WO2024029796A1 (ko) 비승인 이메일 서버 접근 공격 검사를 수행하는 표적형 이메일 공격 차단 및 대응을 위한 이메일 보안 시스템 및 그 동작 방법
KR20240019669A (ko) 표적형 이메일 공격 차단 및 대응을 위한 이메일 보안 시스템 및 그 동작 방법
JPWO2009066344A1 (ja) 通信制御装置、通信制御システム及び通信制御方法
JPWO2009066349A1 (ja) 通信制御装置及び通信制御方法
Prabadevi et al. IJCNC 06

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 2023578197

Country of ref document: JP

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 23843352

Country of ref document: EP

Kind code of ref document: A1