맞춤기술찾기

홈으로 가기
맞춤기술찾기
이전대상기술
프린트하기

이전대상기술

실행 가능한 코드 탐지 방법 및 장치

  • 기술번호 : KST2015087046
  • 담당센터 : 대전기술혁신센터
  • 전화번호 : 042-610-2279
상담신청 PDF 받기
요약, Int. CL, CPC, 출원번호/일자, 출원인, 등록번호/일자, 공개번호/일자, 공고번호/일자, 국제출원번호/일자, 국제공개번호/일자, 우선권정보, 법적상태, 심사진행상태, 심판사항, 구분, 원출원번호/일자, 관련 출원번호, 기술이전 희망, 심사청구여부/일자, 심사청구항수의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 서지정보 표입니다.
요약 본 발명은 실행 가능한 코드와 비실행 코드를 구분하기 위한 함수의 호출 메커니즘과 관련된 인스트럭션(instruction) 패턴 정보를 이용하여 네트워크 데이터내의 실행 가능한 코드의 존재 유무를 판단함으로써 추출된 시그니처의 신뢰도를 검증할 수 있는 실행 가능한 코드 탐지 방법 및 장치에 관한 것으로서, 공격으로 의심되는 네트워크 데이터를 역 어셈블하여 인스트럭션들을 추출한 후, 상기 추출된 인스트럭션들 각각을 함수 호출 메커니즘을 따르는 인스트럭션 패턴들과 비교하여, 실행 가능한 코드의 존재 여부를 판단한다. 보안, 실행 가능한 코드, 시그니처 검증, 함수 호출 메커니즘,
Int. CL H04L 12/26 (2006.01) H04L 12/22 (2006.01)
CPC
출원번호/일자 1020070025033 (2007.03.14)
출원인 한국전자통신연구원
등록번호/일자 10-0850361-0000 (2008.07.29)
공개번호/일자
공고번호/일자 (20080804) 문서열기
국제출원번호/일자
국제공개번호/일자
우선권정보
법적상태 소멸
심사진행상태 수리
심판사항
구분
원출원번호/일자
관련 출원번호
심사청구여부/일자 Y (2007.03.14)
심사청구항수 24

출원인

번호, 이름, 국적, 주소의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 인명정보 - 출원인 표입니다.
번호 이름 국적 주소
1 한국전자통신연구원 대한민국 대전광역시 유성구

발명자

번호, 이름, 국적, 주소의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 인명정보 - 발명자 표입니다.
번호 이름 국적 주소
1 김대원 대한민국 대전 유성구
2 최양서 대한민국 대전 유성구
3 김익균 대한민국 대전 유성구
4 오진태 대한민국 대전 유성구
5 장종수 대한민국 대전 유성구

대리인

번호, 이름, 국적, 주소의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 인명정보 - 대리인 표입니다.
번호 이름 국적 주소
1 특허법인씨엔에스 대한민국 서울 강남구 언주로 **길 **, 대림아크로텔 *층(도곡동)

최종권리자

번호, 이름, 국적, 주소의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 인명정보 - 최종권리자 표입니다.
번호 이름 국적 주소
1 한국전자통신연구원 대한민국 대전광역시 유성구
번호, 서류명, 접수/발송일자, 처리상태, 접수/발송일자의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 행정처리 표입니다.
번호 서류명 접수/발송일자 처리상태 접수/발송번호
1 특허출원서
Patent Application		 2007.03.14 수리 (Accepted) 1-1-2007-0205871-82
2 선행기술조사의뢰서
Request for Prior Art Search		 2007.12.28 수리 (Accepted) 9-1-9999-9999999-89
3 선행기술조사보고서
Report of Prior Art Search		 2008.01.15 수리 (Accepted) 9-1-2008-0004272-27
4 의견제출통지서
Notification of reason for refusal		 2008.02.26 발송처리완료 (Completion of Transmission) 9-5-2008-0100109-16
5 [거절이유 등 통지에 따른 의견]의견(답변, 소명)서
[Opinion according to the Notification of Reasons for Refusal] Written Opinion(Written Reply, Written Substantiation)		 2008.04.04 수리 (Accepted) 1-1-2008-0246529-11
6 [명세서등 보정]보정서
[Amendment to Description, etc.] Amendment		 2008.04.04 보정승인간주 (Regarded as an acceptance of amendment) 1-1-2008-0246530-68
7 등록결정서
Decision to grant		 2008.07.14 발송처리완료 (Completion of Transmission) 9-5-2008-0369448-64
8 출원인정보변경(경정)신고서
Notification of change of applicant's information		 2009.08.04 수리 (Accepted) 4-1-2009-5150899-36
9 출원인정보변경(경정)신고서
Notification of change of applicant's information		 2015.02.02 수리 (Accepted) 4-1-2015-0006137-44
번호, 청구항의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 청구항 표입니다.
번호 청구항
1 1
네트워크 데이터를 입력받는 단계;상기 입력된 네트워크 데이터를 역 어셈블하여 인스트럭션들을 만드는 단계;상기 만들어진 인스트럭션들이 함수 호출 메커니즘을 따르는 인스트럭션 패턴들과 일치하는지 비교하는 단계; 및상기 비교 결과에 따라서 상기 네트워크 데이터 속에 실행 가능한 코드가 존재하는 지 여부를 판단하는 단계를 포함하는 실행 가능한 코드 탐지 방법
2 2
제1항에 있어서, 상기 입력된 네트워크 데이터를 역 어셈블하기 전에, 상기 네트워크 데이터를 역 어셈블 가능하도록 가공하는 단계를 더 포함하는 실행 가능한 코드 탐지 방법
3 3
제2항에 있어서, 상기 네트워크 데이터를 역 어셈블 가능하도록 가공하는 단계는상기 네트워크 데이터들의 패킷들을 시그니처 별로 순서대로 저장하는 과정과,상기 순서대로 저장된 패킷들에서 단편화를 제거하는 과정과,상기 패킷들에서 프로토콜 헤더를 제거하고 페이로드만을 순서대로 연결하는 과정을 포함하는 것을 특징으로 하는 실행 가능한 코드 탐지 방법
4 4
제3항에 있어서, 상기 네트워크 데이터를 역 어셈블 가능하도록 가공하는 단계는, 상기 단편화를 제거한 후, 해당 패킷이 TCP 패킷인 경우 패킷을 재조합하는 과정을 더 포함하는 것을 특징으로 하는 실행 가능한 코드 탐지 방법
5 5
제1항에 있어서, 상기 네트워크 데이터가 입력되기 전에,함수 호출 메커니즘을 따르는 인스트럭션 패턴들을 설정하여, 그 인스트럭션 패턴 정보를 저장하는 단계를 더 포함하는 것을 특징으로 하는 실행 가능한 코드 탐지 방법
6 6
제5항에 있어서, 상기 인스트럭션 패턴 정보는,함수 호출 메커니즘을 따르는 패턴 조합의 식별 정보, 패턴 일치를 시도하기 위한 기준 인스트럭션 정보, 성공 횟수를 카운트하기 위해 일치하여야 하는 세부 인스트럭션 정보를 포함하는 것을 특징으로 하는 실행 가능한 코드 탐지 방법
7 7
제6항에 있어서, 상기 인스트럭션 패턴 정보는,상기 인스트럭션 패턴별로, 상기 세부 인스트럭션들을 만족시키는데 허용되는 최대 인스트럭션 간격, 실행 가능한 코드인 경우 최대 인스트럭션 간격 내에서 패턴이 일치될 확률인 상위 확률값, 비실행 코드인 경우 최대 인스트럭션 간격 내에서 패턴이 일치될 확률인 하위 확률값을 포함하는 것을 특징으로 하는 실행 가능한 코드 탐지 방법
8 8
제7항에 있어서, 상기 만들어진 인스트럭션들 각각이 함수 호출 메커니즘을 따르는 인스트럭션 패턴들과 일치하는지 비교하는 단계는,상기 만들어진 인스트럭션 각각에 대하여, 상기 인스트럭션 패턴들의 기준 인스트럭션과 일치하는 지를 판단하는 과정과,상기에서 기준 인스트럭션과 일치하면 해당 패턴에 대한 패턴 일치 비교 횟수를 카운트하고, 해당 인스트럭션 패턴의 세부 인스트럭션과 일치하는 지를 판단하는 과정과,상기에서 세부 인스트럭션과 일치하면, 해당 패턴에 대한 패턴 일치 성공 횟수를 카운트하는 과정을 포함하는 것을 특징으로 하는 실행 가능한 코드 탐지 방법
9 9
제8항에 있어서, 상기 실행 가능한 코드가 존재하는지 여부를 판단하는 단계는,상기 패턴 일치 비교 횟수에 대한 패턴 일치 성공 횟수의 비율을 패턴별로 구하는 과정과,상기 구해진 모든 비율값이 해당 인스트럭션 패턴의 하위 확률값 보다 크면 상기 네트워크 데이터에 실행 가능한 코드가 존재하는 것으로 판단하고, 그 반대인 경우, 실행 가능한 코드가 존재하지 않는 것으로 판단하는 과정을 포함하는 것을 특징으로 하는 실행 가능한 코드 탐지 방법
10 10
제9항에 있어서, 실행 가능한 코드가 존재하는 것으로 판단되는 경우, 해당 판단에 대한 신뢰도를 계산하는 단계를 더 포함하는 것을 특징으로 하는 실행 가능한 코드 탐지 방법
11 11
제10항에 있어서, 상기 신뢰도를 계산하는 단계는상기 패턴별 패턴 일치 비교 횟수에 대한 패턴 일치 성공 횟수의 비율들을 상위 확률값에 근접한 정도를 나타내는 상대 비율값으로 변환하는 과정과,상기 변환된 상대 비율값의 평균을 구하고, 상기 평균값을 신뢰도로 출력하는 과정을 포함하는 것을 특징으로 하는 실행 가능한 코드 탐지 방법
12 12
제11항에 있어서, 상기 신뢰도를 계산하는 단계는상기 변환된 상대 비율값의 평균을 구하기 전에, 각 패턴별 상대 비율값에 가중치를 부여하는 과정을 더 포함하는 것을 특징으로 하는 실행 가능한 코드 탐지 방법
13 13
제11항에 있어서, 상기 상대 비율값으로 변환하는 과정은,상기 하위 확률값을 0%로 상위 확률값을 100%로 하는 범위에서, 상기 비율값이 위치하는 지점의 값을 계산하는 과정임을 특징으로 하는 실행 가능한 코드 탐지 방법
14 14
함수 호출 메커니즘을 따르는 인스트럭션 패턴들의 정보를 저장하는 인스트럭션 패턴 저장부;실행 가능한 코드 존재 여부 탐지 대상인 네트워크 데이터를 역 어셈블하여 인스트럭션 문자열을 추출하는 패킷 가공부;상기 패킷 가공부에서 추출된 인스트럭션들에 대해 상기 저장된 인스트럭션 패턴중에서 일치하는 패턴이 있는지 비교하는 비교부; 및상기 비교부의 비교결과에 따라서 실행 가능한 코드의 존재 여부를 판단하는 판단부를 포함하는 실행 가능한 코드 탐지 장치
15 15
제14항에 있어서, 상기 인스트럭션 패턴들의 정보는, 함수 호출 메커니즘을 따르는 패턴 조합의 식별 정보, 패턴 일치를 시도하기 위한 기준이 되는 기준 인스트럭션 정보, 성공 횟수를 카운트하기 위해 일치하여야 하는 세부 인스트럭션 정보를 포함하는 것을 특징으로 하는 실행 가능한 코드 탐지 장치
16 16
제15항에 있어서, 상기 인스트럭션 패턴들의 정보는, 상기 세부 인스트럭션들을 만족시키는데 허용되는 최대 인스트럭션 간격, 실행 가능한 코드인 경우 최대 인스트럭션 간격내에서 패턴이 일치될 확률인 상위 확률값, 비실행 코드인 경우 최대 인스트럭션 간격내에서 패턴이 일치될 확률인 하위 확률값을 포함하는 것을 특징으로 하는 실행 가능한 코드 탐지 장치
17 17
제14항에 있어서, 상기 패킷 가공부는상기 네트워크 데이터를 역 어셈블하기 전에, 상기 네트워크 데이터를 시그니처 별로 순서대로 정렬, 단편화 제거, 패킷 재조합 중에서 하나 이상을 수행한 후, 프로토콜 헤더를 제거하고 페이로드만을 연결하여 연속된 데이터를 만드는 기능을 더 수행하는 것을 특징으로 하는 실행 가능한 코드 탐지 장치
18 18
제16항에 있어서, 상기 비교부는상기 추출된 인스트럭션별로 상기 저장된 인스트럭션 패턴 정보의 각 기준 패턴과 일치하는 지를 비교하고, 일치하는 경우, 그 전방향 또는 후방향 비교를 통한 최대 인스트럭션 간격 내에서 세부 인스트럭션이 존재하는 지를 확인하여, 세부 인스트럭션이 존재하면 패턴이 일치하는 것으로 판단하는 것을 특징으로 하는 실행 가능한 코드 탐지 장치
19 19
제18항에 있어서, 상기 비교부는상기 기준 패턴과 일치할 경우, 각 패턴별로 패턴 일치 비교 횟수를 카운트하고, 세부 인스트럭션이 존재하는 경우 패턴 일치 성공 횟수를 카운트하는 기능을 더 수행하는 것을 특징으로 하는 실행 가능한 코드 탐지 장치
20 20
제19항에 있어서, 상기 판단부는패턴별 패턴 일치 비교 횟수에 대한 패턴 일치 성공 횟수의 비율을 구하고, 상기 구해진 모든 비율이 해당 인스트럭션 패턴의 하위 확률값보다 크면, 상기 네트워크 데이터 속에 실행 가능한 코드가 존재하는 것으로 판단하고, 그렇지 않으면 실행 가능한 코드가 존재하지 않는 것으로 판단하는 것을 특징으로 하는 실행 가능한 코드 탐지 장치
21 21
제20항에 있어서, 상기 판단부는실행 가능한 코드가 존재하는 것으로 판단된 경우, 상기 판단에 대한 신뢰도를 계산하는 것을 특징으로 하는 실행 가능한 코드 탐지 장치
22 22
제21항에 있어서, 상기 판단부는상기 패턴별 패턴 일치 비교 횟수에 대한 성공 횟수의 비율을 상기 상위 확률값에 근접한 정도를 나타내는 상대 비율값으로 변환하고, 상기 변환된 상대 비율값의 평균을 구하여 신뢰도 값으로 산출하는 것을 특징으로 하는 실행 가능한 코드 탐지 장치
23 23
제22항에 있어서, 상기 판단부는상기 변환된 상대 비율값의 평균을 구하기 전에, 각 패턴별 상대 비율값에 가중치를 부여하는 것을 특징으로 하는 실행 가능한 코드 탐지 장치
24 24
제22항에 있어서, 상기 판단부에서 구해진 실행 가능한 코드의 존재 여부 및 실행 가능한 코드가 존재하는 경우의 해당 판단에 대한 신뢰도값을 출력하는 출력부를 더 포함하는 것을 특징으로 하는 실행 가능한 코드 탐지 장치
지정국 정보가 없습니다
순번, 패밀리번호, 국가코드, 국가명, 종류의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 패밀리정보 - 패밀리정보 표입니다.
순번 패밀리번호 국가코드 국가명 종류
1 US08166545 US 미국 FAMILY
2 US20090025083 US 미국 FAMILY

DOCDB 패밀리 정보

순번, 패밀리번호, 국가코드, 국가명, 종류의 정보를 제공하는 이전대상기술 뷰 페이지 상세정보 > 패밀리정보 - DOCDB 패밀리 정보 표입니다.
순번 패밀리번호 국가코드 국가명 종류
1 US2009025083 US 미국 DOCDBFAMILY
2 US8166545 US 미국 DOCDBFAMILY
국가 R&D 정보가 없습니다.