| 1 |
1
악성 코드 샘플이 실행되기 전 샘플 실행 시스템의 상태를 추출하는 단계; 상기 악성 코드 샘플에 대한 정적 분석 및 동적 분석을 수행하는 단계; 상기 악성 코드 샘플을 실행 한 후, 상기 샘플 실행 시스템의 상태를 추출하고, 추출한 결과와 상기 악성 코드 샘플이 실행되기 전 샘플 실행 시스템의 상태를 추출한 결과를 비교하여 시스템의 변경 정보를 획득하는 단계; 및상기 정적 분석 및 동적 분석을 수행한 결과에 해당하는 정적 분석 정보 및 동적 분석 정보, 시스템의 변경 정보를 이용하여 상기 악성 코드 샘플의 악성 행위 여부를 검출하는 단계를 포함하고,상기 악성 코드 샘플의 악성 행위 여부를 검출하는 단계는 상기 정적 분석 정보 및 동적 분석 정보, 시스템의 변경 정보를 이용하여 상기 악성 코드 샘플의 위협도를 산출하고, 산출한 위협도를 이용하여 상기 악성 코드 샘플의 악성 행위 여부를 검출하는 것을 특징으로 하는 악성 코드 검출 방법
|
| 2 |
2
청구항 1에 있어서, 상기 추출하는 단계는 상기 샘플 실행 시스템의 내부 상태를 추출하는 단계; 및상기 샘플 실행 시스템의 외부에서 운영 체계와의 연동없이 외부 상태를 추출하는 단계를 포함하는 악성 코드 검출 방법
|
| 3 |
3
청구항 2에 있어서,상기 외부 상태를 추출하는 단계는 상기 샘플 실행 시스템이 가상 머신에서 동작하는 경우, 가상 머신의 메모리 파일, 디스크 파일에 대한 포렌식을 이용한 가상머신 파일 분석 방법과, 가상 머신 관리 계층과의 연동을 통한 시스템 상태 추출 방법을 통해 외부 상태를 추출하는 것을 특징으로 하는 악성 코드 검출 방법
|
| 4 |
4
청구항 1에 있어서,상기 추출하는 단계는 실행 프로세스 리스트 및 프로세스 별 로딩한 라이브러리 모듈, 구동되고 있는 커널 드라이버, 시스템 부팅 후 실행되는 프로세스 별 네트워크 접속 및 데이터 정보, 중요 운영 체계 파일 목록 및 해쉬, 디지털 시그너처 정보, 가상 메모리 디스크립터 정보, 각 프로세스의 메모리 맵, 커널 데이터, 레지스트리 hives 및 실행 서비스 혹은 데몬 중 적어도 하나를 포함하는 상태 정보를 추출하는 것을 특징으로 하는 악성 코드 검출 방법
|
| 5 |
5
청구항 1에 있어서,상기 수행하는 단계는 상기 악성 코드 샘플을 실행하지 않고, 디스크에 파일로 존재하는 상태에서 실행 파일에서 헤더가 변조되었는지 여부, 파일 확장자나 포맷이 변조되었는지 여부, 파일 내 의심 문자열이 검색되었는지 여부를 통해 정적 분석을 수행하는 것을 특징으로 하는 악성 코드 검출 방법
|
| 6 |
6
청구항 1에 있어서,상기 수행하는 단계는상기 악성 코드 샘플을 실행한 후, 악성 코드 샘플이 상기 샘플 실행 시스템 내에서 동작하면서 호출하는 파일, 레지스트리, 프로세스, 네트워크에 해당하는 커널 데이터를 추적하여 기록한 후 동적 분석을 수행하는 것을 특징으로 하는 악성 코드 검출 방법
|
| 7 |
7
삭제
|
| 8 |
8
악성 코드 샘플이 실행되기 전 샘플 실행 시스템의 상태를 추출하는 추출부;상기 악성 코드 샘플에 대한 정적 분석 및 동적 분석을 수행하는 분석부; 및상기 악성 코드 샘플을 실행 한 후, 상기 샘플 실행 시스템의 상태를 추출한 결과와 상기 악성 코드 샘플이 실행되기 전 샘플 실행 시스템의 상태를 추출한 결과를 비교하여 시스템의 변경 정보를 획득하고, 상기 분석부에서의 정적 분석 정보 및 동적 분석 정보, 시스템의 변경 정보를 이용하여 상기 악성 코드 샘플의 위협도를 산출하고, 산출한 위협도를 근거로 상기 악성 코드 샘플의 악성 행위 여부를 검출하는 판단부를 포함하는 악성 코드 검출 장치
|
| 9 |
9
청구항 8에 있어서,상기 추출부는상기 샘플 실행 시스템의 내부 상태를 추출하는 내부 상태 추출부; 및상기 샘플 실행 시스템의 외부에서 운영 체계와의 연동없이 외부 상태를 추출하는 외부 상태 추출부를 포함하는 것을 특징으로 하는 악성 코드 검출 장치
|
| 10 |
10
청구항 9에 있어서,상기 외부 상태 추출부는 상기 샘플 실행 시스템이 가상 머신에서 동작하는 경우, 가상 머신의 메모리 파일, 디스크 파일에 대한 포렌식을 이용한 가상머신 파일 분석 방법과, 가상 머신 관리 계층과의 연동을 통한 시스템 상태 추출 방법을 통해 외부 상태를 추출하는 것을 특징으로 하는 악성 코드 검출 장치
|
| 11 |
11
청구항 8에 있어서,상기 추출부는실행 프로세스 리스트 및 프로세스 별 로딩한 라이브러리 모듈, 구동되고 있는 커널 드라이버, 시스템 부팅 후 실행되는 프로세스 별 네트워크 접속 및 데이터 정보, 중요 운영 체계 파일 목록 및 해쉬, 디지털 시그너처 정보, 가상 메모리 디스크립터 정보, 각 프로세스의 메모리 맵, 커널 데이터, 레지스트리 hives 및 실행 서비스 혹은 데몬 중 적어도 하나를 포함하는 상태 정보를 추출하는 것을 특징으로 하는 악성 코드 검출 장치
|
| 12 |
12
청구항 8에 있어서,상기 분석부는상기 악성 코드 샘플을 실행하지 않고, 디스크에 파일로 존재하는 상태에서 실행 파일에서 헤더가 변조되었는지 여부, 파일 확장자나 포맷이 변조되었는지 여부, 파일 내 의심 문자열이 검색되었는지 여부를 통해 정적 분석을 수행하는 정적 분석부를 포함하는 것을 특징으로 하는 악성 코드 검출 장치
|
| 13 |
13
청구항 8에 있어서,상기 분석부는상기 악성 코드 샘플을 실행한 후, 악성 코드 샘플이 상기 샘플 실행 시스템 내에서 동작하면서 호출하는 파일, 레지스트리, 프로세스, 네트워크에 해당하는 커널 데이터를 추적하여 기록한 후 동적 분석을 수행하는 동적 분석부를 포함하는 것을 특징으로 하는 악성 코드 검출 장치
|
| 14 |
14
청구항 8에 있어서,상기 판단부는 상기 샘플 실행 시스템의 상태를 추출한 결과와 상기 악성 코드 샘플이 실행되기 전 샘플 실행 시스템의 상태를 추출한 결과를 비교할 때, 초기 실행 프로세스로 등록, 루트킷 설치, 초기 실행 커널 드라이버로 등록, 네트워크 자동 접속을 통한 악성 지령 수집 중 적어도 하나의 악성 행위 판단 기준을 이용하는 것을 특징으로 하는 악성 코드 검출 장치
|
