| 1 |
1
가상머신의 내부에 위치한 실행파일에 대한 접근 시도를 모니터링 하는 단계;상기 실행파일로의 접근 시도가 탐지된 경우, 접근을 시도한 태스크(Task)를 통해 입력된 시스템 콜 전달 인자를 추출하는 단계;상기 시스템 콜 전달 인자를 기반으로 상기 실행파일에 상응하는 실행경로와 상기 실행파일과 함께 실행된 참조파일에 상응하는 참조경로를 획득하는 단계; 및상기 실행경로와 상기 참조경로를 기반으로 상기 실행파일과 상기 참조파일의 악성여부를 점검하고, 상기 실행파일 및 상기 참조파일 중 악성파일이 존재하는 경우에 상기 악성파일이 존재하는 파일을 수집하는 단계를 포함하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 방법
|
| 2 |
2
청구항 1에 있어서,상기 모니터링 하는 단계는상기 가상머신에 상응하는 가상 메모리에서 상기 실행파일에 대응하는 시스템 콜 코드의 위치를 파악하고, 상기 시스템 콜 코드의 실행 시도를 기반으로 생성되는 접근 이벤트가 탐지된 경우에 상기 실행파일로의 접근 시도가 발생한 것으로 판단하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 방법
|
| 3 |
3
청구항 2에 있어서,상기 모니터링 하는 단계는상기 태스크가 상기 시스템 콜 코드의 위치로 접근하는 경우 및 상기 태스크가 상기 시스템 콜 코드의 위치를 가리키는 페이지 테이블 엔트리로 접근하여 예외상황(exception)이 발생하는 경우 중 적어도 하나의 경우에 상기 접근 이벤트를 생성하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 방법
|
| 4 |
4
청구항 3에 있어서,상기 페이지 테이블 엔트리는상기 가상머신에 상응하는 커널이 관리하는 페이지 테이블에 해당하는 페이지 테이블 엔트리 및 상기 가상머신의 내부에서 접근할 수 없는 하드웨어 지원(Hardware-assisted) 주소변환 테이블에 해당하는 페이지 테이블 엔트리 중 적어도 하나에 상응하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 방법
|
| 5 |
5
청구항 2에 있어서,상기 시스템 콜 전달 인자를 추출하는 단계는상기 접근 이벤트가 감지된 경우에 상기 가상머신에서 사용하는 레지스터 및 스택 중 적어도 하나에서 상기 시스템 콜 전달 인자를 추출하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 방법
|
| 6 |
6
청구항 5에 있어서,상기 시스템 콜 전달 인자를 추출하는 단계는상기 접근 이벤트가 감지된 경우에 상기 가상머신에 상응하는 가상머신 식별자와 상기 태스크에 상응하는 태스크 식별자를 연동하여 식별자 세트를 생성하고, 상기 식별자 세트를 기반으로 상기 레지스터 및 스택 중 적어도 하나를 식별하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 방법
|
| 7 |
7
청구항 1에 있어서,상기 획득하는 단계는상기 시스템 콜 전달 인자에 포함된 실행파일명과 파일저장 경로를 기반으로 상기 실행파일에 상응하는 프리패치 파일의 삭제여부를 점검하고, 상기 프리패치 파일이 삭제되지 않고 존재하는 경우에 상기 프리패치 파일에 포함된 상기 실행경로와 상기 참조경로를 획득하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 방법
|
| 8 |
8
청구항 7에 있어서,상기 획득하는 단계는상기 프리패치 파일이 삭제된 경우에 파일시스템 전체 구조에 대한 레이아웃을 나타내는 파일시스템 메타데이터를 분석하여 상기 프리패치 파일에 상응하는 디스크 섹터를 검색하고, 상기 디스크 섹터에서 상기 프리패치 파일에 상응하는 실 데이터를 획득하여 상기 프리패치 파일을 복구하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 방법
|
| 9 |
9
청구항 8에 있어서,상기 디스크 섹터는섹터 번호를 포함한 정보로 표기되는 가상 및 물리 저장장치의 위치를 나타내는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 방법
|
| 10 |
10
청구항 8에 있어서,상기 수집하는 단계는상기 실행경로와 상기 참조경로를 참조하여 상기 실행파일과 상기 참조파일의 삭제 여부를 판단하고, 상기 실행파일 및 상기 참조파일 중 적어도 하나가 삭제된 경우에 상기 파일시스템 메타데이터를 이용하여 삭제된 파일을 복구하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 방법
|
| 11 |
11
청구항 1에 있어서,상기 수집하는 단계는시그니처 기반 악성파일 탐지 기법, 행위기반 악성파일 탐지 기법 및 자제적인 기준 수립에 의한 악성파일 탐지 기법 중 적어도 하나를 기반으로 상기 악성여부를 점검하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 방법
|
| 12 |
12
청구항 10에 있어서,하이퍼바이저 및 가상 호스트 영역 중 어느 하나의 영역을 기반으로 상기 복구를 수행하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 방법
|
| 13 |
13
청구항 12에 있어서,상기 수집하는 단계는상기 하이퍼바이저 및 가상 호스트 영역 중 어느 하나의 영역에서 상기 악성파일이 존재하는 파일을 수집하고, 수집한 파일을 저장하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 방법
|
| 14 |
14
가상머신의 내부에 위치한 실행파일에 대한 접근 시도를 모니터링 하는 모니터링부;상기 실행파일로의 접근 시도가 탐지된 경우, 접근을 시도한 태스크(Task)를 통해 입력된 시스템 콜 전달 인자를 추출하는 전달 인자 추출부;상기 시스템 콜 전달 인자를 기반으로 상기 실행파일에 상응하는 실행경로와 상기 실행파일과 함께 실행된 참조파일에 상응하는 참조경로를 획득하는 경로 획득부; 및상기 실행경로와 상기 참조경로를 기반으로 상기 실행파일과 상기 참조파일의 악성여부를 점검하고, 상기 실행파일 및 상기 참조파일 중 악성파일이 존재하는 경우에 상기 악성파일이 존재하는 파일을 수집하는 악성파일 수집부를 포함하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 장치
|
| 15 |
15
청구항 14에 있어서,상기 모니터링부는상기 가상머신에 상응하는 가상 메모리에서 상기 실행파일에 대응하는 시스템 콜 코드의 위치를 파악하고, 상기 시스템 콜 코드의 실행 시도를 기반으로 생성되는 접근 이벤트가 탐지된 경우에 상기 실행파일로의 접근 시도가 발생한 것으로 판단하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 장치
|
| 16 |
16
청구항 15에 있어서,상기 모니터링부는상기 태스크가 상기 시스템 콜 코드의 위치로 접근하는 경우 및 상기 태스크가 상기 시스템 콜 코드의 위치를 가리키는 페이지 테이블 엔트리로 접근하여 예외상황(exception)이 발생하는 경우 중 적어도 하나의 경우에 상기 접근 이벤트를 생성하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 장치
|
| 17 |
17
청구항 15에 있어서,상기 전달 인자 추출부는상기 가상머신에서 사용하는 레지스터 및 스택 중 적어도 하나에서 상기 시스템 콜 전달 인자를 추출하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 장치
|
| 18 |
18
청구항 17에 있어서,상기 전달 인자 추출부는상기 접근 이벤트가 감지된 경우에 상기 가상머신에 상응하는 가상머신 식별자와 상기 태스크에 상응하는 태스크 식별자를 연동하여 식별자 세트를 생성하고, 상기 식별자 세트를 기반으로 상기 레지스터 및 스택 중 적어도 하나를 식별하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 장치
|
| 19 |
19
청구항 14에 있어서,상기 경로 획득부는상기 시스템 콜 전달 인자에 포함된 실행파일명과 파일저장 경로를 기반으로 상기 실행파일에 상응하는 프리패치 파일의 삭제여부를 점검하는 프리패치 파일 점검부; 및상기 프리패치 파일이 삭제된 경우에 하이퍼바이저 및 가상 호스트 영역 중 어느 하나의 영역에서 파일시스템 메타데이터를 분석하여 상기 프리패치 파일을 복구하는 파일 복구부를 포함하고,상기 프리패치 파일을 통해 상기 실행경로와 상기 참조경로를 획득하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 장치
|
| 20 |
20
청구항 19에 있어서,상기 파일 복구부는상기 파일시스템 메타데이터를 분석하여 상기 프리패치 파일에 상응하는 디스크 섹터를 검색하고, 상기 디스크 섹터에서 상기 프리패치 파일에 상응하는 실 데이터를 획득하여 상기 프리패치 파일을 복구하는 것을 특징으로 하는 하이퍼바이저 기반의 가상머신 모니터링 장치
|
