| 1 |
1
드라이브 바이 다운로드(이하 "DBD"라 함) 탐지를 위한 제1 분석대상 URL을 저장하기 위한 분석 DB;상기 제1 분석대상 URL을 이용하여 제1 버전 인터넷 익스플로러를 실행하기 위한 IE 실행부;상기 제1 버전 인터넷 익스플로러를 실행함에 따른 비정상 행위가 발생하는지를 감시하기 위한 비정상 행위 감시부;상기 감시된 비정상 행위 감시결과에 대한 상관 분석을 수행하여 DBD 탐지를 판단하기 위한 비정상 행위 분석부; 및상기 판단된 DBD 탐지 판단결과에 따라 DBD 탐지 운영과정을 결정하여 처리하기 위한 DBD 탐지 운영부;를 포함하고,상기 비정상 행위 감시부는, 상기 제1 버전 인터넷 익스플로러의 선택 및 실행을 통해 상기 제1 분석대상 URL에 접근할 때, 기저장된 파일 생성 감시 경로 상에 비정상 파일이 생성되는지를 감시하되,상기 비정상 파일이 생성되지 않으면, 상기 IE 실행부로부터 전달된 최상위 인터넷 익스플로러 PID를 기준으로 하위에서 비정상 프로세스 실행이 발생하는지를 감시하거나, 상기 IE 실행부로부터 전달된 상기 제1 분석대상 URL에 비정상 리다이렉션 활동이 발생하는지를 감시하고,상기 비정상 행위 감시부는, 상기 제1 분석대상 URL의 리다이렉션 수준이 기 설정된 임계값을 초과하는 경우에 해당 분석대상에 비정상 리다이렉션 활동이 발생하는 것으로 판단하고, 상기 리다이렉션 수준은 리다이렉션 활동의 깊이로 나타내며, 상기 비정상 행위 분석부는,상기 비정상 행위 감시부로부터 비정상 프로세스 실행 감시결과 또는 비정상 리다이렉션 활동 감시결과가 전달되는 경우에, 상기 제1 분석대상 URL에서 'DBD 미탐지'로 판단하고,상기 비정상 행위 분석부는,상기 비정상 파일이 생성되면, 상기 제1 분석대상 URL에서 'DBD 탐지'로 판단하고,상기 비정상 행위 감시부는, 하위 인터넷 익스플로러의 비정상 프로세스 실행이 있는 경우에, 비정상 프로세스 실행 감시결과를 상기 비정상 행위 분석부로 전달하면서 상기 분석 DB에 저장하고, 상기 분석 DB로부터 전달된 파일 생성 감시 경로 정보를 이용하여 해당 파일 생성 경로상에 실행파일이 생성되는지를 감시하고, 해당 파일 생성 경로상에 실행파일이 생성되는 경우에, 비정상 파일 생성 감시결과를 상기 비정상 행위 분석부로 전달하면서 분석 DB에 저장하는 것인 비정상 행위 감시를 이용한 드라이브 바이 다운로드 탐지 장치
|
| 2 |
2
삭제
|
| 3 |
3
삭제
|
| 4 |
4
삭제
|
| 5 |
5
삭제
|
| 6 |
6
삭제
|
| 7 |
7
제 1 항에 있어서,상기 DBD 탐지 운영부는,상기 판단된 'DBD 탐지'에 따라, 제2 분석대상 URL의 DBD 탐지 과정을 진행하기 위한 제어명령을 상기 IE 실행부로 전달하는 비정상 행위 감시를 이용한 드라이브 바이 다운로드 탐지 장치
|
| 8 |
8
제 7 항에 있어서,상기 DBD 탐지 운영부는,상기 제1 분석대상 URL에 대한 분석을 종료하고 시스템을 초기화하는 비정상 행위 감시를 이용한 드라이브 바이 다운로드 탐지 장치
|
| 9 |
9
삭제
|
| 10 |
10
제 1 항에 있어서,상기 DBD 탐지 운영부는,상기 판단된 'DBD 미탐지'에 따라, 상기 제1 분석대상 URL에 대해 제2 버전 인터넷 익스플로러를 통해 DBD 탐지 과정을 진행하기 위한 제어명령을 상기 IE 실행부로 전달하는 비정상 행위 감시를 이용한 드라이브 바이 다운로드 탐지 장치
|
| 11 |
11
제 1 항에 있어서,상기 IE 실행부는, 상기 제1 버전 및 제2 버전 인터넷 익스플로러로 실행하는 시스템을 병렬로 구성하는 비정상 행위 감시를 이용한 드라이브 바이 다운로드 탐지 장치
|
| 12 |
12
제 10 항에 있어서,상기 제1 버전 인터넷 익스플로러는, 인터넷 익스플로러 8 버전이며, 상기 제2 버전 인터넷 익스플로러는, 인터넷 익스플로러 9 버전 이상인 비정상 행위 감시를 이용한 드라이브 바이 다운로드 탐지 장치
|
| 13 |
13
제1 분석대상 URL을 선택하여 제1 버전 인터넷 익스플로러를 실행하는 실행 단계;상기 제1 버전 인터넷 익스플로러를 실행함에 따른 비정상 행위가 발생하는지를 감시하는 감시 단계;상기 감시된 비정상 행위 감시결과에 대한 상관 분석을 수행하여 DBD 탐지를 판단하는 판단 단계; 및상기 판단된 DBD 탐지 판단결과에 따라 DBD 탐지 운영과정을 결정하여 처리하는 처리 단계;를 포함하되,상기 감시 단계는, 상기 제1 버전 인터넷 익스플로러의 선택 및 실행을 통해 상기 제1 분석대상 URL에 접근할 때, 기저장된 파일 생성 감시 경로 상에 비정상 파일이 생성되는지를 감시하되,상기 비정상 파일이 생성되지 않으면, 상기 제1 버전 인터넷 익스플로러의 실행에 따라 최상위 인터넷 익스플로러 PID를 기준으로 하위에서 비정상 프로세스 실행이 발생하는지를 감시하거나, 상기 제1 버전 인터넷 익스플로러의 실행에 따라 상기 제1 분석대상 URL에 비정상 리다이렉션 활동이 발생하는지를 감시하며상기 감시 단계는, 상기 제1 분석대상 URL의 리다이렉션 수준이 기 설정된 임계값을 초과하는 경우에 해당 분석대상에 비정상 리다이렉션 활동이 발생하는 것으로 판단하고, 상기 리다이렉션 수준은 리다이렉션 활동의 깊이로 나타내며, 상기 판단 단계는,상기 감시된 비정상 프로세스 실행 감시결과 또는 비정상 리다이렉션 활동 감시결과가 전달되는 경우에, 상기 제1 분석대상 URL에서 'DBD 미탐지'로 판단하고,상기 판단 단계는,상기 비정상 파일이 생성되면, 상기 제1 분석대상 URL에서 'DBD 탐지'로 판단하고,상기 감시 단계는, 하위 인터넷 익스플로러의 비정상 프로세스 실행이 있는 경우에, 비정상 프로세스 실행 감시결과를 비정상 행위 분석부로 전달하면서 분석 DB에 저장하고, 상기 분석 DB로부터 전달된 파일 생성 감시 경로 정보를 이용하여 해당 파일 생성 경로상에 실행파일이 생성되는지를 감시하고, 해당 파일 생성 경로상에 실행파일이 생성되는 경우에, 비정상 파일 생성 감시결과를 상기 비정상 행위 분석부로 전달하면서 분석 DB에 저장하는 것인 비정상 행위 감시를 이용한 드라이브 바이 다운로드 탐지 방법
|
| 14 |
14
삭제
|
| 15 |
15
삭제
|
| 16 |
16
삭제
|
| 17 |
17
삭제
|
| 18 |
18
제 13 항에 있어서,상기 처리 단계는,상기 판단된 'DBD 탐지'에 따라, 제2 분석대상 URL의 DBD 탐지 과정을 진행하는 단계;를 포함하는 비정상 행위 감시를 이용한 드라이브 바이 다운로드 탐지 방법
|
| 19 |
19
삭제
|
| 20 |
20
제 13 항에 있어서,상기 처리 단계는,상기 판단된 'DBD 미탐지'에 따라, 상기 제1 분석대상 URL에 대해 제2 버전 인터넷 익스플로러를 통해 DBD 탐지 과정을 진행하는 단계;를 포함하는 비정상 행위 감시를 이용한 드라이브 바이 다운로드 탐지 방법
|
| 21 |
21
삭제
|
