| 1 |
1
필터 드라이버를 이용한 시스템 내 은닉 프로세스 탐지 방법에 있어서,감시 대상 시스템에서 수행되는 모든 프로세스에 대하여 프로세스의 생성 또는 종료를 커널모드에서 감지하는 동작; 상기 감지된 프로세스의 생성 또는 종료 상태에 기초하여, 실행 중인 상태로 판별된 활성 프로세스를 포함하는 활성 프로세스 목록을 커널모드에서 저장 및 갱신하는 동작; 및유저모드에서 사용자 프로세스 목록을 획득하고, 상기 활성 프로세스 목록을 참조하여 상기 활성 프로세스 목록에 포함된 활성 프로세스 중 상기 사용자 프로세스 목록에서 누락되어 있는 활성 프로세스를 은닉 프로세스로 판별하는 동작을 포함하는, 필터 드라이버를 이용한 시스템 내 은닉 프로세스 탐지 방법
|
| 2 |
2
제1항에 있어서,상기 감지하는 동작은, PsSetCreateProcessNotifyRoutineEx() 함수를 통해 커널모드에서 프로세스 생성 또는 종료를 감지하여 활성 프로세스의 생성 또는 삭제를 수행하는 동작을 포함하는, 필터 드라이버를 이용한 시스템 내 은닉 프로세스 탐지 방법
|
| 3 |
3
제2항에 있어서,상기 판별하는 동작은, Win32 API 중 EnumProcess() 함수를 통해 유저모드에서 상기 사용자 프로세스 목록을 획득하는 동작을 포함하는, 필터 드라이버를 이용한 시스템 내 은닉 프로세스 탐지 방법
|
| 4 |
4
제3항에 있어서,상기 저장 및 갱신하는 동작은, 상기 활성 프로세스 목록을 커널모드 및 유저모드에서 참조 가능한 공유 메모리에 저장하는 동작을 포함하는, 필터 드라이버를 이용한 시스템 내 은닉 프로세스 탐지 방법
|
| 5 |
5
컴퓨터 프로그램을 저장하고 있는 컴퓨터 판독 가능 기록매체로서,상기 컴퓨터 프로그램은, 프로세서에 의해 실행되면,감시 대상 시스템에서 수행되는 모든 프로세스에 대하여 프로세스의 생성 또는 종료를 커널모드에서 감지하는 동작; 상기 감지된 프로세스의 생성 또는 종료 상태에 기초하여, 실행 중인 상태로 판별된 활성 프로세스를 포함하는 활성 프로세스 목록을 커널모드에서 저장 및 갱신하는 동작; 및유저모드에서 사용자 프로세스 목록을 획득하고, 상기 활성 프로세스 목록을 참조하여 상기 활성 프로세스 목록에 포함된 활성 프로세스 중 상기 사용자 프로세스 목록에서 누락되어 있는 활성 프로세스를 은닉 프로세스로 판별하는 동작을 포함하는 방법을 상기 프로세서가 수행하도록 하기 위한 명령어를 포함하는, 컴퓨터 판독 가능한 기록매체
|
| 6 |
6
컴퓨터 판독 가능한 기록매체에 저장되어 있는 컴퓨터 프로그램으로서,상기 컴퓨터 프로그램은, 프로세서에 의해 실행되면,감시 대상 시스템에서 수행되는 모든 프로세스에 대하여 프로세스의 생성 또는 종료를 커널모드에서 감지하는 동작; 상기 감지된 프로세스의 생성 또는 종료 상태에 기초하여, 실행 중인 상태로 판별된 활성 프로세스를 포함하는 활성 프로세스 목록을 커널모드에서 저장 및 갱신하는 동작; 및유저모드에서 사용자 프로세스 목록을 획득하고, 상기 활성 프로세스 목록을 참조하여 상기 활성 프로세스 목록에 포함된 활성 프로세스 중 상기 사용자 프로세스 목록에서 누락되어 있는 활성 프로세스를 은닉 프로세스로 판별하는 동작을 포함하는 방법을 상기 프로세서가 수행하도록 하기 위한 명령어를 포함하는, 컴퓨터 프로그램
|
| 7 |
7
감시 대상 시스템에서 수행되는 모든 프로세스에 대하여 프로세스의 생성 또는 종료를 커널모드에서 감지하는 필터 드라이버; 상기 감지된 프로세스의 생성 또는 종료 상태에 기초하여, 실행 중인 상태로 판별된 활성 프로세스를 포함하는 활성 프로세스 목록을 커널모드에서 저장 및 갱신하는 공유 메모리; 및유저모드에서 사용자 프로세스 목록을 획득하고, 상기 활성 프로세스 목록을 참조하여 상기 활성 프로세스 목록에 포함된 활성 프로세스 중 상기 사용자 프로세스 목록에서 누락되어 있는 활성 프로세스를 은닉 프로세스로 판별하는 은닉 프로세스 탐지 에이전트를 포함하는, 필터 드라이버를 이용한 시스템 내 은닉 프로세스 탐지 장치
|
