偽装仮想マシン情報を利用したインテリジェントボット対応方法及び装置
【課題】ユーザ端末がインテリジェントボットに感染されても、悪性プロセスを実行しないようにして、ＤＤｏｓ攻撃または情報流出などの被害を予防する。
【解決手段】プロセスからの仮想マシン探知要請を全域フッキングする段階（Ｓ２１０）と、既保存された悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断する段階（Ｓ２２０）と、前記判断の結果、悪性プロセスに該当すれば、前記プロセスがインテリジェントボットによって生成されたものと判断し、偽装仮想マシン情報を前記プロセスにリターンする段階（Ｓ２３０）と、を含む。
【解決手段】プロセスからの仮想マシン探知要請を全域フッキングする段階（Ｓ２１０）と、既保存された悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断する段階（Ｓ２２０）と、前記判断の結果、悪性プロセスに該当すれば、前記プロセスがインテリジェントボットによって生成されたものと判断し、偽装仮想マシン情報を前記プロセスにリターンする段階（Ｓ２３０）と、を含む。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、偽装仮想マシン情報を利用したインテリジェントボット対応方法及び装置に関し、より詳細には、インテリジェントボットの悪性プロセスを中断するようにする偽装仮想マシン情報を利用したインテリジェントボット対応方法及び装置に関する。
【背景技術】
【０００２】
インテリジェントボット（Intelligent Bots）は、ユーザの直接的な参加なしに正規的に情報を収集するか、またはサービスを行うプログラムを言う。一般的に、インテリジェントボットは、ユーザが提供したパラメータを使用してインターネットに接続された端末を検索し、ユーザが関心を持っている情報を収集し、ユーザに提供する。しかし、このようなインテリジェントボットは、その特性上、ユーザの意図によって悪性行為に使用されることができる。
【０００３】
したがって、保安専門家は、このようなインテリジェントボットを利用した悪性行為を分析するために、仮想マシン（Virtual Machine）を実行し、仮想マシン上でインテリジェントボットが実行されるようにして、悪性行為を分析及び追跡している。
【０００４】
しかし、インテリジェントボットの製作者は、このような仮想マシン実行を用いた方法に対応するために、仮想マシンの動作を探知する方法を使用している。このような仮想マシンの動作を探知する方法によれば、インテリジェントボットが仮想マシン上で動作するか否かを探知し、インテリジェントボットが仮想マシン上で動作するものと判断すれば、悪性行為を実行せずに終了する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】韓国登録特許第１０−０９２７２４０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明は、前述したような従来の問題点を解決するためになされたもので、その目的は、仮想マシンの動作を探知するインテリジェントボットが仮想マシン上で動作するものと判断するように、偽装仮想マシン情報を提供し、インテリジェントボットが悪性プロセスを中断するようにすることによって、ユーザ端末がインテリジェントボットに感染されても、悪性プロセスを実行しないようにして、ＤＤｏｓ（distributed denial of service）攻撃または情報流出などの被害を予防することにある。
【課題を解決するための手段】
【０００７】
上記目的を達成するために、本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法は、プロセスからの仮想マシン探知要請を全域フッキング（Global hooking）する段階と、既保存された悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断する段階と、前記判断結果、悪性プロセスに該当すれば、前記プロセスがインテリジェントボットによって生成されたものと判断し、偽装仮想マシン情報を前記プロセスにリターンする段階とを含む。
【０００８】
本発明の他の一実施例によれば、前記プロセスが悪性プロセスに該当するか否かを判断する段階は、前記プロセスがユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つを実行する悪性プロセスに該当するか否かを判断することができる。
【０００９】
本発明のさらに他の一実施例によれば、前記プロセスが悪性プロセスに該当するか否かを判断する段階は、前記プロセスが既保存された正常プロセスのリストであるホワイトリストに含まれるか否かを判断する段階をさらに含むことができる。
【００１０】
本発明のさらに他の一実施例によれば、前記プロセスが悪性プロセスに該当するか否かを判断する段階は、前記仮想マシン探知要請のバイナリーハッシュ値が既保存された悪性コードのハッシュ値と一致するか否かを判断する段階をさらに含むことができる。
【００１１】
本発明のさらに他の一実施例によれば、前記判断結果、一致しなければ、前記仮想マシン探知要請のバイナリーハッシュ値を保存する段階をさらに含むことができる。
【００１２】
本発明のさらに他の一実施例によれば、前記偽装仮想マシン情報は、ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことができる。
【００１３】
本発明のさらに他の一実施例によれば、前記判断結果、悪性プロセスに該当しなければ、ユーザ端末のウィンドウカーネル（Kernel）に前記仮想マシン探知要請を伝達する段階と、前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンする段階とをさらに含むことができる。
【００１４】
本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応装置は、ユーザ端末が仮想マシンを使用するものとして偽装する偽装仮想マシン情報及び悪性プロセスを判断するための悪性プロセス情報を保存する仮想マシン情報データベースと、プロセスからの仮想マシン探知要請を全域フッキングし、前記仮想マシン情報データベースに保存された前記悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断し、前記判断結果、前記プロセスが悪性プロセスに該当すれば、前記仮想マシン情報データベースに保存された偽装仮想マシン情報を前記プロセスにリターンする全域フッキングモジュールとを含む。
【００１５】
本発明のさらに他の一実施例によれば、前記全域フッキングモジュールは、前記悪性プロセス情報に基づいて前記プロセスが前記ユーザ端末のファイルに対する接近を実行すれば、悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装ファイル情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするファイル制御モジュールと、前記悪性プロセス情報に基づいて前記プロセスが仮想マシンネットワークアドレス検査を実行すれば、悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装ネットワークアドレス情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするネットワーク制御モジュールと、前記悪性プロセス情報に基づいて前記プロセスが前記ユーザ端末のレジストリ接近を実行すれば、前記プロセスが悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装レジストリ情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするレジストリ制御モジュールとを含む。
【００１６】
本発明のさらに他の一実施例によれば、前記全域フッキングモジュールは、前記プロセスが前記仮想マシン情報データベースに保存された正常プロセスのリストであるホワイトリストに含まれなければ、前記プロセスが悪性プロセスであると判断することができる。
【００１７】
本発明のさらに他の一実施例によれば、前記全域フッキングモジュールは、前記仮想マシン探知要請のバイナリーハッシュ値が前記仮想マシン情報データベースに保存された悪性コードのハッシュ値と一致すれば、前記プロセスが悪性プロセスであると判断することができる。
【００１８】
本発明のさらに他の一実施例によれば、前記偽装仮想マシン情報は、前記ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことができる。
【００１９】
本発明のさらに他の一実施例によれば、前記悪性プロセス情報は、前記ユーザ端末のファイル、前記仮想マシンのネットワークアドレス及び前記ユーザ端末のレジストリのうち少なくともいずれか１つに接近するための情報を含むことができる。
【００２０】
本発明のさらに他の一実施例によれば、前記全域フッキングモジュールは、前記判断結果、悪性プロセスに該当しなければ、前記ユーザ端末のウィンドウカーネルに前記仮想マシン探知要請を伝達し、前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンすることができる。
【発明の効果】
【００２１】
本発明によれば、仮想マシンの動作を探知するインテリジェントボットが仮想マシン上で動作するものと判断するように偽装仮想マシン情報を提供し、インテリジェントボットが悪性プロセスを中断するようにして、ユーザ端末がインテリジェントボットに感染されても、悪性プロセスを実行しないようにして、ＤＤｏｓ（Distributed denial of service）攻撃または情報流出などの２次被害を予防することができる。
【図面の簡単な説明】
【００２２】
【図１】本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応装置の構成図である。
【図２】本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明するための流れ図である。
【図３】本発明の他の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明するための流れ図である。
【発明を実施するための形態】
【００２３】
以下、本発明による実施例を添付の図面を参照して詳細に説明する。しかし、本発明が下記実施例に限定されるものではない。各図面に示された同一の参照符号は、同一の部材を示す。
【００２４】
図１は、本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応装置の構成図である。図１を参照して本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボットに対応装置の構成を説明する。
【００２５】
図１に示されたように、本発明の一実施例によるインテリジェントボット対応装置１００は、全域フッキングモジュール１１０及び仮想マシン情報データベース１２０を備えて構成される。
【００２６】
インテリジェントボット１３０がユーザ端末で仮想マシンを使用するか否かを判断するために、前記ユーザ端末にプロセスの実行のための仮想マシン（Virtual Machine）の探知要請を伝送すれば、全域フッキングモジュール１１０は、前記仮想マシンの探知要請を全域フッキング（Global hooking）する。
【００２７】
全域フッキングモジュール１１０は、仮想マシン情報データベース１２０に保存された悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断する。
【００２８】
仮想マシン情報データベース１２０は、ユーザ端末が仮想マシンを使用するものとして偽装する偽装仮想マシン情報及び悪性プロセスを判断するための悪性プロセス情報を保存する。仮想マシン情報データベース１２０に保存される前記悪性プロセス情報は、前記ユーザ端末のファイル、前記仮想マシンのネットワークアドレス及び前記ユーザ端末のレジストリのうち少なくともいずれか１つに接近するための情報を含むことができる。
【００２９】
したがって、全域フッキングモジュール１１０は、前記プロセスが悪性プロセスに該当するものと判断すれば、前記ユーザ端末で仮想マシンを使用するものとして偽装するための偽装仮想マシン情報を仮想マシン情報データベース１２０から読み込んで、前記プロセスを実行したインテリジェントボット１３０にリターンする。この際、前記偽装仮想マシン情報は、仮想マシン情報データベース１２０に保存され、前記ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことができる。
【００３０】
以下では、全域フッキングモジュール１１０についてさらに詳細に説明する。
全域フッキングモジュール１１０は、ファイル制御モジュール１１１、ネットワーク制御モジュール１１２及びレジストリ制御モジュール１１３を備えて構成されることができる。
【００３１】
ファイル制御モジュール１１１は、仮想マシン情報データベース１２０に保存された悪性プロセス情報を参照して前記プロセスがユーザ端末のファイルに対する接近を実行すれば、前記プロセスを悪性プロセスであると判断する。それによって、ファイル制御モジュール１１１は、前記仮想マシンに偽装するための偽装ファイル情報を仮想マシン情報データベース１２０から受信し、前記プロセスを実行したインテリジェントボット１３０にリターンすることができる。
【００３２】
また、ネットワーク制御モジュール１１２は、仮想マシン情報データベース１２０に保存された悪性プロセス情報を参照して前記プロセスが仮想マシンネットワークアドレス検査を実行すれば、前記プロセスを悪性プロセスであると判断する。それによって、ネットワーク制御モジュール１１２は、前記仮想マシンに偽装するための偽装ネットワークアドレス情報を仮想マシン情報データベース１２０から受信し、前記プロセスを実行したインテリジェントボット１３０にリターンすることができる。
【００３３】
また、レジストリ制御モジュール１１３は、仮想マシン情報データベース１２０に保存された悪性プロセス情報を参照して前記プロセスが前記ユーザ端末のレジストリ接近を実行する要請なら、前記プロセスを悪性プロセスであると判断する。それによって、レジストリ制御モジュール１１３は、前記仮想マシンに偽装するための偽装レジストリ情報を仮想マシン情報データベース１２０から受信し、前記プロセスを実行したインテリジェントボット１３０にリターンすることができる。
【００３４】
それに加えて、全域フッキングモジュール１１０は、前記仮想マシン探知要請のバイナリーハッシュ値が仮想マシン情報データベース１２０に保存された悪性コードのハッシュ値と一致すれば、前記プロセスが悪性プロセスであると判断するように構成されることができる。
【００３５】
一方、全域フッキングモジュール１１０は、前記プロセスが仮想マシン情報データベース１２０に保存された正常プロセスのリストであるホワイトリストに含まれるか否かを判断し、前記判断結果、ホワイトリストに含まれない場合にのみ、上記のような悪性プロセスの判断を行うように構成されることができる。
【００３６】
全域フッキングモジュール１１０は、前記仮想マシン探知要請を伝達したプロセスが悪性プロセスではないものと判断するか、前記プロセスが前記ホワイトリストに含まれれば、前記プロセスが正常プロセスであると判断することができる。全域フッキングモジュール１１０は、上記のように、プロセスが正常プロセスであると判断すれば、前記ユーザ端末のウィンドウカーネル（Kernel）１４０に前記仮想マシン探知要請を伝達し、前記ユーザ端末のウィンドウカーネル１４０から前記仮想マシン探知要請に対する正常値を受信し、前記プロセスを実行したインテリジェントボット１３０にリターンすることができる。
【００３７】
一方、本発明の一実施例によるインテリジェントボット１３０からの仮想マシン探知要請は、ＶＭｗａｒｅまたはＣＷ Ｓａｎｄｂｏｘなどで具現される仮想マシン（Virtual Machine）を対象にした要請であることができる。
【００３８】
したがって、本発明の一実施例によれば、仮想マシンの動作を探知するインテリジェントボットが仮想マシン上で動作するものと判断するように偽装仮想マシン情報を提供し、インテリジェントボットが悪性プロセスを中断するようにすることができる。
【００３９】
図２は、本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明するための流れ図である。図２を参照して、本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明する。
【００４０】
本発明の一実施例によれば、インテリジェントボット対応装置は、プロセスからの仮想マシン探知要請を全域フッキングする（Ｓ２１０）。
【００４１】
インテリジェントボット対応装置は、既保存された悪性プロセスに基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断する（Ｓ２２０）。
【００４２】
インテリジェントボット対応装置は、前記判断結果、悪性プロセスに該当すれば、偽装仮想マシン情報を前記プロセスにリターンし、この際、前記偽装仮想マシン情報は、ユーザ端末が仮想マシンを使用するものとして偽装するための情報である（Ｓ２３０）。
【００４３】
一方、インテリジェントボット対応装置は、前記プロセスが悪性プロセスに該当しないものと判断すれば、前記ユーザ端末のウィンドウカーネルに前記仮想マシン探知要請を伝達することができる（Ｓ２４０）。その後、インテリジェントボット対応装置は、前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンすることができる（Ｓ２５０）。
【００４４】
図３は、本発明の他の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明するための流れ図である。図３を参照して本発明のさらに他の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明する。
【００４５】
インテリジェントボット対応装置は、プロセスからの仮想マシン探知要請を全域フッキングし（Ｓ３１０）、前記プロセスがホワイトリストに含まれるか否かを判断することができる（Ｓ３２０）。この際、前記ホワイトリストは、正常プロセスのリストとして仮想マシン情報データベースに保存される。
【００４６】
インテリジェントボット対応装置は、前記判断結果、前記プロセスが前記ホワイトリストに含まれない場合、前記プロセスが前記ユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つを実行するプロセスであるか否かを判断することができる（Ｓ３３０）。
【００４７】
インテリジェントボット対応装置は、前記プロセスが前記ユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つを実行するプロセスであると判断すれば、前記仮想マシン探知要請のバイナリーハッシュ値が仮想マシン情報データベースに保存されている悪性コードのハッシュ値と一致するか否かによって悪性プロセスであるか否かを判断することができる（Ｓ３３５）。
【００４８】
例えば、インテリジェントボット対応装置は、前記プロセスが００−０５−６９−ｘｘ−ｘｘ−ｘｘ、００−０ｃ−２９−ｘｘ−ｘｘ−ｘｘ、００−５０−５６−ｘｘ−ｘｘ−ｘｘなどのように、仮想マシンで使用するＭＡＣアドレスに接近するか否かによって悪性プロセスであるか否かを判断するか、前記レジストリに接近し、仮想マシンで使用するプロダクト（product）ＩＤ、ハードドライバー、ビデオドライバーなどの情報に接近するか否かによって悪性プロセスであるか否かを判断することができる。
【００４９】
インテリジェントボット対応装置は、前記判断結果、前記プロセスが前記ユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つに該当し、前記仮想マシン探知要請のバイナリーハッシュ値が悪性コードのハッシュ値と一致し、悪性プロセスであると判断した場合には、ユーザ端末が仮想マシンを使用するものとして偽装するための偽装仮想マシン情報を前記プロセスを要請した前記プロセスにリターンする（Ｓ３４０）。この際、前記偽装仮想マシン情報は前記ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことができる。
【００５０】
一方、インテリジェントボット対応装置は、前記判断結果、前記プロセスが前記ホワイトリストに含まれるか、前記仮想マシン探知要請が前記ユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つに該当しないか、前記仮想マシン探知要請のバイナリーハッシュ値が悪性コードのハッシュ値と一致しないものと判断する場合には、前記プロセスが悪性プロセスに該当しないものと判断し、前記ユーザ端末のウィンドウカーネルに前記仮想マシン探知要請を伝達することができる（Ｓ３５０）。
【００５１】
また、前記プロセスがホワイトリストに含まれず、前記仮想マシン探知要請が前記ユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つに該当するが、前記仮想マシン探知要請のバイナリーハッシュ値が悪性コードハッシュ値と一致しない場合には、仮想マシン情報データベースに前記仮想マシン探知要請のバイナリーハッシュ値を保存する（Ｓ３３６）。この際、ファイル、プロセス、レジストリ、ネットワークに対する行為を別途の外部システムで分析して悪性可否を判断し、悪性の場合には、前記バイナリーハッシュ値を悪性コードハッシュ値として仮想マシン情報データベースに保存することができる。
【００５２】
それによって、インテリジェントボット対応装置は、前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンすることができる（Ｓ３６０）。
【００５３】
したがって、本発明によれば、仮想マシンの動作を探知するインテリジェントボットが仮想マシン上で動作するものと判断するように偽装仮想マシン情報を提供し、インテリジェントボットが悪性プロセスを中断するようにすることができる。したがって、本発明によれば、ユーザ端末がインテリジェントボットに感染されても、悪性プロセスを実行しないようにして、ＤＤｏｓ（Distributed denial of service）攻撃または情報流出などの２次被害を予防することができる。
【００５４】
前述した本発明の実施例は、任意の多様な方法で具現されることができる。例えば、実施例は、ハードウェア、ソフトウェアまたはそれらの組み合わせを利用して具現されることができる。ソフトウェアで具現される場合に、多様な運営体制またはプラットフォームを利用する１つ以上のプロセッサ上で実行されるソフトウェアとして具現されることができる。追加的に、このようなソフトウェアは、多数の適合なプログラミング言語のうち任意のものを使用して作成されることができ、また、フレームワークまたは仮想マシンで実行される実行可能な機械語コードまたは中間コードにコンパイルされることができる。
【００５５】
また、本発明は、１つ以上のコンピューターまたは他のプロセッサ上で実行される場合、上記で論議された本発明の多様な実施例を具現する方法を行う１つ以上のプログラムが記録されたコンピュータで読み取り可能な媒体（例えば、コンピュータメモリ、１つ以上のプロッピィーディスク、コンパクトディスク、光学ディスク、磁気テープ、フラッシュメモリなど）で具現されることができる。
【００５６】
以上のように、本発明では具体的な構成要素などのような特定事項と限定された実施例及び図面によって説明されたが、これは、本発明のさらに全般的な理解を助けるために提供されるものに過ぎず、本発明は、上記実施例に限定されるものではなく、本発明の属する分野における通常的な知識を有する者ならこのような記載から多様な修正及び変形が可能である。したがって、本発明の思想は、説明された実施例に限って定められるものではなく、後述する特許請求範囲だけでなく、この特許請求範囲と均等または等価的変形があるすべてのものなどは、本発明思想の範疇に属すると言える。
【符号の説明】
【００５７】
１００ インテリジェントボット対応装置
１１０ 全域フッキングモジュール
１１１ ファイル制御モジュール
１１２ ネットワーク制御モジュール
１１３ レジストリ制御モジュール
１２０ 仮想マシン情報データベース
１３０ インテリジェントボット
１４０ ウィンドウカーネル
【技術分野】
【０００１】
本発明は、偽装仮想マシン情報を利用したインテリジェントボット対応方法及び装置に関し、より詳細には、インテリジェントボットの悪性プロセスを中断するようにする偽装仮想マシン情報を利用したインテリジェントボット対応方法及び装置に関する。
【背景技術】
【０００２】
インテリジェントボット（Intelligent Bots）は、ユーザの直接的な参加なしに正規的に情報を収集するか、またはサービスを行うプログラムを言う。一般的に、インテリジェントボットは、ユーザが提供したパラメータを使用してインターネットに接続された端末を検索し、ユーザが関心を持っている情報を収集し、ユーザに提供する。しかし、このようなインテリジェントボットは、その特性上、ユーザの意図によって悪性行為に使用されることができる。
【０００３】
したがって、保安専門家は、このようなインテリジェントボットを利用した悪性行為を分析するために、仮想マシン（Virtual Machine）を実行し、仮想マシン上でインテリジェントボットが実行されるようにして、悪性行為を分析及び追跡している。
【０００４】
しかし、インテリジェントボットの製作者は、このような仮想マシン実行を用いた方法に対応するために、仮想マシンの動作を探知する方法を使用している。このような仮想マシンの動作を探知する方法によれば、インテリジェントボットが仮想マシン上で動作するか否かを探知し、インテリジェントボットが仮想マシン上で動作するものと判断すれば、悪性行為を実行せずに終了する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】韓国登録特許第１０−０９２７２４０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明は、前述したような従来の問題点を解決するためになされたもので、その目的は、仮想マシンの動作を探知するインテリジェントボットが仮想マシン上で動作するものと判断するように、偽装仮想マシン情報を提供し、インテリジェントボットが悪性プロセスを中断するようにすることによって、ユーザ端末がインテリジェントボットに感染されても、悪性プロセスを実行しないようにして、ＤＤｏｓ（distributed denial of service）攻撃または情報流出などの被害を予防することにある。
【課題を解決するための手段】
【０００７】
上記目的を達成するために、本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法は、プロセスからの仮想マシン探知要請を全域フッキング（Global hooking）する段階と、既保存された悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断する段階と、前記判断結果、悪性プロセスに該当すれば、前記プロセスがインテリジェントボットによって生成されたものと判断し、偽装仮想マシン情報を前記プロセスにリターンする段階とを含む。
【０００８】
本発明の他の一実施例によれば、前記プロセスが悪性プロセスに該当するか否かを判断する段階は、前記プロセスがユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つを実行する悪性プロセスに該当するか否かを判断することができる。
【０００９】
本発明のさらに他の一実施例によれば、前記プロセスが悪性プロセスに該当するか否かを判断する段階は、前記プロセスが既保存された正常プロセスのリストであるホワイトリストに含まれるか否かを判断する段階をさらに含むことができる。
【００１０】
本発明のさらに他の一実施例によれば、前記プロセスが悪性プロセスに該当するか否かを判断する段階は、前記仮想マシン探知要請のバイナリーハッシュ値が既保存された悪性コードのハッシュ値と一致するか否かを判断する段階をさらに含むことができる。
【００１１】
本発明のさらに他の一実施例によれば、前記判断結果、一致しなければ、前記仮想マシン探知要請のバイナリーハッシュ値を保存する段階をさらに含むことができる。
【００１２】
本発明のさらに他の一実施例によれば、前記偽装仮想マシン情報は、ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことができる。
【００１３】
本発明のさらに他の一実施例によれば、前記判断結果、悪性プロセスに該当しなければ、ユーザ端末のウィンドウカーネル（Kernel）に前記仮想マシン探知要請を伝達する段階と、前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンする段階とをさらに含むことができる。
【００１４】
本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応装置は、ユーザ端末が仮想マシンを使用するものとして偽装する偽装仮想マシン情報及び悪性プロセスを判断するための悪性プロセス情報を保存する仮想マシン情報データベースと、プロセスからの仮想マシン探知要請を全域フッキングし、前記仮想マシン情報データベースに保存された前記悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断し、前記判断結果、前記プロセスが悪性プロセスに該当すれば、前記仮想マシン情報データベースに保存された偽装仮想マシン情報を前記プロセスにリターンする全域フッキングモジュールとを含む。
【００１５】
本発明のさらに他の一実施例によれば、前記全域フッキングモジュールは、前記悪性プロセス情報に基づいて前記プロセスが前記ユーザ端末のファイルに対する接近を実行すれば、悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装ファイル情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするファイル制御モジュールと、前記悪性プロセス情報に基づいて前記プロセスが仮想マシンネットワークアドレス検査を実行すれば、悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装ネットワークアドレス情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするネットワーク制御モジュールと、前記悪性プロセス情報に基づいて前記プロセスが前記ユーザ端末のレジストリ接近を実行すれば、前記プロセスが悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装レジストリ情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするレジストリ制御モジュールとを含む。
【００１６】
本発明のさらに他の一実施例によれば、前記全域フッキングモジュールは、前記プロセスが前記仮想マシン情報データベースに保存された正常プロセスのリストであるホワイトリストに含まれなければ、前記プロセスが悪性プロセスであると判断することができる。
【００１７】
本発明のさらに他の一実施例によれば、前記全域フッキングモジュールは、前記仮想マシン探知要請のバイナリーハッシュ値が前記仮想マシン情報データベースに保存された悪性コードのハッシュ値と一致すれば、前記プロセスが悪性プロセスであると判断することができる。
【００１８】
本発明のさらに他の一実施例によれば、前記偽装仮想マシン情報は、前記ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことができる。
【００１９】
本発明のさらに他の一実施例によれば、前記悪性プロセス情報は、前記ユーザ端末のファイル、前記仮想マシンのネットワークアドレス及び前記ユーザ端末のレジストリのうち少なくともいずれか１つに接近するための情報を含むことができる。
【００２０】
本発明のさらに他の一実施例によれば、前記全域フッキングモジュールは、前記判断結果、悪性プロセスに該当しなければ、前記ユーザ端末のウィンドウカーネルに前記仮想マシン探知要請を伝達し、前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンすることができる。
【発明の効果】
【００２１】
本発明によれば、仮想マシンの動作を探知するインテリジェントボットが仮想マシン上で動作するものと判断するように偽装仮想マシン情報を提供し、インテリジェントボットが悪性プロセスを中断するようにして、ユーザ端末がインテリジェントボットに感染されても、悪性プロセスを実行しないようにして、ＤＤｏｓ（Distributed denial of service）攻撃または情報流出などの２次被害を予防することができる。
【図面の簡単な説明】
【００２２】
【図１】本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応装置の構成図である。
【図２】本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明するための流れ図である。
【図３】本発明の他の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明するための流れ図である。
【発明を実施するための形態】
【００２３】
以下、本発明による実施例を添付の図面を参照して詳細に説明する。しかし、本発明が下記実施例に限定されるものではない。各図面に示された同一の参照符号は、同一の部材を示す。
【００２４】
図１は、本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応装置の構成図である。図１を参照して本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボットに対応装置の構成を説明する。
【００２５】
図１に示されたように、本発明の一実施例によるインテリジェントボット対応装置１００は、全域フッキングモジュール１１０及び仮想マシン情報データベース１２０を備えて構成される。
【００２６】
インテリジェントボット１３０がユーザ端末で仮想マシンを使用するか否かを判断するために、前記ユーザ端末にプロセスの実行のための仮想マシン（Virtual Machine）の探知要請を伝送すれば、全域フッキングモジュール１１０は、前記仮想マシンの探知要請を全域フッキング（Global hooking）する。
【００２７】
全域フッキングモジュール１１０は、仮想マシン情報データベース１２０に保存された悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断する。
【００２８】
仮想マシン情報データベース１２０は、ユーザ端末が仮想マシンを使用するものとして偽装する偽装仮想マシン情報及び悪性プロセスを判断するための悪性プロセス情報を保存する。仮想マシン情報データベース１２０に保存される前記悪性プロセス情報は、前記ユーザ端末のファイル、前記仮想マシンのネットワークアドレス及び前記ユーザ端末のレジストリのうち少なくともいずれか１つに接近するための情報を含むことができる。
【００２９】
したがって、全域フッキングモジュール１１０は、前記プロセスが悪性プロセスに該当するものと判断すれば、前記ユーザ端末で仮想マシンを使用するものとして偽装するための偽装仮想マシン情報を仮想マシン情報データベース１２０から読み込んで、前記プロセスを実行したインテリジェントボット１３０にリターンする。この際、前記偽装仮想マシン情報は、仮想マシン情報データベース１２０に保存され、前記ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことができる。
【００３０】
以下では、全域フッキングモジュール１１０についてさらに詳細に説明する。
全域フッキングモジュール１１０は、ファイル制御モジュール１１１、ネットワーク制御モジュール１１２及びレジストリ制御モジュール１１３を備えて構成されることができる。
【００３１】
ファイル制御モジュール１１１は、仮想マシン情報データベース１２０に保存された悪性プロセス情報を参照して前記プロセスがユーザ端末のファイルに対する接近を実行すれば、前記プロセスを悪性プロセスであると判断する。それによって、ファイル制御モジュール１１１は、前記仮想マシンに偽装するための偽装ファイル情報を仮想マシン情報データベース１２０から受信し、前記プロセスを実行したインテリジェントボット１３０にリターンすることができる。
【００３２】
また、ネットワーク制御モジュール１１２は、仮想マシン情報データベース１２０に保存された悪性プロセス情報を参照して前記プロセスが仮想マシンネットワークアドレス検査を実行すれば、前記プロセスを悪性プロセスであると判断する。それによって、ネットワーク制御モジュール１１２は、前記仮想マシンに偽装するための偽装ネットワークアドレス情報を仮想マシン情報データベース１２０から受信し、前記プロセスを実行したインテリジェントボット１３０にリターンすることができる。
【００３３】
また、レジストリ制御モジュール１１３は、仮想マシン情報データベース１２０に保存された悪性プロセス情報を参照して前記プロセスが前記ユーザ端末のレジストリ接近を実行する要請なら、前記プロセスを悪性プロセスであると判断する。それによって、レジストリ制御モジュール１１３は、前記仮想マシンに偽装するための偽装レジストリ情報を仮想マシン情報データベース１２０から受信し、前記プロセスを実行したインテリジェントボット１３０にリターンすることができる。
【００３４】
それに加えて、全域フッキングモジュール１１０は、前記仮想マシン探知要請のバイナリーハッシュ値が仮想マシン情報データベース１２０に保存された悪性コードのハッシュ値と一致すれば、前記プロセスが悪性プロセスであると判断するように構成されることができる。
【００３５】
一方、全域フッキングモジュール１１０は、前記プロセスが仮想マシン情報データベース１２０に保存された正常プロセスのリストであるホワイトリストに含まれるか否かを判断し、前記判断結果、ホワイトリストに含まれない場合にのみ、上記のような悪性プロセスの判断を行うように構成されることができる。
【００３６】
全域フッキングモジュール１１０は、前記仮想マシン探知要請を伝達したプロセスが悪性プロセスではないものと判断するか、前記プロセスが前記ホワイトリストに含まれれば、前記プロセスが正常プロセスであると判断することができる。全域フッキングモジュール１１０は、上記のように、プロセスが正常プロセスであると判断すれば、前記ユーザ端末のウィンドウカーネル（Kernel）１４０に前記仮想マシン探知要請を伝達し、前記ユーザ端末のウィンドウカーネル１４０から前記仮想マシン探知要請に対する正常値を受信し、前記プロセスを実行したインテリジェントボット１３０にリターンすることができる。
【００３７】
一方、本発明の一実施例によるインテリジェントボット１３０からの仮想マシン探知要請は、ＶＭｗａｒｅまたはＣＷ Ｓａｎｄｂｏｘなどで具現される仮想マシン（Virtual Machine）を対象にした要請であることができる。
【００３８】
したがって、本発明の一実施例によれば、仮想マシンの動作を探知するインテリジェントボットが仮想マシン上で動作するものと判断するように偽装仮想マシン情報を提供し、インテリジェントボットが悪性プロセスを中断するようにすることができる。
【００３９】
図２は、本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明するための流れ図である。図２を参照して、本発明の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明する。
【００４０】
本発明の一実施例によれば、インテリジェントボット対応装置は、プロセスからの仮想マシン探知要請を全域フッキングする（Ｓ２１０）。
【００４１】
インテリジェントボット対応装置は、既保存された悪性プロセスに基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断する（Ｓ２２０）。
【００４２】
インテリジェントボット対応装置は、前記判断結果、悪性プロセスに該当すれば、偽装仮想マシン情報を前記プロセスにリターンし、この際、前記偽装仮想マシン情報は、ユーザ端末が仮想マシンを使用するものとして偽装するための情報である（Ｓ２３０）。
【００４３】
一方、インテリジェントボット対応装置は、前記プロセスが悪性プロセスに該当しないものと判断すれば、前記ユーザ端末のウィンドウカーネルに前記仮想マシン探知要請を伝達することができる（Ｓ２４０）。その後、インテリジェントボット対応装置は、前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンすることができる（Ｓ２５０）。
【００４４】
図３は、本発明の他の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明するための流れ図である。図３を参照して本発明のさらに他の一実施例による偽装仮想マシン情報を利用したインテリジェントボット対応方法を説明する。
【００４５】
インテリジェントボット対応装置は、プロセスからの仮想マシン探知要請を全域フッキングし（Ｓ３１０）、前記プロセスがホワイトリストに含まれるか否かを判断することができる（Ｓ３２０）。この際、前記ホワイトリストは、正常プロセスのリストとして仮想マシン情報データベースに保存される。
【００４６】
インテリジェントボット対応装置は、前記判断結果、前記プロセスが前記ホワイトリストに含まれない場合、前記プロセスが前記ユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つを実行するプロセスであるか否かを判断することができる（Ｓ３３０）。
【００４７】
インテリジェントボット対応装置は、前記プロセスが前記ユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つを実行するプロセスであると判断すれば、前記仮想マシン探知要請のバイナリーハッシュ値が仮想マシン情報データベースに保存されている悪性コードのハッシュ値と一致するか否かによって悪性プロセスであるか否かを判断することができる（Ｓ３３５）。
【００４８】
例えば、インテリジェントボット対応装置は、前記プロセスが００−０５−６９−ｘｘ−ｘｘ−ｘｘ、００−０ｃ−２９−ｘｘ−ｘｘ−ｘｘ、００−５０−５６−ｘｘ−ｘｘ−ｘｘなどのように、仮想マシンで使用するＭＡＣアドレスに接近するか否かによって悪性プロセスであるか否かを判断するか、前記レジストリに接近し、仮想マシンで使用するプロダクト（product）ＩＤ、ハードドライバー、ビデオドライバーなどの情報に接近するか否かによって悪性プロセスであるか否かを判断することができる。
【００４９】
インテリジェントボット対応装置は、前記判断結果、前記プロセスが前記ユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つに該当し、前記仮想マシン探知要請のバイナリーハッシュ値が悪性コードのハッシュ値と一致し、悪性プロセスであると判断した場合には、ユーザ端末が仮想マシンを使用するものとして偽装するための偽装仮想マシン情報を前記プロセスを要請した前記プロセスにリターンする（Ｓ３４０）。この際、前記偽装仮想マシン情報は前記ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことができる。
【００５０】
一方、インテリジェントボット対応装置は、前記判断結果、前記プロセスが前記ホワイトリストに含まれるか、前記仮想マシン探知要請が前記ユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つに該当しないか、前記仮想マシン探知要請のバイナリーハッシュ値が悪性コードのハッシュ値と一致しないものと判断する場合には、前記プロセスが悪性プロセスに該当しないものと判断し、前記ユーザ端末のウィンドウカーネルに前記仮想マシン探知要請を伝達することができる（Ｓ３５０）。
【００５１】
また、前記プロセスがホワイトリストに含まれず、前記仮想マシン探知要請が前記ユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つに該当するが、前記仮想マシン探知要請のバイナリーハッシュ値が悪性コードハッシュ値と一致しない場合には、仮想マシン情報データベースに前記仮想マシン探知要請のバイナリーハッシュ値を保存する（Ｓ３３６）。この際、ファイル、プロセス、レジストリ、ネットワークに対する行為を別途の外部システムで分析して悪性可否を判断し、悪性の場合には、前記バイナリーハッシュ値を悪性コードハッシュ値として仮想マシン情報データベースに保存することができる。
【００５２】
それによって、インテリジェントボット対応装置は、前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンすることができる（Ｓ３６０）。
【００５３】
したがって、本発明によれば、仮想マシンの動作を探知するインテリジェントボットが仮想マシン上で動作するものと判断するように偽装仮想マシン情報を提供し、インテリジェントボットが悪性プロセスを中断するようにすることができる。したがって、本発明によれば、ユーザ端末がインテリジェントボットに感染されても、悪性プロセスを実行しないようにして、ＤＤｏｓ（Distributed denial of service）攻撃または情報流出などの２次被害を予防することができる。
【００５４】
前述した本発明の実施例は、任意の多様な方法で具現されることができる。例えば、実施例は、ハードウェア、ソフトウェアまたはそれらの組み合わせを利用して具現されることができる。ソフトウェアで具現される場合に、多様な運営体制またはプラットフォームを利用する１つ以上のプロセッサ上で実行されるソフトウェアとして具現されることができる。追加的に、このようなソフトウェアは、多数の適合なプログラミング言語のうち任意のものを使用して作成されることができ、また、フレームワークまたは仮想マシンで実行される実行可能な機械語コードまたは中間コードにコンパイルされることができる。
【００５５】
また、本発明は、１つ以上のコンピューターまたは他のプロセッサ上で実行される場合、上記で論議された本発明の多様な実施例を具現する方法を行う１つ以上のプログラムが記録されたコンピュータで読み取り可能な媒体（例えば、コンピュータメモリ、１つ以上のプロッピィーディスク、コンパクトディスク、光学ディスク、磁気テープ、フラッシュメモリなど）で具現されることができる。
【００５６】
以上のように、本発明では具体的な構成要素などのような特定事項と限定された実施例及び図面によって説明されたが、これは、本発明のさらに全般的な理解を助けるために提供されるものに過ぎず、本発明は、上記実施例に限定されるものではなく、本発明の属する分野における通常的な知識を有する者ならこのような記載から多様な修正及び変形が可能である。したがって、本発明の思想は、説明された実施例に限って定められるものではなく、後述する特許請求範囲だけでなく、この特許請求範囲と均等または等価的変形があるすべてのものなどは、本発明思想の範疇に属すると言える。
【符号の説明】
【００５７】
１００ インテリジェントボット対応装置
１１０ 全域フッキングモジュール
１１１ ファイル制御モジュール
１１２ ネットワーク制御モジュール
１１３ レジストリ制御モジュール
１２０ 仮想マシン情報データベース
１３０ インテリジェントボット
１４０ ウィンドウカーネル
【特許請求の範囲】
【請求項１】
プロセスからの仮想マシン探知要請を全域フッキング（Global hooking）する段階と、
既保存された悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断する段階と、
前記判断の結果、悪性プロセスに該当すれば、前記プロセスがインテリジェントボットによって生成されたものと判断し、偽装仮想マシン情報を前記プロセスにリターンする段階と、
を含む偽装仮想マシン情報を利用したインテリジェントボット対応方法。
【請求項２】
前記プロセスが悪性プロセスに該当するか否かを判断する段階は、
前記プロセスがユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つを実行する悪性プロセスに該当するか否かを判断することを特徴とする請求項１に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
【請求項３】
前記プロセスが悪性プロセスに該当するか否かを判断する段階は、
前記プロセスが既保存された正常プロセスのリストであるホワイトリストに含まれるか否かを判断する段階をさらに含むことを特徴とする請求項１に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
【請求項４】
前記プロセスが悪性プロセスに該当するか否かを判断する段階は、
前記仮想マシン探知要請のバイナリーハッシュ値が既保存された悪性コードのハッシュ値と一致するか否かを判断する段階をさらに含むことを特徴とする請求項１に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
【請求項５】
前記判断の結果、一致しなければ、前記仮想マシン探知要請のバイナリーハッシュ値を保存する段階をさらに含むことを特徴とする請求項４に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
【請求項６】
前記偽装仮想マシン情報は、
ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことを特徴とする請求項１に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
【請求項７】
前記判断の結果、悪性プロセスに該当しなければ、ユーザ端末のウィンドウカーネルに前記仮想マシン探知要請を伝達する段階と、
前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンする段階と、
をさらに含むことを特徴とする請求項１に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
【請求項８】
ユーザ端末が仮想マシンを使用するものとして偽装する偽装仮想マシン情報及び悪性プロセスを判断するための悪性プロセス情報を保存する仮想マシン情報データベースと、
プロセスからの仮想マシン探知要請を全域フッキングし、前記仮想マシン情報データベースに保存された前記悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断し、前記判断の結果、前記プロセスが悪性プロセスに該当すれば、前記仮想マシン情報データベースに保存された偽装仮想マシン情報を前記プロセスにリターンする全域フッキングモジュールと、
を含む偽装仮想マシン情報を利用したインテリジェントボット対応装置。
【請求項９】
前記全域フッキングモジュールは、
前記悪性プロセス情報に基づいて前記プロセスが前記ユーザ端末のファイルに対する接近を実行すれば、悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装ファイル情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするファイル制御モジュールと、
前記悪性プロセス情報に基づいて前記プロセスが仮想マシンネットワークアドレス検査を実行すれば、悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装ネットワークアドレス情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするネットワーク制御モジュールと、
前記悪性プロセス情報に基づいて前記プロセスが前記ユーザ端末のレジストリ接近を実行すれば、前記プロセスが悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装レジストリ情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするレジストリ制御モジュールと、
を含むことを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。
【請求項１０】
前記全域フッキングモジュールは、
前記プロセスが前記仮想マシン情報データベースに保存された正常プロセスのリストであるホワイトリストに含まれなければ、前記プロセスが悪性プロセスであると判断することを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。
【請求項１１】
前記全域フッキングモジュールは、
前記仮想マシン探知要請のバイナリーハッシュ値が前記仮想マシン情報データベースに保存された悪性コードのハッシュ値と一致すれば、前記プロセスが悪性プロセスであると判断することを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。
【請求項１２】
前記偽装仮想マシン情報は、
前記ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。
【請求項１３】
前記悪性プロセス情報は、
前記ユーザ端末のファイル、前記仮想マシンのネットワークアドレス及び前記ユーザ端末のレジストリのうち少なくともいずれか１つに接近するための情報であることを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。
【請求項１４】
前記全域フッキングモジュールは、
前記判断結果、悪性プロセスに該当しなければ、前記ユーザ端末のウィンドウカーネルに前記仮想マシン探知要請を伝達し、前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンすることを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。
【請求項１】
プロセスからの仮想マシン探知要請を全域フッキング（Global hooking）する段階と、
既保存された悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断する段階と、
前記判断の結果、悪性プロセスに該当すれば、前記プロセスがインテリジェントボットによって生成されたものと判断し、偽装仮想マシン情報を前記プロセスにリターンする段階と、
を含む偽装仮想マシン情報を利用したインテリジェントボット対応方法。
【請求項２】
前記プロセスが悪性プロセスに該当するか否かを判断する段階は、
前記プロセスがユーザ端末のファイルに対する接近、仮想マシンのネットワークアドレス検査及び前記ユーザ端末のレジストリに対する接近のうちいずれか１つを実行する悪性プロセスに該当するか否かを判断することを特徴とする請求項１に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
【請求項３】
前記プロセスが悪性プロセスに該当するか否かを判断する段階は、
前記プロセスが既保存された正常プロセスのリストであるホワイトリストに含まれるか否かを判断する段階をさらに含むことを特徴とする請求項１に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
【請求項４】
前記プロセスが悪性プロセスに該当するか否かを判断する段階は、
前記仮想マシン探知要請のバイナリーハッシュ値が既保存された悪性コードのハッシュ値と一致するか否かを判断する段階をさらに含むことを特徴とする請求項１に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
【請求項５】
前記判断の結果、一致しなければ、前記仮想マシン探知要請のバイナリーハッシュ値を保存する段階をさらに含むことを特徴とする請求項４に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
【請求項６】
前記偽装仮想マシン情報は、
ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことを特徴とする請求項１に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
【請求項７】
前記判断の結果、悪性プロセスに該当しなければ、ユーザ端末のウィンドウカーネルに前記仮想マシン探知要請を伝達する段階と、
前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンする段階と、
をさらに含むことを特徴とする請求項１に記載の偽装仮想マシン情報を利用したインテリジェントボット対応方法。
【請求項８】
ユーザ端末が仮想マシンを使用するものとして偽装する偽装仮想マシン情報及び悪性プロセスを判断するための悪性プロセス情報を保存する仮想マシン情報データベースと、
プロセスからの仮想マシン探知要請を全域フッキングし、前記仮想マシン情報データベースに保存された前記悪性プロセス情報に基づいて前記仮想マシン探知要請を伝達したプロセスが悪性プロセスに該当するか否かを判断し、前記判断の結果、前記プロセスが悪性プロセスに該当すれば、前記仮想マシン情報データベースに保存された偽装仮想マシン情報を前記プロセスにリターンする全域フッキングモジュールと、
を含む偽装仮想マシン情報を利用したインテリジェントボット対応装置。
【請求項９】
前記全域フッキングモジュールは、
前記悪性プロセス情報に基づいて前記プロセスが前記ユーザ端末のファイルに対する接近を実行すれば、悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装ファイル情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするファイル制御モジュールと、
前記悪性プロセス情報に基づいて前記プロセスが仮想マシンネットワークアドレス検査を実行すれば、悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装ネットワークアドレス情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするネットワーク制御モジュールと、
前記悪性プロセス情報に基づいて前記プロセスが前記ユーザ端末のレジストリ接近を実行すれば、前記プロセスが悪性プロセスであると判断し、前記仮想マシンに偽装するための偽装レジストリ情報を前記仮想マシン情報データベースから受信し、前記プロセスにリターンするレジストリ制御モジュールと、
を含むことを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。
【請求項１０】
前記全域フッキングモジュールは、
前記プロセスが前記仮想マシン情報データベースに保存された正常プロセスのリストであるホワイトリストに含まれなければ、前記プロセスが悪性プロセスであると判断することを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。
【請求項１１】
前記全域フッキングモジュールは、
前記仮想マシン探知要請のバイナリーハッシュ値が前記仮想マシン情報データベースに保存された悪性コードのハッシュ値と一致すれば、前記プロセスが悪性プロセスであると判断することを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。
【請求項１２】
前記偽装仮想マシン情報は、
前記ユーザ端末が仮想マシンを使用するものとして偽装するための偽装ファイル情報、偽装ネットワークアドレス情報及び偽装レジストリ情報のうち少なくともいずれか１つを含むことを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。
【請求項１３】
前記悪性プロセス情報は、
前記ユーザ端末のファイル、前記仮想マシンのネットワークアドレス及び前記ユーザ端末のレジストリのうち少なくともいずれか１つに接近するための情報であることを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。
【請求項１４】
前記全域フッキングモジュールは、
前記判断結果、悪性プロセスに該当しなければ、前記ユーザ端末のウィンドウカーネルに前記仮想マシン探知要請を伝達し、前記ユーザ端末のウィンドウカーネルから前記仮想マシン探知要請に対する正常値を受信し、前記プロセスにリターンすることを特徴とする請求項８に記載の偽装仮想マシン情報を利用したインテリジェントボット対応装置。
【図１】
【図２】
【図３】
【図２】
【図３】
【公開番号】特開２０１１−２３３１２５（Ｐ２０１１−２３３１２５Ａ）
【公開日】平成２３年１１月１７日（２０１１．１１．１７）
【国際特許分類】
【出願番号】特願２０１０−１７３７３２（Ｐ２０１０−１７３７３２）
【出願日】平成２２年８月２日（２０１０．８．２）
【出願人】（５９６１８００７６）韓國電子通信研究院 (733)
【氏名又は名称原語表記】Ｅｌｅｃｔｒｏｎｉｃｓ ａｎｄ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｒｅｓｅａｒｃｈ Ｉｎｓｔｉｔｕｔｅ
【住所又は居所原語表記】１６１ Ｋａｊｏｎｇ−ｄｏｎｇ， Ｙｕｓｏｎｇ−ｇｕ， Ｔａｅｊｏｎ ｋｏｒｅａ
【Ｆターム（参考）】
【公開日】平成２３年１１月１７日（２０１１．１１．１７）
【国際特許分類】
【出願日】平成２２年８月２日（２０１０．８．２）
【出願人】（５９６１８００７６）韓國電子通信研究院 (733)
【氏名又は名称原語表記】Ｅｌｅｃｔｒｏｎｉｃｓ ａｎｄ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｒｅｓｅａｒｃｈ Ｉｎｓｔｉｔｕｔｅ
【住所又は居所原語表記】１６１ Ｋａｊｏｎｇ−ｄｏｎｇ， Ｙｕｓｏｎｇ−ｇｕ， Ｔａｅｊｏｎ ｋｏｒｅａ
【Ｆターム（参考）】
[ Back to top ]