(57)【要約】      （修正有）【課題】悪性コードの検査を行い、悪性コードの実行を遮断する悪性コード遮断装置およびその動作方法を提供する。【解決手段】悪性コードの有無を判別する外部サーバーＳ内のデータベースと連動する悪性コード遮断装置Ｄは、端末が実行する少なくとも一つのプロセスのうち悪性コードの検査対象である対象プロセスを抽出し、抽出された対象プロセスの少なくとも一つの情報を前記データベースに保存する比較部２０００、および前記抽出された対象プロセスの実行を保留させ、前記外部サーバーから悪性コードの検査が完了した検査結果を受信して前記保留された対象プロセスの実行を制御する制御部３０００を含む。【選択図】図１
2018097858.tif 000002
【特許請求の範囲】
【請求項１】
悪性コードの有無を判別する外部サーバー内のデータベースと連動する悪性コード遮断装置であって、
端末が実行する少なくとも一つのプロセスのうち悪性コードの検査対象である対象プロセスを抽出し、抽出された対象プロセスの少なくとも一つの情報を前記データベースに保存する比較部と、
前記抽出された対象プロセスの実行を保留させ、前記外部サーバーから悪性コードの検査が完了した検査結果を受信して前記保留された対象プロセスの実行を制御する制御部と、を含む、悪性コード遮断装置。
【請求項２】
前記対象プロセスは、
生成されるかまたはダウンロードされた新規プロセスを抽出し、前記抽出された新規プロセスを前記外部サーバーから受信したホワイトリストと比較して、マッチングされないプロセスを含む、請求項１に記載の悪性コード遮断装置。
【請求項３】
前記新規プロセスはコールバック関数を利用したフィルタドライバーによって前記比較部に伝達される、請求項２に記載の悪性コード遮断装置。
【請求項４】
前記検査結果を分析する分析部をさらに含み、
前記分析部は、
検査が完了した前記対象プロセスがブラックリストにマッチングする場合、前記制御部に第１信号を送信する第１分析部と、
検査が完了した前記対象プロセスがホワイトリストにマッチングする場合、前記制御部に第２信号を送信する第２分析部と、
検査時間が超過して前記対象プロセスの検査が完了できなかった場合、前記制御部に第２信号を送信する第３分析部と、を含む、請求項１に記載の悪性コード遮断装置。
【請求項５】
前記制御部は、
前記抽出された対象プロセスの実行を保留させる第１制御部と、
前記第１信号によって、前記保留された対象プロセスの実行を遮断（Ｂｌｏｃｋ）する第２制御部と、
前記第２信号によって、前記保留された対象プロセスの実行を再開（Ｒｅｓｕｍｅ）する第３制御部と、を含む、請求項４に記載の悪性コード遮断装置。
【請求項６】
前記分析部は、
使用者から前記第１分析部によって遮断された前記対象プロセスに対して完了処理の要請がある場合、
前記第３制御部に第２信号を送信する第４分析部を含む、請求項５に記載の悪性コード遮断装置。
【請求項７】
使用者から前記処理された対象プロセスに対する完了処理の要請を受けた場合、前記対象プロセスの情報を前記外部サーバーのホワイトリストに保存する、請求項６に記載の悪性コード遮断装置。
【請求項８】
前記第１制御部は、
前記抽出された対象プロセスのプロセスＩＤ（Ｐｒｏｃｅｓｓ  ＩＤ）に該当するスレッド（ｔｈｒｅａｄ）ハンドルを中止（Ｓｕｓｐｅｎｄ）させて前記抽出された対象プロセスの実行を保留する、請求項５に記載の悪性コード遮断装置。
【請求項９】
前記第３制御部は、
前記抽出された対象プロセスのプロセスＩＤ（Ｐｒｏｃｅｓｓ  ＩＤ）に該当するスレッド（ｔｈｒｅａｄ）ハンドルを再開（Ｒｅｓｕｍｅ）させて前記保留された対象プロセスを実行する、請求項５に記載の悪性コード遮断装置。
【請求項１０】
悪性コードの有無を判別する外部サーバーと連動する悪性コード遮断装置の動作方法であって、
悪性コードを判別するための対象である対象プロセスを抽出する段階と、
抽出された前記対象プロセスの実行を保留する段階と、
保留された前記対象プロセスの少なくとも一つのデータ属性情報を前記外部サーバーに送信する段階と、
前記外部サーバーから受信した前記対象プロセスの悪性コード判別検査の結果を分析する段階と、
前記対象プロセスの悪性コード判別分析の結果に従って前記保留された対象プロセスを制御する段階と、を含む、悪性コード遮断装置の動作方法。
【請求項１１】
前記対象プロセスを抽出する段階は、
生成されるかまたはダウンロードされた新規プロセスを抽出する段階と、
前記新規プロセスを前記外部サーバーから受信したホワイトリストと比較する段階と、を含む、請求項１０に記載の悪性コード遮断装置の動作方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は悪性コード遮断装置およびその動作方法に関し、より詳細には新規プロセスに対して外部サーバーから悪性コードの検査を優先的に遂行する悪性コード遮断装置およびその動作方法に関する。
【背景技術】
【０００２】
今日の製造産業および情報通信産業の発展によってＩＣＴ（Ｉｎｆｏｒｍａｔｉｏｎ  ａｎｄ  ｃｏｍｍｕｎｉｃａｔｉｏｎ  ｔｅｃｈｎｏｌｏｇｉｅｓ）融合が加速化するにつれて、ネットワークセキュリティーの重要性もますます高くなりつつある。
【０００３】
その反面、最近発生した３．４ＤＤｏＳ攻撃、３．２０サイバーテロ、韓国水力原子力（株）事件およびインターパークハッキング事故などのように、悪性コードによる被害事例は日々増加している。
【０００４】
最近では、Ｚｅｒｏ−Ｄａｙ脆弱性をターゲット（ｔａｒｇｅｔ）とした悪性コードの登場、既存のセキュリティー装備を回避する新種迂回技法の出現、分析および識別が難しい知能化された悪性コードの発生など、新種または変種の悪性コードが拡散するにつれて、悪性コードを防御するための対策が急を要するのが実情である。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
前記のような問題点を解決するための本発明の目的は、悪性コードの実行を遮断する高性能の悪性コード遮断装置およびその動作方法を提供するところにある。
【０００６】
前記のような問題点を解決するための本発明の目的は、迅速な悪性コードの検査が可能な高効率の悪性コード遮断装置およびその動作方法を提供するところにある。
【課題を解決するための手段】
【０００７】
前記目的を達成するための本発明の実施例により悪性コードの有無を判別する外部サーバー内のデータベースと連動する悪性コード遮断装置は、端末が実行する少なくとも一つのプロセスのうち悪性コードの検査対象である対象プロセスを抽出し、抽出された対象プロセスの少なくとも一つの情報を前記データベースに保存する比較部および前記抽出された対象プロセスの実行を保留させ、前記外部サーバーから悪性コードの検査が完了した検査結果を受信して前記保留された対象プロセスの実行を制御する制御部を含む。
【０００８】
前記目的を達成するための本発明の実施例に係る前記悪性コード遮断装置の前記対象プロセスは、生成されるかまたはダウンロードされた新規プロセスを抽出し、前記抽出された新規プロセスを前記外部サーバーから受信したホワイトリストと比較して、マッチングしないプロセスを含むことができる。
【０００９】
前記目的を達成するための本発明の実施例に係る前記悪性コード遮断装置の前記新規プロセスは、コールバック関数を利用したフィルタドライバーによって前記比較部に伝達することができる。
【００１０】
前記目的を達成するための本発明の実施例に係る前記悪性コード遮断装置は、前記検査結果を分析する分析部をさらに含み、前記分析部は検査が完了した前記対象プロセスがブラックリストにマッチングする場合、前記制御部に第１信号を送信する第１分析部、検査が完了した前記対象プロセスがホワイトリストにマッチングする場合、前記制御部に第２信号を送信する第２分析部および検査時間が超過して前記対象プロセスの検査が完了できなかった場合、前記制御部に第２信号を送信する第３分析部を含むことができる。
【００１１】
前記目的を達成するための本発明の実施例に係る前記悪性コード遮断装置の前記制御部は、前記抽出された対象プロセスの実行を保留させる第１制御部、前記第１信号によって、前記保留された対象プロセスの実行を遮断（Ｂｌｏｃｋ）する第２制御部および前記第２信号によって、前記保留された対象プロセスの実行を再開（Ｒｅｓｕｍｅ）する第３制御部を含むことができる。
【００１２】
前記目的を達成するための本発明の実施例に係る前記悪性コード遮断装置の前記分析部は、使用者から前記第１分析部によって遮断された前記対象プロセスに対して完了処理の要請がある場合、前記第３制御部に第２信号を送信する第４分析部を含むことができる。
【００１３】
前記目的を達成するための本発明の実施例に係る前記悪性コード遮断装置は、使用者から前記処理された対象プロセスに対する完了処理の要請を受けた場合、前記対象プロセスの情報を前記外部サーバーのホワイトリストに保存することができる。
【００１４】
前記目的を達成するための本発明の実施例に係る前記悪性コード遮断装置の前記第１制御部は、前記抽出された対象プロセスのプロセスＩＤ（Ｐｒｏｃｅｓｓ  ＩＤ）に該当するスレッド（ｔｈｒｅａｄ）ハンドルを中止（Ｓｕｓｐｅｎｄ）させて前記抽出された対象プロセスの実行を保留することができる。
【００１５】
前記目的を達成するための本発明の実施例に係る前記悪性コード遮断装置の前記第３制御部は、前記抽出された対象プロセスのプロセスＩＤ（Ｐｒｏｃｅｓｓ  ＩＤ）に該当するスレッド（ｔｈｒｅａｄ）ハンドルを再開（Ｒｅｓｕｍｅ）させて前記保留された対象プロセスを実行することができる。
【００１６】
前記目的を達成するための本発明の実施例により悪性コードの有無を判別する外部サーバーと連動する悪性コード遮断装置の動作方法は、悪性コードを判別するための対象である対象プロセスを抽出する段階、抽出された前記対象プロセスの実行を保留する段階、保留された前記対象プロセスの少なくとも一つのデータ属性情報を前記外部サーバーに送信する段階、前記外部サーバーから受信した前記対象プロセスの悪性コード判別検査の結果を分析する段階および前記対象プロセスの悪性コード判別分析の結果に従って前記保留された対象プロセスを制御する段階を含む。
【００１７】
前記目的を達成するための本発明の実施例に係る前記悪性コード遮断装置の動作方法の前記対象プロセスを抽出する段階は、生成されるかまたはダウンロードされた新規プロセスを抽出する段階および前記新規プロセスを前記外部サーバーから受信したホワイトリストと比較する段階を含むことができる。
【発明の効果】
【００１８】
本発明の実施例に係る悪性コード遮断装置およびその動作方法は、端末部で実行される対象プロセスを仮想マシンで先に検査することによって、悪性コードから端末部を保護する高安全性の悪性コード遮断装置およびその動作方法が提供され得る。
【００１９】
また、本発明の実施例に係る悪性コード遮断装置およびその動作方法は、モニタリング部によって、新規生成されたファイルのうち使用者によって選択された拡張子ファイルを対象に悪性コードの検査を遂行することによって、処理速度が向上した高性能の悪性コード遮断装置およびその動作方法が提供され得る。
【００２０】
また、本発明の実施例に係る悪性コード遮断装置およびその動作方法は、モニタリング部によって分析が完了した対象プロセスもモニタリング対象として実施することによって、突発的な悪性行為を防御する高安全性の悪性コード遮断装置およびその動作方法を提供することができる。
【図面の簡単な説明】
【００２１】
【図１】本発明の実施例に係る悪性コード遮断装置を説明するための構成図。
【図２】本発明の実施例に係る悪性コード遮断装置の動作方法を説明するためのフローチャート。
【図３】本発明の実施例に係る悪性コード遮断装置の動作方法を説明するためのフローチャート。
【発明を実施するための形態】
【００２２】
本発明は多様な変更を加えることができ、多様な実施例を有することができるところ、特定の実施例を図面に例示し、詳細な説明に詳細に説明する。しかし、これは本発明を特定の実施形態に限定しようとするものではなく、本発明の思想および技術範囲に含まれるすべての変更、均等物ないし代替物を含むものと理解されるべきである。各図面の説明において、類似の構成要素に対しては類似の参照符号を付した。
【００２３】
第１、第２、Ａ、Ｂなどの用語は、多様な構成要素の説明に使われ得るものの、前記構成要素は前記用語によって限定されてはならない。前記用語は一つの構成要素を他の構成要素から区別する目的にのみ使われる。例えば、本発明の権利範囲を逸脱せず、かつ第１構成要素は第２構成要素と命名され得、同様に第２構成要素も第１構成要素と命名され得る。「および／または」という用語は複数の関連して記載された項目の組み合わせまたは複数の関連して記載された項目中のいずれかの項目を含む。
【００２４】
ある構成要素が他の構成要素に「連結されて」いるとか「接続されて」いると言及された時には、その他の構成要素に直接的に連結されているかまたは接続されていることもあり得るが、中間に他の構成要素が存在することもあり得ると理解されるべきである。その反面、ある構成要素が他の構成要素に「直接連結されて」いるとか「直接接続されて」いると言及された時には、中間に他の構成要素が存在しないと理解されるべきである。
【００２５】
本出願で使用した用語は、単に特定の実施例を説明するために使われたものであって、本発明を限定しようとする意図ではない。単数の表現は文脈上明白に異なることを意味しない限り、複数の表現を含む。本出願において、「含む」または「有する」などの用語は、明細書上に記載された特徴、数字、段階、動作、構成要素、部品またはこれらを組み合わせたものが存在することを指定するためのものであって、一つまたはそれ以上の他の特徴や数字、段階、動作、構成要素、部品またはこれらを組み合わせたものなどの存在または付加可能性をあらかじめ排除しないものと理解されるべきである。
【００２６】
別途に定義されない限り、技術的または科学的な用語を含めて、ここで使われるすべての用語は本発明が属する技術分野で通常の知識を有する者によって一般的に理解されるものと同じ意味を有している。一般に使われる辞書に定義されているような用語は、関連技術の文脈上有する意味と一致する意味を有すると解釈されるべきであり、本出願で明白に定義しない限り、理想的であるとか過度に形式的な意味に解釈されない。
【００２７】
以下、本発明に係る好ましい実施例を添付図面を参照して詳細に説明する。
【００２８】
図１は本発明の実施例に係る悪性コード遮断装置を説明するための構成図である。
【００２９】
図１を参照すると、悪性コード遮断装置Ｄは端末部で実行されるプログラムであり得る。ここで、端末部はタブレッドＰＣ（ｔａｂｌｅｔ  ＰＣ）、ノートブックコンピュータ（ｌａｐｔｏｐ  ｃｏｍｐｕｔｅｒ）、デジタル放送用端末部、ＰＤＡ（Ｐｅｒｓｏｎａｌ  Ｄｉｇｉｔａｌ  Ａｓｓｉｓｔａｎｔｓ）、ＰＭＰ（Ｐｏｒｔａｂｌｅ  Ｍｕｌｔｉｍｅｄｉａ  Ｐｌａｙｅｒ）またはナビゲーション（Ｎａｖｉｇａｔｉｏｎ）のうち少なくとも一つであり得る。
【００３０】
悪性コード遮断装置Ｄは、エージェント（ａｇｅｎｔ）が設置された環境で実行され得る。一般に、エージェント（ａｇｅｎｔ）は使用者が別途に管理することなく、定められた日程に従ってプロセスを遂行するプログラムであり得る。これにより、悪性コード遮断装置は後述される構成１１００、１５００によって動的に対象プロセスの抽出および／または実行を制御することができる。以下で構成の特徴をより具体的に説明する。
【００３１】
悪性コード遮断装置Ｄは、モニタリング部１０００、比較部２０００、制御部３０００、分析部４０００および保存部５０００を含むことができる。
【００３２】
モニタリング部１０００は、端末部に実行される新規プロセスを抽出することができる。より具体的に説明すると、モニタリング部１０００はフィルタドライバー（ｆｉｌｔｅｒ  ｄｒｉｖｅｒ）を利用して、新規プロセスを抽出することができる。例えば、モニタリング部１０００は、ｍｉｎｉｆｉｌｔｅｒ  ｄｒｉｖｅｒであり得る。
【００３３】
また、モニタリング部１０００はコールバック関数を利用して、後述される新規プロセスを比較部２０００に伝送することができる。
【００３４】
比較部２０００は新規プロセスおよびホワイトリストを比較して対象プロセスを抽出することができる。この時、新規プロセスは前述した通り、モニタリング部１０００から受信され得る。また、ホワイトリストは後述される保存部５０００から受信され得る。
【００３５】
ここで、ホワイトリストは安全なＩＰアドレスを有するプロセスの目録であり得る。したがって、比較部２０００は新規プロセスがホワイトリストに該当する場合、前記プロセスを悪性コードの検査対象から除外させることができる。換言すると、端末部内での新規プロセスの実行が進められ得る。
【００３６】
その反面、比較部２０００は新規プロセスがホワイトリストに該当しない場合、対象プロセスとして抽出することができる。その後、比較部２０００は後述される第１制御部３１００に第１信号を送信することができる。これにより、端末部内での対象プロセスの実行が保留され得る。対象プロセスの実行が保留される方法は後述される第１制御部の説明の時、より詳しく説明する。
【００３７】
また、比較部２０００は、新規プロセスがホワイトリストに該当しない対象プロセスの場合、対象プロセスの情報を外部サーバーＳ内のデータベースＤＢに保存することができる。この時、前記情報はファイルの経路、サインチェック（ｓｉｇｎ  ｃｈｅｃｋ）の有無、プロセスＩＤ、状態情報および検査時間などのうち少なくとも一つを含むことができる。
【００３８】
ここで、サインチェック（ｓｉｇｎ  ｃｈｅｃｋ）はセキュリティーが認証されたアプリケーションに割り当てられる認証であり得、状態情報は対象プロセスのリアルタイムの状態を提供する情報であって、終了（Ｄｏｎｅ）、分析（Ａｎａｌｙｚｉｎｇ）および遮断（Ｂｌｏｃｋ）状態で表現され得る。実施例によると、対象プロセスは分析（Ａｎａｌｙｚｉｎｇ）状態でデータベースＤＢに保存され得る。
【００３９】
その後、外部サーバーＳはデータベースＤＢに保存された対象プロセスに対して悪性コードの有無を分析することができる。
【００４０】
制御部３０００は対象プロセスの実行を制御することができる。制御部３０００は第１制御部３１００、第２制御部３３００および第３制御部３５００を含むことができる。
【００４１】
第１制御部３１００は前述した通り、スレッド（ｔｈｒｅａｄ）を利用して対象プロセスの実行を保留させることができる。ここで、スレッド（ｔｈｒｅａｄ）はプロセスの主な作業を担当する実行コードであり得る。
【００４２】
実施例に従ってより具体的に説明すると、第１制御部３１００は対象プロセスのプロセスＩＤ（Ｐｒｏｃｅｓｓ  ＩＤ、ＰＩＤ）に該当するスレッド（ｔｈｒｅａｄ）を抽出することができる。その後、第１制御部はＳｕｓｐｅｎｄＴｈｒｅａｄ関数を利用して、抽出されたスレッド（ｔｈｒｅａ）のハンドルをすべて中止状態（Ｓｕｓｐｅｎｄ）に変更することができる。これにより、端末部での対象プロセスの実行が保留され得る。例えば、前記スレッド（ｔｈｒｅａｄ）は、ＣｒｅａｔｅＴｏｏｌｈｅｌｐ３２Ｓｎａｐｓｈｏｔ  ＡＰＩ関数を利用して抽出することができる。
【００４３】
第２制御部３３００は第１制御部３１００により保留された対象プロセスの実行を遮断（Ｂｌｏｃｋ）することができる。この時、第２制御部３３００は後述される分析部４０００から第１信号が受信される場合、動作することができる。
【００４４】
第３制御部３５００は第１制御部３１００により保留された対象プロセスの実行を再開（Ｒｅｓｕｍｅ）することができる。この時、第３制御部３５００は後述される分析部４０００から第２信号が受信される場合、動作することができる。
【００４５】
実施例に従ってより具体的に説明すると、第１制御部３１００は対象プロセスのプロセスＩＤ（Ｐｒｏｃｅｓｓ  ＩＤ、ＰＩＤ）に該当するスレッド（ｔｈｒｅａｄ）を抽出することができる。その後、第３制御部３５００はＲｅｓｕｍｅＴｈｒｅａｄ関数を利用して、スレッド（ｔｈｒｅａ）のハンドルをすべて再開状態（Ｒｅｓｕｍｅ）に変更することができる。これにより、第１制御部によって保留された対象プロセスの実行が再開（Ｒｅｓｕｍｅ）され得る。例えば、前記スレッド（ｔｈｒｅａｄ）は前述した通り、ＣｒｅａｔｅＴｏｏｌｈｅｌｐ３２Ｓｎａｐｓｈｏｔ  ＡＰＩ関数を利用して抽出することができる。
【００４６】
実施例によると、制御部３０００による対象プロセスの制御結果は通知メッセージの形態で使用者に提供され得る。
【００４７】
分析部４０００はデータベースＤＢから対象プロセスの悪性コードの検査結果を受信することができる。
【００４８】
その後、分析部４０００は前述した通り、受信された検査結果に応じて、第２制御部３３００または第３制御部３５００に制御信号を送信することができる。
分析部４０００は第１分析部４１００、第２分析部４３００、第３分析部４５００および第４分析部４７００を含むことができる。
【００４９】
第１分析部４１００は検査結果がブラックリストであるかを確認することができる。検査結果がブラックリストである場合、第１分析部はデータベースＤＢ内の前記対象プロセスの状態情報を終了（Ｂｌｏｃｋ）状態に変更することができる。その後、第１分析部４１００は第２制御部３３００に第１信号を送信することができる。
【００５０】
第２分析部４３００は検査結果がホワイトリストであるかを確認することができる。検査結果がホワイトリストである場合、第２分析部４３００はデータベースＤＢ内の前記対象プロセスの状態情報を終了（Ｄｏｎｅ）状態に変更することができる。その後、第２分析部４３００は第３制御部３５００に第２信号を送信することができる。
【００５１】
第３分析部４５００は検査結果が分析時間超過であるかを確認することができる。実施例によると、第３分析部４５００は分析時間内にデータベースＤＢから検査結果が伝送されない場合、分析時間超過と判断することができる。
【００５２】
検査結果が分析時間超過である場合、第３分析部４５００はデータベースＤＢ内の前記対象プロセスの状態情報を終了（Ｄｏｎｅ）状態に変更することができる。その後、第２分析部４３００は第３制御部３５００に第２信号を送信することができる。
【００５３】
第４分析部４７００は第１分析部４１００から遮断（Ｂｌｏｃｋ）された対象プロセスに対する使用者の完了要請の有無を分析することができる。
【００５４】
より具体的に説明すると、前述した通り、第２制御部３３００は第１分析部４１００によって遮断された対象プロセスの制御状態を使用者に提供することができる。
【００５５】
この時、前記対象プロセスに対して使用者から完了処理の要請が送信される場合、第４分析部４７００は第３制御部３５００に第２信号を送信することができる。これにより、遮断（Ｂｌｏｃｋ）された対象プロセスの実行が再開（Ｒｅｓｕｍｅ）され得る。
【００５６】
また、第４分析部４７００はデータベースＤＢ内の遮断（Ｂｌｏｃｋ）状態である前記対象プロセスの状態情報を終了（Ｄｏｎｅ）状態に変更することができる。
【００５７】
状態が変更された前記対象プロセスが外部サーバーＳ内のホワイトリスト目録に保存され得る。換言すると、外部サーバーＳ内のホワイトリスト目録が更新され得る。その後、後述される保存部は更新されたホワイトリストの目録をダウンロードすることができる。
【００５８】
保存部５０００は前述した通り、外部サーバーＳからダウンロードしたホワイトリストを保存することができる。
【００５９】
実施例によると、保存部５０００は第４分析部４７００に外部サーバーＳ内のホワイトリスト目録の更新が発生する場合、外部サーバーＳから新規にダウンロードすることができる。これにより、保存部は情報が更新された新規ホワイトリストを保有することができる。
【００６０】
したがって、本発明の実施例に係る悪性コード遮断装置は、比較部による対象プロセスの抽出時に、アップデートされたホワイトリストに基づいて抽出することによって、毎回の使用時ごとに処理速度が向上した高効率および高性能の悪性コード遮断装置を提供することができる。
【００６１】
以上、本発明の実施例に係る悪性コード遮断装置を説明した。以下では本発明の実施例に係る悪性コード遮断装置の動作方法を説明する。
【００６２】
図２は本発明の実施例に係る悪性コード遮断装置の動作方法を説明するためのフローチャートである。
【００６３】
図１および図２を参照すると、悪性コード遮断装置を実行することができる。実行された悪性コード遮断装置は新規プロセスを抽出することができる（Ｓ１０００）。
【００６４】
より具体的に説明すると、悪性コード遮断装置はモニタリング部によって新規プロセスを抽出することができる。
【００６５】
その後、抽出された新規プロセスから対象プロセスを抽出することができる（Ｓ２０００）。対象プロセスはホワイトリストに該当しない新規プロセスであり得る。
【００６６】
対象プロセスの抽出が完了すると、前記対象プロセスの実行を保留することができる（Ｓ３０００）。
【００６７】
その後、エージェントは対象プロセスのデータ属性情報をデータベースＤＢに伝送することができる（Ｓ４０００）。これにより、データベースＤＢから対象プロセスの悪性コードの有無が検査され得る。
【００６８】
データベースＤＢから対象プロセスの悪性コードの有無に関する検査が完了すると、プロセスから検査結果を受信して分析することができる。
【００６９】
受信された検査結果を分析する段階は、後述される図３を参照してより具体的に説明する。
【００７０】
図３は本発明の実施例に係る悪性コード遮断装置の動作方法の検査結果を分析する段階を説明するためのフローチャートである。
【００７１】
図１〜図３を参照すると、データベースＤＢから検査結果を受信することができる（Ｓ５０００）。
【００７２】
検査結果は、第１分析部４１００によりブラックリストであるかが判別され得る（Ｓ５１００）。
【００７３】
検査結果がブラックリストに該当する場合、対象リスト内の状態情報は分析（Ａｎａｌｙｚｉｎｇ）状態から遮断（Ｂｌｏｃｋ）状態に変更され得る。また、第１分析部４１００は第１制御部３１００に第１信号を送信することができる（Ｓ５１１０）。
【００７４】
この時、遮断（Ｂｌｏｃｋ）された対象プロセスにおいて、使用者から完了要請が受信される場合（Ｓ５１１１）、対象プロセスの状態情報を遮断（Ｂｌｏｃｋ）状態から完了（Ｄｏｎｅ）状態に変更することができる。その後、第３制御部３５００に第２信号を送信することができる（Ｓ５１１３）。
【００７５】
また、使用者から完了要請を受信した対象プロセス情報をホワイトリストに追加することができる（Ｓ５１１５）。
【００７６】
その反面、検査結果がブラックリストに該当しない場合、第２分析部４３００によりホワイトリストであるかが判別され得る（Ｓ５３００）。
【００７７】
この時、検査結果がホワイトリストに該当する場合、前記対象プロセス内の状態情報を分析（Ａｎａｌｙｚｉｎｇ）状態から完了（Ｄｏｎｅ）状態に変更することができる。また、第２分析部４３００は第３制御部３５００に第２信号を送信することができる（Ｓ５３５０）。
【００７８】
検査時間内にデータベースＤＢから受信される検査結果がない場合（Ｓ５５００）、第３分析部４５００は対象プロセスの状態情報を分析（Ａｎａｌｙｚｉｎｇ）状態から完了（Ｄｏｎｅ）状態に変更することができる。これにより、第３分析部４５００は第３制御部３５００に第２信号を送信することができる（Ｓ５５５０）。
【００７９】
再び図２を参照すると、分析後に送信された前記信号に従って、保留された対象プロセスの実行を処理することができる（Ｓ６０００）。より具体的に説明すると、分析部４０００から第１信号を受信した第２制御部３３００は端末部内の保留されたプロセスの実行を遮断（Ｂｌｏｃｋ）することができる。
【００８０】
その反面、分析部４０００から第２信号を受信した第３制御部３５００により保留された前記対象プロセスの受信を再開（Ｒｅｓｕｍｅ）することができる。これにより、端末部内の保留された対象プロセスの実行が再開され得る。
【００８１】
以上、本発明の実施例に係る悪性コード遮断装置およびその動作方法を説明した。前記悪性コード遮断装置およびその動作方法は、モニタリング部、比較部、制御部、分析部および保存部を含むことによって、対象プロセスの悪性コードの有無を事前に検査した後、端末部で実行させる高安全性の悪性コード遮断装置を提供することができる。
【００８２】
以上、本発明の好ましい実施例を参照して説明したが、該当技術分野の熟練した当業者は、下記の特許請求の範囲に記載された本発明の思想および領域から逸脱しない範囲内で本発明を多様に修正および変更させ得ることが理解できるはずである。
【符号の説明】
【００８３】
１０００    モニタリング部
２０００    比較部
３０００    制御部
３１００    第１制御部
３３００    第２制御部
３５００    第３制御部
４０００    分析部
４１００    第１分析部
４３００    第２分析部
４５００    第３分析部
４７００    第４分析部
Ｄ    悪性コード遮断装置
Ｓ    外部サーバー
【図１】
2018097858.tif 000003
【図２】
2018097858.tif 000004
【図３】
2018097858.tif 000005