(57)【特許請求の範囲】
【請求項１】
コンピューティング環境で生成されるプロセスを確認するプロセス監視部と、
前記プロセス監視部で確認されたプロセスのうち検査する対象プロセスをあらかじめ設定する対象プロセス設定部と、
前記プロセス設定部で設定された対象プロセスがファイル生成時間の変更を要請するか否かを確認するファイル生成時間変更監視部と、
前記対象プロセスがファイル生成時間の変更を要請する場合に、前記対象プロセスが要請したファイル生成時間の変更を防止するファイル生成時間変更防止部と、
前記対象プロセス設定部で設定された対象プロセスの子プロセスがあらかじめ設定された基準時間以内にファイルを生成した場合、前記子プロセスを非正常プロセスとして判断する非正常プロセス探知部と、
を含む非正常プロセスの探知装置。
【請求項２】
前記非正常プロセス探知部で非正常プロセスとして判断されたプロセスを強制終了する強制終了部と、
前記非正常プロセス判断結果を出力する結果出力部とをさらに含むことを特徴とする請求項１に記載の非正常プロセスの探知装置。
【請求項３】
前記対象プロセス設定部で設定する対象プロセスは、あらかじめ設定された確認対象ファイルを実行するプロセスであることを特徴とする請求項１に記載の非正常プロセスの探知装置。
【請求項４】
前記ファイル生成時間変更監視部は、前記対象プロセスが呼び出しするファイル生成時間変更ＡＰＩを確認することを特徴とする請求項１に記載の非正常プロセスの探知装置。
【請求項５】
前記ファイル生成時間変更防止部で前記対象プロセスの生成時間変更の防止は、前記対象プロセスで呼び出しするファイル生成時間変更ＡＰＩを代替する代替関数を提供することを特徴とする請求項１に記載の非正常プロセスの探知装置。
【請求項６】
前記子プロセスは前記対象プロセス設定部で設定された対象プロセスによって生成されるプロセスであることを特徴とする請求項１に記載の非正常プロセスの探知装置。
【請求項７】
前記対象プロセス設定部は、前記非正常プロセス探知部で前記子プロセスが非正常プロセスとして判断されない場合に、前記子プロセスを対象プロセスに設定することを特徴とする請求項１に記載の非正常プロセスの探知装置。
【請求項８】
コンピューティング環境で生成されるプロセスがあらかじめ設定された対象プロセスの子プロセスであるか否かを確認する段階と、
前記生成されるプロセスがあらかじめ設定された対象プロセスである場合、前記生成されるプロセスがファイル生成時間の変更を要請するか否かを確認し、ファイル生成時間の変更を要請するとき、前記生成されるプロセスが要請したファイル生成時間の変更を防止する段階と、
前記子プロセスとして確認されたプロセスがあらかじめ設定された基準時間以内にファイルを生成した場合、前記プロセスを非正常プロセスとして認識する段階と、
を含む非正常プロセスの探知方法。
【請求項９】
前記あらかじめ設定された対象プロセスは、あらかじめ設定された確認対象ファイルを実行するプロセスであることを特徴とする請求項８に記載の非正常プロセスの探知方法。
【請求項１０】
前記子プロセスは、前記あらかじめ設定された対象プロセスによって生成されるプロセスであることを特徴とする請求項８に記載の非正常プロセスの探知方法。
【請求項１１】
前記生成されるプロセスが要請したファイル生成時間の変更を防止する段階は、前記生成されるプロセスで呼び出しするファイル生成時間変更ＡＰＩを代替する代替関数を提供することをさらに含むことを特徴とする請求項８に記載の非正常プロセスの探知方法。
【請求項１２】
前記子プロセスとして確認されたプロセスがファイルを生成する時間があらかじめ設定された基準時間より長時間である場合、前記プロセスを対象プロセスに登録する段階をさらに含むことを特徴とする請求項８に記載の非正常プロセスの探知方法。
【請求項１３】
前記非正常プロセスとして認識されたプロセスを強制終了する段階をさらに含むことを特徴とする請求項８に記載の非正常プロセスの探知方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、非正常プロセスの探知方法及び装置に関する。特に、本発明は、対象プロセスで生成された子プロセスまで全て探知して正常プロセスから非正常プロセスを生成する悪性行為を探知することができる非正常プロセスの探知方法及び装置に関する。
【背景技術】
【０００２】
最近、ＭＳ  Ｏｆｆｉｃｅ  Ｗｏｒｄ、ＭＳ  Ｏｆｆｉｃｅ  Ｐｏｗｅｒ  Ｐｏｉｎｔ、ＭＳ  Ｏｆｆｉｃｅ  Ｅｘｃｅｌ、ハングル、ＭＳ  Ｗｉｎｄｏｗｓ（登録商標）  Ｍｅｄｉａ  Ｐｌａｙｅｒのようにコンピューティング環境でしきりに使われる特定の拡張子を支援するプログラムの脆弱点を用いてファイルに隠された任意のコードを実行する技法で多くの攻撃がなされている。この技法は、非正常コードが隠されたファイルがＥメール、メッセンジャーなどに伝搬された時、ユーザがファイルを該当プログラムで実行しさえすれば、非正常コードによるプロセスが実行されるため、一般ユーザとしては攻撃を受けた事実を知ることが難しい威嚇だけでなく、その攻撃によって該当システムに及ぼす影響力も相当である。
【０００３】
このような形式の非正常プロセスの動作を防ぐために、従来多くの方式が開発されたが、これらは、特定のマクロ方式を支援する方式であって、非正常プロセスが実行される場合のみに防御することができるものが大部分であった。
【特許文献１】大韓民国特許登録第１０−０６２８８６９号明細書
【非特許文献１】Recent Advances in Intrusion Detection (RAID) 2002, October 2002, Frank Apap et al., “Detecting  Malicious  Software  By  Monitoring  Anomalous  Windows（登録商標）  Registry  Accesses”
【発明の開示】
【発明が解決しようとする課題】
【０００４】
本発明の目的は、非正常プロセスの探知方法及び装置を提供することにある。
【０００５】
また、本発明の他の目的は、対象プロセスの子プロセスが生成するファイル生成時間を基準として正常プロセスから非正常プロセスを生成する悪性行為を探知することができる非正常プロセスの探知方法及び装置を提供することにある。
【課題を解決するための手段】
【０００６】
上記目的を達成するために、本発明の一側面によれば、コンピューティング環境で生成されるプロセスを確認するプロセス監視部と、前記プロセス監視部で確認されたプロセスのうち検査する対象プロセスをあらかじめ設定する対象プロセス設定部と、前記プロセス設定部で設定された対象プロセスがファイル生成時間の変更を要請するか否かを確認するファイル生成時間変更監視部と、前記対象プロセスがファイル生成時間の変更を要請する場合に、前記対象プロセスが要請したファイル生成時間の変更を防止するファイル生成時間変更防止部と、前記対象プロセス設定部で設定された対象プロセスの子プロセスがあらかじめ設定された基準時間以内に非正常ファイルを生成した場合、前記子プロセスを非正常プロセスとして判断する非正常プロセス探知部と、を含む非正常プロセスの探知装置を提供することができる。
【０００７】
好ましい実施例において、前記非正常プロセス探知部で非正常プロセスとして判断されたプロセスを強制終了する強制終了部と、前記非正常プロセス判断結果を出力する結果出力部とをさらに含むことができる。また、前記対象プロセス設定部で設定する対象プロセスは、あらかじめ設定された確認対象ファイルを実行するプロセスであることを特徴とすることができる。また、前記ファイル生成時間変更監視部は、前記対象プロセスが呼び出しするファイル生成時間変更ＡＰＩを確認することを特徴とすることができる。また、前記ファイル生成時間変更防止部で前記対象プロセスの生成時間変更の防止は、前記対象プロセスで呼び出しするファイル時間変更ＡＰＩを代替する代替関数を提供することを特徴とすることができる。また、前記子プロセスは、前記対象プロセス設定部で設定された対象プロセスによって生成されるプロセスであることを特徴とすることができる。また、前記対象プロセス設定部は、前記非正常プロセス探知部で前記子プロセスが非正常プロセスとして判断されない場合に、前記子プロセスを対象プロセスに設定することを特徴とすることができる。
【０００８】
本発明の他の側面によれば、コンピューティング環境で生成されるプロセスがあらかじめ設定された対象プロセスの子プロセスであるか否かを確認する段階と、前記子プロセスとして確認されたプロセスがあらかじめ設定された基準時間以内に非正常ファイルを生成した場合、前記プロセスを非正常プロセスとして認識する段階とを含む非正常プロセスの探知方法を提供することができる。
【０００９】
好ましい実施例において、前記あらかじめ設定された対象プロセスは、あらかじめ設定され確認対象ファイルを実行するプロセスであることを特徴とすることができる。また、前記子プロセスは、前記あらかじめ設定された対象プロセスによって生成されるプロセスであることを特徴とすることができる。また、前記生成されるプロセスがあらかじめ設定された対象プロセスである場合、前記生成されたプロセスがファイル生成時間を変更するためのＡＰＩ（Application Program Interface）を呼び出しするか否かを確認し、前記ＡＰＩを代替する代替関数を提供する段階をさらに含むことができる。また、前記子プロセスとして確認されたプロセスがファイルを生成する時間があらかじめ設定された基準時間より長時間である場合、前記プロセスを対象プロセスに登録する段階をさらに含むことができる。また、前記非正常プロセスとして認識されたプロセスを強制終了する段階をさらに含むことができる。
【発明の効果】
【００１０】
本発明によれば、非正常プロセスの探知方法及び装置を提供することができる。
【００１１】
また、本発明によれば、対象プロセスの子プロセスが生成するファイルの生成時間を基準として正常プロセスから非正常プロセスを生成する悪性行為を探知することができる非正常プロセスの探知方法及び装置を提供することができる。
【発明を実施するための最良の形態】
【００１２】
以下、添付の図面を参照して本発明について詳細に説明する。
【００１３】
図１は、従来の非正常プロセスの探知方法と本発明に係る非正常プロセスの探知方法との差異を概略的に示す図である。
【００１４】
図１を参照すれば、参照番号１０１、１０３の方法は、従来の非正常プロセスの探知方法を説明している。
【００１５】
従来の非正常プロセスの探知方法は、検査対象プロセス１０１が存在する場合、この検査対象プロセス１０１に含まれる非正常プロセスだけを検索して除去することを目的とした。したがって、検査対象プロセス１０１が実行される場合に、その実行によって形成される子プロセス及び前記子プロセスによってさらに生成されるプロセス１０３が存在すれば、前記検査対象プロセス１０１が正常なプロセスを行う場合、このような子プロセス１０３は、検査対象にならないという短所が存在した。特に、対象プロセスが特定のファイル、例えばマイクロソフト社のワードプログラムや、ハングルとコンピュータ社のワードプロセッサープログラムのように汎用的に使われる場合には、このような特定のプログラムに含まれたマクロを用いて実行される子プロセスを感知する方法は、従来存在したが、そのような方法以外に不特定の方式で非正常のプロセスをさらに生成する方式では検査することができなかった。
【００１６】
これに比べて、本発明に係る非正常プロセスの探知方法は、検査対象プロセス１１１が存在すれば、この検査対象プロセスが正常に動作しながら生成した子プロセス１１３をも全て検査が可能である。
【００１７】
本発明は、子プロセス１１３が生成されれば、生成された子プロセスが正常なプロセスであるか否かを判断し、子プロセスが正常なプロセスとして判断される場合、子プロセスも検査対象プロセスに設定（１１５）し、子プロセスが生成する他の子プロセスをも検査することができるようになる。
【００１８】
このような方法によって検査対象プロセスが子プロセスを生成し、さらにそのプロセスが他の子プロセスを生成するなどいろいろな段階を経て非正常プロセスが発生しても全て対応することができるようになる。
【００１９】
図２は、本発明に係る非正常プロセスの探知装置を機能的に示すブロック図である。
【００２０】
図２を参照すれば、まず、本発明に係る非正常プロセスの探知装置は、大きくユーザインタフェース２０１と非正常プロセス探知部２１０とに構成され、非正常プロセス探知部２１０は、対象プロセス設定部２１１、プロセス監視部２１３、ファイル生成時間変更監視部２１５、生成時間変更防止部２１７、非正常プロセス探知部２１９、結果出力部２２１及び強制終了部２２３を含む。
【００２１】
ユーザインタフェース２０１は、コンピューティング環境でユーザが非正常プロセスを探知するために本発明に係る方法や装置を使用する場合に、その使用の便宜を助けるために本発明に係る方法を説明したり、ユーザが操作しやすいように表現する機能を担当する。これは、グラフィックユーザーインタフェースや他の環境を用いてユーザの便宜を助けて本発明を適切に利用するようにする。
【００２２】
非正常プロセス探知部２１０は、本発明の核心的な部分であって、ユーザインタフェース２０１からユーザの命令を受けて、実質的に非正常プロセスを探知し除去する役目を担当する。
【００２３】
対象プロセス設定部２１１は、ユーザや製作社によって非正常プロセスを含む可能性があるプロセスに設定されるプロセスを保存し、本発明が実行されることによって追加されるプロセスを設定する役目を担当する。このような対象プロセス設定部２１１は、検査対象ファイルを設定し、検査対象ファイルに設定されたファイルが実行するために検査対象ファイルを処理するプロセスを対象プロセスに設定する方式で対象プロセスを設定するようになる。例えば、マイクロソフト社のエクセルプログラムが対象プロセスに設定される場合、拡張子がｘｌｓであるファイルを設定し、前記ファイルを処理するプロセスを対象プロセスに設定する方式である。
【００２４】
また、前記対象プロセスが実行されながらイメージファイルを生成し、そのイメージファイルを処理するために生成されるプロセスである対象プロセスの子プロセスである場合にも、特定の基準が満足されれば、対象プロセスに設定されるようになる。このような特定の基準は、以下の図面で詳細に説明する。
【００２５】
プロセス監視部２１３は、本発明が適用されるコンピューティング環境で実行されるプロセスを監視する役目を担当する。このようなプロセス監視部２１３は、対象プロセス設定部２１１に設定されたプロセスが生成され実行されるか否かを監視するために、該当コンピューティング環境で実行されるプロセスを監視するようになる。
【００２６】
ファイル生成時間変更監視部２１５は、プロセス監視部２１３で監視されたプロセスのうち対象プロセス設定部２１１に設定された対象プロセスが実行される場合に、そのプロセスがプロセスのファイル生成時間を変更しようとする試みをするか否かを確認する機能を担当する。
【００２７】
このようなファイル生成時間変更監視部２１５は、対象プロセスがファイル生成時間を変更するために、生成時間の変更に関連するＡＰＩ（Application Program Interface）を呼び出しする場合に、その呼び出し信号を感知する形態でプロセスのファイル生成時間変更試みを感知する。
【００２８】
ファイル生成時間変更防止部２１７は、ファイル生成時間変更監視部２１５で対象プロセスがファイル生成時間を変更しようとする試みを感知した場合に実行される部分であり、ファイル生成時間変更防止部２１７は、対象プロセスがファイル生成時間変更のために関連するＡＰＩを呼び出しする場合に、対象プロセスが元来呼び出ししようとしたＡＰＩの代わりにファイル生成時間変更防止部２１７が含んでいる代替関数を提供することによって、対象プロセスが生成時間を変更しようとする試みを無力化させる役目を担当する。
【００２９】
非正常プロセス探知部２１９は、プロセス監視部２１３で感知されたプロセスが対象プロセス設定部２１１に設定された対象プロセスの子プロセスである場合に、このような子プロセスのファイル生成時間を考慮してこの子プロセスを非正常プロセスとして判断する役目を担当する。このような非正常プロセス探知部２１９は、非正常プロセスをファイル生成時間を通じて判断するので、非正常プロセスが自身のファイル生成時間を変更する場合には、非正常プロセスで探知することが難しい。したがって、前述したファイル生成時間変更監視部２１５及びファイル生成時間変更防止部２１７が存在してプロセスの生成時間を変更しないように防止する。
【００３０】
強制終了部２２３は、非正常プロセス探知部２１９で非正常プロセスとして判断したプロセスの実行を強制的に終了させる部分である。したがって、実質的に非正常プロセスの実行を遮断する部分として見ることができる。
【００３１】
結果出力部２２１は、前述した方式で非正常プロセスを処理し、その結果をユーザインタフェース２０１を通じてユーザに表示する役目を担当する。
【００３２】
図３は、本発明で非正常プロセス探知のための対象プロセスを設定する方法を概略的に示す図である。
【００３３】
図３を参照すれば、まず、本発明に係る非正常プロセス探知プログラムが実行される（段階３０１）。すると、プログラムであらかじめ設定された対象プロセスがローディングされて設定され（段階３０３）、コンピュータ装置で実行されるプロセスの監視が実行される（段階３０５）。
【００３４】
この時、監視を実行する途中に設定された対象プロセスの子プロセスが生成されることを感知する場合（段階３０７）、生成された子プロセスが非正常プロセスであるか否かを判断し、非正常プロセスでないと判断されれば、前記生成された子プロセスを自動で監視対象プロセスに設定する（段階３０９）。
【００３５】
このような順序は、本発明が実行される間に対象プロセスの子プロセスを自動で設定する方法に関するもので、このような方式によって対象プロセスの子プロセスが何段階を経て下位構造で生成されても相変らずその下位の子プロセスを監視することができるようになる。
【００３６】
但し、対象プロセス自体は、ユーザが実行前に指定したり、製作社で製作時に対象プロセスを設定することができる。もちろん一般的なワクチンプログラムで使われるもののように、インターネットを介して対象プロセス目録を定期的に更新する方法もあり得る。
【００３７】
図４は、本発明に係る非正常プロセス判断方法を簡単に示す図である。
【００３８】
図４を参照すれば、まず、本発明に係るプログラムが実行される（段階４０１）。すると、前記図３で説明したように、対象プロセスが設定されコンピューティング環境で実行されるプロセスのうち対象プロセスを監視するプロセス監視が始まる（段階４０３）。この時、対象プロセスが生成され（段階４０７）、前記対象プロセスがプロセスのファイル生成時間を変更するための試みを行う場合、プロセスのファイル生成時間変更を禁止するために対象プロセスが呼び出しするＡＰＩの代わりに他の関数を呼び出しするようにする（段階４１１）。
【００３９】
一方、対象プロセスの子プロセスが生成されれば（段階４０５）、前記子プロセスが生成したファイル生成時間を基準として非正常プロセスを判断する（段階４０９）。この時、非正常プロセスの判断基準時間は、設定された値によって異なり、本発明の例示では、１分に設定した。
【００４０】
次に、前記生成された子プロセスが非正常プロセスとして判断されれば、生成された子プロセスを強制終了し（段階４１３）、非正常プロセスの実行を遮断するようになる。
【００４１】
図５は、本発明の好ましい一実施例に係る非正常プロセスを探知するための全体的な順序を示す図である。
【００４２】
図５を参照すれば、まず、本発明に係る非正常プロセスの探知装置が動作を実行する（段階５０１）。
【００４３】
すると、あらかじめ設定された対象プロセスの監視を登録するようになる（段階５０３）。このように登録された対象プロセスが生成されるかについては、本発明に係る装置が続いて生成されるプロセスを監視するようになる。
【００４４】
このような場合、本発明に係る装置が実行されるうちに新しいプロセスの生成が感知されれば（段階５０５）、生成プロセスが設定された対象プロセスであるか否かを判断し（段階５０７）、新しいプロセスが生成されない場合、続いてプロセスの生成を監視するようになる。
【００４５】
ここで、生成プロセスが設定された対象プロセスである場合、前記対象プロセスがファイル生成時間の変更を試みるか否かを判断し（段階５０９）、前記対象プロセスがファイル生成時間の変更を試みる場合、ファイル生成時間変更ＡＰＩを代替することができる本発明の装置に含まれた代替関数を代わりに呼び出しする（段階５１１）。もちろん対象プロセスがファイル生成時間の変更を試みない場合、対象プロセスを続いて監視するようになる。
【００４６】
一方、新しく生成されたプロセスが設定された対象プロセスの子プロセスである場合（段階５１３）、前記生成された子プロセスのファイル生成時間が基準時間以内であるか否かを判断し（段階５１５）、生成された子プロセスのファイル生成時間が基準時間以内である場合、このプロセスは、非正常のプロセスとして判断し（段階５１７）、生成された子プロセスを強制的に終了する（段階５１９）。
【００４７】
ここで、生成された子プロセスのファイル生成時間が基準時間より長時間である場合、これは、非正常プロセスでないものと判断し、生成された子プロセスをさらに対象プロセスに設定する（段階５２１）。
【００４８】
このような方式によって、対象プロセスの下位プロセスの子プロセスが何段階の下位に降りても全て監視をすることができるようになる。
【００４９】
以上において説明した本発明は、本発明が属する技術の分野における通常の知識を有する者であれば、本発明の技術的思想を逸脱しない範囲内で、様々な置換、変形及び変更が可能であるので、上述した実施例及び添付された図面に限定されるものではない。
【図面の簡単な説明】
【００５０】
【図１】従来の非正常プロセスの探知方法と本発明に係る非正常プロセスの探知方法との差異を概略的に示す図である。
【図２】本発明に係る非正常プロセスの探知装置を機能的に示すブロック図である。
【図３】本発明で非正常プロセス探知のための対象プロセスを設定する方法を概略的に示す図である。
【図４】本発明に係る非正常プロセス判断方法を簡単に示す図である。
【図５】本発明の好ましい一実施例に係る非正常プロセスを探知するための全体的な順序を示す図である。
【符号の説明】
【００５１】
２０１  インタフェース
２１０  非正常プロセス探知部
２１１  対象プロセス設定部
２１３  プロセス監視部
２１５  ファイル生成時間変更監視部
２１７  ファイル生成時間変更防止部
２１９  非正常プロセス探知部
２２１  結果出力部
２２３  強制終了部
【図１】
0004806428.tif 000002
【図２】
0004806428.tif 000003
【図３】
0004806428.tif 000004
【図４】
0004806428.tif 000005
【図５】
0004806428.tif 000006