JP2014238835A - 悪質なコードによる感染の有無を知らせる通知方法 - Google Patents

Abstract

【課題】ワクチンの状態をモニタリングする管理システムを用いた悪質なコードの通知方法を提供する。
【解決手段】インターネットを通じて管理システムに連結された使用者端末にワクチンをインストールしてＳ１０２、使用者情報を管理システムに保存させるＳ１０４。ワクチン状態監視部がワクチンの動作をモニタリングしＳ１０６、実行状態情報を管理システムに伝送し、管理システムが実行状態情報を受信するＳ１０８。管理システムが、実行状態情報を分析しＳ１１０、ワクチンが正常に実行されていない場合、管理システムが使用者に悪質なコードによる感染の事実を知らせるＳ１１２。
【選択図】図３

Description

本発明は、ワクチンプログラム（以下ワクチンと記す）の状態をモニタリングする管理システムを用いた悪質なコードによる感染の有無を知らせる通知方法に関する。

コンピュータやスマートフォン等に保存された使用者情報を盗み出すスパイウェアや、多数の端末を踏み台にして、特定のウェブサイトを攻撃するＤＤＯＳ攻撃等に用いられる悪質なコードを無くすためにワクチンが開示されている。

一般に、端末（コンピュータやスマートフォン等）にワクチンをインストールし、端末に悪質なコードが感染して正常でない行動をするとき、ワクチンが悪質なコードの動作を中断させながら、危険要素を削除する方式で保安プログラムが駆動する。

最近、端末にインストールされたワクチンを遠隔地のサーバが制御しながら、悪
質なコードの探知と治療、削除、復旧等の手続きを進行させる技術も開示されている。

図１は、従来技術による有害プログラム遮断システムの構成を示すブロック図である。

図１に示すように、従来技術の遮断システムは、使用者端末１０及び保安サーバ２０で構成される。

ここで、前記使用者端末１０は、行動監視モジュール１１、プロセス追跡及びＰＩＤ検出モジュール１２、シナリオ遮断モジュール１３、チェックサム遮断モジュール１４、フッキング監視及び復元モジュール１５、例外プロセスモジュール１６で構成され、保安サーバ２０は、分析モジュール２１、保安措置モジュール２２、遮断シナリオＤＢ２３、例外プロセスＤＢ２４、及び総括ＤＢ２５で構成される。

使用者端末１０の行動監視モジュール１１は、プロセスの行動を監視し、プロセス追跡及びＰＩＤ検出モジュール１２は、異常行動が探知されたプロセスの行動追跡と、そのプロセスのＰＩＤを検出する。

シナリオ遮断モジュール１３は、与えられた時間において、プロセスが行った行動順序目録と遮断シナリオを比較して一致する場合に遮断する。

チェックサム遮断モジュール１４は、実行プログラムのチェックサムが一致する場合に遮断する。

フッキング監視及び復元モジュール１５は、有害プログラムが自身を隠すために、他のプロセスにコードを挿入して動作する場合、これを探知し、復元する。

例外プロセスモジュール１６は、保安サーバ２０から受けた例外プロセスＤＢ２４とマッチングされるプロセスを監視／遮断の例外として処理する。

保安サーバ２０の分析モジュール２１は、前記使用者端末１０から受信した統計情報を分析し、攻撃動向や多数による攻撃を判別する。

保安措置モジュール２２は、分析モジュール２１により分析された結果に基づき、追加の遮断シナリオ登録や遮断シナリオ拡散等の措置を行う。

総括ＤＢ２５は、遮断条件情報、各使用者端末１０の異常行動の発生情報、及び有害プログラム情報を保存する。

例外プロセスＤＢ２４は、各使用者端末１０に伝達され、例外の決定に用いる。

遮断シナリオＤＢ２３は、各使用者端末１０に伝達され、マッチング／遮断の実行に用いる。

このような構成を用いて、プロセスの行為分析を通じた有害プログラムを実時間で探知する方法は、先ず、保安サーバにおいて、有害プログラムシナリオ目録を予め定義する。

このとき、前記有害プログラムシナリオ目録は、セッション発生、多重ＩＰにパケット伝送、スプーフィング発生、パケット送受信、ファイルオープン、ファイル生成、ＩＤＴフック探知、サービス生成、サービスオープン、物理メモリアクセス、プロセス生成、他のプロセスへのアクセス、運用体系主要関数テーブル侵犯、自身の行動を隠す行為、プログラム自動開始登録、キーボードハッキング試み、レジストリ隠匿、他プロセスへのアクセス、他プロセスのアドレス空間を侵犯する行為、名前のないプロセス、親のないプロセス、実行ファイル生成、実行ファイル書きモード、デバイスドライバモード、他プロセスを強制的に終了する行為のような異常行動目録を含む。

また、前記異常行動目録は、いずれの行動も無視するダミー異常行動をさらに含み、使用者端末で実行するプログラムを前記有害プログラムシナリオ目録とマッチングし、有害プロセスを探知し、遮断する。

従来技術では、端末で行われるプロセスに異常状況が発生した場合、悪質なコードによるものであるかを把握し、当該悪質なコードを除去可能なワクチンを駆動または伝送し、危険要素を除去する方式を用いる。

しかし、最近、「１ＰＣ‐１ワクチン」時代が到来するとともに、悪質なコードに対する対応力が強化され、悪質なコードの寿命周期が短くなった。これにより、最近は、このようなワクチンソフトウェアそのものを攻撃して無力化することにより、悪質なコードの寿命周期を増やし、長期間活動可能にする悪質なコードが大挙登場している。このような「ワクチンの実行を妨害する悪質なコード」は、目標のワクチンの実行そのものを妨害し、または実行されたとしても、検査やアップデート等の主要機能の使用を妨害することにより、事実上、ワクチンを無力化する。

一旦、実行を妨害する悪質なコードに感染されたワクチンは、正常な機能を行わないため、使用者は、ワクチン会社で開発した専用ワクチンのような別途のプログラムをダウンロードして、検査、治療を行わなければならない。このような解決方式は、使用者自身が認知し、専用ワクチンを求めて対処しなければならないので、ワクチンに対する使用者の充分な知識と積極的な関心、使用が必須である。

しかしながら、多数の使用者は、ワクチンについての知識及び関心が足りないので、既に自身の端末にインストールされたワクチンが感染され、無力化しているにもかかわらず、使用者がこれを認知せず、被害が発生し続けている。

韓国特許第１０‐１０５７４３２号公報

本発明は、ワクチンの状態をモニタリングする管理システムを用いた、悪質なコードによる感染の有無を知らせる通知方法を提供することにある。

上述した目的を達成するために、本発明は、インターネットを通じて使用者端末に連結された管理システムが、前記使用者端末にインストールされたワクチンの状態を把握し、悪質なコードによる感染の有無を使用者に知らせる通知方法であって、前記使用者端末に前記ワクチンをインストールすると、前記使用者端末が前記使用者への連絡先を含む使用者情報を前記管理システムに伝送して保存させる第１の段階と、前記使用者端末に含まれたワクチン状態監視部が、前記ワクチンの動作をモニタリングし、実行状態情報を生成し、前記実行状態情報を前記管理システムに伝送する第２の段階と、前記管理システムが、前記使用者端末から伝送される前記実行状態情報を分析し、前記ワクチンが正常に実行されているかを把握する第３の段階と、前記ワクチンが悪質なコードにより無力化し、正常に実行されていない場合に、前記管理システムが前記使用者に悪質なコードによる感染の事実を知らせる第４の段階と、を含む。

前記第３の段階は、前記管理システムが、前記ワクチンを実行させたとき、動作しない場合と、前記ワクチンの実時間監視機能がオンされない場合と、前記ワクチンの自動アップデート機能が実行されない場合に、前記ワクチンが前記悪質なコードにより無力化したものと判断することを特徴とする。

前記第３の段階は、前記管理システムが、前記使用者端末から前記実行状態情報が伝送されない場合に、前記ワクチンが前記悪質なコードにより無力化したものと判断することを特徴とする。

前記第４の段階は、前記管理システムが、前記使用者に、Ｅメールや携帯電話のテキストメッセージにより、前記悪質なコードによる感染の事実を知らせることを特徴とする。

本発明によると、インターネットを通じて使用者端末と連結された管理システムが、使用者端末にインストールされたワクチンの正常動作の有無を監視し、ワクチンの実行に障害が生じた場合、または正常に動作しない場合に、管理システムが使用者端末に案内メールを発送して知らせることができる。よって、一般の使用者がわかり難いワクチンの障害または無力化状態を、使用者に実時間で知らせることができ、使用者の知識及び関心の有無にかかわらず、迅速にワクチンを正常化させることにより、悪質なコードによる感染と追加被害を防ぐことができる。

従来技術による有害プログラム遮断システムの構成を示すブロック図である。 本発明の実施例による管理システムの連結状態を示すブロック図である。 本発明の悪質なコードによる感染の有無を知らせる通知方法の過程を示すフローチャートである。

以下、添付した図面に基づき、本発明の好適な実施例によるワクチンの状態をモニタリングする管理システムを用いた「悪質なコードによる感染の有無を知らせる通知方法」（以下、「通知方法」という。）について詳述する。

図２は、本発明の実施例による管理システムの連結状態を示すブロック図であり、図３は、本発明の通知方法の過程を示すフローチャートである。

本発明において説明する「使用者端末１００」は、一般のパソコンやノート型パソコン、スマートフォン、タブレット型パソコン等の装置を意味しているが、前述の装置以外にも、インターネット３００の接続が可能であるとともに、悪質なコードの除去のためのワクチン１１０のインストールが可能な端末を全て含む。

使用者端末１００には、ワクチン１１０がインストールされ、使用者端末１００に浸透した（存在する）悪質なコードを除去し、または侵入を遮断する。

悪質なコード除去部１２０は、ワクチン１１０とは別個に動作しながら、悪質なコードにより無力化したワクチン１１０に代わって使用者端末１００に浸透した悪質なコードを除去する。

ワクチン状態監視部１３０は、使用者端末１００にインストールされたワクチン１１０が正常に動作するか否かを監視し、ワクチン１１０が正常状態であるかを示す実行状態情報を生成する。実行状態情報には、ワクチン１１０の悪質なコードの探知及び除去動作が正常実行されているか、使用者端末１００のプロセスを実時間で監視しながら悪質なコードによる感染を防げているか、ワクチン１１０を配布したシステムと連結され、最新バージョンのプログラムにアップデートをしているか等についての情報が含まれる。

通信部１４０は、インターネット３００に接続するためのプロトコールを含み、実行状態情報等の使用者端末１００の状態についての情報を管理システム２００に伝達し、管理システム２００から伝送された知らせメールを使用者に表示させる。

管理システム２００は、ワクチン１１０の作製及び配布システムであり、使用者端末１００にインストールされたワクチン１１０が正常状態でない場合は、案内メールを送り、または設定によっては、自動的にワクチン１１０を正常化させるように制御することができる。

図３を参照して、本発明の通知方法について具体的に説明すると、先ず、使用者は、自身の使用者端末１００にワクチン１１０をダウンロードしてインストールし、ワクチン１１０を実行させる（Ｓ１０２）。ワクチン１１０は、一般に、管理システム２００から伝送されるが、他のワクチン配布会社からダウンロードしてインストールし、管理システム２００が統合して管理してもよい。

ワクチン１１０が実行されると、使用者端末１００にインストールされた悪質なコードを探知して除去し、実時間で悪質なコードが侵入するかを監視し、インストールされたワクチン１１０が常時最新のバージョンに維持されるようにアップデート動作を行う。

ワクチン１１０をインストールする過程において、ワクチン１１０は、使用者に対するサービス登録手続きを進行させる。すなわち、使用者が用いるシステム情報及び連絡先（Ｅメールアドレス、電話番号、ＳＮＳのＩＤ等）についての情報が含まれた使用者情報を管理システム２００に伝送して保存する（Ｓ１０４）。管理システム２００に保存された使用者情報は、ワクチン１１０が正常動作しない使用者端末１００に案内メール等を送るときに参照される。

１名の使用者が数台の使用者端末１００を用いることもあり得るので、使用者情報を登録するときは、それぞれの使用者端末１００に対する名前や番号等の識別情報を設定させることが好ましい。

ワクチン１１０のインストールと使用者情報の登録を終えてからは、管理システム２００が使用者端末１００にインストールされたワクチン１１０の実行状態を実時間で監視するような命令を伝達し、ワクチン状態監視部１３０は、このような命令により、持続的にワクチン１１０の動作をモニタリングし、実行状態情報を生成する（Ｓ１０６）。

ワクチン１１０が悪質なコードにより無力化し、実行に障害が生じると、ワクチン１１０が強制終了し、再実行されないという現象が生じる。悪質なコードによっては、実行時、反応がなく、または各種のエラーメッセージ窓が表示される等、様々な実行障害症状が発生する。このとき、ワクチン１１０や悪質なコードについての知識が足りない使用者は、悪質なコードによる感染ではなく、ワクチン１１０のバグと誤解し、別の措置を取らないようになる。

また、一部の悪質なコードは、アップデート部１１６の動作を中断させ、ワクチン１１０のアップデートのみを遮断することもある。この場合、ワクチン１１０は、正常に動作するようにみえるが、最新バージョンにアップデートせず、新たな悪質なコードによる感染が生じ、使用者はこのような問題を認知しなくなる。

悪質なコードによっては、ワクチン１１０の実時間監視機能を遮断することもできる。実時間監視機能が無力化した場合は、悪質なコードの追加の侵入及び活動を防ぐことができなくなる。

このようにワクチン１１０が無力化した状態で、悪質なコードが動作すると、使用者端末１００に保存された個人情報が流出してしまい、ＤＤＯＳを含めた各種のサイバー犯罪におけるゾンビＰＣとして用いられ得る。また、自身の端末に保存されていた各種の資料が削除され、歪曲され得る。

ワクチン状態監視部１３０が生成した実行状態情報は、管理システム２００に実時間または周期的に伝送されるが、管理システム２００が特定の使用者端末１００から実行状態情報を受信していない場合、管理システム２００は、該当する使用者端末１００を用いる使用者に案内メールを発送する（Ｓ１０８、Ｓ１１２）。

若し、実行状態情報を受信していない使用者端末１００に直ちに警報を伝送する場合は、既に使用者端末１００を無力化させた悪質なコードにより、使用者に警報が伝達されないこともあり得る。したがって、使用者端末１００に従属していない第３の方法（Ｅメール）により、使用者に問題の事実を伝達することにより、悪質なコードによる妨害を避けることができるようになる。

状況によっては、使用者が登録した電話番号（携帯電話等）にテキストメッセージを送り、またはＳＮＳシステムを通じてメッセージを伝達するように設定してもよい。

使用者は、案内メールやテキストメッセージ等に含まれた識別情報を通じて、自身が使用する装置のうち、どの装置に異常があるかを把握し、当該装置にインストールされたワクチンを正常化するための措置を取って悪質なコードを除去する（Ｓ１１４）。

若し、ワクチン１１０の実行状態情報が正常に管理システム２００に伝達されていたら、管理システム２００は、実行状態情報を分析し、ワクチン１１０が正常に実行されているかを把握する（Ｓ１１０）。分析の結果、ワクチン１１０が正常に動作していない場合、管理システム２００は、同一の方法で使用者に案内メール等を発送する。

管理システム２００は、使用者端末１００にインストールされたワクチン１１０が正常に実行されているかを確認する。すなわち、管理システム２００がインターネット３００を通じて使用者端末１００に接続し、ワクチン１１０を実行させ、正常のアルゴリズムにより動作するかを把握する。管理システム２００の遠隔制御により、ワクチン１１０が正常に実行されていなければ、悪質なコードに感染されたものと把握する。

また、使用者端末１００のワクチン１１０の実時間監視機能がオンされているかを確認し、遠隔で実時間監視機能をオンしてみる。若し、正常に実時間監視機能がオンされず、他のプログラムにより妨害されれば、悪質なコードに感染されたものと判断する。

また、ワクチン１１０のアップデートが行われているかを確認し、最新バージョンでない場合は、悪質なコードによる感染が疑われるものである。ワクチン１１０が自動アップデート機能を用いているにもかかわらず、最新バージョンのワクチン１１０でない場合、悪質なコードに感染されたものと判断する。

悪質なコードにより実行が無力化したワクチン１１０を正常化するためには、別途の専用ワクチンを管理システム２００またはワクチン製作者から受け、自身の使用者端末１００にインストールしなければならない。専用ワクチンは、ワクチン１１０を無力化させる悪質なコードを除去することができる。場合によっては、既にインストールされたワクチン１１０を削除し、悪質なコードの除去アルゴリズムが追加されたワクチン１１０を新たにインストールしなければならない場合もある。本発明では、悪質なコードに感染されたワクチン１１０と別途に運用される悪質なコード除去部１２０が、使用者端末１００に浸透した悪質なコードを除去するようにすることが好ましい。

以上、添付した図面に基づき、本発明の好適な実施例について説明したが、上述した本発明の技術的構成は、本発明の属する技術の分野における当業者が、本発明の技術的思想や必須的特徴を変更せず、他の具体的な形態に実施され得ることが理解されるだろう。したがって、上述した実施例は、全ての面において例示的なものであり、限定的でないものと理解されなければならず、本発明の範囲は、上記した詳細な説明よりは、特許請求の範囲により定められ、特許請求の範囲の意味及び範囲、またその等価概念から導出される全ての変更または変形された形態が、本発明の範囲に含まれるものと解釈されなければならない。

１００ 使用者端末
１１０ ワクチン
１１２ ワクチン実行部
１１４ 実時間監視部
１１６ アップデート部
１２０ 悪質なコード除去部
１３０ ワクチン状態監視部
１４０ 通信部
２００ 管理システム
３００ インターネット

Claims (4)

1. インターネットを通じて使用者端末に連結された管理システムが、前記使用者端末にインストールされたワクチンの状態を把握し、悪質なコードによる感染の有無を使用者に知らせる通知方法であって、
   前記使用者端末に前記ワクチンをインストールすると、前記使用者端末が前記使用者への連絡先を含む使用者情報を前記管理システムに伝送して保存させる第１の段階と、
   前記使用者端末に含まれたワクチン状態監視部が、前記ワクチンの動作をモニタリングし、実行状態情報を生成し、前記実行状態情報を前記管理システムに伝送する第２の段階と、
   前記管理システムが、前記使用者端末から伝送される前記実行状態情報を分析し、前記ワクチンが正常に実行されているかを把握する第３の段階と、
   前記ワクチンが悪質なコードにより無力化し、正常に実行されていない場合に、前記管理システムが前記使用者に悪質なコードによる感染の事実を知らせる第４の段階と、を含む、ワクチンの状態をモニタリングする管理システムを用いた悪質なコードによる感染の有無を知らせる通知方法。
2. 前記第３の段階は、前記管理システムが、前記ワクチンを実行させたとき、動作しない場合と、前記ワクチンの実時間監視機能がオンされない場合と、前記ワクチンの自動アップデート機能が実行されない場合に、前記ワクチンが前記悪質なコードにより無力化したものと判断することを特徴とする、請求項１に記載のワクチンの状態をモニタリングする管理システムを用いた悪質なコードによる感染の有無を知らせる通知方法。
3. 前記第３の段階は、前記管理システムが、前記使用者端末から前記実行状態情報が伝送されない場合に、前記ワクチンが前記悪質なコードにより無力化したものと判断することを特徴とする、請求項１に記載のワクチンの状態をモニタリングする管理システムを用いた悪質なコードによる感染の有無を知らせる通知方法。
4. 前記第４の段階は、前記管理システムが、前記使用者に、Ｅメールや携帯電話のテキストメッセージにより、前記悪質なコードによる感染の事実を知らせることを特徴とする、請求項１〜３のいずれかに記載のワクチンの状態をモニタリングする管理システムを用いた悪質なコードによる感染の有無を知らせる通知方法。
   

Images