WO2014175583A1 - 악성 메시지 검사 방법 및 장치 - Google Patents

악성 메시지 검사 방법 및 장치 Download PDF

Info

Publication number
WO2014175583A1
WO2014175583A1 PCT/KR2014/003107 KR2014003107W WO2014175583A1 WO 2014175583 A1 WO2014175583 A1 WO 2014175583A1 KR 2014003107 W KR2014003107 W KR 2014003107W WO 2014175583 A1 WO2014175583 A1 WO 2014175583A1
Authority
WO
WIPO (PCT)
Prior art keywords
identification information
received message
information data
communication terminal
data
Prior art date
Application number
PCT/KR2014/003107
Other languages
English (en)
French (fr)
Inventor
주설우
강동현
이승원
Original Assignee
주식회사 안랩
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 안랩 filed Critical 주식회사 안랩
Publication of WO2014175583A1 publication Critical patent/WO2014175583A1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/128—Anti-malware arrangements, e.g. protection against SMS fraud or mobile malware
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/12—Messaging; Mailboxes; Announcements
    • H04W4/14—Short messaging services, e.g. short message services [SMS] or unstructured supplementary service data [USSD]

Definitions

  • the present invention relates to a malicious message inspection method and device, and more particularly, to a malicious message inspection method for determining whether a message is included in a message including uniform resource locator (URL) information among messages received by a communication terminal device; Relates to a device.
  • URL uniform resource locator
  • the communication terminal device applying the mobile operating system provides various information processing services to the user by executing various applications based on the mobile operating system.
  • the communication terminal device applying the mobile operating system includes a browser as an application program, and executes the browser to communicate with the Internet web site based on the URL, thereby providing information of various web sites to the user.
  • the communication terminal device applying the mobile operating system frequently executes an application program and attempts a communication connection based on a URL introduced when performing a text message reception, a multimedia message reception, an email reception, or a content transaction.
  • the communication connection based on the received URL does not check whether the connection target site is harmful, there may be a case where the communication connection is directly made to a harmful site such as a phishing site, a domestic or foreign pornographic site, or a malignant site. have.
  • access to phishing sites leads to financial crimes.
  • a text message includes URL information for inducing access to a phishing site disguised as a financial institution
  • the communication terminal device can easily access the phishing site according to the URL information. This is a financial crime that takes place.
  • Malicious messages such as phishing text messages may be received in the form of short messages or multimedia messages or in the form of chat messages through a messenger application program, and these malicious messages have become a serious social problem.
  • the malicious message inspection technology is a method for determining a message including a keyword registered in advance by the user as malicious, comparing the received message with a malicious pattern extracted from the previously reported malicious message to determine whether or not malicious There is a room.
  • the URL information itself is very dangerous information that can be accessed from a phishing site, but the text information contained therein is disguised as extremely normal. There was a problem that the malicious message is not determined to be malicious.
  • a file with execution attributes is downloaded when the URL is accessed, and the downloaded file is executed to perform personal information such as financial information. It is a serious social problem because of the hijacking.
  • An embodiment of the present invention provides a malicious message inspection method and apparatus for determining a malicious message based on statistics by collecting network connection location information such as URL information included in a received message for a plurality of communication terminal devices.
  • a malicious message checking method comprising: collecting network connection location information and identification information data of the received message included in a plurality of communication terminal devices; Classifying identification information data according to the same network connection location information, counting identification information data of the received message by the same network connection location information, and counting the identification information data of the received message as an object.
  • the method may include determining whether the received message is malicious according to a result of comparing the first count value according to the first reference value.
  • the collecting may include collecting identification information data of the communication terminal device, and the classifying step may include classifying the identification information data of the communication terminal device by the same network connection location information and counting the same. And counting the identification information data of the communication terminal device for each of the same network connection location information, and the determining includes: a second coefficient value according to the coefficient for the identification information data of the communication terminal device and a preset first value; It may be determined whether the received message is malicious according to the comparison result with the 2 reference values.
  • the identification information data of the communication terminal device may use a Mac address or IMEI (International Mobile Equipment Identity).
  • the collecting may include collecting URL information as the network connection location information, and the classifying may include classifying identification information data of the received message or identification information data of the communication terminal device according to the same URL information. In the counting, the identification information data of the received message having the same URL information or the identification information data of the communication terminal device may be counted.
  • the collecting may include collecting URL information as the network access location information, and the classifying step may include acquiring IP address information corresponding to the collected URL information, and then receiving the received message by the same IP address information.
  • Classifying and counting the identification information data of the communication terminal device or the identification information data of the communication terminal device may include identification information data of the received message having the same IP address information or identification information data of the communication terminal device. have.
  • the collecting may include collecting URL information as the network connection location information, and the classifying may include receiving domain name information corresponding to the collected URL information and then receiving the received message for each of the same domain name information.
  • Classifying and counting the identification information data of the communication terminal device or the identification information data of the communication terminal device may include the identification information data of the received message having the same domain name information or the identification information data of the communication terminal device. have.
  • the determining may include: comparing the first coefficient value with the first reference value or comparing the second coefficient value with the second coefficient value with respect to the network connection position information included in the secured black list. Irrespective of the comparison result, it can be determined as a malicious message.
  • the identification information data of the received message may include reception time information of the received message, and the counting may include counting identification information data of the received message in which the reception time information is included in a preset unit time range. have.
  • the identification information data of the received message may include registration information indicating whether the calling number of the received message is a telephone number previously registered in the communication terminal device, and the counting step includes the communication according to the registration information.
  • the identification information data of the received message corresponding to the calling number not registered in the terminal device may be counted.
  • a computer-readable recording medium may include collecting network connection location information included in a received message and identification information data of the received message for a plurality of communication terminal devices; Classifying the identification information data of the message by the same network connection location information, counting the identification information data of the received message by the same network connection location information, and the count of the identification information data of the received message.
  • a program may be recorded that includes a command for performing a malicious message inspection method including determining whether the received message is malicious according to a comparison result of the first count value and the preset first reference value.
  • the collecting may include collecting identification information data of the communication terminal device, and the classifying step may include classifying the identification information data of the communication terminal device by the same network connection location information and counting the same. And counting the identification information data of the communication terminal device for each of the same network connection location information, and the determining includes: a second coefficient value according to the coefficient for the identification information data of the communication terminal device and a preset second reference value. It may be determined whether the received message is malicious according to the result of the comparison.
  • the data collection unit for collecting the network connection location information and the identification information data of the received message to the plurality of communication terminal devices, collected A data classification unit for classifying the identification information data of the received message by the same network connection location information, a data storage unit for storing the identification information data of the classified reception message, and an identification of the received message stored in the data storage unit.
  • a malicious part of the received message according to a result of comparing the information data with the same counting unit for each of the same network connection position information and a first count value according to the count for the identification information data of the received message and a preset first reference value; It may include a determination unit for determining whether or not.
  • the data collection unit collects identification information data of the communication terminal device
  • the data classification unit classifies the identification information data of the communication terminal device for each of the same network connection location information
  • the counting unit is the communication terminal.
  • the identification information data of the device is counted for each of the same network connection position information
  • the determination unit compares the second coefficient value according to the coefficient with respect to the identification information data of the communication terminal device with a preset second reference value. In accordance with this, it is possible to determine whether the received message is malicious.
  • the identification information data of the communication terminal device may use a MAC address or IMEI.
  • the data collection unit may collect URL information as the network connection location information, and the data classification unit may classify identification information data of the received message or identification information data of the communication terminal device according to the same URL information.
  • the counting unit may count identification information data of the received message or identification information data of the communication terminal device having the same URL information.
  • the data collecting unit may collect URL information as the network connection location information, and the data classifying unit may identify the received message for each of the same IP address information after acquiring IP address information corresponding to the collected URL information.
  • the information data or the identification information data of the communication terminal device may be classified, and the counter may count the identification information data of the received message or the identification information data of the communication terminal device having the same IP address information.
  • the data collector may collect URL information as the network connection location information, and the data classifier may identify the received message by the same domain name information after acquiring domain name information corresponding to the collected URL information.
  • the information data or the identification information data of the communication terminal device may be classified, and the counter may count the identification information data of the received message or the identification information data of the communication terminal device having the same domain name information.
  • the determining unit may be further configured to compare the first coefficient value with the first reference value or the second coefficient value with the second coefficient value with respect to the network connection position information included in the secured black list. Regardless of the result, it can be determined as a malicious message.
  • the identification information data of the reception message may include reception time information of the reception message, and the counting unit may count identification information data of the reception message in which the reception time information is included in a preset unit time range.
  • the identification information data of the received message includes registration information indicating whether the calling number of the received message is a telephone number previously registered in the communication terminal device, and the counting unit is the communication terminal device according to the registration information.
  • the identification information data of the received message corresponding to the originating number not registered in may be counted.
  • network connection location information such as URL information included in a received message is collected for a plurality of communication terminal devices, and whether a message including specific network connection location information is generated and sent in large quantities.
  • a message that is likely to be a malicious message can be determined.
  • a message including network connection location information such as URL information can be determined as a malicious message, thereby providing high security.
  • malicious messages in which phishing messages including network connection location information, such as URL information, etc., which have execution attributes are linked, are generated and sent in large quantities. Determination of the message, and stealing of personal information such as financial information is blocked in advance.
  • FIG. 1 is a block diagram of a malicious message inspection system including a malicious message inspection apparatus according to an embodiment of the present invention.
  • FIG. 2 is a block diagram of a malicious message inspection apparatus according to an embodiment of the present invention.
  • FIG. 3 is a flowchart illustrating a malicious message checking method according to an embodiment of the present invention.
  • FIG. 1 is a block diagram of a malicious message inspection system including a malicious message inspection apparatus according to an embodiment of the present invention.
  • the malicious message inspection system includes a communication terminal apparatus # 1 (10) to a communication terminal apparatus #N (30) and a malicious message inspection apparatus (100) on which the information collecting units (11, 21, 31) are mounted. do.
  • the communication terminal device # 1 (10) to the communication terminal device #N (30) is a cellular phone, a personal communication services (PCS) phone, a global system for mobile communication (GSM) phone, a WCDMA phone, a CDMA-2000 phone, HSDPA (High) Mobile communication services such as Speed Downlink Packet Access (MBS) phones, Mobile Broadband System (MBS) phones, smartphones, note-book computers, tablet computers, and personal digital assistants (PDAs) Any device that can be provided can be implemented with any device.
  • the location information, the identification information data of the received message, and the identification information data of the corresponding communication terminal device are transmitted to the malicious message inspection apparatus 100, and a request for checking whether the received message is malicious is requested.
  • the identification information data of the communication terminal device collected by the information collecting units 11, 21, and 31 may use a Mac address in the case of a wired communication terminal, and in the case of a wireless communication terminal, IMEI (International Mobile Equipment) Identity can be used. Alternatively, a one-way hash of the MAC address or IMEI can be used to protect user information.
  • IMEI International Mobile Equipment
  • the identification information data of the received message collected by the information collecting units 11, 21, and 31 may use a one-way hash value of the received message, and the identification information data may include reception time information of the received message and transmission of the received message.
  • the number may include any one or a plurality of pieces of registration information indicating whether the number is a registered phone number or the like in an address book of the corresponding communication terminal device.
  • the information collecting units 11, 21, and 31 may be installed in advance in the communication terminal device # 1 (10) to the communication terminal device # N (30) or downloaded from the malicious message inspection device 100 or another application service server. It can also be implemented in the form of an application program that can be installed.
  • the malicious message inspection apparatus 100 includes network connection position information, identification information data of the received message, and identification information of the communication terminal device included in the received message from the communication terminal device # 1 (10) to the communication terminal device #N (30). After collecting and counting the data, it compares it with a preset reference value (threshold value), and infers whether it was generated and sent in large quantities according to the result of the comparison, and then determines an incoming message that is likely to be a malicious message such as a phishing text or a spam text. The determination result is provided.
  • a preset reference value threshold value
  • the malicious message inspection apparatus 100 determines whether or not the received message is malicious based on a result of comparing the first count value according to the collection and counting of the identification information data of the received message with the first reference value. It may be determined whether the received message is malicious based on a result of comparing the second count value according to the collection and counting of the identification information data of the terminal device with the preset second reference value. For example, when both the first count value and the second count value satisfy the malicious determination condition, the received message may be finally determined to be malicious, and when any one of the first count value and the second count value satisfies the malicious determination condition, The received message may finally be determined to be malicious.
  • the malicious message inspection apparatus 100 may include the data collection unit 110, the data classification unit 120, the data storage unit 130, the counting unit 140, and the determination unit 150. Include.
  • the data collection unit 110 may include identification information data of a received message along with network connection location information such as URL information included in a received message from a plurality of communication terminal apparatuses (10, 20, and 30 of FIG. 1), and a communication terminal. Collect identification information data of the device.
  • the identification information data collected by the data collector 110 may be determined by the identification information collected by the information collectors 11, 21, and 31 of the communication terminal device (10, 20, and 30 of FIG. 1). have.
  • the identification information data of the communication terminal device may use a MAC address in the case of a wired communication terminal, and may use an IMEI in the case of a wireless communication terminal.
  • a one-way hash of the MAC address or IMEI can be used to protect user information.
  • the identification information data of the received message collected by the information collecting units 11, 21, and 31 may use the one-way hash value of the received message, and the received time information of the received message and the originating number of the received message correspond to the corresponding communication terminal. It may include any one or a plurality of registration information indicating whether or not the phone number already registered in the address book of the device.
  • the data classifying unit 120 classifies the identification information data of the received message collected by the data collecting unit 110 and the identification information data of the communication terminal device by network connection location information.
  • the data classifying unit 120 may classify the identification information data of the received message and the identification information data of the communication terminal device according to the same URL information when the data collecting unit 110 collects URL information as network connection location information.
  • the data classifier 120 may classify the identification information data of the received message and the identification information data of the communication terminal device by the same IP address information after obtaining the IP address information corresponding to the collected URL information.
  • the data classifier 120 may classify the identification information data of the received message and the identification information data of the communication terminal device by the same domain name information after obtaining domain name information corresponding to the collected URL information.
  • the data storage unit 130 stores the identification information data of the received message classified by the data classification unit 120 and the identification information data of the communication terminal device. In addition, the data storage unit 130 may store and manage the network connection location information that is determined as a malicious message as a black list.
  • the counting unit 140 counts the identification information data of the received message stored in the data storage unit 130 and the identification information data of the communication terminal device for each network connection location information.
  • the counting unit 140 counts identification information data in which the reception time information is included in a preset unit time range.
  • the identification information data of the received message may include registration information indicating whether the originating number of the received message is a telephone number previously registered in the address book of the communication terminal device.
  • the counting unit 140 counts the identification information data corresponding to the calling number not registered in the communication terminal device 10, 20, 30 according to the registration status information.
  • the determination unit 150 determines whether the message is malicious for each network connection location information based on the comparison result of the count value by the counter 140 and the preset reference value. For example, the determination unit 150 determines whether or not the received message is malicious based on a result of comparing the first count value according to the collection and counting of the identification information data of the received message and the preset first reference value, or the communication terminal. It may be determined whether the received message is malicious based on a result of comparing the second count value according to the collection and counting of the identification information data of the device with the preset second reference value.
  • the received message may be finally determined to be malicious, and if any one of the first count value and the second count value satisfies the malicious determination condition, The received message may finally be determined to be malicious.
  • the determination unit 150 infers that the counter is generated and sent in large quantities when the count value of the counter 140 is larger than a predetermined reference value, and thus, the determination unit 150 is likely to be a malicious message such as a phishing character or a spam character. can do.
  • the determination unit 150 may determine the network connection location information included in the black list previously stored in the data storage unit 130 as a malicious message irrespective of the comparison result of the count values.
  • the determination unit 150 provides the communication terminal apparatuses 10, 20, and 30 with the result of the received message determined as the malicious message. Then, when there is a malicious message among the previously received messages, the communication terminal device 10, 20, 30 may alert or move the received message to the spam archive or delete it. In addition, when the message corresponds to a malicious message while receiving the message, it may be alerted or rejected.
  • FIG. 3 is a flowchart illustrating a malicious message checking method according to an embodiment of the present invention.
  • the malicious message inspection method includes a network connection location information included in a received message, identification information data of a received message, and a corresponding communication terminal device for a plurality of communication terminal devices in a malicious message inspection mode.
  • Collecting identification information data S201, S203
  • classifying the collected identification information data of the received message and the identification information data of the communication terminal device according to the same network connection location information S205
  • identifying information of the received message S
  • Counting the data and the identification information data of the communication terminal device for the same network connection location information (S207), the first count value according to the collection and counting for the identification information data of the received message, the first reference value and Determining whether the received message is malicious or not according to the comparison result of And a step (S209 to S213) for determining whether or not the malicious messages received in response to the comparison result of the second coefficient value group and a second reference value set according to the collected and counted by the target-specific information data.
  • FIGS. 1 to 3 a malicious message inspection method by a malicious message inspection apparatus according to an embodiment of the present invention will be described in more detail with reference to FIGS. 1 to 3.
  • network connection location information such as URL information
  • the identification information data of the communication terminal device collected by the information collecting units 11, 21, and 31 of the communication terminal devices 10, 20, and 30 may be a MAC address in the case of a wired communication terminal, and may be a wireless communication terminal.
  • the one-way hash value of the MAC address or IMEI may be collected to protect user information.
  • the identification information data of the received message collected by the information collecting units 11, 21, and 31 may use the one-way hash value of the received message, and the received time information of the received message and the originating number of the received message correspond to the corresponding communication terminal. It may include any one or a plurality of registration information indicating whether or not the phone number already registered in the address book of the device. In the following description, a case where all the listed information is collected and included in the identification information will be described for clarity.
  • the network connection position information transmitted from the communication terminal device # 1 (10) to the communication terminal device #N (30) and the identification information data of the received message, and the identification information data of the communication terminal device are malicious message inspection devices ( When the 100 enters the malicious message checking mode, the data is collected by the data collecting unit 110 (S201 and S203).
  • the data classifying unit 120 of the malicious message checking apparatus 100 classifies the identification information data of the received message collected by the data collecting unit 110 and the identification information data of the communication terminal device by network connection location information ( S205).
  • the data classifying unit 120 classifies the identification information data of the received message and the identification information data of the communication terminal device according to the same URL information.
  • the data classifier 120 acquires IP address information corresponding to the collected URL information through a domain name server (DNS) or the like, and then identifies identification data of the received message and identification information of the communication terminal device according to the same IP address information. You can sort your data.
  • the data classifier 120 may classify the identification information data of the received message and the identification information data of the communication terminal device according to the same domain name information after acquiring domain name information corresponding to the collected URL information through a DNS server or the like. Can be. As such, classifying the IP address information or the domain name information corresponding to the URL information based on the information is more likely to change the URL more frequently than the IP address and the domain name.
  • the data storage unit 130 of the malicious message inspection apparatus 100 stores the identification information data of the received message classified by the data classifying unit 120 and the identification information data of the received message of the communication terminal device.
  • the counting unit 140 of the malicious message checking apparatus 100 targets the identification information data of the received message and the identification information data of the communication terminal device stored in the data storage unit 130 for the same network connection location information. Count.
  • the counting unit 140 counts identification information data in which the reception time information is included in a preset unit time range based on the reception time information of the reception message included in the identification information data of the reception message. This means counting how much a message containing the same network connection location information was generated and sent in a unit time.
  • the counting unit 140 counts identification information data not registered in the address book of the communication terminal apparatuses 10, 20, and 30 according to the registration status information included in the identification information data of the received message. This is because the case where the pre-registered telephone number of the communication terminal device 10. 20. 30 matches the outgoing telephone number is very low in case of a malicious message (S207).
  • the determination unit 150 determines whether the message is malicious for each network connection location information based on the comparison result of the count value by the counter 140 and the preset reference value.
  • the counting unit 140 may determine whether the received message is malicious according to a result of comparing the first count value according to the collection and counting for the identification information data of the received message and the preset first reference value.
  • it may be determined whether the received message is malicious based on a result of comparing the second count value according to the collection and counting of the identification information data of the communication terminal device with the preset second reference value.
  • the received message may be finally determined to be malicious, and if any one of the first count value and the second count value satisfies the malicious determination condition, The received message may finally be determined to be malicious.
  • the determination unit 150 recognizes that the criterion of the normal message is not satisfied when the first count value of step S207 exceeds the preset first reference value or the second count value exceeds the preset second reference value. (S211) If the second count value of step S207 is less than or equal to the second preset reference value or the second count value is less than or equal to the preset second reference value, it is recognized as satisfying the criteria of the normal message and is determined as a normal message ( S213). In addition, the determination unit 150 determines the network connection position information included in the black list previously stored in the data storage unit 130 as a malicious message irrespective of the comparison result of the first coefficient value and the second coefficient value.
  • the determination unit 150 provides the communication terminal device 10, 20, 30 with the result of the received message determined to be a malicious message. Then, the communication terminal device 10, 20, 30 may alert when there is a malicious message in the previously received message or move the received message to the spam archive or delete it. In addition, when a message corresponds to a malicious message while receiving a message, the message may be alerted or rejected.
  • network connection location information such as URL information included in a received message is collected for a plurality of communication terminal devices, and a message including specific network connection location information is collected in large quantities.
  • Combinations of each block of the block diagrams and respective steps of the flowcharts attached to the present invention may be performed by computer program instructions.
  • These computer program instructions may be mounted on a processor of a general purpose computer, special purpose computer, or other programmable data processing equipment such that instructions executed through the processor of the computer or other programmable data processing equipment may not be included in each block or flowchart of the block diagram. It will create means for performing the functions described in each step.
  • These computer program instructions may be stored in a computer usable or computer readable memory that can be directed to a computer or other programmable data processing equipment to implement functionality in a particular manner, and thus the computer usable or computer readable memory.
  • instructions stored in may produce an article of manufacture containing instruction means for performing the functions described in each block or flowchart of each step of the block diagram.
  • Computer program instructions may also be mounted on a computer or other programmable data processing equipment, such that a series of operating steps may be performed on the computer or other programmable data processing equipment to create a computer-implemented process to create a computer or other programmable data. Instructions that perform processing equipment may also provide steps for performing the functions described in each block of the block diagram and in each step of the flowchart.
  • each block or step may represent a portion of a module, segment or code that includes one or more executable instructions for executing a specified logical function (s).
  • a specified logical function s.
  • the functions noted in the blocks or steps may occur out of order.
  • the two blocks or steps shown in succession may in fact be executed substantially concurrently or the blocks or steps may sometimes be performed in the reverse order, depending on the functionality involved.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

본 발명은 악성 메시지 검사 방법 및 장치에 관한 것이다. 이를 위한 악성 메시지 검사 방법은 다수의 통신 단말 장치를 대상으로 하여 수신 메시지에 포함된 네트워크 접속위치 정보와 수신 메시지의 식별 정보 데이터를 수집하는 단계와, 수집된 수신 메시지의 식별 정보 데이터를 동일한 네트워크 접속위치 정보별로 분류하는 단계와, 수신 메시지의 식별 정보 데이터를 동일한 네트워크 접속위치 정보별로 계수하는 단계와, 수신 메시지의 식별 정보 데이터를 대상으로 하는 계수에 의한 계수값과 기 설정된 기준값과의 비교 결과에 따라 수신 메시지의 악성 여부를 판정하는 단계를 포함한다.

Description

악성 메시지 검사 방법 및 장치
본 발명은 악성 메시지 검사 방법 및 장치에 관한 것으로서, 더 상세하게는 통신 단말 장치에 수신되는 메시지 중에서 URL(uniform resource locator) 정보가 포함된 메시지를 대상으로 하여 악성 여부를 판정하는 악성 메시지 검사 방법 및 장치에 관한 것이다.
최근에 안드로이드(Android), 윈도우 모바일(windows mobile), i-OS(Operating System) 등의 모바일 운영체제를 적용하여 스마트 폰 기능을 수행하는 통신 단말 장치의 보급이 활성화되었다.
이와 같은 모바일 운영체제를 적용한 통신 단말 장치에서는 해당 모바일 운영체제를 기반으로 다양한 응용 프로그램(application)을 실행하여 사용자에게 다양한 정보 처리 서비스를 제공한다.
그리고, 모바일 운영체제를 적용한 통신 단말 장치에는 응용 프로그램으로서 브라우저(browser)를 구비하고, 해당 브라우저를 실행하여서 URL에 의거하여 인터넷 웹 사이트에 통신 접속함으로써, 다양한 웹 사이트의 정보를 사용자에게 제공한다.
이러한 모바일 운영체제를 적용한 통신 단말 장치는 응용 프로그램을 실행하여 문자메시지 수신, 멀티미디어메시지 수신, 이메일 수신, 콘텐츠 거래 등의 수행 시에 유입된 URL에 의거하여 통신 접속을 시도하는 일이 빈번하다.
하지만, 이처럼 수신된 URL에 의거한 통신 접속은 접속 대상 사이트의 유해 여부를 확인하지 않고 있기 때문에 피싱(phishing) 사이트, 국내외 음란 사이트, 사행성 사이트 등과 같은 유해 사이트에 그대로 통신 접속하게 되는 경우가 발생할 수 있다.
이 중에서도 특히 피싱 사이트의 접속은 금융 범죄로 이어지는 경우가 다반사이다. 예컨대, 문자메시지에 금융기관으로 위장한 피싱 사이트로의 접속을 유도하는 URL 정보가 포함된 경우에 통신 단말 장치가 URL 정보에 따라 피싱 사이트에 쉽게 접속될 수 있으며, 이러한 피싱 사이트의 안내에 따라 비정상적인 송금이 이루어지는 금융 범죄가 발생된다.
이러한 피싱 문자메시지 등과 같은 악성 메시지는 단문 메시지 또는 멀티미디어 메시지의 형태로 수신되거나 메신저 어플리케이션 프로그램을 통해 채팅 메시지의 형태로 수신될 수 있으며, 이러한 악성 메시지들은 심각한 사회 문제화가 되고 있다.
종래 기술에 따른 악성 메시지 검사 기술은 사용자에 의해 사전에 등록된 키워드를 포함하는 메시지를 악성으로 판정하는 방안, 수신 메시지를 사전에 신고된 악성 메시지들로부터 추출한 악성 패턴과 비교하여 악성 여부를 판정하는 방안 등이 있다.
그러나, 악의적인 목적으로 발송되는 메시지들은 대부분 사용자에게 유익한 내용으로 가장하기 때문에 종래 기술에 따른 악성 메시지 검사 기술들로는 악성 메시지를 제대로 판정할 수가 없다.
특히, URL 정보를 포함하는 피싱 메시지의 경우에는 URL 정보 자체는 피싱 사이트에 접속될 수 있는 매우 위험한 정보이지만 함께 포함된 문자 정보는 지극히 정상적인 것으로 위장되기 때문에 종래 기술에 따른 내용 기반의 악성 메시지 검사 기술들로는 악성 메시지가 악성으로 판정되지 않는 문제점이 있었다.
이처럼 URL 정보를 포함하는 피싱 메시지 중에서도 실행속성을 가지는 파일이 연결되어 있는 악성 메시지의 경우에는 해당 URL에 접속하면 실행속성을 가지는 파일이 다운로드되며, 다운로드된 파일이 실행되어 금융 관련 정보 등과 같은 개인정보를 탈취하기 때문에 심각한 사회 문제로 대두되고 있는 실정이다.
본 발명의 실시예는, 다수의 통신 단말 장치를 대상으로 수신 메시지에 포함된 URL 정보 등의 네트워크 접속위치 정보를 수집하여 통계 기반으로 악성 메시지를 판정하는 악성 메시지 검사 방법 및 장치를 제공한다.
본 발명의 해결하고자 하는 과제는 이상에서 언급한 것으로 제한되지 않으며, 언급되지 않은 또 다른 해결하고자 하는 과제는 아래의 기재로부터 본 발명이 속하는 통상의 지식을 가진 자에게 명확하게 이해될 수 있을 것이다.
본 발명의 일 관점에 따른 악성 메시지 검사 방법은, 다수의 통신 단말 장치를 대상으로 하여 수신 메시지에 포함된 네트워크 접속위치 정보와 상기 수신 메시지의 식별 정보 데이터를 수집하는 단계와, 수집된 상기 수신 메시지의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 분류하는 단계와, 상기 수신 메시지의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 계수하는 단계와, 상기 수신 메시지의 식별 정보 데이터를 대상으로 하는 상기 계수에 따른 제 1 계수값과 기 설정된 제 1 기준값과의 비교 결과에 따라 상기 수신 메시지의 악성 여부를 판정하는 단계를 포함할 수 있다.
여기서, 상기 수집하는 단계는, 상기 통신 단말 장치의 식별 정보 데이터를 수집하며, 상기 분류하는 단계는, 상기 통신 단말 장치의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 분류하고, 상기 계수하는 단계는, 상기 통신 단말 장치의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 계수하며, 상기 판정하는 단계는, 상기 통신 단말 장치의 식별 정보 데이터를 대상으로 하는 상기 계수에 따른 제 2 계수값과 기 설정된 제 2 기준값과의 비교 결과에 따라 상기 수신 메시지의 악성 여부를 판정할 수 있다.
또한, 상기 통신 단말 장치의 식별 정보 데이터는 맥(Mac) 주소 또는 IMEI(International Mobile Equipment Identity)를 이용할 수 있다.
또한, 상기 수집하는 단계는, 상기 네트워크 접속위치 정보로서 URL 정보를 수집하며, 상기 분류하는 단계는, 동일한 상기 URL 정보별로 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 분류하고, 상기 계수하는 단계는, 동일한 상기 URL 정보를 가지는 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 계수할 수 있다.
또한, 상기 수집하는 단계는, 상기 네트워크 접속위치 정보로서 URL 정보를 수집하며, 상기 분류하는 단계는, 수집한 상기 URL 정보에 대응하는 IP 주소 정보를 획득한 후에 동일한 상기 IP 주소 정보별로 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 분류하고, 상기 계수하는 단계는, 동일한 상기 IP 주소 정보를 가지는 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 계수할 수 있다.
또한, 상기 수집하는 단계는, 상기 네트워크 접속위치 정보로서 URL 정보를 수집하며, 상기 분류하는 단계는, 수집한 상기 URL 정보에 대응하는 도메인 네임 정보를 획득한 후에 동일한 상기 도메인 네임 정보별로 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 분류하고, 상기 계수하는 단계는, 동일한 상기 도메인 네임 정보를 가지는 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 계수할 수 있다.
또한, 상기 판정하는 단계는, 기 확보된 블랙 리스트에 포함된 상기 네트워크 접속위치 정보에 대해서는 상기 제 1 계수값과 상기 제 1 기준값과의 비교 결과 또는 상기 제 2 계수값과 상기 제 2 계수값과의 비교 결과와는 무관하게 악성 메시지로 판정할 수 있다.
또한, 상기 수신 메시지의 식별 정보 데이터는 상기 수신 메시지의 수신 시각 정보를 포함하며, 상기 계수하는 단계는 상기 수신 시각 정보가 기 설정된 단위 시간 범위에 포함되는 상기 수신 메시지의 식별 정보 데이터를 계수할 수 있다.
또한, 상기 수신 메시지의 식별 정보 데이터는 상기 수신 메시지의 발신 번호가 상기 통신 단말 장치에 기 등록된 전화번호인지를 나타내는 등록 여부 정보를 포함하며, 상기 계수하는 단계는 상기 등록 여부 정보에 따라 상기 통신 단말 장치에 등록되지 않은 발신 번호에 해당하는 상기 수신 메시지의 식별 정보 데이터를 계수할 수 있다.
본 발명의 다른 관점에 따른 컴퓨터 판독가능 기록매체는, 다수의 통신 단말 장치를 대상으로 하여 수신 메시지에 포함된 네트워크 접속위치 정보와 상기 수신 메시지의 식별 정보 데이터를 수집하는 단계와, 수집된 상기 수신 메시지의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 분류하는 단계와, 상기 수신 메시지의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 계수하는 단계와, 상기 수신 메시지의 식별 정보 데이터에 대한 상기 계수의 따른 제 1 계수값과 기 설정된 제 1 기준값과의 비교 결과에 따라 상기 수신 메시지의 악성 여부를 판정하는 단계를 포함하는 악성 메시지 검사 방법을 수행하는 명령어를 포함하는 프로그램이 기록될 수 있다.
여기서, 상기 수집하는 단계는, 상기 통신 단말 장치의 식별 정보 데이터를 수집하며, 상기 분류하는 단계는, 상기 통신 단말 장치의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 분류하고, 상기 계수하는 단계는, 상기 통신 단말 장치의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 계수하며, 상기 판정하는 단계는, 상기 통신 단말 장치의 식별 정보 데이터에 대한 상기 계수의 따른 제 2 계수값과 기 설정된 제 2 기준값과의 비교 결과에 따라 상기 수신 메시지의 악성 여부를 판정할 수 있다.
본 발명의 또 다른 관점에 따른 악성 메시지 검사 장치는, 다수의 통신 단말 장치를 대상으로 하여 수신 메시지에 포함된 네트워크 접속위치 정보와 상기 수신 메시지의 식별 정보 데이터를 수집하는 데이터 수집부와, 수집된 상기 수신 메시지의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 분류하는 데이터 분류부와, 분류된 상기 수신 메시지의 식별 정보 데이터를 저장하는 데이터 저장부와, 상기 데이터 저장부에 저장된 상기 수신 메시지의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 계수부와, 상기 수신 메시지의 식별 정보 데이터를 대상으로 하는 상기 계수에 따른 제 1 계수값과 기 설정된 제 1 기준값과의 비교 결과에 따라 상기 수신 메시지의 악성 여부를 판정하는 판정부를 포함할 수 있다.
여기서, 상기 데이터 수집부는, 상기 통신 단말 장치의 식별 정보 데이터를 수집하며, 상기 데이터 분류부는, 상기 통신 단말 장치의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 분류하고, 상기 계수부는, 상기 통신 단말 장치의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 계수하며, 상기 판정부는, 상기 통신 단말 장치의 식별 정보 데이터를 대상으로 하는 상기 계수에 따른 제 2 계수값과 기 설정된 제 2 기준값과의 비교 결과에 따라 상기 수신 메시지의 악성 여부를 판정할 수 있다.
또한, 상기 통신 단말 장치의 식별 정보 데이터는 맥 주소 또는 IMEI를 이용할 수 있다.
또한, 상기 데이터 수집부는, 상기 네트워크 접속위치 정보로서 URL 정보를 수집하며, 상기 데이터 분류부는, 동일한 상기 URL 정보별로 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 분류하고, 상기 계수부는, 동일한 상기 URL 정보를 가지는 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 계수할 수 있다.
또한, 상기 데이터 수집부는, 상기 네트워크 접속위치 정보로서 URL 정보를 수집하며, 상기 데이터 분류부는, 수집한 상기 URL 정보에 대응하는 IP 주소 정보를 획득한 후에 동일한 상기 IP 주소 정보별로 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 분류하고, 상기 계수부는, 동일한 상기 IP 주소 정보를 가지는 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 계수할 수 있다.
또한, 상기 데이터 수집부는, 상기 네트워크 접속위치 정보로서 URL 정보를 수집하며, 상기 데이터 분류부는, 수집한 상기 URL 정보에 대응하는 도메인 네임 정보를 획득한 후에 동일한 상기 도메인 네임 정보별로 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 분류하고, 상기 계수부는, 동일한 상기 도메인 네임 정보를 가지는 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 계수할 수 있다.
또한, 상기 판정부는, 기 확보된 블랙 리스트에 포함된 상기 네트워크 접속위치 정보에 대해서는 상기 제 1 계수값과 상기 제 1 기준값과의 비교 결과 또는 상기 제 2 계수값과 상기 제 2 계수값과의 비교 결과와는 무관하게 악성 메시지로 판정할 수 있다.
또한, 상기 수신 메시지의 식별 정보 데이터는 상기 수신 메시지의 수신 시각 정보를 포함하며, 상기 계수부는 상기 수신 시각 정보가 기 설정된 단위 시간 범위에 포함되는 상기 수신 메시지의 식별 정보 데이터를 계수할 수 있다.
또한, 상기 수신 메시지의 식별 정보 데이터는 상기 수신 메시지의 발신 번호가 상기 통신 단말 장치에 기 등록된 전화번호인지를 나타내는 등록 여부 정보를 포함하며, 상기 계수부는 상기 등록 여부 정보에 따라 상기 통신 단말 장치에 등록되지 않은 발신 번호에 해당하는 상기 수신 메시지의 식별 정보 데이터를 계수할 수 있다.
본 발명의 실시예에 따르면, 다수의 통신 단말 장치를 대상으로 수신 메시지에 포함된 URL 정보 등의 네트워크 접속위치 정보를 수집하며, 특정 네트워크 접속위치 정보를 포함하는 메시지가 대량으로 생성 및 발송되었는지를 유추하여 악성 메시지일 가능성이 높은 메시지를 판정할 수 있다.
따라서, 악의적인 목적으로 발송되는 메시지들이 사용자에게 유익한 내용을 가장하더라도 URL 정보 등의 네트워크 접속위치 정보를 포함하는 메시지의 경우에는 악성 메시지로 판정할 수 있기 때문에 높은 보안성을 제공하는 효과가 있다.
특히, URL 정보 등의 네트워크 접속위치 정보를 포함하는 피싱 메시지 중에서도 실행속성을 가지는 파일이 연결되어 있는 악성 메시지의 경우에는 대량으로 생성 및 발송되는 특성을 가지기 때문에 본 발명의 실시예에 따르면 완벽하게 악성 메시지로 판정되어 금융 관련 정보 등과 같은 개인정보의 탈취가 사전에 차단된다.
도 1은 본 발명의 실시예에 따른 악성 메시지 검사 장치를 포함하는 악성 메시지 검사 시스템의 구성도이다.
도 2는 본 발명의 실시예에 따른 악성 메시지 검사 장치의 블록 구성도이다.
도 3은 본 발명의 실시예에 따른 악성 메시지 검사 방법을 설명하기 위한 흐름도이다.
본 발명의 이점 및 특징, 그리고 그것들을 달성하는 방법은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시예들을 참조하면 명확해질 것이다. 그러나 본 발명은 이하에서 개시되는 실시예들에 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 수 있으며, 단지 본 실시예들은 본 발명의 개시가 완전하도록 하고, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 발명의 범주를 완전하게 알려주기 위해 제공되는 것이며, 본 발명은 청구항의 범주에 의해 정의될 뿐이다. 명세서 전체에 걸쳐 동일 참조 부호는 동일 구성 요소를 지칭한다.
본 발명의 실시예들을 설명함에 있어서 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략할 것이다. 그리고 후술되는 용어들은 본 발명의 실시예에서의 기능을 고려하여 정의된 용어들로서 이는 사용자, 운용자의 의도 또는 관례 등에 따라 달라질 수 있다. 그러므로 그 정의는 본 명세서 전반에 걸친 내용을 토대로 내려져야 할 것이다.
도 1은 본 발명의 실시예에 따른 악성 메시지 검사 장치를 포함하는 악성 메시지 검사 시스템의 구성도이다.
이에 나타낸 바와 같이 악성 메시지 검사 시스템은, 정보 수집부(11, 21, 31)가 탑재된 통신 단말 장치#1(10) 내지 통신 단말 장치#N(30), 악성 메시지 검사 장치(100)를 포함한다.
통신 단말 장치#1(10) 내지 통신 단말 장치#N(30)는 셀룰러폰, PCS(Personal Communication services)폰, GSM(Global System for Mobile communication)폰, WCDMA폰, CDMA-2000폰, HSDPA(High Speed Downlink Packet Access)폰, MBS(Mobile Broadband System)폰, 스마트폰, 노트북 컴퓨터(note-book computer), 태블릿 컴퓨터(tablet computer), PDA(Personal Digital Assistant) 등과 같이 이동 통신망을 통해 이동 통신 서비스를 제공받을 수 있는 기기라면 어떠한 기기로도 구현할 수 있다.
이러한 통신 단말 장치#1(10) 내지 통신 단말 장치#N(30)에 탑재되는 정보 수집부(11, 21, 31)는 수신 메시지에 URL 정보 등과 같은 네트워크 접속위치 정보가 포함되어 있으면 해당 네트워크 접속위치 정보와 수신 메시지의 식별 정보 데이터 및 해당 통신 단말 장치의 식별 정보 데이터를 악성 메시지 검사 장치(100)에게 전송하면서 수신 메시지에 대한 악성 여부의 검사를 요청한다.
이러한 정보 수집부(11, 21, 31)에 의해 수집되는 통신 단말 장치의 식별 정보 데이터는 유선통신 단말의 경우에 맥(Mac) 주소를 이용할 수 있으며, 무선통신 단말의 경우에 IMEI(International Mobile Equipment Identity)를 이용할 수 있다. 또는, 사용자 정보의 보호를 위해 맥 주소 또는 IMEI의 일방향 해시값을 이용할 수 있다.
아울러, 정보 수집부(11, 21, 31)에 의해 수집되는 수신 메시지의 식별 정보 데이터는 수신 메시지의 일방향 해시값을 이용할 수 있으며, 이러한 식별 정보 데이터에는 수신 메시지의 수신 시각 정보, 수신 메시지의 발신 번호가 해당 통신 단말 장치의 주소록 등에 기 등록된 전화번호인지를 나타내는 등록 여부 정보 중에서 어느 하나 또는 복수를 포함할 수 있다. 예컨대, 정보 수집부(11, 21, 31)는 통신 단말 장치#1(10) 내지 통신 단말 장치#N(30)에 사전에 설치하거나 악성 메시지 검사 장치(100) 또는 다른 응용서비스 서버로부터 다운로드하여 설치할 수 있는 어플리케이션 프로그램 형태로 구현할 수도 있다.
악성 메시지 검사 장치(100)는 통신 단말 장치#1(10) 내지 통신 단말 장치#N(30)로부터 수신 메시지에 포함된 네트워크 접속위치 정보와 수신 메시지의 식별 정보 데이터, 그리고 통신 단말 장치의 식별 정보 데이터를 수집 및 계수하여 기 설정된 기준값(임계값)과 비교하며, 그 비교 결과에 따라 대량으로 생성 및 발송되었는지를 유추하여 피싱 문자, 스팸 문자 등의 악성 메시지일 가능성이 높은 수신 메시지를 판정한 후에 그 판정 결과를 제공한다.
이러한 악성 메시지 검사 장치(100)는 수신 메시지의 식별 정보 데이터를 대상으로 한 수집 및 계수에 따른 제 1 계수값과 기 설정된 제 1 기준값과의 비교 결과에 따라 수신 메시지의 악성 여부를 판정하거나, 통신 단말 장치의 식별 정보 데이터를 대상으로 한 수집 및 계수에 따른 제 2 계수값과 기 설정된 제 2 기준값과의 비교 결과에 따라 수신 메시지의 악성 여부를 판정할 수 있다. 예컨대, 제 1 계수값과 제 2 계수값이 모두 악성 판정 조건을 만족할 때에 수신 메시지를 최종적으로 악성으로 판정할 수도 있으며, 제 1 계수값과 제 2 계수값 중에서 어느 하나라도 악성 판정 조건을 만족하면 수신 메시지를 최종적으로 악성으로 판정할 수도 있다.
도 2는 본 발명의 실시예에 따른 악성 메시지 검사 장치의 블록 구성도이다. 이에 나타낸 바와 같이 실시예에 따른 악성 메시지 검사 장치(100)는 데이터 수집부(110), 데이터 분류부(120), 데이터 저장부(130), 계수부(140), 판정부(150) 등을 포함한다.
데이터 수집부(110)는 복수의 통신 단말 장치(도 1의 도면부호 10, 20, 30)로부터 수신 메시지에 포함된 URL 정보 등의 네트워크 접속위치 정보와 함께 수신 메시지의 식별 정보 데이터, 그리고 통신 단말 장치의 식별 정보 데이터를 수집한다. 이러한 데이터 수집부(110)가 수집하는 식별 정보 데이터는 통신 단말 장치(도 1의 도면부호 10, 20, 30)의 정보 수집부(11, 21, 31)에 의해 수집된 식별 정보에 의해 결정될 수 있다. 예컨대, 통신 단말 장치의 식별 정보 데이터는 유선통신 단말의 경우에 맥 주소를 이용할 수 있으며, 무선통신 단말의 경우에 IMEI를 이용할 수 있다. 또는, 사용자 정보의 보호를 위해 맥 주소 또는 IMEI의 일방향 해시값을 이용할 수 있다. 또, 정보 수집부(11, 21, 31)에 의해 수집되는 수신 메시지의 식별 정보 데이터는 수신 메시지의 일방향 해시값을 이용할 수 있으며, 수신 메시지의 수신 시각 정보, 수신 메시지의 발신 번호가 해당 통신 단말 장치의 주소록 등에 기 등록된 전화번호인지를 나타내는 등록 여부 정보 중에서 어느 하나 또는 복수를 포함할 수 있다.
데이터 분류부(120)는 데이터 수집부(110)에 의해 수집된 수신 메시지의 식별 정보 데이터 및 통신 단말 장치의 식별 정보 데이터를 네트워크 접속위치 정보별로 분류한다. 이러한 데이터 분류부(120)는 데이터 수집부(110)가 네트워크 접속위치 정보로서 URL 정보를 수집하면 동일한 URL 정보별로 수신 메시지의 식별 정보 데이터 및 통신 단말 장치의 식별 정보 데이터를 분류할 수 있다. 또는, 데이터 분류부(120)는 수집한 URL 정보에 대응하는 IP 주소 정보를 획득한 후에 동일한 IP 주소 정보별로 수신 메시지의 식별 정보 데이터 및 통신 단말 장치의 식별 정보 데이터를 분류할 수 있다. 또는, 데이터 분류부(120)는 수집한 URL 정보에 대응하는 도메인 네임 정보를 획득한 후에 동일한 도메인 네임 정보별로 수신 메시지의 식별 정보 데이터 및 통신 단말 장치의 식별 정보 데이터를 분류할 수 있다.
데이터 저장부(130)는 데이터 분류부(120)에 의해 분류된 수신 메시지의 식별 정보 데이터 및 통신 단말 장치의 식별 정보 데이터를 저장한다. 아울러, 데이터 저장부(130)는 이미 악성 메시지로 판정된 네트워크 접속위치 정보를 블랙 리스트로 저장하여 관리할 수 있다.
계수부(140)는 데이터 저장부(130)에 저장된 수신 메시지의 식별 정보 데이터 및 통신 단말 장치의 식별 정보 데이터를 네트워크 접속위치 정보별로 계수한다. 수신 메시지의 식별 정보 데이터에 수신 메시지의 수신 시각 정보가 포함된 경우에 계수부(140)는 수신 시각 정보가 기 설정된 단위 시간 범위에 포함되는 식별 정보 데이터를 계수한다.
아울러, 수신 메시지의 식별 정보 데이터에는 수신 메시지의 발신 번호가 통신 단말 장치의 주소록 등에 기 등록된 전화번호인지를 나타내는 등록 여부 정보를 포함할 수 있다. 이 때, 계수부(140)는 등록 여부 정보에 따라 통신 단말 장치(10, 20, 30)에 등록되지 않은 발신 번호에 해당하는 식별 정보 데이터를 계수한다.
판정부(150)는 계수부(140)에 의한 계수값과 기 설정된 기준값과의 비교 결과에 따라 수신 메시지를 대상으로 하여 네트워크 접속위치 정보별로 악성 여부를 판정한다. 예컨대, 판정부(150)는 수신 메시지의 식별 정보 데이터를 대상으로 한 수집 및 계수에 따른 제 1 계수값과 기 설정된 제 1 기준값과의 비교 결과에 따라 수신 메시지의 악성 여부를 판정하거나, 통신 단말 장치의 식별 정보 데이터를 대상으로 한 수집 및 계수에 따른 제 2 계수값과 기 설정된 제 2 기준값과의 비교 결과에 따라 수신 메시지의 악성 여부를 판정할 수 있다. 여기서, 제 1 계수값과 제 2 계수값이 모두 악성 판정 조건을 만족할 때에 수신 메시지를 최종적으로 악성으로 판정할 수도 있으며, 제 1 계수값과 제 2 계수값 중에서 어느 하나라도 악성 판정 조건을 만족하면 수신 메시지를 최종적으로 악성으로 판정할 수도 있다.
이를 통해, 판정부(150)는 계수부(140)에 의한 계수값이 기 설정된 기준값 보다 클 경우에 대량으로 생성 및 발송된 것으로 유추하여 피싱 문자, 스팸 문자 등의 악성 메시지일 가능성이 높은 것으로 판정할 수 있다. 여기서, 판정부(150)는 데이터 저장부(130)에 기 저장된 블랙 리스트에 포함된 네트워크 접속위치 정보에 대해서는 계수값의 비교 결과와는 무관하게 악성 메시지로 판정할 수 있다. 판정부(150)는 이렇게 악성 메시지로 판정된 수신 메시지에 대해서는 그 결과를 통신 단말 장치(10, 20, 30)에게 제공한다. 그러면, 통신 단말 장치(10, 20, 30)는 기 수신된 메시지 중에 악성 메시지가 존재할 경우에는 이를 경보하거나 해당 수신 메시지를 스팸 보관함으로 옮기거나 또는 삭제할 수 있다. 아울러, 메시지 수신 중에 해당 메시지가 악성 메시지에 해당할 경우에 이를 경보하거나 해당 메시지의 수신을 거부할 수 있다.
도 3은 본 발명의 실시예에 따른 악성 메시지 검사 방법을 설명하기 위한 흐름도이다.
이에 나타낸 바와 같이 실시예에 따른 악성 메시지 검사 방법은, 악성 메시지 검사 모드에서 다수의 통신 단말 장치를 대상으로 하여 수신 메시지에 포함된 네트워크 접속위치 정보와 수신 메시지의 식별 정보 데이터 및 해당 통신 단말 장치의 식별 정보 데이터를 수집하는 단계(S201, S203)와, 수집된 수신 메시지의 식별 정보 데이터 및 통신 단말 장치의 식별 정보 데이터를 동일한 네트워크 접속위치 정보별로 분류하는 단계(S205)와, 수신 메시지의 식별 정보 데이터 및 통신 단말 장치의 식별 정보 데이터를 동일한 네트워크 접속위치 정보별로 계수하는 단계(S207)와, 수신 메시지의 식별 정보 데이터를 대상으로 한 수집 및 계수에 따른 제 1 계수값과 기 설정된 제 1 기준값과의 비교 결과에 따라 수신 메시지의 악성 여부를 판정하거나 통신 단말 장치의 식별 정보 데이터를 대상으로 한 수집 및 계수에 따른 제 2 계수값과 기 설정된 제 2 기준값과의 비교 결과에 따라 수신 메시지의 악성 여부를 판정하는 단계(S209 내지 S213)를 포함한다.
이하, 도 1 내지 도 3을 참조하여 본 발명의 실시예에 따른 악성 메시지 검사 장치에 의한 악성 메시지 검사 방법에 대해 더 자세히 살펴보기로 한다.
먼저, 통신 단말 장치#1(10) 내지 통신 단말 장치#N(30)에 탑재되는 정보 수집부(11, 21, 31)는 수신 메시지에 URL 정보 등과 같은 네트워크 접속위치 정보가 포함되어 있으면 해당 네트워크 접속위치 정보와 수신 메시지의 식별 정보 데이터, 그리고 해당 통신 단말 장치의 식별 정보 데이터를 추출하며, 추출된 네트워크 접속위치 정보와 수신 메시지의 식별 정보 데이터, 그리고 해당 통신 단말 장치의 식별 정보 데이터를 악성 메시지 검사 장치(100)에게 전송하면서 수신 메시지에 대한 악성 여부의 검사를 요청한다.
여기서, 통신 단말 장치(10, 20, 30)의 정보 수집부(11, 21, 31)가 수집하는 통신 단말 장치의 식별 정보 데이터는 유선통신 단말의 경우에 맥 주소가 될 수 있으며, 무선통신 단말의 경우에 IMEI가 될 수 있다. 또는, 사용자 정보의 보호를 위해 맥 주소 또는 IMEI의 일방향 해시값이 수집될 수 있다. 또, 정보 수집부(11, 21, 31)에 의해 수집되는 수신 메시지의 식별 정보 데이터는 수신 메시지의 일방향 해시값을 이용할 수 있으며, 수신 메시지의 수신 시각 정보, 수신 메시지의 발신 번호가 해당 통신 단말 장치의 주소록 등에 기 등록된 전화번호인지를 나타내는 등록 여부 정보 중에서 어느 하나 또는 복수를 포함할 수 있다. 이하의 설명에서는 이해를 돕기 위하여 열거된 모든 정보들이 식별 정보에 포함되어 수집되는 경우를 설명하기로 한다.
다음으로, 통신 단말 장치#1(10) 내지 통신 단말 장치#N(30)으로부터 전송된 네트워크 접속위치 정보 및 수신 메시지의 식별 정보 데이터, 그리고 해당 통신 단말 장치의 식별 정보 데이터는 악성 메시지 검사 장치(100)가 악성 메시지 검사 모드에 진입하면 데이터 수집부(110)에 의해 수집된다(S201, S203).
그리고, 악성 메시지 검사 장치(100)의 데이터 분류부(120)는 데이터 수집부(110)에 의해 수집된 수신 메시지의 식별 정보 데이터 및 통신 단말 장치의 식별 정보 데이터를 네트워크 접속위치 정보별로 분류한다(S205).
여기서, 데이터 분류부(120)는 데이터 수집부(110)가 네트워크 접속위치 정보로서 URL 정보를 수집한 경우라면 동일한 URL 정보별로 수신 메시지의 식별 정보 데이터 및 통신 단말 장치의 식별 정보 데이터를 분류한다.
또는, 데이터 분류부(120)는 수집한 URL 정보에 대응하는 IP 주소 정보를 DNS(Domain Name Server) 등을 통해 획득한 후에 동일한 IP 주소 정보별로 수신 메시지의 식별 정보 데이터 및 통신 단말 장치의 식별 정보 데이터를 분류할 수 있다. 또는, 데이터 분류부(120)는 수집한 URL 정보에 대응하는 도메인 네임 정보를 DNS 서버 등을 통해 획득한 후에 동일한 도메인 네임 정보별로 수신 메시지의 식별 정보 데이터 및 통신 단말 장치의 식별 정보 데이터를 분류할 수 있다. 이처럼, URL 정보에 대응하는 IP 주소 정보 또는 도메인 네임 정보를 획득한 후에 이를 기준으로 하여 분류하는 것은 URL이 IP 주소 및 도메인 네임보다 자주 변경될 가능성이 더 높기 때문이다.
그러면, 악성 메시지 검사 장치(100)의 데이터 저장부(130)는 데이터 분류부(120)에 의해 분류된 수신 메시지의 식별 정보 데이터 및 통신 단말 장치의 수신 메시지의 식별 정보 데이터를 저장한다.
이후, 악성 메시지 검사 장치(100)의 계수부(140)는 데이터 저장부(130)에 저장된 수신 메시지의 식별 정보 데이터 및 통신 단말 장치의 식별 정보 데이터를 대상으로 하여 동일한 네트워크 접속위치 정보별로 그 개수를 계수한다.
여기서, 계수부(140)는 수신 메시지의 식별 정보 데이터에 포함된 수신 메시지의 수신 시각 정보에 의거하여 수신 시각 정보가 기 설정된 단위 시간 범위에 포함되는 식별 정보 데이터를 계수한다. 이는 동일한 네트워크 접속위치 정보를 포함하는 메시지가 단위 시간 내에 얼마만큼 대량으로 생성 및 발송되었는지를 계수하는 것을 의미한다.
또한, 계수부(140)는 수신 메시지의 식별 정보 데이터에 포함된 등록 여부 정보에 따라 통신 단말 장치(10, 20, 30)의 주소록 등에 등록되지 않은 식별 정보 데이터를 계수한다. 이는 통신 단말 장치(10. 20. 30)의 연락처 등에 기 등록된 전화번호가 발신 전화 번호와 일치할 경우에는 악성 메시지일 경우가 지극히 낮기 때문이다(S207).
다음으로, 판정부(150)는 계수부(140)에 의한 계수값과 기 설정된 기준값과의 비교 결과에 따라 수신 메시지를 대상으로 하여 네트워크 접속위치 정보별로 악성 여부를 판정한다. 여기서, 계수부(140)는 수신 메시지의 식별 정보 데이터를 대상으로 한 수집 및 계수에 따른 제 1 계수값과 기 설정된 제 1 기준값과의 비교 결과에 따라 수신 메시지의 악성 여부를 판정할 수 있다. 또는, 통신 단말 장치의 식별 정보 데이터를 대상으로 한 수집 및 계수에 따른 제 2 계수값과 기 설정된 제 2 기준값과의 비교 결과에 따라 수신 메시지의 악성 여부를 판정할 수 있다. 또, 제 1 계수값과 제 2 계수값이 모두 악성 판정 조건을 만족할 때에 수신 메시지를 최종적으로 악성으로 판정할 수도 있으며, 제 1 계수값과 제 2 계수값 중에서 어느 하나라도 악성 판정 조건을 만족하면 수신 메시지를 최종적으로 악성으로 판정할 수도 있다.
예컨대, 판정부(150)는 단계 S207의 제 1 계수값이 기 설정된 제 1 기준값을 초과하거나 제 2 계수값이 기 설정된 제 2 기준값을 초과하면 정상 메시지의 기준을 만족하지 않는 것으로 인식하여 악성 메시지로 판정하며(S211), 단계 S207의 제 2 계수값이 기 설정된 제 2 기준값 이하이거나 제 2 계수값이 기 설정된 제 2 기준값 이하이면 정상 메시지의 기준을 만족하는 것으로 인식하여 정상 메시지로 판정한다(S213). 또, 판정부(150)는 데이터 저장부(130)에 기 저장된 블랙 리스트에 포함된 네트워크 접속위치 정보에 대해서는 제 1 계수값 및 제 2 계수값의 비교 결과와는 무관하게 악성 메시지로 판정한다.
끝으로, 판정부(150)는 악성 메시지로 판정된 수신 메시지에 대해서는 그 결과를 통신 단말 장치(10, 20, 30)에게 제공한다. 그러면, 통신 단말 장치(10, 20, 30)는 기 수신된 메시지 중에 악성 메시지가 존재할 경우에 이를 경보하거나 해당 수신 메시지를 스팸 보관함으로 옮기거나 또는 삭제할 수 있다. 아울러, 메시지 수신 중에 해당 메시지가 악성 메시지에 해당할 경우에는 이를 경보하거나 해당 메시지의 수신을 거부할 수 있다.
지금까지 설명한 바와 같이, 본 발명의 실시예에 따르면 다수의 통신 단말 장치를 대상으로 수신 메시지에 포함된 URL 정보 등의 네트워크 접속위치 정보를 수집하며, 특정 네트워크 접속위치 정보를 포함하는 메시지가 대량으로 생성 및 발송되었는지를 유추하여 악성 메시지일 가능성이 높은 메시지를 판정할 수 있다.
따라서, 악의적인 목적으로 발송되는 메시지들이 사용자에게 유익한 내용을 가장하더라도 URL 정보 등의 네트워크 접속위치 정보를 포함하는 메시지의 경우에는 악성 메시지로 판정할 수 있기 때문에 높은 보안성을 제공한다.
본 발명에 첨부된 블록도의 각 블록과 흐름도의 각 단계의 조합들은 컴퓨터 프로그램 인스트럭션들에 의해 수행될 수도 있다. 이들 컴퓨터 프로그램 인스트럭션들은 범용 컴퓨터, 특수용 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비의 프로세서에 탑재될 수 있으므로, 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비의 프로세서를 통해 수행되는 그 인스트럭션들이 블록도의 각 블록 또는 흐름도의 각 단계에서 설명된 기능들을 수행하는 수단을 생성하게 된다. 이들 컴퓨터 프로그램 인스트럭션들은 특정 방식으로 기능을 구현하기 위해 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비를 지향할 수 있는 컴퓨터 이용 가능 또는 컴퓨터 판독 가능 메모리에 저장되는 것도 가능하므로, 그 컴퓨터 이용가능 또는 컴퓨터 판독 가능 메모리에 저장된 인스트럭션들은 블록도의 각 블록 또는 흐름도 각 단계에서 설명된 기능을 수행하는 인스트럭션 수단을 내포하는 제조 품목을 생산하는 것도 가능하다. 컴퓨터 프로그램 인스트럭션들은 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비 상에 탑재되는 것도 가능하므로, 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비 상에서 일련의 동작 단계들이 수행되어 컴퓨터로 실행되는 프로세스를 생성해서 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비를 수행하는 인스트럭션들은 블록도의 각 블록 및 흐름도의 각 단계에서 설명된 기능들을 실행하기 위한 단계들을 제공하는 것도 가능하다.
또한, 각 블록 또는 각 단계는 특정된 논리적 기능(들)을 실행하기 위한 하나 이상의 실행 가능한 인스트럭션들을 포함하는 모듈, 세그먼트 또는 코드의 일부를 나타낼 수 있다. 또, 몇 가지 대체 실시예들에서는 블록들 또는 단계들에서 언급된 기능들이 순서를 벗어나서 발생하는 것도 가능함을 주목해야 한다. 예컨대, 잇달아 도시되어 있는 두 개의 블록들 또는 단계들은 사실 실질적으로 동시에 수행되는 것도 가능하고 또는 그 블록들 또는 단계들이 때때로 해당하는 기능에 따라 역순으로 수행되는 것도 가능하다.
이상의 설명은 본 발명의 기술 사상을 예시적으로 설명한 것에 불과한 것으로서, 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자라면 본 발명의 본질적인 특성에서 벗어나지 않는 범위에서 다양한 수정 및 변형이 가능할 것이다. 따라서, 본 발명에 개시된 실시예들은 본 발명의 기술 사상을 한정하기 위한 것이 아니라 설명하기 위한 것이고, 이러한 실시예에 의하여 본 발명의 기술 사상의 범위가 한정되는 것은 아니다. 본 발명의 보호 범위는 아래의 청구범위에 의하여 해석되어야 하며, 그와 동등한 범위 내에 있는 모든 기술사상은 본 발명의 권리범위에 포함되는 것으로 해석되어야 할 것이다.

Claims (20)

  1. 다수의 통신 단말 장치를 대상으로 하여 수신 메시지에 포함된 네트워크 접속위치 정보와 상기 수신 메시지의 식별 정보 데이터를 수집하는 단계와,
    수집된 상기 수신 메시지의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 분류하는 단계와,
    상기 수신 메시지의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 계수하는 단계와,
    상기 수신 메시지의 식별 정보 데이터를 대상으로 하는 상기 계수에 따른 제 1 계수값과 기 설정된 제 1 기준값과의 비교 결과에 따라 상기 수신 메시지의 악성 여부를 판정하는 단계를 포함하는 악성 메시지 검사 방법.
  2. 제 1 항에 있어서,
    상기 수집하는 단계는, 상기 통신 단말 장치의 식별 정보 데이터를 수집하며,
    상기 분류하는 단계는, 상기 통신 단말 장치의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 분류하고,
    상기 계수하는 단계는, 상기 통신 단말 장치의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 계수하며,
    상기 판정하는 단계는, 상기 통신 단말 장치의 식별 정보 데이터를 대상으로 하는 상기 계수에 따른 제 2 계수값과 기 설정된 제 2 기준값과의 비교 결과에 따라 상기 수신 메시지의 악성 여부를 판정하는 악성 메시지 검사 방법.
  3. 제 2 항에 있어서,
    상기 통신 단말 장치의 식별 정보 데이터는 맥(Mac) 주소 또는 IMEI(International Mobile Equipment Identity)를 이용하는 악성 메시지 검사 방법.
  4. 제 1 항에 있어서,
    상기 수집하는 단계는, 상기 네트워크 접속위치 정보로서 URL 정보를 수집하며,
    상기 분류하는 단계는, 동일한 상기 URL 정보별로 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 분류하고,
    상기 계수하는 단계는, 동일한 상기 URL 정보를 가지는 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 계수하는 악성 메시지 검사 방법.
  5. 제 1 항에 있어서,
    상기 수집하는 단계는, 상기 네트워크 접속위치 정보로서 URL 정보를 수집하며,
    상기 분류하는 단계는, 수집한 상기 URL 정보에 대응하는 IP 주소 정보를 획득한 후에 동일한 상기 IP 주소 정보별로 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 분류하고,
    상기 계수하는 단계는, 동일한 상기 IP 주소 정보를 가지는 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 계수하는 악성 메시지 검사 방법.
  6. 제 1 항에 있어서,
    상기 수집하는 단계는, 상기 네트워크 접속위치 정보로서 URL 정보를 수집하며,
    상기 분류하는 단계는, 수집한 상기 URL 정보에 대응하는 도메인 네임 정보를 획득한 후에 동일한 상기 도메인 네임 정보별로 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 분류하고,
    상기 계수하는 단계는, 동일한 상기 도메인 네임 정보를 가지는 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 계수하는 악성 메시지 검사 방법.
  7. 제 1 항에 있어서,
    상기 판정하는 단계는, 기 확보된 블랙 리스트에 포함된 상기 네트워크 접속위치 정보에 대해서는 상기 제 1 계수값과 상기 제 1 기준값과의 비교 결과 또는 상기 제 2 계수값과 상기 제 2 계수값과의 비교 결과와는 무관하게 악성 메시지로 판정하는 악성 메시지 검사 방법.
  8. 제 1 항에 있어서,
    상기 수신 메시지의 식별 정보 데이터는 상기 수신 메시지의 수신 시각 정보를 포함하며,
    상기 계수하는 단계는 상기 수신 시각 정보가 기 설정된 단위 시간 범위에 포함되는 상기 수신 메시지의 식별 정보 데이터를 계수하는 악성 메시지 검사 방법.
  9. 제 1 항에 있어서,
    상기 수신 메시지의 식별 정보 데이터는 상기 수신 메시지의 발신 번호가 상기 통신 단말 장치에 기 등록된 전화번호인지를 나타내는 등록 여부 정보를 포함하며,
    상기 계수하는 단계는 상기 등록 여부 정보에 따라 상기 통신 단말 장치에 등록되지 않은 발신 번호에 해당하는 상기 수신 메시지의 식별 정보 데이터를 계수하는 악성 메시지 검사 방법.
  10. 다수의 통신 단말 장치를 대상으로 하여 수신 메시지에 포함된 네트워크 접속위치 정보와 상기 수신 메시지의 식별 정보 데이터를 수집하는 단계와,
    수집된 상기 수신 메시지의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 분류하는 단계와,
    상기 수신 메시지의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 계수하는 단계와,
    상기 수신 메시지의 식별 정보 데이터에 대한 상기 계수의 따른 제 1 계수값과 기 설정된 제 1 기준값과의 비교 결과에 따라 상기 수신 메시지의 악성 여부를 판정하는 단계를 포함하는 악성 메시지 검사 방법을 수행하는 명령어를 포함하는 프로그램이 기록된 컴퓨터 판독가능 기록매체.
  11. 제 10 항에 있어서,
    상기 수집하는 단계는, 상기 통신 단말 장치의 식별 정보 데이터를 수집하며,
    상기 분류하는 단계는, 상기 통신 단말 장치의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 분류하고,
    상기 계수하는 단계는, 상기 통신 단말 장치의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 계수하며,
    상기 판정하는 단계는, 상기 통신 단말 장치의 식별 정보 데이터에 대한 상기 계수의 따른 제 2 계수값과 기 설정된 제 2 기준값과의 비교 결과에 따라 상기 수신 메시지의 악성 여부를 판정하는 악성 메시지 검사 방법을 수행하는 명령어를 포함하는 프로그램이 기록된 컴퓨터 판독가능 기록매체.
  12. 다수의 통신 단말 장치를 대상으로 하여 수신 메시지에 포함된 네트워크 접속위치 정보와 상기 수신 메시지의 식별 정보 데이터를 수집하는 데이터 수집부와,
    수집된 상기 수신 메시지의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 분류하는 데이터 분류부와,
    분류된 상기 수신 메시지의 식별 정보 데이터를 저장하는 데이터 저장부와,
    상기 데이터 저장부에 저장된 상기 수신 메시지의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 계수부와,
    상기 수신 메시지의 식별 정보 데이터를 대상으로 하는 상기 계수에 따른 제 1 계수값과 기 설정된 제 1 기준값과의 비교 결과에 따라 상기 수신 메시지의 악성 여부를 판정하는 판정부를 포함하는 악성 메시지 검사 장치.
  13. 제 12 항에 있어서,
    상기 데이터 수집부는, 상기 통신 단말 장치의 식별 정보 데이터를 수집하며,
    상기 데이터 분류부는, 상기 통신 단말 장치의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 분류하고,
    상기 계수부는, 상기 통신 단말 장치의 식별 정보 데이터를 동일한 상기 네트워크 접속위치 정보별로 계수하며,
    상기 판정부는, 상기 통신 단말 장치의 식별 정보 데이터를 대상으로 하는 상기 계수에 따른 제 2 계수값과 기 설정된 제 2 기준값과의 비교 결과에 따라 상기 수신 메시지의 악성 여부를 판정하는 악성 메시지 검사 장치.
  14. 제 13 항에 있어서,
    상기 통신 단말 장치의 식별 정보 데이터는 맥(Mac) 주소 또는 IMEI(International Mobile Equipment Identity)를 이용하는 악성 메시지 검사 장치.
  15. 제 12 항에 있어서,
    상기 데이터 수집부는, 상기 네트워크 접속위치 정보로서 URL 정보를 수집하며,
    상기 데이터 분류부는, 동일한 상기 URL 정보별로 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 분류하고,
    상기 계수부는, 동일한 상기 URL 정보를 가지는 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 계수하는 악성 메시지 검사 장치.
  16. 제 12 항에 있어서,
    상기 데이터 수집부는, 상기 네트워크 접속위치 정보로서 URL 정보를 수집하며,
    상기 데이터 분류부는, 수집한 상기 URL 정보에 대응하는 IP 주소 정보를 획득한 후에 동일한 상기 IP 주소 정보별로 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 분류하고,
    상기 계수부는, 동일한 상기 IP 주소 정보를 가지는 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 계수하는 악성 메시지 검사 장치.
  17. 제 12 항에 있어서,
    상기 데이터 수집부는, 상기 네트워크 접속위치 정보로서 URL 정보를 수집하며,
    상기 데이터 분류부는, 수집한 상기 URL 정보에 대응하는 도메인 네임 정보를 획득한 후에 동일한 상기 도메인 네임 정보별로 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 분류하고,
    상기 계수부는, 동일한 상기 도메인 네임 정보를 가지는 상기 수신 메시지의 식별 정보 데이터 또는 상기 통신 단말 장치의 식별 정보 데이터를 계수하는 악성 메시지 검사 장치.
  18. 제 12 항에 있어서,
    상기 판정부는, 기 확보된 블랙 리스트에 포함된 상기 네트워크 접속위치 정보에 대해서는 상기 제 1 계수값과 상기 제 1 기준값과의 비교 결과 또는 상기 제 2 계수값과 상기 제 2 계수값과의 비교 결과와는 무관하게 악성 메시지로 판정하는 악성 메시지 검사 장치.
  19. 제 12 항에 있어서,
    상기 수신 메시지의 식별 정보 데이터는 상기 수신 메시지의 수신 시각 정보를 포함하며,
    상기 계수부는 상기 수신 시각 정보가 기 설정된 단위 시간 범위에 포함되는 상기 수신 메시지의 식별 정보 데이터를 계수하는 악성 메시지 검사 장치.
  20. 제 12 항에 있어서,
    상기 수신 메시지의 식별 정보 데이터는 상기 수신 메시지의 발신 번호가 상기 통신 단말 장치에 기 등록된 전화번호인지를 나타내는 등록 여부 정보를 포함하며,
    상기 계수부는 상기 등록 여부 정보에 따라 상기 통신 단말 장치에 등록되지 않은 발신 번호에 해당하는 상기 수신 메시지의 식별 정보 데이터를 계수하는 악성 메시지 검사 장치.
PCT/KR2014/003107 2013-04-23 2014-04-10 악성 메시지 검사 방법 및 장치 WO2014175583A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020130045051A KR101473652B1 (ko) 2013-04-23 2013-04-23 악성 메시지 검사 방법 및 장치
KR10-2013-0045051 2013-04-23

Publications (1)

Publication Number Publication Date
WO2014175583A1 true WO2014175583A1 (ko) 2014-10-30

Family

ID=51792095

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2014/003107 WO2014175583A1 (ko) 2013-04-23 2014-04-10 악성 메시지 검사 방법 및 장치

Country Status (2)

Country Link
KR (1) KR101473652B1 (ko)
WO (1) WO2014175583A1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104700228A (zh) * 2015-03-25 2015-06-10 上海化学工业区公共管廊有限公司 基于安卓的公共管廊巡检管理***

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102148189B1 (ko) * 2015-10-07 2020-10-14 에스케이텔레콤 주식회사 악성사이트 차단을 위한 장치 및 방법
CN105468695B (zh) 2015-11-17 2019-03-22 小米科技有限责任公司 信息显示方法与装置
KR20180044658A (ko) * 2016-10-24 2018-05-03 주식회사 윈스 이기종 보안장비 이벤트를 이용한 하이 레벨 탐지 장치

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20050046885A (ko) * 2003-11-14 2005-05-19 (주)한국아이바스 이동 통신망에서의 유해 단문 메시지 차단 시스템과 그방법
KR20070034194A (ko) * 2005-09-23 2007-03-28 삼성전자주식회사 휴대용 단말기의 멀티미디어 메시지 처리 방법
KR20090086377A (ko) * 2009-07-15 2009-08-12 구경훈 이동통신 단말기를 위한 스팸 메시지 판정 및 처리 방법과 그 장치
KR101246624B1 (ko) * 2012-09-07 2013-03-25 주식회사 안랩 악성 통신 검사 장치 및 방법

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20050046885A (ko) * 2003-11-14 2005-05-19 (주)한국아이바스 이동 통신망에서의 유해 단문 메시지 차단 시스템과 그방법
KR20070034194A (ko) * 2005-09-23 2007-03-28 삼성전자주식회사 휴대용 단말기의 멀티미디어 메시지 처리 방법
KR20090086377A (ko) * 2009-07-15 2009-08-12 구경훈 이동통신 단말기를 위한 스팸 메시지 판정 및 처리 방법과 그 장치
KR101246624B1 (ko) * 2012-09-07 2013-03-25 주식회사 안랩 악성 통신 검사 장치 및 방법

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104700228A (zh) * 2015-03-25 2015-06-10 上海化学工业区公共管廊有限公司 基于安卓的公共管廊巡检管理***

Also Published As

Publication number Publication date
KR20140126633A (ko) 2014-10-31
KR101473652B1 (ko) 2014-12-17

Similar Documents

Publication Publication Date Title
US11399288B2 (en) Method for HTTP-based access point fingerprint and classification using machine learning
US10218740B1 (en) Fuzzy hash of behavioral results
US20210211369A1 (en) System and method for extracting identifiers from traffic of an unknown protocol
KR101388090B1 (ko) 이벤트 분석에 기반한 사이버 공격 탐지 장치 및 방법
WO2015056885A1 (ko) 안드로이드 악성 애플리케이션의 탐지장치 및 탐지방법
WO2014175583A1 (ko) 악성 메시지 검사 방법 및 장치
US20210256126A1 (en) Privacy-preserving content classification
CN103368941A (zh) 一种基于用户网络访问场景的防护的方法和装置
CN106656989B (zh) 一种流量监控方法及终端
WO2018143605A1 (ko) 전자메일 제공 시스템 및 그 방법
WO2012036449A2 (en) Method and apparatus for managing data
Alzahrani et al. SMS mobile botnet detection using a multi-agent system: research in progress
CN113765846B (zh) 一种网络异常行为智能检测与响应方法、装置及电子设备
CN113163406A (zh) 用于移动通信***的威胁侦测***及其中心装置与本地装置
KR101246624B1 (ko) 악성 통신 검사 장치 및 방법
KR20180031570A (ko) 의심스러운 전자 메시지를 검출하기 위한 기술
WO2014168408A1 (ko) 클라우드 기반 악성코드 진단 장치, 시스템 및 방법
CN107846351A (zh) 一种聊天消息敏感信息加密方法及装置
WO2018212610A1 (ko) 악성 코드 진단 서버, 시스템 및 방법
WO2019098584A1 (ko) 사물 인터넷 환경에서 낯선 기기에 대한 사용자 신뢰도 계산 시스템 및 방법
CN109391583B (zh) 一种基于恶意应用的攻击者溯源方法和***
CN113992453A (zh) 一种防止数据外泄的阻断方法、装置及存储介质
CN102136956A (zh) 检测网络通讯行为的监测方法及其***
CN112350864B (zh) 域控终端的保护方法、装置、设备和计算机可读存储介质
WO2023085491A1 (ko) 인공지능 기반 악성 스팸 전화 판별 방법 및 장치

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14788190

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14788190

Country of ref document: EP

Kind code of ref document: A1