WO2012176978A2 - 네트워크 접근 제어시스템 및 방법 - Google Patents

네트워크 접근 제어시스템 및 방법 Download PDF

Info

Publication number
WO2012176978A2
WO2012176978A2 PCT/KR2012/003215 KR2012003215W WO2012176978A2 WO 2012176978 A2 WO2012176978 A2 WO 2012176978A2 KR 2012003215 W KR2012003215 W KR 2012003215W WO 2012176978 A2 WO2012176978 A2 WO 2012176978A2
Authority
WO
WIPO (PCT)
Prior art keywords
thread
virtual address
network
address space
access control
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/KR2012/003215
Other languages
English (en)
French (fr)
Other versions
WO2012176978A3 (ko
Inventor
고보승
김성은
김상훈
박명수
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Inca Internet Co Ltd
Original Assignee
Inca Internet Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Inca Internet Co Ltd filed Critical Inca Internet Co Ltd
Priority to JP2014516890A priority Critical patent/JP5956570B2/ja
Priority to US14/127,199 priority patent/US9246937B2/en
Publication of WO2012176978A2 publication Critical patent/WO2012176978A2/ko
Publication of WO2012176978A3 publication Critical patent/WO2012176978A3/ko
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/22—Arrangements for preventing the taking of data from a data transmission channel without authorisation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies

Definitions

  • the present invention relates to a network access control system and method, and more particularly, to a system and method for controlling network access based on a thread inserted in a process based on code injection.
  • the Internet is a network using TCP / IP (Transmission Control Protocol / Internet Protocol).
  • TCP / IP Transmission Control Protocol / Internet Protocol
  • the area of use of the Internet expands so that individuals and general corporations can access the Internet network and acquire various information. I use it.
  • various hacking programs such as viruses are scattered on the Internet, and as the virus enters the network connected to the Internet, the system using the Internet is attacked.
  • ICF Internet Connection Firewall
  • An Internet connection firewall is a security technology that prevents computer users from influencing unwanted traffic from outside or out of the computer.
  • Internet Connection Firewall builds a communication whitelist as a table, and uses network filtering technology to track inbound packets (outbound packets from outside) and outbound packets (outbound packets from computer). Compare with whitelist. If the packet is included in the communication allow list, the traffic of the packet is allowed. If the packet is not included in the communication allow list, the traffic of the packet is blocked. In this case, a process ID and a path of a process allowed for communication by the user are stored in the communication permission list.
  • FIG. 1 is a flowchart illustrating a network access blocking method in a conventional Internet connection firewall.
  • the Internet connection firewall analyzes the process information (process ID and path) of the process of transmitting or receiving the packet with respect to the network packet (S11), and if the process ID and path are included in the communication allow list (S12), Allow traffic of the packet (S13). However, if the corresponding process ID and path are not included in the communication allow list (S12), the user is verified whether or not to allow the packet to be transmitted or received by the process (S14). If the user allows the transmission of the packet (S15), the process ID and the path of the corresponding process are added to the communication permission list (S16) and the traffic of the corresponding packet is allowed (S13). On the other hand, if the user does not allow the transmission of the packet (S15), the traffic of the packet is blocked (S17).
  • Internet Explorer iexplore.exe
  • Windows OS a web browser program widely used under the Windows OS, and frequently generates outbound packets and inbound packets. Therefore, if verification is requested for the transmission of a packet originating from Internet Explorer, the user will accept it without any doubt, in which case both outbound packet that Internet Explorer leaks out and inbound packet that flows into Internet Explorer from outside Allowed without further verification by the user.
  • the Internet connection firewall controls Internet Explorer's network access by searching the communication permission list using the process ID (ie, Internet Explorer (iexplore.exe)).
  • the process ID ie, Internet Explorer (iexplore.exe)
  • the Internet Connection Firewall controls access to the network based on the process ID for normal packets through other normal threads in Internet Explorer.
  • An object of the present invention has been made in order to solve the above problems of the prior art, network access control system that improves the user's convenience and security strength by allowing or blocking the traffic of the network packet based on the thread ID as well as the process ID and It is to provide a method.
  • the network access control system includes a process checker that detects a code injection-based thread included in a process, detects a network packet that accesses a network by performing network filtering, and detects a network packet of the detected network packet. If the injection-based thread is characterized in that it comprises a network monitoring unit to block the traffic of the detected network packet.
  • the network access control method the first step of the network access control system to collect the process information running on the computer, the network access control system code injected virtual address space included in the collected process A second step of detecting an area, a third step of the network access control system detecting whether a code injection-based thread exists in the code injected virtual address space, and the network access control system performing network filtering to filter network packet traffic And a fourth step of collecting and a fifth step of allowing or blocking the traffic of the network packet by the network access control system using the code injection-based thread information.
  • FIG. 1 is a flowchart illustrating a network access blocking method in a conventional Internet connection firewall.
  • FIG. 2 is a view illustrating a problem of the network access blocking method according to the prior art.
  • FIG. 3 is a block diagram of a network access control system according to the present invention.
  • FIG. 4 is an exemplary diagram illustrating the Bad tree structure of an arbitrary process.
  • FIG. 5 is a diagram illustrating a memory structure representing a bad tree structure of the process of FIG. 4.
  • FIG. 6 is an operation flowchart illustrating a network access control method according to the present invention.
  • FIG. 7 is a detailed operation flowchart illustrating a step S62 of detecting a code injected virtual address space region of any one process in FIG. 6.
  • FIG. 8 is a detailed operation flowchart illustrating a step S63 of detecting a thread, that is, a code injection-based thread, based on the code injected virtual address space detected in step S62 of FIG. 6.
  • FIG. 9 is a detailed flowchart illustrating an operation S65 of controlling a network packet by using code injection-based thread information detected in operation S63 of FIG. 6.
  • process inspecting unit 311 process information collecting unit
  • code injection detection unit 313 code injection based thread detection unit
  • FIG. 3 is a block diagram of a network access control system according to the present invention.
  • the process inspection unit 310 detects a code injection-based thread in the process, and performs a network filtering to detect a network packet that accesses the network, and the communication subject of the detected network packet is If the code injection-based thread includes a network monitoring unit 320 to block the transmission of the detected network packet.
  • the process inspecting unit 310 may include a process information collecting unit 311 for collecting process information running on a computer, a code injection detecting unit 312 for detecting an area where a code is injected into a process collected by the process information collecting unit, And a code injection-based thread detector 313 for detecting a thread generated based on the code injected region.
  • the network monitoring unit 320 performs network filtering to detect the network packet, and the network monitoring unit 320 detects the network packet based on the process ID and thread ID of the subject communicating (sending or receiving) the network packet.
  • Network blocker 322 to allow or block transmission.
  • the process information collection unit 311 collects process information by collecting a process structure for each process for a process running on a computer. As a method of collecting process information for each process, the process information collecting unit 311 may enumerate processes using the EnumProcesses function of psapi.dll, collect process structures for each process, and process information using the ZwQuerySystemInformation function.
  • the code injection detector 312 detects a code injected area in each process collected by the process information collector 311.
  • the code injection detection unit 312 includes a virtual address space information collecting unit 312a for collecting the virtual address space information allocated to the process and a virtual address space research unit 312b for checking whether the code is injected into the collected virtual address space. Include.
  • the virtual address space information collecting unit 312a may collect virtual address space information allocated to a process, including: checking a BadRoot member of a process structure at a kernel level; There is a way to use the VirtualQueryEx function at the user level.
  • the virtual address space information collecting unit 312a describes in detail how to collect virtual address space information allocated to a process by inspecting a BadRoot member of the process structure EProcess.
  • a bad is a virtual address descriptor (Virtual Address Descriptor), typically a plurality of virtual address spaces are allocated to one process, each bad represents each virtual address space allocated to the process. do.
  • the process structure collected by the process information collecting unit 311 is an object managed at the kernel level (Kernel Level), includes the internal information of the process, and includes a double BadRoot member.
  • This BadRoot is a tree-type data structure that manages memory address information allocated to processes.
  • FIG. 4 is an exemplary diagram illustrating the Bad tree structure of an arbitrary process.
  • each rectangular block corresponds to one bad, a start address (StartVPN) and an end address (EndVPN), and a memory type (Private /) of a virtual page number (VPN) of a virtual address space.
  • Mapped Exe / Mapped and the protect flag value (READWRITE / READONLY / EXE_WRITE_COPY) are described.
  • the virtual address space information collecting unit 312a is based on the BadRoot of the process structure, which virtual address ranges (start address and end address) are allocated to the virtual address space allocated to the process, and You can collect it by checking its properties (memory type, protection flag value).
  • FIG. 5 is a diagram illustrating a memory structure representing a bad tree structure of the process of FIG. 4.
  • the virtual address space information collecting unit 312a will be described in detail how to collect the virtual address space information allocated to the process using the VirtualQueryEx function at the user level. If you use the VirtualQueryEx function at the user level, you can get information about the queried virtual address.
  • the query result of the VirtualQueryEx function is obtained in the form of a MEMORY_BASIC_INFORMATION structure.
  • This MEMORY_BASIC_INFORMATION structure is similar to the information obtained through BadRoot described above, and the virtual address range (start address and end address) allocated to the virtual address space for each virtual address space allocated to the process, and its properties (memory). Type, and the protection flag value) can be checked. Detailed usage of the VirtualQueryEx function can be found at the link below.
  • the virtual address space research unit 312b uses the attribute information of each virtual address space collected by the virtual address space information collection unit 312a to check whether code injection is performed in the corresponding virtual address space.
  • the memory type of the virtual address space allocated to the DLL file is a mapped type, and the protection flag value is executable.
  • the memory type of the code injected virtual address space is a private type and the protect flag value is executable.
  • the virtual address space inspecting unit 312b checks the virtual address space if the memory type of the virtual address spaces allocated to the process is not a mapping type but a private type, and the protection flag value is executable. Determined as the code injection area.
  • the virtual address space research unit 312b transmits virtual address range (start address and end address) information of the virtual address space determined as the code injection area to the code injection-based thread detector 313.
  • the code injection-based thread detector 313 may include a thread information collector 313a which collects information about all threads executed in a process, a start address value Win32StartAddress of the collected threads, and the virtual address space researcher ( Comparing the virtual address range of the code injected virtual address space provided in 312b), and if the starting address value of the collected thread belongs to the virtual address range of the code injected virtual address space, code injection is performed into the code injected virtual address space. And an address comparison unit 313b for determining that the base thread exists.
  • the thread information collecting unit 313a collects information about all threads executed in the process, such as checking the thread list head of the process structure (EProcess), using the ZwQuerySystemInformation function, and the like. Various methods are included.
  • the EProcess is a structure that contains information about processes used at the kernel level.
  • the ThreadListHead member of the process structure contains information about all threads running in the process. Included.
  • the ThreadListHead member is in the form of a linked list, and the thread structure (EThread) can be obtained through each entry connected to it.
  • the thread structure (EThread) is a structure that contains information about threads used at the kernel level. Accordingly, the thread information collecting unit 313a collects and examines a thread structure through a thread list head member and collects information on all threads existing in the process.
  • the thread information collecting unit 313a collects thread information using the ZwQuerySystemInformation function.
  • the ZwQuerySystemInformation function is used to obtain system information.
  • the type of information obtained depends on the SystemInformationClass.
  • the SystemInformationClass to SystemProcessesAndThreadsInformation to call the ZwQuerySystemInformation function, to obtain the process-specific thread information.
  • SystemInformation is a memory space that contains all processes and thread information for each process. You can access the SYSTEM_PROCESSES structure through SystemInformation and eventually get SYSTEM_THREADS that exists as an array. You can also use the NextEntryDelta member of the SYSTEM_PROCESSES structure to navigate to the SYSTEM_PROCESSES structure area for the next process.
  • the address comparison unit 313b compares the start address value (Win32StartAddress) of any thread executed in the process with the virtual address range of the code-injected virtual address space of the process to obtain the start address value of the collected thread. If it belongs to the virtual address range of the code injected virtual address space, it is determined that the code injection-based thread exists, the network injection unit 322 by adding the process ID and thread ID of the code injection-based thread to the blocking thread list To pass.
  • Win32StartAddress start address value of any thread executed in the process with the virtual address range of the code-injected virtual address space of the process to obtain the start address value of the collected thread. If it belongs to the virtual address range of the code injected virtual address space, it is determined that the code injection-based thread exists, the network injection unit 322 by adding the process ID and thread ID of the code injection-based thread to the blocking thread list To pass.
  • the network filter unit 321 monitors network packet traffic by performing normal network filtering.
  • a network filtering method of the network filter unit 321 a network filter driver can be used at the kernel level, and the NDIS_OPEN_BLOCK hooking method, the Ndis Intermediate Driver implementation method, the TDI hooking method, and the WFP (Windows Filtering Platform) can be used at the kernel level. Various methods, including how to use).
  • the network filtering method of the network filter unit 321 at the user level, it is possible to monitor the network packet traffic by hooking a socket function used by the specific process with a specific process as a target.
  • the network blocker 322 allows or blocks the traffic of the corresponding network packet by using the process ID and thread ID of the sender or receiver of the network packet. That is, if the thread ID of the network packet is included in the blocking thread list, the traffic of the network packet is blocked, and if the process ID of the network packet is included in the allowed process list without including the thread ID of the network packet in the blocking thread list, Allow traffic from network packets. On the other hand, if the process ID of the network packet is not included in the allowed process list, the user is verified and the corresponding traffic is allowed or blocked based on the user verification result.
  • FIG. 6 is an operation flowchart illustrating a network access control method according to the present invention.
  • the network access control system collects process information executed in the computer (S61). Next, a code injected virtual address space area is detected for each collected process (S62). Next, it is detected whether a code injection-based thread exists in the code injected virtual address space (S63). Next, if network packet traffic is detected (S64), based on the code injection-based thread allows or blocks the traffic of the network packet (S65).
  • FIG. 7 is a detailed operation flowchart illustrating a step S62 of detecting a code injected virtual address space region of any one process in FIG. 6.
  • the step S62 of detecting the code injected virtual address space region is performed as follows.
  • the network access control system collects information on the virtual address spaces forming the process (S71).
  • One virtual address space is selected as the target virtual address space (S72), and it is checked whether the memory type of the target virtual address space is a private type (S73). If the memory type of the test target virtual address space is a private type in step S73, it is checked whether the protect flag value of the test target virtual address space is executable (EXECUTABLE) (S74). If the protection flag value of the test target virtual address space is executable in step S74, the test target virtual address space is determined as a code injection region (S75), and the virtual information range of the code injected virtual address space is code injection-based thread. Transfer to the detection unit (S76).
  • step S77 it is checked whether the target virtual address space is the last virtual address space (S77), and if it is not the last virtual address space, the process is repeated from step S72. On the other hand, if the memory type of the inspected virtual address space is not a private type in step S73 or the protect flag value of the inspected virtual address space is not executable in step S74, the flow proceeds directly to step S77.
  • FIG. 8 is a detailed operation flowchart illustrating a step S63 of detecting a thread, that is, a code injection-based thread, based on the code injected virtual address space detected in step S62 of FIG. 6.
  • Detecting the code injection-based thread is performed as follows.
  • the network access control system collects thread information running on the computer (S81).
  • One thread of the collected thread information is selected as a thread to be examined (S82), and a comparison is made whether a starting address value of the thread to be checked belongs to a virtual address range of the code-injected virtual address space (S83).
  • S83 a virtual address range of the code-injected virtual address space
  • S84 determines a code injection-based thread exists in the code injected virtual address space (S84).
  • step S85 the process ID and thread ID of the code injection-based thread is included in the blocking thread list and then transferred to the network blocking unit (S86).
  • the process ID and thread ID of the code injection-based thread may be included in the blocked thread list after user verification.
  • step S87 it is checked whether the thread to be inspected is the last thread (S87), and if it is not the last thread, the process is repeated from step S82. On the other hand, if the starting address value of the thread to be inspected in step S84 does not belong to the virtual address range of the code-injected virtual address space, the flow proceeds directly to step S87.
  • FIG. 9 is a detailed flowchart illustrating an operation S65 of controlling a network packet by using code injection-based thread information detected in operation S63 of FIG. 6.
  • the network packet control step S65 is performed as follows.
  • the network access control system performs network filtering to collect network packets transmitted and received from the computer (S91).
  • process ID, thread ID, and full path information of the collected network packet are collected.
  • the process ID and the thread ID are included in the blocked thread list (S93)
  • the traffic of the collected network packets is blocked (S94). If the process ID and thread ID of the collected network packet are not included in the blocked thread list in step S93, it is checked whether the process ID is included in the allowed process list (S95). If the process ID is included in the allowed process list in step S95, traffic of the collected network packets is allowed (S96).
  • step S95 if the process ID is not included in the allowed process list in step S95, the user ID is requested for the process ID (S97), and if allowed by the user (S98), the process ID of the collected network packets is added to the allowed process list. After adding (S99), the traffic of the collected network packet is allowed (S96). On the other hand, if not allowed by the user in step S98, the traffic of the collected network packet is blocked (S94).

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

이 발명은 프로세스에 코드 인젝션(code injection) 기반으로 삽입된 스레드를 기준으로 네트워크 패킷의 네트워크 접근을 제어하는 시스템 및 방법에 관한 것이다. 이 발명에 따른 네트워크 접근 제어시스템은, 프로세스에 포함된 코드 인젝션 기반 스레드를 탐지하는 프로세스 검사부와, 네트워크 필터링을 수행하여 네트워크에 접근하는 네트워크 패킷을 탐지하고 상기 탐지된 네트워크 패킷의 통신 주체가 상기 코드 인젝션 기반 스레드이면 상기 탐지된 네트워크 패킷의 트래픽이 차단되도록 하는 네트워크 감시부를 포함한다.

Description

네트워크 접근 제어시스템 및 방법
이 발명은 네트워크 접근 제어시스템 및 방법에 관한 것으로서, 보다 상세하게는 프로세스에 코드 인젝션(code injection) 기반으로 삽입된 스레드를 기준으로 네트워크 접근을 제어하는 시스템 및 방법에 관한 것이다.
인터넷은 TCP/IP(Transmission Control Protocol/Internet Protocol)를 사용하는 네트워크로서, 인터넷 기술이 발달함에 따라 인터넷의 사용 영역이 확장됨으로써 개인 및 일반 기업체에서도 인터넷 망에 접속하여 각종 정보를 취득하고 이를 업무에 이용하고 있다. 그러나, 상기와 같은 정보 취득의 장점과는 반대로 바이러스 등 각종 해킹 프로그램이 인터넷에 난무하게 되고, 인터넷에 접속된 네트워크 망에 바이러스 등이 침입하게 됨에 따라 인터넷을 사용하는 시스템이 공격을 받게 된다.
이러한 시스템에 대한 불법적인 침해를 예방하기 위한 보안 기술로서, 마이크로소프트(Microsoft) 사에서는 윈도우즈 엑스피(Windows XP) 버젼부터 컴퓨터 또는 네트워크를 보호하기 위한 인터넷 연결 방화벽(ICF : Internet Connection Firewall)을 기본적으로 제공하고 있다.
인터넷 연결 방화벽은 컴퓨터 사용자가 원하지 않는 트래픽이 외부로부터 컴퓨터로 유입되거나, 컴퓨터로부터 외부로 유출되지 않도록 하는 보안기술이다. 이를 위해, 인터넷 연결 방화벽은 통신허용목록을 테이블로 구축하고, 네트워크 필터링 기술을 사용하여 인바운드 패킷(외부로부터 컴퓨터로 유입되는 패킷) 및 아웃바운드 패킷(컴퓨터로부터 외부로 유출되는 패킷)을 추적하여 통신허용목록과 비교한다. 해당 패킷이 통신허용목록에 포함되면 해당 패킷의 트래픽을 허용하고, 해당 패킷이 통신허용목록에 포함되지 않으면 해당 패킷의 트래픽을 차단한다. 이때, 통신허용목록에는 사용자에 의해 통신이 허용된 프로세스의 프로세스 아이디와 경로가 저장된다.
도 1은 종래의 인터넷 연결 방화벽에서의 네트워크 접근 차단방법을 도시한 동작 흐름도이다.
인터넷 연결 방화벽은 네트워크 패킷에 대해, 해당 패킷을 송신 또는 수신하는 프로세스의 프로세스 정보(프로세스 아이디와 경로)를 분석하고(S11), 해당 프로세스 아이디와 경로가 통신허용목록에 포함되면(S12), 해당 패킷의 트래픽을 허용한다(S13). 그러나, 해당 프로세스 아이디와 경로가 통신허용목록에 포함되지 않으면(S12), 사용자에게 해당 프로세스가 송신 또는 수신하고자 하는 패킷을 허용할지 말지를 검증받는다(S14). 사용자가 상기 패킷의 전송을 허용하면(S15), 통신허용목록에 해당 프로세스의 프로세스 아이디와 경로를 추가하고(S16) 해당 패킷의 트래픽을 허용한다(S13). 한편, 사용자가 상기 패킷의 전송을 허용하지 않으면(S15), 해당 패킷의 트래픽을 차단한다(S17).
이러한 종래의 인터넷 연결 방화벽에서의 네트워크 접근 차단방법은, 프로세스 아이디를 기준으로 패킷 트래픽을 허용 또는 차단하기 때문에, 해커가 통신이 허용된 프로세스에 악성코드를 삽입하고, 그 악성코드가 동작하여 패킷 트래픽을 발생할 경우에는 이를 차단할 수 없는 문제점이 있다.
이를 좀 더 상세하게 설명한다.
통상적으로 인터넷 익스플로러(iexplore.exe)는 윈도우즈 운영체제(Windows OS) 하에서 널리 사용되는 웹브라우저 프로그램으로서, 아웃바운드 패킷과 인바운드 패킷 등의 트래픽을 수시로 발생한다. 따라서, 인터넷 익스플로러에서 발생된 패킷의 전송에 대해 검증이 요청되면, 사용자는 별 의심없이 허용할 것이며, 그럴 경우 인터넷 익스플로러가 외부로 유출하는 아웃바운드 패킷과 외부에서 인터넷 익스플로러로 유입되는 인바운드 패킷이 모두 사용자의 추가 검증없이 허용될 것이다.
한편, 트로이 목마(trojan)나 제우스(Zeus)와 같은 프로그램은 프로세스에 코드 인젝션(code injection)을 수행하여 악성 코드를 삽입하고 그 악성 코드로 하여금 스레드를 생성하도록 한다. 최근 제우스 프로그램에 의해 사용자 컴퓨터에 삽입된 악성 코드가 컴퓨터에 저장된 은행 거래 계좌와 비밀번호 등의 금융 정보를 해커에게 유출시켜, 해커가 그 금융 정보를 이용하여 중소기업이나 지방자치단체 은행 계정에 접근, 현금을 인출하는 금융 사고가 발생한 바 있다.
예컨대, 도 2에 도시된 바와 같이 인터넷 익스플로러에 악성 코드가 삽입되어 그 악성 코드를 기반으로 스레드가 생성되고, 그 악성 스레드(Thread 3)가 악의적으로 정보를 유출하고자 시도한다고 가정하자. 이 경우, 인터넷 연결 방화벽은 프로세스 아이디(즉, 인터넷 익스플로러(iexplore.exe))를 이용하여 통신허용목록을 검색하여 인터넷 익스플로러의 네트워크 접근을 제어한다. 즉, 인터넷 익스플로러가 통신허용목록에 포함되어 있으면 그 악성 스레드에 의한 악의적인 정보 유출을 허용하고, 인터넷 익스플로러가 통신허용목록에 포함되어 있지 않으면 그 악성 스레드에 의한 악의적인 정보 유출을 차단한다. 물론, 인터넷 연결 방화벽은 인터넷 익스플로러의 다른 정상 스레드를 통한 정상적인 패킷에 대해서는 프로세스 아이디를 기준으로 그 네트워크 접근을 제어한다.
따라서, 사용자가 인터넷 익스플로러에 대해 네트워크 접근을 허용하면, 다른 정상 스레드를 통한 정상적인 패킷 전송이 원활하게 이루어져 사용자가 불편없이 인터넷에 접속할 수 있지만, 인터넷 익스플로러에 포함된 악성 스레드에 의한 네트워크 접근도 모두 허용되기 때문에 보안이 취약해지는 문제점이 있다.
그렇다고 사용자가 인터넷 익스플로러에 대해 네트워크 접근을 허용하지 않으면, 악성 스레드에 의한 악의적인 정보 유출을 방지할 수는 있지만, 다른 정상 스레드를 통한 정상적인 패킷 전송도 모두 차단되기 때문에 사용자가 인터넷을 사용하는데 큰 불편함이 따른다.
상술한 종래기술의 문제점을 해결하기 위하여 안출된 이 발명의 목적은, 프로세스 아이디뿐만 아니라 스레드 아이디를 기반으로 네트워크 패킷의 트래픽을 허용 또는 차단하여 사용자의 편의성과 보안 강도가 향상되는 네트워크 접근 제어시스템 및 방법을 제공하기 위한 것이다.
이 발명에 따른 네트워크 접근 제어시스템은, 프로세스에 포함된 코드 인젝션 기반 스레드를 탐지하는 프로세스 검사부와, 네트워크 필터링을 수행하여 네트워크에 접근하는 네트워크 패킷을 탐지하고 상기 탐지된 네트워크 패킷의 통신 주체가 상기 코드 인젝션 기반 스레드이면 상기 탐지된 네트워크 패킷의 트래픽이 차단되도록 하는 네트워크 감시부를 포함한 것을 특징으로 한다.
또한, 이 발명에 따른 네트워크 접근 제어방법은, 네트워크 접근 제어시스템이 컴퓨터에서 실행되는 프로세스 정보를 수집하는 제1단계와, 상기 네트워크 접근 제어시스템이 상기 수집된 프로세스에 포함된 코드 인젝션된 가상주소공간 영역을 탐지하는 제2단계와, 상기 네트워크 접근 제어시스템이 상기 코드 인젝션된 가상주소공간에 코드 인젝션 기반 스레드가 존재하는지를 탐지하는 제3단계와, 상기 네트워크 접근 제어시스템이 네트워크 필터링하여 네트워크 패킷 트래픽을 수집하는 제4단계와, 상기 네트워크 접근 제어시스템이 상기 코드 인젝션 기반 스레드 정보를 이용하여 상기 네트워크 패킷의 트래픽을 허용 또는 차단하는 제5단계를 포함하는 것을 특징으로 한다.
이상과 같이 이 발명에 따르면, 프로세스에 코드 인젝션으로 삽입된 악성코드에 의해 생성된 악성 스레드에 의한 악의적인 정보 유출을 실시간으로 차단할 수 있는 효과가 있다. 또한, 동일 프로세스라 하더라도 스레드별로 허용/차단 여부를 결정하여 정상 스레드에 의한 정상적인 네트워크 접근은 허용하고 악성 스레드에 의한 악의적인 네트워크 접근은 차단하여 사용자의 편의성과 보안 강도가 향상되는 효과가 있다.
도 1은 종래의 인터넷 연결 방화벽에서의 네트워크 접근 차단방법을 도시한 동작 흐름도이다.
도 2는 종래기술에 따른 네트워크 접근 차단방법의 문제점을 설명하기 위하여 도시한 도면이다.
도 3은 이 발명에 따른 네트워크 접근 제어시스템의 구성 블록도이다.
도 4는 임의의 프로세스의 배드(Vad) 트리 구조를 도시한 일 예시도이다.
도 5는 도 4의 프로세스의 배드(Vad) 트리 구조를 표현한 메모리 구조를 도시한 도면이다.
도 6은 이 발명에 따른 네트워크 접근 제어방법을 도시한 동작 흐름도이다.
도 7은 상기 도 6에서 임의의 한 프로세스의 코드 인젝션된 가상주소공간 영역을 탐지하는 단계(S62)를 상세하게 도시한 동작 흐름도이다.
도 8은 도 6의 단계 S62에서 탐지된 코드 인젝션된 가상주소공간을 기반으로 한 스레드 즉, 코드 인젝션 기반 스레드를 탐지하는 단계(S63)를 상세하게 도시한 동작 흐름도이다.
도 9는 도 6의 단계 S63에서 탐지된 코드 인젝션 기반 스레드 정보를 이용하여 네트워크 패킷을 제어하는 단계(S65)를 상세하게 도시한 동작 흐름도이다.
[부호의 설명]
310 : 프로세스 검사부 311 : 프로세스 정보 수집부
312 : 코드 인젝션 탐지부 313 : 코드 인젝션 기반 스레드 탐지부
320 : 네트워크 감시부 321 : 네트워크 필터부
322 : 네트워크 차단부
이하, 첨부된 도면을 참조하여 이 발명에 따른 네트워크 접근 제어시스템 및 방법을 보다 상세하게 설명한다.
도 3은 이 발명에 따른 네트워크 접근 제어시스템의 구성 블록도이다.
이 발명에 따른 네트워크 접근 제어시스템은, 프로세스에 코드 인젝션 기반 스레드를 탐지하는 프로세스 검사부(310)와, 네트워크 필터링을 수행하여 네트워크에 접근하는 네트워크 패킷을 탐지하고 상기 탐지된 네트워크 패킷의 통신 주체가 상기 코드 인젝션 기반 스레드이면 상기 탐지된 네트워크 패킷의 전송이 차단되도록 하는 네트워크 감시부(320)를 포함한다.
프로세스 검사부(310)는 컴퓨터에서 실행중인 프로세스 정보를 수집하는 프로세스 정보 수집부(311)와, 상기 프로세스 정보 수집부에서 수집된 프로세스에 코드 인젝션된 영역을 탐지하는 코드 인젝션 탐지부(312)와, 상기 코드 인젝션된 영역을 기반으로 생성된 스레드를 탐지하는 코드 인젝션 기반 스레드 탐지부(313)를 포함한다.
네트워크 감시부(320)는 네트워크 필터링을 수행하여 네트워크 패킷을 탐지하는 네트워크 필터부(321)와, 상기 네트워크 패킷의 통신(송신 또는 수신)하는 주체의 프로세스 아이디 및 스레드 아이디를 기준으로 상기 네트워크 패킷의 전송을 허용 또는 차단하는 네트워크 차단부(322)를 포함한다.
프로세스 정보 수집부(311)는 컴퓨터에서 실행중인 프로세스에 대해 프로세스별로 프로세스구조체를 수집함으로써 프로세스 정보를 수집한다. 프로세스 정보 수집부(311)가 프로세스별 프로세스 정보를 수집하는 방법으로는, psapi.dll의 EnumProcesses 함수를 사용하여 프로세스를 열거하고 각 프로세스별 프로세스구조체를 수집하는 방법, ZwQuerySystemInformation 함수를 사용하여 프로세스 정보를 획득하여 프로세스별 프로세스구조체를 수집하는 방법, 커널 전역변수인 PspCidTable을 조사하여 프로세스별 프로세스구조체(EProcess)를 수집하는 방법, 커널 전역변수인 PspCidTable을 조사하여 스레드구조체(EThread)를 수집한 후 스레드구조체(EThread)의 프로세스 멤버를 통해서 프로세구조체(EProcess)를 수집하는 방법, 임의의 프로세스의 프로세스구조체(EProcess)의 핸들테이블(HandleTable)을 검사하여 나머지 프로세스별 프로세스구조체(EProcess)를 수집하는 방법, 실행된 프로세스를 관리하는 csrss.exe의 내부 프로세스 정보항목을 수집하는 방법, 프로세스구조체(EProcess)의 메모리 상주 패턴으로 메모리스캔을 통해 프로세스별 프로세스구조체(EProcess)를 수집하는 방법, 스레드구조체(EThread)의 메모리 상주 패턴으로 메모리스캔을 통해 스레드별 스레드구조체(EThread)를 수집한 후 수집된 스레드구조체(EThread)의 프로세스 멤버를 통해서 프로세스별 프로세스구조체(EProcess)를 수집하는 방법 등 다양한 방법이 포함된다.
코드 인젝션 탐지부(312)는 프로세스 정보 수집부(311)에서 수집된 각 프로세스에서 코드 인젝션된 영역을 탐지한다. 코드 인젝션 탐지부(312)는 프로세스에 할당된 가상주소공간 정보를 수집하는 가상주소공간 정보 수집부(312a)와, 수집된 가상주소공간에 코드 인젝션 여부를 조사하는 가상주소공간 조사부(312b)를 포함한다.
가상주소공간 정보 수집부(312a)가 프로세스에 할당된 가상주소공간 정보를 수집하는 방법으로는, 커널레벨(Kernel Level)에서 프로세스구조체(EProcess)의 배드루트(VadRoot) 멤버를 검사하는 방법과, 유저레벨(User Level)에서 VirtualQueryEx 함수 사용하는 방법이 있다.
가상주소공간 정보 수집부(312a)가 프로세스구조체(EProcess)의 배드루트(VadRoot) 멤버를 검사하여 프로세스에 할당된 가상주소공간 정보를 수집하는 방법을 상세하게 설명한다. 여기서, 배드(Vad)란 가상주소기술자(Virtual Address Descriptor)로서, 통상적으로 하나의 프로세스에는 다수의 가상주소공간들이 할당되는데, 각각의 배드(Vad)는 프로세스에 할당된 각각의 가상주소공간을 표현한다.
프로세스 정보 수집부(311)에서 수집된 프로세스구조체(EProcess)는 커널레벨(Kernel Level)에서 관리하는 객체로서, 프로세스의 내부 정보를 포함하며, 이중 배드루트(VadRoot) 멤버가 포함된다. 이 배드루트(VadRoot)는 트리 형태의 자료구조로서, 프로세스에 할당된 메모리 주소 정보를 관리한다.
도 4는 임의의 프로세스의 배드(Vad) 트리 구조를 도시한 일 예시도이다. 도 4에서 각 사각 블록은 하나의 배드(Vad)에 해당되며, 가상주소공간의 가상페이지번호(VPN; Virtual Page Number)의 시작주소(StartVPN) 및 끝주소(EndVPN)와, 메모리타입(Private/Mapped Exe/Mapped)과, 프로텍트(protect) 플래그 값(READWRITE/READONLY/EXE_WRITE_COPY)가 기재되어 있다. 가상주소공간 정보 수집부(312a)는 프로세스구조체(EProcess)의 배드루트(VadRoot)를 기반으로, 프로세스에 할당된 가상주소공간에 어떤 가상 주소 범위(시작주소와 끝주소)가 할당되어 있는지, 그리고 그 속성(메모리타입, 프로텍트 플래그값)을 확인하며 수집할 수 있다. 도 5는 도 4의 프로세스의 배드(Vad) 트리 구조를 표현한 메모리 구조를 도시한 도면이다.
다음, 가상주소공간 정보 수집부(312a)가 유저레벨(User Level)에서 VirtualQueryEx 함수를 사용하여 프로세스에 할당된 가상주소공간 정보를 수집하는 방법을 상세하게 설명한다. 유저레벨(User Level)에서 VirtualQueryEx 함수를 사용하면, 쿼리한 가상주소에 대한 정보를 얻을 수 있는데, VirtualQueryEx 함수의 쿼리 결과가 MEMORY_BASIC_INFORMATION 구조체 형태로 얻어진다. 이 MEMORY_BASIC_INFORMATION 구조체는 앞서 설명한 배드루트(VadRoot)를 통해서 얻어지는 정보와 유사하며, 프로세스에 할당된 가상주소공간별로 해당 가상주소공간에 할당된 가상 주소 범위(시작주소와 끝주소)와, 그 속성(메모리타입, 프로텍트 플래그값)을 확인할 수 있다. VirtualQueryEx 함수의 자세한 사용법은 아래 링크에서 확인할 수 있다.
http://msdn.microsoft.com/en-us/library/aa366907(v=vs.85).aspx
http://msdn.microsoft.com/en-us/library/ms810627.aspx
가상주소공간 조사부(312b)는 가상주소공간 정보 수집부(312a)에서 수집한 각 가상주소공간의 속성 정보를 이용하여 해당 가상주소공간에 코드 인젝션(code injection)이 되어 있는지를 조사한다. 프로세스에 정상적으로 삽입되어 로드되는 DLL 파일의 경우, 그 DLL 파일에 할당된 가상주소공간의 메모리타입은 매핑 타입(Mapped Type)이고, 프로텍트 플래그값은 실행가능(executable)이다. 한편, 프로세스에 코드 인젝션된 경우, 그 코드 인젝션된 가상주소공간의 메모리타입은 프라이빗 타입(Private Type)이고 프로텍트 플래그값은 실행가능(executable)이다.
따라서, 가상주소공간 조사부(312b)는 프로세스에 할당된 가상주소공간들 중 메모리타입이 매핑 타입이 아니라 프라이빗 타입(Private type)이고, 프로텍트 플래그값이 실행가능(executable)이면, 해당 가상주소공간을 코드 인젝션 영역으로 판단한다. 가상주소공간 조사부(312b)는 코드 인젝션 영역으로 판단된 가상주소공간의 가상 주소 범위(시작주소와 끝주소) 정보를 코드 인젝션 기반 스레드 탐지부(313)에게 전달한다.
코드 인젝션 기반 스레드 탐지부(313)는 프로세스에서 실행되는 모든 스레드들에 대해 정보를 수집하는 스레드 정보 수집부(313a)와, 상기 수집된 스레드의 시작 주소값(Win32StartAddress)과 상기 가상주소공간 조사부(312b)에서 제공된 코드 인젝션된 가상주소공간의 가상 주소 범위를 비교하여 상기 수집된 스레드의 시작 주소값이 상기 코드 인젝션된 가상주소공간의 가상 주소 범위에 속하면 상기 코드 인젝션된 가상주소공간에 코드 인젝션 기반 스레드가 존재하는 것으로 판단하는 주소 비교부(313b)를 포함한다.
스레드 정보 수집부(313a)가 프로세스에서 실행되는 모든 스레드들에 대한 정보를 수집하는 방법으로는, 프로세스구조체(EProcess)의 스레드리스트헤드(ThreadListHead)를 검사하는 방법과, ZwQuerySystemInformation 함수를 사용하는 방법 등 다양한 방법들이 포함된다.
먼저, 프로세스구조체(EProcess)의 스레드리스트헤드를 검사하는 방법을 설명한다. 프로세스구조체(EProcess)는 앞서 언급했듯이 커널 레벨(Kernel Level)에서 사용하는 프로세스에 대한 정보를 포함하는 구조체로서, 프로세스구조체의 스레드리스트헤드(ThreadListHead) 멤버에는 프로세스 내에서 동작중인 모든 스레드에 대한 정보가 포함된다. 스레드리스트헤드(ThreadListHead) 멤버는 연결리스트 형태이며, 여기에 연결된 각각의 엔트리를 통해서 스레드구조체(EThread)를 구할 수 있다. 스레드구조체(EThread)는 커널 레벨(Kernel Level)에서 사용하는 스레드에 대한 정보를 포함하는 구조체이다. 따라서, 스레드 정보 수집부(313a)는 스레드리스트헤드(ThreadListHead) 멤버를 통해 스레드구조체를 수집하고 검사하여, 해당 프로세스에 존재하는 모든 스레드들에 대한 정보를 수집한다.
다음, 스레드 정보 수집부(313a)가 ZwQuerySystemInformation 함수를 사용하여 스레드 정보를 수집하는 방법을 설명한다. ZwQuerySystemInformation 함수는 시스템 정보를 구할 때 사용하는 함수로서, SystemInformationClass에 따라서 얻어지는 정보 타입이 달라진다. 이 발명에서는 SystemInformationClass를 SystemProcessesAndThreadsInformation으로 설정하여 ZwQuerySystemInformation 함수를 호출함으로써, 프로세스별 스레드 정보를 얻는다.
ZwQuerySystemInformation 함수 호출이 성공하면 SystemInformation으로 해당 정보에 접근할 수 있다. SystemInformation는 모든 프로세스와 각 프로세스에 대한 스레드 정보를 담고 있는 메모리 공간으로, SystemInformation를 통해서 SYSTEM_PROCESSES 구조체로 접근할 수 있고 결국 배열로 존재하는 SYSTEM_THREADS를 얻을 수 있다. 또한, SYSTEM_PROCESSES 구조체의 NextEntryDelta 멤버를 사용하여 다음 프로세스에 대한 SYSTEM_PROCESSES 구조체 영역을 찾아갈 수 있다.
다음, 주소 비교부(313b)는 프로세스에서 실행되는 임의의 스레드의 시작 주소값(Win32StartAddress)과, 상기 프로세스의 코드 인젝션된 가상주소공간의 가상 주소 범위를 비교하여 상기 수집된 스레드의 시작 주소값이 상기 코드 인젝션된 가상주소공간의 가상 주소 범위에 속하면 상기 코드 인젝션 기반 스레드가 존재하는 것으로 판단하고, 그 코드 인젝션 기반 스레드의 프로세스 아이디 및 스레드 아이디를 차단스레드목록에 추가하여 네트워크 차단부(322)에게 전달한다.
네트워크 필터부(321)는 통상적인 네트워크 필터링을 수행하여 네트워크 패킷 트래픽을 감시한다. 네트워크 필터부(321)의 네트워크 필터링 방법으로서, 커널레벨에서는 네트워크 필터 드라이버를 사용할 수 있으며, 네트워크 필터 드라이버를 사용하는 방법에는 NDIS_OPEN_BLOCK 후킹 방법, Ndis Intermediate Driver 구현 방법, TDI 후킹 방법, WFP(Windows Filtering Platform)를 사용하는 방법 등 다양한 방법들이 포함된다. 한편, 네트워크 필터부(321)의 네트워크 필터링 방법으로서, 유저레벨에서는 특정 프로세스를 타깃으로 해당 특정 프로세스가 사용하는 소켓함수를 후킹하여 네트워크 패킷 트래픽을 감시할 수 있다.
네트워크 차단부(322)는 네트워크 패킷의 송신 또는 수신 주체의 프로세스 아이디와 스레드 아이디를 이용하여 해당 네트워크 패킷의 트래픽을 허용 또는 차단한다. 즉, 네트워크 패킷의 스레드 아이디가 차단스레드목록에 포함되면 상기 네트워크 패킷의 트래픽을 차단하고, 네트워크 패킷의 스레드 아이디가 차단스레드목록에 포함되지 않으면서 네트워크 패킷의 프로세스 아이디가 허용프로세스목록에 포함되면 상기 네트워크 패킷의 트래픽을 허용한다. 한편, 상기 네트워크 패킷의 프로세스 아이디가 허용프로세스목록에 포함되지 않으면 사용자 검증을 받고 상기 사용자 검증 결과를 기반으로 해당 트래픽을 허용 또는 차단한다.
상기와 같이 구성된 네트워크 접근 제어시스템의 동작을 설명한다.
도 6은 이 발명에 따른 네트워크 접근 제어방법을 도시한 동작 흐름도이다.
이 발명에 따른 네트워크 접근 제어시스템은, 컴퓨터에서 실행되는 프로세스 정보를 수집한다(S61). 다음, 수집된 각 프로세스에 대해 코드 인젝션된 가상주소공간 영역을 탐지한다(S62). 다음, 그 코드 인젝션된 가상주소공간에 코드 인젝션 기반 스레드가 존재하는지를 탐지한다(S63). 다음, 네트워크 패킷 트래픽이 탐지되면(S64), 상기 코드 인젝션 기반 스레드를 기반으로 상기 네트워크 패킷의 트래픽을 허용 또는 차단한다(S65).
도 7은 상기 도 6에서 임의의 한 프로세스의 코드 인젝션된 가상주소공간 영역을 탐지하는 단계(S62)를 상세하게 도시한 동작 흐름도이다.
코드 인젝션된 가상주소공간 영역을 탐지하는 단계(S62)는 다음과 같이 이루어진다. 네트워크 접근 제어시스템은 프로세스를 이루는 가상주소공간들에 대한 정보를 수집한다(S71). 하나의 가상주소공간을 검사대상 가상주소공간으로 선택하고(S72), 상기 검사대상 가상주소공간의 메모리타입이 프라이빗 타입인지를 검사한다(S73). 단계 S73에서 검사대상 가상주소공간의 메모리타입이 프라이빗 타입이면 상기 검사대상 가상주소공간의 프로텍트 플래그값이 실행가능(EXECUTABLE)인지를 검사한다(S74). 단계 S74에서 검사대상 가상주소공간의 프로텍트 플래그값이 실행가능이면, 상기 검사대상 가상주소공간을 코드 인젝션 영역으로 판단하고(S75), 코드 인젝션된 가상주소공간의 가상 주소 범위 정보를 코드 인젝션 기반 스레드 탐지부에게 전달한다(S76).
이후, 상기 검사대상 가상주소공간이 마지막 가상주소공간인지를 검사하여(S77), 마지막 가상주소공간이 아니면 단계 S72부터 반복 수행한다. 한편, 단계 S73에서 검사대상 가상주소공간의 메모리타입이 프라이빗 타입이 아니거나, 단계 S74에서 검사대상 가상주소공간의 프로텍트 플래그값이 실행가능이 아니면, 단계 S77로 바로 진행한다.
도 8은 도 6의 단계 S62에서 탐지된 코드 인젝션된 가상주소공간을 기반으로 한 스레드 즉, 코드 인젝션 기반 스레드를 탐지하는 단계(S63)를 상세하게 도시한 동작 흐름도이다.
코드 인젝션 기반 스레드를 탐지하는 단계(S63)는 다음과 같이 이루어진다. 네트워크 접근 제어시스템은 컴퓨터에서 실행되는 스레드 정보를 수집한다(S81). 수집된 스레드 정보 중 하나의 스레드를 검사대상 스레드로 선택하고(S82), 검사대상 스레드의 시작 주소값이 코드 인젝션된 가상주소공간의 가상 주소 범위에 속하는지를 비교한다(S83). 단계 S83의 비교 결과, 검사대상 스레드의 시작 주소값이 코드 인젝션된 가상주소공간의 가상 주소 범위에 속하면(S84), 상기 코드 인젝션된 가상주소공간에 코드 인젝션 기반 스레드가 존재하는 것으로 판단하고(S85), 코드 인젝션 기반 스레드의 프로세스 아이디 및 스레드 아이디를 차단스레드목록에 포함한 후 네트워크 차단부로 전달한다(S86). 단계 S86에서 상기 코드 인젝션 기반 스레드의 프로세스 아이디 및 스레드 아이디에 대해 사용자 검증 후 차단스레드목록에 포함시킬 수도 있다.
이후, 상기 검사대상 스레드가 마지막 스레드인지를 검사하여(S87), 마지막 스레드가 아니면 단계 S82부터 반복 수행한다. 한편, 단계 S84에서 검사대상 스레드의 시작 주소값이 코드 인젝션된 가상주소공간의 가상 주소 범위에 속하지 않으면, 단계 S87로 바로 진행한다.
도 9는 도 6의 단계 S63에서 탐지된 코드 인젝션 기반 스레드 정보를 이용하여 네트워크 패킷을 제어하는 단계(S65)를 상세하게 도시한 동작 흐름도이다.
네트워크 패킷 제어단계(S65)는 다음과 같이 이루어진다. 네트워크 접근 제어시스템은 네트워크 필터링을 수행하여 컴퓨터에서 송수신되는 네트워크 패킷을 수집한다(S91). 그리고, 수집된 네트워크 패킷의 프로세스 아이디와 스레드 아이디 및 전체 경로 정보를 수집한다(S92). 상기 프로세스 아이디 및 스레드 아이디가 차단 스레드 목록에 포함되면(S93), 상기 수집된 네트워크 패킷의 트래픽을 차단한다(S94). 단계 S93에서 상기 수집된 네트워크 패킷의 프로세스 아이디 및 스레드 아이디가 차단 스레드 목록에 포함되지 않으면, 상기 프로세스 아이디가 허용 프로세스 목록에 포함되는지를 검사한다(S95). 단계 S95에서 프로세스 아이디가 허용 프로세스 목록에 포함되면 상기 수집된 네트워크 패킷의 트래픽을 허용한다(S96).
한편, 단계 S95에서 프로세스 아이디가 허용 프로세스 목록에 포함되지 않으면 상기 프로세스 아이디에 대해 사용자 검증을 요청하고(S97), 사용자로부터 허용되면(S98), 상기 수집된 네트워크 패킷의 프로세스 아이디를 허용 프로세스 목록에 추가한(S99) 후 상기 수집된 네트워크 패킷의 트래픽을 허용한다(S96). 한편, 단계 S98에서 사용자로부터 허용되지 않으면, 상기 수집된 네트워크 패킷의 트래픽을 차단한다(S94).
이상에서 본 발명에 대한 기술사상을 첨부도면과 함께 서술하였지만, 이는 본 발명의 가장 양호한 실시예를 예시적으로 설명한 것이지 본 발명을 한정하는 것은 아니다. 또한, 이 기술분야의 통상의 지식을 가진 자라면 누구나 본 발명의 기술사상의 범주를 이탈하지 않는 범위 내에서 다양한 변형 및 모방이 가능함은 명백한 사실이다.

Claims (26)

  1. 프로세스에 포함된 코드 인젝션 기반 스레드를 탐지하는 프로세스 검사부와,
    네트워크 필터링을 수행하여 네트워크에 접근하는 네트워크 패킷을 탐지하고 상기 탐지된 네트워크 패킷의 통신 주체가 상기 코드 인젝션 기반 스레드이면 상기 탐지된 네트워크 패킷의 트래픽이 차단되도록 하는 네트워크 감시부를 포함한 것을 특징으로 하는 네트워크 접근 제어시스템.
  2. 제 1 항에 있어서, 상기 프로세스 검사부는 컴퓨터에서 실행중인 프로세스 정보를 수집하는 프로세스 정보 수집부와, 상기 프로세스 정보 수집부에서 수집된 프로세스에서 코드 인젝션된 영역을 탐지하는 코드 인젝션 탐지부와, 상기 코드 인젝션된 영역을 기반으로 생성된 스레드를 탐지하는 코드 인젝션 기반 스레드 탐지부를 포함한 것을 특징으로 하는 네트워크 접근 제어시스템.
  3. 제 2 항에 있어서, 상기 프로세스 정보 수집부는 상기 컴퓨터에서 실행중인 프로세스별로 프로세스구조체를 수집한 것을 특징으로 하는 네트워크 접근 제어시스템.
  4. 제 2 항에 있어서, 상기 코드 인젝션 탐지부는 상기 수집된 프로세스에 할당된 가상주소공간의 가상 주소 범위와 속성 정보를 수집하는 가상주소공간 정보 수집부와, 상기 가상주소공간 정보 수집부에서 수집된 가상주소공간에 코드 인젝션 여부를 조사하는 가상주소공간 조사부를 포함한 것을 특징으로 하는 네트워크 접근 제어시스템.
  5. 제 4 항에 있어서, 상기 가상주소공간 정보 수집부는 커널레벨(Kernel Level)에서 프로세스구조체(EProcess)의 배드루트(VadRoot) 멤버를 검사하여 상기 수집된 프로세스에 할당된 가상주소공간의 가상 주소 범위와 속성 정보를 수집하는 것을 특징으로 하는 네트워크 접근 제어시스템.
  6. 제 4 항에 있어서, 상기 가상주소공간 정보 수집부는 유저레벨(User Level)에서 VirtualQueryEx 함수 사용하여 상기 수집된 프로세스에 할당된 가상주소공간의 가상 주소 범위와 속성 정보를 수집하는 것을 특징으로 하는 네트워크 접근 제어시스템.
  7. 제 4 항에 있어서, 상기 가상주소공간 조사부는 상기 가상주소공간 정보 수집부에서 수집된 상기 가상주소공간의 속성 정보 중 메모리타입이 프라이빗 타입(Private type)이고, 프로텍트 플래그값이 실행가능(executable)이면, 상기 가상주소공간을 코드 인젝션 영역으로 판단하는 것을 특징으로 하는 네트워크 접근 제어시스템.
  8. 제 2 항에 있어서, 상기 코드 인젝션 기반 스레드 탐지부는 컴퓨터에서 실행중인 스레드 정보를 수집하는 스레드 정보 수집부와, 상기 스레드 정보 수집부에서 수집된 스레드의 시작 주소값과 상기 가상주소공간 조사부에서 제공된 코드 인젝션된 가상주소공간의 가상 주소 범위를 비교하여 상기 수집된 스레드의 시작 주소값이 상기 코드 인젝션된 가상주소공간의 가상 주소 범위에 속하면 상기 코드 인젝션된 가상주소공간에 코드 인젝션 기반 스레드가 존재하는 것으로 판단하는 주소 비교부를 포함한 것을 특징으로 하는 네트워크 접근 제어시스템.
  9. 제 8 항에 있어서, 상기 스레드 정보 수집부는 프로세스구조체(EProcess)의 스레드리스트헤드(ThreadListHead)를 검사하여 상기 컴퓨터에서 실행중인 스레드 정보를 수집하는 것을 특징으로 하는 네트워크 접근 제어시스템.
  10. 제 8 항에 있어서, 상기 스레드 정보 수집부는 ZwQuerySystemInformation 함수를 사용하여 상기 컴퓨터에서 실행중인 스레드 정보를 수집하는 것을 특징으로 하는 네트워크 접근 제어시스템.
  11. 제 1 항에 있어서, 상기 네트워크 감시부는 상기 네트워크 패킷을 필터링하는 네트워크 필터부와, 상기 네트워크 패킷의 통신 주체의 프로세스 아이디 및 스레드 아이디를 기반으로 상기 네트워크 패킷의 트래픽을 허용 또는 차단하는 네트워크 차단부를 포함한 것을 특징으로 하는 네트워크 접근 제어시스템.
  12. 제 11 항에 있어서, 상기 네트워크 필터부는 커널레벨에서 네트워크 필터 드라이버를 사용하여 네트워크 필터링하는 것을 특징으로 네트워크 접근 제어시스템.
  13. 제 11 항에 있어서, 상기 네트워크 필터부는 유저레벨에서 프로세스가 사용하는 소켓함수를 후킹하여 네트워크 필터링하는 것을 특징으로 하는 네트워크 접근 제어시스템.
  14. 네트워크 접근 제어시스템이 컴퓨터에서 실행되는 프로세스 정보를 수집하는 제1단계와,
    상기 네트워크 접근 제어시스템이 상기 수집된 프로세스에 포함된 코드 인젝션된 가상주소공간 영역을 탐지하는 제2단계와,
    상기 네트워크 접근 제어시스템이 상기 코드 인젝션된 가상주소공간에 코드 인젝션 기반 스레드가 존재하는지를 탐지하는 제3단계와,
    상기 네트워크 접근 제어시스템이 네트워크 필터링하여 네트워크 패킷 트래픽을 수집하는 제4단계와,
    상기 네트워크 접근 제어시스템이 상기 코드 인젝션 기반 스레드 정보를 이용하여 상기 네트워크 패킷의 트래픽을 허용 또는 차단하는 제5단계를 포함하는 것을 특징으로 하는 네트워크 접근 제어방법.
  15. 제 14 항에 있어서, 상기 제1단계는 상기 컴퓨터에서 실행중인 프로세스별로 프로세스구조체를 수집한 것을 특징으로 하는 네트워크 접근 제어방법.
  16. 제 14 항에 있어서, 상기 제2단계는, 상기 네트워크 접근 제어시스템이 상기 수집된 프로세스에 할당된 상기 가상주소공간들에 대한 정보를 수집하는 제21단계와,
    상기 네트워크 접근 제어시스템이 검사대상 가상주소공간을 선택하고, 상기 검사대상 가상주소공간의 메모리타입과 프로텍트 플래그값을 검사하는 제22단계와,
    상기 제22단계의 검사 결과, 상기 검사대상 가상주소공간의 메모리타입이 프라이빗 타입이고 프로텍트 플래그값이 실행가능(EXECUTABLE)이면 상기 검사대상 가상주소공간을 코드 인젝션 영역으로 판단하는 제23단계를 포함하는 것을 특징으로 하는 네트워크 접근 제어방법.
  17. 제 16 항에 있어서, 상기 제21단계는 커널레벨(Kernel Level)에서 프로세스구조체(EProcess)의 배드루트(VadRoot) 멤버를 검사하여 상기 수집된 프로세스에 할당된 가상주소공간의 가상 주소 범위와 속성 정보를 수집하는 것을 특징으로 하는 네트워크 접근 제어방법.
  18. 제 16 항에 있어서, 상기 제21단계는 유저레벨(User Level)에서 VirtualQueryEx 함수 사용하여 상기 수집된 프로세스에 할당된 가상주소공간의 가상 주소 범위와 속성 정보를 수집하는 것을 특징으로 하는 네트워크 접근 제어방법.
  19. 제 14 항에 있어서, 상기 제3단계는 상기 네트워크 접근 제어시스템이 상기 컴퓨터에서 실행되는 스레드 정보를 수집하는 제31단계와,
    상기 네트워크 접근 제어시스템이 검사대상 스레드를 선택하고 상기 검사대상 스레드의 시작 주소값이 상기 코드 인젝션된 가상주소공간의 가상 주소 범위에 속하는지를 비교하는 제32단계와,
    상기 제32단계의 비교 결과, 상기 검사대상 스레드의 시작 주소값이 상기 코드 인젝션된 가상주소공간의 가상 주소 범위에 속하면 상기 코드 인젝션된 가상주소공간에 코드 인젝션 기반 스레드가 존재하는 것으로 판단하는 제33단계를 포함하는 것을 특징으로 하는 네트워크 접근 제어방법.
  20. 제 19 항에 있어서, 상기 제33단계 후 상기 코드 인젝션 기반 스레드의 프로세스 아이디 및 스레드 아이디를 차단스레드목록에 포함하는 것을 특징으로 하는 네트워크 접근 제어방법.
  21. 제 19 항에 있어서, 상기 제31단계는 프로세스구조체(EProcess)의 스레드리스트헤드(ThreadListHead)를 검사하여 상기 컴퓨터에서 실행중인 스레드 정보를 수집하는 것을 특징으로 하는 네트워크 접근 제어방법.
  22. 제 19 항에 있어서, 상기 제31단계는 ZwQuerySystemInformation 함수를 사용하여 상기 컴퓨터에서 실행중인 스레드 정보를 수집하는 것을 특징으로 하는 네트워크 접근 제어방법.
  23. 제 14 항에 있어서, 상기 제4단계는 커널레벨에서 네트워크 필터 드라이버를 사용하여 네트워크 필터링하는 것을 특징으로 네트워크 접근 제어방법.
  24. 제 14 항에 있어서, 상기 제4단계는 유저레벨에서 프로세스가 사용하는 소켓함수를 후킹하여 네트워크 필터링하는 것을 특징으로 하는 네트워크 접근 제어방법.
  25. 제 14 항에 있어서, 상기 제5단계는 상기 네트워크 접근 제어시스템이 상기 코드 인젝션 기반 스레드의 프로세스 아이디 및 스레드 아이디를 차단스레드목록에 저장하는 제51단계와,
    상기 네트워크 접근 제어시스템이 상기 수집된 네트워크 패킷의 프로세스 아이디와 스레드 아이디 정보를 수집하는 제52단계와,
    상기 네트워크 접근 제어시스템이 상기 제52단계에서 수집된 상기 프로세스 아이디 및 스레드 아이디가 상기 차단 스레드 목록에 포함되면, 상기 수집된 네트워크 패킷의 트래픽을 차단하는 제53단계와,
    상기 네트워크 접근 제어시스템이 상기 수집된 네트워크 패킷의 프로세스 아이디 및 스레드 아이디가 차단 스레드 목록에 포함되지 않고 상기 프로세스 아이디가 허용 프로세스 목록에 포함되면, 상기 수집된 네트워크 패킷의 트래픽을 허용하는 제54단계를 포함하는 것을 특징으로 하는 네트워크 접근 제어방법.
  26. 제 25 항에 있어서, 상기 제51단계는 상기 네트워크 접근 제어시스템이 사용자 검증 후 상기 코드 인젝션 기반 스레드의 프로세스 아이디 및 스레드 아이디를 차단스레드목록에 저장하는 것을 특징으로 하는 네트워크 접근 제어방법.
PCT/KR2012/003215 2011-06-23 2012-04-26 네트워크 접근 제어시스템 및 방법 Ceased WO2012176978A2 (ko)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2014516890A JP5956570B2 (ja) 2011-06-23 2012-04-26 ネットワークアクセス制御システムおよび方法
US14/127,199 US9246937B2 (en) 2011-06-23 2012-04-26 Network access control system and method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2011-0061162 2011-06-23
KR1020110061162A KR101206853B1 (ko) 2011-06-23 2011-06-23 네트워크 접근 제어시스템 및 방법

Publications (2)

Publication Number Publication Date
WO2012176978A2 true WO2012176978A2 (ko) 2012-12-27
WO2012176978A3 WO2012176978A3 (ko) 2013-02-14

Family

ID=47423039

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2012/003215 Ceased WO2012176978A2 (ko) 2011-06-23 2012-04-26 네트워크 접근 제어시스템 및 방법

Country Status (4)

Country Link
US (1) US9246937B2 (ko)
JP (1) JP5956570B2 (ko)
KR (1) KR101206853B1 (ko)
WO (1) WO2012176978A2 (ko)

Families Citing this family (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101421630B1 (ko) 2013-01-28 2014-07-22 주식회사 잉카인터넷 코드 인젝션된 악성코드 탐지 시스템 및 방법
GB2510641A (en) * 2013-02-12 2014-08-13 F Secure Corp Detecting suspicious code injected into a process if function call return address points to suspicious memory area
KR101444141B1 (ko) * 2013-05-03 2014-09-26 주식회사 잉카인터넷 악성스레드 처리 시스템 및 방법
US9407602B2 (en) * 2013-11-07 2016-08-02 Attivo Networks, Inc. Methods and apparatus for redirecting attacks on a network
US9710648B2 (en) 2014-08-11 2017-07-18 Sentinel Labs Israel Ltd. Method of malware detection and system thereof
US11507663B2 (en) 2014-08-11 2022-11-22 Sentinel Labs Israel Ltd. Method of remediating operations performed by a program and system thereof
US9690928B2 (en) * 2014-10-25 2017-06-27 Mcafee, Inc. Computing platform security methods and apparatus
US20160357958A1 (en) * 2015-06-08 2016-12-08 Michael Guidry Computer System Security
US11616812B2 (en) 2016-12-19 2023-03-28 Attivo Networks Inc. Deceiving attackers accessing active directory data
US11695800B2 (en) 2016-12-19 2023-07-04 SentinelOne, Inc. Deceiving attackers accessing network data
US10664594B2 (en) 2017-06-30 2020-05-26 Microsoft Technology Licensing, Llc Accelerated code injection detection using operating system controlled memory attributes
EP3643040A4 (en) 2017-08-08 2021-06-09 SentinelOne, Inc. Methods, systems, and devices for dynamically modeling and grouping endpoints for edge networking
US11470115B2 (en) 2018-02-09 2022-10-11 Attivo Networks, Inc. Implementing decoys in a network environment
WO2020236981A1 (en) 2019-05-20 2020-11-26 Sentinel Labs Israel Ltd. Systems and methods for executable code detection, automatic feature extraction and position independent code detection
US12056239B2 (en) 2020-08-18 2024-08-06 Micro Focus Llc Thread-based malware detection
US11579857B2 (en) 2020-12-16 2023-02-14 Sentinel Labs Israel Ltd. Systems, methods and devices for device fingerprinting and automatic deployment of software in a computing network using a peer-to-peer approach
US11899782B1 (en) 2021-07-13 2024-02-13 SentinelOne, Inc. Preserving DLL hooks
US12452273B2 (en) 2022-03-30 2025-10-21 SentinelOne, Inc Systems, methods, and devices for preventing credential passing attacks
WO2024044559A1 (en) 2022-08-22 2024-02-29 SentinelOne, Inc. Systems and methods of data selection for iterative training using zero knowledge clustering
US12468810B2 (en) 2023-01-13 2025-11-11 SentinelOne, Inc. Classifying cybersecurity threats using machine learning on non-euclidean data

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20040089386A (ko) * 2003-04-14 2004-10-21 주식회사 하우리 메모리를 감염시키는 바이러스의 치료방법, 프로그램을기록한 컴퓨터로 읽을 수 있는 기록매체 및 바이러스의치료장치
KR20050053401A (ko) * 2003-12-02 2005-06-08 주식회사 하우리 컴퓨터 바이러스 방역방법과 그 프로그램을 기록한 기록매체
KR100468374B1 (ko) 2004-07-06 2005-01-31 주식회사 잉카인터넷 네트워크 유해 트래픽 제어 장치 및 방법
KR100645983B1 (ko) 2005-08-31 2006-11-14 (주)와이즈로직 불법 프로세스 검출 모듈 및 그 방법
JP4811033B2 (ja) * 2006-01-30 2011-11-09 富士ゼロックス株式会社 情報処理装置
US8769672B2 (en) 2006-08-03 2014-07-01 Symantec Corporation Code injection prevention
CN101350052B (zh) * 2007-10-15 2010-11-03 北京瑞星信息技术有限公司 发现计算机程序的恶意行为的方法和装置
US8387139B2 (en) 2008-02-04 2013-02-26 Microsoft Corporation Thread scanning and patching to disable injected malware threats
KR20100078081A (ko) * 2008-12-30 2010-07-08 (주) 세인트 시큐리티 커널 기반 시스템 행위 분석을 통한 알려지지 않은 악성코드 탐지 시스템 및 방법
KR101053470B1 (ko) 2009-04-14 2011-08-03 박한규 유해 트래픽 제어 및 해킹을 차단하는 장치 및 방법
KR101161008B1 (ko) * 2009-06-30 2012-07-02 주식회사 잉카인터넷 악성코드 탐지시스템 및 방법
KR101011145B1 (ko) * 2010-06-15 2011-01-26 주식회사 파수닷컴 응용 모듈 삽입 장치, 응용 모듈 삽입 기능을 구비한 컴퓨팅 장치 및 응용 모듈 삽입 방법을 실행하기 위한 프로그램을 기록한 기록매체

Also Published As

Publication number Publication date
JP5956570B2 (ja) 2016-07-27
WO2012176978A3 (ko) 2013-02-14
KR101206853B1 (ko) 2012-11-30
US9246937B2 (en) 2016-01-26
US20140157366A1 (en) 2014-06-05
JP2014520338A (ja) 2014-08-21

Similar Documents

Publication Publication Date Title
WO2012176978A2 (ko) 네트워크 접근 제어시스템 및 방법
US7870612B2 (en) Antivirus protection system and method for computers
WO2018182126A1 (ko) 안전 소프트웨어 인증 시스템 및 방법
US9323925B2 (en) Method and system for prevention of windowless screen capture
WO2015178578A1 (ko) 패치파일 분석시스템과 분석방법
WO2011055945A2 (ko) 악성 사이트 검출 장치 및 방법
CN101017458A (zh) 基于源代码静态分析的软件安全代码分析器及其检测方法
WO2011102605A2 (ko) 웹 서비스의 실시간 취약성 진단 및 결과정보 제공 서비스 시스템
KR20160140316A (ko) 악성코드를 검출하는 방법 및 시스템
WO2010090435A2 (ko) 선별적 가상화를 이용한 악성 코드 사전 차단 장치 및 그 방법
WO2023075500A1 (ko) Iot 기기 점검 방법 및 그 장치
CN101183414A (zh) 一种程序检测的方法、装置及程序分析的方法
CN108667783A (zh) 一种针对ip地址的精确拦截方法、装置和系统
CN111901348A (zh) 主动网络威胁感知与拟态防御的方法及系统
WO2011002146A2 (ko) 악성코드 탐지시스템 및 방법
CN107231360A (zh) 基于云网络的网络病毒防护方法、安全无线路由器和系统
CN108566392B (zh) 基于机器学习的防御cc攻击系统与方法
JP6407184B2 (ja) 攻撃対策判定システム、攻撃対策判定方法及び攻撃対策判定プログラム
KR100959274B1 (ko) 네트워크 모니터링 정보를 이용한 악성 코드 조기방역 시스템 및 그 방법
WO2010093071A1 (ko) 인터넷 사이트 보안 시스템 및 그 방법
WO2014168406A1 (ko) 메모리 보호기능 우회 공격 진단 장치 및 방법
KR101240311B1 (ko) 리눅스 기반 네트워크 패킷 침입 탐지 시스템 및 방법
CN100563160C (zh) 客户端安全检测方法和权限控制系统
KR101053470B1 (ko) 유해 트래픽 제어 및 해킹을 차단하는 장치 및 방법
CN107241334A (zh) 网络病毒防护方法和用于网络病毒防护的路由器

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12802624

Country of ref document: EP

Kind code of ref document: A2

WWE Wipo information: entry into national phase

Ref document number: 14127199

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2014516890

Country of ref document: JP

Kind code of ref document: A

122 Ep: pct application non-entry in european phase

Ref document number: 12802624

Country of ref document: EP

Kind code of ref document: A2