公开(公告)号：KR101964592B1

公开(公告)日：2019-04-02

申请号：KR1020180048084

申请日：2018-04-25

Applicant: 한국전자통신연구원

Inventor： 강병호 ,  이철호

IPC: G06F21/57 ,  G06F21/55

公开(公告)号：KR100910761B1

公开(公告)日：2009-08-04

申请号：KR1020070100391

申请日：2007-10-05

Applicant: 한국전자통신연구원

Inventor： 오형근 ,  백승현 ,  이철호 ,  이도훈

IPC: G06F11/00

Abstract: 본 발명은 알려지지 않은 악성코드에 의한 공격을 검출하고 이를 효과적으로 차단하는 패턴 검출/탐지 방법 및 그 시스템에 관한 것으로, 본 발명의 시스템 구성을 통해 알려진 악성코드는 1차적으로 DB 필터링 모듈에 의해 실행 전 우선적으로 필터링 되고, 이후 알려지지 않은 악성코드는 모니터링 후 가공된 행위 특성 패턴과 사전 학습되어 구축되어 있는 악성 행위 특징값(예측 패턴)과 비교하여 탐지되며, 탐지된 알려지지 않은 악성코드는 해당 시그니처 정보가 생성되어 DB 필터링 모듈로 전송됨으로써 이후에는 알려진 악성코드로 탐지되도록 한다.
악성코드, 프로세스 행위 모니터링, 행위 특성 추출, 악성 행위 예측, 비정형 악성코드 탐지

公开(公告)号：KR101818006B1

公开(公告)日：2018-02-21

申请号：KR1020160080973

申请日：2016-06-28

Applicant: 한국전자통신연구원

Inventor： 이철호 ,  김동근 ,  신종훈 ,  조상우

IPC: G06F21/56 ,  G06F17/30

Abstract: 행위정규화를통한악성코드고속탐지및 시각화방법및 이를이용한장치가개시된다. 본발명에따른악성코드고속탐지및 시각화방법은검사대상프로그램의행위로그를추출하는단계; 기설정된정규화테이블에정의된인덱스를이용하여상기행위로그와행위기반탐지규칙을각각정규화하는단계; 정규화된행위기반탐지규칙을기준으로정규화된행위로그를비교하여악성코드를고속탐지하는단계; 및상기기설정된정규화테이블에정의된인덱스간 링크를생성하여시각화정보를제공하는단계를포함한다.

Abstract translation: 公开了一种通过行为规范化来快速检测和可视化恶意代码的方法和装置。 根据本发明的高速恶意软件检测和可视化方法包括：提取待检查程序的动作日志; 使用在预定标准化表中定义的索引来标准化每个行为日志和基于行为的检测规则; 通过比较基于规范化行为的检测规则的规范化动作日志来高速检测恶意代码; 并生成设置规范化表中定义的索引间链接以提供可视化信息。

公开(公告)号：KR101486307B1

公开(公告)日：2015-01-29

申请号：KR1020130140030

申请日：2013-11-18

Applicant: 한국전자통신연구원

Inventor： 이철호 ,  강정민

IPC: H04L12/26 ,  H04L9/00

CPC classification number: H04L63/145 ,  H04L63/0227 ,  H04L63/0272 ,  H04L63/0281 ,  H04L63/20

Abstract: 본 발명은 사용자 단말에서 특정 서버를 프록시 서버 또는 브이피엔 서버로 설정하는 경우에 사용자 단말에서 발생되거나 사용자 단말로 향하는 네트워크 패킷을 모니터링하는 보안 관제 장치 및 그 방법에 관한 것이다. 특히, 보안 관제 장치는 사용자의 단말로부터 사용자 정보를 입력받고, 사용자 정보와 보안 관제 센터에 등록되어 있는 정보를 비교하여, 사용자 인증 절차를 수행하는 사용자 인증부, 사용자의 단말로부터 전달 받은 패킷을 보안 관제 센터에서 설정한 규칙에 따라 검사하고, 검사가 완료된 패킷을 인터넷을 통해 목적지로 전달하는 패킷 검사부, 목적지로 전달한 패킷 또는 목적지에서 반송되는 패킷에서 특정 프로토콜을 인식하고, 인식한 결과를 토대로 파일을 추출하는 패킷 추출부, 추출한 파일이 악성 파일인지 아닌지를 판단하는 파일 분석부 및 추출한 파일이 악성 파일인 경우에, 파일 분석부의 분석 결과를 토대로 추출한 파일에 대응하는 악성코드 치료 에이전트를 생성하고, 악성코드 치료 에이전트를 실행하여 악성코드를 제거하는 에이전트 생성부를 포함한다.

Abstract translation: 本发明涉及一种如果用户终端将特定服务器设置到代理服务器或虚拟专用网络，则能够监视从用户终端产生的网络分组或指向用户终端的安全监控装置和安全监控方法（ VPN）服务器。 更具体地，安全监控装置包括：用户认证单元，用于从用户终端接收用户信息，将用户信息与登记在安全监控中心中的信息进行比较，并执行用户的认证过程; 分组检查单元，根据在安全监控中心中设置的规则来检查从用户终端接收到的分组，并且通过因特网将经过检查的分组发送到目的地; 分组提取单元，用于从发送到目的地的分组或从目的地返回的分组识别特定协议，并且基于所识别的结果来提取文件; 文件分析单元，用于确定所提取的电影是否是恶意文件; 以及代理生成单元，如果提取的文件是恶意文件，则基于文件分析单元的分析结果生成与提取的文件相对应的恶意代码固化剂，并执行恶意代码固化剂以除去恶意代码。