ホーム > 特許ランキング > ＮＰＣｏｒｅ，Ｉｎｃ．
知財求人 - 知財ポータルサイト「IP Force」
特表2023-550974イメージ基盤悪性コード検知方法および装置とこれを利用する人工知能基盤エンドポイント脅威検知および対応システム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2023-12-06
(54)【発明の名称】イメージ基盤悪性コード検知方法および装置とこれを利用する人工知能基盤エンドポイント脅威検知および対応システム
(51)【国際特許分類】
G06F 21/56 20130101AFI20231129BHJP
【ＦＩ】
G06F21/56
【審査請求】有
【予備審査請求】未請求
(21)【出願番号】P 2023532354
(86)(22)【出願日】2021-11-19
(85)【翻訳文提出日】2023-06-21
(86)【国際出願番号】 KR2021017116
(87)【国際公開番号】W WO2022114689
(87)【国際公開日】2022-06-02
(31)【優先権主張番号】10-2020-0161665
(32)【優先日】2020-11-26
(33)【優先権主張国・地域又は機関】KR
(31)【優先権主張番号】10-2021-0160542
(32)【優先日】2021-11-19
(33)【優先権主張国・地域又は機関】KR
(81)【指定国・地域】
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ウィンドウズ
２．ＷＩＮＤＯＷＳ
３．リナックス
４．Ｌｉｎｕｘ
５．アンドロイド
６．ＡＮＤＲＯＩＤ
(71)【出願人】
【識別番号】514303802
【氏名又は名称】エヌピーコア インコーポレイテッド
【氏名又は名称原語表記】ＮＰＣｏｒｅ，Ｉｎｃ．
(74)【代理人】
【識別番号】110002952
【氏名又は名称】弁理士法人鷲田国際特許事務所
(72)【発明者】
【氏名】ハン スン チョル
(72)【発明者】
【氏名】バン ヒョ ソプ
(72)【発明者】
【氏名】ソン ドン ファン
(72)【発明者】
【氏名】キム キョン シン
(57)【要約】
知られていないセキュリティ脅威の事前対応のための人工知能基盤次世代エンドポイント脅威検知および対応（ＥＤＲ）システムと、持続的な標的型攻撃である知能型の持続的な脅威（ＡＰＴ）攻撃に対して侵害指標基盤でパソコン、ＥＤＲシステムなどのコンピューティング装置で発生するプロセスの主な行為をモニタリングしてイメージ基盤で分析して侵害脅威に対応できる悪性コード分析方法および装置が開示される。悪性コード分析方法は、ＥＤＲシステムやエンドポイントまたはこれに対応するコンピューティング装置に関連したプロセッサ、メモリまたは保存装置で検知されたファイル生成イベントログから得られる生成ファイルのファイル経路に位置する実行ファイルや実行ファイルの少なくとも一部のコードを符号のない一定ビットの整数からなるバイトで読み込んでバイト配列に変換する段階、バイト配列で２バイトずつを読み込む段階、２バイトのデータを予め設定されたサイズのイメージの座標として活用して該当座標値を増加させ、ＲＧＢチャネルを追加してイメージ配列を保存する段階、およびイメージ配列に対してイメージディープラーニングモデルを利用したディープラーニング分析を遂行する段階を遂行するように構成される。
【特許請求の範囲】
【請求項1】
コンピューティング装置に結合された悪性コード検知装置によって遂行されるイメージ基盤悪性コード検知方法であって、前記コンピューティング装置に関連したプロセッサ、メモリまたは保存装置で検知されたファイル生成イベントログから得られる生成ファイルのファイル経路に位置する実行ファイルや前記実行ファイルの少なくとも一部のコードを符号のない一定ビットの整数からなるバイトで読み込んでバイト配列に変換する段階；
前記バイト配列で２バイトずつを読み込む段階；
前記２バイトのデータを予め設定されたサイズのイメージ上の座標（ｘ、ｙ）として活用して該当座標値を増加させ、ＲＧＢチャネルを追加してイメージ配列を保存する段階；および
前記イメージ配列に対してイメージディープラーニングモデルを利用したディープラーニング分析を遂行する段階；を含む、イメージ基盤悪性コード検知方法。
【請求項2】
前記ディープラーニング分析を遂行する段階は、前記イメージ配列の分析のための入力レイヤ（ｉｎｐｕｔ ｌａｙｅｒ）の大きさを調整し、予め学習されたディープラーニングモデルを呼び出し、前記ディープラーニングモデルに前記イメージ配列を入力する、請求項１に記載のイメージ基盤悪性コード検知方法。
【請求項3】
前記ディープラーニング分析を遂行する段階は、前記ディープラーニングモデルの分析後、予め設定された臨界値に基づいて悪性コードを検出したり知られている脅威または知られていない脅威の発生可能性を決定する、請求項１に記載のイメージ基盤悪性コード検知方法。
【請求項4】
前記ディープラーニング分析を遂行する段階は、前記ディープラーニングモデルの分析後、前記実行ファイルや前記コードの他のセクションまたはバイナリ断片のイメージテクスチャに基づいて悪性コードを検出したり知られている脅威または知られていない脅威の発生可能性を決定する、請求項１に記載のイメージ基盤悪性コード検知方法。
【請求項5】
前記バイト配列に変換する段階は、前記実行ファイルの実行時、メモリに上がった実行ファイルに対するメモリダンプを進行して解除されたパッキングファイルを前記バイト配列に変換して保存する、請求項１に記載のイメージ基盤悪性コード検知方法。
【請求項6】
前記イメージ配列で保存する段階は、前記予め設定されたサイズのイメージ上に前記バイト配列を２バイトずつ予め設定された順で入れ、前記座標値の増加距離を距離（ｄｉｓｔａｎｃｅ）パラメータに指定し、前記座標で増加する値の配列角度を角度（ａｎｇｌｅｓ）パラメータを活用して指定する、請求項１に記載のイメージ基盤悪性コード検知方法。
【請求項7】
前記実行ファイルや前記コードを自動分析やマシンラーニングによって分析して正常判定された場合、前記実行ファイルや前記コードの特定カラーイメージをホワイトリストに登録する段階をさらに含む、請求項１に記載のイメージ基盤悪性コード検知方法。
【請求項8】
自動分析対象やマシンラーニング分析対象またはグレーリストに登録されたファイルが実行されると、前記ファイルおよび前記ファイルのプロセスに対する追跡または監視を遂行し、前記ファイルが予め設定された悪性行為をするものと判断される時、前記ファイルや前記ファイルの少なくとも一部のコードに対するイメージ基盤悪性コード検知プロセスの進行を決定する段階をさらに含む、請求項１に記載のイメージ基盤悪性コード検知方法。
【請求項9】
悪性コードが含まれたファイルおよび正常ファイルで前記イメージディープラーニングモデルを学習させる段階をさらに含み、前記ディープラーニング分析を遂行する段階は、前記学習されたイメージディープラーニングモデルを利用して、前記実行ファイルの基本的な特徴情報で学習された類似性ハッシュ関数に基づいて疑いの或るファイルの正常または悪性を分類したり、前記実行ファイルで抽出可能なすべての特徴情報で学習された類似性ハッシュ関数に基づいて前記疑いの或るファイルの正常または悪性を分類したり、悪性コードイメージ分析アルゴリズムを通じて前記疑いの或るファイルの正常または悪性を分類したり、またはこれらの組み合わせの分類方法を利用して前記疑いの或るファイルの正常または悪性を分類したり検知する、請求項１に記載のイメージ基盤悪性コード検知方法。
【請求項10】
前記悪性コードイメージ分析アルゴリズムは、前記学習されたイメージディープラーニングモデルに入力されるイメージ配列に対してマシンラーニング基盤類似度分類を遂行し、前記マシンラーニング基盤類似度分類は悪性コード間の同種、変種または類似系列の相関関係を判別する、請求項９に記載のイメージ基盤悪性コード検知方法。
【請求項11】
特定コンピューティング装置に関連したプロセッサ、メモリまたは保存装置で検知されたファイル生成イベントログから得られる生成ファイルのファイル経路に位置する実行ファイルや前記実行ファイルの少なくとも一部のコードを符号のない一定ビットの整数からなるバイトで読み込んでバイト配列に変換するバイト配列変換部；前記バイト配列で２バイトずつを読み込む座標マッピング部；
前記２バイトのデータを予め設定されたサイズのイメージ上の座標（ｘ、ｙ）として活用して該当座標値を増加させ、ＲＧＢチャネルを追加してイメージ配列を保存する座標ＲＧＢチャネル増加部；および
前記イメージ配列に対してイメージディープラーニングモデルを利用したディープラーニング分析を遂行するイメージディープラーニング分析部；を含む、イメージ基盤悪性コード検知装置。
【請求項12】
前記イメージディープラーニング分析部は、予め学習されたディープラーニングモデルを呼び出すディープラーニングモデル呼び出し部、前記ディープラーニングモデルに前記イメージ配列を入力して分析するディープラーニングモデル分析部、および前記イメージ配列の悪性コードの有無を判断する悪性コード判断部を具備する、請求項１１に記載のイメージ基盤悪性コード検知装置。
【請求項13】
前記悪性コード判断部は、前記ディープラーニングモデル分析部の分析結果に対して、予め設定された臨界値に基づいて悪性コードを検出したり知られている脅威または知られていない脅威の発生可能性を決定する、請求項１２に記載のイメージ基盤悪性コード検知装置。
【請求項14】
前記悪性コード判断部は、前記ディープラーニングモデル分析部の分析結果に対して前記実行ファイルや前記コードの他のセクションまたはバイナリ断片のイメージテクスチャに基づいて悪性コードを検出したり知られている脅威または知られていない脅威の発生可能性を決定する、請求項１２に記載のイメージ基盤悪性コード検知装置。
【請求項15】
前記バイト配列変換部は、前記実行ファイルの実行時、メモリに上がった実行ファイルに対するメモリダンプを進行して解除されたパッキングファイルを前記バイト配列に変換して保存する、請求項１１に記載のイメージ基盤悪性コード検知装置。
【請求項16】
前記座標ＲＧＢチャネル増加部は、前記バイト配列の２バイトずつに基づいて前記予め設定されたサイズのイメージ上に該当座標の数値範囲をグレースケール範囲からＲＧＢの最大範囲に増加させて指定し、前記座標の数値を１ずつ増加させ、ＲＧＢチャネル範囲の数値が所定の基準値を超過する時にまず緑色（Ｇｒｅｅｎ）チャネル範囲の数値を増加させ、緑色（Ｇｒｅｅｎ）チャネルの範囲超過時に青色（Ｂｌｕｅ）チャネルを増加させる、請求項１１に記載のイメージ基盤悪性コード検知装置。
【請求項17】
前記イメージディープラーニング分析部でランサムウェアの行為分析が感知された場合、前記イメージディープラーニング分析部の悪性コード判断部の信号により前記特定コンピューティング装置のドライバ上で前記ドライバのファイルを臨時保存フォルダにバックアップする保存部をさらに含む、請求項１１に記載のイメージ基盤悪性コード検知装置。
【請求項18】
人工知能基盤エンドポイント脅威検知および対応（ｅｎｄｐｏｉｎｔ ｄｅｔｅｃｔｉｏｎ ａｎｄ ｒｅｓｐｏｎｓｅ、ＥＤＲ）システムであって、特定コンピューティング装置に関連したプロセッサ、メモリまたは保存装置でファイル生成イベントを感知してファイル生成イベントログから生成ファイルのファイル経路を抽出するデータ収集部；
前記データ収集部から受信した前記ファイル経路に位置する実行ファイルや前記実行ファイルの少なくとも一部のコードを符号のない一定ビットの整数からなるバイトで読み込んでバイト配列に変換するバイト配列変換部；
前記バイト配列で２バイトずつを読み込む座標マッピング部；
前記２バイトのデータを予め設定されたサイズのイメージ上の座標（ｘ、ｙ）として活用して該当座標値を増加させ、ＲＧＢチャネルを追加してイメージ配列を保存する座標ＲＧＢチャネル増加部；および
前記イメージ配列に対してイメージディープラーニングモデルを利用したディープラーニング分析を遂行するイメージディープラーニング分析部；を含む、エンドポイント脅威検知および対応システム。
【請求項19】
前記データ収集部は遠隔地のエンドポイントエージェントを含む、請求項１８に記載のエンドポイント脅威検知および対応システム。
【請求項20】
前記エンドポイントエージェントが連結されたネットワーク上の複数のコンピューティング装置を管理するクラウド管理システムをさらに含む、請求項１９に記載のエンドポイント脅威検知および対応システム。【発明の詳細な説明】
【技術分野】
【0001】
本発明は知られていないセキュリティ脅威の事前対応のための人工知能基盤次世代（ｎｅｘｔ ｇｅｎｅｒａｔｉｏｎ）エンドポイント脅威検知および対応（ｅｎｄｐｏｉｎｔ ｄｅｔｅｃｔｉｏｎ ａｎｄ ｒｅｓｐｏｎｓｅ、ＥＤＲ）システムに関し、より詳細には、持続的な標的型攻撃である知能型の持続的な脅威（ａｄｖａｎｃｅｄ ｐｅｒｓｉｓｔｅｎｔ ｔｈｒｅａｔ、ＡＰＴ）攻撃に対して侵害指標（ｉｎｄｉｃａｔｏｒ ｏｆ ｃｏｍｐｒｏｍｉｓｅ、ＩＯＣ）基盤でパソコン、ＥＤＲシステムなどのコンピューティング装置で発生するプロセスの主な行為をモニタリングし、イメージ基盤で分析して侵害脅威に対応できる悪性コード分析方法および装置に関する。
【背景技術】
【0002】
情報通信インフラが持続的に拡大するにつれて、情報通信（ＩＴ）インフラを利用した多様な形態のセキュリティ脅威である知能型の持続的な脅威（Ａｄｖａｎｃｅｄ Ｐｅｒｓｉｓｔｅｎｔ Ｔｈｒｅａｔ、以下ＡＰＴ）が急増している。
【0003】
特に最近悪性コードを利用した企業内の主要情報流出事故および内部使用者の非業務サイト接近による業務集中度の弱化およびこれによる情報流出事故防止のための対策が切実に要求されている状況である。
【0004】
したがって、持続的に被害が発生しているセキュリティ脅威に対応するためには膨大な量の悪性コードと脅威関連データを分析する必要があり、効果的な分析のために自動学習を通じてイメージを分析する悪性コード学習および分類モジュールに対する開発要求が多い。
【0005】
一方、既存悪性コード検知および対応技術に関連した海外および国内ＡＰＴソリューションメーカーは、新種または変種悪性コードに対応するために各業者別に多様な形態で対応ソリューションを提示しているが、次第に膨大かつ知能化されるセキュリティ脅威にリアルタイムで対応するのが難しいのが実情である。
【0006】
そこで、マシンラーニングを活用した悪性コード検知技術を研究しているＥＤＲソリューション開発業者では人工知能（ａｒｔｉｆｉｃｉａｌ ｉｎｔｅｌｌｉｇｅｎｃｅ、ＡＩ）技術を積極的に活用して、シグネチャ基盤、ルール基盤などの既存ソリューションで検知できない一部のサイバー脅威を検知している。
【0007】
また、エンドポイント機器で情報を収集してサイバー攻撃の兆候を相関分析およびマシンラーニングでリアルタイムで自動検知し対応するためのエンドポイント侵害事故対応ソリューションも積極的に導入されている状況である。
【0008】
また、業務用パソコン（ｐｅｒｓｏｎａｌ ｃｏｍｐｕｔｅｒ、ＰＣ）で悪性行為に対する事前対応技術で分散遠隔フォレンジックに対する多様な脅威インテリジェンス道具を開発しており、一部の従来技術ではシグネチャおよび行為分析にのみ依存している状況であり、また、開発者がＣ／Ｃ＋＋、ルビー、パイソンなどの多様な言語で開発したソフトウェアアプリケーションのセキュリティをテストできるＳＡＳＴ（ｓｔａｔｉｃ ａｐｐｌｉｃａｔｉｏｎ ｓｅｃｕｒｉｔｙ ｔｅｓｔｉｎｇ）道具も多様に開発進行中である状況である。
【0009】
しかし、前述した悪性コードや脅威攻撃に対する分析および対応を効果的にするためには、ＰＣ、端末、サーバーなどに設置されたエージェントの内部で悪性コードを直接分析する形態が最も好ましいが、これまでそのような形態のソリューションは提案されずにいる。
【発明の概要】
【発明が解決しようとする課題】
【0010】
本発明は前述した従来技術の要求に応じるために導き出されたもので、本発明の目的は、次世代エンドポイント脅威検知および対応（ｅｎｄｐｏｉｎｔ ｄｅｔｅｃｔｉｏｎ ａｎｄ ｒｅｓｐｏｎｓｅ、ＥＤＲ）システムのような目標システムだけでなく、パソコン、端末、サーバーなどに設置されたエージェントの内部でイメージ基盤で悪性コードを効果的に分析できる、悪性コード検知方法および装置を提供するところにある。
【0011】
本発明の他の目的は、エンドポイントで発生するすべてのイベント行為を、ＩＯＣ（侵害指標）基盤で持続的なモニタリングおよび分析を通じて分析して侵害脅威に対して対応し、これを利用してエージェントおよびビッグデータ基盤知能型フォレンジック分析システムとして使用できる、イメージ基盤悪性コード検知方法および装置を提供するところにある。
【0012】
本発明のさらに他の目的は、システム負荷防止のためにメモリリソース割り当てを最小化したマルチプラットフォーム用エージェントで高水準の悪性コード学習および分類を遂行できるイメージ基盤悪性コード検知方法および装置を提供するところにある。
【0013】
本発明のさらに他の目的は、悪性コードイメージ化アルゴリズムおよびイメージ化された悪性コード学習／分類技法を通じて、そしてマシンラーニング基盤の静的および動的分析または類似度分析を通じて収集したビッグデータで新種および変種悪性コードを検知する、イメージ基盤悪性コード検知方法および装置を提供するところにある。
【0014】
本発明のさらに他の目的は、アンチウイルス（ａｎｔｉ－ｖｉｒｕｓ、ワクチン）をバイパスする新種および変種悪性コードに対してシグネチャレス（ｓｉｇｎａｔｕｒｅ－ｌｅｓｓ）方式で検知し、ローカルＰＣなどのエンドポイントの感染前に事前対応を遂行することができ、仮想およびリアル環境段階分析を通じて遠隔行為基盤悪性コードを動的に分析できる、イメージ基盤悪性コード検知方法および装置を提供するところにある。
【0015】
本発明のさらに他の目的は、使用者のオペレーティングシステム（ｏｐｅｒａｔｉｎｇ ｓｙｓｔｅｍ、ＯＳ）で発生する悪意の行為検知を通じて内部データに対する自動瞬間バックアップおよび原本ファイル復旧のためのバックアップエンジンを搭載した、イメージ基盤悪性コード検知方法および装置を提供するところにある。
【0016】
本発明のさらに他の目的は、各種分析を通じて収集した侵害指標（ｉｎｄｉｃａｔｏｒ ｏｆ ｃｏｍｐｒｏｍｉｓｅ、ＩＯＣ）、悪性コードパターン、ヤラ（ＹＡＲＡ）ルール（ｒｕｌｅ）、悪性コード流布地、Ｃ＆Ｃ（ｃｏｍｍａｎｄ ＆ ｃｏｎｔｒｏｌ）サーバーなどの最新脅威情報（Ｔｈｒｅａｔ Ｉｎｔｅｌｌｉｇｅｎｃｅ、ＴＩ）をリアルタイム収集および配布でき、収集された脅威情報に基づいて悪性コードを検知できる、イメージ基盤悪性コード検知方法および装置を提供するところにある。
【0017】
本発明のさらに他の目的は、前述したイメージ基盤悪性コード検知方法および装置を利用する、エンドポイントエージェントや人工知能基盤エンドポイント脅威検知および対応（ｅｎｄｐｏｉｎｔ ｄｅｔｅｃｔｉｏｎ ａｎｄ ｒｅｓｐｏｎｓｅ、ＥＤＲ）システムを提供するところにある。
【課題を解決するための手段】
【0018】
前記技術的課題を解決するための本発明の一側面に係るイメージ基盤悪性コード検知方法は、コンピューティング装置に結合された悪性コード検知装置によって遂行されるイメージ基盤悪性コード検知方法であって、前記コンピューティング装置に関連したプロセッサ、メモリまたは保存装置で検知されたファイル生成イベントログから得られる生成ファイルのファイル経路に位置する実行ファイルや前記実行ファイルの少なくとも一部のコードを符号のない一定ビットの整数からなるバイトで読み込んでバイト配列に変換する段階；前記バイト配列で２バイトずつを読み込む段階；前記２バイトのデータを予め設定されたサイズのイメージ上の座標（ｘ、ｙ）として活用して該当座標値を増加させ、ＲＧＢチャネルを追加してイメージ配列を保存する段階；および前記イメージ配列に対してイメージディープラーニングモデルを利用したディープラーニング分析を遂行する段階を含む。
【0019】
一実施例において、前記ディープラーニング分析を遂行する段階は、前記イメージ配列の分析のための入力レイヤ（ｉｎｐｕｔ ｌａｙｅｒ）の大きさを調整し、予め学習されたディープラーニングモデルを呼び出し、前記ディープラーニングモデルに前記イメージ配列を入力することができる。
【0020】
一実施例において、前記ディープラーニング分析を遂行する段階は、前記ディープラーニングモデルの分析後、予め設定された臨界値に基づいて悪性コードを検出したり知られている脅威または知られていない脅威の発生可能性を決定することができる。
【0021】
一実施例において、前記ディープラーニング分析を遂行する段階は、前記ディープラーニングモデルの分析後、前記実行ファイルや前記コードの他のセクションまたはバイナリ断片のイメージテクスチャに基づいて悪性コードを検出したり知られている脅威または知られていない脅威の発生可能性を決定することができる。
【0022】
一実施例において、前記バイト配列に変換する段階は、前記実行ファイルの実行時、メモリにロードされた実行ファイルに対するメモリダンプを進行して、解除されたパッキングファイルを前記バイト配列に変換して保存することができる。
【0023】
一実施例において、前記イメージ配列で保存する段階は、前記予め設定されたサイズのイメージ上に前記バイト配列を２バイトずつ予め設定された順で入れ、前記座標値の増加距離を距離（ｄｉｓｔａｎｃｅ）パラメータに指定し、前記座標で増加する値の配列角度を角度（ａｎｇｌｅｓ）パラメータを活用して指定することができる。
【0024】
一実施例において、イメージ基盤悪性コード検知方法は、前記実行ファイルや前記コードを自動分析やマシンラーニングによって分析して正常判定された場合、前記実行ファイルや前記コードの特定カラーイメージをホワイトリストに登録する段階をさらに含むことができる。
【0025】
一実施例において、イメージ基盤悪性コード検知方法は、自動分析対象やマシンラーニング分析対象またはグレーリストに登録されたファイルが実行されると、前記ファイルおよび前記ファイルのプロセスに対する追跡または監視を遂行し、前記ファイルが予め設定された悪性行為をするものと判断される時、前記ファイルや前記ファイルの少なくとも一部のコードに対するイメージ基盤悪性コード検知プロセスの進行を決定する段階をさらに含むことができる。
【0026】
一実施例において、イメージ基盤悪性コード検知方法は、悪性コードが含まれたファイルおよび正常ファイルで前記イメージディープラーニングモデルを学習させる段階をさらに含むことができる。前記ディープラーニング分析を遂行する段階は、前記学習されたイメージディープラーニングモデルを利用して、前記実行ファイルの基本的な特徴情報で学習された類似性ハッシュ関数に基づいて疑いの或るファイルの正常または悪性を分類したり、前記実行ファイルで抽出可能なすべての特徴情報で学習された類似性ハッシュ関数に基づいて前記疑いの或るファイルの正常または悪性を分類したり、悪性コードイメージ分析アルゴリズムを通じて前記疑いの或るファイルの正常または悪性を分類したり、またはこれらの組み合わせの分類方法を利用して前記疑いの或るファイルの正常または悪性を分類したり検知することができる。
【0027】
一実施例において、前記悪性コードイメージ分析アルゴリズムは、前記学習されたイメージディープラーニングモデルに入力されるイメージ配列に対してマシンラーニング基盤類似度分類を遂行できる。前記マシンラーニング基盤類似度分類は悪性コード間の同種、変種または類似系列の相関関係を判別するように構成され得る。
【0028】
前記技術的課題を解決するための本発明の他の側面に係るイメージ基盤悪性コード検知装置は、特定コンピューティング装置に関連したプロセッサ、メモリまたは保存装置で検知されたファイル生成イベントログから得られる生成ファイルのファイル経路に位置する実行ファイルや前記実行ファイルの少なくとも一部のコードを符号のない一定ビットの整数からなるバイトで読み込んでバイト配列に変換するバイト配列変換部；前記バイト配列で２バイトずつを読み込む座標マッピング部；前記２バイトのデータを予め設定されたサイズのイメージ上の座標（ｘ、ｙ）として活用して該当座標値を増加させ、ＲＧＢチャネルを追加してイメージ配列を保存する座標ＲＧＢチャネル増加部；および前記イメージ配列に対してイメージディープラーニングモデルを利用したディープラーニング分析を遂行するイメージディープラーニング分析部を含む。
【0029】
一実施例において、前記イメージディープラーニング分析部は、予め学習されたディープラーニングモデルを呼び出すディープラーニングモデル呼び出し部、前記ディープラーニングモデルに前記イメージ配列を入力して分析するディープラーニングモデル分析部、および前記イメージ配列の悪性コードの有無を判断する悪性コード判断部を具備することができる。
【0030】
一実施例において、前記悪性コード判断部は、前記ディープラーニングモデル分析部の分析結果に対して、予め設定された臨界値に基づいて悪性コードを検出したり知られている脅威または知られていない脅威の発生可能性を決定することができる。
【0031】
一実施例において、前記悪性コード判断部は、前記ディープラーニングモデル分析部の分析結果に対して前記実行ファイルや前記コードの他のセクションまたはバイナリ断片のイメージテクスチャに基づいて悪性コードを検出したり知られている脅威または知られていない脅威の発生可能性を決定することができる。
【0032】
一実施例において、前記バイト配列変換部は、前記実行ファイルの実行時、メモリに上がった実行ファイルに対するメモリダンプを進行して解除されたパッキングファイルを前記バイト配列に変換して保存することができる。
【0033】
一実施例において、前記座標ＲＧＢチャネル増加部は、前記バイト配列の２バイトずつに基づいて前記予め設定されたサイズのイメージ上に該当座標の数値範囲をグレースケール範囲からＲＧＢの最大範囲に増加させて指定し、前記座標の数値を１ずつ増加させ、ＲＧＢチャネル範囲の数値が所定の基準値を超過する時にまず緑色（Ｇｒｅｅｎ）チャネル範囲の数値を増加させ、緑色（Ｇｒｅｅｎ）チャネルの範囲超過時に青色（Ｂｌｕｅ）チャネルを増加させることができる。
【0034】
一実施例において、イメージ基盤悪性コード検知装置は、前記イメージディープラーニング分析部でランサムウェアの行為分析が感知された場合、前記イメージディープラーニング分析部の悪性コード判断部の信号により前記特定コンピューティング装置のドライバ上で前記ドライバのファイルを臨時保存フォルダにバックアップする保存部または保存管理システムをさらに含むことができる。
【0035】
前記技術的課題を解決するための本発明のさらに他の側面に係る人工知能基盤エンドポイント脅威検知および対応（ｅｎｄｐｏｉｎｔ ｄｅｔｅｃｔｉｏｎ ａｎｄ ｒｅｓｐｏｎｓｅ、ＥＤＲ）システムは、特定コンピューティング装置に関連したプロセッサ、メモリまたは保存装置でファイル生成イベントを感知してファイル生成イベントログから生成ファイルのファイル経路を抽出するデータ収集部；前記データ収集部から受信した前記ファイル経路に位置する実行ファイルや前記実行ファイルの少なくとも一部のコードを符号のない一定ビットの整数からなるバイトで読み込んでバイト配列に変換するバイト配列変換部；前記バイト配列で２バイトずつを読み込む座標マッピング部；前記２バイトのデータを予め設定されたサイズのイメージ上の座標（ｘ、ｙ）として活用して該当座標値を増加させ、ＲＧＢチャネルを追加してイメージ配列を保存する座標ＲＧＢチャネル増加部；および前記イメージ配列に対してイメージディープラーニングモデルを利用したディープラーニング分析を遂行するイメージディープラーニング分析部を含む。
【0036】
一実施例において、前記データ収集部は遠隔地の他のコンピューティング装置に設置されるエンドポイントエージェントを含むことができる。
【0037】
一実施例において、エンドポイント脅威検知および対応システムは、前記エンドポイントエージェントが連結されたネットワーク上の複数のコンピューティング装置を管理するクラウド管理システムをさらに含むことができる。
【発明の効果】
【0038】
本発明によると、侵害指標（ＩＯＣ）基盤フォレンジック分析を通じてのサイバー脅威対応体系の構築でサンドボックス迂回悪性コードの脅威例えば、仮想環境回避、時間遅延およびトリガー攻撃、多段階攻撃などに対して効果的に対応し得る。
【0039】
また、本発明によると、マシンラーニング、悪性コードイメージ分析技法を適用した人工知能基盤の自動化された分析システムを通じて、ルール（ｒｕｌｅ）の生成および配布で自律進化型脅威対応システムを効果的に構築することができる。
【0040】
また、本発明によると、他の機関および他のシステムとの最新脅威情報の共有を通じて信頼性のある情報生成および配布が可能であり、これを通じて悪性コードの対応時間を短縮してサイバー被害を最小化することができる。
【0041】
また、本発明によると、既存ワクチンの限界を跳び越えた次世代ワクチン技術であって、国の安保を脅威するサイバー攻撃を未然に予防し、サイバー危機発生時に迅速かつ積極的に対処して個人と国の安全保障と利益保護に寄与することができる。
【0042】
また、本発明に係るイメージ基盤悪性コード検知方法および装置を利用すると、高度化されたサイバー脅威に対応する製品でアンチウイルス（ａｎｔｉ－ｖｉｒｕｓ）を代替する次世代セキュリティソリューションとして活用することができる。
【0043】
また、本発明によると、政府機関および企業内部のセキュリティのための構築型プラットフォーム（Ｏｎ－ｐｒｅｍｉｓｅ）製品であって、機関および企業内部ネットワークのすべての端末を対象に設置されて次世代ＥＤＲサービスを効果的に提供することができる。
【0044】
また、個人使用者のためのＳＥＣａａＳ（Ｓｅｃｕｒｉｔｙ Ａｓ ａ Ｓｅｒｖｉｃｅ、セキュリティサービス）の次世代ＥＤＲであって、エンドポイントにエージェントを設置し、サーバー側システムでクラウド形態で運営および管理が可能であるため、構築型（Ｏｎ－ｐｒｅｍｉｓｅ）方式の他に国内外の通信社と提携してオンラインセキュリティサービスの形態であるいは購読型課金サービスの形態で提供できる長所がある。
【図面の簡単な説明】
【0045】
【図1】本発明の一実施例に係る知られていないセキュリティ脅威の事前対応のための人工知能（ＡＩ）基盤次世代エンドポイント脅威検知および対応（ｅｎｄｐｏｉｎｔ ｄｅｔｅｃｔｉｏｎ ａｎｄ ｒｅｓｐｏｎｓｅ、ＥＤＲ）システムの概略的な構成図である。
【図12】本発明の他の実施例に係るイメージ基盤悪性コード検知装置とこれを搭載したコンピューティング装置を説明するためのブロック図である。
【図20】図１５のエンドポイントエージェントで実行ファイルのコードを予め設定したバイトの幅（ｗｉｄｔｈ）サイズで定義してコードをイメージ化したイメージを得る過程を説明するための変換ソースコードの例示図である。
【図23】図２２の悪性コード検知過程に採用できるグレーレベル同時生起行列（ｇｒａｙ－ｌｅｖｅｌ ｃｏ－ｏｃｃｕｒｒｅｎｃｅ ｍａｔｒｉｘ、ＧＬＣＭ）変換イメージモジュールを説明するための変換ソースコードの例示図である。
【図25】本発明のさらに他の実施例に係るイメージ基盤悪性コード検知装置の主な構成を説明するブロック図である。
【発明を実施するための形態】
【0046】
本発明は多様な変更を加えることができ、多様な実施例を有することができるところ、特定実施例を図面に例示して詳細な説明に詳細に説明しようとする。しかし、これは本発明を特定の実施形態に対して限定しようとするものではなく、本発明の思想および技術範囲に含まれるすべての変更、均等物乃至代替物を含むものと理解されるべきである。各図面の説明において類似する参照符号を類似する構成要素に対して使った。
【0047】
第１、第２、Ａ、Ｂなどの用語は多様な構成要素の説明に使われ得るが、前記構成要素は前記用語によって限定されてはならない。前記用語は一つの構成要素を他の構成要素から区別する目的でのみ使われる。例えば、本発明の権利範囲を逸脱することなく第１構成要素は第２構成要素と命名され得、同様に第２構成要素も第１構成要素と命名され得る。「および／または」という用語は複数の関連した記載された項目の組み合わせまたは複数の関連した記載された項目のうちいずれかの項目を含む。
【0048】
或る構成要素が他の構成要素に「連結されて」いるとか「接続されて」いると言及された時には、その他の構成要素に直接的に連結されていたりまたは接続されていてもよいが、中間に他の構成要素が存在してもよいと理解されるべきである。反面、或る構成要素が他の構成要素に「直接連結されて」いるとか「直接接続されて」いると言及された時には、中間に他の構成要素が存在しないものと理解されるべきである。
【0049】
本出願で使った用語は単に特定の実施例を説明するために使われたもので、本発明を限定しようとする意図ではない。単数の表現は文脈上明白に異なって意味しない限り、複数の表現を含む。本出願で、「含む」または「有する」等の用語は明細書上に記載された特徴、数字、段階、動作、構成要素、部品またはこれらを組み合わせたものが存在することを指定しようとするものであって、一つまたはそれ以上の他の特徴や数字、段階、動作、構成要素、部品またはこれらを組み合わせたものなどの存在または付加の可能性を予め排除しないものと理解されるべきである。
【0050】
異なって定義されない限り、技術的または科学的な用語を含んでここで使われるすべての用語は、本発明が属する技術分野で通常の知識を有する者によって一般的に理解されるものと同一の意味を有している。一般的に使われる辞書に定義されているような用語は関連技術の文脈上有する意味と一致する意味を有すると解釈されるべきであり、本出願で明白に定義しない限り、理想的または過度に形式的な意味で解釈されない。
【0051】
以下、添付した図面を参照して、本発明の好ましい実施例をより詳細に説明しようとする。本発明を説明するにおいて、全体的な理解を容易にするために図面上の同一の構成要素に対しては同一の参照符号を使用し、同一の構成要素に対して重複する説明は省略する。
【0052】
図１は、本発明の一実施例に係る知られていないセキュリティ脅威の事前対応のための人工知能（ａｒｔｉｆｉｃｉａｌ ｉｎｔｅｌｌｉｇｅｎｃｅ、ＡＩ）基盤次世代エンドポイント脅威検知および対応（ｅｎｄｐｏｉｎｔ ｄｅｔｅｃｔｉｏｎ ａｎｄ ｒｅｓｐｏｎｓｅ、ＥＤＲ）システムの概略的な構成図である。
【0053】
図１を参照すると、ＡＩ基盤次世代ＥＤＲシステム１００は分析システム１１０、クラウド管理システム１２０、悪性コード動的分析システム１５０、悪性コード学習および分類システム１６０、侵害指標（ｉｎｄｉｃａｔｏｒ ｏｆ ｃｏｍｐｒｏｍｉｓｅ、ＩＯＣ）および脅威情報管理システムなどを含む。分析システム１１０はデータ収集部１３０およびイメージ変換部１４０を具備し、知能型フォレンジック分析システムや脅威分析サーバーと指称され得る。イメージ変換部１４０はイメージ化モジュール１４１とイメージ分類モジュール１４２を具備することができる。そして、悪性コード動的分析システム１５０は行為基盤悪性コード動的分析システムを含むことができる。
【0054】
本実施例で悪性コード動的分析システム１５０と悪性コード学習および分類システム１６０とＩＯＣおよび脅威情報管理システム１７０を別途の構成で説明するが、本発明はそのような構成に限定されず、分析システム１１０が悪性コード動的分析システム１５０と悪性コード学習および分類システム１６０とＩＯＣおよび脅威情報管理システム１７０を含むように構成され得ることは言うまでもない。この場合、悪性コード動的分析システム１５０と悪性コード学習および分類システム１６０とＩＯＣおよび脅威情報管理システム１７０それぞれは、記載された順序通り悪性コード動的分析モジュールと悪性コード学習および分類モジュールとＩＯＣおよび脅威情報管理モジュールとそれぞれ指称され得る。
【0055】
主な構成要素をより具体的に詳察すると、分析システム１１０はエンドポイントに関連したネットワーク、ファイル、プロセス、レジストリなどで発生する主な行為に対してＩＯＣ基盤で収集するエージェント機能を具備することができる。このようなエージェント機能はエンドポイントでの侵害脅威収集を通じての知能型フォレンジック分析のためのものであり得る。
【0056】
また、分析システム１１０は収集されたモニタリングデータをビッグデータ分析が可能な形態で保存し、収集された行為情報を活用して知能型フォレンジック分析および悪性行為検知を遂行する。
【0057】
悪性コード動的分析システム１５０はリアルおよび仮想環境を同時運営可能な行為基盤悪性コード動的分析システムを含むことができる。悪性コード動的分析システム１５０は悪性コードのネットワーク、ファイル、プロセス、レジストリなどでの行為に対して行為ルール基盤で検知し、検知された悪性コードの静的および動的分析を通じて収集したデータを分析可能な形態で保存することができる。このような収集データは分析可能な形態で保存されるビッグデータであり得る。
【0058】
また、悪性コード動的分析システム１５０は仮想マシンを回避する悪性コードに対応するために物理的に構成されたリアルマシン基盤サンドボックス環境でファイルを実行して悪性行為を分析することができる。このために、悪性コード動的分析システム１５０は仮想マシン（ｖｉｒｔｕａｌ ｍａｃｈｉｎｅ、ＶＭ）およびリアルマシン（ｒｅａｌ ｍａｃｈｉｎｅ）で行為基盤で悪性コードを動的分析するように具現され得る。
【0059】
悪性コード学習および分類システム１６０は、悪性コードイメージ分析技法を適用した悪性コード学習および分類モジュールを具備することができる。悪性コード学習および分類システム１６０は、悪性コードイメージ化アルゴリズムを使ってイメージ学習用マシンラーニングパラメータを調整（ｔｕｎｉｎｇ）することができる。また、悪性コード学習および分類システム１６０は、マシンラーニングアルゴリズムを活用した悪性コードイメージ学習を学習し分類することができる。すなわち、システム１６０は悪性コードの静的および動的分析を通じて収集したビッグデータをマシンラーニング基盤で類似度分析し、原本悪性コードで派生した悪性コードをモデリング技法で分析して悪性コードを検知することができる。
【0060】
侵害指標（ＩＯＣ）および脅威情報管理システム１７０は各種分析を通じて収集した侵害指標（ＩＯＣ）、悪性コードパターン、ヤラ（ＹＡＲＡ）ルール、悪性コード流布地、Ｃ＆Ｃ（ｃｏｍｍａｎｄ ＆ ｃｏｎｔｒｏｌ）サーバー、悪性コードのハッシュ（ｈａｓｈ）等の最新脅威情報に対してＯｐｅｎＩＯＣ、ＳＴＩＸ（ｓｔｒｕｃｔｕｒｅｄ ｔｈｒｅａｔ ｉｎｆｏｒｍａｔｉｏｎ ｅｘｐｒｅｓｓｉｏｎ）等のフォーマットで管理し、ＴＡＸＩＩ（ｔｒｕｓｔｅｄ ａｕｔｏｍａｔｅｄ ｅｘｃｈａｎｇｅ ｏｆ ｉｎｔｅｌｌｉｇｅｎｃｅ ｉｎｆｏｒｍａｔｉｏｎ）等の標準プロトコルを通じて他のシステムと共有したり配布することができる。すなわち、ＩＯＣおよび脅威情報管理システム１７０はエンドポイントでランサムウェア攻撃に備えた瞬間バックアップおよび復元機能を遂行したり、システムで生成された最新侵害指標と脅威情報に対して標準プロトコルを通じて韓国インターネット振興院（ＫＩＳＡ）のサイバー安全センターなどの公共システムと最新脅威情報を共有したり配布することができる。
【0061】
本実施例のＡＩ基盤次世代ＥＤＲシステム１００の主な機能を説明すると次の通りである。
【0062】
まず、ＥＤＲシステム１００は収集モジュール（ｃｏｌｌｅｃｔｉｎｇ ｍｏｄｕｌｅ、ＣＯＬ）を通じてエンドポイントでのネットワーク、ファイル、プロセス、レジストリなどの主な行為に対してＩＯＣ基盤で侵害脅威を収集する（Ｓ１１）。このようなエージェントの収集機能はエンドポイントでの主要行為に対してＩＯＣ基盤で侵害脅威を収集しながら、ランサムウェア攻撃感知時に瞬間バックアップ機能と連動されるように設置され得る。
【0063】
また、ＥＤＲシステム１００はフォレンジック分析モジュールを通じて知能型フォレンジック分析および悪性行為検索を遂行できる。
【0064】
また、ＥＤＲシステム１００は仮想マシンを回避する悪性コードに対応するために物理的に構成されたリアルマシン基盤サンドボックス環境でファイルを実行して悪性行為を分析することができる。
【0065】
また、ＥＤＲシステム１００は悪性コードの静的および動的分析を通じて収集したビッグデータをイメージ化した後、マシンラーニング前処理（ｍａｃｈｉｎｅ ｌｅａｒｎｉｇｎ ｐｒｅｐｒｏｃｅｓｓｉｎｇ、ＭＬ－ＰｒｅＰ、Ｓ１２）、イメージ学習、イメージ分類、グループ化過程を記載された順序通りに経て原本悪性コードで派生した変種悪性コードに対して効率的に検知することができる。収集されたデータやイメージ化結果、前処理結果、学習結果、分類結果、グループ化結果、検知結果などのデータは保存部に保存（ｓｔｒｏｉｎｇ、ＳＴＯ、Ｓ１３）され得る。また、保存されたデータはイメージ分析などの後処理（ｐｏｓｔｐｒｅｃｅｓｓｉｎｇ ＰｏｓｔＰ、Ｓ１４）を通じて処理された後、再び保存部に保存され得る。
【0066】
また、ＥＤＲシステム１００はエンドポイントで発生するランサムウェアの行為分析を通じて非認可プロセスによる暗号化がなされることを感知した場合、原本ファイルに対してドライバ上で瞬間的に臨時保存フォルダにバックアップし、ランサムウェア判明時に臨時保存フォルダに保存された原本ファイルでデータを復元するように構成され得る。
【0067】
また、ＥＤＲシステム１００は各種分析を通じて収集したＩＯＣ、悪性コードパターン、ＹＡＲＡルール、悪性コード流布地、Ｃ＆Ｃサーバーなどの最新侵害指標と脅威情報に対してＯｐｅｎＩＯＣ、ＳＴＩＸなどのフォーマットで管理し、ＴＡＸＩＩなどの標準プロトコルを通じて他のシステムと共有したり他のシステムに配布することができる。
【0068】
表１はＥＤＲシステム１００のデータ収集部１２０に収集されるデータの収集経路別主な性能値を示したテーブルである。
【0069】
【表1】
【0070】
図２は、図１のＥＤＲシステムに採用できる侵害指標（ＩＯＣ）および脅威情報管理システムとエンドポイントエージェントを説明するための図面である。図３は、図１のＥＤＲシステムに採用できるイメージ基盤悪性コード検知過程を説明するための図面である。図２を参照すると、ＩＯＣおよび脅威情報管理システム１７０とエンドポイントエージェント２００は、知能型フォレンジック分析のために侵害指標（ＩＯＣ）を共有して悪性コードを視角化して高度化させることができる。
【0071】
すなわち、ＩＯＣおよび脅威情報管理モジュールを含む分析システムはＩＯＣおよび脅威情報管理モジュールを通じて疑いのあるファイルやソース情報を収集したり（Ｓ２１）、Ｃ＆Ｃサーバーや悪性コード流布地に対する情報を収集し（Ｓ２２）、クラウド上で収集された悪性コードおよび情報収集結果（Ｓ２３）のうち疑いのあるファイルをサンドボックス分析モジュールに伝送し（Ｓ２４）、情報収集結果報告書をソースデータベース（ＤＢ）に保存することができる（Ｓ２６）。この時、サンドボックス分析モジュールで分析されたデータもソースＤＢに保存され得る（Ｓ２５）。
【0072】
その次に、分析システムはソースＤＢに保存されたデータを受信して（Ｓ２７）、１次検証して出力し（Ｓ２８）、１次検証結果を自体検証および分類して点数を付与（ｓｃｏｒｉｎｇ）することができる（Ｓ２９）。点数が付与されたデータはＩＯＣ ＤＢに保存された後にエンドポイントエージェント２００に伝送されたり共有され得る。
【0073】
エンドポイントエージェント２００は、エンドポイントに対応する特定コンピューティング装置で収集したエージェントデータ（ａｇｅｎｔ ｄａｔａ）を内部分析システム２１０を通じてその前に伝達された侵害指標（ＩＯＣ）と比較分析（ｃｏｍｐａｒｅ ａｎｄ ａｎａｌｙｚｅ、ＣＡ）することができる。
【0074】
より詳しく説明すると、図３に示した通り、分析システム収集された悪性コード（ｍａｌｗａｒｅ ｂｉｎａｒｙ、３０）に対して、符号のない８ビットの整数からなるベクトルまたはバイトで読み込んで２Ｄ配列で構成し（Ｓ３１）、２Ｄ配列の幅（ｗｉｄｔｈ）サイズを基礎とするイメージ形態でイメージ化することができる（Ｓ３２、Ｓ３３）。ここで、２Ｄ配列はバイト配列と指称され得、イメージ形態は０（黒色）～２２５（白色）範囲のグレースケールイメージで視角化されたものを含むことができる。
【0075】
本実施例によると、実行ファイルの多様な部分に対して、例えばｔｅｘｔ、ｒｄａｔａ、ｄａｔａ、ｒｓｒｃなどの悪性コードの他のセクションあるいはバイナリ断片に対して独特のイメージテクスチャ３５を有するイメージ配列を生成することができる。
【0076】
【0077】
図４を参照すると、ＥＤＲシステムまたはその分析システムは行為基盤ホワイトリスト例外処理手続き（グレーリスト機能）を遂行できる。
【0078】
より具体的には、ＥＤＲシステムまたは分析システムに採用できる行為基盤ホワイトリスト例外処理技術は、使用者が手動で登録したホワイトリストを除いてゾンビゼロ（ＺｏｍｂｉｅＺＥＲＯ）システムなどのツールによる自動分析やマシンラーニングによる分析が遂行されて正常判定となったファイルやコードをグレーリスト（ｇｒａｙｌｉｓｔ）として登録し、これに基づいてエンドポイントエージェントで継続的に追跡および監視を遂行するように構成され得る。
【0079】
例えば、時間、場所、使用者、仮想回避などの特定条件でのみ作動する悪性コードを防御するために、エンドポイントの使用者端に設置されたエージェント（ａｇｅｎｔ）で該当悪性コードを継続的に追跡または監視するように設定され得る。
【0080】
グレーリストによる悪性コード検知シナリオ構成を詳察すると、次の通りである。
【0081】
まず、エンドポイントエージェント（以下、簡略にエージェント）は使用者が自動分析やマシンラーニング対象であるかグレーリストに登録されたファイルを実行（ｆｉｌｅ ｅｘｅｃｕｔｉｏｎ）すると、ホワイトリスト（ｗｈｉｔｅｌｉｓｔ）に登録されたファイルなのか（Ｓ４２）、使用者が登録した（ｍａｎｕａｌｌｙ ｒｅｇｉｓｔｅｒ）ファイルなのか（Ｓ４３）を判断し、実行自体を制限しはしない（ｒｕｎ ｔｈｅ ｆｉｌｅ、Ｓ４４）。
【0082】
そして、ファイルやこのファイルによるプロセスが実行される時、エージェントは継続的にファイルやプロセスに対する追跡と監視を進行する。追跡と監視過程でホワイトリストに登録されたファイルでなければ（Ｓ４２のＮｏ）、ブラックリストに登録されたファイルなのか（Ｓ４５）を判断する。ブラックリストに登録されたファイルであれば、該当ファイルを遮断する（ｂｌｏｃｋ ｆｉｌｅ、Ｓ４６）。一方、ブラックリストに登録されたファイルでなければ、分析要請対象なのかを判断し（Ｓ４７）、特別な場合、分析要請対象でなければ現在プロセスを終了し、分性要請対象であれば、該当ファイルの実行を保留し（ｐｅｎｄｉｎｇ ｅｘｅｃｕｔｉｏｎ（ｈｏｌｄｉｎｇ）、Ｓ４８）、ゾンビゼロ（ＺｏｍｂｉｅＺＥＲＯ）セキュリティソリューションなどに該当ファイルに対する分析要請（ａｎａｌｙｓｉｓ ｒｅｑｕｅｓｔ、Ｓ４９）を進行することができる。ゾンビゼロセキュリティソリューションは分析システムやＩＯＣおよび脅威情報管理モジュールなどに結合されたり含まれるセキュリティソリューションの一種である。
【0083】
一方、ホワイトリストに登録されているが使用者が登録したファイルでない場合（Ｓ４３のＮｏ）、エージェントは該当ファイルをグレーリスト（ｇｒａｙｌｉｓｔ）に登録して該当ファイルの実行時に追跡（ｔｒａｃｋｉｎｇ）と監視（ｍｏｎｉｔｏｒｉｎｇ）を遂行できる（Ｓ５０）。
【0084】
また、エージェントはランサムウェア行為、ＭＢＲ（ｍａｓｔｅｒ ｂｏｏｔ ｒｅｃｏｒｄ）損傷などの悪性行為を感知した時点で該当ファイルや該当プロセスを遮断し、分析システムや対応サーバーに要請してグレーリストからリストを削除し、ブラックリストに該当ファイルを登録することができる。
【0085】
【0086】
図５を参照すると、サーバー側分析システム１１０は手動分析（ｍａｎｕａｌｌｙ ａｎａｌｙｓｉｓ）モジュール１４３、自動分析（ａｎｔｏｍａｔｉｃ ａｎａｌｙｓｉｓ）モジュール１４４、ホワイトリスト（ＷＬ）ＤＢ１４５、ブラックリスト（ＢＬ）ＤＢ１４６、グレーリスト（ＧＬ）ＤＢ１４７を具備することができる。手動分析モジュール１４３は管理者分析、ホワイトリスト登録、ブラックリスト登録などを遂行することができ、自動分析モジュール１４４はワクチン（ａｎｔｉｖｉｒｕｓ）機能、静的分析、動的分析、マシンラーニング分析を遂行できる。動的分析には仮想マシンやリアルマシンが利用され得る。前述した構成の分析システム１１０は人工知能基盤の分析プラットフォームを具備し、エージェント２００に悪性コード検知政策（ｐｏｌｉｃｙ）を提供することができる（Ｓ５１）。
【0087】
エージェント２００は次世代ＥＤＲ装置として機能することができ、事前検知（ｐｒｏａｃｔｉｖｅ ｄｅｔｅｃｔｉｏｎ）モジュール２２０および事後検知（ｐｏｓｔ ｄｅｔｅｃｔｉｏｎ）モジュール２３０を具備し、エンドポイントまたは特定コンピューティング装置で実行されるファイルに対する追跡（ｔｒａｃｋｉｎｇ）および監視（ｓｕｒｅｉｌｌａｎｃｅ）機能２４０を遂行できる。エージェント２００は追跡および監視結果により特定ファイル（ｆｉｌｅ）に対する情報や該当ファイルの実行イベントログなどのログ（ｌｏｇ）を分析システム１１０に伝送することができる（Ｓ５２）。
【0088】
【0089】
図６を参照すると、ＥＤＲシステムやその分析システムはマシンラーニング基盤で悪性コードを検知するために、正常に入力されるファイル６０のうちポータブル実行ファイル（ｐｏｒｔａｂｌｅ ｅｘｅｃｕｔａｂｌｅ ｆｉｌｅ、ＰＥ ｆｉｌｅ）等の実行ファイルの特徴情報を抽出することができる（Ｓ６１）。特徴情報は、第１特徴ｆ１は５、第２特徴ｆ２は７、そして第ｋ特徴ｆｋは２のように、各特徴が整数値を有するように保存され得る。一定サイズまたは一定幅の整数値は所定のベクトルまたはバイトに対応し得る。
【0090】
次に、分析システムは保存された特徴情報から類似性ハッシング（ｈａｓｈｉｎｇ）を遂行できる（Ｓ６２）。類似性ハッシングは類似性検索のためのディープハッシングなどの類似性基盤ハッシング手続きを含むことができる。類似性ハッシングでは同一のデータは同一のハッシング値を生成し、類似するデータの場合、ハッシング値の差がデータの類似度と反比例関係を有するように具現され得る。例えば特定実行ファイル（０００．ｅｘｅ）のデータポイントをバケット（ｂｕｃｋｅｔ）にしてハッシングを遂行できる。
【0091】
次に、分析システムは類似性ハッシング結果を予め設定または予め訓練された複数の分類モデル（ｍｏｄｅｌ １、ｍｏｄｅｌ Ｌなど）と比較してマッチングの可否を判断することができる（Ｓ６３）。
【0092】
類似性ハッシング結果のうち分類モデルとマッチングされるものがなければ、すなわち悪性コードが検知されなかった場合、分析システムは深化検知のために特徴情報を拡張してデシジョンツリー（ｄｅｃｉｓｉｏｎ ｔｒｅｅ、ＤＴ）アンサンブルなどのマシンラーニングモデルを通じて類似性ハッシング結果のマッチングの可否を確認する（Ｓ６４）ことにより正常ファイル６７と悪性ファイル６８を分類することができる。ここで、拡張された特徴情報は前述した特徴情報（基本特徴情報）に加えて、該当ファイルで追加的に追加特徴情報を抽出するか、抽出した後に含ませていない残りの特徴情報を付加して深化検知対象特徴情報の個数を基本特徴情報対比一定の部数（１より大きい整数倍）に増加させたものを指称し得る。そして、ＤＴアンサンブルは複数個のデシジョンツリーを結合して一つのモデルを使った場合よりさらに高い性能を示すようにした特定モデルを指し示し得る。
【0093】
本実施例によると、マシンラーニング基盤の悪性コード分析を高度化してエージェント機能を高度化することができる。すなわち、本実施例のマシンラーニングモデルは正常ファイルおよび悪性コードが含まれたファイルでモデルを学習させた後、学習されたモデルで疑いの或るファイルの悪性の有無を検知するように構成され得る。また、マシンラーニングモデルは実行ファイルの基本的な特徴情報で類似性ハッシュ関数を学習させた後に正常ファイルと悪性ファイルを分類し、また、実行ファイルで抽出可能なすべての特徴情報で類似性ハッシュ関数を学習させた後に正常ファイルと悪性コードを分類するように具現され得る。
【0094】
【0095】
図７を参照すると、ＥＤＲシステムの分析システムは悪性コードイメージ分析（ｍａｌｗａｒｅ ｉｍａｇｅ ａｎａｌｙｓｉｓ）アルゴリズム適用して悪性コードを検知することができる。
【0096】
具体的には、分析システムは実行ファイルやその少なくとも一部のコードを２Ｄベクトル（２Ｄ ｖｅｃｔｏｒ）に変換する（Ｓ７０、Ｓ７１）。その次に、２Ｄベクトルをグレースケールでイメージ化する（ｇｒａｙｓｃａｌｅ ｉｍａｇｉｎｇ、Ｓ７２）。
【0097】
次に、分析システムは前処理（ｐｒｅｐｒｏｃｅｓｓｉｎｇ、Ｓ７３）を通じて２Ｄベクトルをイメージ化したデータまたはイメージ配列をディープラーニングの入力として使えるようにイメージ配列のイメージの大きさを調整する。
【0098】
次に、その大きさが調整されイメージ化されたデータをマシンラーニングモデルで分類して悪性コード間の同種または類似系列相関関係を判別する（Ｓ７４）。マシンラーニングモデルは入力と出力の間にコンボリューション、ＣＩ特徴マップ、サブサンプリング、Ｓ１特徴マップ、コンボリューション、Ｓ２特徴マップ、サブサンプリング、コンボリューション、完全連結層を具備したオープンソース基盤類似度分類モデルなどを利用することができる。
【0099】
マシンラーニングモデルを利用した判別結果、すなわち悪性コードの分類結果は多様なイメージテクスチャのイメージで表現され得る（Ｓ７５）。このような悪性コード分類結果は分析者のための別途の使用者分析システムと連動（ｉｎｔｅｒｌｏｃｋｉｎｇ）され得（Ｓ７６）、特定ＤＢに変換（ｃｏｎｖｅｒｔｉｎｇ）されて（Ｓ７７）保存され得る。
【0100】
本実施例によると、イメージ化されたデータを利用して悪性コード分類技術の正確度を向上させることができ、悪性コード相関分析基盤で流布行為の波及力分析を通じて危険度測定正確度を改善することができる。
【0101】
【0102】
図８を参照すると、分析システムは人工知能基盤悪性コード分析システムとして悪性コード動的分析システム１５０等を含むことができ、次のように設計され得る。すなわち、分析システムは分析システム性能検証のために悪性コードデータセット（ｍａｌｗａｒｅ ｄａｔａｓｅｔ、１５２）等の悪性コードサンプルを利用することができ（Ｓ８１）、性能検証結果をマシンラーニング回避脅威モデリングに反映することができる（Ｓ８３）。
【0103】
悪性コード動的分析システム１５０は分類（ｃｌａｓｓｉｆｉｃａｔｉｏｎ）モジュール、グループ化（ｃｌｕｓｔｅｒｉｎｇ）モジュール、ディープラーニング（ｄｅｅｐ ｌｅａｒｎｉｎｇ）モデルを具備し、ポータブル実行フォーマットファイル（ＰＥ ｆｏｒｍａｔ ｆｉｌｅｓ）の特徴抽出（ｆｅａｔｕｒｅ ｅｘｔｒａｃｔｉｏｎ）後にマルウェア分析（ｍａｌｗａｒｅ ａｎａｌｙｓｉｓ）を通じてマルウェア検出（ｍａｌｗａｒｅ ｄｅｔｅｃｔｉｏｎ）とマルウェア系列分類（ｍａｌｗａｒｅ ｆａｍｉｌｙ ｃｌａｓｓｉｆｉｃａｔｉｏｎ）を遂行できる。
【0104】
悪性コードデータセット１５２はリアルデータセット（ｒｅａｌ ｄａｔａｓｅｔ）をマルウェアラベリング（ｍａｌｗａｒｅ ｌａｂｅｌｉｎｇ、Ｓ８２）して生成したデータセットを含むことができる。
【0105】
分析システムはマルウェア分析システム（ｍａｌｗａｒｅ ａｎｓｌｙｓｉｓ ｓｙｓｔｅｍ）として中毒攻撃（ｐｏｉｓｏｎｉｎｇ ａｔｔａｃｋ）、回避攻撃（ｅｖａｓｉｏｎ ａｔｔａｃｋ）等に対する分析としてマシンラーニング回避脅威モデリングを遂行するように構成され得る。
【0106】
本実施例によると、悪性コード分析に多様な分類および群集アルゴリズムを利用して効果的な悪性コード分析システムを設計することができる。また、悪性コードと正常ファイルに対する分類だけでなく細部的な悪性コード変種グループ分類を遂行することができ、正常コードと悪性コードサンプルだけでなく多様な変種グループでラベリングされた悪性コードサンプルをシステム性能検証に活用することができる。また、エンドポイントに設置されるエージェントとの互換性を考慮した悪性コード分析システムを設計でき、マシンラーニングモデル回避攻撃の観点で人工知能基盤悪性コード分析システムを対象に遂行できる各種攻撃に対する脅威モデルを効果的に樹立することができる。
【0107】
図９ａは、図１のＥＤＲシステムに採用できる多次元分析のためのセキュリティＡＰＩ（ａｐｐｌｉｃａｔｉｏｎ ｐｒｏｇｒａｍｍｉｎｇ ｉｎｔｅｒｆａｃｅ）連動作業を説明するための図面である。図９ｂは、図９ａのセキュリティＡＰＩ連動作業の主な作動原理を説明するためのフローチャートである。
【0108】
図９ａを参照すると、ＥＤＲシステムは悪性コード連動分析システム１８０をさらに含むことができる。連動分析システム１８０はＥＤＲシステムの分析システム（図１の１１０参照）に含まれ得、この場合、連動分析モジュールと指称され得る。
【0109】
連動分析システム１８０は第三者（３ｒｄ ｐａｒｔｙ）評判分析モジュール、ファイル拡張子検証モジュール、ファイル静的行為分析モジュール、サンドボックス管理者、ファイル動的行為分析モジュール、ファイルＤＢ、静的または動的悪性コード検知ヤラルール（Ｙａｒａ ｒｕｌｅ）ＤＢ、ファイル分析結果ＤＢ、ＰＣＡＰ（ｐａｃｋｅｔ ｃａｐｔｕｒｅ）ＤＢ、ハッシュ（ｈａｓｈ）ＤＢなどを具備することができる。
【0110】
ファイルＤＢはポータブル実行（ＰＥ）ファイル、オフィス（ｏｆｆｉｃｅ）ファイル、ハングル（ＨＷＰ）ファイル、Ｅメール（ｅｍｌ）ファイルなどを保存し管理することができる。ファイル静的行為分析モジュールはファイル拡張子検証モジュールと悪性コード検知ヤラルールモジュールとサンドボックス管理者に連結され、ファイル属性、ＰＥ分析、ヤラルール検知のための少なくとも一つのサブモジュールを具備し、ファイル分析結果ＤＢに連結され得る。
【0111】
ファイル動的行為分析モジュールはサンドボックス管理者と悪性コード検知ヤラルールモジュールに連結され、レジストリ、ファイル、メモリ、ネットワークなどでの脅威行為を分析するための少なくとも一つ以上のサブモジュールを具備し、ファイル分析結果ＤＢ、ＰＣＡＰ ＤＢおよびハッシュＤＢに連結され得る。ＰＣＡＰ ＤＢはネットワークトラフィック捕捉用ＡＰＩ（ａｐｐｌｉｃａｔｉｏｎ ｐｒｏｇｒａｍｍｉｎｇ ｉｎｔｅｒｆａｃｅ）を具備することができる。
【0112】
サンドボックス管理者は仮想サンドボックス１９１とリアルマシンサンドボックス１９２に連結され得る。仮想サンドボックス１９１は仮想マシンサンドボックスとして複数の悪性コード分析仮想マシン（仮想マシン１～仮想マシンｎ）を具備し、リアルマシンサンドボックス１９２は複数の悪性コード分析リアルマシン（リアルマシン１～リアルマシンｎ）を具備することができる。
【0113】
本実施例によると、セキュリティＡＰＩ連動を通じて侵害指標（ＩＯＣ）、悪性コードパターン、検知ルール、悪性コード流布地、Ｃ＆Ｃサーバーなどの最新脅威情報（ｔｈｒｅａｔ ｉｎｔｅｌｌｉｇｅｎｃｅ、ＴＩ）のリアルタイム収集および配布システムを構築することができる。また、静的／動的分析高度化とエージェント機能高度化のために、収集されたファイルに対して仮想マシンやリアルマシンを利用した悪性コード分析プロセス連動設計を効果的に具現することができる。
【0114】
また、本発明によると、多次元分析のためのセキュリティＡＰＩ連動作業を通じてワクチン（ａｎｔｉｖｉｒｕｓ）エンジン配布、評判分析、ＵＲＬ（ｕｎｉｆｏｒｍ ｒｅｓｏｕｒｃｅ ｌｏｃａｔｏｒ）接続検知、行為基盤分析などを効果的に遂行できる。また、仮想マシン迂回検知プロセスを通じてエンドポイントの中央処理装置（ＣＰＵ）識別子（ＩＤ）、仮想マシン行為の有無、プロセス探索（ｓｅａｒｃｈｉｎｇ）動作基準などを設定して悪性コード検知に利用することができる。
【0115】
また、本発明によると、エンドポイントで発生するランサムウェアのリアルタイム行為分析を通じてドライバ上で瞬間的に臨時保存フォルダにデータをバックアップしてランサムウェア判明時に原本ファイルでデータを復元できる環境を提供することができる。
【0116】
例えば、図９ｂに示した通り、知られているファイルである場合（Ｓ９１のＮ）、ファイル実行を制限しないが（Ｓ９２）、知られていないファイルが実行されようとする時（Ｓ９１のＹ）、ＥＤＲシステムは該当ファイルの実行を保留させ（Ｓ９３）、ファイルを分析システムでアップロードし（Ｓ９４）、分析システムを通じて該当ファイルを分析し（Ｓ９５）、実行可能ハッシュ値をダウンロードして（Ｓ９６）分析システムの分析結果と比較することによって、該当ファイルの実行の有無を決定（Ｓ９７）することができる。
【0117】
【0118】
図１０を参照すると、エンドポイントエージェントは変種または新種悪性コード問題を解決するために、悪性コード学習および分類モジュールを通じて変種（ｍａｌｗａｒｅ ｖａｒｉａｎｔｓ）、新種（ｎｅｗ ｍａｌｗａｒｅ ｇｒｏｕｐｓ）悪性コードに対して異常値検知（ｏｕｔｌｉｅｒ ｄｅｔｅｃｔｉｏｎ）を遂行し、モデル再訓練（ｍｏｄｅｌ ｒｅｔｒａｉｎｉｎｇ）を遂行するように構成され得る（Ｓ１０１）。
【0119】
異常値検知は問題あるいは異常があるデータを検知することを示し、モデル再訓練は変種、新種悪性コードに対応できるように正常イメージテクスチャと追加された悪性イメージテクスチャなどで再び訓練することを示し得る。
【0120】
また、エンドポイントエージェントは多重プラットフォームに設置可能なマルウェア分析システム（ｍａｌｗａｒｅ ａａｎｌｙｓｉｓ ｓｙｓｔｅｍ）を具備することができる。エンドポイントエージェントはマルウェア分析システムを通じてマッキントッシュ（ｍａｃｉｎｔｏｓｈ、ＭＡＣ）、ウィンドウズ（ｗｉｎｄｏｗｓ）、リナックス（ｌｉｎｕｘ）等の多重プラットフォーム（ｍｕｌｔｉ－ｐｌａｔｆｏｒｍ）を形成することができる（Ｓ１０３）。
【0121】
エンドポイントエージェントは多重プラットフォーム上でリアルデータセット（ｒｅａｌ ｄａｔａｓｅｔ）の中毒（ｐｏｉｓｏｎｉｎｇ）などのようなデータセット攻撃（ａｔｔａｃｋ ｄａｔａｓｅｔ）を機械学習対象攻撃として設定して攻撃シミュレーション（ａｔｔａｃｋ ｓｉｍｕｌａｔｉｏｎ）を遂行し、これを通じて人工知能モデルを学習させることができる（Ｓ１０５）。
【0122】
本実施例によると、人工知能基盤で悪性コード分類システムを具現して回避技術を効果的に学習することができる。
【0123】
また、ウインドウ、マッキントッシュ、リナックスなどの特定プラットフォーム基盤の悪性コードに対して単一の分析システムで悪性コードを分析することができ、悪性コードサンプルを活用して具現システムの性能を検証することができる。例えば、既存グループの変種悪性コードと新種グループの悪性コードが登場するシナリオを考慮してモデルを学習させることができる。また、新種、変種悪性コード分析の検証のために、既存ラベリングされた悪性コードグループ情報および時系列データを活用することができる。また、マシンラーニングを対象とする中毒攻撃、回避攻撃などの各種攻撃技法を既存サンプルに適用して変形させた攻撃データセットを構築し、このような攻撃データセットを活用して悪性コード分析システムを学習させて悪性コード検知成功率を向上させることができる。
【0124】
【0125】
図１１を参照すると、エンドポイントエージェントは知能型フォレンジック分析のためにエージェントの内部にアンチウイルス（ａｎｔｉｖｉｒｕｓ、ＡＶ）エンジンを適用することができる。
【0126】
より具体的に説明すると、エージェントが実行（Ａｇｅｎｔ ｅｘｅｃｕｔｉｏｎ）されて前処理（ｐｒｅｐｒｏｃｅｓｓｉｎｇ）過程が遂行され得る。
【0127】
前処理過程で、ファイル（Ｆｉｌｅ）、プロセス（Ｐｒｏｃｅｓｓ）またはレジストリ（Ｒｅｇｉｓｔｒｙ）イベントを収集する特定マネジャー（ＣＩＯＣＭｇｒ）が実行（ｓｔａｒｔ）され（Ｓ１１０１）、また、ネットワーク（Ｎｅｔｗｏｒｋ）イベントを収集する特定トラフィックモニター（ＣＴｒａｆｆｉｃＭｏｎｉｔｏｒ）が実行（ｓｔａｒｔ）されて（Ｓ１１１０）エンドポイント（ＥｎｄＰｏｉｎｔ）または特定コンピューティング装置のイベントを収集することができる。
【0128】
イベント発生時、特定の第１関数（ＤｏＤｙｎａｍｉｃ関数）を通じて該当イベントのログに対してルール（Ｒｕｌｅ）比較を遂行し（Ｓ１１０２、Ｓ１１１１）、比較した結果をそれぞれの特定の第２関数（Ｉｎｓｅｒｔ関数）を通じてＤＢに該当ログおよび分析結果を保存し（Ｓ１１０３、Ｓ１１０５、Ｓ１１０７、Ｓ１１１２）、その次に保存されたログおよび分析結果を管理者（Ｍａｎａｇｅｒ）に伝達するためにそれぞれの特定の第３関数（ＤｏＮｏｆｉｔｙ関数）を通じて該当データをＪｓｏｎ形態に変換（Ｓ１１０４、Ｓ１１０６、Ｓ１１０８、Ｓ１１１３）した後、所定のメッセージ（ＤｏＮｏｆｉｔｙ＿Ｓｅｎｄ）を通じてＪｓｏｎ形態のデータを管理者に伝達（Ｓ１１２０）することができる。管理者に伝達されたデータは使用者インターフェース（ｕｓｅｒ ｉｎｔｅｒｆａｃｅ、ＵＩ）に表示され得る。
【0129】
表２（表２－１～表２－６）は侵害指標（ＩＯＣ）基盤悪性コード分析機能のためのインターフェース構成内訳に対する例示である。
【0130】
【表2-1】
【表2-2】
【表2-3】
【表2-4】
【表2-5】
【表2-6】
【0131】
エージェントに搭載できる侵害指標基盤分析モジュールは収集されたイベント（ｅｖｅｎｔ）を形式に合うように修正した後、エージェントの応用プログラム（Ａｐｐｌｉｃａｔｉｏｎ）側に伝達することができる。以後、エージェントは伝達されたイベント内容をＤＢに保存したりプロセス部分のみを抽出して抽出した部分をＪｓｏｎフォーマットなどでログ化して管理者に伝達することができる。ここで、Ｊｓｏｎフォーマットは抽出した部分を管理者に伝達するためにフォーマット変更構成であって、他の構成を代替可能である。エージェントはヤラルールなどの規則を通じての侵害指標の分析結果であるログ（ｌｏｇ）情報を提供することができる。エージェントは悪性行為に対する動作ログ分析後該当悪性行為動作基盤で製作されたヤラルール（Ｙａｒａ ｒｕｌｅ）を利用することができる。また、エージェントはマイターアタック（Ｍｉｔｒｅ ＡＴＴ＆ＣＫ）基盤で該当ルールに対する攻撃分類および攻撃方式を追加的に作成して該当情報を提供できるように製作されたヤラルールを利用するように構成され得る。
【0132】
エージェントはＭＩＴＲＥ ＡＴＴ＆ＣＫ Ｔ＿ＩＤ情報と収集されたログ分析を通じてログの攻撃方式に対する分類および技術情報を提供し、該当ＩＤとリンクされたＵＲＬを提供してＭＩＴＲＥ ＡＴＴ＆ＣＫサイトのヘルプの参照が可能であるように構成され得る。
【0133】
エージェントは侵害指標（ＩＯＣ）規則適用および該当規則を通じての静的分析でレジストリログ（ｒｅｇｉｓｔｒｙ ｌｏｇ）分析を遂行できる。エージェントはレジストリログ分析を通じてディスク接近（ｄｉｓｋ ａｃｃｅｓｓ）およびドライバ接近（ｄｒｉｖｅｒ ａｃｃｅｓｓ）に対するレジストリ経路（ｒｅｇｉｓｔｒｙ ｐａｔｈ）を集中検知し、ディスク接近およびドライバ接近検知セキュリティを進行することができる。この時、ディスク接近関連ログ内容および関連規則を通じて悪性行為を検知することができる。
【0134】
エージェントはＡＰＩフッキング（ｈｏｏｋｉｎｇ）を通じて内部的に動作するプロセス（ｐｒｏｃｅｓｓ）およびＷＭＩ（ｗｉｎｄｏｗｓ ｍａｎａｇｅｍｅｎｔ ｉｎｓｔｒｕｍｅｎｔａｔｉｏｎ）分析を遂行できる。すなわち、エージェントはＡＰＩフッキングを通じてのプロセスおよびＷＭＩ分析を通じてメモリ基盤攻撃検知を補完し、モジュール動作部分検知を補完し、スクリプト（ｓｃｒｉｐｔ）基盤悪性行為検知を補完し、命令ライン（ｃｏｍｍａｎｄ ｌｉｎｅ）を通じての悪性行為を検知し、スクリプト基盤悪性行為を検知することができる。
【0135】
また、エージェントはネットワークモニタリング機能強化のために、ネットワーク通信中であるパケットペイロード（ｐａｃｋｅｔ ｐａｙｌｏａｄ）検知機能を具備することができ、ポートスキャン（ｐｏｒｔ ｓｃａｎ）等のネットワークを利用した事前攻撃準備を感知するように設置され得る。
【0136】
図１２は、本発明の他の実施例に係るイメージ基盤悪性コード検知装置とこれを搭載したコンピューティング装置を説明するためのブロック図である。
【0137】
図１２を参照すると、イメージ基盤悪性コード検知装置（以下、簡略に悪性コード検知装置）はＥＤＲシステム１００の一種であって、エンドポイントまたはこれに対応する特定コンピューティング装置に設置され得、分析システム１１０、データ収集部１３０、イメージ変換部１４０、イメージ分析システム１５０および保存部１９０を具備することができる。分析システム１１０はイメージ分析システム１５０と区別されるようにメイン分析システムと指称され得る。
【0138】
データ収集部１３０は特定コンピューティング装置でファイル生成イベントを感知してファイル生成イベントログから生成ファイルのファイル経路を抽出するように構成され得る。ここで、ファイル生成イベントまたはファイル生成イベントログは特定コンピューティング装置に関連したプロセッサ、メモリまたは保存装置で実行されるプロセス、ファイル、レジストリから検知され得る。
【0139】
また、データ収集部１３０は、自動分析対象やマシンラーニング分析対象またはグレーリストに登録されたファイルが実行される時、該当ファイルおよびファイルのプロセスに対する追跡または監視を要請する信号をイメージ変換部１４０や分析システム１５０に伝達することができる。
【0140】
また、データ収集部１３０は、特定ファイルが予め設定された特定行為をするものと感知される時、該当ファイルやファイルの少なくとも一部のコードに対するイメージ基盤悪性コード検知プロセスの進行のための信号をイメージ変換部１４０やイメージ分析システム１５０に伝達するように構成され得る。
【0141】
イメージ変換部１４０はイメージ処理部に対応し得る。イメージ変換部１４０はバイト配列変換部１４１、座標マッピング部１４２および座標ＲＧＢチャネル増加部１４２ａを具備することができる。
【0142】
バイト配列変換部１４１はファイル生成イベントログから得られる生成ファイルのファイル経路に位置した実行ファイルや実行ファイルの少なくとも一部のコードを符号のない一定ビットの整数からなるベクトルまたはバイトで読み込んでバイト配列に変換する。バイト配列は２Ｄベクトルに対応する。
【0143】
また、バイト配列変換部１４１は、実行ファイルの実行時、メモリに上がった実行ファイルに対するメモリダンプを進行して解除されたパッキングファイルをバイト配列に変換して保存することができる。
【0144】
座標マッピング部１４２はバイト配列で２バイトずつを読み込んで予め設定されたサイズの仮想イメージ上にマッピングされる。この時、２バイトずつ読んだデータは仮想イメージ上の座標（ｘ、ｙ）として使われる。
【0145】
座標ＲＧＢチャネル増加部１４２ａは２バイトのデータを予め設定されたサイズのイメージの座標（ｘ、ｙ）として活用して該当座標の値を増加させて該当イメージにＲＧＢチャネルを追加したり増加させてバイト配列の実質的なすべての情報を入れたイメージまたはイメージ配列を保存する。予め設定されたサイズは２５６×２５６×３サイズを含むことができる。
【0146】
また、座標ＲＧＢチャネル増加部１４２ａは、予め設定されたサイズのイメージ上にバイト配列を２バイトずつ予め設定された順で入れ、座標値の増加距離を距離（ｄｉｓｔａｎｃｅ）パラメータに指定し、前記の座標で増加する値の配列角度を角度（ａｎｇｌｅｓ）パラメータを活用して指定することができる。
【0147】
また、座標ＲＧＢチャネル増加部１４２ａは、バイト配列の２バイトずつに基づいて予め設定されたサイズのイメージ上の該当座標で数値範囲をグレースケール範囲（０～２５５）から最大範囲ＲＧＢ｛（０、０、０）～（２５５、２５５、２５５）｝に増加させて指定し、前記の座標の数値を１ずつ増加させ、ＲＧＢチャネル範囲の数値が予め設定された所定の基準値を超過する時にまず緑色（Ｇｒｅｅｎ）チャネル範囲の数値を増加させ、緑色（Ｇｒｅｅｎ）チャネルの範囲超過時に青色（Ｂｌｕｅ）チャネルを増加させるように構成され得る。
【0148】
前述したイメージ変換部１４０は、例えば、ポータブル実行（ＰＥ）ファイルをバイトで読み込んでバイト配列に変換し、バイト配列を２５６×２５６×１大きさのイメージに２バイトずつ持ってきて、２バイトの値を（ｘ、ｙ）座標に活用した（ｘ、ｙ）座標のイメージの少なくとも一つのピクセル値を増加させた後、ＲＧＢチャネルを追加してイメージ保存部に２５６×２５６×３大きさのイメージ配列を保存するように構成され得る。
【0149】
また、イメージ変換部１４０はバイト配列変換モジュールと座標マッピングモジュールを通じて特定フォルダ内のＰＥファイル生成イベントログを検知してファイル経路を抽出し、ファイルをバイトで読み込んで配列に変換を遂行し、座標ＲＧＢチャネル増加モジュールやＲＧＢイメージ変換モジュールを通じてその前に変換されたバイト配列をＲＧＢ技法を適用してイメージ変換を遂行した後、イメージ配列をＤＢに伝送してＤＢに保存されるように構成され得る。
【0150】
イメージ分析システム１５０はイメージディープラーニング分析部に対応し、イメージ配列に対してイメージディープラーニングモデルを利用したディープラーニング分析を遂行する。イメージ分析システム１５０は予め学習されたディープラーニングモデルを呼び出すディープラーニングモデル呼び出し部１５１、ディープラーニングモデルにイメージ配列を入力して分析するディープラーニングモデル分析部１５２、およびイメージ配列での悪性コードの有無を判断する悪性コード判断部１５３を具備することができる。
【0151】
ディープラーニングモデル呼び出し部１５１はイメージ配列の分析のための入力レイヤ（ｉｎｐｕｔ ｌａｙｅｒ）の大きさを調整し、予め学習されたディープラーニングモデルを呼び出し、ディープラーニングモデルにイメージ配列を入力することができる。
【0152】
ディープラーニングモデル分析部１５２はディープラーニングモデルに入力されるイメージ配列を分析してイメージ基盤悪性コード分析結果を出力する。ディープラーニングモデルは移転学習されたｒｅｓｎｅｔモデルなどを含むことができる。
【0153】
また、ディープラーニングモデル分析部１５２は学習されたイメージディープラーニングモデルに入力されるイメージ配列に対してマシンラーニング基盤類似度分類を遂行し、マシンラーニング基盤類似度分類を通じて悪性コード間の同種、変種または類似系列の相関関係を判別するように構成され得る。
【0154】
また、ディープラーニングモデル分析部１５２は悪性コードが含まれたファイルおよび正常ファイルで学習させたイメージディープラーニングモデルを利用することができる。この場合、ディープラーニングモデル分析部１５２は学習されたイメージディープラーニングモデルを利用して、実行ファイルの基本的な特徴情報で学習された類似性ハッシュ関数に基づいて疑いの或るファイルの正常または悪性を分類したり、実行ファイルで抽出可能なすべての特徴情報で学習された類似性ハッシュ関数に基づいて疑いの或るファイルの正常または悪性を分類したり、悪性コードイメージ分析アルゴリズムを通じて疑いの或るファイルの正常または悪性を分類したり、またはこれらの組み合わせの分類方法を利用して疑いの或るファイルの正常または悪性を分類したり検知するように構成され得る。
【0155】
悪性コード判断部１５３は、ディープラーニングモデル分析部１５２の分析結果に対して、予め設定された臨界値に基づいて悪性コードを検出したり知られている脅威または知られていない脅威の発生可能性を決定することができる。
【0156】
また、悪性コード判断部１５３は、ディープラーニングモデル分析部１５２の分析結果に対して実行ファイルやコードの他のセクションまたはバイナリ断片のイメージテクスチャに基づいて悪性コードを検出したり知られている脅威または知られていない脅威の発生可能性を決定することができる。
【0157】
前述したイメージ分析システム１５０はイメージ保存部で提供されたイメージの分析のためのインプットレイヤ（Ｉｎｐｕｔ Ｌａｙｅｒ）の大きさを調整して予め学習されたディープラーニングモデルの呼び出しを遂行し、イメージ保存部で提供されたイメージをディープラーニングモデルに入力して分析を進行し、特定臨界値による悪性判断と悪性である確率を結果保存部に提供してＪＳＯＮフォーマットで保存するように構成され得る。
【0158】
また、前述したイメージ分析システム１５０でディープラーニングモデルを利用して分析を進行するために、イメージサイズの大きさをディープラーニングモデルの入力レイヤ（ｉｎｐｕｔ ｌａｙｅｒ）の次元と同一にしなければならない。この時、ＲＧＢイメージ変換技法を利用したイメージを利用して分析を進行すると、イメージの大きさを調整する時に悪性コードファイルのバイト配列特徴が漏れることを防止でき、ＲＧＢ技法を利用したイメージ変換機能を採用することにより、色感の表現によってグレースケールと比べて人が目で判別することがさらに容易となる長所がある。
【0159】
また、ＲＧＢイメージ変換機能を通じて悪性コードデータのイメージにＲＧＢチャネルを増加して色相データで処理することによって、悪性コードファイルのバイト配列特徴を拡大して検知性能を向上させることができる。
【0160】
保存部１９０はイメージ保存部、結果保存部または保存管理システムに対応し得、分析システム１５０またはイメージディープラーニング分析部でランサムウェアの行為が感知された場合、悪性コード判断部１５３の信号により特定コンピューティング装置のドライバ上でドライバのファイルを臨時保存フォルダにバックアップするように構成され得る。
【0161】
また、分析システム１１０は実行ファイルやコードを自動分析やマシンラーニングによって分析して正常判定された場合、該当実行ファイルやコードの特定カラーイメージをホワイトリストに登録する登録部（図示されず）をさらに含むことができる。
【0162】
前述した通り、ＲＧＢを活用したイメージ基盤悪性コード検知装置を利用すると、内部ネットワークから伝送されたファイルをＲＧＢ変換技法で座標のＲＧＢチャネルを増加させて固定イメージサイズに変換し、検知モデルのインプットレイヤ（ｉｎｐｕｔ ｌａｙｅｒ）の次元をＲＧＢ転換技法を利用したイメージサイズと同一に設定して以前に変換したイメージを検知モデルに入力し、検知モデル分析結果をｊｓｏｎファイルで保存し、これを通じてカラーイメージで悪性コードを効果的に検知することができる。
【0163】
また、前述した悪性コード検知装置を利用すると、パッキングされたＰＥファイルのイメージ変換時にファイルのバイト配列が変わって全く異なるイメージが生成され、それによりディープラーニングモデルの検知率が低下し得る問題を解決することができる。すなわち、ＰＥファイルの実行によりメモリに上がったＰＥファイルに対してメモリダンプを進行することによって、ＰＥファイルのパッキングを解除してそのバイト配列がダンプされるようにすることができ、これを利用してファイルの同一のバイト配列を維持するイメージに変換してイメージを生成することができる。このように、メモリダンプファイルをイメージ変換して分析を進行すると、悪性コードの適合率を向上させることができる。ＲＧＢイメージ変換機能を通じてイメージを生成して分析を進行すると同じサイズのイメージが生成され、グレースケールイメージと比べてより多い特徴情報を追加で抽出できるのでイメージ変換を活用した悪性コード検知でその適合率を大きく向上させることができる。
【0164】
また、本実施例によると、グレースケール（ｇｒａｙ ｓｃａｌｅ）方式以外にＲＧＢ技術を追加で適用してファイルイメージ変換時にファイル配列の座標を拡大し、変換イメージの特徴をより詳しく表現して、イメージ基盤の悪性コード検知機法を正確度と検知範囲を向上させることができる。
【0165】
また、グレースケールイメージ基盤の悪性コード検知方法でイメージの大きさ調整時に、ファイルの情報漏れが存在して適合率が低下する問題を改善することができる。そして、モデル学習進行のためにデータラベリングを進行する時に、グレースケールイメージでは人の視覚で正常イメージと悪性イメージの差異点を区分し難いという問題を改善することができる。
【0166】
また、グレースケールイメージ基盤の悪性コード検知方法で大きいサイズ のファイルの場合に座標の数値が最大値に到達して識別が難しい場合が多数存在し、それによって適合率が低下し得るが、本実施例ではそのような問題を自体で改善できるようにＲＧＢイメージ変換機能を追加で適用できるようにして、既存の制限的なグレースケールの１チャネルでのイメージ表現方式からＲＧＢの３チャネルのイメージ表現方式に変更することができ、これを通じて座標内の数値範囲が増えて大きいサイズのファイルの識別問題と適合率をさらに向上させることができる。
【0167】
また、ＧＬＣＭ変換技法を導入してファイルイメージを変換する時、イメージサイズを固定して漏れたファイル情報の損傷を防止できるがファイルの容量がますます増加時にイメージの特徴が次第に減少し、一定サイズ以上のファイルイメージの変換時、その特徴の抽出が不可能であるので、特徴の抽出を通じての分析に限界が存在する問題を解決することができる。
【0168】
また、本実施例によると、自体サービスポータルおよび自体クラウド環境開発を通じて知能型の持続的な脅威（ＡＰＴ）対応セキュリティサービス技術を効果的に確保し、確保された技術を通じてリアルタイム悪性行為の分析、使用者間でリアルタイム脅威情報の共有、ＴＩ情報の生成などのセキュリティサービス品質を高度化することができる。また、企業の内部情報に対する保護および知られていない新種、変種悪性コード対応に対して適正なソリューションを提供することができる。
【0169】
また、本実施例によると、悪性行為検知のためのイメージ基盤の悪性コード検知装置やこれを利用するＥＤＲシステムにビッグデータ分析を適用して多様な検知地点で最新の悪性コード情報を持ってくることができ、これを通じて３６５日２４時間対応可能なセキュリティサービスを提供することができる。
【0170】
【0171】
図１３を参照すると、ＥＤＲシステム１００の少なくとも一部に対応する悪性コード検知装置の管理者（ｍａｎａｇｅｒ、１１０ａ）は、サービスウェブサーバー領域をモニタリングする（Ｓ１３０１）クラウド管理サーバー（ｃｌｏｕｄ ｍａｎａｇｅ ｓｅｒｖｅｒ）に連結されたアラームサーバー（ａｌａｒｍ ｓｅｒｖｅｒ、６００）から警告メールを受信し（Ｓ１３０２）、それによりサービスウェブサーバー領域（ｓｅｒｖｉｃｅ ｗｅｂ ｓｅｒｖｅｒ ｚｏｎｅ）内に仮想マシン（ｖｉｒｔｕａｌ ｍａｃｈｉｎｅ、Ｖｍ）サーバーを追加リソースで増設（Ｓ１３０３）したり、データベースサーバー領域（ＤＢ ｓｅｒｖｅｒ ｚｏｎｅ）内にスレーブＤＢサーバー（ｓｌａｖｅ ｄｂ ｓｅｒｖｅ）を追加リソースで増設（Ｓ１３０３）するように構成され得る。
【0172】
ここで、サービスウェブサーバー領域で複数の仮想マシンサーバーそれぞれは、単一のグループを形成するウェブサーバー（ｗｅｂ ｓｅｒｖｅｒ）、分析器（ａｎａｌｙｚｅｒ）および動的エージェント（ｄｙｎａｍｉｃ ａｇｅｎｔｓ）とそれぞれ連結される。分析器または動的エージェントそれぞれは悪性ファイルハッシュ値、正常ファイルハッシュ値、悪性ＵＲＬなどを収集してウェブサーバーを通じてＥＤＲシステム１００やエージェントに伝送してその分析システムと連動することができる。
【0173】
また、複数の仮想マシンサーバー（Ｖｍ ｓｅｒｖｅｒｓ）はＬ４スイッチ（ｓｗｉｔｃｈ）およびＬ２スイッチを通じてアラームサーバー６００とクラウド管理サーバーに連結される。そして、ＤＢサーバー領域でＬ２スイッチに連結されるマスターＤＢサーバー（ｍａｓｔｅｒ ＤＢ ｓｅｒｖｅｒ）が複数のスレーブＤＢサーバーと連結される。
【0174】
また、特定コンピューティング装置に対応するＥＤＲシステム１００と各サーバーはセキュリティウェブ（ＨＴＴＰＳ Ｗｅｂ）通信に基づいてクラウドサービスに接近することができる。サービス管理のためのサービスウェブサーバー（Ｓｅｒｖｉｃｅ Ｗｅｂ Ｓｅｒｖｅｒ）とデータ管理のためのＤＢサーバー（Ｓｅｒｖｅｒ）は使用者の増加により、多数使用者によるサービス過負荷によって物理的リソース不足現象が発生し得る。これを解決するために、本実施例ではエージェント（ａｇｅｎｔ）設置後、エージェント内管理者１１０ａがサービスウェブサーバーと通信し情報をやりとりすることができる。
【0175】
また、複数のウェブサーバーのロードバランシングのためにＬ４スイッチを利用して負荷を分散させることができる。クラウド管理サーバー（ｃｌｏｕｄ ｍａｎａｇｅ ｓｅｒｖｅｒ）はサービスウェブサーバー領域内サーバーそれぞれのＣＰＵ、メモリ（ｍｅｍｏｒｙ）、入出力（Ｉ／Ｏ）をモニタリングし、予め設定された臨界値例えば、使用率７０％以上である場合、アラームサーバー６００を通じて管理者１１０ａに警報を送って物理的リソースを追加増設するように動作することができる。
【0176】
本実施例によると、悪性コード検知のためのクラウド基盤仮想化システムに適用可能なクラウド基盤セキュリティエージェントをＥＤＲシステムやこれに対応する特定コンピューティング装置に設置することができる。
【0177】
この場合、クラウド基盤セキュリティエージェントは使用者のパソコンー（ＰＣ）の保護のために、ＰＣで実行されるファイルをモニタリングして悪性ファイルが実行されないように遮断し、ネットワークをモニタリングして悪性ＵＲＬに／からの接近を遮断するように構成され得る。このようなエージェントはクラウド基盤ウェブグラフィック使用者ーインターフェース（ＧＵＩ）を具備することができる。また、エージェントはランサムウェア対応のための機能でファイル暗号化行為を検知して遮断する機能を具備し、ランサムウェア被害防止のために瞬間バックアップ機能を具備することができる。
【0178】
前述したエージェントは顧客社別に管理されるように構成され得、加入および決済サーバーである登録ウェブサーバー（ｒｅｇｉｓｔｅｒ ｗｅｂ ｓｅｒｖｅｒ）を通じて顧客のキー（ｋｅｙ）値が登録されたエージェントとして生成され得、ネットワークを通じて使用者端末にダウンロードされ得る。
【0179】
また、本実施例によると、クラウド基盤仮想化システムはイメージ基盤悪性コード検知のための分析システムを採用することによって知能型の持続的な脅威（ＡＰＴ）に対する効果的な対応サービスを提供することができる。
【0180】
【0181】
図１４を参照すると、悪性コード検知装置は第１使用者インターフェース１４０１を通じてアイコン化されたプロセス分析情報を提供することができる。プロセス分析情報は親と子供のようなプロセス相関関係情報を含むことができる。
【0182】
また、悪性コード検知装置は悪性行為時の最初のプロセスおよび悪性行為の流れを把握し、第１使用者インターフェース１４０１を通じて表示しながら特定分析情報に対する詳細悪性行為情報を第２使用者インターフェース１４０２を通じて使用者に提供することができる。
【0183】
図１５は、図１２の悪性コード検知装置を搭載できるエンドポイントエージェントを説明するためのブロック図である。図１６は、図１５のエンドポイントエージェントの内部悪性コード検知構造を説明するための概略的なブロック図である。
【0184】
図１５を参照すると、エンドポイントエージェント（ｅｎｄｐｏｉｎｔ ａｇｅｎｔ、２００）は特定コンピューティング装置３００に搭載され得る。この時、エンドポイントエージェント２００はその内部にアンチウイルス（ａｎｔｉｖｉｒｕｓ、ＡＶ）モジュール２５０を搭載することができる。
【0185】
コンピューティング装置３００はウィンドウズオペレーティングシステム（ｗｉｎｄｏｗｓ ＯＳ、３２０）、リナックス（ｌｉｎｕｘ）オペレーティングシステム３３０、アンドロイド（ａｎｄｒｏｉｄ）オペレーティングシステム３４０のうち少なくともいずれか一つとエンドポイント端末ハードウェア（ｅｎｄｐｏｉｎｔ ｔｅｒｍｉｎａｌ ｈａｒｄｗａｒｅ、３１０）を具備することができる。
【0186】
コンピューティング装置３００に搭載されるエンドポイントエージェント２００は、図１６に示した通り、アンチウイルスサーバー（ａｎｔｉｖｉｒｕｓ ｓｅｒｖｅｒ、５００）に連結されるＥＤＲシステム１００から悪性コード検知に関連した情報やデータを受信し、悪性コード検知結果をＥＤＲシステム１００に伝送するように構成され得る。
【0187】
この場合、エンドポイントエージェント２００は複数の収集モジュール２６１と、各収集モジュールからブラックリストを受信して保存および管理する複数のブラックリストＤＢ２６２と、各ブラックリストＤＢの情報に基づいて実行ファイルの正常または悪性を検知して遮断する分析モジュール２７０を具備することができる。分析モジュール２７０は図１の分析システム（１１０参照）の少なくとも一部の機能部や構成部に対応し得る。
【0188】
【0189】
図１７を参照すると、エンドポイントエージェントは内部分析モジュール構成であって、ータベース部２６０、分析器（ａｎａｌｙｚｅｒ、２８０）および分析器エージェント（ａｎａｌｙｚｅｒ ａｇｅｎｔ、２９０）を具備する。
【0190】
データベース部２６０は構成ＤＢ（ｃｏｎｆｉｇ ＤＢ、２６１）、ファイルＤＢ（ｆｉｌｅ ＤＢ、２６２）、ログＤＢ（ｌｏｇ ＤＢ、２６３）を含むことができる。構成ＤＢ２６１はセキュリティ政策を保存することができ、ファイルＤＢ２６２は分析器２８０に静的分析やビットディフェンダー分析のためのファイルを提供することができる（ＺＢ００３）。ログＤＢ２６３は分析器２８０の悪性コード静的分析結果とビットディフェンダー分析結果を保存することができ（ＺＢ００２）、分析器エージェント２９０の悪性コード動的分析結果を保存することができる（ＺＤ００１）。ログＤＢ２６３は分析結果保存時、分析器２８０や分析器エージェント２９０のセキュリティ監査を受けることがある。
【0191】
分析器２８０はセキュリティ政策適用モジュール２８１、ビットディフェンダー分析モジュール２８２、悪性コード静的分析モジュール２８３、第１セキュリティ監査モジュール２８４および分析器エージェント管理モジュール２８５を具備することができる。分析器２８０はＥＳＭウェブ（ｅｎｔｅｒｐｒｉｓｅ ｓｅｃｕｒｉｔｙ ｍａｎａｇｅｒ ｗｅｂ）等を通して設定されたセキュリティ政策を構成ＤＢ２６１から読み込んで適用することができる（ＺＢ００１）。また、分析器２８０はファイルＤＢ２６３からファイルを読み込んで静的分析やビットディフェンダー分析を遂行できる（ＺＢ００３）。また、分析器２８０は分析器エージェント管理モジュール２８５を通じて分析器エージェント２９０にファイルを送り、該当ファイルの分析が完了すれば、分析器エージェント２９０の状態が分析前の状態に復元されるように機能することができる。
【0192】
分析器エージェント２９０は第２セキュリティ監査モジュール２９１および悪性コード動的分析モジュール２９２を具備することができる。悪性コード動的分析モジュール２９２の分析結果はログＤＢ２６３に伝達されて保存され得る（ＺＤ００１）。
【0193】
前述したエンドポイントエージェントの内部分析インターフェースを整理すると、下記の表３の通りである。
【0194】
【表3】
【0195】
図１８は、図１５のエンドポイントエージェントのエンドポイントセキュリティ動作を説明するための使用者インターフェース画面の例示図である。図１８を参照すると、エンドポイントエージェントはＡＶ分析機能が適用されたエージェントであって、実行ファイルの悪性コード分析を通じてブラックリスト政策、例えば悪性コードの検知、遮断、隔離を遂行するように構成され得る。
【0196】
例えば、ウィンドウズ１０基盤エンドポイントエージェントで具現され得る。この場合、コンピューティング装置の使用者環境で所定形態のインターフェース１８１０を通じて分析現況および分析結果を確認できるように構成され得、分析ファイル別細部設定インターフェース１８２０でブラックリスト（ｂｌａｃｋｌｉｓｔ）処理や許容（ａｌｌｏｗ）処理に対する使用者選択と適用ボタンなどに対する使用者入力１８３０が可能であるように構成され得る。
【0197】
一方、プロセスモニタリングおよびエージェント用収集モジュールに関連して、エンドポイントエージェントはプロセスモニタリングおよびエージェント収集モジュールのための外部インターフェースを具備することができる。
【0198】
外部インターフェースはパソコン（ＰＣ）等のエンドポイントで実行されるファイル情報を収集し、収集した実行ファイル情報を悪性パターンと比較して実行されようとする悪性ファイルを遮断したり実行保留後に管理者ウェブサービス（ｍａｎａｇｅｒ ｗｅｂ ｓｅｒｖｉｃｅ）にアップロードして分析を要請する役割を遂行するように構成され得る。
【0199】
このような外部インターフェースを例示すると、下記の表４の通りである。
【0200】
【表4】
【0201】
また、エンドポイントエージェントは設置されたＰＣで実行されるファイル情報を収集する。該当インターフェースを通じての設定過程を例示すると、次の表５の通りである。
【0202】
【表5】
【0203】
また、エンドポイントエージェントは収集されたファイル情報を管理したり他の構成要素と相互作用するための内部インターフェースを具備することができる。内部インターフェースはログ受信（ＲｅｃｅｉｖｅＬｏｇ）、ファイル受信（ＲｅｃｅｖｉｅＦｉｌｅ）、キー要請（ＫｅｙＲｅｌｅａｓｅ）等のためのインターフェースを含むことができる．ログ受信（ＲｅｃｅｉｖｅＬｏｇ）インターフェースはエージェントがエージェントでセキュリティ機能実行により発生するログを管理者ウェブサービス（ｍａｎａｇｅｒ ｗｅｂ ｓｅｒｖｉｃｅ、ＭＷＳ）に伝送することができる。
【0204】
ファイル受信（ＲｅｃｅｖｉｅＦｉｌｅ）インターフェースは、エージェントがエージェントで分析が必要なファイルを管理者ウェブサービスにアップロードして分析を要請することができる。
【0205】
キー要請（ＫｅｙＲｅｌｅａｓｅ）インターフェースは、エージェントが管理者ウェブサービスに暗号キー値の伝達要請を送って暗号キー値を受信して保存し、初期化した後にサブプロセスの状態を点検して実行することができる。
【0206】
内部インターフェースの構成を例示すると、次の表６の通りである。
【0207】
【表6】
【0208】
ログ受信（ＲｅｃｅｉｖｅＬｏｇ）インターフェースでのセキュリティ監査に関連して、エージェントは表７のようにエージェントでセキュリティ機能の遂行によって発生するログを管理者ウェブサービスに伝送することができる。
【0209】
【表7】
【0210】
ファイル受信（ＲｅｃｅｉｖｅＦｉｌｅ）インターフェースでの実行保留ファイルアップロードに関連して、エージェントは表８でのようにエージェントで分析が必要なファイルを管理者ウェブサービスにアップロードして分析を要請することができる。
【0211】
【表8】
【0212】
また、エージェントは下記の表９のように、キー要請（ＫｅｙＲｅｌｅａｓｅ）インターフェースを通じて管理者ウェブサービス（ＭＷＳ）に暗号キー値の伝達要請を送って暗号キー値を受信して保存し、初期化した後にサブプロセスの状態を点検して実行することができる。
【0213】
【表9】
【0214】
前述したプロセスモニタリングおよびエージェント収集モジュールは使用者ＰＣのセキュリティのためのエンドポイントエージェントであって、ウィンドウズ環境などで設置が可能であるように該当設置ファイルの形態で構成され得る．図１９は、図１５のエンドポイントエージェントによって実行される悪性コード検知方法で悪性コード視角化過程を説明するためのフローチャートである。図２０は、図１５のエンドポイントエージェントで実行ファイルのコードを予め設定したバイトの幅（ｗｉｄｔｈ）サイズと定義してコードをイメージ化したイメージを得る過程を説明するための変換ソースコードの例示図である。図２１は、図１５のエンドポイントエージェントでのコードイメージ化に対する結果イメージの例示図である。
【0215】
図１９を参照すると、ファイルを入力し（Ｓ１９１０）、入力されたファイルで第１関数（ｏｓ．ｐａｔｈ．ｓｐｌｉｔ）を通じてファイル名を抽出し（Ｓ１９２０）、入力されたファイルで第２関数（ｃｏｎｖｅｒｓｉｏｎ＿ｖｅｃｔｏｒ）を通じてファイルを２Ｄベクトルに変換し（Ｓ１９３０）、第３関数（ｎｐ．ｒｅｓｈａｐｅ）を通じて２Ｄベクトルをイメージ変換のために形状変換し（Ｓ１９４０）、第４関数（ｉｍａｇｅｉｏ．ｉｍｗｒｉｔｅ）を通じて形状変換されたイメージ配列をメモリに保存することができる（Ｓ１９５０）。
【0216】
各関数の目的、パラメータおよびリターン値を示すと、次の表１０および表１１の通りである。
【0217】
【表10】
【0218】
【表11】
【0219】
本実施例によると、収集された悪性コードを符号のない８ビット整数からなるベクトルで読み込んで２Ｄ配列で構成し、２Ｄ配列の幅（ｗｉｄｔｈ）サイズで悪性コードをイメージ化することができる．悪性コードを幅サイズでイメージ化するためのインターフェースの変換ソースコードを例示すると、図２０の（ａ）および（ｂ）の通りであり、その細部事項を示すと、次の通りである。
【0220】
－ｏｓ．ｐａｔｈ．ｓｐｌｉｔ（）：イメージ変換を遂行するファイル名をファイル経路から抽出．
【0221】
適用された例）ｆｉｌｅ＝ｐａｔｈ．ｓｐｌｉｔ（“＼＼”）［－１］
【0222】
－ｃｏｎｖｅｒｓｉｏｎ＿ｉｍｇ（）：ファイル経路をｃｏｎｖｅｒｓｉｏｎ＿ｉｍｇパラメータに入力．
【0223】
この場合、ｏｓ．ｐａｔｈ．ｇｅｔｓｉｚｅ関数にファイル経路（ｐａｔｈ）が入力され、イメージの幅（ｗｉｄｔｈ）値を求めるためにファイルの大きさを自然ログ（ｌｎ）変数に保存．
【0224】
－ｗｉｄｔｈ値はファイルの平方根で指定し、ファイルの形式を符号がない８ビット整数に変換するためにａｒｒａｙ．ａｒｒａｙ（‘Ｂ’）をａ変数に保存．
【0225】
－２Ｄベクトルまたは２Ｄ配列に変換するａ．ｆｒｏｍｆｉｌｅ（ｆ、ｌｎ －ｒｅｍ）関数を活用して変換を遂行し、ａｒｒａｙタイプであるａとｗｉｄｔｈ値を返還
【0226】
－ｎｐ．ｒｅｓａｈｐｅ（）：ｃｏｎｖｅｒｓｉｏｎ＿ｉｍｇ（）で返還したａｒｒａｙタイプａとｗｉｄｔｈ値を利用してイメージ形状（ｓｈａｐｅ）に形状変形（ｒｅｓｈａｐｅ）してｇ変数に保存
【0227】
－ｉｍａｇｅｉｏ．ｉｍｗｒｉｔｅ（）：最後に変換して保存したｇ変数と保存するファイル名をｉｍａｇｅｉｏ．ｉｍｗｒｉｔｅ（）にパラメータとして入れてイメージを保存．
【0228】
前述したイメージは図２１に例示した通り、０（黒色）～２５５（白色）範囲のグレースケールイメージ３５で視角化され得る。この場合、イメージ変換モジュールは２５５範囲のグレースケールイメージ視角化モジュールインターフェースに対応し得る。
【0229】
また、本実施例の悪性コード検知装置やエンドポイントエージェントは、グレースケールイメージの他に座標ＲＧＢチャネル増加部を通じてグレースケールイメージに変換される前にイメージ配列にＲＧＢチャネルを追加してカラーイメージを生成し、これに基づいて悪性コードを検知するように構成され得る。
【0230】
図２２は、図１５のエンドポイントエージェントの主な悪性コード検知過程を説明するためのフローチャートである。図２３は、図２２の悪性コード検知過程に採用できるグレーレベル同時生起行列（ｇｒａｙ－ｌｅｖｅｌ ｃｏ－ｏｃｃｕｒｒｅｎｃｅ ｍａｔｒｉｘ、ＧＬＣＭ）変換イメージモジュールを説明するための変換ソースコードの例示図である。図２４は、図２３のＧＬＣＭ変換イメージモジュールを利用したコードイメージ化の適用前と後のイメージに対する例示図である。
【0231】
図２２および図２３を参照すると、エンドポイントエージェント（簡略に、エージェント）は、ＧＬＣＭ変換イメージモジュールインターフェースを通じて、入力されるファイル（Ｓ２２１０）のファイル経路からファイル名を抽出する（Ｓ２２１２）。すなわち、エージェントは第１関数（ｏｓ．ｐａｔｈ．ｂａｓｅｎａｍｅ）を通じて入力されるファイル経路からファイル名を抽出することができる。
【0232】
次に、エージェントはファイル内容を所定サイズのベクトルまたはバイトのバイトアレイ（ｂｙｔｅａｒｒａｙ）関数で読み込んで特定第１変数（ｉｍｇ＿ａｒｒａｙまたはｎｐ．ａｒｒａｙ）に保存する（Ｓ２２１４）。
【0233】
次に、ファイル内容が保存された第１変数（ｎｐ．ａｒｒａｙまたはｉｍｇ＿ａｒｒａｙ）が空いていれば（ｉｆ ｎｏｔ ｌｉｓｔ）、該当変数にファイル内容がないので、エージェントは第３関数（ｆ．ｗｒｉｔｅ）を通じてテキストにファイル名（ｆｉｌｅｎａｍｅ）を保存後、第４関数（ｏｓ．ｒｅｍｏｖｅ）を通じて該当変数の値または該当ファイル経路（ｆｉｌｅｐａｔｈ）を削除する（Ｓ２２２２、Ｓ２２２４）。
【0234】
一方、ファイル内容が保存された第１変数（ｎｐ．ａｒｒａｙまたはｉｍｇ＿ａｒｒａｙ）が空いていなければ、エージェントは該当変数を多次元行列資料構造クラスであるｎｄａｒｒａｙに変換した後、符号がない整数（例えば、２バイト整数）でそのタイプを変換し、第２変数（ｉｍｇ＿ｂｙｔｅ）に保存する（Ｓ２２３２）。
【0235】
次に、エージェントは第５関数（ｇｒｅｃｏｍａｔｒｉｘ）を通じて第２変数（ｉｍｇ＿ｂｙｔｅ）をｉｍａｇｅパラメータに入れ、値増加距離をｄｉｓｔａｎｃｅｓパラメータに指定し、ａｎｇｌｅｓパラメータを活用して増加する値の配列角度を指定する（Ｓ２２３４）。
【0236】
次に、エージェントは第６関数（ｎｐ．ｓｑｕｅｅｚｅ）を通じて以前に第５関数を通じて生成されたｍａｔｒｉｘ行列で（１、）次元であるものを削除する（Ｓ２２３６）。そして、エージェントは特定次元が削除されたｍａｔｒｉｘ行列のイメージ保存経路を第３変数（ｆｉｌｅｐｎｇ）に保存する。
【0237】
次に、エージェントは第７関数（ｉｍａｇｅ．ｆｏｒｍａｔ）を通じてｍａｔｒｉｘ行列をリトルエンディアン形式に変換して第４変数（ｉｍｇ）に保存する（Ｓ２２３８）。
【0238】
次に、エージェントは第８関数（ｉｍｇ．ｃｏｎｖｅｒｔ）を活用して第４変数に保存されたファイル内容を単一チャネルであるグレースケールに変換した後、第９関数（ｓａｖｅ）を活用して第４変数に保存されたファイル経路に保存する（Ｓ２２４０）。
【0239】
前述した悪性コード検知過程に使用できる変換ソースコードを例示すると図２３の通りであり、各行の意味を整理すれば次の通りである。
【0240】
－ｆｉｌｅｎａｍｅ＝ｏｓ．ｐａｔｈ．ｂａｓｅｎａｍｅ（ｐａｔｈ）：ファイル経路からファイル名抽出
【0241】
－ｗｉｔｈ ｏｐｅｎ（ｐａｔｈ、‘ｒｂ’ａｓ ｆ：ｉｍｇ＿ａｒｒａｙ＝ｎｐ．ａｒｒａｙ（ｂｙｔｅａｒｒａｙ（ｆ．ｒｅａｄ（）））：ファイル内容をｂｙｔｅａｒｒａｙで読み込んでｉｍｇ＿ａｒｒａｙ変数内に保存
【0242】
－ｉｆ ｎｏｔ ｌｉｓｔ（ｉｍｇ＿ａｒｒａｙ）：ｉｍｇ＿ａｒｒａｙが空いていればファイルの内容がないのでテキストにファイル名を保存後削除
【0243】
－ｉｍｇ＿ｂｙｔｅ＝ｎｐ．ａｒｒａｙ（［ｉｍｇ＿ａｒｒａｙ］）．ａｓｔｙｐｅ（ｄｔｙｐｅ＝‘ｕｎｉｔ８‘）：ｉｍｇ＿ａｒｒａｙをｎｄａｒｒａｙに変換した後、符号がない整数でタイプを変換してｉｍｇ＿ｂｙｔｅに保存
【0244】
－ｍａｔｒｉｘ＝ｇｒｅｙｃｏｍａｔｒｉｘ（ｉｍａｇｅ＝ｉｍｇ＿ｂｙｔｅ、ｄｉｓｔａｎｃｅｓ＝［１］、ａｎｇｌｅｓ＝［０］）：ｉｍａｇｅパラメータにｉｍｇ＿ｂｙｔｅを入れ、値増加距離をｄｉｓｔａｎｃｅｓパラメータに指定し、ａｎｌｇｅｓパラメータを活用して増加する値の配列角度を指定
【0245】
－ｍａｔｒｉｘ＝ｎｐ．ｓｑｕｅｅｚｅ（ｍａｔｒｉｘ）：ｍａｔｒｉｘ行列に（１、）次元であるものを削除
【0246】
－ｆｉｌｅｐｎｇ＝ｓａｖｅ＿ｐａｔｈ＋‘／’＋ｆｉｌｅｎａｍｅ＋‘ｐｎｇ’：イメージ保存経路をｆｉｌｅｐｎｇに保存
【0247】
－ｉｍｇ＝Ｉｍａｇｅ．ｆｒｏｍａｒｒａｙ（ｍａｔｒｉｘ．ａｓｔｙｐｅ（‘＜ｉ４’））：ｍａｔｒｉｘの行列をリトルエンディアン形式に変換してｉｍｇ変数に保存
【0248】
－ｉｍｇ．ｃｏｎｖｅｒｔ（“Ｌ”）．ｓａｖｅ（ｆｉｌｅｐｎｇ）：ｉｍｇ．ｃｏｎｖｅｒｔ関数を活用して単一チャネルであるグレースケールに変換した後、．ｓａｖｅ関数を活用してｆｉｌｅｐｎｇ経路に保存
【0249】
本実施例によると、悪性コードの他のセクションまたはバイナリ断片を独特のイメージテクスチャで具現することができる。図２４の（ａ）はＧｌｃｍ変換モジュールまたはＧｌｃｍ変換ソースコードに変換する前のイメージ３５ａであり、図２４の（ｂ）は変換後の結果イメージ３５ｂである。
【0250】
前述したＧｌｃｍ変換イメージモジュールインターフェースに使用できる関数を整理して示すと、下記の表１２～表１７の通りである。
【0251】
【表12】
【0252】
【表13】
【0253】
【表14】
【0254】
【表15】
【0255】
【表16】
【0256】
【表17】
【0257】
図２５は、本発明のさらに他の実施例に係るイメージ基盤悪性コード検知装置の主な構成を説明するブロック図である。本実施例のイメージ基盤悪性コード検知装置１０００（簡略に悪性コード検知装置）はサーバー側ＥＤＲシステムの少なくとも一部の構成部として設置されるか、エンドポイントエージェントの少なくとも一部の構成部として設置され得る。
【0258】
図２５を参照すると、悪性コード検知装置１０００は、少なくとも一つのプロセッサ１１００、メモリ１２００およびネットワークと連結されて通信を遂行する送受信装置１３００を含むことができる。また、悪性コード検知装置１０００は入力インターフェース装置１４００、出力インターフェース装置１５００、保存装置１６００をさらに含むことができる。悪性コード検知装置１０００に含まれたそれぞれの構成要素はバス（ｂｕｓ）１７００により連結されて通信を遂行できる。
【0259】
ただし、悪性コード検知装置１０００に含まれたそれぞれの構成要素は共通バス１７００ではなく、プロセッサ１１００を中心に個別インターフェースまたは個別バスを通じて連結されてもよい。例えば、プロセッサ１１００はメモリ１２００、送受信装置１３００、入力インターフェース装置１４００、出力インターフェース装置１５００および保存装置１６００のうち少なくとも一つと専用インターフェースを通じて連結されてもよい。
【0260】
プロセッサ１１００はメモリ１２００および保存装置１６００のうち少なくとも一つに保存されたプログラム命令（ｐｒｏｇｒａｍ ｃｏｍｍａｎｄ）を実行することができる。プロセッサ１１００は中央処理装置（ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ、ＣＰＵ）、グラフィック処理装置（ｇｒａｐｈｉｃｓ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ、ＧＰＵ）、または本発明の実施例に係る方法が遂行される専用のプロセッサを意味し得る。
【0261】
メモリ１２００および保存装置１６００それぞれは揮発性保存媒体および不揮発性保存媒体のうち少なくとも一つで構成され得る。例えば、メモリ１２００は読み取り専用メモリ（ｒｅａｄ ｏｎｌｙ ｍｅｍｏｒｙ、ＲＯＭ）およびランダムアクセスメモリ（ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ、ＲＡＭ）のうち少なくとも一つで構成され得る。
【0262】
メモリ１２００または保存装置１６００に保存されるかプロセッサ１１００に搭載されて実行される少なくとも一つの命令は、プロセッサが；ＥＤＲシステムやエンドポイントまたはこれに対応するコンピューティング装置に関連したプロセッサ、メモリまたは保存装置で検知されたファイル生成イベントログから得られる生成ファイルのファイル経路に位置する実行ファイルや実行ファイルの少なくとも一部のコードを符号のない一定ビットの整数からなるバイトで読み込んでバイト配列に変換する段階；バイト配列で２バイトずつを読み込む段階；２バイトのデータを予め設定されたサイズのイメージの座標（ｘ、ｙ）として活用して該当座標値を増加させ、ＲＧＢチャネルを追加してイメージ配列を保存する段階；およびイメージ配列に対してイメージディープラーニングモデルを利用したディープラーニング分析を遂行する段階を遂行するように構成され得る。
【0263】
また、前述した本発明の実施例に係る方法の動作は、コンピュータで読み取り可能な記録媒体にコンピュータで読み取り可能なプログラムまたはコードで具現することが可能である。コンピュータで読み取り可能な記録媒体はコンピュータシステムによって読み取り可能なデータが保存されるすべての種類の記録装置を含む。また、コンピュータで読み取り可能な記録媒体はネットワークに連結されたコンピュータシステムに分散されて分散方式でコンピュータで読み取り可能なプログラムまたはコードが保存され実行され得る。
【0264】
また、コンピュータで読み取り可能な記録媒体はロム（ｒｏｍ）、ラム（ｒａｍ）、フラッシュメモリ（ｆｌａｓｈ ｍｅｍｏｒｙ）等のようにプログラム命令を保存し遂行するように特別に構成されたハードウェア装置を含むことができる。プログラム命令はコンパイラ（ｃｏｍｐｉｌｅｒ）により作られるような機械語コードだけでなく、インタープリタ（ｉｎｔｅｒｐｒｅｔｅｒ）等を使ってコンピュータによって実行され得る高級言語コードを含むことができる。
【0265】
本発明の一部の側面は装置の文脈で説明されたが、それは相応する方法による説明も示すことができ、ここでブロックまたは装置は方法段階または方法段階の特徴に相応する。同様に、方法の文脈で説明された側面も相応するブロックまたはアイテムまたは相応する装置の特徴で示すことができる。方法段階のいくつかの又は全部は例えば、マイクロプロセッサ、プログラム可能なコンピュータまたは電子回路のようなハードウェア装置によって（または利用して）遂行され得る。いくつかの実施例で、最も重要な方法段階の一つ以上はこのような装置によって遂行され得る。
【0266】
実施例で、プログラム可能なロジック装置（例えば、フィールドプログラマブルゲートアレイ）がここで説明された方法の機能の一部又は全部を遂行するために使われ得る。実施例で、フィールドプログラマブルゲートアレイはここで説明された方法のうち一つを遂行するためのマイクロプロセッサとともに作動することができる。一般的に、方法は何らかのハードウェア装置によって遂行されることが好ましい。
【0267】
以上、本発明の好ましい実施例を参照して説明したが、該当技術分野の熟練した当業者は下記の特許請求の範囲に記載された本発明の思想および領域から逸脱しない範囲内で本発明を多様に修正および変更できることが理解できるであろう。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9a】
【図9b】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
【図22】
【図23】
【図24】
【図25】
【国際調査報告】