문맥 (context)
컴퓨터 바이러스는 파일 감염을 목적으로 하는 바이러스로부터 네트워크를 통한 급속 확산을 시도하는 웜, 그리고 데이터 유출을 위한 트로이 목마에 이르기까지 다양한 모습으로 발전하였다. 바이러스, 및 악성코드가 네트워크에 가하는 위협은 해가 갈수록 증가하고 있으며, 바이러스, 및 악성코드의 감염, 및 해킹기법은 날로 발전하고 있다. 따라서, 네트워크 보안에 대한 바이러스, 및 악성코드의 위협으로부터 컴퓨터 시스템을 보호하기 위해 다양한 대응 방안들이 활발하게 연구되고 있다.
현재까지 알려진 안티 바이러스 소프트웨어의 대부분은 파일 기반의 진단법을 사용한다.
파일 기반의 진단법은, 특정한 형식의 시그니처를 사용하여 바이러스나 악성코드를 진단하는 방식으로 시그니처 기반 또는 스트링 검사 방식이라 불린다.
시그니처 기반의 진단법은 악성코드로 분류된 파일의 특정 부분 또는 고유한 부분만을 검사 대상으로 삼기 때문에, 오탐지 및 미탐지를 최소화할 수 있다. 또한, 안티 바이러스 소프트웨어가 파일을 검사할 때, 검사 대상 파일들의 특정 부분들만을 시그너처와 비교함으로써 빠른 스캐닝이 가능하다. 그러나, 시그너처 기반의 진단법은 기존에 알려진 악성코드에 대해서만 대응을 할 수 있으므로, 새로운 형태의 알려지지 않은 악성코드에 대해서는 대응할 수 없다는 단점을 갖는다.
시그니처 기반의 진단법이 갖는 한계를 극복하고자 개발된 탐지 기법 중 하나는 휴리스틱(Heuristics) 탐지 기법이다.
휴리스틱 탐지 기법은 악성코드나 바이러스의 행동 패턴을 이용하여 파일을 진단한다.
예컨대, 어떤 파일이 특정 폴더에 데이터를 기록하거나 특정한 레지스트리를 변경할 때, 또는 악성코드나 바이러스가 자주 사용하는 명령어(instruction)를 이용할 때, 휴리스틱 탐지 기법은 상기 파일을 악성코드나 바이러스로 진단한다.
따라서, 휴리스틱 탐지 기법은, 특정 폴더에 데이터를 기록하거나, 특정한 레지스트리를 변경하거나, 또는 특정한 명령어를 사용하는 행위를 시그너처로 지정하고 시그너처를 검사 대상 파일의 명령어들과 비교한다.
휴리스틱 탐지 기법은 가상 운영체제에서 파일을 실행하는 방식과 파일을 실행하지 않고 파일 자체를 스캐닝하여 비교하는 방식으로 구분된다.
이외에도, 휴리스틱 탐지 기법은 악성코드 파일들의 공통된 코드 영역(Code Section)에 대한 OPcode(Operation Code) 명령어를 시그너처로 하여 파일의 Opcode를 비교하여 악성코드나 바이러스를 탐지할 수도 있다.
상기와 같이, 실행파일에 대한 분석은 다양한 악성코드에 대한 효율적인 탐지를 수행하면서 신속한 대응을 수행하도록 하는데 꼭 필요한 요소임을 알 수 있다. 그러나, 다양한 파일 분석 기법을 이용한 악성 코드(또는 바이러스, 이하 생략하도록 한다) 탐지 기법들은 대부분 완전한 형태의 실행파일을 필요로 하며, 통상 호스트 기반에서 수행된다.
즉, 각 호스트 내에서 실행되는 파일에 대해 분석을 수행하는 구조를 갖는다. 따라서, 대용량의 고속 네트워크 환경 상에서 전달되는 실행 파일들을 조기에 분석하고 대응하는데 한계가 있다.
지시문 (instruction)
주어진 원문을 읽고 필요한 정보를 파악하여, 원문에 근거해 질문에 답하라.
질문 (question)
시그니처 기반의 진단법이 갖는 기술적 장점은 무엇인가?
추론 과정 (compact_reasoning)
-
1과제 해석
task_interpretation시그니처 기반 진단법의 기술적 효과(장점)를 묻는 질문임을 파악한다.
-
2정보 추출
information_extraction본문에서 시그니처 기반 진단법의 특징과 이로 인해 발생하는 효과를 탐색한다.
- 시그니처 기반의 진단법은 악성코드로 분류된 파일의 특정 부분 또는 고유한 부분만을 검사 대상으로 삼기 때문에, 오탐지 및 미탐지를 최소화할 수 있다.
- 또한, 안티 바이러스 소프트웨어가 파일을 검사할 때, 검사 대상 파일들의 특정 부분들만을 시그너처와 비교함으로써 빠른 스캐닝이 가능하다.
-
3근거 선택
evidence_selection장점에 해당하는 두 가지 핵심 요소인 '오탐지/미탐지 최소화'와 '빠른 스캐닝'을 선별한다.
- 오탐지 및 미탐지를 최소화할 수 있다.
- 빠른 스캐닝이 가능하다.
-
4논리 통합
logical_integration검사 대상의 범위를 특정 부분으로 한정하는 방식이 오탐지 감소와 속도 향상으로 이어진다는 인과관계를 정리한다.
-
5결론 도출
conclusion_formulation선별된 두 가지 효과를 결합하여 답변을 구성한다.
-
6답변 생성
answer_generation질문에 대해 명확하고 간결하게 최종 답변을 작성한다.
최종 답변 (final_answer)
시그니처 기반의 진단법은 악성코드로 분류된 파일의 특정 부분 또는 고유한 부분만을 검사 대상으로 삼기 때문에 오탐지 및 미탐지를 최소화할 수 있으며, 검사 대상 파일들의 특정 부분들만을 시그너처와 비교함으로써 빠른 스캐닝이 가능하다는 장점이 있다.
핵심 해석 (core_interpretation)
시그니처 기반의 진단법은 파일의 특정 부분만을 검사 대상으로 삼아 오탐지 및 미탐지를 최소화하고 빠른 스캐닝이 가능하다는 기술적 이점을 가진다.