문맥 (context)
[청구항 1]
컴퓨터 단말에 설치되는 좀비pc 차단 시스템으로서, 상기 컴퓨터 단말의 운영체제는 프로세스에 네트워크 서비스를 제공하고,
상기 시스템은,
상기 운영체제에 요청되는 트랜스포트 프로토콜 서비스 요청(이하 세션요청)을 후킹하는 세션 후킹통제부
상기 운영체제에 요청되는 네트워크 인터페이스 서비스 요청(이하 인터페이스 요청)을 후킹하는 인터페이스 후킹통제부
허용 프로세스 리스트, 거부 프로세스 리스트, 의심 프로세스 리스트를 저장하는 통제리스트db; 및
상기 인터페이스 요청의 패킷 정보를 상기 세션요청의 패킷 정보와 비교하여 동일하면 후킹한 인터페이스 요청을 한 요청 프로세스를 추적하여 상기 통제리스트 db를 기반으로 악성프로세스 여부를 판단하고, 악성프로세스인 경우 상기 서비스 요청을 차단하고 상기 요청 프로세스를 중지시키는 악성프로세스 판단부를 포함하고,
상기 악성프로세스 판단부는 상기 요청 프로세스가 허용 프로세스 리스트에 포함되면 정상프로세스로 판단하고 거부 프로세스 리스트에 포함되면 악성프로세스로 판단하고,
상기 악성프로세스 판단부는 상기 인터페이스 요청의 패킷 정보를 상기 세션요청의 패킷 정보와 비교하여 동일하지 않으면, 실행중인 프로세스들을 조사하여 네트워크 드라이버를 실행하는 프로세스를 요청 프로세스로 추적하는 것을 특징으로 하는 좀비pc 차단 시스템
[청구항 3]
제1항에 있어서,상기 시스템은 상기 운영체제에 요청되는 시스템콜 서비스 요청(이하 시스템콜 요청)을 후킹하는 시스템콜 후킹통제부를 더 포함하고,상기 악성프로세스 판단부는 상기 시스템콜 요청이 네트워크 드라이버를 오픈하는 요청(이하 네트워크 오픈 요청)이면, 상기 시스템콜의 요청 프로세스에 대하여악성프로세스여부판단하는것을특징으로 하는좀비pc 차단 시스템.
[청구항 5]
제1항에 있어서,상기 악성프로세스 판단부는 상기 프로세스가 허용 프로세스 리스트와 거부 프로세스 리스트 모두에 속하지 않으면의심프로세스리스트추가하는것을특징으로 하는좀비pc 차단 시스템.
[청구항 6]
제5항에 있어서,상기 악성프로세스 판단부는 상기 요청 프로세스가 의심 프로세스이면, 사용자에게 상기 요청 프로세스에 대한 허용 여부를 요구하고, 사용자의 허용여부에 따라허용거부하는것을특징으로 하는좀비pc 차단 시스템.
[청구항 7]
제1항에 있어서,상기 악성프로세스 판단부는 상기 요청 프로세스가 허용되면 패킷 시그너처를 이용하여악성프로세스여부를추가적판단하는것을특징으로 하는좀비pc 차단 시스템.
[청구항 8]
제1항에 있어서,상기 시스템은 상기 통제리스트db에 저장된 프로세스 리스트를 방역서버에 전송하거나 프로세스 리스트를 수신하여 통제리스트db를 갱신하는 악성프로세스 방역부를 더 포함하고,상기 방역서버로 전송된 의심 프로세스는허용프로세스리스트또는거부프로세스리스트수신되는것을특징으로 하는좀비pc 차단 시스템.
[청구항 9]
제8항에 있어서,상기 악성프로세스 방역부는 상기 방역서버로부터 수신한 거부 프로세스 리스트에 추가 갱신할 프로세스가 있으면 상기 추가 갱신할프로세스중지시키는것을특징으로 하는좀비pc 차단 시스템.
[청구항 10]
제1항 또는 제3항 중 어느 한 항에 있어서,상기 세션 요청은 tdi(transport driver interface) 프로토콜 요청이고,상기 인터페이스 요청은 ndis(network driver interface specification) i im(intermediate) 드라이버 프로토콜 요청이고,상기 네트워크 드라이버는 dll형식설치된것을특징으로 하는좀비pc 차단 시스템.
지시문 (instruction)
주어진 본문을 읽고 관련 정보를 분석하여 질문에 답하라.
질문 (question)
좀비PC 차단 시스템에서 악성프로세스 판단부가 인터페이스 요청의 패킷 정보와 세션요청의 패킷 정보를 비교했을 때, 두 정보가 동일하지 않은 경우 요청 프로세스를 추적하기 위해 수행하는 동작은 무엇인가?
추론 과정 (compact_reasoning)
-
1과제 해석
task_interpretation인터페이스 요청 패킷 정보와 세션요청 패킷 정보가 일치하지 않을 때, 악성프로세스 판단부가 수행하는 프로세스 추적 동작을 찾는다.
-
2정보 추출
information_extraction청구항 1에서 패킷 정보가 동일하지 않은 경우에 대한 동작 기술을 추출한다.
- 상기 인터페이스 요청의 패킷 정보를 상기 세션요청의 패킷 정보와 비교하여 동일하지 않으면, 실행중인 프로세스들을 조사하여 네트워크 드라이버를 실행하는 프로세스를 요청 프로세스로 추적하는 것
-
3근거 선택
evidence_selection질문에서 요구하는 '동일하지 않은 경우'의 조건과 대응하는 구절을 선택한다.
- 실행중인 프로세스들을 조사하여 네트워크 드라이버를 실행하는 프로세스를 요청 프로세스로 추적하는 것
-
4논리 통합
logical_integration패킷 정보 불일치 시, 시스템은 실행 중인 프로세스들을 조사하여 네트워크 드라이버를 실행하는 프로세스를 찾아내어 이를 요청 프로세스로 특정한다.
- 상기 인터페이스 요청의 패킷 정보를 상기 세션요청의 패킷 정보와 비교하여 동일하지 않으면, 실행중인 프로세스들을 조사하여 네트워크 드라이버를 실행하는 프로세스를 요청 프로세스로 추적하는 것
-
5결론 도출
conclusion_formulation추적 동작은 실행 중인 프로세스들을 조사하여 네트워크 드라이버를 실행하는 프로세스를 요청 프로세스로 추적하는 것이다.
- 실행중인 프로세스들을 조사하여 네트워크 드라이버를 실행하는 프로세스를 요청 프로세스로 추적하는 것
-
6답변 생성
answer_generation추출된 문구를 바탕으로 최종 답변을 작성한다.
- 실행중인 프로세스들을 조사하여 네트워크 드라이버를 실행하는 프로세스를 요청 프로세스로 추적하는 것
최종 답변 (final_answer)
실행중인 프로세스들을 조사하여 네트워크 드라이버를 실행하는 프로세스를 요청 프로세스로 추적하는 것
핵심 해석 (core_interpretation)
인터페이스 요청과 세션 요청의 패킷 정보가 불일치할 경우, 실행 중인 프로세스 중 네트워크 드라이버를 실행하는 프로세스를 추적하여 악성 여부를 판단하는 기술적 절차를 포함한다.