모바일 침해사고 분석시스템 및 방법 document_id 1020150006949

[청구항 2] 제 1 항에 있어서,상기 앱 분석모듈이, 상기 모바일 침해사고 수집서버에 의해 수집되는 앱들을 대상으로 기존의 악성행위가 탐지되었는지 모바일 백신 점검을 수행하고, 수행결과에 따라 악성행위 탐지백신 정보 및 탐지명 정보를 수집하여 제공하고, 정상으로 탐지된 앱에 대하여행위분석수행하는것을특징으로 하는모바일 침해사고 분석시스템. [청구항 3] 제 2 항에 있어서,상기 행위 분석은, 모바일 단말을 이용한 앱분석 및 에뮬레이터를 이용한앱분석인것을특징으로 하는모바일 침해사고 분석시스템. [청구항 4] 제 1 항에 있어서,상기url 분석모듈이,모바일 침해사고 수집서버로부터 수집대상이 되는 url list를 수신하고, 수집된 url이 존재하는 경우 해당 url을 분석하는 url 호출모듈과,os의 헤더정보 중 유저 에이전트 정보를 이용하여 url에 접근하는 단말정보를 확인한 후 상호 상이한 페이지를 호출하는 크롤러 및 헤더 설정 호출모듈과, 상기 크롤러 및 헤더 설정 호출모듈에 의해 호출된 url 웹소스를 크롤링하는 url 웹소스 크롤링모듈과, 크롤링한 웹페이지 소스의 url 링크 정보를 탐지하여 해당 url에 대한 재점검을 진행시키는 url 링크 추출모듈과, 단일 문자열의 최대 길이, 특수문자의 빈도 및 엔트로피, 전체 함수명과 변수명의 엔트 로피를 점검하고, 각 점검된 항목에 대한 스코어를 계산하여 해당 페이지가 임계치를 초과한 경우 난독화 되었다고 탐지하며, 난독화 판단된 url에 대해 생성파일(drive-by download) 페이지로 설정 및 동적 점검 진행하는 난독화 점검 및 스코어링 모듈과, 생성파일(drive-by download) 공격의 특징인 hidden url을 탐지하는 히든 url 탐지 및 추출모듈과, 웹페이지 소스분석을 통해 해당 url 방문으로 인해 다운로드될 수 있는 apk 파일이 있는지 분석하여 해당 url을 추출하고, 추출된 url 정보를 분석하여 해당 url의 마지막 확장자가 apk인 경우, 해당 url을 추출하며 해당 url을 url index table에 관리 및 원본 웹페이지 url과의 연관관계를 관리하는 apk url탐지모듈이루어진것을특징으로 하는모바일 침해사고 분석시스템. [청구항 5] 제 4 항에 있어서,상기 히든url 탐지 및 추출모듈이, url link가 표시되는 부분의 크기가 0이거나 가로 x 세로 003c#= 10 이하인 경우 및 연결되는 창이 표시되지 않는경우탐지하는것을특징으로 하는모바일 침해사고 분석시스템. [청구항 6] 제 1 항에 있어서,상기url 분석모듈이,수집된 url 및 정적 점검완료 url, 생성파일(생성파일(drive-by download)) url 중 동적 분석이 진행되지 않은 url을 호출하고, 중복 수집된 url 중 재분석 제한시기 이후 수집된 중복 url를 호출한 후 호출된 url에 대한 동적 분석을 진행하는 url점검대상 호출모듈과,동적 방문 대상 url에 대한 단축 url 여부를 점검하여 확인된 원 본 url 및 원본 url 기준 단축 url 정보를 관리하는 url관리모듈과,url 동적 분석을 위한 에뮬레이터 및 단말의 유휴상태를 점검하는 유휴점검모듈과,동적 분석 대상기기로 점검대상 url를 전송하고, 모바일 단말의 경우 wi-fi 기능을 활성화시키며 , 관리 시스템과의 네트워크 연결을 확인한 후 점검대상 url을 수신하는 시스템 설정 모듈과,에뮬레이터 또는 단말의 기본 브라우저를 호출하고, 점검대상 url을 입력하고, url 입력 후 모든 모니터링 기능을 활성화하며 url 접속을 진행하고, url 접속 후, 에뮬레이터 및 단말에 외부조작이 없도록 설정하여 방문을 진행하는 url 방문모듈과,url 방문 점검 후, 모든 모니터링 결과에 대한 값을 관리시스템으로 전송하는 모니터링 결과분석모듈과,모니터링 결과 추출이 완료된 경우, 방문 이전 상태로 초기화가 이루어지도록 진행하는 초기화 모듈과,수집된 apk 파일에 대해 기존 수집된 apk 파일과 동일한지 중복 수집 점검을 진행하고, 중복 수집된 apk인 경우, 기존 apk 수집 이력에 방문 점검 url,수집 시간을 추가시켜 관리되도록 하며, 신규 수집된 apk인 경우, index table을 이용하여 apk index를 생성시켜 관리하며, 수집정보를 생성시키는 apk파일관리모듈이루어진것을특징으로 하는모바일 침해사고 분석시스템. [청구항 7] 제 1 항에 있어서,상기 앱 분석모듈이, app 수집 결과 및 url/app 분석 결과 생성된 app을 호출하는 방문점검대상 app호출모듈과,app 동적 분석을 위한 에뮬레이터 및 단말의 유휴 상태를 점검하고, 상기 에뮬레이터를 이용한 분석을 선 진행하고, 유휴 에뮬레이터가 없는 경우, 단말을 이용한 분석을 진행하는 유휴점검모듈과,관리자가 설정한 app 행위 악성 룰을 호출하여 app 행위 모니터링 결과를 분석하는 악성 룰 정보 호출/관리모듈과, 동적 분석 대상기기로 점검대상 app를 전송하기 위한 시스템 설정모듈과,관리 시스템으로부터 수신한 app을 확인하며, 각 모니터링 프로세스를 실행하여 app이 설치 및 동작할 때 생성되는 모든 행위에 대한 정보를 로그로 기록하는 모니터링 모듈과,app 분석 시간 종료 후 각 모니터링 프로세스가 생성한 로그를 관리 시스템으로 전송하는 결과분석모듈과,바이러스 토탈, 안드로 토탈과 같은 모바일 백신을 통한 점검대상 app의 악성 행위를 점검하고, 각 백신에서 탐지한 결과를 이용하여 점검대상 app에 대한 외부 평판 정보 확보 및 악성 점수를 산정하는 악성지수 산정모듈과, 각 모니터링, 모바일 백신 중 하나를 통해 산정된 악성 점수 기 반 악성 여부를 산정하고, 산정된 점수를 db에 기록하여 관리하며, 이를 통한 악성 탐지 결과를 제공하는 app악성탐지및관리모듈이루어진것을특징으로 하는모바일 침해사고 분석시스템. [청구항 20] 제 19 항에 있어서,상기 모바일 침해사고 분석서버는,상기 방문 가능한 에뮬레이터가 아닌 경우 방문 가능한 단말인지의 여부를 판단하고,만일, 방문 가능한 단말인 경우 해당 단말기를 초기화하여 모니터링 모듈을 호출하고, 동적 방문 점검 url를 수신하고, 시스템 모니터링을 시작한 후 웹 브라우저 호출 및 수신 url입력수행하는것을특징으로 하는모바일 침해사고 분석 시스템. [청구항 22] 제 21 항에 있어서,상기 추출된 apk 파일이 기존 apk인 경우 기존 apk의 다운로드 정보를 추가하고, apk아이디별다운로드주소추가하는것을특징으로 하는모바일 침해사고 분석 시스템. [청구항 24] 제 23 항에 있어서,상기 모바일 침해사고 분석서버는, 판단 과정에서, 방문 가능 에뮬레이터가 아닐 경우 방문 가능한 단말인지의 여부를 판단하여, 방문가능한 단말인 경우 단말기를 초기화한 후 모니터링 모듈을 호출하고 동적 방문 점검 url를 수신한 시스템 모니터링을 시작하여 apk를 설치하고동작되도록하는것을특징으로 하는모바일 침해사고 분석 시스템.