초록

본 발명은 보안이벤트 자동 검증 방법 및 장치에 관한 것이다. 본 발명의 일 실시예에 따른 보안이벤트 자동 검증 방법은 보안이벤트 및 보안이벤트와 관련된 정보를 입력받는 단계, 보안이벤트의 특성을 추출하는 단계, 보안이벤트를 분류하는 단계 및 보안이벤트를 검증하는 단계 포함한다.

대표청구항 ▼

탐지규칙 기반 보안장비에 의해 공격으로 탐지된 보안이벤트 및 상기 보안이벤트와 관련된 정보를 입력받는 단계;상기 입력된 보안이벤트의 특성을 추출하는 단계;상기 보안이벤트가 시그니처 기반의 보안이벤트인 경우, 상기 보안이벤트의 공격 유형에 따라 분류하는 단계; 및상기 분류된 보안이벤트가 악성 URL 유형인 경우, 상기 악성 URL 유형에 대한 자동 검증 알고리즘에 따라 상기 추출된 보안이벤트의 특성과 상기 입력된 보안이벤트와 관련된 정보를 비교하여 상기 탐지된 보안이벤트가 정탐인지 여부를 검증하는 단계;를 포함하는 보안이벤트 자동 검

탐지규칙 기반 보안장비에 의해 공격으로 탐지된 보안이벤트 및 상기 보안이벤트와 관련된 정보를 입력받는 단계;상기 입력된 보안이벤트의 특성을 추출하는 단계;상기 보안이벤트가 시그니처 기반의 보안이벤트인 경우, 상기 보안이벤트의 공격 유형에 따라 분류하는 단계; 및상기 분류된 보안이벤트가 악성 URL 유형인 경우, 상기 악성 URL 유형에 대한 자동 검증 알고리즘에 따라 상기 추출된 보안이벤트의 특성과 상기 입력된 보안이벤트와 관련된 정보를 비교하여 상기 탐지된 보안이벤트가 정탐인지 여부를 검증하는 단계;를 포함하는 보안이벤트 자동 검증 방법으로서,상기 보안이벤트의 특성은 상기 보안이벤트의 검증을 위해 필수적인 정적 요소 및 상기 보안이벤트의 검증을 위해 부수적인 동적 요소를 포함하고,상기 정적 요소는 출발지 IP (source IP) 정보, 목적지 IP (destination IP) 정보, 출발지 포트 (source port) 정보, 목적지 포트 (destination port) 정보, 호스트 (host) 정보, 페이로드 (payload) 정보, HTTP 레퍼러 (hypertext transfer protocol referer) 정보 및 보안이벤트의 개수 정보 중 적어도 하나를 포함하고, 상기 동적 요소는 호스트 및 GET URL 정보, 웹사이트 소스 코드 (Website source code) 정보 및 목적지 포트 (Destination port) 정보 중 적어도 하나를 포함하고,상기 입력된 보안이벤트와 관련된 정보는 상기 보안이벤트의 검증을 위해 필수적인 필수 요소 및 상기 보안이벤트의 검증을 위해 부수적인 보조 요소를 포함하고,상기 필수 요소는 공격의 대상이 되는 기관의 IP 주소의 목록을 나타내는 기관 IP 리스트 (Institute IP list) 정보를 포함하고, 상기 보조 요소는 공격에 사용되는 악성 IP 주소인 블랙 IP 주소의 목록을 나타내는 블랙 IP 리스트 (Black IP list) 정보, 정상적인 통신에 사용되는 IP 주소인 화이트 IP 주소의 목록을 나타내는 화이트 IP 리스트 (White IP list) 정보, 공격에 사용되는 호스트의 도메인 네임인 블랙 FQDN (Fully Qualified Domain Name)의 목록을 나타내는 블랙 FQDN 리스트 (Black FQDN list) 정보, 정상적인 통신에 사용되는 호스트의 도메인 네임인 화이트 FQDN의 목록을 나타내는 화이트 FQDN 리스트 (White FQDN list) 정보 및 특정 문자열 리스트 정보 중 적어도 하나를 포함하고,상기 특정 문자열 리스트 정보는 올바로 탐지된 보안이벤트임을 나타내는 특정 문자열 정보를 포함하고,상기 자동 검증 알고리즘은 상기 보안이벤트의 출발지 IP 정보가 상기 기관 IP 리스트 정보에 포함되어 있는지 여부를 확인하는 단계, 상기 보안이벤트의 호스트 정보가 상기 블랙 FQDN 리스트 정보에 포함되어 있는지 여부를 확인하는 단계 및 상기 보안이벤트의 호스트 정보가 상기 화이트 FQDN 리스트 정보에 포함되어 있는지 여부를 확인하는 단계를 포함하는 보안이벤트 자동 검증 방법.