| 1 |
1
사용자 PC에 각기 구비되어, 상기 PC에서 실행되는 프로그램의 프로세스 및 네트워크 연결 정보를 수집하여 통신망을 통해 하기의 저장/분석 장치로 전송하는 에이전트; 상기 프로세스 및 네트워크 연결 정보로부터 기정의된 정상 행위 범위를 벗어나는 확인대상 행위의 존재 여부를 확인하여 탐지 정보를 통신망을 통해 하기의 저장/분석 장치로 전송하는 탐지 장치; 다수의 비정상 프로그램이 수행될 때 생성되는 프로세스와 네트워크 연결 정보를 입력변수로 사용하여 확인대상 행위에 대한 군집화를 수행하여 저장소에 저장하는 수단; 상기 에이전트로부터 전송된 프로세스 및 네트워크 연결 정보를 저장소에 저장하는 수단; 상기 탐지 장치로부터 전송된 탐지 정보를 수신하여 탐지 정보에 관련된 프로세스 및 네트워크 연결 정보를 저장소에서 검색하는 수단; 검색된 확인대상 행위와 관련된 프로세스 및 네트워크 연결 정보가 군집 내에 존재하는지 확인하는 수단이 포함된 저장/분석 장치를 포함하되, 상기 탐지 장치는 기설정된 시점에 상기 저장소에 저장된 프로세스 및 네트워크 연결 정보를 탐지하고, 이 중에서 기정의된 정상 행위 범위를 벗어나는 확인대상 행위가 있는지를 확인하는 것을 특징으로 하고,상기 저장/분석 장치에서의 상기 군집화를 위한 연결 정보 입력변수는, 비정상 프로그램에 의해 생성된 프로세스 수, 비정상 프로그램에 의해 생성된 프로세스 중 네트워크 연결을 가지는 프로세스 수, 비정상 프로그램에 의해 생성된 프로세스의 총 네트워크 연결 수, 비정상 프로그램에 의해 생성된 프로세스들의 총 로컬 네트워크 연결 수, 비정상 프로그램에 의해 생성된 프로세스들이 생성한 네트워크 플로우의 종류, 비정상 프로그램에 의해 생성된 프로세스들이 생성한 네트워크 연결중 타깃 포트가 사전 설정된 개수와 같은 네트워크 연결 수, 비정상 프로그램에 의해 생성된 프로세스들이 생성한 네트워크 연결중 타깃 포트가 사전 설정된 개수와 다른 네트워크 연결 수, 비정상 프로그램에 의해 생성된 프로세스 중 최대 네트워크 연결(Network Connection)을 가지는 프로세스의 최대 네트워크 연결 수, 비정상 프로그램에 의해 생성된 프로세스 중 네트워크 연결(Network Connection)을 가지는 프로세스의 비율, 및 비정상 프로그램에 의해 생성된 프로세스 들이 생성한 네트워크 연결중 로컬(Local) 네트워크 연결의 비율 중에서 선택된 적어도 하나인 것을 특징으로 하는 비정상 행위 탐지 시스템
|
| 2 |
2
다수의 비정상 프로그램이 수행될 때 생성되는 프로세스와 네트워크 연결 정보를 입력변수로 사용하여 확인대상 행위에 대한 군집화를 수행하여 저장소에 저장하는 수단;사용자 PC에 설치되어 PC에서 실행되는 프로그램의 프로세스 및 네트워크 연결 정보를 수집하는 에이전트로부터 통신망을 통해 전송된 프로세스 및 네트워크 연결 정보를 수신하여 저장소에 저장하는 수단;상기 프로세스 및 네트워크 연결 정보로부터 기정의된 정상 행위 범위를 벗어나는 확인대상 행위의 존재 여부를 확인하는 탐지 장치로부터 통신망을 통해 전송된 탐지 정보를 수신하여 탐지 정보에 관련된 프로세스 및 네트워크 연결 정보를 저장소에서 검색하는 수단; 검색된 확인대상 행위와 관련된 프로세스 및 네트워크 연결 정보가 군집 내에 존재하는지 확인하는 수단이 포함된 저장/분석 장치를 포함하되, 상기 탐지 장치는 기설정된 시점에 상기 저장소에 저장된 프로세스 및 네트워크 연결 정보를 탐지하고, 이 중에서 기정의된 정상 행위 범위를 벗어나는 확인대상 행위가 있는지를 확인하는 것을 특징으로 하고,상기 저장/분석 장치에서의 상기 군집화를 위한 연결 정보 입력변수는, 비정상 프로그램에 의해 생성된 프로세스 수, 비정상 프로그램에 의해 생성된 프로세스 중 네트워크 연결을 가지는 프로세스 수, 비정상 프로그램에 의해 생성된 프로세스의 총 네트워크 연결 수, 비정상 프로그램에 의해 생성된 프로세스들의 총 로컬 네트워크 연결 수, 비정상 프로그램에 의해 생성된 프로세스들이 생성한 네트워크 플로우의 종류, 비정상 프로그램에 의해 생성된 프로세스들이 생성한 네트워크 연결중 타깃 포트가 사전 설정된 개수와 같은 네트워크 연결 수, 비정상 프로그램에 의해 생성된 프로세스들이 생성한 네트워크 연결중 타깃 포트가 사전 설정된 개수와 다른 네트워크 연결 수, 비정상 프로그램에 의해 생성된 프로세스 중 최대 네트워크 연결(Network Connection)을 가지는 프로세스의 최대 네트워크 연결 수, 비정상 프로그램에 의해 생성된 프로세스 중 네트워크 연결(Network Connection)을 가지는 프로세스의 비율, 및 비정상 프로그램에 의해 생성된 프로세스 들이 생성한 네트워크 연결중 로컬(Local) 네트워크 연결의 비율 중에서 선택된 적어도 하나인 것을 특징으로 하는 비정상 행위 탐지 시스템
|
| 3 |
3
제1항 또는 제2항에 있어서, 상기 저장/분석 장치의 상기 확인대상 행위에 대한 군집화를 수행하여 저장소에 저장하는 수단은 네트워크나 데이터베이스로부터 이미 알고 있는 비정상 프로그램을 수집하는 수단, 수집된 비정상 프로그램을 실행하여 군집화 과정에 사용될, 비정상 프로그램의 실행중 생성된 프로세스와 네트워크 연결에 관련된 입력변수, 즉, 군집화될 변수들을 추출하는 수단, 복수의 군집화 알고리즘 중에서 하나의 군집화 알고리즘을 선택한 후 입력변수를 군집화하는 수단을 포함하는 비정상 행위 탐지 시스템
|
| 4 |
4
제1항 또는 제2항에 있어서, 상기 프로세스 및 네트워크 연결 정보는 프로세스 생성시간, 호스트 ID, 프로세스 ID, 부모 프로세스 ID(Parent Process ID), 및 네트워크 연결을 수반하는 프로세스의 Src
|
| 5 |
5
제1항 또는 제2항에 있어서, 상기 탐지 정보는 확인대상 행위의 탐지 시간 및 확인대상 행위에 대응하는 Src
|
| 6 |
6
제1항 또는 제2항에 있어서, 상기 저장/분석 장치의 검색된 확인대상 행위와 관련된 프로세스 및 네트워크 연결 정보가 군집 내에 존재하는지 확인하는 수단은, 확인대상 행위와 관련된 프로세스 및 네트워크 연결 정보를 입력변수로 하는 군집화를 수행하여 분류 결과를 생성하고, 분류 결과가 기정의된 군집화 집단 내에 존재하는지를 확인하는 것을 특징으로 하는 비정상 행위 탐지 시스템
|
| 7 |
7
1) 다수의 비정상 프로그램이 수행될 때 생성되는 프로세스와 네트워크 연결 정보를 입력변수로 사용하여 확인대상 행위에 대한 군집화를 수행하여 저장소에 저장하는 절차,2) 사용자 PC에 설치되어 PC에서 실행되는 프로그램의 프로세스 및 네트워크 연결 정보를 수집하는 에이전트로부터 통신망을 통해 전송된 프로세스 및 네트워크 연결 정보를 수신하여 저장소에 저장하는 절차,3) 상기 프로세스 및 네트워크 연결 정보로부터 기정의된 정상 행위 범위를 벗어나는 확인대상 행위의 존재 여부를 확인하는 탐지 장치로부터 통신망을 통해 전송된 탐지 정보를 수신하여 탐지 정보에 관련된 프로세스 및 네트워크 연결 정보를 저장소에서 검색하는 절차, 4) 검색된 확인대상 행위와 관련된 프로세스 및 네트워크 연결 정보가 군집 내에 존재하는지 확인하는 절차를 포함하되, 상기 절차 3)의 상기 탐지 장치는 기설정된 시점에 상기 저장소에 저장된 프로세스 및 네트워크 연결 정보를 탐지하고, 이 중에서 기정의된 정상 행위 범위를 벗어나는 확인대상 행위가 있는지를 확인하는 것을 특징으로 하고,상기 절차 1)에서의 상기 군집화를 위한 연결 정보 입력변수는, 비정상 프로그램에 의해 생성된 프로세스 수, 비정상 프로그램에 의해 생성된 프로세스 중 네트워크 연결을 가지는 프로세스 수, 비정상 프로그램에 의해 생성된 프로세스의 총 네트워크 연결 수, 비정상 프로그램에 의해 생성된 프로세스들의 총 로컬 네트워크 연결 수, 비정상 프로그램에 의해 생성된 프로세스들이 생성한 네트워크 플로우의 종류, 비정상 프로그램에 의해 생성된 프로세스들이 생성한 네트워크 연결중 타깃 포트가 사전 설정된 개수와 같은 네트워크 연결 수, 비정상 프로그램에 의해 생성된 프로세스들이 생성한 네트워크 연결중 타깃 포트가 사전 설정된 개수와 다른 네트워크 연결 수, 비정상 프로그램에 의해 생성된 프로세스 중 최대 네트워크 연결(Network Connection)을 가지는 프로세스의 최대 네트워크 연결 수, 비정상 프로그램에 의해 생성된 프로세스 중 네트워크 연결(Network Connection)을 가지는 프로세스의 비율, 및 비정상 프로그램에 의해 생성된 프로세스 들이 생성한 네트워크 연결중 로컬(Local) 네트워크 연결의 비율 중에서 선택된 적어도 하나인 것을 특징으로 하는 비정상 행위 탐지 방법
|
| 8 |
8
제7항에 있어서, 상기 절차 1)의 확인대상 행위에 대한 군집화를 수행하여 저장소에 저장하는 절차는 네트워크나 데이터베이스로부터 이미 알고 있는 비정상 프로그램을 수집하는 절차, 수집된 비정상 프로그램을 실행하여 군집화 과정에 사용될, 비정상 프로그램의 실행중 생성된 프로세스와 네트워크 연결에 관련된 입력변수, 즉, 군집화될 변수들을 추출하는 절차, 복수의 군집화 알고리즘 중에서 하나의 군집화 알고리즘을 선택한 후 입력변수를 군집화하는 절차를 포함하는 비정상 행위 탐지 방법
|
| 9 |
9
제7항에 있어서, 상기 절차 4)의 검색된 확인대상 행위와 관련된 프로세스 및 네트워크 연결 정보가 군집 내에 존재하는지 확인하는 절차는, 확인대상 행위와 관련된 프로세스 및 네트워크 연결 정보를 입력변수로 하는 군집화를 수행하여 분류 결과를 생성하고, 분류 결과가 기정의된 군집화 집단 내에 존재하는지를 확인하는 것을 특징으로 하는 비정상 행위 탐지 방법
|
