| 1 |
1
BYOD(Bring Your Own Device) 및 스마트워크 환경에서, 상황정보 수집 시스템으로부터 소정의 상황정보가 수신되면, 접속 주기 전체의 이용행위 패턴분석을 통해 전체 접속 주기 동안 발생한 동일한 접속 상황에서의 행위 빈도를 분석하여 비정상 이용행위를 탐지하는 비정상 행위 탐지 시스템의 비정상 탐지부(230)에 있어서,상기 전달된 탐지요청 메시지를 분류하여 비정상 행위 분석모듈(234)의 각 분석부로 전달하는 탐지요청 분류모듈(232)과,접속 주기 전체의 이용행위 패턴분석 절차를 통해, 현재 접속 중 이용행위 빈도와 과거 접속의 이용행위 평균의 '전체행위 항목의 변화량 탐지'와 '개별행위 항목의 변화량 탐지'를 수행하여 상기 웹서비스 이용의 비정상 여부를 분석하는 비정상 행위 분석모듈(234)과,상기 비정상 행위 분석모듈(234)의 분석결과가 저장되면, 그에 따른 정상 혹은 비정상의 탐지결과 정보를 생성하고, 통제 시스템(240)측으로 전달하는 비정상 행위 탐지모듈(236)을 포함하여 구성되며, 상기 비정상 행위 분석모듈(234)은 접속 주기 전체의 이용행위에 관한 패턴을 분석하는 1차 분석을 수행하고, 상기 1차 분석이 의심의 결과값을 생성하는 경우 서비스 이용속도에 기반하는 2차 분석을 수행하는 전체 이용행위 분석부(234a)를 포함하여 구성되는 것을 특징으로 하는 비정상 행위 탐지 시스템의 비정상 탐지부
|
| 2 |
2
제1항에 있어서, 상기 전체 이용행위 분석부(234a)는접속 주기 전체의 이용행위에 관한 패턴을 분석하는 1차 분석을 수행하는 전체 이용행위 1차 분석부(234a-100)와, 상기 1차 분석 결과, 상기 전체 이용행위 1차 분석부(234a-100)가 의심의 결과값을 출력하는 경우 서비스 이용속도에 기반하는 2차 분석을 수행하는 전체 이용행위 2차 분석부(234a-200)를 포함하여 구성되는 것을 특징으로 하는 비정상 행위 탐지 시스템의 비정상 탐지부
|
| 3 |
3
제2항에 있어서, 상기 전체 이용행위 1차 분석부(234a-100)는이용 가공정보를 조회하는 이용행위 조회부(234a-110)와,현재 가공정보에서 전체 접속주기 동안 발생한 이용행위의 빈도를 검출하는 제1빈도 분석부(234a-120)와, 해당 사용자의 과거 프로파일 정보를 조회하는 프로파일 조회부(234a-130)와,과거 동일한 접속 상황에서의 사용자의 행위 빈도를 검출하는 제2빈도 분석부(234a-140)와,상기 '전체행위 항목의 변화량 탐지'를 위해, 먼저 각 행위별 오차값을 계산하고, 상기 계산된 오차값에 따라 현재 사용자 이용행위의 비정상 여부를 판정하고, 상기 '개별행위 항목의 변화량 탐지'를 위해, 상기 개별 항목별 변화량으로서 현재 사용자 이용행위의 비정상 여부를 판정하는 이용행위 비교부(234a-150)를 포함하여 구성되는 것을 특징으로 하는 비정상 행위 탐지 시스템의 비정상 탐지부
|
| 4 |
4
제2항에 있어서, 상기 전체 이용행위 2차 분석부(234a-200)는현재 사용자의 서비스 이용행위 수를 검출하는 서비스 이용횟수 검출부(234a-210)와,현재 사용자의 서비스 이용시간을 검출하는 서비스 이용시간 검출부(234a-220)와, 저장부(270)에 저장된 프로파일 데이터들을 로드하여, 사용자의 과거 서비스 이용행위 수를 검출하는 과거 서비스 이용횟수 조회부(234a-230)와,상기 저장부(270)에 저장된 프로파일 데이터들을 로드하여, 사용자의 과거 서비스 이용시간을 검출하는 과거 서비스 이용시간 조회부(234a-240)와,회귀분석을 통해 현재 서비스 이용속도와 과거 서비스 이용속도를 비교하여, 현재 사용자의 이용행위 정상인지 여부를 판정하는 이용행위 분석부(234a-250)를 포함하여 구성되는 것을 특징으로 하는 비정상 행위 탐지 시스템의 비정상 탐지부
|
| 5 |
5
제4항에 있어서, 상기 이용행위 분석부(234a-250)는N개의 과거 프로파일 데이터를 수집하는 데이터 수집부(234a-251)와, 사용자의 이용속도를 분석할 수 있도록, 상기 수집된 프로파일 데이터에 관한 회귀직선을 생성하는 회귀직선 생성부(234a-253)와, 상기 회귀직선에 기초한 평균 잔차r을 구하여, 현재 서비스 이용속도와 과거 서비스 이용속도 간의 잔차(ri)의 정상범위를 설정하는 정상범위 설정부(234a-257)와, 잔차ri을 구하고 상기 정상범위에 속하는지 여부를 확인하는 이용속도 비교부(234a-255)와, 상기 잔차ri가 상기 정상범위에 속하는지 여부에 따라, 현재 사용자의 이용행위를 정상 혹은 비정상으로 판정하는 정상여부 판정부(234a-259)를 포함하여 구성되는 것을 특징으로 하는 비정상 행위 탐지 시스템의 비정상 탐지부
|
| 6 |
6
제5항에 있어서, 상기 회귀직선 생성부(234a-253)는하기 수학식을 참조하여, 상기 수집된 프로파일 데이터에 관한 회귀직선을 생성하는 것을 특징으로 하는 비정상 행위 탐지 시스템의 비정상 탐지부
|
| 7 |
7
BYOD(Bring Your Own Device) 및 스마트워크 환경에서, 상황정보 수집 시스템으로부터 소정의 상황정보가 수신되면, 접속 주기 전체의 이용행위 패턴분석을 통해 전체 접속 주기 동안 발생한 동일한 접속 상황에서의 행위 빈도를 분석하여 비정상 이용행위를 탐지하는 비정상 탐지부(230)의 비정상 행위 탐지방법에 있어서,탐지요청 분류모듈(232)이 상기 전달된 탐지요청 메시지를 분류하여 비정상 행위 분석모듈(234)의 각 분석부로 전달하는 과정과,비정상 행위 분석모듈(234)이 접속 주기 전체의 이용행위에 관한 패턴을 분석하는 전체 이용행위 1차 분석을 통해, 현재 접속 중 이용행위 빈도와 과거 접속의 이용행위 평균의 '전체행위 항목의 오차값 변화량 탐지'와 '개별행위 항목의 오차값 변화량 탐지'를 수행하여 상기 웹서비스 이용의 비정상 여부를 분석하는 과정과,상기 비정상 행위 분석모듈(234)의 분석결과가 저장되면, 비정상 행위 탐지모듈(236)이 그에 따른 정상 혹은 비정상의 탐지결과 정보를 생성하고, 통제 시스템(240)측으로 전달하는 과정을 포함하여 이루어지며, 상기 비정상 행위 분석모듈(234)은, 상기 전체 이용행위 1차 분석이 의심의 결과값을 생성했을 경우 서비스 이용속도에 기반하는 전체 이용행위 2차 분석을 수행하는 것을 특징으로 하는 비정상 탐지부의 비정상 행위 탐지방법
|
| 8 |
8
제7항에 있어서, 상기 전체 이용행위 1차 분석 과정은,이용행위 조회부(234a-110)가 이용 가공정보를 조회하는 과정과,제1빈도 분석부(234a-120)가 현재 가공정보에서 전체 접속주기 동안 발생한 이용행위의 빈도를 검출하는 과정과, 프로파일 조회부(234a-130)가 해당 사용자의 과거 프로파일 정보를 조회하는 과정과,제2빈도 분석부(234a-140)가 과거 동일한 접속 상황에서의 사용자의 행위 빈도를 검출하는 과정과,이용행위 비교부(234a-150)가 상기 '전체행위 항목의 오차값 변화량 탐지'를 위해, 사용자의 과거 전체행위 프로파일 누적 평균 오차값을 구하여 현재 전체행위 오차값과 비교하고, '개별행위 항목의 오차값 변화량 탐지'를 위해, 사용자의 과거 개별행위 프로파일 누적 평균 오차값을 구하여 현재 개별행위 오차값과 비교하여, 사용자 이용행위의 비정상 여부를 판정하는 과정을 포함하여 이루어지는 것을 특징으로 하는 비정상 탐지부의 비정상 행위 탐지방법
|
| 9 |
9
제8항에 있어서, 상기 전체 이용행위 2차 분석 과정은,서비스 이용횟수 검출부(234a-210)가 현재 사용자의 서비스 이용행위 수를 검출하는 과정과,서비스 이용시간 검출부(234a-220)가 현재 사용자의 서비스 이용시간을 검출하는 과정과, 과거 서비스 이용횟수 조회부(234a-230)가 저장부(270)에 저장된 프로파일 데이터들을 로드하여, 사용자의 과거 서비스 이용행위 수를 검출하는 과정과,과거 서비스 이용시간 조회부(234a-240)가 상기 저장부(270)에 저장된 프로파일 데이터들을 로드하여, 사용자의 과거 서비스 이용시간을 검출하는 과정과,이용행위 분석부(234a-250)가 회귀분석을 통해 현재 서비스 이용속도와 과거 서비스 이용속도를 비교하여, 현재 사용자의 이용행위 정상인지 여부를 판정하는 과정을 포함하여 이루어지는 것을 특징으로 하는 비정상 탐지부의 비정상 행위 탐지방법
|
| 10 |
10
제8항에 있어서, 상기 이용행위 분석부의 정상여부 판정과정은,데이터 수집부(234a-251)가 N개의 과거 프로파일 데이터를 수집하는 과정과,회귀직선 생성부(234a-253)가 사용자의 이용속도를 분석할 수 있도록, 상기 수집된 프로파일 데이터에 관한 회귀직선을 생성하는 과정과,정상범위 설정부(234a-257)가 상기 회귀직선에 기초한 평균 잔차r을 구하여, 현재 서비스 이용속도와 과거 서비스 이용속도 간의 잔차(ri)의 정상범위를 설정하는 과정과, 이용속도 비교부(234a-255)가 잔차ri을 구하고 상기 정상범위에 속하는지 여부를 확인하는 과정과, 정상여부 판정부(234a-259)가, 상기 잔차ri가 상기 정상범위에 속하는지 여부에 따라, 현재 사용자의 이용행위를 정상 혹은 비정상으로 판정하는 과정을 포함하여 이루어지는 것을 특징으로 하는 비정상 탐지부의 비정상 행위 탐지방법
|
| 11 |
11
제10항에 있어서, 상기 회귀직선을 생성하는 과정은,하기 수학식에 따라, 프로파일 데이터에 관한 회귀직선을 생성하는 것을 특징으로 하는 비정상 탐지부의 비정상 행위 탐지방법
|
