| 1 |
1
BYOD(Bring Your Own Device) 및 스마트워크 환경에서, 상황정보 수집 시스템으로부터 소정의 상황정보가 수신되면, 접속 초기에 이루어지는 사용자의 이용행위 패턴을 과거의 이용행위 패턴과 비교하여 비정상 이용행위를 탐지하는 비정상 행위 탐지 시스템의 비정상 탐지부(230)에 있어서,탐지요청 메시지를 분류하여 그 분류된 정보를 비정상 행위 분석모듈(234)의 각 분석부로 전달하는 탐지요청 분류모듈(232)과,초기 이용행위 패턴분석 절차를 통해, '서비스 페이지 이용순서의 유사도 비교'와 '이용속도 비교'를 수행하여 사용자의 이용행위가 비정상인지 여부를 분석하는 비정상 행위 분석모듈(234)과,상기 비정상 행위 분석모듈(234)의 분석결과가 저장되면, 그에 따른 정상 혹은 비정상의 결과값을 생성하여 통제 시스템(240)측으로 전달하는 비정상 행위 탐지모듈(236)을 포함하여 구성되며, 상기 비정상 행위 분석모듈(234)은, 현재 이용한 초기 페이지 순서의 발생확률(X)을 구한 후, 발생확률(N)별 정상범위 구간을 설정하고, 상기 발생확률(X)이 정상범위 내에 있는지를 확인하여 현재 사용자의 이용행위가 비정상인지 여부를 판정하는 초기 이용행위 분석부(234b)를 포함하여 구성되는 것을 특징으로 하는 비정상 행위 탐지 시스템의 비정상 탐지부
|
| 2 |
2
제1항에 있어서, 상기 초기 이용행위 분석부(234b)는 현재 접속 세션의 서비스 페이지 이용량(N)을 체크하고, 체크된 이용량(N)이 기준 값보다 작으면 비정상 행위 분석을 위한 초기 행위가 충분치 않은 것으로 판단하여 분석을 종료하는 페이지 이용량 확인부(234b-10)와,상기 서비스 페이지 이용량(N)이 기준 값보다 큰 경우, 현재의 초기 서비스 페이지 이용순서를 구하는 이용순서 검출부(234b-20)와,상기 현재의 초기 서비스에 관한 이용 속도를 계산하는 이용속도 계산부(234b-30)와,동일한 접속 패턴을 갖는 과거의 초기 서비스 페이지 이용순서를 조회하고, 과거의 평균 이용 속도를 계산하는 접속패턴 분석부(234b-40)와,사용자의 초기 이용행위 패턴이 정상범위 내에 있는지 판정하고, 정상범위인 경우 이용행위 속도비교를 통해 사용자의 이용행위가 비정상인지 여부를 판별하는 이용패턴 분석부(234b-50)를 포함하여 구성되는 것을 특징으로 하는 비정상 행위 탐지 시스템의 비정상 탐지부
|
| 3 |
3
제2항에 있어서, 상기 이용패턴 분석부(234b-50)는,저장부(270)의 프로파일 정보들을 참조하여, 과거의 초기 페이지 이용순서에 관한 평균 발생확률(N)을 구하는 과거 평균 발생확률 산출부(234b-51)와,평균 발생확률 값(N)이 커질수록 최대/최소값의 폭은 작아지도록 평균 발생확률(X)의 정상범위를 정하는 정상범위 선정부(234b-52)와,상기 현재의 '서비스 페이지 이용순서'와 과거의 모든 '서비스 페이지 이용순서' 간의 유사도를 각각 계산하는 유사도 산출부(234b-53)와,상기 계산된 유사도 결과값들의 평균을 산출하는 것으로, 현재의 초기 페이지 이용순서에 관한 평균 발생확률(X)을 구하는 현재 평균 발생확률 산출부 (234b-54)와,발생확률(X)이 상기 정상범위 선정부(234b-52)가 정한 정상범위 이내인 경우, 정상의 결과값을 출력하고, 정상범위보다 크거나 작은 경우 비정상의 결과값을 출력하는 정상범위 판정부(234b-55)와,상기 발생확률(X)이 정상범위 이내인 경우, 현재의 초기 이용속도를 과거의 초기 이용속도와 비교하는 이용속도 비교부(234b-56)와, 상기 현재의 초기 이용속도가 과거의 초기 이용속도의 정상범위에 속하는 경우, 현재 사용자의 이용행위를 정상 행위로 판정하는 정상여부 판정부(234b-57)를 포함하여 구성되는 것을 특징으로 하는 비정상 행위 탐지 시스템의 비정상 탐지부
|
| 4 |
4
제3항에 있어서, 상기 과거 평균 발생확률 산출부(234b-51)는하기 수학식에 따라 첫번째 프로파일(프로파일 1)부터 100번째 프로파일(프로파일100)까지의 초기 페이지 이용순서에 관한 발생확률을 각각 구하고,상기 구해진 프로파일 발생확률들을 모두 더하고 그 더한 값을 프로파일들의 총 개수(100개)로 나누어, 과거의 초기 페이지 이용순서에 관한 평균 발생확률(N)을 구하는 것을 특징으로 하는 비정상 행위 탐지 시스템의 비정상 탐지부
|
| 5 |
5
제4항에 있어서, 상기 과거 평균 발생확률 산출부(234b-51)는하기 수학식에 따라, 첫번째 프로파일(프로파일 1)부터 100번째 프로파일(프로파일100)까지의 초기 페이지 이용순서에 관한 발생확률을 각각 구하는 것을 특징으로 하는 비정상 행위 탐지 시스템의 비정상 탐지부
|
| 6 |
6
제3항에 있어서, 상기 정상범위 선정부(234b-52)는평균 발생확률(N)이 90이상 100미만일 때 최대와 최소가 N±3의 범위를 갖도록 정상범위를 정하고,80이상 90미만이면, N±5의 정상범위를 갖도록 정하고, 70이상 80미만이면, N±10의 정상범위를 갖도록 정하고,60이상 70미만이면, N±20의 정상범위를 갖도록 정하고,50이상 60미만이면, N±30의 정상범위를 갖도록 정하고,40이상 50미만이면, N±40의 정상범위를 갖도록 정하고,30이상 40미만이면, N±50의 정상범위를 갖도록 정하는 것을 특징으로 하는 비정상 행위 탐지 시스템의 비정상 탐지부
|
| 7 |
7
BYOD(Bring Your Own Device) 및 스마트워크 환경 하의 비정상 행위 탐지 시스템에서, 상황정보 수집 시스템으로부터 소정의 상황정보가 수신되면, 접속 초기에 이루어지는 사용자의 이용행위 패턴을 과거의 이용행위 패턴과 비교하여 비정상 이용행위를 탐지하는 비정상 탐지부(230)의 비정상 행위 탐지방법에 있어서,탐지요청 분류모듈(232)이 탐지요청 메시지를 분류하여 그 분류된 정보를 비정상 행위 분석모듈(234)의 각 분석부로 전달하는 과정과,초기 이용행위 패턴분석 절차를 통해, 비정상 행위 분석모듈(234)이 '서비스 페이지 이용순서의 유사도 비교'와 '이용속도 비교'를 수행하여 사용자의 이용행위가 비정상인지 여부를 분석하는 과정과,상기 비정상 행위 분석모듈의 분석결과가 저장되면, 비정상 행위 탐지모듈(236)이 그에 따른 정상 혹은 비정상의 결과값을 생성하고, 통제 시스템(240)측으로 전달하는 과정을 포함하여 이루어지며, 상기 비정상 행위 분석모듈(234)은 초기 이용행위 분석부(234b)를 구동하여, 현재의 초기 페이지 순서에 관한 발생 확률(X)을 구한 후, 평균 발생확률(N) 별 정상범위 구간을 설정하고, 상기 발생확률(X)이 정상범위 내에 있는지를 확인하여 현재 사용자의 이용행위가 비정상인지 여부를 판정하는 초기 이용행위 패턴분석 절차를 수행하는 것을 특징으로 하는 비정상 탐지부의 비정상 행위 탐지방법
|
| 8 |
8
제7항에 있어서, 상기 초기 이용행위 패턴분석 절차는 페이지 이용량 확인부(234b-10)가 현재 접속 세션의 서비스 페이지 이용량(N)을 체크하고, 체크된 이용량(N)이 기준 값보다 작으면 비정상 행위 분석을 위한 초기 행위가 충분치 않은 것으로 판단하여 분석을 종료하는 과정과,상기 서비스 페이지 이용량(N)이 기준 값보다 큰 경우, 이용순서 검출부(234b-20)가 현재의 초기 서비스 페이지 이용순서를 구하는 과정과,이용속도 계산부(234b-30)가 상기 현재의 초기 서비스에 관한 이용 속도를 계산하는 과정과,접속패턴 분석부(234b-40)가 동일한 접속 패턴을 갖는 과거의 초기 서비스 페이지 이용순서를 조회하고, 과거의 평균 이용 속도를 계산하는 과정과,이용패턴 분석부(234b-50)가, 사용자의 초기 이용행위 패턴이 정상범위 내에 있는지 판정하고, 정상범위인 경우 이용행위 속도비교를 통해 사용자의 이용행위가 비정상인지 여부를 판별하는 과정을 포함하여 이루어지는 것을 특징으로 하는 비정상 탐지부의 비정상 행위 탐지방법
|
| 9 |
9
제8항에 있어서, 상기 사용자 이용행위의 비정상 여부 판별과정은,과거 평균 발생확률 산출부(234b-51)가 저장부(270)의 프로파일 정보들을 참조하여, 과거의 초기 페이지 이용순서에 관한 평균 발생확률(N)을 구하는 과정과,상기 평균 발생확률 값(N)이 커질수록 최대/최소값의 폭은 작아지도록, 정상범위 선정부(234b-52)가 평균 발생확률(X)의 정상범위를 정하는 과정과,유사도 산출부(234b-53)가 상기 현재의 '서비스 페이지 이용순서'와 과거의 모든 '서비스 페이지 이용순서' 간의 유사도를 각각 계산하는 과정과,현재 평균 발생확률 산출부 (234b-54)가 상기 계산된 유사도 결과값들의 평균을 산출하는 것으로, 현재의 초기 페이지 이용순서에 관한 평균 발생확률(X)을 구하는 과정과,발생확률(X)이 상기 정상범위 선정부(234b-52)가 정한 정상범위 이내인 경우, 정상범위 판정부(234b-55)가 정상의 결과값을 출력하고, 정상범위보다 크거나 작은 경우 비정상의 결과값을 출력하는 과정과,상기 발생확률(X)이 정상범위 이내인 경우, 이용속도 비교부(234b-56)가 현재의 초기 이용속도를 과거의 초기 이용속도와 비교하는 과정과, 상기 현재의 초기 이용속도가 과거의 초기 이용속도의 정상범위에 속하는 경우, 정상여부 판정부(234b-57)가 현재 사용자의 이용행위를 정상 행위로 판정하는 과정을 포함하여 이루어지는 것을 특징으로 하는 비정상 탐지부의 비정상 행위 탐지방법
|
| 10 |
10
제9항에 있어서, 상기 평균 발생확률(N)을 구하는 과정은,첫번째 프로파일(프로파일 1)부터 100번째 프로파일(프로파일100)까지의 초기 페이지 이용순서에 관한 발생확률을 각각 구하는 과정과,상기 구해진 프로파일 발생확률들을 모두 더하고 그 더한 값을 프로파일들의 총 개수(100개)로 나누어, 과거의 초기 페이지 이용순서에 관한 평균 발생확률(N)을 구하는 과정으로 이루어지는 것을 특징으로 하는 비정상 탐지부의 비정상 행위 탐지방법
|
| 11 |
11
제10에 있어서, 상기 프로파일1부터 프로파일100까지의 발생확률은하기 수학식에 따라, 각각 구해지는 것을 특징으로 하는 비정상 탐지부의 비정상 행위 탐지방법
|
| 12 |
12
제9항에 있어서, 상기 평균 발생확률(X)의 정상범위를 정하는 과정은평균 발생확률(N)이 90이상 100미만일 때 최대와 최소가 N±3의 범위를 갖도록 정상범위를 정하는 과정과,80이상 90미만이면, N±5의 범위를 갖도록 정상범위를 정하는 과정과,70이상 80미만이면, N±10의 범위를 갖도록 정상범위를 정하는 과정과,60이상 70미만이면, N±20의 범위를 갖도록 정상범위를 정하는 과정과,50이상 60미만이면, N±30의 범위를 갖도록 정상범위를 정하는 과정과,40이상 50미만이면, N±40의 범위를 갖도록 정상범위를 정하는 과정과,30이상 40미만이면, N±50의 범위를 갖도록 정상범위를 정하는 과정으로 이루어지는 것을 특징으로 하는 비정상 탐지부의 비정상 행위 탐지방법
|
