| 1 |
1
컴퓨터 시스템에서 이용되는 시스템 콜의 명칭 및 상기 시스템 콜이 이용되는 순서 정보를 포함하는 콜 시퀀스 로그를 수집하는 로그 수집부와, 컴퓨터 시스템의 이상 행위를 판별하도록 학습된 기계학습 알고리즘에 상기 콜 시퀀스 로그를 적용하여 상기 콜 시퀀스 로그와 관련된 컴퓨터 시스템의 이상 행위를 탐지하는 이상 행위 탐지부를 포함하고,상기 이상 행위 탐지부는 기지정된 정상적인 콜 시퀀스의 분포 영역과 상기 콜 시퀀스 로그의 벡터 위치를 추정하고,상기 이상 행위 탐지부는 상기 콜 시퀀스 로그의 벡터와 가장 가까운 상기 콜 시퀀스의 분포 영역과의 거리를 식별하고, 상기 식별된 거리가 소정 값 이내인 경우, 상기 콜 시퀀스 로그와 관련된 컴퓨터 시스템의 이상 행위가 발생되지 않은 것으로 탐지하는 컴퓨터 시스템의 이상 행위 탐지 장치
|
| 2 |
2
제1항에 있어서, 상기 수집된 콜 시퀀스 로그를 소정 크기를 갖는 벡터로 변환하는 임베딩부를 더 포함하고, 상기 이상 행위 탐지부는, 상기 수집된 콜 시퀀스 로그가 상기 벡터로 변환됨에 기초하여, 상기 기계학습 알고리즘에 상기 벡터로 변환된 콜 시퀀스 로그를 적용하여 상기 콜 시퀀스 로그와 관련된 컴퓨터 시스템의 이상 행위를 탐지하는 컴퓨터 시스템의 이상 행위 탐지 장치
|
| 3 |
3
제2항에 있어서,상기 임베딩부는, Doc2Vec, seq2seq 기반의 오토 인코더(auto-encoder) 및 seq2seq 기반의 잡음 제어(denoising) 오토 인코더 중 어느 하나를 이용하여 상기 콜 시퀀스 로그를 상기 벡터로 변환하는 컴퓨터 시스템의 이상 행위 탐지 장치
|
| 4 |
4
제2항에 있어서,상기 기계학습 알고리즘은, 상기 컴퓨터 시스템의 정상적인 콜 시퀀스와 관련된 벡터를 포함하는 데이터베이스를 이용하여 비지도 학습이 수행된 컴퓨터 시스템의 이상 행위 탐지 장치
|
| 5 |
5
제4항에 있어서,상기 비지도 학습은, one-class SVM(support vector machine), isolation forest 및 LOF(local outlier factor) 중 어느 하나에 따른 비지도 학습 방법에 따라 상기 정상적인 콜 시퀀스를 학습하는 것인 컴퓨터 시스템의 이상 행위 탐지 장치
|
| 6 |
6
제5항에 있어서, 상기 이상 행위 탐지부는, 상기 기계학습 알고리즘을 이용하여, 상기 비지도 학습에 의해 상기 기지정된 정상적인 콜 시퀀스의 분포 영역과 관련하여 상기 콜 시퀀스 로그의 벡터의 위치를 추정하는컴퓨터 시스템의 이상 행위 탐지 장치
|
| 7 |
7
제6항에 있어서, 상기 이상 행위 탐지부는, 상기 기지정된 정상적인 콜 시퀀스의 분포 영역과 상기 콜 시퀀스 로그의 벡터 간의 거리가 소정 값 이상인 경우, 상기 콜 시퀀스 로그와 관련된 컴퓨터 시스템에 이상 행위가 발생한 것으로 탐지하는 컴퓨터 시스템의 이상 행위 탐지 장치
|
| 8 |
8
컴퓨터 시스템에서 이용되는 시스템 콜의 명칭 및 상기 시스템 콜이 이용되는 순서 정보를 포함하는 콜 시퀀스 로그를 수집하는 단계와, 컴퓨터 시스템의 이상 행위를 판별하도록 학습된 기계학습 알고리즘에 상기 콜 시퀀스 로그를 적용하여 상기 콜 시퀀스 로그와 관련된 컴퓨터 시스템의 이상 행위를 탐지하는 단계를 포함하고,상기 이상 행위를 탐지하는 단계는 기지정된 정상적인 콜 시퀀스의 분포 영역과 상기 콜 시퀀스 로그의 벡터 위치를 추정하고,상기 이상 행위를 탐지하는 단계는 상기 콜 시퀀스 로그의 벡터와 가장 가까운 상기 콜 시퀀스의 분포 영역과의 거리를 식별하고, 상기 식별된 거리가 소정 값 이내인 경우, 상기 콜 시퀀스 로그와 관련된 컴퓨터 시스템의 이상 행위가 발생되지 않은 것으로 탐지하는 컴퓨터 시스템의 이상 행위 탐지 방법
|
| 9 |
9
제8항에 있어서,상기 수집된 콜 시퀀스 로그를 소정 크기를 갖는 벡터로 변환하는 단계를 더 포함하고, 상기 이상 행위를 탐지하는 단계는, 상기 수집된 콜 시퀀스 로그가 상기 벡터로 변환됨에 기초하여, 상기 기계학습 알고리즘에 상기 벡터로 변환된 콜 시퀀스 로그를 적용하여 상기 콜 시퀀스 로그와 관련된 컴퓨터 시스템의 이상 행위를 탐지하는 단계를 포함하는 컴퓨터 시스템의 이상 행위 탐지 방법
|
| 10 |
10
제9항에 있어서, 상기 벡터로 변환하는 단계는, Doc2Vec, seq2seq 기반의 오토 인코더(auto-encoder) 및 seq2seq 기반의 잡음 제어(denoising) 오토 인코더 중 어느 하나를 이용하여 상기 콜 시퀀스 로그를 상기 벡터로 변환하는 단계를 포함하는 컴퓨터 시스템의 이상 행위 탐지 방법
|
| 11 |
11
제9항에 있어서,상기 기계학습 알고리즘은, 상기 컴퓨터 시스템의 정상적인 콜 시퀀스와 관련된 벡터를 포함하는 데이터베이스를 이용하여 비지도 학습이 수행된 컴퓨터 시스템의 이상 행위 탐지 방법
|
| 12 |
12
제11항에 있어서, 상기 비지도 학습은, one-class SVM(support vector machine), isolation forest 및 LOF(local outlier factor) 중 어느 하나에 따른 비지도 학습 방법에 따라 상기 정상적인 콜 시퀀스를 학습하는 것인 컴퓨터 시스템의 이상 행위 탐지 방법
|
| 13 |
13
제12항에 있어서, 상기 이상 행위를 탐지하는 단계는, 상기 기계학습 알고리즘을 이용하여, 상기 비지도 학습에 의해 기지정된 정상적인 콜 시퀀스의 분포 영역과 관련하여 상기 콜 시퀀스 로그의 벡터의 위치를 추정하는 단계를 포함하는 컴퓨터 시스템의 이상 행위 탐지 방법
|
| 14 |
14
제13항에 있어서, 상기 이상 행위를 탐지하는 단계는, 상기 기지정된 정상적인 콜 시퀀스의 분포 영역과 상기 콜 시퀀스 로그의 벡터 간의 거리가 소정 값 이상인 경우, 상기 콜 시퀀스 로그와 관련된 컴퓨터 시스템에 이상 행위가 발생한 것으로 탐지하는 컴퓨터 시스템의 이상 행위 탐지 방법
|
| 15 |
15
컴퓨터 시스템에서 이용되는 시스템 콜의 명칭 및 상기 시스템 콜이 이용되는 순서 정보를 포함하는 콜 시퀀스 로그를 수집하는 단계와, 컴퓨터 시스템의 이상 행위를 판별하도록 학습된 기계학습 알고리즘에 상기 콜 시퀀스 로그를 적용하여 상기 콜 시퀀스 로그와 관련된 컴퓨터 시스템의 이상 행위를 탐지하는 단계를 수행하도록 프로그램되고,상기 이상 행위를 탐지하는 단계는 기지정된 정상적인 콜 시퀀스의 분포 영역과 상기 콜 시퀀스 로그의 벡터 위치를 추정하고,상기 이상 행위를 탐지하는 단계는 상기 콜 시퀀스 로그의 벡터와 가장 가까운 상기 콜 시퀀스의 분포 영역과의 거리를 식별하고, 상기 식별된 거리가 소정 값 이내인 경우, 상기 콜 시퀀스 로그와 관련된 컴퓨터 시스템의 이상 행위가 발생되지 않은 것으로 탐지하는 컴퓨터 프로그램을 저장하는 컴퓨터 판독 가능한 기록매체
|
