| 1 |
1
적어도 하나의 프로세서에 의해 동작하는 컴퓨팅 장치의 동작 방법으로서,트래픽 패킷들을 수집하는 단계, 상기 트래픽 패킷들로부터 특정 필드 데이터를 추출하고, 트래픽 패킷별로 추출된 특정 필드 데이터를 차원이 축소된 벡터로 변환하고, 트래픽 패킷별 벡터로 학습 데이터를 생성하는 단계, 학습 데이터를 이용하여, 입력된 트래픽 패킷으로부터 다음에 입력될 트래픽 패킷과 상기 트래픽 패킷의 비정상 여부를 예측하는 트래픽 예측 모델을 학습시키는 단계, 그리고학습된 트래픽 예측 모델을 이용하여 비정상 트래픽 패킷이 입력될 빈도를 예측하고, 예측된 빈도와 기준값을 비교하여 비정상 트래픽 알람을 출력하는 단계를 포함하는, 동작 방법
|
| 2 |
2
제1항에서상기 특정 필드 데이터는,각 트래픽 패킷에 포함된 데이터 타입의 유형, 커맨드의 유형, 플래그 정보, 포트 정보, 소스 IP, 목적지 IP 중 적어도 어느 하나를 포함하는, 동작 방법
|
| 3 |
3
제1항에서,상기 생성하는 단계는, 수집한 상기 트래픽 패킷들에서 등장하는 패턴의 종류를 파악하고, 상기 패턴의 종류를 구분할 수 있는 최소 크기의 벡터로 변환하는, 동작 방법
|
| 4 |
4
제2항에서,상기 벡터는 한 개의 성분만 참 또는 1이고, 나머지 성분은 거짓 또는 0으로 표시된 원-핫(One-hot) 벡터인, 동작 방법
|
| 5 |
5
제1항에서,일련의 새로운 트래픽 패킷들을 순차적으로 입력받아 상기 트래픽 예측 모델로 입력하는 단계, 그리고상기 새로운 트래픽 패킷들 이후에 들어올 트래픽 패킷을 예측하는 단계를 더 포함하는, 동작 방법
|
| 6 |
6
제5항에서,상기 입력하는 단계와 상기 예측하는 단계 사이에, 상기 새로운 트래픽 패킷들에서 상기 특정 필드 데이터를 추출하여 벡터로 변환하고, 상기 벡터가 상기 학습 데이터의 형태와 다른 경우 알람을 발생하는 단계를 더 포함하는, 동작 방법
|
| 7 |
7
제5항에서,예측된 트래픽 패킷이 정상 트래픽인지 판단하는 단계, 상기 예측된 트래픽 패킷이 비정상 트래픽으로 판단된 경우, 알람을 발생하는 단계를 더 포함하는, 동작 방법
|
| 8 |
8
컴퓨팅 장치로서,메모리, 그리고상기 메모리에 로드된 프로그램의 명령들(instructions)을 실행하는 적어도 하나의 프로세서를 포함하고,상기 프로그램은수집한 복수의 트래픽 패킷들로부터 특정 필드 데이터를 추출하고, 트래픽 패킷별로 추출된 특정 필드 데이터를 차원이 축소된 벡터로 변환하고, 트래픽 패킷별 벡터로 학습 데이터를 생성하는 단계, 학습 데이터를 이용하여, 입력된 트래픽 패킷으로부터 다음에 입력될 트래픽 패킷과 상기 트래픽 패킷의 비정상 여부를 예측하는 트래픽 예측 모델을 학습시키는 단계, 일련의 새로운 트래픽 패킷들을 순차적으로 입력받는 단계,상기 새로운 트래픽 패킷들에서 상기 특정 필드 데이터를 추출하여 벡터로 변환하고 상기 트래픽 예측 모델로 입력하는 단계, 그리고상기 새로운 트래픽 패킷 이후에 들어올 트래픽 패킷을 예측하는 단계를 실행하도록 기술된 명령들을 포함하는, 컴퓨팅 장치
|
| 9 |
9
제8항에서, 상기 트래픽 예측 모델은 양방향 순환 신경망(Bidirectional Recurrent Neural Networks, BRNN)으로 구현된 모델인, 컴퓨팅 장치
|
| 10 |
10
제8항에서,상기 생성하는 단계는, 상기 추출한 필드 데이터를 분류 규칙에 따라 복수개의 그룹들로 분류하는 단계, 그리고각 그룹에 속한 필드 데이터를, 필드 데이터의 종류를 구별할 수 있는 최소 차원의 벡터로 변환하는 단계를 포함하는, 컴퓨팅 장치
|
| 11 |
11
제10항에서,상기 트래픽 예측 모델은 상기 그룹의 개수만큼 생성되고, 각 트래픽 예측 모델은 각 그룹에 속한 벡터들을 입력받아 학습하는, 컴퓨팅 장치
|
| 12 |
12
제8항에서상기 학습시키는 단계는, 학습된 트래픽 예측 모델을 이용하여 비정상 트래픽 패킷이 입력될 빈도를 예측하고, 상기 빈도를 이용하여 알람을 출력하기 위한 기준값을 설정하는, 컴퓨팅 장치
|
| 13 |
13
제12항에서, 예측된 트래픽 패킷이 정상 트래픽인지 판단하는 단계,상기 예측된 트래픽 패킷이 비정상이라고 판단된 경우, 단위 시간당 비정상 트래픽 패킷이 입력된 빈도를 계산하여 상기 기준값을 초과하는 경우 알람을 출력하는 단계를 더 포함하는, 컴퓨팅 장치
|
