KR101619414B1 - 개인화된 초기 이용행위 패턴분석을 이용한 비정상 행위 탐지시스템 - Google Patents

개인화된 초기 이용행위 패턴분석을 이용한 비정상 행위 탐지시스템 Download PDF

Info

Publication number
KR101619414B1
KR101619414B1 KR1020150000990A KR20150000990A KR101619414B1 KR 101619414 B1 KR101619414 B1 KR 101619414B1 KR 1020150000990 A KR1020150000990 A KR 1020150000990A KR 20150000990 A KR20150000990 A KR 20150000990A KR 101619414 B1 KR101619414 B1 KR 101619414B1
Authority
KR
South Korea
Prior art keywords
behavior
abnormal
initial
information
past
Prior art date
Application number
KR1020150000990A
Other languages
English (en)
Inventor
임채태
강동완
김태은
조창민
Original Assignee
한국인터넷진흥원
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 한국인터넷진흥원 filed Critical 한국인터넷진흥원
Priority to KR1020150000990A priority Critical patent/KR101619414B1/ko
Priority to US14/598,557 priority patent/US20160197948A1/en
Application granted granted Critical
Publication of KR101619414B1 publication Critical patent/KR101619414B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/316—User authentication by observing the pattern of computer usage, e.g. typical user behaviour
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/2866—Architectures; Arrangements
    • H04L67/30—Profiles
    • H04L67/306—User profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/535—Tracking the activity of the user

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Social Psychology (AREA)
  • Debugging And Monitoring (AREA)

Abstract

본 발명에 따른 비정상 행위 탐지시스템은 BYOD(Bring Your Own Device) 및 스마트워크 환경에서의 사용자의 비정상 이용행위를 탐지하는 비정상 행위 탐지시스템에 관한 것으로, 상황정보 수집 시스템으로부터 각종 상황정보를 수신하는 상황정보 수신부와, '웹서비스 이용'에 관한 상황정보가 수신된 경우, 그에 따른 탐지요청 메시지를 생성하여 비정상 탐지부로 전달하는 상황정보 처리부와, 상기 탐지요청 메시지가 수신되면, 초기 이용행위 패턴분석을 통해 사용자의 접속 직후 이루어지는 이용 페이지 순서 및 이용 속도를 과거 접속 시의 패턴과 비교하여 비정상 이용행위를 탐지하는 비정상 탐지부와, 사용자의 각종 이용행위에 따른 상황정보들을 프로파일링하여 저장 및 관리하는 프로파일 관리부와, 상기 수신된 상황정보들을 통해, 웹사이트나 DB이용정보를 분석하는 정보분석부를 포함하여 구성된다.
본 발명은, 네트워크 트래픽 분석을 통한 기존의 네트워크 기반의 보안 장비와 달리, 대상 객체의 시간, 위치, 접속 네트워크, 사용 기기 등 다양한 행위 요소를 기반으로 행위를 패턴화하여 비정상 행위를 탐지하는 방안을 구현하였다. 본 발명에 따른 비정상 행위 탐지시스템은 BYOD 및 스마트워크 환경에서의 시스템 보안성을 향상시키기 위한 것으로, 상황 정보를 접속, 이용 및 에이젼트 상황 정보와 프로파일 정보로 가공한 후, 개인화된 초기 이용행위 패턴분석을 이용하여 단말기기의 비정상적인 접속 및 이용 등의 행위를 탐지한다.

Description

개인화된 초기 이용행위 패턴분석을 이용한 비정상 행위 탐지시스템{SYSTEM FOR DETECTING ABNOMAL BEHAVIORS USING PERSONALIZED EARLY USE BEHAVIOR PATTERN ANALSIS}
본 발명은 BYOD 및 스마트워크 환경에서 내부 자원을 보호하는 시스템에 관한 것으로, 특히, BYOD 및 스마트워크 환경의 비정상 행위 탐지시스템에 관한 것이다.
인터넷 인프라의 보급과 이동통신의 발전은 우리 사회에 하나의 변혁이라고도 볼 수 있는 커다란 변화를 가져왔다. 특히 스마트 폰과 같은 모바일 기기는 단순한 통신 수단의 의미를 넘어 우리생활에 깊숙이 자리잡게 되었다. 이러한 추세는 우리의 직장업무로 확산되어 BYOD(Bring Your Own Device)라는 개념의 새로운 업무환경을 등장시켰다. BYOD는 개인 기기를 업무에 활용하는 개념으로, 스마트폰, 랩탑, 태블릿 등 개인 소유의 이동기기로 회사 내 데이터베이스와 애플리케이션 등의 회사내부의 IT 리소스에 접근하여 업무를 처리하는 기술, 개념, 정책 전반을 일컫는다. BYOD는 기업의 입장에서 보다 효율적인 업무 처리를 통해 업무의 신속성, 효율성, 생산성을 기대할 수 있고, 더불어 개인 기기를 활용하기 때문에 별도의 업무 기기 지급을 위한 경제적인 부담도 없다. 때문에 많은 기업들이 BYOD를 성공적으로 도입하기 위해 고민하고 있으며, 한편 사용자들은 기업에서 준비가 되기도 전에 이미 개인 기기를 업무에 활용하는 것으로 나타났다.
새로운 IT 환경인 BYOD 및 스마트워크 환경은 무선 인터넷 환경 구축과 태블릿 PC, 스마트폰등 스마트 기기의 대중화, 데스크탑 가상화와 클라우드 서비스의 활용 증가, 실시간 커뮤니케이션과 업무 연속성의 중시 등으로 그 환경 형성을 가속화시켰다.
그리고, BYOD 시대가 도래하면서 기업 내부인프라가 폐쇄적 환경에서 개방적 환경으로 전환되고 있다. 언제 어디서나 개인 기기의 기업 인프라 접근이 허용되고 있는 것이다.
기업 내부에서 무선 공유기(AP), 스위치 등을 통해서 개인 기기의 기업 인프라 접근이 가능하며, 이동통신망, 공개 와이파이(Wi-Fi), VPN 등을 통해 기업외부로부터 개인 기기를 통하여 기업 인프라에 접근할 수도 있다.
이와 같이, 개방적 환경으로의 변화는 업무 연속성과 편의성를 획득한 반면, 이전에는 생각지 못했던 보안 위협 또한 다수 발생할 수 있다. 무엇보다도, 개인 기기들이 기업 내부 인프라에 접근함에 따라 기업 내부 데이터가 유출될 수 있는 위험이 크다. 즉, 개인 기기의 분실이나 도난 등에 의해 기업 내부 데이터의 유출 발생 가능성이 있고, 악성코드에 감염된 개인용 기기의 내부 인트라넷 접속으로 인한 기업 IT 자산이 위협 받을 수도 있다.
본 발명은 상술한 문제점을 해결하기 위하여 안출된 것으로서, 디바이스(Device) 비정상 접속을 탐지하고 실시간 비정상 이용행위를 탐지하기 위해, BYOD 및 스마트워크 환경의 상황정보를 가공하고 사용자별 프로파일을 구성하고 이를 기반으로 비정상 행위를 탐지하는 비정상 탐지 시스템을 제공하는데 그 목적이 있다.
본 발명의 다른 목적은 초기 이용행위 패턴분석을 통해 사용자의 접속 직후 이루어지는 이용 페이지 순서 및 이용 속도를 과거 접속 시의 패턴과 비교하여 비정상 이용행위를 탐지하는 비정상 행위 탐지 시스템을 제공하는데 있다.
본 발명의 부가적인 특성 및 이점들은 아래의 설명에 기재될 것이며, 부분적으로는 상기 설명에 의해 명백해지거나 본 발명의 실행을 통해 숙지될 것이다. 본 발명의 목표 및 다른 이점들은 특히 아래 기재된 설명 및 부가된 도면뿐만 아니라 청구항에서 지적한 구조에 의해 구현될 것이다.
본 발명은, 네트워크 트래픽 분석을 통한 기존의 네트워크 기반의 보안 장비와 달리, 대상 객체의 시간, 위치, 접속 네트워크, 사용 기기 등 다양한 행위 요소를 기반으로 행위를 패턴화하여 비정상 행위를 탐지하는 방안을 구현하였다.
본 발명에 따른 비정상 행위 탐지시스템은 BYOD 및 스마트워크 환경에서의 시스템 보안성을 향상시키기 위한 것으로, 상황 정보를 접속, 이용 및 에이젼트 상황 정보와 프로파일 정보로 가공한 후, 개인화된 초기 이용행위 패턴분석을 이용하여 단말기기의 비정상적인 접속 및 이용 등의 행위를 탐지한다.
본 발명은, 비정상 접근/이용 행위 탐지를 위해, 업무 시나리오 상에서 발생 가능한 비정형적인 데이터 즉, 사용 기기의 유형, 접속 시간(예: 일과시간, 일과 외 시간 등), 접속 위치(사내, 사외 등), 이용 시간 등을 사용자 행위 패턴으로 활용함으로써, BYOD 및 스마트워크 환경에서 시스템 보안성을 향상시켰다.
도1은 BYOD 및 스마트워크 환경을 나타낸 예시도.
도2는 본 발명에 따른 비정상 행위 탐지시스템의 블록 구성도.
도3은 본 발명에 따른 비정상 탐지부의 블록 구성도.
도4는 본 발명에 따른 상황정보 처리부의 동작 흐름도.
도5a는 본 발명에 따른 비정상 탐지부의 동작 흐름도.
도5b는 본 발명에 따른 초기 이용행위 패턴분석 절차를 나타낸 흐름도.
도5c는 본 발명에 따른 문자열 유사도(LCS) 비교를 나타낸 흐름도.
도6a는 초기 이용행위의 패턴 분석 및 탐지를 위한 현재 발생 상황정보의 가공테이블에 관한 도면.
도6b는 초기 이용행위의 패턴 분석 및 탐지를 위한 과거 행위정보의 가공테이블에 관한 도면.
도7은 본 발명에 따른 초기 이용행위 패턴분석 및 탐지의 동작 예시도.
상기한 바와 같은 본 발명의 목적을 달성하기 위하여, 본 발명에 따른 비정상 행위 탐지시스템은 BYOD(Bring Your Own Device) 및 스마트워크 환경에서의 사용자의 비정상 이용행위를 탐지하는 비정상 행위 탐지시스템에 관한 것으로,
상황정보 수집 시스템으로부터 각종 상황정보를 수신하는 상황정보 수신부와, '웹서비스 이용'에 관한 상황정보가 수신된 경우, 그에 따른 탐지요청 메시지를 생성하여 비정상 탐지부로 전달하는 상황정보 처리부와, 상기 탐지요청 메시지가 수신되면, 초기 이용행위 패턴분석을 통해 사용자의 접속 직후 이루어지는 이용 페이지 순서 및 이용 속도를 과거 접속 시의 패턴과 비교하여 비정상 이용행위를 탐지하는 비정상 탐지부와, 사용자의 각종 이용행위에 따른 상황정보들을 프로파일링하여 저장 및 관리하는 프로파일 관리부와, 상기 수신된 상황정보들을 통해, 웹사이트나 DB이용정보를 분석하는 정보 분석부를 포함하여 구성된다.
상기한 바와 같은 본 발명의 목적을 달성하기 위하여, 본 발명에 따른 비정상 행위 탐지방법은 BYOD(Bring Your Own Device) 및 스마트워크 환경에서의 사용자의 비정상 이용행위를 탐지하는 비정상 행위 탐지방법에 관한 것으로,
상황정보 수집 시스템으로부터 '웹서비스 이용'에 관한 상황정보가 수신된 경우 그에 따른 탐지요청 메시지를 생성하여 비정상 탐지부로 전달하는 과정과, 비정상 탐지부가 상기 탐지요청 메시지 수신 후, 초기 이용행위 패턴분석을 통해 사용자의 접속 직후 이루어지는 이용 페이지 순서 및 이용 속도를 과거 접속 시의 패턴과 비교하여 비정상 이용행위를 탐지하는 과정과, 상기 연속 이용행위 패턴분석의 결과에 따라 정상 혹은 비정상의 탐지결과 정보를 생성하고, 통제 시스템측으로 전달하는 과정을 포함하여 이루어진다.
이하, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자가 본 발명을 용이하게 실시할 수 있도록 하기 위하여, 본 발명의 바람직한 실시예들에 관하여 첨부된 도면을 참조하여 상세히 설명하기로 한다. 도면에서 유사한 참조부호는 여러 측면에 걸쳐서 동일하거나 유사한 기능을 지칭한다.
BYOD 및 스마트워크 서비스는 기업 내부 서비스에 접속/이용하는 사용자의 상황정보를 분석하여 실시간으로 사용자 행위의 비정상 여부를 판단하고, 필요시 해당 사용자의 접속/이용을 제어할 수 있다. 본 발명에 따른 비정상 행위 탐지 시스템은 사전에 축적된 정상 프로파일 또는 사전에 설정된 보안 정책, 현재 발생 중인 행위를 기반으로 사용자 행위의 비정상 여부를 판단한다.
상기 상황정보는 수집시스템에서 수집되어 상기 비정상 행위 탐지 시스템으로 전송되는 사용자의 접속, 이용, 종료와 관련된 정보를 의미한다. 상기 프로파일은 사용자를 식별하고 사용자의 행위를 정량화한 정보 집합으로서, 사용자에 대한 정보를 과거부터 축적하고 패턴화한 정보이다. 프로파일 생성, 수정, 삭제, 저장 등의 프로파일 관리를 위한 일련의 행위를 프로파일링이라 한다.
도1은 BYOD 및 스마트워크 환경을 나타낸 예시도이다.
도1에 도시된 바와 같이, 상기 BYOD 및 스마트워크 환경은 상황정보 수집 시스템(100), 비정상 행위 탐지시스템(200), 통제 시스템(300), 개인 사용기기(400) 및 보안 시스템(500, 예: MDM 서버, NAC서버 등) 등을 포함하여 구현된다.
상기 상황정보 수집 시스템(100)은 개인 사용기기(400) 및 MDM 에이젼트 기기로부터 인증시, 접속시 및 접속 종료시와 관련한 상황 정보들을 수집한다.
이때, 수집되는 상황정보는 접속주소(예: id, 소속, 권한, 현재상태 등), 접속 패턴(인증결과, 인증실패횟수 등), 네트워크 행위정보(예: 접속시간, 위치 등) 및 접속 종료시간 정보를 포함한다. 이러한 상황정보는 주기적 전송데이터와 비주기적(실시간) 전송데이터로서 존재하지만, 상황정보 수집 시스템(100)은 이들 데이터를 모두 비주기적 전송데이터로 간주하여 수집한다.
다음으로, 상기 비정상 행위 탐지시스템(200)은 크게 상황정보 수신부, 상황정보 처리부, 비정상 행위 탐지부로 구성되며, 도1에 도시된 바와 같이 상기 상황정보 수집시스템(100)으로부터 상황정보를 수신받아 비정상 행위 탐지를 수행하고, 탐지된 결과를 통제 시스템(300, 동적 접근통제 미들웨어) 측에 전송한다.
상기 비정상 행위 탐지시스템(200)은 상기 상황정보 수집시스템(100) 으로부터 수신한 상황정보를 서비스 접속 세션 별로 분류하고 상황정보를 필요에 따라 처리 및·가공하고 접속ID, 기기ID 생성, 과거 행위 패턴 정보 등 추가 정보를 생성한다. 또한, 축적된 데이터를 사용자ID 별로 패턴화하여 프로파일을 생성 및 업데이트한다. 서비스 접속·사용자의 가공정보는 보안 정책 및 해당 사용자의 정상 프로파일을 기반으로 비정상 여부를 판단한다. 시스템의 탐지결과는 실시간으로 상기 통제 시스템(300)으로 전송된다.
상기 통제 시스템(300)은 비정상 행위 탐지시스템(200)에서 탐지된 비정상 행위 정보들을 제공받아 관제 GUI를 통해 통제하거나 보안 정책을 수립하고 관리하며, 외부 보안 기기와 연동한다. 이러한 통제 시스템(300)은 상기 비정상 행위 탐지 시스템(300) 및 외부 보안 기기(예: 지니안, 와플)와 연결되어 있다.
상기 개인 사용기기(400)는 스마트폰, 랩탑 및 태블릿 등 개인 소유의 이동 기기로 회사 내 데이터베이스와 애플리케이션 등과 같은 회사 내부의 IT 리소스에 접근 가능하며, 사용자는 개인 사용기기(400)를 통해 업무를 처리한다.
개인 사용기기(400)는 BYOD(Bring Your Own Device) 및 스마트워크 환경에서의 인증시, 접속시 및 접속 종료시와 관련한 상황 정보를 발생시킨다. 이때, 상황 정보는 앞서 설명한 바와 같다.
상기 보안 시스템(500)은 디엠제트(DMZ)나 스크린 서브넷(screened subnet)에 위치하며 사내 네트워크와 개인 사용기기(400) 간의 인증 연결, 다이렉트 푸시 업데이트(Direct Push Update) 등 통신을 위한 게이트웨이(Gateway) 기능을 수행한다. 보안 시스템(500)에는 다수의 에이젼트가 접속하여 앞서 설명한 상황 정보를 발생시킨다.
도2는 본 발명에 따른 비정상 행위 탐지시스템의 블록 구성도이다.
도2에 도시된 바와 같이, 본 발명에 따른 비정상 행위 탐지시스템(200)은 상황정보 수신부(210), 상황정보 처리부(220), 비정상 탐지부(230), 프로파일 관리부(250), 정보 분석부(260), 저장부(270)를 포함하여 구성된다.
상기 상황정보 수신부(210)는 물리적으로 분리된 상기 상황정보 수집 시스템(100)으로부터 사용자의 '네트워크 접속', '서비스 이용', '접속 종료' 등과 같은 각종 상황정보를 수신하여, 상황정보 처리부(220)와 정보 분석부(260)로 각각 전달한다.
상기 상황정보 처리부(220) 측에는 수신된 모든 상황정보가 전달되지만, 상기 정보 분석부(260)측에는 웹서비스 이용 요청/응답 정보, DB SQL Batch 요청/응답 정보, DB RPC 요청/응답 정보와 같은 이용 상황정보들이 전달된다. 상기 정보 분석부(260)는 이들 이용 상황정보를 전달받아 웹 사이트 분석 및 DB 이용 정보 분석을 수행한다.
상기 상황정보 처리부(220)는 도4에 도시된 바와 같이, 상기 상황정보 수집시스템(100)으로부터 입력받은 상황정보 데이터를 종류 별로 분류하여 가공하고 사용자의 접속 세션 별로 저장한다.
상황정보 처리부(220)는 상기 상황정보 수신부(210)를 통해 수신된 '네트워크 접속', '서비스 이용', '접속 종료'의 상황정보를 수신 및 가공하여 저장부(270) 일측의 임시저장소에 저장한다. 이때, 상기 임시저장소의 형태는 DB, file, 메모리 등으로 구성할 수 있다.
상황정보 처리부(220)는 상기 상황정보를 접속ID를 기준으로 조합·및 가공하여 임시저장소에 저장하고, 탐지 모듈에서 가공된 정보를 사용한다. 상기 접속ID는 접속주소와 세션ID를 결합한 형태로 이루어진다.
상황정보 처리부(220)는 만일, 상기 '네트워크 접속'과 관련된 상황정보가 수신되면, 인증 결과 및 사용자 접속정보 존재 여부에 따라 접속정보의 추가 또는 업데이트 과정을 수행한다. 상기 '네트워크 접속'과 관련된 상황정보로는 일반 인증성공, 일반 인증실패, 강화인증, Agent 설치 인증, Agent 접속 정보 등이 있다.
상황정보 처리부(220)는 '서비스 이용'에 관한 상황정보가 수신되면, 동일한 접속ID를 기준으로 하여 서비스 이용 정보를 업데이트 한다.
그리고, 'DB이용'에 관한 상황정보가 수신하면 해당 정보를 가공정보에 업데이트 한다. 그리고, 'Agent 변동'에 관한 상황정보가 수신되면, UAID를 조회하여 해당 정보와 일치하는 사용자의 가공정보에 업데이트 한다. 그리고, '접속 종료'에 관한 상황정보가 수신되면 현재 접속ID의 종료 처리 및 접속 종료 시간을 업데이트한다.
이후, 모든 상황정보가 수신되고 나면, 탐지요청 메시지를 생성하여 비정상 탐지부(230)로 전송한다.
다음으로, 상기 비정상 탐지부(230)는 탐지요청 메시지를 분류하여 사용자의 네트워크 이용에 대한 비정상 행위를 분석하고 탐지하는 장치부로서, 도3에 도시된 바와 같이 크게, 탐지요청 분류모듈(232), 비정상 행위 분석모듈(234), 비정상 행위 탐지모듈(236)을 포함하여 구성된다. 도3은 본 발명에 따른 비정상 탐지부의 블록 구성도이다.
상기 탐지요청 분류모듈(232)은 여러 종류의 상황정보 입력 시, 탐지요청 메시지를 분류하여 분석을 실행해야 할 비정상 행위 분석모듈(234)의 각 분석부(234a 내지 234g)로 전달한다.
상기 비정상 행위 분석모듈(234)은 여러 가지 비정상 행위를 분석하기 위한 모듈로서, 정상 프로파일 기반 행위 분석부(234a, 234b, 234c), 연속행위 분석부(234d), 비정상 웹이용 분석부(234e), 정책 분석부(234f), 사용자 추적부(234g)를 포함하여 구성된다. 비정상 행위 분석모듈(234)의 각 분석부(234a 내지 234g)는 입력되는 상황정보의 종류에 따라 각기 다른 정보분석을 수행한다.
상기 정상 프로파일 기반 행위 분석부(234a, 234b, 234c)는 접속 주기 전체 이용행위, 초기 이용행위, 비정상 접속행위를 과거 정상 프로파일 정보들의 분석 값과 비교하여 정상 행위와의 차이점을 분석한다.
상기 연속행위 분석부(234d)는 현재 접속 세션에서 연속적으로 입력되는 이용 상황정보가 동일한 행위를 반복적으로 실행하는지를 분석한다.
상기 비정상 웹 이용 분석부(234e)는 사전 분석한 서비스 웹 사이트의 구조를 통해 사용자의 이전 서비스 이용 페이지에서 현재 입력된 이용 상황정보의 URI과 비교를 하여 사용자의 행위에 의해 접근할 수 없는 비정상 행위를 분석한다.
상기 정책 분석부(234f)는 현재 서비스 접속·이용 중인 사용자 가공정보, 프로파일의 비정상 여부를 판단한다. 정책 분석부(234f)는 사전에 설정한 보안정책을 판별기준으로 하여 정상과 비정상을 판단한다.
관리자에 의해 설정되는 보안정책은 일련의 조건(기준)과 조건 부합 시 적용되는 제어결과로 구성되며, 개발대상 시스템의 보안정책은 사용자의 가공정보와 프로파일 정보 구성에 사용되는 정보의 종류를 이용하여 설정한다.
상기 사용자 추적부(234g)는 DB이용 상황정보가 설정된 정책에 의해 비정상 행위가 탐지된 경우, 사전에 작성된 DB쿼리(DB-query) 발생 정보를 이용하여 비정상 행위발생 가능 사용자를 추적한다.
상기 비정상 행위 탐지모듈(236)은 비정상 행위 분석모듈(234)에서 행위 분석결과가 저장되면, 상기 행위분석 값의 비정상 여부를 판단하여 탐지정보를 생성하고, 통제 시스템(240) 측으로 전달한다. 만약, 사용자 접속종료 상황정보가 입력될 때 비정상 행위가 탐지되지 않으면 상기 프로파일 관리부(250)로 프로파일 생성 메시지를 보낸다. 그리고, 프로파일 관리부(250)는 정상/접속종료를 내용으로 하는 프로파일을 생성한다.
상기 프로파일 관리부(250)는 도6b에 도시된 바와 같이, 사용자의 각종 이용행위에 따른 상황정보들을 프로파일링하여 프로파일 정보를 생성하고 저장 및 관리한다.
상기 정보 분석부(260)는 상기 상황정보 수신부(210)에 사용자의 '네트워크 접속', '서비스 이용', '접속 종료' 등과 같은 각종 상황정보들이 수신되면, 수신된 상황정보들을 통해, 웹사이트를 분석하고 DB이용정보를 분석한다.
다음으로, 상기 저장부(270)는 접속, 이용, 및 에이젼트 상황정보로 가공된 정보와 프로파일 정보를 저장한다. 상기 상황정보 수집시스템(100)에 의해 수집된 상황정보는 접속, 이용, 및 에이젼트 상황정보로 가공되고, 접속 종료시의 상황정보는 프로파일 정보로 가공된 후 상기 저장부(270)에 저장된다.
이때, 상기 저장되는 프로파일 정보는 사용자 프로파일, 단말기기 프로파일 및 접속행위 프로파일을 포함한다. 상기 사용자 프로파일은 사용자 권한정보, 총 인증 실패횟수, 최근 접속 일시, 최초 접속 일시, 총 이용시간 및 총 접 속횟수를 포함하고, 상기 단말기기 프로파일은 기기 ID, 종류, OS, 브라우져, 기기명, MAC, 에이젼트 설치 유무, 화면 잠금 여부, 설치 프로그램 정보, 자동 로그인 설정 및 최근 접속 일시를 포함한다. 그리고, 상기 접속행위 프로파일은 접속행위 패턴 정보를 포함한다.
도4는 본 발명에 따른 상황정보 처리부의 동작 흐름도이다.
도4에 도시된 바와 같이, 본 발명에 따른 상황정보 처리부(220)는 상황정보 코드 별로 분류하고 가공 과정을 거쳐 임시 저장소에 상기 가공된 정보들을 저장한다. 상기 상황정보 수신부(210)를 통해 입력된 상황정보들은 정보의 형태가 각각 다르므로 상황정보 별로 분류되고, 접속ID, 사용자ID, UAID 등과 같이 사용자를 식별할 수 있는 정보를 기준으로 저장된다.
'접속' 상황정보의 경우, 상황정보 처리부(220)는 현재 접속정보가 존재하지 않으면 신규 접속으로 생성하고 기존의 접속정보가 있는 경우 해당 정보를 업데이트한다.
'서비스 이용' 상황정보의 경우는 접속ID를 기준으로 접속중인 세션을 찾아 서비스 이용정보를 업데이트하고, 관련 행위분석 정보를 계산한다.
또한, 'DB이용' 상황정보의 경우, 해당 정보를 활용하기 전 까지 저장소에 계속 보관하고 일정 시간 이상의 오래된 목록은 삭제한다.
또한, Agent 변동/종료 정보의 경우, 해당 UAID를 갖는 사용자를 검색하여 변동 정보를 업데이트한다.
또한, '종료' 상황정보의 경우, 해당 접속ID의 접속을 종료하고 가공정보를 업데이트 한다.
도5a는 본 발명에 따른 비정상 탐지부의 동작 흐름도로서, 특히 비정상 탐지부를 구성하는 정상 프로파일 기반 행위 분석부의 초기 이용행위 패턴분석에 관한 것이다.
본 발명에 따른 비정상 탐지부(230)는 탐지요청 메시지를 분류하여 사용자의 네트워크 이용에 대한 비정상 행위를 분석하고 탐지하는 장치부로서, 도3에 도시된 바와 같이 탐지요청 분류모듈(232), 비정상 행위 분석모듈(234), 비정상 행위 탐지모듈(236)을 포함하여 구성된다.
그 중, 상기 비정상 행위 분석모듈(234)은 여러가지 비정상 행위의 패턴을 분석하기 위한 모듈로서, 정상 프로파일 기반 행위 분석부(234a, 234b, 234c), 연속행위 분석부(234d), 비정상 웹이용 분석부(234e), 정책 분석부(234f), 사용자 추적부(234g)를 포함하여 구성된다.
상기 정상 프로파일 기반 행위 분석부(234a, 234b, 234c)는 접속 주기 전체 이용행위의 패턴, 초기 이용행위의 패턴, 비정상 접속행위의 패턴을 과거 정상 프로파일 정보들의 분석 값과 비교하여 정상 행위와의 차이점을 분석한다. 도6a는 초기 이용행위의 패턴 분석 및 탐지를 위한 현재 발생 상황정보의 가공테이블에 관한 도면이고, 도6b는 초기 이용행위의 패턴 분석 및 탐지를 위한 프로파일 즉, 과거 행위정보의 가공테이블에 관한 도면이다.
본 발명에 따른 정상 프로파일 기반 행위 분석부는 특히 도3에 도시된 바와 같이, 초기 이용행위 분석부(234b)를 구비하여, 사용자의 초기 이용행위에 관한 패턴분석을 수행한다.
상기 초기 이용행위 분석부(234b)는 상기 비정상 행위 탐지시스템(200)에 '웹서비스 이용'에 관한 상황정보가 입력되어 그에 따른 탐지요청 메시지를 상황정보 처리부(220)로부터 수신하면 도5a에 도시된 바와 같이 우선, 현재 접속 세션의 서비스 페이지 이용량(N)을 확인한다. (S10~S20) 이 과정에서, 초기 이용행위 분석부(234b)는 7의 a)에 도시된 바와 같이 이용행위의 서비스 단위 그룹화하고 각 이용행위의 횟수를 카운트한다. 도7은 본 발명에 따른 초기 이용행위 패턴분석 및 탐지의 동작 예시도이다.
상기 과정(S20)에서, 상기 서비스 페이지 이용량(N)이 기준 값(예: 3)보다 크면 비정상 행위 분석을 위한 충분한 초기 행위를 했다고 판단하여 초기 이용행위 패턴분석을 시작한다.
초기 이용행위 분석부(234b)는 초기 이용행위 패턴분석을 위해 먼저, 현재의 초기 서비스 페이지 이용순서를 구하고 이용 속도를 계산한다. (S30) 그리고, 동일한 접속 패턴을 갖는 과거의 초기 서비스 페이지 이용순서를 조회(프로파일 관리부(250))하고, 과거의 평균 이용 속도를 계산한다. (S40)
이후, 도5b에 도시된 바와 같이, 초기 이용행위 패턴분석 절차를 통해, '서비스 페이지 이용순서의 유사도 비교'와 '이용속도 비교'를 수행하여 비정상 행위인지 여부를 판별한다. (S50) 도5b는 본 발명에 따른 초기 이용행위 패턴분석 절차를 나타낸 흐름도이다.
상기 '서비스 페이지 이용순서의 유사도 비교'를 위해, 상기 초기 이용행위 분석부(234b)는 도5c에 도시된 바와 같이, 먼저 상기 과정(S30)의 현재 '초기 서비스 페이지 이용순서' 데이터를 상기 과정(S40)의 과거 '초기 서비스 페이지 이용순서' 데이터와 비교하기 위해 소정의 비교행렬을 생성한다. 그리고 상기 비교행렬의 각 행과 열의 값을 초기화('0')한다. (S52a) 도5c는 본 발명에 따른 문자열 유사도(LCS) 비교를 나타낸 흐름도이다.
이후, 도5c에 도시된 바와 같이, 상기 현재와 과거의 '서비스 페이지 이용순서'의 유사도를 계산하고 저장한다. (S52b, S52c) 그리고 이 같은 유사도 계산 절차(S52a, 문자열 유사도(LCS) 비교)를 반복 수행하여, 과거의 모든 행위에 대한 유사도를 계산한다. (S52d)
그리고 하기 [수학식 1]로서, 이렇게 얻어진 모든 유사도 결과값에 대한 평균을 구한다. (S54) 이때, 구해진 평균값은 현재 이용한 초기 페이지 순서의 발생확률(P)이다.
[수학식 1]
발생확률(P) = 유사도 총합 / 총 조회 항목
이후, 초기 이용행위 분석부(234b)는 도7의 b)에 도시된 바와 같이 상기 [수학식 1]의 발생확률(P)을 기준값(예: X)과 비교한다. (S56)
만일, 발생확률(P)이 기준값(예: X) 이상인 경우, 초기 이용행위 분석부(234b)는 다시, 도7의 c)에 도시된 바와 같이 현재의 초기 이용속도를 과거의 초기 이용속도와 비교한다. (S58)
그리고, 그 비교(S58) 결과에 따라 최종적으로 현재 사용자의 이용행위가 비정상 행위인지 여부를 판정한다. (S59)
현재의 초기 이용속도가 과거의 초기 이용속도의 정상범위(예: Z% 이내)에 속하는 경우, 초기 이용행위 분석부(234b)는 현재 사용자의 이용행위를 정상 행위인 것으로 판정한다.
반면, 발생확률(P)이 기준값(예: X) 미만이거나, 현재의 초기 이용속도가 과거의 초기 이용속도의 정상범위(예: Z% 이내)에 벗어나는 경우, 현재 사용자의 이용행위는 비정상 행위인 것으로 판정된다.
상기 비정상 행위 탐지모듈(236)은 현재 사용자의 이용행위에 대한 비정상 여부 판정이 이루어지면, 그에 따른 정상 혹은 비정상의 탐지결과 정보를 생성하고, 통제 시스템(240)측으로 전달한다.
상기 판정(S60) 결과가 정상(정상행위)인 경우 비정상 행위 탐지모듈(236)은 정상행위 탐지결과를 생성하고 가공정보(예: 초기 이용 서비스)를 업데이트한다. (S70~S80)
만일, 상기 판정(S60) 결과가 비정상(비정상 행위)인 경우 비정상 행위 탐지모듈(236)은 비정상 탐지결과를 생성하고, 생성된 탐지결과(예: 정상행위 or 비정상 행위)를 통제 시스템(300) 측으로 전달한다. (S90, S95)
본 발명에 따른 비정상 행위 탐지시스템(200)은 소프트웨어, 하드웨어 또는 이들의 조합된 것을 이용하여 컴퓨터로 읽을 수 있는 기록매체 내에서 구현될 수 있다.
하드웨어적인 구현에 의하면, 여기에 설명되는 비정상 행위 탐지시스템(200) 은 ASICs(Application Specific Integrated Circuits), DSPs(Digital Signal Processors), DSPDs(Digital Signal Processing Devices), PLDs(Programmable Logic Devices), FPGAs (Field Programmable Gate Arrays), 프로세서(processors), 제어기(controllers), 마이크로 컨트롤러(micro-controllers), 마이크로 프로세서(microprocessors), 기능 수행을 위한 전기적인 유닛 중 적어도 하나를 이용하여 구현될 수 있다. 일부의 경우에 본 명세서에서 설명되는 실시 예들이 비정상 행위 탐지시스템(200) 자체로 구현될 수 있다.
본 발명은 도면에 도시된 실시 예(들)를 참고로 설명되었으나 이는 예시적인 것에 불과하며, 본 기술 분야의 통상의 지식을 가진 자라면 이로부터 다양한 변형이 이루어질 수 있으며, 상기 설명된 실시예(들)의 전부 또는 일부가 선택적으로 조합되어 구성될 수도 있다는 점을 이해할 것이다. 따라서, 본 발명의 진정한 기술적 보호 범위는 첨부된 특허청구범위의 기술적 사상에 의해 정해져야 할 것이다.
이상, 기술된 바와 같이, 본 발명은, 네트워크 트래픽 분석을 통한 기존의 네트워크 기반의 보안 장비와 달리, 대상 객체의 시간, 위치, 접속 네트워크, 사용 기기 등 다양한 행위 요소를 기반으로 행위를 패턴화하여 비정상 행위를 탐지하는 방안을 구현하였다.
본 발명에 따른 비정상 행위 탐지시스템은 BYOD 및 스마트워크 환경에서의 시스템 보안성을 향상시키기 위한 것으로, 상황 정보를 접속, 이용 및 에이젼트 상황 정보와 프로파일 정보로 가공한 후, 개인화된 초기 이용행위 패턴분석을 이용하여 단말기기의 비정상적인 접속 및 이용 등의 행위를 탐지한다.
본 발명은, 비정상 접근/이용 행위 탐지를 위해, 업무 시나리오 상에서 발생 가능한 비정형적인 데이터 즉, 사용 기기의 유형, 접속 시간(예: 일과시간, 일과 외 시간 등), 접속 위치(사내, 사외 등), 이용 시간 등을 사용자 행위 패턴으로 활용함으로써, BYOD 및 스마트워크 환경에서 시스템 보안성을 향상시켰다.
100 : 상황정보 수집 시스템 200 : 비정상 행위 탐지시스템
210 : 상황정보 수신부 220 : 상황정보 처리부
230 : 비정상 탐지부 250 : 프로파일 관리부
260 : 정보 분석부 270 : 저장부
300 : 통제 시스템 400 : 개인 사용기기
500 : 보안 시스템

Claims (9)

  1. BYOD(Bring Your Own Device) 및 스마트워크 환경에서의 사용자의 비정상 이용행위를 탐지하는 비정상 행위 탐지시스템에 있어서,
    상황정보 수집 시스템으로부터 각종 상황정보를 수신하는 상황정보 수신부(210)와,
    '웹서비스 이용'에 관한 상황정보가 수신된 경우, 그에 따른 탐지요청 메시지를 생성하여 비정상 탐지부로 전달하는 상황정보 처리부(220)와,
    상기 탐지요청 메시지가 수신되면, 초기 이용행위 패턴분석을 통해 사용자의 접속 직후 이루어지는 이용 페이지 순서 및 이용 속도를 과거 접속 시의 패턴과 비교하여 비정상 이용행위를 탐지하는 비정상 탐지부(230)와,
    사용자의 각종 이용행위에 따른 상황정보들을 프로파일링하여 저장 및 관리하는 프로파일 관리부(250)와,
    상기 수신된 상황정보들을 통해, 웹사이트나 DB이용정보를 분석하는 정보 분석부(260)를 포함하여 구성되며,
    상기 비정상 탐지부(230)는
    상기 전달된 탐지요청 메시지를 분류하여 비정상 행위 분석모듈(234)의 각 분석부로 전달하는 탐지요청 분류모듈(232)과,
    초기 이용행위 패턴분석 절차를 통해, '서비스 페이지 이용순서의 유사도 비교'와 '이용속도 비교'를 수행하여 상기 웹서비스 이용의 비정상 여부를 분석하는 비정상 행위 분석모듈(234)과,
    상기 비정상 행위 분석모듈(234)의 분석결과가 저장되면, 그에 따른 정상 혹은 비정상의 탐지결과 정보를 생성하고, 통제 시스템(240)측으로 전달하는 비정상 행위 탐지모듈(236)을 포함하여 구성되는 것을 특징으로 하는 비정상 행위 탐지 시스템.
  2. 삭제
  3. 제1항에 있어서, 상기 비정상 행위 분석모듈(234)은
    현재 접속 세션의 서비스 페이지 이용량(N)을 체크하고,
    상기 서비스 페이지 이용량(N)이 기준 값보다 크면 비정상 행위 분석을 위한 충분한 초기 행위를 했다고 판단하여 소정의 초기 이용행위 패턴분석 절차를 수행하고,
    상기 초기 이용행위 패턴분석 절차를 통해, '서비스 페이지 이용순서의 유사도 비교'와 '이용속도 비교'를 수행하여 현재 사용자의 이용행위가 비정상 행위인지 여부를 판별하는 것을 특징으로 하는 비정상 행위 탐지 시스템.
  4. 제3항에 있어서, 상기 초기 이용행위 패턴분석 절차는
    현재의 초기 서비스 페이지 이용순서를 구하고 이용 속도를 계산하는 과정과,
    동일한 접속 패턴을 갖는 과거의 초기 서비스 페이지 이용순서를 조회하고, 과거의 평균 이용 속도를 계산하는 과정과,
    상기 현재의 '서비스 페이지 이용순서'와 과거의 모든 '서비스 페이지 이용순서'의 유사도를 계산하여, 현재 이용한 초기 페이지 순서의 발생확률(P)을 구하는 과정과,
    상기 발생확률(P)이 기준값(예: X) 이상인 경우, 현재의 초기 이용속도를 과거의 초기 이용속도와 비교하는 과정과,
    상기 현재의 초기 이용속도가 과거의 초기 이용속도의 정상범위에 속하는 경우, 현재 사용자의 이용행위를 정상 행위로 판정하는 과정을 포함하여 이루어지는 것을 특징으로 하는 비정상 행위 탐지 시스템.
  5. 제4항에 있어서, 상기 발생확률(P)을 구하는 과정은
    상기 현재와 과거의 '서비스 페이지 이용순서' 데이터 비교를 위해 소정의 비교행렬을 생성하고 비교행렬의 각 행과 열의 값을 초기화하는 과정과,
    상기 현재의 '서비스 페이지 이용순서'와 과거의 모든 '서비스 페이지 이용순서'의 유사도를 계산하는 과정과,
    상기 유사도 계산에서 얻어진 모든 유사도 결과값에 평균을 내어, 현재 이용한 초기 페이지 순서의 발생확률(P)을 구하는 과정을 포함하여 이루어지는 것을 특징으로 하는 비정상 행위 탐지 시스템.
  6. BYOD(Bring Your Own Device) 및 스마트워크 환경에서의 사용자의 비정상 이용행위를 탐지하는 비정상 행위 탐지방법에 있어서,
    상황정보 수집 시스템으로부터 '웹서비스 이용'에 관한 상황정보가 수신된 경우 그에 따른 탐지요청 메시지를 생성하여 비정상 탐지부(230)로 전달하는 과정과,
    비정상 탐지부(230)가 상기 탐지요청 메시지 수신 후, 초기 이용행위 패턴분석을 통해 사용자의 접속 직후 이루어지는 이용 페이지 순서 및 이용 속도를 과거 접속 시의 패턴과 비교하여 비정상 이용행위를 탐지하는 과정과,
    상기 초기 이용행위 패턴분석의 결과에 따라 정상 혹은 비정상의 탐지결과 정보를 생성하고, 통제 시스템(240)측으로 전달하는 과정을 포함하여 이루어지며,
    상기 비정상 이용행위를 탐지하는 과정은,
    현재 접속 세션의 서비스 페이지 이용량(N)을 체크하는 과정과,
    상기 서비스 페이지 이용량(N)이 기준 값보다 크면 비정상 행위 분석을 위한 충분한 초기 행위를 했다고 판단하여 소정의 초기 이용행위 패턴분석 절차를 수행하는 과정과,
    상기 초기 이용행위 패턴분석 절차를 통해, '서비스 페이지 이용순서의 유사도 비교'와 '이용속도 비교'를 수행하여 현재 사용자의 이용행위가 비정상 행위인지 여부를 판별하는 과정을 포함하여 이루어지는 것을 특징으로 하는 비정상 행위 탐지방법.
  7. 삭제
  8. 제6항에 있어서, 상기 초기 이용행위 패턴분석 절차는
    현재의 초기 서비스 페이지 이용순서를 구하고 이용 속도를 계산하는 과정과,
    동일한 접속 패턴을 갖는 과거의 초기 서비스 페이지 이용순서를 조회하고, 과거의 평균 이용 속도를 계산하는 과정과,
    상기 현재의 '서비스 페이지 이용순서'와 과거의 모든 '서비스 페이지 이용순서'의 유사도를 계산하여, 현재 이용한 초기 페이지 순서의 발생확률(P)을 구하는 과정과,
    상기 발생확률(P)이 기준값(예: X) 이상인 경우, 현재의 초기 이용속도를 과거의 초기 이용속도와 비교하는 과정과,
    상기 현재의 초기 이용속도가 과거의 초기 이용속도의 정상범위에 속하는 경우, 현재 사용자의 이용행위를 정상 행위로 판정하는 과정을 포함하여 이루어지는 것을 특징으로 하는 비정상 행위 탐지방법.
  9. 제8항에 있어서, 상기 발생확률(P)을 구하는 과정은
    상기 현재와 과거의 '서비스 페이지 이용순서' 데이터 비교를 위해 소정의 비교행렬을 생성하고 비교행렬의 각 행과 열의 값을 초기화하는 과정과,
    상기 현재의 '서비스 페이지 이용순서'와 과거의 모든 '서비스 페이지 이용순서'의 유사도를 계산하는 과정과,
    상기 유사도 계산에서 얻어진 모든 유사도 결과값에 평균을 내어, 현재 이용한 초기 페이지 순서의 발생확률(P)을 구하는 과정을 포함하여 이루어지는 것을 특징으로 하는 비정상 행위 탐지방법.
KR1020150000990A 2015-01-06 2015-01-06 개인화된 초기 이용행위 패턴분석을 이용한 비정상 행위 탐지시스템 KR101619414B1 (ko)

Priority Applications (2)

Application Number Priority Date Filing Date Title
KR1020150000990A KR101619414B1 (ko) 2015-01-06 2015-01-06 개인화된 초기 이용행위 패턴분석을 이용한 비정상 행위 탐지시스템
US14/598,557 US20160197948A1 (en) 2015-01-06 2015-01-16 System for detecting abnormal behavior by analyzing personalized initial use behavior pattern

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020150000990A KR101619414B1 (ko) 2015-01-06 2015-01-06 개인화된 초기 이용행위 패턴분석을 이용한 비정상 행위 탐지시스템

Publications (1)

Publication Number Publication Date
KR101619414B1 true KR101619414B1 (ko) 2016-05-10

Family

ID=56021224

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020150000990A KR101619414B1 (ko) 2015-01-06 2015-01-06 개인화된 초기 이용행위 패턴분석을 이용한 비정상 행위 탐지시스템

Country Status (2)

Country Link
US (1) US20160197948A1 (ko)
KR (1) KR101619414B1 (ko)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105847302A (zh) * 2016-05-31 2016-08-10 北京奇艺世纪科技有限公司 一种异常检测方法及装置
KR20180064859A (ko) * 2016-12-06 2018-06-15 경희대학교 산학협력단 무선 트래픽의 패턴 분석 장치 및 방법
KR20190038524A (ko) * 2019-03-29 2019-04-08 (주)이루엔테크 웹 서버 사용자의 모니터링 방법 및 장치
CN113239447A (zh) * 2021-06-11 2021-08-10 重庆电子工程职业学院 室内管路异常探测系统及方法

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20160277383A1 (en) * 2015-03-16 2016-09-22 Assa Abloy Ab Binding to a user device
US11736468B2 (en) 2015-03-16 2023-08-22 Assa Abloy Ab Enhanced authorization
US9875373B2 (en) * 2015-09-28 2018-01-23 International Business Machines Corporation Prioritization of users during disaster recovery
CN108683652A (zh) * 2018-05-04 2018-10-19 北京奇安信科技有限公司 一种基于行为权限的处理网络攻击行为的方法及装置
KR102291557B1 (ko) * 2018-07-03 2021-08-19 네이버 주식회사 사용자 행동 분석 장치 및 사용자 행동 분석 방법
US11363042B2 (en) * 2019-01-21 2022-06-14 Netapp, Inc. Detection of anomalies in communities based on access patterns by users
US11108818B2 (en) * 2019-02-17 2021-08-31 Microsoft Technology Licensing, Llc Credential spray attack detection
CN110602046B (zh) * 2019-08-13 2022-04-26 未鲲(上海)科技服务有限公司 数据监控处理方法、装置、计算机设备和存储介质
ES2907279T3 (es) 2019-08-23 2022-04-22 Worldline Servidor de seguridad para la verificación dinámica de contenidos web, dispositivo remoto del usuario final, sistema que comprende dicho dispositivo remoto del usuario final y servidor, y método implementado por dicho sistema
US11936664B2 (en) 2020-03-14 2024-03-19 Microsoft Technology Licensing, Llc Identity attack detection and blocking

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101282297B1 (ko) 2012-03-20 2013-07-10 박상현 트랜젝션 패턴분석·모니터링을 통한 서비스 네트워크형 통합보안장치 및 방법

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101282297B1 (ko) 2012-03-20 2013-07-10 박상현 트랜젝션 패턴분석·모니터링을 통한 서비스 네트워크형 통합보안장치 및 방법

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105847302A (zh) * 2016-05-31 2016-08-10 北京奇艺世纪科技有限公司 一种异常检测方法及装置
KR20180064859A (ko) * 2016-12-06 2018-06-15 경희대학교 산학협력단 무선 트래픽의 패턴 분석 장치 및 방법
KR102029184B1 (ko) * 2016-12-06 2019-10-07 경희대학교 산학협력단 무선 트래픽의 패턴 분석 장치 및 방법
KR20190038524A (ko) * 2019-03-29 2019-04-08 (주)이루엔테크 웹 서버 사용자의 모니터링 방법 및 장치
KR102003450B1 (ko) 2019-03-29 2019-10-17 주식회사 이루엔 웹 서버 사용자의 모니터링 방법 및 장치
CN113239447A (zh) * 2021-06-11 2021-08-10 重庆电子工程职业学院 室内管路异常探测系统及方法
CN113239447B (zh) * 2021-06-11 2023-08-15 重庆电子工程职业学院 室内管路异常探测系统及方法

Also Published As

Publication number Publication date
US20160197948A1 (en) 2016-07-07

Similar Documents

Publication Publication Date Title
KR101619414B1 (ko) 개인화된 초기 이용행위 패턴분석을 이용한 비정상 행위 탐지시스템
KR101600295B1 (ko) 개인화된 접속주기 전체 이용행위 패턴분석을 이용한 비정상 행위 탐지시스템
KR20170082937A (ko) 개인화된 접속주기 전체 이용행위 2차 분석을 이용한 비정상 행위 탐지시스템
US11658992B2 (en) Lateral movement candidate detection in a computer network
KR101501669B1 (ko) 비정상 행위를 탐지하기 위한 행위 탐지 시스템
KR20170082936A (ko) 개인화된 접속주기 전체 이용행위 패턴 오차율 편차를 고려한 비정상 행위 탐지시스템
US11962611B2 (en) Cyber security system and method using intelligent agents
US9338187B1 (en) Modeling user working time using authentication events within an enterprise network
US20200045075A1 (en) Real-time mitigations for unfamiliar threat scenarios
CN102724208B (zh) 用于控制对网络资源的访问的系统和方法
CN111600856A (zh) 数据中心运维的安全系统
US20200120122A1 (en) Multi-dimensional periodicity detection of iot device behavior
US20210021637A1 (en) Method and system for detecting and mitigating network breaches
US11245704B2 (en) Automatically executing responsive actions based on a verification of an account lineage chain
CN111510463B (zh) 异常行为识别系统
CN107733699B (zh) 互联网资产安全管理方法、系统、设备及可读存储介质
US20230362263A1 (en) Automatically Executing Responsive Actions Upon Detecting an Incomplete Account Lineage Chain
Wu et al. Efficient fingerprinting-based android device identification with zero-permission identifiers
KR101619419B1 (ko) 개인화된 연속행위 패턴분석을 이용한 비정상 행위 탐지시스템
US11228491B1 (en) System and method for distributed cluster configuration monitoring and management
EP4181464A1 (en) Network device identification
KR20170082934A (ko) 개인화된 초기 이용행위 발생확률 편차를 고려한 비정상 행위 탐지시스템
KR101500448B1 (ko) 정상 행위 프로파일을 이용한 비정상 접속 탐지 방법
US11843946B2 (en) Device-specific wireless access point password authentication
US20230130705A1 (en) Platform for privacy preserving decentralized learning and network event monitoring

Legal Events

Date Code Title Description
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20190502

Year of fee payment: 4