DE112012006419T5

DE112012006419T5 - System und Verfahren zum Erkennen von Netzwerkaktivität von Interesse

Info

Publication number: DE112012006419T5
Application number: DE112012006419.4T
Authority: DE
Inventors: John S. Flowers
Original assignee: TrustPipe LLC
Current assignee: TrustPipe LLC
Priority date: 2012-05-23
Filing date: 2012-12-28
Publication date: 2015-03-05
Also published as: CN104520826B; WO2013176704A1; US20150163230A1; US8347391B1; US20180069877A1; US20190297099A1; CN105407077B; CN104520826A; US9548992B2; CN107294950A; CN105407077A; US9819692B2; US9621578B2; US20130318611A1; US20170163667A1; US10326784B2

Abstract

Ein Netzwerkaktivitätserkennungssystem wird trainiert, um Netzwerkaktivitäten von Interesse zu erkennen, wie Bedrohungen durch bösartige Computerdaten. Das Trainieren umfasst das Destillieren von Eigenschaften bekannter Netzwerkaktivitäten von Interesse (z.B. Eindringen von Computerviren, Exploits, Würmern oder dergleichen) in einen minimalen Satz von Meta-Ausdrücken. Zur Laufzeit, kombiniert das Netzwerkaktivitätserkennungssystem den minimalen Satz von Meta-Ausdrücken mit effizienten Computer-Algorithmen zur Auswertung von Meta-Ausdrücken, um bekannte Netzwerkaktivitäten von Interesse, sowie deren unbekannte Varianten, unter einer unbekannten Gruppe von Netzwerkaktivitäten zu erkennen. Das Netzwerkaktivitätserkennungssystem kann angemessene Antworten bei der Erkennung der Netzaktivitäten von Interesse erzeugen.

Description

QUERVERWEIS AUF VERWANDTE ANMELDUNG
Diese Anmeldung beansprucht die Priorität der US Non-Provisional-Anmeldung 13/479,222, eingereicht am 23. Mai 2012, die hiermit durch Bezugnahme in ihrer Gesamtheit für alle Zwecke aufgenommen wird.
HINTERGRUND
1. Gebiet
Die vorliegende Erfindung bezieht sich allgemein auf das Gebiet der digitalen Sicherheit, und insbesondere auf die Erkennung von Aktivitäten von Interesse in Netzwerkverkehr, einschließlich der Erkennung von bösartigen Netzwerkaktivitäten.
2. Beschreibung der verwandten Technik
Die Verbreitung von Computertechnologien bietet Herausforderungen auf dem Gebiet der digitalen Sicherheit. Wie allgemein bekannt ist, kann ein an ein Netzwerk angeschlossener Computer (d.h. ein Netzwerkknoten) bösartige Computerdaten an andere Netzknoten verteilen, wodurch Systemstörungen und möglicherweise wirtschaftliche Verluste entstehen. Ein Fachmann auf dem Gebiet würde erkennen, dass Angriffe basierend auf bösartigen Computerdaten Computerviren, Malware, Würmer, Trojanische Pferde, Bots, Hacks (z.B. unberechtigter Zugriff), Exploits (z.B. Überschreitung der Berechtigungen, Verletzung der Vertraulichkeit), zeitbasierte Angriffe (z.B. Denial of Service) oder dergleichen umfassen. Der Begriff "Bedrohung" wird verwendet, um eine oder mehrere dieser Arten von Angriffen zu beschreiben.
Digitale Sicherheitstechnologien können verwendet werden, um bösartige Computerdaten in Netzwerkverkehr zu erkennen und/oder zu entfernen. Ein Fachmann auf dem Gebiet würde erkennen, dass sich digitale Sicherheitstechnologien an verschiedenen Netzwerkknoten befinden können, in Hardware und/oder Software gepackt sein können, und "Anti-Viren-Software", "Malware-Erkennung", "Intrusion Prevention", "Anti-Angriff", Firewall oder dergleichen umfassen können, wenn auch die Begriffe nicht in ihrer Bedeutung gleich sind. Der Begriff "Einheitsbedrohungsmanagment" ("UTM") wurde verwendet, um eine oder mehrere dieser Implementierungen von digitalen Sicherheitstechnologien zu beschreiben.
Herkömmliche digitale Sicherheitstechnologien erkennen Bedrohungen typischerweise mit Hilfe von Signaturen, die bestimmten Bedrohungen entsprechen. Bestehende Designs unter diesem Paradigma sind auf mindestens zwei Arten unzulänglich. Erstens beruht die Erkennung einer Bedrohung auf der a-priori-Kenntnis der spezifischen Bedrohung und der Verfügbarkeit einer Signatur für die spezifische Bedrohung. Beispielsweise kann es sein, dass sich herkömmliche digitale Sicherheitstechnologien auf eine bekannte Signatur verlassen, um die Anwesenheit eines bekannten Computervirus zu erkennen. Somit kann es sein, dass herkömmliche digitale Sicherheitstechnologien nicht in der Lage sind, Bedrohungen zu erkennen, für die noch keine Signatur verfügbar ist. Beispielsweise kann es sein, dass herkömmliche digitale Sicherheitstechnologien nicht in der Lage sind, eine unbekannte Variante eines bekannten Computervirus zu erkennen.
Zweitens halten, aufgrund der ständig steigenden Anzahl von bekannten Bedrohungen, herkömmliche digitale Sicherheitstechnologien eine wachsende Zahl von Signaturen. Während eingehender Netzwerkverkehr erhalten wird, werden die gehaltenen Signaturen gegenüber eingehenden Daten nach möglichen Bedrohungen gescannt. Der Scan-Vorgang verwendet erhebliche Rechenressourcen. Einer Schätzung zufolge, könnte es sein, dass im Rahmen von Rechenzentren auf Unternehmensebene bis zu 85% der Rechenleistung eines Rechenzentrums auf digitalen Sicherheitsoperationen verwendet werden, so dass nur ein Bruchteil der wahren Fähigkeit für den Geschäftsbetrieb verbleibt. Im Rahmen der Verbraucher-Computer, sollte es auch einen gelegentlichen Computernutzer nicht überraschen, dass der Betrieb von Anti-Viren-Software einen Computer träge werden lassen kann.
Trotz der Verbesserungen in diesem Bereich, sind herkömmliche digitale Sicherheitstechnologien weiterhin durch diese Unzulänglichkeiten begrenzt, was die Folgen ihres Designs sind.
KURZE ZUSAMMENFASSUNG
In einer beispielhaften Ausführungsform werden eine Vielzahl von Übertragungssteuerungsprotokoll(TCP)-Paketen und eine Vielzahl von Internet-Protokoll(IP)-Paketen vom Netzwerkverkehr erhalten. Die erhaltenen Netzwerkpakete umfassen eine Netzwerkaktivität von Interesse. Eine Vielzahl von kombinierten Paketen wird erstellt. Ein erstes kombiniertes Paket aus der Vielzahl der kombinierten Pakete umfasst einen Abschnitt von zumindest einem der Vielzahl von TCP-Paketen und einen Abschnitt von zumindest einem der Vielzahl von IP-Paketen. Ein zweites kombiniertes Paket aus der Vielzahl der kombinierten Pakete umfasst einen Abschnitt von zumindest einem der Vielzahl von TCP-Paketen und einen Abschnitt von zumindest einem der Vielzahl von IP-Paketen. Das erste und zweite kombinierte Paket sind unterschiedlich. Eine relevante Untergruppe des ersten und zweiten kombinierten Pakets wird in Sequenzen von Ganzzahlen umgewandelt. Eine Ähnlichkeitsmetrik wird zwischen der ersten und zweiten Sequenz von Ganzzahlen bestimmt. Eine dritte Folge von Ganzzahlen wird auf der Grundlage der Ähnlichkeitsmetrik erzeugt, wobei die dritte Sequenz eine dritte Vielzahl von Ganzzahlen umfasst, die die erste Sequenz und die zweite Sequenz gemeinsam haben, in der Reihenfolge, in der die gemeinsamen Ganzzahlen in der ersten Sequenz dargestellt waren. Eine vierte Sequenz von Ganzzahlen wird basierend auf der Häufigkeit, in der die dritte Sequenz von Ganzzahlen erscheint, in der gleichen Reihenfolge, in der Vielzahl von kombinierten Paketen erzeugt. Die vierte Sequenz von Ganzzahlen wird verwendet, um Netzwerkaktivitäten von Interesse in einer unbekannten Folge von Netzwerkverkehr zu identifizieren.
In einer beispielhaften Ausführungsform werden eine Vielzahl von Übertragungssteuerungsprotokoll(TCP)-Paketen und eine Vielzahl von Internet-Protokoll(IP)-Paketen von Netzwerkverkehr erhalten. Eine Vielzahl von kombinierten Paketen wird erstellt. Ein kombiniertes Paket umfasst einen Abschnitt von zumindest einem der Vielzahl von TCP-Paketen und einen Abschnitt von zumindest einem der Vielzahl von IP-Paketen. Eine Sequenz von Ganzzahlen wird erhalten. Wenn die Ganzzahlen der Sequenz von Ganzzahlen in dem kombinierten Paket in der gleichen Reihenfolge erscheinen, wird das kombinierte Paket als anormal betrachtet und es wird eine Netzwerkoperation initiiert. Die Netzwerkoperation kann ein Nutzeralarm, eine Anweisung einen Netzwerkknoten zu tarnen oder eine Anweisung ein Netzwerkpaket von der Übertragung fallen zu lassen sein.
In einer beispielhaften Ausführungsform wird ein Computerbild, das einen Bereich von Interesse enthält, erhalten. Das Computerbild kann ein medizinisches radiologisches Bild sein. Das Gebiet von Interesse kann schädliches Gewebe darstellen. Mehrere Sequenzen von bitweisen Daten werden für jeden Pixel des Computerbildes erstellt. Für ein gegebenes Pixel, das verarbeitet wird, kann eine Sequenz von bitweisen Daten auf der Grundlage anderer Pixel, die den gegebenen Pixel von einem Rand des Computerbildes trennen, erzeugt werden. Da es mehrere Pfade von einem gegebenen Bildpunkt zu den verschiedenen Rändern eines Computerbildes gibt, können mehrere Sequenzen von bitweisen Daten für jeden Pixel des Computerbildes erzeugt werden. Ferner werden, da es mehrere Pixel in dem Computerbild gibt, zusätzliche Sequenzen von bitweisen Daten für jeden Pixel erzeugt. Die resultierenden Sequenzen von bitweisen Daten werden jeweils in eine Folge von Ganzzahlen umgewandelt, wodurch mehrere Sequenzen von Ganzzahlen erzeugt werden. Eine Ähnlichkeitsmetrik wird zwischen einer ersten und einer zweiten Sequenz aus den Sequenzen von Ganzzahlen bestimmt. Eine dritte Sequenz von Ganzzahlen wird basierend auf der Ähnlichkeitsmetrik erzeugt, wobei die dritte Sequenz eine Vielzahl von Ganzzahlen aufweist, die die erste und zweite Sequenz gemeinsam haben, in der Reihenfolge, in der die gemeinsamen Ganzzahlen in der ersten Sequenz präsentiert wurden. Eine vierte Sequenz von Ganzzahlen, die als Meta-Ausdruck bezeichnet wird, wird basierend auf der Häufigkeit erzeugt, in der die dritte Sequenz von Ganzzahlen in der gleichen Reihenfolge in den mehreren Sequenzen von Ganzzahlen erscheint, die ursprünglich von dem Computerbild erzeugt wurden. Der Meta-Ausdruck wird verwendet, um Bereiche von Interesse in einem unbekannten Computerbild zu identifizieren.
BESCHREIBUNG DER FIGUREN
1 zeigt einen beispielhaften Prozess zum Erkennen von Netzwerkaktivitäten von Interesse.
2 zeigt ein Blockdiagramm eines Netzwerks, welches beispielhafte Ausführungsformen der Netzwerkaktivitätserkennern verwendet.
3 zeigt einen beispielhaften Prozess zum Trainieren eines Einheitsbedrohungsmanagmentsystems (UTMS).
4 zeigt eine beispielhafte Übertragung von Netzwerkpaketen zwischen Netzwerkknoten.
5 zeigt den Aufbau eines IP-Paket-Headers.
6 zeigt den Aufbau eines TCP-Paket-Headers.
7 zeigt beispielhafte Werte in einem IP-Netzwerkpaket-Header.
8 stellt beispielhafte Prozesse in einer Ausführungsform einer Abstandsfunktion dar.
Die 9(A)–(F) zeigen beispielhafte Netzwerkpakete.
Die 10(A)–(C) zeigen beispielhafte Sequenzen von 8-Bit-Ganzzahlen.
11 zeigt beispielhafte Sequenzen von 8-Bit-Ganzzahlen.
12 zeigt beispielhafte Gruppen von Netzwerkpaketen.
13 zeigt ein beispielhaftes Computersystem zum Erkennen von Netzwerkaktivitäten von Interesse.
14 zeigt einen beispielhaften Prozess zum Erkennen von anderen elektronischen Informationen von Interesse.
15 zeigt einen beispielhaften Prozess zum Trainieren eines Computer-Bildverarbeitungssystems.
Die 16(A)–(B) zeigen ein beispielhaftes radiologisches Bild.
DETAILLIERTE BESCHREIBUNG
Die folgende Beschreibung wird präsentiert, um einem Fachmann zu ermöglichen, die verschiedenen Ausführungsformen herzustellen und zu verwenden. Beschreibungen von spezifischen Vorrichtungen, Techniken und Anwendungen werden nur als Beispiele bereitgestellt. Verschiedene Modifikationen an den hier beschriebenen Beispielen sind für den Fachmann leicht ersichtlich und die allgemeinen Prinzipien, die hier definiert sind, können auf andere Beispiele und Anwendungen angewendet werden, ohne den Geist und den Umfang der verschiedenen Ausführungsformen zu verlassen. Somit sind die verschiedenen Ausführungsformen nicht dazu gedacht, auf die hier beschriebenen und dargestellten Beispiele beschränkt zu sein, sondern hängen vom Schutzumfang der Ansprüche ab.
Die hierin beschriebenen Ausführungsformen umfassen Techniken zur Erkennung von Netzwerkaktivitäten von Interesse. Beispielhafte Netzwerkaktivitäten von Interesse umfassen Bedrohungen auf Basis von Computerviren, Malware, Würmer, Trojanische Pferde, Bots, Hacks (z.B. unberechtigter Zugriff), Exploits (z.B. Überschreitung von Berechtigungen, Verletzung der Vertraulichkeit), zeitbasierte Angriffe (z.B. Denial of Service) oder dergleichen. Beispielhafte Netzwerkaktivitäten von Interesse können auch illegale Downloads von urheberrechtlich geschütztem und/oder obszönem Material über ein Netzwerk umfassen.
1. Überblick
1 veranschaulicht beispielhaft Prozess 100 zum Erkennen von Netzwerkaktivitäten von Interesse. Für die Zwecke dieser Offenbarung wird der Begriff "Einheitsbedrohungsmanagementsystem" (UTMS) verwendet, um Computersicherheitstechnologien zu beschreiben, die Prozess 100 ausführen, ungeachtet ob die Technologien in Form von Software (z.B. als ein Software-Paket) oder in Form von Hardware (z.B. eine anwendungsspezifische Schaltung oder Vorrichtung) bereitgestellt werden. Im Prozess 100, kann Block 110 als ein Trainingsprozess bezeichnet werden, während die Blöcke 120–140 kollektiv als ein Laufzeit-Prozess bezeichnet werden.
Bei Block 110, wird ein UTMS trainiert, um Eigenschaften in Netzwerkverkehr zu erkennen, die mit einer Netzwerkaktivität von Interesse verbunden sind. Beispielsweise kann das UTMS mit einer Folge von Netzwerkdatenverkehr versorgt werden, der eine bestimmte, bekannte Bedrohung reflektiert. Solch eine Folge von Trainingsnetzwerkverkehr kann beispielsweise von einer Netzwerkpaketerfassungs-Anwendungsprogrammierschnittstelle ("API"), wie z.B. "pcap" erlangt werden. Trainingsnetzwerkverkehr kann auch aus Internetquellen von Netzwerkverkehr, wie beispielsweise von der Openpacket-Organisation erlangt werden. Obwohl die Namen der APIs und/oder Quellen sich von Zeit zu Zeit ändern können, sollte das Konzept der Erfassung von Netzwerkverkehr innerhalb der Reichweite eines Fachmanns auf dem Gebiet sein.
Bei Block 110 identifiziert das UTMS aus dem Trainingsnetzverkehr begrenzte Sequenzen von Computerdaten, die später verwendet werden können, um die Anwesenheit der gleichen Netzwerkaktivitäten von Interesse in einer anderen, unbekannten Folge von Netzwerkverkehr zu identifizieren. Zusätzlich, durch die Verarbeitung bei Block 110, ist das UTMS auch in der Lage, die Anwesenheit von Bedrohungen zu identifizieren, die auf die Bedrohung bezogen sind, die zuvor beim Trainingsnetzwerkverkehr (d.h. eine Variante) bereitgestellt wurde.
Im Block 120 überwacht die UTMS eine Folge von Netzwerkverkehr, um zu bestimmen, ob die (trainierten und ähnlichen) Netzwerkaktivitäten von Interesse im Netzwerkverkehr anwesend sind. Zum Beispiel kann das UTMS bestimmen, ob ein Knoten in dem Netzwerk versucht, einen anderen Netzwerkknoten mit einer Variation der Bedrohung, die zuvor beim Trainingsnetzwerkverkehr an Block 110 bereitgestellt wurde, versucht anzugreifen.
Bei Entscheidungsblock 130 bestimmt das UTMS, ob die überwachte Folge von Netzwerkverkehr normal oder abnormal ist. Abnormaler Netzwerkverkehr ist derjenige, in dem das UTMS Netzwerkaktivitäten von Interesse identifiziert hat. Wenn abnormaler Netzwerkverkehr gefunden wird, schreitet die Verarbeitung zu Block 140, wo das UTMS eine oder mehrere geeignete Antworten erzeugt. Eine angemessene Antwort kann ein Benutzer- oder Systemalarm sein. Eine andere angemessene Antwort kann sein, die Antwort von dem gefährdeten Netzwerkknoten zu reinigen, so dass der eindringende Netzwerkknoten nichts von dem "erfolgreichen" Angriff bemerkt. Noch eine andere angemessene Antwort kann sein, den Netzwerkknoten, der angegriffen wird, zu tarnen, so dass der angreifende Netzknoten den Zielnetzwerkknoten nicht mehr erreichen kann. Wenn kein anomaler Netzwerkverkehr gefunden wird, kehrt die Verarbeitung zu Block 120 zurück und das UTMS überwacht eine andere Folge von Netzwerkverkehr.
2 ist ein Netzwerkdiagramm, das eine beispielhafte Implementierung des Prozesses 100 (1) auf einem Netzwerk veranschaulicht. Wie in 2 gezeigt, sind Desktop- und Laptop-Computer 213–216 mit dem Cloud-Netzwerk 201 über Kabelmodem 210, Firewall 211 und Router 212 verbunden. Ein Mobiltelefon 222 und ein Tablet-Computer 223 sind mit dem Netzwerk 201 drahtlos über einen Mobilfunkanbieter 220 verbunden. Datencenter 231 ist mit Cloud-Netzwerk 201 über ein Modem 230 verbunden. Teile des Prozesses 100 können auf Netzwerkgeräten (z.B. Firewall 211, Router 212), Endpunkte (z.B. Computer 213–216), Gateway-Geräte (z.B. Modem 210, ein Gateway), Mobilgeräte (z.B. Mobiltelefon 222, Tablet-Computer 223), oder dergleichen, eingesetzt werden. Mit anderen Worten, Abschnitte des Prozesses 100 können auf einem oder mehreren Netzwerkknoten 210–216, 220–223 und/oder 230–231 eingesetzt werden. Zum Beispiel kann der Prozess 100 in einen Betriebssystemkern integriert werden, der auf einem Mobiltelefon 222, einem Tablet-Computer 223 und/oder Computer 213–216 läuft. Prozess 100 (1) kann auch in die Hardware des Kabelmodems 210, UTMS 211 und/oder Router 212 integriert werden.
In der folgenden Diskussion wird der Einfachheit halber die Bedrohung durch Computerviren als eine beispielhafte Netzwerkaktivität von Interesse verwendet. Jedoch ist der Prozess 100 (1) nicht darauf beschränkt. Vielmehr kann der Prozess 100 von einem UTMS verwendet werden, um viele andere Arten von Netzwerkaktivitäten von Interesse, zu handhaben, wie vorstehend diskutiert. Zufälligerweise hebt die (beispielhafte) Diskussion über Computerviren die wesentlichen Vorteile von Prozess 100 in einer Weise hervor, die für viele Computeranwender verständlich ist.
Derzeit existieren bekanntermaßen über 2 Millionen Computerviren. Die genaue Anzahl variiert zwischen 2,5 und 8 Millionen, da unterschiedliche Dienstquellen Computerviren unterschiedlich katalogisieren. Bei Block 110 des Prozesses 100 kann ein UTMS mit Netzwerkverkehr versorgt werden, der Angriffe basierend auf einem oder mehreren bekannten Viren widerspiegelt. Bei der Vollendung des Blocks 110, wird das UTMS trainiert, um die Anwesenheit dieser ein oder mehrerer Computerviren sowie deren Varianten, im Netzwerkverkehr zu erfassen. In den Blöcken 120–140, überwacht das UTMS Netzwerkverkehr auf die Anwesenheit dieses einen oder mehreren Computerviren und ihrer Varianten. Auf diese Weise ist das UTMS in der Lage, Angriffe zu handhaben, die auf bekannten Bedrohungen und ihren unbekannten Varianten basieren.
Der Prozess 100 ist auf mindestens zwei Arten bemerkenswert. Erstes, erzeugt Block 110 begrenzte Sequenzen von Daten, die verwendet werden können, um alle bekannten Viren und deren Varianten zu erkennen. So muss sich ein UTMS, das Prozess 100 verwendet, nicht unbedingt auf dem a-priori-Wissen eines bestimmten Computervirus verlassen, um den Computervirus in Netzwerkverkehr während des Betriebs zu erkennen. Zweitens, erzeugt Block 110 begrenzte Sequenzen von Daten, die effizient in der Struktur und in der Größe im Vergleich zu Computerviren-Signaturdateien sind, die von herkömmlichen Anti-Virus-Technologien verwendet werden. Insbesondere wurde festgestellt, dass begrenzte Sequenzen von Daten von insgesamt weniger als 200 (8 Bit) Bytes ausreichend sind, um die meisten, wenn nicht alle, der gegenwärtig bekannter Weise existierenden Computerviren unter Prozess 100 zu identifizieren. Diese Größe steht in krassem Gegensatz zu der Größe der herkömmlichen Computerviren-Signaturdateien, deren Größen von 50 Megabyte (MB) bis 300 MB reichen. Um dies in Perspektive zu setzen, ist die Größe von 50 MB um 5 Größenordnungen größer als die Größe von 200 (8-Bit) Bytes. Somit kann enorme Recheneffizienz während des Betriebs eines UTMS unter Verwendung von Prozess 100 realisiert werden.
2. Training
3 zeigt einen beispielhaften Prozess 300 zum Trainieren eines UTMS. In einer Ausführungsform führt Prozess 300 die Funktionen des Blocks 110 (1) aus. Bei Block 310 wird Netzwerkverkehr erhalten, und eine Folge von Netzwerkpaketen, die zwischen (d.h. zu und von) zwei Netzknoten gesendet werden, werden zusammengruppiert. Einige oder alle gruppierten Netzwerkpakete können fortlaufend sein. Das Konzept von "Netzwerkpaketen" ist im Stand der Technik gut bekannt und wird hier nicht detailliert beschrieben. Beispielsweise kann der Begriff "Netzwerkpakete" Ethernet-Pakete, Übertragungssteuerungsprotokoll(TCP)-Pakete, Internet-Protokoll(IP)-Pakete oder dergleichen bezeichnen.
Netzwerkpakete, die an Block 310 bereitgestellt werden, sollten eine Netzwerkaktivität von Interesse zum Zwecke des Trainings einer UTMS enthalten. Im vorliegenden Beispiel ist die Netzwerkaktivität von Interesse die Anwesenheit eines Computervirus im Netzwerkverkehr zwischen zwei Netzwerkknoten. Somit sollen die Netzwerkpakete, die an Block 310 bereitgestellt werden, einen Angriff unter Verwendung eines Computervirus von einem Netzwerkknoten an einen anderen Netzwerkknoten repräsentieren, und sollen auch die resultierenden Antworten vom angegriffenen Netzwerkknoten repräsentieren.
Die Gruppierung von Netzwerkpaketen zwischen zwei Netzwerkknoten bei Block 310 ist bidirektional, weil der Netzwerkverkehr beides, zu und von einem Paar von Netzknoten zusammengruppiert wird. Bidirektionaler Netzwerkverkehr besteht typischerweise aus verschiedenen Ebenen der Kommunikation vom ersten Handshake bis zur vollständigen Übertragung von Daten zwischen den zwei Netzwerkknoten. Diese Gruppierung von (bidirektionalen) Netzwerkpaketen basiert auf der Existenz einer errichteten Kommunikation zwischen zwei Netzwerkknoten. Eine errichtete Kommunikation zwischen zwei Netzwerkknoten wird manchmal als eine "Unterhaltung" bezeichnet. Zwei Netzwerkknoten können anfordern, eine Kommunikation über einen Kanal zu errichten. Beispielsweise können ein Host und ein Server auf einem einzigen Port einen Handshake durchführen. Sobald eine Kommunikation errichtet ist, können die zwei Netzwerkknoten weiter durch einen neu geschaffenen Kanal kommunizieren. Beispielsweise können der Host und der Server über TCP/IP auf einem anderen Port kommunizieren, der sich von dem Port unterscheidet, durch den die errichtete Kommunikation ursprünglich angefordert wurde.
In einer Ausführungsform beginnt die Gruppierung (bidirektionaler) Netzwerkpakete bei Block 310 mit der Identifikation eines Netzwerkpakets im Netzwerkverkehr, welches den Beginn einer errichteten Kommunikation repräsentiert, und eines anderen Netzwerkpakets im Netzwerkverkehr, welches das Ende der errichteten Kommunikation repräsentiert. Der Beginn einer errichteten Kommunikation kann ein Netzwerkpaket sein, welches ein Anfordern enthält. Das Ende einer errichteten Kommunikation kann ein Netzwerkpaket sein, das eine entsprechende Bestätigung enthält. In einer Ausführungsform können zusätzliche Netzwerkpakete identifiziert werden, wie beispielsweise ein Netzwerkpaket, das eine "Anfragebestätigung" repräsentiert. Netzwerkpakete in verschiedenen Schichten des OSI-Modells können Anforderungs- und Bestätigungsinformationen bereitstellen. Zum Beispiel enthalten beide, HTTP-Netzwerkpakete (d.h. an der OSI-Anwendungsschicht) und TCP-Netzwerkpakete (d.h. an der OSI Transportschicht), Anforderungsfelder, von denen jedes ausreichend ist für die Zwecke des Blocks 310. Auf diese Weise kann Block 310 bidirektionale Netzwerkpakete zusammengruppieren, die einer errichteten Kommunikation entsprechen, ohne sich auf Quell-Netzwerkadressen und Zieladressen zu verlassen. Block 310 kann auch bidirektionale Netzwerkpakete zusammengruppieren, die einer errichteten Kommunikation entsprechen, ohne sich auf Quell- und Ziel-Port-Nummern zu verlassen.
Block 310 wird nun unter Bezugnahme auf 4 diskutiert. Wie gezeigt ist, repräsentieren Netzwerkpakete 430–460 eine Folge von Netzwerkpaketen zwischen Netzwerkknoten 410 und 420. Netzwerkpaket 430 wird von Netzwerkknoten 410 zu Netzwerkknoten 420 gesendet, und enthält eine Anforderung. Somit zeigt Netzwerkpaket 430 den Beginn einer Folge von Netzwerkpaketen an, die zusammengruppiert wird. In diesem Zusammenhang kann der Netzwerkknoten 410 als Host bezeichnet werden, weil er eine Anforderung initiiert, und der Netzwerkknoten 420 kann als Server bezeichnet werden, weil er der Empfänger der Anforderung ist. Netzwerkpakete 440 und 450 werden jeweils von Netzwerkknoten 420 und 410 gesendet, und repräsentieren bidirektionale Kommunikation von Daten zwischen den zwei Netzwerkknoten, die zusammengruppiert werden sollten. Netzwerkpaket 460 wird von Netzwerkknoten 420 zu Netzwerkknoten 410 gesendet, um zu bestätigen, dass eine geeignete Datenmenge empfangen wurde. Somit zeigt Netzwerkpaket 460 das Ende der Folge von Netzwerkpaketen an, die zusammen zu gruppieren sind. Auf diese Weise werden Netzwerkpakete 430 bis 460 bei Block 310 (3) in eine begrenzte Gruppe von Netzwerkpaketen zusammengruppiert. Diese Gruppe von Netzwerkpaketen wird als "begrenzt" bezeichnet, weil es einen klaren Anfang und ein klares Ende der Gruppe von Daten gibt. Block 310 kann wiederholt werden, um zusätzliche Gruppen von bidirektionalen Netzwerkpaketen zwischen Paaren von Netzwerkknoten zu erzeugen.
Es versteht sich, dass die Gruppierung von Netzwerkpaketen, die bei Block 310 durchgeführt wird, auch implizit andere Arten von Informationen erfasst, die für die Erkennung von Netzwerkaktivitäten von Interesse nützlich sind. Beispielsweise wird bei einem Denial-of-Service-Angriff ("DoS"), der eine Art zeitbasierter Angriff ist, eine relativ große Anzahl von Netzwerkpaketen in einen gegebenen Zeitrahmen übertragen. Das Auftreten von Netzwerkpaketen über einen relevanten Zeitrahmen, die von einem DoS-Angriff (oder allgemeiner, einem zeitbasierten Angriff) resultieren, wird implizit bei Block 310 erfasst, weil Block 310 solche Netzwerkpakete in (bidirektionale) Unterhaltungen zusammengruppiert. Die gruppierten Netzwerkpakete werden dann nach Informationen analysiert, die für das Erkennen eines künftigen DoS-Angriffs relevant sind und zwar durch den stromabwärtigen Prozess im Prozess 300.
Nur bestimmte Felder innerhalb der Netzwerkpakete, die von Block 310 gruppiert werden, sind zum Erkennen von Netzwerkaktivitäten von Interesse relevant. Bei Block 320 werden relevante Informationen beibehalten und belanglose Informationen werden verworfen. Block 320 wird nun unter Bezugnahme auf die 5 und 6 diskutiert. 5 zeigt den Aufbau eines IP-Netzwerkpakets, mit den Feldern eingekreist, die für die Erfassung von Netzwerkaktivitäten von Interesse relevant sind. Diese relevanten Felder umfassen (Servicetyp "TOS") 511, Gesamtlänge (von IP-Netzwerkpaket) 512, IP Flaggen 513, Lebenszeit 514, Protokoll 515, IP-Optionen 516 und Dateninhalt 517. 6 veranschaulicht den Aufbau eines TCP-Netzwerkpakets, mit den Feldern, die für die Erfassung von Netzwerkaktivitäten von Interesse relevant sind (z.B. Computerviren) eingekreist. Diese Felder umfassen, Sequenznummer 611, Bestätigungsnummer 612, Versatz 613, TCP-Flags 614, Fenster 615, Dringlichkeitszeiger 616, TCP-Optionen 617, und Dateninhalt 618. Auf diese Weise wird die Ausgabe des Blocks 310 reduziert, sodass sie nur Informationen enthält, die relevant für die Erfassung von Netzwerkaktivitäten von Interesse sind. Dieser Beibehaltungsprozess wird auf jedes IP- und TCP-Netzwerkpaket angewendet, das in den Gruppen der durch den Block 310 erzeugten Netzwerkpakete ist. Die Ausgabe von Block 320 wird als "wiederzusammengesetzte Pakete" bezeichnet.
Drei Aspekte von Block 320 sind bemerkenswert. Erstens, Block 320 behält nicht die Quell- oder Ziel-Adresse in einem IP-Netzwerkpaket oder die Quell- oder die Ziel-Port-Nummern in einem TCP-Netzwerkpaket bei. Somit muss sich ein UTMS, das Prozess 300 verwendet, nicht auf die Netzwerkadresse oder die Port-Informationen verlassen, um Netzwerkaktivitäten von Interesse zu erkennen. Zweitens, wird die Header-Länge (IHL) 510 (5) verwendet, um die Länge eines IP-Netzwerkpaket-Headers zu bestimmen, so dass die relevanten Felder im IP-Netzwerkpaket richtig gruppiert werden können, aber die Header-Länge (IHL) 510 wird selbst nicht in der Ausgabe von Block 320 beibehalten. Drittens, sind die beibehaltenen Felder nicht auf die Erkennung von Computerviren beschränkt, die die Netzwerkaktivität von Interesse in dem vorliegenden Beispiel ist. Vielmehr unterstützen die Felder die Erkennung des gesamten Bereichs der Netzwerkaktivitäten von Interesse, wie vorstehend diskutiert.
Im Block 330 werden die wiederzusammengesetzten Pakete (d.h. relevante Informationen) von Block 320 bitweise in Ganzzahlen umgewandelt, wodurch Sequenzen von Ganzzahlen erzeugt werden, die einer Untergruppe der Informationen entsprechen, die ursprünglich dem Prozess 300 bereitgestellt wurden. In einer Ausführungsform werden 8-Bit-Ganzzahlen verwendet. Einem Durchschnittsfachmann auf dem Gebiet ist ersichtlich, dass die IP- und TCP-Netzwerkpakete Felder enthalten, die kleiner als 8 Bit sind, genau 8 Bit sind, und mehr als 8 Bits lang sind. Felder, die sich weniger als 8 Bits erstrecken, werden in eine 8-Bit-Darstellung umgewandelt, indem die bedeutendsten Ausgabebits mit Nullen aufgefüllt werden. Beispielsweise wandelt Block 320 die Bits "100" in "0000 0100" um. TOS 511 und die IP-Flags 513 (5), die 4-Bit-und 3-Bit-Felder sind, werden jeweils auf diese Weise umgewandelt. Felder, die sich mehr als 8-Bit erstrecken, werden in mehrere 8-Bit-Segmente umgewandelt. Beispielsweise wandelt Block 320 die Bits "0001 0010 0100 1000" zu "0001 0010" und "0100 1000". Dateninhalt 517, der sich mehr als 8 Bits erstreckt, wird auf diese Weise umgewandelt.
Die Blöcke 320 und 330 werden nun unter Bezugnahme auf 7 diskutiert. 7 veranschaulicht einen Teil eines IP-Netzwerkpakets. Wie vorstehend diskutiert, sind innerhalb des IP-Netzwerkpakets 710, TOS 711 und Gesamtlänge 712, unter anderem, für die Erkennung von Netzwerkaktivitäten von Interesse nützlich. Somit werden die Felder 711 und 712 durch Block 320 beibehalten und an Block 330 für die Umwandlung in Ganzzahlen bereitgestellt. Das wiederzusammengesetzte Paket 714 repräsentiert die Teile von IP-Netzwerkpaket 710, die von Block 320 beibehalten werden. Block 330 wandelt die Inhalte des wiederzusammengesetzten Pakets 714 bitweise in 8-Bit-Ganzzahlen 715, 716 und 717 um. Zu beachten ist, dass der Einfachheit halber nur ein Teil eines IP-Netzwerkpakets 710 in 7 dargestellt ist. Während des Normalbetriebs, verarbeitet Block 320 die ganzen Gruppen von IP- und TCP-Netzwerkpaketen, die von Block 320 erzeugt werden, und Block 330 wiederum verarbeitet die ganzen Gruppen von IP- und TCP-Netzwerkpaketen, die durch Block 320 beibehalten werden. Auf diese Weise erzeugt Block 330 eine Sequenz von 8-Bit-Ganzzahlen 718, die die Ganzzahlen "40 1 83..." enthält. Optional kann die Sequenz von 8-Bit-Ganzzahlen 718 auf eine Länge von 65.536 (8-Bit) Ganzzahlen begrenzt sein.
Wie hier verwendet, beschreibt der Begriff "Sequenz" eine Liste von geordneten Elementen, z.B. Ganzzahlen. Es sollte beachtet werden, dass die Reihenfolge der Elemente innerhalb der Sequenz an Ganzzahlen 718 von der Reihenfolge und der Nachbarschaft relevanter Teile von bidirektionalem Netzwerkverkehr erlangt wird, der durch die Blöcke 310–320 verarbeitet wird. Anders ausgedrückt, in dem Maße, dass eine Netzwerkaktivität von Interesse, eine charakteristische Antwort im Netzwerkverkehr zwischen zwei Netzwerkknoten erzeugt, wird diese Antwort durch die Prozesse der Blöcke 310–330 beibehalten. Die Antwort wird in den Prozessen der Blöcke 340–360 weiter destilliert, die nachfolgend diskutiert werden, so dass sie für die Erkennung von Netzwerkaktivitäten von Interesse in einer unbekannten Folge von Netzwerkverkehr nutzbar wird.
Bei Block 340 wird eine Abstandsfunktion verwendet, um Merkmale aus den Sequenzen von Ganzzahlen zu identifizieren, die durch Block 330 erzeugt wurden. Die Abstandsfunktion wird gegenüber Sequenzen von Ganzzahlen durchgeführt, die zeitlich benachbart sind, was bedeutet, dass eine Sequenz von Ganzzahlen, die von Block 330 erzeugt werden (basierend auf einer einzigen Gruppe von Netzwerkpaketen von Block 320) gegen die nächste, benachbarte Sequenz von Ganzzahlen verglichen wird, die von Block 330 erzeugt werden (basierend auf der nächsten, benachbarten Gruppe von Netzwerkpaketen von Block 320).
Herkömmliche Abstandsfunktionen, wie beispielsweise Zeichenkette-Abstandsfunktionen, sind aus dem Stand der Technik gut bekannt und werden hier nicht im Detail diskutiert. Als Beispiel kann eine herkömmliche Zeichenkette-Abstandsfunktion verwendet werden, um zu bestimmen, dass die Zeichenketten "a b c" und "z b c" einen Abstand von 1 haben, weil die Zeichenketten variieren nur dadurch, dass "a" in ersterer mit "z" in letzterer ersetzt ist und den einzigen Unterschied zwischen den beiden Zeichenketten repräsentiert. Die Gruppen der Netzwerkpakete, die durch Block 330 erzeugt werden, eignen sich selbst für den Vergleich durch Abstandsfunktionen, weil Block 330 Sequenzen von Ganzzahlen erzeugt, die als einzelne Elemente durch eine Abstandsfunktion behandelt werden können. Herkömmliche Zeichenkette-Abstandsfunktionen bieten jedoch nicht ausreichend Abstandsmetriken, die zur Erfassung von Netzwerkaktivitäten von Interesse sind. Zum Beispiel kann die Kenntnis, dass sich zwei Zeichenketten um einen Abstand von 1 unterscheiden, wenig nützliche Information für die Computervirenerkennung bieten.
In einer Ausführungsform führt Block 340 eine Custom-Abstandsfunktion durch, die nachfolgend beschrieben ist, die reduzierte Sequenzen von Ganzzahlen erzeugt, die die Erkennung von Netzwerkaktivitäten von Interesse unterstützen. Der Einfachheit halber wird die Custom-Abstandsfunktion des Blocks 340 mit Bezug auf die 8 und 9 diskutiert. 8 veranschaulicht beispielhaft Prozess 800 zum Durchführen der Custom-Abstandsfunktion in einem Ausführungsbeispiel. 9 veranschaulicht beispielhafte Gruppen von Netzwerkpaketen, wie sie vom beispielhaften Prozess 800, in dem einen gegenwärtigen Ausführungsbeispiel, verarbeitet werden.
Nun Bezug nehmend auf 8, identifiziert bei Block 810 die Custom-Abstandsfunktion Ganzzahlen, die innerhalb benachbarter Paare von Sequenzen von Ganzzahlen, die durch den Block 340 (3) erzeugt werden, erscheinen. 9A veranschaulicht beispielhafte Sequenzen von Ganzzahlen 910–919. 9B zeigt beispielhaft die Ganzzahl "101", die zumindest in Paaren benachbarter Sequenzen von Ganzzahlen 910–911, 911–912 und 912–913 erscheint. (Zu beachten ist, dass Sequenzen von Ganzzahlen 914–919 der Einfachheit halber nicht dargestellt sind.) Bei Block 810 identifiziert die Custom-Abstandsfunktion das erste Erscheinen einer identifizierten Ganzzahl in Paaren von benachbarten Sequenzen von Ganzzahlen. 9C zeigt das erste Erscheinen von "101", die in benachbarten Sequenzen von Ganzzahlen 910–911, 911–912 und 912–913 identifiziert wird.
Bei Block 820 (8), richtet die Custom-Abstandsfunktion die ersten Erscheinungen der identifizierten Ganzzahl in einem Paar benachbarter Sequenzen von Ganzzahlen aus. 9D veranschaulicht die Ausrichtung der ersten Erscheinungen von "101" in Paaren benachbarter Sequenzen von Ganzzahlen 910–911, 911–912 und 912–913.
Bei Block 830 (8) kann eine reduzierte Sequenz von Ganzzahlen unter bestimmten Bedingungen erzeugt werden, für ein Paar benachbarter Sequenzen von Ganzzahlen. Eine reduzierte Sequenz von Ganzzahlen wird (für ein Paar benachbarter Sequenzen von Ganzzahlen) erzeugt, wenn eine oder mehrere der Ganzzahlen, die das Paar benachbarter Gruppen von Sequenzen von Ganzzahlen gemeinsam haben: (i) in der gleichen Reihenfolge im Paar benachbarter Gruppen von Netzwerkpaketen erscheinen, und (ii) Positionen in dem Paar benachbarter Gruppen von Netzwerkpaketen haben, die innerhalb eines ersten Schwellwertabstandes sind. In einer Ausführungsform ist der erste Schwellwertabstand vier. Falls erzeugt, würde eine reduzierte Sequenz von Ganzzahlen Ganzzahlen aufweisen, die die vorstehend genannten Anforderungen (i) und (ii) erfüllen (bezüglich einem Paar benachbarter Sequenzen von Ganzzahlen).
9E veranschaulicht, dass, wenn die erste Erscheinung von "101" zwischen Sequenzen von Ganzzahlen 910 und 911 ausgerichtet wird, die Ganzzahlen "48" und "52" die vorstehend genannten Anforderungen (i) und (ii) erfüllen. Insbesondere tauchen die Ganzzahlen "101", "48" und "52" in der gleichen Reihenfolge in beiden Sequenzen von Ganzzahlen 910 und 911 auf. Des Weiteren taucht die Ganzzahl "48" in beiden Sequenzen von Ganzzahlen 910 und 911 innerhalb des ersten Schwellwertabstands (vier in der vorliegenden Ausführungsform) auf. Somit wird, wie in 9F dargestellt, eine reduzierte Sequenz an Ganzzahlen 920 erzeugt wird, und enthält die Sequenz von Ganzzahlen "101 48 52". Auch wie in 9F gezeigt, erfüllen die Ganzzahlen "101" "48" und "52" in den Sequenzen von Ganzzahlen 911 und 912 auch vorstehend die angegebenen Anforderungen (i) und (ii). Somit wird eine reduzierte Sequenz von Ganzzahlen 921 erzeugt und enthält die Sequenz von Ganzzahlen "101 48 52". Wie in 9F gezeigt, erfüllen auch die Ganzzahlen "53" und "101" in Sequenzen von Ganzzahlen 912 und 913 die vorstehend angegebenen Anforderungen (i) und (ii). Somit wird eine reduzierte Sequenz von Ganzzahlen 922 erzeugt und enthält die Sequenz von Ganzzahlen "53 101".
Die Blöcke 810–830 wiederholen sich für andere Ganzzahlen, die in mindestens einem Paar von benachbarten Sequenzen von Ganzzahlen erscheinen. Beispielsweise taucht die Ganzzahl "48" auch in mindestens einem Paar von benachbarten Sequenzen von Ganzzahlen innerhalb der Sequenzen von Ganzzahlen 910–919 auf. Somit werden die Blöcke 810–830 für die 8-Bit-Ganzzahl "48" wiederholt.
Nach Beendigung von Block 830 (der eine beispielhafte Zeichenkette-Funktion ist, die in Block 340 aus 3 durchgeführt wird), schreitet die Verarbeitung zu Block 350 (3) voran. Bei Block 350 wird die Häufigkeit, mit der die reduzierte Sequenz von Ganzzahlen erscheint, innerhalb einem zweiten Schwellwertabstand, in den Gruppen von Netzwerkpaketen, die bei Block 330 erzeugt werden, bestimmt. Die ersten und zweiten Schwellwertabstände können die gleichen sein oder können sich unterscheiden. In einer Ausführungsform ist der zweite Schwellwertabstand vier. 10A zeigt Sequenzen von Ganzzahlen 910–919, die durch Block 330 erzeugt werden. Außerdem zeigt 10B das Erscheinen von reduzierten Sequenzen von Ganzzahlen 920–922 (9F) innerhalb Sequenzen von Ganzzahlen 910–919. Wie gezeigt, taucht eine reduzierte Sequenz von Ganzzahlen 920 ("101 48 52") (innerhalb dem beispielhaften zweiten Schwellwertabstand von vier) in acht von zehn Sequenzen von Ganzzahlen 910–919 auf. Somit wird eine Häufigkeit von 80% mit der reduzierten Sequenz von Ganzzahlen 920 in Verbindung gebracht. Aus dem gleichen Grund wird eine Häufigkeit von 80% mit der reduzierten Sequenz von Ganzzahlen 921 in Verbindung gebracht. Zu beachten ist, dass die reduzierten Sequenzen von Ganzzahlen 920 und 921 nicht innerhalb dem zweiten Schwellwertabstand (vier in diesem Beispiel) in der Sequenz von Ganzzahlen 916 erscheinen, weil die Ganzzahlen "101" und "48" von mehr als vier Positionen in der Gruppe von Netzwerkpaketen 916 getrennt werden. Wie ebenfalls gezeigt, taucht die reduzierte Sequenz von Ganzzahlen 922 ("53 101") (innerhalb dem beispielhaften zweiten Schwellwertabstand von vier) in drei der zehn Gruppen von Netzwerkpaketen 910–919 auf.
Somit wird eine Häufigkeit von 30% mit der reduzierten Sequenz von Ganzzahlen 922 in Verbindung gebracht. Die Häufigkeiten, die mit den reduzierten Sequenzen von Ganzzahlen 920–921 in Verbindung gebracht werden, sind in 10B dargestellt. Diese Werte, die die Häufigkeiten angeben, in denen die reduzierten Sequenzen von Ganzzahlen in der Reihenfolge innerhalb einem Schwellwertabstand in Gruppen von Netzwerkpaketen erscheinen, kann durch den Begriff "Vertrauenswerte" bezeichnet werden.
Bei Block 360 (3) werden reduzierte Sequenzen von Ganzzahlen mit Vertrauenswerten unterhalb eines Schwellwert-Vertrauenswerts verworfen. In einer Ausführungsform ist der Schwellwert-Vertrauenswert zwischen 80–90%. 10C veranschaulicht das Verwerfen der reduzierten Sequenz von Ganzzahlen 922. Zusätzlich werden reduzierte Sequenzen von Ganzzahlen 920 und 921 (die die gleichen sind) ent-dupliziert und als verringerte Sequenz von Ganzzahlen 1030 beibehalten. Für die Zwecke dieser Offenbarung kann die reduzierte Sequenz von Ganzzahlen 1030 mit der Bezeichnung "Meta-Ausdruck" bezeichnet werden.
Der Meta-Ausdruck 1030 repräsentiert die Informationen, die ausreichen, um eine Netzwerkaktivität von Interesse im Netzwerkverkehr zu erkennen. Insbesondere, ist der Meta-Ausdruck 1030 ausreichend, um die Netzwerkaktivität zu erkennen, die durch die ursprüngliche Eingabe zu Prozess 300 (3) repräsentiert wird. Erinnern Sie sich, dass die Eingabe zu Prozess 300 (3) eine Folge von Netzwerkpaketen ist, die einen Angriff von einem Netzknoten gegen einen anderen Netzwerkknoten unter Verwendung eines Computervirus und die Antworten von dem gefährdeten Netzwerkknoten repräsentiert.
Der Prozess 300 (3) kann für andere Arten von Netzwerkaktivitäten von Interesse wiederholt werden. Zum Beispiel kann der Prozess 300 unter Verwendung des Netzwerkverkehrs ausgeführt werden, der einen Angriff durch Computerwurm A anzeigt, um einen Meta-Ausdruck zum Erkennen von Computerwurm A und seinen Varianten zu identifizieren. Prozess 300 kann ferner unter Verwendung von Netzwerkverkehr ausgeführt werden, der einen Angriff durch Computer-Exploit B anzeigt, um einen Meta-Ausdruck zum Erkennen von Computer-Exploit B und seinen Varianten zu identifizieren. In der Tat kann der Prozess 300 für verschiedene Computerviren, Malware, Würmer, Trojanische Pferde, Bots, Hacks (z.B. unberechtigter Zugriff), Exploits (z.B. Überschreitung der Berechtigungen, Verletzung der Vertraulichkeit), zeitbasierte Angriffe (z.B. Denial of Service) oder dergleichen, die bekannter Weise existieren, wiederholt werden, um Meta-Ausdrücke zu bestimmen, die verwendet werden können, um solche bösartigen Computeranweisungen sowie deren Varianten zu identifizieren.
Wichtig ist, dass festgestellt wurde, dass viele verschiedene bösartige Netzwerkaktivitäten sich die gleichen Meta-Ausdrücke teilen. Das heißt, zwei verschiedene Netzwerkaktivitäten von Interesse (wie ein bekannter Computervirus A und ein bekannter Computervirus B) können sich den gleichen Meta-Ausdruck teilen und sind damit unter Verwendung des einzelnen Meta-Ausdrucks erkennbar. Ferner kann beispielsweise ein Meta-Ausdruck, der von einem existierenden Computervirus erzeugt wird, verwendet werden, um alle Varianten des existierenden Computervirus zu erkennen, unabhängig von den Permutationen, Größen und Eigenschaften der Varianten (d.h. auch wenn die Variationen unbekannt sind). Nur eine völlig neue Art von Computervirus, und nicht eine Variation eines existierenden Computervirus, würde nicht durch den existierenden Meta-Ausdruck erkannt werden. Auf diese Weise ist eine Handvoll Meta-Ausdrücke ausreichend, um viele, wenn nicht alle, der bekannten Viren (deren Zahl zwischen 2,5 und 8 Millionen beträgt, abhängig von der Dienstquelle) sowie deren Varianten zu identifizieren.
11 veranschaulicht 13 beispielhafte Meta-Ausdrücke 1100–1112. Meta-Ausdrücke 1100–1112 erstrecken sich insgesamt weniger als 200 (8-Bit) Bytes, und können verwendet werden, um alle Varianten des existierenden Computervirus, wie vorstehend diskutiert, zu erkennen. Diese Größe steht in krassem Gegensatz zu der Größe einer typischen Datenbank von Antiviren-Signaturen, die in der Größenordnung von 50 MB oder mehr ist. Die Struktur und die minimale Größe dieser Meta-Ausdrücke bieten enorme Recheneffizienz im Vergleich zu herkömmlichen Computer-Sicherheitstechnologien.
3. Laufzeit
Die Effizienz, mit der Netzwerkaktivitäten von Interesse unter Verwendung der Meta-Ausdrücke, die von Prozess 300 bereitgestellt werden, erkannt werden können, wird nun diskutiert. Bei Fertigstellung des Prozesses 300 (der ein beispielhafter UTMS Trainingsprozess ist, der bei Block 110 aus 1 ausgeführt wird), schreitet die Verarbeitung zu Block 120 aus 1 fort. Bei Block 120 verwendet ein UTMS Meta-Ausdrücke, um den Netzwerkverkehr zu analysieren und zu erkennen, ob der Netzwerkverkehr normal oder abnormal ist. Die Verarbeitung bei Block 120 beginnt mit der Gruppierung einer Folge von bidirektionalem Datenverkehr zwischen zwei Netzwerkknoten. Zu diesem Zweck können die Techniken von Block 310 (3) verwendet werden. Als nächstes werden die Gruppen von Netzwerkpaketen nach relevanten Informationen gefiltert. Zu diesem Zweck können die Techniken des Blocks 320 (3) verwendet werden. Als nächstes werden die wieder zusammengesetzten Pakete (relevante Informationen enthaltend), die neue Gruppen von Netzwerkverkehr bilden, in Sequenzen von Ganzzahlen umgewandelt. Die Bitgröße von Ganzzahlen, die während der Laufzeit verwendet werden, sollten die gleichen sein, wie die Bitgröße von Ganzzahlen, die während des Trainings verwendet werden. In einer Ausführungsform haben die Ganzzahlen eine Größe von 8-Bit. Für die Zwecke der Umwandlung von wiederzusammengesetzten Paketen in Sequenzen von Ganzzahlen, können die Techniken von Block 330 (3) verwendet werden.
Die Sequenzen von Ganzzahlen, die durch Block 330 erzeugt werden, werden gegenüber einem oder mehreren Meta-Ausdrücken verglichen, um festzustellen, ob der Netzwerkverkehr, der analysiert wird, normal oder abnormal ist. Eine Folge von Netzwerkverkehr, der analysiert wird, wird als "abnormal" betrachtet, wenn zwei Kriterien erfüllt sind: (i) jede Ganzzahl im Meta-Ausdruck ist in der Sequenz von Ganzzahlen vorhanden, die dem Netzwerkverkehr entspricht, und (ii) jede Ganzzahl taucht in der gleichen Reihenfolge in sowohl der entsprechenden Sequenz von Ganzzahlen als auch im MetaAusdruck auf. Insbesondere wird eine Gruppe von Netzwerkpaketen beim ersten Erscheinen als normal betrachtet, in denen die Bedingung (i) nicht zutrifft. (Das Nichtzutreffen der Bedingung (ii) ist weniger hilfreich, da eine Sequenz von Ganzzahlen mehrere Erscheinungen einer bestimmten Ganzzahl haben kann, und für alle Erscheinungen Bedingung (ii) nicht zutreffen muss, damit die Bedingung (ii) als Ganzes nicht zutrifft.)
Wenn normaler Verkehr erkannt wird, folgt das UTMS Entscheidungsblock 130 bis Block 140, wo entsprechende Antworten erzeugt werden. Wenn normaler Datenverkehr erkannt wird, kehrt das UTMS zu Block 120 zurück und analysiert zusätzlichen Netzwerkverkehr. Die Blöcke 120–130 werden unter Bezugnahme auf 12 diskutiert. 12 veranschaulicht beispielhafte Gruppen von Netzwerkpaketen 1200–1209 und beispielhafte Meta-Ausdrücke 1210. Meta-Ausdruck 1210 kann einer der Meta-Ausdrücke sein, die während des Trainings (Block 110 aus 1) erzeugt wurden. Die Länge des Meta-Ausdrucks 1210 ist der Einfachheit halber verkürzt. Wie gezeigt, enthalten Gruppen von Netzwerkpaketen 1201, 1202 und 1209 alle Ganzzahlen von Meta-Ausdruck 1210, in der gleichen Reihenfolge, in der die Ganzzahlen im Meta-Ausdruck 1210 erscheinen. Somit werden die Gruppen von Netzwerkpaketen 1201, 1202 und 1209 als abnormal betrachtet. Gruppen von Netzwerkpaketen 1200 und 1203–1208 enthalten nicht alle der in Reihenfolge befindlichen Ganzzahlen von Meta-Ausdruck 1210. Somit werden die Gruppen von Netzwerkpaketen 1200 und 1203–1208 als normal betrachtet.
Wie aus der vorangegangenen Diskussion zu sehen, führt das UTMS bei Block 120 viele Ganzzahlen-Vergleiche durch. Somit ist die Optimierung der Ganzzahlen-Vergleiche wichtig für die Effizienz des UTMS. Erinnern Sie sich, dass eine Folge von Netzwerkverkehr beim ersten Erscheinen als normal betrachtet wird, bei dem eine Ganzzahl in dem Meta-Ausdruck in der Sequenz von Ganzzahlen, die dem Netzwerkverkehr entspricht, fehlt. Somit wird die Leistung des UTMS verbessert, wenn eine frühe "normale" Bestimmung gemacht werden kann. Zu diesem Zweck ist es vorteilhaft, die Technik des Blocks 120 so zu strukturieren, dass der Ganzzahlen-Vergleich zwischen einer Sequenz von Ganzzahlen und einem Meta-Ausdruck endet, sobald eine Ganzzahl aus dem Meta-Ausdruck als fehlend in der Sequenz von Ganzzahlen identifiziert wird.
In einer Ausführungsform verwendet Block 120 einen verschachtelten Computer-Programmiersprachen-Ausdruck, der einen Gesamtwert von "nicht-erfüllt" (z.B. ein Boolean-Wert) zurückgibt, wenn irgendeiner der verschachtelten Ebenen eine "nicht-erfüllte" Bedingung zurückgibt. Somit, sobald eine UTMS die Abwesenheit einer Ganzzahl (auf irgendeiner der verschachtelten Ebenen) identifiziert, endet die Verarbeitung des gesamten verschachtelten Programmiersprachen-Ausdrucks. Die entsprechende Folge von Netzwerkverkehr wird somit als normal betrachtet (in diesem Fall, ist keine weitere Bedrohungserkennung erforderlich), und eine nachfolgende Folge von Netzwerkverkehr kann analysiert werden. Zum Beispiel erlaubt die LISP-Computerprogrammiersprache für einen verschachtelten Ausdruck in Form von ((((A) (B)) (C)) (D)), der einen Gesamtwert von "nicht-erfüllt" zurückgibt, wenn irgendeine der Ausdrücke (A), (B), (C) und/oder (D) "nicht-erfüllt" ist. In diesem Beispiel kann der Ausdruck (A) abfragen, ob die erste Ganzzahl in einem Meta-Ausdruck in einer Sequenz von Ganzzahlen erscheint, und der Ausdruck (B) kann abfragen, ob die zweite Ganzzahl in dem Meta-Ausdruck in der Sequenz von Ganzzahlen erscheint, usw.
Bei Block 140 können geeignete Antworten erzeugt werden. Eine angemessene Antwort kann ein Benutzer- oder Systemalarm sein, der die Anwesenheit einer Netzwerkaktivität von Interesse anzeigt. Eine weitere angemessene Antwort kann sein, die Antwort von dem gefährdeten Netzwerkknoten zu reinigen, so dass der eindringende Netzwerkknoten nichts von dem "erfolgreichen" Angriff bemerkt. Noch eine andere angemessene Antwort kann sein, den Netzwerkknoten, der angegriffen wird, zu tarnen, so dass der angreifende Netzknoten den Zielnetzwerkknoten nicht mehr erreichen kann.
Abschnitte von Prozesses 100 (1) können in dem bespielhaften Computersystem 1300 umgesetzt werden, das in 13 veranschaulicht ist. In einigen Ausführungsformen, ist das Computersystem 1300 ein Netzwerkgerät, wie beispielsweise ein Router, ein Gateway oder eine Firewall oder dergleichen. In einigen Ausführungsformen ist das Computersystem 1300 eine Gateway-Vorrichtung, wie beispielsweise ein Modem oder dergleichen. In einigen Ausführungsformen ist das Computersystem 1300 ein Mobilgerät, wie beispielsweise ein Desktop-Computer, ein Laptop-Computer, ein Mobiltelefon, ein Tablet oder dergleichen. In einigen Ausführungsformen ist das Computersystem 1300 eine Netzwerkschnittstelle "Karte". Insbesondere können die Trainingsaspekte von Prozess 100 (d.h. Block 110) und die Laufzeit-Aspekte von Prozess 100 (d.h. Blöcke 120–140) auf den gleichen oder auf unterschiedlichen Computersystemen implementiert werden.
Wie in 13 dargestellt, enthält das Computersystem 1300 eine Computer-Hauptplatine 1302 mit einem Bus 1310, der den I/O-Abschnitt 1304, eine oder mehrere zentrale Verarbeitungseinheiten (CPU) 1306 und einen Speicherabschnitt 1308 miteinander verbindet. Der Speicherabschnitt 1308 kann ein Speichermodul 1320 haben, das mit ihm in Verbindung steht. Das Speichermodul 1320 kann zum Beispiel ein Flash-Speicher und/oder ein Wechselspeichergerät sein. Der I/O-Abschnitt 1304 ist mit einer Netzwerk-Schnittstelle 1312 verbunden, die Netzwerkpakete empfängt und/oder sendet. Der I/O-Abschnitt 1304 kann mit einer Anzeige 1314, einer Eingabevorrichtung 1316 und/oder einer Speichereinheit 1318 verbunden sein. Der Speicherabschnitt 1308, das Speichermodul 1320 und/oder eine Speichereinheit 1322 können ein computerlesbares Medium speichern (beispielsweise konkret verkörpert), das durch Computer ausführbare Befehle und/oder Daten zum Durchführen irgendeines der vorstehend beschriebenen Verfahren unter Verwendung der CPU 1306 enthält. Die durch Computer ausführbaren Befehle können beispielsweise in einer Universal-Programmiersprache (z.B. LISP, C) oder speziellen anwendungsspezifischen Sprachen geschrieben sein. Die Eingabevorrichtung 1316 kann ein USB-Port sein, der die Eingabe von USB-kompatiblen Geräten, wie einer Tastatur, einer Maus, einem, Memory-Stick, oder dergleichen unterstützt. Zumindest einige Werte basierend auf den Ergebnissen der vorstehend beschriebenen Prozesse, können in dem Speicher, wie beispielsweise Speicher 1308, Speichermodul 1320 und/oder eine Plattenspeichereinheit 1318 für die spätere Verwendung gespeichert werden.
Die Abschnitte des Prozesses 100 (1) können auch in einem Prozessor durch speziell angeordnete integrierte Schaltungen (z.B. anwendungsspezifische integrierte Schaltungen) implementiert werden. In einigen Ausführungsformen kann der integrierte Schaltkreis ein Teil des Hauptprozessors einer Vorrichtung sein, wie beispielsweise der Hauptprozessor eines Mobiltelefons. In einigen Ausführungsformen kann die integrierte Schaltung Teil eines Hilfsprozessors einer Vorrichtung sein, wie beispielsweise ein Prozessor, der mit der Hauptplatine eines Laptops verbunden ist. Die integrierten Schaltungen können durch Computer ausführbare Befehle und/oder Daten enthalten, zum Ausführen irgendeines der vorstehend beschriebenen Prozesse. Die durch Computer ausführbaren Befehle können, beispielsweise in einer speziellen anwendungsspezifischen (z.B. prozessorspezifischen) Sprache geschrieben sein.
In manchen Ausführungsformen sind durch Computer ausführbare Befehle, auf der Basis der C-Programmiersprache, die kleiner als 1 MB insgesamt sind, ausreichend, um Prozess 100 (1) auszuführen. Die Ausführung dieser durch Computer ausführbaren Befehle erfordert nicht mehr als 300 Kilobytes (16-Bit-Bytes) an Laufzeitspeicher (z.B. Schreib-Lese-Speicher). Moderne Computersysteme und/oder Prozessoren sind gut in der Lage durch Computer ausführbare Befehle dieser Größe zu verarbeiten. Tatsächlich ist in diesen Ausführungsformen, die Netzwerk-Schnittstellen-Bandbreite (d.h. Eingangsbandbreite) und nicht die Prozessorgeschwindigkeit typischerweise der Eingangstor-Faktor für die Verarbeitung noch höherer Volumina an Netzwerkverkehr.
Obwohl nur bestimmte Ausführungsbeispiele im Detail vorstehend beschrieben wurden, wird der Fachmann leicht erkennen, dass viele Modifikationen in den Ausführungsformen möglich sind, ohne wesentlich von den neuen Lehren und Vorteilen der vorliegenden Offenbarung abzuweichen. Aspekte der vorstehend offenbarten Ausführungsformen können in anderen Kombinationen kombiniert werden, um zusätzliche Ausführungsformen zu bilden. Es ist beabsichtigt, dass alle derartigen Modifikationen sich innerhalb des Rahmens dieser Technik befinden.
Beispielsweise können in einigen Ausführungsformen, die vorstehend beschriebenen Techniken verwendet werden, um andere Arten von elektronischen Informationen von Interesse zu erkennen. Eine besonders geeignete Anpassung der vorstehenden Techniken ist die Erkennung von schädlichem Gewebe, wie beispielsweise Tumoren, die in medizinischen radiologischen Bildern vorhanden sind. Das heißt, der beispielhafte Prozess 100 kann angepasst werden, die Erkennung von Informationen von Interesse in der Computerbildverarbeitung durch ein Computerbildverarbeitungssystem zu unterstützen.
14 veranschaulicht Prozess 1400, der eine mögliche Anpassung von Prozess 100 zum Erkennen von schädlichem Gewebe in radiologischen Bildern repräsentiert. Bei Block 1410 wird ein Computer-Bildverarbeitungssystem trainiert, um Eigenschaften in den radiologischen Bildern zu erkennen, die mit schädlichem Gewebe in Zusammenhang stehen. Insbesondere kann das Computer-Bildverarbeitungssystem verschiedene radiologische Bilder erhalten, die von Ärzten bestätigt worden sind, dass sie schädliches Gewebe zeigen. Aus den Pixeldaten der radiologischen Bilder identifiziert das Computer-Bildverarbeitungssystem begrenzte Sequenzen von Daten (d.h. einen Meta-Ausdruck), die später verwendet werden können, um die Anwesenheit von ähnlichem schädlichen Gewebe in anderen, unbekannten (d.h. noch nicht durch Ärzte verifizierten) radiologischen Bildern zu identifizieren.
Bei Block 1420 erhält das Computer-Bildverarbeitungssystem ein unbekanntes radiologisches Bild, das schädliches Gewebe zeigen kann oder nicht. Das Computer-Bildverarbeitungssystem bestimmt bei Block 1430, ob das unbekannte radiologische Bild die gleiche begrenzte Sequenz an Daten enthält, die bei Block 1410 identifiziert wurde. Wenn die gleiche begrenzte Sequenz an Daten in dem unbekannten Bild gefunden wird, benachrichtigt das Computerbildsystem einen Benutzer in Block 1440, dass schädliches Gewebe in dem unbekannten radiologischen Bild gefunden wurde.
15 veranschaulicht den beispielhaften Prozess 1500 für die Erzeugung von Meta-Ausdrücken, wie vorstehend beschrieben. In einigen Ausführungsformen kann der Prozess 1500 die Merkmale von Block 1410 (14) ausführen. Bei Block 1510 von Prozess 1500 werden Pixeldaten aus einem radiologischen Bild durch das Computer-Bildverarbeitungssystem erhalten und es werden Sequenzen von bitweisen Daten aus dem radiologischen Bild erzeugt.
Eine beispielhafte Erzeugung von Sequenzen von bitweisen Daten wird mit Bezug auf die 16A–B diskutiert. 16A veranschaulicht das radiologische Bild 1610, welches das Organ 1611 mit schädlichem Gewebe enthält. Das radiologische Bild 1610 umfasst eine Anzahl von Pixeln, einschließlich beispielhafter Pixel 1612. Jeder Pixel des radiologischen Bilds 1610, einschließlich Pixel 1612, kann bei Block 1510 (15) verarbeitet werden.
Die Verarbeitung des beispielhaften Pixels 1612 wird unter Bezugnahme auf 16B diskutiert. In 16B, wird Pixel 1612 in größerem Maßstab mit seinen umliegenden Pixeln gezeigt. Bei der Verarbeitung von Pixel 1612 werden imaginäre Linien 1621–1628, die sich jeweils von Pixel 1612 in Richtung der Ränder des radiologischen Bilds 1610 nach außen erstrecken, von dem Computer-Bildverarbeitungssystem bestimmt. Jede imaginäre Linie schneidet eine Anzahl anderer Pixel zwischen Pixel 1612 und einem Rand des radiologischen Bilds 1610. So beginnt beispielsweise die imaginäre Linie 1621 bei Pixel 1612 und schneidet Pixel 1613, 1614, 1615 und 1616, während die imaginäre Linie 1622 bei Pixel 1612 beginnt und eine Anzahl anderer Pixel schneidet.
Das Computer-Bildverarbeitungssystem erzeugt eine Sequenz von bitweisen Daten basierend auf jeder imaginäre Linie, die von Pixel 1612 ausstrahlt. Insbesondere wird der Wert eines jeden Pixels, der durch eine imaginäre Linie geschnitten wird, in einer Sequenz gespeichert, um eine Sequenz von bitweisen Daten zu bilden. Der Wert eines Pixels kann beispielsweise einen RGB-Wert des Pixels, eine Transparenz des Pixels, repräsentieren oder kann von einigen anderen Meta-Daten erlangt werden, die von der Computerbilddatei zu dem radiologischen Bild 1610 bereitgestellt werden. Wenn beispielsweise das radiologische Bild 1610 ein PNG-Bild mit einer Graustufen-Farbtiefe von 16 Bit bei jedem Pixel ist, kann eine Sequenz von 80 Bits auf der Grundlage der Werte von Pixeln von 1612–1616 erzeugt werden, die durch die imaginäre Linie 1621 geschnitten werden, von je 16-Bit. Eine weitere Sequenz von 80 Bits kann auf der Grundlage der fünf Pixel erzeugt werden, die durch imaginäre Linie 1622 geschnitten werden. Auf diese Weise können mehrere Sequenzen von bitweisen Daten für jeden Pixel eines radiologischen Bildes erzeugt werden. Die Längen der verschiedenen Bit-Zeichenketten können basierend auf dem Abstand zwischen einem Pixel und einem Rand des radiologischen Bilds, das verarbeitet wird, variieren. Dieser Prozess kann für jeden Pixel im radiologischen Bild 1610 wiederholt werden.
Bei Block 1520 wird der Inhalt der Sequenzen von bitweisen Daten, die in Block 1510 erzeugt werden, in Ganzzahlen umgewandelt, wodurch eine Sequenz von Ganzzahlen für jede Sequenz von bitweisen Daten erzeugt wird. In einer Ausführungsform werden 8-Bit-Ganzzahlen verwendet, was bedeutet, dass eine Sequenz von 80 Bit in eine Sequenz von zehn 8-Bit-Ganzzahlen umgewandelt wird. Bei den Blöcken 1530–1540 wird eine Abstandsfunktion verwendet, um Eigenschaften von den Sequenzen von Ganzzahlen, die durch Block 1520 erzeugt werden, zu identifizieren. Die Blöcke 1530–1540 können die Techniken der Blöcke 340–350 (3) verwenden. Bei Block 1550 können Meta-Ausdrücke, die verwendet werden können, um schädliches Gewebe ähnlich zu dem im gegenwärtigen Organ 1610 (16A) zu identifizieren, bestimmt werden. Block 1550 kann die Techniken von Block 360 (3) verwenden.
Abschnitte des Prozesses 1400 (14) können in einem beispielhaften Rechensystem 1300, welches in 13 dargestellt ist, umgesetzt werden. Auf diese Weise werden Meta-Ausdrücke erzeugt, die zur Bestimmung nützlich sind, ob ein radiologisches Bild schädliches Gewebe zeigt, und optional können die Meta-Ausdrücke verwendet werden, um die Anwesenheit von schädlichem Gewebe in radiologischen Bildern zu bestimmen.

Claims

Ein computerimplementiertes Verfahren zum Erfassen einer Netzwerkaktivität von Interesse, wobei das Verfahren umfasst: Erhalten, von einem oder mehreren Prozessoren, eine Vielzahl von Netzwerkpaketen von einem Netzwerk, wobei die erhaltene Vielzahl von Netzwerkpaketen Netzwerkpakete umfasst, die als Übertragungssteuerungsprotokoll(TCP)-Pakete und Internetprotokoll(IP)-Pakete kategorisiert sind, wobei die erhaltene Vielzahl von Netzwerkpaketen die Netzwerkaktivität von Interesse enthalten; Erzeugen, durch den einen oder die mehreren Prozessoren, eine Vielzahl von kombinierten Paketen von zumindest einer Untergruppe der Vielzahl von TCP-Paketen und IP-Paketen, wobei: ein erstes kombiniertes Paket aus der Vielzahl der kombinierten Pakete einen Abschnitt von zumindest einem der TCP-Pakete und ein Abschnitt von zumindest einem der IP-Pakete umfasst, und ein zweites kombiniertes Paket aus der Vielzahl der kombinierten Pakete einen Abschnitt von zumindest einem der TCP-Pakete, und einen Abschnitt von zumindest einem der IP-Pakete umfasst, wobei das zweite kombinierte Paket sich von dem ersten kombinierten Paket unterscheidet; Erzeugen, durch den einen oder die mehreren Prozessoren, einer ersten Sequenz durch Umwandeln von bitweisem Inhalt von zumindest einem Abschnitt des ersten kombinierten Pakets in eine erste Vielzahl von Ganzzahlen, wobei die erste Sequenz die erste Vielzahl von Ganzzahlen enthält; Erzeugen, durch den einen oder die mehreren Prozessoren, einer zweiten Sequenz durch Umwandeln von bitweisem Inhalt von zumindest einem Abschnitt des zweiten kombinierten Pakets in eine zweite Vielzahl von Ganzzahlen, wobei die zweite Sequenz die zweite Vielzahl von Ganzzahlen enthält; Bestimmen, durch den ein oder die mehreren Prozessoren, eine Ähnlichkeitsmetrik zwischen der ersten Sequenz und der zweiten Sequenz basierend auf einer Abstandsfunktion; Erzeugen, durch den einen oder die mehreren Prozessoren, einer dritten Sequenz, basierend auf der Ähnlichkeitsmetrik, wobei die dritte Sequenz eine dritte Vielzahl von Ganzzahlen umfasst, die die erste Sequenz und die zweite Sequenz gemeinsam haben, in der ersten Reihenfolge; Erzeugen, durch den einen oder mehrere Prozessoren, einer vierten Sequenz, wobei die vierte Sequenz ein Meta-Ausdruck ist, der: eine Untergruppe der dritten Vielzahl von Ganzzahlen der dritten Liste, in der ersten Reihenfolge aufweist, und der Anwesenheit der Netzwerkaktivität von Interesse in dem Netzwerkverkehr entspricht; und Speichern des Meta-Ausdrucks, wobei der gespeicherte Meta-Ausdruck verwendet wird, um die Anwesenheit der Netzwerkaktivität von Interesse zu detektieren.
Computerimplementiertes Verfahren nach Anspruch 1, wobei: die Netzwerkaktivität von Interesse eine Bedrohung auf der Basis eines Computervirus ist.
Computerimplementiertes Verfahren nach Anspruch 1, wobei das Erzeugen des ersten kombinierten Pakets umfasst: Identifizieren eines ersten TCP-Pakets aus der Vielzahl von Netzwerkpaketen, die eine Anforderung repräsentieren; Identifizieren eines zweiten TCP-Pakets aus der Vielzahl von Netzwerkpaketen, die eine Bestätigung repräsentieren, wobei das zweite TCP-Paket: nach dem ersten TCP-Paket auftritt, und ein Bestätigung repräsentiert, die dem ersten TCP-Paket entspricht; und Identifizieren eines dritten TCP-Pakets aus der Vielzahl von Netzwerkpaketen, wobei das dritte TCP-Paket zwischen dem ersten TCP-Paket und dem zweiten TCP-Paket auftritt.
Computerimplementiertes Verfahren nach Anspruch 1, wobei: die Ähnlichkeitsmetrik einen Unterschied zwischen einer Position einer Ganzzahl in der ersten Sequenz und einer Position der Ganzzahl in der zweiten Sequenz repräsentiert, und die Ganzzahl in der dritten Sequenz enthalten ist, wenn der Unterschied innerhalb eines ersten vorbestimmten Abstands ist.
Computerimplementiertes Verfahren nach Anspruch 4, wobei: der erste vorbestimmte Abstand vier ist.
Computerimplementiertes Verfahren nach Anspruch 1, wobei: die Ganzzahlen der vierten Sequenz, in der ersten Reihenfolge, in zumindest einer vorbestimmten Häufigkeit unter der Vielzahl der kombinierten Pakete erscheinen, wobei die Häufigkeit zwischen 80–90% Prozent ist, inklusive.
Das computerimplementierte Verfahren nach Anspruch 1, wobei: die erste, zweite und dritte Vielzahl von Ganzzahlen 8-Bit-Ganzzahlen sind.
Das computerimplementierte Verfahren nach Anspruch 7, wobei: das Umwandeln des bitweisen Inhalts von zumindest einem Abschnitt der ersten kombinierten Pakete in die erste Vielzahl von Ganzzahlen ein Gruppieren des bitweisen Inhalts von zumindest einem Abschnitt des ersten kombinierten Pakets in 8 Bit-Ganzzahlen umfasst.
Ein computerimplementiertes Verfahren zum Erfassen einer Netzwerkaktivität von Interesse, wobei das Verfahren umfasst: a) Erhalten, von einem oder mehreren Prozessoren, eine Vielzahl von Netzwerkpaketen von einem Netzwerk, wobei die erhaltene Vielzahl von Netzwerkpaketen Netzwerkpakete umfasst, die als Übertragungssteuerungsprotokoll(TCP)-Pakete und Internetprotokoll(IP)-Pakete kategorisiert sind, wobei die erhaltene Vielzahl an Netzwerkpaketen, die Netzwerkaktivität von Interesse enthält; b) Erzeugen, durch den einen oder die mehreren Prozessoren, ein kombiniertes Paket aus zumindest einer Untergruppe der Vielzahl von TCP-Paketen und IP-Paketen, die in a) erhaltenen werden, wobei das kombinierte Paket einen Abschnitt von zumindest einem der TCP-Pakete und einen Abschnitt von zumindest einem der IP-Pakete umfasst; c) Erhalten eines Meta-Ausdrucks, der: eine Vielzahl von Ganzzahlen in einer Reihenfolge aufweist, und der Anwesenheit der Netzwerkaktivität von Interesse im Netzwerkverkehr entspricht; d) Bestimmen, ob der Meta-Ausdruck, der in c) erhaltenen wird, in dem kombinierten Paket erscheint, das in b) erzeugt wird e) wenn der Meta-Ausdruck, der in c) erhalten wird, in dem kombinierten Paket erscheint, welches in b) erzeugt wird, dann wird ein Vorgang initiiert.
Computerimplementiertes Verfahren nach Anspruch 9, wobei das Bestimmen umfasst: Bestimmen, ob die Vielzahl von Ganzzahlen, die in einer Reihenfolge sind, von dem Meta-Ausdruck, der in c) erhaltenen wird, in dem kombinierten Paket, welches in b) erzeugt wird, in der gleichen Reihenfolge erscheinen.
Computerimplementiertes Verfahren nach Anspruch 9, wobei der Betrieb das Filtern eines TCP-Pakets oder eines IP-Pakets umfasst.
Computerimplementiertes Verfahren nach Anspruch 9, wobei der Betrieb das Tarnen eines Netzknotens umfasst, der die erhaltene Vielzahl an Netzwerkpaketen übertragen hat.
Computerimplementiertes Verfahren nach Anspruch 9, wobei das Erzeugen des kombinierten Pakets umfasst: Identifizieren eines ersten TCP-Pakets, das eine Anforderung repräsentiert; Identifizieren eines zweiten TCP-Pakets, das eine Bestätigung repräsentiert, wobei das zweite TCP-Paket: nach dem ersten TCP-Paket auftritt, und eine Bestätigung repräsentiert, die dem ersten TCP-Paket entspricht; und Identifizieren eines dritten TCP-Pakets, wobei das dritte TCP-Paket zwischen dem ersten TCP-Paket und dem zweiten TCP-Paket auftritt.
Eine Netzwerkvorrichtung zum Erfassen einer Netzwerkaktivität von Interesse, umfassend: einen Netzwerk-Port zum Verbinden mit einer Netzwerkinfrastruktur, wobei der Netzwerk-Port angepasst ist, eine Vielzahl von Netzwerkpaketen zu erhalten, wobei die erhaltene Vielzahl von Netzwerkpaketen Netzwerkpakete umfasst, die als Übertragungssteuerungsprotokoll(TCP)-Pakete und Internetprotokoll(IP)-Pakete kategorisiert sind, wobei die erhaltene Vielzahl an Netzwerkpaketen, die Netzwerkaktivität von Interesse enthalten; einen Prozessor, der mit dem Netzwerk-Port verbunden ist, wobei der Prozessor angepasst ist, zum Erzeugen einer Vielzahl von kombinierten Paketen, die von zumindest einer Untergruppe der Vielzahl von TCP-Paketen und IP-Paketen, wobei: ein erstes kombiniertes Paket der Vielzahl von kombinierten Paketen einen Abschnitt von zumindest einem der TCP-Pakete und einen Abschnitt von zumindest einem der IP-Pakete umfasst, und ein zweites kombiniertes Paket der Vielzahl von kombinierten Paketen einen Abschnitt von zumindest einem der TCP-Pakete und einen Abschnitt von zumindest einem der IP-Pakete umfasst, wobei das zweite kombinierte Paket sich von dem ersten kombinierten Paket unterscheidet; Erzeugen einer ersten Sequenz durch Umwandeln von bitweisem Inhalt von zumindest einem Abschnitt des ersten kombinierten Pakets in eine erste Vielzahl von Ganzzahlen, wobei die erste Sequenz eine erste Vielzahl von Ganzzahlen enthält; Erzeugen einer zweiten Sequenz durch Umwandeln von bitweisem Inhalt von zumindest einem Abschnitt des zweiten kombinierten Pakets in eine zweite Vielzahl von Ganzzahlen, wobei die zweite Sequenz die zweite Vielzahl von Ganzzahlen umfasst; Bestimmen einer Ähnlichkeitsmetrik zwischen der ersten Sequenz und der zweiten Sequenz basierend auf einer Abstandsfunktion; Erzeugen einer dritten Sequenz basierend auf der Ähnlichkeitsmetrik, wobei die dritte Sequenz eine dritte Vielzahl von Ganzzahlen, die die erste Sequenz und die zweite Sequenz gemeinsam haben, umfasst, in der ersten Reihenfolge; und Erzeugen einer vierten Sequenz, wobei die vierte Sequenz ein Meta-Ausdruck ist, der: eine Untergruppe der dritten Vielzahl von Ganzzahlen der dritten Liste in der ersten Reihenfolge umfasst, und der Anwesenheit der Netzwerkaktivität von Interesse in dem Netzwerkverkehr entspricht; und einen Speicher, der mit dem Prozessor verbunden ist, wobei der Speicher angepasst ist, den Meta-Ausdruck zu speichern, wobei der gespeicherte Metadaten-Ausdruck verwendet wird, um die Anwesenheit der Netzwerkaktivität von Interesse zu erkennen.
Die Netzwerkvorrichtung nach Anspruch 14, wobei: die Netzwerkaktivität von Interesse eine Bedrohung basierend auf einem Computervirus ist.
Die Netzwerkvorrichtung nach Anspruch 14, wobei das Erzeugen des ersten kombinierten Pakets umfasst: Identifizieren eines ersten TCP-Pakets aus der Vielzahl von Netzwerkpaketen, die eine Anforderung repräsentieren; Identifizieren eines zweiten TCP-Pakets aus der Vielzahl von Netzwerkpaketen, die eine Bestätigung repräsentieren, wobei das zweite TCP-Paket: nach dem ersten TCP-Paket auftritt, und eine Bestätigung repräsentiert, die dem ersten TCP-Paket entspricht; und Identifizieren eines dritten TCP-Pakets aus der Vielzahl von Netzwerkpaketen, wobei das dritte TCP-Paket zwischen dem ersten TCP-Paket und dem zweiten TCP-Paket auftritt.
Die Netzwerkvorrichtung nach Anspruch 14, wobei: die Ähnlichkeitsmetrik einen Unterschied zwischen einer Position einer Ganzzahl in der ersten Sequenz und einer Position der Ganzzahl in der zweiten Sequenz repräsentiert, und die Ganzzahl in der dritten Sequenz enthalten ist, wenn der Unterschied innerhalb eines ersten vorbestimmten Abstands ist.
Die Netzwerkvorrichtung nach Anspruch 17, wobei: der erste vorbestimmte Abstand vier ist.
Die Netzwerkvorrichtung nach Anspruch 14, wobei: die Ganzzahlen der vierten Sequenz in der ersten Reihenfolge, in zumindest einer vorbestimmten Häufigkeit unter der Vielzahl der kombinierten Pakete erscheinen, und wobei die Häufigkeit zwischen 80–90% Prozent ist, inklusive.
Die Netzwerkvorrichtung nach Anspruch 14, wobei: die erste, zweite und dritte Vielzahl von Ganzzahlen 8-Bit-Ganzzahlen sind.
Die Netzwerkvorrichtung nach Anspruch 14, wobei das Umwandeln des bitweisen Inhalts von zumindest einem Abschnitt der ersten kombinierten Pakete in die erste Vielzahl von Ganzzahlen ein Gruppieren des bitweisen Inhalts von zumindest einem Abschnitt des ersten kombinierten Pakets in 8 Bit-Ganzzahlen umfasst.
Ein nicht-transitorisches computerlesbares Speichermedium mit computerausführbaren Anweisungen zum Erfassen einer Netzwerkaktivität von Interesse, wobei die computerausführbaren Anweisungen Anweisungen umfassen zum: Erhalten einer Vielzahl von Netzwerkpaketen von einem Netzwerk, wobei die erhaltene Vielzahl von Netzwerkpaketen Netzwerkpakete umfasst, die als Übertragungssteuerungsprotokoll(TCP)-Pakete und Internetprotokoll(IP)-Pakete kategorisiert sind, wobei die erhaltene Vielzahl von Netzwerkpaketen die Netzwerkaktivität von Interesse enthält; Erzeugen einer Vielzahl von kombinierten Paketen von einer Untergruppe der Vielzahl von TCP-Paketen und IP-Paketen, wobei: ein erstes kombiniertes Paket aus der Vielzahl der kombinierten Pakete einen Abschnitt von zumindest einem der TCP-Pakete und einen Abschnitt von zumindest einem der IP-Pakete umfasst, und ein zweites kombiniertes Paket aus der Vielzahl der kombinierten Pakete einen Abschnitt von zumindest einem der TCP-Pakete und einen Abschnitt von zumindest einem der IP-Pakete umfasst, wobei das zweite kombinierte Paket sich von dem ersten kombinierten Paket unterscheidet; Erzeugen, durch den einen oder mehrere Prozessoren, eine erste Sequenz durch Umwandeln von bitweisem Inhalt von zumindest einem Abschnitt des ersten kombinierten Pakets in eine erste Vielzahl von Ganzzahlen, wobei die erste Sequenz die erste Vielzahl von Ganzzahlen enthält; Erzeugen, durch den einen oder mehrere Prozessoren, eine zweite Sequenz durch Umwandeln von bitweisem Inhalt von zumindest einem Abschnitt des zweiten kombinierten Pakets in eine zweite Vielzahl von Ganzzahlen, wobei die zweite Sequenz die zweite Vielzahl von Ganzzahlen enthält; Bestimmen einer Ähnlichkeitsmetrik zwischen der ersten Sequenz und der zweiten Sequenz basierend auf einer Abstandsfunktion; Erzeugen einer dritten Sequenz, basierend auf der Ähnlichkeitsmetrik, wobei die dritte Sequenz eine dritte Vielzahl von Ganzzahlen umfasst, die die erste Sequenz und die zweite Sequenz gemeinsam haben, in der ersten Reihenfolge; Erzeugen einer vierten Sequenz, wobei die vierte Sequenz ein Meta-Ausdruck ist, der: eine Untergruppe der dritten Vielzahl von Ganzzahlen der dritten Liste, in der ersten Reihenfolge umfasst, und der Anwesenheit der Netzwerkaktivität von Interesse in dem Netzwerkverkehr entspricht; und Speichern des Meta-Ausdrucks, wobei der gespeicherte Meta-Ausdruck verwendet wird, um die Anwesenheit der Netzwerkaktivität von Interesse zu erkennen.
Das nicht-transitorische computerlesbare Medium nach Anspruch 22, wobei: die Netzwerkaktivität von Interesse eine Bedrohung auf der Basis eines Computervirus ist.
Das nicht-transitorische computerlesbare Medium nach Anspruch 22, wobei das Erzeugen des ersten kombinierten Pakets umfasst: Identifizieren eines ersten TCP-Pakets aus der Vielzahl von Netzwerkpaketen, die eine Anforderung repräsentieren; Identifizieren eines zweiten TCP-Pakets aus der Vielzahl von Netzwerkpaketen, die eine Bestätigung repräsentieren, wobei das zweite TCP-Paket: nach dem ersten TCP-Paket auftritt, und ein Bestätigung repräsentiert, die dem ersten TCP-Paket entspricht; und Identifizieren eines dritten TCP-Pakets aus der Vielzahl von Netzwerkpaketen, wobei das dritte TCP-Paket zwischen dem ersten TCP-Paket und dem zweiten TCP-Paket auftritt.
Das nicht-transitorische computerlesbare Medium nach Anspruch 22, wobei: die Ähnlichkeitsmetrik einen Unterschied zwischen einer Position einer Ganzzahl in der ersten Sequenz und einer Position der Ganzzahl in der zweiten Sequenz repräsentiert, und die Ganzzahl in der dritten Sequenz enthalten ist, wenn der Unterschied innerhalb eines ersten vorbestimmten Abstands ist.
Das nicht-transitorische computerlesbare Medium nach Anspruch 25, wobei: der erste vorbestimmte Abstand vier ist.
Das nicht-transitorische computerlesbare Medium nach Anspruch 22, wobei: die Ganzzahlen der vierten Sequenz, in der ersten Reihenfolge, in zumindest einer vorbestimmten Häufigkeit unter der Vielzahl der kombinierten Pakete erscheinen, wobei die Häufigkeit zwischen 80–90% Prozent ist, inklusive.
Das nicht-transitorische computerlesbare Medium nach Anspruch 22, wobei: die erste, zweite und dritte Vielzahl von Ganzzahlen 8-Bit-Ganzzahlen sind.
Das nicht-transitorische computerlesbare Medium nach Anspruch 28, wobei: das Umwandeln des bitweisen Inhalts von zumindest einem Abschnitt der ersten kombinierten Pakete in die erste Vielzahl von Ganzzahlen ein Gruppieren des bitweisen Inhalts von zumindest einem Abschnitt des ersten kombinierten Pakets in 8 Bit-Ganzzahlen umfasst.
Das Computerimplementierte Verfahren nach Anspruch 1, wobei der eine oder die mehreren Prozessoren Prozessoren einer ersten Rechenvorrichtung sind, wobei der gespeicherte Meta-Ausdruck auf der ersten Rechenvorrichtung gespeichert ist, und das Verfahren ferner umfasst: Erfassen, durch den einen oder die mehreren Prozessoren der ersten Rechenvorrichtung, die Netzwerkaktivität von Interesse unter Verwendung des gespeicherten Meta-Ausdrucks.
Das computerimplementierte Verfahren nach Anspruch 1, wobei der eine oder die mehreren Prozessoren Prozessoren einer ersten Rechenvorrichtung sind, wobei der gespeicherte Meta-Ausdruck auf der ersten Rechenvorrichtung gespeichert ist, und das Verfahren ferner umfasst: Übertragen, von der ersten Rechenvorrichtung zu einer zweiten Rechenvorrichtung, den gespeicherten Meta-Ausdruck, wobei sich die erste Rechenvorrichtung von der zweiten Rechenvorrichtung unterscheidet; Speichern, durch die zweite Rechenvorrichtung, des übertragenen Meta-Ausdrucks; und Erkennen, durch die zweite Rechenvorrichtung, die Netzwerkaktivität von Interesse unter Verwendung des Meta-Ausdrucks, der auf der zweiten Rechenvorrichtung gespeichert ist.
Die Netzwerkvorrichtung nach Anspruch 14, wobei der Prozessor des Weiteren angepasst ist zum: Erkennen der Netzwerkaktivität von Interesse unter Verwendung des gespeicherten Meta-Ausdrucks.
Die Netzwerkvorrichtung nach Anspruch 14, wobei der Prozessor des Weiteren angepasst ist zum: Übertragen, zu einer anderen Netzwerkrechenvorrichtung, den gespeicherten Meta-Ausdruck, wobei der übertragene Meta-Ausdruck durch die andere Netzwerkrechenvorrichtung gespeichert wird, und wobei der übertragene Meta-Ausdruck durch die andere Netzwerkrechenvorrichtung verwendet wird, um die Netzwerkaktivität von Interesse zu erkennen.
Das nicht-transitorische computerlesbare Medium nach Anspruch 22, wobei der gespeicherte Meta-Ausdruck auf einer ersten Rechenvorrichtung gespeichert wird, und wobei die durch Computer ausführbaren Anweisung Anweisung umfassen zum: Erfassen, durch die erste Rechenvorrichtung, der Netzwerkaktivität von Interesse unter Verwendung des gespeicherten Metadaten-Ausdrucks.
Das nicht-transitorische computerlesbare Medium nach Anspruch 22, wobei der gespeicherte Meta-Ausdruck auf einer ersten Rechenvorrichtung gespeichert ist, und wobei die durch Computer ausführbaren Anweisungen Anweisungen zum: Übertragen, von der ersten Rechenvorrichtung zu einer zweiten Rechenvorrichtung, des gespeicherten Meta-Ausdrucks, wobei die erste Rechenvorrichtung sich von der zweiten Rechenvorrichtung unterscheidet, wobei der übertragene Meta-Ausdruck durch die zweite Rechenvorrichtung gespeichert wird, und wobei der übertragene Meta-Ausdruck durch die zweite Rechenvorrichtung verwendet wird, um die Netzwerkaktivität von Interesse zu erkennen.