JP6757986B2 - Ｃａｅ基盤で異常なトラフィックを探知する方法および装置 - Google Patents

Ｃａｅ基盤で異常なトラフィックを探知する方法および装置 Download PDF

Info

Publication number
JP6757986B2
JP6757986B2 JP2018243019A JP2018243019A JP6757986B2 JP 6757986 B2 JP6757986 B2 JP 6757986B2 JP 2018243019 A JP2018243019 A JP 2018243019A JP 2018243019 A JP2018243019 A JP 2018243019A JP 6757986 B2 JP6757986 B2 JP 6757986B2
Authority
JP
Japan
Prior art keywords
cae
traffic
stage
image
converting
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2018243019A
Other languages
English (en)
Other versions
JP2020102178A (ja
Inventor
スンヨン パク
スンヨン パク
サンギュ シム
サンギュ シム
ドクス キム
ドクス キム
ソクウ イ
ソクウ イ
ミョンジン キム
ミョンジン キム
Original Assignee
ペンタ・セキュリティ・システムズ・インコーポレーテッド
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ペンタ・セキュリティ・システムズ・インコーポレーテッド filed Critical ペンタ・セキュリティ・システムズ・インコーポレーテッド
Publication of JP2020102178A publication Critical patent/JP2020102178A/ja
Application granted granted Critical
Publication of JP6757986B2 publication Critical patent/JP6757986B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06T—IMAGE DATA PROCESSING OR GENERATION, IN GENERAL
    • G06T11/00—2D [Two Dimensional] image generation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/21—Design or setup of recognition systems or techniques; Extraction of features in feature space; Blind source separation
    • G06F18/214—Generating training patterns; Bootstrap methods, e.g. bagging or boosting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/045—Combinations of networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • G06N3/088—Non-supervised learning, e.g. competitive learning
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06T—IMAGE DATA PROCESSING OR GENERATION, IN GENERAL
    • G06T9/00—Image coding
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06V—IMAGE OR VIDEO RECOGNITION OR UNDERSTANDING
    • G06V30/00—Character recognition; Recognising digital ink; Document-oriented image-based pattern recognition
    • G06V30/10—Character recognition
    • G06V30/19—Recognition using electronic means
    • G06V30/191—Design or setup of recognition systems or techniques; Extraction of features in feature space; Clustering techniques; Blind source separation
    • G06V30/1916—Validation; Performance evaluation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06V—IMAGE OR VIDEO RECOGNITION OR UNDERSTANDING
    • G06V30/00—Character recognition; Recognising digital ink; Document-oriented image-based pattern recognition
    • G06V30/10—Character recognition
    • G06V30/19—Recognition using electronic means
    • G06V30/191—Design or setup of recognition systems or techniques; Extraction of features in feature space; Clustering techniques; Blind source separation
    • G06V30/19173—Classification techniques
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06V—IMAGE OR VIDEO RECOGNITION OR UNDERSTANDING
    • G06V30/00—Character recognition; Recognising digital ink; Document-oriented image-based pattern recognition
    • G06V30/10—Character recognition
    • G06V30/19—Recognition using electronic means
    • G06V30/196—Recognition using electronic means using sequential comparisons of the image signals with a plurality of references
    • G06V30/1983—Syntactic or structural pattern recognition, e.g. symbolic string recognition
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/048—Activation functions
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • G06N3/082—Learning methods modifying the architecture, e.g. adding, deleting or silencing nodes or connections
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/168—Implementing security features at a particular protocol layer above the transport layer

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Data Mining & Analysis (AREA)
  • Multimedia (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Artificial Intelligence (AREA)
  • Evolutionary Computation (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Biophysics (AREA)
  • Computational Linguistics (AREA)
  • General Health & Medical Sciences (AREA)
  • Molecular Biology (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Evolutionary Biology (AREA)
  • Image Analysis (AREA)

Description

本発明はＣＡＥ基盤で異常なトラフィックを探知する方法および装置に関するものであって、さらに詳細には、正常なトラフィックをコンボリューショナルオートエンコーダー（ＣＡＥ）で学習し、学習したコンボリューショナルオートエンコーダーにテスト対象トラフィックを入力して異常なトラフィックを探知する技術に関するものである。
最近移動通信をはじめとする超高速通信が広く普及されるにつれて、サーバーとインターネット間のＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）基盤の通信トラフィックが急速に増加している。ここで、ＨＴＴＰはハイパーテキスト（ｈｙｐｅｒｔｅｘｔ）文書を交換するために使用される通信規約（ｐｒｏｔｏｃｏｌ）であり、ハイパーテキストは文書の間に特定キーワードを置いて文字や絵を相互に有機的に結合して連結させることによって、互いに異なる文書であっても一つの文書のように見せながら参照し易いようにする方式を意味する。
このようなＨＴＴＰ基盤の通信トラフィックの中には、一般的な使用者が使用するトラフィックだけでなく悪意ある目的を有した攻撃者によって過度に誘発される異常トラフィックが含まれている。このような異常トラフィックは、サーバー接続遅延やサーバー接続不可のように、一般の使用者に大きな不便を与えているため、異常トラフィックを探知するための努力が続いている。
既存の異常トラフィックを探知する手段は、パケットの数や大きさのように量的な変化をモニタリングして急激な変化がある時に異常トラフィックであると探知することが一般的であるが、異常トラフィックは必ずしもパケットの量や大きさで分別できるものではないため、正常トラフィックを異常トラフィックに誤って探知する問題が発生し得る。
一方、最近ではＣＮＮ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）を利用したイメージ認識技術に対する研究が盛んに行われており、このためイメージを認識する性能を向上させるための多様なネットワーク構造が提案されている。しかし、既存のＣＮＮ基盤イメージ認識技術は、イメージを入力データで入力を受けて学習するため。トラフィックの異常の有無を検出するのに不適合な問題がある。
したがって、従来のトラフィック分析方式から脱皮して人工神経網基盤でトラフィックを分析して異常トラフィックを探知できる方案が必要であるのが実情である。
前記のような問題点を解決するための本発明の目的は、ＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する方法を提供することである。
前記のような問題点を解決するための本発明の他の目的は、ＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する装置を提供することである。
前記目的を達成するための本発明の一側面は、ＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する方法を提供する。
ＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する方法は、正常トラフィックによる文字列をイメージに変換する段階、変換したイメージをＣＡＥを利用して学習する段階および学習したＣＡＥにターゲットトラフィックを入力して異常トラフィックを探知する段階を含むことができる。
前記異常トラフィックを探知する段階は、前記ターゲットトラフィックをイメージに変換する段階およびイメージに変換したターゲットトラフィックを前記学習したＣＡＥに入力して獲得した出力に対してＢＣＥ（Ｂｉｎａｒｙ Ｃｒｏｓｓ Ｅｎｔｒｏｐｙ）またはＢＣＶ（Ｂｉｎａｒｙ Ｃｒｏｓｓ Ｖａｒｅｎｔｒｏｐｙ）を評価する段階を含むことができる。
前記イメージに変換する段階は、前記正常トラフィックをＵＴＦ−８（Ｕｎｉｃｏｄｅ−Ｔｒａｎｓｆｏｒｍａｔｉｏｎ−Ｆｏｒｍａｔ−８）形式で獲得する段階および獲得した正常トラフィックによる文字列を１６進数に変換する段階を含むことができる。
前記イメージに変換する段階は、前記正常トラフィックによる文字列を逆順に変換する段階、逆順に変換した文字列を構成する文字をベクトルに変換する段階およびベクトルに変換した文字列をイメージに変換する段階を含むことができる。
前記ＣＡＥは、Ｉｎｃｅｐｔｉｏｎ Ｒｅｓｎｅｔ Ｖ２基盤で構成されたオートエンコーダー（Ａｕｔｏｅｎｃｏｄｅｒ）であり得る。
前記変換したイメージをＣＡＥを利用して学習する段階は、前記ＢＣＥに基づいて定義される費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）を最小化するように、前記ＣＡＥのパラメーターを決定する段階を含むことができる。
前記変換したイメージをＣＡＥを利用して学習する段階は、前記ＢＣＥによるｔｏｔａｌ ＢＣＥと前記ＢＣＶによるｔｏｔａｌ ＢＣＶを線形結合して定義される費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）を最小化するように、前記ＣＡＥのパラメーターを決定する段階を含むことができる。
前記費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）は、下記数式で定義され得る。
前記目的を達成するための本発明の他の側面は、ＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する装置を提供する。
ＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する装置は、少なくとも一つのプロセッサ（ｐｒｏｃｅｓｓｏｒ）および前記少なくとも一つのプロセッサが少なくとも一つの段階を遂行するように指示する命令語（ｉｓｎｔｒｕｃｔｉｏｎｓ）を保存するメモリ（ｍｅｍｏｒｙ）を含むことができる。
前記少なくとも一つの段階は、正常トラフィックによる文字列をイメージに変換する段階、変換したイメージをＣＡＥを利用して学習する段階および学習したＣＡＥにターゲットトラフィックを入力して異常トラフィックを探知する段階を含むことができる。
前記異常トラフィックを探知する段階は、前記ターゲットトラフィックをイメージに変換する段階およびイメージに変換したターゲットトラフィックを前記学習したＣＡＥに入力して獲得した出力に対してＢＣＥ（Ｂｉｎａｒｙ Ｃｒｏｓｓ Ｅｎｔｒｏｐｙ）またはＢＣＶ（Ｂｉｎａｒｙ Ｃｒｏｓｓ Ｖａｒｅｎｔｒｏｐｙ）を評価する段階を含むことができる。
前記イメージに変換する段階は、前記正常トラフィックをＵＴＦ−８（Ｕｎｉｃｏｄｅ−Ｔｒａｎｓｆｏｒｍａｔｉｏｎ−Ｆｏｒｍａｔ−８）形式で獲得する段階および獲得した正常トラフィックによる文字列を１６進数に変換する段階を含むことができる。
前記イメージに変換する段階は、前記正常トラフィックによる文字列を逆順に変換する段階、逆順に変換した文字列を構成する文字をベクトルに変換する段階およびベクトルに変換した文字列をイメージに変換する段階を含むことができる。
前記ＣＡＥは、Ｉｎｃｅｐｔｉｏｎ Ｒｅｓｎｅｔ Ｖ２基盤で構成されたオートエンコーダー（Ａｕｔｏｅｎｃｏｄｅｒ）であり得る。
前記変換したイメージをＣＡＥを利用して学習する段階は、前記ＢＣＥに基づいて定義される費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）を最小化するように、前記ＣＡＥのパラメーターを決定する段階を含むことができる。
前記変換したイメージをＣＡＥを利用して学習する段階は、前記ＢＣＥによるｔｏｔａｌ ＢＣＥと前記ＢＣＶによるｔｏｔａｌ ＢＣＶを線形結合して定義される費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）を最小化するように、前記ＣＡＥのパラメーターを決定する段階を含むことができる。
前記費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）は、下記数式で定義され得る。
前記のような本発明に係るＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する方法および装置を利用する場合には、異常トラフィックの分散とエントロピー特性を反映して正確に異常トラフィックを探知することができる。
また、文字列基盤のトラフィックをイメージ基盤のオートエンコーダーを適用して分析することによって、異常トラフィックを感知することができる。
本発明の一実施例に係るＣＡＥ基盤で異常なトラフィックを探知する方法および装置の概念を説明するための例示図。 本発明の一実施例に係る文字列をイメージに変換する方法を説明するための概念図。 本発明の一実施例に係る文字列をイメージに変換する方法に対する例示図。 本発明の一実施例に係るＣＡＥの基盤となるインセプション−レジデュアルネットワーク−ｖ２を説明する概念図。 本発明の一実施例に係るＣＡＥの構成を説明する概念図。 本発明の一実施例に係るＣＡＥでエンコーダーの構造を説明する概念図。 本発明の一実施例に係るＣＡＥでエンコーダーの構造に対応するデコーダーの構造を説明する概念図。 本発明の一実施例に係るＣＡＥでステム（ｓｔｅｍ）段階を説明する概念図。 本発明の一実施例に係るＣＡＥでＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ａ段階を説明する概念図。 本発明の一実施例に係るＣＡＥでＲｅｄｕｃｔｉｏｎ−Ａ段階を説明する概念図。 本発明の一実施例に係るＣＡＥでＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｂ段階を説明する概念図。 本発明の一実施例に係るＣＡＥでＲｅｄｕｃｔｉｏｎ−Ｂ段階を説明する概念図。 本発明の一実施例に係るＣＡＥでＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｃ段階を説明する概念図。 本発明の一実施例に係るＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する方法に対するフローチャート。 本発明の一実施例に係るＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する装置に従う構成図。 本発明の一実施例に係るＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する方法および装置に対する実験結果を示したグラフ。 本発明の一実施例に係るＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する方法および装置に対する実験結果を示したグラフ。 本発明の一実施例に係るＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する方法および装置に対する実験結果を示したグラフ。
本発明は多様な変更を加えることができ、多様な実施例を有することができるところ、特定の実施例を図面に例示して詳細な説明に詳細に説明する。しかし、これは本発明を特定の実施形態に対して限定しようとするものではなく、本発明の思想および技術範囲に含まれるすべての変更、均等物乃至代替物を含むものと理解されるべきである。各図面の説明において、類似する参照符号を類似する構成要素に付した。
第１、第２、Ａ、Ｂなどの用語は、多様な構成要素の説明に使用され得るが、前記構成要素は前記用語によって限定されるものではない。前記用語は一つの構成要素を他の構成要素から区別する目的でのみ使用される。例えば、本発明の権利範囲を逸脱することなく第１構成要素は第２構成要素と命名され得、同様に第２構成要素も第１構成要素と命名され得る。および／またはという用語は複数の関連した記載された項目の組み合わせまたは複数の関連した記載された項目のいずれかの項目を含む。
ある構成要素が他の構成要素に「連結されて」あるとか「接続されて」あると言及された時には、その他の構成要素に直接的に連結されているかまたは接続されていてもよいが、中間に他の構成要素が存在してもよいと理解されるべきである。反面、ある構成要素が他の構成要素に「直接連結されて」あるとか「直接接続されて」あると言及された時には、中間に他の構成要素が存在しないものと理解されるべきである。
本出願で使用した用語は単に特定の実施例を説明するために使用されたものであって、本発明を限定しようとする意図ではない。単数の表現は文脈上明白に異なることを意味しない限り、複数の表現を含む。本出願で、「含む」または「有する」等の用語は、明細書上に記載された特徴、数字、段階、動作、構成要素、部品またはこれらを組み合わせたものが存在することを指定しようとするものであって、一つまたはそれ以上の他の特徴や数字、段階、動作、構成要素、部品またはこれらを組み合わせたものなどの存在または付加の可能性をあらかじめ排除しないものと理解されるべきである。
異なって定義されない限り、技術的または科学的な用語を含んで、ここで使用されるすべての用語は、本発明が属する技術分野で通常の知識を有する者によって一般的に理解されるものと同じ意味を有している。一般的に使用される辞書に定義されているような用語は、関連技術の文脈上有する意味と一致する意味を有すると解釈されるべきであり、本出願で明白に定義しない限り、理想的または過度に形式的な意味と解釈されない。
一般的にトラフィックとは、ウェブサイトに訪問する人々がやり取りするデータの量を意味するウェブトラフィック（ｗｅｂ ｔｒａｆｆｉｃ）を意味し得、インターネットを経由するデータの流れを意味するインターネットトラフィック（ｉｎｔｅｒｎｅｔ ｔｒａｆｆｉｃ）を意味し得る。また、トラフィックはＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）を利用するインターネットトラフィックを意味し得る。ここで、ＨＴＴＰはステートレス（ｓｔａｔｅｌｅｓｓ）プロトコル（ｐｒｏｔｏｃｏｌ）であり得、ステートレスプロトコルはＨＴＴＰサーバーが多重要請期間の間各使用者に対する情報または状態を保有することを要求しなくてもよい。
また、ＨＴＴＰセッションとは、一連のネットワーク要請および応答のトランザクション（ｔｒａｎｓａｃｔｉｏｎ）を意味し得る。例えば、ＨＴＴＰクライアントはサーバーの特定ポートにＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）連結を設定して要請を開始することができ、該当ポートで受信待機するＨＴＴＰサーバーはクライアントの要請メッセージを待つことができ、要請を受けるとサーバーは「ＨＴＴＰ／１．１ ２００ ＯＫ」のような状態表示列と自らのメッセージを送ることができる。このメッセージの本文は一般的に要請された資源であり得るが、エラーメッセージまたはその他の情報が返還され得、ここで、ＨＴＴＰクライアントの要請およびサーバーの応答がＨＴＴＰセッションを意味し得る。
本発明でＨＴＴＰトラフィックはＨＴＴＰセッションでＨＴＴＰクライアントとＨＴＴＰサーバーがやり取りしたメッセージであって、文字列の形態を有し得る。以下ではＨＴＴＰトラフィックを前提にして説明するが、ＨＴＴＰトラフィック以外にも文字列で表現される通信メッセージはすべて適用され得るものと解釈されるべきである。
以下、本発明に係る好ましい実施例を添付された図面を参照して詳細に説明する。
図１は、本発明の一実施例に係るＣＡＥ基盤で異常なトラフィックを探知する方法および装置の概念を説明するための例示図である。
有無線通信過程でやり取りできるメッセージは文字列で表現され得る。この時、本発明の一実施例では通信過程でやり取りするメッセージによる文字列をイメージに変換し、イメージ学習基盤のＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ Ａｕｔｏｅｎｃｏｄｅｒ）を利用して学習することによって異常トラフィックを探知する方法を提案する。
図１を参照すると、本発明の一実施例では通信メッセージによる文字列をイメージに変換して入力イメージ（Ｉｎｐｕｔ Ｉｍａｇｅ）として使用し、入力イメージがＣＡＥが入力されるとＣＡＥは入力イメージを学習して出力イメージと入力イメージの間の差が小さくなれるように畳み込み層の係数を選定することができる。
一方、ＣＡＥはエンコーダー（Ｅｎｃｏｄｅｒ）とデコーダー（Ｄｅｃｏｄｅｒ）を含むコンボリューショナル神経網（Ｃｏｎｖｏｌｕｔｉｏｎａｌ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）のコンボリューショナルオートエンコーダー（Ｃｏｎｖｏｌｕｔｉｏｎａｌ Ａｕｔｏｅｎｃｏｄｅｒ）と呼称され得る。ここで、エンコーダーはＣＡＥを構成する多数の階層のうち、入力データが圧縮されて隠れ層（ｈｉｄｄｅｎ ｌａｙｅｒｓ）を形成する過程（エンコーディング過程）を遂行する階層で構成され得、デコーダーはエンコーダーの反対の過程であって、隠れ層で出力データを生成する過程を遂行する階層で構成され得る。
具体的にエンコーダーは、畳み込み層（ｃｏｎｖｏｌｕｔｉｏｎａｌ ｌａｙｅｒ）とプーリング層（ｐｏｏｉｎｇ ｌａｙｅｒ）を含むことができ、デコーダーはアッププーリング層（ｕｐｐｏｏｌｉｎｇ ｌａｙｅｒ）およびトランスポーズド畳み込み層（ｔｒａｎｓｐｏｓｅｄ ｃｏｎｖｏｌｕｔｉｏｎａｌ ｌａｙｅｒ）を含むことができる。この時、エンコーダーとデコーダーは互いに全結合層（ｆｕｌｌｙ ｃｏｎｎｅｃｔｅｄ ｌａｙｅｒ）で連結され得る。
畳み込み層は入力映像をフィルターと合成積（または畳み込み）して特徴（または特徴マップと呼称）を抽出する階層であり得る。合成積を遂行する間隔値をストライド（ｓｔｒｉｄｅ）と呼称し得るが、ストライド値により異なる大きさの特徴マップが抽出され得る。
プーリング層は抽出された特徴マップに対してサブサンプリング（ｓｕｂｓａｍｐｌｉｎｇ）またはプーリング（ｐｏｏｌｉｎｇ）を遂行して特徴マップを代表する特徴を選定する階層であって、特徴マップの一定の領域に対して最も大きい値を抽出するマックスプーリング（ｍａｘ ｐｏｏｌｉｎｇ）、平均値を抽出するアベレージプーリング（ａｖｅｒａｇｅ ｐｏｏｌｉｎｇ）等が遂行され得る。
全結合層（ｆｕｌｌｙ ｃｏｎｎｅｃｔｅｄ ｌａｙｅｒ）は完全接続階層であって、以前の層のすべてのアクティベーションと連結されている階層であり得る。
トランスポーズド畳み込み層（ｔｒａｎｓｐｏｓｅｄ ｃｏｎｖｏｌｕｔｉｏｎａｌ ｌａｙｅｒ）はエンコーダーで遂行された畳み込み層の反対の過程を遂行する階層であり得、アッププーリング層はプーリング層の反対の過程を遂行する階層であり得る。
このような正常なトラフィックに対する文字列を変換したイメージを学習したＣＡＥに、学習に使用されていない類型のイメージを入力すると、非常に歪んだ出力イメージを獲得するようになる。したがって、学習していない異常なトラフィックに対する文字列を入力イメージに変換してＣＡＥを通じて出力すると、非常に歪んだイメージが出力されるという点を通じて異常なトラフィックを判断することが容易である。
図２は、本発明の一実施例に係る文字列をイメージに変換する方法を説明するための概念図である。図３は、本発明の一実施例に係る文字列をイメージに変換する方法に対する例示図である。
図２を参照すると、本発明の一実施例ではトラフィックに対する文字列を構成する個別文字を一つのベクトル（ｘ０、ｘ１、ｘ２、ｘ３、ｘ４、ｘ５）で表現し、複数のベクトルを集めて（または複数のベクトルを行列で表現して）一つの２進数のイメージ形態で表現することができる。
さらに他の例示として、図３を参照すると、トラフィックによる文字列が「ｃｂｃｆｇａ」であるものを例にして、イメージに文字列を変換する過程を説明することができる。まず、文字列で構成されているトラフィックデータを文章の最後の文字から逆順に、ｏｎｅ−ｈｏｔ ｖｅｃｔｏｒに変換することができる。ここで、ｏｎｅ−ｈｏｔ ｖｅｃｔｏｒは、一つの次元値が１であり、残りのすべての次元値が０であるベクトルを意味し得る。この時、変換され得る文字の集合を｛ａ、ｂ、ｃ、ｄ、ｅ、ｆ｝に設定し、一つのイメージに変換可能な文字列の長さ（ベクトルの長さに該当）を７に設定すると、文字列の最も後にあった文字「ａ」によるベクトル（ｘ０）は最初に文字が位置しているので、［１、０、０、０、０、０、０］と表現され得る。また、文字列に含まれた「ｂ」は逆順に構成（ａｇｆｃｂｃ）する時に後から２番目（または前から５番目）に位置しているので、５番目の要素値が１であるベクトル［０、０、０、０、１、０、０］で表現することができる。また、文字列に含まれた「ｃ」は逆順に構成（ａｇｆｃｂｃ）する時に前から４番目と６番目に位置しているので、４番目と６番目の要素が１であるベクトル［０、０、０、１、０、１、０］で表現することができる。一方、ベクトルの長さを７に仮定したため、文字列の長さ６より大きい。したがって、ベクトルの最後の要素は該当する文字がないため、「０」に定められ得る。同様な方式で文字「ａ」から文字「ｆ」まで表現する場合、それぞれの文字に該当するベクトルが一つのチャネル（またはイメージの横線）を構成してすべて６チャネルを有し、ベクトルの長さが７であるため、６Ｘ７の大きさを有する１次元（ｏｎｅ ｄｉｍｅｎｓｉｏｎ）イメージで表現（６Ｘ１Ｘ７）することができる。この時、イメージの各ピクセルはベクトルの要素値が１であれば黒色（ｂｌａｃｋ）、０であれば白色（ｗｈｉｔｅ）で表現され得る。
一方、イメージに変換する時に許容可能な文字の個数をどのように処理するかが問題となり得る。例えば次のように許容可能な文字を構成することができる。
しかし、前記の場合、英語の大文字は小文字に変換して表現しなければならず、含まれない文字はないもの（ｂｌａｎｋ）として処理され得る。多様な文字の入力を許容するために本発明の一実施例によると、トラフィックに対する文字列をＵＴＦ−８形式でエンコーディングして入力を受け、入力された値を１６進数の単位に変換することができる。１６進数では一つの値を次の文字列だけで表現することができる。
ＵＴＦ−８によって変換されるアルファベット一つは、１６進数２個で表現され得、したがって、１６進数一つを表現する文字列のみ許容可能な文字列で構成してもすべての入力文字を表現することができる。
図４は、本発明の一実施例に係るＣＡＥの基盤となるインセプション−レジデュアルネットワーク−ｖ２を説明する概念図である。
本発明の一実施例に係るＣＡＥは、インセプション−レジデュアルネットワーク−ｖ２（Ｉｎｃｅｐｔｉｏｎ−ＲｅｓＮｅｔ−Ｖ２）に基づいて構成され得る。この時、図４を参照すると、インセプション−レジデュアルネットワーク−ｖ２は入力データをエンコーディングするために、Ｓｔｅｍ、５個のＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ａ、Ｒｅｄｕｃｔｉｏｎ−Ａ、１０個のＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｂ、Ｒｅｄｕｃｔｉｏｎ−Ｂ、５個のＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｃ、Ａｖｅｒａｇｅ Ｐｏｏｌｉｎｇ、ＤｒｏｐｏｕｔおよびＳｏｆｔｍａｘの段階を含むことができ、演算量を減らしてより多くの層（ｌａｙｅｒ）を有することができるインセプションネットワーク（ｉｎｃｅｐｔｉｏｎ ｎｅｔｗｏｒｋ）の特性と、ネットワークが深くなって訓練が不可なｖａｎｉｓｈｉｎｇ ｇｒａｄｉｅｎｔ ｐｒｏｂｌｅｍを解決するために、下位層の出力を減らし上位層の出力を下位層に足すレジデュアルネットワーク（ｒｅｓｉｄｕａｌ ｎｅｔｗｏｒｋ）の特性を組み合わせたネットワークであり得る。
インセプション−レジデュアルネットワーク−ｖ２は、２９９ｘ２９９の大きさを有するＲＧＢ３個のチャネルで構成されたイメージ、すなわち２９９ｘ２９９ｘ３の大きさの入力データを受信して１０００の大きさ（または１００個のクラス数）の圧縮データを生成することができ、図４で各階層に表示されたデータは（高さＸ幅Ｘチャネル数）を有するイメージまたはデータの個数で表現され得る。
その他にインセプション−レジデュアルネットワーク−ｖ２については、Ｃｈｒｉｓｔｉａｎ ＳｚｅｇｅｄｙのＩｎｃｅｐｔｉｏｎ−ｖ４、ｉｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ ａｎｄ ｔｈｅ ｉｍｐａｃｔ ｏｆ ｒｅｓｉｄｕａｌ ｃｏｎｎｅｃｔｉｏｎｓ ｏｎ ｌｅａｒｎｉｎｇ（２０１６）を参照することができる。
本発明の一実施例に係るＣＡＥは前述したインセプション−レジデュアルネットワーク−ｖ２に基づいて変形されたオートエンコーダーであって、以下で詳述する。
図５は、本発明の一実施例に係るＣＡＥの構成を説明する概念図である。
図５を参照すると、本発明の一実施例に係るＣＡＥは、インセプション−レジデュアルネットワーク−ｖ２基盤のエンコーディング段階および対応するデコーディング段階を含むことができる。この時、エンコーディング段階を遂行するエンコーダーは図４でのインセプション−レジデュアルネットワーク−ｖ２の入力からアベレージプーリング層までの階層で構成され得、デコーダーはエンコーダーの逆過程を遂行する階層で構成され得る。
この時、ＣＡＥは入力イメージを出力データと比較して誤差が減少するようにパラメーターまたは加重値を調整することができる。パラメーターまたは加重値は、５個のＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ａ、１０個のＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｂおよび５個のＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｃ段階で調整され得、それぞれスケーリング（ｓｃａｌｉｎｇ）を通じて調整され得る。
本発明の図面を含んだ明細書で別途の説明がない場合、Ｆは基本フレーム サイズであって、１２８を意味し得、Ｖは有効な畳み込み（ｖａｌｉｄ ｃｏｎｖｏｌｕｔｉｏｎ）または有効なマックスプーリング（ｖａｌｉｄ ｍａｘ ｐｏｏｌｉｎｇ）を意味し得、ストライド（ｓｔｒｉｄｅ）は畳み込みまたはマックスプーリングを遂行する間隔を意味し得、ｌｉｎｅａｒは活性関数（ａｃｔｉｖａｔｉｏｎ ｆｕｎｃｔｉｏｎ）なしに全体畳み込み（ｆｕｌｌ ｃｏｎｖｏｌｕｔｉｏｎ）を遂行することを意味し得る。Ｃｏｎｖ．は畳み込みを意味し得、Ｃｏｎｖ．Ｔｒａｎｓ．は畳み込みの逆を意味し得る。ＭａｘＰｏｏｌはマックスプーリングを意味し得、ＭａｘＵｎＰｏｏｌはマックスプーリングの逆を意味し得る。ＡｘＢ Ｃｏｎｖ．はＡｘＢの大きさを参照して畳み込みを遂行することを意味し得、ＡｘＢ ＭａｘＰｏｏｌはＡｘＢの大きさを参照してマックスプーリングを遂行することを意味し得る。前述した記号の説明は本発明の明細書で継続して同じ意味で使用され得る。
図６は、本発明の一実施例に係るＣＡＥでエンコーダーの構造を説明する概念図である。
具体的には、図６はエンコーディング段階の合算、分配およびスケーリングを説明するものであって、図６の（ａ）を参照すると、本発明の一実施例に係るＣＡＥのエンコーディング段階で、Ｆｉｌｔｅｒ Ｃｏｎｃａｔは各モジュールの出力データを合算することができ、シグマ（ｓｉｇｍａ）記号を使用して表してもよい。換言すると、Ｆｉｌｔｅｒ Ｃｏｎｃａｔの出力データＸは、各モジュールの出力データＸ１、Ｘ２、…、ＸＮを合算したものと表すことができる。図６の（ｂ）を参照すると、本発明に係るＣＡＥのエンコーディング段階で、分配は出力データを同じ出力データに分配するものと表すことができる。また、図６の（ｃ）を参照すると、本発明のＣＡＥでスケーリング（ｓｃａｌｉｎｇ）は各モジュールの出力データにａ１、ａ２、…、ａＮを積算した値を合算するものであって、ここで、ａ１、ａ２、…、ａＮはエンコーディング部分のパラメーターまたは加重値を意味し得、ａ１、ａ２、…、ａＮを調整して学習を進行させることができる。
図７は、本発明の一実施例に係るＣＡＥでエンコーダーの構造に対応するデコーダーの構造を説明する概念図である。
具体的には、図７はデコーディング段階の分配、平均およびスケーリングを説明するものであって、図７の（ａ）を参照すると、本発明の一実施例に係るＣＡＥのデコーディング段階で、Ｆｉｌｔｅｒ Ｓｐｌｉｔは上位モジュールの出力データを分けて各モジュールに分配することができ、各モジュールに分配された出力データの和が上位段階の出力データと同じであり得る。Ｆｉｌｔｅｒ Ｓｐｌｉｔはエンコーディング段階でのように、シグマ記号を使用して示すこともできる。換言すると、Ｆｉｌｔｅｒ Ｓｐｌｉｔの上位段階の出力データＸは、各モジュールに分配された出力データＸ１、Ｘ２、…、ＸＮを合算したもので表すことができる。図７の（ｂ）を参照すると、本発明に係るＣＡＥのデコーディング段階でＭｅａｎは、各上位モジュールの出力データに対する平均を算出することができる。また、図７の（ｃ）を参照すると、本発明のＣＡＥでスケーリング（ｓｃａｌｉｎｇ）は上位モジュールの出力データを分配して各分配された出力データにｂ１、ｂ２、…、ｂＮをそれぞれ積算したものであって、ここで、ｂ１、ｂ２、…、ｂＮはデコーディング部分のパラメーターまたは加重値を意味し得、ｂ１、ｂ２、…、ｂＮを調整して学習をシンクさせることができる。
図８は、本発明の一実施例に係るＣＡＥでステム（ｓｔｅｍ）段階を説明する概念図である。
図８を参照すると、本発明の一実施例に係るＣＡＥのｓｔｅｍ段階は，図５のエンコーダー（ｅｎｃｏｄｅｒ）とデコーダー（ｄｅｃｏｄｅｒ）でそれぞれ遂行され得る。換言すると、図５のエンコーダーでは図８のエンコーダーｓｔｅｍ段階が遂行され得、図５のデコーダーでは図８のデコーダーｓｔｅｍ段階が遂行され得る。エンコーダーのｓｔｅｍ段階は入力データを順次１ｘ３ Ｃｏｎｖ．（ｓｔｒｉｄｅ ２）、１ｘ３ Ｃｏｎｖ．および１ｘ３ Ｃｏｎｖ．を遂行することができ、最後の１ｘ３ Ｃｏｎｖ．の出力データを分配して１ｘ３ ＭａｘＰｏｏｌ（ｓｔｒｉｄｅ ２）および１ｘ３ Ｃｏｎｖ．（ｓｔｒｄｅ ２）を遂行することができ、分配して遂行した出力データを再び合算し、再び分配して一方では１ｘ１ Ｃｏｎｖ．および１ｘ３ ｃｏｎｖ．を順次遂行することができ、他の一方では１ｘ１ Ｃｏｎｖ．、１ｘ１ Ｃｏｎｖ．、１ｘ７ Ｃｏｎｖ．および１ｘ３ Ｃｏｎｖ．を順次遂行できる。分配して遂行した出力データを再び合算し、再び分配して１ｘ３ Ｃｏｎｖ．および１ｘ３ ＭａｘＰｏｏｌ（ｓｔｒｉｄｅ ２）を遂行することができ、分配して遂行した出力データを再び合算することができる。また、本発明に係るＣＡＥのｓｔｅｍ段階は、前述したｓｔｅｍ段階だけでなく通常のインセプション−レジデュアルネットワーク−ｖ２のｓｔｅｍ段階と同一に遂行され得るが、これに限定されない。デコーダーのｓｔｅｍ段階はエンコーディング段階のｓｔｅｍ段階と逆に遂行され得る。
図９は、本発明の一実施例に係るＣＡＥでＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ａ段階を説明する概念図である。
図９を参照すると、本発明の一実施例に係るＣＡＥのＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ａ段階は、図５のエンコーダー（ｅｎｃｏｄｅｒ）とデコーダー（ｄｅｃｏｄｅｒ）でそれぞれ遂行され得る。換言すると、図５のエンコーダーでは図９のエンコーダーＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ａ段階が遂行され得、図５のデコーダーでは図９のデコーダーＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ａ段階が遂行され得る。エンコーダーのＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ａ段階は入力データを４個に分配することができ、最初は１ｘ１ Ｃｏｎｖ．、１ｘ３ Ｃｏｎｖ．および１ｘ３ Ｃｏｎｖ．を順次遂行することができ、２番目は１ｘ１ Ｃｏｎｖ．および１ｘ３ Ｃｏｎｖ．を順次遂行することができ、３番目は１ｘ１ Ｃｏｎｖ．を遂行できる。最初、２番目および３番目は合算されて１ｘ１ Ｃｏｎｖ．（ｌｉｎｅａｒ）およびスケーリングされ得。スケーリングされた出力データと４個に分配された入力データのうち、いかなる過程も遂行していない入力データを合算することができる。また、本発明に係るＣＡＥのＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ａ段階は、前述したＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ａ段階だけでなく通常のインセプション−レジデュアルネットワーク−ｖ２のＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ａ段階と同様に遂行され得るが、これに限定されない。デコーダーのＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ａ段階はエンコーダーのＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ａ段階と逆に遂行され得る。
本発明の一実施例に係るＣＡＥはＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ａ段階のスケーリングの大きさａ、ｂおよびｃを調整することができ、調整を通じて学習を進行させることができる。
図１０は、本発明の一実施例に係るＣＡＥでＲｅｄｕｃｔｉｏｎ−Ａ段階を説明する概念図である。
図１０を参照すると、本発明の一実施例に係るＣＡＥのＲｅｄｕｃｔｉｏｎ−Ａ段階は、図５のエンコーダー（ｅｎｃｏｄｅｒ）とデコーダー（ｄｅｃｏｄｅｒ）でそれぞれ遂行され得る。換言すると、図５のエンコーダーでは図１０のエンコーダーＲｅｄｕｃｔｉｏｎ−Ａ段階が遂行され得、図５のデコーダーでは図１０のデコーダーＲｅｄｕｃｔｉｏｎ−Ａ段階が遂行され得る。エンコーダーのＲｅｄｕｃｔｉｏｎ−Ａ段階は入力データを３個に分配することができ、最初は１ｘ１ Ｃｏｎｖ．、１ｘ３ Ｃｏｎｖ．および１ｘ３ Ｃｏｎｖ．（ｓｔｒｉｄｅ ２）を順次遂行することができ、２番目は１ｘ３ Ｃｏｎｖ．（ｓｔｒｉｄｅ ２）を遂行することができ、３番目は１ｘ３ ＭａｘＰｏｏｌ（ｓｔｒｄｅ ２）を遂行できる。また、分配して遂行された出力データをすべて合算してＲｅｄｕｃｔｉｏｎ−Ａ段階の出力データを生成することができる。本発明に係るＣＡＥのＲｅｄｕｃｔｉｏｎ−Ａ段階は、前述したＲｅｄｕｃｔｉｏｎ−Ａ段階だけでなく通常のインセプション−レジデュアルネットワーク−ｖ２のＲｅｄｕｃｔｉｏｎ−Ａ段階と同一に遂行され得るが、これに限定されない。デコーダーのＲｅｄｕｃｔｉｏｎ−Ａ段階はエンコーダーのＲｅｄｕｃｔｉｏｎ−Ａ段階と逆に遂行され得る。
図１１は、本発明の一実施例に係るＣＡＥでＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｂ段階を説明する概念図である。
図１１を参照すると、本発明の一実施例に係るＣＡＥのＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｂ段階は、図５のエンコーダー（ｅｎｃｏｄｅｒ）とデコーダー（ｄｅｃｏｄｅｒ）でそれぞれ遂行され得る。換言すると、図５のエンコーダーでは図１１のエンコーダーＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｂ段階が遂行され得、図５のデコーダーでは図１１のデコーダーＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｂ段階が遂行され得る。エンコーダーのＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｂ段階は入力データを３個に分配することができ、最初は１ｘ１ Ｃｏｎｖ．、１ｘ７ Ｃｏｎｖ．および１ｘ１ Ｃｏｎｖ．を順次遂行することができ、２番目は１ｘ１ Ｃｏｎｖ．を遂行できる。最初および２番目は合算されて１ｘ１ Ｃｏｎｖ．（ｌｉｎｅａｒ）およびスケーリングされ得、スケーリングされた出力データと３個に分配された入力データのうち、いかなる過程も遂行していない入力データを合算することができる。また、本発明に係るＣＡＥのＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｂ段階は、前述したＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｂ段階だけでなく通常のインセプション−レジデュアルネットワーク−ｖ２のＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｂ段階と同一に遂行され得るが、これに限定されない。デコーダーのＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｂ段階はエンコーダーのＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｂ段階と逆に遂行され得る。
本発明の一実施例に係るＣＡＥはＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｂ段階のスケーリングの大きさａ、ｂおよびｃを調整することができ、調整を通じて学習を進行させることができる。
図１２は、本発明の一実施例に係るＣＡＥでＲｅｄｕｃｔｉｏｎ−Ｂ段階を説明する概念図である。
図１２を参照すると、本発明の一実施例に係るＣＡＥのＲｅｄｕｃｔｉｏｎ−Ｂ段階は、図５のエンコーダー（ｅｎｃｏｄｅｒ）とデコーダー（ｄｅｃｏｄｅｒ）でそれぞれ遂行され得る。換言すると、図５のエンコーダーでは図１２のエンコーダーＲｅｄｕｃｔｉｏｎ−Ｂ段階が遂行され得、図５のデコーダーでは図１２のデコーダーＲｅｄｕｃｔｉｏｎ−Ｂ段階が遂行され得る。エンコーダーのＲｅｄｕｃｔｉｏｎ−Ｂ段階は入力データを４個に分配することができ、最初は１ｘ１ Ｃｏｎｖ．、１ｘ３ Ｃｏｎｖ．および１ｘ３ Ｃｏｎｖ．（ｓｔｒｉｄｅ ２）を順次遂行することができ、２番目は１ｘ３ Ｃｏｎｖ．および１ｘ３ Ｃｏｎｖ．（ｓｔｒｉｄｅ ２）を遂行することができ、３番目は１ｘ１ Ｃｏｎｖ．および１ｘ３ Ｃｏｎｖ．（ｓｔｒｉｄｅ ２）を遂行することができ、４番目は１ｘ３ ＭａｘＰｏｏｌ（ｓｔｒｄｅ ２）を遂行できる。また、分配して遂行された出力データをすべて合算してＲｅｄｕｃｔｉｏｎ−Ｂ段階の出力データを生成することができる。本発明に係るＣＡＥのＲｅｄｕｃｔｉｏｎ−Ｂ段階は、前述したＲｅｄｕｃｔｉｏｎ−Ｂ段階だけでなく通常のインセプション−レジデュアルネットワーク−ｖ２のＲｅｄｕｃｔｉｏｎ−Ｂ段階と同一に遂行され得るが、これに限定されない。デコーダーのＲｅｄｕｃｔｉｏｎ−Ｂ段階はエンコーダーのＲｅｄｕｃｔｉｏｎ−Ｂ段階と逆に遂行され得る。
図１３は、本発明の一実施例に係るＣＡＥでＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｃ段階を説明する概念図である。
図１３を参照すると、本発明の一実施例に係るＣＡＥのＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｃ段階は、図５のエンコーダー（ｅｎｃｏｄｅｒ）とデコーダー（ｄｅｃｏｄｅｒ）でそれぞれ遂行され得る。換言すると、図５のエンコーダーでは図１３のエンコーダーＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｃ段階が遂行され得、図５のデコーダーでは図１３のデコーダーＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｃ段階が遂行され得る。エンコーダーのＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｃ段階は入力データを３個に分配することができ、最初は１ｘ１ Ｃｏｎｖ．、１ｘ３ Ｃｏｎｖ．および１ｘ１ Ｃｏｎｖ．を順次遂行することができ、２番目は１ｘ１ Ｃｏｎｖ．を遂行できる。最初および２番目は合算されて１ｘ１ Ｃｏｎｖ．（ｌｉｎｅａｒ）およびスケーリングされ得。スケーリングされた出力データと３個に分配された入力データのうち、いかなる過程も遂行していない入力データを合算することができる。また、本発明に係るＣＡＥのＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｃ段階は、前述したＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｃ段階だけでなく通常のインセプション−レジデュアルネットワーク−ｖ２のＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｃ段階と同一に遂行され得るが、これに限定されない。デコーダーのＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｃ段階はエンコーダーのＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｃ段階と逆に遂行され得る。
本発明の一実施例に係るＣＡＥはＩｎｃｅｐｔｉｏｎ−ｒｅｓｎｅｔ−Ｃ段階のスケーリングの大きさａ、ｂおよびｃを調整することができ、調整を通じて学習を進行させることができる。
図１４は、本発明の一実施例に係るＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する方法に対するフローチャートである。
図１４を参照すると、正常トラフィックによる文字列をイメージに変換する段階Ｓ１００、変換したイメージをＣＡＥを利用して学習する段階Ｓ１１０および学習したＣＡＥにターゲットトラフィックを入力して異常トラフィックを探知する段階Ｓ１２０を含むことができる。
前記イメージに変換する段階Ｓ１００は、前記正常トラフィックをＵＴＦ−８（Ｕｎｉｃｏｄｅ−Ｔｒａｎｓｆｏｒｍａｔｉｏｎ−Ｆｏｒｍａｔ−８）形式で獲得する段階および獲得した正常トラフィックによる文字列を１６進数に変換する段階を含むことができる。
前記イメージに変換する段階Ｓ１００は、前記正常トラフィックによる文字列を逆順に変換する段階、逆順に変換した文字列を構成する文字をベクトルに変換する段階およびベクトルに変換した文字列をイメージに変換する段階を含むことができる。
その他に前記イメージに変換する段階Ｓ１００は図１〜図３に係る説明を参照することができる。
前記ＣＡＥは、Ｉｎｃｅｐｔｉｏｎ Ｒｅｓｎｅｔ Ｖ２基盤で構成されたオートエンコーダー（Ａｕｔｏｅｎｃｏｄｅｒ）であり得る。さらに詳細には、ＣＡＥは図４〜図１３に係る説明を参照することができる。
前記異常トラフィックを探知する段階Ｓ１２０は、前記ターゲットトラフィックをイメージに変換する段階およびイメージに変換したターゲットトラフィックを前記学習したＣＡＥに入力して獲得した出力に対してＢＣＥ（Ｂｉｎａｒｙ Ｃｒｏｓｓ Ｅｎｔｒｏｐｙ）またはＢＣＶ（Ｂｉｎａｒｙ Ｃｒｏｓｓ Ｖａｒｅｎｔｒｏｐｙ）を評価する段階を含むことができる。
前記ＢＣＥは、下記の数式１で定義され得る。
一般的に文字基盤のイメージ変換において、各チャネル（それぞれの文字）は殆ど０を要素として有するベクトルに変換されるので、非常に少ない数の１を有する。したがって、正常なトラフィックに対してＢＣＥを算出すると、出力イメージを構成するピクセル値の殆どは０に近い値を有することができる。
したがって、本発明の一実施例によると、前記数式１によるｎ番目のサンプルのＢＣＥ値を算出し、算出したＢＣＥ値をしきい値（ｔｈｒｅｓｈｏｌｄ ｖａｌｕｅ）と比較して異常トラフィックであるかどうかを決定することができる。具体的には、算出したＢＣＥ値がしきい値より大きい場合には入力されたターゲットトラフィックを異常トラフィックとして探知することができる。
この時、ＢＣＥを評価して異常トラフィックを探知するためには、ＢＣＥ基盤で定義される費用関数を使用してＣＡＥを学習することが必要となり得る。
ＢＣＥ基盤で定義される費用関数は下記の数式２の通りである。
数式２を参照すると、数式２による費用関数は、学習されるデータサンプルの数をＮと定義する時、データサンプルＮ個に対してそれぞれ数式１を算出して足してＮで割ることによって、ｔｏｔａｌ ＢＣＥを算出したものと解釈され得る。
したがって、前記変換したイメージをＣＡＥを利用して学習する段階は、前記ＢＣＥによって定義される費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）を最小化するように、前記ＣＡＥのパラメーターを決定する段階を含むことができる。
一方、異常トラフィックの探知に使用する数式１を再び参照すると、出力ピクセル値に対してｌｏｇを取った後に平均したものであって、異常トラフィックは多様な値を有するという特性を十分に反映できない問題が存在し得る。この時、分散は平均を基準として値がどれほど広く分布しているかを測定する統計値であるので、分散を活用すれば検出性能が向上する可能性が高い。
具体的には、本発明で提案する分散を基準として異常トラフィックを探知する場合による評価関数を前記ＢＣＶ（Ｂｉｎａｒｙ Ｃｒｏｓｓ Ｖａｌｅｎｔｒｏｐｙ）と呼称することができ、この時、探知しようとするｎ番目のデータサンプルに対するＢＣＶは下記の数式３のように定義され得る。

数式３でＢＣＥｎは数式１による算出値を意味し得、その他の変数は数式１と２による説明を参照することができる。
本発明の一実施例で提案するＢＣＶを利用する場合、数式１のようにピクセル値にｌｏｇを取った後に分散値を算出するため、異常トラフィックが多様な値を有するという特性を十分に反映することができるようになる。
一方、数式３による評価関数を使用して異常トラフィックを探知する場合、ＣＡＥの学習に使用する費用関数は数式３によるＢＣＶを反映する必要がある。
具体的には、前記ＢＣＥに対するｔｏｔａｌ ＢＣＥと前記ＢＣＶに対するｔｏｔａｌ ＢＣＶを線形結合して定義される費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）を最小化するように、前記ＣＡＥのパラメーターを決定する段階を含むことができる。この時、ＢＣＥとＢＣＶを活用した費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）は下記の数式４の通りである。
前記数式４でｔｏｔａｌ ＢＣＥは数式２を参照することができ、α、βは正の定数であり、ｔｏｔａｌ ＢＣＶは下記の数式５のように定義され得る。
数式５を参照すると、ｔｏｔａｌ ＢＣＶは数式３によるＢＣＶをデータサンプルＮ個に対して遂行して足し、Ｎで割った値と定義され得る。
図１５は、本発明の一実施例に係るＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する装置に従う構成図である。
図１５を参照すると、ＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する装置１００は、少なくとも一つのプロセッサ（ｐｒｏｃｅｓｓｏｒ、１１０）および前記少なくとも一つのプロセッサ１１０が少なくとも一つの段階を遂行するように指示する命令語（ｉｓｎｔｒｕｃｔｉｏｎｓ）を保存するメモリ（ｍｅｍｏｒｙ、１２０）を含むことができる。
ここで、少なくとも一つのプロセッサ１１０は中央処理装置（ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ、ＣＰＵ）、グラフィック処理装置（ｇｒａｐｈｉｃｓ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ、ＧＰＵ）、または本発明の実施例に係る方法が遂行される専用のプロセッサを意味し得る。メモリ１２０および保存装置１６０のそれぞれは、揮発性保存媒体および不揮発性保存媒体のうち少なくとも一つで構成され得る。例えば、メモリ１２０は読み込み専用メモリ（ｒｅａｄ ｏｎｌｙ ｍｅｍｏｒｙ、ＲＯＭ）およびランダムアクセスメモリ（ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ、ＲＡＭ）のうち少なくとも一つで構成され得る。
また、ＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する装置１００は、無線ネットワークを通じて通信を遂行する送受信装置（ｔｒａｎｓｃｅｉｖｅｒ）１３０を含むことができる。また、ＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する装置１００は、入力インタフェース装置１４０、出力インタフェース装置１５０、保存装置１６０等をさらに含むことができる。ＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する装置１００に含まれたそれぞれの構成要素は、バス（ｂｕｓ）１７０により連結されて通信を遂行できる。
前記少なくとも一つの段階は、正常トラフィックによる文字列をイメージに変換する段階、変換したイメージをＣＡＥを利用して学習する段階および学習したＣＡＥにターゲットトラフィックを入力して異常トラフィックを探知する段階を含むことができる。
前記異常トラフィックを探知する段階は、前記ターゲットトラフィックをイメージに変換する段階およびイメージに変換したターゲットトラフィックを前記学習したＣＡＥに入力して獲得した出力に対してＢＣＥ（Ｂｉｎａｒｙ Ｃｒｏｓｓ Ｅｎｔｒｏｐｙ）またはＢＣＶ（Ｂｉｎａｒｙ Ｃｒｏｓｓ Ｖａｒｅｎｔｒｏｐｙ）を評価する段階を含むことができる。
前記イメージに変換する段階は、前記正常トラフィックをＵＴＦ−８（Ｕｎｉｃｏｄｅ−Ｔｒａｎｓｆｏｒｍａｔｉｏｎ−Ｆｏｒｍａｔ−８）形式で獲得する段階および獲得した正常トラフィックによる文字列を１６進数に変換する段階を含むことができる。
前記イメージに変換する段階は、前記正常トラフィックによる文字列を逆順に変換する段階、逆順に変換した文字列を構成する文字をベクトルに変換する段階およびベクトルに変換した文字列をイメージに変換する段階を含むことができる。
前記ＣＡＥは、Ｉｎｃｅｐｔｉｏｎ Ｒｅｓｎｅｔ Ｖ２基盤で構成されたオートエンコーダー（Ａｕｔｏｅｎｃｏｄｅｒ）であり得る。
前記変換したイメージをＣＡＥを利用して学習する段階は、前記ＢＣＥに基づいて定義される費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）を最小化するように、前記ＣＡＥのパラメーターを決定する段階を含むことができる。
前記変換したイメージをＣＡＥを利用して学習する段階は、前記ＢＣＥによるｔｏｔａｌ ＢＣＥと前記ＢＣＶによるｔｏｔａｌ ＢＣＶを線形結合して定義される費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）を最小化するように、前記ＣＡＥのパラメーターを決定する段階を含むことができる。
前記費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）は、下記数式で定義され得る。
ＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する装置１００は、例えば、通信可能なデスクトップコンピュータ（ｄｅｓｋｔｏｐ ｃｏｍｐｕｔｅｒ）、ラップトップコンピュータ（ｌａｐｔｏｐ ｃｏｍｐｕｔｅｒ）、ノートパソコン（ｎｏｔｅｂｏｏｋ）、スマートフォン（ｓｍａｒｔ ｐｈｏｎｅ）、タブレットＰＣ（ｔａｂｌｅｔ ＰＣ）、モバイルフォン（ｍｏｂｉｌｅ ｐｈｏｎｅ）、スマートウォッチ（ｓｍａｒｔ ｗａｔｃｈ）、スマートグラス（ｓｍａｒｔ ｇｌａｓｓ）、ｅ−ｂｏｏｋリーダー、ＰＭＰ（ｐｏｒｔａｂｌｅ ｍｕｌｔｉｍｅｄｉａ ｐｌａｙｅｒ）、携帯用ゲーム機、ナビゲーション（ｎａｖｉｇａｔｉｏｎ）装置、デジタルカメラ（ｄｉｇｉｔａｌ ｃａｍｅｒａ）、ＤＭＢ（ｄｉｇｉｔａｌ ｍｕｌｔｉｍｅｄｉａ ｂｒｏａｄｃａｓｔｉｎｇ）再生機、デジタル音声録音機（ｄｉｇｉｔａｌ ａｕｄｉｏ ｒｅｃｏｒｄｅｒ）、デジタル音声再生機（ｄｉｇｉｔａｌ ａｕｄｉｏ ｐｌａｙｅｒ）、デジタル動映像録画機（ｄｉｇｉｔａｌ ｖｉｄｅｏ ｒｅｃｏｒｄｅｒ）、デジタル動映像再生機（ｄｉｇｉｔａｌ ｖｉｄｅｏ ｐｌａｙｅｒ）、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ）等であり得る。
図１６〜図１８は、本発明の一実施例に係るＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する方法および装置に対する実験結果を示したグラフである。
実験のための条件として、２０１４年２／３分期にＷＡＰＰＬＥが攻撃として探知したデータのうち、正常要請（ｒｅｑｕｅｓｔ）と判定した約６６万件を正常トラフィックに対する学習データとして使用した。ここで使用した学習データを本発明の一実施例に係るＣＡＥに対する比較社の学習データとして使用してＣＡＥを学習した。
また、学習に使用されていない２０１４年２／３分期の約２１万件に対するデータをターゲットトラフィックに対するデータとして使用した。ここで、ターゲットトラフィックには約１６万５千件の正常トラフィックと４万８千件の異常トラフィックが含まれている。
各要請メッセージに対してイメージに変換したデータに対する異常トラフィック探知結果を分析したし、この時、費用関数の係数αは０、βは１として適用した。
図１６を参照すると、正常データ（ｎｏｒｍａｌ）と異常データ（ａｎｏｍａｌｏｕｓ）に対してＢＣＥとＢＣＶを使用した時に平均（ｍｅａｎ）と標準偏差（ＳＴＤ）に対するｅｍｐｉｒｉｃａｌ ＣＤＦ（実証的累積分布関数）を算出した結果グラフを確認することができる。
図１７を参照すると、全体のサンプルデータを一回り学習したものを１ｅｐｏｃｈとした時、ｅｐｏｃｈの数が累積されるにつれて誤って判断する比率（ｆａｌｓｅ ｐｏｓｉｔｉｖｅ ｒａｔｅ、ＦＰＲ）が減少するのを確認することができる。この時、正しく判断する比率（Ｔｒｕｅ ｐｏｓｉｔｉｖｅ ｒａｔｅ、ＴＰＲ）は０．９９である。
図１８を参照すると、ＢＣＥとＢＣＶのそれぞれに対して全体のデータサンプルの学習によるＡｒｅａ Ｕｎｄｅｒ Ｃｕｒｖｅ（ＡＵＣ）性能を図示したグラフを確認することができる。学習データが多いほど検出性能が向上することを確認することができる。
本発明に係る方法は、多様なコンピュータ手段を通じて遂行され得るプログラム命令の形態で具現されてコンピュータ読み込み可能媒体に記録され得る。コンピュータ読み込み可能媒体は、プログラム命令、データファイル、データ構造などを単独でまたは組み合わせて含むことができる。コンピュータ読み込み可能媒体に記録されるプログラム命令は、本発明のために特別に設計されて構成されたものであるかコンピュータソフトウェア当業者に公知とされていて使用可能なものであってもよい。
コンピュータ読み込み可能媒体の例には、ロム（ＲＯＭ）、ラム（ＲＡＭ）、フラッシュメモリ（ｆｌａｓｈ ｍｅｍｏｒｙ）等のように、プログラム命令を保存し、遂行するように特別に構成されたハードウェア装置が含まれ得る。プログラム命令の例には、コンパイラ（ｃｏｍｐｉｌｅｒ）により作られるような機械語コードだけでなく、インタープリタ（ｉｎｔｅｒｐｒｅｔｅｒ）等を使用してコンピュータによって実行され得る高級言語コードを含むことができる。前述したハードウェア装置は本発明の動作を遂行するために、少なくとも一つのソフトウェアモジュールとして作動するように構成され得、その逆も同様である。
また、前述した方法または装置はその構成や機能の全部または一部が結合されて具現されるか、分離されて具現され得る。
前記では本発明の好ましい実施例を参照して説明したが、該当技術分野の熟練した当業者は、下記の特許請求の範囲に記載された本発明の思想および領域から逸脱しない範囲内で、本発明を多様に修正および変更できることが理解できるはずである。

Claims (16)

  1. ＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する方法であって、
    正常トラフィックによる文字列をイメージに変換する段階；
    変換したイメージをＣＡＥを利用して学習する段階；および
    学習したＣＡＥにターゲットトラフィックを入力して異常トラフィックを探知する段階を含み、
    前記異常トラフィックを探知する段階は、
    前記ターゲットトラフィックをイメージに変換する段階；および
    イメージに変換したターゲットトラフィックを前記学習したＣＡＥに入力して獲得した出力に対してＢＣＥ（Ｂｉｎａｒｙ Ｃｒｏｓｓ Ｅｎｔｒｏｐｙ）またはＢＣＶ（Ｂｉｎａｒｙ Ｃｒｏｓｓ Ｖａｒｅｎｔｒｏｐｙ）を評価する段階を含み、
    前記変換したイメージをＣＡＥを利用して学習する段階は、
    前記ＢＣＥによるｔｏｔａｌ ＢＣＥと前記ＢＣＶによるｔｏｔａｌ ＢＣＶを線形結合して定義される費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）を最小化するように、前記ＣＡＥのパラメーターを決定する段階を含む、異常なトラフィックを探知する方法。
  2. 前記イメージに変換する段階は、
    前記正常トラフィックをＵＴＦ−８（Ｕｎｉｃｏｄｅ−Ｔｒａｎｓｆｏｒｍａｔｉｏｎ−Ｆｏｒｍａｔ−８）形式で獲得する段階；および
    獲得した正常トラフィックによる文字列を１６進数に変換する段階を含む、請求項１に記載の異常なトラフィックを探知する方法。
  3. 前記イメージに変換する段階は、
    前記正常トラフィックによる文字列を逆順に変換する段階；
    逆順に変換した文字列を構成する文字をベクトルに変換する段階；および
    ベクトルに変換した文字列をイメージに変換する段階を含む、請求項１に記載の異常なトラフィックを探知する方法。
  4. 前記ＣＡＥは、
    Ｉｎｃｅｐｔｉｏｎ Ｒｅｓｎｅｔ Ｖ２基盤で構成されたオートエンコーダー（Ａｕｔｏｅｎｃｏｄｅｒ）である、請求項１に記載の異常なトラフィックを探知する方法。
  5. 前記変換したイメージをＣＡＥを利用して学習する段階は、
    前記ＢＣＥに基づいて定義される費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）を最小化するように、前記ＣＡＥのパラメーターを決定する段階を含む、請求項１に記載の異常なトラフィックを探知する方法。
  6. で定義される、請求項１に記載の異常なトラフィックを探知する方法。
  7. で定義される、請求項１に記載の異常なトラフィックを探知する方法。
  8. 前記費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）は、数式
    で定義される、請求項１に記載の異常なトラフィックを探知する方法。
  9. ＣＡＥ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ ＡｕｔｏＥｎｃｏｄｅｒ）基盤で異常なトラフィックを探知する装置であって、
    少なくとも一つのプロセッサ（ｐｒｏｃｅｓｓｏｒ）；および
    前記少なくとも一つのプロセッサが少なくとも一つの段階を遂行するように指示する命令語（ｉｓｎｔｒｕｃｔｉｏｎｓ）を保存するメモリ（ｍｅｍｏｒｙ）を含み、
    前記少なくとも一つの段階は、
    正常トラフィックによる文字列をイメージに変換する段階；
    変換したイメージをＣＡＥを利用して学習する段階；および
    学習したＣＡＥにターゲットトラフィックを入力して異常トラフィックを探知する段階を含み、
    前記異常トラフィックを探知する段階は、
    前記ターゲットトラフィックをイメージに変換する段階；および
    イメージに変換したターゲットトラフィックを前記学習したＣＡＥに入力して獲得した出力に対してＢＣＥ（Ｂｉｎａｒｙ Ｃｒｏｓｓ Ｅｎｔｒｏｐｙ）またはＢＣＶ（Ｂｉｎａｒｙ Ｃｒｏｓｓ Ｖａｒｅｎｔｒｏｐｙ）を評価する段階を含み、
    前記変換したイメージをＣＡＥを利用して学習する段階は、
    前記ＢＣＥによるｔｏｔａｌ ＢＣＥと前記ＢＣＶによるｔｏｔａｌ ＢＣＶを線形結合して定義される費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）を最小化するように、前記ＣＡＥのパラメーターを決定する段階を含む、異常なトラフィックを探知する装置。
  10. 前記イメージに変換する段階は、
    前記正常トラフィックをＵＴＦ−８（Ｕｎｉｃｏｄｅ−Ｔｒａｎｓｆｏｒｍａｔｉｏｎ−Ｆｏｒｍａｔ−８）形式で獲得する段階；および
    獲得した正常トラフィックによる文字列を１６進数に変換する段階を含む、請求項９に記載の異常なトラフィックを探知する装置。
  11. 前記イメージに変換する段階は、
    前記正常トラフィックによる文字列を逆順に変換する段階；
    逆順に変換した文字列を構成する文字をベクトルに変換する段階；および
    ベクトルに変換した文字列をイメージに変換する段階を含む、請求項９に記載の異常なトラフィックを探知する装置。
  12. 前記ＣＡＥは、
    Ｉｎｃｅｐｔｉｏｎ Ｒｅｓｎｅｔ Ｖ２基盤で構成されたオートエンコーダー（Ａｕｔｏｅｎｃｏｄｅｒ）である、請求項９に記載の異常なトラフィックを探知する装置。
  13. 前記変換したイメージをＣＡＥを利用して学習する段階は、
    前記ＢＣＥに基づいて定義される費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）を最小化するように、前記ＣＡＥのパラメーターを決定する段階を含む、請求項９に記載の異常なトラフィックを探知する装置。
  14. で定義される、請求項９に記載の異常なトラフィックを探知する装置。
  15. で定義される、請求項９に記載の異常なトラフィックを探知する装置。
  16. 前記費用関数（Ｃｏｓｔ ｆｕｎｃｔｉｏｎ）は、数式
    で定義される、請求項９に記載の異常なトラフィックを探知する装置。
JP2018243019A 2018-12-20 2018-12-26 Ｃａｅ基盤で異常なトラフィックを探知する方法および装置 Active JP6757986B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020180166682A KR102169255B1 (ko) 2018-12-20 2018-12-20 Cae 기반으로 비정상적인 트래픽을 탐지하는 방법 및 장치
KR10-2018-0166682 2018-12-20

Publications (2)

Publication Number Publication Date
JP2020102178A JP2020102178A (ja) 2020-07-02
JP6757986B2 true JP6757986B2 (ja) 2020-09-23

Family

ID=71098464

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2018243019A Active JP6757986B2 (ja) 2018-12-20 2018-12-26 Ｃａｅ基盤で異常なトラフィックを探知する方法および装置

Country Status (3)

Country Link
US (1) US10783395B2 (ja)
JP (1) JP6757986B2 (ja)
KR (1) KR102169255B1 (ja)

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11468542B2 (en) * 2019-01-18 2022-10-11 Arizona Board Of Regents On Behalf Of Arizona State University LAPRAN: a scalable Laplacian pyramid reconstructive adversarial network for flexible compressive sensing reconstruction
TWI779245B (zh) * 2019-10-31 2022-10-01 安碁資訊股份有限公司 異常流量偵測方法與異常流量偵測裝置
US11777520B2 (en) 2020-03-31 2023-10-03 Arizona Board Of Regents On Behalf Of Arizona State University Generic compression ratio adapter for end-to-end data-driven compressive sensing reconstruction frameworks
US11763165B2 (en) 2020-05-11 2023-09-19 Arizona Board Of Regents On Behalf Of Arizona State University Selective sensing: a data-driven nonuniform subsampling approach for computation-free on-sensor data dimensionality reduction
CN111901000A (zh) * 2020-08-03 2020-11-06 电子科技大学 基于Inception结构的信道译码方法
KR102329889B1 (ko) * 2020-09-23 2021-11-23 펜타시큐리티시스템 주식회사 로드 사이드 유닛의 이상 감지 방법 및 장치
KR102497737B1 (ko) * 2020-12-14 2023-02-09 한전케이디엔주식회사 생성적 적대 신경망을 활용해 미 발견 네트워크 침입 유형을 탐지하는 시스템 및 방법
CN112766459B (zh) * 2021-01-12 2024-05-03 合肥黎曼信息科技有限公司 一种基于生成器的异常检测方法
CN112633425B (zh) * 2021-03-11 2021-05-11 腾讯科技（深圳）有限公司 图像分类方法和装置
CN113194094B (zh) * 2021-04-29 2022-07-15 哈尔滨工程大学 一种基于神经网络的异常流量检测方法
CN115456962B (zh) * 2022-08-24 2023-09-29 中山大学中山眼科中心 一种基于卷积神经网络的脉络膜血管指数预测方法和装置
CN115797849B (zh) * 2023-02-03 2023-04-28 以萨技术股份有限公司 一种基于图像确定异常行为的数据处理系统

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6303390B2 (ja) 2013-10-22 2018-04-04 富士ゼロックス株式会社 印刷装置、印刷システム及びプログラム
KR101644998B1 (ko) 2015-12-22 2016-08-02 엑스브레인 주식회사 Convolutional Neural Network를 이용하여 비정상 입력 데이터를 검출하는 방법 및 장치
US20170212829A1 (en) * 2016-01-21 2017-07-27 American Software Safety Reliability Company Deep Learning Source Code Analyzer and Repairer
CA3058010A1 (en) * 2017-04-03 2018-10-11 Royal Bank Of Canada Systems and methods for malicious code detection
KR101888683B1 (ko) 2017-07-28 2018-08-14 펜타시큐리티시스템 주식회사 비정상 트래픽을 탐지하는 방법 및 장치
US20200027000A1 (en) * 2018-07-23 2020-01-23 Samsung Electronics Co., Ltd. Methods and systems for annotating regulatory regions of a microbial genome
US10764246B2 (en) * 2018-08-14 2020-09-01 Didi Research America, Llc System and method for detecting generated domain
US10846522B2 (en) * 2018-10-16 2020-11-24 Google Llc Speaking classification using audio-visual data

Also Published As

Publication number Publication date
US10783395B2 (en) 2020-09-22
US20200202160A1 (en) 2020-06-25
KR102169255B1 (ko) 2020-10-23
KR20200077307A (ko) 2020-06-30
JP2020102178A (ja) 2020-07-02

Similar Documents

Publication Publication Date Title
JP6757986B2 (ja) Ｃａｅ基盤で異常なトラフィックを探知する方法および装置
JP6757978B2 (ja) 異常トラフィックを探知する方法および装置
KR102275413B1 (ko) 플로우 문서를 생성하기 위한 이미지 문서 컴포넌트 검출 및 추출 기법
CN106844410B (zh) 确定多媒体内容的摘要的质量
CN108154222B (zh) 深度神经网络训练方法和系统、电子设备
CN116935169B (zh) 文生图模型训练方法以及文生图方法
WO2022105117A1 (zh) 一种图像质量评价的方法、装置、计算机设备及存储介质
CN116402063B (zh) 多模态讽刺识别方法、装置、设备以及存储介质
US20220189083A1 (en) Training method for character generation model, character generation method, apparatus, and medium
CN111324696A (zh) 实体抽取方法、实体抽取模型的训练方法、装置及设备
CN113826119A (zh) 纯注意力的计算机视觉
CN107239532B (zh) 数据挖掘方法及装置
US10824808B2 (en) Robust key value extraction
CN114612688B (zh) 对抗样本生成方法、模型训练方法、处理方法及电子设备
US10558909B2 (en) Linearly augmented neural network
CN115222845A (zh) 样式字体图片生成方法、装置、电子设备和介质
Chen et al. Image splicing localization using residual image and residual-based fully convolutional network
CN113435531B (zh) 零样本图像分类方法、系统、电子设备及存储介质
US20230394306A1 (en) Multi-Modal Machine Learning Models with Improved Computational Efficiency Via Adaptive Tokenization and Fusion
CN115906861B (zh) 基于交互方面信息融合的语句情感分析方法以及装置
Tiwary et al. Web accessibility challenges for disabled and generation of alt text for images in websites using artificial intelligence
CN113343235B (zh) 基于Transformer的应用层恶意有效负载检测方法、系统、设备及介质
CN113298265B (zh) 一种基于深度学习的异构传感器潜在相关性学习方法
CN114973271A (zh) 一种文本信息提取方法、提取系统、电子设备及存储介质
CN114078274A (zh) 人脸图像检测方法、装置、电子设备以及存储介质

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190125

A80 Written request to apply exceptions to lack of novelty of invention

Free format text: JAPANESE INTERMEDIATE CODE: A80

Effective date: 20190118

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20200206

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20200225

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20200512

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200804

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200826

R150 Certificate of patent or registration of utility model

Ref document number: 6757986

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250