JP6757991B2 - グループウェア使用者の異常行為探知方法および装置 - Google Patents

Description

本発明はグループウェア使用者の異常行為探知方法および装置に関するものであって、さらに詳細には、使用者がグループウェア（ｇｒｏｕｐｗａｒｅ）に接続時に生成されたＵＲＩ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｉｄｅｎｔｉｆｉｅｒ）を利用して使用者の異常行為を探知する方法および装置に関することである。

協業ソフトウェアとも呼ばれるグループウェア（ｇｒｏｕｐｗａｒｅ）は、多様な使用者が別個の作業環境で統合された一つのプロジェクトを同時に遂行できるように支援するソフトウェアを意味し得る。ここで、グループウェアの個別使用者は各自付与された接続情報を利用してグループウェアに接続することができ、このようなグループウェアの接続情報が攻撃者によって奪取される場合、攻撃者が使用者の権限をそのまま使用できる問題点がある。

このような問題点を解決するために、従来には接続情報自体に対する暗号化などのようなセキュリティー措置をする方法が利用されたり、攻撃者の外部接続を遮断する方法が主に利用された。ただし、このような従来方法だけでは攻撃者が使用者の代わりにグループウェアに接続することを完全に排除することができないため、他の代案が必要であるのが実情である。

前記のような問題点を解決するための本発明の目的は、グループウェア使用者の異常行為探知方法を提供するところにある。

前記のような問題点を解決するための本発明の他の目的は、グループウェア使用者の異常行為探知装置を提供するところにある。

前記目的を達成するための本発明の一実施例に係る異常行為探知方法は、使用者の行為からＵＲＩ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｉｄｅｎｔｉｆｉｅｒ）を獲得する段階、あらかじめ決定した時間間隔に基づいてＵＲＩからＵＲＩシークエンスを生成する段階、ＵＲＩシークエンスに前処理を遂行して原始（ｐｒｉｍｉｔｉｖｅ）ＵＲＩシークエンスを生成する段階、原始ＵＲＩシークエンスからログ確率値を算出する段階およびログ確率値とあらかじめ決定されたしきい値に基づいて使用者の行為が異常行為であるかを探知する段階を含むことができる。

ここで、あらかじめ決定した時間間隔に基づいてＵＲＩからＵＲＩシークエンスを生成する段階は、ＵＲＩが複数である場合、時間的に隣接したＵＲＩ間の時間間隔とあらかじめ決定した時間間隔を比較して複数のＵＲＩのうち、少なくとも一つのＵＲＩを含む少なくとも一つのＵＲＩシークエンスを生成する段階を含むことができる。

ここで、ＵＲＩシークエンスに前処理を遂行して原始ＵＲＩシークエンスを生成する段階は、ＵＲＩシークエンスに含まれた少なくとも一つのＵＲＩでキー値（ｋｅｙ ｖａｌｕｅ）を削除して原始ＵＲＩシークエンスを生成する段階を含むことができる。

ここで、原始ＵＲＩシークエンスからログ確率値を算出する段階は、原始ＵＲＩシークエンスに含まれた少なくとも一つの原始ＵＲＩに基づいて転移確率（ｔｒａｎｓｉｔｉｏｎ ｐｒｏｂａｂｉｌｉｔｙ）を算出する段階および転移確率に基づいてログ確率値を算出する段階を含むことができる。

ここで、原始ＵＲＩシークエンスに含まれた少なくとも一つの原始ＵＲＩに基づいて転移確率を算出する段階は、原始ＵＲＩシークエンスとあらかじめ設定された日から使用者の行為が発生した日による基準日までの原始ＵＲＩシークエンスに基づいて転移確率を算出する段階を含むことができる。

ここで、使用者の行為が発生した日による基準日は、使用者の行為が発生した日からあらかじめ設定された日数前と決定され得る。

ここで、ログ確率値とあらかじめ決定されたしきい値に基づいて使用者の行為が異常行為であるかを探知する段階は、ログ確率値があらかじめ決定されたしきい値より低い場合、使用者の行為を異常行為であると判断する段階を含むことができる。

前記他の目的を達成するための本発明の一実施例に係る異常行為探知装置は、プロセッサ（ｐｒｏｃｅｓｓｏｒ）およびプロセッサを通じて実行される少なくとも一つの命令が保存されたメモリ（ｍｅｍｏｒｙ）を含み、少なくとも一つの命令は、使用者の行為からＵＲＩ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｉｄｅｎｔｉｆｉｅｒ）を獲得するように実行され、あらかじめ決定した時間間隔に基づいてＵＲＩからＵＲＩシークエンスを生成するように実行され、ＵＲＩシークエンスに前処理を遂行して原始（ｐｒｉｍｉｔｉｖｅ）ＵＲＩシークエンスを生成するように実行され、原始ＵＲＩシークエンスからログ確率値を算出するように実行され、ログ確率値とあらかじめ決定されたしきい値に基づいて使用者の行為が異常行為であるかを探知するように実行され得る。

ここで、少なくとも一つの命令は、ＵＲＩが複数である場合、時間的に隣接したＵＲＩ間の時間間隔とあらかじめ決定した時間間隔を比較して複数のＵＲＩのうち、少なくとも一つのＵＲＩを含む少なくとも一つのＵＲＩシークエンスを生成するように実行され得る。

ここで、少なくとも一つの命令は、ＵＲＩシークエンスに含まれた少なくとも一つのＵＲＩでキー値（ｋｅｙ ｖａｌｕｅ）を削除して原始ＵＲＩシークエンスを生成するように実行され得る。

ここで、少なくとも一つの命令は、原始ＵＲＩシークエンスに含まれた少なくとも一つの原始ＵＲＩに基づいて転移確率（ｔｒａｎｓｉｔｉｏｎ ｐｒｏｂａｂｉｌｉｔｙ）を算出するように実行され、転移確率に基づいてログ確率値を算出するように実行され得る。

ここで、少なくとも一つの命令は、原始ＵＲＩシークエンスとあらかじめ設定された日から使用者の行為が発生した日による基準日までの原始ＵＲＩシークエンスに基づいて転移確率を算出するように実行され得る。

ここで、使用者の行為が発生した日による基準日は、使用者の行為が発生した日からあらかじめ設定された日数前と決定され得る。

ここで、少なくとも一つの命令は、ログ確率値があらかじめ決定されたしきい値より低い場合、使用者の行為を異常行為であると判断するように実行され得る。

本発明によると、攻撃者がグループウェアに接続できる使用者の接続情報を奪取して浸透することを探知することができる。

本発明によると、複数の使用者が別途の作業環境で安全に一つのプロジェクトを共に遂行できる。

本発明の一実施例に係る原始ＵＲＩシークエンスを生成する方法を説明する図面。 本発明の一実施例に係るＴＰ値をアップデートする方法を説明する図面。 本発明の一実施例に係る初期ＴＰ値を算出するアルゴリズムを示した図面。 本発明の一実施例に係る使用者の行為発生日から基準日以前の原始ＵＲＩシークエンスを利用する第１方法によりＴＰ値をアップデートするアルゴリズムを示した図面。 本発明の一実施例に係る使用者の行為発生日から基準日以前の原始ＵＲＩシークエンスのうち、一部を利用する第２方法によりＴＰ値をアップデートするアルゴリズムを示した図面。 本発明の一実施例に係る異常行為探知装置のブロック構成図。 本発明の一実施例に係る異常行為探知方法のフローチャート。

本発明は多様な変更を加えることができ、多様な実施例を有することができるところ、特定の実施例を図面に例示して詳細な説明に詳細に説明する。しかし、これは本発明を特定の実施形態に限定しようとするものではなく、本発明の思想および技術範囲に含まれるすべての変更、均等物乃至代替物を含むものと理解されるべきである。各図面の説明において、類似する参照符号を類似する構成要素に付した。

第１、第２、Ａ、Ｂなどの用語は多様な構成要素の説明に使われ得るが、前記構成要素は前記用語によって限定されてはならない。前記用語は一つの構成要素を他の構成要素から区別する目的でのみ使われる。例えば、本発明の権利範囲を逸脱することなく第１構成要素は第２構成要素と命名され得、同様に第２構成要素も第１構成要素と命名され得る。「および／または」という用語は複数の関連した記載された項目の組み合わせまたは複数の関連した記載された項目のうちいずれかの項目を含む。

ある構成要素が他の構成要素に「連結されて」いるとか「接続されて」いると言及された時には、その他の構成要素に直接的に連結されていたりまたは接続されていてもよく、中間に他の構成要素が存在してもよいと理解されるべきである。反面、ある構成要素が他の構成要素に「直接連結されて」いるとか「直接接続されて」いると言及された時には、中間に他の構成要素が存在しないものと理解されるべきである。

本出願で使った用語は単に特定の実施例を説明するために使われたものであって、本発明を限定しようとする意図ではない。単数の表現は文脈上明白に異なることを意味しない限り、複数の表現を含む。本出願で、「含む」または「有する」等の用語は明細書上に記載された特徴、数字、段階、動作、構成要素、部品またはこれらを組み合わせたものが存在することを指定しようとするものであって、一つまたはそれ以上の他の特徴や数字、段階、動作、構成要素、部品またはこれらを組み合わせたものなどの存在または付加の可能性をあらかじめ排除しないものと理解されるべきである。

異なって定義されない限り、技術的または科学的な用語を含んで、ここで使われるすべての用語は、本発明が属する技術分野で通常の知識を有する者によって一般的に理解されるものと同じ意味を有している。一般的に使われる辞書に定義されているような用語は、関連技術の文脈上有する意味と一致する意味を有すると解釈されるべきであり、本出願で明白に定義しない限り、理想的または過度に形式的な意味と解釈されない。

以下、添付した図面を参照して、本発明の好ましい実施例をより詳細に説明する。本発明の説明において、全体的な理解を容易にするために図面上の同じ構成要素については同じ参照符号を付し、同じ構成要素に対する重複する説明は省略する。以下、本発明に係る好ましい実施例を添付された図面を参照して詳細に説明する。

本発明の説明でグループウェア（ｇｒｏｕｐｗａｒｅ）は複数の使用者が同じ作業をしたり、スケジュールに合わせて共同作業をするのに適合するように設計されたソフトウェアを意味し得、これは企業、機関および団体などの構成員がコンピュータに連結された作業場で互いに協力して業務効率を上げるために使われ得る。

統一資源識別子（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｉｄｅｎｔｉｆｉｅｒ、ＵＲＩ）は特定資源を識別する文字列を意味し得、ＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）およびＵＲＮ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｎａｍｅ）はＵＲＩの下位概念として含まれ得る。ＵＲＩは一貫性を保障するために、すべてのＵＲＩはあらかじめ定義された構文規則（ｓｙｎｔａｘ ｒｕｌｅ）の集合に従い得、別途に定義された階層的ネーミングスキーマ（ｎａｍｉｎｇ ｓｃｈｅｍｅ）を通じて拡張性を維持することもできる。

ＵＲＩシークエンス（ｓｅｑｕｅｎｃｅ）は使用者がグループウェアに接続時に使用者の行為により順に発生する複数のＵＲＩまたはＵＲＩ集合を意味し得る。

本発明の一実施例に係る異常行為探知装置は、特定の行為により発生するＵＲＩシークエンスを利用して使用者の行為を定義することができる。ただし、ＵＲＩは使用者の行為により変わるため、異常行為探知装置は使用者の類似行為を互いに異なる行為と判断されないために発生するＵＲＩに対して前処理を遂行できる。

ＵＲＩ前処理過程は使用者の行為により発生するＵＲＩにキー値（ｋｅｙ ｖａｌｕｅ）を除去または削除する過程を意味し得る。ここで、キー値はＵＲＩで使用者のクッキーおよび掲示板の掲示物番号などのように多様な要因によって変化する値を意味し得る。

より詳細には、使用者が同じ掲示板に接続した二つの行為を例にして説明する。同じ掲示板に対して使用者が最初に接続した場合と二番目に接続した場合のＵＲＩをそれぞれ第１ＵＲＩおよび第２ＵＲＩと指称することができ、表１の通りであると仮定する。

表１を参照すると、第１ＵＲＩのキー値は１０１００００、０および１４８１１５６４２７を含むことができ、第２ＵＲＩのキー値は１０１００００、０および１４８１２４１８２４を含むことができる。

本発明の一実施例に係る異常行為探知装置は、使用者の類似行為を互いに異なる行為と判断されないためにＵＲＩに対する前処理として各ＵＲＩでキー値を除去または削除することができ、第１ＵＲＩおよび第２ＵＲＩは表２のように一つの前処理されたＵＲＩで統一され得る。

表２を参照すると、第１ＵＲＩおよび第２ＵＲＩはキー値を削除して一つの前処理されたＵＲＩで統一され得、前処理されたＵＲＩは原始ＵＲＩ（ｐｒｉｍｉｔｉｖｅＵＲＩ）で定義され得る。

本発明の一実施例に係る異常行為探知装置は、前述したようなＵＲＩ前処理過程を通じて複数のＵＲＩを一つの前処理されたＵＲＩまたは原始ＵＲＩに変換または統合することができ、原始ＵＲＩに基づいて使用者が同じ掲示板に接続した二つの行為を同じ行為と判断され得る。

本発明の一実施例に係る異常行為探知装置は、使用者がグループウェアに接続して複数の行為を遂行するので、複数の行為のそれぞれにより発生する複数のＵＲＩを発生順に羅列してＵＲＩシークエンス（ｓｅｑｕｅｎｃｅ）を生成することができる。換言すれば、異常行為探知装置は使用者の複数の行為のそれぞれにより発生する複数のＵＲＩに対してそれぞれ前処理を遂行してキー値を除去することができ、複数の前処理されたＵＲＩまたは複数の原始ＵＲＩを発生順序にしたがって羅列して原始ＵＲＩシークエンス（ｐｒｉｍｉｔｉｖｅＵＲＩ ｓｅｑｕｅｎｃｅ）を生成することができる。原始ＵＲＩシークエンスを生成する方法については図１と共に詳細に後述する。

図１は、本発明の一実施例に係る原始ＵＲＩシークエンスを生成する方法を説明する図面である。

図１を参照すると、使用者はグループウェアに接続して少なくとも一つの行為を遂行することができ、行為ごとに一つのＵＲＩが発生し得る。ここで、一つの行為に対応して発生する一つのＵＲＩはＵＲＩインスタンス（ｉｎｓｔａｎｃｅ）と指称されてもよい。

本発明の一実施例に係る異常行為探知装置は、使用者がグループウェアを間欠的に利用することを仮定して、複数のＵＲＩを少なくとも一つのＵＲＩシークエンスに区分するための時間間隔があらかじめ決定され得る。

換言すれば、本発明の一実施例に係る異常行為探知装置は、複数のＵＲＩインスタンスが発生する場合、時間的に隣接した二つのＵＲＩインスタンス間の時間間隔（ｉｎｔｅｒｖａｌ）があらかじめ決定された時間Ｔ_ｓを超過する場合、先行ＵＲＩインスタンスと後続ＵＲＩインスタンスを互いに異なる一連の行為に区分して判断することができる。

例えば、第１ＵＲＩインスタンス〜第６ＵＲＩインスタンスが順次発生し、第１ＵＲＩインスタンスと第２ＵＲＩインスタンス間の時間間隔が２秒、第２ＵＲＩインスタンスと第３ＵＲＩインスタンス間の時間間隔が１秒、第３ＵＲＩインスタンスと第４ＵＲＩインスタンス間の時間間隔が５秒、第４ＵＲＩインスタンスと第５ＵＲＩインスタンス間の時間間隔が３秒および第５ＵＲＩインスタンスと第６ＵＲＩインスタンス間の時間間隔が２秒であり、あらかじめ決定された時間Ｔ_ｓが４秒である場合、本発明の一実施例に係る異常行為探知装置は、隣接したＵＲＩインスタンス間の時間間隔が４秒より大きい第４ＵＲＩインスタンスと第４ＵＲＩインスタンスを互いに異なる一連の行為に区分することができる。

換言すれば、本発明の一実施例に係る異常行為探知装置は、第１ＵＲＩインスタンス〜第４ＵＲＩインスタンスを羅列または群集させて第１ＵＲＩ集合と判断することができ、第４ＵＲＩインスタンス〜第６ＵＲＩインスタンスを羅列または群集させて第２ＵＲＩ集合と判断することができる。ここで、ＵＲＩ集合はＵＲＩシークエンスで定義され得る。

その後、本発明の一実施例に係る異常行為探知装置は、一つのＵＲＩシークエンスに含まれた少なくとも一つのＵＲＩインスタンスのそれぞれに対して前述した前処理を遂行することができ、少なくとも一つのＵＲＩインスタンスが少なくとも一つの原始ＵＲＩに変換された場合、変換された少なくとも一つの原始ＵＲＩを含む原始ＵＲＩ集合を原始ＵＲＩシークエンスであると定義することができる。換言すれば、原始ＵＲＩシークエンスはＵＲＩシークエンス内のすべてのＵＲＩを前処理したものを意味し得る。

本発明の一実施例に係る異常行為探知装置は、使用者のグループウェアに接続して特定の行為を遂行した場合、前述にしたがって遂行した行為によるＵＲＩに基づいて原始ＵＲＩシークエンスを生成することができ、これに基づいて正規化されたログ確率（Ｎｏｒｍａｌｉｚｅｄ Ｌｏｇ Ｐｒｏｂａｂｉｌｉｔｙ、ＮＬＰ）値を算出することができ、算出したＮＬＰ値とあらかじめ決定されたしきい値とを比較して使用者の特定の行為が異常行為であるかを判断することができる。

より詳細には、異常行為探知装置は使用者の行為により原始ＵＲＩシークエンスを生成することができ、原始ＵＲＩシークエンスに対してあらかじめ設定した長さのスライディングウインドウ（ｓｌｉｄｉｎｇ ｗｉｎｄｏｗ）を利用して原始ＵＲＩシークエンスから原始ＵＲＩサブシークエンス（ｓｕｂｓｅｑｕｅｎｃｅ）を抽出することができる。その後、異常行為探知装置は抽出した原始ＵＲＩサブシークエンスからログ確率（Ｌｏｇ Ｐｒｏｂａｂｉｌｉｔｙ、ＬＰ）値を算出することができる。

ただし、原始ＵＲＩシークエンスの長さがスルライティンウインドウのあらかじめ設定した長さより短い場合も存在し得るため、このような場合を考慮するために、算出された原始ＵＲＩサブシークエンスのＬＰ値を原始ＵＲＩサブシークエンスの長さで割って正規化されたログ確率値を算出することができる。ここで、原始ＵＲＩシークエンスの正規化されたログ確率（ＮＬＰ）値は、数１のように転移確率（Ｔｒａｎｓｉｔｉｏｎ Ｐｒｏｂａｂｉｌｉｔｙ、ＴＰ）の積に対する幾何平均（ｇｅｏｍｅｔｒｉｃ ｍｅａｎ）と同じであるため、これを通じて算出され得る。

数１において、ｘ_ｋは与えられた原始ＵＲＩサブシークエンス内のｋ番目の原始ＵＲＩを意味し得、Ｋは与えられた原始ＵＲＩサブシークエンスの長さを意味し得る。また、Ｐｒ（ｘ_０）はｘ_０の確率値を意味し得、Ｐｒ（ｘ_ｋ＋１｜ｘ_ｋ）はｘ_ｋでｘ_ｋ＋１での転移確率を意味し得る。ここで、転移確率は数２のように算出され得る。

数２において、ｘ_ｋは与えられた原始ＵＲＩサブシークエンス内のｋ番目の原始ＵＲＩを意味し得、Ｎ_ｉｊはｉ番目の原始ＵＲＩとｊ番目の原始ＵＲＩが連続的に発生する回数を意味し得る。

本発明の一実施例に係る異常行為探知装置は、前述にしたがって使用者の行為によるＮＬＰ値を算出することができ、算出したＮＬＰ値があらかじめ決定されたしきい値より低い場合、使用者の行為が異常行為であると判断することができる。

ここで、使用者の行為によるＮＬＰ値はＴＰ値を利用して算出されるが、ＴＰ値は使用者の過去行為に基づいて算出されるため、使用者の行為が累積されることによってアップデートされ得る。ＴＰ値をアップデートする方法については図２とともに詳細に後述する。

図２は本発明の一実施例に係るＴＰ値をアップデートする方法を説明する図面である。

本発明の一実施例に係る異常行為探知装置は、ＴＰ値をアップデートすることができる。ＴＰ値のアップデートはリアルタイムで遂行され得るが、一定の周期ごとに遂行されてもよい。本発明の説明ではＴＰ値をリアルタイムでアップデートする方法について詳細に説明する。ここで、ＴＰ値をリアルタイムでアップデートする方法は、探知対象である使用者の行為が発生した日付によりＴＰ値を再び算出する方法であり得るため、使用者の行為が発生した日付を基準としてＴＰ値を算出する方法を説明する。

本発明の一実施例に係る異常行為探知装置は、使用者の行為によるＮＬＰ値を算出する場合、使用者の行為直前までの原始ＵＲＩシークエンスを利用してＴＰ値を算出できるが、使用者の行為直前に異常行為が含まれている場合、ＴＰ値が不正確であり得るため、使用者の行為から基準日以前までの原始ＵＲＩシークエンスだけを利用してＴＰ値を算出することができる。

図２を参照すると、探知対象である使用者の行為が発生した日付はｄであり、基準日はＤであると仮定することができる。本発明の一実施例に係る異常行為探知装置は、使用者の行為が発生した日付がＤａｙ ｄである場合、使用者の行為によるＮＬＰ値を算出するために、Ｄａｙ ｄ−Ｄ＋１からＤａｙ ｄ−１までの原始ＵＲＩシークエンスは利用せず、あらかじめ設定された日付からＤａｙ ｄ−Ｄまでの原始ＵＲＩシークエンスを利用してＴＰ値を算出することができる。

ここで、ＴＰ値の算出のために利用される原始ＵＲＩシークエンスは、あらかじめ設定された期間により、基準日から算定されたあらかじめ設定された日付から使用者の行為発生日から基準日以前まで発生した原始ＵＲＩシークエンスを含むことができ、本発明に係る異常行為探知方法が遂行される初期から持続的に累積された原始ＵＲＩシークエンスを利用することができ、累積された原始ＵＲＩシークエンスのうち、特定の方法により一部のみを算出した一部の原始ＵＲＩシークエンスを利用することもできるが、これに限定されるものではない。

図３は、本発明の一実施例に係る初期ＴＰ値を算出するアルゴリズムを示した図面である。

図４は、本発明の一実施例に係る使用者の行為発生日から基準日以前の原始ＵＲＩシークエンスを利用する第１方法によりＴＰ値をアップデートするアルゴリズムを示した図面である。

図５は、本発明の一実施例に係る使用者の行為発生日から基準日以前の原始ＵＲＩシークエンスのうち、一部を利用する第２方法によりＴＰ値をアップデートするアルゴリズムを示した図面である。

図６は、本発明の一実施例に係る異常行為探知装置のブロック構成図である。

図６を参照すると、本発明の一実施例に係る異常行為探知装置６００は、少なくとも一つのプロセッサ６１０、メモリ６２０および保存装置６３０を含むことができる。

プロセッサ６１０はメモリ６２０および／または保存装置６３０に保存されたプログラム命令（ｐｒｏｇｒａｍ ｃｏｍｍａｎｄ）を実行することができる。プロセッサ６１０は中央処理装置（ＣＰＵ、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、グラフィック処理装置（ＧＰＵ、Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）または本発明に係る方法が遂行される専用のプロセッサを意味し得る。メモリ６２０と保存装置６３０は揮発性保存媒体および／または不非揮発性保存媒体で構成され得る。例えば、メモリ６２０は読み取り専用メモリ（ＲＯＭ、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）および／またはランダムアクセスメモリ（ＲＡＭ、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）で構成され得る。

メモリ６２０はプロセッサ６１０を通じて実行される少なくとも一つの命令を保存していることができる。少なくとも一つの命令は、使用者の行為からＵＲＩ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｉｄｅｎｔｉｆｉｅｒ）を獲得する命令、あらかじめ決定した時間間隔に基づいてＵＲＩからＵＲＩシークエンスを生成する命令、ＵＲＩシークエンスに前処理を遂行して原始（ｐｒｉｍｉｔｉｖｅ）ＵＲＩシークエンスを生成する命令、原始ＵＲＩシークエンスからログ確率値を算出する命令およびログ確率値とあらかじめ決定されたしきい値に基づいて使用者の行為が異常行為であるかを探知する命令を含むことができる。

ここで、あらかじめ決定した時間間隔に基づいてＵＲＩからＵＲＩシークエンスを生成する命令は、ＵＲＩが複数である場合、時間的に隣接したＵＲＩ間の時間間隔とあらかじめ決定した時間間隔を比較して複数のＵＲＩのうち、少なくとも一つのＵＲＩを含む少なくとも一つのＵＲＩシークエンスを生成する命令を含むことができる。

ここで、ＵＲＩシークエンスに前処理を遂行して原始ＵＲＩシークエンスを生成する命令は、ＵＲＩシークエンスに含まれた少なくとも一つのＵＲＩでキー値（ｋｅｙ ｖａｌｕｅ）を削除して原始ＵＲＩシークエンスを生成する命令を含むことができる。

ここで、原始ＵＲＩシークエンスからログ確率値を算出する命令は、原始ＵＲＩシークエンスに含まれた少なくとも一つの原始ＵＲＩに基づいて転移確率（ｔｒａｎｓｉｔｉｏｎ ｐｒｏｂａｂｉｌｉｔｙ）を算出する命令および転移確率に基づいてログ確率値を算出する命令を含むことができる。

ここで、原始ＵＲＩシークエンスに含まれた少なくとも一つの原始ＵＲＩに基づいて転移確率を算出する命令は、原始ＵＲＩシークエンスとあらかじめ設定された日から使用者の行為が発生した日による基準日までの原始ＵＲＩシークエンスに基づいて転移確率を算出する命令を含むことができる。

ここで、使用者の行為が発生した日による基準日は、使用者の行為が発生した日からあらかじめ設定された日数前と決定され得る。

ここで、ログ確率値とあらかじめ決定されたしきい値に基づいて使用者の行為が異常行為であるかを探知する命令は、ログ確率値があらかじめ決定されたしきい値より低い場合、使用者の行為を異常行為であると判断する命令を含むことができる。

図７は、本発明の一実施例に係る異常行為探知方法のフローチャートである。

図７を参照すると、本発明の一実施例に係る異常行為探知装置は、使用者の行為からＵＲＩ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｉｄｅｎｔｉｆｉｅｒ）を獲得することができ（Ｓ７１０）、あらかじめ決定した時間間隔に基づいてＵＲＩからＵＲＩシークエンスを生成することができる（Ｓ７２０）。ここで、異常行為探知装置はＵＲＩが複数である場合、時間的に隣接したＵＲＩ間の時間間隔とあらかじめ決定した時間間隔を比較して複数のＵＲＩのうち、少なくとも一つのＵＲＩを含む少なくとも一つのＵＲＩシークエンスを生成することができる。

異常行為探知装置はＵＲＩシークエンスに前処理を遂行して原始（ｐｒｉｍｉｔｉｖｅ）ＵＲＩシークエンスを生成することができる（Ｓ７３０）。ここで、異常行為探知装置は、ＵＲＩシークエンスに含まれた少なくとも一つのＵＲＩでキー値（ｋｅｙ ｖａｌｕｅ）を削除して原始ＵＲＩシークエンスを生成する段階を含むことができる。

異常行為探知装置は原始ＵＲＩシークエンスからログ確率値を算出することができる（Ｓ７４０）。ここで、異常行為探知装置は、原始ＵＲＩシークエンスに含まれた少なくとも一つの原始ＵＲＩに基づいて転移確率（ｔｒａｎｓｉｔｉｏｎ ｐｒｏｂａｂｉｌｉｔｙ）を算出することができ、転移確率に基づいてログ確率値を算出する段階を含むことができる。また、異常行為探知装置は、原始ＵＲＩシークエンスとあらかじめ設定された日から使用者の行為が発生した日による基準日までの原始ＵＲＩシークエンスに基づいて転移確率を算出することができ、使用者の行為が発生した日による基準日を使用者の行為が発生した日からあらかじめ設定された日数前に決めることができる。

異常行為探知装置はログ確率値とあらかじめ決定されたしきい値に基づいて使用者の行為が異常行為であるかを探知することができる（Ｓ７５０）。換言すれば、異常行為探知装置はログ確率値があらかじめ決定されたしきい値より低い場合、使用者の行為を異常行為であると判断することができる。

本発明の実施例に係る動作は、コンピュータで読み込みできる記録媒体にコンピュータが読み込みできるプログラムまたはコードで具現することが可能である。コンピュータが読み込みできる記録媒体は、コンピュータシステムによって読み込まれ得るデータが保存されるすべての種類の記録装置を含む。また、コンピュータが読み込みできる記録媒体は、ネットワークで連結されたコンピュータシステムに分散して分散方式でコンピュータで読み込みできるプログラムまたはコードが保存されて実行され得る。

また、コンピュータが読み込みできる記録媒体は、ロム（ｒｏｍ）、ラム（ｒａｍ）、フラッシュメモリ（ｆｌａｓｈ ｍｅｍｏｒｙ）等のようにプログラム命令を保存して遂行するように特別に構成されたハードウェア装置を含むことができる。プログラム命令はコンパイラ（ｃｏｍｐｉｌｅｒ）により作られるような機械語コードだけでなく、インタープリタ（ｉｎｔｅｒｐｒｅｔｅｒ）等を使ってコンピュータによって実行され得る高級言語コードを含むことができる。

本発明の一部の側面は装置の文脈で説明されたが、それは相応する方法にともなう説明でも表すことができ、ここでブロックまたは装置は方法段階または方法段階の特徴に相応する。同様に、方法の文脈で説明された側面は、相応するブロックまたはアイテムまたは相応する装置の特徴で表すことができる。方法段階のいくつかまたは全部は、例えば、マイクロプロセッサ、プログラム可能なコンピュータまたは電子回路のようなハードウェア装置によって（または利用して）遂行され得る。いくつかの実施例で、最も重要な方法段階の一つ以上はこのような装置によって遂行され得る。

実施例で、プログラム可能なロジック装置（例えば、フィールドプログラマブルゲートアレイ）がここで説明された方法の機能の一部又は全部を遂行するために使われ得る。実施例で、フィールドプログラマブルゲートアレイは、ここで説明された方法のうち一つを遂行するためのマイクロプロセッサとともに作動することができる。一般的に、方法はあるハードウェア装置によって遂行されることが好ましい。

前記では本発明の好ましい実施例を参照して説明したが、該当技術分野の熟練した当業者は、下記の特許請求の範囲に記載された本発明の思想および領域から逸脱しない範囲内で本発明を多様に修正および変更できることが理解できるはずである。

Claims (14)

1. グループウェア使用者の行為が異常行為であるかを探知する方法であって、
   前記使用者の行為からＵＲＩ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｉｄｅｎｔｉｆｉｅｒ）を獲得する段階と、
   あらかじめ決定した時間間隔に基づいて前記ＵＲＩからＵＲＩシークエンスを生成する段階と、
   前記ＵＲＩシークエンスに前処理を遂行して原始（ｐｒｉｍｉｔｉｖｅ）ＵＲＩシークエンスを生成する段階と、
   あらかじめ設定した長さのスライディングウインドウ（ｓｌｉｄｉｎｇ ｗｉｎｄｏｗ）を利用して前記原始ＵＲＩシークエンスから原始ＵＲＩサブシークエンス（ｓｕｂｓｅｑｕｅｎｃｅ）を生成する段階と、
   前記原始ＵＲＩサブシークエンスからログ確率値を算出する段階と、および
   前記ログ確率値とあらかじめ決定されたしきい値に基づいて前記使用者の行為が異常行為であるかを探知する段階を含む、異常行為探知方法。
2. 前記あらかじめ決定した時間間隔に基づいて前記ＵＲＩからＵＲＩシークエンスを生成する段階は、
   前記ＵＲＩが複数である場合、時間的に隣接したＵＲＩ間の時間間隔と前記あらかじめ決定した時間間隔を比較して前記複数のＵＲＩのうち、少なくとも一つのＵＲＩを含む少なくとも一つのＵＲＩシークエンスを生成する段階を含む、請求項１に記載の異常行為探知方法。
3. 前記ＵＲＩシークエンスに前処理を遂行して原始ＵＲＩシークエンスを生成する段階は、
   前記ＵＲＩシークエンスに含まれた少なくとも一つのＵＲＩでキー値（ｋｅｙ ｖａｌｕｅ）を削除して前記原始ＵＲＩシークエンスを生成する段階を含む、請求項１に記載の異常行為探知方法。
4. 前記原始ＵＲＩサブシークエンスからログ確率値を算出する段階は、
   前記原始ＵＲＩサブシークエンスに含まれた少なくとも一つの原始ＵＲＩに基づいて転移確率（ｔｒａｎｓｉｔｉｏｎ ｐｒｏｂａｂｉｌｉｔｙ）を算出する段階と、および
   前記転移確率に基づいて前記ログ確率値を算出する段階を含む、請求項１に記載の異常行為探知方法。
5. 前記原始ＵＲＩサブシークエンスに含まれた少なくとも一つの原始ＵＲＩに基づいて転移確率を算出する段階は、
   前記原始ＵＲＩサブシークエンスとあらかじめ設定された日から前記使用者の行為が発生した日による基準日までの原始ＵＲＩサブシークエンスに基づいて前記転移確率を算出する段階を含む、請求項４に記載の異常行為探知方法。
6. 前記使用者の行為が発生した日による基準日は、
   前記使用者の行為が発生した日からあらかじめ設定された日数前と決定される、請求項５に記載の異常行為探知方法。
7. 前記ログ確率値とあらかじめ決定されたしきい値に基づいて前記使用者の行為が異常行為であるかを探知する段階は、
   前記ログ確率値が前記あらかじめ決定されたしきい値より低い場合、前記使用者の行為を異常行為であると判断する段階を含む、請求項１に記載の異常行為探知方法。
8. グループウェア使用者の行為が異常行為であるかを探知する装置であって、
   プロセッサ（ｐｒｏｃｅｓｓｏｒ）と、および
   前記プロセッサを通じて実行される少なくとも一つの命令が保存されたメモリ（ｍｅｍ
   ｏｒｙ）を含み、
   前記少なくとも一つの命令は、
   前記使用者の行為からＵＲＩ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｉｄｅｎｔｉｆｉｅｒ）を獲得するように実行され、
   あらかじめ決定した時間間隔に基づいて前記ＵＲＩからＵＲＩシークエンスを生成するように実行され、
   前記ＵＲＩシークエンスに前処理を遂行して原始（ｐｒｉｍｉｔｉｖｅ）ＵＲＩシークエンスを生成するように実行され、
   あらかじめ設定した長さのスライディングウインドウ（ｓｌｉｄｉｎｇ ｗｉｎｄｏｗ）を利用して前記原始ＵＲＩシークエンスから原始ＵＲＩサブシークエンス（ｓｕｂｓｅｑｕｅｎｃｅ）を生成するように実行され、
   前記原始ＵＲＩサブシークエンスからログ確率値を算出するように実行され、
   前記ログ確率値とあらかじめ決定されたしきい値に基づいて前記使用者の行為が異常行為であるかを探知するように実行される、異常行為探知装置。
9. 前記少なくとも一つの命令は、
   前記ＵＲＩが複数である場合、時間的に隣接したＵＲＩ間の時間間隔と前記あらかじめ決定した時間間隔を比較して前記複数のＵＲＩのうち、少なくとも一つのＵＲＩを含む少なくとも一つのＵＲＩシークエンスを生成するように実行される、請求項８に記載の異常行為探知装置。
10. 前記少なくとも一つの命令は、
    前記ＵＲＩシークエンスに含まれた少なくとも一つのＵＲＩでキー値（ｋｅｙ ｖａｌｕｅ）を削除して前記原始ＵＲＩシークエンスを生成するように実行される、請求項８に記載の異常行為探知装置。
11. 前記少なくとも一つの命令は、
    前記原始ＵＲＩサブシークエンスに含まれた少なくとも一つの原始ＵＲＩに基づいて転移確率（ｔｒａｎｓｉｔｉｏｎ ｐｒｏｂａｂｉｌｉｔｙ）を算出するように実行され、
    前記転移確率に基づいて前記ログ確率値を算出するように実行される、請求項８に記載の異常行為探知装置。
12. 前記少なくとも一つの命令は、
    前記原始ＵＲＩサブシークエンスとあらかじめ設定された日から前記使用者の行為が発生した日による基準日までの原始ＵＲＩサブシークエンスに基づいて前記転移確率を算出するように実行される、請求項１１に記載の異常行為探知装置。
13. 前記使用者の行為が発生した日による基準日は、
    前記使用者の行為が発生した日からあらかじめ設定された日数前と決定される、請求項１２に記載の異常行為探知装置。
14. 前記少なくとも一つの命令は、
    前記ログ確率値が前記あらかじめ決定されたしきい値より低い場合、前記使用者の行為を異常行為であると判断するように実行される、請求項８に記載の異常行為探知装置。