JP7273942B1 - ネットワーク行為特徴を学習するネットワーク機器、処理システムおよび方法 - Google Patents

Abstract

【課題】ネットワーク行為特徴を学習するネットワーク機器、処理システム及び方法を提供する。
【解決手段】方法は、行為結果情報を特徴格納ユニットに格納するステップと、パケットキャプチャユニットが、ユーザ端末が提供したネットワークパケットをキャプチャし、パケット格納ユニットに格納するステップと、特徴キャプチャユニットが、さらにパケット格納ユニットからネットワークパケットを解析すると共に、特徴テンプレートによって相応の行為特徴情報を取得し、特徴格納ユニットに格納するステップと、処理ユニットが特徴格納ユニットから行為特徴情報および行為結果情報を取得し、学習収束情報を出力する学習モデルにインポートするステップと、処理ユニットが、学習収束情報に基づいて、特徴キャプチャユニットを調整するか、学習モデルを特徴認識モデルとして出力するかを決定するステップとを、含む。
【選択図】図４

Description

本発明は、学習能力を有する電子機器、処理システムおよび方法に関し、特に、ネットワーク行為特徴を学習するネットワーク機器、処理システムおよび方法に関する。

インターネットの急速な発展に伴い、情報の転送を加速させるほか、多くの産業の行為が変えられている。インターネットでのセキュリティを確保するために、どのようにしてネットワーク攻撃を防ぐかが大きな課題となっている。従来のネットワーク攻撃を防ぐ手段としては、攻撃が発生してからパケットの解析を開始する。インターネットの転送方式の多様化によって、従来の単一型のネットワーク攻撃行為は、複合式の攻撃行為あるいは全く新しい攻撃方式に転換し始めた。しかしながら、このようなネットワーク攻撃行為に対して、従来のサーバやネットワーク機器は、事後の更新によってしか防ぐことができず、即座に攻撃を受けたことを通知することができないため、反応のタイミングを逸することになる。

これに鑑みて、前記の問題を有効に解決するために、本発明の主な目的は、学習能力を持つ電子機器、処理システムおよび方法であって、ネットワーク行為特徴を学習するネットワーク機器、処理システムおよび方法を提供することである。

前記目的を達成するために、本発明は、複数のネットワークパケットをキャプチャするパケットキャプチャユニットと、前記パケットキャプチャユニットに接続し、前記ネットワークパケットを格納するパケット格納ユニットと、前記パケット格納ユニットに接続し、少なくとも１つの特徴テンプレートで前記ネットワークパケットを解析すると共に、前記ネットワークパケットの少なくとも１つの行為特徴情報をキャプチャする特徴キャプチャユニットと、前記特徴キャプチャユニットに接続し、前記行為特徴情報を格納すると共に、複数の行為結果情報を別に格納する特徴格納ユニットと、前記行為特徴情報および行為結果情報を受信する処理ユニットと、前記少なくとも１つの行為特徴情報および行為結果情報に基づいて、学習収束情報を出力する学習モデルと、を含み、前記処理ユニットは、前記学習収束情報に基づいて、前記特徴キャプチャユニットを調整するか、前記学習モデルを特徴認識モデルとして出力するかを決定する、ネットワーク行為特徴を学習するネットワーク機器を提供する。

本発明に係るネットワーク行為特徴を学習するネットワーク機器の一実施例において、前記処理ユニットは、前記学習収束情報に基づいて前記特徴キャプチャユニットを調整することを決定し、前記特徴キャプチャユニットは、処理ユニットの調整要求によってその特徴テンプレートを調整し、前記特徴キャプチャユニットは、さらに、調整された特徴テンプレートで前記ネットワークパケットを解析し、前記ネットワークパケットの新しい行為特徴情報をキャプチャする。

本発明は、複数のネットワークパケットを送信する少なくとも１つのユーザ端末と、前記ネットワークパケットを受信する少なくとも１つのサーバ端末と、ネットワーク機器と、を含む、ネットワーク行為特徴を学習する処理システムを提供する。前記ネットワーク機器は、前記ユーザ端末および前記サーバ端末を通った前記ネットワークパッケージをキャプチャするパケットキャプチャユニットと、少なくとも１つの特徴テンプレートで前記ネットワークパケットを解析すると共に、前記ネットワークパケットの少なくとも１つの行為特徴情報をキャプチャする特徴キャプチャユニットと、前記ネットワークパケットを格納するパケット格納ユニットと、前記行為特徴情報および複数の行為結果情報を格納する特徴格納ユニットと、前記行為特徴情報および行為結果情報を受信すると共に、前記学習モデルに入力する処理ユニットと、前記少なくとも１つの行為特徴情報および行為結果情報に基づいて、学習収束情報を出力する学習モデルとを備える。前記処理ユニットは、前記学習収束情報に基づいて、前記特徴キャプチャユニットを調整するか、前記学習モデルを特徴認識モデルとして出力するかを決定する。

本発明に係るネットワーク行為特徴を学習する処理システムの一実施例において、前記処理ユニットは、前記学習収束情報に基づいて前記特徴キャプチャユニットを調整することを決定し、前記特徴キャプチャユニットは、処理ユニットの調整要求によってその特徴テンプレートを調整し、前記特徴キャプチャユニットは、さらに、調整された特徴テンプレートで前記ネットワークパケットを解析し、前記ネットワークパケットの新しい行為特徴情報をキャプチャする。

本発明に係るネットワーク行為特徴を学習する処理システムの一実施例において、前記サーバ端末は、異常行為検出器をさらに含み、前記異常行為検出器は、前記ネットワークパケットから少なくとも１つの異常行為情報を検出し、前記異常行為情報を行為解析ユニットに送信する。

本発明に係るネットワーク行為特徴を学習する処理システムの一実施例において、前記行為解析ユニットは、前記特徴キャプチャユニットおよびパケット格納ユニットに接続し、異常行為情報に基づいて前記パケット格納ユニット中の前記ネットワークパケットを解析し、特徴キャプチャユニットにその特徴テンプレートを調整するよう要求する。

本発明は、少なくとも１つの行為結果情報を特徴格納ユニットに格納するステップと、パケットキャプチャユニットが、少なくとも１つのユーザ端末が提供したネットワークパケットをキャプチャし、パケット格納ユニットに格納するステップと、特徴キャプチャユニットが、さらに、パケット格納ユニットからネットワークパケットを解析すると共に、少なくとも１つの特徴テンプレートによって相応の行為特徴情報を取得し、特徴格納ユニットに格納するステップと、処理ユニットが特徴格納ユニットから行為特徴情報および行為結果情報を取得し、学習収束情報を出力する学習モデルにインポートするステップと、前記処理ユニットは、学習収束情報に基づいて、前記特徴キャプチャユニットを調整するか、前記学習モデルを特徴認識モデルとして出力するかを決定するステップとを、含むネットワーク行為特徴を学習する処理方法を提供する。

本発明に係るネットワーク行為特徴を学習する処理方法の一実施例において、前記処理ユニットが学習収束情報に基づいて特徴キャプチャユニットを調整するステップは、前記特徴キャプチャユニットが、処理ユニットの調整要求によってその特徴テンプレートを調整するステップと、前記特徴キャプチャユニットは、さらに、調整された特徴テンプレートで前記ネットワークパケットを解析し、前記ネットワークパケットの新しい行為特徴情報をキャプチャするステップとを含む。

本発明に係るネットワーク行為特徴を学習する処理方法の一実施例において、さらに異常行為検出器を提供し、前記異常行為検出器は、前記ネットワークパケットから少なくとも１つの異常行為情報を検出し、前記異常行為情報を行為解析ユニットに送信する。

本発明に係るネットワーク行為特徴を学習する処理方法の一実施例において、前記行為解析ユニットは、異常行為情報に基づいて前記パケット格納ユニット中の前記ネットワークパケットを解析し、特徴キャプチャユニットにその特徴テンプレートを調整するよう要求する。

図１は、本発明に係るネットワーク行為特徴を学習する処理システムのシステムアーキテクチャ概略図である。 図２は、本発明の行為特徴情報の内容概略図である。 図３は、本発明のネットワーク行為特徴を学習する処理システムのもう１つのシステムアーキテクチャ概略図である。 図４は、本発明のネットワーク行為特徴を学習する処理方法を示すフローチャートである。

本発明の上記目的ならびその構造および機能的特徴については、添付図面の好ましい実施例に基づいて説明される。

図１を参照すると、図１は、本発明のオンラインでのファームウェアを更新する処理システムのシステムアーキテクチャ概略図であり、図からは、本発明に係るネットワーク行為特徴を学習する処理システムのシステムアーキテクチャ概略図であることが明らかである。

ネットワーク行為特徴を学習する処理システム１００は、複数のユーザ端末１１０と、複数のサーバ端末１２０と、ネットワーク機器１３０とを含む。ネットワーク機器１３０は、ユーザ端末１１０とサーバ端末１２０との間にネットワークを介して接続されている。ネットワーク機器１３０は、ルータ、ゲートウェイ、リピータ、またはブリッジとすることができるが、これらに限定されない。

ユーザ端末１１０は、複数のネットワークパケット１５１をサーバ端末１２０に送信する。

ネットワーク機器１３０は、パケットキャプチャユニット１３１と、パケット格納ユニット１３３と、特徴キャプチャユニット１３２と、特徴格納ユニット１３６と、処理ユニット１３４と、学習モデル１３５とを有する。パケットキャプチャユニット１３１は、ユーザ端末１１０からサーバ端末１２０を通ったネットワークパケット１５１をキャプチャする。パケットキャプチャユニット１３１は、取得したネットワークパケット１５１をパケット格納ユニット１３３に転送し、ネットワークパケット１５１がパケット格納ユニット１３３に格納された。特徴キャプチャユニット１３２は、パッケージ格納ユニット１３３、特徴格納ユニット１３６および処理ユニット１３４に接続されている。

特徴キャプチャユニット１３２は、パケット格納ユニット１３３からネットワークパケット１５１を取得し、特徴テンプレート２１１によってネットワークパケット１５１から行為特徴情報１５２を取得する。特徴キャプチャユニット１３２は、個々のネットワークパケット１５１、所定数のネットワークパケット１５１、または所定時間帯に取得されたネットワークパケット１５１に基づいて解析を行い、行為特徴情報１５２を取得することができる。特徴テンプレート２１１は、送信側または受信側のネットワークパケット１５１の転送プロトコル、キャプチャ数、ヘッダ情報、転送ポート、転送時間、パケット内容、転送速度、転送方向、TCPフラグの回数、受信側、パケット数、パケット大きさ、到着間隔時間(inter arrival time)、データストリームアクティビティ時間、データストリームアイドル時間などを含む。例えば、図２に示すように、特徴キャプチャユニット１３２は、特徴テンプレート２１１によって前記ネットワークパケット中の行為特徴情報１５２を取得し、図２には、行為特徴情報１５２および特徴テンプレート２１１の内容であり、示された行為特徴情報１５２は、一組の量子化データ、マトリックスまたは画像である。特徴テンプレート２１１は、図２の実施例における４組に限定されるものではなく、学習モデル１３５の学習状況に応じて調整することができる。

特徴キャプチャユニット１３２は、取得した行為特徴情報１５２を特徴格納ユニット１３４に格納し、処理ユニット１３４は、特徴格納ユニット１３６から行為特徴情報１５２および行為結果情報１５３を取得して学習モデル１３５にインポートし、学習モデル１３５は、行為特徴情報１５２および行為結果情報１５３に基づいて学習を行う。ここで、学習モデル１３５は、人工知能(Artificial Intelligence)より構成され、人工知能は、人工ニューラルネットワーク、決定木、パーセプトロン、サポートベクターマシン(SVM)、整合学習、次元降下と度量学習、クラスタリング、ベイズ分類器、またはフィードフォワードニューラルネットワーク(Feed Forward Neural Network )などを含むが、それだけではない。また、行為結果情報１５３は、システム構築前に特徴格納ユニット１３６に取得、格納され、主に、外部アナライザによって既知のセキュリティユーザ端末１１１のネットワークパケット１５１を解析すると共に、外部アナライザによってその行為特徴情報１５２を取得し、これは正常な行為特徴情報１５２と見なすことができ、さらに、当該正常な行為特徴情報１５２に対応して正常な行為結果情報１５３を生成する。逆に、既知の悪意ユーザ端末１１２のネットワークパケット１５１に対して悪意のある行為結果情報１５３を解析し得て、これらの行為結果情報１５３を特徴格納ユニット１３６に格納する。行為結果情報１５３は、量子化データ、マトリックスまたは画像とすることができ、従来のフィードフォワードニューラルネットワークを例にすれば、正常な行為結果情報は整数１であり、悪意のある行為結果情報は整数０である。

学習モデル１３５は、受信した行為特徴情報１５２および行為結果情報１５３に基づいてネットワーク攻撃行為の学習を行い、学習モデル１３５は、学習の結果を学習収束情報として出力する。ここで、処理ユニット１３４は、特徴キャプチャユニット１３２および特徴格納ユニット１３６に接続され、処理ユニット１３４は、学習モデル１３５を実行する以外に、学習モデル１３５が出力した学習収束情報に基づいて評価を行い、その学習モデル１３５の学習収束情報が学習の目標に合致するかどうかを判断し、特徴キャプチャユニットを調整するか、学習モデルを特徴認識モデルとして出力するかを決定する。処理ユニット１３４は、学習モデル１３５の学習収束情報が学習の目標に合致すると判断すれば、特徴認識モデルを出力し、逆の場合、処理ユニット１３４は、特徴キャプチャユニット１３２を調整する。

学習収束情報は、収束状態と未収束状態の２つに大きく分けられる。学習収束情報が収束状態であれば学習目標に適合し、非収束状態であれば適合しない。例えば、処理ユニット１３４は、閾値０．９を予め設定し、学習収束情報が数値０．９を超えていれば収束状態に適合とし、逆に、出力される学習収束情報が０．５であれば非収束状態とし、ここで閾値が０．９であるが、０．９に限定されず、人工知能、行為結果情報１５３、または学習モデル１３５によって設定してもよい。なお、上述した収束、未収束状態は、人工知能、行為結果情報１５３、または学習モデル１３５によっても異なり、限定されるものではない。

その中、処理ユニット１３４は、特徴キャプチャユニット１３２を調整するとき、一定回数を学習しても、または、ある時間を取っても学習目標に合致しない場合、処理ユニット１３４は、特徴キャプチャユニット１３２に調整要求を発送し、特徴キャプチャユニット１３２は、調整要求によって特徴テンプレート２１１を調整し、換言すれば、特徴キャプチャユニット１３２は、従来の特徴テンプレート２１１の集合から別に新しい特徴テンプレート２１１を選択するか、或は、新たにネットワークパッケージ１５１から新しい特徴テンプレート２１１をキャプチャする。特徴キャプチャユニット１３２は、調整した特徴テンプレート２１１に基づいて、ネットワークパッケージ１５１を解析し、さらに、新しい特徴テンプレート２１１で新しい行為特徴情報１５２を取得し、学習モデル１３５の学習に用いるために特徴格納ユニット１３６に格納する。

また、別の方式で特徴キャプチャユニット１３２を調整することができ、図３に示すように、図３は、本発明のオンラインでのファームウェアを更新する処理システムの別のシステムアーキテクチャ概略図である。サーバ端末１２０は、異常行為検出器１５１をさらに含み、異常行為検出器１２１は、前記ネットワークパケット１２０から前記異常行為情報１５４を検出し、異常行為検出器１２１は、異常行為情報１５４を行為解析ユニット１３７に送信し、行為解析ユニット１３７は、特徴キャプチャユニット１３２およびパケット格納ユニット１３３に接続し、行為解析ユニット１３７は、異常行為情報１５４に基づいて、パケット格納ユニット１３３中のこれらのネットワークパケット１５１を解析し、特徴キャプチャユニット１３２に特徴テンプレート２１１を調整するように要求し、例えば、サーバ端末１２０の中央処理器の運転負荷が正常の場合には５０%に維持するとすれば、サーバ端末１２０の運転負荷が急に９０%まで高く上昇しかつ長期間に亘って運転されると、異常行為検出器１２１は、異常行為情報１５４と判断され、異常行為検出器１２１は、行為解析ユニット１３７に当該期間の異常行為情報１５４を送信し、行為解析ユニット１３７は、パケット格納ユニット１３７における当該期間のネットワークパケット１５１を解析し、解析結果に基づいて特徴キャプチャユニット１３２に対して特徴テンプレート１３３を調整するよう要求する。異常行為は、運転負荷に限定されず、パケット大きさ、ストリーム大きさ、プロトコルの種類、接続ポートまたはネットワークサービスなどにも適用可能であり、行為解析ユニット１３７は、網羅的アルゴリズム(Exhaustive Algorithm)を使用してパケットを解析することができる。

本実施例の運転過程を分かりやすく説明するために、本発明のネットワーク行為特徴を学習する処理方法のフローチャートである図４を参照する。ネットワーク行為特徴を学習する処理方法は、次のステップを含む。

ステップＳ３１０では、行為結果情報を特徴格納ユニットに格納する。外部アナライザにより既知のセキュリティユーザ端末１１１または悪意ユーザ端末１１２のネットワークパケット１５１を解析し、正常または悪意の行為特徴情報１５２を取得し、正常または悪意の行為特徴情報１５２により相応の行為結果情報１５３を生成し、特徴格納ユニット１３６に格納する。

ステップＳ３２０では、パケットキャプチャユニットが、ユーザ端末が提供したネットワークパケットをキャプチャしてパケット格納ユニットに格納する。まず、ネットワーク機器１３０は、ユーザ端末１１０がサーバ端末１２０に送信したネットワークパケット１５１を受信し、ネットワーク機器１３０のパケットキャプチャユニット１３１は、ユーザ端末１１０がサーバ端末１２０に送信したネットワークパケット１５１を同時に送信したり、パケット格納ユニット１３３に格納したりするように、サイドローディングやバイパスなどを介してネットワークパケット１５１を取得することができる。

ステップＳ３３０では、さらに、特徴キャプチャユニットが、パケット格納ユニットからネットワークパケットを解析し、特徴テンプレートに基づいて相応の行為特徴情報を取得して特徴格納ユニットに格納する。特徴キャプチャユニット１３２は、パケット格納ユニット１３３からネットワークパケット１５１を解析し、特徴テンプレート２１１に基づいて相応の行為特徴情報１５２を取得し、その後、行為特徴情報１５２を特徴格納ユニット１３６に格納する。ここで、特徴キャプチャユニット１３２は、ネットワークフロー監視ソフトウェア、例えば：Netflowを介してネットワークパケット１５１を解析することができるが、これに限定されない。

ステップＳ３４０では、処理ユニットは、特徴格納ユニットから行為特徴情報および行為結果情報を取得して学習モデルにインポートし、この学習モデルは学習収束情報を出力する。処理ユニット１３４は、特徴格納ユニット１３６から行為特徴情報１５２および行為結果情報１５３を取得し、学習モデル１３５にインポートし、学習モデル１３５は、行為特徴情報１５２および行為結果情報１５３に基づいて学習を行い、学習モデル１３５は、学習結果を学習収束情報として出力する。

ステップＳ３５０では、この処理ユニットは、学習収束情報に基づいて、特徴キャプチャユニットを調整するか、学習モデルを特徴認識モデルとして出力するかを決定する。ここで、処理ユニット１３４は、異なる期間またはユーザ端末１１０の組合せに対応する学習収束情報を継続的に取得し、処理ユニット１３４は、取得した学習収束情報に基づいて学習モデル１３５の学習状態を評価し、学習収束情報が継続的に収束状態である場合には、処理ユニット１３４は、学習モデル１３５を特徴認識モデルとして格納する。処理ユニット１３４は、特徴認識モデルを他のネットワーク機器１３０に出力する。

逆に、学習収束情報が非収束状態で続く場合、当該処理ユニット１３４は、調整要求を特徴キャプチャユニット１３２へ送信し、当該特徴キャプチャユニット１３２は、調整要求に基づいて特徴テンプレート２１１を調整する。換言すれば、特徴キャプチャユニット１３２は、既存の特徴テンプレート２１１の集合から新たな特徴テンプレート２１１を別途選択するか、新たにネットワークパケット１５１から新しい特徴テンプレート２１１をキャプチャし、特徴キャプチャユニット１３２は、調整後の特徴テンプレート２１１に基づいてネットワークパケット１５１を解析し、新たな行為特徴情報１５２を取得するのに用いられ、特徴格納ユニット１３６に格納される。そして、処理ユニット１３４は、新しい行為特徴情報１５２と相応の行為結果情報１５３に基づいて、新しい学習収束情報を取得するために、ステップＳ３４０およびＳ３５０を再び実行する。特徴テンプレートを調整する方法は、特徴テンプレートを追加または削除することであってよい。

また、ステップＳ３５０を複数回経て、収束情報を学習しても収束しない場合、行為解析ユニット１３７は、異常行為情報１５４に基づいて、当該パケット格納ユニット１３３におけるこれらのネットワークパケット１５１を解析し、特徴キャプチャユニット１３２に特徴テンプレート２１１を調整するよう要求する。

従って、本発明のネットワーク行為特徴を学習するネットワーク機器１３０、処理システム１００および方法は、ネットワークパケット１５１および相応の行為特徴を学習することによって、学習モデル１３５の判断精度を調整することができる。さらに、処理システム１００のサーバ端末１２０は、認識されていない悪意のある攻撃の行為特徴情報１５２を提供することもできる。ネットワーク機器１３０は、異なるルートのデータソースを介して完全な保護の目的を達成する。

以上、本発明を詳細に説明したが、上述で説明されたものは、本発明の１つの好ましい実施例にすぎず、本発明の実施範囲を限定するものではなく、すなわち本発明の請求範囲によって行う均等変化と修飾などは、本発明の特許請求範囲に属するべきである。

１００ 処理システム
１１０ ユーザ端末
１１１ セキュリティユーザ端末
１１２ 悪意ユーザ端末
１２０ サーバ端末
１２１ 異常行為検出器
１３０ ネットワーク機器
１３１ パケットキャプチャユニット
１３２ 特徴キャプチャユニット
１３３ パッケージ格納ユニット
１３４ 処理ユニット
１３５ 学習モデル
１３６ 特徴格納ユニット
１３７ 行為解析ユニット
１５１ ネットワークパケット
１５２ 行為特徴情報
１５３ 行為結果情報
１５４ 異常行為情報
２１１ 特徴テンプレート

Claims (6)

1. 複数のネットワークパケットを送信する少なくとも１つのユーザ端末と、
   前記ネットワークパケットを受信する少なくとも１つのサーバ端末と、
   パケットキャプチャユニットと、特徴キャプチャユニットと、パケット格納ユニットと、特徴格納ユニットと、処理ユニットと、学習モデルとを備えるネットワーク機器と、
   を含むネットワーク行為特徴を学習する処理システムにおいて、
   前記サーバ端末は、前記ネットワークパケットから少なくとも１つの異常行為情報を検出して前記異常行為情報を行為解析ユニットに送信するための異常行為検出器をさらに含み、
   前記パケットキャプチャユニットは、前記ユーザ端末および前記サーバ端末を通った前記ネットワークパケットをキャプチャし、
   前記特徴キャプチャユニットは、少なくとも１つの特徴テンプレートで前記ネットワークパケットを解析すると共に、前記ネットワークパケットの少なくとも１つの行為特徴情報をキャプチャし、
   前記パケット格納ユニットは、前記ネットワークパケットを格納し、
   前記特徴格納ユニットは、前記行為特徴情報および複数の行為結果情報を格納し、
   前記処理ユニットは、前記行為特徴情報および行為結果情報を受信すると共に前記学習モデルに入力し、
   前記学習モデルは、前記少なくとも１つの行為特徴情報および行為結果情報に基づいて、学習収束情報を出力し、
   前記処理ユニットは、前記学習収束情報に基づいて、前記特徴キャプチャユニットを調整するか、前記学習モデルを特徴認識モデルとして出力するかを決定する、
   ことを特徴とするネットワーク行為特徴を学習する処理システム。
2. 前記処理ユニットは、前記学習収束情報に基づいて前記特徴キャプチャユニットを調整することを決定し、
   前記特徴キャプチャユニットは、処理ユニットの調整要求によってその特徴テンプレートを調整し、前記特徴キャプチャユニットは、さらに、調整された特徴テンプレートで前記ネットワークパケットを解析し、前記ネットワークパケットの新しい行為特徴情報をキャプチャする、
   ことを特徴とする請求項１に記載のネットワーク行為特徴を学習する処理システム。
3. 前記行為解析ユニットは、前記特徴キャプチャユニットおよびパケット格納ユニットに接続し、異常行為情報に基づいて前記パケット格納ユニット中の前記ネットワークパケットを解析し、特徴キャプチャユニットにその特徴テンプレートを調整するよう要求する、
   ことを特徴とする請求項１に記載のネットワーク行為特徴を学習する処理システム。
4. 少なくとも１つの行為結果情報を特徴格納ユニットに格納するステップと、
   パケットキャプチャユニットが、少なくとも１つのユーザ端末が提供したネットワークパケットをキャプチャすると共に、パケット格納ユニットに格納するステップと、
   特徴キャプチャユニットが、さらに、パケット格納ユニットからネットワークパケットを解析すると共に、少なくとも１つの特徴テンプレートによって相応の行為特徴情報を取得し、特徴格納ユニットに格納するステップと、
   処理ユニットが、特徴格納ユニットから行為特徴情報および行為結果情報を取得すると共に、学習収束情報を出力する学習モデルにインポートするステップと、
   前記処理ユニットは、学習収束情報に基づいて、前記特徴キャプチャユニットを調整するか、前記学習モデルを特徴認識モデルとして出力するかを決定するステップとを、含むネットワーク行為特徴を学習する処理方法において、
   さらに異常行為検出器を提供し、前記異常行為検出器は、前記ネットワークパケットから少なくとも１つの異常行為情報を検出して前記異常行為情報を行為解析ユニットに送信する、
   ことを特徴とするネットワーク行為特徴を学習する処理方法。
5. 前記処理ユニットが学習収束情報に基づいて特徴キャプチャユニットを調整するステップは、
   前記特徴キャプチャユニットが、処理ユニットの調整要求によってその特徴テンプレートを調整するステップと、
   前記特徴キャプチャユニットは、さらに、調整された特徴テンプレートで前記ネットワークパケットを解析し、前記ネットワークパケットの新しい行為特徴情報をキャプチャするステップと、を含む、
   ことを特徴とする請求項４に記載のネットワーク行為特徴を学習する処理方法。
6. 前記行為解析ユニットは、異常行為情報に基づいて前記パケット格納ユニット中の前記ネットワークパケットを解析し、特徴キャプチャユニットにその特徴テンプレートを調整するよう要求する、
   ことを特徴とする請求項４に記載のネットワーク行為特徴を学習する処理方法。

Images