KR102247179B1 - 이상행위탐지모델의 비지도 학습을 위한 xai 기반 정상학습데이터 생성방법 및 장치 - Google Patents

이상행위탐지모델의 비지도 학습을 위한 xai 기반 정상학습데이터 생성방법 및 장치 Download PDF

Info

Publication number
KR102247179B1
KR102247179B1 KR1020200178521A KR20200178521A KR102247179B1 KR 102247179 B1 KR102247179 B1 KR 102247179B1 KR 1020200178521 A KR1020200178521 A KR 1020200178521A KR 20200178521 A KR20200178521 A KR 20200178521A KR 102247179 B1 KR102247179 B1 KR 102247179B1
Authority
KR
South Korea
Prior art keywords
learning
data
model
normal
abnormal
Prior art date
Application number
KR1020200178521A
Other languages
English (en)
Inventor
신윤섭
이호중
Original Assignee
주식회사 이글루시큐리티
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 이글루시큐리티 filed Critical 주식회사 이글루시큐리티
Priority to KR1020200178521A priority Critical patent/KR102247179B1/ko
Application granted granted Critical
Publication of KR102247179B1 publication Critical patent/KR102247179B1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N5/00—Computing arrangements using knowledge-based models
    • G06N5/02—Knowledge representation; Symbolic representation
    • G06N5/022—Knowledge engineering; Knowledge acquisition
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Artificial Intelligence (AREA)
  • Evolutionary Computation (AREA)
  • Mathematical Physics (AREA)
  • Data Mining & Analysis (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Computational Linguistics (AREA)
  • Medical Informatics (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Testing And Monitoring For Control Systems (AREA)

Abstract

본 발명의 실시 예에 따른 이상행위탐지모델의 비지도 학습을 위한 XAI 기반 정상학습데이터 생성방법은, 정상학습데이터 생성장치에 의해 수행되는 방법으로서, 보안장치의 수집데이터 중 일부를 이용하여 이상라벨 또는 정상라벨로 라벨링된 학습데이터셋을 생성하는 단계; 라벨링된 학습데이터셋을 이용한 지도학습을 통해 이상행위탐지를 위한 지도학습모델을 생성하는 단계; 지도학습모델을 설명가능한모델로 해석하는 단계; 해석된 설명가능한모델을 통하여 이상기준 수치범위를 판단하는 단계; 및 보안장치의 수집데이터 중 이상기준 수치범위 밖의 데이터를 정상 학습데이터셋으로 생성하는 단계를 포함한다.

Description

이상행위탐지모델의 비지도 학습을 위한 XAI 기반 정상학습데이터 생성방법 및 장치{XAI-BASED NORMAL LEARNING DATA GENERATION METHOD AND DEVICE FOR UNSUPERVISED LEARNING OF ABNORMAL BEHAVIOR DETECTION MODEL}
본 발명은 이상행위탐지모델의 비지도 학습을 위한 XAI(eXplainable Artificial Intelligence)기반 정상학습데이터 생성방법 및 장치에 관한 것이다.
정보자원 내의 정보의 중요성과 정보의 양이 커짐에 따라, 네트워크 상 보안의 중요성 역시 대두되었다. 정보자원의 보안을 위하여 통합보안관리시스템, 위협관리시스템, 방화벽, IDS, ISP 등의 보안장비 및 보안시스템이 사용되고 있다.
보안장비 및 보안시스템의 수집데이터에 대하여 이상행위에 해당되는지 탐지하기 위한 모델이 요구된다.
이상행위탐지 모델을 생성하기 위하여, 보안장비 및 보안시스템의 수집데이터를 이용한 지도학습 및 비지도학습이 활용될 수 있다.
지도학습을 위해서는 이상(Anormaly) 또는 정상(Normal)으로 라벨링된 데이터가 필요한데, 지도학습을 통한 이상행위탐지 모델의 성능을 향상시키기 위해서는 라벨링된 많은 양의 학습데이터가 요구된다. 다만, 레이블링된 학습데이터는 일반적으로 수동작업에 의해 생성되므로, 시간 및 비용면에서 많은 양의 학습데이터를 생성하기 어려운 문제가 발생되고 있다.
또한, 보안장비 및 보안시스템의 수집데이터를 그대로 사용하여 비지도 학습을 수행하는 경우, 생성된 이상치탐지모델의 오탐지 발생률을 목표로 설정된 수준 이하로 낮추기 어려운 문제가 발생되고 있다.
본 발명은 상술한 문제점을 해결할 수 있는 방법 및 장치를 제공하는 것을 목적으로 한다.
또한, 본 발명은, 보안장치 및 보안시스템의 수집데이터 중 정상데이터만을 추출하여 이상행위탐지모델의 비지도 학습을 위한 학습데이터를 생성하는, 정상학습데이터 생성방법 및 장치를 제공하는 것을 일 목적으로 한다.
또한, 본 발명은, 수집데이터의 일부를 이용해 지도학습모델을 생성하고, 생성된 지도학습모델을 설명가능한모델로 해석한 뒤, 설명가능한모델을 통해 수집데이터 중 정상데이터만을 추출하기 위한 이상기준 수치범위를 판단하는, 정상학습데이터 생성방법 및 장치를 제공하는 것을 일 목적으로 한다.
또한, 본 발명은, 판단된 이상기준 수치범위 밖의 데이터를 정상데이터로 분류하고, 분류된 정상데이터를 이용해 비지도 학습을 위한 학습데이터를 생성하는, 정상학습데이터 생성방법 및 장치를 제공하는 것을 일 목적으로 한다.
본 발명이 해결하고자 하는 과제들은 이상에서 언급된 과제로 제한되지 않으며, 언급되지 않은 또 다른 과제들은 아래의 기재로부터 통상의 기술자에게 명확하게 이해될 수 있을 것이다.
상술한 과제를 해결하기 위한 본 발명의 일 실시 예에 따른 이상행위탐지모델의 비지도 학습을 위한 XAI 기반 정상학습데이터 생성방법은, 정상학습데이터 생성장치에 의해 수행되는 방법으로서, 보안장치의 수집데이터 중 일부를 이용하여 이상라벨 또는 정상라벨로 라벨링된 학습데이터셋을 생성하는 단계; 라벨링된 학습데이터셋을 이용한 지도학습을 통해 이상행위탐지를 위한 지도학습모델을 생성하는 단계; 지도학습모델을 설명가능한모델로 해석하는 단계; 해석된 설명가능한모델을 통하여 이상기준 수치범위를 판단하는 단계; 및 보안장치의 수집데이터 중 이상기준 수치범위 밖의 데이터를 정상 학습데이터셋으로 생성하는 단계를 포함한다.
또한, 상기 보안장치의 수집데이터 중 일부를 이용하여 이상라벨 또는 정상라벨로 라벨링된 학습데이터셋을 생성하는 단계는, 상기 보안장치의 수집데이터의 일부를 샘플링하여 지도학습에 사용될 복수의 특징(Feature)을 갖는 샘플데이터를 생성하는 단계; 생성된 샘플데이터에 이상라벨 또는 정상라벨을 부여하는 단계; 및 라벨링된 샘플데이터를 수치데이터로 전처리하여 라벨링된 학습데이터셋을 생성하는 단계를 포함한다.
또한, 상기 복수의 특징은, 패킷사이즈, 출발지 IP의 해외여부, 차단허용여부, 수집데이터 발생주기 및 수집데이터 내의 SQL 문구 개수를 포함한다.
또한, 상기 지도학습모델을 설명가능한모델로 해석하는 단계는, 모델귀납법(Model-agnostic methods)을 통해 수행된다.
또한, 상기 지도학습모델을 설명가능한모델로 해석하는 단계는, 복수의 특징별로 라벨선정에 대한 기여도를 산출하는 단계; 복수의 특징 중 기여도가 기 설정된 수치 이상인 특징을 기준특징으로 선정하는 단계; 및 선정된 기준특징에 대한 수치데이터를 제공하는 설명가능한모델을 생성하는 단계를 포함한다.
또한, 상기 해석된 설명가능한모델을 통하여 이상기준 수치범위를 판단하는 단계는, 선정된 기준특징에 대한 수치데이터를 이용하여, 이상라벨 또는 정상라벨을 분류하는 이상기준 수치범위를 판단한다.
또한, 상기 이상행위탐지모델의 비지도 학습을 위한 XAI 기반 정상학습데이터 생성방법은, 정상학습데이터셋을 이용한 비지도학습을 통해 이상행위탐지를 위한 비지도학습모델을 생성하는 단계를 더 포함한다.
또, 본 발명의 실시 예에 다른 이상행위탐지모델의 비지도 학습을 위한 XAI 기반 정상학습데이터 생성장치는, 보안장치의 수집데이터 중 일부를 이용하여 생성된 설명가능한모델을 통해 이상기준 수치범위를 판단하는 기준수치 판단부; 및 상기 보안장치의 수집데이터 중 이상기준 수치범위 밖의 데이터를 정상학습데이터셋으로 생성하는 정상 학습데이터 생성부를 포함한다.
또한, 상기 기준수치 판단부는, 보안장치의 수집데이터 중 일부를 이용하여 이상라벨 또는 정상라벨로 라벨링된 학습데이터셋을 생성하는 라벨링 학습데이터 생성모듈; 라벨링된 학습데이터셋을 이용한 지도학습을 통해 이상행위탐지를 위한 지도학습모델을 생성하는 지도학습모델 생성모듈; 모델귀납법(Model-agnostic methods)을 통해 상기 지도학습모델을 설명가능한모델로 해석하는 지도학습모델 해석모듈; 및 상기 설명가능한모델을 통하여 상기 이상기준 수치범위를 판단하는 이상기준 수치범위 판단모듈을 포함한다.
또한, 상기 정상학습데이터셋을 이용한 비지도학습을 통해 이상행위탐지를 위한 비지도학습모델을 생성하는 비지도학습모델 생성부를 포함한다.
이 외에도, 본 발명을 구현하기 위한 다른 방법, 다른 시스템 및 상기 방법을 실행하기 위한 컴퓨터 프로그램을 기록하는 컴퓨터 판독 가능한 기록 매체가 더 제공될 수 있다.
본 발명의 실시 예에 따르면, 해석된 설명가능한모델에 의해 이상기준 수치범위가 판단되며, 대량의 수집데이터에서 이상기준 수치범위에 포함되지 않는 데이터를 분류할 수 있다.
이를 통해, 정상범위에 해당되는 데이터를 대량으로 생성하고, 생성된 대량의 정상데이터만을 이용해 비지도 학습을 수행할 수 있다.
결과적으로, 정상데이터만을 이용해 비지도 학습된 이상행위탐지모델이 생성되므로, 이상행위탐지모델의 오탐률이 현저하게 저하될 수 있다.
본 발명의 효과들은 이상에서 언급된 효과로 제한되지 않으며, 언급되지 않은 또 다른 효과들은 아래의 기재로부터 통상의 기술자에게 명확하게 이해될 수 있을 것이다.
도 1은 본 발명의 실시 예에 따른 이상행위탐지모델의 비지도 학습을 위한 XAI 기반 정상학습데이터 생성장치의 구성을 도시하는 블록도이다.
도 2는 보안장치에서 수집데이터가 수집되는 과정을 개념적으로 도시하는 개념도이다.
도 3은 본 발명의 실시 예에 따른 이상행위탐지모델의 비지도 학습을 위한 XAI 기반 정상학습데이터 생성방법의 구체적인 과정을 도시하는 흐름도이다.
도 4는 도 3의 S10단계의 구체적인 과정을 도시하는 흐름도이다.
도 5는 도 3의 S10단계의 동작과정을 개념적으로 도시하는 개념도이다.
도 6은 도 3의 S30단계의 구체적인 과정을 도시하는 흐름도이다.
도 7은 도 3의 S30단계에 의해 생성된 설명가능한모델의 동작과정을 개념적으로 도시하는 개념도이다.
도 8은 도 3의 S40단계의 구체적인 과정을 도시하는 흐름도이다.
본 발명의 이점 및 특징, 그리고 그것들을 달성하는 방법은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시예들을 참조하면 명확해질 것이다. 그러나, 본 발명은 이하에서 개시되는 실시예들에 제한되는 것이 아니라 서로 다른 다양한 형태로 구현될 수 있으며, 단지 본 실시예들은 본 발명의 개시가 완전하도록 하고, 본 발명이 속하는 기술 분야의 통상의 기술자에게 본 발명의 범주를 완전하게 알려주기 위해 제공되는 것이며, 본 발명은 청구항의 범주에 의해 정의될 뿐이다.
본 명세서에서 사용된 용어는 실시예들을 설명하기 위한 것이며 본 발명을 제한하고자 하는 것은 아니다. 본 명세서에서, 단수형은 문구에서 특별히 언급하지 않는 한 복수형도 포함한다. 명세서에서 사용되는 "포함한다(comprises)" 및/또는 "포함하는(comprising)"은 언급된 구성요소 외에 하나 이상의 다른 구성요소의 존재 또는 추가를 배제하지 않는다. 명세서 전체에 걸쳐 동일한 도면 부호는 동일한 구성 요소를 지칭하며, "및/또는"은 언급된 구성요소들의 각각 및 하나 이상의 모든 조합을 포함한다. 비록 "제1", "제2" 등이 다양한 구성요소들을 서술하기 위해서 사용되나, 이들 구성요소들은 이들 용어에 의해 제한되지 않음은 물론이다. 이들 용어들은 단지 하나의 구성요소를 다른 구성요소와 구별하기 위하여 사용하는 것이다. 따라서, 이하에서 언급되는 제1 구성요소는 본 발명의 기술적 사상 내에서 제2 구성요소일 수도 있음은 물론이다.
다른 정의가 없다면, 본 명세서에서 사용되는 모든 용어(기술 및 과학적 용어를 포함)는 본 발명이 속하는 기술분야의 통상의 기술자에게 공통적으로 이해될 수 있는 의미로 사용될 수 있을 것이다. 또한, 일반적으로 사용되는 사전에 정의되어 있는 용어들은 명백하게 특별히 정의되어 있지 않는 한 이상적으로 또는 과도하게 해석되지 않는다.
이하, 첨부된 도면을 참조하여 본 발명의 실시예를 상세하게 설명한다.
1. 본 발명의 실시 예에 따른 정상학습데이터 생성장치(10)의 설명
도 1을 참조하면, 본 발명의 일 실시 예에 따른 정상학습데이터 생성장치(10)는 보안 장치의 수집데이터를 수신하고, 수신된 수집데이터에서 정상(Normal)에 해당되는 데이터만을 분류하며, 분류된 데이터를 이용하여 정상학습데이터셋을 생성한다.
도 2를 참조하면, 자산(DBMS, OS, WAS, Networ)들은 인터넷과 보안 장치들을 통해 연결된다. 보안 장치는 방화벽, IDS(Intrusion Detection System) 및 IPS(Intrusion Prevention System)와 같은 장치들을 포함하며, 각각의 장치에서 기 설정된 조건을 만족시키는 데이터가 수집될 수 있다.
다시 도 1을 참조하면, 보안 장치에서 수집된 데이터는 공격성을 갖는 이상 데이터 또는 공격성을 갖지 않는 정상 데이터일 수 있으며, 정상학습데이터 생성장치(10)는 수집된 데이터 중 공격성을 갖지 않는 정상 데이터만을 분류할 수 있다.
또한, 정상학습데이터 생성장치(10)는 분류된 정상 데이터를 이용하여 비지도 학습(Unsupervised Learning)을 위한 정상학습데이터셋을 생성한다.
생성된 정상학습데이터셋은 비지도학습모델 생성장치(20)에 제공되며, 비지도학습모델 생성장치(20)를 제공된 정상학습데이터셋을 이용해 비지도 학습을 수행하여 이상행위탐지모델을 생성한다.
도시되지 않은 실시 예에서, 비지도학습모델 생성장치(20)는 정상학습데이터 생성장치(10)와 일체로 구성될 수 있다. 예를 들어, 정상학습데이터 생성장치(10)는 비지도학습모델 생성모듈(미도시)을 더 포함할 수 있다.
공격성을 갖지 않는 정상데이터만을 이용하여 비지도학습을 수행하는 경우, 비지도학습에 의해 생성된 이상행위탐지모델의 이상행위 탐지성능이 향상될 수 있다.
정상학습데이터 생성장치(10)에서 생성된 정상데이터만을 이용하여 비지도 학습을 수행함에 따라, 정상의 범위가 정의되고, 정상의 범위를 벗어나는 수집데이터가 이상행위로 탐지되므로, 이상행위탐지모델의 이상행위 탐지성능이 향상될 수 있다.
비지도 학습을 위해서는 대량의 데이터가 필요한 반면에, 기존에는 수집데이터로부터 대량의 정상데이터를 분류하는데 과도한 인적비용 및 시간이 소요되는 문제가 있었다.
반면에, 본 실시 예에 따른 정상학습데이터 생성장치(10)를 통해 수집데이터로부터 대량의 정상데이터가 분류될 수 있으므로, 이러한 문제점이 개선될 수 있다.
대량의 정상데이터를 분류하고 분류된 정상데이터를 이용하여 정상학습데이터셋을 생성하기 위하여, 정상학습데이터 생성장치(10)는 기준수치 판단부(11) 및 정상 학습데이터 생성부(12)를 포함한다.
정상학습데이터 생성장치(10) 및 비지도학습모델 생성장치(20)는 각각 정보를 전송하고 수신하기 위한 통신부, 정보를 연산하기 위한 제어부 및 정보를 저장하기 위한 메모리(또는 데이터베이스)를 포함할 수 있다.
제어부는, 하드웨어적으로, ASICs(applicationspecific integrated circuits), DSPs(digital signal processors), DSPDs(digital signal processing devices), PLDs(programmable logic devices), FPGAs(field programmable gate arrays), 프로세서(processors), 제어기(controllers), 마이크로컨트롤러(micro-controllers), 마이크로 프로세서(microprocessors), 기타 기능 수행을 위한 전기적인 유닛 중 적어도 하나를 이용하여 구현될 수 있다.
또한, 소프트웨어적으로, 본 명세서에서 설명되는 절차 및 기능과 같은 실시 예들은 별도의 소프트웨어 모듈들로 구현될 수 있다. 상기 소프트웨어 모듈들 각각은 본 명세서에서 설명되는 하나 이상의 기능 및 작동을 수행할 수
있다. 소프트웨어 코드는 적절한 프로그램 언어로 쓰여진 소프트웨어 애플리케이션으로 소프트웨어 코드가 구현될 수 있다. 상기 소프트웨어 코드는 메모리에 저장되고, 제어부에 의해 실행될 수 있다.
통신부는 유선통신모듈, 무선통신모듈 및 근거리통신모듈 중 적어도 하나를 통해 구현될 수 있다. 무선 인터넷 모듈은 무선 인터넷 접속을 위한 모듈을 말하는 것으로 각 장치에 내장되거나 외장될 수 있다. 무선 인터넷 기술로는 WLAN(Wireless LAN)(Wi-Fi), Wibro(Wireless broadband), Wimax(World Interoperability for Microwave Access), HSDPA(High Speed Downlink Packet Access), LTE(long term evolution), LTE-A(Long Term Evolution-Advanced) 등이 이용될 수 있다.
메모리는 플래시 메모리 타입(flash memory type), 하드디스크 타입(hard
disk type), 멀티미디어 카드 마이크로 타입(multimedia card micro type), 카드 타입의 메모리(예를 들어 SD 또는 XD 메모리 등), 램(random access memory; RAM), SRAM(static random access memory), 롬(read-only memory; ROM), EEPROM(electrically erasable programmable read-only memory), PROM(programmable read-only memory), 자기 메모리, 자기 디스크, 광디스크 중 적어도 하나의 타입의 저장매체를 포함할 수 있다.
이하에서는, 도 3 내지 도 8을 참조하여, 본 실시 예에 따른 정상학습데이터 생성장치(10)에 의해 수행되는 정상학습데이터 생성방법에 대해 구체적으로 설명한다.
2. 본 발명의 실시 예에 따른 정상학습데이터 생성방법(S1)의 설명
도 3을 참조하면, 본 실시 예에 따른 정상학습데이터 생성방법(S1)은 라벨링된 학습데이터셋을 생성하는 단계(S10), 이상행위탐지를 위한 지도학습모델을 생성하는 단계(S20), 지도학습모델을 설명가능한모델로 해석하는 단계(S30), 설명가능한모델을 통해 이상기준 수치범위를 판단하는 단계(S40) 및 이상기준 수치범위 밖의 정상학습데이터셋을 생성하는 단계(S50)를 포함한다.
수집데이터에서 공격성을 갖지 않는 정상 데이터를 분류하기 위하여, 기준수치 판단부(11)에 의해 이상기준 수치범위가 판단된다.
이상기준 수치범위의 판단을 위하여, 기준수치 판단부(11)는 라벨링 학습데이터 생성모듈(111), 지도학습모델 생성모듈(112), 지도학습모델 해석모듈(113) 및 이상기준 수치범위 판단모듈(114)을 포함한다.
(1) 라벨링된 학습데이터셋을 생성하는 단계(S10)의 설명
먼저, 라벨링 학습데이터 생성모듈(111)이 보안장치의 수집데이터 중 일부를 이용하여 이상라벨 또는 정상라벨로 라벨링된 학습데이터셋을 생성한다(S10).
라벨링된 학습데이터셋은 이상행위탐지모델의 지도학습을 위해 사용된다.
이상라벨(Anormaly) 또는 정상라벨(Normaly)은 라벨링을 수행하는 작업자에 의해 부여되므로, 대량의 수집데이터 중 일부만을 샘플링한 후, 샘플링된 데이터에 대해 라벨링을 수행한다.
도 4 및 도 5를 참조하면, 라벨링된 학습데이터셋을 생성하는 단계(S10)의 구체적인 과정이 도시된다.
먼저, 라벨링 학습데이터 생성모듈(111)이 보안장치의 수집데이터의 일부를 샘플링하여 지도학습에 사용될 복수의 특징(Feature)을 갖는 샘플데이터를 생성한다(S11).
일 실시 예에서, 복수의 특징(Feature)은 pkt_size(패킷사이즈), src_foreign(출발지 IP 해외여부), action_flag(차단허용 여부), duration_value(수집데이터 발생주기), 및 payload_sql_char(수집데이터 내의 SQL 문구 개수)을 포함할 수 있다. 다만, 이에 한정되는 것은 아니며, 수집데이터의 공격성을 판단할 수 있는 다양한 특징(Feature)들이 사용될 수 있다.
샘플데이터가 생성되면, 라벨링 학습데이터 생성모듈(111)이 생성된 샘플데이터에 이상라벨 또는 정상라벨을 부여한다(S12).
도시된 실시 예에서는, 샘플데이터가 라벨링 학습데이터 생성모듈(111)에 의해 라벨링되나 이에 한정되는 것은 아니다. 예를 들어, 샘플데이터는 정상학습데이터 생성장치(10) 이외의 단말로 전송된 후, 라벨링을 수행하는 작업자에 의해 라벨링되어 정상학습데이터 생성장치(10)로 다시 전송될 수 있다.
샘플데이터에 대한 라벨링이 완료되면, 라벨링 학습데이터 생성모듈(111)이 라벨링된 샘플데이터를 수치데이터로 전처리하여 라벨링된 학습데이터셋을 생성한다(S13).
도 5를 참조하면, 수치데이터로 전처리된, 라벨링된 학습데이터셋의 일 예가 도시된다.
(2) 이상행위탐지를 위한 지도학습모델을 생성하는 단계(S20)의 설명
라벨링된 학습데이터셋이 생성되면, 지도학습모델 생성모듈(112)의 이상행위탐지모델 생성유닛(1121)이 라벨링된 학습데이터셋을 이용한 지도학습을 통해 이상행위탐지를 위한 지도학습모델을 생성한다(S20).
일 실시 예에서, 지도학습을 위한 알고리즘으로 서포트 벡터 머신 (support vector machine), 회귀 분석 (Regression), 신경망 (Neural network), 합성곱 신경망 (Convolution Neural Network), 나이브 베이즈 분류 (Naive Bayes Classification) 등이 사용될 수 있다.
생성된 지도학습모델에 샘플데이터 또는 수집데이터를 입력하는 경우, 입력된 샘플데이터 또는 수집데이터의 이상 또는 정상여부가 출력된다.
(3) 지도학습모델을 설명가능한모델로 해석하는 단계(S30)의 설명
지도학습모델이 생성되면, 지도학습모델 해석모듈(113)이 생성된 지도학습모델을 설명가능한모델로 해석한다(S30).
설명가능한모델로의 해석에는 모델귀납법(Model-agnostic methods)이 사용될 수 있다.
모델귀납법으로는 Partial Dependence Plot(PDP), Individual Conditional Expectation(ICE), M Plot, Accumulated Local Effects (ALE) Plot, Feature Interaction, Global Surrogate, Local Surrogate (LIME) 및 Shapley Values (SHAP) 등이 사용될 수 있다.
일 실시 예에서, 모델귀납법으로는, 바람직하게, Local Surrogate (LIME)이 사용될 수 있다. 블랙박스 모델인 지도학습모델을 설명이 가능한 데이터 주변에서의 희소 선형 결합을 통해 국부적으로 설명 가능하게 해석될 수 있다.
도 6을 참조하면, 지도학습모델을 설명가능한모델로 해석하는 단계(S30)의 구체적인 과정이 도시된다.
먼저, 지도학습모델 해석모듈(113)이 지도학습모델의 학습데이터셋에 포함된 복수의 특징별로 라벨선정에 대한 기여도를 산출한다(S31).
라벨선정은 이상라벨 및 정상라벨 중 어느 하나로의 선택을 의미하며, 라벨선정에 대한 기여도는 수치데이터의 형태로 산출될 수 있다.
라벨선정에 대한 기여도가 산출되면, 지도학습모델 해석모듈(113)이 복수의 특징 중 기여도가 기 설정된 수치 이상인 특징을 기준특징으로 선정한다(S32).
일 실시 예에서, 기 설정된 수치는 라벨선정에 유의미한 영향을 준 것으로 판단될 수 있는 수치일 수 있으며, 기준특징은 복수 개로 선정될 수 있다.
기준특징이 선정되면, 지도학습모델 해석모듈(113)이 선정된 기준특징에 대한 수치데이터를 제공하는 설명가능한모델을 생성한다(S33).
도 7을 참조하면, 생성된 설명가능한 모델이 개념적으로 도시된다.
지도학습모델은 입력된 샘플데이터 또는 수집데이터에 대하여 이상에 해당됨을 판단하는 출력값을 제공하는 반면에, 설명가능한모델은 입력된 샘플데이터 또는 수집데이터의 기준특징의 수치데이터를 제공한다.
도시된 실시 예에서, 기준특징은 pkt_size(패킷사이즈), src_foreign(출발지 IP 해외여부), action_flag(차단허용 여부), duration_value(수집데이터 발생주기), 및 payload_sql_char(수집데이터 내의 SQL 문구 개수)으로 선정되었으며, 각각의 기준특징에 대한 수치데이터와 수치데이터에 기초하여 형성되는 바차트(Bar chart)가 제공된다. 다만, 이에 한정되는 것은 아니며, 기준 특징에 대한 정보가 시각적으로 인식가능한 다양한 형태로 제공될 수 있다.
설명가능한모델에 의해 제공되는 기준특징에 대한 수치데이터는 지도학습모델이 이상으로 판단한 근거로서 사용될 수 있다.
(4) 설명가능한모델을 통해 이상기준 수치범위를 판단하는 단계(S40)의 설명
설명가능한모델이 생성되면, 이상기준 수치범위 판단모듈(114)이 해석된 설명가능한모델을 통하여 이상기준 수치범위를 판단한다(S40).
이상기준 수치범위는 지도학습모델이 샘플데이터를 이상으로 판단하게 한 기준특징의 수치데이터의 기준범위를 의미한다. 즉, 이상기준 수치범위 내에 포함되는 샘플데이터의 경우 이상으로 판단되며, 이상기준 수치범위 밖에 포함되는 샘플데이터의 경우 정상으로 판단될 수 있다.
도 8을 참조하면, 설명가능한모델을 통해 이상기준 수치범위를 판단하는 단계(S40)의 구체적인 과정이 도시된다.
먼저, 이상기준 수치범위 판단모듈(114)이 샘플데이터를 설명가능한모델에 입력하고, 각각의 샘플데이터의 기준특징에 대한 수치데이터를 산출한다(S41).
각각의 샘플데이터의 기준특징에 대한 수치데이터가 산출되면, 이상기준 수치범위 판단모듈(114)이 산출된 수치데이터에 기초하여 이상기준 수치범위를 판단한다(S42).
일 실시 예에서, 이상기준 수치범위는 적어도 하나의 기준특징의 수치범위의 조합으로 구성될 수 있다. 예를 들어, pkt_size가 1,000을 초과하고, src_foreign이 0 이상이며(IP주소가 외국인 경우), Duration_value가 12이상인 경우가 이상기준 수치범위로 설정될 수 있다.
일 실시 예에서, 산출된 수치데이터에 기초하여 기준특징별 경계값이 도출되고, 도출된 경계값들에 의해 이상기준 수치범위가 결정될 수 있다.
(5) 이상기준 수치범위 밖의 정상학습데이터셋을 생성하는 단계(S50)의 설명
이상기준 수치범위가 결정되면, 정상 학습데이터 생성부(12)가 보안장치의 수집데이터 중 이상기준 수치범위에 포함되지 않는 데이터를 정상학습데이터셋으로 생성한다(S50).
일 실시 예에서, 보안장치의 수집데이터 중 이상기준 수치범위에 포함되지 않는 데이터가 정상 데이터로 분류되며, 정상 데이터에 대한 샘플링을 통해 정상학습데이터셋을 생성한다.
생성된 정상학습데이터셋은 비지도학습모델 생성장치(20)에 제공되며, 비지도학습모델 생성장치(20)는 정상학습데이터셋을 이용한 비지도 학습을 통해 이상행위탐지모델을 생성한다. 또한, 도시되지 않은 실시 예에서, 정상학습데이터셋을 통한 비지도 학습은 정상학습데이터 생성장치(10)에 포함된 비지도학습모델 생성모듈(미도시)을 통해 수행될 수 있다.
3. 본 발명에 의한 효과에 대한 설명
본 발명에 따르면, 해석된 설명가능한모델을 통해 수집데이터를 이상 또는 정상으로 판단하기 위한 기준수치범위가 도출되고, 도출된 기준수치범위를 활용하여 수집데이터로부터 공격성을 갖지 않는 정상데이터를 분류할 수 있다.
종래에는 다량의 수집데이터로부터 정상데이터를 분류하는데 과도한 시간 및 인적비용이 소모되는 문제가 있었으나, 본 발명에 따르면 많은 시간 및 비용을 소모하지 않고도 다량의 수집데이터로부터 공격성을 갖지 않는 정상데이터를 분류할 수 있다.
또한, 정상데이터만을 이용해 비지도 학습을 수행함에 따라, 이상탐지모델의 탐지성능이 향상될 수 있다.
또한, 학습데이터를 용이하게 대량으로 생성할 수 있어, 이상탐지모델의 탐지성능이 향상될 수 있다.
이상에서 전술한 본 발명의 일 실시예에 따른 방법은, 하드웨어인 서버와 결합되어 실행되기 위해 프로그램(또는 어플리케이션)으로 구현되어 매체에 저장될 수 있다.
상기 전술한 프로그램은, 상기 컴퓨터가 프로그램을 읽어 들여 프로그램으로 구현된 상기 방법들을 실행시키기 위하여, 상기 컴퓨터의 프로세서(CPU)가 상기 컴퓨터의 장치 인터페이스를 통해 읽힐 수 있는 C, C++, JAVA, 기계어 등의 컴퓨터 언어로 코드화된 코드(Code)를 포함할 수 있다. 이러한 코드는 상기 방법들을 실행하는 필요한 기능들을 정의한 함수 등과 관련된 기능적인 코드(Functional Code)를 포함할 수 있고, 상기 기능들을 상기 컴퓨터의 프로세서가 소정의 절차대로 실행시키는데 필요한 실행 절차 관련 제어 코드를 포함할 수 있다. 또한, 이러한 코드는 상기 기능들을 상기 컴퓨터의 프로세서가 실행시키는데 필요한 추가 정보나 미디어가 상기 컴퓨터의 내부 또는 외부 메모리의 어느 위치(주소 번지)에서 참조되어야 하는지에 대한 메모리 참조관련 코드를 더 포함할 수 있다. 또한, 상기 컴퓨터의 프로세서가 상기 기능들을 실행시키기 위하여 원격(Remote)에 있는 어떠한 다른 컴퓨터나 서버 등과 통신이 필요한 경우, 코드는 상기 컴퓨터의 통신 모듈을 이용하여 원격에 있는 어떠한 다른 컴퓨터나 서버 등과 어떻게 통신해야 하는지, 통신 시 어떠한 정보나 미디어를 송수신해야 하는지 등에 대한 통신 관련 코드를 더 포함할 수 있다.
상기 저장되는 매체는, 레지스터, 캐쉬, 메모리 등과 같이 짧은 순간 동안 데이터를 저장하는 매체가 아니라 반영구적으로 데이터를 저장하며, 기기에 의해 판독(reading)이 가능한 매체를 의미한다. 구체적으로는, 상기 저장되는 매체의 예로는 ROM, RAM, CD-ROM, 자기 테이프, 플로피디스크, 광 데이터 저장장치 등이 있지만, 이에 제한되지 않는다. 즉, 상기 프로그램은 상기 컴퓨터가 접속할 수 있는 다양한 서버 상의 다양한 기록매체 또는 사용자의 상기 컴퓨터상의 다양한 기록매체에 저장될 수 있다. 또한, 상기 매체는 네트워크로 연결된 컴퓨터 시스템에 분산되어, 분산방식으로 컴퓨터가 읽을 수 있는 코드가 저장될 수 있다.
본 발명의 실시예와 관련하여 설명된 방법 또는 알고리즘의 단계들은 하드웨어로 직접 구현되거나, 하드웨어에 의해 실행되는 소프트웨어 모듈로 구현되거나, 또는 이들의 결합에 의해 구현될 수 있다. 소프트웨어 모듈은 RAM(Random Access Memory), ROM(Read Only Memory), EPROM(Erasable Programmable ROM), EEPROM(Electrically Erasable Programmable ROM), 플래시 메모리(Flash Memory), 하드 디스크, 착탈형 디스크, CD-ROM, 또는 본 발명이 속하는 기술 분야에서 잘 알려진 임의의 형태의 컴퓨터 판독가능 기록매체에 상주할 수도 있다.
이상, 첨부된 도면을 참조로 하여 본 발명의 실시예를 설명하였지만, 본 발명이 속하는 기술분야의 통상의 기술자는 본 발명이 그 기술적 사상이나 필수적인 특징을 변경하지 않고서 다른 구체적인 형태로 실시될 수 있다는 것을 이해할 수 있을 것이다. 그러므로, 이상에서 기술한 실시예들은 모든 면에서 예시적인 것이며, 제한적이 아닌 것으로 이해해야만 한다.
10: 정상학습데이터 생성장치
11: 기준수치 판단부
111: 라벨링 학습데이터 생성모듈
112: 지도학습모델 생성모듈
1121: 이상행위탐지모델 생성유닛
113: 지도학습모델 해석모듈
114: 이상기준 수치범위 판단모듈
12: 정상 학습데이터 생성부
20: 비지도학습모델 생성장치

Claims (10)

  1. 서로 통신 가능한 정상학습데이터 생성장치 및 비지도학습모델 생성장치에 의해 수행되는 방법으로서,
    상기 정상학습데이터 생성장치가, 보안장치의 수집데이터 중 일부를 이용하여 이상라벨 또는 정상라벨로 라벨링된 학습데이터셋을 생성하는 단계;
    상기 정상학습데이터 생성장치가, 라벨링된 학습데이터셋을 이용한 지도학습을 통해 이상행위탐지를 위한 지도학습모델을 생성하는 단계;
    상기 정상학습데이터 생성장치가, 지도학습모델을 설명가능한모델로 해석하는 단계;
    상기 정상학습데이터 생성장치가, 해석된 설명가능한모델을 통하여 이상기준 수치범위를 판단하는 단계;
    상기 정상학습데이터 생성장치가, 보안장치의 수집데이터 중 이상기준 수치범위 밖의 데이터를 정상 학습데이터셋으로 생성하는 단계; 및
    상기 비지도학습모델 생성장치가, 정상 학습데이터셋을 이용한 비지도학습을 통해 이상행위탐지를 위한 비지도학습모델을 생성하는 단계를 포함하고,
    상기 보안장치의 수집데이터 중 일부를 이용하여 이상라벨 또는 정상라벨로 라벨링된 학습데이터셋을 생성하는 단계는,
    상기 보안장치의 수집데이터의 일부를 샘플링하여 지도학습에 사용될 복수의 특징(Feature)을 갖는 샘플데이터를 생성하는 단계;
    생성된 샘플데이터에 이상라벨 또는 정상라벨을 부여하는 단계; 및
    라벨링된 샘플데이터를 수치데이터로 전처리하여 라벨링된 학습데이터셋을 생성하는 단계를 포함하며,
    상기 지도학습모델을 설명가능한모델로 해석하는 단계는,
    복수의 특징별로 라벨선정에 대한 기여도를 산출하는 단계;
    복수의 특징 중 기여도가 기 설정된 수치 이상인 특징을 기준특징으로 선정하는 단계; 및
    선정된 기준특징에 대한 수치데이터를 제공하는 설명가능한모델을 생성하는 단계를 포함하고,
    상기 해석된 설명가능한모델을 통하여 이상기준 수치범위를 판단하는 단계는,
    선정된 기준특징에 대한 수치데이터를 이용하여, 이상라벨 또는 정상라벨을 분류하는 이상기준 수치범위를 판단하는 것이며,
    상기 정상 학습데이터셋을 이용한 비지도학습을 통해 이상행위탐지를 위한 비지도학습모델을 생성하는 단계는,
    정상 학습데이터셋을 이용한 비지도 학습을 통해 정상의 범위를 정의하고, 정의된 정상의 범위를 벗어나는 수집데이터를 이상행위로 탐지하는 비지도학습모델을 생성하는 것인,
    이상행위탐지모델의 비지도 학습을 위한 XAI 기반 정상학습데이터 생성방법.
  2. 삭제
  3. 제1항에 있어서,
    상기 복수의 특징은,
    패킷사이즈, 출발지 IP의 해외여부, 차단허용여부, 수집데이터 발생주기 및 수집데이터 내의 SQL 문구 개수를 포함하는,
    이상행위탐지모델의 비지도 학습을 위한 XAI 기반 정상학습데이터 생성방법.
  4. 제1항에 있어서,
    상기 지도학습모델을 설명가능한모델로 해석하는 단계는,
    모델귀납법(Model-agnostic methods)을 통해 수행되는 것인,
    이상행위탐지모델의 비지도 학습을 위한 XAI 기반 정상학습데이터 생성방법.
  5. 삭제
  6. 삭제
  7. 삭제
  8. 보안장치의 수집데이터 중 일부를 이용하여 생성된 설명가능한모델을 통해 이상기준 수치범위를 판단하는 기준수치 판단부;
    상기 보안장치의 수집데이터 중 이상기준 수치범위 밖의 데이터를 정상학습데이터셋으로 생성하는 정상 학습데이터 생성부; 및
    상기 정상학습데이터셋을 이용한 비지도학습을 통해 이상행위탐지를 위한 비지도학습모델을 생성하는 비지도학습모델 생성부를 포함하고,
    상기 기준수치 판단부는,
    보안장치의 수집데이터 중 일부를 이용하여 이상라벨 또는 정상라벨로 라벨링된 학습데이터셋을 생성하는 라벨링 학습데이터 생성모듈;
    라벨링된 학습데이터셋을 이용한 지도학습을 통해 이상행위탐지를 위한 지도학습모델을 생성하는 지도학습모델 생성모듈;
    모델귀납법(Model-agnostic methods)을 통해 상기 지도학습모델을 설명가능한모델로 해석하는 지도학습모델 해석모듈; 및
    상기 설명가능한모델을 통하여 상기 이상기준 수치범위를 판단하는 이상기준 수치범위 판단모듈을 포함하는,
    상기 라벨링 학습데이터 생성모듈은,
    상기 보안장치의 수집데이터의 일부를 샘플링하여 지도학습에 사용될 복수의 특징(Feature)을 갖는 샘플데이터를 생성하고, 생성된 샘플데이터에 이상라벨 또는 정상라벨을 부여하며, 라벨링된 샘플데이터를 수치데이터로 전처리하여 라벨링된 학습데이터셋을 생성하고,
    상기 지도학습모델 해석모듈은,
    복수의 특징별로 라벨선정에 대한 기여도를 산출하고, 복수의 특징 중 기여도가 기 설정된 수치 이상인 특징을 기준특징으로 선정하며, 선정된 기준특징에 대한 수치데이터를 제공하는 설명가능한모델을 생성하고,
    상기 이상기준 수치범위 판단모듈은,
    선정된 기준특징에 대한 수치데이터를 이용하여, 이상라벨 또는 정상라벨을 분류하는 이상기준 수치범위를 판단하며,
    상기 비지도학습모델 생성부는,
    정상 학습데이터셋을 이용한 비지도 학습을 통해 정상의 범위를 정의하고, 정의된 정상의 범위를 벗어나는 수집데이터를 이상행위로 탐지하는 비지도학습모델을 생성하는 것인,
    이상행위탐지모델의 비지도 학습을 위한 XAI 기반 정상학습데이터 생성장치.
  9. 삭제
  10. 하드웨어인 컴퓨터와 결합되어, 제1항, 제3항 및 제4항 중 어느 하나의 방법을 실행시키기 위하여 컴퓨터 판독 가능한 기록 매체에 저장된,
    프로그램.
KR1020200178521A 2020-12-18 2020-12-18 이상행위탐지모델의 비지도 학습을 위한 xai 기반 정상학습데이터 생성방법 및 장치 KR102247179B1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020200178521A KR102247179B1 (ko) 2020-12-18 2020-12-18 이상행위탐지모델의 비지도 학습을 위한 xai 기반 정상학습데이터 생성방법 및 장치

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020200178521A KR102247179B1 (ko) 2020-12-18 2020-12-18 이상행위탐지모델의 비지도 학습을 위한 xai 기반 정상학습데이터 생성방법 및 장치

Publications (1)

Publication Number Publication Date
KR102247179B1 true KR102247179B1 (ko) 2021-05-04

Family

ID=75913747

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020200178521A KR102247179B1 (ko) 2020-12-18 2020-12-18 이상행위탐지모델의 비지도 학습을 위한 xai 기반 정상학습데이터 생성방법 및 장치

Country Status (1)

Country Link
KR (1) KR102247179B1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102636220B1 (ko) * 2023-07-13 2024-02-14 오케스트로 주식회사 이상탐지의 클라우드 서비스 제공 서버 및 제공 방법

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101563511B1 (ko) * 2015-07-10 2015-10-27 (주)유엠로직스 시계열 기반 서포트 벡터의 추세분석기법을 이용한 보안사고 이상 징후 탐지 시스템 및 그 방법
KR20190070702A (ko) * 2017-12-13 2019-06-21 주식회사 한류에이아이센터 텍스트 마이닝 기반 보안 이벤트 자동 검증 시스템 및 방법
KR102110480B1 (ko) * 2020-02-03 2020-05-13 주식회사 이글루시큐리티 비지도 학습 기반의 이상 탐지 방법 및 그 시스템
KR20200068050A (ko) * 2018-11-26 2020-06-15 국민대학교산학협력단 인공지능 수행을 위한 학습 데이터 생성장치 및 방법
US20200259852A1 (en) * 2019-02-13 2020-08-13 Obsidian Security, Inc. Systems and methods for detecting security incidents across cloud-based application services

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101563511B1 (ko) * 2015-07-10 2015-10-27 (주)유엠로직스 시계열 기반 서포트 벡터의 추세분석기법을 이용한 보안사고 이상 징후 탐지 시스템 및 그 방법
KR20190070702A (ko) * 2017-12-13 2019-06-21 주식회사 한류에이아이센터 텍스트 마이닝 기반 보안 이벤트 자동 검증 시스템 및 방법
KR20200068050A (ko) * 2018-11-26 2020-06-15 국민대학교산학협력단 인공지능 수행을 위한 학습 데이터 생성장치 및 방법
US20200259852A1 (en) * 2019-02-13 2020-08-13 Obsidian Security, Inc. Systems and methods for detecting security incidents across cloud-based application services
KR102110480B1 (ko) * 2020-02-03 2020-05-13 주식회사 이글루시큐리티 비지도 학습 기반의 이상 탐지 방법 및 그 시스템

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
Antwarg, Liat, Bracha Shapira, and Lior Rokach. Explaining anomalies detected by autoencoders using SHAP. arXiv preprint arXiv:1903.02407v2. 2020.6. *
Zhang, Shen, et al. Few-Shot Bearing Anomaly Detection Based on Model-Agnostic Meta-Learning. arXiv preprint arXiv:2007.12851. 2020.7. *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102636220B1 (ko) * 2023-07-13 2024-02-14 오케스트로 주식회사 이상탐지의 클라우드 서비스 제공 서버 및 제공 방법

Similar Documents

Publication Publication Date Title
US20240129331A1 (en) Threat Disposition Analysis and Modeling Using Supervised Machine Learning
US11003773B1 (en) System and method for automatically generating malware detection rule recommendations
KR102247181B1 (ko) Xai에 기초하여 생성된 학습데이터를 이용한 이상행위탐지모델 생성방법 및 장치
CN111177714B (zh) 异常行为检测方法、装置、计算机设备和存储介质
CN110362612B (zh) 由电子设备执行的异常数据检测方法、装置和电子设备
CN109992969B (zh) 一种恶意文件检测方法、装置及检测平台
CN111931179B (zh) 基于深度学习的云端恶意程序检测系统及方法
US20150135318A1 (en) Method of detecting intrusion based on improved support vector machine
US11706236B2 (en) Autonomous application of security measures to IoT devices
CN114553523A (zh) 基于攻击检测模型的攻击检测方法及装置、介质、设备
US11886587B2 (en) Malware detection by distributed telemetry data analysis
CN114037478A (zh) 广告异常流量检测方法、系统、电子设备及可读存储介质
CN116304909A (zh) 一种异常检测模型训练方法、故障场景定位方法及装置
CN114254673A (zh) 一种基于去噪对抗自编码器的频谱异常检测方法
KR102247179B1 (ko) 이상행위탐지모델의 비지도 학습을 위한 xai 기반 정상학습데이터 생성방법 및 장치
CN114024761B (zh) 网络威胁数据的检测方法、装置、存储介质及电子设备
CN113282920B (zh) 日志异常检测方法、装置、计算机设备和存储介质
CN113722711A (zh) 基于大数据安全漏洞挖掘的数据添加方法及人工智能系统
CN112367336B (zh) webshell拦截检测方法、装置、设备及可读存储介质
US20200226257A1 (en) System and method for identifying activity in a computer system
CN111932225A (zh) 基于区块链和数字货币金融的信息处理方法及云计算平台
US11888718B2 (en) Detecting behavioral change of IoT devices using novelty detection based behavior traffic modeling
KR102483797B1 (ko) 설명가능한 인공지능을 이용한 네트워크 패킷 공격의 원인 분석 방법, 이를 수행하는 장치 및 컴퓨터 프로그램
CN116915506B (zh) 一种异常流量检测方法、装置、电子设备及存储介质
CN117579393B (zh) 一种信息终端威胁监测方法、装置、设备及存储介质

Legal Events

Date Code Title Description
E701 Decision to grant or registration of patent right
GRNT Written decision to grant