TWI234707B - Method and system for responding to a computer intrusion - Google Patents

Method and system for responding to a computer intrusion Download PDF

Info

Publication number
TWI234707B
TWI234707B TW092133851A TW92133851A TWI234707B TW I234707 B TWI234707 B TW I234707B TW 092133851 A TW092133851 A TW 092133851A TW 92133851 A TW92133851 A TW 92133851A TW I234707 B TWI234707 B TW I234707B
Authority
TW
Taiwan
Prior art keywords
intrusion
scope
patent application
item
invasion
Prior art date
Application number
TW092133851A
Other languages
English (en)
Other versions
TW200424845A (en
Inventor
Paul T Baffes
John Michael Garrison
Michael Gilfix
Allan Hsu
Tyron Jerrod Stading
Original Assignee
Ibm
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Ibm filed Critical Ibm
Publication of TW200424845A publication Critical patent/TW200424845A/zh
Application granted granted Critical
Publication of TWI234707B publication Critical patent/TWI234707B/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/316—User authentication by observing the pattern of computer usage, e.g. typical user behaviour
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/556—Detecting local intrusion or implementing counter-measures involving covert channels, i.e. data leakage between processes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2101—Auditing as a secondary aspect

Description

1234707 玖、發明說明： 【發明所屬之技術領域】 本發明概言之係關於資料處理領域，詳言之，係關於— 種用於使用一惡意入侵影響之圖形表示來因應該入侵之經 改良之資料處理系統及方法。 【先前技術】 大多數現代企業網路包括供遠端使用者通常經由網際網 路存取之構件。此種存取設計用於使經授權之使用者爲諸 如電子商務、共享内容及其他電子活動等目的與網路互 動。由於該等網路被設計爲可供經授權之使用者輕易存 取，因而其亦易於受到未經授權之使用者尤其係彼等懷有 惡意存取該網路之意圖之使用者存取，此種惡意體現爲使 用者之入知形式。入侵被定義爲對網路或網路中之電腦 之惡意電子存取。入侵之實例包括：病毒、未經授權之資 料採擷（有時稱作，，檔案遭駭客入侵（hacking of fiies)”）、及 分散式阻絕服務（DD0S)攻擊’其中在分散式阻絕服務 (DD0S)攻擊中，電腦系統因遭該入侵而超載，從而無法再 執行實際工作。 入侵事件被定義爲入侵之結果（影響）。入侵事件之實例 係··資料檔案遭到破壞或非法複製，系統/電腦當機及系統 /電腦減速。 抵制入侵通常係安全管理員之工作，安全管理員係借助 風險管理軟體監控一電腦有無遭到入知之資訊技術專家。 儘管目前存在衆多用於偵測入侵及入侵事件之習知方法，
O:\89\89732.DOC 1234707 然而，管理對入侵之因應卻極其複雜。換言之，儘管事件 偵測已衆所習知且可自動實施’但通常需手動採二理及 因應措施。由於人侵之複雜性f，安全管理M很難評估當 前所發生之入侵係何種類型及如何正確因應。 田 安全 因此，需要-種較佳以-自動或半自動方式來辅助 管理員因應所偵測入侵之方法及系統。 【發明内容】 本發明係關於-種管理電腦入侵之方法及系統，其方式 為：以圖形形式表示一已知先前入侵之入侵模式；缺後比 較-當前入侵之入侵模式與該先前入侵。若該已知入侵與 當前入侵具有某些共同結果（人侵事件或共同受到影響之 硬體)或結果皆相同，則安全管理員可執行指令碼因庫，以 修復由當前人侵所致之損壞，或至少防止“人侵造成進 一步損壞。 事件係由入侵或各種 之影響），亦可基於受 入侵模式既可基於入侵事件（入侵 可提供一入侵類型簽章之活動所造成 到入侵影響之硬體拓撲。 入侵模式以圖形形式- μ a _ — 式顯不給安全管理員，安全管理員可 藉由執行指令碼因應而作出 ^ ^ _ 、 … 下出因應，在一較佳實施例中，該 寺才日令碼因應顯示於與入 _ ^权式中母一郎點相關聯的各快 ‘員視ij中。或者，亦可美 a义 土於* W入侵與已知先前入侵之入 铋杈式中共有特徵之— 了具疋百分比來自動因應入侵。 在下文洋細書面說明中 T 本發明之上述及其他目的、特 徵及優點將變得一目了然。 符
O:\89\89732.DOC 1234707 【實施方式】 現在參照附圖，尤其係參照附圖丨，其中展示一能夠與一 網路（未圖不）通信之本發明較佳實施例之資料處理系統 100。舉例而言，該資料處理系統i 〇〇係可自位於Arm〇nk， 、、丑約的國際商業機器公司（Internati〇nal Business Machines Corporation)購得的其中一種型號的個人電腦或伺服器。該 資料處理系統1〇〇既可僅包括一單處理器系統，亦可係一包 括複數個處理器之多處理器（MP)系統。在所示實例中係展 不一單處理器系統。亦可增設一第二處理器（未圖示）至所示 系統，違弟一處理器既可具有一單獨的L2快取亦可與處理 器102共享L2快取1〇8。處理器1〇2可係一包含單獨的一階 (L1)指令1〇4及資料快取1〇6於該處理器中之超純量精簡指 令集計算（RISC)處理器。 處理器102連接至二階（L2)快取108。L2快取1〇8連接至資 料處理系統100之系統匯流排110。系統記憶體112亦連接至 系統匯流排110，就如輸入/輸出（1/⑺匯流排橋接器114一 樣。I/O匯流排橋接器114耦合I/O匯流排11 8至系統匯流排 110，以將資料處理自其中一匯流排中繼及/或轉換至另一 匯流排。亦可連接其他裝置至系統匯流排11 〇，例如記憶體 對映圖形配接器116，該記憶體對映圖形配接器可提供使用 者介面資訊至一顯示器12 4。 I/O匯流排橋接器114連接至I/O匯流排11 8，而該I/Q匯流 排118可連接至衆多其他裝置，例如一輸入裝置126(其可係 一習知滑鼠、一軌跡球、一鍵盤或類似裝置）及一非揮發性
O:\89\89732.DOC 1234707 儲存杰122(例如-硬碟機、一唯讀光碟記憶體（⑶七⑽）光 碟機、-數位視訊光碟（DVD)光碟機或類似儲存裝置）。 I/O匯流排118亦連接有—網路配接器12()，該網路配接器 UO提ί、；ί接-網路之邏輯介面，該網路可係、—區域網路 (LAN)、廣域網路（WAN)、網際網路或其他能使資料處理系 統1 〇〇與該網路中其他電腦通信的網路。 ▲圖1所示實例性實_僅提供歸_本發明之目的，且 熟習此項技術者應可瞭解，可在形式及功能上作出衆多修 改。舉例而言’資料處理系統1〇〇可包括-音效卡及聲頻揚 聲器、其他I/O裝置及通信埠、及衆多其他元件。所有此等 修改皆應被視爲仍歸屬於本發明之範疇及主旨内。 、 現在筝妝圖2a，該圖展示由衆多不同入侵所致的可能入 侵事件。言亥等入侵事件被定義爲由入侵激發之活動或影 響。儘管該圖係以一樹狀結構展示該等入侵事件，然而， 涊識到所不該等入侵事件相互關聯可最佳地理解該等入侵 事件。舉例而言，考量一入侵路徑2〇〇，該入侵路徑展示由 一入知A所致入侵事件（示於粗圓圈中）。入侵a(爲例示之目 的，其可係一諸如，’紅色警戒（Red c〇de)，，等病毒）係一種以 在主私細206中產生一分散式阻絕服務204之方式來影響 夕個主機202之入侵。該圖顯示由一 Snort 208偵測到該入侵 A，该Sn〇rt 208係一能夠對IP網路執行即時流量分析及封包 曰心己錄之灵例性入侵债測系統。Sn〇rt 208可執行協定分 析、内容搜尋/比對並可用於偵測衆多種攻擊及探查，例如 緩衝器溢位、隱形埠掃描、共用閘道介面（CGI)攻擊、伺服
O:\89\89732.DOC 1234707 器訊息塊（SMB)探查、作業系統（OS)辨識企圖及諸如此類。 入侵A亦可自一入侵偵測系統（IDS)2 10觸發一因應，該入 侵偵測系統（IDS)210檢查所有傳入及傳出網路活動並識別 可指示一由某一企圖侵入或損害系統之人所作網路或系統 攻擊的可疑模式。IDS 210偵測到一網路事件212，在本實 例中該網路事件212係入侵A，其係一種由整個系統識別並 影響整個系統之入侵事件214。 應注意’如入侵路徑200所示，入侵a亦影響電腦系統之 其他部分。換言之，入侵A亦造成一主機事件216，該主機 事件216在系統層21 8處影響一記憶體事件220及一使用權 限事件222。此外，入侵A造成一外圍事件224，該外圍事件 224被防火牆226偵測爲一掃描事件228且亦具有一不正確 的貧料封包230。如圖所示，該不正確的封包23〇係一傳輸 控制協定（tcp)格式錯誤的協定封包232。 因此，由加黑粗線條邊界之入侵路徑2〇〇所示之模式係入 侵A獨有之特徵入侵模式。現在參見圖几，該圖展示一入侵 路仏2(Π ’该入侵路徑基於一未知當前入侵之入侵事件。最 初亚不知曉當前入侵之動機，然而，由於該入侵模式與圖 2a所不入侵a之入侵模式相㈤，因此，已遭入侵之電腦網路 或私恥之女全官理員可認定當前入侵與入侵A相同或至少 以相同方式作用。 在本毛明之較佳貫施例中，每一節點皆與一指令碼因 :相關％例如指令碼因應204a與阻絕服務事件204相關 ^ 1令碼因應係一用於對付入侵事件之預編指令碼。舉
O:\89\89732.DOC -10- 1234707 例而5，指令碼因應2〇4a可係一設計用於隔離正在破壞電 腦系統之入侵然後使該入侵失效之程式。所示該等指令碼 口應與每一事件描述節點相關聯，且較佳位於一現用視窗 (例如一快顯視窗）中，該現用視窗僅需使用一滑鼠或類似指 標褒置點擊即可啓動指令碼因應。儘管該等指令碼因應被 展不爲單一項目，然而，在一替代較佳實施例中，展示了 歹j於清單中的多個建議指令碼因應且該等因應可於入侵 路L201中的一或所有節點處皆處於有效狀態。較佳以多個 階層展示該等多個指令碼因m依據使用指令碼因應 之成功歷史資料、入侵之危急度、或安全管理員在開發風 險管理程式時所決定用於評估人侵之其他因素，該等指令 碼因應之-具有最高階^舉例㈣，—風險管理程式可 確定：必須確保隔離任何攻擊任務關鍵資料之人侵，即使 該種隔離會卸下電腦系統中未受影響之部分。在此一情況 下，最高建議因應將卸下該電腦系統中之許多區域，並將 被推薦作爲最高建議因應。 應注意’並非在入侵路;^必％ a 又峪仅必須元全相同時，方對安全管 理員提供關於如何因應入侵之資 又貝甙捵a之，若已知入侵 及未知入侵之入侵路徑具有一旦 另 疋數里之共同點，安全管理 員即可啓動一因應來糾正當前去 1 π i田月丨』禾知入侵之大部分（若 部）有害影響。 一 P，一 π )抑砥擇入侵冯 徑201中每一節點之每一指令 可和7碼因應。或者，如圖3所示访 程圖所述，可選擇一設定來變廡 λ ^ ^ Α ^ 又疋木警應一入侵而自動啓動一用於
O:\89\89732.DOC -11 - 1234707 所有即點之取咼建議因應。如方塊3〇2所述，較佳由一能夠 根據入知之特徵偵測該入侵之風險管理器來偵測一當前 一二*匕等特欲可包括：接收到已知有害標頭資訊或其他 /貝料封包、電腦系統中之軟體或硬體採取具有遭到入侵特 ，的措施（例如掃描_網路中所有電腦以查找網際網路協 二（ip)地址、驟然出現電腦效能降級或〇?1；使用方式）、及 T似事件或狀態。如方塊3〇4所述，將當前入侵之入侵事件 :、已去入仏之彼等入侵事件相比較。如詢問塊306所闡 釋’：丨定是否在未知當前入侵與已知先前入侵二者中發現 者預疋百分比的共有事件節點。換言之，比較已知入侵與 當：：侵之入侵路徑。若已知先前入侵與未知當前入侵具 有車乂大數里之共有事件節點，則如方塊31〇所述自動執行 所有即點之指令碼因應。而若在已知入侵與未知入侵之間 不2在足夠之共有事件節點，則安全管理員立即爲每一事 件節點手動選擇一指令碼因應。 亦可由電腦系統上的_風險管理程式作出自動執行所有 ^令碼因應之判定，該風时理料將人❹類，以判定 ::應啓動-自動因應。舉例而t，若該風險管理程式判 定當前入侵係一已知分類類型，或具有可致使整個系統當 :,已知嚴重性，則可啓動-自動指令碼因應。在-較： 灵知例中，比對人侵之嚴重性與_指令碼因應結果之嚴重 性。換言之，比對一嚴重入侵與一可能會對系統産生嚴重 例如搶先卸下該系統之—部分）之指令碼因應，然而， 由於名種入知之嚴重性質及該種入侵可能造成之潛在損
O:\89\89732.DOC -12- 1234707 害：該嚴重影響仍可能較爲合算。 同樣’若已將風險管理程，执 因應入侵之式3又什舄，可仔知安全管理員 之前即合對έ从、、了此過長以致在安全管理員因應 應。同樣，若㈣才日“馬因 執行特定和人 叉路控已在先前多次（或僅一次）引發 動戍μ ”碼因應，則風險管理程式可根據該歷史來自 動啓動執行該等指令喝因應。 所示μ有事件模式外’人侵亦具有關於 一硬體拓撲中何種硬體受到影響之特徵。現在參照圖4a， 該圖展示可能受到一入侵影響之硬體。一入侵路徑4〇〇(在 该圖中由粗體邊框方框標識)示出一受到如上述圖2a中的 入侵A影響之電腦系統之硬體拓撲。由此可見，人侵A在一 =業電腦系統之内部網路術中引起異常，該内部網路4〇2 文到内部網路402中一區域網路（LAN)A 404影響。在LAN A 404内，伺服器406、個人電腦（pc)4〇8及入侵偵測系統（ids) 硬體410皆受到影響。其中在伺服器4〇6内具有一受到影響 的網站伺服器416，該網站伺服器416之入口 B 418亦受到入 知A之衫響。類似地，所有執行window®作業系統之pc：皆受 到影響並在該圖中示爲基於Window⑧之PC 414。同樣，執 行具備Snort功能型硬體412之IDS硬體410記錄一表示已债 測到入侵A的事件。因此，該硬體以一類似於上文結合圖2a 及圖2b所述入侵事件入侵模式之方式展示一特徵入侵模 式。 現在參照圖4b，硬體拓撲入侵路徑401展示由入侵a所造 O:\89\89732.DOC -13 - 1234707 成之权4田所出現的當前未知入侵具有與硬體拓撲入侵 路徑401所不模式相同或相似之模式時，安全管理員以一種 類似於針對上文入侵事件入侵模式所述之方式作出因應。 因此’硬體拓撲入侵路徑4〇1中每一事件節點皆包括一相關 的包含指令碼因應之現用視窗，該（等）指令碼因應與上文在 闡述圖2a及圖2b時所述之彼等指令碼因應相似。如同入侵 事件之指令碼因應-樣，示於硬體拓撲人侵路徑如中的^ 令碼因應既可如圖所示係單一指令碼因應，亦可係一建^ 指令碼因應清單，較佳地對該清單實施記分以給出一最: 指令碼因應。可採用一類似於上文針對入侵事件入侵路: 所述之方式自動啓動或手動啓動該等指令碼因應。 如同上文結合圖2a及圖㈣述及所示之入侵事件圖形顯 不，並非在已知入侵與未知入侵之入侵路徑完全相同時，， 方對安全管理員提供關於如何因應人侵之資訊。換古之， 若已知入侵與未知入侵之入侵路徑具有一定數量： 點，安全管理員即可啓動一因應來糾正當前未知入侵:大 部分（若非全部）有害影響。 =安全管理員響應—通知而就地或遠程啓動應對 :曰令碼因應。舉例而言，安全管理員可藉由-行動電， ^固人數位助理（PDA)接收-告知其該人侵事件之通知。L ^方:全官理員可藉由點擊PDA中的—互動式視窗， =切動某些或所有指令瑪因應，以使由電腦系統的一 :啦式辨識該輸入’從而啓動所請求之指令碼因應。 大此’本發明提供—種用於建置並以圖形方式表示—已
0\89\89732.DOC •14- 1234707 之入侵模式’以供比較一，當前入侵相之方法及裝 置’該當前入侵可爲電腦系統之風險管理程式所已知或可 爲其所未知。在根據以圖形方式表示的當前入侵之特徵入 路杈辨識該當前入侵後，啓動指令碼因應來因應並控制 該入侵。該等指令碼因應可基於已知入侵之歷史資料。已 知入侵與當前入侵既可相同亦可不同，且建議指令碼因應 係以圖形形式與受當前入侵影響之入侵路徑中某些或所有 事件節點或硬體節點一起顯現。對於入侵路徑中的每一事 件節點/硬體節點而言，指令碼因應可係一單一選項，或者 可選自一階層式建議指令碼因應清單。 k S上文已根據_資料處理系統及伺服器群闡述了本發 日:之態樣，然而應瞭解，至少本發明之某些態樣亦可構建 2 一與一資料儲存系統或電腦系統共同使用之程式產品。 疋義本發明功能之程式可藉由衆多種信號攜載媒體傳送至 貝料儲存系統或電腦系統，該等信號攜載媒體包括(但不 限於）·1可寫式儲存媒體（例如CD-ROM)、可寫式儲存媒 體（例如軟碟片、硬碟機、讀/寫式CD-ROM、光學媒體）、 及諸如包括乙太網路在内的電腦及電話網路等通信媒體。 因此應瞭解’此等信號攜載媒體在載送或編碼用於導出 本毛明方法功能之電腦可讀指令時，即代表本發明之替代 實施例。此外，庫勝 …瞭解，可由一具有本文所述硬體、軟體、 或軟體與硬體$ _ 、、且a或其等價物形式之裝置之系統來實 施本發明。 -15- 1 根據一車父佳實施例詳細展示並闡述本發明
O:\89\89732.DOC 1234707 然而，熟習此項技術者應瞭解，可對其中之形式及細節作 出各種修改且並不背離本發明之精神及範轉。 【圖式簡單說明】 據信爲本發明所特有之新穎特徵闡述於隨附申請專利範 圍中。然而，結合附圖閱讀本文對一闡釋性實施例之詳細 說明，將會最佳瞭解本發明本身及一較佳使用模式、其2 目的及優點，附圖中： 、 圖1係一方塊圖，其展示一可用於實施本發明之資料詹 理； 圖2a展示一入侵模式，該入侵模式基於包括一 ◦夭σ先前 入侵在内之衆多不同入侵之入侵事件； 圖2b展示一入侵模式，該入侵模式基於一與_已知先a 入侵之入侵模式相匹配之未知當前入侵之入侵事件· 圖3係一流程圖，其展示一用於自動執行對一未知者前 知之指令碼因應之本發明較佳實施例； 圖4 a展示一入侵模式，該入侵模式基於受到包括— 已知 先前入侵在内的衆多不同入侵影響的硬體拓撲； 圖4b展示一入侵模式，該入侵模式基於受到一盘— —已知 先前入侵之入侵模式相匹配之未知當前入侵影響的硬體抬 撲0 【圖式代表符號說明】 100 資料處理系統 102 處理器 104 一階指令 O:\89\89732.DOC -16-
資料快取 L2快取 系統匯流排 系統記憶體 I/O匯流排橋接器 圖形配接器 I/O匯流排 網路配接器 非揮發性儲存器 顯示器 輸入裝置 入侵路徑 多個主機 阻絕服務 主機 Snort IDS 網路事件 入侵事件 主機事件 系統層 記憶體 使用權限事件 外圍事件 -17- 1234707
226 防火牆 228 掃描事件 230 不正確的封包 232 TCP格式錯誤的協定 201 入侵路徑 202a 指令碼因應 204a 指令碼因應 206a 指令碼因應 208a 指令碼因應 210a 指令碼因應 212a 指令碼因應 214a 指令碼因應 216a 指令碼因應 218a 指令碼因應 220a 指令碼因應 222a 指令碼因應 224a 指令碼因應 226a 指令碼因應 228a 指令碼因應 230a 指令碼因應 232a 指令碼因應 400 入侵路徑 402 内部網路 404 LAN A O:\89\89732.DOC -18- 1234707 406 伺服器 408 PC 410 IDS 412 Snort 414 基於Window之PC 416 網站伺服器 418 入口 B 401 硬體拓撲入fe路徑 402a 指令碼因應 404a 指令碼因應 406a 指令碼因應 408a 指令碼因應 410a 指令碼因應 412a 指令碼因應 414a 指令碼因應 416a 指令碼因應 418a 指令碼因應 O:\89\89732.DOC - 19 _

Claims (1)

1234707 拾、申請專利範圍： 1 · 一種官理電腦入侵之方法，該方法包括： 以圖形形式表示一已知入侵之入侵路徑，該圖形表示 包括一位於該入侵路徑中一節點處之指令碼因應； 依據該電腦之一當前入侵與該已知入侵之入侵路徑中 的至少一共有特徵來比對該當前入侵與該已知入侵之圖 形表不；及 響應於該已知入侵與該當前入侵之比對，啓動能夠因 應該當前入侵之該指令碼因應。 2 ·根據申睛專利範圍第丨項之方法，其中該入侵模式係基於 入侵事件。 3 ·根據申清專利範圍第1項之方法，其中該入侵模式係基於 受到該已知入侵影響之硬體拓撲。 4_根據申請專利範圍第丨項之方法，其中該已知入侵與該當 鈾入k相同’且其中用於因應該當前入侵之該指令碼因 應係基於該已知入侵之歷史資料。 5·根據申請專利範圍第1項之方法，其中該已知入侵與該當 鈾入杈相異，且其中用於因應該當前入侵之該指令碼因 應係基於該已知入侵之歷史資料。 6 ·根據申请專利範圍第1項之方法，進一步包括： 使一建議指令碼因應清單與該入侵路徑圖形表示中之 每一節點相關聯；及 爲S入知路從圖形表不中之每/節點選取該等建議才t 令碼因應之一。 O:\89\89732.DOC 1234707 根據申請專利範圍第6項之 徑圖形表示中之每—節’广—乂包括爲該入侵路 根據申請專利範圍第7項之方：隶高建議指令碼因應。 徑圖形表示中之所有節 f:進-步包括爲該入侵路 應。 5吩璉取該最高建議指令碼因 9. 根據申請專利範圍第7項之方法，進—步包括. 根據一爲該入侵路徑 高建議因應的歷史模式自:表執:=節點選取所有最 述之方法。 執仃申％專利範圍第7項所 !〇·根據申請專利範圍第丨 根據—用於手動啓料；^ ^括： 動執杆… 動令碼因應之預期因應時間自 動執仃申睛專利範圍第1項所述之方法。 "·根據申請專利範圍第1項之方法，進-步包括： 根據該當前入侵的一嚴重 1項所述之方本甘士 自動執仃申請專利範圍第 …會心、、中該指令碼因應係處於-與該當前入 仏之嚴重性相稱之嚴重性等級。 12. 根據申請專利範圍第1項之方法，進—步包括： 根據該當前入侵的一類型 第丨項所述之方法。 刀類自動執订申請專利範圍 13. 根據申請專利範圍第丨項之方法，進一步包括： 對一遠端接收器通知該當前入侵；及 響應當前入侵之遠程通知，遠程啓動該指令 碼因應。 H.根據申請專利範圍第13項之方法，其中該遠端接收器係 O:\89\89732.DOC -2- 1234707 一無線裝置。 ， 1 5 · 一種管理電腦入侵之系統，該系統包括： 一圖形表示構件，其用於以圖形形式表示一已知入侵 之入知模式’該圖形表示包括一位於該入侵路徑中一節 點處之指令碼因應； 比對構件，其用於依據該電腦之一當前入侵與該已 知入钕之入侵路徑中的至少一個共有特徵來比對該當前 入侵與該已知入侵之圖形表示；及 一啓動構件，其用於根據該已知入侵與該當前入侵之 比對來啓動一用於因應該當前入侵之指令碼因應。 16·根據申請專利範圍第15項之系統，其中該入侵模式係基 於入侵事件。 1 7·根據申凊專利範圍第丨5項之系統，其中該入侵模式係基 於一受到該已知入侵影響之硬體拓撲。 18. 根據申請專利範圍第15項之系統，其中該已知入侵與該 當前入侵基本相同，且其中用於因應該#前人侵之該指 令碼因應係基於該已知入侵之歷史資料。 19. 根據中請專利範圍第15項之系統，其中該已知人侵與該 當前入侵相異，且其中用於因應該當前人侵之該指令碼 因應係基於該已知入侵之歷史資料。 20. 根據申請專利範圍第15項之系統，進〜步包括： 一建立關聯構件，其用於使一建議指令碼因應清單與 該入侵路徑中之每一節點相關聯；及 込取構件，其用於爲母一節點選取該等建議指令碼 O:\89\89732.DOC 1234707 因應之一。 21. 根據申請專利範圍第2〇項之系統，進一步包括用於爲每 一即點選取一最高建議指令碼因應之構件。 22. 根據申請專利範圍第以項之系統，進一步包括用於爲所 有節點同時選取該最高建議指令碼因應之構件。 23. 根據申凊專利範圍第2〇項之系統，進一步包括·· η :自動執行構件，其用於根據一爲所有節點選取所有 取同建議因應的歷史模式自動執行申請專利範圍第 所述之方法。 Λ 24. 根據申請專利範圍第㈣之系統，進一步包括： 冑執仃構件，其用於根據—手動啓動該指令碼因 心之預期因應時間自動執行中請專利1¾圍第15項所述之 25.根射請專利範圍第㈣之系統，進—步包括： 白I:動執行構件，其用於根據該當前入侵的-嚴重性 自動執行φ 士主击μ 嚴里Γ生 申明專利範圍第15項所述之方法，复 碼因應係虛Μ Λ ^ /、肀忒才曰令 級。 與該#前人侵之嚴重性相稱之嚴重性等 26·根據申請衰士 月專利乾圍第15項之系統，進一步包括·· 一自動執行構件，其用於根據 類來自動勃一 + /田月丨』入钕的一類型分 勠執订申請專利範圍第15項所述 27·根據申請裒制〜 丨Κ万法。 月專利乾圍第15項之系統，進一牛勺 一通知嫌AL 乂匕括· 侵；及 ，其用於對一遠端接收器通知該當前入 O:\89\89732.DOC 1234707 一啓動構件，其用於響應該關於該當前入侵之遠程通 知’遠程啓動該指令碼因應。 28.根據申請專利範圍第27項之系統，其中該遠端接收器係 一無線裝置。 29· —種官理電腦入侵之電腦可用媒體，該電腦可用媒體包 括： 笔月自私式碼’其用於以圖形形式表示一已知入侵之 入"ί又权式，e亥圖形表不包括一位於入侵路徑中一節點處 之指令碼因應； 一電腦程式碼，其用於依據該電腦之一當前入侵與該 已知入侵之入侵路徑中的至少一個共有特徵來比對該當 前入侵與該已知入侵之圖形表示；及 一電腦程式碼，其用於根據該已知入侵與該當前入侵 之比對來啓動一用於因應該當前入侵之指令碼因應。 30.根據申請專利範圍第29項之電腦可用媒體，其中該入侵 权式係基於入侵事件。 31_根據申請專利範圍第29項之電腦可用媒體，其中該入侵 模式係基於一受到該已知入侵影響之硬體拓撲。 3 2.根據申請專利範圍第29項之電腦可用媒體，其中該已知 入侵與該當前入侵基本相同，且其中用於因應該當前入 侵之該指令碼因應係基於該已知入侵之歷史資料。 33.根據申請專利範圍第29項之電腦可用媒體，其中該已知 入侵與該當前入侵相異，且其中用於因應該當前入侵之 該指令碼因應係基於該已知入侵之歷史資料。 O:\89\89732.DOC 1234707 34·根據申請專利範圍 貝电月自，可用媒體，進一步包括·· 一琶腦程式石馬，1用於佶_ _ , 〃 、吏~建議指令碼因應清單與該 入“徑中之每一節點相關聯；及 I & a式碼’其用於爲每—節點選取該等建議指令 碼因應之一。 35.根據申請專利範圍第 一 国乐貝之包腦可用媒體，進一步包括 用於爲每一節點選取一最高 取冋遷識指令碼因應之電腦程式 碼。 3 6.根據申請專利範圍第3 帝 一 固矛w項之甩細可用媒體，進一步包括 用於爲所有節點同瞎選百兮曰^ 、 J ^取違取向建議指令碼因應之電腦 式碼。 37.根據申睛專利乾圍第36項之電腦可用媒體，進一步包括： 私月®私式碼，其用於根據一爲所有節點選取所有最 高建議因應的歷史模式自動執行申請專利範圍第％項所 述之電腦可用媒體。 38·根據申請專利範圍第29項之電腦可用媒體，進一步包括： 一電腦程式碼，其用於根據一手動啓動該指令碼因應 之預期因應時間自動執行申請專利範圍第29項所述之電 腦可用媒體。 3 9·根據申請專利範圍第29項之電腦可用媒體，進一步包括： 一電腦程式碼’其用於根據該當前入侵的一嚴重性自 動執行申請專利範圍第29項所述之電腦可用媒體，其中 該指令碼因應係處於一與該當前入侵之嚴重性相稱之嚴 重性等級。 O:\89\89732.DOC 1234707 4〇.根據申請專利範圍第29項之電腦可用媒體，進一 + -電腦程式碼，其用於根據該當前：步包括: 來自動執行申請專利範圍第29項所述之電腦―頌型分類 礼根據申請專利範圍第29項之電腦可用媒體，進―用^某體。 一電腦程式碼，苴^ ΛΟ, XiL V包括： 侵；及 ”用於對…接收器通知該當前入 一電腦程4，其用於響應該關於該當前 通知，遠程啓動該指令碼因應。 之您程 4 2 ·根據申請專利筋圖楚 圍弟41項之電腦可用媒體，其中該遠端 接收器係一無線裝置。 O:\89\89732.DOC
TW092133851A 2002-12-05 2003-12-02 Method and system for responding to a computer intrusion TWI234707B (en)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
US10/313,732 US7941854B2 (en) 2002-12-05 2002-12-05 Method and system for responding to a computer intrusion

Publications (2)

Publication Number Publication Date
TW200424845A TW200424845A (en) 2004-11-16
TWI234707B true TWI234707B (en) 2005-06-21

Family

ID=32468329

Family Applications (1)

Application Number Title Priority Date Filing Date
TW092133851A TWI234707B (en) 2002-12-05 2003-12-02 Method and system for responding to a computer intrusion

Country Status (10)

Country Link
US (1) US7941854B2 (zh)
EP (1) EP1567926B1 (zh)
JP (1) JP4283228B2 (zh)
KR (1) KR100734732B1 (zh)
CN (1) CN100518174C (zh)
AT (1) ATE341024T1 (zh)
AU (1) AU2003285563A1 (zh)
DE (1) DE60308722T2 (zh)
TW (1) TWI234707B (zh)
WO (1) WO2004051441A2 (zh)

Families Citing this family (30)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7941854B2 (en) 2002-12-05 2011-05-10 International Business Machines Corporation Method and system for responding to a computer intrusion
US7483972B2 (en) * 2003-01-08 2009-01-27 Cisco Technology, Inc. Network security monitoring system
US8201249B2 (en) * 2003-05-14 2012-06-12 Northrop Grumman Systems Corporation Steady state computer intrusion and misuse detection
US6985920B2 (en) * 2003-06-23 2006-01-10 Protego Networks Inc. Method and system for determining intra-session event correlation across network address translation devices
US20070113272A2 (en) 2003-07-01 2007-05-17 Securityprofiling, Inc. Real-time vulnerability monitoring
US8984644B2 (en) 2003-07-01 2015-03-17 Securityprofiling, Llc Anti-vulnerability system, method, and computer program product
US9100431B2 (en) 2003-07-01 2015-08-04 Securityprofiling, Llc Computer program product and apparatus for multi-path remediation
US7644365B2 (en) * 2003-09-12 2010-01-05 Cisco Technology, Inc. Method and system for displaying network security incidents
US8347375B2 (en) * 2003-10-03 2013-01-01 Enterasys Networks, Inc. System and method for dynamic distribution of intrusion signatures
US20050076236A1 (en) * 2003-10-03 2005-04-07 Bryan Stephenson Method and system for responding to network intrusions
US8839417B1 (en) 2003-11-17 2014-09-16 Mcafee, Inc. Device, system and method for defending a computer network
US20050198530A1 (en) * 2003-12-12 2005-09-08 Chess David M. Methods and apparatus for adaptive server reprovisioning under security assault
US7225468B2 (en) * 2004-05-07 2007-05-29 Digital Security Networks, Llc Methods and apparatus for computer network security using intrusion detection and prevention
US8850565B2 (en) * 2005-01-10 2014-09-30 Hewlett-Packard Development Company, L.P. System and method for coordinating network incident response activities
US7882262B2 (en) 2005-08-18 2011-02-01 Cisco Technology, Inc. Method and system for inline top N query computation
US20070195776A1 (en) * 2006-02-23 2007-08-23 Zheng Danyang R System and method for channeling network traffic
US8233388B2 (en) 2006-05-30 2012-07-31 Cisco Technology, Inc. System and method for controlling and tracking network content flow
US20080127343A1 (en) * 2006-11-28 2008-05-29 Avaya Technology Llc Self-Operating Security Platform
CN101286850B (zh) * 2007-04-10 2010-12-15 深圳职业技术学院 路由器安全防御装置及防御系统和方法
US9843596B1 (en) * 2007-11-02 2017-12-12 ThetaRay Ltd. Anomaly detection in dynamically evolving data and systems
US8732829B2 (en) * 2008-04-14 2014-05-20 Tdi Technologies, Inc. System and method for monitoring and securing a baseboard management controller
KR101190559B1 (ko) 2010-12-24 2012-10-16 한국인터넷진흥원 봇의 행위 모니터링 정보 및 봇넷 정보의 시각화 방법
CN104348795B (zh) * 2013-07-30 2019-09-20 深圳市腾讯计算机系统有限公司 通用网关接口业务入侵防护的方法及装置
US11165812B2 (en) 2014-12-03 2021-11-02 Splunk Inc. Containment of security threats within a computing environment
US20160180078A1 (en) * 2014-12-23 2016-06-23 Jasmeet Chhabra Technologies for enhanced user authentication using advanced sensor monitoring
US10552615B2 (en) 2016-02-18 2020-02-04 Swimlane Llc Threat response systems and methods
CA3079913A1 (en) * 2017-11-06 2019-05-09 Cyber Defence Qcd Corporation Methods and systems for monitoring cyber-events
KR102062718B1 (ko) * 2019-07-29 2020-01-07 주식회사 에프원시큐리티 패킷 가상화를 이용한 IoT 허니넷 시스템
FR3104776B1 (fr) 2019-12-17 2023-07-07 Commissariat Energie Atomique Procédé de détermination d’une réaction en réponse à une anomalie dans un réseau informatique
AT523933B1 (de) * 2020-11-18 2022-01-15 Ait Austrian Inst Tech Gmbh Verfahren zur Klassifizierung von anomalen Betriebszuständen eines Computernetzwerks

Family Cites Families (38)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5542024A (en) * 1992-07-09 1996-07-30 Johnson & Johnson Graphically used expert system tool background of the invention
JP2501771B2 (ja) * 1993-01-19 1996-05-29 インターナショナル・ビジネス・マシーンズ・コーポレイション 不所望のソフトウェア・エンティティの複数の有効なシグネチャを得る方法及び装置
JPH06282527A (ja) 1993-03-29 1994-10-07 Hitachi Software Eng Co Ltd ネットワーク管理システム
US5546507A (en) * 1993-08-20 1996-08-13 Unisys Corporation Apparatus and method for generating a knowledge base
US5414833A (en) * 1993-10-27 1995-05-09 International Business Machines Corporation Network security system and method using a parallel finite state machine adaptive active monitor and responder
US5557742A (en) * 1994-03-07 1996-09-17 Haystack Labs, Inc. Method and system for detecting intrusion into and misuse of a data processing system
US6144961A (en) * 1995-08-31 2000-11-07 Compuware Corporation Method and system for non-intrusive measurement of transaction response times on a network
US6178509B1 (en) * 1996-06-13 2001-01-23 Intel Corporation Tamper resistant methods and apparatus
US5892903A (en) * 1996-09-12 1999-04-06 Internet Security Systems, Inc. Method and apparatus for detecting and identifying security vulnerabilities in an open network computer communication system
US6119236A (en) * 1996-10-07 2000-09-12 Shipley; Peter M. Intelligent network security device and method
US6802028B1 (en) * 1996-11-11 2004-10-05 Powerquest Corporation Computer virus detection and removal
US5850516A (en) * 1996-12-23 1998-12-15 Schneier; Bruce Method and apparatus for analyzing information systems using stored tree database structures
US6618074B1 (en) * 1997-08-01 2003-09-09 Wells Fargo Alarm Systems, Inc. Central alarm computer for video security system
US6088804A (en) * 1998-01-12 2000-07-11 Motorola, Inc. Adaptive system and method for responding to computer network security attacks
US6347374B1 (en) * 1998-06-05 2002-02-12 Intrusion.Com, Inc. Event detection
WO2000019324A1 (en) * 1998-09-28 2000-04-06 Argus Systems Group, Inc. Trusted compartmentalized computer operating system
US6321338B1 (en) * 1998-11-09 2001-11-20 Sri International Network surveillance
US6609205B1 (en) * 1999-03-18 2003-08-19 Cisco Technology, Inc. Network intrusion detection signature analysis using decision graphs
US6681331B1 (en) * 1999-05-11 2004-01-20 Cylant, Inc. Dynamic software system intrusion detection
US7020697B1 (en) * 1999-10-01 2006-03-28 Accenture Llp Architectures for netcentric computing systems
US6678734B1 (en) * 1999-11-13 2004-01-13 Ssh Communications Security Ltd. Method for intercepting network packets in a computing device
US6775657B1 (en) * 1999-12-22 2004-08-10 Cisco Technology, Inc. Multilayered intrusion detection system and method
US6535227B1 (en) * 2000-02-08 2003-03-18 Harris Corporation System and method for assessing the security posture of a network and having a graphical user interface
US7089428B2 (en) * 2000-04-28 2006-08-08 Internet Security Systems, Inc. Method and system for managing computer security information
US20030159070A1 (en) * 2001-05-28 2003-08-21 Yaron Mayer System and method for comprehensive general generic protection for computers against malicious programs that may steal information and/or cause damages
US7007301B2 (en) * 2000-06-12 2006-02-28 Hewlett-Packard Development Company, L.P. Computer architecture for an intrusion detection system
JP2002024831A (ja) 2000-07-10 2002-01-25 Casio Comput Co Ltd 指紋認証装置及び指紋認証システム
US7093239B1 (en) * 2000-07-14 2006-08-15 Internet Security Systems, Inc. Computer immune system and method for detecting unwanted code in a computer system
WO2002023808A2 (en) 2000-09-15 2002-03-21 Cymtec Systems, Inc. Network management system
US20020161929A1 (en) * 2001-04-30 2002-10-31 Longerbeam Donald A. Method and apparatus for routing data through a computer network
US6931552B2 (en) * 2001-05-02 2005-08-16 James B. Pritchard Apparatus and method for protecting a computer system against computer viruses and unauthorized access
JP2002342276A (ja) 2001-05-17 2002-11-29 Ntt Data Corp ネットワーク侵入検知システムおよびその方法
US7624444B2 (en) * 2001-06-13 2009-11-24 Mcafee, Inc. Method and apparatus for detecting intrusions on a computer system
US6907430B2 (en) * 2001-10-04 2005-06-14 Booz-Allen Hamilton, Inc. Method and system for assessing attacks on computer networks using Bayesian networks
US6801940B1 (en) * 2002-01-10 2004-10-05 Networks Associates Technology, Inc. Application performance monitoring expert
US20030208616A1 (en) * 2002-05-01 2003-11-06 Blade Software, Inc. System and method for testing computer network access and traffic control systems
US6952779B1 (en) * 2002-10-01 2005-10-04 Gideon Cohen System and method for risk detection and analysis in a computer network
US7941854B2 (en) 2002-12-05 2011-05-10 International Business Machines Corporation Method and system for responding to a computer intrusion

Also Published As

Publication number Publication date
JP2006509283A (ja) 2006-03-16
JP4283228B2 (ja) 2009-06-24
US20040111637A1 (en) 2004-06-10
EP1567926A2 (en) 2005-08-31
CN1695365A (zh) 2005-11-09
AU2003285563A8 (en) 2004-06-23
DE60308722T2 (de) 2007-08-16
WO2004051441A3 (en) 2004-08-26
KR100734732B1 (ko) 2007-07-04
DE60308722D1 (de) 2006-11-09
CN100518174C (zh) 2009-07-22
WO2004051441A2 (en) 2004-06-17
AU2003285563A1 (en) 2004-06-23
US7941854B2 (en) 2011-05-10
TW200424845A (en) 2004-11-16
EP1567926B1 (en) 2006-09-27
KR20050086445A (ko) 2005-08-30
ATE341024T1 (de) 2006-10-15

Similar Documents

Publication Publication Date Title
TWI234707B (en) Method and system for responding to a computer intrusion
US6907533B2 (en) System and method for computer security using multiple cages
WO2017152742A1 (zh) 一种网络安全设备的风险评估方法和装置
Ning et al. Correlating alerts using prerequisites of intrusions
KR20070065306A (ko) 엔드 유저 위험 관리
CN107409134B (zh) 法证分析方法
JP2012104088A (ja) 情報セキュリティ保護ホスト
US20090300751A1 (en) Unique packet identifiers for preventing leakage of sensitive information
CN103428212A (zh) 一种恶意代码检测及防御的方法
KR101223594B1 (ko) Ｌｋｍ 루트킷 검출을 통한 실시간 운영정보 백업 방법 및 그 기록매체
US20090276852A1 (en) Statistical worm discovery within a security information management architecture
JP2008167099A (ja) セキュリティ管理装置及びセキュリティ管理方法及びプログラム
WO2021217449A1 (zh) 恶意入侵检测方法、装置、系统、计算设备、介质和程序
JP2003208269A (ja) セキュリティ機構を備えた二次記憶装置およびそのアクセス制御方法
KR100310860B1 (ko) 실시간침입탐지시스템에서의에이전트구조를이용한실시간침입탐지방법
KR20020012855A (ko) 통합로그 분석 및 관리 시스템 및 그 방법
JPH10107795A (ja) ネットワーク管理システム
JP7255679B2 (ja) 攻撃グラフ加工装置、方法およびプログラム
KR20030090568A (ko) 단말기 내의 자원 보호 시스템 및 방법
JP2002304231A (ja) コンピュータシステム
US20200382552A1 (en) Replayable hacktraps for intruder capture with reduced impact on false positives
KR100961438B1 (ko) 실시간 침입 탐지 시스템 및 방법, 그리고 그 방법을수행하기 위한 프로그램이 기록된 기록매체
US11611585B2 (en) Detection of privilege escalation attempts within a computer network
WO2020195230A1 (ja) 分析システム、方法およびプログラム
JP2003099310A (ja) ネットワークにおけるセキュリティシステム

Legal Events

Date Code Title Description
MM4A Annulment or lapse of patent due to non-payment of fees