TWI492091B - 資料偵測系統 - Google Patents

Description

資料偵測系統

本案係關於一種資料偵測系統，尤指一種具備複數個偵測機制之偵測系統。

目前資訊安全已成為社會各界無法忽視的重要事項，即便是家用之個人電腦，亦需常態性地內建初級偵測系統以從資料中偵測出惡意程式或病毒，在企業用以處理龐大資料之各種資訊設備，更需要處理能力更強、更精準之進階偵測系統。

然而，無論是家用之初級偵測或是企業用之進階偵測系統，一般僅藉由單一種偵測機制對資料進行偵測，容易產生誤判及漏判之缺失。不同品牌之偵測系統雖能提供不同種類之偵測機制，提供不同之能力與特性，但卻因無法同時運作而仍難以克服誤判或漏判之缺失。

因此，如何提供一種能結合多種偵測機制之偵測系統，即為各界所亟待解決之課題。

鑑於習知技術之種種缺失，本案之主要目的係在於提供一種結合多種偵測機制之偵測系統。

為了達到上述目的及其它目的，本案係提供一種資料偵測系統，係包括複數個偵測單元，該複數個偵測單元係分別以二元偵測機制、三元偵測機制或連續值偵測機制進行資料偵測，其中，該複數個偵測單元係形成循序(sequential)架構。

於複數個偵測單元以該二元(binary)偵測機制進行偵測實施型態中，該複數個偵測單元係包括第一偵測單元及第二偵測單元，其中，該第一偵測單元，係接收待測之資料並以特定之條件式予以演算而進行偵測，以得到惡意(malicious)之偵測結果或正常(benign)之偵測結果；第二偵測單元，係於該第一偵測單元得到惡意之偵測結果或正常之偵測結果時，再對經該第一偵測單元偵測過之資料以特定之條件式予以演算而進行偵測，以得到惡意之偵測結果或正常之偵測結果。

於複數個偵測單元以該三元(ternary)偵測機制進行偵測之實施型態中，該複數個偵測單元係包括第一偵測單元及第二偵測單元，其中，第一偵測單元係接收待測之資料並以特定之條件式予以演算而進行偵測，以得到惡意之偵測結果、正常之偵測結果、或警告(warning)之偵測結果；第二偵測單元係於該第一偵測單元得到警告之偵測結果時，再對經該第一偵測單元偵測過之資料以特定之條件式予以演算而進行偵測，以得到惡意之偵測結果、正常之偵測結果、或警告之偵測結果。

於複數個偵測單元以該連續值(continuous)偵測機制 進行偵測實施型態中，該複數個偵測單元係包括第一偵測單元及第二偵測單元，其中，第一偵測單元係接收待測之資料並以特定之條件式予以演算而進行偵測，以得到惡意之偵測結果、正常之偵測結果、或不明(ambiguous)之偵測結果；第二偵測單元，係於該第一偵測單元得到不明之偵測結果時，再對經該第一偵測單元偵測過之資料以特定之條件式予以演算而進行偵測，以得到惡意之偵測結果、正常之偵測結果或不明之偵測結果；第三偵測單元，係於該第二偵測單元得到不明之偵測結果時，再對經該第二偵測單元偵測過之資料以特定之條件式予以演算而進行偵測，以得到惡意之偵測結果或正常之偵測結果。

相較於習知技術，由於本案之資料偵測系統，係能彈性地以循序之方式，同時結合複數個能分別執行二元偵測機制、三元偵測機制、或連續值偵測機制之偵測單元，所以能同時降低誤判及漏判之缺失，提昇整體的資訊安全性。

1、2、3、4‧‧‧資料偵測系統

11、21、31‧‧‧第一偵測單元

12、22、32‧‧‧第二偵測單元

13、23、33‧‧‧第三偵測單元

41‧‧‧第一層循序架構

42‧‧‧第二層循序架構

43‧‧‧第三層循序架構

10、20、30、40‧‧‧待測之資料

110、120、130、210、220、230、310、320、330‧‧‧正常之偵測結果

111、121、131、211、221、231、311、321、331‧‧‧惡意之偵測結果

212、222、232‧‧‧警告之偵測結果

312、322‧‧‧不明之偵測結果

第1圖係為本案之資料偵測系統以二元偵測機制進行偵測之循序架構示意圖；第2圖係為本案之資料偵測系統以三元偵測機制進行偵測之循序架構示意圖；第3圖係為本案之資料偵測系統以連續值偵測機制進行偵測之循序架構示意圖；以及第4圖係為本案之資料偵測系統以多階層之循序架構建制之並行架構示意圖。

為利貴審查委員了解本案之技術特徵、內容與優點及其所能達成之功效，茲將本案之創作配合附圖，並以實施例之表達形式說明如下，而其中所使用之圖式，其主旨僅為示意以及輔助說明之用，未必為本案實施後之真實比例與精準配置，故不應就所附之圖式比例與配置關係解讀、侷限本案於實際實施上的權力範圍，合先敘明。

本案之資料偵測系統，係包括複數個偵測單元，該複數個偵測單元係分別以二元偵測機制、三元偵測機制或連續值偵測機制進行資料偵測，且其中，該複數個偵測單元係形成循序架構。連同下述示範之不同實施型態之說明內容，同時參照第1圖至第3圖繪示之三種循序架構，能清楚瞭解本案之資料偵測系統。

第1圖繪示之資料偵測系統1，係表示以二元偵測機制進行偵測之循序架構示意圖。如圖所示，資料偵測系統1能具備第一偵測單元11、第二偵測單元12、及第三偵測單元13。依據實際之使用情形，能僅建置第一偵測單元11及第二偵測單元12，亦能建置為數更多之第二偵測單元12。

於一實施例中，第一偵測單元11係接收待測之資料10並以特定之條件式予以演算從而進行偵測，以得到惡意之偵測結果111或正常之偵測結果110；第二偵測單元12係於第一偵測單元11得到惡意之偵測結果111時，再對經第一偵測單元11偵測過之資料以特定之條件式予以演算 從而進行偵測，以得到惡意之偵測結果121或正常之偵測結果120；第三偵測單元13係於第二偵測單元12得到惡意之偵測結果121時，再對經第二偵測單元12偵測過之資料以特定之條件式予以演算從而進行偵測，以得到惡意之偵測結果131或正常之偵測結果130。此種循序架構係連續地在偵測到資料為惡意時，再次對資料進行相同或不同精細程度之偵測，故能降低將資料誤判為惡意之機率。

具體言之，前後設置之偵測單元之處理強度與偵測精密度之標準，係能相同或不同。例如，第二偵測單元12之標準可設定為較第一偵測單元11更精密，第三偵測單元13之處理標準可再設定為較第二偵測單元12更精密。在循序之多個偵測單元，處理標準之差異亦能以其他規則交錯設計。

於另一實施例中，第一偵測單元11偵測出惡意之偵測結果111或正常之偵測結果110之架構可互相替換，亦即，標號111所指代者能代表正常之偵測結果，標號110所指代者也能代表惡意之偵測結果；此時，第二偵測單元12會在第一偵測單元11偵測出資料為正常時再次進行偵測，接著，第二偵測單元12同樣會偵測並輸出惡意之偵測結果121或正常之偵測結果120；另外，第三偵測單元13之偵測與輸出方式對應第一偵測單元11，亦即，標號131所指代者也能代表正常之偵測結果，標號130所指代者也能代表惡意之偵測結果；此時，第一偵測單元11、第二偵測單元12、第三偵測單元13，雖然同樣仍利用二元之偵測 機制，但前後之偵測及輸出架構則形成交錯，能同時降低誤判與漏判之機率。

再參照第2圖，其係繪示以三元偵測機制進行偵測之資料偵測系統2之循序架構示意圖。如圖所示，資料偵測系統2，係能具備第一偵測單元21、第二偵測單元22、及第三偵測單元23。同樣的，依據實際之使用情形，資料偵測系統2能僅建置第一偵測單元21及第二偵測單元22，亦能建置為數更多之第二偵測單元22及第三偵測單元23。

第一偵測單元21係接收待測之資料20並以特定之條件式予以演算從而進行偵測，以得到惡意之偵測結果211、正常之偵測結果210或警告之偵測結果212；第二偵測單元22係於第一偵測單元21得到警告之偵測結果212時，再對經該第一偵測單元21偵測過之資料以特定之條件式予以演算從而進行偵測，以得到惡意之偵測結果221、正常之偵測結果220、或警告之偵測結果222；相同地，第三偵測單元23係於第二偵測單元22得到警告之偵測結果222時，再對經該第二偵測單元22偵測過之資料以特定之條件式予以演算而進行偵測，以得到惡意之偵測結果231、正常之偵測結果230或警告之偵測結果232。

具體言之，資料偵測系統2所前後設置之偵測單元之處理標準，也能設定為具有不同之精密度。例如，第二偵測單元22之處理標準可設定為較第一偵測單元21精密，第三偵測單元23之處理標準可再設定為較第二偵測單元12精密，當然亦能反向或交錯設計。

例如，第二偵測單元22之處理標準若設定為較第一偵測單元21精密，當第一偵測單元21偵測並輸出警告之偵測結果212時，第二偵測單元22會再次對資料進行偵測，此時，若第二偵測單元22再次偵測並輸出惡意之偵測結果221或正常之偵測結果220，而非偵測並輸出警告之偵測結果222，經第二偵測單元22偵測過之資料，即無須再推進至第三偵測單元23接受偵測，換言之，相較於僅具有第一偵測單元21之設計，第二偵測單元22之存在能降低整體漏判之缺失，提昇整體精準度。

標號210(220、230)、211(221、231)、212(222、232)分別所指代之內容，亦非分別限定為正常之偵測結果、惡意之偵測結果、及警告之偵測結果，換言之，同樣能依據降低誤判或漏判之不同需求，彈性地進行交錯適用。

資料偵測系統2也可附加額外設定，例如連續偵測到兩次警告之偵測結果即直接將資料視為惡意。舉例言之，於第一偵測單元21偵測並輸出警告之偵測結果212，且第二偵測單元22又再偵測並輸出警告之偵測結果222時，即可直接判斷資料為惡意，從而不再推進至第三偵測單元23。當然，也能依此概念設定為第一偵測單元21、第二偵測單元22、及第三偵測單元23皆偵測並輸出警告之偵測結果時，始直接判斷資料為惡意，從而不再繼續推進。反之，亦能設定為連續n次警告之偵測結果時即視資料為正常，端視不同之需求而定。

再參照第3圖，其係繪示本案以連續值偵測機制進行 偵測之資料偵測系統3之循序架構示意圖。如圖所示，資料偵測系統3能具備第一偵測單元31、第二偵測單元32、及第三偵測單元33。需先說明的是，依據實際使用情形，資料偵測系統3也能建置為數更多之第一偵測單元31或第二偵測單元32。

第一偵測單元31係接收待測之資料30並以特定之條件式予以演算從而進行偵測，以得到惡意之偵測結果311、正常之偵測結果310、或不明之偵測結果312；第二偵測單元32係於該第一偵測單元31得到不明之偵測結果312時，再對經該第一偵測單元31偵測過之資料以特定之條件式予以演算從而進行偵測，以得到惡意之偵測結果321、正常之偵測結果320、或不明之偵測結果322；第三偵測單元33係於該第二偵測單元32得到不明之偵測結果322時，再對經該第二偵測單元32偵測過之資料以特定之條件式予以演算從而進行偵測，惟，僅會得到惡意之偵測結果331或正常之偵測結果330。

相似於前揭之資料偵測系統2之彈性設定概念，資料偵測系統3同樣能令標號310(320、330)及標號311(321、331)所指代之內容，非限定為正常之偵測結果及惡意之偵測結果，且標號312(322)所指代之內容亦非限定為不明之偵測結果，換言之，係能依據降低誤判或漏判之需求，彈性地進行交錯適用。當然，亦可附加相似之額外設定，例如於第一偵測單元31偵測並輸出不明之偵測結果312，且第二偵測單元32又再偵測並輸出不明之偵測結果322時， 即直接判斷資料為惡意或正常，從而不再推進至第三偵測單元33。

不同的是，資料偵測系統3所揭露之連續值偵測機制，係可為一種權重標準，且至少需具備第一偵測單元31、第二偵測單元31、第三偵測單元33，並可以藉由高門檻值及低門檻值之條件予以演算從而進行偵測，以於資料為惡意之機率介於該高門檻值及低門檻值時，輸出不明之偵測結果。

具體言之，第一偵測單元31、第二偵測單元32、第三偵測單元33能以介於0到1之間的機率值來偵測惡意程度(malicious degree,MD)，其中，第一偵測單元31可具有兩個門檻值，分別為T high 1和T low 1；第二偵測單元32可以有三個門檻值，分別為T high 2.1、T high 2.2、和T low 2，關係為T low 2T high 2.1T high 2.2；第三偵測單元33則可具有一個門檻值，設定為T 3。

第一偵測單元31若偵測到惡意程度大於所設定的門檻值T high 1，則判定資料為惡意並予以輸出對應之結果，若偵測到惡意程度小於門檻值T low 1，則判定為正常並予以輸出對應之結果，若偵測到惡意程度介於T high 1與T low 1之間，則判定並輸出不明之(ambiguous)偵測結果，並推進到第二偵測單元32。

若第二偵測單元32偵測到惡意程度小於T low 2則可判定為正常並輸出對應之結果，若偵測到惡意程度大於T high 2.2，則可判定為惡意並輸出對應之結果，若是偵測到 介於T low 2及T high 2.2之間，或是偵測到之累加值乃超過T high 2.1，則可推進到第三偵測單元33。

第三偵測單元33若偵測到惡意程度大於所設定的門檻值T 3，則能判定為惡意並輸出對應之結果，若偵測到之惡意程度小於設定的門檻值T 3，則能判定為正常並輸出對應之結果。於希望擴建偵測單元之數量時，第一偵測單元31及第三偵測單元33之機制能維持不變，僅選擇增加多個第二偵測單元32，亦即，建置多個設定有三個門檻值之第二偵測單元32。

請再參閱第4圖，以說明本案之資料偵測系統4，其係以多階層之循序架構所建置之並行架構示意圖，同時，不同階層之架構會同步接收待測之資料40。

於第4圖中，第一層循序架構41係可例示惟前述之資料偵測系統1之架構，第二層循序架構42係可例示為前述之資料偵測系統2之架構，第三層循序架構43係可例示為前述之資料偵測系統3之架構。當然，係可彈性配置，例如，將第一層循序架構41、第二層循序架構42、第三層循序架構43皆建置為前述之資料偵測系統1、2、3之任一者；或是，將第一層循序架構41、第二層循序架構42建置為前述資料偵測系統1、2、3之任一者，並將第三層循序架構43建置為不同之另一者。為簡化說明，不再於此贅述其他並行種類。

需注意的是，並行架構係可利用函式來確定最終之結果。例如，若並行套用多個三元偵測機制，每個偵測機制 會產生三種偵測結果，分別為惡意、警告或正常，其函式的運作，能假設有iP個偵測機制判定為惡意、iA個偵測機制判定為警告，iA+P個偵測機制判定惡意或警告的總和，另外，再設定三個門檻值，分別為TP、TA與TA+P，函式的條件判斷式則可為iP>TP、iA>TA、iA+P>TA+P，此三個條件式若有其中任一者能夠成立，即能判斷為惡意，否則，即判定成正常。

另外，若並行套用多個三元偵測機制，每個偵測機制則會產生兩種偵測結果，分別惡意或正常，此時，函式可利用不同之判定法，例如多數決判定法。再者，若並行套用多個連續值偵測機制，每個偵測機制會產生連續值之偵測結果，例如，介於0到1之間的機率值，其代表各個偵測機制的權重，此時，函式可利用不同之判定法，例如權重式多數決判定法。

本案所述之被進行偵測之資料，係可為夾帶有惡意程式(malware)之資料，或者是指夾帶有病毒(virus)之資料，或者是夾帶有惡意程式及病毒之資料，或是未夾帶有惡意程式或病毒之資料。

綜上所述，本案之資料偵測系統係能彈性地同時結合複數個能分別執行二元偵測機制、三元偵測機制、或連續值偵測機制之偵測單元，同時，更能以單一之循序架構進行建置，或是進一步以多階層之並行架構予以建置，所以，不但能同時降低誤判及漏判之缺失，更能有效地提昇整體的資訊安全性。

上述實施例係用以例示性說明本案之原理及其功效，而非用於限制本案。任何熟習此項技藝之人士均可在不違背本案之精神及範疇下，對上述實施例進行修改。因 此本案之權利保護範圍，應如後述之申請專利範圍所列。

1‧‧‧資料偵測系統

11‧‧‧第一偵測單元

12‧‧‧第二偵測單元

13‧‧‧第三偵測單元

10‧‧‧待測之資料

110、120、130‧‧‧正常之偵測結果

111、121、131‧‧‧惡意之偵測結果

Claims (10)

1. 一種資料偵測系統，係包括：複數個偵測單元，係分別以二元偵測機制、三元偵測機制或連續值偵測機制進行資料偵測，其中，該複數個偵測單元係形成循序架構，以使該複數個偵測單元之一者的偵測結果輸入至該複數個偵測單元之另一者來進行相同的資料偵測，且其中，該循序架構係再次對同一資料進行相同或不同精細程度之偵測。
2. 如申請專利範圍第1項所述之資料偵測系統，其中，於該複數個偵測單元以該二元偵測機制進行偵測時，該複數個偵測單元係包括：第一偵測單元，係接收待測之資料並以特定之條件式予以演算而進行偵測，以得到該第一偵測單元之惡意之偵測結果或正常之偵測結果；以及第二偵測單元，係於該第一偵測單元得到該第一偵測單元之惡意之偵測結果或正常之偵測結果時，再對經該第一偵測單元偵測過之資料以特定之條件式予以演算而進行偵測，以得到該第二偵測單元之惡意之偵測結果或正常之偵測結果。
3. 如申請專利範圍第1項所述之資料偵測系統，其中，於該複數個偵測單元以該三元偵測機制進行偵測時，該複數個偵測單元係包括：第一偵測單元，係接收待測之資料並以特定之條件式予以演算而進行偵測，以得到該第一偵測單元之 惡意之偵測結果、正常之偵測結果或警告之偵測結果；以及第二偵測單元，係於該第一偵測單元得到該第一偵測單元之警告之偵測結果時，再對經該第一偵測單元偵測過之資料以特定之條件式予以演算而進行偵測，以得到該第二偵測單元之惡意之偵測結果、正常之偵測結果或警告之偵測結果。
4. 如申請專利範圍第3項所述之資料偵測系統，其中，該資料偵測系統係於該第一偵測單元及第二偵測單元皆得到各自的警告之偵測結果時，將該待測之資料判定為惡意。
5. 如申請專利範圍第1項所述之資料偵測系統，其中，於該複數個偵測單元以該連續偵測機制進行偵測時，該複數個偵測單元係包括：第一偵測單元，係接收待測之資料並以特定之條件式予以演算而進行偵測，以得到該第一偵測單元之惡意之偵測結果、正常之偵測結果或不明之偵測結果；第二偵測單元，係於該第一偵測單元得到該第一偵測單元之不明之偵測結果時，再對經該第一偵測單元偵測過之資料以特定之條件式予以演算而進行偵測，以得到該第二偵測單元之惡意之偵測結果、正常之偵測結果或不明之偵測結果；以及第三偵測單元，係於該第二偵測單元得到該第二偵測單元之不明之偵測結果時，再對經該第二偵測單 元偵測過之資料以特定之條件式予以演算而進行偵測，以得到該第三偵測單元之惡意之偵測結果或正常之偵測結果。
6. 如申請專利範圍第5項所述之資料偵測系統，其中，該第一、第二偵測單元係以對應門檻值之條件予以演算從而進行偵測，以於該待測之資料為惡意之機率介於高門檻值及低門檻值時，輸出不明之偵測結果。
7. 如申請專利範圍第6項所述之資料偵測系統，其中，該第二偵測單元復以介於高門檻值及低門檻值之間之另一門檻值進行機率累加演算，從而輸出不明之偵測結果。
8. 如申請專利範圍第1項所述之資料偵測系統，其中，該複數個偵測單元復形成具備多階層之並行架構，且該並行架構之各個階層中係具備所述之循序架構。
9. 如申請專利範圍第8項所述之資料偵測系統，其中，所述之多階層之並行架構係藉由預定之條件函式以確定偵測結果。
10. 如申請專利範圍第2、3或5項所述之資料偵測系統，其中，該待測之資料係為夾帶有或未夾帶有惡意程式或病毒之資料。