TWI727213B

TWI727213B - 偵測作業系統的異常操作的異常偵測的方法及裝置

Info

Publication number: TWI727213B
Application number: TW107135324A
Authority: TW
Inventors: 李俊賢; 利建宏; 吳君勉; 孫明功; 張宗銓; 許銀雄; 黃瓊瑩; 蔡宗憲
Original assignee: 安碁資訊股份有限公司
Priority date: 2018-10-08
Filing date: 2018-10-08
Publication date: 2021-05-11
Also published as: US20200110689A1; EP3637293B1; TW202014921A; EP3637293A1; US11341018B2

Abstract

提供一種異常偵測的方法，適用於偵測作業系統的異常操作。所述方法包括：根據歷史資料流計算作業系統在一或多個時段的使用量安全範圍。根據當前資料流及使用量安全範圍計算對應一或多個時段的異常比率。根據閾值及異常比率從一或多個時段中挑選出一或多個異常時段。根據歷史資料流及當前資料流計算一或多個異常時段的每一者的異常指標。根據異常指標排行一或多個異常時段。

Description

偵測作業系統的異常操作的異常偵測的方法及裝置

本發明是有關於一種資安技術，且特別是有關於一種偵測作業系統的異常操作的異常偵測的方法及裝置。

對於使用者在使用作業系統（Operating System，OS）時需執行的登入帳號與密碼之行為，系統會將該些行為的相關資料記錄於日誌。當該些行為以特定的幅度增加時，可能代表使用者之行為改變或作業系統遭駭客入侵。若一固定時段內的使用行為之次數異常，代表該固定時段的使用行為與歷史上同一固定時段所記錄之使用行為不相符。基此，習知的技術可為不同的時段建立不同的異常預測模型，從而根據異常預測模型判斷對應時段是否發生異常。然而，當使用者欲觀察作業系統是否發生異常時，需基於所欲觀察的時段更換所使用的異常預測模型。如此，為使用者帶來了許多不便，並浪費了許多系統運算量。

有鑑於此，本發明提供一種偵測作業系統的異常操作的異常偵測的方法及裝置，可幫助使用者全盤了解作業系統所發生之異常操作的模式。

本發明的異常偵測的方法適用於偵測作業系統的異常操作，其包括：根據歷史資料流計算作業系統在一或多個時段的使用量安全範圍。根據當前資料流及使用量安全範圍計算對應一或多個時段的異常比率。根據閾值及異常比率從一或多個時段中挑選出一或多個異常時段。根據歷史資料流及當前資料流計算一或多個異常時段的每一者的異常指標。根據異常指標排行一或多個異常時段。

本發明的異常偵測的裝置適用於偵測作業系統的異常操作，其包括：儲存單元及處理單元。儲存單元儲存多個模組。處理單元耦接儲存單元，且存取並執行儲存單元所儲存的多個模組，多個模組包括：資料庫、側錄模組以及異常偵測模組。資料庫記錄歷史資料流。側錄模組側錄當前資料流。異常偵測模組，經配置以執行下列的步驟：根據歷史資料流計算作業系統在一或多個時段的使用量安全範圍。根據當前資料流及使用量安全範圍計算對應一或多個時段的異常比率。根據閾值及異常比率從一或多個時段中挑選出一或多個異常時段。根據歷史資料流及當前資料流計算一或多個異常時段的每一者的異常指標。根據異常指標排行一或多個異常時段。

基於上述，本發明提出了使用量安全範圍可基於例假日動態地調整的概念，故本發明的不會因例假日之原因所造成的使用者行為改變而發生誤判。另一方面，本發明可基於異常程度的不同而為多個異常時段進行排行，令使用者快速地了解作業系統發生異常的高峰期或作業系統在不同時間間隔的異常程度，從而幫助使用者判斷出發生異常的可能原因。

為讓本發明的上述特徵和優點能更明顯易懂，下文特舉實施例，並配合所附圖式作詳細說明如下。

為了幫助使用者快速地了解作業系統發生異常的高峰期或作業系統在不同時間間隔的異常程度，本發明提供出一種偵測作業系統的異常操作的異常偵測的方法及裝置。透過以下內容將可讓讀者了解本發明之創作精神。

圖1是依照本發明的實施例繪示一種異常偵測的裝置10的示意圖。裝置10可包括處理單元100以及儲存單元300。

儲存單元300用以儲存裝置10運行時所需的各項軟體、資料及各類程式碼。儲存單元300可例如是任何型態的固定式或可移動式的隨機存取記憶體（Random Access Memory，RAM）、唯讀記憶體（Read-only Memory，ROM）、快閃記憶體（Flash Memory）、硬碟（Hard Disk Drive，HDD）、固態硬碟（Solid State Drive，SSD）或類似元件或上述元件的組合。

處理單元100耦接儲存單元300，並可存取及執行儲存單元300所儲存的多個模組。處理單元100可例如是中央處理單元（Central Processing Unit，CPU），或是其他可程式化之一般用途或特殊用途的微處理器（Microprocessor）、數位信號處理器（Digital Signal Processor，DSP）、可程式化控制器、特殊應用積體電路（Application Specific Integrated Circuit，ASIC）或其他類似元件或上述元件的組合。

裝置10可接收關聯於一作業系統（OS）的資料流，並偵測該作業系統是否發生異常操作。在本實施例中，儲存單元300可儲存包括資料庫310、側錄模組330以及異常偵測模組350等多個模組，其中資料庫310用以儲存關聯於作業系統的歷史資料流，且側錄模組330可用以側錄關聯於該作業系統的當前資料流。異常偵測模組350的功能將會於下文說明。

圖2是依照本發明的實施例繪示一種異常偵測的方法20的流程圖，方法20可由如圖1所示的裝置10的異常偵測模組350實施，但本發明並不限於此。

在步驟S210，異常偵測模組350可根據資料庫310中的關聯於作業系統的歷史資料流計算該作業系統在一或多個時段的使用量安全範圍，其中該歷史資料流可對應於一位使用者。歷史資料流可包括作業系統在一或多個時段的歷史使用量及歷史變化程度。以表1為例，表1提出了本發明之歷史資料流之形式的範例：表1

其中，歷史使用量用以代表作業系統之異常操作的數量，其可對應於一或多個操作特徵，且該些操作特徵關聯於登入作業系統的次數、作業系統所存取之網際網路協定（Internet Protocol，IP）位址的數量或作業系統所使用之通訊埠（Port）的數量，但本發明不限於此。舉例來說，若表1記載的歷史使用量之代表作業系統所存取之IP位址的數量（即：歷史使用量對應的操作特徵關聯於作業系統所存取之IP位址的數量），則資料編號1中記載的歷史使用量22.5代表作業系統過去在資料編號1之時段所存取的IP位址之個數為22.5次。歷史使用量可以平均數、中位數或其他統計量來代表，且歷史變化程度可以標準差、變異數或其他統計量來代表。表1中的時段及其對應的歷史使用量是以一小時為基準，但也可以例如一天、一星期、一月、一季或一年等不同的時間單位為基準。

基於歷史資料流記錄的一或多個時段的歷史使用量及歷史變化程度，異常偵測模組350可藉由例如公式（1）及公式（2）而計算出作業系統在一時段的使用量安全範圍（使用量安全範圍的上界及下界）：上界 =

… 公式（ 1 ）下界 =

… 公式（ 2 ）其中μ_h 為歷史使用量、α 為容忍係數且σ_h 為歷史變化程度。容忍係數α 可由使用者基於其使用習慣而訂定。以表1為例，假設表1中的使用者1在非例假日時對作業系統的使用量較高，則可將非例假日時的容忍係數α 調高以擴大使用量安全範圍。如此，可避免因使用者1在例假日及非例假日的使用習慣的不同而造成裝置10誤判使用者1的使用量異常。容忍係數α 也可以依據星期、月份、季節或任何會影響使用者使用作業系統的習慣之因素而調整，本發明不限於此。

表2是基於表1的內容及公式（1）、公式（2）計算出每一時段的使用量安全範圍的範例：表2

如表2所示，異常偵測模組350可計算出不同的使用者在不同的時段的使用量安全範圍。

在計算完一或多個時段的使用量安全範圍後，在步驟S220，異常偵測模組350可根據側錄模組330所側錄之當前資料流及使用量安全範圍計算對應一或多個時段的異常比率，其中該當前資料流可對應於一位使用者。當前資料流可包括作業系統在一或多個時段的當前使用量，當前使用量的定義將於下文說明。

具體來說，異常偵測模組350可基於對應一或多個操作特徵之當前使用量在使用量安全範圍內的比例計算異常比率，如公式（3）所示。異常比率 =q /p … 公式（ 3 ）其中q 為當前使用量在使用量安全範圍外的特徵個數，且p 為當前使用量在使用量安全範圍內的特徵個數。以表2為例，假設在一非為例假日的星期一的7:00~8:00（即：對應於表2之資料編號1的時段），使用者1對作業系統的進行之操作的三個操作特徵（例如：登入作業系統的次數、作業系統所存取之IP位址的數量及作業系統所使用之通訊埠的數量）（即：p = 3）中，有兩個操作特徵（假設為登入作業系統的次數、作業系統所存取之IP位址的數量）（即：q = 2）的當前使用量處於使用量安全範圍外，且有一個操作特徵（假設為作業系統所使用之通訊埠的數量）的當前使用量處於使用量安全範圍內，此代表相較於過去的同一時段（即：對應於表2之資料編號1之時段的過去時段），使用者1在該時段的登入作業系統的次數以及作業系統所存取之IP位址的數量等兩個操作特徵發生異常。異常偵測模組350可透過公式（3）計算出使用者1在該時段（即：對應於表2之資料編號1的時段）對應的異常比率為2/3。

在計算完對應一或多個時段的異常比率後，在步驟S230，異常偵測模組350可根據閾值及異常比率從一或多個時段中挑選出一或多個異常時段，如公式（4）所示。假設一時段對應的異常比率符合公式（4），則異常偵測模組350判定該時段為異常時段。異常比率 ≧ β … 公式（ 4 ）其中β 為閾值。以表2為例，假設β = 0.5，且一對應於表2之資料編號1的特定時段的異常比率為2/3，則根據公式（4）可知（異常比率 2/3 ≧ 1/2），該特定時段應被異常偵測模組350判定為異常時段。

在挑選出一或多個異常時段後，在步驟S240，異常偵測模組350可根據歷史資料流及當前資料流計算一或多個異常時段的每一者的異常指標。詳言之，異常偵測模組350可根據歷史資料流中的對應於一第一異常時段的歷史使用量、歷史變化程度以及當前使用量計算出第一異常時段的異常程度，如公式（5）所示。

… 公式（ 5 ）其中s 為異常程度、μ_h 為歷史使用量、σ_h 為歷史變化程度且μ_c 為當前使用量。

以表1的資料為例，假設表1中的資料編號1、2、3及4等資料所對應的時段均在步驟S230被判定為異常時段，則在通過側錄當前資料流而取得表1中每一時段的當前使用量之後，異常偵測模組350可基於公式（5）而計算出表1中各個時段的異常程度，如表3所示。表3

其中，當前使用量可用以代表作業系統之異常操作的數量，其可對應於一或多個操作特徵，且該些操作特徵關聯於登入作業系統的次數、作業系統所存取之IP位址的數量或作業系統所使用之通訊埠的數量，但本發明不限於此。舉例來說，若表3記載的當前使用量代表作業系統所存取之IP位址的數量（即：當前使用量對應的操作特徵關聯於作業系統所存取之IP位址的數量），則資料編號1中記載的當前使用量50代表作業系統在資料編號1之時段所存取的IP位址之個數為50次。當前使用量可以平均數、中位數或其他統計量來代表。

在本實施例中，異常程度可代表異常指標。因此，在計算完異常時段中每一者的異常程度後，可取得異常時段中每一者的異常指標後。而後，在步驟S250，異常偵測模組350可根據異常指標對異常時段進行排行。以表3的資料為例，異常偵測模組350可根據異常指標（即：異常程度）的大小而將表1的資料依據資料編號4、資料編號1、資料編號2及資料編號3的順序排行異常時段。換言之，資料編號4對應的異常時段被排行為最前位。換言之，資料編號4所對應的異常時段可能最需要被使用者所關注。

在一些實施例中，異常指標可由多種異常程度組成的綜合異常程度所代表，且用於計算異常指標的步驟S240可進一步地分為如圖3所示的流程。圖3是依照本發明的實施例進一步地繪示圖2之步驟S240的流程圖。

在步驟S241，異常偵測模組350可基於對應於第一異常時段的歷史使用量、歷史變化程度以及當前使用量計算對應於第一時間間隔的第一異常程度，其中第一異常時段包含於如步驟S240所載的一或多個異常時段之中。具體來說，異常偵測模組350可根據公式（5）計算出第一異常時段的異常程度s （以下稱為「第一異常程度s₁ 」）。

以表4為例，表4記載了多個異常時段，其中對應資料編號1之時段為第一異常時段、對應資料編號2之時段為第二異常時段、對應資料編號3之時段為第三異常時段，以此類推。假設對應資料編號1之時段為第一異常時段（即：時段7:00~8:00，其所使用的時間單位為一小時），且第一時間間隔設定為以一小時為單位。異常偵測模組350可根據公式（5）計算出第一異常時段的第一異常程度s₁ = 7.7388。表4

接著，在步驟S243，異常偵測模組350可基於對應於第二異常時段的歷史使用量、歷史變化程度以及當前使用量計算對應於第一時間間隔的第二異常程度，其中第二時間間隔可與第一時間間隔相異。第二異常時段包含於如步驟S240所載的一或多個異常時段之中，且在一些實施例中，第一時間間隔可包括多個第二時間間隔。具體來說，異常偵測模組350可根據公式（5）計算出第二異常時段的異常程度s₂ ，其中異常程度s₂ 對應於第二時間間隔。在計算出異常程度s₂ 後，異常偵測模組350可透過公式（6）將對應於第二時間間隔的異常程度s₂ 轉換為對應於第一時間間隔的第二異常程度

。

… 公式（ 6 ）其中n 為第一時間間隔包括的第二時間間隔個數、s_2,i 為第一間間隔中的第i 個第二時間間隔的異常程度。

以表4為例，首先設定對應資料編號2之時段為第二異常時段，且第二時間間隔設定為以一分鐘為單位。異常偵測模組350可根據公式（5）計算出第二異常時段的異常程度s_2,1 = 0.0682，其中s_2,1 對應於第一時間間隔（以一小時為單位）中的第1個（即：i = 1）第二時間間隔（以一分鐘為單位）。基於相似的步驟，異常偵測模組350可根據公式（5）計算出多個對應於第二時間間隔的異常程度s_2,2 = 0.5200（對應於資料編號3）、…、s_2,60 = 0.4333（對應於資料編號61）。接著，異常偵測模組350可透過公式（6）將對應於第二時間間隔（例如：一分種）的多個異常程度s_2,1 、s_2,2 、…、s_2,60 轉換為對應於第一時間間隔（例如：一小時）的第二異常程度

，如公式（7）所示。

… 公式（ 7 ）

在計算出關聯於第一異常時段和第一時間間隔的第一異常程度s₁ ，以及關聯於第二異常時段和第一時間間隔的第二異常程度

後，在步驟S245，異常偵測模組350可基於第一異常程度s₁ 及第二異常程度

計算異常指標。具體來說，異常偵測模組350可根據公式（8）計算出異常指標。異常指標 =

… 公式（ 8 ）其中𝜔 ₁ 及𝜔 ₂ 為權重，可由使用者識其需求而調整，本發明不限於此。基此，由公式（8）所計算之異常指標可同時考慮不同的異常時段（例如：表4資料編號1的時段7:00~8:00，以及表4資料編號2的時段7:00~7:01）對應於相同時間間隔（例如：一小時）的異常程度。

在一些實施例中，異常指標可由多種異常程度組成的綜合異常程度所代表，且用於計算異常指標的步驟S240可進一步地分為如圖4所示的流程。圖4是依照本發明的另一實施例進一步地繪示圖2之步驟S240的流程圖。

在步驟S341，異常偵測模組350可基於對應於第一異常時段的歷史使用量、歷史變化程度以及當前使用量計算對應於第一操作特徵的第一異常程度，其中第一操作特徵可關聯於登入作業系統的次數、作業系統所存取之IP位址的數量以及作業系統所使用之通訊埠的數量等。

以表5的資料為例，異常偵測模組350可根據公式（5）計算出第一異常時段（例如：7:00~8:00）中對應第二操作特徵（操作特徵欄位中為「1」者）的第一異常程度y₁ = 7.7388。表5

其中操作特徵欄位中的「1」代表登入作業系統的次數，且操作特徵欄位中的「2」代表作業系統所存取之IP位址的數量。

接著，在步驟S343，異常偵測模組350可基於對應於第一異常時段的歷史使用量、歷史變化程度以及當前使用量計算對應於第二操作特徵的第二異常程度，其中第二操作特徵可關聯於登入作業系統的次數、作業系統所存取之IP位址的數量以及作業系統所使用之通訊埠的數量等。

以表5的資料為例，異常偵測模組350可根據公式（5）計算出第一異常時段（例如：7:00~8:00）中對應第二操作特徵（操作特徵欄位中為「2」者）的第二異常程度y₂ = 3.8。

在計算出關聯於第一操作特徵的第一異常程度y₁ 以及關聯於第二操作特徵的第二異常程度y₂ 後，在步驟345，異常偵測模組350可基於第一異常程度y₁ 及第二異常程度y₂ 計算異常指標。具體來說，異常偵測模組350可根據公式（9）計算出異常指標。異常指標 = max(y₁ , y₂ ) … 公式（ 9 ）基此，由公式（9）所計算之異常指標可同時考慮不同的操作特徵（例如：表4中，對應資料編號1的「登入作業系統的次數」，以及對應資料編號2的「作業系統所存取之IP位址的數量」）對應的異常程度。

綜上所述，本發明可根據一使用者過去操作作業系統時的行為資訊計算出該名使用者在每一時段之合理的使用量安全範圍，並可基於使用量安全範圍觀察該名使用者在未來的一時段中的行為是否存在異常。如此，本發明不需因所觀察時段改變而重新計算對應所觀察時段之使用量安全範圍。再者，使用量安全範圍可基於例假日動態地調整，故本發明的不會因例假日之原因所造成的使用者行為改變而發生誤判。另一方面，本發明可基於異常程度的不同而為多個異常時段進行排行，令使用者快速地了解作業系統發生異常的高峰期或作業系統在不同時間間隔的異常程度，從而幫助使用者判斷出發生異常的可能原因。

雖然本發明已以實施例揭露如上，然其並非用以限定本發明，任何所屬技術領域中具有通常知識者，在不脫離本發明的精神和範圍內，當可作些許的更動與潤飾，故本發明的保護範圍當視後附的申請專利範圍所界定者為準。

10:異常偵測的裝置100:處理單元20:異常偵測的方法300:儲存單元310:資料庫330:側錄模組350:異常偵測模組S210、S220、S230、S240、S250、S241、S243、S245、S341、S343、S345:步驟

圖1是依照本發明的實施例繪示一種異常偵測的裝置的示意圖。圖2是依照本發明的實施例繪示一種異常偵測的方法的流程圖。圖3是依照本發明的實施例進一步地繪示圖2之步驟的流程圖。圖4是依照本發明的另一實施例進一步地繪示圖2之步驟的流程圖。

20:異常偵測的方法

S210、S220、S230、S240、S250:步驟

Claims

一種異常偵測的方法，適用於偵測作業系統的異常操作，所述方法包括：根據所述作業系統的歷史資料流計算所述作業系統在一或多個時段的使用量安全範圍；根據所述作業系統的當前資料流及所述使用量安全範圍計算對應所述一或多個時段的異常比率；根據閾值及所述異常比率從所述一或多個時段中挑選出一或多個異常時段；根據所述歷史資料流及所述當前資料流計算所述一或多個異常時段的每一者的異常指標；以及根據所述異常指標排行所述作業系統的所述一或多個異常時段。
如申請專利範圍第1項所述的方法，其中所述歷史資料流包括所述作業系統在所述一或多個時段的歷史使用量及歷史變化程度，且所述當前資料流包括所述作業系統在所述一或多個時段的當前使用量。
如申請專利範圍第2項所述的方法，其中根據歷史資料流計算所述作業系統在一或多個時段的使用量安全範圍的步驟包括：根據所述歷史使用量、所述歷史變化程度以及所述一或多個時段的容忍係數計算所述使用量安全範圍。
如申請專利範圍第3項所述的方法，更包括：基於所述一或多個時段為例假日而調整所述一或多個時段的所述容忍係數。
如申請專利範圍第2項所述的方法，其中根據當前資料流及所述使用量安全範圍計算對應所述一或多個時段的異常比率的步驟包括：基於對應一或多個操作特徵之所述當前使用量在所述使用量安全範圍內的比例計算所述異常比率。
如申請專利範圍第2項所述的方法，其中根據所述歷史資料流及所述當前資料流計算所述一或多個異常時段的每一者的異常指標的步驟包括：基於對應於第一異常時段的所述歷史使用量、所述歷史變化程度以及所述當前使用量計算對應於第一時間間隔的第一異常程度；基於對應於第二異常時段的所述歷史使用量、所述歷史變化程度以及所述當前使用量計算對應於所述第一時間間隔的第二異常程度；以及基於所述第一異常程度及所述第二異常程度計算所述異常指標，其中所述第一異常時段及所述第二異常時段包含於所述一或多個異常時段中。
如申請專利範圍第2項所述的方法，其中根據所述歷史資料流及所述當前資料流計算所述一或多個異常時段的每一者的異常指標的步驟包括：基於對應於第一異常時段的所述歷史使用量、所述歷史變化程度以及所述當前使用量計算對應於第一操作特徵的第一異常程度；基於對應於所述第一異常時段的所述歷史使用量、所述歷史變化程度以及所述當前使用量計算對應於第二操作特徵的第二異常程度；以及基於所述第一異常程度及所述第二異常程度計算所述異常指標。
如申請專利範圍第2項所述的方法，更包括：以平均數及中位數的其中之一來代表所述當前使用量及所述歷史使用量；以及以標準差及變異數的其中之一來代表所述歷史變化程度。
如申請專利範圍第2項所述的方法，其中所述歷史使用量及所述當前使用量對應於一或多個操作特徵，且所述一或多個操作特徵關聯於下列的至少其中之一：登入作業系統的次數、作業系統所存取之網際網路協定位址的數量以及作業系統所使用之通訊埠的數量。
一種異常偵測的裝置，適用於偵測作業系統的異常操作，所述裝置包括：儲存單元，儲存多個模組；以及處理單元，耦接所述儲存單元，且存取並執行所述儲存單元所儲存的所述多個模組，所述多個模組包括：資料庫，記錄所述作業系統的歷史資料流；側錄模組，側錄所述作業系統的當前資料流；以及異常偵測模組，經配置以執行：根據所述歷史資料流計算所述作業系統在一或多個時段的使用量安全範圍；根據所述當前資料流及所述使用量安全範圍計算對應所述一或多個時段的異常比率；根據閾值及所述異常比率從所述一或多個時段中挑選出一或多個異常時段；根據所述歷史資料流及所述當前資料流計算所述一或多個異常時段的每一者的異常指標；以及根據所述異常指標排行所述作業系統的所述一或多個異常時段。
如申請專利範圍第10項所述的裝置，其中所述歷史資料流包括所述作業系統在所述一或多個時段的歷史使用量及歷史變化程度，且所述當前資料流包括所述作業系統在所述一或多個時段的當前使用量。
如申請專利範圍第11項所述的裝置，其中異常偵測模組更經配置以執行：根據所述歷史使用量、所述歷史變化程度以及所述一或多個時段的容忍係數計算所述使用量安全範圍。
如申請專利範圍第12項所述的裝置，其中異常偵測模組更經配置以執行：基於所述一或多個時段為例假日而調整所述一或多個時段的所述容忍係數。
如申請專利範圍第11項所述的裝置，其中異常偵測模組更經配置以執行：基於對應一或多個操作特徵之所述當前使用量在所述使用量安全範圍內的比例計算所述異常比率。
如申請專利範圍第11項所述的裝置，其中異常偵測模組更經配置以執行：基於對應於第一異常時段的所述歷史使用量、所述歷史變化程度以及所述當前使用量計算對應於第一時間間隔的第一異常程度；基於對應於第二異常時段的所述歷史使用量、所述歷史變化程度以及所述當前使用量計算對應於所述第一時間間隔的第二異常程度；以及基於所述第一異常程度及所述第二異常程度計算所述異常指標，其中所述第一異常時段及所述第二異常時段包含於所述一或多個異常時段中。
如申請專利範圍第11項所述的裝置，其中異常偵測模組更經配置以執行：基於對應於第一異常時段的所述歷史使用量、所述歷史變化程度以及所述當前使用量計算對應於第一操作特徵的第一異常程度；基於對應於所述第一異常時段的所述歷史使用量、所述歷史變化程度以及所述當前使用量計算對應於第二操作特徵的第二異常程度；以及基於所述第一異常程度及所述第二異常程度計算所述異常指標。
如申請專利範圍第11項所述的裝置，其中異常偵測模組更經配置以執行：以平均數及中位數的其中之一來代表所述當前使用量及所述歷史使用量；以及以標準差及變異數的其中之一來代表所述歷史變化程度。
如申請專利範圍第11項所述的裝置，其中所述歷史使用量及所述當前使用量對應於一或多個操作特徵，且所述一或多個操作特徵關聯於下列的至少其中之一：登入作業系統的次數、作業系統所存取之網際網路協定位址的數量以及作業系統所使用之通訊埠的數量。