特許 7570482 サイバー脅威フレームワークに基づいて時系列データを探知及び解析する方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】

(24)【登録日】2024-10-10

(45)【発行日】2024-10-21

(54)【発明の名称】サイバー脅威フレームワークに基づいて時系列データを探知及び解析する方法

(51)【国際特許分類】

   G06F 21/55 20130101AFI20241011BHJP

【ＦＩ】

G06F21/55 320

【請求項の数】 12

(21)【出願番号】P 2023155443

(22)【出願日】2023-09-21

【審査請求日】2023-09-21

(31)【優先権主張番号】10-2023-0088474

(32)【優先日】2023-07-07

(33)【優先権主張国・地域又は機関】KR

(73)【特許権者】

【識別番号】522192920

【氏名又は名称】アストロンセキュリティー

【氏名又は名称原語表記】ＡＳＴＲＯＮＳＥＣＵＲＩＴＹ

(74)【代理人】

【識別番号】110002789

【氏名又は名称】弁理士法人ＩＰＸ

(72)【発明者】

【氏名】チョ・グンソク

(72)【発明者】

【氏名】クァク・ドンイク

【審査官】青木 重徳

(56)【参考文献】

【文献】特開２０２２－１３１６２１（ＪＰ，Ａ）

【文献】特開２０２１－８２０８３（ＪＰ，Ａ）

【文献】米国特許出願公開第２０２２／０３８５６７８（ＵＳ，Ａ１）

【文献】韓国公開特許第１０－２０１４－０１３９３８４（ＫＲ，Ａ）

【文献】韓国登録特許第１０－２５１６８１９（ＫＲ，Ｂ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５５

(57)【特許請求の範囲】

【請求項1】

サイバー脅威フレームワークに基づいて時系列データを探知及び解析する方法であって、
クラウド環境に保存された複数のイベントを含むイベントセットの中、予め定められた条件により少なくとも一つの対象ＡＰＩイベントを決定するイベントの決定段階；
予め保存された脅威行為プロファイルに基づいて、上記の対象ＡＰＩイベントを脅威行為解析マトリックスに含まれる少なくとも一つの技法に対応される脅威行為の類型にマッピングする、マッピング段階－上記の脅威行為解析マトリックスは複数の戦術グループ及び上記の戦術グループに含まれる少なくとも一つの技法で構成される－；
上記の脅威行為の類型に基づいて、上記の対象ＡＰＩイベントの中の少なくとも一つを組み合わせ、少なくとも一つの脅威シナリオを生成する、シナリオの生成段階；
データベースに基づいて、上記の脅威シナリオの一致度及び危険度を算出する、数値の算出段階；
上記の一致度及び上記の危険度の中の少なくとも一つに基づいて、上記の脅威シナリオの危険グレードを決定する、危険グレードの決定段階；
上記の危険グレードに基づいて、上記の脅威シナリオに対応される予測脅威行為を決定する、脅威行為の決定段階；及び
上記の予測脅威行為に基づいて、プロンプトを生成し提供する、ソリューションの提供段階；を含むことを特徴とする、方法。

【請求項2】

上記のイベントの決定段階は、
上記のイベントセットを地域、時間、アカウント、行為の類型の中の少なくとも一つを含む分類条件に従ってフィルタリングし、上記の対象ＡＰＩイベントを決定することを特徴とする、
請求項１に記載の方法。

【請求項3】

上記のマッピング段階は、
上記の脅威行為プロファイルに基づいて、上記の対象ＡＰＩイベントと対応される脅威行為の類型及び個別脅威行為をマッピングすることを特徴とする、
請求項１に記載の方法。

【請求項4】

上記の数値の算出段階は、
上記のデータベースに既に保存された過去シナリオと上記の脅威シナリオを比べて、上記の過去シナリオに含まれた脅威行為の類型と上記の脅威シナリオに含まれた対象ＡＰＩイベントの間の一致度を算出する、一致度の算出段階を含むことを特徴とする、
請求項１に記載の方法。

【請求項5】

上記の数値の算出段階は、
メインサーバーは上記の脅威シナリオに含まれた脅威行為の類型に従って上記の脅威シナリオの危険度を算出する、危険度の算出段階を含むことを特徴とする、
請求項１に記載の方法。

【請求項6】

上記の危険グレードの決定段階は、
上記の一致度及び上記の危険度に基づいて算出される総合危険数値に基づいて上記の脅威シナリオの危険グレードを決定することを特徴とする、
請求項１に記載の方法。

【請求項7】

上記のソリューションの提供段階は、
上記の決定された予測脅威行為に対応されるセキュリティ強化ソリューションプロンプトを生成し提供することを特徴とする、
請求項１に記載の方法。

【請求項8】

上記のソリューションの提供段階は、
上記の決定された予測脅威行為に対応されるシステム復旧プロンプトを生成し提供することを特徴とする、
請求項１に記載の方法。

【請求項9】

上記のソリューションの提供段階は、
上記の決定された予測脅威の行為及び上記の脅威シナリオに対応される解析プロンプトを生成し提供することを特徴とする、
請求項１に記載の方法。

【請求項10】

上記のソリューションの提供段階は、
上記の決定された予測脅威の行為に対応される教育プロンプトを生成し提供することを特徴とする、
請求項１に記載の方法。

【請求項11】

上記の危険グレードの決定段階は、
上記の一致度及び上記の危険度にそれぞれの加重値を反映して算出される総合危険数値に基づいて上記の脅威シナリオの危険グレードを決定することを特徴とする、
請求項６に記載の方法。

【請求項12】

上記の脅威行為の決定段階は、
上記の危険グレードに基づいて複数の上記の脅威シナリオの中のいずれか一つを選択する、選択段階；
上記の選択された脅威シナリオと一致度が最も高い過去シナリオを抽出する、抽出段階；
上記の抽出された過去シナリオと上記の選択された脅威シナリオに含まれた対象ＡＰＩイベントを比べて予測脅威の行為を決定する、決定段階；を含むことを特徴とする、
請求項１に記載の方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明はサイバー脅威フレームワークに基づいて時系列データを探知及び解析する方法に関するものであり、より詳しく説明すると、時系列的に発生するＡＰＩイベントデータに基づいて、仮想の脅威シナリオを生成し、これを過去の記録と比べてサイバー脅威を予め解析及び対処できるようにする方法に関するものである。

【背景技術】

【0002】

近来に入って、新型または変種などの悪性コードを中心に次第に高度化しているサイバーセキュリティ脅威の被害が大きくなっている。特に、サーバーの脆弱性を用いた攻撃はゼロデイ攻撃に進行されており、該当の攻撃はウェブアプリケーションの脆弱性を通じて簡単かつ迅速にサーバーに浸透できる方式である。

【0003】

このような被害を少しでも減らし早期に対応するために、多次元のパタンの構成及び各種の複合分析などを通じて対応技術に対する高度化を並行しているが、最近のサイバー攻撃は制御範囲内で適切に対応されるよりも、むしろ日々脅威が増加している傾向である。

【0004】

このようなサイバー攻撃は従来のＩＣＴ（Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ）基盤の施設を超え、我々の生活に直接影響を与える金融、交通、環境、健康などにまで脅威を与えている。

【0005】

現存するほとんどのサイバーセキュリティ脅威を探知し対応する基盤技術の中の一つはサイバー攻撃または悪性コードに関するパタンデータベースを事前に生成しデータの流れが必要なところに適切なモニタリング技術を活用することである。

【0006】

このようなサイバーセキュリティ脅威の探知及び対応技術はモニタリングされたパタンと一致するデータの流れまたはコードが探知されると、脅威を識別し対応する方式に基づいて発展してきた。

【0007】

しかし、このような従来の技術は事前に確保されたパタンを一致すると、迅速かつ正確に探知することができるという長所があるが、パタンが確保されなかったり、迂回する新型、変種の脅威の場合、解析するのに非常に時間が長く所要される問題点があった。

【0008】

これに対する先行技術として、大韓民国登録特許第１０－２４１９４５１号に「人工知能に基盤する脅威解析自動化システム及び方法」が開示されている。

【0009】

上記の先行技術は、人工知能に基盤する脅威解析自動化システム及び方法に関するものであって、ＡＩ学習モデルを用いてテンプレート基盤のプレイブックを生成するプレイブック自動生成モジュール、上記のプレイブック自動生成モジュールで生成されたプレイブックに対する有効性を検証し管理するプレイブックの検証及び管理モジュール、上記のプレイブックの検証及び管理モジュールにより検証されたプレイブックを保存するプレイブックＤＢ、及び上記のプレイブックＤＢで探知イベントに対応するためプレイブックをマッチングして自動実行するプレイブック実行モジュールを含めて、プレイブックを自動に生成及び検証し、セキュリティ管制センターの性格に合うようにプレイブックを強化する業務を自動化することにより、セキュリティ管制人材（管制員）が重要なセキュリティイベントのみに集中して解析及び対応できる環境を設けることができることを特徴にする。

【0010】

しかし、このような先行技術の場合、生成されたプレイブックに対してのみ解析
及び対応を行うため、日々変化し新しくなるサイバーセキュリティ脅威に対応できないという限界性が存在する。

【先行技術文献】

【特許文献】

【0011】

【文献】大韓民国登録特許第１０－２４１９４５１号

【発明の概要】

【発明が解決しようとする課題】

【0012】

本発明は大量のサイバーセキュリティデータを解析し、攻撃トレンド、技法（テクニック）、脅威方式に対する洞察力を提供し対応できるようにする目的がある。

【課題を解決するための手段】

【0013】

本発明のサイバー脅威フレームワークに基づいて時系列データを探知及び解析する方法は、クラウド環境に保存された複数のイベントを含むイベントセットの中、予め定められた条件により少なくとも一つの対象ＡＰＩイベントを決定するイベントの決定段階、予め保存された脅威行為プロファイルに基づいて、上記の対象ＡＰＩイベントを脅威行為解析マトリックスに含まれる少なくとも一つの技法に対応される脅威行為の類型にマッピングするマッピング段階－上記の脅威行為解析マトリックスは複数の戦術グループ及び上記の戦術グループに含まれる少なくとも一つの技法で構成される－、上記の脅威行為の類型に基づいて、上記の対象ＡＰＩイベントの中の少なくとも一つを組み合わせ、少なくとも一つの脅威シナリオを生成するシナリオの生成段階、データベースに基づいて、上記の脅威シナリオの一致度及び危険度を算出する数値の算出段階、上記の一致度及び上記の危険度の中の少なくとも一つに基づいて上記の脅威シナリオの危険グレードを決定する危険グレードの決定段階、上記の危険グレードに基づいて上記の脅威シナリオに対応される予測脅威行為を決定する脅威行為の決定段階及び上記の予測脅威行為に基づいてプロンプトを生成し提供するソリューションの提供段階を含むことを特徴とする。

【0014】

本発明の一実施例において、上記のイベントの決定段階は、上記のイベントセットを地域、時間、アカウント、行為の類型の中の少なくとも一つを含む分類条件に従ってフィルタリングし、上記の対象ＡＰＩイベントを決定することを特徴とすることができる。

【0015】

本発明の一実施例において、上記のマッピング段階は、上記の脅威行為プロファイルに基づいて、上記の対象ＡＰＩイベントと対応される脅威行為の類型及び個別脅威行為をマッピングすることを特徴とすることができる。

【0016】

本発明の一実施例において、上記の数値の算出段階は、上記のデータベースに既に保存された過去シナリオと上記の脅威シナリオを比べて、上記の過去シナリオに含まれた脅威行為の類型と上記の脅威シナリオに含まれた対象ＡＰＩイベントの間の一致度を算出する、一致度の算出段階を含むことを特徴とすることができる。

【0017】

本発明の一実施例において、上記の数値の算出段階は、メインサーバーは上記の脅威シナリオに含まれた脅威行為の類型に従って上記の脅威シナリオの危険度を算出する、危険度の算出段階を含むことを特徴とすることができる。

【0018】

本発明の一実施例において、上記の危険グレードの決定段階は、上記の一致度及び上記の危険度に基づいて算出される総合危険数値に基づいて上記の脅威シナリオの危険グレードを決定することを特徴とすることができる。

【0019】

本発明の一実施例において、上記のソリューションの提供段階は、上記の決定された予測脅威行為に対応されるセキュリティ強化ソリューションプロンプトを生成し提供することを特徴とすることができる。

【0020】

本発明の一実施例において、上記のソリューションの提供段階は、上記の決定された予測脅威行為に対応されるシステム復旧プロンプトを生成し提供することを特徴とすることができる。

【0021】

本発明の一実施例において、上記のソリューションの提供段階は、上記の決定された予測脅威の行為及び上記の脅威シナリオに対応される解析プロンプトを生成し提供することを特徴とすることができる。

【0022】

本発明の一実施例において、上記のソリューションの提供段階は、上記の決定された予測脅威の行為に対応される教育プロンプトを生成し提供することを特徴とすることができる。

【0023】

本発明の一実施例において、上記の危険グレードの決定段階は、上記の一致度及び上記の危険度にそれぞれの加重値を反映し算出される総合危険数値に基づいて上記の脅威シナリオの危険グレードを決定することを特徴とすることができる。

【0024】

本発明の一実施例において、
上記の脅威行為の決定段階は、
上記の危険グレードに基づいて複数の上記の脅威シナリオの中のいずれか一つを選択する選択段階、上記の選択された脅威シナリオと一致度が最も高い過去シナリオを抽出する抽出段階、上記の抽出された過去シナリオと上記の選択された脅威シナリオに含まれた対象ＡＰＩイベントを比べて予測脅威の行為を決定する決定段階を含むことを特徴とすることができる。

【発明の効果】

【0025】

本発明のサイバー脅威フレームワークに基づいて時系列データを探知及び解析する方法によれば、

【0026】

大量のサイバーセキュリティデータを解析し、攻撃トレンド、技法、脅威方式に対する洞察力を提供し対応できるようにする長所がある。

【図面の簡単な説明】

【0027】

【図1】本発明のネットワーク環境を示す概念図である。

【図2】本発明の脅威行為の類型及び個別脅威行為を示す表である。

【図3】本発明の探知及び解析方法を示すフローチャートである。

【図4】本発明のマッピング結果を示す表である。

【図5】本発明の脅威シナリオの生成の例示を示す概念図である。

【図6】本発明の数値の算出段階を示すフローチャートである。

【図7】本発明の数値及びグレードの算出の例示を示す概念図である。

【図8】本発明の脅威行為の決定の例示を示す概念図である。

【図9】本発明の脅威行為の決定段階を示すフローチャートである。

【発明を実施するための形態】

【0028】

以下、添付された図面を参考に、本明細書に開示された実施例を詳しく説明するが、図面符号に関係なく同一であったり、類似な構成要素は同一な参照番号を付与し、これに対する重複される説明は省略するようにする。また、本明細書に開示された実施例を説明するのにおいて、関連される公知技術に対する詳しい説明が本明細書に開示された実施例の要旨を不明瞭にすると判断される場合、その詳しい説明を省略する。

【0029】

第１、第２などのような序数を含む用語は様々な構成要素を説明するのに用いることができるが、上記の構成要素は上記の用語により限定されない。上記の用語は一つの構成要素を他の構成要素から区別する目的にのみ用いられる。

【0030】

単数の表現は文脈上明白に異なる意味を持たない限り、複数の表現を含む。

【0031】

本出願で、説明される各段階は特別な因果関係により羅列された順序に従って行われるべきである場合を除いて、羅列された順序を関係なく行われることができる。

【0032】

本出願で、「含む」または「有する」などの用語は明細書上に記載された特徴、数字、段階、動作、構成要素、部品またはこれらを組み合わせたものが存在することを指定しようとするものであって、一つまたはそれ以上の他の特徴若しくは数字、段階、動作、構成要素、部品またはこれらを組み合わせたものの存在または付加可能性を予め排除しないものと理解するべきである。

【0033】

【0034】

以下、添付された図面を参考にし、本発明について説明する。

【0035】

図１は本発明のネットワーク環境を示す概念図であり、図２は本発明の脅威行為の類型及び個別脅威行為を示す表である。

【0036】

図１及び図２と一緒に説明すると、本発明のサイバー脅威フレームワークに基づいて時系列データを探知及び解析するシステムはクラウドサーバー１０、データベース２０、ユーザー端末３０、ＡＩエンジン４０、メインサーバー５０を含むことができる。

【0037】

この際、クラウドサーバー１０、データベース２０、ユーザー端末３０、ＡＩエンジン４０、メインサーバー５０は通信、すなわちネットワークに基づいてお互いに連結されることができる。ここで、ネットワークは通信方式が制限されなく、ネットワークが含むことができる通信網（一例に、移動通信網、有線インターネット、無線インターネット、放送網）を活用する通信方式と電気信号（アナログ信号、デジタル信号、シリアル信号、Ｐｕｌｓｅ Ｗｉｄｔｈ Ｍｏｄｕｌａｔｉｏｎ）だけではなく、近距離無線通信も含まれることができる。

【0038】

クラウドサーバー１０は企業内にサーバーと保存装置を設けなく、外部にアウトソーシングして用いるサービスであるクラウドサービスのためのサーバーを意味し、ここでクラウドサーバー１０はパブリック（開放型）クラウドのためのパブリックデータセンター（Ａｍａｚｏｎ ＡＷＳ、Ｍｉｃｒｏｓｏｆｔ Ａｚｕｒｅ）及びプライベート（閉鎖型）クラウドのための社内データセンターを含むことができる。

【0039】

このようなクラウドサーバー１０は命令、コード、ファイル、コンテンツ、サービスなどを提供するコンピューター装置または複数のコンピューター装置に具現されることができる。クラウドサーバー１０はシステムを構築する他のサーバー及び端末とネットワークを通じて通信し情報を送受信することができる。

【0040】

このような、クラウドサーバー１０には該当のサーバーを用いるユーザーのすべてのデータ及びインフラが保存でき、この際、特定のユーザー、またはユーザーグループはいずれかのクラウドサーバー１０のみに用いることもできるが、複数のクラウドサーバー１０を用いることもできる。

【0041】

この際、望ましくは複数のクラウドサーバー１０が用いられる場合、複数のクラウドサーバー１０に分散保存されたデータ管理のための統合管制サーバーが別に具備することができ、より望ましくは後述するメインサーバー５０が統合管制サーバーの役割を行うことができる。

【0042】

ユーザー端末３０はクラウドサーバー１０に保存された特定企業や団体のデータに接続しデータを読み書く主体である。この際、該当のクラウドサーバー１０に接続が許容されたユーザー端末３０の場合、一般的に企業や団体、グループの構成員であることができ、接続が許容されないユーザーが該当の企業、団体、グループのクラウドサーバー１０に接続する場合、これをサイバー脅威や攻撃、すなわちハッキングと称するようになる。

【0043】

このようなユーザー端末３０は命令、コード、コンテンツ、サービスなどを提供するコンピューター装置または複数のコンピューター装置に具現することができる。クラウドサーバー１０はシステムを構築する他のサーバー及び端末とネットワークを通じて通信し、情報を送受信することができる。

【0044】

データベース２０はデータの保存のための保存媒体としての役割を行い、望ましく本発明でのデータベース２０とは過去に発生したサイバー脅威、すなわち、ハッキングのシナリオを保存することができる。

【0045】

このようなデータベース２０は命令、コード、ファイル、コンテンツ、サービスなどを提供するコンピューター装置または複数のコンピューター装置に具現することができる。また、データベース２０はシステムを構築する他のサーバー及び端末とネットワークを通じて通信し、情報を送受信することができる。

【0046】

さらに、該当のサイバー脅威に対して防御者（管理者）が攻撃を予防し探知するために取ることができる行動（防御策）や公開的に名称が付与されたハッキング団体に対する情報と攻撃技法（テクニック）を分析したデータを保存することができる。

【0047】

ここでシナリオとはサイバー攻撃を行うための攻撃者が段階的に行う作業をプロセス化したもので、各段階別に攻撃者によって起こされる行動を時系列的に羅列したものである。

【0048】

したがって、基本的にデータベース２０には過去に起こったシナリオ、すなわち過去シナリオが保存されることができるが、望ましくここでシナリオはＭＩＴＲＥ Ａｔｔ＆ＣＫ（Ａｄｖｅｒｓａｒｉａｌ Ｔａｃｔｉｃｓ、 Ｔｅｃｈｎｉｑｕｅｓ、ａｎｄ Ｃｏｍｍｏｎ Ｋｎｏｗｌｅｄｇｅ）に保存されたキルチェーン（ｋｉｌｌ ｃｈａｉｎ）であることができる。具体的に、ＭＩＴＲＥ ＡＴＴ＆ＣＫはＭＩＴＲＥ Ｃｏｒｐｏｒａｔｉｏｎが制作したサイバーセキュリティ関連知識ベースで、サイバー攻撃者の目標及び各段階に対するカテゴリーを含む戦術グループ（Ｔａｃｔｉｃ）と各戦術グループ（Ｔａｃｔｉｃ）に対する具体的な方法である技法（Ｔｅｃｈｎｉｑｕｅ）で構成されることができる。

【0049】

したがって、脅威行為は少なくとも一つの戦術グループ（Ｔａｃｔｉｃ）に含まれて、戦術グループ（Ｔａｃｔｉｃ）に含まれる少なくとも一つの技法（Ｔｅｃｈｎｉｑｕｅ）に対応される。

【0050】

また、このようなデータベース２０に保存されたシナリオは実際サイバー攻撃の事例を観察した後、攻撃者が用いた悪意的の行為（Ａｄｖｅｒｓａｒｙ ｂｅｈａｖｉｏｒｓ）に対して、戦術グループ（Ｔａｃｔｉｃ）と技術（Ｔｅｃｈｎｉｑｕｅ）の観点で解析し、様々な攻撃グループの攻撃技法に対する情報を分類しリスト化したデータである。詳しくに、シナリオは攻撃者が攻撃の目標である少なくとも一つの戦術グループ（Ｔａｃｔｉｃ）を達成するための方法で、各段階である少なくとも一つの技法（Ｔｅｃｈｎｉｑｕｅ）を含む。例えば、技法（Ｔｅｃｈｎｉｑｕｅ）に対応される脅威行為の類型はイーメールスピアフィッシング（Ｓｐｅａｒｐｈｉｓｈｉｎｇ ｖｉａ Ｅｍａｉｌ）、ドライブバイ攻撃（Ｄｒｉｖｅ－ｂｙ Ｃｏｍｐｒｏｍｉｓｅ）、認証情報のダンプ（Ｃｒｅｄｅｎｔｉａｌ Ｄｕｍｐｉｎｇ）

【0051】

ＭＩＴＭ攻撃（Ｍａｎ－ｉｎ－ｔｈｅ－Ｍｉｄｄｌｅ）及び代替プロトコルを通じた命令及び制御（Ｃｏｍｍａｎｄ ａｎｄ Ｃｏｎｔｒｏｌ ｏｖｅｒ ａｌｔｅｒｎａｔｉｖｅ ｐｒｏｔｏｃｏｌ）などがありうる。

【0052】

ＡＩエンジン４０は従来の人工知能（ＡＩ）エンジンを意味するもので、従来に提供される様々なＡＩエンジン４０を意味することができる。このようなＡＩエンジン４０はデータフィルタリングやマッピングの機能を提供することができる。

【0053】

ＡＩエンジン４０は命令、コード、ファイル、コンテンツ、サービスなどを提供するコンピューター装置または複数のコンピューター装置に具現することができる。また、ＡＩエンジン４０はシステムを構築する他のサーバー及び端末とネットワークを通じて通信し情報を送受信することができる。

【0054】

メインサーバー５０は上述するように複数のクラウドサーバー１０に対する統合管制の機能を行うと同時にサイバー脅威に対する探知及び解析を行って許可されたユーザー端末３０、すなわち、防御者（管理者）のユーザー端末３０に様々なプロンプトを提供する機能を行う。

【0055】

このようなメインサーバー５０は命令、コード、ファイル、コンテンツ、サービスなどを提供するコンピューター装置または複数のコンピューター装置に具現することができる。このようなメインサーバー５０はシステムを構築する他のサーバー及び端末とネットワークを通じて通信し情報を送受信することができる。

【0056】

図３は本発明の探知及び解析方法を示すフローチャートであり、図４は本発明のマッピングの結果を示す表であって、図５は本発明の脅威シナリオの生成の例示を示す概念図である。図６は本発明の数値算出段階を示すフローチャートであり、図７は本発明の数値及びグレードの算出の例示を示す概念図である。図８は本発明の脅威行為の決定の例示を示す概念図であり、図９は本発明の脅威行為の決定段階を示すフローチャートである。

【0057】

図３ないし図９を参考に説明すれば、本発明のサイバー脅威フレームワークに基づいて時系列データを探知及び解析する方法はイベントの決定段階Ｓ１０、マッピング段階Ｓ２０、シナリオの生成段階Ｓ３０、数値の算出段階Ｓ４０、危険グレードの決定段階Ｓ５０、脅威行為の決定段階Ｓ６０及びソリューションの提供段階Ｓ７０を含むことができる。

【0058】

イベントの決定段階Ｓ１０でメインサーバー５０はクラウドサーバー１０を通じて構築されたクラウド環境に保存された複数のイベントを含むイベントセットの中の予め定められた条件に従って少なくとも一つの対象ＡＰＩイベントを決定することができる。

【0059】

クラウドサーバー１０には該当の企業や団体、グループのウェブページやアプリケーションにおいてユーザー端末３０により発生したすべての行動（イベント）がＡＰＩ形態に保存されるが、この際、ユーザー端末３０により発生した連続的な複数のイベントによりイベントセットが生成される。

【0060】

したがって、クラウド環境には複数のイベントを含むイベントセットが保存できるし、この際、保存されたイベントセットに含まれたイベントの中で予め定められた条件に従って、探知及び解析の対象になる対象ＡＰＩイベントが決定できる。

【0061】

この際、望ましくはイベントセットの中で、予め定められた条件によりフィルタリングが行われて複数の対象ＡＰＩイベントが決定できる。

【0062】

一実施例として、上記の複数のイベントセットを地域、時間、アカウント、行為の類型の中の少なくとも一つを含む分類条件に従ってフィルタリングし、上記の対象ＡＰＩイベントを決定することができる。

【0063】

ここで、地域はＡＰＩが生成された地域ということができ、ＡＰＩを生成したＩＰに基づいて地域を把握することができる。したがって、保存されたイベントセットを生成地域によってフィルタリングし、特定地域で生成されたイベントだけを対象ＡＰＩイベントとして決定することができる。

【0064】

時間はＡＰＩが生成された時間ということができ、保存されたイベントセットを生成時間帯に従ってフィルタリングし、特定の時間帯に生成されたイベントだけを対象ＡＰＩイベントとして決定することができる。

【0065】

アカウントはＡＰＩが生成されたアカウントということができ、該当のウェブサイトやアプリケーションに接続し行動を行ったアカウントの中の特定のアカウントだけをフィルタリングし、イベントセットの中で特定アカウントで生成されたイベントだけを対象ＡＰＩイベントとして決定することができる。

【0066】

行為の類型は上述した脅威行為の類型と対応されるものとして、特定な行為の類型を含むイベントをフィルタリングし、対象ＡＰＩイベントとして決定することができる。例えば、図２で示すように、行為の類型としてｄｅｆｅｎｓｅ ｅｖａｓｉｏｎ、すなわち、防御回避の行為の類型を含むイベントをフィルタリングすることができる。

【0067】

より詳しい実施例として、該当の脅威行為の類型（ｄｅｆｅｎｓｅ ｅｖａｓｉｏｎ）に含まれた個別脅威行為を含むイベントだけをフィルタリングし、対象ＡＰＩイベントを決定することができる。

【0068】

続いて、マッピング段階Ｓ２０でメインサーバー５０はデータベース２０に予め保存された脅威行為プロファイルに基づいて、上記の対象ＡＰＩイベントを脅威行為解析マトリックスに含まれる少なくとも一つの技法に対応される脅威行為の類型にマッピングする。ここで、脅威行為の解析マトリックスはＭＩＴＲＥ Ｃｏｒｐｏｒａｔｉｏｎでサイバー脅威に対応するために開発されたサイバーセキュリティ関連の知識ベースであるＭＩＴＲＥ ＡＴＴ＆ＣＫということができ、より望ましくはＭＩＴＲＥ ＡＴＴ＆ＣＫの核心構成要素である戦術グループ（Ｔａｃｔｉｃ）と技法（Ｔｅｃｈｎｉｑｕｅ）が結合されたＭａｔｒｉｘということができる。

【0069】

ここでマッピング（ｍａｐｐｉｎｇ）とは対照ＡＰＩイベントと脅威行為の類型をお互いに対応させる過程であり、より望ましくは対象ＡＰＩイベントと対応される脅威行為の類型を探して連結する過程といえる。

【0070】

より詳しく説明すれば、脅威行為のプロファイルに基づいて上記の対象ＡＰＩイベントと対応される脅威行為の類型及び個別脅威行為をマッピングすることができる。

【0071】

ここで、脅威行為のプロファイルというのは、上述したデータベース２０に保存された脅威行為の類型、そして該当の脅威行為の類型に属する個別脅威行為を含む。

【0072】

したがって、対象ＡＰＩイベントとマッチングされる個別脅威行為がある場合、該当の個別脅威行為を含む脅威行為の類型が対象ＡＰＩイベントとマッピングすることができる。

【0073】

この際、一つの個別脅威行為が一つの脅威行為の類型だけに含まれることができるが、複数の脅威行為の類型に特定の脅威行為の類型がすべて含まれることができ、該当の対象ＡＰＩイベントがマッピングできる個別脅威行為は望ましく複数個であることができる。

【0074】

したがって、望ましくは上述したＡＩエンジン４０を用いて対象ＡＰＩイベントの脅威行為の類型をマッピングすることによって、対象ＡＰＩイベントと対応できるすべての脅威行為の類型をマッピングすることができる。

【0075】

次に、シナリオの生成段階Ｓ３０でメインサーバー５０は上記の脅威行為の類型に基づいて、上記の対象ＡＰＩイベントの中の少なくとも一つを組み合わせて、少なくとも一つの脅威シナリオを生成する。

【0076】

言い換えれば、お互いに異なる脅威行為の類型を有する対象ＡＰＩイベントを組み合わせて、脅威シナリオを生成することで、上述したデータベース２０に保存されたシナリオのように脅威行為の類型を組み合わせるものといえる。

【0077】

この際、指定された対象ＡＰＩイベントの中の少なくとも一つを組み合わせて可能なすべての脅威シナリオを生成することができ、この際、脅威シナリオは少なくとも一つの対象ＡＰＩイベントに対応される脅威行為の類型の組み合わせとすることができる。

【0078】

したがって、望ましく脅威シナリオはＡＩエンジン４０を用いて生成されることができ、可能なすべての組み合わせの脅威シナリオを迅速に生成することができる。

【0079】

数値の算出段階Ｓ４０でメインサーバー５０は、データベース２０に基づいて上記の脅威シナリオの一致度及び危険度を算出する。

【0080】

望ましくは、データベース２０に保存された過去シナリオと脅威シナリオの間の一致度を算出し、データベース２０に保存された脅威行為の類型別の危険度により、脅威シナリオの危険度を算出する機能を行う。

【0081】

この際、危険シナリオの危険度というのは、脅威シナリオに含まれた複数の脅威行為の類型のそれぞれに対する危険度の中の最大値であることができる。

【0082】

一実施例として、数値の算出段階Ｓ４０は一致度の算出段階Ｓ４１と危険度の算出段階Ｓ４２を含むことができる。

【0083】

一致度の算出段階Ｓ４１でメインサーバー５０はデータベース２０に既に保存された過去のシナリオと上記の脅威シナリオを比べて、上記の過去シナリオに含まれた脅威行為の類型と上記の脅威シナリオに含まれた対象ＡＰＩイベントの間の一致度を算出する。

【0084】

言い換えれば、データベース２０に保存された過去シナリオは攻撃者が過去に行った攻撃、すなわち脅威行為のシナリオを意味し、言い換えれば、過去に攻撃者が実際に行った脅威行為の類型及び該当の脅威行為の類型に含まれる個別脅威行為が時系列的に羅列されていることを意味する。

【0085】

したがって、過去シナリオには複数の脅威行為の類型が含まれており、脅威シナリオにも少なくとも一つの対象ＡＰＩイベントが含まれている。したがって、過去シナリオと脅威シナリオの間の一致度の算出によって脅威シナリオの中のデータベース２０に保存された過去シナリオと一致度が最も高い脅威シナリオを把握することができる。

【0086】

この際、一致度は数値化され表示でき、過去シナリオと脅威シナリオの間の一致率が一致度として算出されることができる。

【0087】

ここで、望ましくはデータベース２０に保存されたすべての過去シナリオと脅威シナリオの一致度を算出し、算出された一致度の最大値が脅威シナリオの一致度として把握することができる。

【0088】

危険度の算出段階Ｓ４２でメインサーバー５０は上記の脅威シナリオに含まれた脅威行為の類型によって上記の脅威シナリオの危険度を算出することができる。

【0089】

ここで、脅威シナリオの危険度というのは、該当の脅威シナリオに含まれた脅威行為の類型の危険度の中の最大値であることができる。

【0090】

したがって望ましく危険度を算出することにおいて、データベース２０に含まれたすべての脅威行為の類型の危険度を予め設定する過程が行われることができる。

【0091】

以後、該当の脅威シナリオに含まれた脅威行為の類型をデータベース２０と比較勝利し、脅威シナリオに含まれた脅威行為の類型に対するすべての危険度を把握し、その中の最大値を該当の脅威シナリオの危険度として算出することができる。

【0092】

一例に、脅威シナリオが初期接近（ｉｎｉｔｉａｌ ａｃｃｅｓｓ）までの脅威行為の類型だけを含む場合、危険度が相対的に低いが、脅威シナリオが資格証明アクセス（ｃｒｅｄｅｎｔｉａｌ ａｃｃｅｓｓ）を含む場合、初期接近だけを含む脅威シナリオに比べて危険度が高いことができる。

【0093】

危険グレードの決定段階Ｓ５０でメインサーバー５０は上記の一致度及び上記の危険度の中の少なくとも一つに基づいて、上記の脅威シナリオの危険グレードを決定することができる。

【0094】

該当の脅威シナリオが過去シナリオとどれだけ一致するか（一致度）、脅威シナリオに含まれた脅威行為の類型の危険度がどれだけ高いのか（危険度）によって危険グレードが決定できる。

【0095】

ここで、脅威シナリオに対して算出された一致度及び危険度を用いて、危険グレードを決定する方法には別の制限を設けないことを基本にし、望ましくは一致度及び危険度の中の少なくとも一つが、望ましくは一致度及び危険度が高いほど危険グレードが高く設定されることができる。

【0096】

この際、危険グレードの決定段階Ｓ５０では一致度及び危険度の中の少なくとも一つを基に、脅威シナリオの危険グレードを決定することができるが、より望ましくは一致度及び危険度を基に，言い換えれば、一致度及び危険度をすべて反映し危険シナリオの危険グレードを決定することができる。

【0097】

一実施例として、上記の一致度及び上記の危険度を基に、総合危険数値を算出し、総合危険数値に基づいて、上記の脅威シナリオの危険グレードを決定することができる。

【0098】

この際、総合危険数値の算出において、一致度及び危険度の加重値を同等に設定することができるが、一実施例として、上記の一致度及び上記の危険度にそれぞれの加重値を反映し、総合危険数値を算出することができる。

【0099】

言い換えれば、一致度と危険度の加重値はお互いに異なることができ、一致度と危険度にそれぞれ付与される加重値は管理者（防御者）によって設定できる値として別の制限を設けない。

【0100】

したがって、一致度及び危険度に加重値を反映し総合的に算出された総合危険数値を基に個別脅威シナリオの危険グレードが設定できる。

【0101】

脅威行為の決定段階Ｓ６０でメインサーバー５０は上記の危険グレードに基づいて上記の脅威シナリオに対応される脅威行為を決定する。

【0102】

ここで脅威行為の決定段階Ｓ６０で行われる脅威行為の決定とは望ましく危険グレードが最も高い脅威シナリオに属する脅威行為（対象ＡＰＩイベント）及び脅威シナリオに追加的に含まれることができる予想脅威行為を決定することでありうる。

【0103】

言い換えれば、脅威行為の決定段階Ｓ６０は脅威シナリオには含まれていないが、過去シナリオを基に判断したとき、追加的に含まれることができると予想される個別脅威行為である予想脅威行為を決定する段階であることができる。

【0104】

一実施例として、脅威行為の決定段階Ｓ６１は選択段階Ｓ６１、抽出段階Ｓ６２及び決定段階Ｓ６３を含むことができる。

【0105】

選択段階Ｓ６１でメインサーバー５０は上記の危険グレードに基づいて複数の上記の脅威シナリオの中のいずれかの一つを選択する。望ましくは危険グレードが最も高い脅威シナリオを選択したり、危険グレードに応じて降順に整理して危険グレードが高い複数の脅威シナリオだけを選択することができる。

【0106】

抽出段階Ｓ６２でメインサーバー５０は上記の選択された脅威シナリオと上記の一致度が最も高い過去シナリオを抽出する。上述した一致度の算出段階Ｓ４１で脅威シナリオと過去シナリオの間の一致度がすべて算出され、算出された一致度の最大値が脅威シナリオの一致度がなるとした。したがって、該当の脅威シナリオとの一致度が最も高いと判断された過去シナリオを抽出することである。

【0107】

決定段階Ｓ６３でメインサーバー５０は上記の抽出された過去シナリオと上記の選択された脅威シナリオに含まれた脅威行為の類型を比べて予測脅威行為を決定する。

【0108】

ここで予測脅威行為は抽出された過去シナリオの中で脅威シナリオに含まれていない脅威行為の類型に含まれた個別脅威行為を意味することである。

【0109】

言い換えれば、抽出された過去シナリオの中では脅威シナリオに含まれていない脅威行為の類型がありうるし、該当の脅威行為の類型は個別脅威行為を含むので、該当の脅威シナリオに応じて攻撃者が行うと予想できるすべての個別脅威行為が予測脅威行為として決定されるものである。

【0110】

ソリューションの提供段階Ｓ７０でメインサーバー５０は上記の決定された予測脅威行為に基づいてプロンプトを生成し、ユーザー端末３０に提供することができる。

【0111】

一例示に、ソリューションの提供段階Ｓ７０でメインサーバー５０は上記の決定された予測脅威行為に対応されるセキュリティ強化ソリューションプロンプトを生成しユーザー端末３０に提供することができる。

【0112】

ここで、セキュリティ強化ソリューションプロンプトというのは、決定された予測脅威行為と対応し脆弱性を補完し、セキュリティ設定を強化するソリューションに関連されるプロンプトであることができる。ここでは、セキュリティ設定ガイド、パッチ及びアップデート案内、セキュリティツールの最適設定方法などが含まれることができる。

【0113】

また、セキュリティ強化ソリューションプロンプトは決定された予測脅威行為を検出し対応する方法に対するインテリジェンスを提供することでありうる。ここでは脅威探知アルゴリズムの改善、異常兆候基盤探知の適用方法、迅速な対応のためのＳＯＰ（Ｓｔａｎｄａｒｄ Ｏｐｅｒａｔｉｎｇ Ｐｒｏｃｅｄｕｒｅ）などを含むことができる。

【0114】

一例示で、ソリューションの提供段階Ｓ７０でメインサーバー５０は上記の決定された予測脅威行為に対応されるシステム復旧プロンプトを生成し、ユーザー端末３０に提供することができる。

【0115】

ここで、システム復旧プロンプトはシステム復旧に必要なガイドと復旧プロセスに対するｂｅｓｔ ｐｒａｃｔｉｃｅｓを含むことができ、さらに上記の決定された予測脅威行為によって追加に発生できる脅威を最小化する方法を案内し、システムを安全な状態に復元するのに必要な指針を含むことができる。

【0116】

一例示で、ソリューションの提供段階Ｓ７０でメインサーバー５０は上記の決定された予測脅威行為及び上記の脅威シナリオに対応される解析プロンプトを生成しユーザー端末３０に提供することができる。

【0117】

ここで、解析プロンプトは脅威シナリオに含まれた個別ＡＰＩイベントに対する詳しいログ情報を提供して、どのＴＴＰＳが用いられたか、どのユーザーやシステムがターゲットであったか、どのデータが危険にさらされたのか、システムのどの部分が脆弱だったのかに関する情報を提供することができる。

【0118】

一例示で、ソリューションの提供段階Ｓ７０でメインサーバー５０は上記の決定された予測脅威行為に対応される教育プロンプトを生成しユーザー端末３０に提供することができる。

【0119】

ここで、教育プロンプトは決定された予測危険行為を備えてユーザーを教育するメッセージまたは資料であることができ、教育プロンプトには決定された予測危険行為に関する説明、主意事項、安全な使用法などが含まれることができる。

【0120】

【0121】

本発明の各実施例に開示された技術的な特徴は該当の実施例にのみ限定されるものではなく、お互いに両立不可能でない以上、各実施例に開示された技術的な特徴はお互いに異なる実施例に併合され適用できる。

【0122】

したがって、各実施例ではそれぞれの技術的な特徴を中心に説明するが、各技術的な特徴がお互いに両立不可能でない以上、お互い併合され適用できる。

【0123】

本発明は上述した実施例及び添付された図面に限定されるものではなく、本発明が属する分野で通常の知識を有するものの観点で様々な修正及び変形が可能である。したがって本発明の範囲は本明細書の請求範囲だけでなく、この請求範囲と均等なものによって定められるべきである。

【符号の説明】

【0124】

１０：クラウドサーバー
２０：データベース
３０：ユーザー端末
４０：ＡＩエンジン
５０：メインサーバー

【要約】      （修正有）

【課題】時系列的に発生するＡＰＩイベントデータに基づいて、仮想の脅威シナリオを生成し、これを過去の記録と比べてサイバー脅威を予め解析及び対処する方法を提供する。
【解決手段】方法は、クラウド環境に保存されたイベントセットの中の対象ＡＰＩイベントを決定する決定段階、脅威行為プロファイルに基づいて、対象ＡＰＩイベントを脅威行為の類型にマッピングするマッピング段階、脅威行為の類型に基づいて対象ＡＰＩイベントの脅威シナリオを生成する生成段階、データベースに基づいて、脅威シナリオの一致度及び危険度を算出する算出段階、一致度及び危険度に基づいて、脅威シナリオの危険グレードを決定する危険グレード決定段階、危険グレードに基づいて、脅威シナリオに対応される予測脅威行為を決定する、脅威行為の決定段階及び脅威行為に基づいて、プロンプトを生成し提供するソリューションの提供段階を含む。
【選択図】図３

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】