초록

본 발명은, 집중적으로 모니터링할 가시화 대상(공격자 IP)를 선정하는 기술을 실현함으로써, 실제 공격을 유발하는 공격자를 직관적으로 탐지할 수 있도록 하는 고수준의 가시화 기술이 가능해지도록 하는 기술에 관한 것이다.

대표청구항 ▼

수집한 보안이벤트를 근거로, 대상 IP 별로 주요 성분정보를 생성하는 주요성분정보 생성모듈;상기 대상 IP 별로 생성되는 주요 성분정보 및 기 정의된 가중치를 근거로, 상기 대상 IP 별로 악성 의심수준을 결정하는 의심수준 결정모듈; 및상기 대상 IP 별로 결정한 악성 의심수준에 따라, 상기 대상 IP 중 집중 모니터링 대상을 선정하는 선정모듈을 포함하며,상기 주요 성분정보에 포함되는 단기분석 유형의 주요 성분정보는, 단기분석 유형에 기 설정된 시간 동안, 대상 IP에서 발생되는 보안이벤트의 발생 횟수, 대상 IP에서 접근한 목적지

수집한 보안이벤트를 근거로, 대상 IP 별로 주요 성분정보를 생성하는 주요성분정보 생성모듈;상기 대상 IP 별로 생성되는 주요 성분정보 및 기 정의된 가중치를 근거로, 상기 대상 IP 별로 악성 의심수준을 결정하는 의심수준 결정모듈; 및상기 대상 IP 별로 결정한 악성 의심수준에 따라, 상기 대상 IP 중 집중 모니터링 대상을 선정하는 선정모듈을 포함하며,상기 주요 성분정보에 포함되는 단기분석 유형의 주요 성분정보는, 단기분석 유형에 기 설정된 시간 동안, 대상 IP에서 발생되는 보안이벤트의 발생 횟수, 대상 IP에서 접근한 목적지 IP의 개수 및 목적지 Port의 개수, 대상 IP에서 발생되는 보안이벤트의 발생 간격 평균을 포함하며,상기 의심수준 결정모듈은,특정 대상 IP에 대하여, 보안이벤트의 발생 횟수를 이용하여 결정되는 이벤트발생횟수유형, 목적지 IP의 개수를 이용하여 결정되는 목적지IP개수유형, 목적지 Port의 개수를 이용하여 결정되는 목적지Port개수유형 및 보안이벤트의 발생 간격 평균을 이용하여 결정되는 이벤트발생간격유형 중 적어도 하나를 이용하여 특정 대상 IP의 악성 의심수준을 결정하며,상기 이벤트발생횟수유형은,상기 단기분석 유형에 기 설정된 시간 동안 생성되는 전체 대상 IP 별 보안이벤트 발생 횟수 중 최대값을 분모로 하고 특정 대상 IP의 보안이벤트의 발생 횟수를 분자로 하여 결정되고,상기 목적지IP개수유형은,상기 단기분석 유형에 기 설정된 시간 동안 생성되는 전체 대상 IP 별 목적지 IP 개수 중 최대값을 분모로 하고 특정 대상 IP의 목적지 IP 개수를 분자로 하여 결정되고,상기 목적지Port개수유형은,상기 단기분석 유형에 기 설정된 시간 동안 생성되는 전체 대상 IP 별 목적지 Port 개수 중 최대값을 분모로 하고 특정 대상 IP의 목적지 Port 개수를 분자로 하여 결정되고,상기 이벤트발생간격유형은,상기 단기분석 유형에 기 설정된 시간 동안 생성되는 전체 대상 IP 별 보안이벤트 발생 간격 평균 중 최대값을 분모로 하고 특정 대상 IP의 보안이벤트 발생 간격 평균을 분자로 하여 결정되는 것을 특징으로 하는 공격자 선정 장치.