초록 ▼

악성 스크립트 탐지 장치 및 방법이 개시된다. 본 발명의 일실시예에 따른 악성 스크립트 탐지 장치는 하나 이상의 프로세서; 및 상기 하나 이상의 프로세서에 의해 실행되는 적어도 하나 이상의 프로그램을 저장하는 실행메모리를 포함하고, 상기 적어도 하나 이상의 프로그램은 입력 받은 스크립트에서 어휘 단위에 상응하는 토큰 유형의 특징 및 추상 구문 트리(ABSTRACT SYNTAX TREE)의 트리 노드 유형의 특징을 추출하고, 상기 토큰 유형의 특징 및 상기 노드 유형의 특징에서 각각 최대 빈도수로 추출된 특징들을 고려하여 생성된 두

악성 스크립트 탐지 장치 및 방법이 개시된다. 본 발명의 일실시예에 따른 악성 스크립트 탐지 장치는 하나 이상의 프로세서; 및 상기 하나 이상의 프로세서에 의해 실행되는 적어도 하나 이상의 프로그램을 저장하는 실행메모리를 포함하고, 상기 적어도 하나 이상의 프로그램은 입력 받은 스크립트에서 어휘 단위에 상응하는 토큰 유형의 특징 및 추상 구문 트리(ABSTRACT SYNTAX TREE)의 트리 노드 유형의 특징을 추출하고, 상기 토큰 유형의 특징 및 상기 노드 유형의 특징에서 각각 최대 빈도수로 추출된 특징들을 고려하여 생성된 두 개의 학습 데이터를 두 개의 학습 모델에 각각 학습시키고, 상기 두 개의 학습 모델로부터 생성된 앙상블 탐지 모델을 이용한 상기 스크립트에 대한 악성 스크립트의 앙상블 탐지 결과로부터 상기 스크립트의 악성 스크립트 여부를 탐지한다.

대표청구항 ▼

하나 이상의 프로세서; 및상기 하나 이상의 프로세서에 의해 실행되는 적어도 하나 이상의 프로그램을 저장하는 실행메모리;를 포함하고,상기 적어도 하나 이상의 프로그램은입력 받은 스크립트에서 어휘 단위에 상응하는 토큰 유형의 특징 및 추상 구문 트리(ABSTRACT SYNTAX TREE)의 트리 노드 유형의 특징을 추출하고,상기 토큰 유형의 특징 및 상기 노드 유형의 특징에서 각각 최대 빈도수로 추출된 특징들을 고려하여 생성된 두 개의 학습 데이터를 두 개의 학습 모델에 각각 학습시키고,상기 두 개의 학습 모델로부터 생성된 앙상블 탐지

하나 이상의 프로세서; 및상기 하나 이상의 프로세서에 의해 실행되는 적어도 하나 이상의 프로그램을 저장하는 실행메모리;를 포함하고,상기 적어도 하나 이상의 프로그램은입력 받은 스크립트에서 어휘 단위에 상응하는 토큰 유형의 특징 및 추상 구문 트리(ABSTRACT SYNTAX TREE)의 트리 노드 유형의 특징을 추출하고,상기 토큰 유형의 특징 및 상기 노드 유형의 특징에서 각각 최대 빈도수로 추출된 특징들을 고려하여 생성된 두 개의 학습 데이터를 두 개의 학습 모델에 각각 학습시키고,상기 두 개의 학습 모델로부터 생성된 앙상블 탐지 모델을 이용한 상기 스크립트에 대한 악성 스크립트의 앙상블 탐지 결과로부터 상기 스크립트의 악성 스크립트 여부를 탐지하고,상기 토큰 유형의 특징은상기 스크립트에 포함된 명령 유형, 상기 명령과 함께 사용되는 매개 변수 유형, 상기 명령과 함께 사용되는 인자 유형, 상기 스크립트에 포함된 키워드 유형 및 상기 스크립트에 포함된 변수 유형 중 적어도 하나를 포함하는 것을 특징으로 하는 악성 스크립트 탐지 장치.