(57)【要約】【課題】   既に知られた攻撃パターンによる履歴データに依存することなく、変形された攻撃パターンを探知することができ、ネットワーク侵入を効果的に探知できるネットワーク侵入探知システム及び探知方法を提供する。【解決手段】ネットワーク上の少なくとも１つ以上のパケットをキャプチャーするパケットキャプチャー部（100）と、パケットキャプチャー部でキャプチャーされた各パケットの特性に依存する特性値を提供する前処理部（200）と、前処理部から提供された各特性値に依存するパターンらを相異なる２つのパターン集合に区分し、各パターン集合のうち要素が多いパターン集合を基準集合として選択し、ネットワーク侵入を探知する学習エンジン部（300）と、を備える。【選択図】  図１
2007179542.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上の少なくとも１つ以上のパケットをキャプチャーするパケットキャプチャー部と、
前記パケットキャプチャー部でキャプチャーされた各パケットの特性に依存する特性値を提供する前処理部と、
前記前処理部から提供された前記各特性値に依存するパターンらを相異なる２つのパターン集合に区分し、前記各パターン集合のうち要素（element）が多いパターン集合を基準集合として選択してネットワーク侵入を探知する学習エンジン部と、
を備えることを特徴とするネットワーク侵入探知システム。
【請求項２】
前記前処理部は、前記パケットの各フィールド値に相当する特性値を提供することを特徴とする請求項１に記載のネットワーク侵入探知システム。
【請求項３】
前記学習エンジン部は、
前記各特性値に依存するパターンらを相異なる２つのパターン集合に区分する超平面（hyperplane）を生成し、前記超平面のバイアスタームを２次元平面の原点に収束させて、前記基準集合を選択し、前記基準集合のパターンに依存する基準プロファイルを生成する学習部と、
前記基準プロファイルと、ネットワーク上のパケット特性値とを比較し、ネットワーク侵入を探知する探知部と、
を備えることを特徴とする請求項１に記載のネットワーク侵入探知システム。
【請求項４】
ネットワーク上の少なくとも１つ以上のパケット特性値に依存するパターンらをＳＶＭ（Support Vector Machine）技法によって相異なる２つのパターン集合に区分し、前記複数のパターン集合を区分する超平面の位置を調節し、１つの基準集合に依存する基準プロファイルを生成する学習部と、
前記基準プロファイルと、ネットワーク上のパケット特性値とを比較し、ネットワーク侵入を探知する探知部と、
を備えることを特徴とするネットワーク侵入探知システム。
【請求項５】
前記学習部は、前記パターンらを下記の数式１を用いて２つのパターン集合に区分することを特徴とする請求項４に記載のネットワーク侵入探知システム。
【数１】
2007179542.tif 000012
ここで、‘ω’は、調節可能な加重値ベクトル変数であり、‘xi’は、入力パターンベクトル変数であり、‘ｂ’は、バイアスターム変数であり、‘ξ’は、エラー補正変数である。
【請求項６】
前記学習部は、前記パターンらを前記２つのパターン集合に区分する超平面（wTxi+b=0）のバイアスタームを２次元平面の原点に収束させて、下記数式２を用いて基準集合を選択することを特徴とする請求項５に記載のネットワーク侵入探知システム。
【数２】
2007179542.tif 000013
ここで、‘ｖ’は、原点から超平面間までの距離（distance）を示す変数であり、‘ｌ’は、パターン集合における要素（element）の最大個数を示す変数である。
【請求項７】
前記学習部は、下記数式３を用いて前記各パターンの基準集合を選択することを特徴とする請求項４に記載のネットワーク侵入探知システム。
【数３】
2007179542.tif 000014
ここで、‘ω’は、調節可能な加重値ベクトル変数であり、‘xi’は、入力パターンベクトル変数であり、‘ｂ’は、バイアスターム変数であり、‘ξ’は、エラー補正変数である。
【請求項８】
前記学習エンジン部は、前記各パケットのパターンを高次元に写像させて、ＳＶＭ技法によって前記各パターンを区分する超平面を生成し、特徴マッピング（feature mapping）関数を用いて２次元に写像させた結果、原点に分布するパターンをアウトライアー（outlier）として処理する
ことを特徴とする請求項４に記載のネットワーク侵入探知システム。
【請求項９】
ネットワーク上の少なくとも１つ以上のパケットをキャプチャーする段階と、
前記キャプチャーされた各パケットの特性に依存する特性値を導き出す段階と、
前記各特性値に依存するパターンを相異なる２つのパターン集合に区分する段階と、
前記２つのパターン集合のうち要素（element）が多いパターン集合を基準集合として選択し、基準プロファイルを生成する段階と、
前記パケットの特性値と前記基準プロファイルとを比較し、ネットワーク侵入を探知する段階と、
を備えることを特徴とするネットワーク侵入探知方法。
【請求項１０】
前記特性値を導き出す段階は、前記パケットの各フィールド値に相当する特性値を導き出すことを特徴とする請求項９に記載のネットワーク侵入探知方法。
【請求項１１】
前記パターン集合に区分する段階は、前記各パターンを相異なる２つのパターン集合に区分する超平面を生成することを特徴とする請求項９に記載のネットワーク侵入探知方法。
【請求項１２】
前記基準プロファイルを生成する段階は、前記パターンを区分する超平面のバイアスタームを２次元平面の原点に収束させて、前記基準集合を選択する段階と、前記基準集合のパターンに依存する基準プロファイルを生成する段階と、
を備えることを特徴とする請求項９に記載のネットワーク侵入探知方法。
【請求項１３】
ネットワーク上の少なくとも１つ以上のパケット特性値に依存するパターンらをＳＶＭ（Support Vector Machine）技法によって相異なる２つのパターン集合に区分する段階と、
前記２つのパターン集合を区分する超平面の位置を調節し、１つの基準集合を選択する段階と、
前記基準集合のパターンらによって基準プロファイルを生成する段階と、
パケットの特性値と前記基準プロファイルとを比較し、ネットワーク侵入を探知する段階と、
を備えることを特徴とするネットワーク侵入探知方法。
【請求項１４】
前記パターン集合に区分する段階は、前記パターンらを下記数式４を用いて２つのパターン集合に区分することを特徴とする請求項１３に記載のネットワーク侵入探知方法。
【数４】
2007179542.tif 000015
ここで、‘ω’は、調節可能な加重値ベクトル変数であり、‘xi’は、入力パターンベクトル変数であり、‘ｂ’は、バイアスターム変数であり、‘ξ’は、エラー補正変数である。
【請求項１５】
前記１つの基準集合を選択する段階は、前記パターンらを前記２つのパターン集合に区分する超平面（wTxi+b=0）のバイアスタームを２次元平面の原点に収束させて、下記数式５を用いて第１のパターン集合を第２のパターン集合のアウトライアー（outlier）として処理する
ことを特徴とする請求項１３に記載のネットワーク侵入探知方法。
【数５】
2007179542.tif 000016
ここで、‘ｖ’は、原点から超平面間までの距離（distance）を示す変数であり、‘ｌ’は、パターン集合における要素（element）の最大個数を示す変数である。
【請求項１６】
前記基準集合を選択する段階は、下記数式６を用いて前記各パターンの基準集合を選択することを特徴とする請求項１３に記載のネットワーク侵入探知方法。
【数６】
2007179542.tif 000017
ここで、‘ω’は、調節可能な加重値ベクトル変数であり、‘xi’は、入力パターンベクトル変数であり、‘ｂ’は、バイアスターム変数であり、‘ξ’は、エラー補正変数である。
【請求項１７】
前記パターンを区分する段階は、前記各パケットのパターンを高次元に写像させＳＶＭ技法によって前記各パターンを区分する超平面を生成し、特徴マッピング（feature mapping）関数を用いて前記各パターンを２次元に写像させる段階を備える
ことを特徴とする請求項１３に記載のネットワーク侵入探知方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークへの侵入を探知するためのシステム及び方法に関する。
【背景技術】
【０００２】
近年、ネットワーク技術の発展及びネットワーク・ユーザの増加につれて、情報化社会が非常に発展しているが、一方で、ネットワークを介して他のユーザにウイルスを流布したり、他のユーザを攻撃するといった否定的な側面も増加している。
【０００３】
このようなネットワーク侵入を探知するために提案されたものが侵入探知システム（intrusion detection system）である。侵入探知システムは、ネットワークの異常行為、誤用などをリアルタイムで探知するシステムである。
【０００４】
ネットワーク侵入探知技術は、大きく、誤用探知（misuse detection）と異常行為探知（anomaly detection）とに区分されることができる。
【０００５】
まず、誤用探知技術は、既に知られた攻撃パターンに対するシグナチャー（signature）やルールセット（rule set）を生成し、この生成されたシグナチャーまたはルールセットに一致するパターンを確認することによって、攻撃を探知する技術である。このような誤用探知技術には、パターンマッチング、専門家システム（expert system）、状態遷移モデル（state transition model）、キーストロークモニタリング、などが挙げられる。
【０００６】
そして、異常行為探知技術は、正常行為に対する正常プロファイルを生成し、該生成された正常プロファイルから逸脱する行為を攻撃として見なす技術であり、統計的方法、神経網技法（neural network method）、予測可能パターン生成技法、などの方法が含まれる。
【０００７】
しかしながら、一般的な侵入探知技術では、誤用または異常行為を探知するために、履歴データが必要とされ、また、それ故に、履歴データから逸脱する誤用または異常行為を探知することができない。
【０００８】
例えば、誤用探知技術では、既に知られた攻撃パターンに対するシグナチャーまたはルールセットを生成するための履歴データが必要であり、また、それ故に、シグナチャーまたはルールセットから逸脱するパターンを探知することができない。
【０００９】
また、異常行為探知技術では、履歴データに依存して異常行為を探知するための正常プロファイルを生成するので、探知基準が履歴データに依存することになり、また、正常プロファイルを生成するための学習過程に多くの学習データが必要となる。
【特許文献１】大韓民国登録特許第０３１０８６０号
【発明の開示】
【発明が解決しようとする課題】
【００１０】
従って、本発明は、前述のような問題点を解決するためになされたもので、その目的は、既に知られた攻撃パターンによる履歴データに依存することなく、変形された攻撃パターンを探知することができ、ネットワーク侵入を効果的に探知できるネットワーク侵入探知システム及び探知方法を提供することにある。
【課題を解決するための手段】
【００１１】
前記目的を達成するために、本発明の一態様によるネットワーク侵入探知システムは、ネットワーク上の少なくとも１つ以上のパケットをキャプチャーするパケットキャプチャー部と、前記パケットキャプチャー部でキャプチャーされた各パケットの特性に依存する特性値を提供する前処理部と、前記前処理部から提供された前記各特性値に依存するパターンらを相異なる２つのパターン集合に区分し、前記各パターン集合のうち要素（element）が多いパターン集合を基準集合として選択してネットワーク侵入を探知する学習エンジン部と、を備える。
【００１２】
前記前処理部は、前記パケットの各フィールド値に相当する特性値を提供する。
【００１３】
前記学習エンジン部は、前記各特性値に依存するパターンらを相異なる２つのパターン集合に区分する超平面（hyperplane）を生成し、前記超平面のバイアスタームを２次元平面の原点に収束させて、前記基準集合を選択し、前記基準集合のパターンに依存する基準プロファイルを生成する学習部と、前記基準プロファイルとネットワーク上のパケット特性値とを比較し、ネットワーク侵入を探知する探知部と、を備える。
【００１４】
また、本発明の他の態様によるネットワーク侵入探知システムは、ネットワーク上の少なくとも１つ以上のパケット特性値に依存するパターンらをＳＶＭ（Support Vector Machine）技法によって相異なる２つのパターン集合に区分し、前記複数のパターン集合を区分する超平面の位置を調節し、１つの基準集合に依存する基準プロファイルを生成する学習部と、前記基準プロファイルとネットワーク上のパケット特性値とを比較し、ネットワーク侵入を探知する探知部と、を備える。
【００１５】
前記学習部は、前記パターンらを下記の数式７を用いて２つのパターン集合に区分する。
【００１６】
【数７】
2007179542.tif 000003
ここで、‘ω’は、調節可能な加重値ベクトル変数であり、‘xi’は、入力パターンベクトル変数であり、‘ｂ’は、バイアスターム変数であり、‘ξ’は、エラー補正変数である。
【００１７】
前記学習部は、前記パターンらを前記２つのパターン集合に区分する超平面（wTxi+b=0）のバイアスタームを、２次元平面の原点に収束させて、下記数式８を用いて基準集合を選択する。
【００１８】
【数８】
2007179542.tif 000004
ここで、 ‘ｖ’は、原点から超平面間までの距離（distance）を示す変数であり、‘ｌ’は、パターン集合における要素（element）最大個数を示す変数である。
【００１９】
前記学習部は、下記数式９を用いて前記各パターンの基準集合として選択する。
【００２０】
【数９】
2007179542.tif 000005
ここで、‘ω’は、調節可能な加重値ベクトル変数であり、‘xi’は、入力パターンベクトル変数であり、‘ｂ’は、バイアスターム変数であり、‘ξ’は、エラー補正変数である。
【００２１】
前記学習エンジン部は、前記各パケットのパターンを高次元（higher dimension plane）に写像させて、ＳＶＭ技法によって前記各パターンを区分する超平面を生成し、特徴マッピング（feature mapping）関数を用いて２次元に写像させた結果、原点に分布するパターンをアウトライアー（outlier）として処理する。
【００２２】
また、本発明の他の態様によるネットワーク侵入探知方法は、ネットワーク上の少なくとも１つ以上のパケットをキャプチャーする段階と、前記キャプチャーされた各パケットの特性に依存する特性値を導き出す段階と、前記各特性値に依存するパターンを相異なる２つのパターン集合に区分する段階と、前記２つのパターン集合のうち要素（element）が多いパターン集合を基準集合として選択し、基準プロファイルを生成する段階と、前記パケットの特性値と前記基準プロファイルとを比較し、ネットワーク侵入を探知する段階と、を備える。
【００２３】
前記特性値を導き出す段階は、前記パケットの各フィールド値に相当する特性値を導き出す。
【００２４】
前記パターン集合に区分する段階は、前記各パターンを相異なる２つのパターン集合に区分する超平面を生成する。
【００２５】
前記基準プロファイルを生成する段階は、前記パターンを区分する超平面のバイアスタームを２次元平面の原点に収束させて、前記基準集合を選択する段階と、前記基準集合のパターンに依存する基準プロファイルを生成する段階と、を備える。
【００２６】
また、本発明のさらに他の態様によるネットワーク侵入探知方法は、ネットワーク上の少なくとも１つ以上のパケット特性値に依存するパターンらをＳＶＭ（Support Vector Machine）技法によって相異なる２つのパターン集合に区分する段階と、前記２つのパターン集合を区分する超平面の位置を調節し、１つの基準集合を選択する段階と、前記基準集合のパターンらによって基準プロファイルを生成する段階と、パケットの特性値と前記基準プロファイルとを比較し、ネットワーク侵入を探知する段階と、を備える。
【００２７】
前記パターン集合に区分する段階は、前記各パターンを下記数式１０を用いて２つのパターン集合に区分する。
【００２８】
【数１０】
2007179542.tif 000006
ここで、‘ω’は、調節可能な加重値ベクトル変数であり、‘xi’は、入力パターンベクトル変数であり、‘ｂ’は、バイアスターム変数であり、‘ξ’は、エラー補正変数である。
【００２９】
前記１つの基準集合を選択する段階は、前記パターンらを前記２つのパターン集合に区分する超平面（wTxi+b=0）のバイアスタームを、２次元平面の原点に収束させて、下記数式１１を用いて第１のパターン集合を第２のパターン集合のアウトライアー（outlier）として処理する。
【００３０】
【数１１】
2007179542.tif 000007
ここで、‘ｖ’は、原点から超平面間までの距離（distance）を示す変数であり、‘ｌ’は、パターン集合における要素（element）の最大個数を示す変数である。
【００３１】
前記基準集合を選択する段階は、下記数式１２を用いて前記各パターンの基準集合を選択する。
【００３２】
【数１２】
2007179542.tif 000008
ここで、‘ω’は、調節可能な加重値ベクトル変数であり、‘xi’は、入力パターンベクトル変数であり、‘ｂ’は、バイアスターム変数であり、‘ξ’は、エラー補正変数である。
【００３３】
前記パターンを区分する段階は、前記各パケットのパターンを高次元（higher dimension plane）に写像させＳＶＭ技法によって前記各パターンを区分する超平面を生成し、 特徴マッピング（feature mapping）関数を用いて前記各パターンを２次元に写像させる段階を備える。
【発明の効果】
【００３４】
本発明によれば、ＳＶＭ技法によって既知の履歴データ無しにパケットのパターンを学習し、１つの基準プロファイルを生成することができるので、履歴データに依存することなく、侵入探知の正確性及び速い学習率を図ることが可能になる。
【発明を実施するための最良の形態】
【００３５】
以下、添付図面を参照して、本発明に係るネットワーク侵入探知システム及び探知方法の実施の形態を詳細に説明する。
【００３６】
図１は、本発明の好適な実施の形態によるネットワーク侵入探知システムを説明するためのブロック図である。
【００３７】
図１を参照すると、本実施形態のネットワーク侵入探知システムは、ネットワーク上のパケットを捕獲（キャプチャー）して出力するパケットキャプチャー部１００と、パケットキャプチャー部１００から供給されたパケットを前処理して出力する前処理部２００と、前処理部２００から供給されたデータに基づいて、ネットワーク侵入を探知する学習エンジン部３００と、を備える。また、学習エンジン部３００は、後述する学習部３１０と探知部３２０とを備える。
【００３８】
パケットキャプチャー部１００は、ネットワーク上のパケットらを、無作為または所定の時間の間にキャプチャーする。すなわち、パケットキャプチャー部１００は、ネットワーク侵入探知システムの対象がネットワークであるかまたはホストであるかによってネットワーク上のパケットをキャプチャーする。
【００３９】
また、前処理部２００は、パケットキャプチャー部１００でキャプチャーしたパケットを、該パケットを学習するためのフォーマットに変換する。すなわち、前処理部２００は、学習エンジン部３００が当該キャプチャーされたパケットを基盤として学習過程を行うことができるように、当該キャプチャーされたパケットに関する情報の前処理を実行する。
【００４０】
例えば、前処理部２００は、キャプチャーされたＴＣＰ／ＩＰパケットを、当該パケットの各フィールド特性に対応する特性値に変換処理する。
【００４１】
学習エンジン部３００は、前処理部２００から提供された各パケットの特性値を学習し、ネットワーク侵入を探知する。
【００４２】
より明確には、学習エンジン部３００の学習部３１０は、統計的学習理論（Statistical Learning Theory）を基盤として、各パケットの特性値を正常集合と異常集合とに区分し、正常集合から基準プロファイルを導き出す。
【００４３】
この学習部３１０は、ネットワーク侵入を探知するための履歴データがない状態で受信されるパケットのパターンを、２つの相異なる集合である正常集合と異常集合とに区分し、これら集合を区分する超平面（hyperplane）を、パターン要素（element）が極めて少ない集合に収束させ、１つの集合からネットワーク侵入を探知するための基準プロファイルを生成する。
【００４４】
また、探知部３２０は、キャプチャーされたパケットの特性値に依存するパターンと基準プロファイルとを比較し、ネットワーク侵入が発生したか否かを探知する。
【００４５】
この際、学習エンジン部３００は、初期の所定の時間の間に学習過程を通じて基準プロファイルを導き出し、持続的にキャプチャーされるパケットの特性値によって基準プロファイルを更新し、或いは、所定の周期毎に学習過程を通じて基準プロファイルを更新する。
【００４６】
図２は、本発明の好ましい実施形態により２つの集合に区分されたパターンを説明する図である。
【００４７】
図２を参照すると、学習エンジン部３００は、キャプチャーされるパケットの特性値に従って、パケットのパターン（ｘ）を図式する。
【００４８】
また、学習エンジン部３００は、パターンを区分することができる分類アルゴリズムを用いて、図式されたパターンを、２つの相異なるパターン集合、すなわち、正常集合（Ｃｌａｓｓ  ２）と、異常集合（Ｃｌａｓｓ  １）とに区分（分類）する。
【００４９】
例えば、学習エンジン部３００は、パターンを相異なる２つの集合に分類するアルゴリズムであるＳＶＭ（Support Vector Machine）アルゴリズムを用いて、図式されたパターンを２つの相異なるパターン集合に区分することができ、また、ＳＶＭアルゴリズムを用いて、２つのパターン集合を区分する超平面（ｌ）を生成する。
【００５０】
次の数式１３は、ＳＶＭアルゴリズムによって２つの相異なるパターン集合を分類（classifier）する条件数学式である。
【００５１】
【数１３】
2007179542.tif 000009
【００５２】
上記数式１３は、ＳＶＭアルゴリズムで二進分類する分流器を決定する条件数学式であり、‘wTxi+b=0’が２つのパターン集合を区分する超平面（ｌ）であると仮定すると、‘ω’は、調節可能な加重値ベクトルであり、‘xi’は、入力パターンベクトルであり、‘ｂ’は、バイアスターム（bias term）である。
【００５３】
図２に示されるように、２つのパターン集合（Ｃｌａｓｓ  １、Ｃｌａｓｓ  ２）は、超平面（wTxi+b=0）（ｌ）によって区分可能であり、また、エラーは、‘ξ’を用いて補正することができる。例えば、入力されるパターン(xi, xｊ)をパターン集合内で無意味なパターンとして見なす場合、超平面（ｌ）のバイアスターム（ｂ）を‘ξ’だけ補正することによって、超平面の位置（ｌ’、ｌ”）を調節することができる。
【００５４】
すなわち、学習エンジン部３００は、入力されるパケットのパターンをＳＶＭアルゴリズムに基づく教師あり学習（Supervised Learning）過程を通じて２つのパターン集合に区分する超平面（ｌ）を生成することによって、正常集合（Ｃｌａｓｓ  ２）と異常集合（Ｃｌａｓｓ  １）との２つのクラスに分類する。
【００５５】
ここで、２つのクラスを分類する決定平面が超平面（ｌ）であり、超平面を決定する入力パターンが決定ベクトル（Support Vector：ＳＶ）である。
【００５６】
また、各パターンが２つのパターン集合に区分可能な場合、超平面（ｌ）は、決定ベクトルのパターンまでの距離を最大化し、また、全ての決定ベクトルのパターンは、超平面から同じ最小距離に位置するようになる。
【００５７】
しかしながら、パケットのパターンが線形に区分される場合は極めて稀なケースなので、パケットのパターン集合は、非線形の特徴を有するようになる。したがって、入力パターンをカーナルトリックのような技法を用いて高次元平面（higher dimension plane）に写像させた後、特徴マッピング（feature mapping）関数を用いて再び２次元平面に写像させる。
【００５８】
また、ＳＶＭ技法のうちｏｎｅ−ｃｌａｓｓ  ＳＶＭ技法は、１つのクラス、すなわち、１つのパターン集合に対するパターンだけを持って学習がなされる教師無し学習（Non-Supervised Learning）基盤の方式であって、パターン集合に含まれないパターン（アウトライアー）は、 特徴マッピング（feature mapping）関数を用いて高次元平面から２次元平面に写像させると、２次元平面の原点近くに位置するようになる。
【００５９】
また、図２に示されるように、超平面（ｌ）が‘wTxi+b=0 ’のような１次関数であると仮定すると、バイアスターム（ｂ）を調節することによって、超平面（ｌ）が生成される位置（ｌ’、ｌ”）を調節することができる。
【００６０】
仮に、超平面（ｌ）のバイアスタームｂが‘０’に近づくようになる場合、すなわち、超平面（ｌ）に区分される２つのパターン集合のうちいずれか１つのパターン集合に含まれる特性値が非常に小さくなる場合、超平面（ｌ”）によって区分される異常集合の大きさ（サイズ）は、著しく縮小される。
【００６１】
図３は、本発明の好ましい実施形態により１つの集合にパターンを区分することを説明する図である。
【００６２】
図３に示されたように、超平面（ｌ）のバイアスタームｂが‘０’に非常に近いと仮定すると、異常集合（Ｃｌａｓｓ  １）に含まれるパケットのパターンは、非常に少なくなる。
【００６３】
したがって、異常集合（Ｃｌａｓｓ  １）に含まれるパターンの数が非常に少なくなるので、学習エンジン部３００は、正常集合（Ｃｌａｓｓ  ２）を除いたパターンを相対的に、エラーまたはアウトライアー（outlier）として見なすことができる。
【００６４】
すなわち、学習エンジン部３００は、ＳＶＭ技法によってパターンを２つのパターン集合に区分し、相異なる２つのパターン集合のうち中心となる１つのパターン集合を学習し、当該学習されたパターン集合に含まれないパターンをエラーまたはアウトライアーとして見なすことによって、１つのパターン集合だけを残す。
【００６５】
したがって、学習エンジン部３００は、キャプチャーされるパケットの特性によって区分される異常集合（Ｃｌａｓｓ  １）を正常集合（Ｃｌａｓｓ  ２）のアウトライアーとして見なすことができるので、正常集合（Ｃｌａｓｓ  ２）を基盤として基準プロファイルを導き出すことができる。
【００６６】
以下、ＳＶＭアルゴリズムのｓｏｆｔ−ｍａｒｇｉｎ  ＳＶＭ技法及びｏｎｅ−ｃｌａｓｓ  ＳＶＭ技法について説明する。ｓｏｆｔ−ｍａｒｇｉｎ  ＳＶＭ技法は、教師あり学習の正確性と速い学習率を有するが、学習段階で２つのクラスに対する明確な規定が必要であるという問題点を有する。
【００６７】
一方、Ｏｎｅ−ｃｌａｓｓＳＶＭ技法は、単一のクラスに対する学習適応性により異常行為探知が効果的であるが、単一のクラス学習という固有特性により偽陽性（false positive）が高く、正確度が低いという問題点を有する。
【００６８】
また、一般的に、ネットワーク上のパケットのうち異常的なパケット量が正常的なパケット量よりも極めて少ないので、学習エンジン部３００は、ｓｏｆｔ−ｍａｒｇｉｎ  ＳＶＭ技法を使用して、パターンを、各パケットの特性値パターンによって２つの相異なるパターン集合に区分し、異常的なパターンを正常集合（Ｃｌａｓｓ  ２）のエラーまたはアウトライアーとして見なすことができる。したがって、学習エンジン部３００は、１つのパターン集合である正常集合（Ｃｌａｓｓ  ２）だけを残し、かかる正常集合（Ｃｌａｓｓ  ２）に基づいて、ネットワーク侵入を探知する基準となり得る基準プロファイルを生成することができる。
【００６９】
次に、数式１４は、ｓｏｆｔ−ｍａｒｇｉｎ  ＳＶＭ技法に基づく２つのパターン集合をｏｎｅ−ｃｌａｓｓ  ＳＶＭ技法に基づく１つのパターン集合に写像させるための比較数式である。
【００７０】
【数１４】
2007179542.tif 000010
【００７１】
前記数式１４のＯｎｅ−ｃｌａｓｓ  ＳＶＭ技法において、‘ｖ’は、原点から超平面（ｌ）間までの距離（distance）と、超平面（ｌ）により分離されるパケットの特性値個数とのトレード−オフ（trade-off）関係にある。
【００７２】
また、‘ｌ’は、パターン集合全体中におけるパターンの個数を示す。すなわち、入力パケットパターン(xi)は、最大‘ｌ’だけの個数を有することができる。
【００７３】
超平面（ｌ）からパターン集合に属するパターンまでの距離とエラー収容変数（ξ）とのトレード−オフ関係にあるｓｏｆｔ−ｍａｒｇｉｎ  ＳＶＭ技法の‘Ｃ’値を、ｏｎｅ−ｃｌａｓｓ  ＳＶＭ技法の制約条件に適合するように、１より小さい値に維持し、かつ、‘p’（数式１５では、変数Ｅに転換されている）の値を、０と１間の極めて小さい整数に維持すれば、ｓｏｆｔ−ｍａｒｇｉｎ  ＳＶＭ技法の制約条件が次の数式１５のように変形され、ｓｏｆｔ−ｍａｒｇｉｎ  ＳＶＭ技法とｏｎｅ−ｃｌａｓｓ  ＳＶＭ技法の特性を有する二進分流器（classifier）を生成することができる。
【００７４】
【数１５】
2007179542.tif 000011
【００７５】
前記数式１５から分かるように、ｓｏｆｔ−ｍａｒｇｉｎ  ＳＶＭ技法に基づく２つのパターン集合は、ｏｎｅ−ｃｌａｓｓ  ＳＶＭ技法に基づく１つのパターン集合に写像されることができる。
【００７６】
すなわち、ｓｏｆｔ−ｍａｒｇｉｎ  ＳＶＭ技法によって２つの相異なるパターン集合に区分した超平面(wTxi+b=0)のバイアスターム（ｂ）を２次元平面の原点に収束させると、かかる２つのパターン集合をｏｎｅ−ｃｌａｓｓ  ＳＶＭ技法による１つのパターン集合に写像させることができ、さらに、かかる１つのパターン集合から基準プロファイルを生成することができる。
【００７７】
図４は、本発明の好ましい実施形態によるネットワーク侵入探知方法を説明するフローチャートである。
【００７８】
図４を参照すると、まず、ネットワーク侵入探知システムは、ネットワーク上のパケットをキャプチャーする（ステップＳ１００）。
【００７９】
続いて、ネットワーク侵入探知システムは、パケットの特性値によってパターンを区分し、２つの相異なる集合に区分する（ステップＳ１１０）。
【００８０】
すなわち、ネットワーク侵入探知システムは、図２と関連して説明したように、パターンを、パケットの特性値に基づいて図式し、各パターンを統計的学習理論によって学習し、これらパターンを相異なる２つのパターン集合、すなわち正常集合と異常集合とに区分する。
【００８１】
この際に、パターン集合は、ｓｏｆｔ−ｍａｒｇｉｎ  ＳＶＭ技法によって超平面を生成することにより区分することができる。
【００８２】
一般的に、ネットワーク上では正常的なパケット量の方が異常的なパケット量よりも数がはるかに多いため、２つの相異なるパターン集合、すなわち正常集合（Ｃｌａｓｓ  ２）に属するパターンは、異常集合（Ｃｌａｓｓ  １）に属するパターンよりもはるかに多い。このため、超平面 (wTxi+b=0)のバイアスターム（ｂ）を原点に収束させることができる。
【００８３】
したがって、ネットワーク侵入探知システムは、２つの相異なるパターン集合のうちの異常集合（Ｃｌａｓｓ  １）に属するパターンを正常集合（Ｃｌａｓｓ  ２）のエラーまたはアウトライアーとして見なすことができるので、正常集合（Ｃｌａｓｓ  ２）に属するパターンを用いて基準プロファイルを導き出す（ステップＳ１２０）。
【００８４】
すなわち、ネットワーク上のパケットのうち正常的なパケット量よりも異常的なパケット量の方が極めて少ないので、ネットワーク侵入探知システムは、ｓｏｆｔ−ｍａｒｇｉｎ  ＳＶＭ技法を用いて、パターンを、各パケットの特性値パターンによって２つの相異なるパターン集合に区分し、異常的なパターンを正常集合（Ｃｌａｓｓ  ２）のエラーまたはアウトライアーとして見なすことができる。したがって、ネットワーク侵入探知システムは、１つのパターン集合である正常集合（Ｃｌａｓｓ  ２）だけを残し、正常集合を基盤としてネットワーク侵入を探知するための基準になることができる基準プロファイルを生成することができる。
【００８５】
そして、ネットワーク侵入探知システムは、当該基準プロファイルを使用して、ネットワーク上のパケットが異常的なパケットであるか否かを探知する（ステップＳ１３０）。すなわち、ネットワーク侵入探知システムは、基準プロファイルを用いてネットワーク侵入を探知する。
【００８６】
上述した本発明の詳細な説明では、一例として、ＳＶＭアルゴリズムによるｓｏｆｔ−ｍａｒｇｉｎ  ＳＶＭ技法を用いて、パターンを２つのパターン集合に区分し、１つのパターン集合のパターンによって基準プロファイルを生成してネットワーク侵入を探知する場合について説明したが、ネットワーク侵入探知のための基準プロファイルは、他の学習アルゴリズムを用いて履歴データ無しに生成することもできる。
【図面の簡単な説明】
【００８７】
【図１】本発明の実施の形態によるネットワーク侵入探知システムのブロック図である。
【図２】本発明の好ましい実施形態により複数のパターンを２つの集合に区分することを説明する図である。
【図３】本発明の好ましい実施形態により複数のパターンを１つの集合に区分することを説明する図である。
【図４】本発明の好ましい実施形態によるネットワーク侵入探知方法を説明するフローチャートである。
【符号の説明】
【００８８】
１００  パケットキャプチャー部
２００  前処理部
３００  学習エンジン部
３１０  学習部
３２０  探知部
【図１】
2007179542.tif 000018
【図２】
2007179542.tif 000019
【図３】
2007179542.tif 000020
【図４】
2007179542.tif 000021