(57)【要約】  本発明は、サイバー脅威階層構造上、下位サイバー脅威を予測し、これを利用して上位サイバー脅威を予測するためのサイバー脅威予測エンジンシステム及び方法に関する。本発明の一実施例によるサイバー脅威予測エンジンシステムは、複数のサイバー脅威予測項目及びこれに関連した予測スケジュール及び予測模型情報、予測項目階層構造情報、サイバー脅威時系列データ、サイバー脅威標本データを含む予測情報を格納する予測情報ＤＢと、前記予測情報ＤＢに格納された前記予測情報を利用して階層構造を有する前記複数のサイバー脅威予測項目に対する脅威度を予測する予測エンジンコアザブシステムと、ユーザまたは外部システムから前記予測エンジンコアザブシステムに対する制御命令を受信し、前記予測エンジンコアザブシステムに伝達する予測エンジン制御インターフェースとを含む。
2012527687.tif 000002
【特許請求の範囲】
【請求項１】
複数のサイバー脅威予測項目と、これに関連した予測スケジュール及び予測模型情報、予測項目階層構造情報、サイバー脅威時系列データ、サイバー脅威標本データを含む予測情報を格納する予測情報ＤＢと、
前記予測情報ＤＢに格納された前記予測情報を利用して階層構造を有する前記複数のサイバー脅威予測項目に対する脅威度を予測する予測エンジンコアザブシステムと、
ユーザまたは外部システムから前記予測エンジンコアザブシステムに対する制御命令を受信し、前記予測エンジンコアザブシステムに伝達する予測エンジン制御インターフェースと、
を含むサイバー脅威予測エンジンシステム。
【請求項２】
前記予測情報ＤＢから前記予測情報を問い合わせし、前記予測エンジンコアザブシステムの予測結果を前記予測情報ＤＢに格納する予測情報ＤＢ管理ザブシステムをさらに含むことを特徴とする請求項１に記載のサイバー脅威予測エンジンシステム。
【請求項３】
前記予測エンジン制御インターフェースと前記予測エンジンコアザブシステムは、別途の独立スレッドで各々実行されることを特徴とする請求項１に記載のサイバー脅威予測エンジンシステム。
【請求項４】
前記予測エンジン制御インターフェースによって受信される前記制御命令は、前記予測エンジンコアザブシステムの開始、中止、一時停止、再開、前記予測情報ＤＢとの前記予測項目及び前記予測項目階層構造情報同期化のうち少なくとも１つを含むことを特徴とする請求項１に記載のサイバー脅威予測エンジンシステム。
【請求項５】
前記予測エンジンコアザブシステムは、
前記予測情報ＤＢから前記予測スケジュールを読み取り、メモリに格納し、予測実行を待機する待機スケジュール及び予測を現在実行中の実行スケジュールを管理する予測スケジュール管理モジュールと、
前記予測情報ＤＢから前記予測項目階層構造情報を読み取り、全体予測項目階層構造を構成し、メモリに格納する予測項目階層構造管理モジュールと、
前記全体予測項目階層構造によって前記複数の予測項目の各々に対応する予測実行器を構成及び管理する階層的予測実行器管理モジュールと、
前記予測スケジュール管理モジュールにより管理される前記実行スケジュールを読み取り、前記実行スケジュールに関連した予測項目及び予測模型情報を前記予測実行器管理モジュールに伝達することによって、予測実行を指示する予測スケジュール執行モジュールと、を含み、
前記予測実行器管理モジュールは、前記予測スケジュール執行モジュールから伝達された予測項目に対応する予測実行器を検索して駆動させ、
前記予測実行器は、前記予測項目に関連した予測模型情報によって予測を実行することを特徴とする請求項１に記載のサイバー脅威予測エンジンシステム。
【請求項６】
前記待機スケジュールに設定された予測実行時点を周期的に検査し、設定された時点が渡来すれば、前記待機スケジュールを実行スケジュールに変更する予測スケジュール確認モジュールをさらに含み、前記予測スケジュール確認モジュールは、前記予測スケジュール執行モジュールと別途のスレッドで実行されることを特徴とする請求項５に記載のサイバー脅威予測エンジンシステム。
【請求項７】
前記予測スケジュール管理モジュールは、二重連結リスト構造を利用して前記待機スケジュールを管理し、キュー構造を利用して前記実行スケジュールを管理することを特徴とする請求項５に記載のサイバー脅威予測エンジンシステム。
【請求項８】
前記階層的予測実行器管理モジュールは、
前記全体予測項目階層構造によって前記複数の予測項目の各々に対応する予測実行器を構成する予測実行器構成モジュールと、
前記予測スケジュール執行モジュールから伝達された予測項目に対応する予測実行器を検索する予測実行器検索モジュールと、
前記検索された予測実行器を実行させる予測実行器駆動モジュールと、
前記予測実行器に対する中止、一時停止及び再開のうち少なくとも１つを含む制御を行う予測実行器制御モジュールと、
を含むことを特徴とする請求項５に記載のサイバー脅威予測エンジンシステム。
【請求項９】
前記予測項目に関連した予測模型情報によって前記予測実行器に時系列予測模型客体、代表値算出模型客体及び加重値合算模型客体のうち１つを割り当てる予測模型割り当てモジュールをさらに含むことを特徴とする請求項５に記載のサイバー脅威予測エンジンシステム。
【請求項１０】
前記予測エンジンコアザブシステムの環境設定情報及び実行ログを記録する環境設定及びログ管理モジュールをさらに含むことを特徴とする請求項１に記載のサイバー脅威予測エンジンシステム。
【請求項１１】
前記環境設定情報は、前記予測実行器の多重スレッド（ｍｕｌｔｉ−ｔｈｒｅａｄ）／単一スレッド（ｓｉｎｇｌｅ−ｔｈｒｅａｄ）実行可否、多重スレッド許容個数、前記実行ログの詳細水準、予測スケジュール確認週期のうち少なくとも１つを含むことを特徴とする請求項１０に記載のサイバー脅威予測エンジンシステム。
【請求項１２】
前記予測実行器に対応する予測項目が前記全体予測項目階層構造上、最下位に位置する場合に、前記予測実行器は、前記予測情報ＤＢから前記サイバー脅威時系列データまたは前記サイバー脅威標本データを読み取り、前記予測模型割り当てモジュールにより割り当てられた前記予測模型客体によって予測を実行することを特徴とする請求項９に記載のサイバー脅威予測エンジンシステム。
【請求項１３】
前記予測実行器に対応する予測項目が前記全体予測項目階層構造上、上位に位置する場合に、前記予測実行器は、下位に位置する予測項目に対応する予測実行器を再帰的に実行させた後、前記下位予測項目に対する予測結果と加重値合算予測模型を利用して予測を実行することを特徴とする請求項９に記載のサイバー脅威予測エンジンシステム。
【請求項１４】
複数のサイバー脅威予測項目と、これに関連した予測スケジュール及び予測模型情報、予測項目階層構造情報、サイバー脅威時系列データ、サイバー脅威標本データを含む予測情報を格納する予測情報ＤＢを具備したサイバー脅威予測エンジンシステムにおいてサイバー脅威を予測する方法であって、
前記方法は、
前記予測情報ＤＢから前記サイバー脅威予測項目、前記予測スケジュール、前記予測模型情報及び前記予測項目階層構造情報を読み取り、メモリに格納し、前記予測項目階層構造情報に基づいて予測実行器を構成することによって、システム初期化を行う段階と、
前記メモリに格納された予測スケジュールを周期的に確認し、予測実行時点に到逹したか否か否かを判断する段階と、
前記予測スケジュールが実行時点に到逹した場合、前記予測スケジュールに関連した予測項目に対応する予測実行器を検索し、前記検索された予測実行器に前記予測項目に関連した予測模型情報を提供し、前記予測実行器を駆動させる段階と、
前記予測実行器が前記予測情報ＤＢから予測実行に必要な前記予測情報のうち少なくとも１つを読み取り、前記提供された予測模型情報に基づいて予測を実行する段階と、
前記予測実行器により算出された予測値を含む予測結果を前記予測情報ＤＢに格納する段階と、を含むサイバー脅威予測方法。
【請求項１５】
前記予測模型情報に基づいて、時系列予測模型客体、代表値算出模型客体及び加重値合算模型客体のうち１つを前記予測実行器に割り当てる段階をさらに含むことを特徴とする請求項１４に記載のサイバー脅威予測方法。
【請求項１６】
前記予測実行器に対応する予測項目が予測項目階層構造上、最下位に位置する場合に、前記予測実行器は、前記予測情報ＤＢから前記サイバー脅威時系列データ及び前記サイバー脅威標本データのうち少なくとも１つを読み取り、前記予測模型客体によって予測を実行することを特徴とする請求項１５に記載のサイバー脅威予測方法。
【請求項１７】
前記予測実行器に対応する予測項目が予測項目階層構造上、上位に位置する場合に、前記予測実行器は、下位に位置する予測項目に対応する予測実行器を再帰的に実行させた後、前記下位予測項目に対する予測結果に加重値合算予測模型を利用して予測を実行することを特徴とする請求項１５に記載のサイバー脅威予測方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サイバー脅威を予測するためのサイバー脅威予測エンジンシステム及びその方法に関し、具体的には、サイバー脅威階層構造上、下位サイバー脅威を予測し、下位サイバー脅威予測結果を利用して上位サイバー脅威を予測することができるサイバー脅威予測エンジンシステム及び方法に関する。
【背景技術】
【０００２】
最近、インターネットなど情報通信技術の急速な成長に伴い、コンピュータハッキング、ウイルス、ワーム、そしてトロイ木馬などのサイバー脅威が大きくなっている。このようなサイバー脅威に対して侵入検知システム（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）、侵入遮断システム（ＩＰＳ：Ｉｎｔｒｕｓｉｏｎ  Ｐｒｅｖｅｎｔｉｏｎ  Ｓｙｓｔｅｍ）、管制システム、統合保安管理システム（ＥＳＭ：Ｅｎｔｅｒｐｒｉｓｅ  Ｓｅｃｕｒｉｔｙ  Ｍａｎａｇｅｍｅｎｔ）などが存在するが、このようなシステムは、現在の攻撃を検知するか、または現在のネットワーク状態情報を提供することができる。
【０００３】
しかし、このような情報は、サイバー脅威攻撃事後情報なので、事故をあらかじめ防止するか、または管理者やユーザが充分に対処することができるようにするのに困難がある。また、前記サイバー脅威に関する情報は、気象特報のような断片的な状況のみ伝達することから、実際保安政策及び予算を樹立する部署で知りたいハッキング、ウォームウイルスなどのような、さらに大きい範疇次元に該当するサイバー脅威の傾向あるいは全体サイバー脅威傾向を総合的に示した予測数値情報は収容していない。
【０００４】
これに対して、ハッキング、悪性コード、不法接近試しなどのような範疇次元のサイバー脅威に対する予測情報を保安官制要員あるいは組職の保安政策及び予算を樹立する人々にあらかじめ提供すれば、今後発生する可能性が高い範疇のサイバー攻撃に対して事前対応政策を樹立し措置するのに役に立つ。
【０００５】
このような範疇次元のサイバー脅威に対する予測情報を提供するためには、侵害事故発生頻度、ワームウイルス発生頻度などのような下位階層サイバー脅威に対する予測だけでなく、これを通じてハッキング、悪性コード脅威度のような上位階層サイバー脅威に対する予測が行われなければならない。しかし、現在としては、ネットワークの侵入検知及び侵入防止、ネットワーク官制、統合保安管理、サイバー脅威早期警報などの技術はあるが、階層構造を有するサイバー脅威に対して予測し、あらかじめ予報する技術はいまだ存在しない。
【発明の概要】
【発明が解決しようとする課題】
【０００６】
したがって、本発明の目的は、サイバー脅威階層構造上、下位階層サイバー脅威を予測し、その結果を利用して上位階層サイバー脅威を予測することができるサイバー脅威予測エンジンシステム及び方法を提供することにある。
【０００７】
本発明の他の目的は、侵害事故発生頻度、ワームウイルス発生頻度のような下位階層サイバー脅威に対しては、時系列予測模型を利用し、サイバー脅威に関する専門家意見のように様々な標本データを有する場合には、代表値算出模型を利用して予測対象時点の脅威度に対する予測値を算出し、上位階層サイバー脅威に対しては、下位サイバー脅威の予測値に脅威別加重値を付与し、合算し、予測値を算出することによって、予測技術がない既存官制サービスまたはサイバー脅威の予測値を基盤とする新しい応用及びサービス（例えば、自動と予想被害額を算出するサービス）に活用されることができるサイバー脅威予測エンジンシステム及び方法を提供する。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、本発明の一態様によるサイバー脅威予測エンジンシステムは、複数のサイバー脅威予測項目と、これに関連した予測スケジュール及び予測模型情報、予測項目階層構造情報、サイバー脅威時系列データ、サイバー脅威標本データを含む予測情報を格納する予測情報ＤＢと、前記予測情報ＤＢに格納された前記予測情報を利用して階層構造を有する前記複数のサイバー脅威予測項目に対する脅威度を予測する予測エンジンコアザブシステムと、ユーザまたは外部システムから前記予測エンジンコアザブシステムに対する制御命令を受信し、前記予測エンジンコアザブシステムに伝達する予測エンジン制御インターフェースとを含む。
【０００９】
本発明の一実施例において、予測エンジンコアザブシステムは、前記予測情報ＤＢから前記予測スケジュールを読み取り、メモリに格納し、予測実行を待機する待機スケジュール及び予測を現在実行中の実行スケジュールを管理する予測スケジュール管理モジュールと、前記予測情報ＤＢから前記予測項目階層構造を読み取り、全体予測項目階層構造を構成し、メモリに格納する予測項目階層構造管理モジュールと、前記全体予測項目階層構造によって前記複数の予測項目の各々に対応する予測実行器を構成及び管理する階層的予測実行器管理モジュールと、前記予測スケジュール管理モジュールにより管理される前記実行スケジュールを読み取り、前記実行スケジュールに関連した予測項目及び予測模型情報を前記予測実行器管理モジュールに伝達することによって、予測実行を指示する予測スケジュール執行モジュールとを含み、前記予測実行器管理モジュールは、前記予測スケジュール執行モジュールから伝達された予測項目に対応する予測実行器を検索して駆動させ、前記予測実行器は、前記予測項目に対応する予測模型情報によって予測を実行することを特徴とする。
【００１０】
本発明の他の態様によるサイバー脅威予測方法は、複数のサイバー脅威予測項目と、これに関連した予測スケジュール及び予測模型情報、予測項目階層構造情報、サイバー脅威時系列データ、サイバー脅威標本データを含む予測情報を格納する予測情報ＤＢを備えたサイバー脅威予測エンジンシステムにおいてサイバー脅威を予測する方法であって、前記方法は、前記予測情報ＤＢから前記サイバー脅威予測項目、前記予測スケジュール、前記予測模型情報及び前記予測項目階層構造情報を読み取り、メモリに格納し、前記予測項目階層構造に基づいて予測実行器を構成することによって、システム初期化を行う段階と、前記メモリに格納された予測スケジュールを周期的に確認し、予測実行時点に到逹したか否かを判断する段階と、前記予測スケジュールが実行時点に到逹した場合、前記予測スケジュールに関連した予測項目に対応する予測実行器を検索し、前記検索された予測実行器に前記予測項目に関連した予測模型情報を提供し、前記予測実行器を駆動させる段階と、前記予測実行器が前記予測情報ＤＢから予測実行に必要な前記予測情報のうち少なくとも１つを読み取り、前記提供された予測模型情報に基づいて予測を実行する段階と、前記予測実行器により算出された予測値を含む予測結果を前記予測情報ＤＢに格納する段階とを含む。
【発明の効果】
【００１１】
本発明によるサイバー脅威予測エンジンシステム及び方法は、多様なサイバー脅威間の階層構造に基づいてサイバー脅威総合脅威度のような最上位階層サイバー脅威に対する脅威度を予測し、その結果を事後対応水準にとどまっているＥＳＭのような既存の官制システムに提供することによって、将来発生するサイバー脅威から事前予防が可能となるようにすることができる。ユーザは、既存の官制システムを本発明の予測エンジンシステムと連動してサイバー脅威に対する総合的な警報状況に対する予測情報に基づいて警報発令をするか、ハッキング脅威度とウォームウイルス脅威度のようにサイバー脅威範疇別脅威度に対する予測結果に基づいて保安パッチ強化、侵入検知規則更新、そして脆弱点の点検強化など保護すべき電算資源に対して事前準備をすることができる。
【図面の簡単な説明】
【００１２】
【図１】本発明に一実施例によるサイバー脅威予測エンジンシステムの全体構成及び詳細機能を示すブロック図である。
【図２】本発明の一実施例による予測情報ＤＢの構造を概念的に示す図である。
【図３】本発明の一実施例による予測情報ＤＢの構造を概念的に示す図である。
【図４】本発明の一実施例による予測情報ＤＢの構造を概念的に示す図である。
【図５】本発明の一実施例による予測情報ＤＢの構造を概念的に示す図である。
【図６】本発明の一実施例による予測情報ＤＢの構造を概念的に示す図である。
【図７】本発明の一実施例による予測情報ＤＢの構造を概念的に示す図である。
【図８】本発明の一実施例によるサイバー脅威予測エンジンシステムで行われるサイバー脅威予測方法の動作過程を示す流れ図である。
【図９】本発明の一実施例による予測実行器の詳細構成を示す図である。
【図１０】本発明の一実施例による任意の図であるサイバー脅威に関連した予測実行器の実行過程を示す流れ図である。
【図１１】本発明の一実施例によって階層構造を有するサイバー脅威予測過程で予測実行器の動作手順を簡単に説明した例である。
【発明を実施するための形態】
【００１３】
以下、本発明によるサイバー脅威予測エンジンシステム及びこれを利用したサイバー脅威予測方法について添付の図面を参照して詳しく説明する。
【００１４】
図１は、本発明に一実施例によるサイバー脅威予測エンジンシステムの全体構成及び詳細機能を示すブロック図である。
【００１５】
図１を参照すれば、サイバー脅威予測エンジンシステム１０００は、ユーザまたは外部システムとのインターフェースを提供する予測エンジン制御インターフェース１１００と；予測情報ＤＢ１４００に格納された予測情報によって階層的サイバー脅威を予測する予測エンジンコアザブシステム１２００と；予測情報ＤＢ１４００から予測情報を問い合わせし、予測エンジンコアザブシステム１２００に伝達し、予測エンジンコアザブシステム１２００の予測結果を予測情報ＤＢ１４００に記録する予測エンジンＤＢ管理ザブシステム１３００と；予測情報が格納された予測情報ＤＢ１４００と；を含む。
予測エンジン制御インターフェース１１００は、本発明によるサイバー脅威予測エンジンシステム１０００を活用する外部応用システムまたはユーザから制御命令を受信し、予測エンジンコアザブシステム１２００に伝達する。制御命令は、予測エンジンコアザブシステム１２００の開始、中止、一時停止、再開だけでなく、予測情報ＤＢ１４００とメモリとの間の予測スケジュール、予測項目及び予測項目階層構造を含む予測情報同期化命令を含むことができる。
【００１６】
予測情報ＤＢ１４００は、予測エンジンコアザブシステム１２００の予測を実行するのに必要な予測情報を格納するデータベースであって、サイバー脅威予測項目名称及び当該予測項目の予測スケジュール及び予測模型情報を含む予測項目情報、予測項目階層構造情報、サイバー脅威時系列データ、サイバー脅威標本データ、予測結果のうち少なくとも１つ以上の情報を含むことができる。予測情報ＤＢ１４００の構造については、以下では、図２から図７を参照して後述する。
【００１７】
予測エンジンＤＢ管理ザブシステム１３００は、予測エンジンコアザブシステム１２００から予測情報要請に応答し、予測情報ＤＢ１４００から予測情報を検索し、予測エンジンコアザブシステム１２００に伝達し、予測エンジンコアザブシステム１２００の予測結果を予測情報ＤＢ１４００に格納する。
【００１８】
予測エンジンコアザブシステム１２００は、予測スケジュール管理モジュール１２１０、予測スケジュール確認モジュール１２２０、予測スケジュール執行モジュール１２３０、予測項目階層構造管理モジュール１２４０、階層的予測実行器管理モジュール１２５０、予測模型割り当てモジュール１２６０及び環境設定及びログ管理モジュール１２７０を含む。
【００１９】
予測スケジュール管理モジュール１２１０は、予測情報ＤＢ１４００から予測スケジュールを読み取り、メモリに格納し、予測実行を待機中の予測待機スケジュールと予測を現在実行中の実行スケジュールを管理する。予測スケジュール管理モジュール１２１０は、予測情報ＤＢ１４００とメモリ間の予測スケジュール情報の同期化を行い、二重連結リスト（Ｄｏｕｂｌｅ  ｌｉｎｋｅｄ  ｌｉｓｔ）資料構造を利用して待機スケジュールリストを管理し、キュー（Ｑｕｅｕｅ）資料構造を利用して実行スケジュールキューを管理する。一実施例において、予測スケジュール管理モジュール１２１０は、予測スケジュール確認モジュール１２２０及び予測スケジュール執行モジュール１２３０と別途のスレッドで実行される。予測スケジュール管理モジュール１２１０、予測スケジュール確認モジュール１２２０及び予測スケジュール執行モジュール１２３０の間に予測スケジュール情報を共有するものの、同時性を提供するために、相互排除（Ｍｕｔｅｘ：Ｍｕｔｕａｌ  ｅｘｃｌｕｓｉｖｅ）を利用する。
【００２０】
予測スケジュール確認モジュール１２２０は、待機スケジュールリストを周期的に検査し、予測実行時点が渡来すれば、待機中の予測スケジュールを実行スケジュールに変更するが、このような変更は、待機スケジュールリストから当該スケジュールを除去し、除去したスケジュールを実行スケジュールキューに挿入することによって行われる。
【００２１】
予測スケジュール執行モジュール１２３０は、前記予測スケジュール管理モジュール１２１０により管理される実行スケジュールキューのスケジュール情報を読み取り、前記スケジュール情報に設定された予測項目及び予測模型情報を前記予測実行器管理モジュール１２５０に伝達する。
【００２２】
予測項目階層構造管理モジュール１２４０は、予測情報ＤＢ１４００から予測項目情報及び予測項目階層構造情報を読み取り、メモリに維持及び管理する。具体的に、予測項目階層構造管理モジュール１２４０は、予測情報ＤＢ１４００とメモリとの間に予測項目同期化を行い、予測項目及び予測項目階層構造情報を読み取り、読み取られた情報に基づいて全体予測項目階層構造を構成し、これをメモリに格納する。一実施例において、全体予測項目階層構造は、ツリー構造として構成されることができる。
【００２３】
階層的予測実行器管理モジュール１２５０は、予測項目階層構造管理モジュール１２４０により管理される全体予測項目階層構造によって予測項目の各々に１：１で対応する予測実行器１２５５を構成及び管理する。一実施例において、階層的予測実行器管理モジュール１２５０は、予測項目階層構造管理モジュール１２４０により管理される全体予測項目階層構造の各予測項目に１：１で対応する予測実行器を構成する予測実行器構成モジュール１２５１と、予測スケジュール執行モジュール１２３０から伝達された予測項目に対応する予測実行器を検索する予測実行器検索モジュール１２５２と、検索された予測実行器を別個のスレッドで生成して駆動させ、予測実行器に予測項目に関連した予測模型情報を提供する予測実行器駆動モジュール１２５３と、予測エンジン制御インターフェース１１００を通じて伝達された中止、一時停止及び再開を含む制御命令によって現在別途のスレッドで実行中の予測実行器を制御する予測実行器制御モジュール１２５４及び予測実行器１２５５を含む。
【００２４】
予測実行器１２５５は、対応するサイバー脅威予測項目に対する予測模型情報を利用して予測模型割り当てモジュール１２６０から予測模型客体を割り当てられ、脅威度予測を行い、予測結果を予測情報ＤＢ１４００に格納するように予測エンジンＤＢ管理ザブシステム１３００に命令する。
【００２５】
予測模型割り当てモジュール１２６０は、予測実行器１２５５から予測模型情報を受信し、予測模型情報に関連した予測模型客体を予測実行器に割り当てる。一実施例において、予測模型割り当てモジュール１２６０は、階層構造上、最下位サイバー脅威項目の予測のために、ＡＲＩＭＡ模型、Ｈｏｌｔ−Ｗｉｎｔｅｒ’ｓ模型などの時系列予測模型客体または代表値（例えば、中央値、最頻値、平均値など）算出模型客体を割り当て、上位サイバー脅威項目の予測のためには、下位項目の予測結果を正規化した後、加重値を付与して合算する加重値合算模型客体を割り当てる。
【００２６】
環境設定及びログ管理モジュール１２７０は、サイバー脅威予測エンジンシステム１０００を開始するか、または実行する時に必要な環境設定情報及び実行ログ情報を管理する。例えば、環境設定情報は、予測実行器の多重スレッド（ｍｕｌｔｉ−ｔｈｒｅａｄ）／単一スレッド（ｓｉｎｇｌｅ−ｔｈｒｅａｄ）実行可否、多重スレッド許容個数、実行ログの詳細水準、予測スケジュール確認週期、データベース接続情報などを含むことができ、環境設定ファイルに格納される。予測実行器が多重スレッド実行に設定された場合には、複数の予測実行器が多重スレッドで同時に行われることができるが、単一スレッドに設定された場合には、予測スケジュール執行モジュールを行うスレッドと同一の単一スレッドで行われる。
【００２７】
実行ログ情報は、予測エンジン実行中に発生するエラーやデバッグ情報、予測エンジン自己点検情報などを含み、実行ログファイルに記録される。
【００２８】
本発明の一実施例によるサイバー脅威予測エンジンシステム１０００は、予測項目階層構造管理モジュール１２４０を利用して予測情報ＤＢ１４００と予測項目同期化を行い、階層的予測実行器管理モジュール１２５０を利用して予測実行器を再構成し、予測スケジュール管理モジュール１２１０を利用して予測スケジュールを同期化することによって、全体システムを修正するかまたは再実行することなく、予測項目の追加・除去及び階層構造の変更、予測スケジュールの追加・削除・変更、各予測対象の予測模型設定・変更を動的に行うことができるソフトウェアフレームワーク構造を有する。
【００２９】
図２ないし図７は、本発明の一実施例による予測情報ＤＢの構造を概念的に示す図である。具体的に、図２は、予測情報ＤＢの全体構造を示し、図３ないし図７は、予測情報ＤＢに格納される各項目の詳細構造を示す。
【００３０】
図２に示されたように、予測情報ＤＢは、サイバー脅威予測項目情報、サイバー脅威予測項目階層構造情報、サイバー脅威標本資料、サイバー脅威時系列資料、サイバー脅威予測結果項目を含む。各項目について後述する。
【００３１】
図３は、サイバー脅威予測項目情報の詳細構造を示す。図示のように、サイバー脅威予測項目情報は、予測項目識別子、項目名称、予測スケジュール及び予測模型情報を含む。予測項目としては、例えば、サイバー脅威総合脅威度、ハッキング脅威度、悪性コード脅威度、脆弱点脅威度、サイバーデモ脅威度、専門家意見基盤予測、侵入検知イベント発生頻度、ハッキング事故発生頻度、新規悪性コード発表頻度、悪性コード検知頻度、ネットワーク脆弱点検知頻度などがある。各予測項目に関連した予測スケジュール及び予測模型情報が格納される。予測模型としては、時系列予測模型、代表値選出模型及び加重値合算模型を例示することができ、加重値合算模型の場合には、所定の加重値が含まれる。
【００３２】
図４は、サイバー脅威予測項目構造情報の詳細構造を示す。サイバー脅威予測項目構造情報は、サイバー脅威の階層的予測実行のために予測項目に対応する予測実行器の実行手順を決定するのに必要な情報である。図示のように、サイバー脅威予測項目構造情報は、各項目識別子に属する下位項目識別子を記録している。例えば、項目識別子が１である“サイバー脅威総合脅威度”の下位項目として“ハッキング脅威度”（識別子２）、“悪性コード脅威度”（識別子３）、“脆弱点脅威度”（識別子４）、“サイバーデモ脅威度”などが記載している。
【００３３】
図５は、サイバー脅威標本資料の詳細構造を示す。サイバー脅威標本資料は、専門家意見基盤サイバー脅威予測あるいは主要行事日程重要度のように標本データを根拠として予測を実行するのに必要なデータである。一例として、サイバー脅威標本資料には、項目識別子、日付、一連番号及び標本値が含まれる。
【００３４】
図６は、サイバー脅威時系列資料の詳細構造を示す。サイバー脅威時系列資料は、侵入検知イベント発生頻度のように、過去発生した一連の件数などを含む資料である。一例として、サイバー脅威時系列資料には、項目識別子、日付、実測値が含まれる。
【００３５】
図７は、サイバー脅威予測結果の詳細構造を示す。サイバー脅威予測結果は、本発明によるサイバー脅威予測エンジンシステムによって予測された結果であって、項目識別子別に予測日付、実測値、予測値、誤差、正確度、上限値、下限値、増減率などが格納される。
【００３６】
図２ないし図７に示された予測情報ＤＢは、本発明の理解を助けるために一例として記載されたものであり、本発明が必ずこのような構造に限定されるものではないことを本技術分野の当業者には自明だろう。
【００３７】
図８は、本発明の一実施例によるサイバー脅威予測エンジンシステムで行われるサイバー脅威予測方法の動作過程を示す流れ図である。
【００３８】
図８に示されたように、段階３０１で、サイバー脅威予測エンジンシステム１０００の初期化を行う。環境設定ファイルからシステム実行に必要な環境設定情報を読み取り、システム実行中に発生するログを記録し始める。予測スケジュール管理モジュール１２１０は、予測情報ＤＢ１４００から予測項目情報に含まれた予測スケジュール情報を読み取り、メモリに格納する。予測項目階層構造管理モジュール１２４０は、予測項目階層構造情報を予測情報ＤＢ１４００から読み取り、全体予測項目階層構造を構成する。階層的予測実行器管理モジュール１２５０は、全体予測項目階層構造の予測項目の各々に１：１に対応する予測実行器を構成することによって、システム初期化を完了する。
【００３９】
段階３０２で、予測スケジュール確認モジュール１２２０は、待機中の予測スケジュールを周期的に確認し、設定された実行時間が渡来すれば、当該スケジュールを実行スケジュールに変更する。スケジュール変更は、予測スケジュール管理モジュール１２１０で管理する待機スケジュールリストから当該スケジュールを除去し、除去したスケジュールを実行スケジュールキューに挿入することによって行われる。
【００４０】
段階３０３で、予測スケジュール執行モジュール１２３０は、実行スケジュールキューに格納された予測スケジュール情報を順次に読み取り、スケジュールに対応する予測項目を階層的予測実行器管理モジュール１２５０に伝達することによって、予測スケジュールを執行する。
【００４１】
図８では、段階３０２と段階３０３が順次に示されているが、実際具現においては、予測スケジュール確認モジュール１２２０と予測スケジュール執行モジュール１２３０が別途のスレッドで生成され、独立的に実行されることができることを本技術分野の当業者は容易に理解することができる。
【００４２】
段階３０４で、階層的予測実行器管理モジュール１２５０は、予測スケジュール執行モジュール１２３０から伝達された予測項目に対応する予測実行器を検索し、検索された予測実行器に前記予測項目に関連した予測模型情報を提供し、予測実行器を別途のスレッドで生成して駆動する。
【００４３】
段階３０５で、予測実行器は、提供された予測模型情報によって予測模型割り当てモジュール１２６０からＡＲＩＭＡ模型、Ｈｏｌｔ−Ｗｉｎｔｅｒ’ｓ模型などの時系列予測模型客体、代表値算出模型客体または加重値合算模型客体を割り当てられる。
【００４４】
段階３０６で、予測実行器は、予測エンジンＤＢ管理ザブシステム１３００を通じて予測情報ＤＢ１４００から予測を実行するのに必要なデータ（例えば、サイバー脅威時系列資料、専門家意見のようなサイバー脅威標本資料など）を読み取り、割り当てられた予測模型客体を利用して予測を行った後、予測結果を予測情報ＤＢに格納する。
【００４５】
予測実行器は、時系列予測模型客体（ＡＲＩＭＡ模型、Ｈｏｌｔ−Ｗｉｎｔｅｒ’ｓ模型など）を割り当てられた場合、サイバー脅威時系列データを予測情報ＤＢ１４００から読み取り、予測を行い、代表値算出模型（平均値算出など）客体を割り当てられた場合、サイバー脅威標本資料を予測情報ＤＢ１４００から読み取り、予測を実行する。一方、上位サイバー脅威項目のように、下位項目の予測結果に加重値を考慮して合算する加重値合算模型客体を割り当てられた場合には、下位項目の予測結果と加重値情報を予測情報ＤＢ１４００から読み取り、予測を実行する。この際、上位サイバー脅威項目予測時に、下位項目の予測結果が存在しなければ、下位項目に対応する予測実行器を先に実行させることによって、再帰的に予測する過程を行った後、最終予測を実行する。具体的な予測実行器の構造及び動作については図９及び１０を参照して後述する。
【００４６】
段階３０７で、予測エンジン制御インターフェース１１００を通じて受信された制御命令を確認する。制御命令が存在しない場合には、段階３０２に進行し、予測スケジュールを確認する。
【００４７】
一方、制御命令がスケジュール及び項目同期化の場合には、予測スケジュール確認モジュール１２２０と予測スケジュール執行モジュール１２３０の実行を一時停止し（３０９）、現在実行中の予測実行器が仕上げられるまで待機する（３１０）。現在実行中のすべての予測実行器の実行が終わった後、予測情報ＤＢに変動された予測項目情報及び予測項目階層情報を読み取り、予測スケジュール及び予測項目階層構造の同期化を行い（３１１）、同期化された予測項目階層構造によって予測実行器を再構成する（３１２）。次に、一時停止された予測スケジュール確認モジュール１２２０と予測スケジュール執行モジュール１２３０の実行を再開した後（３１３）、段階３０２に進行し、待機中の予測スケジュール確認を進行する。
【００４８】
制御命令確認段階３０８で一時停止命令が存在する場合には、現在実行中の予測スケジュール確認モジュール１２２０と予測スケジュール執行モジュール１２３０の実行を再開命令が受信されるまで停止させる（３１４）。
【００４９】
もし、制御命令確認段階３０８で再開命令が存在する場合には、現在状態が一時停止状態であるか否かを判断し（３１６）、一時停止状態なら、予測スケジュール確認モジュール１２２０と執行モジュール１２３０を再開した後(３１７)、予測スケジュール確認段階３２０を進行し、現在状態が一時停止状態ではない場合には、予測スケジュール確認段階３２０を進行する。
【００５０】
もし、制御命令確認段階３０８で中止命令が存在する場合、予測スケジュール確認モジュール１２２０と予測スケジュール執行モジュール１２３０の実行を中止し、この際、実行スケジュールが残っている場合には、これ以上スケジュールを執行せず、現在別途のスレッドで実行中の予測実行器を階層的予測実行器管理モジュール１２５０を通じて先に中止させる（３１５）。
【００５１】
図９は、本発明の一実施例による予測実行器の詳細構成を示す図である。図示のように、予測実行器４００は、下位サイバー脅威予測モジュール４１０、予測模型別予測実行モジュール４２０及び予測結果算出モジュール４３０を含む。下位サイバー脅威予測モジュール４１０は、予測実行器４００が階層構造上、ｋ階層に存在すると仮定する時、深さ優先方式（Ｄｅｐｔｈ−Ｆｉｒｓｔ−Ｓｅａｒｃｈ）に基づいてｋ階層より下位階層に存在する予測実行器を先に実行させる。下位階層予測実行器は、再帰的に実行される。
【００５２】
予測模型別予測実行モジュール４２０は、予測情報ＤＢ１４００から関連されたサイバー脅威データを読み取り、予測模型割り当てモジュール１２６０から割り当てられた予測模型客体を利用して予測を実行する。一実施例において、割り当てられた予測模型客体は、代表値算出模型、時系列予測模型、加重値合算模型のうち１つである。予測模型別予測実行モジュール４３０は、前記各々の予測模型客体に基づいて、代表値算出、時系列予測及び加重値合算を用いた予測を実行する。
【００５３】
予測結果算出モジュール４３０は、予測模型別予測実行モジュール４２０の予測値に基づいて、正確度、上限値、下限値、増減率、誤差のうち少なくとも１つの値を算出し、算出された値と、実測値及び予測値を含む予測結果をＤＢ管理ザブシステム１３００に伝達し、予測情報ＤＢ１４００に格納するように指示する。
【００５４】
図１０は、本発明の一実施例による任意のサイバー脅威に関連した予測実行器の実行過程を示す流れ図である。
【００５５】
まず、予測実行器がサイバー脅威階層構造上、ｋ階層の予測項目に対応すると仮定する時、ｋ階層より下位階層予測項目に対応する予測実行器が存在するか否かを判断し（段階５０１）、下位階層予測実行器が存在する場合には、これを先に実行させる（段階５０２）。すなわち、階層構造上、上位に位置する予測実行器（例えば、サイバー脅威総合脅威度予測実行器）を実行する前に、深さ優先探索方法を利用して下位予測実行器を探索し、再帰的に実行させる。
【００５６】
段階５０３で、予測実行器は、階層的予測実行器管理モジュール１２５０から提供された予測模型情報に根拠して予測模型割り当てモジュール１２６０から予測模型客体を割り当てられる。
【００５７】
段階５０４で、予測実行器は、予測模型客体を検査する。一実施例において、予測模型客体は、代表値算出模型、時系列模型、加重値合算模型のうち１つである。代表値算出模型は、予測時点に該当する標本集団のデータを読み取り、中央値、四分位値、平均値、最大値、最小値、最頻値などの統計代表値を算出する模型である。時系列予測模型は、過去発生した一連の時系列データ（時間の流れによる一連の確率変数）のパターンが将来にも適用されるという仮定に根拠して、将来の時系列を過去時系列値の関数で表現する数式模型である。加重値合算模型は、入力値と各入力値の重要度を考慮して脅威度を算出する模型であって、上位サイバー脅威予測項目に対する脅威度予測値は、下位項目の脅威度予測値に加重値を付与して合算することによって算出する。
【００５８】
予測実行器に割り当てられた予測模型客体が代表値算出模型の場合に、段階５０５で、予測情報ＤＢ１４００から予測時点に該当する標本集団データを読み取り、段階５０６で、中央値、四分位値、平均値、最大値、最小値、最頻値などの統計代表値を算出する。例えば、平均値を統計代表値として使用する場合、ｔ時点に
【数１】
2012527687.tif 000003
時間後の予測項目ｋに対する脅威度予測値
【数２】
2012527687.tif 000004
を算出する数式は、次の通りである。
【００５９】
【数３】
2012527687.tif 000005
【００６０】
ここで、
【数４】
2012527687.tif 000006
は、予測項目ｋが
【数５】
2012527687.tif 000007
時点に有する値の標本集合である。例えば、サイバー脅威予測項目のうち主要行事日程重要度及びサイバー脅威関連専門家意見は、代表値算出模型を使用することができる。例えば、主要行事日程重要度の場合に、３月１日時点に算出する３月２日に該当する脅威度予測値は、３月２日に登録されている主要行事に対する重要度平均値として算出される。また、サイバー脅威関連専門家意見の場合、３月１日時点に３月２日に該当する脅威度予測値は、３月２日に専門家別に予測した脅威度数値を平均した値として算出される。
【００６１】
一方、予測実行器に割り当てられた予測模型客体が時系列予測模型の場合に、段階５０７で、予測情報ＤＢ１４００から当該サイバー脅威に関連された時系列データを読み取り、段階５０８で、時系列データを分析し、与えられた時系列に適した数式模型を樹立した後、段階５０９で樹立された数式模型を利用して予測対象時点の時系列値を計算する。時系列データを分析し、与えられた時系列に適した数式を樹立するために、ユーザが設定した時系列模型に対して実際観測データと時系列模型を利用して生成されたデータとの差異である誤差が最小となるように媒介変数を推定する方法である最小二乗推定法（Ｌｅａｓｔ  Ｓｑｕａｒｅ  Ｅｒｒｏｒ  Ｅｓｔｉｍａｔｉｏｎ）または最尤推定法（Ｍａｘｉｍｕｍ  Ｌｉｋｅｌｉｈｏｏｄ  Ｅｓｔｉｍａｔｉｏｎ）を使用することができる。
【００６２】
例えば、予測実行器の階層構造上、最下位レベルに位置する予測項目ｋがＡＲＭＡ１、１模型に従う場合、ｔ時点に
【数６】
2012527687.tif 000008
時間後の予測値
【数７】
2012527687.tif 000009
を算出する数式は、次の通りである。
【００６３】
【数８】
2012527687.tif 000010
【００６４】
ここで、
【数９】
2012527687.tif 000011
は、平均が０であり、分散が
【数１０】
2012527687.tif 000012
である白色雑音であり、
【数１１】
2012527687.tif 000013
と
【数１２】
2012527687.tif 000014
は、各々予測時点
【数１３】
2012527687.tif 000015
で−１である時点
【数１４】
2012527687.tif 000016
の時系列項
【数１５】
2012527687.tif 000017
及び白色雑音項
【数１６】
2012527687.tif 000018
の媒介変数である（但し、
【数１７】
2012527687.tif 000019
）。前述したように、
【数１８】
2012527687.tif 000020
と
【数１９】
2012527687.tif 000021
は、実際観測された時系列データとの誤差を最小化するようにする最小二乗推定または最尤推定を利用して推定されることができる。また、過去時系列項
【数２０】
2012527687.tif 000022
は、
【数２１】
2012527687.tif 000023
のように再帰的に求めることができる。一実施例において、サイバー脅威予測項目のうち侵入検知イベント発生頻度、ハッキング事故発生頻度などに対する予測は、時系列模型に基づいて行われることができる。
【００６５】
次に、予測実行器に割り当てられた予測模型客体が加重値合算模型の場合に、段階５１０で、予測情報ＤＢ１４００から下位サイバー脅威項目の脅威度予測値を読み取り、段階５１１で、前記予測値を正規化した後に加重値を付与し合算することによって、上位脅威項目に対する脅威度予測値を算出する。加重値合算模型に基づいてｔ時点に
【数２２】
2012527687.tif 000024
時間後に上位項目ｋに対する脅威度予測値
【数２３】
2012527687.tif 000025
を算出する数式は、次の通りである。
【００６６】
【数２４】
2012527687.tif 000026
【００６７】
ここで、
【数２５】
2012527687.tif 000027
は、上位項目ｋに対する下位項目ｉの加重値を意味する。
【数２６】
2012527687.tif 000028
は、ｔ時点に
【数２７】
2012527687.tif 000029
時間後にｉ項目の脅威度予測値を意味する。脅威度予測値の範囲は、脅威要素ごとに異なるので、［０、１００］間の値に範囲を調整する正規化（ｎｏｒｍａｌｉｚａｔｉｏｎ）が必要である。
【数２８】
2012527687.tif 000030
は、脅威項目ｉが有することができる範囲で入力されたｘ値を［０、１００］に正規化する関数である。正規化方法は、過去ｉが有する値が正規分布に従うと見なし、正規化しようとするｘを標準正規分布上で、どの地点に位置するか否かを計算し、百分率で換算する方法である。代案的に、現在から特定過去時点までの一定期間の間に最小脅威度及び最大脅威度を０及び１００であると仮定する時、正規化しようとするｘが位置する地点を０〜１００間の値に換算することもできる。一実施例において、上位サイバー脅威予測項目のうち、サイバー脅威総合脅威度、悪性コード脅威度、脆弱点脅威度またはサイバーデモ脅威度などに対する予測は、加重値合算模型を利用して行われることができる。
【００６８】
段階５１２で、時系列予測模型、代表値算出模型、そして加重値合算模型によって計算された予測値に基づいて、予測上限値、予測下限値、予測値増加率、予測誤差及び予測正確度のうち少なくとも１つの値を算出する。予測正確度は、過去ｎ日に対して実測値に対する予測値の誤差比率を逆に換算した平均的中率を意味する。ｔ時点に予測項目ｋに対する正確度
【数２９】
2012527687.tif 000031
を数式で表現すれば、次の通りである。
【００６９】
【数３０】
2012527687.tif 000032
【００７０】
ここで、
【数３１】
2012527687.tif 000033
は、予測項目ｋに対するｉ時点の実測値であり、
【数３２】
2012527687.tif 000034
は、予測項目ｋに対するｉ時点の予測値である。
【００７１】
段階５１３で算出された予測値及び段階５１２で算出された値を含む予測結果を予測情報ＤＢ１４００に格納することによって、予測実行器の動作を終了する。
【００７２】
前述した本発明の実施例で利用される予測模型は、加重値合算模型、時系列模型、代表値算出模型だが、サイバー脅威の特性に適した模型を本発明で上述したサイバー脅威予測エンジンフレームワークに追加拡張して活用することができる。また、時系列模型は、ＡＲＩＭＡ模型、Ｈｏｌｔ−Ｗｉｎｔｅｒ’ｓ模型、ＧＡＲＣＨ模型などに限定されず、サイバー脅威時系列データによって適当な時系列模型を選択して使用可能である。また、時系列予測模型の媒介変数推定方法、代表値算出模型で使用される代表値類型、加重値合算模型で使用される正規化方法または各脅威による加重値は、予測エンジンコアザブシステムの動作に影響を及ぼすことなく、予測情報ＤＢ管理ザブシステム１３００を通じてユーザが動的に設定することができる。
【００７３】
図１１は、本発明の一実施例によって階層構造を有するサイバー脅威予測過程で予測実行器の動作手順を簡単に説明した例である。
【００７４】
図１１に示されたように、予測実行器の階層構造は、ツリー形態で維持される。階層構造上、最上位に位置する予測実行器（サイバー脅威総合脅威度予測実行器）を実行する前に、ツリー探索方法のうち深さ優先探索方法を利用して下位予測実行器をすべて実行する。下位予測実行器を実行すれば、下位予測項目別にユーザが設定した時系列予測模型、代表値算出模型、または加重値合算模型を利用して予測結果が再帰的に算出される。最後に、最上位予測実行器は、再帰的に算出した下位予測結果に下位予測項目別に付与された加重値を付与して合算し、最終予測結果を算出する。
【００７５】
具体的に、予測実行器の階層構造をツリー構造で表現する時、ツリー構造の末端ノードに位置する予測実行器は、時系列模型や代表値算出模型を利用して予測を実行する。ツリー構造で内部ノード（Ｉｎｔｅｒｎａｌ  ｎｏｄｅ）に位置する予測実行器は、最下位予測実行器の予測結果を利用して加重値合算模型に基づいて予測を実行する。例えば、図１０では、ハッキング脅威度を予測する予測実行器は、先に侵入検知イベント発生頻度及びハッキング事故発生頻度に対する予測を実行する下位予測実行器を先に実行させた後に実行されるように設定される。
【００７６】
以上でいくつかの実施例により本発明をさらに詳細に説明したが、本発明は、必ずこのような実施例に限定されるものではなく、本発明の技術思想を逸脱しない範囲内で多様に変形実施されることができる。
【図１】
2012527687.tif 000035
【図２】
2012527687.tif 000036
【図３】
2012527687.tif 000037
【図４】
2012527687.tif 000038
【図５】
2012527687.tif 000039
【図６】
2012527687.tif 000040
【図７】
2012527687.tif 000041
【図８】
2012527687.tif 000042
【図９】
2012527687.tif 000043
【図１０】
2012527687.tif 000044
【図１１】
2012527687.tif 000045
【国際調査報告】
2012527687.tif 000046
2012527687.tif 000047
2012527687.tif 000048
2012527687.tif 000049