Patent DE-112019003042-B4 (DE)
Title: Erkennung von verdächtigen aktivitäten in computernetzwerken
Inventor: SUNG CHUL
IPC: G06F21/50
Filed: 2019-08-21
Granted: 2023-05-25
Abstract: Durch einen Computer ausgeführtes Verfahren, das umfasst:Empfangen, durch einen Prozessor (120), eines Benutzerprofils (108) eines Benutzers (101), der Zugriff auf ein Netzwerk angefordert hat, wobei das Benutzerprofil (108) mindestens eine E-Mail-Adresse (109) des Benutzers (101) aufweist, wobei die E-Mail-Adresse (109) einen Domänennamen aufweist;Feststellen, durch den Prozessor (120), ob der Domänenname gültig ist;als Reaktion auf das Feststellen, dass der Domänenname ungültig ist, Klassifizieren, durch den Prozessor (120), des Benutzers als verdächtigen Benutzer;als Reaktion auf das Feststellen, dass der Domänenname gültig ist:Feststellen, durch den Prozessor, einer Wahrscheinlichkeit, dass es sich bei der E-Mail-Adresse (109) um eine von einem Skript erzeugte E-Mail-Adresse handelt, wobei das Feststellen der Wahrscheinlichkeit auf einem Unterschied zwischen der E-Mail-Adresse und einer Mehrzahl von E-Mail-Adressen beruht, wobei die Mehrzahl der E-Mail-Adressen den Domänennamen aufweist und die Mehrzahl der E-Mail-Adressen anderen Benutzern zugeordnet ist, die Zugriff auf das Netzwerk angefordert haben, wobei das Feststellen der Wahrscheinlichkeit, dass es sich bei der E-Mail-Adresse (109) um eine von einem Skript erzeugte E-Mail-Adresse handelt, aufweist:Feststellen, durch den Prozessor (120), eines ersten Mittelwerts von Unterschieden zwischen der E-Mail-Adresse (109) und der Mehrzahl der E-Mail-Adressen;Feststellen, durch den Prozessor (120), eines Variationskoeffizienten von Längen der Mehrzahl der E-Mail-Adressen;Feststellen, durch den Prozessor (120), eines zweiten Mittelwerts eines Unterschieds zwischen der E-Mail-Adresse und einem Namen des Benutzers sowie von Unterschieden zwischen der Mehrzahl der E-Mail-Adressen und Namen von entsprechenden Benutzern;Feststellen, durch den Prozessor (120), einer auf dem ersten Mittelwert, dem Variationskoeffizienten von Längen und dem zweiten Mittelwert beruhenden Einstufung;Vergleichen, durch den Prozessor (120), der Einstufung mit einem Schwellenwert;Feststellen, durch den Prozessor (120), der Wahrscheinlichkeit, dass es sich bei der E-Mail-Adresse um eine von einem Skript erzeugte E-Mail-Adresse handelt, auf der Grundlage des Vergleichs der Einstufung mit dem Schwellenwert;als Reaktion auf das Feststellen, das auf der Wahrscheinlichkeit beruht, dass die E-Mail-Adresse eine von einem Skript erzeugte E-Mail-Adresse ist, Klassifizieren, durch den Prozessor, des Benutzers (101) als verdächtigen Benutzer;als Reaktion auf das Feststellen, das auf der Wahrscheinlichkeit beruht, dass die E-Mail-Adresse (109) keine von einem Skript erzeugte E-Mail-Adresse ist:Vergleichen, durch den Prozessor, eines Nutzungsverhaltens des Benutzers (101) mit einem Referenzmodell, wobei das Nutzungsverhalten eine Langzeitnutzung des Netzwerks durch den Benutzer anzeigt;Feststellen, durch den Prozessor (120), ob auf der Grundlage des Vergleichs ein von dem Benutzer in dem Netzwerk an den Tag gelegtes abnormales Nutzungsverhalten vorhanden ist; undals Reaktion auf das Feststellen des Vorhandenseins eines von dem Benutzer in dem Netzwerk an den Tag gelegten abnormalen Nutzungsverhaltens, Klassifizieren, durch den Prozessor, des Benutzers (101) als verdächtigen Benutzer; undIn Antwort auf ein Klassifizieren des Benutzers (101) als verdächtigen Benutzer Zurückweisen, durch den Prozessor (120), einer nachfolgenden Anforderung von dem Benutzer für einen Zugriff auf das Netzwerk.