Patent EP-3961447-A1 (EP)
Inventor: HÖDL GEORG
IPC: G06F21/55
Filed: 2021-08-17
Abstract: Die Erfindung betrifft ein Verfahren zur Detektion von anomalen Betriebszuständen eines Computersystems,- wobei während des Betriebs des Computers oder von auf dem Computer ablaufenden Prozessen, Protokolle erstellt werden, indem bei Auftreten vorgegebener Ereignisse für jedes dieser Ereignisse jeweils eine Protokollzeile in Form einer Zeichenabfolge erstellt wird, wobei der Aufbau der Protokollzeile einer vom jeweiligen Computer und/oder Prozess vorgegebenen Syntax entspricht,- wobei die einzelnen Protokollzeilen an vorgegebenen Trennzeichen in Teilzeichenabfolgen unterteilt werden,- wobei den einzelnen Protokollzeilen basierend auf deren Syntax, insbesondere aufgrund der Ähnlichkeit der einzelnen Protokollzeilen zueinander und aufgrund der die Protokollzeilen aufbauenden Teilzeichenabfolgen, jeweils zumindest ein Ereignistyp zugewiesen wird,- wobei für jeden Ereignistyp ein Template umfassend eine Anzahl von Teilzeichenabfolgen der Protokollzeilen des jeweiligen Ereignistyp repräsentierenden Token (T), erstellt wird,- wobei das Template die Struktur der einem jeweiligen Ereignistyp zugeordneten Protokollzeilen beschreibt, und- wobei das Template eine Anzahl von Token (T) mit statischem Inhalt, insbesondere statischen Werten, umfasst, die in ihrer Reihenfolge in ausgewählten, insbesondere allen, Protokollzeilen des jeweiligen Ereignistyps vorhanden sind, und wobei die Token (T) mit statischem Inhalt des Templates durch Token (T) mit variablen Inhalt, insbesondere variablen Werten, unterbrochen werden,- wobei das Template eine Anzahl von Token (T) aufweist, deren Inhalt, insbesondere deren Werte, einen diskreten Datentyp aufweisen, und- wobei die Protokollzeilen und deren Teilzeichenabfolgen charakteristisch für den Betriebszustand des Computersystems sind.Erfindungsgemäß ist vorgesehen,- dass in einer Initialisierungsphase- auf Grundlage einer Stichprobe umfassend eine Anzahl an Protokollzeilen des jeweiligen Ereignistyps Tokenpaare (TP) umfassend einen ersten Token (T<sub>1</sub>) und einen zweiten Token (T<sub>2</sub>) aus den, den diskreten Datentyp aufweisenden, Token (T) des Templates eines jeweiligen Ereignistyps gebildet werden,wobei als Werte des jeweiligen Tokens (T) jeweils diejenigen Teilzeichenabfolgen der Protokollzeilen der Stichprobe ermittelt werden, die dem jeweiligen Token (T) zugehörig sind, und- für all Tokenpaare (TP) und jeden angenommenen Wert des ersten Tokens (T<sub>1</sub>) des Tokenpaares (TP) jeweils eine Korrelation ermittelt wird, indem die bedingten Verteilungen dafür berechnet werden, dass bei Auftreten des jeweiligen Werts im ersten Token (T<sub>1</sub>) des Tokenpaares (TP), ein jeweiliger Wert im zweiten Token (T<sub>2</sub>) des Tokenpaares (TP) auftritt und- dass anschließend in einer Testphase- wiederholt, sobald eine Abfolge, insbesondere eine vorgegebene Anzahl, neu erstellter Protokollzeilen eines jeweiligen Ereignistyps erstellt wurde, mittels eines Tests auf Homogenität getestet wird, ob die aufgefundenen Korrelationen erfüllt sind, indem jeweils für alle Werte des ersten Tokens (T<sub>1</sub>) eines jeweiligen Tokenpaares (TP) überprüft wird, ob bei denjenigen neu erstellten Protokollzeilen, bei denen der jeweilige Wert im ersten Token (T<sub>1</sub>) auftritt, die Werte des zweiten Tokens (T<sub>2</sub>) den berechneten bedingten Verteilungen der jeweiligen ermittelten Korrelation folgen und- ein anomaler Betriebszustand des Computersystems erkannt wird, wenn, insbesondere wiederholt, festgestellt wird, dass die Werte der Token (T) zumindest einer der ermittelten Korrelationen nicht den jeweils berechneten bedingten Verteilungen folgen.