Patent EP-4002172-A1 (EP)
Title: Verfahren zur klassifizierung von anomalen betriebszuständen eines computernetzwerks
Inventor: LANDAUER MAX
IPC: G06F21/55
Filed: 2021-09-16
Abstract: Die Erfindung betrifft ein Verfahren zur Klassifizierung von anomalen Betriebszuständen eines Computernetzwerks (1), die auf Variationen unterschiedlicher Angriffstypen zurückzuführen sind,- wobei das Computernetzwerk eine Anzahl von Computern umfasst, wobei auf den Computern zumindest ein Angriffserkennungssystem (S<sub>A</sub>, S<sub>B</sub>) zur Erkennung von anomalen Betriebszuständen des Computers und/oder des Computernetzwerks abläuft, wobei das zumindest eine Angriffserkennungssystem (S<sub>A</sub>, S<sub>B</sub>) dazu ausgebildet ist, bei Eintreten von anomalen Betriebszuständen, die vorab vorgegebenen Erkennungsfällen entsprechen, insbesondere einen Angriff auf den Computer und/oder das Computernetzwerk darstellen, Alarmobjekte (AO; AO<sub>1</sub>, ..., AO<sub>n</sub>) zu erstellen, sodass derart eine Alarmobjektsequenz erzeugt wird, in der die einzelnen Alarmobjekte (AO; AO<sub>1</sub>, ..., AO<sub>n</sub>) in der Abfolge ihres Auftretens, insbesondere versehen mit einem Zeitstempel, enthalten sind,wobei den einzelnen Alarmobjekten (AO; AO<sub>1</sub>, ..., AO<sub>n</sub>) jeweils eine Anzahl von Attributen und den Attributen zugeordneten Werten, insbesondere eine Anzahl von Zahlen, Zeichenketten, Wertelisten, und/oder Objekten, zugeordnet sind, die den jeweils aufgetretenen anomalen Betriebszustand, der als einem Erkennungsfall entsprechend erkannt wurde, charakterisieren, wobei- die einzelnen Alarmobjekte (AO; AO<sub>1</sub>, ..., AO<sub>n</sub>) der Alarmobjektsequenz zu Alarmobjektgruppen (G; G<sub>1</sub>, ..., G<sub>m</sub>; G'<sub>1</sub>, ..., G'<sub>m</sub>) zusammengefasst werden,- dass die einzelnen Alarmobjektgruppen (G; G<sub>1</sub>, ..., G<sub>m</sub>; G'<sub>1</sub>, ..., G'<sub>m</sub>) basierend auf der Reihenfolge, der Häufigkeit und/oder den Attributen der den jeweiligen Alarmobjektgruppen (G; G<sub>1</sub>, ..., G<sub>m</sub>; G'<sub>1</sub>, ..., G'<sub>m</sub>) zugeordneten Alarmobjekte (AO; AO<sub>1</sub>, ..., AO<sub>n</sub>) nach einer vorgegebenen Ähnlichkeitsmetrik hinsichtlich ihrer Ähnlichkeit verglichen und unter Vorgabe eines Alarmobjektgruppen-Ähnlichkeitsschwellenwerts (t) aufgrund deren Ähnlichkeit nach einer vorgegebenen Aggregationsmetrik zu Alarmobjektmustern (P; P<sub>1</sub>, ..., P<sub>k</sub>) in Form von Datenobjekten zusammengefasst werden,wobei den Alarmobjektmustern (P; P<sub>1</sub>, ..., P<sub>k</sub>) jeweils repräsentative Alarmobjekte (RA; RA<sub>1</sub>, ..., P<sub>l</sub>) zugewiesen werden, die diejenigen Alarmobjekte (AO; AO<sub>1</sub>, ..., AO<sub>n</sub>), insbesondere deren Attribute und Werte, die den als ähnlich erkannten Alarmobjektgruppen (G; G<sub>1</sub>, ..., G<sub>m</sub>; G'<sub>1</sub>, ..., G'<sub>m</sub>) zugeordnet sind, repräsentieren und wobei jedem Alarmobjektmuster (P; P<sub>1</sub>, ..., P<sub>k</sub>) ein Angriffstyp zugeordnet wird, und- diejenigen anomalen Betriebszustände, die denjenigen Alarmobjekten (AO; AO<sub>1</sub>, ..., AO<sub>n</sub>) zugrunde liegen, die den zu einem jeweiligen Alarmobjektmuster (P; P<sub>1</sub>, ..., P<sub>k</sub>) zusammengefassten Alarmobjektgruppen (G; G<sub>1</sub>, ..., G<sub>m</sub>; G'<sub>1</sub>, ..., G'<sub>m</sub>) zugeordnet sind, als anomale Betriebszustände erkannt werden, die auf denjenigen Angriffstyp zurückzuführen sind, der dem jeweiligen Alarmobjektmuster (P; P<sub>1</sub>, ..., P<sub>k</sub>) zugeordnet ist.