Patent EP-3528162-A1 (EP)
Title: Verfahren zur erkennung von anormalen betriebszuständen
Inventor: LANDAUER MAX
IPC: H04L29/06
Filed: 2019-01-22
Abstract: Die Erfindung betrifft ein Verfahren zur Erkennung von anormalen Betriebszuständen, insbesondere verursacht durch Manipulation, in einem Computernetzwerk (1), welches mehrere Computer (1a, 1b, 1c) umfasst, wobei 
- von den Computern (1a, 1b, 1c) des Computernetzwerks (1) oder von auf diesen Computern (1a, 1b, 1c) ablaufenden Prozessen (2a, 2b, 2c) jeweils Protokolle erstellt werden, 
- von den Computern (1a, 1b, 1c) oder den Prozessen (2a, 2b, 2c) bei Auftreten vorgegebener Ereignisse für jedes dieser Ereignisse jeweils ein Protokolldatensatz in Form einer Protokollzeile (s 1 , ..., s n ) erstellt wird und wobei jede Protokollzeile (s 1 , ..., s n ) einen Beschreibungsdatensatz (32a, 32b, 32c) für das jeweilige protokollierte Ereignis umfasst, wobei 
a) Zeitfenster (T 1 , T 2 , T 3 ) vorgegeben werden, wobei die Zeitfenster (T 1 , T 2 , T 3 ) insbesondere nahtlos aneinander grenzen und vorzugsweise gleich lang sind, 
b) die Protokollzeilen (s 1 , ..., s n ) entsprechend dem Zeitpunkt ihrer Erstellung oder Verarbeitung jeweils einem vorgegebenen Zeitfenster (T 1 , T 2 , T 3 ) zugeordnet werden, 
c) diejenigen Protokollzeilen (s 1 , ..., s n ), die einem jeweils betrachteten Zeitfenster (T 1 , T 2 , T 3 ) zugeordnet sind, hinsichtlich ihrer Ähnlichkeit analysiert werden und aufgrund ihrer Ähnlichkeit nach einer vorgegebenen Metrik und unter Vorgabe eines Ähnlichkeits-Schwellenwerts zu einzelnen Gruppen (C 1   a , C 1   b , C 1   c , C 2   a , C 2   b , C 2   c , C 3   a , C 3   b , C 3   c ) zusammengefasst werden, 
wobei vorzugsweise jede Protokollzeile (s 1 , ..., s n ) jeweils nur einer Gruppe zugeordnet wird, 
d) Protokollzeilen (s 1 , ..., s n ) eines jeweils betrachteten Zeitfensters (T 1 , T 2 , T 3 ) zu Gruppen die jeweils benachbarten Zeitfenstern (T 1 , T 2 , T 3 ) zugeordnet sind, unter Verwendung der in Schritt c) verwendeten Metrik, und gegebenenfalls des in Schritt c) verwendeten Ähnlichkeits-Schwellenwerts, zugeordnet werden, 
e) eine Überlappungskennzahl gebildet wird, die aufgrund der in Schritt d) vorgenommenen Zuordnungen ein Maß für den Grad an Übereinstimmung zwischen den Protokollzeilen zweier oder mehrerer Gruppen in unterschiedlichen Zeitfenstern angibt, 
f) unter Auswertung der gebildeten Überlappungskennzahl Gruppen aus zeitlich benachbarten Zeitfenstern (T 1 , T 2 , T 3 ) einander zugeordnet werden, durch 
- Finden von Gruppen, insbesondere einer Vorgänger-Gruppe und einer Nachfolger-Gruppe, deren Überlappungskennzahl einen vorgegebenen ersten Schwellenwert (θ) überschreitet und/oder 
- Finden einer Anzahl von Nachfolger-Gruppen in einem nachfolgenden Zeitfenster für eine Vorgänger-Gruppe, wobei die Überlappungskennzahl zwischen jeder der Nachfolge-Gruppen mit der Vorgänger-Gruppe einen vorgegebenen zweiten Schwellenwert (θ part ) überschreitet und die Summe der so ermittelten Überlappungskennzahlen einen ersten vorgegebenen Schwellenwert (θ) überschreitet, und/oder 
- Finden einer Anzahl von Vorgänger-Gruppen in einem vorangehenden Zeitfenster (T 1 , T 2 , T 3 ) für eine Nachfolger-Gruppe, wobei die Überlappungskennzahl zwischen jeder der Vorgänger-Gruppen mit der Nachfolger-Gruppe einen vorgegebenen zweiten Schwellenwert (θ part ) überschreitet und die Summe der so ermittelten Überlappungskennzahlen einen vorgegebenen ersten Schwellenwert (θ) überschreitet, und/oder 
- Finden von Gruppen denen keine Vorgänger-Gruppe oder Nachfolger-Gruppe zuordenbar ist, und 
 
g) eine Anzahl von gerichteten Pfaden erstellt wird, die als Knoten Gruppen und als Kanten Zuordnungen umfassen und die den Verlauf einander zugeordneten Gruppen über eine vorgegebene Anzahl von zeitlich vorangehenden Zeitfenstern beschreiben, wobei die einzelnen Pfade den Verlauf einander zugeordneter Gruppen in zeitlich aufeinanderfolgenden Zeitfenstern im Graphen angeben, und 
h) wobei für die einzelnen Pfade jeweils ein zeitlicher Verlauf eines Indikators für die jeweilige Gruppe über eine vorgegebene Anzahl von Zeitfenstern gebildet wird, und 
i) die Verläufe der Indikatoren über die einzelnen Pfade für die Bestimmung herangezogen werden, ob ein anomaler Zustand vorliegt.