JP2019521422A - 異常なユーザ行動関連アプリケーションデータを検出するための方法、装置、およびコンピュータ読み取り可能な媒体 - Google Patents
異常なユーザ行動関連アプリケーションデータを検出するための方法、装置、およびコンピュータ読み取り可能な媒体 Download PDFInfo
- Publication number
- JP2019521422A JP2019521422A JP2018560991A JP2018560991A JP2019521422A JP 2019521422 A JP2019521422 A JP 2019521422A JP 2018560991 A JP2018560991 A JP 2018560991A JP 2018560991 A JP2018560991 A JP 2018560991A JP 2019521422 A JP2019521422 A JP 2019521422A
- Authority
- JP
- Japan
- Prior art keywords
- irregularity
- activity
- values
- data
- score
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 86
- 230000002159 abnormal effect Effects 0.000 title claims abstract description 17
- 230000036544 posture Effects 0.000 claims abstract description 140
- 230000000694 effects Effects 0.000 claims description 362
- 230000000875 corresponding effect Effects 0.000 claims description 220
- 230000006870 function Effects 0.000 claims description 123
- 238000013507 mapping Methods 0.000 claims description 57
- 238000009826 distribution Methods 0.000 claims description 30
- 238000013450 outlier detection Methods 0.000 claims description 24
- 230000006399 behavior Effects 0.000 claims description 19
- 230000015654 memory Effects 0.000 claims description 17
- 230000002547 anomalous effect Effects 0.000 claims description 16
- 230000008859 change Effects 0.000 claims description 9
- 230000001131 transforming effect Effects 0.000 claims description 3
- 238000007792 addition Methods 0.000 claims 2
- 206010000117 Abnormal behaviour Diseases 0.000 abstract description 3
- 238000012360 testing method Methods 0.000 description 16
- 238000001514 detection method Methods 0.000 description 15
- 238000004422 calculation algorithm Methods 0.000 description 14
- 230000008569 process Effects 0.000 description 12
- 238000004458 analytical method Methods 0.000 description 9
- 238000013459 approach Methods 0.000 description 9
- 238000010606 normalization Methods 0.000 description 9
- 238000013480 data collection Methods 0.000 description 8
- 230000009467 reduction Effects 0.000 description 8
- 235000018185 Betula X alpestris Nutrition 0.000 description 7
- 235000018212 Betula X uliginosa Nutrition 0.000 description 7
- 238000004891 communication Methods 0.000 description 7
- 238000012545 processing Methods 0.000 description 7
- 239000000523 sample Substances 0.000 description 7
- 230000009471 action Effects 0.000 description 6
- 238000013107 unsupervised machine learning method Methods 0.000 description 6
- 238000012800 visualization Methods 0.000 description 6
- 238000010801 machine learning Methods 0.000 description 5
- 238000004364 calculation method Methods 0.000 description 4
- 230000001788 irregular Effects 0.000 description 4
- 238000013106 supervised machine learning method Methods 0.000 description 4
- 239000013598 vector Substances 0.000 description 4
- 108020004414 DNA Proteins 0.000 description 3
- 238000012544 monitoring process Methods 0.000 description 3
- 230000002123 temporal effect Effects 0.000 description 3
- 230000009466 transformation Effects 0.000 description 3
- 230000003542 behavioural effect Effects 0.000 description 2
- 238000010586 diagram Methods 0.000 description 2
- 239000011159 matrix material Substances 0.000 description 2
- 230000007246 mechanism Effects 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000011946 reduction process Methods 0.000 description 2
- 238000012546 transfer Methods 0.000 description 2
- 238000000767 Anderson–Darling test Methods 0.000 description 1
- 239000004215 Carbon black (E152) Substances 0.000 description 1
- 102000053602 DNA Human genes 0.000 description 1
- 238000001276 Kolmogorov–Smirnov test Methods 0.000 description 1
- 230000003044 adaptive effect Effects 0.000 description 1
- 230000008901 benefit Effects 0.000 description 1
- 239000000969 carrier Substances 0.000 description 1
- 238000006243 chemical reaction Methods 0.000 description 1
- 238000000205 computational method Methods 0.000 description 1
- 230000005494 condensation Effects 0.000 description 1
- 238000009833 condensation Methods 0.000 description 1
- 238000013523 data management Methods 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 238000012217 deletion Methods 0.000 description 1
- 230000037430 deletion Effects 0.000 description 1
- 208000037265 diseases, disorders, signs and symptoms Diseases 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 238000011156 evaluation Methods 0.000 description 1
- 238000011842 forensic investigation Methods 0.000 description 1
- 229930195733 hydrocarbon Natural products 0.000 description 1
- 150000002430 hydrocarbons Chemical class 0.000 description 1
- 230000006872 improvement Effects 0.000 description 1
- 230000010365 information processing Effects 0.000 description 1
- 238000003780 insertion Methods 0.000 description 1
- 230000037431 insertion Effects 0.000 description 1
- 230000005923 long-lasting effect Effects 0.000 description 1
- 239000003550 marker Substances 0.000 description 1
- 238000005259 measurement Methods 0.000 description 1
- 230000007935 neutral effect Effects 0.000 description 1
- 238000001422 normality test Methods 0.000 description 1
- 150000007523 nucleic acids Chemical group 0.000 description 1
- 239000003129 oil well Substances 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 238000000513 principal component analysis Methods 0.000 description 1
- 230000001105 regulatory effect Effects 0.000 description 1
- 238000007619 statistical method Methods 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
- 238000000844 transformation Methods 0.000 description 1
- 230000001960 triggered effect Effects 0.000 description 1
- 238000012795 verification Methods 0.000 description 1
- 230000003442 weekly effect Effects 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
- G06F16/90—Details of database functions independent of the retrieved data types
- G06F16/95—Retrieval from the web
- G06F16/951—Indexing; Web crawling techniques
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- General Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Databases & Information Systems (AREA)
- Computing Systems (AREA)
- Computer Hardware Design (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- General Physics & Mathematics (AREA)
- Physics & Mathematics (AREA)
- Data Mining & Analysis (AREA)
- Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
- Image Analysis (AREA)
Abstract
Description
この結果、第1の組み合わせおよび第2の組み合わせにそれぞれ対応する2つの不規則性レベル1603、LowおよびMediumが生じる。
ここで、vsは「very small」、sは「small」、mは「medium」、lは「large」、vlは「very large」であり、特性xiがメンバーシップを有するファジーメンバーシップ関数の左端のセグメント値(「ベースセグメント」)である。
ここでkiは、属性xiがメンバーシップを持つファジィメンバーシップ関数セグメント値(または不規則値)の重複数である。ki>0の場合、対応するs(xi)は、属性xiがメンバーシップを有するファジィメンバーシップ関数の左端のセグメント値である。
Claims (51)
- 異常なユーザ挙動を検出するために1つ以上のコンピューティングデバイスによって実行される方法であって、
1つ以上のコンピューティングデバイスのうちの少なくとも1つによって、観察区間にわたって収集されたユーザ活動データを格納するステップであって、前記ユーザ活動データは、複数のユーザに対応する複数のデータオブジェクトを含み、複数のデータオブジェクト内の各データオブジェクトは、複数の活動パラメータを含む、ステップと、
1つ以上のコンピューティングデバイスのうちの少なくとも1つによって、各データオブジェクトに関する複数の活動パラメータに少なくとも部分的に基づいて、複数のデータオブジェクトを複数のクラスタにグループ化するステップと、
1つ以上のコンピューティングデバイスのうちの少なくとも1つによって、複数のクラスタ内の各クラスタに対応する1つ以上の外れ値メトリックを計算するステップであって、1つ以上の外れ値メトリック内の各外れ値メトリックは、対応するクラスタが複数のクラスタ内の他のクラスタの外にある度合いを表す、ステップと、
1つ以上のコンピューティングデバイスのうちの少なくとも1つによって、データオブジェクトを含むクラスタのサイズと、データオブジェクトを含むクラスタに対応する1つ以上の外れ値メトリックとに少なくとも部分的に基づいて、複数のデータオブジェクト内の1つ以上のデータオブジェクトの各々について不規則性スコアを計算するステップと、
1つ以上のコンピューティングデバイスのうちの少なくとも1つによって、各データオブジェクトに対応する複数の活動パラメータおよび各データオブジェクトの不規則性スコアに少なくとも部分的に基づいて、1つ以上のデータオブジェクトのための1つ以上のオブジェクトポスチャを生成するステップであって、1つ以上のオブジェクトポスチャにおける各オブジェクトポスチャは前記複数のユーザにおける1人のユーザに対応する、ステップと、
1つ以上のコンピューティングデバイスのうちの少なくとも1つによって、複数のユーザにおける1人以上のユーザの異常な活動を識別するために、1つ以上のオブジェクトポスチャにおける少なくとも1つのオブジェクトポスチャの各々を、オブジェクトポスチャと同じユーザに対応する1つ以上の先行オブジェクトポスチャと比較するステップであって、1つ以上の先行オブジェクトポスチャの各々は、観察区間の前の異なる観察区間に対応する、ステップとを含む、
方法。 - 前記複数の活動パラメータは、ユーザによってアクセスされるデータストアの数、ユーザによってアクセスされる機密データストアの数、ユーザによって影響を受けるレコードの数、ユーザによる要求の数、ユーザによるアクセス時間、ユーザによる機密要求の数、ユーザによって影響を受ける機密レコードの数、ユーザ位置、ユーザホスト再配置異常メトリック、ユーザ活動タイミング異常メトリック、またはユーザの転送ネットワークパスのうちの1つ以上を含む、請求項1に記載の方法。
- 前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
1つ以上のコンピューティングデバイスのうちの少なくとも1つによって、複数の活動パラメータのうち1つ以上の活動パラメータに対応するユーザ活動データが正規分布に適合するかどうかを判定するステップと、
1つ以上の活動パラメータに対応するユーザ活動データが正規分布に適合しないという決定に少なくとも部分的に基づいて、1つ以上のコンピューティングデバイスのうちの少なくとも1つによって、1つ以上の活動パラメータに対応するユーザ活動データを正規分布に適合するように変換するステップとをさらに含む、請求項1に記載の方法。 - 前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
1つ以上のコンピューティングデバイスのうちの少なくとも1つによって、複数の活動パラメータのうちの1つ以上の活動パラメータに対応するユーザ活動データを正規化するステップをさらに含む、請求項1に記載の方法。 - 前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
1つ以上のコンピューティングデバイスのうちの少なくとも1つによって、複数の活動パラメータのうちの1つ以上の活動パラメータに対応するデータを除去することによって、ユーザ活動データ内の次元数を低減するステップをさらに含む、請求項1に記載の方法。 - 前記1つ以上の外れ値メトリックは、距離ベース外れ値メトリックおよび密度ベースのクラスタ外れ値メトリックのうちの1つ以上を含む、請求項1に記載の方法。
- 前記データオブジェクトを含むクラスタのサイズと、前記データオブジェクトを含む前記クラスタに対応する前記1つ以上の外れ値メトリックとに少なくとも部分的に基づいて、前記複数のデータオブジェクト内の1つ以上のデータオブジェクトの各々について不規則性スコアを計算するステップは、
前記クラスタのサイズに少なくとも部分的に基づいて、前記データオブジェクトを含むクラスタの特異性メトリックを計算するステップと、
前記データオブジェクトを含むクラスタの距離ベース外れ値メトリックを計算するステップと、
データオブジェクトを含むクラスタの密度ベース外れ値メトリックを計算するステップと、
特異性メトリック、距離ベース外れ値メトリック、および密度ベース外れ値メトリックに少なくとも部分的に基づいて、データオブジェクトの不規則性スコアを決定するステップと、
を含む、請求項6に記載の方法。 - 前記特異性メトリック、前記距離ベース外れ値検出信頼度メトリック、および前記密度ベース外れ値検出信頼度メトリックに少なくとも部分的に基づいて、前記データオブジェクトの前記不規則性スコアを決定するステップは、
特異性メトリックの値の範囲を複数の特異性レベルにマッピングする第1のファジーメンバーシップ関数に少なくとも部分的に基づいて、特異性メトリックを複数の特異性レベルにおける1つ以上の特異性レベルにマッピングするステップと、
距離ベース外れ値メトリックの値の範囲を複数の距離ベース外れ値レベルにマッピングする第2のファジーメンバーシップ関数に少なくとも部分的に基づいて、距離ベース外れ値メトリックを複数の距離ベース外れ値レベルにおける1つ以上の距離ベース外れ値レベルにマッピングするステップと、
密度ベース外れ値メトリックの値の範囲を複数の密度ベース外れ値レベルにマッピングする第3のファジーメンバーシップ関数に少なくとも部分的に基づいて、密度ベース外れ値メトリックを複数の密度ベース外れ値レベルにおける1つ以上の密度ベース外れ値レベルにマッピングするステップと、
1つ以上の特異レベル、1つ以上の距離ベース外れ値レベル、および1つ以上の密度ベース外れ値レベルの1つ以上の組合せを、複数の特異レベル、複数の距離ベース外れ値レベル、および複数の密度ベース外れ値レベルの組合せを複数の不規則性レベルにマッピングするファジールールセットに少なくとも部分的に基づいて、複数の不規則性レベルにおける1つ以上の不規則性レベルにマッピングするステップと、
不規則性スコアを生成するために、不規則性判定関数を1つ以上の不規則性レベルに適用するステップと、
を含む、請求項7に記載の方法。 - 各データオブジェクトに対応する複数の活動パラメータと、各データオブジェクトの不規則性スコアとに少なくとも部分的に基づいて、前記1つ以上のデータオブジェクトに対して1つ以上のオブジェクトポスチャを生成するステップは、
1つ以上のデータオブジェクト内の各データオブジェクトに対して、
複数の活動パラメータ内の各活動パラメータをセグメント値のセット内のセグメント値にマッピングし、当該活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する変動値を各活動パラメータに割り当てるステップであって、当該活動パラメータに対応するファジーメンバーシップ関数は、当該活動パラメータの可能な値をセグメント値のセットにマッピングするように構成される、ステップと、
データオブジェクトの不規則性スコアを、不規則性値のセットにおける不規則性値にマッピングし、不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する不規則性変動値を不規則性スコアに割り当てるステップであって、不規則性ファジーメンバーシップ関数は、当該不規則性スコアの可能な値を不規則性値のセットにマッピングするように構成される、ステップと、
複数の活動パラメータにマッピングされた複数のセグメント値と、不規則性スコアにマッピングされた不規則性値とに少なくとも部分的に基づいて、データオブジェクトのオブジェクトポスチャを生成するステップと、
を含む、請求項1に記載の方法。 - 前記複数の活動パラメータにおける各活動パラメータを、セグメント値のセットにおけるセグメント値にマッピングし、前記活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する変動値を各活動パラメータに割り当てるステップは、
ファジーメンバーシップ関数に少なくとも部分的に基づいて、活動パラメータに対応するセグメント値のセットにおける1つ以上のセグメント値を決定するステップと、
1つ以上のセグメント値内の最低セグメント値を活動パラメータにマッピングするステップと、
活動パラメータに対応する1つ以上のセグメント値の量に少なくとも部分的に基づいて変動値を決定するステップと、
前記変動値を前記活動パラメータに割り当てるステップと、
を含む、請求項9に記載の方法。 - 前記データオブジェクトの前記不規則性スコアを、不規則性値のセットにおける不規則性値にマッピングし、不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する不規則性変動値を前記不規則性スコアに割り当てるステップは、
不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、不規則性スコアに対応する不規則性値のセットにおける1つ以上の不規則性値を決定するステップと、
1つ以上の不規則性値の最小不規則性値を不規則性スコアにマッピングするステップと、
不規則性スコアに対応する1つ以上の不規則性値の量に少なくとも部分的に基づいて不規則性変化値を決定するステップと、
前記不規則性スコアに前記不規則性変動値を割り当てるステップと、
を含む、請求項9に記載の方法。 - 前記データオブジェクトのポスチャを生成する前に、
1つ以上のコンピューティングデバイスのうちの少なくとも1つによって、1つ以上の活動パラメータに対応する1つ以上の変動値および1つ以上の活動パラメータに対応する1つ以上のファジーメンバーシップ関数に少なくとも部分的に基づいて、複数の活動パラメータのうちの1つ以上の活動パラメータをセグメント値のセットのうちの1つ以上の追加のセグメント値にマッピングするステップと、
1つ以上のコンピューティングデバイスのうちの少なくとも1つによって、データオブジェクトの不規則性スコアを、不規則性スコアに対応する不規則性変動値および不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、不規則性値のセット内の1つ以上の追加の不規則性値にマッピングするステップと、
をさらに含む、請求項9に記載の方法。 - 前記複数の活動パラメータにおける1つ以上の活動パラメータを、前記1つ以上の活動パラメータに対応する1つ以上の変動値および前記1つ以上の活動パラメータに対応する1つ以上のファジーメンバーシップ関数に少なくとも部分的に基づいて、前記セグメント値のセットにおける1つ以上の追加のセグメント値にマッピングするステップは、
ゼロより大きい対応変動値を有する複数の活動パラメータにおける1つ以上の活動パラメータを特定するステップと、
特定された1つ以上の活動パラメータにおける各活動パラメータについて、当該活動パラメータに対応する1つ以上の可能なセグメント値を決定するステップであって、前記1つ以上の可能なセグメント値は、その活動パラメータに割り当てられた変動値、当該活動パラメータにマッピングされたセグメント値、および当該活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づく、ステップと、
識別された1つ以上の活動パラメータにおける各活動パラメータについて、その活動パラメータに対応する1つ以上の可能なセグメント値を連結して、可能なセグメント値の連結リストを生成するステップと、
特定された1つ以上の活動パラメータ内の各活動パラメータについて、可能なセグメント値の連結リストを、対応する活動パラメータにマッピングするステップと、
を含む、請求項12に記載の方法。 - 前記データオブジェクトの前記不規則性スコアを、前記不規則性スコアおよび前記不規則性ファジーメンバーシップ関数に対応する前記不規則性変動値に少なくとも部分的に基づいて、前記不規則性値のセットにおける1つ以上の追加の不規則性値にマッピングするステップは、
不規則性スコアに対応する1つ以上の可能な不規則性値を決定するステップであって、1つ以上の可能性な不規則性値は、不規則性スコアに割り当てられた不規則性変動値、不規則性スコアにマッピングされた不規則性値、および不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいている、ステップと、
不規則性スコアに対応する1つ以上の可能な不規則性値を連結して、可能な不規則性値の連結リストを生成するステップと、
可能な不規則性値の連結リストを不規則性スコアにマッピングするステップと、
を含む、請求項12に記載の方法。 - 前記複数の活動パラメータに対応する複数のセグメント値および前記不規則性スコアに対応する前記不規則性値に少なくとも部分的に基づいて前記データオブジェクトの前記オブジェクトポスチャを生成するステップは、
複数の活動パラメータにマッピングされたすべてのセグメント値と、不規則性スコアにマッピングされたすべての不規則性値とを連結するステップを含む、請求項9に記載の方法。 - 前記1つ以上のオブジェクトポスチャにおける少なくとも1つのオブジェクトポスチャの各々を、前記オブジェクトポスチャと同じユーザに対応する1つ以上の先行オブジェクトポスチャと比較して、前記複数のユーザにおける1つ以上のユーザの異常な活動を識別するステップは、
オブジェクトポスチャと、同じユーザに対応する1つ以上の先行オブジェクトポスチャのうちの少なくとも1つとの間の非類似性ファクタを計算するステップと、
非類似性ファクタが閾値非類似性ファクタより大きいという決定に少なくとも部分的に基づいて、ユーザの活動を異常であると識別するステップと、
を含む、請求項1に記載の方法。 - 前記非類似性ファクタは、前記オブジェクトポスチャと、前記同じユーザに対応する前記1つ以上の先行オブジェクトポスチャのうちの少なくとも1つとの間のレーベンシュタイン距離メトリックを含む、請求項16に記載の方法。
- 異常なユーザ挙動を検出する装置であって、
1つ以上のプロセッサと、
前記1つ以上のプロセッサの少なくとも1つに操作可能に結合され、命令を格納した1つ以上のメモリとを含み、
前記命令は、前記1つ以上のプロセッサの少なくとも1つに実行されたとき、前記1つ以上のプロセッサの少なくとも1つに、
観察区間にわたって収集されたユーザ活動データを格納するステップであって、前記ユーザ活動データは、複数のユーザに対応する複数のデータオブジェクトを含み、複数のデータオブジェクト内の各データオブジェクトは、複数の活動パラメータを含む、ステップと、
各データオブジェクトに関する複数の活動パラメータに少なくとも部分的に基づいて、複数のデータオブジェクトを複数のクラスタにグループ化するステップと、
複数のクラスタ内の各クラスタに対応する1つ以上の外れ値メトリックを計算するステップであって、1つ以上の外れ値メトリック内の各外れ値メトリックは、対応するクラスタが複数のクラスタ内の他のクラスタの外にある度合いを表す、ステップと、
データオブジェクトを含むクラスタのサイズと、データオブジェクトを含むクラスタに対応する1つ以上の外れ値メトリックとに少なくとも部分的に基づいて、複数のデータオブジェクト内の1つ以上のデータオブジェクトの各々について不規則性スコアを計算するステップと、
各データオブジェクトに対応する複数の活動パラメータおよび各データオブジェクトの不規則性スコアに少なくとも部分的に基づいて、1つ以上のデータオブジェクトのための1つ以上のオブジェクトポスチャを生成するステップであって、1つ以上のオブジェクトポスチャにおける各オブジェクトポスチャは前記複数のユーザにおける1人のユーザに対応する、ステップと、
複数のユーザにおける1人以上のユーザの異常な活動を識別するために、1つ以上のオブジェクトポスチャにおける少なくとも1つのオブジェクトポスチャの各々を、オブジェクトポスチャと同じユーザに対応する1つ以上の先行オブジェクトポスチャと比較するステップであって、1つ以上の先行オブジェクトポスチャの各々は、観察区間の前の異なる観察区間に対応する、ステップと、
を実行させる装置。 - 前記複数の活動パラメータは、ユーザによってアクセスされるデータストアの数、ユーザによってアクセスされる機密データストアの数、ユーザによって影響を受けるレコードの数、ユーザによる要求の数、ユーザによるアクセス時間、ユーザによる機密要求の数、ユーザによって影響を受ける機密レコードの数、ユーザ位置、ユーザホスト再配置異常メトリック、ユーザ活動タイミング異常メトリック、またはユーザの転送ネットワークパスのうちの1つ以上を含む、請求項18に記載の装置。
- 前記1つ以上のメモリの少なくとも1つが、当該メモリに格納された命令をさらに含み、当該命令は、前記1つ以上のプロセッサの少なくとも1つに実行されたとき、前記1つ以上のプロセッサの少なくとも1つに、
前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
複数の活動パラメータのうち1つ以上の活動パラメータに対応するユーザ活動データが正規分布に適合するかどうかを判定するステップと、
1つ以上の活動パラメータに対応するユーザ活動データが正規分布に適合しないという決定に少なくとも部分的に基づいて、1つ以上の活動パラメータに対応するユーザ活動データを正規分布に適合するように変換するステップと、
を実行させる、請求項18に記載の装置。 - 前記1つ以上のメモリの少なくとも1つが、当該メモリに格納された命令をさらに含み、当該命令は、前記1つ以上のプロセッサの少なくとも1つに実行されたとき、前記1つ以上のプロセッサの少なくとも1つに、
前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
複数の活動パラメータのうちの1つ以上の活動パラメータに対応するユーザ活動データを正規化するステップをさらに実行させる、請求項18に記載の装置。 - 前記1つ以上のメモリの少なくとも1つが、当該メモリに格納された命令をさらに含み、当該命令は、前記1つ以上のプロセッサの少なくとも1つに実行されたとき、前記1つ以上のプロセッサの少なくとも1つに、
前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
複数の活動パラメータのうちの1つ以上の活動パラメータに対応するデータを除去することによって、ユーザ活動データ内の次元数を低減するステップをさらに実行させる、請求項18に記載の装置。 - 前記1つ以上の外れ値メトリックは、距離ベース外れ値メトリックおよび密度ベースのクラスタ外れ値メトリックのうちの1つ以上を含む、請求項18に記載の装置。
- 前記1つ以上のプロセッサの少なくとも1つに実行されたとき、前記1つ以上のプロセッサの少なくとも1つに、前記データオブジェクトを含むクラスタのサイズと、前記データオブジェクトを含む前記クラスタに対応する前記1つ以上の外れ値メトリックとに少なくとも部分的に基づいて、前記複数のデータオブジェクト内の1つ以上のデータオブジェクトの各々について不規則性スコアを計算するステップを実行させる命令は、前記1つ以上のプロセッサの少なくとも1つに、
前記クラスタのサイズに少なくとも部分的に基づいて、前記データオブジェクトを含むクラスタの特異性メトリックを計算するステップと、
前記データオブジェクトを含むクラスタの距離ベース外れ値メトリックを計算するステップと、
データオブジェクトを含むクラスタの密度ベース外れ値メトリックを計算するステップと、
特異性メトリック、距離ベース外れ値メトリック、および密度ベース外れ値メトリックに少なくとも部分的に基づいて、データオブジェクトの不規則性スコアを決定するステップと、
をさらに実行させる、請求項23に記載の装置。 - 前記1つ以上のプロセッサの少なくとも1つに実行されたとき、前記1つ以上のプロセッサの少なくとも1つに、前記特異性メトリック、前記距離ベース外れ値検出信頼度メトリック、および前記密度ベース外れ値検出信頼度メトリックに少なくとも部分的に基づいて、前記データオブジェクトの前記不規則性スコアを決定するステップを実行させる命令は、前記1つ以上のプロセッサの少なくとも1つに、
特異性メトリックの値の範囲を複数の特異性レベルにマッピングする第1のファジーメンバーシップ関数に少なくとも部分的に基づいて、特異性メトリックを複数の特異性レベルにおける1つ以上の特異性レベルにマッピングするステップと、
距離ベース外れ値メトリックの値の範囲を複数の距離ベース外れ値レベルにマッピングする第2のファジーメンバーシップ関数に少なくとも部分的に基づいて、距離ベース外れ値メトリックを複数の距離ベース外れ値レベルにおける1つ以上の距離ベース外れ値レベルにマッピングするステップと、
密度ベース外れ値メトリックの値の範囲を複数の密度ベース外れ値レベルにマッピングする第3のファジーメンバーシップ関数に少なくとも部分的に基づいて、密度ベース外れ値メトリックを複数の密度ベース外れ値レベルにおける1つ以上の密度ベース外れ値レベルにマッピングするステップと、
1つ以上の特異レベル、1つ以上の距離ベース外れ値レベル、および1つ以上の密度ベース外れ値レベルの1つ以上の組合せを、複数の特異レベル、複数の距離ベース外れ値レベル、および複数の密度ベース外れ値レベルの組合せを複数の不規則性レベルにマッピングするファジールールセットに少なくとも部分的に基づいて、複数の不規則性レベルにおける1つ以上の不規則性レベルにマッピングするステップと、
不規則性スコアを生成するために、不規則性判定関数を1つ以上の不規則性レベルに適用するステップと、
をさらに実行させる、請求項24に記載の装置。 - 各データオブジェクトに対応する複数の活動パラメータと、各データオブジェクトの不規則性スコアとに少なくとも部分的に基づいて、前記1つ以上のデータオブジェクトに対して1つ以上のオブジェクトポスチャを生成するステップは、
1つ以上のデータオブジェクト内の各データオブジェクトに対して、
複数の活動パラメータ内の各活動パラメータをセグメント値のセット内のセグメント値にマッピングし、当該活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する変動値を各活動パラメータに割り当てるステップであって、当該活動パラメータに対応するファジーメンバーシップ関数は、当該活動パラメータの可能な値をセグメント値のセットにマッピングするように構成される、ステップと、
データオブジェクトの不規則性スコアを、不規則性値のセットにおける不規則性値にマッピングし、不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する不規則性変動値を不規則性スコアに割り当てるステップであって、不規則性ファジーメンバーシップ関数は、当該不規則性スコアの可能な値を不規則性値のセットにマッピングするように構成される、ステップと、
複数の活動パラメータにマッピングされた複数のセグメント値と、不規則性スコアにマッピングされた不規則性値とに少なくとも部分的に基づいて、データオブジェクトのオブジェクトポスチャを生成するステップと、
を含む、請求項18に記載の装置。 - 前記1つ以上のプロセッサの少なくとも1つに実行されたとき、前記1つ以上のプロセッサの少なくとも1つに、前記複数の活動パラメータにおける各活動パラメータを、セグメント値のセットにおけるセグメント値にマッピングし、前記活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する変動値を各活動パラメータに割り当てるステップを実行させる命令は、前記1つ以上のプロセッサの少なくとも1つに、
ファジーメンバーシップ関数に少なくとも部分的に基づいて、活動パラメータに対応するセグメント値のセットにおける1つ以上のセグメント値を決定するステップと、
1つ以上のセグメント値内の最低セグメント値を活動パラメータにマッピングするステップと、
活動パラメータに対応する1つ以上のセグメント値の量に少なくとも部分的に基づいて変動値を決定するステップと、
前記変動値を前記活動パラメータに割り当てるステップと、
をさらに実行させる、請求項26に記載の装置。 - 前記1つ以上のプロセッサの少なくとも1つに実行されたとき、前記1つ以上のプロセッサの少なくとも1つに、前記データオブジェクトの前記不規則性スコアを、不規則性値のセットにおける不規則性値にマッピングし、不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する不規則性変動値を前記不規則性スコアに割り当てるステップを実行させる命令は、前記1つ以上のプロセッサの少なくとも1つに、
不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、不規則性スコアに対応する不規則性値のセットにおける1つ以上の不規則性値を決定するステップと、
1つ以上の不規則性値の最小不規則性値を不規則性スコアにマッピングするステップと、
不規則性スコアに対応する1つ以上の不規則性値の量に少なくとも部分的に基づいて不規則性変化値を決定するステップと、
前記不規則性スコアに前記不規則性変動値を割り当てるステップと、
をさらに実行させる、請求項26に記載の装置。 - 前記1つ以上のメモリの少なくとも1つが、当該メモリに格納された命令をさらに含み、当該命令は、前記1つ以上のプロセッサの少なくとも1つに実行されたとき、前記1つ以上のプロセッサの少なくとも1つに、
前記データオブジェクトのポスチャを生成する前に、
1つ以上の活動パラメータに対応する1つ以上の変動値および1つ以上の活動パラメータに対応する1つ以上のファジーメンバーシップ関数に少なくとも部分的に基づいて、複数の活動パラメータのうちの1つ以上の活動パラメータをセグメント値のセットのうちの1つ以上の追加のセグメント値にマッピングするステップと、
データオブジェクトの不規則性スコアを、不規則性スコアに対応する不規則性変動値および不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、不規則性値のセット内の1つ以上の追加の不規則性値にマッピングするステップと、
をさらに実行させる、請求項26に記載の装置。 - 前記1つ以上のプロセッサの少なくとも1つに実行されたとき、前記1つ以上のプロセッサの少なくとも1つに、前記複数の活動パラメータにおける1つ以上の活動パラメータを、前記1つ以上の活動パラメータに対応する1つ以上の変動値および前記1つ以上の活動パラメータに対応する1つ以上のファジーメンバーシップ関数に少なくとも部分的に基づいて、前記セグメント値のセットにおける1つ以上の追加のセグメント値にマッピングするステップを実行させる命令は、前記1つ以上のプロセッサの少なくとも1つに、
ゼロより大きい対応変動値を有する複数の活動パラメータにおける1つ以上の活動パラメータを特定するステップと、
特定された1つ以上の活動パラメータにおける各活動パラメータについて、当該活動パラメータに対応する1つ以上の可能なセグメント値を決定するステップであって、前記1つ以上の可能なセグメント値は、その活動パラメータに割り当てられた変動値、当該活動パラメータにマッピングされたセグメント値、および当該活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づく、ステップと、
識別された1つ以上の活動パラメータにおける各活動パラメータについて、その活動パラメータに対応する1つ以上の可能なセグメント値を連結して、可能なセグメント値の連結リストを生成するステップと、
特定された1つ以上の活動パラメータ内の各活動パラメータについて、可能なセグメント値の連結リストを、対応する活動パラメータにマッピングするステップと、
をさらに実行させる、請求項29に記載の装置。 - 前記1つ以上のプロセッサの少なくとも1つに実行されたとき、前記1つ以上のプロセッサの少なくとも1つに、前記データオブジェクトの前記不規則性スコアを、前記不規則性スコアおよび前記不規則性ファジーメンバーシップ関数に対応する前記不規則性変動値に少なくとも部分的に基づいて、前記不規則性値のセットにおける1つ以上の追加の不規則性値にマッピングするステップを実行させる命令は、前記1つ以上のプロセッサの少なくとも1つに、
不規則性スコアに対応する1つ以上の可能な不規則性値を決定するステップであって、1つ以上の可能性な不規則性値は、不規則性スコアに割り当てられた不規則性変動値、不規則性スコアにマッピングされた不規則性値、および不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいている、ステップと、
不規則性スコアに対応する1つ以上の可能な不規則性値を連結して、可能な不規則性値の連結リストを生成するステップと、
可能な不規則性値の連結リストを不規則性スコアにマッピングするステップと、
をさらに実行させる、請求項29に記載の装置。 - 前記1つ以上のプロセッサの少なくとも1つに実行されたとき、前記1つ以上のプロセッサの少なくとも1つに、前記複数の活動パラメータに対応する複数のセグメント値および前記不規則性スコアに対応する前記不規則性値に少なくとも部分的に基づいて前記データオブジェクトの前記オブジェクトポスチャを生成するステップを実行させる命令は、前記1つ以上のプロセッサの少なくとも1つに、
複数の活動パラメータにマッピングされたすべてのセグメント値と、不規則性スコアにマッピングされたすべての不規則性値とを連結するステップをさらに実行させる、請求項26に記載の装置。 - 前記1つ以上のプロセッサの少なくとも1つに実行されたとき、前記1つ以上のプロセッサの少なくとも1つに、前記1つ以上のオブジェクトポスチャにおける少なくとも1つのオブジェクトポスチャの各々を、前記オブジェクトポスチャと同じユーザに対応する1つ以上の先行オブジェクトポスチャと比較して、前記複数のユーザにおける1つ以上のユーザの異常な活動を識別するステップを実行させる命令は、前記1つ以上のプロセッサの少なくとも1つに、
オブジェクトポスチャと、同じユーザに対応する1つ以上の先行オブジェクトポスチャのうちの少なくとも1つとの間の非類似性ファクタを計算するステップと、
非類似性ファクタが閾値非類似性ファクタより大きいという決定に少なくとも部分的に基づいて、ユーザの活動を異常であると識別するステップと、
をさらに実行させる、請求項18に記載の装置。 - 前記非類似性ファクタは、前記オブジェクトポスチャと、前記同じユーザに対応する前記1つ以上の先行オブジェクトポスチャのうちの少なくとも1つとの間のレーベンシュタイン距離メトリックを含む、請求項33に記載の装置。
- コンピュータ読み取り可能な命令を格納した、少なくとも1つの非一時的コンピュータ読み取り可能媒体であって、
前記命令は、1つ以上のコンピューティングデバイスによって実行されたとき、前記1つ以上のコンピューティングデバイスの少なくとも1つに、
観察区間にわたって収集されたユーザ活動データを格納するステップであって、前記ユーザ活動データは、複数のユーザに対応する複数のデータオブジェクトを含み、複数のデータオブジェクト内の各データオブジェクトは、複数の活動パラメータを含む、ステップと、
各データオブジェクトに関する複数の活動パラメータに少なくとも部分的に基づいて、複数のデータオブジェクトを複数のクラスタにグループ化するステップと、
複数のクラスタ内の各クラスタに対応する1つ以上の外れ値メトリックを計算するステップであって、1つ以上の外れ値メトリック内の各外れ値メトリックは、対応するクラスタが複数のクラスタ内の他のクラスタの外にある度合いを表す、ステップと、
データオブジェクトを含むクラスタのサイズと、データオブジェクトを含むクラスタに対応する1つ以上の外れ値メトリックとに少なくとも部分的に基づいて、複数のデータオブジェクト内の1つ以上のデータオブジェクトの各々について不規則性スコアを計算するステップと、
各データオブジェクトに対応する複数の活動パラメータおよび各データオブジェクトの不規則性スコアに少なくとも部分的に基づいて、1つ以上のデータオブジェクトのための1つ以上のオブジェクトポスチャを生成するステップであって、1つ以上のオブジェクトポスチャにおける各オブジェクトポスチャは前記複数のユーザにおける1人のユーザに対応する、ステップと、
複数のユーザにおける1人以上のユーザの異常な活動を識別するために、1つ以上のオブジェクトポスチャにおける少なくとも1つのオブジェクトポスチャの各々を、オブジェクトポスチャと同じユーザに対応する1つ以上の先行オブジェクトポスチャと比較するステップであって、1つ以上の先行オブジェクトポスチャの各々は、観察区間の前の異なる観察区間に対応する、ステップと、
を実行させる、媒体。 - 前記複数の活動パラメータは、ユーザによってアクセスされるデータストアの数、ユーザによってアクセスされる機密データストアの数、ユーザによって影響を受けるレコードの数、ユーザによる要求の数、ユーザによるアクセス時間、ユーザによる機密要求の数、ユーザによって影響を受ける機密レコードの数、ユーザ位置、ユーザホスト再配置異常メトリック、ユーザ活動タイミング異常メトリック、またはユーザの転送ネットワークパスのうちの1つ以上を含む、請求項35に記載の媒体。
- コンピュータ読み取り可能な命令をさらに含み、当該命令は、前記1つ以上のコンピューティングデバイスの少なくとも1つに実行されたとき、前記1つ以上のコンピューティングデバイスの少なくとも1つに、
前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
複数の活動パラメータのうち1つ以上の活動パラメータに対応するユーザ活動データが正規分布に適合するかどうかを判定するステップと、
1つ以上の活動パラメータに対応するユーザ活動データが正規分布に適合しないという決定に少なくとも部分的に基づいて、1つ以上の活動パラメータに対応するユーザ活動データを正規分布に適合するように変換するステップと、
を実行させる、請求項35に記載の媒体。 - コンピュータ読み取り可能な命令をさらに含み、当該命令は、前記1つ以上のコンピューティングデバイスの少なくとも1つに実行されたとき、前記1つ以上のコンピューティングデバイスの少なくとも1つに、
前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
複数の活動パラメータのうちの1つ以上の活動パラメータに対応するユーザ活動データを正規化するステップをさらに実行させる、請求項35に記載の媒体。 - コンピュータ読み取り可能な命令をさらに含み、当該命令は、前記1つ以上のコンピューティングデバイスの少なくとも1つに実行されたとき、前記1つ以上のコンピューティングデバイスの少なくとも1つに、
前記複数のデータオブジェクトを複数のクラスタにグループ分けする前に、
複数の活動パラメータのうちの1つ以上の活動パラメータに対応するデータを除去することによって、ユーザ活動データ内の次元数を低減するステップをさらに実行させる、請求項35に記載の媒体。 - 前記1つ以上の外れ値メトリックは、距離ベース外れ値メトリックおよび密度ベースのクラスタ外れ値メトリックのうちの1つ以上を含む、請求項35に記載の媒体。
- 前記1つ以上のコンピューティングデバイスの少なくとも1つに実行されたとき、前記1つ以上のコンピューティングデバイスの少なくとも1つに、前記データオブジェクトを含むクラスタのサイズと、前記データオブジェクトを含む前記クラスタに対応する前記1つ以上の外れ値メトリックとに少なくとも部分的に基づいて、前記複数のデータオブジェクト内の1つ以上のデータオブジェクトの各々について不規則性スコアを計算するステップを実行させる命令は、前記1つ以上のコンピューティングデバイスの少なくとも1つに、
前記クラスタのサイズに少なくとも部分的に基づいて、前記データオブジェクトを含むクラスタの特異性メトリックを計算するステップと、
前記データオブジェクトを含むクラスタの距離ベース外れ値メトリックを計算するステップと、
データオブジェクトを含むクラスタの密度ベース外れ値メトリックを計算するステップと、
特異性メトリック、距離ベース外れ値メトリック、および密度ベース外れ値メトリックに少なくとも部分的に基づいて、データオブジェクトの不規則性スコアを決定するステップと、
をさらに実行させる、請求項40に記載の媒体。 - 前記1つ以上のコンピューティングデバイスの少なくとも1つに実行されたとき、前記1つ以上のコンピューティングデバイスの少なくとも1つに、前記特異性メトリック、前記距離ベース外れ値検出信頼度メトリック、および前記密度ベース外れ値検出信頼度メトリックに少なくとも部分的に基づいて、前記データオブジェクトの前記不規則性スコアを決定するステップを実行させる命令は、前記1つ以上のコンピューティングデバイスの少なくとも1つに、
特異性メトリックの値の範囲を複数の特異性レベルにマッピングする第1のファジーメンバーシップ関数に少なくとも部分的に基づいて、特異性メトリックを複数の特異性レベルにおける1つ以上の特異性レベルにマッピングするステップと、
距離ベース外れ値メトリックの値の範囲を複数の距離ベース外れ値レベルにマッピングする第2のファジーメンバーシップ関数に少なくとも部分的に基づいて、距離ベース外れ値メトリックを複数の距離ベース外れ値レベルにおける1つ以上の距離ベース外れ値レベルにマッピングするステップと、
密度ベース外れ値メトリックの値の範囲を複数の密度ベース外れ値レベルにマッピングする第3のファジーメンバーシップ関数に少なくとも部分的に基づいて、密度ベース外れ値メトリックを複数の密度ベース外れ値レベルにおける1つ以上の密度ベース外れ値レベルにマッピングするステップと、
1つ以上の特異レベル、1つ以上の距離ベース外れ値レベル、および1つ以上の密度ベース外れ値レベルの1つ以上の組合せを、複数の特異レベル、複数の距離ベース外れ値レベル、および複数の密度ベース外れ値レベルの組合せを複数の不規則性レベルにマッピングするファジールールセットに少なくとも部分的に基づいて、複数の不規則性レベルにおける1つ以上の不規則性レベルにマッピングするステップと、
不規則性スコアを生成するために、不規則性判定関数を1つ以上の不規則性レベルに適用するステップと、
をさらに実行させる、請求項41に記載の媒体。 - 前記1つ以上のコンピューティングデバイスの少なくとも1つに実行されたとき、前記1つ以上のコンピューティングデバイスの少なくとも1つに、各データオブジェクトに対応する複数の活動パラメータと、各データオブジェクトの不規則性スコアとに少なくとも部分的に基づいて、前記1つ以上のデータオブジェクトに対して1つ以上のオブジェクトポスチャを生成するステップを実行させる命令は、前記1つ以上のコンピューティングデバイスの少なくとも1つに、
1つ以上のデータオブジェクト内の各データオブジェクトに対して、
複数の活動パラメータ内の各活動パラメータをセグメント値のセット内のセグメント値にマッピングし、当該活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する変動値を各活動パラメータに割り当てるステップであって、当該活動パラメータに対応するファジーメンバーシップ関数は、当該活動パラメータの可能な値をセグメント値のセットにマッピングするように構成される、ステップと、
データオブジェクトの不規則性スコアを、不規則性値のセットにおける不規則性値にマッピングし、不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する不規則性変動値を不規則性スコアに割り当てるステップであって、不規則性ファジーメンバーシップ関数は、当該不規則性スコアの可能な値を不規則性値のセットにマッピングするように構成される、ステップと、
複数の活動パラメータにマッピングされた複数のセグメント値と、不規則性スコアにマッピングされた不規則性値とに少なくとも部分的に基づいて、データオブジェクトのオブジェクトポスチャを生成するステップと、
をさらに実行させる、請求項35に記載の媒体。 - 前記1つ以上のコンピューティングデバイスの少なくとも1つに実行されたとき、前記1つ以上のコンピューティングデバイスの少なくとも1つに、前記複数の活動パラメータにおける各活動パラメータを、セグメント値のセットにおけるセグメント値にマッピングし、前記活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する変動値を各活動パラメータに割り当てるステップを実行させる命令は、前記1つ以上のコンピューティングデバイスの少なくとも1つに、
ファジーメンバーシップ関数に少なくとも部分的に基づいて、活動パラメータに対応するセグメント値のセットにおける1つ以上のセグメント値を決定するステップと、
1つ以上のセグメント値内の最低セグメント値を活動パラメータにマッピングするステップと、
活動パラメータに対応する1つ以上のセグメント値の量に少なくとも部分的に基づいて変動値を決定するステップと、
前記変動値を前記活動パラメータに割り当てるステップと、
をさらに実行させる、請求項43に記載の媒体。 - 前記1つ以上のコンピューティングデバイスの少なくとも1つに実行されたとき、前記1つ以上のコンピューティングデバイスの少なくとも1つに、前記データオブジェクトの前記不規則性スコアを、不規則性値のセットにおける不規則性値にマッピングし、不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、対応する不規則性変動値を前記不規則性スコアに割り当てるステップを実行させる命令は、前記1つ以上のコンピューティングデバイスの少なくとも1つに、
不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、不規則性スコアに対応する不規則性値のセットにおける1つ以上の不規則性値を決定するステップと、
1つ以上の不規則性値の最小不規則性値を不規則性スコアにマッピングするステップと、
不規則性スコアに対応する1つ以上の不規則性値の量に少なくとも部分的に基づいて不規則性変化値を決定するステップと、
前記不規則性スコアに前記不規則性変動値を割り当てるステップと、
をさらに実行させる、請求項43に記載の媒体。 - コンピュータ読み取り可能な命令をさらに含み、当該命令は、前記1つ以上のコンピューティングデバイスの少なくとも1つに実行されたとき、前記1つ以上のコンピューティングデバイスの少なくとも1つに、
前記データオブジェクトのポスチャを生成する前に、
1つ以上の活動パラメータに対応する1つ以上の変動値および1つ以上の活動パラメータに対応する1つ以上のファジーメンバーシップ関数に少なくとも部分的に基づいて、複数の活動パラメータのうちの1つ以上の活動パラメータをセグメント値のセットのうちの1つ以上の追加のセグメント値にマッピングするステップと、
データオブジェクトの不規則性スコアを、不規則性スコアに対応する不規則性変動値および不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいて、不規則性値のセット内の1つ以上の追加の不規則性値にマッピングするステップと、
をさらに実行させる、請求項43に記載の媒体。 - 前記1つ以上のコンピューティングデバイスの少なくとも1つに実行されたとき、前記1つ以上のコンピューティングデバイスの少なくとも1つに、前記複数の活動パラメータにおける1つ以上の活動パラメータを、前記1つ以上の活動パラメータに対応する1つ以上の変動値および前記1つ以上の活動パラメータに対応する1つ以上のファジーメンバーシップ関数に少なくとも部分的に基づいて、前記セグメント値のセットにおける1つ以上の追加のセグメント値にマッピングするステップを実行させる命令は、前記1つ以上のコンピューティングデバイスの少なくとも1つに、
ゼロより大きい対応変動値を有する複数の活動パラメータにおける1つ以上の活動パラメータを特定するステップと、
特定された1つ以上の活動パラメータにおける各活動パラメータについて、当該活動パラメータに対応する1つ以上の可能なセグメント値を決定するステップであって、前記1つ以上の可能なセグメント値は、その活動パラメータに割り当てられた変動値、当該活動パラメータにマッピングされたセグメント値、および当該活動パラメータに対応するファジーメンバーシップ関数に少なくとも部分的に基づく、ステップと、
識別された1つ以上の活動パラメータにおける各活動パラメータについて、その活動パラメータに対応する1つ以上の可能なセグメント値を連結して、可能なセグメント値の連結リストを生成するステップと、
特定された1つ以上の活動パラメータ内の各活動パラメータについて、可能なセグメント値の連結リストを、対応する活動パラメータにマッピングするステップと、
をさらに実行させる、請求項46に記載の媒体。 - 前記1つ以上のコンピューティングデバイスの少なくとも1つに実行されたとき、前記1つ以上のコンピューティングデバイスの少なくとも1つに、前記データオブジェクトの前記不規則性スコアを、前記不規則性スコアおよび前記不規則性ファジーメンバーシップ関数に対応する前記不規則性変動値に少なくとも部分的に基づいて、前記不規則性値のセットにおける1つ以上の追加の不規則性値にマッピングするステップを実行させる命令は、前記1つ以上のコンピューティングデバイスの少なくとも1つに、
不規則性スコアに対応する1つ以上の可能な不規則性値を決定するステップであって、1つ以上の可能性な不規則性値は、不規則性スコアに割り当てられた不規則性変動値、不規則性スコアにマッピングされた不規則性値、および不規則性ファジーメンバーシップ関数に少なくとも部分的に基づいている、ステップと、
不規則性スコアに対応する1つ以上の可能な不規則性値を連結して、可能な不規則性値の連結リストを生成するステップと、
可能な不規則性値の連結リストを不規則性スコアにマッピングするステップと、
をさらに実行させる、請求項46に記載の媒体。 - 前記1つ以上のコンピューティングデバイスの少なくとも1つに実行されたとき、前記1つ以上のコンピューティングデバイスの少なくとも1つに、前記複数の活動パラメータに対応する複数のセグメント値および前記不規則性スコアに対応する前記不規則性値に少なくとも部分的に基づいて前記データオブジェクトの前記オブジェクトポスチャを生成するステップを実行させる命令は、前記1つ以上のコンピューティングデバイスの少なくとも1つに、
複数の活動パラメータにマッピングされたすべてのセグメント値と、不規則性スコアにマッピングされたすべての不規則性値とを連結するステップをさらに実行させる、請求項43に記載の媒体。 - 前記1つ以上のコンピューティングデバイスの少なくとも1つに実行されたとき、前記1つ以上のコンピューティングデバイスの少なくとも1つに、前記1つ以上のオブジェクトポスチャにおける少なくとも1つのオブジェクトポスチャの各々を、前記オブジェクトポスチャと同じユーザに対応する1つ以上の先行オブジェクトポスチャと比較して、前記複数のユーザにおける1つ以上のユーザの異常な活動を識別するステップを実行させる命令は、前記1つ以上のコンピューティングデバイスの少なくとも1つに、
オブジェクトポスチャと、同じユーザに対応する1つ以上の先行オブジェクトポスチャのうちの少なくとも1つとの間の非類似性ファクタを計算するステップと、
非類似性ファクタが閾値非類似性ファクタより大きいという決定に少なくとも部分的に基づいて、ユーザの活動を異常であると識別するステップと、
をさらに実行させる、請求項35に記載の媒体。 - 前記非類似性ファクタは、前記オブジェクトポスチャと、前記同じユーザに対応する前記1つ以上の先行オブジェクトポスチャのうちの少なくとも1つとの間のレーベンシュタイン距離メトリックを含む、請求項50に記載の媒体。
Applications Claiming Priority (3)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US15/160,783 | 2016-05-20 | ||
US15/160,783 US10257211B2 (en) | 2016-05-20 | 2016-05-20 | Method, apparatus, and computer-readable medium for detecting anomalous user behavior |
PCT/US2016/037847 WO2017200558A1 (en) | 2016-05-20 | 2016-06-16 | Method, apparatus, and computer-readable medium for detecting anomalous user behavior |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2019521422A true JP2019521422A (ja) | 2019-07-25 |
JP6725700B2 JP6725700B2 (ja) | 2020-07-22 |
Family
ID=60325385
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2018560991A Active JP6725700B2 (ja) | 2016-05-20 | 2016-06-16 | 異常なユーザ行動関連アプリケーションデータを検出するための方法、装置、およびコンピュータ読み取り可能な媒体 |
Country Status (4)
Country | Link |
---|---|
US (1) | US10257211B2 (ja) |
JP (1) | JP6725700B2 (ja) |
CA (1) | CA3024960C (ja) |
WO (1) | WO2017200558A1 (ja) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN112837078A (zh) * | 2021-03-03 | 2021-05-25 | 万商云集(成都)科技股份有限公司 | 一种基于集群的用户异常行为检测方法 |
Families Citing this family (43)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US11743389B1 (en) | 2013-12-30 | 2023-08-29 | Massachusetts Mutual Life Insurance Company | System and method for managing routing of customer calls |
US11831794B1 (en) | 2013-12-30 | 2023-11-28 | Massachusetts Mutual Life Insurance Company | System and method for managing routing of leads |
US11509771B1 (en) | 2013-12-30 | 2022-11-22 | Massachusetts Mutual Life Insurance Company | System and method for managing routing of customer calls |
US11151486B1 (en) * | 2013-12-30 | 2021-10-19 | Massachusetts Mutual Life Insurance Company | System and method for managing routing of leads |
US10681059B2 (en) * | 2016-05-25 | 2020-06-09 | CyberOwl Limited | Relating to the monitoring of network security |
EP3293937A1 (en) * | 2016-09-12 | 2018-03-14 | Vectra Networks, Inc. | Method and system for detecting malicious payloads |
JP6781950B2 (ja) * | 2016-10-12 | 2020-11-11 | オムロン株式会社 | 識別情報付与システム、識別情報付与方法、及びそのプログラム |
US10542017B1 (en) * | 2016-10-13 | 2020-01-21 | Symantec Corporation | Systems and methods for personalizing security incident reports |
EP3340107B9 (en) * | 2016-12-23 | 2021-07-21 | Cytognos, S.L. | Method of digital information classification |
US10528533B2 (en) * | 2017-02-09 | 2020-01-07 | Adobe Inc. | Anomaly detection at coarser granularity of data |
US11470097B2 (en) * | 2017-03-03 | 2022-10-11 | Nippon Telegraph And Telephone Corporation | Profile generation device, attack detection device, profile generation method, and profile generation computer program |
US10587635B2 (en) | 2017-03-31 | 2020-03-10 | The Boeing Company | On-board networked anomaly detection (ONAD) modules |
US10474667B2 (en) * | 2017-07-29 | 2019-11-12 | Vmware, Inc | Methods and systems to detect and correct outliers in a dataset stored in a data-storage device |
US10432648B1 (en) * | 2017-08-28 | 2019-10-01 | Palo Alto Networks, Inc. | Automated malware family signature generation |
US11637844B2 (en) | 2017-09-28 | 2023-04-25 | Oracle International Corporation | Cloud-based threat detection |
US11037033B2 (en) * | 2018-03-26 | 2021-06-15 | Ca, Inc. | Multivariate clustering-based anomaly detection |
CN108628721B (zh) * | 2018-05-02 | 2021-07-27 | 腾讯科技(上海)有限公司 | 用户数据值的异常检测方法、装置、存储介质及电子装置 |
CN108737406B (zh) * | 2018-05-10 | 2020-08-04 | 北京邮电大学 | 一种异常流量数据的检测方法及*** |
CN109861953B (zh) * | 2018-05-14 | 2020-08-21 | 新华三信息安全技术有限公司 | 一种异常用户识别方法及装置 |
US10708050B2 (en) * | 2018-06-19 | 2020-07-07 | TokenEx, LLC | Multivariate encryption systems and methods |
US10881964B1 (en) | 2018-09-13 | 2021-01-05 | Electronic Arts Inc. | Automated detection of emergent behaviors in interactive agents of an interactive environment |
US11507961B2 (en) * | 2018-09-14 | 2022-11-22 | Raytheon Technologies Corporation | Fabricated data detection method |
US11916895B1 (en) * | 2018-11-01 | 2024-02-27 | Amazon Technologies, Inc. | Certificate authority breach detection for network-connected devices |
CN109727446B (zh) * | 2019-01-15 | 2021-03-05 | 华北电力大学(保定) | 一种用电数据异常值的识别与处理方法 |
US11415618B2 (en) * | 2019-02-06 | 2022-08-16 | Lisa Dräxlmaier GmbH | Method and testing device |
WO2021009921A1 (ja) * | 2019-07-18 | 2021-01-21 | 日本電信電話株式会社 | 学習装置、検知システム、学習方法及び学習プログラム |
CN110381151B (zh) * | 2019-07-24 | 2021-12-28 | 秒针信息技术有限公司 | 一种异常设备检测方法及装置 |
US11734121B2 (en) * | 2020-03-10 | 2023-08-22 | EMC IP Holding Company LLC | Systems and methods to achieve effective streaming of data blocks in data backups |
US11416364B2 (en) * | 2020-03-27 | 2022-08-16 | Vmware, Inc. | Methods and systems that identify dimensions related to anomalies in system components of distributed computer systems using clustered traces, metrics, and component-associated attribute values |
US11880271B2 (en) * | 2020-03-27 | 2024-01-23 | VMware LLC | Automated methods and systems that facilitate root cause analysis of distributed-application operational problems and failures |
US11880272B2 (en) * | 2020-03-27 | 2024-01-23 | VMware LLC | Automated methods and systems that facilitate root-cause analysis of distributed-application operational problems and failures by generating noise-subtracted call-trace-classification rules |
US11113174B1 (en) * | 2020-03-27 | 2021-09-07 | Vmware, Inc. | Methods and systems that identify dimensions related to anomalies in system components of distributed computer systems using traces, metrics, and component-associated attribute values |
CN111461564A (zh) * | 2020-04-08 | 2020-07-28 | 湖南大学 | 基于云模型和最优组合赋权的风电机组功率特性评估方法 |
CN111639067B (zh) * | 2020-05-21 | 2023-05-30 | 中国地质大学(武汉) | 多特征融合卷积自编码的多元地球化学异常识别方法 |
CN111831373A (zh) * | 2020-06-09 | 2020-10-27 | 上海容易网电子商务股份有限公司 | 一种用于安卓互动屏应用启动状态的检测处理方法 |
CN111753293B (zh) * | 2020-06-29 | 2022-08-02 | 苏州浪潮智能科技有限公司 | 一种操作行为监测方法、装置及电子设备和存储介质 |
US11552972B2 (en) * | 2020-07-14 | 2023-01-10 | Bank Of America Corporation | Trusted travel devices equipped with on-the-fly monitoring |
US20220067122A1 (en) * | 2020-08-26 | 2022-03-03 | Coupang Corp. | System and method for capping outliers during an experiment test |
LU102090B1 (en) * | 2020-09-29 | 2022-03-29 | Microsoft Technology Licensing Llc | Anomalous pattern detection for control of computer networks |
KR102446923B1 (ko) * | 2020-11-24 | 2022-09-22 | 연세대학교 산학협력단 | 밀도 기반 클러스터링을 이용한 사람 자세 데이터셋의 축약 장치 및 방법 |
CN112528162B (zh) * | 2020-11-27 | 2024-03-22 | 微梦创科网络科技(中国)有限公司 | 一种刷转发量行为用户的实时识别方法及装置 |
CN116166960B (zh) * | 2023-02-07 | 2023-09-29 | 山东经鼎智能科技有限公司 | 用于神经网络训练的大数据特征清洗方法及*** |
CN117650995B (zh) * | 2023-11-28 | 2024-06-14 | 佛山科学技术学院 | 一种基于离群检测的数据传输异常识别方法 |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2006065572A (ja) * | 2004-08-26 | 2006-03-09 | Mitsubishi Electric Corp | 行動パターン抽出装置および異常行動検出装置 |
US20150229661A1 (en) * | 2011-11-07 | 2015-08-13 | Netflow Logic Corporation | Method and system for confident anomaly detection in computer network traffic |
WO2015141560A1 (ja) * | 2014-03-19 | 2015-09-24 | 日本電信電話株式会社 | トラヒック特徴情報抽出方法、トラヒック特徴情報抽出装置及びトラヒック特徴情報抽出プログラム |
WO2016076334A1 (ja) * | 2014-11-14 | 2016-05-19 | 日本電信電話株式会社 | マルウェア感染端末の検出装置、マルウェア感染端末の検出方法およびマルウェア感染端末の検出プログラム |
Family Cites Families (9)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CA2727831C (en) * | 2008-06-12 | 2019-02-05 | Guardian Analytics, Inc. | Modeling users for fraud detection and analysis |
US7890675B2 (en) * | 2009-03-05 | 2011-02-15 | International Business Machines Corporation | Apparatus, system, and method for real time job-specific buffer allocation |
US20120137367A1 (en) | 2009-11-06 | 2012-05-31 | Cataphora, Inc. | Continuous anomaly detection based on behavior modeling and heterogeneous information analysis |
US8826438B2 (en) | 2010-01-19 | 2014-09-02 | Damballa, Inc. | Method and system for network-based detecting of malware from behavioral clustering |
US9477826B2 (en) * | 2010-11-29 | 2016-10-25 | Biocatch Ltd. | Device, system, and method of detecting multiple users accessing the same account |
US9185095B1 (en) | 2012-03-20 | 2015-11-10 | United Services Automobile Association (Usaa) | Behavioral profiling method and system to authenticate a user |
US10063654B2 (en) * | 2013-12-13 | 2018-08-28 | Oracle International Corporation | Systems and methods for contextual and cross application threat detection and prediction in cloud applications |
US9846687B2 (en) * | 2014-07-28 | 2017-12-19 | Adp, Llc | Word cloud candidate management system |
US9774681B2 (en) | 2014-10-03 | 2017-09-26 | Fair Isaac Corporation | Cloud process for rapid data investigation and data integrity analysis |
-
2016
- 2016-05-20 US US15/160,783 patent/US10257211B2/en active Active
- 2016-06-16 CA CA3024960A patent/CA3024960C/en active Active
- 2016-06-16 WO PCT/US2016/037847 patent/WO2017200558A1/en active Application Filing
- 2016-06-16 JP JP2018560991A patent/JP6725700B2/ja active Active
Patent Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2006065572A (ja) * | 2004-08-26 | 2006-03-09 | Mitsubishi Electric Corp | 行動パターン抽出装置および異常行動検出装置 |
US20150229661A1 (en) * | 2011-11-07 | 2015-08-13 | Netflow Logic Corporation | Method and system for confident anomaly detection in computer network traffic |
WO2015141560A1 (ja) * | 2014-03-19 | 2015-09-24 | 日本電信電話株式会社 | トラヒック特徴情報抽出方法、トラヒック特徴情報抽出装置及びトラヒック特徴情報抽出プログラム |
US20160366159A1 (en) * | 2014-03-19 | 2016-12-15 | Nippon Telegraph And Telephone Corporation | Traffic feature information extraction method, traffic feature information extraction device, and traffic feature information extraction program |
WO2016076334A1 (ja) * | 2014-11-14 | 2016-05-19 | 日本電信電話株式会社 | マルウェア感染端末の検出装置、マルウェア感染端末の検出方法およびマルウェア感染端末の検出プログラム |
Non-Patent Citations (2)
Title |
---|
山西 健司 ほか: "最新!データマイニング手法 統計的異常検出3手法", 情報処理, vol. 第46巻 第1号, JPN6009006038, 15 January 2005 (2005-01-15), JP, pages 34 - 40, ISSN: 0004268715 * |
豊嶋 伊知郎 ほか: "クラスタリング結果を用いた外れ値検出による,歩行軌跡データからの行動識別手法", 情報処理学会研究報告, vol. 2007, no. 31, JPN6020016961, 20 March 2007 (2007-03-20), JP, pages 205 - 212, ISSN: 0004268714 * |
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN112837078A (zh) * | 2021-03-03 | 2021-05-25 | 万商云集(成都)科技股份有限公司 | 一种基于集群的用户异常行为检测方法 |
CN112837078B (zh) * | 2021-03-03 | 2023-11-03 | 万商云集(成都)科技股份有限公司 | 一种基于集群的用户异常行为检测方法 |
Also Published As
Publication number | Publication date |
---|---|
WO2017200558A1 (en) | 2017-11-23 |
US10257211B2 (en) | 2019-04-09 |
CA3024960A1 (en) | 2017-11-23 |
JP6725700B2 (ja) | 2020-07-22 |
CA3024960C (en) | 2022-03-08 |
US20170339168A1 (en) | 2017-11-23 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP6725700B2 (ja) | 異常なユーザ行動関連アプリケーションデータを検出するための方法、装置、およびコンピュータ読み取り可能な媒体 | |
US11496498B2 (en) | Statistical analysis of network behavior using event vectors to identify behavioral anomalies using a composite score | |
US11005872B2 (en) | Anomaly detection in cybersecurity and fraud applications | |
US11330009B2 (en) | Systems and methods for machine learning-based digital content clustering, digital content threat detection, and digital content threat remediation in machine learning task-oriented digital threat mitigation platform | |
US9978067B1 (en) | System and methods for dynamic digital threat mitigation | |
US10140576B2 (en) | Computer-implemented system and method for detecting anomalies using sample-based rule identification | |
US9661010B2 (en) | Security log mining devices, methods, and systems | |
US11093845B2 (en) | Tree pathway analysis for signature inference | |
US11693917B2 (en) | Computational model optimizations | |
US20150067857A1 (en) | In-situ trainable intrusion detection system | |
US11303666B1 (en) | Systems and methods for intelligent cyber security threat detection and mitigation through an extensible automated investigations and threat mitigation platform | |
Kalinichenko et al. | Methods for anomaly detection: A survey | |
Saito et al. | Improving lime robustness with smarter locality sampling | |
Li et al. | Optimizing IoT intrusion detection system: feature selection versus feature extraction in machine learning | |
Aziz et al. | Cluster Analysis-Based Approach Features Selection on Machine Learning for Detecting Intrusion. | |
Singh et al. | User behaviour based insider threat detection using a hybrid learning approach | |
Meryem et al. | A novel approach in detecting intrusions using NSLKDD database and MapReduce programming | |
Gautam et al. | Adaptive discretization using golden section to aid outlier detection for software development effort estimation | |
Alhakami | Alerts clustering for intrusion detection systems: overview and machine learning perspectives | |
US11734312B2 (en) | Feature transformation and missing values | |
US20230199006A1 (en) | Systems and methods for machine learning-based detection of an automated fraud attack or an automated abuse attack | |
Jirachan et al. | Applying KSE-test and K-means clustering towards scalable unsupervised intrusion detection | |
Majd et al. | Ransomware classification using machine learning | |
Kaiser | Cognitive discriminative feature selection using variance fractal dimension for the detection of cyber attacks | |
Abinaya et al. | Big Data in Real Time to Detect Anomalies |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20190614 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20190619 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20200423 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20200526 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20200625 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 6725700 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |