JP5405305B2 - タイプ２ファジーニューラルネットワークを使用したインテリジェンスネットワーク異常検出 - Google Patents

Description

本発明は、（プライベートネットワークに向けられた）攻撃／異常の症状を特定し、その攻撃／異常の症状がなくなり始めるまで（ネットワークデバイスによって実施可能な）段階的に強化する訂正処置を提案するための、異常検出器およびタイプ２ファジーニューラルネットワークの使用方法に関する。

現在のネットワーキングデバイス（例えば、レイヤ３イーサネット（登録商標）スイッチ）では、ネットワーク異常／攻撃を検出および訂正するために、しばしば事後分析技術または予防対策技術のいずれかを使用する。前者の場合、ネットワーキングデバイスが、大量のネットワーク統計値を収集し、次いでこの情報を外部機能に送り、組織的な攻撃／異常または望まれないネットワーク挙動の知られているパターンまたは特徴を特定する。これらのネットワーク統計値を照合、計算および分析する要求は、徹底的な量の数値演算処理および検索機能を要求するため、この外部機能は、異常／攻撃が既にネットワークに損害を与えた後にこの異常／攻撃を特定する。

後者の場合、ネットワーキングデバイスは、１組のフィルタマスク、決定木、または組織的な攻撃／異常もしくは望まれないネットワーク挙動の知られているパターンまたは特徴に対応する複雑な発見的方法でプログラムされている。これらの仕組みは、攻撃／異常の固定パターンおよび組織的パターンを追跡するのにかなり効率的な、厳重で迅速な規則を使用することによってのみ、それらの攻撃／異常を認識する。特定されると、このネットワーキングデバイスが、問題を起こす攻撃／異常の症状に対処するために適切なステップを実行する。この特定の技術は、その攻撃／異常が固定的な動作範囲を有し、よく知られている特徴を残す場合に上手く機能する。

一部のネットワーキングデバイスでは、ネットワーク異常／攻撃を検出および訂正するために、事後分析技術および予防対策技術を組み合わせて使用する。例えば、サービスの妨害、ポートスキャニングなど、最も損害を与え、認識可能な攻撃方法は、極めて独特な特徴を有するため、このタイプのネットワーキングデバイスは、これらの攻撃／異常の多くを上手く特定および訂正することができる。例えば、ネットワーク管理者は、固定的な動作範囲を示し、よく知られている特徴を残す攻撃／異常によってもたらされる問題を検出および訂正するために、１組のフィルタマスク、決定木または複雑な発見的方法を容易にプログラムすることができる。しかし、今日一般に使用されている新しいタイプの攻撃／異常は、予測可能な方法では動作せず、また独特な特徴も残さない。例えば、ネットワーク間を移動する場合に容易には特定できない活動範囲を有する新しい世代のワームがあり、容易には特定できないのは、これらの新しいワームが、ネットワーク内で移動および複製する際に自らの動作を変えさせる生物学的アルゴリズムを使用するからである。

結果として、これらのよく知られている技術は、攻撃／異常を認識し、その攻撃／異常の症状を訂正するための訂正処置を実行することができる前に、その攻撃／異常の原因に関する詳細な知識に依存するため、十分に機能しない可能性がある。さらに、これらの技術は（ネットワーク管理者が、対処したいと思う攻撃の各程度を特別に定義し、これにより実質的にその攻撃の各程度を攻撃の新しいクラスにしない限り）その攻撃／異常の程度に関係なく、離散的な訂正処置の過程をしばしば実行する必要がある。したがって、攻撃／異常（特に、変形可能なワームの新しいタイプの１つ）を検出し、その攻撃／異常の症状がなくなり始めるまで、段階的に強化する処置を提案することができる新しい技術が求められている。この要求および他の諸要求は、本発明の異常検出器および異常検出方法によって応えられている。

米国特許出願公開第２００４／０２５０１２４Ａ１号明細書は、攻撃からネットワークを保護するための方法を開示し、この方法は、ネットワークに入ってくるトラフィックの特性を測定すること、および攻撃を検出するために、その特性を少なくとも１つのファジー論理アルゴリズムを使用して分析することを含む。

発明の簡単な説明
異常検出器および２つの方法が、独立請求項１、７および１１にそれぞれ説明されている。

本発明は、攻撃の症状を追跡し、その攻撃の症状がなくなり始めるまで、段階的に強化する訂正処置を提案することができる異常検出器およびタイプ２ファジーニューラルネットワークの使用方法を含む。一実施形態では、この異常検出器は、３層のタイプ２ファジーニューラルネットワークを使用し、第１の層は、複数のメンバシップ関数μ_１−μ_ｉを有し、これらのメンバシップ関数は、ネットワークデバイスの「健康状態」の様々な側面に関する統計値を収集し、それらの数値を０から１の間の値を有するメトリックへと処理する。第２の層は、複数の加算器П_１−Π_ｍを有し、これら複数の加算器のそれぞれは、選択されたメンバシップ関数μ_１−μ_ｉとインタフェースをとり、それらメンバシップ関数μ_１−μ_ｉのメトリックを入手し、次いで（数値的ではなく、確率的）移動和を出力する。第３の層２０６は、複数のアグリゲータΣ_１−Σ_ｋを有し、これら複数のアグリゲータのそれぞれは、選択された加算器П_１−Π_ｍからの合計を集約し、ネットワークデバイスが攻撃の症状に対処するために従うことのできる特定の処置過程を決定するために（ｉｆ−ｔｈｅｎ−ｅｌｓｅテーブル内に位置する）ファジー論理制御規則と比較される、移動平均を計算する。

本発明のより完全な理解は、以下の詳細な説明を添付の図面と共に参照することにより得ることができる。

本発明により、プライベートネットワークを保護するように機能する異常検出器と相互作用する、ネットワークデバイスの図である。 本発明の一実施形態により、３層のタイプ２ファジーニューラルネットワークを使用してプライベートネットワークを保護する異常検出器の図である。 本発明の一実施形態により、３層のタイプ２ファジーニューラルネットワークを使用してプライベートネットワークを保護する異常検出器によって実行可能な基本ステップを示す図である。

図１を参照すると、本発明により、攻撃の症状を特定し、ネットワークデバイス１００がその攻撃の症状に対処するために従うことのできる段階的に強化する訂正処置を提案する異常検出器１０２に、ネットワークデバイス１００がどのようにインタフェースをとることができるのかを説明するのに役立つ図が示されている。この例示的シナリオでは、ネットワークデバイス１００が（ネットワークデバイス１００内に位置することもできる）異常検出器１０２とインタフェースをとることにより、パブリックネットワーク１０６から発生する攻撃および可能な脅威からプライベートネットワーク１０４を保護することができる。さらに、ネットワークデバイス１００が異常検出器１０２とインタフェースをとることにより、プライベートネットワーク１０４を、プライベートネットワーク１０４自体のユーザからの攻撃および潜在的な濫用から保護することができる。異常検出器１０２が、どのようにネットワーク統計値１０８を受け取り、それらのネットワーク統計値１０８を処理し、次いでプライベートネットワーク１０４を保護するためにネットワークデバイス１００が実施可能な１つまたは複数の訂正処置１１０を出力するのか、を説明するために、詳細な説明を次に行う。

異常検出器１０２は、望ましい異常検出プロセスでのある程度の適応性を導入するために人工知能を使用するのは、新しいネットワーク攻撃（例えば変形可能なワーム）の本質がしばしば複雑であり、さらに多くの場合、不可知であるためである。一実施形態では、異常検出器１０２は、このある程度の適応性を、本明細書でタイプ２ファジーニューラルネットワーク１１２と呼ぶ、人工知能の一形態を使用することによって可能にする（図２および図３参照）。タイプ２ファジーニューラルネットワーク１１２は、収集されたネットワーク統計値１０８から取られた部分的な知識を使用して、攻撃の症状を特定および追跡してから、その攻撃の症状に対処するための段階的に強化する訂正処置１１０を提案することができる。したがって、タイプ２ファジーニューラルネットワーク１１２は、攻撃を検出し、その攻撃の症状に対処するために必要な訂正処置１１０を提案することができる前に、攻撃の根本的原因を推定する必要はない。

タイプ２ファジーニューラルネットワーク１１２は、その学習条件が、複雑な適応フィルタではなく、単純な発見的方法をベースとする点で、従来のニューラルネットワークとは異なる。これらの単純な発見的方法は、「ファジネス」と呼ばれる、適応での未定義の数値誤差を許す。この「ファジー」な性質は、複雑な適応フィルタを使用する従来のニューラルネットワークで必要とされるデータ精度を有する必要なく、異常検出器１０２が、一般的傾向を発見することにより把握しにくい問題を追跡できるようにする。３層の制御構造を有するタイプ２ファジーニューラルネットワーク１１２の例示的な一実施形態を、図２および図３に関連して次に説明する。

図２を参照すると、本発明により、攻撃の症状を特定し、その攻撃の症状がなくなり始めるまで実施することができる段階的に強化する訂正処置を提案するために異常検出器１０２によって使用される、例示的な３層のタイプ２ファジーニューラルネットワーク１１２の図が示されている。図示のように、第１の層２０２は、複数のメンバシップ関数μ_１−μ_ｉを有し、これらのメンバシップ関数は、ネットワークデバイス１００の「健康状態」の様々な側面に関する統計値１０８を収集し、それらの数値を０から１の間の値を有するメトリックへと処理する。第２の層２０４は、複数の加算器П_１−Π_ｍを有し、これら複数の加算器のそれぞれは、選択されたメンバシップ関数μ_１−μ_ｉとインタフェースをとり、それらメンバシップ関数μ_１−μ_ｉのメトリックを入手し、次いで（数値的ではなく、確率的）移動和を処理／出力する。第３の層２０６は、複数のアグリゲータΣ_１−Σ_ｋを有し、これら複数のアグリゲータのそれぞれは、選択された加算器П_１−Π_ｍからの合計を集約し、ネットワークデバイス１００が攻撃の症状に対処するために従うことのできる処置過程１１０を決定するために対応するｉｆ−ｔｈｅｎ−ｅｌｓｅテーブル２０８_１および２０８_ｋ内に位置するファジー論理制御規則と比較される、移動平均を計算する。詳細には、第３の層２０６は、複数のｉｆ−ｔｈｅｎ−ｅｌｓｅテーブル２０８_１および２０８_ｋを有し、これら複数のｉｆ−ｔｈｅｎ−ｅｌｓｅテーブルのそれぞれは個々のアグリゲータΣ_１−Σ_ｋから移動平均を受け取り、その入力に基づいてｉｆ−ｔｈｅｎ−ｅｌｓｅ分析を実行し、次いで、攻撃の症状に対処するためにネットワークデバイス１００が実施可能な処置１１０を出力する。

ある特定の適用例では、各メンバシップ関数μ_１−μ_ｉは、ネットワークデバイス１００の特定の側面に関する統計値１０８を収集し、次いでネットワークデバイス１００のその特定の側面の「健康状態」を表すための単一のメトリックを生成する。このメトリックは、０から１の間のスコアを有し、これは、対応するメンバシップ関数をμ∈｛０．．１｝として表すことができることを意味する。このメトリックスコアは、論理上の最高値に対する、例えば、特定のインタフェースを通るパケット数、特定のインタフェースを通るビット数、特定のインタフェースを通るｈｔｔｐ接続数、等、ネットワークデバイス１００が現在収集中のネットワーク統計値の分数である。例えば、μ_１＝ポートＡの処理能力＝（ポートＡが送信したビット数／秒）／（ポートＡの１秒あたりのリンク速度）となる。したがって、高いメトリックスコアは、より優れた健康状態を示すので、メトリックは低いスコアよりも高いスコアがより望ましい。理解できるように、メンバシップ関数が自らのμ値でどんなタイプの側面（ネットワークデバイス１００に関連する統計値）を伝えることができるのかについての制限はない。さらに、ネットワーク管理者がメンバシップ関数μ_１−μ_ｉを正確に定義すればするほど、異常検出器１０２は全体的により好ましく動作することになる。

第２の層２０４では、選択されたメンバシップ関数μ_１−μ_ｉからのメトリックは、加算器П_１−Π_ｍのうちの１つによって合計され、総合スコアμ_{ｏｖｅｒａｌｌ}を生成する。特定の個々のメンバシップ関数μ_１−μ_ｉは、総合スコアに様々な方法で影響を及ぼすことができるからである。加算器П_１−Π_ｍは、個々のメンバシップ関数μ_１−μ_ｉのうちの１つまたは複数に、それら個々のメンバシップ関数μ_１−μ_ｉのうちの１つまたは複数が総合スコアμ_{ｏｖｅｒａｌｌ}に対して所望の補償効果を有するように、変化する重み「ｗ」を組み入れることができる。一例では、この総合スコアμ_{ｏｖｅｒａｌｌ}は、次式のように計算することができる（式１）：
μ_{ｏｖｅｒａｌｌ}＝（П（μ_ｉ ^ｗ（ｉ）＊μ’_ｉ ^ｗ（ｉ）））^β＊（１−П（（１−μ_ｉ）^ｗ（ｉ）＊（１−μ’_ｉ）^ｗ（ｉ）））^Ｙ
ただし、β＝Ｙ−１、μ_ｉ∈｛０．．１｝、ｗ（ｉ）＝μ_ｉのｉ番目の重み、である。
上記の式は、μ_ｉおよびμ’_ｉの、重みを付けられた幾何平均の場合であり、ただしμ_ｉは、総合スコアμ_{ｏｖｅｒａｌｌ}に影響を与えるｉ番目のファクタであり、μ’_ｉは、μ_ｉの変化率であり、すなわち、μ’_ｉ＝ｄμ_ｉ／ｄｔとなる。

第３の層２０６では、重みを付けられた幾何平均（総合スコアμ_{ｏｖｅｒａｌｌ}）のうちの選択された幾何平均が、アグリゲータΣ_１−Σ_ｋの１つによって合計され、その結果が、ｉｆ−ｔｈｅｎ−ｅｌｓｅ処置の対応するテーブル２０８_１および２０８_ｋに対して比較される。図示のように、各アグリゲータΣ_１−Σ_ｋは１つのテーブルとしか結合されておらず、テーブル２０８_１および２０８_ｋのそれぞれは、特定の攻撃／異常を探し、その特定の攻撃／異常の症状に対処するようにプログラムすることができる。以下は、サンプルテーブル２０８_１および２０８_ｋの表である。

上記で説明した処置１１０は、ネットワーキングデバイス１００が、自らを攻撃／異常から保護するために実行可能なステップである。例えば、異常検出器１０２は、現在のトラフィックパターンに基づいて、すなわち異常検出器１０２の輻輳用アグリゲータΣ_１が特定の閾値を超える場合に、ネットワークデバイス１００の特定のインタフェース上の潜在的なネットワークの輻輳を検出する可能性がある。このアグリゲータの合計が、厳しい閾値と緩い閾値との間にある場合、アグリゲータΣ_１によって引き起こされる処置１１０は、ネットワーキングデバイス１００に、すべての後続トラフィックを低いＤＳＣＰ（Ｄｉｆｆｅｒｅｎｔｉａｔｅｄ Ｓｅｒｖｉｃｅｓ Ｃｏｄｅ Ｐｏｉｎｔ）プライオリティで印をつけさせる可能性もある。アグリゲータの合計が厳しい閾値を超える場合、アグリゲータΣ_１によって引き起こされる処置１１０は、ネットワーキングデバイス１００に、輻輳状態にあるインタフェース上のすべての後続トラフィックを取り止めさせる可能性もある。

別の例では、ネットワーキングデバイス１００は、予測パターンおよび固定間隔での、不審に大量のハイパテキスト転送プロトコル（ＨＴＴＰ）要求と、その後に続く少数のインターネットプロトコル（ＩＰ）アドレスからの大量のＨＴＴＰアボートに直面する可能性もある。異常検出器１０２は、これらの変数の両方を集約することによりこのパターンを追跡し、次いで、ネットワーキングデバイス１００が実施可能な処置１１０を出力することにより、この問題に対処することができる。この例では、ネットワークオペレータは、この特定の異常に関する事前知識を有すると想定され、したがって、ネットワークオペレータは、メンバシップ関数μ_１−μ_ｎ、加算器П_１−Π_ｍ、アグリゲータΣ_１−Σ_ｋ、ならびに／またはｉｆ−ｔｈｅｎ−ｅｌｓｅテーブル２０８_１および２０８_ｋを適切に構成することが（さらにメンバシップ関数μ_１−μ_ｎに重みを付けることも）できる。あるいは、予期しない攻撃／異常を検出および対処するために、異常検出器１０２を使用することもできる（この特定の機能については、以下でより詳細に説明する）。

実例的な一実施形態では、３層のタイプ２ファジーニューラルネットワーク１１２を、既に莫大な統計値を維持する、例えばレイヤ３イーサネット（登録商標）スイッチ１００など、１つのネットワーキング機器１００の１つに実装することができる。この場合、第１の層のメンバシップ関数μ_１−μ_ｉは、周期的にこれらの統計値を取得し、取得したそれらの値をメトリック／分数へと変換し、変換したメトリック／分数は、１つまたは複数の第２の層の加算器П_１−Π_ｍ中に供給される。例えば、メンバシップ関数の１つμ_１は、１秒あたりにインタフェースを通過するビット数に関連する統計値を取得し、この値をポート速度に対して除算して、リンクの利用率を表すことになる｛０．．１｝の間のメトリック／分数を生成する。第１のメトリック／分数（μ_１）を計算することに加え、第１の層のメンバシップ関数μ_１は、そのメトリック／分数の時間差（μ_１’）も計算するであろう。この計算を行うために、例えば、メンバシップ関数μ_１は、連続する各μ_１（ｔ）ポイントの傾きを計算し、三角法的に角度値をエキストラクトし、その角度を２πに対して除算することができる。

その後、第２の層の加算器П_１−Π_ｍは、メトリック／分数（μ_１−μ_ｉ）およびメトリック／分数（μ_１−μ_ｉ）の対応する時間差メトリック／分数（μ_１’−μ_ｉ’）
の固有のセットをそれぞれ受け取り、重みを付けられた幾何平均μ_{ｏｖｅｒａｌｌ}を、（例えば）式１に基づいて計算する。所望の場合、加算器П_１−Π_ｍは、メトリック／分数（μ_１−μ_ｉ）のそれぞれに０から１の間の数値で重みを付けることもできる。メトリック／分数（μ_１−μ_ｉ）に割り当てられた重みは、対応するメンバシップ関数μ_１−μ_ｉの相対的重要度を示す。例えば、ネットワークの輻輳を追跡したい場合、リンクの利用率は、開いているＴＣＰ（伝送制御プロトコル）接続の数よりも高いパワーで重みを付けられるであろう。当然、タイプ２ファジーニューラルネットワーク１１２は、メンバシップ関数μ_１−μ_ｉに割り当てられた重みとは関係なく収束する。しかし、メンバシップ関数μ_１−μ_ｉが不適切に選択された重みを有する場合よりはむしろ、メンバシップ関数μ_１−μ_ｉが適切に選択された重みを有する場合、タイプ２ファジーニューラルネットワーク１１２はより早く適応するであろう。最後に、加算器П_１−Π_ｍは、第３の層のアグリゲータΣ_１−Σ_ｋのうちの選択されたアグリゲータに自らの出力μ_{ｏｖｅｒａｌｌ}を供給し、選択されたアグリゲータのそれぞれは、受け取ったμ_{ｏｖｅｒａｌｌ}を集約し、ネットワークデバイス１００が攻撃の症状に対処するために実施可能な特定の処置過程１１０を決定するために（対応するｉｆ−ｔｈｅｎ−ｅｌｓｅテーブル２０８_１および２０８_ｋ内に位置する）ファジー論理制御規則と比較される、移動平均を計算する。

図３を参照すると、本発明により、例示的な３層のタイプ２ファジーニューラルネットワーク１１２が、プライベートネットワーク１０４の保護を支援するためにどのように機能するかについて、異なる方法で説明するために使用する図が示されている。ステップ３０２では、第１の層のエンティティ２０２が、統計値を収集し、収集した値を、ファジー論理計算を使用することによって操作可能な分数値に処理することにより、システム状況を監視するように機能する。ステップ３０４では、第２の層のエンティティ２０４が、推論結果を導くために様々な統計値を結び付けるように機能する。ステップ３０６では、第３の層のエンティティ２０６（１つのΣ_１および１つのｉｆ−ｔｈｅｎ−ｅｌｓｅテーブル２０８_１のみを示す）が、第２の層の選択されたエンティティ２０４から受け取った一連の推量を使用して、ネットワークデバイス１００が、プライベートネットワーク１０４を保護するためにどんな処置１１０を実行することができるのかを決定するように機能する。

タイプ２ファジーニューラルネットワーク１１２を使用する利点は、将来の攻撃およびネットワーク問題について学習するように、タイプ２ファジーニューラルネットワーク１１２を訓練することができることである。例えば、ネットワーク管理者が、パブリックネットワーク１０６上で新しいワーム攻撃が急激に増加することを予期する場合、ネットワーク管理者は疑わしいワームを実験的なネットワークに解放し、この仕組みを使用して攻撃パターンを追跡することができる。その後、ネットワーク管理者は、この新しく学習されたパターンを、活動している異常検出器１０２にプログラムすることができ、したがって、プライベートネットワーク１０４はそのような攻撃に対して予防接種されることになる。オペレータは、次の２つの方法でこの予防接種を行うことができる：（１）オペレータが、差し迫った攻撃を遮断することができる処置で規則テーブル２０８_１−２０８_ｋを修正することができ、および／または（２）オペレータが、１つまたは複数のメンバシップ関数μ_１−μ_ｉ（例えば、測定値の重み）を更新、または新しい１つまたは複数のメンバシップ関数を追加することにより、第２の層２０４がどのように１つまたは複数の測定値を評価するのかを変えることができる。

別の例では、ネットワーク管理者が、新しい攻撃／異常を探すようにタイプ２ファジーニューラルネットワーク１１２を訓練したい場合、ネットワーク管理者は、ｉｆ−ｔｈｅｎ−ｅｌｓｅテーブルのうちの１つ２０８_１を、処置を実行せず、対応するアグリゲータΣ_１からの出力を単純に監視するようにプログラムすることができる。次いで、ネットワーク管理者は、その特定の新しい攻撃／異常に適合した特定の処置のセットを設計することができる。さらに、タイプ２ファジーニューラルネットワーク１１２が、特定の脅威を防御するように訓練されている場合、ファジーパラメータの修正と共に、訓練プロセス自体も、前例のない攻撃を防御するのを支援することができる。ファジーニューラルネットワーク１１２が、これらの予期しない攻撃を「有害」と判断し、応答を実行するためには、これらの予期しない攻撃は、知られている攻撃に関連する同一要素の一部を共有するだけでよい。これらの要素は、測定および容易に特定することができ（例えば、これらの要素は特定のトラフィックタイプの１秒あたりのパケットとすることができる）、これらの要素をこの仕組みが多く集約すればするほど、ますます多様なタイプの予期しない攻撃を特定することができる。

本発明の一実施形態を添付の図面に示し、上記の詳細な説明に記載したが、当然のことながら、本発明は開示した実施形態に限定されず、添付の特許請求の範囲によって規定および定義された本発明の精神から逸脱することなく、多くの再配置、修正および代用が可能である。

Claims (9)

1. レイヤ３イーサネットデバイスであって、
   タイプ２ファジーニューラルネットワークを実行する命令を格納するメモリを有し、命令は、レイヤ３イーサネットデバイスに、
   ネットワークデバイスからネットワーク統計値を受信し、
   統計値を処理して１つまたは複数のメトリックを生成し、１つ又は複数のメトリックの各々は、受信した統計値のそれぞれの理論上の最高値で受信した統計値のそれぞれを除算して得られた分数であるスコアにより表わされ、
   複数の加算器を使用して１つまたは複数のメトリックから１つまたは複数のメトリックの和を生成し、各メトリックの和が、メトリックのそれぞれとメトリックのそれぞれの変化率の重みを付けられた幾何平均であり、
   複数のアグリゲータを使用して、１つまたは複数のメトリック和を集約し、及び移動平均を生成し、
   少なくとも１つの攻撃の症状を特定するために移動平均を制御規則と比較し、
   比較に基づいて、少なくとも１つの訂正処置を決定し、
   少なくとも１つの訂正処置をネットワークデバイスに送り、
   少なくとも１つの症状がもはや検出されなくなるまで、少なくとも１つの訂正処置をエスカレートする、
   ように動作させることが可能である、レイヤ３イーサネットデバイス。
2. 前記受信したネットワーク統計値が、
   ネットワークデバイス上の特定のインタフェースを通るパケット数、
   前記ネットワークデバイス上の特定のインタフェースを通るビット数、または
   前記ネットワークデバイス上の特定のインタフェースを通るＨＴＴＰ接続数
   を含む、請求項１に記載のレイヤ３イーサネットデバイス。
3. 前記攻撃が、複数の生物学的アルゴリズムを実行する変形ワームである、請求項１に記載のレイヤ３イーサネットデバイス。
4. 前記攻撃が、予期しない攻撃である、請求項１に記載のレイヤ３イーサネットデバイス。
5. 前記攻撃が、予期された攻撃である、請求項１に記載のレイヤ３イーサネットデバイス。
6. ネットワーク攻撃の症状への対処方法であって、
   タイプ２ファジーニューラルネットワークを含むレイヤ３イーサネットデバイスを使用して、ネットワークデバイスから複数のネットワーク統計値を収集し、
   収集済みネットワーク統計値をその理論上の最高値で除算して得られた分数であるメトリックに、各収集済みネットワーク統計値を処理し、
   複数の加算器を使用してメトリックから１つまたは複数のメトリックの和を生成し、各メトリックの和が、メトリックのそれぞれとメトリックのそれぞれの変化率の重みを付けられた幾何平均であり、
   複数のアグリゲータを使用して、１つまたは複数のメトリックの和を集約し、及び移動平均を計算し、
   攻撃の症状に対処するための処置を決定するために、移動平均を決定規則テーブルの値と比較する、
   ことを含む、方法。
7. 収集済みネットワーク統計値及び移動平均を審査した後に、攻撃の症状により適切に対処するために、決定規則テーブルを改訂することさらに含む、請求項６に記載の方法。
8. 前記収集済みネットワーク統計値が、
   前記ネットワークデバイスの特定のインタフェースを通るパケット数、
   前記ネットワークデバイスの特定のインタフェースを通るビット数、または
   前記ネットワークデバイスの特定のインタフェースを通るＨＴＴＰ接続数
   を含む、請求項６に記載の方法。
9. 前記攻撃が、複数の生物学的アルゴリズムを実行する変形ワームである、請求項６に記載の方法。

Images