TWI533159B - 用於電腦的持續性身分驗證方法 - Google Patents

Description

用於電腦的持續性身分驗證方法

本發明係關於一種持續性身分驗證方法，並且特別地，關於一種可用以判斷一電腦系統之使用行為有無異常狀態並藉以驗證該電腦系統之使用者是否為合法使用者之方法。

以往，資安問題大多是以破壞用戶電腦系統為目的。例如損毀檔案、系統使其無法使用等。近年來網路化的發展，許多有價值的資料與憑證也逐漸數位化。例如***資訊、公司內部機密等有價值的資訊。因此，駭客們下手的目標逐漸從破壞電腦到竊取個人資料。而近期社群網路蓬勃發展，許多惡意攻擊者便藉由盜用帳號的方式來對其好友進行詐騙。

而雲端虛擬化發展，以量計價的時代來臨，許多惡意攻擊者也開始以盜用雲端資源為目標。雖然各應用系統為了防止帳號盜用，都加強其登入驗證系統的安全強度。例如，增強密碼安全性、使用更複雜的生物驗證機制等。但這些只加強了登入機制的安全性，卻仍然無法防範使用者驗證資訊遭盜取的風險。此外這些登入驗證機制只在登入系統時才確認使用者身分，使得系統仍會因人為因素(包含忘記登出、遭植入木馬等)而被盜用。

有鑑於此，本發明提出一種持續性驗證的機制，能在使用者登入系統後給予即時性的保護。藉由建立使用者行為模型的方式來認識使用者，當出現系統不認得的行為時，即時採取應變措施。

據此，申請人發現了前述長期存在且無法被解決的問題，同時針對該問題進行進一步的研究後，提出有本發明來克服前述的問題。

本發明之一範疇在於提供一種用於電腦的持續性身分驗證方法，以解決先前技術之問題。

簡單來說，本發明之主要技術特徵在於利用一客戶端背景程式在不干擾使用者操作系統的情況下，持續記錄使用者操作系統的行為(本發明以電腦系統為例，蒐集的資料包含：應用程式使用清單與其系統資源使用量，處理器使用率、記憶體使用率、硬碟存取量、網路存取量等硬體資源使用量)，再根據所蒐集到的使用者操作行為，依照不同時段來建立使用者行為之側寫模型，再將使用者當前行為，透過相對應時段的側寫模型進行預測與比對，當模型判定為異常時，則觸發使用者身分再驗證系統。且當系統確實判定當前行為有異常時，會暫時鎖定系統，並以手機應用程式、或電子郵件等方式提供使用者下列處置方式：1.鎖定當前電腦以防止他人使用，2.系統第一時間鎖定電腦，直到點擊手機應用程式上的解鎖按鈕或電子郵件中的解鎖連結，方可解鎖。藉此，可持續性的預測不同時段下系統所***作之行為是否為合法使用者之操作習慣。

關於本發明之優點與精神可以藉由以下的發明詳述及所附圖式得到進一步的瞭解。

110‧‧‧客戶端背景程式

120‧‧‧使用者行為資料庫

130‧‧‧持續性身分驗證系統

140‧‧‧智慧型手機驗證介面

111‧‧‧資料蒐集模組

112‧‧‧異常事件再驗證介面

131‧‧‧使用者行為分析引擎

132‧‧‧異常事件處理

141‧‧‧解鎖介面

S201、S202‧‧‧本發明方法之階段示意圖

S301~S313‧‧‧本發明方法運作的詳細流程圖

400‧‧‧將行為紀錄轉換成文章之示意圖

410‧‧‧將每五秒之行為記錄視為一個詞之示意圖

420、421‧‧‧時段劃分示意圖

430、431‧‧‧詞串示意圖

S501~S504‧‧‧產生文章組的步驟

S601~S610‧‧‧建立使用者側寫模型的步驟

S701~S705‧‧‧偵測使用者是否合法的步驟

圖一係繪示根據本發明之一具體實施例之持續性身分驗證方法之方塊圖。

圖二係繪示根據本發明之一具體實施例之持續性身分驗證方法之主要流程圖。

圖三係繪示圖二之持續性身分驗證方法之系統運作詳細流程圖。

圖四係繪示根據本發明之一具體實施例之持續性身分驗證方法之將行為紀錄轉換成文章之示意圖。

圖五係繪示根據本發明之一具體實施例之持續性身分驗證方法之重複取樣技術流程圖。

圖六係繪示根據本發明之一具體實施例之持續性身分驗證方法之利用文件分類與重複取樣技術建立使用者側寫模型的流程圖。

圖七係繪示根據本發明之一具體實施例之持續性身分驗證方法之預測使用者行為之流程圖。

以下將對本發明的方法進行一細部的說明。請參閱圖一與圖二，其係分別繪示根據本發明之一具體實施例之持續性身分驗證方法之方塊圖與主要流程圖。由圖一可見，本發明的持續性身分驗證方法係大致地由一客戶端背景程式110、一使用者行為資料庫120、一持續性身分驗證系統130與一智慧型手機驗證介面140所組成。而由圖二可知，本發明之持續性身分驗證方法之主要流程分為兩階段，分別為階段S201及階段S202。階段S201為資料蒐集與模型建立階段(學習模式)，階段S202為持續性驗證實施階段(預測模式)。

如圖一所示，客戶端背景程式110包含資料蒐集模組111與異常事件再驗證介面112。資料蒐集模組111是用來蒐集電腦系統中的使用行為，其包含硬體資源使用量(含處理器、記憶體、網路存取、磁碟存取之資訊)以及軟體使用行為(包含使用者所使用的軟體名稱、及該軟體處理器資源使用量、記憶體使用量、執行序之資訊)，並將行為上傳至使用者行為資料庫120；異常事件再驗證介面112乃負責於偵測到異常事件時，鎖定當前系統，直到使用者採取解鎖動作。使用者行為資料庫120為一資料庫系統用以存放客戶端背景程式110所蒐集之使用者行為資料，以供持續性身分驗證系統130分析之用。持續性身分驗證系統130包含使用者行為分析引擎131與異常事件處理132。使用者行為分析引擎131利用將使用者行為透過第一轉換程序轉換成文章組的方式，再透過第二轉換程序來建立使用者側寫模型，此部分在後面會詳細說明之；異常事件處理132則負責將即時的使用者行為紀錄透過使用者行為分析引擎131所產生的模型予以驗證，當異常指標超過一預設門檻值時，便通知客戶端背景程式110啟動異常事件再驗證介面112，以及發送驗證鏈結給智慧型手機驗證介面140。智慧型手機驗證介面140，用來提供使用者解鎖之用，安裝應用程式於智慧型手機上，由應用程式上之解鎖介面141來進行解除鎖定的動作。另一方面，於本發明之另一具體實施例中，使用者也可以選擇以電子郵件方式來進行解除鎖定之步驟，舉例來說，使用者可接收含有解鎖連結之電子郵件，點選郵件中之解鎖連結即可完成解除鎖定之再驗證程序。需特別注意的是，本發明之異常事件再驗證方法並不限於手機應用程式與電子郵件，凡可用於遠端解 除鎖定之手段與方法均得以被包含於本發明之申請範圍內。

如圖二所示，本發明之持續性身分驗證方法100之主要流程分別為階段S201及階段S202。S201為資料蒐集與模型建立階段(學習模式)，此階段為持續蒐集使用者行為階段，透過蒐集與調整使用者模型，直到模型吻合使用者的行為模式。當模型滿足上述條件時則會進入S202持續性驗證實施階段(預測模式)，該階段會持續針對新產生的使用者行為紀錄，以相對應時段之模型進行系統之異常操作行為偵測。

為了更清楚闡述本發明方法之流程，以下將對前述的本發明之主要流程進行詳細說明。請參閱圖三，圖三係繪示圖二之持續性身分驗證方法之系統運作詳細流程圖，其具體實施例包含下列步驟：步驟S301：客戶端背景程式每五秒會將五秒間的系統資源使用紀錄側錄下來，平均後，傳送到使用者行為資料庫當中。步驟S302：從使用者行為資料庫中讀取使用者行為紀錄，並根據是否為資料蒐集與模型建立階段(學習模式)來進行處理，若是則進入步驟S307，若否則進入步驟S303。步驟S303：當使用者在資料蒐集與模型建立階段(學習模式)時，會累積使用紀錄直到一預設長度時間，之後透過第一轉換程序與第二轉換程序，將使用者行為紀錄轉換成文章格式來建立使用者側寫模型。步驟S304：以交叉驗證技術驗證此使用者側寫模型。步驟S305：判斷該使用者側寫模型是否有足夠低的誤報率以及足夠高的準確率，若是則進入步驟S306，若否則回到步驟S303重新建置模型。步驟S306：確認該使用者側寫模型足以描述使用者操作行為後，轉換為持續性驗證實施階段。步驟S307：根據即時記錄的使用者行為資料所屬的時段，載入相對應時段的使用者側寫模型，並以該使用者側寫模型來比對判斷是否有異常操作行為發生。步驟S308：判斷是否有持續異常操作行為發生，若是則進入步驟S309，若否則停留在步驟S308繼續偵測。步驟S309：若判斷當前操作行為為異常操作，則啟動再驗證程序，客戶端背景程式會將電腦系統暫時鎖定並傳送解鎖通知到使用者之智慧型手機應用程式當中，或是傳送包含有解鎖連結之電子郵件至使用者之電子信箱以供使用者進行解鎖行為。步驟S310：使用者之電腦系統畫面出現等待驗證的請求，並且停止所有視窗之活動，而使用者手機則會提示有解鎖訊息，或者使用者之電子信箱會收到 含有解鎖連結之郵件。步驟S311：判斷使用者是否於一定時間內執行解鎖動作，若是則進入步驟S312，若否則進入步驟S313。步驟S312：若使用者有執行解鎖動作，表示該使用者側寫模型產生誤判，系統會再度進入資料蒐集與模型建立階段。步驟S313：使用者端電腦系統會被切斷連線並暫時將帳號鎖定，以確保電腦系統安全。需特別注意的是，步驟S301中，客戶端背景程式所擷取之系統資源使用紀錄並非以五秒為限，可依不同狀況而調整。

更明確的說，步驟S303中所指之第一轉換程序，係指利用每隔一預設時間讀取使用者行為資料庫120中的使用者行為資料，並將每次讀取的使用者行為資料解譯為一個詞，進而得到一詞串，再將該詞串隨機拆解與重複組合成複數個長度不一的文章，進而產生出一文章組。而第二轉換程序為將該文章組轉換成向量而得一第一矩陣，再以一降階法將該第一矩陣降階得一第二矩陣，最後再以一最小包含球技術(Minimum Enclosing Ball)方法將該第二矩陣建置為使用者側寫模型。

此外，在本發明之一具體實施例中，為了更明確的表達使用者操作電腦系統之行為，故將以不同時段下之使用者行為資料來建立不同時段之使用者側寫模型。請參閱圖四，圖四係繪示根據本發明之一具體實施例之持續性身分驗證方法之將行為紀錄轉換成文章之示意圖。如圖四所示，將一天分割為八段，每段三小時，來代表使用者一天當中的八種行為，而為了平滑化不同時段間的差距，每個時段各納入其前後各十五分鐘的紀錄，因此每個時段共計三小時又三十分。在此例中，以每五秒為單位存取一次系統應用程式紀錄，將五秒內有活動的應用程式集合視作一個詞，故每天的每個時段所產生的詞串共計2520個詞。此各個時段之2520個詞經過第一轉換程序後即可產生出不同時段下之文章組，再經過第二轉換程序來建置出不同時段之使用者側寫模型。如此一來，經過將不同時段之使用者側寫模型分別獨立建置的方法下，使用者側寫模型可更精確的表現出不同時段下使用者操作電腦系統之行為。

另一方面，在第一轉換程序中所提到的將各時段所產生出的詞串隨機拆解與重複組合來產生出一文章組之方法將在本段舉例說明之。請參閱圖 五，圖五係繪示根據本發明之一具體實施例之持續性身分驗證方法之重複取樣技術流程圖。本具體實施例包含下列步驟：步驟S501：載入一天中某一時段的詞串。步驟S502：產生一特定分布之n個亂數組P，n值表示要採樣的篇數，其產生出來的亂數在0~1中分布，再乘以一最大取樣長度k得到長度分布。步驟S503：產生範圍在0~2519中的n個亂數索引，並循序從亂數組P中取出長度值，擷取詞串索引範圍為n _i ~n _i +P _i 的詞來組成子詞串，也就是一篇文章。步驟S504：輸出該時段之文章組。本流程為本發明之一實施例中用以產生文章組的重複取樣方法，不同時段所蒐集的使用者行為資料均經過此流程而產生出該時段的文章組以便進行第二轉換程序來建置該時段之使用者側寫模型。此外，待進入圖二中的S202持續性驗證實施階段(預測模式)後，仍然是以本流程來處理新蒐集的使用者行為資料來輸出文章組以便進行後續與使用者側寫模型比對的步驟。需特別注意的是，本發明並不限於此實施例之重複取樣方法，凡是具有隨機拆解與重複組合之概念或方法均得以被包含於本發明之申請範圍中。

請參閱圖六，圖六係繪示根據本發明之一具體實施例之持續性身分驗證方法之利用文件分類與重複取樣技術建立使用者側寫模型的流程圖，其具體實施例包含下列步驟：步驟S601~S603：為圖四所解釋之內容。步驟S604：建立一個字典檔來儲存各時段之使用者行為資料所產生之詞，以供後續流程使用。步驟S605：為圖五所解釋之內容。步驟S606：將文章組中的各文章視為向量再以矩陣之形式表示，矩陣中的元素為字典檔中的每個詞轉換而得的指標值，指標值是依照每個詞在文章中的重要性而定，此處所說的重要性是依照每個詞在一文章中出現的次數以及出現在多少文章中來決定。依此將各個時段的文章都轉換成矩陣後，即得到8個時段的第一矩陣(Term-Document Matrix)。步驟S607、S608：為了使第一矩陣維度縮減，本發明利用潛在語意索引技術(Latent Semantic Indexing)技術將第一矩陣降階而得到8個時段的第二矩陣(Term-Concept Matrix)。爾後資料的運算，皆轉換至此矩陣空間來進行。步驟S609：將前面所產生的第一矩陣(Term-Document Matrix)轉換到第二矩陣(Term-Concept Matrix)空間以利建置模型。步驟S610：利用最小包含球技術(Minimum Enclosing Ball)技術，來建置使用者側寫模 型。步驟S611：將建置好的使用者側寫模型儲存。

接下來本段將描述進入圖二中的S202持續性驗證實施階段(預測模式)後，本發明如何以使用者側寫模型來比對、驗證該電腦系統之使用者是否為合法使用者之流程。請參閱圖七，圖七係繪示根據本發明之一具體實施例之持續性身分驗證方法之預測使用者行為之流程圖，其具體實施例包含下列步驟：步驟S701：自使用者行為資料庫中讀取最新存取的使用者行為資料，並視為一文章。步驟S702：利用圖六中步驟S606所述之流程，將步驟S701所讀取的使用者行為資料轉換成第一矩陣(Term-Document Matrix)。步驟S703：將轉換後的第一矩陣(Term-Document Matrix)再轉換到第二矩陣(Term-Concept Matrix)空間。步驟S704：依據讀取的使用者行為資料所屬之時段，載入該時段之使用者側寫模型。步驟S705：將步驟S703所產出之結果，放入該使用者側寫模型中進行異常偵測。簡而言之，使用者側寫模型為矩陣格式，比對該使用者側寫模型與該背景程式所持續記錄之該使用者行為資料時，乃是將該背景程式所持續記錄之該使用者行為資料藉由該第一轉換程序與該第二轉換程序同樣地轉換成矩陣格式，再與該使用者側寫模型進行比對。比對後，若兩者之相似度低於一預設值，則判定為一異常事件，系統會被暫時鎖定並啟動再驗證程序。

綜上所述，本發明之用於電腦的持續性身分驗證方法為一種能持續監控一電腦系統之使用者是否合法之方法。其主要核心技術，是將不同時段的使用者行為紀錄，轉換成文章形式，並利用文件分類技術來建立第一矩陣(Term-Document Matrix)，其中，引入重複取樣技術來產生大量長短不一的文章，藉此獲取不同時間長度的使用者行為資料。最後以最小包含球技術(Minimum Enclosing Ball)來建置不同時段下的使用者側寫模型，用以即時偵測與判斷不同時段下該電腦系統所***作的行為是否合法。

藉由以上較佳具體實施例之詳述，係希望能更加清楚描述本發明之特徵與精神，而並非以上述所揭露的較佳具體實施例來對本發明之範疇加以限制。相反地，其目的是希望能涵蓋各種改變及具相等性的安排於本發明所欲申請之專利範圍的範疇內。因此，本發明所申請之專利範圍的範疇應該根據上述的說明作最寬廣的解釋，以致使其涵蓋所有可能的改變以及具 相等性的安排。

110‧‧‧客戶端背景程式

120‧‧‧使用者行為資料庫

130‧‧‧持續性身分驗證系統

140‧‧‧智慧型手機驗證介面

111‧‧‧資料蒐集模組

112‧‧‧異常事件再驗證介面

131‧‧‧使用者行為分析引擎

132‧‧‧異常事件處理

141‧‧‧解鎖介面

Claims (10)

1. 一種用於電腦的持續性身分驗證方法，用以驗證一電腦系統之一使用者之身分，其包含下列步驟：在該使用者登入該電腦系統後，以一背景程式來持續記錄該電腦系統中的使用行為，並產生一使用者行為資料；將該使用者行為資料儲存於一使用者行為資料庫；藉由一第一轉換程序將一預設學習時間內所收集到的該使用者行為資料轉換成一文章組；藉由一第二轉換程序將該文章組建立成一使用者側寫模型；待該使用者側寫模型建立後，每隔一預設時間即將該使用者側寫模型與該背景程式所持續記錄之該使用者行為資料進行比對；若比對該使用者側寫模型與該背景程式所持續記錄之該使用者行為資料後，其相似度低於一預設值，則判定為一異常事件；以及當判斷為一異常事件時，則暫時鎖定該電腦系統並啟動一再驗證程序。
2. 如申請專利範圍第1項所述之用於電腦的持續性身分驗證方法，其中該第一轉換程序為每隔一預設時間讀取該使用者行為資料庫中的該使用者行為資料，並將每次讀取的該使用者行為資料解譯為一個詞，進而得到一詞串，再將該詞串隨機拆解與重複組合成複數個長度不一的文章，進而產生出該文章組。
3. 如申請專利範圍第1項所述之用於電腦的持續性身分驗證方法，其中該第二轉換程序為將該文章組轉換成向量而得一第一矩陣，再以一降階法將該第一矩陣降階得一第二矩陣，最後再以一最小包含球技術(Minimum Enclosing Ball)方法將該第二矩陣建置為該使用者側寫模型。
4. 如申請專利範圍第1項所述之用於電腦的持續性身分驗證方法，其中該使用者側寫模型為矩陣格式，比對該使用者側寫模型與該背景程式所持續記錄之該使用者行為資料時，乃是將該背景程式所持續記錄之該使用者行為資料藉由該第一轉換程序與該第二轉換程序同樣地轉換成矩陣 格式，再與該使用者側寫模型進行比對。
5. 如申請專利範圍第1項所述之用於電腦的持續性身分驗證方法，其中該使用者行為資料包含一硬體資源使用資訊以及一軟體使用行為資訊。
6. 如申請專利範圍第5項所述之用於電腦的持續性身分驗證方法，其中該硬體資源使用資訊包含處理器使用率、記憶體使用率、硬碟存取量或網路存取量。
7. 如申請專利範圍第5項所述之用於電腦的持續性身分驗證方法，其中該軟體使用行為資訊包含使用者所使用的應用程式使用清單及其系統資源使用量。
8. 如申請專利範圍第1項所述之用於電腦的持續性身分驗證方法，其中該再驗證程序為發送一含有解鎖功能鏈結的電子郵件至該使用者之一信箱，以供該使用者執行解鎖動作。
9. 如申請專利範圍第1項所述之用於電腦的持續性身分驗證方法，其中該再驗證程序為發送一通知至該使用者之一可用於解鎖之智慧型手機應用程式，以供該使用者執行解鎖動作。
10. 如申請專利範圍第1項所述之用於電腦的持續性身分驗證方法，其中若該使用者在該再驗證程序中執行解鎖動作，表示該使用者側寫模型產生一誤判，該背景程式將記錄該誤判於該使用者行為資料庫中，以用來更新該使用者側寫模型。