[发明专利]异常连接检测装置及方法

权利要求书

1.一种异常连接检测装置，包括：

日志模式化单元，构成为由关于系统连接的日志数据识别分别表示连接 步骤的多个连接模式；

日志分析单元，构成为执行用于检测所述多个连接模式中特定连接模式 所表示的异常连接步骤对的日志分析。

2.如权利要求1所述的异常连接检测装置，其中，所述日志分析包括：

识别所述特定连接模式所表示的连接步骤对；

判定针对所识别的所述连接步骤对的两个连接步骤之间的耗用时间的、 所述特定连接模式的日志件数的分布是否正常。

3.如权利要求2所述的异常连接检测装置，其中，所述判定包括：

将表示所述分布的图表与预先设定的正常分布图表以及预先设定的非正 常分布图表中的至少一个图表进行比较，从而判定所述分布是否正常。

4.如权利要求2所述的异常连接检测装置，其中，所述日志分析单元还 构成为显示用于表示所述分布的图表。

5.如权利要求2所述的异常连接检测装置，其中，所述两个连接步骤在 所述系统连接中依次执行。

6.如权利要求1所述的异常连接检测装置，其中，所述日志模式化单元 构成为利用所述日志数据而按关于所述系统连接的每一日志分别生成记录， 并利用所述记录而识别所述多个连接模式，其中所述记录表示用于表示各个 连接步骤的代码、所述各个连接步骤的开始时间以及所述各个连接步骤的结 束时间。

7.如权利要求6所述的异常连接检测装置，其中，所述特定连接模式表 示在所述系统连接中依次执行的两个连接步骤，所述日志分析单元识别所述 两个连接步骤的对，并利用所述记录而确认针对所述两个连接步骤之间的耗 用时间的所述特定连接模式的日志件数的分布，并基于所述分布而判定所识 别的所述对是否为所述异常连接步骤对，从而执行所述日志分析。

8.一种异常连接检测装置，包括：

日志模式化单元，构成为由关于系统连接的日志数据识别分别表示连接 步骤的多个连接模式；

日志分析单元，构成为执行用于从所述多个连接模式中检测出表示特定 连接步骤对的异常连接模式的日志分析。

9.如权利要求8所述的异常连接检测装置，其中，所述日志分析包括：

从所述多个连接模式中识别出表示所述特定连接步骤对的连接模式；

判定针对所述特定连接步骤对的两个连接步骤之间的耗用时间的、所识 别的所述连接模式的日志件数的分布是否正常。

10.如权利要求9所述的异常连接检测装置，其中，所述判定包括：

将表示所述分布的图表与预先设定的正常分布图表以及预先设定的非正 常分布图表中的至少一个图表进行比较，从而判定所述分布是否正常。

11.如权利要求9所述的异常连接检测装置，其中，所述日志分析单元 还构成为显示用于表示所述分布的图表。

12.如权利要求9所述的异常连接检测装置，其中，所述两个连接步骤 在所述系统连接中依次执行。

13.如权利要求8所述的异常连接检测装置，其中，所述日志模式化单 元构成为利用所述日志数据而按关于所述系统连接的每一日志分别生成记 录，并利用所述记录而识别所述多个连接模式，其中所述记录表示用于表示 各个连接步骤的代码、所述各个连接步骤的开始时间以及所述各个连接步骤 的结束时间。

14.如权利要求13所述的异常连接检测装置，其中，所述特定连接步骤 对是在所述系统连接中依次执行的两个连接步骤的对，所述日志分析单元从 所述多个连接模式中识别出表示所述特定连接步骤对的连接模式，并利用所 述记录而确认针对所述两个连接步骤之间的耗用时间的所识别的所述连接模 式的日志件数的分布，并基于所述分布而判定所识别的所述连接模式是否为 所述异常连接模式，从而执行所述日志分析。