KR102239985B1 - 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 ui 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법 및 장치 - Google Patents

Abstract

시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법이 개시된다. 즉, (a) 이벤트 리플레이 장치가, 위협 이벤트 데이터베이스를 참조로 하여 분류된 제1 내지 제N 위협 이벤트 - N은 1 이상의 정수임 - 에 대한 정보를 포함하는 리플레이 파일이 획득되면, 상기 리플레이 파일을 분석하여, 이에 포함된 상기 제1 내지 상기 제N 위협 이벤트들 중 하나인 제K 위협 이벤트 - K는 1 이상 N 이하의 정수임 - 에 대한 제K ID 정보, 제K 로그 관계 정보 및 제K 로그 디테일 정보를 획득하는 단계; (b) 상기 이벤트 리플레이 장치가, 상기 제K 위협 이벤트에 대한 리플레이 명령이 획득되면, (i) 상기 제K ID 정보를, 상기 이벤트 리플레이 장치와 연동하여 동작하는 소정 디스플레이 장치의 제1 영역에 디스플레이하는 프로세스, (ii) 상기 제K 로그 관계 정보를, 상기 제1 영역에 인접한 상기 디스플레이 장치의 제2 영역에 디스플레이하는 프로세스 및 (iii) 상기 제K 로그 디테일 정보를, 상기 제2 영역에 인접한 상기 디스플레이 장치의 제3 영역에 디스플레이하는 프로세스를 수행하는 단계를 포함하는 것을 특징으로 하는 이벤트 리플레이 방법이 개시된다.

Description

시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법 및 장치{METHOD AND DEVICE FOR REPLAYING THREAT EVENTS TO BE USED FOR ALLOWING USER TO EASILY ANALYZE THREAT EVENTS BY DISPLAYING THREAT EVENTS THROUGH OPTIMIZED UI}

본 발명은 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법 및 장치에 관한 것이다.

기존의 보안 시스템에서, 시스템에 위협이 될 수 있는 이벤트들을 매니저가 분석하려면, 로우 데이터 형태의 이벤트 로그들을 DB로부터 획득하여 확인하는 수밖에 없었다. 이와 같은 방식은, 매니저가 이벤트를 분석하기 어렵게 할 뿐만 아니라, 위협적인 이벤트들에 대한 데이터를 공유하거나 이관하는 작업에 많은 리소스가 들고, 이종 시스템간에서 이벤트 명세를 표현하는 방식이 달라 데이터 공유가 완전히 불가능한 경우도 다수 존재하는 문제점이 있다. 또한, 이벤트 로그들을 잘 분석할 수 없는, 전문가가 아닌 외부 인원과 위협 이벤트들 및 이들에 대한 처리 내역을 공유하기 위해서는, 정적인 사진 파일 또는 텍스트 중심의 보고서를 통해야만 했으므로, 관제 인원이 불필요한 이중 업무를 수행하게 되는 문제가 있었다.

이와 같은 문제점을 해결하려면, 이벤트 로그들을 사용자가 알아보기 쉽게 변환하면서도, 시스템에 구애받지 않고 파일들을 해석하여 디스플레이하는 기법이 필요한데, 이와 같은 기법은 많이 연구되지 않은 것으로 보인다.

본 발명은 상술한 문제점을 해결하는 것을 목적으로 한다.

또한 본 발명은 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법을 제공하여, 위협 이벤트를 이루는 로그들의 관계 정보별로 최적화된 여러 가지 가지 스타일로 사용자가 위협 이벤트를 확인할 수 있도록 하는 것을 목적으로 한다.

또한 본 발명은 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법을 제공하여, 사용자가 위협 이벤트를 각각의 구성 요소가 발생한 시간에 따라 분석할 수 있도록 지원하는 것을 목적으로 한다.

상기한 바와 같은 본 발명의 목적을 달성하고, 후술하는 본 발명의 특징적인 효과를 실현하기 위한 본 발명의 특징적인 구성은 하기와 같다.

본 발명의 일 태양에 따르면, 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법에 있어서, (a) 이벤트 리플레이 장치가, 위협 이벤트 데이터베이스를 참조로 하여 분류된 제1 내지 제N 위협 이벤트 - N은 1 이상의 정수임 - 에 대한 정보를 포함하는 리플레이 파일이 획득되면, 상기 리플레이 파일을 분석하여, 이에 포함된 상기 제1 내지 상기 제N 위협 이벤트들 중 하나인 제K 위협 이벤트 - K는 1 이상 N 이하의 정수임 - 에 대한 제K ID 정보, 제K 로그 관계 정보 및 제K 로그 디테일 정보를 획득하는 단계; (b) 상기 이벤트 리플레이 장치가, 상기 제K 위협 이벤트에 대한 리플레이 명령이 획득되면, (i) 상기 제K ID 정보를, 상기 이벤트 리플레이 장치와 연동하여 동작하는 소정 디스플레이 장치의 제1 영역에 디스플레이하는 프로세스, (ii) 상기 제K 로그 관계 정보를, 상기 제1 영역에 인접한 상기 디스플레이 장치의 제2 영역에 디스플레이하는 프로세스 및 (iii) 상기 제K 로그 디테일 정보를, 상기 제2 영역에 인접한 상기 디스플레이 장치의 제3 영역에 디스플레이하는 프로세스를 수행하는 단계를 포함하는 것을 특징으로 하는 이벤트 리플레이 방법이 개시된다.

일례로서, 상기 (b) 단계는, 상기 이벤트 리플레이 장치가, 상기 제2 영역에 포함된 제2_1 영역에 디스플레이된 관계도 선택 탭을 통해 제1 내지 제M 관계도 - M은 1 이상의 정수임 - 중 하나인 제L 관계도에 대한 디스플레이 명령이 획득되면, 상기 제K 로그 관계 정보에 포함된, 상기 제K 위협 이벤트에 포함된 제K 로그들의 상기 제L 관계도를 나타내는 제K_L 로그 관계 정보를 상기 제2 영역에 포함된 제2_2 영역에 디스플레이하는 것을 특징으로 하는 방법이 개시된다.

일례로서, 상기 (b) 단계는, 상기 이벤트 리플레이 장치가, 시계열 관계도를 나타내는 상기 제L 관계도에 대한 상기 디스플레이 명령이 획득되면, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 에 대응하는 제K_1 내지 제K_P 플레이북 아이콘들을 상기 제2_2 영역에 배치한 후 상기 제K_1 내지 제K_P 플레이북 아이콘들을 시계열적인 순서로 연결하여 디스플레이함으로써 상기 제K_L 로그 관계 정보를 디스플레이하는 것을 특징으로 하는 방법이 개시된다.

일례로서, (c) 상기 이벤트 리플레이 장치가, 상기 제2_2 영역에 배치된 상기 제K_1 내지 제K_P 플레이북 아이콘들 중 하나인 제K_J 플레이북 아이콘 - J는 1 이상 P 이하의 정수임 - 이 선택되면, 상기 제K_J 플레이북 아이콘에 대응하는 제K_J 로그에 대한 정보를 상기 디스플레이 장치의 소정 영역에 팝업으로서 디스플레이하는 단계를 더 포함하는 것을 특징으로 하는 방법이 개시된다.

일례로서, 상기 (b) 단계는, 상기 이벤트 리플레이 장치가, 온톨로지(Ontology) 관계도를 나타내는 상기 제L 관계도에 대한 상기 디스플레이 명령이 획득되면, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 에 대응하는 제K_1 내지 제K_P 온톨로지 아이콘들을 상기 제2_2 영역에 배치한 후 상기 제K_1 내지 제K_P 온톨로지 아이콘들을 데이터 관계에 따라 연결하여 디스플레이함으로써 상기 제K_L 로그 관계 정보를 디스플레이하는 것을 특징으로 하는 방법이 개시된다.

일례로서, 상기 (b) 단계는, 상기 이벤트 리플레이 장치가, 리액션 관계도를 나타내는 상기 제L 관계도에 대한 상기 디스플레이 명령이 획득되면, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 들에 대응하는 제K_1 내지 제K_P 블랙보드 아이콘들을, 상황을 나타내는 상황 아이콘들과, 이에 대한 매니저의 대응을 나타내는 리액션 아이콘들로 구분한 후, 상기 상황 아이콘들과 상기 리액션 아이콘들을 상기 제2_2 영역에 시계열적으로 배열하되, 상기 상황 아이콘들을 상기 제2_2 영역의 제2_2a 영역에 디스플레이하고, 상기 리액션 아이콘들을 상기 제2_2 영역의 제2_2b 영역에 디스플레이함으로써 상기 제K_L 로그 관계 정보를 디스플레이하는 것을 특징으로 하는 방법이 개시된다.

일례로서, 상기 (b) 단계는, 상기 이벤트 리플레이 장치가, (i) 상기 디스플레이 장치 상의 소정 제4 영역에, 상기 제K 위협 이벤트의 리플레이 프로세스를 조절할 수 있는 리플레이 컨트롤러를 디스플레이하는 프로세스 및 (ii) 상기 제4 영역과 인접한 상기 디스플레이 장치 상의 제5 영역에, 상기 제1 내지 제N 위협 이벤트를 포함하는 위협 이벤트 리스트를 디스플레이하는 프로세스를 더 수행하는 것을 특징으로 하는 방법이 개시된다.

일례로서, (d) 상기 이벤트 리플레이 장치가, 상기 제4 영역에 포함된 제4_1 영역에 디스플레이된 리플레이 컨트롤 바 상의, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 에 대응하는 제K_1 내지 제K_P 웨이포인트 중 하나인 제K_J 웨이포인트 - J는 1 이상 P 이하의 정수임 - 가 선택되면, (i) 상기 제K 로그 관계 정보에 포함된, 상기 제K_J 웨이포인트에 대응하는 제K_J 로그에 대한 제K_J 로그 포커스 정보를 상기 제2 영역에 디스플레이하고, (ii) 상기 제K 로그 디테일 정보에 포함된, 상기 제K_J 로그에 대한 제K_J 로그 디테일 정보를 상기 제3 영역에 디스플레이하는 단계를 더 포함하는 것을 특징으로 하는 방법이 개시된다.

일례로서, (e) 상기 이벤트 리플레이 장치가, 상기 제3 영역에 포함된 제3_1 영역에 디스플레이된, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 중 하나인 제K_J 로그 - J는 1 이상 P 이하의 정수임 - 에 대응하는 제K_J 로그 디테일 정보가 선택되면, (i) 상기 제K 로그 관계 정보에 포함된, 상기 제K_J 로그에 대한 제K_J 로그 포커스 정보를 상기 제2 영역에 디스플레이하고, (ii) 상기 제K_J 로그에 대응하는 제K_J 웨이포인트를 참조로 하여, 상기 제4 영역에 포함된 제4_1 영역에 디스플레이된 리플레이 컨트롤 바의 프로그레스 미터를 조정하여 상기 리플레이 컨트롤러를 디스플레이하는 단계를 더 포함하는 것을 특징으로 하는 방법이 개시된다.

일례로서, (f) 상기 이벤트 리플레이 장치가, (i) 상기 제4 영역에 포함된 제4_1 영역에 디스플레이된 리플레이 컨트롤 바 상의, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 에 대응하는, 제1 타임라인에 따라 배열된 제K_1 내지 제K_P 웨이포인트를 참조로 하여 상기 리플레이 컨트롤 바의 프로그레스 미터를 제2 타임라인에 따라 조정하여 상기 제4 영역에 상기 리플레이 컨트롤러를 디스플레이하는 프로세스 및 (ii) 제2 타임라인에 따라, (ii-1) 상기 제K 로그 관계 정보에 포함된, 상기 제K_1 내지 제K_P 로그들에 대응하는 제K_1 내지 제K_P 로그 포커스 정보를 상기 제2 영역에 순차적으로 디스플레이하고, (ii-2) 상기 제K_1 내지 제K_P 로그들에 대응하는 제K_1 내지 제K_P 로그 디테일 정보를 상기 제3 영역에 순차적으로 디스플레이하는 프로세스를 수행하는 단계를 더 포함하는 것을 특징으로 하는 방법이 개시된다.

본 발명의 다른 태양에 따르면, 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 이벤트 리플레이 장치에 있어서, 인스트럭션들을 저장하는 하나 이상의 메모리; 및 상기 인스트럭션들을 수행하도록 설정된 하나 이상의 프로세서를 포함하되, 상기 프로세서는, (I) 위협 이벤트 데이터베이스를 참조로 하여 분류된 제1 내지 제N 위협 이벤트 - N은 1 이상의 정수임 - 에 대한 정보를 포함하는 리플레이 파일이 획득되면, 상기 리플레이 파일을 분석하여, 이에 포함된 상기 제1 내지 상기 제N 위협 이벤트들 중 하나인 제K 위협 이벤트 - K는 1 이상 N 이하의 정수임 - 에 대한 제K ID 정보, 제K 로그 관계 정보 및 제K 로그 디테일 정보를 획득하는 프로세스; (II) 상기 제K 위협 이벤트에 대한 리플레이 명령이 획득되면, (i) 상기 제K ID 정보를, 상기 이벤트 리플레이 장치와 연동하여 동작하는 소정 디스플레이 장치의 제1 영역에 디스플레이하는 프로세스, (ii) 상기 제K 로그 관계 정보를, 상기 제1 영역에 인접한 상기 디스플레이 장치의 제2 영역에 디스플레이하는 프로세스 및 (iii) 상기 제K 로그 디테일 정보를, 상기 제2 영역에 인접한 상기 디스플레이 장치의 제3 영역에 디스플레이하는 프로세스를 수행하는 프로세스를 수행하는 것을 특징으로 하는 이벤트 리플레이 장치가 개시된다.

일례로서, 상기 (II) 프로세스는, 상기 프로세서가, 상기 제2 영역에 포함된 제2_1 영역에 디스플레이된 관계도 선택 탭을 통해 제1 내지 제M 관계도 - M은 1 이상의 정수임 - 중 하나인 제L 관계도에 대한 디스플레이 명령이 획득되면, 상기 제K 로그 관계 정보에 포함된, 상기 제K 위협 이벤트에 포함된 제K 로그들의 상기 제L 관계도를 나타내는 제K_L 로그 관계 정보를 상기 제2 영역에 포함된 제2_2 영역에 디스플레이하는 것을 특징으로 하는 장치가 개시된다.

일례로서, 상기 (II) 프로세스는, 상기 프로세서가, 시계열 관계도를 나타내는 상기 제L 관계도에 대한 상기 디스플레이 명령이 획득되면, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 에 대응하는 제K_1 내지 제K_P 플레이북 아이콘들을 상기 제2_2 영역에 배치한 후 상기 제K_1 내지 제K_P 플레이북 아이콘들을 시계열적인 순서로 연결하여 디스플레이함으로써 상기 제K_L 로그 관계 정보를 디스플레이하는 것을 특징으로 하는 장치가 개시된다.

일례로서, 상기 프로세서가, (III) 상기 제2_2 영역에 배치된 상기 제K_1 내지 제K_P 플레이북 아이콘들 중 하나인 제K_J 플레이북 아이콘 - J는 1 이상 P 이하의 정수임 - 이 선택되면, 상기 제K_J 플레이북 아이콘에 대응하는 제K_J 로그에 대한 정보를 상기 디스플레이 장치의 소정 영역에 팝업으로서 디스플레이하는 프로세스를 더 수행하는 것을 특징으로 하는 장치가 개시된다.

일례로서, 상기 (II) 프로세스는, 상기 프로세서가, 온톨로지(Ontology) 관계도를 나타내는 상기 제L 관계도에 대한 상기 디스플레이 명령이 획득되면, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 에 대응하는 제K_1 내지 제K_P 온톨로지 아이콘들을 상기 제2_2 영역에 배치한 후 상기 제K_1 내지 제K_P 온톨로지 아이콘들을 데이터 관계에 따라 연결하여 디스플레이함으로써 상기 제K_L 로그 관계 정보를 디스플레이하는 것을 특징으로 하는 장치가 개시된다.

일례로서, 상기 (II) 프로세스는, 상기 프로세서가, 리액션 관계도를 나타내는 상기 제L 관계도에 대한 상기 디스플레이 명령이 획득되면, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 들에 대응하는 제K_1 내지 제K_P 블랙보드 아이콘들을, 상황을 나타내는 상황 아이콘들과, 이에 대한 매니저의 대응을 나타내는 리액션 아이콘들로 구분한 후, 상기 상황 아이콘들과 상기 리액션 아이콘들을 상기 제2_2 영역에 시계열적으로 배열하되, 상기 상황 아이콘들을 상기 제2_2 영역의 제2_2a 영역에 디스플레이하고, 상기 리액션 아이콘들을 상기 제2_2 영역의 제2_2b 영역에 디스플레이함으로써 상기 제K_L 로그 관계 정보를 디스플레이하는 것을 특징으로 하는 장치가 개시된다.

일례로서, 상기 (II) 프로세스는, 상기 프로세서가, (i) 상기 디스플레이 장치 상의 소정 제4 영역에, 상기 제K 위협 이벤트의 리플레이 프로세스를 조절할 수 있는 리플레이 컨트롤러를 디스플레이하는 프로세스 및 (ii) 상기 제4 영역과 인접한 상기 디스플레이 장치 상의 제5 영역에, 상기 제1 내지 제N 위협 이벤트를 포함하는 위협 이벤트 리스트를 디스플레이하는 프로세스를 더 수행하는 것을 특징으로 하는 장치가 개시된다.

일례로서, 상기 프로세서가, (IV) 상기 제4 영역에 포함된 제4_1 영역에 디스플레이된 리플레이 컨트롤 바 상의, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 에 대응하는 제K_1 내지 제K_P 웨이포인트 중 하나인 제K_J 웨이포인트 - J는 1 이상 P 이하의 정수임 - 가 선택되면, (i) 상기 제K 로그 관계 정보에 포함된, 상기 제K_J 웨이포인트에 대응하는 제K_J 로그에 대한 제K_J 로그 포커스 정보를 상기 제2 영역에 디스플레이하고, (ii) 상기 제K 로그 디테일 정보에 포함된, 상기 제K_J 로그에 대한 제K_J 로그 디테일 정보를 상기 제3 영역에 디스플레이하는 프로세스를 더 수행하는 것을 특징으로 하는 장치가 개시된다.

일례로서, 상기 프로세서가, (V) 상기 제3 영역에 포함된 제3_1 영역에 디스플레이된, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 중 하나인 제K_J 로그 - J는 1 이상 P 이하의 정수임 - 에 대응하는 제K_J 로그 디테일 정보가 선택되면, (i) 상기 제K 로그 관계 정보에 포함된, 상기 제K_J 로그에 대한 제K_J 로그 포커스 정보를 상기 제2 영역에 디스플레이하고, (ii) 상기 제K_J 로그에 대응하는 제K_J 웨이포인트를 참조로 하여, 상기 제4 영역에 포함된 제4_1 영역에 디스플레이된 리플레이 컨트롤 바의 프로그레스 미터를 조정하여 상기 리플레이 컨트롤러를 디스플레이하는 프로세스를 더 수행하는 것을 특징으로 하는 장치가 개시된다.

일례로서, 상기 프로세서가, (VI) (i) 상기 제4 영역에 포함된 제4_1 영역에 디스플레이된 리플레이 컨트롤 바 상의, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 에 대응하는, 제1 타임라인에 따라 배열된 제K_1 내지 제K_P 웨이포인트를 참조로 하여 상기 리플레이 컨트롤 바의 프로그레스 미터를 제2 타임라인에 따라 조정하여 상기 제4 영역에 상기 리플레이 컨트롤러를 디스플레이하는 프로세스 및 (ii) 제2 타임라인에 따라, (ii-1) 상기 제K 로그 관계 정보에 포함된, 상기 제K_1 내지 제K_P 로그들에 대응하는 제K_1 내지 제K_P 로그 포커스 정보를 상기 제2 영역에 순차적으로 디스플레이하고, (ii-2) 상기 제K_1 내지 제K_P 로그들에 대응하는 제K_1 내지 제K_P 로그 디테일 정보를 상기 제3 영역에 순차적으로 디스플레이하는 프로세스를 더 수행하는 것을 특징으로 하는 장치가 개시된다.

본 발명은 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법을 제공함으로써, 위협 이벤트를 이루는 로그들의 관계 정보에 따라 세 가지 스타일로 위협 이벤트를 확인할 수 있도록 하는 효과가 있다.

또한 본 발명은 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법을 제공함으로써, 사용자가 위협 이벤트를 각각의 로그들이 발생한 시간에 따라 분석할 수 있도록 하는 효과가 있다.

도 1은 본 발명의 일 실시예에 따른 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법을 수행하는 이벤트 리플레이 장치의 구성을 나타낸 도면이다.
도 2는 본 발명의 일 실시예에 따른 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법을 나타낸 흐름도이다.
도 3a 내지 3c는 본 발명의 일 실시예에 따른 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법을 수행하기 위해 사용되는 최적화 UI의 전체적인 구성을 나타낸 개념적인 예시 도면이다.
도 4a 내지 도 4f는 본 발명의 일 실시예에 따른 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법을 수행하기 위해 사용되는, 제1 실시예에 따른 최적화 UI를 나타낸 예시 도면이다.
도 5a 내지 도 5c는 본 발명의 일 실시예에 따른 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법을 수행함으로써 디스플레이되는, 제K 로그들의 시계열 관계도, 온톨로지 관계도 및 리액션 관계도를 나타낸 예시 도면이다.
도 6은 본 발명의 일 실시예에 따른 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법을 수행하기 위해 사용되는, 제4 영역과 제2 영역 및 제3 영역 간의 연동 관계를 나타낸 도면이다.

후술하는 본 발명에 대한 상세한 설명은, 본 발명이 실시될 수 있는 특정 실시예를 예시로서 도시하는 첨부 도면을 참조한다. 이들 실시예는 당업자가 본 발명을 실시할 수 있기에 충분하도록 상세히 설명된다. 본 발명의 다양한 실시예는 서로 다르지만 상호 배타적일 필요는 없음이 이해되어야 한다. 예를 들어, 여기에 기재되어 있는 특정 형상, 구조 및 특성은 일 실시예에 관련하여 본 발명의 정신 및 범위를 벗어나지 않으면서 다른 실시예로 구현될 수 있다. 또한, 각각의 개시된 실시예 내의 개별 구성요소의 위치 또는 배치는 본 발명의 정신 및 범위를 벗어나지 않으면서 변경될 수 있음이 이해되어야 한다. 따라서, 후술하는 상세한 설명은 한정적인 의미로서 취하려는 것이 아니며, 본 발명의 범위는, 적절하게 설명된다면, 그 청구항들이 주장하는 것과 균등한 모든 범위와 더불어 첨부된 청구항에 의해서만 한정된다. 도면에서 유사한 참조부호는 여러 측면에 걸쳐서 동일하거나 유사한 기능을 지칭한다.

이하, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자가 본 발명을 용이하게 실시할 수 있도록 하기 위하여, 본 발명의 바람직한 실시예들에 관하여 첨부된 도면을 참조하여 상세히 설명하기로 한다.

도 1은 본 발명의 일 실시예에 따른 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법을 수행하는 이벤트 리플레이 장치의 구성을 나타낸 도면이다.

도 1을 참조하면, 이벤트 리플레이 장치(100)는 리플레이 파일 해석기(130)를 포함할 수 있다. 이 때, 리플레이 파일 해석기(130)의 입출력 및 연산 과정은 각각 통신부(110) 및 프로세서(120)에 의해 이루어질 수 있다. 다만, 도 1에서는 통신부(110) 및 프로세서(120)의 구체적인 연결 관계를 생략하였다. 또한, 메모리(115)는 후술할 여러 가지 인스트럭션들을 저장한 상태일 수 있고, 프로세서(120)는 메모리에 저장된 인스트럭션들을 수행하도록 됨으로써 추후 설명할 프로세스들을 수행하여 본 발명을 수행할 수 있다. 이와 같이 이벤트 리플레이 장치(100)가 묘사되었다고 하여, 이벤트 리플레이 장치(100)가 본 발명을 실시하기 위한 미디엄, 프로세서 및 메모리가 통합된 형태인 integrated 프로세서를 포함하는 경우를 배제하는 것은 아니다.

또한, 도 1에서 확인할 수 있듯, 이벤트 리플레이 장치(100)는, 리플레이 파일 생성기(200) 및 디스플레이 장치(300)와 연동하여 동작할 수 있다. 여기서 리플레이 파일 생성기(200)는, 추후 설명하겠지만, 자신에 포함된 위협 이벤트 DB(210)를 참조로 하여 리플레이 파일 해석기(130)가 분석을 수행할 리플레이 파일을 생성하는 프로세스를 수행할 수 있다. 또한, 디스플레이 장치(300)는, 리플레이 파일 해석기(130)가 생성한 ID 정보, 로그 관계 정보 및 로그 디테일 정보를 최적화 UI에 따라 사용자에게 제공하기 위해 사용될 수 있다.

또한, 도 1 에서는 리플레이 파일 생성기(200)가 위협 이벤트 DB(210)를 포함하는 것으로 도시되었으나, 반드시 이에 한정되지는 않으며, 외부의 위협 이벤트 DB(210)와 통신하는 방식으로 구현될 수도 있을 것이다.

이상 본 발명의 일 실시예에 따른 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법을 수행하는 이벤트 리플레이 장치(100)에 대해 설명한 바, 본 발명의 위협 이벤트 리플레이 방법에 대해 살필 것이다. 이를 위해 도 2를 참조하도록 한다.

도 2는 본 발명의 일 실시예에 따른 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법을 나타낸 흐름도이다.

도 2를 참조하면, 먼저, 리플레이 파일 생성기(200)는, 이에 포함된 위협 이벤트 DB(210)를 참조로 하여 분류된 제1 내지 제N 위협 이벤트(N은 1 이상의 정수임)에 대한 정보를 포함하는 리플레이 파일을 생성할 수 있다(S01). 이후, 이벤트 리플레이 장치(100)가, 리플레이 파일을 분석하여, 이에 포함된 제1 내지 제N 위협 이벤트들 중 하나인 제K 위협 이벤트(K는 1 이상 N 이하의 정수임)에 대한 제K ID 정보, 제K 로그 관계 정보 및 제K 로그 디테일 정보를 획득할 수 있다(S02). 이후, 이벤트 리플레이 장치(100)는, 제K 위협 이벤트에 대한 리플레이 명령이 획득될 때까지 대기한 후(S03), 이에 따라 다섯 가지 프로세스를 수행할 수 있다. 즉, 이벤트 리플레이 장치(100)는, 제K ID 정보를 이벤트 리플레이 장치(100)와 연동하여 동작하는 소정 디스플레이 장치(300)의 제1 영역에 디스플레이하고(S04-1), 제K 로그 관계 정보를 제1 영역에 인접한 디스플레이 장치(300)의 제2 영역에 디스플레이하며(S04-2), 제K 로그 디테일 정보를, 제2 영역에 인접한 디스플레이 장치(300)의 제3 영역에 디스플레이할 수 있다(S04-3). 추가적으로, 이벤트 리플레이 장치(100)는, 디스플레이 장치(300) 상의 소정 제4 영역에, 제K 위협 이벤트의 리플레이 프로세스를 조절할 수 있는 리플레이 컨트롤러를 디스플레이하고, 제4 영역과 인접한 제5 영역에, 제1 내지 제N 위협 이벤트를 포함하는 위협 이벤트 리스트를 디스플레이할 수 있다.

이상 본 발명의 일 실시예에 따른 위협 이벤트 리플레이 방법에 대해 개괄적으로 설명한 바, 이하 위협 이벤트 리플레이 방법의 각각의 프로세스에 대해 구체적으로 설명하도록 한다.

먼저, 전술한 바와 같이, 리플레이 파일 생성기(200)는, 이에 포함된 위협 이벤트 DB(210)를 참조로 하여 분류된 제1 내지 제N 위협 이벤트에 대한 정보를 포함하는 리플레이 파일을 생성할 수 있는데, 기본적으로 위협 이벤트 DB(210)에는, 각각의 제1 내지 제N 위협 이벤트들을 이루는 각각의 제1 내지 제N 로그들이, 각각의 위협 이벤트별로 분류만 된 상태로 로우(Raw)하게 저장된 상태일 수 있다. 리플레이 파일 생성기(200)는 소정 리플레이 파일 생성 요청이 획득되면, 이와 같은 제1 내지 제N 로그들을 위협 이벤트 DB(210)로부터 인출하고, 이들을 각각의 위협 이벤트별로 복수 개의 관계도에 따라 변환하여 각각의 위협 이벤트별로 복수 개의 로그 관계 정보를 생성할 수 있다. 그리고, 각각의 위협 이벤트별로, 그들을 구분할 수 있는 ID 정보와 그 로그들의 구체적인 의미를 나타내는 로그 디테일 정보를 상기 로그 관계 정보와 커플링함으로써 제1 내지 제N ID 정보, 제1 내지 제N 로그 관계 정보 및 제1 내지 제N 로그 디테일 정보를 포함하는 리플레이 파일을 생성할 수 있다.

여기서, 제K 위협 이벤트에 대한 제K 로그를 일 예시로 들면, 리플레이 파일 생성기(200)는, 제K 로그들 간의 관계를 분석하여, 시계열 관계도를 나타내는 제1 관계도, 온톨로지(Ontology) 관계도를 나타내는 제2 관계도 및 리액션 관계도를 나타내는 제3 관계도별로, 제K_1 내지 제K_3 로그 관계 정보를 생성함으로써, 이들을 포함하는 제K 로그 관계 정보를 생성할 수 있다. 추후 설명하겠지만, 관계도는 이상의 3개 외에도 더 많이 존재할 수 있으나, 편의상 대표적인 3개의 예를 들어 설명할 것이다. 또한, (i) 제K 위협 이벤트의 발생 및 접수 시각, 제K 위협 이벤트의 ID 값 및 제목, 처리 상태 및 위험도 중 적어도 일부에 대한 정보를 포함하는 제K ID 정보와 (ii) 제K 로그들의 구체적인 내용을 나타내는 제K 로그 디테일 정보를 제K 로그 관계 정보와 커플링하여 둘 수 있을 것이다. 여기서 제1 내지 제3 관계도에 대해서는, 추후 최적화 UI에 대해 설명하면서 한 눈에 알아보기 쉽게 도면을 통해 설명할 것이므로, 본 문단에서는 더욱 자세한 설명은 생략하도록 한다.

일 실시예에 따르면, 이와 같이 리플레이 파일을 생성한 후, 이벤트 리플레이 장치(100)가 아닌 다른 장치에서 열리지 않도록 데이터를 암호화하고, 권한 정보 생성 과정(Authorization)을 수행함으로써 암호를 아는 특정인만 리플레이 파일을 열람할 수 있도록 제한할 수 있다. 또한, 일 실시예에 따르면, 복수 개의 위협 이벤트에 대한 정보를 담고 있는 리플레이 파일의 확장자명은 *.plbs로, 단일의 위협 이벤트에 대한 정보를 담고 있는 것의 확장자명은 *.plb로 구분할 수 있다. 또한, 일 실시예에 따르면, 리플레이 파일은 xml 형식으로 구성될 수 있고, 이를 재생할 때에 참조될 수 있는 재생 정보와 더불어, 파일명, 파일크기, 파일 암호 및 권한과 같은 파일 정보를 포함할 수 있으며, 또한 사용자가 입력할 수 있는 부가정보에 대한 공간을 포함할 수 있다.

이후, 이벤트 리플레이 장치(100)는, 리플레이 파일을 분석하여, 제K 위협 이벤트에 대한 제K ID 정보, 제K 로그 관계 정보 및 제K 로그 디테일 정보를 획득할 수 있다. 일 실시예에 따르면, 이벤트 리플레이 장치(100)는, 리플레이 파일 해석기(130)를 통해 이와 같은 제K ID 정보, 제K 로그 관계 정보 및 제K 로그 디테일 정보를 획득할 수 있을 것이다. 또한, 상기 실시예에서와 같이 권한 정보 생성 프로세스가 수행된 경우에는, 사용자로부터 암호를 입력받는 프로세스가 추가로 수행될 수 있고, 데이터가 암호화된 경우에는 디크립팅 프로세스가 추가로 수행될 수 있을 것이다. 그리고, 리플레이 파일이 xml 형식일 경우, 이를 파싱하는 프로세스 역시 수행될 수 있다.

이와 같이 제K ID 정보, 제K 로그 관계 정보 및 제K 로그 디테일 정보가 획득된 후, 제K 위협 이벤트에 대한 리플레이 명령이 획득되면, 이벤트 리플레이 장치(100)는, (i) 제K ID 정보를 이벤트 리플레이 장치(100)와 연동하여 동작하는 소정 디스플레이 장치(300)의 제1 영역에 디스플레이하는 프로세스, (ii) 제K 로그 관계 정보를 제1 영역에 인접한 디스플레이 장치(300)의 제2 영역에 디스플레이하는 프로세스 및 (iii) 제K 로그 디테일 정보를 제2 영역에 인접한 디스플레이 장치(300)의 제3 영역에 디스플레이하는 프로세스를 수행할 수 있다. 또한, (iv) 소정 제4 영역에, 제K 위협 이벤트의 리플레이 프로세스를 조절할 수 있는 리플레이 컨트롤러를 디스플레이하는 프로세스 및 (v) 제4 영역과 인접한 제5 영역에, 제1 내지 제N 위협 이벤트를 포함하는 위협 이벤트 리스트를 디스플레이하는 프로세스를 수행할 수 있다. 이와 같은 디스플레이 방식에 대해 설명하기 위해 도 3a 내지 3c을 참조하도록 한다. 여기서, 반드시 제2 영역에 바로 근접한 영역이 제1 영역이라는 말이 아닐 수도 있고, 제3 영역에 바로 근접한 영역이 제2 영역이라는 말이 아닐 수도 있고, 제4 영역에 바로 근접한 영역이 제3 영역이라는 말이 아닐 수도 있고, 제5 영역에 바로 근접한 영역이 제4 영역이라는 말이 아닐 수도 있을 것이다. 즉, 제1 내지 제5 영역은 서로 근접한 상태로 디스플레이될 수 있을 것이다.

도 3a 내지 3c는 본 발명의 일 실시예에 따른 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법을 수행하기 위해 사용되는 최적화 UI의 전체적인 구성을 나타낸 개념적인 예시 도면이다.

여기서, 도 3a 내지 3c는 모두 전술한 설명, 즉 제1 내지 제5 영역 간의 관계에 대한 설명과 부합하는 예시들이고, 따라서 이와 같은 예시들 중 어느 하나를 선택하더라도 본 발명의 범위에 속함을 밝혀 둔다.

도 3a를 참조하면, 디스플레이 장치(300)에 표시된 직사각형 형태의 창을 꽉 채운 형태로 제K 위협 이벤트에 대한 정보가 표현되었음을 확인할 수 있다. 즉, 좌측 상단에 제K ID 정보를 포함하는 제1 영역(310)이 위치하고, 그 하단에 제K 로그 관계 정보를 포함하는 제2 영역(320)이 위치하며, 다시 그 하단에 제K 로그 디테일 정보를 포함하는 제3 영역(330)이 위치함을 확인할 수 있다. 또한 이들 우측 상단에 리플레이 컨트롤러를 포함하는 제4 영역(340)이 위치하고, 그 하단에 위협 이벤트 리스트를 포함하는 제5 영역(350)이 위치함을 확인할 수 있다. 이와 같은 레이아웃은, 가로형으로 제K 위협 이벤트에 대한 정보를 디스플레이하는 제1 실시예로 볼 수 있다.

이와 비교하여, 도 3b를 참조하면, 디스플레이 장치(300)에 표시된 복수 개의 직사각형 형태의 창에 복수 개의 위협 이벤트에 대한 정보가 표현된 것을 확인할 수 있다. 즉, 좌측 상단에 제K ID 정보를 포함하는 제1 영역(310-1)이 위치하고, 그 하단에 제K 로그 관계 정보를 포함하는 제2 영역(320-1)이 위치하며, 다시 그 하단에 제K 로그 디테일 정보를 포함하는 제3 영역(330-1)이 위치함을 확인할 수 있다. 또한, 그 우측에, 제(K+1) ID 정보를 포함하는 제1 영역(310-2)이 위치하고, 그 하단에 제(K+1) 로그 관계 정보를 포함하는 제2 영역(320-2)이 위치하며, 다시 그 하단에 제(K+1) 로그 디테일 정보를 포함하는 제3 영역(330-2)이 위치함을 확인할 수 있다. 그리고, 제K 위협 이벤트 및 제(K+1) 위협 이벤트의 리플레이를 조절하는 리플레이 컨트롤러를 포함하는 제4 영역이 그 우측(340)에 위치하고, 그 하단에 위협 이벤트 리스트를 포함하는 제5 영역(350)이 위치함을 확인할 수 있다. 일 실시예에 따르면, 제4 영역 및 제5 영역은 팝업 형태의 창으로 표현되어, 독립적으로 이동될 수 있는 형태일 수 있다. 이상의 레이아웃은, 세로 비교형으로서, 복수 개의 위협 이벤트에 대한 정보를 비교하여 볼 수 있는 제2 실시예로 볼 수 있다.

또한, 도 3c를 참조하면, 디스플레이 장치(300)에 표시된 직사각형 형태의 창을 꽉 채운 형태로 제K 위협 이벤트에 대한 정보가 표현되되, 그 우측에 리플레이 컨트롤러를 포함하는 제4 영역(340) 및 위협 이벤트 리스트를 포함하는 제5 영역(350)이 위치함을 확인할 수 있을 것이다. 이는 도 3a와 유사한 구성이므로 자세한 설명은 생략하도록 한다. 도 3a의 레이아웃과 도 3c의 레이아웃 간의 차이점은, 제4 영역 및 제5 영역이 팝업 형태의 창으로 표현되어, 독립적으로 이동될 수 있는 형태일 수 있다는 점이다. 이는 제K 위협 이벤트에 대한 정보를 전체 화면으로 확인하기에 좋은 제3 실시예로 볼 수 있다.

이하의 설명은 제2 실시예 및 제3 실시예에 모두 용이하게 적용될 수 있는 것인데, 설명의 편의를 위해 제1 실시예를 채택한 경우를 가정하도록 한다. 이하 제1 실시예를 채택한 경우 최적화 UI가 실제로 어떻게 표현될지에 대해 설명하기 위해 도 4a 내지 도 4f를 참조하도록 한다.

도 4a 내지 도 4f는 본 발명의 일 실시예에 따른 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법을 수행하기 위해 사용되는, 제1 실시예에 따른 최적화 UI를 나타낸 예시 도면이다.

도 4a를 참조하면, 제1 실시예에 따른 최적화 UI가 어떻게 구성될 수 있는지를 전반적으로 확인할 수 있다. 이하 도 4a에 도시된 제1 내지 제5 영역을 자세하게 나타낸 도 4b 내지 도 4f를 참조하여, 제1 영역 내지 제5 영역이 포함할 수 있는 구성들에 대해 설명하도록 한다.

도 4b를 참조하면, 제1 영역(310)은, 브라켓([]) 내에 제K 이벤트의 분류 정보를 포함하고, 그 우측에 제K 이벤트의 제목을 포함할 수 있다. 또한 다시 그 우측에 제K 이벤트의 성질 정보를 나타내는 태그들을 포함할 수 있으며, 그 우측에 현재 로그인된 사용자의 정보를 포함할 수 있다. 또한, 그 하단에, 제K 이벤트가 위협 이벤트 DB(210)에 입력된 시간인 접수일시, 제K 이벤트가 발생한 시간인 발생일시, 제K 이벤트의 ID 값인 Event ID, 제K 이벤트의 리플레이 상태를 나타내는 상태 및 제K 이벤트의 위험도에 대한 정보를 포함할 수 있다.

또한, 도 4c를 참조하면, 제4 영역(340)은, 좌측 상단에 제K 이벤트의 리플레이 시각에 대한 정보를 포함하고, 그 우측에, 제2 영역(320)에 도시된 관계도에 대한 정보(이는 추후 제2 영역에 대해 설명하며 함께 설명될 것이다)를 포함할 수 있고, 다시 그 우측에 현재 실행 중인 제K_J 로그(J는 1 이상 P 이하의 정수임)의 내용에 대한 정보를 포함할 수 있다. 또한 다시 그 우측에는 제K 이벤트의 진행도를 나타내는 J/M 값이 포함될 수 있다. 그 하단에는 일반적으로 볼 수 있는 플레이어의 재생, 넘김, 뒤돌아가기 버튼이 있는데, 두 번 넘김 및 두 번 뒤돌아가기 버튼은 각각 다음 및 이전 이벤트를 재생하도록 하는 명령을 나타낼 수 있고, 한 번 넘김 및 한 번 뒤돌아가기 버튼은 각각 다음 및 이전 로그부터 재생하도록 하는 명령을 나타낼 수 있다. 또한 재생 버튼은 전술한 제K 위협 이벤트에 대한 리플레이 명령을 발신하는 데에 사용할 수 있다. 제K 위협 이벤트가 리플레이되는 도중에는 일시정지 버튼이 표현될 수 있는데, 이는 제K 위협 이벤트의 리플레이를 멈출 수 있는 버튼일 수 있다. 그리고, 그 우측에는 추후 설명할 제2 타임라인을 결정할 수 있는, 재생 시간을 입력할 수 있는 공간이 존재할 수 있다. 또한, 다시 그 우측에는, 전술한 제1 내지 제3 실시예의 레이아웃 중 어느 하나를 선택할 수 있는 버튼이 존재할 수 있다. 그리고, 이들의 하단에는, 추후 설명할 제K_1 내지 제K_P 웨이포인트들 및 이를 포함하는 리플레이 컨트롤 바가 존재할 수 있다.

그리고, 도 4d를 참조하면, 제2 영역(320)에 제2_1 영역(321) 및 제2_2 영역(322)가 포함될 수 있음을 확인할 수 있다. 제2_1 영역(321)은 관계도 선택 탭으로서, 사용자가 제1 내지 제3 관계도 중 하나에 대해 디스플레이 명령을 내릴 수 있도록 지원하는 영역일 수 있고, 제2_2 영역(322)은, 제K 로그들의 제L 관계를 나타내는 제K_L 로그 관계 정보를 디스플레이하기 위한 영역일 수 있다. 도 4d의 제2_2 영역(322)는 제K_1 로그 관계 정보가 디스플레이된 예시이다. 제2_2 영역(322)에 대한 더욱 자세한 설명은 제K_1 내지 제K_3 로그 관계 정보에 대해서 구체적으로 설명할 때 다시 하도록 할 것이다.

도 4e를 참조하면, 제5 영역(350)의 제5_1 영역(351)에 버튼이 존재할 수 있는데, 일 실시예에 따르면, 이를 통해 제5_2 영역(352)에 도시될 이벤트 리스트의 표현 형식을 전환할 수 있다. 도 4e에 표현된 것은 각각의 위협 이벤트들에 대한 정보가 자세히 표현된 경우이고, 제5_1 영역(351)의 버튼을 통해, 이들에 대한 정보가 요약형으로 표현되도록 할 수 있다. 또한, 도면에서 확인할 수 있듯, 리플레이 파일을 드래그&드롭함으로써 이벤트 리스트에 재생될 이벤트들을 추가할 수 있고, 이벤트 리스트의 각 이벤트들을 드래그&드롭함으로써 이벤트들의 재생 순서를 바꿀 수 있다. 또한, 이벤트 리스트의 각 이벤트들 중 하나를 선택함으로써 해당 이벤트를 리플레이할 수 있다.

도 4f를 참조하면, 제3 영역(330)에 제K 로그들의 내용에 대한 제K 로그 디테일 정보가 각각의 로그 별로 표현되어 있음을 확인할 수 있다. 일 실시예에 따르면, 해당 시점에 재생되고 있는 제K_J 로그에 대응하는 제K_J 로그 디테일 정보가 그 배경 색을 달리하여 표현됨으로써 강조될 수 있다.

이상 최적화 UI의 표현 방법에 대해 전반적으로 알아본 바, 이하 최적화 UI에서 핵심적인 부분들 중 하나인 제2_2 영역(322)의 구체적인 표현 방식에 대해 설명하도록 한다.

전술한 바와 같이, 이벤트 리플레이 장치(100)는, 제2_1 영역(321)에 디스플레이된 관계도 선택 탭을 통해, 제1 내지 제M 관계도 중 하나인 제L 관계도에 대한 디스플레이 명령이 획득되면, 제K 로그들의 제L 관계도를 나타내는 제K_L 로그 관계 정보를 제2_2 영역(322)에 디스플레이할 수 있다. 제L 관계도는, 이하 설명할 시계열 관계도, 온톨로지 관계도 및 리액션 관계도 외에도 어떤 것이든 포함할 수 있으나, 일 예시로서, 상기 세 가지 관계도가 존재하는 경우를 도 5a 내지 5c를 참조하여 설명하도록 한다.

도 5a 내지 도 5c는 본 발명의 일 실시예에 따른 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법을 수행함으로써 디스플레이되는, 제K 로그들의 시계열 관계도, 온톨로지 관계도 및 리액션 관계도를 나타낸 예시 도면이다.

도 5a를 참조하면, 제2_2 영역(322)에 각각의 제K_1 내지 제K_7 플레이북 아이콘들(331-1 내지 331-7)이 디스플레이됨으로써 제K_1 로그 관계 정보가 디스플레이된 것을 확인할 수 있다. 이 경우는, 관계도 선택 탭을 통해 시계열 관계도를 나타내는 제1 관계도에 대해 디스플레이 명령이 획득된 경우로 볼 수 있다. 이 때, 제K_1 내지 제K_7 플레이북 아이콘들(331-1 내지 331-7)은 시계열적으로 연결된 것으로서, 제2_2 영역(322) 상의 화살표들이 시간의 진행을 나타낼 수 있다. 추가적으로, 제2_2 영역(322)의 좌하단(332)에 범례가 표시되어 있는데, 범례의 각 표시들은 각각의 플레이북 아이콘들에 대응하는 로그들이 해당 시점에 어떠한 상태인지를 나타내는 것일 수 있다.

여기서, 제2_2 영역(322)에 배치된 제K_1 내지 제K_7 플레이북 아이콘들(331-1 내지 331-7) 중 하나인 제K_2 플레이북 아이콘이 선택되면, 이에 대응하는 제K_2 로그에 대한 정보가 디스플레이 장치(300)의 소정 영역(333)에 팝업으로서 디스플레이된 것을 확인할 수 있다. 이처럼 최적화 UI는 사용자가 제K 위협 이벤트를 리플레이하는 도중에 실시간으로 해당 로그에 대한 정보를 확인할 수 있도록 하는 기능을 포함할 수 있다.

이와 달리, 도 5b를 참조하면, 제2_2 영역(322)에 제K_1 내지 제K_10 온톨로지 아이콘들(341-1 내지 341-10)이 디스플레이됨으로써 제K_2 로그 관계 정보가 디스플레이된 것을 것을 확인할 수 있다. 이 경우는, 관계도 선택 탭을 통해 온톨로지 관계도를 나타내는 제2 관계도에 대해 디스플레이 명령이 획득된 경우로 볼 수 있다. 이 때, 제K_1 내지 제K_10 온톨로지 아이콘들(341-1 내지 341-10)은 온톨로지 관계에 따라 연결된 것으로서, 이는 제K 로그들을 분석함으로써 획득될 수 있다. 데이터 간의 온톨로지 관계는 ko.wikipedia.org/wiki/ontology 웹페이지에서도 확인할 수 있듯, 컴퓨터 분야의 통상의 기술자에게 널리 알려진 것이므로, 더욱 자세한 설명은 생략하도록 한다. 또한, 제2_2 영역(322)의 좌측(342)에, 각각의 온톨로지 아이콘들이 의미하는 바를 확인할 수 있는 레전드가 디스플레이되어 있고, 제2_2 영역(322)의 우측(343)에, 각각의 제K_1 내지 제K_10 온톨로지 아이콘들(341-1 내지 341-10)의 더욱 자세한 정보가 디스플레이되어 있음을 확인할 수 있다.

또한, 도 5c를 참조하면, 제2_2 영역(322)에 두 개의 아이콘들이 각각 제2_2a 영역(351) 및 제2_2b 영역(352)에 나누어져 디스플레이됨으로써 제K_3 로그 관계 정보가 디스플레이된 것을 확인할 수 있다. 이 경우는, 관계도 선택 탭을 통해 리액션 관계도를 나타내는 제3 관계도에 대해 디스플레이 명령이 획득된 경우로 볼 수 있다. 이 때, 제2_2a 영역(351)에 나타나는 아이콘들은, 해당 시점의 상황을 나타내는 상황 아이콘들일 수 있고, 제2_2b 영역(352)에 나타나는 아이콘들은 상황 아이콘들에 대해 매니저가 수행한 대응을 나타내는 리액션 아이콘들일 수 있다. 제3 관계도는 이와 같이 각 상황에 대한 매니저의 대응에 관한 것이므로, 각각의 상황 아이콘들 및 리액션 아이콘들은 시계열적으로 배열된 것일 수 있다. 제1 관계도와 제3 관계도는 모두 아이콘들을 시계열적으로 배열한다는 공통점이 있지만, 제1 관계도는 시계열적인 관계를 주로 보여주는 것에 방점이 찍혀 있다면, 제3 관계도는 각 상황에 대한 매니저의 대응을 보여주는 것에 방점이 찍혀 있다.

이상 제2_2 영역(322)에 대해 구체적으로 설명한 바, 본 발명의 또 다른 핵심적인 구성인 리플레이 컨트롤러에 대해 설명하도록 한다.

즉, 이벤트 리플레이 장치(100)는, 전술한 바와 같이 최적화 UI를 통해 제K 위협 이벤트를 재생하고 있는 상태에서, 제4 영역(340)에 포함된 제4_1 영역에 디스플레이된 리플레이 컨트롤 바 상의, 제K 로그들에 포함된 제K_1 내지 제K_P 로그들에 대응하는 제K_1 내지 제K_P 웨이포인트 중 하나인 제K_J 웨이포인트가 선택되면, (i) 제K 로그 관계 정보에 포함된, 제K_J 웨이포인트에 대응하는 제K_J 로그에 대한 제K_J 로그 포커스 정보를 제2 영역(320)에 디스플레이하고, (ii) 제K 로그 디테일 정보에 포함된, 제K_J 로그에 대한 제K_J 로그 디테일 정보를 상기 제3 영역에 디스플레이할 수 있다. 쉽게 말하면, 제4 영역(340)을 통해 웨이포인트가 선택되면, 제2 영역 및 제3 영역의 내용이 이에 따라 변경된다는 것이다. 이에 대해 도 6을 참조로 하여 설명하도록 한다.

도 6은 본 발명의 일 실시예에 따른 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법을 수행하기 위해 사용되는, 제4 영역과 제2 영역 및 제3 영역 간의 연동 관계를 나타낸 도면이다.

도 6을 참조하면, 제K_5 웨이포인트(361)를 확인할 수 있다. 여기서, 제K_1 내지 제K_P 웨이포인트가 포함된 선분을 리플레이 컨트롤 바로 볼 수 있고, 제K_1 웨이포인트로부터 제K_5 웨이포인트(361)까지 다른 색상으로 강조된 부분을 프로그레스 미터로 볼 수 있다. 사용자가 제K_5 웨이포인트(361)를 선택하면, 이에 따라 제2 영역(320) 및 제3 영역(330)에 디스플레이되는 내용이 도 6과 같이 변경될 수 있을 것이다. 즉, 제K_5 로그에 대응하는 제K_5 플레이북 아이콘(362)이 제2 영역(320)에 디스플레이되고, 이에 대응하는 제K_5 로그 디테일 정보(363)가 제3 영역(330)에 강조된 상태로 디스플레이될 수 있다. 여기서, 제K_5 플레이북 아이콘(362)이 강조된 바, 제K_5 로그 포커스 정보가 제2 영역(320)에 디스플레이된 것으로 볼 수 있다. 이와 같이 로그 포커스 정보는, 해당 시점에 재생 중인 로그에 대한 강조에 대응하는 명령일 수 있고, 로그 포커스 정보가 디스플레이 장치(300)상에 디스플레이됨으로써, 해당 로그가 강조되는 것으로 볼 수 있다.

이와 반대로, 제3 영역(330)에서 로그 포커스 정보가 선택되고, 이에 따라 제2 영역(320) 및 제4 영역(340)에 디스플레이되는 내용이 변경될 수도 있다. 즉, 이벤트 리플레이 장치(100)가, 제3 영역(330)에 포함된 제3_1 영역에 디스플레이된, 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 중 하나인 제K_J 로그에 대응하는 제K_J 로그 디테일 정보가 선택되면, (i) 제K 로그 관계 정보에 포함된, 제K_J 로그에 대한 제K_J 로그 포커스 정보를 제2 영역(320)에 디스플레이하고, (ii) 상기 제K_J 로그에 대응하는 제K_J 웨이포인트를 참조로 하여, 상기 제4 영역(340)에 포함된 제4_1 영역에 디스플레이된 리플레이 컨트롤 바의 프로그레스 미터를 조정하여 리플레이 컨트롤러를 디스플레이할 수 있다.

다시 도 6을 참조하여 설명하면, 사용자가 제K_5 로그 디테일 정보(363)를 선택하면, 제K_5 플레이북 아이콘(362)이 강조된 상태로 디스플레이되고, 제K_5 웨이포인트까지 프로그레스 미터가 디스플레이되도록 리플레이 컨트롤 바가 변경될 수 있다.

이하 제2 영역(320) 및 제3 영역(330)과 제4 영역(340)의 시간적 연동 관계에 대해 설명하도록 한다. 즉, 이벤트 리플레이 장치(100)가, (i) 제4 영역(340)에 포함된 제4_1 영역에 디스플레이된 리플레이 컨트롤 바 상의, 제K 로그들에 포함된 제K_1 내지 제K_P 로그들에 대응하는, 제1 타임라인에 따라 배열된 제K_1 내지 제K_P 웨이포인트를 참조로 하여 리플레이 컨트롤 바의 프로그레스 미터를 제2 타임라인에 따라 조정하여 제4 영역(340)에 리플레이 컨트롤러를 디스플레이하는 프로세스 및 (ii) 제2 타임라인에 따라, (ii-1) 제K 로그 관계 정보에 포함된, 제K_1 내지 제K_P 로그들에 대응하는 제K_1 내지 제K_P 로그 포커스 정보를 제2 영역(320)에 순차적으로 디스플레이하고, (ii-2) 제K_1 내지 제K_P 로그들에 대응하는 제K_1 내지 제K_P 로그 디테일 정보를 제3 영역(330)에 순차적으로 디스플레이할 수 있다.

이에 대해 쉽게 설명하면, 제K_1 내지 제K_P 웨이포인트들은, 실제로 제K_1 내지 제K_P 로그들에 대응하는 각각의 사건들이 실제로 일어난 시각에 대응하는 제1 타임라인에 따라 리플레이 컨트롤 바 상에 배치되어 있다. 하지만, 제2 영역(320) 및 제3 영역(330)에 디스플레이되는 정보들과, 프로그레스 미터는 실제 시각에 대응하는 제1 타임라인이 아니라, 사용자에 의해 설정된 제2 타임라인에 따라 변경된다. 이는 사용자의 분석 편의를 위한 것으로, 도 4c에 대해 설명할 때, 재생 시간을 입력할 수 있는 공간이 존재한다고 설명한 바 있는데, 이에 입력된 값에 따라 제2 타임라인이 결정될 수 있다. 이를 통해, 실제로 사건들이 일어난 시간 간격을 시각적으로 사용자에게 보여주면서도, 사용자가 편리하게 각 사건들을 분석할 수 있게 된다.

이상 설명된 본 발명에 따른 실시예들은 다양한 컴퓨터 구성요소를 통하여 수행될 수 있는 프로그램 명령어의 형태로 구현되어 컴퓨터 판독 가능한 기록 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능한 기록 매체는 프로그램 명령어, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 상기 컴퓨터 판독 가능한 기록 매체에 기록되는 프로그램 명령어는 본 발명을 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 분야의 당업자에게 공지되어 사용 가능한 것일 수도 있다. 컴퓨터 판독 가능한 기록 매체의 예에는, 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체, CD-ROM, DVD와 같은 광기록 매체, 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 ROM, RAM, 플래시 메모리 등과 같은 프로그램 명령어를 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 프로그램 명령어의 예에는, 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드도 포함된다. 상기 하드웨어 장치는 본 발명에 따른 처리를 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.

이상에서 본 발명이 구체적인 구성요소 등과 같은 특정 사항들과 한정된 실시예 및 도면에 의해 설명되었으나, 이는 본 발명의 보다 전반적인 이해를 돕기 위해서 제공된 것일 뿐, 본 발명이 상기 실시예들에 한정되는 것은 아니며, 본 발명이 속하는 기술분야에서 통상적인 지식을 가진 자라면 이러한 기계로부터 다양한 수정 및 변형을 꾀할 수 있다.

따라서, 본 발명의 사상은 상기 설명된 실시예에 국한되어 정해져서는 아니 되며, 후술하는 특허청구범위 뿐만 아니라 이 특허청구범위와 균등하게 또는 등가적으로 변형된 모든 것들은 본 발명의 사상의 범주에 속한다고 할 것이다.

Claims (20)

1. 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법에 있어서,
   (a) 이벤트 리플레이 장치가, 위협 이벤트 데이터베이스를 참조로 하여 분류된 제1 내지 제N 위협 이벤트 - N은 1 이상의 정수임 - 에 대한 정보를 포함하는 리플레이 파일이 획득되면, 상기 리플레이 파일을 분석하여, 이에 포함된 상기 제1 내지 상기 제N 위협 이벤트들 중 하나인 제K 위협 이벤트 - K는 1 이상 N 이하의 정수임 - 에 대한 제K ID 정보, 제K 로그 관계 정보 및 제K 로그 디테일 정보를 획득하는 단계;
   (b) 상기 이벤트 리플레이 장치가, 상기 제K 위협 이벤트에 대한 리플레이 명령이 획득되면, (i) 상기 제K ID 정보를, 상기 이벤트 리플레이 장치와 연동하여 동작하는 소정 디스플레이 장치의 제1 영역에 디스플레이하는 프로세스, (ii) 상기 제K 로그 관계 정보를, 상기 제1 영역에 인접한 상기 디스플레이 장치의 제2 영역에 디스플레이하는 프로세스 및 (iii) 상기 제K 로그 디테일 정보를, 상기 제2 영역에 인접한 상기 디스플레이 장치의 제3 영역에 디스플레이하는 프로세스를 수행하는 단계
   를 포함하되,
   상기 (b) 단계는,
   상기 이벤트 리플레이 장치가, 상기 제2 영역에 포함된 제2_1 영역에 디스플레이된 관계도 선택 탭을 통해 제1 내지 제M 관계도 - M은 1 이상의 정수임 - 중 하나인 제L 관계도에 대한 디스플레이 명령이 획득되면, 상기 제K 로그 관계 정보에 포함된, 상기 제K 위협 이벤트에 포함된 제K 로그들의 상기 제L 관계도를 나타내는 제K_L 로그 관계 정보를 상기 제2 영역에 포함된 제2_2 영역에 디스플레이하고,
   상기 (b) 단계는,
   상기 이벤트 리플레이 장치가, 온톨로지(Ontology) 관계도를 나타내는 상기 제L 관계도에 대한 상기 디스플레이 명령이 획득되면, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 에 대응하는 제K_1 내지 제K_P 온톨로지 아이콘들을 상기 제2_2 영역에 배치한 후 상기 제K_1 내지 제K_P 온톨로지 아이콘들을 데이터 관계에 따라 연결하여 디스플레이함으로써 상기 제K_L 로그 관계 정보를 디스플레이하는 것을 특징으로 하는 방법.
2. 삭제
3. 제1항에 있어서,
   상기 (b) 단계는,
   상기 이벤트 리플레이 장치가, 시계열 관계도를 나타내는 상기 제L 관계도에 대한 상기 디스플레이 명령이 획득되면, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 에 대응하는 제K_1 내지 제K_P 플레이북 아이콘들을 상기 제2_2 영역에 배치한 후 상기 제K_1 내지 제K_P 플레이북 아이콘들을 시계열적인 순서로 연결하여 디스플레이함으로써 상기 제K_L 로그 관계 정보를 디스플레이하는 것을 특징으로 하는 방법.
4. 제3항에 있어서,
   (c) 상기 이벤트 리플레이 장치가, 상기 제2_2 영역에 배치된 상기 제K_1 내지 제K_P 플레이북 아이콘들 중 하나인 제K_J 플레이북 아이콘 - J는 1 이상 P 이하의 정수임 - 이 선택되면, 상기 제K_J 플레이북 아이콘에 대응하는 제K_J 로그에 대한 정보를 상기 디스플레이 장치의 소정 영역에 팝업으로서 디스플레이하는 단계
   를 더 포함하는 것을 특징으로 하는 방법.
5. 삭제
6. 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법에 있어서,
   (a) 이벤트 리플레이 장치가, 위협 이벤트 데이터베이스를 참조로 하여 분류된 제1 내지 제N 위협 이벤트 - N은 1 이상의 정수임 - 에 대한 정보를 포함하는 리플레이 파일이 획득되면, 상기 리플레이 파일을 분석하여, 이에 포함된 상기 제1 내지 상기 제N 위협 이벤트들 중 하나인 제K 위협 이벤트 - K는 1 이상 N 이하의 정수임 - 에 대한 제K ID 정보, 제K 로그 관계 정보 및 제K 로그 디테일 정보를 획득하는 단계;
   (b) 상기 이벤트 리플레이 장치가, 상기 제K 위협 이벤트에 대한 리플레이 명령이 획득되면, (i) 상기 제K ID 정보를, 상기 이벤트 리플레이 장치와 연동하여 동작하는 소정 디스플레이 장치의 제1 영역에 디스플레이하는 프로세스, (ii) 상기 제K 로그 관계 정보를, 상기 제1 영역에 인접한 상기 디스플레이 장치의 제2 영역에 디스플레이하는 프로세스 및 (iii) 상기 제K 로그 디테일 정보를, 상기 제2 영역에 인접한 상기 디스플레이 장치의 제3 영역에 디스플레이하는 프로세스를 수행하는 단계
   를 포함하되,
   상기 (b) 단계는,
   상기 이벤트 리플레이 장치가, 상기 제2 영역에 포함된 제2_1 영역에 디스플레이된 관계도 선택 탭을 통해 제1 내지 제M 관계도 - M은 1 이상의 정수임 - 중 하나인 제L 관계도에 대한 디스플레이 명령이 획득되면, 상기 제K 로그 관계 정보에 포함된, 상기 제K 위협 이벤트에 포함된 제K 로그들의 상기 제L 관계도를 나타내는 제K_L 로그 관계 정보를 상기 제2 영역에 포함된 제2_2 영역에 디스플레이하고,
   상기 (b) 단계는,
   상기 이벤트 리플레이 장치가, 리액션 관계도를 나타내는 상기 제L 관계도에 대한 상기 디스플레이 명령이 획득되면, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 들에 대응하는 제K_1 내지 제K_P 블랙보드 아이콘들을, 상황을 나타내는 상황 아이콘들과, 이에 대한 매니저의 대응을 나타내는 리액션 아이콘들로 구분한 후, 상기 상황 아이콘들과 상기 리액션 아이콘들을 상기 제2_2 영역에 시계열적으로 배열하되, 상기 상황 아이콘들을 상기 제2_2 영역의 제2_2a 영역에 디스플레이하고, 상기 리액션 아이콘들을 상기 제2_2 영역의 제2_2b 영역에 디스플레이함으로써 상기 제K_L 로그 관계 정보를 디스플레이하는 것을 특징으로 하는 방법.
7. 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 위협 이벤트 리플레이 방법에 있어서,
   (a) 이벤트 리플레이 장치가, 위협 이벤트 데이터베이스를 참조로 하여 분류된 제1 내지 제N 위협 이벤트 - N은 1 이상의 정수임 - 에 대한 정보를 포함하는 리플레이 파일이 획득되면, 상기 리플레이 파일을 분석하여, 이에 포함된 상기 제1 내지 상기 제N 위협 이벤트들 중 하나인 제K 위협 이벤트 - K는 1 이상 N 이하의 정수임 - 에 대한 제K ID 정보, 제K 로그 관계 정보 및 제K 로그 디테일 정보를 획득하는 단계;
   (b) 상기 이벤트 리플레이 장치가, 상기 제K 위협 이벤트에 대한 리플레이 명령이 획득되면, (i) 상기 제K ID 정보를, 상기 이벤트 리플레이 장치와 연동하여 동작하는 소정 디스플레이 장치의 제1 영역에 디스플레이하는 프로세스, (ii) 상기 제K 로그 관계 정보를, 상기 제1 영역에 인접한 상기 디스플레이 장치의 제2 영역에 디스플레이하는 프로세스 및 (iii) 상기 제K 로그 디테일 정보를, 상기 제2 영역에 인접한 상기 디스플레이 장치의 제3 영역에 디스플레이하는 프로세스를 수행하는 단계
   를 포함하되,
   상기 (b) 단계는,
   상기 이벤트 리플레이 장치가, (i) 상기 디스플레이 장치 상의 소정 제4 영역에, 상기 제K 위협 이벤트의 리플레이 프로세스를 조절할 수 있는 리플레이 컨트롤러를 디스플레이하는 프로세스 및 (ii) 상기 제4 영역과 인접한 상기 디스플레이 장치 상의 제5 영역에, 상기 제1 내지 제N 위협 이벤트를 포함하는 위협 이벤트 리스트를 디스플레이하는 프로세스를 더 수행하는 것을 특징으로 하는 방법.
8. 제7항에 있어서,
   (d) 상기 이벤트 리플레이 장치가, 상기 제4 영역에 포함된 제4_1 영역에 디스플레이된 리플레이 컨트롤 바 상의, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 에 대응하는 제K_1 내지 제K_P 웨이포인트 중 하나인 제K_J 웨이포인트 - J는 1 이상 P 이하의 정수임 - 가 선택되면, (i) 상기 제K 로그 관계 정보에 포함된, 상기 제K_J 웨이포인트에 대응하는 제K_J 로그에 대한 제K_J 로그 포커스 정보를 상기 제2 영역에 디스플레이하고, (ii) 상기 제K 로그 디테일 정보에 포함된, 상기 제K_J 로그에 대한 제K_J 로그 디테일 정보를 상기 제3 영역에 디스플레이하는 단계
   를 더 포함하는 것을 특징으로 하는 방법.
9. 제7항에 있어서,
   (e) 상기 이벤트 리플레이 장치가, 상기 제3 영역에 포함된 제3_1 영역에 디스플레이된, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 중 하나인 제K_J 로그 - J는 1 이상 P 이하의 정수임 - 에 대응하는 제K_J 로그 디테일 정보가 선택되면, (i) 상기 제K 로그 관계 정보에 포함된, 상기 제K_J 로그에 대한 제K_J 로그 포커스 정보를 상기 제2 영역에 디스플레이하고, (ii) 상기 제K_J 로그에 대응하는 제K_J 웨이포인트를 참조로 하여, 상기 제4 영역에 포함된 제4_1 영역에 디스플레이된 리플레이 컨트롤 바의 프로그레스 미터를 조정하여 상기 리플레이 컨트롤러를 디스플레이하는 단계
   를 더 포함하는 것을 특징으로 하는 방법.
10. 제7항에 있어서,
    (f) 상기 이벤트 리플레이 장치가, (i) 상기 제4 영역에 포함된 제4_1 영역에 디스플레이된 리플레이 컨트롤 바 상의, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 에 대응하는, 제1 타임라인에 따라 배열된 제K_1 내지 제K_P 웨이포인트를 참조로 하여 상기 리플레이 컨트롤 바의 프로그레스 미터를 제2 타임라인에 따라 조정하여 상기 제4 영역에 상기 리플레이 컨트롤러를 디스플레이하는 프로세스 및 (ii) 제2 타임라인에 따라, (ii-1) 상기 제K 로그 관계 정보에 포함된, 상기 제K_1 내지 제K_P 로그들에 대응하는 제K_1 내지 제K_P 로그 포커스 정보를 상기 제2 영역에 순차적으로 디스플레이하고, (ii-2) 상기 제K_1 내지 제K_P 로그들에 대응하는 제K_1 내지 제K_P 로그 디테일 정보를 상기 제3 영역에 순차적으로 디스플레이하는 프로세스를 수행하는 단계
    를 더 포함하는 것을 특징으로 하는 방법.
11. 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 이벤트 리플레이 장치에 있어서,
    인스트럭션들을 저장하는 하나 이상의 메모리; 및
    상기 인스트럭션들을 수행하도록 설정된 하나 이상의 프로세서를 포함하되, 상기 프로세서는, (I) 위협 이벤트 데이터베이스를 참조로 하여 분류된 제1 내지 제N 위협 이벤트 - N은 1 이상의 정수임 - 에 대한 정보를 포함하는 리플레이 파일이 획득되면, 상기 리플레이 파일을 분석하여, 이에 포함된 상기 제1 내지 상기 제N 위협 이벤트들 중 하나인 제K 위협 이벤트 - K는 1 이상 N 이하의 정수임 - 에 대한 제K ID 정보, 제K 로그 관계 정보 및 제K 로그 디테일 정보를 획득하는 프로세스; (II) 상기 제K 위협 이벤트에 대한 리플레이 명령이 획득되면, (i) 상기 제K ID 정보를, 상기 이벤트 리플레이 장치와 연동하여 동작하는 소정 디스플레이 장치의 제1 영역에 디스플레이하는 프로세스, (ii) 상기 제K 로그 관계 정보를, 상기 제1 영역에 인접한 상기 디스플레이 장치의 제2 영역에 디스플레이하는 프로세스 및 (iii) 상기 제K 로그 디테일 정보를, 상기 제2 영역에 인접한 상기 디스플레이 장치의 제3 영역에 디스플레이하는 프로세스를 수행하는 프로세스를 수행하는 것을 특징으로 하되,
    상기 (II) 프로세스는,
    상기 프로세서가, 상기 제2 영역에 포함된 제2_1 영역에 디스플레이된 관계도 선택 탭을 통해 제1 내지 제M 관계도 - M은 1 이상의 정수임 - 중 하나인 제L 관계도에 대한 디스플레이 명령이 획득되면, 상기 제K 로그 관계 정보에 포함된, 상기 제K 위협 이벤트에 포함된 제K 로그들의 상기 제L 관계도를 나타내는 제K_L 로그 관계 정보를 상기 제2 영역에 포함된 제2_2 영역에 디스플레이하고,
    상기 (II) 프로세스는,
    상기 프로세서가, 온톨로지(Ontology) 관계도를 나타내는 상기 제L 관계도에 대한 상기 디스플레이 명령이 획득되면, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 에 대응하는 제K_1 내지 제K_P 온톨로지 아이콘들을 상기 제2_2 영역에 배치한 후 상기 제K_1 내지 제K_P 온톨로지 아이콘들을 데이터 관계에 따라 연결하여 디스플레이함으로써 상기 제K_L 로그 관계 정보를 디스플레이하는 것을 특징으로 하는 장치.
12. 삭제
13. 제11항에 있어서,
    상기 (II) 프로세스는,
    상기 프로세서가, 시계열 관계도를 나타내는 상기 제L 관계도에 대한 상기 디스플레이 명령이 획득되면, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 에 대응하는 제K_1 내지 제K_P 플레이북 아이콘들을 상기 제2_2 영역에 배치한 후 상기 제K_1 내지 제K_P 플레이북 아이콘들을 시계열적인 순서로 연결하여 디스플레이함으로써 상기 제K_L 로그 관계 정보를 디스플레이하는 것을 특징으로 하는 장치.
14. 제13항에 있어서,
    상기 프로세서가,
    (III) 상기 제2_2 영역에 배치된 상기 제K_1 내지 제K_P 플레이북 아이콘들 중 하나인 제K_J 플레이북 아이콘 - J는 1 이상 P 이하의 정수임 - 이 선택되면, 상기 제K_J 플레이북 아이콘에 대응하는 제K_J 로그에 대한 정보를 상기 디스플레이 장치의 소정 영역에 팝업으로서 디스플레이하는 프로세스
    를 더 수행하는 것을 특징으로 하는 장치.
15. 삭제
16. 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 이벤트 리플레이 장치에 있어서,
    인스트럭션들을 저장하는 하나 이상의 메모리; 및
    상기 인스트럭션들을 수행하도록 설정된 하나 이상의 프로세서를 포함하되, 상기 프로세서는, (I) 위협 이벤트 데이터베이스를 참조로 하여 분류된 제1 내지 제N 위협 이벤트 - N은 1 이상의 정수임 - 에 대한 정보를 포함하는 리플레이 파일이 획득되면, 상기 리플레이 파일을 분석하여, 이에 포함된 상기 제1 내지 상기 제N 위협 이벤트들 중 하나인 제K 위협 이벤트 - K는 1 이상 N 이하의 정수임 - 에 대한 제K ID 정보, 제K 로그 관계 정보 및 제K 로그 디테일 정보를 획득하는 프로세스; (II) 상기 제K 위협 이벤트에 대한 리플레이 명령이 획득되면, (i) 상기 제K ID 정보를, 상기 이벤트 리플레이 장치와 연동하여 동작하는 소정 디스플레이 장치의 제1 영역에 디스플레이하는 프로세스, (ii) 상기 제K 로그 관계 정보를, 상기 제1 영역에 인접한 상기 디스플레이 장치의 제2 영역에 디스플레이하는 프로세스 및 (iii) 상기 제K 로그 디테일 정보를, 상기 제2 영역에 인접한 상기 디스플레이 장치의 제3 영역에 디스플레이하는 프로세스를 수행하는 프로세스를 수행하는 것을 특징으로 하되,
    상기 (II) 프로세스는,
    상기 프로세서가, 상기 제2 영역에 포함된 제2_1 영역에 디스플레이된 관계도 선택 탭을 통해 제1 내지 제M 관계도 - M은 1 이상의 정수임 - 중 하나인 제L 관계도에 대한 디스플레이 명령이 획득되면, 상기 제K 로그 관계 정보에 포함된, 상기 제K 위협 이벤트에 포함된 제K 로그들의 상기 제L 관계도를 나타내는 제K_L 로그 관계 정보를 상기 제2 영역에 포함된 제2_2 영역에 디스플레이하고,
    상기 (II) 프로세스는,
    상기 프로세서가, 리액션 관계도를 나타내는 상기 제L 관계도에 대한 상기 디스플레이 명령이 획득되면, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 들에 대응하는 제K_1 내지 제K_P 블랙보드 아이콘들을, 상황을 나타내는 상황 아이콘들과, 이에 대한 매니저의 대응을 나타내는 리액션 아이콘들로 구분한 후, 상기 상황 아이콘들과 상기 리액션 아이콘들을 상기 제2_2 영역에 시계열적으로 배열하되, 상기 상황 아이콘들을 상기 제2_2 영역의 제2_2a 영역에 디스플레이하고, 상기 리액션 아이콘들을 상기 제2_2 영역의 제2_2b 영역에 디스플레이함으로써 상기 제K_L 로그 관계 정보를 디스플레이하는 것을 특징으로 하는 장치.
17. 시스템에 위협이 될 수 있는 위협 이벤트를 최적화 UI 상에서 디스플레이함으로써 사용자가 상기 위협 이벤트를 용이하게 분석할 수 있도록 하는 이벤트 리플레이 장치에 있어서,
    인스트럭션들을 저장하는 하나 이상의 메모리; 및
    상기 인스트럭션들을 수행하도록 설정된 하나 이상의 프로세서를 포함하되, 상기 프로세서는, (I) 위협 이벤트 데이터베이스를 참조로 하여 분류된 제1 내지 제N 위협 이벤트 - N은 1 이상의 정수임 - 에 대한 정보를 포함하는 리플레이 파일이 획득되면, 상기 리플레이 파일을 분석하여, 이에 포함된 상기 제1 내지 상기 제N 위협 이벤트들 중 하나인 제K 위협 이벤트 - K는 1 이상 N 이하의 정수임 - 에 대한 제K ID 정보, 제K 로그 관계 정보 및 제K 로그 디테일 정보를 획득하는 프로세스; (II) 상기 제K 위협 이벤트에 대한 리플레이 명령이 획득되면, (i) 상기 제K ID 정보를, 상기 이벤트 리플레이 장치와 연동하여 동작하는 소정 디스플레이 장치의 제1 영역에 디스플레이하는 프로세스, (ii) 상기 제K 로그 관계 정보를, 상기 제1 영역에 인접한 상기 디스플레이 장치의 제2 영역에 디스플레이하는 프로세스 및 (iii) 상기 제K 로그 디테일 정보를, 상기 제2 영역에 인접한 상기 디스플레이 장치의 제3 영역에 디스플레이하는 프로세스를 수행하는 프로세스를 수행하는 것을 특징으로 하되,
    상기 (II) 프로세스는,
    상기 프로세서가, (i) 상기 디스플레이 장치 상의 소정 제4 영역에, 상기 제K 위협 이벤트의 리플레이 프로세스를 조절할 수 있는 리플레이 컨트롤러를 디스플레이하는 프로세스 및 (ii) 상기 제4 영역과 인접한 상기 디스플레이 장치 상의 제5 영역에, 상기 제1 내지 제N 위협 이벤트를 포함하는 위협 이벤트 리스트를 디스플레이하는 프로세스를 더 수행하는 것을 특징으로 하는 장치.
18. 제17항에 있어서,
    상기 프로세서가,
    (IV) 상기 제4 영역에 포함된 제4_1 영역에 디스플레이된 리플레이 컨트롤 바 상의, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 에 대응하는 제K_1 내지 제K_P 웨이포인트 중 하나인 제K_J 웨이포인트 - J는 1 이상 P 이하의 정수임 - 가 선택되면, (i) 상기 제K 로그 관계 정보에 포함된, 상기 제K_J 웨이포인트에 대응하는 제K_J 로그에 대한 제K_J 로그 포커스 정보를 상기 제2 영역에 디스플레이하고, (ii) 상기 제K 로그 디테일 정보에 포함된, 상기 제K_J 로그에 대한 제K_J 로그 디테일 정보를 상기 제3 영역에 디스플레이하는 프로세스
    를 더 수행하는 것을 특징으로 하는 장치.
19. 제17항에 있어서,
    상기 프로세서가,
    (V) 상기 제3 영역에 포함된 제3_1 영역에 디스플레이된, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 중 하나인 제K_J 로그 - J는 1 이상 P 이하의 정수임 - 에 대응하는 제K_J 로그 디테일 정보가 선택되면, (i) 상기 제K 로그 관계 정보에 포함된, 상기 제K_J 로그에 대한 제K_J 로그 포커스 정보를 상기 제2 영역에 디스플레이하고, (ii) 상기 제K_J 로그에 대응하는 제K_J 웨이포인트를 참조로 하여, 상기 제4 영역에 포함된 제4_1 영역에 디스플레이된 리플레이 컨트롤 바의 프로그레스 미터를 조정하여 상기 리플레이 컨트롤러를 디스플레이하는 프로세스
    를 더 수행하는 것을 특징으로 하는 장치.
20. 제17항에 있어서,
    상기 프로세서가,
    (VI) (i) 상기 제4 영역에 포함된 제4_1 영역에 디스플레이된 리플레이 컨트롤 바 상의, 상기 제K 로그들에 포함된 제K_1 내지 제K_P 로그들 - P는 1 이상의 정수임 - 에 대응하는, 제1 타임라인에 따라 배열된 제K_1 내지 제K_P 웨이포인트를 참조로 하여 상기 리플레이 컨트롤 바의 프로그레스 미터를 제2 타임라인에 따라 조정하여 상기 제4 영역에 상기 리플레이 컨트롤러를 디스플레이하는 프로세스 및 (ii) 제2 타임라인에 따라, (ii-1) 상기 제K 로그 관계 정보에 포함된, 상기 제K_1 내지 제K_P 로그들에 대응하는 제K_1 내지 제K_P 로그 포커스 정보를 상기 제2 영역에 순차적으로 디스플레이하고, (ii-2) 상기 제K_1 내지 제K_P 로그들에 대응하는 제K_1 내지 제K_P 로그 디테일 정보를 상기 제3 영역에 순차적으로 디스플레이하는 프로세스
    를 더 수행하는 것을 특징으로 하는 장치.
    

Images