CYBER THREAT INFORMATION PROCESSING DEVICE, CYBER THREAT INFORMATION PROCESSING METHOD, AND STORAGE MEDIUM STORING CYBER THREAT INFORMATION PROCESSING PROGRAM

The disclosed embodiment provides a cyber threat information processing device, a cyber threat information processing method, and a storage medium storing a cyber threat information processing program. One embodiment of the invention may provide a cyber security threat information processing method comprising: a step of disassembling an input executable file to obtain a disassembled code and reconstructing the disassembled code to obtain a reconstructed disassembled code; a step of converting the reconstructed disassembled code into a hash function and converting the hash function into N-gram data (where N is a natural number); and a step of performing ensemble machine learning with respect to a block unit code of the converted N-gram data to profile the block unit code with an identifier of an attack technique that the block unit code performs, and an identifier of an attacker who has generated the block unit code. According to an embodiment, it is possible to detect and respond to even a malicious code that does not exactly match data learned by artificial intelligence, and to respond to even a variant of a malicious code by identifying the malicious code, an attack technique, an attacker, and an attack prediction method in a very short time. Le mode de réalisation divulgué concerne un dispositif de traitement d'informations de cybermenace, un procédé de traitement d'informations de cybermenace et un support de stockage stockant un programme de traitement d'informations de cybermenace. Un mode de réalisation de l'invention peut fournir un procédé de traitement d'informations de menace de cybersécurité comprenant : une étape consistant à désassembler un fichier exécutable d'entrée pour obtenir un code désassemblé et à reconstruire le code désassemblé pour obtenir un code désassemblé reconstruit ; une étape consistant à convertir le code désassemblé reconstruit en une fonction de hachage et à convertir la fonction de hachage en données de N-gramme (N étant un nombre naturel) ; et une étape consistant à effectuer un apprentissage de machine d'ensemble par rapport à un code d'unité de bloc des données de N-gramme converties pour profiler le code d'unité de bloc avec un identifiant d'une technique d'attaque que le code d'unité de bloc effectue, et un identifiant d'un attaquant qui a généré le code d'unité de bloc. Selon un mode de réalisation, il est possible de détecter et de répondre à un code malveillant qui ne correspond pas exactement aux données apprise