知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024128995
(43)【公開日】2024-09-26
(54)【発明の名称】ネットワーク危殆化アクティビティ監視システム
(51)【国際特許分類】
H04L 12/66 20060101AFI20240918BHJP
H04L 12/22 20060101ALI20240918BHJP
【ＦＩ】
H04L12/66
H04L12/22
【審査請求】有
【請求項の数】29
【出願形態】ＯＬ
【外国語出願】
(21)【出願番号】P 2024021603
(22)【出願日】2024-02-16
(31)【優先権主張番号】18/111,351
(32)【優先日】2023-02-17
(33)【優先権主張国・地域又は機関】US
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＷＩＮＤＯＷＳ
２．ＷＩＲＥＳＨＡＲＫ
(71)【出願人】
【識別番号】524061781
【氏名又は名称】セレリウム インコーポレイテッド
(74)【代理人】
【識別番号】100108604
【弁理士】
【氏名又は名称】村松 義人
(72)【発明者】
【氏名】オーブリー グラント チャーニック
(72)【発明者】
【氏名】ヴィンセント オーウェン クリスラー
(57)【要約】 （修正有）
【課題】データ侵害又は他のネットワークシステム危殆化を効率的且つ効果的に早期検出するネットワーク危殆化アクティビティ監視システム、アナライザ及び方法を提供する。
【解決手段】ネットワークシステム１０において、ネットワーク危殆化アクティビティ監視システム１６は、ファイアウォール１８、危殆化アクティビティアナライザ２０及び危殆化ディフェンダーモジュールＣＤＭを含む。ファイアウォールは、パブリック及びプライベートネットワークポート並びにファイアウォールトラフィックログを含む。危殆化アクティビティアナライザは、疑わしい宛先メタデータ、エグレストラフィックメタデータ及びネットワークデバイスメタデータにアクセスし、プライベートネットワークポートに結合されたデバイスの危殆化アクティビティレベルを求める。危殆化ディフェンダーは、求められたレベルに応じ、ブロック、アラート及び通知の少なくとも１つを行う。
【選択図】図１
【解決手段】ネットワークシステム１０において、ネットワーク危殆化アクティビティ監視システム１６は、ファイアウォール１８、危殆化アクティビティアナライザ２０及び危殆化ディフェンダーモジュールＣＤＭを含む。ファイアウォールは、パブリック及びプライベートネットワークポート並びにファイアウォールトラフィックログを含む。危殆化アクティビティアナライザは、疑わしい宛先メタデータ、エグレストラフィックメタデータ及びネットワークデバイスメタデータにアクセスし、プライベートネットワークポートに結合されたデバイスの危殆化アクティビティレベルを求める。危殆化ディフェンダーは、求められたレベルに応じ、ブロック、アラート及び通知の少なくとも１つを行う。
【選択図】図１
【特許請求の範囲】
【請求項1】
ネットワークコネクタであって、該ネットワークコネクタは、パブリックネットワークポートと、少なくとも１つのプライベートネットワークポートと、該ネットワークコネクタのデータパケットトラフィックに関する関連付けられたネットワークコネクタトラフィックログと、を有し、前記少なくとも１つのプライベートネットワークポートに流入し、前記パブリックネットワークポートから流出するデータパケットは、エグレストラフィックであり、前記パブリックネットワークポートに流入し、前記少なくとも１つのプライベートネットワークポートから流出するデータパケットは、イングレストラフィックである、ネットワークコネクタと、
疑わしい宛先メタデータと、エグレストラフィックメタデータと、ネットワークデバイスメタデータとにアクセスする危殆化アクティビティアナライザであって、該危殆化アクティビティアナライザは、前記疑わしい宛先メタデータと、前記エグレストラフィックメタデータと、前記ネットワークデバイスメタデータとに少なくとも部分的に基づいて、前記少なくとも１つのプライベートネットワークポートに結合された１つ以上のデバイスの危殆化アクティビティレベルを求めるように動作する、危殆化アクティビティアナライザと、
前記１つ以上のデバイスの前記求められた危殆化アクティビティレベルに応じて、少なくとも１つのルールに従ってブロック、アラート及び通知のうちの少なくとも１つを行うように動作する危殆化ディフェンダーと、
を備える、ネットワーク危殆化アクティビティ監視システム。
疑わしい宛先メタデータと、エグレストラフィックメタデータと、ネットワークデバイスメタデータとにアクセスする危殆化アクティビティアナライザであって、該危殆化アクティビティアナライザは、前記疑わしい宛先メタデータと、前記エグレストラフィックメタデータと、前記ネットワークデバイスメタデータとに少なくとも部分的に基づいて、前記少なくとも１つのプライベートネットワークポートに結合された１つ以上のデバイスの危殆化アクティビティレベルを求めるように動作する、危殆化アクティビティアナライザと、
前記１つ以上のデバイスの前記求められた危殆化アクティビティレベルに応じて、少なくとも１つのルールに従ってブロック、アラート及び通知のうちの少なくとも１つを行うように動作する危殆化ディフェンダーと、
を備える、ネットワーク危殆化アクティビティ監視システム。
【請求項2】
前記危殆化アクティビティアナライザは、イングレストラフィックメタデータにもアクセスし、該イングレストラフィックメタデータは、前記１つ以上のデバイスの前記危殆化アクティビティレベルを求めるために少なくとも部分的に使用される、
請求項１に記載のネットワーク危殆化アクティビティ監視システム。
請求項１に記載のネットワーク危殆化アクティビティ監視システム。
【請求項3】
前記エグレストラフィックメタデータ及び前記イングレストラフィックメタデータは、前記ネットワークコネクタトラフィックログから得られる、
請求項２に記載のネットワーク危殆化アクティビティ監視システム。
請求項２に記載のネットワーク危殆化アクティビティ監視システム。
【請求項4】
前記危殆化アクティビティアナライザは、前記少なくとも１つのプライベートネットワークポートに関するプライベートネットワークポートメタデータにもアクセスし、該プライベートネットワークポートメタデータは、前記１つ以上のデバイスのうちの少なくとも１つの前記危殆化アクティビティレベルを求めるために少なくとも部分的に使用される、
請求項３に記載のネットワーク危殆化アクティビティ監視システム。
請求項３に記載のネットワーク危殆化アクティビティ監視システム。
【請求項5】
前記危殆化ディフェンダーは、前記危殆化アクティビティアナライザの一部である、
請求項３に記載のネットワーク危殆化アクティビティ監視システム。
請求項３に記載のネットワーク危殆化アクティビティ監視システム。
【請求項6】
前記危殆化アクティビティアナライザは、前記ネットワークコネクタの一部である、
請求項５に記載のネットワーク危殆化アクティビティ監視システム。
請求項５に記載のネットワーク危殆化アクティビティ監視システム。
【請求項7】
前記ネットワークコネクタは、ファイアウォール及びルーターのうちの一方である、
請求項３に記載のネットワーク危殆化アクティビティ監視システム。
請求項３に記載のネットワーク危殆化アクティビティ監視システム。
【請求項8】
プロセッサと、
（ａ）ファイアウォールのエグレストラフィックの発信元インターネットプロトコル（ＩＰ）アドレスと宛先ＩＰアドレスとを有する少なくともエグレストラフィックメタデータを含むファイアウォールトラフィックメタデータを取り出すことと、
（ｂ）前記エグレストラフィックメタデータの前記発信元ＩＰアドレスをネットワークデバイスメタデータと照合して、エグレスデータパケットの少なくとも１つの発信元デバイスを特定することと、
（ｃ）前記エグレストラフィックメタデータの前記宛先ＩＰアドレスを疑わしい宛先メタデータと照合して、前記エグレスデータパケットの疑わしい宛先を特定することと、
（ｄ）前記エグレストラフィックメタデータと、前記ネットワークデバイスメタデータと、前記疑わしい宛先メタデータとに基づいて、前記少なくとも１つの発信元デバイスに関する危殆化アクティビティレベルを求めることと、
（ｅ）前記求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作することと、
を行う、前記プロセッサ上で実行可能なコードセグメントを含む、前記プロセッサと結びつくメモリと、
を備える、ネットワークデバイス危殆化アクティビティアナライザ。
（ａ）ファイアウォールのエグレストラフィックの発信元インターネットプロトコル（ＩＰ）アドレスと宛先ＩＰアドレスとを有する少なくともエグレストラフィックメタデータを含むファイアウォールトラフィックメタデータを取り出すことと、
（ｂ）前記エグレストラフィックメタデータの前記発信元ＩＰアドレスをネットワークデバイスメタデータと照合して、エグレスデータパケットの少なくとも１つの発信元デバイスを特定することと、
（ｃ）前記エグレストラフィックメタデータの前記宛先ＩＰアドレスを疑わしい宛先メタデータと照合して、前記エグレスデータパケットの疑わしい宛先を特定することと、
（ｄ）前記エグレストラフィックメタデータと、前記ネットワークデバイスメタデータと、前記疑わしい宛先メタデータとに基づいて、前記少なくとも１つの発信元デバイスに関する危殆化アクティビティレベルを求めることと、
（ｅ）前記求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作することと、
を行う、前記プロセッサ上で実行可能なコードセグメントを含む、前記プロセッサと結びつくメモリと、
を備える、ネットワークデバイス危殆化アクティビティアナライザ。
【請求項9】
前記危殆化アクティビティレベルを求めることは、プライベートネットワークポートメタデータに更に基づいている、
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項10】
前記プライベートネットワークポートメタデータは、前記ファイアウォールの１つ以上のプライベートポートに関するものである、
請求項９に記載のネットワークデバイス危殆化アクティビティアナライザ。
請求項９に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項11】
前記求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作することは、ブロックすること、アラートすること及び通知することのうちの少なくとも１つを含む、
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項12】
前記ネットワークデバイスメタデータは、前記各デバイスのＩＰアドレス及びデバイスタイプを含む、請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項13】
前記ネットワークデバイスメタデータは、ＭＡＣアドレス、技術名、組織名、及び部署名のうちの１つ以上を更に含む、
請求項１２に記載のネットワークデバイス危殆化アクティビティアナライザ。
請求項１２に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項14】
前記ネットワークデバイスメタデータは、危殆化変換テーブル（ＣＴＴ）として記録される、
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項15】
前記エグレストラフィックメタデータの前記発信元ＩＰアドレスをネットワークデバイスメタデータと照合して、前記エグレスデータパケットの少なくとも１つの発信元デバイスを特定することは、
前記エグレストラフィックメタデータの１つ以上の発信元ＩＰアドレスのリストを作成することと、
前記１つ以上の発信元ＩＰアドレスのリストを使用して前記ＣＴＴを検索することと、
を含む、
請求項１４に記載のネットワークデバイス危殆化アクティビティアナライザ。
前記エグレストラフィックメタデータの１つ以上の発信元ＩＰアドレスのリストを作成することと、
前記１つ以上の発信元ＩＰアドレスのリストを使用して前記ＣＴＴを検索することと、
を含む、
請求項１４に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項16】
前記疑わしい宛先メタデータは、コンテンツ検索可能フォーマットで記録される、
請求項１５に記載のネットワークデバイス危殆化アクティビティアナライザ。
請求項１５に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項17】
前記エグレストラフィックメタデータの前記宛先ＩＰアドレスを疑わしい宛先メタデータと照合して、前記エグレスデータパケットの疑わしい宛先を特定することは、
前記エグレストラフィックメタデータの１つ以上の宛先ＩＰアドレスのリストを作成することと、
前記１つ以上の宛先ＩＰアドレスのリストを使用して、疑わしい脅威メタデータに前記疑わしい宛先メタデータを照会することと、
を含む、
請求項１６に記載のネットワークデバイス危殆化アクティビティアナライザ。
前記エグレストラフィックメタデータの１つ以上の宛先ＩＰアドレスのリストを作成することと、
前記１つ以上の宛先ＩＰアドレスのリストを使用して、疑わしい脅威メタデータに前記疑わしい宛先メタデータを照会することと、
を含む、
請求項１６に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項18】
前記エグレストラフィックメタデータは、宛先ＩＰアドレスへのエグレストラフィックのデータレートについて分析される、
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項19】
前記エグレストラフィックメタデータは、宛先ＩＰアドレスによるデバイスＩＰアドレスへのコンタクトアクティビティ又はコールバックアクティビティについて分析される、
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項20】
前記エグレストラフィックメタデータは、宛先ＩＰアドレスによる複数のデバイスＩＰアドレスへのコンタクトアクティビティ又はコールバックアクティビティについて分析される、
請求項１９に記載のネットワークデバイス危殆化アクティビティアナライザ。
請求項１９に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項21】
デジタルプロセッサとメモリとを含む危殆化アクティビティアナライザにファイアウォールトラフィックメタデータを提供することであって、前記ファイアウォールトラフィックメタデータは、ファイアウォールのエグレストラフィックの発信元インターネットプロトコル（ＩＰ）アドレスと宛先ＩＰアドレスとを有する少なくともエグレストラフィックメタデータを含むことと、
前記エグレストラフィックメタデータの前記発信元ＩＰアドレスをネットワークデバイスメタデータと照合して、エグレスデータパケットの少なくとも１つの発信元デバイスを特定することと、
前記エグレストラフィックメタデータの前記宛先ＩＰアドレスを疑わしい宛先メタデータと照合することと、
前記エグレストラフィックメタデータと、前記ネットワークデバイスメタデータと、前記疑わしい宛先メタデータとに基づいて前記少なくとも１つの発信元デバイスへの危殆化アクティビティレベルを求めることと、
前記求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作することと、
を含む、ネットワークデバイスの危殆化アクティビティを監視するための、コンピューターに実装される方法。
前記エグレストラフィックメタデータの前記発信元ＩＰアドレスをネットワークデバイスメタデータと照合して、エグレスデータパケットの少なくとも１つの発信元デバイスを特定することと、
前記エグレストラフィックメタデータの前記宛先ＩＰアドレスを疑わしい宛先メタデータと照合することと、
前記エグレストラフィックメタデータと、前記ネットワークデバイスメタデータと、前記疑わしい宛先メタデータとに基づいて前記少なくとも１つの発信元デバイスへの危殆化アクティビティレベルを求めることと、
前記求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作することと、
を含む、ネットワークデバイスの危殆化アクティビティを監視するための、コンピューターに実装される方法。
【請求項22】
前記エグレストラフィックメタデータは、所与の閾値を越えるデータレートについて分析される、
請求項２１に記載のネットワークデバイスの危殆化アクティビティを監視するコンピューター実装方法。
請求項２１に記載のネットワークデバイスの危殆化アクティビティを監視するコンピューター実装方法。
【請求項23】
前記エグレストラフィックメタデータは、前記エグレストラフィックの頻度及び前記エグレストラフィックのパターンのうちの少なくとも一方について分析される、
請求項２１に記載のネットワークデバイスの危殆化アクティビティを監視するコンピューター実装方法。
請求項２１に記載のネットワークデバイスの危殆化アクティビティを監視するコンピューター実装方法。
【請求項24】
前記ネットワークデバイスメタデータは、前記デバイスの重大性について分析される、
請求項２１に記載のネットワークデバイスの危殆化アクティビティを監視するコンピューター実装方法。
請求項２１に記載のネットワークデバイスの危殆化アクティビティを監視するコンピューター実装方法。
【請求項25】
前記疑わしい宛先メタデータは、脅威の深刻度について分析される、
請求項２１に記載のネットワークデバイスの危殆化アクティビティを監視するコンピューター実装方法。
請求項２１に記載のネットワークデバイスの危殆化アクティビティを監視するコンピューター実装方法。
【請求項26】
ファイアウォールのエグレストラフィックの発信元インターネットプロトコル（ＩＰ）アドレスと宛先ＩＰアドレスとを有する少なくともエグレストラフィックメタデータを含むファイアウォールトラフィックメタデータを提供するコードセグメントと、
前記エグレストラフィックメタデータの前記発信元ＩＰアドレスをネットワークデバイスメタデータと照合して、エグレスデータパケットの少なくとも１つの発信元デバイスを特定するコードセグメントと、
前記エグレストラフィックメタデータと前記ネットワークデバイスメタデータとに基づいて前記少なくとも１つの発信元デバイスへの危殆化アクティビティレベルを求めるコードセグメントと、
前記求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作するコードセグメントと、
をコードセグメントとして含む、ネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
前記エグレストラフィックメタデータの前記発信元ＩＰアドレスをネットワークデバイスメタデータと照合して、エグレスデータパケットの少なくとも１つの発信元デバイスを特定するコードセグメントと、
前記エグレストラフィックメタデータと前記ネットワークデバイスメタデータとに基づいて前記少なくとも１つの発信元デバイスへの危殆化アクティビティレベルを求めるコードセグメントと、
前記求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作するコードセグメントと、
をコードセグメントとして含む、ネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
【請求項27】
前記エグレストラフィックメタデータは、所与の閾値を越えるデータレートについて分析される、
請求項２６に記載のネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
請求項２６に記載のネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
【請求項28】
前記エグレストラフィックメタデータは、前記エグレストラフィックの頻度及び前記エグレストラフィックのパターンのうちの少なくとも一方について分析される、
請求項２６に記載のネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
請求項２６に記載のネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
【請求項29】
前記ネットワークデバイスメタデータは、前記デバイスの重大性について分析される、
請求項２６に記載のネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
請求項２６に記載のネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
【請求項30】
前記疑わしい宛先メタデータは、脅威の深刻度について分析される、
請求項２６に記載のネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
請求項２６に記載のネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
【発明の詳細な説明】
【背景技術】
【0001】
コンピューター及びコンピューターのネットワークは、コンピューター及び／又はネットワークデバイスに不正アクセスするエンティティ（多くの場合に「ハッカー」と呼ばれる）によるますます高度な攻撃を受けている。より具体的には、ハッカーは、コンピューター、スマートフォン、タブレット、及びネットワークデバイス等のデバイスに許可なくアクセスし、多くの場合、損害を生じさせ、システムを破壊し、データを盗み、データを人質にし、又はそれ以外に、許可されているユーザーによるこれらのデバイスへのアクセスの制限を行う。ハッカーのツール、戦術、技法、及び手順は、高度化が急速に進んでおり、初期の危殆化（compromise）、コマンド及び制御からのアクティビティと、永続化と、並びにデータ流出とを、サイバーセキュリティチームやＩＴチーム、及びそれらのチームが利用する従来のツールに検知されずに行うことが可能になっている。ハッカーは、従業員及び個人ユーザーを欺いて、悪意のある添付ファイル又はリンクを開かせ、センシティブな個人や企業データ、又はユーザーのクレデンシャル（credentials）を自由に提供させる攻撃ベクトルの作成技術を身につけている。攻撃ベクトルは、マルウェア及びウイルスの共有、悪意のある電子メール添付ファイル及びウェブリンク、フィッシング、ポップアップウィンドウ、テキストメッセージ、並びにインスタントメッセージを含む。
【0002】
マルウェアは、コンピューター、サーバー、クライアント若しくはコンピューターネットワークに混乱を引き起こしたり、プライベート情報を漏洩させたり、情報若しくはシステムに不正アクセスしたり、或いは情報へのアクセスを剥奪するように意図的に設計された任意のソフトウェアであり、又はユーザーのコンピューターセキュリティ及びプライバシーに対して、気付かれずに妨害を与える任意のソフトウェアである。マルウェアのタイプには、コンピューターウイルス、ワーム、トロイの木馬、ランサムウェア、スパイウェア、アドウェア、不正ソフトウェア、ワイパー及びキーロガーなどがある。
【0003】
ハッキング及びマルウェアに対抗する従来の防御戦略として、ネットワークファイアウォールの使用、マルウェア及びウイルスを検出するエンドポイントエージェントの使用、並びにセキュリティ情報イベント管理（ＳＩＥＭ：security information and event management）ツールへの集約のためのログデータの収集等を挙げられる。アンチウイルスソフトウェア及びアンチマルウェアソフトウェアは、通常、ハッキング行為に関連した挙動を検出するように設計された既知のハッシュタグ又は署名によってウイルス又はマルウェアの特定を試みる。しかしながら、これらのソフトウェアは、これまで以上に高度化したマルウェアが開発されると、検出能力のデータベースをメンテナンスし、及び定期的に更新することに依拠している。そのようなソフトウェアは、ハッカーが同じツールを使用して自身の悪意のあるコードをテストし、自身のコード又は技法が検出を逃れるか否かを判断することができるため、その使用がますます制限されている。対照的に、ファイアウォールは、着信（イングレス：ingress）ネットワークトラフィック及び発信（エグレス：egress）ネットワークトラフィックを所定のセキュリティルールに基づいて監視及び制御するセキュリティシステムである。一部のファイアウォールは、ネットワークトラフィックに対して分析を行って、悪意のあるファイル又は許可されていないユーザーアクティビティを特定する能力も有する。しかしながら、これらの方法は、十分にトレーニングされたセキュリティチームがアラートを点検及び処理して、真の攻撃を誤検出と区別することを必要とする傾向がある。ファイアウォールは、信頼できる（「プライベート」）デバイス又はデバイスのネットワークと、インターネット等の信頼できない（「パブリック」）ネットワークとの間にセキュリティバリアを確立する。しかしながら、ハッカーは、より高度なトラフィック検査能力がなければ分析することができない暗号化された通信チャネルの使用をますます増やしているため、ファイアウォールは、試行されるハッキングのすべてを防止することはできるとは限らない。
【0004】
様々なタイプのネットワーク監視ツールが、ネットワークアクティビティについてのデータを収集及び分析するのに使用される。これらのツールの中に、「Ｓｙｓｌｏｇ」及び「ＮｅｔＦｌｏｗ」がある。これらのツールは同様の目的に応えるものではあるが、両者の間にはいくつかの重要な相違がある。Ｓｙｓｌｏｇは、システムログメッセージをあるデバイスから他のデバイスに転送するのに使用される標準的なプロトコルである。Ｓｙｓｌｏｇは、主として、ルーター、スイッチ、及びサーバー等の様々なネットワークデバイスからのログデータの収集に使用される。Ｓｙｓｌｏｇメッセージは、セキュリティアラート、システムエラー、及び他のメッセージといった、デバイスで生じたイベントについての情報が含まれる。データは、テキストファイルに記録され、様々なツールを使用して分析することができる。
【0005】
他方、ＮｅｔＦｌｏｗは、Cisco社によって開発されたネットワークプロトコルであり、トラフィック分析及びネットワーク監視に使用される。ＮｅｔＦｌｏｗは、ネットワークトラフィックフローについての情報を収集及び記録し、この情報には、送信元アドレス及び宛先アドレス、トラフィックのタイプ、並びに転送されるデータの量が含まれる。ＮｅｔＦｌｏｗは、ネットワーク使用パターンの特定、ネットワーク性能の監視、及びセキュリティ脅威の検出を行うのに使用される。
【0006】
類似点に関して言えば、Ｓｙｓｌｏｇ及びＮｅｔＦｌｏｗの双方は、ネットワークアクティビティについてのデータを収集及び分析するのに使用され、ともにネットワークの監視及び管理において広く使用される。Ｓｙｓｌｏｇ及びＮｅｔＦｌｏｗは、ネットワーク性能、セキュリティ、及び使用パターンに対する貴重な洞察を与える。一方、両者の間の主な相違は、Ｓｙｓｌｏｇがログデータの収集に焦点を当てている一方、ＮｅｔＦｌｏｗはネットワークトラフィック分析に焦点を当てているという点である。Ｓｙｓｌｏｇ及びＮｅｔＦｌｏｗの双方は、ネットワークの監視及び管理の重要なツールであるが、異なる目的に応えるものである。Ｓｙｓｌｏｇは、ネットワークデバイスからのログデータを収集するのに使用される一方、ＮｅｔＦｌｏｗは、ネットワークトラフィックフローを分析するのに使用される。
【0007】
Ｓｙｓｌｏｇ及びＮｅｔＦｌｏｗに代わってネットワークの監視及び管理を行う多くの代替物が存在し、それぞれはそれ自身の強み及び弱みを有する。これらのものには、ｓＦｌｏｗ；簡易ネットワーク管理プロトコル（ＳＮＭＰ：Simple Network Management Protocol）；ＥＬＫスタック；Ｇｒａｙｌｏｇ；及びＷｉｒｅｓｈａｒｋが含まれる。ツールの選択は、組織の特定のニーズ、監視されているネットワークのタイプ、及び分析に必要とされる詳細レベルに依存する。
【0008】
用語「初期アクセス（initial access）」は、ハッカー（別名は、侵入者、脅威アクター等）がネットワーク防御策を迂回し、コンピューターネットワーク又はコンピューターシステムに入る時を指す。初期アクセスは、サムドライブ又はフラッシュドライブを介してマルウェアをコンピューター内に導入することによって達成される場合もある。ネットワークアクティビティに基づいて、アクセスを検出し、或いはアクセスを防止及び／又はブロックすることを試みる多くのツールが開発されてきた。このツールには、侵入検知ツール及びファイアウォール（ＩＤＳ）、侵入防止ツール及びファイアウォール（ＩＰＳ）、マルウェア防御（例えば、アンチマルウェア、アンチウイルス）、エンドポイントの検出と対応（ＥＤＲ：Endpoint Detections and Response）、管理された検出と対応（ＭＤＲ：Managed Detection and Response）等が含まれる。これらの保護対策は、ネットワーク又はペリメーター（perimeter）に焦点を当てる傾向があるが、初期アクセスの検出、防止又は是正を行うには十分でない場合がある。コンピューターネットワーク及び／又はコンピューターシステムへの初期アクセスに成功したハッカーは、侵入者又は「脅威アクター」とみなされる。ますます多くの産業グループ及び専門家が、従来技術ツールによる保護対策（ネットワーク又はペリメーター、及び他の対策）がプライベートネットワークの安全を確保するのに十分でないことを確信している。
【0009】
国防総省（ＤＯＤ：Department of Defense）は、「脅威アクター」がネットワークシステム、コンピューター又はデバイスに既に存在し得ることを前提とする彼らの「ゼロトラスト戦略」に関する公開用の文書（「DoD Zero Trust Strategy」(Department of Defense, October 21, 2022, Cleared for Open Publication November 7, 2022, Office of Prepublication and Security Review））を２０２２年１１月７日に明らかにした。これは、侵入者を理解して対処する全く新しい解決体系の必要性を提案している。
【0010】
データ侵害（data breach）の論題は、IBM/Ponemon Instituteを含む多くの組織によって何年にもわたって研究されてきた。「データ侵害のコストレポート」（「Cost of a Data Breach Report 2022」という題名の報告書（IBM Corporation, July 2022））において、IBM/Ponemon Instituteは、データ侵害を検出する平均時間は２０７日であることを示唆している。IBM/Ponemon Instituteは、データ侵害によって引き起こされる損害を評価するとき、データ侵害の継続時間も考慮しなければならないことに言及している。残念なことに、データ侵害又は他のネットワークシステム危殆化の早期検出を提供する効率的且つ効果的な解決策は、従来技術では実現できていない。
【0011】
従来技術のこれらの限界及び他の限界は、以下の説明を読み、図面のいくつかを検討することで当業者に明らかになる。
【発明の概要】
【0012】
ネットワーク危殆化アクティビティ監視システムは、ネットワークコネクタと、危殆化アクティビティアナライザと、危殆化ディフェンダーとを含む。前記ネットワークコネクタは、パブリックネットワークポートと、少なくとも１つのプライベートネットワークポートと、前記ネットワークコネクタのデータパケットトラフィックに関する関連付けられたネットワークコネクタトラフィックログと、を有し、前記少なくとも１つのプライベートネットワークポートに流入し、前記パブリックネットワークポートから流出するデータパケットは、エグレストラフィックであり、前記パブリックネットワークポートに流入し、前記少なくとも１つのプライベートネットワークポートから流出するデータパケットは、イングレストラフィックである。前記危殆化アクティビティアナライザは、疑わしい宛先（suspect destination）メタデータと、エグレストラフィックメタデータと、ネットワークデバイスメタデータとにアクセスし、前記疑わしい宛先メタデータと、前記エグレストラフィックメタデータと、前記ネットワークデバイスメタデータとに少なくとも部分的に基づいて、前記少なくとも１つのプライベートネットワークポートに結合された１つ以上のデバイスの危殆化アクティビティレベルを求めるように動作する。前記危殆化ディフェンダーは、前記１つ以上のデバイスの前記求められた危殆化アクティビティレベルに応じて、少なくとも１つのルールに従ってブロック、アラート及び通知のうちの少なくとも１つを行うように動作する。
【0013】
ネットワークデバイス危殆化アクティビティアナライザが、プロセッサと、（ａ）ファイアウォールのエグレストラフィックの発信元インターネットプロトコル（ＩＰ）アドレスと宛先ＩＰアドレスとを有する少なくともエグレストラフィックメタデータを含むファイアウォールトラフィックメタデータを取り出すことと、（ｂ）前記エグレストラフィックメタデータの前記発信元ＩＰアドレスをネットワークデバイスメタデータと照合して、エグレスデータパケットの少なくとも１つの発信元デバイスを特定することと、（ｃ）前記エグレストラフィックメタデータの前記宛先ＩＰアドレスを疑わしい宛先メタデータと照合して、前記エグレスデータパケットの疑わしい宛先を特定することと、（ｄ）前記エグレストラフィックメタデータと、前記ネットワークデバイスメタデータと、前記疑わしい宛先メタデータとに基づいて、前記少なくとも１つの発信元デバイスに関する危殆化アクティビティレベルを求めることと、（ｅ）前記求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作することと、を行う、前記プロセッサ上で実行可能なコードセグメントを含む、前記プロセッサと結びつくメモリとを備える。
【0014】
ネットワークデバイスの危殆化アクティビティを監視するための、コンピューターに実装される方法である。この方法は、デジタルプロセッサとメモリとを含む危殆化アクティビティアナライザにファイアウォールトラフィックメタデータを提供することであって、前記ファイアウォールトラフィックメタデータは、ファイアウォールのエグレストラフィックの発信元インターネットプロトコル（ＩＰ）アドレスと宛先ＩＰアドレスとを有する少なくともエグレストラフィックメタデータを含むことと、前記エグレストラフィックメタデータの前記発信元ＩＰアドレスをネットワークデバイスメタデータと照合して、エグレスデータパケットの少なくとも１つの発信元デバイスを特定することと、前記エグレストラフィックメタデータの前記宛先ＩＰアドレスを疑わしい宛先メタデータと照合することと、前記エグレストラフィックメタデータと、前記ネットワークデバイスメタデータと、前記疑わしい宛先メタデータとに基づいて前記少なくとも１つの発信元デバイスへの危殆化アクティビティレベルを求めることと、前記求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作することと、を含む。
【0015】
ネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体である。上記コードセグメントは、ファイアウォールのエグレストラフィックの発信元インターネットプロトコル（ＩＰ）アドレスと宛先ＩＰアドレスとを有する少なくともエグレストラフィックメタデータを含むファイアウォールトラフィックメタデータを提供するコードセグメントと、前記エグレストラフィックメタデータの前記発信元ＩＰアドレスをネットワークデバイスメタデータと照合して、エグレスデータパケットの少なくとも１つの発信元デバイスを特定するコードセグメントと、前記エグレストラフィックメタデータと前記ネットワークデバイスメタデータとに基づいて前記少なくとも１つの発信元デバイスへの危殆化アクティビティレベルを求めるコードセグメントと、前記求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作するコードセグメント、とを含む。
【0016】
例示の実施の形態の利点は、ネットワークコネクタを通過するトラフィックを調べることによってサーバー及びコンピューター等のネットワークデバイスの危殆化をタイムリーに検出することができることである。ネットワークコネクタの１つの表現は、ファイアウォールである。
【0017】
これらの実施の形態、特徴及び利点、並びに他の実施の形態、特徴及び利点は、以下の説明を読み、図面のいくつかの図を検討することで当業者に明らかになる。
【0018】
次に、いくつかの例示の実施形態を図面を参照して説明する。図面において、同様の構成要素には同様の参照符号が付される。例示の実施形態は、本発明の説明を目的としており、限定を意図するものではない。図面には、以下の図が含まれる。
【図面の簡単な説明】
【0019】
【図1】ネットワーク危殆化アクティビティ分析システムを有する第１の例示のパブリック／プライベートネットワークシステムのブロック図である。
【図2】ネットワーク危殆化アクティビティ分析システムの一例示のコンピュータープラットフォームのブロック図である。
【図3】複数のネットワーク危殆化アクティビティ分析システムを含む第２の例示のパブリック／プライベートネットワークシステムのブロック図である。
【図4】一例示のクラウドベースのネットワーク危殆化アクティビティ分析システムのブロック図である。
【図6】危殆化アクティビティアナライザによって実施される一例示のプロセスのフロー図である。
【図7】ファイアウォールトラフィックメタデータを提供する一例示のプロセスのフロー図である。
【図8】一例示のファイアウォールトラフィックログファイル及びファイアウォールトラフィックメタデータテーブルの説明図である。
【図9】エグレストラフィックメタデータの発信元ＩＰアドレスをネットワークデバイスメタデータと照合する一例示のプロセスのフロー図である。
【図10】一例示のネットワークデバイスメタデータテーブルの説明図である。
【図11】宛先ＩＰアドレスを疑わしい宛先メタデータと照合するプロセスの一例示のフロー図である。
【図12】例示の疑わしい宛先リスト及び疑わしい宛先メタデータテーブルの説明図である。
【図13】危殆化アクティビティレベルを求める一例示の方法論の説明図である。
【図14】ネットワークポートメタデータテーブルの説明図である。
【図15】フィボナッチ数列と、関連付けられた通信数調整値及びボリューム調整値とを有するテーブルである。
【図16】求められた危殆化アクティビティレベルに基づいて少なくとも１つのルールに従って動作するプロセスの一例示のフロー図である。
【発明を実施するための形態】
【0020】
図１において、例示されるネットワークシステム１０は、プライベートネットワーク１２と、パブリックネットワーク１４と、ネットワーク危殆化アクティビティ分析システム１６とを含む。この例では、プライベートネットワーク１２は、例えば民間企業のローカルエリアネットワーク（ＬＡＮ：local area network）であり、パブリックネットワーク１４は、インターネット等のワイドエリアネットワーク（ＷＡＮ：wide area network）である。パブリックネットワーク１４は、クラウドファイアウォール、仮想プライベートネットワーク（ＶＰＮ：virtual private network）、クラウドコンピューティング、ソフトウェアアズアサービス（ＳａａＳ：software as a service）、クラウドデータストレージ等の複数のクラウドサービスを提供することができる。ネットワーク危殆化アクティビティ分析システム１６も、この例では、ファイアウォール１８と、危殆化アクティビティアナライザ２０と、統合された危殆化ディフェンダーモジュールＣＤＭとを含む。他の実施形態では、ＣＤＭは、危殆化アクティビティアナライザ２０から分離したものとすることができ、例えば、インターネット１４上のソフトウェアアズアサービス（ＳａａＳ）として提供されてもよい。
【0021】
ネットワークシステム１０のデバイス間の通信は、データパケットのコンテンツと、発信元と、宛先とについての情報を提供するヘッダー（及び場合によってはトレーラー及び／又はフッター）を有するデジタルデータパケットを含む。例えば、インターネットプロトコル（ＩＰ：Internet Protocol）パケットは、パケットがどこからのものであるのか（その送信元ＩＰアドレス）と、パケットがどこに向かっているのか（宛先ＩＰアドレス）と、パケットがどれくらいの大きさであるのかと、ネットワークルーターがパケットをドロップする前にどれくらいの期間パケットを転送し続けるべきであるのかと、についての各情報を含むヘッダーを有する。ヘッダーは、パケットを断片化することができるか否かを示すこともあり、断片化されたパケットの再組み立てについての情報を含むこともある。
【0022】
プライベートネットワーク（ＬＡＮ）１２は、これには限られないがこの例では、複数のデバイスを含み、これらのデバイスには、ルーター２２と、ハブスイッチ２４と、プリンター２６と、複数のサーバー２８Ａ～２８Ｎと、スイッチ３０と、複数のワークステーション３２Ａ～３２Ｎと、ＷｉＦｉルーター３４と、コンピューター３６、タブレット３８及びモバイルフォン４０という３つが例示されたＷｉＦｉ対応デバイスと、が含まれる。ＬＡＮ１２において例示されたこれらのデバイスのそれぞれは、割り当てられたインターネットプロトコル（ＩＰ）アドレスを有しており、これらのアドレスは、静的な場合もあれば、動的な場合もある。例えば、コンピューター３６、タブレット３８及びモバイルフォン４０等のＷｉＦｉ接続デバイスがＷｉＦｉルーター３４に接続されるときには、それらに動的ＩＰアドレスが割り当てられることがある一方、サーバー２８Ａ～２８Ｎには静的ＩＰアドレスが割り当てられることがある。プライベートネットワーク１２の様々なデバイスは一般に、プライベートネットワーク内で自由に通信することができ、ファイアウォール１８を介してパブリックネットワーク１４と通信することができる。
【0023】
この例では、ファイアウォール１８は、Cisco Systems社、WatchGuard社、Fortinet社及びBarracuda Networks社を含む複数の製造業者から入手可能な市販のハードウェアファイアウォールである。代替の実施形態では、ファイアウォール１８は、サーバー上、コンピューター上、又はクラウド内（例えば、インターネット１４上のクラウドファイアウォール内）で動作するソフトウェアとして実現することができる。ファイアウォール１８は、複数のモジュールを含んでおり、これらのモジュールには、或る特定のデータパケットをブロックするパケットブロッキング（ＰＢ：packet blocking）モジュールと、ＰＢモジュールを制御するファイアウォールロジック（ＦＬ：firewall logic）モジュールと、ＦＬモジュールによって使用されるファイアウォールルール（ＦＲ：firewall rules）モジュールと、プライベートＬＡＮ１２に接続されたデバイスのＩＰアドレスをマスクするマスキング（ＭＡ：masking）モジュールと、ファイアウォールトラフィックログ（ＦＴ：firewall traffic log）モジュールとが含まれる。他の例では、ファイアウォールは、パブリックネットワークポートと、少なくとも１つのプライベートネットワークポートとを有する任意のハードウェアネットワーキングデバイス又は仮想ネットワーキングデバイスで構成することができる。
【0024】
ファイアウォール１８の重要な目的は、プライベートＬＡＮ１２とパブリックＷＡＮ１４との間での悪意のあるコード又は許可されていないデータの転送を防止することである。ファイアウォール１８は、これを複数の方法で行う。１つの方法では、ＭＡモジュールは、通常、ネットワークアドレス変換（ＮＡＴ：network address translation）として知られているプロセスを使用して、ＬＡＮ１２のデバイスのＩＰアドレスをパブリックネットワークからマスクすることができる。このプロセスの結果、ＬＡＮ上のデバイスには、公的にアドレス指定可能な（publicly addressable）ＩＰアドレスの代わりにプライベートＩＰアドレスが割り当てられる。これは、同じプライベートＩＰアドレスが世界中で数百万個のデバイスによって利用されるおそれがあるので、多くの場合、セキュリティ分析ツールに難題を提起する。また、ＦＬモジュールは、送信元ＩＰアドレス及び宛先ＩＰアドレス、ポート番号、タイプ等についてデータパケットを検査し、ＦＲモジュールからの一組のルールを使用して、或る特定のデータパケットがＷＡＮからＬＡＮへ転送されること、及び、場合によってはその逆方向へ転送されることをパケットブロッキングモジュールＰＢを用いて阻止する。
【0025】
図１に例示されたファイアウォール１８は、ＷＡＮ１４に接続されたパブリックネットワークポート４２と、ＬＡＮ１２に接続されたプライベートネットワークポート４４とを備えている。パブリックネットワークポート４２及びプライベートネットワークポート４４は、通常、ＩＥＥＥ８０２．３標準規格に準拠した入力／出力（Ｉ／Ｏ：Input/Output）ポートであり、一般にＥｔｈｅｒｎｅｔ（イーサネット）ポートと呼ばれる。他のファイアウォールは、異なるＩ／Ｏポート構成を有し、例えば、多くのハードウェアファイアウォールは、ルーター２２の必要性を補足又は代替する複数のプライベートネットワークポートを有する。上述したように、ＷＡＮ１４からパブリックネットワークポート４２に送信されたあらゆるデータパケットが、ファイアウォール１８を通過してＬＡＮ１２に入ることを許可されるとは限らない。さらに、ある場合には、ＬＡＮ１２からネットワークポート４４に送信されたあらゆるデータパケットが、ファイアウォール１８を通過してＷＡＮ１４に入ることを許可されるとは限らない。ＦＲモジュールは、一般に、どのデータパケットがファイアウォールを流通することを許可されるのか、及び、どのパケットがブロックされるのかを管理するルールテーブルを含む。
【0026】
上述したように、ファイアウォール１８は、ＬＡＮ１２のデバイスとＷＡＮ１４のデバイスとの間での進行中の交換を容易にするために、本明細書で「ファイアウォールトラフィック」と呼ばれるか又は図１では「ＦＴ」とされている、データパケットトラフィックに関するログデータを少なくとも一時的に記録するＦＴモジュールを含む。ＷＡＮ１４に向けてポート４２から送信されるデータパケットは、本明細書では「エグレスデータパケット」などと呼ばれ、図１では「Ｅ」のラベルが付けられ、ＬＡＮ１２に向けてポート４４から送信されるデータパケットは、本明細書では「イングレスデータパケット」などと呼ばれ、図１では「Ｉ」のラベルが付けられている。エグレスデータパケットは、パケットの発信元としてのＬＡＮデバイスのＩＰアドレスのマスクされたバージョンと、このパケットの送信先のＷＡＮ１４上のデバイスのＩＰアドレスとを有する。逆に、イングレスデータパケットは、その発信元としてのＷＡＮ１４上のデバイスのＩＰアドレスと、このパケットの移動先のＬＡＮデバイスのＩＰアドレスのマスクされたバージョンとを有する。
【0027】
危殆化アクティビティアナライザ２０は、本例では、プロセッサとメモリとを含むデジタルロジックシステムであり、メモリは、ファイアウォールトラフィックメタデータ（ＦＴＭ：firewall traffic metadata）モジュールと、ネットワークデバイスメタデータ（ＮＤＭ：network device metadata）モジュールと、危殆化アクティビティ分析（ＣＡＡ：compromise activity analysis）モジュールと、危殆化ディフェンダーモジュール（ＣＤＭ：compromise defender module）と、疑わしい宛先メタデータ（ＳＤＭ：suspect destination metadata）モジュールとを有する。ＦＴＭモジュールは、ファイアウォール１８との直接通信（例えばＥｔｈｅｒｎｅｔ接続を介した）、又は間接通信（例えば、破線によって示されたＷＡＮ１４を介した）のいずれかによって、そのデータをファイアウォール１８のＦＴモジュールから得る。ＮＤＭモジュールは、任意選択で、デバイス用のメタデータを当該デバイスのＩＰアドレスによって取り出すことができるように、コンテンツアドレス指定可能メモリ（ＣＡＭ：content-addressable memory）等のコンテンツアドレス指定可能フォーマットにネットワークデバイスメタデータを記録することができる。ＣＡＡモジュールは、ＦＴＭモジュール及びＮＤＭモジュールからのメタデータを使用して、デバイス危殆化インデックス（ＤＣＩ：device compromise index）をプライベートネットワーク１２における、様々なサーバー、コンピューター、及び他のデバイスに割り当てる。ＣＤＭモジュールは、ネットワークデバイスのＤＣＩを使用して、システム危殆化の脅威に対処する適切な動作を行う。ＣＤＭモジュールは、この実施形態では、危殆化アクティビティアナライザ２０の一部をなしているが、危殆化アクティビティアナライザと通信する別個のモジュールであってもよい。ＳＤＭモジュールは、脅威レベル、脅威のタイプ等を含むメタデータとともに、疑わしい宛先のＩＰアドレスを含む。ＳＤＭメタデータは、パブリックネットワーク１４に設けられたデータベースを含む多様なソースから補う（supplement）ことができる。
【0028】
危殆化アクティビティアナライザ２０は、エグレストラフィックメタデータと、ネットワークデバイスメタデータと、疑わしい宛先メタデータとを含むいくつかのソースからのメタデータを使用することに留意されたい。当業者によく知られているように、メタデータは、データパケットの発信元、構造及び特性、デバイス、ネットワークエンドポイント等の他のデータを記述するデータである。メタデータが取る形は変化することができるが、多くの場合には、ファイル、アレイ、テーブル又はリストの形になっている。例えば、エグレストラフィックメタデータ、例えば、送信元のＩＰアドレス、宛先のＩＰアドレス、パケット重大性、パケットサイズ、ポート番号等は、エグレストラフィックのパケットヘッダーから得ることができる。ネットワークデバイスデータは、便宜上、本明細書では危殆化変換テーブル（ＣＴＴ：Compromise Translation Table）と呼ばれることがあるテーブルとして作成され、ＩＰアドレス（複数の場合もある）、ＭＡＣアドレス（複数の場合もある）、プライベートポート＃、デバイス名、機能、脆弱点、ユーザー、グループ等のフィールドを含む。疑わしい宛先メタデータも、既知のバッドアクターのＩＰアドレス（複数の場合もある）、そのＩＰアドレス（複数の場合もある）に関連付けられた脅威のタイプ、脅威の深刻度等を有するテーブルとして配列することができる。様々なメタデータ構造体は、便宜上、図２のＣＡＭ５３等のコンテンツアドレス指定可能メモリ（ＣＡＭ）に記録することができる。例えば、疑わしい宛先メタデータをＣＡＭに記録することによって、エグレストラフィックの各宛先アドレスは、疑わしい宛先メタデータ（数千のＩＰアドレスを含むことができる）を高速に検索して一致するものを得ることができる。他の検索及びメタデータのデータ構造体は当業者によく知られている。
【0029】
図２には、危殆化アクティビティアナライザ２０の別の実施態様が、限定ではなく例として示され、この実施態様は、ローカルバス４６と、高速スタティックランダムアクセスメモリ（ＳＲＡＭ：Static Random Access Memory）キャッシュメモリ５０によってローカルバス４６に結合された中央処理装置（ＣＰＵ：Central Processing Unit）４８とを含む。ダイナミックランダムアクセスメモリ（ＤＲＡＭ：Dynamic Random Access Memory）１次（primary）又は「メイン」メモリ５２が、キャッシュメモリ５０及びバス４６に結合されている。コンテンツアドレス指定可能メモリ（ＣＡＭ）５３又は他のコンテンツ検索可能（content-searchable）データ記録装置も、或る特定の実施形態において設けることができる。基本入出力システム（ＢＩＯＳ：Basic Input / Output System）５４はバス４６に結合されており、パワーオンリセット５６によってこれをリセットすることができる。危殆化アクティビティアナライザ２０は、「フラッシュ」メモリ又はハードドライブ等の不揮発性メモリ５８、ネットワークインターフェース６０、及び他の入力／出力（Ｉ／Ｏ）インターフェース６２も含む。これは、危殆化アクティビティアナライザの適したアーキテクチャの１つにすぎないことが理解されるであろう。例えば、危殆化アクティビティアナライザ２０は、ファイアウォール１８内に統合することもできるし、サーバー上に実装することもできるし、インターネット１４上のクラウドコンピューティングにより提供することもできる。
【0030】
図３は、複数のプライベートネットワーク６４Ａ、６４Ｂ、及び６６と、パブリックネットワーク（例えば、インターネット）１４とを含む、一例となるネットワークシステム１０’を示している。プライベートネットワーク６４Ａ及び６４Ｂは、この例では、企業イントラネット等であり、ネットワーク６６は、ソフトウェアアズアソリューション（ＳａａＳ：Software as a Solution）サービスを顧客に提供するサービスプロバイダーネットワークである。例えば、サービスプロバイダーネットワーク６６は、企業（別名、顧客）等に関連付けられた企業ネットワーク６４Ｂと、パブリックネットワーク１４上のプライベート仮想ネットワークと、に対してネットワーク危殆化アクティビティ監視を提供することができる。
【0031】
この例では、ネットワークは、ネットワークコネクタ、又は単なる「コネクタ」によって互いに結合されている。ネットワークコネクタをよく表している特徴は、ネットワークコネクタが１つ以上のプライベートネットワークポートと、パブリックネットワークポートと、コネクタトラフィックログ（ＣＴＬ：connector traffic log）のデータを提供する能力とを有するということである。例えば、ネットワークコネクタは、Ｓｙｓｌｏｇデータ構造で収集されるロギングプロトコル（Ｓｙｓｌｏｇ）メッセージを提供することができる。付加的に、又は代替的に、Ｎｅｔｆｌｏｗデータが使用されてもよい。
【0032】
ネットワークシステム１０’における使用に適したコネクタとして複数のタイプが存在する。前述のファイアウォールは、ファイアウォール（コネクタ）トラフィックメタデータの基礎を提供するために、ファイアウォール（コネクタ）トラフィックログメッセージを、Ｓｙｓｌｏｇ、Ｎｅｔｆｌｏｗ、又はその他のデータ構造でそこでは記録される、そのようなネットワークコネクタの例となる。コネクタの他の例は、パブリックネットワークポート及び１つ以上のプライベートネットワークポートをともに有するとともに、ルータートラフィックメタデータ収集能力を有するネットワークルーターである。したがって、本明細書で使用されるように、「ネットワークコネクタ」又は単なる「コネクタ」は、パブリックネットワークポートと、１つ以上のプライベートネットワークポートと、コネクタトラフィックメッセージ又はログ（ＣＴＬ）を提供する能力とを有するネットワークデバイスとして定義される。
【0033】
この例では、プライベートネットワーク６４Ａは、ネットワーク６４Ａのデバイスに結合される１つ以上のプライベートネットワークポート６９Ａと、危殆化アナライザ７０及びパブリックネットワーク１４に結合されるパブリックネットワークポート６９Ｂとを有するネットワークコネクタ６８Ａ（ＣＴＬモジュールを含む）を含む。この構成は、図１に示すものと同様であり、危殆化アナライザ７０（ＣＴＭモジュールを含む）は、ネットワークコネクタ６８Ａの近く又はネットワークコネクタ６８Ａ内に物理的に配置することもできるし、例えば、パブリックネットワーク１４上の実デバイス又は仮想デバイスとして、ネットワークコネクタ６８Ａから離れた場所に配置することもできる。
【0034】
また、この例では、プライベートネットワーク６４Ｂは、プライベートネットワーク６４Ｂのデバイスに結合される１つ以上のプライベートネットワークポート７１Ａと、パブリックネットワーク１４及びサービスプロバイダーネットワーク６６の危殆化アナライザ７６（ＣＴＭモジュールを含む）に結合されるパブリックネットワークポート７１Ｂとを有するネットワークコネクタ６８Ｂ（ＣＴＬモジュールを含む）を含む。危殆化アナライザ７６には、プライベートネットワークポート７７Ａを有する仮想ネットワークコネクタ７８（ＣＴＬモジュールを含む）のパブリックネットワークポート７７Ｂも結合される。これには限られないがこの例では、プライベートネットワークポート７７Ａは、危殆化アナライザ７６によって監視することができるモバイルデバイス７９に結合される。
【0035】
本明細書で説明された一例としてのネットワーク危殆化アクティビティ監視システムは、プライベートネットワークシステムが実際に侵害される前に行われる可能性のある危殆化アクティビティを検出することができるという利点を有することが理解されるであろう。重要な情報源は、インターネットデータパケットの「レイヤ３」すなわちネットワークレイヤを一般に反映するエグレストラフィックメタデータである。特に、レイヤ３は、中間ルーターの間の全てのパケット転送を担当する。危殆化アクティビティに関する非常に有用な情報をエグレストラフィックメタデータのみから見つけることができるが、これをネットワークデバイスメタデータ（例えば、前述したＣＴＴテーブル）、及び疑わしい宛先メタデータで補完することによって、検出プロセスが大幅に強化される。
【0036】
危殆化アクティビティの検出及び分析は、以下のものを含む侵害の潜在的な指標を監視することができる。
・新しい通信パターン
・既知の脅威ホストとの通信
・ビーコニング（beaconing）タイプ又はコールバックタイプのアクティビティ
・システムへの又はシステムからの異常なデータフロー
・非標準ポートにおける通信
・新たなＳａａＳサーバー又はアプリケーションサーバーとのインタラクション
・コマンド＆制御アクティビティ
・データアップロード／ストレージホストとの新たなインタラクション又は異常なインタラクション
・マルウェアのダウンロード又は追加のマルウェア（ブートストラッピングマルウェア／bootstrapping Malware）のダウンロードに使用される外部サーバーとの通信－「コールバックシステム」と呼ばれることがある
・ネットワーク及びシステムインフラストラクチャを特定するとともに、機密コンテンツも探すために監視を行っている脅威アクターとの通信（「コマンド及び制御」システム（サーバー又はラップトップシステム若しくはデスクトップシステムを使用する人）との通信と呼ばれることがある）
・進行中の監視アクティビティを提供することができるコード又はマルウェア（キーロガー、リモートアクセストロイ（ＲＡＴ：Remote Access Trojan）等）の植え付け（planting）
・データの破壊、データの暗号化、データの盗難又は流出。
・新しい通信パターン
・既知の脅威ホストとの通信
・ビーコニング（beaconing）タイプ又はコールバックタイプのアクティビティ
・システムへの又はシステムからの異常なデータフロー
・非標準ポートにおける通信
・新たなＳａａＳサーバー又はアプリケーションサーバーとのインタラクション
・コマンド＆制御アクティビティ
・データアップロード／ストレージホストとの新たなインタラクション又は異常なインタラクション
・マルウェアのダウンロード又は追加のマルウェア（ブートストラッピングマルウェア／bootstrapping Malware）のダウンロードに使用される外部サーバーとの通信－「コールバックシステム」と呼ばれることがある
・ネットワーク及びシステムインフラストラクチャを特定するとともに、機密コンテンツも探すために監視を行っている脅威アクターとの通信（「コマンド及び制御」システム（サーバー又はラップトップシステム若しくはデスクトップシステムを使用する人）との通信と呼ばれることがある）
・進行中の監視アクティビティを提供することができるコード又はマルウェア（キーロガー、リモートアクセストロイ（ＲＡＴ：Remote Access Trojan）等）の植え付け（planting）
・データの破壊、データの暗号化、データの盗難又は流出。
【0037】
ハッカーは、比較的温和な動機（自尊心、好奇心）からより邪悪な動機にまで及ぶ広範囲の動機を有する。危殆化アクティビティのパターンを検出することによるハッキングの早期検出は、以下のようなビジネス危殆化アクティビティの防止を助けることができる。
・潜在的「ランサムウェア」アクティビティ
・潜在的データ侵害（Data Breach）アクティビティ－ランサムウェアとともに使用されることもある
・潜在的データ損失－例えば、機密ビジネスデータ又は機密政府データ（機密扱い、ＣＵＩ、ＦＣＩ）－ランサムウェアとともに使用されることもある
・潜在的データ暗号化－ランサムウェアとともに使用されることもある
・データ又はシステムの潜在的破壊（「ハクティビスト（Hactivist）」、又は国家による防御システム若しくは重要なインフラストラクチャシステムへの攻撃）
・潜在的「ランサムウェア」アクティビティ
・潜在的データ侵害（Data Breach）アクティビティ－ランサムウェアとともに使用されることもある
・潜在的データ損失－例えば、機密ビジネスデータ又は機密政府データ（機密扱い、ＣＵＩ、ＦＣＩ）－ランサムウェアとともに使用されることもある
・潜在的データ暗号化－ランサムウェアとともに使用されることもある
・データ又はシステムの潜在的破壊（「ハクティビスト（Hactivist）」、又は国家による防御システム若しくは重要なインフラストラクチャシステムへの攻撃）
【0038】
例として、或る期間にわたる異常な通信を検出して、「正常状態」からの変化を検出することができる。例えば、新しい通信パターンを示す、又は通信数の突然の増加を示すデバイスを検出することができる。外部ホストとの通信のボリュームが突然増加したとき、大きなデータボリュームを検出することができる。例えば、通信が、履歴の標準から標準偏差で２だけ逸脱したときに、危殆化アクティビティの存在が検出される場合がある。リモートデスクトップ制御に使用されるポート３３８９等の疑わしいプライベートネットワークポートを用いたポート監視により、有用な危殆化アクティビティ情報が得られる。ビーコニングは、内部ホストと外部ホストとの間の周期的な通常の通信を指すが、場合によっては、危殆化アクティビティのマーカーとみなされる。
【0039】
図４は、コネクタ７４Ｂと危殆化アクティビティアナライザ７６とを含む一例となるクラウドベースのネットワーク危殆化アクティビティ分析システム１６’のブロック図である。この例では、コネクタ７４Ｂからのエグレストラフィックデータ８２が危殆化アクティビティアナライザ７６に入力され、処理されて、顧客プライベートネットワーク上の１つ以上のデバイスの危殆化アクティビティレベルが求められる。このタスクを行うために、危殆化アクティビティアナライザは、ネットワークデバイスメタデータを含む危殆化変換テーブル（ＣＴＴ）モジュール８４と、疑わしい宛先メタデータを含む外部データ指標モジュール８６と、ヒューリスティック分析及び統計分析を含む内部自動化分析モジュール８８と、エキスパートシステム分析及び／又はニューラルネットワーク分析を含む機械学習モジュール９０とを含む複数のモジュールに結合されている。危殆化アクティビティアナライザ７６とコネクタ７４Ｂとに結合された危殆化ディフェンダーモジュール（ＣＤＭ：Compromise Defender Module）９２も図４に示されている。ＣＤＭ９２は、自動化手動統合（Automated and Manual Integration）モジュール９４にも結合されている。ＣＤＭ９２は、この実施形態では危殆化アクティビティアナライザ７６から分離していることに留意されたい。
【0040】
引き続き図４を参照すると、一例となる危殆化アクティビティアナライザ７６は、ターゲットシステム関係ルックアップ（Lookup Relationship to Target Systems）モジュール９６と、トラフィック分析（Analyze Traffic）モジュール９８と、メタデータ抽出（Extract Metadata）モジュール１００とを含む。これらの３つのモジュールは、コネクタ７４Ｂからのエグレストラフィック８２を分析し、更なる分析に使用されるエグレストラフィックメタデータを構築する。例示の危殆化アクティビティアナライザ７６は、深刻度／影響の決定（Determine Severity/Impact）モジュール１０２と、危殆化リスク等級構築（Develop Compromise Risk Rating）モジュール１０４と、動作要否決定（Determine if Action is Required）モジュール１０６とを更に含む。これらの３つのモジュールは、ＣＴＴモジュール８４から受信したデバイスメタデータに少なくとも部分的に基づいて潜在的危殆化アクティビティを分析し、危殆化アクティビティのリスクを見積もり、何らかの抑止動作が必要とされるか否かを所定の経験則（ヒューリスティクス／heuristics）に基づいて判定する。後により詳細に説明されるように、モジュール１０６が、動作が必要とされると判定した場合には、危殆化ディフェンダーモジュール９２が活動を開始するようにすることができる。最後に、一例となる危殆化アクティビティアナライザ７６は、潜在的脅威アクターアクティビティ特定（Identify Potential Threat Actor Activity）モジュール１０８と、変則アクティビティ特定（Identify Anomalous Activity）モジュール１１０と、危殆化確率決定（Determine Compromise Probability）モジュール１１２とを更に含む。これらのモジュールは、モジュール８６～９０と通信し、危殆化リスク等級を構築するための入力をモジュール１０４に提供する。
【0041】
図５は、図４に例示された一例となる危殆化ディフェンダーモジュール（ＣＤＭ）９２のブロック図である。前述したように、危殆化ディフェンダーモジュール９２は、コネクタ７４Ｂと、危殆化アクティビティアナライザ７６と、自動化手動統合モジュール９４とに結合されている。この例では、危殆化ディフェンダーモジュール９２は、危殆化ディフェンダーエンジンモジュール１１４と、ＣＴＴ更新要否決定（Determine if Updates Required to CTT）モジュール１１６と、その他自動化手動統合インタラクション（Interact with Other Automated and Manual Integrations）モジュール１１８とを含む。これらの３つのモジュールは協働して、検出された危殆化アクティビティに対する対応を調整するとともに、必要に応じてデバイスメタデータ（ＣＴＴ）を更新する。危殆化ディフェンダーエンジンモジュール１１４は、アラート通知（Alerts and Notification）エンジンモジュール１２０も選択的に起動し、アラート通知エンジンモジュール１２０は、通知実行（Perform Notifications）モジュール１２２を選択的に起動し、通知実行モジュール１２２は、アラート維持更新（Maintain and Update Alerts）モジュール１２４を選択的に起動する。これらの３つのモジュールは、システムアドミニストレーター、デバイスアドミニストレーター、情報技術（ＩＴ：Information Technology）部署等にアラート及び通知を提供する。危殆化ディフェンダーエンジンモジュール１１４は、報告作成／更新（Create／Update Reporting）モジュール１２６も選択的に起動し、報告作成／更新モジュール１２６は、報告分配（Distribute Reporting）モジュール１２８を選択的に起動する。危殆化ディフェンダーエンジンモジュール１１４は、ブロッキングエンジンモジュール１３０を更に選択的に起動し、ブロッキングエンジンモジュール１３０は、エンドポイント隔離（Isolate Endpoint）モジュール１３２を選択的に起動し、エンドポイント隔離モジュール１３２は、法執行部報告（Report to Law Enforcement）モジュール１３４を選択的に起動し、法執行部報告モジュール１３４は、自動化科学捜査データ分析モジュール１３６を選択的に起動する。これらのモジュールは、サーバー等のネットワークデバイス（エンドポイント）を攻撃から隔離することによってエンドポイントの深刻な侵害に対応する。侵害を受けたエンドポイント（例えば、機密扱いの情報を含むサーバー）の気密性の程度に応じて、侵害が法執行部に自動的に報告される場合がある。危殆化ディフェンダーエンジンモジュール１１４は、緩和エンジン１３８も選択的に起動し、緩和エンジン１３８は、アクティブ危殆化監視（Monitor Active Compromise）モジュール１４０を選択的に起動し、アクティブ危殆化監視モジュール１４０は、エンドポイントパッチ（Patch Endpoint）モジュール１４２及び科学捜査データ収集トリガー（Trigger Forensics Data Collection）モジュール１４４を選択的に起動し、科学捜査データ収集トリガーモジュール１４４は、自動化科学捜査データ分析モジュール１３６を選択的に起動する。この場合に、疑わしい危殆化アクティビティを受けるネットワークデバイス（エンドポイント）は、「パッチ」、例えば新しいＩＰアドレスの再割り当てを受けて、問題を緩和することができる。
【0042】
図６は、例えば、図２の危殆化アクティビティアナライザ２０上で動作するコードセグメントによって実施されるプロセス１４６の一例を示す。プロセス１４６は、１４８から開始し、動作１５０において、危殆化アクティビティアナライザ２０は、ファイアウォールのエグレストラフィックの発信元インターネットプロトコル（ＩＰ）アドレスと宛先ＩＰアドレスとを有する、少なくともエグレストラフィックメタデータを含むファイアウォールトラフィックメタデータを受信する。ファイアウォールトラフィックメタデータは、ファイアウォールから受信することもできるし、ファイアウォールのエグレストラフィックの検査から得ることもできるし、他の任意の適した方法によって得ることもできる。次に、動作１５２において、危殆化アクティビティアナライザ２０は、エグレストラフィックメタデータの発信元ＩＰアドレスをネットワークデバイスメタデータと照合して、エグレスデータパケットの少なくとも１つの発信元デバイスを特定する。ネットワークデバイスメタデータは、自動化されたネットワークマッピングによって導出することもできるし、ネットワークアドミニストレーターによって提供されるテーブル等の形態とすることもできる。動作１５４において、危殆化アクティビティアナライザ２０は、エグレストラフィックメタデータの宛先ＩＰアドレスを疑わしい宛先メタデータと照合して、エグレスデータパケットの疑わしい宛先を特定する。疑わしい宛先メタデータは、時間をかけて得ることもできるし、第三者機関から取得することもできる。次に、動作１５６において、危殆化アクティビティアナライザ２０は、エグレストラフィックメタデータと、ネットワークデバイスメタデータと、疑わしい宛先メタデータとに基づいて、少なくとも１つの発信元デバイスに関する危殆化アクティビティレベルを求める。危殆化アクティビティレベルは、例えば、１～１０のスケールでスケーリングすることもできるし、低、中及び高のラベルを付けることでも決定できる。最後に、動作１５８において、危殆化アクティビティアナライザ２０は、求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作する。例えば、危殆化アクティビティレベルが低い場合は、無視することができ、危殆化アクティビティレベルが中程度の場合は、ネットワークデバイスのアドミニストレーターにその事実を報告することができ、危殆化アクティビティレベルが高い場合は、差し迫った脅威に対する自動化対応を行うことができる。様々な動作の例として、ブロック、アラート及び通知がある。
【0043】
図７は、図６の少なくともエグレストラフィックメタデータを含むファイアウォールトラフィックメタデータを受信するプロセス１５０’の一例を示すフロー図である。この例では、プロセス１５０’は、１６０から開始し、動作１６２において、現在のファイアウォールトラフィックメタデータファイルが存在するか否かが判定される。その結果が「はい（yes）」である場合には、ファイアウォールトラフィックメタデータファイルが動作１６４において取り出され、そうでない場合には、新しいファイアウォールトラフィックメタデータファイルが動作１６６において作成される。次に、動作１６８は、新しいファイアウォールトラフィックログデータが存在するか否かを判定する。存在する場合には、ファイアウォールトラフィックメタデータファイルは、動作１７０において更新される。存在しない場合、又は動作１７０の後に、プロセスは動作１７２を続け、動作１７２は、ファイアウォールトラフィックメタデータがエグレストラフィックメタデータを含むか否かを判定する。含まない場合には、プロセス制御は、動作１６８に戻り、新たなファイアウォールトラフィックログデータを待つ。含む場合には、動作１７４は、ファイアウォールトラフィックメタデータを配信し、プロセス１５０’は１７６において終了する。
【0044】
図８は、リスト１８０を含む一例となるファイアウォールトラフィックログファイル１７８、及び、テーブル１８４を含む一例となるファイアウォールトラフィックメタデータファイル１８２の説明図である。ファイアウォールトラフィックログリスト１８０は、これには限られないがこの例では、ファイアウォールによって生成されるシステムロギングプロトコル（Ｓｙｓｌｏｇ）メッセージから得ることができる。Ｓｙｓｌｏｇメッセージは、タイムスタンプと、深刻度等級と、デバイスＩＤ（ＩＰアドレスを含む）と、イベントに固有の情報とを含む。Ｓｙｓｌｏｇメッセージは、通常、ユーザーデータグラムプロトコル（ＵＤＰ：User Datagram Protocol）ポート５１４を介して送信される。ＵＤＰは、コネクションレスプロトコルとみなされており、メッセージの受信確認応答の送信も、到達の保証もされない。Ｓｙｓｌｏｇメッセージは、多くの場合に、人間が可読なフォーマットを有するが、これは必須ではない。そのヘッダーには、各Ｓｙｓｌｏｇメッセージは優先レベルを有し、この優先レベルは、メッセージを作成したデバイスのプロセスのコードと深刻度レベルとを組み合わせたものである。
【0045】
引き続き図８を参照すると、例示されたファイアウォールトラフィックメタデータファイルは、ファイアウォールトラフィックログ１８０に記録された大量のＳｙｓｌｏｇデータからメタデータを抽出したものである。例えば、テーブル１８４は、パブリックネットワーク上のデバイス（パブリックＩＰアドレスを有する）とプライベートネットワーク上のデバイス（プライベートＩＰアドレスを有する）との間の通信を表す行を有することができる。テーブル１８４の列は、これには限られないがこの例では、送信元ＩＰアドレス及び宛先ＩＰアドレスと、プライベートネットワークデバイスのポート情報と、パブリックネットワークデバイスのポート情報と、タイムスタンプと、エグレストラフィック及びイングレストラフィックのフラグと、他の関連要素とを含むことができる。エグレストラフィックメタデータ及びイングレストラフィックメタデータは、ファイアウォールトラフィックメタデータファイル１８２のサブセットとすることができることに留意すべきである。或いは、エグレストラフィックメタデータ及びイングレストラフィックメタデータは、それら自身のデータ構造を含むことができる。
【0046】
図９は、エグレストラフィックメタデータの発信元ＩＰアドレスをネットワークデバイスメタデータと照合する図６における動作１５２のフロー図１５２’の一例を示す。例示されたプロセス１５２’は１８６から開始し、動作１８８において、ファイアウォールからのエグレストラフィックの発信元ＩＰアドレスが、ファイアウォールトラフィックメタデータから抽出される。次に、動作１９０において、抽出された発信元ＩＰアドレスが、ネットワークデバイスメタデータと照合され、発信元デバイスが特定される。プロセス１５２’は、その後、１９２において終了する。
【0047】
図１０は、以下では危殆化変換テーブル（ＣＴＴ）１９４と呼ばれるネットワークデバイスメタデータファイル構造体１９４の一例である。これには限られないがこの例では、ＣＴＴ１９４は、様々なプライベートネットワークデバイス用の行と、それらのプライベートネットワークデバイスの様々な属性用の列とを有するテーブルとされる。プライベートネットワークデバイスの例として、サーバー、コンピューター、ルーター、周辺機器等がある。この例では、ＣＴＴの列によって提供されるネットワークデバイスの属性は、ネットワークデバイスのＩＰアドレス（複数の場合もある）と、媒体アクセス制御（ＭＡＣ：Media Access Control）アドレス（複数の場合もある）と、人間が可読な名称と、機能（複数の場合もある）と、脆弱点と、ユーザーと、グループと、他の属性とを含む。ＣＴＴ１９４は、例えばネットワークマッパーを使用して、その一部を自動的に入力することができるが、プライベートネットワークのシステムアドミニストレーターによって適したユーザーインターフェースを介して手動で補充される方が好ましい。
【0048】
図１１は、エグレストラフィックメタデータの宛先ＩＰアドレスを疑わしい宛先メタデータと照合してエグレスデータパケットの疑わしい宛先を特定する図６における動作１５４のフロー図１５４’の一例を示す。例示されたプロセス１５４’は１９６から開始し、動作１９８において、エグレストラフィックの宛先ＩＰアドレスが、ファイアウォールトラフィックメタデータから抽出される。次に、動作２００において、抽出された宛先ＩＰアドレスが、疑わしい宛先メタデータと照合され、エグレスパケットデータの疑わしい宛先が特定される。プロセス１５４’は、その後、２０２において終了する。
【0049】
図１２は、疑わしいＩＰアドレスのリスト２０６を含む疑わしい宛先ファイル２０４の一例と、テーブル２１０を含む疑わしい宛先メタデータファイル２０８の一例との説明図である。疑わしい宛先ファイルのリスト２０６は、静的である場合もあるし、動的である場合もあり、市販のリストを用いて入力される場合、手動によって入力される場合、経験則によって（ヒューリスティックによって）入力される場合等がある。これには限られないがこの例では、疑わしい宛先メタデータファイル２０８のテーブル２１０は、少なくとも一部を、疑わしい宛先リスト２０６から入力することができ、ＩＰ範囲（IP ranges）、脅威タイプ、深刻度等を含む追加のメタデータを補充することができる。
【0050】
図１３は、図６における動作１５６の危殆化アクティビティレベルを求めるための方法論１５６’の一例についての説明図である。方法論１５６’は、ホスト感度乗数テーブル２１２と、宛先ホストスコア係数テーブル２１４と、ポート重大性（Port Criticality）係数テーブル２１６と、懸念通信（Communications of Concern）テーブル２１８と、係数／値／結果テーブル２２０と、例示的なスコアパラメーター２２２と、例示的な調整済み危殆化懸念（compromise concern）計算値２２４とを含む。この例では、例示的なスコアパラメーターは、２３．７５が最小スコアで、１２３．７５が最大スコアであり、スコアはその後、１～１００のスケールに正規化される。調整済み危殆化懸念計算値２２４は、フィボナッチ数列に対して２つのスケールを使用して、通信数及び通信のデータボリュームの調整値を求める。その後、通信数調整値及びデータボリューム調整値の最大値が加重平均とともに使用されて、１と１００との間の危殆化懸念値（ＣＣＶ：compromise concern value）が計算される。１つ以上のルールを使用してＣＣＶから危殆化アクティビティレベル（ＣＡＬ：compromise activity level）を導出することができる。例えば、１≦ＣＣＶ＜２０である場合にはＣＡＬに値ＬＯＷ（低）を割り当て、２０≦ＣＣＶ＜８０である場合にはＣＡＬに値ＭＥＤＩＵＭ（中）を割り当て、８０≦ＣＣＶ≦１００である場合にはＣＡＬに値ＨＩＧＨ（高）を割り当てる、ようにすることができる。
【0051】
図１４は、ファイアウォールの１つ以上のプライベートネットワークポートに関するメタデータを含むテーブル２２８を含むネットワークポートメタデータファイル２２６の説明図である。図１３における方法論は、ポート重大性係数２１６を含むことに留意されたい。プライベートネットワークポート３３８９、１４３３、１５２１、１５３１、１５４１、３３０６等から供給される疑わしい宛先へのエグレストラフィックは全て、危殆化アクティビティレベルの懸念事項に考慮される。例えば、プライベートネットワークポート３３８９は、Ｗｉｎｄｏｗｓ ＲＤＰ等によってリモートアクセスに使用される。したがって、ネットワークポートメタデータファイル２２６は、この例では、ポート番号、一般的なポート使用法（例えば、リモートアクセス、データベースアクセス等）、及び重大性等の項目を含むポートテーブル２２８を有することが理解されるであろう。
【0052】
図１５は、フィボナッチ数列の列と、関連付けられた通信数調整値及びボリューム調整値の列とを有するテーブル２３０である。これには限られないがこの例では、フィボナッチ数列の数値ごとに、通信数調整値は５ずつ増加し、ボリューム調整値は２ずつ増加する。フィボナッチ数６７６５において、通信数調整値が１００に固定され、フィボナッチ数１２５８６２６９０２５において、ボリューム調整値が１００に固定される。
【0053】
図１３～図１５を更に参照すると、危殆化懸念スコアを求める一般的な手法は、以下の通りとなる。
１．デフォルトとして５０のスコアから開始する。
２．ホスト感度乗数を使用して、スコアを２５％又は５０％だけ調整する。
３．宛先ホスト脅威スコアを使用して、数値を５０％だけ上又は下に調整する。
４．ポートの重大性に基づいてファクタリング（factoring）を適用する。
５．その結果、この例では数値は２３．７５と１２３．７５との間の値になる。この数値を１～１００のスケールに正規化する。
６．通信数及び通信のボリュームを使用して、以下のように加重平均に基づいてスコアを調整する。
ａ．フィボナッチ数列を用いて通信数及びデータボリュームを重み付けする。ここで、図１５に示したように、通信数調整値は、数例に対して５ずつ増大させ、データボリューム調整値は、数例に対して２ずつ増大させる。
ｂ．これらのスコアの最大値と、正規化スコアに対して２倍の加重平均をした値とを使用して、危殆化懸念スコア（ＣＣＳ：Compromise Concern Score）を計算する（b. Use the maximum of these scores with a 2X weighted average against the Normalized Score to calculate the Compromise Concern Score (CCS)）。
１．デフォルトとして５０のスコアから開始する。
２．ホスト感度乗数を使用して、スコアを２５％又は５０％だけ調整する。
３．宛先ホスト脅威スコアを使用して、数値を５０％だけ上又は下に調整する。
４．ポートの重大性に基づいてファクタリング（factoring）を適用する。
５．その結果、この例では数値は２３．７５と１２３．７５との間の値になる。この数値を１～１００のスケールに正規化する。
６．通信数及び通信のボリュームを使用して、以下のように加重平均に基づいてスコアを調整する。
ａ．フィボナッチ数列を用いて通信数及びデータボリュームを重み付けする。ここで、図１５に示したように、通信数調整値は、数例に対して５ずつ増大させ、データボリューム調整値は、数例に対して２ずつ増大させる。
ｂ．これらのスコアの最大値と、正規化スコアに対して２倍の加重平均をした値とを使用して、危殆化懸念スコア（ＣＣＳ：Compromise Concern Score）を計算する（b. Use the maximum of these scores with a 2X weighted average against the Normalized Score to calculate the Compromise Concern Score (CCS)）。
【0054】
図１６は、求められた危殆化アクティビティレベルに基づいて少なくとも１つのルールに従って動作する図６における動作１５８についてのフロー図１５８’の一例である。プロセス１５８’は、危殆化懸念スコア（ＣＣＳ）が受信されるまで、動作２３２においてアイドル状態にある。ＣＣＳがＬＯＷ（低）である場合には、動作２３４では、動作２３２に戻る前に１つ以上の潜在的システム危殆化を報告する。ＣＣＳは低であるので、その報告は、例えばシステムアドミニストレーターへの規則的なスケジューリングされた報告とすることができる。ＣＣＳがＭＥＤＩＵＭ（中）である場合には、動作２３６で、１つ以上のアラートが送信される。これらのアラートは、より高い緊急性を有し、データベースサーバー管理者又はグループ管理者等の１人以上のシステム管理者に直ちに送出するものとすることができる。プロセス制御は、その後、より広範な報告を行う動作２３４に進むこともできるし、アイドル動作２３２に直接戻ることもできる。ＣＣＳがＨＩＧＨ（高）である場合には、動作２３８で、例えば、パブリックネットワーク上の悪意のあるデバイスをファイアウォールにおいてブロックするか、又は、マルウェアに感染したプライベートネットワーク上のデバイスを隔離して、危殆化を受けたアクティビティを自動的にブロックすることができる。プロセス制御は、その後、動作２３６に進んで１つ以上のアラートを送信し、動作２３４に進んで１つ以上の報告を送信することもできるし、アイドリング動作２３２に直接戻ることもできる。実行され得る動作（複数の場合もある）は、例えば、通知は常に行い、場合に応じてアラートを行うが、ブロックは極端な脅威状態下でしか行わないといった１つ以上のルールに従うことが理解されるであろう。
【0055】
特定の用語及びデバイスを使用して様々な実施形態を説明してきたが、そのような説明は、例示を目的としたものにすぎない。使用されている用語は、限定の用語ではなく説明の用語である。記載された開示内容及び図面によってサポートされる様々な発明の趣旨又は範囲から逸脱することなく、当業者は変更及び変形を行うことができることが理解されるであろう。加えて、様々な他の実施形態の態様を全体的又は部分的のいずれにおいても交換することができることが理解されるべきである。したがって、特許請求の範囲は、限定も禁反言もなく、本発明の真の趣旨及び範囲に従って解釈されるべきことが意図されている。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【手続補正書】
【提出日】2024-06-17
【手続補正1】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項1】
デジタルプロセッサを含む、ハードウェアの又は仮想のネットワークコネクタであって、該ネットワークコネクタは、パブリックネットワークポートと、少なくとも１つのプライベートネットワークポートと、該ネットワークコネクタのデータパケットトラフィックに関する関連付けられたネットワークコネクタトラフィックログであって、少なくともエグレストラフィックの発信元ＩＰアドレスを含むエグレストラフィックメタデータを含むものと、を有し、前記少なくとも１つのプライベートネットワークポートに流入し、前記パブリックネットワークポートから流出するデータパケットは、エグレストラフィックであり、前記パブリックネットワークポートに流入し、前記少なくとも１つのプライベートネットワークポートから流出するデータパケットは、イングレストラフィックである、ネットワークコネクタと、
ネットワークコネクタトラフィックログのエグレストラフィックメタデータを受信可能であり、プロセッサとメモリとを含む、デジタルロジック危殆化アクティビティアナライザであって、疑わしい宛先メタデータと、危殆化変換表テーブル（ＣＴＴ）を含むネットワークデバイスメタデータとにアクセスするようになっており、該デジタルロジック危殆化アクティビティアナライザは、前記疑わしい宛先メタデータと、前記エグレストラフィックメタデータと、前記ネットワークデバイスメタデータとに少なくとも部分的に基づいて、前記少なくとも１つのプライベートネットワークポートに結合された１つ以上のデバイスの危殆化アクティビティレベルを求めるように動作するようになっており、前記動作に、前記発信元ＩＰアドレスを前記エグレストラフィックメタデータから抽出し、抽出された前記発信元ＩＰアドレスを前記ＣＴＴと照合して発信元のネットワークデバイスを特定し、前記少なくとも１つのプライベートネットワークポートに結合された１つ以上のデバイスの危殆化アクティビティレベルを少なくとも部分的に決定することを含む、デジタルロジック危殆化アクティビティアナライザと、
前記１つ以上のデバイスの前記求められた危殆化アクティビティレベルに応じて、少なくとも１つのルールに従ってブロック、アラート及び通知のうちの少なくとも１つを行うように動作する、プロセッサとメモリとを含むデジタルロジック危殆化ディフェンダーモジュールと、
を備える、ネットワーク危殆化アクティビティ監視システム。
ネットワークコネクタトラフィックログのエグレストラフィックメタデータを受信可能であり、プロセッサとメモリとを含む、デジタルロジック危殆化アクティビティアナライザであって、疑わしい宛先メタデータと、危殆化変換表テーブル（ＣＴＴ）を含むネットワークデバイスメタデータとにアクセスするようになっており、該デジタルロジック危殆化アクティビティアナライザは、前記疑わしい宛先メタデータと、前記エグレストラフィックメタデータと、前記ネットワークデバイスメタデータとに少なくとも部分的に基づいて、前記少なくとも１つのプライベートネットワークポートに結合された１つ以上のデバイスの危殆化アクティビティレベルを求めるように動作するようになっており、前記動作に、前記発信元ＩＰアドレスを前記エグレストラフィックメタデータから抽出し、抽出された前記発信元ＩＰアドレスを前記ＣＴＴと照合して発信元のネットワークデバイスを特定し、前記少なくとも１つのプライベートネットワークポートに結合された１つ以上のデバイスの危殆化アクティビティレベルを少なくとも部分的に決定することを含む、デジタルロジック危殆化アクティビティアナライザと、
前記１つ以上のデバイスの前記求められた危殆化アクティビティレベルに応じて、少なくとも１つのルールに従ってブロック、アラート及び通知のうちの少なくとも１つを行うように動作する、プロセッサとメモリとを含むデジタルロジック危殆化ディフェンダーモジュールと、
を備える、ネットワーク危殆化アクティビティ監視システム。
【請求項2】
前記デジタルロジック危殆化アクティビティアナライザは、イングレストラフィックメタデータにもアクセスし、該イングレストラフィックメタデータは、前記１つ以上のデバイスの前記危殆化アクティビティレベルを求めるために少なくとも部分的に使用される、
請求項１に記載のネットワーク危殆化アクティビティ監視システム。
請求項１に記載のネットワーク危殆化アクティビティ監視システム。
【請求項3】
前記エグレストラフィックメタデータ及び前記イングレストラフィックメタデータは、前記ネットワークコネクタトラフィックログから得られる、
請求項２に記載のネットワーク危殆化アクティビティ監視システム。
請求項２に記載のネットワーク危殆化アクティビティ監視システム。
【請求項4】
前記デジタルロジック危殆化アクティビティアナライザは、前記少なくとも１つのプライベートネットワークポートに関するプライベートネットワークポートメタデータにもアクセスし、該プライベートネットワークポートメタデータは、前記１つ以上のデバイスのうちの少なくとも１つの前記危殆化アクティビティレベルを求めるために少なくとも部分的に使用される、
請求項３に記載のネットワーク危殆化アクティビティ監視システム。
請求項３に記載のネットワーク危殆化アクティビティ監視システム。
【請求項5】
前記危殆化ディフェンダーモジュールは、前記危殆化アクティビティアナライザの一部である、
請求項３に記載のネットワーク危殆化アクティビティ監視システム。
請求項３に記載のネットワーク危殆化アクティビティ監視システム。
【請求項6】
前記デジタルロジック危殆化アクティビティアナライザは、前記ネットワークコネクタの一部である、
請求項５に記載のネットワーク危殆化アクティビティ監視システム。
請求項５に記載のネットワーク危殆化アクティビティ監視システム。
【請求項7】
前記ネットワークコネクタは、ファイアウォール及びルーターのうちの一方である、
請求項３に記載のネットワーク危殆化アクティビティ監視システム。
請求項３に記載のネットワーク危殆化アクティビティ監視システム。
【請求項8】
プロセッサと、
（ａ）ファイアウォールのエグレストラフィックの発信元インターネットプロトコル（ＩＰ）アドレスと宛先ＩＰアドレスとを有する少なくともエグレストラフィックメタデータを含むファイアウォールトラフィックメタデータを取り出すことと、
（ｂ）前記エグレストラフィックメタデータの前記発信元ＩＰアドレスを危殆化変換表テーブル（ＣＴＴ）を含むネットワークデバイスメタデータと照合して、エグレスデータパケットの少なくとも１つの発信元デバイスを特定することと、
（ｃ）前記エグレストラフィックメタデータの前記宛先ＩＰアドレスを疑わしい宛先メタデータと照合して、前記エグレスデータパケットの疑わしい宛先を特定することと、
（ｄ）前記エグレストラフィックメタデータと、前記ネットワークデバイスメタデータと、前記疑わしい宛先メタデータとに基づいて、前記少なくとも１つの発信元デバイスに関する危殆化アクティビティレベルを求めることと、
（ｅ）前記求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作することと、
を行う、前記プロセッサ上で実行可能なコードセグメントを含む、前記プロセッサと結びつくメモリと、
を備える、ネットワークデバイス危殆化アクティビティアナライザ。
（ａ）ファイアウォールのエグレストラフィックの発信元インターネットプロトコル（ＩＰ）アドレスと宛先ＩＰアドレスとを有する少なくともエグレストラフィックメタデータを含むファイアウォールトラフィックメタデータを取り出すことと、
（ｂ）前記エグレストラフィックメタデータの前記発信元ＩＰアドレスを危殆化変換表テーブル（ＣＴＴ）を含むネットワークデバイスメタデータと照合して、エグレスデータパケットの少なくとも１つの発信元デバイスを特定することと、
（ｃ）前記エグレストラフィックメタデータの前記宛先ＩＰアドレスを疑わしい宛先メタデータと照合して、前記エグレスデータパケットの疑わしい宛先を特定することと、
（ｄ）前記エグレストラフィックメタデータと、前記ネットワークデバイスメタデータと、前記疑わしい宛先メタデータとに基づいて、前記少なくとも１つの発信元デバイスに関する危殆化アクティビティレベルを求めることと、
（ｅ）前記求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作することと、
を行う、前記プロセッサ上で実行可能なコードセグメントを含む、前記プロセッサと結びつくメモリと、
を備える、ネットワークデバイス危殆化アクティビティアナライザ。
【請求項9】
前記危殆化アクティビティレベルを求めることは、プライベートネットワークポートメタデータに更に基づいている、
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項10】
前記プライベートネットワークポートメタデータは、前記ファイアウォールの１つ以上のプライベートポートに関するものである、
請求項９に記載のネットワークデバイス危殆化アクティビティアナライザ。
請求項９に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項11】
前記求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作することは、ブロックすること、アラートすること及び通知することのうちの少なくとも１つを含む、
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項12】
前記ネットワークデバイスメタデータは、前記各デバイスのＩＰアドレス及びデバイスタイプを含む、請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項13】
前記ネットワークデバイスメタデータは、ＭＡＣアドレス、技術名、組織名、及び部署名のうちの１つ以上を更に含む、
請求項１２に記載のネットワークデバイス危殆化アクティビティアナライザ。
請求項１２に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項14】
前記エグレストラフィックメタデータの前記発信元ＩＰアドレスをネットワークデバイスメタデータと照合して、前記エグレスデータパケットの少なくとも１つの発信元デバイスを特定することは、
前記エグレストラフィックメタデータの１つ以上の発信元ＩＰアドレスのリストを作成することと、
前記１つ以上の発信元ＩＰアドレスのリストを使用して前記ＣＴＴを検索することと、
を含む、
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
前記エグレストラフィックメタデータの１つ以上の発信元ＩＰアドレスのリストを作成することと、
前記１つ以上の発信元ＩＰアドレスのリストを使用して前記ＣＴＴを検索することと、
を含む、
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項15】
前記疑わしい宛先メタデータは、コンテンツ検索可能フォーマットで記録される、
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項16】
前記エグレストラフィックメタデータの前記宛先ＩＰアドレスを疑わしい宛先メタデータと照合して、前記エグレスデータパケットの疑わしい宛先を特定することは、
前記エグレストラフィックメタデータの１つ以上の宛先ＩＰアドレスのリストを作成することと、
前記１つ以上の宛先ＩＰアドレスのリストを使用して、疑わしい脅威メタデータに前記疑わしい宛先メタデータを照会することと、
を含む、
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
前記エグレストラフィックメタデータの１つ以上の宛先ＩＰアドレスのリストを作成することと、
前記１つ以上の宛先ＩＰアドレスのリストを使用して、疑わしい脅威メタデータに前記疑わしい宛先メタデータを照会することと、
を含む、
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項17】
前記エグレストラフィックメタデータは、宛先ＩＰアドレスへのエグレストラフィックのデータレートについて分析される、
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項18】
前記エグレストラフィックメタデータは、宛先ＩＰアドレスによるデバイスＩＰアドレスへのコンタクトアクティビティ又はコールバックアクティビティについて分析される、
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
請求項８に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項19】
前記エグレストラフィックメタデータは、宛先ＩＰアドレスによる複数のデバイスＩＰアドレスへのコンタクトアクティビティ又はコールバックアクティビティについて分析される、
請求項１８に記載のネットワークデバイス危殆化アクティビティアナライザ。
請求項１８に記載のネットワークデバイス危殆化アクティビティアナライザ。
【請求項20】
デジタルプロセッサとメモリとを含む危殆化アクティビティアナライザにファイアウォールトラフィックメタデータを提供することであって、前記ファイアウォールトラフィックメタデータは、ファイアウォールのエグレストラフィックの発信元インターネットプロトコル（ＩＰ）アドレスと宛先ＩＰアドレスとを有する少なくともエグレストラフィックメタデータを含むことと、
前記エグレストラフィックメタデータの前記発信元ＩＰアドレスを危殆化変換表テーブル（ＣＴＴ）を含むネットワークデバイスメタデータと照合して、エグレスデータパケットの少なくとも１つの発信元デバイスを特定することと、
前記エグレストラフィックメタデータの前記宛先ＩＰアドレスを疑わしい宛先メタデータと照合することと、
前記エグレストラフィックメタデータと、前記ネットワークデバイスメタデータと、前記疑わしい宛先メタデータとに基づいて前記少なくとも１つの発信元デバイスへの危殆化アクティビティレベルを求めることと、
前記求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作することと、
を含む、ネットワークデバイスの危殆化アクティビティを監視するための、コンピューターに実装される方法。
前記エグレストラフィックメタデータの前記発信元ＩＰアドレスを危殆化変換表テーブル（ＣＴＴ）を含むネットワークデバイスメタデータと照合して、エグレスデータパケットの少なくとも１つの発信元デバイスを特定することと、
前記エグレストラフィックメタデータの前記宛先ＩＰアドレスを疑わしい宛先メタデータと照合することと、
前記エグレストラフィックメタデータと、前記ネットワークデバイスメタデータと、前記疑わしい宛先メタデータとに基づいて前記少なくとも１つの発信元デバイスへの危殆化アクティビティレベルを求めることと、
前記求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作することと、
を含む、ネットワークデバイスの危殆化アクティビティを監視するための、コンピューターに実装される方法。
【請求項21】
前記エグレストラフィックメタデータは、所与の閾値を越えるデータレートについて分析される、
請求項２０に記載のネットワークデバイスの危殆化アクティビティを監視するコンピューター実装方法。
請求項２０に記載のネットワークデバイスの危殆化アクティビティを監視するコンピューター実装方法。
【請求項22】
前記エグレストラフィックメタデータは、前記エグレストラフィックの頻度及び前記エグレストラフィックのパターンのうちの少なくとも一方について分析される、
請求項２０に記載のネットワークデバイスの危殆化アクティビティを監視するコンピューター実装方法。
請求項２０に記載のネットワークデバイスの危殆化アクティビティを監視するコンピューター実装方法。
【請求項23】
前記ネットワークデバイスメタデータは、前記デバイスの重大性について分析される、
請求項２０に記載のネットワークデバイスの危殆化アクティビティを監視するコンピューター実装方法。
請求項２０に記載のネットワークデバイスの危殆化アクティビティを監視するコンピューター実装方法。
【請求項24】
前記疑わしい宛先メタデータは、脅威の深刻度について分析される、
請求項２０に記載のネットワークデバイスの危殆化アクティビティを監視するコンピューター実装方法。
請求項２０に記載のネットワークデバイスの危殆化アクティビティを監視するコンピューター実装方法。
【請求項25】
ファイアウォールのエグレストラフィックの発信元インターネットプロトコル（ＩＰ）アドレスと宛先ＩＰアドレスとを有する少なくともエグレストラフィックメタデータを含むファイアウォールトラフィックメタデータを提供するコードセグメントと、
前記エグレストラフィックメタデータの前記発信元ＩＰアドレスを危殆化変換表テーブル（ＣＴＴ）を含むネットワークデバイスメタデータと照合して、エグレスデータパケットの少なくとも１つの発信元デバイスを特定するコードセグメントと、
前記エグレストラフィックメタデータと前記ネットワークデバイスメタデータとに基づいて前記少なくとも１つの発信元デバイスへの危殆化アクティビティレベルを求めるコードセグメントと、
前記求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作するコードセグメントと、
をコードセグメントとして含む、ネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
前記エグレストラフィックメタデータの前記発信元ＩＰアドレスを危殆化変換表テーブル（ＣＴＴ）を含むネットワークデバイスメタデータと照合して、エグレスデータパケットの少なくとも１つの発信元デバイスを特定するコードセグメントと、
前記エグレストラフィックメタデータと前記ネットワークデバイスメタデータとに基づいて前記少なくとも１つの発信元デバイスへの危殆化アクティビティレベルを求めるコードセグメントと、
前記求められた危殆化アクティビティレベルに基づいて、少なくとも１つのルールに従って動作するコードセグメントと、
をコードセグメントとして含む、ネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
【請求項26】
前記エグレストラフィックメタデータは、所与の閾値を越えるデータレートについて分析される、
請求項２５に記載のネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
請求項２５に記載のネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
【請求項27】
前記エグレストラフィックメタデータは、前記エグレストラフィックの頻度及び前記エグレストラフィックのパターンのうちの少なくとも一方について分析される、
請求項２５に記載のネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
請求項２５に記載のネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
【請求項28】
前記ネットワークデバイスメタデータは、前記デバイスの重大性について分析される、
請求項２５に記載のネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
請求項２５に記載のネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
【請求項29】
前記疑わしい宛先メタデータは、脅威の深刻度について分析される、
請求項２５に記載のネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
請求項２５に記載のネットワークデバイスの危殆化アクティビティを監視するためのデジタルプロセッサ上で実行可能なコードセグメントを含む非一時的コンピューター可読媒体。
【外国語明細書】