特許 7091354 コンピュータセキュリティリスクのコンテキストベースの軽減のためのシステム及び方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2022-06-17

(45)【発行日】2022-06-27

(54)【発明の名称】コンピュータセキュリティリスクのコンテキストベースの軽減のためのシステム及び方法

(51)【国際特許分類】

   G06F 21/57 20130101AFI20220620BHJP

   G06F 21/62 20130101ALI20220620BHJP

【ＦＩ】

G06F21/57 370

G06F21/62

【請求項の数】 21

(21)【出願番号】P 2019545919

(86)(22)【出願日】2018-02-27

(65)【公表番号】

(43)【公表日】2020-03-19

(86)【国際出願番号】 US2018019936

(87)【国際公開番号】W WO2018157124

(87)【国際公開日】2018-08-30

【審査請求日】2021-01-14

(31)【優先権主張番号】62/464,152

(32)【優先日】2017-02-27

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】519300518

【氏名又は名称】イヴァンティ，インコーポレイテッド

(74)【代理人】

【識別番号】100079108

【弁理士】

【氏名又は名称】稲葉 良幸

(74)【代理人】

【識別番号】100109346

【弁理士】

【氏名又は名称】大貫 敏史

(74)【代理人】

【識別番号】100117189

【弁理士】

【氏名又は名称】江口 昭彦

(74)【代理人】

【識別番号】100134120

【弁理士】

【氏名又は名称】内藤 和彦

(72)【発明者】

【氏名】ユンケル，ロブ

(72)【発明者】

【氏名】ゴエット，クリス

【審査官】吉田 歩

(56)【参考文献】

【文献】特表２０１６－５１３３２４（ＪＰ，Ａ）

【文献】特開２０１５－０３８６６７（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１４／０２４５３７６（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５７

Ｇ０６Ｆ ２１／６２

(57)【特許請求の範囲】

【請求項1】

プロセッサと、
前記プロセッサに動作可能に結合されるメモリと
を含む機器であって、前記プロセッサは、
第１の時点において計算装置のユーザの第１のログイン事象を検出すること、
前記第１のログイン事象を検出することに応答して、前記ユーザに関連する第１のユーザ特権基準、複数の特権軽減手段、及び前記計算装置のパッチレベル、前記計算装置のネットワークの種類又はパスワードポリシの少なくとも１つを含む第１の装置基準を含むリスク評価規則の第１の組を前記計算装置において受信することであって、前記複数の特権軽減手段のうちの少なくとも１つの特権軽減手段は、前記第１のユーザ特権基準に関連する、受信すること、
前記第１のユーザ特権基準及び前記第１の装置基準に基づいて第１のユーザ固有のセキュリティリスクを識別すること、
前記計算装置を介して及び第２の時点において、前記第１のユーザ固有のセキュリティリスクに基づいて前記複数の特権軽減手段のうちの第１の特権軽減手段を適用することであって、前記プロセッサは、前記第２の時点において管理サーバと通信していない、適用すること、
リスク評価規則の第２の組を前記計算装置において受信することであって、前記リスク評価規則の第２の組は、前記第１のユーザ特権基準と異なる第２のユーザ特権基準又は前記第１の装置基準と異なる第２の装置基準の少なくとも１つを含む、受信すること、
前記計算装置の前記ユーザの第２のログイン事象を前記第１の時点よりも後の第３の時点において検出すること、
前記第１のユーザ固有のセキュリティリスクと異なる第２のユーザ固有のセキュリティリスクを前記第２のユーザ特権基準及び前記第２の装置基準の前記少なくとも１つに基づいて識別すること、及び
前記計算装置を介して及び第４の時点において、前記複数の特権軽減手段のうちの第２の特権軽減手段を適用することであって、前記第２の特権軽減手段は、前記第１の特権軽減手段と異なり、且つ前記第２のユーザ固有のセキュリティリスクに基づき、前記プロセッサは、前記第４の時点において前記管理サーバと通信していない、適用することを行うように構成される、機器。

【請求項2】

前記プロセッサは、前記第１のログイン事象に更に基づいて前記第１のユーザ固有のセキュリティリスクを識別するように構成され、
前記第１のログイン事象は、失敗したログインの試みを含み、及び
前記第１の特権軽減手段は、前記計算装置上で実行されるアプリケーションから前記ユーザを締め出すことを含む、請求項１に記載の機器。

【請求項3】

前記プロセッサは、前記計算装置に関連する新たな脆弱性の検出に応答して前記リスク評価規則の第２の組を前記計算装置において受信するように構成される、請求項１に記載の機器。

【請求項4】

前記第１の装置基準は、前記計算装置の前記ネットワークの種類を含み、及び前記計算装置の前記ネットワークの種類がパブリックネットワークである場合、前記第１の特権軽減手段は、前記ユーザのネットワークアクセスを無効にすることを含む、請求項１に記載の機器。

【請求項5】

前記第１の装置基準は、前記計算装置の前記ネットワークの種類を含み、及び前記計算装置の前記ネットワークの種類がパブリックネットワークである場合、前記第１の特権軽減手段は、前記ユーザにアラートを送信することを含み、前記アラートは、前記ネットワークがパブリックであることを前記ユーザに忠告する、請求項１に記載の機器。

【請求項6】

前記プロセッサは、
前記計算装置の前記ユーザのユーザ特権レベルを検出すること、及び
前記ユーザがアクセスを有する脆弱なソフトウェアアプリケーションを前記リスク評価規則の第１の組に基づいて検出することにより、
前記ユーザ固有のセキュリティリスクを識別し、且つ
前記ユーザのユーザ特権レベルを修正すること、
脆弱なソフトウェアアプリケーションに対するアップデートがインストールされるまで前記計算装置上にソフトウェアがインストールされるのを許可しないこと、又は
前記計算装置にセキュリティフィックスが適用されるまで前記脆弱なソフトウェアアプリケーションの実行を許可しないことの少なくとも１つにより、
前記第１の特権軽減手段を適用するように構成される、請求項１に記載の機器。

【請求項7】

前記プロセッサは、
前記ユーザが、セキュリティ面で配慮を要するファイルへのアクセスを有することを検出すること、及び
前記計算装置がパブリックネットワーク上にあることを検出することにより、
前記ユーザ固有のセキュリティリスクを識別し、且つ
前記セキュリティ面で配慮を要するファイルへのアクセスを許可しないこと、
前記計算装置がパブリックネットワークに接続されなくなるまで前記計算装置のネットワークアクセスを無効にすること、又は
前記計算装置を無効にすることの少なくとも１つにより、
前記第１の特権軽減手段を適用するように構成される、請求項１に記載の機器。

【請求項8】

前記プロセッサは、
前記計算装置の前記ユーザのユーザ特権レベルを検出すること、及び
前記ユーザに関連する１つ又は複数のユーザアカウント設定がグループポリシに違反することを検出すること
により、前記ユーザ固有のセキュリティリスクを識別するように構成される、請求項１に記載の機器。

【請求項9】

前記プロセッサは、前記ユーザに関連するユーザアカウント設定をグループポリシに準拠するように修復することにより、前記第１の特権軽減手段を適用するように構成される、請求項１に記載の機器。

【請求項10】

前記プロセッサは、前記ユーザに関連するグループポリシを自動で修復すること、又は前記計算装置上にアップデートをインストールさせることの少なくとも１つにより、前記第１の特権軽減手段を適用するように構成される、請求項１に記載の機器。

【請求項11】

前記プロセッサは、パッチング、特権管理、ホワイトリスト登録又はブラックリスト登録の少なくとも１つにより、前記第１の特権軽減手段を適用するように構成される、請求項１に記載の機器。

【請求項12】

前記プロセッサは、前記第１の特権軽減手段を適用した後に強制アクティビティを管理サーバに報告するように構成される、請求項１に記載の機器。

【請求項13】

前記プロセッサは、ネットワークと動作可能に通信し、且つ
前記プロセッサは、前記ネットワークの検出される変化に応答して前記第１のユーザ固有のセキュリティリスクを識別するように構成される、請求項１に記載の機器。

【請求項14】

前記プロセッサは、検出されるグループポリシ違反に応答して前記第１のユーザ固有のセキュリティリスクを識別するように構成される、請求項１に記載の機器。

【請求項15】

前記プロセッサは、前記ユーザが、セキュリティ面で配慮を要するファイルへのアクセスを有することを前記第１のユーザ特権基準に基づいて検出するように構成され、
前記第１の装置基準は、前記計算装置の前記ネットワークの種類を含み、
前記計算装置の前記ネットワークの種類は、パブリックネットワークであり、且つ
前記第１の特権軽減手段は、前記セキュリティ面で配慮を要するファイルへの前記ユーザによるアクセスを許可しないことを含む、請求項１に記載の機器。

【請求項16】

プロセッサと、
前記プロセッサに動作可能に結合されるメモリと
を含む機器であって、前記プロセッサは、
第１の時点において計算装置に対するユーザの第１のログインを検出すること、
前記計算装置の前記ユーザに関連するユーザ特権基準を含むリスク評価規則の第１の組を受信することであって、前記ユーザ特権基準は、前記ユーザのユーザ特権レベルを含む、受信すること、
前記第１のログインを検出することに応答して及び前記リスク評価規則の第１の組に基づいて、ユーザがアクセスを有する脆弱なソフトウェアアプリケーションを検出すること、
前記脆弱なソフトウェアアプリケーションを検出することに応答して前記ユーザ特権レベルを下げること、
前記計算装置の前記ユーザに関連するリスク評価規則の第２の組を前記第１の時点後の第２の時点において受信すること、
前記第２の時点後の第３の時点において前記計算装置に対する前記ユーザの第２のログインを検出すること、及び
前記第２のログインを検出することに応答して及び前記リスク評価規則の第２の組に基づいて前記ユーザ特権レベルを上げることを行うように構成される、機器。

【請求項17】

前記プロセッサは、前記計算装置上にパッチがインストールされていることを検出するように更に構成され、
前記パッチは、前記脆弱なソフトウェアアプリケーションに関連し、且つ
前記ユーザ特権レベルを前記上げることは、前記パッチを検出することに更に基づく、請求項１６に記載の機器。

【請求項18】

前記プロセッサは、
前記ユーザに関連する１つ又は複数のユーザアカウント設定がグループポリシに違反することを前記第１のユーザ特権基準に基づいて検出し、
前記ユーザに関連する前記１つ又は複数のユーザアカウント設定を前記グループポリシに準拠するように修復することを含む第１の特権軽減手段を適用するように更に構成される、請求項１６に記載の機器。

【請求項19】

ネットワークと動作可能に通信するプロセッサによって及び第１の時点において、計算装置のユーザの第１のログイン事象を検出すること、
前記プロセッサにおいて及び前記ユーザの前記第１のログインを前記検出することに応答して、前記ユーザに関連する第１のユーザ特権基準、複数の特権軽減手段、及び前記計算装置上で実行されるソフトウェアアプリケーションのベンダ、前記ソフトウェアアプリケーションのバージョン、前記ソフトウェアアプリケーションのパッチレベル又は前記ソフトウェアアプリケーションが曝されるリスクの少なくとも１つを含む第１のアプリケーション基準を含むリスク評価規則の第１の組を識別することであって、前記複数の特権軽減手段のうちの少なくとも１つの特権軽減手段は、前記第１のユーザ特権基準に関連する、識別すること、
前記第１のユーザ特権基準及び前記第１のアプリケーション基準に基づいて第１のユーザ固有のセキュリティリスクを、前記プロセッサを介して識別すること、
前記計算装置を介して及び第２の時点において、前記第１のユーザ固有のセキュリティリスクに基づいて前記複数の特権軽減手段のうちの第１の特権軽減手段を適用することであって、前記プロセッサは、前記第２の時点において管理サーバと通信していない、適用すること、
リスク評価規則の第２の組を前記プロセッサによって識別することであって、前記リスク評価規則の第２の組は、前記第１のユーザ特権基準と異なる第２のユーザ特権基準又は前記第１のアプリケーション基準と異なる第２のアプリケーション基準の少なくとも１つを含む、識別すること、
前記プロセッサを介して及び前記第１の時点よりも後の第３の時点において前記計算装置の前記ユーザの第２のログイン事象を検出すること、
前記第１のユーザ固有のセキュリティリスクと異なり、且つ前記第２のユーザ特権基準又は前記第２のアプリケーション基準の前記少なくとも１つに基づく第２のユーザ固有のセキュリティリスクを、前記プロセッサを介して識別すること、
前記計算装置を介して及び第４の時点において、前記複数の特権軽減手段のうちの第２の特権軽減手段を適用することであって、前記第２の特権軽減手段は、前記第１の特権軽減手段と異なり、且つ前記第２のユーザ固有のセキュリティリスクに基づき、前記プロセッサは、前記第４の時点において前記管理サーバと通信していない、適用することを含む方法。

【請求項20】

前記第１の特権軽減手段は、前記ユーザにアラートを送信することを含み、且つ
前記アラートは、ソフトウェアのアップデートを推奨する、請求項１９に記載の方法。

【請求項21】

前記第１の特権軽減手段は、前記ユーザにアラートを送信すること、及び前記ソフトウェアアプリケーションに対するアップデートを開始することを含む、請求項１９に記載の方法。

【発明の詳細な説明】

【技術分野】

【0001】

関連出願の相互参照
[0001] 本願は、参照によりその全体が本明細書に援用される、２０１７年２月２７日に出願された「Systems and Methods for Context-Based Privilege Mitigation」という名称の米国仮特許出願第６２／４６４，１５２号の利益を主張する。

【0002】

技術分野
[0002] 本開示は、概して、コンピュータ及びコンピュータ関連技術に関する。より詳細には、本開示は、コンピュータセキュリティリスクのコンテキストベースの軽減のためのシステム及び方法に関する。

【背景技術】

【0003】

背景
[0003] 現代社会において、電子装置の使用は、ますます一般的になっている。電子装置のコストが下がり、電子装置の有用性が高まったため、人々は、電子装置を様々な目的で使用している。例えば、多くの人は、仕事の作業を行うために且つ娯楽を探すために電子装置を使用する。電子装置の１つの種類は、コンピュータである。

【0004】

[0004] コンピュータ技術は、速いペースで進化し続けている。一般に使用されるコンピュータは、携帯用計算装置から大型のマルチプロセッサコンピュータシステムまであらゆるものを含む。それらのコンピュータは、それらのコンピュータを有用にし、且つエンドユーザにとってアクセス可能にするための、ユーザインタフェースを含むアプリケーション等のソフトウェアを含む。コンピュータは、ネットワークを介して他のコンピュータと一層つながっている。コンピュータ技術が発展するにつれて、ネットワークのサイズも増加し続けている。ネットワークは、遠く離れているコンピュータをつなぐことができる。

【0005】

[0005] ネットワークに関わる課題の１つは、コンピュータセキュリティを提供することである。例えば、悪意あるエンティティは、計算装置に侵入して、計算装置上又は計算装置のネットワーク上の機密情報にアクセスしようと試みる可能性がある。計算装置のセキュリティが侵害され得る１つの方法は、ユーザの特権レベルを悪用することによるものである。高い特権レベルを有するユーザは、計算装置又はネットワーク上の資源に対してより多くのアクセスを有し得る。

【発明の概要】

【発明が解決しようとする課題】

【0006】

[0006] 従って、コンピュータアカウントの使用及び関連する特権レベルを能動的に管理して、セキュリティリスクを軽減するためのシステム及び方法が求められている。

【課題を解決するための手段】

【0007】

概要
[0007] 機器は、メモリに動作可能に結合されるプロセッサを含む。プロセッサは、第１のユーザ特権基準及び第１の装置基準を含むリスク評価規則の第１の組を受信する。第１の装置基準は、計算装置のパッチレベル、ネットワークの種類及び／又はパスワードポリシを含む。プロセッサは、リスク評価規則の第１の組に基づいてユーザ固有のセキュリティリスクを識別し、且つ管理サーバと通信することなく、ユーザ固有のセキュリティリスクに基づいて特権軽減手段を適用する。プロセッサは、その後、リスク評価規則の第２の更新された組を計算装置において受信する。ユーザの別のログインを検出すると、プロセッサは、リスク評価規則の更新された組に基づいて、更新されたユーザ固有のセキュリティリスクを識別し、且つここでも管理サーバと通信することなく、更新されたユーザ固有のセキュリティリスクに基づいて、修正された特権軽減手段を適用する。

【図面の簡単な説明】

【0008】

図面の簡単な説明

【図1A】[0008]一実施形態による、コンテキストベースの特権軽減のためのネットワーク化されたシステムを示すブロック図である。

【図1B】[0009]一実施形態による、コンテキストベースの特権軽減のための方法を示す流れ図である。

【図2】[0010]別の実施形態による、コンテキストベースの特権軽減のための方法を示す流れ図である。

【図3】[0011]別の実施形態による、脆弱なソフトウェアアプリケーションの検出を含むコンテキストベースの特権軽減のための方法を示す流れ図である。

【図4】[0012]別の実施形態による、計算装置がパブリックネットワーク上にあることを検出することを含むコンテキストベースの特権軽減のための方法を示す流れ図である。

【図5】[0013]別の実施形態による、グループポリシ違反の検出を含むコンテキストベースの特権軽減のための方法を示す流れ図である。

【図6】[0014]一実施形態による、リスク評価規則内に含まれ得る様々なリスク基準を示すブロック図である。

【図7】[0015]一実施形態による、コンテキストベースの特権軽減のためのネットワーク化されたシステムを示すブロック図である。

【図8】[0016]一実施形態による、コンテキストベースの特権軽減のための計算装置のブロック図を示す。

【発明を実施するための形態】

【0009】

詳細な説明
[0017] 本開示の方法及び機器は、個別化したユーザベースでコンピュータシステムの脆弱性を管理することを促進する。ユーザが計算装置を使用しているコンテキストの検出された変化に応じて、計算装置に関するユーザの許可又は特権の変更を動的に（「その場で」）決定及び実施することができる。

【0010】

[0018] 一部の実施形態では、機器は、メモリに動作可能に結合されるプロセッサ、一部の実施形態ではネットワークと動作可能に通信するプロセッサを含む。プロセッサは、第１の時点において計算装置のユーザの第１のログイン事象を検出し、且つ第１のログイン事象を検出することに応答してリスク評価規則の第１の組を計算装置において受信する。リスク評価規則の第１の組は、ユーザに関連する第１のユーザ特権基準、特権軽減手段の組及び第１の装置基準を含む。第１の装置基準は、計算装置のパッチレベル、計算装置のネットワークの種類又はパスワードポリシの少なくとも１つを含む。特権軽減手段の組からの第１の特権軽減手段は、第１のユーザ特権基準に関連する。プロセッサは、第１のユーザ特権基準及び第１の装置基準に基づいて第１のユーザ固有のセキュリティリスクを（例えば、第１のログイン事象に応答して、検出されるグループポリシ違反に応答して、ネットワークの検出される変化に応答して又はリスク評価規則の第１の組を受信することに応答して）識別する。プロセッサは、第１のユーザ固有のセキュリティリスクに基づいて、特権軽減手段の組からの第１の特権軽減手段を、計算装置を介して及びプロセッサが管理サーバと通信していない第２の時点において適用する。プロセッサは、（例えば、計算装置に関連する新たな脆弱性の検出に応答して）リスク評価規則の第２の組を計算装置において受信する。リスク評価規則の第２の組は、第１のユーザ特権基準と異なる第２のユーザ特権基準又は第１の装置基準と異なる第２の装置基準の少なくとも１つを含む。プロセッサは、第１の時点よりも後の第３の時点において計算装置のユーザの第２のログイン事象を検出する。プロセッサは、第２のユーザ特権基準又は第２の装置基準の少なくとも１つに基づいて（及び例えば、第１のログイン事象に応答して、検出されるグループポリシ違反に応答して、ネットワークの検出される変化に応答して又はリスク評価規則の第１の組を受信することに応答して）第１のユーザ固有のセキュリティリスクと異なる第２のユーザ固有のセキュリティリスクを識別する。プロセッサは、特権軽減手段の組からの第２の特権軽減手段を、計算装置を介して及び（プロセッサが管理サーバと通信していない）第４の時点において適用する。第２の特権軽減手段は、第１の特権軽減手段と異なり、且つ第２のユーザ固有のセキュリティリスクに基づく。プロセッサは、第１の特権軽減手段及び／又は第２の特権軽減手段を適用した後に強制アクティビティを管理サーバに報告するように構成され得る。

【0011】

[0019] プロセッサは、ユーザに関連するユーザアカウント設定をグループポリシに準拠するように修復することにより、第１の特権軽減手段及び／又は第２の特権軽減手段を適用することができる。代わりに又は加えて、プロセッサは、（１）ユーザに関連するグループポリシを自動で修復すること、又は（２）計算装置上にアップデートをインストールさせることの少なくとも１つにより、第１の特権軽減手段及び／又は第２の特権軽減手段を適用することができる。代わりに又は加えて、プロセッサは、パッチング、特権管理、ホワイトリスト登録又はブラックリスト登録の少なくとも１つにより、第１の特権軽減手段及び／又は第２の特権軽減手段を適用することができる。

【0012】

[0020] 実装形態の一例では、プロセッサは、第１のログイン事象に更に基づいて第１のユーザ固有のセキュリティリスクを識別し、及び第１のログイン事象は、失敗したログインの試みを含む。この実装形態の例では、特権軽減手段は、計算装置上で実行されるアプリケーションからユーザを締め出す（例えば、計算装置上で実行されるアプリケーションにユーザがアクセスするのを妨げる）ことを含む。他の一部の実施形態では、第１の装置基準が計算装置のネットワークの種類を含むとき、第１の特権軽減手段は、計算装置のネットワークの種類がパブリックネットワークである場合、ユーザのネットワークアクセスを無効にすることを含み得る。更に他の実装形態では、第１の装置基準が計算装置のネットワークの種類を含むとき、第１の特権軽減手段は、計算装置のネットワークの種類がパブリックネットワークである場合、ユーザにアラートを送信する（例えば、ネットワークがパブリックであることをユーザに忠告する）ことを含み得る。

【0013】

[0021] 実装形態の更なる例では、プロセッサは、計算装置のユーザのユーザ特権レベルを検出し、且つユーザがアクセスを有する脆弱なソフトウェアアプリケーションをリスク評価規則に基づいて検出することにより、ユーザ固有のセキュリティリスクを識別するように構成される。プロセッサは、ユーザのユーザ特権レベルを修正すること、脆弱なソフトウェアアプリケーションに対するアップデートがインストールされるまで計算装置上にソフトウェアがインストールされるのを許可しないこと、又は計算装置にセキュリティフィックスが適用されるまで脆弱なソフトウェアアプリケーションの実行を許可しないことの少なくとも１つにより、特権軽減手段を適用するように構成される。

【0014】

[0022] 実装形態の更なる例では、プロセッサは、ユーザが、セキュリティ面で配慮を要するファイルへのアクセスを有することを検出すること、及び計算装置がパブリックネットワーク上にあることを検出することにより、ユーザ固有のセキュリティリスクを識別するように構成される。プロセッサは、セキュリティ面で配慮を要するファイルへのアクセスを許可しないこと、計算装置がパブリックネットワークに接続されなくなるまで計算装置のネットワークアクセスを無効にすること、又は計算装置を無効にすることの少なくとも１つにより、特権軽減手段を適用するように構成される。更に他の実装形態では、プロセッサは、計算装置のユーザのユーザ特権レベルを検出すること、及びユーザに関連する１つ又は複数のユーザアカウント設定がグループポリシに違反することを検出することにより、ユーザ固有のセキュリティリスクを識別するように構成される。一部の例では、プロセッサは、ユーザが、セキュリティ面で配慮を要するファイルへのアクセスを有することを第１のユーザ特権基準に基づいて検出するように構成される。かかる例では、第１の装置基準は、計算装置のネットワークの種類がパブリックネットワークであることを含むことができ、及び第１の特権軽減手段は、セキュリティ面で配慮を要するファイルへのユーザによるアクセスを許可しないことを含み得る。

【0015】

[0023] 一部の実施形態では、機器は、プロセッサと、プロセッサに動作可能に結合されるメモリとを含む。プロセッサは、第１の時点において計算装置に対するユーザの第１のログインを検出し、且つ計算装置のユーザに関連するユーザ特権基準を含むリスク評価規則の第１の組を受信するように構成される。ユーザ特権基準は、ユーザのユーザ特権レベルを含み得る。次いで、プロセッサは、第１のログインを検出することに応答して及びリスク評価規則の第１の組に基づいて、ユーザがアクセスを有する脆弱なソフトウェアアプリケーションを検出する。プロセッサは、脆弱なソフトウェアアプリケーションを検出することに応答してユーザ特権レベルを下げる（例えば、ログインユーザがより少ない機能／資源にアクセスするようにログインユーザに限定アクセスを与える、識別されたリスクに関連する１つ又は複数の機能／資源へのアクセスを除去する等）。プロセッサは、その後、計算装置のユーザに関連するリスク評価規則の第２の組を受信する。第２の時点後の第３の時点において、ユーザの第２のログインが計算装置上で検出され、及びプロセッサは、第２のログインを検出することに応答して及びリスク評価規則の第２の組に基づいてユーザ特権レベルを上げる及び／又は高める（例えば、ログインユーザがより多くの機能／資源にアクセスするようにログインユーザに一層多くのアクセスを与える、識別されたリスクに関連する１つ又は複数の機能／資源へのアクセスを付与する等）。

【0016】

[0024] 一部の実装形態では、プロセッサは、計算装置上にパッチがインストールされていることを検出するように更に構成される。パッチは、脆弱なソフトウェアアプリケーションに関連し得る。ユーザ特権レベルを上げることは、パッチを検出することに更に基づき得る。更に他の実装形態では、プロセッサは、ユーザに関連する１つ又は複数のユーザアカウント設定がグループポリシに違反することを第１のユーザ特権基準に基づいて検出するように更に構成される。第１の特権軽減手段は、ユーザに関連する１つ又は複数のユーザアカウント設定をグループポリシに準拠するように修復することを含み得る。

【0017】

[0025] 一部の実装形態では、方法は、ネットワークと動作可能に通信するプロセッサによって及び第１の時点において、計算装置のユーザの第１のログイン事象を検出することを含む。プロセッサにおいて及びユーザの第１のログインを検出することに応答して、リスク評価規則の第１の組が識別される。リスク評価規則の第１の組は、（１）ユーザに関連する第１のユーザ特権基準、（２）特権軽減手段の組、及び（３）第１のアプリケーション基準を含み得る。第１のアプリケーション基準は、計算装置上で実行されるソフトウェアアプリケーションのベンダ、ソフトウェアアプリケーションのバージョン、ソフトウェアアプリケーションのパッチレベル又はソフトウェアアプリケーションが曝されるリスクの少なくとも１つを含む。特権軽減手段の組からの少なくとも１つの特権軽減手段は、第１のユーザ特権基準に関連する。第１のユーザ固有のセキュリティリスクは、第１のユーザ特権基準及び第１のアプリケーション基準に基づいてプロセッサを介して識別される。特権軽減手段の組からの第１の特権軽減手段は、第１のユーザ固有のセキュリティリスクに基づいて計算装置を介して及び第２の時点において適用される。プロセッサは、第２の時点において管理サーバと通信していない。リスク評価規則の第２の組は、プロセッサによって識別される。リスク評価規則の第２の組は、第１のユーザ特権基準と異なる第２のユーザ特権基準又は第１のアプリケーション基準と異なる第２のアプリケーション基準の少なくとも１つを含む。計算装置のユーザの第２のログイン事象は、プロセッサを介して及び第１の時点よりも後の第３の時点において検出される。第１のユーザ固有のセキュリティリスクと異なり、且つ第２のユーザ特権基準又は第２のアプリケーション基準の少なくとも１つに基づく第２のユーザ固有のセキュリティリスクは、プロセッサを介して識別される。次いで、特権軽減手段の組からの第２の特権軽減手段は、計算装置を介して及び第４の時点において適用される。第２の特権軽減手段は、第１の特権軽減手段と異なり、且つ第２のユーザ固有のセキュリティリスクに基づく。プロセッサは、第４の時点において管理サーバと通信していない。第１の特権軽減手段及び第２の特権軽減手段の少なくとも１つは、ユーザにアラートを送信することを含む。アラートは、ソフトウェアのアップデートを推奨するメッセージ及び／又はソフトウェアアプリケーションに対するアップデートを開始するメッセージを含み得る。

【0018】

[0026] ここで、コンテキストベースの特権軽減のためのシステム及び方法の様々な構成を図面に関して説明し、図面では、同様の参照番号が同一の又は機能的に同様の要素を示し得る。本明細書で概して説明し図中に示す本システム及び方法の構成は、多岐にわたる異なる構成で構成及び設計することができる。従って、図中に示す幾つかの構成についての以下のより詳細な説明は、本システム及び方法の範囲を限定することを意図せず、本システム及び方法の様々な構成を表すに過ぎない。

【0019】

[0027] 図１Ａは、一実施形態による、コンテキストベースの特権軽減のためのネットワーク化されたシステム１００を示すブロック図である。ネットワーク化されたシステム１００は、ネットワーク（図１Ａには不図示）を介して互いに電子通信する電子装置の組を含む。例えば、ネットワーク化されたシステム１００は、１つ又は複数のローカルエリアネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）、無線ローカルエリアネットワーク（ＷＬＡＮ）、インターネット等を含み得る。ネットワーク化されたシステム１００は、１つ又は複数の計算装置１０４及び少なくとも１つの管理サーバ１０２を含む。

【0020】

[0028] 管理サーバ１０２及び計算装置１０４のそれぞれは、例えば、命令又はコードの組を走らせ及び／又は実行するように構成されるハードウェアベースの集積回路（ＩＣ）又は他の任意の適切なプロセッサ／処理装置であり得る。例えば、管理サーバ１０２及び／又は計算装置１０４は、汎用プロセッサ、中央処理装置（ＣＰＵ）、アクセラレーテッドプロセッシングユニット（ＡＰＵ）、特定用途向け集積回路（ＡＳＩＣ）、書換可能ゲートアレイ（ＦＰＧＡ）、プログラマブル論理アレイ（ＰＬＡ）、複合プログラマブル論理デバイス（ＣＰＬＤ）、プログラマブル論理制御装置（ＰＬＣ）等であり得る。管理サーバ１０２及び／又は計算装置１０４のそれぞれは、システムバス（例えば、アドレスバス、データバス及び／又は制御バス）を介してメモリに動作可能に結合され得る。

【0021】

[0029] 管理サーバ１０２は、リスク評価規則生成部１０６及び強制報告部１０８を含み得る。計算装置１０４は、リスク評価部１１８及び特権軽減強制モジュール１２０を有するエージェント１１６を含み得る。リスク評価規則生成部１０６、強制報告部１０８、エージェント１１６、リスク評価部１１８及び／又は特権軽減強制モジュール１２０のそれぞれは、メモリ内に記憶され、プロセッサ及び／又は例えばＡＳＩＣ、ＦＰＧＡ、ＣＰＬＤ、ＰＬＡ、ＰＬＣ等のハードウェアベースの装置によって実行されるソフトウェアであり得る（例えば、プロセッサにリスク評価規則生成部１０６、強制報告部１０８、エージェント１１６、リスク評価部１１８及び／又は特権軽減強制モジュール１２０を実行させるためのコードがメモリ内に記憶され得る）。ソフトウェア（ハードウェア上で実行される）は、C、C++、Java（登録商標）、Ruby、Visual Basic（商標）及び／又は他のオブジェクト指向、手続き型若しくは他のプログラミング言語及び開発ツールを含む様々なソフトウェア言語（例えば、コンピュータコード）で表すことができる。

【0022】

[0030] 管理サーバ１０２は、プロセッサ及びメモリを含むことができ、ネットワークを介してネットワーク化されたシステム１００の１つ又は複数の計算装置１０４と通信することができる。管理サーバ１０２は、１つ又は複数の計算装置１０４から地理的に離れた位置に物理的に配置され得る。一実装形態では、管理サーバ１０２は、例えば、インターネット接続を介してアクセス可能なクラウドベースサーバである。代わりに、管理サーバ１０２は、１つ又は複数の計算装置１０４と物理的に同じ場所に配置され得る。

【0023】

[0031] 実装形態にもよるが、１つ又は複数の計算装置１０４は、サーバ、デスクトップコンピュータ、ラップトップコンピュータ、タブレットコンピュータ、スマートフォン、ルータ、プリンタ等を含み得る。一実装形態では、１つ又は複数の計算装置１０４は、複数の異なるネットワークに参加するように構成されるモバイル装置（例えば、ラップトップコンピュータ、スマートフォン、タブレットコンピュータ等）である。

【0024】

[0032] コンピュータセキュリティは、１つ又は複数の計算装置１０４並びに１つ又は複数の計算装置１０４及び管理サーバ１０２が接続するネットワークを保護するのに重要である。コンピュータセキュリティは、「サイバーセキュリティ」又は情報技術（ＩＴ）セキュリティと呼ぶこともできる。コンピュータセキュリティは、１つ又は複数の計算装置１０４のハードウェア及びソフトウェアへのアクセスを管理することを含む。コンピュータセキュリティは、ネットワークアクセス、データ及びコードの脆弱性（例えば、セキュリティが侵害されたソフトウェアアプリケーション）を介して発生し得る危害からネットワークを守ることも含む。

【0025】

[0033] 一層多くの計算装置１０４が１つ又は複数のネットワーク上で接続されるにつれて、コンピュータセキュリティが一層重要になっている。例えば、洗練された計算システム及びインターネットに社会が依存するようになると、特権的情報のセキュリティを侵害するために計算装置１０４が悪意あるエンティティによって悪用される可能性がある。この問題は、とりわけ無線ネットワーク（例えば、Bluetooth（登録商標）、Wi-Fi（登録商標）、セルラ）の使用及び「スマート」デバイス（例えば、スマートフォン、テレビ及びモノのインターネットの一部である装置）の成長に関して重要である。

【0026】

[0034] 計算装置１０４は、様々な脆弱性に直面し得る。例えば、計算装置１０４上にインストールされているソフトウェアアプリケーションがゼロデイエクスプロイトを受ける可能性があり、ゼロデイエクスプロイトは、ハッカーが計算装置１０４、追加のコンピュータ及び／又はネットワーク上のコンピュータプログラム及び／又はデータを悪用することを可能にする。計算装置１０４が直面する別の脆弱性は、セキュアネットワークから、安全な環境を提供しないパブリックネットワークへの移動である。例えば、ハッカーは、計算装置１０４へのアクセスを得ようとしてパブリックネットワーク上のネットワークトラフィックをモニタする可能性がある。計算装置１０４が直面する更に別の脆弱性は、セキュリティが侵害されたユーザアカウントである。例えば、ハッカーは、ユーザ資格情報（例えば、ユーザ名及びパスワード）を取得することにより、計算装置１０４又はネットワークへのアクセスを得ようと試みる場合がある。このシナリオは、計算装置１０４上で高い特権を有するユーザにとって特に危険である。例えば、管理者は、ネットワーク上の非管理者ユーザよりも多くのファイル、アプリケーション又はネットワーク資源にアクセスするための高い特権を有し得る。従って、ハッカーは、管理者のユーザ資格情報を用いてネットワークに多大なダメージを生じさせることができる。

【0027】

[0035] コンピュータセキュリティを提供するために様々な手法が使用され得る。１つの手法は、アンチウイルスソフトウェアをインストールすることである。アンチウイルスソフトウェアは、計算装置１０４が悪意あるソフトウェアによってセキュリティ侵害されているときにユーザ及び管理者に通知する検出ルーチンを概して使用する。アンチウイルスソフトウェアは、計算装置１０４のスキャン中に悪意あるコードのシグネチャ又は挙動を検出することもできる。しかし、アンチウイルスの手法は、セキュリティ問題に関して概して事後的に適用される。換言すれば、アンチウイルスソフトウェアは、計算装置１０４が感染した後、セキュリティが侵害された計算装置１０４を概して検出する。そのため、アンチウイルスソフトウェアは、既知の脅威に概して対応するが、依然として知られていない脅威に対して計算装置１０４を保護しない。

【0028】

[0036] コンピュータセキュリティに対する別の手法は、パッチ管理である。パッチ管理では、アップデートが入手できるようになると、計算装置１０４上のソフトウェアプログラムが概して更新される。しかし、パッチ管理システムでは、新たに発見される脆弱性から計算装置１０４を保護するのに十分に迅速にアップデートが適用されない可能性がある。例えば、ゼロデイエクスプロイトの場合、セキュリティが侵害されたソフトウェアアプリケーションを実行する計算装置１０４は、関連するパッチが提供され、インストールされるまで脆弱なままであり得る。

【0029】

[0037] コンピュータセキュリティの更に別の手法は、グループポリシオブジェクト（ＧＰＯ）を使用する。ＩＴ管理者は、ＧＰＯを作成し及び／又は定めてネットワーク１００の規則を強制することができる。管理者は、典型的には、ネットワーク上のユーザの規則及び権利を管理するポリシを作成し及び／又は定める。例えば、ＧＰＯは、パスワード失効パラメータ及びパスワード複雑度規則を規定することができる。しかし、ＧＰＯを作成し及び／又はＧＰＯにアクセスできるのは、管理者であるため、ＧＰＯの例外によってオーバーライドのフラグが立てられることなしに、管理者は、ＧＰＯ設定をユーザレベルでオーバーライドすることができる。換言すれば、それらの管理者は、管理者がＧＰＯに服するのを回避することを可能にする権利を有する。更に、管理者は、毎年のセキュリティコンプライアンスの確認を概して行うが、ＩＴ環境の複雑さにより、セキュリティコンプライアンスの確認は、コンプライアンスの全面監査とは対照的に要点検査であることが多く、所望の任意のＧＰＯオーバーライドが実装されない可能性がある。

【0030】

[0038] コンピュータセキュリティ内において、一般的な悪用は、悪意あるユーザが、ユーザのアカウントへのアクセス及びそのユーザが有する何らかの特権又は権利を得ることを概してもたらす。従って、高い権利及び役割を有するユーザ（例えば、管理者）には、他のユーザ（例えば、非管理者）よりも多くのセキュリティポリシを適用して、高い権利及び／又は役割を有するユーザのアカウントが標的とされた場合、悪意あるユーザがネットワーク（例えば、企業ネットワーク）の重要な部分にアクセスできないことを確実にすべきである。しかし、実際には、これは、滅多に守られていない。例えば、ＩＴ管理者は、他のユーザに関連して強制するパスワード失効パラメータ及びパスワード複雑度規則を、多くの場合に便宜上の理由から、上位のＩＴ環境（例えば、企業ＩＴ環境）のセキュリティが低下するという代償を払って無効にすることがある。

【0031】

[0039] 上記の内容から認めることができるように、計算装置１０４を保護するためのコンテキストベースの特権軽減の需要が存在する。本明細書に記載のシステム及び方法（例えば、ネットワーク化されたシステム１００）は、計算装置１０４にログインしているユーザ（本明細書ではログインユーザとも呼ぶ）に関する、例えば設定、ポリシ及び／又はログインユーザがアクセスを有するソフトウェアアプリケーション及び／又は計算装置を含む関連コンテンツを分析して、ログインユーザに適したセキュリティレベルを決定することができる。次いで、ネットワーク化されたシステム１００は、セキュリティリスクを減らすために特権軽減手段を適用することができる。特権軽減により、更には検出される悪意あるシグネチャなしに、ネットワーク化されたシステム１００は、既知の脅威及び未知の脅威から計算装置１０４を保護することを促進し得る。

【0032】

[0040] 本明細書に記載のシステム及び方法（例えば、ネットワーク化されたシステム１００）は、所与の状況又はコンテキストについて計算システムのセキュリティが十分であることを確実にすることを促進する。一部の実施形態では、計算装置１０４に関連するコンテキストを分析して特権軽減手段１１４を適用すべきかどうかを判定する。コンテキストは、計算装置１０４に関する情報（例えば、装置の設定、計算装置上にインストールされることが許可されたソフトウェアアプリケーション（即ち「ホワイトリストに登録された」ソフトウェアアプリケーション）、計算装置のソフトウェアアプリケーションに関する既定の又は所望のパッチレベル等）、ログインユーザに関する情報（例えば、計算装置１０４にログインするために使用されるユーザアカウント、ユーザに関連する特権／許可レベル等）、及びユーザがログインするとき又はユーザが計算装置１０４を使用する期間中に計算装置１０４が接続しているネットワークのネットワーク種類に関する情報（例えば、プライベート／「オンネットワーク」又はパブリック／「オフネットワーク」）を含み得る。計算装置１０４の現在の状態及び既知の脆弱性の現在の状態に基づいて、計算装置１０４がより安全であるようにログインユーザに適用可能な特権及び／又は設定を制限することができる。

【0033】

[0041] 管理サーバ１０２は、ネットワーク化されたシステム１００に対して管理者が強制すること望むポリシ及び／又は規則の組を管理者が作成し、定め、閲覧し、管理する装置であり得る。管理者は、動的な規則の組、静的な規則の組又はその両方の組み合わせを作成することができる。

【0034】

[0042] 実装形態の一例では、管理サーバ１０２は、例えば、管理サーバ１０２内にある（例えば、管理サーバ１０２のメモリ内に記憶される及び／又は管理サーバ１０２のプロセッサによって実行される）リスク評価規則生成部１０６を使用してリスク評価規則１１０を生成するために使用される。管理者は、ネットワーク化されたシステム１００内の１つ又は複数の計算装置１０４に適用されるリスク評価規則１１０を定めることができる。リスク評価規則１１０は、リスク基準１１２及びリスク基準１１２に関連する１つ又は複数の特権軽減手段１１４を含み得る。リスク基準１１２は、それにより計算装置１０４がログインユーザに関連する１つ又は複数のリスクを評価することができるコンテキストを提供する。リスク基準１１２は、例えば、セキュリティリスクの識別に適用可能であり得るユーザ特権基準、装置基準及び／又はアプリケーション基準を含み得る。ユーザ特権基準は、セキュリティリスクを示すログインユーザに関連するパラメータを含み得る。例えば、ユーザ特権基準は、ログインユーザが管理者であるどうかの指示を含み得る。ユーザ特権基準は、計算装置１０４及び／又はネットワーク上の資源へのアクセスに関する高い特権をログインユーザが有するかどうかの指示も含み得る。ユーザ特権基準は、ネットワークにアクセスする特権を超えたネットワーク特権（例えば、１つ又は複数のネットワーク化された装置上のデータを修正するための特権、ネットワーク化された装置上にソフトウェアアプリケーションをインストールするための特権等）をログインユーザが有するかどうかの指示も含み得る。

【0035】

[0043] 装置基準は、セキュリティリスクの識別に適用可能であり得る計算装置１０４に関連するパラメータを含み得る。それらのパラメータは、例えば、計算装置１０４のパッチレベルの指示（例えば、適用されているソフトウェアパッチの数又はソフトウェアパッチの識別情報／バージョン）、ネットワークの「種類」又は位置の指示（例えば、指定のセキュアネットワーク上又はパブリックネットワーク上）、１つ又は複数のパスワードポリシ（例えば、ＧＰＯポリシ）及び／又は計算装置１０４の種類（例えば、ラップトップ又はスマートフォン、メーカー、モデル等）のインジケータを含み得る。

【0036】

[0044] アプリケーション基準は、セキュリティリスクの識別に適用可能であり得る、計算装置１０４上にインストールされているソフトウェアアプリケーションに関連するパラメータを含み得る。アプリケーション基準は、例えば、アプリケーションのベンダの指示、アプリケーションのバージョン、アプリケーションのパッチレベルの指示、そのアプリケーションが曝されるリスクの指示及び／又は１つ若しくは複数の既知の脆弱性の指示を含み得る。

【0037】

[0045] リスク評価規則１１０は、リスク基準１１２に関連する１つ又は複数の特権軽減手段１１４のインジケータの集合も含み得る。一部の例では、特権軽減手段１１４は、ログインユーザに関連する識別されたリスクを減らすために計算装置１０４によって実施され得る、ユーザ特権に関係する１つ又は複数の動作である。リスク基準１１２に基づいて識別されるセキュリティリスクに１つ又は複数の特権軽減手段１１４をマップすることができる。計算装置における１つ又は複数の特権軽減手段１１４の実施は、管理サーバ１０２から計算装置１０４に信号を送信することによって管理サーバ１０２において適用可能である。信号は、計算装置において１つ又は複数の特権軽減手段１１４を実施するための命令を符号化することができる。代わりに、計算装置における１つ又は複数の特権軽減手段１１４の実施は、計算装置において直接／ローカルに適用され得る。

【0038】

[0046] 特権軽減手段１１４の一例は、ログインユーザのユーザ特権レベルを下げること（例えば、ログインユーザがより少ない機能／資源にアクセスするようにログインユーザに限定アクセスを与えること、識別されたリスクに関連する１つ又は複数の機能／資源へのアクセスを除去すること等）を含む。例えば、「高」の関連セキュリティリスクを有することが分かった管理者の特権レベルを下げることができる。特権軽減手段１１４の別の例は、ソフトウェアアプリケーションのインストールを（例えば、全体的に又は１つ若しくは複数の特定のソフトウェアアプリケーションについて）無効にすること、及び／又は計算装置上にインストールされ、「脆弱」として識別されたソフトウェアアプリケーションが更新されるまで計算装置１０４上でのソフトウェアアプリケーションの使用を無効にすることを含む。特権軽減手段１１４の他の例は、特権的及び／又は機密ファイルへのアクセスを妨げること、ネットワークアクセスを無効にすること、識別されたセキュリティリスクを解決するようにユーザを促すこと、及び／又は計算装置１０４を無効にすることを含む。

【0039】

[0047] 一実装形態では、１つ又は複数の特権軽減手段１１４の選択は、ネットワークの種類／位置に基づく。例えば、計算装置１０４が指定の安全なネットワーク（例えば、ホームネットワーク又は他のプライベートネットワーク）に接続されているものとして識別される場合、第１の特権軽減手段１１４は、（例えば、管理サーバ１０２から計算装置１０４において受信され、１つ又は複数の特権軽減手段１１４を計算装置において実施するための命令を符号化する信号に応答して）計算装置１０４において実施され得る一方、計算装置１０４がパブリックネットワークに接続されているものとして識別される場合、第１の特権軽減手段１１４と異なる第２の特権軽減手段１１４は、計算装置１０４において実施され得る。

【0040】

[0048] 一部の実装形態では、特権軽減手段１１４は、既知の脆弱性の重大度に基づいて選択される。重大度は、計算装置１０４又は管理サーバ１０２において決定され得る。例えば、計算装置１０４上にインストールされているソフトウェアアプリケーションは、期限切れであるか又はアップデートが必要である（従って、１つ又は複数のセキュリティリスクに対して潜在的に脆弱）として識別される可能性があり、ネットワーク化されたシステム１００は、計算装置１０４に関連する保守「時間枠」（即ち時間間隔）が開始するまでソフトウェアアプリケーションの予定されたアップデートがもう１週間遅らされていることを更に識別することができる。かかる事例では、第１の特権軽減手段１１４は、他の任意の制限なしに計算装置１０４を手動で更新するようにユーザを促すことを含み得る。しかし、別の例として、ソフトウェアアプリケーションは、既知の悪用（即ちセキュリティの脆弱性）を受けるようになる可能性がある。その場合、ソフトウェアアプリケーションのアップデートが重要なものとして識別され得る、第２の特権軽減手段１１４を実施してソフトウェアアプリケーションのアップデートがインストールされるまで、ソフトウェアアプリケーションへのアクセスを妨げることができる。

【0041】

[0049] 一部の実装形態では、リスク評価規則１１０は、ログインユーザ及び／又は計算装置１０４に関連する識別されたセキュリティリスクを減らすために計算装置１０４が従う決定木を含む。リスク評価規則１１０は、計算装置１０４が是正措置を取り得る複数の異なるシナリオの指示に関連することができ、例えば所与のシナリオに関連するリスクに応じて計算装置１０４の様々な反応（即ち特権軽減）レベルを定める能力を管理者に与える。

【0042】

[0050] 一部の実装形態では、管理サーバ１０２は、計算装置１０４にリスク評価規則１１０（リスク基準１１２及び特権軽減手段１１４のインジケータを含む）を送信する。図１Ａに示すように、計算装置１０４は、リスク評価規則１１０を使用してコンテキストベースの特権軽減を行うように構成されるエージェント１１６を含み得る。エージェント１１６は、計算装置１０４を管理するために使用されるネットワーク管理システムの一部であり得るか、又はかかるネットワーク管理システムに関連し得る。

【0043】

[0051] 図１Ａのエージェント１１６は、リスク評価規則１１０に基づいて、計算装置１０４のログインユーザに関連するセキュリティリスク（即ちユーザ固有のセキュリティリスク）を決定するように構成されるリスク評価部１１８を含む。例えば、リスク評価部１１８は、リスク評価規則１１０内のリスク基準１１２に加えて、計算装置１０４に関連するユーザ情報１２２、装置情報１２４及び／又はアプリケーション情報１２６に基づいてセキュリティリスクを決定することができる。リスク評価部１１８がユーザ情報１２２に基づいてセキュリティリスクを決定するとき、エージェント１１６は、いずれのユーザが軽減を必要とする特権を有するかを明らかにし、それらのユーザに関連する１つ又は複数のポリシを監査して、適切なポリシが強制されていることを確実にすることができる。

【0044】

[0052] 一実装形態では、リスク評価部１１８は、計算装置１０４のログインの検出時及び／又はかかるログインの検出後、ログインユーザに関連するセキュリティリスクを識別する。例えば、ユーザがログインする前に（即ちユーザが計算装置１０４にログインしていない時点において）、計算装置１０４は、いかなるセキュリティリスクも識別することができない。しかし、ユーザがログインすると、計算装置１０４は、（例えば、ログインユーザの識別情報及び／又は計算装置１０４上にインストールされている及び／又は計算装置１０４上で実行されているソフトウェアアプリケーションの識別情報に基づいて）リスク評価規則１１０を適用して、ログインユーザに関連するセキュリティリスクを決定することができる。

【0045】

[0053] 別の実装形態では、管理サーバ１０２から、更新された及び新たなセキュリティの脆弱性が計算装置１０４に関連することを示すリスク評価規則１１０を受信すると、リスク評価部１１８は、ログインユーザに関連するセキュリティリスクを決定する。かかる実装形態では、ユーザは、その時点でログイン中であり得る。例えば、ゼロデイエクスプロイトの場合、新たなリスク評価規則１１０が管理サーバ１０２から計算装置１０４に送信され得、この新たな脆弱性を識別することができる。この場合、新たなリスク評価規則１１０は、新たに発見される脆弱性にフラグを立て、リスク評価規則１１０の１つ又は複数の特権軽減手段１１４の計算装置１０４における実装を促すことができる。

【0046】

[0054] 一部の実装形態では、リスク評価部１１８は、リスク評価規則１１０を再評価して、ログインユーザに関連するセキュリティリスクを定期的に及び／又は検出される事象に応答して更新する。例えば、リスク評価部１１８は、ユーザが計算装置１０４にログインするたびにリスク評価規則１１０を再評価することができる。代わりに、リスク評価部１１８は、ログインユーザのためのリスク評価規則１１０を１日（又は別の設定可能な期間）に一度再評価することができる。リスク評価部１１８は、管理サーバ１０２から計算装置１０４において新たなリスク評価規則１１０が受信されるたびに、及び／又は重要であるとフラグを立てられたアイテムが新たなリスク評価規則１１０内で識別されるときにリスク評価規則１１０を再評価することもできる。

【0047】

[0055] エージェント１１６は、ログインユーザに関連する検出されたセキュリティリスクに基づいて、計算装置１０４上のプロセッサによって実装されるための１つ又は複数の特権軽減手段１１４を指定する特権軽減強制モジュール１２０も含み得る。セキュリティリスクが検出されると、特権軽減強制モジュール１２０は、計算装置１０４を保護するために計算装置１０４の１つ又は複数の資源（例えば、１つ又は複数のソフトウェアアプリケーション）にユーザがアクセスするのを妨げることができる。特権軽減強制モジュール１２０によって強制される１つ又は複数の特権軽減手段１１４は、リスク評価規則１１０によって指定され得る。

【0048】

[0056] 一実装形態では、特権軽減強制モジュール１２０は、ソフトウェアパッチング、特権管理及び／又はホワイトリスト登録／ブラックリスト登録の１つ又は複数を含む特権軽減手段１１４を強制する。特権軽減手段１１４がソフトウェアパッチングを含む場合、特権軽減強制モジュール１２０は、ソフトウェアアップデートが入手可能であるという指示を（例えば、グラフィカルユーザインタフェース「ＧＵＩ」を介して）ユーザに与えることができる。特権軽減強制モジュール１２０は、アップデートが自動で又は（例えば、ＧＵＩを介した）ユーザ入力に応答してインストールされることを引き起こすことができる。

【0049】

[0057] 特権軽減手段１１４が特権管理を含む場合、ユーザアカウントに関連する特権レベルを下げることができる。例えば、（１人又は複数のユーザと比較して）自らのアカウントに関連する１つ又は複数の高い特権レベルを有する管理者又は他のログインユーザのユーザ特権レベルの１つ又は複数を、例えば、計算装置１０４上の及び／又はネットワークを介してアクセス可能なファイル、アプリケーション又は他の資源に対するそれらの者のアクセスを制限するために下げることができる。

【0050】

[0058] 特権軽減手段１１４がホワイトリスト登録を含む場合、特権軽減強制モジュール１２０は、計算装置１０４上の１つ又は複数の機能／資源を許可して、１つ又は複数の機能／資源の動作／アクセス性を引き続き認めることができる。特権軽減手段１１４がブラックリスト登録を含む場合、１つ又は複数の機能／資源を無効にすることができる。一例では、リスク評価部１１８は、計算装置１０４上にインストールされたソフトウェアアプリケーションが期限切れであること、及びソフトウェアアプリケーションの現在のバージョンが悪用されやすいことを判定し得る。かかる判定に基づいて、特権軽減強制モジュール１２０は、他の点では計算装置１０４の継続した動作を許可しながら、所定のソフトウェアアプリケーションの組を、その組の１つ又は複数のソフトウェアアプリケーションが更新されるまで「ブラックリストに登録する」（例えば、使用できなくする）ことができる。代わりに、特権軽減強制モジュール１２０は、所定のソフトウェアアプリケーションの組を、その組内にない１つ又は複数のソフトウェアアプリケーションが更新される（その時点において、更新されたソフトウェアアプリケーションは、ホワイトリストに追加され得る）まで「ホワイトリストに登録する」（例えば、利用できるようにする）ことができる。特権軽減強制モジュール１２０は、脆弱なソフトウェアアプリケーションをブラックリストに登録し、それによりソフトウェアアプリケーションのバージョンが更新されるまでソフトウェアアプリケーションを無効にすることもできる。ホワイトリスト及びブラックリストの選択肢は、ユーザエクスペリエンスに影響を及ぼす（例えば、計算装置１０４の使用時に一時的な不便さをユーザに与える）可能性があるが、かかる手法は、リスクが解決されるまで計算装置１０４を保護するのに有用であり得る。

【0051】

[0059] 一部の実装形態では、エージェント１１６は、エージェント１１６がオフネットワーク（即ち管理サーバ１０２と通信しない）の場合でもエージェント１１６がリスク評価規則１１０を引き続き強制できる点で自己完結型であるように構成される。同様に述べると、リスク評価規則１１０は、受信されると、計算装置１０４のローカルメモリ内に記憶され、エージェント１１６によって後にアクセス／使用され得る。例えば、計算装置１０４は、ローカルメモリからリスク評価規則１１０を「受信する」（又は識別する）ように構成され得る。

【0052】

[0060] 本明細書で使用するとき、「オンネットワーク」とは、計算装置１０４が指定の安全なネットワークに接続されていることを指し、「オフネットワーク」とは、計算装置１０４が指定の安全なネットワークに接続されていないことを指す。例えば、計算装置１０４がオフィス内にある場合、計算装置１０４は、ネットワーク上のドメインコントローラと通信して、自らが指定の安全なネットワーク上にあることを明らかにすることができる。計算装置１０４は、例えば、指定の安全なネットワークに関連するコアインフラを検出し、その結果、計算装置１０４が指定の安全なネットワークに接続されていると判定することができる。

【0053】

[0061] 計算装置１０４が指定の安全なネットワーク上にないが、依然としてインターネットにアクセスできる場合、計算装置１０４は、オフネットワークであると見なすことができる。例えば、計算装置１０４は、インターネットカフェ内、ホテルのWi-Fi（登録商標）上、自宅のWi-Fi（登録商標）上等にあり得る。計算装置１０４が、オンネットワーク接続を示すコアインフラのいずれも検出しない（従って、計算装置１０４がオフネットワークであると判定する）場合、エージェント１１６は、エージェント１１６がオンネットワーク接続を示すコアインフラを検出する場合に行うのと異なるセキュリティ上の決定を下すことができる。例えば、計算装置１０４がオフネットワークであると判定すると、エージェント１１６は、計算装置１０４がオンネットワークであると判定するときにエージェント１１６が実施するよりも多数の特権軽減手段１１４を実施し得る。

【0054】

[0062] 一部の実装形態では、計算装置１０４は、失敗したログインの試み（又はログインの試みが失敗した回数が所定の若しくは既定の閾値の回数を上回ること）等のログイン事象に基づいてセキュリティリスクを識別するように構成される。失敗したログインの試みに基づいてセキュリティリスクを識別することに応答して、計算装置１０４は、計算装置１０４上で実行されるアプリケーションからユーザを締め出す特権軽減手段を実施することができる。

【0055】

[0063] エージェント１１６は、計算装置１０４が離れたネットワーク位置にあるとき、リスク評価規則１１０を取得するようにも構成することができる。例えば、クラウドベースの手法では、計算装置１０４がパブリックネットワーク上にある場合、エージェント１１６は、インターネットを介して管理サーバ１０２と接触してリスク評価規則１１０を取得することができる。従って、オフネットワークである計算装置１０４は、あたかもオンネットワークであるかのように引き続きサポートすることができる。

【0056】

[0064] 一実装形態では、特権軽減手段が実施された後、エージェント１１６は、管理サーバ１０２に強制アクティビティ（即ち実施されている特権軽減手段）を折り返し報告するように構成される。エージェント１１６がセキュリティリスクを識別し、特権軽減手段１１４を強制するとき、エージェント１１６は、管理サーバ１０２に強制報告１２８を送り返すことができる。強制報告１２８を受信すると、管理サーバ１０２の強制報告部１０８は、（例えば、管理サーバ１０２のＧＵＩを介して）管理者に通知を行うことができる。強制報告１２８は、ベストプラクティスの変化について管理者に知らせることができる。例えば、強制報告１２８は、対話型セッションを制限するように管理者を促すことができる。

【0057】

[0065] 一部の実装形態では、脆弱なソフトウェアアプリケーションが識別されるとき、特権軽減を使用してセキュリティリスクを減らすことができる。例えば、管理者は、「出回っている」ソフトウェアアプリケーションの悪用を認識することができる。「出回っている」ソフトウェアアプリケーションとは、使用中であり且つ限られた環境の外部でリリースされている（例えば、感染したネットワークによって伝搬している）ソフトウェアアプリケーションである。悪用の知識に基づいて、管理者は、関連するソフトウェアアプリケーションのための新たなリスク評価規則１１０を生成することができる。これらの新たなリスク評価規則１１０は、ネットワークを介して計算装置１０４に送信され得る。次いで、新たなリスク評価規則１１０を受信することに応答して、計算装置１０４上のエージェント１１６は、関連するソフトウェアアプリケーションに使用可能なアップデートをモニタすることができる。

【0058】

[0066] 脆弱なソフトウェアアプリケーションがセキュリティリスクであるという指示を含む新たなリスク評価規則１１０を受信すると、エージェント１１６は、脆弱なソフトウェアアプリケーションが計算装置１０４上にあると判定し、その判定に応じて特権軽減手段１１４を適用することができる。特権軽減手段１１４は、脆弱なソフトウェアアプリケーションが完全に最新になるまで（即ち脆弱なソフトウェアアプリケーションに対し、そのソフトウェアアプリケーションを識別されたセキュリティ上の脅威に対して脆弱でなくするアップデートが行われるまで）脆弱なソフトウェアアプリケーションに関連するログインユーザの特権レベルを下げることを含み得る。エージェント１１６は、ログインユーザ及び／又は計算装置１０４を更に保護するために１つ又は複数の追加の特権軽減手段１１４を実施することもできる。例えば、エージェント１１６は、動的ポリシ割当プロセスを実施することができ、動的ポリシ割当プロセスでは、セキュリティポリシの修正時におけるログインユーザに関連する状況の組に応じてログインユーザに関連するセキュリティポリシが反復的に（例えば、定期的に及び／又はトリガに応答して）修正される。

【0059】

[0067] そのような一部の状況において、ソフトウェアアプリケーション及び／又はログインユーザに関連する更なるリスク評価規則の組１１０が後に受信され得る。例えば、更なるリスク評価規則の組１１０は、ソフトウェアパッチが適用されているという指示及び／又は新たなソフトウェアの脆弱性が識別されているという指示を含み得る）。その後、計算装置１０４上のユーザの更なるログインが検出され得る。更なるログインを検出することに応答して及び更なるリスク評価規則の組１１０に基づき、ユーザ特権レベルを上げる（又は他の方法で調節する）ことができる。

【0060】

[0068] 一部の実装形態では、グループポリシを自動で修復することによる特権軽減を使用してセキュリティリスクを減らすことができる。例えば、エージェント１１６は、ユーザ及び／又はユーザがアクセスを有するソフトウェアアプリケーション若しくは装置に関する関連コンテンツ（例えば、設定、ポリシ等）を分析して、ユーザに適したセキュリティレベルを決定することができる。エージェント１１６は、ログインユーザに関連するユーザアカウント設定が何らかの方法でグループポリシオブジェクト（ＧＰＯ）に違反することを判定し得る。例えば、管理者は、パスワード強制ポリシをオーバーライドすることができる。この場合、特権軽減手段１１４は、ログインユーザのユーザアカウント設定をＧＰＯに準拠するように修復することであり得る。代わりに又は加えて、エージェント１１６は、規則によって及び／又はポリシの例外を構成する動作の有効性をモニタすることによってＧＰＯを強制し、規則を適用することによって又はモニタすることに応答してＧＰＯを修正（又は「修復」）して、ユーザが責任をもって行動していることを確実にすることができる。

【0061】

[0069] 本明細書に記載のシステム及び方法（例えば、図１Ａのシステム１００）は、コンピュータセキュリティに対する既知の手法を改善する。セキュリティリスクに事後的に応答するのではなく、記載のシステム及び方法は、既知の脅威及び未知の脅威から計算装置１０４を保護するためのコンテキストベースの特権軽減によってコンピュータセキュリティを提供する。計算装置１０４に関連する１つ又は複数のセキュリティリスクを減らすのとは対照的に、ログインユーザに関連する１つ又は複数のセキュリティリスクを減らすために様々な動作を行うことができる。

【0062】

[0070] 図１Ｂは、一実施形態による、図１の計算装置１０４のプロセッサによって実施可能なコンテキストベースの特権軽減のための、プロセッサによって実施される方法を示すプロセス流れ図である。図１Ｂに示すように、コンテキストベースの特権軽減のための方法１５０は、１３５ａにおいて、ネットワークと動作可能に通信するプロセッサによって及び第１の時点において計算装置のユーザの第１のログイン事象を検出することを含む。プロセッサにおいて及びユーザの第１のログインを検出することに応答して、リスク評価規則の第１の組を１３５ｂにおいて識別する。一部の例では、リスク評価規則の第１の組は、（１）ユーザに関連する第１のユーザ特権基準、（２）特権軽減手段の組、及び（３）第１のアプリケーション基準を含み得る。第１のアプリケーション基準は、計算装置上で実行されるソフトウェアアプリケーションのベンダ、ソフトウェアアプリケーションのバージョン、ソフトウェアアプリケーションのパッチレベル又はソフトウェアアプリケーションが曝されるリスクの少なくとも１つを含む。特権軽減手段の組からの少なくとも１つの特権軽減手段は、第１のユーザ特権基準に関連し得る。

【0063】

[0071] １３５ｃにおいて、（例えば、図１Ａに示すようにリスク評価規則を介して管理サーバから受信される）第１のユーザ特権基準及び第１のアプリケーション基準に基づいて第１のユーザ固有のセキュリティリスクを、プロセッサを介して識別する。次いで、１３５ｄにおいて、第１のユーザ固有のセキュリティリスクに基づいて、複数の特権軽減手段からの第１の特権軽減手段を、プロセッサを介して及び第２の時点において適用する。一部の実装形態では、プロセッサは、第２の時点において管理サーバと通信していない。他の実装形態では、プロセッサは、第２の時点において管理サーバと通信している。

【0064】

[0072] １３５ｅにおいて、リスク評価規則の第２の組をプロセッサによって識別する。例えば、計算のコンテキストが変わっているため、リスク評価規則の第２の組は、第１のユーザ特権基準と異なる第２のユーザ特権基準又は第１のアプリケーション基準と異なる第２のアプリケーション基準の少なくとも１つを含み得る。１３５ｆにおいて、計算装置のユーザの第２のログイン事象を、プロセッサを介して及び第１の時点よりも後の第３の時点において検出する。１３５ｇにおいて、第１のユーザ固有のセキュリティリスクと異なり、且つ第２のユーザ特権基準又は第２のアプリケーション基準の少なくとも１つに基づく第２のユーザ固有のセキュリティリスクを、プロセッサを介して識別する。次いで、１３５ｈにおいて、特権軽減手段の組からの第２の特権軽減手段を、プロセッサを介して及び第４の時点において適用する。第２の特権軽減手段は、第１の特権軽減手段と異なり、且つ第２のユーザ固有のセキュリティリスクに基づく。プロセッサは、第４の時点において管理サーバと通信していない。第１の特権軽減手段及び第２の特権軽減手段の少なくとも１つは、ユーザにアラートを送信することを含む。アラートは、ソフトウェアのアップデートを推奨するメッセージ及び／又はソフトウェアアプリケーションに対するアップデートを開始するメッセージを含み得る。

【0065】

[0073] 図２は、別の実施形態による、コンテキストベースの特権軽減のための方法２００を示す流れ図である。方法２００は、計算装置（例えば、図１Ａの計算装置１０４）によって実施され得る。計算装置は、ネットワークを介して管理サーバ（例えば、図１Ａの管理サーバ１０２）と通信し得る。図２に示すように、計算装置１０４は、２０２において管理サーバ１０２からリスク評価規則１１０を受信することができる。リスク評価規則１１０は、セキュリティリスクの指示を含むリスク基準１１２を含み得る。これらのリスク基準１１２は、セキュリティリスクを示すユーザ特権基準、装置基準又はアプリケーション基準を含み得る。例えば、ユーザ特権基準は、ログインユーザが管理者である場合、（非管理者のログインユーザに関連するセキュリティリスクと比較して）セキュリティリスクが「高い」ことを指示し得る。別の例では、装置基準は、計算装置１０４のネットワークの種類／位置を含むことができ、パブリックネットワークは、指定の安全なネットワーク（例えば、プライベートネットワーク）のセキュリティリスクよりも高いセキュリティリスクに関連し得る。更に別の例では、ソフトウェアアプリケーションが曝され得る１つ又は複数の既知の脆弱性のインジケータをアプリケーション基準が含む。リスク評価規則１１０は、セキュリティリスクに関連する１つ又は複数の特権軽減手段１１４も含み得る。特権軽減手段１１４は、ログインユーザに関連する識別されたセキュリティリスクを減らすために計算装置１０４によって実施され得る１つ又は複数の動作を含む。

【0066】

[0074] ２０４において、計算装置１０４は、リスク評価規則１１０に基づいて、計算装置１０４のログインユーザに関連するセキュリティリスクを決定することができる。計算装置１０４は、リスク評価規則１１０内のリスク基準１１２に加えて、計算装置１０４に関連するユーザ情報１２２、装置情報１２４及び／又はアプリケーション情報１２６（総称して「コンテキスト情報」）に基づいてセキュリティリスクを決定する２０４ことができる。評価されるコンテキスト情報が１つ又は複数のリスク基準１１２に関連すると判定される場合、セキュリティリスクが識別される。例えば、ログインユーザが特権的又は機密データにアクセスできる管理者であり、計算装置１０４がパブリックネットワークに接続されている場合、計算装置１０４は、セキュリティリスクがあると判定することができる。

【0067】

[0075] 一実装形態では、２０４において、計算装置１０４は、計算装置１０４におけるログインユーザによるログインの検出時、ログインユーザに関連するセキュリティリスクを決定することができる。例えば、ユーザが計算装置１０４にログインするとき、計算装置１０４は、リスク評価規則１１０を評価して、そのユーザに関連するセキュリティリスクがあるかどうかを判断することができる。

【0068】

[0076] 別の実装形態では、計算装置１０４は、計算装置１０４に関連する新たな脆弱性を示す更新されたリスク評価規則１１０を（例えば、管理サーバ１０２から）受信したとき、ログインユーザに関連するセキュリティリスクを決定する２０４ことができる。例えば、ソフトウェアアプリケーションの悪用が管理者によって識別される場合、管理者は、脆弱なソフトウェアアプリケーションに「フラグを立てる」（即ちソフトウェアアプリケーションに悪用を関連付ける）ために計算装置１０４に新たなリスク評価規則１１０を送信することができる。計算装置１０４は、ログインユーザが脆弱なソフトウェアアプリケーションへのアクセスを有するかどうかを評価するために、更新されたリスク評価規則１１０を受信することに応答してリスク評価規則１１０を評価することができる。

【0069】

[0077] ２０６において、計算装置１０４は、ログインユーザに関連するセキュリティリスクに基づいて特権軽減手段１１４を適用することができる。例えば、セキュリティリスクが検出される場合、計算装置１０４は、計算装置１０４を保護するために計算装置１０４の１つ又は複数の資源にユーザがアクセスするのを妨げることができる。

【0070】

[0078] 計算装置１０４は、リスク評価規則１１０内で示される特権軽減手段１１４の１つ又は複数を実施することができる。特権軽減手段１１４の例は、ログインユーザのユーザ特権レベルを下げること、脆弱なアプリケーションが更新されるまでログインユーザによるアプリケーションのインストール及び／又は計算装置１０４上での使用を妨げること、機密ファイルへのログインユーザによるアクセスを妨げること、ネットワークアクセスを無効にすること、セキュリティリスクを解決するための措置を取るように（例えば、計算装置１０４のＧＵＩを介して）ログインユーザを促すこと、計算装置１０４を無効にすること、及び／又はグループポリシに準拠していないログインユーザに関連する１つ又は複数のユーザ設定を修復することを含む。本明細書で挙げたものの代わりの又はそれに加えた他の特権軽減手段１１４も適用され得る。

【0071】

[0079] 図３は、別の実施形態による、脆弱なソフトウェアアプリケーションの検出を含むコンテキストベースの特権軽減のための方法３００を示す流れ図である。方法３００は、計算装置（例えば、図１Ａの計算装置１０４）によって及び／又は管理サーバ（例えば、図１Ａの管理サーバ１０２）と通信する計算装置によって実施され得る。図３に示すように、計算装置１０４は、３０２において管理サーバ１０２からリスク評価規則１１０を受信することができる。これは、例えば、図２に関して説明したように実現することができる。計算装置１０４がリスク評価規則１１０を受信すると、計算装置１０４は、管理サーバ１０２との通信を維持してもしなくてもよい。リスク評価規則１１０は、計算装置１０４のソフトウェアアプリケーションが悪用に対して脆弱であることを示し得る。例えば、脆弱性は、アプリケーションの挙動の変化を生じさせ得る。一部の例では、脆弱性は、ゼロデイエクスプロイト又は攻撃者がログインユーザの権利及び特権を得ることを可能にする他の悪用であり得る。

【0072】

[0080] ３０４において、計算装置１０４は、リスク評価規則１１０を評価することができる。例えば、リスク評価規則１１０は、セキュリティリスクに関連するリスク基準１１２を提供し得る。計算装置１０４上のエージェント１１６は、リスク基準１１２に関連する計算装置１０４上の情報（例えば、計算装置１０４上にインストールされた１つ又は複数のソフトウェアアプリケーションの指示、１つ又は複数のソフトウェアアプリケーションのバージョン、ログインユーザの識別情報、ネットワークの種類等）を取得し評価することができる。例えば、エージェント１１６は、ユーザ情報１２２（例えば、ログインユーザの特権）及びアプリケーション情報１２６を評価することができる。評価は、ユーザのログイン時又は更新されたリスク評価規則１１０の受信時に行われ得、及び／又はユーザのログインによって若しくは更新されたリスク評価規則１１０の受信時にトリガされ得る。次いで、３０６において、計算装置１０４は、（計算装置１０４の１人又は複数の他の許可されたユーザと比較して）ログインユーザが計算装置１０４上で高い特権を有すると判定し得る。例えば、ログインユーザは、計算装置１０４及び／又はネットワーク１００上で他のユーザよりも多くのアクセス又は権利を有する管理者又は他のユーザであり得る。

【0073】

[0081] ３０８において、計算装置１０４は、ログインユーザがアクセスを有する脆弱なソフトウェアアプリケーションを検出することができる。例えば、計算装置１０４は、リスク評価規則１１０によって「フラグを立てられた」ソフトウェアアプリケーションを識別することができる。計算装置１０４は、ソフトウェアアプリケーションにパッチが適用されていないこと、従ってソフトウェアアプリケーションが悪用に対して脆弱であることも明らかにすることができる。計算装置１０４は、ログインユーザが脆弱なソフトウェアアプリケーションへのアクセスを有することも明らかにすることができる。

【0074】

[0082] ユーザが高い特権及び脆弱なソフトウェアアプリケーションに対するアクセスを（脆弱性が計算装置１０４上で現在活性状態にない可能性があるにもかかわらず）有すると計算装置１０４が判定した後、計算装置１０４は、リスク評価規則１１０内で指定された１つ又は複数の特権軽減手段１１４を実施することができる。例えば、３１０において、計算装置１０４は、ログインユーザのユーザ特権レベルを下げることができる（管理者が管理特権を失い得る）。

【0075】

[0083] ３１２において、計算装置１０４は、脆弱なソフトウェアアプリケーションに対する所望のアップデートが（例えば、信頼できるユーザによって）インストールされるまでソフトウェアがログインユーザによって計算装置１０４上にインストールされるのを妨げる規則又は設定を適用することもできる。追加のソフトウェアをログインユーザがインストールするのを妨げることにより、計算装置１０４は、悪用がユーザの特権を使用して計算装置１０４上に悪意あるコードをインストールするのを妨げることができる。

【0076】

[0084] ３１４において、計算装置１０４は、他のユーザが計算装置１０４上にソフトウェアをインストールするのを妨げる規則又は設定を適用することもできる。そのようにすることは、別のユーザのアカウントを使用して、悪意あるコードをインストールするために悪用がログインユーザの資格情報を使用するのを妨げることができる。

【0077】

[0085] ３１６において、計算装置１０４は、セキュリティフィックスが計算装置１０４に適用されるまで脆弱なソフトウェアアプリケーションが実行されるのを妨げる規則又は設定を適用することもできる。換言すれば、計算装置１０４は、脆弱なソフトウェアアプリケーションを無効にするか又はブロックすることができる。例えば、計算装置１０４は、脆弱なソフトウェアアプリケーションをブラックリストに登録して脆弱なソフトウェアアプリケーションが実行されるのを妨げることができる。ブラックリストは、セキュリティリスクを解決するためにソフトウェアアプリケーションが更新されていると計算装置１０４が判定するまで強制され得る。

【0078】

[0086] ３１８において、計算装置１０４は、計算装置１０４上に脆弱性があることを（例えば、ＧＵＩを介してユーザにメッセージを与えることによって）ユーザにプロンプト表示し、関連するソフトウェアアプリケーションを更新する要求をユーザに与えることができる。例えば、計算装置１０４は、ソフトウェアアプリケーションがセキュリティリスクとして識別されており、アップデートが必要であることを示す警告をユーザに表示することができる。

【0079】

[0087] 一実装形態では、３２０において、計算装置１０４がアップデートを適用する。計算装置１０４は、アップデートを自動で適用することができる。例えば、エージェント１１６は、例えば、計算装置１０４内にあるか又は計算装置１０４と動作可能に通信するパッチ管理システムを呼び出してアップデートを行うことができる。代わりに、計算装置１０４は、ユーザ入力に応答してアップデートを適用することができる。例えば、ログインユーザは、アップデートを適用する指示を（例えば、ＧＵＩを介して）入力することによって３１８のプロンプトに応答することができる。

【0080】

[0088] 計算装置１０４は、脆弱なソフトウェアアプリケーションを検出することに応答して１つの特権軽減手段１１４又は特権軽減手段１１４の組み合わせを強制することができる。例えば、他のユーザよりも特権レベルが低いユーザについて、計算装置１０４は、計算装置１０４上に脆弱性があり、ソフトウェアのアップデートが必要であるという指示のみを３１８で与えることができるが、計算装置１０４は、ユーザが脆弱なソフトウェアアプリケーションを使用し続けることを可能にし得る。しかし、相対的に高い特権レベルを有するユーザでは、計算装置１０４は、ユーザの特権レベルに制限を追加で課すことができる（例えば、脆弱なソフトウェアアプリケーションを無効にすることを含む）。この例によって認められるように、本明細書に記載のシステム及び方法は、セキュリティリスクのコンテキストに基づいて様々なセキュリティレベルをもたらす。

【0081】

[0089] 図４は、別の実施形態による、計算装置（例えば、計算装置１０４）がパブリックネットワーク上にあることを検出することを含むコンテキストベースの特権軽減のための方法４００を示す流れ図である。方法４００は、計算装置１０４によって実施され得る。図４に示すように、計算装置１０４は、４０２において管理サーバ１０２からリスク評価規則１１０を受信する。これは、例えば、図２に関して説明したように実現することができる。計算装置１０４が４０２においてリスク評価規則１１０を受信した後、計算装置１０４は、管理サーバ１０２との通信を維持してもしなくてもよい。４０４において、計算装置１０４は、ログインユーザが、セキュリティ面で配慮を要するファイルへのアクセスを有するかどうかを判定することができる。アクセスできる場合、ログインユーザは、例えば、機密であるべき特権的ファイルにアクセスすることができる。計算装置１０４は、それらのセキュリティ面で配慮を要するファイルが計算装置１０４を介してログインユーザにとってアクセス可能であると判定することもできる。

【0082】

[0090] ４０６において、計算装置１０４は、計算装置１０４がパブリックネットワーク上にあると判定する。例えば、ログインユーザは、指定の安全なネットワークに接続される期間後に自らのラップトップの使用をやめ、公にアクセス可能なネットワークへの接続を用いて自らのラップトップの使用を再開し得る。計算装置１０４は、このネットワークの種類の変化を検出し得る。

【0083】

[0091] 計算装置１０４は、（他のユーザと比較して）高い特権レベル及び特権的ファイルへのアクセスの両方を有するユーザがオフネットワークである場合、セキュリティリスクがあることをリスク評価規則１１０に基づいて判定し得る。計算装置１０４は、１つ又は複数の特権軽減手段１１４を実施することによってこのセキュリティリスクの判定に応答することができる。例えば、４０８において、計算装置１０４は、セキュリティ面で配慮を要するファイルに対するログインユーザによるアクセスを妨げる規則又は設定を適用することができる。換言すれば、特権的及び／又は機密であるファイルは、計算装置１０４を介して（及び／又は計算装置１０４とネットワーク通信する１つ又は複数の他の装置を介して）ログインユーザによってアクセス可能でなくなる。例えば、計算装置１０４は、計算装置１０４がオフネットワークである間、ログインユーザによるアクセスからセキュリティ面で配慮を要するファイル又はソフトウェアアプリケーションをブラックリストに登録することができる。

【0084】

[0092] 代わりに又は加えて、４１０において、計算装置１０４は、計算装置１０４が指定の安全なネットワーク１００に接続されるまでログインユーザのネットワークアクセスを妨げる規則又は設定を適用することができる。一部の状況では、ログインユーザは、セキュアネットワークによってカバーされている所定の地理的位置にいるまでセキュアネットワークにアクセスできない場合がある。別の実装形態では、計算装置１０４がオフネットワークである間、計算装置１０４は、ネットワークアクセス（例えば、ポート、ウェブブラウザ、ファイル転送プロトコル（ＦＴＰ）クライアントへのアクセス等）を無効にするが、他のタスクのためにログインユーザが計算装置１０４を使用し続けることを許可し得る。

【0085】

[0093] ４１２において、安全でない可能性がある公の場所にいることを知らせるために、計算装置１０４がログインユーザに（例えば、ＧＵＩを介して）メッセージを与えることができる。例えば、計算装置１０４は、現在のネットワーク接続が安全でない可能性があることをユーザに警告するテキストボックスを表示し得る。計算装置１０４は、セキュリティ面で配慮を要するファイルを開くことを望むことをログインユーザに確認することを求めるメッセージをログインユーザに与えることもできる。この特権軽減手段１１４は、例えば、セキュリティリスクが低いと見なされる場合に実施され得る。一部の事例では、計算装置１０４を４１４において無効にすることができる。例えば、計算装置１０４は、計算装置１０４が再びオンネットワークになるまで計算装置１０４の資源をユーザが使用するのを妨げる規則又は設定を適用することができる。

【0086】

[0094] 図５は、別の実施形態による、グループポリシ違反の検出を含むコンテキストベースの特権軽減のための方法５００を示す流れ図である。方法５００は、計算装置（例えば、図１Ａの計算装置１０４）のプロセッサによって実施され得る。図５に示すように、計算装置１０４は、５０２において管理サーバ１０２からリスク評価規則１１０を受信することができる。これは、例えば、図２に関して説明したように実現することができる。計算装置１０４が５０２においてリスク評価規則１１０を受信した後、計算装置１０４は、管理サーバ１０２との通信を維持してもしなくてもよい。図５の方法５００の例では、リスク評価規則１１０は、ＧＰＯの違反に関連するリスク基準１１２を含む。換言すれば、ＧＰＯから逸脱する、従ってセキュリティリスクであると見なされ得るユーザアカウント設定がリスク基準１１２内に含まれ得る。他のユーザと比較して高い特権を有し且つＧＰＯに違反していると判定されるユーザ（例えば、管理者）は、ＧＰＯに単に違反する他のユーザよりも一層高いセキュリティリスクであると見なされ得る。

【0087】

[0095] ５０４において、計算装置１０４は、ログイン要求を受信する。例えば、ユーザは、計算装置１０４にアクセスするために計算装置１０４においてユーザ資格情報を入力することができる。計算装置１０４は、ユーザ及び／又はユーザがアクセスを有するアプリケーション及び装置に関する関連コンテンツ（例えば、設定、ポリシ等）を分析して、ログインユーザに適したセキュリティレベルを決定することができる。５０６において、計算装置１０４は、ログインユーザが計算装置１０４上で高い特権を有すると判定する。例えば、ログインユーザは、計算装置１０４及び／又はネットワーク１００上で他のユーザよりも多くのアクセス又は権利を有する管理者又は他のユーザであり得る。５０８において、計算装置１０４は、ログインユーザに関連する１つ又は複数のユーザアカウント設定がＧＰＯに違反すると判定する。例えば、計算装置１０４は、管理者がパスワード強制ポリシをオーバーライドしたことを検出し得る。次いで、５１０において、ユーザアカウント設定がＧＰＯに準拠するように、計算装置１０４は、ログインユーザに関連するユーザアカウント設定を修正又は「修復する」ことができる。例えば、計算装置１０４は、ユーザアカウント設定がＧＰＯのパスワード強制ポリシに準拠するように任意のパスワード強制オーバーライドをリセットすることができる。計算装置１０４は、例外ベースのアウェアネスによって（例えば、例外をモニタすることによって）又は厳密な規則の適用によって（例えば、いかなる例外も許可しないことによって）リスク評価規則１１０を強制することができ、これは、管理者が責任をもって行動していることを確実にするために管理者のためのグループポリシを修復する。

【0088】

[0096] 図６は、一実施形態による、リスク評価規則１１０内に含まれ得る様々なリスク基準６１２を示すブロック図である。リスク基準６１２は、１つ又は複数の条件が満たされるときの計算装置１０４上のセキュリティリスクを示す。リスク基準６１２内には、装置基準６３０、ユーザ特権基準６３２及びアプリケーション基準６３４が含まれる。図６に示すように、装置基準６３０は、セキュリティリスクを示す計算装置１０４に関連するパラメータを含み得る。これらのパラメータは、例えば、計算装置１０４のパッチレベル、ネットワークの種類又は（例えば、指定のセキュアネットワーク上の又はパブリックネットワーク上の）位置の指示、パスワードポリシ（例えば、ＧＰＯポリシ）、計算装置１０４の種類の指示及び／又は１つ又は複数の登録設定、１つ又は複数のＧＰＯ設定等の構成情報を含み得る。

【0089】

[0097] ユーザ特権基準６３２は、セキュリティリスクを示すログインユーザに関連するパラメータを含み得る。例えば、ユーザ特権基準６３２は、ログインユーザが管理者であるかどうかの指示を含み得る。ユーザ特権基準６３２は、例えば、特権レベルの指示又はログインユーザが計算装置１０４若しくはネットワーク１００上で高い特権又はアクセスを有するかどうかの指示も含み得る。ユーザ特権基準６３２は、例えば、ログインユーザがアクセスを超えたネットワーク特権を有するかどうかの指示を更に含み得る。

【0090】

[0098] アプリケーション基準６３４は、セキュリティリスクを示す計算装置１０４上のソフトウェアアプリケーションに関連する様々なパラメータを含み得る。アプリケーション基準６３４は、例えば、アプリケーションのベンダの指示、アプリケーションのバージョン、アプリケーションのパッチレベル、そのアプリケーションが曝されるリスクの指示及び／又は１つ若しくは複数の既知の脆弱性の指示を含み得る。

【0091】

[0099] 図７は、一実施形態による、コンテキストベースの特権軽減のためのネットワーク化されたシステム７００を示すブロック図である。図７に示すように、管理サーバ７０２がルータ７４４に接続されている。ルータ７４４は、スイッチ７４６ａ、７４６ｂ及び７４６ｃに接続されている。スイッチ７４６ａは、幾つかのノード７０４ａ、７０４ｂ、７０４ｃ等にそのそれぞれのサブネット７４８ａ、７４８ｂ及び７４８ｃを介して接続されている。スイッチ７４６ｂは、幾つかのノード７０４ｄ、７０４ｅ、７０４ｆ等にそのそれぞれのサブネット７４８ｄ、７４８ｅ及び７４８ｆを介して接続されている。スイッチ７４６ｃは、幾つかのノード７０４ｇ、７０４ｈ及び７０４ｉ等にそのそれぞれのサブネット７４８ｇ、７４８ｈ及び７４８ｉを介して接続されている。サブネットＩ ７４８ｉは、１つ又は複数のノード７０４を含む。図７には、１つのルータ７４４並びに限られた数のスイッチ７４６、サブネット７４８及びノード７０４を示すが、コンテキストベースの特権軽減を実施するために使用されるネットワーク及び／又はシステム内に多くの及び異なる数のルータ７４４、スイッチ７４６、サブネット７４８及びノード７０４が含まれ得る。管理サーバ７０２は、図１Ａに関して記載した管理サーバ１０２に従って実装することができる。更に、ノード７０４は、図１Ａに関して記載した計算装置１０４の１つ又は複数の例であり得る。図７は、ノード７０４と通信する管理サーバ７０２を示すが、一部の実装形態では、オフネットワークである１つ又は複数の追加のノード（不図示）が、（例えば、リスク評価規則を送信／受信するために、強制アクティビティを報告するために、又は管理サーバに関するものとして本明細書に記載する他の任意の機能のために）管理サーバ７０２の代わりに又は管理サーバ７０２に加えてネットワーク化されたシステム７００に（例えば、クラウドを介して）接続し得る。

【0092】

[00100] 図８は、一実施形態による、コンテキストベースの特権軽減のための計算装置８０４を示す。計算装置８０４は、本明細書に記載の管理サーバ１０２又は計算装置１０４の１つ又は複数として実装することができる。図８に示すように、計算装置８０４は、プロセッサ８５２及びメモリ８５４を含む。メモリ８５４は、プログラム命令８５６ａ及びデータ８５８ａを含む。プロセッサ８５２は、計算装置８０４の動作を制御し、例えばマイクロプロセッサ、マイクロコントローラ、デジタル信号プロセッサ（ＤＳＰ）又は当技術分野で知られている他の装置であり得る。プロセッサ８５２は、メモリ８５４から受信されるプログラム命令８５６ｂ及び／又はデータ８５８ｂに基づいて論理演算及び算術演算を行うように構成される。計算装置８０４は、他の電子装置と通信するための１つ又は複数の通信インタフェース８６０も含む。通信インタフェース８６０は、有線通信技術、無線通信技術又はその両方に基づき得る。様々な種類の通信インタフェース８６０の例は、シリアルポート、パラレルポート、ユニバーサルシリアルバス（ＵＳＢ）、イーサネット（登録商標）アダプタ、ＩＥＥＥバスインタフェース、小型コンピュータシステムインタフェース（ＳＣＳＩ）バスインタフェース、赤外線（ＩＲ）通信ポート、Bluetooth（登録商標）無線通信アダプタ等を含む。

【0093】

[0100] 計算装置８０４は、１つ又は複数の入力装置８６２及び１つ又は複数の出力装置８６４も含む。入力装置８６２の例は、キーボード、マウス、マイクロホン、遠隔制御装置、ボタン、ジョイスティック、トラックボール、タッチパッド、ライトペン等を含む。様々な種類の出力装置８６４の例は、スピーカ、ＧＵＩ、プリンタ等を含む。コンピュータシステム内に含まれ得る特定の種類の出力装置は、ディスプレイ装置８６６である。本明細書で開示する構成と共に使用されるディスプレイ装置８６６は、液晶ディスプレイ（ＬＣＤ）、発光ダイオード（ＬＥＤ）、ガスプラズマ、エレクトロルミネッセンス、ブラウン管（ＣＲＴ）等の任意の適切な画像投影技術を利用することができる。

【0094】

[0101] 計算装置８０４は、メモリ８５４内に記憶されたデータをテキスト、グラフィックスに変換するための、及び／又はディスプレイ装置８６６上に表示するための画像を（必要に応じて）動かすためのディスプレイコントローラ８６８も含む。図８は、計算装置８０４の１つのあり得る構成を示し、他の様々なアーキテクチャ及び構成要素も使用され得る。

【0095】

[0102] リスク評価規則生成部１０６及び強制報告部１０８を含むように、且つ関連する機能を実行するように上記で（例えば、図１Ａにあるように）示し説明したが、他の実施形態では、管理サーバ１０２が追加の機能を有することができる。例えば、管理サーバ１０２は、エージェント１１６、リスク評価部１１８及び特権軽減強制モジュール１２０の１つ又は複数を含み、本明細書に記載の通り関連する機能を実行することができる。

【0096】

[0103] 上記の説明では、時として参照番号を様々な用語に関連して使用している。ある用語を参照番号に関連して使用する場合、それは、図面の１つ又は複数で示されている特定の要素を指すことを意図する。参照番号なしに用語を使用する場合、それは、特定の図面に限定することなしにその用語に広く言及することを意図する。

【0097】

[0104] 本明細書で「自動で」という用語は、ユーザ等の外部ソースによる直接の入力又はプロンプトなしに生じる動作を修飾するために使用される。自動で生じる動作は、定期的に、散発的に、検出される事象（例えば、ユーザのログイン）に応答して又は所定のスケジュールに従って生じ得る。

【0098】

[0105] 「決定する」という用語は、多岐にわたる動作を包含し、従って、「決定する」は、計算、コンピューティング、処理、導出、調査、探索（例えば、テーブル、データベース又は別のデータ構造の探索）、確認等を行うことを含み得る。更に、「決定する」は、受信（例えば、情報の受信）、アクセス（例えば、メモリ内のデータのアクセス）等を行うことを含み得る。更に、「決定する」は、解決、選択、決定、確立等を行うことを含み得る。

【0099】

[0106] 「～に基づく」という句は、別段の定めがない限り、「～のみに基づく」ことを意味するものではない。換言すれば、「～に基づく」という句は、「～のみに基づく」及び「～に少なくとも基づく」の両方を表す。

【0100】

[0107] 「プロセッサ」という用語は、汎用プロセッサ、中央処理装置（ＣＰＵ）、マイクロプロセッサ、デジタル信号プロセッサ（ＤＳＰ）、コントローラ、マイクロコントローラ、状態機械等を包含するように広く解釈すべきである。一部の状況下では、「プロセッサ」は、特定用途向け集積回路（ＡＳＩＣ）、プログラマブル論理デバイス（ＰＬＤ）、書換可能ゲートアレイ（ＦＰＧＡ）等を指す場合がある。「プロセッサ」という用語は、処理装置の組み合わせ、例えばＤＳＰとマイクロプロセッサとの組み合わせ、複数のマイクロプロセッサの組み合わせ、ＤＳＰコアに関連する１つ又は複数のマイクロプロセッサの組み合わせ又はそのような他の任意の構成を指し得る。

【0101】

[0108] 「メモリ」という用語は、電子情報を記憶することができる任意の電子部品を包含するように広く解釈すべきである。メモリという用語は、ランダムアクセスメモリ（ＲＡＭ）、読取専用メモリ（ＲＯＭ）、不揮発性ランダムアクセスメモリ（ＮＶＲＡＭ）、プログラマブル読取専用メモリ（ＰＲＯＭ）、消去プログラム可能読取専用メモリ（ＥＰＲＯＭ）、電気的消去可能ＰＲＯＭ（ＥＥＰＲＯＭ）、フラッシュメモリ、磁気又は光データ記憶域、レジスタ等の様々な種類のプロセッサ可読媒体を指し得る。プロセッサがメモリから情報を読み取ることができ、及び／又はメモリに情報を書き込むことができる場合、メモリは、プロセッサと電子通信すると言われる。プロセッサに不可欠なメモリは、プロセッサと電子通信する。

【0102】

[0109] 「命令」及び「コード」という用語は、任意の種類のコンピュータ可読ステートメントを含むように広く解釈すべきである。例えば、「命令」及び「コード」という用語は、１つ又は複数のプログラム、ルーチン、サブルーチン、関数、手続き等を指し得る。「命令」及び「コード」は、単一のコンピュータ可読ステートメント又は多くのコンピュータ可読ステートメントを含み得る。

【0103】

[0110] 「コンピュータ可読媒体」という用語は、コンピュータ又はプロセッサによってアクセスされ得る任意の使用可能な非一時的有形媒体を指す。限定ではなく例として、コンピュータ可読媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ＣＤ－ＲＯＭ若しくは他の光ディスク記憶域、磁気ディスク記憶域若しくは他の磁気記憶装置又は所望のプログラムコードを命令又はデータ構造の形式で運ぶか又は記憶するために使用可能であり、コンピュータによってアクセス可能な他の任意の媒体を含み得る。本明細書で使用するとき、ディスク（disk）及びディスク（disc）は、コンパクトディスク（ＣＤ）、レーザディスク、光ディスク、デジタル多用途ディスク（ＤＶＤ）、フロッピディスク及びBlu-ray（登録商標）ディスクを含み、ディスク（disk）は、データを通常磁気的に再現するのに対し、ディスク（disc）は、レーザを用いてデータを光学的に再現する。

【0104】

[0111] ソフトウェア又は命令は、伝送媒体上で伝送することもできる。例えば、同軸ケーブル、光ファイバケーブル、ツイストペア、デジタル加入者回線（ＤＳＬ）又は赤外線、無線及びマイクロ波等の無線技術を使用してソフトウェアがウェブサイト、サーバ又は他の遠隔ソースから伝送される場合、同軸ケーブル、光ファイバケーブル、ツイストペア、ＤＳＬ又は赤外線、無線及びマイクロ波等の無線技術は、伝送媒体の定義に含まれる。

【0105】

[0112] 本明細書で開示した方法は、記載した方法を実現するための１つ又は複数のステップ又は動作を含む。それらの方法のステップ及び／又は動作は、特許請求の範囲から逸脱することなく互いに入れ替えることができる。換言すれば、記載した方法の適切な動作を得るためにステップ又は動作の特定の順序が必要でない限り、特定のステップ及び／又は動作の順序及び／又は使用は、特許請求の範囲から逸脱することなく修正することができる。

【0106】

[0113] 様々な実施形態を上記で説明したが、それらは、限定ではなく、例として示したに過ぎないことを理解すべきである。上記の方法及び／又は概略は、特定の順序で起こる特定の事象及び／又はフローパターンを示したが、特定の事象及び／又はフローパターンの順序は、修正され得る。実施形態を個々に示し説明してきたが、形式及び詳細の点で様々な変更形態がなされ得ることが理解されるであろう。

【0107】

[0114] 特定の特徴及び／又は構成要素の組み合わせを有するものとして様々な実施形態を記載してきたが、上記で論じた実施形態のいずれかに由来する任意の特徴及び／又は構成要素の組み合わせを有する他の実施形態もあり得る。

【0108】

[0115] 本明細書に記載の一部の実施形態は、コンピュータによって実施される様々な操作を実行するための命令又はコンピュータコードをその上に有する非一時的コンピュータ可読媒体（非一時的プロセッサ可読媒体とも呼ばれ得る）を有するコンピュータ記憶製品に関する。コンピュータ可読媒体（又はプロセッサ可読媒体）は、一時的に伝搬する信号（例えば、空間又はケーブル等の伝送媒体上で情報を運ぶ伝搬電磁波）をそれ自体が含まないという意味で非一時的である。媒体及びコンピュータコード（コードと呼ぶこともできる）は、特定の目的のために設計され構築されるものであり得る。非一時的コンピュータ可読媒体の例は、これのみに限定されないが、ハードディスク、フロッピディスク及び磁気テープ等の磁気記憶媒体、コンパクトディスク／デジタルビデオディスク（ＣＤ／ＤＶＤ）、コンパクトディスク読取専用メモリ（ＣＤ－ＲＯＭ）及びホログラフィック装置等の光記憶媒体、光ディスク等の光磁気記憶媒体、搬送波信号処理モジュール並びに特定用途向け集積回路（ＡＳＩＣ）、プログラマブル論理デバイス（ＰＬＤ）、読取専用メモリ（ＲＯＭ）及びランダムアクセスメモリ（ＲＡＭ）装置等、プログラムコードを記憶し実行するように特に構成されるハードウェア装置を含む。本明細書に記載の他の実施形態は、例えば、本明細書で論じた命令及び／又はコンピュータコードを含み得るコンピュータプログラム製品に関する。

【0109】

[0116] 本明細書に記載の一部の実施形態及び／又は方法は、（ハードウェア上で実行される）ソフトウェア、ハードウェア又はその組み合わせによって実行することができる。ハードウェアモジュールは、例えば、汎用プロセッサ、書換可能ゲートアレイ（ＦＰＧＡ）及び／又は特定用途向け集積回路（ＡＳＩＣ）を含み得る。（ハードウェア上で実行される）ソフトウェアモジュールは、C、C++、Java（登録商標）、Ruby、Visual Basic（商標）及び／又は他のオブジェクト指向、手続き型若しくは他のプログラミング言語及び開発ツールを含む様々なソフトウェア言語（例えば、コンピュータコード）で表すことができる。コンピュータコードの例は、これのみに限定されないが、マイクロコード又はマイクロ命令、コンパイラによって作成されるような機械命令、ウェブサービスを作り出すために使用されるコード及びインタプリタを使用してコンピュータによって実行される高水準命令を含むファイルを含む。例えば、実施形態は、命令型プログラミング言語（例えば、C、Fortran等）、関数型プログラミング言語（Haskell、Erlang等）、論理型プログラミング言語（例えば、Prolog）、オブジェクト指向プログラミング言語（例えば、Java（登録商標）、C++等）又は他の適切なプログラミング言語及び／又は開発ツールを使用して実施することができる。コンピュータコードの更なる例には、これのみに限定されないが、制御信号、暗号化コード及び圧縮コードが含まれる。

【0110】

[0117] 上記で示した厳密な構成及び構成要素に特許請求の範囲が限定されないことを理解すべきである。特許請求の範囲から逸脱することなく、本明細書に記載したシステム、方法及び機器の構成、動作及び詳細に対する様々な修正形態、変更形態及び改変形態がなされ得る。

【図1A】

【図1B】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】