ホーム > 特許ランキング > ＢｌｕｅＶｏｙａｎｔ ＬＬＣ
知財求人 - 知財ポータルサイト「IP Force」
特許7714829自律的な脅威応答およびセキュリティ強化のための装置、システム、および方法
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B1)
(11)【特許番号】
(24)【登録日】2025-07-18
(45)【発行日】2025-07-29
(54)【発明の名称】自律的な脅威応答およびセキュリティ強化のための装置、システム、および方法
(51)【国際特許分類】
G06F 21/55 20130101AFI20250722BHJP
G06F 21/57 20130101ALI20250722BHJP
【ＦＩ】
G06F21/55 320
G06F21/57 370
【請求項の数】
20
(21)【出願番号】P 2025504309
(86)(22)【出願日】2023-07-26
(86)【国際出願番号】 US2023071061
(87)【国際公開番号】W WO2024026371
(87)【国際公開日】2024-02-01
【審査請求日】2025-04-17
(31)【優先権主張番号】63/369,582
(32)【優先日】2022-07-27
(33)【優先権主張国・地域又は機関】US
【早期審査対象出願】
(73)【特許権者】
【識別番号】523454588
【氏名又は名称】ブルーボヤント エルエルシー
【氏名又は名称原語表記】ＢｌｕｅＶｏｙａｎｔ ＬＬＣ
【住所又は居所原語表記】３３５ Ｍａｄｉｓｏｎ Ａｖｅｎｕｅ， Ｓｕｉｔｅ ５Ｇ， Ｎｅｗ Ｙｏｒｋ， Ｎｅｗ Ｙｏｒｋ １００１７ Ｕｎｉｔｅｄ Ｓｔａｔｅｓ ｏｆ Ａｍｅｒｉｃａ
(74)【代理人】
【識別番号】110000110
【氏名又は名称】弁理士法人 快友国際特許事務所
(72)【発明者】
【氏名】アヤル ライヒ
(72)【発明者】
【氏名】レオ ソレフ
(72)【発明者】
【氏名】タル ブラウシュタイン
【審査官】青木 重徳
(56)【参考文献】
【文献】特表２０１９－５３１５３４（ＪＰ，Ａ）
【文献】米国特許出願公開第２０１８／０３５１９８７（ＵＳ，Ａ１）
【文献】米国特許出願公開第２０２２／０１７４０９７（ＵＳ，Ａ１）
【文献】米国特許出願公開第２０１７／０００６０５３（ＵＳ，Ａ１）
【文献】米国特許出願公開第２００３／００５１０２６（ＵＳ，Ａ１）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／５５
Ｇ０６Ｆ ２１／５７
(57)【特許請求の範囲】
【請求項1】
プロセッサおよびメモリを備えるマネージドセキュリティサービスプロバイダ（ＭＳＳＰ）サーバを介したテナントネットワークの自律的なセキュリティ強化のための方法であって、前記方法は、複数のデータソースからの情報を用いて、
前記プロセッサを介して、セキュリティシステムによる侵害指標（ＩｏＣ）との遭遇に際し、複数のデータソースのうちのデータソースを識別するために、データベースまたはサーバにクエリすることであって、前記データソースは、前記ＩｏＣへの参照を含む、クエリすることと、
前記プロセッサを介した、前記クエリの出力に基づく前記ＩｏＣについてのＩｏＣ脅威スコアの生成であって、
前記データソースのうちの各データソースについて、前記データソースによって提供されるＩｏＣ脅威値を識別することと、
前記データソースのうちの各データソースについて、前記データソースによって提供される前記ＩｏＣ脅威値に乗数を割り当てて、調整されたＩｏＣ脅威値を生成することであって、前記乗数は、前記データソースに関連付けられた信頼性スコアに基づいている、生成することと、
前記データソースから調整されたＩｏＣ脅威値を正規化して、前記ＩｏＣ脅威スコアを出力することと、
を備える、前記生成と、
前記プロセッサを介して、前記ＩｏＣ脅威スコアに基づいて、少なくとも一つの実行可能なセキュリティ強化通知を生成することと、
ユーザインターフェースを介して、前記ＩｏＣ脅威スコアおよび前記実行可能なセキュリティ強化通知をユーザに表示することであって、前記少なくとも一つの実行可能なセキュリティ強化通知における少なくとも一つの措置のトリガまたは無効化を可能にし、前記少なくとも一つの措置は、前記ＩｏＣ脅威スコアに基づいている、表示することと、
を備える、方法。
【請求項2】
前記方法は、自動セキュリティ応答を展開することをさらに備え、前記展開することは、
セキュリティ脅威閾値レベルを自動的に調整することと、
前記データベースまたはサーバを自動的に再構成して潜在的なマルウェアバリアントを識別することと、
複数の他のユーザに通知を送信することと、
他のテナントネットワークが前記ＩｏＣにさらされること、または、将来さらされるリスクを判定することと、
または、一つ以上のテナントネットワークもしくはネットワークの一部分を隔離することと、
のうちの少なくとも一つ、またはそれらの組み合わせを含む、
請求項１に記載の方法。
【請求項3】
前記方法は、前記ＩｏＣ脅威スコア、生成された信頼性スコア、またはセキュリティ脅威閾値レベル、またはそれらの組み合わせのうちの少なくとも一つに基づいて、前記ＩｏＣを悪性、未知、または良性として分類することをさらに備え、前記ユーザインターフェースは、前記分類を表示することができる、
請求項１に記載の方法。
【請求項4】
前記セキュリティ脅威閾値レベルは、偽陽性の数、真陽性の数、偽陰性の数、および真陰性の数のうちの少なくとも二つを含む比を使用することによって、前記ＩｏＣの前記分類の正確性または精度を悪質または良性として表す比に基づいて自動的に調整される、請求項３に記載の方法。
【請求項5】
前記方法は、前記ＩｏＣが悪性脅威に分類されることと、前記遭遇したＩｏＣ指標が特徴のセットの一部分を、前記データベースまたはサーバに保存された他のＩｏＣと共有することと、を決定することと、
前記ＩｏＣを前記悪性脅威として決定することに際し、前記ＩｏＣ脅威スコア、特徴の前記セットの前記一部分、生成された信頼性スコア、およびセキュリティ脅威閾値レベル、またはそれらの組み合わせのうちの少なくとも一つに基づいて、新しいマルウェアバリアントを識別することと、
をさらに備える、請求項１に記載の方法。
【請求項6】
前記方法は、前記データベースを再構成して、前記ＩｏＣの特徴のうちの一つ、前記ＩｏＣ脅威スコア、前記生成された信頼性スコア、前記セキュリティ脅威閾値レベル、または前記ＩｏＣの前記分類、またはそれらの組み合わせのうちの少なくとも一つに基づいて、前記新しいマルウェアバリアントを識別することをさらに備える、請求項５に記載の方法。
【請求項7】
前記実行可能なセキュリティ強化通知は、前記テナントネットワーク上の新しいマルウェアバリアントの指標を含み、前記新しいマルウェアバリアントは、他のマルウェアのデータに基づいて決定されることができる、請求項１に記載の方法。
【請求項8】
前記方法は、前記データソースの各データソースが少なくとも一つのＩｏＣと関連付けられた前記データソースからデータを受信することであって、各データソースは、信頼性スコアを画定する、受信することと、
前記データソースおよびそれらに関連付けられた少なくとも一つのＩｏＣを、データベースまたはメモリコンポーネント内にインデックス付けすることと、
をさらに備える、請求項１に記載の方法。
【請求項9】
前記データソースの各データソースの前記信頼性スコアは、人的関与、前記データソースによって識別されるＩｏＣの数、前記データソースの信頼性の履歴、前記データソースへのデータ入力の数、前記データソースの経過年数、前記データソース内のＩｏＣの経過年数、前記データソースに関連する評価、前記データソースの前記セキュリティシステムのクライアントまたは前記ユーザに対する関連性、および、前記データソース上で利用可能な情報の量、のうちの少なくとも一つによって決定される、請求項１に記載の方法。
【請求項10】
前記少なくとも一つの実行可能なセキュリティ強化通知は、前記ＩｏＣ脅威スコア、生成された信頼性スコア、または、セキュリティ脅威閾値レベル、または、それらの組み合わせのうちの少なくとも一つに基づいている、請求項１に記載の方法。
【請求項11】
前記クエリすることは、識別されたＤＮＳクエリおよびＩＰアドレスを、前記データベースに保存された複数のＩｏＣと相互参照することであって、前記複数のＩｏＣは前記ＩｏＣを含む、相互参照することと、
前記データソースの関連するデータソースを識別することであって、前記関連するデータソースの関連性は、前記関連するデータソースと前記識別されたＤＮＳクエリおよびＩＰアドレスの関連付けによって決定される、識別することと、
を備える、請求項１に記載の方法。
【請求項12】
前記クエリすることは、定義されたコンピューティング環境で機械によって接触されるＤＮＳクエリおよびＩＰアドレスを識別することをさらに備える、請求項１１に記載の方法。
【請求項13】
前記ＩｏＣ脅威スコアの前記生成は、変則的なＩｏＣ脅威値を識別することと、
前記変則的なＩｏＣ脅威値を破棄することと、
をさらに備える、請求項１に記載の方法。
【請求項14】
前記ＩｏＣ脅威スコアの前記生成は、特定の信頼性スコアを有するデータソースからの様々なＩｏＣ脅威値を、より低い信頼性スコアを有するデータソースからのＩｏＣ脅威値に対して重み付けすることを備える、請求項１に記載の方法。
【請求項15】
前記ＩｏＣ脅威スコアの前記生成は、機械学習ニューラルネットワークのうちの少なくとも一つによって行われ、前記機械学習ニューラルネットワークへの入力は、前記データソースの信頼性スコア、および前記データソースによって提供される前記ＩｏＣ脅威値を備える、請求項１に記載の方法。
【請求項16】
前記方法は、前記データソースによって提供される前記ＩｏＣ脅威値の分布に基づいて、前記ＩｏＣ脅威スコアに関連付けられた収束スコアを生成することをさらに備える、請求項１に記載の方法。
【請求項17】
一つ以上のテナントネットワークを継続的に強化するように指向された自律的セキュリティシステムであって、前記システムは、複数のテナントネットワークと、
プロセッサおよびメモリを備える少なくとも一つのマネージドセキュリティサービスプロバイダ（ＭＳＳＰ）サーバと、
を備え、
前記メモリは、前記プロセッサによって実行される場合に、前記プロセッサに、
セキュリティシステムによる侵害指標（ＩｏＣ）との遭遇に際し、少なくとも一つのデータベースまたはサーバにクエリして、前記ＩｏＣへの参照を用いてデータフィードを識別することと、
前記クエリの出力に基づく前記ＩｏＣに対するＩｏＣ脅威スコアの生成であって、
前記データフィードの各データフィードについて、前記データフィードによって分類されるＩｏＣ脅威値を識別することと、
前記データフィードの各データフィードについて、乗数を前記ＩｏＣ脅威値に付加して、調整されたＩｏＣ脅威値を生成することであって、前記乗数は、前記データフィードに関連付けられた信頼性スコアに基づいて決定される、生成することと、および、
前記データフィードの調整されたＩｏＣ脅威値を正規化することと、および、
前記ＩｏＣ脅威スコアを出力することと、
を備える、前記生成と、
前記ＩｏＣ脅威スコアに基づいて、少なくとも一つの実行可能なセキュリティ強化通知を生成することと、
ユーザインターフェースを介して、前記ＭＳＳＰサーバに接続された少なくとも一つの表示装置上に、前記ＩｏＣ脅威スコアおよび前記実行可能なセキュリティ強化通知を前記セキュリティシステムのユーザに表示することであって、前記少なくとも一つの実行可能なセキュリティ強化通知における少なくとも一つの措置のトリガまたは無効化を可能にし、前記少なくとも一つの措置が前記ＩｏＣ脅威スコアに基づく、表示することと、
実行させるための命令を記憶する、
方法。
【請求項18】
前記実行可能なセキュリティ強化通知は、前記複数のテナントネットワークのうちの少なくとも一つのテナントネットワーク上の新しいマルウェアバリアントの表示を含み、前記新しいマルウェアバリアントは、他のマルウェアデータに基づいて決定される、
請求項１７に記載の自律的セキュリティシステム。
【請求項19】
前記プロセッサによって実行される場合に、前記記憶された命令が、前記プロセッサに、自動セキュリティ応答を展開することを実行するようにさらに構成され、前記展開することは、
セキュリティ脅威閾値レベルを自動的に調整することと、
データベースまたはサーバを自動的に再構成して、他の潜在的なマルウェアバリアントを識別することと、
セキュリティシステムの複数の他のユーザに通知を送信することと、
他のテナントネットワークが新しいマルウェアバリアントにさらされること、またはさらされるリスクを判定することと、
前記複数のテナントネットワークのうちの少なくとも一つのテナントネットワークを隔離することと、
のうちの少なくとも一つを含む、
請求項１７に記載の自律的セキュリティシステム。
【請求項20】
テナントネットワークのセキュリティを自律的に強化するための方法であって、複数のテナントネットワークのテナントネットワーク内でのセキュリティシステムによる侵害指標（ＩｏＣ）との遭遇に際し、セキュリティサーバにクエリして、前記ＩｏＣへの少なくとも一つの参照を備えるデータフィードを識別することと、
プロセッサを介して、前記クエリの結果に基づいて、前記ＩｏＣに対するＩｏＣ脅威スコアを生成することと、
前記ＩｏＣ脅威スコアに基づいて、前記セキュリティシステムによる自動セキュリティ応答を展開することと、
ユーザインターフェースを介して、前記ＩｏＣ脅威スコア、前記自動セキュリティ応答のステータス、または実行可能なセキュリティ強化通知のうちの少なくとも一つを前記セキュリティシステムのユーザに表示することと、
を備え、
前記実行可能なセキュリティ強化通知は、追加のセキュリティ応答のトリガを促進する、
方法。
【発明の詳細な説明】
【技術分野】
【0001】
関連出願の相互参照
本出願は、２０２２年７月２７日に出願された、「ＡＵＴＯＮＯＭＯＵＳ ＴＨＲＥＡＴ ＳＣＯＲＩＮＧ ＡＮＤ ＳＥＣＵＲＩＴＹ ＥＮＨＡＮＣＥＭＥＮＴ」と題する米国仮特許出願第６３／３６９，５８２号の利益および優先権を主張するものであり、その開示は、参照によりその全体が本明細書に組み込まれる。
本出願は、２０２２年７月２７日に出願された、「ＡＵＴＯＮＯＭＯＵＳ ＴＨＲＥＡＴ ＳＣＯＲＩＮＧ ＡＮＤ ＳＥＣＵＲＩＴＹ ＥＮＨＡＮＣＥＭＥＮＴ」と題する米国仮特許出願第６３／３６９，５８２号の利益および優先権を主張するものであり、その開示は、参照によりその全体が本明細書に組み込まれる。
【0002】
本技術は、マネージドセキュリティサービスプロバイダ環境における脅威の自律的検出および自動管理のためのシステムおよび方法に関する。特に、限定するものではないが、本技術は、自律的な脅威応答およびセキュリティ強化のためのシステムおよび方法を提供する。
【発明の概要】
【0003】
以下の概要は、本明細書に開示される態様に特有の革新的な特徴の一部の理解を容易にするために提供されており、完全な説明を意図するものではない。様々な態様の完全な理解は、明細書、特許請求の範囲、および要約全体を取ることによって得ることができる。
【0004】
様々な態様では、プロセッサおよびメモリを備えるマネージドセキュリティサービスプロバイダ（ＭＳＳＰ）サーバを介したテナントネットワークの自律的なセキュリティ強化のための方法が提供されており、方法は、プロセッサ、データベースまたはサーバを介して、セキュリティシステムによる侵害指標（ＩｏＣ）との遭遇に際し、遭遇したＩｏＣを参照して、関連するソースまたはフィードを識別するためにクエリを行うことと、プロセッサを介して、クエリの出力に基づいて、遭遇したＩｏＣについてのＩｏＣ脅威スコアを生成または計算することと、プロセッサを介して、遭遇したＩｏＣの単一の脅威スコアに基づいて、少なくとも一つの実行可能なセキュリティ強化通知を生成することと、ユーザインターフェースを介して、遭遇したＩｏＣのＩＯＣ脅威スコアおよび実行可能なセキュリティ強化通知をセキュリティシステムのユーザ向けに表示することと、を含み、ユーザは、少なくとも一つの実行可能なセキュリティ強化通知において、一つ以上の措置をトリガまたは無効化してもよい。
【0005】
様々な態様では、ＩｏＣ脅威スコアを生成することは、各関連するソースまたはフィードについて、関連するソースまたはフィードによって分類される、遭遇したＩＯＣの脅威値を識別することと、各関連するソースまたはフィードに対して、ソースまたはフィードの脅威値に乗数を付加して、調整された脅威値を生成することであって、乗数が、ソースまたはフィードに関連付けられた信頼性スコアに基づいて決定される、生成することと、関連するソースまたはフィードのすべての調整された脅威値を正規化することと、遭遇したＩＯＣに対する単一の脅威スコアを生成することと、を含む。
【0006】
テナントネットワークの自律的セキュリティ強化のための方法は、セキュリティ脅威閾値レベルを自動的に調整することのうちの一つ以上を含み得る自動セキュリティ応答を展開することと、データベースを自動的に再構成して、他の潜在的なマルウェアバリアントを識別することと、セキュリティシステムの複数の他のユーザに通知を送信することと、他のテナントネットワークがＩｏＣにさらされること、将来さらされるリスクを判定することと、一つ以上のテナントネットワークまたはネットワークの一部分を隔離することと、をさらに含んでもよい。
【0007】
一部の態様では、考察した方法はまた、少なくとも、生成されたＩｏＣ脅威スコア、生成された信頼性スコア、およびセキュリティ脅威閾値レベルのうちの一つ以上に基づいて、遭遇したＩｏＣを、悪質、未知、または良性として分類することを含み、ユーザインターフェースは、セキュリティシステムのユーザに分類を表示し得る。
【0008】
これらとその他の物体、機能、及び本発明の特性、並びに操作方法、関連する構造要素の機能、部品の組合わせ、製造の経済は、以下の記述、及び添付の図面を参照する添付の特許請求の範囲を考慮すると、より明らかになり、それら全ては本明細書の一部を形成し、同様の参照符号は、様々な図において対応する部分を示す。しかしながら、図面は例示及び説明のみを目的としており、本発明の限界の定義として意図されていないことが明示的に理解されるべきである。
【図面の簡単な説明】
【0009】
本明細書に記載される態様の様々な特徴が、添付の特許請求の範囲に詳細に記載される。しかしながら、組織、および運用方法の両方に関する様々な態様、ならびにその利点は、以下の通り添付図面と共に、以下の記載に従って理解され得る。
【0010】
【0011】
対応する参照符号は、いくつかの図全体にわたり対応する部品を示す。本明細書に記載する実施例は、本発明の様々な態様を１つの形態で例示するものであり、こうした実施例は、任意の方法で本発明の範囲を限定するものとして解釈されるべきではない。
【発明を実施するための形態】
【0012】
本願の出願人は、以下の米国仮特許出願を所有し、その各開示は、参照によりその全体が本明細書に組込まれる。
－ ２０２２年６月３日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＥＮＨＡＮＣＩＮＧ ＳＥＣＵＲＩＴＹ ＩＮＦＯＲＭＡＴＩＯＮ ＆ ＥＶＥＮＴ ＭＡＮＡＧＥＭＥＮＴ ＵＰＤＡＴＥＳ ＦＯＲ ＭＵＬＴＩＰＬＥ ＴＥＮＡＮＴＳ ＢＡＳＥＤ ＯＮ ＣＯＲＲＥＬＡＴＥＤ， ＡＮＤ ＳＹＮＥＲＧＩＳＴＩＣ ＤＥＰＬＯＹＭＥＮＴ ＮＥＥＤＳと題する、国際特許出願ＰＣＴ／ＵＳ２０２２／０７２７３９号、
－ ２０２２年６月３日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＳＴＡＮＤＡＲＤＩＺＩＮＧ ＆ ＳＴＲＥＡＭＬＩＮＩＮＧ ＴＨＥ ＤＥＰＬＯＹＭＥＮＴ ＯＦ ＳＥＣＵＲＩＴＹ ＩＮＦＯＲＭＡＴＩＯＮ ＆ ＥＶＥＮＴ ＭＡＮＡＧＥＭＥＮＴ ＡＲＴＩＦＡＣＴＳ ＦＯＲ ＭＵＬＴＩＰＬＥ ＴＥＮＡＮＴＳと題する、国際特許出願ＰＣＴ／ＵＳ２０２２／０７２７４３号、
－ ２０２２年１２月２１日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＰＲＯＶＩＳＩＯＮＩＮＧ ＡＮＤ ＵＰＤＡＴＩＮＧ ＳＥＣＵＲＩＴＹ ＩＮＦＯＲＭＡＴＩＯＮ ＆ ＥＶＥＮＴ ＭＡＮＡＧＥＭＥＮＴ ＡＲＴＩＦＡＣＴＳ ＦＯＲ ＭＵＬＴＩＰＬＥ ＴＥＮＡＮＴＳと題する、国際特許出願ＰＣＴ／ＵＳ２０２２／０８２１６７号、
－ ２０２２年１２月２１日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＳＴＲＥＡＭＬＩＮＩＮＧ ＡＮＤ ＳＴＡＮＤＡＲＤＩＺＩＮＧ ＴＨＥ ＩＮＧＥＳＴ ＯＦ ＳＥＣＵＲＩＴＹ ＤＡＴＡ ＡＣＲＯＳＳ ＭＵＬＴＩＰＬＥ ＴＥＮＡＮＴＳと題する、国際特許出願ＰＣＴ／ＵＳ２０２２／０８２１７３号、
－ ２０２３年１月２３日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＲＥＭＯＴＥＬＹ ＭＡＮＡＧＩＮＧ ＡＮＯＴＨＥＲ ＯＲＧＡＮＩＺＡＴＩＯＮ’Ｓ ＳＥＣＵＲＩＴＹ ＯＲＣＨＥＳＴＲＡＴＩＯＮ， ＡＵＴＯＭＡＴＩＯＮ， ＡＮＤ ＲＥＳＰＯＮＳＥと題する、国際特許出願第ＰＣＴ／ＵＳ２０２３／０６１０６９号、
－ ２０２３年２月２０日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＩＤＥＮＴＩＦＹＩＮＧ ＣＹＢＥＲ ＡＳＳＥＴＳ ＡＮＤ ＧＥＮＥＲＡＴＩＮＧ ＣＹＢＥＲ ＲＩＳＫ ＭＩＴＩＧＡＴＩＯＮ ＡＣＴＩＯＮ ＢＡＳＥＤ ＯＮ ＤＯＭＡＩＮ ＲＥＤＩＲＥＣＴＳと題する、国際特許出願ＰＣＴ／ＵＳ２０２３／０６２８９４号。
－ ２０２３年５月１０日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＳＵＭＭＡＲＩＺＩＮＧ ＡＮＡＬＹＴＩＣ ＯＢＳＥＲＶＡＴＩＯＮＳと題する、国際特許出願ＰＣＴ／ＵＳ２０２３／０２１７３６号、
－ ２０２３年５月１９日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＩＮＧＥＳＴＩＮＧ ＆ ＥＮＲＩＣＨＩＮＧ ＳＥＣＵＲＩＴＹ ＩＮＦＯＲＭＡＴＩＯＮ ＴＯ ＡＵＴＯＮＯＭＯＵＳＬＹ ＳＥＣＵＲＥ Ａ ＰＬＵＲＡＬＩＴＹ ＯＦ ＴＥＮＡＮＴ ＮＥＴＷＯＲＫＳと題する、国際特許出願ＰＣＴ／ＵＳ２０２３／０２２８５８号、
－ ２０２３年５月１７日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＩＤＥＮＴＩＦＹＩＮＧ ＣＹＢＥＲ ＡＳＳＥＴＳ ＡＮＤ ＧＥＮＥＲＡＴＩＮＧ ＣＹＢＥＲ ＲＩＳＫ ＭＩＴＩＧＡＴＩＯＮ ＡＣＴＩＯＮＳ ＢＡＳＥＤ ＯＮ Ａ ＤＥＭＯＣＲＡＴＩＣ ＭＡＴＣＨＩＮＧ ＡＬＧＯＲＩＴＨＭと題する、国際特許出願ＰＣＴ／ＵＳ２０２３／０２２５３５号、
－ ２０２３年６月４日に出願された、ＤＥＶＩＣＥＳ， ＭＥＴＨＯＤＳ， ＡＮＤ ＳＹＳＴＥＭＳ ＦＯＲ ＧＥＮＥＲＡＴＩＮＧ Ａ ＨＩＧＨＬＹ－ＳＣＡＬＡＢＬＥ， ＥＦＦＩＣＩＥＮＴ ＣＯＭＰＯＳＩＴＥ ＲＥＣＯＲＤ ＩＮＤＥＸと題する、国際特許出願ＰＣＴ／ＵＳ２０２３／０２４３８６号、
－ ２０２３年６月１６日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＣＡＴＥＧＯＲＩＺＩＮＧ， ＰＲＩＯＲＩＴＩＺＩＮＧ， ＡＮＤ ＭＩＴＩＧＡＴＩＮＧ ＣＹＢＥＲ ＳＥＣＵＲＩＴＹ ＲＩＳＫＳと題する、国際特許出願ＰＣＴ／ＵＳ２０２３／０６８５９０号、
－ ２０２２年７月１７日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＵＴＩＬＩＺＩＮＧ Ａ ＮＥＴＷＯＲＫＥＤ， ＣＯＭＰＵＴＥＲ－ＡＳＳＩＳＴＥＤ， ＴＨＲＥＡＴ ＨＵＮＴＩＮＧ ＰＬＡＴＦＯＲＭ ＴＯ ＥＮＨＡＮＣＥ ＮＥＴＷＯＲＫ ＳＥＣＵＲＩＴＹと題する、米国仮特許出願第６３／３６８，５６７号、
－ ２０２２年７月２７日に出願された、ＡＵＴＯＮＯＭＯＵＳ ＴＨＲＥＡＴ ＳＣＯＲＩＮＧ ＡＮＤ ＳＥＣＵＲＩＴＹ ＥＮＨＡＮＣＥＭＥＮＴと題する、米国仮特許出願第６３／３６９，５８２号、
－ ２０２２年９月２７日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＣＯＮＴＩＮＵＯＵＳＬＹ ＥＮＨＡＮＣＩＮＧ ＴＨＥ ＩＭＰＬＥＭＥＮＴＡＴＩＯＮ ＯＦ ＣＯＤＥ ＣＨＡＮＧＥＳ ＶＩＡ ＥＮＲＩＣＨＥＤ ＰＩＰＥＬＩＮＥＳと題する、米国仮特許出願第６３／３７７，３０４号、
－ ２０２３年６月９日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＡＴＴＲＩＢＵＴＩＮＧ ＮＥＴＷＯＲＫ－ＩＭＰＬＥＭＥＮＴＥＤ ＣＹＢＥＲ ＡＳＳＥＴＳ ＴＯ ＯＰＥＲＡＴＩＮＧ ＥＮＴＩＴＩＥＳ ＡＮＤ ＧＥＮＥＲＡＴＩＮＧ ＣＹＢＥＲ ＲＩＳＫ ＭＩＴＩＧＡＴＩＯＮ ＡＣＴＩＯＮＳ ＢＡＳＥＤ ＯＮ ＴＨＥ ＡＴＴＲＩＢＵＴＩＯＮと題する、米国仮特許出願第６３／５０７，２５０号。
－ ２０２２年６月３日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＥＮＨＡＮＣＩＮＧ ＳＥＣＵＲＩＴＹ ＩＮＦＯＲＭＡＴＩＯＮ ＆ ＥＶＥＮＴ ＭＡＮＡＧＥＭＥＮＴ ＵＰＤＡＴＥＳ ＦＯＲ ＭＵＬＴＩＰＬＥ ＴＥＮＡＮＴＳ ＢＡＳＥＤ ＯＮ ＣＯＲＲＥＬＡＴＥＤ， ＡＮＤ ＳＹＮＥＲＧＩＳＴＩＣ ＤＥＰＬＯＹＭＥＮＴ ＮＥＥＤＳと題する、国際特許出願ＰＣＴ／ＵＳ２０２２／０７２７３９号、
－ ２０２２年６月３日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＳＴＡＮＤＡＲＤＩＺＩＮＧ ＆ ＳＴＲＥＡＭＬＩＮＩＮＧ ＴＨＥ ＤＥＰＬＯＹＭＥＮＴ ＯＦ ＳＥＣＵＲＩＴＹ ＩＮＦＯＲＭＡＴＩＯＮ ＆ ＥＶＥＮＴ ＭＡＮＡＧＥＭＥＮＴ ＡＲＴＩＦＡＣＴＳ ＦＯＲ ＭＵＬＴＩＰＬＥ ＴＥＮＡＮＴＳと題する、国際特許出願ＰＣＴ／ＵＳ２０２２／０７２７４３号、
－ ２０２２年１２月２１日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＰＲＯＶＩＳＩＯＮＩＮＧ ＡＮＤ ＵＰＤＡＴＩＮＧ ＳＥＣＵＲＩＴＹ ＩＮＦＯＲＭＡＴＩＯＮ ＆ ＥＶＥＮＴ ＭＡＮＡＧＥＭＥＮＴ ＡＲＴＩＦＡＣＴＳ ＦＯＲ ＭＵＬＴＩＰＬＥ ＴＥＮＡＮＴＳと題する、国際特許出願ＰＣＴ／ＵＳ２０２２／０８２１６７号、
－ ２０２２年１２月２１日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＳＴＲＥＡＭＬＩＮＩＮＧ ＡＮＤ ＳＴＡＮＤＡＲＤＩＺＩＮＧ ＴＨＥ ＩＮＧＥＳＴ ＯＦ ＳＥＣＵＲＩＴＹ ＤＡＴＡ ＡＣＲＯＳＳ ＭＵＬＴＩＰＬＥ ＴＥＮＡＮＴＳと題する、国際特許出願ＰＣＴ／ＵＳ２０２２／０８２１７３号、
－ ２０２３年１月２３日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＲＥＭＯＴＥＬＹ ＭＡＮＡＧＩＮＧ ＡＮＯＴＨＥＲ ＯＲＧＡＮＩＺＡＴＩＯＮ’Ｓ ＳＥＣＵＲＩＴＹ ＯＲＣＨＥＳＴＲＡＴＩＯＮ， ＡＵＴＯＭＡＴＩＯＮ， ＡＮＤ ＲＥＳＰＯＮＳＥと題する、国際特許出願第ＰＣＴ／ＵＳ２０２３／０６１０６９号、
－ ２０２３年２月２０日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＩＤＥＮＴＩＦＹＩＮＧ ＣＹＢＥＲ ＡＳＳＥＴＳ ＡＮＤ ＧＥＮＥＲＡＴＩＮＧ ＣＹＢＥＲ ＲＩＳＫ ＭＩＴＩＧＡＴＩＯＮ ＡＣＴＩＯＮ ＢＡＳＥＤ ＯＮ ＤＯＭＡＩＮ ＲＥＤＩＲＥＣＴＳと題する、国際特許出願ＰＣＴ／ＵＳ２０２３／０６２８９４号。
－ ２０２３年５月１０日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＳＵＭＭＡＲＩＺＩＮＧ ＡＮＡＬＹＴＩＣ ＯＢＳＥＲＶＡＴＩＯＮＳと題する、国際特許出願ＰＣＴ／ＵＳ２０２３／０２１７３６号、
－ ２０２３年５月１９日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＩＮＧＥＳＴＩＮＧ ＆ ＥＮＲＩＣＨＩＮＧ ＳＥＣＵＲＩＴＹ ＩＮＦＯＲＭＡＴＩＯＮ ＴＯ ＡＵＴＯＮＯＭＯＵＳＬＹ ＳＥＣＵＲＥ Ａ ＰＬＵＲＡＬＩＴＹ ＯＦ ＴＥＮＡＮＴ ＮＥＴＷＯＲＫＳと題する、国際特許出願ＰＣＴ／ＵＳ２０２３／０２２８５８号、
－ ２０２３年５月１７日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＩＤＥＮＴＩＦＹＩＮＧ ＣＹＢＥＲ ＡＳＳＥＴＳ ＡＮＤ ＧＥＮＥＲＡＴＩＮＧ ＣＹＢＥＲ ＲＩＳＫ ＭＩＴＩＧＡＴＩＯＮ ＡＣＴＩＯＮＳ ＢＡＳＥＤ ＯＮ Ａ ＤＥＭＯＣＲＡＴＩＣ ＭＡＴＣＨＩＮＧ ＡＬＧＯＲＩＴＨＭと題する、国際特許出願ＰＣＴ／ＵＳ２０２３／０２２５３５号、
－ ２０２３年６月４日に出願された、ＤＥＶＩＣＥＳ， ＭＥＴＨＯＤＳ， ＡＮＤ ＳＹＳＴＥＭＳ ＦＯＲ ＧＥＮＥＲＡＴＩＮＧ Ａ ＨＩＧＨＬＹ－ＳＣＡＬＡＢＬＥ， ＥＦＦＩＣＩＥＮＴ ＣＯＭＰＯＳＩＴＥ ＲＥＣＯＲＤ ＩＮＤＥＸと題する、国際特許出願ＰＣＴ／ＵＳ２０２３／０２４３８６号、
－ ２０２３年６月１６日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＣＡＴＥＧＯＲＩＺＩＮＧ， ＰＲＩＯＲＩＴＩＺＩＮＧ， ＡＮＤ ＭＩＴＩＧＡＴＩＮＧ ＣＹＢＥＲ ＳＥＣＵＲＩＴＹ ＲＩＳＫＳと題する、国際特許出願ＰＣＴ／ＵＳ２０２３／０６８５９０号、
－ ２０２２年７月１７日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＵＴＩＬＩＺＩＮＧ Ａ ＮＥＴＷＯＲＫＥＤ， ＣＯＭＰＵＴＥＲ－ＡＳＳＩＳＴＥＤ， ＴＨＲＥＡＴ ＨＵＮＴＩＮＧ ＰＬＡＴＦＯＲＭ ＴＯ ＥＮＨＡＮＣＥ ＮＥＴＷＯＲＫ ＳＥＣＵＲＩＴＹと題する、米国仮特許出願第６３／３６８，５６７号、
－ ２０２２年７月２７日に出願された、ＡＵＴＯＮＯＭＯＵＳ ＴＨＲＥＡＴ ＳＣＯＲＩＮＧ ＡＮＤ ＳＥＣＵＲＩＴＹ ＥＮＨＡＮＣＥＭＥＮＴと題する、米国仮特許出願第６３／３６９，５８２号、
－ ２０２２年９月２７日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＣＯＮＴＩＮＵＯＵＳＬＹ ＥＮＨＡＮＣＩＮＧ ＴＨＥ ＩＭＰＬＥＭＥＮＴＡＴＩＯＮ ＯＦ ＣＯＤＥ ＣＨＡＮＧＥＳ ＶＩＡ ＥＮＲＩＣＨＥＤ ＰＩＰＥＬＩＮＥＳと題する、米国仮特許出願第６３／３７７，３０４号、
－ ２０２３年６月９日に出願された、ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＡＴＴＲＩＢＵＴＩＮＧ ＮＥＴＷＯＲＫ－ＩＭＰＬＥＭＥＮＴＥＤ ＣＹＢＥＲ ＡＳＳＥＴＳ ＴＯ ＯＰＥＲＡＴＩＮＧ ＥＮＴＩＴＩＥＳ ＡＮＤ ＧＥＮＥＲＡＴＩＮＧ ＣＹＢＥＲ ＲＩＳＫ ＭＩＴＩＧＡＴＩＯＮ ＡＣＴＩＯＮＳ ＢＡＳＥＤ ＯＮ ＴＨＥ ＡＴＴＲＩＢＵＴＩＯＮと題する、米国仮特許出願第６３／５０７，２５０号。
【0013】
多数の具体的な詳細が、本開示に記載され、添付図面に図示される態様の全体的な構造、機能、製造、および使用についての完全な理解を提供するために記載される。周知の動作、構成要素、および要素は、本明細書に記述される態様を不明瞭にしないように、詳細に説明されていない。読み手は、本明細書に説明および図示される態様が非限定的な態様であることを理解するであろう。したがって、本明細書に開示される特定の構造および機能の詳細は、代表的および例示的であり得ることが理解されよう。特許請求の範囲から逸脱することなく、変更および変更を行うことができる。さらに、そのような用語は、「前方」、「後方」、「左」、「右」、「上方」、「下方」、および類似の用語は、利便性の用語であり、限定用語として解釈されるべきではないことが理解されるべきである。
【0014】
以下の説明では、同様の参照符号は、図面のいくつかの図を通して同様の部品または対応する部品を示す。また、以下の説明では、そのような用語は、「前方」、「後方」、「左」、「右」、「上方」、「下方」などは、利便性の用語であり、限定用語として解釈されるべきではないことが理解されるべきである。
【0015】
本明細書に開示するシステムの様々な態様および方法を詳細に説明する前に、例示的態様は、添付図面および説明に開示する詳細への適用または使用に限定されないことに留意されたい。当然のことながら、例示的な態様は、他の態様、変形、および修正において実装または組み込まれてもよく、様々な方法で実践または実施されてもよい。さらに、別段の示唆が無い限り、本明細書で使用される用語および表現は、読者の利便性のために例示的な態様を説明する目的で選択されており、その限定を目的としていない。例えば、本明細書に開示する特定の製造業者、ソフトウェアスイート、アプリケーション、または開発プラットフォームへの任意の参照は、本開示の多くの態様のいくつかを例示することを単に意図するに過ぎないことが理解されよう。これには、商標に関するあらゆる参照が含まれる。したがって、本明細書に開示されるデバイス、システム、および方法は、任意の使用目的および／またはユーザの好みに従って、任意のソフトウェア更新を強化するために実装できることが理解されるべきである。
【0016】
本明細書で使用される場合、用語「サーバ」は、インターネットまたは任意のパブリックネットワークもしくはプライベートネットワークなどのネットワーク環境で、複数の当事者のために通信および処理によって操作されるか、またはそれらを容易にする、一つ以上のコンピューティングデバイスを指すか、またはそれを含み得る。本明細書で使用される場合、「サーバ」または「プロセッサ」への言及は、以前のステップまたは機能、異なるサーバ、および／またはプロセッサ、および／またはサーバの組み合わせ、および／またはプロセッサの組み合わせを実行すると列挙される、以前に列挙されたサーバおよび／またはプロセッサを指し得る。
【0017】
本明細書で使用される場合、「プラットフォーム」という用語は、ソフトウェアおよび／またはソフトウェアによって提供される技術的利益を可能にするために必要な物理的資源のエコシステムを含むものとする。例えば、プラットフォームは、スタンドアロンのソフトウェア製品、またはソフトウェアがその技術的利益を提供するために必要なエコシステム内の他のソフトウェアまたは物理リソースと統合するように構成されたソフトウェア製品のいずれかを含み得る。一部の非限定的な態様によれば、ソフトウェアによって提供される技術的利益は、エコシステムの物理的リソース、またはエコシステム内の物理的リソース（例えば、ＡＰＩ、サービスなど）によって採用される他のソフトウェアに提供される。他の非限定的な態様によれば、プラットフォームは、共に機能するように意図され、かつ設計されたいくつかのソフトウェアアプリケーションのフレームワークを含み得る。
【0018】
ＳＩＥＭおよびＭＳＳＰ
本明細書で使用される場合、「ネットワーク」という用語は、企業情報技術（「ＩＴ」）システム全体を含むものとし、テナント「ネットワーク」は、ＭＳＳＰがＳＩＥＭサービスを提供するＭＳＳＰのクライアントにこの用語を適用する。例えば、ネットワークは、任意の物理的および／または無線接続によって接続され、他の一つ以上のノードと情報を通信および共有するよう構成される、二つ以上のノード（例えば、デバイス）のグループを含み得る。ただし、ネットワークという用語は、任意の特定のノード、またはそれらのノードを接続する任意の特定の手段に限定されるものではない。ネットワークは、イーサネット、イントラネット、および／またはエクストラネットに接続し、各デバイスの物理的な場所に関係なく、アドホック接続（例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）、近距離無線通信（ＮＦＣ）など）、ローカルエリア接続（「ＬＡＮ」）、無線ローカルエリアネットワーク（「ＷＬＡＮ」）、および／または仮想プライベートネットワーク（「ＶＰＮ」）を介して互いに通信するよう構成されたデバイス（例えば、サーバ、データベース、ローカルもしくはクラウドストレージ、デスクトップコンピュータ、ラップトップコンピュータ、パーソナルデジタルアシスタント、携帯電話、ウェアラブル、スマート家電、など）の任意の組み合わせを含むことができる。ネットワークには、デバイスによって配備されるか、またはその他の方法でファイアウォール、電子メールクライアント、文書管理システム、オフィスシステムなどの企業ＩＴシステムによって利用される、任意のツール、アプリケーション、および／またはサービスがさらに含まれ得る。一部の非限定的な態様では、「ネットワーク」は、第三者によって所有および制御されているが、テナントが企業ＩＴシステムにアクセスすることを承認されている、第三者デバイス、アプリケーション、および／またはサービスを含む場合がある。
本明細書で使用される場合、「ネットワーク」という用語は、企業情報技術（「ＩＴ」）システム全体を含むものとし、テナント「ネットワーク」は、ＭＳＳＰがＳＩＥＭサービスを提供するＭＳＳＰのクライアントにこの用語を適用する。例えば、ネットワークは、任意の物理的および／または無線接続によって接続され、他の一つ以上のノードと情報を通信および共有するよう構成される、二つ以上のノード（例えば、デバイス）のグループを含み得る。ただし、ネットワークという用語は、任意の特定のノード、またはそれらのノードを接続する任意の特定の手段に限定されるものではない。ネットワークは、イーサネット、イントラネット、および／またはエクストラネットに接続し、各デバイスの物理的な場所に関係なく、アドホック接続（例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）、近距離無線通信（ＮＦＣ）など）、ローカルエリア接続（「ＬＡＮ」）、無線ローカルエリアネットワーク（「ＷＬＡＮ」）、および／または仮想プライベートネットワーク（「ＶＰＮ」）を介して互いに通信するよう構成されたデバイス（例えば、サーバ、データベース、ローカルもしくはクラウドストレージ、デスクトップコンピュータ、ラップトップコンピュータ、パーソナルデジタルアシスタント、携帯電話、ウェアラブル、スマート家電、など）の任意の組み合わせを含むことができる。ネットワークには、デバイスによって配備されるか、またはその他の方法でファイアウォール、電子メールクライアント、文書管理システム、オフィスシステムなどの企業ＩＴシステムによって利用される、任意のツール、アプリケーション、および／またはサービスがさらに含まれ得る。一部の非限定的な態様では、「ネットワーク」は、第三者によって所有および制御されているが、テナントが企業ＩＴシステムにアクセスすることを承認されている、第三者デバイス、アプリケーション、および／またはサービスを含む場合がある。
【0019】
セキュリティ情報およびイベント管理（ＳＩＥＭ）には、情報技術（ＩＴ）インフラ全体にわたり、多くの異なるリソースからの活動を集約および分析するように構成されたソフトウェアが含まれる。例えば、マネージドセキュリティサービスプロバイダ（ＭＳＳＰ）としても知られているＳＩＥＭサービスプロバイダによってＳＩＥＭを利用して、複数のシステムからデータ（例えば、ログデータ、イベントデータ、脅威インテリジェンスデータなど）を集約し、そのデータを分析して、異常な行動または潜在的なサイバー攻撃を捕捉することができる。例えば、ＳＩＥＭは、ネットワークデバイス、サーバ、ドメインコントローラなどからセキュリティデータを収集し得る。ＳＩＥＭを実行して、そのデータを保存、正規化、集約、および分析を適用し、トレンドを検出し、脅威を検出し、組織が任意のアラートを調査できるようにし得る。
【0020】
一般的に実装されるＳＩＥＭの例としては、Ａｚｕｒｅ Ｓｅｎｔｉｎｅｌ ａｎｄ Ｓｐｌｕｎｋ Ｃｌｏｕｄ、Ｄｅｖｏ、ＬｏｇＲｈｙｔｈｍ、ＩＢＭ’ｓ ＱＲａｄａｒ、Ｓｅｃｕｒｏｎｉｘ、ＭｃＡｆｅｅ Ｅｎｔｅｒｐｒｉｓｅ Ｓｅｃｕｒｉｔｙ Ｍａｎａｇｅｒ、ＬｏｇＰｏｉｎｔ、Ｅｌａｓｔｉｃ Ｓｔａｃｋ、ＡｒｃＳｉｇｈｔ Ｅｎｔｅｒｐｒｉｓｅ Ｓｅｃｕｒｉｔｙ Ｍａｎａｇｅｒ、ＩｎｓｉｇｈｔＩＤＲなどが挙げられる。クラウドベースのツールとして Ａｚｕｒｅ Ｓｅｎｔｉｎｅｌ を導入することは、マネージドセキュリティサービスプロバイダ（ＭＳＳＰ）の間で広く受け入れられており、そのため、Ａｚｕｒｅ Ｓｅｎｔｉｎｅｌは非限定的な例として説明される。しかしながら、当然のことながら、他のＳＩＥＭが本開示によって企図される。ほとんどのＳＩＥＭと同様、Ａｚｕｒｅ Ｓｅｎｔｉｎｅｌの導入には高度なスキルが必要であると同時に時間のかかる作業であり、エラーが発生しやすい可能性がある。セキュリティソリューションを必要とする各組織には、取り込みログソース、検出／アラートルール、応答の自動化、レポートなどの監視、およびアラートに関する特別なニーズがある。マイクロソフト（ＭＳＦＴ）は多くの場合、複数のクライアントを管理するためにＭＳＳＰによって使用されるが、アーチファクト（例えば、リソースグループ、ログ分析ワークスペース、アラートルール、ワークブック、プレイブックなど）の初期構成、導入、および継続的なメンテナンスの複雑さは大幅に増大している。これにより、より高価なスペシャリストを採用しなければならないＭＳＳＰと、増加している費用の少なくとも一部を負担することが多いクライアントの両方にとって、高いコストが生じる可能性がある。ただし、多くの場合、様々なクライアントの導入ニーズの一部の間には、重複がある。例えば、多くの組織が、同様のファイアウォールモニタリングソリューションを必要としている可能性がある。こうした場合、資産の再利用、及び再導入（及び更新）は、大幅なコスト削減、及び運用の簡素化につながる可能性がある。残念ながら、既知のＳＩＥＭツールは、こうした相乗効果を利用することが、技術的に不可能である。そのため、初回のプロビジョニング、データの収集、分析、および分類、脅威の検出からインシデント対応の自動化に至るまで、ＭＳＳＰには、複数のクライアント間で効率を捕捉するための、再利用の機会が限定されている。したがって、改良されたデバイス、システム、および実装方法、ならびにＳＩＥＭクライアント更新の発行が必要である。こうした機能強化により、検出ルール、可視化、調査ワークブック、継続的なメンテナンスの導入を含む、ＳＩＥＭの技術性能とコスト効率が改善され得る。
【0021】
したがって、完全なエンドツーエンドのＳＩＥＭソリューションを提供しながら、単一のステップで実行できる再利用可能な事前パッケージ化されたソリューションを生成および導入するために、自動化された「サービスとしての」アプローチを採用するデバイス、システム、および方法に対するニーズがある。このようなデバイス、システム、および方法は、ＳＩＥＭ（例えば、Ｓｅｎｔｉｎｅｌ、Ａｚｕｒｅなど）の最低限の理解のみでボタンを一回クリックすることでＳｅｎｔｉｎｅｌの実装を導入できる。したがって、こうしたデバイス、システム、および方法は、クラウドベースのＳＩＥＭ実装を、一貫性を持って繰り返し拡張するために使用することができる。ユーザは、導入全体が行われる場所、および／またはそれぞれのクライアントに対するログイン認証情報を提供するだけでよい。
【0022】
侵害指標（ＩｏＣ）
既知のＳＩＥＭツールは、イベントの監視、データの収集、およびネットワーク全体でのセキュリティアラートの発行を含む優れた機能を提供するが、これらの機能を実行するために収集され、信頼されるデータの品質は一貫性がなく、多くの場合、信頼できない。ＳＩＥＭサービスまたはソフトウェアのすべてのＭＳＳＰまたはユーザは、クライアント、セキュアデータベース、およびセキュリティサービスを提供するネットワークに対して悪質であり得るファイルまたはアクティビティの指標として使用し得る、様々な情報およびデータのソース（本明細書では、「ソース」または「データソース」と称する）にアクセスし、それを利用し得る。これらの形態のデータは、脅威の性質に対する矛盾、ならびに虚偽の報告、過小報告、または報告されていない情報を含む、異なるソース間のいくつかの不一致を含む場合がある。
既知のＳＩＥＭツールは、イベントの監視、データの収集、およびネットワーク全体でのセキュリティアラートの発行を含む優れた機能を提供するが、これらの機能を実行するために収集され、信頼されるデータの品質は一貫性がなく、多くの場合、信頼できない。ＳＩＥＭサービスまたはソフトウェアのすべてのＭＳＳＰまたはユーザは、クライアント、セキュアデータベース、およびセキュリティサービスを提供するネットワークに対して悪質であり得るファイルまたはアクティビティの指標として使用し得る、様々な情報およびデータのソース（本明細書では、「ソース」または「データソース」と称する）にアクセスし、それを利用し得る。これらの形態のデータは、脅威の性質に対する矛盾、ならびに虚偽の報告、過小報告、または報告されていない情報を含む、異なるソース間のいくつかの不一致を含む場合がある。
【0023】
さらに、脅威および脅威指標（脅威指標は、本明細書では、「侵害指標」または「ＩｏＣ」と総称される）を示すことを意図するＭＳＳＰによって利用されるデータソースは多数あるため、セキュリティプロバイダ、アナリスト、またはＭＳＳＰが、クライアントネットワークまたはデータベースへの脅威にリアルタイムで対処および管理することは困難である。現在のＳＩＥＭソフトウェアおよびシステムは、多数のデータソースから未加工データを取得および受信することができるが、データおよび／またはデータソースの信頼性を分類することができず、どのソースまたはＩｏＣが対処されるべきか、およびどの順序で対処されるべきかを優先するか、またはデータ内の新規および非競合の脅威を検出または識別することができ、これは、テナントネットワーク上の脅威を管理する上での有効性を十分に改善することなく、ＳＩＥＭシステムに大量のデータが、複雑さの層を追加することを意味する。
【0024】
考察される侵害指標は、当技術分野で様々な公知の指標、ならびに発見されていないまたは新たに発見された指標を含み得る。ＩｏＣの一部の例には、データ侵害の証拠、複数のログイン、変則的なＤＮＳ要求、異常な受信／送信トラフィック、受信要求またはトラフィックに関する地理的不規則性、実行中の未知のアプリケーション、同じファイルに対する多数の要求などが含まれる。本明細書に記載の方法およびシステムは、攻撃の指標にも適用されてもよく、ＩｏＣのみに限定されない。
【0025】
ＳＩＥＭソフトウェアまたはＭＳＳＰに利用可能な大量のデータおよびソースの信頼性に関する懸念は、部分的には大量のＩｏＣデータから生じる一方、このデータは自動的に生成されるか、ユーザから報告されたものか、または十分に点検されていないかであるため、両方の偽陽性（良性の指標が悪質な指標としてフラグ付けされる）を引き起こす可能性があり、有用なプロセスを妨げることを引き起こし、偽陰性（悪質な指標がそのようなものとしてマークされていない場合）は、マルウェアが妨害されることなく動作することを可能にする可能性がある。さらに、ＩｏＣにおけるマルウェアの新しいバリアントまたは形態を検出することは困難である。ＩｏＣを適切にランク付けし、様々な脅威情報ソースの信頼性をプログラム的に考慮する能力の欠如から、ソフトウェア、プロバイダ、および／またはセキュリティアナリストによって処理されるデータソースおよびＩｏＣデータの数を減らすことで、セキュリティ管理プロセスの簡素化を目指す、最もよく確立されたＳＩＥＭ方法がもたらされた。これは、効果的または有効なデータソースが、新しい脅威に対応し、新しい形態の情報を受信するためのＳＩＥＭサービスまたはＭＳＳＰの潜在的な有効性および柔軟性を低減する、ルーチンまたはより慣れたソースにとって有利に破棄され得ることを意味し得る。
【0026】
したがって、完全なエンドツーエンドのＳＩＥＭソリューションを提供しながら、単一のステップで実行できる再利用可能な事前パッケージ化されたソリューションを生成および導入するために、自動化された「サービスとしての」アプローチを採用し、データを分類して提示し、応答を自動化できる、信頼できるデータソースから信頼できるデータを提供する、数千の装置全体に大規模に展開され得る、デバイス、システム、および方法に対するニーズがある。このようなデバイス、システム、および方法は、ＳＩＥＭ（例えば、Ｓｅｎｔｉｎｅｌ、Ａｚｕｒｅなど）の最低限の理解のみでボタンを一回クリックすることで、例えば、Ｓｅｎｔｉｎｅｌの実装を通して導入される可能性がある。したがって、こうしたデバイス、システム、および方法は、クラウドベースのＳＩＥＭ実装を、一貫性を持って繰り返し拡張するために使用することができる。
【0027】
本開示は、こうしたデバイス、システム、および方法を企図し、そのすべては、従来のＭＳＳＰおよびＳＩＥＭプラットフォームよりも多くの技術的利益を提供し、ＩｏＣデータおよび関連するソースおよびフィード（本明細書では、それぞれデータソースおよびデータフィードとも呼ぶ）の取り扱いを企図する。データフィードは、ユーザがデータソースから更新データを受信する機構を含み得る。これは、ポイントツーポイント設定ならびにワールドワイドウェブでのリアルタイムアプリケーションによって一般的に使用され、例にはウェブフィードまたはＲＳＳフィードを含めることができる。データソースは、データベースまたはサーバなどの、データがデータフィードのデータを含むことから生じる場所を指すことができる。
【0028】
本開示は、こうしたデバイス、システム、および方法を提示し、それらすべてが多くの技術的利益を提供し、ＭＳＳＰは、一つの非限定的態様による、Ａｚｕｒｅ Ｓｅｎｔｉｎｅｌの実装などのクラウドベースのＳＩＥＭの実装を、大規模に、繰り返し、および一貫して導入することを可能にする。例えば、本明細書に開示されるデバイス、システム、および方法は、データとデータソースとの間の不一致を解決し、多数のＩｏＣデータを利用することができる情報を生成しつつ、脅威をリアルタイムで効果的に管理する際に利用されるデータの信頼性を確保する効果的な方法を提供することができる。提示された技術は、データソースを集約、分類、スコア化し、新しい脅威を検出および特定し、ＳＩＥＭ環境でＩｏＣに応答するための自動化された方法およびシステムを提供する。
【0029】
提示された技術の一部の実施形態では、ＳＩＥＭ自律的セキュリティシステムまたはＭＳＳＰサーバ（以下、集合的に「セキュリティシステム」と呼ばれる）は、テナントネットワーク内のＩｏＣを検索し、それに遭遇し、ＩｏＣが有形の脅威を提示するか、またはそれらが良性であるかを確認する。開示されたセキュリティシステムおよび方法は、データソースまたはフィードからＩｏＣに関する情報を収集し、各ソースを割り当てるか、または信頼性スコアを供給することができる。これらのソースまたはフィードは、セキュリティシステムの文書、データベース、サーバ、ノード、またはネットワークで定期的に収集、更新、集約、インデックス付けされ得る（これらは、複数の形態で記述されていない場合であっても、一つ以上のデータベースを示し得る「ＳＩＥＭ自律的セキュリティシステムデータベース」または「セキュリティシステムデータベース」と総称される）。これらのステップは、ソースおよびフィードに関連付けられたデータおよび信頼性スコアを経時的に性能に基づいて改善および更新するために、一度発生してもよく、または経時的に繰り返されてもよい。したがって、セキュリティシステムデータベースは、様々なソースおよびフィードからの情報、ならびにこれらのソースまたはフィードの割り当て、事前設定、または計算された信頼性スコア、および過去の性能スコアを含み、ソースまたはフィードの各々は、様々な侵害指標に関する情報またはデータを含んでもよい。セキュリティシステムがテナントネットワーク内のＩｏＣに遭遇するたびに、セキュリティシステムデータベースは、セキュリティシステムによってクエリされてもよく、それによって、セキュリティシステムは、ＩｏＣ脅威スコアを計算し、ＩｏＣを悪質または良性の脅威として分類し、その後、必要に応じて、追加的かつ自律的な措置を講じることができ、これは、アラート、通知、推奨の送信、または自律的なセキュリティ応答の導入を含み得る。
【0030】
図
ここで図１を参照すると、別の組織のセキュリティオーケストレーション、自動化、応答（ＳＯＡＲ）をリモート的に管理するように構成された、システム１０００のブロック図が、本開示の少なくとも一つの非限定的な態様に従って、図示される。図１の非限定的な態様によれば、システム１０００は、図２を参照して更に論じられるように、ＳＯＡＲアプリケーション（図２参照）を保存するように構成されたメモリ１００６と、および保存されたＳＯＡＲアプリケーション（図２参照）を実行するように構成されたプロセッサ１００４とを備える、ＳＯＡＲ管理サーバ１００２を含み得る。例えば、ＳＯＡＲ管理サーバ１００２は、マネージドセキュリティサービスプロバイダ（「ＭＳＳＰ」）によって所有、またはリースされる、計算リソースであってもよい。ＳＯＡＲ管理サーバ１００２は、ネットワーク１００８を介して、複数のテナント１０１０ａ、１０１０ｂ、…１０１０ｎに通信可能に結合することができる。複数の各テナント１０１０１、１０１０２、…１０１０ｎは、ＭＳＳＰと契約している顧客（例えば、組織）を表すことができる。図１の非限定的な態様によれば、ネットワーク１００８は、任意の様々な有線、長距離無線、および／または短距離無線ネットワークを含み得る。例えば、ネットワーク１００８は、とりわけ、内部ネットワーク、ローカルエリアネットワーク（ＬＡＮ）、Ｗｉ－Ｆｉ（登録商標）、セルラーネットワーク、近距離無線通信（以下、ＮＦＣ）などを含む。
ここで図１を参照すると、別の組織のセキュリティオーケストレーション、自動化、応答（ＳＯＡＲ）をリモート的に管理するように構成された、システム１０００のブロック図が、本開示の少なくとも一つの非限定的な態様に従って、図示される。図１の非限定的な態様によれば、システム１０００は、図２を参照して更に論じられるように、ＳＯＡＲアプリケーション（図２参照）を保存するように構成されたメモリ１００６と、および保存されたＳＯＡＲアプリケーション（図２参照）を実行するように構成されたプロセッサ１００４とを備える、ＳＯＡＲ管理サーバ１００２を含み得る。例えば、ＳＯＡＲ管理サーバ１００２は、マネージドセキュリティサービスプロバイダ（「ＭＳＳＰ」）によって所有、またはリースされる、計算リソースであってもよい。ＳＯＡＲ管理サーバ１００２は、ネットワーク１００８を介して、複数のテナント１０１０ａ、１０１０ｂ、…１０１０ｎに通信可能に結合することができる。複数の各テナント１０１０１、１０１０２、…１０１０ｎは、ＭＳＳＰと契約している顧客（例えば、組織）を表すことができる。図１の非限定的な態様によれば、ネットワーク１００８は、任意の様々な有線、長距離無線、および／または短距離無線ネットワークを含み得る。例えば、ネットワーク１００８は、とりわけ、内部ネットワーク、ローカルエリアネットワーク（ＬＡＮ）、Ｗｉ－Ｆｉ（登録商標）、セルラーネットワーク、近距離無線通信（以下、ＮＦＣ）などを含む。
【0031】
さらに図１を参照すると、複数の各テナント１０１０１、１０１０２、…１０１０ｎは、一つ以上のクライアント１０１２、１０１４、１０１６の一つ以上のインスタンスをホストすることができる。例えば、第一のテナント１０１０１は、一つ以上のクライアントアプリケーション１０１２１、１０１２２、…１０１２ｎを実行する一つ以上の機械を含んでもよく、第二のテナント１０１０２は、一つ以上のクライアントアプリケーション１０１４１、１０１４２、…１０１４ｎを実行する一つ以上の機械を含んでもよく、かつ／または第三のテナント１０１０ｎは、一つ以上のクライアントアプリケーション１０１６１、１０１６２、…１０１６ｎを実行する一つ以上の機械を含んでもよい。各テナント１０１０１、１０１０２、および１０１０ｎは、クライアントアプリケーションを実行する各機械によって、イントラネットを含むことができる。例えば、各テナント１０１０１、１０１０２、および１０１０ｎは各々、セキュリティサービスのためにＭＳＳＰと契約している組織などの顧客を表すことができる。
【0032】
したがって、ＳＯＡＲ管理サーバ１００２は、複数の各テナント１０１０１、１０１０２、および１０１０ｎの監視を有するように構成することができ、したがって、脅威に対して各クライアントアプリケーション１０１２、１０１４、１０１６をモニタリングし、管理する責任を負う。前述したように、テナント１０１０１、１０１０２、および１０１０ｎアーキテクチャにおける差異および複雑さは、これを複雑にし、ＭＳＳＰにとって非効率にし得る。したがって、既知のＳＯＡＲツールは、テナント１０１０１、１０１０２、および１０１０ｎを、攻撃に対して技術的に曝露された、従って脆弱なままにし得る。本開示の非限定的な態様によれば、ＳＯＡＲ管理サーバ１００２は、相関したおよび相乗的な開発ニーズに基づいて、複数のテナントに対するＳＯＡＲ管理サーバ１００２の管理能力、およびアラートの送信能力、およびクライアントアプリケーションの更新能力を強化することによって、技術的に、および実践的にこれらの欠陥に対処する、ＳＯＡＲ管理アプリケーション（図２参照）を実行できる。更に、図２のアーキテクチャ２０００は、様々なモジュール、テナント、およびＳＯＡＲ管理サーバ１００２間の通信の異なる手段を更に示す。
【0033】
ここで図２を参照すると、図１のシステム１０００の機能的アーキテクチャ２０００のブロック図が、本開示の少なくとも一つの非限定的な態様に従って示される。図２の非限定的な態様によれば、アーキテクチャ２０００は、ＳＯＡＲ管理サーバ１００２のメモリ１００６（図１）に保存されたアプリケーションを介して集合的に提供される、コンテンツライブラリ２００２、バリアブルストア２００４、自動化スキーム２００８、およびサービス運用エンジン２０１２を含み得る。一部の非限定的な態様によれば、ＳＯＡＲ管理サーバ１００２は、ＭＳＳＰおよび／またはテナント１０１０ｎに対して、リモートに位置し得る。例えば、ＳＯＡＲ管理サーバ１００２は、クラウドベースのものであってもよい。プロセッサ１００４（図１）によって実行されると、アプリケーションのコンテンツライブラリ２００２、バリアブルストア２００４、自動化スキーム２００８、およびサービス運用エンジン２０１２は、複数のテナント１０１０ｎ、またはクライアント組織に対する、複数のＳＯＡＲプラットフォーム２０１８の、同時構成、管理、および／または制御を、大規模に、集合的に容易にすることができる。更に、プロセッサ１００４（図１）によって実行されると、アプリケーションは、本明細書において更に詳細に説明されるように、抽象的または動的のいずれかで、クライアント組織のＳＯＡＲプラットフォーム２０１８をサポートし得る。
【0034】
一部の非限定的な態様によれば、ＳＯＡＲ管理サーバ１００２によって導入されたアプリケーションは、２０２１年６月３日および２０２２年６月３日にそれぞれ出願された、「ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＥＮＨＡＮＣＩＮＧ ＳＥＣＵＲＩＴＹ ＩＮＦＯＲＭＡＴＩＯＮ ＆ ＥＶＥＮＴ ＭＡＮＡＧＥＭＥＮＴ ＵＰＤＡＴＥＳ ＦＯＲ ＭＵＬＴＩＰＬＥ ＴＥＮＡＮＴＳ ＢＡＳＥＤ ＯＮ ＣＯＲＲＥＬＡＴＥＤ， ＡＮＤ ＳＹＮＥＲＧＩＳＴＩＣ ＤＥＰＬＯＹＭＥＮＴ ＮＥＥＤＳ」と題する、米国仮特許出願第６３／１９６，４５８号およびＰＣＴ出願ＰＣＴ／ＵＳ２２／７２７３９号に開示される、Ａｚｕｒｅ Ｓｅｎｔｉｎｅｌ Ａｕｔｏｍａｔｉｏｎ Ｐｏｒｔａｌ（ＡＳＡＰ）として構成されてもよく、その開示は、参照によりその全体が本明細書に組込まれる。例えば、１つの非限定的な態様によれば、ＡＳＡＰポータルランタイムソフトウェアコードは、コンテンツライブラリ２００２からのコンテンツ、ＳＯＡＲプラットフォーム２０１８への接続、および／または他のサービス、並びにＳＯＡＲ管理サーバ１００２が展開、更新、および／または読み取るためのサービス要求を、処理することに関与する、サーバミドルウェアを含み得る。換言すれば、コンテンツライブラリ２００２、バリアブルストア２００４、および自動化スキーム２００８を含む、ＳＯＡＲ管理サーバ１００２によって導入されるアプリケーションは、一つ以上のテナント１０１０１－ｎと同時に作業する能力と併せて、全てのテナント１０１０１－ｎ（図１）導入の、統一された、簡略化されたビューを提供することができる。
【0035】
コンテンツライブラリ２００２は、ＳＯＡＲ管理サーバ１００２が、一つ以上のテナント１０１０ｎの、ＳＯＡＲプラットフォームを構成、および管理することができる、様々なアーチファクト（例えば、検出、自動化、ワークブック、アラートルール、プレイブックなど）を記憶するように、構成され得る。一部の非限定的な態様によれば、図２のコンテンツライブラリ２００２は、アプリケーションに対して局所的に保存することができ、これは、ＳＯＡＲ管理サーバ１００２のメモリ１００６（図１）を介して提供されることを意味する。しかしながら、他の非限定的な態様によれば、コンテンツライブラリ２００２は、ＳＯＡＲ管理サーバ１００２に通信可能に結合された、リモートサーバ上に記憶され得る。さらに他の非限定的な態様では、コンテンツライブラリ２００２は、第三者プロバイダ（例えば、ＧｉｔＨｕｂ、ＧｉｔＬａｂ、など）、どちらも「ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＥＮＨＡＮＣＩＮＧ ＳＥＣＵＲＩＴＹ ＩＮＦＯＲＭＡＴＩＯＮ ＆ ＥＶＥＮＴ ＭＡＮＡＧＥＭＥＮＴ ＵＰＤＡＴＥＳ ＦＯＲ ＭＵＬＴＩＰＬＥ ＴＥＮＡＮＴＳ ＢＡＳＥＤ ＯＮ ＣＯＲＲＥＬＡＴＥＤ， ＡＮＤ ＳＹＮＥＲＧＩＳＴＩＣ ＤＥＰＬＯＹＭＥＮＴ ＮＥＥＤＳ」と題する米国仮特許出願第６３／１９６，４５８号およびＰＣＴ国際出願第ＰＣＴ／ＵＳ２２／７２７３９号に開示されているものと類似しており、両方の開示は、参照によりその全体が本明細書に組み込まれる。要約すると、コンテンツライブラリ２００２、より具体的には、コンテンツライブラリ２００２内に保存されたアーチファクトは、ＳＯＡＲ管理サーバ１００２が、テナント１０１０ｎ、またはクライアント組織のための、ＳＯＡＲプラットフォーム２０１８と、リモートでインターフェース接続、および／または管理することができる、ルールを制御する。例えば、コンテンツライブラリ２００２は、ＳＯＡＲ管理サーバ１００２、および／またはＳＯＡＲプラットフォーム２０１８が、テナントアーキテクチャ１０１０ｎ全体の検出された変数に基づいて、決定されたリスクスコアが所定の閾値を超えると決定する場合、ユーザアカウントの非アクティブ化を自動化するように構成された、一つ以上のルール、および／またはテンプレートを記憶し得る。
【0036】
図２の非限定的な態様によれば、特定のクライアント組織、および／またはテナント１０１０ｎアーキテクチャに固有の変動ポイントなどの、テナント１０１０ｎの要件は、コンテンツライブラリ２００２に保存されたアーチファクトに提供され得る。コンテンツライブラリ２００２は、２０２１年６月３日および２０２２年６月３日に出願された、「ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＥＮＨＡＮＣＩＮＧ ＳＥＣＵＲＩＴＹ ＩＮＦＯＲＭＡＴＩＯＮ ＆ ＥＶＥＮＴ ＭＡＮＡＧＥＭＥＮＴ ＵＰＤＡＴＥＳ ＦＯＲ ＭＵＬＴＩＰＬＥ ＴＥＮＡＮＴＳ ＢＡＳＥＤ ＯＮ ＣＯＲＲＥＬＡＴＥＤ， ＡＮＤ ＳＹＮＥＲＧＩＳＴＩＣ ＤＥＰＬＯＹＭＥＮＴ ＮＥＥＤＳ」と題する、米国仮特許出願第６３／１９６，４５８号およびＰＣＴ国際出願第ＰＣＴ／ＵＳ２２／７２７３９号に開示されているものなど、導入可能なアーチファクトテンプレートに従って、これを達成でき、その開示は、参照によりその全体が本明細書に組込まれる。例えば、コンテンツライブラリ２００２は、アラートルール、ワークブック、プレイブックなどを定義するための、「ＪＳＯＮ」ファイルを含むことができる。新しいコンテンツがコンテンツライブラリ２００２に追加されるか、または既存のコンテンツが更新されると、変更は、ＳＯＡＲ管理サーバ１００２を介して、テナント１０１０ｎのＳＯＡＲプラットフォーム２０１８に、自動的にプッシュされ得る。換言すれば、ＳＯＡＲ管理サーバ１００２は、導入されると、各テナントのアーキテクチャに基づいて変化する、各テナントの１０１０１－ｎ（図１）固有のＳＯＡＲニーズに対して、構成され得る。
【0037】
バリアブルストア２００４は、ＳＯＡＲ管理サーバ１００２と、テナント１０１０ｎ、またはクライアント組織のアーキテクチャとの間の、インターフェースを更にカスタマイズするように、構成され得る。例えば、バリアブルストア２００４は、ＭＳＳＰなどの、ＳＯＡＲ管理サーバ１００２のユーザが、ＳＯＡＲ管理サーバ１００２によって検出されるように、テナント１０１０ｎアーキテクチャに関連付けられた変数を、コンテンツライブラリ２００２に記憶された様々なアーチファクトに定義、および／またはリンクできるようにし、これにより、ＳＯＡＲ管理サーバ１００２がクライアント固有の実行を自動化する能力が強化される。一部の非限定的な態様によれば、変数は、宛先環境を一意的に示すプライマリキーを使用して記憶され得る。例えば、管理対象の環境を登録するとき、ＭＳＳＰ、または別のユーザは、コンテンツが特定の環境に展開されているときに構成できるように、環境に関連付けられた管理者アカウントを示し得る。したがって、導入される自動化は、それらのアカウントロールに特有の自動化を実行するように、どのアカウントが管理者であるかが供給される必要がある場合がある。
【0038】
自動化スキーム２００８は、様々なテナント１０１０１－ｎ（図１を参照されたい）アーキテクチャ間の共通性を認識し、ＳＯＡＲ管理サーバ１００２の実行を標準化するように、構成され得る。これは、単一のクライアント組織に対して実行されるように構成されるか、または複数のテナント１０１０１－ｎ、またはクライアント組織にわたって実行するために大量の手動労働を必要とする、従来のＳＯＡＲ管理プラットフォームを超える、大幅な技術的改善を表す。例えば、従来のＳＯＡＲプラットフォームは、クライアント固有の環境、およびニーズの評価を必要とし、これは、カスタムソリューションの設計、および実行を必要とする。図２の自動化スキーム２００８は、コンテンツライブラリ２００２、およびバリアブルストア２００４と併せて、図１および図２のＳＯＡＲ管理サーバ１００２が、カスタマイズされたＳＯＡＲソリューションを自動的に生成し、そのようなソリューションを、前例のない数のテナント１０１０１－ｎ、またはクライアント組織にわたって、同時にスケーリングすることを可能にする。
【0039】
ＳＯＡＲ管理サーバ１００２によって開始されるアプリケーションは、ＡＰＩブローカー２００６、並びにグラフィカルユーザインターフェース２０１０をさらに含むことができる。一つの非限定的な態様による、こうしたグラフィカルユーザインターフェース４０００の一例を、図４に示す。例えば、図４のグラフィカルユーザインターフェース４０００は、認証設定を操作するための一つ以上のプラットフォーム４００２、４００４、４００６を含み得る。プラットフォームは、とりわけ、例えば、Ｏｋｔａ ４００２、Ｄｕｏ ４００４、および／または Ａｚｕｒｅ ＡＤ ４００６などの認証メカニズムとして機能する第三者アプリケーションであり得る。プラットフォーム４００２が選択されると、グラフィカルインターフェースは、設定ウィザード４００８を表示することができる。設定ウィザード４００８は、ユーザが、ユーザ、ユーザグループ、および／または修正プレイブックなどの様々なパラメータに対して様々な設定を構成することを可能にする、一つ以上のウィンドウ４０１０を含み得る。各ウィンドウ４０１０は、選択されたとき、ＳＯＡＲ管理サーバ１００２に通信可能に結合されたディスプレイおよび／または周辺デバイス（例えば、キーボード、マウス、タッチスクリーンなど）を介して、情報を視覚的に提示し、ユーザ入力を受信するように構成されたそのパラメータに対する特定の設定をユーザが構成できる命令４０１２を表示することができる。例えば、グラフィカルユーザインターフェース２０１０は、ユーザが一つ以上のテナント１０１０ｎ、又はクライアント組織に対する、ＳＯＡＲプラットフォームの、セットアップ、および／または自動化を制御し得るウィザードを実行するように、構成され得る。
【0040】
図２を更に参照すると、１つのこうしたテナント１０１０ｎアーキテクチャの実施例が、本開示の少なくとも一つの非限定的な態様に従って図示される。ＳＯＡＲ管理サーバ１００２は、テナント１０１０ｎアーキテクチャに関連付けられた変数を検出するように、並びに図２に示される一つ以上のモジュールを含む、テナント１０１０ｎ固有の構成を、設計および導入するように、構成され得る。例えば、図２の非限定的な態様によれば、テナント１０１０ｎアーキテクチャは、リモートＳＯＡＲプラットフォーム２０１８、ダッシュボード／レポートモジュール２０２２、および一つ以上のセキュリティツールアプリケーションプログラムインターフェース（「ＡＰＩ」）２０２０ａ～ｄを含み得る。各セキュリティツールＡＰＩ２０２０ａ～ｄは、テナント１０１０ｎに導入されたクライアントのＡＰＩに対する、悪意のある攻撃または誤用を防止するように、構成され得る。ＡＰＩはウェブベースの相互作用をプログラミングする鍵となっているため、ハッカーの標的となっている。したがって、セキュリティツールＡＰＩ２０２０ａ～ｄは、クライアントのＡＰＩをモニタリングし、疑わしいイベントが検出された場合、アラート２０３０をＳＯＡＲプラットフォーム２０１８に送り返すことができる。
【0041】
一部の非限定的な態様によれば、ダッシュボード／レポートモジュール２０２２は、テナント１０１０ｎのサイバーセキュリティの、カスタマイズ可能な視覚的表現を含み得る。例えば、ダッシュボード／レポートモジュール２０２２は、ＭＳＳＰおよび／またはクライアント組織の従業員が、テナント１０１０ｎネットワークにわたって何が起こっているかを視認すること、並びに検出された脅威に応答して、ネットワークを保護するために是正措置を取ることを可能にすることができる。これにより、ＭＳＳＰ及び／又はクライアント組織は、サイバーセキュリティインシデントを著しくより効率的な方法で、特定、防止、軽減、及び／又は予測することができる。もちろん、図２の固有のテナント１０１０ｎアーキテクチャは、単に例示の目的で提示される。他の非限定的な態様によれば、ＳＯＡＲ管理サーバ１００２によって設計および導入されたテナント１０１０ｎアーキテクチャは、代替的なタイプ、および／またはモジュールの数量を含むように、代替的に構成することができる。ＳＯＡＲ管理サーバ１００２、より具体的には、コンテンツライブラリ２００２、バリアブルストア２００４、および自動化スキーム２００８の能力は、テナント１０１０ｎに代わってリモート管理され得る、カスタマイズされたＳＯＡＲベースのソリューションを、可能にする。ＳＯＡＲ管理サーバ１００２によって導入されるように、バリアブルストア２００４によって検出された変数、および検出された変数に基づいてコンテンツライブラリ２００２から選択されるアーチファクトに応じて、各ソリューションは異なる。
【0042】
更に、図２のアーキテクチャ２０００は、更に、ＳＯＡＲ管理サーバ１００２の様々なモジュールと、一つ以上のテナント１０１０ｎとの間の、異なる通信手段を示す。例えば、ＡＰＩブローカー２００６などの特定のモジュールは、サービス運用エンジン２０１２、グラフィカルユーザインターフェース２０１０、リモートＳＯＡＲプラットフォーム２０１８、およびダッシュボード／レポートモジュール２０２２などの他のモジュールと、サービス層２０２４を介して通信し得る。コンテンツライブラリ２００２、バリアブルストア２００４、およびＡＰＩブローカー２００６などの他のモジュールは、管理およびコンテンツ配信層２０２６を介して、テナント１０１０ｎの、リモートＳＯＡＲプラットフォーム２０１８と通信し得る。リモートＳＯＡＲプラットフォーム２０１８は、ＳＯＡＲ通信プロトコル２０２８を介して、テナント１０１０ｎの、一つ以上のセキュリティツールＡＰＩ２０２０ａ～ｃと通信し得る。一つ以上のセキュリティツールＡＰＩは、アラートプロトコル２０３０を介して、バリアブルストア２００４からの変数によって定義されるように、コンテンツライブラリ２００２から適用されたアーチファクト２０３２によって定義されるルールに従って、リモートＳＯＡＲプラットフォーム２０１８に、警告を送信し返す。コンテンツライブラリ２００２から選択されたアーチファクト、およびバリアブルストア２００４から検出された変数が、アーチファクト２０３２に与える影響は、対応するクロスハッチングを介して、図２に示される。言い換えれば、類似または同じプロトコルおよび／または方法を適用することができるが、各通信手段は、異なるコンテンツを含み得る。したがって、エンドユーザは、特定の「ＭＤＲ」（Ｍａｎａｇｅｄ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｒｅｓｐｏｎｓｅ）サービスの有無にかかわらず、図２のアーキテクチャ２０００を活用することができる。しかしながら、特定のＭＤＲサービスで配信されると、ＡＰＩとインターフェースを取る特定のＭＤＲサービスユーザと同じＡＰＩを使用し、アーキテクチャ２０００を管理し、一つ以上のテナントに代わって措置を取ることができる。
【0043】
図２の非限定的な態様に例示されるように、ＳＯＡＲ管理サーバ１００２のアーキテクチャの様々なモジュールは、バリアブルストア２００４によって決定され、および／または以前に保存されるように、テナント１０１０ｎに関連付けられた自律的に選択された変数である、コンテンツライブラリ２００２からの特定のアーチファクト２０３２に従って、テナント１０１０ｎのリモートＳＯＡＲプラットフォーム２０１８と通信、管理、および制御するように構成され得る。したがって、コンテンツライブラリ２００２、およびバリアブルストア２００４は、自動化スキーム２００８と併せて、ＳＯＡＲ管理サーバ１００２が、各テナントの１０１０ｎ ＳＯＡＲプラットフォーム２０１８と統合しリモート管理するためのカスタム構成を、自律的に生成することを可能にし得る。例えば、アーチファクト２０３２は、ＳＯＡＲ管理サーバ１００２の、ＡＰＩブローカー２００６、およびサービス運用エンジン２０１２が、テナント１０１０ｎのリモートＳＯＡＲプラットフォーム２０１８とインターフェースする手段を定義し得る。更に、アーチファクト２０３２は、コンテンツアラート２０３０、及びそれらが１つ以上のセキュリティツールＡＰＩ２０２０ａ～ｄからリモートＳＯＡＲプラットフォーム２０１８に送信される条件を、更に定義することができる。
【0044】
コンテンツライブラリ２００２、バリアブルストア２００４、および自動化スキーム２００８を含む、ＳＯＡＲ管理サーバ１００２は、ＭＳＳＰがクライアント組織ＳＯＡＲプラットフォーム２０１８をリモート管理できる、強力なクラウドベースのツールを提供することができる。プライマリインターフェースはグラフィカルユーザインターフェース２０１０であるが、ＡＰＩインターフェース２００６は、ＳＯＡＲプラットフォーム２０１８管理機能のプログラム制御を更に可能にすることができ、これにより、ユーザは、中央インターフェースを介して、テナント１０１０ｎなどのリモート環境に、コードベースのコンテンツを制御する、プレイブック、自動化、統合、ダッシュボード、および他のＳＯＡＲの形態で、コンテンツを導入することを可能にする。更に、ＳＯＡＲ管理サーバ１００２の、コンテンツライブラリ２００２、バリアブルストア２００４、および自動化スキーム２００８は、そのコンテンツのカスタマイズを可能にし、テナント１０１０ｎ固有のニーズに基づいて特注の導入を可能にする、特徴を提供する。換言すれば、ＳＯＡＲ管理サーバ１００２は、導入時にオプションが自律的に決定され得るように、コードおよびコンテンツ（例えば、コンテンツライブラリ２００２）の保存されたライブラリを参照する、モジュール式かつスケーラブルな方法を提供することができる。
【0045】
例えば、ユーザは、次世代アンチウイルス（「ＮＧＡＶ」）製品、電子メールセキュリティ製品、および／またはアイデンティティ保護製品の統合を可能にし、その後、グラフィカルユーザインターフェース２０１０を介してユーザから受信した制御に基づいて、検出、調査、および応答の段階を自動化することができる、プレイブック、コード、統合、および／またはダッシュボードなどの、コンテンツライブラリ２００２に保存された、一連のアーチファクトを展開することができる。追加的におよび／または代替的に、ＳＯＡＲ管理サーバ１００２は、ユーザが、テナント１０１０ｎのアーキテクチャまたは環境の一部分を、自動化することを可能にすることができる。更に、グラフィカルユーザインターフェース２０１０は、ユーザが、ウィザードのような追跡、ウォークスルー、アプリケーションの簡略化を介して、自動化スキーム２００８によって提示されるように、自動化特徴の「オプトイン」、および／または「オプトアウト」することを可能にすることができる。ユーザは、ダッシュボード／レポートモジュール２０２２を介して適用されるべきレポートおよび／またはダッシュボード機能、並びにプリファレンスを、更にカスタマイズすることができ、これは、自動化コンテンツに沿った導入のために、パッケージ化され得る。
【0046】
一部の非限定的な態様によれば、ＳＯＡＲ管理サーバ１００２によって起動されるアプリケーションは、スケーラブルであってもよく、すなわち、リモートで管理（例えば、スケーラビリティ）できるＳＯＡＲプラットフォーム２０１８を有するテナント１０１０ｎの数、および／または提供するＳＯＡＲ管理機能の数に関して、拡張、または伸長する能力で構成され得る。換言すれば、コンテンツライブラリ２００２、バリアブルストア２００４、および自動化スキーム２００８を含む、アプリケーションは、ＳＯＡＲ管理サーバ１００２が、将来の使用のために拡張されることを可能にするために必要な労力のレベルを最小化するように、設計され得る。例えば、ＳＯＡＲ管理サーバ１００２によって起動されるアプリケーションによって提供される拡張機構、ＳＯＡＲ管理サーバ１００２の追加のサービス構成要素および特徴を可能にするように構成されたプラガブルアドオンを、将来導入することができる。
【0047】
一部の非限定的な態様によれば、拡張機構は、追加のＳＯＡＲサービス構成要素へのプラグ接続を可能にするために、様々な方法で実装され得る。例えば、とりわけ、ＤＵＯ、Ｏｋｔａなどの認証機構は、同時にサポートされ得る（図４のグラフィカルユーザインターフェース４０００を介して図示のとおり）。これらの認証機構はハードコード化されなくてもよいが、構成ファイルは検出可能であり得る（例えば、認証機構の各々の主要な「ｃｏｎｆｉｇ」ファイルは、新規ファイルまたは削除されたファイルについてスキャンされている周知のリポジトリ場所に配置され得る）。Ａｚｕｒｅ ＡＤなどの新しい構成もサポートされる場合、Ａｚｕｒｅ ＡＤに対応する構成ファイルは、ＤｕｏおよびＯｋｔａ構成と同じリポジトリ場所に配置され、アプリケーション管理サーバによって発見され、必要に応じてクライアントから選択および設定するようにユーザに提示される。構成ファイルは、このアプリケーション管理ツールによって定義され、理解されるスキームに準拠することができ、ユーザインターフェース４０００（図４）要素４００２、４００４、４００６（図４）は、それに応じて生成および自動入力され得る。特に、本明細書で論じるＳＯＡＲアプリケーションは、ソースコードにハードコードされていないが、この方法に従って新しい構成を通して動的に差し込まれる追加の構成機能で容易に拡張される方法で構築される。
【0048】
ユーザが自動化を介してこれらのアドオンを導入すると、ＳＯＡＲ管理サーバ１００２によって起動されるアプリケーションをトリガして、ＭＳＳＰの代わりに追加のサブスクリプションベースのサービスを可能にし、テナント１０１０ｎのセキュリティ、および健全性モニタリングを強化することができる。追加的におよび／または代替的に、ＳＯＡＲ管理サーバ１００２によって導入されたアプリケーションは、図２に図示されるように、完全に新しいカスタマイズされたテナント１０１０ｎアーキテクチャを生成する代わりに、テナント１０１０ｎによって既に導入された以前のＳＯＡＲ資産の、少なくともいくらかを発見および軽度な管理することを可能にし得る、既存の「管理されていない」コンテンツで動作するように構成され得る。
【0049】
前述したように、プロセッサ１００４（図１）によって実行される時、アプリケーションは、クライアント組織のＳＯＡＲプラットフォーム２０１８を、抽象的、および／または動的に管理するように構成され得る。例えば、抽象的実施において２０２１年６月３日に出願された、「ＤＥＶＩＣＥＳ， ＳＹＳＴＥＭＳ， ＡＮＤ ＭＥＴＨＯＤＳ ＦＯＲ ＥＮＨＡＮＣＩＮＧ ＳＥＣＵＲＩＴＹ ＩＮＦＯＲＭＡＴＩＯＮ ＆ ＥＶＥＮＴ ＭＡＮＡＧＥＭＥＮＴ ＵＰＤＡＴＥＳ ＦＯＲ ＭＵＬＴＩＰＬＥ ＴＥＮＡＮＴＳ ＢＡＳＥＤ ＯＮ ＣＯＲＲＥＬＡＴＥＤ， ＡＮＤ ＳＹＮＥＲＧＩＳＴＩＣ ＤＥＰＬＯＹＭＥＮＴ ＮＥＥＤＳ」と題する、米国仮特許出願第６３／１９６，４５８号に開示されるように、ＳＯＡＲ管理サーバ１００２は、コンテンツライブラリ２００２に保存された、汎用的に定義されたアーチファクトを採用してもよく、その開示は、参照によりその全体が本明細書に組み込まれる。汎用的に定義されたアーチファクトは、例えば、実行可能なコードのブロックを含み得る。ところが、プラットフォーム固有の実施を、その後提供することができる（例えば、Ａｚｕｒｅ Ｄｅｆｅｎｄｅｒ、Ｃｒｏｗｄｓｔｒｉｋｅなど）。要約の自動化／プレイブックは、一般的な形式で書かれ、その後、導入時に特定のフォーマットに翻訳され得る。例えば、ビジネス電子メールが漏洩した場合、ユーザの電子メールアカウントを無効にするように特に構成される自動化／プレイブックを作成することができる。しかしながら、特定の顧客環境におけるその自動化／プレイブックの実際の実装時に、本明細書に開示されるシステム１０００（図１）および機能的アーキテクチャ２０００（図２）は、テナントが使用する特定のメールアプリケーションに対して具体的に実装されるバージョンに、一般に記述されたコンテンツを翻訳することができる。このようにして、従来のシステムおよびアーキテクチャとは異なり、それを書き換えることなく、複数の環境にプログラム的に適合させることができるコンテンツを生成することができる。したがって、本明細書に開示されるシステム１０００（図１）および機能的アーキテクチャ２０００（図２）は、従来の自動化／プレイブックの技術的問題への重大な技術的ソリューション可撓性フォーマットおよびインターフェースを提供し、これにより、ユーザは、サービスを多数のテナントおよびその認証機構に拡張することができる。
【0050】
代替的に、動的実施では、ＳＯＡＲ管理サーバ１００２は、コンテンツライブラリ２００２を介して、新しい自動化タイプを動的に生成することができ、これは、後続の導入のために、グラフィカルユーザインターフェース２０１０によって自動的に検出され、選択のために表示され得る。同様に、エンドポイントモニタリングソリューション（例えば、ＣａｒｂｏｎＢｌａｃｋなど）などの新しい自動化は、自動化によって検出された有害なプログラムの実行をブロックする（例えば、実行可能なファイル自動化をブロックするなど）ものなど、所与の自動化タイプに対して、コンテンツライブラリ２００２に追加され得る。同様に、それは、ＧＵＩで自動的に利用可能になる場合があり、適切なクライアントＳＯＡＲ（これらのセキュリティツールを使用する）に展開できる。
【0051】
ＳＯＡＲ管理サーバ１００２を介した導入時に、テナント１０１０ｎ、またはクライアント、特定の 変動点は、バリアブルストア２００４によって検出され、コンテンツライブラリ２００２に保存されたアーチファクトと相関し得る。例えば、ＳＯＡＲ管理サーバ１００２は、所与の構成に対して自動応答／是正措置（例えば、プレイブック）を構成する能力を有する。これらの是正措置は、任意選択のステップを必要とし得、例えば、テナントは、措置を最初に承認しなければならない場合がある。したがって、修復自動化の構成は、実際のタスクに対して類似の構成を伴い得る（例えば、アカウントをブロックする）が、承認ステップは、電話、または電子メール、またはワークフローフォーム（例えば、サービスチケットを介した統合）を介して手動で行われてもよい。このように、承認ステップは、可変であり得（例えば、存在しても存在しなくてもよく、存在する場合、いくつかの方法で達成されてもよい）、このクライアントおよびＳＯＡＲ自動化のために構成するために、自動化リポジトリから適切なコードおよび構成を引き出すことを必要とする。
【0052】
したがって、導入時に、変動点は、テナント１０１０ｎのネットワークアーキテクチャに基づいて、テナント１０１０ｎ固有のＳＯＡＲニーズに対して構成され得る。１つの非限定的な態様によれば、ＳＯＡＲ管理サーバ１００２は、ＳＯＡＲプラットフォーム２０１８を自動化して、セキュリティツールＡＰＩ ２０２０ａ～ｄによって受信された入力に基づいて、セキュリティイベントの検出時に、ユーザアカウントをブロックし得る。例えば、自動化は、テナント１０１０ｎ管理アカウントからの承認など、いくつかのステップ、または条件を含み得る。導入中、例えば、グラフィカルユーザインターフェース２０１０を介して提示されるウィザードを介して、自動化は、テナント１０１０ｎの一つ以上の管理アカウントに関連付けられた情報（例えば、電話番号、ショートメッセージサービス（「ＳＭＳ」）アドレス、電子メールアドレスなど）を提供するように、ユーザに要求し得る。したがって、管理アカウントからのアクションの接触および／または促しなどの、特定のステップおよび／または条件は、グラフィカルユーザインターフェース２０１０を介して、自動化にプログラムされ得る。
【0053】
一つの非限定的な態様によれば、カスタム自動化を実行すると、ＳＯＡＲ管理サーバ１００２、より具体的には、ＳＯＡＲ管理サーバ１００２によって生成されるカスタム自動化は、ＳＯＡＲプラットフォーム２０１８を管理して、一つ以上のセキュリティツールＡＰＩ２０２０ａ～ｄから受信した入力／アラートに基づいて、セキュリティイベントを検出し、ユーザアカウントをブロックする必要があると、決定することができる。ＳＯＡＲ管理サーバ１００２は、ＳＯＡＲプラットフォーム２０１８を管理して、管理アカウントに通知し、自動化は承認を待つことができ、承認を受信すると、自動化のその後のステップへと続き、最終的に、テナント１０１０ｎネットワークから、疑わしいアカウントを削除することができる。前述したように、これは、各セキュリティツールＡＰＩ２０２０ａ～ｄ、および／または通知方法に対する特定の実施を用いて、自動化タイプに抽象化され得る。疑わしいアカウントを除去することは、ＳＯＡＲプラットフォーム２０１８がテナント１０１０ｎネットワークのセキュリティを強化するために実行できる措置の一例に過ぎない。例えば、アカウントをブロックすること以外に、ＳＯＡＲプラットフォーム２０１８はまた、他の措置の中でも、疑わしいファイル、セキュリティ管理者への電子メールを削除することができる。
【0054】
ＳＯＡＲ管理サーバ１００２によって導入されると、アーチファクト２０３２（例えば、自動化）は、テナント１０１０ｎアーキテクチャ内に存在し得、非限定的な態様に応じて、ＭＳＳＰおよび／またはクライアントは、導入された構成を修正し得る。例えば、一部の非限定的な態様によれば、クライアントは、テナント１０１０ｎネットワークにわたって導入された構成を制御することを、望む場合がある。しかしながら、他の非限定的な態様によれば、クライアントは、ＭＳＳＰが構成の排他的制御を有することを、望む場合がある。いずれにしても、ＳＯＡＲ管理サーバ１００２によって導入されたアプリケーションは、ＭＳＳＰ、および／またはクライアントによってなされた変更を、自動的に検出し、それらを将来の導入、および／または既に導入されたアーチファクト２０３２への更新の管理のために使用するように、構成され得る。一部の非限定的な態様によれば、こうした変更は、ＳＯＡＲ管理サーバ１００２のメモリ１００６（図１）に保存された人工知能によって利用されて、類似のクライアント、および／またはアーキテクチャのための拡張された導入のために、コンテンツライブラリ２００２内の、一つ以上のアーチファクト２０３２（例えば、テンプレート、ワークフローなど）を、適合させることができる。
【0055】
したがって、コンテンツライブラリ２０２０は、ＳＯＡＲ管理サーバ１００２上のアプリケーションによって導入された時に、グラフィカルユーザインターフェース２０１０、およびＡＰＩブローカー２００６とともに、コンテンツライブラリ２００２、およびクライアントのＳＯＡＲプラットフォーム２０１８の両方への更新を、抽象的、および／または動的に検出することができる、寄与機構として機能し得る。これらの更新は、システム１０００（図１）の中央コンソールとして機能する、ＳＯＡＲ管理サーバ１００２を介して、集合的に管理することができ、前例のないスケーラビリティを可能にして、多数のクライアントを管理することができる。このように、ＳＯＡＲ管理サーバ１００２は、別のクライアントのＳＯＡＲプラットフォーム２０１８を、信頼性、および一貫性を以て、リモート管理することができる。そのモジュラー設計により、サードパーティーベンダーソリューションが進化するにつれて、ユーザおよびサードパーティーアプリケーションが、新しいアーチファクト２０３２に寄与し、および／または既存のアーチファクト２０３２を更新することを可能にし、「フューチャープルーフ」され得る。
【0056】
図３は、マネージドセキュリティサービスプロバイダを介したテナントネットワークの自律的なセキュリティ強化のための方法１００の図を示す。様々な態様の方法１００は、ＳＩＥＭ自律的セキュリティシステムまたはＭＳＳＰサーバ（以下、集合的に「セキュリティシステム」と呼ばれる）によって開始され得、クエリ１０５、データベースまたはサーバは、概してテナントネットワークにおいて、セキュリティシステムによってＩｏＣに遭遇すると、開始されてもよい。セキュリティシステムデータベースは、保存およびインデックス付けされ、要求に応じてセキュリティシステムで利用可能な、データソースまたはフィードから履歴およびコンテキストデータまたは情報を含むか、または受信しているため、セキュリティシステムデータベースまたはネットワークをクエリ１０５すると、システムは、各ソースまたはフィードにアクセスすることができるデータおよび情報を検索して、遭遇またはその他の関連するＩｏＣに関する情報を識別することができる。
【0057】
ＩｏＣが受信されるデータソースまたはフィードはそれぞれ、事前設定された信頼性スコアまたは値、またはセキュリティシステムによって計算および／または更新された信頼性スコアを含み得る。この信頼性スコアは、各データソースまたはフィードの信頼性を定義し、また、既知のまたは利用可能なデータに基づいて、セキュリティシステムによって自動的に決定されてもよく、これは、人間の関与のレベルおよび／または品質、ソースまたはフィードによって識別されるＩｏＣの数、ソースまたはフィードの信頼性の履歴（例えば、ソースまたはフィードから得られたデータから生成される偽陽性または偽陰性の数）、ソースまたはフィードの経過年数、ソースまたはフィード中のＩｏＣの経過年数または日付、コミュニティにおける、またはコミュニティ／ユーザレビューに基づく情報源やフィードの評価、特定のテナントまたはテナントネットワークに対するソースまたはフィードの関連性、セキュリティシステムが管理しているテナントネットワークのタイプ、およびソースまたはフィード上でセキュリティシステムに利用可能な情報の範囲を含む。クエリ１０５は、遭遇したＩｏＣをＳＩＥＭ自律的セキュリティシステムデータベース内の同一または類似のＩｏＣと照合または識別し、遭遇したＩｏＣへの参照または情報を含む関連するまたは関連するソースまたはフィードを識別し得る。
【0058】
遭遇したＩｏＣに関連するソースを照合または識別した後、セキュリティシステムは、脅威のレベルまたは重大性を示すことを目的とする単一のＩｏＣ脅威スコア／ＩｏＣ脅威スコアを計算および／または生成１１０する。ＩｏＣ脅威スコアがシステムによって計算された後、ＩｏＣ脅威スコアに基づいて、実行可能なセキュリティ強化通知が生成１１５される。実行可能なセキュリティ強化通知は、セキュリティアナリストまたは他のセキュリティシステムのユーザに送信されてもよく、テナントに属するか、またはＭＳＳＰの管理下にあるネットワーク、データベース、サーバ、または他のノードを保護するために講じられ得るセキュリティ管理措置に関する推奨を含んでもよい。
【0059】
様々な態様では、実行可能なセキュリティ強化通知は、計算されたＩｏＣ脅威スコアが、指定されたまたは事前設定されたセキュリティ脅威閾値を満たすか、またはそれを超えることを必要とする場合があり、一部の態様では、異なる閾値が設定されてもよく、それを満たすか、またはそれを超えると、それぞれ異なるセキュリティ強化の通知、応答、または実行可能な推奨がもたらされ、その一部は、セキュリティシステムのユーザまたはセキュリティアナリストに送信されてもよく、一方でその別の部分は、イベントの記録またはデータベースの更新などの他の自動措置、またはテナントネットワークもしくはセキュリティシステムの他の部分を作成してもよい。本開示の様々な実施形態では、ＩｏＣ脅威スコア、セキュリティ閾値、および／またはセキュリティ強化通知またはアラートは、ユーザインターフェースを介してセキュリティシステムのユーザに表示されてもよい。ユーザインターフェースは、異なるＩｏＣ脅威スコア、実行可能な推奨などに対して、カラーコーディングまたはその他の視覚的効果もしくは技法を利用しうる。
【0060】
任意に、侵害指標はまた、ＳＩＥＭ自律的セキュリティシステムによって一つ以上のカテゴリに分類１２５されてもよく、または一つ以上のタイプの脅威として分類されてもよく、分類は、そのＩｏＣ脅威スコア、脅威レベル、それが満たす、超える、または別の方法で満たさない閾値、およびＩｏＣスコアに対する生成された信頼性スコアに基づいてもよい。ＩｏＣは、悪質、良性、不明、または別のカテゴリもしくはタイプの異なる分類を与えられてもよい。分類はまた、セキュリティシステムのユーザまたはセキュリティアナリストに送信または表示されてもよい。分類レベルはまた、様々な実施形態では、システムによって表示、生成、または送信される推奨または実行可能なセキュリティ強化のタイプに影響を与え得る。
【0061】
いくつかの任意選択的な態様では、新しいマルウェアバリアントまたは脅威のタイプは、ＩｏＣの分類、計算されたＩｏＣ脅威スコア、計算されたＩｏＣ信頼区間または値、ＩｏＣが満たすか、またはそれを超えるセキュリティ閾値レベル、ＩｏＣの経過年数、ＩｏＣの広がりおよび／または分布、といった要因のうちの一つ以上に基づいて識別されてもよく、好ましい実施形態では、ＩｏＣは、以前に遭遇したＩｏＣまたは脅威の特徴のすべてではないが一部を共有し、例えば、ＩｏＣが以前のマルウェアの系統またはバリアントと元のサーバを共有した場合には、新しいマルウェアバリアントが特定され得るが、ただし、それ自体に同一または同一のコードは含まれず、さらに、マルウェアは、以前の系統として、すべてではないが一部の行動または特徴（またはコード）を共有してもよく、これが、個別に、または本明細書に列挙される要因と組み合わせて、自律的セキュリティシステムが新しいマルウェアバリアントまたは他の脅威を識別することを可能にしてもよい。
【0062】
ＩｏＣの識別、ＩｏＣ脅威スコアの計算、および／またはＩｏＣの分類に応答して、およびセキュリティシステムの機能を改善するために、セキュリティシステムは、ＩｏＣデータを受信するために使用されるソースおよびフィードの偽／真陽性／陰性スコアを自動的に変更または更新することを実行してもよい。セキュリティシステムは、任意選択的に、偽陽性の数、真陽性の数、偽陰性の数、および真陰性の数のうちの少なくとも２つからなる一つ以上の比を決定することによって、自律的に調整１３５し、一つ以上のセキュリティ脅威閾値およびレベル、ならびに／またはソースもしくはフィードの信頼性スコアを更新してもよい。この応答は、システムに対するスコアの精度および有用性を改善し、応答および処理リソースをより良く展開することを可能にし、より正確なスコアおよび情報を有する脅威をより迅速に識別することによって応答時間を改善するだけでなく、各遭遇した脅威の即時性に基づいてシステムリソースをより効果的に管理し、処理およびメモリリソースを、例えば、より即時の脅威に応答して、より緊急性の高いタスクに採用する。
【0063】
様々な態様では、セキュリティシステムは、計算されたスコア、ＩｏＣ、または識別された値／閾値レベルに基づいて、識別されたＩｏＣ、識別されたマルウェアバリアント、ＩｏＣ脅威スコア、および／または一つ以上のセキュリティ脅威閾値に対する自動セキュリティ応答を自律的に導入してもよい。自動セキュリティ応答は、セキュリティ脅威閾値レベルを自動的に調整する、データベースを自動的に再構成して、識別されたマルウェアバリアントを含める、自動的に識別する、識別されたマルウェアバリアントを追加的に追加する、セキュリティシステムの複数のユーザまたはセキュリティアナリストに対して通知を自動的に送信する、識別されたＩｏＣまたは新しいマルウェアバリアントに一つ以上のテナントネットワークがさらされること、または将来さらされるリスクを判定する、およびマルウェア、ウイルス、またはその他の脅威の拡散を防止するために、一つ以上のテナントネットワークまたはネットワークの一部を隔離する、のうちのいずれかの応答のうちの一つ以上を含んでもよい。
【0064】
データベースを再構成することは、データベースを自動的に、連続的に、および動的に更新することを含むことができ、データベースのこの更新または再構成は、以下の複数の要因に基づいてもよい。すなわち、商業およびコミュニティの脅威情報に基づく、新しいマルウェアバリアントや新たな脅威に関する情報の自動的な定期的取り込み、業界標準のメカニズム（例： ＳＴＩＸ、ＡＰＩ、ＹＡＲＡ）によるデータフィード、展開されたセンサーを介して監視された環境内で観察される悪質または潜在的に望ましくない活動に基づく、または、様々なデータソースまたはフィードを扱う脅威情報アナリストが維持する、手動で精選された侵害指標（ＩＯＣ）のフィードに基づく、新しいマルウェアバリアントまたは新たな脅威に関する情報などがあるが、これらに限定されない。このデータベース再構成により、脅威やマルウェアの可能性をより迅速に特定、照合、および／または対応することができる。
【0065】
ネットワークまたはＳＩＥＭの他の部分に、またはセキュリティシステムの複数のユーザまたはアナリストに、通知を自動的に送信することは、様々な方法で達成でき、これは、現在有効なＩｏＣおよびそれぞれのリスクスコアのタイムセンシティブな出力リスト（例えば、ルックアップテーブル）を作成して、セキュリティシステムが、監視された環境から得られた生の情報を、システムによって計算されたリスクスコアリング結果と自動的に相関させることを可能にすること、を含むが、これらに限定されない。スコアリング出力は、構造化されたデータのセットに定期的にエクスポートされ、その後、データログ分析および管理システムに供給され、それは、スコアリング出力からの新しい所見に対して入ってくるデータを連続的に評価する。したがって、ある特定の閾値を超えるリスクスコアに一致する何かがネットワーク内で観察された場合、自動アラートが生成されるか、またはデータベースもしくはネットワークの自動隔離（自動隔離は、時間または範囲において制限される場合があり、例えば、データベース／隔離されたネットワークの数、またはＩｏＣ脅威スコアに応じてネットワークのデータベースの部分）を含む、様々な自動セキュリティ応答のうちの一つがトリガされ得て、例えば、人間の分析者がレビューし、さらなる措置を取る時間を可能にする。
【0066】
出力リストとリアルタイムデータルックアップ機能により、指標またはＩｏＣ履歴、リスクスコアリング、および継続的なセキュリティインシデントの一部としての特定の指標の発信元を含む、さまざまな指標と要因の自動および手動によるルックアップの両方が可能になる。様々な態様では、これは、インシデント管理に使用されるセキュリティオーケストレーションプラットフォームと、指標リスクスコアリング結果をホストするデータベースとの間のＡＰＩ統合を介して達成される。例えば、環境内の特定の活動タイプに関する調査の一環としてアーチファクトが観察された場合、オーケストレーションシステムが、このアーチファクトに関するさらなる情報について、リスク計算システム内に保存されたデータを自律的に（および一部の態様では、前記セキュリティアナリストが）クエリすることを許可され、アーチファクトが最初に検出されたのはいつか、システムはどんな評価を与えたか、また割り当てられた／算出されたリスクスコアに基づいて、アーチファクトに関連するリスクやリスク範囲は何か、などの情報を取得する。
【0067】
他のテナントまたはテナントネットワークがさらされる、または将来さらされるリスクを決定することは、セキュリティシステムのオーケストレーション層とスコアリングアルゴリズムをホストするデータベースとの間のＡＰＩ接続によって行われ得る。ＩｏＣがクライアント環境で観察され、望ましくないまたは潜在的に悪意のある活動の信頼できる指標であると判定された場合、その所見は、データベース内にこの所見をメモするＡＰＩ呼び出しを介してスコアリングアルゴリズムに転送される。その結果、これにより、次の時点までにデータベース内のこの特定の指標に割り当てられたリスクスコアが、問題のＩｏＣについてリスクスコアが計算される。また、一つ以上のテナントネットワークまたはネットワークの一部分の捕捉は、それらの間の接続または互いの知識を必要とすることなく、複数のネットワークセグメント、または複数の離散型ネットワークに利益を提供し得る。
【0068】
ほとんどの実施形態では、リスクスコアが設定された閾値を超える場合、全体的なインシデントの重要度評価はそれに応じて増加する。その結果、インシデントは、セキュリティアナリストによるレビュー、または上述の潜在的な回答のいずれかにおいて、より緊急な問題として専用のリソースを処理するために、より高い優先順位が割り当てられる。さらに、クライアントおよびサービスプロバイダが、自動応答および脅威軽減能力を含む配置に合意した場合、特定のインシデントに関連付けられたインジケータに割り当てられるより高いリスクスコアは、自動応答（例えば、エンドポイント隔離、ネットワークトラフィックの中断、および前述の自動応答）をトリガしてもよく、その決定は、そうでなければより正確ではなかった場合がある。異なるシナリオでは、特定の指標が正当な活動に関連付けられていることが知られていることを確認する能力は、環境の承認されたビジネス使用に関連する正当な活動の潜在的な中断を避けるために、自動または半自動の応答および脅威軽減活動の延期をもたらし得る。
【0069】
図４は、遭遇した侵害指標（ＩｏＣ）脅威スコアを計算するための自律的な方法の図を示す。ＩｏＣに遭遇し、セキュリティシステムデータベースが図１に示すようにクエリされると、遭遇したＩｏＣに関連すると識別される各ソースまたはフィードについて、関連するソースまたはフィードによって提供または分類される脅威値／レベルが、そのＩｏＣについて識別２０５される。例えば、いくつかのセキュリティフィードは、ＩｏＣを、５５／１００の脅威レベル、８／１０、中程度に悪質、または良性、または任意の他の分類システムを介して分類し得る。セキュリティシステムは、各セキュリティソースによって割り当てられた脅威レベルを自律的に識別するか、または現在のクエリに関連する各ＩｏＣに供給することができ、多くの態様では、ソースまたはフィードがそれぞれ異なるタイプまたは分類方法を使用したとしても、異なるソースまたはフィードにわたって標準化されたソースまたはフィードＩｏＣの脅威値を生成する。ＩｏＣに関連するものとして識別されるフィードの各ソースの信頼性スコアに基づいて、乗数が、ソースまたはフィードによって提供される脅威値に付加され／割り当てられて２１０、ＩｏＣに対して調整された脅威値を生成する。乗数は、ソースまたはフィードの確立された、または割り当てられた信頼性スコアに直接的に基づいてもよく、または他のソースまたはフィードによって提供される他の脅威値と比較して、ソースによって提供される脅威値間の分布および／または分散などの他の要因とともに部分的に基づいてもよく、または、代替的に／追加的に、ソースまたはフィード、またはＩｏＣ、またはＩｏＣのタイプに関連するセキュリティシステムの内部測定基準に基づいてもよい。
【0070】
本技術の様々な態様では、変則的な、または外れ値の脅威値（変則的または外れ値の脅威値は、調整される前および／または調整された後に変則的として識別され得る、調整された脅威値または変則的な調整された脅威値を含むことができる）は、計算から識別および／または除去２１５され得る。本開示では、その最も広い意味で「脅威値」への言及は、調整されたもしくは調整されていない脅威値、および／または変則的なもしくは非変則的な脅威値、および／または正規化されたもしくは正規化されていない脅威値を包含する。一部の実施形態では、異なるタイプのソースは、特定のＩｏＣについて異なる脅威値を生成または提供し得るが、これらの差異は、フィードまたはソース自体の差に由来する場合があり、例えば、多数のＩｏＣ上で公的に生成され、自由に提供される脅威値は、ＩｏＣの脅威値を低いものとして分類し得る一方、少数の排他的に入手可能で、有料の専門セキュリティサービスは、同じＩｏＣに対して高い脅威値を提供してもよい。こうした例では、セキュリティシステムは、２つのグループ間の差異を重み付け２２０して、公的に生成されたデータおよび非公開に生成されたデータを考慮に入れた脅威値を提供してもよく、その重み付けは、特定のＩｏＣ、そのタイプ、各ソースまたはフィード中のＩｏＣの数、提供される脅威値、ソースまたはフィードの信頼性、密接に関連するソースまたはフィードの各グループのサイズ、ならびにセキュリティシステム自体の目標に依存し、重み付けは、重み付けされ調整された脅威値を生成する、または発生させるために行われてもよい。この任意選択のステップでは、セキュリティシステムは、公開からのクラウドソース情報と、専門セキュリティ会社によって非公開に生成された情報の両方を考慮に入れることができ、場合によっては、システムは、特定のＩｏＣおよび本明細書に列挙される要因に応じて、脅威値または調整された脅威値を、一方のデータソースのグループに対して、他方よりも大きく重み付けしてもよい。クラウドソースの公開情報により、セキュリティシステムを柔軟に利用し、キュレーションや専門的な組織化や調整がまだ行われていない情報を考慮に入れることができる一方、非公開で生成された専用ソースにより、セキュリティシステムは、直面する脅威に関する分野の業界や専門家の視点を考慮に入れることができる。
【0071】
本発明の態様に応じて、様々な脅威値および／または様々な調整された脅威値は、すべての関連するソースまたはフィードにわたって正規化２２５され得る。次に、遭遇したＩｏＣに対して単一の脅威スコアが生成２３０される。一部の実施形態では、任意選択的な信頼性スコアも生成２３５されてもよく、これは単一の脅威スコアと共に提供されてもよく、またはその中に組み込まれてもよい。一部の態様では、信頼性スコアはまた、セキュリティシステムが、セキュリティアナリストまたはシステムの他のユーザに対して生成された脅威スコアを提供するために、または図１に示されたその他何らかの追加措置を取るために、一定の閾値内にあってもよい。データソースおよびフィードの信頼性を収集および確認する方法や、識別されたデータの重要性または有意性の決定および計算、ならびにそのデータのスコアリングを含む、本明細書に提示されるシステムおよび方法の態様は、大量のデータおよび情報を利用し、データおよびその信頼性が特定の閾値レベルを満たすことを要求する、様々な業界およびアプリケーションにおいて使用され得る。
【0072】
図５は、本開示の一部の非限定的な態様による、検出および管理された脅威の概要を示す、自律的なＳＩＥＭ脅威スコアリングおよび管理アプリケーションダッシュボードのグラフィカルユーザインターフェースを示す。このユーザダッシュボード３００は、セキュリティアナリストなどのユーザが、システムが対処中であるか、または対処済みのケース３０２専用の別のインターフェースを選択できるようにするサイドパネル３０１を含んでもよい。ダッシュボードサイドパネル３０１はまた、セキュリティアラート３０３、資産３０４のリスト、脆弱性３０５のリスト、レポート３０６、コンプライアンス３０７、およびクリック可能なログアウトボタン３０８を含む他の画面へのリンクを含んでもよい。例示的なダッシュボードは、概要またはシステムの活動を提供するための一般的な概要ヘッダ３０９、環境ヘッダ３１０、脆弱性ヘッダ３１１、傾向ヘッダ３１２、イベントヘッダ３１３、および外部脅威ヘッダ３１４を含む、いくつかの選択可能なヘッダを含んでもよい。概要ヘッダ３０９が選択されると、ユーザの措置３１５を待っている保留中のアイテムの数、進行中のアイテム３１１６、最近のエスカレーション３１７、最近のサービス要求３１８、最近のアラートおよびインシデント３１９、最近の実施された措置３２０、最近の調査結果３２１、最近のセキュリティケース３２２、保護された資産の数２３３、バイパスされた資産３２４、ならびにセキュリティインシデントのリスト３２５に関する情報グループを含み得る画面が表示されてもよい。これらのタブ、リスト、および情報グループの多くは、グラフィカルビュー、チャート、表、およびグラフを含み得る。
【0073】
図６は、本開示の一部の非限定的な態様による、検出された脅威または侵害指標の詳細を表示する別のグラフィカルユーザインターフェースおよびインシデント画面４００を提示する。一態様では、インシデント番号４０１は、インシデントまたは侵害指標４０２の説明または名称と共に提供される。インシデントステータス４０３はまた、例えば、ユーザによる措置が必要である、インシデントがクローズされた、インシデントが解決された、およびこれに類する状態を提示することができる、インシデント画面内に設定されてもよい。ＩｏＣカテゴリ４０４も提供されてもよく、例えば、「障害」、または「ＤＮＳ異常」、「ログインのレッドフラッグ」などを含む。警報源４０５も列挙されてもよく、すなわち、検出された脅威または警報トリガの源も列挙されてもよい。また、任意の実行された措置４０６も提示され得る。インシデント画面４００はまた、概要ヘッダ４０７、証拠ヘッダ４０８、およびメッセージヘッダ４０９を含んでもよい。概要ヘッダ４０７は、インシデントが作成された日付／時刻に関する情報を含んでもよく４１０、更新４１１、インシデントがアクティブであった合計時間４１２、ホスト名４１３、デバイスの重要度または重要性４１４、関与する資産の場所４１５、デバイスＩＰ ４１６、装置のソフトウェアまたはハードウェアに関連し得る装置タイプ４１７と、関連するユーザ名４１８、デバイスカテゴリー４１９（例えば、デバイスはエンドポイントである）、デバイス上で実行されるハードウェアまたはソフトウェアの両方にも関連し得る、デバイスタイプバージョン４２０と、を含む。
【0074】
図７は、本開示の一部の非限定的な態様による、ＩｏＣ画面５００の、遭遇した侵害指標の詳細を表示するグラフィカルユーザインターフェースを提示する。ＩｏＣ画面５００は、遭遇したＩｏＣ ５０１のリストを含み、その名前５０２、それらのタイプ５０３、例えば、「ファイル」、「ドメイン」、「ＩＰ」、「ＵＲＬ」、「セキュアハッシュアルゴリズム」などのリストを含む。ＩｏＣ画面５００はまた、各ＩｏＣ ５０４の評判のリストを含んでもよく、これは、セキュリティシステムによって生成される単一のＩｏＣスコアに直接リンクされてもよく、および／または例えば、未知、不審、悪質、もしくはクリーンな分類であってもよい。ＩｏＣ評価５０４はまた、単一の生成された脅威スコアを導出する方法で計算または決定または関与されたスコア、または値のいずれかに直接関連付けられてもよく、または導き出されてもよく、あるいは、ＩｏＣに関する情報を含むソースまたはフィードによって提供される評価であってもよい。ＩｏＣ画面５００はまた、例えば、マルウェアまたはボットの特定のバリアントとして、その同一性を含み得る各ＩｏＣの指定５０５を含んでもよい。
【0075】
図８は、本開示の一部の非限定的な態様による、調査された各侵害指標の調査ノートを提供するグラフィカルユーザインターフェースを提示する。調査画面６００は、人間のユーザもしくはセキュリティアナリスト、または本明細書に記載の方法およびシステムのいずれかによって生成される自動システム自体に由来する調査結果６０１を含んでもよい。調査画面６００はまた、ＩｏＣの性質、その現在のステータス、ＩｏＣの履歴、およびアラートをトリガした方法、ならびにシステムまたはシステムのユーザによって取られた任意の措置を要約し得る、調査ノート６０２を含んでもよい。ＩｏＣに対抗するために講じた措置に関連する措置ノート６０３、ならびにエンドユーザまたはクライアントが講じる必要のある任意の措置またはステップ、またはクライアントまたはテナントに関連する可能性のある任意の他の情報に関するガイダンスセクション６０４も提供されてもよい。
【0076】
図９は、コンピュータシステム１の形態の例示的な機械の概略図であり、その中で、本明細書で論じる方法論のうちのいずれか一つ以上を機械に実行させるための命令のセットが実行されてもよい。様々な例示的な実施形態では、機械は、スタンドアロン装置として動作し、または他の機械に接続（例えば、ネットワーク化）されてもよい。ネットワーク展開では、機械は、サーバクライアントネットワーク環境内のサーバまたはクライアントマシンの容量で、またはピアツーピア（または分散型）ネットワーク環境内のピアマシンとして動作し得る。機械は、パーソナルコンピュータ（ＰＣ）、タブレットＰＣ、セットトップボックス（ＳＴＢ）、携帯情報端末（ＰＤＡ）、携帯電話、ポータブル音楽プレーヤー（例えば、Ｍｏｖｅ Ｐｉｃｔｕｒｅ Ｅｘｐｅｒｔｓ Ｇｒｏｕｐ Ａｕｄｉｏ Ｌａｙｅｒ ３（ＭＰ３）プレーヤーなどのポータブルハードドライブオーディオデバイス）、ウェブアプライアンス、ネットワークルーター、スイッチ、またはブリッジ、またはそのマシンによって取られる措置を指定する命令のセット（連続的またはその他）を実行することができる任意のマシンであり得る。さらに、単一の機械のみが図示されているが、「機械」という用語はまた、本明細書で論じる方法論のうちのいずれか一つ以上を実施するための命令のセット（または複数セット）を個別にまたは共同で実行する機械の任意の集合を含むように取られるものとする。
【0077】
例示的なコンピュータシステム１は、プロセッサまたは複数のプロセッサ５（例えば、中央処理装置（ＣＰＵ）、グラフィック処理ユニット（ＧＰＵ）、または両方）と、バス２０を介して互いに通信するメインメモリ１０および静的メモリ１５とを含む。コンピュータシステム１は、ビデオディスプレイ３５（例えば、液晶ディスプレイ（ＬＣＤ））をさらに含んでもよい。コンピュータシステム１はまた、英数字入力装置３０（例えば、キーボード）、カーソル制御装置（例えば、マウス）、音声認識または生体認証検証ユニット（図示せず）、駆動ユニット３７（ディスクドライブユニットとも呼ばれる）、信号発生装置４０（例えば、スピーカー）、およびネットワークインターフェース装置４５を含んでもよい。コンピュータシステム１は、データを暗号化するためのデータ暗号化モジュール（図示せず）をさらに含んでもよい。
【0078】
コンピュータシステム１に提供される構成要素は、本開示の実施形態での使用に好適であり得る、コンピュータシステムに典型的に見られる構成要素であり、当技術分野で公知のそのようなコンピュータ構成要素の広範なカテゴリを表すことが意図される。したがって、コンピュータシステム１は、サーバ、ミニコンピュータ、メインフレームコンピュータ、または任意の他のコンピュータシステムであり得る。コンピュータはまた、異なるバス構成、ネットワークプラットフォーム、マルチプロセッサプラットフォームなどを含んでもよい。ＵＮＩＸ（登録商標）、ＬＩＮＵＸ、ＷＩＮＤＯＷＳ（登録商標）、ＱＮＸ ＡＮＤＲＯＩＤ（登録商標）、ＩＯＳ、ＣＨＲＯＭＥ、ＴＩＺＥＮ、および他の好適なオペレーティングシステムを含む、様々なオペレーティングシステムが使用され得る。
【0079】
ディスクドライブユニット３７は、本明細書に記載される方法論または機能のうちのいずれか一つ以上を具現化または利用する命令およびデータ構造の一つ以上のセット（例えば、命令５５）が記憶される、コンピュータまたは機械可読媒体５０を含む。命令５５はまた、コンピュータシステム１によるその実行中に、メインメモリ１０内および／またはプロセッサ５内に、完全にまたは少なくとも部分的に存在してもよい。メインメモリ１０およびプロセッサ５はまた、機械可読媒体を構成してもよい。
【0080】
命令５５は、いくつかの周知の転送プロトコル（例えば、ハイパーテキスト転送プロトコル（例えば、ハイパーテキスト転送プロトコル（ＨＴＴＰ））のいずれか一つを利用して、ネットワークインターフェース装置４５を介してネットワーク７０を介してさらに送信または受信されてもよい。機械可読媒体５０は、例示的な実施形態では単一の媒体として示されているが、「コンピュータ可読媒体」という用語は、命令の一つ以上のセットを記憶する単一の媒体または複数の媒体（例えば、集中型または分散型データベースおよび／または関連するキャッシュおよびサーバ）を含むように取られるべきである。「コンピュータ可読媒体」という用語はまた、機械によって実行するための命令のセットを記憶、符号化、もしくは担持することができ、かつ機械に本出願の方法論のうちのいずれか一つ以上を実施させる、またはこうした命令のセットによって利用されるか、もしくはそれに関連付けられたデータ構造を記憶、符号化、もしくは担持することができる、任意の媒体を含むように取られるものとする。従って、「コンピュータ可読媒体」という用語には、固体メモリ、光学媒体および磁気媒体、ならびに搬送波信号が含まれるが、これらに限定されない。こうした媒体はまた、ハードディスク、フロッピーディスク、フラッシュメモリカード、デジタルビデオディスク、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）などを含み得るが、これらに限定されない。本明細書に記載の例示的な実施形態は、コンピュータ上にインストールされたソフトウェア、ハードウェア、またはソフトウェアとハードウェアの組み合わせを含む動作環境で実装されてもよい。
【0081】
当業者であれば、インターネットサービスが、インターネットサービスに連結された一つ以上のコンピューティングデバイスへのインターネットアクセスを提供するように構成されてもよく、コンピューティングデバイスが、一つ以上のプロセッサ、バス、メモリデバイス、表示デバイス、入力／出力デバイスなどを含んでもよいことを認識するであろう。さらに、当業者であれば、インターネットサービスが、本明細書に記載される本開示の実施形態のいずれかを実施するために利用され得る、一つ以上のデータベース、リポジトリ、サーバなどに結合され得ることを認識し得る。
【0082】
コンピュータプログラム命令はまた、コンピュータ、サーバ、その他のプログラム可能なデータ処理装置、または他の装置上にロードされて、コンピュータ、その他のプログラム可能な装置、またはその他の装置上で一連の動作ステップを実施させて、コンピュータ実装プロセスを生成してもよく、その結果、コンピュータまたはその他のプログラム可能な装置上で実行されるソフトウェア命令は、フローチャートおよび／またはブロック図のブロックで指定された機能／行為を実装するためのプロセスを提供する。
【0083】
適切なネットワークは、例えば、ローカルイントラネット、ＰＡＮ（パーソナルエリアネットワーク）、ＬＡＮ（ローカルエリアネットワーク）、ＷＡＮ（ワイドエリアネットワーク）、ＭＡＮ（メトロポリタンエリアネットワーク）、仮想プライベートネットワーク（ＶＰＮ）と、ストレージエリアネットワーク（ＳＡＮ）と、フレームリレー接続と、アドバンストインテリジェントネットワーク（ＡＩＮ）接続、同期型光ネットワーク（ＳＯＮＥＴ）接続、デジタルＴ１、Ｔ３、Ｅ１またはＥ３ライン、デジタルデータサービス（ＤＤＳ）接続、ＤＳＬ（デジタル加入者線）接続、イーサネット接続と、ＩＳＤＮ（統合サービスデジタルネットワーク）ライン、Ｖ．９０などのダイヤルアップポート、Ｖ．３４またはＶ．３４ビスアナログモデム接続、ケーブルモデム、ＡＴＭ（非同期転送モード）接続、またはＦＤＤＩ（ファイバ分散データインターフェース）またはＣＤＤＩ（銅分散データインターフェース）接続のうちの一つ以上を含むか、またはインターフェースを取ってもよい。さらに、通信はまた、ＷＡＰ（ワイヤレスアプリケーションプロトコル）、ＧＰＲＳ（汎用パケット無線サービス）、ＧＳＭ（モバイル通信用グローバルシステム）、ＣＤＭＡ（符号分割多重アクセス）またはＴＤＭＡ（時間分割多重アクセス）、携帯電話ネットワーク、ＧＰＳ（全地球測位システム）、ＣＤＰＤ（セルラーデジタルパケットデータ）、ＲＩＭ（Ｒｅｓｅａｒｃｈ ｉｎ Ｍｏｔｉｏｎ， Ｌｉｍｉｔｅｄ）双方向ページングネットワーク、Ｂｌｕｅｔｏｏｔｈ無線、またはＩＥＥＥ ８０２．１１ベースの無線周波数ネットワークといった、様々な無線ネットワークのうち、いずれかへのリンクを含んでもよい。ネットワーク２１５は、ＲＳ－２３２シリアル接続、ＩＥＥＥ－１３９４（Ｆｉｒｅｗｉｒｅ）接続、ファイバーチャネル接続、ＩｒＤＡ（赤外線）ポート、ＳＣＳＩ（スモールコンピュータシステムインターフェース）接続、ＵＳＢ（ユニバーサルシリアルバス）接続、または他の有線もしくは無線、デジタルもしくはアナログインターフェースもしくは接続、メッシュもしくはＤｉｇｉ（登録商標）ネットワーキングのうちのいずれか一つ以上をさらに含むか、またはそれらとインターフェース接続することができる。
【0084】
一般に、クラウドベースのコンピューティング環境は、プロセッサの大きなグループ（ウェブサーバ内など）の計算能力を典型的に組み合わせる、および／またはコンピュータメモリもしくは記憶装置の大きなグループ分けの記憶容量を組み合わせるリソースである。クラウドベースのリソースを提供するシステムは、その所有者によって排他的に利用されてもよく、またはこうしたシステムは、計算インフラストラクチャ内にアプリケーションを展開して、大きな計算リソースまたはストレージリソースの利点を得るために、外部ユーザにアクセス可能であってもよい。
【0085】
クラウドは、例えば、コンピュータ装置１などの複数のコンピューティングデバイスを含むウェブサーバネットワークによって形成され、各サーバ（または少なくとも複数のサーバ）はプロセッサおよび／またはストレージリソースを提供する。これらのサーバは、複数のユーザ（クラウドリソースの顧客またはその他のユーザなど）によって提供される負荷を管理する。典型的には、各ユーザは、リアルタイムで、時には劇的に変化する作業負荷要求をクラウドに対して課す。これらの変動の性質および程度は、典型的には、ユーザに関連付けられたビジネスのタイプに依存する。
【0086】
本明細書に記載の処理を実施するのに適した任意のハードウェアプラットフォームが、技術での使用に適していることが注目に値する。本明細書で使用される場合、「コンピュータ可読記憶媒体」および「コンピュータ可読記憶媒体」という用語は、実行のためにＣＰＵに命令を提供することに関与する任意の媒体または複数の媒体を指す。こうした媒体は、不揮発性媒体、揮発性媒体、および伝送媒体を含むがこれらに限定されない、多くの形態をとることができる。不揮発性媒体としては、例えば、固定ディスクなどの光学ディスクまたは磁気ディスクが挙げられる。揮発性媒体は、システムＲＡＭなどの動的メモリを含む。伝送媒体は、同軸ケーブル、銅線、および光ファイバを含み、とりわけ、バスの一実施形態を備えるワイヤを含む。伝送媒体はまた、無線周波数（ＲＦ）および赤外線（ＩＲ）データ通信中に生成されるものなど、音響波または光波の形態をとることができる。コンピュータ可読媒体の一般的な形態としては、例えば、可撓性ディスク、ハードディスク、磁気テープ、任意の他の磁気媒体、ＣＤ－ＲＯＭディスク、デジタルビデオディスク（ＤＶＤ）、任意の他の光学媒体、マークまたは穴のパターンを有する任意の他の物理的媒体、ＲＡＭ、ＰＲＯＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、ＦＬＡＳＨＥＰＲＯＭ、任意の他のメモリチップまたはデータ交換アダプタ、搬送波、またはコンピュータが読み取ることができる任意の他の媒体が挙げられる。
【0087】
コンピュータ可読媒体の様々な形態が、実行のために一つ以上の命令の一つ以上のシーケンスをＣＰＵに運ぶことに関与してもよい。バスは、データをシステムＲＡＭに搬送し、そこからＣＰＵが命令を取得し実行する。システムＲＡＭによって受信される命令は、ＣＰＵによる実行の前または後に、固定ディスク上に任意に格納され得る。
【0088】
本技術の態様の動作を実行するためのコンピュータプログラムコードは、Ｊａｖａ、Ｓｍａｌｌｔａｌｋ、Ｃ＋＋などのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語、Ｇｏ、Ｐｙｔｈｏｎ、またはアセンブリ言語を含む他のプログラミング言語などの従来の手続き型プログラミング言語を含む、一つ以上のプログラミング言語の任意の組み合わせで記述されてもよい。プログラムコードは、ユーザのコンピュータ上で、部分的にはユーザのコンピュータ上で、スタンドアロンのソフトウェアパッケージとして、部分的にはユーザのコンピュータ上で、部分的にはリモートコンピュータ上で、または完全にリモートコンピュータもしくはサーバ上で実行されてもよい。後者のシナリオでは、リモートコンピュータは、ローカルエリアネットワーク（ＬＡＮ）またはワイドエリアネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを介してユーザのコンピュータに接続されてもよく、または接続は、外部コンピュータ（例えば、インターネットサービスプロバイダを使用するインターネットを介して）に接続されてもよい。
【実施例】
【0089】
条項の例
本明細書に記述される主題の様々な態様は、以下の番号付けされた項に記載される。
本明細書に記述される主題の様々な態様は、以下の番号付けされた項に記載される。
【0090】
条項１：プロセッサおよびメモリを備えるマネージドセキュリティサービスプロバイダ（ＭＳＳＰ）サーバを介したテナントネットワークの自律的なセキュリティ強化のための方法であって、複数のデータソースからの情報を用いて、方法が、プロセッサを介して、セキュリティシステムによって、侵害指標（ＩｏＣ）との遭遇に際し、複数のデータソースのうちのデータソースを識別するために、データベースまたはサーバにクエリすることであって、データソースが、ＩｏＣへの参照を含む、クエリすることと、プロセッサを介して、クエリの出力に基づいて、ＩｏＣについてのＩｏＣ脅威スコアを生成することであって、生成することが、データソースのうちの各データソースについて、データソースによって提供されるＩｏＣ脅威値を識別することと、データソースのうちの各データソースについて、データソースによって提供されるＩｏＣ脅威値に乗数を割り当てて、調整されたＩｏＣ脅威値を生成することであって、乗数が、データソースに関連付けられた信頼性スコアに基づく、生成することと、データソースから調整されたＩｏＣ脅威値を正規化して、ＩｏＣ脅威スコアを出力することと、プロセッサを介して、ＩｏＣ脅威スコアに基づいて、少なくとも一つの実行可能なセキュリティ強化通知を生成することと、ユーザインターフェースを介して、ＩｏＣ脅威スコアおよび実行可能なセキュリティ強化通知をユーザに表示して、少なくとも一つの実行可能なセキュリティ強化通知における少なくとも一つの措置のトリガまたは無効化を可能にすることであって、前記少なくとも一つの措置が、ＩｏＣ脅威スコアに基づく、表示することと、を含む、方法。
【0091】
条項２：自動セキュリティ応答を展開することであって、展開が、セキュリティ脅威閾値レベルを自動的に調整すること、データベースまたはサーバを自動的に再構成して潜在的なマルウェアバリアントを識別すること、複数の他のユーザに通知を送信すること、他のテナントネットワークのＩｏＣへにさらされること、将来さらされるリスクを判定すること、または一つ以上のテナントネットワークもしくはネットワークの一部分を隔離すること、またはそれらの組み合わせのうちの少なくとも一つを含む、導入することと、をさらに含む、条項１に記載の方法。
【0092】
条項３：ＩｏＣ脅威スコア、生成された信頼性スコア、またはセキュリティ脅威閾値レベル、またはそれらの組み合わせのうちの少なくとも一つに基づいて、ＩｏＣを悪質、未知、または良性として分類することであって、ユーザインターフェースが分類を表示することができる、分類すること、をさらに含む、条項１～２のいずれか一項に記載の方法。
【0093】
条項４：セキュリティ脅威閾値が、偽陽性の数、真陽性の数、偽陰性の数、および真陰性の数のうちの少なくとも二つを含む比を使用することによって、ＩｏＣの分類の正確性または精度を悪質または良性として表す比に基づいて自動的に調整される、条項１～３のいずれか一項に記載の方法。
【0094】
条項５：ＩｏＣが悪性脅威に分類され、かつ遭遇したＩｏＣ指標が一連の特徴の一部分を前記データベースまたはサーバに保存された他のＩｏＣと共有することを決定することと、ＩｏＣを悪性脅威として判定することに際し、ＩｏＣ脅威スコア、特徴のセットの部分、生成された信頼性スコア、およびセキュリティ脅威閾値レベル、またはそれらの組み合わせのうちの少なくとも一つに基づいて、新しいマルウェアバリアントを識別すること、をさらに含む、条項１～４のいずれか一項に記載の方法。
【0095】
条項６：データベースを再構成して、ＩｏＣの特徴、ＩｏＣ脅威スコア、生成された信頼性スコア、セキュリティ脅威閾値レベル、またはＩｏＣの分類、またはそれらの組み合わせのうちの少なくとも一つに基づいて、新しいマルウェアバリアントを識別することをさらに含む、条項１～５のいずれか一項に記載の方法。
【0096】
条項７：実行可能なセキュリティ強化通知が、テナントネットワーク上の新しいマルウェアバリアントの指標を含み、新しいマルウェアバリアントが、他のマルウェアのデータに基づいて決定されてもよい、条項１～６のいずれか一項に記載の方法。
【0097】
条項８：データソースからデータを受信することであって、データソースの各データソースが、少なくとも一つのＩｏＣと関連付けられ、各データソースが、信頼性スコアを画定する、受信することと、データソースおよびそれらに関連付けられた少なくとも一つのＩｏＣをデータベースまたはメモリコンポーネント内にインデックス付けすることと、をさらに含む、条項１～７のいずれか一項に記載の方法。
【0098】
条項９：データソースの各データソースの信頼性スコアが、人的関与のうちの少なくとも一つによって決定され、データソースによって識別されるＩｏＣの数、データソースの信頼性の履歴、データソースへのデータ入力の数、データソースの経過年数（ａｇｅ）、データソース内のＩｏＣの経過年数（ａｇｅ）、データソースに関連する評価、データソースのセキュリティシステムのクライアントまたはユーザに対する関連性、データソース上で利用可能な情報の量と、を含む、条項１～８のいずれか一項に記載の方法。
【0099】
条項１０：少なくとも一つの実行可能なセキュリティ強化通知が、ＩｏＣ脅威スコア、生成された信頼性スコア、またはセキュリティ脅威閾値レベル、またはそれらの組み合わせのうちの少なくとも一つに基づく、条項１～９のいずれか一項に記載の方法。
【0100】
条項１１：クエリが、識別されたＤＮＳクエリおよびＩＰアドレスを、データベースに保存された複数のＩｏＣと相互参照することであって、複数のＩｏＣが、ＩｏＣを含む、相互参照することと、データソースの関連するデータソースを識別することであって、関連するデータソースの関連性が、関連するデータソースの識別されたＤＮＳクエリおよびＩＰアドレスとの関連付けによって決定される、識別することと、を含む、条項１～１０のいずれか一項に記載の方法。
【0101】
条項１２：クエリすることが、定義されたコンピューティング環境において機械によって接触されるＤＮＳクエリおよびＩＰアドレスを識別することをさらに含む、条項１～１１のいずれか一項に記載の方法。
【0102】
条項１３：ＩｏＣ脅威スコアを生成することが、変則的なＩｏＣ脅威値を識別することと、変則的なＩｏＣ脅威値を破棄することと、をさらに含む、条項１～１２のいずれか一項に記載の方法。
【0103】
条項１４：ＩｏＣ脅威スコアを生成することが、特定の信頼性スコアを有するデータソースからの様々なＩｏＣ脅威値を、より低い信頼性スコアを有するデータソースからのＩｏＣ脅威値に対して重み付けすることを含む、条項１～１３のいずれか一項に記載の方法。
【0104】
条項１５：ＩｏＣ脅威スコアを生成することが、機械学習ニューラルネットワークのうちの少なくとも一つによって行われ、機械学習ネットワークへの入力が、データソースの信頼性スコア、およびデータソースによって提供されるＩｏＣ脅威値を含む、条項１～１４のいずれか一項に記載の方法。
【0105】
条項１６：データソースによって提供される脅威値の分布に基づいて、ＩｏＣ脅威スコアに関連付けられた収束スコアを生成することと、をさらに含む、条項１～１５のいずれか一項に記載の方法。
【0106】
条項１７：一つ以上のテナントネットワークを継続的に強化するように指向された自律的セキュリティシステムであって、システムが、複数のテナントネットワークと、プロセッサおよびメモリを備える少なくとも一つのマネージドセキュリティサービスプロバイダ（ＭＳＳＰ）サーバであって、メモリが、プロセッサによって実行されるとき、プロセッサに、セキュリティシステムによる侵害指標（ＩｏＣ）との遭遇に際し、少なくとも一つのデータベースまたはサーバに問い合わせて、ＩｏＣへの参照を用いてデータフィードを識別することと、クエリの出力に基づいて、ＩｏＣに対するＩｏＣ脅威スコアを生成することであって、生成することが、データフィードの各データフィードについて、データフィードによって分類されるＩｏＣ脅威値を識別することと、データフィードの各データフィードについて、乗数をＩｏＣ脅威値に付加して、調整されたＩｏＣ脅威値を生成することであって、乗数が、データフィードに関連付けられた信頼性スコアに基づいて決定される、生成することと、前記データフィードの調整されたＩｏＣ脅威値を正規化することと、ＩｏＣ脅威スコアを出力することと、を含む、生成することと、ＩｏＣ脅威スコアに基づいて、少なくとも一つの実行可能なセキュリティ強化通知を生成することと、ユーザインターフェースを介して、ＭＳＳＰサーバに接続された少なくとも一つの表示装置上に、ＩｏＣ脅威スコアおよび実行可能なセキュリティ強化通知を前記セキュリティシステムのユーザに表示して、少なくとも一つの実行可能なセキュリティ強化通知における少なくとも一つの措置のトリガまたは無効化を可能にすることであって、少なくとも一つの措置がＩｏＣ脅威スコアに基づく、表示することと、を行わせるのに有効な命令を記憶する、方法。
【0107】
条項１８：実行可能なセキュリティ強化通知が、複数のテナントネットワークのうちの少なくとも一つのテナントネットワーク上の新しいマルウェアバリアントの表示を含み、新しいマルウェアバリアントが、他のマルウェアデータに基づいて決定される、請求項１７に記載の自律的セキュリティシステム。
【0108】
条項１９：プロセッサによって実行されるとき、記憶された命令が、プロセッサに、セキュリティ脅威閾値レベルを自動的に調整することと、データベースまたはサーバを自動的に再構成して、他の潜在的なマルウェアバリアントを識別することと、セキュリティシステムの複数の他のユーザに通知を送信することと、他のテナントネットワークの新しいマルウェアバリアントにさらされること、またはさらされるリスクを判定することと、複数のテナントネットワークのうちの少なくとも一つのテナントネットワークを隔離することと、のうちの少なくとも一つを含む、自動セキュリティ応答を導入することと、を行うように構成された、請求項１７に記載の自律的セキュリティシステム。
【0109】
条項２０：テナントネットワークのセキュリティを自律的に強化するための方法であって、複数のテナントネットワークのテナントネットワーク内でのセキュリティシステムによる侵害指標（ＩｏＣ）との遭遇に際し、セキュリティサーバにクエリして、ＩｏＣへの少なくとも一つの参照を含むデータフィードを識別することと、プロセッサを介して、クエリの結果に基づいて、ＩｏＣに対するＩｏＣ脅威スコアを生成することと、ＩｏＣ脅威スコアに基づいて、セキュリティシステムによる自動セキュリティ応答を展開することと、ユーザインターフェースを介して、ＩｏＣ脅威スコア、自動セキュリティ応答のステータス、または実行可能なセキュリティ強化通知のうちの少なくとも一つをセキュリティシステムのユーザに表示することであって、実行可能なセキュリティ強化通知が、追加のセキュリティ応答のトリガを促進する、表示することと、を含む、方法。
【0110】
本明細書に記述される全ての特許、特許出願、刊行物、またはその他の開示資料は、各個々の参照がそれぞれ参照により明示的に組み込まれたかのように、その全体が参照により本明細書に組み込まれる。参照により本明細書に組み込まれると言われる全ての参照、および任意の材料、またはその一部は、組み込まれる材料が、本開示に記載される既存の定義、記述、またはその他の開示材料と矛盾しない限りにおいてのみ、本明細書に組み込まれる。そのため、および必要な範囲で、本明細書に明記される本開示は、参照により本明細書に組み込まれる任意の矛盾する材料に優先し、本開示は本出願の管理内で明示的に記載される。
【0111】
様々な例示的および例証的態様が説明されている。本明細書に記載される態様は、本開示の様々な態様の様々な詳細の例示的な特徴を提供するものとして理解され、そのため別途指定がない限り、当然のことながら、本開示の範囲から逸脱することなく、可能な限り、一つ以上の特徴、要素、コンポーネント、成分、原料、構造、モジュール、および／または本開示の態様うちの態様を組み合わせて、分離し、交換し、および／または一つ以上の他の特徴、要素、コンポーネント、成分、原料、構造、モジュール、および／または本開示の態様のうちの態様とまたはそれらに対して再配置してもよい。したがって、当業者であれば、特許請求された主題から逸脱することなく、例示的な態様のいずれかの様々な置換、改変、または組み合わせがなされ得ることを認識するであろう。さらに、当業者は、本明細書の再調査により、日常的な実験のみを使用して本開示の様々な態様に対する多くの等価物を認識するか、または確認することができる。したがって、本開示は、様々な態様の説明によって限定されず、特許請求の範囲によってのみ限定される。
【0112】
当業者は、概して、本明細書で使用される用語、および特に添付の特許請求の範囲（例えば、添付の特許請求の範囲の本文）において、一般には「制約のない」用語（例えば、「含む（ｉｎｃｌｕｄｉｎｇ）」という用語は、「含むが限定されるものではない」と解釈されるべきであり、「有する（ｈａｖｉｎｇ）」という用語は「少なくとも有する」と解釈されるべきであり、「含む（ｉｎｃｌｕｄｅｓ）」という用語は、「含むが限定されるものではない」と解釈されるべきである、など）として意図されていることを認識するであろう。特定の数の導入された特許請求の範囲の列挙が意図される場合、そのような意図は特許請求の範囲に明示的に列挙され、そのような列挙がない場合、そのような意図は存在しないことが、当業者によってさらに理解されるであろう。例えば、理解の補助として、以下の添付の特許請求の範囲は、特許請求の範囲の列挙を導入するための、導入語句の「少なくとも一つ」および「一つ以上」の使用を含み得る。しかし、こうした語句の使用は、不定冠詞「ａ」または「ａｎ」による請求項の列挙の導入が、そのような導入された請求項の列挙を含む任意の特定の請求項を、そのような列挙を一つのみを含む特許請求の範囲に限定することを暗示するものとして解釈されるべきではなく、同じ請求項が、導入語句「一つ以上」または「少なくとも一つ」、および「ａ」または「ａｎ」などの不定冠詞を含む場合でも（例えば、「ａ」、および／または「ａｎ」は通常、「少なくとも一つ」または「一つ以上」を意味すると解釈されるべきである）、請求項の列挙を導入するために使用される定冠詞の使用についても同様である。
【0113】
さらに、導入された請求項の列挙の特定の数が明示的に列挙されていても、当業者は、このような列挙は、典型的には、少なくとも列挙された数（例えば、「二つの列挙」という単なる列挙は、他の修飾語句なしでは、少なくとも二つの列挙または二つ以上の列挙を通常意味する）を意味すると解釈されるべきであることを認識するであろう。さらに、「Ａ、Ｂ、およびＣなどのうちの少なくとも一つ」に類似の慣例 が使用されるこれらの事例では、一般的に、このような構造は、当業者が、慣例を理解するという意味で意図される（例えば、「Ａ、Ｂ、およびＣのうちの少なくとも一つを有するシステム」は、Ａ単独、Ｂ単独、Ｃ単独、ＡおよびＢを一緒に有するシステム、ＡおよびＣを一緒に有するシステム、ＢおよびＣを一緒に有するシステム、および／またはＡ、Ｂ、およびＣを一緒に有するシステムなどを含むが、これらに限定されない）。「Ａ、Ｂ、またはＣ等のうちの少なくとも一つ」に類似の慣例が、使用される事例では、一般的に、このような構造は、当業者が、慣例を理解するという意味で意図される（例えば、「Ａ、Ｂ、またはＣのうちの少なくとも一つを有するシステム」は、Ａ単独、Ｂ単独、Ｃ単独、ＡおよびＢを一緒に有するシステム、ＡおよびＣを一緒に有するシステム、ＢおよびＣを一緒に有するシステム、および／またはＡ、Ｂ、およびＣを一緒に有するシステムなどを含むが、これらに限定されない）。説明、特許請求の範囲、または図面のいずれにおいても、通常、二つ以上の代替的な用語を提示する離接語および／または語句は、文脈が別段の指示をしない限り、当該用語のうちの一つ、当該用語のいずれか、または両方の用語を含む可能性を企図するように理解されるべきであると当該技術分野の者によってさらに理解されるであろう。例えば、語句「ＡまたはＢ」は、典型的には、「Ａ」または「Ｂ」または「Ａ、とＢ」の可能性を含むと理解されるであろう。
【0114】
添付の特許請求の範囲に関して、当業者は、その中に列挙された動作が概して任意の順序で行われてもよいことを理解するであろう。また、請求項の列挙は順に提示されているが、様々な動作は、記載されるもの以外の他の順序で行われてもよく、または同時に行われてもよいことが理解されるべきである。こうした代替的順序の例としては、文脈が別途指示しない限り、重複、インターリーブ、中断、再注文、増分、準備、補足、同時、逆、または他のバリアント順序が挙げられる。さらに、文脈上別段の指示がない限り、「応答する」、「関連する」、または他の過去型形容詞などの用語は、一般に、こうしたバリアントを除外することを意図していない。
【0115】
注目すべきは、「一態様」、「実施形態」「一実施形態」、「態様」、「例示」、「一例示」、および類似のものへの任意の言及は、態様に関連して記述された特定の特徴、構造、または特性が、少なくとも一つの態様に含まれることを意味する。したがって、本明細書全体を通して様々な場所での語句の「一態様では」、「ある態様では」、「ある例示では」、および「一例示では」の出現は、必ずしもすべて同じ態様を指すわけではない。さらに、特定の特徴、構造または特性は、一つ以上の態様では、任意の適切な様式で組み合わせられてもよい。
【0116】
本明細書で使用される場合、文脈が別途明確に指示しない限り、単数形の「ａ」、「ａｎ」、および「ｔｈｅ」は、複数の参照を含む。
【0117】
例えば、限定されるものではないが、上、下、左、右、下方、上方、前、後、およびその変形など、本明細書で使用される方向語句は、添付図面に示される要素の配向に関連し、別段の明示的な記載がない限り、特許請求の範囲に関して限定しないものとする。
【0118】
本開示で使用される用語「約」または「およそ」は、別段の指定がない限り、当業者によって決定される特定の値についての許容可能な誤差を意味し、これは、値がどのように測定または決定されるかに部分的に依存する。特定の態様では、用語「約」または「およそ」は、１、２、３、または４標準偏差以内を意味する。特定の態様では、用語「約」または「およそ」は、所与の値または範囲の５０％、２００％、１０５％、１００％、９％、８％、７％、６％、５％、４％、３％、２％、１％、０．５％、または０．０５％以内を意味する。
【0119】
本明細書において、別段の示唆が無い限り、全ての数値パラメータは、前置きされているものとして理解され、全ての場合で、数値パラメータは、パラメータの数値を決定するために使用される基礎となる測定技法の固有変動特性を有する、「約」という用語によって修正されると理解されるべきである。少なくとも、請求の範囲に対する均等の原理の適用を限定する試みとしてではなく、本明細書に記載の各数値パラメータは少なくとも報告される有効数字の数に照らし合わせて、および通常の四捨五入法を適用することで解釈されるものとする。
【0120】
本明細書に列挙される任意の数値範囲は、列挙された範囲内に包含されるすべてのサブ範囲を含む。例えば、「１から１００」の範囲は、列挙された最小値１と、列挙された最大値１００との間の（かつそれを含む）、すなわち、最小値が１以上、および最大値が１００以下を有するすべてのサブ範囲を含む。また、本明細書で列挙されるすべての範囲は、列挙された範囲の終点を含む。例えば、１から１００の範囲は、終点１および１００を含む。本明細書に列挙される任意の最大数的制限は、その中に包含されるすべてのより低い数的制限を含むことが意図され、本明細書に列挙される任意の最小数的制限は、その中に包含されるすべてのより高い数的制限を含むことが意図される。したがって、出願人は、特許請求の範囲を含め、明示的に列挙された範囲内に包含された部分範囲を明示的に列挙する本明細書を修正する権利を留保する。こうしたすべての範囲は、本明細書に本質的に記載される。
【0121】
本明細書において言及される、および／または任意のアプリケーションデータシートに列挙される任意の特許出願、特許、非特許公開、またはその他の開示資料は、組み込まれた資料が本明細書と矛盾しない限り、参照により本明細書に組み込まれる。したがって、および必要な範囲で、本明細書に明示的に記載される本開示は、参照により本明細書に組み込まれる任意の矛盾する材料に優先する。参照により本明細書に組み込まれると言われるが、本明細書に明記される既存の定義、声明、またはその他の開示資料と矛盾する任意の資料またはその一部は、その組み込まれた資料と既存の開示資料との間にいかなる矛盾も生じない範囲でのみ、組み込まれる。
【0122】
用語「備える（ｃｏｍｐｒｉｓｅ）」（および「ｃｏｍｐｒｉｓｅｓ」、「ｃｏｍｐｒｉｓｉｎｇ」などのｃｏｍｐｒｉｓｅの任意の形態）および、「有する（ｈａｖｅ）」（ならびに「ｈａｓ」、および「ｈａｖｉｎｇ」などのｈａｖｅの任意の形態）、「含む（ｉｎｃｌｕｄｅ）」（および「ｉｎｃｌｕｄｅｓ」および「ｉｎｃｌｕｄｉｎｇ」などのｉｎｃｌｕｄｅの任意の形態）、および「包含する（ｃｏｎｔａｉｎ）」（および「ｃｏｎｔａｉｎｓ」および「ｃｏｎｔａｉｎｉｎｇ」などのｃｏｎｔａｉｎの任意の形態）は、オープンエンドの連結動詞である。結果として、一つ以上の要素を「備える」、「有する」、「含む」、または「包含する」システムは、それらの一つ以上の要素を保有するが、それら一つ以上の要素のみを保有することに限定されない。同様に、一つ以上の特徴を「備える」、「有する」、「含む」、または「包含する」システム、デバイス、または装置の要素は、それらの一つ以上の特徴を保有するが、それら一つ以上の特徴のみを保有することに限定されない。
【0123】
前述の詳細な説明は、ブロック図、フローチャート、および／または例の使用による、デバイスおよび／またはプロセスの様々な形態を記載している。こうしたブロック図、フローチャート、および／または例が一つ以上の機能および／または動作を含む場合、当該技術分野の者であれば、こうしたブロック図、フローチャート、および／または例内の各機能および／または動作は、広範囲のハードウェア、ソフトウェア、ファームウェア、または実質的にそれらの任意の組み合わせによって、個別に、および／または集合的に実装され得ることが理解されるであろう。当業者は、本明細書に開示される形態のいくつかの態様は、一つ以上のコンピュータ上で動作する一つ以上のコンピュータプログラムとして（例えば、一つ以上のコンピュータシステム上で動作する一つ以上のプログラムとして）、一つ以上のプロセッサ上で動作する一つ以上のプログラムとして（例えば、一つ以上のマイクロプロセッサ上で動作する一つ以上のプログラムとして）、ファームウェアとして、または実質的にそれらの任意の組み合わせとして全部または一部を等価に集積回路に実装することができ、回路の設計、および／またはソフトウェア用のコードの記載、およびまたはファームウェアは、本開示に照らして、当業者の技能の範囲内であることを認識するであろう。さらに、当業者は、本明細書に記載される主題の機構が、様々な形態で一つ以上のプログラム製品として配布されることができ、本明細書に記載される主題の例示的な形態は、実際に配布を実施するために使用される特定のタイプの信号担持媒体に関係なく適用されることを理解するであろう。
【0124】
論理をプログラムして様々な開示された態様を実施するために使用される命令は、動的ランダムアクセスメモリ（ＤＲＡＭ）、キャッシュ、フラッシュメモリ、または他の記憶装置など、システム内のメモリ内に格納され得る。さらに、命令は、ネットワークを介して、または他のコンピュータ可読媒体を介して配布され得る。したがって、機械可読媒体は、機械（例えば、コンピュータ）によって読み取り可能な形態で情報を格納する、または伝送するための任意の機構であるが、それに限定されるものではない、フロッピーディスケット、光ディスク、コンパクトディスク、読み取り専用メモリ（ＣＤ－ＲＯＭ）、および磁気光学ディスク、読み取り専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、消去可能なプログラム可能読み取り専用メモリ（ＥＰＲＯＭ）、電気的に消去可能なプログラム可能読み取り専用メモリ（ＥＥＰＲＯＭ）、磁気または光学カード、フラッシュメモリ、または電気的、光学的、音響または他の形態の伝播信号（例えば、搬送波、赤外線信号、デジタル信号、など）を介してインターネット上で情報を送信する際に使用される有形の機械可読記憶装置を含み得る。したがって、非一時的コンピュータ可読媒体は、電子命令または情報を、機械（例えば、コンピュータ）によって可読な形態で格納または伝送するのに適した、任意のタイプの有形の機械可読媒体を含む。
【0125】
本明細書の任意の態様で使用される場合、「制御回路」という用語は、例えば、配線された回路、プログラム可能回路（例えば、一つ以上の個々の命令処理コアを備えるコンピュータプロセッサ、処理ユニット、プロセッサ、マイクロコントローラ、マイクロコントローラユニット、コントローラ、デジタルシグナルプロセッサ（ＤＳＰ）、プログラム可能論理装置（ＰＬＤ）、プログラム可能論理アレイ（ＰＬＡ）、またはフィールドプログラマブルゲートアレイ（ＦＰＧＡ））、状態機械回路、プログラム可能回路によって実行される命令を格納するファームウェアおよびそれらの任意の組み合わせを指すことができる。制御回路は、集合的にまたは個別に、より大きなシステム、例えば、集積回路（ＩＣ）、特定用途向け集積回路（ＡＳＩＣ）、システムオンチップ（ＳｏＣ）、デスクトップコンピュータ、ラップトップコンピュータ、タブレットコンピュータ、サーバ、スマートフォンなどの一部を形成する回路として具体化され得る。したがって、本明細書で使用される場合、「制御回路」には、限定されるものではないが、少なくとも一つのディスクリート電気回路を有する電気回路と、少なくとも一つの集積回路を有する電気回路と、少なくとも一つの特定用途向け集積回路を有する電気回路と、コンピュータプログラムによって構成される汎用コンピューティングデバイスを形成する電気回路（例えば、プロセスを少なくとも部分的に実行するコンピュータプログラムによって構成される汎用コンピュータ、および／または本明細書に記載されるデバイス、または少なくとも部分的にプロセスを実行するコンピュータプログラムによって構成されるマイクロプロセッサ、および／または本明細書に記述されるデバイス）、メモリデバイスを形成する電気回路（例えば、ランダムアクセスメモリの形態）、および／または通信デバイスを形成する電気回路（例えば、モデム、通信スイッチ、または光電気機器）を含む。当業者であれば、本明細書に記載される主題が、アナログもしくはデジタルの様式またはそれらのいくつかの組み合わせで実装され得ることを認識するであろう。
【0126】
本明細書の任意の態様で使用される場合、用語「ロジック」は、前述の動作のいずれかを行うように構成されたアプリケーション、ソフトウェア、ファームウェア、および／または回路を指し得る。ソフトウェアは、ソフトウェアパッケージ、コード、命令、命令セット、および／または非一時的コンピュータ可読記憶媒体に記録されたデータとして具現化され得る。ファームウェアは、コード、命令、または命令セット、および／またはメモリデバイス内にハードコードされた（例えば、不揮発性）データとして具現化され得る。
【0127】
本明細書の任意の態様で使用される場合、用語「コンポーネント」、「システム」、「モジュール」などは、コンピュータ関連実体、ハードウェア、ハードウェアおよびソフトウェアの組み合わせ、ソフトウェア、または実行中のソフトウェアを指すことができる。
【0128】
本明細書の任意の態様で使用される場合、「アルゴリズム」は、所望の結果をもたらすステップの自己整合的な順序を指し、「ステップ」は、物理的量の操作、および／または必ずしもそうである必要はないが、格納、移動、結合、比較、およびその他操作することができる電気信号または磁気信号の形態を取ることができる論理状態を指す。これらの信号をビット、値、要素、記号、文字、用語、数字などと呼ぶのが一般的である。これらおよび類似の用語は、適切な物理量と関連付けられてもよく、これらの量および／または状態に適用される単に便利な符号である。
【要約】
プロセッサおよびメモリを備えるマネージドセキュリティサービスプロバイダ（ＭＳＳＰ）サーバを介したテナントネットワークの自律的なセキュリティ強化のためのシステムおよび方法が開示されており、複数のデータソースからの情報を用いて、方法は、侵害指標（ＩｏＣ）との遭遇に際し、セキュリティシステムによって、複数のデータソースのうちのデータソースを識別するために、データベースまたはサーバをクエリすることであって、データソースが、ＩｏＣについての情報を含む、クエリすることと、プロセッサを介して、ＩｏＣについてのＩｏＣ脅威スコアを生成することと、ＩｏＣ脅威スコアに基づいて、少なくとも一つの実行可能なセキュリティ強化通知を生成することと、自動セキュリティ応答を展開することとであって、ＩｏＣ脅威スコアおよび実行可能なセキュリティ強化通知をユーザに表示して、単一のＩｏＣ脅威スコアに基づいて、少なくとも一つの措置のトリガまたは無効化を可能にすることを含み得る、展開することと、を含む。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
