ホーム > 特許ランキング > ＮＥＴＳＫＯＰＥ， ＩＮＣ．
特表2024-521121組織のセキュリティポリシーに対するユーザコンプライアンスの信頼度のスコアリング
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2024-05-28
(54)【発明の名称】組織のセキュリティポリシーに対するユーザコンプライアンスの信頼度のスコアリング
(51)【国際特許分類】
G06F 21/50 20130101AFI20240521BHJP
G06F 21/62 20130101ALI20240521BHJP
【ＦＩ】
G06F21/50
G06F21/62 318
【審査請求】有
【予備審査請求】未請求
(21)【出願番号】P 2023571982
(86)(22)【出願日】2022-05-19
(85)【翻訳文提出日】2024-01-15
(86)【国際出願番号】 US2022030133
(87)【国際公開番号】W WO2022246131
(87)【国際公開日】2022-11-24
(31)【優先権主張番号】17/326,240
(32)【優先日】2021-05-20
(33)【優先権主張国・地域又は機関】US
(31)【優先権主張番号】17/326,243
(32)【優先日】2021-05-20
(33)【優先権主張国・地域又は機関】US
(31)【優先権主張番号】17/326,253
(32)【優先日】2021-05-20
(33)【優先権主張国・地域又は機関】US
(31)【優先権主張番号】17/723,345
(32)【優先日】2022-04-18
(33)【優先権主張国・地域又は機関】US
(81)【指定国・地域】
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＪＡＶＡＳＣＲＩＰＴ
２．ＵＮＩＸ
(71)【出願人】
【識別番号】517325652
【氏名又は名称】ネットスコープ， インク．
【氏名又は名称原語表記】ＮＥＴＳＫＯＰＥ， ＩＮＣ．
(74)【代理人】
【識別番号】100114476
【弁理士】
【氏名又は名称】政木 良文
(72)【発明者】
【氏名】リャオ， イーファ
(72)【発明者】
【氏名】ザン， イー
(72)【発明者】
【氏名】パティル， ディパック
(72)【発明者】
【氏名】ディシュパンデ， プラサメッシュ
(72)【発明者】
【氏名】ワン， ヨンシン
(72)【発明者】
【氏名】ヤン， シイン
(57)【要約】
開示される技術は、重大度によって分類され、かつ経時的に生成されるアラート重みの合計を各ユーザについてスコアリングすることを含む、ユーザ信頼度又は危険スコアを構築して、組織のセキュリティポリシーに対するユーザコンプライアンスを評価するための方法を教示する。アラート重みへの各寄与は、組織のセキュリティポリシーが危険として扱うユーザによるアクティビティによって生成される。経時的なアラート重みは、時間の経過とともにアラート重みを減衰させる減衰係数の影響を受ける。また、ユーザ信頼度スコアを報告することであって、所定の時間にわたる時系列のユーザ信頼度若しくは危険スコア、並びに／あるいは現在のユーザ信頼度若しくは危険スコア、及び／又は経時的なアラート重みに寄与したユーザによるアクティビティの少なくともいくつかの詳細の表示を引き起こすことを含む、報告することも開示される。
【選択図】図１
【選択図】図１
【特許請求の範囲】
【請求項1】
組織のセキュリティポリシーに対するユーザコンプライアンスを評価する方法であって、前記組織のセキュリティポリシーが危険とみなすユーザによるアクティビティを検出するためにプロキシを使用してシーケンスアラートを生成することであって、前記シーケンスアラートが、重大度によって分類される、生成することと、
ユーザのピアグループの履歴ユーザ行動パターンからの逸脱に基づいて、異常なユーザ行動が検出されたときにバッチアラートを生成することであって、前記バッチアラートが、重大度によって分類される、生成することと、
重大度のカテゴリによって適用され、かつ前記シーケンスアラート及び前記バッチアラートから経時的に生成されるアラート重みを繰り返し合計することによって、ユーザ信頼度スコアと総称される、前記ユーザ信頼度スコア又はユーザ危険スコアをスコアリングすることであって、前記経時的なアラート重みが、時間の経過とともに前記アラート重みを減衰させる減衰係数の影響を受ける、スコアリングすることと、
前記ユーザ信頼度スコアを報告することであって、
所定の時間にわたる時系列の前記ユーザ信頼度スコア、並びに／あるいは
現在のユーザ信頼度スコア、及び／又は
前記経時的なアラート重みに寄与したユーザによる前記アクティビティの少なくともいくつかの詳細の表示を引き起こすことを含む、報告することと、のアクションを含む、方法。
【請求項2】
前記スコアリング及び報告を少なくとも１０人のユーザに適用することと、各ユーザについて、低から高への前記現在のユーザ信頼度スコア、又は高から低への危険スコアの順序付きリストを報告することと、を更に含む、請求項１に記載の方法。
【請求項3】
前記スコアリング及び報告を少なくとも１０人のユーザに適用することと、所定の閾値又は可能な総ユーザ信頼度スコアの構成可能なパーセンテージのうちの１つに基づいて、ユーザの前記ユーザ信頼度スコアを報告するために選択することと、を更に含む、請求項１に記載の方法。
【請求項4】
前記アラート重みを減衰させる前記減衰係数は、前記アラートが発生してからの日数の関数である、請求項１に記載の方法。
【請求項5】
スコアリング閾値に基づいて１つ以上のアクションを自動的にとることを更に含み、前記アクションが、ユーザに自身のパスワードをリセットすることを要求することと、機密ファイルへのユーザアクセスを削除することと、特定のアプリへのユーザによるアクセスをブロックすることと、を含む、請求項１に記載の方法。
【請求項6】
前記表示が、１０人以上のユーザのための前記時系列であり、特定のユーザのために選択されるときに、前記経時的なアラート重みに寄与した前記特定のユーザによるアクティビティの少なくともいくつかの詳細の表示をトリガする、前記ユーザの各々についてのユーザ制御の表示を引き起こすことを更に含む、請求項１に記載の方法。
【請求項7】
メモリにロードされたプログラム命令を含む有形の非一時的コンピュータ可読記憶媒体であって、前記プログラム命令が、１つ以上のプロセッサ上で実行されるときに、前記プロセッサに、組織のセキュリティポリシーに対するユーザコンプライアンスを評価することに向けられたアクションを実行させ、前記アクションは、前記組織のセキュリティポリシーが危険とみなすユーザによるアクティビティを検出するためにプロキシを使用してシーケンスアラートを生成することであって、前記シーケンスアラートが、重大度によって分類される、生成することと、
ユーザのピアグループの履歴ユーザ行動パターンからの逸脱に基づいて、異常なユーザ行動が検出されたときにバッチアラートを生成することであって、前記バッチアラートが、重大度によって分類される、生成することと、
重大度のカテゴリによって適用され、かつ前記シーケンスアラート及び前記バッチアラートから経時的に生成されるアラート重みを繰り返し合計することによって、ユーザ信頼度スコアと総称される、前記ユーザ信頼度スコア又はユーザ危険スコアをスコアリングすることであって、前記経時的なアラート重みが、時間の経過とともに前記アラート重みを減衰させる減衰係数の影響を受ける、スコアリングすることと、
前記ユーザ信頼度スコアを報告することであって、所定の時間にわたる時系列の前記ユーザ信頼度スコア、並びに／又は現在のユーザ信頼度スコア、及び／若しくは前記経時的なアラート重みに寄与した前記ユーザによる前記アクティビティの少なくともいくつかの詳細の表示を引き起こすことを含む、報告することと、を含む、有形の非一時的コンピュータ可読記憶媒体。
【請求項8】
前記スコアリング及び報告を少なくとも１０人のユーザに適用することと、各ユーザについて、低から高への前記現在のユーザ信頼度スコア、又は高から低への危険スコアの順序付きリストを報告することと、を更に含む、請求項７に記載の有形の非一時的コンピュータ可読記憶媒体。
【請求項9】
前記スコアリング及び報告を少なくとも１０人のユーザに適用することと、所定の閾値又は可能な総ユーザ信頼度スコアの構成可能なパーセンテージのうちの１つに基づいて、ユーザの前記ユーザ信頼度スコアを報告するために選択することと、を更に含む、請求項７に記載の有形の非一時的コンピュータ可読記憶媒体。
【請求項10】
前記アラート重みを減衰させる前記減衰係数は、前記アラートが発生してからの日数の関数である、請求項７に記載の有形の非一時的コンピュータ可読記憶媒体。
【請求項11】
スコアリング閾値に基づいて１つ以上のアクションを自動的にとることを更に含み、前記アクションが、ユーザに自身のパスワードをリセットすることを要求することと、機密ファイルへのユーザアクセスを削除することと、Ｇｏｏｇｌｅドライブ及びＢｏｘを含むがこれらに限定されない特定のアプリへのユーザによるアクセスをブロックすることと、を含む、請求項７に記載の有形の非一時的コンピュータ可読記憶媒体。
【請求項12】
前記表示が、１０人以上のユーザのための前記時系列であり、前記有形の非一時的コンピュータ可読記憶媒体が、特定のユーザのために選択されるときに、前記経時的なアラート重みに寄与した前記特定のユーザによるアクティビティの少なくともいくつかの詳細の表示をトリガする、前記ユーザの各々についてのユーザ制御の表示を引き起こすことを更に含むアクションを前記プロセッサに実行させる命令を更に含む、請求項７に記載の有形の非一時的コンピュータ可読記憶媒体。
【請求項13】
組織のセキュリティポリシーに対するユーザコンプライアンスを評価するためのデバイスであって、前記デバイスが、少なくとも１つのプロセッサと、前記プロセッサに結合されたメモリと、前記メモリにロードされたコンピュータ命令と、を含み、前記コンピュータ命令が、実行されるときに、前記プロセッサに、組織のセキュリティポリシーに対するユーザコンプライアンスを評価することに向けられたアクションを実行させ、前記アクションは、前記組織のセキュリティポリシーが危険とみなすユーザによるアクティビティを検出するためにプロキシを使用してシーケンスアラートを生成することであって、前記シーケンスアラートが、重大度によって分類される、生成することと、
ユーザのピアグループの履歴ユーザ行動パターンからの逸脱に基づいて、異常なユーザ行動が検出されたときにバッチアラートを生成することであって、前記バッチアラートが、重大度によって分類される、生成することと、
重大度のカテゴリによって適用され、かつ前記シーケンスアラート及び前記バッチアラートから経時的に生成されるアラート重みを繰り返し合計することによって、ユーザ信頼度スコアと総称される、前記ユーザ信頼度スコア又はユーザ危険スコアをスコアリングすることであって、前記経時的なアラート重みが、時間の経過とともに前記アラート重みを減衰させる減衰係数の影響を受ける、スコアリングすることと、
前記ユーザ信頼度スコアを報告することであって、所定の時間にわたる時系列の前記ユーザ信頼度スコア、並びに／あるいは現在のユーザ信頼度スコア、及び／又は前記経時的なアラート重みに寄与した前記ユーザによる前記アクティビティの少なくともいくつかの詳細の表示を引き起こすことを含む、報告することと、を含む、デバイス。
【請求項14】
前記デバイスのプロセスが、前記スコアリング及び報告を少なくとも１０人のユーザに適用することと、各ユーザについて、低から高への前記現在のユーザ信頼度スコア、又は高から低への危険スコアの順序付きリストを報告することと、を更に含む、請求項１３に記載のデバイス。
【請求項15】
前記デバイスのプロセスが、前記スコアリング及び報告を少なくとも１０人のユーザに適用することと、所定の閾値又は可能な総ユーザ信頼度スコアの構成可能なパーセンテージのうちの１つに基づいて、ユーザの前記ユーザ信頼度スコアを報告するために選択することと、を更に含む、請求項１３に記載のデバイス。
【請求項16】
前記デバイスのプロセスが、スコアリング閾値に基づいて１つ以上のアクションを自動的にとることを更に含み、前記アクションが、ユーザに自身のパスワードをリセットすることを要求することと、機密ファイルへのユーザアクセスを削除することと、Ｇｏｏｇｌｅドライブ及びＢｏｘを含むがこれらに限定されない特定のアプリへのユーザによるアクセスをブロックすることと、のうちの少なくとも１つを含む、請求項１３に記載のデバイス。
【請求項17】
前記表示が、１０人以上のユーザのための前記時系列であり、前記デバイスが、特定のユーザのために選択されるときに、前記経時的なアラート重みに寄与した前記特定のユーザによるアクティビティの少なくともいくつかの詳細の表示をトリガする、前記ユーザの各々についてのユーザ制御の表示を引き起こすことを更に含むアクションを前記少なくとも１つのプロセッサに実行させる命令を更に含む、請求項１３に記載のデバイス。
【請求項18】
組織のセキュリティポリシーに対するユーザコンプライアンスを評価する方法であって、組織のセキュリティポリシーに準拠していないユーザによるアクティビティを検出するためにシーケンスアラートを生成することであって、前記シーケンスアラートが、重大度によって分類される、生成することと、
ユーザに関連して、前記ユーザのピアグループの履歴ユーザ行動パターンからの逸脱に基づいて、前記ユーザの異常なユーザ行動が検出されたときにバッチアラートを生成することであって、前記バッチアラートが、重大度によって分類される、生成することと、
重大度のカテゴリによって適用され、かつ前記シーケンスアラート及び前記バッチアラートから経時的に生成されるアラート重みを繰り返し合計することによって、ユーザ信頼度スコアと総称される、前記ユーザ信頼度スコア又はユーザ危険スコアをスコアリングすることであって、
前記経時的なアラート重みが、時間の経過とともに前記アラート重みを減衰させる減衰係数の影響を受ける、スコアリングすることと、
前記ユーザ信頼度スコアを報告することであって、
所定の時間にわたる時系列の前記ユーザ信頼度スコア、並びに／又は現在のユーザ信頼度スコア、及び／若しくは
前記経時的なアラート重みに寄与した前記ユーザによる前記アクティビティの少なくともいくつかの詳細の表示を引き起こすことを含む、報告することと、を含む、方法。
【発明の詳細な説明】
【技術分野】
【0001】
［関連出願の相互参照］
本特許出願は、参照によりそれらの全体が本明細書に援用され、本明細書に完全に記載されているかのように全ての目的のために本明細書に援用される、以下の出願に対する優先権を主張する。
本特許出願は、参照によりそれらの全体が本明細書に援用され、本明細書に完全に記載されているかのように全ての目的のために本明細書に援用される、以下の出願に対する優先権を主張する。
【0002】
２０２１年５月２０日に出願され、２０２２年４月１９日に米国特許第１１，３１０，２８２号として発行された「Ｓｃｏｒｉｎｇ Ｃｏｎｆｉｄｅｎｃｅ ｉｎ Ｕｓｅｒ Ｃｏｍｐｌｉａｎｃｅ ｗｉｔｈ Ａｎ Ｏｒｇａｎｉｚａｔｉｏｎ’ｓ Ｓｅｃｕｒｉｔｙ Ｐｏｌｉｃｉｅｓ」と題する米国非仮特許出願第１７／３２６，２４０号（代理人整理番号ＮＳＫＯ１０５１－１）。
【0003】
２０２１年５月２０日に出願された「Ｃａｌｉｂｒａｔｉｎｇ Ｕｓｅｒ Ｃｏｎｆｉｄｅｎｃｅ ｉｎ Ｃｏｍｐｌｉａｎｃｅ ｗｉｔｈ Ａｎ Ｏｒｇａｎｉｚａｔｉｏｎ’ｓ Ｓｅｃｕｒｉｔｙ Ｐｏｌｉｃｉｅｓ」と題する米国非仮特許出願第１７／３２６，２４３号（代理人整理番号ＮＳＫＯ１０５８－１）、及び
【0004】
２０２１年５月２０日に出願された第１７／３２６，２５３号「Ｒｅｄｕｃｉｎｇ Ｆａｌｓｅ Ｄｅｔｅｃｔｉｏｎ ｏｆ Ａｎｏｍａｌｏｕｓ Ｕｓｅｒ Ｂｅｈａｖｉｏｒ ｏｎ ａ Ｃｏｍｐｕｔｅｒ Ｎｅｔｗｏｒｋ」と題する米国非仮特許出願（代理人整理番号ＮＳＫＯ１０５９－１）。
【0005】
米国非仮特許出願第１７／３２６，２４０号の継続出願である、２０２２年４月１８日に出願された「Ｓｃｏｒｉｎｇ Ｃｏｎｆｉｄｅｎｃｅ ｉｎ Ｕｓｅｒ Ｃｏｍｐｌｉａｎｃｅ ｗｉｔｈ Ａｎ Ｏｒｇａｎｉｚａｔｉｏｎ’ｓ Ｓｅｃｕｒｉｔｙ Ｐｏｌｉｃｉｅｓ」と題する米国非仮特許出願第１７／７２３，３４５号（代理人整理番号ＮＳＫＯ１０５１－２）。
【0006】
本特許出願は、任意の及び全ての目的のために、参照により同じくそれらの全体が本明細書に各々援用される、前述の文書の全ての優先権を主張する。
【0007】
［援用］
以下の材料は、本出願において参考として援用される。
「ＫＤＥ Ｈｙｐｅｒ Ｐａｒａｍｅｔｅｒ Ｄｅｔｅｒｍｉｎａｔｉｏｎ」、Ｙｉ Ｚｈａｎｇ ｅｔ ａｌ．、Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．
２０１６年９月２日に出願された「Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ Ｂａｓｅｄ Ａｎｏｍａｌｙ Ｄｅｔｅｃｔｉｏｎ」と題する米国非仮出願第１５／２５６，４８３号（代理人整理番号ＮＳＫＯ１００４－２）（現在は、２０１９年４月２３日に発行された米国特許第１０，２７０，７８８号）、
２０１９年４月１９日に出願された「Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ Ｂａｓｅｄ Ａｎｏｍａｌｙ Ｄｅｔｅｃｔｉｏｎ」と題する米国非仮出願第１６／３８９，８６１号（代理人整理番号ＮＳＫＯ１００４－３）（現在は、２０２１年６月１日に発行された米国特許第１１，０２５，６５３号）、
２０１４年３月０５日に出願された「Ｓｅｃｕｒｉｔｙ Ｆｏｒ Ｎｅｔｗｏｒｋ Ｄｅｌｉｖｅｒｅｄ Ｓｅｒｖｉｃｅｓ」と題する米国非仮出願第１４／１９８，５０８号（代理人整理番号ＮＳＫＯ１０００－３）（現在は、２０１６年２月２３日に発行された米国特許第９，２７０，７６５号）、
２０１６年１２月０２日に出願された「Ｓｙｓｔｅｍｓ ａｎｄ Ｍｅｔｈｏｄｓ ｏｆ Ｅｎｆｏｒｃｉｎｇ Ｍｕｌｔｉ－Ｐａｒｔ Ｐｏｌｉｃｉｅｓ ｏｎ Ｄａｔａ－Ｄｅｆｉｃｉｅｎｔ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｆ Ｃｌｏｕｄ Ｃｏｍｐｕｔｉｎｇ Ｓｅｒｖｉｃｅｓ」と題する米国非仮出願第１５／３６８，２４０号（代理人整理番号ＮＳＫＯ１００３－２）（現在は、２０２０年１１月０３日に発行された米国特許第１０，８２６，９４０号）、及び２０１６年３月１１日に出願された「Ｓｙｓｔｅｍｓ ａｎｄ Ｍｅｔｈｏｄｓ ｏｆ Ｅｎｆｏｒｃｉｎｇ Ｍｕｌｔｉ－Ｐａｒｔ Ｐｏｌｉｃｉｅｓ ｏｎ Ｄａｔａ－Ｄｅｆｉｃｉｅｎｔ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｆ Ｃｌｏｕｄ Ｃｏｍｐｕｔｉｎｇ Ｓｅｒｖｉｃｅｓ」と題する米国仮出願第６２／３０７，３０５号（代理人整理番号ＮＳＫＯ１００３－１）、
「Ｃｌｏｕｄ Ｓｅｃｕｒｉｔｙ ｆｏｒ Ｄｕｍｍｉｅｓ，Ｎｅｔｓｋｏｐｅ Ｓｐｅｃｉａｌ Ｅｄｉｔｉｏｎ」 ｂｙ Ｃｈｅｎｇ，Ｉｔｈａｌ，Ｎａｒａｙａｎａｓｗａｍｙ，ａｎｄ Ｍａｌｍｓｋｏｇ，Ｊｏｈｎ Ｗｉｌｅｙ＆Ｓｏｎｓ，Ｉｎｃ．２０１５、
「Ｎｅｔｓｋｏｐｅ Ｉｎｔｒｏｓｐｅｃｔｉｏｎ」 ｂｙ Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．、
「Ｄａｔａ Ｌｏｓｓ Ｐｒｅｖｅｎｔｉｏｎ ａｎｄ Ｍｏｎｉｔｏｒｉｎｇ ｉｎ ｔｈｅ Ｃｌｏｕｄ」 ｂｙ Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．、
「Ｔｈｅ ５ Ｓｔｅｐｓ ｔｏ Ｃｌｏｕｄ Ｃｏｎｆｉｄｅｎｃｅ」 ｂｙ Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．、
「Ｎｅｔｓｋｏｐｅ Ａｃｔｉｖｅ Ｃｌｏｕｄ ＤＬＰ」 ｂｙ Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．、
「Ｒｅｐａｖｅ ｔｈｅ Ｃｌｏｕｄ－Ｄａｔａ Ｂｒｅａｃｈ Ｃｏｌｌｉｓｉｏｎ Ｃｏｕｒｓｅ」 ｂｙ Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．、及び
「Ｎｅｔｓｋｏｐｅ Ｃｌｏｕｄ Ｃｏｎｆｉｄｅｎｃｅ Ｉｎｄｅｘ（商標）」 ｂｙ Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．
以下の材料は、本出願において参考として援用される。
「ＫＤＥ Ｈｙｐｅｒ Ｐａｒａｍｅｔｅｒ Ｄｅｔｅｒｍｉｎａｔｉｏｎ」、Ｙｉ Ｚｈａｎｇ ｅｔ ａｌ．、Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．
２０１６年９月２日に出願された「Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ Ｂａｓｅｄ Ａｎｏｍａｌｙ Ｄｅｔｅｃｔｉｏｎ」と題する米国非仮出願第１５／２５６，４８３号（代理人整理番号ＮＳＫＯ１００４－２）（現在は、２０１９年４月２３日に発行された米国特許第１０，２７０，７８８号）、
２０１９年４月１９日に出願された「Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ Ｂａｓｅｄ Ａｎｏｍａｌｙ Ｄｅｔｅｃｔｉｏｎ」と題する米国非仮出願第１６／３８９，８６１号（代理人整理番号ＮＳＫＯ１００４－３）（現在は、２０２１年６月１日に発行された米国特許第１１，０２５，６５３号）、
２０１４年３月０５日に出願された「Ｓｅｃｕｒｉｔｙ Ｆｏｒ Ｎｅｔｗｏｒｋ Ｄｅｌｉｖｅｒｅｄ Ｓｅｒｖｉｃｅｓ」と題する米国非仮出願第１４／１９８，５０８号（代理人整理番号ＮＳＫＯ１０００－３）（現在は、２０１６年２月２３日に発行された米国特許第９，２７０，７６５号）、
２０１６年１２月０２日に出願された「Ｓｙｓｔｅｍｓ ａｎｄ Ｍｅｔｈｏｄｓ ｏｆ Ｅｎｆｏｒｃｉｎｇ Ｍｕｌｔｉ－Ｐａｒｔ Ｐｏｌｉｃｉｅｓ ｏｎ Ｄａｔａ－Ｄｅｆｉｃｉｅｎｔ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｆ Ｃｌｏｕｄ Ｃｏｍｐｕｔｉｎｇ Ｓｅｒｖｉｃｅｓ」と題する米国非仮出願第１５／３６８，２４０号（代理人整理番号ＮＳＫＯ１００３－２）（現在は、２０２０年１１月０３日に発行された米国特許第１０，８２６，９４０号）、及び２０１６年３月１１日に出願された「Ｓｙｓｔｅｍｓ ａｎｄ Ｍｅｔｈｏｄｓ ｏｆ Ｅｎｆｏｒｃｉｎｇ Ｍｕｌｔｉ－Ｐａｒｔ Ｐｏｌｉｃｉｅｓ ｏｎ Ｄａｔａ－Ｄｅｆｉｃｉｅｎｔ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｆ Ｃｌｏｕｄ Ｃｏｍｐｕｔｉｎｇ Ｓｅｒｖｉｃｅｓ」と題する米国仮出願第６２／３０７，３０５号（代理人整理番号ＮＳＫＯ１００３－１）、
「Ｃｌｏｕｄ Ｓｅｃｕｒｉｔｙ ｆｏｒ Ｄｕｍｍｉｅｓ，Ｎｅｔｓｋｏｐｅ Ｓｐｅｃｉａｌ Ｅｄｉｔｉｏｎ」 ｂｙ Ｃｈｅｎｇ，Ｉｔｈａｌ，Ｎａｒａｙａｎａｓｗａｍｙ，ａｎｄ Ｍａｌｍｓｋｏｇ，Ｊｏｈｎ Ｗｉｌｅｙ＆Ｓｏｎｓ，Ｉｎｃ．２０１５、
「Ｎｅｔｓｋｏｐｅ Ｉｎｔｒｏｓｐｅｃｔｉｏｎ」 ｂｙ Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．、
「Ｄａｔａ Ｌｏｓｓ Ｐｒｅｖｅｎｔｉｏｎ ａｎｄ Ｍｏｎｉｔｏｒｉｎｇ ｉｎ ｔｈｅ Ｃｌｏｕｄ」 ｂｙ Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．、
「Ｔｈｅ ５ Ｓｔｅｐｓ ｔｏ Ｃｌｏｕｄ Ｃｏｎｆｉｄｅｎｃｅ」 ｂｙ Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．、
「Ｎｅｔｓｋｏｐｅ Ａｃｔｉｖｅ Ｃｌｏｕｄ ＤＬＰ」 ｂｙ Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．、
「Ｒｅｐａｖｅ ｔｈｅ Ｃｌｏｕｄ－Ｄａｔａ Ｂｒｅａｃｈ Ｃｏｌｌｉｓｉｏｎ Ｃｏｕｒｓｅ」 ｂｙ Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．、及び
「Ｎｅｔｓｋｏｐｅ Ｃｌｏｕｄ Ｃｏｎｆｉｄｅｎｃｅ Ｉｎｄｅｘ（商標）」 ｂｙ Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．
【0008】
開示される技術は、概して、セキュリティ管理者が最も危険なユーザを容易に識別し、適切なアクションをとることができるように、ユーザの全体的な危険を定量化するための行動分析に関する。より具体的には、開示される技術は、機械学習及び統計分析を通じて、潜在的な脅威を示すユーザ行動異常を反映するユーザ信頼度スコアを決定することに関する。
【背景技術】
【0009】
このセクションで考察される主題は、単にこのセクションにおけるその言及の結果として先行技術であると想定されるべきではない。同様に、このセクションで言及される問題、又は背景として提供される主題と関連する問題は、先行技術において以前に認識されていたと仮定されるべきではない。このセクションの主題は、異なるアプローチを表すにすぎず、それ自体、特許請求される技術の実装形態に対応することもできる。
【0010】
サイバー犯罪者は、クラウドを、検出を弱体化させるための効果的な方法とみなしている。サイバー脅威及び悪意のあるインサイダーのパターンは絶えず変化する。一方、機密データはますます分散され、必ずしも認可されていないか又は適切に保護されていないアプリケーションに移動している。
【0011】
エンタープライズユーザの８９％は、マネージド及び非マネージドのクラウドサービス及びアプリにおいてアクティブであり、ユーザの２０％は、複数のアプリ及びサービス間で機密データを横方向に移動し、エンタープライズユーザの３０％超は、平均してリモートで作業している。
【0012】
セキュリティポリシーは、例えば、ユーザがファイルをアップロード及びダウンロードしているとき、ウェブサイトを閲覧しているとき、又はクラウド内のデータにアクセスしているときなど、個々のユーザに対してリアルタイムで評価される必要があることが多い。ユーザエクスペリエンスに影響を与える何百万もの重要な決定を毎日行う必要がある。
【0013】
組織のセキュリティポリシーに対するユーザコンプライアンスを評価し、組織のセキュリティポリシーに準拠していなかったユーザ行動の評価を表すユーザ信頼度又は危険スコアを較正して、管理者がユーザグループをレビューし、それらがもたらすセキュリティ上の危険に基づいて個々のユーザに対して適切なアクションをとることを可能にするための機会が生じる。また、コンピュータネットワーク上の異常なユーザ行動の誤検出を低減するための機会も出現する。
【0014】
図面において、同様の参照文字は、概して、異なる図全体を通して同様の部分を指す。また、図面は、必ずしも縮尺通りではなく、代わりに、概して、開示される技術の原理を図示することに重点が置かれている。以下の説明では、開示される技術の種々の実装形態が、以下の図面を参照して説明される。
【0015】
本特許出願書類には、カラーで作成された少なくとも１つの図面が含まれている。カラーの図面を含む本特許又は特許出願公開の複写は、請求及び必要な料金の支払いに応じて、庁によって提供されるであろう。カラーの図面はまた、補足コンテンツタブを介してＰＡＩＲで利用可能であり得る。
【図面の簡単な説明】
【0016】
【図1】開示される技術の一実装形態による、組織のセキュリティポリシーに対するユーザコンプライアンスを評価するための、組織のセキュリティポリシーに準拠していなかったユーザ行動の評価を表すユーザ信頼度又は危険スコアを較正するための、及びコンピュータネットワーク上の異常なユーザ行動の誤検出を低減するための、システムのアーキテクチャレベルの概略図を示す。
【図2A】組織のセキュリティポリシーに対するユーザコンプライアンスを評価するために、ネットワークを介してクラウドベースのサービスを利用するユーザを有するＮｅｔｓｋｏｐｅクラウドアクセスセキュリティブローカのハイレベルブロック図を示す。
【図2B】バッチアラート検出器によって使用されるための、ユーザのグループについてのアプリイベントの例示的なリストを、アプリのリストの各々についての各ユーザによるイベントのカウントとともに示す。
【図3A】情報的な重大度を有するアラートのユーザデータを示す。
【図3B】情報的な重大度を同じく有する、同じユーザの別のアラートを説明する。
【図3C】ユーザに対する重要な重大度アラートを示す。
【図3D】情報的な重大度アラートを列挙する。
【図3E】同じユーザに対する中程度の重大度アラートを示す。
【図4】シーケンス及びバッチの両方のアラートタイプについて、アラートが発生した時間及び重大度を含む、６人のユーザのセットのアラートサマリのスニペットを示す。
【図5】６人のユーザの各々について１６日間の各々について計算された信頼度スコアを示す。
【図6】現在の日からの日数の関数としての減衰係数の例示的な減衰係数グラフを示す。
【図7】２００日間にわたるユーザのユーザ危険スコアのグラフを示し、ここで、ユーザ危険スコアは、ユーザによって生成されたアラートの合計であり、アラートの重大度及び異常性、並びに時間減衰係数によって重み付けされる。
【図8A】６人のユーザのセットのユーザ信頼度スコアリングを実証する例示的なプロットを示す
【図8B】組織内の多数のユーザのセットのユーザ信頼度スコアリングを実証する例示的なプロットを示す。
【図9】管理者によって使用されるためのユーザ信頼度スコアのための代表的なユーザインターフェースを示す。
【図10】開示される技術の一実装形態による、組織のセキュリティポリシーに対するユーザコンプライアンスを評価するために、組織のセキュリティポリシーに準拠していなかったユーザ行動の評価を表すユーザ信頼度又は危険スコアを較正するために、及びコンピュータネットワーク上の異常なユーザ行動の誤検出を低減するために使用され得る、コンピュータシステムの簡略化されたブロック図である。
【発明を実施するための形態】
【0017】
以下の詳細な説明は、図面を参照して行われる。特許請求の範囲によって定義されるその範囲を限定するためではなく、開示される技術を例示するために、サンプルの実装形態が説明される。当業者であれば、以下の説明に基づいて種々の同等の変形例を認識するであろう。
【0018】
エンタープライズのセキュリティ管理者が危険ユーザを容易に識別し、機密ファイルへのアクセスをブロックし、侵入攻撃を阻止することなどの適切なアクションをとることができるように、ユーザの全体的な危険を定量化する必要がある。
【0019】
開示される技術は、行動分析を利用して、異常なユーザ行動を明らかにし、悪意のあるインサイダー、侵害されたアカウント、データ漏洩、及び他の脅威を検出及びブロックするために、ユーザがどれほど危険であるか、又は信頼できるかを評価する。
【0020】
開示される技術はまた、組織のセキュリティポリシーに準拠していなかったユーザ行動の評価を表すユーザ信頼度又は危険スコアの較正を可能にする。この文書では、エンタープライズと組織が互換的に使用される。
【0021】
ユーザ行動をユーザ及びグループの両方のプロファイルと比較する既存の技術は、ピアグループのプロキシとして顧客のユーザの全てを利用する。このアプローチは、偽陽性の発生を効果的に低減する情報を提供するのに十分な粒度ではない。
【0022】
ユーザ及びエンティティの行動分析（ＵＥＢＡ）では、ユーザ又はエンティティの行動が異なる場合にセキュリティアラートが生成される。そのような「異なる行動」は、ユーザ／エンティティをそれ自身の履歴、及び／又はそのピアの履歴と比較することによって検出される。したがって、「ピア」の決定は、ＵＥＢＡの重要なステップになる。
【0023】
開示される技術は、使用されるアプリに基づいて、かつロケーションに基づいてピアユーザをグループにグループ化することを使用し、ユーザ行動をユーザ及びピアグループの両方のプロファイルと比較することによって、弾性的であり、偽陽性の発生を低減するユーザ及びエンティティの行動分析（ＵＥＢＡ）を可能にする。
【0024】
開示される技術は、機械学習及び統計分析を通じて、潜在的なセキュリティ上の脅威を示す異常なユーザ行動の発生及び重大度を定量化するという技術的問題を解決する。ユーザ信頼度スコアは、この重要なニーズを満たすように設計される。
【0025】
次に、組織のセキュリティポリシーに対するユーザコンプライアンスを評価するための、組織のセキュリティポリシーに準拠していなかったユーザ行動の評価を表すユーザ信頼度又は危険スコアを較正するための、及びコンピュータネットワーク上の異常なユーザ行動の誤検出を低減するための、例示的なシステムについて説明する。
【0026】
［アーキテクチャ］
図１は、組織のセキュリティポリシーに対するユーザコンプライアンスを評価するための、及び組織のセキュリティポリシーに準拠していなかったユーザ行動の評価を表すユーザ信頼度又は危険スコアを較正するための、システム１００のアーキテクチャレベル概略図を示す。これらの機能は、管理者がユーザグループをレビューし、それらがもたらすセキュリティ上の危険に基づいて個々のユーザに対して適切なアクションをとることを可能にする。システム１００はまた、コンピュータネットワーク上の異常なユーザ行動の誤検出を低減するための機能を含む。図１はアーキテクチャ図であるため、説明をより明確にするために、一部の詳細は意図的に省略されている。図１の説明は以下のように構成される。最初に、図の要素について説明し、その後、それらの相互接続について説明する。次に、システムにおける要素の使用をより詳細に説明する。
図１は、組織のセキュリティポリシーに対するユーザコンプライアンスを評価するための、及び組織のセキュリティポリシーに準拠していなかったユーザ行動の評価を表すユーザ信頼度又は危険スコアを較正するための、システム１００のアーキテクチャレベル概略図を示す。これらの機能は、管理者がユーザグループをレビューし、それらがもたらすセキュリティ上の危険に基づいて個々のユーザに対して適切なアクションをとることを可能にする。システム１００はまた、コンピュータネットワーク上の異常なユーザ行動の誤検出を低減するための機能を含む。図１はアーキテクチャ図であるため、説明をより明確にするために、一部の詳細は意図的に省略されている。図１の説明は以下のように構成される。最初に、図の要素について説明し、その後、それらの相互接続について説明する。次に、システムにおける要素の使用をより詳細に説明する。
【0027】
システム１００は、組織ネットワーク１０２と、セキュリティスタック１５及びＮｅｔｓｋｏｐｅクラウドアクセスセキュリティブローカ（Ｎ－ＣＡＳＢ）１５５を有する統合クラウドベースのセキュリティシステム１５３を有するデータセンタ１５２と、クラウドベースのサービス１０８とを含む。システム１００は、セキュリティサービスプロバイダの、マルチテナントネットワークとも称される複数の加入者のための複数の組織ネットワーク１０４と、複数のデータセンタ１５６とを含む。組織ネットワーク１０２は、コンピュータ１１２ａ～ｎ、タブレット１２２ａ～ｎ、及びモバイルデバイス１３２ａ～ｎを含む。別の組織ネットワークでは、組織ユーザは追加のデバイスを利用することができる。クラウドサービス１０８は、クラウドベースのホスティングサービス１１８、ウェブ電子メールサービス１２８、ビデオ、メッセージング、及び音声通話サービス１３８、ストリーミングサービス１４８、ファイル転送サービス１５８、並びにクラウドベースのストレージサービス１６８を含む。データセンタ１５２は、公衆ネットワーク１４５を介して組織ネットワーク１０２及びクラウドベースのサービス１０８に接続する。クラウドサービスコンシューマとクラウドサービスプロバイダとの間で動作するＮｅｔｓｋｏｐｅクラウドアクセスセキュリティブローカ（Ｎ－ＣＡＳＢ）１５５は、クラウドベースのリソースがアクセスされるときにエンタープライズセキュリティポリシーを組み合わせて差し挟む。（Ｎ－ＣＡＳＢ）１５５によって実施される当該のこれらのアクション（機能）は、プロキシとして機能する（Ｎ－ＣＡＳＢ）１５５の例を表す。
【0028】
図１の説明を続けると、セキュリティスタック１５４の各セキュリティ層は、問題を検出することができる。強化されたＮｅｔｓｋｏｐｅクラウドアクセスセキュリティブローカ（Ｎ－ＣＡＳＢ）１５５は、認可された及び認可されていないクラウドアプリにおけるアクセス及びアクティビティを統制し、機密データを保護し、その損失を防止し、内部及び外部の脅威から保護することに加えて、ＢＴ、ＦＴＰ及びＵＤＰベースのストリーミングプロトコルを介したＰ２Ｐトラフィック、並びにＳＩＰを介したＳｋｙｐｅ、音声、ビデオ及びメッセージングマルチメディア通信セッション、並びに他のプロトコルを介したウェブトラフィックを安全に処理する。
【0029】
Ｎ－ＣＡＳＢ１５５は、システムのユーザを識別し、アプリのポリシーを設定するアクティブアナライザ１６５及び内部検査アナライザ１７５を含む。内部検査アナライザ１７５は、静止しているデータを検査するためにクラウドベースのサービス１０８と直接対話する。ポーリングモードでは、内部検査アナライザ１７５は、ＡＰＩコネクタを使用してクラウドベースのサービスを呼び出して、クラウドベースのサービスに存在するデータをクロールし、変更をチェックする。
【0030】
一例として、Ｂｏｘ（商標）ストレージアプリケーションは、Ｂｏｘフォルダの監査ログを含む、全てのユーザのための組織のアカウントへの可視性を提供するＢｏｘ Ｃｏｎｔｅｎｔ ＡＰＩ（商標）と称される管理ＡＰＩを提供し、この管理ＡＰＩを検査して、証明書が危険にさらされた特定の日付の後に機密ファイルがダウンロードされたかどうかを決定することができる。内部検査アナライザ１７５は、このＡＰＩをポーリングして、アカウントのいずれかに行われた変更を発見する。変更が発見された場合、Ｂｏｘ Ｅｖｅｎｔｓ ＡＰＩ（商標）は、詳細なデータ変更を発見するためにポーリングされる。コールバックモデルでは、内部検査アナライザ１７５は、任意の重要なイベントについて通知されるように、ＡＰＩコネクタを介してクラウドベースのサービスに登録する。
【0031】
例えば、内部検査アナライザ１７５は、Ｍｉｃｒｏｓｏｆｔ Ｏｆｆｉｃｅ３６５ Ｗｅｂｈｏｏｋｓ ＡＰＩ（商標）を使用して、ファイルが外部で共有されたときを学習することができる。内部検査アナライザ１７５はまた、ディープＡＰＩ検査（ＤＡＰＩＩ）、ディープパケット検査（ＤＰＩ）、及びログ検査能力を有し、クラウドベースのサービス内の残りのファイルに異なるコンテンツ検査技法を適用して、ストレージ１８６に記憶されたポリシー及びルールに基づいて、どの文書及びファイルが機密であるかを決定するＤＬＰエンジンを含む。内部検査アナライザ１７５による検査の結果は、ユーザごとのデータ及びファイルごとのデータの生成である。
【0032】
アクティブアナライザ及び内部検査アナライザの機能に関する更なる情報については、例えば、同一出願人が所有する米国特許第９，３９８，１０２号（ＮＳＫＯ１０００－２）、同第９，２７０，７６５号（ＮＳＫＯ１０００－３）、同第９，９２８，３７７号（ＮＳＫＯ１００１－２）、及び米国特許出願第１５／３６８，２４６号（ＮＳＫＯ１００３－３）を参照することができる。
【0033】
図１の説明を更に続けると、Ｎ－ＣＡＳＢ１５５は、抽出エンジン１７１、分類エンジン１７２、セキュリティエンジン１７３、管理プレーン１７４、及びデータプレーン１８０を含むモニタ１８４を更に含む。また、Ｎ－ＣＡＳＢ１５５に含まれるストレージ１８６は、コンテンツポリシー１８７、コンテンツプロファイル１８８、コンテンツ検査ルール１８９、エンタープライズデータ１９７、クライアントの情報１９８、及びユーザ識別情報１９９を含む。エンタープライズデータ１９７は、知的財産、非公開金融、戦略的計画、顧客リスト、顧客又は従業員に属する個人的に識別可能な情報（ＰＩＩ）、患者健康データ、ソースコード、営業秘密、予約情報、パートナー契約、コーポレート計画、合併及び取得文書、並びに他の秘匿データを含むが、それらに限定されない、組織データを含み得る。
【0034】
特に、「エンタープライズデータ」という用語は、文書、ファイル、フォルダ、ウェブページ、ウェブページの集合、画像、又は任意の他のテキストベースの文書を指す。ユーザ識別情報は、トークン、ＵＵＩＤなどの一意の識別子、公開キー証明書などの形態で、ネットワークセキュリティシステムによってクライアントデバイスに提供されるインジケータを指す。
【0035】
場合によっては、ユーザ識別情報は、特定のユーザ及び特定のデバイスにリンクされ得、したがって、同じ個人が、そのモバイルフォンとコンピュータとで異なるユーザ識別情報を有する場合がある。ユーザ識別情報は、エントリ又はコーポレート識別情報ディレクトリにリンクすることができるが、それとは異なる。一実装形態では、ネットワークセキュリティによって署名された暗号証明書がユーザ識別情報として使用される。他の実装形態では、ユーザ識別情報は、ユーザに対してのみ一意であり、デバイスにわたって同一であり得る。
【0036】
実施形態は、シングルサインオン（ＳＳＯ）ソリューション及び／又はコーポレート識別情報ディレクトリ、例えば、ＭｉｃｒｏｓｏｆｔのＡｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ（ＡＤ）と相互運用することもできる。かかる実施形態は、カスタム属性を使用して、例えば、グループ又はユーザレベルのいずれかにおいて、ポリシーがディレクトリ内で定義されることを可能にし得る。システムとともに構成されるホストサービスは、システムを介したトラフィックを必要とするようにも構成される。これは、ホストされたサービスにおけるＩＰ範囲制限をシステムのＩＰ範囲に設定すること、及び／又はシステムとＳＳＯシステムとの間の統合を通じて行うことができる。
【0037】
例えば、ＳＳＯソリューションとの統合は、サインオンを認可する前にクライアントプレゼンス要件を施行することができる。他の実施形態は、ＳａａＳベンダとの「プロキシアカウント」、例えば、サービスにサインインするための唯一のクレデンシャルを保持するシステムによって保持される専用アカウントを使用してもよい。他の実施形態では、クライアントは、ログインをホストされたサービスに渡す前に、クレデンシャル上の署名を暗号化することができ、これは、ネットワーキングセキュリティシステムがパスワードを「所有する」ことを意味する。
【0038】
ストレージ１８６は、マルチテナントデータベースシステム（ＭＴＤＳ）などの多くの方法で実装され得るオンデマンドデータベースサービス（ＯＤＤＳ）を形成するために、１つ以上のテナントからの情報を共通データベースイメージのテーブルに記憶することができる。データベース画像は、１つ以上のデータベースオブジェクトを含むことができる。他の実装形態では、データベースは、リレーショナルデータベース管理システム（ＲＤＢＭＳ）、オブジェクト指向データベース管理システム（ＯＯＤＢＭＳ）、分散ファイルシステム（ＤＦＳ）、ノースキーマデータベース、又は任意の他のデータ記憶システム若しくはコンピューティングデバイスであり得る。一部の実装形態では、収集されたメタデータは、処理及び／又は正規化される。場合によっては、メタデータは構造化データを含み、機能はクラウドサービス１０８によって提供される特定のデータ構造をターゲットとする。フリーテキストなどの非構造化データもまた、クラウドサービス１０８によって提供され、クラウドサービス１０８をターゲットにすることができる。構造化データ及び非構造化データの両方が、内部検査アナライザ１７５によって集約されることが可能である。
【0039】
例えば、アセンブルされたメタデータは、ＪＳＯＮ（ＪａｖａＳｃｒｉｐｔオブジェクト表記）、ＢＳＯＮ（バイナリＪＳＯＮ）、ＸＭＬ、Ｐｒｏｔｏｂｕｆ、Ａｖｒｏ、又はＴｈｒｉｆｔオブジェクトのような半構造化データフォーマットで記憶され、これは、ストリングフィールド（又は列）と、数、ストリング、アレイ、オブジェクトなどのような潜在的に異なるタイプの対応する値とからなる。他の実装形態では、ＪＳＯＮオブジェクトは、ネストされることができ、フィールドは、多値、例えば、アレイ、ネストされたアレイなどであり得る。これらのＪＳＯＮオブジェクトは、Ａｐａｃｈｅ Ｃａｓｓａｎｄｒａ（商標）、ＧｏｏｇｌｅのＢｉｇｔａｂｌｅ（商標）、ＨＢａｓｅ（商標）、Ｖｏｌｄｅｍｏｒｔ（商標）、ＣｏｕｃｈＤＢ（商標）、ＭｏｎｇｏＤＢ（商標）、Ｒｅｄｉｓ（商標）、Ｒｉａｋ（商標）、Ｎｅｏ４ｊ（商標）などのようなスキーマレス又はＮｏＳＱＬキー値メタデータストア１７８に記憶され、これは、ＳＱＬのデータベースと同等のキースペースを使用して構文解析されたＪＳＯＮオブジェクトを記憶する。各キースペースは、テーブルに類似し、行及び列のセットからなる列ファミリに分割される。
【0040】
一実装形態では、内部検査アナライザ１７５は、着信メタデータを分析し、受信されたデータ内のキーワード、イベント、ユーザＩＤ、ロケーション、人口統計、ファイルタイプ、タイムスタンプなどを識別するメタデータパーサ（明瞭性を高める省略されている）を含む。構文解析は、テキストのストリームをキーワード、又は「目標設定可能パラメータ」と称される他の意味のある要素に分解し、分析するプロセスである。
【0041】
一実装形態では、ターゲットパラメータのリストが、例えば、マッチングエンジン（図示せず）による構文解析又はテキストマイニングなどの更なる処理のために入力される。構文解析は、利用可能なメタデータから意味を抽出する。一実装形態では、トークン化は、メタデータのストリーム内の粒状要素（例えば、トークン）を識別するための構文解析の第１のステップとして動作するが、構文解析は次いで、トークンが見つかったコンテキストを使用して、参照されている情報の意味及び／又は種類を決定することに進む。内部検査アナライザ１７５によって分析されたメタデータは同種ではない（例えば、多くの異なるフォーマットで多くの異なるソースが存在する）ため、特定の実装形態は、クラウドサービスごとに少なくとも１つのメタデータパーサを採用し、場合によっては２つ以上のメタデータパーサを採用する。他の実装形態では、内部検査アナライザ１７５は、モニタ１８４を使用して、クラウドサービスを検査し、コンテンツメタデータをアセンブルする。
【0042】
１つのユースケースでは、機密文書の識別は、文書の以前の検査に基づく。ユーザは、文書を機密として手動でタグ付けすることができ、この手動タグ付けは、クラウドサービス内の文書メタデータを更新する。次いで、公開されたＡＰＩを使用してクラウドサービスから文書メタデータを取り出し、それらを機密性の指標として使用することが可能である。
【0043】
図１の説明を更に続けると、システム１００は、任意の数のクラウドベースのサービス１０８、すなわち、ポイントツーポイントストリーミングサービス、ホストサービス、クラウドアプリケーション、クラウドストア、クラウドコラボレーション及びメッセージングプラットフォーム、並びにクラウド顧客関係管理（ＣＲＭ）プラットフォームを含むことができる。
【0044】
サービスには、ＢｉｔＴｏｒｒｅｎｔ（ＢＴ）、ユーザデータグラムプロトコル（ＵＤＰ）ストリーミング及びファイル転送プロトコル（ＦＴＰ）などのポータルトラフィックのためのプロトコルを介したピアツーピアファイル共有（Ｐ２Ｐ）と、セッション開始プロトコル（ＳＩＰ）及びＳｋｙｐｅを介したインスタントメッセージオーバーインターネットプロトコル（ＩＰ）及びモバイルフォンコーリングオーバーＬＴＥ（ＶｏＬＴＥ）などの音声、ビデオ及びメッセージングマルチメディア通信セッションとが含まれ得る。サービスは、インターネットトラフィック、クラウドアプリケーションデータ、及び汎用ルーティングカプセル化（ＧＲＥ）データを処理することができる。ネットワークサービス又はアプリケーションは、ウェブベース（例えば、ユニフォームリソースロケータ（ＵＲＬ）を介してアクセスされる）又は同期クライアントなどのネイティブとすることができる。
【0045】
例としては、ｓｏｆｔｗａｒｅ－ａｓ－ａ－ｓｅｒｖｉｃｅ（ＳａａＳ）提供物、ｐｌａｔｆｏｒｍ－ａｓ－ａ－ｓｅｒｖｉｃｅ（ＰａａＳ）提供物、及びｉｎｆｒａｓｔｒｕｃｔｕｒｅ－ａｓ－ａ－ｓｅｒｖｉｃｅ（ＩａａＳ）提供物、並びにＵＲＬを介して公開される内部エンタープライズアプリケーションが挙げられる。今日の一般的なクラウドベースのサービスの例として、Ｓａｌｅｓｆｏｒｃｅ．ｃｏｍ（商標）、Ｂｏｘ（商標）、Ｄｒｏｐｂｏｘ（商標）、Ｇｏｏｇｌｅ Ａｐｐｓ（商標）、Ａｍａｚｏｎ ＡＷＳ（商標）、Ｍｉｃｒｏｓｏｆｔ Ｏｆｆｉｃｅ ３６５（商標）、Ｗｏｒｋｄａｙ（商標）、Ｏｒａｃｌｅ ｏｎ Ｄｅｍａｎｄ（商標）、Ｔａｌｅｏ（商標）、Ｙａｍｍｅｒ（商標）、Ｊｉｖｅ（商標）、及びＣｏｎｃｕｒ（商標）が挙げられる。
【0046】
システム１００の要素の相互接続において、ネットワーク１４５は、コンピュータ１１２ａ～ｎ、タブレット１２２ａ～ｎ、モバイルデバイス１３２ａ～ｎ、クラウドベースのホスティングサービス１１８、ウェブ電子メールサービス１２８、ビデオ、メッセージング、及び音声通話サービス１３８、ストリーミングサービス１４８、ファイル転送サービス１５８、クラウドベースのストレージサービス１６８、並びにＮ－ＣＡＳＢ１５５を通信で結合する。通信経路は、パブリック及び／又はプライベートネットワーク上のポイントツーポイントであり得る。
【0047】
通信は、種々のネットワーク、例えば、プライベートネットワーク、ＶＰＮ、ＭＰＬＳ回路、又はインターネットを経由して生じることができ、適切なアプリケーションプログラムインターフェース（ＡＰＩ）及びデータ交換フォーマット、例えば、ＲＥＳＴ、ＪＳＯＮ、ＸＭＬ、ＳＯＡＰ、及び／又はＪＭＳを使用することができる。全ての通信は暗号化することができる。この通信は、概して、ＥＤＧＥ、３Ｇ、４Ｇ ＬＴＥ、Ｗｉ－Ｆｉ、及びＷｉＭＡＸなどのプロトコルを介して、ＬＡＮ（ローカルエリアネットワーク）、ＷＡＮ（広域通信網）、電話ネットワーク（パブリック交換電話網（ＰＳＴＮ））、セッション開始プロトコル（ＳＩＰ）、無線ネットワーク、ポイントツーポイントネットワーク、スター型ネットワーク、トークンリングネットワーク、ハブネットワーク、モバイルインターネットを含むインターネットなどのネットワークを介する。追加的に、ユーザ名／パスワード、ＯＡｕｔｈ、Ｋｅｒｂｅｒｏｓ、ＳｅｃｕｒｅＩＤ、デジタル証明書などの種々の認可及び認証技法が、通信をセキュアにするために使用され得る。
【0048】
図１のシステムアーキテクチャの説明を更に続けると、Ｎ－ＣＡＳＢ１５５は、互いに通信するように結合された１つ以上のコンピュータ及びコンピュータシステムを含むことができるモニタ１８４及びストレージ１８６を含む。それらはまた、１つ以上の仮想コンピューティング及び／又はストレージリソースであり得る。例えば、モニタ１８４は、１つ以上のＡｍａｚｏｎ ＥＣ２インスタンスとすることができ、ストレージ１８６は、Ａｍａｚｏｎ Ｓ３（商標）ストレージとすることができる。直接物理コンピュータ又は従来の仮想マシン上でＮ－ＣＡＳＢ１５５を実装するのではなく、Ｓａｌｅｓｆｏｒｃｅ製のＲａｃｋｓｐａｃｅ、Ｈｅｒｏｋｕ、又はＦｏｒｃｅ．ｃｏｍなどの他のサービスとしてのコンピューティングプラットフォームを使用することができる。
【0049】
追加的に、セキュリティ機能を実装するために、１つ以上のエンジンを使用することができ、１つ以上のポイントオブプレゼンス（ＰＯＰ）を確立することができる。図１のエンジン又はシステムコンポーネントは、種々のタイプのコンピューティングデバイス上で実行されるソフトウェアによって実装される。例示的なデバイスは、ワークステーション、サーバ、コンピューティングクラスタ、ブレードサーバ、及びサーバファーム、又は任意の他のデータ処理システム若しくはコンピューティングデバイスである。エンジンは、異なるネットワーク接続を介してデータベースに通信可能に結合することができる。
【0050】
例えば、抽出エンジン１７１は、ネットワーク１４５（例えば、インターネット）を介して結合することができ、分類エンジン１７２は、直接ネットワークリンクを介して結合することができ、セキュリティエンジン１７３は、更に異なるネットワーク接続によって結合することができる。開示される技術に関して、データプレーン１８０のＰＯＰは、クライアントの構内でホストされるか、又はクライアントによって制御されるバーチャルプライベートネットワーク内に位置する。
【0051】
Ｎ－ＣＡＳＢ１５５は、管理プレーン１７４及びデータプレーン１８０を介して種々の機能を提供する。一実装形態によれば、データプレーン１８０は、抽出エンジン１７１、分類エンジン１７２、及びセキュリティエンジン１７３を含む。制御プレーンなどの他の機能も提供することができる。これらの機能は、クラウドサービス１０８と組織ネットワーク１０２との間の安全なインターフェースを集合的に提供する。Ｎ－ＣＡＳＢ１５５を説明するために「ネットワークセキュリティシステム」という用語を使用するが、より一般的には、システムは、アプリケーションの可視性及び制御機能並びにセキュリティを提供する。一例では、３万５０００のクラウドアプリケーションが、組織ネットワーク１０２内のコンピュータ１１２ａ～ｎ、タブレット１２２ａ～ｎ、モバイルデバイス１３２ａ～ｎによって使用されているサーバと交差するライブラリ内に常駐する。
【0052】
一実装形態によれば、組織ネットワーク１０２内のコンピュータ１１２ａ～ｎ、タブレット１２２ａ～ｎ、モバイルデバイス１３２ａ～ｎは、コンテンツポリシー１８７を定義及び管理するために、Ｎ－ＣＡＳＢ１５５によって提供されるセキュアなウェブ配信インターフェースを有するウェブブラウザを備えた管理クライアントを含む。Ｎ－ＣＡＳＢ１５５はマルチテナントシステムであり、したがって、一部の実装形態によれば、管理クライアントのユーザは、その組織に関連付けられたコンテンツポリシー１８７のみを変更することができる。
【0053】
一部の実装形態では、ポリシーをプログラム的に定義及び／又は更新するためのＡＰＩが提供され得る。かかる実装形態では、管理クライアントは、更新をプッシュし、かつ／又はコンテンツポリシー１８７に対する更新のプル要求に応答する、１つ以上のサーバ、例えば、Ｍｉｃｒｏｓｏｆｔ Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ（ＡＤ）、又はオープン軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）の実装などのコーポレート識別情報ディレクトリを含むことができる。両方のシステムを共存させることができ、例えば、一部の企業は、コーポレート識別情報ディレクトリを使用して組織内のユーザの識別を自動化すると同時に、ウェブインターフェースを使用してユーザのニーズに合わせてポリシーを調整することができる。管理クライアントには役割が割り当てられ、Ｎ－ＣＡＳＢ１５５データへのアクセスは、例えば読み取り専用／読み取り書き込みなどの役割に基づいて制御される。
【0054】
ユーザごとのデータ及びファイルごとのデータを定期的に生成し、それをメタデータストア１７８内に持続させることに加えて、アクティブアナライザ及び内部検査アナライザ（図示せず）はまた、クラウドトラフィックに対してセキュリティポリシーを施行する。アクティブアナライザ及び内部検査アナライザの機能に関する更なる情報については、例えば、同一出願人が所有する米国特許第９，３９８，１０２号（ＮＳＫＯ１０００－２）、同第９，２７０，７６５号（ＮＳＫＯ１０００－３）、同第９，９２８，３７７号（ＮＳＫＯ１００１－２）、及び米国出願第１５／３６８，２４６号（ＮＳＫＯ１００３－３）、Ｃｈｅｎｇ，Ｉｔｈａｌ，Ｎａｒａｙａｎａｓｗａｍｙ ａｎｄ Ｍａｌｍｓｋｏｇ Ｃｌｏｕｄ Ｓｅｃｕｒｉｔｙ Ｆｏｒ Ｄｕｍｍｉｅｓ，Ｎｅｔｓｋｏｐｅ Ｓｐｅｃｉａｌ Ｅｄｉｔｉｏｎ，Ｊｏｈｎ Ｗｉｌｅｙ＆Ｓｏｎｓ，Ｉｎｃ．２０１５、Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．による「Ｎｅｔｓｋｏｐｅ Ｉｎｔｒｏｓｐｅｃｔｉｏｎ」、Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．による「Ｄａｔａ Ｌｏｓｓ Ｐｒｅｖｅｎｔｉｏｎ ａｎｄ Ｍｏｎｉｔｏｒｉｎｇ ｉｎ ｔｈｅ Ｃｌｏｕｄ」、Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．による「Ｃｌｏｕｄ Ｄａｔａ Ｌｏｓｓ Ｐｒｅｖｅｎｔｉｏｎ Ｒｅｆｅｒｅｎｃｅ Ａｒｃｈｉｔｅｃｔｕｒｅ」、Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．による「Ｔｈｅ ５ Ｓｔｅｐｓ ｔｏ Ｃｌｏｕｄ Ｃｏｎｆｉｄｅｎｃｅ」、Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．による「Ｔｈｅ Ｎｅｔｓｋｏｐｅ Ａｃｔｉｖｅ Ｐｌａｔｆｏｒｍ」、Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．による「Ｔｈｅ Ｎｅｔｓｋｏｐｅ Ａｄｖａｎｔａｇｅ：Ｔｈｒｅｅ “Ｍｕｓｔ－Ｈａｖｅ” Ｒｅｑｕｉｒｅｍｅｎｔｓ ｆｏｒ Ｃｌｏｕｄ Ａｃｃｅｓｓ Ｓｅｃｕｒｉｔｙ Ｂｒｏｋｅｒｓ」、Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．による「Ｔｈｅ １５ Ｃｒｉｔｉｃａｌ ＣＡＳＢ Ｕｓｅ Ｃａｓｅｓ」、Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．による「Ｎｅｔｓｋｏｐｅ Ａｃｔｉｖｅ Ｃｌｏｕｄ ＤＬＰ」、Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．による「Ｒｅｐａｖｅ ｔｈｅ Ｃｌｏｕｄ－Ｄａｔａ Ｂｒｅａｃｈ Ｃｏｌｌｉｓｉｏｎ Ｃｏｕｒｓｅ」、及びＮｅｔｓｋｏｐｅ，Ｉｎｃ．による「Ｎｅｔｓｋｏｐｅ Ｃｌｏｕｄ Ｃｏｎｆｉｄｅｎｃｅ Ｉｎｄｅｘ（商標）」を参照することができ、これらは、本明細書に完全に記載されているかのように、あらゆる目的のために参照により援用される。
【0055】
システム１００に関して、制御プレーンは、管理プレーン１７４及びデータプレーン１８０とともに、又はその代わりに使用されてもよい。これらのグループ間の機能の特定の分割は、実装形態上の選択である。同様に、機能は、ローカル性、性能、及び／又はセキュリティを改善するために、一部のポイントオブプレゼンス（ＰＯＰ）にわたって高度に分散され得る。一実装形態では、本明細書で説明されるように、データプレーンは、構内又はバーチャルプライベートネットワーク上にあり、ネットワークセキュリティシステムの管理プレーンは、クラウドサービス内に、又はコーポレートネットワークとともに位置する。別のセキュアなネットワーク実装形態では、ＰＯＰは別様に分散され得る。
【0056】
システム１００は、特定のブロックを参照して本明細書で説明されるが、ブロックは、説明の便宜のために定義され、構成部品の特定の物理的配置を必要とすることを意図するものではないことを理解されたい。更に、ブロックは、物理的に別個のコンポーネントに対応する必要はない。物理的に別個のコンポーネントが使用される限りにおいて、コンポーネント間の接続は、必要に応じて有線及び／又は無線とすることができる。異なる要素又はコンポーネントは、単一のソフトウェアモジュールに組み合わせることができ、複数のソフトウェアモジュールは、同じ１つ以上のプロセッサ上で実行することができる。
【0057】
同様に、その部分をシステムコンポーネントとして表すことができる、このシステムの機能は、本明細書に記載されるのと同じ又は同様の結果を達成するために多様な方法で実装することができる。例えば、かかるシステムコンポーネントは、本明細書ではソフトウェア／ハードウェアコンポーネントとも称される、コンピュータソフトウェア及び／又はコンピュータハードウェアの組み合わせとしてそれぞれ実装することができる。システム機能の性能は、様々なスキームに従って配分され、本明細書に記載されるのと同じ又は同様の結果を達成するために、様々な別個のソフトウェア／ハードウェアコンポーネント内に実装され得る。機能の各部分は、別個のソフトウェア／ハードウェアコンポーネントに割り当てられ、実施されることができ、又は代わりに、１つ以上のハードウェア／ソフトウェアコンポーネントに組み合わされる（統合される）ことができる。
【0058】
更に、この技術は、互いに協働し通信する２つ以上の別個の異なるコンピュータ実装システムを使用して実装することができる。この技術は、プロセス、方法、装置、システム、デバイス、コンピュータ可読命令若しくはコンピュータプログラムコードを記憶するコンピュータ可読記憶媒体などのコンピュータ可読媒体として、又はコンピュータ可読プログラムコードがその中に具現化されたコンピュータ使用可能媒体を備えるコンピュータプログラム製品としてなど、多数の方法で実装され得る。
【0059】
開示される技術は、Ｏｒａｃｌｅ（商標）互換データベース実装、ＩＢＭ ＤＢ２ Ｅｎｔｅｒｐｒｉｓｅ Ｓｅｒｖｅｒ（商標）互換リレーショナルデータベース実装、ＭｙＳＱＬ（商標）若しくはＰｏｓｔｇｒｅＳＱＬ（商標）互換リレーショナルデータベース実装、又はＭｉｃｒｏｓｏｆｔ ＳＱＬ Ｓｅｒｖｅｒ（商標）互換リレーショナルデータベース実装、又はＶａｍｐｉｒｅ（商標）互換非リレーショナルデータベース実装、Ａｐａｃｈｅ Ｃａｓｓａｎｄｒａ（商標）互換非リレーショナルデータベース実装、ＢｉｇＴａｂｌｅ（商標）互換非リレーショナルデータベース実装、又はＨＢａｓｅ（商標）若しくはＤｙｎａｍｏＤＢ（商標）互換非リレーショナルデータベース実装などのＮｏＳＱＬ非リレーショナルデータベース実装のようなデータベースシステム又はリレーショナルデータベース実装を含む任意のコンピュータ実装システムとの関連で実装することができる。
【0060】
加えて、開示される技術は、ＭａｐＲｅｄｕｃｅ（商標）、バルク同期プログラミング、ＭＰＩプリミティブなどのような異なるプログラミングモデル、又はＡｍａｚｏｎ Ｅｌａｓｔｉｃｓｅａｒｃｈ Ｓｅｒｖｉｃｅ（商標）及びＡｍａｚｏｎ Ｋｉｎｅｓｉｓ（商標）、Ａｐａｃｈｅ Ｓｔｏｒｍ（商標）、Ａｐａｃｈｅ Ｓｐａｒｋ（商標）、Ａｐａｃｈｅ Ｋａｆｋａ（商標）、Ａｐａｃｈｅ Ｆｌｉｎｋ（商標）、Ｔｒｕｖｉｓｏ（商標）、ＩＢＭ Ｉｎｆｏ－Ｓｐｈｅｒｅ（商標）、Ｂｏｒｅａｌｉｓ（商標）及びＹａｈｏｏ！Ｓ４（商標）を含むＡｍａｚｏｎ Ｗｅｂ Ｓｅｒｖｉｃｅｓ（ＡＷＳ）（商標）のような異なるスケーラブルバッチ及びストリーム管理システムを使用して実装することができる。
【0061】
図２Ａは、ネットワーク１４５を介してクラウドベースのサービス１０８を利用するユーザ２０２を有するＮｅｔｓｋｏｐｅクラウドアクセスセキュリティブローカ（Ｎ－ＣＡＳＢ）１５５の高レベルブロック図２００を示す。ユーザ２０２は、コンピュータ１１２ａ～ｎ、タブレット１２２ａ～ｎ、及びモバイルデバイス１３２ａ～ｎなどの組織ネットワーク１０２内の様々なデバイスのうちのいずれかを動作させることができる。Ｎ－ＣＡＳＢ１５５は、ログイン、ファイル転送及び共有のようなウェブアプリケーション及び動作を制御し、データ及びアクセスにおける異常を検出することができる。セキュリティ機能は、アクセス制御、危険アセスメント、マルウェア検出、並びに異常な行動を識別するためのユーザ及びエンティティの行動分析（ＵＥＢＡ）を含む。
【0062】
図２Ａの説明を続けると、Ｎ－ＣＡＳＢ１５５は、アラートスコアリングエンジン２３５及びスコアマッピングエンジン２５５を含む。アラートスコアリングエンジン２３５は、ユーザ信頼度又は危険スコアを構築し、重大度によって分類され、かつ経時的に生成されるアラート重みの合計を各ユーザに対してスコアリングする。アラート重みへの各寄与は、組織のセキュリティポリシーが危険として扱うユーザによるアクティビティによって生成される。
【0063】
経時的なアラート重みは、時間の経過とともにアラート重みを減衰させる減衰係数の影響を受ける。スコアマッピングエンジン２５５は、スコアをユーザ及びエンタープライズエンティティに関連付ける。ユーザ危険スコアは、各ユーザの「危険レベル」を反映するために使用されるため、ユーザに関連付けられていないアラートは、危険スコアの計算において考慮されない。一実装形態では、ユーザ信頼度指数（ＵＣＩ）は、１０００－危険スコアである。危険スコアは、ユーザに関連付けられたアラートに基づいて計算される。これは、アラートの重大度を反映し、一定期間にわたって減衰する。危険スコアが高いほど、ユーザはより疑わしくなる。危険スコアは以下のように計算される。
【数1】
【0064】
Ｓｉは、重大度レベルに基づく単一のアラートのスコアであり、ｆｉは、アラートが発生したときに基づくアラートの減衰係数である。１つの例示的な実装形態では、時間減衰係数ｆｉは、７日間のウィンドウ内で危険スコアを線形に減衰させるために使用される。この例では、ｆｉは、１／７、２／７、３／７、４／７、５／７、６／７、及び１であることが可能であり、アラートの時間に依存する。本明細書に記載の一実装形態では、最終危険スコアは１０００に上限を設定される。別の実装形態では、最終危険スコアに異なる上限が設定されてもよい。
【0065】
アラート重大度の重みは、その重大度レベルに基づいて各アラートに割り当てられる。アラート重大度カテゴリのカテゴリ上限を次の表に列挙する。重大度カテゴリの使用の一例は、以下のｓのＵＩに示されている。
【表1】
【0066】
図２Ａの説明を更に続けると、ブロック図２００はまた、ユーザ信頼度スコアの報告を表示するためのＵＩ２７５の報告を含む。報告は、所定の時間にわたる時系列のユーザ信頼度若しくは危険スコア、並びに／あるいは現在のユーザ信頼度若しくは危険スコア、及び／又は経時的なアラート重みに寄与したユーザによるアクティビティの少なくともいくつかの詳細を含む。以下の図９に関連して、例示的なユーザ信頼度指標報告が説明され、示される。
【0067】
ブロック図２００はまた、人間が作成したアラート及び機械学習によって生成されたアラートを含む、異なる種類のユーザ及びエンティティ行動アラートのための異なるＮｅｔｓｋｏｐｅ検出器を有する。人間が作成したアラートをシーケンスアラートと呼び、ＭＬベースのアラートをバッチアラートと呼ぶ。シーケンスアラート検出器２３４は、着信イベントについての既知の行動パターンの検出時に、シーケンスアラートを生成する。ルールは、これらのパターンを、Ｎｅｔｓｋｏｐｅによって事前定義された、又は製品ＵＩを介してＮｅｔｓｋｏｐｅの顧客によって構成されたイベントのシーケンスとして記述するために使用される。１つの例示的な事前定義されたパターンは、既知の悪意のあるＩＰから、ユーザによるコーポレートクラウドストレージへのアクセスを試みることである。
【0068】
顧客によって構成されたカスタムパターンの例では、ユーザは、特定のアプリＢｏｘからファイルをダウンロードし、同じファイルをすぐに削除してから、このシーケンスを１０分以内に１０回繰り返す。このイベントの例示的なシーケンスは、「重要」アラートをトリガするように構成することができる。
【0069】
グループは、ユーザ／エンティティを類似するピアにクラスタリングするために使用される。最小のグループは、ユーザ自身又はエンティティ自体であり得、単一のピアがグループ内に示される。最大のグループは、全てのユーザと全てのエンティティが同じグループ内にあるテナント全体とすることができる。
【0070】
単一のピアグループ及びテナントグループに加えて、Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒ（ＡＤ）などの識別情報及びアクセス管理（ＩＡＭ）プロパティ、ロケーション、又は顧客によって提供される他の事前定義されたロジックに基づいて、多くの可能なグループが存在し得る。しかしながら、これらの事前定義された静的に決定されたグループには、ユーザが複数のグループに属することができ、グループを相関させるための定義は存在しない、という制限がある。ＡＤ情報、及び／又は顧客が事前定義したグループは、間違っているか、古くなっているか、又は単にユーザ行動と整合していない可能性がある。いくつかの用途では、そのようなグループは、統計的に大きすぎる場合もあれば、小さすぎる場合もある。
【0071】
そのような事前定義されたグループからの欠点を克服するために、開示される動的グループ化は、非常に有用であり得る。動的グループ化は、事前定義されたグループに基づいてその行動を最良にモデル化できるグループにユーザ／エンティティを割り当てることができる。動的グループ化は、（ＡＤ、ロケーション、及び他の情報を考慮せずに）その行動のみに基づいてその行動を最良にモデル化できるグループにユーザ／エンティティを割り当てることもできる。したがって、動的グループ化は、距離メトリック及びクラスタリングアルゴリズムに基づいて経時的に変化し得る複数のピアグループを可能にすることができる。
【0072】
バッチアラート検出器２５４は、ユーザデータを収集し、クラスタリングを使用して、ユーザが特定のグループに属する可能性を決定する。ピアグループは、機械学習アルゴリズムを使用して、それらの行動パターンに基づいて動的に生成される。ユーザ行動の値は、グループごとの行動値と比較される。バッチアラート検出器２５４は、ヒューリスティックパフォーマンスに基づく統計ベースのアルゴリズムを利用して、ブルートフォース及び悪意のあるインサイダーアクションを含む、ユーザの通常の使用行動から逸脱する多数のファイルのダウンロード又はアップロードなど、ユーザ行動の外れ値を検出する。開示されるバッチアラート検出器２５４は、非パラメトリックモデリングを利用し、カーネル密度推定（ＫＤＥ）が、有限データサンプルのための平滑化技法として適用される。非パラメトリックモデリングの場合、本明細書に完全に援用される「ＫＤＥ Ｈｙｐｅｒ Ｐａｒａｍｅｔｅｒ Ｄｅｔｅｒｍｉｎａｔｉｏｎ」、Ｙｉ Ｚｈａｎｇ ｅｔ ａｌ．、Ｎｅｔｓｋｏｐｅ，Ｉｎｃ．に記載されているように、モデルのハイパーパラメータが決定される。
【0073】
次に、これら２種類のアラートの危険スコア／信頼度スコア計算において使用されるフィールドについて説明する。本文書に含まれるいくつかの例では、個人を特定できる情報（ＰＩＩ）は難読化され、場合によっては、ＰＩＩのプライバシー基準を遵守するために数値が変更されることがある。アラートの例には、とりわけ、以下のフィールドが含まれる。（１）アラートの「ｓｖ」重大度、この文字列は、重大度カテゴリでアラートをマッピングするために使用される。（２）イベント／アラートが発生したときの「ｔｓ」タイムスタンプ、Ｕｎｉｘエポック形式のイベントタイムスタンプを有し、減衰係数計算において使用可能である。（３）「ｕｒ」：アラートをユーザにマッピングするために使用可能なユーザ電子メール文字列。（４）「ｓｌｃ」：ソースロケーション。（５）「ｐ＿ｖａｌｕｅ」：このアラートがどの程度異常であるかを示すインジケータ。この情報は、バッチアラートに存在する。すなわち、ｐ値は、任意選択で、異常性重みを計算するために使用される。
【0074】
バッチアラート検出器２５４の１つの開示される実装形態では、ＫＤＥハイパーパラメータｐ＿値は、訓練データ内の最大値の３～５倍の値を得るように計算される。最大訓練データ値の３倍未満の値は、直接的に（ｐ＿ｖａｌｕｅ計算なしで）通常として扱われる。最大訓練データの５倍を超える値は、直接的に（ｐ＿ｖａｌｕｅ計算なしで）異常として扱われる。ｐ＿ｖａｌｕｅ推奨閾値：ｅ－５。ファイルサイズの帯域幅を０．０５、カウントの帯域幅を１．５に設定する。帯域幅は、訓練サンプルの数で動的に調整され得る。より少ない数の訓練サンプルは、より大きい帯域幅を必要とする。リーフサイズを４０に設定する。
【0075】
例示的なシーケンスアラートを以下に列挙する。
｛
“ｕｒ”：“＜ＰＩＩは示されない＞”，
“ｓｖ”：“高”，
“ｔｓ”：１６０７４５６８７８，
｝
｛
“ｕｒ”：“＜ＰＩＩは示されない＞”，
“ｓｖ”：“高”，
“ｔｓ”：１６０７４５６８７８，
｝
【0076】
例示的なバッチアラートを以下に列挙する。
｛
“ｓｖ”：“中”，
“ｕｒ”：“＜ＰＩＩは示されない＞”，
“ｔｓ”：１６０７５５４８００，
“ｐ＿ｖａｌｕｅ”：｛
“ユーザ”，１ｅ－１４，
“テナント”：１ｅ－１４
｝，
｝
｛
“ｓｖ”：“中”，
“ｕｒ”：“＜ＰＩＩは示されない＞”，
“ｔｓ”：１６０７５５４８００，
“ｐ＿ｖａｌｕｅ”：｛
“ユーザ”，１ｅ－１４，
“テナント”：１ｅ－１４
｝，
｝
【0077】
バッチアラート検出器２５４は、ピアグループ化を利用して、ＵＥＢＡをより弾性的にし、偽陽性を減少させる。バッチアラート検出器２５４は、識別情報及びアクセス管理（ＩＡＭ）プロパティに基づいて、ユーザのグループを形成し、それらのそれぞれのＩＡＭプロパティに基づいて初期に割り当てられたグループにユーザを割り当て、アプリケーション使用頻度を含む個々のユーザ行動を記録する。グループを割り当てるための別の例示的なプロパティは、共通の顧客とのアフィリエーションである。
【0078】
バッチアラート検出器２５４は、記録された個々のユーザ行動をグループ内のユーザの統計的プロファイル内のユーザ行動と比較することに基づいて、初期割り当てグループとは異なる再編成されたグループを個々のユーザに動的に割り当てる。個々のユーザの進行中の行動の間の異常なイベントの評価及び報告は、再編成されたグループの統計的プロファイルからの逸脱に基づいており、任意選択で、個々の統計的プロファイルからの逸脱に基づいている。同じロケーションのユーザは、類似のアプリを使用する傾向がある。
【0079】
例えば、エンジニアリンググループは、同じ統合開発環境（ＩＤＥ）ツールを使用する可能性が高く、管理スタッフメンバーは、しばしば同じオフィス管理ツールを使用する。バッチアラート検出器２５４は、一実装形態ではＩＡＭプロパティを介して決定されたアプリを用いて、アプリの使用に基づいてユーザをグループ化する。ユーザによって利用されているアプリは、１つのシナリオでは、アクティブディレクトリ（ＡＤ）によって提供されたデータから収集され、ＩＡＭは、異なる実装形態では、オープン軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）であり得る。
【0080】
図２Ｂは、バッチアラート検出器２５４によって使用されるための、ユーザのグループについてのアプリイベントの例示的なリストを、アプリ２０４のリストの各々についての各ユーザ２８２によるイベントのカウントとともに示す。ＩＡＭから収集された情報の例、この例ではＡＤを以下に列挙する。
“ｕｓｅｒ＿１６６１４９”：｛“ａｄ”：［“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ａｇ＿Ｍｅｄｉｏ”，“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／ＡＰＰｓ／ＣＡＳＢ”］｝，
“ｕｓｅｒ＿１６６１４８”：｛“ａｄ”：［“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ｓｔａｆｆ＿Ｒｉｂ”］｝，
“ｕｓｅｒ＿１６６１４１”：｛“ａｄ”：［“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／ＡＰＰｓ／ＣＡＳＢ”，“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ａｇ＿Ｍｅｄｉｏ”］｝，
“ｕｓｅｒ＿１６６１４０”：｛“ａｄ”：［“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／ＡＰＰｓ／ＣＡＳＢ”，“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ａｇ＿Ｍｅｄｉｏ”］｝，
“ｕｓｅｒ＿１６６１４３”：｛“ａｄ”：［“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／ＡＰＰｓ／ＣＡＳＢ”，“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ａｇ＿Ｍｅｄｉｏ”］｝，
“ｕｓｅｒ＿１６６１４２”：｛“ａｄ”：［“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ｓｔａｆｆ＿Ｄｅｓａｒｒｏｌｌｏ”］｝，“ｕｓｅｒ＿１６６１４５”：｛“ａｄ”：［“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／ＡＰＰｓ／ＣＡＳＢ”，“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ｓｔａｆｆ＿Ｂａｓｉｃｏ”］｝，
“ｕｓｅｒ＿１６６１４４”：｛“ａｄ”：［“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／ＡＰＰｓ／ＣＡＳＢ”，“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ａｇ＿Ｍｅｄｉｏ”］｝
“ｕｓｅｒ＿１６６１４９”：｛“ａｄ”：［“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ａｇ＿Ｍｅｄｉｏ”，“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／ＡＰＰｓ／ＣＡＳＢ”］｝，
“ｕｓｅｒ＿１６６１４８”：｛“ａｄ”：［“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ｓｔａｆｆ＿Ｒｉｂ”］｝，
“ｕｓｅｒ＿１６６１４１”：｛“ａｄ”：［“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／ＡＰＰｓ／ＣＡＳＢ”，“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ａｇ＿Ｍｅｄｉｏ”］｝，
“ｕｓｅｒ＿１６６１４０”：｛“ａｄ”：［“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／ＡＰＰｓ／ＣＡＳＢ”，“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ａｇ＿Ｍｅｄｉｏ”］｝，
“ｕｓｅｒ＿１６６１４３”：｛“ａｄ”：［“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／ＡＰＰｓ／ＣＡＳＢ”，“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ａｇ＿Ｍｅｄｉｏ”］｝，
“ｕｓｅｒ＿１６６１４２”：｛“ａｄ”：［“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ｓｔａｆｆ＿Ｄｅｓａｒｒｏｌｌｏ”］｝，“ｕｓｅｒ＿１６６１４５”：｛“ａｄ”：［“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／ＡＰＰｓ／ＣＡＳＢ”，“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ｓｔａｆｆ＿Ｂａｓｉｃｏ”］｝，
“ｕｓｅｒ＿１６６１４４”：｛“ａｄ”：［“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／ＡＰＰｓ／ＣＡＳＢ”，“ｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ａｇ＿Ｍｅｄｉｏ”］｝
【0081】
ここでは、アプリグループ化のための動的グループ化アルゴリズムについて説明する。第１のステップでは、バッチアラート検出器が各アプリグループのサイズを計算する。このステップでは、元の割り当てられたグループが各ユーザに対して利用される。上記の例では、ｕｓｅｒ＿１６６１４９は、グループｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ａｇ＿Ｍｅｄｉｏ及びグループｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／ＡＰＰｓ／ＣＡＳＢにおいてカウントされ、一方、ｕｓｅｒ＿１６６１４８は、グループｂｃｆ．ｐｖｔ／ＧＥＳＴＩＯＮ／ＧＲＵＰＯＳ／インターネット／ＰＸ＿Ｓｔａｆｆ＿Ｒｉｂにのみ含まれる。
【0082】
グループは、サイズに基づいてフィルタリングされ、小さすぎるか又は大きすぎるかのいずれかである無効なグループを除外する。小さすぎるグループ（通常は１００人未満又は組織人口の１０％未満）、又は大きすぎるグループ（通常は５００人超又は組織人口全体の８０％超）は考慮されない。検討中のグループは、有効なグループと呼ばれる。
【0083】
次のステップは、前の週のアプリの使用データに基づいて、有効なアプリグループごとにｏｎｅ－ｖｓ－ｔｈｅ－ｒｅｓｔでの分類子を訓練することを含む。グループごとにｏｎｅ－ｖｓ－ｔｈｅ－ｒｅｓｔでの分類子を訓練するためにＬｉｇｈｔ Ｇｒａｄｉｅｎｔ Ｂｏｏｓｔｉｎｇ Ｍａｃｈｉｎｅ（ＬｉｇｈｔＧＢＭ）が使用される。異なる実装形態では、異なるｏｎｅ－ｖｅｒｓｕｓ－ｒｅｓｔでのクラスタリングマシンを使用することができる。
【0084】
各グループについて、アプリグループにカウントされるユーザは、陽性のインスタンスとみなされ、他のユーザは陰性のインスタンスとみなされる。次のアルゴリズムステップでは、全ての分類子を各ユーザに適用し、ユーザが９０％を超える信頼度のグループ内で陽性として分類されている場合、グループタグをユーザに割り当てる。次に、信頼度レベル及びグループサイズなどの他のメトリックに基づいて、各ユーザのタグをソートする。
【0085】
次に列挙されるのは、単一のイベントレコードの例であり、太字のテキストは、動的グループ化に使用されるフィールドを強調表示している。この例では、アプリはＭｉｃｒｏｓｏｆｔ Ｏｆｆｉｃｅ ３６５ ＯｎｅＤｒｉｖｅ ｆｏｒ Ｂｕｓｉｎｅｓｓであり、行為は名前変更であり、ソースのロケーションはＥｒｍｉｎｇｔｏｎである。ロケーショングループを生成する際にソース領域情報を使用する。
｛“＿ｉｄ”：“ｅｃ３ｅａｄ７ｅｃ４ａ５３３７７８ｆ６ｂ９１１７”，“ｎｓｄｅｖｉｃｅｕｉｄ”：“０ＡＢＢ９８０Ｄ－Ｆ６９３－０ＢＥ０－０６１９－ＢＣ９４Ａ１２Ｂ６６ＤＣ”，“ｓｒｃ＿ｇｅｏｉｐ＿ｓｒｃ”：２，“ｔｔｙ”：“クラウドアプリ”，“ｃｎ”：１，“＿ｃｔｇ”：［“１０００９”，“５６４”，“１０００２”，“１０００７”，“１００１４”，“１０００３”，“１００１６”，“７”］，“＿ｎｏｔｉｆｙ”：“｛＼“間隔＼”：＼“－１＼”｝”，“ｏｓｖ”：“Ｗｉｎｄｏｗｓ１０”，“ａｐ”：“Ｍｉｃｒｏｓｏｆｔ Ｏｆｆｉｃｅ ３６５ ＯｎｅＤｒｉｖｅ ｆｏｒ Ｂｕｓｉｎｅｓｓ”，“ｄｖｃ”：“未構成”，“＿ｔｉｄ”：“マスキングされたＰＩＩ情報”，“ａｐｃ”：“クラウドストレージ”，“＿ｒｅｓｏｕｒｃｅ＿ｎａｍｅ”：“ｃｒｅａｔｅ＿ｅｄｉｔ＿ｄｅｌｅｔｅ＿ｆｉｌｅ＿ｆｏｌｄｅｒ＿Ｍａｃ”，“ａｌｒ”：“いいえ”，“＿ｃｔｓ”：“２０１９－１２－１２Ｔ１７：４８：０９．９８５Ｚ”，“ｍａｎａｇｅｍｅｎｔＩＤ”：“３２ＥＢ０６３６０４Ｄ０Ｆ９４Ｅ９５Ｄ５３Ｃ０ＡＤ７１７５ＦＢＡ”，“＿ｎｓｈｏｓｔｐｏｐ”：“ＡＵ－ＭＥＬ１”，“ｄｌｃ”：［－９３．６０９１０８，４１．６００５４］，“ｉｎｉｄ”：“ＸＸ”，“ｓｉｐ”：“ｘ．ｘ．ｘ．ｘ”，“ｐａｇｅ＿ｓｉｔｅ”：“Ｍｉｃｒｏｓｏｆｔ Ｏｆｆｉｃｅ ３６５ ＯｎｅＤｒｉｖｅ ｆｏｒ Ｂｕｓｉｎｅｓｓ”，“重大度”：“不明”，“ｔｙ”：“ｎｓｐｏｌｉｃｙ”，“＿ｃａｔｅｇｏｒｙ＿ｉｄ”：“１０００７”，“ｄｚ”：“Ｎ／Ａ”，“ｔｓ”：１５７６１７２８８８，“ｍａｎａｇｅｄ＿ａｐｐ”：“はい”，“ｃｃｌ”：“優れた”，“ｐｇ”：“ＸＸＸ”，“ｓｉｄ”：“４７３７００７０８８６４９４１４８１０”，“ｃｎｉｄ”：“８８９７１９５９４３２２９０８６９２０”，“ｕｒ＿ｎｏｒｍａｌｉｚｅｄ”：“ＸＸＸ”，“ｕｒｉｐ”：“ｘ．ｘ．ｘ．ｘ”，“ｄｌ”：“Ｄｅｓ Ｍｏｉｎｅｓ”，“ｓｚ”：“２１１５”，“行為”：“名前変更”，“ｄｃ”：“ＵＳ”，“支払い済み”：“３ｃ７ａ１ａｃ３０ａ１３４ｅｆｃａｂ９８ｅ６ｅ６３ａ８ｂ３０３２”，“＿ｉｔｓ”：１５７６１７２８９０，“ｂｒ”：“ネイティブ”，“ｐｌｃ”：“Ａｌｌｏｗ Ｉｎｄｏ ＦＵＬＬ”，“ｏｓ”：“Ｗｉｎｄｏｗｓ１０”，“ｄｓｔ＿ｇｅｏｉｐ＿ｓｒｃ”：１，“ｄｖ”：“Ｗｉｎｄｏｗｓデバイス”，“ｄｓｔ＿ｔｉｍｅｚｏｎｅ”：“Ｎ／Ａ”，“ｄｒ”：“アイオワ”，“ｏｕ”：“ａｕｓ．ｃｃａｍａｔｉｌ．ｃｏｍ／アカウント／ユーザ／制限付き”，“ｓｔｅ”：“Ｍｉｃｒｏｓｏｆｔ Ｏｆｆｉｃｅ ３６５ ＯｎｅＤｒｉｖｅ ｆｏｒ Ｂｕｓｉｎｅｓｓ”，“＿ｎｓｈｏｓｔｎａｍｅ”：“ｄｐｐｏｏｌ４－１－ｅｇｒｅｓｓ”，“ｆｕｒ”：“ＸＸＸ”，“ｔｌａｐ”：“”，“ｈｎ”：“ＤＥＳＫＴＯＰ－０ＰＬ５２２Ｈ”，“ｓｒ”：“ニューサウスウェールズ”，“ｔｘｎｉｄ”：“３１２３１２２０２６７６６２７１０４０”，“ｂｒｓｉｄ”：“５０６４７６４１７６８４０５３２２１６”，“ａｃｍ”：“クライアント”，“ｕｒ”：“ＸＸＸ”，“ｕｒｌ”：“ＸＸＸＸＸ”，“ｏｂｊ”：“ＸＸＸ”，“ｕｋ”：“ＸＸＸ”，“ｓｌ”：“Ｅｒｍｉｎｇｔｏｎ”，“ｓｃ”：“ＡＵ”，“＿ｓｓｂｇ”：“０”，“ｏｂｔ”：“ファイル”，“ｄｉｐ”：“ｘ．ｘ．ｘ．ｘ”，“ｓｌｃ”：［１５１．０５８４，－３３．８１２６］｝
｛“＿ｉｄ”：“ｅｃ３ｅａｄ７ｅｃ４ａ５３３７７８ｆ６ｂ９１１７”，“ｎｓｄｅｖｉｃｅｕｉｄ”：“０ＡＢＢ９８０Ｄ－Ｆ６９３－０ＢＥ０－０６１９－ＢＣ９４Ａ１２Ｂ６６ＤＣ”，“ｓｒｃ＿ｇｅｏｉｐ＿ｓｒｃ”：２，“ｔｔｙ”：“クラウドアプリ”，“ｃｎ”：１，“＿ｃｔｇ”：［“１０００９”，“５６４”，“１０００２”，“１０００７”，“１００１４”，“１０００３”，“１００１６”，“７”］，“＿ｎｏｔｉｆｙ”：“｛＼“間隔＼”：＼“－１＼”｝”，“ｏｓｖ”：“Ｗｉｎｄｏｗｓ１０”，“ａｐ”：“Ｍｉｃｒｏｓｏｆｔ Ｏｆｆｉｃｅ ３６５ ＯｎｅＤｒｉｖｅ ｆｏｒ Ｂｕｓｉｎｅｓｓ”，“ｄｖｃ”：“未構成”，“＿ｔｉｄ”：“マスキングされたＰＩＩ情報”，“ａｐｃ”：“クラウドストレージ”，“＿ｒｅｓｏｕｒｃｅ＿ｎａｍｅ”：“ｃｒｅａｔｅ＿ｅｄｉｔ＿ｄｅｌｅｔｅ＿ｆｉｌｅ＿ｆｏｌｄｅｒ＿Ｍａｃ”，“ａｌｒ”：“いいえ”，“＿ｃｔｓ”：“２０１９－１２－１２Ｔ１７：４８：０９．９８５Ｚ”，“ｍａｎａｇｅｍｅｎｔＩＤ”：“３２ＥＢ０６３６０４Ｄ０Ｆ９４Ｅ９５Ｄ５３Ｃ０ＡＤ７１７５ＦＢＡ”，“＿ｎｓｈｏｓｔｐｏｐ”：“ＡＵ－ＭＥＬ１”，“ｄｌｃ”：［－９３．６０９１０８，４１．６００５４］，“ｉｎｉｄ”：“ＸＸ”，“ｓｉｐ”：“ｘ．ｘ．ｘ．ｘ”，“ｐａｇｅ＿ｓｉｔｅ”：“Ｍｉｃｒｏｓｏｆｔ Ｏｆｆｉｃｅ ３６５ ＯｎｅＤｒｉｖｅ ｆｏｒ Ｂｕｓｉｎｅｓｓ”，“重大度”：“不明”，“ｔｙ”：“ｎｓｐｏｌｉｃｙ”，“＿ｃａｔｅｇｏｒｙ＿ｉｄ”：“１０００７”，“ｄｚ”：“Ｎ／Ａ”，“ｔｓ”：１５７６１７２８８８，“ｍａｎａｇｅｄ＿ａｐｐ”：“はい”，“ｃｃｌ”：“優れた”，“ｐｇ”：“ＸＸＸ”，“ｓｉｄ”：“４７３７００７０８８６４９４１４８１０”，“ｃｎｉｄ”：“８８９７１９５９４３２２９０８６９２０”，“ｕｒ＿ｎｏｒｍａｌｉｚｅｄ”：“ＸＸＸ”，“ｕｒｉｐ”：“ｘ．ｘ．ｘ．ｘ”，“ｄｌ”：“Ｄｅｓ Ｍｏｉｎｅｓ”，“ｓｚ”：“２１１５”，“行為”：“名前変更”，“ｄｃ”：“ＵＳ”，“支払い済み”：“３ｃ７ａ１ａｃ３０ａ１３４ｅｆｃａｂ９８ｅ６ｅ６３ａ８ｂ３０３２”，“＿ｉｔｓ”：１５７６１７２８９０，“ｂｒ”：“ネイティブ”，“ｐｌｃ”：“Ａｌｌｏｗ Ｉｎｄｏ ＦＵＬＬ”，“ｏｓ”：“Ｗｉｎｄｏｗｓ１０”，“ｄｓｔ＿ｇｅｏｉｐ＿ｓｒｃ”：１，“ｄｖ”：“Ｗｉｎｄｏｗｓデバイス”，“ｄｓｔ＿ｔｉｍｅｚｏｎｅ”：“Ｎ／Ａ”，“ｄｒ”：“アイオワ”，“ｏｕ”：“ａｕｓ．ｃｃａｍａｔｉｌ．ｃｏｍ／アカウント／ユーザ／制限付き”，“ｓｔｅ”：“Ｍｉｃｒｏｓｏｆｔ Ｏｆｆｉｃｅ ３６５ ＯｎｅＤｒｉｖｅ ｆｏｒ Ｂｕｓｉｎｅｓｓ”，“＿ｎｓｈｏｓｔｎａｍｅ”：“ｄｐｐｏｏｌ４－１－ｅｇｒｅｓｓ”，“ｆｕｒ”：“ＸＸＸ”，“ｔｌａｐ”：“”，“ｈｎ”：“ＤＥＳＫＴＯＰ－０ＰＬ５２２Ｈ”，“ｓｒ”：“ニューサウスウェールズ”，“ｔｘｎｉｄ”：“３１２３１２２０２６７６６２７１０４０”，“ｂｒｓｉｄ”：“５０６４７６４１７６８４０５３２２１６”，“ａｃｍ”：“クライアント”，“ｕｒ”：“ＸＸＸ”，“ｕｒｌ”：“ＸＸＸＸＸ”，“ｏｂｊ”：“ＸＸＸ”，“ｕｋ”：“ＸＸＸ”，“ｓｌ”：“Ｅｒｍｉｎｇｔｏｎ”，“ｓｃ”：“ＡＵ”，“＿ｓｓｂｇ”：“０”，“ｏｂｔ”：“ファイル”，“ｄｉｐ”：“ｘ．ｘ．ｘ．ｘ”，“ｓｌｃ”：［１５１．０５８４，－３３．８１２６］｝
【0086】
ここでは、ロケーショングループ化のための動的グループ化アルゴリズムについて説明する。第１のステップでは、履歴イベントレコード内の各ユーザのロケーション情報を取得し、ユーザの統計的プロファイルを生成し、各ユーザについて、候補ロケーショングループとして、初期に割り当てられたグループにユーザを割り当て、そのサイズに基づいて無効なロケーショングループをフィルタリングして除去する。一実装形態では、各ユーザは、そのアクティビティの９５％をカバーするロケーショングループに関連付けられる。異なる実装形態では、アクティビティの異なるパーセンテージが利用され得る。ロケーショングループが小さすぎる（通常は１００人未満又は組織人口全体の１０％未満）、又は大きすぎるロケーショングループ（通常は５００人超又は組織人口の８０％超）は考慮されない。検討中のグループは、有効なロケーショングループと呼ばれる。
【0087】
例えば、ｕｓｅｒ１に１０００個のイベントレコードがあり、ロケーション分布がサンタクララ：９８０、ミシガン：２０である場合、ユーザの候補ロケーショングループはサンタクララである。ｕｓｅｒ２に１０００個のイベントレコードがあり、ロケーション分布がサンタクララ：６５０、ワシントン：２００、北京：１２０、及びパリ：３０である場合、ｕｓｅｒ２の候補ロケーショングループは、サンタクララ、ワシントン、及び北京である。これは、ｕｓｅｒ１がサンタクララグループのユーザとしてカウントされ、ｕｓｅｒ２がサンタクララ、ワシントン、及び北京グループのユーザとしてカウントされることを意味する。
【0088】
次のステップは、サイズに基づいてロケーショングループをフィルタリングすることである。ロケーショングループが小さすぎる（典型的には１００人未満又は組織人口の１０％未満）、又は大きすぎるロケーショングループ（典型的には５００人超又は組織人口の８０％超）は考慮されない。検討中のロケーショングループは、有効なロケーショングループと呼ばれる。
【0089】
次のステップは、有効なロケーショングループごとにｏｎｅ－ｖｓ－ｔｈｅ－ｒｅｓｔでの分類子を訓練することを含む。一実装形態では、前の４週間のデータを使用して、各グループのｏｎｅ－ｖｓ－ｔｈｅ－ｒｅｓｔでの分類子を訓練する。異なる実装形態では、異なるｏｎｅ－ｖｅｒｓｕｓ－ｒｅｓｔでのクラスタリングマシンを使用することができる。
【0090】
各ロケーショングループについて、グループにカウントされるユーザは、陽性のインスタンスとみなされ、他のユーザは陰性のインスタンスとみなされる。次に、全ての分類子を各ユーザに適用し、ユーザが９０％を超える信頼度のロケーショングループ内で陽性として分類されている場合、タグをユーザに割り当て、信頼度レベル及びグループサイズ、グループ純度などの他のメトリックに基づいて、各ユーザのロケーションタグをソートする。グループ純度は、訓練されたモデルがグループをどの程度確実に記述するか又は表すことができるかを指し、この場合、訓練データに対する訓練されたＬｉｇｈｔＧＢＭモデルの精度によって測定される。
【0091】
例えば、ＬｉｇｈｔＧＢＭモデルが十分に訓練（収束）された後、訓練データに対して９８％の精度を達成することができる。そのような精度は、グループが十分に形成されており、モデルが、ユーザがこのグループに属するかどうかを決定するために確実に使用できることを示す。一方、ＬｉｇｈｔＧＢＭモデルがよく訓練された後、訓練データに対して７０％の精度しか達成できない場合、それは、グループが本質的にしっかりと形成されていないことを意味する。グループ内にはより多くの差異があり得る。そのようなモデルは、ユーザのグループを決定するために使用される場合、信頼性が低いであろう。
【0092】
バッチアラート検出器２５４は、記録された個々のユーザ行動をグループ内のユーザの統計的プロファイル内のユーザ行動と比較することに基づいて、初期割り当てグループとは異なる再編成されたグループを個々のユーザに動的に割り当てる。ロケーショングループタグの例を以下に列挙する。２つの出力は、各グループについてｏｎｅ－ｖｓ－ｔｈｅ－ｒｅｓｔでの分類子であり、各ユーザは、上記のプロセスの結果として、それらが類似しているグループに割り当てられる。２人のユーザ、ｕｓｅｒ１及びｕｓｅｒ２のグループ化出力の例を以下に列挙する。
“ｕｓｅｒ１”：［
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／スイッチ／＿Ｇｌｏｂａｌ／セキュリティグループ／ソフトウェア開発／ユーザ／ＳＤ＿Ａｌｂｅｒ－ＢａｔｔｅｒｙＡｎａｌｙｓｉｓ”，
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／電子メール配信グループ／ＣＩＯＰＳ－Ｄｉｓｔｒｏｓ／（ＤＬ）ＣＩＯＰＳ”］“ｓｗｉｔｃｈｎｅｔ．ｎｖ／セキュリティグループ／グループフォルダパーミッション／Ｇｌｏｂａｌ Ｓｈａｒｅ ＲＷ”，“ｓｗｉｔｃｈｎｅｔ．ｎｖ／スイッチ／＿Ｇｌｏｂａｌ／アプリケーション／Ｃｏｎｃｕｒ／グループ／Ｃｏｎｃｕｒ－Ｕｓｅｒｓ”，“ｓｗｉｔｃｈｎｅｔ．ｎｖ／スイッチ／＿Ｇｌｏｂａｌ／アプリケーション／ＲＳＡ／グループ／ＲＳＡ－ＶＰＮ－ＬＡＳ”，
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／電子メール配信グループ／（ＤＬ）スタッフ”］
“ｕｓｅｒ２”：［
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／スイッチ／＿Ｇｌｏｂａｌ／セキュリティグループ／ソフトウェア開発／ユーザ／ＳＤ＿Ａｌｂｅｒ－ＢａｔｔｅｒｙＡｎａｌｙｓｉｓ”，
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／スイッチ／＿Ｇｌｏｂａｌ／セキュリティグループ／ソフトウェア開発／ユーザ／ＳＤ＿ＡｕｔｏＨｏｔＫｅｙ”，
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／電子メール配信グループ／ＣＩＯＰＳ－Ｄｉｓｔｒｏｓ／（ＤＬ）ＣＩＯＰＳ”，
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／セキュリティグループ／グループフォルダパーミッション／Ｇｌｏｂａｌ Ｓｈａｒｅ ＲＷ”，“ｓｗｉｔｃｈｎｅｔ．ｎｖ／スイッチ／＿Ｇｌｏｂａｌ／アプリケーション／Ｃｏｎｃｕｒ／グループ／Ｃｏｎｃｕｒ－Ｕｓｅｒｓ”，“ｓｗｉｔｃｈｎｅｔ．ｎｖ／スイッチ／＿Ｇｌｏｂａｌ／アプリケーション／ＲＳＡ／グループ／ＲＳＡ－ＶＰＮ－ＬＡＳ”，
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／電子メール配信グループ／（ＤＬ）スタッフ”，
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／電子メール配信グループ／ＣＩＯＰＳ－Ｄｉｓｔｒｏｓ／ＣｉｏｐｓＴｅａｍ”，“ｓｗｉｔｃｈｎｅｔ．ｎｖ／スイッチ／＿Ｇｌｏｂａｌ／ウェブフィルタ／報告グループ／ＷＦ－Ｔｈｏｍａｓ＿Ｍｏｒｔｏｎ”］
“ｕｓｅｒ１”：［“ラスベガス”］
“ｕｓｅｒ２”：［“ラスベガス”，“リノ”］
“ｕｓｅｒ３”：［“ソルトレイクシティ”］
“ｕｓｅｒ１”：［
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／スイッチ／＿Ｇｌｏｂａｌ／セキュリティグループ／ソフトウェア開発／ユーザ／ＳＤ＿Ａｌｂｅｒ－ＢａｔｔｅｒｙＡｎａｌｙｓｉｓ”，
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／電子メール配信グループ／ＣＩＯＰＳ－Ｄｉｓｔｒｏｓ／（ＤＬ）ＣＩＯＰＳ”］“ｓｗｉｔｃｈｎｅｔ．ｎｖ／セキュリティグループ／グループフォルダパーミッション／Ｇｌｏｂａｌ Ｓｈａｒｅ ＲＷ”，“ｓｗｉｔｃｈｎｅｔ．ｎｖ／スイッチ／＿Ｇｌｏｂａｌ／アプリケーション／Ｃｏｎｃｕｒ／グループ／Ｃｏｎｃｕｒ－Ｕｓｅｒｓ”，“ｓｗｉｔｃｈｎｅｔ．ｎｖ／スイッチ／＿Ｇｌｏｂａｌ／アプリケーション／ＲＳＡ／グループ／ＲＳＡ－ＶＰＮ－ＬＡＳ”，
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／電子メール配信グループ／（ＤＬ）スタッフ”］
“ｕｓｅｒ２”：［
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／スイッチ／＿Ｇｌｏｂａｌ／セキュリティグループ／ソフトウェア開発／ユーザ／ＳＤ＿Ａｌｂｅｒ－ＢａｔｔｅｒｙＡｎａｌｙｓｉｓ”，
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／スイッチ／＿Ｇｌｏｂａｌ／セキュリティグループ／ソフトウェア開発／ユーザ／ＳＤ＿ＡｕｔｏＨｏｔＫｅｙ”，
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／電子メール配信グループ／ＣＩＯＰＳ－Ｄｉｓｔｒｏｓ／（ＤＬ）ＣＩＯＰＳ”，
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／セキュリティグループ／グループフォルダパーミッション／Ｇｌｏｂａｌ Ｓｈａｒｅ ＲＷ”，“ｓｗｉｔｃｈｎｅｔ．ｎｖ／スイッチ／＿Ｇｌｏｂａｌ／アプリケーション／Ｃｏｎｃｕｒ／グループ／Ｃｏｎｃｕｒ－Ｕｓｅｒｓ”，“ｓｗｉｔｃｈｎｅｔ．ｎｖ／スイッチ／＿Ｇｌｏｂａｌ／アプリケーション／ＲＳＡ／グループ／ＲＳＡ－ＶＰＮ－ＬＡＳ”，
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／電子メール配信グループ／（ＤＬ）スタッフ”，
“ｓｗｉｔｃｈｎｅｔ．ｎｖ／電子メール配信グループ／ＣＩＯＰＳ－Ｄｉｓｔｒｏｓ／ＣｉｏｐｓＴｅａｍ”，“ｓｗｉｔｃｈｎｅｔ．ｎｖ／スイッチ／＿Ｇｌｏｂａｌ／ウェブフィルタ／報告グループ／ＷＦ－Ｔｈｏｍａｓ＿Ｍｏｒｔｏｎ”］
“ｕｓｅｒ１”：［“ラスベガス”］
“ｕｓｅｒ２”：［“ラスベガス”，“リノ”］
“ｕｓｅｒ３”：［“ソルトレイクシティ”］
【0093】
バッチアラート検出器２５４は、ユーザの現在の行動を分析するときに、開示される動的グループ化を利用して、ユーザ行動をユーザ及びグループの両方の統計的プロファイルと比較し、アラートがいつ生成される必要があるかを決定する。
【0094】
図２Ｃは、ユーザ行動分析（ＵＢＡ）機械学習バッチ検出器２５４の結果を報告するための例示的なＵＩを示す。この報告は、Ｐ値に基づいて異常を識別するために、同じユーザ及びそれらのピアグループのベースライン統計モデルと比較したユーザの最新の行動を示す。この例では、アップロードされたデータの異常な大きいサイズが報告される。特定のユーザ２４５が１時間ごとに３Ｇｂのファイルのアップロードを実施する可能性は、グループアクティビティベースライン２４６に基づいて１／５０００の可能性を、及び個々のアクティビティベースライン２４５に基づいて１／１００００の可能性を有する。ユーザの１時間ごとのアップロードデータサイズは３ＧＢであり、グループとユーザのベースラインとを比較して非常に低い可能性があった。
【0095】
バッチアラート検出器２５４は、ユーザによって更新された異常な大きいサイズのデータをレビューし、ユーザが１時間ごとに３ＧＢファイルのアップロードを実施する可能性が、個々のアクティビティベースライン２４５に基づいて１／５０００であり、グループアクティビティベースライン２４６に基づいて１／１００００であることを報告する。これは、より低い信頼度スコアとも称される、ユーザにとってより高い危険スコアをもたらす。
【0096】
図３Ａ～図３Ｅは、単一のユーザ、ｕｓｅｒ１＠ｔｅｓｔ（仮名）のためのアラートのセットを列挙する。図３Ａは、情報的な重大度３７６を有するアラートについてのユーザデータを示し、図３Ｂは、同じく情報的な重大度３８６も有する同じユーザに対する別のアラートを説明する。図３Ｃは、ユーザに対する重要な重大度アラート３６６を示す。図３Ｄは、情報的な重大度アラート３６５を列挙し、図３Ｅは、同じユーザに対する中程度の重大度アラート３５５を示す。
【0097】
図４は、シーケンス及びバッチの両方のアラートタイプについて、アラートが発生した時間及び重大度を含む、６人のユーザのセットのアラートサマリのスニペットを示す。
【0098】
図５は、６人のユーザの各々について１６日間の各々について計算された信頼度スコアを示す。信頼度スコアの場合、「危険」ユーザの信頼度指数はより低くなる。２０万人以上のユーザを有する第２の例では、２８０人のユーザは、完璧未満のスコアを有し、これは、１０００分の１をわずかに超える値である。これは、大多数のユーザのアクションが、行動異常であるアクションをとらないので、アラートの生成を引き起こさないことを示している。管理者は、エンタープライズにとって脅威であるユーザに対して危険軽減アクションを実施できる必要がある。
【0099】
組織のセキュリティポリシーに対するユーザコンプライアンスを評価するための開示される技術の別の実装形態では、危険スコアは、以下に記載されるように計算される。
【数2】
【0100】
スコアは、０と事前定義された上限との間にある。一実装形態では、上限として１０００が使用される。重みＡｉによるアラート異常性強化は、ｐ値によって決定される、特定のアラートについてのノルムからの逸脱の量を表す。Ａｉは、１～１．２の範囲である。ｐ値のない検出器の場合、Ａｉ＝１．０。機械学習（ＭＬ）ベースのバッチ検出器は、上記の一実装形態ではｐ値を生成し、アラート異常性重みは、そのような検出器によって生成されたアラートに適用される。異常性重みを計算するために指数関数を使用することができる。このような重みは、開始時のｐ値の増加とともにゆっくりと増加し、尾部に鋭い上昇を有する。
【0101】
ユーザ危険スコアは経時的に減衰する。一実装形態では、デフォルトでは、過去９０日以内に発生したアラートのみがスコアに寄与する。テナント管理者は、一部の実装形態では、ユーザ信頼度指数及び危険スコアシステムを構成して、期間を指定することができる。
【0102】
図６は、現在の日からの日数の関数としての減衰係数の例示的な減衰係数グラフを示す。一実装形態では、カスタマイズされたシグモイド関数を使用して、減衰ウィンドウに基づいて減衰係数を生成する。別の実装形態では、ロジスティック関数を使用することができる。減衰曲線は、９０日間の減衰ウィンドウに基づいており、以下に列挙されたスケールを利用する。
“減衰係数”＝｛
“０”：１，
“１０”：０．９５，
“２０”：０．９０，
“３０”：０．８５，
“４０”：０．７０，
“５０”：０．５，
“６０”：０．２５，
“７０”：０．１５，
“８０”：０．１２，
“９０”：０．１０，
“１００”：０
｝
“減衰係数”＝｛
“０”：１，
“１０”：０．９５，
“２０”：０．９０，
“３０”：０．８５，
“４０”：０．７０，
“５０”：０．５，
“６０”：０．２５，
“７０”：０．１５，
“８０”：０．１２，
“９０”：０．１０，
“１００”：０
｝
【0103】
上記の例では、減衰ウィンドウが９０日間であると仮定すると、中程度のアラートは、それが発生した日に１０ポイント、９日後に９．５ポイントの価値がある。９０日を超えて経過したアラートは、この例の減衰期間のために、総危険スコアには寄与しない。開示される技術の他の実装形態では、異なる実験的に決定された減衰係数を利用することができる。
【0104】
テナント管理者は、ＵＩ内で特定のユーザの危険スコアをリセットすることができる。リセット後、スコアは、７日間又は３０日間など、構成可能な期間の間、ゼロに設定される。
【0105】
図７は、２００日間にわたるユーザのユーザ危険スコアのグラフを示し、ここで、ユーザ危険スコアは、ユーザによって生成されたアラートの合計であり、アラートの重大度及び異常性、並びに時間減衰係数によって重み付けされる。危険スコアは、行動の異常性に基づいてユーザとアセットをソートするために使用される。
【0106】
図８Ａは、６人のユーザのセットのユーザ信頼度スコアリングを実証する例示的なプロットを示す。各行は、日数の時間の関数としてグラフ化された個々のユーザのユーザ信頼度スコアである。グラフ上のドットは、アラートによってトリガされ、上記の経時的な減衰重み付けにより、ユーザへのアラートがない日が経つにつれてスコアが上昇する。アラートが発生すると、ユーザ信頼度スコアが低下する
【0107】
図８Ｂは、エンタープライズ内の多数のユーザのセットのユーザ信頼度スコアリングを実証する例示的なプロットを示す。各行は、日数の時間の関数としてグラフ化された個々のユーザのユーザ信頼度スコアである。グラフ上のドットは、アラートによってトリガされ、上記の経時的な減衰重み付けにより、日が経つにつれてスコアが上昇する。アラートが発生すると、ユーザ信頼度スコアが低下する。この例では、プロット内のスコアは、顧客が侵入攻撃の犠牲者であった時間を含む。数日間、攻撃者がランダムなアカウントを試みたため、同社の多くのアカウントにおいて大規模なログイン失敗が発生した。したがって、グラフは、それらの日の間、多くのユーザの減少を示している。
【0108】
図９は、管理者にユーザ信頼度スコアを表示するための代表的なユーザインターフェースを示す。管理者のためのＵＩは、図５に示されるようなユーザの信頼度スコアによってランク付けされた順序で、ユーザのユーザ信頼度スコアを示す。経時的なアラート重みに寄与したユーザによるアクティビティの詳細が列挙される。丸で囲まれたＣ９６８は、重要を示し、丸で囲まれたＨ（この例では図示せず）は、高アラート重大度を示し、丸で囲まれたＭ９６６は、中程度の重大度を示す。１１という数９４４は、このユーザのためのインシデント／アラートのカウント数を示す。ＵＩには、１１個のインシデントのうち４つが列挙されている。
【0109】
開示されるユーザ信頼度スコアＵＩを閲覧する顧客管理者は、より危険な行動を示したユーザに容易に気付くことができる。危険スコアを使用した異なるＵＩ表示では、スコアがより低いユーザを上部に列挙することができる。セキュリティ管理者は、ＵＩを使用してログインし、テナント（エンタープライズ）内のユーザのランク順序を閲覧することができる。低いユーザ信頼度スコアは強調表示され、管理者はそれらのユーザに焦点を当てることができる。管理者は、エンドユーザ又はセキュリティアナリストと効果的に通信するために、意思決定の根拠を理解する必要があるため、ＵＩはまた、そのような行動にフラグを立てるときに、追加の証拠及び理由を提供する。例えば、マネージャは、特定のユーザの行動が異常であるとみなされた理由を尋ねることができる。
【0110】
開示されるユーザ信頼度スコアを使用した適応型アクセス制御により、セキュリティ管理者は、危険スコアの分析に基づいて、企業内のユーザをソートして、どのユーザがより危険が高いかを識別することができる。特定のスコアについて、アクションは、管理者によって構成することができ、又はアクションは、ユーザに自身のパスワードをリセットすることを要求すること、機密ファイルへのアクセスを削除すること、及びＧｏｏｇｌｅドライブ及びＢｏｘを含むがこれらに限定されない特定のアプリへのユーザによるアクセスをブロックすることなど、スコアリング閾値に基づいて自動的に行われるように設定することができる。
【0111】
［コンピュータシステム］
図１０は、組織のセキュリティポリシーに対するユーザコンプライアンスを評価するために、組織のセキュリティポリシーに準拠していなかったユーザ行動の評価を表すユーザ信頼度又は危険スコアを較正するために、及びコンピュータネットワーク上の異常なユーザ行動の誤検出を低減するために使用され得る、コンピュータシステム１０００の簡略化されたブロック図である。コンピュータシステム１０００は、バスサブシステム１０５５を介していくつかの周辺デバイスと通信する、本明細書で少なくとも１つのプロセッサ及び／又は１つ以上のプロセッサとも称される少なくとも１つの中央処理ユニット（ＣＰＵ）１０７２と、本明細書で説明されるネットワークセキュリティサービスを提供するためのクラウドベースのセキュリティシステム１５３と、を含む。これらの周辺デバイスは、例えば、メモリデバイス及びファイルストレージサブシステム１０３６を含むストレージサブシステム１０１０と、ユーザインターフェース入力デバイス１０３８と、ユーザインターフェース出力デバイス１０７６と、ネットワークインターフェースサブシステム１０７４と、を含むことができる。入力及び出力デバイスは、コンピュータシステム１０００とのユーザ対話を可能にする。ネットワークインターフェースサブシステム１０７４は、他のコンピュータシステム内の対応するインターフェースデバイスへのインターフェースを含む、外部ネットワークへのインターフェースを提供する。
図１０は、組織のセキュリティポリシーに対するユーザコンプライアンスを評価するために、組織のセキュリティポリシーに準拠していなかったユーザ行動の評価を表すユーザ信頼度又は危険スコアを較正するために、及びコンピュータネットワーク上の異常なユーザ行動の誤検出を低減するために使用され得る、コンピュータシステム１０００の簡略化されたブロック図である。コンピュータシステム１０００は、バスサブシステム１０５５を介していくつかの周辺デバイスと通信する、本明細書で少なくとも１つのプロセッサ及び／又は１つ以上のプロセッサとも称される少なくとも１つの中央処理ユニット（ＣＰＵ）１０７２と、本明細書で説明されるネットワークセキュリティサービスを提供するためのクラウドベースのセキュリティシステム１５３と、を含む。これらの周辺デバイスは、例えば、メモリデバイス及びファイルストレージサブシステム１０３６を含むストレージサブシステム１０１０と、ユーザインターフェース入力デバイス１０３８と、ユーザインターフェース出力デバイス１０７６と、ネットワークインターフェースサブシステム１０７４と、を含むことができる。入力及び出力デバイスは、コンピュータシステム１０００とのユーザ対話を可能にする。ネットワークインターフェースサブシステム１０７４は、他のコンピュータシステム内の対応するインターフェースデバイスへのインターフェースを含む、外部ネットワークへのインターフェースを提供する。
【0112】
一実装形態では、図１のクラウドベースのセキュリティシステム１５３は、ストレージサブシステム１０１０及びユーザインターフェース入力デバイス１０３８に通信可能にリンクされる。
【0113】
ユーザインターフェース入力デバイス１０３８は、キーボード、マウス、トラックボール、タッチパッド、又はグラフィックタブレットなどのポインティングデバイス、スキャナ、ディスプレイに組み込まれたタッチスクリーン、音声認識システム及びマイクロフォンなどのオーディオ入力デバイス、並びに他のタイプの入力デバイスを含むことができる。概して、「入力デバイス」という用語の使用は、コンピュータシステム１０００に情報を入力するための全ての可能なタイプのデバイス及び方法を含むことが意図される。
【0114】
ユーザインターフェース出力デバイス１０７６は、ディスプレイサブシステム、プリンタ、ファックス機、又は音声出力デバイスなどの非視覚的ディスプレイを含むことができる。ディスプレイサブシステムは、ＬＥＤディスプレイ、陰極線管（ＣＲＴ）、液晶ディスプレイ（ＬＣＤ）などのフラットパネルデバイス、投影デバイス、又は可視画像を作成するための何らかの他のメカニズムを含むことができる。ディスプレイサブシステムは、音声出力デバイスなどの非視覚的ディスプレイを提供することもできる。概して、「出力デバイス」という用語の使用は、コンピュータシステム１０００からユーザ又は別のマシン若しくはコンピュータシステムに情報を出力するための全ての可能なタイプのデバイス及び方法を含むことが意図される。
【0115】
ストレージサブシステム１０１０は、本明細書に記載のモジュール及び方法の一部又は全部の機能を提供するプログラミング及びデータ構造を記憶する。サブシステム１０７８は、グラフィックス処理ユニット（ＧＰＵ）又はフィールドプログラマブルゲートアレイ（ＦＰＧＡ）であり得る。
【0116】
ストレージサブシステム１０１０内で使用されるメモリサブシステム１０２２は、プログラム実行中に命令及びデータを記憶するためのメインランダムアクセスメモリ（ＲＡＭ）１０３２と、固定命令が記憶される読み取り専用メモリ（ＲＯＭ）１０３４とを含む、一部のメモリを含むことができる。ファイルストレージサブシステム１０３６は、プログラム及びデータファイルのための永続的なストレージを提供することができ、ハードディスクドライブ、関連するリムーバブルメディアを伴うフロッピーディスクドライブ、ＣＤ－ＲＯＭドライブ、光学ドライブ、又はリムーバブルメディアカートリッジを含むことができる。特定の実装形態の機能を実装するモジュールは、ファイルストレージサブシステム１０３６によって、ストレージサブシステム１０１０内に、又はプロセッサによってアクセス可能な他のマシン内に記憶され得る。
【0117】
バスサブシステム１０５５は、コンピュータシステム１０００の種々のコンポーネント及びサブシステムに、意図されるように互いに通信させるための機構を提供する。バスサブシステム１０５５は、単一のバスとして概略的に示されているが、バスサブシステムの代替の実装形態は、複数のバスを使用することができる。
【0118】
コンピュータシステム１０００自体は、パーソナルコンピュータ、携帯型コンピュータ、ワークステーション、コンピュータターミナル、ネットワークコンピュータ、テレビ、メインフレーム、サーバファーム、疎にネットワーク化されたコンピュータの広く分散されたセット、又は任意の他のデータ処理システム若しくはユーザデバイスを含む、種々のタイプのものであり得る。コンピュータ及びネットワークの絶えず変化する性質に起因して、図１０に示されるコンピュータシステム１０００の説明は、本発明の好ましい実施形態を例示するための特定の例としてのみ意図される。図１０に示すコンピュータシステムよりも多い又は少ないコンポーネントを有するコンピュータシステム１０００の多くの他の構成が可能である。
【0119】
［特定の実装形態］
組織のセキュリティポリシーに対するユーザコンプライアンスを評価するための一部の特定の実装形態及び特徴が、以下の議論で説明される。
組織のセキュリティポリシーに対するユーザコンプライアンスを評価するための一部の特定の実装形態及び特徴が、以下の議論で説明される。
【0120】
１つの開示される実装形態では、組織のセキュリティポリシーに対するユーザコンプライアンスを評価する方法は、重大度によって分類され、かつ経時的に生成されるアラート重みの合計を各ユーザに対してスコアリングすることを含めて、ユーザ信頼度又は危険スコアを構築することを含む。アラート重みへの各寄与は、組織のセキュリティポリシーが危険として扱うユーザによるアクティビティによって生成され、経時的なアラート重みは、時間の経過とともにアラート重みを減衰させる減衰係数の影響を受ける。開示される方法はまた、ユーザ信頼度スコアを報告することであって、所定の時間にわたる時系列のユーザ信頼度若しくは危険スコア、並びに／あるいは現在のユーザ信頼度若しくは危険スコア、及び／又は経時的なアラート重みに寄与したユーザによるアクティビティの少なくともいくつかの詳細の表示を引き起こすことを含む、報告することを含む。
【0121】
開示される技術のこのセクション及び他のセクションで説明される方法は、以下の特徴及び／又は開示される追加の方法に関連して説明される特徴のうちの１つ以上を含むことができる。簡潔にするために、本出願に開示される特徴の組み合わせは、個々に列挙されず、特徴の各基本セットとともに繰り返されない。読者は、この方法で識別された特徴を、実装形態として識別された基本特徴のセットとどのように容易に組み合わせることができるかを理解するであろう。
【0122】
一実装形態では、組織のセキュリティポリシーに対するユーザコンプライアンスを評価する開示される方法は、構築及び報告を少なくとも１０人のユーザに適用することと、各ユーザについて、低から高への現在のユーザ信頼度スコア、又は高から低への危険スコアの順序付きリストを報告することと、を含む。
【0123】
開示される方法の一部の実装形態は、構築及び報告を少なくとも１０人のユーザに適用することと、少なくとも１０人のユーザのための時系列のグラフを報告することと、を更に含む。いくつかの場合では、開示される方法はまた、構築及び報告を少なくとも１０人のユーザに適用することと、所定の閾値又はユーザの可能な総ユーザ信頼度スコアの構成可能なパーセンテージのうちの１つに基づいて、組織のセキュリティポリシーがそのアクティビティを危険として扱うユーザのユーザ信頼度スコアを選択することと、を含む。
【0124】
開示される方法の一実装形態では、アラート重みは、シーケンスアラート及びバッチアラートのうちの１つに適用され、シーケンスアラートは、事前構成された行動パターンのセット内で、ユーザによって、アクティビティの観察時にユーザに対して生成され、バッチアラートは、ユーザのピアグループの履歴ユーザ行動パターンと比較して、予期しない行動が検出されたときに生成される。一部の実装形態では、アラート重みを減衰させる減衰係数は、アラートが発生してからの日数の関数である。開示される方法の一部の実装形態は、スコアリング閾値に基づいて推奨されるアクションを報告することを更に含み、アクションは、ユーザに自身のパスワードをリセットすることを要求すること、機密ファイルへのユーザアクセスを削除すること、並びに／あるいはＧｏｏｇｌｅドライブ及びＢｏｘを含むがこれらに限定されない特定のアプリへのユーザによるアクセスをブロックすることを含む。
【0125】
開示される一実装形態では、組織のセキュリティポリシーに準拠していなかったユーザ行動の評価を表すユーザ信頼度又は危険スコアを較正する方法は、組織のセキュリティポリシーが危険として扱うユーザによるアクティビティに起因してアラートが生成されるように、管理者制御に応答して、重大度によって分類されるカテゴリアラート重みを構成することを含めて、ユーザ信頼度又は危険スコアのコンポーネントを構成することを含む。本方法はまた、管理者感度制御に応答して、時間が経過とともにアラート重みを減衰させる減衰係数を構成することと、ユーザ例のアクティビティ例についての時系列のユーザ信頼度又は危険スコアと、ユーザ例の結果として生じるユーザ信頼度又は危険スコアと、の表示を引き起こすことを含めて、ユーザ例のアクティビティ例に基づいて、結果として生じるユーザ行動評価例の表示を引き起こすことと、を含む。
【0126】
一部の開示される実装形態は、時系列内の個々の例示的なユーザの１つ以上のアクティビティへのドリルダウンのための制御の表示を引き起こすことと、ドリルダウンのための要求を受信することと、時系列内に現れる要求された例示的なアクティビティを含む、ドリルダウンによって要求されたアクティビティの詳細の表示を引き起こすことと、を更に含む。
【0127】
一部の実装形態では、カテゴリアラート重みは、情報的、低、中、高、及び重要を含む。一部の実装形態では、アクティビティ例は、ログイン試行の失敗、所定の期間内の構成可能な数のファイルの削除、及び所定の期間内の構成可能な数のファイルのアップロードを含む。
【0128】
開示される方法の一実装形態はまた、ユーザ信頼度又は危険スコアを、カテゴリアラート重みによって重み付けされたアクティビティ例のカウントのグラフとして表示することを含む。ある場合には、ドリルダウンするための要求は、個々の例示的なユーザのためのドロップダウンセレクタ及び名前フィールドのうちの１つを選択することによってアクティブ化される。
【0129】
次に、コンピュータネットワーク上の異常なユーザ行動の誤検出を低減するための一部の特定の実装形態及び特徴について説明する。
【0130】
１つの開示される実装形態では、コンピュータネットワーク上の異常なユーザ行動の誤検出を低減する方法は、識別情報及びアクセス管理（ＩＡＭ）プロパティからグループを形成することと、それぞれのＩＡＭプロパティに基づいて、初期に割り当てられたグループにユーザを割り当て、統計的プロファイルに、アプリケーション使用頻度を含む個々のユーザ行動を記録することと、を含む。本方法はまた、記録された個々のユーザ行動をグループ内のユーザの統計的プロファイル内のユーザ行動と比較することに基づいて、初期割り当てグループとは異なる再編成されたグループを個々のユーザに動的に割り当てることを含む。開示される方法は、再編成されたグループの統計的プロファイルからの逸脱に基づいて、個々のユーザの進行中の行動の間の異常なイベントを評価及び報告することを更に含む。
【0131】
開示される方法の一実装形態では、グループを形成するために使用されるＩＡＭからのプロパティは、共通のアプリの使用、共通のロケーション、及び共通の組織を含む。開示される方法の一部の実装形態では、グループの統計的プロファイルは、１００人未満のユーザ又は組織集団の１０％未満がグループに含まれているとき、又は５００人超のユーザ又は組織集団の８０％超がグループに含まれているときに使用されない。
【0132】
開示される方法の一実装形態では、形成されるグループの４分の３は、グループごとに３０～５００のユーザを有する。一部の実装形態では、異常なイベントを評価することは、個々のユーザの統計的プロファイルに基づいて、個々のユーザの進行中の行動の間のイベントの逸脱を評価することを更に含む。一部の実装形態では、ＩＡＭは、アクティブディレクトリ（ＡＤ）である。他の実装形態では、ＩＡＭは、オープン軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）である。
【0133】
このセクションで説明される方法の他の実装形態は、プロセッサ上で実行されるときに、プロセッサに上記で説明された方法のいずれかを実施させる、メモリにロードされたプログラム命令を記憶する有形の非一時的コンピュータ可読記憶媒体を含み得る。このセクションで説明する方法の更に別の実装形態は、メモリと、上記で説明した方法のいずれかを実施するためにメモリに記憶されたコンピュータ命令を実行するように動作可能な１つ以上のプロセッサとを含むデバイスを含み得る。
【0134】
上記で説明又は参照された任意のデータ構造及びコードは、多くの実装形態によれば、コンピュータシステムによって使用するためのコード及び／又はデータを記憶することができる任意のデバイス又は媒体であり得るコンピュータ可読記憶媒体上に記憶される。これには、揮発性メモリ、非揮発性メモリ、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、ディスクドライブ、磁気テープ、ＣＤ（コンパクトディスク）、ＤＶＤ（デジタルバーサタイルディスク又はデジタルビデオディスク）などの磁気及び光記憶デバイス、あるいは現在知られている又は今後開発されるコンピュータ可読媒体を格納することができる他の媒体が含まれるが、これらに限定されるものではない。
【0135】
前述の説明は、開示される技術の作製及び使用を可能にするために提示される。開示される実装形態に対する種々の修正が明らかになり、本明細書で定義される一般原理は、開示される技術の趣旨及び範囲から逸脱することなく、他の実装形態及び適用例に適用され得る。したがって、開示される技術は、示される実装形態に限定されるものではなく、本明細書で開示される原理及び特徴と一致する最も広い範囲を与えられるべきである。開示される技術の範囲は、添付の特許請求の範囲によって定義される。
【0136】
［条項］
以下の条項を開示する。
条項セット１
１．組織のセキュリティポリシーに対するユーザコンプライアンスを評価する方法であって、
組織のセキュリティポリシーが危険とみなすユーザによるアクティビティを検出するためにプロキシを使用してシーケンスアラートを生成することであって、シーケンスアラートが、重大度によって分類される、生成することと、
ユーザのピアグループの履歴ユーザ行動パターンからの逸脱に基づいて、異常なユーザ行動が検出されたときにバッチアラートを生成することであって、バッチアラートが、重大度によって分類される、生成することと、
重大度のカテゴリによって適用され、かつシーケンスアラート及びバッチアラートから経時的に生成されるアラート重みを繰り返し合計することによって、ユーザ信頼度スコアと総称される、ユーザ信頼度スコア又はユーザ危険スコアをスコアリングすることであって、経時的なアラート重みが、時間の経過とともにアラート重みを減衰させる減衰係数の影響を受ける、スコアリングすることと、
ユーザ信頼度スコアを報告することであって、
所定の時間にわたる時系列のユーザ信頼度スコア、並びに／又は
現在のユーザ信頼度スコア、及び／若しくは
経時的なアラート重みに寄与したユーザによるアクティビティの少なくともいくつかの詳細の表示を引き起こすことを含む、報告することと、のアクションを含む、方法。
２．スコアリング及び報告を少なくとも１０人のユーザに適用することと、各ユーザについて、低から高への現在のユーザ信頼度スコア、又は高から低への危険スコアの順序付きリストを報告することと、を更に含む、条項１に記載の方法。
３．スコアリング及び報告を少なくとも１０人のユーザに適用することと、所定の閾値又は可能な総ユーザ信頼度スコアの構成可能なパーセンテージのうちの１つに基づいて、ユーザのユーザ信頼度スコアを報告するために選択することと、を更に含む、条項１に記載の方法。
４．アラート重みを減衰させる減衰係数は、アラートが発生してからの日数の関数である、条項１に記載の方法。
５．スコアリング閾値に基づいて１つ以上のアクションを自動的にとることを更に含み、アクションが、ユーザに自身のパスワードをリセットすることを要求することと、機密ファイルへのユーザアクセスを削除することと、特定のアプリへのユーザによるアクセスをブロックすることと、を含む、条項１に記載の方法。
６．表示が、１０人以上のユーザのための時系列であり、特定のユーザのために選択されるときに、経時的なアラート重みに寄与した特定のユーザによるアクティビティの少なくともいくつかの詳細の表示をトリガする、ユーザの各々についてのユーザ制御の表示を引き起こすことを更に含む、条項１に記載の方法。
７．メモリにロードされたプログラム命令を含む有形の非一時的コンピュータ可読記憶媒体であって、プログラム命令が、１つ以上のプロセッサ上で実行されるときに、プロセッサに、組織のセキュリティポリシーに対するユーザコンプライアンスを評価することに向けられたアクションを実行させ、アクションは、
組織のセキュリティポリシーが危険とみなすユーザによるアクティビティを検出するためにプロキシを使用してシーケンスアラートを生成することであって、シーケンスアラートが、重大度によって分類される、生成することと、
ユーザのピアグループの履歴ユーザ行動パターンからの逸脱に基づいて、異常なユーザ行動が検出されたときにバッチアラートを生成することであって、バッチアラートが、重大度によって分類される、生成することと、
重大度のカテゴリによって適用され、かつシーケンスアラート及びバッチアラートから経時的に生成されるアラート重みを繰り返し合計することによって、ユーザ信頼度スコアと総称される、ユーザ信頼度スコア又はユーザ危険スコアをスコアリングすることであって、経時的なアラート重みが、時間の経過とともにアラート重みを減衰させる減衰係数の影響を受ける、スコアリングすることと、
ユーザ信頼度スコアを報告することであって、所定の時間にわたる時系列のユーザ信頼度スコア、並びに／又は現在のユーザ信頼度スコア、及び／若しくは経時的なアラート重みに寄与したユーザによるアクティビティの少なくともいくつかの詳細の表示を引き起こすことを含む、報告することと、を含む、有形の非一時的コンピュータ可読記憶媒体。
８．スコアリング及び報告を少なくとも１０人のユーザに適用することと、各ユーザについて、低から高への現在のユーザ信頼度スコア、又は高から低への危険スコアの順序付きリストを報告することと、を更に含む、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
９．スコアリング及び報告を少なくとも１０人のユーザに適用することと、所定の閾値又は可能な総ユーザ信頼度スコアの構成可能なパーセンテージのうちの１つに基づいて、ユーザのユーザ信頼度スコアを報告するために選択することと、を更に含む、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
１０．アラート重みを減衰させる減衰係数は、アラートが発生してからの日数の関数である、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
１１．スコアリング閾値に基づいて１つ以上のアクションを自動的にとることを更に含み、アクションが、ユーザに自身のパスワードをリセットすることを要求することと、機密ファイルへのユーザアクセスを削除することと、Ｇｏｏｇｌｅドライブ及びＢｏｘを含むがこれらに限定されない特定のアプリへのユーザによるアクセスをブロックすることと、を含む、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
１２．表示が、１０人以上のユーザのための時系列であり、特定のユーザのために選択されるときに、経時的なアラート重みに寄与した特定のユーザによるアクティビティの少なくともいくつかの詳細の表示をトリガする、ユーザの各々についてのユーザ制御の表示を引き起こすことを更に含むアクションをプロセッサに実行させる命令を更に含む、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
１３．組織のセキュリティポリシーに対するユーザコンプライアンスを評価するためのデバイスであって、デバイスが、少なくとも１つのプロセッサと、プロセッサに結合されたメモリと、メモリにロードされたコンピュータ命令と、を含み、コンピュータ命令が、実行されるときに、プロセッサに、組織のセキュリティポリシーに対するユーザコンプライアンスを評価することに向けられたアクションを実行させ、アクションは、
組織のセキュリティポリシーが危険とみなすユーザによるアクティビティを検出するためにプロキシを使用してシーケンスアラートを生成することであって、シーケンスアラートが、重大度によって分類される、生成することと、
ユーザのピアグループの履歴ユーザ行動パターンからの逸脱に基づいて、異常なユーザ行動が検出されたときにバッチアラートを生成することであって、バッチアラートが、重大度によって分類される、生成することと、
重大度のカテゴリによって適用され、かつシーケンスアラート及びバッチアラートから経時的に生成されるアラート重みを繰り返し合計することによって、ユーザ信頼度スコアと総称される、ユーザ信頼度スコア又はユーザ危険スコアをスコアリングすることであって、経時的なアラート重みが、時間の経過とともにアラート重みを減衰させる減衰係数の影響を受ける、スコアリングすることと、
ユーザ信頼度スコアを報告することであって、所定の時間にわたる時系列のユーザ信頼度スコア、並びに／又は現在のユーザ信頼度スコア、及び／若しくは経時的なアラート重みに寄与したユーザによるアクティビティの少なくともいくつかの詳細の表示を引き起こすことを含む、報告することと、を含む、デバイス。
１４．デバイスのプロセスが、スコアリング及び報告を少なくとも１０人のユーザに適用することと、各ユーザについて、低から高への現在のユーザ信頼度スコア、又は高から低への危険スコアの順序付きリストを報告することと、を更に含む、条項１３に記載のデバイス。
１５．デバイスのプロセスが、スコアリング及び報告を少なくとも１０人のユーザに適用することと、所定の閾値又は可能な総ユーザ信頼度スコアの構成可能なパーセンテージのうちの１つに基づいて、ユーザのユーザ信頼度スコアを報告するために選択することと、を更に含む、条項１３に記載のデバイス。
１６．デバイスのプロセスが、スコアリング閾値に基づいて１つ以上のアクションを自動的にとることを更に含み、アクションが、ユーザに自身のパスワードをリセットすることを要求することと、機密ファイルへのユーザアクセスを削除することと、Ｇｏｏｇｌｅドライブ及びＢｏｘを含むがこれらに限定されない特定のアプリへのユーザによるアクセスをブロックすることと、のうちの少なくとも１つを含む、条項１３に記載のデバイス。
１７．表示が、１０人以上のユーザのための時系列であり、特定のユーザのために選択されるときに、経時的なアラート重みに寄与した特定のユーザによるアクティビティの少なくともいくつかの詳細の表示をトリガする、ユーザの各々についてのユーザ制御の表示を引き起こすことを更に含むアクションを少なくとも１つのプロセッサに実行させる命令を更に含む、条項１３に記載のデバイス。
条項セット２
１．組織のセキュリティポリシーに準拠していないユーザ行動の評価を較正する方法であって、
ユーザのユーザ信頼度又は危険スコアを決定するためのコンポーネントを構成するアクションを含み、当該ユーザが、組織内のグループに割り当てられ、
当該コンポーネントを構成することが、クラウドベースのセキュリティシステムを介して可能にされ、当該クラウドベースのセキュリティシステムが、当該組織に対する当該ユーザの異常なコンピュータネットワーク関連行動の脅威を評価するように構成され、当該クラウドベースのセキュリティシステムが、非一時的コンピュータ可読記憶媒体内に記憶されたコンピュータ可読命令として実装され、当該コンピュータ可読命令が、少なくとも１つの中央処理ユニット（ＣＰＵ）を介して実行され、
当該脅威が、１つ以上のアラートの発生を介して検出され、当該アラートが、イベントのシーケンスとして定義され、当該イベントのシーケンスが、ファイルの削除の発生、ファイルのアップロードの発生、及びファイルのダウンロードの発生のうちの少なくとも１つを含み、
当該コンポーネントを構成するアクションは、
組織のセキュリティポリシーが危険として扱うユーザによるアクティビティに起因してアラートが生成されるように、管理者制御に応答して、重大度によって分類されたカテゴリアラート重みを構成することと、
管理者感度制御に応答して、時間が経過とともにアラート重みを減衰させる減衰係数を構成することと、
ユーザ例の当該アクティビティ例に基づいて、結果として生じるユーザ行動評価例の表示を引き起こすことであって、
当該ユーザ例の当該アクティビティ例についての時系列のユーザ信頼度又は危険スコアと、
当該ユーザ例に対する結果として生じるユーザ信頼度又は危険スコアと、の表示を引き起こす、引き起こすことと、のアクションを更に含む、方法。
２．時系列内の個々の例示的なユーザの１つ以上のアクティビティへのドリルダウンのための制御の表示を引き起こすことと、
ドリルダウンするための要求を受信することと、
時系列内に現れる要求された例示的なアクティビティを含む、ドリルダウンによって要求されたアクティビティの詳細の表示を引き起こすことと、のアクションを更に含む、条項１に記載の方法。
３．カテゴリアラート重みが、情報的、低、中、高、及び重要を含む、条項１に記載の方法。
４．アクティビティ例が、ログイン試行の失敗、所定の期間内の構成可能な数のファイルの削除、及び所定の期間内の構成可能な数のファイルのアップロードを含む、条項１に記載の方法。
５．ユーザ信頼度又は危険スコアを、カテゴリアラート重みによって重み付けされたアクティビティ例のカウントのグラフとして表示するアクションを更に含む、条項１に記載の方法。
６．ドリルダウンするための要求が、個々の例示的なユーザのためのドロップダウンセレクタ及び名前フィールドのうちの１つを選択することによってアクティブ化される、条項２に記載の方法。
７．メモリにロードされたプログラム命令を含む有形の非一時的コンピュータ可読記憶媒体であって、プログラム命令は、１つ以上のプロセッサ上で実行されるときに、プロセッサに、組織のセキュリティポリシーに準拠していないユーザ行動の評価を較正する方法を実装させ、当該較正する方法は、
ユーザのユーザ信頼度又は危険スコアのコンポーネントを構成するアクションを含み、当該ユーザが、組織内のグループに割り当てられ、当該コンポーネントを構成することが、クラウドベースのセキュリティシステムを介して可能にされ、当該クラウドベースのセキュリティシステムが、当該組織に対する当該ユーザの異常なコンピュータネットワーク関連行動の脅威を評価するように構成され、当該クラウドベースのセキュリティシステムが、非一時的コンピュータ可読記憶媒体内に記憶されたコンピュータ可読命令として実装され、当該コンピュータ可読命令が、少なくとも１つの中央処理ユニット（ＣＰＵ）を介して実行され、
当該脅威が、１つ以上のアラートの発生を介して検出され、当該アラートの各々が、ファイルの削除の発生、ファイルのアップロードの発生、及びファイルのダウンロードの発生のうちの少なくとも１つを含むイベントのシーケンスであり、
当該コンポーネントを構成することは、
組織のセキュリティポリシーが危険として扱うユーザによるアクティビティに起因してアラートが生成されるように、管理者制御に応答して、重大度によって分類されたカテゴリアラート重みを構成することと、
管理者感度制御に応答して、時間が経過とともにアラート重みを減衰させる減衰係数を構成することと、
ユーザ例のアクティビティ例に基づいて、結果として生じるユーザ行動評価例の表示を引き起こすことであって、
当該ユーザ例のアクティビティ例についての時系列の当該ユーザ信頼度又は危険スコアと、
当該ユーザ例に対する結果として生じるユーザ信頼度又は危険スコアと、の表示を引き起こす、引き起こすことと、のアクションを更に含む、有形の非一時的コンピュータ可読記憶媒体。
８．時系列内の個々の例示的なユーザの１つ以上のアクティビティへのドリルダウンのための制御の表示を引き起こすことと、
ドリルダウンするための要求を受信することと、
時系列内に現れる要求された例示的なアクティビティを含む、ドリルダウンによって要求されたアクティビティの詳細の表示を引き起こすことと、を更に含む、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
９．カテゴリアラート重みが、情報的、低、中、高、及び重要を含む、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
１０．アクティビティ例が、ログイン試行の失敗、所定の期間内の構成可能な数のファイルの削除、及び所定の期間内の構成可能な数のファイルのアップロードを含む、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
１１．ユーザ信頼度又は危険スコアを、カテゴリアラート重みによって重み付けされたアクティビティ例のカウントのグラフとして表示することを更に含む、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
１２．ドリルダウンするための要求が、個々の例示的なユーザのためのドロップダウンセレクタ及び名前フィールドのうちの１つを選択することによってアクティブ化される、条項８に記載の有形の非一時的コンピュータ可読記憶媒体。
１３．組織のセキュリティポリシーに準拠していないユーザ行動の評価を較正するためのデバイスであって、デバイスが、少なくとも１つのプロセッサと、プロセッサに結合されたメモリと、メモリにロードされたコンピュータ命令と、を含み、コンピュータ命令が、実行されるときに、プロセッサに、
ユーザのユーザ信頼度又は危険スコアのコンポーネントを構成するアクションを含むプロセスを実装させ、当該ユーザが、組織内のグループに割り当てられ、当該コンポーネントを構成することが、クラウドベースのセキュリティシステムを介して可能にされ、当該クラウドベースのセキュリティシステムが、当該組織に対する当該ユーザの異常なコンピュータネットワーク関連行動の脅威を評価するように構成され、当該クラウドベースのセキュリティシステムが、非一時的コンピュータ可読記憶媒体内に記憶されたコンピュータ可読命令として実装され、当該コンピュータ可読命令が、少なくとも１つの中央処理ユニット（ＣＰＵ）を介して実行され、
当該脅威が、１つ以上のアラートの発生を介して検出され、当該アラートが、アクティビティ例であり、当該アラートが、ファイルの削除の発生、ファイルのアップロードの発生、及びファイルのダウンロードの発生のうちの少なくとも１つを含み、
当該コンポーネントを構成することは、
組織のセキュリティポリシーが危険として扱う当該ユーザによるアクティビティに起因してアラートが生成されるように、管理者制御に応答して、重大度によって分類されたカテゴリアラート重みを構成することと、
管理者感度制御に応答して、時間が経過とともにアラート重みを減衰させる減衰係数を構成することと、
ユーザ例のアクティビティ例に基づいて、結果として生じるユーザ行動評価例の表示を引き起こすことであって、
当該ユーザ例の当該アクティビティ例についての時系列のユーザ信頼度又は危険スコアと、
当該ユーザ例に対する結果として生じるユーザ信頼度又は危険スコアと、の表示を引き起こす、引き起こすことと、のアクションを更に含む、デバイス。
１４．時系列内の個々の例示的なユーザの１つ以上のアクティビティへのドリルダウンのための制御の表示を引き起こすことと、
ドリルダウンするための要求を受信することと、
時系列内に現れる要求された例示的なアクティビティを含む、ドリルダウンによって要求されたアクティビティの詳細の表示を引き起こすことと、を更に含む、条項１３に記載のデバイス。
１５．カテゴリアラート重みが、情報的、低、中、高、及び重要を含む、条項１３に記載のデバイス。
１６．アクティビティ例が、ログイン試行の失敗、所定の期間内の構成可能な数のファイルの削除、及び所定の期間内の構成可能な数のファイルのアップロードを含む、条項１３に記載のデバイス。
１７．ユーザ信頼度又は危険スコアを、カテゴリアラート重みによって重み付けされたアクティビティ例のカウントのグラフとして表示することを更に含む、条項１３に記載のデバイス。
１８．ドリルダウンするための要求が、個々の例示的なユーザのためのドロップダウンセレクタ及び名前フィールドのうちの１つを選択することによってアクティブ化される、条項１４に記載のデバイス。
１９．アラートが、ファイルの削除の発生、ファイルのアップロードの発生、及びファイルのダウンロードの発生のうちの少なくとも２つを含むイベントのシーケンスとして定義される、条項１に記載の方法。
２０．アラートが、ファイルのダウンロードの発生に続く、時間シーケンスでの当該ファイルの削除の発生のペアリングを含むイベントのシーケンスとして定義され、当該ペアリングが、１０分に等しい期間にわたって、他のファイルに関して少なくとも１０回発生する、条項１に記載の方法。
条項セット３
１．コンピュータネットワーク上の異常なユーザ行動の誤検出を低減する方法であって、
識別情報及びアクセス管理（略してＩＡＭ）プロパティからユーザのグループを形成することと、
それぞれのＩＡＭプロパティに基づいて、初期に割り当てられたグループにユーザを割り当て、統計的プロファイルに、アプリケーション使用頻度を含む個々のユーザ行動を記録することと、
記録された個々のユーザ行動をグループ内のユーザの統計的プロファイル内のユーザ行動と比較することに基づいて、初期に割り当てられたグループとは異なる再編成されたグループを個々のユーザに動的に割り当てることと、
再編成されたグループの統計的プロファイルからの逸脱に基づいて、個々のユーザの進行中の行動の間の異常なイベントを評価及び報告することと、のアクションを含み、
当該アクションが、クラウドベースのセキュリティシステムを介して可能にされ、当該クラウドベースのセキュリティシステムが、非一時的コンピュータ可読記憶媒体内に記憶されたコンピュータ可読命令として実装され、当該コンピュータ可読命令が、少なくとも１つの中央処理ユニット（ＣＰＵ）を介して実行される、方法。
２．グループを形成するために使用されるＩＡＭからのプロパティが、共通のアプリの使用、共通のロケーション、及び共通の組織を含む、条項１に記載の方法。
３．グループの統計的プロファイルは、１００人未満のユーザ又は組織集団の１０％未満がグループに含まれているとき、あるいは５００人超のユーザ又は組織集団の８０％超がグループに含まれているときに使用されない、条項２に記載の方法。
４．形成されたグループの４分の３が、グループごとに３０～５００人のユーザを有する、条項１に記載の方法。
５．異常なイベントを評価することが、個々のユーザの統計的プロファイルに基づいて、個々のユーザの進行中の行動の間のイベントの逸脱を評価することを更に含む、条項１に記載の方法。
６．ＩＡＭが、アクティブディレクトリ（略してＡＤ）である、条項１に記載の方法。
７．ＩＡＭが、オープン軽量ディレクトリアクセスプロトコル（略してＬＤＡＰ）である、条項１に記載の方法。
８．メモリにロードされたプログラム命令を含む有形の非一時的コンピュータ可読記憶媒体であって、プログラム命令は、１つ以上のプロセッサ上で実行されるときに、プロセッサに、コンピュータネットワーク上の異常なユーザ行動の誤検出を低減する方法を実装させ、
識別情報及びアクセス管理（略してＩＡＭ）プロパティからユーザのグループを形成することと、
それぞれのＩＡＭプロパティに基づいて、初期に割り当てられたグループにユーザを割り当て、統計的プロファイルに、アプリケーション使用頻度を含む個々のユーザ行動を記録することと、
記録された個々のユーザ行動をグループ内のユーザの統計的プロファイル内のユーザ行動と比較することに基づいて、初期割り当てグループとは異なる再編成されたグループを個々のユーザに動的に割り当てることと、
再編成されたグループの統計的プロファイルからの逸脱に基づいて、個々のユーザの進行中の行動の間の異常なイベントを評価及び報告することと、を含む、有形の非一時的コンピュータ可読記憶媒体。
９．グループを形成するために使用されるＩＡＭからのプロパティが、共通のアプリの使用、共通のロケーション、及び共通の組織を含む、条項８に記載の有形の非一時的コンピュータ可読記憶媒体。
１０．グループの統計的プロファイルは、１００人未満のユーザ又は組織集団の１０％未満がグループに含まれているとき、あるいは５００人超のユーザ又は組織集団の８０％超がグループに含まれているときに使用されない、条項９に記載の有形の非一時的コンピュータ可読記憶媒体。
１１．形成されたグループの４分の３が、グループごとに３０～５００人のユーザを有する、条項８に記載の有形の非一時的コンピュータ可読記憶媒体。
１２．異常なイベントを評価することが、個々のユーザの統計的プロファイルに基づいて、個々のユーザの進行中の行動の間のイベントの逸脱を評価することを更に含む、条項８に記載の有形の非一時的コンピュータ可読記憶媒体。
１３．ＩＡＭが、アクティブディレクトリ（略してＡＤ）である、条項８に記載の有形の非一時的コンピュータ可読記憶媒体。
１４．ＩＡＭが、オープン軽量ディレクトリアクセスプロトコル（略してＬＤＡＰ）である、条項８に記載の有形の非一時的コンピュータ可読記憶媒体。
１５．コンピュータネットワーク上の異常なユーザ行動の誤検出を低減するためのデバイスであって、デバイスが、少なくとも１つのプロセッサと、プロセッサに結合されたメモリと、メモリにロードされたコンピュータ命令と、を含み、コンピュータ命令が、実行されるときに、プロセッサに、
識別情報及びアクセス管理（略してＩＡＭ）プロパティからユーザのグループを形成することと、
それぞれのＩＡＭプロパティに基づいて、初期に割り当てられたグループにユーザを割り当て、統計的プロファイルに、アプリケーション使用頻度を含む個々のユーザ行動を記録することと、
記録された個々のユーザ行動をグループ内のユーザの統計的プロファイル内のユーザ行動と比較することに基づいて、初期割り当てグループとは異なる再編成されたグループを個々のユーザに動的に割り当てることと、
再編成されたグループの統計的プロファイルからの逸脱に基づいて、個々のユーザの進行中の行動の間の異常なイベントを評価及び報告することと、を含むプロセスを実装させる、デバイス。
１６．グループを形成するために使用されるＩＡＭからのプロパティが、共通のアプリの使用、共通のロケーション、及び共通の組織を含む、条項１５に記載のデバイス。
１７．グループの統計的プロファイルは、１００人未満のユーザ又は組織集団の１０％未満がグループに含まれているとき、又は５００人超のユーザ又は組織集団の８０％超がグループに含まれているときに使用されない、条項１６に記載のデバイス。
１８．異常なイベントを評価することが、個々のユーザの統計的プロファイルに基づいて、個々のユーザの進行中の行動の間のイベントの逸脱を評価することを更に含む、条項１５に記載のデバイス。
１９．ＩＡＭが、アクティブディレクトリ（略してＡＤ）である、条項１５に記載のデバイス。
２０．ＩＡＭが、軽量ディレクトリアクセスプロトコル（略してＬＤＡＰ）である、条項１５に記載のデバイス。
条項セット４
１．組織のセキュリティポリシーに対するユーザコンプライアンスを評価する方法であって、
組織のセキュリティポリシーに準拠していないユーザによるアクティビティを検出するためにシーケンスアラートを生成することであって、シーケンスアラートが、重大度によって分類される、生成することと、
ユーザに関連して、ユーザのピアグループの履歴ユーザ行動パターンからの逸脱に基づいて、ユーザの異常なユーザ行動が検出されたときにバッチアラートを生成することであって、バッチアラートが、重大度によって分類される、生成することと、
重大度のカテゴリによって適用され、かつシーケンスアラート及びバッチアラートから経時的に生成されるアラート重みを繰り返し合計することによって、ユーザ信頼度スコアと総称される、ユーザ信頼度スコア又はユーザ危険スコアをスコアリングすることであって、
経時的なアラート重みが、時間の経過とともにアラート重みを減衰させる減衰係数の影響を受ける、スコアリングすることと、
ユーザ信頼度スコアを報告することであって、
所定の時間にわたる時系列のユーザ信頼度スコア、並びに／又は現在のユーザ信頼度スコア、及び／若しくは
経時的なアラート重みに寄与したユーザによるアクティビティの少なくともいくつかの詳細の表示を引き起こすことを含む、報告することと、を含む、方法。
以下の条項を開示する。
条項セット１
１．組織のセキュリティポリシーに対するユーザコンプライアンスを評価する方法であって、
組織のセキュリティポリシーが危険とみなすユーザによるアクティビティを検出するためにプロキシを使用してシーケンスアラートを生成することであって、シーケンスアラートが、重大度によって分類される、生成することと、
ユーザのピアグループの履歴ユーザ行動パターンからの逸脱に基づいて、異常なユーザ行動が検出されたときにバッチアラートを生成することであって、バッチアラートが、重大度によって分類される、生成することと、
重大度のカテゴリによって適用され、かつシーケンスアラート及びバッチアラートから経時的に生成されるアラート重みを繰り返し合計することによって、ユーザ信頼度スコアと総称される、ユーザ信頼度スコア又はユーザ危険スコアをスコアリングすることであって、経時的なアラート重みが、時間の経過とともにアラート重みを減衰させる減衰係数の影響を受ける、スコアリングすることと、
ユーザ信頼度スコアを報告することであって、
所定の時間にわたる時系列のユーザ信頼度スコア、並びに／又は
現在のユーザ信頼度スコア、及び／若しくは
経時的なアラート重みに寄与したユーザによるアクティビティの少なくともいくつかの詳細の表示を引き起こすことを含む、報告することと、のアクションを含む、方法。
２．スコアリング及び報告を少なくとも１０人のユーザに適用することと、各ユーザについて、低から高への現在のユーザ信頼度スコア、又は高から低への危険スコアの順序付きリストを報告することと、を更に含む、条項１に記載の方法。
３．スコアリング及び報告を少なくとも１０人のユーザに適用することと、所定の閾値又は可能な総ユーザ信頼度スコアの構成可能なパーセンテージのうちの１つに基づいて、ユーザのユーザ信頼度スコアを報告するために選択することと、を更に含む、条項１に記載の方法。
４．アラート重みを減衰させる減衰係数は、アラートが発生してからの日数の関数である、条項１に記載の方法。
５．スコアリング閾値に基づいて１つ以上のアクションを自動的にとることを更に含み、アクションが、ユーザに自身のパスワードをリセットすることを要求することと、機密ファイルへのユーザアクセスを削除することと、特定のアプリへのユーザによるアクセスをブロックすることと、を含む、条項１に記載の方法。
６．表示が、１０人以上のユーザのための時系列であり、特定のユーザのために選択されるときに、経時的なアラート重みに寄与した特定のユーザによるアクティビティの少なくともいくつかの詳細の表示をトリガする、ユーザの各々についてのユーザ制御の表示を引き起こすことを更に含む、条項１に記載の方法。
７．メモリにロードされたプログラム命令を含む有形の非一時的コンピュータ可読記憶媒体であって、プログラム命令が、１つ以上のプロセッサ上で実行されるときに、プロセッサに、組織のセキュリティポリシーに対するユーザコンプライアンスを評価することに向けられたアクションを実行させ、アクションは、
組織のセキュリティポリシーが危険とみなすユーザによるアクティビティを検出するためにプロキシを使用してシーケンスアラートを生成することであって、シーケンスアラートが、重大度によって分類される、生成することと、
ユーザのピアグループの履歴ユーザ行動パターンからの逸脱に基づいて、異常なユーザ行動が検出されたときにバッチアラートを生成することであって、バッチアラートが、重大度によって分類される、生成することと、
重大度のカテゴリによって適用され、かつシーケンスアラート及びバッチアラートから経時的に生成されるアラート重みを繰り返し合計することによって、ユーザ信頼度スコアと総称される、ユーザ信頼度スコア又はユーザ危険スコアをスコアリングすることであって、経時的なアラート重みが、時間の経過とともにアラート重みを減衰させる減衰係数の影響を受ける、スコアリングすることと、
ユーザ信頼度スコアを報告することであって、所定の時間にわたる時系列のユーザ信頼度スコア、並びに／又は現在のユーザ信頼度スコア、及び／若しくは経時的なアラート重みに寄与したユーザによるアクティビティの少なくともいくつかの詳細の表示を引き起こすことを含む、報告することと、を含む、有形の非一時的コンピュータ可読記憶媒体。
８．スコアリング及び報告を少なくとも１０人のユーザに適用することと、各ユーザについて、低から高への現在のユーザ信頼度スコア、又は高から低への危険スコアの順序付きリストを報告することと、を更に含む、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
９．スコアリング及び報告を少なくとも１０人のユーザに適用することと、所定の閾値又は可能な総ユーザ信頼度スコアの構成可能なパーセンテージのうちの１つに基づいて、ユーザのユーザ信頼度スコアを報告するために選択することと、を更に含む、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
１０．アラート重みを減衰させる減衰係数は、アラートが発生してからの日数の関数である、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
１１．スコアリング閾値に基づいて１つ以上のアクションを自動的にとることを更に含み、アクションが、ユーザに自身のパスワードをリセットすることを要求することと、機密ファイルへのユーザアクセスを削除することと、Ｇｏｏｇｌｅドライブ及びＢｏｘを含むがこれらに限定されない特定のアプリへのユーザによるアクセスをブロックすることと、を含む、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
１２．表示が、１０人以上のユーザのための時系列であり、特定のユーザのために選択されるときに、経時的なアラート重みに寄与した特定のユーザによるアクティビティの少なくともいくつかの詳細の表示をトリガする、ユーザの各々についてのユーザ制御の表示を引き起こすことを更に含むアクションをプロセッサに実行させる命令を更に含む、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
１３．組織のセキュリティポリシーに対するユーザコンプライアンスを評価するためのデバイスであって、デバイスが、少なくとも１つのプロセッサと、プロセッサに結合されたメモリと、メモリにロードされたコンピュータ命令と、を含み、コンピュータ命令が、実行されるときに、プロセッサに、組織のセキュリティポリシーに対するユーザコンプライアンスを評価することに向けられたアクションを実行させ、アクションは、
組織のセキュリティポリシーが危険とみなすユーザによるアクティビティを検出するためにプロキシを使用してシーケンスアラートを生成することであって、シーケンスアラートが、重大度によって分類される、生成することと、
ユーザのピアグループの履歴ユーザ行動パターンからの逸脱に基づいて、異常なユーザ行動が検出されたときにバッチアラートを生成することであって、バッチアラートが、重大度によって分類される、生成することと、
重大度のカテゴリによって適用され、かつシーケンスアラート及びバッチアラートから経時的に生成されるアラート重みを繰り返し合計することによって、ユーザ信頼度スコアと総称される、ユーザ信頼度スコア又はユーザ危険スコアをスコアリングすることであって、経時的なアラート重みが、時間の経過とともにアラート重みを減衰させる減衰係数の影響を受ける、スコアリングすることと、
ユーザ信頼度スコアを報告することであって、所定の時間にわたる時系列のユーザ信頼度スコア、並びに／又は現在のユーザ信頼度スコア、及び／若しくは経時的なアラート重みに寄与したユーザによるアクティビティの少なくともいくつかの詳細の表示を引き起こすことを含む、報告することと、を含む、デバイス。
１４．デバイスのプロセスが、スコアリング及び報告を少なくとも１０人のユーザに適用することと、各ユーザについて、低から高への現在のユーザ信頼度スコア、又は高から低への危険スコアの順序付きリストを報告することと、を更に含む、条項１３に記載のデバイス。
１５．デバイスのプロセスが、スコアリング及び報告を少なくとも１０人のユーザに適用することと、所定の閾値又は可能な総ユーザ信頼度スコアの構成可能なパーセンテージのうちの１つに基づいて、ユーザのユーザ信頼度スコアを報告するために選択することと、を更に含む、条項１３に記載のデバイス。
１６．デバイスのプロセスが、スコアリング閾値に基づいて１つ以上のアクションを自動的にとることを更に含み、アクションが、ユーザに自身のパスワードをリセットすることを要求することと、機密ファイルへのユーザアクセスを削除することと、Ｇｏｏｇｌｅドライブ及びＢｏｘを含むがこれらに限定されない特定のアプリへのユーザによるアクセスをブロックすることと、のうちの少なくとも１つを含む、条項１３に記載のデバイス。
１７．表示が、１０人以上のユーザのための時系列であり、特定のユーザのために選択されるときに、経時的なアラート重みに寄与した特定のユーザによるアクティビティの少なくともいくつかの詳細の表示をトリガする、ユーザの各々についてのユーザ制御の表示を引き起こすことを更に含むアクションを少なくとも１つのプロセッサに実行させる命令を更に含む、条項１３に記載のデバイス。
条項セット２
１．組織のセキュリティポリシーに準拠していないユーザ行動の評価を較正する方法であって、
ユーザのユーザ信頼度又は危険スコアを決定するためのコンポーネントを構成するアクションを含み、当該ユーザが、組織内のグループに割り当てられ、
当該コンポーネントを構成することが、クラウドベースのセキュリティシステムを介して可能にされ、当該クラウドベースのセキュリティシステムが、当該組織に対する当該ユーザの異常なコンピュータネットワーク関連行動の脅威を評価するように構成され、当該クラウドベースのセキュリティシステムが、非一時的コンピュータ可読記憶媒体内に記憶されたコンピュータ可読命令として実装され、当該コンピュータ可読命令が、少なくとも１つの中央処理ユニット（ＣＰＵ）を介して実行され、
当該脅威が、１つ以上のアラートの発生を介して検出され、当該アラートが、イベントのシーケンスとして定義され、当該イベントのシーケンスが、ファイルの削除の発生、ファイルのアップロードの発生、及びファイルのダウンロードの発生のうちの少なくとも１つを含み、
当該コンポーネントを構成するアクションは、
組織のセキュリティポリシーが危険として扱うユーザによるアクティビティに起因してアラートが生成されるように、管理者制御に応答して、重大度によって分類されたカテゴリアラート重みを構成することと、
管理者感度制御に応答して、時間が経過とともにアラート重みを減衰させる減衰係数を構成することと、
ユーザ例の当該アクティビティ例に基づいて、結果として生じるユーザ行動評価例の表示を引き起こすことであって、
当該ユーザ例の当該アクティビティ例についての時系列のユーザ信頼度又は危険スコアと、
当該ユーザ例に対する結果として生じるユーザ信頼度又は危険スコアと、の表示を引き起こす、引き起こすことと、のアクションを更に含む、方法。
２．時系列内の個々の例示的なユーザの１つ以上のアクティビティへのドリルダウンのための制御の表示を引き起こすことと、
ドリルダウンするための要求を受信することと、
時系列内に現れる要求された例示的なアクティビティを含む、ドリルダウンによって要求されたアクティビティの詳細の表示を引き起こすことと、のアクションを更に含む、条項１に記載の方法。
３．カテゴリアラート重みが、情報的、低、中、高、及び重要を含む、条項１に記載の方法。
４．アクティビティ例が、ログイン試行の失敗、所定の期間内の構成可能な数のファイルの削除、及び所定の期間内の構成可能な数のファイルのアップロードを含む、条項１に記載の方法。
５．ユーザ信頼度又は危険スコアを、カテゴリアラート重みによって重み付けされたアクティビティ例のカウントのグラフとして表示するアクションを更に含む、条項１に記載の方法。
６．ドリルダウンするための要求が、個々の例示的なユーザのためのドロップダウンセレクタ及び名前フィールドのうちの１つを選択することによってアクティブ化される、条項２に記載の方法。
７．メモリにロードされたプログラム命令を含む有形の非一時的コンピュータ可読記憶媒体であって、プログラム命令は、１つ以上のプロセッサ上で実行されるときに、プロセッサに、組織のセキュリティポリシーに準拠していないユーザ行動の評価を較正する方法を実装させ、当該較正する方法は、
ユーザのユーザ信頼度又は危険スコアのコンポーネントを構成するアクションを含み、当該ユーザが、組織内のグループに割り当てられ、当該コンポーネントを構成することが、クラウドベースのセキュリティシステムを介して可能にされ、当該クラウドベースのセキュリティシステムが、当該組織に対する当該ユーザの異常なコンピュータネットワーク関連行動の脅威を評価するように構成され、当該クラウドベースのセキュリティシステムが、非一時的コンピュータ可読記憶媒体内に記憶されたコンピュータ可読命令として実装され、当該コンピュータ可読命令が、少なくとも１つの中央処理ユニット（ＣＰＵ）を介して実行され、
当該脅威が、１つ以上のアラートの発生を介して検出され、当該アラートの各々が、ファイルの削除の発生、ファイルのアップロードの発生、及びファイルのダウンロードの発生のうちの少なくとも１つを含むイベントのシーケンスであり、
当該コンポーネントを構成することは、
組織のセキュリティポリシーが危険として扱うユーザによるアクティビティに起因してアラートが生成されるように、管理者制御に応答して、重大度によって分類されたカテゴリアラート重みを構成することと、
管理者感度制御に応答して、時間が経過とともにアラート重みを減衰させる減衰係数を構成することと、
ユーザ例のアクティビティ例に基づいて、結果として生じるユーザ行動評価例の表示を引き起こすことであって、
当該ユーザ例のアクティビティ例についての時系列の当該ユーザ信頼度又は危険スコアと、
当該ユーザ例に対する結果として生じるユーザ信頼度又は危険スコアと、の表示を引き起こす、引き起こすことと、のアクションを更に含む、有形の非一時的コンピュータ可読記憶媒体。
８．時系列内の個々の例示的なユーザの１つ以上のアクティビティへのドリルダウンのための制御の表示を引き起こすことと、
ドリルダウンするための要求を受信することと、
時系列内に現れる要求された例示的なアクティビティを含む、ドリルダウンによって要求されたアクティビティの詳細の表示を引き起こすことと、を更に含む、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
９．カテゴリアラート重みが、情報的、低、中、高、及び重要を含む、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
１０．アクティビティ例が、ログイン試行の失敗、所定の期間内の構成可能な数のファイルの削除、及び所定の期間内の構成可能な数のファイルのアップロードを含む、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
１１．ユーザ信頼度又は危険スコアを、カテゴリアラート重みによって重み付けされたアクティビティ例のカウントのグラフとして表示することを更に含む、条項７に記載の有形の非一時的コンピュータ可読記憶媒体。
１２．ドリルダウンするための要求が、個々の例示的なユーザのためのドロップダウンセレクタ及び名前フィールドのうちの１つを選択することによってアクティブ化される、条項８に記載の有形の非一時的コンピュータ可読記憶媒体。
１３．組織のセキュリティポリシーに準拠していないユーザ行動の評価を較正するためのデバイスであって、デバイスが、少なくとも１つのプロセッサと、プロセッサに結合されたメモリと、メモリにロードされたコンピュータ命令と、を含み、コンピュータ命令が、実行されるときに、プロセッサに、
ユーザのユーザ信頼度又は危険スコアのコンポーネントを構成するアクションを含むプロセスを実装させ、当該ユーザが、組織内のグループに割り当てられ、当該コンポーネントを構成することが、クラウドベースのセキュリティシステムを介して可能にされ、当該クラウドベースのセキュリティシステムが、当該組織に対する当該ユーザの異常なコンピュータネットワーク関連行動の脅威を評価するように構成され、当該クラウドベースのセキュリティシステムが、非一時的コンピュータ可読記憶媒体内に記憶されたコンピュータ可読命令として実装され、当該コンピュータ可読命令が、少なくとも１つの中央処理ユニット（ＣＰＵ）を介して実行され、
当該脅威が、１つ以上のアラートの発生を介して検出され、当該アラートが、アクティビティ例であり、当該アラートが、ファイルの削除の発生、ファイルのアップロードの発生、及びファイルのダウンロードの発生のうちの少なくとも１つを含み、
当該コンポーネントを構成することは、
組織のセキュリティポリシーが危険として扱う当該ユーザによるアクティビティに起因してアラートが生成されるように、管理者制御に応答して、重大度によって分類されたカテゴリアラート重みを構成することと、
管理者感度制御に応答して、時間が経過とともにアラート重みを減衰させる減衰係数を構成することと、
ユーザ例のアクティビティ例に基づいて、結果として生じるユーザ行動評価例の表示を引き起こすことであって、
当該ユーザ例の当該アクティビティ例についての時系列のユーザ信頼度又は危険スコアと、
当該ユーザ例に対する結果として生じるユーザ信頼度又は危険スコアと、の表示を引き起こす、引き起こすことと、のアクションを更に含む、デバイス。
１４．時系列内の個々の例示的なユーザの１つ以上のアクティビティへのドリルダウンのための制御の表示を引き起こすことと、
ドリルダウンするための要求を受信することと、
時系列内に現れる要求された例示的なアクティビティを含む、ドリルダウンによって要求されたアクティビティの詳細の表示を引き起こすことと、を更に含む、条項１３に記載のデバイス。
１５．カテゴリアラート重みが、情報的、低、中、高、及び重要を含む、条項１３に記載のデバイス。
１６．アクティビティ例が、ログイン試行の失敗、所定の期間内の構成可能な数のファイルの削除、及び所定の期間内の構成可能な数のファイルのアップロードを含む、条項１３に記載のデバイス。
１７．ユーザ信頼度又は危険スコアを、カテゴリアラート重みによって重み付けされたアクティビティ例のカウントのグラフとして表示することを更に含む、条項１３に記載のデバイス。
１８．ドリルダウンするための要求が、個々の例示的なユーザのためのドロップダウンセレクタ及び名前フィールドのうちの１つを選択することによってアクティブ化される、条項１４に記載のデバイス。
１９．アラートが、ファイルの削除の発生、ファイルのアップロードの発生、及びファイルのダウンロードの発生のうちの少なくとも２つを含むイベントのシーケンスとして定義される、条項１に記載の方法。
２０．アラートが、ファイルのダウンロードの発生に続く、時間シーケンスでの当該ファイルの削除の発生のペアリングを含むイベントのシーケンスとして定義され、当該ペアリングが、１０分に等しい期間にわたって、他のファイルに関して少なくとも１０回発生する、条項１に記載の方法。
条項セット３
１．コンピュータネットワーク上の異常なユーザ行動の誤検出を低減する方法であって、
識別情報及びアクセス管理（略してＩＡＭ）プロパティからユーザのグループを形成することと、
それぞれのＩＡＭプロパティに基づいて、初期に割り当てられたグループにユーザを割り当て、統計的プロファイルに、アプリケーション使用頻度を含む個々のユーザ行動を記録することと、
記録された個々のユーザ行動をグループ内のユーザの統計的プロファイル内のユーザ行動と比較することに基づいて、初期に割り当てられたグループとは異なる再編成されたグループを個々のユーザに動的に割り当てることと、
再編成されたグループの統計的プロファイルからの逸脱に基づいて、個々のユーザの進行中の行動の間の異常なイベントを評価及び報告することと、のアクションを含み、
当該アクションが、クラウドベースのセキュリティシステムを介して可能にされ、当該クラウドベースのセキュリティシステムが、非一時的コンピュータ可読記憶媒体内に記憶されたコンピュータ可読命令として実装され、当該コンピュータ可読命令が、少なくとも１つの中央処理ユニット（ＣＰＵ）を介して実行される、方法。
２．グループを形成するために使用されるＩＡＭからのプロパティが、共通のアプリの使用、共通のロケーション、及び共通の組織を含む、条項１に記載の方法。
３．グループの統計的プロファイルは、１００人未満のユーザ又は組織集団の１０％未満がグループに含まれているとき、あるいは５００人超のユーザ又は組織集団の８０％超がグループに含まれているときに使用されない、条項２に記載の方法。
４．形成されたグループの４分の３が、グループごとに３０～５００人のユーザを有する、条項１に記載の方法。
５．異常なイベントを評価することが、個々のユーザの統計的プロファイルに基づいて、個々のユーザの進行中の行動の間のイベントの逸脱を評価することを更に含む、条項１に記載の方法。
６．ＩＡＭが、アクティブディレクトリ（略してＡＤ）である、条項１に記載の方法。
７．ＩＡＭが、オープン軽量ディレクトリアクセスプロトコル（略してＬＤＡＰ）である、条項１に記載の方法。
８．メモリにロードされたプログラム命令を含む有形の非一時的コンピュータ可読記憶媒体であって、プログラム命令は、１つ以上のプロセッサ上で実行されるときに、プロセッサに、コンピュータネットワーク上の異常なユーザ行動の誤検出を低減する方法を実装させ、
識別情報及びアクセス管理（略してＩＡＭ）プロパティからユーザのグループを形成することと、
それぞれのＩＡＭプロパティに基づいて、初期に割り当てられたグループにユーザを割り当て、統計的プロファイルに、アプリケーション使用頻度を含む個々のユーザ行動を記録することと、
記録された個々のユーザ行動をグループ内のユーザの統計的プロファイル内のユーザ行動と比較することに基づいて、初期割り当てグループとは異なる再編成されたグループを個々のユーザに動的に割り当てることと、
再編成されたグループの統計的プロファイルからの逸脱に基づいて、個々のユーザの進行中の行動の間の異常なイベントを評価及び報告することと、を含む、有形の非一時的コンピュータ可読記憶媒体。
９．グループを形成するために使用されるＩＡＭからのプロパティが、共通のアプリの使用、共通のロケーション、及び共通の組織を含む、条項８に記載の有形の非一時的コンピュータ可読記憶媒体。
１０．グループの統計的プロファイルは、１００人未満のユーザ又は組織集団の１０％未満がグループに含まれているとき、あるいは５００人超のユーザ又は組織集団の８０％超がグループに含まれているときに使用されない、条項９に記載の有形の非一時的コンピュータ可読記憶媒体。
１１．形成されたグループの４分の３が、グループごとに３０～５００人のユーザを有する、条項８に記載の有形の非一時的コンピュータ可読記憶媒体。
１２．異常なイベントを評価することが、個々のユーザの統計的プロファイルに基づいて、個々のユーザの進行中の行動の間のイベントの逸脱を評価することを更に含む、条項８に記載の有形の非一時的コンピュータ可読記憶媒体。
１３．ＩＡＭが、アクティブディレクトリ（略してＡＤ）である、条項８に記載の有形の非一時的コンピュータ可読記憶媒体。
１４．ＩＡＭが、オープン軽量ディレクトリアクセスプロトコル（略してＬＤＡＰ）である、条項８に記載の有形の非一時的コンピュータ可読記憶媒体。
１５．コンピュータネットワーク上の異常なユーザ行動の誤検出を低減するためのデバイスであって、デバイスが、少なくとも１つのプロセッサと、プロセッサに結合されたメモリと、メモリにロードされたコンピュータ命令と、を含み、コンピュータ命令が、実行されるときに、プロセッサに、
識別情報及びアクセス管理（略してＩＡＭ）プロパティからユーザのグループを形成することと、
それぞれのＩＡＭプロパティに基づいて、初期に割り当てられたグループにユーザを割り当て、統計的プロファイルに、アプリケーション使用頻度を含む個々のユーザ行動を記録することと、
記録された個々のユーザ行動をグループ内のユーザの統計的プロファイル内のユーザ行動と比較することに基づいて、初期割り当てグループとは異なる再編成されたグループを個々のユーザに動的に割り当てることと、
再編成されたグループの統計的プロファイルからの逸脱に基づいて、個々のユーザの進行中の行動の間の異常なイベントを評価及び報告することと、を含むプロセスを実装させる、デバイス。
１６．グループを形成するために使用されるＩＡＭからのプロパティが、共通のアプリの使用、共通のロケーション、及び共通の組織を含む、条項１５に記載のデバイス。
１７．グループの統計的プロファイルは、１００人未満のユーザ又は組織集団の１０％未満がグループに含まれているとき、又は５００人超のユーザ又は組織集団の８０％超がグループに含まれているときに使用されない、条項１６に記載のデバイス。
１８．異常なイベントを評価することが、個々のユーザの統計的プロファイルに基づいて、個々のユーザの進行中の行動の間のイベントの逸脱を評価することを更に含む、条項１５に記載のデバイス。
１９．ＩＡＭが、アクティブディレクトリ（略してＡＤ）である、条項１５に記載のデバイス。
２０．ＩＡＭが、軽量ディレクトリアクセスプロトコル（略してＬＤＡＰ）である、条項１５に記載のデバイス。
条項セット４
１．組織のセキュリティポリシーに対するユーザコンプライアンスを評価する方法であって、
組織のセキュリティポリシーに準拠していないユーザによるアクティビティを検出するためにシーケンスアラートを生成することであって、シーケンスアラートが、重大度によって分類される、生成することと、
ユーザに関連して、ユーザのピアグループの履歴ユーザ行動パターンからの逸脱に基づいて、ユーザの異常なユーザ行動が検出されたときにバッチアラートを生成することであって、バッチアラートが、重大度によって分類される、生成することと、
重大度のカテゴリによって適用され、かつシーケンスアラート及びバッチアラートから経時的に生成されるアラート重みを繰り返し合計することによって、ユーザ信頼度スコアと総称される、ユーザ信頼度スコア又はユーザ危険スコアをスコアリングすることであって、
経時的なアラート重みが、時間の経過とともにアラート重みを減衰させる減衰係数の影響を受ける、スコアリングすることと、
ユーザ信頼度スコアを報告することであって、
所定の時間にわたる時系列のユーザ信頼度スコア、並びに／又は現在のユーザ信頼度スコア、及び／若しくは
経時的なアラート重みに寄与したユーザによるアクティビティの少なくともいくつかの詳細の表示を引き起こすことを含む、報告することと、を含む、方法。
【0137】
特許請求されているのは以下の通りである。
【図1】
【図2A】
【図2B】
【図2C】
【図3A】
【図3B】
【図3C】
【図3D】
【図3E】
【図4】
【図5】
【図6】
【図7】
【図8A】
【図8B】
【図9】
【図10】
【国際調査報告】