改良型侵入検出監査およびインテリジェント・セキュリティ分析の比較を使用して関連するネットワーク・セキュリティの脅威を識別するための方法およびシステム
【課題】 関連するセキュリティの脅威を識別するための装置、方法、およびコンピュータ・プログラムを提供すること。
【解決手段】 従来のコンピュータ・システムでは、「脅威」の定量化が一般にできないことから、セキュリティの脅威と実際のセキュリティの脅威とを識別することは複雑で困難なタスクである。インテリジェントな概念的クラスタリング技法を使用することにより、良性の動作から脅威を正確に識別することができる。したがって、電子商取引および一般に情報技術システムを、効率性を犠牲にすることなくより安全に実行することができる。
【解決手段】 従来のコンピュータ・システムでは、「脅威」の定量化が一般にできないことから、セキュリティの脅威と実際のセキュリティの脅威とを識別することは複雑で困難なタスクである。インテリジェントな概念的クラスタリング技法を使用することにより、良性の動作から脅威を正確に識別することができる。したがって、電子商取引および一般に情報技術システムを、効率性を犠牲にすることなくより安全に実行することができる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般にネットワーク・セキュリティに関し、とりわけ、潜在的なセキュリティの脅威を特定および削除するための概念的クラスタリングの使用に関する。
【背景技術】
【０００２】
現在のビジネス界では情報技術（ＩＴ）への依存が高まっているため、これまでになくＩＴインフラストラクチャを保護する必要が増している。ＩＴインフラストラクチャを保護するには、ネットワーク・セキュリティが主要な問題となっている。ダウンタイムの制限およびセキュアなデータ伝送の提供などの様々な理由から、ＩＴインフラストラクチャを保護することが求められている。
【０００３】
しかしながら、セキュリティ手段の実施は単純な作業ではない。ＩＴシステムの場合、セキュリティの基本的な手法は、ＩＴネットワークを横切るトラフィックを監視して、システム侵入を示すパターンを識別することである。侵入パターンを識別するためには、回帰分析およびある特定の帰納技法などの様々な方法が採用できる。一般にセキュリティ手法は、潜在的な侵入リスクを特定するために、ネットワーク・ポートおよびリソースの動作および要求の使用率を監視する。たとえば、日中または夜間のある一定の時間のある特定の要求がシステム攻撃を示す場合がある。したがって、パターン分析を採用してこうした特定を行うことができる。しかしながら、攻撃の方法は有限でもなければ静的でもない。むしろ攻撃の方法は変化する。したがって、パターン分析は、ＩＴインフラストラクチャに害を及ぼそうとしている者と少なくとも同じ体制または少なくとも同等の外観を維持するように更新されなければならない。
【０００４】
加えて、ネットワーク上で発生しているイベントの量が、一般にそれよりも量の少ない実際の侵入と比較して増加した場合、脅威の特定における難しさはそれに応じて増加する。スペースを簡略化することは可能であるが、スペースがあまりに一般的である場合、パターンは偽陽性（false positives）をトリガしてシステム・オペレーションを不必要に中断し、管理リソースを無駄に使用し、システムの信頼性を低下させることになる。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
したがって、現在のセキュリティ・アルゴリズムに関連付けられた従来の方法および装置に関連付けられた問題の少なくとも一部に対処する、潜在的なセキュリティ・リスクを分析する際の正確度を向上させるために質的および量的な測定値を利用するための方法あるいは装置またはその両方が求められている。
【課題を解決するための手段】
【０００６】
本発明は、情報技術（ＩＴ）インフラストラクチャに対するコンピュータ・セキュリティの脅威を特定するための装置を提供する。ネットワーク・スキャナは、少なくとも１つの生物分類（taxonomy）を利用して可能性のある侵入を特定する。侵入検出器は、少なくとも１つの実際の侵入を検出する。偽陽性／真陽性（true-positive）（ＦＰＴＰ）検出器は、特定された可能性のある侵入と検出された実際の侵入とを比較して、生物分類を更新する。
【０００７】
次に、本発明およびその利点をより完全に理解するために、添付の図面に関連して以下の説明を参照する。
【発明を実施するための最良の形態】
【０００８】
以下の考察では、本発明を完全に理解するために多数の特定の細部が示される。しかしながら、当業者であれば、本発明がこうした特定の細部なしで実施できることを理解されよう。その他の場合では、不必要な細部で本発明を不明瞭にしないために、良く知られた要素が概略図またはブロック図の形で示されている。さらにほとんどの部分で、ネットワーク通信、電磁信号技法などに関する細部は、こうした細部が本発明の完全な理解を得るために必要とみなされないため、および関連分野の技術者の理解の範囲内であるとみなされるため、省略されている。
【０００９】
さらに、特に指示されていない限り、本明細書で説明されたすべての機能は、ハードウェアまたはソフトウェア、あるいはそれらの何らかの組み合わせで実行可能であることに留意されたい。しかしながら好ましい実施形態では、これらの機能は、特に指示のない限り、コンピュータ・プログラム・コード、ソフトウェア、あるいはこうした機能を実行するために符号化された集積回路、またはそれらすべてなどの、コードに従って、コンピュータまたは電子データ・プロセッサなどのプロセッサによって実行される。
【００１０】
図面のうちの図１を参照すると、参照番号１００は、サンプル生物分類を示すブロック図を全体として指定する。生物分類１００は、第１のレベル１２０、第２のレベル１２２、第３のレベル１２４、および第４のレベル１２６を有する。さらに第１のレベル１２０は、曜日カテゴリ１０２を有する。さらに第２のレベル１２２は、週末カテゴリ１０４および平日カテゴリ１０６を有する。さらに第３のレベルは、土曜日カテゴリ１０８、日曜日カテゴリ１１０、月曜日カテゴリ１１２、および金曜日カテゴリ１１４を有する。さらに第４のレベル１２６は、第１のタイムスタンプｔ１、第２のタイムスタンプｔ２、および第３のタイムスタンプｔ３を有する。
【００１１】
生物分類を形成する場合、変化するレベルのそれぞれが相互に関係付けられる。タイムスタンプｔ１、ｔ２、およびｔ３は、週のうちの特定の時間に発生する。したがって、各タイムスタンプｔ１、ｔ２、およびｔ３は、土曜日１０８などの週のうちの特定の曜日としてカテゴリ化することが可能であり、週末１０４などの週のうちの時間としてカテゴリ化することが可能である。言い換えれば、後続の各レベルは、前のレベルの単一または複数のサブセットである。
【００１２】
これに応じて、タイムスタンプが属するサブセットに関する各タイムスタンプｔ１、ｔ２、およびｔ３に、数値を関係付けることができる。この種のカテゴリ化は「クラスタ」と呼ばれ、その定式化は「クラスタリング」として知られている。その後、この数値を使用して脅威のレベルを特定することができる。
【００１３】
セキュリティ分析には、通常、イベントの組み合わせおよび順序とわかっている侵入とを相関させる必要がある。可能な組み合わせおよび順序は莫大な数であるため、有用なパターンを識別するのは極端に困難な可能性がある。図１のサンプル生物分類などの生物分類を利用するクラスタ分析は、可能な組み合わせおよび順序の数をリアルタイムでより速く処理されるサイズにまで削減するための効果的なデータ削減ツールである。クラスタリングは、オブジェクトをカテゴリまたはクラスタにグループ化することを追求し、カテゴリのオブジェクトは同様の特徴を有する。
【００１４】
ほとんどのパターン分析は、類似点および相違点の量的または数値的測定値を使用して非常に適切に実行される。しかしながら、多くの有用な測定値およびパターンは質的または主観的であるため、類似点および相違点の測定値に容易に修正できるようにする特性を持たない。たとえば、バナナ、岩、およびヨーヨーの間の類似点の程度を決定する際に、量的測定値を一貫して適用することは困難である。
【００１５】
セキュリティにおいてＩＰアドレス（たとえば９．８．７６５．４３）などの共通の測定値が考えられる場合、この「数値」は実際には一致を表す。異なるＩＰアドレスは、セキュリティの観点から意味のある異なる特性を有する可能性がある。たとえば図１に示すように、アドレスが動的な場合、これらは特定のＩＰプロバイダ、特定の地理、または曜日を表す。
【００１６】
図面のうちの図２を参照すると、参照番号２００は、関連するセキュリティの脅威を識別するシステムを示すブロック図を全体として指定する。システム２００は、コンピュータ・ネットワーク２０１、情報技術コンピュータ（ＩＴ）インフラストラクチャ２０３、サーバおよび侵入検出器２０４、ならびに偽陽性／真陽性検出器２０５を備える。
【００１７】
コンピュータ・ネットワーク２０１は、第１の通信チャネル２１０を介してネットワーク・スキャナ２０２に結合される。またコンピュータ・ネットワーク２０１は、第２の通信チャネル２１１を介してＩＴコンピュータ・インフラストラクチャ２０３にも結合される。コンピュータ・ネットワーク２０１は、インターネットを含むがこれに限定されることのない、任意のタイプを有することもできる。さらに、前述の通信チャネルのうちのいずれかが、無線リンク、パケット交換チャネル、回路交換または直接通信チャネル、情報転送の任意の他のチャネル、ならびにこうしたチャネルの任意の組み合わせを包含することになる。さらに、前述の通信チャネルのうちのいずれかを、図２に示されるように複数の通信チャネルまたは単一の通信チャネルを介して各構成要素に結合することができる。
【００１８】
ネットワーク・スキャナ２０２はシステム２００の他の要素である。ネットワーク・スキャナ２０２は、ＩＴコンピュータ・インフラストラクチャ２０３の脅威の事前評価（assessment）分析を提供する。ネットワーク・スキャナ２０２は、第３の通信チャネル２１２を介してＩＴコンピュータ・インフラストラクチャ２０３に結合される。ネットワーク・スキャナは、第１の通信チャネル２１０を介してコンピュータ・ネットワーク２０１にも結合される。加えてネットワーク・スキャナ２０２は、第４の通信チャネル２１３を介して偽陽性／真陽性検出器２０５にも結合される。攻撃のシミュレーションおよび様々な他の技法を介して、ネットワーク・スキャナは、攻撃に関する可能性のあるパターンを特定することができる。言い換えれば、ネットワーク・スキャナ２０２は、観察可能なデータを有意味の構造に編成するかまたは生物分類を展開する。たとえば、特定の会社から検出された使用量それ自体は有用でない可能性があるが、他のデータと併用して攻撃に対応する相関関係が展開される場合がある。ＣｙｃＳｅｃｕｒｅ（登録商標）（Ｃｙｃｏｒｐ，Ｉｎｃ．，Ｓｕｉｔｅ １００， ３７２１ Ｅｘｅｃｕｔｉｖｅ Ｃｅｎｔｅｒ Ｄｒｉｖｅ， Ａｕｓｔｉｎ， ＴＸ ７８７３１の登録商標および製品）などの、ネットワーク・スキャンを提供して生物分類を展開する、いくつかのサービスがある。さらに、前述の通信チャネルのいずれかが、無線回線、パケット交換チャネル、直接通信チャネル、およびこの３つの任意の組み合わせを包含することになる。さらに、図２に示されるように、前述の通信チャネルのいずれかを複数の通信チャネルまたは単一の通信を介して各構成要素に結合することができる。
【００１９】
ＩＴコンピュータ・インフラストラクチャ２０３は、保護を必要とする構成要素である。ＩＴコンピュータ・インフラストラクチャ２０３は、第２の通信チャネル２１１を介してコンピュータ・ネットワークに結合される。また、ＩＴコンピュータ・インフラストラクチャ２０３は、第３の通信チャネル２１２を介してネットワーク・スキャナ２０２にも結合される。ＩＴコンピュータ・インフラストラクチャ２０３は、第５の通信チャネル２１４を介してサーバおよび侵入検出器２０４にも結合される。ＩＴコンピュータ・インフラストラクチャ２０３は、単一または複数のコンピュータあるいはサーバまたはその両方からなることができる。ＩＴコンピュータ・インフラストラクチャ２０３は、企業が運営に使用するフレームワークも提供する。さらに、前述の通信チャネルのいずれかが、無線回線、パケット交換チャネル、直接通信チャネル、およびこの３つの任意の組み合わせを包含することになる。さらに、図２に示されるように、前述の通信チャネルのいずれかを複数の通信チャネルまたは単一の通信を介して各構成要素に結合することができる。
【００２０】
サーバおよび侵入検出器２０４は、ＩＴコンピュータ・インフラストラクチャ２０３を監視する。サーバおよび侵入検出器２０４は、第５の通信チャネル２１４を介してＩＴコンピュータ・インフラストラクチャ２０３に結合される。また、サーバおよび侵入検出器２０４は、第６の通信チャネル２１５を介して偽陽性／真陽性検出器２０５にも結合される。サーバおよび侵入検出器は、ＩＴコンピュータ・インフラストラクチャ２０３上での実際の使用量および攻撃を監視し、ネットワーク侵入レポートを生成する。サーバおよび侵入検出器２０４は、偽陽性／真陽性検出器２０５からＩＴコンピュータ・インフラストラクチャ２０３へ比較データをリレーして、意味クラスタ分析を改良することもできる。さらに、前述の通信チャネルのいずれかが、無線回線、パケット交換チャネル、直接通信チャネル、およびこの３つの任意の組み合わせを包含することになる。さらに、図２に示されるように、前述の通信チャネルのいずれかを複数の通信チャネルまたは単一の通信を介して各構成要素に結合することができる。
【００２１】
偽陽性／真陽性検出器２０５は、脅威の事前評価の正確さを向上させる更新構成要素である。偽陽性／真陽性検出器２０５は、第４の通信チャネル２１３を介してネットワーク・スキャナに結合される。また偽陽性／真陽性検出器２０５は、第６の通信チャネル２１５を介してサーバおよび侵入検出器にも結合される。偽陽性／真陽性検出器２０５は、ネットワーク・スキャナ２０２から生成されたデータとサーバおよび侵入検出器２０４から生成されたデータとを比較して、偽陽性であると特定された識別済み脅威と、真陽性であると特定された識別済み脅威との相違点を特定する。脅威の区別が実施されると、脅威は優先順位付けされ、ＩＴコンピュータ・インフラストラクチャの防御ソフトウェアが更新される。偽陽性／真陽性検出器２０５によって使用される脅威の分析方法について、以下および図３の流れ図で詳細に説明する。さらに、前述の通信チャネルのいずれかが、無線リンク、パケット交換チャネル、回路交換または直接通信チャネル、情報転送の任意の他のチャネル、ならびにこうしたチャネルの任意の組み合わせを包含することになる。さらに、前述の通信チャネルのうちのいずれかを、図２に示されるように複数の通信チャネルまたは単一の通信チャネルを介して各構成要素に結合することができる。
【００２２】
図３を参照すると、参照番号３００は、関連するセキュリティの脅威を識別する方法を示す流れ図を全体として指定する。
【００２３】
ステップ３０１で、ネットワーク侵入検出装置が監査される。図２のシステム２００は、図２のネットワーク・スキャナ２０２などの様々なネットワーク・スキャン装置を監視することができる。図２のネットワーク・スキャナ２０２は、図２のＩＴコンピュータ・インフラストラクチャ２０３の防御構造の弱点について脅威の事前評価を実行する。図２の偽陽性／真陽性検出器２０５は、脅威の事前評価を介して特定されたすべての可能性のある脅威を取得するために、図２のネットワーク・スキャナ２０２の結果を監査する。
【００２４】
ステップ３０２で、ネットワーク侵入レポートが取り出される。図２のサーバおよび侵入検出器２０４は、侵入およびセキュリティ低下の実際の測定値を作成する。図２のシステム２００を監視することから、図２のサーバおよび侵入検出器２０４は、ネットワーク侵入レポートを生成し、図２の偽陽性／真陽性検出器２０５にこのレポートを転送する。
【００２５】
ステップ３０３、３０４、および３０５で、ネットワーク侵入レポートと脅威の事前評価とが比較される。図２の偽陽性／真陽性検出器２０５がこの比較を実行する。比較することにより、図２の偽陽性／真陽性検出器２０５は、事前評価された脅威のいずれが実際の脅威であるか、および事前評価された脅威のいずれが良性（benign）であるかを特定することができる。その後図２の偽陽性／真陽性検出器２０５は、事前評価された脅威が良性である場合、ステップ３０４で、事前評価された脅威に偽陽性とラベル付けすることができる。また、図２の偽陽性／真陽性検出器２０５は、事前評価された脅威が実際の脅威である場合、ステップ３０５で、事前評価された脅威に真陽性とラベル付けすることができる。
【００２６】
ステップ３０６、３０７、および３０８で、意味クラスタリングが改良される。図２のＩＴコンピュータ・インフラストラクチャ２０３の防御アルゴリズムは、ラベル付け済みの事前評価された脅威を、図２の偽陽性／真陽性検出器２０５からリアルタイムで受け取る。精密なラベル付けは、防御アルゴリズムが、以前に誤って実際のセキュリティ・リスクであると特定された可能性のある良性の使用を可能にするための防御アルゴリズムを有する意味クラスタリングを、高速で更新できるようにする。さらにステップ３０７で、真陽性はサイズごとにソートされ、ステップ３０８で、ユーザ定義の優先順位に従って優先順位付けされる。真陽性セキュリティ脅威の編成により、図２のＩＴコンピュータ・インフラストラクチャ２０３の防御をより良くすることができる。したがって、図３の改良型技法は、パターン・スペースのサイズを小さくし、多くの偽インスタンスを起動することなく潜在的な脅威を識別する。
【００２７】
前述の説明から、本発明の好ましい実施形態において、その真の趣旨を逸脱することなく、様々な修正および変更が実行可能であることをさらに理解されよう。この説明は単なる例示の目的であると意図されたものであり、限定的な意味であるとみなすべきではない。本発明の範囲は、添付の特許請求の範囲の言い回しによってのみ限定されるものとする。
【００２８】
以上、本発明について、ある特定の好ましい諸実施形態を参照しながら説明してきたが、開示された諸実施形態は、本来限定的でなく例示的であり、前述の開示では広範囲におよぶ変形、修正、変更、および置き換えが企図され、一部のインスタンスでは、対応する他の特徴を使用することなく本発明のいくつかの特徴が採用できることに留意されたい。多くのこうした変形および修正が、好ましい諸実施形態の前述の説明を再検討することに基づいて、当業者によって望ましいとみなされる場合がある。したがって、添付の特許請求の範囲は、広範囲にわたって、および本発明の範囲と一致する様式で、解釈されることが適切である。
【図面の簡単な説明】
【００２９】
【図１】サンプル生物分類を示すブロック図である。
【図２】関連するセキュリティの脅威を識別するためのシステムを示すブロック図である。
【図３】関連するセキュリティの脅威を識別するための方法を示す流れ図である。
【技術分野】
【０００１】
本発明は、一般にネットワーク・セキュリティに関し、とりわけ、潜在的なセキュリティの脅威を特定および削除するための概念的クラスタリングの使用に関する。
【背景技術】
【０００２】
現在のビジネス界では情報技術（ＩＴ）への依存が高まっているため、これまでになくＩＴインフラストラクチャを保護する必要が増している。ＩＴインフラストラクチャを保護するには、ネットワーク・セキュリティが主要な問題となっている。ダウンタイムの制限およびセキュアなデータ伝送の提供などの様々な理由から、ＩＴインフラストラクチャを保護することが求められている。
【０００３】
しかしながら、セキュリティ手段の実施は単純な作業ではない。ＩＴシステムの場合、セキュリティの基本的な手法は、ＩＴネットワークを横切るトラフィックを監視して、システム侵入を示すパターンを識別することである。侵入パターンを識別するためには、回帰分析およびある特定の帰納技法などの様々な方法が採用できる。一般にセキュリティ手法は、潜在的な侵入リスクを特定するために、ネットワーク・ポートおよびリソースの動作および要求の使用率を監視する。たとえば、日中または夜間のある一定の時間のある特定の要求がシステム攻撃を示す場合がある。したがって、パターン分析を採用してこうした特定を行うことができる。しかしながら、攻撃の方法は有限でもなければ静的でもない。むしろ攻撃の方法は変化する。したがって、パターン分析は、ＩＴインフラストラクチャに害を及ぼそうとしている者と少なくとも同じ体制または少なくとも同等の外観を維持するように更新されなければならない。
【０００４】
加えて、ネットワーク上で発生しているイベントの量が、一般にそれよりも量の少ない実際の侵入と比較して増加した場合、脅威の特定における難しさはそれに応じて増加する。スペースを簡略化することは可能であるが、スペースがあまりに一般的である場合、パターンは偽陽性（false positives）をトリガしてシステム・オペレーションを不必要に中断し、管理リソースを無駄に使用し、システムの信頼性を低下させることになる。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
したがって、現在のセキュリティ・アルゴリズムに関連付けられた従来の方法および装置に関連付けられた問題の少なくとも一部に対処する、潜在的なセキュリティ・リスクを分析する際の正確度を向上させるために質的および量的な測定値を利用するための方法あるいは装置またはその両方が求められている。
【課題を解決するための手段】
【０００６】
本発明は、情報技術（ＩＴ）インフラストラクチャに対するコンピュータ・セキュリティの脅威を特定するための装置を提供する。ネットワーク・スキャナは、少なくとも１つの生物分類（taxonomy）を利用して可能性のある侵入を特定する。侵入検出器は、少なくとも１つの実際の侵入を検出する。偽陽性／真陽性（true-positive）（ＦＰＴＰ）検出器は、特定された可能性のある侵入と検出された実際の侵入とを比較して、生物分類を更新する。
【０００７】
次に、本発明およびその利点をより完全に理解するために、添付の図面に関連して以下の説明を参照する。
【発明を実施するための最良の形態】
【０００８】
以下の考察では、本発明を完全に理解するために多数の特定の細部が示される。しかしながら、当業者であれば、本発明がこうした特定の細部なしで実施できることを理解されよう。その他の場合では、不必要な細部で本発明を不明瞭にしないために、良く知られた要素が概略図またはブロック図の形で示されている。さらにほとんどの部分で、ネットワーク通信、電磁信号技法などに関する細部は、こうした細部が本発明の完全な理解を得るために必要とみなされないため、および関連分野の技術者の理解の範囲内であるとみなされるため、省略されている。
【０００９】
さらに、特に指示されていない限り、本明細書で説明されたすべての機能は、ハードウェアまたはソフトウェア、あるいはそれらの何らかの組み合わせで実行可能であることに留意されたい。しかしながら好ましい実施形態では、これらの機能は、特に指示のない限り、コンピュータ・プログラム・コード、ソフトウェア、あるいはこうした機能を実行するために符号化された集積回路、またはそれらすべてなどの、コードに従って、コンピュータまたは電子データ・プロセッサなどのプロセッサによって実行される。
【００１０】
図面のうちの図１を参照すると、参照番号１００は、サンプル生物分類を示すブロック図を全体として指定する。生物分類１００は、第１のレベル１２０、第２のレベル１２２、第３のレベル１２４、および第４のレベル１２６を有する。さらに第１のレベル１２０は、曜日カテゴリ１０２を有する。さらに第２のレベル１２２は、週末カテゴリ１０４および平日カテゴリ１０６を有する。さらに第３のレベルは、土曜日カテゴリ１０８、日曜日カテゴリ１１０、月曜日カテゴリ１１２、および金曜日カテゴリ１１４を有する。さらに第４のレベル１２６は、第１のタイムスタンプｔ１、第２のタイムスタンプｔ２、および第３のタイムスタンプｔ３を有する。
【００１１】
生物分類を形成する場合、変化するレベルのそれぞれが相互に関係付けられる。タイムスタンプｔ１、ｔ２、およびｔ３は、週のうちの特定の時間に発生する。したがって、各タイムスタンプｔ１、ｔ２、およびｔ３は、土曜日１０８などの週のうちの特定の曜日としてカテゴリ化することが可能であり、週末１０４などの週のうちの時間としてカテゴリ化することが可能である。言い換えれば、後続の各レベルは、前のレベルの単一または複数のサブセットである。
【００１２】
これに応じて、タイムスタンプが属するサブセットに関する各タイムスタンプｔ１、ｔ２、およびｔ３に、数値を関係付けることができる。この種のカテゴリ化は「クラスタ」と呼ばれ、その定式化は「クラスタリング」として知られている。その後、この数値を使用して脅威のレベルを特定することができる。
【００１３】
セキュリティ分析には、通常、イベントの組み合わせおよび順序とわかっている侵入とを相関させる必要がある。可能な組み合わせおよび順序は莫大な数であるため、有用なパターンを識別するのは極端に困難な可能性がある。図１のサンプル生物分類などの生物分類を利用するクラスタ分析は、可能な組み合わせおよび順序の数をリアルタイムでより速く処理されるサイズにまで削減するための効果的なデータ削減ツールである。クラスタリングは、オブジェクトをカテゴリまたはクラスタにグループ化することを追求し、カテゴリのオブジェクトは同様の特徴を有する。
【００１４】
ほとんどのパターン分析は、類似点および相違点の量的または数値的測定値を使用して非常に適切に実行される。しかしながら、多くの有用な測定値およびパターンは質的または主観的であるため、類似点および相違点の測定値に容易に修正できるようにする特性を持たない。たとえば、バナナ、岩、およびヨーヨーの間の類似点の程度を決定する際に、量的測定値を一貫して適用することは困難である。
【００１５】
セキュリティにおいてＩＰアドレス（たとえば９．８．７６５．４３）などの共通の測定値が考えられる場合、この「数値」は実際には一致を表す。異なるＩＰアドレスは、セキュリティの観点から意味のある異なる特性を有する可能性がある。たとえば図１に示すように、アドレスが動的な場合、これらは特定のＩＰプロバイダ、特定の地理、または曜日を表す。
【００１６】
図面のうちの図２を参照すると、参照番号２００は、関連するセキュリティの脅威を識別するシステムを示すブロック図を全体として指定する。システム２００は、コンピュータ・ネットワーク２０１、情報技術コンピュータ（ＩＴ）インフラストラクチャ２０３、サーバおよび侵入検出器２０４、ならびに偽陽性／真陽性検出器２０５を備える。
【００１７】
コンピュータ・ネットワーク２０１は、第１の通信チャネル２１０を介してネットワーク・スキャナ２０２に結合される。またコンピュータ・ネットワーク２０１は、第２の通信チャネル２１１を介してＩＴコンピュータ・インフラストラクチャ２０３にも結合される。コンピュータ・ネットワーク２０１は、インターネットを含むがこれに限定されることのない、任意のタイプを有することもできる。さらに、前述の通信チャネルのうちのいずれかが、無線リンク、パケット交換チャネル、回路交換または直接通信チャネル、情報転送の任意の他のチャネル、ならびにこうしたチャネルの任意の組み合わせを包含することになる。さらに、前述の通信チャネルのうちのいずれかを、図２に示されるように複数の通信チャネルまたは単一の通信チャネルを介して各構成要素に結合することができる。
【００１８】
ネットワーク・スキャナ２０２はシステム２００の他の要素である。ネットワーク・スキャナ２０２は、ＩＴコンピュータ・インフラストラクチャ２０３の脅威の事前評価（assessment）分析を提供する。ネットワーク・スキャナ２０２は、第３の通信チャネル２１２を介してＩＴコンピュータ・インフラストラクチャ２０３に結合される。ネットワーク・スキャナは、第１の通信チャネル２１０を介してコンピュータ・ネットワーク２０１にも結合される。加えてネットワーク・スキャナ２０２は、第４の通信チャネル２１３を介して偽陽性／真陽性検出器２０５にも結合される。攻撃のシミュレーションおよび様々な他の技法を介して、ネットワーク・スキャナは、攻撃に関する可能性のあるパターンを特定することができる。言い換えれば、ネットワーク・スキャナ２０２は、観察可能なデータを有意味の構造に編成するかまたは生物分類を展開する。たとえば、特定の会社から検出された使用量それ自体は有用でない可能性があるが、他のデータと併用して攻撃に対応する相関関係が展開される場合がある。ＣｙｃＳｅｃｕｒｅ（登録商標）（Ｃｙｃｏｒｐ，Ｉｎｃ．，Ｓｕｉｔｅ １００， ３７２１ Ｅｘｅｃｕｔｉｖｅ Ｃｅｎｔｅｒ Ｄｒｉｖｅ， Ａｕｓｔｉｎ， ＴＸ ７８７３１の登録商標および製品）などの、ネットワーク・スキャンを提供して生物分類を展開する、いくつかのサービスがある。さらに、前述の通信チャネルのいずれかが、無線回線、パケット交換チャネル、直接通信チャネル、およびこの３つの任意の組み合わせを包含することになる。さらに、図２に示されるように、前述の通信チャネルのいずれかを複数の通信チャネルまたは単一の通信を介して各構成要素に結合することができる。
【００１９】
ＩＴコンピュータ・インフラストラクチャ２０３は、保護を必要とする構成要素である。ＩＴコンピュータ・インフラストラクチャ２０３は、第２の通信チャネル２１１を介してコンピュータ・ネットワークに結合される。また、ＩＴコンピュータ・インフラストラクチャ２０３は、第３の通信チャネル２１２を介してネットワーク・スキャナ２０２にも結合される。ＩＴコンピュータ・インフラストラクチャ２０３は、第５の通信チャネル２１４を介してサーバおよび侵入検出器２０４にも結合される。ＩＴコンピュータ・インフラストラクチャ２０３は、単一または複数のコンピュータあるいはサーバまたはその両方からなることができる。ＩＴコンピュータ・インフラストラクチャ２０３は、企業が運営に使用するフレームワークも提供する。さらに、前述の通信チャネルのいずれかが、無線回線、パケット交換チャネル、直接通信チャネル、およびこの３つの任意の組み合わせを包含することになる。さらに、図２に示されるように、前述の通信チャネルのいずれかを複数の通信チャネルまたは単一の通信を介して各構成要素に結合することができる。
【００２０】
サーバおよび侵入検出器２０４は、ＩＴコンピュータ・インフラストラクチャ２０３を監視する。サーバおよび侵入検出器２０４は、第５の通信チャネル２１４を介してＩＴコンピュータ・インフラストラクチャ２０３に結合される。また、サーバおよび侵入検出器２０４は、第６の通信チャネル２１５を介して偽陽性／真陽性検出器２０５にも結合される。サーバおよび侵入検出器は、ＩＴコンピュータ・インフラストラクチャ２０３上での実際の使用量および攻撃を監視し、ネットワーク侵入レポートを生成する。サーバおよび侵入検出器２０４は、偽陽性／真陽性検出器２０５からＩＴコンピュータ・インフラストラクチャ２０３へ比較データをリレーして、意味クラスタ分析を改良することもできる。さらに、前述の通信チャネルのいずれかが、無線回線、パケット交換チャネル、直接通信チャネル、およびこの３つの任意の組み合わせを包含することになる。さらに、図２に示されるように、前述の通信チャネルのいずれかを複数の通信チャネルまたは単一の通信を介して各構成要素に結合することができる。
【００２１】
偽陽性／真陽性検出器２０５は、脅威の事前評価の正確さを向上させる更新構成要素である。偽陽性／真陽性検出器２０５は、第４の通信チャネル２１３を介してネットワーク・スキャナに結合される。また偽陽性／真陽性検出器２０５は、第６の通信チャネル２１５を介してサーバおよび侵入検出器にも結合される。偽陽性／真陽性検出器２０５は、ネットワーク・スキャナ２０２から生成されたデータとサーバおよび侵入検出器２０４から生成されたデータとを比較して、偽陽性であると特定された識別済み脅威と、真陽性であると特定された識別済み脅威との相違点を特定する。脅威の区別が実施されると、脅威は優先順位付けされ、ＩＴコンピュータ・インフラストラクチャの防御ソフトウェアが更新される。偽陽性／真陽性検出器２０５によって使用される脅威の分析方法について、以下および図３の流れ図で詳細に説明する。さらに、前述の通信チャネルのいずれかが、無線リンク、パケット交換チャネル、回路交換または直接通信チャネル、情報転送の任意の他のチャネル、ならびにこうしたチャネルの任意の組み合わせを包含することになる。さらに、前述の通信チャネルのうちのいずれかを、図２に示されるように複数の通信チャネルまたは単一の通信チャネルを介して各構成要素に結合することができる。
【００２２】
図３を参照すると、参照番号３００は、関連するセキュリティの脅威を識別する方法を示す流れ図を全体として指定する。
【００２３】
ステップ３０１で、ネットワーク侵入検出装置が監査される。図２のシステム２００は、図２のネットワーク・スキャナ２０２などの様々なネットワーク・スキャン装置を監視することができる。図２のネットワーク・スキャナ２０２は、図２のＩＴコンピュータ・インフラストラクチャ２０３の防御構造の弱点について脅威の事前評価を実行する。図２の偽陽性／真陽性検出器２０５は、脅威の事前評価を介して特定されたすべての可能性のある脅威を取得するために、図２のネットワーク・スキャナ２０２の結果を監査する。
【００２４】
ステップ３０２で、ネットワーク侵入レポートが取り出される。図２のサーバおよび侵入検出器２０４は、侵入およびセキュリティ低下の実際の測定値を作成する。図２のシステム２００を監視することから、図２のサーバおよび侵入検出器２０４は、ネットワーク侵入レポートを生成し、図２の偽陽性／真陽性検出器２０５にこのレポートを転送する。
【００２５】
ステップ３０３、３０４、および３０５で、ネットワーク侵入レポートと脅威の事前評価とが比較される。図２の偽陽性／真陽性検出器２０５がこの比較を実行する。比較することにより、図２の偽陽性／真陽性検出器２０５は、事前評価された脅威のいずれが実際の脅威であるか、および事前評価された脅威のいずれが良性（benign）であるかを特定することができる。その後図２の偽陽性／真陽性検出器２０５は、事前評価された脅威が良性である場合、ステップ３０４で、事前評価された脅威に偽陽性とラベル付けすることができる。また、図２の偽陽性／真陽性検出器２０５は、事前評価された脅威が実際の脅威である場合、ステップ３０５で、事前評価された脅威に真陽性とラベル付けすることができる。
【００２６】
ステップ３０６、３０７、および３０８で、意味クラスタリングが改良される。図２のＩＴコンピュータ・インフラストラクチャ２０３の防御アルゴリズムは、ラベル付け済みの事前評価された脅威を、図２の偽陽性／真陽性検出器２０５からリアルタイムで受け取る。精密なラベル付けは、防御アルゴリズムが、以前に誤って実際のセキュリティ・リスクであると特定された可能性のある良性の使用を可能にするための防御アルゴリズムを有する意味クラスタリングを、高速で更新できるようにする。さらにステップ３０７で、真陽性はサイズごとにソートされ、ステップ３０８で、ユーザ定義の優先順位に従って優先順位付けされる。真陽性セキュリティ脅威の編成により、図２のＩＴコンピュータ・インフラストラクチャ２０３の防御をより良くすることができる。したがって、図３の改良型技法は、パターン・スペースのサイズを小さくし、多くの偽インスタンスを起動することなく潜在的な脅威を識別する。
【００２７】
前述の説明から、本発明の好ましい実施形態において、その真の趣旨を逸脱することなく、様々な修正および変更が実行可能であることをさらに理解されよう。この説明は単なる例示の目的であると意図されたものであり、限定的な意味であるとみなすべきではない。本発明の範囲は、添付の特許請求の範囲の言い回しによってのみ限定されるものとする。
【００２８】
以上、本発明について、ある特定の好ましい諸実施形態を参照しながら説明してきたが、開示された諸実施形態は、本来限定的でなく例示的であり、前述の開示では広範囲におよぶ変形、修正、変更、および置き換えが企図され、一部のインスタンスでは、対応する他の特徴を使用することなく本発明のいくつかの特徴が採用できることに留意されたい。多くのこうした変形および修正が、好ましい諸実施形態の前述の説明を再検討することに基づいて、当業者によって望ましいとみなされる場合がある。したがって、添付の特許請求の範囲は、広範囲にわたって、および本発明の範囲と一致する様式で、解釈されることが適切である。
【図面の簡単な説明】
【００２９】
【図１】サンプル生物分類を示すブロック図である。
【図２】関連するセキュリティの脅威を識別するためのシステムを示すブロック図である。
【図３】関連するセキュリティの脅威を識別するための方法を示す流れ図である。
【特許請求の範囲】
【請求項１】
複数の可能性のあるネットワーク侵入の可能性のある侵入レポートを取得するステップと、
少なくとも１つの生物分類を利用するように構成された、セキュリティ・ネットワークから少なくとも１つの実際の侵入レポートを取り出すステップと、
偽陽性および真陽性を特定するために、前記可能性のある侵入レポートと前記実際の侵入レポートとを比較するステップと、
前記偽陽性のうちの少なくとも１つおよび前記真陽性のうちの少なくとも１つで、前記少なくとも１つの生物分類を更新するステップと、
を有する、コンピュータ・セキュリティの脅威を特定するための方法。
【請求項２】
前記比較するステップが、
複数の可能性のあるネットワーク侵入のうちの少なくとも１つの可能性のあるネットワーク侵入を、少なくとも１つの実際の侵入が発生しなかった場合に、偽陽性としてラベル付けするステップと、
複数の可能性のあるネットワーク侵入のうちの少なくとも１つの可能性のあるネットワーク侵入を、少なくとも１つの実際の侵入が発生した場合に、真陽性としてラベル付けするステップと、
をさらに有する、請求項１に記載の方法。
【請求項３】
前記少なくとも１つの生物分類を更新するステップが、真陽性としてラベル付けされた前記複数のネットワーク侵入のうちの前記少なくとも１つの可能性のあるネットワーク侵入をソートするステップをさらに有する、請求項１に記載の方法。
【請求項４】
前記少なくとも１つの生物分類を更新するステップが、真陽性としてラベル付けされた前記複数のネットワーク侵入のうちの前記少なくとも１つの可能性のあるネットワーク侵入を優先順位付けするステップをさらに有する、請求項１に記載の方法。
【請求項５】
複数の可能性のあるネットワーク侵入の可能性のある侵入レポートを取得するための手段と、
少なくとも１つの生物分類を利用するように構成された、セキュリティ・ネットワークから少なくとも１つの実際の侵入レポートを取り出すための手段と、
偽陽性および真陽性を特定するために、前記可能性のある侵入レポートと前記実際の侵入レポートとを比較するための手段と、
前記偽陽性のうちの少なくとも１つおよび前記真陽性のうちの少なくとも１つで、前記少なくとも１つの生物分類を更新するための手段と、
を有する、コンピュータ・セキュリティの脅威を特定するための装置。
【請求項６】
前記比較するための手段が、
複数の可能性のあるネットワーク侵入のうちの少なくとも１つの可能性のあるネットワーク侵入を、少なくとも１つの実際の侵入が発生しなかった場合に、偽陽性としてラベル付けするための手段と、
複数の可能性のあるネットワーク侵入のうちの少なくとも１つの可能性のあるネットワーク侵入を、少なくとも１つの実際の侵入が発生した場合に、真陽性としてラベル付けするための手段と、
をさらに有する、請求項５に記載の装置。
【請求項７】
前記少なくとも１つの生物分類を更新するための手段が、真陽性としてラベル付けされた前記複数のネットワーク侵入のうちの前記少なくとも１つの可能性のあるネットワーク侵入をソートするための手段をさらに有する、請求項５に記載の装置。
【請求項８】
前記少なくとも１つの生物分類を更新するための手段が、真陽性としてラベル付けされた前記複数のネットワーク侵入のうちの前記少なくとも１つの可能性のあるネットワーク侵入を優先順位付けするための手段をさらに有する、請求項５に記載の装置。
【請求項９】
コンピュータ・セキュリティの脅威を特定するためのプログラムであって、前記プログラムが、
複数の可能性のあるネットワーク侵入の可能性のある侵入レポートを取得する機能と、
少なくとも１つの生物分類を利用するように構成された、セキュリティ・ネットワークから少なくとも１つの実際の侵入レポートを取り出す機能と、
偽陽性および真陽性を特定するために、前記可能性のある侵入レポートと前記実際の侵入レポートとを比較する機能と、
前記偽陽性のうちの少なくとも１つおよび前記真陽性のうちの少なくとも１つで、前記少なくとも１つの生物分類を更新する機能と、
をコンピュータに実現させるプログラム。
【請求項１０】
前記比較する機能が、
複数の可能性のあるネットワーク侵入のうちの少なくとも１つの可能性のあるネットワーク侵入を、少なくとも１つの実際の侵入が発生しなかった場合に、偽陽性としてラベル付けする機能と、
複数の可能性のあるネットワーク侵入のうちの少なくとも１つの可能性のあるネットワーク侵入を、少なくとも１つの実際の侵入が発生した場合に、真陽性としてラベル付けする機能と、
をさらに有する、請求項９に記載のプログラム。
【請求項１１】
前記少なくとも１つの生物分類を更新する機能が、真陽性としてラベル付けされた前記複数のネットワーク侵入のうちの前記少なくとも１つの可能性のあるネットワーク侵入をソートする機能をさらに有する、請求項９に記載のプログラム。
【請求項１２】
前記少なくとも１つの生物分類を更新する機能が、真陽性としてラベル付けされた前記複数のネットワーク侵入のうちの前記少なくとも１つの可能性のあるネットワーク侵入を優先順位付けする機能をさらに有する、請求項９に記載のプログラム。
【請求項１３】
コンピュータ・セキュリティの脅威を特定するためのプログラムを記録したコンピュータ可読媒体であって、前記プログラムが、
複数の可能性のあるネットワーク侵入の可能性のある侵入レポートを取得する機能と、
少なくとも１つの生物分類を利用するように構成された、セキュリティ・ネットワークから少なくとも１つの実際の侵入レポートを取り出す機能と、
偽陽性および真陽性を特定するために、前記可能性のある侵入レポートと前記実際の侵入レポートとを比較する機能と、
前記偽陽性のうちの少なくとも１つおよび前記真陽性のうちの少なくとも１つで、前記少なくとも１つの生物分類を更新する機能と、
をコンピュータに実現させる媒体。
【請求項１４】
前記比較する機能が、
複数の可能性のあるネットワーク侵入のうちの少なくとも１つの可能性のあるネットワーク侵入を、少なくとも１つの実際の侵入が発生しなかった場合に、偽陽性としてラベル付けする機能と、
複数の可能性のあるネットワーク侵入のうちの少なくとも１つの可能性のあるネットワーク侵入を、少なくとも１つの実際の侵入が発生した場合に、真陽性としてラベル付けする機能と、
をさらに有する、請求項１３に記載の媒体。
【請求項１５】
前記少なくとも１つの生物分類を更新する機能が、真陽性としてラベル付けされた前記複数のネットワーク侵入のうちの前記少なくとも１つの可能性のあるネットワーク侵入をソートする機能をさらに有する、請求項１３に記載の媒体。
【請求項１６】
前記少なくとも１つの生物分類を更新する機能が、真陽性としてラベル付けされた前記複数のネットワーク侵入のうちの前記少なくとも１つの可能性のあるネットワーク侵入を優先順位付けする機能をさらに有する、請求項１３に記載の媒体。
【請求項１７】
少なくとも１つの可能性のある侵入を特定するために少なくとも１つの生物分類を利用する、ネットワーク・スキャナと、
少なくとも１つの実際の侵入を検出する、侵入検出器と、
前記少なくとも１つの生物分類を更新するために、前記少なくとも１つの可能性のある侵入と前記少なくとも１つの実際の侵入とを比較する、偽陽性／真陽性（ＦＰＴＰ）検出器と、
を備える、情報技術（ＩＴ）インフラストラクチャに結合された、コンピュータ・セキュリティの脅威を特定するための装置。
【請求項１８】
さらに前記ＦＰＴＰ検出器が、前記少なくとも１つの可能性のある侵入に偽陽性または真陽性としてラベル付けするように少なくとも構成される、請求項１７に記載の装置。
【請求項１９】
前記ＦＰＴＰ検出器が、真陽性としてラベル付けされた可能性のある侵入をソートするように少なくとも構成される、請求項１８に記載の装置。
【請求項２０】
前記ＦＰＴＰ検出器が、真陽性としてラベル付けされた可能性のある侵入を優先順位付けするように少なくとも構成される、請求項１８に記載の装置。
【請求項１】
複数の可能性のあるネットワーク侵入の可能性のある侵入レポートを取得するステップと、
少なくとも１つの生物分類を利用するように構成された、セキュリティ・ネットワークから少なくとも１つの実際の侵入レポートを取り出すステップと、
偽陽性および真陽性を特定するために、前記可能性のある侵入レポートと前記実際の侵入レポートとを比較するステップと、
前記偽陽性のうちの少なくとも１つおよび前記真陽性のうちの少なくとも１つで、前記少なくとも１つの生物分類を更新するステップと、
を有する、コンピュータ・セキュリティの脅威を特定するための方法。
【請求項２】
前記比較するステップが、
複数の可能性のあるネットワーク侵入のうちの少なくとも１つの可能性のあるネットワーク侵入を、少なくとも１つの実際の侵入が発生しなかった場合に、偽陽性としてラベル付けするステップと、
複数の可能性のあるネットワーク侵入のうちの少なくとも１つの可能性のあるネットワーク侵入を、少なくとも１つの実際の侵入が発生した場合に、真陽性としてラベル付けするステップと、
をさらに有する、請求項１に記載の方法。
【請求項３】
前記少なくとも１つの生物分類を更新するステップが、真陽性としてラベル付けされた前記複数のネットワーク侵入のうちの前記少なくとも１つの可能性のあるネットワーク侵入をソートするステップをさらに有する、請求項１に記載の方法。
【請求項４】
前記少なくとも１つの生物分類を更新するステップが、真陽性としてラベル付けされた前記複数のネットワーク侵入のうちの前記少なくとも１つの可能性のあるネットワーク侵入を優先順位付けするステップをさらに有する、請求項１に記載の方法。
【請求項５】
複数の可能性のあるネットワーク侵入の可能性のある侵入レポートを取得するための手段と、
少なくとも１つの生物分類を利用するように構成された、セキュリティ・ネットワークから少なくとも１つの実際の侵入レポートを取り出すための手段と、
偽陽性および真陽性を特定するために、前記可能性のある侵入レポートと前記実際の侵入レポートとを比較するための手段と、
前記偽陽性のうちの少なくとも１つおよび前記真陽性のうちの少なくとも１つで、前記少なくとも１つの生物分類を更新するための手段と、
を有する、コンピュータ・セキュリティの脅威を特定するための装置。
【請求項６】
前記比較するための手段が、
複数の可能性のあるネットワーク侵入のうちの少なくとも１つの可能性のあるネットワーク侵入を、少なくとも１つの実際の侵入が発生しなかった場合に、偽陽性としてラベル付けするための手段と、
複数の可能性のあるネットワーク侵入のうちの少なくとも１つの可能性のあるネットワーク侵入を、少なくとも１つの実際の侵入が発生した場合に、真陽性としてラベル付けするための手段と、
をさらに有する、請求項５に記載の装置。
【請求項７】
前記少なくとも１つの生物分類を更新するための手段が、真陽性としてラベル付けされた前記複数のネットワーク侵入のうちの前記少なくとも１つの可能性のあるネットワーク侵入をソートするための手段をさらに有する、請求項５に記載の装置。
【請求項８】
前記少なくとも１つの生物分類を更新するための手段が、真陽性としてラベル付けされた前記複数のネットワーク侵入のうちの前記少なくとも１つの可能性のあるネットワーク侵入を優先順位付けするための手段をさらに有する、請求項５に記載の装置。
【請求項９】
コンピュータ・セキュリティの脅威を特定するためのプログラムであって、前記プログラムが、
複数の可能性のあるネットワーク侵入の可能性のある侵入レポートを取得する機能と、
少なくとも１つの生物分類を利用するように構成された、セキュリティ・ネットワークから少なくとも１つの実際の侵入レポートを取り出す機能と、
偽陽性および真陽性を特定するために、前記可能性のある侵入レポートと前記実際の侵入レポートとを比較する機能と、
前記偽陽性のうちの少なくとも１つおよび前記真陽性のうちの少なくとも１つで、前記少なくとも１つの生物分類を更新する機能と、
をコンピュータに実現させるプログラム。
【請求項１０】
前記比較する機能が、
複数の可能性のあるネットワーク侵入のうちの少なくとも１つの可能性のあるネットワーク侵入を、少なくとも１つの実際の侵入が発生しなかった場合に、偽陽性としてラベル付けする機能と、
複数の可能性のあるネットワーク侵入のうちの少なくとも１つの可能性のあるネットワーク侵入を、少なくとも１つの実際の侵入が発生した場合に、真陽性としてラベル付けする機能と、
をさらに有する、請求項９に記載のプログラム。
【請求項１１】
前記少なくとも１つの生物分類を更新する機能が、真陽性としてラベル付けされた前記複数のネットワーク侵入のうちの前記少なくとも１つの可能性のあるネットワーク侵入をソートする機能をさらに有する、請求項９に記載のプログラム。
【請求項１２】
前記少なくとも１つの生物分類を更新する機能が、真陽性としてラベル付けされた前記複数のネットワーク侵入のうちの前記少なくとも１つの可能性のあるネットワーク侵入を優先順位付けする機能をさらに有する、請求項９に記載のプログラム。
【請求項１３】
コンピュータ・セキュリティの脅威を特定するためのプログラムを記録したコンピュータ可読媒体であって、前記プログラムが、
複数の可能性のあるネットワーク侵入の可能性のある侵入レポートを取得する機能と、
少なくとも１つの生物分類を利用するように構成された、セキュリティ・ネットワークから少なくとも１つの実際の侵入レポートを取り出す機能と、
偽陽性および真陽性を特定するために、前記可能性のある侵入レポートと前記実際の侵入レポートとを比較する機能と、
前記偽陽性のうちの少なくとも１つおよび前記真陽性のうちの少なくとも１つで、前記少なくとも１つの生物分類を更新する機能と、
をコンピュータに実現させる媒体。
【請求項１４】
前記比較する機能が、
複数の可能性のあるネットワーク侵入のうちの少なくとも１つの可能性のあるネットワーク侵入を、少なくとも１つの実際の侵入が発生しなかった場合に、偽陽性としてラベル付けする機能と、
複数の可能性のあるネットワーク侵入のうちの少なくとも１つの可能性のあるネットワーク侵入を、少なくとも１つの実際の侵入が発生した場合に、真陽性としてラベル付けする機能と、
をさらに有する、請求項１３に記載の媒体。
【請求項１５】
前記少なくとも１つの生物分類を更新する機能が、真陽性としてラベル付けされた前記複数のネットワーク侵入のうちの前記少なくとも１つの可能性のあるネットワーク侵入をソートする機能をさらに有する、請求項１３に記載の媒体。
【請求項１６】
前記少なくとも１つの生物分類を更新する機能が、真陽性としてラベル付けされた前記複数のネットワーク侵入のうちの前記少なくとも１つの可能性のあるネットワーク侵入を優先順位付けする機能をさらに有する、請求項１３に記載の媒体。
【請求項１７】
少なくとも１つの可能性のある侵入を特定するために少なくとも１つの生物分類を利用する、ネットワーク・スキャナと、
少なくとも１つの実際の侵入を検出する、侵入検出器と、
前記少なくとも１つの生物分類を更新するために、前記少なくとも１つの可能性のある侵入と前記少なくとも１つの実際の侵入とを比較する、偽陽性／真陽性（ＦＰＴＰ）検出器と、
を備える、情報技術（ＩＴ）インフラストラクチャに結合された、コンピュータ・セキュリティの脅威を特定するための装置。
【請求項１８】
さらに前記ＦＰＴＰ検出器が、前記少なくとも１つの可能性のある侵入に偽陽性または真陽性としてラベル付けするように少なくとも構成される、請求項１７に記載の装置。
【請求項１９】
前記ＦＰＴＰ検出器が、真陽性としてラベル付けされた可能性のある侵入をソートするように少なくとも構成される、請求項１８に記載の装置。
【請求項２０】
前記ＦＰＴＰ検出器が、真陽性としてラベル付けされた可能性のある侵入を優先順位付けするように少なくとも構成される、請求項１８に記載の装置。
【図１】
【図２】
【図３】
【図２】
【図３】
【公表番号】特表２００７−５３３００１（Ｐ２００７−５３３００１Ａ）
【公表日】平成１９年１１月１５日（２００７．１１．１５）
【国際特許分類】
【出願番号】特願２００７−５０７３５７（Ｐ２００７−５０７３５７）
【出願日】平成１７年３月２９日（２００５．３．２９）
【国際出願番号】ＰＣＴ／ＵＳ２００５／０１０３５８
【国際公開番号】ＷＯ２００５／１０１７２０
【国際公開日】平成１７年１０月２７日（２００５．１０．２７）
【出願人】（３９０００９５３１）インターナショナル・ビジネス・マシーンズ・コーポレーション (4,084)
【氏名又は名称原語表記】ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＢＵＳＩＮＥＳＳ ＭＡＳＣＨＩＮＥＳ ＣＯＲＰＯＲＡＴＩＯＮ
【Ｆターム（参考）】
【公表日】平成１９年１１月１５日（２００７．１１．１５）
【国際特許分類】
【出願日】平成１７年３月２９日（２００５．３．２９）
【国際出願番号】ＰＣＴ／ＵＳ２００５／０１０３５８
【国際公開番号】ＷＯ２００５／１０１７２０
【国際公開日】平成１７年１０月２７日（２００５．１０．２７）
【出願人】（３９０００９５３１）インターナショナル・ビジネス・マシーンズ・コーポレーション (4,084)
【氏名又は名称原語表記】ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＢＵＳＩＮＥＳＳ ＭＡＳＣＨＩＮＥＳ ＣＯＲＰＯＲＡＴＩＯＮ
【Ｆターム（参考）】
[ Back to top ]