監視および警告のシステムおよび方法
コンピュータアプリケーションソフトウェア、オペレーティングシステム、ネットワークオペレーティングシステム、およびファイアウォールシステム内で許可されたユーザの特定のトランザクションアクセスパターンについてのユーザ行動プロフィールを構築し、異例のトランザクション活動を検知するために対象ユーザの現行の活動を監視する方法および装置を開示する。ユーザが普段日常的に行っているファイルアクセスおよび特定のアプリケーションによってサポートされているトランザクションからそれる「信頼できるユーザ」を早期に検知するために、方法および装置を用いることもできる。次に、警告メッセージが発行される。その後装置は、アプリケーション管理者に活動を許可すべきか否か判断させて、プロフィールに矛盾するこの特定のトランザクション活動を許可してもよい。このようにして、更なる警告を回避する。
【発明の詳細な説明】
【技術分野】
【０００１】
分野
本発明は全般的にはコンピュータシステムに関し、特に、このようなシステムの監視を増強し、警告を発することに関する。
【０００２】
著作権表示／許諾
本特許文書の開示の一部は、著作権保護の対象となる資料を含んでいる。著作権者は、特許商標庁の特許ファイルまたは記録に現れる本特許文書または特許開示のファクシミリ複製をいかなる者が行っても異議を唱えないが、それ以外のあらゆるすべての著作権の権利を保有する。以下の表示は、後述するソフトウェアおよびデータ、ならびに添付の図面に適用される。著作権（Ｃ）２００３，２００４：全ての著作権はＫｅｎｎｓｃｏ，Ｉｎｃ．に帰属する。
【背景技術】
【０００３】
背景
インターネット、エクストラネット、およびイントラネットの利用が増加の一途をたどる状況に伴って、ネットワークおよびコンピュータシステム上で信頼できるユーザの活動を監視するための方法を得ることがますます重要になってきている。企業ビジネスシステムへのアクセスが増大することによって、従業員だけでなく、顧客、ベンダおよびビジネスパートナーも相当量の機密情報へアクセスすることができるようになっている。このような人たちのグループは、多くの場合、セキュアなビジネストランザクションを行うことができるため、いわゆる信頼できるユーザのロールが与えられる。ユーザＩＤは、アクセスされるアプリケーションに登録されているユーザが誰であるのかを特定する文字列で表されるが、今日のコンピュータシステムは、このユーザＩＤによって不正アクセスから通常内部的に保護されている。これと同じく、ユーザＩＤを所有する個人しか知らないようなパスワードと呼ばれる文字列を用いて、ＩＤの検証をさらに行うこともできる。スマートカード、サインオンソフトウェアが提供する鍵付きの情報など、このＩＤの認証を強化したり、また遂行したりするための種々の手段が存在する。
【０００４】
さらに、リモートユーザによる企業のアプリケーションの利用も可能にしたいという要望は指数関数的に増加してきた。リモートユーザとは通常、従業員の、顧客、ベンダなどから構成されるが、リモートユーザが非常に多様なので、信頼できるコミュニティの外部の者が既存のパスワード認証を破るリスクは増大する。
【０００５】
ユーザＩＤおよびパスワードのクラッキングシステム、ならびに紛失ＩＤあるいは盗難ＩＤを使用することによって、セキュリティメカニズムを破る機会がかなりある。セキュリティを破った後に、この情報を用いてアクセスし、機密情報を含むアプリケーションシステムに信頼できるユーザとして現れて、アプリケーション内で不正行為をはたらく虞がある。このような状況は、不満を抱いた従業員によってさらに悪化する。しかも、組織内の離職率が高い場合、組織内でのコミュニケーション不足のためにユーザアクセスの無効化が見過ごされたり、あるいは著しく遅れたりすることが多い。最近の研究は、７０％−８０％のコンピュータ不正行為が内部の信頼できるユーザによって行われていることを示している。
【０００６】
所与のアプリケーション内で行う広範囲のビジネス活動を提供する統合業務ソフト（ＥＲＰ：Ｅｎｔｅｒｐｒｉｓｅ Ｒｅｓｏｕｒｃｅ Ｐｌａｎｎｉｎｇ）システムおよび他の完全統合ソリューションの出現に伴って、該アプリケーション内で信頼できるユーザが行うトランザクションを監視することがますます重要になってきている。同様に、すべての包括的なアプリケーション内では、特定のロールが割り当てられたユーザに対して許可されているトランザクションを特定する、発展し続ける「ロール」（ｄｅｖｅｌｏｐｉｎｇ ”ｒｏｌｅ”）の出現。大規模なアプリケーションでは利用可能なトランザクションは数千にも達することがあるが、これらの大規模なアプリケーション内のセキュリティ管理タスクを最小化するために、上記の方法を使用する。ユーザがビジネス活動を行うために必要とする特定のトランザクションを最前線で特定するタスクは、極めて複雑で多大な時間を要する。その結果、多くの場合、ロールの設定が適切な任務の分離を保証するには、広過ぎ、かつ無効になってしまい、機密情報を必知事項ベースで効率的に制御できなくなる。
【０００７】
今日の市場で一般的に入手可能なソリューションの多くは、「侵入検知」に焦点を当てている。これらのソリューションは通常、ネットワークレベルでの監視および異常検知プロセスを提供する。ネットワークレベルで動作する場合、これらのソリューションはサーバまたは「アプリケーション」レベルでの活動の監視に限定される。該アプリケーションには例えば、ＳＡＰがあるが、これはアプリケーション全体のすべてのトランザクションまたは割り当てられたロールによって特定されるすべてのトランザクションのアクセスに関連する。これらのソリューションは、サーバまたはデータベースアクセスの監視をさらに提供することができる。このように、これらのソリューションは通常、ユーザがアプリケーション、サーバまたはデータベース内にアクセスして、どのような特定のトランザクションを行うかということを知るために必要な粒度を提供しない。同様に、これらのソリューションは、経路に関連する情報と、ファイアウォール、オペレーティングシステムおよびネットワークオペレーティングシステムで行われる認証とのフォレンシックな相関関係を通常提供しない。
【０００８】
信頼できるユーザとして、ユーザはサポートされているすべての権限にアクセスする必要がある訳ではないが、所与のサーバ、アプリケーションあるいはデータベースにアクセスする必要がおそらくあるだろう。ソリューションの大半は同様に、これらの異常をリアルタイムモードで検知し、機能を行おうと試みるユーザの活動を制限しようしたり、または中断しようとする。この技術にはフォルスポジティブおよびフォルスネガティブが伴う。多くの場合、警告メカニズムは管理者に負担をかけ、これはエンドユーザの効力の無効化につながる
活動を制限するこれらのソリューションは多くの場合、主要なフラストレーション源となり、潜在的な障害物として働く。これは、管理が間に入って、オーバーライドが導入され、ソリューションが完全に無効化されるという点で、生産性に大きく影響することがある。したがって、多くの会社がこのアプローチを放棄し、受け付けた逸脱行為から真の脅威を実質的に検知することはできない。結果として信頼性が欠如し、そのためこれらのソリューションは役に立たないものとみなされる。善意のセキュリティスタッフは、通常数々のフォルスポジティブで雑然としている膨大な侵入検知システム（ＩＤＳ：Ｉｎｔｒｕｃｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）のログファイルから的確なイベント情報を抽出することに苦労している。真の脅威を適切に特定することは極めて難しくなっており、結果として、すべてのフォルスポジティブの中で真の脅威が完全に見逃されてしまうことがよくある。
【０００９】
上記の問題および短所に鑑みると、当業界では本発明が必要である。
【発明の開示】
【課題を解決するための手段】
【００１０】
発明の概要
上述の短所、欠点および問題は本発明によって対処される。本発明は、以下の明細書を読んで、検討することによって理解されるであろう。
【００１１】
システムの一態様は、コンピュータアプリケーションソフトウェア内で許可されたユーザの特定のトランザクションアクセスパターンについてのユーザ行動プロフィールを構築するステップと、異例のトランザクション活動を検知するために対象ユーザの現行の活動を監視するステップとを含む。
【００１２】
システムの更なる態様は、ファイアウォールアクセス、アプリケーションへアクセスするために利用されるオペレーティングシステム（ＯＳ）およびネットワークオペレーティングシステム（ＮＯＳ）に関連する経路ならびに認証プロセスの形跡についてフォレンシックな手がかりを提供するステップを含む。
【００１３】
ユーザが普段日常的に行っているファイルアクセスおよび特定のアプリケーションによってサポートされているトランザクションからそれる「信頼できるユーザ」を早期に検知するために、方法および装置を用いることもできる。次に、警告メッセージが発行される。その後装置は、アプリケーションを管理している権限者に該活動を許可するべきか否かを判断させて、プロフィールに矛盾するこの特定のトランザクション活動を許可してもよい。このようにして、更なる警告を回避する。方法およびソフトウェアツールは、トランザクション活動ハーベスタ、トランザクションパーサ、解析プロフィールビルダ、クライアントＩＤビルダ、アプリケーション内のトランザクションのトランザクションＩＤビルダ、および監視警告システムを含む構成とすることもできる。
【００１４】
更なる態様は、アプリケーションの使用を監視する方法を含む。方法は、一人以上のコンピュータアプリケーションのユーザのトランザクション活動を受け取るステップを含む。次に、トランザクション活動を解析してもよい。解析によって、所望しないレコードを除去して、レコードを定形フォーマットに置くこともできる。次に、解析済みのトランザクション活動とユーザの所定のプロフィールとを比較してもよい。所定のプロフィールは、ユーザの以前のログオンおよびトランザクション活動に通常基づくものであろう。解析済みのトランザクション活動のいずれかが所定のプロフィールに一致しない場合、警告を発することもできる。
【００１５】
またシステムおよび方法の更なる態様は、目的のトランザクションの識別および警告の発生を許可する条件の識別を補助するために、ルールエンジンを用いることもできるという点である。
【００１６】
本発明は、システム、クライアント、サーバ、方法および可変範囲であるコンピュータで読み取り可能な媒体を説明する。この概要に記載されている本発明の態様および利点に加え、本発明の更なる態様および利点は図面を参照することによって、また、以下の詳細な説明を読むことによって明らかになるであろう。
【発明を実施するための最良の形態】
【００１７】
詳細な説明
以下の本発明の典型的な実施形態の詳細な説明では、本明細書の一部を成す添付の図面を参照する。該図面には、本発明を実施することができる特定の典型的な実施形態を図解によって示す。当業者が本発明を実施できるように、これらの実施形態を十分に詳細に説明する。また、他の実施形態を利用してもよく、本発明の範囲から逸脱することなく、論理的、機械的、電気的な変更および他の変更を行ってもよいことを理解されたい。
【００１８】
コンピュータメモリ内のデータビットに対する操作のアルゴリズムおよびシンボル表現を用いて、以下の詳細な説明の一部を提示する。これらのアルゴリズム的記述および表現は、データ処理業界の当業者が自身の研究内容を他の当業者に最も効率的に伝えるために用いる方法である。ここではアルゴリズムは、通常、所望の結果を導く首尾一貫したステップのシーケンスである考えられる。このステップは、物理量の物理的な操作を必要とするステップである。必須ではないが、たいていの場合これらの量は、記憶、転送、結合、比較、およびその他の方法で操作することができる電子的な信号または磁気的な信号の形をとっている。主に慣用の理由から、これらの信号をビット、値、要素、シンボル、文字、項、数字、またはそれに類するものとして参照する方が、時として便利であることがわかっている。しかし、これらの用語および同様の用語はすべて、適切な物理量に関連付けられており、これらの量に都合のよいラベルが適用されているだけである点に留意されたい。特に言及したり、あるいは、以下の論考から明らかである場合を除き、「処理」、「演算」、「計算」、「判断」、「表示」または同様の用語などは、コンピュータシステムのレジスタおよびメモリ内で物理（例えば、電気）量として表されるデータを操作して、コンピュータシステムのメモリまたはレジスタ、あるいは他の情報記憶、伝送または表示デバイス内で同様に物理量として表される他データに変換するコンピュータシステムまたは同様のデバイスの動作およびプロセスを示している。
【００１９】
図において、複数の図に現れる同一の構成要素を示すために、同一の参照番号を一貫して用いる。信号および接続は、同一参照番号またはラベルが付されている場合もあるが、実際の意味合いは説明の文脈中の使用法から明確になるであろう。
【００２０】
したがって、以下の詳細な説明は限定的な意味でとられるべきものではなく、また、本発明の範囲は添付の特許請求の範囲によってのみ画定される。
動作環境
図１は、本発明の一実施形態による方法の全体的な処理およびトランザクション監視警告システムを構成する主要なモジュールの機能ブロック図を示す。本方法は、アプリケーションへのアクセス取得に関連する活動をキャプチャすることから始まる。該活動のキャプチャは、アクセスに関連する情報、ならびにファイアウォール、オペレーティングシステムおよびネットワークオペレーティングシステムレベルで行われる認証プロセスのほか、対象とする一つ以上のアプリケーションセット内でトランザクションレベルのデータをキャプチャすることによって行われる。なお、該アプリケーションは、アプリケーションサーバおよびデータベースサーバ上に存在し、これらのサーバは企業内に存在してもよい。このようなトランザクション活動は、トランザクションを実行する過程でユーザが行う特定の活動についての情報と、ユーザがどのようにアプリケーションへアクセスしたかというフォレンシックな手がかりとを含むこともできる。このような情報の例は、どのアカウントがアクセスされたか、品番または注文書がどれかなどを含む。図２で、このプロセスについてのさらに詳細な事項を提供する。
【００２１】
対象アプリケーションに対する所望のトランザクション活動のすべてをキャプチャした後に、活動情報をリモートホスト側に伝送して、さらに処理してもよい。本発明のいくつかの実施形態において、ファイル転送プロトコル（ＦＴＰ：Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）をデータ転送に用いる。しかしながら、本発明は何らかの特定のファイル転送メカニズムに限定されるものではない。更なる実施形態においては、伝送する前に活動データを暗号化する。さらに、いくつかの実施形態において、トランザクションが発生するソフトウェアアプリケーションと同一のシステム上で、以下に記載のシステムおよび方法を実行してもよい。これらの実施形態では、トランザクションを転送する必要はない。
【００２２】
活動データの転送後に、監視警告システムは解析プロセスを開始する。いくかの実施形態において、該解析プロセスは六つの主要なプロセス活動を含む。いくつかの実施形態においては、いわゆるコントアリングエンジン（ｃｏｎｔｏｕｒｉｎｇ ｅｎｇｉｎｅ）の一部として該プロセス活動を実行する。これらの主要なプロセス活動は、トランザクション活動ハーベスタ１、トランザクション活動パーサ２、解析プロフィールビルダ３、クライアントＩＤビルダ４、トランザクションＩＤビルダ５、および監視警告システム６を含む。これらのプロセスのいくつか、あるいはすべては、特定のコンピュータアプリケーション内で信頼できるユーザの異例のトランザクション活動を検知するために、リアルタイムに近いモードで動作することもできる。
【００２３】
図２は、本発明の一実施形態による、監視される特定のアプリケーション内でのトランザクション活動についてのユーザプロフィールを構築する活動プロフィールビルダのブロック図を示す。いくつかの実施形態において、活動プロフィールビルダは三つの機能を含み、その第一の機能がトランザクション活動１０１の収集である。トランザクション活動は、アクセスおよび認証活動を含み、該アクセスおよび認証活動は、特定の装置で利用しているファイアウォール、オペレーティングシステム、および／またはネットワークオペレーティングシステムによって維持することもできる。いくつかの実施形態において、Ｓｅｃｕｒｅ Ｃｏｍｐｕｔｉｎｇ，Ｉｎｃ．より入手可能なファイアウォールからトランザクション活動を収集することもできる。ネットワークオペレーティングシステムの例には、Ｎｏｖｅｌ Ｎｅｔｗｏｒｋ Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍを含む。アクセス活動、認証活動およびアプリケーションの実行時の活動を取得することもできるオペレーティングシステムの例には、Ｍｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎの様々なバージョンのＷｉｎｄｏｗｓ（登録商標）オペレーティングシステムとＬｉｎｕｘを含む様々なバージョンのＵＮＩＸ（登録商標）オペレーティングシステムとを含む。
【００２４】
さらに、トランザクション活動は、ＳＡＰ、Ｐｅｏｐｌｅｓｏｆｔ、あるいはＪＤ Ｅｄｗａｒｄｓなどのアプリケーションまたはアプリケーションスーツ内におけるトランザクションレベルの活動を含んでもよい。本発明は、何らかの特定のアプリケーションまたはアプリケーションスーツに限定されるものではない。例えば、アプリケーションが信頼できるユーザによって誤用された場合、機密情報および財務情報が漏洩するリスクの高い他のアプリケーションを本発明のシステムおよび方法に適用することができる。いくつかの実施形態では、次の二つの方法のどちらかまたは両方を用いて、当該活動をトランザクション活動ファイル１０２にキャプチャすることもできる。オペレーションシステムおよびアプリケーションへの変更によって新たな機会が開かれた場合、追加の方法を実装することもできる。第一の方法は、監視されているオペレーティングシステムまたはアプリケーションのトランザクションハンドラ機能に含まれるトランザクション関連情報のキャプチャを伴う。
【００２５】
トランザクション監査ログを介し、必要な情報を集める第二の方法を遂行してもよい。トランザクション監査ログは、ファイアウォール、オペレーティングシステム、およびアプリケーション内の固有の機能であってもよい。いくつかの実施形態において、トランザクション活動ログハーベスタ１０３は、アプリケーション制御ロケータ１０４内に示される期間中、アプリケーションのホストシステム上でトランザクション活動を収集する。いくつかの実施形態において、該アプリケーション制御ロケータは、監視するアプリケーション、監視する一または複数の会社、トランザクションログファイルのフォーマット表示子、監視機能を行う頻度、ユーザの初期プロフールを構築するのに用いる時間、トランザクションＩＤの同期頻度、次の同期までの日数、クライアントの再同期の頻度、次の同期までの日数、および、適切と思われる他の妥当なアプリケーションおよび会社情報などの機能を制御する。アプリケーションに関連するビジネスサイクルに応じて活動のベースラインを効率的に設定するために、各会社およびアプリケーションは種々の期間を持つ。いくつかの実施形態において、トランザクション活動ハーベスタモジュール１０３は、ファイル転送プロトコルを用いてホストベースの監視アプリケーションに情報をセキュアに転送するために、暗号化技術を利用する一般的に入手可能な通信ソフトウェアを利用する。いくつかの実施形態において、トランザクション活動ログハーベスタ１０３はまた、受領の際にデータの検証を行い、監視されているアプリケーションに関連するトランザクションをすべて統合データベース１０５内に整理する。次に、トランザクションパーサ１０６が呼び出され、監視ルールエンジン１０７を利用し、監視された個々のレコードを分析し、さらに検討するためにトランザクションを次プロセスにまわすべきか否かを判断する。これによって、ルールデータベースによって監視プロセスには重要ではないものであるとあらかじめ定められているトランザクションを除去する。いくつかの実施形態において、適用可能なルールには、印刷、メモリ管理などの通常のハウスキーピングトランザクションのように、当該アプリケーションの監視プロセスにとって重要ではないと考えられるトランザクションを取り除くためのルールを含むが、これに限定されない。
【００２６】
このように、更なる監視の対象となったレコードを次にトランザクションワーキングセットデータベース１０８に出力する。その後、解析プロフィールビルダ１０９が呼び出され、監視されるファイアウォール、オペレーティングシステム、ネットワークオペレーティングシステムおよびアプリケーション内でのトランザクション活動についての特定のユーザのプロフィールを作成または更新してもよい。プロフィールデータベース１１０の典型的な定形フォーマットを表１に示す。
【００２７】
【表１】
図３は、本発明の種々の実施形態による、トランザクションＩＤビルダおよびメンテナンス機能のブロック図を示す。いくつかの実施形態において、トランザクションＩＤビルダ２０４は三つの主要な機能を含む。いくつかの実施形態において、プロセスの第一のタスクは、監視の対象となっているアプリケーションのアプリケーションサーバから、トランザクションＩＤ関連データ２０１の抽出するステップを伴う。いくつかの実施形態において、トランザクションＩＤ関連データ２０１はまた、ネットワークオペレーティングシステム、ファイアウォール、あるいはコンピュータオペレーティングシステムから抽出したＩＤデータを含んでもよい。トランザクションＩＤコレクタモジュール２０２が定期的に呼び出されてもよく、該コレクタモジュールは、アプリケーションロケータデータベース２０３に問い合わせ、対象の会社からいつどのアプリケーショントランザクションを抽出すべきかを判断する。いくつかの実施形態においては、コレクタモジュールを毎日呼び出す。このように予定が組まれると、コレクタはこれが再同期の実行であるのか、あるいは初期ロードであるのかを判断する。いくつかの実施形態において、コレクタモジュールは、ファイル転送プロトコルを用いてホストベースの監視アプリケーションに情報をセキュアに転送する暗号化技術を利用した一般的に入手可能な通信ソフトウェアを利用する。トランザクションＩＤコレクタは受領の際にデータの検証を行い、再同期がリクエストされているのか、それとも初期ロードがリクエストされているのかによって、アプリケーション内で作成モードまたは変更モードを開始する。初期ロードオプションは、すべてのトランザクションＩＤおよび関連情報とともに、トランザクションＩＤマスタファイル２０７に組み込まれる。再同期がリクエストされている場合、コレクタモジュールはトランザクションＩＤマスタデータベース２０７に問い合わせ、レコードが既に存在するか否かを判断する。レコードが存在する場合、受け取ったファイルのデータとデータベース内のデータ要素とを同期する。この時、いかなる変更もトランザクションＩＤ変更ログ２０６に記録する。トランザクションＩＤマスタレコードが存在しない場合、トランザクションＩＤマスタデータベース２０７へのエントリを作成し、トランザクションＩＤ変更ログ２０６内に新規のトランザクションＩＤを記録する。また、同期プロセス中に必要が生じた場合、トランザクションＩＤマスタレコード２０７を保持するために、トランザクションＩＤメンテナンスモジュール２０５からのリクエストに応じて、トランザクションＩＤビルダモジュール２０４を呼び出してもよい。同様に、すべての新規のエントリおよび変更をＩＤ変更ログ２０６に記録してもよい。トランザクションＩＤデータベースの典型的な定形フォーマットを以下の表２に示す。
【００２８】
【表２】
図４は、本発明の種々の実施形態による、クライアントＩＤビルダおよびメンテナンス機能のブロック図を示す。いくつかの実施形態において、クライアントＩＤビルダは三つの主要な機能を含む。いくつかの実施形態において、プロセスの第一のタスクは、監視の対象となっているアプリケーションのアプリケーションサーバから、クライアントＩＤ関連データ３０１を抽出するステップを伴う。いくつかの実施形態において、オペレーティングシステム、ネットワークオペレーティングシステム、あるいはファイアウォールシステムの一つ以上からクライアントＩＤデータ３０１を抽出することもできる。クライアントＩＤコレクタモジュール３０２を定期的に（例えば、毎日）呼び出してもよい。該コレクタモジュールは、アプリケーションロケータデータベース３０３に問い合わせ、対象の会社からいつどのアプリケーションクライアントを抽出すべきかを判断する。このように予定が組まれると、コレクタはこれが再同期の実行であるのか、あるいは初期ロードであるのかを判断する。いくつかの実施形態において、コレクタモジュールは、ファイル転送プロトコルを用いてホストベースの監視アプリケーションへの情報のセキュアな転送を行うために、暗号化技術を利用した一般的に入手可能な通信ソフトウェアを利用する。いくつかの実施形態において、クライアントＩＤビルダ３０４は、受領の際にデータの検証を行い、再同期がリクエストされているのか、それとも初期ロードがリクエストされているのかによって、アプリケーション内で作成モードまたは変更モードを開始する。初期ロードオプションは、すべてのクライアントＩＤおよび関連情報とともに、クライアントＩＤマスタファイル３０７に組み込まれてもよい。同期がリクエストされている場合、コレクタモジュールはクライアントＩＤマスタデータベースに問い合わせ、レコードが存在するか否かを判断する。レコード（すなわち、テーブルエントリ）が存在する場合、受け取ったファイルのデータとデータベース内のデータ要素とを同期する。この時、いかなる変更もクライアントＩＤ変更ログ３０６に記録する。クライアントＩＤマスタが存在しない場合、クライアントＩＤマスタへのエントリを作成し、新規のクライアントＩＤをクライアントＩＤ変更ログ３０６内に記録する。同期プロセス中に必要が生じた場合、クライアントＩＤマスタレコードを保持するリクエストに応じて、クライアントＩＤメンテナンスモジュール３０５を呼び出してもよい。同様に、すべての新規のエントリおよび変更はＩＤ変更ログ３０６に記録される。クライアントＩＤマスタデータベースの典型的な定形フォーマットを以下の表３に示す。
【００２９】
【表３】
図５は、本発明の一実施形態による、トランザクション監視警告システムのブロック図を示す。いくつかの実施形態において、トランザクション監視警告システムは、ユーザの通常のビジネス活動の過程の中で、以前に開始されていないトランザクションへのアクセスを検知する目的で、特定のユーザのトランザクション活動プロフィールに対して現行のトランザクションを監視する。スタートアップの情報収集フェーズの間に、これらの通常の活動プロフィールをトランザクション活動プロフィールビルダ１０９に通常設定する。いくつかの実施形態において、監視警告システムは、先に図示したもの（図２）と実質的に同じプロセスをプロフィールビルダの元で利用して、対象アプリケーションからトランザクション活動を得、トランザクション活動を整理し、トランザクションを解析し、トランザクションワーキングセット１０８を構築する。
【００３０】
各トランザクションの監視中、監視警告システム４０５が一連の分析プロセスを行い、特定のユーザに対して少しでも異常な行動がないかを判断する。いくつかの実施形態において、システムは監視ルールエンジン１０７からの入力を用いる。該監視ルールエンジンは、階層的な方法で設定することのできるルールを格納しており、会社レベルで全体的なルールが設定でき、これを部門レベル、個人レベルまたはトランザクションレベルにオーバーライドすることもできる。開始時に、クライアントＩＤマスタデータベース３０７を利用して、トランザクションに関連付けられたユーザＩＤを検証してもよく、これによって、監視システムは所与のアプリケーション内で信頼できるユーザとして特定されたユーザを確認できるようになる。実行されるトランザクションが既知のトランザクションであるか判断するために、トランザクションＩＤマスタデータベース２０７を利用してもよい。また、当該トランザクションに対する権限がユーザに付与されているのかを判断するために、Ｃｏｎｔｏｕｒｉｎｇ Ｅｎｇｉｎｅプロフィールマスタ１１０を利用してもよい。同様に、トランザクションＩＤマスタデータベース２０を用いて、トランザクションを開始する試みがアプリケーションに組み込まれた固有のセキュリティによって拒否され、その後２回以上の試みがなされたか否か、つまり、信頼できるユーザが一つ以上の保護されているトランザクションへ繰り返しアクセスを試みたかのかを判断することもできる。さらに、クライアントまたはトランザクションが特定できなったり、あるいはトランザクションが許可されていなかったり、またはユーザのプロフィールに対して異常を示すような状況のいずれかが起こると、警告メッセージを警告メッセージキュー４０９に向けることもできる。該メッセージには、何者かが権限付与の手続きを回避してアプリケーションに侵入したことを示せるように所定の深刻度レベルを割り当てておく。「使用中止」と識別されたユーザによって、トランザクション活動が開始されたか否かを判断するために分析をさらに行ってもよい。そのような場合は、警告メッセージを所定のセキュリティレベルで同様に開始してもよい。このとき、メッセージは、使用中止になったユーザとの関係が終了した後も従業員、ベンダ、請負業者、あるいは顧客がアプリケーション内のトランザクションにアクセスし続けていることを示す。通常のビジネスの過程で過去に当該ユーザが当該トランザクションに対してアクセス権限を付与されていたことをＣｏｎｔｏｕｒｉｎｇ Ｅｎｇｉｎｅプロフィールマスタが示すか否かを判断するためにさらに分析を行ってもよい。いくつかの実施形態では、この特定のユーザ、このユーザの部門、あるいはすべてのユーザに対して、このトランザクションへのアクセスを制限し、Ｃｏｎｔｏｕｒｉｎｇ Ｅｎｇｉｎｅプロフィールマスタ１１０をオーバーライドするような何らかのルールが適用されているか否かを監視ルールエンジン１０７を利用して分析してもよい。監視警告システム４０５は、トランザクションが使用の制限時間内に行われたか否か、あるいは、活動が個人の通常労働時間外に起こったか否かを判断するために、監視ルールエンジン１１０を利用してさらに監視を行ってもよい。更なる実施形態において、監視ルールエンジン１０７は、個人が配属されている特定の部門に関連する規則に伴う標準労働時間など種々の監視条件をオーバーライドする権限と提供することもでき、あるいはオーバーライドに対して有効な開始および終了期日を分析した後に、余分に許可された時間を一時的に割り当てるオーバーライド権限を提供することもできる。さらに、一つ以上のトランザクションへの一時的な許可を特定の個人に対して一時的に許可することもできる。これによって、トランザクションを通常行っている一または複数のユーザが、休暇、病気などのために一時的にこれらのトランザクションを行うことができない場合に、特定のユーザがトランザクションを行うことができるようになる。
【００３１】
さらに、いくつかの実施形態において、同一期間中または重複する期間中に一人のユーザによって、２つ以上のログオンまたは２つ以上のトランザクションが実行されたか否かを、あるいは、特定のユーザによって、トランザクションがユーザに割り当てられた以外のデバイスまたはユーザが普段使っている以外のデバイスから実行されたか否かを検知するために、監視警告システムは上記のデータベースを用いてもよい。
【００３２】
上記からわかるように、活動プロフィールをルールエンジンおよび／またはデータベースとともに用いて、特定のユーザに対して正当なトランザクションセットを定義することもできる。正当なトランザクションのセットに一致しないトランザクションを異常な条件であるとみなすこともできる。
【００３３】
これらの異常な条件のいずれかが存在する場合、警告メッセージキュー４０９と警告追跡ハンドラ４０７は、トランザクションＩＤマスタ２０７で識別されるトランザクションコード分類に関連付けられた優先度を伴うメッセージの発行を受けてもよい。さらに、ファイアウォール、オペレーティングシステムおよび／またはネットワークオペレーティングシステムから検索されたトランザクション活動を含むフォレンシックなデータセットを警告用に生成することもできる。フォレンシックなデータセットは、ネットワークおよび／またはオペレーシングシステムを介してユーザがとった経路および不審なトランザクション活動が検知されたときに使われたアクセスの詳細事項を判断するのに有益なデータを含む。
【００３４】
いくつかの実施形態において、警告メッセージハンドラ４０８が監視警告エンジン４０５から警告メッセージを受け取り、そこからクライアントワークステーション４１１までのルーティングを制御する。いくつかの実施形態において、警告メッセージハンドラ４０８は仮想プライベートネットワーク（ＶＰＮ：Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）４１０を用いて、メッセージをクライアントワークステーション４１１に送る。しかし、ＶＰＮは必須ではなく、別の実施形態においては、インターネット、イントラネット、あるいはローカルエリアネットワーク接続を経由してメッセージをクライアントワークステーション４１１に送ってもよい。更なる別の実施形態において、クライアントワークステーション４１１を監視警告システムに直接接続することもできる。
【００３５】
上記の説明からもわかるように、クライアント会社からトランザクションデータを受け取るサービスプロバイダが、監視警告システムを提供することもできる。いくつかの実施形態において、サービスプロバイダは監視されるトランザクションの量、トランザクションデータが占めるディスク空間の容量、あるいはトランザクションの一件あたりに基づいて、クライアント会社に課金することもできる。本発明の実施形態は、特定の課金メカニズムに限定されない。
【００３６】
図６は、ハードウェアおよび操作環境の図であり、これらを組み合わせれば本発明の実施形態を実施することもできる。図６の記載は、本発明と組み合わせて実装することができる適切なコンピュータハードウェアと適切なコンピューティング環境に関し簡潔で一般的な説明を提供することを目的とする。必須ではないが、本発明は、パーソナルコンピュータあるいはサーバコンピュータなどのコンピュータによって実行されるプログラムモジュールなど、コンピュータによって実行可能な命令が通常あるものとして説明する。一般的に、プログラムモジュールは特定のタスクを行ったり、特定の抽象データ型を実装したりするルーチン、プログラム、オブジェクト、要素、データ構造体などを含む。
【００３７】
さらに、当業者には認識されるであろうが、ハンドヘルドデバイス、マルチプロセッサシステム、マイクロプロセッサベースの家庭用電化製品またはプログラム可能な家庭用電化製品、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータおよびこれに類するものを含む他のコンピュータシステムの構成を用いて、本発明を実施することもできる。また、通信網を介してリンクされているリモート処理デバイスを用いてタスクを行う分散コンピューティング環境で本発明を実施してもよい。分散コンピューティング環境では、ローカルおよびリモートにあるメモリストレージデバイスの両方にプログラムモジュールを置くこともできる。
【００３８】
図６に示すように、コンピューティングシステム６００はプロセッサを含む。Ｉｎｔｅｌ Ｃｏｒｐｏｒａｔｉｏｎによって製造されたマイクロプロセッサであるＰＥＮＴＩＵＭ（登録商標）ファミリー、Ｓｉｌｉｃｏｎ Ｇｒａｐｈｉｃｓ ＣｏｒｐｏｒａｔｉｏｎのマイクロプロセッサであるＭＩＰＳ（登録商標）ファミリー、Ｍｏｔｏｒｏｌａ ＣｏｒｐｏｒａｔｉｏｎおよびＩＢＭ Ｃｏｒｐｏｒａｔｉｏｎの双方のマイクロプロセッサであるＰＯＷＥＲＰＣ（登録商標）ファミリー、Ｈｅｗｌｅｔｔ−Ｐａｃｋａｒｄ ＣｏｍｐａｎｙのマイクロプロセッサであるＰＲＥＣＩＳＩＯＮ ＡＲＣＨＩＴＥＣＴＵＲＥ（登録商標）ファミリー、Ｓｕｎ Ｍｉｃｒｏｓｙｓｔｅｍｓ ＣｏｒｐｏｒａｔｉｏｎのマイクロプロセッサであるＳＰＡＲＣ（登録商標）ファミリー、あるいはＣｏｍｐａｑ Ｃｏｍｐｕｔｅｒ ＣｏｒｐｏｒａｔｉｏｎのマイクロプロセッサであるＡＬＰＨＡ（登録商標）ファミリーなどのマイクロプロセッサベースのコンピュータ上で本発明を実装することができる。コンピューティングシステム６００は、いかなるパーソナルコンピュータ、ラップトップ、サーバ、あるいはハンドヘルドＰＣとして知られるバッテリ式のポケット型モバイルコンピュータをも表す。
【００３９】
コンピューティングシステム６００は、システムメモリ６１３（読み取り専用メモリ（ＲＯＭ：ｒｅａｄ−ｏｎｌｙ ｍｅｍｏｒｙ）６１４およびランダムアクセスメモリ（ＲＡＭ：ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ）６１５を含む）を含み、該システムメモリはシステムデータ／アドレスバス６１６によって、プロセッサ６１２に接続されている。ＲＯＭ６１４は、電気消去可能なプログラマブル読み取り専用メモリ（ＥＥＰＲＯＭ（ｅｌｅｃｔｒｉｃａｌｌｙ ｅｒａｓａｂｌｅ ｐｒｏｇｒａｍｍａｂｌｅ ｒｅａｄ−ｏｎｌｙ ｍｅｍｏｒｙ）、フラッシュメモリなどを含め、主として読み取り専用である任意のデバイスを表す。ＲＡＭ６１５は同期ダイナミックランダムアクセスメモリなどの任意のランダムアクセスメモリを表す。
【００４０】
コンピューティングシステム６００内では、バスコントローラ６１９を介して、入出力バス６１８がデータ／アドレスバス６１６に接続されている。一実施形態においては、入出力バス６１８を標準的な周辺コンポーネント相互接続（ＰＣＩ：Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）バスとして実装する。バスコントローラ６１９はプロセッサ６１２からの信号すべてを検査し、信号を適切なバスへルーティングする。プロセッサ６１２とシステムメモリ６１３との間の信号は、単にバスコントローラ６１９へ通される。しかし、プロセッサ６１２からシステムメモリ６１３以外に向けた信号は入出力バス６１８上にルーティングされる。
【００４１】
ハードディスクドライブ６２０、フロッピー（登録商標）ディスク６５１を読み取るために用いるフロッピー（登録商標）ドライブ６２１、および光学ディスク６５２を読み取るために用いるＣＤ−ＲＯＭドライブなどの光学ドライブ６２２を含む種々のデバイスが入出力バス６１８に接続される。ビデオアダプタ６２５を介して、ビデオディスプレイ６２４あるいはその他の種類のディスプレイデバイスが入出力バス６１８に接続される。
【００４２】
ユーザは、入出力ポート６２８を介してバス６１８に接続されているキーボード４０、および／またはマウス４２などのポインティングデバイス用いて、コンピューティングシステム６００にコマンドと情報とを入力する。他の種類のポインティングデバイス（図６には図示せず）には、トラックパッド、トラックボール、ジョイスティック、データグローブ、ヘッドトラッカ、およびビデオディスプレイ６２４上でカーソルの位置を決めるのに適する他のデバイスを含む。
【００４３】
図６に示すように、コンピューティングシステム６００はまた、モデム６２９を含む。図６ではモデム６２９をコンピューティングシステム６００の外部に図示している。しかし、当業者はすぐに気付くであろうが、該モデムをコンピューティングシステム６００の内部にも置くこともできる。モデム６２９はグローバルインターネットなどのワイドエリアネットワーク（図示せず）で通信するために通常用いる。また、当業界では周知のように、コンピューティングシステムはネットワーク上での通信するためにネットワークインターフェースカード５３を含んでもよい。
【００４４】
ソフトウェアアプリケーション６３６およびデータはメモリストレージデバイスの一つによって通常記憶され、実行するためにＲＡＭ６１５にコピーされる。なお、該メモリストレージデバイスには、ハードディスク６２０、フロッピー（登録商標）ディスク６５１、ＣＤ−ＲＯＭ６５２を含むこともできるが、一実施形態では、ソフトウェアアプリケーション６３６をＲＯＭ６１４に記憶し、実行するためにＲＡＭ６１５にコピーしたり、あるいはＲＯＭ６１４から直接実行したりする。
【００４５】
一般的に、オペレーシングシステム６３５がソフトウェアアプリケーション６３６を実行して、ユーザが発行した命令を行う。例えば、ユーザがソフトウェアアプリケーション６３６をロードしたい場合、オペレーシングシステム６３５は命令を解読し、プロセッサ６１２にハードディスク６２０または光学ディスク６５２のどちらかからＲＡＭ６１５へソフトウェアアプリケーション６３６をロードさせる。ソフトウェアアプリケーション６３６をＲＡＭ６１５にロードすると、プロセッサ６１２はこれを用いることができる。大規模なソフトウェアアプリケーション６３６の場合、必要に応じてプロセッサ６１２はプログラムモジュールの種々の部分をＲＡＭ６１５にロードする。
【００４６】
コンピューティングシステム６００の基本出入力システム（ＢＩＯＳ：Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）はＲＯＭ６１４に記憶され、ブート時にＲＡＭ６１５にロードされる。当業者には認識されるであろうが、ＢＩＯＳ６１７は実行可能な基本ルーチンのセットであり、コンピューティングシステム６００内のコンピューティング資源間での情報の転送を都合よく補助する。オペレーシングシステム６３５あるいは他のソフトウェアアプリケーション６３６が、これらの低レベルのサービスルーチンを用いる。
【００４７】
一実施形態において、コンピューティングシステム６００は、コンピューティングシステム６００のコンフィギュレーション情報を持つシステムデータベースであるレジストリ（図示せず）を含む。例えば、ＭｉｃｒｏｓｏｆｔのＷｉｎｄｏｗｓ（登録商標）９５、Ｗｉｎｄｏｗｓ（登録商標）９８、Ｗｉｎｄｏｗｓ（登録商標）ＮＴ、Ｗｉｎｄｏｗｓ（登録商標）２０００、およびＷｉｎｄｏｗｓ（登録商標）ＸＰでは、内蔵ディスクなどの永久ストレージデバイスに置かれたＵＳＥＲ．ＤＡＴとＳＹＳＴＥＭ．ＤＡＴと呼ばれる、二つの隠しファイルにレジストリを保持している。
【００４８】
結論
信頼できるユーザの活動を監視するシステムおよび方法が開示されている。説明したシステムおよび方法は先行のシステムよりも優れた利点を提供する。
【００４９】
本明細書では特定の実施形態を図示し、説明してきたが、ここに示した特定の実施形態の代わりに、同一の目的を達成するために考えられるいかなる構成をも用いることができるということは、当業者には認識されるであろう。本出願は本発明のいかなる改良あるいは変更をも包括することを目的とする。
【００５０】
本出願明細書で用いられている用語は、これらの環境すべてを含むものとする。上記の説明は例示的なものに過ぎず、限定的なものではないことを理解されたい。上記の説明を精査する際に、他の多くの実施形態が当業者には明らかとなるであろう。したがって、本発明が以下の特許請求の範囲およびその均等物によってのみ限定されることは明白である。
【図面の簡単な説明】
【００５１】
【図１】図１は、本発明の一実施形態による、方法の全体的な処理とトランザクション監視警告システムを構成する主要なモジュールの機能ブロック図を示す。
【図２】図２は、本発明の一実施形態による、監視される特定のアプリケーション内でのトランザクション活動についてのユーザプロフィールを構築する活動プロフィールビルダのブロック図を示す。
【図３】図３は、本発明の種々の実施形態による、トランザクションＩＤビルダおよびメンテナンス機能のブロック図を示す。
【図４】図４は、本発明の種々の実施形態による、クライアントＩＤビルダおよびメンテナンス機能のブロック図を示す。
【図５】図５は、本発明の一実施形態による、トランザクション監視警告システムのブロック図を示す。
【図６】図６は、本発明の実施形態を実行することもできるコンピュータのブロック図を示す。
【技術分野】
【０００１】
分野
本発明は全般的にはコンピュータシステムに関し、特に、このようなシステムの監視を増強し、警告を発することに関する。
【０００２】
著作権表示／許諾
本特許文書の開示の一部は、著作権保護の対象となる資料を含んでいる。著作権者は、特許商標庁の特許ファイルまたは記録に現れる本特許文書または特許開示のファクシミリ複製をいかなる者が行っても異議を唱えないが、それ以外のあらゆるすべての著作権の権利を保有する。以下の表示は、後述するソフトウェアおよびデータ、ならびに添付の図面に適用される。著作権（Ｃ）２００３，２００４：全ての著作権はＫｅｎｎｓｃｏ，Ｉｎｃ．に帰属する。
【背景技術】
【０００３】
背景
インターネット、エクストラネット、およびイントラネットの利用が増加の一途をたどる状況に伴って、ネットワークおよびコンピュータシステム上で信頼できるユーザの活動を監視するための方法を得ることがますます重要になってきている。企業ビジネスシステムへのアクセスが増大することによって、従業員だけでなく、顧客、ベンダおよびビジネスパートナーも相当量の機密情報へアクセスすることができるようになっている。このような人たちのグループは、多くの場合、セキュアなビジネストランザクションを行うことができるため、いわゆる信頼できるユーザのロールが与えられる。ユーザＩＤは、アクセスされるアプリケーションに登録されているユーザが誰であるのかを特定する文字列で表されるが、今日のコンピュータシステムは、このユーザＩＤによって不正アクセスから通常内部的に保護されている。これと同じく、ユーザＩＤを所有する個人しか知らないようなパスワードと呼ばれる文字列を用いて、ＩＤの検証をさらに行うこともできる。スマートカード、サインオンソフトウェアが提供する鍵付きの情報など、このＩＤの認証を強化したり、また遂行したりするための種々の手段が存在する。
【０００４】
さらに、リモートユーザによる企業のアプリケーションの利用も可能にしたいという要望は指数関数的に増加してきた。リモートユーザとは通常、従業員の、顧客、ベンダなどから構成されるが、リモートユーザが非常に多様なので、信頼できるコミュニティの外部の者が既存のパスワード認証を破るリスクは増大する。
【０００５】
ユーザＩＤおよびパスワードのクラッキングシステム、ならびに紛失ＩＤあるいは盗難ＩＤを使用することによって、セキュリティメカニズムを破る機会がかなりある。セキュリティを破った後に、この情報を用いてアクセスし、機密情報を含むアプリケーションシステムに信頼できるユーザとして現れて、アプリケーション内で不正行為をはたらく虞がある。このような状況は、不満を抱いた従業員によってさらに悪化する。しかも、組織内の離職率が高い場合、組織内でのコミュニケーション不足のためにユーザアクセスの無効化が見過ごされたり、あるいは著しく遅れたりすることが多い。最近の研究は、７０％−８０％のコンピュータ不正行為が内部の信頼できるユーザによって行われていることを示している。
【０００６】
所与のアプリケーション内で行う広範囲のビジネス活動を提供する統合業務ソフト（ＥＲＰ：Ｅｎｔｅｒｐｒｉｓｅ Ｒｅｓｏｕｒｃｅ Ｐｌａｎｎｉｎｇ）システムおよび他の完全統合ソリューションの出現に伴って、該アプリケーション内で信頼できるユーザが行うトランザクションを監視することがますます重要になってきている。同様に、すべての包括的なアプリケーション内では、特定のロールが割り当てられたユーザに対して許可されているトランザクションを特定する、発展し続ける「ロール」（ｄｅｖｅｌｏｐｉｎｇ ”ｒｏｌｅ”）の出現。大規模なアプリケーションでは利用可能なトランザクションは数千にも達することがあるが、これらの大規模なアプリケーション内のセキュリティ管理タスクを最小化するために、上記の方法を使用する。ユーザがビジネス活動を行うために必要とする特定のトランザクションを最前線で特定するタスクは、極めて複雑で多大な時間を要する。その結果、多くの場合、ロールの設定が適切な任務の分離を保証するには、広過ぎ、かつ無効になってしまい、機密情報を必知事項ベースで効率的に制御できなくなる。
【０００７】
今日の市場で一般的に入手可能なソリューションの多くは、「侵入検知」に焦点を当てている。これらのソリューションは通常、ネットワークレベルでの監視および異常検知プロセスを提供する。ネットワークレベルで動作する場合、これらのソリューションはサーバまたは「アプリケーション」レベルでの活動の監視に限定される。該アプリケーションには例えば、ＳＡＰがあるが、これはアプリケーション全体のすべてのトランザクションまたは割り当てられたロールによって特定されるすべてのトランザクションのアクセスに関連する。これらのソリューションは、サーバまたはデータベースアクセスの監視をさらに提供することができる。このように、これらのソリューションは通常、ユーザがアプリケーション、サーバまたはデータベース内にアクセスして、どのような特定のトランザクションを行うかということを知るために必要な粒度を提供しない。同様に、これらのソリューションは、経路に関連する情報と、ファイアウォール、オペレーティングシステムおよびネットワークオペレーティングシステムで行われる認証とのフォレンシックな相関関係を通常提供しない。
【０００８】
信頼できるユーザとして、ユーザはサポートされているすべての権限にアクセスする必要がある訳ではないが、所与のサーバ、アプリケーションあるいはデータベースにアクセスする必要がおそらくあるだろう。ソリューションの大半は同様に、これらの異常をリアルタイムモードで検知し、機能を行おうと試みるユーザの活動を制限しようしたり、または中断しようとする。この技術にはフォルスポジティブおよびフォルスネガティブが伴う。多くの場合、警告メカニズムは管理者に負担をかけ、これはエンドユーザの効力の無効化につながる
活動を制限するこれらのソリューションは多くの場合、主要なフラストレーション源となり、潜在的な障害物として働く。これは、管理が間に入って、オーバーライドが導入され、ソリューションが完全に無効化されるという点で、生産性に大きく影響することがある。したがって、多くの会社がこのアプローチを放棄し、受け付けた逸脱行為から真の脅威を実質的に検知することはできない。結果として信頼性が欠如し、そのためこれらのソリューションは役に立たないものとみなされる。善意のセキュリティスタッフは、通常数々のフォルスポジティブで雑然としている膨大な侵入検知システム（ＩＤＳ：Ｉｎｔｒｕｃｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）のログファイルから的確なイベント情報を抽出することに苦労している。真の脅威を適切に特定することは極めて難しくなっており、結果として、すべてのフォルスポジティブの中で真の脅威が完全に見逃されてしまうことがよくある。
【０００９】
上記の問題および短所に鑑みると、当業界では本発明が必要である。
【発明の開示】
【課題を解決するための手段】
【００１０】
発明の概要
上述の短所、欠点および問題は本発明によって対処される。本発明は、以下の明細書を読んで、検討することによって理解されるであろう。
【００１１】
システムの一態様は、コンピュータアプリケーションソフトウェア内で許可されたユーザの特定のトランザクションアクセスパターンについてのユーザ行動プロフィールを構築するステップと、異例のトランザクション活動を検知するために対象ユーザの現行の活動を監視するステップとを含む。
【００１２】
システムの更なる態様は、ファイアウォールアクセス、アプリケーションへアクセスするために利用されるオペレーティングシステム（ＯＳ）およびネットワークオペレーティングシステム（ＮＯＳ）に関連する経路ならびに認証プロセスの形跡についてフォレンシックな手がかりを提供するステップを含む。
【００１３】
ユーザが普段日常的に行っているファイルアクセスおよび特定のアプリケーションによってサポートされているトランザクションからそれる「信頼できるユーザ」を早期に検知するために、方法および装置を用いることもできる。次に、警告メッセージが発行される。その後装置は、アプリケーションを管理している権限者に該活動を許可するべきか否かを判断させて、プロフィールに矛盾するこの特定のトランザクション活動を許可してもよい。このようにして、更なる警告を回避する。方法およびソフトウェアツールは、トランザクション活動ハーベスタ、トランザクションパーサ、解析プロフィールビルダ、クライアントＩＤビルダ、アプリケーション内のトランザクションのトランザクションＩＤビルダ、および監視警告システムを含む構成とすることもできる。
【００１４】
更なる態様は、アプリケーションの使用を監視する方法を含む。方法は、一人以上のコンピュータアプリケーションのユーザのトランザクション活動を受け取るステップを含む。次に、トランザクション活動を解析してもよい。解析によって、所望しないレコードを除去して、レコードを定形フォーマットに置くこともできる。次に、解析済みのトランザクション活動とユーザの所定のプロフィールとを比較してもよい。所定のプロフィールは、ユーザの以前のログオンおよびトランザクション活動に通常基づくものであろう。解析済みのトランザクション活動のいずれかが所定のプロフィールに一致しない場合、警告を発することもできる。
【００１５】
またシステムおよび方法の更なる態様は、目的のトランザクションの識別および警告の発生を許可する条件の識別を補助するために、ルールエンジンを用いることもできるという点である。
【００１６】
本発明は、システム、クライアント、サーバ、方法および可変範囲であるコンピュータで読み取り可能な媒体を説明する。この概要に記載されている本発明の態様および利点に加え、本発明の更なる態様および利点は図面を参照することによって、また、以下の詳細な説明を読むことによって明らかになるであろう。
【発明を実施するための最良の形態】
【００１７】
詳細な説明
以下の本発明の典型的な実施形態の詳細な説明では、本明細書の一部を成す添付の図面を参照する。該図面には、本発明を実施することができる特定の典型的な実施形態を図解によって示す。当業者が本発明を実施できるように、これらの実施形態を十分に詳細に説明する。また、他の実施形態を利用してもよく、本発明の範囲から逸脱することなく、論理的、機械的、電気的な変更および他の変更を行ってもよいことを理解されたい。
【００１８】
コンピュータメモリ内のデータビットに対する操作のアルゴリズムおよびシンボル表現を用いて、以下の詳細な説明の一部を提示する。これらのアルゴリズム的記述および表現は、データ処理業界の当業者が自身の研究内容を他の当業者に最も効率的に伝えるために用いる方法である。ここではアルゴリズムは、通常、所望の結果を導く首尾一貫したステップのシーケンスである考えられる。このステップは、物理量の物理的な操作を必要とするステップである。必須ではないが、たいていの場合これらの量は、記憶、転送、結合、比較、およびその他の方法で操作することができる電子的な信号または磁気的な信号の形をとっている。主に慣用の理由から、これらの信号をビット、値、要素、シンボル、文字、項、数字、またはそれに類するものとして参照する方が、時として便利であることがわかっている。しかし、これらの用語および同様の用語はすべて、適切な物理量に関連付けられており、これらの量に都合のよいラベルが適用されているだけである点に留意されたい。特に言及したり、あるいは、以下の論考から明らかである場合を除き、「処理」、「演算」、「計算」、「判断」、「表示」または同様の用語などは、コンピュータシステムのレジスタおよびメモリ内で物理（例えば、電気）量として表されるデータを操作して、コンピュータシステムのメモリまたはレジスタ、あるいは他の情報記憶、伝送または表示デバイス内で同様に物理量として表される他データに変換するコンピュータシステムまたは同様のデバイスの動作およびプロセスを示している。
【００１９】
図において、複数の図に現れる同一の構成要素を示すために、同一の参照番号を一貫して用いる。信号および接続は、同一参照番号またはラベルが付されている場合もあるが、実際の意味合いは説明の文脈中の使用法から明確になるであろう。
【００２０】
したがって、以下の詳細な説明は限定的な意味でとられるべきものではなく、また、本発明の範囲は添付の特許請求の範囲によってのみ画定される。
動作環境
図１は、本発明の一実施形態による方法の全体的な処理およびトランザクション監視警告システムを構成する主要なモジュールの機能ブロック図を示す。本方法は、アプリケーションへのアクセス取得に関連する活動をキャプチャすることから始まる。該活動のキャプチャは、アクセスに関連する情報、ならびにファイアウォール、オペレーティングシステムおよびネットワークオペレーティングシステムレベルで行われる認証プロセスのほか、対象とする一つ以上のアプリケーションセット内でトランザクションレベルのデータをキャプチャすることによって行われる。なお、該アプリケーションは、アプリケーションサーバおよびデータベースサーバ上に存在し、これらのサーバは企業内に存在してもよい。このようなトランザクション活動は、トランザクションを実行する過程でユーザが行う特定の活動についての情報と、ユーザがどのようにアプリケーションへアクセスしたかというフォレンシックな手がかりとを含むこともできる。このような情報の例は、どのアカウントがアクセスされたか、品番または注文書がどれかなどを含む。図２で、このプロセスについてのさらに詳細な事項を提供する。
【００２１】
対象アプリケーションに対する所望のトランザクション活動のすべてをキャプチャした後に、活動情報をリモートホスト側に伝送して、さらに処理してもよい。本発明のいくつかの実施形態において、ファイル転送プロトコル（ＦＴＰ：Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）をデータ転送に用いる。しかしながら、本発明は何らかの特定のファイル転送メカニズムに限定されるものではない。更なる実施形態においては、伝送する前に活動データを暗号化する。さらに、いくつかの実施形態において、トランザクションが発生するソフトウェアアプリケーションと同一のシステム上で、以下に記載のシステムおよび方法を実行してもよい。これらの実施形態では、トランザクションを転送する必要はない。
【００２２】
活動データの転送後に、監視警告システムは解析プロセスを開始する。いくかの実施形態において、該解析プロセスは六つの主要なプロセス活動を含む。いくつかの実施形態においては、いわゆるコントアリングエンジン（ｃｏｎｔｏｕｒｉｎｇ ｅｎｇｉｎｅ）の一部として該プロセス活動を実行する。これらの主要なプロセス活動は、トランザクション活動ハーベスタ１、トランザクション活動パーサ２、解析プロフィールビルダ３、クライアントＩＤビルダ４、トランザクションＩＤビルダ５、および監視警告システム６を含む。これらのプロセスのいくつか、あるいはすべては、特定のコンピュータアプリケーション内で信頼できるユーザの異例のトランザクション活動を検知するために、リアルタイムに近いモードで動作することもできる。
【００２３】
図２は、本発明の一実施形態による、監視される特定のアプリケーション内でのトランザクション活動についてのユーザプロフィールを構築する活動プロフィールビルダのブロック図を示す。いくつかの実施形態において、活動プロフィールビルダは三つの機能を含み、その第一の機能がトランザクション活動１０１の収集である。トランザクション活動は、アクセスおよび認証活動を含み、該アクセスおよび認証活動は、特定の装置で利用しているファイアウォール、オペレーティングシステム、および／またはネットワークオペレーティングシステムによって維持することもできる。いくつかの実施形態において、Ｓｅｃｕｒｅ Ｃｏｍｐｕｔｉｎｇ，Ｉｎｃ．より入手可能なファイアウォールからトランザクション活動を収集することもできる。ネットワークオペレーティングシステムの例には、Ｎｏｖｅｌ Ｎｅｔｗｏｒｋ Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍを含む。アクセス活動、認証活動およびアプリケーションの実行時の活動を取得することもできるオペレーティングシステムの例には、Ｍｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎの様々なバージョンのＷｉｎｄｏｗｓ（登録商標）オペレーティングシステムとＬｉｎｕｘを含む様々なバージョンのＵＮＩＸ（登録商標）オペレーティングシステムとを含む。
【００２４】
さらに、トランザクション活動は、ＳＡＰ、Ｐｅｏｐｌｅｓｏｆｔ、あるいはＪＤ Ｅｄｗａｒｄｓなどのアプリケーションまたはアプリケーションスーツ内におけるトランザクションレベルの活動を含んでもよい。本発明は、何らかの特定のアプリケーションまたはアプリケーションスーツに限定されるものではない。例えば、アプリケーションが信頼できるユーザによって誤用された場合、機密情報および財務情報が漏洩するリスクの高い他のアプリケーションを本発明のシステムおよび方法に適用することができる。いくつかの実施形態では、次の二つの方法のどちらかまたは両方を用いて、当該活動をトランザクション活動ファイル１０２にキャプチャすることもできる。オペレーションシステムおよびアプリケーションへの変更によって新たな機会が開かれた場合、追加の方法を実装することもできる。第一の方法は、監視されているオペレーティングシステムまたはアプリケーションのトランザクションハンドラ機能に含まれるトランザクション関連情報のキャプチャを伴う。
【００２５】
トランザクション監査ログを介し、必要な情報を集める第二の方法を遂行してもよい。トランザクション監査ログは、ファイアウォール、オペレーティングシステム、およびアプリケーション内の固有の機能であってもよい。いくつかの実施形態において、トランザクション活動ログハーベスタ１０３は、アプリケーション制御ロケータ１０４内に示される期間中、アプリケーションのホストシステム上でトランザクション活動を収集する。いくつかの実施形態において、該アプリケーション制御ロケータは、監視するアプリケーション、監視する一または複数の会社、トランザクションログファイルのフォーマット表示子、監視機能を行う頻度、ユーザの初期プロフールを構築するのに用いる時間、トランザクションＩＤの同期頻度、次の同期までの日数、クライアントの再同期の頻度、次の同期までの日数、および、適切と思われる他の妥当なアプリケーションおよび会社情報などの機能を制御する。アプリケーションに関連するビジネスサイクルに応じて活動のベースラインを効率的に設定するために、各会社およびアプリケーションは種々の期間を持つ。いくつかの実施形態において、トランザクション活動ハーベスタモジュール１０３は、ファイル転送プロトコルを用いてホストベースの監視アプリケーションに情報をセキュアに転送するために、暗号化技術を利用する一般的に入手可能な通信ソフトウェアを利用する。いくつかの実施形態において、トランザクション活動ログハーベスタ１０３はまた、受領の際にデータの検証を行い、監視されているアプリケーションに関連するトランザクションをすべて統合データベース１０５内に整理する。次に、トランザクションパーサ１０６が呼び出され、監視ルールエンジン１０７を利用し、監視された個々のレコードを分析し、さらに検討するためにトランザクションを次プロセスにまわすべきか否かを判断する。これによって、ルールデータベースによって監視プロセスには重要ではないものであるとあらかじめ定められているトランザクションを除去する。いくつかの実施形態において、適用可能なルールには、印刷、メモリ管理などの通常のハウスキーピングトランザクションのように、当該アプリケーションの監視プロセスにとって重要ではないと考えられるトランザクションを取り除くためのルールを含むが、これに限定されない。
【００２６】
このように、更なる監視の対象となったレコードを次にトランザクションワーキングセットデータベース１０８に出力する。その後、解析プロフィールビルダ１０９が呼び出され、監視されるファイアウォール、オペレーティングシステム、ネットワークオペレーティングシステムおよびアプリケーション内でのトランザクション活動についての特定のユーザのプロフィールを作成または更新してもよい。プロフィールデータベース１１０の典型的な定形フォーマットを表１に示す。
【００２７】
【表１】
図３は、本発明の種々の実施形態による、トランザクションＩＤビルダおよびメンテナンス機能のブロック図を示す。いくつかの実施形態において、トランザクションＩＤビルダ２０４は三つの主要な機能を含む。いくつかの実施形態において、プロセスの第一のタスクは、監視の対象となっているアプリケーションのアプリケーションサーバから、トランザクションＩＤ関連データ２０１の抽出するステップを伴う。いくつかの実施形態において、トランザクションＩＤ関連データ２０１はまた、ネットワークオペレーティングシステム、ファイアウォール、あるいはコンピュータオペレーティングシステムから抽出したＩＤデータを含んでもよい。トランザクションＩＤコレクタモジュール２０２が定期的に呼び出されてもよく、該コレクタモジュールは、アプリケーションロケータデータベース２０３に問い合わせ、対象の会社からいつどのアプリケーショントランザクションを抽出すべきかを判断する。いくつかの実施形態においては、コレクタモジュールを毎日呼び出す。このように予定が組まれると、コレクタはこれが再同期の実行であるのか、あるいは初期ロードであるのかを判断する。いくつかの実施形態において、コレクタモジュールは、ファイル転送プロトコルを用いてホストベースの監視アプリケーションに情報をセキュアに転送する暗号化技術を利用した一般的に入手可能な通信ソフトウェアを利用する。トランザクションＩＤコレクタは受領の際にデータの検証を行い、再同期がリクエストされているのか、それとも初期ロードがリクエストされているのかによって、アプリケーション内で作成モードまたは変更モードを開始する。初期ロードオプションは、すべてのトランザクションＩＤおよび関連情報とともに、トランザクションＩＤマスタファイル２０７に組み込まれる。再同期がリクエストされている場合、コレクタモジュールはトランザクションＩＤマスタデータベース２０７に問い合わせ、レコードが既に存在するか否かを判断する。レコードが存在する場合、受け取ったファイルのデータとデータベース内のデータ要素とを同期する。この時、いかなる変更もトランザクションＩＤ変更ログ２０６に記録する。トランザクションＩＤマスタレコードが存在しない場合、トランザクションＩＤマスタデータベース２０７へのエントリを作成し、トランザクションＩＤ変更ログ２０６内に新規のトランザクションＩＤを記録する。また、同期プロセス中に必要が生じた場合、トランザクションＩＤマスタレコード２０７を保持するために、トランザクションＩＤメンテナンスモジュール２０５からのリクエストに応じて、トランザクションＩＤビルダモジュール２０４を呼び出してもよい。同様に、すべての新規のエントリおよび変更をＩＤ変更ログ２０６に記録してもよい。トランザクションＩＤデータベースの典型的な定形フォーマットを以下の表２に示す。
【００２８】
【表２】
図４は、本発明の種々の実施形態による、クライアントＩＤビルダおよびメンテナンス機能のブロック図を示す。いくつかの実施形態において、クライアントＩＤビルダは三つの主要な機能を含む。いくつかの実施形態において、プロセスの第一のタスクは、監視の対象となっているアプリケーションのアプリケーションサーバから、クライアントＩＤ関連データ３０１を抽出するステップを伴う。いくつかの実施形態において、オペレーティングシステム、ネットワークオペレーティングシステム、あるいはファイアウォールシステムの一つ以上からクライアントＩＤデータ３０１を抽出することもできる。クライアントＩＤコレクタモジュール３０２を定期的に（例えば、毎日）呼び出してもよい。該コレクタモジュールは、アプリケーションロケータデータベース３０３に問い合わせ、対象の会社からいつどのアプリケーションクライアントを抽出すべきかを判断する。このように予定が組まれると、コレクタはこれが再同期の実行であるのか、あるいは初期ロードであるのかを判断する。いくつかの実施形態において、コレクタモジュールは、ファイル転送プロトコルを用いてホストベースの監視アプリケーションへの情報のセキュアな転送を行うために、暗号化技術を利用した一般的に入手可能な通信ソフトウェアを利用する。いくつかの実施形態において、クライアントＩＤビルダ３０４は、受領の際にデータの検証を行い、再同期がリクエストされているのか、それとも初期ロードがリクエストされているのかによって、アプリケーション内で作成モードまたは変更モードを開始する。初期ロードオプションは、すべてのクライアントＩＤおよび関連情報とともに、クライアントＩＤマスタファイル３０７に組み込まれてもよい。同期がリクエストされている場合、コレクタモジュールはクライアントＩＤマスタデータベースに問い合わせ、レコードが存在するか否かを判断する。レコード（すなわち、テーブルエントリ）が存在する場合、受け取ったファイルのデータとデータベース内のデータ要素とを同期する。この時、いかなる変更もクライアントＩＤ変更ログ３０６に記録する。クライアントＩＤマスタが存在しない場合、クライアントＩＤマスタへのエントリを作成し、新規のクライアントＩＤをクライアントＩＤ変更ログ３０６内に記録する。同期プロセス中に必要が生じた場合、クライアントＩＤマスタレコードを保持するリクエストに応じて、クライアントＩＤメンテナンスモジュール３０５を呼び出してもよい。同様に、すべての新規のエントリおよび変更はＩＤ変更ログ３０６に記録される。クライアントＩＤマスタデータベースの典型的な定形フォーマットを以下の表３に示す。
【００２９】
【表３】
図５は、本発明の一実施形態による、トランザクション監視警告システムのブロック図を示す。いくつかの実施形態において、トランザクション監視警告システムは、ユーザの通常のビジネス活動の過程の中で、以前に開始されていないトランザクションへのアクセスを検知する目的で、特定のユーザのトランザクション活動プロフィールに対して現行のトランザクションを監視する。スタートアップの情報収集フェーズの間に、これらの通常の活動プロフィールをトランザクション活動プロフィールビルダ１０９に通常設定する。いくつかの実施形態において、監視警告システムは、先に図示したもの（図２）と実質的に同じプロセスをプロフィールビルダの元で利用して、対象アプリケーションからトランザクション活動を得、トランザクション活動を整理し、トランザクションを解析し、トランザクションワーキングセット１０８を構築する。
【００３０】
各トランザクションの監視中、監視警告システム４０５が一連の分析プロセスを行い、特定のユーザに対して少しでも異常な行動がないかを判断する。いくつかの実施形態において、システムは監視ルールエンジン１０７からの入力を用いる。該監視ルールエンジンは、階層的な方法で設定することのできるルールを格納しており、会社レベルで全体的なルールが設定でき、これを部門レベル、個人レベルまたはトランザクションレベルにオーバーライドすることもできる。開始時に、クライアントＩＤマスタデータベース３０７を利用して、トランザクションに関連付けられたユーザＩＤを検証してもよく、これによって、監視システムは所与のアプリケーション内で信頼できるユーザとして特定されたユーザを確認できるようになる。実行されるトランザクションが既知のトランザクションであるか判断するために、トランザクションＩＤマスタデータベース２０７を利用してもよい。また、当該トランザクションに対する権限がユーザに付与されているのかを判断するために、Ｃｏｎｔｏｕｒｉｎｇ Ｅｎｇｉｎｅプロフィールマスタ１１０を利用してもよい。同様に、トランザクションＩＤマスタデータベース２０を用いて、トランザクションを開始する試みがアプリケーションに組み込まれた固有のセキュリティによって拒否され、その後２回以上の試みがなされたか否か、つまり、信頼できるユーザが一つ以上の保護されているトランザクションへ繰り返しアクセスを試みたかのかを判断することもできる。さらに、クライアントまたはトランザクションが特定できなったり、あるいはトランザクションが許可されていなかったり、またはユーザのプロフィールに対して異常を示すような状況のいずれかが起こると、警告メッセージを警告メッセージキュー４０９に向けることもできる。該メッセージには、何者かが権限付与の手続きを回避してアプリケーションに侵入したことを示せるように所定の深刻度レベルを割り当てておく。「使用中止」と識別されたユーザによって、トランザクション活動が開始されたか否かを判断するために分析をさらに行ってもよい。そのような場合は、警告メッセージを所定のセキュリティレベルで同様に開始してもよい。このとき、メッセージは、使用中止になったユーザとの関係が終了した後も従業員、ベンダ、請負業者、あるいは顧客がアプリケーション内のトランザクションにアクセスし続けていることを示す。通常のビジネスの過程で過去に当該ユーザが当該トランザクションに対してアクセス権限を付与されていたことをＣｏｎｔｏｕｒｉｎｇ Ｅｎｇｉｎｅプロフィールマスタが示すか否かを判断するためにさらに分析を行ってもよい。いくつかの実施形態では、この特定のユーザ、このユーザの部門、あるいはすべてのユーザに対して、このトランザクションへのアクセスを制限し、Ｃｏｎｔｏｕｒｉｎｇ Ｅｎｇｉｎｅプロフィールマスタ１１０をオーバーライドするような何らかのルールが適用されているか否かを監視ルールエンジン１０７を利用して分析してもよい。監視警告システム４０５は、トランザクションが使用の制限時間内に行われたか否か、あるいは、活動が個人の通常労働時間外に起こったか否かを判断するために、監視ルールエンジン１１０を利用してさらに監視を行ってもよい。更なる実施形態において、監視ルールエンジン１０７は、個人が配属されている特定の部門に関連する規則に伴う標準労働時間など種々の監視条件をオーバーライドする権限と提供することもでき、あるいはオーバーライドに対して有効な開始および終了期日を分析した後に、余分に許可された時間を一時的に割り当てるオーバーライド権限を提供することもできる。さらに、一つ以上のトランザクションへの一時的な許可を特定の個人に対して一時的に許可することもできる。これによって、トランザクションを通常行っている一または複数のユーザが、休暇、病気などのために一時的にこれらのトランザクションを行うことができない場合に、特定のユーザがトランザクションを行うことができるようになる。
【００３１】
さらに、いくつかの実施形態において、同一期間中または重複する期間中に一人のユーザによって、２つ以上のログオンまたは２つ以上のトランザクションが実行されたか否かを、あるいは、特定のユーザによって、トランザクションがユーザに割り当てられた以外のデバイスまたはユーザが普段使っている以外のデバイスから実行されたか否かを検知するために、監視警告システムは上記のデータベースを用いてもよい。
【００３２】
上記からわかるように、活動プロフィールをルールエンジンおよび／またはデータベースとともに用いて、特定のユーザに対して正当なトランザクションセットを定義することもできる。正当なトランザクションのセットに一致しないトランザクションを異常な条件であるとみなすこともできる。
【００３３】
これらの異常な条件のいずれかが存在する場合、警告メッセージキュー４０９と警告追跡ハンドラ４０７は、トランザクションＩＤマスタ２０７で識別されるトランザクションコード分類に関連付けられた優先度を伴うメッセージの発行を受けてもよい。さらに、ファイアウォール、オペレーティングシステムおよび／またはネットワークオペレーティングシステムから検索されたトランザクション活動を含むフォレンシックなデータセットを警告用に生成することもできる。フォレンシックなデータセットは、ネットワークおよび／またはオペレーシングシステムを介してユーザがとった経路および不審なトランザクション活動が検知されたときに使われたアクセスの詳細事項を判断するのに有益なデータを含む。
【００３４】
いくつかの実施形態において、警告メッセージハンドラ４０８が監視警告エンジン４０５から警告メッセージを受け取り、そこからクライアントワークステーション４１１までのルーティングを制御する。いくつかの実施形態において、警告メッセージハンドラ４０８は仮想プライベートネットワーク（ＶＰＮ：Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）４１０を用いて、メッセージをクライアントワークステーション４１１に送る。しかし、ＶＰＮは必須ではなく、別の実施形態においては、インターネット、イントラネット、あるいはローカルエリアネットワーク接続を経由してメッセージをクライアントワークステーション４１１に送ってもよい。更なる別の実施形態において、クライアントワークステーション４１１を監視警告システムに直接接続することもできる。
【００３５】
上記の説明からもわかるように、クライアント会社からトランザクションデータを受け取るサービスプロバイダが、監視警告システムを提供することもできる。いくつかの実施形態において、サービスプロバイダは監視されるトランザクションの量、トランザクションデータが占めるディスク空間の容量、あるいはトランザクションの一件あたりに基づいて、クライアント会社に課金することもできる。本発明の実施形態は、特定の課金メカニズムに限定されない。
【００３６】
図６は、ハードウェアおよび操作環境の図であり、これらを組み合わせれば本発明の実施形態を実施することもできる。図６の記載は、本発明と組み合わせて実装することができる適切なコンピュータハードウェアと適切なコンピューティング環境に関し簡潔で一般的な説明を提供することを目的とする。必須ではないが、本発明は、パーソナルコンピュータあるいはサーバコンピュータなどのコンピュータによって実行されるプログラムモジュールなど、コンピュータによって実行可能な命令が通常あるものとして説明する。一般的に、プログラムモジュールは特定のタスクを行ったり、特定の抽象データ型を実装したりするルーチン、プログラム、オブジェクト、要素、データ構造体などを含む。
【００３７】
さらに、当業者には認識されるであろうが、ハンドヘルドデバイス、マルチプロセッサシステム、マイクロプロセッサベースの家庭用電化製品またはプログラム可能な家庭用電化製品、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータおよびこれに類するものを含む他のコンピュータシステムの構成を用いて、本発明を実施することもできる。また、通信網を介してリンクされているリモート処理デバイスを用いてタスクを行う分散コンピューティング環境で本発明を実施してもよい。分散コンピューティング環境では、ローカルおよびリモートにあるメモリストレージデバイスの両方にプログラムモジュールを置くこともできる。
【００３８】
図６に示すように、コンピューティングシステム６００はプロセッサを含む。Ｉｎｔｅｌ Ｃｏｒｐｏｒａｔｉｏｎによって製造されたマイクロプロセッサであるＰＥＮＴＩＵＭ（登録商標）ファミリー、Ｓｉｌｉｃｏｎ Ｇｒａｐｈｉｃｓ ＣｏｒｐｏｒａｔｉｏｎのマイクロプロセッサであるＭＩＰＳ（登録商標）ファミリー、Ｍｏｔｏｒｏｌａ ＣｏｒｐｏｒａｔｉｏｎおよびＩＢＭ Ｃｏｒｐｏｒａｔｉｏｎの双方のマイクロプロセッサであるＰＯＷＥＲＰＣ（登録商標）ファミリー、Ｈｅｗｌｅｔｔ−Ｐａｃｋａｒｄ ＣｏｍｐａｎｙのマイクロプロセッサであるＰＲＥＣＩＳＩＯＮ ＡＲＣＨＩＴＥＣＴＵＲＥ（登録商標）ファミリー、Ｓｕｎ Ｍｉｃｒｏｓｙｓｔｅｍｓ ＣｏｒｐｏｒａｔｉｏｎのマイクロプロセッサであるＳＰＡＲＣ（登録商標）ファミリー、あるいはＣｏｍｐａｑ Ｃｏｍｐｕｔｅｒ ＣｏｒｐｏｒａｔｉｏｎのマイクロプロセッサであるＡＬＰＨＡ（登録商標）ファミリーなどのマイクロプロセッサベースのコンピュータ上で本発明を実装することができる。コンピューティングシステム６００は、いかなるパーソナルコンピュータ、ラップトップ、サーバ、あるいはハンドヘルドＰＣとして知られるバッテリ式のポケット型モバイルコンピュータをも表す。
【００３９】
コンピューティングシステム６００は、システムメモリ６１３（読み取り専用メモリ（ＲＯＭ：ｒｅａｄ−ｏｎｌｙ ｍｅｍｏｒｙ）６１４およびランダムアクセスメモリ（ＲＡＭ：ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ）６１５を含む）を含み、該システムメモリはシステムデータ／アドレスバス６１６によって、プロセッサ６１２に接続されている。ＲＯＭ６１４は、電気消去可能なプログラマブル読み取り専用メモリ（ＥＥＰＲＯＭ（ｅｌｅｃｔｒｉｃａｌｌｙ ｅｒａｓａｂｌｅ ｐｒｏｇｒａｍｍａｂｌｅ ｒｅａｄ−ｏｎｌｙ ｍｅｍｏｒｙ）、フラッシュメモリなどを含め、主として読み取り専用である任意のデバイスを表す。ＲＡＭ６１５は同期ダイナミックランダムアクセスメモリなどの任意のランダムアクセスメモリを表す。
【００４０】
コンピューティングシステム６００内では、バスコントローラ６１９を介して、入出力バス６１８がデータ／アドレスバス６１６に接続されている。一実施形態においては、入出力バス６１８を標準的な周辺コンポーネント相互接続（ＰＣＩ：Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）バスとして実装する。バスコントローラ６１９はプロセッサ６１２からの信号すべてを検査し、信号を適切なバスへルーティングする。プロセッサ６１２とシステムメモリ６１３との間の信号は、単にバスコントローラ６１９へ通される。しかし、プロセッサ６１２からシステムメモリ６１３以外に向けた信号は入出力バス６１８上にルーティングされる。
【００４１】
ハードディスクドライブ６２０、フロッピー（登録商標）ディスク６５１を読み取るために用いるフロッピー（登録商標）ドライブ６２１、および光学ディスク６５２を読み取るために用いるＣＤ−ＲＯＭドライブなどの光学ドライブ６２２を含む種々のデバイスが入出力バス６１８に接続される。ビデオアダプタ６２５を介して、ビデオディスプレイ６２４あるいはその他の種類のディスプレイデバイスが入出力バス６１８に接続される。
【００４２】
ユーザは、入出力ポート６２８を介してバス６１８に接続されているキーボード４０、および／またはマウス４２などのポインティングデバイス用いて、コンピューティングシステム６００にコマンドと情報とを入力する。他の種類のポインティングデバイス（図６には図示せず）には、トラックパッド、トラックボール、ジョイスティック、データグローブ、ヘッドトラッカ、およびビデオディスプレイ６２４上でカーソルの位置を決めるのに適する他のデバイスを含む。
【００４３】
図６に示すように、コンピューティングシステム６００はまた、モデム６２９を含む。図６ではモデム６２９をコンピューティングシステム６００の外部に図示している。しかし、当業者はすぐに気付くであろうが、該モデムをコンピューティングシステム６００の内部にも置くこともできる。モデム６２９はグローバルインターネットなどのワイドエリアネットワーク（図示せず）で通信するために通常用いる。また、当業界では周知のように、コンピューティングシステムはネットワーク上での通信するためにネットワークインターフェースカード５３を含んでもよい。
【００４４】
ソフトウェアアプリケーション６３６およびデータはメモリストレージデバイスの一つによって通常記憶され、実行するためにＲＡＭ６１５にコピーされる。なお、該メモリストレージデバイスには、ハードディスク６２０、フロッピー（登録商標）ディスク６５１、ＣＤ−ＲＯＭ６５２を含むこともできるが、一実施形態では、ソフトウェアアプリケーション６３６をＲＯＭ６１４に記憶し、実行するためにＲＡＭ６１５にコピーしたり、あるいはＲＯＭ６１４から直接実行したりする。
【００４５】
一般的に、オペレーシングシステム６３５がソフトウェアアプリケーション６３６を実行して、ユーザが発行した命令を行う。例えば、ユーザがソフトウェアアプリケーション６３６をロードしたい場合、オペレーシングシステム６３５は命令を解読し、プロセッサ６１２にハードディスク６２０または光学ディスク６５２のどちらかからＲＡＭ６１５へソフトウェアアプリケーション６３６をロードさせる。ソフトウェアアプリケーション６３６をＲＡＭ６１５にロードすると、プロセッサ６１２はこれを用いることができる。大規模なソフトウェアアプリケーション６３６の場合、必要に応じてプロセッサ６１２はプログラムモジュールの種々の部分をＲＡＭ６１５にロードする。
【００４６】
コンピューティングシステム６００の基本出入力システム（ＢＩＯＳ：Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）はＲＯＭ６１４に記憶され、ブート時にＲＡＭ６１５にロードされる。当業者には認識されるであろうが、ＢＩＯＳ６１７は実行可能な基本ルーチンのセットであり、コンピューティングシステム６００内のコンピューティング資源間での情報の転送を都合よく補助する。オペレーシングシステム６３５あるいは他のソフトウェアアプリケーション６３６が、これらの低レベルのサービスルーチンを用いる。
【００４７】
一実施形態において、コンピューティングシステム６００は、コンピューティングシステム６００のコンフィギュレーション情報を持つシステムデータベースであるレジストリ（図示せず）を含む。例えば、ＭｉｃｒｏｓｏｆｔのＷｉｎｄｏｗｓ（登録商標）９５、Ｗｉｎｄｏｗｓ（登録商標）９８、Ｗｉｎｄｏｗｓ（登録商標）ＮＴ、Ｗｉｎｄｏｗｓ（登録商標）２０００、およびＷｉｎｄｏｗｓ（登録商標）ＸＰでは、内蔵ディスクなどの永久ストレージデバイスに置かれたＵＳＥＲ．ＤＡＴとＳＹＳＴＥＭ．ＤＡＴと呼ばれる、二つの隠しファイルにレジストリを保持している。
【００４８】
結論
信頼できるユーザの活動を監視するシステムおよび方法が開示されている。説明したシステムおよび方法は先行のシステムよりも優れた利点を提供する。
【００４９】
本明細書では特定の実施形態を図示し、説明してきたが、ここに示した特定の実施形態の代わりに、同一の目的を達成するために考えられるいかなる構成をも用いることができるということは、当業者には認識されるであろう。本出願は本発明のいかなる改良あるいは変更をも包括することを目的とする。
【００５０】
本出願明細書で用いられている用語は、これらの環境すべてを含むものとする。上記の説明は例示的なものに過ぎず、限定的なものではないことを理解されたい。上記の説明を精査する際に、他の多くの実施形態が当業者には明らかとなるであろう。したがって、本発明が以下の特許請求の範囲およびその均等物によってのみ限定されることは明白である。
【図面の簡単な説明】
【００５１】
【図１】図１は、本発明の一実施形態による、方法の全体的な処理とトランザクション監視警告システムを構成する主要なモジュールの機能ブロック図を示す。
【図２】図２は、本発明の一実施形態による、監視される特定のアプリケーション内でのトランザクション活動についてのユーザプロフィールを構築する活動プロフィールビルダのブロック図を示す。
【図３】図３は、本発明の種々の実施形態による、トランザクションＩＤビルダおよびメンテナンス機能のブロック図を示す。
【図４】図４は、本発明の種々の実施形態による、クライアントＩＤビルダおよびメンテナンス機能のブロック図を示す。
【図５】図５は、本発明の一実施形態による、トランザクション監視警告システムのブロック図を示す。
【図６】図６は、本発明の実施形態を実行することもできるコンピュータのブロック図を示す。
【特許請求の範囲】
【請求項１】
アプリケーションの使用を監視するコンピュータ化された方法であって、方法は、
コンピュータアプリケーションからトランザクション活動を受け取るステップであって、前記トランザクション活動はユーザによる前記コンピュータアプリケーション使用を表しているステップと、
前記トランザクション活動を解析するステップと、
前記解析済みのトランザクション活動に基づいて前記ユーザのプロフィールを構築するステップと、
を含む、方法。
【請求項２】
アプリケーションの使用を監視するコンピュータ化された方法であって、
コンピュータアプリケーションからトランザクション活動を受け取るステップであって、前記トランザクション活動はユーザによる前記コンピュータアプリケーションの使用を表す活動を含むステップと、
前記トランザクション活動を解析するステップと、
ユーザに関連付けられた前記解析済みトランザクション活動のサブセットと前記ユーザの所定のプロフィールとを比較するステップであって、前記プロフィールは、少なくとも部分的に前記ユーザの以前のトランザクション活動に基づいているステップと、
前記解析済みのトランザクション活動のいずれかが前記所定のプロフィールと一致しない場合に、警告を発するステップと、
を含む方法。
【請求項３】
前記コンピュータアプリケーションは、ＰｅｏｐｌｅＳｏｆｔ、ＳＡＰおよびＪＤ Ｅｄｗａｒｄｓからなる群より選択したコンピュータアプリケーションを含む、請求項２に記載の方法。
【請求項４】
前記トランザクション活動は、アクセスおよび認証システムからのトランザクション活動をさらに含み、前記方法は、前記トランザクション活動に基づくフォレンシックなデータセットを作成するステップをさらに含む、請求項２に記載の方法。
【請求項５】
前記トランザクション活動は、ネットワークオペレーティングシステム、オペレーティングシステムおよびファイアウォールからなる群より選択したシステムからのトランザクション活動を含む、請求項４に記載の方法。
【請求項６】
前記トランザクション活動を解析する前に、前記トランザクション活動はリモートシステムに送られる、請求項２に記載の方法。
【請求項７】
前記リモートシステムへ送られる前に、前記トランザクション活動は暗号化される請求項６に記載の方法。
【請求項８】
前記プロフィールは、前記ユーザの労働時間を含む、請求項２に記載の方法。
【請求項９】
前記ユーザによってトランザクションが実行される時間が、前記トランザクション活動によって定められ、ユーザの前記通常の許可された労働時間内に前記トランザクションが行われたか否かを判断するのに利用される、請求項８に記載の方法。
【請求項１０】
前記労働時間は、システム管理者によって設定される、請求項８に記載の方法。
【請求項１１】
前記プロフィールは前記ユーザによって通常実行されるトランザクションを含む、請求項２に記載の方法。
【請求項１２】
警告を発するステップは、実質的に同一の期間あるいは重複する期間に一人のユーザによって二つ以上のトランザクションが実行された場合に、警告を発するステップを含む、請求項２に記載の方法。
【請求項１３】
警告を発するステップは、実質的に同一の期間あるいは重複する期間に、一人のユーザによって二つ以上のネットワークログオンが実行された場合に、警告を発するステップを含む、請求項２に記載の方法。
【請求項１４】
警告を発するステップは、トランザクションがユーザによって前記ユーザに割り当てられた以外のデバイスから実行された場合に、警告を発するステップを含む、請求項２に記載の方法。
【請求項１５】
トランザクションが身元不明のユーザによって実行された場合に、警告を発するステップをさらに含む、請求項２に記載の方法。
【請求項１６】
トランザクションが前記アプリケーションに認識されていないユーザによって実行された場合に、警告を発するステップをさらに含む、請求項２に記載の方法。
【請求項１７】
トランザクションが使用中止にされたユーザによって実行された場合に、警告を発するステップをさらに含む、請求項２に記載の方法。
【請求項１８】
前記トランザクション活動に基づいて課金レコードを生成するステップをさらに含む、請求項２に記載の方法。
【請求項１９】
前記課金レコードは、トランザクション活動の前記量に基づいて生成される、請求項１８に記載の方法。
【請求項２０】
前記課金レコードは、前記トランザクション活動のトランザクション数に基づいて生成される、請求項１８に記載の方法。
【請求項２１】
コンピュータアプリケーションの使用を監視するコンピュータ化されたシステムであって、
コンピュータアプリケーションからトランザクションを受け取るように動作可能であるトランザクション活動ハーベスタと、
前記トランザクションを解析するように動作可能であるトランザクションパーサと、
ユーザのプロフィールを作成するように動作可能である解析プロフィールビルダであって、前記プロフィールは前記ユーザの正当なトランザクションのセットを含んでいる解析プロフィールビルダと、
前記コンピュータアプリケーションで前記ユーザによって実行されたトランザクションと前記ユーザの正当なトランザクションの前記セットとを比較し、前記実行されたトランザクションが正当なトランザクションの前記セットと一致しない場合に、警告を発するように動作可能である監視警告システムと、
を含む、システム。
【請求項２２】
前記監視警告システムは、ユーザが保護されているトランザクションへのアクセスを繰り返し試みていることを検知した際に、警告を発するようにさらに動作可能である、請求項２１に記載のシステム。
【請求項２３】
正当なトランザクションの前記セットは、過去に前記ユーザが実行したトランザクションを含む、請求項２１に記載のシステム。
【請求項２４】
実質的に同一の期間あるいは重複する期間に、一人のユーザによって二つ以上のトランザクションが実行された場合に、警告が発生する、請求項２１に記載のシステム。
【請求項２５】
ユーザに割り当てられた以外のデバイスから、前記ユーザによってトランザクションが実行された場合に、警告が発生する、請求項２１に記載のシステム。
【請求項２６】
前記ユーザの標準労働日および時間以外に前記ユーザによってトランザクションが実行された場合に、警告が発生する、請求項２１に記載のシステム。
【請求項２７】
身元不明のユーザによってトランザクションが実行された場合に、警告が発生する、請求項２１に記載のシステム。
【請求項２８】
前記アプリケーションに認識されていないユーザによってトランザクションが実行された場合に、警告が発生する、請求項２１に記載のシステム。
【請求項２９】
監視されるユーザのセットを特定するように動作可能であるクライアントＩＤビルダをさらに含む、請求項２１に記載のシステム。
【請求項３０】
監視されるトランザクションのセットを特定するように動作可能であるトランザクションＩＤビルダをさらに含む、請求項２１に記載のシステム。
【請求項３１】
前記トランザクション活動ハーベスタは、オペレーティングシステムからトランザクション活動を受け取るようにさらに動作可能である、請求項２１に記載のシステム。
【請求項３２】
前記システムがファイアウォールをさらに含み、前記トランザクション活動ハーベスタは、前記ファイアウォールからトランザクション活動を受け取るようにさらに動作可能である、請求項２１に記載のシステム。
【請求項３３】
前記システムがネットワークオペレーティングシステムをさらに含み、前記トランザクション活動ハーベスタは、前記ネットワークオペレーティングシステムからトランザクション活動を受け取るようにさらに動作可能である、請求項２１に記載の方法。
【請求項３４】
前記監視警告システムによって適用されるルールセットを含んでいるルールデータベースに動作可能に接続されているルールエンジンをさらに含む、請求項２１に記載のシステム。
【特許請求の範囲】
【請求項１】
アプリケーションの使用を監視するコンピュータ化された方法であって、
コンピュータアプリケーションからトランザクション活動を受け取るステップであって、前記トランザクション活動はユーザによる前記コンピュータアプリケーションの使用を表す活動を含むステップと、
前記トランザクション活動を解析するステップと、
ユーザに関連付けられた前記解析済みトランザクション活動のサブセットと前記ユーザの所定のプロフィールとを比較するステップであって、前記プロフィールは、少なくとも部分的に前記ユーザの以前のトランザクション活動に基づいているステップと、
前記解析済みのトランザクション活動のいずれかが前記所定のプロフィールと一致しない場合に、警告を発するステップと、
を含む方法。
【請求項２】
前記コンピュータアプリケーションは、ＰｅｏｐｌｅＳｏｆｔ、ＳＡＰおよびＪＤ Ｅｄｗａｒｄｓからなる群より選択したコンピュータアプリケーションを含む、請求項１に記載の方法。
【請求項３】
前記トランザクション活動は、アクセスおよび認証システムからのトランザクション活動をさらに含み、前記方法は、前記トランザクション活動に基づくフォレンシックなデータセットを作成するステップをさらに含む、請求項１に記載の方法。
【請求項４】
前記トランザクション活動は、ネットワークオペレーティングシステム、オペレーティングシステムおよびファイアウォールからなる群より選択したシステムからのトランザクション活動を含む、請求項３に記載の方法。
【請求項５】
前記トランザクションを解析する前に、前記トランザクション活動はリモートシステムへ送られる、請求項１に記載の方法。
【請求項６】
前記リモートシステムへ送られる前に、前記トランザクション活動は暗号化される請求項５に記載の方法。
【請求項７】
前記プロフィールは、前記ユーザの労働時間を含む、請求項１に記載の方法。
【請求項８】
前記ユーザによってトランザクションが実行される時間が、前記トランザクション活動によって定められ、ユーザの前記通常の許可された労働時間内に前記トランザクションが行われたか否かを判断するのに利用される、請求項７に記載の方法。
【請求項９】
前記労働時間は、システム管理者によって設定される、請求項７に記載の方法。
【請求項１０】
前記プロフィールは前記ユーザによって通常実行されるトランザクションを含む、請求項１に記載の方法。
【請求項１１】
警告を発するステップは、実質的に同一の期間あるいは重複する期間に一人のユーザによって二つ以上のトランザクションが実行された場合に、警告を発するステップを含む、請求項１に記載の方法。
【請求項１２】
警告を発するステップは、実質的に同一の期間あるいは重複する期間に、一人のユーザによって二つ以上のネットワークログオンが実行された場合に、警告を発するステップを含む、請求項１に記載の方法。
【請求項１３】
警告を発するステップは、トランザクションがユーザによって前記ユーザに割り当てられた以外のデバイスから実行された場合に、警告を発するステップを含む、請求項１に記載の方法。
【請求項１４】
トランザクションが身元不明のユーザによって実行された場合に、警告を発するステップをさらに含む、請求項１に記載の方法。
【請求項１５】
トランザクションが前記アプリケーションに認識されていないユーザによって実行された場合に、警告を発するステップをさらに含む、請求項１に記載の方法。
【請求項１６】
トランザクションが使用中止にされたユーザによって実行された場合に、警告を発するステップをさらに含む、請求項１に記載の方法。
【請求項１７】
前記トランザクション活動に基づいて課金レコードを生成するステップをさらに含む、請求項１に記載の方法。
【請求項１８】
前記課金レコードは、トランザクション活動の前記量に基づいて生成される、請求項１４に記載の方法。
【請求項１９】
前記課金レコードは、前記トランザクション活動のトランザクション数に基づいて生成される、請求項１４に記載の方法。
【請求項２０】
コンピュータアプリケーションの使用を監視するコンピュータ化されたシステムであって、
コンピュータアプリケーションからトランザクションを受け取るように動作可能であるトランザクション活動ハーベスタと、
前記トランザクションを解析するように動作可能であるトランザクションパーサと、
ユーザのプロフィールを作成するように動作可能である解析プロフィールビルダであって、前記プロフィールは前記ユーザの正当なトランザクションのセットを含んでいる、解析プロフィールビルダと、
前記コンピュータアプリケーションで前記ユーザによって実行されたトランザクションと前記ユーザの正当なトランザクションの前記セットとを比較し、前記実行されたトランザクションが正当なトランザクションの前記セットと一致しない場合に、警告を発するように動作可能である監視警告システムと、
を含む、システム。
【請求項２１】
前記監視警告システムは、ユーザが保護されているトランザクションへのアクセスを繰り返し試みていることを検知した際に、警告を発するようにさらに動作可能である、請求項２０に記載のシステム。
【請求項２２】
正当なトランザクションの前記セットは、過去に前記ユーザが実行したトランザクションを含む、請求項２０に記載のシステム。
【請求項２３】
実質的に同一の期間あるいは重複する期間に、一人のユーザによって二つ以上のトランザクションが実行された場合に、警告が発生する、請求項２０に記載のシステム。
【請求項２４】
ユーザに割り当てられた以外のデバイスから、前記ユーザによってトランザクションが実行された場合に、警告が発生する、請求項２０に記載のシステム。
【請求項２５】
前記ユーザの標準労働日および時間以外に前記ユーザによってトランザクションが実行された場合に、警告が発生する、請求項２０に記載のシステム。
【請求項２６】
身元不明のユーザによってトランザクションが実行された場合に、警告が発生する、請求項２０に記載のシステム。
【請求項２７】
前記アプリケーションに認識されていないユーザによってトランザクションが実行された場合に、警告が発生する、請求項２０に記載のシステム。
【請求項２８】
監視されるユーザのセットを特定するように動作可能であるクライアントＩＤビルダをさらに含む、請求項２０に記載のシステム。
【請求項２９】
監視されるトランザクションのセットを特定するように動作可能であるトランザクションＩＤビルダをさらに含む、請求項２０に記載のシステム。
【請求項３０】
前記トランザクション活動ハーベスタは、オペレーティングシステムからトランザクション活動を受け取るようにさらに動作可能である、請求項２０に記載のシステム。
【請求項３１】
前記システムがファイアウォールをさらに含み、前記トランザクション活動ハーベスタは、前記ファイアウォールからトランザクション活動を受け取るようにさらに動作可能である、請求項２０に記載のシステム。
【請求項３２】
前記システムがネットワークオペレーティングシステムをさらに含み、前記トランザクション活動ハーベスタは、前記ネットワークオペレーティングシステムからトランザクション活動を受け取るようにさらに動作可能である、請求項２０に記載の方法。
【請求項３３】
前記監視警告システムによって適用されるルールセットを含んでいるルールデータベースに動作可能に接続されているルールエンジンをさらに含む、請求項１７に記載のシステム。
【請求項１】
アプリケーションの使用を監視するコンピュータ化された方法であって、方法は、
コンピュータアプリケーションからトランザクション活動を受け取るステップであって、前記トランザクション活動はユーザによる前記コンピュータアプリケーション使用を表しているステップと、
前記トランザクション活動を解析するステップと、
前記解析済みのトランザクション活動に基づいて前記ユーザのプロフィールを構築するステップと、
を含む、方法。
【請求項２】
アプリケーションの使用を監視するコンピュータ化された方法であって、
コンピュータアプリケーションからトランザクション活動を受け取るステップであって、前記トランザクション活動はユーザによる前記コンピュータアプリケーションの使用を表す活動を含むステップと、
前記トランザクション活動を解析するステップと、
ユーザに関連付けられた前記解析済みトランザクション活動のサブセットと前記ユーザの所定のプロフィールとを比較するステップであって、前記プロフィールは、少なくとも部分的に前記ユーザの以前のトランザクション活動に基づいているステップと、
前記解析済みのトランザクション活動のいずれかが前記所定のプロフィールと一致しない場合に、警告を発するステップと、
を含む方法。
【請求項３】
前記コンピュータアプリケーションは、ＰｅｏｐｌｅＳｏｆｔ、ＳＡＰおよびＪＤ Ｅｄｗａｒｄｓからなる群より選択したコンピュータアプリケーションを含む、請求項２に記載の方法。
【請求項４】
前記トランザクション活動は、アクセスおよび認証システムからのトランザクション活動をさらに含み、前記方法は、前記トランザクション活動に基づくフォレンシックなデータセットを作成するステップをさらに含む、請求項２に記載の方法。
【請求項５】
前記トランザクション活動は、ネットワークオペレーティングシステム、オペレーティングシステムおよびファイアウォールからなる群より選択したシステムからのトランザクション活動を含む、請求項４に記載の方法。
【請求項６】
前記トランザクション活動を解析する前に、前記トランザクション活動はリモートシステムに送られる、請求項２に記載の方法。
【請求項７】
前記リモートシステムへ送られる前に、前記トランザクション活動は暗号化される請求項６に記載の方法。
【請求項８】
前記プロフィールは、前記ユーザの労働時間を含む、請求項２に記載の方法。
【請求項９】
前記ユーザによってトランザクションが実行される時間が、前記トランザクション活動によって定められ、ユーザの前記通常の許可された労働時間内に前記トランザクションが行われたか否かを判断するのに利用される、請求項８に記載の方法。
【請求項１０】
前記労働時間は、システム管理者によって設定される、請求項８に記載の方法。
【請求項１１】
前記プロフィールは前記ユーザによって通常実行されるトランザクションを含む、請求項２に記載の方法。
【請求項１２】
警告を発するステップは、実質的に同一の期間あるいは重複する期間に一人のユーザによって二つ以上のトランザクションが実行された場合に、警告を発するステップを含む、請求項２に記載の方法。
【請求項１３】
警告を発するステップは、実質的に同一の期間あるいは重複する期間に、一人のユーザによって二つ以上のネットワークログオンが実行された場合に、警告を発するステップを含む、請求項２に記載の方法。
【請求項１４】
警告を発するステップは、トランザクションがユーザによって前記ユーザに割り当てられた以外のデバイスから実行された場合に、警告を発するステップを含む、請求項２に記載の方法。
【請求項１５】
トランザクションが身元不明のユーザによって実行された場合に、警告を発するステップをさらに含む、請求項２に記載の方法。
【請求項１６】
トランザクションが前記アプリケーションに認識されていないユーザによって実行された場合に、警告を発するステップをさらに含む、請求項２に記載の方法。
【請求項１７】
トランザクションが使用中止にされたユーザによって実行された場合に、警告を発するステップをさらに含む、請求項２に記載の方法。
【請求項１８】
前記トランザクション活動に基づいて課金レコードを生成するステップをさらに含む、請求項２に記載の方法。
【請求項１９】
前記課金レコードは、トランザクション活動の前記量に基づいて生成される、請求項１８に記載の方法。
【請求項２０】
前記課金レコードは、前記トランザクション活動のトランザクション数に基づいて生成される、請求項１８に記載の方法。
【請求項２１】
コンピュータアプリケーションの使用を監視するコンピュータ化されたシステムであって、
コンピュータアプリケーションからトランザクションを受け取るように動作可能であるトランザクション活動ハーベスタと、
前記トランザクションを解析するように動作可能であるトランザクションパーサと、
ユーザのプロフィールを作成するように動作可能である解析プロフィールビルダであって、前記プロフィールは前記ユーザの正当なトランザクションのセットを含んでいる解析プロフィールビルダと、
前記コンピュータアプリケーションで前記ユーザによって実行されたトランザクションと前記ユーザの正当なトランザクションの前記セットとを比較し、前記実行されたトランザクションが正当なトランザクションの前記セットと一致しない場合に、警告を発するように動作可能である監視警告システムと、
を含む、システム。
【請求項２２】
前記監視警告システムは、ユーザが保護されているトランザクションへのアクセスを繰り返し試みていることを検知した際に、警告を発するようにさらに動作可能である、請求項２１に記載のシステム。
【請求項２３】
正当なトランザクションの前記セットは、過去に前記ユーザが実行したトランザクションを含む、請求項２１に記載のシステム。
【請求項２４】
実質的に同一の期間あるいは重複する期間に、一人のユーザによって二つ以上のトランザクションが実行された場合に、警告が発生する、請求項２１に記載のシステム。
【請求項２５】
ユーザに割り当てられた以外のデバイスから、前記ユーザによってトランザクションが実行された場合に、警告が発生する、請求項２１に記載のシステム。
【請求項２６】
前記ユーザの標準労働日および時間以外に前記ユーザによってトランザクションが実行された場合に、警告が発生する、請求項２１に記載のシステム。
【請求項２７】
身元不明のユーザによってトランザクションが実行された場合に、警告が発生する、請求項２１に記載のシステム。
【請求項２８】
前記アプリケーションに認識されていないユーザによってトランザクションが実行された場合に、警告が発生する、請求項２１に記載のシステム。
【請求項２９】
監視されるユーザのセットを特定するように動作可能であるクライアントＩＤビルダをさらに含む、請求項２１に記載のシステム。
【請求項３０】
監視されるトランザクションのセットを特定するように動作可能であるトランザクションＩＤビルダをさらに含む、請求項２１に記載のシステム。
【請求項３１】
前記トランザクション活動ハーベスタは、オペレーティングシステムからトランザクション活動を受け取るようにさらに動作可能である、請求項２１に記載のシステム。
【請求項３２】
前記システムがファイアウォールをさらに含み、前記トランザクション活動ハーベスタは、前記ファイアウォールからトランザクション活動を受け取るようにさらに動作可能である、請求項２１に記載のシステム。
【請求項３３】
前記システムがネットワークオペレーティングシステムをさらに含み、前記トランザクション活動ハーベスタは、前記ネットワークオペレーティングシステムからトランザクション活動を受け取るようにさらに動作可能である、請求項２１に記載の方法。
【請求項３４】
前記監視警告システムによって適用されるルールセットを含んでいるルールデータベースに動作可能に接続されているルールエンジンをさらに含む、請求項２１に記載のシステム。
【特許請求の範囲】
【請求項１】
アプリケーションの使用を監視するコンピュータ化された方法であって、
コンピュータアプリケーションからトランザクション活動を受け取るステップであって、前記トランザクション活動はユーザによる前記コンピュータアプリケーションの使用を表す活動を含むステップと、
前記トランザクション活動を解析するステップと、
ユーザに関連付けられた前記解析済みトランザクション活動のサブセットと前記ユーザの所定のプロフィールとを比較するステップであって、前記プロフィールは、少なくとも部分的に前記ユーザの以前のトランザクション活動に基づいているステップと、
前記解析済みのトランザクション活動のいずれかが前記所定のプロフィールと一致しない場合に、警告を発するステップと、
を含む方法。
【請求項２】
前記コンピュータアプリケーションは、ＰｅｏｐｌｅＳｏｆｔ、ＳＡＰおよびＪＤ Ｅｄｗａｒｄｓからなる群より選択したコンピュータアプリケーションを含む、請求項１に記載の方法。
【請求項３】
前記トランザクション活動は、アクセスおよび認証システムからのトランザクション活動をさらに含み、前記方法は、前記トランザクション活動に基づくフォレンシックなデータセットを作成するステップをさらに含む、請求項１に記載の方法。
【請求項４】
前記トランザクション活動は、ネットワークオペレーティングシステム、オペレーティングシステムおよびファイアウォールからなる群より選択したシステムからのトランザクション活動を含む、請求項３に記載の方法。
【請求項５】
前記トランザクションを解析する前に、前記トランザクション活動はリモートシステムへ送られる、請求項１に記載の方法。
【請求項６】
前記リモートシステムへ送られる前に、前記トランザクション活動は暗号化される請求項５に記載の方法。
【請求項７】
前記プロフィールは、前記ユーザの労働時間を含む、請求項１に記載の方法。
【請求項８】
前記ユーザによってトランザクションが実行される時間が、前記トランザクション活動によって定められ、ユーザの前記通常の許可された労働時間内に前記トランザクションが行われたか否かを判断するのに利用される、請求項７に記載の方法。
【請求項９】
前記労働時間は、システム管理者によって設定される、請求項７に記載の方法。
【請求項１０】
前記プロフィールは前記ユーザによって通常実行されるトランザクションを含む、請求項１に記載の方法。
【請求項１１】
警告を発するステップは、実質的に同一の期間あるいは重複する期間に一人のユーザによって二つ以上のトランザクションが実行された場合に、警告を発するステップを含む、請求項１に記載の方法。
【請求項１２】
警告を発するステップは、実質的に同一の期間あるいは重複する期間に、一人のユーザによって二つ以上のネットワークログオンが実行された場合に、警告を発するステップを含む、請求項１に記載の方法。
【請求項１３】
警告を発するステップは、トランザクションがユーザによって前記ユーザに割り当てられた以外のデバイスから実行された場合に、警告を発するステップを含む、請求項１に記載の方法。
【請求項１４】
トランザクションが身元不明のユーザによって実行された場合に、警告を発するステップをさらに含む、請求項１に記載の方法。
【請求項１５】
トランザクションが前記アプリケーションに認識されていないユーザによって実行された場合に、警告を発するステップをさらに含む、請求項１に記載の方法。
【請求項１６】
トランザクションが使用中止にされたユーザによって実行された場合に、警告を発するステップをさらに含む、請求項１に記載の方法。
【請求項１７】
前記トランザクション活動に基づいて課金レコードを生成するステップをさらに含む、請求項１に記載の方法。
【請求項１８】
前記課金レコードは、トランザクション活動の前記量に基づいて生成される、請求項１４に記載の方法。
【請求項１９】
前記課金レコードは、前記トランザクション活動のトランザクション数に基づいて生成される、請求項１４に記載の方法。
【請求項２０】
コンピュータアプリケーションの使用を監視するコンピュータ化されたシステムであって、
コンピュータアプリケーションからトランザクションを受け取るように動作可能であるトランザクション活動ハーベスタと、
前記トランザクションを解析するように動作可能であるトランザクションパーサと、
ユーザのプロフィールを作成するように動作可能である解析プロフィールビルダであって、前記プロフィールは前記ユーザの正当なトランザクションのセットを含んでいる、解析プロフィールビルダと、
前記コンピュータアプリケーションで前記ユーザによって実行されたトランザクションと前記ユーザの正当なトランザクションの前記セットとを比較し、前記実行されたトランザクションが正当なトランザクションの前記セットと一致しない場合に、警告を発するように動作可能である監視警告システムと、
を含む、システム。
【請求項２１】
前記監視警告システムは、ユーザが保護されているトランザクションへのアクセスを繰り返し試みていることを検知した際に、警告を発するようにさらに動作可能である、請求項２０に記載のシステム。
【請求項２２】
正当なトランザクションの前記セットは、過去に前記ユーザが実行したトランザクションを含む、請求項２０に記載のシステム。
【請求項２３】
実質的に同一の期間あるいは重複する期間に、一人のユーザによって二つ以上のトランザクションが実行された場合に、警告が発生する、請求項２０に記載のシステム。
【請求項２４】
ユーザに割り当てられた以外のデバイスから、前記ユーザによってトランザクションが実行された場合に、警告が発生する、請求項２０に記載のシステム。
【請求項２５】
前記ユーザの標準労働日および時間以外に前記ユーザによってトランザクションが実行された場合に、警告が発生する、請求項２０に記載のシステム。
【請求項２６】
身元不明のユーザによってトランザクションが実行された場合に、警告が発生する、請求項２０に記載のシステム。
【請求項２７】
前記アプリケーションに認識されていないユーザによってトランザクションが実行された場合に、警告が発生する、請求項２０に記載のシステム。
【請求項２８】
監視されるユーザのセットを特定するように動作可能であるクライアントＩＤビルダをさらに含む、請求項２０に記載のシステム。
【請求項２９】
監視されるトランザクションのセットを特定するように動作可能であるトランザクションＩＤビルダをさらに含む、請求項２０に記載のシステム。
【請求項３０】
前記トランザクション活動ハーベスタは、オペレーティングシステムからトランザクション活動を受け取るようにさらに動作可能である、請求項２０に記載のシステム。
【請求項３１】
前記システムがファイアウォールをさらに含み、前記トランザクション活動ハーベスタは、前記ファイアウォールからトランザクション活動を受け取るようにさらに動作可能である、請求項２０に記載のシステム。
【請求項３２】
前記システムがネットワークオペレーティングシステムをさらに含み、前記トランザクション活動ハーベスタは、前記ネットワークオペレーティングシステムからトランザクション活動を受け取るようにさらに動作可能である、請求項２０に記載の方法。
【請求項３３】
前記監視警告システムによって適用されるルールセットを含んでいるルールデータベースに動作可能に接続されているルールエンジンをさらに含む、請求項１７に記載のシステム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公表番号】特表２００６−５１９４３９（Ｐ２００６−５１９４３９Ａ）
【公表日】平成１８年８月２４日（２００６．８．２４）
【国際特許分類】
【出願番号】特願２００６−５０３５４７（Ｐ２００６−５０３５４７）
【出願日】平成１６年２月１３日（２００４．２．１３）
【国際出願番号】ＰＣＴ／ＵＳ２００４／００４２３０
【国際公開番号】ＷＯ２００４／０７５０３６
【国際公開日】平成１６年９月２日（２００４．９．２）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
Ｌｉｎｕｘ
【出願人】（５０５３０３７５０）プロディジェン， エルエルシー (1)
【Ｆターム（参考）】
【公表日】平成１８年８月２４日（２００６．８．２４）
【国際特許分類】
【出願日】平成１６年２月１３日（２００４．２．１３）
【国際出願番号】ＰＣＴ／ＵＳ２００４／００４２３０
【国際公開番号】ＷＯ２００４／０７５０３６
【国際公開日】平成１６年９月２日（２００４．９．２）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
Ｌｉｎｕｘ
【出願人】（５０５３０３７５０）プロディジェン， エルエルシー (1)
【Ｆターム（参考）】
[ Back to top ]