(57)【要約】      （修正有）【課題】他の組織でのネットワークセキュリティ上のインシデントに関する情報は、信用度が様々な度合いの様々なソースから収集されうる。【解決手段】システム１００において、通信インタフェースが、ネットワーク脅威報告を受信するよう構成される。プロセッサが、ネットワーク脅威報告からインジケータを抽出する。インジケータに基づいて、インジケータが悪意のある行為と関係がある可能性を示す信頼性スコアを定めるよう構成される。プロセッサは、インジケータに基づいて、悪意のある行為の潜在的な深刻度を示す影響スコアを決定するようさらに構成される。プロセッサは、インジケータ、信頼性スコア及び影響スコアに基づいて、実施すべきアクションを特定する。アクションは、インジケータに対応するネットワークトラフィックを遮断すること又はインジケータに対応するネットワークトラフィックを監視することを含む。【選択図】図１
2020035424.tif 000002
【特許請求の範囲】
【請求項１】
装置においてネットワーク脅威報告を受信すること、
前記装置において前記ネットワーク脅威報告から、ネットワーク脅威と関係があると報告されたインジケータを抽出すること、
前記インジケータに基づいて、前記インジケータが悪意のある行為と関係がある可能性を示す信頼性スコアを決定すること、
前記インジケータに基づいて、前記悪意のある行為の潜在的な深刻度を示す影響スコアを決定すること、
前記インジケータ、前記信頼性スコア、及び前記影響スコアに基づいて、実施すべきアクションを特定することであって、前記アクションが前記インジケータに対応するネットワークトラフィックを遮断すること又は前記インジケータに対応するネットワークトラフィックを監視することを含む、アクションを特定すること、及び
前記装置において前記アクションの実施を開始すること
を含む方法。
【請求項２】
前記インジケータが、インターネットプロトコル（ＩＰ：ｉｎｔｅｒｎｅｔ  ｐｒｏｔｏｃｏｌ）アドレス、ウィルスシグネチャ、電子メールアドレス、電子メールの件名、ドメイン名、ユーアールアイ（ＵＲＩ：ｕｎｉｆｏｒｍ  ｒｅｓｏｕｒｃｅ  ｉｄｅｎｔｉｆｉｅｒ）、ユーアールエル（ＵＲＬ：ｕｎｉｆｏｒｍ  ｒｅｓｏｕｒｃｅ  ｌｏｃａｔｏｒ）、ファイル名、メッセージダイジェストアルゴリズム５（ＭＤ５：ｍｅｓｓａｇｅ  ｄｉｇｅｓｔ  ａｌｇｏｒｉｔｈｍ  ５）ハッシュ値、ファイルパス、又は、これらの組み合わせを含む、請求項１に記載の方法。
【請求項３】
前記信頼性スコア及び前記影響スコアが、前記インジケータと関係がある１つ以上の属性に基づいている、請求項１又は２に記載の方法。
【請求項４】
前記ネットワーク脅威報告に基づいて、前記インジケータと関係がある属性を決定することをさらに含み、前記属性は、インジケータの種類、脅威の種類、攻撃の種類、最初に発見された日付、最後に発見された日付、最初に報告された日付、最後に報告された日付、報告源、特定のキーワード、キルチェーンフェーズ、帰属識別子、又は、帰属信頼度を含み、前記信頼性スコア又は前記影響スコアの少なくとも１つは、前記属性に基づいている、請求項１から３のいずれか一項に記載の方法。
【請求項５】
前記インジケータと関係がある属性を決定することをさらに含み、前記属性は、報告量又は偽陽性率を含み、前記報告量は、前記インジケータが前記悪意のある行為と関係があることを示す報告の総数を含み、前記偽陽性率は、前記インジケータが悪意のない行為と関係があるとして検出された第１の回数と、前記インジケータが悪意のある行為と関係があるとして検出された第２の回数とに基づいており、前記信頼性スコア又は前記影響スコアの少なくとも１つは、前記属性に基づいている、請求項１から４のいずれか一項に記載の方法。
【請求項６】
前記信頼性スコアが、前記インジケータと関係がある１つ以上の属性に基づいており、前記１つ以上の属性は、最初に発見された日付、最後に発見された日付、インジケータの年齢、最初に報告された日付、最後に報告された日付、報告源、ソース評判スコア、報告量、帰属信頼度、特定のキーワード、又は、偽陽性率を含む、請求項１から５のいずれか一項に記載の方法。
【請求項７】
前記影響スコアが、前記インジケータと関係がある１つ以上の属性に基づいており、前記１つ以上の属性は、インジケータの種類、報告量、キルチェーンフェーズ、脅威の種類、攻撃の種類、特定のキーワード、又は、帰属識別子を含む、請求項１から６のいずれか一項に記載の方法。
【請求項８】
前記装置において、応答キューにおける或る位置に前記インジケータを追加することをさらに含み、前記或る位置は、前記信頼性スコア及び前記影響スコアに基づいている、請求項１から７のいずれか一項に記載の方法。
【請求項９】
前記アクションの実施を開始する前に、
前記装置において、前記応答キューにおける前記インジケータの前記或る位置を示すグラフィカルユーザインタフェース（ＧＵＩ：ｇｒａｐｈｉｃａｌ  ｕｓｅｒ  ｉｎｔｅｒｆａｃｅ）を、前記応答キューに基づいて生成すること、及び
前記装置から表示装置へと前記ＧＵＩを提供すること
をさらに含む、請求項８に記載の方法。
【請求項１０】
前記装置において、前記アクションを示すグラフィカルユーザインタフェース（ＧＵＩ：ｇｒａｐｈｉｃａｌ  ｕｓｅｒ  ｉｎｔｅｒｆａｃｅ）を生成すること、及び
前記装置から表示装置へと前記ＧＵＩを提供することをさらに含み、
前記アクションの前記実施が、前記アクションを実施すべきであることを示すユーザ入力の受信に応じて開始される、請求項１から９のいずれか一項に記載の方法。
【請求項１１】
前記アクションの前記実施を開始することが、前記アクションの実施の予定を立てることを含み、
前記方法が、
前記装置において、前記アクションを示すグラフィカルユーザインタフェース（ＧＵＩ：ｇｒａｐｈｉｃａｌ  ｕｓｅｒ  ｉｎｔｅｒｆａｃｅ）を生成すること、
前記装置から表示装置へと前記ＧＵＩを提供すること、及び
前記アクションを実施すべきでないことを示すユーザ入力の受信に応じて、前記アクションの前記実施を取り消すこと
をさらに含む、請求項１から１０のいずれか一項に記載の方法。
【請求項１２】
前記アクションの前記実施を開始することが、ユーザ入力の受信に依存せずに前記アクションを実施することを含む、請求項１から１１のいずれか一項に記載の方法。
【請求項１３】
ネットワーク脅威報告を受信するよう構成された通信インタフェースと、
請求項１から１２のいずれか一項の方法であって、
ネットワークへの脅威と関係があると報告されたインジケータを、前記ネットワーク脅威報告から抽出すること、
前記インジケータに基づいて、前記インジケータが悪意のある行為と関係がある可能性を示す信頼性スコアを決定すること、
前記インジケータに基づいて、前記悪意のある行為の潜在的な深刻度を示す影響スコアを決定すること、
前記インジケータ、前記信頼性スコア、及び前記影響スコアに基づいて、実施すべきアクションを特定することであって、前記アクションは前記インジケータに対応するネットワークトラフィックを遮断すること又は前記インジケータに対応するネットワークトラフィックを監視することを含む、アクションを特定すること、及び、
前記アクションの実施を開始することを含む方法を実施するよう構成されたプロセッサと
を備えた装置。
【請求項１４】
命令が格納されたコンピュータ読取可能な記憶装置であって、前記命令は、プロセッサによって実行されると、
ネットワーク脅威報告を受信すること、
ネットワークへの脅威と関係があると報告されたインジケータを前記ネットワーク脅威報告から抽出すること、
前記インジケータに基づいて、前記インジケータが悪意のある行為と関係がある可能性を示す信頼性スコアを決定すること、
前記インジケータに基づいて、前記悪意のある行為の潜在的な深刻度を示す影響スコアを決定すること、
前記インジケータ、前記信頼性スコア、及び前記影響スコアに基づいて、実施すべきアクションを特定することであって、前記アクションは前記インジケータに対応するネットワークトラフィックを遮断すること又は前記インジケータに対応するネットワークトラフィックを監視することを含む、アクションを特定すること、及び
前記アクションの実施を開始することを含む操作を、前記プロセッサに実施させる、コンピュータ読取可能な記憶装置。
【請求項１５】
前記操作が、前記インジケータと関係がある属性を前記ネットワーク脅威報告から抽出することをさらに含み、前記信頼性スコア又は前記影響スコアの少なくとも１つが、前記属性に基づいており、前記属性は、インジケータの種類、脅威の種類、攻撃の種類、登録日、最初に発見された日付、最後に発見された日付、最初に報告された日付、最後に報告された日付、報告源、特定のキーワード、キルチェーンフェーズ、帰属識別子、又は、帰属信頼度を含む、請求項１４に記載のコンピュータ読取可能な記憶装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、概して、ネットワークへの脅威のインジケータに対する応答に関する。
【背景技術】
【０００２】
或る組織におけるネットワークセキュリティ上のインシデント（ｉｎｃｉｄｅｎｔ）は、他の組織で起きたネットワークセキュリティ上のインシデントと類似していることが多い。他の組織でのネットワークセキュリティ上のインシデントに関する情報は、悪意のあるネットワーク行為の検出及び防止を可能とするために利用することが可能である。このような情報は、信用度が様々な度合いの様々なソースから収集されうる。例えば、或る情報は、ネットワークへの脅威のインジケータを発行する信頼のおけるネットワークセキュリティソースから受信されることがある。他の情報は、公開のネットワークセキュリティフォーラムでの匿名のユーザの投稿メッセージから収集されることもある。解析すべき大量の情報によって、悪意のあるネットワーク行為の検出及び防止を遅らせる未処理業務が生じうる。
【発明の概要】
【０００３】
特定の実行形態において、装置が、通信インタフェース及びプロセッサを備える。通信インタフェースが、ネットワーク脅威報告を受信するよう構成される。プロセッサが、ネットワーク脅威報告からインジケータを抽出するよう構成される。インジケータが、ネットワーク脅威と関係があると報告されている。プロセッサはまた、インジケータに基づいて、インジケータが悪意のある行為と関係がある可能性を示す信頼性スコアを決定するよう構成される。プロセッサは、インジケータに基づいて、悪意のある行為の潜在的な深刻度を示す影響スコアを決定するようさらに構成される。プロセッサは、インジケータ、信頼性スコア、及び影響スコアに基づいて、実施すべきアクションを特定するようさらに構成される。アクションは、インジケータに対応するネットワークトラフィックを遮断すること、又は、インジケータに対応するネットワークトラフィックを監視することを含む。プロセッサはまた、アクションの実施を開始するよう構成される。
【０００４】
他の特定の実行形態において、方法が、装置において、ネットワーク脅威報告を受信することを含む。方法はまた、装置において、ネットワーク脅威報告からインジケータを抽出することを含む。インジケータが、ネットワーク脅威と関係があると報告されている。本方法は、インジケータに基づいて、インジケータが悪意のある行為と関係がある可能性を示す信頼性スコアを決定することをさらに含む。本方法はまた、インジケータに基づいて、悪意のある行為の潜在的な深刻度を示す影響スコアを決定することも含む。本方法は、インジケータ、信頼性スコア、及び影響スコアに基づいて、実施すべきアクションを特定することをさらに含む。アクションは、インジケータに対応するネットワークトラフィックを遮断すること、又は、インジケータに対応するネットワークトラフィックを監視することを含む。本方法はまた、アクションの実施を開始することを含む。
【０００５】
他の特定の実行形態において、コンピュータ読取可能な記憶装置には、命令であって、プロセッサによって実行されると、ネットワーク脅威報告を受信することを含む操作をプロセッサに実施させる命令が格納されている。操作はまた、ネットワーク脅威報告からインジケータを抽出することを含む。インジケータが、ネットワーク脅威と関係があると報告されている。操作は、インジケータに基づいて、当該インジケータが悪意のある行為と関係がある可能性を示す信頼性スコアを決定することをさらに含む。操作はまた、インジケータに基づいて、悪意のある行為の潜在的な深刻度を示す影響スコアを決定することを含む。操作は、インジケータ、信頼性スコア、及び影響スコアに基づいて、実施すべきアクションを特定することをさらに含む。アクションは、インジケータに対応するネットワークトラフィックを遮断すること、又は、インジケータに対応するネットワークトラフィックを監視することを含む。操作はまた、アクションの実施を開始することを含む。
【０００６】
本明細書に記載された特徴、機能、及び利点は、様々な実行形態において単独で実現することが可能であり、また別の実行形態において組み合わせることも可能である。これらのさらなる詳細は、以下の記載及び添付図面を参照して理解される。
【図面の簡単な説明】
【０００７】
【図１】ネットワークへの脅威のインジケータの抽出及び応答を実施するよう動作可能なシステムを示すブロック図である。
【図２】図１のインジケータと関係がある属性の一例を示す図である。
【図３】信頼性スコアの計算の一例を示す図である。
【図４】影響スコアの計算の一例を示す図である。
【図５】属性及び対応するアクションの例を示す図である。
【図６】ネットワーク脅威インジケータの抽出及び応答方法の一例を示すフローチャートである。
【図７】本開示に係るコンピュータによって実行される方法及びコンピュータで実行可能なプログラム命令（又はコード）の態様を支持するよう構成された計算装置を含む計算環境のブロック図である。
【発明を実施するための形態】
【０００８】
本明細書に記載する実行形態は、ネットワーク脅威のインジケータの抽出及び応答に関する。例えば、脅威報告解析装置は、第１のソースからネットワーク脅威報告を受信する。ネットワーク脅威報告は、ネットワークへの脅威と関係があるとして報告された１つ以上のインジケータを含んでいる。一例として、インジケータは、ネットワークへの脅威と関係があるとして報告されたインターネットプロトコル（ＩＰ：ｉｎｔｅｒｎｅｔ  ｐｒｏｔｏｃｏｌ）アドレスを含みうる。脅威報告解析装置は、インジケータと関係がある属性を決定する。例えば、脅威報告解析装置は、ネットワーク脅威報告から少なくとも１つの属性を抽出する。例を挙げると、ネットワーク脅威報告は、ネットワークへの脅威の、報告されている加害者を示す帰属識別子を含みうる。他の例として、脅威報告解析装置は、第２のソース（例えば信頼のおけるソース）からのデータに基づいて、少なくとも１つの属性を決定する。例えば、脅威報告解析装置は、第２のソースと関連付けられた装置に要求を送信する。要求はインジケータを含んでいる。脅威報告解析装置は、装置から、インジケータと関係があるデータを受信する。例えば、上記データは、第２のソースもインジケータがネットワーク脅威と関係があることを報告しているかどうかを示している。
【０００９】
脅威報告解析装置は、インジケータと関係がある属性に基づいて、信頼性スコア及び影響スコアを決定する。信頼性スコアは、インジケータが悪意のある行為と関係がある可能性を示している。例えば、インジケータがネットワークへの脅威と関係があることを第２のソースも報告している場合には、信頼性スコアがより高い。影響スコアは、悪意のある行為の潜在的な深刻度を示している。例えば、帰属識別子によって、有害な及び／又は広域に蔓延したネットワークへの脅威となる行為を行うと知られた集団のものであるとインジケータが見做される場合には、影響スコアがより高い。
【００１０】
脅威報告解析装置は、信頼性スコア及び影響スコアに基づいて、応答キューにおけるインジケータの位置を決定し、応答キューにあるその位置にインジケータを追加する。応答キューは、存在するのであれば行うべき対応するアクションのためにインジケータが処理される順序を示している。応答キューにおけるインジケータの位置は、インジケータの優先度を示している。優先度が高いインジケータはより早期に処理される。幾つかの例において、応答キューは特定の容量を有する。応答キューがその容量まで満たされると、脅威報告解析装置は、より優先度が高いインジケータを応答キューに追加する前に、優先度がより低いインジケータを応答キューから削除しうる。
【００１１】
脅威報告解析装置は、応答キューにおいてインジケータが次に処理されるインジケータであるという決定に応じて、応答キューからそのインジケータを取り出す。脅威報告解析装置は、信頼性スコア及び影響スコアに基づいて、実施すべきアクションを特定する。例えば、アクションは、インジケータに対応するネットワークトラフィックを遮断すること、又は、インジケータに対応するネットワークトラフィックを監視することを含んでいる。特定の例において、脅威報告解析装置は、応答キューからのインジケータの取り出しに応じて、実施すべきアクションを特定する。他の例において、脅威報告解析装置は、応答キューへのインジケータの追加に依存せずに、実施すべきアクションを特定する。脅威報告解析装置は、アクションの実施を開始する。特定の例において、アクションは、アクションを実施すべきであることを示すユーザ入力に依存せずに実施される。
【００１２】
悪意のある行為と関係がある可能性がより高いインジケータ、及び／又は、悪意のある行為のより高い潜在的な深刻度を示すインジケータは、より早期に処理される。より優先度が高いインジケータのより迅速な検索（又は当該インジケータへのより迅速なアクセス）は、脅威報告解析装置によって、対応する悪意のある行為の影響を防止又は低減することが可能となることで、コンピュータの機能性を改善する。信頼性スコア及び影響スコアに基づいてインジケータに優先度を付けることによって、インジケータの優先度を主観的に決定することと比較して、優先度計算の精度が上がる。脅威報告解析装置によって、インジケータの特定の属性のための信頼性スコア及び影響スコアの計算と関連する規則に基づきカスタマイズが可能なフィルタリングを、インタネットトラフィックに施すことが可能となる。自動的に（例えば、アクションを実施すべきであることを示すユーザ入力を受信せずに）アクションを実施することによって、悪意のある行為に応答する平均時間が短縮される（例えば省かれる）。
【００１３】
図１は、ネットワークへの脅威のインジケータの抽出及び応答を実施するよう動作可能なシステム１００のブロック図である。システム１００は、ネットワーク１０２を介して１つ以上の装置に接続された第１の装置１４０を含む。例えば、第１の装置１４０は、ネットワーク１０２を介して第２の装置１２４、第３の装置１２６、第４の装置１２８、１つ以上の追加的な装置、又は、これらの組み合わせに接続される。第１の装置１４０は、例えば、コンピュータ、サーバ、分散システム、又は、これらの組み合わせに対応する。ネットワーク１０２は、有線ネットワーク、無線ネットワーク、又は両方を含む。第２の装置１２４、第３の装置１２６、又は第４の装置１２８の１つ以上は、例えば、ウェブサーバ、データベース、コンピュータ、サーバ、分散システム、携帯機器、通信機器、ディスクトップコンピュータ、ラップトップ、タブレットコンピュータ、又は、これらの組み合わせを含む。第１の装置１４０は、通信インタフェース１４６を介してネットワーク１０２に接続されている。
【００１４】
以下の明細書の記載では、図１のシステム１００により実行される様々な機能が、或る構成要素又はモジュールによって実行されるものとして記載されることに注意されたい。しかしながら、構成要素及びモジュールへの上記分散は、具体的に説明するためにのみ行われる。代替的な態様において、特定の構成要素又はモジュールにより実行されるとして本明細書に記載される機能が、複数のコンポーネント又はモジュールの間で分けられうる。さらに、代替的な態様において、図１の２つ以上の構成要素又はモジュールが、１つの構成要素又はモジュールに統合されうる。図１に図示される各構成要素又はモジュールは、ハードウェア（例えば、フィールドプログラマブルゲートアレイ（ＦＰＧＡ：ｆｉｅｌｄ−ｐｒｏｇｒａｍｍａｂｌｅ  ｇａｔｅ  ａｒｒａｙ）装置、特定用途向け集積回路（ＡＳＩＣ：ａｐｐｌｉｃａｔｉｏｎ−ｓｐｅｃｉｆｉｃ  ｉｎｔｅｇｒａｔｅｄ  ｃｉｒｃｕｉｔ）、デジタル信号プロセッサ（ＤＳＰ：ｄｉｇｉｔａｌ  ｓｉｇｎａｌ  ｐｒｏｃｅｓｓｏｒ）、コントローラ等）、ソフトウェア（例えば、プロセッサにより実行可能な命令）、又は、これらの任意の組み合わせを用いて実装されうる。
【００１５】
第１の装置１４０は、出力インタフェース１４８を介して表示装置１２２に接続されている。第１のデバイス１４０は、メモリ１４２を含む。第１のデバイス１４０は、入力インタフェース１４４を含む。入力インタフェース１４４は、タッチスクリーン、マウス、キーボード、マイク、カメラ、又は、これらの組み合わせといった１つ以上の入力装置に接続されている。第１の装置１４０は、脅威報告解析装置１５０（例えば、プロセッサ）を含む。脅威報告解析装置１５０は、ネットワーク脅威報告１０１を解析するよう構成される。
【００１６】
動作中に、第１の装置１４０は、通信インタフェース１４６を介して第２の装置１２４からネットワーク脅威報告１０１を受信する。特定の態様において、第２の装置１２４は、特定のウェブサイト、特定の組織、第三者、又は、これらの組み合わせといった第１のソースと関連付けられている。一例として、ネットワーク脅威報告１０１は、ネットワークセキュリティの問題を討論するウェブフォーラムでのユーザの投稿メッセージを含みうるであろう。他の例として、ネットワーク脅威報告１０１は、ネットワークセキュリティ組織により発行されたネットワーク脅威についての報告を含みうるであろう。脅威報告解析装置１５０は、複数の様々なソースから同時に報告を受信することが可能である。特定の実行形態において、脅威報告解析装置１５０は、様々なソースからのネットワーク脅威報告を生成するために、ウェブスクレイピング（ｗｅｂ−ｓｃｒａｐｉｎｇ）技術を用いる。例えば、脅威報告解析装置１５０は、第２の装置１２４にホストされたウェブページからデータを抽出することによって、ネットワーク脅威報告１０１を生成する。特定の実行形態において、脅威報告解析装置１５０は、様々なソースからのネットワーク脅威報告を受信するために定期購読をする。例えば、威報告解析装置１５０は、第１のソースが提供するサービスを定期購読し、定期購読の一部として、第２の装置１２４からネットワーク脅威報告１０１を受信する。特定の態様において、第１のソースは、ネットワークへの脅威を監視しネットワーク脅威報告（例えば、ネットワーク脅威報告１０１）を発行する第三者（例えば、企業体、セキュリティの専門家、又は両方）を含む。ネットワークへの脅威は、１人以上の加害者によって引き起こされている。第１の装置１４０は、第１のソースにより生成されたネットワーク脅威報告（例えば、ネットワーク脅威報告１０１）を、第２の装置１２４から受信する。
【００１７】
脅威報告解析装置１５０は、ネットワーク脅威報告１０１から１つ以上のインジケータを抽出する。例えば、脅威報告解析装置１５０は、ネットワーク脅威報告１０１からインジケータ１０３を抽出する。特定の態様において、ネットワーク脅威報告１０１は、テキスト（例えば、自然言語又は体系化されていない言語）を含む。この観点において、脅威報告解析装置１５０は、キーボート検索、自然言語処理等を行うことによって、ネットワーク脅威報告１０１からインジケータ１０３を抽出する。例えば、脅威報告解析装置１５０は、キーボード検索（又は自然言語処理）を行うことで、ネットワーク脅威報告１０１の中の特定のキーワード（又はフレーズ）を検出し、特定のキーワード（又はフレーズ）の検出に基づいて、ネットワーク脅威報告１０１からインジケータ１０３を抽出する。特定の態様において、ネットワーク脅威報告１０１は、形式が整えられ又は体系化される（例えば、キーと値の対を含む）。この観点において、脅威報告解析装置１５０は、対応する形式又は体系に基づいてネットワーク脅威報告１０１を構文解析することによって、ネットワーク脅威報告１０１からインジケータ１０３を抽出する。例えば、脅威報告解析装置１５０は、インジケータ１０３として特定の要素（例えば、特定のキーと値の対の値）を、ネットワーク脅威報告１０１から抽出する。ネットワーク脅威報告１０１は、インジケータ１０３がネットワークへの脅威と関係があると報告されていることを示す。例えば、或る組織が、インジケータ１０３がネットワークへの脅威と関係があることを報告する。他の例として、ユーザが、ネットワークセキュリティフォーラムにインジケータ１０３を投稿する。特定の実行形態において、インジケータ１０３は、セキュリティ侵害インジケータ（ＩＯＣ：ｉｎｄｉｃａｔｏｒ  ｏｆ  ｃｏｍｐｒｏｍｉｓｅ）に相当する。ＩＯＣは、ネットワークへの脅威（例えば、コンピュータ侵入）を示す痕跡（即ち、観察可能な特徴）を含む。インジケータ１０３は、インターネットプロトコル（ＩＰ：ｉｎｔｅｒｎｅｔ  ｐｒｏｔｏｃｏｌ）アドレス、ウィルスシグネチャ、電子メールアドレス、電子メールの件名、ドメイン名、ユーアールアイ（ＵＲＩ：ｕｎｉｆｏｒｍ  ｒｅｓｏｕｒｃｅ  ｉｄｅｎｔｉｆｉｅｒ）、ユーアールエル（ＵＲＬ：ｕｎｉｆｏｒｍ  ｒｅｓｏｕｒｃｅ  ｌｏｃａｔｏｒ）、ファイル名、メッセージダイジェストアルゴリズム５（ＭＤ５：ｍｅｓｓａｇｅ  ｄｉｇｅｓｔ  ａｌｇｏｒｉｔｈｍ  ５）ハッシュ値、ファイルパス、又は、これらの組み合わせを含むが、これに限定されない。
【００１８】
脅威報告解析装置１５０は、インジケータ１０３と関係がある１つ以上の属性１０５を決定する。属性１０５は、図２を参照してさらに記載するように、例えば、インジケータの種類、脅威の種類、攻撃の種類、登録日、最初に発見された日付、最後に発見された日付、最初に報告された日付、最後に報告された日付、報告源、特定のキーワード、キルチェーンフェーズ、帰属識別子、帰属信頼度、報告量、偽陽性率、他の属性、又は、これらの組み合わせを含む。
【００１９】
特定の態様において、脅威報告解析装置１５０は、ネットワーク脅威報告１０１から少なくとも幾つかの属性１０５を抽出する。例えば、脅威報告解析装置１５０は、インジケータの種類、脅威の種類、攻撃の種類、登録日、最初に発見された日付、最後に発見された日付、最初に報告された日付、最後に報告された日付、報告源、特定のキーワード、キルチェーンフェーズ、帰属識別子、帰属信頼度、又は、これらの組み合わせを、ネットワーク脅威報告１０１から抽出する。
【００２０】
特定の態様において、脅威報告解析装置１５０は、インジケータ１０３と関係がある追加的なデータを受信する。例えば、脅威報告解析装置１５０は、第３の装置１２６に第１の要求１６１を送信する。特定の態様において、第３の装置１２６は、第２のソース（例えば、第１の信頼がおけるソール）と関連付けられている。第１の要求１６１はインジケータ１０３を含んでいる。第３の装置１２６は、第１の要求１６１に応じて、第１の装置１４０に第１のデータ１６５を送信する。第１のデータ１６５は、インジケータ１０３と関係がある。例えば、第１のデータ１６５は、インジケータ１０３と関係があるネットワーク脅威について第２のソースが報告しているかどうかを示す。
【００２１】
特定の態様において、脅威報告解析装置１５０は、複数の追加的なソースから、インジケータ１０３と関係がある追加的なデータを受信する。例えば、脅威報告解析装置１５０は、第４の装置１２８に第２の要求１６３を送信する。特定の態様において、第４の装置１２８は、第３のソース（例えば、第２の信頼のおけるデータ）と関連付けられている。第４の装置１２８は、インジケータ１０３を含む第２の要求１６３の受信に応じて、第１の装置１４０に第２のデータ１６７を送信する。第２のデータ１６７は、インジケータ１０３と関係がある。例えば、第１のデータ１６５は、インジケータ１０３と関係があるネットワーク脅威について第３のソースが報告しているかどうかを示している。
【００２２】
特定の態様において、脅威報告解析装置１５０は、インジケータ１０３と関係がある追加的なデータへのアクセス権を有する。例えば、履歴データ１２１がメモリ１４２に格納されている。特定の態様において、履歴データ１２１は、システムログ、ネットワークログ、又は両方といったログに相当する。例を挙げると、履歴データ１２１は、インジケータ１０３により示されるドメイン名への複数のアクセスを示す。他の例として、ルックアップデータ１２９（例えば表）がメモリ１４２に格納されている。ルックアップデータ１２９は、一例として、構成設定値、デフォルト値、ユーザ入力、又は、これらの組み合わせを含む。例を挙げると、ルックアップデータ１２９は、図２〜図４を参照してさらに記載するように、信頼性スコア１０７、影響スコア１０９、又は両方を計算するための特定のスコアと特定のキーワードが関係があることを示している。
【００２３】
特定の態様において、脅威報告解析装置１５０は、第１のデータ１６５、第２のデータ１６７、履歴データ１２１、又はこれらの組み合わせに基づいて、属性１０５の少なくとも幾つかを決定する。例えば、脅威報告解析装置１５０は、図２を参照してさらに記載するように、報告量、偽陽性率、又は両方を決定する。
【００２４】
脅威報告解析装置１５０は、図３を参照してさらに記載するように、属性１０５に基づいて信頼性スコア１０７を決定する。信頼性スコア１０７は、インジケータ１０３が悪意のある行為と関係がある可能性を示す。例えば、匿名のソース（例えば、公開フォーラムの匿名のユーザ）と比較して、より信頼がおけるソース（例えば、ネットワーク脅威インジケータを発行する組織）によって、インジケータ１０３がネットワークへの脅威と関係するとして報告されている場合には、信頼性スコア１０７は、インジケータ１０３が悪意のある行為と関係があるというより高い可能性を示す。例を挙げると、匿名のソースは、インジケータ１０３がネットワークへの脅威と関係するとして不正確に（又は、悪意を持って）報告している可能性があるであろう。インジケータ１０３がネットワークへの脅威と関係があるとしてより信頼がおけるソースが報告している場合には、インジケータ１０３が悪意のある行為と関係がある可能性はより高い。
【００２５】
脅威報告解析装置１５０は、図４を参照してさらに記載するように、属性１０５に基づいて影響スコア１０９を決定する。影響スコア１０９は、インジケータ１０３と関係がある悪意のある行為の潜在的な深刻度を示す。例えば、インジケータ１０３と関係がある悪意のある行為の影響がより多大な損害を与え、より広い範囲に広がり、又はその両方でありそうな場合には、悪意のある行為は潜在的な深刻度がより高い。サイバーキルチェーン（登録商標）（ｃｙｂｅｒ  ｋｉｌｌ  ｃｈａｉｎ(R)）（Ｌｏｃｋｈｅｅｄ  Ｍａｒｔｉｎ社（メリーランド州）の登録商標）といった、キルチェーン（ｋｉｌｌ  ｃｈａｉｎ）の特定のキルチェーンフェーズは、インジケータ１０３と関係がある。特定のキルチェーンフェーズは、インジケータ１０３と関係がある悪意のある行為が与えそうな影響を示す。例えば、第１のキルチェーンフェーズ（例えば、偵察）と関係があるインジケータ１０３についての悪意のある行為は、第２のキルチェーンフェーズ（例えば、コマンド及び制御）と関係があるインジケータ１０３についての悪意のある行為と比較して、より小さな損害を与えそうであり及び／又はより小さな範囲に広がりそうである。影響スコア１０９は、第１のキルチェーンフェーズ（例えば、偵察）と比較して、第２のキルチェーンフェーズ（例えば、コマンド及び制御）についてのより高い深刻度を示す。
【００２６】
脅威報告解析装置１５０は、信頼性スコア１０７、影響スコア１０９、又は両方に基づいて、インジケータ１０３の総合スコア１１１を決定する。特定の例において、総合スコア１１１は、信頼性スコア１０７と影響スコア１０９との重み付けされた和に相当する。総合スコア１１１は、インジケータ１０３の第１の優先度を示す。
【００２７】
脅威報告解析装置１５０は、インジケータをその総合スコアの順序に応答キュー１１３に追加するよう構成される。例えば、脅威報告解析装置１５０は、総合スコア１１１に基づいて、応答キュー１１３における位置１１７を決定する。脅威報告解析装置１５０は、応答キュー１１３における位置１１７にインジケータ１０３を追加する。特定の態様において、応答キュー１１３における位置１１７は空であり、脅威報告解析装置１５０は、位置１１７にインジケータ１０３を追加する。代替的な態様において、応答キュー１１３の位置１１７に、インジケータ１０３の総合スコアより低い総合スコアを有する他のインジケータが位置している。脅威報告解析装置１５０は、位置１１７のインジケータの位置と、位置１１７の後ろのインジケータの位置と、を更新して（例えば１つ分だけ増分して）、位置１１７にインジケータ１０３を追加する。特定の例において、応答キュー１１３は特定の容量を有する。脅威報告解析装置１５０は、応答キュー１１３がその容量までいっぱいになっているという決定に応じて、応答キュー１１３の位置１１７にインジケータ１０３を追加する前に、応答キュー１１３（例えば、応答キュー１１３の最後の位置）から第２のインジケータを削除する。より優先度が低いインジケータを削除することによって、応答キュー１１３は、メモリ１４２に全てのインジケータを格納することと比較して、より小さいメモリフットプリント（ｍｅｍｏｒｙ  ｆｏｏｔｐｒｉｎｔ）を有することが可能となる。
【００２８】
脅威報告解析装置１５０は、グラフィカルユーザインタフェース（ＧＵＩ：ｇｒａｐｈｉｃａｌ  ｕｓｅｒ  ｉｎｔｅｒｆａｃｅ）１２３を生成する。ＧＵＩ１２３は、ネットワーク脅威報告１０１の一部と、インジケータ１０３と、１つ以上の属性１０５と、信頼性スコア１０７と、影響スコア１０９と、総合スコア１１１と、位置１１７と、又は、応答キュー１１３と、の１つ以上を示す。特定の実行形態において、脅威報告解析装置１５０は、応答キュー１１３へのインジケータ１０３の追加に応じてＧＵＩ１２３を生成する。他の実行形態において、脅威報告解析装置１５０は、応答キュー１１３の更新に関する情報を要求する第１のユーザ１３２（例えば、ネットワーク管理者）からのユーザ入力１２５の受信に応じて、ＧＵＩ１２３を生成する。特定の態様において、第１のユーザ１３２は、インジケータ１０３と関係があるデータの更新を示すユーザ入力１２５を提供し、脅威報告解析装置１５０は、上記データを更新する。例えば、ユーザ入力１２５は、更新された位置、更新された属性、更新された信頼性スコア１０７、更新された影響スコア１０９、又は、更新された総合スコア１１１の少なくとも１つを示す。脅威報告解析装置１５０は、ユーザ入力１２５の受信に応じて、位置１１７と、属性１０５と、信頼性スコア１０７と、影響スコア１０９と、総合スコア１１１とを更新して、更新された位置と、更新された属性と、更新された信頼性スコア１０７と、更新された影響スコア１０９と、更新された総合スコア１１１と、をそれぞれ示す。特定の態様において、脅威報告解析装置１５０は、応答キュー１１３からインジケータ１０３を除去すべきことを示すユーザ入力１２５の受信に応じて、応答キュー１１３からインジケータ１０３を削除する。
【００２９】
脅威報告解析装置１５０は、応答キュー１１３を処理するよう構成される。例えば、脅威報告解析装置１５０は、次のポインタが位置１１７を示しているという決定に応じて、インジケータ１０３が次に処理されるインジケータであると決定する。脅威報告解析装置１５０は、インジケータ１０３が次に処理されるインジケータであるという決定に応じて、応答キュー１１３からそのインジケータ１０３を取り出し、応答キュー１１３の位置１１７の後の位置を示すよう次のポインタを更新する。
【００３０】
脅威報告解析装置１５０は、インジケータ１０３に基づいて、実施すべきアクション１１５を特定する。例えば、脅威報告解析装置１５０は、図５を参照してさらに記載するように、インジケータ１０３、信頼性スコア１０７、影響スコア１０９、又は、これらの組み合わせに基づいてアクション１１５を特定する。アクション１１５は、例えば、インジケータ１０３と関係があるネットワークトラフィックを遮断すること、インジケータ１０３と関係があるネットワークトラフィックを監視すること、又はその両方を含みうる。例えば、アクション１１５は、インジケータ１０３により示されるドメインの第１のサブドメインからネットワークトラフィックを遮断すること、上記ドメインの第２のサブドメインからのネットワークトラフィックを監視すること、又はその両方を含みうる。他の例として、アクション１１５は、インジケータ１０３により示されるＩＰアドレスからの第１の種類のトラフィックを遮断すること、上記ＩＰアドレスからの第２の種類のトラフィックを監視すること、又はその両方を含みうる。
【００３１】
特定の態様において、脅威報告解析装置１５０は、アクション１１５の特定に応じて、アクション１１５の実施を開始する。特定の実行形態において、脅威報告解析装置１５０は、アクション１１５の特定に応じて、アクション１１５を実施する。代替的な実行形態において、アクション１１５の実施を開始することは、アクション１１５の実施の予定を立てることを含む。例えば、脅威報告解析装置１５０は、アクションキュー１１９にアクション１１５を追加することによって、アクション１１５の実施の予定を立てる。脅威報告解析装置１５０は、ＧＵＩ１２３を生成する（又は更新する）。ＧＵＩ１２３は、ネットワーク脅威報告１０１の一部、インジケータ１０３、１つ以上の属性１０５、信頼性スコア１０７、影響スコア１０９、総合スコア１１１、アクション１１５、又は、アクションキュー１１９の１つ以上を示す。特定の実行形態において、脅威報告解析装置１５０は、アクションキュー１１９へのアクション１１５の追加に応じて、ＧＵＩ１２３を生成する（又は更新する）。他の実行形態において、脅威報告解析装置１５０は、アクションキュー１１９に追加されたアクションに関する情報を要求する第１のユーザ１３２からのユーザ入力１２５の受信に応じて、ＧＵＩ１２３を生成する（又は更新する）。
【００３２】
特定の実行形態において、脅威報告解析装置１５０は、対応するアクションを実施するようにとの明示的なユーザ要求の受信に応じて、アクションキュー１１９にあるアクションを実施するよう構成される。例えば、アクション１１５の実施は、アクション１１５を実施すべきであることを示すユーザ入力１２５の受信に応じて開始される。例を挙げると、脅威報告解析装置１５０は、アクション１１５を実施すべきであることを示すユーザ入力１２５の受信に応じて、アクション１１５を実施する。特定の例において、第１のユーザ１３２は、アクションキュー１１９に追加されたアクション１１５を検討して、アクション１１５の許可を示すユーザ入力１２５を提供する。代替的に、脅威報告解析装置１５０は、（アクション１１５を実施すべきであることを示す）ユーザ入力１２５が受信されておらず又はアクション１１５を実施すべきでないとユーザ入力１２５が示しているという決定に応じて、アクション１１５の実施を控える。脅威報告解析装置１５０は、アクション１１５を実施すべきでないことを示すユーザ入力１２５の受信に応じて、アクションキュー１１９からアクション１１５を削除する。
【００３３】
特定の実行形態において、脅威報告解析装置１５０は、明示的なユーザ取り消しが適時に受信されない限りは、アクションキュー１１９にあるアクションを実施するよう構成される。例えば、脅威報告解析装置１５０は、アクション１１５を実施すべきでないことを示すユーザ入力１２５が受信されていないという決定に応じてアクション１１５を実施する。例を挙げると、脅威報告解析装置１５０は、アクション１１５の実施が取り消されたことを示すユーザ入力１２５を第１のユーザ１３２が提供しない限りは、アクション１１５を実施する。脅威報告解析装置１５０が、アクション１１５を実施すべきでないことを示すユーザ入力１２５を受信した場合には、脅威報告解析装置１５０は、アクションキュー１１９からアクション１１５を削除することによって、アクション１１５の実施を取り消す。
【００３４】
特定の実行形態において、メモリ１４２は、明示的なユーザ要求に応じて実施されるアクションの第１のアクションキュー（例えば、アクションキュー１１９）と、明示的なユーザ取り消しが受信されない限り実施されるアクションの第２のアクションキュー（例えば、アクションキュー１１９）と、を含む。脅威報告解析装置１５０は、信頼性スコア１０７、影響スコア１０９、総合スコア１１１、アクション１１５の種類、又は、これらの組み合わせに基づいて、第１のアクションキュー（例えば、アクションキュー１１９）又は第２のアクションキュー（例えば、アクションキュー１１９）にアクション１１５に追加すべきかどうかを判定する。特定の態様において、脅威報告解析装置１５０は、信頼性スコア１０７、影響スコア１０９、総合スコア１１１、又は、これらの組み合わせに基づいて、アクションスコア１２７を決定する。脅威報告解析装置１５０は、アクションスコア１２７が第１の閾値よりも大きく又はアクション１１５が第１の種類のもの（例えば、インジケータ１０３と関係があるネットワークトラフィックを監視すること）であるという決定に応じて、第２のアクションキュー（例えば、アクションキュー１１９）にアクション１１５を追加する。代替的に、脅威報告解析装置１５０は、アクションスコア１２７が第１の閾値よりも小さくアクション１１５が第２の種類のもの（例えば、インジケータ１０３と関係があるネットワークトラフィックを遮断すること）であるという決定に応じて、第１のアクションキュー（例えば、アクションキュー１１９）にアクション１１５を追加する。
【００３５】
脅威報告解析装置１５０は、アクション１１５を実施すべきであることを示すユーザ入力１２５の受信に応じて、第１のアクションキュー（例えば、アクションキュー１１９）からのアクション１１５を実施する。代替的に、脅威報告解析装置１５０は、アクション１１５を実施すべきではないことを示すユーザ入力１２５が受信されていないという決定に応じて、第２のアクションキュー（例えば、アクションキュー１１９）からのアクション１１５を実施する。
【００３６】
このように、システム１００のよって、信頼性スコア１０７及び影響スコア１０９に基づきインジケータ１０３に優先度を付けることが可能となる。アクションスコア１２７が、（例えば、悪意のある行為であるという高い確実性又は悪意のある行為の高い潜在的な深刻度を示す）閾値を満たすとき、又は、アクション１１５が、通常のビジネス活動の小さな混乱を引き起こしそうであり又は当該混乱を引き起こさなそうな種類のもの（例えば、トラフィックを監視すること）であるときには、事前のユーザ許可の遅れが無くアクション１１５を実施することが可能である。従って、（例えば、真夜中に）ユーザの許可を待って待機することに関連する遅れがほとんどなく又は当該遅れ無しで、悪意のある行為からの有害な影響を低減（例えば防止）することが可能である。優先度がより高いインジケータのより迅速な検索（又は、当該インジケータへのより迅速なアクセス）が、コンピュータの機能性を、対応する悪意のある行為の影響を防止又は低減するためにアクションを実施することを可能とすることによって改善する。より優先度が低いインジケータを削除することによって、応答キュー１１３は、メモリ１４２に全てのインジケータを格納することと比較して、より小さいメモリフットプリント（ｍｅｍｏｒｙ  ｆｏｏｔｐｒｉｎｔ）を有することが可能となる。
【００３７】
図２を参照すると表が示されており、総称２００で示されている。表２００の１列目は、属性１０５の例を含む。表２００の２列目は、１列目に示された属性１０５の例を説明するための値として属性値２９０を含む。表２００の３列目は、１列目に示された属性１０５の例が信頼性スコア１０７、影響スコア１０９、その両方、又は、アクション１１５を決定するために利用されているかどうかを示す信頼性／影響／アクションの値２９２の例を含む。属性１０５は、表２００に示されて属性より少なく属性、表２００に示される属性に追加される属性、又は、表２００に示される属性とは異なる属性を含みうると理解されたい。幾つかの実行形態において、属性１０５の特定の属性は、表２００に示すのとは別様に、信頼性スコア１０７、影響スコア１０９、その両方、又はアクション１１５を決定するために利用されうる。
【００３８】
属性１０５は、最初に発見された日付２０１（例えば、３／１２／２０１８  ４：３３）、最後に発見された日付２０３（例えば、５／１２／２０１８  ８：２３）、報告量２０５（例えば、４５１件）、キルチェーンフェーズ２０７（例えば、命令及び制御（Ｃ２：ｃｏｍｍａｎｄ  ａｎｄ  ｃｏｎｔｒｏｌ））、攻撃の種類２０９（例えば、マルウェア（Ｍａｌｗａｒｅ））、脅威の種類２１１（例えば、悪意があるＩＰ）、１つ以上のディスクリプションキーワード２１３（例えば、「ｓｃａｎｎｉｎｇ」）、１つ以上のキーワードタグ２１５（例えば、「ｅｘｆｉｌ」）、帰属識別子２１７（例えば、Ｆｌｕｆｆｙ  Ｂｕｎｎｙ）、帰属信頼度２１９（例えば、高（ｈｉｇｈ））、ソース総数２２１（例えば、３）、ソース評判スコア２２３（例えば、高（ｈｉｇｈ））、追加的なソースのデータ２２５（例えば、１３／５２）、最初に報告された日付２２７（例えば、１／１３／２０１８  ５：１１）、最後に報告された日付２２９（例えば、５／２３／２０１８  １２：４２）、１つ以上の手動で行われたアクション２３１（例えば、プロキシ遮断（Ｂｌｏｃｋ−Ｐｒｏｘｙ））、インジケータの種類２３３（例えば、ＩＰｖ４アドレス（ＩＰｖ４  Ａｄｄｒｅｓｓ））、インジケータ作成日２３５（例えば、８／１５／２０１８），内部でのヒット数２３７（例えば、５００）、直近の内部ヒット日２３９（例えば、４／１２／２００１）、標的対象２４０（例えば、Ｙｅｓ）、登録日２４２（例えば、１／１６／２０１７）、偽陽性率２４４（例えば、５０％）、追加的な属性、又は、これらの組み合わせを含む。
【００３９】
特定の例において、図１の脅威報告解析装置１５０は、最初に発見された日付２０１（例えば、３／１２／２０１８  ４：３３）、最後に発見された日付２０３（例えば、５／１２／２０１８  ８：２３）、報告量２０５（例えば、４５１件）、キルチェーンフェーズ２０７（例えば、Ｃ２）、攻撃の種類２０９（例えば、マルウェア（Ｍａｌｗａｒｅ））、脅威の種類２１１（例えば、悪意のあるＩＰ（Ｍａｌｉｃｉｏｕｓ  ＩＰ））、ディスクリプションキーワード２１３（例えば、「ｓｃａｎｎｉｎｇ」）、キーワードタグ２１５（例えば、「ｅｘｆｉｌ」）、帰属識別子２１７（例えば、Ｆｌｕｆｆｙ  Ｂｕｎｎｙ）、帰属信頼度２１９（例えば、高（ｈｉｇｈ））、ソース総数２２１（例えば、３）、ソース評判スコア２２３（例えば、高（ｈｉｇｈ））、最初に報告された日付２２７（例えば、１／１３／２０１８  ５：１１）、最後に報告された日付２２９（例えば、５／２３／２０１８  １２：４２）、インジケータの種類２３３（例えば、ＩＰｖ４アドレス（ＩＰｖ４  Ａｄｄｒｅｓｓ））、標的対象２４０（例えば、Ｙｅｓ）、登録日２４２（例えば、１／１６／２０１７）、又はこれらの組み合わせをネットワーク脅威報告１０１から抽出する。特定の例において、脅威報告解析装置１５０は、ネットワーク脅威報告１０１、履歴データ１２１、第１のデータ１６５、第２のデータ１６７、又はこれらの組み合わせに基づいて、ここに記載するような、追加的なソースのデータ２２５（例えば、１３／５２）、手動で行われたアクション２３１（例えば、プロキシ遮断（Ｂｌｏｃｋ−Ｐｒｏｘｙ））、インジケータ作成日２３５（例えば、８／１５／２０１８）、内部でのヒット数２３７（例えば、５００）、直近の内部ヒット日２３９（例えば、４／１２／２００１）、偽陽性率２４４（例えば、５０％）、又は、これらの組み合わせを決定する。
【００４０】
脅威報告解析装置１５０は、ここで記載するような、最初に発見された日付２０１（例えば、３／１２／２０１８  ４：３３）、最後に発見された日付２０３（例えば、５／１２／２０１８  ８：２３）、報告量２０５（例えば、４５１）、ディスクリプションキーワード２１３（例えば、「ｓｃａｎｎｉｎｇ」）、キーワードタグ２１５（例えば、「ｅｘｆｉｌ」）、帰属信頼度２１９（例えば、高（ｈｉｇｈ））、ソース総数２２１（例えば、３）、ソース評判スコア２２３（例えば、高（ｈｉｇｈ））、追加的なソースのデータ２２５（例えば、１３／５２）、最初に報告された日付２２７（例えば、１／１３／２０１８  ５：１１）、最後に報告された日付２２９（例えば、５／２３／２０１８  １２：４２）、手動で行われたアクション２３１（例えば、プロキシ遮断（Ｂｌｏｃｋ-Ｐｒｏｘｙ））、インジケータ作成日２３５（例えば、８／１５／２０１８）、登録日２４２（例えば、１／１６／２０１７）、偽陽性率２４４（例えば、５０％）、又は、これらの組み合わせに基づいて、信頼性スコア１０７を決定することが可能である。特定の態様において、信頼性スコア１０７は、属性１０５の様々な属性のスコアの、重み付けされた和に相当する。例えば、脅威報告解析装置１５０は、最初に発見された日付２０１に対して第１の重みを割り当て、最後に発見された日付２０３に対して第２の重みを割り当て、最初に発見された日付２０１の値（例えば、３／１２／２０１８  ４：３３）に基づいて、最初に発見された日付２０１に対して第１のスコアを割り当て、最後に発見された日付２０３の値（例えば、５／１２／２０１８  ８：２３）に基づいて、最後に発見された日付２０３に対して第２のスコアを割り当て、第１のスコアと第２のスコアとの重み付けされた和に基づいて、信頼性スコア１０７を決定する（例えば、信頼性スコア１０７＝第１の重み＊第１のスコア＋第２の重み＊第２のスコア）。
【００４１】
脅威報告解析装置１５０は、ここに記載するような、報告量２０５（例えば、４５１件）、キルチェーンフェーズ２０７（例えば、Ｃ２）、攻撃の種類２０９（例えば、マルウェア（Ｍａｌｗａｒｅ））、脅威の種類２１１（例えば、悪意のあるＩＰ（Ｍａｌｉｃｉｏｕｓ  ＩＰ））、ディスクリプションキーワード２１３（例えば、「ｓｃａｎｎｉｎｇ」）、キーワードタグ２１５（例えば、「ｅｘｆｉｌ」）、帰属識別子２１７（例えば、Ｆｌｕｆｆｙ  Ｂｕｎｎｙ）、追加的なソースのデータ２２５（例えば、１３／５２）、インジケータの種類２３３（例えば、ＩＰｖ４アドレス（ＩＰｖ４  Ａｄｄｒｅｓｓ））、標的対象２４０（例えば、Ｙｅｓ）、又はこれらの組み合わせに基づいて、影響スコア１０９を決定することが可能である。特定の態様において、影響スコア１０９は、属性１０５の様々な属性のスコアの、重み付けられた和に相当する。
【００４２】
最初に発見された日付２０１（例えば、３／１２／２０１８  ４：３３）は、インジケータ１０３が初めて発見された（又は検出された）ことを報告が示す日付（例えば、タイムスタンプ（ｔｉｍｅｓｔａｍｐ））を示している。例えば、ネットワーク脅威報告１０１は、複数の報告と、最初に発見された日付２０１（例えば、３／１２／２０１８  ４：３３）にインジケータ１０３が検出されたことを示す複数の報告の中で、最も早期の発見された日付を有する第１の報告（例えば、公開フォーラムのユーザの投稿メッセージ）と、に基づいている。特定の例において、信頼性スコア１０７は、閾値「最初に発見された日付」よりも前の、最初に発見された日付２０１についてはより低い。例えば、インジケータ１０３が２年前に最初に発見された場合には、インジケータ１０３が潜在的な悪意のある行為と関係がある可能性は低い。
【００４３】
最後に発見された日付２０３（例えば、５／１２／２０１８  ８：２３）は、最後にインジケータ１０３が発見された（又は検出された）ことを報告書が示す日付（例えば、タイムスタンプ（ｔｉｍｅｓｔａｍｐ））を示している。例えば、複数の報告のうち直近の発見された日付を有する第２の報告（例えば、ネットワークセキュリティ関連文書）は、最後に発見された日付２０３（例えば、５／１２／２０１８  ８：２３）にインジケータ１０３が検出されたことを示している。特定の例において、信頼性スコア１０７は、閾値「最後に発見された日付」より前の、最後に発見された日付２０３についてはより低い。例えば、インジケータ１０３が１年前に最初に発見された場合には、インジケータ１０３が潜在的に悪意のある行為と関係がある可能性は低い。
【００４４】
登録日２４２（例えば、１／１６／２０１７）は、インジケータ１０３が登録認定機関で登録されたことを報告が示す日付（例えば、タイムスタンプ（ｔｉｍｅｓｔａｍｐ））を示している。例えば、ネットワーク脅威報告１０１は、インジケータ１０３（例えば、ドメイン名）が登録日２４２（例えば、１／１６／２０１７）に登録認定機関（例えば、ドメイン名「レジストラ（ｒｅｇｉｓｔｒａｒ）」）により登録されたことを示す報告に基づいている。特定の例において、信頼性スコア１０７は、閾値「登録日」より前の登録日２４２についてはより低い。例えば、インジケータ１０３が２年前に登録された場合には、インジケータ１０３が潜在的な悪意のある行為と関係がある可能性は低い。
【００４５】
最初に報告された日付２２７（例えば、１／１３／２０１８  ５：１１）は、インジケータ１０３と関係がある最も早期の報告の日付（例えば、タイムスタンプ（ｔｉｍｅｓｔａｍｐ））を示す。例えば、第１の報告（例えば、公開フォーラムでのユーザの投稿メッセージ）は、インジケータ１０３と関係がある複数の報告のうち、最も早期の日付（例えば、公開フォーラムでのユーザの投稿メッセージの日付）を有する。特定の例において、信頼性スコア１０７は、閾値「最初に報告された日付」よりも前の、最初に報告された日付２２７についてはより低い。例えば、インジケータ１０３が２年前に最初に報告された場合には、インジケータ１０３が潜在的な悪意のある行為と関係がある可能性は低い。
【００４６】
最後に報告された日付２２９（例えば、５／２３／２０１８  １２：４２）は、インジケータ１０３と関係がある最も直近の報告の日付（例えば、タイムスタンプ（ｔｉｍｅｓｔａｍｐ））を示している。例えば、第２の報告（例えば、ネットワークセキュリティ関連文書）は、インジケータ１０３と関係がある複数の報告のうち、最も直近の報告日（例えば、上記文書の日付）を有する。特定の例において、信頼性スコア１０７は、閾値「最後に報告された日付」より前の、最後に報告された日付２２９についてはより低い。例えば、インジケータ１０３が１年前に最後に報告された場合には、インジケータ１０３が潜在的な悪意のある行為と関係がある可能性は低い。
【００４７】
特定の態様において、報告（例えば、公開フォーラムでのユーザの投稿メッセージ）は、報告された日付（例えば、最初に報告された日付２２７又は最後に報告された日付２２９）を有し、報告はその日付（例えば、投稿メッセージの日付）に公開されている。報告（例えば、ユーザの投稿メッセージ）は、インジケータ１０３が検出されたと伝えられている（例えば、ユーザがユーザ投稿メッセージにおいて、最後に発見された日付２０３にインジケータ１０３が検出されたことをネットワークトラフィックのログが示すことを示す）発見された日付（例えば、最初に発見された日付２０１又は最後に発見された日付２０３）を示すことが可能である。発見された日付は、報告された日付よりも前であり、又は報告された日付と等しい。
【００４８】
報告量２０５（例えば、４５１）は、インジケータ１０３が悪意のある行為と関係があることを示す報告の総数を示す。例えば、ネットワーク脅威報告１０１は、複数のソースからの複数の報告に基づいている。例を挙げると、ネットワーク脅威報告１０１は、第１の特定のソースが、インジケータ１０３が悪意のある行為と関係があることを示す第１の数（例えば、５１）の報告を受信し、第２の特定のソースが、インジケータ１０３が悪意のある行為と関係があることを示す第２の数（例えば、４００）の報告を受信したことを示す。脅威報告解析装置１５０は、第１の数の報告及び第２の数の報告に基づいて、報告量２０５（例えば、４５１）を決定する（例えば、報告量２０５＝第１の数の報告＋第２の数の報告）。特定の態様において、脅威報告解析装置１５０は、ネットワーク脅威報告１０１、第１のデータ１６５、第２のデータ１６７、又はこれらの組み合わせに基づいて、報告量２０５（例えば、２）を導出する。例えば、脅威報告解析装置１５０は、第１のソース（例えば、第２の装置１２４）からの、インジケータ１０３が悪意のある行為と関連があることを示すネットワーク脅威報告１０１に対応して、第１の数（例えば、１）を決定する。第２のソース（例えば、第３の装置１２６）が、様々なソースからの、インジケータ１０３が悪意のある行為と関係があることを示す第２の数の報告を受信したことを示す第１のデータ１６５に対応して、脅威報告解析装置１５０は、第２の数（例えば、４５０）を決定する。脅威報告解析装置１５０は、第１の数及び第２の数に基づいて、報告量２０５（例えば、４５１）を決定する（例えば、報告量２０５＝第１の数＋第２の数）。特定の例において、信頼性スコア１０７は、報告量の信頼性閾値よりも高い報告量２０５についてはより高い。例えば、インジケータ１０３が悪意のある行為と関係があることを複数の報告が示す場合には、インジケータ１０３が潜在的な悪意のある行為と関係がある可能性は高い。特定の例において、影響スコア１０９は、報告量の影響閾値よりも高い報告量２０５についてはより高い。例えば、インジケータ１０３が悪意のある行為との関連で検出されたことを複数の報告が示す場合には、インジケータ１０３と関係がある潜在的な悪意のある行為は、より深刻な影響を与える可能性が高い。
【００４９】
偽陽性率２４４（例えば、３３％）は、悪意のない（又は無害な）行為と関係があるとしてインジケータ１０３が検出された（又は報告された）回数と、悪意のある行為と関係があるとしてインジケータ１０３が検出された（又は報告された）回数と、に基づいている。例えば、ネットワーク脅威報告１０１は、インジケータ１０３が悪意のある行為と関係があると伝えられていることを示す。脅威報告解析装置１５０は、履歴データ１２１、ネットワーク脅威報告１０１、又はその両方に基づいて、インジケータ１０３が、第１の回数（例えば１回）だけ悪意のない行為と関係があると報告（又は検出）さており、インジケータ１０３が、第２の回数（例えば２回）だけ悪意のある行為と関係があると報告（又は検出）されていると決定する。脅威報告解析装置１５０は、第１の回数及び第２の回数に基づいて、偽陽性率２４４（例えば、３３％）を決定する（例えば、偽陽性率２４４＝第１の回数／（第１の回数＋第２の回数））。特定の例において、信頼性スコア１０７は、偽陽性の閾値よりも高い偽陽性率２４４についてはより低い。例えば、インジケータ１０３が悪意のない行為と関係があるとより頻繁に報告（又は検出）される場合には、インジケータ１０３が悪意のある行為と関係がある可能性は低い。
【００５０】
ディスクリプションキーワード２１３（例えば、「ｓｃａｎｎｉｎｇ」）は、インジケータ１０３と関係がある複数の報告の記載において検出された特定のキーワードを示す。キーワードタグ２１５（例えば、「ｅｘｆｉｌ」）は、複数の報告と関係があるタグにおいて検出された特定のキーワードを示す。特定の例において、ディスクリプションキーワード２１３（例えば、「ｓｃａｎｎｉｎｇ」）、キーワードタグ２１５（例えば、「ｅｘｆｉｌ」）、又はこれらの組み合わせが悪意のある行為と以前に関係があったことをルックアップデータ１２９が示す場合には、信頼性スコア１０７は、インジケータ１０３についてはより高い。例を挙げると、キーワードタグ２１５（例えば、「ｅｘｆｉｌ」）が特定の行為（例えば、流出又は抽出）を示す場合には、信頼性スコア１０７がより高い。
【００５１】
キルチェーンフェーズ２０７（例えば、Ｃ２）は、キルチェーン（例えば、サイバーキルチェーン（登録商標）（ｃｙｂｅｒ  ｋｉｌｌ  ｃｈａｉｎ(R)））においてインジケータ１０３と関係があると伝えられているネットワークへの脅威の段階を示す。キルチェーンは、偵察（例えば、弱点の調査）、武器化（例えば、伝達可能なペイロードの形成）、配送（例えば、悪意のあるリンクといったペイロードの送信）、エクスプロイト（ｅｘｐｌｏｉｔ）（例えば、目標コンピュータでコードを実行）、インストール（例えば、目標資産にマルウェアをインストール）、Ｃ２（例えば、システムを遠隔で制御するためのチャネルの作成）、及び、アクション（例えば、悪意のあるアクションを遠隔で行う）といった、複数の段階を含む。特定の例において、キルチェーンにおけるより高い段階（又はフェーズ）と関係があるキルチェーンフェーズ２０７については、影響スコア１０９はより高い。例を挙げると、インジケータ１０３が、キルチェーンにおける特定のフェーズ（例えば、Ｃ２）と関係があると伝えられている場合には、インジケータ１０３と関係がある潜在的な悪意のある行為は、より深刻な影響を与える可能性がある。
【００５２】
帰属識別子２１７（例えば、Ｆｌｕｆｆｙ  Ｂｕｎｎｙ）は、インジケータ１０３と関係があると伝えられている加害者を示す。特定の例において、影響スコア１０９は、より深刻な影響を与える（例えば、より多大な損害を与え、より広域に広がった、又はその両方である）悪意のある行為と関係がある加害者を示す帰属識別子２１７についてはより高い。例を挙げると、より深刻な影響を与える悪意のある行為に以前に関与した加害者を示す特定の帰属識別子とインジケータ１０３が関係があると伝えられている場合には、インジケータ１０３と関係がある潜在的な悪意のある行為は、より深刻な影響を与える可能性がある。
【００５３】
攻撃の種類２０９（例えば、マルウェア（Ｍａｌｗａｒｅ））は、伝えられるところによると、インジケータ１０３と関係があるネットワーク攻撃の種類を示す。脅威の種類２１１（例えば、悪意のあるＩＰ（Ｍａｌｉｃｉｏｕｓ  ＩＰ））は、インジケータ１０３と関係があると伝えられているネットワークへの脅威の種類を示す。インジケータの種類２３３（例えば、ＩＰｖ４アドレス（ＩＰｖ４  Ａｄｄｒｅｓｓ））は、インジケータ１０３の種類を示す。例えば、インジケータの種類２３３は、ＩＰアドレス、ウィルスシグネチャ、電子メールアドレス、電子メールの件名、ドメイン名、ＵＲＩ、ＵＲＬ、ファイル名、ＭＤ５ハッシュ値、ファイルパス、又は、これらの組み合わせを含みうる。特定の例において、より深刻な影響を与える（例えば、より多大な損害を与え、より広域で広がった、又はその両方である）悪意のある行為と関係がある攻撃の種類２０９、脅威の種類２１１、インジケータの種類２３３、又は、これらの組み合わせについては、影響スコア１０９はより高い。例を挙げると、結果的に、より深刻な影響を与える悪意のある行為となった特定の攻撃の種類、特定の脅威の種類、特定のインジケータの種類、又は、これらの組み合わせとインジケータ１０３が関係があると伝えられている場合には、インジケータ１０３と関係がある潜在的な悪意のある行為が、より深刻な影響を与える可能性は高い。
【００５４】
特定の実行形態において、履歴データ１２１は、キルチェーンフェーズ２０７（例えば、Ｃ２）と関係がある悪意のある行為、攻撃の種類２０９（例えば、マルウェア（Ｍａｌｗａｒｅ））、脅威の種類２１１（例えば、悪意のあるＩＰ（Ｍａｌｉｃｉｏｕｓ  ＩＰ））、ディスクリプションキーワード２１３（例えば、「ｓｃａｎｎｉｎｇ」）、キーワードタグ２１５（例えば、「ｅｘｆｉｌ」）、インジケータの種類２３３、又は、これらの組み合わせが以前に検出されており、対応する影響深刻度を有することを示す。本実行形態では、脅威報告解析装置１５０は、影響の深刻度に基づいて影響スコア１０９を決定する。
【００５５】
帰属信頼度２１９（例えば、高（ｈｉｇｈ））は、帰属識別子２１７により示される加害者とインジケータ１０３が関係があるという報告されている可能性を示す。特定の例において、信頼性スコア１０７は、帰属信頼度２１９が高い場合には、インジケータ１０３についてより高い。
【００５６】
ソース総数２２１（例えば、３）は、インジケータ１０３と関係がある少なくとも１つの報告を提供したソースの総数を示す。例えば、第２の装置１２４（又は、第１のソース）は、インジケータ１０３が悪意のある行為と関係があると伝えられていることを示すネットワーク脅威報告１０１を生成する。他の例として、第３の装置１２６（又は、第２のソース）及び第４の装置１２８（又は、第３のソース）が、インジケータ１０３が悪意のある行為と関係があると伝えられていることを示す第１のデータ１６５及び第２のデータ１６７をそれぞれ生成する。脅威報告解析装置１５０は、インジケータ１０３が悪意のある行為と関係があることを示す少なくとも１つの報告がそこから受信されたソース（例えば、第１のソース、第２のソース、第３のソース）の総数に基づいて、ソース総数２２１（例えば、３）を決定する。特定の例において、信頼性スコア１０７は、ソース総数２２１（例えば、３）がより多い場合には、インジケータ１０３についてはより高い。
【００５７】
ソース評判スコア２２３（例えば、高（ｈｉｇｈ）又は１０）は、ソースに関連する信頼性のレベルを示す。特定の態様において、ソース評判スコア２２３は、複数の報告のソースに関連する信頼性のレベルを示し、ネットワーク脅威報告１０１が、ソース評判スコア２２３を示す。他の態様において、ソース評判スコア２２３は、ネットワーク脅威報告１０１の第１のソース（例えば、第２の装置１２４）といった、特定のソースに関連する信頼性のレベルを示す。本態様では、脅威報告解析装置１５０は、メモリ１４２からソース評判スコア２２３を取り出す。例えば、履歴データ１２１がソース評判スコア２２３を示し、脅威報告解析装置１５０は、履歴データ１２１により示される値にソース評判スコア２２３を更新する。他の例において、ソース評判スコア２２３は、ルックアップデータ１２９（例えば、構成設定値、デフォルトデータ、ユーザ入力１２５、又はこれらの組み合わせ）に基づいている。例えば、ルックアップデータ１２９は、第１のソース（例えば、第２の装置１２４）についてのソース評判スコア２２３を示す。特定の例において、信頼性スコア１０７は、ソース評判スコア２２３（例えば、高（ｈｉｇｈ））がより高い場合には、インジケータ１０３についてより高い。
【００５８】
標的対象２４０（例えば、Ｙｅｓ）は、標的とされたネットワークへの脅威とインジケータ１０３が関係があると伝えられているかどうかを示す。例えばインジケータ１０３は、特定の組織、特定の人物、又はその両方を標的とするネットワークへの脅威と関係がありうる。特定の例において、標的とされたネットワークへの脅威とインジケータ１０３が関係があると伝えられることを、標的対象２４０（例えば、Ｙｅｓ）が示す場合には、影響スコア１０９は、インジケータ１０３についてより高い。特定の例において、病院、学校、空港、配電網、政府機関、金融機関、又は政府関係者といった大きな又は被害を受けやすい標的に向けられる、標的とされるネットワークへの脅威とインジケータ１０３が関連があると伝えられていることを標的対象２４０が示す場合には、影響スコア１０９（例えば、高（ｈｉｇｈ））は、インジケータ１０３についてより高い。本例では、小さな又はあまり知られていない標的に向けられる、標的とされるネットワークへの脅威とインジケータ１０３が関係があると伝えられていることを、標的対象２４０が示す場合には、影響スコア１０９（例えば、中程度（ｍｅｄｉｕｍ））は、インジケータ１０３についてより低い。
【００５９】
特定の例において、脅威報告解析装置１５０は、追加的なソースのデータ２２５（例えば、１３／５２）を生成する。例えば、脅威報告解析装置１５０は、インジケータ１０３に関する情報のために、追加的なソースに要求を送信する。例を挙げると、脅威報告解析装置１５０は、第１の要求１６１を第３の装置１２６（例えば、第２のソース）に送信し、第２の要求１６３を第４の装置１２８（例えば、第３のソース）に送信し、又は、両方を送信する。第１の要求１６１、第２の要求１６３、又は両方は、インジケータ１０３を含んでいる。脅威報告解析装置１５０は、ネットワークへの脅威と関係があると伝えられているとしてインジケータ１０３が検出されているかどうかを示すデータを、追加的なソースから受信する。例えば、脅威報告解析装置１５０は、第３の装置１２６から第１のデータ１６５を受信し、第４の装置１２８から第２のデータ１６７を受信し、又は、両方を受信する。脅威報告解析装置１５０は、追加的なソースのデータ２２５（例えば、１３／５２）を生成（又は更新）し、追加的なソースのデータ２２５は、追加的なソースであって、インジケータ１０３がネットワークへの脅威と関係があると報告されていることを示すデータがそこから受信される追加的なソースの総数を示す（例えば、追加的なソースのデータ２２５＝インジケータ１０３がネットワークへの脅威と関係があると報告されていることを示すデータがそこから受信されるソースの総数／インジケータ１０３と関連があるデータが要求されるソースの総数）。特定の例において、追加的なソースのデータ２２５（例えば、１３／５２）が、インジケータ１０３がネットワーク脅威と関係があると伝えられていることを示すソースのより大きな総数を示す場合には、信頼性スコア１０７、影響スコア１０９、又は両方は、インジケータ１０３についてより高い。
【００６０】
手動で適用されるアクション２３１（例えば、プロキシ遮断（プロキシ遮断（Ｂｌｏｃｋ-Ｐｒｏｘｙ））は、ユーザ要求に基づいて開始（又は推薦）される、インジケータ１０３に対応するアクション（例えば、アクション１１５）を示す。例えば、脅威報告解析装置１５０は、ネットワーク脅威報告１０１を受信し、インジケータ１０３を含むＧＵＩ１２３を生成し、ＧＵＩ１２３を表示装置１２２に提供し、インジケータ１０３と関係がある第１のアクション（例えば、プロキシ遮断（Ｂｌｏｃｋ-Ｐｒｏｘｙ））を要求（又は推薦）するユーザ入力１２５を受信する。脅威報告解析装置１５０は、第１のアクションを要求するユーザ入力１２５に続いて、少なくとも幾つかの属性１０５を決定する。例えば、脅威報告解析装置１５０は、ユーザ入力１２５の受信に応じて、手動で適用されるアクション２３１が第１のアクション（例えば、プロキシ遮断（Ｂｌｏｃｋ−Ｐｒｏｘｙ））を含むことを決定する。特定の例において、ネットワーク脅威報告１０１は、第１のソース（例えば、第２の装置１２４又は第２の装置１２４のユーザ）が、インジケータ１０３に対応する第２のアクション（例えば、アクション１１５）を推薦していることを示す。手動で適用されるアクション２３１は、第１のアクション、第２のアクション、又はこれらの組み合わせを含む。特定の態様において、脅威報告解析装置１５０は、手動で適用されるアクション２３１（例えば、プロキシ遮断（Ｂｌｏｃｋ-Ｐｒｏｘｙ））の実施を開始する。脅威報告解析装置１５０は、手動で適用されるアクション２３１の決定に続いて、信頼性スコア１０７、影響スコア１０９、総合スコア１１１、又はこれらの組み合わせを決定する（又は更新する）。特定の例において、手動で適用されるアクション２３１が、インジケータ１０３に対応する少なくとも１つのアクション、インジケータ１０３に対応する特定のアクション（例えば、プロキシ遮断（Ｂｌｏｃｋ−Ｐｒｏｘｙ））、又は両方を含む場合には、信頼性スコア１０７が、インジケータ１０３についてより高い。
【００６１】
インジケータ作成日２３５（例えば、８／１５／２０１８）は、第１のソース（例えば、第２の装置１２４）によってインジケータ１０３が検出された日付を示す。例えば、インジケータ作成日２３５は、第１のソース（例えば、第２の装置１２４）が、悪意のある行為とインジケータ１０３が関係があることを示す報告（例えば、公開フォーラムでのユーザの投稿メッセージ）を受信（又は検出）した日付を示す。他の例において、インジケータ作成日２３５は、ネットワーク脅威報告１０１が作成された日付（例えば、作成日又は更新日）に対応する。特定の例において、インジケータ作成日２３５がより最近である場合には、信頼性スコア１０７はより高い。例を挙げると、脅威報告解析装置１５０は最初に、インジケータ作成日２３５に基づいてインジケータの年齢を決定し（例えば、インジケータの年齢＝当初はインジケータ作成日２３５）、インジケータの年齢に基づいて信頼性スコア１０７を更新する。信頼性スコア１０７は、より大きなインジケータの年齢についてより低い。特定の態様において、脅威報告解析装置１５０は（例えば特定の時間間隔で）、応答キュー１１３に格納されたインジケータ１０３の信頼性スコア１０７、影響スコア１０９、総合スコア１１１、位置１１７、又は、これらの組み合わせを更新する。従って、より優先度が高いインジケータ（例えば、インジケータ１０３）がより早期に処理されてさらなるインジケータが応答キュー１１３に追加されるため、インジケータ１０３は、応答キュー１１３にインジケータ１０３がより長く格納されるほど優先度の点で負けうる。
【００６２】
内部でのヒット数２３７（例えば、５００）は、ネットワークトラフィックでインジケータ１０３が検出された回数を示す。例えば、履歴データ１２１は、ネットワーク１０２の特定のネットワーク区間におけるネットワークトラフィックを追跡するネットワークログ、システムログ、又は両方を含む。上記の特定のネットワーク区間は、第１の装置１４０と関連する組織の内部にあると見做される。直近の内部ヒット日２３９（例えば、４／１２／２００１）は、インジケータ１０３が特定のネットワーク区間で検出された最近の日付を示す。特定の態様において、脅威報告解析装置１５０は、図５を参照してさらに記載するように、属性１０５の少なくとも幾つかに基づいてアクション１１５を決定する。例えば、脅威報告解析装置１５０は、様々なアクション（例えば、インジケータ１０３と関係がある全てのネットワークトラフィックを遮断すること、又は、インジケータ１０３と関係がある幾つかのネットワークトラフィックを遮断すること）の潜在的な、ビジネスへの影響を決定する。例を挙げると、内部でのヒット数２３７（例えば、５００）がより大きく、直近の内部ヒット日２３９（例えば、４／１２／２００１）が最近であり、又はその両方である場合には、潜在的なビジネスへの影響はより大きい。
【００６３】
脅威報告解析装置１５０は、上記アクションの潜在的なビジネスへの影響が、閾値「ビジネスへの影響」より大きいという決定に応じて、アクション１１５としてのアクションの選択を控えうる。特定の態様において、脅威報告解析装置１５０は、潜在的なビジネスへの影響に依存せずにアクション１１５を選択し、潜在的なビジネスへの影響に基づいて、複数のアクションキューの特定のアクションキューにアクション１１５を追加する。例えば、脅威報告解析装置１５０は、潜在的なビジネスへの影響が閾値「影響」より大きいという決定に応じて、第１のアクションキュー（例えば、明示的なユーザ要求に応じて実施されるアクションのアクションキュー１１９）に、アクション１１５を追加する。代替的に、脅威報告解析装置１５０は、上記アクションの潜在的なビジネへの影響が、閾値「ビジネスへの影響」より小さく又は閾値「ビジネスへの影響」と等しいという決定に応じて、明示的なユーザ取り消しが受信されないかぎり実施されるアクションの第２のアクションキュー（例えば、アクションキュー１１９）にアクション１１５を追加する。
【００６４】
このように、脅威報告解析装置１５０は、ネットワーク脅威報告１０１、第１のデータ１６５、第２のデータ１６７、履歴データ１２１、又は、これらの組み合わせに基づいて属性１０５を決定する。属性１０５によって、脅威報告解析装置１５０は、図１を参照して記載したように、インジケータ１０３の優先度（例えば、総合スコア１１１）を決定することが可能となる。
【００６５】
図３は、信頼性スコア１０７の計算の一例の図３００を含んでいる。図３００は、表３０２を含む。表３０２の１列目は、属性１０５の例を示している。表３０２の２列目は、１列目に示された属性１０５の例を説明するための値として、属性値３９０を含む。属性１０５は、帰属信頼度２１９、ソース総数２２１、インジケータの種類２３３、インジケータ作成日２３５、及び第２のソースのヒット数３０１を含む。第２のソースのヒット数３０１は、第２のソース（例えば、信頼のおけるソース）により報告されているとしてインジケータ１０３が検出された回数を示す。例えば、図２の追加的なソースのデータ２２５は、第２のソースのヒット数３０１を含んでいる。第２のソースのヒット数３０１（例えば、なし（Ｎｏｎｅ））は、ネットワーク脅威と関係があると第１のデータ１６５で報告されているとしてインジケータ１０３が示されている回数（例えば、０）を示す。
【００６６】
脅威報告解析装置１５０は、属性１０５についてのスコア３９２を決定する。例えば、脅威報告解析装置１５０は、帰属信頼度２１９が第１の値（例えば、高（ｈｉｇｈ））を有し、ソース総数２２１が第２の値（例えば、３）を有し、インジケータの種類２３３が第３の値（例えば、ＩＰｖ４アドレス（ＩＰｖ４  Ａｄｄｒｅｓｓ））を有し、インジケータ作成日２３５が第４の値（例えば、８／１５／２０１４）を有し、第２のソースのヒット数３０１が第５の値（例えば、なし（Ｎｏｎｅ））を有するという決定に応じて、それぞれ、第１のスコア（例えば、１０）、第２のスコア（例えば、１０）、第３のスコア（例えば、１）、第４のスコア（例えば、２）、及び、第５のスコア（例えば、０）を決定する。特定の態様において、脅威報告解析装置１５０は、図１のルックアップデータ１２９（例えば、ユーザ入力、構成設定値、デフォルト値、又は、これらの組み合わせ）に基づいてスコア３９２を決定する。例えば、ルックアップデータ１２９は、特定の値（例えば、「ｅｘｆｉｌ」）を有する特定の属性（例えば、キーワードタグ２１５）のための第１のスコアを示す。脅威報告解析装置１５０は、特定の属性のための第１のスコアに基づいて信頼性スコア１０７を決定する。例えば、帰属信頼度２１９が第１の値（例えば、高（ｈｉｇｈ））を有し、ルックアップデータ１２９が、第１の値（例えば、高（ｈｉｇｈ））を有する帰属信頼度２１９に第１のスコア（例えば、１０）が割り当てられることを示しているという決定に応じて、威報告解析装置１５０は、帰属信頼度２１９が第１のスコア（例えば、１０）を有すると決定する。表３０２の３列目には、１列目に示す属性１０５の例のためのスコア３９２を説明するための値が含まれる。
【００６７】
脅威報告解析装置１５０は、属性１０５のための重み３９４を決定する。例えば、脅威報告解析装置１５０は、帰属信頼度２１９、ソース総数２２１、インジケータの種類２３３、インジケータ作成日２３５、第２のソースのヒット数３０１に対して、それぞれ、第１の重み（例えば、２０％）、第２の重み（例えば、２０％）、第３の重み（例えば、１０％）、第４の重み（例えば、４０％）、第５の重み（例えば、１０％）を割り当てる。特定の態様において、脅威報告解析装置１５０は、第１の重み（例えば、２０％）が割り当てられる帰属信頼度２１９と、第２の重み（例えば、２０％）が割り当てられるソース総数２２１と、第３の重み（例えば、１０％）が割り当てられるインジケータの種類２３３と、第４の重み（例えば、４０％）が割り当てられるインジケータ作成日２３５と、第５の重み（例えば、１０％）が割り当てられる第２のソースのヒット数３０１とを示すルックアップデータ１２９に基づいて、重み３９４を決定する。表３０２の４列目には、１列目に示す属性１０５の例についての重みを説明するための値が含まれる。このように、（例えばルックアップデータ１２９において）属性のための特定の重みを指定し、（例えばルックアップデータ１２９において）属性の特定の値のために特定のスコアを指定することによって、信頼性スコア１０７の計算を、特定の属性のためにカスタマイズすることが可能である。
【００６８】
脅威報告解析装置１５０は、スコア３９２及び重み３９４に基づいて、属性１０５のための重み付けされたスコア３９６を決定する。例えば、脅威報告解析装置１５０は、帰属信頼度２１９、ソース総数２２１、インジケータの種類２３３、インジケータ作成日２３５、及び第２のソースのヒット数３０１対して、それぞれ、第１の重み付けされたスコア（例えば、第１のスコア＊第１の重み）、第２の重み付けされたスコア（例えば、第２のスコア＊第２の重み）、第３の重み付けされたスコア（例えば、第３のスコア＊第３の重み）、第４の重み付けされたスコア（例えば、第４のスコア＊第４の重み）、及び、第５の重み付けされたスコア（例えば、第５のスコア＊第５の重み）を割り当てる。表３０２の５列目には、図１に示す属性１０５の例についての重み付けされたスコア３９６を説明するための値が含まれている。
【００６９】
脅威報告解析装置１５０は、重み付けされたスコア３９６に基づいて、属性１０５のための信頼性スコア１０７（例えば、４．９／１０）を決定する。例えば、脅威報告解析装置１５０は、帰属信頼度２１９、ソース総数２２１、インジケータの種類２３３、インジケータ作成日２３５、及び、第２のソースのヒット数３０１に割り当てられた、重み付けされたスコア３９６の和に基づいて、信頼性スコア１０７（例えば、４．９／１０）を決定する（例えば、信頼性スコア１０７＝第１の重み付けされたスコア＋第２の重み付けされたスコア＋第３の重み付けされたスコア＋第４の重み付けされたスコア＋第５の重み付けされたスコア）。
【００７０】
図３００は、表３０４を含む。表３０４は、表３０２に示す属性１０５の例に対応する信頼性スコア１０７を説明するための値（例えば、４．９／１０）を示している。脅威報告解析装置１５０は、信頼性スコア１０７に対して評定３９８を割り当てる。信頼性スコア１０７の範囲３８０は、様々な評定に対応している。特定の態様において、ルックアップデータ１２９が範囲３８０を示す。図３００は、範囲３８０の値を説明するための値を示す表３０６を含む。表３０６は、第１の評定（例えば、不明（ｕｎｋｎｏｗｎ））、第２の評定（例えば、低（ｌｏｗ））、第３の評定（例えば、中（ｍｅｄｉｕｍ））、及び、第４の評定（例えば、高（ｈｉｇｈ））がそれぞれ、第１の範囲（例えば、０−２．９）、第２の範囲（例えば、３．０−５．９）、第３の範囲（例えば、６．０−７．９）、第４の範囲（例えば、８．０−１０）に対応することを示している。脅威報告解析装置１５０は、第２の範囲（例えば、３．０−５．９）に信頼性スコア１０７（例えば、４．９）が含まれるという決定に応じて、信頼性スコア１０７が第２の評定（例えば、低（ｌｏｗ））に対応すると決定する。このように、脅威報告解析装置１５０は、属性１０５の少なくとも幾つかに基づいて信頼性スコア１０７を決定する。
【００７１】
図４は、影響スコア１０９の計算の一例の図４００を含む。図４００は、表４０２を含む。表４０２の１列目は、属性１０５の例を示している。表４０２の２列目には、１列目に示された属性１０５の例を説明するための値として、属性値４９０が含まれる。属性１０５には、攻撃の種類２０９、脅威の種類２１１、及び帰属識別子２１７が含まれる。
【００７２】
脅威報告解析装置１５０は、重み付けされたスコア４９６に基づいて、影響スコア１０９を決定する。最初に、脅威報告解析装置１５０が、属性１０５のためのスコア４９２を決定する。例えば、脅威報告解析装置１５０は、攻撃の種類２０９が第１の値（例えば、マルウェア（Ｍａｌｗａｒｅ））を有し、脅威の種類２１１が第２の値（例えば、悪意のあるＩＰ（Ｍａｌｉｃｉｏｕｓ  ＩＰ））を有し、帰属識別子２１７が第３の値（例えば、Ｆｌｕｆｆｙ  Ｂｕｎｎｙ）を有するという決定に基づいて、それぞれ、第１のスコア（例えば、７）、第２のスコア（例えば、７）、第３のスコア（例えば、８）を決定する。特定の態様において、脅威報告解析装置１５０は、図１のルックアップデータ１２９に基づいてスコア４９２を決定する。例えば、ルックアップデータ１２９は、特定の値（例えば、「ｅｘｆｉｌ」）を有する特定の属性（例えば、キーワードタグ２１５）のための第２のスコアを示す。脅威報告解析装置１５０は、特定の属性のための第２のスコアに基づいて、影響スコア１０９を決定する。影響スコア１０９を決定するための第２のスコアは、信頼性スコア１０７を決定するための（ルックアップデータ１２９により示される）第１のスコアと同じであってよく、又は当該第１のスコアと異なっていてよい。特定の例において、攻撃の種類２０９が第１の値（例えば、マルウェア（Ｍａｌｗａｒｅ））を有しており、ルックアップデータ１２９が、第１の値（例えば、マルウェア（Ｍａｌｗａｒｅ））を有する攻撃の種類２０９に第１のスコア（例えば、７）が割り当てられることを示すという決定に応じて、脅威報告解析装置１５０は、攻撃の種類２０９が第１のスコア（例えば、７）を有すると決定する。表４０２の３列目には、１列目に示す属性１０５の例のためのスコア４９２を説明するための値が含まれる。
【００７３】
脅威報告解析装置１５０は、属性１０５のための重み４９４を決定する。例えば、脅威報告解析装置１５０は、攻撃の種類２０９、脅威の種類２１１、及び帰属識別子２１７に対して、それぞれ、第１の重み（例えば、３０％）、第２の重み（例えば、３０％）、及び第３の重み（例えば、４０％）を割り当てる。特定の態様において、脅威報告解析装置１５０は、攻撃の種類２０９に第１の重み（例えば、３０％）が割り当てられ、脅威の種類２１１に第２の重み（例えば、３０％）が割り当てられ、帰属識別子２１７に第３の重み（例えば、４０％）が割り当てられることを示すルックアップデータ１２９に基づいて、重み４９４を決定する。表４０２の４列目には、１列目に示す属性１０５の例についての重み４９４を説明する値が含まれている。このように、（例えばルックアップデータ１２９において）属性のための特定の重みを指定し、（例えばルックアップデータ１２９において）属性の特定の値のために特定のスコアを指定することによって、影響スコア１０９の計算を特定の属性のためにカスタマイズすることが可能である。
【００７４】
脅威報告解析装置１５０は、スコア４９２及び重み４９４に基づいて、属性１０５のための重み付けされたスコア４９６を決定する。例えば、脅威報告解析装置１５０は、攻撃の種類２０９、脅威の種類２１１、及び帰属識別子２１７に対して、それぞれ、第１の重み付けされたスコア（例えば、第１のスコア＊第１の重み）、第２の重み付けされたスコア（例えば、第２のスコア＊第２の重み）、及び、第３の重み付けされたスコア（例えば、第３のスコア＊第３の重み）を割り当てる。表４０２の５列目には、図１に示す属性１０５の例についての重み付けされたスコア４９６を説明するための値が含まれている。
【００７５】
脅威報告解析装置１５０は、重み付けされたスコア４９６に基づいて、属性１０５のための影響スコア１０９（例えば、７．４／１０）を決定する。例えば、脅威報告解析装置１５０は、攻撃の種類２０９、脅威の種類２１１、及び帰属識別子２１７に割り当てられた、重み付けされたスコア４９６の和に基づいて、影響スコア１０９（例えば、７．４／１０）を決定する（例えば、影響スコア１０９＝第１の重み付けされたスコア＋第２の重み付けされたスコア＋第３の重み付けされたスコア）。
【００７６】
図４００は、表４０４を含む。表４０４は、表４０２に示す属性１０５の例に対応する影響スコア１０９を説明するための値（例えば、７．４／１０）を示している。脅威報告解析装置１５０は、影響スコア１０９に対して評定４９８を割り当てる。影響スコア１０９の範囲４８０は、様々な評定に対応している。特定の態様において、ルックアップデータ１２９は範囲４８０を示す。図４００は、範囲４８０の値を説明するための値を示した表４０６を含む。表４０６は、第１の評定（例えば、不明（ｕｎｋｎｏｗｎ））、第２の評定（例えば、低（ｌｏｗ））、第３の評定（例えば、中（ｍｅｄｉｕｍ））、及び、第４の評定（例えば、高（ｈｉｇｈ））がそれぞれ、第１の範囲（例えば、０−２．９）、第２の範囲（例えば、３．０−５．９）、第３の範囲（例えば、６．０−７．９）、第４の範囲（例えば、８．０−１０）に対応することを示している。例えば、脅威報告解析装置１５０は、第３の範囲（例えば、６．０−７．９）に影響スコア１０９（例えば、７．４）が含まれるという決定に応じて、影響スコア１０９が第３の評定（例えば、中（ｍｅｄｉｕｍ））に対応すると決定する。このように、脅威報告解析装置１５０は、属性１０５の少なくとも幾つかに基づいて影響スコア１０９を決定する。
【００７７】
図５は、属性１０５の例５１０〜５３０、及び、特定の属性の値５４０〜５６０に対応するアクション１１５の図５００を含む。第１の例５１０において、属性の値５４０は、属性１０５には、第１の値（例えば、ＩＰｖ４アドレス（ＩＰｖ４  Ａｄｄｒｅｓｓ））を有するインジケータの種類２３３、第２の値（例えば、０）を有する内部でのヒット数２３７、第３の値（例えば、７．３）を有する信頼性スコア１０７、及び、第４の値（例えば、７．１）を有する影響スコア１０９が含まれることを示している。
【００７８】
第１の例５１０において、脅威報告解析装置１５０は、内部でのヒット数２３７の第２の値（例えば、０）が閾値「内部でのヒット数」（例えば、１０）を下回るため、インジケータ１０３と関係があるアクション１１５は、ビジネスへの潜在的な影響が小さいと決定する。脅威報告解析装置１５０は、信頼性スコア１０７の第３の値（例えば、７．３）が、図３の範囲３８０に基づいて、評定３９８（例えば、評定「中」）に対応すること、及び、影響スコア１０９の第４の値（例えば、７．１）が、図４の範囲４８０に基づいて、評定４９８（例えば、評定「中」）に対応すると決定する。
【００７９】
特定の態様において、脅威報告解析装置１５０は、第１の基準が満たされたという決定に基づいて、アクション１１５としてより攻撃的なアクションを選択する。特定の実行形態において、脅威報告解析装置１５０は、アクション１１５はビジネスへの潜在的な影響が小さく、信頼性スコア１０７（例えば、７．３）が信頼性の閾値を満し（例えば、６．０より大きく又は６．０と等しい）、影響スコア１０９（例えば、７．１）が閾値「影響」を満たし（例えば、６．０より大きく又は６．０と等しい）、又は、これらの組み合わせであるという決定に応じて、第１の基準が満たされたと決定する。特定の実行形態において、図１のルックアップデータ１２９は、アクション１１５としてのより攻撃的なアクションの選択のために満たすべき第１の基準を示す。脅威報告解析装置１５０は、第１の基準が満たされているという決定に基づいて、インジケータ１０３と関係するプロキシトラフィック及び電子メールトラフィックを遮断すること、及び、インジケータ１０３と関係があるプロキシトラフィック、電子メールトラフィック、リバースプロキシ（ＲＰ：ｒｅｖｅｒｓｅ  ｐｒｏｘｙ）トラフィック、バーチャルプライベートネットワーク（ＶＰＮ：ｖｉｒｔｕａｌ  ｐｒｉｖａｔｅ  ｎｅｔｗｏｒｋ）トラフィック、及び外部のウェブログを監視することがアクション１１５に含まれるように設定する。
【００８０】
第２の例５２０では、属性の値５５０は、属性１０５には、第１の値（例えば、ドメイン名（Ｄｏｍａｉｎ  Ｎａｍｅ））を有するインジケータの種類２３３と、第２の値（例えば、１００）を有する内部でのヒット数２３７と、第３の値（例えば、０４／２０１６）を有する直近の内部ヒット日２３９と、第４の値（例えば、５．８）を有する信頼性スコア１０７と、第５の値（例えば、７．５）を有する影響スコア１０９とが含まれることを示している。第２の例５２０では、脅威報告解析装置１５０は、内部でのヒット数２３７の第２の値（例えば、１００）が、当該第２の値が閾値「内部でのヒット数」（例えば、１０）よりも大きいためビジネスへの大きな影響を示すと決定し、第３の値（例えば、０４／２０１６）が、当該第３の値がヒット数閾値の日付より前のもの（例えば、１年以上前）であるためビジネスへの小さな影響を示すと決定する。脅威報告解析装置１５０は、第２の値及び第３の値に基づいて、インジケータ１０３に関連するアクション１１５は、ビジネスへの潜在的な影響が中程度であると決定する。脅威報告解析装置１５０は、図３の範囲３８０に基づいて、信頼性スコア１０７の第４の値（例えば、５．８）が評定３９８（例えば、評定「低」）に対応すると決定し、及び、図４の範囲４８０に基づいて、影響スコア１０９の第５の値（例えば、７．５）が評定４９８（例えば、評定「中」）に対応すると決定する。
【００８１】
特定の態様において、脅威報告解析装置１５０は、第２の基準が満たされているという決定に基づいて、中程度に攻撃的なアクションをアクション１１５として選択する。特定の実行形態において、脅威報告解析装置１５０は、アクション１１５のビジネスへの潜在的な影響が中程度であり、信頼性スコア１０７（例えば、５．８）が閾値「信頼性」を満たせず（例えば、６．０未満）、影響スコア１０９（例えば、７．５）が閾値「影響」を満たし（例えば、６．０より大きく又は６．０と等しい）、又はこれらの組み合わせであるという決定に応じて、第２の基準が満たされていると決定する。他の実行形態において、脅威報告解析装置１５０は、アクション１１５のビジネスへの潜在的な影響が中程度であり、及び影響スコア１０９（例えば、７．５）が閾値「影響」を満たす（例えば、６．０より大きく又は６．０と等しい）という決定に応じて、第２の基準が満たされていると決定する。特定の実行形態において、図１のルックアップデータ１２９が、アクション１１５としての中程度に攻撃的なアクションの選択のために満たすべき第２の基準を示す。脅威報告解析装置１５０は、第２の基準が満たされているという決定に基づいて、インジケータ１０３と関係があるプロキシトラフィックを遮断すること、及び、インジケータ１０３と関係があるプロキシトラフィック、電子メールトラフィック、ＲＰ（ｒｅｖｅｒｓｅ  ｐｒｏｘｙ）トラフィック、バーチャルプライベートネットワーク（ＶＰＮ：ｖｉｒｔｕａｌ  ｐｒｉｖａｔｅ  ｎｅｔｗｏｒｋ）トラフィック、及び外部のウェブログを監視することがアクション１１５に含まれるように設定する。
【００８２】
第３の例５３０において、属性の値５６０は、属性１０５には、第１の値（例えば、ＩＰｖ４アドレス（ＩＰｖ４  Ａｄｄｒｅｓｓ））を有するインジケータの種類２３３と、第２の値（例えば、１０，０００）を有する内部でのヒット数２３７と、第３の値（例えば、２日前）を有する直近の内部ヒット日２３９と、第４の値（例えば、２．８）を有する信頼性スコア１０７と、第５の値（例えば、１．７）を有する影響スコア１０９とが含まれることを示している。第３の例５３０において、脅威報告解析装置１５０は、内部でのヒット数２３７の第２の値（例えば、１０，０００）が、当該第２の値が閾値「内部でのヒット数」（例えば、１０）よりも大きいためビジネスへの大きな影響を示すと決定し、第３の値（例えば、２日前）が、当該第３の値がヒット数閾値の日付（例えば、１週間前）より後であるためビジネスへの大きな影響を示すと決定する。脅威報告解析装置１５０は、第２の値及び第３の値に基づいて、インジケータ１０３と関係があるアクション１１５のビジネスへの潜在的な影響は大きいと決定する。
【００８３】
特定の態様において、脅威報告解析装置１５０は、第３の基準が満たされているという決定に応じて、非攻撃的なアクションをアクション１１５として選択する。特定の実行形態において、脅威報告解析装置１５０は、アクション１１５のビジネスへの潜在的な影響が大きく、信頼性スコア１０７（例えば、２．８）が閾値「信頼性」を満たせず（例えば、６．０未満）、影響スコア１０９（例えば、１．７）が閾値「影響」を満たせず（例えば、６．０未満）、又はこれらの組み合わせという決定に応じて、第３の基準が満たされていると決定する。特定の実行形態において、図１のルックアップデータ１２９が、アクション１１５としての非攻撃的なアクションの選択のために満たすべき第３の基準を示す。脅威報告解析装置１５０は、第３の基準が満たされているという決定に応じて、行うべきアクションが無いことを示すようにアクション１１５が設定する。他の例において、脅威報告解析装置１５０は、第３の基準が満たされているという決定に応じて、インジケータ１０３と関係があるプロキシトラフィック、電子メールトラフィック、ＲＰ（ｒｅｖｅｒｓｅ  ｐｒｏｘｙ）トラフィック、バーチャルプライベートネットワーク（ＶＰＮ：ｖｉｒｔｕａｌ  ｐｒｉｖａｔｅ  ｎｅｔｗｏｒｋ）トラフィック、及び外部のウェブログを監視することを含むようにアクション１１５を設定する。特定の実行形態において、脅威報告解析装置１５０は、第３の基準が満たされているという決定に応じて、攻撃的又は中程度に攻撃的なアクションをアクション１１５として選択し、ユーザ要求に応じて実施されるアクションの第１のアクションキュー（例えば、アクションキュー１１９）に、アクション１１５を追加する。
【００８４】
図５に含まれる例は例示的なものであり、限定するものとして意図されていないと解されたい。脅威報告解析装置１５０は、インジケータ１０３と関係がある様々な属性に基づいて実施される様々なアクションを選択することが可能である。図１〜図５に関して様々な閾値を説明してきたが、システム１００は、属性１０５の特定の属性に対応する複数の閾値を含みうる。
【００８５】
図６は、ネットワークへの脅威のインジケータの抽出及び応答方法６００のフローチャートである。方法６００は、図１の脅威報告解析装置１５０、第１の装置１４０、又はシステム１００の１つ以上によって実施することが可能である。
【００８６】
方法６００は、６０２において、ネットワーク脅威報告を受信することを含む。例えば、図１の脅威報告解析装置１５０は、図１を参照して記載したように、ネットワーク脅威報告１０１を受信する。
【００８７】
方法６００はまた、６０４において、ネットワーク脅威報告からインジケータを抽出することを含む。例えば、図１の脅威報告解析装置１５０は、ネットワーク脅威報告１０１からインジケータ１０３を抽出する。インジケータ１０３は、ネットワークへの脅威と関係があると報告されている。
【００８８】
方法６００は、６０６において、ネットワーク脅威報告からインジケータと関係がある属性を抽出することを含みうる。例えば、図１の脅威報告解析装置１５０は、図１〜図２を参照して記載したように、インジケータの種類２３３、脅威の種類２１１、攻撃の種類２０９、登録日２４２、最初に発見された日付２０１、最後に発見された日付２０３、最初に報告された日付２２７、最後に報告された日付２２９、第１のソース（例えば、第２の装置１２４）のソース評判スコア２２３、ディスクリプションキーワード２１３、キルチェーンフェーズ２０７、帰属識別子２１７、帰属信頼度２１９、又はこれらの組み合わせを、ネットワーク脅威報告１０１から抽出する。
【００８９】
代替的又は追加的に、方法６００は、６０８において、インジケータと関係がある属性を決定することを含みうる。例えば、図１の脅威報告解析装置１５０は、図１〜図２を参照して記載したように、報告量２０５、偽陽性率２４４、又は両方を決定する。
【００９０】
方法６００は６１０において、インジケータに基づいて、インジケータが悪意のある行為と関係がある可能性を示す信頼性スコアを決定することをさらに含む。例えば、図１の脅威報告解析装置１５０は、図１〜図３を参照してさらに記載したように、インジケータ１０３に基づいて信頼性スコア１０７を決定する。例を挙げると、脅威報告解析装置１５０は、図１〜図３を参照してさらに記載したように、インジケータの種類２３３、脅威の種類２１１、攻撃の種類２０９、登録日２４２、最初に発見された日付２０１、最後に発見された日付２０３、最初に報告された日付２２７、最後に報告された日付２２９、第１のソース（例えば、第２の装置１２４）のソース評判スコア２２３、ディスクリプションキーワード２１３、キルチェーンフェーズ２０７、帰属識別子２１７、帰属信頼度２１９、報告量２０５、又は、偽陽性率２４４の少なくとも１つに基づいて、信頼性スコア１０７を決定する。信頼性スコア１０７は、インジケータ１０３が悪意のある行為と関係がある可能性を示す。
【００９１】
方法６００はまた、６１２において、インジケータに基づいて、悪意のある行為の潜在的な深刻度を示す影響スコアを決定することを含む。例えば、図１の脅威報告解析装置１５０は、図１〜図４を参照してさらに記載したように、インジケータ１０３に基づいて影響スコア１０９を決定する。例を挙げると、図１、図２、及び図４を参照して記載したように、脅威報告解析装置１５０は、インジケータの種類２３３、脅威の種類２１１、攻撃の種類２０９、登録日２４２、最初に発見された日付２０１、最後に発見された日付２０３、最初に報告された日付２２７、最後に報告された日付２２９、第１のソース（例えば、第２の装置１２４）のソース評判スコア２２３、ディスクリプションキーワード２１３、キルチェーンフェーズ２０７、帰属識別子２１７、帰属信頼度２１９、報告量２０５、又は、偽陽性率２４４の少なくとも１つに基づいて、影響スコア１０９を決定する。影響スコア１０９は、悪意のある行為の潜在的な深刻度を示す。
【００９２】
方法６００は、６１４において、インジケータ、信頼性スコア、及び影響スコアに基づいて、実施すべきアクションを特定することをさらに含む。例えば、図１の脅威報告解析装置１５０は、図１を参照してさらに記載したように、インジケータ１０３、信頼性スコア１０７、及び影響スコア１０９に基づいてアクション１１５を特定する。アクション１１５には、図１〜図５を参照して記載したように、インジケータ１０３に対応するネットワークトラフィックを遮断すること、インジケータ１０３に対応するネットワークトラフィックを監視すること、又はその両方が含まれる。
【００９３】
方法６００はまた、６１６において、アクション１１５の実施を開始することを含む。例えば、図１の脅威報告解析装置１５０は、図１を参照して記載したように、アクション１１５の実施を開始する。例を挙げると、脅威報告解析装置１５０は、アクション１１５を実施すべきであることを示すユーザ入力に依存せずに（ユーザ入力が無い状態で）、アクション１１５を実施することが可能である。
【００９４】
このように、方法６００によって、インジケータ１０３に対応するアクション１１５を、インジケータ１０３が悪意のある行為と関係がある可能性及び悪意のある行為の潜在的な深刻度に基づいて特定することが可能となる。アクション１１５は、アクション１１５を実施すべきであるというユーザ入力を受信せずに実施することが可能である。アクション１１５をより早期に実施することで、対応する悪意のある行為の防止が可能となる。
【００９５】
図７は、本開示に係るコンピュータで実現される方法及びコンピュータで実行可能なプログラム命令（又はコード）の態様を支持するよう構成された計算装置７１０を含む、計算環境７００のブロック図を示している。例えば、計算装置７１０又はその一部は、図１〜図６を参照して記載した１つ以上の操作を開始、実施、又は制御するために命令を実行するよう構成される。
【００９６】
計算装置７１０は送受信機７２２を含む。送受信機７２２には、送信アンテナ７０４及び受信アンテナ７０８が含まれる。計算装置７１０はプロセッサ７２０を含む。特定の態様において、プロセッサ７２０は、脅威報告解析装置１５０を含む。プロセッサ７２０は、システムメモリ７３０、１つ以上の記憶装置７４０、１つ以上の入力／出力インタフェース７５０、１つ以上の通信インタフェース７６０、又はこれらの組み合わせと通信するよう構成される。システムメモリ７３０は、揮発性記憶装置（例えばランダムアクセスメモリ（ＲＡＭ：ｒａｎｄｏｍ  ａｃｃｅｓｓ  ｍｅｍｏｒｙ）デバイス）、不揮発性記憶装置（例えば、読み出し専用メモリ（ＲＯＭ：ｒｅａｄ−ｏｎｌｙ  ｍｅｍｏｒｙ）デバイス、プログラマブル読み出し専用メモリ、及びフラッシュメモリ）、又はその両方を含みうる。システムメモリ７３０は、計算装置ス７１０をブート処理するための基本入力／出力システムを含みうるオペレーティングシステム７３２と共に、計算装置７１０がユーザ、他のプログラム、及び他の装置と相互作用することを可能にするための、フルオペレーティングシステムを含む。システムメモリ７３０には、システム（プログラム）データ７３６が格納される。特定の態様において、図１のメモリ１４２は、システムメモリ７３０、１つ以上の記憶装置７４０、又は、これらの組み合わせを含む。
【００９７】
システムメモリ７３０は、プロセッサ７２０によって実行可能な１つ以上のアプリケーション７３４を含む。一例として、１つ以上のアプリケーション７３４には、図１〜図６を参照して記載した１つ以上の操作を開始、制御、又は実施するためにプロセッサ７２０によって実行可能な命令が含まれる。例を挙げると、１つ以上のアプリケーション７３４には、脅威報告解析装置１５０を参照しながら記載した１つ以上の操作を開始、制御、又は実施するためにプロセッサ７２０により実行可能な命令が含まれる。
【００９８】
プロセッサ７２０は複数の記憶装置７４０と通信するよう構成される。例えば、１つ以上の記憶装置７４０は、磁気ディスク、光ディスク、又はフラッシュメモリデバイスといった不揮発性記憶装置を含む。特定の例において、記憶装置７４０は、取り外し可能な記憶装置と取り外し不可な記憶装置の両方を含む。記憶装置７４０は、オペレーティングシステム、オペレーティングシステムの画像、アプリケーション、及びプログラムデータを格納するよう構成される。ある特定の態様において、システムメモリ７３０、記憶装置７４０、又はその両方が有形のコンピュータ読取可能な媒体を含む。特定の態様において、１つ以上の記憶装置７４０は、計算装置７１０の外部に存在する。
【００９９】
プロセッサ７２０は、ユーザとの相互作用を促進するために、計算装置７１０が１つ以上の入力／出力デバイス７７０と通信することを可能にする１つ以上の入力／出力インタフェース７５０と通信するよう構成される。特定の態様において、出力／入力インタフェース７５０は、図１の入力インタフェース１４４、出力インタフェース１４８、又は両方を含む。プロセッサ７２０は、入力／出力インタフェース７５０を介して受信されたユーザ入力に基づいて、相互作用イベントを検出するよう構成される。加えて、プロセッサ７２０は、入力／出力インタフェース７５０を介して、図１の表示装置１２２に表示を送信するよう構成される。プロセッサ７２０は、１つ以上の通信インタフェース７６０を介して、装置又はコントローラ７８０と通信するよう構成される。例えば、１つ以上の通信インタフェース７６０は、図１の通信インタフェース１４６を備える。図示される例において、非一過性のコンピュータ読取可能な記憶媒体（例えば、システムメモリ７３０）は、プロセッサ（例えば、プロセッサ７２０）によって実行されるとプロセッサに操作を開始、実施、制御させる命令を含む。上記の操作には、図１〜図６を参照して記載した１つ以上の操作が含まれる。
【０１００】
さらに、本発明は、以下の条項による実施形態を含む。
【０１０１】
条項１．ネットワーク脅威報告を受信するよう構成された通信インタフェースと、
プロセッサであって、
ネットワークへの脅威と関係があると報告されたインジケータをネットワーク脅威報告から抽出し、
インジケータに基づいて、インジケータが悪意のある行為と関係がある可能性を示す信頼性スコアを決定し、
インジケータに基づいて、悪意のある行為の潜在的な深刻度を示す影響スコアを決定し、
インジケータ、信頼性スコア、及び影響スコアに基づいて、実施すべきアクションを特定し、アクションはインジケータに対応するネットワークトラフィックを遮断すること又はインジケータに対応するネットワークトラフィックを監視することを含み、
アクションの実施を開始する
よう構成されたプロセッサと、
を備えた装置。
【０１０２】
条項２．インジケータが、インターネットプロトコル（ＩＰ：ｉｎｔｅｒｎｅｔ  ｐｒｏｔｏｃｏｌ）アドレス、電子メールアドレス、電子メールの件名、ドメイン名、ユーアールアイ（ＵＲＩ：ｕｎｉｆｏｒｍ  ｒｅｓｏｕｒｃｅ  ｉｄｅｎｔｉｆｉｅｒ）、ユーアールエル（ＵＲＬ：ｕｎｉｆｏｒｍ  ｒｅｓｏｕｒｃｅ  ｌｏｃａｔｏｒ）、ファイル名、メッセージダイジェストアルゴリズム５（ＭＤ５：ｍｅｓｓａｇｅ  ｄｉｇｅｓｔ  ａｌｇｏｒｉｔｈｍ  ５）ハッシュ値、ファイルパス、又は、これらの組み合わせを含む、条項１に記載の装置。
【０１０３】
条項３．信頼性スコアが、インジケータと関係がある１つ以上の属性に基づいており、１つ以上の属性は、最初に発見された日付、最後に発見された日付、インジケータの年齢、登録日、最初に報告された日付、最後に報告された日付、報告源、ソース評判スコア、報告量、帰属信頼度、特定のキーワード、又は、偽陽性率を含む、条項１又は２に記載の装置。
【０１０４】
条項４．影響スコアが、インジケータと関係がある１つ以上の属性に基づいており、１つ以上の属性は、インジケータの種類、報告量、キルチェーンフェーズ、脅威の種類、攻撃の種類、特定のキーワード、又は、帰属識別子を含む、条項１から３のいずれか一項に記載の装置。
【０１０５】
条項５．プロセッサが、応答キューの或る位置にインジケータを追加するようさらに構成され、或る位置は、信頼性スコア及び影響スコアに基づいている、条項１から４のいずれか一項に記載の装置。
【０１０６】
条項６．表示装置に接続されるよう構成された出力インタフェースをさらに備え、
プロセッサが、アクションの実施を開始する前に、
応答キューにおけるインジケータの或る位置を示すグラフィカルユーザインタフェース（ＧＵＩ：ｇｒａｐｈｉｃａｌ  ｕｓｅｒ  ｉｎｔｅｒｆａｃｅ）を、応答キューに基づいて生成し、
出力インタフェースを介して表示装置へとＧＵＩを提供する
ようさらに構成される、条項５に記載の装置。
【０１０７】
条項７．装置においてネットワーク脅威報告を受信すること、
装置において、ネットワーク脅威と関係があると報告されたインジケータをネットワーク脅威報告から抽出すること、
インジケータに基づいて、インジケータが悪意のある行為と関係がある可能性を示す信頼性スコアを決定すること、
インジケータに基づいて、悪意のある行為の潜在的な深刻度を示す影響スコアを決定すること、
インジケータ、信頼性スコア、及び影響スコアに基づいて、実施すべきアクションを特定することであって、アクションはインジケータに対応するネットワークトラフィックを遮断すること又はインジケータに対応するネットワークトラフィックを監視することを含む、アクションを特定すること、及び
装置において、アクションの実施を開始すること
を含む方法。
【０１０８】
条項８．インジケータが、インターネットプロトコル（ＩＰ：ｉｎｔｅｒｎｅｔ  ｐｒｏｔｏｃｏｌ）アドレス、ウィルスシグネチャ、電子メールアドレス、電子メールの件名、ドメイン名、ユーアールアイ（ＵＲＩ：ｕｎｉｆｏｒｍ  ｒｅｓｏｕｒｃｅ  ｉｄｅｎｔｉｆｉｅｒ）、ユーアールエル（ＵＲＬ：ｕｎｉｆｏｒｍ  ｒｅｓｏｕｒｃｅ  ｌｏｃａｔｏｒ）、ファイル名、メッセージダイジェストアルゴリズム５（ＭＤ５：ｍｅｓｓａｇｅ  ｄｉｇｅｓｔ  ａｌｇｏｒｉｔｈｍ  ５）ハッシュ値、ファイルパス、又は、これらの組み合わせを含む、条項７に記載の方法。
【０１０９】
条項９．信頼性スコア及び影響スコアが、インジケータと関係がある１つ以上の属性に基づいている、条項７又は８に記載の方法。
【０１１０】
条項１０．ネットワーク脅威報告に基づいて、インジケータと関係がある属性を決定することをさらに含み、属性は、インジケータの種類、脅威の種類、攻撃の種類、最初に発見された日付、最後に発見された日付、最初に報告された日付、最後に報告された日付、報告源、特定のキーワード、キルチェーンフェーズ、帰属識別子、又は、帰属信頼度を含み、信頼性スコア又は影響スコアの少なくとも１つは、属性に基づいている、条項７から９のいずれか一項に記載の方法。
【０１１１】
条項１１．インジケータと関係がある属性を決定することをさらに含み、属性は、報告量又は偽陽性率を含み、報告量は、インジケータが悪意のある行為と関係があることを示す報告の総数を含み、偽陽性率は、インジケータが悪意のない行為と関係があるとして検出された第１の回数と、インジケータが悪意のある行為と関係があるとして検出された第２の回数とに基づいており、信頼性スコア又は影響スコアの少なくとも１つは、属性に基づいている、条項７から１０のいずれか一項に記載の方法。
【０１１２】
条項１２．信頼性スコアが、インジケータと関係がある１つ以上の属性に基づいており、１つ以上の属性は、最初に発見された日付、最後に発見された日付、インジケータの年齢、最初に報告された日付、最後に報告された日付、報告源、ソース評判スコア、報告量、帰属信頼度、特定のキーワード、又は、偽陽性率を含む、条項７から１１のいずれか一項に記載の方法。
【０１１３】
条項１３．影響スコアが、インジケータと関係がある１つ以上の属性に基づいており、１つ以上の属性は、インジケータの種類、報告量、キルチェーンフェーズ、脅威の種類、攻撃の種類、特定のキーワード、又は、帰属識別子を含む、条項７から１２のいずれか一項に記載の方法。
【０１１４】
条項１４．装置において、応答キューにおける或る位置にインジケータを追加することをさらに含み、或る位置は、信頼性スコア及び影響スコアに基づいている、条項７から１３のいずれか一項に記載の方法。
【０１１５】
条項１５．アクションの実施を開始する前に、
装置において、応答キューにおけるインジケータの或る位置を示すグラフィカルユーザインタフェース（ＧＵＩ：ｇｒａｐｈｉｃａｌ  ｕｓｅｒ  ｉｎｔｅｒｆａｃｅ）を、応答キューに基づいて生成すること、及び
装置から表示装置へとＧＵＩを提供すること
をさらに含む、条項１４に記載の方法。
【０１１６】
条項１６．装置において、アクションを示すグラフィカルユーザインタフェース（ＧＵＩ：ｇｒａｐｈｉｃａｌ  ｕｓｅｒ  ｉｎｔｅｒｆａｃｅ）を生成すること、及び
装置から表示装置へとＧＵＩを提供すること
をさらに含み、
アクションの実施が、アクションを実施すべきであることを示すユーザ入力の受信に応じて開始される、条項７に記載の方法。
【０１１７】
条項１７．アクションの実施を開始することが、アクションの実施の予定を立てることを含み、方法が、
装置において、アクションを示すグラフィカルユーザインタフェース（ＧＵＩ：ｇｒａｐｈｉｃａｌ  ｕｓｅｒ  ｉｎｔｅｒｆａｃｅ）を生成すること、
装置から表示装置へとＧＵＩを提供すること、及び
アクションを実施すべきでないことを示すユーザ入力の受信に応じて、アクションの実施を取り消すこと
をさらに含む、条項７から１６のいずれか一項に記載の方法。
【０１１８】
条項１８．アクションの実施を開始することが、ユーザ入力の受信に依存せずにアクションを実施することを含む、条項７から１７のいずれか一項に記載の方法。
【０１１９】
条項１９．命令が格納されたコンピュータ読取可能な記憶装置であって、この命令は、プロセッサによって実行されると、
ネットワーク脅威報告を受信すること、
ネットワークへの脅威と関係があると報告されたインジケータをネットワーク脅威報告から抽出すること、
インジケータに基づいて、インジケータが悪意のある行為と関係がある可能性を示す信頼性スコアを決定すること、
インジケータに基づいて、悪意のある行為の潜在的な深刻度を示す影響スコアを決定すること、
インジケータ、信頼性スコア、及び影響スコアに基づいて、実施すべきアクションを特定することであって、アクションはインジケータに対応するネットワークトラフィックを遮断すること又はインジケータに対応するネットワークトラフィックを監視することを含む、アクションを特定すること、及び
アクションの実施を開始すること
を含む操作をプロセッサに実施させる、コンピュータ読取可能な記憶装置。
【０１２０】
条項２０．操作が、インジケータと関係がある属性をネットワーク脅威報告から抽出することをさらに含み、信頼性スコア又は影響スコアの少なくとも１つが属性に基づいており、属性は、インジケータの種類、脅威の種類、攻撃の種類、登録日、最初に発見された日付、最後に発見された日付、最初に報告された日付、最後に報告された日付、報告源、特定のキーワード、キルチェーンフェーズ、帰属識別子、又は、帰属信頼度を含む、条項１９に記載のコンピュータ読取可能な記憶装置。
【０１２１】
上述の実施形態は例示的なものであり、本開示を限定するものではない。本発明の開示の原則による複数の修正例及び変形例が可能であることを理解されたい。
【０１２２】
本明細書に記載された実施例の例示は、様々な実行形態の構造の概略的な理解をもたらすことが意図されている。これらの例示は、本明細書に記載された構造又は方法を利用する装置及びシステムの全ての要素及び特徴を網羅的に説明することは意図されていない。本開示を精査することで、当業者には、他の多くの実行形態が明らかになり得る。本開示の範囲から逸脱せずに構造的且つ論理的な置換及び変更を行うことができるように、他の実行形態を利用し、他の実行形態を本開示から引き出すことができる。例えば、図面に示す順序とは異なる順序で方法動作を実行してもよく、或いは、１つ又は複数の方法動作を省略してもよい。したがって、本開示及び図面は、限定的というよりは、むしろ例示的なものと見なすべきである。
【０１２３】
更に、本明細書では具体例を図示し、説明してきたが、同じ又は類似した結果を実現するよう設計された後発の構成であれば、図示されている具体的な実行形態を置換しうることを、認識すべきである。この開示は、様々な実行形態のあらゆる後発の適合例又は変形例を対象とすることを意図している。上記の実行形態の組み合わせ、及び、本明細書には具体的に記載していない他の実行形態が、本明細書の記載を精査することで当業者に明らかになろう。
【０１２４】
本開示の「要約書」は、それが、特許請求の範囲又は意味を解釈するか又は限定するために使用されるわけではないとの理解のもとに、提出されるものである。加えて、上記の「発明を実施するための形態」においては、本開示を分かりやすくする目的で、様々な特徴が、グループ化されること、又は、単一の実行形態において説明されていることがある。上述の例は、本開示を例示しているのであって、限定しているわけではない。本開示の原理にしたがって多数の修正例及び変形例が実現可能であることも、理解すべきである。以下の特許請求の範囲に反映されているように、特許請求される主題は、開示されている例のいずれかの全ての特徴を対象としているわけではない場合がある。したがって、本開示の範囲は、以下の特許請求の範囲及びその均等物によって規定される。
【図１】
2020035424.tif 000003
【図２】
2020035424.tif 000004
【図３】
2020035424.tif 000005
【図４】
2020035424.tif 000006
【図５】
2020035424.tif 000007
【図６】
2020035424.tif 000008
【図７】
2020035424.tif 000009
【外国語明細書】
2020035424000001.pdf
2020035424000002.pdf
2020035424000003.pdf
2020035424000004.pdf