(57)【要約】【課題】  コンピュータネットワークにおける正確で効率的な攻撃経路を予測する。【解決手段】  攻撃経路予測システムは、コンピュータネットワークで攻撃されたソースノードに関連付けられた静的および動的データと、ソースノードから到達可能な１つ以上のターゲットノードに関連付けられた１つ以上の脆弱性の静的および動的リスク属性を受信する。尤度スコアは、静的および動的リスク属性に基づいて、ソースノードに関連付けられた１つまたは複数の脆弱性に関連して、１つまたは複数のターゲットノードに関連付けられた１つまたは複数の脆弱性ごとに計算される。さらに、予測スコアは、対応する尤度スコアと静的および動的リスク属性に基づいて、ターゲットノードに関連付けられた１つ以上の脆弱性のそれぞれについて計算される。その後、予測スコアに基づいて、ソースノードと１つまたは複数のターゲットノード間の攻撃経路が予測される。【選択図】  図１
2020155098.tif 000002
【特許請求の範囲】
【請求項１】
複数の接続されたノードを含むコンピュータネットワークにおける攻撃経路を予測する方法であって、
攻撃経路予測システムにより、攻撃検知システムから前記コンピュータネットワークにおいて攻撃されたソースノードに関連する静的および動的データを受信し、前記静的および動的データは、前記ソースノードに関する情報と、前記ソースノードに関連付けられた脆弱性であり、
前記攻撃経路予測システムにより、前記コンピュータネットワークの前記ソースノードから到達可能な１つ以上のターゲットノードに関連付けられた脆弱性の静的および動的リスク属性を取得し、
前記攻撃経路予測システムにより、前記静的および動的リスク属性に基づいて前記ソースノードに関連付けられた１つ以上の脆弱性のそれぞれに関連して、前記ターゲットノードに関連付けられた脆弱性のそれぞれの尤度スコアを計算し、
前記攻撃経路予測システムにより、対応する前記尤度スコアと前記静的および動的リスク属性に基づいて、１つまたは複数の前記ターゲットノードに関連付けられた１つまたは複数の脆弱性のそれぞれの予測スコアを計算し、
前記攻撃経路予測システムにより、前記予測スコアに基づいて、前記ソースノードと前記コンピュータネットワーク内の１つ以上の前記ターゲットノードとの間の攻撃経路を予測する、
ことを特徴とする攻撃経路を予測する方法。
【請求項２】
請求項１に記載の攻撃経路を予測する方法において、
前記静的および動的リスク属性の静的リスク属性は、所定の共通脆弱性スコアリングシステムスコア（ＣＶＳＳ）を含む、
ことを特徴とする攻撃経路を予測する方法。
【請求項３】
請求項１に記載の攻撃経路を予測する方法において、
前記動的リスク属性は、相関スコア、攻撃者のスキル指標、およびノードへのトポロジー的影響を含む、
ことを特徴とする攻撃経路を予測する方法。
【請求項４】
請求項１に記載の攻撃経路を予測する方法において、
前記尤度スコアが、対応する相関スコアおよび共通脆弱性スコアリングシステムスコア（ＣＶＳＳ）に基づいて計算される、
ことを特徴とする攻撃経路を予測する方法。
【請求項５】
請求項４に記載の攻撃経路を予測する方法において、
前記相関スコアは、前記ソースノードに関連付けられた脆弱性と１つ以上の前記ターゲットノードのそれぞれに関連付けられた脆弱性との間に共通する攻撃意図の数と、前記ソースノードに関連付けられた脆弱性の攻撃意図の総数に基づいて計算される、
ことを特徴とする攻撃経路を予測する方法。
【請求項６】
請求項１に記載の攻撃経路を予測する方法において、
前記予測スコアが、対応する前記尤度スコアおよび対応する共通脆弱性スコアリングシステムスコア（ＣＶＳＳ）に基づいて計算される、
ことを特徴とする攻撃経路を予測する方法。
【請求項７】
請求項１に記載の攻撃経路を予測する方法において、
前記予測スコアに基づいて、前記コンピュータネットワークにおいて攻撃経路グラフを生成することをさらに含む、
ことを特徴とする攻撃経路を予測する方法。
【請求項８】
コンピュータネットワークにおける攻撃経路を予測するための攻撃経路予測システムにおいて、
プロセッサと、
前記プロセッサに通信可能に結合されたメモリと、を有し、前記メモリは、実行時に前記プロセッサに以下を行わせるプロセッサ命令を格納する、
攻撃検出システムから、前記コンピュータネットワークで攻撃されたソースノードに関連付けられた静的および動的データを受信し、前記静的および動的データは、前記ソースノードおよび前記ソースノードに関連付けられた脆弱性に関する情報を含むものであり、
前記コンピュータネットワークの前記ソースノードから到達可能な１つ以上のターゲットノードに関連付けられた１つ以上の脆弱性の静的および動的リスク属性を取得し、
前記静的および動的リスク属性に基づいて、前記ソースノードに関連付けられた１つまたは複数の脆弱性のそれぞれに関連して、前記ターゲットノードに関連付けられた１つまたは複数の脆弱性のそれぞれの尤度スコアを計算し、
対応する前記尤度スコアと前記静的および動的リスク属性に基づいて、１つまたは複数の前記ターゲットノードに関連付けられた１つまたは複数の脆弱性のそれぞれの予測スコアを計算し、
前記予測スコアに基づいて、前記コンピュータネットワーク内の前記ソースノードと１つまたは複数の前記ターゲットノード間の攻撃経路を予測する
ことを特徴とする攻撃経路予測システム。
【請求項９】
請求項８に記載の攻撃経路予測システムにおいて、
前記静的および動的リスク属性の静的リスク属性は、事前定義された共通脆弱性スコアリングシステムスコア（ＣＶＳＳ）を含む、
ことを特徴とする攻撃経路予測システム。
【請求項１０】
請求項８に記載の攻撃経路予測システムにおいて、
前記動的リスク属性は、相関スコア、攻撃者スキル指標、およびノードへのトポロジー的影響を含む
ことを特徴とする攻撃経路予測システム。
【請求項１１】
請求項８に記載の攻撃経路予測システムにおいて、
前記プロセッサは、対応する相関スコアおよび共通脆弱性スコアリングシステムスコアに基づいて、前記１つまたは複数の脆弱性のそれぞれの尤度スコアを計算する、
ことを特徴とする攻撃経路予測システム。
【請求項１２】
請求項１１に記載の攻撃経路予測システムにおいて、
前記プロセッサは、前記相関スコアを、前記ソースノードに関連付けられた脆弱性と、１つ以上の前記ターゲットノードのそれぞれに関連付けられた脆弱性との間に共通する攻撃意図の数と、前記ソースノードに関連付けられた脆弱性の攻撃意図の総数に基づいて計算する
ことを特徴とする攻撃経路予測システム。
【請求項１３】
請求項８に記載の攻撃経路予測システムにおいて、
前記プロセッサは、対応する前記尤度スコアおよび対応する共通脆弱性スコアリングシステムスコア（ＣＶＳＳ）に基づいて、１つ以上の脆弱性のそれぞれについて前記予測スコアを計算する、ことを特徴とする攻撃経路予測システム。
【請求項１４】
請求項８に記載の攻撃経路予測システムにおいて、
前記プロセッサは、前記予測スコアに基づいて、前記コンピュータネットワークにおいて攻撃経路グラフを生成する、
ことを特徴とする攻撃経路予測システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般にネットワークセキュリティに関し、より詳細には、コンピュータネットワーク内の攻撃経路を予測するための技術に関する。
【背景技術】
【０００２】
今日、インターネット、ネットワーク、およびソフトウェアのセキュリティを含むサイバーセキュリティは、コンピュータ技術で最も急速に成長している分野の一つである。過去10年間で、侵入、攻撃、およびウイルスがより頻繁に広まり、情報セキュリティの必要性が認識されるようになった。ネットワーク侵入の増加に伴い、現在、ネットワークの専門家は、市場で利用可能な高度なレベルの悪用ツールに対抗するために、自分の知識レベルを改善しようとしている。
【０００３】
通常、ゲートウェイサーバを介したサイバー攻撃では、デバイスは、デバイスの既存の脆弱性を段階的なメカニズムで標的にすることによって攻撃される。ネットワークの第１層にあるネットワーク接続デバイス（第１層デバイスと呼ばれる）の脆弱性が攻撃され、第１層デバイスにアクセスする。最初の層のデバイスにアクセスできると、攻撃者はデバイスの２番目の到達可能な層をスキャンして、デバイスの２番目の層の脆弱性を検出しようとする。その後、攻撃者は第２層の脆弱性を悪用して、デバイスの第２層にアクセスしようとする。このようにして、攻撃者は標的デバイスに到達し、ネットワーク全体を悪用する。
【０００４】
一般に、各層では、攻撃者は攻撃するデバイスと、デバイスにアクセスするために悪用するデバイスの脆弱性を選択できる。このようにして、ターゲットデバイスが侵害された後に攻撃のパス(経路)が作成される。
【０００５】
従来のシステムは、脆弱性を関連付けて攻撃経路を予測しようとしている。
【発明の概要】
【発明が解決しようとする課題】
【０００６】
従来のシステムは、脆弱性を関連付けて攻撃経路を予測しようとするが、脆弱性と攻撃経路との相関関係は脆弱性の静的プロパティに基づいているため、正確で効率的な攻撃経路の識別ができない場合がある。
【０００７】
そこで、本発明は、コンピュータネットワークにおける正確で効率的な攻撃経路を予測するための方法およびシステムを提供することを目的とする。
【０００８】
背景技術で開示された情報は、本発明の一般的な背景の理解を高めるためのものにすぎず、この情報が当業者に既に知られている先行技術を形成するという承認または提案の形として解釈されるべきではない。
【０００９】
実施形態では、コンピュータネットワーク内の攻撃経路を予測する方法に関する場合がある。この方法は、コンピュータネットワークで攻撃されたソースノードに関連する静的および動的データを攻撃検出システムから受信することを含む。静的および動的データは、ソースノードに関する情報と、ソースノードに関連付けられた１つ以上の脆弱性で構成される。
【課題を解決するための手段】
【００１０】
上記目的を達成するため、実施形態では、コンピュータネットワーク内の攻撃経路を予測する方法に関する場合がある。この方法は、コンピュータネットワークで攻撃されたソースノードに関連する静的および動的データを攻撃検出システムから受信することを含む。静的および動的データは、ソースノードに関する情報と、ソースノードに関連付けられた１つ以上の脆弱性を含む。
【００１１】
この方法は、コンピュータネットワーク内のソースノードから到達可能な１つ以上のターゲットノードに関連する１つ以上の脆弱性の静的および動的リスク属性を取得することを含む。さらに、静的および動的リスク属性に基づいて、ソースノードに関連付けられた１つまたは複数の脆弱性のそれぞれに関連して、１つまたは複数のターゲットノードに関連付けられた１つまたは複数の脆弱性ごとに尤度スコアが計算される。この方法は、対応する尤度スコアおよび静的および動的リスク属性に基づいて、１つまたは複数のターゲットノードに関連付けられた１つまたは複数の脆弱性のそれぞれについて予測スコアを計算することを含む。その後、予測スコアに基づいて、ソースノードとコンピュータネットワーク内の１つ以上のターゲットノードの間の攻撃経路が予測される。
【００１２】
実施形態では、コンピュータネットワーク内の攻撃経路を予測するための攻撃経路予測システムに関する場合がある。攻撃経路予測システムは、複数のプロセッサと、プロセッサに通信可能に結合されたメモリを備えてもよい。メモリにはプロセッサ実行可能命令が格納されており、実行時に、攻撃経路予測システムは、コンピュータネットワークで攻撃されたソースノードに関連する静的および動的データを攻撃検出システムから受信する可能性がある。静的および動的データは、ソースノードに関する情報と、ソースノードに関連付けられた１つ以上の脆弱性を含む。
【００１３】
攻撃経路予測システムは、コンピュータネットワーク内のソースノードから到達可能な１つ以上のターゲットノードに関連付けられた１つ以上の脆弱性の静的および動的リスク属性を取得する。１つまたは複数のターゲットノードに関連付けられた１つまたは複数の脆弱性のそれぞれについて、攻撃経路予測システムは、静的および動的なリスク属性に基づいて、ソースノードに関連付けられた１つまたは複数の脆弱性のそれぞれに関する尤度スコアを計算する。攻撃経路予測システムは、対応する尤度スコアと静的および動的リスク属性に基づいて、１つまたは複数のターゲットノードに関連付けられた１つまたは複数の脆弱性のそれぞれについて予測スコアを計算する。その後、予測スコアに基づいて、攻撃経路予測システムは、ソースノードとコンピュータネットワーク内の１つ以上のターゲットノードとの間の攻撃経路を予測する。
【００１４】
前述の概要は例示のみを目的としており、決して限定することを意図したものではない。上記の例示的な態様、実施形態、および特徴に加えて、さらなる態様、実施形態、および特徴は、図面および以下の詳細な説明を参照することにより明らかになるであろう。
【発明の効果】
【００１５】
本発明によれば、コンピュータネットワークにおける正確で効率的な攻撃経路を予測することができる。また、それにより、ネットワークセキュリティ管理者/管理者がネットワークインフラストラクチャをより効果的に保護するのに役立つことができる。
【図面の簡単な説明】
【００１６】
【図１】本開示のいくつかの実施形態による、コンピュータネットワーク内の攻撃経路を予測するための例示的な環境を示す図。
【図２Ａ】本開示のいくつかの実施形態による、攻撃経路予測システムの詳細なブロック図。
【図２Ｂ】本開示のいくつかの実施形態による、ネットワーク内のネットワークノードの例示的な表現を示す図である。
【図２Ｃ】本開示のいくつかの実施形態による、尤度スコアの例示的な表現を示す図である。
【図２Ｄ】本開示のいくつかの実施形態による、それぞれ１つおよび２つの脆弱性の選択に関する攻撃経路を示すユーザインターフェースの例示的な表現を示す図である。
【図２Ｅ】本開示のいくつかの実施形態による、それぞれ１つおよび２つの脆弱性の選択に関する攻撃経路を示すユーザインターフェースの例示的な表現を示す図である。
【図３】本開示のいくつかの実施形態による、攻撃経路を予測するためのネットワークの例示的な表現を示す図である。
【図４】本開示のいくつかの実施形態による、コンピュータネットワーク内の攻撃経路を予測する方法を示すフローチャートを示す図である。
【図５】本開示と一致する実施形態を実施するための例示的なコンピュータシステムのブロック図である。
【図６】本開示のいくつかの実施形態による、ソースノードに関連する脆弱性に関する例示的な情報を表１として示す。
【図７】本開示のいくつかの実施形態による、ターゲットノードに関連する脆弱性に関する例示的な情報を表２として示す。
【図８】本開示のいくつかの実施形態による、脆弱性Ｖ１〜Ｖ６の定義済みCVSSスコアの例を表３として示す。
【図９】本開示のいくつかの実施形態による、攻撃の種類とSQLインジェクションの意図を表４として示す。
【図１０】本開示のいくつかの実施形態による、クロスサイトスクリプティングの攻撃タイプと意図の例を表５として示す。
【図１１】本開示のいくつかの実施形態による、CVSSスコアに基づく脆弱性の攻撃タイプの例を表６として示す。
【図１２】本開示のいくつかの実施形態による、ソースノードの脆弱性Ｖ１に関するターゲットノードの脆弱性（Ｖ４−Ｖ６）について計算された例示的な情報を表７として示す。
【図１３】本開示のいくつかの実施形態による、ソースノードの脆弱性Ｖ１に関するターゲットノードの脆弱性（Ｖ４−Ｖ６）について、計算された例示的な尤度スコアを、表８として示す。
【図１４】本開示のいくつかの実施形態による、ソースノードの脆弱性Ｖ１に関するターゲットノードの脆弱性（Ｖ４−Ｖ６）について、計算された例示的な予測スコアを、表９として示す。
【図１５Ａ】本開示のいくつかの実施形態による、尤度スコアを求める計算式（１）と、Ｖ５とＶ１の相関スコアの計算式（２）を示した図である。
【図１５Ｂ】本開示のいくつかの実施形態による、Ｖ１とＶ５の相関スコアを求める計算式（３）と、予測スコアを求める計算式（４）を示した図である。
【発明を実施するための形態】
【００１７】
本明細書の任意のブロック図は、本発明の原理を実施する例示的なシステムの概念図を表す。同様に、任意のフローチャート、フロー図、状態遷移図、擬似コードなどは、コンピュータ可読媒体で実質的に表され、そのようなコンピュータまたはプロセッサであるかどうかにかかわらず、コンピュータまたはプロセッサによって実行されるさまざまなプロセスを表すことが理解されようプロセッサが明示的に示されている。
【００１８】
本文書では、「例示的」という言葉は、「例、事例、または実例として役立つ」ことを意味するために本明細書で使用される。本明細書で「例示的」として説明される本主題の実施形態または実装は、必ずしも他の実施形態よりも好ましいまたは有利であると解釈されるべきではない。
【００１９】
本開示は様々な修正形態および代替形態の影響を受けやすいが、その特定の実施形態は、例として図面に示されており、以下で詳細に説明される。しかしながら、開示を開示された特定の形態に限定することを意図するものではなく、反対に、開示は、開示の範囲内にあるすべての修正、同等物、および代替を網羅することを理解されたい。
【００２０】
用語「含む」、またはその任意の他の変形は、コンポーネントまたはステップのリストを含むセットアップ、デバイスまたは方法がそれらのコンポーネントまたはステップのみを含まないように、非排他的包含をカバーすることを意図している。ただし、明示的にリストされていない、またはそのようなセットアップ、デバイス、または方法に固有の他のコンポーネントまたはステップが含まれる場合がある。言い換えると、「有する」で説明されるシステムまたは装置内の１つまたは複数の要素は、他の要素またはシステムまたは方法内の追加の要素の存在をさらに制約なく排除するものではない。
【００２１】
本開示の実施形態の以下の詳細な説明では、本明細書の一部を形成する添付の図面を参照し、本開示を実施することができる特定の実施形態を例示として示す。これらの実施形態は、当業者が本開示を実施できるように十分詳細に説明されており、他の実施形態が利用されてもよく、本開示の範囲から逸脱することなく変更がなされ得ることを理解されたい。したがって、以下の説明は、限定的な意味で解釈されるべきではない。
【００２２】
本開示の実施形態は、コンピュータネットワークにおける攻撃経路を予測するための方法および攻撃経路予測システムに関する。一実施形態では、攻撃経路は、ネットワークの脆弱性を悪用するために侵入者がコンピュータネットワークにアクセスするために使用する経路として定義されてもよい。一実施形態では、コンピュータネットワークは、広範囲のユーザ間での通信およびリソース共有を促進するために通信チャネルを介して互いにリンクされるコンピュータノード/デバイスおよび他のコンピューティングハードウェアデバイスのグループである。
【００２３】
通常、ソースノードと呼ばれるノードがコンピュータネットワークで攻撃されると、攻撃経路予測システムは、コンピュータネットワークに関連付けられた攻撃検出システムからソースノードの静的および動的データを受信する。一実施形態では、攻撃検出システムは、不審なアクティビティについてネットワークトラフィックを監視し、そのようなアクティビティの検出時にアラートを発行する侵入検出システムを指し得る。一実施形態では、静的および動的データは、ソースノードおよびソースノードに関連する１つまたは複数の脆弱性に関する情報を含む。
【００２４】
１つ以上のターゲットノードに関連付けられた１つ以上の脆弱性の尤度スコアは、ソースノードに関連付けられた１つ以上の脆弱性に関連して計算される。一実施形態では、１つまたは複数のターゲットノードは、コンピュータネットワーク内で後にターゲットにされ得るノードを指し得る。さらに、１つ以上の標的ノードに関連する１つ以上の脆弱性のそれぞれについての予測スコアが計算され、これは、ソースノードとコンピュータネットワーク内の１つ以上の標的ノードとの間の攻撃経路を予測するために使用される。本開示は、攻撃経路を正確に予測し、それにより、ネットワークセキュリティ管理者/管理者がネットワークインフラストラクチャをより効果的に保護するのに役立つ。
【００２５】
また、以下の説明において、「プロセッサ」は、１以上のプロセッサである。少なくとも１つのプロセッサは、典型的には、ＣＰＵ（Central Processing Unit）のようなマイクロプロセッサであるが、ＧＰＵ（Graphics Processing Unit）のような他種のプロセッサでもよい。少なくとも１つのプロセッサは、シングルコアでもよいしマルチコアでもよい。
【００２６】
また、少なくとも１つのプロセッサは、処理の一部又は全部を行うハードウェア回路（例えばＦＰＧＡ（Field-Programmable Gate Array）又はＡＳＩＣ（Application Specific Integrated Circuit）といった広義のプロセッサでもよい。
【００２７】
また、以下の説明において、「プログラム」を主語として処理を説明する場合があるが、プログラムは、プロセッサ部によって実行されることで、定められた処理を、適宜に記憶部及び／又はインターフェース部などを用いながら行うため、処理の主語が、プロセッサ部（或いは、そのプロセッサ部を有するコントローラのようなデバイス）とされてもよい。
【００２８】
また、以下の説明において、同種の要素を区別しないで説明する場合には、参照符号（又は、参照符号のうちの共通符号）を使用し、同種の要素を区別して説明する場合は、要素の識別番号（又は参照符号）を使用することがある。
【実施例１】
【００２９】
以下、図面を参照して、実施例を説明する。
【００３０】
図１は、本開示のいくつかの実施形態による、コンピュータネットワーク内の攻撃経路を予測するための例示的な環境を示している。
【００３１】
図１に示すように、環境１００は、通信ネットワーク１１１を介して攻撃検出システム１０３に接続され攻撃経路予測システム１０１を含む。一実施形態では、攻撃検出システム１０３は、ネットワークトラフィックを監視する侵入検出システムを指し得る。不審なアクティビティについては、そのようなアクティビティの検出時にアラートを発行する。典型的には、攻撃検出システム１０３は、例えば、シグネチャベースの検出システム、異常ベースの検出システムなどを含み得る。
【００３２】
攻撃検出システム１０３は、ネットワーク１０５内の１つ以上の攻撃を検出するためにネットワーク１０５に関連付けられ得る。一実施形態では、ネットワーク１０５は、ノード（１０７１〜１０７Ｎ）（集合的に参照される複数のノード１０７）を含むコンピュータネットワークである。一実施形態では、複数のノード１０７は互いに相互接続されてもよい。一実施形態では、複数のノード１０７は、コンピュータ、スイッチ、モデム、ハブなどのデバイスとすることができる。
【００３３】
当業者は、複数のノード１０７が本明細書で明示的に言及されていない他のネットワークデバイスを含むことができることを理解するであろう。さらに、複数のノード１０７のそれぞれは、それぞれの脆弱性を含む。例えば、ソースノード１０７１は脆弱性（Ｖ１０９１１−、Ｖ１０９１Ｎ）を含む。同様に、複数のノード１０７からの他のノードは、それぞれの脆弱性（まとめて１つ以上の脆弱性１０９と呼ばれる）を含む。一実施形態では、１つまたは複数の脆弱性１０９は、エンドポイントまたはネットワークのセキュリティ侵害の潜在的なポイントを作成するシステムの欠陥を指す場合がある。
【００３４】
攻撃経路予測システム１０１は、ネットワーク１０５の攻撃経路を予測するために１つ以上の脆弱性１０９を相関させることができる。一実施形態では、攻撃経路は、ネットワークの脆弱性を悪用するためにネットワーク１０５へのアクセスを得るために侵入者によって使用される経路を表してもよい。一実施形態では、攻撃経路予測システム１０１は、ラップトップ、デスクトップコンピュータ、携帯情報端末（ＰＤＡ）、ノートブック、スマートフォン、ＩＯＴデバイス、タブレット、サーバ、およびその他のコンピューティングデバイスを含むことができるが、これらに限定されない。
【００３５】
当業者は、明示的に言及されていない他のデバイスも、本開示における攻撃経路予測システム１０１として使用され得ることを理解するであろう。さらに、攻撃経路予測システム１０１は、Ｉ ／ Ｏインターフェース１１３、メモリ１１５、およびプロセッサ１１７を含み得る。Ｉ ／ Ｏインターフェース１１３は、ネットワーク１０５で攻撃されたソースノードに関連する静的および動的データを受信するように構成され得る。さらに、Ｉ ／ Ｏインターフェース１１３は、１つ以上の標的ノードに関連する１つ以上の脆弱性の静的および動的リスク属性を受信するように構成され得る。
【００３６】
Ｉ ／ Ｏインターフェース１１３から受信した静的および動的データおよび静的および動的リスク属性は、メモリ１１５に格納され得る。メモリ１１５は、攻撃経路予測システム１０１のプロセッサ１１７に通信可能に結合され得る。また、プロセッサ１１７にネットワーク１０５内の攻撃経路を予測するための命令を実行させることができるプロセッサ命令を格納する。
【００３７】
通常、ネットワーク１０５に関連付けられた攻撃経路予測システム１０１は、ネットワーク１０５を監視するためにネットワーク１０５を監視することができる。攻撃を検出する場合、攻撃検出システム１０３は、攻撃に関連する詳細を提供することができる。一実施形態では、通信ネットワーク１１１は、直接相互接続、電子商取引ネットワーク、ピアツーピア（Ｐ２Ｐ）ネットワークを含むことができるが、これらに限定されない。通信ネットワーク１１１は、ローカルエリアネットワーク（LAN）、ワイドエリアネットワーク（WAN）、ワイヤレスネットワーク（たとえば、ワイヤレスアプリケーションプロトコルを使用）、インターネット、Ｗｉ−Ｆｉなどを含む。
【００３８】
したがって、攻撃経路予測システム１０１は、ネットワーク１０５で攻撃される複数のノード１０７からノードに関連する静的および動的データを受信することができる。ネットワーク１０５で攻撃されるノードは、本明細書ではソースノードと呼ばれる。例えば、ノード１０７１がネットワーク１０５で攻撃された場合、ノード１０７１はソースノードと呼ばれてもよい。
【００３９】
一実施形態では、静的および動的データは、ソースノードおよびソースノードに関連する１つまたは複数の脆弱性に関する情報を含むことができる。さらに、攻撃経路予測システム１０１は、ネットワーク１０５内のソースノードから到達可能な複数のノード１０７から、１つ以上のノードに関連する１つ以上の脆弱性の静的および動的リスク属性を取得してもよい。
【００４０】
ソースノードから到達可能な１つまたは複数のノードは、本明細書では１つまたは複数のターゲットノードと呼ばれる。一実施形態では、静的リスク属性は、１つ以上の脆弱性のそれぞれに対する事前定義された共通脆弱性スコアリングシステムスコア（ＣＶＳＳ）を含む。
【００４１】
同様に、動的リスク属性には、相関スコア、攻撃者のスキルインジケーター、およびノードへのトポロジインパクトが含まれる。当業者は、静的および動的リスク属性が、本開示で明示的に定義されていない他の属性も含み得ることを理解するであろう。
【００４２】
さらに、静的および動的リスク属性に基づいて、攻撃経路予測システム１０１は、ソースノードに関連付けられた１つまたは複数の脆弱性のそれぞれに関して、１つまたは複数のターゲットノードに関連付けられた１つまたは複数の脆弱性のそれぞれの尤度スコアを計算する。
【００４３】
特に、１つ以上の脆弱性のそれぞれの尤度スコアは、対応する相関スコアとCommon Vulnerability Scoring Systemスコア（CVSS）に基づいて計算される。
【００４４】
一実施形態では、１つ以上の脆弱性のそれぞれの相関スコアは、ソースノードに関連付けられた１つ以上の脆弱性の脆弱性と、１つ以上のターゲットノードのそれぞれに関連付けられた脆弱性の間で共通する共通の攻撃意図の数と、ソースノードに関連する脆弱性の攻撃意図の総数と、基づいて計算される。
【００４５】
さらに、攻撃経路予測システム１０１は、対応する尤度スコアおよび静的および動的リスク属性に基づいて、１つまたは複数のターゲットノードに関連付けられた１つまたは複数の脆弱性のそれぞれの予測スコアを予測することができる。
【００４６】
特に、予測スコアは、対応する尤度スコアおよび対応する共通脆弱性スコアリングシステムスコア（CVSS）に基づいて計算される。その後、予測スコアに基づいて、攻撃経路予測システム１０１は、ソースノードとネットワーク１０５内の１つ以上のターゲットノードとの間の攻撃経路を予測する。一実施形態では、攻撃経路予測システム１０１は、予測スコアに基づいて攻撃経路グラフを生成することができる。
【００４７】
図２Ａは、本開示のいくつかの実施形態による攻撃経路予測システムの詳細なブロック図を示している。
【００４８】
図２Ａに示すように、攻撃経路予測システム１０１は、本明細書で詳細に説明するデータ２００および１つまたは複数のモジュール２０９を含むことができる。一実施形態では、データ２００は、メモリ１１５内に格納され得る。データ２００は、例えば、ソースノードデータ２０１、リスク属性データ２０３、攻撃経路２０５、および他のデータ２０７を含み得る。
【００４９】
ソースノードデータ２０１は、ネットワーク１０５内のソースノードに関連する静的および動的データを含むことができる。例えば、静的および動的データは、ソースノードおよびソースノードに関連する１つ以上の脆弱性に関する情報を含む。
【００５０】
リスク属性データ２０３は、１つまたは複数のターゲットノードに関連する１つまたは複数の脆弱性の静的および動的なリスク属性を含むことができる。一実施形態では、静的リスク属性は、事前定義された共通脆弱性スコアリングシステムスコア（CVSS）を含むことができる。一実施形態では、動的リスク属性は、相関スコア、攻撃者のスキル指標、およびノードへのトポロジカルな影響を含み得る。
【００５１】
攻撃経路２０５は、予測スコアに基づいてネットワーク１０５について予測された攻撃経路を指し得る。特に、攻撃経路２０５は、ネットワーク１０５の攻撃経路グラフを含むことができる。
【００５２】
他のデータ２０７は、攻撃経路予測システム１０１の様々な機能を実行するための１つまたは複数のモジュール２０９によって生成された一時データおよび一時ファイルを含むデータを格納することができる。
【００５３】
一実施形態では、メモリ１１５内のデータ２００は、攻撃経路予測システム１０１のメモリ１１５内に存在する１つ以上のモジュール２０９によって処理される。一実施形態では、１つ以上のモジュール２０９は専用ユニットとして実装され得る。ここで使用されるモジュールという用語は、特定用途向け集積回路（ASIC）、電子回路、フィールドプログラマブルゲートアレイ（FPGA）、プログラマブルシステムオンチップ（PSoC）、組み合わせ論理回路、および／または 説明されている機能を提供する他の適切なコンポーネントである。
【００５４】
いくつかの実装形態では、攻撃経路予測システム１０１の１つまたは複数の機能を実行するために、１つまたは複数のモジュール２０９をプロセッサ１１７に通信可能に結合することができる。本開示で定義される機能を用いて構成された場合、１つまたは複数のモジュール２０９は、新規のハードウェアをもたらす。
【００５５】
一実装形態では、１つまたは複数のモジュール２０９は、受信モジュール２１１、リスク属性取得モジュール２１３、尤度スコア計算モジュール２１５、予測スコア計算モジュール２１７および予測モジュール２１９を含むが、これらに限定されない。１つ以上のモジュール２０９は、攻撃経路予測システム１０１の様々なその他の機能を実行する他のモジュール２２１を含むこともできる。一実施形態では、他のモジュール２２１は、ネットワーク１０５の攻撃経路グラフを生成することができる攻撃経路生成システムを含むことができる。
【００５６】
受信モジュール２１１は、ネットワーク１０５で攻撃されたソースノードに関連付けられた静的および動的データを攻撃検出システム１０３から受信することができる。一実施形態では、静的および動的データは、ソースノードおよびソースノードに関連する１つまたは複数の脆弱性に関する情報を含むことができる。
【００５７】
図２Ｂは、本開示のいくつかの実施形態によるネットワーク内の例示的なネットワークノードを示す。例えば、図２Ｂは、ノード１０７１が複数のノード１０７から攻撃され、したがってソースノードと呼ばれるネットワーク１０５のインスタンスを示している。ソースノード１０７１は、３つの脆弱性、すなわち、Ｖ１、Ｖ２、およびＶ３を含む。ソースノード１０７１は、攻撃の対象と考えられるノード１０７３に接続されている。したがって、ノード１０７３は、ターゲットノード１０７３と呼ばれる。ターゲットノード１０７３は、図２Ｂに示されるように、３つの脆弱性、すなわちＶ４、Ｖ５およびＶ６を含む。したがって、この場合、受信モジュール２１１は、ソースノード１０７１および関連する脆弱性Ｖ１、Ｖ２、Ｖ３に関する情報を受信してもよい。図６に示す表１は、ソースノード１０７１に関連する脆弱性に関する例示的な情報を表している。
【００５８】
図２Ａに戻ると、リスク属性取得モジュール２１３は、ネットワーク１０５内のソースノードから到達可能な１つ以上のターゲットノードに関連する１つ以上の脆弱性の静的および動的リスク属性を取得することができる。リスク属性には、事前定義されたCommon Vulnerability Scoring Systemスコア（CVSS）が含まれる。
【００５９】
同様に、動的リスク属性には、相関スコア、攻撃者のスキルインジケーター、およびノードへのトポロジーの影響が含まれる。たとえば、図２Ｂでは、ターゲットノード１０７３の脆弱性Ｖ４、Ｖ５、およびＶ６のリスク属性を取得できる。図７に示す表２は、ターゲットノード１０７３に関連する脆弱性に関する例示的な情報を表している。
【００６０】
さらに、脆弱性の動的リスク属性を、図８から図１１の表３から表６に示す。図８に示す表３は、脆弱性Ｖ１〜Ｖ６の定義済みCVSSスコアの例を示している。
【００６１】
図９に示す表４は、攻撃の種類（攻撃タイプ）とSQLインジェクションの意図(攻撃意図)を示している。
【００６２】
図１０に示す表５は、クロスサイトスクリプティングの攻撃タイプと攻撃意図の例を示す。
【００６３】
図１１に示す表６は、さらに、CVSSスコアに基づく脆弱性の攻撃タイプの例を示す。
【００６４】
図２Ａに戻ると、尤度スコア計算モジュール２１５は、ソースノード１０７１に関連付けられた１つ以上の脆弱性のそれぞれに関して、１つ以上のターゲットノードに関連付けられた１つ以上の脆弱性のそれぞれの尤度スコアを計算する。尤度スコアは、図１５Ａに示す式（１）に基づいて計算される。
【００６５】
つまり、尤度スコアは、相関スコア（correlation score）とCVSSに基づいて計算される。
【００６６】
相関スコアとは、ソースノードに対する攻撃意図と、ソースノードとターゲットノードの双方に対する共通の攻撃意図との比によって求まる。
【００６７】
CVSSは、事前定義された共通脆弱性スコアリングシステムスコアであり、例えば、図８の表３のような値となる。
したがって、Ｖ１に対するＶ５の尤度スコア= 2.173075
となる。
【００６８】
尤度スコア計算モジュール２１５は、１つまたは複数の脆弱性のそれぞれに対する相関スコアおよび事前定義されたCVSSスコアを使用して、尤度スコアを計算することができる。例えば、ソースノード１０７１に関連付けられた１つ以上の脆弱性のそれぞれに関して、１つ以上のターゲットノードに関連付けられた１つ以上の脆弱性のそれぞれの尤度スコアを計算することができる。また、相関スコアは、ソースノード１０７１に関連付けられた１つ以上の脆弱性の脆弱性と、１つ以上のターゲットノードのそれぞれに関連付けられた脆弱性との間に共通する攻撃意図の数と、ソースノード１０７１に関連付けられた脆弱性の攻撃意図の総数に基づいて計算される。
【００６９】
たとえば、図２Ｂを考慮すると、たとえばＶ５とＶ１の相関スコアの計算は、図１５Ａに示す式（２）に示される。この例では、Ｖ１とＶ５の間の共通な攻撃意図は３つ、つまりデータ抽出、DoS、リモートコマンド実行であり、Ｖ１の合計攻撃意図は4つ、つまりデータ抽出、権限昇格、DoS、リモートコマンド実行である。したがって、Ｖ１とＶ５の相関スコアは、図１５Ｂの式（３）で表される。
【００７０】
図２Ｃは、本開示のいくつかの実施形態による尤度スコアの例示的な表現を示す。示されているように、図２Ｃは、２２３として表されるＶ１とＶ５の間、２２５として表されるＶ１とＶ４の間、２２７として表されるＶ３とＶ４の間、２２９として表されるＶ３とＶ５の間の一般的な攻撃意図のベン図表を示す。
【００７１】
図１２に示す表７は、図２Ｂのソースノード１０７１の脆弱性Ｖ１に関するターゲットノード１０７３の脆弱性（Ｖ４からＶ６）について式（２）に基づいて計算された例示的な相関スコアを示す。
【００７２】
さらに、図１３に示す表８は、図２Ｂのソースノード１０７１の脆弱性Ｖ１に関するターゲットノード１０７３の脆弱性（Ｖ４からＶ６）について式（１）を使用して計算された例示的な尤度スコアを示している。
【００７３】
図２Ａに戻ると、予測スコア計算モジュール２１７は、対応する尤度スコアおよび静的および動的リスク属性に基づいて、１つまたは複数のターゲットノードに関連付けられた１つまたは複数の脆弱性のそれぞれについて予測スコアを計算する。予測スコアは、図１５Ｂに示す式（4）に基づいて計算される。
【００７４】
予測スコアは、CVSSと尤度スコアによって計算される。
したがって、V1に対するV5の予測スコア=（0.39）* 2.173075 = 0.84749925
となる。
ここで、Ｖ５のCVSSスコアは表３から参照され、尤度スコアは表８から参照される。
【００７５】
さらに、図１４の表９は、図２Ｂのソースノード１０７１の脆弱性Ｖ１に関するターゲットノード１０７３の脆弱性（Ｖ４からＶ６）について、式（4）に基づいて計算された例示的な予測スコアを示す。
【００７６】
図２Ａに戻ると、予測モジュール２１９は、予測スコア計算モジュール２１７によって計算された予測スコアに基づいて、ネットワーク１０５の攻撃経路を予測することができる。例えば、図２Ｂを考慮すると、予測モジュール２１９は、攻撃経路がＶ５を介して標的ノード１０７３であると予測し得る。
【００７７】
図２Ｄ−図２Ｅは、本開示のいくつかの実施形態による、それぞれ１つおよび２つの脆弱性の選択時の攻撃経路を示すユーザインターフェースの例示的な表現を示す。図２Ｄよび図２Ｅは、攻撃者の意図を識別するために攻撃検出システム１０３で構成することを意図したシステムの例示的なユーザインターフェースを示している。図２Ｄおよび図２Ｅに示すように、システム出力は攻撃経路を示し、強調表示された線は予測される攻撃経路を説明している。図２Ｄの攻撃経路出力は、単一の脆弱性を選択した結果である。同様に、図２Ｅの攻撃経路出力は２つの脆弱性の結果である。
【００７８】
図３は、本開示のいくつかの実施形態による、攻撃経路を予測するためのネットワークの例示的な表現を示す。
【００７９】
図４は、本開示のいくつかの実施形態による、コンピュータネットワーク内の攻撃経路を予測する方法を示すフローチャートを示している。
図４に示されるように、方法４００は、コンピュータネットワークにおける攻撃経路を予測するための１つ以上のブロックを含む。方法４００は、コンピュータ実行可能命令の一般的な文脈で説明することができる。一般に、コンピュータ実行可能命令には、特定の機能を実行したり特定の抽象データ型を実装したりするルーチン、プログラム、オブジェクト、コンポーネント、データ構造、手順、モジュール、および機能を含めることができる。
【００８０】
方法４００が記載される順序は、限定として解釈されることを意図するものではなく、記載された方法ブロックの任意の数を任意の順序で組み合わせて方法を実施することができる。さらに、個々のブロックは、本明細書で説明される主題の範囲から逸脱することなく、方法から削除されてもよい。さらに、この方法は、任意の適切なハードウェア、ソフトウェア、ファームウェア、またはそれらの組み合わせで実装できる。
【００８１】
ブロック４０１において、ソースノードに関連付けられた静的および動的データは、攻撃検出システム１０３から受信モジュール２１１によって受信される。一実施形態では、静的および動的データは、ソースノードおよびソースノードに関連付けられた１つ以上の脆弱性に関する情報を含む。
【００８２】
ブロック４０３で、１つ以上のターゲットノードに関連する１つ以上の脆弱性の静的および動的リスク属性は、リスク属性取得モジュール２１３により取得される。一実施形態では、静的リスク属性は、所定の共通脆弱性スコアリングシステムスコア（ＣＶＳＳ）を含む。）。一実施形態では、動的リスク属性は、相関スコア、攻撃者のスキル指標、およびノードへの位相的影響を含む。
【００８３】
ブロック４０５で、ターゲットノードに関連付けられた脆弱性のそれぞれの尤度スコアを、静的および動的リスク属性に基づいて、ソースノードに関連付けられた１つまたは複数の脆弱性毎に、尤度スコア計算モジュール２１５によって計算する。
【００８４】
ブロック４０７で、１つまたは複数のターゲットノードに関連付けられた１つまたは複数の脆弱性のそれぞれについての予測スコアが、対応する尤度スコアおよび静的および動的リスク属性に基づいて、予測スコア計算モジュール２１７によって計算される。
【００８５】
ブロック４０９で、ソースノードと１つまたは複数のターゲットノードとの間の攻撃経路が、ネットワーク１０５内の予測モジュール２１９によって予測される。
【００８６】
＜コンピューティングシステム＞
図５は、本開示と一致する実施形態を実施するための例示的なコンピュータシステム５００のブロック図を示す。一実施形態では、コンピュータシステム５００は、攻撃経路予測システム１０１であり得る。コンピュータシステム５００は、中央処理装置（「ＣＰＵ」または「プロセッサ」）５０２を含み得る。プロセッサ５０２は、コンピュータネットワーク内の攻撃経路を予測するための少なくとも１つのデータプロセッサを含み得る。プロセッサ５０２は、統合システム（バス）コントローラ、メモリ管理制御ユニット、浮動小数点ユニット、グラフィックス処理ユニット、デジタル信号処理ユニットなどの特殊な処理ユニットを含むことができる。
【００８７】
プロセッサ５０２は、Ｉ ／ Ｏインターフェース５０１を介して１つ以上の入出力（Ｉ ／ Ｏ）デバイス（図示せず）と通信するように配置されてもよい。Ｉ ／ Ｏインターフェース５０１は、限定ではないが、 オーディオ、アナログ、デジタル、モノラル、RCA、ステレオ、IEEE-1394、シリアルバス、ユニバーサルシリアルバス（USB）、赤外線、PS / 2、BNC、同軸、コンポーネント、コンポジット、デジタルビジュアルインターフェイス（DVI）、高解像度 マルチメディアインターフェイス（HDMI（登録商標））、RFアンテナ、Sビデオ、VGA、IEEE 802.n / b / g / n / x、ブルートゥース（登録商標）、セルラー（コード分割多重アクセス（CDMA）、高速パケットアクセス（HSPA +） ）、モバイル通信（GSM（登録商標））、長期的進化（LTE）、WiMaxなどのグローバルシステム）などである。
【００８８】
Ｉ ／ Ｏインターフェース５０１を使用して、コンピュータシステム５００は、入力デバイス５１２および出力デバイス５１３などの１つ以上のＩ ／ Ｏデバイスと通信し得る。例えば、入力デバイス５１２は、アンテナ、キーボード、マウス、ジョイスティック、 （赤外線）リモートコントロール、カメラ、カードリーダー、ファックス、ドングル、生体認証リーダー、マイク、タッチスクリーン、タッチパッド、トラックボール、スタイラス、スキャナー、ストレージデバイス、トランシーバー、ビデオデバイス／ソースなどである。出力デバイス513は プリンター、ファックス、ビデオディスプレイ（例：ブラウン管（CRT）、液晶ディスプレイ（LCD）、発光ダイオード（LED）、プラズマ、プラズマディスプレイパネル（PDP）、有機発光ダイオードディスプレイ（OLED） ）など）、オーディオスピーカーなどである。
【００８９】
いくつかの実施形態では、プロセッサ５０２は、ネットワークインターフェース５０３を介して通信ネットワーク５０９と通信するように配置することができる。ネットワークインターフェース５０３は、通信ネットワーク５０９と通信することができる、イーサネット（登録商標）（たとえば、ツイストペア10/100/1000 Base T）、伝送制御プロトコル/インターネットプロトコル（TCP / IP）、トークンリング、IEEE 802.11a / b / g / n / xなどである。
【００９０】
通信ネットワーク５０９は、直接相互接続、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、無線ネットワーク（例えば、無線アプリケーションプロトコルを使用）、インターネットなどを含むことができるが、これらに限定されない。通信ネットワーク５０９、コンピュータシステム５００は、攻撃検出システム５１４と通信することができる。ネットワークインターフェース５０３は、直接接続、イーサネット（例えば、ツイストペア１０／１００／１０００ベースＴ）を含むがこれらに限定されない接続プロトコルを使用することができる、伝送制御プロトコル/インターネットプロトコル（TCP / IP）、トークンリング、IEEE 802.11a / b / g / n / xなどである。
【００９１】
通信ネットワーク５０９は、直接相互接続、電子商取引ネットワーク、ピアツーピア（Ｐ２Ｐ）ネットワーク、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、無線ネットワーク（例えば、 ワイヤレスアプリケーションプロトコルを使用）、インターネット、Ｗｉ−Ｆｉなどである。第１ネットワークと第２ネットワークは、専用ネットワークまたは共有ネットワークのいずれかであり、ハイパーテキスト転送プロトコル（HTTP）、伝送制御プロトコル/インターネットなど、さまざまなプロトコルを使用するさまざまなタイプのネットワークの関連付けを表す、相互に通信するためのプロトコル（TCP / IP）、ワイヤレスアプリケーションプロトコル（WAP）などである。
【００９２】
さらに、第１のネットワークおよび第２のネットワークは、ルータ、ブリッジ、サーバ、コンピューティングデバイス、ストレージデバイスなどを含むさまざまなネットワークデバイスを含むことができる。
【００９３】
いくつかの実施形態において、プロセッサ５０２は、ストレージインターフェース５０４を介してメモリ５０５（例えば、図５に示されていないＲＡＭ、ＲＯＭなど）と通信するように配置されてもよい。記憶インターフェース５０４は、メモリドライブ、リムーバブルディスクドライブなどを含むがこれらに限定されないメモリ５０５に接続することができ、シリアルアドバンストテクノロジーアタッチメント（ＳＡＴＡ）、統合ドライブエレクトロニクス（ＩＤＥ）、ＩＥＥＥ−１３９４、ユニバーサルなどの接続プロトコルを採用する、シリアルバス（USB）、ファイバーチャネル、Small Computer Systems Interface（SCSI）などである。メモリドライブには、さらに、ドラム、磁気ディスクドライブ、光磁気ドライブ、光学ドライブ、Redundant Array of Independent Disc（RAID）、ソリッド ステートメモリデバイス、ソリッドステートドライブなどがある。
【００９４】
メモリ５０５は、限定ではないが、ユーザインターフェース５０６、オペレーティングシステム５０７などを含むプログラムまたはデータベースコンポーネントのコレクションを格納することができる。いくつかの実施形態では、コンピュータシステム５００は、データ、変数、 本開示に記載されている記録などである。このようなデータベースは、OracleやSybaseなどの耐障害性、リレーショナル、スケーラブルで安全なデータベースとして実装できる。
【００９５】
オペレーティングシステム５０７は、コンピュータシステム５００のリソース管理および操作を容易にすることができる。オペレーティングシステムの例には、これらに限定されないが、ＡＰＰＬＥ ＭＡＣＩＮＴＯＳＨＲ ＯＳ Ｘ、ＵＮＩＸＲ、ＵＮＩＸシステム配布（ＥＧ、ＢＥＲＫＥＬＥＹ ＳＯＦＴＷＥＲＥ ＤＩＳＴＲＩＢＵＴＩＯＮＴＭ（ＢＳＤ）、ＦＲＥＥＢＳＤＴＭ、ＮＥＴＢＳＤＴＭが含まれる） 、OPENBSDTMなど）、LINUX DISTRIBUTIONSTM（EG、RED HATTM、UBUNTUTM、KUBUNTUTMなど）、IBMTM OS / 2、MICROSOFTTM WINDOWSTM（XPTM、VISTATM / 7 / 8、10など）、APPLER IOSTM、GOOGLER ANDROIDTM、 BLACKBERRYR（登録商標） OSなどである。
【００９６】
いくつかの実施形態では、コンピュータシステム５００は、ウエブブラウザ５０８に格納されたプログラムコンポーネントを実装してもよい。ウエブブラウザ５０８は、例えば、Ｍｉｃｒｏｓｏｆｔ（登録商標）インターネットエクスプローラ、ＧＯＯＧＬＥ（登録商標）ＣＨＲＯＭＥＴＭ、ＭＯＺＩＬＬＡ（登録商標）ＦＩＲＥＦＯＸＴＭ、ＡＰＰＬＥ（登録商標）ＳＡＦＡＲＩＴＭなどのハイパーテキスト閲覧アプリケーションであり得る。（SSL）、トランスポート層セキュリティ（TLS）などである。Webブラウザ708は、AJAXTM、DHTMLTM、ADOBE（登録商標）FLASHTM、JAVASCRIPTTM、JAVATM、アプリケーションプログラミングインターフェース（API）などの機能を利用してもよい。メールサーバーに格納されたプログラムコンポーネントを実装できる。
【００９７】
メールサーバーは、Microsoft Exchangeなどのインターネットメールサーバーでもよい。メールサーバーは、ASPTM、ACTIVEXTM、ANSITM C ++ / C＃、MICROSOFT、.NETTM、CGI SCRIPTSTM、JAVATM、JAVASCRIPTTM、PERLTM、PHPTM、PYTHONTM、WEBOBJECTSTMなどの機能を利用できる。メールサーバーは、インターネットなどの通信プロトコルを利用できる、メッセージアクセスプロトコル（IMAP）、メッセージングアプリケーションプログラミングインターフェイス（MAPI）、MICROSOFT交換、郵便局プロトコル（POP）、簡易メール転送プロトコル（SMTP）などである。いくつかの実施形態では、コンピュータシステム５００は、メールクライアント格納プログラムコンポーネントを実装してもよい。メールクライアントは、Apple MAILTM、MICROSOFTENTOURAGETM、MICROSOFTOUTLOOKTM、MOZILLA THUNDERBIRDTMなどのメール表示アプリケーションである。
【００９８】
さらに、本開示と一致する実施形態を実装する際に、１つまたは複数のコンピュータ可読記憶媒体を利用することができる。コンピュータで読み取り可能な記憶媒体とは、プロセッサで読み取り可能な情報またはデータを格納できる任意のタイプの物理メモリを指す。したがって、コンピュータ可読記憶媒体は、本明細書に記載の実施形態と一致するステップまたは段階をプロセッサに実行させるための命令を含む、１つまたは複数のプロセッサによる実行のための命令を格納し得る。「コンピュータ可読媒体」という用語は、有形のアイテムを含み、搬送波と一時的な信号を除外する、つまり一時的でないと理解されるべきである。例えば、ランダムアクセスメモリ（RAM）、読み取り専用メモリ（ROM）、揮発性メモリ、不揮発性メモリ、ハードドライブ、CD ROM、DVD、フラッシュドライブ、ディスク、およびその他の既知の物理記憶媒体が含まれる。
【００９９】
本開示の実施形態は、静的および動的な情報を使用して脆弱性を相関させることにより、正確な攻撃経路を予測する。これにより、セキュリティオペレータがネットワークインフラストラクチャをより正確に保護できる。
【０１００】
本開示の一実施形態は、クラウドインフラストラクチャの根本原因分析（ＲＣＡ）を実行する。本開示は、RCAプロセスを自動化することにより労力を削減し、大規模なインフラストラクチャの分析範囲を拡大する。
【０１０１】
説明された動作は、ソフトウェア、ファームウェア、ハードウェア、またはそれらの任意の組み合わせを生成するための標準プログラミングおよび／またはエンジニアリング技術を使用する方法、システムまたは製造品として実装され得る。説明された動作は、プロセッサがコンピュータ可読媒体からコードを読み取って実行することができる「非一時的コンピュータ可読媒体」に維持されるコードとして実装されてもよい。
【０１０２】
プロセッサは、クエリを処理および実行できるマイクロプロセッサとプロセッサの少なくとも１つである。非一時的なコンピュータ可読媒体には、磁気記憶媒体（例：ハードディスクドライブ、フロッピーディスク、テープなど）、光学ストレージ（CD-ROM、DVD、光ディスクなど）、揮発性および非 -揮発性メモリデバイス（EEPROM、ROM、PROM、RAM、DRAM、SRAM、フラッシュメモリ、ファームウェア、プログラマブルロジックなど）などである。さらに、非一時的なコンピュータ読み取り可能な媒体には、一時的なものを除くすべてのコンピュータ読み取り可能な媒体が含まれる。説明した動作を実装するコードは、ハードウェアロジック（たとえば、集積回路チップ、プログラマブルゲートアレイ（PGA）、特定用途向け集積回路（ASIC）など）でさらに実装することができる。
【０１０３】
さらに、説明された動作を実装するコードは、「伝送信号」で実装されてもよく、伝送信号は、空間または光ファイバ、銅線などの伝送媒体を介して伝搬する場合がある。または、ロジックがエンコードされている場合、無線信号、衛星送信、電波、赤外線信号、Bluetooth（登録商標）などをさらに含めることができる。
【０１０４】
コードまたはロジックがエンコードされた送信信号は、送信ステーションによって送信され、受信ステーションによって受信される。送信信号にエンコードされたコードまたはロジックは、受信および送信ステーションまたはデバイスで読み取り可能な媒体からハードウェアまたは非一時的なコンピュータにデコードおよび保存される。「製造品」には、非一時的なコンピュータ可読媒体、ハードウェアロジック、および／またはコードを実装できる送信信号が含まれる。
【０１０５】
動作の説明された実施形態を実装するコードが符号化されるデバイスは、コンピュータ可読媒体またはハードウェアロジックを含み得る。もちろん、当業者は、本発明の範囲から逸脱することなく、この構成に多くの修正を加えることができ、製品が当技術分野で知られている適切な情報伝達媒体を含むことができることを認識する。
【０１０６】
用語「含む」、「含む」、「有する」およびそれらの変形は、特に明記しない限り、「含むが限定されない」ことを意味する。
【０１０７】
列挙されたアイテムのリストは、特に明記されていない限り、アイテムの一部またはすべてが相互に排他的であることを意味するものではない。
【０１０８】
互いに通信するいくつかのコンポーネントを備えた実施形態の説明は、すべてのそのようなコンポーネントが必要であることを意味しない。それどころか、本発明の多種多様な可能な実施形態を例示するために、様々な任意の構成要素が記載されている。
【０１０９】
本明細書で単一のデバイスまたは物品を説明する場合、単一のデバイス／物品の代わりに複数のデバイス／物品を（それらが協働するかどうかにかかわらず）使用できることは容易に明らかであろう。同様に、複数のデバイスまたは物品が本明細書に記載されている場合（それらが協働するかどうかに関係なく）、単一のデバイス／物品を複数のデバイスまたは物品または異なる数のデバイスの代わりに使用できることは容易に明らかになるだろう。デバイスの機能および／または特徴は、そのような機能／特徴を有すると明示的に説明されていない１つまたは複数の他のデバイスによって代替的に具現化されてもよい。したがって、本発明の他の実施形態は、デバイス自体を含む必要はない。
【０１１０】
図４の操作例は、特定の順序で発生する特定のイベントを示す。代替実施形態では、特定の操作は、異なる順序で実行、変更、または削除することができる。さらに、上述のロジックにステップを追加しても、説明した実施形態に準拠することができる。さらに、本明細書で説明される動作は、連続的に発生する場合があり、または特定の動作が並行して処理される場合がある。さらに、動作は、単一の処理ユニットまたは分散処理ユニットによって実行されてもよい。
【０１１１】
最後に、仕様で使用される言語は、主に読みやすさと教育目的のために選択されたものであり、本発明の主題を描写または制限するために選択されていない場合がある。したがって、本発明の範囲は、この詳細な説明によってではなく、本明細書に基づいたアプリケーションで発行される請求項によって制限されることが意図されている。したがって、本発明の実施形態の開示は、添付の特許請求の範囲に記載される本発明の範囲を例示することを意図したものであり、限定することを意図したものではない。
【符号の説明】
【０１１２】
１００：環境
１０１：攻撃経路予測システム
１０３：攻撃検出システム
１０５：ネットワーク
１０７：複数のノード
１０９：１つ以上の脆弱性
１１１：通信ネットワーク
１１３：I / Oインターフェース
１１５：メモリ
１１７：プロセッサ
２００：データ
２０１：ソースノードデータ
２０３：リスク属性データ
２０５：攻撃経路
２０７：その他のデータ
２０９：モジュール
２１１：受信モジュール
２１３：リスク属性取得モジュール
２１５：尤度スコア計算モジュール
２１７：予測スコア計算モジュール
２１９：予測モジュール
２２１：その他のモジュール
５００：コンピュータシステム
５０１：I / Oインターフェース
５０２：プロセッサ
５０３：ネットワークインターフェース
５０４：ストレージインターフェース
５０５：メモリ
５０６：ユーザインターフェース
５０７：オペレーティングシステム
５０８：ウエブブラウザ
５０９：通信ネットワーク
５１２：入力デバイス
５１３：出力デバイス
５１４：攻撃検出システム。
【図１】
2020155098.tif 000003
【図２Ａ】
2020155098.tif 000004
【図２Ｂ】
2020155098.tif 000005
【図２Ｃ】
2020155098.tif 000006
【図２Ｄ】
2020155098.tif 000007
【図２Ｅ】
2020155098.tif 000008
【図３】
2020155098.tif 000009
【図４】
2020155098.tif 000010
【図５】
2020155098.tif 000011
【図６】
2020155098.tif 000012
【図７】
2020155098.tif 000013
【図８】
2020155098.tif 000014
【図９】
2020155098.tif 000015
【図１０】
2020155098.tif 000016
【図１１】
2020155098.tif 000017
【図１２】
2020155098.tif 000018
【図１３】
2020155098.tif 000019
【図１４】
2020155098.tif 000020
【図１５Ａ】
2020155098.tif 000021
【図１５Ｂ】
2020155098.tif 000022