【手続補正書】
【提出日】令和2年11月19日(2020.11.19)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
侵入検知システムを管理するコンピュータ実装方法であって、
クライアント・マシンのセキュリティ・エージェントによって、前記クライアント・マシンを使用する第１の実行環境によって生成された複数のイベントの第１のサブセットをインターセプトすることであって、前記複数のイベントの前記第１のサブセットは第１の学習済みセキュリティ・ポリシーに従ってインターセプトされ、前記第１の学習済みセキュリティ・ポリシーは前記第１の実行環境の動作を観察することに基づいて学習され、前記第１のサブセットのうちの少なくとも１つのイベントが悪意コード・プロファイルに関連付けられた種類のイベントである、前記第１のサブセットをインターセプトすることと、
前記セキュリティ・エージェントによって、前記第１の実行環境のための前記第１の学習済みセキュリティ・ポリシーに基づいて、少なくとも１つのインターセプトされたイベントを前記第１の学習済みセキュリティ・ポリシーの少なくとも１つの規則と比較することに基づく異常を特定することと、
前記異常の特定に応答して、前記セキュリティ・エージェントによって軽減処置を実行することと
を含むコンピュータ実装方法。
【請求項２】
前記クライアント・マシンを使用する第１の実行環境を特定することに応答して、クライアント・マシンのセキュリティ・エージェントによって、セキュリティ・ポリシー・データベースから第１の学習済みセキュリティ・ポリシーを取り出すことをさらに含み、
前記セキュリティ・ポリシー・データベースは複数の学習済みセキュリティ・ポリシーを含み、各セキュリティ・ポリシーは少なくとも１つのセキュリティ規則を含み、各セキュリティ規則は少なくとも１つの条件を含む、請求項１に記載の方法。
【請求項３】
前記セキュリティ・ポリシー・データベースは、セキュリティ規則テーブルと、セキュリティ・ポリシー・テーブルと、クライアント・マシン・テーブルとを含み、複数のセキュリティ規則が少なくとも１つのセキュリティ・ポリシーに関連付けられ、複数のセキュリティ・ポリシーが少なくとも１つのセキュリティ規則に関連付けられ、複数のクライアント・マシンが少なくとも１つのセキュリティ・ポリシーに関連付けられ、複数のセキュリティ・ポリシーが少なくとも１つのクライアント・マシンに関連付けられている、請求項２に記載の方法。
【請求項４】
前記クライアント・マシンが前記セキュリティ・ポリシー・データベース内の前記第１の学習済みセキュリティ・ポリシーと第２の学習済みセキュリティ・ポリシーとに関連付けられていると判断することに応答して、前記セキュリティ・エージェントによって、前記セキュリティ・ポリシー・データベースから少なくとも前記第２の学習済みセキュリティ・ポリシーを取り出すことをさらに含む、請求項３に記載の方法。
【請求項５】
前記第１の学習済みセキュリティ・ポリシーは、前記第１の実行環境のシミュレーションによって生成されたシミュレーションされたイベントのサブセットをインターセプトすることと、シミュレーションされたイベントのインターセプトされた前記サブセットに基づいて複数の規則を生成することとによって学習される、請求項１ないし４のいずれかに記載の方法。
【請求項６】
侵入検知システムを管理するコンピュータ実装方法であって、
第１の実行環境に関連付けられたイベントのサブセットに基づいて第１の学習済みセキュリティ・ポリシーを含む複数のセキュリティ・ポリシーを生成することであって、前記第１の学習済みセキュリティ・ポリシーに関連付けられた少なくとも１つの規則が悪意コード・プロファイルに関連付けられた種類のイベントに基づく、前記複数のセキュリティ・ポリシーを生成することと、
前記複数のセキュリティ・ポリシーをセキュリティ・ポリシー・データベースに記憶することと、
少なくとも前記第１の学習済みセキュリティ・ポリシーを複数のクライアントに提供することであって、前記第１の学習済みセキュリティ・ポリシーは前記複数のクライアントによってデプロイされた第１の実行環境に関連し、前記複数のクライアントは前記第１の学習済みセキュリティ・ポリシーを実施するように構成された、前記第１の学習済みセキュリティ・ポリシーを複数のクライアントに提供することと、
第１のクライアントから、前記第１のクライアント上にデプロイされた前記第１の実行環境によって生成され、前記第１の学習済みセキュリティ・ポリシーに従って前記第１のクライアントによってインターセプトされた少なくとも１つのインターセプトされたイベントに基づく異常を特定するアラートを受け取ることと
を含むコンピュータ実装方法。
【請求項７】
前記複数のセキュリティ・ポリシーは、規則を含むセキュリティ・ポリシーをノードとして有し、ノード間の関係を示す前記セキュリティ・ポリシー間の接続を辺として有する有向非巡回グラフ（ＤＡＧ）に格納される、請求項６に記載の方法。
【請求項８】
前記第１の学習済みセキュリティ・ポリシーを提供することは、第２の学習済みセキュリティ・ポリシーに対応する第２のノードが前記ＤＡＧにおいて前記第１の学習済みセキュリティ・ポリシーに対応する第１のノードと辺を共有しているとの判断に応答して、前記第２の学習済みセキュリティ・ポリシーを提供することをさらに含む、請求項７に記載の方法。
【請求項９】
複数のセキュリティ・ポリシーを生成することは、
第１の時間間隔にわたって前記第１の実行環境からイベントの第１のサブセットをインターセプトすることと、
前記第１の実行環境からのイベントの前記第１のサブセットに基づいて、正常動作と異常動作とを定義する複数の規則を生成することであって、それぞれの規則が１つまたは複数の条件に関連付けられた、前記複数の規則を生成することと、
前記複数の規則を前記第１の実行環境のための前記第１の学習済みセキュリティ・ポリシーとして前記セキュリティ・ポリシー・データベースに格納することと、
前記第１の学習済みセキュリティ・ポリシーを前記複数のクライアントに関連付けることと
をさらに含む、請求項６ないし８のいずれかに記載の方法。
【請求項１０】
前記第１の学習済みセキュリティ・ポリシーは、各クライアント上にデプロイされたそれぞれの第１の実行環境に関連付けられたそれぞれのパラメータに基づいて前記複数のクライアントのうちの各クライアントによって動的に変更されるように構成される、請求項６ないし９のいずれかに記載の方法。
【請求項１１】
侵入検知システムを管理するコンピュータ・システムであって、
プロセッサと、
プログラム命令を記憶する有形のコンピュータ可読メモリとを含み、前記プログラム命令は、前記プロセッサによって実行されると、
クライアント・マシンを使用する第１の実行環境によって生成された複数のイベントの第１のサブセットをインターセプトするステップであって、前記複数のイベントの前記第１のサブセットは第１の学習済みセキュリティ・ポリシーによって定義され、前記第１の学習済みセキュリティ・ポリシーは前記第１の実行環境の動作を観察することに基づいて学習され、前記第１のサブセットのうちの少なくとも１つのイベントは悪意コード・プロファイルに関連付けられた種類のイベントである、前記ステップと、
前記第１の実行環境のための前記第１の学習済みセキュリティ・ポリシーに基づいて、少なくとも１つのインターセプトされたイベントを前記第１の学習済みセキュリティ・ポリシーの少なくとも１つの規則と比較することに基づく異常を特定するステップと、
前記異常の特定に応答して軽減処置を実行するステップと
を実行する、コンピュータ・システム。
【請求項１２】
前記第１の学習済みセキュリティ・ポリシーは、前記第１の実行環境とは独立した少なくとも１つの静的規則と、前記第１の実行環境で構成された少なくとも１つのパラメータに依存する少なくとも１つの動的規則とを含み、前記プロセッサは、
前記第１の実行環境で構成された少なくとも１つのパラメータを前記第１の学習済みセキュリティ・ポリシーの前記少なくとも１つの動的規則に代入するステップを実行するようにさらに構成された、請求項１１に記載のコンピュータ・システム。
【請求項１３】
異常を特定するように構成された前記プロセッサは、
前記第１の学習済みセキュリティ・ポリシーの第１の規則の複数の条件と前記少なくとも１つのインターセプトされたイベントとを比較するステップであって、前記複数の条件は、前記少なくとも１つのインターセプトされたイベントのプロセス名と、コマンド行と、ファイル・ダイジェストとに関係する、前記ステップを実行するようにさらに構成された、請求項１１または１２に記載のコンピュータ・システム。
【請求項１４】
前記第１の学習済みセキュリティ・ポリシー内の少なくとも１つの規則は、真値または偽値を生成するように構成された１組の条件に関連付けられ、真値が軽減処置を実行するように構成され、偽値が次のインターセプトされたイベントに対して反復されるように構成された、請求項１１ないし１３のいずれかに記載のコンピュータ・システム。
【請求項１５】
前記第１の学習済みセキュリティ・ポリシー内の少なくとも１つの規則は、真値または偽値を生成するように構成された１組の条件に関連付けられ、偽値が軽減処置を実行するように構成され、真値が次のインターセプトされたイベントに対して反復されるように構成された、請求項１１ないし１３のいずれかに記載のコンピュータ・システム。
【請求項１６】
侵入検知システムを管理するためのシステムであって、
プロセッサと、プロセッサ実行可能命令を記憶するメモリと、セキュリティ・ポリシー・データベースと、インターフェースとを含むセキュリティ・マネージャであって、複数のノードに通信可能に結合された前記セキュリティ・マネージャを含み、
前記セキュリティ・マネージャは、
第１の学習済みセキュリティ・ポリシーに関連付けられた少なくとも１つの規則が悪意コード・プロファイルに関連付けられた種類のイベントに基づく、前記第１の学習済みセキュリティ・ポリシーを含む複数のセキュリティ・ポリシーを、第１の実行環境に関連付けられたイベントのうちの少数イベントに基づいて生成し、
前記複数のセキュリティ・ポリシーを前記セキュリティ・ポリシー・データベースに記憶し、
ノードのサブセットが前記第１の実行環境をホストするように構成され、それぞれのセキュリティ・エージェントがノードの前記サブセットのそれぞれのノード上で少なくとも前記第１の学習済みセキュリティ・ポリシーを実施するように構成された、複数のノードの前記サブセットにそれぞれのセキュリティ・エージェントと、少なくとも前記第１の学習済みセキュリティ・ポリシーとを提供し、
第１のノードを使用する前記第１の実行環境によって生成され、前記第１の学習済みセキュリティ・ポリシーに従って第１のセキュリティ・エージェントによってインターセプトされた少なくとも１つのインターセプトされたイベントに基づく異常を特定するアラートを前記第１のノードに提供された前記第１のセキュリティ・エージェントから受け取る
ように構成された、システム。
【請求項１７】
前記セキュリティ・マネージャは、
前記インターフェースに前記アラートを提示することと前記インターフェースから入力を受け取ることとに応答して前記第１のセキュリティ・エージェントに軽減処置を送るようにさらに構成され、前記第１のセキュリティ・エージェントは前記軽減処置を実施するように構成された、請求項１６に記載のシステム。
【請求項１８】
前記セキュリティ・マネージャは、
第１の時間間隔にわたって第１の実行環境からイベントの第１のサブセットをインターセプトするステップと、
イベントの前記第１のサブセットに基づいて、それぞれの規則が１つまたは複数の条件に関連付けられた正常動作と異常動作とを定義する複数の規則を生成するステップと、
前記複数の規則を前記第１の実行環境の前記第１の学習済みセキュリティ・ポリシーとして前記セキュリティ・ポリシー・データベースに記憶するステップと、
ノードの前記サブセットが前記第１の実行環境をホストするように構成されていることに基づいてノードの前記サブセットに前記第１の学習済みセキュリティ・ポリシーを関連付けるステップと、
を実行することによって複数のセキュリティ・ポリシーを生成するように構成された、請求項１６または１７に記載のシステム。
【請求項１９】
前記セキュリティ・マネージャは、
前記第１のセキュリティ・エージェントから更新された第１の学習済みセキュリティ・ポリシーを受け取るステップであって、前記第１のセキュリティ・エージェントが、前記第１の実行環境に関連付けられた許可された更新を検出することに応答して前記第１の学習済みセキュリティ・ポリシーを更新するように構成されている、前記ステップと、
前記更新された第１の学習済みセキュリティ・ポリシーを受け取ることに応答して前記セキュリティ・ポリシー・データベース内の前記第１の学習済みセキュリティ・ポリシーを更新するステップと、
ノードの前記サブセットのうちの第２のノードに提供された少なくとも１つの第２のセキュリティ・エージェントに、前記更新された第１の学習済みセキュリティ・ポリシーを提供するステップと
を実行するようにさらに構成された、請求項１６ないし１８のいずれかに記載のシステム。
【請求項２０】
コンピュータ可読媒体に記憶され、デジタル・コンピュータの内部メモリにロード可能なコンピュータ・プログラムであって、前記プログラムがコンピュータ上で実行されるとプロセッサに請求項１ないし１０のいずれかに記載の方法を行わせるためのコンピュータ・プログラム。