(57)【特許請求の範囲】
【請求項１】
コンピュータネットワークへの不正侵入を解析する方法であって、
ネットワークデバイス上にホストされたハイパーバイザーオペレーティングシステム上で実行する仮想化されたオペレーティングシステムへのアクセスを許可し、
前記仮想化されたオペレーティングシステム上の攻撃識別情報を含むネットワーク攻撃を傍受するため、前記ハイパーバイザーオペレーティングシステム上で実行するバーチャルマシンベースのルートキットモジュール及びそれに関連するユーザーランドプロセスを含む内観モジュールを使用し、
前記攻撃識別情報から前記ネットワーク攻撃上のフォレンジックデータを生成し、
前記フォレンジックデータから攻撃シグネチャを生成し、
次の攻撃を識別するために前記攻撃シグネチャを使用する防御されたネットワークへのアクセスを制御するように構成された侵入防止システムに前記攻撃シグネチャを提供すること、
を含む方法。
【請求項２】
前記攻撃シグネチャを使用して前記防御されたネットワークへのアクセスを制御すること、を更に含む請求項１に記載の方法。
【請求項３】
前記攻撃シグネチャが人間の介入なしに自動的に生成される、請求項１に記載の方法。
【請求項４】
前記許可する前に、前記ネットワーク攻撃がなされる前記仮想化されたオペレーティングシステム上のポートを開放することを更に含む請求項１に記載の方法。
【請求項５】
前記ハイパーバイザーオペレーティングシステム上で実行する追加の仮想化されたオペレーティングシステムへのアクセスを許可し、
前記追加の仮想化されたオペレーティングシステム上の追加のネットワーク攻撃を傍受するために前記バーチャルマシンベースのルートキットモジュールを使用し、前記追加のネットワーク攻撃が攻撃識別情報を含むものであり、
前記追加の攻撃識別情報から前記追加のネットワーク攻撃上に追加のフォレンジックデータを生成すること、
を更に含む請求項１に記載の方法。
【請求項６】
前記追加のフォレンジックデータから追加の攻撃シグネチャを生成し、
前記攻撃識別情報を使用して防御されたネットワークへのアクセスを制御するように構成された侵入防止システムに前記追加の攻撃シグネチャを提供すること、
を更に含む請求項５に記載の方法。
【請求項７】
前記仮想化されたオペレーティングシステムと前記追加の仮想化されたオペレーティングシステムが異なるタイプのオペレーティングシステムである、請求項５に記載の方法。
【請求項８】
前記フォレンジックデータが、キーストローク、ＡＳＣＩＩまたはバイナリファイルを含む攻撃ペイロードに基づいて生成される、請求項１に記載の方法。
【請求項９】
前記フォレンジックデータが、メモリ操作の試みに基づいて生成される、請求項１に記載の方法。
【請求項１０】
攻撃者が前記仮想化されたオペレーティングシステムへのアクセスを成功裏に得ることができると、前記フォレンジックデータが生成される、請求項１に記載の方法。
【請求項１１】
前記フォレンジックデータをデータベースに記憶すること、を更に含む請求項１に記載の方法。
【請求項１２】
前記バーチャルマシンベースのルートキットモジュール及びそれに関連するユーザーランドプロセスが、前記仮想化されたオペレーティングシステムの外部で実行され、前記ネットワーク攻撃から隠れたままである、請求項１に記載の方法。
【請求項１３】
前記内観モジュールが、前記仮想化されたオペレーティングシステムのメモリを調査する、請求項１に記載の方法。
【請求項１４】
コンピュータネットワークへの不正侵入を解析するシステムであって、
前記システムは、仮想化されたオペレーティングシステムモジュールを備え、
前記仮想化されたオペレーティングシステムモジュールは、ハイパーバイザーオペレーティングシステムを備え、
前記ハイパーバイザーオペレーティングシステムは、
少なくとも1つの仮想化されたオペレーティングシステムと、
前記仮想化されたオペレーティングシステム上の攻撃識別情報の転送を含むネットワーク攻撃を傍受するように構成されたバーチャルマシンベースのルートキットを備える内観モジュールと、
ネットワークインターフェース通信チャネルを介して前記内観モジュールに電気的に接続された処理モジュールと、を備え、
前記処理モジュールは、
前記ネットワーク攻撃についてのフォレンジックデータを記憶するように構成されたデータベースと、
前記ネットワーク攻撃についての前記フォレンジックデータから１つ以上の攻撃シグネチャを生成するように構成された攻撃シグネチャ生成エンジンと、を備え、
前記１つ以上の攻撃シグネチャが攻撃開始から即時に近い時間から数分までの時間で生成され得るものである、
システム。
【請求項１５】
前記１つ以上の攻撃シグネチャが攻撃開始から即時に近い時間から数分までの時間で生成され得る、請求項１４に記載のシステム。
【請求項１６】
前記処理モジュールが、前記システムの構成及び管理者による捕捉された攻撃情報のフォレンジック解析を容易にするウェブベースの仮想化インターフェースを更に備える、請求項１５に記載のシステム。
【請求項１７】
前記攻撃シグネチャ生成エンジンに電気的に接続された侵入防止システムを更に備える、請求項１６に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
[0001]  本発明はコンピュータネットワークを防御する方法およびシステムの分野に関し、特に、これに限定されるものではないが、侵入検出および侵入防止システムに対する自動シグネチャ生成を有するおとりネットワーク技術に向けられる。
【背景技術】
【０００２】
[0002]  コンピュータネットワークは、通常、インターネットまたは他の公衆コンピュータシステムとインターフェース接続するので、好ましくない侵入や不正アクセスなどの攻撃に脆性である。ネットワークに対するひとつの脅威は、システムオペレータに知られていないセキュリティ脆弱性を利用するいわゆるゼロデイ攻撃である。
【０００３】
[0003]  従来のネットワークセキュリティシステムは、一般的にネットワークやそのコンピュータへの不正アクセスを防止するファイアウォールを含む。従来システムは、マルウェアのペイロードのシグネチャライブラリを典型的に包含する侵入検知システム（ＩＤＳ）および侵入防止システム（ＩＰＳ）も含み、プロダクションシステムへのアクセスを拒否されたエクスプロイトを検知することを可能にしている。ネットワークポートへの接続が試みられると、ＩＤＳまたはＩＰＳが低階層のＩＰデータパケットを調査し、照合のためのシグネチャライブラリと比較する。一致した場合、ＩＤＳまたはＩＰＳは一致の通知を出す。
【０００４】
[0004]  課題は、ネットワークへのアクセスを得るために、未だ確立していないまたはゼロデイ自動の攻撃を開始する決然たる攻撃者の能力と相まった従来のＩＤＳとＩＰＳシグネチャの静的性質にある。行動パターンを捕捉することのできる行動シグネチャを備える侵入防止システム（ＩＰＳ）は高度な防御を提供するが、行動シグネチャが実際は依然として静的であり、ゼロデイ攻撃を止めることに制限されるという同様の欠点を持つ。
【０００５】
[0005]  さらに、別のタイプのネットワークセキュリティシステムは、疑わしい攻撃者を引きつけ、そして罠に掛けるハニーネットアレンジメントを利用する。ハニーネットは、ネットワーク上の２つかそれ以上のハニーポットで構成される。このような手段は、ネットワークの一部に見え、かつ、１つ以上の価値のあるターゲットに見えるコンピュータやデータ、ネットワークサイトで構成されるが、実際は生産ネットワークから離れて位置する隔離された構成要素である。それらは、通常、スパマや他の低階層攻撃に効果がある受身の手段である。このようなシステムは、通常、エミュレートしたオペレーティングシステムおよびサービスを実行し、捕捉、解析するためのハニーネットに対するゼロデイ攻撃またはペイロードを一度もアンロードせずに、ハニーネットを検出し、効果的に回避することができる巧みな攻撃者に対しては一般的に有効ではない。また、従来ハニーネット構造がネットワークシステムから十分に引き離されていなければ、攻撃者は、ネットワークへのアクセスを得るためにハニーネットを使うことができる。エニュレートしたまたはソフトウェアベースのハニーポットの例は、ネットワーク構造をシミュレートするために利用されるＧＰＬのライセンスを受けたデーモンである“ｈｏｎｅｙｄ”を含む。別のエニュレートしたソフトウェアベースのハニーポットの例は、同じくＧＰＬの下で公開され、マルウェアを収集するのに利用される“ｍｗｃｏｌｌｅｃｔ”および“ｎｅｐｅｎｔｈｅｓ”を含む。“ｍｗｃｏｌｌｅｃｔ”および“ｎｅｐｅｎｔｈｅｓ”のパッケージは、エクスプロイトペイロードからマルウェアバイナリを得ることに関する情報を抽出する。
【０００６】
[0006]  上記の各課題および制限は先行技術デバイスおよびシステムにあるので、新しく、未だ確立されていない攻撃からネットワークを適宜防御し、攻撃シグネチャのネットワークライブラリに対するリアルタイムアップデータを考慮する方法とシステムが必要である。
【発明の概要】
【０００７】
[0007]  本発明の1つまたはそれ以上の実施形態は、コンピュータネットワークを防御するための改良された方法およびシステムに向けられる。1つの実施形態において、本発明は、クライアントハードウェアモジュール上で十分に機能するオペレーティングシステムを実行するモジュラーデコイネットワーク装置(appliance)を備える。モジュラーアレンジメントは、フロントエンドの十分に機能するオペレーティングシステムおよび別個のバックエンド処理モジュールを含む。
【０００８】
[0008]  フロントエンドは、脆弱なシステムを識別するため攻撃者が通常使用するツールによってスキャンされた場合、標準のオペレーティングシステムのフィンガープリントを返す、Ｗｉｎｄｏｗｓ（登録商標）またはＬｉｎｕｘ（登録商標）のフレーバー、またはＳｕｎ  Ｍｉｃｒｏｓｙｓｔｅｍｓ  Ｓｏｌａｒｉｓ（登録商標）のような標準の十分に機能するオペレーティングシステムである。攻撃者は、識別されたオペレーティングシステムにアクセスし、そのシステム上でカスタムまたは既知のエクスプロイトを実行するように誘い込まれる。
【０００９】
[0009]  フロントエンドモジュールは、Ｗｉｎｄｏｗｓ（登録商標）のカーネルモジュールリストまたはレジストリから取り去られているため、システムスキャナから隠蔽されたセンチネルカーネルドライバ（またはより一般化した実行可能なモジュール）を含む。したがって、カーネルは、センチネルカーネルモジュールドライバが実行しているということを示さない。センチネルカーネルドライバは、オペレーティングシステムへの接続の他、オペレーティングシステム上のアクティビティおよびオペレーティングシステム上で実行するサービス上のアクティビティを監視する。攻撃者がポートに接続すると、センチネルカーネルドライバは、ソケットを介して入力されるデータを捕捉する。一般的に全ての関連するデータが捕捉される。ほとんどの場合、これは、入力される攻撃の一部として受信されるどんなデータもセンチネルドライバによって捕捉されるということを意味する。捕捉されたデータは、脆弱なフロントエンドモジュールから離れたファブリックネットワーク接続を通じて、多数の一般的なＵＤＰパケットとしてバックエンド処理モジュールに送られる。この様にして、侵入者にとってオペレーティングシステムとの自らの通信が解析されているということを知る術はない。
【００１０】
[0010]  捕捉されたデータは、攻撃識別情報を包含しており、Ｌａｙｅｒ  ２  イーサネット（登録商標）通信プロトコルを使用して装置のバックプレーンファブリックを介してバックエンドまたは処理モジュールに送られる。処理モジュールは、クライアントオペレーティングシステムモジュールから離れて独立しており、プライベートでかつセキュアなＶＬＡＮに接続したネットワークポートを介して処理された情報をセキュリティ管理者へ通信する。侵入者に気づかれずに、エクスプロイトは捕捉、転送および解析される。
【００１１】
[0011]  受信したデータで、処理モジュールは攻撃のレポートを生成する。レポートは、システム管理者に対して、攻撃の詳細を説明するユーザに理解しやすい情報から成る。これは、どのソケットがアクセスされたか、特定のソケットに何が起こったか、入力されたキーストロークまたはポートに転送されたバイト、どのファイルが転送されたか、レジストリの変更、どのように攻撃が実行されたか、サーバ上のプライマリネットワーク上で何が起こったか、またはネットワークサービスがどのように影響を受けたかといった情報を含む。レポートは、攻撃者または攻撃者のサービスプロバイダの位置に関する情報も含み得る。地域や国別の、攻撃場所に関する鍵となる情報およびインタラクティブマップのグラフィック表示も、本発明の1つまたはそれ以上の実施形態において利用され得る。
【００１２】
[0012]  処理モジュールは、ソケットを通過する全てのデータを解析することによって攻撃シグネチャを生成するために使用される。シグネチャは、キーストロークまたは転送されたバイトおよびＡＳＣＩＩまたはバイナリ形式のクライアントオペレーティングシステムにアップロードされたあらゆるファイルを解析することによって、生成される。アップロードされたファイルは、コンパイルプログラムまたはインタプリタスクリプトの形式で、悪意あるペイロードを伝達するように作られた悪意ある性質と見なされる。オペレーティングシステムに悪意あるファイルが１つもアップロードされない場合には、シグネチャ生成エンジンはソケットを介して伝達された全てのキーストロークまたはバイトを解析し、ＩＤＳまたはＩＰＳシステムに適用されると、ＩＤＳまたはＩＰＳシステムが、生産システム上で繰り返されたならば攻撃を検出できるようにするパターンシグネチャを作成する。一旦生成されると、攻撃シグネチャは、行動の適切なコースを決めるためにシステム管理者によって調査され得る。システム管理者は、生産システムを防御するためにシグネチャがＩＤＳまたはＩＰＳのシグネチャライブラリに追加される場合、防御されたネットワークに対する侵入検出システム（ＩＤＳ）または侵入防止システム（ＩＰＳ）にアップロードされるよう、シグネチャに命令を出すことができる。本発明の１つまたはそれ以上の実施形態において、シグネチャは、全ての既知のエクスプロイトを維持する第三者システムにアップロードまたは保存され得る。このようにして、他のシステムは、差し迫った脅威のセキュアなチャネルを介して通知され得る。例えば、複数の装置（installation)と通信する集中サーバにシグネチャを転送することによって、侵入者は、他社の他のシステムを攻撃する前に阻止され得る。
【００１３】
[0013]  生産ネットワークのシグネチャライブラリは、攻撃者が不正なアクティビティを変更しまたは新たな攻撃が始まると、リアルタイムでアップデートされる。実施形態は、あらゆるおよび全ての生成された攻撃シグネチャのデータベースを維持することもできる。他の更なる利点は、詳細な説明およびクレームで記載し、明らかにされ、当業者にとっては明らかなことであろう。
【００１４】
[0014]  別の実施形態は、コンピュータネットワークへの不正侵入を解析するシステムおよび方法を提供する。アクセスは、デコイネットワークデバイス上にホストされたハイパーバイザーオペレーティングシステム上で実行する1つまたはそれ以上の仮想化されたデコイオペレーティングシステムへの1つまたはそれ以上のオープンポートを介して許可される。これは、１つの仮想化されたデコイオペレーティングシステムの上のポートを開放することによってなされるだろう。仮想化されたオペレーティングシステム上のネットワーク攻撃は、ハイパーバイザーオペレーティングシステム上で実行するバーチャルマシンベースのルートキットモジュールによって解釈実行される。攻撃識別情報は、プライベートネットワークインターフェースチャネルを介して通信され、フォレンジックデータとしてデータベースサーバ上に記憶される。シグネチャ生成エンジンは、攻撃のシグネチャを生成するためにこのフォレンジックデータを使用する。侵入防止システムは、続く攻撃を識別および防止するために攻撃シグネチャを使用する。
【図面の簡単な説明】
【００１５】
【図１】図１はシステム実施形態のブロック図を示す。
【図２】図２は処理モジュール４０上に起こる処理の実施形態のフローチャートを示す。
【図３】図３は人間が読める攻撃例の要約を示す。
【図４】図４はＩＤＳまたはＩＰＳへの送信用の、図３にて要約された攻撃から生成されたＸＭＬフォーマットの攻撃シグネチャを示す。
【図５】図５はシステムの別の実施形態のブロック図を示す。
【発明を実施するための形態】
【００１６】
[0020]  発明の実施形態の次の記述は、限定的というよりは、例示的であり、変更や修正は発明の要旨および精神を逸脱するものではない。本発明の十分な理解を提供するため、多くの具体的な詳細が示されるが、このような具体的な詳細がなくとも発明の実施形態が実施されうることは、当業者にとって明らかである。他の例では、本発明を不必要に曖昧にするのを避けるため、公知の特徴は詳細に説明されていない。
【００１７】
[0021]  本発明の１つまたはそれ以上の実施形態は、コンピュータネットワークを防御するための改良された方法およびシステムに向けられる。１つの実施形態は図１に示され、防御されたコンピュータネットワーク２０をターゲットにしている攻撃者アクティビティ１０を示している。典型的な攻撃のように、ネットワーク２０上の１つまたはそれ以上の防御されたネットワークデバイス２０ａに接続し、そしてアクセスを企てようとして、攻撃１０は、コンピュータネットワーク２０上のオープンポートをスキャンする。
【００１８】
[0022]  攻撃１０は、少なくとも１つの監視／傍受モジュール３０を含むデコイ１００に監視される。監視／傍受モジュール３０はネットワーク２０に対する各アクセスポートを監視する、十分に機能するデコイオペレーティングシステム３２を備える。当業者に既知のＷｉｎｄｏｗｓ（登録商標）やＳｕｎ  Ｍｉｃｒｏｓｙｓｔｅｍｓ  Ｓｏｌａｒｉｓ（登録商標）、あらゆるバージョンのＬｉｎｕｘ（登録商標）を含むあらゆるオペレーティングシステムを、デコイオペレーティングシステム３２として使うことができる。全ての既知のオペレーティングシステムが本発明の要旨内である。図１はフォアグラウンドにある１つの監視／傍受モジュール３０を示しているが、同種または異種の監視／傍受モジュールをいくつでも利用することができる（監視／傍受モジュール３０の後ろにスタックとして示されている）。例えば、本発明の１つの実施形態では、Ｗｉｎｄｏｗｓ（登録商標）の監視／傍受モジュール３０とＬＩＮＵＸ（登録商標）の監視／傍受モジュール３０を使用することができる。システムで利用される監視／傍受モジュールの数に制限はなく、他の実施形態では、同じまたは異なるバージョンの同種のデコイオペレーティングシステム３２を使用することができる。監視／傍受モジュール３０は、以下で詳細が説明されるセンチネルカーネルドライバ３４も含む。防御されたネットワークデバイス２０ａは、本発明の１つまたはそれ以上の実施形態において、シグネチャライブラリを有するＩＤＳ／ＩＰＳを介してアクセスされる。システムはまた、エクスプロイトを得て、解析するための処理モジュール４０を含む。
【００１９】
[0023]  攻撃１０がネットワーク２０のアクセスポートに接続したとき、十分に機能するデコイオペレーティングシステム３２は接続を傍受し、標準のオペレーティングシステムのフィンガープリントを返す。例えば、防御されたネットワーク２０に存在しないアドレスに接続すると、そのアドレスに防御されたネットワーク２０上のハードウェアが存在しないとして、接続は悪意のあるものとみなされるため、デコイ３０は、そのようなあらゆる間違ったアドレスに応答するように構成されてもよい。応答は、定められたオペレーティングシステムおよび監視／傍受モジュール３０内のバージョンを有する、あらゆる既存のハードウェアモジュールを利用するように構成されてもよい。例えば、Ｗｉｎｄｏｗｓ（登録商標）に対するＦＴＰポートアクセスは、ＬＩＮＵＸ（登録商標）に対するＦＴＰ応答とは異なる特定の文字列を返答し得る。Ｗｉｎｄｏｗｓ（登録商標）ポートへのＦＴＰアクセスは、例えば、“＞ｆｔｐ：ｃｏｎｎｅｃｔ：Ｃｏｎｎｅｃｔ  ｒｅｆｕｓｅｄ”と応答を返すことができる。この文字列はＬＩＮＵＸ（登録）上ではわずかに異なり、したがって、侵入者に、どのタイプのオペレーティングシステムが特定のネットワークアドレスにあるか、決定させることができる。さらに、Ｗｉｎｄｏｗｓ（登録商標）の異なるバージョンは、侵入者にオペレーティングシステムの特定のバージョンまたは応答オペレーティングシステムに対する可能なバージョンの範囲を決めさせる、わずかに異なる文字列で応答することができる。攻撃１０の扇動者は、かくして、監視／傍受モジュール３０を含むデコイ１００へのアクセスし、監視下のオペレーティングシステムに対するカスタムまたは既知のエクスプロイトを実行するように誘い込まれる。攻撃者のアクティビティがデコイ１００と交信し始めると、攻撃者は、デコイ１００に、デコイ１００の制御を得るのに使われたデータを提供し、そのデータは攻撃者の自覚なしに記録、解析される。
【００２０】
[0024]  攻撃１０による全てのスキャンは、実世界のオペレーティングシステム情報を受け、したがって、潜在的に脆弱な応答システムがあると攻撃１０の扇動者に思わせて、攻撃者１０を監視／傍受モジュール３０と通信するように誘い込む。本物のハードウェアが利用されているため、攻撃者は、実際の物理的なシステムを攻撃し、したがって、システムが攻撃者の全ての動きを監視する実際に計装された(instrumented)ハニーポットであることは知らない。
【００２１】
[0025]  監視／傍受モジュール３０は、センチネルカーネルドライバ３４を含む。１つの実施形態では、センチネルカーネルドライバ３４は、Ｗｉｎｄｏｗｓ（登録商標）をベースにしたオペレーティングシステムにおいて、Ｍｉｃｒｏｓｏｆｔ（登録商標）のクライアント／サーバ・ランタイム・サーバサブシステム（ＣＳＲＳＳ．ｅｘｅ）からポインタを取り除くカスタムルートキットコードの組み合わせである。Ｗｉｎｄｏｗｓ（登録商標）のレジストリからセンチネルカーネルドライバ３４を取り除くことと相まったこの組み合わせは、センチネルカーネルドライバ３４とその全てのドライバを攻撃１０から効果的に隠す。Ｕｎｉｘ（登録商標）ベースのオペレーティングシステム上では、カーネルが実行プロセスに連結できないようにし、センチネルカーネルドライバ３４とその全てのライブラリを攻撃１０から効果的に隠して、カーネルポインタは取り除かれる。センチネルカーネルドライバ３４は、ソケットを介して来る全てのデータを監視し、当業者に知られているｌｉｂｐｃａｐのようなオープンソースコードから引き出される。
【００２２】
[0026]  攻撃者がポートに接続して、デコイオペレーティングシステム３２と交信を開始すると、センチネル３４は、ポート番号、データストリーム、キーストローク、ファイルアップロード、およびあらゆる他のデータ転送を含む接続からの情報を監視、捕捉する。
【００２３】
[0027]  捕捉された情報または攻撃者識別情報は、その後、図１で示すように、処理モジュール４０に処理のため送られる。処理モジュール４０は、センチネルカーネルドライバから情報を受け、後の解析のためデータベースに情報を預けるセンチネルサーバを任意に含むことができる。１つの実施形態において、監視／傍受モジュール３０は、フロントエンドモジュールまたは一連のモジュールであり、捕捉されたデータは、ＩＰ接続または当業者に既知であるあらゆる他のハードウェア依存カスタム通信プロトコルといった、攻撃者には利用できないレイヤ２イーサネット（登録商標）コミュニケーションリンクを介し、１つまたは複数の装置のバックプレーンを介して、処理モジュール４０に送られる。処理モジュール４０は、セキュアで、独立した管理ネットワーク４２の一部である。１つまたはそれ以上の実施形態において、ＩＤＳ／ＩＰＳ６２と直接交信するために処理モジュール４０により使用される第２のネットワーク接続を介して、シグネチャは、バックエンド処理モジュール４０からＩＤＳ／ＩＰＤ６２に送られ得る。センチネルカーネルドライバは、オペレーティングシステム上の攻撃に応答し、逆に、攻撃前の状態にオペレーティングシステムをきれいにするような応答機能を使用することができる。このようにして、攻撃は阻止され、そして、オペレーティングシステムはハッカーのツールにはならない。
【００２４】
[0028]  図２に示すように、処理は２００で始まり、ステップ４３でセンチネルカーネルドライバ３４からのアクティビティを待つ。ステップ４４では、処理モジュール４０が攻撃識別情報を含む攻撃のレポートを生成する（図３参照）。このレポートは、防御されたネットワーク２０を管理する責任があるシステム管理者が使用、検査するためのものである。攻撃は、例えば、ステップ４６で解析される１つまたはそれ以上のデータ転送またはキーストロークを含むことができる。攻撃者がシステムとの交信に成功するか、つまり、攻撃者がアクセスを得たことを示すようにシステムが応答するかを観察することにより、ステップ４８で攻撃シグネチャを生成するかの決定がなされ、ステップ５２で攻撃シグネチャは生成される（図４参照）。攻撃者が、例えば、アクセスを得ることに失敗した、または、データ転送がない場合は、ステップ５０で攻撃調査は終わることができる。ステップ５６で生成されたあらゆる攻撃シグネチャがＩＤＳ／ＩＰＳに送られ、ステップ４３で処理が続く。
【００２５】
[0029]  本発明の１つ実施形態では、レポートは書かれ、ウェブベースの仮想化インターフェースで表示され、また、どのソケットが攻撃１０にアクセスされたか、特定のソケットに何が起きたか、キーストロークが入力されたのかまたはデータが転送されたのか、どのファイルが転送されたか、どのように攻撃１０が実行されたか、監視／傍受モジュール３０に何が起きたか、そして、デコイオペレーティングシステム３２および関係するあらゆるネットワークサービスはどのように影響を受けたか、といった情報を含むことができる。レポートは、攻撃１０の扇動者または攻撃１０に対して使われたサービスプロバイダの位置に関する情報も含むことができる。地域や国別の、攻撃場所に関する鍵となる情報およびインタラクティブマップのグラフィック表示も、レポートの中に含むことができる。
【００２６】
[0030]  ステップ４６では、攻撃識別情報は、繰り返しのバイナリパターン、キーストロークパターン、ダウンロードされたデーモン、またはバッファオーバーフローを試みるといったエラーなどの、既知の攻撃パターンおよび標準的ではないパターンについて、解析される。デコイオペレーティングシステム３２上で行われるオペレーションを観察して、例えば、攻撃がどのようにデコイオペレーティングシステム３２の制御を得るのか、ということを決定するように、攻撃は分類、解析される。バイナリ照合、ニュートラルネットワークを用いる照合、もしくはキーワード照合など、入力データを解析するあらゆる方法、または攻撃識別情報を照合するあらゆる他の方法も、発明の精神に沿うものである。
【００２７】
[0031]  ステップ４８では、攻撃シグネチャを生成するかについて決定される。攻撃１０の結果、有害なオペレーションが発生しない、または既知の攻撃パターンが発見されない場合には、ステップ５０に示すようにそれ以上の攻撃調査は必要なくなる。処理モジュール４０は、監視／遮断モジュール３０から取り込まれた情報の次のインプットに取り掛かることができる。
【００２８】
[0032]  攻撃シグネチャの生成が認められる決定がされると、ステップ５２に示すように、攻撃シグネチャは生成される。本発明の１つまたはそれ以上の実施形態において、処理モジュール４０は、データがソケットを介して転送されるのが見つかるたびに、シグネチャを生成し得る。あるいは、攻撃シグネチャがすでに存在している、または、データ転送が攻撃よりむしろ検査（probing）の性質を示す場合に、攻撃シグネチャは生成されなくてもよい。例えば、データ転送なしにソケットの開閉があったとしても、ソケットを通してデータが何も転送されていないことが見つかる場合、処理モジュール４０はシグネチャを生成しなくてもよい。一旦、攻撃シグネチャが生成されると、防御されたネットワーク２０または侵入者が観察しているかも知れないあらゆる他のネットワーク上では一般的に送られない無線接続を含む標準的なネットワーク接続を介して、攻撃シグネチャを、ステップ５６で示されるように、防御されたネットワーク２０に対する侵入検出システム（ＩＤＳ）または侵入防止システム（ＩＰＳ）に送る決定をするシステム管理者により、シグネチャは検査され得る。このことは、ゼロデイ攻撃によってプライマリネットワークへ攻撃者がアクセスするのを防ぐため、シグネチャライブラリに包含される情報を更新するように、生成された攻撃シグネチャをＩＤＳ／ＩＰＳのシグネチャライブラリに適用することで、達成される。
【００２９】
[0033]  ステップ５６の実施形態では、システム管理者による今後の使用またはさらなる解析のために、データベース上に生成された攻撃シグネチャを保存することができる。さらなる解析のため、シグネチャはまた、攻撃シグネチャのプロプリエタリグローバルデータベースに送られるだろう。本発明の１つまたはそれ以上の実施形態で、あらゆるＩＤＳ／ＩＰＳも利用され得る。既存のあらゆるＩＤＳ／ＩＰＳは、例えば、既存のソリューションと一体化するためにインターフェース接続されるかもしれない。
【００３０】
[0034]  図３は、人間が読める攻撃例の要約を示す。ライン３００は、ファイル“ｍｓｐｒｅｘｅ．ｅｘｅ”が“Ｓｙｓｔｅｍ”ディレクトリにコピーされることを示す。ライン３０１は、攻撃により作られた第１のレジストリエントリを示す。ライン３０２は、攻撃により作られた第２のレジストリエントリを示す。攻撃識別情報の一部として、システムに対するあらゆる他の変更は示されることができ、図３に示される情報は例示にすぎない。
【００３１】
[0035]  図４は、ＩＤＳまたはＩＰＳへの送信用に、図３で要約された攻撃から生成されたＸＭＬフォーマットの攻撃シグネチャを示す。ＸＭＬブロック４００は、特定のＩＤＳまたはＩＰＳ形式で攻撃シグネチャを定義するタグを含む。あらゆるＩＤＳまたはＩＰＳに使用されるあらゆるタグは、発明の精神に沿うものであり、図４に示されるタグは例示にすぎない。攻撃シグネチャをＩＤＳまたはＩＰＳに知らせるために、例えば、あらゆるポート、プロトコル、厳格度レベル、警告レベル、シグネチャ名またはあらゆる他の量（quantity）が利用され得る。
【００３２】
[0036]  コンピュータネットワークへの不正侵入を解析、防止するためのシステムの別の実施形態が図５で示される。この実施形態は、デコイコンピュータネットワークへの不正侵入を解析、つまり防御されたコンピュータネットワークへの不正アクセスを防ぐために何が使用されるかという解析のための改良された方法およびシステムに向けられる。このようなシステムの実施形態が図５に示されるが、方法は上記図２のフローチャートで引き続き示される。
【００３３】
[0037]  システム５００は、図５に示されるように、デコイコンピュータネットワーク５０２と、防御されたコンピュータネットワーク５０４を含み、それぞれが１つまたはそれ以上の別個のコンピュータデバイスを備える。デコイコンピュータネットワーク５０２は、デコイネットワーク５０２を監視するための仮想化されたオペレーティングシステムモジュール５０６と、エクスプロイトを獲得し、解析し、応答するための処理モジュール５０８を含む。
【００３４】
[0038]  これらのモジュールは、同一または別個のコンピュータデバイスにホストされ得る。しかしながら、説明を簡略化するため、これらのモジュールは別個のコンピュータデバイスにホストされるものとして以下で説明される。そのうえ、示されてはいないが、当業者は、それぞれのコンピュータデバイスが、1つまたはそれ以上のプロセッサ、インプット／アウトプットデバイス、通信回路、電源、メモリ（物理的なもの、例えばＲＡＭ、およびディスク、例えばハードディスクドライバの両方）、および前述のモジュールをホストし、実行するために必要なあらゆる他の物理的なハードウェアを含むことができるということを認識するであろう。いくつかの実施形態において、一旦システムがブートされ操作可能になると、モジュール５０６と５０８は、物理メモリに存在する。
【００３５】
[0039]  仮想化されたオペレーティングシステムモジュール５０６は、同時にホストコンピュータデバイス上で複数の仮想オペレーティングシステムを実行させる仮想化プラットホームを提供する、ハイパーバイザーオペレーティングシステム５１０（バーチャルマシン監視オペレーティングシステムとしても知られる）を含む。いくつかの実施形態において、ハイパーバイザーオペレーティングシステム５１０は、ＬＩＮＵＸ（登録商標）ベースのシステムである。１つまたはそれ以上の十分に機能する仮想化された“ゲスト”オペレーティングシステム５１２が、ハードウェアより上のレベルで、ハイパーバイザオペレーティングシステム５１０上で実行される。以下に詳細が説明されるように、これらの仮想化されたオペレーティングシステム５１２は、攻撃者アクティビティ５５０を引き付けるために、デコイオペレーティングシステムとして振る舞う。あらゆるオペレーティングシステムがゲストデコイオペレーティングシステム５１２として使用することができ、以下に限定されるものではないが、当業者に既知のＷＩＮＤＯＷＳ（登録商標）、ＳＵＮ  ＭＩＣＲＯＳＹＳＴＥＭＳ  ＳＯＬＡＲＩＳ（登録商標）、もしくはあらゆるバージョンのＬＩＮＵＸ（登録商標）、および前記のあらゆる組み合わせが含まれる。全ての既知のオペレーティングシステムが、本発明の要旨内であると認識すべきである。仮想化されたゲストデコイオペレーティングシステム５１２の数や利用され得る仮想化されたゲストオペレーティングシステムモジュール５０６の数に制限もない。
【００３６】
[0040]  またハイパーバイザーオペレーティングシステム５１０上で実行することは、通常のハイパーバイザーオペレーティングシステムユーザーランドプロセス５１４である。ハイパーバイザーオペレーティングシステム５１０は、ハイパーバイザーカーネル５１６を含み、いくつかの実施形態においてハイパーバイザーカーネル５１６はＬｉｎｕｘ（登録商標）ベースでもある。ハイパーバイザーカーネル５１６は、物理メモリに常駐するハイパーバイザーオペレーティングシステム５１０の一部であり、ハイパーバイザーオペレーティングシステム５１０に基本サービスを提供する。ハイパーバイザーカーネル５１６は、直接的にハードウェアを起動し、または、順番にハードウェアを駆動する別のソフトウェア層とインターフェース接続するオペレーティングシステムの一部である。仮想化されたデコイオペレーティングシステム５１２は、ハイパーバイザーカーネル５１６を介し、ハイパーバイザーオペレーティングシステムによってそれぞれ割り当てられた物理メモリにアクセスする。
【００３７】
[0041]  ハイパーバイザーカーネル５１６は、“ゲスト”デコイオペレーティングシステム５１２の仮想化をサポートするハイパーバイザーバーチャルマシンカーネルモジュール５１８を含む。ハイパーバイザーカーネル５１６は、ハイパーバイザーバーチャルマシンカーネルモジュール５１６に接続したバーチャルマシンベースのルートキットモジュール５２０をも含む。バーチャルマシンベースのルートキットモジュール５２０は、実行プロセス、ファイル、またはシステムデータを、仮想化されたデコイオペレーティングシステム５１２から隠すソフトウェアツールセットである。以下でさらに詳細が説明されるように、バーチャルマシンベースのルートキットモジュール５２０は内観（introspection）モジュール５３８の一部であり、仮想化されたデコイオペレーティングシステム５１２のそれぞれに割り当てられた物理メモリセグメントの内観を行う。
【００３８】
[0042]  バーチャルマシンベースのルートキットユーザーランドプロセス５２２は、バーチャルマシンベースのルートキットモジュール５２０の上で実行される。ルートキットモジュール５２０とその関連するユーザーランドプロセス５２２はともに、システムの内観モジュール５３８を構成する（以下でさらに説明される）。バーチャルマシンベースのルートキットユーザーランドプロセス５２２もまた、内観モジュール５３８から処理モジュール５０８へとデータを送る。
【００３９】
[0043]  使用にあたって、攻撃者アクティビティ５５０のためのゲートウエイとして開放されたままになっている仮想化されたデコイオペレーティングシステム５１２のそれぞれの1つまたはそれ以上のポートを介して、攻撃者アクティビティ５５０は、デコイコンピュータネットワーク５０２をターゲットにしている。例えば、デコイネットワーク５０２は、防御されたネットワーク５０４上に存在しないネットワークアドレスに接続する試みに対して応答するよう構成され得る。生産ハードウェアが防御されたネットワーク５０４上のこれらのアドレスに存在しないため、これら存在しないネットワークアドレスへの接続は、悪意あるものとみなされる。デコイ５１２（仮想化されたオペレーティングシステムの形式）は、このような存在しないあらゆるネットワークアドレスに応答するように構成され得る。典型的な攻撃にあるように、攻撃者アクティビティ５５０は、表面上、ネットワーク接続をし、そして防御されたコンピュータネットワーク５０４上の1つまたはそれ以上のコンピュータデバイスにアクセスしようして、オープンポートをスキャンする。しかしながら、攻撃者アクティビティ５５０が、存在しないアドレスでオープンポートをスキャンすると、攻撃者は、代わりに、仮想化されたデコイオペレーティングシステム５１２を与えられる。
【００４０】
[0044]  攻撃者アクティビティ５５０が、オープンポートを介して仮想化されたオペレーティングシステム５１２に接続すると、攻撃者は十分に機能する標準のオペレーティングシステムのフィンガープリントを認識する。仮想化されたオペレーティングシステムモジュール５０６は、十分に機能する仮想化されたデコイ５１２として、あらゆるオペレーティングシステムを提供するように構成され得るので、攻撃者アクティビティ５５０からの接続リクエストに対する応答は、そのデコイ上で実行するオペレーティングシステムにとって信頼できるものと保証される。例えば、ＷＩＮＤＯＷＳ（登録商標）へのＦＴＰポートアクセスリクエストは、ＬＩＮＵＸ（登録商標）に対するＦＴＰ応答とは異なる特定の文字列を返答するだろう。同様に、ＷＩＮＤＯＷＳ（登録商標）ポートへのＦＴＰアクセスリクエストは、応答“＞ｆｔｐ：  ｃｏｎｎｅｃｔ：  Ｃｏｎｎｅｃｔｉｏｎ  ｒｅｆｕｓｅｄ”を返すかも知れない。この文字列は、ＬＩＮＵＸ（登録商標）により生成されたものとはわずかに異なっているだろう。さらに、ＷＩＮＤＯＷＳ（登録商標）の異なるバージョンは、わずかに異なるバージョン特定の文字列で応答するだろう。攻撃者は、どのタイプのオペレーティングシステムが特定のネットワークアドレスにあるか、また、そのオペレーティングシステムのバージョン（もしくは可能なバージョンの範囲）を識別するためにしばしばこれらの文字列を使用するので、仮想化されたデコイオペレーティングシステム５１２が信頼できる応答を生成するという事実が、それらをリアルなデコイにして、侵入者がアクセスするように促す。攻撃者５５０の扇動者は、デコイ５１２にアクセスするよう誘い込まれ、デコイ５１２は、ハードウェアベースの仮想化されたオペレーティングシステムモジュール５０６上で実行するハイパーバイザーオペレーティングシステム５１０によって監視される。攻撃者アクティビティ５５０は、それから、監視下のオペレーティングシステムに対するカスタムまたは既知のエクスプロイトを始めるだろう。攻撃者アクティビティ５５０がデコイ５１２との交信を開始すると、攻撃者はデコイ５１２にデコイ５１２の制御を得るために使用されるデータを提供する。これらのデータは、以下に詳細が説明されるように、攻撃者の自覚なしに記録、解析される。
【００４１】
[0045]  攻撃５５０による全てのスキャンは、潜在的に脆弱な応答システムがあると攻撃５５０の扇動者に思わせながら、実世界のオペレーティングシステムおよびサービス情報を受ける。攻撃者は、したがって、仮想化されたオペレーティングシステムモジュール５０６並びにその仮想化されたデコイオペレーティングシステムおよびサービスと通信するように誘い込まれる。本物のハードウェアが利用されているため、攻撃者は、実際の物理的なシステムを本質的に攻撃し、それゆえ、システムが以下で説明される内観モジュール５３８から攻撃者アクティビティ５５０を監視する実際に備えられたハニーポットであることを知らない。
【００４２】
[0046]  上述したように、仮想化されたゲストオペレーティングシステムモジュール５０６は、バーチャルマシンベースのルートキットモジュール５２０およびその関連するユーザーランドプロセス５２２を含む。バーチャルマシンベースのルートキットモジュール５２０およびその関連するユーザーランドプロセス５２２の両者は、仮想化されたデコイオペレーティングシステム５１２の完全に外部で実行されるため、デコイオペレーティングシステム５１２の性能には発見できる影響を与えず、攻撃の扇動者からは隠れたままである。1つの実施形態において、バーチャルマシンベースのルートキットモジュール５２０およびその関連するユーザーランドプロセス５２２は、仮想化されたデコイオペレーティングシステムのメモリセグメントを監視し、内観する内観モジュール５３８（バーチャルマシンベースのメモリ内観解析ツールとしても知られる）を構成する。これは、ハイパーバイザーオペレーティングシステム５１０内から発生する。内観モジュール５３８は、ハイパーバイザーオペレーティングシステム５１０によりサポートされるあらゆる仮想化されたオペレーティングシステム上の情報を内観、収集する。
【００４３】
[0047]  バーチャルマシンベースのルートキットモジュール５２０およびその関連するユーザーランドプロセス５２２を備える内観モジュール５３８は、デコイオペレーティングシステムと攻撃アクティビティ５５０間の交信に関する低階層のデータを取得するために、仮想化されたデコイオペレーティングシステム５１２に割り当てられたメモリを調査する。内観モジュール５３８は、コード領域セレクタ、トレースインスツルメンタ、およびトレースアナライザの３つの機能性構成要素によって仮想化されたデコイオペレーティングシステム５１２のメモリを調査する。正規表現（‘ｒｅｇｅｘ’としても知られる）は、仮想化されたデコイのメモリセグメントのコンテンツを識別し、記述し、そしてプロファイルするためプロセスを通して使用される。コードセレクタは、さらなる内観にとって関心領域であるメモリ内のコード領域を識別する。関心領域は、以下に限定されるものではないが、システムコール、システムコールの引数、システムコールの返値、デバイスおよびメモリの入出力、ドライバ情報、ライブラリコール、分岐情報、命令ポインタジャンプ、並びに未処理のネットワーク情報を含むことができる。インスツルメンタは、コードセレクタによって識別された関心領域のメモリトレースをコピーし、そしてプロファイルし、計装する。トレースアナライザは、計装されたトレースを取り上げ、デコイオペレーティングシステム５１２のメモリ行動を再生するためにそれらを使用する。このようにして、内観モジュール５３８は、処理モジュール５０８により解析のためのフォレンジック（forensic）データを生成し、抽出する計装されたコンテキストでデコイオペレーティングシステム５１２のメモリセグメントの内容を調査する。
【００４４】
[0048]  攻撃者がネットワークポートに接続し、仮想化されたデコイオペレーティングシステム５１２とインターフェース接続を開始すると、内観モジュール５３８はポート番号、データストリーム、ファイルアップロード、キーストローク、ＡＳＣＩＩまたはバイナリファイル、悪意あるペイロード、メモリ操作の試み、およびあらゆる他のデータ転送または悪意ある試みを含む、接続からの情報を監視し、捕捉する。
【００４５】
[0049]  捕捉された情報は、攻撃識別情報を包含し、そしてバーチャルマシンベースのルートキットユーザーランドプロセス５２２によって、内観モジュール５３８から処理モジュール５０８へ転送される。
【００４６】
[0050]  処理モジュール５０８は、いくつかの実施形態においてＬＩＮＵＸ（登録商標）ベースでもあるオペレーティングシステムカーネル５２６を含む。処理モジュール５０８はまた、リレーショナルデータベースサーバ５２８のようなデータベース、およびシグネチャ生成エンジン５３０を含む。いくつかの実施形態において、シグネチャ生成エンジン５３０は、プライベートネットワークインターフェース通信チャネル５３４を通じて内観モジュール５３８と通信し、ＢＡＴ（ブレードアクティビティ転送）というカスタムフォーマットのプロトコルパケットを受け取る。プライベートネットワークインターフェース通信チャネル５２４は、攻撃者から見られないまたはアクセスできない持続的Ｌａｙｅｒ  ３  ＴＣＰソケット通信リンクであり得る（例えばＩＰ接続もしくは当業者に既知であるあらゆる他のハードウェア依存のカスタム通信プロトコル）。したがって、処理モジュール５０８は、セキュアで、独立した管理ネットワークの一部である。
【００４７】
[0051]  使用にあたって、内観モジュール５３８は、（内観を介して）攻撃情報を捕捉する。攻撃情報は、その後、プライベートネットワークインターフェースチャネル５２４を介して通信され、後の解析のためのフォレンジックデータとしてリレーショナルデータベースサーバ５２８に記憶される。シグネチャ生成エンジン５３０は、攻撃のシグネチャを生成するため、このフォレンジックデータを使用する。攻撃検出からシグネチャ生成までの全体のプロセスは即時に近い時間から数分までの時間で自動的に、つまり人間の介入なしに起こり得る。（以下に説明される）侵入防止システムは、後に起こる攻撃を識別し、防止するために攻撃シグネチャを使用する。
【００４８】
[0052]  防御されたコンピュータネットワーク５０４は、ＩＤＳ／ＩＰＳシグネチャライブラリ５３４および複数の防御されたネットワークデバイス５３６に接続されたＩＤＳ／ＩＰＳシステム５４２を含む。好適なＩＤＳ／ＩＰＳシステム５４２は、Ｃｉｓｃｏ  ＳｙｓｔｅｍｓのＩＰＳ  ４２００  Ｓｅｒｉｅｓ（登録商標）、ＪｕｐｉｔｅｒのＩＤＰ  ２００（登録商標）、およびＥｎｔｅｒａｓｙｓのＤｒａｇｏｎＩＤＳネットワークセンサ（登録商標）を含む。
【００４９】
[0053]  1つまたはそれ以上の実施形態において、シグネチャは、ＩＤＳ／ＩＰＳ５４２と直接交信するために処理モジュール５０８により使用される第２のネットワーク接続５４０を介して、バックエンド処理モジュール５０８から侵入検知および／または防止（ＩＤＳ／ＩＰＤ）シグネチャライブラリ５３４に送られ得る。バーチャルマシンベースのルートキットモジュール５２０は、危険に曝された仮想化されたデコイオペレーティングシステムの実行システムイメージを取り除き、それを攻撃前のシステムイメージと置き換えることによって、仮想化されたデコイオペレーティングシステム５１２をいつでも容易にきれいにすることができる。したがって、バーチャルマシンベースのルートキットモジュール５２０は、攻撃者が他のネットワーク上での更なる攻撃のために仮想化されたデコイオペレーティングシステム５１２を使用することができるという可能性を取り除き、あらゆる悪意あるソフトウェアまたはペイロードの仮想化されたデコイオペレーティングシステムをきれいにするまたはリセットすることができる。このようにして、攻撃は阻止され、そして、オペレーティングシステムはハッカーのツールにはならない。この処理手続き(procedure)は自動化、つまり人間の介入なしに起こり得る。
【００５０】
[0054]  図２に示すように、処理はステップ２００で始まり、ステップ４３で内観モジュール５３８からのアクティビティを待つ。ステップ４４では、処理モジュール５０８は攻撃識別情報を含む攻撃のレポートを生成する（図３参照）。このレポートは、防御されたネットワーク５０４のセキュリティに責任があるシステム管理者が検査、使用するためのものである。攻撃は、以下に限定されるものではないが、ステップ４６で解析される１つまたはそれ以上のデータ転送またはキーストロークを含み得る。攻撃者がシステムとの交信に成功するか否か（つまり、攻撃者がアクセスを得たことを示すようにシステムが応答するか否か）を観察することにより、ステップ４８で攻撃シグネチャを生成するかの決定がなされ、ステップ５２で攻撃シグネチャは生成される（図４参照）。攻撃者が、例えば、アクセスを得ることに失敗した、または、データ転送がない場合は、ステップ５０で攻撃調査は終わり得る。生成されたあらゆる攻撃シグネチャがステップ５６でＩＤＳ／ＩＰＳのシグネチャライブラリ５３４に送られ、ステップ４３で処理が続く。
【００５１】
[0055]  本発明の１つ実施形態では、攻撃レポートは書き込まれ、仮想化インターフェース５３２を介して表示され、さらに、どのソケットが攻撃５５０にアクセスされたか、特定のソケットに何が起きたか、キーストロークが入力されたのかまたはデータが転送されたのか、どのファイルが転送されたか、どのように攻撃５５０が実行されたか、仮想されたデコイオペレーティングシステムモジュール５０６に何が起きたか、並びにハイパーバイザーオペレーティングシステム５１０上で実行するデコイオペレーティングシステム５１２および関係するあらゆるネットワークサービスはどのように影響を受けたか、といった情報を含むことができる。いくつかの実施形態において、仮想化インターフェース５３２はＡＪＡＸおよび／またはＦＬＡＳＨベースである。レポートは、攻撃に対して使われた攻撃５５０の扇動者もしくはサービスプロバイダの位置に関する情報を含むことができる。地域や国別の、攻撃場所に関する鍵となる情報およびインタラクティブマップのグラフィック表示も、レポートの中に含むことができる。仮想化インターフェースは、攻撃開始から即時に近い時間から数分までの時間で、攻撃アクティビティ５５０に対するシステムの応答を解析、構成、自動化するために使うこともできる。
【００５２】
[0056]  ステップ４６では、攻撃識別情報は、繰り返しのバイナリパターン、キーストロークパターン、ダウンロードされたデーモン、またはエラー（例えばバッファオーバーフローを試みる、システム上で任意のコードの実行を試みる悪意あるペイロード、メモリ上書きの試み、スタック攻撃、およびヒープ攻撃）のような既知の攻撃パターンおよび標準的ではないパターンについて、解析される。デコイオペレーティングシステム５１２上で実行されるオペレーションを観察することによって、例えば、攻撃がどのようにデコイオペレーティングシステム５１２の制御を得たのか、ということを決定するように、攻撃５５０は分類され、解析され得る。バイナリ照合、ニュートラルネットワーク照合、キーワード照合または攻撃識別情報を照合するあらゆる他の方法のような、入力されたデータを解析するあらゆる方法は、発明の精神に沿うものである。ニュートラルネットワークを含むパターン照合技術は、とりわけ当業者にとってよく知られた情報源である、例えばCarl Looney著 Pattern Recognition Using Neutral Networks: Theory and Algorithms for Engineers and Scientists (Oxford University Press USA, New York, New York, 1997)およびChristopher Bishop著 Neutral Networks for Pattern Recognition (Oxford University Press USA, New York, New York, 1995)において特徴付けられている。
【００５３】
[0057]  ステップ４８では、攻撃シグネチャを生成するかについて判断がなされる。攻撃の結果、有害なオペレーションが発生しない、または既知の攻撃パターンが発見されない場合には、それ以上の攻撃調査は（ステップ５０で示されるように）必要なくなる。処理モジュール５０８は、ハードウェアベースの仮想化されたオペレーティングシステムモジュール５０６上で実行する内観モジュール５３８から捕捉された情報の次の入力に取り掛かることができる。
【００５４】
[0058]  攻撃シグネチャの生成が認められる決定がされると、ステップ５２に示すように、攻撃シグネチャは生成される。本発明の１つまたはそれ以上の実施形態において、処理モジュール５０８は、データがソケットを介して転送されるのが見つかるたびに、シグネチャを生成し得る。あるいは、攻撃シグネチャがすでに存在している、または、データ転送が攻撃よりむしろ検査（probing）を示す性質の場合には、攻撃シグネチャは生成されないかも知れない。例えば、ソケットが開状態または閉状態であったとしても、ソケットを介してデータが何も転送されていないことが判明した場合、処理モジュール５０８はシグネチャを生成しないかも知れない。処理モジュール５０８が攻撃を生成する条件は、管理者によって構成され、自動化され得る。一旦、攻撃シグネチャが生成されると、シグネチャは、（ステップ５６で示される）攻撃シグネチャを防御されたネットワーク５０４に対する侵入検出システム（ＩＤＳ）または侵入防止システム（ＩＰＳ）に送るか否かを決定するシステム管理者により、検査され得る。攻撃シグネチャは、標準的なネットワーク接続を介してまたは無線接続を介して送られ、また、攻撃者が観察できない防御されたネットワーク５０４のプライベート部分に一般的に送られる。生成された攻撃シグネチャは、かように、ＩＤＳ／ＩＰＳのシグネチャライブラリ５３４に適用され、それによってシグネチャライブラリに包含される情報を更新し、攻撃者が防御されたネットワーク５０４にアクセスすることを防ぐ。
【００５５】
[0059]  本発明の実施形態は、システム管理者によるさらなる使用または解析のために、リレーショナルデータベースサーバ５２８にステップ５２で生成された攻撃シグネチャを保存し得る。さらなる解析、記憶および配布のため、シグネチャは、攻撃シグネチャのプロプリエタリグローバルデータベースにも送られ得る。あらゆるＩＤＳ／ＩＰＳシステムは、本発明の１つまたはそれ以上の実施形態において利用され得る。本発明は、例えば既存のソリューションと一体化するような既存のＩＤＳ／ＩＰＳとインターフェース接続されるかも知れない。
【００５６】
[0060]  上記のとおり、図３は人間が読める攻撃例の要約を示す。ライン３００は、ファイル “ｍｓｐｒｅｘｅ．ｅｖｅ”が“Ｓｙｓｔｅｍ”ディレクトリにコピーされることを示す。ライン３０１は、攻撃により作られた第１のレジストリエントリを示す。ライン３０２は、攻撃により作られた第２のレジストリエントリを示す。システムに対するあらゆる他の変更は、攻撃識別情報の一部として示されることができ、図３に示される情報は例示にすぎない。
【００５７】
[0061]  上記のとおり、図４はＩＤＳまたはＩＰＳへの送信用に、図３で要約された攻撃から生成され、ＸＭＬにフォーマットされた攻撃シグネチャを示す。ＸＭＬブロック４００は、特定のＩＤＳまたはＩＰＳ形式で攻撃シグネチャを定義するタグを含む。あらゆるＩＤＳまたはＩＰＳに使用されるあらゆるタグは、発明の精神に沿うものであり、図４に示されるタグは例示的である。例えば、あらゆるポート、プロトコル、厳格度レベル、警告レベル、シグネチャ名またはあらゆる他の量が、攻撃シグネチャのＩＤＳまたはＩＰＳに知らせるために利用され得る。
【００５８】
[0062]  実施形態および代替が開示され、論じられているが、本発明は、特定の開示された実施形態または代替に限定されず、均等物を含む本発明の全体の範囲および要旨を包囲し、また、本発明は、クレームの全体の範囲および要旨に示され、かつ、包囲される以外には限定されない。
【図１】
0005579907.tif 000002
【図２】
0005579907.tif 000003
【図３】
0005579907.tif 000004
【図４】
0005579907.tif 000005
【図５】
0005579907.tif 000006