【手続補正書】
【提出日】平成18年12月1日(2006.12.1)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】特許請求の範囲
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
コンピュータセキュリティに関連する複数のデータ符号を識別することと、
各データ符号自身と該データ符号に関連したコンテキスト情報とに基づいて、警告状態値を各データ符号に指定することであって、各警告状態値は、データ符号と特定のデータ符号に関連したコンテキスト情報との組み合わせの各々に固有であるランク値を含み、該コンテキスト情報は、該データ符号をカプセル化するために用いられるアプリケーション層データフィールドタイプと、該データ符号を伝送するために用いられるアプリケーション層プロトコルタイプとのうちの少なくとも１つを含み、該警告状態値は、セキュリティリスクレベルを示し、該セキュリティリスクレベルは、異なったデータ符合に関連し、異なったコンテキスト情報に関連した別の同一データ符号に関連する、ことと、
該コンテキスト情報と、該データ符号と、該警告状態値とを含んでいるテーブルを作成することと、
ターゲットと、容疑対象との間のアプリケーション層レベルにおける通信を評価することによって、データ符号を検出することと、
該ターゲットが該データ符号に対してどの程度脆弱であるかを決定するために、該データ符号を該ターゲットのアプリケーション層フィンガープリントと相関させることと、
該ターゲットが攻撃を受けている可能性を決定するために、該コンテキスト情報および該データ符号と該テーブルとを比較することによって、該データ符号に関連するコンテキスト情報を評価することと、
該テーブル内のデータと該コンテキスト情報および該データ符号との比較に基づいて、該データ符号に警告状態値を割り当てることと
を包含する、コンピュータに実装された方法。
【請求項２】
前記フィンガープリントが、前記ターゲットノードのオペレーティングシステムバージョンを含む、請求項１に記載の方法。
【請求項３】
前記フィンガープリントが、前記ターゲットノードのプロセッサのタイプを含む、請求項１に記載の方法。
【請求項４】
前記ターゲットノードが前記データ符号に対して脆弱であると決定された後に、第１の警告状態を生成することをさらに包含する、請求項１に記載の方法。
【請求項５】
前記ターゲットからの前記データ符号に対する応答を傾聴することをさらに包含する、請求項１に記載の方法。
【請求項６】
前記ターゲットノードの応答または応答の欠如が疑わしいか否かを決定することをさらに包含する、請求項５に記載の方法。
【請求項７】
前記ターゲットの応答が疑わしいか否かを決定することが、該ターゲットの応答が「未知コマンド」応答であるか否かを決定することを包含する、請求項６に記載の方法。
【請求項８】
前記ターゲットノードの応答または応答の欠如が疑わしいと決定された後に、第２の警告状態を生成することをさらに包含する、請求項６に記載の方法。
【請求項９】
前記第２の警告を前記第１の警告と組み合わせることであって、それによって、該第２の警告内の情報を用いて該第１の警告を更新する、ことをさらに包含する、請求項８に記載の方法。
【請求項１０】
前記ターゲットノードの行動を傾聴することと、
該ターゲットノードの行動が疑わしいと決定された後に、第２の警告状態を生成することと
をさらに包含する、請求項１に記載の方法。
【請求項１１】
前記ターゲットノードの疑わしい行動が、容疑対象ノードにルートシェルプロンプトを伝送することを包含する、請求項９に記載の方法。
【請求項１２】
コンピュータセキュリティに関連する複数のデータ符号を識別することと、
各データ符号自身と該データ符号に関連したコンテキスト情報とに基づいて、警告状態値を各データ符号に指定することであって、各警告状態値は、データ符号と特定のデータ符号に関連したコンテキスト情報との組み合わせの各々に固有であるランク値を含み、該コンテキスト情報は、該データ符号をカプセル化するために用いられるアプリケーション層データフィールドタイプと、該データ符号を伝送するために用いられるアプリケーション層プロトコルタイプとのうちの少なくとも１つを含み、該警告状態値は、セキュリティリスクレベルを示し、該セキュリティリスクレベルは、異なったデータ符合に関連し、異なったコンテキスト情報に関連した別の同一データ符号に関連する、ことと、
該データ符号と、該コンテキスト情報と、該警告状態値とを含んでいるテーブルを作成することと、
アプリケーション層データフィールド内にカプセル化されており、アプリケーション層プロトコルを用いてターゲットに向けられるデータ符号を識別することと、
該アプリケーション層データフィールドタイプ；および
該アプリケーション層プロトコルタイプ
のうちの１つによって該データ符号のコンテキストを評価することと、
該データ符号の該評価されたコンテキストを該テーブルと比較することと、
該データ符号の該コンテキストに基づいて、該データ符号が脅威を与えるか否かを決定することと、
該テーブル内のデータと該コンテキストとの比較に基づいて、該データ符号に警告状態値を割り当てることと
を包含する、コンピュータに実装された方法。
【請求項１３】
前記プロトコルが、ハイパーテキスト転送プロトコル（「ＨＴＴＰ」）である、請求項１２記載の方法。
【請求項１４】
前記データ符号が、前記ＨＴＴＰデータ伝送のヘッダに埋め込まれた「／ｃｇｉ−ｂｉｎ／ｐｈｌ」である場合において、該データ符号が脅威を与えると決定することをさらに包含する、請求項１３に記載の方法。
【請求項１５】
前記ターゲットのフィンガープリントに基づいて、前記データ符号が脅威を与えるか否かを評価することをさらに包含する、請求項１２に記載の方法。
【請求項１６】
前記フィンガープリントが、前記ターゲット上で実行されている特定のサービスからなる、請求項１５に記載の方法。
【請求項１７】
前記フィンガープリントが、前記ターゲット上で実行されている特定のオペレーティングシステムからなる、請求項１５に記載の方法。
【請求項１８】
前記フィンガープリントが、前記ターゲットの特定のハードウェアプラットフォームからなる、請求項１５に記載の方法。
【請求項１９】
前記データ符号に付随する前記ターゲットからの応答をモニタリングすることと、該応答のデータ符号に基づいて、該ターゲットが攻撃を受けているか否かの可能性を決定することとをさらに包含する、請求項１２に記載の方法。
【請求項２０】
前記ターゲット応答が非プロトコル応答である、請求項１９に記載の方法。
【請求項２１】
前記データ符号が、ファイル転送プロトコル（「ＦＴＰ」）を用いて前記ターゲットに伝送され、前記非プロトコル応答が、該ターゲットへの生のシェル接続を示す、請求項２０に記載の方法。
【請求項２２】
コンピュータセキュリティに関連する複数のデータ符号を識別することと、
各データ符号自身と該データ符号に関連したコンテキスト情報とに基づいて、相対的警告状態値を各データ符号に指定することであって、各警告状態値は、データ符号と特定のデータ符号に関連したコンテキスト情報との組み合わせの各々に固有であるランク値を含み、該コンテキスト情報は、該データ符号をカプセル化するために用いられるアプリケーション層データフィールドタイプと、該データ符号を伝送するために用いられるアプリケーション層プロトコルタイプとのうちの少なくとも１つを含み、該警告状態値は、セキュリティリスクレベルを示し、該セキュリティリスクレベルは、異なったデータ符合に関連し、異なったコンテキスト情報に関連した別の同一データ符号に関連する、ことと、
該コンテキスト情報と、該データ符号と、該相対的警告状態値とを含んでいるテーブルを作成することと、
一つ以上のデータ符号を識別するために、容疑対象とターゲットとの間におけるアプリケーション層レベルにおける複数のデータ伝送をモニタリングすることであって、該データ伝送は、該容疑対象と該ターゲットとの間の通信の現在の状態を示す、ことと、
該コンテキスト情報および該データ符号と該テーブルとを比較することによって、各データ符号に関連するコンテキスト情報を評価することと、
該伝送の一つ以上のデータ符号の該コンテキスト情報と、該通信の現在の状態とに基づいて、該ターゲットが攻撃を受けている可能性を評価することと、
該テーブル内のデータと該コンテキスト情報との比較に基づいて、該データ符号に相対的警告状態値を割り当てることと
を包含する、コンピュータに実装された方法。
【請求項２３】
前記通信の現在の状態が、前記容疑対象と前記ターゲットとの間において前記データ伝送が伝送／受信されるのに用いられた既知のプロトコルに基づいている、請求項２２に記載の方法。
【請求項２４】
前記既知のプロトコルがＦＴＰである、請求項２３に記載の方法。
【請求項２５】
前記データ符号のうちの１つが、ファイル名が現れる可能性の高いコンテキストでファイル名「パスワード」である、請求項２４に記載の方法。
【請求項２６】
前記データ符号に付随する前記ターゲットからの応答をモニタリングすることと、該応答のデータ符号に基づいて、該ターゲットが攻撃を受けているか否かの可能性を決定することとをさらに包含する、請求項２２に記載の方法。
【請求項２７】
前記現在の状態が、検出された符号に付随している前記ターゲットからの任意のアウトバウンド接続を含む、請求項２２に記載の方法。
【請求項２８】
前記現在の状態が、検出された符号に付随している新たなポートへの任意のインバウンド接続を含む、請求項２２に記載の方法。
【請求項２９】
前記現在の状態をモニタリングすることが、前記ターゲットへおよび／または該ターゲットからの通話に成功したトラフィックを受動的に傾聴することによって、どのポートが開いているのかを決定するために、該ターゲットをプロファイリングすることを包含する、請求項２２に記載の方法。
【請求項３０】
前記現在の状態をモニタリングすることが、前記ターゲットへおよび／または該ターゲットから伝送された非プロトコル要求または応答を検出することを包含する、請求項２２に記載の方法。
【請求項３１】
前記ターゲットのフィンガープリントを検出することと、
該フィンガープリントに基づいて、該ターゲットが攻撃を受けている可能性をさらに評価することと
をさらに包含する、請求項２２に記載の方法。
【請求項３２】
前記既知のプロトコルがＨＴＴＰである、請求項２３に記載の方法。
【請求項３３】
前記既知のプロトコルがＲＰＣである、請求項２３に記載の方法。
【請求項３４】
プログラムコードが格納されている機械可読媒体であって、該プログラムコードは、機械によって実行されるときに、
コンピュータセキュリティに関連する複数のデータ符号を識別する動作と、
各データ符号自身と該データ符号に関連したコンテキスト情報とに基づいて、相対的警告状態値を各データ符号に指定する動作であって、各警告状態値は、データ符号と特定のデータ符号に関連したコンテキスト情報との組み合わせの各々に固有であるランク値を含み、該コンテキスト情報は、該データ符号をカプセル化するために用いられるアプリケーション層データフィールドタイプと、該データ符号を伝送するために用いられるアプリケーション層プロトコルタイプとのうちの少なくとも１つを含み、該相対的警告状態値は、セキュリティリスクレベルを示し、該セキュリティリスクレベルは、異なったデータ符合に関連し、異なったコンテキスト情報に関連した別の同一データ符号に関連する、動作と、
該コンテキスト情報と、該データ符号と、該相対的警告状態値とを含んでいるテーブルを作成する動作と、
ターゲットと、容疑対象との間のアプリケーション層レベルにおける通信を評価することによって、データ符号を検出する動作と、
該ターゲットが該データ符号に対してどの程度脆弱であるかを決定するために、該データ符号を該ターゲットのフィンガープリントと相関させる動作と、
該ターゲットが攻撃を受けている可能性を決定するために、該コンテキスト情報および該データ符号と該テーブルとを比較することによって、該データ符号に関連するコンテキスト情報を評価する動作と、
該テーブル内のデータと該コンテキスト情報および該データ符号との比較に基づいて、該データ符号に相対的警告状態値を割り当てる動作と
を該機械に実行させる、機械可読媒体。
【請求項３５】
前記ターゲットが攻撃を受けている可能性を決定するために、前記データ符号に関連するコンテキスト情報を評価する動作を前記機械に実行させるプログラムコードをさらに備える、請求項３４に記載の機械可読媒体。
【請求項３６】
前記フィンガープリントが、前記ターゲットノードのオペレーティングシステムバージョンを含む、請求項３４に記載の機械可読媒体。
【請求項３７】
前記フィンガープリントが、前記ターゲットノードのプロセッサのタイプを含む、請求項３４に記載の機械可読媒体。
【請求項３８】
前記ターゲットノードが前記データ符号に対して脆弱であると決定された後に、第１の警告状態を生成する動作を前記機械に実行させるプログラムコードさらに備える、請求項３４に記載の機械可読媒体。
【請求項３９】
前記ターゲットからの前記データ符号に対する応答を傾聴する動作を前記機械に実行させるプログラムコードをさらに備える、請求項３４に記載の機械可読媒体。
【請求項４０】
前記ターゲットノードの応答または応答の欠如が疑わしいか否かを決定する動作を前記機械に実行させるプログラムコードをさらに備える、請求項３９に記載の機械可読媒体。
【請求項４１】
前記ターゲットの応答が疑わしいか否かを決定することが、該ターゲットの応答が「未知コマンド」応答であるか否かを決定することを包含する、請求項４０に記載の機械可読媒体。
【請求項４２】
前記ターゲットノードの応答または応答の欠如が疑わしいと決定された後に、第２の警告状態を生成する動作を前記機械に実行させるプログラムコードをさらに備える、請求項４０に記載の機械可読媒体。
【請求項４３】
前記第２の警告を前記第１の警告と組み合わせる動作であって、それによって、該第２の警告内の情報を用いて該第１の警告を更新する、動作を前記機械に実行させるプログラムコードをさらに備える、請求項４２に記載の機械可読媒体。
【請求項４４】
前記ターゲットノードの行動を傾聴する動作と、
該ターゲットノードの行動が疑わしいと決定された後に、第２の警告状態を生成する動作と
を前記機械に実行させるプログラムコードをさらに備える、請求項３４に記載の機械可読媒体。
【請求項４５】
前記ターゲットノードの疑わしい行動が、容疑対象ノードにルートシェルプロンプトを伝送することを包含する、請求項４３に記載の機械可読媒体。
【請求項４６】
プログラムコードが格納されている機械可読媒体であって、該プログラムコードは、機械によって実行されるときに、
コンピュータセキュリティに関連する複数のデータ符号を識別する動作と、
各データ符号自身と該データ符号に関連したコンテキスト情報とに基づいて、警告状態値を各データ符号に指定する動作であって、各警告状態値は、データ符号と特定のデータ符号に関連したコンテキスト情報との組み合わせの各々に固有であるランク値を含み、該コンテキスト情報は、該データ符号をカプセル化するために用いられるアプリケーション層データフィールドタイプと、該データ符号を伝送するために用いられるアプリケーション層プロトコルタイプとのうちの少なくとも１つを含み、該警告状態値は、セキュリティリスクレベルを示し、該セキュリティリスクレベルは、異なったデータ符合に関連し、異なったコンテキスト情報に関連した別の同一データ符号に関連する、動作と、
該データ符号と、該コンテキスト情報と、該警告状態値とを含んでいるテーブルを作成する動作と、
アプリケーション層データフィールド内にカプセル化されており、アプリケーション層プロトコルを用いてターゲットに向けられるデータ符号を識別する動作と、
該アプリケーション層データフィールドタイプ；および
該アプリケーション層プロトコルタイプ
のうちの１つによって該データ符号のコンテキストを評価する動作と、
該データ符号の該評価されたコンテキストを該テーブルと比較する動作と、
該データ符号の該コンテキストに基づいて、該データ符号が脅威を与えるか否かを決定する動作と、
該テーブル内のデータと該コンテキスト情報との比較に基づいて、該データ符号に警告状態値を割り当てる動作と
を該機械に実行させる、機械可読媒体。
【請求項４７】
前記プロトコルが、ハイパーテキスト転送プロトコル（「ＨＴＴＰ」）である、請求項４６に記載の機械可読媒体。
【請求項４８】
前記データ符号が、前記ＨＴＴＰデータ伝送のヘッダに埋め込まれた「／ｃｇｉ−ｂｉｎ／ｐｈｌ」である場合において、該データ符号が脅威を与えると決定する動作を前記機械に実行させるプログラムコードをさらに備える、請求項４７に記載の機械可読媒体。
【請求項４９】
前記ターゲットのフィンガープリントに基づいて、前記データ符号が脅威を与えるか否かをさらに評価する動作を前記機械に実行させるプログラムコードをさらに備える、請求項４６に記載の機械可読媒体。
【請求項５０】
前記フィンガープリントが、前記ターゲット上で実行されている特定のサービスからなる、請求項４９に記載の機械可読媒体。
【請求項５１】
プログラムコードが格納されている機械可読媒体であって、該プログラムコードは、機械によって実行されるときに、
コンピュータセキュリティに関連する複数のデータ符号を識別する動作と、
各データ符号自身と該データ符号に関連したコンテキスト情報とに基づいて、相対的警告状態値を各データ符号に指定する動作であって、各警告状態値は、データ符号と特定のデータ符号に関連したコンテキスト情報との組み合わせの各々に固有であるランク値を含み、該コンテキスト情報は、該データ符号をカプセル化するために用いられるアプリケーション層データフィールドタイプと、該データ符号を伝送するために用いられるアプリケーション層プロトコルタイプとのうちの少なくとも１つを含み、該相対的警告状態値は、セキュリティリスクレベルを示し、該セキュリティリスクレベルは、異なったデータ符合に関連し、異なったコンテキスト情報に関連した別の同一データ符号に関連する、動作と、
該コンテキスト情報と、該データ符号と、該相対的警告状態値とを含んでいるテーブルを作成する動作と、
一つ以上のデータ符号を識別するために、容疑対象とターゲットとの間におけるアプリケーション層レベルにおける複数のデータ伝送をモニタリングする動作であって、該データ伝送は、該容疑対象と該ターゲットとの間の通信の現在の状態を示す、動作と、
該コンテキスト情報および該データ符号と該テーブルとを比較することによって、各データ符号に関連するコンテキスト情報を評価する動作と、
該伝送の一つ以上のデータ符号の該コンテキスト情報と、該通信の現在の状態とに基づいて、該ターゲットが攻撃を受けている可能性を評価する動作と、
該テーブル内のデータと該コンテキスト情報との比較に基づいて、該データ符号に相対的警告状態値を割り当てる動作と
を該機械に実行させる、機械可読媒体。
【請求項５２】
前記データ符号に付随する前記ターゲットからの応答をモニタリングするさらなる動作と、
該応答のデータ符号に基づいて、該ターゲットが攻撃を受けているか否かの可能性を決定するさらなる動作と
を前記機械に実行させるプログラムコードをさらに備える、請求項５１に記載の機械可読媒体。