(57)【要約】サイバーセキュリティエンジンは、セキュリティインシデントと関連付けられたイベントを調査することの有用性を推定し、推定される有用性に基づいて、そのようなイベントのサブセットを選択し、選択されたイベントと関連付けられたデータを調査者に提示することによって、セキュリティインシデントの科学捜査を誘導することができる。セキュリティインシデントに対する応答を誘導するための方法は、セキュリティインシデントと関連付けられた複数のセキュリティイベント毎に、セキュリティイベントを調査することの有用性を推定するステップを含んでもよい。
2019511055.tif 000002
【特許請求の範囲】
【請求項１】
セキュリティインシデントに対する応答を誘導するための方法であって、
前記セキュリティインシデントと関連付けられた複数のセキュリティイベント毎に、前記セキュリティイベントを調査することの有用性を推定するステップと、
少なくとも部分的に、セキュリティイベントを調査することの前記推定された有用性に基づいて、前記セキュリティイベントのサブセットを選択するステップと、
ユーザに前記選択されたセキュリティイベントに対応するデータを提示することによって、前記セキュリティインシデントに対する応答を誘導するステップと、
を含む、方法。
【請求項２】
前記複数のセキュリティイベントは、第１のセキュリティイベントを含み、前記第１のセキュリティイベントを調査することの有用性が、少なくとも部分的に、その１つまたはそれを上回る客観的および／または主観的インジケータに基づいて推定される、請求項１に記載の方法。
【請求項３】
前記第１のセキュリティイベントを調査することの有用性の１つまたはそれを上回る客観的インジケータは、前記第１のセキュリティイベントと関連付けられたエンティティの評判を示す評判データ、前記第１のセキュリティイベントの頻度を示す頻度データ、および／または前記第１のセキュリティイベントと１つまたはそれを上回る他のセキュリティイベントの隣接性を示す隣接性データを含む、請求項２に記載の方法。
【請求項４】
前記評判データは、前記第１のセキュリティイベントと関連付けられたファイルの評判、前記ファイルを提供または証明したソフトウェアプロバイダの評判、前記セキュリティイベントと関連付けられたプロセスの評判、および／または前記セキュリティイベントと関連付けられた通信に対応するエンティティの評判を示す、請求項３に記載の方法。
【請求項５】
前記セキュリティインシデントに対する応答に関連して以前に調査されたセキュリティイベントのセットから、前記セキュリティインシデントに対する応答に関連して以前に提示されたセキュリティイベントのセットから、および／または別のセキュリティインシデントに対する応答に関連して以前に提示されたセキュリティイベントのセットから、１つまたはそれを上回る他のセキュリティイベントを選択するステップをさらに含む、請求項３に記載の方法。
【請求項６】
少なくとも部分的に、前記第１のセキュリティイベントと前記１つまたはそれを上回る他のセキュリティイベントとの関連性に基づいて、前記第１のセキュリティイベントと前記１つまたはそれを上回る他のセキュリティイベントとの隣接性を判定するステップをさらに含む、請求項３に記載の方法。
【請求項７】
前記第１のセキュリティイベントを調査することの有用性の１つまたはそれを上回る主観的インジケータは、セキュリティイベントを調査することにおける調査者の関心レベルを示す関心データを含む、請求項２に記載の方法。
【請求項８】
前記関心データは、少なくとも部分的に、セキュリティイベントの調査を実施することにおける１人またはそれを上回る科学捜査者の関心レベルの機械実行可能予測モデルに基づいて取得される、請求項７に記載の方法。
【請求項９】
前記予測モデルは、前記セキュリティイベントのタイプおよび／または属性に基づいてセキュリティイベントを分類するように訓練された分類器を含む、請求項８に記載の方法。
【請求項１０】
個別のランク付けを前記選択されたセキュリティイベントに割り当てるステップをさらに含み、前記選択されたセキュリティイベントに対応するデータは、前記割り当てられたランク付けに従って提示される、請求項１に記載の方法。
【請求項１１】
前記ランク付けは、少なくとも部分的に、前記選択されたセキュリティイベントを調査することの個別の有用性の１つまたはそれを上回る客観的および／または主観的インジケータに基づいて、前記選択されたセキュリティイベントに割り当てられる、請求項１０に記載の方法。
【請求項１２】
前記選択されたセキュリティイベントを調査することの有用性の１つまたはそれを上回る主観的インジケータは、セキュリティイベントを調査することにおける調査者の関心レベルを示す関心データを含み、前記関心データは、少なくとも部分的に、セキュリティイベントの調査を実施することにおける１人またはそれを上回る科学捜査者の関心レベルの機械実行可能予測モデルに基づいて取得される、請求項１０に記載の方法。
【請求項１３】
前記予測モデルは、前記セキュリティイベントのタイプおよび／または属性に基づいてセキュリティイベントを分類するように訓練された分類器を含む、請求項１２に記載の方法。
【請求項１４】
前記ユーザが前記選択されたセキュリティイベントのうちの１つまたはそれを上回るものを調査し、かつ／または前記選択されたセキュリティイベントのうちの１つまたはそれを上回るものを調査のための考慮から排除することをプロンプトするステップをさらに含む、請求項１に記載の方法。
【請求項１５】
システムであって、
データ処理装置であって、
セキュリティインシデントと関連付けられた複数のセキュリティイベント毎に、前記セキュリティイベントを調査することの有用性を推定するステップと、
少なくとも部分的に、セキュリティイベントを調査することの前記推定された有用性に基づいて、前記セキュリティイベントのサブセットを選択するステップと、
ユーザに前記選択されたセキュリティイベントに対応するデータを提示することによって、前記セキュリティインシデントに対する応答を誘導するステップと
を含む操作を実施するようにプログラムされるデータ処理装置
を備える、システム。
【請求項１６】
前記複数のセキュリティイベントは、第１のセキュリティイベントを含み、前記第１のセキュリティイベントを調査することの有用性が、少なくとも部分的に、その１つまたはそれを上回る客観的および／または主観的インジケータに基づいて推定される、請求項１５に記載のシステム。
【請求項１７】
前記第１のセキュリティイベントを調査することの有用性の１つまたはそれを上回る客観的インジケータは、前記第１のセキュリティイベントと関連付けられたエンティティの評判を示す評判データ、前記第１のセキュリティイベントの頻度を示す頻度データ、および／または前記第１のセキュリティイベントと１つまたはそれを上回る他のセキュリティイベントとの隣接性を示す隣接性データを含む、請求項１６に記載のシステム。
【請求項１８】
前記評判データは、前記第１のセキュリティイベントと関連付けられたファイルの評判、前記ファイルを提供または証明したソフトウェアプロバイダの評判、前記セキュリティイベントと関連付けられたプロセスの評判、および／または前記セキュリティイベントと関連付けられた通信に対応するエンティティの評判を示す、請求項１７に記載のシステム。
【請求項１９】
前記操作はさらに、前記セキュリティインシデントに対する応答に関連して以前に調査されたセキュリティイベントのセットから、前記セキュリティインシデントに対する応答に関連して以前に提示されたセキュリティイベントのセットから、および／または別のセキュリティインシデントに対する応答に関連して以前に提示されたセキュリティイベントのセットから、１つまたはそれを上回る他のセキュリティイベントを選択するステップを含む、請求項１７に記載のシステム。
【請求項２０】
前記操作はさらに、少なくとも部分的に、前記第１のセキュリティイベントと前記１つまたはそれを上回る他のセキュリティイベントとの関連性に基づいて、前記第１のセキュリティイベントと前記１つまたはそれを上回る他のセキュリティイベントとの隣接性を判定するステップを含む、請求項１７に記載のシステム。
【請求項２１】
前記第１のセキュリティイベントを調査することの有用性の１つまたはそれを上回る主観的インジケータは、セキュリティイベントを調査することにおける調査者の関心レベルを示す関心データを含む、請求項１６に記載のシステム。
【請求項２２】
前記関心データは、少なくとも部分的に、セキュリティイベントの調査を実施することにおける１人またはそれを上回る科学捜査者の関心レベルの機械実行可能予測モデルに基づいて取得される、請求項２１に記載のシステム。
【請求項２３】
前記予測モデルは、前記セキュリティイベントのタイプおよび／または属性に基づいてセキュリティイベントを分類するように訓練された分類器を含む、請求項２２に記載のシステム。
【請求項２４】
前記操作はさらに、個別のランク付けを前記選択されたセキュリティイベントに割り当てるステップを含み、前記選択されたセキュリティイベントに対応するデータは、前記割り当てられたランク付けに従って提示される、請求項１５に記載のシステム。
【請求項２５】
前記ランク付けは、少なくとも部分的に、前記選択されたセキュリティイベントを調査することの個別の有用性の１つまたはそれを上回る客観的および／または主観的インジケータに基づいて、前記選択されたセキュリティイベントに割り当てられる、請求項２３に記載のシステム。
【請求項２６】
前記選択されたセキュリティイベントを調査することの有用性の１つまたはそれを上回る主観的インジケータは、セキュリティイベントを調査することにおける調査者の関心レベルを示す関心データを含み、前記関心データは、少なくとも部分的に、セキュリティイベントの調査を実施することにおける１人またはそれを上回る科学捜査者の関心レベルの機械実行可能予測モデルに基づいて取得される、請求項２５に記載のシステム。
【請求項２７】
前記予測モデルは、前記セキュリティイベントのタイプおよび／または属性に基づいてセキュリティイベントを分類するように訓練された分類器を含む、請求項２６に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
（関連出願の相互参照）
本願は、２０１６年３月２４日に出願され“Ｓｙｓｔｅｍｓ  ａｎｄ  Ｔｅｃｈｎｉｑｕｅｓ  ｆｏｒ  Ｇｕｉｄｉｎｇ  ａ  Ｒｅｓｐｏｎｓｅ  ｔｏ  ａ  Ｃｙｂｅｒｓｅｃｕｒｉｔｙ  Ｉｎｃｉｄｅｎｔ”と題された米国仮特許出願第６２／３１２，７９７号（代理人管理番号ＢＩＴ−０１０ＰＲ）の３５  Ｕ．Ｓ．Ｃ．§１１９（ｅ）の下での優先権および利益を主張するものであり、該米国仮特許出願は、その全体が参照により本明細書中に援用される。
【０００２】
本開示は、概して、サイバーセキュリティシステムおよび技術に関する。具体的には、いくつかの実施形態は、サイバーセキュリティインシデントに対応する応答を誘導するためのシステムおよび技術に関する。
【背景技術】
【０００３】
インターネットおよび他のネットワークコンピュータシステムが、公共活動（例えば、政府機関の管理および運営）および私的活動（例えば、家庭および企業の個人活動、管理、および運営等）の中にますます統合されるにつれて、コンピュータシステムセキュリティの侵害が、そのようなものへの従事に著しい脅威をますます呈している。セキュリティ侵害は、概して、コンピュータシステムの操作への途絶（例えば、非認可目的のための計算リソースの使用、コンピュータコンポーネント、コンピュータ、またはネットワーク全体への損傷等）、および／またはコンピュータシステムからのリソースの窃盗（例えば、取り扱いに注意を要するデータの収集）を伴う。コンピュータシステムユーザは、有意なリソースを費やし、セキュリティ問題（例えば、コンピュータシステムのセキュリティの疑いがあるまたは実際の脅威もしくは侵害等）を検出し、そのコンピュータシステムの操作の妨害またはそのコンピュータシステムベースのリソースの窃盗からのセキュリティ問題を防止し得る。
【０００４】
いくつかのセキュリティ侵害は、悪意のあるソフトウェア（「マルウェア」）によって生じる。マルウェアは、コンピュータウイルス、ワーム、トロイの木馬、ランサムウェア、スパイウェア、アドウェア、スケアウェア、キーロガー、ルートキット、ボット、クライムウェア、フィッシング詐欺等を含む、多くの形態で展開され得る。従来のサイバーセキュリティエンジンは、概して、マルウェアを検出するために、静的シグネチャベースの技術に依拠する。一般に、シグネチャベースのウェア検出は、マルウェアを含有することが既知のファイルのコピーを得て、ファイルの静的特徴（例えば、ファイル内に含有されるバイトのシーケンス）を分析し、マルウェアに特徴的である静的シグネチャを抽出し、マルウェアの静的シグネチャを既知のマルウェアのデータベース（多くの場合、「ブラックリスト」と称される）に追加することを伴う。ユーザが、ファイルにアクセスする（例えば、それをダウンロードする、開く、または実行する）ことを試みると、サイバーセキュリティエンジンは、ファイルを走査し、ファイルの静的シグネチャを抽出する。ファイルの静的シグネチャが、ブラックリスト上のシグネチャに合致する場合、サイバーセキュリティエンジンは、マルウェアの存在を検出し、マルウェアが実行することを防止するように介入する（例えば、ファイルを隔離または削除することによって）。
【０００５】
静的マルウェア検出技術は、概して、既知のマルウェアを迅速に検出するために有用である。しかしながら、これらの技術は、概して、まだブラックリストにない新しいマルウェア（例えば、ゼロデイマルウェアまたは次世代マルウェア）によって、または自らを修正してブラックリスト上の静的シグネチャに合致することを回避するマルウェア（例えば、少型、多様型、または変形型）によって出し抜かれ得る。さらに、セキュリティ問題は、マルウェア以外のソース（例えば、サービス妨害攻撃、パケットフラッド等）からも生じ得る。
【０００６】
いくつかのサイバーセキュリティエンジンは、マルウェアおよび他のセキュリティ問題を検出するために、挙動ベースの技術に依拠する。一般に、挙動ベースのセキュリティ技法は、コンピュータシステム上の発生を監視し、疑わしい発生を識別し、疑わしい発生が識別されると、問題を査定し（例えば、発生の科学捜査（ｆｏｒｅｎｓｉｃ  ｉｎｖｅｓｔｉｇａｔｉｏｎ）を開始することによって等）、コンピュータシステムを保護するために介入することを伴う。
【発明の概要】
【課題を解決するための手段】
【０００７】
コンピュータシステム内の疑わしい発生の科学捜査は、概して、サイバーセキュリティにおける高度の専門知識を有する、科学捜査者（または科学捜査者のチーム）によって実施される。それでも、セキュリティ問題は、コンピュータシステム内の膨大な量の無害の発生から区別することが困難であり得るため、科学捜査は、非常に時間がかかり得る。多くの場合、疑わしい発生に関連する利用可能な情報を選別し、セキュリティ問題が存在するかどうかを判定し、セキュリティ問題の範囲および根本原因を識別するプロセスは、「干し草の中の１本の針」の諺のような検索に類似し得る。
【０００８】
したがって、コンピュータシステム内の疑わしい発生の検出は、システムのオペレータにジレンマをもたらし得る。オペレータが、科学捜査の間、システムが完全に機能したままであることを可能にする場合、疑わしい発生が、最終的に、セキュリティ問題の検出につながるが、セキュリティ問題によって呈されるリスクは、疑わしい発生の早期検出にもかかわらず、科学捜査の間、チェックされないままである。一方、オペレータが、科学捜査の間、コンピュータシステムの一部を無効化または隔離する場合、最終的に、セキュリティ問題の検出をもたらさず、科学捜査自体が、実際のセキュリティ問題と同程度に破壊的またはそれより破壊的となり得るリスクが存在する。
【０００９】
これらのリスクは、正確な科学捜査が実施される時間期間を短縮させることによって低減され得る。したがって、科学捜査のためのより効率的（例えば、より高速および／またはより正確）なシステムおよび技法が、必要とされる。本発明者らは、サイバーセキュリティエンジンが、セキュリティインシデントと関連付けられたイベントを調査することの有用性を推定し、推定される有用性に基づいて、そのようなイベントのサブセットを選択し、選択されたイベントと関連付けられたデータを調査者に提示することによって、セキュリティインシデントの科学捜査を誘導することができることを認識および理解している。このように、本明細書に説明されるシステムのいくつかの実施形態は、自動的に、セキュリティインシデントと関連付けられたイベントを選別し、セキュリティインシデントの根本原因および範囲の重要な手掛かりを提供する可能性が高いイベントを識別し、調査者がそれらのイベントの調査を優先するように誘導することができる。
【００１０】
本発明者らはさらに、セキュリティイベントを調査することの有用性が、少なくとも部分的に、有用性の客観的インジケータおよび／または有用性の主観的インジケータに基づいて推定されてもよいことを認識および理解している。セキュリティイベントを調査することの有用性の客観的インジケータのいくつかの実施例は、（１）イベントと関連付けられたエンティティの評判、（２）イベントの発生の頻度、（３）イベントと、セキュリティインシデント、他のセキュリティイベント、および／または他のセキュリティインシデント等の隣接性（例えば、関連性）を含む。イベントを調査することの有用性の主観的インジケータの一実施例は、イベントの調査を実施することにおける科学捜査者の関心レベルである。いくつかの実施形態では、イベントの調査を実施することにおける調査者の関心レベルは、予測モデル（例えば、（１）過去のインシデント応答の際に調査者が調査したイベント、（２）過去のインシデント応答の際に類似イベントを調査するための示唆に対して調査者が応答した方法等を示すデータに関して訓練された機械学習モデル）を使用して推定されることができる。
【００１１】
本開示の側面によると、セキュリティインシデントに対する応答を誘導するための方法が、提供され、本方法は、セキュリティインシデントと関連付けられた複数のセキュリティイベント毎に、セキュリティインシデントを調査することの有用性を推定するステップと、少なくとも部分的に、セキュリティイベントの推定される有用性に基づいて、セキュリティイベントのサブセットを選択するステップと、ユーザに選択されたセキュリティイベントに対応するデータを提示することによって、セキュリティインシデントに対する応答を誘導するステップとを含む。
【００１２】
いくつかの実施形態では、複数のセキュリティイベントは、第１のセキュリティイベントを含み、第１のセキュリティイベントを調査することの有用性が、少なくとも部分的に、その１つまたはそれを上回る客観的および／または主観的インジケータに基づいて推定される。
【００１３】
いくつかの実施形態では、第１のセキュリティイベントを調査することの有用性の１つまたはそれを上回る客観的インジケータは、第１のセキュリティイベントと関連付けられたエンティティの評判を示す評判データ、第１のセキュリティイベントの頻度を示す頻度データ、および／または第１のセキュリティイベントと１つまたはそれを上回る他のセキュリティイベントの隣接性を示す隣接性データを含む。いくつかの実施形態では、評判データは、第１のセキュリティイベントと関連付けられたファイルの評判、ファイルを提供または証明したソフトウェアプロバイダの評判、セキュリティイベントと関連付けられたプロセスの評判、および／またはセキュリティイベントと関連付けられた通信に対応するエンティティの評判を示す。いくつかの実施形態では、本方法はさらに、セキュリティインシデントに対する応答に関連して以前に調査されたセキュリティイベントのセットから、１つまたはそれを上回る他のセキュリティイベントを選択するステップを含む。いくつかの実施形態では、本方法はさらに、セキュリティインシデントに対する応答に関連して以前に提示されたセキュリティイベントのセットから、１つまたはそれを上回る他のセキュリティイベントを選択するステップを含む。いくつかの実施形態では、本方法はさらに、別のセキュリティインシデントに対する応答に関連して以前に提示されたセキュリティイベントのセットから、１つまたはそれを上回る他のセキュリティイベントを選択するステップを含む。いくつかの実施形態では、本方法はさらに、少なくとも部分的に、第１のセキュリティイベントと１つまたはそれを上回る他のセキュリティイベントの関連性に基づいて、第１のセキュリティイベントと１つまたはそれを上回る他のセキュリティイベントの隣接性を判定するステップを含む。
【００１４】
いくつかの実施形態では、第１のセキュリティイベントを調査することの有用性の１つまたはそれを上回る主観的インジケータは、セキュリティイベントを調査することにおける調査者の関心レベルを示す関心データを含む。いくつかの実施形態では、関心データは、少なくとも部分的に、セキュリティイベントの調査を実施することにおける１人またはそれを上回る科学捜査者の関心レベルの機械実行可能予測モデルに基づいて取得される。いくつかの実施形態では、予測モデルは、セキュリティイベントのタイプおよび／または属性に基づいてセキュリティイベントを分類するように訓練された分類器を含む。
【００１５】
いくつかの実施形態では、本方法はさらに、個別のランク付けを選択されたセキュリティイベントに割り当てるステップを含み、選択されたセキュリティイベントに対応するデータは、割り当てられたランク付けに従って提示される。いくつかの実施形態では、ランク付けは、少なくとも部分的に、選択されたセキュリティイベントを調査することの個別の有用性の１つまたはそれを上回る客観的および／または主観的インジケータに基づいて、選択されたセキュリティイベントに割り当てられる。いくつかの実施形態では、選択されたセキュリティイベントを調査することの有用性の１つまたはそれを上回る主観的インジケータは、セキュリティイベントを調査することにおける調査者の関心レベルを示す関心データを含み、関心データは、少なくとも部分的に、セキュリティイベントの調査を実施することにおける１人またはそれを上回る科学捜査者の関心レベルの機械実行可能予測モデルに基づいて取得される。いくつかの実施形態では、予測モデルは、セキュリティイベントのタイプおよび／または属性に基づいてセキュリティイベントを分類するように訓練された分類器を含む。
【００１６】
いくつかの実施形態では、本方法はさらに、ユーザが選択されたセキュリティイベントのうちの１つまたはそれを上回るものを調査することをプロンプトするステップを含む。いくつかの実施形態では、本方法はさらに、ユーザが選択されたセキュリティイベントのうちの１つまたはそれを上回るものを調査のための考慮から排除することをプロンプトするステップを含む。
【００１７】
本開示の別の側面によると、システムが、提供され、本システムは、セキュリティインシデントと関連付けられた複数のセキュリティイベント毎に、セキュリティインシデントを調査することの有用性を推定するステップと、少なくとも部分的に、セキュリティイベントの推定される有用性に基づいて、セキュリティイベントのサブセットを選択するステップと、ユーザに選択されたセキュリティイベントに対応するデータを提示することによって、セキュリティインシデントに対する応答を誘導するステップとを含む、操作を実施するようにプログラムされる、データ処理装置を含む。
【００１８】
いくつかの実施形態では、複数のセキュリティイベントは、第１のセキュリティイベントを含み、第１のセキュリティイベントを調査することの有用性が、少なくとも部分的に、その１つまたはそれを上回る客観的および／または主観的インジケータに基づいて推定される。
【００１９】
いくつかの実施形態では、第１のセキュリティイベントを調査することの有用性の１つまたはそれを上回る客観的インジケータは、第１のセキュリティイベントと関連付けられたエンティティの評判を示す評判データ、第１のセキュリティイベントの頻度を示す頻度データ、および／または第１のセキュリティイベントと１つまたはそれを上回る他のセキュリティイベントの隣接性を示す隣接性データを含む。いくつかの実施形態では、評判データは、第１のセキュリティイベントと関連付けられたファイルの評判、ファイルを提供または証明したソフトウェアプロバイダの評判、セキュリティイベントと関連付けられたプロセスの評判、および／またはセキュリティイベントと関連付けられた通信に対応するエンティティの評判を示す。いくつかの実施形態では、操作はさらに、セキュリティインシデントに対する応答に関連して以前に調査されたセキュリティイベントのセットから、セキュリティインシデントに対する応答に関連して以前に提示されたセキュリティイベントのセットから、および／または別のセキュリティインシデントに対する応答に関連して以前に提示されたセキュリティイベントのセットから、１つまたはそれを上回る他のセキュリティイベントを選択するステップを含む。いくつかの実施形態では、操作はさらに、少なくとも部分的に、第１のセキュリティイベントと１つまたはそれを上回る他のセキュリティイベントとの関連性に基づいて、第１のセキュリティイベントと１つまたはそれを上回る他のセキュリティイベントの隣接性を判定するステップを含む。
【００２０】
いくつかの実施形態では、第１のセキュリティイベントを調査することの有用性の１つまたはそれを上回る主観的インジケータは、セキュリティイベントを調査することにおける調査者の関心レベルを示す関心データを含む。いくつかの実施形態では、関心データは、少なくとも部分的に、セキュリティイベントの調査を実施することにおける１人またはそれを上回る科学捜査者の関心レベルの機械実行可能予測モデルに基づいて取得される。いくつかの実施形態では、予測モデルは、セキュリティイベントのタイプおよび／または属性に基づいてセキュリティイベントを分類するように訓練された分類器を含む。
【００２１】
いくつかの実施形態では、操作はさらに、個別のランク付けを選択されたセキュリティイベントに割り当てるステップを含み、選択されたセキュリティイベントに対応するデータは、割り当てられたランク付けに従って提示される。いくつかの実施形態では、ランク付けは、少なくとも部分的に、選択されたセキュリティイベントを調査することの個別の有用性の１つまたはそれを上回る客観的および／または主観的インジケータに基づいて、選択されたセキュリティイベントに割り当てられる。いくつかの実施形態では、選択されたセキュリティイベントを調査することの有用性の１つまたはそれを上回る主観的インジケータは、セキュリティイベントを調査することにおける調査者の関心レベルを示す関心データを含み、関心データは、少なくとも部分的に、セキュリティイベントの調査を実施することにおける１人またはそれを上回る科学捜査者の関心レベルの機械実行可能予測モデルに基づいて取得される。いくつかの実施形態では、予測モデルは、セキュリティイベントのタイプおよび／または属性に基づいてセキュリティイベントを分類するように訓練された分類器を含む。
【００２２】
本明細書に説明される技法のいくつかの実施形態は、従来のインシデント応答システムおよび技法に優るある利点を呈し得る。例えば、いくつかの実施形態は、セキュリティインシデントの根本原因および範囲のより迅速および／またはより正確な判定をもたらし得る。したがって、いくつかの実施形態は、科学捜査の間またはセキュリティ侵害後のコンピュータシステムの動作の途絶を低減させ、それによって、コンピュータシステムの全体的機能を改良し得る。いくつかの実施形態では、誘導されるインシデント応答技法の使用は、比較的に高度の専門知識を伴う調査者および／または比較的に低度の専門知識を伴う調査者を含む、科学捜査者の有効性（例えば、速度、正確度等）を向上させ得る。このように、いくつかの実施形態は、セキュリティインシデントの科学捜査と関連付けられたコストを減少させ得る。
【００２３】
本発明の他の側面および利点は、全て、例示のみとして、本発明の原理を例証する、以下の図面、発明を実施するための形態、および請求項から明白となるであろう。いくつかの実施形態に関する論拠の説明および／またはいくつかの実施形態の利点を含む、上記の発明の概要は、読者が、本開示を理解することを補助することを意図されており、請求項の範囲をいかようにも限定するものではない。
【図面の簡単な説明】
【００２４】
いくつかの実施形態のある利点は、添付の図面と併せて検討される以下の説明を参照して理解され得る。図面では、同様の参照文字は、概して、異なる図全体を通して、同一部分を指す。また、図面は、必ずしも、縮尺通りではなく、代わりに、概して、本発明のいくつかの実施形態の例証に強調が置かれる。
【００２５】
【図１】図１は、いくつかの実施形態による、セキュリティインシデントに対する応答を誘導するシステムのブロック図である。
【００２６】
【図２】図２は、いくつかの実施形態による、セキュリティインシデントに対する応答を誘導するための方法のフローチャートである。
【００２７】
【図３】図３は、いくつかの実施形態による、コンピュータシステムのブロック図である。
【発明を実施するための形態】
【００２８】
用語
用語「コンピュータシステム」は、本明細書で使用されるように、１つまたはそれを上回るコンピュータおよび／またはコンピュータネットワーク（例えば、複数のコンピュータおよびそれらのコンピュータに通信可能に結合する１つまたはそれを上回るネットワーク）を含んでもよい。
【００２９】
用語「セキュリティ問題」は、本明細書で使用されるように、コンピュータシステムのセキュリティの実際のまたは疑いがある脅威もしくは侵害を含んでもよい。
【００３０】
用語「セキュリティイベント」または「イベント」は、本明細書で使用されるように、悪意のある（例えば、実際のセキュリティ問題の存在を示す）または疑わしい（例えば、潜在的セキュリティ問題の存在を示す）と判定されたコンピュータシステム内の任意の発生を含んでもよい。発生が悪意のあるまたは疑わしいことの判定は、任意の好適な技法を使用して、手動で（例えば、コンピュータシステムのユーザによって）または自動的に（例えば、コンピュータシステムまたはコンピュータシステムと通信するデバイスのコンポーネントによって）行われてもよい。イベントのタイプのいくつかの実施例は、限定ではないが、システムクラッシュ、パケットフラッド、システム権限の非認可使用、データへの非認可アクセス、サービス妨害攻撃、ソフトウェアの非認可修正、ポリシ違反、ウイルス感染、マルウェアの実行、ファイルまたはシステムコンポーネントの状態の変更、ログ（例えば、ファイアウォールログ）内のエントリの存在、コンピュータシステムの記憶媒体内のファイル（例えば、バイナリファイル）の存在等を含んでもよい。
【００３１】
用語「セキュリティインシデント」または「インシデント」は、本明細書で使用されるように、実際または潜在的に関連する（例えば、実際または潜在的に同一セキュリティ問題に関連する）と判定された１つまたはそれを上回るセキュリティイベントのセットを含んでもよい。セキュリティイベントが特定のセキュリティ問題に実際または潜在的に関連することの判定は、任意の好適な技法を使用して、手動で（例えば、コンピュータシステムのユーザによって）または自動的に（例えば、コンピュータシステムまたはコンピュータシステムと通信するデバイスのコンポーネントによって）行われてもよい。
【００３２】
用語「インシデント応答」は、本明細書で使用されるように、少なくとも部分的に、セキュリティインシデントおよび／またはセキュリティイベントの検出に基づいて実施される任意のアクションまたは操作を含んでもよい。インシデント応答アクションまたは操作は、限定ではないが、セキュリティイベントおよび／またはインシデントの科学捜査を開始すること、セキュリティイベントおよび／またはセキュリティインシデントを調査すること、セキュリティイベントおよび／またはインシデントによって生じる損害を軽減させること等を含んでもよい。
【００３３】
セキュリティイベントの調査は、セキュリティイベントがセキュリティ問題に関連するかどうかに関する判定、セキュリティイベントの根本原因の識別、セキュリティイベントの範囲の判定等を促進する、任意のアクティビティを含んでもよい。
【００３４】
セキュリティイベントがデータへのアクセスを伴う場合、セキュリティイベントを調査するステップは、アクセスされたデータを識別するステップ、アクセスされたデータが修正、削除、コピー、または伝送されたかどうかを判定するステップ、アクセスされたデータが貴重または機密であったかどうかを判定するステップ、データにアクセスするために使用されたユーザアカウントを判定するステップ等を含んでもよい。
【００３５】
セキュリティイベントがネットワークを経由した通信を伴う場合、セキュリティイベントを調査するステップは、アクセスされたネットワークリソース（例えば、ネットワークポート、ネットワークインターフェース等）を判定するステップ、ネットワークを介してコンピュータシステムと通信した遠隔デバイスのアドレス（例えば、インターネットプロトコル（ＩＰ）アドレス）を判定するステップ、悪意のあるまたは疑わしいアクティビティと関連付けられた遠隔デバイスのアドレスが既知であるかどうかを判定するステップ等を含んでもよい。
【００３６】
セキュリティイベントの調査は、セキュリティイベントを引き起こした行為を実施したプロセスを判定するステップ、プロセスが既知のマルウェアプロセスであるかどうかを判定するステップ、プロセスの実行を開始したユーザを判定するステップ等を含んでもよい。
【００３７】
セキュリティイベントの調査は、セキュリティイベントを引き起こしたプロセスを開始するために実行されたバイナリファイルを判定するステップ、バイナリファイルが既知のマルウェアファイルであるかどうかを判定するステップ、バイナリファイルをコンピュータシステム上にロードしたユーザを判定するステップ、バイナリファイルがコンピュータシステム上にロードされた方法を判定するステップ等を含んでもよい。
【００３８】
セキュリティインシデントの調査は、セキュリティインシデントの一部である、１つまたはそれを上回るセキュリティイベント、および／またはセキュリティインシデントの根本原因の識別、セキュリティインシデントの範囲の判定、セキュリティインシデントによって呈されるリスクまたは脅威の判定等を促進する、任意のアクティビティの調査を含んでもよい。
【００３９】
セキュリティイベントおよび／またはインシデントによって生じる損害の軽減は、悪意のあるまたは疑わしいファイルもしくはプロセスを隔離するステップ、１つまたはそれを上回るコンピュータをコンピュータネットワークから接続解除するステップ、コンピュータシステムの一部を無効化または非アクティブ化するステップ等を含んでもよい。
【００４０】
インシデント応答を誘導するためのシステム
図１は、いくつかの実施形態による、セキュリティインシデントに対する応答を誘導するためのシステム１００を示す。操作時、誘導システム１００は、調査者が他のイベントの調査と比較してセキュリティインシデントに対する応答により有用性を有すると推定されるイベント調査を優先するように誘導してもよい。いくつかの実施形態では、インシデント応答に対するイベント調査の推定される有用性は、イベントの調査が、セキュリティインシデントの属性（例えば、根本原因、範囲、リスク／脅威レベル等）の有用な手掛かりを提供し、および／またはセキュリティインシデントの科学捜査をその解決に向かって前進させることが予期される程度を表す。
【００４１】
いくつかの実施形態では、誘導システム１００は、調査者が他のイベントを調査することに先立って（またはその代わりに）そのような調査を実施することを暗示的または明示的に示唆することによって、調査者がインシデント応答に対する高推定有用性を伴うイベント調査を優先するように誘導してもよい。例えば、誘導システム１００は、それらのセキュリティイベントを調査する推定される有用性に従って、セキュリティイベントのセットをランク付けしてもよい、および／または調査者が他のイベントを調査することをプロンプトすることに先立って（またはその代わりに）調査者が高推定有用性を伴うイベント調査を実施することをプロンプトしてもよい（例えば、他のイベントと関連付けられたデータを表示することに先立って、またはその代わりに、調査の推定される有用性が高いイベントと関連付けられたデータを表示することによって）。
【００４２】
図１から分かるように、誘導システム１００のいくつかの実施形態は、客観的有用性推定モジュール１１０と、主観的有用性推定モジュール１２０とを含む。客観的有用性推定モジュール１１０は、機械実行可能（例えば、コンピュータ実行可能）であってもよく、セキュリティイベントを調査することの客観的有用性を推定してもよい（例えば、有用性の客観的インジケータに基づいて、セキュリティイベントを調査することの有用性を推定してもよい）。主観的有用性推定モジュール１２０は、機械実行可能であってもよく、セキュリティイベントを調査することの主観的有用性を推定してもよい（例えば、有用性の主観的インジケータに基づいて、セキュリティイベントを調査することの有用性を推定してもよい）。いくつかの実施形態では、誘導システム１００は、発生がイベントまたはインシデントが生じたかどうかを判定するために監視される、より大きいインシデント応答システムの一部であってもよい。
【００４３】
客観的有用性推定モジュール１１０は、客観的有用性推定データ１３０に基づいて、セキュリティイベントを調査することの有用性を推定してもよい。客観的有用性推定データ１３０は、限定ではないが、評判データ、頻度データ、隣接性データ、および／またはセキュリティイベントを調査することの客観的有用性を推定するために好適な任意の他のデータを含んでもよい。前述のタイプの客観的有用性推定データ１３０は、以下に順に説明される。
【００４４】
評判データは、セキュリティイベントと関連付けられた任意のエンティティの評判を示す任意のデータを含んでもよい。コンピュータシステム内のセキュリティイベントと関連付けられたエンティティのいくつかの実施例は、セキュリティイベントと関連付けられたファイル（例えば、セキュリティイベントと関連付けられたプロセスを生成するために実行されるバイナリファイル）、そのようなファイルを提供または証明したソフトウェアプロバイダ（または他のエンティティ）、セキュリティイベントと関連付けられた遠隔デバイス（例えば、コンピュータシステムと通信した遠隔デバイス）、そのようなデバイスの所有者、オペレータ、またはドメイン（例えば、ネットワークドメイン）、そのアカウントがプロセスを実行すること、ファイルにアクセスすること、またはセキュリティイベントと関連付けられた通信を送信／受信することのために使用されたユーザ、そのようなユーザアカウント、レジストリ操作によってアクセスされたレジストリエントリ（例えば、キー）、セキュリティイベントと関連付けられたプロセス（例えば、疑わしい操作を実施したプロセス）、セキュリティイベントと関連付けられたホスト（例えば、プロセスが疑わしい操作を実施したホスト）等を含んでもよい。そのような評判データは、サイバーセキュリティプロバイダから取得されてもよい、１つまたはそれを上回るコンピュータシステム（例えば、科学捜査の対象であるコンピュータシステム）のセキュリティ脅威および／または侵害の前の調査に基づいて生成されてもよい、および／または任意の他の好適な技法を使用して取得されてもよい。
【００４５】
評判データは、分類のセット（例えば、既知の良い評判／既知の悪い評判／未知の評判等）、数値格付け（例えば、１〜１０の数値であって、範囲の一端に向かう値が、より良い評判を表し、範囲の他端に向かう値が、より悪い評判を表す）、または任意の他の好適な技法を使用して、エンティティの評判を示してもよい。
【００４６】
頻度データは、コンピュータシステム内の任意の発生の頻度を示す任意のデータを含んでもよい。コンピュータシステム内の発生のいくつかの実施例は、特定のファイル（例えば、特定のバイナリファイル）のロード、特定のプロセスの実行、メモリ空間内の特定の範囲のアドレス内のアドレスへのアクセス、オペレーティングシステムのレジストリ内の特定のレジストリエントリへのアクセス、コンピュータシステムの特定の周辺デバイスへのアクセス、特定のデバイス（または特定のアドレスにおけるデバイスもしくは特定のドメイン内のデバイス）との通信等を含んでもよい。いくつかの実施形態では、頻度データは、発生がコンピュータシステム内で観察された頻度、発生が科学捜査の一部として調査された頻度、および／または発生が実際のセキュリティ脅威またはセキュリティ侵害と関連付けられると判定された頻度を示してもよい。そのような評判データは、サイバーセキュリティプロバイダから取得されてもよい、１つまたはそれを上回るコンピュータシステム（例えば、科学捜査の対象のコンピュータシステム）内の発生の監視に基づいて生成されてもよい、および／または任意の他の好適な技法を使用して取得されてもよい。
【００４７】
頻度データは、分類のセット（例えば、高頻度／低頻度／未知の頻度、または一般的発生／稀な発生／一意の発生等）、数値格付け（例えば、１〜１０の数値であって、範囲の一端に向かう値は、より高い頻度を表し、範囲の他端に向かう値は、より低い頻度を表す）、絶対値（例えば、発生が規定された時間期間の間にコンピュータシステム内で観察された回数）、時間比（例えば、発生が平均して単位時間あたりコンピュータシステム内で観察された回数）、調査比（例えば、発生が調査された回数と発生が観察された回数との間の比率）、問題比（例えば、発生が実際のセキュリティ問題と関連付けられると判定された回数と発生が観察された回数との間の比率）等を使用して、発生の頻度を示してもよい。
【００４８】
隣接性データは、セキュリティイベント間の類似性および／または差異を示す任意のデータを含んでもよい。いくつかの実施形態では、隣接性データは、セキュリティイベント（例えば、調査候補であるイベント）と１つまたはそれを上回る他のセキュリティイベント（例えば、同一インシデント応答または類似インシデントに対する別の応答に関連して調査のために誘導システムによって以前に示唆されたセキュリティイベント、同一インシデント応答または類似インシデントに対する別の応答に関連して以前に調査されたセキュリティイベント等）との間の類似度を判定するために使用されてもよい。そのような隣接性データは、サイバーセキュリティプロバイダから取得されてもよい、同一セキュリティインシデントまたは類似セキュリティインシデントの調査に基づいて生成されてもよい、および／または任意の他の好適な技法を使用して取得されてもよい。
【００４９】
隣接性データは、分類のセット（例えば、類似／非類似等）、数値格付け（例えば、１〜１０の数値であって、範囲の一端に向かう値は、より類似性を表し、範囲の他端に向かう値は、あまり類似性を表さない）等を使用して、イベントと別のイベントまたはイベントのセットとの類似性を示してもよい。２つのイベント間の類似性は、イベントの属性を多次元空間内のベクトルとして表すことによって、ベクトルのドット積を算出することによって、または任意の他の好適な技法によって判定されてもよい。イベントの属性のいくつかの実施例は、イベントのタイプ、イベントの頻度、イベントと関連付けられたエンティティまたは複数のエンティティ等を含んでもよい。
【００５０】
代替として、または加えて、隣接性データは、エンティティおよび／またはイベントと他のエンティティおよび／またはイベントとの関連性を示す任意のデータを含んでもよい。本コンテキストでは、関連性は、直接的または間接的であることができる。いくつかの実施形態では、２つのエンティティＥ１とＥ２との間において、エンティティのうちの一方が他方のエンティティに影響を及ぼす（例えば、他方のエンティティに操作を実施する、他方のエンティティと通信する、他方のエンティティのリソースにアクセスする、および／または他方のエンティティから導出される）場合、直接的関連性が存在する。例えば、Ｅ１は、Ｅ２を作成する、削除する、またはそれにアクセスしてもよい（例えば、Ｅ１は、プロセスであって、Ｅ２は、ファイル、レジストリキー、または他のデータである）。別の実施例として、Ｅ１は、ネットワーク通信を介して、Ｅ２を伝送または受信してもよい（例えば、Ｅ１は、プロセスであって、Ｅ２は、ファイルまたは他のデータである）。さらに別の実施例として、Ｅ１は、データをＥ２から取得する、またはデータをＥ２に送信してもよい（例えば、Ｅ１は、プロセスであって、Ｅ２は、プロセス、データ記憶デバイス、またはネットワーク接続デバイスである）。さらに別の実施例として、Ｅ１は、Ｅ２からインスタンス化されてもよい（例えば、Ｅ１は、プロセスであって、Ｅ２は、バイナリファイルである）。前述の実施例は、限定ではなく、他のタイプの発生も、２つのエンティティ間の直接的関連性をもたらし得る。
【００５１】
直接的関連性は、双方向性（二方向）または単方向性（一方向）であることができる。双方向性の直接的関連性の場合、エンティティＥ１をエンティティＥ２に直接関連させる任意の発生はまた、エンティティＥ２をエンティティＥ１に直接関連させる。単方向性の直接的関連性の場合、エンティティＥ１をエンティティＥ２に直接関連させる発生は、必ずしも、エンティティＥ２をエンティティＥ１に直接関連させない。むしろ、エンティティＥ１は、Ｅ１のアクティビティまたは属性がＥ２のアクティビティまたは属性に影響を及ぼす場合、エンティティＥ２に直接関連し得る。例えば、Ｅ１が、Ｅ２に操作を実施する、または情報をＥ２に送信する場合、Ｅ１は、Ｅ２に直接関連し得るが、Ｅ２は、Ｅ１に直接関連しない場合がある。別の実施例として、Ｅ１が、Ｅ２のリソースにアクセスする、またはＥ２から導出される場合、Ｅ２は、Ｅ１に直接関連し得るが、Ｅ１は、Ｅ２に直接関連しない場合がある。
【００５２】
いくつかの実施形態では、イベントＥ２が、セキュリティインシデントと関連付けられ、イベントＥ１が、Ｅ２に直接関連する場合、誘導システム１００は、Ｅ１もまたセキュリティインシデントと関連付けられると判定し、Ｅ１が少なくとも潜在的にセキュリティインシデントをもたらすセキュリティ問題に関連することを意味し得る。誘導システム１００は、次いで、本明細書に説明される技法を使用して、セキュリティインシデントの調査と関連してエンティティＥ１と関連付けられたイベントを調査することの有用性を査定することができる。
【００５３】
いくつかの実施形態では、エンティティＥ１は、エンティティのシーケンスＥ１→・・・ＥＮ−１→ＥＮ（Ｎ＞２）が存在する場合、エンティティＥＮに間接的に関連し、表記「Ｅ１→Ｅ２」は、エンティティＥ１がエンティティＥ２に直接関連することを示す。いくつかの実施形態では、イベントＥＮが、セキュリティインシデントと関連付けられ、イベントＥ１が、ＥＮに間接的に関連する場合、誘導システム１００は、Ｅ１もまたセキュリティインシデントと関連付けられると判定し、Ｅ１が少なくとも潜在的にセキュリティインシデントをもたらすセキュリティ問題に関連することを意味し得る。誘導システム１００は、次いで、本明細書に説明される技法を使用して、セキュリティインシデントの調査と関連してエンティティＥ１と関連付けられたイベントを調査することの有用性を査定することができる。
【００５４】
誘導システム１００は、関連性ベースの隣接性データを使用して、セキュリティインシデントと関連付けられたイベントから「離れている」が、セキュリティインシデントをもたらすセキュリティ問題に潜在的に関連する、エンティティおよび／またはイベントを識別することができる。本コンテキストでは、イベントＶ１は、（１）Ｖ１がＶ２が生じるよりも実質的に先または後に生じる場合、例えば、Ｖ１の発生とＶ２の発生との間の時間量が閾値時間期間を超える場合、または（２）イベントが異なるセッションにおいて生じる場合等、別のイベントＶ２から時間的に離れている場合がある。イベントＶ１は、Ｖ１およびＶ２が、（１）異なるデバイス上で生じる場合、または（２）異なるユーザアカウントと関連付けられる場合等、別のイベントＶ２から空間的に離れている場合がある。同様に、エンティティＥ１は、Ｅ１およびＥ２が、（１）異なるデバイス上に位置する場合、または（２）異なるユーザアカウントと関連付けられる場合、別のエンティティＥ２から空間的に離れている場合がある。
【００５５】
例えば、ファイルＡは、プロセスＡ’をホストデバイス上でインスタンス化し得、プロセスＡ’は、ファイルＢおよびレジスタＢを作成し、サービスとして開始し得る。ホストデバイスが、続いて、リブートされると、ホストは、ファイルＢをプロセスＢ’としてインスタンス化し得る。本シナリオでは、隣接性データは、ファイルＡおよび／またはプロセスＡ’がファイルＢおよび／またはプロセスＢ’に関連することを示し得、誘導システムは、したがって、Ａおよび／またはＡ’をファイルＢおよび／またはプロセスＢ’と関連付けられた任意のセキュリティインシデントの調査の中に取り込み得る。より一般的には、イベントおよびアクティビティ間の関連性の監視は、誘導システム１００が、そうでなければ従来の技法を使用して検出することが困難であり得る関係および影響、例えば、異なるタイプのイベント間の関係（例えば、ホストＨ上のファイルＦのダウンロードおよびホストＨ上のサービスＳの後続開始）、異なるデバイス上のイベント間の関係（例えば、ホストＨ１上のプロセスＰ１の実行およびホストＨ２上のプロセスＰ２の実行）、または時間にわたる関係（例えば、セキュリティインシデントと関連付けられた１つまたはそれを上回るイベントの後続発生に先立ったイベント日または週の発生）を検出することを可能にし得る。
【００５６】
いくつかの実施形態では、隣接性データは、エンティティおよび／またはイベントと他のエンティティおよび／またはイベントとの関連性の統計的モデルを含んでもよい。統計的モデルでは、エンティティおよび／またはイベントは、変数として表されてもよく、関連性関係は、変数間の条件付き依存性として表されてもよい。統計的モデルは、変数またはそのサブセットにわたる同時確率分布を判定するために使用されてもよい。例えば、統計的モデルは、第１のエンティティおよび／またはイベントが第２のエンティティおよび／またはイベントに関連する程度を判定するために使用されてもよい。
【００５７】
いくつかの実施形態では、統計的モデルは、グラフィカルモデル（例えば、Ｂａｙｅｓｉａｎネットワーク等の確率的有向非巡回グラフィカルモデル）である。グラフィカルモデルのノードは、統計的モデルの変数（例えば、エンティティ）を表し得、グラフィカルモデルのエッジは、ノード間の関連性関係（例えば、直接的関連性関係）を表し得る。いくつかの実施形態では、グラフィカルモデルは、Ｅ１がＥ２と関連（例えば、直接関連）する場合、エンティティＥ１を表すノードからエンティティＥ２を表すノードまでの有向エッジを含む。（２つのノードが相互に影響し得るため、このように構築されたグラフィカルモデルは、巡回を含み得ることが理解され得る。所望に応じて、そのような巡回は、任意の好適な技法を使用して検出および破棄されることができる。）
【００５８】
いくつかの実施形態では、グラフィカルモデルは、セキュリティインシデントと関連付けられたエンティティを識別するために使用されることができる。関連性値は、グラフィカルモデルのエッジに割り当てられてもよい。ノードＮ１（エンティティＥ１を表す）からノードＮ２（エンティティＥ２を表す）までのエッジの関連性値は、エンティティＥ１がエンティティＥ２に関連する（例えば、影響を及ぼす）程度を表すことができる。そのような関連性値は、（１）エッジによって表されるイベントの属性、（２）ノードによって表されるエンティティの属性、および／または（３）任意の他の好適な情報に基づいて判定されてもよい。いくつかの実施形態では、エッジの関連性値は、関連性値が２つのノード間の経路の長さが増加するにつれて減衰するような減衰成分を含む。１つまたはそれを上回る関心ノード（例えば、セキュリティイベントとすでに関連付けられたエンティティに対応するノード）が、次いで、選択されてもよく、関心値が、それらのノードに割り当てられてもよい。関心値は、次いで、ネットワークを通して伝搬されてもよく、ネットワークが休止後、誘導システム１００は、その伝搬された関心値に基づいて付加的関心ノードを識別してもよい。例えば、最高関心値を伴う規定された数のノードが、関心ノードとして識別されてもよく、規定された閾値より高い関心値を有する全てのノードが、関心ノードとして識別されてもよい等が考えられる。このように、関連性データは、従来のツールが関連付けを検出し得ないシナリオにおいて、エンティティとセキュリティインシデントを関連付けるために使用されてもよい。
【００５９】
いくつかの実施形態では、グラフィカルモデルは、既知の有用性値をグラフィカルモデルのノード（エンティティ）に割り当て、関連性値をグラフィカルモデルのエッジ（イベント）に割り当て、有用性値をグラフィカルモデル内で伝搬することによって、エンティティを調査することの有用性を推定するために使用されることができる。モデルのノードのうちの１つまたはそれを上回るものの既知の有用性値は、本明細書に説明される有用性推定技法を使用して判定されてもよい。ノードＮ１（エンティティＥ１を表す）からノードＮ２（エンティティＥ２を表す）までのエッジの関連性値は、エンティティＥ１がエンティティＥ２に関連する（例えば、影響を及ぼす）程度またはエンティティＥ２を調査することの有用性がエンティティＥ１を調査することによって影響（例えば、増幅または限定）される程度を表すことができる。有用性値は、次いで、ネットワークを通して伝搬されてもよく、ネットワークが休止後、誘導システム１００は、その伝搬された有用性値に基づいて付加的関心ノードを識別してもよい。
【００６０】
いくつかの実施形態では、客観的有用性推定モジュール１１０は、異なるタイプの客観的有用性推定データに基づいて、イベントを調査することの客観的有用性の個々の推定値を生成する。例えば、客観的有用性推定モジュール１１０は、評判データに基づく有用性の客観的推定値、頻度データに基づく有用性の客観的推定値、および／または隣接性データに基づく有用性の客観的推定値を生成してもよい。
【００６１】
客観的有用性推定データに基づく客観的有用性の個々の推定値を生成するための任意の好適な技法が、使用されてもよい。いくつかの実施形態では、評判データに基づくセキュリティイベントを調査することの有用性の個々の客観的推定値は、概して、評判データがセキュリティイベントと関連付けられた少なくとも１つのエンティティが比較的に悪い評判を有することを示す場合、より高い。いくつかの実施形態では、頻度データに基づくセキュリティイベントを調査することの有用性の個々の客観的推定値は、概して、頻度データが、イベントの発生の頻度が比較的に低いこと、イベントと関連付けられた調査比が比較的に高いこと、および／またはイベントと関連付けられた問題比が比較的に高いことを示す場合、より高い。いくつかの実施形態では、隣接性データに基づくセキュリティイベントを調査することの有用性の個々の客観的推定値は、概して、隣接性データが、イベントと他のセキュリティイベントの隣接性が比較的に低いことを示す場合、より高い。いくつかの実施形態では、隣接性データに基づくセキュリティイベントを調査することの有用性の個々の客観的推定値は、概して、隣接性データが、イベントが実際のセキュリティ問題と比較的に高い相関を有する他のセキュリティイベント（例えば、比較的に高い調査比および／または問題比を伴う他のセキュリティイベント）と比較的に高い隣接性を有することを示す場合、より高い。客観的有用性推定モジュール１１０は、例えば、値と１つまたはそれを上回る閾値を比較することによって、確率分布を使用して、値の尤度を判定し、その尤度と閾値を比較することによって等、任意の好適な技法を使用して、値が「比較的に低い」かまたは「比較的に高い」かを判定してもよい。
【００６２】
いくつかの実施形態では、客観的有用性推定モジュール１１０は、２つまたはそれを上回る異なるタイプの客観的有用性推定データに基づいて、セキュリティイベントを調査することの客観的有用性の総合推定値を生成する。客観的有用性の総合推定値は、客観的有用性の２つまたはそれを上回る個々の推定値を組み合わせることによって（例えば、２つまたはそれを上回る個々の推定値の加重和または加重平均を計算することによって）、および／または任意の他の好適な技法によって、生成されてもよい。いくつかの実施形態では、客観的有用性推定モジュール１１０は、自動的に、個々の推定値の加重を調節し、総合推定値を精緻化する。そのような調節は、例えば、客観的有用性推定モジュール１１０によって以前に提供された有用性推定値の正確度または不正確度に基づいてもよい。いくつかの実施形態では、ユーザ（例えば、科学捜査者）は、手動で、個々の推定値の加重を割り当てる、または調節してもよい。
【００６３】
有用性推定モジュール１１０は、分類のセット（例えば、有用／非有用；高有用性／中程度の有用性／低有用性／無有用性等）、数値格付け（例えば、１〜１０の数値であって、範囲の一端に向かう値は、より高い有用性を表し、範囲の他端に向かう値は、より低い有用性を表す）等を使用して、イベントを調査する推定される客観的有用性を示してもよい。
【００６４】
主観的有用性推定モジュール１２０は、主観的有用性推定データ１４０に基づいて、セキュリティイベントを調査することの主観的有用性を推定してもよい。主観的有用性推定データは、限定ではないが、調査者関心データおよび／またはセキュリティインシデントの科学捜査に関連してセキュリティイベントを調査することの主観的有用性（例えば、科学捜査者にとって）を推定するために好適な任意の他のデータを含んでもよい。
【００６５】
調査者関心データは、セキュリティインシデントの科学捜査と関連して特定のイベントまたはイベントのタイプの調査を実施することにおける１人またはそれを上回る科学捜査者の関心レベルを示す任意のデータを含んでもよい。調査者関心データのいくつかの実施例は、現在のインシデント応答または過去のインシデント応答（例えば、現在の科学捜査の対象であるセキュリティインシデントに類似するセキュリティインシデントに対する応答）の際に調査者が調査したおよび／または調査しなかったイベントを示すデータ、現在のインシデント応答または過去のインシデント応答の際に特定のイベントまたはタイプのイベントを調査するための示唆（例えば、誘導システム１００によって行われた示唆）に対して調査者が応答した方法を示すデータ等を含む。
【００６６】
そのような示唆に対する調査者応答のいくつかの実施例は、セキュリティイベントの調査の開始またはその実施の失敗（例えば、直ちに、規定された時間期間内に、科学捜査の完了に先立って、他のセキュリティイベントの調査の開始に先立って、他のセキュリティイベントの以前に開始された調査の完了に先立って等）、セキュリティイベントの調査の完了または調査が開始された後のその実施の失敗、セキュリティインシデントの調査の有用性の調査者の査定を示すフィードバックの提供（例えば、セキュリティイベントの未開始、開始、または完了された調査の有用性のスコア化または格付け、示唆された調査を開始せずにセキュリティイベントを調査するためのプロンプトの却下等）等を含んでもよい。
【００６７】
いくつかの実施形態では、主観的有用性推定データは、セキュリティイベントを調査することの主観的有用性の予測モデルを訓練するために使用されてもよく、訓練された予測モデルは、セキュリティイベントを調査することの主観的有用性を推定するために使用されてもよい（例えば、主観的有用性推定モジュール１２０によって）。任意の好適なタイプの予測モデルが、使用されてもよく、限定ではないが、パラメータモデル、非パラメータモデル、半パラメータモデル、分類器（例えば、ｎａｉｖｅ  Ｂａｙｅｓ分類器、ｋ−最近傍分類器、多数決分類器、サポートベクトル機械、ランダムフォレスト、ブースティングツリー、決定ツリー、分類ツリー、ニューラルネットワーク等）、最小２乗予測器、回帰モデル、回帰ツリー等を含む。主観的有用性推定データに基づいてセキュリティイベントを調査することの主観的有用性を推定するための他の技法も、使用されてもよい。
【００６８】
予測モデルを訓練するために使用されるデータの本質は、予測モデルが概して異なる調査者および／または異なるタイプのセキュリティインシデントの調査に適用可能である、もしくは特定の調査者および／または特定のタイプのセキュリティインシデントの調査のためにカスタマイズされることができる程度に有意な影響を及ぼし得る。いくつかの実施形態では、予測モデルは、結果として生じる予測モデルが概して科学捜査者全般に適用可能であるように、調査者全般にとってのイベント調査の主観的有用性を示す主観的有用性推定データを使用して訓練されてもよい。いくつかの実施形態では、予測モデルは、結果として生じる予測モデルがそれらの調査者の選好に具体的に適合されるように、１人またはそれを上回る特定の調査者にとってのイベント調査の主観的有用性を示す主観的有用性推定データを使用して訓練されてもよい。いくつかの実施形態では、予測モデルは、結果として生じる予測モデルが概して科学捜査全般に適用可能であるように、科学捜査全般にとってのイベント調査の主観的有用性を示す主観的有用性推定データを使用して訓練されてもよい。いくつかの実施形態では、予測モデルは、結果として生じる予測モデルがそれらのタイプのセキュリティインシデントの調査に具体的に適合されるように、１つまたはそれを上回る特定のタイプのセキュリティインシデントの調査にとってのイベント調査の主観的有用性を示す主観的有用性推定データを使用して訓練されてもよい。
【００６９】
予測モデルは、分類（例えば、高有用性／中程度の有用性／低有用性／無有用性等）をイベント調査に割り当てることによって、数値格付け（例えば、１〜１０の数値であって、範囲の一端に向かう値は、より高い有用性を表し、範囲の他端に向かう値は、より低い有用性を表す）をイベント調査に割り当てることによって等、セキュリティイベントを調査することの主観的有用性を示してもよい。いくつかの実施形態では、セキュリティイベントを調査することの有用性の主観的推定値は、概して、主観的有用性推定データが、調査者が類似イベントを調査した、および／または過去の類似イベントを調査する示唆に同意したことを示す場合、より高い。
【００７０】
誘導システム１００は、少なくとも部分的に、客観的有用性推定モジュール１１０によって提供される客観的有用性の推定値、主観的有用性推定モジュール１２０によって提供される主観的有用性の推定値、および／またはそれらの組み合わせに基づいて、イベント調査の有用性の推定値を生成してもよい。いくつかの実施形態では、誘導システム１００は、客観的有用性の推定値を使用して、科学捜査が比較的に高い客観的有用性を有することが推定される、セキュリティイベントのサブセットを選択し（例えば、セキュリティインシデントと関連付けられたセキュリティイベントのより大きいセットから）、主観的有用性の推定値を使用して、イベントの選択されたサブセットをランク付けする（例えば、イベントを調査する推定された主観的有用性に従って）。いくつかの実施形態では、誘導システム１００は、主観的有用性の推定値を使用して、科学捜査が比較的に高い主観的有用性を有することが推定される、セキュリティイベントのサブセットを選択し（例えば、セキュリティインシデントと関連付けられたセキュリティイベントのより大きいセットから）、客観的有用性の推定値を使用して、イベントの選択されたサブセットをランク付けする（例えば、イベントを調査する推定された客観的有用性に従って）。
【００７１】
いくつかの実施形態では、主観的有用性推定値および／または客観的有用性推定値の任意の好適な部分が、科学捜査が比較的に高い有用性を有することが推定される、セキュリティイベントのサブセットを選択するために使用されてもよい（例えば、セキュリティインシデントと関連付けられたセキュリティイベントのより大きいセットから）。いくつかの実施形態では、主観的有用性推定値および／または客観的有用性推定値の任意の好適な部分が、イベントの選択されたサブセットをランク付けするために使用されてもよい（例えば、イベントを調査する推定される有用性に従って）。客観的有用性の推定値および主観的有用性の推定値がともに使用され、総合有用性値を生成する場合、総合有用性値は、構成有用性値を組み合わせることによって（例えば、構成有用性値の加重和または加重平均を計算することによって）、および／または任意の他の好適な技法によって、生成されてもよい。
【００７２】
選択フェーズの間、誘導システム１００は、任意の好適な選択技法を使用して、調査の推定される有用性に基づいて、イベントのサブセットを選択してもよい。いくつかの実施形態では、誘導システム１００は、調査の推定される有用性が、規定された分類を割り当てられる、または閾値有用性値を超える、全てのイベントを選択する。いくつかの実施形態では、誘導システム１００は、調査の推定される有用性が最高であるイベントの規定された数または割合を選択する。
【００７３】
いくつかの実施形態では、イベントのサブセットを選択し、次いで、選択されたイベントをランク付けするのではなく、誘導システム１００は、それらのイベントを調査する推定される有用性に従って、セキュリティインシデントと関連付けられたイベントをランク付けし、次いで、ランク付けされたイベントのサブセットを選択してもよい。誘導システム１００は、例えば、調査の推定される有用性が閾値有用性値を超える全てのイベントを選択してもよい。いくつかの実施形態では、誘導システム１００は、調査の推定される有用性が最高であるイベントの規定された数または割合を選択する。
【００７４】
いくつかの実施形態では、誘導システム１００は、調査者が他のイベントを調査することに先立って（またはその代わりに）そのような調査を実施することを暗示的または明示的に示唆することによって、調査者が調査の有用性が高いと推定されたイベントの調査を優先するように誘導する。例えば、誘導システム１００は、それらのイベントを調査する推定される有用性の対応するランク付けに従って順序付けられたセキュリティイベントのリストを提示（例えば、表示）してもよく、および／または調査者が他のイベントを調査することをプロンプトすることに先立って（またはその代わりに）より高い推定される有用性を伴うイベント調査を調査者が実施することをプロンプトしてもよい（例えば、他のイベントと関連付けられたデータを表示することに先立って、またはその代わりに、調査の推定される有用性が高いイベントと関連付けられたデータを表示することによって）。
【００７５】
いくつかの実施形態では、誘導システム１００は、それらのイベントを調査することの有用性に基づいて、イベントのサブセットを選択するが、イベントをランク付けしない。誘導システム１００は、調査者が他のイベントの調査より選択されたイベントの調査を優先するように誘導してもよい。例えば、誘導システム１００は、選択されたセキュリティイベントを含み、セキュリティインシデントと関連付けられた他のセキュリティイベントを除外する、セキュリティイベントのリストを提示（例えば、表示）してもよい。別の実施例として、誘導システム１００は、調査者が選択されたイベントを調査するようにプロンプトするが、調査者がセキュリティインシデントと関連付けられた他のイベントを調査することをプロンプトしなくてもよい。
【００７６】
図２は、いくつかの実施形態による、セキュリティインシデントに対する応答を誘導するための方法２００を示す。いくつかの実施形態では、誘導方法２００は、誘導システム１００によって実施される。いくつかの実施形態では、誘導方法２００は、調査者が他のイベントの調査と比較してセキュリティインシデントに対する応答により有用性を有すると推定されたイベント調査を優先するように誘導してもよい（例えば、調査者が他のイベントを調査することに先立って、（またはその代わりに）そのような調査を実施することを暗示的または明示的に示唆することによって）。
【００７７】
誘導方法２００のステップ２１０では、セキュリティイベントを調査することの有用性が、セキュリティインシデントと関連付けられた複数のセキュリティイベント毎に推定される。ステップ２２０では、セキュリティイベントのサブセットが、少なくとも部分的に、セキュリティイベントの推定される有用性に基づいて選択される。ステップ２３０では、セキュリティインシデントに対する応答が、ユーザに選択されたセキュリティイベントに対応するデータを提示することによって誘導される。誘導方法２００のいくつかの実施形態は、以下にさらに詳細に説明される。
【００７８】
誘導方法２００のステップ２１０では、セキュリティイベントを調査することの有用性の推定値が、セキュリティインシデントと関連付けられた複数のセキュリティイベント毎に生成される。セキュリティイベントを調査することの有用性を推定するためのいくつかの技法が、上記に説明される。いくつかの実施形態では、セキュリティイベントを調査することの有用性は、１つまたはそれを上回る有用性の客観的インジケータ、１つまたはそれを上回る有用性の主観的インジケータ、またはそれらの組み合わせに基づいて推定される。
【００７９】
ステップ２２０では、セキュリティイベントのサブセットが、少なくとも部分的に、セキュリティイベントの推定される有用性に基づいて選択される。セキュリティイベントの調査の推定される有用性に基づいてセキュリティイベントのサブセットを選択するためのいくつかの技法が、上記に説明される。いくつかの実施形態では、最高推定有用性を伴うイベント調査に対応するセキュリティイベントが、選択される。
【００８０】
ステップ２３０では、選択されたセキュリティイベントに対応するデータが、ユーザ（例えば、科学捜査者）に提示される。選択されたセキュリティイベントに対応するデータは、他のセキュリティイベントに対応するデータを提示することに先立って、またはその代わりに、ユーザに提示されてもよい。このように、誘導方法２００は、他のイベントの調査より選択されたイベントの調査を優先するようにユーザを誘導してもよい。例えば、選択されたセキュリティイベントを含み、セキュリティインシデントと関連付けられた他のセキュリティイベントを除外する、セキュリティイベントのリストが、提示されてもよい。別の実施例として、選択されたイベントを調査するためのプロンプトが、提示されてもよいが、セキュリティインシデントと関連付けられた他のイベントを調査するためのプロンプトは、提示されなくてもよい。
【００８１】
選択されたセキュリティイベントに対応するデータは、データを表示すること、データを含有するドキュメントを生成すること、データを含有するメッセージを伝送すること、または任意の他の好適な技法を使用することによって提示されてもよい。例えば、１つまたはそれを上回るセキュリティイベントに対応するデータが、ユーザインターフェースのメッセージボックスまたはリストボックス内に、セキュリティイベントを調査するためのプロンプトとともに表示されてもよい。
【００８２】
いくつかの実施形態では、誘導方法２００は、ランク付けするステップを含んでもよい。ランク付けステップでは、選択されたセキュリティイベントは、ランク付けされてもよい。選択されたセキュリティイベントに割り当てられるランク付けは、少なくとも部分的に、セキュリティイベントの調査の有用性の客観的および／または主観的インジケータに基づいてもよい。いくつかの実施形態では、選択されたセキュリティイベントをランク付けするために使用される有用性のインジケータは、少なくとも部分的に、セキュリティイベントを選択するために使用される有用性のインジケータと異なってもよい。例えば、いくつかの実施形態では、セキュリティイベントの選択は、有用性の客観的インジケータから導出される推定される有用性値に基づいてもよく、選択されたセキュリティイベントのランク付けは、有用性の主観的インジケータから導出される推定される有用性値に基づいてもよい。
【００８３】
比較的に高い推定有用性を伴う調査に対応するセキュリティイベントが選択され、ユーザが選択されたセキュリティイベントを調査するようにプロンプトされる、実施例が、説明される。いくつかの実施形態では、比較的に低い推定有用性を伴う調査に対応するセキュリティイベントが、選択され、ユーザは、選択されたセキュリティイベントをさらなる調査のための考慮から排除するようにプロンプトされる。
【００８４】
図２に図示され、上記に説明される誘導方法２００は、セキュリティインシデントと関連付けられたセキュリティイベントを調査することの有用性の推定値に基づいて、インシデント応答を誘導するための方法の一実施例にすぎない。本明細書に説明される技法およびその均等物に従って生成された有用性推定値が、任意の好適なインシデント応答方法およびシステムにおいて使用されてもよい。
【００８５】
いくつかの実施形態のさらなる説明
本開示に説明されるシステム、方法、および動作のいくつかの実施形態は、デジタル電子回路内、または本明細書に開示される構造およびその構造均等物を含む、コンピュータソフトウェア、ファームウェア、もしくはハードウェア内に、またはそれらのうちの１つもしくはそれを上回るものの組み合わせにおいて、実装されることができる。本明細書に説明される主題の実装は、１つまたはそれを上回るコンピュータプログラム、例えば、データ処理装置による実行のために、またはその動作を制御するために、コンピュータ記憶媒体上にエンコードされたコンピュータプログラム命令の１つまたはそれを上回るモジュールとして実装されることができる。
【００８６】
代替として、または加えて、プログラム命令は、データ処理装置による実行のために好適な受信機装置への伝送のための情報をエンコードするために生成される、人工的に生成されて伝搬される信号、例えば、機械生成電気、光学、または電磁信号上にエンコードされることができる。コンピュータ記憶媒体は、コンピュータ可読記憶デバイス、コンピュータ可読記憶基板、ランダムもしくはシリアルアクセスメモリアレイもしくはデバイス、またはそれらのうちの１つもしくはそれを上回るものの組み合わせである、もしくはそれらの中に含まれることができる。さらに、コンピュータ記憶媒体は、伝搬される信号ではないが、コンピュータ記憶媒体は、人工的に生成されて伝搬される信号内にエンコードされたコンピュータプログラム命令のソースまたは宛先であることができる。コンピュータ記憶媒体はまた、１つまたはそれを上回る別個の物理的コンポーネントまたは媒体（例えば、複数のＣＤ、ディスク、または他の記憶デバイス）である、もしくはその中に含まれることができる。
【００８７】
本明細書に説明される方法および動作のいくつかの実施形態は、データ処理装置によって、１つまたはそれを上回るコンピュータ可読記憶デバイス上に記憶される、または他のソースから受信されたデータに行われる動作として実装されることができる。
【００８８】
用語「データ処理装置」は、データ処理のための全ての種類の装置、デバイス、および機械を包含し、一例として、プログラマブルプロセッサ、コンピュータ、チップ上のシステム、または前述の複数のものもしくは組み合わせを含む。装置は、特殊目的論理回路、例えば、ＦＰＧＡ（フィールドプログラマブルゲートアレイ）またはＡＳＩＣ（特定用途向け集積回路）を含むことができる。装置はまた、ハードウェアに加え、当該コンピュータプログラムのための実行環境を作成するコード、例えば、プロセッサファームウェア、プロトコルスタック、データベース管理システム、オペレーティングシステム、クロスプラットフォームランタイム環境、仮想機械、またはそれらのうちの１つまたはそれを上回るものの組み合わせを構成する、コードを含むことができる。装置および実行環境は、種々の異なるコンピューティングモデルインフラストラクチャ、例えば、ウェブサービス、分散型コンピューティング、およびグリッドコンピューティングインフラストラクチャを実現することができる。
【００８９】
コンピュータプログラム（プログラム、ソフトウェア、ソフトウェアアプリケーション、スクリプト、またはコードとしても知られる）は、コンパイラ型またはインタープリタ型言語、宣言型または手続型言語を含む、プログラミング言語の任意の形態で書き込まれることができ、スタンドアロンプログラムまたはモジュール、コンポーネント、サブルーチン、オブジェクト、もしくはコンピューティング環境において使用するために好適な他の単位としてを含む、任意の形態で展開されることができる。コンピュータプログラムは、必要ではないが、ファイルシステム内のファイルに対応してもよい。プログラムは、他のプログラムまたはデータ（例えば、マークアップ言語リソース内に記憶される１つまたはそれを上回るスクリプト）を保持するファイルの一部内、当該プログラムに専用の単一ファイル内、または複数の協調ファイル（例えば、１つまたはそれを上回るモジュール、サブプログラム、またはコードの一部を記憶する、ファイル）内に記憶されることができる。コンピュータプログラムは、１カ所に位置する、または数箇所にわたって分散され、通信ネットワークによって相互接続される、１つのコンピュータまたは複数のコンピュータ上で実行されるように展開されることができる。
【００９０】
本明細書に説明されるプロセスおよび論理フローのいくつかの実施形態は、１つまたはそれを上回るコンピュータプログラムを実行する１つまたはそれを上回るプログラマブルプロセッサによって行われ、入力データに作用し、出力を生成することによってアクションを行うことができる。本明細書に説明されるプロセスおよび論理フローのいくつかの実施形態は、特殊目的論理回路、例えば、ＦＰＧＡ（フィールドプログラマブルゲートアレイ）またはＡＳＩＣ（特定用途向け集積回路）によって行われることができ、本明細書に説明される装置のいくつかの実施形態は、そのようなものとして実装されることができる。
【００９１】
コンピュータプログラムの実行のために好適なプロセッサは、一例として、汎用および特殊目的マイクロプロセッサの両方ならびに任意の種類のデジタルコンピュータの任意の１つまたはそれを上回るプロセッサを含む。概して、プロセッサは、命令およびデータを読取専用メモリまたはランダムアクセスメモリもしくは両方から受信するであろう。
【００９２】
図３は、いくつかの実施形態による、コンピュータシステム３００のブロック図を示す。コンピュータシステム３００は、コンピュータ３１０を含む。コンピュータ３１０は、命令に従ってアクションを行うための１つまたはそれを上回るプロセッサ３０２と、命令およびデータを記憶するための１つまたはそれを上回るメモリデバイス３０４とを含む。
【００９３】
いくつかの実施形態では、コンピュータ３１０は、誘導システム１００またはその一部を実装する。例えば、メモリデバイス３０４は、実行されると、客観的有用性推定モジュール１１０および／または客観的有用性推定モジュール１２０を実装する、命令を記憶してもよい。いくつかの実施形態では、メモリデバイス３０４は、客観的有用性推定データ１３０および／または主観的有用性推定データ１４０を記憶する。異なるバージョンの有用性推定モジュールおよびデータが、記憶、分散、またはインストールされてもよい。いくつかの実施形態では、コンピュータ３１０は、誘導方法２００を実施してもよい。いくつかの実施形態では、コンピュータ３１０は、本明細書に説明される方法のいくつかの実施形態のみを実装してもよい。
【００９４】
いくつかの実施形態では、誘導システム１００を実装するコンピュータ３１０は、通信ネットワーク３２０を介して、対象コンピュータシステム３３０に通信可能に結合されてもよい。通信ネットワーク３２０の実施例は、ローカルエリアネットワーク（「ＬＡＮ」）および広域ネットワーク（「ＷＡＮ」）、インターネットワーク（例えば、インターネット）、およびピアツーピアネットワーク（例えば、アドホックピアツーピアネットワーク）を含む。いくつかの実施形態では、対象コンピュータシステム３３０は、誘導システムによって誘導される科学捜査（および／またはインシデント応答）の対象であるコンピュータシステムを備える。図３の実施例では、誘導システム１００を実装するコンピュータ３１０は、科学捜査の対象であるコンピュータシステムと明確に異なるように示される。しかしながら、いくつかの実施形態では、誘導システム１００を実装するコンピュータ３１０は、科学捜査の対象であるコンピュータシステムの一部であってもよい。
【００９５】
概して、コンピュータ３１０はまた、データを記憶するための１つまたはそれを上回る大容量記憶デバイス、例えば、磁気、磁気光ディスク、もしくは光ディスクを含む、またはそこからデータを受信する、そこにデータを転送する、もしくは両方を行うように動作可能に結合されるであろう。しかしながら、コンピュータは、そのようなデバイスを有する必要はない。さらに、コンピュータは、別のデバイス、例えば、いくつか挙げると、携帯電話、携帯情報端末（ＰＤＡ）、モバイルオーディオもしくはビデオプレーヤ、ゲームコンソール、全地球測位システム（ＧＰＳ）受信機、またはポータブル記憶デバイス（例えば、ユニバーサルシリアルバス（ＵＳＢ）フラッシュドライブ）内に内蔵されることができる。コンピュータプログラム命令およびデータを記憶するために好適なデバイスは、あらゆる形態の不揮発性メモリ、媒体、およびメモリデバイスを含み、一例として、半導体メモリデバイス、例えば、ＥＰＲＯＭ、ＥＥＰＲＯＭ、およびフラッシュメモリデバイス、磁気ディスク、例えば、内部ハードディスクまたはリムーバブルディスク、磁気光ディスク、ならびにＣＤ−ＲＯＭおよびＤＶＤ−ＲＯＭディスクを含む。プロセッサおよびメモリは、特殊目的論理回路によって補完される、またはその中に組み込まれることができる。
【００９６】
ユーザとの相互作用を提供するために、本明細書に説明される主題の実装は、情報をユーザに表示するためのディスプレイデバイス、例えば、ＣＲＴ（ブラウン管）またはＬＣＤ（液晶ディスプレイ）モニタと、ユーザが入力をコンピュータに提供することができる、キーボードおよびポインティングデバイス、例えば、マウスまたはトラックボールとを有する、コンピュータ上に実装されることができる。他の種類のデバイスも同様に、ユーザとの相互作用を提供するために使用されることができる。例えば、ユーザに提供されるフィードバックは、任意の形態の感覚フィードバック、例えば、視覚的フィードバック、聴覚フィードバック、または触知フィードバックであることができ、ユーザからの入力は、音響、発話、または触知入力を含む、任意の形態で受信されることができる。加えて、コンピュータは、ユーザによって使用されるデバイスにリソースを送信し、リソースをそこから受信することによって、例えば、ウェブブラウザから受信された要求に応答して、ユーザのクライアントデバイス上のウェブブラウザにウェブページを送信することによって、ユーザと相互作用することができる。
【００９７】
いくつかの実施形態は、バックエンドコンポーネント（例えば、データサーバを含む）またはミドルウェアコンポーネント（例えば、アプリケーションサーバを含む）またはフロントエンドコンポーネント（例えば、ユーザが本明細書に説明される主題の実装と相互作用することができる、グラフィカルユーザインターフェースまたはウェブブラウザを有する、クライアントコンピュータを含む）または１つまたはそれを上回るそのようなバックエンド、ミドルウェア、またはフロントエンドコンポーネントの任意の組み合わせを含む、コンピューティングシステム内に実装されることができる。システムのコンポーネントは、任意の形態または媒体のデジタルデータ通信（例えば、通信ネットワーク）によって相互接続されることができる。通信ネットワークの実施例は、ローカルエリアネットワーク（「ＬＡＮ」）および広域ネットワーク（「ＷＡＮ」）、インターネットワーク（例えば、インターネット）、およびピアツーピアネットワーク（例えば、アドホックピアツーピアネットワーク）を含む。
【００９８】
コンピューティングシステムは、クライアントおよびサーバを含むことができる。クライアントおよびサーバは、概して、相互から遠隔にあって、典型的には、通信ネットワークを通して相互作用する。クライアントおよびサーバの関係は、個別のコンピュータ上で起動し、クライアント−サーバ関係を相互に有するコンピュータプログラムによって生じる。いくつかの実装では、サーバは、データ（例えば、ＨＴＭＬページ）をクライアントデバイスに伝送する（例えば、クライアントデバイスと相互作用するユーザにデータを表示し、ユーザ入力をそこから受信する目的のため）。クライアントデバイスにおいて生成されたデータ（例えば、ユーザ相互作用の結果）は、サーバにおいてクライアントデバイスから受信されることができる。
【００９９】
１つまたはそれを上回るコンピュータのシステムは、動作時、システムにアクションを行わせる、システム上にインストールされたソフトウェア、ファームウェア、ハードウェア、またはそれらの組み合わせを有することによって、特定の動作またはアクションを行うように構成されることができる。１つまたはそれを上回るコンピュータプログラムは、データ処理装置によって実行されると、装置にアクションを行わせる、命令を含むことによって、特定の動作またはアクションを行うように構成されることができる。
【０１００】
本明細書は、多くの具体的実装の詳細を含有するが、これらは、任意の発明または請求され得るものの範囲に対する限定としてではなく、むしろ、特定の発明の特定の実装に特有な特徴の説明として解釈されるべきである。別個の実装の文脈において本明細書に説明されるある特徴はまた、単一の実装における組み合わせにおいて実装されることができる。逆に、単一の実装の文脈において説明される種々の特徴はまた、複数の実装において、別個に、または任意の好適な副次的組み合わせにおいて実装されることができる。さらに、特徴は、ある組み合わせにおいて作用するように上記に説明され、さらに、最初にそのように請求され得るが、請求される組み合わせからの１つまたはそれを上回る特徴は、いくつかの場合では、組み合わせから除外されることができ、請求される組み合わせは、副次的組み合わせまたは副次的組み合わせの変形例も対象とし得る。
【０１０１】
同様に、動作は、特定の順序で本開示に説明または図面に描写され得るが、これは、そのような動作が、示される特定の順序において、または連続的順序において実施されること、または全ての例証される動作が望ましい結果を達成するために実施されることを要求するものとして理解されるべきではない。ある状況では、マルチタスクおよび並列処理が、有利であり得る。
【０１０２】
さらに、上記に説明される実装における種々のシステムコンポーネントの分離は、全ての実装においてそのような分離を要求するものとして理解されるべきではなく、説明されるプログラムコンポーネントおよびシステムは、概して、単一のソフトウェア製品においてともに統合される、または複数のソフトウェア製品の中にパッケージ化され得ることを理解されたい。
【０１０３】
したがって、主題の特定の実装が、説明されている。他の実装も、以下の請求項の範囲内である。いくつかの場合では、請求項に記載されるアクションは、異なる順序において実施され、依然として、望ましい結果を達成することができる。加えて、付随の図に描写されるプロセスは、望ましい結果を達成するために、必ずしも、示される特定の順序、または連続的順序を要求しない。ある実装では、マルチタスクおよび並列処理が、有利となり得る。
【０１０４】
専門用語
本明細書に使用される語句および専門用語は、説明を目的としており、限定として見なされるべきではない。
【０１０５】
本明細書および請求項に使用されるような用語「約」、語句「〜にほぼ等しい」、および他の類似する語句（例えば、「Ｘは約Ｙの値を有する」または「ＸはＹにほぼ等しい」）は、１つの値（Ｘ）が別の値（Ｙ）の事前判定された範囲内であることを意味するように理解されるべきである。事前判定された範囲は、別様に示されない限り、±２０％、±１０％、±５％、±３％、±１％、±０．１％、または±０．１％未満であり得る。
【０１０６】
本明細書および請求項に使用されるような不定冠詞「ａ」ならびに「ａｎ」は、そうでないことが明確に示されない限り、「少なくとも１つ」を意味するように理解されるべきである。本明細書および請求項に使用されるような語句「および／または」は、そのように結合された要素（すなわち、いくつかの場合には結合的に存在し、他の場合には離接的に存在する要素）の「一方または両方」を意味するように理解されるべきである。「および／または」を用いて列挙された複数の要素は、同一の方式で、すなわち、そのように結合された要素のうちの「１つまたはそれを上回るもの」として解釈されるべきである。具体的に識別されるそれらの要素に関連するかどうかにかかわらず、「および／または」節によって具体的に識別される要素以外の他の要素も、随意に存在し得る。したがって、非限定的実施例として、「〜を備える」等の非限定的言語と併用されるとき、「Ａおよび／またはＢ」の言及は、一実施形態では、Ａのみ（随意に、Ｂ以外の要素を含む）を指し、別の実施形態では、Ｂのみ（随意に、Ａ以外の要素を含む）を指し、また別の実施形態では、ＡおよびＢの両方（随意に、他の要素を含む）等を指し得る。
【０１０７】
本明細書および請求項に使用されるように、「または」は、上記に定義されるような「および／または」と同一の意味を有するように理解されるべきである。例えば、リスト内の項目を分離するとき、「または」もしくは「および／または」は、包括的であるとして、すなわち、いくつかの要素またはそのリストのうちの少なくとも１つ（但し、１つを上回るものも含む）および随意に付加的な列挙されていない項目の包含として解釈されるものとする。「〜のうちの１つのみ」もしくは「〜のうちの厳密に１つ」または請求項において使用されるとき、「〜から成る」等のそうでないことが明確に示される用語のみが、いくつかの要素またはそのリストの厳密に１つの要素の包含を指すであろう。概して、使用されるような用語「または」は、「いずれか」、「〜のうちの１つ」、「〜のうちの１つのみ」、または「〜のうちの厳密に１つ」等の排他性の用語によって先行されると、排他的代替（すなわち、「両方ではないが、一方または他方」）を示すようにのみ解釈されるものとする。請求項において使用されるとき、「〜から本質的に成る」は、特許法の分野において使用されるようなその通常の意味を有するものとする。
【０１０８】
本明細書および請求項に使用されるように、１つまたはそれを上回る要素のリストに関する語句「少なくとも１つ」は、要素のリスト内の要素のうちの１つまたはそれを上回るものから選択される少なくとも１つの要素を意味するように理解されるべきであるが、必ずしも、要素のリスト内に具体的に列挙されるあらゆる要素のうちの少なくとも１つを含むわけではなく、要素のリスト内の要素の任意の組み合わせを除外するわけではない。本定義はまた、具体的に識別されるそれらの要素に関連するかどうかにかかわらず、語句「少なくとも１つ」が指す要素のリスト内の具体的に識別される要素以外の要素が随意に存在し得ることを可能にする。したがって、非限定的実施例として、「ＡおよびＢのうちの少なくとも１つ」（または同じく、「ＡまたはＢのうちの少なくとも１つ」もしくは同じく、「Ａおよび／またはＢのうちの少なくとも１つ」）は、一実施形態では、いかなるＢも存在しない、随意に、１つを上回るＡを含む少なくとも１つのＡ（および随意に、Ｂ以外の要素を含む）を指し、別の実施形態では、いかなるＡも存在しない、随意に、１つを上回るＢを含む少なくとも１つのＢ（および随意に、Ａ以外の要素を含む）を指し、また別の実施形態では、随意に、１つを上回るＡを含む少なくとも１つのＡおよび、随意に、１つを上回るＢを含む少なくとも１つのＢ（および随意に、他の要素を含む）等を指し得る。
【０１０９】
「〜を含む」、「〜を備える」、「〜を有する」、「〜を含有する」、「〜を伴う」、およびそれらの変形例の使用は、その後に列挙される項目および付加的項目を包含することを意味する。
【０１１０】
請求項要素を修正するための請求項における「第１」、「第２」、「第３」等の序数用語の使用は、それ自体では、１つの請求項要素の別のものに対する任意の優先順位、優先度、もしくは順序、または方法の行為が実施される時間的順序を含意しない。序数用語は、単に、ある名称を有する１つの請求項要素を（序数用語の使用がなければ）同一の名称を有する別の要素から区別し、請求項要素を区別するための標識として使用される。
【０１１１】
均等物
したがって、本発明の少なくとも１つの実施形態の側面が説明されたが、種々の代替、修正、および改良が、容易に当業者に想起されるであろう。そのような代替、修正、および改良は、本開示の一部であることが意図され、かつ本発明の精神および範囲内であることが意図される。したがって、前述の説明および図面は、例示にすぎない。
【図１】
2019511055.tif 000003
【図２】
2019511055.tif 000004
【図３】
2019511055.tif 000005
【国際調査報告】
2019511055.tif 000006
2019511055.tif 000007
2019511055.tif 000008