(57)【要約】  本開示は、ネットワーク内のエンドポイントに対してエンドポイント予防措置スコアを決定する際にエンドポイント重要度、症状重要度、及び症状タイミングを考慮に入れることができるエンドポイントランク付けシステムのための方法を提供する。予防措置スコアに従ってランク付け又は整列されているエンドポイントのリストは、動的に生成することができ、また症状タイミングが考慮に入れられる態様に起因して時間の経過と共に変化することができる。リストはまた、エンドポイント重要度及びシステム重要度のパラメータが修正されるのに応じて変化することもできる。エンドポイント重要度重みは、予防措置スコアをエンドポイント重要度に従ってバイアスするためにそれぞれのエンドポイントに割り当てることができる。症状重要度重み及び減衰速度もまた、予防措置スコアを更にバイアスするために割り当てることができる。
2019518291.tif 000002
【特許請求の範囲】
【請求項１】
エンドポイントデバイスの不審スコアを決定するための方法であって、前記方法は、
ネットワークに接続されているエンドポイントデバイス及び前記エンドポイントデバイスのエンドポイント重要度重みを特定することと、
１つ以上の症状タイプ及び前記１つ以上の症状タイプに対する１つ以上の対応の症状重要度重みを特定することと、
前記エンドポイントデバイスで１つ以上の対応のタイムスタンプにおいて発生した１つ以上のイベントを特定することであって、前記１つ以上のイベントが１つ以上の症状タイプに関連付けられている、ことと、
前記エンドポイントデバイスの不審スコアを前記エンドポイント重要度重みに基づいて及び前記１つ以上のイベントの対応の寄与に基づいて計算することであって、前記不審スコアへのイベントの寄与が、前記イベントが発生したときのタイムスタンプから経過した時間に基づいて減少させられ、前記イベントの前記寄与が、前記イベントに関連付けられている症状タイプに対する症状重要度重みに基づいてスケーリングされる、ことと、を含む、方法。
【請求項２】
前記エンドポイントデバイスの前記不審スコアを計算することが、前記イベントが発生したときの前記タイムスタンプから経過した前記時間に基づいて及び前記イベントに関連付けられている前記症状タイプに関連付けられている減衰の速度に基づいて前記イベントの寄与を指数関数的に減衰させることを含む、請求項１に記載の方法。
【請求項３】
前記エンドポイントデバイスの前記不審スコアを計算することが、
イベント寄与の合計を計算することと、
前記症状重要度重みの合計を使用してイベント寄与の前記合計を正規化することと、を含む、請求項１に記載の方法。
【請求項４】
前記エンドポイントデバイスが活動を実行するのを前記不審スコアに基づいて阻止することを更に含む、請求項１に記載の方法。
【請求項５】
前記ネットワーク上のエンドポイントデバイスに対する不審スコアのリストの一部として前記不審スコアをディスプレイ上でユーザに提示することを更に含む、請求項１に記載の方法。
【請求項６】
１つ以上のプロセッサによって実行されたときに、エンドポイントデバイスの不審スコアを決定するための操作を実行する命令を格納しているコンピュータ可読記憶媒体であって、前記操作は、
ネットワークに接続されているエンドポイントデバイス及び前記エンドポイントデバイスのエンドポイント重要度重みを特定することと、
１つ以上の症状タイプ及び前記１つ以上の症状タイプに対する１つ以上の対応の症状重要度重みを特定することと、
前記エンドポイントデバイスで１つ以上の対応のタイムスタンプにおいて発生した１つ以上のイベントを特定することであって、前記１つ以上のイベントが１つ以上の症状タイプに関連付けられている、ことと、
前記エンドポイントデバイスの不審スコアを前記エンドポイント重要度重みに基づいて及び前記１つ以上のイベントの対応の寄与に基づいて計算することであって、前記不審スコアへのイベントの寄与が、前記イベントが発生したときのタイムスタンプから経過した時間に基づいて減少させられ、前記イベントの前記寄与が、前記イベントに関連付けられている症状タイプに対する症状重要度重みに基づいてスケーリングされる、ことと、を含む、コンピュータ可読記憶媒体。
【請求項７】
前記エンドポイントデバイスの前記不審スコアを計算することが、前記イベントが発生したときの前記タイムスタンプから経過した前記時間に基づいて及び前記イベントに関連付けられている前記症状タイプに関連付けられている減衰の速度に基づいて前記イベントの寄与を指数関数的に減衰させることを含む、請求項６に記載のコンピュータ可読記憶媒体。
【請求項８】
前記エンドポイントデバイスの前記不審スコアを計算することが、
イベント寄与の合計を計算することを含み、
前記エンドポイントデバイスの前記不審スコアを計算することが、前記症状重要度重みの合計を使用してイベント寄与の前記合計を正規化することを含む、請求項６に記載のコンピュータ可読記憶媒体。
【請求項９】
前記操作が、
前記エンドポイントデバイスが活動を実行するのを前記不審スコアに基づいて阻止することを更に含む、請求項６に記載のコンピュータ可読記憶媒体。
【請求項１０】
前記操作が、
前記ネットワーク上のエンドポイントデバイスに対する不審スコアのリストの一部として前記不審スコアをディスプレイ上でユーザに提示することを更に含む、請求項６に記載のコンピュータ可読記憶媒体。
【請求項１１】
１つ以上のプロセッサと、
前記１つ以上のプロセッサ上で実行されたときに、操作を実行する１つ以上のアプリケーションを記憶しているメモリであって、前記操作は、
ネットワークに接続されているエンドポイントデバイス及び前記エンドポイントデバイスのエンドポイント重要度重みを特定することと、
１つ以上の症状タイプ及び前記１つ以上の症状タイプに対する１つ以上の対応の症状重要度重みを特定することと、
前記エンドポイントデバイスで１つ以上の対応のタイムスタンプにおいて発生した１つ以上のイベントを特定することであって、前記１つ以上のイベントが１つ以上の症状タイプに関連付けられている、ことと、
前記エンドポイントデバイスの不審スコアを前記エンドポイント重要度重みに基づいて及び前記１つ以上のイベントの対応の寄与に基づいて計算することであって、前記不審スコアへのイベントの寄与が、前記イベントが発生したときのタイムスタンプから経過した時間に基づいて減少させられ、前記イベントの前記寄与が、前記イベントに関連付けられている症状タイプに対する症状重要度重みに基づいてスケーリングされる、ことと、を含む、メモリと、を含む、システム。
【請求項１２】
前記エンドポイントデバイスの前記不審スコアを計算することが、前記イベントが発生したときの前記タイムスタンプから経過した前記時間に基づいて及び前記イベントに関連付けられている前記症状タイプに関連付けられている減衰の速度に基づいて前記イベントの寄与を指数関数的に減衰させることを含む、請求項１１に記載のシステム。
【請求項１３】
前記エンドポイントデバイスの前記不審スコアを計算することが、
イベント寄与の合計を計算することと、
前記症状重要度重みの合計を使用してイベント寄与の前記合計を正規化することと、を含む、請求項１１に記載のシステム。
【請求項１４】
前記操作が、
前記エンドポイントデバイスが活動を実行するのを前記不審スコアに基づいて阻止することを更に含む、請求項１１に記載のシステム。
【請求項１５】
前記操作が、
前記ネットワーク上のエンドポイントデバイスに対する不審スコアのリストの一部として前記不審スコアをディスプレイ上でユーザに提示することを更に含む、請求項１１に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、不審スコアに従ってネットワーク内のエンドポイントをランク付けするためのシステムに関する。より詳細には、本開示は、症状の経過時間及びエンドポイントに基づく不審スコアを使用してネットワークエンドポイントデバイスを動的にランク付けするための手法を提供する。
【背景技術】
【０００２】
多くのタイプのマルウェアは、コンピュータネットワークを介してエンドポイントデバイス間を拡散することができる。したがって、通常は、エンドポイントデバイスをマルウェア感染から保護するために、ネットワーク内においてセキュリティ対策を講じることが賢明である。感染したエンドポイントデバイスは、マルウェア感染の結果として特定の症状を呈することがある。用語「エンドポイントデバイス」は、一般に、ユーザがネットワーク（例えば、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）ネットワーク）にアクセスすることを可能にするハードウェアデバイスを指す。デスクトップコンピュータ、ラップトップ、スマートフォン、タブレット、シンクライアント、プリンタ、及び、販売時点（ＰＯＳ）端末など、他の専用ハードウェアは、いくつかのエンドポイントデバイスの例である。
【０００３】
マルウェア感染の徴候の可能性があるいくつかの症状の例としては、不審なファイルを保存すること、特定のファイル（例えば、隠しシステムファイル）を改変すること、特定のファイルを削除すること、レジストリエントリを変更すること、不審なプロセスを実行すること、普通でない状況下で音を再生すること、ダイアログボックスを開くこと、ネットワーク経由で不審なメッセージを受信すること、特定のタイプのアプリケーション（例えば、アンチウイルスプログラム）をフリーズさせる、クラッシュさせる、全般に遅く動作させる、及び無効にすること、ユーザの同意なしで新しいデスクトップアイコンを作成すること、システムセキュリティ設定を変更すること、ユーザの同意なしでプログラムを開く若しくは閉じること、ユーザの承認なしで複数の受信者に電子メールを送信すること、ポップアップ広告を表示すること、ユーザの承認なしでデフォルトの検索エンジンを変更すること、ウェブブラウザに新しいツールバーをインストールすること、マクロを実行すること、クリックしたリンクに示されているウェブページとは異なるウェブページにリダイレクトすること、実行中のプロセスの数を増加させること、ファイアウォールを無効にすること、又はハードドライブの名前若しくはボリュームの名前を変更することが挙げられる。
【図面の簡単な説明】
【０００４】
【図１】一実施形態による、本開示の手法を適用するために使用されることができる例示的なコンピューティング環境を示す。
【０００５】
【図２】一実施形態による、ネットワークエッジデバイス及びエンドポイントランク付け装置の例示的な詳細図を示す。
【０００６】
【図３】一実施形態による、例示的なエンドポイントプロファイルの詳細図を示す。
【０００７】
【図４】一実施形態による、イベントレコードの詳細な例を示す。
【０００８】
【図５Ａ】一実施形態による、エンドポイントランク付け装置プログラム用のプロセスを実施例に合わせて示している流れ図である。
【０００９】
【図５Ｂ】一実施形態による、エンドポイントランク付け装置プログラム用の別のプロセスを実施例に合わせて示している別の流れ図である。
【００１０】
【図６】一実施形態による、ユーザがネットワーク用のエンドポイントランク付け装置とインタフェースをとることができるグラフィカルユーザインタフェース（ＧＵＩ）の実施例を示す。
【００１１】
【図７】一実施形態による、ユーザがエンドポイントプロファイルを編集することができるグラフィカルユーザインタフェース（ＧＵＩ）の実施例を示す。
【００１２】
【図８】一実施形態による、エンドポイントデバイスの不審スコアを決定するためのプロセスを示す。
【００１３】
【図９】一実施形態による、企業ネットワーク内のエンドポイントをランク付けすることができる例示的なエンドポイントランク付けシステムを示す。
【発明を実施するための形態】
【００１４】
本明細書に提示される実施形態は、ネットワーク内のエンドポイントに対してエンドポイントスコアを決定する際にエンドポイント重要度、症状重要度、及び症状タイミングを考慮に入れることができるエンドポイントランク付けシステムのための手法を提供する。エンドポイントランク付け装置は、不審スコアに従ってエンドポイントのリストを生成及び整列することができる。時間の経過と共に、リストは、症状タイミングが考慮に入れられる態様に起因して動的に変化し得る。リストはまた、エンドポイント重要度及びシステム重要度のパラメータが修正されるのに応じて変化することもできる。
【００１５】
例えば、いくつかの実施形態では、エンドポイント重要度重みをネットワーク内のそれぞれのエンドポイントに割り当てることができる。エンドポイント重要度重みは、手動で（例えば、特定分野の専門家によって）定義されても、事前に定義された関数によって定義されてもよい。また、症状重要度重みを症状タイプに割り当てることもできる。加えて、減衰速度を症状タイプに割り当てることができる。エンドポイント重要度重みと同様に、症状重要度重み及び減衰速度は、手動で定義されても、事前に定義された関数によって定義されてもよい。所与の時間におけるエンドポイントのスコア（即ち、不審スコア）は、症状タイプからの寄与の合計に基づいて計算することができ、それぞれの寄与の症状タイプは、症状タイプに関連付けられた症状重要度重みによって重み付けされている。加えて、個々の症状イベントのそれぞれの寄与は、イベントの症状タイプの減衰速度を使用して、症状イベントが発生してから経過した時間に基づいて指数関数的に減衰させることができる。
【００１６】
図１は、一実施形態による、本開示の手法を適用するために使用されることができるコンピューティング環境１００を示している。ネットワークエッジデバイス１０４及びエンドポイントデバイス１０８ａ〜ｂは、企業ネットワーク１０２に接続されている。ネットワークエッジデバイス１０４は、例えば、ルータ、ルーティングスイッチ、統合アクセス装置（ＩＡＤ）、又は企業ネットワーク１０２への入口点を提供するいくつかの他のタイプのデバイスであってよい。オペレーティングシステム１１０ａはエンドポイントデバイス１０８ａ上で動作し、同時にオペレーティングシステム１１０ｂはエンドポイントデバイス１０８ｂ上で動作する。アプリケーション１１２ａはエンドポイントデバイス１０８ａ上で動作し、同時にアプリケーション１１２ｂはエンドポイントデバイス１０８ｂ上で動作する。エンドポイントランク付け装置１０６は、ネットワークエッジデバイス１０４上で動作する。
【００１７】
オペレーティングシステム１１０ａ〜ｂは、アプリケーション１１２ａ〜ｂに関する情報をそれぞれ監視することができる。エンドポイントデバイス１０８ａ〜ｂは、このような監視によって収集されたデータ（即ち、テレメトリデータ）をエンドポイントランク付け装置１０６に報告することができる。データは、例えば、マルウェアに感染しているエンドポイントデバイスにおいて発生することでそのデバイスが感染していることを示すイベント（即ち、症状イベント）を含むことができる。イベントが発生したときのタイムスタンプもまた、エンドポイントランク付け装置１０６に報告することができる。
【００１８】
エンドポイントランク付け装置１０６は、エンドポイントデバイス１０８ａ〜ｂのそれぞれに対する不審スコアをテレメトリデータに基づいて決定することができる。それぞれの報告されたイベントは、そのイベントが発生したデバイスの不審スコアに寄与することができる。イベントの寄与は、イベントが発生してから経過した時間に基づいて減少させることができる。エンドポイントランク付け装置１０６は、不審スコアによって整列されているエンドポイントデバイス１０８ａ〜ｂのリストを作成することができる。新しい症状イベントが発生し、より古い症状イベントの不審スコアへの寄与が減少するように、エンドポイントデバイスの不審スコアは時間の経過と共に変化することができるので、リストは、一定の間隔を置いて自動的に更新することができる。
【００１９】
図２は、一実施形態による、ネットワークエッジデバイス１０４及びエンドポイントランク付け装置１０６のより詳細な図を示している。エンドポイントランク付け装置１０６は、エンドポイントプロファイル１１４、症状イベントリスト１１８、スコア計算装置１２２、及びインタフェース１２４を含むことができる。エンドポイントプロファイル１１４は、企業ネットワーク１０２内のそれぞれのエンドポイントに対するエンドポイントプロファイルを含むことができる。したがって、図示されているように、エンドポイントプロファイル１１４は、エンドポイントデバイス１０８ａのエンドポイントプロファイル及びエンドポイントデバイス１０８ｂのエンドポイントプロファイルを含む。図２に示した実施例では、企業ネットワーク１０２に接続されている２つのエンドポイントデバイスのみが示されているが、より多くのエンドポイントデバイスが存在し得ることを理解されたい。
【００２０】
症状イベントリスト１１８は、エンドポイントデバイス１０８ａ〜ｂによってネットワークエッジデバイス１０４に報告されたそれぞれの症状イベントに対するイベントレコードを含むことができる。スコア計算装置１２２は、エンドポイントプロファイル１１４及び症状イベントリスト１１８に基づいてエンドポイントデバイス１０８ａ〜ｂに対する不審スコアを計算することができる。インタフェース１２４は、グラフィカルユーザインタフェース（ＧＵＩ）、コマンドラインインタフェース、又は管理者権限を有するユーザがエンドポイントプロファイル１１４及びスコア計算装置１２２を編集することができるいくつかの他のタイプのインタフェースであってよい。
【００２１】
一実施形態では、不審スコアは、エンドポイントデバイスで発生している症状の時間と共に減衰する寄与の重み付き平均であり得る。この実施例による、より形式的な定義を提供するために、英字ｊは整数の添字を表すものとし、Ｅｊはネットワーク内の第ｊ番目のエンドポイントを表すものとする。また、Ｓｃｏｒｅ（Ｅｊ）はエンドポイントＥｊの不審スコアを表すものとする。
【００２２】
更に、Ｗｊは、エンドポイントＥｊに割り当てられた重みを表し、エンドポイントＥｊの重要度を示すものとする。重みＷｊは、手動で（例えば、ユーザによって）提供されることができ、又はエンドポイントＥｊ上で動作しているオペレーティングシステム及びアプリケーションに基づいて定義されることができる。一般に、重みＷｊは、エンドポイントＥｊの重要度が高くなると大きくなる。換言すれば、相対的に大きい値の重みＷｊはエンドポイントＥｊの高い重要度を示し、一方で相対的に小さい値の重みＷｊはエンドポイントＥｊの低い重要度を示す。
【００２３】
加えて、ｉは症状タイプの整数の添字を表すものとし、症状タイプは合計でｎ個存在する。ｔは、所与の症状タイプのイベントに対するタイムスタンプを表すものとする。また、Ｎｊ，ｉ，ｔは、第ｊ番目のエンドポイント（即ち、エンドポイントＥｊ）上でタイムスタンプｔの時点に発生した第ｉ番目の症状タイプのイベントの減衰されておらず、かつ重み付けされていない寄与を指すものとする。エンドポイントＥｊ上で発生している第ｉ番目の症状タイプのすべてのイベントの減衰された寄与は、ｆｉ（Ｅｊ）によって表すことができ、ｆｉ（Ｅｊ）は以下の式によって定義される。
【数１】
2019518291.tif 000003
【００２４】
式中、βｉは第ｉ番目の症状タイプに対する減衰の速度であり、τはエンドポイントＥｊの不審スコアが計算されるときの参照時間である。換言すれば、τ−ｔは、タイムスタンプｔから経過した時間を表す。表記∀ｔは、第ｉ番目の症状タイプのイベントが発生したすべてのタイムスタンプにわたって総和がとられることを意味する（第ｉ番目の症状タイプの複数のイベントが全く同じ時間に発生した場合、総和は複数のイベントのそれぞれに対して同じタイムスタンプを重複して使用することができ、その結果、これに応じて複数のイベントのすべてが総和に寄与する）。減衰の速度βｉは、所望により、手動で定義することができ、又は事前に定義された関数を使用して決定されることができる。
【００２５】
エンドポイントＥｊに割り当てられる重みＷｊに加えて、重みは症状タイプにも割り当てることができる。Ｗｉは第ｉ番目の症状タイプに割り当てられた重みを表すものとする。加えて、Ｚは、以下の式によって定義され得る正規化成分を表すものとする。
【数２】
2019518291.tif 000004
【００２６】
式中、症状タイプは合計でｎ個存在する（したがって、ｎは負ではない整数である）。
【００２７】
この実施例に上記の定義を与えると、エンドポイントＥｊの不審スコアＳｃｏｒｅ（Ｅｊ）は、以下の式によって定義されることができる。
【数３】
2019518291.tif 000005
【００２８】
したがって、不審スコアＳｃｏｒｅ（Ｅｊ）は、エンドポイントＥｊに割り当てられた重みＷｊに依存している。いくつかの症状は他よりも大きい重みを有してよく、同時にいくつかの症状は他よりも速い減衰速度を有してよい。専門知識を有するユーザは、所望により、重み及び減衰速度を構成することができる。
【００２９】
図３は、一実施形態による、エンドポイントプロファイル３０２の詳細図を示している。エンドポイントプロファイル３０２は、企業ネットワークに接続されているエンドポイントに対応することができる。エンドポイントプロファイル３０２は、エンドポイント上で動作するアプリケーションのアプリケーションリスト３０４及びエンドポイント上で動作するオペレーティングシステムを特定するオペレーティングシステム属性３０６を含む。
【００３０】
例示的には、エンドポイントプロファイルはまた、エンドポイントに対するエンドポイント重要度重み３０８も含む。エンドポイント重要度重み３０８は、管理者権限を有するユーザによって手動で定義されることができる。代替的には、エンドポイント重要度重み３０８は、関数に従って自動的に定義されることができる。関数は、エンドポイント上で動作しているオペレーティングシステム及びエンドポイント上で動作しているアプリケーションを示す入力パラメータを受け取ってよい。例示的な関数は、例えば、オペレーティングシステム名及びアプリケーション名をキーとして使用するハッシュを使用し得る。それぞれのキーは、ハッシュ内の値と関連付けられることができる。エンドポイント重要度重み３０８を決定するために、関数は、エンドポイント上で動作しているオペレーティングシステムの名前に関連付けられているハッシュ値をエンドポイント上で動作しているアプリケーションの名前に関連付けられているハッシュ値と足し合わせてよい。これは、使用することができる関数の一例であるが、エンドポイント重要度重み３０８を決定するには多くの他の関数も使用することができるであろう。
【００３１】
エンドポイントプロファイルはまた、減衰速度３１０も含む。それぞれの減衰速度は、症状タイプと関連付けられることができる。エンドポイントデバイスにおいて発生するそれぞれの症状イベントもまた、症状タイプと関連付けられることができる。エンドポイントの不審スコアへのイベントの寄与は、イベントの症状タイプに関連付けられている減衰速度に基づいて時間の経過と共に減少させることができる。いくつかの実施形態では、症状イベントの寄与は、減衰速度３１０内の減衰速度に基づいて指数関数的に減衰してよい。減衰速度は、管理者権限を有するユーザによって手動で定義されることができる。代替的には、減衰速度は、関数に従って自動的に定義されることができる。関数は、一連のイベントを示す入力パラメータを受け取ってよい。
【００３２】
エンドポイントプロファイル３０２はまた、症状重み３１２も含むことができる。それぞれの症状重みは、症状タイプと関連付けられることができる。エンドポイントの不審スコアへのイベントの寄与は、イベントの症状タイプに関連付けられている症状重みを係数として使用することができる。症状重みは、管理者権限を有するユーザによって手動で定義されることができる。代替的には、症状重みは、関数に従って自動的に定義されることができる。関数は、一連のイベントを示す入力パラメータを受け取ってよい。
【００３３】
図４は、一実施形態による、イベントレコード４０２の詳細な例を示している。イベントレコード４０２は、イベントが発生したエンドポイントを示しているエンドポイント属性４０４を含む。イベントレコード４０２はまた、イベントに関連付けられている症状タイプを示している症状タイプ属性４０６も含む。イベントレコード４０２はまた、イベントが発生した時間を示しているイベントタイムスタンプ４１０も含む。
【００３４】
図５Ａは、一実施形態による、エンドポイントランク付け装置プログラム用のプロセス５００ａを例に合わせて示している流れ図である。プロセス５００ａは方法として実行することができ、又はマシン上で（例えば、１つ以上のプロセッサによって）命令として実行させることができ、命令は、少なくとも１つのコンピュータ可読記憶媒体（例えば、一時的な又は一時的でないコンピュータ可読記憶媒体）上に含められる。
【００３５】
ブロック５０２では、エンドポイントランク付け装置プログラムは、ネットワーク内のエンドポイントデバイスを特定する。エンドポイントデバイスは、エンドポイントデバイスをネットワーク上の他のデバイスと区別するのに役立つ識別子と関連付けられてよい。ブロック５０４のように、エンドポイント重要度重みがエンドポイントデバイスに対して（例えば、ユーザによって）提供されているかどうかを判定することができる。エンドポイント重要度重みが提供されていない場合は、ブロック５０６を実行してエンドポイント重要度重みを決定することができる。エンドポイント重要度重みは、例えば、エンドポイントを説明している入力パラメータ（例えば、エンドポイントデバイス上で動作しているオペレーティングシステム及び／又はアプリケーションを示しているパラメータ）を受け取る関数を使用して決定されてよい。
【００３６】
ブロック５０８では、エンドポイントランク付け装置プログラムは、エンドポイントデバイスで発生した症状イベントを特定する。ブロック５１０のように、症状イベントに対して症状タイプ、症状重み、及び減衰速度を特定することができる。いくつかの実施例では、症状タイプ、症状重み、及び減衰速度は、エンドポイントのエンドポイントプロファイル内で定義することができる。
【００３７】
ブロック５１２では、エンドポイントランク付け装置プログラムは、症状イベントのタイムスタンプを（例えば、症状イベントのイベントレコード内で）特定する。ブロック５１４では、エンドポイントランク付け装置プログラムは、症状重み、減衰速度、及びタイムスタンプに基づいて症状イベントの症状イベント寄与を計算する。症状重みは、例えば、係数として働くことができ、減衰速度は、タイムスタンプから経過した時間に基づいて症状イベント寄与を指数関数的に減衰させるために使用することができる。
【００３８】
ブロック５１６では、エンドポイントランク付け装置プログラムは、この症状イベント寄与を、エンドポイントデバイスで発生した症状イベントの症状イベント寄与の合計に加算する。
【００３９】
ブロック５１８では、エンドポイントランク付け装置プログラムは、追加の症状イベントがエンドポイントデバイスで発生していないかどうかを判定する。追加の症状イベントが発生していた場合は、それぞれの追加の症状イベントに対してブロック５０８〜５１６を繰り返すことができる。いくつかの実施例では、ブロック５０８〜５１６は、複数の症状イベントに対して並列に（例えば、マルチスレッディングによって）実行することができる。
【００４０】
５２０では、追加の症状イベントがエンドポイントデバイスで発生していなければ、エンドポイントランク付け装置プログラムは、エンドポイントデバイスに対して不審スコアを計算する。不審スコアは、エンドポイントデバイスの重み（即ち、エンドポイント重要度重み）に基づくこと及び症状イベント寄与の合計に基づくことができる。一実施例では、エンドポイントデバイスの重みは、症状イベント寄与の合計に乗じられる係数として使用されてよい。
【００４１】
ブロック５２２では、エンドポイントランク付け装置プログラムは、ネットワーク内に不審スコアを計算する必要がある追加のエンドポイントデバイスが存在するかどうかを判定する。存在する場合は、エンドポイントランク付け装置プログラムは、それぞれの追加のエンドポイントデバイスに対してブロック５０２〜５２０を繰り返すことができる。いくつかの実施例では、エンドポイントランク付け装置プログラムは、複数のエンドポイントデバイスに対してブロック５０２〜５２０を並列に（例えば、マルチスレッディングによって）実行することができる。
【００４２】
ブロック５２４では、ネットワーク内のエンドポイントデバイスに対して不審スコアの計算が完了したら、エンドポイントデバイスのリストを提示用に整列し、提供することができる。
【００４３】
図５Ｂは、一実施形態による、エンドポイントランク付け装置プログラム用のプロセス５００ｂを例に合わせて示している流れ図である。プロセス５００ｂは方法として実行することができ、又はマシン上で（例えば、１つ以上のプロセッサによって）命令として実行させることができ、命令は、少なくとも１つのコンピュータ可読記憶媒体（例えば、一時的な又は一時的でないコンピュータ可読記憶媒体）上に含められる。
【００４４】
ブロック５２６では、エンドポイントランク付け装置プログラムは、ネットワーク内のエンドポイントデバイスを特定する。エンドポイントデバイスは、エンドポイントデバイスをネットワーク上の他のデバイスと区別するのに役立つ識別子と関連付けられてよい。ブロック５２８のように、エンドポイント重要度重みがエンドポイントデバイスに対して（例えば、ユーザによって）提供されているかどうかを判定することができる。エンドポイント重要度重みが提供されていない場合は、ブロック５３０を実行してエンドポイント重要度重みを決定することができる。エンドポイント重要度重みは、例えば、エンドポイントを説明している入力パラメータ（例えば、エンドポイントデバイス上で動作しているオペレーティングシステム及び／又はアプリケーションを示しているパラメータ）を受け取る関数を使用して決定されてよい。
【００４５】
ブロック５３２では、エンドポイントランク付け装置プログラムは、症状タイプを関連する症状重み及び症状減衰速度と共に特定する。いくつかの実施例では、症状重み及び症状減衰速度は、エンドポイントデバイスのプロファイル内で見つけることができる。
【００４６】
ブロック５３４では、エンドポイントランク付け装置プログラムは、この症状タイプに属しかつこのエンドポイントデバイスで発生した症状イベントを特定する。エンドポイントランク付け装置プログラムはまた、症状イベントのタイムスタンプも特定してよい。いくつかの実施例では、症状イベントのイベントレコードが、症状タイプ及びタイムスタンプを示してよい。
【００４７】
ブロック５３６では、エンドポイントランク付け装置プログラムは、症状イベントに対して症状イベント寄与を計算する。症状イベント寄与は、症状重み、減衰速度、及びタイムスタンプに基づくことができる。症状重みは、例えば、係数として働くことができ、減衰速度は、タイムスタンプから経過した時間に基づいて症状イベント寄与を指数関数的に減衰させるために使用することができる。
【００４８】
ブロック５３８では、エンドポイントランク付け装置プログラムは、症状イベント寄与をその症状タイプでの合計に加算する。ブロック５４０では、エンドポイントランク付け装置プログラムは、この症状タイプの追加の症状イベントがエンドポイントデバイスで発生していないかどうかを判定する。この症状タイプの追加の症状イベントが発生していた場合は、エンドポイントランク付け装置プログラムは、この症状タイプのそれぞれの追加の症状イベントに対してブロック５３４〜５３８を繰り返すことができる。いくつかの実施例では、エンドポイントランク付け装置プログラムは、この症状タイプの複数の症状イベントに対してブロック５３４〜５３８を並列に（例えば、マルチスレッディングによって）実行することができる。
【００４９】
ブロック５４２では、エンドポイントランク付け装置プログラムは、この症状タイプでの合計をこのエンドポイントデバイスの個々の症状タイプでの合計の合計に加算する。ブロック５４４では、エンドポイントランク付け装置プログラムは、このエンドポイントデバイスに対して考慮すべき追加の症状タイプが存在しないかどうかを判定する。換言すれば、このエンドポイントデバイスで発生した症状イベントが、合計をまだ計算していない症状タイプに関連付けられていないかどうかを判定することができる。考慮すべき追加の症状タイプが存在する場合は、エンドポイントランク付け装置プログラムは、それぞれの追加の症状タイプに対してブロック５３２〜５４２を繰り返すことができる。いくつかの実施例では、エンドポイントランク付け装置プログラムは、複数の症状タイプに対してブロック５３２〜５４２を並列に（例えば、マルチスレッディングによって）実行することができる。
【００５０】
ブロック５４６では、追加の症状タイプが存在しなければ、エンドポイントランク付け装置プログラムは、エンドポイントデバイスに対して不審スコアを計算する。不審スコアは、エンドポイントデバイスの重み（即ち、エンドポイント重要度重み）に基づくこと及びエンドポイントデバイスでの合計の合計に基づくことができる。一実施例では、エンドポイントランク付け装置プログラムは、エンドポイントデバイスの重みをエンドポイントデバイスでの合計の合計に乗じられる係数として使用する。
【００５１】
ブロック５４８では、エンドポイントランク付け装置プログラムは、ネットワーク内に不審スコアを計算する必要がある追加のエンドポイントデバイスが存在するかどうかを判定する。存在する場合は、エンドポイントランク付け装置プログラムは、それぞれの追加のエンドポイントデバイスに対してブロック５２６〜５４６を繰り返すことができる。いくつかの実施例では、エンドポイントランク付け装置プログラムは、複数のエンドポイントデバイスに対してブロック５２６〜５４６を並列に（例えば、マルチスレッディングによって）実行することができる。
【００５２】
ブロック５５０では、ネットワーク内のエンドポイントデバイスに対する不審スコアの計算が完了すると、エンドポイントランク付け装置プログラムは、エンドポイントデバイスのリストを作成して整列し、提示用にこのリストを提供することができる。
【００５３】
同一の入力を与えたならば、ネットワーク内のエンドポイントデバイスに対して、プロセス５００ｂ及びプロセス５００ａは一般に同じ不審スコアを生成することになる。しかしながら、プロセス５００ｂを使用すれば、特定の症状タイプに属する症状イベントが合計不審スコアにどのくらい寄与しているかの検査を所望し得るユーザのために、症状タイプでの合計が使用可能になる。
【００５４】
加えて、いくつかの実施形態では、エンドポイントランク付け装置プログラムは、一定の閾値を超えている不審スコアを有するエンドポイントデバイスが不審な活動を実行するのを阻止することができる。不審な活動は、実行されると症状イベントをもたらす恐れがある活動であり得る。エンドポイントランク付け装置プログラムは、不審な活動を実行しないようにエンドポイントデバイスに信号を送ることによって、又は不審な活動を完了するために必要な一部のリソースをエンドポイントデバイスが使用することを拒むことによって、不審な活動を阻止することができる。
【００５５】
図６は、一実施形態による、ユーザがネットワーク用のエンドポイントランク付け装置とインタフェースをとることができるように提供され得るグラフィカルユーザインタフェース（ＧＵＩ）６００の実施例を示している。ＧＵＩ  ６００は、不審スコアに従って整列されているエンドポイントのリストを提示するテーブル６５２を含むことができる。行６２６〜６４４のそれぞれは、ネットワーク内の特定のエンドポイントに関する情報を提供する。
【００５６】
テーブル６５２は、列６１０〜６２２のそれぞれにどのようなタイプのデータが格納されているのかを特定する見出し行６２４を含む。例えば、列６１０は、列挙されているエンドポイントの識別子を含み、列６１２は、エンドポイント上で動作しているオペレーティングシステムの名前を含む。ユーザがフィールド６０２をクリックしたとき、ユーザは、ドロップダウンメニューにより、特定のオペレーティングシステムを実行しているエンドポイントのみをテーブルに表示するように指定することができてよい。
【００５７】
列６１４は、エンドポイントの不審ランク付けを含む。図６の実施例では、不審ランクは、不審スコアが増加すると減少する。したがって、１の不審ランクを有するエンドポイント（識別子「ｓｒｖｒ−Ａ」に関連付けられているエンドポイント）は、テーブル６５２内で最高の不審スコアを有するエンドポイントである。図示されているように、列６１４は、それぞれのエンドポイントについて、テーブル６５２が前回更新されたときから不審ランクの位置がいくつ変化したかを示している数値を含む。
【００５８】
列６１６は、テーブル６５２内のエンドポイントが属しているグループを示す。ボタン６０８をクリックしたとき、指定した特定のグループに属しているエンドポイントのみをテーブル６５２に表示するようにユーザが指定することができるメニューがユーザに表示されてよい。
【００５９】
列６１８は、エンドポイントに現在ログオンしているユーザを示す。列６２０は、テーブル６５２内のそれぞれのエンドポイント上で現在保存されている又は使用されている不審なファイルの数を示すことができる。フィールド６０４の矢印をクリックしたとき、不審なファイルを保存している又は使用しているエンドポイントのみをテーブル６５２に表示するようにユーザが指定することができるドロップダウンメニューがユーザに表示されてよい。
【００６０】
列６２２は、テーブル６５２内のそれぞれのエンドポイントで発生した侵入防止システム（ＩＰＳ）イベント（例えば、症状イベント）の数を示す。フィールド６０６の矢印をクリックしたとき、特定のタイプのイベントが発生したエンドポイントのみをテーブル６５２に表示するようにユーザが指定することができるドロップダウンメニューがユーザに表示されてよい。
【００６１】
ページインジケータ６４８は、どのページのランク付けされたエンドポイントがテーブル６５２に現在表示されているのかを示す。ボックス６５０は、テーブル６５２に一度に表示されるエンドポイントの行数をユーザが指定することを可能にし得る。ユーザは、ネットワーク内のエンドポイントに対する不審スコアを再計算するために、更新ボタン６４６をクリックしてエンドポイントランク付け装置に信号を送ることができる。
【００６２】
図７は、一実施形態による、エンドポイントランク付け装置を含むネットワーク内のエンドポイントのエンドポイントプロファイルをユーザが編集することができるように提供され得るグラフィカルユーザインタフェース（ＧＵＩ）７００の実施例を示している。
【００６３】
ボタン７０２をクリックしたとき、ネットワーク内のエンドポイントに関連付けられている識別子をユーザが編集することができるメニューがユーザに表示されてよい。加えて、ボタン７０４をクリックしたとき、エンドポイント上で動作しているオペレーティングシステムをユーザが指定することができるメニューがユーザに表示されてよい。更に、ボタン７０６をクリックしたとき、エンドポイントが属するグループをユーザが指定することができるメニューがユーザに表示されてよい。
【００６４】
ラジオボタン７０８及び７１０は、エンドポイントのエンドポイント重要度重みがどのように決定されるのかをユーザが選択することを可能にし得る。ラジオボタン７０８が選択されると（図示のとおり）、エンドポイント重要度重みは、関数を使用して決定することができる。チェックボックス７１２は、エンドポイントで動作しているオペレーティングシステムを関数の入力パラメータとして使用することを指定するために使用することができ、同時にチェックボックス７１３は、エンドポイントで動作しているアプリケーションを関数の入力パラメータとして使用することを指定するために使用することができる。逆に、ラジオボタン７１０が選択されると、ユーザは、エンドポイント重要度重みをフィールド７１４内に手動で入力することができる。
【００６５】
テーブル７５２は、列７１６〜７２０のそれぞれにどのようなタイプのデータが格納されているのかを特定する見出し行７２２を含むことができる。例えば、列７１６は、行７２４〜７３０によって記述される症状の症状タイプを含む。列７１８は、症状タイプに関連付けられた減衰速度を指定する。エンドポイントの不審スコアへのイベントの寄与は、イベントの症状タイプに関連付けられている減衰速度に基づいて時間の経過と共に減少させることができる。例えば、イベントがレジストリ変更の場合は、エンドポイントの不審スコアへのイベントの寄与は、フィールド７３４に示されている減衰速度「１．１」に基づいて指数関数的に減衰することができる。
【００６６】
列７２０は、症状タイプに関連付けられた重みを指定する。症状タイプに関連付けられた重みは、その症状タイプのイベントがエンドポイントデバイスの不審スコアにどのくらい寄与するのかの決定を補助する係数として使用することができる。例えば、イベントが、ポップアップ広告が実行されたことである場合は、ポップアップ広告イベントに対する適用可能な重みは、フィールド７４４に示されているように「２．５」であり得る。
【００６７】
症状タイプの減衰速度を編集するために、ユーザは、所望により、フィールド７３４〜７４０のうちのいずれかをクリックし、更新された減衰速度を入力することができる。症状タイプの重みを編集するために、ユーザは、所望により、フィールド７４２〜７４８のうちのいずれかをクリックし、更新された重みを入力することができる。ユーザが検査を所望する追加の症状タイプが存在する場合は、追加の症状タイプについて追加の行をテーブル７５２に表示するように信号をＧＵＩ  ７００に送るために、ユーザは矢印アイコン７３２をクリックすることができる。更に、ユーザは、ユーザが減衰速度又は重みに対して行った変更を保存するために、ボタン７５０をクリックすることができる。
【００６８】
図８は、一実施形態による、エンドポイントデバイスの不審スコアを決定するためのプロセス８００を示している。プロセス８００は方法として実行することができ、又はマシン上で（例えば、１つ以上のプロセッサによって）命令として実行させることができ、命令は、少なくとも１つのコンピュータ可読記憶媒体（例えば、一時的な又は一時的でないコンピュータ可読記憶媒体）上に含められる。
【００６９】
ブロック８０２では、エンドポイントランク付け装置プログラムは、ネットワークに接続されているエンドポイントデバイス及びエンドポイントデバイスのエンドポイント重要度重みを特定することができる。いくつかの実施例では、エンドポイントランク付け装置プログラムはまた、エンドポイントデバイス上で動作しているオペレーティングシステムに基づいて又はエンドポイントデバイス上で動作している１つ以上のアプリケーションに基づいてエンドポイント重要度重みを決定することもできる。
【００７０】
ブロック８０４では、エンドポイントランク付け装置プログラムは、１つ以上の症状タイプ及び１つ以上の症状タイプに対する１つ以上の対応の症状重要度重みを特定する。いくつかの実施例では、エンドポイントランク付け装置プログラムは、エンドポイント重要度重み又は１つ以上の対応の症状重要度重みをユーザから入力デバイスを介して受け取ることができる。
【００７１】
ブロック８０６では、エンドポイントランク付け装置プログラムは、エンドポイントデバイスで１つ以上の対応のタイムスタンプにおいて発生した１つ以上のイベントを特定し、この１つ以上のイベントは１つ以上の症状タイプに関連付けられている。
【００７２】
ブロック８０８では、エンドポイントランク付け装置プログラムは、エンドポイントデバイスの不審スコアをエンドポイント重要度重みに基づいて及び１つ以上のイベントの対応の寄与に基づいて決定する。いくつかの実施例では、エンドポイントランク付け装置プログラムは、イベント寄与の合計を計算する。エンドポイントランク付け装置プログラムはまた、症状重要度重みの合計を使用してイベント寄与の合計を正規化することもできる。
【００７３】
エンドポイントランク付け装置プログラムは、イベントが発生したときのタイムスタンプから経過した時間に基づいて不審スコアへのイベントの寄与を減少させる。具体的には、エンドポイントランク付け装置プログラムは、イベントが発生したときのタイムスタンプから経過した時間に基づいて及びイベントの症状タイプに関連付けられている減衰の速度に基づいて寄与を指数関数的に減衰させてよい。
【００７４】
更に、イベントの寄与は、イベントに関連付けられている症状タイプに対する症状重要度重みに基づいてスケーリングすることができる。
【００７５】
加えて、いくつかの実施形態では、エンドポイントランク付け装置プログラムは、エンドポイントデバイスが不審な活動を実行するのを不審スコアに基づいて阻止することができる。不審な活動は、実行されると症状イベントをもたらす恐れがある活動であり得る。エンドポイントランク付け装置プログラムは、不審な活動を実行しないようにデバイスに信号を送ることによって、又は不審な活動を完了するために必要な一部のリソースをエンドポイントデバイスが使用することを拒むことによって、不審な活動を阻止することができる。
【００７６】
図９は、一実施形態による、企業ネットワーク内のエンドポイントをランク付けする例示的なエンドポイントランク付けシステム９００を示している。図示されているように、エンドポイントランク付けシステム９００は、中央処理装置（ＣＰＵ）９０２、エンドポイントランク付けシステム９００への様々な入出力（Ｉ／Ｏ）デバイス９１４（例えば、キーボード、ディスプレイ、マウスデバイス、ペン入力など）の接続を可能にし得る１つ以上のＩ／Ｏデバイスインタフェース９０４、ネットワークインタフェース９０６、メモリ９０８、ストレージ９１０、及びインターコネクト９１２を含むが、これらに限定されない。
【００７７】
ＣＰＵ  ９０２は、メモリ９０８に保存されているプログラム命令を取得し、実行してよい。同様に、ＣＰＵ  ９０２は、メモリ９０８内に存在するアプリケーションデータを取得し、保存してよい。インターコネクト９１２は、ＣＰＵ  ９０２、Ｉ／Ｏデバイスインタフェース９０４、ネットワークインタフェース９０６、メモリ９０８、及びストレージ９１０の間で、プログラム命令及びアプリケーションデータを伝送する。ＣＰＵ  ９０２は、単一ＣＰＵ、複数ＣＰＵ、複数の処理コアを有する単一ＣＰＵなどを表すことができる。加えて、メモリ９０６はランダムアクセスメモリを表すことができる。更に、ストレージ９１０はディスクドライブであってよい。単一ユニットとして図示されているが、ストレージ９１０は、固定ディスクドライブ、取り外し可能なメモリカード若しくは光学式ストレージ、ネットワーク接続ストレージ（ＮＡＳ）、又はストレージエリアネットワーク（ＳＡＮ）など、固定された及び／又は取り外し可能なストレージデバイスの組み合わせであってよい。
【００７８】
図示されているように、メモリ９０８は、スコア計算装置１２２及びインタフェース１２４を含む。スコア計算装置１２２は、エンドポイントプロファイル１１４及び症状イベントリスト１１８に基づいてエンドポイントデバイスの不審スコアを計算することができる。インタフェース１２４は、グラフィカルユーザインタフェース（ＧＵＩ）、コマンドラインインタフェース、又は管理者権限を有するユーザがエンドポイントプロファイル１１４及びスコア計算装置１２２を編集することができるいくつかの他のタイプのインタフェースであってよい。
【００７９】
図示されているように、ストレージ８１０は、エンドポイントプロファイル１１４、イベントレコード４０２、及び症状イベントリスト１１８を含む。エンドポイントプロファイル３０２のそれぞれは、企業ネットワークに接続されているエンドポイントに対応することができる。エンドポイントプロファイル１１４のそれぞれは、エンドポイント上で動作するアプリケーションのアプリケーションリスト及びエンドポイント上で動作するオペレーティングシステムを特定するオペレーティングシステム属性を含むことができる。更に、エンドポイントプロファイル１１４のそれぞれは、その対応のエンドポイントに対するエンドポイント重要度重みを含むことができる。
【００８０】
更に、エンドポイントプロファイル１１４のそれぞれはまた、減衰速度も含むことができる。それぞれの減衰速度は、症状タイプと関連付けられることができる。症状イベントリスト内のそれぞれのイベントは、症状タイプと関連付けられることができる。エンドポイントプロファイル１１４のそれぞれはまた、症状重みも含むことができる。それぞれの症状重みは、症状タイプと関連付けられることができる。
【実施例】
【００８１】
以下の実施例は、特定の実施形態に関するものであり、このような実施形態を実現する上で使用され又は別の方法で組み合わされ得る特定の機能又は要素を指摘する。
【００８２】
実施例１は、エンドポイントデバイスの不審スコアを決定するための方法を含み、この方法は、ネットワークに接続されているエンドポイントデバイス及びエンドポイントデバイスのエンドポイント重要度重みを特定することと、１つ以上の症状タイプ及び１つ以上の症状タイプに対する１つ以上の対応の症状重要度重みを特定することと、エンドポイントデバイスで１つ以上の対応のタイムスタンプにおいて発生した１つ以上のイベントを特定することであって、１つ以上のイベントが１つ以上の症状タイプと関連付けられている、ことと、エンドポイントデバイスの不審スコアをエンドポイント重要度重みに基づいて及び１つ以上のイベントの対応の寄与に基づいて計算することであって、不審スコアへのイベントの寄与が、イベントが発生したときのタイムスタンプから経過した時間に基づいて減少させられ、イベントの寄与が、イベントに関連付けられている症状タイプに対する症状重要度重みに基づいてスケーリングされる、ことと、を含む。
【００８３】
実施例２では、実施例１又は本明細書に記載の実施例のいずれかの主題は、エンドポイントデバイス上で動作しているオペレーティングシステムに基づいて又はエンドポイントデバイス上で動作している１つ以上のアプリケーションに基づいてエンドポイント重要度重みを決定することを更に含み得る。
【００８４】
実施例２では、実施例１又は本明細書に記載の実施例のいずれかの主題は、エンドポイントデバイスの不審スコアを計算することが、イベントが発生したときのタイムスタンプから経過した時間に基づいて及びイベントに関連付けられている症状タイプに関連付けられている減衰の速度に基づいてイベントの寄与を指数関数的に減衰させることを含むということを更に含み得る。
【００８５】
実施例４では、実施例１又は本明細書に記載の実施例のいずれかの主題は、エンドポイントデバイスの不審スコアを計算することが、イベント寄与の合計を計算することと、症状重要度重みの合計を使用してイベント寄与の合計を正規化することと、を含むということを更に含み得る。
【００８６】
実施例５では、実施例１又は本明細書に記載の実施例のいずれかの主題は、エンドポイントデバイスが活動を実行するのを不審スコアに基づいて阻止することを更に含み得る。
【００８７】
実施例６では、実施例１又は本明細書に記載の実施例のいずれかの主題は、ネットワーク上のエンドポイントデバイスに対する不審スコアのリストの一部として不審スコアをディスプレイ上でユーザに提示することを更に含み得る。
【００８８】
実施例７では、実施例１又は本明細書に記載の実施例のいずれかの主題は、エンドポイント重要度重み又は１つ以上の対応の症状重要度重みをユーザから入力デバイスを介して受け取ることを更に含み得る。
【００８９】
実施例８は、１つ以上のプロセッサによって実行されたときに、エンドポイントデバイスの不審スコアを決定するための操作を実行する命令を格納しているコンピュータ可読記憶媒体を含み、この操作は、ネットワークに接続されているエンドポイントデバイス及びエンドポイントデバイスのエンドポイント重要度重みを特定することと、１つ以上の症状タイプ及び１つ以上の症状タイプに対する１つ以上の対応の症状重要度重みを特定することと、エンドポイントデバイスで１つ以上の対応のタイムスタンプにおいて発生した１つ以上のイベントを特定することであって、１つ以上のイベントが１つ以上の症状タイプと関連付けられている、ことと、エンドポイントデバイスの不審スコアをエンドポイント重要度重みに基づいて及び１つ以上のイベントの対応の寄与に基づいて計算することであって、不審スコアへのイベントの寄与が、イベントが発生したときのタイムスタンプから経過した時間に基づいて減少させられ、イベントの寄与が、イベントに関連付けられている症状タイプに対する症状重要度重みに基づいてスケーリングされる、ことと、を含む。
【００９０】
実施例９では、実施例８又は本明細書に記載の実施例のいずれかの主題は、エンドポイントデバイス上で動作しているオペレーティングシステムに基づいて又はエンドポイントデバイス上で動作している１つ以上のアプリケーションに基づいてエンドポイント重要度重みを決定することを更に含み得る。
【００９１】
実施例１０では、実施例８又は本明細書に記載の実施例のいずれかの主題は、エンドポイントデバイスの不審スコアを計算することが、イベントが発生したときのタイムスタンプから経過した時間に基づいて及びイベントに関連付けられている症状タイプに関連付けられている減衰の速度に基づいてイベントの寄与を指数関数的に減衰させることを含むということを更に含み得る。
【００９２】
実施例１１では、実施例８又は本明細書に記載の実施例のいずれかの主題は、エンドポイントデバイスの不審スコアを計算することが、イベント寄与の合計を計算することを含むということと、エンドポイントデバイスの不審スコアを計算することが、症状重要度重みの合計を使用してイベント寄与の合計を正規化することを含むということと、を更に含み得る。
【００９３】
実施例１２では、実施例８又は本明細書に記載の実施例のいずれかの主題は、エンドポイントデバイスが活動を実行するのを不審スコアに基づいて阻止することを更に含み得る。
【００９４】
実施例１３では、実施例８又は本明細書に記載の実施例のいずれかの主題は、ネットワーク上のエンドポイントデバイスに対する不審スコアのリストの一部として不審スコアをディスプレイ上でユーザに提示することを更に含み得る。
【００９５】
実施例１４では、実施例８又は本明細書に記載の実施例のいずれかの主題は、エンドポイント重要度重み又は１つ以上の対応の症状重要度重みをユーザから入力デバイスを介して受け取ることを更に含み得る。
【００９６】
実施例１５は、１つ以上のプロセッサと、１つ以上のプロセッサ上で実行されたときに、操作を実行する１つ以上のアプリケーションを記憶しているメモリと、を含むシステムを含み、この操作は、ネットワークに接続されているエンドポイントデバイス及びエンドポイントデバイスのエンドポイント重要度重みを特定することと、１つ以上の症状タイプ及び１つ以上の症状タイプに対する１つ以上の対応の症状重要度重みを特定することと、エンドポイントデバイスで１つ以上の対応のタイムスタンプにおいて発生した１つ以上のイベントを特定することであって、１つ以上のイベントが１つ以上の症状タイプと関連付けられている、ことと、エンドポイントデバイスの不審スコアをエンドポイント重要度重みに基づいて及び１つ以上のイベントの対応の寄与に基づいて計算することであって、不審スコアへのイベントの寄与が、イベントが発生したときのタイムスタンプから経過した時間に基づいて減少させられ、イベントの寄与が、イベントに関連付けられている症状タイプに対する症状重要度重みに基づいてスケーリングされる、ことと、を含む。
【００９７】
実施例１６では、実施例１５又は本明細書に記載の実施例のいずれかの主題は、エンドポイントデバイス上で動作しているオペレーティングシステムに基づいて又はエンドポイントデバイス上で動作している１つ以上のアプリケーションに基づいてエンドポイント重要度重みを決定することを更に含み得る。
【００９８】
実施例１７では、実施例１５又は本明細書に記載の実施例のいずれかの主題は、エンドポイントデバイスの不審スコアを計算することが、イベントが発生したときのタイムスタンプから経過した時間に基づいて及びイベントに関連付けられている症状タイプに関連付けられている減衰の速度に基づいてイベントの寄与を指数関数的に減衰させることを含むということを更に含み得る。
【００９９】
実施例１８では、実施例１５又は本明細書に記載の実施例のいずれかの主題は、エンドポイントデバイスの不審スコアを計算することが、イベント寄与の合計を計算することと、症状重要度重みの合計を使用してイベント寄与の合計を正規化することと、を含むということを更に含み得る。
【０１００】
実施例１９では、実施例１５又は本明細書に記載の実施例のいずれかの主題は、エンドポイントデバイスが活動を実行するのを不審スコアに基づいて阻止することを更に含み得る。
【０１０１】
実施例２０では、実施例１５又は本明細書に記載の実施例のいずれかの主題は、ネットワーク上のエンドポイントデバイスに対する不審スコアのリストの一部として不審スコアをディスプレイ上でユーザに提示することを更に含み得る。
【０１０２】
実施例２１では、実施例１５又は本明細書に記載の実施例のいずれかの主題は、エンドポイント重要度重み又は１つ以上の対応の症状重要度重みをユーザから入力デバイスを介して受け取ることを更に含み得る。
【０１０３】
本開示の実施形態について前述してきたのであるが、本開示の基本的範囲から逸脱せずに、本開示の他の更なる実施形態を考えることができるものであり、本開示の範囲は、特許請求の範囲によって決定されるものである。
【図１】
2019518291.tif 000006
【図２】
2019518291.tif 000007
【図３】
2019518291.tif 000008
【図４】
2019518291.tif 000009
【図５Ａ】
2019518291.tif 000010
【図５Ｂ】
2019518291.tif 000011
【図６】
2019518291.tif 000012
【図７】
2019518291.tif 000013
【図８】
2019518291.tif 000014
【図９】
2019518291.tif 000015
【手続補正書】
【提出日】平成30年12月16日(2018.12.16)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
エンドポイントデバイスの不審スコアを決定するための方法であって、前記方法は、
ネットワークに接続されているエンドポイントデバイス及び前記エンドポイントデバイスのエンドポイント重要度重みを特定することと、
１つ以上の症状タイプ及び前記１つ以上の症状タイプに対する１つ以上の対応の症状重要度重みを特定することと、
前記エンドポイントデバイスで１つ以上の対応のタイムスタンプにおいて発生した１つ以上のイベントを特定することであって、前記１つ以上のイベントが前記１つ以上の症状タイプに関連付けられている、ことと、
前記エンドポイントデバイスの前記不審スコアを前記エンドポイント重要度重みに基づいて及び前記１つ以上のイベントの対応の寄与に基づいて計算することであって、前記不審スコアへのイベントの寄与が、前記イベントが発生したときのタイムスタンプから経過した時間に基づいて減少させられ、前記イベントの前記寄与が、前記イベントに関連付けられている症状タイプに対する症状重要度重みに基づいてスケーリングされる、ことと、を含む、方法。
【請求項２】
前記エンドポイントデバイスの前記不審スコアを計算することが、前記イベントが発生したときの前記タイムスタンプから経過した前記時間に基づいて及び前記イベントに関連付けられている前記症状タイプに関連付けられている減衰の速度に基づいて前記イベントの寄与を指数関数的に減衰させることを含む、請求項１に記載の方法。
【請求項３】
前記エンドポイントデバイスの前記不審スコアを計算することが、
イベント寄与の合計を計算することと、
前記症状重要度重みの合計を使用してイベント寄与の前記合計を正規化することと、を含む、請求項１に記載の方法。
【請求項４】
前記エンドポイントデバイスが活動を実行するのを前記不審スコアに基づいて阻止することを更に含む、請求項１〜３のいずれか一項に記載の方法。
【請求項５】
前記ネットワーク上のエンドポイントデバイスに対する不審スコアのリストの一部として前記不審スコアをユーザのためにディスプレイ上に提示することを更に含む、請求項１〜４のいずれか一項に記載の方法。
【請求項６】
１つ以上のプロセッサによって実行されたときに、エンドポイントデバイスの不審スコアを決定するための操作を実行する命令を格納しているコンピュータ可読記憶媒体であって、前記操作は、
ネットワークに接続されているエンドポイントデバイス及び前記エンドポイントデバイスのエンドポイント重要度重みを特定することと、
１つ以上の症状タイプ及び前記１つ以上の症状タイプに対する１つ以上の対応の症状重要度重みを特定することと、
前記エンドポイントデバイスで１つ以上の対応のタイムスタンプにおいて発生した１つ以上のイベントを特定することであって、前記１つ以上のイベントが前記１つ以上の症状タイプに関連付けられている、ことと、
前記エンドポイントデバイスの前記不審スコアを前記エンドポイント重要度重みに基づいて及び前記１つ以上のイベントの対応の寄与に基づいて計算することであって、前記不審スコアへのイベントの寄与が、前記イベントが発生したときのタイムスタンプから経過した時間に基づいて減少させられ、前記イベントの前記寄与が、前記イベントに関連付けられている症状タイプに対する症状重要度重みに基づいてスケーリングされる、ことと、を含む、コンピュータ可読記憶媒体。
【請求項７】
前記エンドポイントデバイスの前記不審スコアを計算することが、前記イベントが発生したときの前記タイムスタンプから経過した前記時間に基づいて及び前記イベントに関連付けられている前記症状タイプに関連付けられている減衰の速度に基づいて前記イベントの寄与を指数関数的に減衰させることを含む、請求項６に記載のコンピュータ可読記憶媒体。
【請求項８】
前記エンドポイントデバイスの前記不審スコアを計算することが、
イベント寄与の合計を計算することを含み、
前記エンドポイントデバイスの前記不審スコアを計算することが、前記症状重要度重みの合計を使用してイベント寄与の前記合計を正規化することを含む、請求項６に記載のコンピュータ可読記憶媒体。
【請求項９】
前記操作が、
前記エンドポイントデバイスが活動を実行するのを前記不審スコアに基づいて阻止することを更に含む、請求項６〜８のいずれか一項に記載のコンピュータ可読記憶媒体。
【請求項１０】
前記操作が、
前記ネットワーク上のエンドポイントデバイスに対する不審スコアのリストの一部として前記不審スコアをユーザのためにディスプレイ上に提示することを更に含む、請求項６〜９のいずれか一項に記載のコンピュータ可読記憶媒体。
【請求項１１】
エンドポイントデバイスの不審スコアを決定するための装置であって、
ネットワークに接続されているエンドポイントデバイス及び前記エンドポイントデバイスのエンドポイント重要度重みを特定するための手段と、
１つ以上の症状タイプ及び前記１つ以上の症状タイプに対する１つ以上の対応の症状重要度重みを特定するための手段と、
前記エンドポイントデバイスで１つ以上の対応のタイムスタンプにおいて発生した１つ以上のイベントを特定するための手段であって、前記１つ以上のイベントが前記１つ以上の症状タイプに関連付けられている、手段と、
前記エンドポイントデバイスの前記不審スコアを前記エンドポイント重要度重みに基づいて及び前記１つ以上のイベントの対応の寄与に基づいて計算するための手段であって、前記不審スコアへのイベントの寄与が、前記イベントが発生したときのタイムスタンプから経過した時間に基づいて減少させられ、前記イベントの前記寄与が、前記イベントに関連付けられている症状タイプに対する症状重要度重みに基づいてスケーリングされる、手段と、を含む、装置。
【請求項１２】
前記エンドポイントデバイスの前記不審スコアを計算するための手段が、
前記イベントが発生したときの前記タイムスタンプから経過した前記時間に基づいて及び前記イベントに関連付けられている前記症状タイプに関連付けられている減衰の速度に基づいて前記イベントの寄与を指数関数的に減衰させるための手段を含む、請求項１１に記載の装置。
【請求項１３】
前記エンドポイントデバイスの前記不審スコアを計算するための手段が、
イベント寄与の合計を計算するための手段と、
前記症状重要度重みの合計を使用してイベント寄与の前記合計を正規化するための手段と、を含む、請求項１１に記載の装置。
【請求項１４】
前記エンドポイントデバイスが活動を実行するのを前記不審スコアに基づいて阻止するための手段を更に含む、請求項１１〜１３のいずれか一項に記載の装置。
【請求項１５】
前記ネットワーク上のエンドポイントデバイスに対する不審スコアのリストの一部として前記不審スコアをユーザ用に提示するための手段を更に含む、請求項１１〜１４のいずれか一項に記載の装置。
【国際調査報告】
2019518291.tif 000016
2019518291.tif 000017
2019518291.tif 000018