【手続補正書】
【提出日】令和2年10月5日(2020.10.5)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ハードウェアプロセッサを用いて、ネットワーク内のコンピュータのオブジェクトに関する情報を収集し、
前記オブジェクトとともにセキュリティ通知を前記ネットワーク内のオブジェクトデータベースに保存し、
前記ネットワーク内の脅威データベースで前記オブジェクトを検索し、
前記脅威データベース内で前記オブジェクトが発見された場合に前記オブジェクトに１以上のタグを付与して、前記オブジェクトデータベース内のレコードと脅威データベースとの対応付けを付与し、
前記１以上のタグがコンピュータ攻撃データベース内のシグネチャに対応する場合、コンピュータ攻撃が発生したと判定する
ことを含む、コンピュータ攻撃検出方法。
【請求項２】
前記１以上のタグに基づいて不審動作データベース内で不審動作を検索し、
前記不審動作データベース内で不審動作のサインを発見した場合、第２のタグを前記セキュリティ通知に付与し、
コンピュータ攻撃データベース内で前記オブジェクト、第１のタグ、第２のタグが発見された場合、コンピュータ攻撃が発生したと判定する
ことをさらに含む請求項１に記載の方法。
【請求項３】
前記第２のタグは、不審動作のサインである前記コンピュータ上の所定イベントの発生や所定動作の実行があった場合にのみ付与される、請求項２に記載の方法。
【請求項４】
前記コンピュータ攻撃の判定が不確実である場合、前記コンピュータ攻撃の判定を確認するためのコンピュータのメモリダンプ、および、前記攻撃を検出するロギングステップのいずれかを実行することをさらに含む、請求項２に記載の方法。
【請求項５】
前記オブジェクトに関する情報は、前記オブジェクトの動作、前記コンピュータのオペレーティングシステムにおけるイベント、ネットワーク間の前記オブジェクトのインタラクションに関する情報、侵入の痕跡（indicators  of  compromise）、および前記オブジェクトのメタデータのうち１以上を含む、請求項１に記載の方法。
【請求項６】
前記対応付けは、前記脅威データベースおよび前記オブジェクトデータベースの前記オブジェクトのチェックサム同士の一致によって規定される、請求項１に記載の方法。
【請求項７】
前記タグは、前記オブジェクトや前記オブジェクトによって実行されるイベントまたは前記オブジェクト上で実行されるイベントに関連する特徴である、請求項１に記載の方法。
【請求項８】
オブジェクトは、ファイル、当該ファイルのハッシュ、プロセス、ＵＲＬアドレス、ＩＰアドレス、証明書およびファイル実行ログのうち１以上を含む、請求項１に記載の方法。
【請求項９】
前記セキュリティ通知は収集された前記オブジェクトに関する情報を含む、請求項１に記載の方法。
【請求項１０】
前記セキュリティ通知はタイムスタンプを含む、請求項１に記載の方法。
【請求項１１】
ハードウェアプロセッサ上で実行されるコンピュータ保護モジュールであって、
ネットワーク内のコンピュータのオブジェクトに関する情報を収集し、
前記オブジェクトともにセキュリティ通知を前記ネットワーク内のオブジェクトデータベースに保存する、コンピュータ保護モジュールと、
ハードウェアプロセッサ上で実行される標的型攻撃防御用モジュールであって、
前記ネットワーク内の脅威データベースで前記オブジェクトを検索し、
前記脅威データベースで前記オブジェクトが発見された場合に前記オブジェクトに１以上のタグを付与して、前記オブジェクトデータベース内のレコードと前記脅威データベースとの対応付けを付与し、
前記１以上のタグがコンピュータ攻撃データベース内のシグネチャに対応する場合、コンピュータ攻撃が発生したと判定する、標的型攻撃防御用モジュールと
を備える、コンピュータ攻撃検出システム。
【請求項１２】
ハードウェアプロセッサ上で実行される検出モジュールをさらに備え、前記検出モジュールは、
前記１以上のタグに基づいて不審動作データベース内で不審動作を検索し、
前記不審動作データベース内で不審動作のサインを発見した場合、第２のタグを前記セキュリティ通知に付与し、
コンピュータ攻撃のデータベース内で前記オブジェクト、第１のタグ、第２のタグが発見された場合、コンピュータ攻撃が発生したと判定する、請求項１１に記載のシステム。
【請求項１３】
前記第２のタグは、不審動作のサインである前記コンピュータ上の所定イベントの発生や所定動作の実行があった場合にのみ付与される、請求項１２に記載のシステム。
【請求項１４】
前記コンピュータ攻撃の判定が不確実である場合、前記コンピュータ攻撃の判定を確認するためのコンピュータのメモリダンプ、および、前記攻撃を検出するロギングステップのいずれかを実行する解析センターをさらに含む、請求項１２に記載のシステム。
【請求項１５】
オブジェクトに関する情報は、前記オブジェクトの動作、前記コンピュータのオペレーティングシステムにおけるイベント、ネットワーク間の前記オブジェクトのインタラクションに関する情報、侵入の痕跡（indicators  of  compromise）、および前記オブジェクトのメタデータのうち１以上を含む、請求項１１に記載のシステム。
【請求項１６】
前記対応付けは、前記脅威データベースおよび前記オブジェクトデータベースの前記オブジェクトのチェックサム同士の一致によって規定される、請求項１１に記載のシステム。
【請求項１７】
前記タグは、前記オブジェクトや前記オブジェクトによって実行されるイベントまたは前記オブジェクト上で実行されるイベントに関連する特徴である、請求項１１に記載のシステム。
【請求項１８】
ハードウェアプロセッサを用いて、ネットワーク内のコンピュータのオブジェクトに関する情報を収集し、
前記オブジェクトとともにセキュリティ通知を前記ネットワーク内のオブジェクトデータベースに保存し、
前記ネットワーク内の脅威データベースでオブジェクトを検索し、
前記脅威データベース内で前記オブジェクトが発見された場合に前記オブジェクトに１以上のタグを付与して、前記オブジェクトデータベース内のレコードと脅威データベースとの対応付けを付与し、
前記１以上のタグがコンピュータ攻撃のデータベース内のシグネチャに対応する場合、コンピュータ攻撃が発生したと判定する
ことを含むコンピュータ攻撃検出方法を、ハードウェアプロセッサによって実行された場合に実行するコンピュータ実行可能命令を格納した非一時的コンピュータ可読媒体。
【請求項１９】
前記１以上のタグに基づいて不審動作データベース内で不審動作を検索し、
前記不審動作データベース内で不審動作のサインを発見した場合、第２のタグを前記セキュリティ通知に付与し、
コンピュータ攻撃のデータベース内で前記オブジェクト、第１のタグ、第２のタグが発見された場合、コンピュータ攻撃が発生したと判定する
ことをさらに含む請求項１８に記載の媒体。
【請求項２０】
不審動作のサインである前記コンピュータ上の所定イベントの発生や所定動作の実行があった場合にのみ、前記第２のタグが付与されることをさらに含む、請求項１９に記載の媒体。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００３６
【補正方法】変更
【補正の内容】
【００３６】
たとえば、管理者１０６は、禁止動作の一覧および許可動作の一覧を示してもよい。たとえば、情報システム１００では、「psexec」ユーティリティはハッカーがリモート管理に使用する可能性があるため、一部のコンピュータ１０１での使用が禁止される場合がある。禁止動作に関連するオブジェクトの情報は、保護モジュール１０２，１０３が収集する。よって、特定のコンピュータ１０１やネットワーク１０５内でpsexecユーティリティが実行された場合、その使用に関する情報は検出モジュールに送信されその使用に応じたマーカが付与される。禁止動作および許可動作の一覧は、情報システム１００または検出モジュール１１０のいずれかに保存される。標的型攻撃防御モジュール１０３が、コンピュータ保護モジュール１０２がインストールされていないコンピュータ１０１上でpsexecユーティリティの使用を検出した場合、当該コンピュータ上での「psexec」の使用が許可可能かの確認および対応するタグの付与は、禁止動作の一覧を用いて標的型攻撃防御モジュール１０３または検出モジュール１１０のいずれかが行う。さらに別の特定の例示的側面では、禁止動作の一覧または許可動作の一覧に情報がない場合、解析センター１１５は、検出された動作が許可可能であるか管理者１０６に確認し、当該動作が許可可能ではない場合、対応するタグを付与する。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００３７
【補正方法】変更
【補正の内容】
【００３７】
検出モジュール１１０は、受信したセキュリティ通知をオブジェクトデータベース１１２内に格納し、脅威データベース１１１内を検索してセキュリティ通知内のオブジェクトが脅威データベース１１１内にあるか判定する。検出モジュール１１０は、セキュリティ通知からのオブジェクトを脅威データベース１１１内に発見すると、発見したオブジェクトにつきオブジェクトデータベース１１２内にタグを付与し、脅威データベース１１１内に発見されたオブジェクトとの対応付けを付与する。対応付けは、たとえば脅威データベース１１１およびオブジェクトデータベース１１２内のオブジェクトのチェックサムの一致によって規定される。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００５９
【補正方法】変更
【補正の内容】
【００５９】
図３は、標的型攻撃防御用モジュールの想定されるモジュール例を示す図である。標的型攻撃防御用モジュール１０３は、たとえば、「サンドボックス」、侵入検出システム（Intrusion  Detection  System；IDS）、評価サーバ、YARAルールチェックモジュール、およびその他の検出モジュールなどの保護モジュールを含む。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００６８
【補正方法】変更
【補正の内容】
【００６８】
図４は、オブジェクトタグをセキュリティ通知に付与する処理を示す図である。保護モジュール１０２，１０３の少なくとも一つがオブジェクト４０１に関する情報を収集し、セキュリティ通知４０２を検出モジュール１１０に送信する。検出モジュール１１０は、受信したセキュリティ通知４０２からオブジェクト４０１を抽出し、脅威データベース１１１内でオブジェクト４０１を検索する（レベル１）。肯定の判定結果の場合、検出モジュール１１０は、脅威データベース１１１内の、このオブジェクト４０１に対応するタグ４１０を付与する。特定の一例示的側面では、上述のオブジェクト４０１にタグを付与する際に、収集された当該オブジェクトに関する情報が読み出される。たとえば、（脅威データベース１１１内に示されるように）規定されたIOCに対応するオブジェクト４０１がコンピュータ上で検出された場合、タグが付与される。しかし、同じオブジェクト４０１が検出されていても規定されたIOCが発見されない場合は、タグは付与されない。次に、検出モジュール１１０は、受信したセキュリティ通知４０２とオブジェクト４０１に付与されたタグ４１０とに基づいて、不審動作データベース１１３に含まれる不審動作のサインを検索する（レベル２）。不審動作のサインが発見された場合、検出モジュール１１０は、不審動作データベース１１３に含まれるタグ４１１をオブジェクトデータベース１１２（特にセキュリティ通知４０２）に付与する。
【手続補正６】
【補正対象書類名】図面
【補正対象項目名】図１
【補正方法】変更
【補正の内容】
【図１】
2019082989.tif 000001
【手続補正７】
【補正対象書類名】図面
【補正対象項目名】図３
【補正方法】変更
【補正の内容】
【図３】
2019082989.tif 000002