(57)【要約】      （修正有）【課題】ユーザと銀行サービスとの相互通信中における潜在的に危険なデバイスを識別する方法を提供する。【解決手段】方法２００において、ユーザのデバイスと銀行サービスとの間に相互通信がある場合、ユーザデバイスに関連するデジタル指紋を取得する。デジタル指紋は、ユーザデバイスの少なくとも１つの特性を示す。ユーザデバイスに関連するクラスタは、ユーザデバイスの少なくとも１つの特性に基づいて生成される。各クラスタは対応する脅威度に関連付けられる。１又は複数のクラスタに基づいて、ユーザデバイスが脅威リスクであると判定されたことに応答して、ユーザデバイスと銀行サービスとの間で行われるトランザクションをブロックする。【選択図】図２
2019036273.tif 000002
【特許請求の範囲】
【請求項１】
ユーザと銀行サービスとの相互通信中における潜在的に危険なデバイスを識別する方法であって、
取得ステップ、クラスタ生成ステップ、及びブロックステップを備え、
前記取得ステップは、ユーザデバイスと銀行サービスとの間の通信を検出することに応答して、前記ユーザデバイスに関連するデジタル指紋を取得し、且つ、前記デジタル指紋が前記ユーザデバイスの少なくとも１つの特性を示し、
前記クラスタ生成ステップは、前記ユーザデバイスの少なくとも１つの特性に基づいて、前記ユーザデバイスに関連する１又は複数のクラスタを生成し、且つ、各クラスタは対応する脅威度に関連付けられ、
前記ブロックステップは、前記１又は複数のクラスタに基づいて、前記ユーザデバイスが脅威リスクであると判定されたことに応答して、前記通信中に前記ユーザデバイスと前記銀行サービスとの間で行われるトランザクションをブロックする、
方法。
【請求項２】
データ取得ステップを備え、
前記データ取得ステップは、前記ユーザデバイスに関する脅威の危険状態に関連するデータを取得する、
請求項１に記載の方法。
【請求項３】
脅威度算出ステップを備え、
前記脅威度算出ステップは、
前記１又は複数のクラスタ中のクラスタに対応する各脅威度を算出し、且つ、各脅威度は、脅威の危険状態の発生頻度に比例した数値を示す、
請求項１に記載の方法。
【請求項４】
前記ブロックステップにおいて、前記ユーザデバイスが脅威リスクであると判定することは、
閾値を超える脅威度を有する少なくとも２つのクラスタにユーザデバイスが関連付けられていると判定することを含む、
請求項１に記載の方法。
【請求項５】
前記ブロックステップにおいて、前記ユーザデバイスが脅威リスクであると判定することは、第１脅威度判定ステップ、第２脅威度判定ステップ、及び閾値判定ステップを備え、
第１脅威度判定ステップは、前記生成されたクラスタ中における第１クラスタの第１脅威度を判定し、
第２脅威度判定ステップは、前記生成されたクラスタ中における第のクラスタの第２脅威度を判定し、
前記閾値判定ステップは、第１脅威度と第２脅威度の平均が前記閾値を超えていると判定し、且つ、第１脅威度は個別に前記閾値を超えない、
請求項１に記載の方法。
【請求項６】
第１クラスタ及び第２クラスタは、前記ユーザデバイスの異なる特性のクラスタ化によって生成される、
請求項５に記載の方法。
【請求項７】
前記ブロックステップにおいて、前記ユーザデバイスが脅威リスクであると判定することは、
第１脅威度及び関連する重み値の積と、第２脅威度及び関連する重み値の積と、の平均値が、前記閾値を超えると判定する、
請求項１に記載の方法。
【請求項８】
ユーザと銀行サービスとの相互通信中における潜在的に危険なデバイスを識別するシステムであって、
データベースを記憶する記憶装置と、
ハードウェアプロセッサを備え、
前記ハードウェアプロセッサは、
ユーザデバイスと銀行サービスとの間の通信を検出することに応答して、前記ユーザデバイスに関連するデジタル指紋を取得し、且つ、前記デジタル指紋が前記ユーザデバイスの少なくとも１つの特性を示し、
前記ユーザデバイスの少なくとも１つの特性に基づいて、前記ユーザデバイスに関連する１又は複数のクラスタを生成し、且つ、各クラスタは対応する脅威度に関連付けられ、
前記１又は複数のクラスタに基づいて、前記ユーザデバイスが脅威リスクであると判定されたことに応答して、前記通信中に前記ユーザデバイスと前記銀行サービスとの間で行われるトランザクションをブロックする、
ように構成される、システム。
【請求項９】
前記プロセッサは、
前記生成されたクラスタ及び関連する脅威度を前記データベースに格納するように構成される、
請求項８に記載にシステム。
【請求項１０】
前記プロセッサは、
前記１又は複数のクラスタ中のクラスタに対応する各脅威度を算出し、且つ、各脅威度は、脅威の危険状態の発生頻度に比例した数値を示す、
ように構成される請求項８に記載のシステム。
【請求項１１】
前記プロセッサは、前記ユーザデバイスが脅威リスクであると判定するときに、
閾値を超える脅威度を有する少なくとも２つのクラスタにユーザデバイスが関連付けられていると判定する、
ように構成される請求項８に記載に記載のシステム。
【請求項１２】
前記プロセッサは、前記ユーザデバイスが脅威リスクであると判定するときに、
第１脅威度判定ステップは、前記生成されたクラスタ中における第１クラスタの第１脅威度を判定し、
第２脅威度判定ステップは、前記生成されたクラスタ中における第のクラスタの第２脅威度を判定し、
前記閾値判定ステップは、第１脅威度と第２脅威度の平均が前記閾値を超えていると判定し、且つ、第１脅威度は個別に前記閾値を超えない、
ように構成される請求項８に記載のシステム。
【請求項１３】
第１クラスタ及び第２クラスタは、前記ユーザデバイスの異なる特性のクラスタ化によって生成される、
請求項１２に記載のシステム。
【請求項１４】
前記プロセッサは、前記ユーザデバイスが脅威リスクであると判定するときに
第１脅威度及び関連する重み値の積と、第２脅威度及び関連する重み値の積と、の平均値が、前記閾値を超えると判定する、
ように構成される請求項８に記載のシステム。
【請求項１５】
ユーザと銀行サービスとの相互通信中における潜在的に危険なデバイスを識別するためのコンピュータ実行可能命令を含む非一時的なコンピュータ可読媒体であって、
取得命令、クラスタ生成命令、及びブロック命令を備え、
前記取得命令は、ユーザデバイスと銀行サービスとの間の通信を検出することに応答して、前記ユーザデバイスに関連するデジタル指紋を取得し、且つ、前記デジタル指紋が前記ユーザデバイスの少なくとも１つの特性を示し、
前記クラスタ生成命令は、前記ユーザデバイスの少なくとも１つの特性に基づいて、前記ユーザデバイスに関連する１又は複数のクラスタを生成し、且つ、各クラスタは対応する脅威度に関連付けられ、
前記ブロック命令は、前記１又は複数のクラスタに基づいて、前記ユーザデバイスが脅威リスクであると判定されたことに応答して、前記通信中に前記ユーザデバイスと前記銀行サービスとの間で行われるトランザクションをブロックする、
媒体。
【請求項１６】
データ取得命令を備え、
前記データ取得命令は、前記ユーザデバイスに関する脅威の危険状態に関連するデータを取得する、
請求項１５に記載の方法。
【請求項１７】
脅威度算出命令を備え、
前記脅威度算出命令は、
前記１又は複数のクラスタ中のクラスタに対応する各脅威度を算出し、且つ、各脅威度は、脅威の危険状態の発生頻度に比例した数値を示す、
請求項１５に記載の媒体。
【請求項１８】
前記ブロック命令において、前記ユーザデバイスが脅威リスクであると判定することは、
閾値を超える脅威度を有する少なくとも２つのクラスタにユーザデバイスが関連付けられていると判定することを含む、
請求項１５に記載の媒体。
【請求項１９】
前記ブロック命令において、前記ユーザデバイスが脅威リスクであると判定することは、第１脅威度判定命令、第２脅威度判定命令、及び閾値判定命令を備え、
第１脅威度判定命令は、前記生成されたクラスタ中における第１クラスタの第１脅威度を判定し、
第２脅威度判定命令は、前記生成されたクラスタ中における第のクラスタの第２脅威度を判定し、
前記閾値判定命令は、第１脅威度と第２脅威度の平均が前記閾値を超えていると判定し、且つ、第１脅威度は個別に前記閾値を超えない、
請求項１５に記載の媒体。
【請求項２０】
第１クラスタ及び第２クラスタは、前記ユーザデバイスの異なる特性のクラスタ化によって生成される、
請求項１９に記載の媒体。
【請求項２１】
前記ブロック命令において、前記ユーザデバイスが脅威リスクであると判定することは、
第１脅威度及び関連する重み値の積と、第２脅威度及び関連する重み値の積と、の平均値が、前記閾値を超えると判定する、
請求項１５に記載の媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、一般にコンピュータセキュリティの分野に関し、より具体的には、ユーザと銀行サービスとの相互通信中における潜在的に危険なデバイスを識別するシステム及び方法に関する。
【背景技術】
【０００２】
現在、銀行業務の領域は大幅に拡大している。ユーザ（銀行顧客）には、銀行とのやり取り（通信）の新しい可能性と、新しい支払い方法及び資金の移転が提示される。多数の支払いシステム、プラスチックカード、及び銀行サービス（銀行サービスはしばしばリモートバンキングサービスと呼ばれる）は、ユーザがコンピューティングデバイスによって様々な取引を行うことを可能にする。オンライン及びモバイルバンキングにより、プラスチックカードや銀行口座の詳細を使わずに通貨取引を行うことができる。
【０００３】
また、第三者によるアクセスに対してユーザのリソースを保護するために、様々なメカニズムが存在する。ユーザがオンラインバンキングを使用している場合、２段階認証などの方法がよく使用される。銀行サイトのブラウザで認証データ（第三者によるアクセスが可能となるログイン及びパスワードなど）を入力した後、銀行は、ユーザの携帯電話に、例えば追加の確認コードを含むメッセージを送信する。これらは、特別なフィールドに情報を入力する必要がある。
【０００４】
しかし、ユーザと銀行サービスとのやりとりに関する脆弱性を利用する攻撃は数多く存在する。これらは、ユーザの資金にアクセスするためにハッカーによって実行される。そのような攻撃は、しばしば詐欺と呼ばれる。例えば、フィッシングサイトを利用し、オンラインバンキングへのアクセスを可能にするログイン及びパスワードを得ることが可能である。モバイルデバイス用の悪意のあるソフトウェアにより、ユーザが認識していない確認を行って、ハッカーがトランザクションを実行することが可能になる。
【０００５】
不正行為からユーザを保護するために用いられる、ユーザデバイスのいわゆる「指紋」を使用するシステム及び方法が知られている。一般的に、ユーザは同じデバイスを使用する。そして、各デバイスは、銀行に知られている特定のソフトウェア及び属性のセットを含む。
デバイス上でソフトウェアセットが変更された場合、又はデバイス自体が変更された場合、不正行為が発生している可能性が高くなる。デバイス上で不正行為が行われた場合、そのデバイスは危険であるとみなされる。
【０００６】
しかし、同一のデバイスは異なる使用領域において、オンラインバンキングにアクセスするために、異なるセットのプログラム、ファームウェア、及びブラウザを使用する。デバイスの指紋を比較する既知のシステム及び方法は、危険なデバイスの数を特定するだけである。既知のシステム及び方法では、異なる特性（例：デバイスの使用領域やデバイスの領域ファームウェア）に依存して潜在的に危険なデバイスを識別することができない。さらに、そのようなデバイスの指紋が未知である場合（例：製造元の製品ラインの新しいデバイス）にデバイスを識別することもできない。さらに、セキュリティを確保するためのプログラムの開発に従事する企業の専門知識を利用していない（例：アンチウィルスソフトウェア）。
【発明の概要】
【０００７】
ユーザと銀行サービスとの安全な相互通信を保証するためのシステム及び方法が開示される。具体的には、ユーザと銀行サービスとの相互通信中おける潜在的に危険なデバイスを識別する。
【０００８】
例示的な一態様では、ユーザと銀行サービスとの相互通信中における潜在的に危険なデバイスを識別する方法であって、取得ステップ、クラスタ生成ステップ、及びブロックステップを備え、前記取得ステップは、ユーザデバイスと銀行サービスとの間の通信を検出することに応答して、前記ユーザデバイスに関連するデジタル指紋を取得し、且つ、前記デジタル指紋が前記ユーザデバイスの少なくとも１つの特性を示し、前記クラスタ生成ステップは、前記ユーザデバイスの少なくとも１つの特性に基づいて、前記ユーザデバイスに関連する１又は複数のクラスタを生成し、且つ、各クラスタは対応する脅威度に関連付けられ、前記ブロックステップは、前記１又は複数のクラスタに基づいて、前記ユーザデバイスが脅威リスクであると判定されたことに応答して、前記通信中に前記ユーザデバイスと前記銀行サービスとの間で行われるトランザクションをブロックする、方法が提供される。
【０００９】
例示的な一態様では、データ取得ステップを備え、前記データ取得ステップは、前記ユーザデバイスに関する脅威の危険状態に関連するデータを取得する。
【００１０】
例示的な一態様では、脅威度算出ステップを備え、前記脅威度算出ステップは、前記１又は複数のクラスタ中のクラスタに対応する各脅威度を算出し、且つ、各脅威度は、脅威の危険状態の発生頻度に比例した数値を示す。
【００１１】
例示的な一態様では、前記ブロックステップにおいて、前記ユーザデバイスが脅威リスクであると判定することは、閾値を超える脅威度を有する少なくとも２つのクラスタにユーザデバイスが関連付けられていると判定することを含む。
【００１２】
例示的な一態様では、前記ブロックステップにおいて、前記ユーザデバイスが脅威リスクであると判定することは、第１脅威度判定ステップ、第２脅威度判定ステップ、及び閾値判定ステップを備え、第１脅威度判定ステップは、前記生成されたクラスタ中における第１クラスタの第１脅威度を判定し、第２脅威度判定ステップは、前記生成されたクラスタ中における第のクラスタの第２脅威度を判定し、前記閾値判定ステップは、第１脅威度と第２脅威度の平均が前記閾値を超えていると判定し、且つ、第１脅威度は個別に前記閾値を超えない。
【００１３】
例示的な一態様では、第１クラスタ及び第２クラスタは、前記ユーザデバイスの異なる特性のクラスタ化によって生成される。
【００１４】
例示的な一態様では、前記ブロックステップにおいて、前記ユーザデバイスが脅威リスクであると判定することは、第１脅威度及び関連する重み値の積と、第２脅威度及び関連する重み値の積と、の平均値が、前記閾値を超えると判定する。
【００１５】
例示的な一態様では、ユーザと銀行サービスとの相互通信中における潜在的に危険なデバイスを識別するシステムであって、データベースを記憶する記憶装置と、ハードウェアプロセッサを備え、前記ハードウェアプロセッサは、ユーザデバイスと銀行サービスとの間の通信を検出することに応答して、前記ユーザデバイスに関連するデジタル指紋を取得し、且つ、前記デジタル指紋が前記ユーザデバイスの少なくとも１つの特性を示し、前記ユーザデバイスの少なくとも１つの特性に基づいて、前記ユーザデバイスに関連する１又は複数のクラスタを生成し、且つ、各クラスタは対応する脅威度に関連付けられ、前記１又は複数のクラスタに基づいて、前記ユーザデバイスが脅威リスクであると判定されたことに応答して、前記通信中に前記ユーザデバイスと前記銀行サービスとの間で行われるトランザクションをブロックする、ように構成される、システムが提供される。
【００１６】
例示的な一態様では、ユーザと銀行サービスとの相互通信中における潜在的に危険なデバイスを識別するためのコンピュータ実行可能命令を含む非一時的なコンピュータ可読媒体であって、取得命令、クラスタ生成命令、及びブロック命令を備え、前記取得命令は、ユーザデバイスと銀行サービスとの間の通信を検出することに応答して、前記ユーザデバイスに関連するデジタル指紋を取得し、且つ、前記デジタル指紋が前記ユーザデバイスの少なくとも１つの特性を示し、前記クラスタ生成命令は、前記ユーザデバイスの少なくとも１つの特性に基づいて、前記ユーザデバイスに関連する１又は複数のクラスタを生成し、且つ、各クラスタは対応する脅威度に関連付けられ、前記ブロック命令は、前記１又は複数のクラスタに基づいて、前記ユーザデバイスが脅威リスクであると判定されたことに応答して、前記通信中に前記ユーザデバイスと前記銀行サービスとの間で行われるトランザクションをブロックする、媒体が提供される。
【００１７】
例示的な態様における上記の簡略化された概要は、本開示の基本的な理解を促進させるものである。かかる概要は、全ての企図された態様の広範な概観ではない。また、全ての側面の重要な要素又は必須の要素を特定することは意図するものでもなく、本開示の任意の又は全ての態様の範囲を説明するものでもない。その唯一の目的は、以下の開示におけるより詳細な説明の前置きとして、１又は複数の態様を簡略化した形で提示することである。前述の目的を達成するために、本開示の１つ以上の態様は、特許請求の範囲に記載され、例示的に指摘される特徴を含む。
【図面の簡単な説明】
【００１８】
添付の図面は、本明細書に組み込まれ、本明細書の一部を構成し、本開示の１つ以上の例示的な態様を示し、詳細な説明とともに、それらの原理及び実施形態を説明する役割を果たす。
【図１】例示的な態様による潜在的に危険なデバイスの識別のためのシステムを示すブロック図である。
【図２】例示的な態様による潜在的に危険なデバイスの識別方法を示すフローチャートである。
【図３】本発明を実施することができる汎用コンピュータシステムの一例を示す図である。
【発明を実施するための形態】
【００１９】
例示的な態様は、潜在的に危険なデバイスを識別するためのシステム、方法、及びコンピュータプログラム製品に関連してここで説明される。当業者であれば、以下の説明は例示的なものにすぎず、本発明を限定することを意図するものではないことを理解するであろう。他の態様は、本開示の恩恵を受ける当業者には容易に示唆されるであろう。添付の図面に例示されている例示的な態様の実装を詳細に説明する。同じ参照符号は、可能な限り図面全体及び以下の記載にわたって使用される。
【００２０】
図１は、例示的な態様による潜在的に危険なデバイスを識別するためのシステム１００を示すブロック図である。システム１００は、銀行サービス１９９へのオンラインアクセス中における潜在的に危険なデバイス１９０を識別するように構成される。
システム１００は、取得モジュール１１０と、脅威度算出モジュール１２０と、分析モジュール１３０とを有するセキュリティサービス１０１を含むことができる。
【００２１】
本開示の文脈におけるデバイス１９０は、コンピューティングデバイス上に実装されるソフトウェア実行環境である。例えば、デバイス１９０は、銀行サービス１９９によって提供されるウェブサイトにアクセスするために、コンピュータ上で実行するウェブブラウザアプリケーションを含むことができる。別の例では、デバイス１９０は、銀行サービス１９９にアクセスするように構成されたモバイルデバイス（例：スマートフォン、タブレット）上で実行する銀行アプリケーションを含むことができる。
【００２２】
本明細書で言及されるように、潜在的に危険なデバイス（本明細書では脅威リスクとも呼ばれる）は、銀行サービス１９９（すなわち、オンラインバンキング）へのオンラインアクセス中の詐欺の確率が閾値より高いデバイス１９０である。例えば、システム１００は、デバイス１９０を識別することができる。デバイス１９０は例えば、ルートアクセスを有するモバイルデバイス、スマートフォン、又はタブレットコンピュータや、ある領域の感染頻度の高いモバイルデバイス、スマートフォン、パーソナルコンピュータ、及びノートブックや、異なる領域の感染頻度の高いモバイルデバイス、スマートフォン、パーソナルコンピュータ、及びノートブックであり得る。また、潜在的に危険な状態とデバイス１９０のクラスタとの様々な組み合わせを含む。
【００２３】
一態様では、取得モジュール１１０は、デバイス１９０のデジタル指紋（インプレッションとも呼ばれる）を取得するように構成される。一般的な場合、指紋は、デバイス１９０の特性を含む。例えば、デバイス１９０の特性は、デバイス１９０の制御下で動作するオペレーティングシステムの識別子（例：バージョン番号、シリアル番号）を含むことができる。いくつかの態様では、デバイスに関連付けられた指紋は、例えば、デバイス１９０の地理的位置、又はデバイス１９０のファームウェアの地域特性（例：大陸／国／都市）を使用して、デバイスの地理的位置を示すことができる。いくつかの態様では、デバイスに関連付けられた指紋は、アカウント識別子（例：Ｍｉｃｒｏｓｏｆｔ（登録商標）、Ｇｏｏｇｌｅ（登録商標）、又はＡｐｐｌｅ（登録商標）アカウント識別子）を含むことができる。いくつかの態様では、デバイスに関連する指紋は、デバイス１９０（ソフトウェア実行環境）が仮想マシン又はエミュレータ内で実行されているかどうかに関する情報、ウェブブラウザアプリケーションバージョン、デバイス１９０のブラウザにインストールされたプラグイン、デバイス１９０にインストールされた脆弱なアプリケーションなどを含むことができる。
【００２４】
一態様では、取得モジュール１１０は、ＪａｖａＳｃｒｉｐｔを（例えばデバイス１９０上のブラウザ内で）実行することにより、特性を取得するように構成されてもよい。かかるスクリプトは銀行サーバに格納され、デバイス１９０が銀行サーバにアクセスするときに実行される。さらに別の態様では、取得モジュール１１０は、セキュリティアプリケーション（例：アンチウィルスアプリケーション）を使用してデータを取得するように構成することができる。さらに別の態様では、取得モジュール１１０は、デバイス１９０上で動作するアプリケーションを使用して、デバイス１９０に関連付けられた特性を取得するように構成されてもよい。例えば、そのようなアプリケーションは、銀行サービス（例：アプリケーション「Ｓｂｅｒｂａｎｋ−ｏｎｌｉｎｅ」）１９９にアクセスするように構成される。そして、アンチウィルスアプリケーションの製造業者によって提供されるソフトウェア開発キット（ＳＤＫ）（例：Ｋａｓｐｅｒｓｋｙ  Ｍｏｂｉｌｅ  Ｓｅｃｕｒｉｔｙ  ＳＤＫ）を使用する。
【００２５】
デバイス１９０の特性を取得することに加えて、取得モジュール１１０は、デバイス１９０の潜在的に危険な状態に関連するデータを取得するように構成されてもよい。「潜在的に危険な状態」という用語は、デバイス１９０を介したユーザと銀行サービス１９９との安全な相互通信が保証されない場合におけるデバイス１９０の状態を指す場合がある。このような状態の例を以下に示す。
【００２６】
一態様では、潜在的に危険な状態は、ルートアクセス可能なデバイス１９０上の存在であり、取得モジュール１１０は、デバイス１９０上のルートアクセスの存在に関する情報を取得する。アンチウィルスアプリケーションでさえ、ルートアクセス可能なデバイス１９０上の悪意のあるソフトウェアの活動を特定しないことがあることに言及すべきである。従って、かかる状態では、デバイス１９０を用いて、ユーザと銀行サービス１９９との安全な相互通信を保証することができない。
【００２７】
さらに別の態様では、潜在的に危険な状態は、デバイス１９０上の感染であり、取得モジュール１１０は、デバイス１９０上の感染の存在に関する情報を取得する。例えば、取得モジュールは、悪意のあるプログラムの活動を発見する。デバイス１９０の感染に関する情報は、ユーザが銀行サービス１９９にアクセスしたときと、ユーザがまだ銀行サービス１９９とやりとりしていない期間中に取得することができる。例えば、そのような情報は、バックグラウンドで動作する取得モジュール１１０のサービスによって取得されてもよい。
【００２８】
一態様では、取得モジュール１１０は、デバイス１９０から実行された銀行サービス１９９に対する攻撃に関する情報を、銀行又は外部組織から取得する。例えば、Ｋａｓｐｅｒｓｋｙ  Ｌａｂｏｒａｔｏｒｉｅｓから、Ｋａｓｐｅｒｓｋｙ  Ｆｒａｕｄ  Ｐｒｅｖｅｎｔｉｏｎ、ＫＦＰを利用して特定された、銀行サービス１９９に対する攻撃に関する情報を受け取る。そのような場合、攻撃の存在事態も潜在的に危険な状態といえる。
【００２９】
さらに別の態様では、任意の他の既知の適切な方法により、取得モジュール１１０は、損害を受けているデバイス１９０に関する情報を、銀行又は外部組織から取得する。例えば、取得モジュール１１０は、攻撃ネットワーク又は侵害されたシステム上のデータをセキュリティネットワーク１５０から受信することができる。セキュリティネットワーク１５０は、新規又は過去の脅威に関連するデータ、アプリケーションの評判データ、ウェブサイトの評判データ、並びに検出された脅威及び疑わしい活動に関するその他のデータをコンパイルして提供するクラウドベースのサービスであってもよい。セキュリティネットワークの例として、ＫａｓｐｅｒｓｋｙＬａｂｓ（登録商標）が提供するＫａｓｐｅｒｓｋｙ  Ｓｅｃｕｒｉｔｙ  Ｎｅｔｗｏｒｋ（ＫＳＮ）を挙げることができる。
【００３０】
取得モジュール１１０により取得されたデバイス１９０に関するデータは、脅威度算出モジュール１２０に送信される。一態様では、取得モジュール１１０により取得されたデバイス１９０に関するデータは、データベース１１１に保存される。
【００３１】
脅威度算出モジュール１２０は、リモートサーバ（又はサーバの分散システム）上又はクラウドサービスとして動作していてもよい。そして、脅威度算出モジュール１２０は、取得モジュール１１０又はデータベース１１１から得られたデータに基づいて、脅威度を算出するように構成されている。
【００３２】
脅威度算出モジュール１２０は、脅威度（脅威要因）を算出する。脅威度は、数値として表すことができる。一般的な場合、潜在的に危険な状態の発生頻度に基づいて、脅威度が算出される。脅威度は、潜在的に危険な状態に遭遇する頻度が高いほど高くなる。一態様では、脅威度は、０（保証された安全デバイス）から１（悪意のあるデバイス）の範囲で算出される。
【００３３】
一態様では、脅威度算出モジュール１２０は、デバイス１９０の指紋を取得したときに得られた少なくとも１つのデバイス特性に基づいて、デバイス１９０のクラスタを作成する（クラスタ化を実行する）。一態様では、クラスタ化は、デバイス１９０の取得された特性のいくつかに基づいて行われる。従って、脅威度は、個々のデバイス１９０及びデバイス１９０のクラスタの両方について算出することができる。さらに、脅威度は、既知の潜在的に危険な状態（例：デバイス１９０上のルートアクセスの存在頻度）、及びそれらの組み合わせ（例：デバイス１９０上のルートアクセスの存在頻度と、デバイス１９０からの銀行サービスに対する攻撃の頻度と、の組み合わせ）のいずれについても個別に算出することができる。
【００３４】
上記を考慮すると、各デバイス１９０又はデバイス１９０のクラスタに対するいくつかの脅威度を算出することが可能である。クラスタの脅威度は、任意の既知の適切な方法によって算出することができる。一態様では、クラスタの脅威度は、クラスタに入る全てのデバイス１９０の脅威度の中心傾向（算術平均）の尺度の１つである。別の態様では、クラスタの脅威度は、脅威度の算術平均に係数を掛けたものとして算出される。かかる係数は、特定のデバイス１９０に対する既知のセキュリティ侵害が発生してからの経過時間が短いほど高くなる。
【００３５】
一態様では、脅威度算出モジュール１２０は、特定の地理的位置を示すデバイスに関連する特性、脅威リスクのより高い又はより低いレベルに関連する他の要因に基づいて、デバイス１９０に対する脅威度を判定することができる。例えば、中国で使用される中国向けのファームウェアを備えたデバイス１９０は、ルートアクセス及びインストールされる脆弱なアプリケーションに対する脅威度が高くなる。ここで、かかるルートアクセスは、製造業者によってファームウェアにデフォルトでインストールされる。また、ファームウェアには、プリインストールされた多くのアプリケーションが存在する。例えば、広告アプリケーション、上記のデバイスのデータを中国のサーバにコピーしてバックアップするアプリケーションがある。中国向けのファームウェアを搭載した同じデバイス１９０が米国で使用される場合、かかるデバイスは、脆弱なアプリケーションではなくルートアクセスの脅威度が高いことになる。これは、プリインストールされた脆弱なアプリケーションが中国のサーバに接続されておらず、その活動を明示していないためである。米国向けのファームウェアを搭載した同デバイスは、ルートアクセスやプレインストールされた脆弱なアプリケーションの脅威度が低い。これは、ファームウェアにルートアクセスとプリインストールされた脆弱なアプリケーションが含まれておらず、少数のユーザだけがデバイス１９０上で独立してルートアクセスを取得し、前述のアプリケーションをインストールするためである。
【００３６】
いくつかの態様では、脅威度算出モジュール１２０は、デバイス１９０の分析中に、比較的小さな脅威度を有するクラスタを無視することができる。例えば、脅威度算出モジュール１２０は、クラスタの脅威度よりも数倍（例：５倍）高い閾値に基づいてクラスタを無視してもよい。例えば、よく考慮された特定のアプリケーション（例：Ｇｏｏｇｌｅ  Ｃｈｒｏｍｅ（登録商標））を含むデバイス１９０のクラスタは潜在的に危険ではない。そのようなクラスタリングはあまりにも一般化され、危険なデバイス１９０を識別することが困難であるので、かかるクラスタを考慮する意味はない。
【００３７】
脅威度算出モジュール１２０によってデバイス１９０に関して算出されたデータは、分析モジュール１３０に送られる。一態様では、脅威度算出モジュール１２０によって作成されたクラスタ及び算出された脅威度は、データベース１１１に保存される。
【００３８】
分析モジュール１３０は、リモートサーバ（又はサーバの分散システム）上又はクラウドサービスとして動作していてもよい。そして、分析モジュール１３０は、脅威度算出モジュール１２０から得られたデータ又はデータベース１１１から得られたデータに基づいて、脅潜在的に危険なデバイスを識別するように構成されている。
【００３９】
デバイス１９０及びデバイス１９０用に生成されたクラスタのうち、分析モジュール１３０は、潜在的に危険なデバイス１９０、特に、少なくとも１つの高い脅威度を有するデバイス１９０を識別する。一般的な場合、脅威度は、予め決定された閾値と比較される。統計データ、コンピュータセキュリティ専門家の関与、銀行から提供された過去の事故に関するデータ、又はセキュリティネットワーク１５０から取得したデータであって、侵害されたシステムに関するデータに基づいて、閾値を自動的に取得することができる。
【００４０】
一態様では、分析モジュール１３０は、潜在的に危険なデバイス１９０を識別する。ここで、かかるデバイス１９０は、閾値より大きい脅威度を有するデバイスの少なくとも２つのクラスタに対応する。また、各クラスタは、デバイスの異なる特性に基づいて生成される。従って、例えば、クラスタＡは、閾値よりも高い脅威度＃１を有する。ここで、クラスタＡは、特性＃１のクラスタ化によって得られる。同様に、クラスタＢは、閾値よりも高い脅威度＃２を有する。ここで、クラスタＢは、特性＃２のクラスタ化によって得られる。デバイス１９０は、クラスタＡとクラスタＢの両方に対応する。
【００４１】
別の態様では、分析モジュール１３０は、個別のクラスタの脅威度が十分な脅威リスクを示していなくても、複数のクラスタの脅威度に基づいて、複数のクラスタに関連付けられたデバイスを潜在的に危険なものとして識別することができる。そうするために、分析モジュール１３０は、各脅威度について、数値係数（重み）を指定してもよく、クラスタの脅威度の算術平均として潜在的に危険なデバイスを前記係数で乗算してもよい。例えば、クラスタＡは、閾値よりも低い脅威度＃１を有する。ここで、係数＃１及びクラスタＡは、特性＃１のクラスタ化によって得られる。同様に、クラスタＢは、閾値より低い脅威度＃２を有する。ここで、係数＃２及びクラスタＢは、特性＃２のクラスタ化によって得られる。デバイス１９０は、クラスタＡとクラスタＢの両方に対応する。この場合、クラスタＡ及びクラスタＢの脅威度がそれぞれ閾値を超えない場合でも、式（１）に示す関係式に示すように、クラスタＡ及びクラスタＢの双方に含まれる場合には、デバイスは潜在的に危険である可能性がある
｛（脅威度＿１×係数＿１）＋（脅威度＿２×係数＿２）｝／２＞閾値    （１）
【００４２】
脅威リスクを有するデバイス１９０の例としては、ルートアクセスを有するモバイルデバイス、スマートフォン、又はタブレットコンピュータが挙げられる。すなわち、分析モジュール１３０は、特定の製造業者の特定のモデルに関連するデバイス１９０のクラスタに、ルートアクセスを有するデバイス１９０が７０％を含まれる場合には、工場からのデバイスにルートアクセスが存在するファームウェアがあることを示している可能性があると結論付けることができる。別の例では、脅威リスクを有するデバイスの例としては、特定領域における感染頻度の高いモバイルデバイス、スマートフォン、パーソナルコンピュータ、及びノートブックが挙げられる。この場合、分析モジュール１３０は、工場から出荷されたデバイス１９０は、埋め込み型の悪意のあるソフトウェアを含むファームウェアを有するか、又は、デバイス１９０はアンチウィルスアプリケーションがインストールされていない領域で使用されている可能性がある、と結論付けることができる。別の例では、脅威リスクを有するデバイスは、特定領域地における感染頻度の高いモバイルデバイス、スマートフォン、パーソナルコンピュータ、及びノートブックで構成されている場合がある。この場合、他のデバイス１９０と比べ、デバイス１９０が、よりも容易にデバイス１９０への不正アクセスを可能にする隠れた重大な脆弱性を有することを示していることが判明している。潜在的に危険な状態及びデバイス１９０のクラスタの他の組み合わせを、本開示の態様とともに使用することができることに留意されたい。
【００４３】
前述の内容により、製造業者又はデバイス１９０の特定のモデルに関係なく、潜在的に危険なデバイスのファミリを拡張することが可能になる。例えば、セキュリティネットワーク１５０からのデータに基づいて、特定の製造業者の全てのデバイス１９０であって、ルートアクセスが存在する特定領域のファームウェア及び銀行サービスを攻撃するアプリケーションを備えたデバイス１９０は、潜在的に危険なカテゴリに割り当てられる。
【００４４】
一般的には、上述の方法によって潜在的に危険なデバイス１９０を識別した後、分析モジュール１３０は、アクセスシステム及び／又は意思決定システムに通知する。一態様では、そのようなシステムは、銀行セキュリティサービス（銀行サービス１９９）として銀行側で実施される。潜在的に危険なデバイス１９０からの試み（例：システムに入る試み）は、必ずしも攻撃を示すものではないが、意思決定システムにおいて特別な方法で処理されるリスク要因となる可能性がある。特別な方法としては、例えば、ログインレベルの向上、２段階認証、限定された権限が挙げられる。
【００４５】
一態様では、分析モジュール１３０は、潜在的に危険なデバイス１９０と銀行サービス１９９との通信の間に実行されるトランザクションを、任意の適切な技術によってブロックすることができる。
【００４６】
さらに、脅威度により、特定のデバイス１９０（又は、どのクラスタが構成されるかに応じた特定の特性セットを有するデバイス１９０）から攻撃が実行される確率が、それらの特性を持たないデバイス１９０よりも高い（又はどれほど高いか）かどうかを評価することが可能になる。
【００４７】
図２は、例示的な態様による潜在的に危険なデバイスを識別するための方法２００を示すフローチャートである。例示的な方法に関する以下の説明は、上述したシステム及び構成要素を参照することに留意されたい。
【００４８】
ステップ２０１において、取得モジュール１１０は、ユーザデバイス１９０のデジタル指紋を取得するために使用される。ここで、かかる指紋は、ユーザデバイスの少なくとも１つの特性を含む。いくつかの態様では、ユーザデバイスのデジタル指紋は、ユーザデバイス１９０と銀行サービス１９９との間の通信を検出することに応答して取得することができる。デバイス１９０の特性は、デバイスがその制御下で動作しているオペレーティングシステムの識別子、デバイスの位置、デバイスのファームウェアの領域特性を含むことができる。他の態様では、デバイス１９０の特性は、アカウント識別子（例：Ｇｏｏｇｌｅ  ＩＤ又はＡｐｐｌｅ  ＩＤ）、デバイスが仮想マシン又はエミュレータ内で動作しているかどうかの指示、ブラウザのバージョン、インストールされているプラグインデバイスのブラウザ、及びデバイスにインストールされている脆弱なアプリケーションが含まれる。
【００４９】
ステップ２０２において、取得モジュール１１０は、ユーザのデバイスの脅威リスク状態に関連するデータを取得する。一実施形態では、デバイス１９０上のルートアクセスの存在によって脅威リスク状態を示すことができる。さらに別の実施形態では、セキュリティネットワーク１５０からユーザデバイス１９０の脅威リスク状態に関する情報が取得される。取得モジュール１１０によってデバイス１９０について取得されたデータは、データベース１１１に保存されてもよい。
【００５０】
ステップ２０３において、脅威度算出モジュール１２０は、デバイス１９０の指紋の取得中に得られたデバイスの少なくとも１つの特性に基づいて、ユーザデバイス１９０に関連する１又は複数のクラスタを生成する。いくつかの態様では、脅威度算出モジュール１２０は、第１クラスタ及び第２クラスタを作成することができる。異なるクラスタは、ユーザデバイスの異なる特性のクラスタ化によって生成される。例えば、１つのクラスタは、それぞれのユーザデバイスにインストールされたファームウェアの領域特性に基づいて生成される。また、別のクラスタは、インストールされたウェブブラウザのバージョンに基づいて生成することができる。
【００５１】
ステップ２０４において、脅威度算出モジュール１２０は、ユーザデバイス１９０に関連するクラスタのそれぞれに関する脅威度を算出してもよい。いくつかの態様では、脅威度は、潜在的な脅威の危険状態の発生頻度に比例する数値量であってもよい。一変形形態では、脅威度算出モジュール１２０によって生成されたクラスタ及び算出された脅威度は、データベース１１１に保存される。
【００５２】
ステップ２０５において、分析モジュール１３０は、ユーザデバイスが、１又は複数の生成されたクラスタに基づいて、デバイスが脅威リスクであるかどうかを判定してもよい。一実施形態では、分析モジュール１３０は、潜在的に危険なデバイス１９０を識別することができる。かかるデバイス１９０は、閾値よりも高い脅威度を有する少なくとも２つの（デバイス１９０の）クラスタに対応する。また、各クラスタは、デバイスの異なる特性に基づいて生成される。一実施形態では、分析モジュール１３０は、（第１クラスタの）第１の脅威度が個別に閾値を超えていなくても、第１の脅威度と、（第２クラスタの）第２の脅威度と、の平均値が閾値を超えると判定してもよい。別の実施形態では、例えば式（１）に示されるように、第１脅威度及び関連する重み値の積と、第２脅威度及び関連する重み値の積と、の平均値が、閾値を超えると判定するようにしてもよい。
【００５３】
デバイス１９０が脅威であると判定された場合、ステップ２０６において、分析モジュール１３０は、銀行サービス１９９との通信中に、脅威リスクを有するデバイス１９０から実行されるトランザクションをブロックすることができる。デバイス１９０が脅威でないと判定された場合、フローはステップ２０１に戻り、そこでシステム１００は所定のユーザデバイス１９０に関するデータを分析し、取得する。
【００５４】
図３は、本発明の例示的な態様における、ユーザと銀行サービスとの相互通信中における潜在的に危険なデバイスを識別するシステム及び方法を実施し得る汎用的なコンピュータシステム２０を示すブロック図である。コンピュータシステム２０は、セキュリティサービス１０１が実行されている物理サーバと、例えば前述したユーザデバイス１９０とに対応することができることに留意されたい。
【００５５】
図示されるように、コンピュータシステム２０（パーソナルコンピュータ又はサーバであってもよい）は、プロセッサ２１、システムメモリ２２及びプロセッサ２１に関連するメモリを含む様々なシステム構成要素を接続するシステムバス２３を含む。当業者には理解されるように、システムバス２３は、バスメモリ又はバスメモリコントローラ、周辺バス、及び他のバスアーキテクチャと相互作用することができるローカルバスを含むことができる。システムメモリは、永久メモリ（ＲＯＭ）２４及びランダムアクセスメモリ（ＲＡＭ）２５を含むことができる。基本入出力システム（ＢＩＯＳ）２６は、ＲＯＭ２４を使用してオペレーティングシステムをロードするとき等において、コンピュータシステム２０の要素間で情報を転送するための基本手順を格納することができる。
【００５６】
コンピュータシステム２０はまた、データの読み書きのためのハードディスク２７、取り外し可能な磁気ディスク２９の読み書きのための磁気ディスクドライブ２８、及びＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、その他の光学メディア等の光学ディスク３１の読み書きのための光学式ドライブ３０を含む。ハードディスク２７、磁気ディスクドライブ２８、及び光学式ドライブ３０は、ハードディスクインターフェース３２、磁気ディスクインターフェース３３、及び光学式のドライブインターフェース３４それぞれを横切るシステムバス２３と接続される。ドライブ及び対応するコンピュータ情報メディアは、コンピュータ命令、データ構造体、プログラムモジュール、及びコンピュータシステム２０の他のデータを格納するための電源非依存のモジュールである。
【００５７】
例示的な態様では、ハードディスク２７、取り外し可能な磁気ディスク２９及び取り外し可能な光学ディスク３１を使用するシステムを含む。これらのディスクは、システムバス２３を介してコントローラ５５に接続される。当業者は、コンピュータにより読み取り可能な形式でデータを格納することができる任意のタイプの媒体５６を利用できることを理解であきるであろう。これらの一例として、ＳＳＤ、フラッシュメモリカード、デジタルディスク、ランダムアクセスメモリ（ＲＡＭ）が挙げられる。
【００５８】
コンピュータシステム２０は、オペレーティングシステム３５が格納され得るファイルシステム３６と、追加のプログラムアプリケーション３７と、他のプログラムモジュール３８と、プログラムデータ３９とを有する。コンピュータシステム２０のユーザは、キーボード４０、マウス４２、又は当業者に知られている任意の他の入力デバイスを使用してコマンド及び情報を入力することができる。例えば、入力デバイスとして、マイクロホン、ジョイスティック、ゲームコントローラ、スキャナ等が挙げられるが、これらに限定されない。このような入力デバイスは、通常、シリアルポート４６を介してコンピュータシステム２０に接続され、シリアルポート４６はシステムバスに接続される。ここで、当業者であれば、パラレルポート、ゲームポート、又はユニバーサルシリアルバス（ＵＳＢ）等を介する他の方法で接続することもできる点を理解すべきである。モニタ４７又は他のタイプのディスプレイデバイスもまた、ビデオアダプタ４８等のインターフェースを介してシステムバス２３に接続することができる。モニタ４７に加えて、パーソナルコンピュータは、ウドスピーカ、プリンタ等の他の周辺出力デバイス（図示せず）に接続されてもよい。
【００５９】
コンピュータシステム２０は、１又は複数のリモートコンピュータ４９とのネットワーク接続を通じて、ネットワーク環境で操作することができる。リモートコンピュータ（又はコンピュータ）４９は、コンピュータシステム２０の性質として説明した上述の要素のほとんど又は全てを有するローカルコンピュータ、ワークステーション又はサーバであってもよい。ルータ、ネットワークステーション、ピア接続の機器、又は他のネットワークノード等の他の機器もまた、かかるコンピュータネットワークで存在し得るものであるが、これらに限定されない。
【００６０】
ネットワーク接続は、ローカルエリアコンピュータネットワーク（ＬＡＮ）５０及びワイドエリアコンピュータネットワーク（ＷＡＮ）を形成することができる。そのようなネットワークは、企業のコンピュータネットワーク及び社内ネットワークで利用され、それらはたいていにインターネットにアクセスすることができる。ＬＡＮ又はＷＡＮネットワークにおいて、コンピュータシステム２０は、ネットワークアダプタ又はネットワークインターフェース５１と接続可能なローカルエリアネットワーク５０に接続されている。ネットワークが用いられる時には、コンピュータシステム２０は、インターネット等のワイドエリアコンピュータネットワークによる通信を実現するために、モデム５４又は当業者に知られたその他のモジュールを使用することができる。内部又は外部の機器であるモデム５４は、シリアルポート４６によりシステムバス２３と接続されてもよい。かかるネットワーク接続単なる例示であり、当業者は、通信モジュールを使用して１つのコンピュータによって別のコンピュータへの接続を確立する多くの周知の方法の非限定的な例であることを理解するであろう。
【００６１】
様々な実施形態において、ハードウェア、ソフトウェア、ファームウェア、又はこれらのあらゆる組み合わせにおいて、ここで説明されたシステム及びメソッドを実施し得る。ソフトウェアにおいて実装される場合は、メソッドは不揮発性コンピュータ可読メディアの１又は複数の指示又はコードとして保存され得る。コンピュータ可読メディアは、データストレージを含む。あくまでも例であり限定するものではないが、そのようなコンピュータ可読メディアは、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ＣＤ−ＲＯＭ、フラッシュメモリ、若しくは他のタイプの電気、磁気、光学式の記憶媒体、又はその他のメディアであってもよい。すなわち、これらによって指示又はデータ構造体という形で、要求されたプログラムコードを運ぶか又は保存することができ、汎用コンピュータのプロセッサによってアクセスすることができる。
【００６２】
様々な実施形態で、本開示のシステム及びメソッドが、モジュールとして実装され得る。ここで、用語「モジュール」は、実世界の機器、コンポーネント、又はハードウェアを用いて実装されたコンポーネント配置であり、例えばＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）、又はモジュールの機能を実行するマイクロプロセッサシステムや指示セット等の、ハードウェアとソフトウェアの組み合わせとして実装され得る。これらは、実行中にマイクロプロセッサシステムを特定の機器に変換する。モジュールは、ハードウェア単体により促進される一定の機能とハードウェア及びソフトウェアの組み合わせによって促進される他の機能という２つの組み合わせとして実施されてもよい。モジュールの少なくとも一部又は全部は、汎用コンピュータのプロセッサにおいて実行できる（図３において詳述したもの等）。従って、各モジュールは様々な適当な構成で実現することができて、ここに例示した特定の実装に限られるものではない。
【００６３】
なお、実施形態の通常の機能のうちの全てをここで開示しているわけではない。本開示のいずれの実施形態を開発する場合においてでも、開発者の具体的な目標を達成するためには多くの実施に係る特別な決定が必要であり、これらの具体的な目標は実施形態及び開発者ごとに異なることに留意されたし。そのような開発努力は、複雑で時間を要するものであるが、本開示の利益を享受し得る当業者にとってはエンジニアリングの日常であると理解されたい。
【００６４】
さらに、本明細書で使用される用語又は表現は、あくまでも説明のためであり、限定するものではない。つまり、関連技術の熟練の知識と組み合わせて、本明細書の用語又は表現は、ここに示される教示及び指針に照らして当業者によって解釈されるべきであると留意されたし。明示的な記載がない限り、明細書又は特許請求の範囲内における任意の用語に対して、珍しい又は特別な意味を帰することは意図されていない。本明細書で開示された様々な態様は、例示のために本明細書に言及した既知のモジュールの、現在及び将来の既知の均等物を包含する。さらに、態様及び用途を示し、説明してきたが、本明細書に開示された発明の概念から逸脱することなく、上述したよりも多くの改変が可能であることが、この開示の利益を有する当業者には明らかであろう。
【００６５】
本明細書で開示される様々な態様は、説明のために本明細書で言及される既知のモジュールの、現在及び将来の既知の均等物を包含する。さらに、実施形態及び適用が示されているが、本開示の利益を有する当業者には、本明細書に開示された発明の概念から逸脱することなく上記より多くの変更が可能であることが明らかであろう。
【図１】
2019036273.tif 000003
【図２】
2019036273.tif 000004
【図３】
2019036273.tif 000005
【外国語明細書】
2019036273000001.pdf