(57)【要約】【課題】人間と機械を区別する方法及びシステムを提供する。【解決手段】方法は、指定ネットワークサービスへのアクセス要求が受信されると、要求を受信した時間と要求を送信したアクセス所望体の情報とを含む要求に関する情報を記録し、記録に基づいてアクセス所望体により送信された要求の統計値をリアルタイムで計算し、アクセス所望体により送信された要求の統計値が所定の正常範囲外になると、アクセス所望体は異常であると判定することを含む。人間と機械を区別するシステムは、記録モジュール、計算モジュール、及び判定モジュールを備える。開示された仕組みを使用する人間と機械の識別は、突破されにくく、かつ人間−機械識別の正確度を向上可能である。【選択図】図１
2019023946.tif 000002
【特許請求の範囲】
【請求項１】
指定ネットワークサービスへのアクセス要求が受信されると、前記要求を受信した時間と前記要求を送信したアクセス所望体の情報とを含む前記要求に関する情報を記録し、
記録に基づいて、前記アクセス所望体により送信された前記要求の統計値を計算し、
前記アクセス所望体により送信された前記要求の前記統計値が所定の正常範囲外であることに応じて、前記アクセス所望体は異常であると判定する
ことを含む方法。
【請求項２】
前記アクセス所望体により送信された前記要求の前記統計値には、一以上の要求頻度値が含まれ、
前記アクセス所望体の要求頻度値が対応要求頻度閾値より大きい場合、前記アクセス所望体の前記統計値は前記所定の正常範囲外となる
請求項１に記載の方法。
【請求項３】
要求頻度値は、設定経過時間を有する時間窓内に送信された要求の数で表され、前記アクセス所望体から送信された最新の要求を受信した時間は、前記時間窓の終了時間として設定され、もしくは、前記要求頻度値は、設定数分の要求が連続して送信されるのに必要とした経過時間で表され、そして前記設定数分の要求には前記アクセス所望体から送信された前記最新の要求が含まれ、
前記要求頻度値は、異なる設定経過時間または異なる設定回数に対応し、よってそれぞれの回数閾値または経過時間閾値も異なる
請求項２に記載の方法。
【請求項４】
前記アクセス所望体が端末を含む場合、前記要求に関する前記情報には、前記要求の送信に対応付けられた前記端末及びユーザに関する情報が含まれ、
前記端末により送信された前記要求に対応付けられた前記統計値には、前記端末を介して前記要求を送信したユーザの分析から取得される、ユーザ出現頻度値及び／またはユーザ切替頻度値が含まれ、
前記ユーザ出現頻度値が第一ユーザ出現頻度閾値より大きい、及び／または前記ユーザ切替頻度値が第二ユーザ切替頻度閾値より大きい場合、前記端末により送信された前記要求に対応付けられた前記統計値は前記所定の正常範囲外となる
請求項１に記載の方法。
【請求項５】
前記ユーザ出現頻度値は、設定経過時間を有する時間窓内に前記端末を介して一以上の要求を送信した異なるユーザの数で表され、前記ユーザ切替頻度値は、前記設定経過時間を有する前記時間窓内に、前記端末を介して前記一以上の要求を送信した前記ユーザが切り替わった回数で表され、前記時間窓の終了時間には、前記端末から送信された最新の要求を受信した時間が設定される
請求項４に記載の方法。
【請求項６】
前記アクセス所望体がユーザを含む場合、前記要求に関する前記情報には、前記要求の送信に対応付けられた端末及び前記ユーザに関する情報が含まれ、
前記ユーザにより送信された前記要求に対応付けられた前記統計値には、前記ユーザが前記要求を送信する際使用した端末の分析から取得される、端末出現頻度値及び／または端末切替頻度値が含まれ、
前記端末出現頻度値が第一端末出現頻度閾値より大きい、及び／または前記端末切替頻度値が第二端末切替頻度閾値より大きい場合、前記ユーザにより送信された前記要求に対応付けられた前記統計値は前記所定の正常範囲外となる
請求項１に記載の方法。
【請求項７】
前記端末出現頻度値は、設定経過時間を有する時間窓内に前記ユーザが一以上の要求を送信する際使用した異なる端末の数で表され、前記端末切替頻度値は、前記設定経過時間を有する前記時間窓内に、前記ユーザが複数の要求を送信する際前記端末を切り替えた回数で表され、前記時間窓の終了時間には、前記ユーザにより送信された最新の要求を受信した時間が設定される
請求項６に記載の方法。
【請求項８】
前記アクセス要求により送信された前記要求に対応付けられた前記統計値には、前記アクセス所望体により送信された連続要求の時間間隔値が含まれ、
前記時間間隔値が対応時間間隔閾値より小さい場合、前記統計値は前記所定の正常範囲外となる
請求項１に記載の方法。
【請求項９】
前記アクセス所望体により送信された前記連続要求は、前記連続要求が同一のアクセス所望体により送信されたか否か、及び／または前記連続要求が同一のネットワークサービスに対する要求に該当するか否かに基づいて異なる種類に分類され、連続要求の種類毎に時間間隔閾値が個別に設定される
請求項８に記載の方法。
【請求項１０】
前記アクセス所望体が端末である場合に、前記端末に対応付けられた異常の数が所定の異常数Ｍ（Ｍ＝１またはＭ＞１）に達すると判定されると、前記端末を隔離し、前記端末からの要求を受信することを抑制し、かつ前記端末から送信された前記要求に対応付けられた前記統計値を計算することを中止し、
前記アクセス所望体がユーザである場合に、前記ユーザに対応付けられた異常の数が所定の異常数Ｎ（Ｎ＝１またはＮ＞１）に達すると判定されると、前記ユーザを隔離し、前記ユーザからの要求を受信することを抑制し、かつ前記ユーザから送信された前記要求に対応付けられた前記統計値を計算することを中止する
ことをさらに含む請求項１に記載の方法。
【請求項１１】
前記アクセス所望体が異常であると判定されても、前記アクセス所望体が隔離されていない場合、前記アクセス所望体から送信された前記要求の前記統計値をリアルタイムで計算する時に、現在の異常事例より前に前記アクセス所望体から送信された要求は除外される
請求項１０に記載の方法。
【請求項１２】
指定ネットワークサービスへのアクセス要求が受信されると、前記要求を受信した時間と前記要求を送信したアクセス所望体の情報とを含む前記要求に関する情報を記録する記録モジュールと、
記録に基づいて、前記アクセス所望体により送信された前記要求の統計値をリアルタイムで計算する計算モジュールと、
前記アクセス所望体により送信された前記要求の前記統計値が所定の正常範囲を越えたことに応じて、前記アクセス所望体は異常であると判定する判定モジュールと
を備えるシステム。
【請求項１３】
前記アクセス所望体が端末を含む場合、前記計算モジュールによりリアルタイムに計算される、前記アクセス所望体により送信された前記要求の前記統計値には、
要求頻度値が対応要求頻度閾値より大きい場合に、前記所定の正常範囲外となる、一以上の要求頻度値、
ユーザ出現頻度値が対応ユーザ出現頻度閾値より大きい場合に、前記所定の正常範囲外となる、前記端末を介して要求を送信したユーザの分析から取得される前記ユーザ出現頻度値、
ユーザ切替頻度値が対応ユーザ切替頻度閾値より大きい場合に、前記所定の正常範囲外となる、前記端末を介して前記要求を送信した前記ユーザの前記分析から取得される前記ユーザ切替頻度値、
時間間隔値が対応時間間隔閾値より小さい場合に、前記所定の正常範囲外となる、前記端末から送信された連続要求の前記時間間隔値、
を含む統計値が一以上含まれる、請求項１２に記載のシステム。
【請求項１４】
前記アクセス所望体がユーザを含む場合、前記計算モジュールによりリアルタイムに計算される、前記アクセス所望体により送信された前記要求の前記統計値には、
要求頻度値が対応要求頻度閾値より大きい場合に、前記所定の正常範囲外となる、一以上の要求頻度値、
端末出現頻度値が対応端末出現頻度閾値より大きい場合に、前記所定の正常範囲外となる、前記ユーザが要求を送信する際使用した端末の分析から取得される前記端末出現頻度値、
端末切替頻度値が対応端末切替頻度閾値より大きい場合に、前記所定の正常範囲外となる、前記ユーザが前記要求を送信する際使用した前記端末の前記分析から取得される前記端末切替頻度値、
時間間隔値が対応時間間隔閾値より小さい場合に、前記所定の正常範囲外となる、前記ユーザから送信された連続要求の前記時間間隔値、
を含む統計値が一以上含まれる、請求項１２に記載のシステム。
【請求項１５】
前記統計値には、一以上の要求頻度値を含まれ、
要求頻度値は、設定経過時間を有する時間窓内に送信された要求の数で表され、前記アクセス所望体から送信された最新の要求を受信した時間は、前記時間窓の終了時間として設定され、もしくは前記要求頻度値は、設定数分の要求が連続して送信されるのに必要とした経過時間で表され、前記設定数分の要求には前記アクセス所望体から送信された前記最新の要求が含まれ、
前記要求頻度値は、異なる設定経過時間または異なる設定回数に対応し、よってそれぞれの回数閾値または経過時間閾値は異なる
請求項１２に記載のシステム。
【請求項１６】
前記アクセス所望体により送信された連続要求は、前記連続要求が同一のアクセス所望体により送信されたか否か、及び／または前記連続要求が同一のネットワークサービスに対する要求に該当するか否かに基づいて異なる種類に分類され、連続要求の種類毎に時間間隔閾値が個別に設定される
請求項１２に記載のシステム。
【請求項１７】
前記アクセス所望体が端末を含む場合に、前記端末に対応付けられた異常の数が所定の異常数Ｍ（Ｍ＝１またはＭ＞１）に達すると判定されると、前記端末を隔離し、前記端末からの要求を受信することを抑制し、かつ前記端末から送信された前記要求の前記統計値を計算することを中止し、
前記アクセス所望体がユーザを含む場合に、前記ユーザに対応付けられた異常の数が所定の異常数Ｎ（Ｎ＝１またはＮ＞１）に達すると判定されると、前記ユーザを隔離し、前記ユーザからの要求を受信することを抑制し、かつ前記ユーザから送信された前記要求の前記統計値を計算することを中止する
隔離モジュールをさらに含む請求項１２に記載のシステム。
【請求項１８】
前記アクセス所望体が異常であると判定されても、前記隔離モジュールにより前記アクセス所望体が隔離されていない場合、前記計算モジュールは、前記アクセス所望体から送信された前記要求の前記統計値をリアルタイムで計算する時に、現在の異常事例より前に前記アクセス所望体から送信された要求を除外する
請求項１７に記載のシステム。
【請求項１９】
一以上のプロセッサにより実行されると、
指定ネットワークサービスへのアクセス要求が受信される度に、前記要求を受信した時間と前記要求を送信したアクセス所望体の情報とを含む前記要求に関する情報を記録し、
記録に基づいて、前記アクセス所望体により送信された前記要求の統計値を計算し、
前記アクセス所望体により送信された前記要求の前記統計値が所定の正常範囲外であることに応じて、前記アクセス所望体は異常であると判定する
ことを含む動作を前記一以上のプロセッサに実行させる実行可能命令を記憶する一以上のコンピュータ可読媒体。
【請求項２０】
前記アクセス所望体が端末を含む場合、前記アクセス所望体により送信された前記要求の前記統計値には、一以上の要求頻度値が含まれ、
前記アクセス所望体の要求頻度値が対応要求頻度閾値より大きい場合、前記アクセス所望体の前記統計値は前記所定の正常範囲外となる
請求項１９に記載の一以上のコンピュータ可読媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示はコンピュータシステムの分野に関し、特に人間と機械を区別する方法及びシステムに関する。
【０００２】
（関連出願の相互参照）
本願は、２０１３年６月１３日に出願された「人間と機械を識別する方法、及び人間−機械識別関連システム」（「Ｍｅｔｈｏｄ  ｏｆ  Ｉｄｅｎｔｉｆｙｉｎｇ  ｂｅｔｗｅｅｎ  Ｈｕｍａｎ  ａｎｄ  Ｍａｃｈｉｎｅ，  ａｎｄ  Ａｓｓｏｃｉａｔｅｄ  Ｈｕｍａｎ−Ｍａｃｈｉｎｅ  Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ  Ｓｙｓｔｅｍ」）と題する中国特許出願第２０１３１０２３３８０９．４号に対する外国優先権を主張し、その全ての内容は参照により本願に組み込まれるものとする。
【背景技術】
【０００３】
インターネットの盛行に伴い、電子商取引サービス、無料電子メールサービス、及び無料リソースダウンロードサービス等の様々なインターネットサービスは、人々の日常生活の一部となった。しかしながら、これらの人間指向サービスのリソースは悪意のあるコンピュータプログラムにより頻繁に悪用され、大量のネットワークごみが産出され、正当なユーザのネットワーク体験に悪影響を及ぼし、かつネットワークサービスのセキュリティを脅かしている。
【０００４】
ＣＡＰＴＣＨＡ（キャプチャ、コンピュータと人間を区別する完全自動の公開チューリングテスト）とは、人間と機械を識別するために、すなわちインターネットサービスに対する要求がユーザの操作（人間と称する）により送信されたのか、またはコンピュータ内の悪意のあるプログラム（機械と称する）により送信されたのかを特定するために、チャレンジ−レスポンス方式による身元認証の安全対策を採用するシステムである。ＣＡＰＴＣＨＡの動作過程は以下の通りである。専用サーバがＣＡＰＴＣＨＡテストの生成及び評価を管理し、ユーザが認証を要するあるインターネットサービスを利用する場合、サーバはユーザにテストを提供し、ユーザはテストを終えるとテスト結果をサーバに提出し、そしてサーバはテスト結果を評価してユーザがテストに受かった否かを決定する。
【０００５】
現在、ＣＡＰＴＣＨＡテクノロジーに主に採用されている技術には、テキストＣＡＰＴＣＨＡ技術、画像ＣＡＰＴＣＨＡ技術、及び音声ＣＡＰＴＣＨＡ技術がある。これら三つのＣＡＰＴＣＨＡ技術は、ＡＩ（人工知能）分野の異なる態様により、異なる特質を持つ。
【０００６】
テキストＣＡＰＴＣＨＡは、認証コードテクノロジー（例えば、人間と機械を区別するためにテキストや文字を歪曲するテクノロジー）を利用した文字認識における人間と機械の違いを通して人間と機械を区別することで、コンピュータプログラムによる悪意のある登録及びログインをある程度防止する。しかしながら、文字切出し及び光学式文字認識（ＯＣＲ）テクノロジーの発展に伴い、大部分のテキストＣＡＰＴＣＨＡが突破されており、単純な文字認識テストではもうコンピュータプログラムに対抗できない。さらに歪曲されたテキストは人間にとっても認識するのが難しく、ユーザを不自由なインターネット体験へと導く。
【０００７】
画像分類、対象識別、及び共通認識等において人間と機械の違いを区別する画像ＣＡＰＴＣＨＡは、一般にどの特定の言語にも依存せず、かつユーザによるテキスト入力を必要としないため、より突破されにくい。しかしながら、画像ＣＡＰＴＣＨＡは大規模なデータベースのサポートを必要とし、かつ大量生成できない。加えて、画像ＣＡＰＴＣＨＡは機械学習アルゴリズムによる攻撃を受けやすい。
【０００８】
音声認識において人間と機械の違いを区別する音声ＣＡＰＴＣＨＡは、一以上のランダムに選択された、人により読み上げられた数、アルファベット、及び単語をランダムな間隔で再生し、かつＡＳＲ（自動音声認識）攻撃に対抗するために背景雑音を加える。しかしながら、音声ＣＡＰＴＣＨＡもまた機械学習アルゴリズムによる攻撃を受けやすい。
【発明の概要】
【０００９】
本開示は、突破されにくく、かつ人間と機械を正しく区別する率を向上できる、人間と機械を区別する方法及び関連システムを提供する。当概要は、後の発明を実施するための形態において詳述される概念の精選を簡潔な形で紹介するために提供される。当概要は、請求される内容の全ての重要な特徴または本質的な特徴を特定する意図はなく、また請求される内容の範囲を決定する一助として単独で用いられる意図もない。例えば「技術」という用語は、上記の文脈において及び本開示を通して許容されているように、一つまたは複数の装置、一つまたは複数のシステム、一つまたは複数の方法、及び／または複数のコンピュータ可読命令を指しうる。
【００１０】
上記の問題を解決するために、本開示はネットワークサービスにおいて適用可能な人間−機械識別方法を提供する。当方法は、
指定ネットワークサービスへのアクセス要求が受信されると、要求を受信した時間と要求を送信したアクセス所望体の情報とを含む要求に関する情報を記録し、
記録に基づいて、アクセス所望体により送信された要求の統計値をリアルタイムで計算し、
アクセス所望体により送信された要求の統計値が所定の正常範囲外になると、当該アクセス所望体は異常であると判定することを含む。
【００１１】
一実施形態において、アクセス所望体には要求を送信した端末及び／またはユーザが含まれうる。
【００１２】
実施形態において、アクセス所望体により送信された要求の統計値には、一以上の要求頻度値が含まれる。
【００１３】
要求頻度値が対応要求頻度閾値より大きい場合、統計値は所定の正常範囲外となる。
【００１４】
実施形態において、要求頻度値は、設定経過時間を有する時間窓内に送信された要求の数で表される。アクセス所望体から送信された最新の要求を受信した時間は、時間窓の終了時間として設定される。あるいはまた、要求頻度値は、設定数分の要求が連続して送信されるのに必要とした経過時間で表され、そして当該設定数分の要求にはアクセス所望体から送信された最新の要求が含まれる。
【００１５】
要求頻度値は、異なる設定経過時間または異なる設定回数に対応し、そしてそれぞれの回数閾値または経過時間閾値もまた異なる。
【００１６】
実施形態において、アクセス所望体に端末が含まれる場合、要求に関する情報は要求を送信した端末及びユーザに関する情報を含む。
【００１７】
端末により送信された要求に対応付けられた統計値には、当該端末を介して要求を送信したユーザの分析から取得される、ユーザ出現頻度値及び／またはユーザ切替頻度値が含まれる。
【００１８】
ユーザ出現頻度値が対応ユーザ出現頻度閾値より大きい、及び／またはユーザ切替頻度値が対応ユーザ切替頻度閾値より大きい場合、統計値は所定の正常範囲外となる。
【００１９】
実施形態において、ユーザ出現頻度値は、設定経過時間を有する時間窓内に一端末を介して要求を送信した異なるユーザの数で表される。ユーザ切替頻度値は、設定経過時間を有する時間窓内に、一端末を介して要求を送信したユーザが切り替わった回数で表され、時間窓の終了時間には、当該端末から送信された最新の要求を受信した時間が設定される。
【００２０】
実施形態において、アクセス所望体にユーザが含まれる場合、要求に関する情報は要求を送信した端末及びユーザに関する情報を含む。
【００２１】
ユーザにより送信された要求に対応付けられた統計値には、当該ユーザが要求を送信する際使用した端末の分析から取得される、端末出現頻度値及び／または端末切替頻度値が含まれる。
【００２２】
端末出現頻度値が対応端末出現頻度閾値より大きい、及び／または端末切替頻度値が対応端末切替頻度閾値より大きい場合、統計値は所定の正常範囲外となる。
【００２３】
実施形態において、端末出現頻度値は、設定経過時間を有する時間窓内に一ユーザが要求を送信する際使用した異なる端末の数で表される。端末切替頻度値は、設定経過時間を有する時間窓内に、一ユーザが要求を送信する際端末を切り替えた回数で表され、時間窓の終了時間には、当該ユーザにより送信された最新の要求を受信した時間が設定される。
【００２４】
実施形態において、アクセス所望体により送信された要求に対応付けられた統計値には、当該アクセス所望体により送信された連続要求の時間間隔値が含まれる。
【００２５】
時間間隔値が対応時間間隔閾値より小さい場合、統計値は所定の正常範囲外となる。
【００２６】
実施形態において、アクセス所望体により送信された連続要求は、連続要求が同一のアクセス所望体により送信されたか否か、及び／または連続要求が同一のネットワークサービスに対する要求に該当するか否かに基づいて、異なる種類に分類される。時間間隔閾値は、連続要求の異なる種類ごとに個別に設定される。
【００２７】
実施形態において、方法はさらに、
アクセス所望体が端末を含む場合に、端末に対応付けられた異常の数が所定の異常数Ｍ（Ｍ＝１またはＭ＞１）に達すると判定されると、端末を隔離し、当該端末からの要求を受信することを抑制し、かつ当該端末から送信された要求に対応付けられた統計値を計算することを中止し、
アクセス所望体がユーザを含む場合に、ユーザに対応付けられた異常の数が所定の異常数Ｎ（Ｎ＝１またはＮ＞１）に達すると判定されると、ユーザを隔離し、当該ユーザからの要求を受信することを抑制し、かつ当該ユーザから送信された要求に対応付けられた統計値を計算することを中止することを含む。
【００２８】
実施形態において、アクセス所望体が異常であると判定されても、当該アクセス所望体（例えば端末及び／またはユーザ）が隔離されていない場合、当該アクセス所望体から送信された要求の統計値をリアルタイムで計算する時に、現在の異常事例より前に当該アクセス所望体から送信された要求は除外される。
【００２９】
同様に、本開示はさらにネットワークサービスにおいて人間と機械を区別するシステムを提供する。当システムは、
指定ネットワークサービスへのアクセス要求が受信される度に、要求を受信した時間と要求を送信したアクセス所望体の情報とを含む要求に関する情報を記録する記録モジュールと、
記録に基づいて、アクセス所望体により送信された要求の統計値をリアルタイムで計算する計算モジュールと、
アクセス所望体により送信された要求の統計値が所定の正常範囲を越える場合、当該アクセス所望体は異常であると判定する判定モジュールと
を備える。
【００３０】
一実施形態において、アクセス所望体には要求を送信した端末及び／またはユーザが含まれる。
【００３１】
実施形態においてアクセス所望体が端末を含む場合、計算モジュールによりリアルタイムに計算される、当該アクセス所望体により送信された要求の統計値には、
要求頻度値が対応要求頻度閾値より大きい場合に、所定の正常範囲外となる、一以上の要求頻度値、
ユーザ出現頻度値が対応ユーザ出現頻度閾値より大きい場合に、所定の正常範囲外となる、当該端末を介して要求を送信したユーザの分析から取得されるユーザ出現頻度値、
ユーザ切替頻度値が対応ユーザ切替頻度閾値より大きい場合に、所定の正常範囲外となる、当該端末を介して要求を送信したユーザの分析から取得されるユーザ切替頻度値、
時間間隔値が対応時間間隔閾値より小さい場合に、所定の正常範囲外となる、当該端末から送信された連続要求の時間間隔値、
以上の統計値が一以上含まれる。
【００３２】
実施形態においてアクセス所望体がユーザを含む場合、計算モジュールによりリアルタイムに計算される、当該アクセス所望体により送信された要求の統計値には、
要求頻度値が対応要求頻度閾値より大きい場合に、所定の正常範囲外となる、一以上の要求頻度値、
端末出現頻度値が対応端末出現頻度閾値より大きい場合に、所定の正常範囲外となる、当該ユーザが要求を送信する際使用した端末の分析から取得される端末出現頻度値、
端末切替頻度値が対応端末切替頻度閾値より大きい場合に、所定の正常範囲外となる、当該ユーザが要求を送信する際使用した端末の分析から取得される端末切替頻度値、
時間間隔値が対応時間間隔閾値より小さい場合に、所定の正常範囲外となる、当該ユーザから送信された連続要求の時間間隔値、
以上の統計値が一以上含まれる。
【００３３】
実施形態において、要求頻度値は、設定経過時間を有する時間窓内に送信された要求の数で表され、そしてアクセス所望体から送信された最新の要求を受信した時間は、時間窓の終了時間として設定される。あるいはまた、要求頻度値は、設定数分の要求が連続して送信されるのに必要とした経過時間で表され、そして当該設定数分の要求にはアクセス所望体から送信された最新の要求が含まれる。
【００３４】
要求頻度値は、異なる設定経過時間または異なる設定回数に対応し、よってそれぞれの回数閾値または経過時間閾値もまた異なる。
【００３５】
実施形態において、アクセス所望体が端末を含む場合、アクセス所望体により送信された連続要求は、連続要求が同一のユーザにより送信されたか否か、及び／または連続要求が同一のネットワークサービスに対する要求に該当するか否かに基づいて、異なる種類に分類される。時間間隔閾値は、連続要求の異なる種類ごとに個別に設定される。
【００３６】
別の実施形態において、アクセス所望体がユーザを含む場合、アクセス所望体により送信された連続要求は、連続要求が同一の端末から送信されたか否か、及び／または連続要求が同一のネットワークサービスに対する要求に該当するか否かに基づいて、異なる種類に分類される。時間間隔閾値は、連続要求の異なる種類ごとに個別に設定される。
【００３７】
実施形態において、システムはさらに、アクセス所望体が端末を含む場合に、端末に対応付けられた異常の数が所定の異常数Ｍ（Ｍ＝１またはＭ＞１）に達すると判定されると、端末を隔離し、当該端末からの要求を受信することを抑制し、かつ当該端末から送信された要求の統計値を計算することを中止し、アクセス所望体がユーザを含む場合に、ユーザに対応付けられた異常の数が所定の異常数Ｎ（Ｎ＝１またはＮ＞１）に達すると判定されると、ユーザを隔離し、当該ユーザからの要求を受信することを抑制し、かつ当該ユーザから送信された要求の統計値を計算することを中止する、隔離モジュールを備える。
【００３８】
実施形態において、アクセス所望体（すなわち端末及び／またはユーザ）が異常であると判定されても、隔離モジュールにより当該アクセス所望体が隔離されていない場合、計算モジュールは、当該アクセス所望体から送信された要求の統計値をリアルタイムで計算する時に、現在の異常事例より前に当該アクセス所望体から送信された要求を除外する。
【００３９】
本開示により提供される人間と機械を区別する仕組みは、効果的に悪意のあるコンピュータプログラムを識別することが可能であり、かつ既存のテキスト、画像、音声ＣＡＰＴＣＨＡ技術と比べて突破されにくい。人間と機械を正しく区別する率も向上し、よってシステムにおけるネットワークサービスのセキュリティを効果的に確保できる。
【図面の簡単な説明】
【００４０】
【図１】本開示の第一実施形態による人間と機械を区別する方法を例示するフローチャートが示される。
【図２】本開示の第二実施形態による人間と機械を区別する方法を例示するフローチャートが示される。
【図３】本開示の第三実施形態による人間と機械を区別する方法を例示するフローチャートが示される。
【図４】本開示の第四実施形態による人間と機械を区別する方法を例示するフローチャートが示される。
【図５】本開示の第五実施形態による人間と機械を区別する方法を例示するフローチャートが示される。
【図６】本開示の第六実施形態による人間と機械を区別する方法を例示するフローチャートが示される。
【図７】本開示の第七実施形態による人間と機械を区別するシステムを例示する機能ブロック図が示される。
【図８】図７において説明されるシステムの実施例を例示する構造図が示される。
【発明を実施するための形態】
【００４１】
本開示の目的、技術スキーム、及び利点のより明確な理解を容易にするために、添付の図面を参照して以下に本開示が詳しく説明される。本開示の実施形態及び実施形態の特徴は、矛盾がない限り、相互にかつ任意に組合せ可能であることに留意されたい。
【００４２】
本開示の一般的な構成において、対応システム内の装置は、一以上の中央処理装置（ＣＰＵ）、入出力インターフェイス、ネットワークインターフェイス、及び内部記憶装置を備えうる。
【００４３】
内部記憶装置には、例えば非永続的記憶装置、ランダムアクセスメモリ（ＲＡＭ）、及び／または読出専用メモリ（ＲＯＭ）またはフラッシュメモリ（フラッシュＲＡＭ）等の不揮発性内部記憶装置といった、コンピュータ可読媒体の形態が含まれうる。内部記憶装置はコンピュータ可読媒体の実施例である。
【００４４】
コンピュータ可読媒体には、任意の方法またはテクノロジーを利用して情報の記憶を実現しうる、永続的または非永続的、着脱可能または着脱不可な媒体が含まれうる。情報には、コンピュータ可読命令、データ構造、プログラムモジュール、または他のデータが含まれうる。コンピュータ記憶媒体の実施例には、相変化メモリ（ＰＲＡＭ）、静的ランダムアクセスメモリ（ＳＲＡＭ）、動的ランダムアクセスメモリ（ＤＲＡＭ）、他の種類のランダムアクセスメモリ（ＲＡＭ）、読出専用メモリ（ＲＯＭ）、電気的消去可能プログラマブル読出専用メモリ（ＥＥＰＲＯＭ）、高速フラッシュメモリまたは他の内部記憶テクノロジー、コンパクトディスク読出専用メモリ（ＣＤ−ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）または他の光学記憶装置、磁気カセットテープ、磁気ディスク記憶装置または他の磁気記憶装置、または情報を記憶するために使用され得、コンピューティングデバイスによりアクセスされ得る任意の他の非伝達媒体が含まれるが、これに限定されることはない。ここで定義されるように、コンピュータ可読媒体には、変調データ信号及び搬送波等の一時的媒体は含まれない。
【００４５】
既存のＣＡＰＴＣＨＡテクノロジーは、人間と機械を区別するのにチャレンジ−レスポンス方式を利用する身元認証を採用する。本開示は別の構想を採用し、要求の送信方法におけるユーザとコンピュータ内の悪意のあるプログラムの違いを利用して、統計的手法により人間と機械を区別する。
【００４６】
（第一実施形態）
調査により、限定された時間内でユーザによりネットワークサービスへ送信される要求の数は比較的少ないのに対し、悪意のあるコンピュータプログラムは攻撃目的を達成するために短い時間内に大量の要求を送信することが明らかになっている。当実施形態は、端末から送信された要求に関する情報を分析し、情報の違いに基づいて人間と機械の識別を達成する。
【００４７】
人間と機械を区別する当例示的方法は、サービスネットワークにおいて適用可能である。サービスネットワークは、端末にネットワークサービスを提供するのに使用され、一以上のウェブサイトシステムまたはネットワークプラットフォーム等でありえる。図１に示されるように、人間と機械を区別する方法は、
ブロック１１０において、指定ネットワークサービスへのアクセス要求を受信する度に、要求を受信した時間と要求を送信した端末の情報とを記録することを含む。
【００４８】
全ての種類のネットワークサービスが指定ネットワークサービスとして設定可能であり、そしてサービスネットワークはネットワークサービスへの全てのアクセス要求を記録する。あるいはまた、より多くのリソースを使用する、またはより高いセキュリティレベルを有するネットワークサービス等一部の種類のネットワークサービスのみを指定ネットワークサービスとして設定可能であり、そしてサービスネットワークはこれらの種類のネットワークサービスへのアクセス要求を記録する。
【００４９】
要求を送信した端末は、端末識別テクノロジーを使用するサービスネットワークにより特定することが可能である。例えば、ＭＡＣアドレスまたは他のハードウェア情報（入出力層のハードウェア情報等）及び／または要求内に提示されている端末を一意的に識別可能なソフトウェア情報を使うことにより、要求を送信した端末は識別可能である。あるいは端末は、端末の識別情報に対応付けられた署名または証明書を取得するために、デジタル署名を提供、及び／または証明書を発行するサーバにまず登録するように要求されうる。要求内で報告される署名または証明書に基づいて、サービスネットワークは、署名及び証明書が正当なものであると確認されると、署名及び証明書内の端末の識別情報により端末を識別する。
【００５０】
ブロック１２０において、監視されている端末ごとに、端末から送信された要求に対応付けられた統計値（要求頻度値を含む）がリアルタイムに計算される。
【００５１】
隔離された端末を除く全ての端末が監視されうる。あるいは、その中の一部の端末が監視対象として選択されうる。例えば、コスト削減のため、端末は多数のグループに分けられ（例えば、端末の識別情報、端末の位置する地域、端末の種類等により分類され）、そして異なるグループの端末が異なる時間帯に監視される。別の実施例においては、攻撃された端末の主な種類に基づいて、例えばコンピュータからの要求のみを監視し、携帯電話からの要求は監視しない等、一部の種類の端末のみを監視する。
【００５２】
要求頻度値はどれだけの頻度で要求が送信されているかを反映し、設定時間帯における送信回数、または設定回数の送信に必要とした経過時間で表されうる。
【００５３】
実施形態において、要求頻度値は設定経過時間を有する時間窓内に送信された要求の数で表されうる。対応する端末から送信された最新の要求を受信した時間は、時間窓の終了時間として設定される。言い換えると、端末の要求が記録される度に、時間窓の上限が要求の受信時間にまで移り、そして当該時間窓内に端末により送信された要求の数が計算される。
【００５４】
実施形態において、要求頻度値は設定数の連続要求を送信するのに必要とした経過時間でも表されうる。設定数の連続要求には、対応する端末により送信された最新の要求が含まれる。この時、端末から送信された各要求が記録されている場合、端末がＬ数の連続要求（当該の最新要求を含む）を送信するのに必要とした経過時間が計算される。
【００５５】
要求頻度値の具体的な表現方式は、上記の二種類に限定されるものではないことに留意されたい。例えば、端末により送信された要求の数を計算するのに、固定時間窓が使用されうる。これらの固定時間窓は事前に分割されうる。あるいは、端末から送信された第一の要求を受信した時間を、第一時間窓の開始時間とし、かつ第一時間窓の終了直後に第二時間窓が開始するようになど、設定可能である。一般に統計値は、新規の要求が受信された後に計算される。しかしながら固定時間窓が使用される場合、統計値は時間窓の終了後に計算されうる。
【００５６】
具体的には、複数の要求頻度値が本実施形態において使用される。これらの要求頻度値は、異なる設定経過時間または異なる設定回数に対応し、よって対応回数閾値または対応経過時間閾値は異なる。例えば二つの要求頻度値があるとし、第一要求頻度値の設定経過時間は１０分で、その対応回数閾値は６００回であり、第二要求頻度値の設定経過時間は６時間で、その対応回数閾値は１０８００回であるとする。この例においては二つの要求頻度値が計算されるが、三つ、四つ、五つ、六つ、それ以上の要求頻度値の計算も可能である。これは一部の悪意のあるコンピュータプログラムは非常に高い率で要求を送り続けるためである。一部の他の悪意のあるコンピュータプログラムにおいては、短い時間内の要求送信率は特別高くなく、ユーザのピークの要求送信率に近くすらある。しかしながら時間帯が長くなると、その要求率はユーザによって達成できるものではなくなる。
【００５７】
ブロック１３０において、端末により送信された要求に対応付けられた統計値が所定の正常範囲外の時、すなわち要求頻度値が対応要求頻度閾値より大きい時、当該端末は異常であると判定される。
【００５８】
端末が異常であると判定された場合、それは悪意のあるコンピュータプログラムが当該端末を使用して要求を送信していることを意味しうる。当実施形態において、一度端末が異常であると判定されると、当該端末は隔離され、当該端末から送信された要求は受諾されず、かつ当該端末により送信された要求に対応付けられた統計値は計算されない。しかしながらいくつかの他の実施形態においては、誤検出を回避する観点から、ある程度の異常に対する許容度が認められ得る。端末は、ある回数異常であると判定された後に隔離されうる。許容される回数は事前に設定可能である。
【００５９】
実施形態において、端末が異常であると判定された後も隔離されていない場合、当異常より前に当該端末から送信された要求は、当該端末により送信された要求に対応付けられた統計値のリアルタイムでの計算に含まれない（異常数に到達していないため）。例えば要求頻度値が可変時間窓に基づいて計算される場合に、端末により送信されたある要求が受信され当該端末が異常であると判定された後に当該端末から次の要求が受信された時、次の要求を受信した時間を終了時間とする時間窓には、当該端末により前に送信された要求が含まれうる。前に送信された要求が含まれる場合、当該端末は繰り返し異常であると簡単に判定されうるため、誤検出を回避するのには不都合である。
【００６０】
（第二実施形態）
当実施形態もまた、ユーザは比較的少ない数の要求を送信し、悪意のあるプログラムは攻撃目的を達成するために大量の要求を送信するという両者の違いに基づいている。当実施形態は、ユーザにより送信された要求の情報に対応付けられた統計値を計算することで人間と機械の識別を達成するものであるが、第一実施形態と同一の詳細については、詳しく再び説明されない。
【００６１】
人間と機械を区別する当例示的方法は、サービスネットワークにおいて適用可能である。図２に示されるように、人間−機械識別方法は、
ブロック２１０において、指定ネットワークサービスへのアクセス要求を受信する度に、要求を受信した時間と要求を送信したユーザの情報とを記録することを含む。
【００６２】
サービスネットワークは要求を送信したユーザを、要求内に提示されるユーザ名、ユーザアカウント等のログイン情報に基づいて識別可能である。端末の識別も同様に、サービスネットワークは要求に含まれるユーザ識別用の署名または証明書を確認でき、そして署名または証明書内のユーザ識別情報に基づいてユーザを識別できる。
【００６３】
ブロック２２０において、監視されているユーザごとに、ユーザにより送信された要求に対応付けられた統計値（要求頻度値を含む）がリアルタイムに計算される。
【００６４】
当実施形態において、隔離されたユーザを除く全てのユーザが監視されうる。別の実施形態においては、その中の一部のユーザが監視対象として選択されうる。例えば、コスト削減のため、ユーザは多数のグループに分けられ得（例えば、ユーザの識別情報、ユーザの位置する地域、ユーザの種類等により分類され）、そして異なるグループの端末が異なる時間帯に監視され得る、または一部のグループのユーザのみが監視され得る。
【００６５】
要求頻度値の具体的な表現方式及び計算方式に関して、当実施形態は第一実施形態と基本的に同じであるが、唯一端末により送信された要求に対応付けられた統計値がユーザにより送信された要求に対応付けられた統計値に変わり、当実施形態の詳細については本明細書において重複して説明されない。
【００６６】
当実施形態において、ブロック２３０では、ユーザにより送信された要求に対応付けられた統計値が所定の正常範囲外の時、すなわち要求頻度値が対応要求頻度閾値より大きい時、当該ユーザは異常であると判定される。
【００６７】
ユーザが異常であると判定された場合、それは悪意のあるコンピュータプログラムが当該ユーザのアカウントを利用して要求を送信していることを意味しうる。第一実施形態と同様に、事前に定義された異常数に達する回数分ユーザが異常であると判定されると、当該ユーザは隔離され、当該ユーザから送信された要求は受諾されず、かつ当該ユーザにより送信された要求に対応付けられた統計値は計算されない。異常数は、一回または複数回に設定可能である。同様に、ユーザが異常であると判定された後も隔離されていない場合、当異常より前に当該ユーザから送信された要求は、当該ユーザにより送信された要求に対応付けられた統計値のリアルタイムでの計算に含まれない。
【００６８】
（第三実施形態）
調査により、限られた時間の中で実際に一端末は、限られた人数のユーザにのみ操作されうることが明らかになっている。一端末が大量のユーザにより使用されたことが発覚した場合、当該端末は悪意のあるコンピュータプログラムによって操作されていると判定されうる。
【００６９】
人間と機械を区別する当例示的方法は、図３に示されるように、一端末により送信された要求に対応付けられたユーザの出現頻度値を使用して人間と機械を識別することを達成する。人間と機械を区別する当例示的方法は、
ブロック３１０において、指定ネットワークサービスへのアクセス要求を受信する度に、要求を受信した時間と、要求の送信に対応付けられた端末及びユーザの情報とを記録することを含む。
【００７０】
当ブロックは基本的に第一実施形態のブロック１１０と同一であるが、唯一の違いは要求を送信した端末を記録すると同時に、要求を送信したユーザを記録することである。
【００７１】
ブロック３２０において、監視されている端末ごとに、該当の端末を使って要求を送信したユーザの分析から取得されるユーザ出現頻度値を含む、該当の端末から送信された要求に対応付けられた統計値がリアルタイムに計算される。
【００７２】
実施形態において、ユーザ出現頻度値は、設定経過時間を有する時間窓内に一端末を使用して要求を送信した異なるユーザの数で表される。時間窓の終了時間は、当該端末により送信された最新の要求を受信した時間に設定される。例えば設定経過時間が１０秒で、ユーザＡ、Ｂ、Ａ、Ｂ、Ｃ、及びＤが１０秒以内に同一の端末を介して要求を送信したとすると、ユーザ出現頻度値は４になる。対応ユーザ出現頻度閾値が３以下の場合、当該端末は異常であると判定される。そうでない場合は、当該端末は正常であると判定される。監視されるユーザは実名のユーザである必要があるが、一端末に対応するユーザ出現頻度値及び後述において説明されるユーザ切替頻度値を計算する時、匿名のユーザは分析において特定のユーザとして扱われる。本開示は、上記の説明に限定されるものではない。例えば時間窓には、固定時間窓形式のものが使用されてもよい。
【００７３】
上記に説明されたように、複数のユーザ出現頻度値がありえる。異なる経過時間が異なるユーザ出現頻度値に対し設定可能であり、かつそれぞれ対応するユーザ数閾値は異なりうる。さらに要求頻度値と同様に、ユーザ出現頻度値は、一端末を介して要求を送信したユーザの数が設定ユーザ数に達するのに必要とした経過時間によって表されうる。
【００７４】
ブロック３３０において、一端末を介して要求を送信したユーザの出現頻度値が対応ユーザ出現頻度閾値より大きい場合、当該端末は異常であると判定される。
【００７５】
端末が異常であると判定されると、第一実施形態の隔離プロセスが使用されうる。
【００７６】
当実施形態は代替策を含みうる。当代替策において、ユーザ出現頻度値は、一端末から要求を送信したユーザの分析から取得されたユーザ切替頻度値に置き換えられる。ユーザ切替頻度値は、設定経過時間を有する時間窓内に一端末を介して要求を送信したユーザが切り替わった回数で表されうる。時間窓の終了時間は、ユーザにより送信された最新の要求を受信した時間に設定される。例えば設定経過時間が１０秒で、ユーザＡ、Ｂ、Ａ、Ｂ、Ｃ、及びＤが１０秒以内に同一の端末を介して要求を送信したとすると、当該端末に対応するユーザ切替頻度値は５になる。対応ユーザ切替頻度閾値が４以下の場合、当該端末は異常であると判定される。ユーザ切替頻度値とユーザ出現頻度値の違いは、悪意のあるプログラムは同一の端末を介し比較的少ない数のユーザアカウントを使用して要求を送信するが、その代りこれらのユーザアカウントを頻繁に切り替え得る。ユーザによる操作の場合とは異なるシナリオでもある。
【００７７】
（第四実施形態）
調査により、限られた時間の中で実際に一ユーザは限られた数の端末のみを操作できることが明らかになっている。一ユーザが大量の端末を操作したとことが発覚した場合、悪意のあるコンピュータプログラムがその操作を操っていると判定されうる。
【００７８】
当例示的人間−機械識別方法は、図４に示されるように、ユーザが要求を送信するのに使用した端末の出現頻度値を使用して人間と機械を区別することを達成する。当例示的人間−機械識別方法は、
ブロック４１０において、指定ネットワークサービスへのアクセス要求を受信する度に、要求を受信した時間と、送信された要求に対応付けられた端末及びユーザの情報とを記録することを含む。
【００７９】
当ブロックは第三実施形態のブロック３１０と同じである。
【００８０】
ブロック４２０において、監視されているユーザごとに、該当のユーザが要求を送信するのに使用した端末の分析から取得される端末出現頻度値を含む、該当のユーザから送信された要求に対応付けられた統計値がリアルタイムに計算される。
【００８１】
実施形態において、端末出現頻度値は、設定経過時間を有する時間窓内に一ユーザが要求を送信するのに使用した異なる端末の数で表される。時間窓の終了時間は、端末により送信された最新の要求を受信した時間に設定される。例えば設定経過時間が１０秒で、一ユーザが端末Ａ、Ｂ、Ａ、Ｂ、Ｃ、及びＤにより１０秒以内に要求を送信したとすると、端末出現頻度値は４になる。対応端末出現頻度閾値が３以下の場合、当該ユーザは異常であると判定される。そうでない場合は、当該ユーザは正常であると判定される。本開示は、当説明に限定されるものではない。例えば時間窓には、固定時間窓形式のものが使用されてもよい。
【００８２】
上記に説明されたように、複数の端末出現頻度値がありえる。異なる経過時間が異なる端末出現頻度値に対し設定可能であり、かつそれぞれ対応する端末数閾値は異なりうる。さらに要求頻度値と同様に、端末出現頻度値は、一ユーザが要求を送信するのに使用した端末の数が設定端末数に達するのに必要とした経過時間によって表されうる。
【００８３】
ブロック４３０において、一ユーザが要求を送信するのに使用した端末の出現頻度値が対応端末出現頻度閾値より大きい場合、当該ユーザは異常であると判定される。
【００８４】
ユーザが異常であると判定されると、第二実施形態の隔離プロセスが使用されうる。
【００８５】
当実施形態は代替策も含む。その代替策において、端末出現頻度値は、一ユーザが要求を送信するのに使用した端末の分析から取得された端末切替頻度値に置き換えられる。端末切替頻度値は、設定経過時間を有する時間窓内に一ユーザが要求を送信するのに使用した端末が切り替わった回数で表されうる。時間窓の終了時間は、当該ユーザにより送信された最新の要求を受信した時間に設定される。例えば同一のユーザが端末Ａ、Ｂ、Ａ、Ｂ、Ｃ、及びＤを介して要求を送信したとすると、当ユーザに対応する端末切替頻度値は５になる。対応端末切替頻度閾値が４以下の場合、当該ユーザは異常であると判定される。そうでない場合は、当該ユーザは正常であると判定される。一ユーザに対応する端末切替頻度値と端末出現頻度値の違いは、悪意のあるプログラムは同一のユーザの下比較的少ない数の端末を介して要求を送信し得るが、その代りこれらの端末を頻繁に切り替え得る。ユーザによる操作の場合とは異なるシナリオでもある。
【００８６】
（第五実施形態）
調査により、実際に同一のユーザが一端末を操作して送信する連続要求の時間間隔は、一般的に短すぎないことが明らかになっている。反対に悪意のあるコンピュータプログラムは、非常に短い時間間隔で二つの要求を送信することが可能である。連続要求の時間間隔が非常に短い場合、悪意のあるコンピュータプログラムがその操作を操っていると判定されうる。
【００８７】
当例示的人間−機械識別方法は、サービスネットワークにおいて適用可能であり、かつ図５に示されるように一端末により送信された連続要求の時間間隔値から人間と機械を区別することを達成する。当例示的人間−機械識別方法は、
ブロック５１０において、指定ネットワークサービスへのアクセス要求を受信する度に、要求を受信した時間と、送信された要求に対応付けられた端末及びユーザの情報とを記録することを含む。
【００８８】
当ブロックは第三実施形態のブロック３１０と同じである。
【００８９】
ブロック５２０において、監視されている端末ごとに、該当の端末により送信された連続要求の時間間隔値を含む、該当の端末から送信された要求に対応付けられた統計値がリアルタイムに計算される。
【００９０】
異なる状況におけるユーザ操作中の連続要求の時間間隔値は同一ではない。例えば連続する二つの要求は、同一のネットワークサービスに対する要求（ユーザは同じアイコンを連続してクリックする）、または異なるネットワークサービスに対する要求（ユーザは異なるアイコンを連続してクリックする）の可能性がある。ユーザが同一のアイコンを連続してクリックする時間間隔は通常短いことを考慮して、同一のネットワークサービスを求める連続要求の対応時間間隔閾値は、異なるネットワークサービスを求める連続要求の対応時間間隔閾値より短く設定されてもよい。同様に、一端末による連続要求が同一のユーザから送信されたとすると、その対応時間間隔閾値は、異なるユーザから送信された連続要求の対応時間間隔閾値より短く設定されてもよい。異なるユーザが同一の端末を同時に操作するという異例のシナリオは考慮されない。
【００９１】
言い換えると、当実施形態において、一端末により送信された連続要求は、当該連続要求が同一のユーザから送信されたか否か、及び／または当該連続要求が同一のネットワークサービスに対する要求であるか否かに基づいて複数の種類に分類され、そして連続要求の種類毎に時間間隔閾値が個別に設定される。具体的には、二つの連続要求は同一のネットワークサービスに対する要求であるか否かに基づいて分類が行われる場合、一端末により送信された連続要求は、同一のサービスに対する連続要求、または異なるサービスに対する連続要求として分類されうる。二つの連続要求が同一のユーザから送信されたか否かに基づいて分類が行われる場合、連続要求は、同一のユーザかつ同一の機械に対応付けられた要求、または異なるユーザかつ同一の機械に対応付けられた要求として分類されうる。ここでいう同一の機械とは同一の端末に該当する。二つの連続要求が同一のユーザから送信されたか否か、かつ二つの連続要求が同一のネットワークサービスに対する要求であるか否かに基づいて分類が行われる場合、連続要求は、同一のサービスに対する同一のユーザかつ同一の機械に対応付けられた連続要求、異なるサービスに対する同一のユーザかつ同一の機械に対応付けられた連続要求、同一のサービスに対する異なるユーザかつ同一の端末に対応付けられた連続要求、または異なるサービスに対する異なるユーザかつ同一の機械に対応付けられた連続要求として分類されうる。別の実施形態においては、連続要求は種類に分類されず、一つの対応時間間隔閾値が設定される。
【００９２】
当ブロックにおいて、一端末から送信された要求が受信される度に、当該端末により送信された今回の要求と前回の要求の時間間隔が、引き続き実行される比較のために計算される。
【００９３】
ブロック５３０において、一端末により送信された連続要求の時間間隔が対応時間間隔閾値より小さい場合、当該端末は異常であると判定される。
【００９４】
端末が異常であると判定されると、第一実施形態の隔離プロセスが使用されうる。他の例示的実施形態において、ユーザにより操作中に送信された連続要求のある一時間間隔または複数の時間間隔は比較的短くありえ（もっともこの状況は稀であるが）、かつこの状況は悪意のあるコンピュータプログラムにより要求が送信された時に頻繁に起こることを考慮して、当実施形態において異常数は２以上に設定される。従って、時間間隔閾値は特別低い値に設定する必要はない。
【００９５】
（第六実施形態）
当実施形態の原理は基本的に第五実施形態のものと同じであるが、唯一の違いは一ユーザにより送信された連続要求の時間間隔値から人間と機械の識別を達成することである。図５に示されるように、人間−機械識別方法は、
ブロック６１０において、指定ネットワークサービスへのアクセス要求を受信する度に、要求を受信した時間と、送信された要求に対応付けられた端末及びユーザの情報とを記録することを含む。
【００９６】
ブロック６２０において、監視されているユーザごとに、該当のユーザから送信された連続要求の時間間隔値を含む、該当のユーザから送信された要求に対応付けられた統計値がリアルタイムに計算される。
【００９７】
第五実施形態と同様に、当実施形態において、一ユーザから送信された連続要求は、これら二つの要求が同一の端末から送信されたか否か、及び／またはこれら二つの要求が同一のネットワークサービスに対する要求であるか否かに基づいて複数の種類に分類され、そして連続要求の種類毎に時間間隔閾値が個別に設定される。具体的には、端末により送信された連続要求は、同一のサービスに対する要求または異なるサービスに対する要求、同一のユーザかつ同一の機械に対応付けられた連続要求または同一のユーザかつ異なる機械に対応付けられた連続要求、もしくは同一のサービスに対する同一のユーザかつ同一の機械に対応付けられた連続要求、異なるサービスに対する同一のユーザかつ同一の機械に対応付けられた連続要求、同一のサービスに対する同一のユーザかつ異なる機械に対応付けられた連続要求、または異なるサービスに対する同一のユーザかつ異なる機械に対応付けられた連続要求、として分類されうる。
【００９８】
当ブロックにおいて、一ユーザから送信された要求が受信される度に、当該ユーザにより送信された今回の要求と前回の要求の時間間隔が、引き続き実行される比較のために計算される。
【００９９】
ブロック６３０において、一ユーザにより送信された連続要求の時間間隔が対応時間間隔閾値より小さい場合、当該ユーザは異常であると判定される。
【０１００】
端末が異常であると判定されると、第一実施形態の隔離プロセスが使用されうる。第五実施形態と同様に、所定異常数は２以上に設定されうる。
【０１０１】
本開示における人間と機械を区別する方法は、前述の実施形態を使用して説明される。これらの実施形態における技術的手段は、任意の組合せで実行可能であることに留意されたい。例えば一実施形態において、一端末により送信された要求に対応付けられた統計値及び一ユーザにより送信された要求に対応付けられた統計値の両方が計算され得、そして当該端末に対応付けられた統計値及び当該ユーザに対応付けられた統計値の両方に基づいて、人間と機械の区別が行われる。別の実施例において一端末に対応付けられた統計値に関して、これから使用される統計値には、調整頻度値、ユーザ出現頻度値、ユーザ切替頻度値、及び連続要求の時間間隔値が、一以上含まれうる。ユーザに関しては、統計値には、調整頻度値、端末出現頻度値、端末切替頻度値、及び連続要求の時間間隔値が、一以上含まれうる。各統計値に対応するＡ閾値は、実際の状況に基づいて、例えば攻撃に対応付けられた活動及びユーザ操作に対応付けられた活動に関する比較及び分析に応じて、選択されうる。本開示は、これに限定されるものではない。
【０１０２】
（第七実施形態）
図７に示されるように、当実施形態は、サービスネットワークにおいて人間と機械を区別する方法を実行する人間−機械識別システムを提供する。人間−機械識別システムは、
全てまたは一部の種類のネットワークサービスに関連する指定ネットワークサービスへのアクセス要求が受信される度に、要求を受信した時間と要求を送信した端末及び／またはユーザの情報とを含む要求に関する情報を記録する記録モジュール１０と、
端末毎及び／またはユーザ毎に、端末により送信された要求の統計値及び／またはユーザにより送信された要求の統計値を記録に基づいてリアルタイムで計算し、そして判定モジュールにより当該端末及び／または当該ユーザが異常であると判定されても、隔離モジュールにより当該端末及び／または当該ユーザが隔離されていない場合、当該端末から送信された要求の統計値及び／または当該ユーザから送信された要求の統計値を計算する時には、現在の異常事例より前の当該端末及び／または当該ユーザから送信された要求を除外する計算モジュール１２と、
端末により送信された要求の統計値及び／またはユーザにより送信された要求の統計値が所定の正常範囲を越える場合、当該端末及び／または当該ユーザは異常であると判定する判定モジュール１４と、
端末に対応付けられた異常数が所定異常数Ｍ（Ｍは１以上）に達したと判定されると、当該端末を隔離し、かつ当該端末からの要求を受信することを抑制し、そしてユーザに対応付けられた異常数が所定異常数Ｎ（Ｎは１以上）に達したと判定されると、当該ユーザを隔離し、かつ当該ユーザからの要求を受信することを抑制する隔離モジュール１６と
を備える。
【０１０３】
これらのモジュールは、同一の実体に配置、または異なる実体に分散可能な論理モジュールである。これらのモジュールの機能性に関しては、前述の実施形態において対応する説明を参照可能であるため、本明細書において重複して説明されない。
【０１０４】
実施形態において、計算モジュール１２によりリアルタイムに計算される、端末により送信された要求の統計値には、
要求頻度値が対応要求頻度閾値より大きい場合に、所定の正常範囲外となる、一以上の要求頻度値、
ユーザ出現頻度値が対応ユーザ出現頻度閾値より大きい場合に、所定の正常範囲外となる、当該端末を介して要求を送信したユーザの分析から取得されるユーザ出現頻度値、
ユーザ切替頻度値が対応ユーザ切替頻度閾値より大きい場合に、所定の正常範囲外となる、当該端末を介して要求を送信したユーザの分析から取得されるユーザ切替頻度値、
時間間隔値が対応時間間隔閾値より小さい場合に、所定の正常範囲外となる、当該端末から送信された連続要求の時間間隔値、
以上の統計値が一以上含まれる。
【０１０５】
他の実施形態において、計算モジュール１２によりリアルタイムに計算される、ユーザにより送信された要求の統計値には、
要求頻度値が対応要求頻度閾値より大きい場合に、所定の正常範囲外となる、一以上の要求頻度値、
端末出現頻度値が対応端末出現頻度閾値より大きい場合に、所定の正常範囲外となる、当該ユーザが要求を送信する際使用した端末の分析から取得される端末出現頻度値、
端末切替頻度値が対応端末切替頻度閾値より大きい場合に、所定の正常範囲外となる、当該ユーザが要求を送信する際使用した端末の分析から取得される端末切替頻度値、
時間間隔値が対応時間間隔閾値より小さい場合に、所定の正常範囲外となる、当該ユーザから送信された連続要求の時間間隔値、
以上の統計値が一以上含まれる。
【０１０６】
これらの統計値の表現及び計算方法は、例示的方法を参照可能であるため、本明細書において重複して説明されない。
【０１０７】
図８は、上述のシステム等をさらに詳しく説明するシステム実施例８００を例示する。一実施形態においてシステム８００は、一以上のプロセッサ８０１、ネットワークインターフェイス８０２、メモリ８０３、及び入出力インターフェイス８０４を備えてもよいが、これに限定されることはない。
【０１０８】
メモリ８０３は、ランダムアクセスメモリ（ＲＡＭ）等の揮発性メモリ、及び／または読出専用メモリ（ＲＯＭ）またはフラッシュＲＡＭ等の不揮発性メモリの形式のコンピュータ可読媒体を含みうる。メモリ８０３は、コンピュータ可読媒体の実施例である。
【０１０９】
コンピュータ可読媒体は、コンピュータ可読命令、データ構造、プログラムモジュール、または他のデータ等の情報を記憶するための任意の方法またはテクノロジーにおいて実行される揮発性または不揮発性、かつ、着脱可能または着脱不可能な媒体を含む。コンピュータ記憶媒体の実施例には、相変化メモリ（ＰＲＡＭ）、静的ランダムアクセスメモリ（ＳＲＡＭ）、動的ランダムアクセスメモリ（ＤＲＡＭ）、他の種類のランダムアクセスメモリ（ＲＡＭ）、読出専用メモリ（ＲＯＭ）、電気的消去可能プログラマブル読出専用メモリ（ＥＥＰＲＯＭ）、フラッシュメモリまたは他のメモリテクノロジー、コンパクトディスク読出専用メモリ（ＣＤ−ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）または他の光学記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置または他の磁気記憶装置、または情報を記憶するために使用可能でコンピューティングデバイスによりアクセスされる任意の他の非伝達媒体が含まれるが、これに限定されることはない。ここで定義されるように、コンピュータ可読媒体には、変調データ信号及び搬送波等の一時的媒体は含まれない。
【０１１０】
メモリ８０３は、プログラムモジュール８０５及びプログラムデータ８０６を含みうる。一実施形態において、プログラムモジュール８０５は、記録モジュール８０７、計算モジュール８０８、判定モジュール８０９、及び隔離モジュール８１０を含みうる。これらのプログラムモジュールの詳細に関しては、前述の実施形態において参照可能である。
【０１１１】
前述の方法の全てまたは一部は、関連するハードウェア構成要素を指示するプログラムによって実行可能であることが、当業者には理解されるであろう。プログラムは、読出専用メモリ、磁気ディスク、または光学ディスク等のコンピュータ可読記憶媒体に記憶されうる。前述の実施形態の全てまたは一部は、任意で一以上の集積回路を使用して実行されうる。従って、前述の実施形態の各モジュール／ユニットは、ハードウェアまたはソフトウェアの機能モジュールの形で実装されうる。本開示は、ハードウェア及びソフトウェアのどの特定の組合せ方にも限定されない。
【０１１２】
前述は本開示の例示的実施形態にすぎず、かつ本開示の範囲を限定するものとして解釈されるべきではない。開示された方法及びシステムは、当業者による様々な変更と修正に適応可能である。本開示の精神と原理に該当する任意の変更、同等物による置換、改善等は、本開示の請求範囲に含まれるものとする。
【図１】
2019023946.tif 000003
【図２】
2019023946.tif 000004
【図３】
2019023946.tif 000005
【図４】
2019023946.tif 000006
【図５】
2019023946.tif 000007
【図６】
2019023946.tif 000008
【図７】
2019023946.tif 000009
【図８】
2019023946.tif 000010
【手続補正書】
【提出日】平成30年12月14日(2018.12.14)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
指定ネットワークサービスへのアクセス要求が受信されると、前記要求を受信した時間と前記要求を送信したアクセス所望体の情報とを含む前記要求に関する情報を記録し、
記録に基づいて、前記アクセス所望体により送信された前記要求の統計値を計算し、
前記アクセス所望体により送信された前記要求の前記統計値が所定の正常範囲外であることに応じて、前記アクセス所望体は異常であると判定し、
前記アクセス所望体はユーザであるかまたは端末であるかを判定し、
前記アクセス所望体が前記ユーザであると判定することに応じて、
前記要求に関する前記情報には、前記要求の送信に対応付けられた端末及び前記ユーザに関する情報が含まれ、
前記ユーザにより送信された前記要求に対応付けられた前記統計値には、前記ユーザが前記要求を送信する際使用した端末の分析から取得される、端末切替頻度値が含まれ、
前記端末切替頻度値が第二端末切替頻度閾値より大きい場合、前記ユーザにより送信された前記要求に対応付けられた前記統計値は前記所定の正常範囲外となる
ことを含む方法。
【請求項２】
前記アクセス所望体により送信された前記要求の前記統計値には、一以上の要求頻度値が含まれ、
前記アクセス所望体の要求頻度値が対応要求頻度閾値より大きい場合、前記アクセス所望体の前記統計値は前記所定の正常範囲外となる
請求項１に記載の方法。
【請求項３】
要求頻度値は、設定経過時間を有する時間窓内に送信された要求の数で表され、前記アクセス所望体から送信された最新の要求を受信した時間は、前記時間窓の終了時間として設定され、もしくは、前記要求頻度値は、設定数分の要求が連続して送信されるのに必要とした経過時間で表され、そして前記設定数分の要求には前記アクセス所望体から送信された前記最新の要求が含まれ、
前記要求頻度値は、異なる設定経過時間または異なる設定回数に対応し、よってそれぞれの回数閾値または経過時間閾値も異なる
請求項２に記載の方法。
【請求項４】
前記アクセス所望体が端末であると判定することに応じて、
前記要求に関する前記情報には、前記要求の送信に対応付けられた前記端末及びユーザに関する情報が含まれ、
前記端末により送信された前記要求の前記統計値には、前記端末を介して前記要求を送信したユーザの分析から取得される、ユーザ出現頻度値及び／またはユーザ切替頻度値が含まれ、
前記ユーザ出現頻度値が第一ユーザ出現頻度閾値より大きい、及び／または前記ユーザ切替頻度値が第二ユーザ切替頻度閾値より大きい場合、前記端末により送信された前記要求の前記統計値は前記所定の正常範囲外となる
請求項１に記載の方法。
【請求項５】
前記ユーザ出現頻度値は、設定経過時間を有する時間窓内に前記端末を介して一以上の要求を送信した異なるユーザの数で表され、前記ユーザ切替頻度値は、前記設定経過時間を有する前記時間窓内に、前記端末を介して前記一以上の要求を送信した前記ユーザが切り替わった回数で表され、前記時間窓の終了時間には、前記端末から送信された最新の要求を受信した時間が設定される
請求項４に記載の方法。
【請求項６】
前記アクセス所望体がユーザであると判定することに応じて、
前記ユーザにより送信された前記要求の前記統計値には、前記ユーザが前記要求を送信する際使用した端末の分析から取得される、端末出現頻度値がさらに含まれ、
前記端末出現頻度値が第一端末出現頻度閾値より大きい場合、前記ユーザにより送信された前記要求の前記統計値は前記所定の正常範囲外となる
請求項１に記載の方法。
【請求項７】
前記端末出現頻度値は、設定経過時間を有する時間窓内に前記ユーザが一以上の要求を送信する際使用した異なる端末の数で表され、前記端末切替頻度値は、前記設定経過時間を有する前記時間窓内に、前記ユーザが複数の要求を送信する際前記端末を切り替えた回数で表され、前記時間窓の終了時間には、前記ユーザにより送信された最新の要求を受信した時間が設定される
請求項６に記載の方法。
【請求項８】
前記アクセス要求により送信された前記要求の前記統計値には、前記アクセス所望体により送信された連続要求の時間間隔値が含まれ、
前記時間間隔値が対応時間間隔閾値より小さい場合、前記統計値は前記所定の正常範囲外となる
請求項１に記載の方法。
【請求項９】
前記アクセス所望体により送信された前記連続要求は、前記連続要求が同一のアクセス所望体により送信されたか否か、及び／または前記連続要求が同一のネットワークサービスに対する要求に該当するか否かに基づいて異なる種類に分類され、連続要求の種類毎に時間間隔閾値が個別に設定される
請求項８に記載の方法。
【請求項１０】
前記アクセス所望体が端末であると判定することに応じて、前記端末に対応付けられた異常の数が所定の異常数Ｍ（Ｍ＝１またはＭ＞１）に達すると判定されると、前記端末を隔離し、前記端末からの要求を受信することを抑制し、かつ前記端末から送信された前記要求の前記統計値を計算することを中止し、
前記アクセス所望体がユーザであると判定することに応じて、前記ユーザに対応付けられた異常の数が所定の異常数Ｎ（Ｎ＝１またはＮ＞１）に達すると判定されると、前記ユーザを隔離し、前記ユーザからの要求を受信することを抑制し、かつ前記ユーザから送信された前記要求の前記統計値を計算することを中止する
ことをさらに含む請求項１に記載の方法。
【請求項１１】
前記アクセス所望体が異常であると判定されても、前記アクセス所望体が隔離されていない場合、前記アクセス所望体から送信された前記要求の前記統計値をリアルタイムで計算する時に、現在の異常事例より前に前記アクセス所望体から送信された要求は除外される
請求項１０に記載の方法。