(57)【要約】      （修正有）【課題】適応型機械学習機能を有するサイバーセキュリティシステムのためのシステム及び方法を提供する。【解決手段】企業ネットワーク環境１００に応じてサイバーセキュリティシステムは、ネットワーク１０２、１２４を介して複数のユーザデバイスを管理するよう構成されているサーバと、インタフェイス及びプロセッサを含むユーザデバイスとを含む。インタフェイスは、ネットワーク上のサーバと通信するよう構成されており、プロセッサは、ユーザデバイスとのユーザインタラクションを経時的に監視して使用プロファイルを確立する。サイバーセキュリティシステムは、使用プロファイルの不一致に基づいてユーザデバイスの異常使用を検出し、異常使用がセキュリティ脅威を表すものであるかどうかを判定し、かつ、１以上の自動アクションを実行してセキュリティ脅威に応答するようにユーザデバイスへ命令する。【選択図】図１
2019032828.tif 000002
【特許請求の範囲】
【請求項１】
システム（１００）であって、
ネットワーク（１０２、１２４）上の複数のユーザデバイス（１５０−１、１５０−２、…、１５０−Ｎ）を管理するよう構成されているサーバ（１０８）と；
以下を備えるユーザデバイス（１５０）：
前記ネットワーク上の前記サーバと通信するよう構成されているインタフェイスコンポーネント（２０２、３０３、４０２、５０２）及び
前記ユーザデバイスとのユーザインタラクションを経時的に監視して使用プロファイルを確立し、前記使用プロファイルの不一致に基づいて前記ユーザデバイスの異常使用を検出し、前記異常使用がセキュリティ脅威（１２８）を表すものであるかどうかを判定し、かつ、１以上の自動アクションを実行して前記セキュリティ脅威に応答するように前記ユーザデバイスへ命令するよう構成されている機械学習機能（２１０）を実装するプロセッサ（２０４、３０２、３３７）
とを備える、システム。
【請求項２】
前記サーバが、前記ユーザデバイスが前記セキュリティ脅威によって危殆化されていることを検出すると、前記ユーザデバイスの前記ネットワークへのアクセスを一定期間無効化することを先送りにするよう構成されており；かつ、
前記機械学習機能が、前記セキュリティ脅威の挙動を記録するように前記ユーザデバイスへ命令し、前記期間中に前記インタフェイスコンポーネントを介して前記セキュリティ脅威の挙動を前記ネットワーク上の前記サーバに報告するよう構成されている、請求項１に記載のシステム。
【請求項３】
前記ユーザデバイスが無線インタフェイスコンポーネント（２０２）を含み；かつ、
前記機械学習機能が、前記無線インタフェイスコンポーネントをアクティブにして無線ネットワーク（１２４）を偽装するように前記ユーザデバイスへ命令し、前記無線ネットワークに接続する無線デバイス（１２６）の情報を収集し、前記無線デバイスの前記情報を前記ネットワーク上の前記サーバに報告するよう構成されている、請求項１又は２に記載のシステム。
【請求項４】
前記機械学習機能が、前記セキュリティ脅威を受けやすい前記ユーザデバイスのメモリ（２０６、３０６、３３８、４０６、５０６）に格納された機密情報を識別し、前記ユーザデバイスの前記メモリ内の、前記機密情報に関連する誤ったデータセット（３７７）を識別して、前記機密情報へのアクセス要求に応答して前記誤ったデータセットを提供するよう構成されている、請求項１から３のいずれか一項に記載のシステム。
【請求項５】
前記セキュリティ脅威の挙動に関する情報を受信し、前記セキュリティ脅威の特性に基づいて誤ったデータセット（３７７）を前記ユーザデバイスに提供するよう構成されている機械学習システムを実装するリモートサーバ（１３０）をさらに含む、請求項１から４のいずれか一項に記載のシステム。
【請求項６】
方法であって、
ユーザデバイス（１５０）のインタフェイスコンポーネント（２０２、３０３、４０２、５０２）を介して、ネットワーク（１０２、１２４）上の複数のユーザデバイス（１５０−１、１５０−２、…、１５０−Ｎ）を管理するサーバ（１０８）と通信すること（１２０２）；
前記ユーザデバイスのプロセッサ（２０４、３０２、３３７）に機械学習機能（２１０）を実装すること（６０２）；
前記ユーザデバイスとのユーザインタラクションを経時的に監視（６０４）して、使用プロファイルを確立すること；
前記使用プロファイルの不一致に基づいて前記ユーザデバイスの異常使用を検出すること（６０６）；
前記異常使用がセキュリティ脅威を表すものであるかどうかを判定すること（６０８）；及び
前記機械学習機能から得られた１以上の自動アクションを実行して前記セキュリティ脅威に応答するように前記ユーザデバイスへ命令すること（６１０）
を含む、方法。
【請求項７】
ユーザデバイスがセキュリティ脅威に危殆化されているとの検出（８０２、９０２、１００２、１１０２）に応答して、前記サーバにおいて、前記ユーザデバイスの前記ネットワークへのアクセスの無効化を一定期間先送りすること（８０４）；
前記セキュリティ脅威の挙動を記録するように前記ユーザデバイスへ命令すること（８０６）；及び
前記期間中に前記インタフェイスコンポーネントを介して前記セキュリティ脅威の前記挙動を前記ネットワーク上の前記サーバに報告すること（８０８）
をさらに含む、請求項６に記載の方法。
【請求項８】
装置であって、
ユーザデバイス（１５０）の使用履歴に基づいて前記ユーザデバイスの異常使用を検出し、前記異常使用の情報を機械学習機能（２１０）に入力し、前記機械学習機能の出力からサイバー脅威の特性を決定し、前記サイバー脅威の前記特性に基づいて前記ユーザデバイスが実行する自動アクションを決定し、かつ、前記自動アクションを実行して前記サイバー脅威に応答するように前記ユーザデバイスへ命令するよう構成されているプロセッサ（２０４、３０２、３３７）を備える、装置。
【請求項９】
前記サイバー脅威の前記特性が前記ユーザデバイスを介してあるタイプのデータにアクセスする脅威を含むとの判定に応答して、前記プロセッサが、前記タイプのデータへのアクセス要求に応答するための虚偽情報（４１４）を提供するように前記ユーザデバイスへ命令するよう構成されている、請求項８に記載の装置。
【請求項１０】
前記サイバー脅威の前記特性が前記ユーザデバイスのメモリ（２０６、３０６、３３８、４０６、５０６）内に格納されているデータの情報漏洩に対する脅威を含むとの判定に応答して、前記プロセッサが、前記データを消去するように前記ユーザデバイスへ命令するよう構成されている、請求項８又は９に記載の装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、サイバーセキュリティの分野に関し、特にサイバーセキュリティにおける機械学習に関する。
【背景技術】
【０００２】
大企業でのサイバーセキュリティのリスクは、日々のビジネス活動で使用されるネットワーク接続デバイスの急増によりますます複雑化している。従業員のスマートフォンなどのエンドユーザデバイスは、サイバー脅威の標的とされたり、又はデバイスの物理的盗難の結果として、ユーザ又は組織の機密情報を公開してしまう可能性がある。このような脅威を追跡し防ぐ従来のアプローチでは、大規模な組織全体でデバイスの脆弱性の影響を効率的に検出、解決、及び理解するための適切な情報が提供されない。
【発明の概要】
【０００３】
本明細書で説明する実施形態は、適応型機械学習機能を有するサイバーセキュリティシステムを提供する。情報技術（ＩＴ）システムによって管理されるエンドユーザデバイスは、ローカルマシン学習機能を備えている。機械学習機能は、経時的にユーザデバイスの使用を監視することにより学習された、特定の挙動パターンに固有のユーザシグネチャを確立する。ユーザシグネチャは、ユーザデバイスが盗難されたこと、不正ユーザによって使用されていること、又はマルウェアによって危殆化されたことを示唆する使用など、ユーザデバイスに対する異常使用イベントを定義及び検出するために機械学習機能によって使用される。このようなイベントを検出した後、機械学習機能は、セキュリティ脅威に応答する一連の自動アクションをトリガーする。実行される特定のアクション又はシーケンスは、時間の経過とともに機械学習機能に適応し、不正なアクターネットワーク及びデバイスからの問い合わせ、並びにユーザデバイス上の特定の情報又はリソースへのアクセスの試みを含む疑わしい脅威イベントのデータを効果的にマイニングすることができる。マイニングしたデータは、攻撃パターンを識別し、セキュリティ脅威に応答するための特定の命令又はデータ（例えばアクセス要求に対して提供する誤情報）をユーザデバイスに提供する機械学習機能を備える中央又はリモート管理サーバに送信することもできる。
【０００４】
一実施形態は、ネットワークを介して複数のユーザデバイスを管理するよう構成されているサーバと、インタフェイス及びプロセッサを含むユーザデバイスとを含むシステムである。インタフェイスは、ネットワーク上のサーバと通信するよう構成されており、かつ、プロセッサは、ユーザデバイスとのユーザインタラクションを経時的に監視して使用プロファイルを確立し、使用プロファイルの不一致に基づいてユーザデバイスの異常使用を検出し、異常使用がセキュリティ脅威を表すものであるかどうかを判定し、かつ、１以上の自動アクションを実行してセキュリティ脅威に応答するようにユーザデバイスへ命令するよう構成されている機械学習機能を実装する。
【０００５】
別の実施形態は、ユーザデバイスの使用履歴に基づいてユーザデバイスの異常使用を検出し、異常使用の情報を機械学習機能に入力し、サイバー脅威の特性を決定するよう構成されているプロセッサを含む装置である。プロセッサはまた、サイバー脅威の特性に基づいてユーザデバイスが実行する自動アクションを決定し、サイバー脅威に応答するための自動アクションを実行するようにユーザデバイスへ命令するよう構成されている。
【０００６】
他の例示的な実施形態（例えば上述の実施形態に関する方法及びコンピュータ可読媒体）は、後述する。上述の特徴、機能及び利点は、様々な実施形態において単独で実現することが可能であり、又はさらに別の実施形態において組み合わせることが可能であるが、それらのさらなる詳細は、以下の説明及び図面を参照して理解することができる。
【図面の簡単な説明】
【０００７】
ここで、本開示のいくつかの実施形態を、例示としてのみ、添付図面を参照して説明する。すべての図面で、同じ参照番号は、同じ要素又は同じタイプの要素を表わす。
【図１】例示的な実施形態における企業ネットワーク環境を示す。
【図２】例示的な実施形態における適応型セキュリティシステムのブロック図である。
【図３】例示的な実施形態における、適応型セキュリティシステムによって強化されたユーザ機器のブロック図である。
【図４】例示的な実施形態における、適応型セキュリティシステムによって強化されたリモートサーバのブロック図である。
【図５】例示的な実施形態における、適応型セキュリティシステムによって強化された管理サーバのブロック図である。
【図６】例示的な実施形態における、セキュリティ脅威を検出して、それに応答する方法を示すフローチャートである。
【図７】例示的な実施形態における、セキュリティ脅威に自動的に応答するための方法を示すフローチャートである。
【図８】例示的な実施形態における、セキュリティ脅威に自動的に応答するための方法を示すフローチャートである。
【図９】例示的な実施形態における、セキュリティ脅威に自動的に応答するための方法を示すフローチャートである。
【図１０】例示的な実施形態における、セキュリティ脅威に自動的に応答するための方法を示すフローチャートである。
【図１１】例示的な実施形態における、異常がセキュリティ脅威を示すかどうかを判定するための方法を示すフローチャートである。
【図１２】例示的な実施形態における、グラフィカルな侵入イベントシーケンスを導出するための方法を示すフローチャートである。
【図１３】例示的な実施形態における、企業ネットワーク環境のセキュリティポリシーを更新するための方法を示すフローチャートである。
【発明を実施するための形態】
【０００８】
これらの図面及び以下の説明により、本開示の特定の例示的な実施形態を示す。したがって、当業者は、本明細書に明示的に記載又は図示されていない様々な装置を考案して本開示の原理を具現化することができるが、それらは本開示の範囲に含まれることを理解されたい。さらに、本明細書に記載のいかなる実施例も、本開示の原理の理解に資するためのものであり、具体的に列挙された実施例及び諸条件に限定されないものとして解釈されるべきである。結果として、本開示は、下記に記載される特定の実施形態又は実施例に限定されず、特許請求の範囲及びその等価物によって限定される。
【０００９】
図１は、例示的な実施形態における企業ネットワーク環境を示す。企業ネットワーク環境１００は、大規模な組織又は企業のコンピュータセキュリティを管理する管理システム１１０を備える企業ネットワーク１０２を含む。企業ネットワーク１０２はまた、サーバ、ゲートウェイ、ファイアウォール、ルータ、及び企業ネットワーク１０２と外部ネットワーク（単数又は複数）１２４との間のトラフィックを監視し、疑わしいトラフィックを報告／ブロックする他のネットワーク要素等のエッジデバイス１０８１、２．．．Ｎによって形成される侵入検知システム１０６を含む。企業ネットワーク１０２は、各ユーザ１５２１、２．．．Ｎによって作動されるユーザ機器（ＵＥ）１５０１、２．．．Ｎをサポートして、様々なコンピュータタスクを実行する。ＵＥ１５０は、例えばパーソナルコンピュータ、ラップトップ、スマートフォン等を含み得る。ＵＥ１５０は、企業の従業員又は顧客によって作動され得る。
【００１０】
図１に示すように、ＵＥ１５０は、企業ネットワーク１０２と直接的にインタフェイスする（例えば、中で作動する）か、又は１以上の外部ネットワーク１２４を介して間接的にインタフェイスする（例えば、外で作動する）ことができる。いずれにしても、ＵＥ１５０は、インターネットなどの外部ネットワーク１２４を介して、ウェブサイト、データベース及びサーバ等の外部リソース１２６にアクセスすることができる。外部リソース１２６の一部、又は外部ネットワーク１２４上の悪意のあるアクター１２８は、ＵＥ１５０にセキュリティ脅威を与える可能性がある。セキュリティ脅威は、ＵＥ１５０を介して企業に属する機密又は貴重な情報にアクセスしようとする、手動又は自動攻撃を含み得る。
【００１１】
多くの最新のセキュリティ脅威には、既存の検出／応答メカニズムを回避するために、脅威を時間とともに自動的に進化する洗練されたテクニックが含まれている。さらに、機密又は貴重な企業情報は、後に企業ネットワーク１０２内で悪用する目的で企業ネットワーク１０２（例えばモバイルデバイス）の外部のデバイスを標的とする攻撃にますます晒されやすくなっている。従来のシステムでは、ネットワークに接続されている、企業に関係するデバイスの悪用又は物理的な盗難を伴う攻撃を検出するのは困難であり、一般的にセキュリティ担当者は、企業のセキュリティ上の脆弱性を識別して修復するのに使用することができるであろう、攻撃元に関する情報を収集することができない。
【００１２】
したがって、企業ネットワーク環境１００のコンピュータセキュリティを改善するために、管理システム１１０、リモートサーバ１３０及びＵＥ１５０が、適応型セキュリティシステム１７０によって強化されてもよい。ＵＥ１５０に関しては、適応型セキュリティシステム１７０は、特定のデバイスに固有の挙動プロファイルに基づいてセキュリティ脅威を検出し、それに応答することができる。すなわち、各ＵＥ１５０は、異なる性能で、異なる環境下で、異なるユーザ１５２によって作動することができ、適応型セキュリティシステム１７０は、各ＵＥ１５０のローカル使用及び設定に従って自動セキュリティアクションを制御することができる。リモートサーバ１３０に関しては、適応型セキュリティシステム１７０は、進行中のセキュリティ脅威に対する支援機能をＵＥ１５０に提供することができる。管理システム１１０に関しては、適応型セキュリティシステム１７０が、システム全体のセキュリティ脅威パターンの分析を提供して、攻撃者プロファイル及びセキュリティルールを確立することができる。企業ネットワーク環境１００は議論のための例示的な環境であることと、本明細書に記載の適応型セキュリティシステム１７０の特徴は代替の環境及びアプリケーションにおいて採用されてもよいことが理解されよう。管理システム１１０、リモートサーバ１３０及びＵＥに関する適応型セキュリティシステム１７０の動作の実例及び詳細は、以下で論じられる。
【００１３】
図２は、例示的な実施形態における適応型セキュリティシステムのブロック図である。適応型セキュリティシステム１７０は、インタフェイスコンポーネント２０２、１以上のプロセッサ２０４、及びメモリ２０６を含む。インタフェイスコンポーネント２０２は、外部ネットワーク１２４及び／又は企業ネットワーク１０２などのネットワークを介してメッセージを交換するためにＵＥ１５０、リモートサーバ１３０又は管理システム１１０と通信するよう構成されているハードウェアコンポーネント又はデバイス（例えばトランシーバー、アンテナ等）を含んでもよい。プロセッサ２０４は、内部回路、ロジック、ハードウェア等を表し、適応型セキュリティシステム１７０の機能を提供する。メモリ２０６は、データ、命令、アプリケーション等のためのコンピュータ可読記憶媒体（例えば読み出し専用メモリ（ＲＯＭ）又はフラッシュメモリ）であり、プロセッサ２０４によってアクセス可能である。適応型セキュリティシステム１７０は、図２に具体的に示されていない様々な他のコンポーネントを含むことができる。
【００１４】
プロセッサ２０４は、機械学習機能（Machine Learning Function：ＭＬＦ）２１０を実装する。ＭＬＦ２１０は、機械学習技術を実施するように動作可能なハードウェア、ファームウェア及び／又はソフトウェアの任意の組み合わせで実装され得る。機械学習とは一般に、入力データを解析し、データから学習し、その学習に基づいて出力を適合させることが可能な自動化プロセスを指す。これは、同じ入力が与えられたら同じステップが繰り返されるように命令又はプログラミングが予め定義されており明示的な、従来のコンピュータプロセスとは異なる。すなわち、ＭＬＦ２１０は、事前に定義されたアクティビティを有するのではなく、データ内のパターンを観察するように訓練され、明示的なハンドコーディングプログラミング又はユーザの介入／命令なしに取るべきアクション又はステップを時間とともに適応的に調整することができる。
【００１５】
図３は、例示的な実施形態における、適応型セキュリティシステム１７０によって強化されたＵＥ１５０のブロック図である。ＵＥ１５０は、ラップトップ又はスマートフォンなどのユーザデバイス、ルータ又はネットワーク要素などのエッジデバイス１０８、あるいは企業ネットワーク１０２の管理システム１１０によって管理される任意の他のデバイスを含むことができる。ＵＥ１５０は、ＵＥ１５０の動作を制御し、かつ、本明細書に記載の技術の実施形態を実装せよとのコンピュータ実行可能命令を処理するよう構成されている１以上のプロセッサ３０２を含む。プロセッサ３０２は、ハードウェア３０４を含むＵＥ１５０の様々なサブシステムと対話する。ハードウェア３０４は、メモリ３０６、組み込みハードウェアコンポーネント３３０、処理入力コンポーネント３３５及びネットワークコンポーネント３４０を含む。この例では、ハードウェアコンポーネント３３０は、タッチスクリーン入力を受信するように動作可能なディスプレイ３３１、画像及び動画を取り込むように動作可能なカメラ３３２、音声を投影するように動作可能なスピーカ３３３、並びに音声を取り込むように動作可能なマイクロフォン３３４を含む。処理入力コンポーネント３３５は、キーボード及び外部記憶デバイスなどの入力／出力（Ｉ／Ｏ）周辺機器３３６、１以上のプロセッサ３３７、及びランダムアクセスメモリ（ＲＡＭ）３３８を含む。例示的なネットワークコンポーネント３４０は、Ｂｌｕｅｔｏｏｔｈ３４１、全地球測位衛星（ＧＰＳ）３４２、ＷｉＦｉ３４３及び無線機３４４のための通信コンポーネントを含む。
【００１６】
ＵＥ１５０は、モジュール３６０−３６５に連結されているＭＬＦ２１０を含む適応型セキュリティシステム１７０によって強化される。より詳細には、適応型セキュリティシステム１７０は、アクティビティ監視モジュール３６０、異常検出モジュール３６１、脅威応答モジュール３６２、初期化モジュール３６３、ハニーポットモジュール３６４及びレポートモジュール３６５を含む。モジュール３６０−３６５の各々は、ハードウェア、ファームウェア及びソフトウェアの任意の組み合わせで実装されることが可能であり、かつ、ＭＬＦ２１０とインタフェイスするか又はそれに実装されて、セキュリティ脅威を検出し、それに応答するための機械学習技術を実行することができる。適応型セキュリティシステム１７０及び／又はＭＬＦ２１０のコンポーネントは、オペレーティングシステム（ＯＳ）３１０の一部、すなわちＯＳ３１０のカーネル３１２（例えば、ＯＳ３１０のカーネル３１２の上のメモリ３０６の保護領域、別個のプログラム若しくはアプリケーション内のハードウェア抽象化層（ＨＡＬ）３１８、特殊なハードウェアバッファ若しくはプロセッサ、又はこれらの任意の組み合わせ）に実装することもできる。さらに、適応型セキュリティシステム１７０及び／又はＭＬＦ２１０のコンポーネントは、プロセッサ３０２による使用のためにメモリ３０６に格納されてもよく、又はプロセッサ３０２による使用のためにＲＡＭ３３８に一時的にロードされてもよいと考えられる。
【００１７】
ＯＳ３１０は、大まかに、ネイティブのアプリケーションとユーザインストールのアプリケーションを含むことができるアプリケーション層３０５、サービス、マネージャ及びランタイム環境を含むことができるフレームワーク層３０７、並びにシステムライブラリ及び他のユーザライブラリを含むことができるライブラリ層３０８を含む。ユーザは、ＯＳ３１０上で動くアプリケーションを制御及び使用するためのメニュー、ボタン及び選択可能な制御項目を提示するグラフィカルユーザインタフェイス（ＧＵＩ）などのインタフェイス３０３を介して、ＯＳ３１０と対話することができる。ＨＡＬ３１８は、ＯＳ３１０とハードウェア層との間の層であり、ＯＳ３１０を異なるプロセッサアーキテクチャに合わせる役割を担う。ＯＳ３１０は、ＨＡＬ３１８をカーネル３１２内部に含むか、又はアプリケーションがハードウェア周辺機器と対話するための一貫したインタフェイスを提供するデバイスドライバの形態で含んでもよい。それに代えて又はそれに加えて、ＨＡＬ３１８は、システムイベント、状態変化などを監視／観察するために、ＵＥ１５０の様々なレベルでアプリケーションプログラミングインタフェイス（ＡＰＩ）を調整することができる。このように、ＯＳ３１０及び／又はＨＡＬ３１８は、ＵＥ１５０のハードウェア又はリソースにアクセスするためのアプリケーション又はアクションを認可する、ＵＥ１５０のための様々なセキュリティ設定を提供することができる。
【００１８】
モジュール３６０−３６５は、ＯＳ３１０及び／又はＨＡＬ３１８の動作を修正して、ＵＥ１５０のためのセキュリティ設定を適合させることができる。例えば、アクティビティ監視モジュール３６０は、メモリ１３０に向けられた入出力（Ｉ／Ｏ）要求のタイプの変化、ファイルシステム３１４のファイルへのアクセス、修正、ファイル名変更等の頻度の変化など、ＵＥ１５０上で発生するＯＳ３１０の様々な内部サービス及びアクティビティを監視することができる。アクティビティ監視モジュール３６０は、内部データ経路上のシステムサービス３１６を介して受信された通信要求の変化を検出し、ＯＳ３１０及び／又はＨＡＬ３１８を介して発生する、ＵＥ１５０のサブシステムとの様々な交換命令、メッセージ又はイベントを記録することができる。アクティビティ監視モジュール３６０は、ＭＬＦ２１０と対話して、学習された特性を取得し、監視されているリソースの数を減らすか増加させるか、又は監視されているリソースを変更するかどうかを判定することができる。アクティビティ監視モジュール３６０は、記録された情報をメモリ３０６にデバイス使用データ３７４として格納することもできる。
【００１９】
異常検出モジュール３６１は、ＵＥ１５０のデバイスが異常挙動を示しているかどうかを判定するよう構成される。異常検出モジュール３６１は、ＭＬＦ２１０と対話して、脅威レベル、タイプ、分類などの異常使用情報からセキュリティ脅威の特性を取得することができる。それに代えて又はそれに加えて、異常検出モジュール３６１は、攻撃の識別又はアクションなどのセキュリティ脅威に関する情報を識別又は予測する攻撃者データ３７６を生成することができる。脅威応答モジュール３６２は、特定のタイプの異常挙動又はセキュリティ脅威に対するアクションプランを選択するよう構成される。初期化モジュール３６３は、セキュリティ設定３７０、パラメータ３７１、又はその他のポリシー、ルール若しくはユーザ設定を、ＭＬＦ２１０によって動作を実行するためのパラメータとして適用するよう構成されている。ハニーポットモジュール３６４は、ユーザの要求又はアクションを防止又は妨害するよう構成されている。ハニーポットモジュール３６４は、ＨＡＬ３１８を使用して、機密情報を隠し、かつ／又は悪意のあるデータ要求を誤ったデータセットに迂回させる、誤データ３７７を生成／提供する保護データ３７３を実装することができる。報告モジュール３６５は、機械間通信又は自動メッセージ交換を実施して、デバイス使用データ３７４及び／又は攻撃者データ３７６を、外部検出／セキュリティ脅威への応答のためにリモートサーバ１３０、管理システム１１０又はピアＵＥ１５０に送信することができる。セキュリティ脅威を検出し、一連の自動アクションをトリガーするためにＵＥ１５０に合わせて調整された機械学習技術を実行するための、モジュール３６０−３６５の動作のさらなる詳細を、以下に述べる。
【００２０】
図４は、例示的な実施形態における、適応型セキュリティシステム１７０によって強化されたリモートサーバ１３０のブロック図である。リモートサーバ１３０は、１以上の外部ネットワーク１２４、１以上のコントローラ４０４、及びメモリ４０６を介してＵＥ１５０及び／又は管理システム１１０と通信するよう構成されているインタフェイスコンポーネント４０２を含む。コントローラ４０４は、内部回路、ロジック、ハードウェア等を表し、リモートサーバ１３０の機能を提供する。メモリ４０６は、データ、命令、アプリケーション等のためのコンピュータ可読記憶媒体であり、コントローラ４０４によってアクセス可能である。リモートサーバ１３０は、図４に具体的に示されていない様々な他のコンポーネントを含むことができる。
【００２１】
コントローラ４０４は、ＭＬＦ２１０及び虚偽情報モジュール４１４を含む適応型セキュリティシステム１７０を実装する。虚偽情報モジュール４１４を、ハードウェア、ファームウェア及びソフトウェアの任意の組み合わせで実装するか、又はＭＬＦ２１０とインタフェイスするか若しくはそれに実装して、セキュリティ脅威を検出及び／又はそれに応答するための機械学習技術を実行することができる。コントローラ４０４はまた、位置、地域、ネットワーク、部門、ユーザグループ又は作業サイトなど、企業に関する共通の特性ｌによってグループ化された１以上のＵＥ１５０のセキュリティ機能を外部ネットワーク１２４を介してリモート管理するよう構成されているデバイスサブグループマネージャ４２０を実装する。ＵＥ１５０のサブグループは、一般的なタイプのデバイス、モデル、プラットフォーム、ハードウェア、セキュリティ属性、又は共通の使用法に基づくこともできる。デバイスサブグループマネージャ４２０は、ＵＥ１５０からＭＬＦ２１０にデバイス挙動情報を入力して、パターンデータベース４２２内のＵＥ１５０の母集団から異常デバイス使用データ及びその他のセキュリティイベントデータを確立することができる。パターンデータベース４２２を使用して、パターンを識別し、ＵＥ１５０の制御についての推奨事項を特定のタイプのセキュリティ脅威に適合させるためにＭＬＦ２１０を訓練してもよい。例えば、虚偽情報モジュール４１４は、ＭＬＦ２１０を使用して、パターンデータベース４２２のパターンに従ってＵＥ１５０に誤ったデータ３７７を提供することができる。さらに、適応型セキュリティシステム１７０は、管理システム１１０及び／又は１つのＵＥ１５０に代わって機能を実行するように適合されている。例えば、ローカルセキュリティマネージャは、ＵＥ１５０のユーザを認証することができ、かつ、特権を取り消し、アプリケーションを終了させるか、又はその他の方法でＵＥ１５０上の危殆化又は盗難された機能を無効にするコマンドを発行することができる。したがって、リモートサーバ１３０において、適応型セキュリティシステム１７０は、それがデータの中から探している特性若しくはパターン及び／又は、それが入力を分類して、それに応答する方法をＵＥ１５０のサブグループ特性に基づいて変更することができる。
【００２２】
図５は、例示的な実施形態における、適応型セキュリティシステム１７０によって強化された管理システム１１０のブロック図である。管理システム１１０は、例えば企業ネットワーク１０２などの１以上の内部ネットワーク及び／又は１以上の外部ネットワーク１２４を介してＵＥ１５０及び／又は管理システム１１０と通信するよう構成されているインタフェイスコンポーネント５０２を含む。管理システム１１０はまた、侵入イベントシーケンスを表示するよう構成されているグラフィカルユーザインタフェイス（ＧＵＩ）５０８を含む。管理システム１１０は、１以上のコントローラ５０４と、メモリ５０６とをさらに含む。コントローラ５０４は、内部回路、ロジック、ハードウェア等を表し、管理システム１１０の機能を提供する。メモリ５０６は、データ、命令、アプリケーション等のためのコンピュータ可読記憶媒体であり、コントローラ５０４によってアクセス可能である。管理システム１１０は、図５に具体的に示されていない様々な他のコンポーネントを含むことができる。
【００２３】
コントローラ５０４は、ＭＬＦ２１０及び、アクティビティ監視モジュール５６０と、異常検出モジュール５６１と、脅威応答モジュール５６２と、表示モジュール５６３とを含む１以上のモジュール５６０−５６３を含む適応型セキュリティシステム１７０を実装する。モジュール５６０−５６３の各々は、ハードウェア、ファームウェア及びソフトウェアの任意の組み合わせで実装されることが可能であり、かつ、ＭＬＦ２１０とインタフェイスするか又はそれに実装されて、セキュリティ脅威を検出し、それに応答するための機械学習技術を実行することができる。コントローラ５０４はまた、エッジデバイス１０８及びＵＥ１５０などの企業ネットワーク１０２内で作動するか又は企業ネットワーク１０２と対話するデバイス用の、システム全体のセキュリティポリシーを管理するグローバルデバイスマネージャ５２０を実装する。さらに管理システム１１０は、ＵＥ１５０のためのユーザ、デバイス及びパターン情報を維持するデバイスデータベース５２２を含むか又はそれに連結されていてもよく、該データベースは、認可されたＵＥ１５０又はリモートサーバ１３０によって分配／回収され得、企業ネットワーク環境１００のセキュリティをＵＥ１５０のエンドユーザ又は企業の特定のニーズに合わせるために機械学習に適用され得る。
【００２４】
管理システム１１０はまた、エッジデバイス１０８において検出された異常トラフィックをＭＬＦ２１０にルーティングして、トラフィックデータベース５３２におけるトラフィックパターンを確立するよう構成されているネットワークトラフィックマネージャ５３０を含む。エッジデバイス１０８から取得された異常なトラフィック情報及びＵＥ１５０から取得された異常デバイス使用情報を、管理システム１１０において集約して、企業の脆弱性を検出し、グローバルセキュリティマネージャ１１４のポリシーを改良するためにＭＬＦ２１０に適用することができる。管理システム１１０、リモートサーバ１３０及びＵＥ１５０の多数の構成が可能である。例えば、管理システム１１０及び／又はリモートサーバ（単数又は複数）１３０は、クラウド機能又は、同じ若しくは類似の一連の記述された関数を分散させて実行するサーバ／コンピュータのクラスタを独立して又は強調して実装することができる。さらに、モジュール（例えばＵＥのモジュール３６０−３６５、リモートサーバの虚偽情報モジュール４１４、及び管理システム１１０のモジュール５６０−５６３）は、様々な動作を実行するものとして説明されているが、このようなモジュールは単なる例であり、後述のように、同じ又は類似の機能がより多数又はより少数のモジュールによって実行されてもよく、様々なプラットフォーム（例えばピアＵＥ１５０、リモートサーバ１３０、管理システム１１０等）上で類似の機能を実行するために実装されてもよい。
【００２５】
図６は、例示的な実施形態における、セキュリティ脅威を検出して、それに応答する方法を示すフローチャートである。方法６００は、図１の企業ネットワーク環境１００に関して記載されている。とはいえ、当業者であれば、本明細書に記載の方法が、図示されていない他のデバイス又はシステムによって実行されてもよいことを認識するであろう。方法６００のステップは、１以上のＵＥ１５０、１以上のリモートサーバ１３０、管理システム１１０、又はこれらのいくつかの組み合わせによって実行されてもよい。本明細書に記載の方法のステップは、網羅的なものではなく、図示していない他のステップを含んでもよい。これらのステップはまた、別の順序で実施することも可能である。
【００２６】
最初に、管理システム１１０は、そのドメイン下のリモートサーバ１３０及びＵＥ１５０に配布するセキュリティポリシーを定義することができる。管理システム１１０のセキュリティ担当者又はＵＥ１５０のユーザは、ＵＥ１５０、ユーザ、脅威のタイプ、マシン応答等のうちの特定の１つ又はグループを対象とするカスタムセキュリティポリシー提供することができる。
【００２７】
ステップ６０２において、プロセッサ（例えばＵＥ１５０のプロセッサ３０２、リモートサーバ１３０のコントローラ４０４、及び／又は管理システム１１０のコントローラ５０４）は、ＭＬＦ２１０を実装する。すなわち、ＭＬＦ２１０を使用して、本明細書に記載のステップ／フローチャートのいずれかの機械学習技術を実行することができる。本明細書におけるフローチャートのステップは通常、適応型セキュリティシステム１７０のことを指すが、適応型セキュリティシステム１７０及びＭＬＦ２１０は、ＵＥ１５０、リモートサーバ１３０及び／又は管理システム１１０において様々な組み合わせでアクションを実行することができる。すなわち、機械学習は、方法の各ステップで適用され、ＵＥ１５０、リモートサーバ１３０及び／又は管理システム１１０によって、以下でさらに詳細に説明する様々な組み合わせで実行することができる。
【００２８】
ＭＬＦ２１０は、異常検出、単純ベイズ分類器、サポートベクターマシン、決定木の学習、ニューラルネットワーク学習、強化学習等を含む、任意の数の適切な機械学習プロセス、アルゴリズム又は技術を実装することができる。機械学習プロセスは、設計により機械学習パラメータ（例えばサポートベクターマシンのカーネルタイプ、決定木の木の数等）で調整されてもよい。ＭＬＦ２１０は、パターン、相関、特徴、統計、予測又は分類を決定するために入力値を変換することができる。
【００２９】
ステップ６０４において、適応型セキュリティシステム１７０は、ＵＥ１５０とのユーザアクションを経時的に監視して、使用プロファイルを確立する。ＵＥ１５０において、アクティビティ監視モジュール２６０は、ＵＥ１５０を監視し、メモリ３０６にデバイス使用データ３７４を記録することができる。例えば、ＵＥ１５０は、ユーザの挙動（例えばキーストローク、ジェスチャ、スピーチ、動き、位置等）、システム動作（例えば通知アラート、システムリソースに対するアプリケーション要求、プロセッサ割り込み等）、ユーザ１５２の個人情報（例えば連絡先情報、カレンダー情報など）、他のソースから受信されたコンテンツ（例えば電話、ダウンロード、ウェブサイトアクセス等）及び／又はＵＥ１５０に格納されたコンテンツ（例えばマイクロフォン３３４から取り込まれたオーディオデータ、カメラ３３２から取り込まれた画像データ又は動画データ）を監視及び／又は記録することができる。
【００３０】
報告モジュール３６５は、リモートサーバ１３０及び／又は管理システム１１０によってリモートでトリガーされたことに応答して、及び／又は企業ネットワーク環境１００で検出されたイベントに応答してトリガーされたことに応答して、特定の間隔でリモートサーバ１３０及び／又は管理システム１１０にデバイス使用データ３７４を送信することができる。  ＵＥ１５０に関連する使用履歴パターンは、ＵＥ１５０、リモートサーバ１３０及び／又は管理システム１１０．に格納することができる。
【００３１】
さらに、ＵＥ１５０は、ＵＥ１５０の使用に関するデータを記録するようにＵＥ１５０をトリガーする、予め定義された特性及び／又は学習された特性を（例えばメモリ３０６に）格納するか、又は（例えば管理システム１１０のデバイスデータベース内で）それらに関連付けられ得る。すなわち、予め定義された特性及び／又は学習された特性は、ＵＥ１５０が異常使用される可能性のあるイベント、データのタイプ、位置又は特定の時点の組み合わせを、デバイス使用データの正確な監視及び／又は記録のために識別することができる。例示的なトリガーは、（例えば予定表情報又は外部データソースから得られた既知の又は予想される位置に関する）ＵＥ１５０の移動位置又は方向、（例えばユーザが許可される期間又は作業プロジェクトに関する）ＵＥ１５０の特定のデータ又は機能を使用するためのユーザ１５２の権限、又は（例えば同様の期間、時間などの間に確立された挙動パターンと異なる、超過した閾値に関する）一定期間のユーザ１５２の挙動を含む。このようなトリガーポリシー情報は、管理システム１１０及び／又はリモートサーバ１３０によってＵＥ１５０に提供されてもよい。
【００３２】
ステップ６０６において、適応型セキュリティシステム１７０は、使用プロファイルの不一致に基づいてＵＥ１５０の異常使用を検出する。異常使用を検出するために、ＵＥ１５０、リモートサーバ１３０及び／又は管理システム１１０のいずれかのＭＬＦ２１０によって異常使用を分析することができる。分析は、リアルタイムで行われてもよいし、後の時点（例えば、ＵＥ１５０が範囲内に戻った後、又は互換性のあるデバイス／システム等に再接続された後、予め定義された長さの時間）で行われてもよい。上述したように、ＭＬＦ２１０は、予め定義された命令なしで、時間とともに進化／アップデートすることができる。したがって、異常使用の検出は、自身のデバイスシグネチャ又はＵＥ１５０に関連付けられている使用プロファイルとの関係で、ＵＥ１５０に特有である。
【００３３】
ステップ６０８において、適応型セキュリティシステム１７０は、異常使用がセキュリティ脅威を表すものであるかどうかを判定する。適応型セキュリティシステム１７０は、ＭＬＦ２１０の出力からサイバー脅威の特性を決定することができる。すなわち、異常使用情報を利用して１つ以上のＭＬＦ２１０を時間をかけて訓練した後、出力される機械学習結果は、例えばサイバー脅威のタイプを分類し、将来のサイバー脅迫アクション（cyber threat action）の可能性を予測し、又はデータの閾値変化率がＵＥ１５０の特定のタイプのセキュリティ脆弱性と相関することを決定するために使用することができる。いくつかの実施形態では、ＭＬＦ２１０の出力は、攻撃者によって使用される戦術、技術又は手順などの異常使用に関係する、これまでには未確認の詳細データを予測又は公開することができる。さらに、ＭＬＦ２１０は、攻撃を編成するために使用されるサーバのインターネットプロトコル（ＩＰ）アドレス又は攻撃に使用されるファイルのハッシュ値若しくはレジストリキーなど、サイバー攻撃の結果として残されるインジケータ又はデータリソースを出力、識別又は予測することができる。
【００３４】
ステップ６１０において、適応型セキュリティシステム１７０は、１以上の自動アクションを実行してセキュリティ脅威に応答するようにＵＥ１５０へ命令する。すなわち、脅威応答モジュール３６２は、ＭＬＦ２１０からの出力を介して実行する１以上のアクションを選択することができる。それに代えて又はそれに加えて、ＵＥ１５０は、ＭＬＦ２１０からの出力、又はリモートサーバ１３０及び／又は管理システム１１０からの命令を、自動的に実行可能な命令として受け取ることができる。自動アクションについての詳細は、後述する。
【００３５】
図７−１０は、例示的な実施形態における、セキュリティ脅威に自動的に応答するための方法を示すフローチャートである。この方法は、図１の企業ネットワーク環境１００に関して記載されている。とはいえ、当業者であれば、本明細書に記載の方法が、図示されていない他のデバイス又はシステムによって実行されてもよいことを認識するであろう。該方法のステップは、１以上のＵＥ１５０、１以上のリモートサーバ１３０、管理システム１１０、又はこれらのいくつかの組み合わせによって実行されてもよい。本明細書に記載の方法のステップは、網羅的なものではなく、図示していない他のステップを含んでもよい。これらのステップはまた、別の順序で実施することも可能である。
【００３６】
図７は、セキュリティ脅威に応答するために実行する自動アクションを決定するための方法７００を示す。方法７００のステップは、上述のステップ６１０の一部として実行されてもよい。ステップ７０２において、適応型セキュリティシステム１７０は、セキュリティ脅威を分類する。セキュリティ脅威の分類により、フォレンジックアクションプラン７０４、防御的アクションプラン７０６及び／又は攻撃的アクションプラン７０８の一部として、１つ又は一連のアクションを実行するためにＵＥ１５０をトリガーすることができる。例えば、特定の時刻の、特定のデバイス／ユーザ／作業サイトに対するか又は特定のタイプの疑わしいイベントの場所（locus）は、特定の一連のアクションをトリガーする可能性がある。さらに、適応型セキュリティシステム１７０のＭＬＦ２１０によって決定されたアクションは、特定のＵＥ１５０、そのパラメータ、セキュリティ設定、学習された特性等に固有のものであってもよい。
【００３７】
フォレンジックアクションプラン７０４には、例えば特定のアプリケーション、ファイル又はハードウェアコンポーネント等、ＵＥ１５０のターゲットリソースを監視すること、及び／又は予め定義されたか又は学習された特性を使用してＵＥ１５０を認証することを含めることができる。防御的アクションプラン７０６には、機密データ又はファイルを隠すこと、アプリケーション又はユーザのアクセス又は許可を制限すること、及び進行中の攻撃の追加情報を収集して攻撃者を識別すること又は攻撃者の識別プロファイルを確立することを含めることできる。攻撃的アクションプラン７０８には、機密データ又はファイルを破壊すること、ファイルの機密データへのアクセス要求に応答して虚偽情報又は誤ったデータセットを提供すること、ホットスポットを使用して無線ネットワークを偽装し、範囲内のデバイスからデータをマイニングすること、無線及び携帯電話の信号を妨害すること、並びに進行中の攻撃（例えばキーストローク、カメラ画像／動画、マイクロフォン・オーディオ等をログする）についてのより大量のデータをマイニングできるようにＵＥ１５０のパフォーマンスを制限するか又は能力を限定することを含めることができる。
【００３８】
図８は、例示的なフォレンジックアクションプラン７０４を実施するための方法８００を示す。ステップ８０２において、適応型セキュリティシステム１７０は、ＵＥ１５０がセキュリティ脅威によって危殆化されたことを検出する。管理システム１１０は、ＵＥ１５０自体のＭＬＦ２１０を介して、あるいはＵＥ１５０のＭＬＦ２１０及び／又はリモートサーバ１３０から中継されたメッセージに応じて、ＵＥ１５０がセキュリティ脅威によって危殆化されたことを検出することができる。ステップ８０４において、適応型セキュリティシステム１７０は、一定期間の間、企業ネットワーク１０２へのＵＥ１５０のアクセスを無効にすることを延期する。ステップ８０６において、適応型セキュリティシステム１７０は、セキュリティ脅威の挙動を記録するようにユーザデバイスへ命令する。ステップ８０８において、ＵＥ１５０は、セキュリティ脅威の挙動を管理システム１１０に報告する。したがって、ＵＥ１５０が危殆化又は盗難された場合、管理システム１１０は、ＵＥ１５０を使用して、その攻撃者を企業の一部から除外せずに、攻撃者に関する情報を収集することができる。
【００３９】
ＵＥ１５０は、攻撃者の挙動（例えばキーストローク、ジェスチャ、スピーチ、動き、位置等）、システム動作（例えば通知アラート、システムリソースに対するアプリケーション要求、プロセッサ割り込み等）、個人情報のリソース（例えば連絡先情報、カレンダー情報など）、他のソースから受信されたコンテンツ（例えば電話、ダウンロード、ウェブサイトアクセス等）及び／又はＵＥ１５０に格納されたコンテンツ（例えばマイクロフォン３３４から取り込まれたオーディオデータ、カメラ３３２から取り込まれた画像データ又は動画データ等）を監視及び／又は記録することができる。一実施形態では、適応型セキュリティシステム１７０は、ハードウェアコンポーネント３３０（例えばマイクロフォン３３４、カメラ３３２、ネットワークコンポーネント３４０の１つ等）のうちの少なくとも１つをアクティブにするように、かつ、ハードウェアコンポーネント３３０を監視することによってセキュリティ脅威の挙動を記録するようにＵＥ１５０へ命令する。管理システム１１０は、以下でさらに詳細に論じるように、セキュリティ脅威の挙動を受信及び分析し、自身の管理下にあるＵＥ１５０向けの攻撃パターンをプロファイルすることができる。
【００４０】
図９は、例示的な攻撃的アクションプラン７０６を実施するための方法９００を示す。ステップ９０２において、適応型セキュリティシステム１７０は、ＵＥ１５０がセキュリティ脅威によって危殆化されたことを検出する。ステップ９０４において、適応型セキュリティシステム１７０は、ＵＥ１５０を介してアクセス可能な機密情報を識別する。例えば、機密情報を識別するルール又はポリシー情報は、管理システム１１０からＵＥ１５０に提供され、保護されたデータ３７３としてＵＥ１５０のメモリ３０６に格納され得る。ステップ９０６において、適応型セキュリティシステム１７０は、セキュリティ脅威の特性に基づいてＵＥ１５０が提供する誤ったデータセットを識別する。例えば、ＵＥ１５０のハニーポットモジュール３６４及び／又はリモートサーバ１３０の虚偽情報モジュール４１４は、ＭＬＦ２１０と対話して、ＵＥ１５０のメモリ３０６への誤ったデータ３７７を生成、選択及び／又は提供することができる。その後、ステップ９０８において、ＵＥ１５０は、機密情報へのアクセス要求に応答して、誤ったデータ３７７を提供する。
【００４１】
図１０は、別の例示的な攻撃的アクションプラン７０８を実施するための方法１０００を示す。ステップ１００２において、適応型セキュリティシステム１７０は、ＵＥ１５０がセキュリティ脅威によって危殆化されたことを検出する。ステップ１００４において、適応型セキュリティシステム１７０は、近接デバイスを発見するためにハードウェアコンポーネントをアクティブにするようにＵＥ１５０へ命令する。例えば、ＭＬＦ２１０は、ＷｉＦｉ３４３をアクティブにし、ホットスポットを用いて無線ネットワークを偽装するか、又はＢｌｕｅｔｏｏｔｈ３４１をアクティブにして、近接デバイスを発見若しくは接続せよとのＵＥ１５０に対する命令を出力することができる。ステップ１００６において、アクティビティ監視モジュール３６０／５６０は、ハードウェアコンポーネントとのメッセージ交換に関係するデータを監視及び記録して、近接デバイスの情報を収集することができる。ステップ１００８において、ＵＥ１５０は、収集した近接デバイスの情報を管理システム１１０（例えばグローバルデバイスマネージャ５２０を含む管理サーバ）に報告する。
【００４２】
図１１は、例示的な実施形態における、異常がセキュリティ脅威を示すものかどうかを判定するための方法１１００を示すフローチャートである。ステップ１１０２において、適応型セキュリティシステム１７０は、ＵＥ１５０が異常使用に関連することを検出する。一実施形態では、異常使用の検出は、ＵＥ１５０、ＵＥ１５０のピア（例えば、管理システム１１０によって管理される別のユーザデバイス）、リモートサーバ１３０又は管理システム１１０で起こってもよい。
【００４３】
ステップ１１０４において、適応型セキュリティシステム１７０は、ＵＥ１５０の使用プロファイルを参照して、ＵＥ１５０に関連付けられているピアＵＥ１５０を識別する。ステップ１１０６において、適応型セキュリティシステム１７０は、ＵＥ１５０の使用を確認するために、他のデバイスとの自動通信交換を開始する。例えば、リモートサーバ１３０又は管理システム１１０は、ユーザのラップトップ（又はスマートウェアラブル、スマート自動車システムなど）に、そのマイクロフォンをオンにし、そのユーザの声を確認し、確認結果を報告するコマンドを発行することによって、モバイルデバイスのユーザを認証することができる。そうすることで、リモートサーバ１３０又は管理システム１１０は、学習されたデバイス使用によって確立された同一のユーザに関連付けられ、かつ／又は互いに共通接続されているか若しくはスピーカ３３３の音が聞こえる範囲内、カメラの３３２の視野内などの、複数のＵＥ１５０の学習された特性を（例えば、メモリ３０６内のデバイス使用データ３７４として、管理システム１１０のデバイスデータベース５２２内で）参照することができる。学習された特性はまた、リモートサーバ１３０又は管理システム１１０がＵＥ１５０のピアを介してＵＥ１５０の状態を正確に確認するためのタイムリーなコマンドを発行できるように、デバイス近接性に関連するタイミング情報も含むことができる。したがって、ＵＥ１５０は、セキュリティ脅威に対する正確な検出及び正確な応答を可能にするために、そのピアＵＥ１５０、リモートサーバ１３０及び／又は管理システム１１０と協働することができる。その後、ステップ１１０８において、適応型セキュリティシステム１７０は、異常使用を分類して、それがセキュリティ脅威であるかどうかを判定する。セキュリティ脅威である場合、リモートサーバ１３０又は管理システム１１０は、デバイスデータベース５２２を参照して、セキュリティ脅威に応答するアクション決定を通知し得る特性を識別することができる。セキュリティ脅威でない場合、適応型セキュリティシステム１７０は、使用を認可し、それをＭＬＦ２１０及び異常検出モジュール３６１／５６１を適合させるための訓練例として使用することができる。
【００４４】
図１２は、例示的な実施形態における、グラフィカルな侵入イベントシーケンスを導出するための方法１２００を示すフローチャートであるステップ１２０２において、管理システム１１０のネットワークトラフィックマネージャ５３０は、ネットワークインタフェイスを介してネットワークデバイス（例えばエッジデバイス１０８）によって受信された通信パターンを確立するためにＭＬＦ２１０と対話する。一実施形態では、エッジデバイス１０８のアクティビティ監視モジュール３６０は、パターンをネットワークトラフィックマネージャ５３０に検出／提供することができる。ステップ１２０４において、適応型セキュリティシステム１７０は、ＭＬＦ２１０を介して通信パターン内の侵入イベントシーケンスを検出する。例えば、ＭＬＦ２１０は、企業ネットワーク１０２のサーバにおけるパケット間のパケットヘッダ、フレーム、ＩＰアドレス、転送テーブル又は送信ルート（ホップ数）を分析し、（正常なアクティビティとして確立された）過去のアクティビティが現在のアクティビティと異なるかどうかを判定することができる。ステップ１２０６において、適応型セキュリティシステム１７０は、侵入イベントシーケンスのグラフィカルシミュレーションを生成する。例えば、表示モジュール５６３は、１つ又は複数のＵＥ１５０に対する侵入イベントシーケンスを導出し、侵入パターン、ユーザ、位置等によってイベントをフィルタリングし、ＧＵＩ５０８へ侵入イベントの段階的な再生を提供することができる。
【００４５】
図１３は、例示的な実施形態における、企業ネットワーク環境１００のセキュリティポリシーを更新するための方法を示すフローチャート１３００である。ステップ１３０２において、適応型セキュリティシステム１７０は、パターンを集約する。ネットワークトラフィックマネージャ５３０は、トラフィックパターンをトラフィックデータベース５３２に転送することができ、グローバルデバイスマネージャ５２０は、デバイス使用パターンをデバイスデータベース５２２に転送することができる。ステップ１３０４において、適応型セキュリティシステム１７０は、そのパターンに基づいて攻撃者プロファイルを構築する。その後ステップ１３０６において、適応型セキュリティシステム１７０は、企業ネットワーク１０２用のポリシールールを更新する。例えば、攻撃が企業ネットワーク１０２の特定のエリアを対象とすることが判明した場合、その特定のエリアは、アクティビティ監視モジュール５６０によるより集中的／頻繁な監視のための優先順位の高いチェックポイントになることができる。
【００４６】
さらに、本開示は、以下の条項による実施形態を含む。
条項１：  ネットワーク上の複数のユーザデバイスを管理するよう構成されているサーバ及び、ネットワーク上のサーバと通信するよう構成されているインタフェイスコンポーネントと、ユーザデバイスとのユーザインタラクションを経時的に監視して使用プロファイルを確立し、使用プロファイルの不一致に基づいてユーザデバイスの異常使用を検出し、異常使用がセキュリティ脅威を表すものであるかどうかを判定し、かつ、１以上の自動アクションを実行してセキュリティ脅威に応答するようにユーザデバイスに命令するよう構成されている機械学習機能を実装するプロセッサとを備えるユーザデバイスを備えるシステム。
条項２：  サーバが、ユーザデバイスがセキュリティ脅威によって危殆化されていることを検出すると、ユーザデバイスのネットワークへのアクセスを無効化することを一定期間先送りするよう構成されており、かつ、機械学習機能が、セキュリティ脅威の挙動を記録するようにユーザデバイスへ命令し、その期間中にインタフェイスコンポーネントを介してセキュリティ脅威の挙動をネットワーク上のサーバに報告するよう構成されている、条項１のシステム。
条項３：  セキュリティ脅威の挙動がキーストロークデータ、オーディオデータ、画像データ、アプリケーション使用データ又はファイルアクセス要求データのうちの１又は複数を含み、かつ、サーバが、セキュリティ脅威の挙動を分析して、ネットワーク上のユーザデバイスに向けた攻撃パターンをプロファイルするよう構成されている、条項２のシステム。
条項４：  機械学習機能が、セキュリティ脅威の挙動に関するデータ収集量を増やせるように、ユーザデバイスの能力を制限するよう構成されている、条項２のシステム。
条項５：  機械学習機能が、マイクロフォン、カメラ及びネットワークインタフェイスコンポーネントのうちの１つを含む少なくとも１つのハードウェアコンポーネントをアクティブにするようにユーザデバイスへ命令し、その少なくとも１つのハードウェアコンポーネントを監視することによってセキュリティ脅威の挙動を記録するよう構成されている、条項２のシステム。
条項６：  ユーザデバイスが無線インタフェイスコンポーネントを含み、かつ、機械学習機能が、無線インタフェイスコンポーネントをアクティブにして無線ネットワークを偽装するようにユーザデバイスへ命令し、その無線ネットワークに接続する無線デバイスの情報を収集し、その無線デバイスの情報をネットワーク上のサーバに報告するよう構成されている、条項１のシステム。
条項７：  機械学習機能が、セキュリティ脅威を受けやすいユーザデバイスのメモリに格納された機密情報を識別し、ユーザデバイスのメモリ内の、その機密情報に関連する誤ったデータセットを識別して、機密情報へのアクセス要求に応答して誤ったデータセットを提供するよう構成されている、条項１のシステム。
条項８：  セキュリティ脅威の挙動に関する情報を受信し、かつ、セキュリティ脅威の特性に基づいて誤ったデータセットをユーザデバイスに提供するよう構成されている機械学習システムを実装するリモートサーバをさらに含む、条項１のシステム。
条項９：  ユーザデバイスに関連付けられているサーバによって管理される別のユーザデバイスをさらに含み、かつ、機械学習機能が、その別のユーザデバイスに送信された、許可されたユーザがその別のユーザデバイスの近くにいることを確認せよという命令に基づいて、異常使用がセキュリティ脅威を表すかどうかを判定するよう構成されている、条項１のシステム。
条項１０：  プロセッサが、ユーザデバイスのオペレーティングシステムカーネルの上にある保護されたメモリ又はユーザデバイスのハードウェア抽象化層の１つの中に機械学習機能を実装する、条項１のシステム。
条項１１：  ユーザデバイスのインタフェイスコンポーネントを介して、ネットワーク上の複数のユーザデバイスを管理するサーバと通信すること；ユーザデバイスのプロセッサを備える機械学習機能を実装すること；ユーザデバイスとのユーザインタラクションを経時的に監視して使用プロファイルを確立すること；使用プロファイルの不一致に基づいてユーザデバイスの異常使用を検出すること；その異常使用がセキュリティ脅威を表すものであるかどうかを判定すること；及び機械学習機能から得られた１以上の自動アクションを実行してセキュリティ脅威に応答するようにユーザデバイスへ命令することを含む、方法。
条項１２：  ユーザデバイスがセキュリティ脅威に危殆化されているとの検出に応答して、サーバにおいて、ユーザデバイスのネットワークへのアクセスの無効化を一定期間先送りすること；セキュリティ脅威の挙動を記録するようにユーザデバイスへ命令すること：及びその期間中にインタフェイスコンポーネントを介してセキュリティ脅威の挙動をネットワーク上のサーバに報告することをさらに含む、条項１１の方法。
条項１３：  セキュリティ脅威の挙動を分析して、ネットワーク上のユーザデバイスに向けた攻撃パターンをプロファイルすることをさらに含み、かつ、セキュリティ脅威の挙動が、キーストロークデータ、オーディオデータ、画像データ、アプリケーション使用データ又はファイルアクセス要求データのうちの１つ以上を含む、条項１２の方法。
条項１４：  １以上の自動アクションが、セキュリティ脅威を受けやすいユーザデバイスのメモリに格納された機密情報を識別すること；ユーザデバイスのメモリ内の、その機密情報に関連する誤ったデータセットを識別すること；及び機密情報へのアクセス要求に応答して誤ったデータセットを提供することを含む、条項１２の方法。
条項１５：  プロセッサによって実行されるプログラム命令を具現化する非一過性のコンピュータ可読媒体であって、該命令が、プロセッサに対して、ユーザデバイスのインタフェイスコンポーネントを介して、ネットワーク上の複数のデバイスを管理するサーバと通信し；ユーザデバイスを備える機械学習機能を実装し；ユーザデバイスとのユーザインタラクションを経時的に監視して使用プロファイルを確立し；使用プロファイルの不一致に基づいてユーザデバイスの異常使用を検出し；その異常使用がセキュリティ脅威を表すものであるかどうかを判定し；かつ、機械学習機能から得られた１以上の自動アクションを実行してセキュリティ脅威に応答するように指示する、コンピュータ可読媒体。
条項１６：  該命令がプロセッサに対し、ユーザデバイスがセキュリティ脅威に危殆化されているとの検出に応答して、サーバにおいて、ユーザデバイスのネットワークへのアクセスの無効化を一定期間先送りし；セキュリティ脅威の挙動を記録するようにユーザデバイスに命令し：かつ、その期間中にインタフェイスコンポーネントを介してセキュリティ脅威の挙動をネットワーク上のサーバに報告するようにさらに指示する、条項１５のコンピュータ可読媒体。
条項１７：  該命令がプロセッサに対し、セキュリティ脅威の挙動を分析して、ネットワーク上のユーザデバイスに向けた攻撃パターンをプロファイルするようにさらに指示し、かつ、セキュリティ脅威の挙動が、キーストロークデータ、オーディオデータ、画像データ、アプリケーション使用データ又はファイルアクセス要求データのうちの１つ以上を含む、条項１６のコンピュータ可読媒体。
条項１８：  該命令がプロセッサに対し、セキュリティ脅威を受けやすいユーザデバイスのメモリに格納された機密情報を識別し；ユーザデバイスのメモリ内の、その機密情報に関連する誤ったデータセットを識別し；かつ、機密情報へのアクセス要求に応答して誤ったデータセットを提供するようにさらに指示する、条項１５のコンピュータ可読媒体。
条項１９：  該命令がプロセッサに対し、ユーザデバイスに関連付けられているサーバによって管理される別のユーザデバイスを識別し；かつ、別の使用デバイスに送信された、許可されたユーザがその別のユーザデバイスの近くにいることを確認せよという命令に基づいて、異常使用がセキュリティ脅威を表すものであるかどうかを判定するようにさらに指示する、条項１５のコンピュータ可読媒体。
条項２０：  ユーザデバイスの使用履歴に基づいてユーザデバイスの異常使用を検出し、異常使用の情報を機械学習機能に入力し、機械学習機能の出力からサイバー脅威の特性を決定し、サイバー脅威の特性に基づいてユーザデバイスが実行する自動アクションを決定し、かつ、自動アクションを実行してサイバー脅威に応答するようにユーザデバイスへ命令するよう構成されているプロセッサを備える装置。
条項２１：  サイバー脅威の特性がユーザデバイスを介してあるタイプのデータにアクセスする脅威を含むとの判定に応答して、プロセッサが、そのタイプのデータへのアクセス要求に応答するための虚偽情報を提供するようにユーザデバイスへ命令するよう構成されている、条項２０の装置。
条項２２：  サイバー脅威の特性がユーザデバイスのメモリ内に格納されているデータの情報漏洩に対する脅威を含むとの判定に応答して、プロセッサが、データを消去するようにユーザデバイスへ命令するよう構成されている、条項２０の装置。
条項２３：  プロセッサが、ユーザデバイスから離れたサーバにおいて機械学習機能を実装する、条項２０に記載の装置。
条項２４：  ユーザデバイスの使用履歴に基づいてデバイスの異常使用を検出すること；異常使用の情報を機械学習機能に入力すること；機械学習機能の出力からサイバー脅威の特性を決定すること；サイバー脅威の特性に基づいてデバイスが実行する自動アクションを決定すること；及び自動アクションを実行してサイバー脅威に応答するようにデバイスへ命令することを含む、方法。
条項２５：  機械学習機能により、ネットワークインタフェイスを介してデバイスによって受信された通信パターンを確立すること；機械学習機能により通信パターン内の侵入イベントシーケンスを検出すること；及び侵入イベントシーケンスのグラフィカルシミュレーションを生成することをさらに含む、条項２４の方法。
【００４７】
本明細書中で図示又は記載された種々の制御要素（例えば電気又は電子コンポーネント）のいずれもが、ハードウェア、プロセッサ実装ソフトウェア、プロセッサ実装ファームウェア、又はこれらの何らかの組み合わせとして実装され得る。例えば、ある要素は、専用ハードウェアとして実装され得る。専用ハードウェア要素は、「プロセッサ」、「コントローラ」、又は同様の何らかの専門用語で呼ばれてもよい。プロセッサによって提供される場合、機能は、単一の専用プロセッサによって、単一の共有プロセッサによって、又はいくつかが共有であり得る複数の個別のプロセッサによって提供され得る。さらに、「プロセッサ」又は「コントローラ」という用語の明示的な使用は、ソフトウェアを実行することができるハードウェアのみを表わすと解釈されるべきでなく、限定するものではないが、デジタル信号プロセッサ（ＤＳＰ）ハードウェア、ネットワークプロセッサ、特定用途向け集積回路（ＡＳＩＣ）又はその他の回路、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、ソフトウェア格納用の読み出し専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、不揮発性記憶装置、論理若しくは何らかの他の物理ハードウェアコンポーネント又はモジュールが黙示的に含まれてもよい。
【００４８】
また、制御要素は、プロセッサ又はコンピュータによって実行可能な命令として実装されて、その要素の機能を実行することができる。命令のいくつかの例は、ソフトウェア、プログラムコード、及びファームウェアである。命令は、プロセッサによって実行されると動作可能になって、その要素の機能を実行するようにプロセッサへ指示する。命令は、プロセッサが読むことができる記憶デバイスに格納され得る。記憶デバイスのいくつかの例は、デジタル若しくはソリッドステートメモリ、磁気ディスク及び磁気テープなどの磁気記憶媒体、ハードドライブ又は光学的に読み取り可能なデジタルデータ記憶媒体である。
【００４９】
特定の実施形態が本明細書に記載されているが、本開示の範囲は、これらの特定の実施形態に限定されない。本開示の範囲は、以下の特許請求の範囲及びその均等物によって定められる。
【図１】
2019032828.tif 000003
【図２】
2019032828.tif 000004
【図３】
2019032828.tif 000005
【図４】
2019032828.tif 000006
【図５】
2019032828.tif 000007
【図６】
2019032828.tif 000008
【図７】
2019032828.tif 000009
【図８】
2019032828.tif 000010
【図９】
2019032828.tif 000011
【図１０】
2019032828.tif 000012
【図１１】
2019032828.tif 000013
【図１２】
2019032828.tif 000014
【図１３】
2019032828.tif 000015
【外国語明細書】
2019032828000001.pdf
2019032828000002.pdf
2019032828000003.pdf
2019032828000004.pdf