(57)【要約】【課題】例示的な実施形態は、検出された脅威を解決するための方法を提供する。【解決手段】この方法は、要求側から要求を受信して受信済み要求を形成し、受信済み要求に関連した統計データを抽出して抽出統計データを形成し、抽出統計データを用いて受信済み要求のためのルール・バリデーションを実行し、要求側が脅威であるか否かを判定する。要求側が脅威であるという判定に応じて、上昇増分を用いて要求側を上昇させ、上昇増分の使用が、次のユーザ・レベルへの移動およびユーザ・レベルへの直接エントリのうち１つによるユーザ・アイデンティティおよびバリデーション要件の増大を更に含む。【選択図】図２
2013503377.tif 000002
【特許請求の範囲】
【請求項１】
検出された脅威を解決するための方法であって、
要求側から要求を受信して受信済み要求を形成することと、
前記受信済み要求に関連した統計データを抽出して抽出統計データを形成することと、
前記抽出統計データを用いて前記受信済み要求のためのルール・バリデーションを実行することと、
前記要求側が脅威であるか否かを判定することと、
前記要求側が脅威であるという判定に応じて、上昇増分を用いて前記要求側を上昇させることと、を含み、前記上昇増分の使用が、次のユーザ・レベルへの移動およびユーザ・レベルへの直接エントリのうち１つによるユーザ・アイデンティティおよびバリデーション要件の増大を更に含む、方法。
【請求項２】
前記受信済み要求に関連した統計データ抽出が、
セッション情報を追跡して追跡セッション情報を形成することと、
前記追跡セッション情報をアクティブ・セッションおよび識別子データベースに記憶することと、
を更に含む、請求項１に記載の方法。
【請求項３】
ルール・バリデーションの実行が、
上昇増分に関連したルールを選択して選択ルールを形成することと、
前記選択ルールを前記受信済み要求に適用することと、
を更に含む、請求項１または２に記載の方法。
【請求項４】
前記要求が脅威であるか否かの判定が、
前記追跡セッション情報を、上昇増分のユーザ・レベルに関連した既定基準と比較して、比較を形成することと、
前記比較が既定閾値を超えているか否かを判定することと、
を更に含む、請求項２に記載の方法。
【請求項５】
前記要求の上昇が、
前記要求が脅威であるか否かを判定することと、
前記要求が脅威であるという判定に応じて、前記要求側に検証を求めるプロンプトを表示することと、
ライブ・エージェントを用いるか否かを判定することと、
前記ライブ・エージェントを用いるという判定に応じて前記ライブ・エージェントを参加させることと、
前記検証が成功したか否かを判定することと、
前記検証が成功しなかったという判定に応じて前記要求を阻止することと、
を更に含む、前出の請求項のいずれかに記載の方法。
【請求項６】
前記ライブ・エージェントを用いないという判定に応じて、
前記要求側に必要情報を求めるプロンプトを表示し、
前記検証が成功したか否かを判定し、
前記検証が成功したという判定に応じて前記要求を再評価する、
請求項５に記載の方法。
【請求項７】
上昇増分を用いて前記要求側を上昇させることが、
前記上昇増分の選択された１つを用いて上昇要求を生成することと、
前記上昇要求が成功したか否かを判定することと、
前記上昇要求が成功したという判定に応じて前記要求を再評価することと、
前記上昇要求が成功しなかったという判定に応じて前記要求を阻止することと、
を更に含む、前出の請求項のいずれかに記載の方法。
【請求項８】
検出された脅威を解決するためのコンピュータ・プログラムであって、
記憶されたコンピュータ実行可能プログラム・コードを含むコンピュータ記録可能媒体であって、前記コンピュータ実行可能プログラム・コードが、
要求側から要求を受信して受信済み要求を形成するためのコンピュータ実行可能プログラム・コードと、
前記受信済み要求に関連した統計データを抽出して抽出統計データを形成するためのコンピュータ実行可能プログラム・コードと、
前記抽出統計データを用いて前記受信済み要求のためのルール・バリデーションを実行するためのコンピュータ実行可能プログラム・コードと、
前記要求側が脅威であるか否かを判定するためのコンピュータ実行可能プログラム・コードと、
前記要求側が脅威であるという判定に応じて、上昇増分を用いて前記要求側を上昇させるためのコンピュータ実行可能プログラム・コードと、を含み、上昇増分を用いるための前記コンピュータ実行可能プログラム・コードが、次のユーザ・レベルへの移動およびユーザ・レベルへの直接エントリのうち１つによりユーザ・アイデンティティおよびバリデーション要件を増大させるためのコンピュータ実行可能プログラム・コードを更に含むコンピュータ記録可能媒体を含む、コンピュータ・プログラム。
【請求項９】
前記受信済み要求に関連した統計データを抽出するための前記コンピュータ実行可能プログラム・コードが、
セッション情報を追跡して追跡セッション情報を形成するためのコンピュータ実行可能プログラム・コードと、
前記追跡セッション情報をアクティブ・セッションおよび識別子データベースに記憶するためのコンピュータ実行可能プログラム・コードと、
を更に含む、請求項８に記載のコンピュータ・プログラム。
【請求項１０】
ルール・バリデーションを実行するための前記コンピュータ実行可能プログラム・コードが、
上昇増分に関連したルールを選択して選択ルールを形成するためのコンピュータ実行可能プログラム・コードと、
前記選択ルールを前記受信済み要求に適用するためのコンピュータ実行可能プログラム・コードと、
を更に含む、請求項８または９に記載のコンピュータ・プログラム。
【請求項１１】
前記要求が脅威であるか否かを判定するための前記コンピュータ実行可能プログラム・コードが、
前記追跡セッション情報を、上昇増分のユーザ・レベルに関連した既定基準と比較して、比較を形成するためのコンピュータ実行可能プログラム・コードと、
前記比較が既定閾値を超えているか否かを判定するためのコンピュータ実行可能プログラム・コードと、
を更に含む、請求項９に記載のコンピュータ・プログラム。
【請求項１２】
前記要求を上昇させるための前記コンピュータ実行可能プログラム・コードが、
前記要求が脅威であるか否かを判定するためのコンピュータ実行可能プログラム・コードと、
前記要求が脅威であるという判定に応じて、前記要求側に検証を求めるプロンプトを表示するためのコンピュータ実行可能プログラム・コードと、
ライブ・エージェントを用いるか否かを判定するためのコンピュータ実行可能プログラム・コードと、
前記ライブ・エージェントを用いるという判定に応じて前記ライブ・エージェントを参加させるためのコンピュータ実行可能プログラム・コードと、
前記検証が成功したか否かを判定するためのコンピュータ実行可能プログラム・コードと、
前記検証が成功しなかったという判定に応じて前記要求を阻止するためのコンピュータ実行可能プログラム・コードと、
を更に含む、請求項８から１１のいずれかに記載のコンピュータ・プログラム。
【請求項１３】
前記ライブ・エージェントを用いないという判定に応じて、前記要求側に必要情報を求めるプロンプトを表示するためのコンピュータ実行可能プログラム・コードと、
前記検証が成功したか否かを判定するためのコンピュータ実行可能プログラム・コードと、
前記検証が成功したという判定に応じて前記要求を再評価するためのコンピュータ実行可能プログラム・コードと、
を更に含む、請求項１２に記載のコンピュータ・プログラム。
【請求項１４】
上昇増分を用いて前記要求側を上昇させるためのコンピュータ実行可能プログラム・コードが、
前記上昇増分の選択された１つを用いて上昇要求を生成するためのコンピュータ実行可能プログラム・コードと、
前記上昇要求が成功したか否かを判定するためのコンピュータ実行可能プログラム・コードと、
前記上昇要求が成功したという判定に応じて前記要求を再評価するためのコンピュータ実行可能プログラム・コードと、
前記上昇要求が成功しなかったという判定に応じて前記要求を阻止するためのコンピュータ実行可能プログラム・コードと、
を更に含む、請求項８から１３のいずれかに記載のコンピュータ・プログラム。
【請求項１５】
検出された脅威を解決するための装置であって、
要求側から要求を受信して受信済み要求を形成するための手段と、
前記受信済み要求に関連した統計データを抽出して抽出統計データを形成するための手段と、
前記抽出統計データを用いて前記受信済み要求のためのルール・バリデーションを実行するための手段と、
前記要求側が脅威であるか否かを判定するための手段と、
前記要求側が脅威であるという判定に応じて、次のユーザ・レベルへの移動およびユーザ・レベルへの直接エントリのうち１つによるユーザ・アイデンティティおよびバリデーション要件の増大によって、上昇増分を用いて前記要求側を上昇させるための手段と、
を含む、装置。
【請求項１６】
前記抽出手段が、
セッション情報を追跡して追跡セッション情報を形成するための手段と、
前記追跡セッション情報をアクティブ・セッションおよび識別子データベースに記憶するための手段と、
を更に含む、請求項１５に記載の装置。
【請求項１７】
前記実行手段が、
上昇増分に関連したルールを選択して選択ルールを形成するための手段と、
前記選択ルールを前記受信済み要求に適用するための手段と、
を更に含む、請求項１５または１６に記載の装置。
【請求項１８】
前記判定手段が、
前記追跡セッション情報を、上昇増分のユーザ・レベルに関連した既定基準と比較して、比較を形成するための手段と、
前記比較が既定閾値を超えているか否かを判定するための手段と、
を更に含む、請求項１６に記載の装置。
【請求項１９】
前記上昇手段が、
前記要求が脅威であるか否かを判定するための手段と、
前記要求が脅威であるという判定に応じて、前記要求側に検証を求めるプロンプトを表示するための手段と、
ライブ・エージェントを用いるか否かを判定するための手段と、
前記ライブ・エージェントを用いるという判定に応じて前記ライブ・エージェントを参加させるための手段と、
前記検証が成功したか否かを判定するための手段と、
前記検証が成功しなかったという判定に応じて前記要求を阻止するための手段と、
を更に含む、請求項１５から１８のいずれかに記載の装置。
【請求項２０】
前記ライブ・エージェントを用いないという判定に応じて、
前記要求側に必要情報を求めるプロンプトを表示するための手段と、
前記検証が成功したか否かを判定するための手段と、
前記検証が成功したという判定に応じて前記要求を再評価するための手段と、
を更に含む、請求項１９に記載の装置。
【請求項２１】
前記上昇手段が、
前記上昇増分の選択された１つを用いて上昇要求を生成するための手段と、
前記上昇要求が成功したか否かを判定するための手段と、
前記上昇要求が成功したという判定に応じて前記要求を再評価するための手段と、
前記上昇要求が成功しなかったという判定に応じて前記要求を阻止するための手段と、
を更に含む、請求項１５から２０のいずれかに記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、一般に、データ処理システムにおける脅威検出に関する。
【背景技術】
【０００２】
ウェブ・アプリケーションは、故意または偶然によって誤用および攻撃にさらされることがある。例えばサービス不能（Ｄｏｓ：denial of service）、暴力、または非有界条件（unbounded condition）の利用のようなアプリケーション・レベルの攻撃は、アプリケーションの可用性および完全性を限定することによって業務に影響を及ぼす。問題を特定し解決策を実施することは極めて時間がかかる場合がある。問題が存在している間、アプリケーションは利用不可能なままであり、通常これは収入の喪失を招く。一方、アプリケーションに対するアクセスを限定することは効果的でない。なぜなら、罪を犯すエージェントは容易に位置を変えることができ、ネットワーク・レイヤにおいて所定位置にあるいかなるブロックも、場合によってはアプリケーションの有効ユーザ・コミュニティの大部分に影響を及ぼし得るからである。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
不審なアクティビティが発生した場合、典型的な解決策はネットワーク・レイヤを対象とする。しかしながら前述のように、アプリケーション・レベルの攻撃は故意でないことも多い。多くの場合、ロボットまたは単にボットとしても知られるウェブ・クローラ、ビジネス・パートナー、または異常であるが悪質でない挙動に関与するユーザが、アプリケーション・レベルの攻撃を引き起こす。攻撃者は自分に関するデータを進んで開示することが多く、こういった情報を多く入手することは問題解決において極めて重要である。
【課題を解決するための手段】
【０００４】
一実施形態によれば、検出された脅威を解決するためのコンピュータ実施方法が提供される。コンピュータ実施プロセスは、要求側から要求を受信して受信済み要求を形成し、受信済み要求に関連した統計データを抽出して抽出統計データを形成し、抽出統計データを用いて受信済み要求のためのルール・バリデーションを実行し、要求側が脅威であるか否かを判定する。要求側が脅威であるという判定に応じて、上昇増分を用いて要求側を上昇させ、上昇増分の使用が、次のユーザ・レベルへの移動およびユーザ・レベルへの直接エントリのうち１つによるユーザ・アイデンティティおよびバリデーション要件の増大を更に含む。
【０００５】
別の実施形態によれば、検出された脅威を解決するためのコンピュータ・プログラムが提供される。コンピュータ・プログラムは、記憶されたコンピュータ実行可能プログラム・コードを含むコンピュータ記録可能媒体を含む。コンピュータ実行可能プログラム・コードは、要求側から要求を受信して受信済み要求を形成するためのコンピュータ実行可能プログラム・コードと、受信済み要求に関連した統計データを抽出して抽出統計データを形成するためのコンピュータ実行可能プログラム・コードと、抽出統計データを用いて受信済み要求のためのルール・バリデーションを実行するためのコンピュータ実行可能プログラム・コードと、要求側が脅威であるか否かを判定するためのコンピュータ実行可能プログラム・コードと、要求側が脅威であるという判定に応じて、上昇増分を用いて要求側を上昇させるためのコンピュータ実行可能プログラム・コードと、を含み、上昇増分を用いるためのコンピュータ実行可能プログラム・コードが、次のユーザ・レベルへの移動およびユーザ・レベルへの直接エントリのうち１つによりユーザ・アイデンティティおよびバリデーション要件を増大させるためのコンピュータ実行可能プログラム・コードを更に含む。
【０００６】
別の実施形態によれば、検出された脅威を解決するための装置が提供される。この装置は、通信構造と、通信構造に接続された、コンピュータ実行可能プログラム・コードを含むメモリと、通信構造に接続された通信ユニットと、通信構造に接続された入出力ユニットと、通信構造に接続されたディスプレイと、通信構造に接続されたプロセッサ・ユニットと、を含む。プロセッサ・ユニットがコンピュータ実行可能プログラム・コードを実行して、要求側から要求を受信して受信済み要求を形成することと、受信済み要求に関連した統計データを抽出して抽出統計データを形成することと、抽出統計データを用いて受信済み要求のためのルール・バリデーションを実行することと、要求側が脅威であるか否かを判定することと、要求側が脅威であるという判定に応じて上昇増分を用いて要求側を上昇させることと、を装置に指示する。上昇増分を用いることは、次のユーザ・レベルへの移動およびユーザ・レベルへの直接エントリのうち１つによりユーザ・アイデンティティおよびバリデーション要件を増大させることを更に含む。
【０００７】
本開示の更に完全な理解を得るため、添付図面および詳細な説明と組み合わせて、以下の簡単な説明を参照する。図面において同様の参照番号は同様の部分を表す。
【図面の簡単な説明】
【０００８】
【図１】本開示の様々な実施形態のために動作可能である例示的なデータ処理システムのブロック図である。
【図２】本開示の様々な実施形態に従った、異常に基づくアプリケーション侵入検出システムのフローチャートである。
【図３】本開示の一実施形態に従った、図２の異常に基づくアプリケーション侵入検出システムと共に用いられる上昇増分およびユーザ・レベルのブロック図である。
【図４】本開示の一実施形態に従った、図３のユーザ・レベルを用いた阻止プロセスのフローチャートである。
【図５】本開示の一実施形態に従った、図４の上昇プロセスのフローチャートである。
【図６】本開示の一実施形態に従った、図５の検証プロセスのフローチャートである。
【発明を実施するための形態】
【０００９】
１つ以上の実施形態の例示的な実施について以下で述べるが、開示するシステムまたは方法あるいはその両方は、あらゆる数の技法を用いて実施することができる。本開示は、いかなる点においても、本明細書に図示し記載する例示的な設計および実施を含む、以下に述べる例示的な実施、図面、および技法に限定されるものではなく、均等物の全範囲に加えて添付の特許請求の範囲の範囲内において変更することができる。
【００１０】
当業者によって認められるように、本開示は、システム、方法、またはコンピュータ・プログラムとして具現化することができる。従って、本開示は、全体的にハードウェアの実施形態、全体的にソフトウェアの実施形態（ファームウェア、常駐ソフトウェア、マイクロコード等を含む）、または、ソフトウェアおよびハードウェアの態様を組み合わせた実施形態という形態を取ることができ、それらは全て本明細書において、「回路」、「モジュール」、または「システム」と一般的に称することができる。更に、本発明は、具現化されたコンピュータ使用可能プログラム・コードを有するいずれかの表現媒体においてタンジブルに具現化されたコンピュータ・プログラムの形態を取ることも可能である。
【００１１】
本開示の動作を実行するためのコンピュータ・プログラム・コードは、Java（ＴＭ）、Smalltalk、Ｃ＋＋等のオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語または同様のプログラミング言語等の従来の手順プログラミング言語を含む１つ以上のプログラミング言語のいずれかの組み合わせにおいて記述することができる。Javaおよび全てのJavaベースの商標およびロゴは、米国、他の国々、またはそれら双方におけるSun Microsystems, Inc.の商標である。プログラム・コードは、全体的にユーザのコンピュータ上で、部分的にユーザのコンピュータ上で、スタンドアロンのソフトウェア・パッケージとして、部分的にユーザのコンピュータ上でおよび部分的に遠隔コンピュータ上で、または全体的に遠隔コンピュータもしくはサーバ上で、実行することができる。後者の場合、遠隔コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ）またはワイド・エリア・ネットワーク（ＷＡＮ）を含むいずれかのタイプのネットワークを介してユーザのコンピュータに接続することができ、または、接続は、（例えばインターネット・サービス・プロバイダを用いてインターネットを介して）外部コンピュータに対して行うことができる。
【００１２】
本発明の実施形態に従った方法、装置、システム、およびコンピュータ・プログラムのフローチャート図またはブロック図あるいはその両方を参照して、本開示について以下に記載する。フローチャート図またはブロック図あるいはその両方の各ブロックおよびフローチャート図またはブロック図あるいはその両方におけるブロックの組み合わせは、コンピュータ・プログラム命令によって実施可能であることは理解されよう。
【００１３】
これらのコンピュータ・プログラム命令は、汎用コンピュータ、特殊目的コンピュータ、または他のプログラマブル・データ処理装置のプロセッサに提供されて機械を生成することができ、これによって、コンピュータまたは他のプログラマブル・データ処理装置のプロセッサによって実行される命令が、フローチャートまたはブロック図あるいはその両方のブロックまたは複数のブロックに規定された機能／行為を実施するための手段を生成するようになっている。また、これらのコンピュータ・プログラム命令はコンピュータ読み取り可能媒体に記憶することができ、これによって、コンピュータまたは他のプログラマブル・データ処理装置に特定の方法で機能するように指示することができ、これにより、コンピュータ読み取り可能媒体に記憶された命令が、フローチャートまたはブロック図あるいはその両方のブロックまたは複数のブロックに規定された機能／行為を実施する命令を含む製造品を生成するようになっている。
【００１４】
また、コンピュータ・プログラム命令を、コンピュータまたは他のプログラマブル・データ処理装置にロードして、そのコンピュータまたは他のプログラマブル装置上で一連の動作ステップを実行させてコンピュータ実施プロセスを生成することができ、これによって、コンピュータまたは他のプログラマブル装置上で実行する命令が、フローチャートまたはブロック図あるいはその両方のブロックまたは複数のブロックに規定された機能／行為を実施するためのプロセスを提供するようになっている。
【００１５】
ここで図１に移ると、本開示の様々な実施形態のために動作可能である例示的なデータ処理システムのブロック図が示されている。説明のためのこの例では、データ処理システム１００は通信構造１０２を含み、これが、プロセッサ・ユニット１０４、メモリ１０６、永久記憶装置１０８、通信ユニット１１０、入出力（Ｉ／Ｏ）ユニット１１２、およびディスプレイ１１４間の通信を提供する。
【００１６】
プロセッサ・ユニット１０４は、メモリ１０６にロードすることができるソフトウェアのための命令を実行するように機能する。プロセッサ・ユニット１０４は、個々の実施に応じて、１つ以上のプロセッサ・セットとすることができ、またはマルチプロセッサ・コアとすることができる。更に、プロセッサ・ユニット１０４は、単一チップ上でメイン・プロセッサが二次プロセッサと共に存在する１つ以上の異種プロセッサ・システムを用いて実施することができる。説明のための別の例として、プロセッサ・ユニット１０４は、同じタイプのプロセッサを多数含む対称マルチプロセッサ・システムとすることも可能である。
【００１７】
メモリ１０６および永久記憶装置１０８は記憶デバイス１１６の例である。記憶デバイスは、限定でない例として、データ、関数形態のプログラム・コード、または他の適切な情報あるいはそれら全て等の情報を、一時的もしくは永久的あるいはその両方で記憶することができるいずれかの１台のハードウェアである。これらの例において、メモリ１０６は、例えばランダム・アクセス・メモリまたは他のいずれかの適切な揮発性もしくは不揮発性記憶デバイスとすることができる。永久記憶装置１０８は、個々の実施に応じて様々な形態を取ることができる。例えば、永久記憶装置１０８は１つ以上のコンポーネントまたはデバイスを含むことができる。永久記憶装置１０８は、例えばハード・ドライブ、フラッシュ・メモリ、書き換え可能光ディスク、書き換え可能磁気テープ、または上述のものの何らかの組み合わせとすることができる。また、永久記憶装置１０８が用いる媒体は着脱可能なものとすることができる。例えば、永久記憶装置１０８のために着脱可能ハード・ドライブを使用可能である。
【００１８】
これらの例において、通信ユニット１１０は、他のデータ処理システムまたはデバイスとの通信を提供する。これらの例において、通信ユニット１１０はネットワーク・インタフェース・カードである。通信ユニット１１０は、物理通信リンクおよび無線通信リンクのいずれかまたは双方を用いて通信を提供することができる。
【００１９】
入出力ユニット１１２は、データ処理システム１００に接続することができる他のデバイスとの間でデータの入力および出力を可能とする。例えば入出力ユニット１１２は、キーボード、マウス、または他のいずれかの適切な入力デバイスあるいはそれら全てによるユーザ入力のための接続を提供することができる。更に、入出力ユニット１１２は出力をプリンタに送信することができる。ディスプレイ１１４は、ユーザに対して情報を表示するための機構を提供する。
【００２０】
記憶デバイス１１６には、オペレーティング・システム、アプリケーション、またはプログラムあるいはそれら全てのための命令を配することができる。記憶デバイス１１６は通信構造１０２を介してプロセッサ・ユニット１０４と通信状態にある。説明のためのこれらの例では、命令は関数形態で永久記憶装置１０８上に存在する。これらの命令は、プロセッサ・ユニット１０４によって実行するためメモリ１０６にロードすることができる。メモリ１０６等のメモリに配することができるコンピュータ実施命令を用いて、プロセッサ・ユニット１０４によって異なる実施形態のプロセスを実行することができる。
【００２１】
これらの命令は、プログラム・コード、コンピュータ使用可能プログラム・コード、またはコンピュータ読み取り可能プログラム・コードと称され、プロセッサ・ユニット１０４のプロセッサによって読み取って実行することができる。異なる実施形態におけるプログラム・コードは、メモリ１０６または永久記憶装置１０８等の異なる物理的またはタンジブルなコンピュータ読み取り可能媒体上に具現化することができる。
【００２２】
プログラム・コード１１８は、選択的に着脱可能であるコンピュータ読み取り可能媒体１２０上に関数形態で配され、プロセッサ・ユニット１０４によって実行するためにデータ処理システム１００にロードまたは転送することができる。これらの例において、プログラム・コード１１８およびコンピュータ読み取り可能媒体１２０はコンピュータ・プログラム１２２を形成する。一例において、コンピュータ読み取り可能媒体１２０は例えば光ディスクまたは磁気ディスク等のタンジブルな形態とすることができ、記憶デバイスに転送するために、永久記憶装置１０８の一部であるハード・ドライブ等、永久記憶装置１０８の一部であるドライブまたは他のデバイスに挿入または配置される。タンジブルな形態において、コンピュータ読み取り可能媒体１２０は、データ処理システム１００に接続されたハード・ドライブ、サム・ドライブ、またはフラッシュ・メモリ等の永久記憶装置の形態を取ることができる。また、コンピュータ読み取り可能媒体１２０のタンジブルな形態はコンピュータ記録可能記憶媒体とも称される。いくつかの例では、コンピュータ読み取り可能媒体１２０は着脱可能でない場合もある。
【００２３】
あるいは、プログラム・コード１１８は、通信ユニット１１０への通信リンクを介してまたは入出力ユニット１１２への接続を介してあるいはその両方で、コンピュータ読み取り可能媒体１２０からデータ処理システム１００に転送することができる。説明のための例において、通信リンクまたは接続あるいはその両方は物理的または無線とすることができる。また、コンピュータ読み取り可能媒体は、プログラム・コードを含む通信リンクまたは無線伝送等の非タンジブルな媒体の形態を取ることも可能である。
【００２４】
いくつかの説明のための例では、プログラム・コード１１８は、データ処理システム１００内で用いるために別のデバイスまたはデータ処理システムからネットワークを介して永久記憶装置１０８にダウンロードすることができる。例えば、サーバ・データ処理システムにおいてコンピュータ読み取り可能記憶媒体に記憶されたプログラム・コードを、サーバからネットワークを介してデータ処理システム１００にダウンロードすることができる。プログラム・コード１１８を提供するデータ処理システムは、サーバ・コンピュータ、クライアント・コンピュータ、またはプログラム・コード１１８を記憶し送信することができる他の何らかのデバイスとすることができる。
【００２５】
データ処理システム１００について例示した異なるコンポーネントは、異なる実施形態を実施することができる方法に対してアーキテクチャ上の限定を与えることを意図したものではない。データ処理システム１００について例示したものに追加したかまたはそれらを置換するコンポーネントを含むデータ処理システムにおいて、異なる例示的な実施形態を実施可能である。図１に示す他のコンポーネントは図示する説明のための例から変更することができる。プログラム・コードを実行可能であるいかなるハードウェア・デバイスまたはシステムを用いても、異なる実施形態を実施することができる。一例として、データ処理システムは、無機コンポーネントと統合した有機コンポーネントを含むことができ、または全体的に人間を除いた有機コンポーネントから構成することができ、あるいはその両方とすることができる。例えば、記憶デバイスは有機半導体から構成することができる。
【００２６】
別の例として、データ処理システム１００における記憶デバイスは、データを記憶することができるいずれかのハードウェア装置とすることができる。メモリ１０６、永久記憶装置１０８、およびコンピュータ読み取り可能媒体１２０は、タンジブルな形態の記憶デバイスの例である。
【００２７】
別の例においては、通信構造１０２を実施するためにバス・システムを用いることができ、これはシステム・バスまたは入出力バス等の１つ以上のバスから構成することができる。むろん、バス・システムは、このバス・システムに取り付けられた異なるコンポーネントまたはデバイス間でデータ転送を行うのに適したいずれかのタイプのアーキテクチャを用いて実施することができる。更に、通信ユニットは、モデムまたはネットワーク・アダプタ等、データを送受信するために用いられる１つ以上のデバイスを含むことができる。更に、メモリは、例えばメモリ１０６、または通信構造１０２に存在することができるインタフェースおよびメモリ・コントローラ・ハブで見られるもの等のキャッシュとすることができる。
【００２８】
例示的な実施形態によれば、検出された脅威を解決するためのコンピュータ実施プロセスが提示される。コンピュータ実施プロセスは、要求側から要求を受信して受信済み要求を形成し、受信済み要求に関連付けられた統計データを抽出して抽出統計データを形成し、抽出統計データを用いて受信済み要求のためのルール・バリデーションを実行し、要求側が脅威であるか否かを判定する。要求側が脅威であるという判定に応じて、上昇増分を用いて要求側を上昇させる。この上昇は、次のユーザ・レベルへの移動またはあるユーザ・レベルへの直接エントリを更に含む。
【００２９】
図１のデータ処理システム１００を一例として用いると、例示的な実施形態は、メモリ１０６に記憶されプロセッサ・ユニット１０４によって実行されるコンピュータ実施プロセスを提供し、例えば通信ユニット１１０または入出力ユニット１１２あるいはその両方を介して要求側から要求を受信して、受信済み要求を形成する。プロセッサ・ユニット１０４は、受信済み要求に関連付けられた統計データを抽出して抽出統計データを形成する。これは記憶デバイス１１６に記憶することができる。プロセッサ・ユニット１０４は、抽出統計データを用いて受信済み要求のためのルール・バリデーションを実行し、要求側が脅威であるか否かを判定する。要求側が脅威であるという判定に応じて、プロセッサ・ユニット１０４は上昇増分を用いて要求側を上昇させる。上昇増分はメモリ１０６または永久記憶装置１０８に記憶することができる。上昇は、次のユーザ・レベルへのパーコレーションまたはユーザ・レベルへの直接エントリを更に含む。典型的に、上昇はユーザ・アイデンティティおよびバリデーション要件の増大を伴う。
【００３０】
代替的な実施形態において、コンピュータ実施プロセスを含むプログラム・コード１１８は、コンピュータ・プログラム１２２としてコンピュータ読み取り可能媒体１２０内に記憶することができる。別の例示的な実施形態においては、階層重みを用いたトラスト・アサーション（trust assertion）によるアクセス制御のためのプロセスを、通信構造と、通信構造に接続された、コンピュータ実行可能プログラム・コードを含むメモリと、通信構造に接続された通信ユニットと、通信構造に接続された入出力ユニットと、通信構造に接続されたディスプレイと、通信構造に接続されたプロセッサ・ユニットと、を含む装置において実施することができる。この装置のプロセッサ・ユニットがコンピュータ実行可能プログラム・コードを実行して、プロセスの実行を装置に指示する。
【００３１】
図２を参照すると、本開示の様々な実施形態に従った、異常に基づくアプリケーション侵入検出システムのフローチャートが提示されている。検出システム２００は、ユーザ・レベルを漸進的に上昇させる機能を備えた異常に基づくアプリケーション侵入検出システムの一例である。検出システム２００は、例えば異常に基づくアプリケーション侵入検出システム２０２のような、新しいまたは既存の異常に基づくアプリケーション・レベル侵入検出システムに基づいたものとすることができる。
【００３２】
異常に基づくアプリケーション侵入検出システム２０２によって、典型的な異常ベースに基づくアプリケーション侵入検出システム（ＡＰＩＤＳ：application intrusion detectionsystem）を表すことができる。例えば、異常に基づくアプリケーション侵入検出システム２０２は、ルール発生器２０４、セッション追跡器２０６、アクティブ・セッションおよび識別子データベース２０８、ルール２１０、および対応手段２１２を含む多数のコンポーネントを含む。
【００３３】
ルール発生器２０４は、手作業による入力、使用履歴、予測および使用例外を含む異なるフォーマットで取得された情報を用いて可変の使用ベースラインを定義しルールを発生するコンポーネントである。ルールを用いて準拠基準を確立し、これに対して、動作２１４で開始したプロセスにおいて、要求側から要求を受信して形成した受信済み要求（２１６）を測定することができる。例えばウェブ・サイトを用いる場合、ルール発生器２０４は、限定ではないが、ページ配信、応答時間、セッション当たりのヒット数、ならびに前のページおよび次のページに関連した基準についての機能を含むことができる。
【００３４】
セッション追跡器２０６は、システムとのユーザ・インタラクションを追跡する機能を有するコンポーネントである。このコンポーネントは典型的にセキュアなセッション識別機構を含み、これは例えば、要求側から要求を受信して受信済み要求を形成すること（２１６）に関連付けられたウェブ・アプリケーションのための暗号化クッキーである。
【００３５】
アクティブ・セッションおよび識別子データベース２０８は、セッション追跡器２０６と連携動作してアクティブ・セッションおよび関連付けられた識別子のための使用統計データを収集するコンポーネントの一例である。例えば、識別子は、インターネット・プロトコル・アドレスまたはユーザ・エージェント識別の形態で要求位置を含むことができる。受信済み要求に関連した統計データ抽出（２１８）を実行して、要求側から要求を受信して受信済み要求を形成し記憶する（２１６）際に取得された要求セッションに関連した情報の収集を行うことができる。異常に基づくアプリケーション侵入検出システム２０２が以前にこの要求側を脅威として検出したことがある場合、受信済み要求に関連した統計データ抽出動作（２１８）の間に追加の統計データを抽出することができる。
【００３６】
ルール２１０は、受信済み要求についてのルール・バリデーションの実行（２２０）のように、入来する要求および関連付けられた識別子の統計データまたは特性を既存のルールと比較する機能を有するコンポーネントの一例である。使用中の特定ユーザ・レベルのためにルール選択を行って関連ルールを識別する。要求が取得されると、受信済み要求についてのルール・バリデーションを実行する（２２０）ことによって、既定の基準に対する比較を行う。要求側が脅威であるか否かの判定（２２２）のように、要求が既定の閾値を満たすか否かについて判定を行う。この比較で閾値を満たさない場合、要求側のユーザ・レベルの上昇（２２４）のように、要求を不審とマークする。不審要求は典型的には脅威として知られる。不審要求の上昇によって新しい要求が生成され、これを用いて要求側のバリデーションが成功であるか否かを判定する（２２６）。この判定で成功の結果が出ると、受信済み要求についてルール・バリデーションの実行（２２０）を行い、その後、要求側が脅威であるか否かの判定（２２２）を再び行う。脅威がない場合、要求の処理（２３０）を実行し、プロセスは終了（２３２）で終わる。
【００３７】
対応手段２１２は、システム内で識別された脅威に対応することができるコンポーネントの一例である。対応手段２１２は、ユーザ識別およびバリデーション要件の上昇が発生し得る位置の一例を表す。例えば対応手段は要求の阻止（２２８）として提示される。別の例では、ウェブ内に最も多く設定されるチャレンジ−レスポンス・テストが、ユーザが人間であるか否かを判定するように形成され、検証情報の収集も、疑わしい攻撃者または不審ユーザに提示される対応手段とすることができる。
【００３８】
図３を参照すると、本開示の一実施形態に従った、図２の異常に基づくアプリケーション侵入検出システムと共に用いられる上昇増分およびユーザ・レベルのブロック図が提示されている。上昇増分３００は、異なる上昇レベルを含むシステムの一例である。各レベルは、以前のレベルとは異なるもっと具体的なユーザ情報を必要とする。
【００３９】
図２の検出システム２００は、ユーザ情報開示およびユーザ・バリデーションに対する要件が増分するこれらのレベルのうちどれが必要であるかを検出する。脅威または異常が検出されると、ユーザは次のレベルに強制的に上昇される。次のレベルへの上昇は、ユーザ・アイデンティティおよびバリデーション要件の増大を含む。ユーザ・アイデンティティおよびバリデーション要件の上昇によってアプリケーション・レベルの攻撃に反撃することは、攻撃者に対して自分についての情報をもっと開示させることを含む多数の利点を有する。通常、追加情報によって、攻撃者を識別するために必要な時間が短くなる。多くのアプリケーション・レベルの攻撃は故意でないので、上昇増分３００を用いるプロセスは、攻撃者のアイデンティティを効果的に明らかにすることができる。バリデーション・プロセスは非侵入的でありアプリケーションと一体化されているので、アプリケーションの他のユーザに対する影響は最小限に抑えることができる。上昇増分３００の使用は、ロボットまたは人間でないエージェントによる不正アクセスをプログラムで検出し阻止する機能を提供する。
【００４０】
ユーザ・レベルは典型的に、匿名３０４、追跡３０６、確認３０８、検証３１０、信頼３１２、および阻止３１４のカテゴリまたはユーザ・レベル３０２に分かれている。匿名３０４は、ユーザが自分に関する具体的な情報を何も提供しない要求に関連付けられたカテゴリである。例えば、これがウェブ・サイトに対する最初の要求である場合である。匿名要求は追跡カテゴリ３０６に上昇される。要求が、特定のインターネット・プロトコル・アドレスまたはユーザ・エージェントに関連付けられた既知の悪質な位置等の不審グループに属する場合、この要求は確認ユーザ・レベル３０８に上昇される。
【００４１】
追跡３０６は、サーバ・レイヤにおいてセキュアに追跡されているセッションに属する要求を表す。追跡によって、検出システムは、特定のエージェントがアプリケーションを用いる方法における暴力またはサービス不能攻撃等の異常を検出することができる。
【００４２】
確認３０８は追跡３０６の次に高いレベルを表す。これは追跡要求について異常が発見された場合に用いられ、エージェントは強制的に確認される。典型的に、確認にはログオン・ページへの転送が必要であり、そこでユーザはアイデンティティの提供およびパスワードの入力を要求される。通常、ログオン・ページは分かりにくいものにして、ロボットまたは他の自動化ユーザからの自動的なログオンを防ぐ。別の例として、ユーザがシステムに登録していない場合、システムはこの時点でユーザを登録して確認するオプションを提供することができる。システムはバリデーションを実行して、エージェントについての登録情報が完全であることを確実にすることができる。また、登録プロセスでは、人間のユーザに対して最新の電話番号または電子メール・アドレスをシステムに提供するように求める必要がある場合がある。
【００４３】
検証３１０は、確認３０８の上のレベルを表し、確認された要求について異常が発見された場合に用いられる。この場合、ユーザは検証レベルに上昇される。典型的に、検証３１０は、人間によるバリデーション・ツールの使用または管理者もしくはカスタマ・サービス担当者の関与によってユーザを検証することを含む。このツールによって、提示側ユーザがスクリプト・ロボット等の自動化機構でないこと、および、このアカウントに現在アクセスしているユーザがこのアカウントを最初に登録した人であることまたはその人によって信頼されていることが確実となる。
【００４４】
信頼３１２は、信頼されているユーザが、アプリケーション管理者によって常に信頼されるという例外を発生したユーザであるというユーザ・レベルを表す。信頼ユーザは全てのレベルに存在することができる。例えばユーザは、信頼されたロボットに関連付けられた信頼されたインターネット・プロトコル・アドレスまたは管理者アカウントからの匿名ユーザとして信頼することができる。
【００４５】
阻止３１４は、ユーザが更にアクションを実行することができないユーザ・レベルである。信頼３１２と同様、ユーザは、自動化されている場合もあるしそうでない場合もある管理者アクションによって阻止に設定される。典型的に、阻止は、ユーザが送信した要求が脅威と判定されたことに応じたものである。例えば、あるインターネット・プロトコル・アドレス・セットが繰り返し用いられてあるサイトを攻撃した場合、それらのアドレスに属する全てのユーザが阻止される。レベルは上昇することができ、またはいかなる時点でも信頼レベルまたは阻止レベルに設定することができる。上方向への上昇はこの階層を通る経路に従い、特定レベルへの設定は直接アクセスのためのエントリ・ポイント３１６を用いる。
【００４６】
異なるユーザ・レベルに関連付けられたセキュリティが、プロセス経路を決定する。信頼ユーザ・レベルは直ちに処理される。ユーザが阻止されると、そのユーザに関連付けられた要求は阻止される。匿名ユーザは直ちに追跡レベルに上昇されて追加情報を提供する。他のユーザは全て、脅威として認識された場合に次に高いレベルへと上昇される。阻止アクションが行われる前に、上昇のための多数の機会をユーザに与えることができる。阻止アクションの期間または重大さは、管理者またはインストール定義ポリシーの判断によって決まる。
【００４７】
図４を参照すると、本開示の一実施形態に従った、図３の上昇増大のユーザ・レベルを用いた阻止プロセスのフローチャートが示されている。プロセス４００は、図３のユーザ・レベル３０２による上昇増大３００を用いたユーザ阻止プロセスの一例である。
【００４８】
プロセス４００は、（ステップ４０２で）開始し、要求を阻止するか否かを判定する（ステップ４０４）。要求を阻止しないという判定が行われると、「ノー」応答が取得される。要求を阻止するという判定が行われると、「イエス」応答が取得される。ステップ４０４において「ノー」が取得されると、ユーザ・レベル３０２はこの例において匿名３０４に設定される。ユーザは自動的に追跡３０６に上昇される。ステップ４０４において「イエス」結果が取得された場合には、阻止アクションが必要であり、要求の阻止が行われ（ステップ４０６）、その後プロセス４００は終了する（ステップ４１８）。
【００４９】
プロセス４００は、要求が脅威であるか否かを判定する（ステップ４０８）。このユーザまたはユーザ・タイプについての追跡情報と以前に記憶した情報との比較に基づいて、判定を行うことができる。追跡情報の比較は、上昇増分のユーザ・レベルに関連付けられた既定基準の比較に基づいている。要求側ユーザまたは要求が脅威であるという判定が行われると、「イエス」が取得される。要求側ユーザまたは要求が脅威でないという判定が行われると、「ノー」結果が取得される。ステップ４０８において「ノー」結果が取得されると、脅威は認識されず、ユーザ要求が実行されて要求を処理し（ステップ４１６）、その後プロセスは終了する（ステップ４１８）。例えば、追跡されたユーザがオンライン・ストアで買い物をしている場合、およびユーザが異常に多い数の品物を買おうとしている場合、アクションは「脅威」結果において引き起こされる。
【００５０】
ステップ４０８において「イエス」が取得されると、上昇増分を識別して、識別された上昇の形成が行われる（ステップ４１０）。上昇増分の選択は、ユーザ・レベル階層内の次のレベルに従って、またはインストール定義ポリシーによって行うことができる。例えば、デフォルトの設定によって、ユーザ・レベルは上方向に移動することができる。別の例では、ポリシーによって、所与の状況に基づいてユーザ要求を阻止に設定するには、確認の失敗を必要とする場合がある。典型的に、上昇にはユーザ・アイデンティティおよびバリデーション用件の増大が伴う。
【００５１】
識別した上昇増分を用いて上昇を実行する（ステップ４１２）。実行される上昇は、インストールまたはユーザ管理者の仕様または選択によって決定されるような、各ユーザ・レベルに割り当てた設定に依存する。上昇が成功したか否かを判定する（ステップ４１４）。上昇が成功したと判定されると、ステップ４１４において「イエス」結果が取得される。上昇が成功しなかったと判定されると、ステップ４１４において「ノー」結果が取得される。ステップ４１４において「イエス」結果が取得されると、プロセス４００はステップ４０４に戻って、ユーザ要求を再び評価する。
【００５２】
しかしながら、ステップ４１４において「ノー」結果が取得されると、上昇は成功でなく、要求を阻止するアクションが実行され（ステップ４０６）、その後プロセス４００は終了する（ステップ４１８）。
【００５３】
要求が検証ユーザ・レベル３１０に上昇されるかまたは設定された場合は、要求が脅威であるか否かの判定を行う（ステップ４２０）。要求が脅威であると判定されると、「イエス」結果が取得される。要求が脅威でないと判定されると、「ノー」結果が取得される。ステップ４２０において「ノー」結果が取得されると、脅威は認識されず、要求処理ステップ（４１６）においてユーザ要求が実行され、その後プロセス４００はステップ４１８において前述のように終了する。「イエス」結果が取得されると、要求阻止（４０６）において阻止アクションが実行され、その後プロセス４００はステップ４１８において前述のように終了する。
【００５４】
図５を参照すると、本開示の一実施形態に従った図４の上昇プロセスのフローチャートが提示されている。プロセス５００は、検証プロセスと組み合わせた上昇プロセスの一例である。例えば、図４の識別上昇増分（４１２）を用いてユーザ・レベルを上昇させ、典型的に行われる検証の詳細を示す。
【００５５】
プロセス５００は、（ステップ５０２で）開始し、要求を信頼するか否かを判定する（ステップ５０４）。要求を信頼すると判定されると、「イエス」結果が取得される。要求を信頼すると判定されると、「ノー」結果が取得される。ステップ５０４において「イエス」結果が取得されると、要求の実行を行い（ステップ５２０）、その後プロセス５００は終了する（ステップ５３４）。
【００５６】
ステップ５０４において「ノー」結果が取得されると、要求を阻止するか否かを判定する（ステップ５０６）。要求を阻止すると判定されると、「イエス」結果が取得される。要求を阻止しないと判定されると、「ノー」結果が取得される。「イエス」結果が取得されると、ユーザ要求の阻止を実行する（ステップ５０８）。管理アラートの生成を実行し（ステップ５１０）、その後プロセス５００は終了する（ステップ５３４）。管理アラートの生成によって阻止アクション情報が記録される。例えば、管理者または自動化プロセスは、管理アラート・ログを用いて、アラートに関わったこのユーザを図３の阻止レベル３１４に設定することができる。
【００５７】
ステップ５０６において「ノー」結果が取得されると、図３のユーザ・レベル３０２を用いた上昇が行われる。図３のユーザ・レベル３０２の匿名３０４にエントリが行われた場合は、図３の追跡３０６への自動的な上昇が行われる。追跡が行われると、要求が脅威であるか否かの判定が行われる（ステップ５１２）。要求が脅威であると判定されると、「イエス」が取得される。要求に脅威が関連付けられていないと判定されると、「ノー」が取得される。ステップ５１２において「イエス」が取得されると、高度化した確認方法が実行される（ステップ５１４）。上昇プロセスは、要求に関連付けられたセッションの追跡中に収集した情報の処理を更に含むことができる。例えば、ユーザはこの時点でログインし、コンピュータと人間とを見分けるための完全に自動化されたチューリング・テスト（ＣＡＰＴＣＨＡ）もしくはユーザが人間のユーザであると証明するためのセキュリティ質問セットに合格すること、またはセキュリティ質問セットに答えてユーザ・アイデンティティをサポートすることを要求される場合がある。
【００５８】
上昇が成功したか否かについて判定を行う（ステップ５１６）。上昇が成功したという判定が行われると「イエス」結果が生じる。上昇が成功しなかったという判定が行われると「ノー」結果が生じる。ステップ５１６において「ノー」結果が取得されると、プロセス５００は戻って要求の阻止（ステップ５０８）を前述のように実行する。ステップ５１６において「イエス」結果が取得されると、プロセス５００は要求を再評価するために戻って、前述のようにステップ５０２を実行する。
【００５９】
図３のユーザ・レベル３０２の確認３０８にエントリが行われた場合は、要求が脅威であるか否かの判定が実行される（ステップ５１８）。脅威があると判定されると、「イエス」結果が取得される。脅威がないと判定されると、「ノー」結果が取得される。ステップ５１８において「ノー」が取得されると、ステップ５２０において前述のように要求の処理が行われる。ステップ５１８において「イエス」が取得されると、プロセス５００は、以下の段落に記載し図６に示すステップ５２４にスキップする。
【００６０】
図３のユーザ・レベル３０２の検証３１０にエントリが行われた場合は、要求が脅威であるか否かの判定が実行される（ステップ５２２）。脅威があると判定されると、「イエス」結果が取得される。脅威がないと判定されると、「ノー」結果が取得される。ステップ５２２において「ノー」が取得されると、ステップ５２０において前述のように要求の処理が行われ、その後プロセス５００は終了する（ステップ５３４）。ステップ５２２において「イエス」が取得されると、プロセス５００は戻ってステップ５０８において要求を阻止する。前述のように、管理アラートの生成が行われ（５１０）、その後プロセス５００は終了する（ステップ５３４）。
【００６１】
ここで図６を参照すると、図５の検証プロセスのフローチャートが示されている。脅威があると判定され、ステップ５１８において「イエス」結果が取得されると、要求側に対して検証を求めるプロンプトを表示する（ステップ５２４）。要求を実行すべきか否かの判定を支援するために要求側からの情報が必要である。情報は、要求側に固有の個人的または業務関連の情報であるか、または要求側に既知の特権情報の形態とすることができる。情報は例えば、アカウント・コード、誕生日、従業員の識別子、およびアクセス・コードを含むことができる。また、プロンプトは、ライブ・エージェントを用いるか否かを判定するための動作を含むことができる（ステップ５２６）。ライブ・エージェントは、チャット・セッションまたは電話での会話の形態とすることができる。ライブ・エージェントを用いると判定されると、「イエス」結果が取得される。ライブ・エージェントを用いないと判定されると、「ノー」結果が取得される。
【００６２】
ステップ５２６において「イエス」が取得されると、ライブ・エージェントの参加を実行する（ステップ５２８）。エージェントは、取得した必要情報に対する要求側とのダイアログに進み、要求を次に進ませることを可能とする。検証が成功したか否かの判定が行われる（ステップ５３０）。検証が成功であると判定されると、「イエス」結果が取得される。検証が成功でないと判定されると、「ノー」結果が行われる。
【００６３】
ステップ５３０において「イエス」が取得されると、プロセスは戻って、前述のようにステップ５０２において要求を再評価する。ステップ５３０において「ノー」が取得されると、プロセス５００は戻って前述のようにステップ５０８において要求を阻止する。次いでプロセス５００は管理アラートを生成し（ステップ５１０）、その後、終了する（ステップ５３４）。
【００６４】
ステップ５２６において「ノー」が取得されると、要求側に対して必要情報を求めるプロンプトを表示する（ステップ５３２）。ここで、要求が処理可能となる前に、要求を更に検証するために用いる欠落情報を入力することが要求側に求められる。ユーザは必要情報によって応答しなければならない。例えば、入力フィールドを強調表示したパネルを要求側に提示することができる。要求の処理を可能とするには、要求側によって入力が提供されてこれが検証されなければならない。前述のように、検証が成功であるか否かの判定を行う（ステップ５３０）。
【００６５】
従って、例示的な実施形態は、ユーザ・アイデンティティおよびバリデーション要件の上昇によって検出され脅威を解決するためのプロセス、コンピュータ・プログラム、および装置を提供する。１つの例示的な実施形態は、検出された脅威を解決するためのコンピュータ実施プロセスを提供する。このプロセスでは、要求側から要求を受信して受信済み要求を形成し、受信済み要求に関連した統計データを抽出して抽出統計データを形成する。抽出統計データを用いて受信済み要求のためのルール・バリデーションを実行し、要求側が脅威であるという判定に応じて、上昇増分を用いて要求側を上昇させる。上昇増分を用いることが、次のユーザ・レベルへの移動およびユーザ・レベルへの直接エントリのうち１つによるユーザ・アイデンティティおよびバリデーション要件の増大を更に含む。  
【００６６】
例えば、ロボット・エージェントがウェブ・サイトに対する過剰なトラヒックを発生させる状況において、例示的な実施形態を用いることができる。ビジネス・パートナーが、カタログ情報を抽出しようとして、ロボットを実施してサイトをスキャンし各製品をショッピング・カートに追加して価格情報を取得する場合がある。価格の計算はリソースを多用する動作である。短い期間に何千回も価格付け動作を実行すると、これが検出されず管理されない場合にはサービス停止を引き起こす。上述したプロセスを用いれば、ビジネス・パートナーは強制的に確認され、そのためサイト管理者は誰が問題を引き起こしているかを認識する。検証プロセスはロボット・エージェントの動作を妨げるので、ビジネス・パートナーは自ら気付いて管理者に接触することを決定した場合がある。
【００６７】
別の例では、ビジネス・ユーザは何百かの品物を含むショッピング・カートを生成しようとした。店は、ショッピング・カートに可能な品物の最大数に固定の制限を設けなかった。ショッピング・カートは、大きなメモリ実装面積を必要とし、これはアウト・オブ・メモリ状況を生成することがある。例示的な実施形態は、いったん異常な挙動が検出されるとユーザにログインを強制した。検証上昇の間、カスタマ・サポート担当者がユーザに接触した場合がある。
【００６８】
前述の例示的な実施形態を用いる別の例では、ユーザは、登録機能等の高影響アプリケーション機能を用いてウェブ・サイトを意図的に攻撃する。悪質なユーザは、何千ものユーザ登録要求をアプリケーションが処理するために長時間を要することを知りながら、その要求生成を実行する。ユーザは古いセッションを繰り返し廃棄して意図的な攻撃を生成する。前述の例示的な実施形態は、攻撃に関連した特定のユーザ・エージェントのインターネット・プロトコル・アドレスからユーザ・グループを識別することによって、匿名ユーザを阻止する。
【００６９】
図面におけるフローチャートおよびブロック図は、本発明の様々な実施形態に従ったシステム、方法、およびコンピュータ・プログラムの可能な実施のアーキテクチャ、機能性、および動作を例示する。この点で、フローチャートまたはブロック図における各ブロックは、規定された論理機能を実施するための１つ以上の実行可能命令を含むコードのモジュール、セグメント、または一部を表すことができる。また、いくつかの代替的な実施において、ブロックに明記した機能は、図面に明記した順序どおりでなく発生する場合があることに留意すべきである。例えば、関与する機能性に応じて、連続して示した２つのブロックは実際には実質的に同時に実行されることがあり、またはブロックは時に逆の順序で実行される場合がある。また、ブロック図またはフローチャート図あるいはその両方の各ブロック、およびブロック図またはフローチャート図あるいはその両方におけるブロックの組み合わせは、規定された機能もしくは行為を実行する特殊目的ハードウェア・ベースのシステム、または特殊目的ハードウェアおよびコンピュータ命令の組み合わせによって実施可能であることに留意すべきである。
【００７０】
以下の特許請求の範囲における全てのミーンズまたはステップ・プラス・ファンクション要素の対応する構造、材料、行為、および均等物は、具体的に特許請求したような他の特許請求した要素と組み合わせて機能を実行するためのいずれかの構造、材料、または行為を含むことが意図されている。本発明の記載は、例示および記述の目的のために提示したが、網羅的であることや、開示した形態に本発明を限定することは、意図していない。本発明の範囲から逸脱することなく、当業者には多くの変更および変形が明らかであろう。実施形態は、本開示の原理および実際的な用途を最良に説明するため、更に、想定される特定の用途に適した様々な変更と共に様々な実施形態に関して当業者が本発明を理解することを可能とするために、選択し記載したものである。
【００７１】
本発明は、全体的にハードウェアの実施形態、全体的にソフトウェアの実施形態、または、ソフトウェアおよびハードウェアの双方の要素を含む実施形態という形態を取ることができる。好適な実施形態において、本発明はソフトウェアにおいて実施され、これは限定ではないが、ファームウェア、常駐ソフトウェア、マイクロコード、および当業者によって認められる他のソフトウェア媒体を含む。
【００７２】
留意すべき重要なこととして、本発明について完全に機能するデータ処理システムの文脈で記載したが、本発明のプロセスは、命令のコンピュータ読み取り可能媒体の形態および様々な形態で配布することが可能であること、更に、この配布を行うために実際に用いられる信号担持媒体の特定のタイプには無関係に本発明が等しく適用されることは、当業者に認められよう。コンピュータ読み取り可能媒体の例には、フレキシブル・ディスク、ハード・ディスク・ドライブ、ＲＡＭ、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ等の記録可能タイプの媒体、ならびに、例えば無線周波数および光波伝送等の伝送形態を用いたデジタルおよびアナログ通信リンク、有線または無線通信リンク等の伝送タイプの媒体が含まれる。コンピュータ読み取り可能媒体は、特定のデータ処理システムにおいて実際に用いるために復号される符号化フォーマットの形態を取ることができる。
【００７３】
プログラム・コードの記憶または実行あるいはその両方を行うのに適したデータ処理システムは、システム・バスを介してメモリ要素に直接または間接に結合された少なくとも１つのプロセッサを含む。メモリ要素は、プログラム・コードの実際の実行中に用いるローカル・メモリと、バルク記憶装置と、実行中にバルク記憶装置からコードを検索しなければならない回数を減らすために少なくとも何らかのプログラム・コードの一時的な記憶を提供するキャッシュ・メモリと、を含むことができる。
【００７４】
入出力またはＩ／Ｏデバイス（限定ではないが、キーボード、ディスプレイ、ポインティング・デバイス等を含む）を、直接またはＩ／Ｏコントローラを介在させてのいずれかでシステムに結合することができる。
【００７５】
また、システムにネットワーク・アダプタを結合することで、データ処理システムを、私的ネットワークまたは公的ネットワークを介在させて他のデータ処理システムまたは遠隔のプリンタもしくは記憶デバイスに結合することができる。ネットワーク・アダプタの現在利用可能なタイプのいくつかの例として、モデム、ケーブル・モデム、およびイーサネット・カードがある。
【００７６】
本発明の記載は、例示および記述の目的のために提示したものであり、網羅的であることや、開示した形態に本発明を限定することは意図していない。当業者には多くの変更および変形が明らかであろう。実施形態は、本開示の原理および実際的な用途を最良に説明するため、更に、想定される特定の用途に適した様々な変更と共に様々な実施形態に関して当業者が本発明を理解することを可能とするために、選択し記載したものである。
【図１】
2013503377.tif 000003
【図２】
2013503377.tif 000004
【図３】
2013503377.tif 000005
【図４】
2013503377.tif 000006
【図５】
2013503377.tif 000007
【図６】
2013503377.tif 000008
【手続補正書】
【提出日】平成24年5月22日(2012.5.22)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
検出された脅威を解決するための方法であって、
要求側から要求を受信して受信済み要求を形成することと、
前記受信済み要求に関連した統計データを抽出して抽出統計データを形成することと、
前記抽出統計データを用いて前記受信済み要求のためのルール・バリデーションを実行することと、
前記要求側が脅威であるか否かを判定することと、
前記要求側が脅威であるという判定に応じて、上昇増分を用いて前記要求側を上昇させることと、を含み、前記上昇増分の使用が、次のユーザ・レベルへの移動およびユーザ・レベルへの直接エントリのうち１つによるユーザ・アイデンティティおよびバリデーション要件の増大を更に含む、方法。
【請求項２】
前記受信済み要求に関連した統計データ抽出が、
セッション情報を追跡して追跡セッション情報を形成することと、
前記追跡セッション情報をアクティブ・セッションおよび識別子データベースに記憶することと、
を更に含む、請求項１に記載の方法。
【請求項３】
ルール・バリデーションの実行が、
上昇増分に関連したルールを選択して選択ルールを形成することと、
前記選択ルールを前記受信済み要求に適用することと、
を更に含む、請求項１または２に記載の方法。
【請求項４】
前記要求が脅威であるか否かの判定が、
前記追跡セッション情報を、上昇増分のユーザ・レベルに関連した既定基準と比較して、比較を形成することと、
前記比較が既定閾値を超えているか否かを判定することと、
を更に含む、請求項２に記載の方法。
【請求項５】
前記要求の上昇が、
前記要求が脅威であるか否かを判定することと、
前記要求が脅威であるという判定に応じて、前記要求側に検証を求めるプロンプトを表示することと、
ライブ・エージェントを用いるか否かを判定することと、
前記ライブ・エージェントを用いるという判定に応じて前記ライブ・エージェントを参加させることと、
前記検証が成功したか否かを判定することと、
前記検証が成功しなかったという判定に応じて前記要求を阻止することと、
を更に含む、前出の請求項のいずれかに記載の方法。
【請求項６】
前記ライブ・エージェントを用いないという判定に応じて、
前記要求側に必要情報を求めるプロンプトを表示し、
前記検証が成功したか否かを判定し、
前記検証が成功したという判定に応じて前記要求を再評価する、
請求項５に記載の方法。
【請求項７】
上昇増分を用いて前記要求側を上昇させることが、
前記上昇増分の選択された１つを用いて上昇要求を生成することと、
前記上昇要求が成功したか否かを判定することと、
前記上昇要求が成功したという判定に応じて前記要求を再評価することと、
前記上昇要求が成功しなかったという判定に応じて前記要求を阻止することと、
を更に含む、前出の請求項のいずれかに記載の方法。
【請求項８】
検出された脅威を解決するためのコンピュータ・プログラムであって、
前記プログラムはコンピュータ記録可能媒体に記録され、コンピュータに、
要求側から要求を受信して受信済み要求を形成する機能と、
前記受信済み要求に関連した統計データを抽出して抽出統計データを形成する機能と、
前記抽出統計データを用いて前記受信済み要求のためのルール・バリデーションを実行する機能と、
前記要求側が脅威であるか否かを判定する機能と、
前記要求側が脅威であるという判定に応じて、上昇増分を用いて前記要求側を上昇させる機能であって、上昇増分を用いる前記機能が、次のユーザ・レベルへの移動およびユーザ・レベルへの直接エントリのうち１つによりユーザ・アイデンティティおよびバリデーション要件を増大させる機能、
を実行させる、コンピュータ・プログラム。
【請求項９】
前記受信済み要求に関連した統計データを抽出する前記機能が、
セッション情報を追跡して追跡セッション情報を形成する機能と、
前記追跡セッション情報をアクティブ・セッションおよび識別子データベースに記憶する機能と、
を更に含む、請求項８に記載のコンピュータ・プログラム。
【請求項１０】
ルール・バリデーションを実行する前記機能が、
上昇増分に関連したルールを選択して選択ルールを形成する機能と、
前記選択ルールを前記受信済み要求に適用する機能と、
を更に含む、請求項８または９に記載のコンピュータ・プログラム。
【請求項１１】
前記要求が脅威であるか否かを判定する前記機能が、
前記追跡セッション情報を、上昇増分のユーザ・レベルに関連した既定基準と比較して、比較を形成する機能と、
前記比較が既定閾値を超えているか否かを判定する機能と、
を更に含む、請求項９に記載のコンピュータ・プログラム。
【請求項１２】
前記要求を上昇させるための前記機能が、
前記要求が脅威であるか否かを判定する機能と、
前記要求が脅威であるという判定に応じて、前記要求側に検証を求めるプロンプトを表示する機能と、
ライブ・エージェントを用いるか否かを判定する機能と、
前記ライブ・エージェントを用いるという判定に応じて前記ライブ・エージェントを参加させるための機能と、
前記検証が成功したか否かを判定する機能と、
前記検証が成功しなかったという判定に応じて前記要求を阻止する機能と、
を更に含む、請求項８から１１のいずれかに記載のコンピュータ・プログラム。
【請求項１３】
前記ライブ・エージェントを用いないという判定に応じて、前記要求側に必要情報を求めるプロンプトを表示する機能と、
前記検証が成功したか否かを判定する機能と、
前記検証が成功したという判定に応じて前記要求を再評価する機能と、
を更に含む、請求項１２に記載のコンピュータ・プログラム。
【請求項１４】
上昇増分を用いて前記要求側を上昇させるための機能が、
前記上昇増分の選択された１つを用いて上昇要求を生成する機能と、
前記上昇要求が成功したか否かを判定する機能と、
前記上昇要求が成功したという判定に応じて前記要求を再評価する機能と、
前記上昇要求が成功しなかったという判定に応じて前記要求を阻止する機能と、
を更に含む、請求項８から１３のいずれかに記載のコンピュータ・プログラム。
【請求項１５】
検出された脅威を解決するための装置であって、
要求側から要求を受信して受信済み要求を形成するための手段と、
前記受信済み要求に関連した統計データを抽出して抽出統計データを形成するための手段と、
前記抽出統計データを用いて前記受信済み要求のためのルール・バリデーションを実行するための手段と、
前記要求側が脅威であるか否かを判定するための手段と、
前記要求側が脅威であるという判定に応じて、次のユーザ・レベルへの移動およびユーザ・レベルへの直接エントリのうち１つによるユーザ・アイデンティティおよびバリデーション要件の増大によって、上昇増分を用いて前記要求側を上昇させるための手段と、
を含む、装置。
【請求項１６】
前記抽出手段が、
セッション情報を追跡して追跡セッション情報を形成するための手段と、
前記追跡セッション情報をアクティブ・セッションおよび識別子データベースに記憶するための手段と、
を更に含む、請求項１５に記載の装置。
【請求項１７】
前記実行手段が、
上昇増分に関連したルールを選択して選択ルールを形成するための手段と、
前記選択ルールを前記受信済み要求に適用するための手段と、
を更に含む、請求項１５または１６に記載の装置。
【請求項１８】
前記判定手段が、
前記追跡セッション情報を、上昇増分のユーザ・レベルに関連した既定基準と比較して、比較を形成するための手段と、
前記比較が既定閾値を超えているか否かを判定するための手段と、
を更に含む、請求項１６に記載の装置。
【請求項１９】
前記上昇手段が、
前記要求が脅威であるか否かを判定するための手段と、
前記要求が脅威であるという判定に応じて、前記要求側に検証を求めるプロンプトを表示するための手段と、
ライブ・エージェントを用いるか否かを判定するための手段と、
前記ライブ・エージェントを用いるという判定に応じて前記ライブ・エージェントを参加させるための手段と、
前記検証が成功したか否かを判定するための手段と、
前記検証が成功しなかったという判定に応じて前記要求を阻止するための手段と、
を更に含む、請求項１５から１８のいずれかに記載の装置。
【請求項２０】
前記ライブ・エージェントを用いないという判定に応じて、
前記要求側に必要情報を求めるプロンプトを表示するための手段と、
前記検証が成功したか否かを判定するための手段と、
前記検証が成功したという判定に応じて前記要求を再評価するための手段と、
を更に含む、請求項１９に記載の装置。
【請求項２１】
前記上昇手段が、
前記上昇増分の選択された１つを用いて上昇要求を生成するための手段と、
前記上昇要求が成功したか否かを判定するための手段と、
前記上昇要求が成功したという判定に応じて前記要求を再評価するための手段と、
前記上昇要求が成功しなかったという判定に応じて前記要求を阻止するための手段と、
を更に含む、請求項１５から２０のいずれかに記載の方法。
【国際調査報告】
2013503377.tif 000009
2013503377.tif 000010
2013503377.tif 000011