(57)【特許請求の範囲】
【請求項１】
ネットワーク内の複数のネットワークデバイス（１６０）を含む制御システム（１５０）においてサイバーセキュリティリスクを定量化する方法であって、
プロセッサ（１１０）と、前記複数のネットワークデバイスの間の相互接続性に基づくデバイス間依存関係、前記複数のネットワークデバイスの各々についての定量化された個別のサイバーリスク（３１２）を含む脆弱性データベース（１２０）、及びリスクの動的定量化（ＤＱＲ）アルゴリズム（１２８）を記憶するメモリデバイス（１１６）とを提供するステップを含み、前記プロセッサは、前記ＤＱＲアルゴリズムを実行し、
前記ネットワークの動作中に前記複数のネットワークデバイスの観測されたサイバー挙動を受信するステップ（６０２）と、
前記観測されたサイバー挙動に応答して、前記定量化された個別のリスクのうちのいくつかを変更して少なくとも１つの修正された定量化された個別のリスク（３２６）を生成する（６１６）ステップと、
前記複数のネットワークデバイスのうちの第１のネットワークデバイス（第１のデバイス）の前記デバイス間依存関係及び前記修正された定量化された個別のリスクを反映する前記複数のネットワークデバイスのうちの少なくとも１つの他のネットワークデバイスの前記定量化された個別のリスクを使用し、前記第１のデバイスの前記定量化された個別のリスクを動的に修正して、デバイス間の修正された定量化された個別のリスク（３２８）を生成するステップ（６１８）と
を実装する、方法。
【請求項２】
前記少なくとも１つの修正された定量化された個別のリスクを生成するステップがさらに、
前記メモリデバイスから流行値データベース（３５０）を取得するステップ（６０６）と、
前記流行値データベースに基づいて前記定量化された個別のリスクの流行値（３５２）を決定するステップ（６１０）と、
前記流行値に基づいて前記定量化された個別のリスクの流行リスク修飾子（３２４）を計算するステップ（６１４）と、
前記流行リスク修飾子と前記定量化された個別のリスクのうちの１つとに基づいて前記少なくとも１つの修正された定量化された個別のリスクを生成するステップ（６１６）と
を含む、請求項１に記載の方法。
【請求項３】
前記デバイス間の修正された定量化された個別のリスクを生成するステップがさらに、
前記メモリデバイスからデバイス間依存関係データベース（３６０）を取得するステップ（６１２）と、
前記デバイス間依存関係データベースに基づいて前記定量化された個別のリスクの依存関係影響値（３６２）を決定するステップ（６１４）と、
前記依存関係影響値及び前記修正された定量化された個別のリスクに基づいて前記デバイス間の修正された定量化された個別のリスクを生成するステップ（６１８）と
を含む、請求項１に記載の方法。
【請求項４】
複数のネットワークデバイス（１６０）を含む制御システム（１５０）においてサイバーセキュリティリスクを分析するためのサイバーセキュリティリスク分析システム（１００）であって、
プロセッサ（１１０）及び前記プロセッサと通信するメモリデバイス（１１６）を有するセントラルサーバ（１０５）を備え、前記メモリデバイスは、前記複数のネットワークデバイスの間の相互接続性に基づくデバイス間依存関係（３６２）、前記複数のネットワークデバイスの各々についての定量化された個別のサイバーリスク（３１２）を含む脆弱性データベース（１２２）、及び、リスクの動的定量化（ＤＱＲ）プログラム（１２８）を記憶し、前記セントラルサーバは、前記ＤＱＲプログラムを実装するようにプログラムされ、前記セントラルサーバが、
前記ネットワークの動作中に前記複数のネットワークデバイスの観測されたサイバー挙動を受信し（６０２）、
前記観測されたサイバー挙動に応答して、前記定量化された個別のリスクのうちのいくつかを変更して、少なくとも１つの修正された定量化された個別のリスク（３２６）を生成し（６１６）、
前記複数のネットワークデバイスのうちの第１のネットワークデバイス（第１のデバイス）の前記デバイス間依存関係及び前記修正された定量化された個別のリスクを反映する前記複数のネットワークデバイスのうちの少なくとも１つの他のネットワークデバイスの前記定量化された個別のリスクを使用し、前記第１のデバイスの前記定量化された個別のリスクを動的に修正して、デバイス間の修正された定量化された個別のリスク（３２８）を生成する（６１８）、
システム。
【請求項５】
前記少なくとも１つの修正された定量化された個別のリスクを生成することがさらに、前記セントラルサーバに、
流行値データベース（３５０）を前記メモリデバイスから取得させ（６０６）、
前記流行値データベースに基づいて前記定量化された個別のリスクの流行値（３５２）を決定させ（６１０）、
前記流行値に基づいて前記定量化された個別のリスクの流行リスク修飾子（３２４）を計算させ（６１４）、
前記流行リスク修飾子と前記定量化された個別のリスクのうちの１つとに基づいて、前記少なくとも１つの修正された定量化された個別のリスクを生成させる（６１６）、
請求項４に記載のシステム。
【請求項６】
前記デバイス間の修正された定量化された個別のリスクを生成するステップがさらに、前記セントラルサーバに、
デバイス間依存関係データベース（３６０）を前記メモリデバイスから取得させ（６０６）、
前記デバイス間依存関係データベースに基づいて前記定量化された個別のリスクの依存関係影響値（３６２）を決定させ（６１０）、
前記依存関係影響値及び前記修正された定量化された個別のリスクに基づいて、前記デバイス間の修正された定量化された個別のリスクを生成させる（６１８）、
請求項４に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
[0001]開示される実施形態は、概して、制御システムに関連するネットワークのサイバーセキュリティに関し、より詳細には、制御システムにおけるサイバーセキュリティリスクの動的定量化に関する。
【背景技術】
【０００２】
[0002]コンピュータシステムは、様々な異なるタスクの実行において使用される。たとえば、コンピュータシステム及び機器の産業ネットワークは、産業制御システム（ＩＣＳ）と呼ばれる産業システムの制御及び／又は監視において使用される。そのようなＩＣＳは、製造、発電、エネルギーの配給、廃棄物の処理、輸送、電気通信、及び水処理に関連して使用され得る。ＩＣＳは、企業ネットワーク及びインターネットを含めて、直接的及び間接的の両方で、他のネットワークを介して接続され得、アクセス可能であり得る。
【０００３】
[0003]したがって、産業ネットワークは、内部及び外部の両方のサイバー攻撃の影響を受けやすくなり得る。外部サイバー攻撃の防止策として、ファイアウォール又は他のセキュリティ対策が、産業ネットワークをその他のネットワークから分離するために取られ得る。
【０００４】
[0004]ＩＣＳでは、サイバーセキュリティへの関心が高まっており、システム全体へのリスクの潜在源をすぐに決定することは難しい。最新のＩＣＳは、一般に、ＷＩＮＤＯＷＳ（登録商標）サーバ及びワークステーション、スイッチ、ルータ、ファイアウォール、安全システム、専用リアルタイムコントローラ、及びフィールドデバイスを含む、デバイス／機器のミックスしたものを含む。しばしば、そのようなデバイス／機器は、異なるベンダからの混合物である。
【０００５】
[0005]さらに、ＩＣＳオペレータは、ＩＣＳにおいて実行するすべてのデバイス／機器の完全な理解又はインベントリを有さないことがある。いずれかのデバイス／機器における未対処のセキュリティ脆弱性は、生産の中断又は危険な状態を引き起こすことを含む、システム障害を引き起こし得る。そのようなシステム障害は、悪意ある攻撃、不満を抱いた従業員、ウイルス、又は単に、サイバーセキュリティ対策の欠如と結び付いた誤りの結果であることがある。独立型のデバイス／機器であっても、ユニバーサルシリアルバス（ＵＳＢ）メモリ「スティック」を介して持ち込まれ得るウイルスなどによって、脆弱になり得る。
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本開示は、上記の問題を解決しようとするものである。
【課題を解決するための手段】
【０００７】
[0006]本概要は、本開示の特質及び本質を簡潔に示すための概要を提示するために提供される。特許請求の範囲又は意味を解釈又は限定するために使用されることはないという理解の下で、本概要は提供される。
【０００８】
[0007]開示される実施形態は、複数のネットワーク接続されたデバイス又は機器（以下、「ネットワークデバイス」という）を有する複雑な制御システムにおけるサイバーセキュリティリスクが絶えず変化し、動的状態にあることを認識している。サイバーセキュリティリスクは、ネットワークデバイス間の相互接続性に基づいて少なくとも部分的にデバイス間依存する。したがって、脆弱性を緩和するようにユーザを導くために、ネットワークデバイス間の相互接続性に基づくデバイス間依存関係及び個別のサイバーセキュリティリスクの発生の頻度を使用してサイバーセキュリティリスクを動的に分析するサイバーセキュリティリスク分析システム及びアルゴリズムの必要性が認識されている。
【０００９】
[0008]本明細書では、ネットワークにおけるサイバー「セキュリティリスク」という用語は、概して、不完全な、誤って構成された、又は脆弱な、任意のサイバーセキュリティ制御を指す。セキュリティリスクは、パッチの欠落、期限切れのウイルス対策ソフトウェア、過度のセキュリティ特権、誤用、及び未承認の変更を含むが、これらに限定されない。本明細書では、「不完全」は、制御が実施されていない（欠落している）こと又は実施されている制御がタスクのために十分でないことのいずれかであることとして定義され、「誤って構成された」は、適切な制御が実施されているが、それを部分的に又は全体的に無効にさせるように構成されていることとして定義され、そして、「脆弱な」は、適切な制御が実施されているが、それが期限切れ又は未パッチであり、それをサイバー攻撃の影響を受けやすくしていることとして定義される。
【００１０】
[0009]開示される実施形態は、いくつかの（そして、概して多数の）ネットワークデバイスを含む制御システムにおいてサイバーセキュリティリスクを定量化するための方法を備える。本方法は、プロセッサと、ネットワークデバイス間の相互接続性に基づくデバイス間依存関係を記憶するメモリデバイスとを提供するステップを含む。脆弱性データベースは、メモリデバイスに記憶され、複数のネットワークデバイスのうちの各ネットワークデバイスの定量化された個別のサイバーリスク（定量化された個別のリスク）を含む。メモリデバイスはまた、リスクの動的定量化（ＤＱＲ）アルゴリズムを記憶する。
【００１１】
[0010]プロセッサは、ネットワークの動作中にネットワークデバイスの観測されたサイバー挙動を受信するステップをプロセッサに実装させるＤＱＲアルゴリズムを実行する。観測されたサイバー挙動に応答して、定量化された個別のリスクのうちの１つ又は複数が、変更されて、少なくとも１つの修正された定量化された個別のリスクを生成する。複数のネットワークデバイスのうちの第１のネットワークデバイス（第１のデバイス）のデバイス間依存関係、及び、修正された定量化された個別のリスクを反映する複数のネットワークデバイスのうちの少なくとも１つの他のネットワークデバイスの定量化された個別のリスクが、第１のデバイスの定量化された個別のリスクを動的に修正してデバイス間の修正された定量化された個別のリスクを生成するために、使用される。
【００１２】
[0011]１つの開示される実施形態は、いくつかのネットワークデバイスを含む制御システム内のサイバーセキュリティリスクを分析するためのサイバーセキュリティリスク分析システムを備える。本システムは、プロセッサと、プロセッサと通信するメモリデバイスとを有する、セントラルサーバを含む。メモリデバイスは、ネットワークデバイス間の相互接続性に基づくデバイス間依存関係と、各々のネットワークデバイスの定量化された個別のサイバーリスク（定量化された個別のリスク）を含む脆弱性データベースとを記憶する。メモリデバイスはまた、リスクの動的定量化（ＤＱＲ）プログラムを記憶する。セントラルサーバは、ＤＱＲプログラムを実装するようにプログラムされる。
【００１３】
[0012]セントラルサーバは、ネットワークの動作中にネットワークデバイスの観測されたサイバー挙動を受信する。観測されたサイバー挙動に応答して、セントラルサーバは、定量化された個別のリスクのうちの１つ又は複数を変更して、少なくとも１つの修正された定量化された個別のリスクを生成する。ネットワークデバイスのうちの第１のネットワークデバイス（第１のデバイス）のデバイス間依存関係、及び、修正された定量化された個別のリスクを反映するネットワークデバイスのうちの少なくとも１つの他のネットワークデバイスの定量化された個別のリスクが、第１のデバイスの定量化された個別のリスクを動的に修正してデバイス間の修正された定量化された個別のリスクを生成するために使用される。
【図面の簡単な説明】
【００１４】
【図１】[0013]例示的一実施形態による、産業制御システム（ＩＣＳ）に統合された例示的サイバーセキュリティリスク分析システムの図である。
【図２】[0014]例示的一実施形態による、セントラルサーバのブロック図である。
【図３】[0015]例示的一実施形態による、ストレージデバイスに記憶されたコンピュータ可読記憶媒体の内容の例示的図である。
【図４Ａ】[0016]例示的一実施形態による、観測された挙動に関するリスクの動的定量化を有さないセキュリティリスクの描写を示す図である。
【図４Ｂ】[0017]例示的一実施形態による、観測された挙動に関するリスクの動的定量化を有するセキュリティリスクの描写を示す図である。
【図４Ｃ】[0018]例示的一実施形態による、デバイス間依存関係の概念地図を示す図である。
【図４Ｄ】[0019]例示的一実施形態による、１つのゾーンにおけるリスク項目が、他のゾーンのリスクにどのように影響を及ぼし得るかを示す図である。
【図５】[0020]例示的一実施形態による、観測された挙動に関するサイバーセキュリティリスクの動的定量化の描写を提供する図である。
【図６】[0021]例示的一実施形態による、制御システムにおいてサイバーセキュリティリスクを動的に定量化する及びリスクを分析する例示的方法のステップを示す流れ図である。
【発明を実施するための形態】
【００１５】
[0022]開示される実施形態は、添付の図面を参照して説明され、図面では、同様の参照番号は、それらの図面をとおして同様の又は同等の要素を指定するために使用される。それらの図面は、原寸に比例して描かれておらず、それらは、本明細書で開示される態様の説明のみを目的として提供される。いくつかの開示される態様は、説明のための例示的適用例を参照して、以下で説明される。多くの具体的詳細、関係、及び方法は、本明細書で開示される実施形態の完全な理解を実現するために示されることを理解されたい。
【００１６】
[0023]しかし、開示される実施形態は、それらの具体的詳細のうちの１つ又は複数なしにあるいは他の方法で実施され得ることが、当業者には容易に理解されよう。他の例では、よく知られている構造物又は動作は、本明細書で開示される態様を分かり難くすることを避けるために、詳細には示されない。いくつかの行動は異なる順番で及び／又は他の行動もしくは事象と同時に生じ得るので、開示される実施形態は、示された順番の行動もしくは事象に限定されない。さらに、示されたすべての行動又は事象が、本開示による方法論を実装するために必要とされる訳ではない。
【００１７】
[0024]図１は、例示的一実施形態による、複数のネットワークデバイス１６０を含む制御システム１５０のネットワークに統合された例示的サイバーセキュリティリスク分析システム（システム）１００である。システム１００は、プロセッサ１１０及びメインメモリ１１２及びストレージデバイス１１６を含んで示されたセントラルサーバ１０５を含む。メインメモリ１１２及びストレージデバイス１１６は、開示されるアルゴリズム及びデータベースデータを記憶する。一実施形態では、ストレージデバイス１１６は、脆弱性データベース１２０、ルールエンジン及び集計モジュール１２２、データコレクションモジュール１２４、リスクの動的定量化（ＤＱＲ）プログラムもしくはモジュールもしくはアルゴリズム１２８、及び、ユーザインターフェース（ＵＩ）ウェブアプリケーションモジュール１２６を記憶することができる。開示されるアルゴリズムを使用して、プロセッサ１１０は、脆弱性データベース１２０と、ルールエンジン及び集計モジュール１２２と、データコレクションモジュール１２４と、リスクの動的定量化（ＤＱＲ）プログラム又はモジュール１２８と、ユーザＵＩウェブアプリケーションモジュール１２６とを実装して示される。
【００１８】
[0025]セントラルサーバ１０５は、ネットワークデバイス１６０と通信する。制御システム１５０によって実装されるネットワークは、有線（たとえば、ケーブル）、無線、光、あるいはその３つの任意の組合せ（たとえば、有線及び無線）でもよい。ネットワークデバイス１６０は、ワークステーション１３５、サーバ１４０、及び、フィールドデバイス１４５を含む。データコレクションモジュール１２４は、ワークステーション１３５、サーバ１４０及びフィールドデバイス１４５を含む制御システム１５０によって実装されるネットワーク内の各監視されるデバイス上のローカルエージェントを使用して実装することができ、ローカルエージェントは、データを収集し、各デバイス上のエージェントなしの（ａｇｅｎｔｌｅｓｓ）コレクションプロトコル（たとえば、ＷＩＮＤＯＷＳ（登録商標）  Ｍａｎａｇｅｍｅｎｔ  Ｉｎｓｔｒｕｍｅｎｔａｔｉｏｎ（ＷＭＩ）、簡易ネットワーク管理プロトコル（ＳＮＭＰ）、Ｓｙｓｌｏｇ）、あるいは、これらの２つの手法の組合せを使用するなどして、データコレクションモジュール１２４にデータを送る。１つの特定の実装形態は、データ収集のためにＭｉｃｒｏｓｏｆｔ  Ｓｙｓｔｅｍ  Ｃｅｎｔｅｒ  Ｏｐｅｒａｔｉｏｎ  Ｍａｎａｇｅｒ（ＳＣＯＭ）を使用する。したがって、システム１００は、ワークステーション１３５（又はＰＣ）からデータを収集するためのローカルエージェントとスイッチ、ルータ、ファイアウォール及び侵入検出／防止デバイスからデータを集めるためのエージェントなしのコレクションとの組合せを使用することができる。未加工データは、短期データベース（たとえば、７日間のデータ）及び長期データウェアハウス（たとえば、１２カ月のデータ（又は、構成される場合にはそれより多い））においてデータコレクションモジュール１２４によって記憶することができる。データは、監視されるネットワークデバイスから周期的に（ポーリング）、又は制御システム１５０内の任意の監視されるデバイスで変更又は事象が検出されたときに、収集することができる。
【００１９】
[0026]ルールエンジン及び集計モジュール１２２は、データコレクションモジュール１２４からデータを読み取り、ＳＣＯＭデータベースとして実施し、それを正規化されたデータ及びグループ分けに翻訳するカスタム開発されたルールエンジンで実装され得る。ルールエンジン及び集計モジュール１２２は、事象が生じたときにＳＣＯＭから非同期通知を受信すること及びそれらを基本的に即座に処理することができる。ルールエンジン及び集計モジュール１２２は、結果として生じる情報をストレージデバイス１１６内の脆弱性データベース１２０にロードする。
【００２０】
[0027]脆弱性データベース１２０は、カスタムスキーマを有するＭＩＣＲＯＳＯＦＴ構造化照会言語（ＳＱＬ）データベースとして実装され得る。脆弱性情報及び事象は、ルールエンジン及び集計モジュール１２２によって脆弱性データベース１２０にロードされ、図示されたＵＩウェブアプリケーション１２６を介するなどして、ユーザインターフェース（ＵＩ）１３０によって使用される。
【００２１】
[0028]ＵＩウェブアプリケーション１２６は、制御システム１５０においてブラウザーを介してアクセスされるウェブアプリケーションとして実装され得る。ブラウザー１３３は、ＵＩウェブアプリケーション１２６にアクセスするための許可を有するパーソナルコンピュータ（ＰＣ）１３２又は他のデバイス（たとえば、タブレット）上に置かれ得る。ＵＩウェブアプリケーション１２６は、Ｍｉｃｒｏｓｏｆｔインターネット情報サービス（ＩＩＳ）においてホストされ、脆弱性データベース１２０及び動的ウェブページ機能のためのｋｎｏｃｋｏｕｔ．ｊｓの更新のリアルタイム通知のためにＳｉｇｎａｌＲ及びＪＳＯＮを使用することができる。ＵＩウェブアプリケーション１２６の一代替実施形態は、ブラウザーベースのアプリケーションではなくて独立型アプリケーションである。このアプリケーションは、ＵＩウェブアプリケーション１２６を必要とせずに脆弱性データベース１２０に直接アクセスし、（そのデータベースのセキュリティ対象）情報を使用してインターフェースを駆動することになる。
【００２２】
[0029]データコレクションモジュール１２４は、知られている脆弱性（たとえば、期限切れのＷＩＮＤＯＷＳ（登録商標）パッチ）についてネットワークデバイス１６０を走査して、脆弱性データベース１２０にロードされる脆弱性データを収集することができる。データコレクションモジュール１２４は、セキュリティ含意（ｓｅｃｕｒｉｔｙ  ｉｍｐｌｉｃａｔｉｏｎｓ）（たとえば、ウイルス検出、ＷＩＮＤＯＷＳ（登録商標）認証失敗）を有する事象について基本的に「継続的に」（たとえば、数秒ごとに）ネットワークデバイスを監視することができる。ネットワークデバイスを監視するための２つの異なる例示的方法が、使用され得る。最も単純な監視方法は、値がある固定間隔で（たとえば、１時間に１度）読み取られる、ポーリングである。可能であれば使用され得る他の方法は、人が変更に関心をもつ値を任意の時間に通知されるようにデバイスのオペレーティングシステムに登録することである。本方法は、一般に、ある特定の動作中のデバイス上のある特定のパラメータ（たとえば、ＷＩＮＤＯＷＳ（登録商標）マシン上のレジストリ値）についてのみ可能である。所与のパラメータのための通知について登録することが可能でないとき、ポーリングが、一般に使用される。監視のエリアは、ウイルス対策、アプリケーションホワイトリスティング、ＷＩＮＤＯＷＳ（登録商標）セキュリティ事象、ネットワークセキュリティ（スイッチ、ルータ、ファイアウォール、及び侵入検出／防止システムの状態を含む）、バックアップ状況、パッチング状況及び資産ポリシーを含む。
【００２３】
[0030]ＤＱＲモジュール１２８は、ネットワークデバイス１６０の間のデバイス間依存関係を説明する及び制御システム１５０にわたる観測された挙動に関するサイバーセキュリティリスクを動的に定量化する。たとえば、フィールドデバイス１４５及びワークステーション１３５の挙動はまた、サーバ１４０の全体的サイバーセキュリティリスクに影響を及ぼし得る。観測された挙動に関するリスクの動的定量化は、ネットワーク及びコンピューティングデバイスのゾーン、又は特定のデバイス依存関係のいずれかによって定義され得る、デバイス依存関係の概念に基づく。
【００２４】
[0031]図２は、本明細書で論じられる方法、プロセス、動作、アプリケーション、又は方法論のうちのいずれか１つ又は複数をセントラルサーバ１０５に実行させる命令２２４及び／又はアルゴリズム２２５のセットがその中で実行され得るセントラルサーバ１０５の例示的ブロック図を示す。セントラルサーバ１０５は、中央演算処理装置（ＣＰＵ）など１つ又は複数のプロセッサ１１０、メインメモリ１１２、及びスタティックメモリ２０６を含み、これらはデータバス及びアドレスバスを表し得るシステムバス２０８を介して互いに通信する。
【００２５】
[0032]プロセッサ１１０は、１つ又は複数のプロセス２０３を行う又は実行することができる。メインメモリ１１２は、プロセッサ１１０によって実行するための命令２２４及び／又はアルゴリズム２２５を記憶することができる。セントラルサーバ１０５はさらに、システムバス２０８に接続された出力デバイス２１０（たとえば、ビデオディスプレイ）及び信号生成デバイス２１８（たとえば、スピーカ）を含む。セントラルサーバ１０５はまた、システムバス２０８に接続された英数字入力デバイス２１２（たとえば、キーボード）及びカーソル制御デバイス２１４（たとえば、マウス）などの入力デバイスを有する。ネットワークインターフェースデバイス２２０は、システムバス２０８との通信を可能にするために外部通信ネットワーク２２６に接続されて示される。
【００２６】
[0033]ハードドライブ又はソリッドステートドライブなどのストレージデバイス１１６は、システムバス２０８に接続され、システムバス２０８と通信する。ストレージデバイス１１６は、本明細書に記載の方法論又は機能のうちのいずれか１つ又は複数を実施する命令２２４及び／又はアルゴリズム２２５などの１つ又は複数のセットのソフトウェアがそこに記憶されたマシン可読媒体２２２を含む。命令２２４及び／又はアルゴリズム２２５はまた、セントラルサーバ１０５によるその実行中にメインメモリ１１２内に及び／又はプロセッサ１１０内に、完全に又は少なくとも部分的に、存在し得る。メインメモリ１１２及びプロセッサ１１０はまた、マシン可読媒体を含む。命令２２４及び／又はアルゴリズム２２５はさらに、ネットワークインターフェースデバイス２２０を介してネットワーク２２６を介して送信又は受信され得る。
【００２７】
[0034]マシン可読媒体２２２は、例示的一実施形態において、単一の媒体として示されるが、「マシン可読媒体」という用語は、１つ又は複数のセットの命令を記憶する単一の媒体又は複数の媒体（たとえば、集中型又は分散型データベース、及び／又は関連キャッシュ及びサーバ）を含むと理解されるべきである。「マシン可読媒体」という用語はまた、コンピュータシステムによって実行するための命令のセットを記憶、エンコード又は運ぶことができる、そして本発明の様々な実施形態において示される方法論のうちのいずれか１つ又は複数をコンピュータシステムに実行させる、任意の媒体を含むと理解されるものとする。したがって、「マシン可読媒体」という用語は、ソリッドステートメモリと、光及び磁気媒体と、搬送波信号とを含むが、これらに限定されないと理解されるものとする。
【００２８】
[0035]図３を参照すると、ストレージデバイス１１６内に格納されたマシン可読媒体２２２の例示的内容が示される。マシン可読媒体２２２は、プロセッサ１１０によって実行するための命令２２４及び／又はアルゴリズム２２５を記憶することができる。オペレーティングシステム（０／Ｓ）３１０もまた、マシン可読媒体２２２に記憶される。Ｏ／Ｓ３１０は、資源を管理し、セントラルサーバ１０５のための共通サービスを提供する。
【００２９】
[0036]マシン可読媒体２２２はさらに、脆弱性データベース１２０と、ルールエンジン及び集計モジュール１２２と、データコレクションモジュール１２４と、ＤＱＲプログラム又はモジュール１２８と、ＵＩウェブアプリケーションモジュール１２６とを含む。脆弱性データベース１２０は、個別のサイバーセキュリティリスク３１２及びリスクメトリック３１４を含む。個別のサイバーセキュリティリスク３１２は、制御システム１５０の動作中に観測されたリスクである。リスクメトリック３１４は、各個別のサイバーセキュリティリスク３１２に関連するリスクのレベルにマップされた数値である。ルールの内部セットを使用して、数値スコアが、様々なリスクを定量化する及びリスクメトリック３１４を決定するために、各リスクに割り当てられ得る。単純な一例は、０から１００の数値（たとえば、０はリスクなしであり、１００は可能な最も高いリスクである）をそれぞれのリスクに割り当てることなど、ネットワークデバイスへの各起こり得るリスクの単純なスコアを与えることになる。
【００３０】
[0037]ルールエンジン及び集計モジュール１２２は、データコレクションモジュール１２４からデータを読み取り、それを正規化されたデータ及び論理的グループ分け１２３に翻訳するために、実装され得る。データコレクションモジュール１２４は、知られている脆弱性についてネットワークデバイス１６０を走査し、脆弱性データベース１２０にロードされる個別のサイバーセキュリティリスク３１２及びリスクメトリック３１４（脆弱性データ）を収集することができる。
【００３１】
[0038]ＤＱＲモジュール１２８は、ネットワークデバイス１６０の間のデバイス間依存関係を説明する及び制御システム１５０にわたる観測された挙動（個別のサイバーセキュリティリスク３１２）に関連するサイバーセキュリティリスクを動的に定量化するソフトウェアプログラムである。ＤＱＲモジュール１２８は、サイバーセキュリティリスク３１２の発生（流行（ｐｒｅｖａｌｅｎｃｅ））の頻度を追跡するカウンタ３２２を含む。個別のサイバーセキュリティリスクの新たな発生が観測されたとき、カウンタ３２２の値は増やされる。個別のサイバーセキュリティリスク３１２の発生が解消されたとき、カウンタ３２２の値は減らされる。ＤＱＲモジュール１２８はまた、流行リスク修飾子（ｐｒｅｖａｌｅｎｃｅ  ｒｉｓｋ  ｍｏｄｉｆｉｅｒ）３２４、個別の修正された定量化されたリスク３２６及びデバイス間の修正された定量化されたリスク３２８を含む。
【００３２】
[0039]マシン可読媒体２２２はさらに、流行値３５２を記憶する流行値データベース３５０を含む。流行値３５２は、サイバーセキュリティリスク３１２が観測されたネットワークデバイスの数、ならびにサイバーセキュリティリスクの頻度（すなわち、それが１０の監視されるネットワークデバイスにわたって起こる、及び／又は、それが単一のデバイスで数回連続して起こる）の両方を示す。一実施形態では、流行値３５２は、データコレクションモジュール１２４によって計算又は生成され、ストレージデバイス２１６に記憶される。そのリスクの流行を正確に反映するために、サイバーセキュリティリスク３１２の発生が減少する場合、流行値は、時間とともに減少する。
【００３３】
[0040]各個別のサイバーセキュリティリスク３１２について、カウンタ３２２によって追跡されるものとしての、それが発生した回数は、流行リスク修飾子３２４を生成するために、対応する流行値を乗じられる。流行リスク修飾子３２４は、修正された定量化されたリスク３２６を生成するために、各個別のサイバーセキュリティリスク３１２のすべてのインスタンスの既存のリスクメトリック３１４を変更するために使用される。例示的一実施形態では、１つの個別のサイバーセキュリティリスク３１２は、ワークステーション１３５上のユーザアカウントの特権が、管理者アクセスを可能にするように修正されることである。それ自体で、これは、特権の拡大（多数のサイバー攻撃における局面）の例となり得、あるいは、それは、正当な変更であり得る。別のユーザの特権が、ほぼ同時に別のワークステーション１３５で拡大される場合、正当な変更の可能性は減り、一方で、サイバー攻撃の確率は高まる。個別のサイバーセキュリティリスク３１２の各々の新たな発生で、リスクは、さらに疑われるようになり、現実に害悪を及ぼす確率が高くなり、したがって、流行リスク修飾子３２４は、計算されて、この個別のサイバーセキュリティリスク３１２のすべての発生について修正された定量化されたリスク３２６を増やす。
【００３４】
[0041]マシン可読媒体２２２はさらに、デバイス間依存関係（依存関係影響値（ｄｅｐｅｎｄｅｎｃｙ  ｉｍｐａｃｔ  ｖａｌｕｅｓ）３６２）を含む依存関係影響値データベース３６０を記憶する。依存関係影響値３６２は、特定の個別のサイバーセキュリティリスク３１２が、他の個別のサイバーセキュリティリスク３１２の重大度又は重要性に直接影響を及ぼすことを示す。個別のサイバーセキュリティリスク３１２が観測されたとき、依存関係影響値データベース３６０の参照が、その個別のサイバーセキュリティリスク３１２に関連する依存関係影響値３６２、ならびに影響を受けるネットワークデバイス１６０のリスト及び個別のサイバーセキュリティリスク３１２の影響を決定するために必要とされる任意の条件付きロジックが存在するかを決定するために生じる。依存関係影響値３６２は、デバイス間の修正された定量化されたリスク（全リスク）３２８を生成するために、影響を受けるネットワークデバイスのすべてのリスクメトリック３１４の修正された定量化されたリスク３２６に追加される。
【００３５】
[0042]一例では、ＷＩＮＤＯＷＳ（登録商標）セキュリティ監査が、それが前に実行していたサーバで無効にされる。これは、マルウェア又は未承認の使用の悪意ある結果である可能性が非常に高く、観測されるシステムが損なわれている高い確率を示す。このため、すべての個別のサイバーセキュリティリスク３１２は、より厳しく精査され、さらに疑って扱われるべきである。そのような事象が観測されたとき、依存関係影響値データベース３６０の参照が、ＷＩＮＤＯＷＳ（登録商標）セキュリティ監査が無効にされることに関連する依存関係影響値３６２があるかを決定するために、生じる。この依存関係影響値３６２は、デバイス間の修正された定量化されたリスク（全リスク）３２８を生成するために、影響を受けるネットワークデバイスのすべてのリスクメトリック３１４の修正された定量化されたリスク３２６に追加される。
【００３６】
[0043]もう１つの例では、１つのワークステーション上のウイルス対策ソフトウェアが、ウイルスを検出し、隔離した。このサイバーセキュリティリスク３１２を観測したとき、依存関係影響値３６２は、ウイルス対策ソフトウェアによって保護されない、又はそのウイルスを検出するために使用されるものより古いウイルス対策マルウェア定義ファイルを有する（内部ロジック及びデータ、又は脆弱性管理システムなどの第３者システムへの呼出しのいずれかを使用する）、すべてのネットワークデバイス１６０のリスクメトリック３１４を増やすようにＤＱＲアルゴリズム１２８に指示する、それに関連付けられた条件付きロジックで取得される。ウイルスは高リスクであるが、ブロックされたウイルスは低リスクであり、したがって、脆弱なシステムのリスクメトリック３１４のみが、修正されて、より高いリスクを反映する。
【００３７】
[0044]依存関係影響値３６２は、すべてのネットワークデバイス１６０（たとえば、ネットワークリスクの増加が、そのネットワーク内のすべてのデバイスに影響を及ぼし得る）、又は以下などの基準に基づくネットワークデバイス１６０のサブセットにわたって定義され得る：デバイスタイプ、ユーザアカウント、特定のパッチレベル、又は、リスク対象を説明するほとんどの知られているデータポイント。これは、依存関係又は流行値が、それらの依存するネットワークデバイスの測定されたリスクメトリック３１４にのみ適用されるように、依存関係影響値３６２又は流行値３５２を有する観測されたサイバーセキュリティリスク３１２の任意の新たな発生を処理するときに参照が実行されることを必要とする。
【００３８】
[0045]図４Ａ及び４Ｂを見ると、デバイスネットワーク全域の観測された挙動に関するセキュリティリスクの動的定量化に関して、さらなる開示が、ここで行われる。前述のように、開示されるルールエンジン及び集計モジュール１２２によって使用されるセキュリティリスクは、観測された挙動に基づいて、相互依存するネットワークデバイスに関連するリスクをより正確に表すために、ＵＩ１３０に影響を及ぼす。図４Ａに示されるように、観測された挙動に関するセキュリティリスクの動的定量化のない描写４００Ａは、ルールエンジン１２２がネットワークデバイスのリストのセキュリティリスクメトリック（デバイス１メトリック４０２、デバイス２メトリック４０３及びデバイス３メトリック４０４）を計算し、アラートレベルもまた識別するＵＩ１３０Ａを介してこれらを表示する、ＵＩ１３０Ａを示す。ネットワークデバイスに関連するリスクは、すべて独立しており、観測された挙動に基づいて変更されない。
【００３９】
[0046]対照的に、図４Ｂに示されるように観測された挙動に関するセキュリティリスクの開示される動的定量化を用いて、デバイス３の挙動は、ネットワークデバイス１及び２の全体的リスクに影響を及ぼし得る。これは、描写４００ＢにおいてＵＩ１３０Ｂとして表される。デバイス１メトリック４０５及びデバイス２メトリック４０６の新しいリスクメトリックは、デバイス３の相互依存関係を考慮して生成されてある。一実施形態では、観測された挙動に関するセキュリティリスクの動的定量化の使用は、マイナーアラートをメジャーアラートに変えることができる。
【００４０】
[0047]観測された挙動に関するリスクの動的定量化は、すべてのネットワークデバイスを備えるゾーン、又は特定のデバイス依存関係によって定義され得る、デバイス依存関係の概念に基づく。図４Ｃは、単一のゾーン４０８内のネットワーク４２０によって相互接続された複数のネットワークデバイスに適用されるものとしてのデバイス間依存関係（依存関係影響値３６２）の概念地図を示す。デバイスａ４２８は、他のデバイスに依存しない。デバイスｂ４３０、デバイスｃ４３２及びデバイスｅ４３６は、デバイスＸ４１０に依存する。デバイスＸ４１０へのあらゆるリスクは、対応する下位の依存するデバイス（たとえば、デバイス４３０、４３２及び４３６）もまたリスクにさらすことになる。リスクＤｘは、デバイス４３０、４３２及び４３６に伝播して示される。デバイスｄ４３４は、デバイスＹ４１２に依存する。デバイスＹ４１２へのあらゆるリスクは、依存するデバイスｄ４３４もまたリスクにさらすことになる。デバイスｄ４３４へのリスクは、Ｄｙによって調整されることになる。Ｄｘ及びＤｙは、依存関係影響値３６２であり、依存関係影響値データベース３６０に記憶され、ルールエンジン及び集計モジュール１２２に統合される。デバイスｄ４３４へのリスクは、どのように依存関係が複雑になり、階層化され得るかを示す。
【００４１】
[0048]観測された挙動に関するリスクの動的定量化はまた、相互接続性及び他の要因に基づいて、同様にいくつかのゾーンの間で動的に調節され得る。図４Ｄを参照すると、ネットワーク内のいくつかのゾーンの描写４５０が、示される。ゾーン１  ４５２内のリスク項目は、ゾーン２  ４５４へのリスク４６０として影響を及ぼし得る又は流入し得る（ｃａｎ  ｉｎｆｌｕｅｎｃｅ  ｏｒ  ｃａｓｃａｄｅ）。ゾーン２  ４５４はまた、ゾーン３  ４５６に接続され、したがって、付加的な影響又はリスク４６２はまた、追加の接続されたゾーンについては恐らくはより低い度合で、流入し得る。ゾーン３  ４５６におけるリスク項目は、ゾーン４  ４５８へのリスク４６４として影響を及ぼし得る又は流入し得る。
【００４２】
[0049]図５は、観測された挙動に関するサイバーセキュリティリスクの動的定量化の方法５００の描写を提供する。方法５００は、観測されたリスク１  ５０２、リスク２  ５０４及びリスク２  ５０６などの１つ又は複数の個別のサイバーセキュリティリスク３１２の観測で開始する。リスク５０２〜５０６は、データコレクションモジュール１２４の動作中に観測され得る。一実施形態では、リスク５０２〜５０６は、スタティックデータポイントのコレクション（ファイアウォールが有効又は無効にされる）、デバイス生成事象（ウイルス対策ソフトウェアが、ファイアウォールを隔離した）、及び収集された値（ネットワークスイッチからのドロップされたパケットの数、又はパスワードの長さ）でもよい。図５では、２つの重複するリスク２（５０４及び５０６）が、観測され、各々は別々の観測されたリスクとしてラベル付けされる。
【００４３】
[0050]リスク５０２〜５０６の発生が、観測されたとき、それは、ブロック５０８で脆弱性データベース１２０（関連するリスクメトリック３１４（Ｍ）とともに）に記憶される。リスク５０２〜５０６の発生が観測されたとき、カウンタ３２２の値は増やされる（ブロック５１０）。個別のサイバーセキュリティリスク３１２の発生が解消されたとき、カウンタ３２２の値は減らされる（ブロック５１０）。個別のサイバーセキュリティリスク３１２の発生が観測されたときにもまた、個別のサイバーセキュリティリスク３１２に関連する流行値（Ｐ）３５２は、流行値データベース３５０から決定される又は参照される（ブロック５１２）。流行値３５２は、サイバーセキュリティリスク３１２が、それがより大量に又はより高い頻度で生じたときに、より重要かどうかを示す。また、個別のサイバーセキュリティリスク３１２の発生が観測されたとき、個別のサイバーセキュリティリスク３１２に関連する依存関係影響値（Ｄｌ、Ｄ２）３６２及び影響を受けるネットワークデバイスが、依存関係影響データベース３６０から決定される又は参照される（ブロック５１４）。依存関係影響値３６２は、観測されたサイバーセキュリティリスク３１２が、任意の又はすべての他のサイバーセキュリティリスク３１２に影響を及ぼすかどうかを示す。
【００４４】
[0051]一実施形態では、流行値３５２及び依存関係影響値３６２は、あらかじめ定められ、それぞれ、データベース３５０及び３６０に記憶される。もう１つの実施形態では、ＤＱＲプログラム１２８を実行する、プロセッサ１１０は、新しい流行値３５２及び依存関係影響値３６２を計算する、又は、観測されたサイバーセキュリティリスク３１２及び関連するリスクメトリック３１４に基づいてデータベース３５０及び３６０に記憶された流行値３５２（ブロック５１２）及び依存関係影響値３６２（ブロック５１４）を修正する。
【００４５】
[0052]デバイス１の全サイバーセキュリティリスクが、ブロック５２０で計算される。デバイス１の全リスクは、デバイス１に関連するすべての個別のサイバーセキュリティリスク３１２のリスクメトリック３１４（Ｍ）、流行値（Ｐ）３５２及び依存関係影響値（Ｄｌ）３６２の合計である。デバイス２の全サイバーセキュリティリスクは、ブロック５２２で計算される。デバイス２の全リスクは、デバイス２に関連するすべての個別のサイバーセキュリティリスク３１２のリスクメトリック３１４（Ｍ）、流行値（Ｐ）３５２及び依存関係影響値（Ｄ２）３６２の合計である。
【００４６】
[0053]図６を参照すると、制御システム１５０においてサイバーセキュリティリスクを動的に定量化するための例示的方法６００のステップを示す流れ図が示される。図１〜６を参照すると、方法６００は、セントラルサーバ１０５内のプロセッサ１１０による、具体的にはプロセッサ１１０によるＤＱＲプログラム１２８の実行による、命令２２４及び／又はアルゴリズム２２５の実行を介して実装され得る。
【００４７】
[0054]方法６００は、開始ブロックで開始し、ブロック６０２に進む。ブロック６０２で、プロセッサ１１０は、データコレクションモジュール１２４を介してデータを収集する。データコレクションモジュールは、知られている脆弱性についてネットワークデバイス１６０を走査し、個別のサイバーセキュリティリスク３１２と、脆弱性データベース１２０に記憶された（ブロック６０４）リスクメトリック３１４（脆弱性データ）とを収集する。プロセッサ１１０は、流行値データベース３５０からの流行値３５２と、ストレージデバイス２１６からの依存関係影響値データベース３６０からの依存関係影響値３６２とを取得する（ブロック６０６）。プロセッサ１１０は、定量化された個別のサイバーリスクの新たな発生が観測されたときに各々の個別のサイバーセキュリティリスク３１２のリスクカウンタ３２２の値を増やし、定量化された個別のサイバーリスクが解消されたときに各々の個別のサイバーセキュリティリスク３１２のリスクカウンタ３２２の値を減らす（ブロック６０８）。
【００４８】
[0055]プロセッサ１１０は、取得された流行値３５２及びサイバーセキュリティリスク３１２の任意の観測された新たな発生に基づいて、サイバーセキュリティリスク３１２の新しい流行値３５２を決定する（ブロック６１０）。プロセッサ１１０は、取得された依存関係影響値３６２及び制御システム１５０内のネットワークデバイス１６０の相互依存関係に基づいて、サイバーセキュリティリスク３１２の新しい依存関係影響値３６２を決定する（ブロック６１０）。プロセッサ１１０は、ブロック６１２で、リスクカウンタ３２２をストレージデバイス２１６に記憶し、新しい流行値３５２を流行値データベース３５０に記憶し、新しい依存関係影響値３６２を依存関係影響値データベース３６０に記憶する。
【００４９】
[0056]プロセッサ１１０は、流行値３５２及びリスクカウンタ３２２に基づいて、定量化された個別のサイバーセキュリティリスク３１２の流行リスク修飾子３２４を計算する（ブロック６１４）。各個別のサイバーセキュリティリスク３１２について、カウンタ３２２によって追跡されるものとしての、それが発生した回数は、流行リスク修飾子３２４を生成するために、対応する流行値３５２を乗じられる。プロセッサ１１０は、流行リスク修飾子３２４及び定量化された個別のサイバーセキュリティリスク３１２に対応するリスクメトリック３１４のうちの１つに基づいて、少なくとも１つの個別の修正された定量化されたリスク３２６を計算又は生成する（ブロック６１６）。流行リスク修飾子３２４は、個別の修正された定量化されたリスク３２６を生成するために、各個別のサイバーセキュリティリスク３１２のすべてのインスタンスの既存のリスクメトリック３１４に追加される。
【００５０】
[0057]ブロック６１８で、プロセッサ１１０は、デバイス間の修正された定量化されたリスク（全リスク）３２８を計算又は生成する。デバイス間の修正された定量化されたリスク３２８は、影響を受けるネットワークデバイスのすべてのリスクメトリック３１４の個別の修正された定量化されたリスク３２６に依存関係影響値３６２を追加することによって、計算される。個別の修正された定量化されたリスク３２６を反映する、ネットワークデバイス１６０のうちの第１のネットワークデバイスのデバイス間依存関係３６２とネットワークデバイス１６０のうちの少なくとも１つの他のネットワークデバイスの定量化された個別のサイバーセキュリティリスク３１２及びリスクメトリック３１４が、第１のデバイスの定量化された個別のリスクを動的に修正してデバイス間の修正された定量化されたリスク３２８を生成するために、使用される。デバイス間の修正された定量化されたリスク（全リスク）３２８は、サイバーセキュリティリスク３１２による制御システム１５０への全リスクの測定を提供する。
【００５１】
[0058]プロセッサ１１０は、ルールエンジン及び集計モジュール１２２を使用して、すべてのサイバーセキュリティリスク３１２及びネットワークデバイス１６０のデバイス間の修正された定量化されたリスク３２８を処理する（ブロック６２０）。プロセッサ１１０は、ネットワークデバイスにわたるデバイス間の修正された定量化された個別のリスク３２８のランク付けを含むブロック６２０の動作からのデータを集計し（ブロック６２２）、少なくとも１つの論理的グループ分け１２３にデバイス間の修正された定量化された個別のリスク３２８を配列する（ブロック６２４）。ルールエンジン及び集計モジュール１２２処理からの結果は、ＵＩ１３０に送信され、そこで、論理的グループ分け１２３がユーザに表示される（ブロック６２６）。方法６００は、次いで、終了する。
【００５２】
[0059]様々な開示される実施形態が前述されたが、それらは、単に例として提示され、限定としてではないことを理解されたい。開示される実施形態への多くの変更が、本開示の趣旨及び範囲を逸脱することなしに本明細書における開示に従って行われ得る。したがって、本開示の広さ及び範囲は、前述の実施形態のいずれによっても限定されるべきではない。そうではなくて、本開示の範囲は、以下の請求項及びそれらと同等のものに従って、定義されるべきである。
【図１】
0006522118.tif 000002
【図２】
0006522118.tif 000003
【図３】
0006522118.tif 000004
【図４Ａ】
0006522118.tif 000005
【図４Ｂ】
0006522118.tif 000006
【図４Ｃ】
0006522118.tif 000007
【図４Ｄ】
0006522118.tif 000008
【図５】
0006522118.tif 000009
【図６】
0006522118.tif 000010