(57)【要約】  不審なユーザを分類する方法およびシステムが記載される。プロセッサは、ネットワークにアクセスすることを要求したユーザのｅメール・アドレスのドメイン・ネームが有効かどうかを判定してもよい。ドメイン・ネームが無効であるとき、プロセッサはそのユーザを不審なユーザに分類してもよい。ドメイン・ネームが有効であるとき、プロセッサはｅメール・アドレスがスクリプト生成ｅメール・アドレスである可能性を定めてもよい。ｅメール・アドレスがスクリプト生成ｅメール・アドレスであると考えられるとき、プロセッサはそのユーザを不審なユーザに分類してもよい。ｅメール・アドレスがスクリプト生成ｅメール・アドレスではないと考えられるとき、プロセッサは参照モデルに基づいてユーザによって示される異常使用挙動を識別してもよい。異常使用挙動が識別されるとき、プロセッサはそのユーザを不審なユーザに分類してもよく、かつネットワークにアクセスするためのそのユーザからの後続要求を拒否してもよい。
2021536052.tif 000002
【特許請求の範囲】
【請求項１】
プロセッサによって、ネットワークにアクセスすることを要求したユーザのユーザ・プロファイルを受信するステップであって、前記ユーザ・プロファイルは少なくとも前記ユーザのｅメール・アドレスを含み、前記ｅメール・アドレスはドメイン・ネームを含む、前記受信するステップと、
前記プロセッサによって、前記ドメイン・ネームが有効かどうかを判定するステップと、
前記ドメイン・ネームが無効であると判定したことに応答して、前記プロセッサによって、前記ユーザを不審なユーザに分類するステップと、
前記ドメイン・ネームが有効であると判定したことに応答して、
前記プロセッサによって、前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスである可能性を定めるステップであって、前記可能性を前記定めるステップは前記ｅメール・アドレスと複数のｅメール・アドレスとの相違に基づいており、前記複数のｅメール・アドレスは前記ドメイン・ネームを含み、かつ前記複数のｅメール・アドレスは前記ネットワークへのアクセスを要求した他のユーザに関連する、前記定めるステップと、
前記可能性に基づいて前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスであると判定したことに応答して、前記プロセッサによって、前記ユーザを不審なユーザに分類するステップと、
前記可能性に基づいて前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスではないと判定したことに応答して、
前記プロセッサによって、前記ユーザの使用挙動を参照モデルと比較するステップであって、前記使用挙動は前記ユーザによる前記ネットワークの使用履歴を示す、前記比較するステップと、
前記プロセッサによって、前記比較に基づいて前記ネットワーク上の前記ユーザによって示される異常使用挙動の存在があるかどうかを判定するステップと、
前記ネットワーク上の前記ユーザによって示される前記異常使用挙動の存在を判定したことに応答して、前記プロセッサによって、前記ユーザを不審なユーザに分類するステップと、
前記プロセッサによって、前記ネットワークにアクセスするための前記ユーザからの後続要求を拒否するステップと
を含む、コンピュータに実施される方法。
【請求項２】
前記ネットワーク上の前記ユーザによって示される異常使用挙動の存在がないと判定したことに応答して、前記プロセッサによって、前記ネットワークにアクセスするための前記ユーザからの前記後続要求を許可するステップをさらに含む、請求項１に記載のコンピュータに実施される方法。
【請求項３】
前記ドメイン・ネームが有効かどうかを判定するステップは、
前記プロセッサによって、ドメイン・ネーム・システムに前記ドメイン・ネームに対するクエリを送るステップと、
サーバのリストに対する前記ドメイン・ネームのマッピングを示すメール交換記録を受信したことに応答して、前記プロセッサによって、前記ドメイン・ネームが有効であると判定するステップと、
サーバのリストに対する前記ドメイン・ネームの前記マッピングを示す前記メール交換記録を受信しなかったことに応答して、前記プロセッサによって、前記ドメイン・ネームが無効であると判定するステップと
を含む、請求項１に記載のコンピュータに実施される方法。
【請求項４】
前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスである前記可能性を定めるステップは、
前記プロセッサによって、前記ｅメール・アドレスと前記複数のｅメール・アドレスとの相違の第１の平均を定めるステップと、
前記プロセッサによって、前記複数のｅメール・アドレスの長さの変動係数を定めるステップと、
前記プロセッサによって、前記ｅメール・アドレスと前記ユーザの名前との相違、および前記複数のｅメール・アドレスと対応するユーザの名前との相違の第２の平均を定めるステップと、
前記プロセッサによって、前記第１の平均と、前記長さの変動係数と、前記第２の平均とに基づいてスコアを定めるステップと、
前記プロセッサによって、前記スコアを閾値と比較するステップと、
前記プロセッサによって、前記スコアと前記閾値との前記比較に基づいて、前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスである前記可能性を定めるステップと
を含む、請求項１に記載のコンピュータに実施される方法。
【請求項５】
異常使用挙動の存在があるかどうかを判定するステップは、ロバストな主成分分析を用いるステップを含む、請求項１に記載のコンピュータに実施される方法。
【請求項６】
前記プロセッサによって、前記ドメイン・ネームを含むｅメール・アドレスの数を定めるステップと、
前記プロセッサによって、定められた前記ｅメール・アドレスの数を閾値と比較するステップとをさらに含み、
前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスである前記可能性を定めるステップは、前記ｅメール・アドレスの数が前記閾値よりも大きいと判定したことに応答して行われる、請求項１に記載のコンピュータに実施される方法。
【請求項７】
前記使用挙動と前記参照モデルとの前記比較は、前記ネットワーク上で前記ユーザによって行われるアクティビティの存在を検出したことに応答して行われる、請求項１に記載のコンピュータに実施される方法。
【請求項８】
前記参照モデルは、前記ネットワークへのアクセスを要求した前記他のユーザによって示される使用挙動に基づくものである、請求項１に記載のコンピュータに実施される方法。
【請求項９】
前記使用挙動を前記参照モデルと比較するステップは、前記プロセッサによって、前記使用挙動を前記ネットワーク上の不審なユーザによって示される使用挙動履歴と比較するステップを含む、請求項１に記載のコンピュータに実施される方法。
【請求項１０】
ネットワークにアクセスすることを要求したユーザのユーザ設定を保存するように構成されたメモリ・デバイスであって、前記ユーザ設定は、少なくとも前記ユーザのｅメール・アドレスおよび使用挙動を含み、前記ｅメール・アドレスはドメイン・ネームを含み、前記使用挙動は前記ユーザによる前記ネットワークの使用履歴を示す、前記メモリ・デバイスと、
前記メモリ・デバイスと通信するように構成されたハードウェア・プロセッサとを含み、前記ハードウェア・プロセッサは、
前記ドメイン・ネームが有効かどうかを判定することと、
前記ドメイン・ネームが無効であるという判定に応答して、前記ユーザを不審なユーザに分類することと、
前記ドメイン・ネームが有効であるという判定に応答して、
前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスである可能性を定めることであって、前記可能性を前記定めることは前記ｅメール・アドレスと複数のｅメール・アドレスとの相違に基づいており、前記複数のｅメール・アドレスは前記ドメイン・ネームを含み、かつ前記複数のｅメール・アドレスは前記ネットワークへのアクセスを要求した他のユーザに関連する、前記定めることと、
前記可能性に基づいて前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスであるという判定に応答して、前記ユーザを不審なユーザに分類することと、
前記可能性に基づいて前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスではないという判定に応答して、
前記使用挙動を参照モデルと比較することと、
前記比較に基づいて前記ネットワーク上の前記ユーザによって示される異常使用挙動の存在があるかどうかを判定することと、
前記ネットワーク上の前記ユーザによって示される前記異常使用挙動の存在の前記判定に応答して、前記ユーザを不審なユーザに分類することと、
前記ネットワークにアクセスするための前記ユーザからの後続要求を拒否することと
を行うように構成される、システム。
【請求項１１】
前記ハードウェア・プロセッサはさらに、
前記ネットワーク上の前記ユーザによって示される異常使用挙動の存在がないと判定したことに応答して、前記ネットワークにアクセスするための前記ユーザからの前記後続要求を許可するように構成される、請求項１０に記載のシステム。
【請求項１２】
前記ハードウェア・プロセッサはさらに、
ドメイン・ネーム・システムに前記ドメイン・ネームに対するクエリを送ることと、
サーバのリストに対する前記ドメイン・ネームのマッピングを示すメール交換記録を受信したことに応答して、前記ドメイン・ネームが有効であると判定することと、
サーバのリストに対する前記ドメイン・ネームの前記マッピングを示す前記メール交換記録を受信しなかったことに応答して、前記ドメイン・ネームが無効であると判定することと
を行うように構成される、請求項１０に記載のシステム。
【請求項１３】
前記ハードウェア・プロセッサはさらに、
前記ｅメール・アドレスと前記複数のｅメール・アドレスとの相違の第１の平均を定めることと、
前記複数のｅメール・アドレスの長さの変動係数を定めることと、
前記ｅメール・アドレスと前記ユーザの名前との相違、および前記複数のｅメール・アドレスと対応するユーザの名前との相違の第２の平均を定めることと、
前記第１の平均と、前記長さの変動係数と、前記第２の平均とに基づいてスコアを定めることと、
前記スコアを閾値と比較することと、
前記スコアと前記閾値との前記比較に基づいて、前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスである前記可能性を定めることと
を行うように構成される、請求項１０に記載のシステム。
【請求項１４】
前記ハードウェア・プロセッサはさらに、
前記ドメイン・ネームを含むｅメール・アドレスの数を定めることと、
定められた前記ｅメール・アドレスの数を閾値と比較することとを行うように構成され、
前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスである前記可能性を前記定めることは、前記ｅメール・アドレスの数が前記閾値よりも大きいと判定したことに応答して行われる、請求項１０に記載のシステム。
【請求項１５】
前記使用挙動と前記参照モデルとの前記比較は、前記使用挙動と前記ネットワーク上の不審なユーザによって示される使用挙動履歴との比較を含む、請求項１０に記載のシステム。
【請求項１６】
ネットワークの不審なユーザを分類するコンピュータ・プログラム製品であって、前記コンピュータ・プログラム製品は、自身によって具現化されるプログラム命令を有するコンピュータ可読ストレージ媒体を含み、前記プログラム命令はデバイスの処理エレメントによって実行可能であることで、
ネットワークにアクセスすることを要求したユーザのユーザ・プロファイルを受信することであって、前記ユーザ・プロファイルは少なくともｅメール・アドレスを含み、前記ｅメール・アドレスはドメイン・ネームを含む、前記受信することと、
前記ドメイン・ネームが有効かどうかを判定することと、
前記ドメイン・ネームが無効であるという判定に応答して、前記ユーザを不審なユーザに分類することと、
前記ドメイン・ネームが有効であるという判定に応答して、
前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスである可能性を定めることであって、前記可能性を前記定めることは前記ｅメール・アドレスと複数のｅメール・アドレスとの相違に基づいており、前記複数のｅメール・アドレスは前記ドメイン・ネームを含み、かつ前記複数のｅメール・アドレスは前記ネットワークへのアクセスを要求した他のユーザに関連する、前記定めることと、
前記可能性に基づいて前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスであるという判定に応答して、前記ユーザを不審なユーザに分類することと、
前記可能性に基づいて前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスではないという判定に応答して、
前記ユーザの使用挙動を参照モデルと比較することであって、前記使用挙動は前記ユーザによる前記ネットワークの使用履歴を示す、前記比較することと、
前記比較に基づいて前記ネットワーク上の前記ユーザによって示される異常使用挙動の存在があるかどうかを判定することと、
前記ネットワーク上の前記ユーザによって示される前記異常使用挙動の存在の前記判定に応答して、前記ユーザを不審なユーザに分類することと、
前記ネットワークにアクセスするための前記ユーザからの後続要求を拒否することと
を前記デバイスに行わせる、コンピュータ・プログラム製品。
【請求項１７】
前記プログラム命令は、前記デバイスの前記処理エレメントによってさらに実行可能であることで、前記ネットワーク上の前記ユーザによって示される異常使用挙動の存在がないと判定したことに応答して、前記ネットワークにアクセスするための前記ユーザからの前記後続要求を許可することを前記デバイスに行わせる、請求項１６に記載のコンピュータ・プログラム製品。
【請求項１８】
前記プログラム命令は、前記デバイスの前記処理エレメントによってさらに実行可能であることで、
ドメイン・ネーム・システムに前記ドメイン・ネームに対するクエリを送ることと、
サーバのリストに対する前記ドメイン・ネームのマッピングを示すメール交換記録を受信したことに応答して、前記ドメイン・ネームが有効であると判定することと、
サーバのリストに対する前記ドメイン・ネームの前記マッピングを示す前記メール交換記録を受信しなかったことに応答して、前記ドメイン・ネームが無効であると判定することと
を前記デバイスに行わせる、請求項１６に記載のコンピュータ・プログラム製品。
【請求項１９】
前記プログラム命令は、前記デバイスの前記処理エレメントによってさらに実行可能であることで、
前記ｅメール・アドレスと前記複数のｅメール・アドレスとの相違の第１の平均を定めることと、
前記複数のｅメール・アドレスの長さの変動係数を定めることと、
前記ｅメール・アドレスと前記ユーザの名前との相違、および前記複数のｅメール・アドレスと対応するユーザの名前との相違の第２の平均を定めることと、
前記第１の平均と、前記長さの変動係数と、前記第２の平均とに基づいてスコアを定めることと、
前記スコアを閾値と比較することと、
前記スコアと前記閾値との前記比較に基づいて、前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスである前記可能性を定めることと
を前記デバイスに行わせる、請求項１６に記載のコンピュータ・プログラム製品。
【請求項２０】
前記使用挙動と前記参照モデルとの前記比較は、前記使用挙動と前記ネットワーク上の不審なユーザによって示される使用挙動履歴との比較を含む、請求項１６に記載のコンピュータ・プログラム製品。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は一般的にコンピュータおよびコンピュータ・アプリケーションに関し、より具体的にはサイバーセキュリティおよびコンピュータ・ネットワークに関するコンピュータに実施される方法およびシステムに関する。
【背景技術】
【０００２】
たとえばクラウド・コンピューティング・プラットフォームなどのネットワークは、複数のユーザに製品またはサービスを提供してもよい。たとえばフリー・トライアル期間、またはフリーミアム・モデルを用いるアプリケーションなどのいくつかの使用状況例においては、ネットワークがユーザにたとえば支払い情報、信用情報、またはその他のユーザ特有の情報などの特定のユーザ情報を提供することを要求せずに、製品またはサービスを提供することがある。こうした使用状況の間にもしネットワークにおいて攻撃が起これば、ネットワークのユーザに関連する十分なユーザ特有の情報がないことがあるため、セキュリティ・システムが特定のユーザに対する攻撃または攻撃のソースを追跡することは困難かもしれない。
【発明の概要】
【０００３】
いくつかの例において、ネットワークの不審なユーザを分類する方法が一般的に説明される。１つの態様において、この方法はプロセッサによって、ネットワークにアクセスすることを要求したユーザのユーザ・プロファイルを受信するステップを含む。ユーザ・プロファイルは少なくともｅメール・アドレスを含み、ｅメール・アドレスはドメイン・ネームを含む。この方法はさらに、プロセッサによって、ドメイン・ネームが有効かどうかを判定するステップを含む。この方法はさらに、ドメイン・ネームが無効であると判定したことに応答して、プロセッサによって、ユーザを不審なユーザに分類するステップを含む。この方法はさらに、ドメイン・ネームが有効であると判定したことに応答して、プロセッサによって、ｅメール・アドレスがスクリプト生成ｅメール・アドレスである可能性を定めるステップを含む。この可能性の判定は、そのｅメール・アドレスと複数のｅメール・アドレスとの相違に基づいており、ここで複数のｅメール・アドレスはドメイン・ネームを含んでおり、かつ複数のｅメール・アドレスはネットワークへのアクセスを要求した他のユーザに関連する。この方法はさらに、その可能性に基づいてｅメール・アドレスがスクリプト生成ｅメール・アドレスであると判定したことに応答して、プロセッサによって、ユーザを不審なユーザに分類するステップを含む。この方法はさらに、その可能性に基づいてｅメール・アドレスがスクリプト生成ｅメール・アドレスではないと判定したことに応答して、プロセッサによって、ユーザの使用挙動を参照モデルと比較するステップを含み、この使用挙動はユーザによるネットワークの使用履歴を示す。この方法はさらに、プロセッサによって、比較に基づいてネットワーク上のユーザによって示される異常使用挙動の存在があるかどうかを判定するステップを含む。この方法はさらに、ネットワーク上のユーザによって示される異常使用挙動の存在を判定したことに応答して、プロセッサによって、ユーザを不審なユーザに分類するステップを含む。この方法はさらに、プロセッサによって、ネットワークにアクセスするためのそのユーザからの後続要求を拒否するステップを含む。
【０００４】
いくつかの例において、ネットワークの不審なユーザを分類するための、メモリ・デバイスおよびハードウェア・プロセッサを含むシステムが一般的に説明される。メモリ・デバイスは、ネットワークにアクセスすることを要求したユーザのユーザ設定を保存するように構成される。ユーザ設定は、少なくともユーザのｅメール・アドレスおよび使用挙動を含み、ｅメール・アドレスはドメイン・ネームを含み、使用挙動はユーザによるネットワークの使用履歴を示す。ハードウェア・プロセッサは、メモリ・デバイスと通信するように構成される。ハードウェア・プロセッサは、ドメイン・ネームが有効かどうかを判定するように構成される。ハードウェア・プロセッサはさらに、ドメイン・ネームが無効であるという判定に応答して、ユーザを不審なユーザに分類するように構成される。ハードウェア・プロセッサはさらに、ドメイン・ネームが有効であるという判定に応答して、ｅメール・アドレスがスクリプト生成ｅメール・アドレスである可能性を定めるように構成される。この可能性の判定は、そのｅメール・アドレスと複数のｅメール・アドレスとの相違に基づいており、複数のｅメール・アドレスはそのドメイン・ネームを含んでおり、かつ複数のｅメール・アドレスはネットワークへのアクセスを要求した他のユーザに関連する。ハードウェア・プロセッサはさらに、その可能性に基づいてｅメール・アドレスがスクリプト生成ｅメール・アドレスであるという判定に応答して、ユーザを不審なユーザに分類するように構成される。ハードウェア・プロセッサはさらに、その可能性に基づいてｅメール・アドレスがスクリプト生成ｅメール・アドレスではないという判定に応答して、使用挙動を参照モデルと比較するように構成される。ハードウェア・プロセッサはさらに、比較に基づいてネットワーク上のユーザによって示される異常使用挙動の存在があるかどうかを判定するように構成される。ハードウェア・プロセッサはさらに、ネットワーク上のユーザによって示される異常使用挙動の存在の判定に応答して、ユーザを不審なユーザに分類するように構成される。ハードウェア・プロセッサはさらに、ネットワークにアクセスするためのそのユーザからの後続要求を拒否するように構成される。
【０００５】
いくつかの例において、ネットワークの不審なユーザを分類するコンピュータ・プログラム製品が一般的に説明される。コンピュータ・プログラム製品は、自身によって具現化されるプログラム命令を有するコンピュータ可読ストレージ媒体を含んでもよい。このプログラム命令は、デバイスの処理エレメントによって実行可能であることで、本明細書に記載される１つ以上の方法をそのデバイスに行わせてもよい。
【０００６】
添付の図面を参照して、さらなる特徴ならびにさまざまな実施形態の構造および動作が以下に詳細に説明される。図面において、類似の参照番号は同一または機能的に類似する構成要素を示す。
【図面の簡単な説明】
【０００７】
【図１】一実施形態におけるコンピュータ・ネットワークにおける不審アクティビティ検出を実施するために使用され得る、一実施形態におけるコンピュータ・システムの例を示す図である。
【図２】一実施形態におけるコンピュータ・ネットワークにおける不審アクティビティ検出に関する流れ図である。
【図３】一実施形態におけるコンピュータ・ネットワークにおける不審アクティビティ検出に関する流れ図である。
【図４】一実施形態におけるコンピュータ・ネットワークにおける不審アクティビティ検出を実施し得るコンピュータまたは処理システムの例を示す概略図である。
【図５】本発明の実施形態によるクラウド・コンピューティング環境を示す図である。
【図６】本発明の実施形態による抽象化モデル・レイヤを示す図である。
【発明を実施するための形態】
【０００８】
いくつかの実施形態における本開示によるシステム（例、図１に示されるシステム１００）は、ネットワーク内の情報およびリソースの保護における課題に対処するためのアプリケーションを提供する。システム１００は、ネットワークのユーザのユーザ・プロファイルに基づいて、たとえばネットワーク、特定のコンピュータ・プロセス、スレッド、デバイスのユーザなどの不審アクティビティのソースを検出するために実現され、ユーザ・プロファイルは、少なくともたとえばｅメール・アドレスなどの識別子を含んでもよい。システム１００は、ネットワーク上で行われる任意の不審アクティビティを識別するために、ユーザの識別子もしくはｅメール・アドレスまたはその両方を分析する。実施形態例において、システム１００は、たとえばコンピュータ・プログラムによって自動的に生成されたｅメール・アカウントなどのスクリプト生成ｅメール・アドレスであり得るｅメール・アドレスを識別するために、ユーザのｅメール・アドレスを分析する。さらに、システム１００はｅメール・アドレスに対して行われた分析に基づいてユーザを不審なユーザに分類して、ネットワークの管理者が分類された不審なユーザのユーザ・アカウントを再調査し得るようにする。
【０００９】
システム１００は、ユーザを信用すべきかどうかを確認する前に不審なユーザおよびアクティビティを分類することによって、たとえばユーザを信用すべきか信用しないかを判定するなどの２値検出を行うシステムを改善してもよい。さらにいくつかの例において、ネットワークにおける不審アクティビティを検出するために、たとえばクレジット・カード、電話番号、またはその他の外部検証などのユーザ特有の情報を用いることは不十分なことがあり、かつたとえば電話プロバイダ、クレジット・カード会社、信用スコア機関、銀行、ユーザ自身、もしくはその他のエンティティ、またはその組み合わせなどの関与し得る複数のエンティティのために煩雑なことがある。たとえば、電話番号の所有者の通話記録およびアイデンティティを得るための手順は、複数のエンティティからの許可を必要とし、かつ所有者の真の情報を伴い得るため、電話番号の検証は困難なことがある。
【００１０】
図１は、本明細書に記載される少なくともいくつかの実施形態によって配置された、コンピュータ・ネットワークにおける不審アクティビティ検出を実施するために使用され得るコンピュータ・システム１００の例を示す。いくつかの例において、システム１００はコンピュータ・デバイスにおいて実現されるシステムである。いくつかの例において、システム１００は、ネットワークの一部であるセキュリティ・システムであってもよい。システム１００は、互いに通信するように構成されたプロセッサ１２０およびメモリ１２２を含んでもよい。いくつかの例において、プロセッサ１２０はコンピュータ・デバイスの中央処理ユニットであってもよく、かつメモリ１２２もしくはシステム１００の他のコンポーネントまたはその両方の動作を制御するように構成されてもよい。いくつかの例において、システム１００は、本開示において記載される方法のそれぞれのタスクを行うように構成され得る、たとえばプログラマブル・ロジック・デバイス、マイクロコントローラ、メモリ・デバイス、もしくはその他のハードウェア・コンポーネント、またはその組み合わせなどの付加的なハードウェア・コンポーネントを含んでもよい。いくつかの例において、プロセッサ１２０は、本開示において記載される方法のそれぞれのタスクの各々を行うための命令を含むソフトウェア・モジュールを実行するように構成されてもよい。
【００１１】
メモリ１２２は、プロセッサ１２０によって実行可能な命令を選択的に保存するように構成される。たとえば一実施形態において、メモリ１２２は検出命令１２４（「命令１２４」）のセットを保存してもよく、命令１２４は、システム１００を実現し得る文字列動作および機械学習アルゴリズム、またはその他のアルゴリズムもしくは技術、あるいはその組み合わせに関する、たとえば実行可能コードなどの命令を含む。プロセッサ１２０は、システム１００の実現を促進するために命令１２４の１つ以上の部分を実行するように構成される。いくつかの例において、命令１２４は、システム１００を実現するコンピュータ・デバイスにインストールされ得るスタンドアロン・アプリケーションとしてパッケージングされてもよく、それによって命令１２４はシステム１００を実現するためにプロセッサ１２０によって実行されてもよい。いくつかの例において、命令１２４は、プロセッサ１２０の一部として埋め込まれ得るプログラマブル・ハードウェア・コンポーネントに保存されてもよい。
【００１２】
いくつかの例において、プロセッサ１２０もしくはメモリ１２２またはその両方は、プール１１０と通信するように構成されてもよく、ここでプール１１０はリソース１１２のネットワークである。リソース１１２は、たとえばプロセッサ、メモリ、ルータ、スイッチ、ネットワーク、データ・センタ、ソフトウェア・プログラム、およびその他のリソースなどのハードウェア・コンポーネントおよびソフトウェア・コンポーネントを含んでもよい。いくつかの例において、プール１１０は、たとえばプライベート・クラウド、コミュニティ・クラウド、パブリック・クラウド、またはハイブリッド・クラウドなどのクラウド・コンピューティング環境であってもよい。いくつかの例において、システム１００は、たとえばプール１１０内のリソース１１２のサービス・オーダの処理など、プール１１０内のリソース１１２を使用するためのサービス要求を処理するように構成されたシステムであってもよく、ここでオーダされたリソースは、コンピューティング・タスクを行うためにユーザによって使用されてもよい。たとえば、ユーザ１０１はユーザ・デバイス１０２を用いてシステム１００に要求１０６を送ってもよく、この要求１０６は、タスク１０５を行うためにプール１１０からの１つ以上のリソース１１２を使用するための要求であってもよい。タスク１０５のいくつかの例は、たとえばデータセット処理、データ・ストレージ、アプリケーション配置、コンテンツ・ホスティング、アプリケーション実行、もしくはその他のコンピューティング・タスク、またはその組み合わせなどのコンピュータ関係のタスクを含んでもよい。
【００１３】
メモリ１２２はさらに、ユーザ・データベース１２８を保存するように構成されてもよい。ユーザ・データベース１２８は、プール１１０の複数のユーザのユーザ設定１２９を保存するデータベースである。各ユーザ設定１２９はユーザのユーザ・プロファイルに対応し、名、姓、ユーザ名、パスワード、電話番号、住所、使用挙動データ（例、対応するユーザがリソース１１２にアクセスする時間、頻度、もしくはパターン、またはその組み合わせ）、もしくはユーザに関連するその他の情報、またはその組み合わせを含んでもよい。ユーザ設定１２９は、ユーザによって提供される情報を含んでもよく、かつプロセッサ１２０によって生成される情報も含んでもよい。図１に示される例において、プロセッサ１２０は要求１０６を受信してもよく、それに応答して、ユーザ・デバイス１０２にユーザ・プロファイル１０８を提供するよう要求してもよい。ユーザ・プロファイル１０８は、少なくともユーザ１０１のｅメール・アドレス１０９、および／またはユーザ１０１に関連するその他の情報、たとえば名、姓、ユーザ名、電話番号、住所、もしくはその他の情報、またはその組み合わせなどを含んでもよい。いくつかの例において、プロセッサ１２０は、ユーザ・プロファイル１０８にｅメール・アドレスが存在するかどうかを判定してもよい。ユーザ・プロファイル１０８にｅメール・アドレスが存在しないことに応答して、プロセッサ１２０はユーザ１０１にｅメール・アドレスを提供するよう要求してもよい。ユーザ・プロファイル１０８にｅメール・アドレスが存在することに応答して、プロセッサ１２０は、ユーザ１０１に対応するユーザ設定１２９の一部としてユーザ・プロファイル１０８を保存してもよい。プロセッサ１２０はさらに、たとえばプール１１０におけるユーザ１０１による使用挙動表示を追跡することなどによって使用挙動データを生成して、生成された使用挙動データをユーザ１０１に対応するユーザ設定１２９に追加してもよい。プロセッサ１２０は、プール１１０のユーザによる使用挙動表示の継続的追跡に基づいて、ユーザ設定１２９を更新し続けてもよい。
【００１４】
プロセッサ１２０は、不審アクティビティの１つ以上のソースを検出するために検出プロセス１５０を実行してもよい。たとえば、プロセッサ１２０は１人以上のユーザを不審である可能性のあるユーザとして分類するために検出プロセス１５０を実行してもよい。別の例において、プロセッサは特定のコンピュータ・プロセス、スレッド、デバイス、インターネット・プロトコル（ＩＰ：Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレス、もしくはその他のソース、またはその組み合わせを不審アクティビティのソースとして分類するために、検出プロセス１５０を実行してもよい。検出プロセス１５０は、プロセッサ１２０によって行われ得る１つ以上の動作、たとえばユーザ検証１５２、スクリプト生成プロファイル検出１５４、および異常使用検出１５６などを含む。
【００１５】
検出プロセス１５０は、ユーザ・データベース１２８に保存されたユーザ設定１２９に対して行われてもよい。いくつかの例において、プロセッサ１２０は、命令１２４において定められた時間間隔で定期的に検出プロセス１５０を自動的に行ってもよい。いくつかの例において、プロセッサ１２０は、新たなユーザ・プロファイルを受信したことに応答して検出プロセス１５０を自動的に行ってもよい。検出プロセス１５０を行うべき時間および状況は、システム１００の所望の実現に基づく。たとえばシステム１００は、処理電力を低減させるために、定期的に検出プロセス１５０を自動的に行うように構成されてもよい。別の例において、システム１００は、たとえば新たなユーザ・プロファイルの各々を受信したことに応答するか、または新たなユーザ・プロファイルを５つずつ受信したことに応答して検出プロセス１５０を行うなど、命令１２４によって定められた異なるセキュリティ・レベルに基づいて検出プロセス１５０を自動的に行うように構成されてもよい。
【００１６】
ユーザ検証１５２は、不審アクティビティのソースを識別するためにユーザ・データベース１２８に保存された１つ以上のユーザ設定１２９を分析することを含む。いくつかの例において、ユーザ設定１２９の分析は、電話番号を自動的にダイヤルして電話番号を検証すること、ユーザ設定１２９の各ｅメール・アドレスのドメイン・ネームが存在するか、ユーザ設定１２９の各住所の国が対応するｅメール・アドレスのドメイン・ネームと一致するかどうかをチェックすること、もしくはその他のタイプの検証、またはその組み合わせを含む。たとえばプロセッサ１２０は、各ユーザ設定１２９内の地理的パラメータが一貫しているかどうかを定めてもよく、たとえば電話番号の市外局番と、ｅメール・ドメインと、住所の国とが同じ国を含むかどうかを定めてもよい。
【００１７】
別の例において、ユーザ検証１５２は、ドメイン・ネーム・システム（ＤＮＳ：ｄｏｍａｉｎ  ｎａｍｅ  ｓｙｓｔｅｍ）１４０にドメイン・ネーム・クエリ１２６を送ることによって、各ｅメール・アドレスのドメイン・ネームが存在するかどうかを検証することも含む。ドメイン・ネーム・クエリ１２６は、ユーザ・データベース１２８に保存されたユーザ設定１２９内の各ｅメール・アドレスのドメイン・ネームに対するクエリである。ＤＮＳ１４０は、１つ以上のメール交換サーバに対するドメイン・ネーム・クエリ１２６内の複数のドメイン・ネームのマッピングを示すメール交換記録を含むメール交換（ＭＸ：ｍａｉｌ  ｅｘｃｈａｎｇｅ）データ１４６を返してもよい。たとえば、ドメイン・ネーム・クエリ１２６はユーザ設定１２９のｅメール・アドレスのドメイン・ネームを含むが、メール交換データ１４６はメール交換サーバのそれぞれのリストに対するユーザ設定のサブセット１６０のドメイン・ネームのマッピングを含んでもよい。プロセッサ１２０は、ユーザ設定のサブセット１６０のドメイン・ネームが存在すると判定してもよく、かつメール交換データ１４６から除外されたドメイン・ネームを識別することによって、ユーザ設定の残りのサブセット１６１のドメイン・ネームが存在しないと判定してもよい。プロセッサ１２０は、ユーザ設定１６１に対応するユーザを不審であると分類し、ユーザ設定１６１に対応する不審なユーザからのリソース１１２へのアクセスを制限またはブロックしてもよい。たとえばプロセッサ１２０は、不審なユーザから要求された、アプリケーションを実行するためにリソース１１２を使用することの後続要求または任意の将来の要求を満たさなくてもよい。ユーザ検証１５２が完了すると、プロセッサ１２０はユーザ設定１６０に対するスクリプト生成プロファイル検出１５４を行うために進む。
【００１８】
スクリプト生成プロファイル検出１５４は、各ユーザ設定１６０が、スクリプトまたはコンピュータ・プログラムによって生成されたたとえば名前、電話番号、ｅメール・アドレスなどの識別子を含むかどうかを判定することを含む。以下にさらに説明されるとおり、いくつかの実施形態におけるスクリプト生成プロファイル検出１５４は、ユーザ設定１６０内の識別子間の比較に基づいている。たとえば、プロセッサ１２０はこの比較に基づいて、ユーザ設定のサブセット１６３がスクリプト生成ｅメール・アドレスを含むと判定し、かつユーザ設定の残りのサブセット１６２のｅメール・アドレスがスクリプト生成ｅメール・アドレスではないと判定してもよい。プロセッサ１２０は、ユーザ設定１６３に対応するユーザを不審なユーザに分類してもよく、ユーザ設定１６３に対応する不審なユーザからのリソース１１２へのアクセスを制限してもよい。スクリプト生成プロファイル検出１５４が完了すると、プロセッサ１２０はユーザ設定１６２に対する異常使用検出１５６を行うために進む。いくつかの例において、スクリプト生成ｅメール・アドレスを含むユーザ設定は、ユーザ設定内のユーザ・プロファイルがスクリプトまたはコンピュータ・プログラムによって生成されたことを示してもよい。
【００１９】
異常使用検出１５６は、ユーザ設定１６２に対応するユーザによって示される異常挙動の存在を判定することを含む。以下により詳細に説明されるとおり、プロセッサ１２０は、参照モデルに対するユーザ設定１６２内の使用挙動データの多変量分析を行ってもよい。参照モデルは、プロセッサ１２０によってユーザ設定１２９内の使用挙動履歴に基づいて構築されてもよい。いくつかの例において、プロセッサ１２０は、不審アクティビティのソースに分類されていない複数のユーザによって示される正常な（例、不審でない）使用挙動を表す第１の参照モデルを構築してもよい。いくつかの例において、プロセッサ１２０は、不審アクティビティのソースに分類されている複数のユーザによって示される不審な使用挙動を表す第２の参照モデルを構築してもよい。プロセッサ１２０は、システム１００の所望の実現に依存して第１もしくは第２またはその両方の参照モデルに対して、ユーザ設定１６２内の使用挙動データの多変量分析を行ってもよい。多変量分析の際に、プロセッサ１２０はユーザ設定のサブセット１６５に対応するユーザの使用挙動が異常であると判定してもよく、かつユーザ設定の残りのサブセット１６４に対応するユーザは正常なユーザ挙動を示すと判定してもよい。プロセッサ１２０は、ユーザ設定１６５に対応するユーザを不審アクティビティのソースとして分類し、ユーザ設定１６５に対応する不審なユーザからのリソース１１２へのアクセスを制限またはブロックしてもよい。異常使用検出１５６が完了すると、プロセッサ１２０はたとえばシステム１００の管理者などに通知を出力して、不審なユーザ（例、ユーザ設定１６１、１６３、１６５に対応するユーザ）のリストと、次の活動コースの勧告とを示し、その活動コースはたとえば、不審なユーザに関連するユーザ設定の再調査を行うこと、もしくはセキュリティ機関に通知すること、またはその両方などである。
【００２０】
実施形態例において、システム１００の効率を改善するために、プロセッサ１２０はユーザ検証１５２と、スクリプト生成プロファイル検出１５４と、異常使用検出１５６とを逐次実行してもよい。実施形態例において、ユーザ検証１５２は第１の量の計算を含んでもよく、スクリプト生成プロファイル検出１５４は第１の量よりも大きい第２の量の計算を含んでもよく、異常使用検出１５６は第２の量よりも大きい第３の量の計算を含んでもよい。図１の例に示される検出プロセス１５０において分析されるユーザ設定１２９は、ユーザ検証１５２の完了の際にユーザ設定１６０に低減する。次いでスクリプト生成プロファイル検出１５４の完了の際に、ユーザ設定１６０はユーザ設定１６２に低減する。次いでプロセッサ１２０は、ユーザ設定１２９またはユーザ設定１６０の代わりにユーザ設定１６２に対して異常使用検出１５６を実行する。このように検出プロセス１５０における動作を逐次実行することによって、プロセッサは最小量の計算（第１の量）を最大量のユーザ設定（ユーザ設定１２９）に対して行い、最大量の計算（第３の量）を最小量のユーザ設定（ユーザ設定１６２）に対して行うことが可能になる。よって、検出プロセス１５０の各動作に含まれる計算の量および分析されるべきユーザ設定の量に基づく逐次的方式で検出プロセス１５０内の動作を実行することによって、システム１００の効率が改善されてもよい。
【００２１】
実施形態例において、プロセッサ１２０は、検出プロセス１５０の実行中に各ユーザ設定１２９に不審スコアを割り当てるように構成されてもよい。一例において、もしユーザ設定Ｇがユーザ検証１５２に失敗すれば、プロセッサ１２０はユーザ設定Ｇに最高スコアを割り当て、ユーザ設定Ｇのユーザがプール１１０にアクセスすることを制限する。別の例において、ユーザ設定Ｇがユーザ検証１５２に合格しても、履歴データに基づいてユーザ設定Ｇのユーザ名が不審なユーザに類似しているときは、プロセッサ１２０はユーザ設定ＧにスコアＤを割り当ててもよい。不審スコアＤを有するユーザ設定Ｇがスクリプト生成プロファイル検出１５４に合格しても、履歴データに基づいてユーザ設定Ｇのｅメール・アドレスのドメイン・ネームが不審なユーザを含むと考えられるときは、プロセッサ１２０はＤにＥを加えることによって、ユーザ設定Ｇは出発不審スコアＤ＋Ｅを伴って異常使用検出１５６で分析されることとなってもよい。検出命令１２４は不審スコアに対する閾値を定めてもよく、それによって、ユーザ設定Ｇの不審スコアが閾値を超えたときに（たとえユーザ設定Ｇがユーザ検証１５２、スクリプト生成プロファイル検出１５４、もしくは異常使用検出１５６、またはその組み合わせに合格していても）、プロセッサ１２０がユーザ設定Ｇのユーザによるプール１１０へのアクセスを制限するようにしてもよい。一例において、不審スコアＤ＋Ｅが閾値を超えたためにユーザ設定Ｇのユーザのプール１１０へのアクセスが制限されるとき、処理電力および時間を節約するために、プロセッサ１２０はユーザ設定Ｇに対する異常使用検出１５６を行わないこととする。
【００２２】
図２は、本明細書において提示される少なくともいくつかの実施形態によって配置された、コンピュータ・ネットワークにおける不審アクティビティ検出に関する流れ図を示す。図２は、以下で上の図１の説明を参照して説明されることがある。図２に示される検出プロセスは、ブロック２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６、２１８、２２０、２２２、２２４、２２６、２２８、２３０、および２３２の１つ以上によって示される１つ以上の動作、活動、または機能を含んでもよい。個別のブロックとして示されているが、所望の実現に依存して、さまざまなブロックが分割されて付加的なブロックにされてもよいし、組み合わされてより少数のブロックにされてもよいし、削除されても、並行して行われてもよい。
【００２３】
検出プロセス１５０はブロック２０２から始まり、ここでプロセッサ１２０はユーザ設定１２９の１つ以上のドメイン・ネームのクエリを行う。システム１００が新たなユーザ・プロファイルを受信したことに応答して検出プロセス１５０を実行する例においては、ブロック２０２において、プロセッサ１２０はドメイン・ネーム・クエリ１２６をＤＮＳ１４０に送って、新たなユーザ・プロファイルのドメイン・ネームのメール交換記録を要求してもよい。プロセッサ１２０が検出プロセス１５０を定期的に実行する別の例においては、プロセッサ１２０はドメイン・ネーム・クエリ１２６をＤＮＳ１４０に送って、データベース１２８に保存されたユーザ設定１２９の複数のドメイン・ネームのメール交換記録を要求してもよい。ＤＮＳ１４０は、ドメイン・ネーム・クエリ１２６によって示される１つ以上のドメイン・ネームに対するメール交換サーバのリストを示す１つ以上のメール交換記録を含むメール交換データ１４６を返す。
【００２４】
検出プロセス１５０はブロック２０２からブロック２０４に続き、ここでプロセッサ１２０はＤＮＳ１４０から返されたメール交換データ１４６を分析する。たとえばプロセッサ１２０は、メール交換データ１４６のメール交換記録を分析して、ｅメール・アドレス１０９のドメイン・ネームＸのメール・サーバが存在するか、およびそのメール・サーバが安全に設定されているかどうかを判定してもよい。プロセッサ１２０は、ユーザ設定のセット（例、ユーザ設定１６０）が有効ドメイン・ネームを有するｅメール・アドレスを含むとしてフラグ付けしてもよく、かつユーザ設定のセット（例、ユーザ設定１６１）が無効ドメイン・ネームを有するｅメール・アドレスを含むとしてフラグ付けしてもよい。
【００２５】
検出プロセス１５０はブロック２０４からブロック２０６に続き、ここでプロセッサ１２０は、ブロック２０４においてフラグ付けされたユーザ設定内のｅメール・アドレスを分析して、有効ドメイン・ネームを有するｅメール・アドレスと無効ドメイン・ネームを有するｅメール・アドレスとを区別する。
【００２６】
無効ドメイン・ネームを有するｅメール・アドレスに対して、検出プロセス１５０はブロック２０６からブロック２０８に続き、ここでプロセッサ１２０は、無効ドメイン・ネームを有するｅメール・アドレスを含むユーザ設定に対応するユーザのリソース１１２へのアクセスを制限する。たとえば、ｅメール・アドレス１０９が無効ドメイン・ネームを含むとき、プロセッサ１２０はリソース１１２にアクセスするためのユーザ１０１による後続要求を拒否してもよい。
【００２７】
有効ドメイン・ネームを有するｅメール・アドレスを含むユーザ設定に対して、検出プロセス１５０はブロック２０６からブロック２１０に続き、ここでプロセッサ１２０は、ユーザ設定１６０内の各有効ドメイン・ネームに対するｅメール・アドレスの数を定める。たとえばユーザ１０１に対応するユーザ設定などの単一のユーザ設定が検出プロセス１５０で分析される例において、プロセッサ１２０はｅメール・アドレス１０９と同じドメイン・ネームを有するユーザ設定１６０内のｅメール・アドレスの数を定めてもよい。
【００２８】
検出プロセス１５０はブロック２１０からブロック２１２に続き、ここでプロセッサ１２０は、命令１２４において定められた閾値に基づく特定量よりも多くのｅメール・アドレスを有するドメイン・ネームを識別する。図２に示される例において、プロセッサ１２０は、Ｎ未満のｅメール・アドレスを含むドメイン・ネームを有するユーザ設定を検出プロセス１５０から取り除く、たとえば除去してもよい。たとえばプロセッサ１２０は、ユーザ設定１６０内の３未満のｅメール・アドレスを有するドメイン・ネームを含むユーザ設定を除去してもよい。プロセッサ１２０は、ユーザ設定１６０内のＮ以上（例、図２の例においては３以上）のｅメール・アドレスを含むドメイン・ネームを有するユーザ設定に対する分析によって、検出プロセス１５０を続ける。
【００２９】
検出プロセス１５０はブロック２１２からブロック２１４に続き、ここでプロセッサ１２０はブロック２１２からの識別されたドメイン・ネームの各ｅメール・アドレスに対して、そのｅメール・アドレスと同じドメイン・ネームを有する他のｅメール・アドレスとの相違を定める。たとえば、ｅメール・アドレス１０９がドメイン・ネームＸを有するとき、プロセッサ１２０はｅメール・アドレス１０９と、ドメイン・ネームＸを有する各ｅメール・アドレスとのレーベンシュタイン距離を定める。レーベンシュタイン距離を定めると、プロセッサ１２０は、ｅメール・アドレス１０９とドメイン・ネームＸを有する他のｅメール・アドレスとのレーベンシュタイン距離の平均を定め、それをＡと示す。プロセッサ１２０は、ブロック２１２からの識別されたドメイン・ネームを含むユーザ設定１６０内の各ｅメール・アドレスに対して、レーベンシュタイン距離および平均Ａを定める。一例において、プロセッサ１２０は平均Ａをメモリ１２２に保存してもよく、それによってプロセッサ１２０は検出プロセス１５０のその後の実行において新たなｅメール・アドレスに対する平均Ａ’を定めるために、メモリ１２２から保存された平均Ａを検索してもよい。たとえば、平均Ａがドメイン・ネームＸの５０のｅメール・アドレスに関連する平均であるとき、プロセッサ１２０は５１のレーベンシュタイン距離の平均を計算する代わりに、Ａを検索し、Ａに５０を掛け、新たなｅメール・アドレスに関連するレーベンシュタイン距離を加え、その結果を５１で割ることによってＡ’を定めてもよい。
【００３０】
一対のｅメール・アドレス間のレーベンシュタイン距離は、その一対のｅメール・アドレス間の相違を表す。一例において、ｅメール・アドレス１０９とドメイン・ネームＸにおける他のｅメール・アドレスとの第１の平均レーベンシュタイン距離はＡ１であってもよく、別のｅメール・アドレスＫとドメイン・ネームＸにおけるｅメール・アドレスとの第２の平均レーベンシュタイン距離はＡ２であってもよい。Ａ１がＡ２よりも大きいとき、ｅメール・アドレスＫはドメインＸ内の残りのｅメール・アドレスにより類似しているため、プロセッサ１２０は、ｅメール・アドレス１０９がスクリプト生成ｅメール・アドレスである可能性はｅメール・アドレスＫよりも低いと判定してもよい。
【００３１】
検出プロセス１５０はブロック２１６に続いてもよい。ブロック２１４および２１６は、プロセッサ１２０によって同時に、または任意の順序で行われてもよい。ブロック２１６において、プロセッサ１２０は、ブロック２１２において識別された各ドメイン・ネームに対するｅメール・アドレスの長さの変動係数を定め、それをＢと示す。変動係数Ｂは、ドメイン・ネーム内のｅメール・アドレスの長さの変動の程度を表す。第１のドメイン・ネームの変動係数Ｂ１が第２のドメイン・ネームの変動係数Ｂ２よりも高いとき、第２のドメイン・ネームのｅメール・アドレス間の長さの変動はより少ないため、第２のドメイン・ネームがスクリプト生成ｅメール・アドレスを有する可能性は第１のドメイン・ネームよりも高いかもしれない。一例において、プロセッサ１２０は変動係数Ｂをメモリ１２２に保存してもよく、それによってプロセッサ１２０は検出プロセス１５０のその後の実行において新たなｅメール・アドレスに対する変動係数Ｂ’を定めるために、メモリ１２２から保存された変動係数Ｂを検索してもよい。
【００３２】
検出プロセス１５０はブロック２１８に続いてもよい。ブロック２１４、２１６、および２１８は、プロセッサ１２０によって同時に、または任意の順序で行われてもよい。ブロック２１８において、ブロック２１２からの識別されたドメイン・ネームの各ｅメール・アドレスに対して、プロセッサ１２０はｅメール・アドレスと対応するユーザの名前（名もしくは姓またはその両方）との相違を定める。たとえばプロセッサ１２０は、ｅメール・アドレス１０９とユーザ１０１の名および姓の組み合わせとのレーベンシュタイン距離を定めてもよい。ユーザがｅメール・アドレスに自身の名および姓の１つ以上を用いる傾向があることを履歴データが示すような状況において、ｅメール・アドレスと対応するユーザの名前とのレーベンシュタイン距離は、ｅメール・アドレスがスクリプト生成ｅメール・アドレスであるかどうかを判定するための表示として用いられてもよい。各ｅメール・アドレスと対応するユーザ名とのレーベンシュタイン距離を定めると、プロセッサ１２０は各ドメイン・ネーム内のｅメール・アドレスとユーザ名とのレーベンシュタイン距離の平均を定めてもよく、それをＣと示す。たとえばプロセッサ１２０は、ドメイン・ネームＸのｅメール・アドレスと関連するユーザ名とのレーベンシュタイン距離の平均を表す平均ＣＸを定めてもよい。一例において、プロセッサ１２０は平均ＣＸをメモリ１２２に保存してもよく、それによってプロセッサ１２０は検出プロセス１５０のその後の実行において、新たなｅメール・アドレスを用いて保存された平均ＣＸを平均ＣＸ’に更新してもよい。
【００３３】
実施形態例において、Ａ、Ｂ、およびＣは、たとえば１００×（実際の相違／最大相違）で表される不一致パーセンテージなどのパーセンテージで表されてもよい。たとえば、各ｅメール・アドレスｉに対する平均Ａは、Ａｉ＝平均［１００×（ＬＡｉｊ／ＬＡｍａｘ）］と示されてもよく、ここでＬＡｉｊはｅメール・アドレスｉと同じドメイン・ネームを有する別のｅメール・アドレスｊとのレーベンシュタイン距離を示し、ＬＡｍａｘは同じドメイン・ネームを有する一対のｅメール・アドレス間で定められた最大レーベンシュタイン距離を示す。たとえば、ドメイン・ネームＸが３つのｅメール・アドレスを含むとき（ｉ＝１，２，３）、プロセッサ１２０は３つの異なるレーベンシュタイン距離ＬＡ１２、ＬＡ１３、ＬＡ２３を定めてもよい。プロセッサ１２０は最大値のレーベンシュタイン距離を識別して、識別されたレーベンシュタイン距離をＬＡｍａｘに割り当ててもよい。次いでプロセッサ１２０は、割り当てられたＬＡｍａｘに基づいて各ｅメール・アドレスに対するＡｉを定めてもよい。同様に、変動係数ＢはＢ＝平均［１００×（ＬＢｉｊ／ＬＢｍａｘ）］と示されてもよく、ここでＬＢｉｊはｅメール・アドレスｉと同じドメイン・ネームを有する別のｅメール・アドレスｊとの長さの相違を示し、ＬＢｍａｘは同じドメイン・ネームを有する一対のｅメール・アドレス間で定められた最大の長さの相違を示す。同様に、各ｅメール・アドレスｉに対する平均Ｃは、Ｃｉ＝平均［１００×（ＬＣｉ／ＬＣｍａｘ）］と示されてもよく、ここでＬＣｉはｅメール・アドレスｉとｅメール・アドレスｉに関連するユーザの名前とのレーベンシュタイン距離を示し、ＬＣｍａｘは同じドメイン・ネーム内のｅメール・アドレスと関連するユーザの名前との間で定められた最大レーベンシュタイン距離を示す。一例において、２つのｅメール・アドレス（ｉ，ｊ）が同一であるとき、ＬＡｉｊは０となり、Ａｉは０％となる。一例において、２つのｅメール・アドレス（ｉ，ｊ）の相違が増加するにつれて、ＬＡｉｊの値も増加することとなる。よって、不一致パーセンテージＡｉが増加するにつれて、ユーザ設定が不審アクティビティのソースに関連している可能性が増加する。同様に、不一致パーセンテージＢが増加するにつれて、ユーザ設定が不審アクティビティのソースに関連している可能性が増加する。さらに、不一致パーセンテージＣｉが減少するにつれて、ユーザ設定が不審アクティビティのソースに関連している可能性が増加する。
【００３４】
検出プロセス１５０はブロック２１４、２１６、もしくは２１８、またはその組み合わせからブロック２２０に続いてもよく、ここでプロセッサ１２０は各ｅメール・アドレスに対してＳで示されるスコアを定め、ここでＳ＝ｗ１Ａ＋ｗ２Ｂ−ｗ３Ｃである。変数ｗ１、ｗ２、およびｗ３は、それぞれ平均Ａ、変動係数Ｂ、および平均Ｃに対する重みを示してもよい。重みｗ１、ｗ２、およびｗ３は、検出プロセス１５０の各実行の際にプロセッサ１２０によって継続的に調整されてもよい。重みｗ１およびｗ２の初期値は、命令１２４において定められてもよい。一例において、重みｗ１、ｗ２、およびｗ３は、検出プロセス１５０の実行履歴の結果、分析される各ドメイン・ネームのボリューム（例、ｅメール・アドレスの数）、履歴による各ドメイン・ネームにおけるスクリプト生成ｅメール・アドレスの量、検出命令１２４において定められる各Ａ、Ｂ、およびＣの重要度、もしくはその他の要素、またはその組み合わせに依存していてもよい。たとえば、検出命令１２４がＡをスコアＳの最も重要な構成要素と定めたとき、ｗ１はｗ２およびｗ３よりも大きくなるように調整されてもよい。別の例において、Ｃの分布の分散がＡの分布の分散よりも大きいとき、Ａにより多くの重要度を与えるために重みｗ１がｗ３よりも大きくなるように調整されてもよい。一例において、Ｃの分布の分散が大きいことは、ユーザがｅメール・アドレスに自身の名もしくは姓またはその両方を用いるかどうかの非一貫性を示してもよい。
【００３５】
検出プロセス１５０はブロック２２０からブロック２２２に続いてもよく、ここでプロセッサ１２０は、各ｅメール・アドレスのスコアＳが命令１２４で定められた条件を満たすかどうかを判定してもよい。たとえばプロセッサ１２０は、ｅメール・アドレスのスコアＳが命令１２４で定められた閾値未満であるかどうかを判定してもよい。一例においては、ＡおよびＢの値が減少し、Ｃの値が増加するほどｅメール・アドレスがスクリプト生成ｅメール・アドレスである可能性が高くなる。よって、ｅメール・アドレスがスクリプト生成ｅメール・アドレスである可能性が高くなるにつれてスコアＳは減少する。命令１２４はスコアＳに対する閾値を定めてもよく、この閾値の値はシステム１００の所望の実現に基づいている。たとえば、閾値の値が増加するほど、システム１００はスクリプト生成ｅメール・アドレスを含み得るユーザ設定をより多く識別してもよい。いくつかの例においては、システム１００の所望の実現に基づいて、ブロック２２２において命令１２４が付加的な条件を定めてもよい。たとえば、スコアＳが閾値未満であるかどうかを判定することに加えて、条件はさらに、係数変数Ｂが別の閾値未満であるかどうかを判定することを含んでもよく、それによってＳおよびＢに関係する両方の条件が満たされるときにユーザ１０１がプロセッサ１２０によって不審であると分類されるようにしてもよい。
【００３６】
ブロック２２２の条件が満たされるとき、検出プロセス１５０はブロック２２２からブロック２２４に進む。ブロック２２４において、プロセッサ１２０は、ブロック２２２の条件を満たしたｅメール・アドレスを有するユーザ設定に対応するユーザを制限する。たとえば、ｅメール・アドレス１０９がスクリプト生成ｅメール・アドレスであると考えられるとき、プロセッサ１２０はリソース１１２にアクセスするためのユーザ１０１による後続要求を拒否してもよい。
【００３７】
ブロック２２２の条件が満たされないとき、検出プロセス１５０はブロック２２２からブロック２２６に進む。ブロック２２６において、プロセッサ１２０はアクティビティを含まないか、または最近のアクティビティを含まないユーザ設定を検出プロセス１５０から除去する。たとえば、モバイル・ゲームを実行するためにプール１１０内のリソース１１２が使用されてもよい。ブロック２２６において、プロセッサ１２０は、登録しているがモバイル・ゲームをしたことがないユーザか、あるいは過去１週間、２週間、１ヵ月、もしくは命令１２４によって定められ得るその他の期間、またはその組み合わせの期間内にモバイル・ゲームをしていないユーザに対応するユーザ設定を除去してもよい。
【００３８】
検出プロセス１５０はブロック２２６からブロック２２８に進んでもよく、ここでプロセッサ１２０は、ブロック２２６で除去されていないユーザ設定に対して多変量分析を行ってもよい。多変量分析は、ロバストな主成分分析を用いて、ブロック２２６の残りのユーザ設定に対応するユーザが示す使用挙動内の異常なパターンを識別することを含んでもよい。いくつかの例において、ブロック２２８においてプロセッサ１２０によって分析され得る使用挙動の変数は、登録情報内の位置情報とユーザ・プロファイルを提供したインターネット・プロトコル（ＩＰ）アドレスとの相違、待ち時間、頻度、および持続時間の尺度によるユーザ・エンゲージメント・スコア、システム１００の顧客メッセージング・プラットフォームを通じてアカウントが求めた会話によるユーザ・エンゲージメント・スコア、使用分布のｚスコア（標準スコア）を含んでもよい。一例において、プロセッサ１２０は、短期間のうちにリソース１１２を過度に用いたユーザ設定のスコアを識別することによって、異常使用挙動を識別してもよい。いくつかの例において、プロセッサ１２０は、ロバストな主成分分析とは異なる他の監視なしクラスタ化アルゴリズムを用いて多変量分析を行ってもよい。別の例において、プロセッサ１２０は、たとえば新しさ、頻度、持続時間、および寿命などのプール１１０のユーザのエンゲージメントを表す使用特性か、もしくはその他の特性か、またはその両方に基づいて異常使用挙動を識別してもよい。新しさとは、最新のアクティビティの時刻から始まって現在時刻までの時間の長さ（例、日数）を示す。頻度とは、開始時刻（例、ユーザがリソース１１２を要求した時刻）から現在時刻までのユーザによるアクティビティの量を示す。持続時間とは、開始時刻から第１回のアクティビティの日付までの時間の長さ（例、ユーザは要求からどれぐらい後でリソース１１２の使用を開始したか）を示す。寿命とは、開始時刻から始まって最新アクティビティの終了日までの時間の長さを示す。プロセッサ１２０はこれらの特性を分析することによって、最近任意の活動を行ったユーザ、頻繁に任意の活動を行ったユーザ、登録もしくはリソース１１２の要求の直後に任意の活動を行ったユーザ、およびリソース１１２の使用に比較的多くの時間を費やしたユーザを分析することによって、異常使用挙動を識別してもよい。
【００３９】
いくつかの例において、多変量分析は参照モデル比較も含んでもよい。プロセッサ１２０は、使用挙動履歴を用いて参照モデルを構築するように構成されてもよい。たとえばプロセッサ１２０は、不審でないユーザが特定の期間内にどれぐらいの頻度でリソース１１２を使用するかを示す第１のモデルと、履歴による不審なユーザが同じ特定の期間内にどれぐらいの頻度でリソース１１２を使用するかを示す第２のモデルとを構築してもよい。プロセッサ１２０は、ブロック２２８において分析中のユーザ設定の使用挙動と第１および第２のモデルとを比較して、各ユーザ・プロファイルが異常挙動を示すかどうかを判定してもよい。別の例において、プロセッサ１２０は、分析中の使用挙動と、履歴による不審なユーザの挙動との類似性スコア、もしくはその他の変数またはその両方を定めることによって、異常使用挙動を識別してもよい。
【００４０】
検出プロセス１５０はブロック２２８からブロック２３０に進んでもよく、ここでプロセッサ１２０は、ブロック２２８で行われた多変量分析に基づいて異常挙動を示すユーザを識別してもよい。
【００４１】
ユーザが異常挙動を示すとき、検出プロセス１５０はブロック２３０からブロック２３２に進んでもよく、ここでプロセッサ１２０はそのユーザからリソース１１２へのアクセスを制限してもよい。たとえば、ユーザ１０１に対応するユーザ設定１２９における使用挙動が異常挙動を含むとき、プロセッサ１２０はリソース１１２にアクセスするためのユーザ１０１による後続要求を拒否してもよい。
【００４２】
ユーザが異常挙動を示さないとき、プロセッサ１２０は検出プロセス１５０を終了および完了し、リソース１１２にアクセスするためのそのユーザによる後続要求を許可してもよい。プロセッサ１２０は、たとえばブロック２０８、２２４、２３２においてリソース１１２へのアクセスを制限されたユーザなどの不審アクティビティのソースのリストを蓄積してもよく、その蓄積されたソースのリストをディスプレイ、ユーザ・インターフェース、もしくは別のデバイス、またはその組み合わせに出力してもよく、それは通知および次の活動コースに対する勧告を提供するためにシステム１００の管理者によって制御されてもよい。たとえばプロセッサは、蓄積されたリストに対応するユーザ・プロファイルを再調査すること、または蓄積されたリスト内のユーザに連絡すること、またはサイバーセキュリティに関係する機関に連絡することの勧告を出力してもよい。
【００４３】
図３は、本明細書において提示される少なくともいくつかの実施形態によって配置された、コンピュータ・ネットワークにおける不審アクティビティ検出に関する流れ図を示す。図３のプロセスは、たとえば上記で考察したコンピュータ・システム１００などを用いて実現されてもよい。プロセスの例は、ブロック３０２、３０４、３０６、３０８、３１０、３１２、３１４、もしくは３１６、またはその組み合わせの１つ以上によって示される１つ以上の動作、活動、または機能を含んでもよい。個別のブロックとして示されているが、所望の実現に依存して、さまざまなブロックが分割されて付加的なブロックにされてもよいし、組み合わされてより少数のブロックにされてもよいし、削除されても、並行して行われてもよい。
【００４４】
処理はブロック３０２から始まってもよく、ここでプロセッサは、ネットワークにアクセスすることを要求したユーザのユーザ・プロファイルを受信する。ユーザ・プロファイルは、少なくともユーザのｅメール・アドレスおよび使用挙動を含み、ｅメール・アドレスはドメイン・ネームを含み、使用挙動はユーザによるネットワークの使用履歴を示す。
【００４５】
処理はブロック３０２からブロック３０４に続いてもよい。ブロック３０４において、プロセッサはドメイン・ネームが有効かどうかを判定する。プロセッサは、ドメイン・ネーム・システムにドメイン・ネームに対するクエリを送り、サーバのリストに対するドメイン・ネームのマッピングを示すメール交換記録を受信することによって、ドメイン・ネームが有効かどうかを判定する。プロセッサにおいてドメイン・ネーム・システムからのメール交換記録が受信されるとき、プロセッサはそのドメイン・ネームが有効であると判定する。プロセッサにおいてドメイン・ネーム・システムからのメール交換記録が受信されないとき、プロセッサはそのドメイン・ネームが無効であると判定する。
【００４６】
ドメイン・ネームが無効であるとき、処理はブロック３０６に続いてもよい。ブロック３０６において、プロセッサはユーザを不審なユーザに分類する。処理はブロック３０６からブロック３１６に続いてもよく、ここでプロセッサはネットワークにアクセスするためのユーザからの後続要求を拒否する。
【００４７】
ドメイン・ネームが有効であるとき、処理はブロック３０８に続いてもよい。ブロック３０８において、プロセッサはｅメール・アドレスがスクリプト生成ｅメール・アドレスである可能性を定める。この可能性を定めることは、そのｅメール・アドレスと複数のｅメール・アドレスとの相違に基づいており、複数のｅメール・アドレスはそのドメイン・ネームを含んでおり、かつ複数のｅメール・アドレスはネットワークへのアクセスを要求した他のユーザに関連する。一例において、可能性の判定は、第１の平均と、第２の平均と、長さの変動係数とに基づく。第１の平均は、ｅメール・アドレスと複数のｅメール・アドレスとの相違の平均である。第２の平均は、ｅメール・アドレスとユーザの名前との相違、および複数のｅメール・アドレスと対応するユーザの名前との相違の平均である。長さの変動係数は、複数のｅメール・アドレスの長さの変動の平均である。可能性はプロセッサによってスコアと閾値との比較に基づいて定められ、ここでスコアは第１の平均と、長さの変動係数と、第２の平均とに基づく。
【００４８】
ｅメール・アドレスがスクリプト生成ｅメール・アドレスであるとき、処理はブロック３０６に続いてもよく、ここでプロセッサはユーザを不審なユーザに分類する。処理はブロック３０６からブロック３１６に続いてもよく、ここでプロセッサはネットワークにアクセスするためのユーザからの後続要求を拒否する。ｅメール・アドレスがスクリプト生成ｅメール・アドレスではないとき、処理はブロック３１０に続いてもよい。ブロック３１０において、プロセッサはユーザの使用挙動を参照モデルと比較する。参照モデルは、ネットワークへのアクセスを要求した他のユーザによって示される使用挙動に基づいている。いくつかの例において、使用挙動と参照モデルとの比較は、ネットワーク上でユーザによって行われるアクティビティの存在を検出したことに応答して、プロセッサによって行われる。いくつかの例において、使用挙動を参照モデルと比較することは、使用挙動をネットワーク上の不審なユーザによって示される使用挙動履歴と比較することを含む。
【００４９】
処理はブロック３１０からブロック３１２に続いてもよい。ブロック３１２において、プロセッサは比較に基づいて、ネットワーク上のユーザによって示される異常使用挙動の存在があるかどうかを判定する。いくつかの例において、プロセッサが異常使用挙動の存在を判定することは、ロバストな主成分分析を用いることを含む。
【００５０】
プロセッサが異常使用挙動の存在を判定するとき、処理はブロック３０６に続いてもよく、ここでプロセッサはユーザを不審なユーザに分類する。処理はブロック３０６からブロック３１６に続いてもよく、ここでプロセッサはネットワークにアクセスするためのユーザからの後続要求を拒否する。プロセッサが異常使用挙動の存在がないと判定するとき、処理はブロック３１４に続いてもよい。ブロック３１４において、プロセッサはネットワークにアクセスするためのユーザからの後続要求を許可する。
【００５１】
図４は、本開示の一実施形態におけるコンピュータ・ネットワークにおける不審アクティビティ検出を実施し得るコンピュータまたは処理システムの例の概略図を示す。このコンピュータ・システムは好適な処理システムの単なる一例であり、本明細書に記載される方法の実施形態の使用または機能の範囲に関するいかなる限定を示唆することも意図されていない。示される処理システムは、多数のその他の汎用目的または特定目的のコンピュータ・システム環境または構成によって動作してもよい。図４に示される処理システムとともに用いるために好適であり得る周知のコンピュータ・システム、環境、もしくは構成、またはその組み合わせの例は、パーソナル・コンピュータ・システム、サーバ・コンピュータ・システム、シン・クライアント、シック・クライアント、ハンドヘルドまたはラップトップ・デバイス、マルチプロセッサ・システム、マイクロプロセッサ・ベースのシステム、セット・トップ・ボックス、プログラマブル家電機器、ネットワークＰＣ、ミニコンピュータ・システム、メインフレーム・コンピュータ・システム、スーパーコンピュータ、および上記のシステムまたはデバイスのいずれかを含む分散型クラウド・コンピューティング環境などを含んでもよいが、それに限定されない。
【００５２】
コンピュータ・システムは、コンピュータ・システムによって実行されるたとえばプログラム・モジュールなどのコンピュータ・システム実行可能命令の一般的な状況において説明されてもよい。一般的にプログラム・モジュールは、特定のタスクを行うか、または特定の抽象データ・タイプを実施するルーチン、プログラム、オブジェクト、コンポーネント、ロジック、およびデータ構造などを含んでもよい。コンピュータ・システムは、通信ネットワークを通じてリンクされたリモート処理デバイスによってタスクが行われる分散型クラウド・コンピューティング環境において実施されてもよい。分散型クラウド・コンピューティング環境において、プログラム・モジュールはローカルおよびリモートのメモリ・ストレージ・デバイスを含むコンピュータ・システム・ストレージ媒体の両方に位置してもよい。
【００５３】
コンピュータ・システムのコンポーネントは、１つ以上のプロセッサまたは処理ユニット１２と、システム・メモリ１６と、システム・メモリ１６を含むさまざまなシステム・コンポーネントをプロセッサ１２に結合するバス１４とを含んでもよいが、それに限定されない。プロセッサ１２は、本明細書に記載される方法を行うモジュール３０（例、不審アクティビティ検出モジュール３０）を含んでもよい。モジュール３０はプロセッサ１２の集積回路にプログラムされてもよいし、メモリ１６、ストレージ・デバイス１８、もしくはネットワーク２４、またはその組み合わせからロードされてもよい。
【００５４】
バス１４は、メモリ・バスまたはメモリ・コントローラ、ペリフェラル・バス、アクセラレーテッド・グラフィクス・ポート、およびさまざまなバス・アーキテクチャのいずれかを用いたプロセッサまたはローカル・バスを含むいくつかのタイプのバス構造のいずれかの１つ以上を表してもよい。限定ではなく例として、こうしたアーキテクチャはインダストリ・スタンダード・アーキテクチャ（ＩＳＡ：Ｉｎｄｕｓｔｒｙ  Ｓｔａｎｄａｒｄ  Ａｒｃｈｉｔｅｃｔｕｒｅ）バス、マイクロ・チャネル・アーキテクチャ（ＭＣＡ：Ｍｉｃｒｏ  Ｃｈａｎｎｅｌ  Ａｒｃｈｉｔｅｃｔｕｒｅ）バス、拡張ＩＳＡ（ＥＩＳＡ：Ｅｎｈａｎｃｅｄ  ＩＳＡ）バス、ビデオ・エレクトロニクス・スタンダーズ・アソシエーション（ＶＥＳＡ：Ｖｉｄｅｏ  Ｅｌｅｃｔｒｏｎｉｃｓ  Ｓｔａｎｄａｒｄｓ  Ａｓｓｏｃｉａｔｉｏｎ）ローカル・バス、およびペリフェラル・コンポーネント・インターコネクト（ＰＣＩ：Ｐｅｒｉｐｈｅｒａｌ  Ｃｏｍｐｏｎｅｎｔ  Ｉｎｔｅｒｃｏｎｎｅｃｔｓ）バスを含む。
【００５５】
コンピュータ・システムは、さまざまなコンピュータ・システム可読媒体を含んでもよい。こうした媒体はコンピュータ・システムによってアクセス可能な任意の利用可能な媒体であってもよく、それは揮発性および不揮発性媒体、取り外し可能および取り外し不可能媒体の両方を含んでもよい。
【００５６】
システム・メモリ１６は、たとえばランダム・アクセス・メモリ（ＲＡＭ：ｒａｎｄｏｍ  ａｃｃｅｓｓ  ｍｅｍｏｒｙ）もしくはキャッシュ・メモリまたはその両方、またはその他のものなどの、揮発性メモリの形のコンピュータ・システム可読媒体を含み得る。コンピュータ・システムはさらに、その他の取り外し可能／取り外し不可能な揮発性／不揮発性コンピュータ・システム・ストレージ媒体を含んでもよい。単なる例として、取り外し不可能な不揮発性磁気媒体（例、「ハード・ドライブ」）からの読取りおよびそこへの書込みのために、ストレージ・システム１８が提供され得る。図示されていないが、取り外し可能な不揮発性磁気ディスク（例、「フレキシブル・ディスク」）からの読取りおよびそこへの書込みのための磁気ディスク・ドライブ、およびたとえばＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、またはその他の光媒体などの取り外し可能な不揮発性光ディスクからの読取りまたはそこへの書込みのための光ディスク・ドライブが提供され得る。こうした場合には、各々が１つ以上のデータ媒体インターフェースによってバス１４に接続され得る。
【００５７】
加えてコンピュータ・システムは、たとえばキーボード、ポインティング・デバイス、ディスプレイ２８などの１つ以上の外部デバイス２６か、ユーザがコンピュータ・システムと対話することを可能にする１つ以上のデバイスか、もしくはコンピュータ・システムが１つ以上の他のコンピュータ・デバイスと通信することを可能にする任意のデバイス（例、ネットワーク・カード、モデムなど）か、またはその組み合わせと通信してもよい。こうした通信は、入力／出力（Ｉ／Ｏ：Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）インターフェース２０を介して起こり得る。
【００５８】
さらに、コンピュータ・システムはネットワーク・アダプタ２２を介して、たとえばローカル・エリア・ネットワーク（ＬＡＮ：ｌｏｃａｌ  ａｒｅａ  ｎｅｔｗｏｒｋ）、一般的な広域ネットワーク（ＷＡＮ：ｗｉｄｅ  ａｒｅａ  ｎｅｔｗｏｒｋ）、もしくは公共ネットワーク（例、インターネット）、またはその組み合わせなどの１つ以上のネットワーク２４と通信し得る。示されるとおり、ネットワーク・アダプタ２２はバス１４を介して、コンピュータ・システムのその他のコンポーネントと通信する。図示されていないが、コンピュータ・システムとともに他のハードウェアもしくはソフトウェア・コンポーネントまたはその両方が用いられ得ることが理解されるべきである。その例はマイクロコード、デバイス・ドライバ、冗長処理ユニット、外部ディスク・ドライブ・アレイ、ＲＡＩＤシステム、テープ・ドライブ、およびデータ・アーカイバル・ストレージ・システムなどを含むが、それに限定されない。
【００５９】
本発明は、システム、方法、もしくはコンピュータ・プログラム製品、またはその組み合わせであってもよい。コンピュータ・プログラム製品は、プロセッサに本発明の態様を行わせるためのコンピュータ可読プログラム命令を有するコンピュータ可読ストレージ媒体（または複数の媒体）を含んでもよい。
【００６０】
コンピュータ可読ストレージ媒体は、命令実行デバイスによって使用するための命令を保持および保存できる有形デバイスであり得る。コンピュータ可読ストレージ媒体は、たとえば電子ストレージ・デバイス、磁気ストレージ・デバイス、光ストレージ・デバイス、電磁気ストレージ・デバイス、半導体ストレージ・デバイス、または前述の任意の好適な組み合わせなどであってもよいが、それに限定されない。コンピュータ可読ストレージ媒体のより具体的な例の非網羅的リストは以下を含む。ポータブル・コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリ・メモリ（ＲＯＭ：ｒｅａｄ−ｏｎｌｙ  ｍｅｍｏｒｙ）、消去可能プログラマブル・リード・オンリ・メモリ（ｅｒａｓａｂｌｅ  ｐｒｏｇｒａｍｍａｂｌｅ  ｒｅａｄ−ｏｎｌｙ  ｍｅｍｏｒｙ）（ＥＰＲＯＭまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ：ｓｔａｔｉｃ  ｒａｎｄｏｍ  ａｃｃｅｓｓ  ｍｅｍｏｒｙ）、ポータブル・コンパクト・ディスク・リード・オンリ・メモリ（ＣＤ−ＲＯＭ：ｃｏｍｐａｃｔ  ｄｉｓｃ  ｒｅａｄ−ｏｎｌｙ  ｍｅｍｏｒｙ）、デジタル多用途ディスク（ＤＶＤ：ｄｉｇｉｔａｌ  ｖｅｒｓａｔｉｌｅ  ｄｉｓｋ）、メモリ・スティック（登録商標）、フレキシブル・ディスク、機械的にコード化されたデバイス、たとえばパンチ・カードまたは記録された命令を有する溝の中の隆起構造など、および前述の任意の好適な組み合わせ。本明細書において用いられるコンピュータ可読ストレージ媒体は、たとえば電波もしくはその他の自由に伝播する電磁波、導波路もしくはその他の伝送媒体を通じて伝播する電磁波（例、光ファイバ・ケーブルを通過する光パルス）、またはワイヤを通じて伝送される電気信号など、それ自体が一時的信号であると解釈されるべきではない。
【００６１】
本明細書に記載されるコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体からそれぞれのコンピューティング／処理デバイスにダウンロードされ得るか、またはたとえばインターネット、ローカル・エリア・ネットワーク、広域ネットワーク、もしくはワイヤレス・ネットワーク、またはその組み合わせなどのネットワークを介して外部コンピュータまたは外部ストレージ・デバイスにダウンロードされ得る。ネットワークは銅伝送ケーブル、光伝送ファイバ、ワイヤレス伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、もしくはエッジ・サーバ、またはその組み合わせを含んでもよい。各コンピューティング／処理デバイス内のネットワーク・アダプタ・カードまたはネットワーク・インターフェースは、ネットワークからコンピュータ可読プログラム命令を受信して、そのコンピュータ可読プログラム命令をそれぞれのコンピューティング／処理デバイス内のコンピュータ可読ストレージ媒体におけるストレージのために転送する。
【００６２】
本発明の動作を実行するためのコンピュータ可読プログラム命令はアセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ：ｉｎｓｔｒｕｃｔｉｏｎ−ｓｅｔ−ａｒｃｈｉｔｅｃｔｕｒｅ）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、または１つ以上のプログラミング言語の任意の組み合わせで書かれたソース・コードもしくはオブジェクト・コードであってもよく、このプログラミング言語はオブジェクト指向プログラミング言語、たとえばＳｍａｌｌｔａｌｋ（登録商標）、またはＣ＋＋など、および従来の手続き型プログラミング言語、たとえば「Ｃ」プログラミング言語または類似のプログラミング言語などを含む。コンピュータ可読プログラム命令は、すべてがユーザのコンピュータで実行されてもよいし、スタンドアロン・ソフトウェア・パッケージとして部分的にユーザのコンピュータで実行されてもよいし、一部がユーザのコンピュータで、一部がリモート・コンピュータで実行されてもよいし、すべてがリモート・コンピュータまたはサーバで実行されてもよい。後者のシナリオにおいて、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ）または広域ネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを通じてユーザのコンピュータに接続されてもよいし、（たとえば、インターネット・サービス・プロバイダを用いてインターネットを通じて）外部コンピュータへの接続が行われてもよい。いくつかの実施形態において、たとえばプログラマブル・ロジック回路、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ：ｆｉｅｌｄ−ｐｒｏｇｒａｍｍａｂｌｅ  ｇａｔｅ  ａｒｒａｙｓ）、またはプログラマブル・ロジック・アレイ（ＰＬＡ：ｐｒｏｇｒａｍｍａｂｌｅ  ｌｏｇｉｃ  ａｒｒａｙｓ）などを含む電子回路は、本発明の態様を行うために電子回路をパーソナライズするためのコンピュータ可読プログラム命令の状態情報を使用することによって、コンピュータ可読プログラム命令を実行してもよい。
【００６３】
本明細書においては、本発明の実施形態による方法、装置（システム）、およびコンピュータ・プログラム製品の流れ図もしくはブロック図またはその両方を参照して、本発明の態様を説明している。流れ図もしくはブロック図またはその両方の各ブロック、および流れ図もしくはブロック図またはその両方におけるブロックの組み合わせは、コンピュータ可読プログラム命令によって実現され得ることが理解されるだろう。
【００６４】
これらのコンピュータ可読プログラム命令は、汎用目的コンピュータ、特定目的コンピュータ、またはマシンを生成するためのその他のプログラマブル・データ処理装置のプロセッサに提供されることによって、そのコンピュータまたはその他のプログラマブル・データ処理装置のプロセッサを介して実行される命令が、流れ図もしくはブロック図またはその両方の単数または複数のブロックにおいて指定される機能／活動を実現するための手段を生じてもよい。これらのコンピュータ可読プログラム命令は、コンピュータ、プログラマブル・データ処理装置、もしくはその他のデバイスまたはその組み合わせに特定の方式で機能するように指示できるコンピュータ可読ストレージ媒体にも保存されることによって、命令が保存されたコンピュータ可読ストレージ媒体が、流れ図もしくはブロック図またはその両方の単数または複数のブロックにおいて指定される機能／活動の態様を実現する命令を含む製造物を含むようにしてもよい。
【００６５】
コンピュータ可読プログラム命令は、コンピュータ、他のプログラマブル・データ処理装置、または他のデバイスにもロードされて、コンピュータに実施されるプロセスを生成するためにコンピュータ、他のプログラマブル装置、または他のデバイスにおいて一連の動作ステップを行わせることによって、そのコンピュータ、他のプログラマブル装置、または他のデバイスにおいて実行される命令が、流れ図もしくはブロック図またはその両方の単数または複数のブロックにおいて指定される機能／活動を実現してもよい。
【００６６】
図面における流れ図およびブロック図は、本発明のさまざまな実施形態によるシステム、方法、およびコンピュータ・プログラム製品の可能な実現のアーキテクチャ、機能、および動作を示すものである。これに関して、流れ図またはブロック図の各ブロックは、指定される論理機能（単数または複数）を実現するための１つ以上の実行可能命令を含むモジュール、セグメント、または命令の一部を表してもよい。いくつかの代替的実施において、ブロック内に示される機能は、図面に示されるものとは異なる順序で起こってもよい。たとえば、連続して示される２つのブロックは、実際には実質的に同時に実行されてもよいし、関与する機能によってはこれらのブロックがときに逆の順序で実行されてもよい。加えて、ブロック図もしくは流れ図またはその両方の各ブロック、およびブロック図もしくは流れ図またはその両方のブロックの組み合わせは、指定された機能を行うか、または特定目的のハードウェアおよびコンピュータ命令の組み合わせを実施もしくは実行する特定目的のハードウェア・ベースのシステムによって実現され得ることが注目されるだろう。
【００６７】
本明細書において用いられる用語は、単に特定の実施形態を説明する目的のためのものであり、本発明を限定することは意図されていない。本明細書において用いられる単数形の「ａ」、「ａｎ」、および「ｔｈｅ」は、状況が別様を明瞭に示さない限り複数形も含むことが意図されている。さらに、この明細書において用いられるときの「含む（ｃｏｍｐｒｉｓｅｓ）」もしくは「含む（ｃｏｍｐｒｉｓｉｎｇ）」という用語、またはその両方は、記述される特徴、整数、ステップ、動作、構成要素、もしくはコンポーネント、またはその組み合わせの存在を明示するが、１つ以上の他の特徴、整数、ステップ、動作、構成要素、コンポーネント、もしくはそのグループ、またはその組み合わせの存在または追加を除外するものではないことが理解されるだろう。
【００６８】
図５は、本発明の実施形態によるクラウド・コンピューティング環境を示す。この開示はクラウド・コンピューティングに対する詳細な説明を含むが、本明細書に記述される教示の実現はクラウド・コンピューティング環境に限定されないことが理解されるべきである。むしろ本発明の実施形態は、現在公知であるか、または後に開発される任意のその他のタイプのコンピューティング環境とともに実現され得る。
【００６９】
クラウド・コンピューティングは、最小限の管理努力またはサービスのプロバイダとの対話によって迅速にプロビジョニングおよびリリースされ得る構成可能なコンピューティング・リソース（例、ネットワーク、ネットワーク帯域幅、サーバ、処理、メモリ、ストレージ、アプリケーション、仮想マシン、およびサービス）の共有プールへの便利なオンデマンド・ネットワーク・アクセスを可能にするためのサービス配信のモデルである。このクラウド・モデルは少なくとも５つの特性と、少なくとも３つのサービス・モデルと、少なくとも４つの配置モデルとを含んでもよい。
【００７０】
特性は次のとおりである。
オンデマンド・セルフサービス。クラウド消費者は、たとえばサーバ時間およびネットワーク・ストレージなどのコンピューティング・ケイパビリティを、必要に応じて自動的に、サービスのプロバイダとの人的対話を必要とせずに一方的にプロビジョニングできる。
広範なネットワーク・アクセス。ケイパビリティはネットワークを通じて利用可能であり、異種シンまたはシック・クライアント・プラットフォーム（例、携帯電話、ラップトップ、およびＰＤＡ）による使用を促進する標準的な機構を通じてアクセスされる。
リソース・プール。マルチテナント・モデルを用いて複数の消費者にサービスするために、プロバイダのコンピューティング・リソースはプールされ、要求に従って異なる物理および仮想リソースが動的に割り当ておよび再割り当てされる。消費者は一般的に、提供されるリソースの正確な場所に対する制御も知識も有さないが、より高い抽象化レベルにおける場所（例、国、州、またはデータセンタ）を特定できてもよいという点で、場所独立性の意味が存在する。
迅速な順応性。ケイパビリティは、素早くスケール・アウトするために場合によっては自動的に、迅速かつ順応的にプロビジョニングされ、かつ素早くスケール・インするために迅速にリリースされ得る。消費者にとって、プロビジョニングのために利用可能なケイパビリティはしばしば無制限にみえ、任意のときに任意の量を購入できる。
サービスの測定。クラウド・システムは、サービスのタイプ（例、ストレージ、処理、帯域幅、およびアクティブ・ユーザ・アカウント）に対して適切な何らかの抽象化レベルにおいて計測ケイパビリティを利用することによって、リソースの使用を自動的に制御および最適化する。リソースの使用をモニタ、制御、および報告して、使用されるサービスのプロバイダおよび消費者の両方に対する透明性を提供できる。
【００７１】
サービス・モデルは次のとおりである。
サービスとしてのソフトウェア（ＳａａＳ：Ｓｏｆｔｗａｒｅ  ａｓ  ａ  Ｓｅｒｖｉｃｅ）。消費者に提供されるケイパビリティは、クラウド・インフラストラクチャにおいて実行されるプロバイダのアプリケーションの使用である。アプリケーションは、さまざまなクライアント・デバイスからたとえばウェブ・ブラウザ（例、ウェブ・ベースのｅメール）などのシン・クライアント・インターフェースを通じてアクセス可能である。消費者はネットワーク、サーバ、オペレーティング・システム、ストレージ、または個々のアプリケーション・ケイパビリティさえも含む基礎的なクラウド・インフラストラクチャを管理または制御することはなく、例外となり得るのは限られたユーザ特有のアプリケーション構成設定である。
サービスとしてのプラットフォーム（ＰａａＳ：Ｐｌａｔｆｏｒｍ  ａｓ  ａ  Ｓｅｒｖｉｃｅ）。消費者に提供されるケイパビリティは、プロバイダによってサポートされるプログラミング言語およびツールを用いて作成された、消費者が作成または取得したアプリケーションのクラウド・インフラストラクチャへの配置である。消費者はネットワーク、サーバ、オペレーティング・システム、またはストレージを含む基礎的なクラウド・インフラストラクチャを管理または制御することはないが、配置されたアプリケーションおよびおそらくはアプリケーション・ホスティング環境構成に対する制御を有する。
サービスとしてのインフラストラクチャ（ＩａａＳ：Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ  ａｓ  ａ  Ｓｅｒｖｉｃｅ）。消費者に提供されるケイパビリティは、オペレーティング・システムおよびアプリケーションを含み得る、消費者が任意のソフトウェアを配置および実行することが可能な処理、ストレージ、ネットワーク、およびその他の基本的なコンピューティング・リソースのプロビジョニングである。消費者は基礎的なクラウド・インフラストラクチャを管理または制御することはないが、オペレーティング・システム、ストレージ、配置されたアプリケーションに対する制御、およびおそらくはネットワーク形成コンポーネント（例、ホスト・ファイアウォール）の選択に対する限られた制御を有する。
【００７２】
配置モデルは次のとおりである。
プライベート・クラウド。このクラウド・インフラストラクチャは、ある組織に対してのみ動作される。これはその組織または第３者によって管理されてもよく、オンプレミスまたはオフプレミスに存在してもよい。
コミュニティ・クラウド。このクラウド・インフラストラクチャは複数の組織によって共有され、共通する関心事項（例、任務、セキュリティ要件、ポリシー、およびコンプライアンスの検討）を有する特定のコミュニティをサポートする。これはそれらの組織または第３者によって管理されてもよく、オンプレミスまたはオフプレミスに存在してもよい。
パブリック・クラウド。このクラウド・インフラストラクチャは、一般人または大規模な産業グループに対して利用可能にされ、クラウド・サービスを販売する組織が所有している。
ハイブリッド・クラウド。このクラウド・インフラストラクチャは２つ以上のクラウド（プライベート、コミュニティ、またはパブリック）の複合体であり、それらのクラウドは独特のエンティティを留めるが、データおよびアプリケーション・ポータビリティを可能にする標準または独自の技術（例、クラウド間のロード・バランシングのためのクラウド・バースティング）によってともに結合される。
【００７３】
クラウド・コンピューティング環境はサービス指向型であり、ステートレス性、低結合性、モジュラリティ、および意味的な相互運用性に焦点を合わせている。クラウド・コンピューティングの中心には、相互接続されたノードのネットワークを含むインフラストラクチャがある。
【００７４】
ここで図５を参照すると、例示的なクラウド・コンピューティング環境５０が示されている。示されるとおり、クラウド・コンピューティング環境５０は１つ以上のクラウド・コンピューティング・ノード１０を含み、たとえばパーソナル・デジタル・アシスタント（ＰＤＡ：ｐｅｒｓｏｎａｌ  ｄｉｇｉｔａｌ  ａｓｓｉｓｔａｎｔ）もしくは携帯電話５４Ａ、デスクトップ・コンピュータ５４Ｂ、ラップトップ・コンピュータ５４Ｃ、または自動車のコンピュータ・システム５４Ｎ、あるいはその組み合わせなどの、クラウド消費者によって用いられるローカル・コンピュータ・デバイスが、このクラウド・コンピューティング・ノード１０によって通信してもよい。ノード１０は互いに通信してもよい。これらのノードは、たとえば上述したプライベート、コミュニティ、パブリック、もしくはハイブリッド・クラウド、またはその組み合わせなどの１つ以上のネットワークにおいて、物理的または仮想的にグループ化（図示せず）されてもよい。このことは、クラウド・コンピューティング環境５０がインフラストラクチャ、プラットフォーム、もしくはソフトウェア、またはその組み合わせを、クラウド消費者がそれに対するリソースをローカル・コンピュータ・デバイスにおいて維持する必要のないサービスとして提供することを可能にする。図５に示されるコンピュータ・デバイス５４Ａ〜Ｎのタイプは単なる例示であることが意図されており、コンピューティング・ノード１０およびクラウド・コンピューティング環境５０は、任意のタイプのネットワークもしくはネットワーク・アドレス可能接続（例、ウェブ・ブラウザを使用するもの）またはその両方を通じて、任意のタイプのコンピュータ・デバイスと通信できることが理解される。
【００７５】
図６は、本発明の実施形態による抽象化モデル・レイヤを示す。ここで図６を参照すると、クラウド・コンピューティング環境５０（図５）によって提供される機能的抽象化レイヤのセットが示されている。図６に示されるコンポーネント、レイヤ、および機能は単なる例示であることが意図されており、本発明の実施形態はそれらに限定されないことが予め理解されるべきである。示されるとおり、以下のレイヤおよび対応する機能が提供される。
【００７６】
ハードウェアおよびソフトウェア・レイヤ６０は、ハードウェアおよびソフトウェア・コンポーネントを含む。ハードウェア・コンポーネントの例は、メインフレーム６１、ＲＩＳＣ（縮小命令セット・コンピュータ（Ｒｅｄｕｃｅｄ  Ｉｎｓｔｒｕｃｔｉｏｎ  Ｓｅｔ  Ｃｏｍｐｕｔｅｒ））アーキテクチャ・ベースのサーバ６２、サーバ６３、ブレード・サーバ６４、ストレージ・デバイス６５、ならびにネットワークおよびネットワーク形成コンポーネント６６を含む。いくつかの実施形態において、ソフトウェア・コンポーネントは、ネットワーク・アプリケーション・サーバ・ソフトウェア６７およびデータベース・ソフトウェア６８を含む。
【００７７】
仮想化レイヤ７０は抽象化レイヤを提供し、この抽象化レイヤから仮想エンティティの以下の例が提供されてもよい。仮想サーバ７１、仮想ストレージ７２、仮想プライベート・ネットワークを含む仮想ネットワーク７３、仮想アプリケーションおよびオペレーティング・システム７４、ならびに仮想クライアント７５。
【００７８】
一例において、管理レイヤ８０は以下に記載される機能を提供してもよい。リソース・プロビジョニング８１は、クラウド・コンピューティング環境内でタスクを行うために使用されるコンピューティング・リソースおよびその他のリソースの動的調達を提供する。計測および価格決定８２は、クラウド・コンピューティング環境内でリソースが使用される際のコスト追跡と、これらのリソースの消費に対する請求書またはインボイスの送付とを提供する。一例において、これらのリソースはアプリケーション・ソフトウェア・ライセンスを含んでもよい。セキュリティは、クラウド消費者およびタスクに対するアイデンティティ検証、ならびにデータおよびその他のリソースの保護を提供する。ユーザ・ポータル８３は、消費者およびシステム管理者に対するクラウド・コンピューティング環境へのアクセスを提供する。サービス・レベル管理８４は、要求されるサービス・レベルが満たされるようにクラウド・コンピューティング・リソースの割り当ておよび管理を提供する。サービス・レベル・アグリーメント（ＳＬＡ：Ｓｅｒｖｉｃｅ  Ｌｅｖｅｌ  Ａｇｒｅｅｍｅｎｔ）計画および実現８５は、ＳＬＡによって将来の要求が予測されるクラウド・コンピューティング・リソースに対する事前の取り決めおよびその調達を提供する。
【００７９】
ワークロード・レイヤ９０は、クラウド・コンピューティング環境が使用され得る機能の例を提供する。このレイヤから提供され得るワークロードおよび機能の例は、マッピングおよびナビゲーション９１、ソフトウェア開発およびライフサイクル管理９２、仮想教室の教育配信９３、データ分析処理９４、トランザクション処理９５、および不審アクティビティ検出９６を含む。
【００８０】
以下の請求項におけるすべての手段またはステップ・プラス機能要素に対応する構造、材料、動作、および均等物は、もしあれば、特定的に請求される他の請求要素と組み合わせてその機能を行うための任意の構造、材料または動作を含むことが意図される。本発明の説明は例示および説明の目的のために提供されたものであるが、開示される形の発明に対して網羅的または限定的になることは意図されていない。本発明の範囲および思想から逸脱することなく、当業者には多くの修正および変更が明らかになるだろう。実施形態は、本発明の原理および実際の適用を最もよく説明し、かつ他の当業者が予期される特定の使用に好適であるようなさまざまな修正を伴うさまざまな実施形態に対して本発明を理解できるようにするために選択されて記載されたものである。
【図１】
2021536052.tif 000003
【図２】
2021536052.tif 000004
【図３】
2021536052.tif 000005
【図４】
2021536052.tif 000006
【図５】
2021536052.tif 000007
【図６】
2021536052.tif 000008
【手続補正書】
【提出日】令和3年3月8日(2021.3.8)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
プロセッサによって、ネットワークにアクセスすることを要求したユーザのユーザ・プロファイルを受信するステップであって、前記ユーザ・プロファイルは少なくとも前記ユーザのｅメール・アドレスを含み、前記ｅメール・アドレスはドメイン・ネームを含む、前記受信するステップと、
前記プロセッサによって、前記ドメイン・ネームが有効かどうかを判定するステップと、
前記ドメイン・ネームが無効であると判定したことに応答して、前記プロセッサによって、前記ユーザを不審なユーザに分類するステップと、
前記ドメイン・ネームが有効であると判定したことに応答して、
前記プロセッサによって、前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスである可能性を定めるステップであって、前記可能性を前記定めるステップは前記ｅメール・アドレスと複数のｅメール・アドレスとの相違に基づいており、前記複数のｅメール・アドレスは前記ドメイン・ネームを含み、かつ前記複数のｅメール・アドレスは前記ネットワークへのアクセスを要求した他のユーザに関連する、前記定めるステップと、
前記可能性に基づいて前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスであると判定したことに応答して、前記プロセッサによって、前記ユーザを不審なユーザに分類するステップと、
前記可能性に基づいて前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスではないと判定したことに応答して、
前記プロセッサによって、前記ユーザの使用挙動を参照モデルと比較するステップであって、前記使用挙動は前記ユーザによる前記ネットワークの使用履歴を示す、前記比較するステップと、
前記プロセッサによって、前記比較に基づいて前記ネットワーク上の前記ユーザによって示される異常使用挙動の存在があるかどうかを判定するステップと、
前記ネットワーク上の前記ユーザによって示される前記異常使用挙動の存在を判定したことに応答して、前記プロセッサによって、前記ユーザを不審なユーザに分類するステップと、
前記プロセッサによって、前記ネットワークにアクセスするための前記ユーザからの後続要求を拒否するステップと
を含む、コンピュータに実施される方法。
【請求項２】
前記ネットワーク上の前記ユーザによって示される異常使用挙動の存在がないと判定したことに応答して、前記プロセッサによって、前記ネットワークにアクセスするための前記ユーザからの前記後続要求を許可するステップをさらに含む、請求項１に記載のコンピュータに実施される方法。
【請求項３】
前記ドメイン・ネームが有効かどうかを判定するステップは、
前記プロセッサによって、ドメイン・ネーム・システムに前記ドメイン・ネームに対するクエリを送るステップと、
サーバのリストに対する前記ドメイン・ネームのマッピングを示すメール交換記録を受信したことに応答して、前記プロセッサによって、前記ドメイン・ネームが有効であると判定するステップと、
サーバのリストに対する前記ドメイン・ネームの前記マッピングを示す前記メール交換記録を受信しなかったことに応答して、前記プロセッサによって、前記ドメイン・ネームが無効であると判定するステップと
を含む、請求項１または２に記載のコンピュータに実施される方法。
【請求項４】
前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスである前記可能性を定めるステップは、
前記プロセッサによって、前記ｅメール・アドレスと前記複数のｅメール・アドレスとの相違の第１の平均を定めるステップと、
前記プロセッサによって、前記複数のｅメール・アドレスの長さの変動係数を定めるステップと、
前記プロセッサによって、前記ｅメール・アドレスと前記ユーザの名前との相違、および前記複数のｅメール・アドレスと対応するユーザの名前との相違の第２の平均を定めるステップと、
前記プロセッサによって、前記第１の平均と、前記長さの変動係数と、前記第２の平均とに基づいてスコアを定めるステップと、
前記プロセッサによって、前記スコアを閾値と比較するステップと、
前記プロセッサによって、前記スコアと前記閾値との前記比較に基づいて、前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスである前記可能性を定めるステップと
を含む、請求項１〜３のいずれか１項に記載のコンピュータに実施される方法。
【請求項５】
異常使用挙動の存在があるかどうかを判定するステップは、ロバストな主成分分析を用いるステップを含む、請求項１〜４のいずれか１項に記載のコンピュータに実施される方法。
【請求項６】
前記プロセッサによって、前記ドメイン・ネームを含むｅメール・アドレスの数を定めるステップと、
前記プロセッサによって、定められた前記ｅメール・アドレスの数を閾値と比較するステップとをさらに含み、
前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスである前記可能性を定めるステップは、前記ｅメール・アドレスの数が前記閾値よりも大きいと判定したことに応答して行われる、請求項１〜５のいずれか１項に記載のコンピュータに実施される方法。
【請求項７】
前記使用挙動と前記参照モデルとの前記比較は、前記ネットワーク上で前記ユーザによって行われるアクティビティの存在を検出したことに応答して行われる、請求項１〜６のいずれか１項に記載のコンピュータに実施される方法。
【請求項８】
前記参照モデルは、前記ネットワークへのアクセスを要求した前記他のユーザによって示される使用挙動に基づくものである、請求項１〜７のいずれか１項に記載のコンピュータに実施される方法。
【請求項９】
前記使用挙動を前記参照モデルと比較するステップは、前記プロセッサによって、前記使用挙動を前記ネットワーク上の不審なユーザによって示される使用挙動履歴と比較するステップを含む、請求項１〜８のいずれか１項に記載のコンピュータに実施される方法。
【請求項１０】
ネットワークにアクセスすることを要求したユーザのユーザ設定を保存するように構成されたメモリ・デバイスであって、前記ユーザ設定は、少なくとも前記ユーザのｅメール・アドレスおよび使用挙動を含み、前記ｅメール・アドレスはドメイン・ネームを含み、前記使用挙動は前記ユーザによる前記ネットワークの使用履歴を示す、前記メモリ・デバイスと、
前記メモリ・デバイスと通信するように構成されたハードウェア・プロセッサとを含み、前記ハードウェア・プロセッサは、
前記ドメイン・ネームが有効かどうかを判定することと、
前記ドメイン・ネームが無効であるという判定に応答して、前記ユーザを不審なユーザに分類することと、
前記ドメイン・ネームが有効であるという判定に応答して、
前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスである可能性を定めることであって、前記可能性を前記定めることは前記ｅメール・アドレスと複数のｅメール・アドレスとの相違に基づいており、前記複数のｅメール・アドレスは前記ドメイン・ネームを含み、かつ前記複数のｅメール・アドレスは前記ネットワークへのアクセスを要求した他のユーザに関連する、前記定めることと、
前記可能性に基づいて前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスであるという判定に応答して、前記ユーザを不審なユーザに分類することと、
前記可能性に基づいて前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスではないという判定に応答して、
前記使用挙動を参照モデルと比較することと、
前記比較に基づいて前記ネットワーク上の前記ユーザによって示される異常使用挙動の存在があるかどうかを判定することと、
前記ネットワーク上の前記ユーザによって示される前記異常使用挙動の存在の前記判定に応答して、前記ユーザを不審なユーザに分類することと、
前記ネットワークにアクセスするための前記ユーザからの後続要求を拒否することと
を行うように構成される、システム。
【請求項１１】
ネットワークの不審なユーザを分類するコンピュータ・プログラムであって、前記コンピュータ・プログラムは、
ネットワークにアクセスすることを要求したユーザのユーザ・プロファイルを受信することであって、前記ユーザ・プロファイルは少なくともｅメール・アドレスを含み、前記ｅメール・アドレスはドメイン・ネームを含む、前記受信することと、
前記ドメイン・ネームが有効かどうかを判定することと、
前記ドメイン・ネームが無効であるという判定に応答して、前記ユーザを不審なユーザに分類することと、
前記ドメイン・ネームが有効であるという判定に応答して、
前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスである可能性を定めることであって、前記可能性を前記定めることは前記ｅメール・アドレスと複数のｅメール・アドレスとの相違に基づいており、前記複数のｅメール・アドレスは前記ドメイン・ネームを含み、かつ前記複数のｅメール・アドレスは前記ネットワークへのアクセスを要求した他のユーザに関連する、前記定めることと、
前記可能性に基づいて前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスであるという判定に応答して、前記ユーザを不審なユーザに分類することと、
前記可能性に基づいて前記ｅメール・アドレスがスクリプト生成ｅメール・アドレスではないという判定に応答して、
前記ユーザの使用挙動を参照モデルと比較することであって、前記使用挙動は前記ユーザによる前記ネットワークの使用履歴を示す、前記比較することと、
前記比較に基づいて前記ネットワーク上の前記ユーザによって示される異常使用挙動の存在があるかどうかを判定することと、
前記ネットワーク上の前記ユーザによって示される前記異常使用挙動の存在の前記判定に応答して、前記ユーザを不審なユーザに分類することと、
前記ネットワークにアクセスするための前記ユーザからの後続要求を拒否することと
をコンピュータに実施させる、コンピュータ・プログラム。
【国際調査報告】
2021536052.tif 000009
2021536052.tif 000010