(57)【特許請求の範囲】
【請求項１】
複数のコンピュータを備えるコンピュータネットワークにおいて警告メッセージを解析する方法であって、
解析システムが、前記コンピュータから複数の警告メッセージを受信するステップであって、受信した前記警告メッセージが前記コンピュータネットワークの種々のタイプの異常と対応する、ステップ、
前記複数の警告メッセージの個々の警告メッセージが示す前記コンピュータネットワークにおける異常のタイプによって前記複数の警告メッセージを分類するステップ、
前記解析システムが、前記コンピュータネットワークにおける第１のタイプの異常と対応する受信した警告メッセージ数が所定のイベント閾値を下回ることを判定することにより、前記コンピュータネットワークにおける前記第１のタイプの異常が稀に発生する異常であると判定するステップ、
前記第１のタイプの異常が稀に発生する異常であると判定するステップに応答して、
前記解析システムが、警報信号を出力するステップ、
前記解析システムが、
前記コンピュータネットワークにおける前記第１のタイプの異常と対応する受信された警告メッセージ数と所定のイベント閾値との差、
前記コンピュータネットワークにおいて稀に実行されるプロセスの頻度、および／または、
所定の時間から、前記コンピュータネットワークにおける複数のコンピュータの内の所定のグループのコンピュータでのみ実行されたプログラムの頻度に基づいて、前記第１のタイプの異常が前記コンピュータネットワーク上の攻撃と対応する確率を判定するステップ、及び
前記判定された確率が特定の閾値を超えたことに応答して、前記解析システムが、前記判定された確率とイベントとを相関させ、前記解析システムが前記イベントを出力するステップ
を備える方法。
【請求項２】
前記複数の警告メッセージが所定の時間間隔において受信される、請求項１に記載の方法。
【請求項３】
前記警告メッセージのコンテンツに基づいて前記複数の警告メッセージの警告メッセージが示す異常のタイプを判定するステップ
をさらに備える請求項２に記載の方法。
【請求項４】
前記所定の時間間隔において受信される、前記第１のタイプの異常と対応するとして分類された警告メッセージを計数することにより、前記コンピュータネットワークにおける前記第１のタイプの異常と対応する受信した前記警告メッセージ数を判定するステップ
をさらに備える請求項２に記載の方法。
【請求項５】
前記確率を判定する前記ステップが、以下の所定のパラメータ：前記コンピュータネットワークの個別のユーザグループの脅威の可能性についてのブラックリスト、ホワイトリスト、閾値、イベント相関値及び定義の少なくとも１つにさらに基づく、請求項１に記載の方法。
【請求項６】
前記確率を判定する前記ステップが、前記コンピュータネットワークのウェブページへの訪問者数にさらに基づく、請求項１に記載の方法。
【請求項７】
前記複数の警告メッセージの警告メッセージが、前記複数のコンピュータの少なくとも１つにおける以下のシステム：ウイルススキャナ、プロキシサーバ、侵入検知システム（ＩＤＳ）、ファイアウォール、オペレーティングシステム、ログ管理システム並びにセキュリティ情報及びイベント管理（ＳＩＥＭ）システムの１以上を使用して生成される、請求項１に記載の方法。
【請求項８】
前記コンピュータネットワークにおける前記第１のタイプの異常と対応する受信した警告メッセージ数が前記所定のイベント閾値を下回る度合いに基づいて前記所定のイベント閾値を調整するステップ
をさらに備える請求項１に記載の方法。
【請求項９】
ユーザフィードバック、前記コンピュータネットワークのネットワークアーキテクチャの変化、前記コンピュータネットワークにおける前記コンピュータ数の変化の少なくとも１つの関数として前記所定のイベント閾値を適応的に調整するステップ
をさらに備える請求項１に記載の方法。
【請求項１０】
複数のコンピュータを備えるコンピュータネットワークにおいて警告メッセージを解析するための解析システムであって、プロセッサとプロセッサ実行可能命令を有する非一時的なコンピュータ可読媒体とを備え、前記プロセッサ実行可能命令は、
前記コンピュータから複数の警告メッセージを受信するステップであって、前記警告メッセージが前記コンピュータネットワークの種々のタイプの異常と対応する、ステップと、
前記複数の警告メッセージの個々の警告メッセージが示す前記コンピュータネットワークにおける異常のタイプによって前記複数の警告メッセージを分類するステップと、
前記複数の受信警告メッセージからの警告メッセージ数を所定のイベント閾値と比較するステップであって、前記警告メッセージ数が前記コンピュータネットワークの１つのタイプの異常に基づく、ステップと、
前記コンピュータネットワークにおける同一タイプの異常に基づく前記警告メッセージ数が前記所定のイベント閾値を下回る場合に警報信号を出力するステップと、
前記コンピュータネットワークにおける第１のタイプの異常と対応する受信した警告メッセージ数を判定することにより、前記コンピュータネットワークにおける前記第１のタイプの異常が稀に発生する異常であると判定するステップの実行を促進し、
前記第１のタイプの異常が稀に発生する異常であると判定するステップに応答して、
警報信号を出力するステップと、
前記コンピュータネットワークにおける前記第１のタイプの異常と対応する受信された警告メッセージ数と所定のイベント閾値との差、
前記コンピュータネットワークにおいて稀に実行されるプロセスの頻度、および／または、
所定の時間から、前記コンピュータネットワークにおける複数のコンピュータの内のコンピュータの所定のグループでのみ実行されたプログラムの頻度
に基づいて、前記第１のタイプの異常が前記コンピュータネットワーク上の攻撃と対応する確率を判定するステップと、
前記判定された確率が特定の閾値を超えたことに応答して、前記判定された確率とイベントとを相関させ、前記イベントを出力するステップ
を前記プロセッサに実行させる解析システム。
【請求項１１】
前記プロセッサ実行可能命令は、実行されると、個々の警告メッセージが示す前記異常のタイプによって前記複数の警告メッセージを分類するステップ
をさらに促進する請求項１０に記載の解析システム。
【発明の詳細な説明】
【技術分野】
【０００１】
［関連出願の相互参照］
２０１４年７月１８日に出願された欧州特許出願第１４１７７６４７．６号の優先権が主張され、その開示全体は参照によりここに組み込まれる。
本発明は、コンピュータネットワークへの攻撃を検出する方法及び解析システムに関する。
【背景技術】
【０００２】
企業秘密の盗用は、企業のコンピュータネットワークにマルウェアを仕掛けることによって、多くの場合気付かれないうちに実行される。このタイプの攻撃は、特定の使用に対して個々に調整された独自開発のマルウェアを使用することがあり、市販のウイルス対策製品によっては検出されず、又はかなり後々まで検出されない。企業は、デジタルスパイ攻撃の潜在的な犠牲者として独自に備えることは可能であるが、場所、時間及び構成などの厳密な状況は一般的には分からない。攻撃される企業は、このタイプの攻撃を検出及び撃退するために、異なるセキュリティ及びオペレーティングシステムから性質の異なる大量のプロトコルデータをリンクして有意義かつ有益な画像を形成する課題に直面することになる。
【発明の概要】
【０００３】
実施形態において、本発明は、複数のコンピュータを備えるコンピュータネットワークにおける攻撃を検出する方法を提供する。この方法は、コンピュータから複数の警告メッセージを受信するステップであって、警告メッセージがコンピュータネットワークの異質タイプの異常に基づくステップ、複数の受信警告メッセージからの警告メッセージ数を所定のイベント閾値と比較するステップであって、警告メッセージ数がコンピュータネットワークの単一タイプの異常に基づくステップ、及びコンピュータネットワークの同一タイプの異常に基づく警告メッセージ数がイベント閾値を下回る場合に警報信号を出力するステップを含む。
【０００４】
本発明を、図面の例示に基づいて以下でより詳細に説明する。発明は、実施形態例に限定されない。ここに説明及び／又は図示するすべての構成は、発明の実施形態において単独で用いられる又は別の組合せで併用され得る。本発明の種々の実施形態の構成及び効果は、以下で図示する添付図面を参照して以下の詳細な説明を解釈することによって明確になる。
【図面の簡単な説明】
【０００５】
【図１】図１は、異質タイプの異常への警告メッセージの分類１００の実施形態についての概略図である。
【図２】図２は、コンピュータネットワークへの攻撃を検出するための解析システム２００の実施形態についての概略図である。
【図３】図３は、コンピュータネットワークへの攻撃を検出するための解析システム３００のさらなる実施形態についての概略図である。
【図４】図４は、攻撃を検出する実施形態による、コンピュータネットワーク４１０のインターネットウェブページ４１１への攻撃並びに解析システム２００及び３００のシナリオ４００についての概略図である。
【図５】図５は、攻撃を検出する実施形態による、企業内のコンピュータネットワーク５１０のネットワーク型コンピュータグループへのウイルス攻撃並びに解析システム２００及び３００のシナリオ５００についての概略図である。
【図６】図６は、実施形態による、コンピュータネットワークへの攻撃を検出する方法６００についての概略図である。
【発明を実施するための形態】
【０００６】
実施形態において、本発明は、コンピュータネットワークにおける攻撃を検出することに備える。
【０００７】
以下に説明する方法及びシステムは、ＳＩＥＭ（セキュリティ情報及びイベント管理）システムからのデータを記録することに基づき得る。「ＳＩＥＭシステム」は、セキュリティ情報管理（ＳＩＭ）をセキュリティイベント管理（ＳＥＭ）と組み合わせるソフトウェア及び製品サービスに関する用語である。ＳＩＥＭ技術は、ネットワークハードウェア及びネットワークアプリケーションによって生成され得るセキュリティ警報のリアルタイム解析を提供する。ＳＩＥＭは、ソフトウェア、アプリケーション又は関連サービスの形式で販売されることがあり、セキュリティ関連データの記録及びコンプライアンスアプリケーションについてのレポートの生成にも使用され得る。
【０００８】
以下に説明する方法及びシステムは、Ｃ２（コマンド制御）サーバを使用するコンピュータシステムへの攻撃に対して表示又は警報信号を供給することができる。コマンド制御サーバは、ボットネットワークの一部である機械又はコンピュータからコマンドを送信し応答を取得することができる集中型機械又はコンピュータサーバである。ＤＤｏＳ（分散型サービス拒否）攻撃の始動を目論む攻撃者は、特定のターゲットコンピュータを攻撃する指示を有する特別なコマンドをそれらボットネットワークのＣ２サーバにいつでも送信することができ、それにより、接触したＣ２サーバと通信しているすべての感染機械がターゲットコンピュータに組織的攻撃を始動する。
【０００９】
以下に説明する方法及びシステムは、ボットネットワークからの攻撃から、特にＤＤｏＳ攻撃、スパム攻撃、スニッフィング攻撃、フィッシング攻撃、マルウェア拡散、キーロギング、無用なソフトウェアのインストール、なりすまし、コンピュータネットワークの操作から、コンピュータネットワークを保護するのに使用され得る。
【００１０】
以下に説明する方法及びシステムは、情報技術（ＩＴ）の分野において使用され得る。情報技術は、情報及びデータ処理並びにこの目的に必要なハードウェア及びソフトウェアについての一般用語である。企業の情報技術は、情報を生成、処理及び転送するためのすべての技術的装備を備える。
【００１１】
発明を詳細に説明するために、以下の略語及び用語が使用される。
ＩＴ  情報技術
ＳＩＥＭ  セキュリティ情報及びイベント管理
ＳＩＭ  セキュリティ情報管理
ＳＥＭ  セキュリティイベント管理
Ｃ２サーバ  コマンド制御サーバ
【００１２】
発明の一態様は、複数のコンピュータを備えるコンピュータネットワークにおける攻撃を検出する方法に関し、以下の、コンピュータから複数の警告メッセージを受信するステップであって、警告メッセージがコンピュータネットワークの異質タイプの異常に基づくステップ、複数の受信警告メッセージからの警告メッセージ数を所定のイベント閾値と比較するステップであって、警告メッセージ数がコンピュータネットワークの単一タイプの異常に基づくステップ、及びコンピュータネットワークの同一タイプの異常に基づく警告メッセージ数がイベント閾値を下回る場合に警報信号を出力するステップを備える。
【００１３】
このタイプの方法の効果は、方法がコンピュータネットワークへの切迫した攻撃の際に迅速かつ確実に警報信号をトリガできることである。コンピュータネットワークの複数のコンピュータから、例えば、機能しないソフトウェアの更新の際、プロセッサが過負荷となった場合、ソフトウェアの更新が未だ実行されていない場合、パスワードが誤って入力された場合、インターネットへのアクセスが一時的にできなくなった場合、特定のデータへのアクセスができない場合など、多数の警告メッセージが連続的に発生する。これらの警告メッセージはコンピュータネットワークにおける特定の異常に起因し、これは動作中により高い頻繁又はより低い頻繁で発生し、一般にそれらを削除するのにユーザによる相互作用を必要とする。未だ実行されていないソフトウェアの更新又はプロセッサの過負荷など、コンピュータシステムにおける重大でない又は小さな異常は、高い頻度で発生し、削除が容易である。これに対して、システムの特定要素の予期せぬ故障又は稀に使用されるシステムリソースへのアクセス不能などの重大な異常は、ごく稀にしか発生せず、そのため関連の警告メッセージもごく稀にしか発生しない。
【００１４】
方法は、ネットワークにおいてこれらの重大な異常に基づいて、コンピュータネットワーク又はコンピュータシステムへの可能な又は切迫した攻撃を検出する。この目的のために、発生する警告メッセージ数をコンピュータネットワークにおける起こり得る異常に割り当て、それらを計数することが可能である。コンピュータネットワークにおける同一タイプの異常に基づく警告メッセージ数がイベント閾値を下回る場合、コンピュータネットワークのユーザは、起こり得る攻撃が切迫していること又はすでに実行されていることを警報のトリガによって警告され得る。
【００１５】
したがって、コンピュータネットワークへの可能な攻撃の際に柔軟、迅速及び正確な形態で警報信号を出力することが可能となる。この方法のモジュール構造の結果として、方法の個々のステップは、異なるソフトウェア又はハードウェア要素において、例えば、コンピュータネットワーク内の要素において又はコンピュータネットワーク外の外部要素において柔軟に実施され得る。
【００１６】
実施形態において、方法は、所定の時間間隔において複数の警告メッセージを受信するステップを備える。
【００１７】
これは、コンピュータネットワークにおける異質タイプの異常に基づく警告メッセージが、イベント閾値が異質タイプの警報メッセージに対して同一期間に常に関連するように、同一期間にわたり測定され得るという効果を有する。このように、コンピュータネットワークへの起こり得る攻撃又はすでに実行されている攻撃をシグナリングする稀に発生する異常を確実に識別することが可能である。したがってこの方法は、非常に正確及び確実に動作する。
【００１８】
実施形態において、方法は、個々の警告メッセージが示す異常のタイプによって複数の警告メッセージを分類するステップを備える。
【００１９】
これは、コンピュータネットワークにおける重大な異常についてシグナリングする関連警告メッセージが多数の入来警告メッセージから迅速にフィルタリングされ得るという効果を有する。
【００２０】
実施形態において、方法は、警告メッセージのコンテンツに基づいて警告メッセージが示す異常のタイプを判定するステップを備える。
【００２１】
これは、例えばヘッダ及びペイロードを含むデータパケットの形式のような、例えば警告メッセージ内の特定のデータフィールド又はフラグを照会することによって、異常のタイプを容易に判定できるという効果を有する。警告メッセージのコンテンツに基づいて異常が判定され得る場合、その判定にさらなる情報は必要とされず、これによって方法は簡素となりかつ信頼性が高まる。
【００２２】
実施形態において、方法は、メッセージの数を判定するために、所定の時間間隔において同一タイプに分類される受信警告メッセージを計数するステップ、及び同一タイプに分類される所定の時間間隔において計数した警告メッセージ数がイベント閾値を下回る場合に、警報信号を出力するステップを備える。
【００２３】
これは、方法が、例えばスイッチ、複数のカウンタ、及びタイマ又は時計を使用して実行することが非常に簡素であるという効果を有する。スイッチは、警告メッセージによってシグナリングされた異常のタイプに基づいてそれらをそれぞれのカウンタに供給することができ、カウンタは、供給される警告メッセージ数を計数する。タイマが示す特定の時間が経過すると、カウンタの値が読み取り可能となる。読み取られたカウンタ値の１つがイベント閾値を下回ると、警報がトリガ可能となる。したがって方法は、例えばＩＣ又はチップ上の簡素なロジック回路を使用して実施され得る。
【００２４】
実施形態において、方法は、イベント閾値を下回る警告メッセージ数に基づいてコンピュータネットワークへの攻撃の存在の確率を判定するステップを備える。
【００２５】
これは、警報が、確率の値を使用して段階分けされ得るという効果を有する。警報は、攻撃の確率が低くてもトリガされることがあり、その確率の値は攻撃の深刻度をシグナリングする。例えば、低い確率の値が緑色警報光で示され、中程度の確率の値が黄色警報光によって、高い確率の値が赤色警報光によって示されるようにしてもよい。確率の値によって、ユーザは、可能な又は切迫した攻撃の性質又は深刻度についてより多くの情報を入手する。
【００２６】
実施形態において、方法は、以下の所定のパラメータ：コンピュータネットワークの個別のユーザグループの脅威の可能性についてのブラックリスト、ホワイトリスト、閾値、イベント相関値及び定義の少なくとも１つにさらに基づいて、コンピュータネットワークへの攻撃の存在の確率の値を判定するステップを備える。
【００２７】
これは、システムの正常状態と実際に関連し得るコンピュータネットワークにおいて稀に発生するイベント又は異常が、コンピュータネットワークへの脅威と関連した稀に発生するイベントからより正しく区別され得るという効果を有する。これらのパラメータによって、コンピュータネットワークのユーザの知識ベースも、検出に導入され得る。したがって特に、過去（例えば閾値、イベント相関値）からの状況及び現存する脅威（例えば人々の個別のグループについてのブラックリスト、ホワイトリスト、脅威の可能性）を考慮することができる。
【００２８】
実施形態において、方法は、コンピュータネットワークへの訪問者数、特にコンピュータネットワークのウェブページへの訪問者数にさらに基づいて、コンピュータネットワークへの攻撃の存在の確率の値を判定するステップを備える。
【００２９】
これは、ユーザ数によって攻撃を確実に検出できるという効果を有する。多くの異なるユーザがウェブページを訪問している場合、これは正常状態を表すことができる。数人のユーザのみウェブページを訪問している場合、そのウェブページは攻撃されている可能性がある。ユーザからのデータ、例えば、彼らのＩＰアドレス、ドメイン名、サーバ、アクセスの時間及び継続時間、又は彼らの拠点の地理上の位置が解析に含まれてもよい。それは、例えば、異なる地理上の位置から多くのユーザがウェブページにアクセスしている場合、又は夜間に増加したアクセスの発生を確認できる場合に目立つことがある。このタイプの情報が使用されると、攻撃を検出する信頼性がより一層高まることになる。
【００３０】
実施形態において、方法は、コンピュータネットワークにおいて稀に実行されるプロセスの頻度にさらに基づいて、コンピュータネットワークへの攻撃の存在の確率の値を判定するステップを備える。
【００３１】
正常状態のコンピュータネットワークは、一般的には同じプロセスを用いて動作する。したがって稀に実行されるプロセスは、簡素な形態で、異常及びそれゆえ起こり得る脅威についての表示を提供することができる。
【００３２】
実施形態において、方法は、コンピュータネットワークにおける複数のコンピュータの所定のグループで実行されているプログラムの頻度にさらに基づいて、特に所定の時間からコンピュータの所定のグループでのみ実行されたプログラムの頻度に基づいて、コンピュータネットワークへの攻撃の存在の確率の値を判定するステップを備える。
【００３３】
これは、方法がこのタイプの評価によって、個別のコンピュータ又は小グループのコンピュータで実行されている可能なウイルスプログラム又はマルウェアを簡素かつ確実に検出できるという効果を有する。
【００３４】
実施形態において、方法は、警告メッセージを生成するのに複数のコンピュータの少なくとも１つにおいて以下のシステム：ウイルススキャナ、プロキシサーバ、ＩＤＳ（侵入検知システム）、ファイアウォール、オペレーティングシステム、ログ管理システム、セキュリティ情報及びイベント管理システムの１以上を使用するステップを備える。
【００３５】
このタイプの方法による効果は、記述したシステムが用いられて、システムの種々の特徴を判定し、警告メッセージによってそれらを渡すことができることである。大量のプロトコルデータを解析することによって、方法は、現行のネットワーク表示を考慮するよりも早く特殊性又は異常を検知することができる。
【００３６】
したがって警告メッセージを生成するために、以前から存在するインフラ、例えば関連データを記録する予めインストールされたプロトコルデータシステムに応じてフォールバック可能である。解析は、種々の解析方法によって、例えば人工知能的方法によって又はニューラルネットワークを使用して実行されることができ、イベントの形式で用意可能な信頼性のある解析結果を供給する。解析は、コンピュータネットワークにおける大量のデータを関連の態様に対して区別し、又はその後さらに制限され得る関連イベント数を供給することができる。
【００３７】
実施形態において、方法は、イベント閾値を下回る警告メッセージ数に基づいてイベント閾値を調整するステップを備える。
【００３８】
これは、コンピュータネットワークについての知見が、例えば、ネットワークの構造及び個々の要素によってイベント閾値に影響を及ぼし得るという効果を有する。したがって、表示は、変動する環境的影響、例えば、コンピュータネットワークにおける付加的ソフトウェア又はハードウェア要素に対して柔軟に調整されることができる。
【００３９】
実施形態において、方法は、以下のイベント：ユーザフィードバック、コンピュータネットワークのネットワークアーキテクチャの変化、コンピュータネットワークにおけるコンピュータ数の変化の少なくとも１つの関数としてのイベント閾値の適応的な調整を備える。
【００４０】
このタイプの方法は、変化した構造体に対して柔軟に調整されることができ、ユーザの知識も決断に影響を及ぼすことができるという効果を有する。
【００４１】
発明の態様は、複数のコンピュータを備えるコンピュータネットワークにおける攻撃を検出するための解析システムに関し、コンピュータから複数の警告メッセージを受信するように構成された受信モジュールであって、警告メッセージがコンピュータネットワークの異質タイプの異常に基づく受信モジュール、複数の受信警告メッセージからの警告メッセージ数を所定のイベント閾値と比較するように構成された比較モジュールであって、警告メッセージ数がコンピュータネットワークの単一タイプの異常に基づく比較モジュール、及びコンピュータネットワークの同一タイプの異常に基づく警告メッセージ数がイベント閾値を下回る場合に警報信号を出力するように構成された出力モジュールを備える。
【００４２】
このタイプの解析システムの効果は、コンピュータネットワークへの切迫した攻撃の際に迅速かつ確実に警報信号をトリガできることである。解析システムは、警告メッセージが示すネットワークにおける重大な異常に基づいて、コンピュータネットワーク又はコンピュータシステムへの可能な又は切迫した攻撃を確実に検出することができる。システムは、コンピュータネットワークにおける起こり得る異常に対して発生する警告メッセージ数を割り当て、それらを計数することができる。特定の異常の数が多い場合、言い換えると特定の閾値を超える場合、コンピュータネットワークにおいて頻繁に発生する異常、それゆえ重大でないと分類されるものが想定される。これに対して、特定の異常の数が少ない場合、言い換えるとイベント閾値を下回る場合、コンピュータネットワークにおいて稀に発生する異常、それゆえ重大であると分類されるものが想定される。イベント閾値を下回る際に、出力モジュールは、警報信号を出力して、可能な攻撃が切迫していること又はすでに実行されたことをユーザに警告することができる。
【００４３】
したがって、コンピュータネットワークへの可能な攻撃の際に柔軟、迅速及び正確な形態で、警報信号を出力可能である。解析システムのモジュール構造の結果として、個々のモジュールは、異なるソフトウェア又はハードウェア要素において、例えばコンピュータネットワーク内の要素において又はコンピュータネットワーク外の外部要素において、柔軟に実施され得る。
【００４４】
実施形態において、解析システムは、個々の警告メッセージが示す異常のタイプによって複数の警告メッセージを分類するように構成された分類モジュールを備える。
【００４５】
分類モジュールの効果は、コンピュータネットワークにおいて多数の入来警告メッセージから重大な異常についてシグナリングする関連警告メッセージを迅速にフィルタ処理できることである。
【００４６】
実施形態において、解析システムは、イベント閾値を下回る警告メッセージ数に基づいて、イベント閾値を調整するように構成された調整モジュールを備える。
【００４７】
これは、調整モジュールが、例えば適応的な形態で、コンピュータネットワークについての知見に基づいてイベント閾値を調整できるという効果を有する。調整は、例えばネットワークの構造及び個々の要素についての関数として実行され得る。したがって警報信号のトリガが、変動する環境的影響、例えばコンピュータネットワークにおける付加的ソフトウェア又はハードウェア要素に対して柔軟に調整され得る。
【００４８】
さらなる実施形態を、添付図面を参照して説明する。
【００４９】
図１は、異質タイプの異常への警告メッセージの分類１００の実施形態についての概略図である。分類について、異なるタイプ又は性質の警告を伝達する警告メッセージ１０２がコンピュータから受信される。警告メッセージの総量１１０、全部分又は総数は、コンピュータネットワークにおける異質な異常に基づく異なるタイプの警告を有する。コンピュータネットワークにおける異常は、例えば欠陥の結果として、コンピュータネットワークにおける不規則性若しくは特殊性又はノルムから乖離するパターンを意味する。したがって、異常とは、予想とは異なるコンピュータの状態と考えることができる。
【００５０】
図１は、第１のタイプの異常１１１、第２のタイプの異常１１２、第３のタイプの異常１１３及び第４のタイプの異常１１４への警告メッセージの分類を示す。ただし、任意の他のタイプ数も発生し得る。図１では、第１のタイプの異常１１１の警告メッセージが最も多く発生し、次に第２のタイプの異常１１２の警告メッセージ、次に第３のタイプの異常１１３の警告メッセージ、そして第４のタイプの異常１１４の警告メッセージが最も稀にしか発生しない。
【００５１】
個々の異常タイプの警告メッセージ数から、コンピュータシステムが重大な状態であるか、言い換えるとコンピュータシステムへの攻撃が切迫しているか又はすでに実行されたかが判断され得る。特定の期間に基づく異常のタイプの、この場合には第４のタイプ１１４の警告メッセージ数が、イベント閾値としても知られる特定の閾値を下回る場合、重大な状態が存在し、警報信号１０８がトリガされる。
【００５２】
以下に説明する方法及び解析システムは、図１で説明するような分類に基づき得る。
【００５３】
図２は、複数のコンピュータを備えるコンピュータネットワークにおける攻撃を検出するための解析システム２００の実施形態についての概略図である。解析システム１００（２００）は、受信モジュール２０１、比較モジュール２０３及び出力モジュール２０５を備える。
【００５４】
受信モジュール２０１を使用して、複数の警告メッセージ１０２がコンピュータから受信され、図１の表示では警告メッセージが、コンピュータネットワークにおける異質タイプの異常に基づく。
【００５５】
比較モジュール２０３を使用して、複数の受信警告メッセージによる警告メッセージ２０４の数又は部分が所定のイベント閾値と比較され、図１に示すように、警告メッセージ２０４の数又は部分が、コンピュータネットワークにおける単一タイプ、例えば第４のタイプ１１４に基づく。
【００５６】
出力モジュール２０５を使用して、警報信号１０８は、コンピュータネットワークにおける同一タイプの異常に基づく警告メッセージ数、言い換えると比較モジュール２０３の結果２０６がイベント閾値を下回る場合に出力される。
【００５７】
以下において、モジュール構造の解析システム２００をより詳細に説明する。解析システム２００は、多数の受信警告メッセージを自動的に相関付けし、異常及びしたがって可能な攻撃の表示の存在についてそれらを解析することができる。データソースとして、例えば、意図的に選択されたログデータ又は代替的に予めインストールされたＳＩＥＭシステムが使用され得る。解析の目的は、特定の解析方法によって利用可能なデータ量を軽減し、解析されたログデータに基づいて専門家が潜在的な攻撃を検出できるようなイベントの形式で、それを用意することである。根本的な自動解析方法は、未知のかつ稀に発生するイベントを検索することに基づく。特定期間における特定の（又は比較可能な）イベントの発生頻度は、その「既知性」に直接相関付けられる。したがって、頻繁に発生するイベントは既知であると分類される傾向にあり、それゆえ関連性が低い。これに対して、稀に発生するイベントは未知であるため、潜在的により関連性が高い傾向にある。
【００５８】
このことに基づいて、人々の個別のグループの脅威の可能性についてのブラックリスト、ホワイトリスト、閾値、イベント相関値及び定義などの個々に設定されるパラメータとともに、攻撃の存在についての確率の値が計算され、特定の閾値を超える際に、イベントに相関付けられて解析のために用意される。したがって、本質的には、これは特定期間に基づくイベントの頻度解析である。パラメータの調整は、異常の陽性検出に対して最終的には決定的でもあり、解析システム２００によって半自動的に実行され得る。人工知能の分野による方法がこの目的のために使用されてもよく、解析システム２００は、例えば特定の閾値を調整するために、ユーザ／アナリストに対して具体的な提案をすることができる。提案は、とりわけ、例えば休日の時間中の、ユーザフィードバック、及びネットワークアーキテクチャにおいて確立された変化、又はアクティブなネットワーク会員数の予測可能な変化などの変動する制約に基づいてなされ得る。提供された提案におけるユーザ又はアナリストの決定は、将来の提案に順に影響を及ぼし得る。
【００５９】
図３は、複数のコンピュータを備えるコンピュータネットワークにおける攻撃を検出するための解析システム３００のさらなる実施形態についての概略図である。解析システム３００は、受信モジュール３０１、分類モジュール３０９、比較モジュール３０５及び出力モジュール３０７を備える。
【００６０】
受信モジュール３０１を使用して、複数の警告メッセージ１０２がコンピュータから受信され、警告メッセージは、図１の表示によるコンピュータネットワークにおける異質タイプの異常に基づく。
【００６１】
複数の警告メッセージは、所定の時間間隔、例えば１秒、１分、５分、３０分又は１時間において受信され得る。
【００６２】
警告メッセージを生成するために、例えばコンピュータネットワークの１以上のコンピュータにインストールされ得る、例えば以下のシステム：ウイルススキャナ、プロキシサーバ、ＩＤＳ（侵入検知システム）、ファイアウォール、オペレーティングシステム、ログ管理システム、ＳＩＥＴシステム（セキュリティ情報及びイベント管理システム）の１以上を使用することができる。
【００６３】
分類モジュール３０９を使用して、複数の警告メッセージは、個々の警告メッセージが示す異常のタイプ３１０によって分類される。警告メッセージ３０４は、コンピュータネットワークにおける異常のタイプ３１０と関連した異なるクラスに分けられ、比較モジュール３０５に渡される。
【００６４】
したがって、複数の警告メッセージは、個々の警告メッセージが示す異常のタイプによって分類されることができる。警告メッセージが示す異常のタイプは、例えば警告メッセージにおけるヘッダ又はペイロードなどのデータフィールドを評価することによって、例えば警告メッセージのコンテンツに基づいて判定され得る。
【００６５】
比較モジュール３０５を使用して、複数の受信警告メッセージからの、警告メッセージの数又は部分が所定のイベント閾値と比較され、警告メッセージの数又は部分は、コンピュータネットワークにおける単一タイプの異常、例えば図１に示すように、第４のタイプ１１４に基づく。図３では、警告メッセージのそれぞれの数又は部分は、警告メッセージが分類モジュール３０９によって分類されたクラスに相当する。比較モジュールは、基準を有して例えば所定の時間間隔において比較を実行できる。
【００６６】
例えば、比較は、同じタイプに分類される受信警告メッセージを計数することによって、例えば所定の時間間隔内で計数することによって、実行されることがある。したがって所定の時間間隔内で計数された警告メッセージがイベント閾値を下回る場合、出力モジュール３０７は、例えば比較の結果３０６によって、警報信号１０８を出力するように命令され得る。
【００６７】
出力モジュール３０７を使用して、警報信号１０８は、コンピュータネットワークにおける同じタイプ３１０の異常に基づく警告メッセージ数が、言い換えると特定のクラスに割り当てられた警告メッセージ数がイベント閾値を下回る場合に出力される。
【００６８】
出力モジュール３０７は、警報信号の出力に加えて、例えばイベント閾値を下回る警告メッセージの数又は部分の解析に基づいて、コンピュータネットワークへの攻撃の存在の確率の値を判定することができる。確率の値はさらに、以下の所定のパラメータ：コンピュータネットワークの個別のユーザグループの脅威の可能性についてのブラックリスト、ホワイトリスト、閾値、イベント相関値及び定義の１以上に基づいて判定され得る。コンピュータネットワークへの攻撃の存在の確率の値はさらに、コンピュータネットワークへの訪問者数、特に図４に関連して以下でより詳細に説明するように、コンピュータネットワークのウェブページへの訪問者数に基づいて判定され得る。コンピュータネットワークへの攻撃の存在の確率の値はさらに、図５に関連して以下でより詳細に説明するように、コンピュータネットワークにおいて稀に実行されるプロセスの頻度に基づいて判定され得る。コンピュータネットワークへの攻撃の存在の確率の値はさらに、コンピュータネットワークにおける複数のコンピュータの所定のグループで実行されるプログラムの頻度に基づいて、特に図５に関連して以下でより詳細に説明するように、所定の時間から所定のコンピュータのグループのみで実行されたプログラムの頻度に基づいて判定され得る。
【００６９】
解析システム３００は調整モジュール（図３には図示せず）をさらに備え、それによってイベント閾値は、その数がイベント閾値を下回る警告メッセージの部分に基づいて調整され得る。この目的のために、例えばイベント閾値を調整する提案は、イベント閾値を下回る警告メッセージ数に基づいていてもよい。この提案は、ユーザフィードバック、及び／又はコンピュータネットワークのネットワークアーキテクチャの変化、特にコンピュータネットワークにおけるコンピュータ数の変化にさらに基づいていてもよい。イベント閾値は、例えば以下のイベント：ユーザフィードバック、コンピュータネットワークのネットワークアーキテクチャの変化、コンピュータネットワークにおけるコンピュータ数の変化の少なくとも１つの関数として、適応的に調整され得る。
【００７０】
図４は、コンピュータネットワーク４１０のインターネットウェブページ４１１への攻撃並びに攻撃を検出する解析システム２００及び３００のシナリオ４００についての概略図である。攻撃は、小グループの訪問者４２０からインターネットウェブページ４１１へ発生する。解析システム２００及び３００は、図２又は図３で説明するシステムに相当し得る。
【００７１】
解析システム２００は、受信モジュール２０１、比較モジュール２０３及び出力モジュール２０５を備えることができる。受信モジュール２０１を使用して、複数の警告メッセージ１０２がコンピュータによって受信され、警告メッセージは、図１の表示によるコンピュータネットワークにおける異質タイプの異常に基づく。比較モジュール２０３を使用して、複数の受信警告メッセージによる警告メッセージの数又は部分が所定のイベント閾値と比較され、警告メッセージの数又は部分は、コンピュータネットワークにおける単一タイプの異常に基づく。出力モジュール２０５を使用して、警報信号１０８は、コンピュータネットワークにおいて同一タイプの異常に基づく警告メッセージ数がイベント閾値を下回る場合に出力される。
【００７２】
以下において、解析システム２００及び３００の動作モードを説明する。多くの異なる訪問者がインターネット、例えばウェブページ４１１上で特定のシステムを訪問する場合、このプロセスは重大でないと推測される。しかしながら、システムが単に小さなユーザグループ４２０によってのみアドレス指定される場合、Ｃ２サーバは潜在的に関与することがある。さらにその関連ユーザが、脅威の可能性が増加している特定グループの人々である場合、解析システム２００及び３００は、専門家によってその後解析され得るイベント又は警報信号１０８を生成する。
【００７３】
図５は、企業内のコンピュータネットワーク５１０のネットワーク型コンピュータグループへのウイルス攻撃並びにその攻撃を検出する解析システム２００及び３００のシナリオ５００についての概略図である。解析システム２００及び３００は、図２又は図３で説明するシステムに相当し得る。
【００７４】
解析システム２００は、受信モジュール２０１、比較モジュール２０３及び出力モジュール２０５を備えることができる。受信モジュール２０１を使用して、複数の警告メッセージ１０２がコンピュータから受信され、警告メッセージは、図１の表示によるコンピュータネットワークの異質タイプの異常に基づく。比較モジュール２０３を使用して、複数の受信警告メッセージによる警告メッセージの数又は部分が所定のイベント閾値と比較され、警告メッセージの数又は部分はコンピュータネットワークにおける単一タイプの異常に基づく。出力モジュール２０５を使用して、警報信号１０８は、コンピュータネットワークの同一タイプの異常に基づく警告メッセージ数がイベント閾値を下回る場合に出力される。
【００７５】
以下において、解析システム２００及び３００の動作モードを説明する。比較的大きな企業におけるほとんどのオフィスＰＣ５１１、５１３及び５１５が同等に構成され、大部分に同じソフトウェアアプリケーションＰ１、Ｐ２及びＰ３が使用されると、多数のプロセスリスト５１２、５１４及び５１６の比較によって、稀に実行されるプログラムＰＶｉｒｕｓを識別できる。例えば小グループのコンピュータ５１５でのみ実行されており、かつ短時間のみ実行されたプログラムＰＶｉｒｕｓは、現在インストールされているマルウェアＰＶｉｒｕｓの表示であり得る。したがって、解析システム２００及び３００は、特定のプロセスを検索する必要はないが、既知の又は頻繁に発生するプロセスＰ１、Ｐ２及びＰ３を削除することによって未知のプロセスＰＶｉｒｕｓを識別できる。さらなるパラメータの評価後に、このイベントは、相関イベント又は警報信号１０８としてまとめられ、更なる検証をユーザ又はアナリストに示すことができる。
【００７６】
図６は、実施形態によるコンピュータネットワークへの攻撃を検出する方法６００についての概略図である。方法６００は、コンピュータから複数の警告メッセージを受信するステップ６０１を備え、複数の警告メッセージがコンピュータネットワークの種々のタイプの異常に基づく。方法６００は、複数の受信警告メッセージからの警告メッセージの数又は部分を所定のイベント閾値と比較するステップ６０３を備え、警告メッセージの数又は部分がコンピュータネットワークの単一タイプの異常に基づく。方法６００は、コンピュータネットワークにおける同一タイプの異常に基づく警告メッセージ数がイベント閾値を下回る場合に警報信号を出力するステップ６０５を備える。
【００７７】
実施形態において、方法６００は、所定の時間間隔における複数の警告メッセージを受信するステップを備えることができる。実施形態において、方法６００は、個々の警告メッセージが示す異常のタイプによって複数の警告メッセージを分類するステップを備えることができる。実施形態において、方法６００は、警告メッセージのコンテンツに基づいて警告メッセージが示す異常のタイプを判定するステップを備えることができる。実施形態において、方法６００は、所定の時間間隔において同じタイプに分類される受信した警告メッセージを計数するステップ、及び所定の時間間隔において計数された警告メッセージ数がイベント閾値を下回る場合に警報信号を出力するステップを備えることができる。実施形態において、方法６００は、イベント閾値を下回る警告メッセージ数に基づいて、コンピュータネットワークへの攻撃の存在の確率の値を判定するステップを備えることができる。
【００７８】
実施形態において、方法６００は、以下の所定のパラメータ：コンピュータネットワークの個別のユーザグループの脅威の可能性についてのブラックリスト、ホワイトリスト、閾値、イベント相関値及び定義、の少なくとも１つにさらに基づいて、コンピュータネットワークへの攻撃の存在の確率の値を判定するステップを備えることができる。実施形態において、方法６００は、コンピュータネットワークへの訪問者数、特にコンピュータネットワークのウェブページへの訪問者数にさらに基づいて、コンピュータネットワークへの攻撃の存在の確率の値を判定するステップを備えることができる。実施形態において、方法６００は、コンピュータネットワークにおいて稀に実行されるプロセスの頻度にさらに基づいて、コンピュータネットワークへの攻撃の存在の確率の値を判定するステップを備えることができる。
【００７９】
実施形態において、方法６００は、コンピュータネットワークにおける複数のコンピュータの所定のグループで実行されているプログラムの頻度にさらに基づいて、特に所定の時間からコンピュータの所定のグループでのみ実行されたプログラムの頻度に基づいて、コンピュータネットワークへの攻撃の存在の確率の値を判定するステップを備えることができる。
【００８０】
実施形態において、方法６００は、警告メッセージを生成するのに複数のコンピュータの少なくとも１つにおいて以下のシステム：ウイルススキャナ、プロキシサーバ、ＩＤＳ（侵入検知システム）、ファイアウォール、オペレーティングシステム、ログ管理システム、ＳＩＥＭシステム（セキュリティ情報及びイベント管理システム）の１以上を使用するステップを備えることができる。実施形態において、方法６００は、イベント閾値を下回る警告メッセージ数に基づいて、イベント閾値を調整するステップを備えることができる。実施形態において、方法６００は、イベント閾値を下回る警告メッセージ数に基づいて、さらにユーザフィードバック及び／又はコンピュータネットワークのネットワークアーキテクチャの変化、特にコンピュータネットワークにおけるコンピュータ数の変化に基づいて、イベント閾値を調整する提案を作成するステップを備えることができる。実施形態において、方法６００は、例えば以下のイベント：ユーザフィードバック、コンピュータネットワークのネットワークアーキテクチャの変化、コンピュータネットワークにおけるコンピュータ数の変化の少なくとも１つの関数としてイベント閾値を適応的に調整するステップを備えることができる。
【００８１】
発明の態様はまた、デジタルコンピュータの内部メモリに直接搭載されることができ、図６に関連して説明する方法６００によって製品がコンピュータで稼働する場合に実行され得るソフトウェアコード部分を有するコンピュータプログラム製品を備える。コンピュータプログラム製品は、コンピュータ互換性媒体に記憶され、以下の、コンピュータから複数の警告メッセージを受信するステップ６０１であって、警告メッセージがコンピュータネットワークの異質タイプの異常に基づくステップ６０１、複数の受信警告メッセージからの警告メッセージ数を所定のイベント閾値と比較するステップ６０３であって、警告メッセージ数がコンピュータネットワークの単一タイプの異常に基づくステップ６０３、及びコンピュータネットワークの同一タイプの異常に基づく警告メッセージ数がイベント閾値を下回る場合に警報信号を出力するステップ６０５をコンピュータに行わせるコンピュータ可読プログラム媒体を備えることができる。コンピュータは、ＰＣ、例えばコンピュータネットワークのＰＣであればよい。コンピュータは、チップ、ＡＳＩＣ、マイクロプロセッサ又は信号プロセッサとして実装され、コンピュータネットワーク、例えば図４又は図５で説明するようなコンピュータネットワークにおいて配置されることができる。
【００８２】
例としてここで説明する種々の実施形態の構成は、特に記述されない限り相互に組み合され得るということは言うまでもない。説明及び図面に描写するように、接続されているように描写される個々の要素は、直接相互に接続される必要はなく、介在要素が接続された要素間に設けられ得る。また、発明の実施形態は、個々の回路、部分的に集積された回路若しくは完全に集積された回路又はプログラミング媒体において実施され得るのはもちろんのことである。用語の「例えば」は、単なる例示を表し、最良又は最適の例示ではない。ここでは特定の実施形態が示され説明されたが、多くの代替的及び／又は均等実施例が、本発明の趣旨から逸脱することなく図示及び記載された実施形態の代わりに実現可能であることは当業者にとって明白である。
【００８３】
発明が図面及び上記説明で詳細に図示及び記載されたが、そのような図示及び記載は説明的又は例示的なものであり限定的ではないと考えられるべきである。以下の特許請求の範囲内で当業者によって変更及び変形がなされ得ることが分かる。特に、本発明は、上記及び下記の異なる実施形態による構成の任意の組合せによって更なる実施形態に及ぶ。
【００８４】
付随する特許請求項で用いられる用語は、上記説明に従う最も広い合理的な解釈を有するものと解釈されるべきである。例えば、要素を紹介する際の冠詞「ａ」又は「ｔｈｅ」は、複数の要素を除外するように解釈されるべきではない。同様に、「ｏｒ」の列挙は、「Ａ又はＢ」の列挙が「Ａ及びＢ」を除外しないように包含的に解釈されるべきである。さらに、「Ａ、Ｂ及びＣの少なくとも１つ」の列挙は、Ａ、Ｂ及びＣからなる要素の１以上のグループとして解釈されるべきであり、Ａ、Ｂ及びＣがカテゴリ又はそうでないものとして関連しているかどうかに関わらず、列挙された要素のＡ、Ｂ及びＣのそれぞれの少なくとも１つを必要としていると解釈されるべきではない。
【符号の説明】
【００８５】
１００  警告メッセージの分類
１０２  警告メッセージ
１１０  警告メッセージの総量
１１１  第１タイプの異常
１１２  第２タイプの異常
１１３  第３タイプの異常
１１４  第４タイプの異常
１０８  警報信号
２００  解析システム
２０１  受信モジュール
２０３  比較モジュール
２０５  出力モジュール
２０４  警告メッセージ
２０６  比較結果
３００  解析システム
３０１  受信モジュール
３０７  分類モジュール
３０３  比較モジュール
３０５  出力モジュール
３０４  警告メッセージ
３１０  異常のタイプ
３０６  比較結果
１０８  コンピュータネットワークへの攻撃についての警報信号又は表示
４００  コンピュータネットワークのインターネットウェブページへの攻撃についてのシナリオ
４１０  コンピュータネットワーク
４１１  インターネットウェブページ
４２０  小グループのユーザ
５００  企業内のコンピュータネットワークのネットワーク型コンピュータグループへのウイルス攻撃についてのシナリオ
５１０  企業内のコンピュータネットワーク
５１１、５１３、５１５  コンピュータネットワークにおけるコンピュータ
５１２、５１４、５１６  コンピュータ上のプロセスリスト
Ｐ１、Ｐ２、Ｐ３  コンピュータで稼働するプロセス
ＰＶｉｒｕｓ  コンピュータ上のマルウェア
６００  コンピュータネットワークへの攻撃の表示を判定する方法
６０１  第１の方法ステップ：受信する
６０３  第２の方法ステップ：比較する
６０５  第３の方法ステップ：出力する
【図１】
0006442051.tif 000002
【図２】
0006442051.tif 000003
【図３】
0006442051.tif 000004
【図４】
0006442051.tif 000005
【図５】
0006442051.tif 000006
【図６】
0006442051.tif 000007