(57)【要約】  本発明は、少なくとも１つのメッセージを監視する方法に関する。各々のメッセージは情報システム（１０００）の少なくとも１つの要素又はユーザによって生成された行動に関連づけられ、前記メッセージはＩＳの少なくとも１つのメッセージ収集デバイスによって収集される。本発明は、複数の参照事象カテゴリを定義するステップを備える。各参照行動の目的を特徴づける意図クラス、各参照行動の性質を修飾する活動タイプ・クラス、各参照行動を実現する手段を特徴づける動向クラス、各参照行動の目的を特徴づける標的クラス、及び各参照行動の結果を特徴づける利得クラスに基づいて、各参照事象カテゴリは、オントロジからの少なくとも１つの参照行動に関連づけられる。
2010515989.tif 000002
【特許請求の範囲】
【請求項１】
複数の参照事象カテゴリを定義するステップであって、各参照事象カテゴリは、各参照行動の目的を特徴づける意図クラス（２００１）、各参照行動の性質を修飾する活動タイプ・クラス（２００６）、各参照行動を実現する手段を特徴づける動向クラス（２００３）、各参照行動の目的を特徴づける標的クラス（２００２）、及び各参照行動の結果を特徴づける利得クラス（２００５）に基づいて、オントロジからの少なくとも１つの参照行動に関連づけられる、ステップと、
各々の所与のメッセージについて、
前記意図クラス、前記活動タイプ・クラス、前記動向クラス、前記標的クラス、及び前記利得クラスによって形成されたデータベースの中で前記所与のメッセージを分解するステップと、
前記分解されたメッセージを少なくとも１つの参照事象カテゴリと比較するステップ、
前記分解されたメッセージと、前記参照事象カテゴリとの対応を表現する少なくとも１つの標準化事象を生成するステップと
を含む、少なくとも１つのメッセージを監視する方法であって、ＩＳと呼ばれる情報システム（１０００）の少なくとも１つの要素又はユーザによって生成された行動に各メッセージが関連づけられ、前記ＩＳの少なくとも１つのメッセージ収集デバイスによって前記メッセージが収集される、方法。
【請求項２】
前記分解されたメッセージが参照事象カテゴリに対応する場合、
前記参照事象カテゴリが第１の記憶手段の中にまだ存在しないことを検証するステップと、
肯定検証の場合、前記参照事象カテゴリを前記第１の記憶手段の中に記憶するステップと
を含む請求項１に記載の方法。
【請求項３】
前記分解されたメッセージが、前記参照事象カテゴリのいずれとも対応しない場合、前記メッセージを第２の記憶手段の中に記憶するステップを含む請求項１又は２に記載の方法。
【請求項４】
複数の参照事象カテゴリを定義する前記ステップの間に、前記参照事象カテゴリの少なくとも１つが、前記参照事象カテゴリの少なくとも他の１つから定義され、また、統語論規則と、語彙規則と、意味論規則とを備える群に所属する少なくとも１つの規則から定義される請求項１〜３のいずれかに記載の方法。
【請求項５】
前記参照事象カテゴリの少なくとも１つについて、前記参照事象カテゴリに対応する分解されたメッセージ数をカウントするステップを含む請求項１〜４のいずれかに記載の方法。
【請求項６】
前記意図クラス（２００１）は、
前記ＩＳ（１０００）の少なくとも１つの標的に関して少なくとも１つのデータを発見及び／又は収集する前記意図と、
少なくとも１つの同定データを採用する少なくとも１つの認証手順によって前記ＩＳにアクセスする前記意図と、
少なくとも１つの権利要求手順によって前記ＩＳの少なくとも１つのリソースにアクセスする前記意図と、
前記ＩＳの少なくとも１つのリソースの利用可能性にアクセスする前記意図と
を備える請求項１〜５のいずれかに記載の方法。
【請求項７】
前記動向クラス（２００３）は、
前記ＩＳの構成に影響しない少なくとも１つの行動に関係する動向と、
前記ＩＳの構成に影響する少なくとも１つの行動に関係する動向と、
少なくとも１つの攻撃に関係する動向と、
前記ＩＳを損傷する目的で開発された少なくとも１つの悪意のソフトウェアに関係する動向と、
前記ＩＳの少なくとも１つの行動検出器プローブによって検出された少なくとも１つの疑惑的行動に関係する動向と、
前記ＩＳの少なくとも１つの脆弱性に関係する動向と、
前記ＩＳの観察された状態を反映する動向と
を備える請求項１〜６のいずれかに記載の方法。
【請求項８】
前記利得クラス（２００５）は、
前記ＩＳの構成に影響しない少なくとも１つの行動に関係する動向及び前記ＩＳの構成に影響する少なくとも１つの行動に関係する動向に対応する意図については、成功と、失敗と、拒否と、誤りとを備え、
少なくとも１つの攻撃に関係する動向、前記ＩＳを損傷する目的で開発された少なくとも１つの悪意のソフトウェアに関係する動向、前記ＩＳの少なくとも１つの脆弱性に関係する動向、及び前記ＩＳの少なくとも１つの行動検出器プローブによって検出された少なくとも１つの疑惑的行動に関係する動向に対応する意図については、検出を備え、
前記ＩＳの観察された状態を反映する動向に対応する意図については、前記ＩＳの少なくとも１つの標的の少なくとも１つの行動を反映する少なくとも１つの動向に対応する意図からの利得と、前記ＩＳの少なくとも１つの標的に関して少なくとも１つの閾値の少なくとも１つの使用を反映する少なくとも１つの動向に対応する意図からの利得とを備える請求項１〜７のいずれかに記載の方法。
【請求項９】
前記ＩＳの標的（２００２）の行動を反映する動向（２００３）に対応する意図（２００１）からの前記利得（２００５）は、少なくとも１つの制御に後続する有効な状態と、少なくとも１つの制御に後続する無効な状態と、少なくとも１つの制御に後続する少なくとも１つの標的に関する通知とを備える請求項８に記載の方法。
【請求項１０】
前記ＩＳの標的（２００２）に関して閾値の使用を反映する動向（２００３）に対応する意図（２００１）からの前記利得（２００５）は、少なくとも１つの時間閾値の超過、時間に関係しない少なくとも１つの閾値の超過、少なくとも１つの閾値の低い使用、少なくとも１つの閾値の正常な使用、少なくとも１つの閾値の高い使用である請求項８又は９に記載の方法。
【請求項１１】
通信ネットワークからダウンロードされ、及び／又はコンピュータによって読み取られるメディアに記録され、及び／又はプロセッサによって実行されるコンピュータ・ソフトウェア製品であって、請求項１〜１０のいずれかに記載される方法を実現するプログラム・コード命令を含む、コンピュータ・ソフトウェア製品。
【請求項１２】
可能性として全体的又は部分的に取り外され、コンピュータによって読み取られ得る記憶手段であって、命令の集合を記憶し、前記命令は請求項１〜１０のいずれかに記載の方法を実現するため前記コンピュータによって実行される、記憶手段。
【請求項１３】
複数の参照事象カテゴリを定義する手段であって、各カテゴリは、各参照行動の目的を特徴づける意図クラス（２００１）、各参照行動の性質を修飾する活動タイプ・クラス（２００６）、各参照行動を実現する手段を特徴づける動向クラス（２００３）、各参照行動の目的を特徴づける標的クラス（２００２）、及び各参照行動の結果を特徴づける利得クラス（２００５）に基づいて、オントロジからの少なくとも１つの参照行動に関連づけられる、手段と、
各々の所与のメッセージについては、
前記意図クラス、前記活動タイプ・クラス、前記動向クラス、前記標的クラス、及び前記利得クラスによって形成されたデータベースの中で前記所与のメッセージを分解する手段と、
前記分解されたメッセージを少なくとも１つの参照事象カテゴリと比較する手段と、
前記分解されたメッセージと前記参照事象カテゴリとの対応を表現する少なくとも１つの標準化事象を生成する手段と
を備える、少なくとも１つのメッセージを監視するデバイスであって、各メッセージは、ＩＳと呼ばれる情報システム（１０００）の少なくとも１つの要素又はユーザによって生成された行動に関連づけられ、前記メッセージは前記ＩＳの少なくとも１つのメッセージ収集デバイスによって収集される、デバイス。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報システム（以下ＩＳと呼ぶ）の分野に関する。
【０００２】
本発明は、特に、しかし排他的にではなく、ＩＳ監視に適用される。本発明は、具体的には、侵入を検出し及び／又は活動レポートを生成するために使用される。
【背景技術】
【０００３】
近年、ＩＳの侵入検出分野で使用される監視ツールは、情報源としても知られるセキュリティ又は監視システムの展開を追求してきた。
【０００４】
情報源は多数で多様であり、存在検出器プローブ、ビデオカメラ、温度センサなどである。全ての種類のメッセージを監査ログへ返却する監査ツールとして働く情報源カテゴリと、さらに専門化された情報源カテゴリ、例えば、公知の攻撃（シグネチャ）の検出に使用される侵入検知器プローブとは、区別される。
【０００５】
情報源は特定のメッセージを返却する。例えば、ネットワーク監査源は、ネットワーク振る舞いに関するメッセージを検出し、侵入の振る舞いを検出することはできない。下記の例では、ＩＳの異なる情報源によって使用される言語（異種言語と呼ばれる）の多様性を表出する例が与えられる。２つの異なる情報源によって引き渡された第１及び第２のメッセージが示され（ａ及びｂと呼ばれる）、単一の管理者ログインを表出する。
ａ）Ｌｉｎｕｘオペレーティング・システムを監査する情報源から、ＳＹＳＬＯＧ監査ログの中に収集された第１のメッセージ：
「認証は成功した」
ｂ）Ｎｅｔｓｃｒｅｅｎ情報源から、監査ログの中に収集された第２のメッセージ：
「ユーザのログイン」
【０００６】
情報源は行動を監視する。情報源が観察する行動は、エージェントによって取られる。エージェントは人間（ユーザ、管理者、攻撃者）又はＩＳプロセスである。
【０００７】
情報源はフィルタとして動作する。情報源はデータの形態をしたフローを傍受、収集、及び解析し、前に学習した値と前記データとを比較する。これらの公知の値は、侵入検知器プローブのシグネチャであるか、ネットワーク、アプリケーション、又はシステム・プローブのメトリクス又は閾値である。情報源はメッセージ（生事象又は生ログ）を送信する原理のもとで動作し、解析結果をアナリストへ通知する。例えば、ネットワーク・プローブは、学習された閾値である６０％を超過する６３％の通過帯域が使用されていることをネットワーク・アナリストへ警告する。
【０００８】
セキュリティ・アナリストは、ＩＳの様々な資産を監視する責任を有する。セキュリティ・アナリストはエキスパートの知識を使用して、情報源から直接来るメッセージを解釈する。アナリストはメッセージの意味を使用して、複数のメッセージを認識、解釈、比較、又は合併整理する。メッセージの正確度は、アナリストによって取られる対策の効果に強い影響力を有する。
【０００９】
メッセージは、監視源によって検出された問題に適した対策を適用する表示をアナリストに提供する。メッセージは疑似自然言語の語句又は表現を用いて、ＩＳの中で観察された行動を記述する。意味論は、メッセージを解釈及び処理するときアナリストによって認識される語句又は表現の全重要要素である。メッセージ及びメッセージ意味論は情報源に特定され、何が起こったかについて部分的観察を与えるにすぎない。
【００１０】
他方、監視システムは全体的展望を与える。監視システムは、全てのこれらの特定のメッセージを合併整理する。合併整理は、メッセージを中央データベースへ伝送する情報源をネットワーキングすることによって行われる。監視システムは、他のシステム及びネットワーク監督機器（ＩＳ活動監督メッセージに関連づけられる）からのメッセージ又はアプリケーション（アプリケーション監督メッセージに関連づけられる）からのメッセージを考慮に入れる。これらのメッセージは、侵入を検出する基本的表示、又は何が起こったかを再組成する基本的表示を与える。およそ１００の情報源モデルを得るため、合併整理は３０，０００よりも多い量の異なるメッセージを解析しなければならない。会社において、一日当たり収集されるメッセージの総数は、平均して１ＧＢから１００ＧＢである。メッセージがデータベースへ送り込まれるレートは、一秒当たり１，０００メッセージの数千倍に達する。
【００１１】
前に見たように、監視システムからの生メッセージのコーパスは、異種メッセージの巨大な量を含む。標準化の目的は、前記メッセージを構造化することである。これを行うため、標準化は構造化された表現へメッセージを変換する。構造化された表現は、標準化された事象として知られる。標準化は、翻訳者が分類、オントロジ、又はタクソノミに頼る同じ原理を使用する。分類システムの目的は、共通の文字を用いてメッセージの合併整理を容易にすることである。タクソノミは、拡張（用語のリストを有する）として記述されるクラスの直接的分類であり、オントロジはオートマトンによって使用されるメッセージ意味論を提供する意味による分類である。行動を観察する各々の源は、標準化事象へ変換される自然メッセージを送信する。
【００１２】
自然語句を構造化語句へ変換するため、セキュリティ・エキスパートは言語学、語彙、統語論、又は意味論規則を確立する。これらの規則は標準化プロセスによって使用される。語彙規則は用語の集合を定義し、意味論規則は文脈における語の意味を定義し、統語論規則は語句における用語の組織を定義する。
【００１３】
しかしながら、標準化プロセスによって変換する間に、冗長性と省略の中で３つの障害が生起する。
１）複数の源が１つの同じ行動を観察するとき、各々の源は自分自身のメッセージを送信する。前に見たように、標準化の機能はこれらのメッセージの各々を１つの標準化事象へ変換することである。これが起こるとき、同じ行動を表現するにも拘わらず、複数の標準化事象が取得される（冗長性）。
２）複数のエキスパートが所与のメッセージについて標準化規則を送信するとき、それらのエキスパートは同じ規則及び同じ用語を生成しなければならず、したがってエキスパートは、複数の場合に送信された１つの同じメッセージが同じ標準化事象を常に生成するように合意しなければならない。もしこれが起こらなければ、意味が同じこれらのメッセージは、異なる用語を用いて標準化される（コンセンサスの欠乏による冗長性）。例えば、「家」及び「住宅」は「住居」と同じコンセプトを表現し、「住居」として標準化され得る。しばしば、「逐語的な（ｔｅｒｍ  ｂｙ  ｔｅｒｍ）」の翻訳はコンセプト概念を定義せず、各用語についてコンセプトを作り出すことによって偏向を促進する。
３）逆に、各メッセージは、各メッセージに対応するコンセプト又は用語を見出す必要がある。これは完成として知られる。もし完成の欠乏によって幾つかの標準化規則が存在しないならば、メッセージは翻訳されず、アナリストへ返却されない。新しい用語が存在する場合もしコンセプトが存在しないならば、新しい規則が確立されなければならない。
【００１４】
要約すると、標準化システムは分類又は成文化メカニズムを介して合意的及び包括的でなければならない。
【００１５】
セキュリティ情報管理システム（ＳＩＭ）市場におけるソフトウェア制作者又は公開者は、単純な「逐語的な」翻訳を遂行する場当たり的標準化を指定することによって、源の異種性に立ち向かう。この原理は、前もって知られた用語を有する各メッセージが返却されることをアナリストに保証するが、翻訳された行動が既に成文化されていることを検証しない（冗長性）。
【００１６】
標準化規則を定めるエキスパートを指導するため、エキスパートは前もってセットされた表を提供される。この表は、タクソノミ又はオントロジであってよい分類を使用することによって取得され、メッセージは標準化事象へ容易に関連づけられ得る。各々のＳＩＭ又はＩＤＳ公開者に特定された前記分類は、攻撃タクソノミ、攻撃記述言語、及び攻撃オントロジとして配列される。結果は、侵入検出データ処理に限定されたセキュリティ・システム（ＩＤＳ又はＩｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）の攻撃シグネチャ形式における標準化である。編集者「Ｔｈｅ  Ｓｉｘｔｈ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｒｅｃｅｎｔ  Ａｄｖａｎｃｅｓ  ｉｎ  Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ」のＬＮＣＳ−２５１６において２００３年に公開された文書「Ｍｏｄｅｌｉｎｇ  ｃｏｍｐｕｔｅｒ  ａｔｔａｃｋｓ：Ａｎ  ｏｎｔｏｌｏｇｙ  ｆｏｒ  ｉｎｔｒｕｓｉｏｎ  ｄｅｔｅｃｔｉｏｎｓ」は、攻撃を記述するオントロジを提案する。
【００１７】
結論として、現在の技術は相関及び集約に焦点を絞り、攻撃シナリオを確立する問題は、大部分の現在のＩＳ監視ツールにとって、つまずきの石である。他方、異なる情報源のネットワーキングに関係するメッセージ異種性の問題を解決する解決法は存在しない。同様に、ＳＩＭ公開者の作業は、セキュリティ情報以外の情報をカバーするほど標準化を広げなかった。中央化メッセージの数を否定できないほどに低減することだけによるか、メッセージの多様性及び冗長性によって生成される複雑度を低減して、人間により適用されるプロセスを限定することだけによるにしても、事実上、集約及び相関プロセスの効果はメッセージ標準化と密接に関係している。標準化プロセスは、これら２つの局面を改善しなければならない。
【発明の概要】
【発明が解決しようとする課題】
【００１８】
本発明の目的は、先行技術の問題点を解決することである。
【００１９】
より正確には、本発明の１つの目的は、実施形態の少なくとも１つにおいて、少なくとも１つのＩＳ情報源によって取得されたメッセージをメッセージ標準化に基づいて取り扱う手法を提供することである。前記標準化は、システム・レベルであれアプリケーション・レベルであれ、セキュリティ・メッセージだけでなく、ＩＳの監視された活動に関係する全メッセージを考慮に入れる。
【００２０】
本発明の他の目的は、実施形態の少なくとも１つにおいて、各情報源の言語知識をセキュリティ・アナリストに強制しない、この種の手法を提供することである。
【００２１】
本発明の他の目的は、実施形態の少なくとも１つにおいて、オントロジを基礎にした標準化が、情報源が無視され得る現実及び手段を反映する、この種の手法を提供することである。
【００２２】
本発明の更なる目的は、実施形態の少なくとも１つにおいて、実現するのに直接的で安価である、この種の手法を提供することである。
【課題を解決するための手段】
【００２３】
発明の開示
これらの目的、及び続いて明らかになる他の目的は、少なくとも１つのメッセージを監視し、情報システム（ＩＳ）の少なくとも１つの要素又はユーザによって生成された行動に各メッセージが関連づけられ、ＩＳの少なくとも１つのメッセージ収集デバイスによって前記メッセージが収集される方法を使用することによって満たされる。
【００２４】
本発明によれば、方法は次のステップを備える。
複数の参照事象カテゴリを定義するステップであって、各参照事象カテゴリが、各参照行動の目的を特徴づける意図クラス、各参照行動の性質を修飾する活動タイプ・クラス、各参照行動を実現する手段を特徴づける動向クラス、各参照行動の目的を特徴づける標的クラス、及び各参照行動の結果を特徴づける利得クラスに基づいて、オントロジから少なくとも１つの参照行動に関連づけられる、ステップと、各々の所与のメッセージについて、意図クラス、活動タイプ・クラス、動向クラス、標的クラス、及び利得クラスによって形成されたデータベースの中で前記所与のメッセージを分解するステップと、分解されたメッセージを少なくとも１つの参照事象カテゴリと比較するステップと、分解されたメッセージと参照事象カテゴリとの対応を表現する少なくとも１つの標準化事象を生成するステップとを含む。
【００２５】
本発明の一般的原理は、カテゴリのクラスによって行動理論に基づいてオントロジから形成された表の中で、収集されたメッセージを、前に分解されたメッセージと比較することによって、収集されたメッセージを標準化することを備える。
【００２６】
上記方法は、このように、収集されたメッセージの量を低減し、その上メッセージを知識的及び関連的にするために使用され得る。より全体的な意味では、この方法のもとで実行されるプロセスは、フィルタリング、集約、又は相関動作が遂行されることを許す。今日、前記標準化事象カテゴリを処理する相関メカニズムは存在しない。
【００２７】
このようにして、少なくとも１つのＩＳ情報源によって取得されたメッセージを、メッセージ標準化に基づいて処理する手法が取得される。前記標準化は、セキュリティ・メッセージだけでなく、ＩＳの監視された行動、具体的にはアプリケーション、ネットワーク・システム、ハードウェア、正常、異常、疑惑的行動に関連する全メッセージを考慮に入れる。
【００２８】
更に、現実を反映するこの標準化は、情報源を無視することによって、各情報源の言語の知識をアナリストに強制しない。
【００２９】
このように、分類プロセスを指導し、ＩＳの全ての監視された行動をカバーし、メッセージを分類する上で曖昧さを除去するメッセージ標準化が取得される。標準化はアプリケーションの中に移植され得る意味論を有し、したがってアプリケーションは推論を採用することができる。
【００３０】
一度標準化されると、メッセージは相関エンジンの中へ送り込まれる。これは、何が起こったかを再構成するだけでなく、レポート及び統計を生成するためである。メッセージ標準化方法は自動的に動作し、前記データに関して推論できなければならない。
【００３１】
好ましくは、もし分解されたメッセージが参照事象カテゴリに対応する場合、方法は次のステップを備える。参照事象カテゴリが第１の記憶手段の中にまだ存在しないことを検証するステップと、肯定検証の場合、前記参照事象カテゴリを前記第１の記憶手段の中に記憶するステップとを含む。
【００３２】
有利には分解されたメッセージが前記参照事象カテゴリのいずれとも対応していない場合、方法は次のステップを備える。メッセージを第２の記憶手段の中に記憶するステップである。
【００３３】
１つの有利な発明的特質によれば、複数の参照事象カテゴリを定義するステップの間に、前記参照事象カテゴリの少なくとも１つが、前記参照事象カテゴリの少なくとも他の１つ、及び、統語論規則、語彙規則、意味論規則を備えるグループに所属する少なくとも１つの規則から定義される。
【００３４】
好ましくは、前記参照事象カテゴリの少なくとも１つについて、それは前記参照事象カテゴリに対応する分解メッセージの数をカウントするステップを備える。
【００３５】
有利には、前記意図クラスは次の意図を備える。少なくとも１つのＩＳ標的に関する少なくとも１つのデータを発見及び／又は収集する意図と、少なくとも１つの同定データを実現する少なくとも１つの認証手順によってＩＳにアクセスする意図と、少なくとも１つの権利要求手順によって少なくとも１つのＩＳリソースにアクセスする意図と、少なくとも１つのＩＳリソースの少なくとも１つの利用可能性にアクセスする意図とである。
【００３６】
１つの有利な発明的特質によれば、前記動向クラスは次の動向を備える。ＩＳ構成に影響しない少なくとも１つの行動に関係する動向と、ＩＳ構成に影響する少なくとも１つの行動に関係する動向と、少なくとも１つの攻撃に関係する動向と、ＩＳを損傷する目的で開発された少なくとも一片の悪意のソフトエェアに関係する動向と、ＩＳの少なくとも１つの行動検出器プローブによって検出された少なくとも１つの疑惑的行動に関係する動向と、ＩＳの少なくとも１つの脆弱性に関係する動向と、ＩＳの観察された状態を反映する動向とである。
【００３７】
１つの有利な発明的実施形態によれば、前記利得クラスは、ＩＳ構成に影響しない少なくとも１つの行動に関係する動向、及びＩＳ構成に影響する少なくとも１つの行動に関係する動向に対応する意図については、成功、失敗、拒否、誤りを備え、少なくとも１つの攻撃に関係する動向、ＩＳを損傷する目的で開発された少なくとも一片の悪意のソフトウェアに関係する動向、ＩＳの少なくとも１つの脆弱性に関係する動向、及びＩＳの少なくとも１つの行動検出器プローブによって検出された少なくとも１つの疑惑的行動に関係する動向に対応する意図については、検出を備え、ＩＳの観察された状態を反映する動向に対応する意図については、ＩＳの少なくとも１つの標的の少なくとも１つの行動を反映する少なくとも１つの動向に対応する意図からの利得、ＩＳの少なくとも１つの標的の上の少なくとも１つの閾値の少なくとも１つの使用を反映する少なくとも１つの動向に対応する意図からの利得を備える。
【００３８】
有利には、ＩＳの標的の行動を反映する動向に対応する意図からの利得は、少なくとも１つの制御に後続する有効状態、少なくとも１つの制御に後続する無効状態、少なくとも１つの制御に後続する少なくとも１つの標的に関する通知を備える。
【００３９】
好ましくは、ＩＳの標的に関して閾値の使用を反映する動向に対応する意図からの利得は、少なくとも１つの時間関係閾値の超過、時間に関係しない少なくとも１つの閾値の超過、少なくとも１つの閾値の低い使用、少なくとも１つの閾値の正常な使用、少なくとも１つの閾値の高い使用を備える。
【００４０】
本発明は、更に、コンピュータ・ソフトウェア製品に関する。コンピュータ・ソフトウェア製品は、通信ネットワークからダウンロードされ、及び／又はコンピュータによって読み取られ得るメディアの上に記録され、及び／又はプロセッサによって実行されることができ、前に記述したような監視方法を実現するプログラム・コード命令を備えることを特徴とする。
【００４１】
本発明は、更に、記憶手段に関する。記憶手段は、可能性として全面的又は部分的に取り外し可能であり、コンピュータによって読み取られることができ、前記コンピュータによって実行され得る命令の集合を記憶する。これは、前に記述したような監視方法を実現するためである。
【００４２】
本発明は、更に、少なくとも１つのメッセージを監視するデバイスに関する。各メッセージは、情報システム（ＩＳ）の少なくとも１つの要素又はユーザによって生成された行動に関連づけられ、ＩＳの少なくとも１つのメッセージ収集デバイスによって収集される。
【００４３】
本発明によれば、デバイスは、複数の参照事象カテゴリを定義し、各参照事象カテゴリは、各参照行動の目的を特徴づける意図クラス、各参照行動の性質を修飾する活動タイプ・クラス、各参照行動を実現する手段を特徴づける動向クラス、各参照行動の目的を特徴づける標的クラス、及び各参照行動の結果を特徴づける利得クラスに基づいて、オントロジからの少なくとも１つの参照行動に関連づけられる手段を備え、各々の所与のメッセージについては、該意図クラス、該活動タイプ・クラス、該動向クラス、該標的クラス、及び該利得クラスによって形成されたデータベースの中で、所与のメッセージを分解する手段、分解されたメッセージを少なくとも１つの参照事象カテゴリと比較する手段、分解されたメッセージと参照事象カテゴリとの対応を表現する少なくとも１つの標準化事象を生成する手段を備える。
【００４４】
図面のリスト
他の発明的特質及び利点は、直接的図解及び非制限的例として与えられる複数の好ましい実施形態の後続する記述を読むことから、及び添付の図面から、より明瞭になる。
【図面の簡単な説明】
【００４５】
【図１】特定の発明的実施形態に従ったＩＳの線図である。
【図２】特定の発明的実施形態に従った意図、活動、動向、標的、及び利得のクラスに基づくオントロジの高レベル展望を示し、５つの前述したクラスを使用する行動、即ち、利得（結果）を最終的に産出する動向を使用して標的へ向けられたタイプ（活動タイプ）の意図（意図又は目的）の記述を与える図である。
【図３】特定の発明的実施形態に従った意図クラスの事例又はサブクラスとしても知られる全ての意図タイプを示す図である。
【図４】特定の発明的実施形態に従った全ての活動タイプを示す図である。
【図５Ａ】特定の発明的実施形態に従った各コンセプト（目的、活動タイプ、動向、標的タイプ、標的詳細、及び結果）の可能な語彙値を示す図である。
【図５Ｂ】特定の発明的実施形態に従った各コンセプト（目的、活動タイプ、動向、標的タイプ、標的詳細、及び結果）の可能な語彙値を示す図である。
【図６】特定の発明的実施形態に従った活動タイプの関数としての異なる可能な利得値を示す図である。
【図７】検出プローブによって送信された自然言語の語句を備えるメッセージを、参照事象カテゴリへ変換することを示す図である。
【図８】特定の発明的実施形態に従った第１の例に従って、メッセージを分解メッセージへ明示的に分解する方法の１つを表出するアルゴリズムを示す図である。
【図９】特定の発明的実施形態に従ってメッセージを分解メッセージへ分解する全ての利用可能な方法、即ち、語彙方法、意味論方法、及び統語論方法を示す。
【図１０】特定の発明的実施形態に従って、ＥｘａＰｒｏｔｅｃｔ標準化における全ての標準化事象カテゴリをグラフ・チャート形式で提示する具体的グラフ提示方法の１つを示す。
【発明を実施するための形態】
【００４６】
１つの発明的実施形態の説明
以下、少なくとも１つのメッセージを監視する方法を説明する。各メッセージは、（図１に関して記述されるように）ＩＳ１０００の少なくとも１つの要素又はユーザによって生成される行動に関連づけられ、本発明の特定の実施形態に従ってＩＳの少なくとも１つのメッセージ収集デバイスによって収集される。情報源によって送信されたメッセージは、一度変換方法（前述した分解、比較、及び生成ステップを備える）のもとで変換されると、標準化事象として知られる。
【００４７】
ＩＳ１０００は少なくとも１つのネットワーク・ホスティング・エンティティを備える。ネットワーク・ホスティング・エンティティは、ルータ１００５を介してインターネット１００６へ接続された少なくとも１つの情報源（ワークステーション１００１、印刷サーバ１００２、ファイル・サーバ１００３ａ、アプリケーション・サーバ１００３ｂ）、及び全ての到着及び出発フローを制御する非武装地帯（ＤＭＺ）を提供される。ＤＭＺはセキュリティ情報源、即ち１）少なくとも１つのフィルタリング・システム、例えばフローをフィルタリングするファイヤウォール１００４、又は２）少なくとも１つの侵入検出システム（ネットワーク１００７ａ、システム１００７ｂ、及びアプリケーション１００７ｃ）、又は３）アンチウイルス動作１００８ａ及び１００８ｂに専念するゲートウェイ、例えばＷＥＢ、ＳＭＴＰ、及びＤＮＳゲートウェイの少なくとも１つの集合を採用する。
【００４８】
ＩＳの前に言及された全情報源は、監視方法サーバ１０１０によって管理されるデータベース１００９へのアクセスを有する。このように、ＩＳ１０００は、システム・レベルであれアプリケーション・レベルであれ、全タイプの情報源をネットワークすることができる。
【００４９】
明らかに、本発明は全タイプの情報システム、例えばコンピュータ・ネットワーク又は美術館、工場用地などの場所にある監視システムへ適用される。
【００５０】
発明的監視方法は標準化メカニズムを採用し、前述した情報源によって返却された同じタイプのメッセージを収集、構造化、及び合併整理する。セキュリティ・アナリストは前進中の全行動の展望を有し、各行動について１つの標準化事象を１つだけ受信する。この展望は、前進中の出来事又は攻撃を予期して対処するために必須である。
【００５１】
本発明に関する標準化方法は意味論を使用して標準化事象を成文化し、したがってそれらの標準化事象は構造化されて、大量のメッセージを処理又は取り扱う目的のために全自動化メカニズムから理解可能である。
【００５２】
標準化方法は、モデル化（これは、メッセージ意味論−意図、活動タイプ、動向、標的、結果−を表出するためオントロジ・コンセプトを定義するステップ、及び各々の前記コンセプトの用語及び統語論を定義するため言語学定義を行うステップを備える）及び変換（上記で言及したような分解、比較、及び生成ステップを備える）のステップを備える。
複数の参照事象カテゴリを定義し、各参照行動の目的を特徴づける意図（又は目的）クラス、意図の性質を修飾する活動クラス、各参照行動を実現する手段を特徴づける動向クラス、各参照行動の目的を特徴づける標的クラス、及び各参照行動の結果を特徴づける利得（又は結果）クラスに基づき、各参照事象カテゴリをオントロジからの少なくとも１つの参照行動に関連づけることによって、モデル化する。
各々の所与のメッセージについて、
意図クラス、活動クラス、動向クラス、標的クラス、及び利得クラスによって形成されたデータベースの中で前記所与のメッセージを分解し、
分解されたメッセージを少なくとも１つの参照事象カテゴリと比較し、
分解されたメッセージと参照事象カテゴリとの対応を表現する少なくとも１つの標準化事象を生成する。
【００５３】
特定の発明的実施形態に従ったモデル化（これは、前述した定義ステップを備える）は、オートマトン又はセキュリティ・アナリストによって理解され得る標準化事象としてメッセージを標準化する構造及び意味論を提供する。セキュリティ・エキスパートは、標準化支援ツールを使用して、このステップを遂行する。
【００５４】
本発明に従った変換（前述した分解、比較、及び生成ステップを備える）は、セキュリティ・エキスパートによって遂行される。セキュリティ・エキスパートは、エキスパートの作業を十分に支援する人工知能からの言語学ツールを使用して、メッセージを標準化事象へ変換する規則を定義する。エキスパートの知識は、変換規則に貢献して完成するために、この段階で不可欠である。
【００５５】
現在の発明的実施形態の文脈において、セキュリティ情報を分類するために使用される全メッセージは、ＥＰＴ社によって産出及び公開された参照ＥｘａＰｒｏｔｅｃｔ  ＳＭＰ−３００、ＳＭＰ−５００、ＳＭＰ−１２００、及びＳＭＡ−５０のもとで市販されるＳＭＳソフトウェアによって収集される。標準化事象を構造化するために使用され得る商業的に利用可能なフォーマットの多数が存在する（ＩＤＭＥＦ、ＣＩＭ、ＩＯＤＥＦ、ＳＮＭＰなど）。ＩＤＷＥＧ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｗｏｒｋｉｎｇ  Ｇｒｏｕｐ）からＩＤＭＥＦ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｍｅｓｓａｇｅ  Ｅｘｃｈａｎｇｅ  Ｆｏｒｍａｔ）を介してＩＥＴＰ（Ｉｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ  Ｆｏｒｃｅ）へ提案されたセキュリティ事象標準化は、ＥｘａＰｒｏｔｅｃｔソフトウェアによって標準化メッセージを構造化するための基礎として現在選択されている。
【００５６】
特定の発明的実施形態に従った標準化の紹介
ここで、特定の発明的実施形態に従った標準化プロセスの記述が与えられる。標準化は、前述したモデル化及び変換プロセスを備える。
【００５７】
監視システムは、生コーパスとして知られるメッセージ・データベースの中に情報を収集して中央化する。生コーパスは異種、非分類、及び非構造化メッセージから成る。これらのメッセージは、源の機能に依存する特定の意味論を有する。即ち、幾つかのメッセージは同じ行動を記述するが、各源に特定された表現又は用語を用いる（冗長性、関連性）。他のメッセージは、異なる段階で観察された同じ行動を記述する。即ち、行動の開始又は終了などである（粒径解析：集約及び相関）。
【００５８】
人間、即ち、メッセージごとに解析するセキュリティ・アナリストは、これらのメッセージの総体を知ることはできず、関連メッセージを識別することはできない。即ち、セキュリティ・アナリストは自動化メカニズムによって助けられなければならない。
【００５９】
異種データの汎用フォーマット、又は全体的メッセージ意味論を標準化する標準は存在しない。オートマトンは、意味論を有しない非構造化データの上では動作しない。しかしながら、メッセージは標準化システムを要求する。標準化は、相関及び集約オートマトンが動作できるメッセージ構造を定義し、同じ行動を表現するメッセージを認識及び合併整理する意味論を定義する。
【００６０】
標準化は、各メッセージに関連づけられた意味論及び構造を定義し、１）各メッセージが、オートマトンによって理解され得る関連成文化を有するようにし、２）存在するメッセージ当たりに少なくとも１つの成文化が存在するようにし（完全性）、存在しなければ偽の否定が作り出されるようにし、３）どのようなメッセージ翻訳プロセスが使用されるにせよ、同じ意味のメッセージ当たり高々１つの成文化が存在するようにする（コンセンサス）。
【００６１】
標準化は、全ての現実行動の成文化を参照事象カテゴリの集合形式で定義する。標準化は、メッセージが表現する行動の成文化を用いてメッセージを翻訳する。このようにして、メッセージが表現する行動のためにメッセージ当たり１つだけの可能な翻訳が存在する。本発明の主な焦点は、メッセージが標準化されるときエキスパート又はオートマトンを指導するため、全ての関連する現実行動（成文化）及び変換規則を前もって定義することである。
【００６２】
モデル化段階の目的は、監視システムの関心事である現実行動（成文化）を表現する全ての参照事象カテゴリを定義することである。１つの行動当たりに１つだけの参照事象カテゴリが存在するので、この行動の各メッセージについて１つだけの単一の標準化事象のみが存在することが利点である。メッセージは、メッセージから作り上げられた構造にもはや関連づけられず、前もって定義された一意の行動符号に関連づけられる。特定の発明的実施形態に従ったモデル化の機能は、全ての参照行動を同定及び定義することである。前記ステップは重要であり、オントロジを使用して実行される。オントロジは、各メッセージの意味論を作り上げ、前記意味論によって同じ意味を有するメッセージ（又は生ログ）を合併整理する。
【００６３】
標準化はオントロジに基づくモデル化段階を備える。オントロジはコンセプトから成り、コンセプトは行動理論及びＩＳの中に存在するプロフィール・クラスに従って規定された規則から検索される。
【００６４】
特定の発明的実施形態に従ってモデル化する
モデル化は、完全性及びコンセンサスについて前述した要件を満たす。
【００６５】
オントロジは、意味によって全ての行動を定義する。言い換えれば、オントロジはコンセプト及び言語規則を定義し、変換プロセスが１つだけの参照事象カテゴリを所与のメッセージへ関連づけることができるようにする。全ての有意なＩＳセキュリティ関連行動が参照事象カテゴリの形式で存在し、全ての行動が明白な言語学定義を有して、同じ行動を表出する２つの標準化事象カテゴリが存在できないように、オントロジが設計される。
【００６６】
特定の発明的実施形態に従ったオントロジ・コンセプト
全ての行動について、共通の明白なモデル化を見出すことは容易でない。行動理論に対するＤａｖｉｄｓｏｎの陳述された原理から、５つのコンセプト、即ち、１）意図、２）活動、３）動向、４）標的、及び５）結果が検索された。これらは、現実の生コーパスのエキスパート知識及び解析によって、続いて合併整理される。
【００６７】
Ｄａｖｉｄｓｏｎは、自身の哲学的労作「Ａｃｔｉｏｎｓ，Ｒｅａｓｏｎｓ，ａｎｄ  Ｃａｕｓｅｓ」、「Ｊｏｕｒｎａｌ  ｏｆ  Ｐｈｉｌｏｓｏｐｈｙ  ｐｐ．６８５−７００  （Ｒｅｐｒｉｎｔｅｄ  ｉｎ  Ｄａｖｉｄｓｏｎ  １９８０，ｐｐ．３−１９．），１９６３」の中で、行動の理由を知ることは、結局行動を起こさせた意図を知ることであると陳述している。特定の発明的実施形態に従ったモデル化は、最初、「意図」及び「活動タイプ」の２つのコンセプトを採用した。第１のコンセプトは、最終目的に構築された計画の一部分としてエージェントがステップを取るときエージェントが有する意図を定義し、第２のコンセプトは、前記行動タイプが正常であるか、疑惑的であるか、異常であるかを評価する。この評価は、行動の意図及びエージェント計画に対する行動の整合性によって行われる。
【００６８】
モデル化は、意図及び活動タイプを指定する第３の「動向」コンセプトを定義する。数人の著作者（Ｍｅｌｅ，１９９２，Ｂｒａｔｍａｎ，１９８７，Ｂｒａｎｄ，１９８４）は、我々の行動の大部分は動向を伴うことを強調している。Ｉｓｒａｅｌ，Ｐｅｒｒｙ，ａｎｄ  Ｔｕｔｉｙａ（Ｄａｖｉｄ  Ｉｓｒａｅｌ  ｅｔ  ａｌ．，ｎ．ｄ．）は、各行動に存在する動向のコンセプトを導入することなしには、行動の解明が不完全であることを注意している。動向を少しでも念頭に置くことなしには、行動遂行の事実を組成することはできない。
【００６９】
ＥｘａＰｒｏｔｅｃｔモデル化は、第４のコンセプトである「結果」を組み入れる。エージェントをエージェントの最終目的へ近づける結果が期待されないならば、行動を遂行する意図が存在し得ると考えることは困難である。ある行動はエージェントの計画の中のステップを定義するが（サーバへのアクセスは、取られるステップの１つの例である）、他の行動は記述的であり、エージェントの環境状態を評価する（ログインするために要求される証明書又は期限切れの証明書は、記述の例である）。各ステップの成功又は失敗は、エージェントの計画の中のエージェントの前進を評価し、これは「利得」のコンセプトである。逆に、「制御」のコンセプトは、エージェントの環境を評価するために導入されるが、このコンセプトは前進も利得も表出しない。制御は量的であるか（「閾値」コンセプト）、質的である（準拠又は非準拠）。例えば、証明書は無効であるか（質的）、期限切れである（量的）。
【００７０】
要約すると、モデル化は５つの基本的オントロジ・コンセプトを採用して行動を分解する。これらの５つのコンセプトは、行動のオントロジにおける全行動を表現する参照事象カテゴリを確立する。前記５つのコンセプトは相互に作用し、ＩＳの全ての現実行動を表出する１つだけの関係があり得るようにする。即ち、参照事象カテゴリの一般化は、次のように表出される。
「標的Ｃに関する動向Ｍは、活動タイプＡの意図Ｉについて結果Ｒを有する」
【００７１】
特定の発明的実施形態に従ったオントロジの言語及び規則
規則の定義は、モデル化されるべき行動の数（これは理論的に無限である）を低減するが、同時に監視システムの観点から各メッセージの関連性を保存して存在すべき全行動をカバーする。
【００７２】
規則はＥｘａＰｒｏｔｅｃｔ言語を定義する。この場合、各コンセプト及び各関係は共通の言語学規則、即ち、語彙、統語論、及び意味論規則によって表出される。
【００７３】
意味論規則：ＥｘａＰｒｏｔｅｃｔ言語は、各参照事象カテゴリの意味論を作り上げる。意味論は、メッセージが標準化事象へ変換される間にメッセージへ伝送される。即ち、標準化事象は前記意味論を承継する。意味論規則はセキュリティ・エキスパート及び標準化支援ツールへ伝送され、メッセージが標準化事象へ翻訳されるとき、適切なＥｘａＰｒｏｔｅｃｔモデルに関して選択が行われるようにする。意味論規則はアナリスト又はオートマトンへも伝送され、アナリスト又はオートマトンが標準化事象の意味に関して解釈又は推論できるようにする。この知識なしには、事象を事象の意味によって合併整理する責任を有するアナリスト又はオートマトンのいずれも、動作することはできない。
【００７４】
モデル化における意味論規則は、共通の動作規則を満たす対象物の収集、例えば、攻撃振る舞いを定義する攻撃者計画の中の全ステップ、又はユーザ認証システムの中の全コンポーネント、又は攻撃経路を定義する全ＩＳ脆弱性によって定義される。前記規則は、本明細書の中で後に記述される。全てのＥｘａＰｒｏｔｅｃｔモデルは、前述した５つのコンセプトに従って行動の定義を一般化する意味論規則によって定義される。
【００７５】
語彙規則：語彙規則はＥｘａＰｒｏｔｅｃｔ言語における用語及び用語説明のリストを定義する。即ち、前記リストは辞書である。前記用語説明は、セキュリティ分野に適した定義用語を用いて意図、活動タイプ、動向、標的、及び利得の５つのコンセプトの各々を表出する。即ち、リストは合意的であり、エキスパートによって有効にされる。ＥｘａＰｒｏｔｅｃｔ語彙集は現在１００を超える自然語を備える。このリストは適宜に追加され、意味論規則に準拠しない新しい参照カテゴリを創出してはならない。図５ｂには、変換に使用される第１のリストが記述される。
【００７６】
統語論規則：統語論規則は直接的であって５つのコンセプトの組織を明示し、これらのコンセプトが文字「＿」で分離されるようにする。
（意図＿活動タイプ＿動向＿標的１＿詳細２＿結果）
【００７７】
特定の発明的実施形態に従ったオントロジの説明
ここで、５つのコンセプトの各々について、言語学規則の説明が与えられる。
【００７８】
特定の発明的実施形態に従ったエージェントの意図及び前進
幾つかのメッセージはエージェントの前進を表出するが前進を検出する標識が与えられなければ、この値を検索するのは困難である。エージェントの計画内のエージェントの前進に関して行動を突き止めるため、２つの標識が要求される。即ち、１）計画内の行動及びステップを突き止めるための計画内のステップの知識（「意図」コンセプト）、２）エージェントが正常、異常、疑惑的活動を表現するかどうかに依存するエージェントの計画内のエージェントのタイプの知識（「活動タイプ」コンセプト）である。
【００７９】
「意図」コンセプトの意味論規則
ＩＳを攻撃するため、攻撃者は攻撃の計画を準備する。計画内の各段階は、目的の充足に対応する。同じように、エージェントは、攻撃者であれユーザであれ、計画、即ち、攻撃計画又は使用計画の中を通って進行する。エージェントは、最終目的が確保されるまで、１つの目的から他の目的へ移動する。意図は段階目的である。意図の概念は最も適切である。というのは、意図の認識は、計画が再組成されること、及びＩＳ内のエージェントの前進が評価されることを許すからである。
【００８０】
ＥｘａＰｒｏｔｅｃｔモデル化において、前進はアクセス意図によって定義され、他の意図は検出できない。エージェントは、誰であれ、攻撃者であれユーザであれ、４つのアクセス意図に対応するアクセス・メカニズムを使用して、エージェントの標的にアクセスする意図で計画をたどる。
１．情報収集行動によってＩＳ環境情報にアクセスする意図。この段階は攻撃者に特有であり、第１の攻撃段階であって、標的システムの特質の同定を含む。この第１の段階で収集された情報は脆弱性を決定し、計画内の次のステップ、即ち認証を容易にする。
２．認証行動によってＩＳにアクセスし、認証メカニズムによって有効にされた人のアイデンティティをＩＳへ開示する意図。この段階は、全ての計画に共通であり、次の承認ステップの前提条件である。
３．権利メカニズムによって有効にされた権利行動の使用によってＩＳリソースへアクセスする意図。この段階は全ての計画に共通であり、システムの重要機能にアクセスする先行任意ステップを組成する。
４．コマンドを実行する、サービスを起動するなどのシステム操作行動によってＩＳの利用可能性にアクセスする意図。これは、管理者又は攻撃者によって一般的に取られる共通ステップである。それは一般的に計画の最終段階を組成する。というのは、それはシステムの重要機能へのアクセスを許したからである。しかしながら、それはもっと野心的な計画への中間ステップを組成するにすぎないかも知れず、中間ステップは他の標的へ適用される前のステップへエージェントを戻すかもしれない。アクセス意図は、第１の規則の形式で指定され得る。
【００８１】
規則１、意図：各々の使用プロフィールは４つの意図を識別する。各意図は所与の標的へ向かう前進のステップを表現する。各意図は、意図の目的が同定又は認識行動による情報へのアクセスであるか、認証行動によるＩＳへのアクセスであるか、特権行動によるリソースへのアクセスであるか、システム行動によるシステムの重要機能へのアクセスであるかに従って見分けられる。
【００８２】
意図の統語論規則
意図コンセプトの統語論は、Ｅｘａモデルの第１のフィールドを使用する。即ち、
（意図＿活動タイプ＿動向＿標的１＿詳細２＿結果）
【００８３】
意図の語彙規則
意図３０００のこれらのタイプ（図３に示される）は、次のものに対応する。
１．情報蒐集３００２又はＲＥＣＯＮ：収集及び同定を介してＩＳ標的による少なく１つに関して少なくとも１つの文脈データを発見及び／又は収集する意図。
２．認証３００３：少なくとも１つの同定データ（機密の知識を有するか有しないアイデンティティ）を採用する認証サービスを介して少なくとも１つの認証手順によってＩＳにアクセスする意図（以下、認証意図３００３で表される）。認証意図のクラスに入れられるメッセージとしては、ユーザによるＩＳへの成功又は失敗アクセス、又は前記アクセスの間の認証サービスにおける誤りを挙げてよい。更に、「暴力」タイプの手段を使用してＩＳにアクセスする攻撃意図、及び認証システム内の悪用可能弱点を記述する脆弱性スキャナからのメッセージ、又はシステム状態を「オープン・ネットワーク・ポート」として記述する情報源からのメッセージを挙げてよい。
３．権利３００４：少なくとも１つの権利要求手順によってＩＳの少なくとも１つのリソースにアクセスする意図（以下、権利意図３００４で表される）。これらの意図は、認証によるリソースへのアクセスが存在したメッセージ、又は前もって確立された規則によって承認される前記アクセスなしにシステム・リソースへのアクセスを試みられたメッセージである。前記メッセージとしては、次のことを許す動向を挙げてよい。即ち、ファイルへのアクセス、特権モードでアプリケーションを実行すること又は実行する試み、特権ユーザに予約されたあるシステム・コマンドを使用すること他は使用する試み、機密ファイルへのアクセス権を変更すること、リソースにアクセスする意図を有する攻撃シグネチャである。
４．システム３００１：ＩＳの少なくとも１つのリソースの利用可能性にアクセスする意図（今後はシステム意図３００１で表される）。これらの意図は、システムの重要機能、コンポーネント、又はシステム（システム）リソースにアクセスする動向が使用されたメッセージである。これらのメッセージとして、アプリケーション又はサービス又はプロセスを実行し、アプリケーション又はサービス又はシステム・コンポーネント又はプロセスをスタート又はリスタート又はシャットダウンし、システムの構成及びコンポーネント又はアプリケーションを変更し、パケット、ファイルなどを送信及び受信する動向を挙げてよい。ＩＳの重要機能にアクセスする意図を有する攻撃シグネチャも、このモデルの下のクラスに入れられる。
【００８４】
特定の発明的実施形態に従った活動タイプ
「活動タイプ」コンセプトは、攻撃者の前進を評価する第２の標識である。
【００８５】
「活動タイプ」コンセプトの意味論規則
発明者らは、情報価値を有する事象のＩＳ内の前進を記述する事象をモデル化することを選択した。ＥｘａＰｒｏｔｅｃｔモデル化は、参照事象カテゴリがＩＳ内のエージェントの前進行動を表現するかどうかに依存して、又は参照事象カテゴリがＩＳ又はＩＳコンポーネントの状態を表現するかどうかに依存して、２つの参照事象カテゴリを採用する。
【００８６】
規則２：全ての観察される（監視される）行動において、行動の２つのタイプが存在する。即ち、環境又は「システム状態」を記述するタイプ及び標的への「前進」を記述するタイプである。
【００８７】
エージェント及び活動タイプ
攻撃シグネチャが明瞭に伴わなければ、攻撃者の行動と正当ユーザの行動とを見分けることは、不可能ではないにしても困難である。一度攻撃者がシステムの中に入ると、攻撃者はシステムによって正当ユーザと見なされ、メッセージは正常か否かの表示を返却することはできない。幾つかの行動は攻撃計画又は管理計画に特有のステップであり、他の行動は全計画に共通である。ＥｘａＰｒｏｔｅｃｔモデル化は、ステップを正常、異常、又は疑惑的として修飾する３つの使用プロフィールを定義する。即ち、
「ユーザ」プロフィールは、ＩＳのリソース及びサービスの構成を修正しないユーザ活動の全ての正常使用行動を表現する。ＩＳ内で着手される前記行動は、システムを使用するため任意のタイプのユーザによって取られてよい。
「管理者」プロフィールは、管理者によって取られる正常動作及び保守の全行動を表現し、これらの行動はＩＳのリソース及びサービスの構成を行動として修正する。これらの行動は、ＩＳの全部又は一部を修正するように導かれる管理者にとって有用である。管理者は、更に使用行動を用いてＩＳの中で進行する。
「攻撃者」プロフィールは、全てのいわゆる「シグネチャ」異常、「異常」、及び「疑惑的」行動を表現する。幾つかのメッセージは、攻勢又は疑惑的行動グループの構成員であることに関して明らかな疑問を顕示しない。というのは、それらのメッセージはコンテンツの中に「攻撃」シグネチャ又は用語を保有するからである。異常行動は、情報を同定し、収集し、前記情報を悪用し、又はシステム内で攻撃を伝搬する行動である。
【００８８】
規則３：活動：前進を記述する全ての観察された行動は、３つの使用プロフィール・カテゴリ、即ち、攻撃者、ユーザ、又は管理者のクラスに入れられる行動のグループの一部である。
【００８９】
規則３ａ：異常活動は、攻撃、疑惑、又は破壊工作のタイプが存在することを表示するシグネチャ又はキーワードによって標識された全ての疑惑的行動、攻撃、又は破壊工作を合併整理する。
【００９０】
規則３ｂ：正常活動は、ＩＳへの修正を行わないユーザによって取られた全行動、又は構成への修正を行う管理者によって取られた行動を合併整理する。
【００９１】
観察
監視システムが特定のユーザ、例えばネットワーク管理者に監視を集中している場合、各プロフィールを事例化して、もはや前述した３つのプロフィールだけに監視を関係させるのではなく、例えば、「ネットワーク管理者プロフィール」に事例化し、ネットワーク行動の監視に事例化し、Ｏｒａｃｌｅデータベースのユーザに事例化することが可能である。
【００９２】
更に、「ユーザ」又は「管理者」プロフィール行動が攻勢でない事実を推定することはできない。攻撃計画又は使用計画の一部である振る舞いの中で、行動が正当ステップを組成することを単に推定する必要がある。
【００９３】
システム状態
幾つかのメッセージは、エージェントの環境、即ちシステム状態を記述する。これらのタイプのメッセージは、前進中の行動の隠された存在をアナリストへ示す表示、又は逆に、行動が遂行されたことを実証する表示をアナリストにもたらす。これは、超過された閾値、例えば、隠されたウイルス攻撃を実証するネットワーク通過帯域内の異常増加を伴うかもしれない。それは、更に、攻撃が可能であったことをアナリストへ確信させる脆弱性の発見を伴うかもしれない。
【００９４】
システム状態を表出するため、ＥｘａＰｒｏｔｅｃｔモデル化は、「活動タイプ」に関係する２つの概念を区別する。
１．脆弱性は、「脆弱性スキャナ」として知られる特定の情報源によって検出されるＩＳ又はＩＳコンポーネントの弱点である。たいていの場合、脆弱性は悪用達成の条件である。脆弱性は、これらの特定のツールによって所与の悪用の直接原因として知られる独特の特質を有するシステム状態の部分集合を表現する。脆弱性はシグネチャである。即ち、脆弱性の知識は、一般的に、システムがどの程度危うくされるかを予期する場合の価値ある助けである。
２．システム状態は、アナリストが監視しているシステムの現在の状況をアナリストへ知らせる。これは、公知の脆弱性ではない他の弱点、例えば、サービス、パラメータ、又は構成の状態に関わる。
【００９５】
脆弱性又はシステム状態のいずれが関わろうと、前記情報はアクセスに関するエージェントの前進を顕現せず、状態を返却する。この状態の知識は、何が起こったかの理解を容易にするか危険を解明する。それはセキュリティ・アナリストに有用な表示又は証拠を組成する。
【００９６】
「活動タイプ」コンセプトの言語学規則
これまでに、３つのタイプの値が存在することが分かった。即ち、前進行動、システム状態に関する情報、及び脆弱性記述行動である。
【００９７】
図４は、例として、特定の発明的実施形態に従った全ての活動タイプを示す。
【００９８】
前進行動
前進行動モデル化は、次の形式で提示される。
（意図＿活動タイプ＿動向＿標的１＿詳細２＿利得）
【００９９】
１．正常行動：現在の特定の発明的実施形態に従った正常行動を記述するメッセージは、次のプロフィールを区別する。
１ａ．「ユーザ」プロフィール：
ユーザ・プロフィールは、システムを修正する動作によってはシステムに対して行動しない。ユーザ・プロフィールによって取られる行動は、次の形式を取り、
（意図＿活動＿動向＿標的１＿詳細２＿利得）
活動という表現（４００２として参照される）又は構成という表現（４００１として参照される）により意図に従って表出される。
認証行動又は認証＿活動について、
権利関係行動又は権利＿活動について、
システム行動又はシステム＿活動について。
１ｂ．「管理者」プロフィール：
管理者プロフィールは、システムを構成する動作によってはシステムに対して行動しない。管理者プロフィールによって取られる行動は、次の形式を取り、
（意図＿構成＿動向＿標的１＿詳細２＿利得）
意図に依存して表出される。
認証行動又は認証＿構成について、
権利関係行動又は権利＿構成について、
システム行動又はシステム＿構成について。
【０１００】
２．異常行動
現在の特定の発明的実施形態に従った異常行動を記述するメッセージは、攻撃者プロフィールを定義し、第２のフィールドで表出される。
２ａ．証明されないが想定される攻撃は、疑惑（ＳＵＳＰＩＣＩＯＵＳ）という表現（４００６として参照される）によって表現される。
（意図＿疑惑＿動向＿標的１＿詳細２＿検出）
２ｂ．証明された攻撃は、攻撃（ＡＴＴＡＣＫ）という表現（４００５として参照される）によって表現される。
（意図＿攻撃＿動向＿標的１＿詳細２＿検出）
２ｃ．証明された迷惑は、破壊工作（ＭＡＬＷＡＲＥ）という表現（４００４として参照される）によって表現される。
（意図＿破壊工作＿動向＿標的１＿詳細２＿検出）
【０１０１】
異常行動は、次の意図を示すかどうかに依存して第１のフィールドで表出される。
認証利得又は認証＿攻撃、
権利利得又は権利＿攻撃、
システム利得又はシステム＿攻撃。
【０１０２】
異常及び疑惑的行動は、次の意図を示すかどうかに依存して第１のフィールドで表出される。
認証利得又は認証＿疑惑、
権利利得又は権利＿疑惑、
システム利得又はシステム＿疑惑。
【０１０３】
悪意のソフトウェアから由来する異常行動は、次の意図を示すかどうかに依存して第１のフィールドで表出される。
認証利得：認証＿破壊工作、
権利利得：権利＿破壊工作、
システム利得：システム＿破壊工作。
【０１０４】
システム状態
システム状態の記述を設定するメッセージは、次のパラグラフで説明され、次の形式で提示される。
（意図＿情報＿制御＿標的１＿詳細２＿結果）
【０１０５】
解明されたように（以下、「情報」活動４００７として参照される）、これらの参照事象カテゴリはＥｘａＰｒｏｔｅｃｔ行動モデルと同じコンセプトを使用する。他方、これらの参照事象カテゴリは一般語句によってモデル化される。一般語句は、エージェントによって、（１）量的規準又は（２）質的規準に依存して環境の観察へ適応される。
【０１０６】
量的
ＥｘａＰｒｏｔｅｃｔモデル化は、量的時間又は空間の規準をモデル化する「閾値」コンセプトを定義する。
「意図Ｉに関する情報は、標的Ｔの閾値制御に従って状態Ｓを量子化する」
【０１０７】
モデル化は、２つのフィールド、即ち閾値タイプ及び超過値を使用することによって、量的規準を指定する。
（意図＿情報＿閾値＿標的１＿閾値タイプ＿超過値）
【０１０８】
図６は、特定の発明的実施形態に従って、活動タイプの関数としての異なる可能利得値を示す。
【０１０９】
「情報」活動（７００５及び７００７）によって下記で指名される閾値超過の間では、区別を行うことができる。
少なくとも１つの時間関係閾値（又は期限切れ）、
時間に無関係な少なくとも１つの閾値（又は超過）、
少なくとも１つの閾値の低い使用（又は低）、
少なくとも１つの閾値の正常な使用（又は正常）、
少なくとも１つの閾値の高い使用（又は高）。
【０１１０】
質的
ＥｘａＰｒｏｔｅｃｔモデル化は、質的規準を表出する「制御」コンセプトを定義する。質的規準は環境の準拠記述をモデル化する。
「意図Ｉに関する情報は標的Ｔの制御の状態Ｓを修飾する」
【０１１１】
モデル化は、「情報」活動（７００５及び７００６）によって下記で指名される質的規準、即ち、通知、有効、無効を採用し（これらの状態は、下記のパラグラフ６．２．３．４で説明される）、下記のように記述される。
（意図＿情報＿制御＿標的１＿詳細２＿結果）
より正確には、次の間で区別が行われる。
認証＿情報、
権利＿情報、
システム＿情報。
【０１１２】
例えば、次のメッセージ、
承認されなかった認証方法
に対応して、オペレーティング・システム方法が「認証」意図について有効にされなかったことを表示する制御情報は、次のようにモデル化され、
【０１１３】
【表１】
2010515989.tif 000003
次のメッセージ、
ネットスクリーン：セッションのタイムアウト
受信された証明書の期限切れ
制限時間のダイヤルイン・アクセス
に対応して、認証サービス・アカウントが「認証」意図について期限切れであることを表示する閾値情報は、次のようにモデル化され得る。
【０１１４】
【表２】
2010515989.tif 000004
【０１１５】
脆弱性
脆弱性を記述するメッセージは、次の形式で表示される。
（意図＿脆弱性＿動向＿標的１＿詳細２＿検出）
【０１１６】
ここで、脆弱性スキャナとして知られる少なくとも１つの特定の情報源によって取得されるＩＳ脆弱性（以下、脆弱性活動４００３で表される）をモデル化することが問題となる。
もっと正確には、次の間で区別が行われる。
認証＿脆弱性で表される認証システム脆弱性に関する情報、
権利＿脆弱性で表される承認システム脆弱性に関する情報、
システム＿脆弱性で表されるシステム脆弱性に関する情報。
【０１１７】
ＩＳに関して、脆弱性の評価は直接的である。というのは、それは脆弱性ツールによって遂行されるからである。即ち、脆弱性が存在して悪用を許したか許さなかったことであり、又は脆弱性が存在しないことである。唯一の対応する状態は、「検出されたか検出されなかった」ことである。この意味で、脆弱性評価は攻撃評価に近く、「結果」フィールドについて「検出」値を仮定する（今後は７００３及び７００４として参照される）。
【０１１８】
特定の発明的実施形態に従った動向
ＩＳにおいて、情報源によって観察される動向は多すぎる（際限がない）。動向はあるときには密接に関係し、類似しているので検出するのに困難である。１つの同じメッセージが複数の動向を備えるかもしれない。返却されたメッセージがユーザ・ログインの失敗を記述する次の例では、２つの行動が表出される。即ち、ユーザ名の非整合及びアクセスの拒否である。
「ユーザ名は無効であり、認証要求は拒否される」
【０１１９】
ＥｘａＰｒｏｔｅｃｔモデル化において、動向は、意図を充足するために使用される手段として定義される。動向は、行動の「想定される」張本人に関係づけられる。動向は、標的を目標とし、意図によって案内される。ＥｘａＰｒｏｔｅｃｔモデル化は、動向について意味論規則を決定するため、これらの定義を動向の概念へ適応させる。
【０１２０】
「動向」コンセプトの意味論規則
特定の発明的実施形態に従って監視デバイスの関心事となる動向は、ＩＳの異なるコンポーネントにアクセスする動作の間に利得又は失敗を確保する動向に関わる。
【０１２１】
上記の例において、監視システムの関心事となるのは、「認証」意図に従ったＩＳへのアクセス拒否であり、拒否の理由ではない。
【０１２２】
規則４：全ての動向は、１）入力／出力によるアクセス、２）修正（追加、削除、更新による）、又は３）リソースを利用可能にすること（サービスのスタートアップなど）の目的又は意図を有する攻撃者、ユーザ、又は管理者によって採用される全ての手段を表現する。
【０１２３】
動向の言語学規則
動向コンセプトの統語論は、Ｅｘａモデルの第３のフィールドを使用する。
（意図＿活動タイプ＿動向＿標的１＿詳細２＿結果）
【０１２４】
ＥｘａＰｒｏｔｅｃｔモデル化は、関連動向であるとして利得を引き起こす異なるＩＳメカニズムにアクセスする動向を採用した。前記動向は正常又は異常であり、下記で説明される規則に従って合併整理される。
【０１２５】
エージェントの正常活動
次の意図について、ＩＳ上で正常活動を有するエージェントの入力／出力動向：
ＩＳ上の認証。内向き動向、例えば、（ログイン）、又は外向き動向、例えば、切り離し（ログアウト）、アカウント・ロッキング（ロック）、
入力リソースへのアクセス（利得、読み出し）、
システム機能へのアクセス：内向き動向（読み出し、利得、受信、接続）又は外向き動向（送信、転送）。
次の意図について、ＩＳ上で正常活動を有するエージェントによって遂行される「利用可能性」動向：
ＩＳ上の認証、例えば、（バックアップ、回復、ロック、アンロック）の手順によるアカウントの利用可能性、
（バックアップ、回復、制御）の動作によるＩＳリソース、例えば、ファイル、ディレクトリなどの利用可能性へのアクセス、
システム機能、例えば、サービスの利用可能性、アプリケーション、コンポーネント、又はプロセス（バックアップ、回復、実行、スタートアップ、終了、リスタート、停止、ダウン、制御）へのアクセス。
次の意図について、ＩＳ上で正常な構成活動を有するエージェントによって遂行される修正動向：
ＩＳへのアクセス、例えば、アカウント修正（追加、削除、修正）、
リソースへのアクセス、例えば、特権修正など（追加、削除、修正）、又はファイルの追加（書き込み、削除）、又は
システム機能へのアクセス、例えば、構成ファイルの修正など（書き込み、削除）又は追加（追加、修正、削除）。
【０１２６】
エージェントの異常活動
ＩＳ、リソース、又はシステム機能のいずれかにアクセスする意図に関して、ＩＳ上で異常活動を有するエージェントによる入力／出力動向、例えば、次のような動向、
内向き（暴力、裏口、バイパス、回避、利得、ハイジャック、情報漏洩、情報蒐集、フィッシング、侵害、成り済まし）など、
攻撃行動（隠匿、窃盗、情報漏洩）又は破壊工作（スパイウェア、トロージャン）による外向き。
ＩＳ、リソース、又はシステム機能のいずれかにアクセスする意図に関して、異常活動を有するエージェントによる修正動向、例えば、特権修正など、入力（注入）、又は破壊工作（スパイウェア）、
どのような意図（ｄｏｓ、オーバーフロー、スパム）であれ、ＩＳ上で異常活動を有するエージェントによって遂行される「利用可能性」動向。
【０１２７】
例えば、ＳＳＨサービスの管理者アカウントへログオンする動向は、次のメッセージ
ＳＳＨリモート・ルート・ログイン
ユーザａｄｍｉｎログインはＳＳＨから成功
に対応する「認証によるアクセス」意図に関して成功し、次のようにモデル化され得る。
【０１２８】
【表３】
2010515989.tif 000005
【０１２９】
次のメッセージ：
ユーザはグループから除去され得ない
構成員はローカル・グループへ追加又は除去され得なかった
に対応する「承認による修正」意図に関して失敗したグループ構成を修正する動向は、次のようにモデル化され得る。
【０１３０】
【表４】
2010515989.tif 000006
【０１３１】
特定の発明的実施形態に従った利得
図２は、動向２００３、意図２００１、標的２００２、及び活動タイプ２００６に従って、メッセージが行動からの結果又は利得（又は結果２００５）を表出することを示す。ＩＳ上の行動の成功又は失敗はある一定の条件に依存する。もしこれらの条件がＩＳ又はＩＳリソースへのアクセスを管理する規則に準拠しなければ、又はもし蒐集された情報が環境情報に準拠しなければ、行動は失敗であるか反対事象、即ち、成功である。
【０１３２】
「利得」コンセプトの意味論規則
現在のオントロジにおいて、「利得」コンセプトは、次の３つの主なカテゴリに従ってエージェントの前進を評価する。
エージェント（これが何であれ）：エージェントは行動を介して標的へ向かって前進した：成功もしエージェントが本発明の用語のもとで攻撃者であるならば：検出。
エージェント（これが何であれ）は、アクセス・メカニズム（認証、特権、又はシステム機能）の拒否のために標的へ向かって前進することを許されなかった：失敗又は拒否。
エージェント（これが何であれ）は、エージェントの行動の誤りを完了するために使用しているシステムの誤動作のために、行動を介して標的の方へ前進しなかった。
【０１３３】
行動の成功又は失敗は、観察者にも依存する。監視システムの観点からは、成功した攻撃が検出されるが、攻撃者については、それは攻撃計画内の成功ステップを表現する。もし管理者の前進が成功するか、ユーザによる前進がユーザの目的を満たしたならば、正常行動は利得であるかもしれない。同様に、ユーザについては、各ユーザはリソースに関して利得の確保を意図し、各動向はこの意図で完了される。最後に、システムの観点からは、システムの利用可能性を成功裏に維持することは、成功を組成する。例えば、サービスのスタートアップは、システムの利用可能性利得を組成し、ユーザ認証はユーザのアクセス利得を組成し、攻撃検出はシステムの「検出」利得を組成する。
【０１３４】
規則５：前進行動：計画内の各ステップにおいて、結果は、指定された標的へ向かうエージェントの前進を評価するための利得（成功又は失敗）である。
【０１３５】
規則５ａ：システム状態：結果は標的の量的又は質的評価を表出する。質的結果は整合を表出するが量的結果は閾値超過を表出する。
【０１３６】
規則５ｂ：脆弱性：結果は脆弱性スキャナによって遂行される制御であり、スキャナの結果メッセージは脆弱性の検出を表出する。
【０１３７】
「利得」コンセプトの言語学規則
「結果」コンセプトの統語論は、Ｅｘａモデルにおける最後のフィールドを使用する。
（意図＿活動タイプ＿動向＿標的１＿詳細２＿結果）
【０１３８】
正常、異常、又は状態動向に対応する意図に関して、利得の間で区別が行われ得る。
【０１３９】
正常
これらは、ＩＳの構成に影響しないかＩＳの構成に影響する少なくとも１つの行動に関係する動向に対応する意図である（参照番号７００１及び７００２）。
成功（以下、成功利得として表される）
失敗（以下、失敗利得として表される）
拒否（以下、拒否利得として表される）
誤り（以下、誤り利得として表される）
【０１４０】
異常
これらは、少なくとも１つの攻撃、ＩＳを損傷する目的で開発された少なくとも１つの悪意のソフトウェア、ＩＳの少なくとも１つの脆弱性、又はＩＳの少なくとも１つの行動検出プローブによって検出された少なくとも１つの疑惑的行動に関係する動向に対応する意図である。前記の場合における利得は、成功として表出されない。というのは、意味論的に、攻撃の成功は、情報源によって攻撃を検出されない攻撃達成を表現するからである。結果として、「検出」の用語が使用される（７００３及び７００４として参照される）。
【０１４１】
状態
これらは、ＩＳの観察された状態を反映する動向に対応する意図である。その利得は、
１．ＩＳの少なくとも１つの標的の少なくとも１つの行動を反映する少なくとも１つの動向に対応する意図に関して、標的の行動を制御する情報に関係し、次のものを備える。
少なくとも１つの制御に後続する有効状態（以下、有効と呼ばれる）、
少なくとも１つの制御に後続する無効状態（以下、無効と呼ばれる）、
少なくとも１つの制御に後続する少なくとも１つの標的に関する通知（以下、通知と呼ばれる）。
２．ＩＳの少なくとも１つの標的の上の少なくとも１つの閾値の少なくとも１つの使用を反映する少なくとも１つの動向に対応する意図の標的に関して閾値の使用を制御する情報に関係し、次のものを備える。
少なくとも１つの時間閾値の超過（以下、期限切れと呼ばれる）、
時間に関係しない少なくとも１つの閾値の超過（以下、超過と呼ばれる）、
少なくとも１つの閾値の低い使用（以下、低と呼ばれる）、閾値は権利に関する限度であるかユーザ特権の欠乏を表出してよい。
少なくとも１つの閾値の正常な使用（以下、正常と呼ばれる）、
少なくとも１つの閾値の高い使用（以下、高と呼ばれる）。
【０１４２】
特定の発明的実施形態に従った標的
全てのシステム・リソースは標的を表現する。標的は、ＩＳの資産を表現する論理エンティティ−ユーザ、データ、プロセス、プロトコル  −  であるか、物理エンティティ−コンポーネント、機器、相互接続などである。
【０１４３】
「標的」コンセプトの意味論規則
監視システムの際立った特質は、それが、行動の目的が達成される場合に標的に関して潜在的に生成される全ての危険行動を評価することである。したがって、標的は行動の核心にある。このようにして、標的の認識は、標準化事象によって伝達される意図に従って全ての標的値が変動するリスク・モデルに近い。更に、監視システムによって観察される現実行動は、ＩＳプレイヤーと資産との相互作用の結果である。
【０１４４】
これが、標的の発明者らのモデル化が、４つの「意図」成文の１つ又は他のものに依存する理由である。監視はエージェント及び資産を相互作用の中に置く。この相互作用は、しばしば、（標的タイプ、標的詳細）で表される（プレイヤー、資産）の対によって表出される。
【０１４５】
「標的」コンセプトの言語学規則
１．認証意図が伴われる場合、（標的タイプ、標的詳細）の対の標的タイプ及び標的詳細の要素は、それぞれ認証メカニズム及びＩＳへログインしているアカウントを表現する認証されたエンティティに関係する。
２．権利意図が伴われる場合、（標的タイプ、標的詳細）の対は、それぞれリソース所有者及びアクセスするために権利が使用されたリソースに関係する。
３．システム又は情報＿蒐集意図が伴われる場合、対はそれぞれシステム・コンポーネント及び該システム・コンポーネントの属性に関係する。例えば、ＣＰＵがホスト属性である場合の２つの物理コンポーネント（ホスト、ＣＰＵ）、又はＵＲＬがウェブ属性である場合の２つの論理コンポーネント（ウェブ、ＵＲＬ）である。
【０１４６】
結論
オントロジ・コンセプトは行動理論を介して検索されてきた。しかしながら、それらのコンセプトを有効にするためには、エキスパート知識の上に建てられた従来のアプローチが、第１の行動理論結果と比較するために使用された。したがって、標準「ＩＳＯ／ＩＥＣ  １５４０８  情報技術−セキュリティ手法」〜「ＩＤセキュリティの評価規準」及び「共通規準」が使用され、モデル化を合併整理した。
【０１４７】
特定の発明的実施形態に従ったオントロジは、異種情報源からの２０１８２のメッセージから成るコーパスで検証された。このようにして、アナリストのために意図されたメッセージの数は、２０１８２から１７３４へ低減され得る（標的が含まれる）。
【０１４８】
このオントロジは、ネットワーク侵入検出の脈絡で適用され得る。というのは、このオントロジは、異なる情報源と、自動プログラムによるメッセージ意味論の自動処理との間の、相互運用性を許すからである。したがって、侵入検出は、意図及び動向を監視するため情報源の間をネットワーキングする場合に効率的である。
【０１４９】
モデル化の例
ここに、標準化によって提案された一般公式の幾つかの例がある。
サービスの拒否が、認証攻撃に関して検出された：
認証＿攻撃＿ＤＯＳ＿サービス＿検出
認証サービス・ユーザのログインが、認証活動に関して成功した：
認証＿活動＿ログイン＿サービス＿ユーザ＿成功
認証サービスのユーザ・アカウントのアドオンが、認証構成活動に関して成功した：
認証＿構成＿追加＿サービス＿ユーザ＿成功
プロトコル・パケットが、システム活動について成功裏に受信された：
システム＿活動＿受信＿プロトコル＿パケット＿成功
プロトコル・パケットの受信が、システム活動に関して拒否された：
システム＿活動＿受信＿プロトコル＿パケット＿拒否
ｈｔｔｐサービス・コードの注入が、システム攻撃に関して検出された：
システム＿攻撃＿コード注入＿サービス＿検出
【０１５０】
特定の発明的実施形態に従った変換
ここで、変換について説明する。変換は、変換手段８００２によって、任意の情報源（又は検出プローブ）によって送信された疑似自然言語の語句（メッセージ、生事象、又は生ログとして普通に知られる）を備えるメッセージ８００１を参照事象カテゴリ８００３（これは標準化語句である）と比較して標準化事象へ分解、比較、及び生成する（図７及び図９で示される）前述したステップを含む。変換プロセスが、メッセージ（又は生事象）の最初の意味、言い換えれば、モデル化している行動を尊重及び保持することが追加的に重要である。
【０１５１】
前述したモデル化に基づく分解ステップは、特定の発明的実施形態に従って、先に見たように、下記の第１、第２、第３、第４、第５、第６、及び第７のメッセージから第１、第２、第３、第４、第５、第６、及び第７の分解メッセージ（例えば、図５Ａ又は図５Ｂの表に示されるメッセージ）を取得することを可能にする。
ａ）Ｓｏｌａｒｉｓオペレーティング・システム内の情報源のＳＹＳＬＯＧ監査ログに収集された第１のメッセージ：
ＳＵ：コマンド成功
ｂ）ＡＩＸオペレーティング・システム内の情報源の監査ログに収集された第２のメッセージ：
Ｒｓｈｄ：ルート・ログイン成功
ｃ）ネットワーク機器タイプ（スイッチ、ルータなど）の情報源の監査ログに収集された第３のメッセージ：
Ａｄｍｉｎ：ログイン
ｄ）セキュリティ機器タイプ（ファイヤウォール、ＩＤＳなど）の情報源の監査ログに収集された第４、第５、第６、及び第７のメッセージ：
ユーザａｄｍｉｎのログインはＧＵＩから成功
ルート・ログイン
Ａｄｍｉｎ接続
ＳＭＢ：管理者ログオン成功  ０ｘ  ４０７０５ａ００
【０１５２】
セキュリティ・エキスパートの仕事は、メッセージ（又は生ログ）を分解して（これは変換プロセスの一部分である）、異なる成分（意図、動向、標的タイプ、標的詳細、及び利得）によって特徴づけられる分解メッセージを取得することを備える。エキスパートは成分のために次の値を取得する。
意図  ＝  認証、
動向  ＝  認証＿活動＿ログイン、
標的タイプ  ＝  認証＿活動＿ログインに関して定義された認証サービスのリストから選択、
標的詳細  ＝  認証＿活動＿ログインに関して定義されたユーザのリストから選択、
利得  ＝  結果リスト：失敗／成功から選択。
【０１５３】
セキュリティ・エキスパートは変換ツールを使用して、生メッセージを分解メッセージに対応させる。意味論分解は、前述したモデル規則が適用され得ることを意味し、統語論分解は一般ＥｘａＰｒｏｔｅｃｔモデルを適用し、語彙分解はＥｘａＰｒｏｔｅｃｔ語彙の中の対応する用語を適用する。
【０１５４】
このようにして、変換プロセスは第１、第２、第３、第４、第５、第６、及び最後の分解メッセージを参照事象カテゴリと比較するステップを備え、これに続いて第１、第２、第３、及び第４の標準化事象が生成される。
【０１５５】
特定の発明的実施形態に従った分解ステップ
セキュリティ・エキスパートは、メッセージ内の５つのコンセプトの意味論又は／及び統語論又は／及び語彙の値を探索する。パターン１１０００は、メッセージ（分解されるべき）１１００１を分解するためセキュリティ・エキスパートによって採用される手順を記述する。エキスパートは、選択するように３つの認識プロセスの１つで働く。この推論は言語学ツールによって支援され、探索の全て又は一部分を容易にする。
【０１５６】
研究は、この後で、動向認識が重要であることを究明する。動向は高順位のコンセプトである。
【０１５７】
動向、高順位のコンセプト
下記の表は、「動向」コンセプトが高順位のコンセプトであることを示す。というのは、「動向」コンセプトの知識は、エキスパートが他のコンセプトを（暗黙）推定することを許すからである。特定の発明的実施形態に従った変換の脈絡において、動向の検出は変換である。反対の事象において、エキスパートによって採用された手順は、図面で詳細に示される前の意味論質疑をたどることによって他のコンセプトの１つを検出することである（１１００２）。
【０１５８】
下記の表は、メッセージの５つの事例を示す。それらのメッセージについて、エキスパートは幾つかの成分（動向、意図、標的タイプ、標的詳細、及び利得）の値の知識を成功裏に有し、それらのメッセージについて、特定の発明的実施形態に従って分解を達成することが可能であるか不可能である。
【０１５９】
第１のメッセージ（第１の行に対応する）の場合、エキスパートは動向を即時に検出し、次いで標的詳細を検出し、次いで利得を検出する。意図及び標的タイプの認識は暗黙的であり、これは対応するメッセージが分解され得ることを意味する。
【０１６０】
第２、第３、及び第４のメッセージ（それぞれ第２、第３、及び第４の行に対応する）の場合、エキスパートは動向を検出しない。これはエキスパートが前記メッセージを分解できないことを意味する。第５のメッセージ（第５の行に対応する）の場合、エキスパートは前述した成分の中の複数の値を検出する。これらの曖昧さは、対応するメッセージの分解を許さない。
【０１６１】
エキスパートが動向及び／又は意図を認識するならば、
エキスパートは標的を認識するだろうか？
エキスパートは利得を認識するだろうか？
変換は可能であるか？
【０１６２】
【表５】
2010515989.tif 000007
【０１６３】
規則を介して、及び特定の発明的実施形態に従ったモデル化によって、エキスパートは彼が読み取っているメッセージの中に存在する他の成分（意図、活動タイプ、動向、標的タイプ、標的詳細、及び利得）を検出するように指導され、適切であれば、それらの成分に対応する参照事象カテゴリを可能な限り同定するように指導される。
【０１６４】
標的の対、高順位コンセプト
幾つかのメッセージの場合、標的の知識は意図の値を暗黙的に与える。これは論理的である。というのは、幾つかの標的は幾つかの意図とのみ両立するからである。次の事例が挙げられる。
【０１６５】
「ユーザ・アカウント」標的は「認証」意図に関係する（というのは、「認証」意図とのみ接触するからである）。これは、技術的な観点から、「認証」意図に関係する認証メカニズムが、常にユーザ・アカウントを要求して動作することから解明され得る。
【０１６６】
「グループ」標的は「権利」意図に関係する。これは、技術的な観点から、承認メカニズムが、ユーザ・グループを取り扱う唯一のメカニズムであることから解明される。
【０１６７】
「メモリ」標的は「システム」に関係する。これは、技術的観点から、システム・メカニズムが、ＩＳの物理コンポーネントを取り扱う唯一のメカニズムであることから解明される。
【０１６８】
低順位コンセプトを処理する
特定の発明的実施形態に従った変換プロセスにおいて、動向の取得は必ずしも可能又は正確ではなく、エキスパートは他の「入力点」を使用してメッセージ意味論を検索しなければならない。例えば、動向の同定における問題の場合、エキスパートは意図、標的、又は利得を検索してよい。
【０１６９】
例えば、「匿名」標的を含む１２のメッセージから、１００％が「認証」意図を含み、「メモリ」標的を含む２８のメッセージから、１００％が「システム」意図を含み（及び情報又は攻撃に対応する）、「グループ」標的を含む４０のメッセージから、１００％が「権利」意図を含み、「ユーザ」標的を含む１３５のメッセージから、７７％が「認証」意図を含む。
【０１７０】
次の間で区別を行うことができる。
意図、活動タイプ、又は動向の定義を許す標的、
複数の選択を許す標的、
意図又は動向に関して意味論を欠いている標的。
【０１７１】
特定の発明的実施形態に従ってメッセージを分解するため意味論、統語論、及び言語学規則を適用する
下記の推論は、メッセージ分解要求によって初期化される。分解ステップの各々は、各ステップの実行順序とは独立して着手されてよい。エキスパートは意味論探索（図９の１０００２で参照される）、語彙探索（１０００３で参照される）、又は統語論探索（１０００４で参照される）に着手する。
１．エキスパートは５つのコンセプトを認識する。即ち、意図、活動、動向、及び標的である。
１ａ．エキスパートは語彙探索によって、５つのコンセプトの１つに対応する用語を同定する。
１ｂ．エキスパートはＥｘａモデルの一般統語論を適用する。
２．エキスパートは１つだけの高順位コンセプトを認識する。
２ａ．エキスパートは他のコンセプトを推定する。
２ｂ．エキスパートは１．ａに基づいてステップを取る。
３．エキスパートは４つのコンセプト、即ち、意図、活動、標的、結果の少なくとも１つを認識する。
３ａ．エキスパートは高順位コンセプトを所有しない。
３ｂ．エキスパートは、５つのコンセプトの１つを検出するようにエキスパートを助ける語彙探索を使用する。
３ｃ．エキスパートは高順位コンセプトを検出する。
３ｄ．エキスパートは２に基づいてステップを取り、次いで１に基づいてステップを取る。
４．エキスパートは５つのコンセプト、即ち、意図、活動、動向、標的、結果のいずれも認識しない。
４ａ．エキスパートは高順位コンセプトを所有しない。
４ｂ．エキスパートは、５つのコンセプトの１つを検出するようにエキスパートを助ける語彙探索を使用することはできない。
４ｃ．エキスパートは、メッセージがステップであるか、状態であるか、脆弱性であるかを定義する。
４ｄ．エキスパートはステップ・コンセプトを検出する。
４ｄ．ｉ）エキスパートは、統語論形式（ステップ・メッセージへ適応された一般語句）に従って生メッセージを分解する。
４ｄ．ｉｉ）エキスパートは、語句内の用語の位置に従って、現在高順位コンセプトとなる関連づけられたコンセプトを検出する。
４ｄ．ｉｉｉ）エキスパートは、例えば、高順位「動向」コンセプトを検出する。
４ｄ．ｉｖ）エキスパートは意味論規則によって意味論を定義する。
４ｄ．ｉｖ−（１）それはＩＳにアクセスする動向であるか、
４ｄ．ｉｖ−（２）修正動向などであるか？
４ｄ．ｉｖ−（３）それはＩＳの重要機能にアクセスする動向であるか？
４ｄ．ｉｖ−（４）それは認証又は権利又はシステム意図であるか？
４ｄ．ｉｖ−（５）エキスパートは１．ａに基づいてステップを取る。
４ｄ．ｖ）エキスパートは、例えば、「意図」コンセプトを検出する。
４ｄ．ｖｉ）エキスパートは意味論規則を介して意味論を定義する。それはアクセス意図であるか。
４ｄ．ｖｉ（１）認証メカニズムによるか？
４ｄ．ｖｉ（２）特権メカニズムによるか？
４ｄ．ｖｉ（３）システム・メカニズムによるか？
４ｄ．ｖｉ（４）エキスパートは、他のコンセプトのために、２に基づいて、次いで３に基づいて、次いで４及び１．ａに基づいてステップを取る。
４ｄ．ｖｉｉ）エキスパートは、例えば、「活動」コンセプトを検出する。
４ｄ．ｖｉｉｉ）エキスパートは、意味論規則を介して意味論を定義する。それは正常又は異常又は疑惑的行動であるか。
４ｄ．ｖｉｉｉ（１）エキスパートは異常又は疑惑的活動を検出する。
４ｄ．ｖｉｉｉ（２）エキスパートは、ステップ１．ａへ戻ることによって、攻撃又は破壊工作又は疑惑の意味論を定義する。
４ｄ．ｖｉｉｉ（３）それは認証又は権利又はシステム意図であるか？
４ｄ．ｖｉｉｉ（４）エキスパートは、標的コンセプトのために４に基づいて、次いで１．ａに基づいてステップを取る。
４ｅ．エキスパートは状態活動コンセプトを検出する。
４ｅ．ｉ）エキスパートは統語論形式（状態メッセージに適した一般語句）に従って生メッセージを分解する。
４ｅ．ｉｉ）エキスパートは状態活動の意味論を定義する。
４ｅ．ｉｉ（１）それは質的データか？
４ｅ．ｉｉ−１−（ａ）それは認証又は権利又はシステム意図か？
４ｅ．ｉｉ−１−（ｂ）エキスパートは１．ａに基づいてステップを取る。
４ｅ．ｉｉ−１−（ｃ）エキスパートは、標的コンセプトのために４に基づいて、次いで１．ａに基づいてステップを取る。
４ｅ．ｉｉ（２）それは量的データであるか？
４ｅ．ｉｉ−２−（ａ）それは認証又は権利又はシステム意図であるか？
４ｅ．ｉｉ−２−（ｂ）エキスパートは１．ａに基づいてステップを取る。
４ｅ．ｉｉ−２−（ｃ）エキスパートは、標的コンセプトのために、４に基づいて、次いで１．ａに基づいてステップを取る。
４−ｆエキスパートは脆弱性活動コンセプトを検出する。
４ｆ．ｉ）エキスパートは統語論形式（脆弱性メッセージに適した一般語句）に従って生メッセージを分解する。
４ｆ．ｉｉ）エキスパートは脆弱性意味論を定義する。
４ｆ．ｉｉ−（１）それは認証又は権利又はシステム意図の脆弱性であるか？
４ｆ．ｉｉ−（２）エキスパートは、標的コンセプトのために４に基づいて、次いで１．ａに基づいてステップを取る。
４．ｇエキスパートは１．ａに基づいてステップを取る。
５．エキスパートは５つのコンセプト、即ち、意図、活動、動向、標的、結果の１つだけ、又はそれよりも多くを認識する。
５ａ．エキスパートは高順位コンセプトを所有しない。
５ｂ．エキスパートは、５つのコンセプトの１つを検出するようにエキスパートを助ける語彙探索を使用できない。
５ｃ．エキスパートは、メッセージがステップであるか、状態であるか、脆弱性であるかを定義できない。
５ｄ．エキスパートは、統語論形式（状態又はステップのメッセージに適した一般語句）に従って生メッセージを分解できない。
５ｅ．エキスパートは、コンセプトを語句内の用語の位置に関連づけることができない。
５ｆ．エキスパートはエキスパート知識データベース探査して、５つのコンセプトの１つを決定する。
５ｇ．エキスパートは、各コンセプトのために２、３、４、５に基づいてステップを取り、次いで他のコンセプトのために１．ａに基づいてステップを取る。
６．エキスパートはメッセージを標準化できない。
【０１７２】
「動向」コンセプトからメッセージを分解する
図８との関係では、本発明の特定の実施形態に従った第１の例に従って、メッセージ９００１を分解メッセージ９００５へ明示的に分解する（又は意味論を検索する）アルゴリズムの主なステップが示されている。
【０１７３】
メッセージ９００１は、「ユーザａｄｍｉｎはＳＳＨから成功裏にログイン」である。
【０１７４】
例えば、第１のステップ９００２において、セキュリティ・エキスパートは、このメッセージによって表出された動向を検索する。例えば、メッセージ９００１はログイン動向がモデル化されることを明白に許す。同様に、第２のステップ９００３で利得（「成功」）を検索し、第３のステップ９００４でこのメッセージ９００１の「ａｄｍｉｎ」及び「ＳＳＨ」標的を検索することは容易である。このようにして、メッセージ９００１の意味を検索することは、メッセージ９００１、即ち、「ユーザａｄｍｉｎはＳＳＨから成功裏にログイン」が、次の形式を取る分解メッセージ９００５へ分解されることを許す。
【０１７５】
【表６】
2010515989.tif 000008
【０１７６】
特定の発明的実施形態に従った比較及び生成ステップ
前述した定義ステップ１７４６で一度参照事象カテゴリが作り上げられると、例えば１７４６のそのようなカテゴリが、（カテゴリの各々に関して意図、動向、活動、標的、及び利得の値の集合を定義することによって）本発明の発明者らによる発明的オントロジ又は「ワークフロー」から作り上げられている。
【０１７７】
このようにして、（生事象の）メッセージは、現在の特定の発明的実施形態に従った変換プロセスによって一度分解メッセージへ分解されると、
（１７４６の）所与の参照事象カテゴリの１つに対応し、次いで好ましくは、所与の参照事象カテゴリが第１のデータベース（第１の記憶手段）の中にまだ存在しないことの検証が行われる。肯定検証の場合、この所与のカテゴリは第１のデータベースの中に記憶される。
（１７４６のカテゴリの）どのような参照事象カテゴリに対応せず、次いで好ましくは、分解されたメッセージは第２のデータベース（第２の記憶手段）の中に記憶される。
【０１７８】
特定の発明的実施形態に従った知識解釈及び表現
セキュリティ・アナリストは、先ず第１にメッセージを理解しなければならず、次いで処理規則（標準化、集約、相関）をアナリストに創出させる知識を獲得しなければならない。このようにして、セキュリティ・アナリストの作業に対して２つの局面、即ち、メッセージ解析と、標準化、集約、又は相関シナリオの創出とが存在する。
【０１７９】
標準化のグラフ表現
モデル化された行動の総合展望を提供するため、発明者らは５つのコンセプト及びそれらの事例をチャート形式（図１０で示される）で提示し、可能な行動の異なる組み合わせを記述した。前進（プロフィール・ステップ）の概念を表出するため、発明者らはチャートを３つの同心区域として構築し、標的から最も遠い行動、例えば、「認証」（１１００１として参照される）は薄緑区域にあり、「システム」ＩＳの重要機能にアクセスする行動（１１００３で参照される）は薄赤区域にあり、「権利」リソースにアクセスする行動（１１００２で参照される）は橙色区域にあるようにする。活動タイプはグラフ部分によって表出され、「濃緑色」は正常活動を表現し（１１００５として参照される）、「えんじ」は変態のためであり（１１００４で参照される）、及び「透明部分」は状態情報又は脆弱性を表現する（１１００６として参照される）。
【０１８０】
標準化事象生成段階のグラフ表現
標準化事象は表形式で示され、日付、名前、源及び宛先、並びに生メッセージによって特徴づけられる。生メッセージの名前は、参照事象カテゴリの構造を含む。
【図１】
2010515989.tif 000009
【図２】
2010515989.tif 000010
2010515989.tif 000011
【図３】
2010515989.tif 000012
【図４】
2010515989.tif 000013
【図５Ａ】
2010515989.tif 000014
【図５Ｂ】
2010515989.tif 000015
【図６】
2010515989.tif 000016
【図７】
2010515989.tif 000017
【図８】
2010515989.tif 000018
【図９】
2010515989.tif 000019
【図１０】
2010515989.tif 000020
【国際調査報告】
2010515989.tif 000021
2010515989.tif 000022
2010515989.tif 000023
2010515989.tif 000024
2010515989.tif 000025
2010515989.tif 000026