(57)【要約】ターゲット対象（デバイス、トランザクション、サービス、ユーザ、組織）を有する、機器化されたネットワーク、機械、およびプラットフォームが開示される。セキュリティオーケストレーションサービスは、近リアルタイムで、機器化されたターゲットプラットフォーム上の対象（モバイルデバイスを含む）およびアプリケーションの脅威または文脈信頼性のレベルを表して識別する、ランタイム動作整合性プロファイルを生成する。対象評判スコアに基づく、モバイルデバイス整合性の動的証明のための方法およびシステムが開示される。実施形態では、方法は、デバイスと関連付けられるユーザの評判スコアおよび／またはデバイス評判スコアに基づいて、モバイルデバイスの信頼性を採点する。
2015519652.tif 000002
【特許請求の範囲】
【請求項１】
終点信頼エージェントおよび信頼オーケストレータを使用して、モバイルデバイスのランタイム動作整合性をモバイルサービスプロバイダに提供するための方法であって、前記方法は、
前記終点信頼エージェントによって、前記モバイルデバイス上で現在実行しているアプリケーションの実行異常に関する１つ以上のランタイム整合性アラートを生成することと、
前記終点信頼エージェントによって、所定のルールセットに基づいてリスクを計算することと、
少なくとも前記整合性アラートおよび識別されたリスクに基づいて、前記モバイルデバイスにとってのリスクの計算を判定することと、
前記終点信頼エージェントによって、ランタイム整合性警告のデータおよびコンテンツを備える、複数の終点事象を前記信頼オーケストレータに送信することと、
前記信頼オーケストレータによって、前記受信した終点事象に基づいて整合性プロファイルを生成することと
を含む、方法。
【請求項２】
前記信頼オーケストレータによって、終点実行状態査定に基づくシステム警告を、
ネットワーク信頼エージェントと、
モバイルポリシーマネージャと、
モバイルデバイスマネージャと
に送信することをさらに含み、
前記実行状態査定は、前記モバイルデバイス上で現在実行している前記１つ以上のアプリケーションの脅威姿勢を含む、請求項１に記載の方法。
【請求項３】
前記信頼オーケストレータによって、
前記リスクの計算に基づいて生成されるシステム整合性プロファイルと、
複数の協調サービスからの終点査定レポートの中の正規化および照合に基づいて生成される時間的事象と、
ネットワーク分析器から受信されるシステム感染プロファイルと
を処理して相関させることをさらに含む、請求項１に記載の方法。
【請求項４】
前記ネットワーク分析器は、前記モバイルサービスプロバイダによって管理されるネットワークと関連付けられる、請求項３に記載の方法。
【請求項５】
前記モバイルサービスプロバイダによって管理されるネットワークと関連付けられる、ネットワーク信頼エージェントをさらに備える、請求項１に記載の方法。
【請求項６】
前記ネットワーク信頼エージェントによって、モバイル終点の前記受信した実行状態に基づいてフロー制御を適用するように、メッセージまたは指令をネットワークセキュリティフレームワークおよび／または無線アクセスポイントに送信することをさらに含む、請求項１に記載の方法。
【請求項７】
前記モバイルポリシーマネージャによって、モバイル終点の前記受信した実行状態に基づいて制御を適用するように、メッセージまたは指令を前記モバイルデバイスマネージャに送信することをさらに含む、請求項２に記載の方法。
【請求項８】
前記モバイルデバイスマネージャによって、特定の特徴制御を起動または動作停止するように、メッセージまたは指令を終点エージェントに送信することをさらに含む、請求項２に記載の方法。
【請求項９】
前記信頼オーケストレータによって、前記モバイルデバイス上に特定の制御を適用するように、メッセージまたは指令を前記終点信頼エージェントに送信することをさらに含む、請求項１に記載の方法。
【請求項１０】
前記モバイルデバイスへの非同期プッシュ通知、
前記モバイルデバイスに送信されるテキストアラートメッセージ、
Ｅメールアラートメッセージ、および
前記モバイルデバイスからのサービスとのトランザクションの開始中の警告メッセージ
のうちの少なくとも１つとして、感染した、または損なわれたモバイルデバイスの状態をユーザに通知することをさらに含む、請求項１に記載の方法。
【請求項１１】
前記リスクの計算は、ネットワークおよび終点センサからの複数のセンサ入力を使用した、前記モバイルデバイスに対する相関モバイルネットワークアクティビティ、システム構成、リソース利用、およびモバイルアプリケーション整合性の終点査定に基づき、
前記終点査定は、
前記モバイルネットワークに対するネットワークセキュリティスキャンレポート、
前記モバイルデバイスのネットワークアドレスまたは地理的位置による分類のために、複数の受信したレポートを解析すること、
前記モバイルデバイス上で現在実行している前記アプリケーションのアプリケーションコンテキストを評価すること、
前記モバイルデバイスに現在ログインされている、または関連付けられている、ユーザのユーザコンテキストを評価すること、および
前記モバイルデバイス、前記アプリケーション、および／または前記ユーザについて識別される脅威を分類すること
のうちの１つ以上に基づき、
前記ルールセットは、オブジェクト属性のルールリポジトリに記憶され、前記属性は、前記モバイルデバイス、前記アプリケーション、および／または前記ユーザの整合性査定のための制約、サンプルレート、再現、スコア、および加重を含む、請求項１に記載の方法。
【請求項１２】
前記リスクの計算に基づいて、前記モバイルデバイス、前記アプリケーション、および／または前記ユーザの対象評判スコアを生成することと、
前記対象評判スコア、前記モバイルデバイス上にインストールされたアプリケーション、および前記モバイルデバイス上で作動するオペレーティングシステム（ＯＳ）のパッチレベルに基づいて、前記モバイルデバイス、前記アプリケーション、および／または前記ユーザに対する信頼性スコアを生成することと
をさらに含む、請求項１１に記載の方法。
【請求項１３】
前記信頼性スコアはさらに、前記アプリケーションの実行異常および脅威姿勢に基づく、請求項１２に記載の方法。
【請求項１４】
前記モバイルデバイスの１つ以上の特徴または能力は、前記モバイルデバイス、前記アプリケーション、または前記ユーザの信頼性スコアが所定の閾値を下回るという判定に応答して、改善措置として変更される、請求項１２に記載の方法。
【請求項１５】
前記改善措置は、前記モバイルデバイスの１つ以上の特徴または能力を動作停止または起動することを含む、請求項１４に記載の方法。
【請求項１６】
前記モバイルデバイスの前記１つ以上の特徴または能力は、ネットワーキング能力、サービスアクセス特権、リソースアクセス特権、アプリケーション実行特権、および通信能力を含む、請求項１４に記載の方法。
【請求項１７】
前記改善措置は、前記モバイルデバイスの地理的位置に基づく、請求項１４に記載の方法。
【請求項１８】
前記ネットワーク信頼エージェント、前記終点信頼エージェント、および前記信頼オーケストレータは、前記モバイルサービスプロバイダによってアクセス可能なコンピューティングプラットフォーム上で実行するように構成される、請求項１に記載の方法。
【請求項１９】
前記モバイルデバイスは、携帯情報端末（ＰＤＡ）、モバイルオペレーティングシステムを実行するデバイス、スマートフォン、携帯電話、ハンドヘルドコンピュータ、タブレットコンピュータ、電子読取デバイス、ネットブックコンピュータ、パームトップコンピュータ、ラップトップコンピュータ、またはウルトラモバイルＰＣのうちの１つである、請求項１に記載の方法。
【請求項２０】
モバイルコンピューティングデバイス、または前記モバイルコンピューティングデバイス上で実行するアプリケーションの実行異常および脅威姿勢を含む、ランタイム動作整合性をモバイルサービスプロバイダに提供するためのシステムであって、
前記システムは、ネットワーク信頼エージェントと、終点信頼エージェントと、信頼オーケストレータとを含む、コンピューティングプラットフォームを備え、前記コンピューティングプラットフォームは、
前記終点信頼エージェントによって、ルールセットおよびリスクの計算に基づいて、前記アプリケーションの実行異常およびリスクに関するランタイム整合性アラートを生成することと、
前記終点信頼エージェントによって、終点事象としてデータおよびコンテンツに関するランタイム整合性警告を前記信頼オーケストレータに送信することと、
前記信頼オーケストレータによって、データおよびコンテンツに関する前記受信した終点事象に基づいて、前記終点の整合性プロファイルを生成することと、
前記信頼オーケストレータによって、
リスクの計算に基づいて生成されるシステム整合性プロファイル、
複数の協調サービスからの終点査定レポートの中の要素の正規化および照合に基づいて生成される複数の時間的事象、および
ネットワーク分析器から受信されるシステム感染プロファイル
のうちの１つ以上を処理して相関させることと、
前記信頼オーケストレータによって、脅威姿勢査定としての前記モバイルアプリケーションまたはモバイルコンピューティングデバイスの終点実行状態に基づくシステム警告を、
ネットワーク信頼エージェント、
モバイルポリシーマネージャ、および
モバイルデバイスマネージャ
のうちの１つ以上に送信することと、
前記ネットワーク信頼エージェントによって、モバイル終点の前記受信した実行状態に基づいてフロー制御を適用するように、メッセージまたは指令をネットワークセキュリティフレームワークおよび／または無線アクセスポイントに送信することと、
前記モバイルポリシーマネージャによって、モバイル終点の前記受信した実行状態に基づいて制御を適用するように、メッセージまたは指令を前記モバイルデバイスマネージャに送信することと、
前記モバイルデバイスマネージャによって、特定の特徴制御を起動または動作停止するように、メッセージまたは指令を終点エージェントに送信することと、
前記信頼オーケストレータによって、前記モバイルコンピューティングデバイス上に特定の制御を適用するように、メッセージまたは指令を前記終点信頼エージェントに送信することと
を行うように構成される、システム。
【請求項２１】
記憶された命令を有する非一過性のコンピュータ可読媒体であって、前記命令は、証明サーバをホストするコンピューティングデバイスによって実行された場合、クライアントサーバまたはピアツーピアトランザクションを実行する、クライアントモバイルデバイスまたは前記モバイルデバイス上で実行するクライアントアプリケーションの動的証明を提供するための動作を前記コンピューティングデバイスに行わせ、前記動作は、
複数のプレディケートスコアに基づいて時間的および終点事象を相関させることと、
規定属性制約または測定基準からの逸脱に基づいてプレディケートスコアを判定することと、
前記逸脱に反比例するスコアを計算することと、
必要測定頻度を達成するために必要とされるサンプルレートを判定することと、
連続的逸脱の再現を判定することと、
前記属性制約の加重を識別することと、
プレディケートスコアの加重平均として前記アプリケーションまたはデバイスの整合性信頼を判定することと、
複数のクライアントアプリケーションまたはクライアントモバイルデバイスにわたって、範囲外整合性信頼スコアを例外として識別することと
を含む、非一過性のコンピュータ可読媒体。
【請求項２２】
モバイルデバイス、および前記モバイルデバイス上で実行するアプリケーションの実行異常および脅威姿勢を識別することによって、ランタイム動作整合性をモバイルサービスプロバイダに提供するように機器化されるアーキテクチャであって、前記アーキテクチャは、
終点信頼エージェントであって、前記終点信頼エージェントは、
前記アプリケーションのローカル実行コンテキストを観察するように構成される、プロセスモニタと、
前記アプリケーションのネットワークアクティビティを観察するように構成される、ソケットモニタと、
前記アプリケーションによって消費されるシステムおよびプラットフォームリソースを観察するように構成される、リソース利用モジュールモニタと、
ルールセットに基づいて前記モバイルデバイスの動作整合性を査定するように構成される、アプリケーション整合性モジュールと
を含み、
前記モバイルデバイスのためのネイティブマシン機器は、前記モバイルデバイス上のオペレーティングシステム（ＯＳ）によって提供される事象登録、コールバック、通知機構を表し、未処理事象を生成するように構成される、終点信頼エージェントと、
拡張信頼機器と、
ランタイムモニタであって、前記ランタイムモニタは、
前記拡張信頼機器からの前記アプリケーションに対するアプリケーション事象の近リアルタイム非同期通知に登録して受信することと、
前記アプリケーションの実行インスタンスにリンクされるアプリケーションフィルタとして、動的表現またはルールを生成して送信することと
を行うように構成される、ランタイムモニタと、
前記モバイルデバイスのシステム事象を相関させてリスクの計算を判定するように構成される、システム事象相関器と、
前記モバイルデバイスおよび前記アプリケーションについてのセキュリティインテリジェンスを統合することによって、前記リスクの計算に基づいて実施可能なインテリジェンスを編成するように構成される、信頼オーケストレータと、
前記モバイルデバイス上で実行するアプリケーション、または前記モバイルデバイスのユーザのアクションに基づいてリスクを評価し、前記ネイティブマシン機器から前記未処理事象を受信することによって、前記モバイルデバイスのランタイム動作整合性を測定するように構成される、終点信頼センサと
を備える、アーキテクチャ。
【請求項２３】
前記信頼オーケストレータは、前記セキュリティインテリジェンスを統合するためにアプリケーションプログラミングインターフェース（ＡＰＩ）協調バスを使用するように構成される、請求項２２に記載のアーキテクチャ。
【請求項２４】
前記アプリケーション事象は、レジストリ、ファイルシステム、ネットワーク、記憶装置、入力、出力、メモリ、プロセス動作事象、および前記アプリケーションによるシステムリソースの使用に由来するリソース事象のうちの１つ以上を含む、請求項２２に記載のアーキテクチャ。
【請求項２５】
前記拡張信頼機器は、前記ネイティブマシン機器への層状拡張から成る、請求項２２に記載のアーキテクチャ。
【請求項２６】
前記アプリケーションフィルタは、標準ベースのスキーマ定義を使用して表現される、請求項２２に記載のアーキテクチャ。
【請求項２７】
前記ランタイムモニタは、前記非同期アプリケーション事象に登録するためにアプリケーションプログラミングインターフェース（ＡＰＩ）を使用するように構成される、請求項２３に記載のアーキテクチャ。
【請求項２８】
前記終点信頼センサは、
前記モバイルデバイス上のブラウザのためのセキュリティパッチ、前記アプリケーションのうちの１つ以上のための更新情報、更新されたデバイスドライバ、および／または１つ以上のオペレーティングシステムのための更新情報を識別することと、
マルウェアのクラスタ化および分類のための脅威ライフサイクルモデルを使用して、無署名ネットワークアクティビティ相関を行うことと
を行うように構成される、請求項２２に記載のアーキテクチャ。
【請求項２９】
対象の評判スコアの階層的表現を生成して表示するための評判採点システムであって、前記システムは、評判ブローカを備え、
前記評判ブローカは、サービスプロバイダから信頼ブローカで受信される前記対象の評判スコアに対するクエリを処理することと、
前記対象の階層的評判スコアを生成するように要求を信頼オーケストレータにディスパッチすることと
を行うように構成され、
前記信頼オーケストレータは、
前記対象と関連付けられる属性を調査するように、組織の内部または外部の情報管理システムへの複数の指向クエリを開始すること、
受信したクエリ応答を分析すること、
リスクの計算に基づいて、前記対象の生成された階層的評判スコアを受信すること、および
前記対象の前記受信した階層的評判スコアを前記評判ブローカに送信すること
によって、階層的評判スコアに対する受信した要求を処理するように構成され、
前記信頼オーケストレータはさらに、
前記ディスパッチされた要求に応答して、前記対象の評判トークンを前記評判ブローカから受信することと、
前記クエリへの応答として、前記評判トークンを前記サービスプロバイダに送信することと
を行うように構成される、システム。
【請求項３０】
認証プロセスを行うことによってユーザをコンピューティングデバイスに認証するように構成される、認証サービスと、
対象アラートとともに対象の整合性プロファイルを含む、対象事象を前記信頼ブローカから受信するように構成される評判プロセッサを備える、システム事象相関器と、
複数の協調サービスから終点査定レポートの中で受信される、正規化した照合対象事象のリアルタイム相関に基づいて、リスク相関行列にデータ投入するように構成される、リスク相関器と、
前記対象の前記階層的評判スコアを生成するように構成される、評判スコア発生器であって、前記評判スコア発生器は、トランザクションスコア、ユーザスコア、サービススコア、社会スコア、職業スコア、デバイススコア、組織スコア、およびアプリケーションスコアのうちの１つ以上に基づいて、階層的評判スコアを計算するように構成される採点モジュールを備える、評判スコア発生器と、
前記信頼ブローカからの対象アクティビティクエリに応答するように構成される、ログ管理モジュールと、
前記信頼ブローカからの対象属性クエリに応答するように構成される、役割管理システムと、
前記信頼ブローカからの前記対象属性クエリに応答するように構成される、識別管理モジュールと
をさらに備える、請求項２９に記載のシステム。
【請求項３１】
前記リスク相関器はさらに、対象アラートを受信し、前記対象アラートを前記リスク相関行列の中のセルにマップするように構成され、
前記評判スコア発生器はさらに、前記対象事象および前記対象アラートを処理して、前記対象の前記階層的評判スコアを判定するように構成される、請求項３０に記載のシステム。
【請求項３２】
前記対象事象は、プロビジョニングした属性、前記対象と関連付けられる終点アクティビティ、および前記対象と関連付けられるネットワークレベルアクティビティについてのアサーションのうちの１つ以上であり、ログ管理システム、役割管理システム、および／または前記識別管理モジュールからの指向クエリへの応答として、前記システム事象相関器で受信される、請求項３１に記載のシステム。
【請求項３３】
前記評判トークンは、前記管理されたアプリケーションにアクセスするサービス要求を許可または拒否するように評判ベースのアクセス制御を実施するように、少なくとも、前記対象情報および前記サービスプロバイダによって要求される情報の評判スコアを含む、請求項３０に記載のシステム。
【請求項３４】
前記信頼ブローカはさらに、権利付与、メンバーシップ、役割、およびアクティビティ情報等の受信した対象属性を処理し、時間的対象事象を生成して前記評判プロセッサにディスパッチするように構成される、請求項２９に記載のシステム。
【請求項３５】
対象事象は、トランザクションにおけるセキュリティリスクのレベルを判定するために使用される、前記対象についてのアサーションを表す、請求項２９に記載のシステム。
【請求項３６】
前記対象事象は、義務の静的および動的分離、最小権限の原理、前記対象による観察されたリソース使用パターン、ならびに組織の内部ネットワークおよび前記組織の外部のネットワーク上の観察された対象アクティビティを含む、請求項３５に記載のシステム。
【請求項３７】
前記信頼ブローカによって受信されるクエリは、事前構成される、請求項２９に記載のシステム。
【請求項３８】
ディスプレイ上に複数のダッシュボードを備える管理コンソール用のグラフィカルユーザインターフェース（ＧＵＩ）をレンダリングするように構成される、管理モジュールをさらに備え、
事前構成されたクエリは、前記ＧＵＩを使用してカスタマイズされることができる、請求項３８に記載のシステム。
【請求項３９】
前記評判プロセッサはさらに、前記対象によってコンピュータシステムまたはプラットフォームに引き起こされるリスクを計算するように構成され、
前記管理モジュールはさらに、前記ディスプレイ上に前記対象評判スコアの前記階層的表現をレンダリングするように構成される、請求項３８に記載のシステム。
【請求項４０】
前記管理システムは、ソーシャルネットワーキングベンダによってホストされる情報システムを含む、請求項２９に記載のシステム。
【請求項４１】
前記対象は、コンピューティングデバイス、ユーザ、トランザクション、組織、またはサービスである、請求項２９に記載のシステム。
【請求項４２】
前記対象と関連付けられる前記属性は、デバイス地理的位置、デバイス提供状態、有効／無効デバイス機能、ユーザ登録、および組織登録のうちの１つ以上を含む、請求項４１に記載のシステム。
【請求項４３】
前記階層的評判スコアは、トランザクションスコア、サービススコア、社会スコア、職業スコア、デバイススコア、組織スコア、およびアプリケーションスコアのうちの１つ以上を備える、複数の構成要素スコアの集約を備える、請求項４１に記載のシステム。
【請求項４４】
前記階層的評判スコアは、どのようにして前記対象スコアが前記サービスプロバイダに報告されるであろうかという粒度および構造を表す、注釈付き構成要素スコアを伴う列挙リストを備える、請求項４３に記載のシステム。
【請求項４５】
前記ユーザは、オンライントランザクションを行うか、またはアプリケーションによってレンダリングされ、組織によって管理されるサービスを伴うアクティビティに参加するために、終点デバイスを使用し、前記ユーザは、メンバーシップ、雇用、契約、または他の提携を介して前記組織と関連付けられる、請求項３０に記載のシステム。
【請求項４６】
前記アクティビティは、社会または職業のいずれか一方として分類される、請求項４５に記載のシステム。
【請求項４７】
前記ＩＴアセットは、前記コンピューティングデバイス、前記終点デバイス、サーバ、デスクトップコンピュータ、ラップトップ、タブレットコンピュータ、多機能プリンタ／スキャナ／ファクスマシン、およびネットワークデバイスのうちの１つ以上を含む、請求項４６に記載のシステム。
【請求項４８】
前記組織の代わりに前記ＩＴアセットの在庫を管理するように構成される、在庫管理システムをさらに備える、請求項４６に記載のシステム。
【請求項４９】
終点信頼エージェント、ならびに評判ブローカおよび信頼ブローカを備える信頼オーケストレータを使用して、対象の評判のリアルタイム証明をサービスプロバイダに提供する方法であって、前記方法は、
前記評判ブローカによって、前記信頼オーケストレータにおいて、サービスプロバイダから対象の前記評判スコアに対するクエリを受信することと、
前記評判ブローカによって、前記信頼オーケストレータにおいて、対象のジャストインタイム評判スコアを生成する要求をディスパッチすることと、
対象と関連付けられる属性を調査するように、外部情報管理システムへの複数の指向クエリを開始すること、
受信したクエリ応答を分析し、リスクの計算に基づいて対象の評判スコアを生成すること、
対象の評判スコアを前記評判ブローカに送信すること、および
前記信頼オーケストレータにおいて前記評判ブローカによって、サービスプロバイダへのクエリ応答として、対象の評判トークンを送信すること
によって、前記信頼ブローカによって、前記信頼オーケストレータにおいて、前記受信した評判を処理することと
を含む、方法。
【請求項５０】
前記対象は、
ユーザアカウント、
ソフトウェアアプリケーション、
コンピュータシステム、
コンピューティングプラットフォーム、および
コンピューティングデバイス
のうちの１つ以上である、請求項４９に記載の方法。
【請求項５１】
内部または外部情報管理システムの調査は、
対象のプロビジョニングした識別、役割、および権利付与を問い合わせること、
対象に起因するアクティビティログを問い合わせること、
対象の在庫オブジェクト関連性を問い合わせること、
対象の地理的位置ベースのオブジェクトアクションを問い合わせること、
対象によって在庫対象に行われるアクションを問い合わせること、
最小権限の原理および義務の分離に関係する、観察されたアクションおよびプロビジョニングした対立における異常を相関させること、
複数の感染したシステムとの対象の関連性を相関させること、および
複数の感染したコンピューティングデバイスとの対象の関連性を相関させること
のうちの１つ以上を含む、請求項４９に記載の方法。
【請求項５２】
アクティビティログの前記問い合わせは、
対象と関連付けられるセキュリティおよび情報事象、
対象によって訪問されるウェブサイト、
対象によって開始されるオンラインまたは自動ダウンロード、および
対象によって行われるローカルデバイス管理アクションおよび動作
のうちの１つ以上を含む、請求項５１に記載の方法。
【請求項５３】
コンピューティングデバイスまたは前記コンピューティングデバイス上で実行するアプリケーションのリスク相関に基づいて、ネットワーク要素においてネットワークフローレベル改善を提供するためのシステムであって、前記システムは、
評判サービスからのシステム警告に登録して受信するように構成される、ネットワーク信頼エージェントと、
終点脅威インテリジェンスを受信するように構成される、終点信頼エージェントと、
ネットワークアクティビティ、前記コンピューティングデバイスのシステム構成、前記デバイスによるリソース利用、および前記デバイスの整合性のうちの１つ以上を管理するように構成される、複数のセンサ入力から受信される入力に基づいて、リスクを相関させるように構成される、事象および挙動相関エンジンと、
信頼オーケストレーションサーバであって、前記信頼オーケストレーションサーバは、
協調サービスから受信される終点査定レポートを含む、グローバルセキュリティコンテキストにリスクの計算を行うことと、
前記終点脅威インテリジェンスに基づくシステム警告を前記ネットワーク信頼エージェントに送信することと
を行うように構成される、信頼オーケストレーションサーバと、
前記コンピューティングデバイスまたはアプリケーションの制御のためのリアルタイム指令を受信するように構成される、改善エンジンと
を備える、システム。
【請求項５４】
前記センサ入力は、連続的監視を行うように構成される、請求項５３に記載のシステム。
【請求項５５】
前記事象および挙動相関エンジンは、
前記ネットワークアクティビティセンサからのシステム事象および感染プロファイル、
前記システム構成センサからのスキャンの整合性測定および検証レポート、
前記リソース利用センサからのプロセッサ、ネットワーク、メモリ、および記憶装置リソース消費に関するシステム事象、および
前記アプリケーション整合性センサからの画像プロファイルおよびローカル実行コンテキストに関するシステム事象
のうちの１つ以上を受信するように構成される、請求項５３に記載のシステム。
【請求項５６】
前記スキャンは、スケジュール通りに行われ、前記スケジュールは、毎時間、毎日、毎週、隔週、または毎月のうちの１つ以上である、請求項５５に記載のシステム。
【請求項５７】
前記改善エンジンは、仮想マシン、ネットワークフローコントローラ、およびトランザクションのうちの１つ以上にアクションを行うように構成される、請求項５３に記載のシステム。
【請求項５８】
前記アクションは、構成されたトリガ制御に基づく、請求項５７に記載のシステム。
【請求項５９】
ネットワーク分析器、終点信頼エージェント、信頼ブローカ、信頼オーケストレータ、および複数のネットワーク終点査定を使用して、コンピューティングプラットフォーム上で実行するシステムのランタイム動作整合性を編成する方法であって、前記方法は、
前記ネットワーク分析器によって、ネットワークアクティビティ相関およびネットワークマルウェア検出に基づいて異常を判定することと、
前記信頼ブローカによって、査定のシステムレベル正規化および照合に基づいてシステム構成異常を判定することと、
前記終点信頼エージェントによって、中央処理装置（ＣＰＵ）、メモリ、記憶装置、およびネットワークリソース使用と関連付けられるルールセットに基づいて、リソース利用異常を判定することと、
前記終点信頼エージェントによって、静的および動的画像分析と関連付けられる前記ルールセットに基づいてアプリケーション整合性異常を判定することと、
前記信頼オーケストレータによって、感染したシステムのリスク分析および検出のために、ネットワーク終点の連続的ローカルおよび遠隔監視を通して特徴付けられるネットワークアクティビティならびに終点事象および挙動を相関させることと、
前記信頼オーケストレータによって、自動マシン、ネットワークフロー、またはトランザクションレベル改善制御を通して、感染したシステムを軽減することと
を含む、方法。
【請求項６０】
前記軽減することはさらに、グラフィカルユーザインターフェース（ＧＵＩ）のリアルタイム脅威可視化ダッシュボードを介して受信される改善入力に従って、感染したシステムを軽減することを含む、請求項５９に記載の方法。
【請求項６１】
ネットワーク分析器、終点信頼エージェント、信頼オーケストレータ、信頼ブローカ、システム事象相関器、信頼スーパーバイザ、および改善コントローラを使用して、コンピュータシステム上で実行するアプリケーションのランタイム動作整合性に基づいて、リアルタイム自動改善を提供する方法であって、前記方法は、
前記コンピューティングプラットフォーム上の前記終点信頼エージェントによって、前記アプリケーションのためのアプリケーションおよびシステムレベル動作の未処理事象を受信することと、
前記終点信頼エージェントによって、アラート表現、リスク相関行列、およびリスクの計算に基づいて、前記アプリケーションの実行異常および脅威姿勢を信号伝達するように、終点事象を生成することと、
前記信頼オーケストレータにおいて、前記ネットワーク分析器から前記終点について生成される感染プロファイル、前記終点信頼エージェントからの終点事象、および複数の終点査定サービスからのレポートを受信することと、
前記信頼ブローカによって、前記受信したレポートの中のデータおよびコンテンツ要素を正規化して相関させることと、
前記信頼ブローカによって、終点システムに関係する時間的事象を生成することと、
前記システム事象相関器によって、前記終点システムのシステム整合性プロファイルを生成するように前記時間的および終点事象を相関させることと、
前記信頼スーパーバイザによって、前記信頼オーケストレータにおいて、前記ネットワーク分析器からの感染プロファイル、および前記システム事象相関器からの整合性プロファイルを受信することと、
前記信頼スーパーバイザによって、前記終点システムで診断される脅威および感染を識別して分類することと、
前記改善コントローラによって、前記信頼オーケストレータにおいて、改善順序を開始するように前記信頼スーパーバイザから指令を受信することと、
前記改善コントローラによって、前記信頼オーケストレータにおいて、確立された閾値およびトリガに基づくオーケストレーションおよびポリシー実施サービスのためにアクションをネットワーク要素に送信することと
を含む、方法。
【請求項６２】
前記コンピュータシステム上のネイティブおよびカスタム拡張機器からのマシンおよびプラットフォーム事象に登録して受信することと、
事象相関行列にデータ投入するように、未処理事象をプラットフォームにとらわれない整合性事象にマップすることと、
異常のアラートを生成するように、複数のルールセットに基づいて、受信した整合性事象を処理することと、
前記事象相関行列に基づいて整合性警告を生成することと
をさらに含む、請求項６１に記載の方法。
【請求項６３】
前記リスクの計算は、
リソースの属性であって、前記リソースは、前記アプリケーション、前記アプリケーションが実行されているプラットフォーム、または前記コンピュータシステムである、リソースの属性、
規定された値制限を表す、属性値制約、
前記測定と関連付けられるサンプリングレート、
前記測定検証と関連付けられる再現率、
前記属性と関連付けられるスコアまたは測定基準、および
前記属性と関連付けられる加重の関数である、請求項６１に記載の方法。
【請求項６４】
前記リスク相関行列は、
システム逸脱、
システム脅迫、
システム脆弱性、および
システム感染を診断するための整合性警告クラスを含む、請求項６１に記載の方法。
【請求項６５】
前記感染プロファイルは、無署名攻撃を結論付けるフォレンジック証拠連鎖を備える、請求項６１に記載の方法。
【請求項６６】
前記終点事象は、少なくとも、
計算、メモリ、記憶装置、およびネットワークリソース利用と関連付けられるランタイム実行異常と、
プロセス等の処理の単位と関連付けられる、コンパイラ型、インタープリタ型、または中間コードまたはスクリプトから成るバイナリファイルのための画像実行コンテキストと、
画像要素と関連付けられるデジタル署名と、
動作構成設定への修正と関連付けられるプログラムまたは双方向動作と
を含む、請求項６１に記載の方法。
【請求項６７】
複数の終点査定サービスからの前記レポートは、
ジャストインタイムの静的および動的バイナリ分析のためにマルウェア分析器への前記アプリケーションと関連付けられる、コンパイラ型、インタープリタ型、または中間コードまたはスクリプトから成るバイナリファイルのための画像実行コンテキストと、
前記画像実行コンテキストの分析に基づく前記画像実行コンテキストの診断と
を備える、請求項６１に記載の方法。
【請求項６８】
前記分析は、
前記コンピュータシステムのネットワークアドレスおよび／または地理的位置に基づいて要素を照合することと、
ネットワーク査定を正規化することと、
パッケージおよび／または構成要素帰属に基づくオブジェクトレベル照合と、
終点およびネットワーク査定の集約として、グローバルオブジェクトコンテキストを生成することと、
オブジェクト属性と関連付けられるルールセットに基づく事象処理と、
事象相関行列に基づいて事象を相関させることと、
オブジェクト整合性警告を生成することと、
整合性警告に基づいて脅威を分類することと、
状態指示表示をダッシュボードコントローラに送信することと、
アクションを前記改善コントローラにディスパッチすることと
を含む、請求項６７に記載の方法。
【請求項６９】
複数のネットワーク終点査定の前記集約は、時間的事象を生成する、請求項６１に記載の方法。
【請求項７０】
終点および時間的事象の前記集約は、終点の整合性プロファイルを生成する、請求項６１に記載の方法。
【請求項７１】
システム警告クラスと、
プラットフォーム、アプリケーション、画像およびグレイウェアアラートと、
アラートおよび信号警告を相関させるアラート表現と、
を備える、システム事象相関行列に基づいて、脅威または感染状態の診断のために整合性および感染プロファイルを相関させることをさらに含む、請求項６１に記載の方法。
【請求項７２】
前記グレイウェアアラートは、プロセス監視リストを備える、請求項７１に記載の方法。
【請求項７３】
ネットワーク信頼エージェント、終点信頼エージェント、および信頼オーケストレータを有するコンピューティングプラットフォームのディスプレイにおいて、感染したシステムのためのデータセンターレベルランタイム動作整合性ダッシュボードおよび改善制御を提示するための方法であって、前記方法は、
複数の終点査定サービスから、複数の信頼ベクトルのためのランタイム整合性測定基準を受信することと、
前記ディスプレイ上のグラフィカルユーザインターフェース（ＧＵＩ）において、受信した整合性測定基準の信頼レベルに基づいて、リスク指標および影響分析を表示することと、
前記感染したシステムのスナップショットを撮影すること、
信頼できる基準構成から前記感染したシステムを復元または再画像化すること、
ネットワークファブリックから前記感染したシステムを隔離すること、
前記感染したシステムからユーザを迂回させること、
前記感染したシステムからトランザクションを迂回させること、および
前記感染したシステムからトラフィックを迂回させること
のうちの１つ以上を行うことによって、脅威格納およびリスク軽減のための手動または自動改善制御を提供することと、
前記ＧＵＩにおいて、開始した改善措置の状態および進捗を表示することと、
前記ＧＵＩにおいて、
感染概要、
感染診断、
無署名感染ライフサイクルモデルに基づく脅威分類および識別、
ソースまたは攻撃者のアドレスおよび地理的位置、
１つ以上の感染被害者の識別、
検出された悪意のあるアクティビティおよび意図のフォレンジック証拠連鎖、および
前記被害マシンまたは感染システム上で検出される計算、メモリ、記憶装置、およびネットワークレベル異常
のうちの１つ以上を備える、マルウェア分析の詳細を表示することと
を含む、方法。
【請求項７４】
前記リスク指標は、色分けされる、請求項７３に記載の方法。
【請求項７５】
前記ランタイム動作整合性は、実行異常と、脅威姿勢とを備える、請求項７３に記載の方法。
【請求項７６】
ネットワーク分析器、終点信頼エージェント、信頼ブローカ、信頼オーケストレータ、および複数のネットワーク終点査定を使用して、コンピューティングプラットフォーム上で実行するシステムのランタイム動作整合性を編成する方法であって、前記方法は、
前記ネットワーク分析器によって、ネットワークアクティビティ相関およびネットワークマルウェア検出に基づいて異常を判定することと、
前記信頼ブローカによって、査定のシステムレベル正規化および照合に基づいてシステム構成異常を判定することと、
前記終点信頼エージェントによって、プロセッサ、メモリ、およびネットワークリソース使用と関連付けられるルールセットまたはアラート表現に基づいて、リソース利用異常を判定することと、
前記終点信頼エージェントによって、静的および動的画像分析と関連付けられるルールセットまたはアラート表現に基づいて、少なくとも１つのアプリケーション整合性異常を判定することと、
前記信頼オーケストレータによって、感染したシステムのリスク分析および検出のために、ネットワーク終点の連続的ローカルおよび遠隔監視を通して特徴付けられるネットワークアクティビティならびに終点事象および挙動を相関させることと、
前記信頼オーケストレータによって、フローレベルまたはトランザクションレベル改善制御を実装するように、リアルタイム脅威可視化ダッシュボードから受信される入力を使用して、感染したシステムを軽減することと
を含む、方法。
【請求項７７】
ネットワーク信頼エージェントと、終点信頼エージェントと、事象および挙動相関エンジンと、信頼オーケストレーションサーバとを備える、コンピューティングプラットフォームを使用して、アプリケーションおよびシステムのランタイム動作整合性を提供する方法であって、前記方法は、
複数のセンサ入力によって、ネットワークアクティビティ、前記アプリケーションが実行されているシステムのシステム構成、前記アプリケーションによるリソース利用、および前記アプリケーションの整合性のうちの１つ以上を監視することと、
前記事象および挙動相関エンジンによって、前記監視に基づいてリスクを相関させることと、
前記コンピューティングプラットフォームの管理コンソールの複数のランタイムダッシュボードにおいて、前記システムおよびアプリケーションの動作整合性のリアルタイム状態指示表示を表示することと
を含む、方法。
【請求項７８】
前記監視は、連続的に行われる、請求項７７に記載の方法。
【請求項７９】
前記事象および挙動相関エンジンは、
前記ネットワークアクティビティセンサからのシステム事象および感染プロファイル、
前記システム構成センサからのスキャンの整合性測定および検証レポート、
前記リソース利用センサからのプロセッサ、ネットワーク、メモリ、および記憶装置リソース消費に関するシステム事象、および
前記アプリケーション整合性センサからの画像プロファイルおよびローカル実行コンテキストに関するシステム事象
のうちの１つ以上を受信する、請求項７７に記載の方法。
【請求項８０】
前記スキャンは、スケジュール通りに行われ、前記スケジュールは、毎時間、毎日、毎週、隔週、または毎月のうちの１つ以上である、請求項７９に記載の方法。
【請求項８１】
前記複数のランタイムダッシュボードは、
大域的表示ダッシュボード、
システム構成ダッシュボード、
リソース利用ダッシュボード、
アプリケーション整合性ダッシュボード、および
ネットワークアクティビティダッシュボード
のうちの１つ以上を備える、請求項７７に記載の方法。
【請求項８２】
対象の評判採点を編成して表示するためのシステムであって、前記システムは、
ディスプレイと、
サービスプロバイダから前記対象の評判スコアに対するクエリを処理し、前記対象の階層的評判スコアを生成する要求をディスパッチするように構成される、評判ブローカと、
前記ディスプレイの中に複数のダッシュボードを備える、管理コンソール用のグラフィカルユーザインターフェース（ＧＵＩ）をレンダリングするように構成される、表示モジュールと、
信頼オーケストレータと
を備え、
前記信頼オーケストレータは、
前記対象と関連付けられる属性を調査するように、組織の外部の情報管理システムへの複数の指向クエリを開始すること、
受信したクエリ応答を分析すること、
リスクの計算に基づいて、前記対象の生成された階層的評判スコアを受信すること、および
前記対象の前記受信した階層的評判スコアを前記評判ブローカに送信すること
によって、階層的評判スコアに対する前記評判ブローカからの受信した要求を処理することと、
前記ディスパッチされた要求に応答して、前記評判ブローカから前記対象の評判トークンを受信することと、
前記クエリへの応答として、前記評判トークンを前記サービスプロバイダに送信することと
を行うように構成される、システム。
【請求項８３】
前記クエリは、前記クエリを前記信頼ブローカに転送するように構成される評判ブローカで受信され、前記クエリは、前記管理コンソールのダッシュボードを使用して、作成、表示、編集、および提出されることができる、請求項８２に記載のシステム。
【請求項８４】
前記応答は、前記管理コンソールのダッシュボードにおいて表示される、請求項８２に記載のシステム。
【請求項８５】
前記階層的評判は、前記管理コンソールのダッシュボードにおいて図式的に描写される、請求項８２に記載のシステム。
【請求項８６】
複数のダッシュボードは、
大域的表示ダッシュボード、
システム構成ダッシュボード、
リソース利用ダッシュボード、
アプリケーション整合性ダッシュボード、および
ネットワークアクティビティダッシュボード
のうちの１つ以上を備える、請求項８２に記載のシステム。
【請求項８７】
ネットワーク信頼エージェントと、終点信頼エージェントと、信頼オーケストレーションサーバとを備える、コンピューティングプラットフォームを使用して、システムのランタイム動作整合性を提供するための証明サービスを提供する方法であって、前記方法は、
前記信頼オーケストレーションサーバにおいて、終点事象を含む動的コンテキストを受信することと、
前記信頼オーケストレーションサーバによって、前記受信した終点事象を分析することと、
ネットワーク終点査定を受信することと、
少なくとも部分的に、前記ネットワーク終点査定の分析に基づいて、時間的事象を生成することと、
前記受信した終点事象および前記生成された時間的事象を相関させることと、
前記システムの整合性プロファイルを生成することと
を含む、方法。
【請求項８８】
前記動的コンテキストは、前記終点信頼エージェントによって送信される、請求項８７に記載の方法。
【請求項８９】
前記ネットワーク終点査定は、終点査定サービスから受信される、請求項８７に記載の方法。
【請求項９０】
前記終点査定サービスから整合性測定および検証レポートを受信することをさらに含む、請求項８９に記載の方法。
【請求項９１】
前記ネットワーク終点査定は、１つ以上の協調サービスから受信される、請求項８７に記載の方法。
【請求項９２】
前記１つ以上の協調サービスから整合性測定および検証を受信することをさらに含む、請求項９１に記載の方法。
【請求項９３】
前記終点事象および時間的事象は、それぞれ、終点信頼エージェントおよび信頼ブローカからシステム事象相関器によって受信される、請求項８７に記載の方法。
【請求項９４】
ネットワーク信頼エージェント、終点信頼エージェント、および信頼オーケストレータを使用して、コンピューティングネットワークファブリックから、感染した、または損なわれたシステムおよびプラットフォームを単離するように、フローレベル改善を提供する方法であって、前記方法は、
前記終点信頼エージェントによって、ルールセットおよびリスクの計算に基づいて、実行異常およびリスクに関するランタイムシステム整合性アラートを生成することと、
前記終点信頼エージェントによって、終点事象としてのランタイムシステム整合性警告を前記信頼オーケストレータに送信することと、
前記信頼オーケストレータによって、前記受信した終点事象の分析に基づいて、前記終点のシステム整合性プロファイルを生成することと、
前記信頼オーケストレータによって、
リスクの計算に基づいて生成されるシステム整合性プロファイル、
複数の協調サービスから受信される終点査定レポートの中の要素の正規化および照合に基づいて生成される複数の時間的事象、および
ネットワーク分析器から受信されるシステム感染プロファイル
のうちの１つ以上を処理して相関させることと、
前記信頼オーケストレータによって、終点実行状態査定に基づいてシステム警告を前記ネットワーク信頼エージェントに送信することと、
前記ネットワーク信頼エージェントによって、接続終点の脅威姿勢として前記受信した実行状態に基づいてフロー制御を適用するように、メッセージまたは指令をＯｐｅｎＦｌｏｗセキュリティフレームワークおよび／またはコントローラに送信することと
を含む、方法。
【請求項９５】
前記整合性警告は、データ事象およびコンテンツ事象に関する警告を備え、前記終点事象は、データ事象およびコンテンツ事象を備える、請求項９４に記載の方法。
【請求項９６】
感染したシステムの前記改善は、オンデマンドインスタンス化および作業負荷のスケーリングを通して、前記コンピューティングプラットフォームの全動作能力または可用性を不利に低減させることなく、達成される、請求項９４に記載の方法。
【請求項９７】
モバイルコンピューティングデバイスの感染した、または損なわれた状態を、前記モバイルコンピューティングデバイスと関連付けられるユーザに伝える、通知を転送することをさらに含み、前記通知は、
前記ユーザと関連付けられるアカウントへの非同期プッシュ通知、
前記モバイルコンピューティングデバイスと関連付けられる電話番号に転送されるショートメッセージングサービス（ＳＭＳ）テキストアラートメッセージ、
前記ユーザと関連付けられるＥメールアドレスに転送されるＥメールアラートメッセージ、および
前記モバイルコンピューティングデバイスからのサービスとのトランザクションの開始中に前記モバイルコンピューティングデバイスのディスプレイ上にサービスによって表示される、警告メッセージ
のうちの１つ以上である、請求項９６に記載の方法。
【請求項９８】
モバイルデバイスの１つ以上の特徴または能力は、改善措置として動作停止または起動される、請求項９７に記載の方法。
【請求項９９】
前記改善措置は、前記地理的位置に基づく、請求項９８に記載の方法。
【請求項１００】
信頼スーパーバイザによって、ネットワークファブリック上で行われる１つ以上のフロー改善措置を生成することと、
前記信頼オーケストレータの改善コントローラにおいて、前記フロー改善措置を受信することと、
前記信頼オーケストレータによって、前記１つ以上のフロー改善措置と関連付けられるネットワークデバイスに関する１つ以上のシステム警告を前記ネットワーク信頼エージェントに送信することと
をさらに含む、請求項８７に記載の方法。
【請求項１０１】
前記ネットワーク信頼エージェントによって、ＯｐｅｎＦｌｏｗコントローラのためのコマンドを策定する指令を生成して送信することと、
前記ＯｐｅｎＦｌｏｗコントローラによって、前記ネットワークデバイスへ／からのトラフィックフローを迂回または遮断するように、ルールを前記ネットワークファブリックのＯｐｅｎＦｌｏｗ対応ネットワーク要素またはスイッチに送信することと、
前記ＯｐｅｎＦｌｏｗ対応ネットワーク要素またはスイッチによって、前記ネットワークデバイスのための受信したアクセス制限または制御を実施することと
をさらに含む、請求項１００に記載の方法。
【請求項１０２】
前記信頼スーパーバイザによって、前記ネットワークデバイスのための評判スコア更新情報を監視し、前記改善コントローラに送信することと、
前記信頼オーケストレータによって、前記ネットワークデバイスのためのシステムセキュリティ姿勢状態更新情報を前記ネットワーク信頼エージェントに送信することと、
前記ネットワーク信頼エージェントによって、記ネットワークデバイスへ／からの正常なフローを復元するように、前記ＯｐｅｎＦｌｏｗコントローラのためのコマンドを策定する指令を生成して、前記ＯｐｅｎＦｌｏｗセキュリティフレームワークに送信することと
をさらに含む、請求項１０１に記載の方法。
【請求項１０３】
前記ネットワーク分析器によって、ネットワークアクティビティ相関およびネットワークマルウェア検出に基づいて異常を判定することと、
前記信頼オーケストレータによって、バイナリ分析のためのアプリケーションの画像ファイルおよび属性をディスパッチすることであって、前記画像ファイルは、コンパイラ型、中間、またはインタープリタ型コードまたはスクリプトを備える、ことと、
前記分析に基づいて識別される一式の脅威として、悪意のあるアクティビティを識別する、前記バイナリ分析の結果を受信することと、
前記信頼ブローカによって、前記画像の一意の識別子によってインデックスを付けられる前記分析の前記結果をキャッシュに格納することと、
前記終点信頼エージェントによる終点事象の後続の生成のために、ランタイム時に監視される前記画像の悪意のある能力のアサーションを備える、画像プロファイルを生成し、前記終点信頼エージェントに返信することと
をさらに含む、請求項９４に記載の方法。
【請求項１０４】
前記バイナリ分析は、１つ以上の第三者マルウェア分析器によって行われ、前記ディスパッチ機構は、展開された終点信頼エージェントにわたる前記アプリケーション画像と関連付けられる分析のための要求の頻度および量等の画像分析の開始を保証する、一式の基準を特定する、トリガフィルタ表現を使用する、請求項１０３に記載の方法。
【請求項１０５】
前記第三者マルウェア分析器は、前記信頼ブローカによって特定されるポリシーに基づいて、アプリケーション画像の静的および動的分析を行うように構成される、請求項１０４に記載の方法。
【請求項１０６】
モバイルデバイスと、クライアントサーバシステムとを含む、コンピューティングプラットフォーム上で実行するアプリケーションの実行異常および脅威姿勢を判定することによって、ランタイム動作整合性を提供するためのシステムであって、前記システムは、
終点信頼エージェントであって、前記終点信頼エージェントは、
前記アプリケーションのローカル実行コンテキストを観察するように構成される、プロセスモニタと、
前記アプリケーションのネットワークアクティビティを観察するように構成される、ソケットモニタと、
前記アプリケーションによって消費されるシステムおよびプラットフォームリソースを観察するように構成される、リソース利用モジュールモニタと、
ルールセットに基づいて前記コンピューティングプラットフォームの動作整合性を査定するように構成される、アプリケーション整合性モジュールと
を含み、
前記コンピューティングプラットフォームのためのネイティブマシン機器は、前記コンピューティングプラットフォーム上のオペレーティングシステム（ＯＳ）によって提供される事象登録、コールバック、通知機構を表し、未処理事象を生成するように構成される、終点信頼エージェントと、
拡張信頼機器と、
ランタイムモニタであって、前記ランタイムモニタは、
前記拡張信頼機器からの前記アプリケーションに対するアプリケーション事象の近リアルタイム非同期通知に登録して受信することと、
前記アプリケーションの実行インスタンスにリンクされるアプリケーションフィルタとして、動的表現またはルールを生成して送信することと
を行うように構成される、ランタイムモニタと、
前記コンピューティングプラットフォームのシステム事象を相関させてリスクの計算を判定するように構成される、システム事象相関器と、
前記コンピューティングプラットフォームおよび前記アプリケーションについてのセキュリティインテリジェンスを統合することによって、前記リスクの計算に基づいて実施可能なインテリジェンスを編成するように構成される、信頼オーケストレータと、
前記コンピューティングプラットフォーム上で実行するアプリケーション、または前記コンピューティングプラットフォームのユーザのアクションに基づいてリスクを評価し、前記ネイティブマシン機器から前記未処理事象を受信することによって、前記コンピューティングプラットフォームのランタイム動作整合性を測定するように構成される、終点信頼センサと
を備える、システム。
【発明の詳細な説明】
【技術分野】
【０００１】
（関連出願への相互参照）
本出願は、２０１２年５月１日に出願された、「Ｓｙｓｔｅｍ  ａｎｄ  Ｍｅｔｈｏｄ  ｆｏｒ  Ｏｐｅｒａｔｉｏｎａｌ  Ｉｎｔｅｇｒｉｔｙ  Ａｔｔｅｓｔａｔｉｏｎ」という名称の米国仮出願第６１／６４１，００７号、２０１２年７月２７日に出願された、「Ｓｙｓｔｅｍｓ  ａｎｄ  Ｍｅｔｈｏｄｓ  ｆｏｒ  Ｐｒｏｖｉｄｉｎｇ  Ｍｏｂｉｌｅ  Ｓｅｃｕｒｉｔｙ  Ｂａｓｅｄ  ｏｎ  Ｄｙｎａｍｉｃ  Ａｔｔｅｓｔａｔｉｏｎ」という名称の米国出願第１３／５５９，６６５号、２０１２年７月２７日に出願された、「Ｓｙｓｔｅｍｓ  ａｎｄ  Ｍｅｔｈｏｄｓ  ｆｏｒ  Ｕｓｉｎｇ  Ｒｅｐｕｔａｔｉｏｎ  Ｓｃｏｒｅｓ  ｉｎ  Ｎｅｔｗｏｒｋ  Ｓｅｒｖｉｃｅｓ  ａｎｄ  Ｔｒａｎｓａｃｔｉｏｎｓ  ｔｏ  Ｃａｌｃｕｌａｔｅ  Ｓｅｃｕｒｉｔｙ  Ｒｉｓｋｓ  ｔｏ  Ｃｏｍｐｕｔｅｒ  Ｓｙｓｔｅｍｓ  ａｎｄ  Ｐｌａｔｆｏｒｍｓ」という名称の米国出願第１３／５５９，６９２号、２０１２年７月２７日に出願された、「Ｓｙｓｔｅｍｓ  ａｎｄ  Ｍｅｔｈｏｄｓ  ｆｏｒ  Ｎｅｔｗｏｒｋ  Ｆｌｏｗ  Ｒｅｍｅｄｉａｔｉｏｎ  Ｂａｓｅｄ  ｏｎ  Ｒｉｓｋ  Ｃｏｒｒｅｌａｔｉｏｎ」という名称の米国出願第１３／５５９，７３２号、２０１２年７月２７日に出願された、「Ｓｙｓｔｅｍｓ  ａｎｄ  Ｍｅｔｈｏｄｓ  ｆｏｒ  Ｏｒｃｈｅｓｔｒａｔｉｎｇ  Ｒｕｎｔｉｍｅ  Ｏｐｅｒａｔｉｏｎａｌ  Ｉｎｔｅｇｒｉｔｙ」という名称の米国出願第１３／５５９，７０７号、および２０１２年７月２７日に出願された、「Ｓｙｓｔｅｍｓ  ａｎｄ  Ｍｅｔｈｏｄｓ  ｆｏｒ  Ｔｈｒｅａｔ  Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ  ａｎｄ  Ｒｅｍｅｄｉａｔｉｏｎ」という名称の米国特許出願第１３／５５９，７６６号の利益を主張する。上記文献は、それらの全体として本明細書において参照することによって援用される。
【０００２】
（本開示の背景）
（本開示の分野）
本開示は、データセンター仮想化の分野に関し、より具体的には、ランタイム時のアプリケーションセキュリティの動的動作整合性証明およびユーザ評判を提供するためのシステムおよび方法に関する。
【背景技術】
【０００３】
（関連技術の説明）
コンピューティングにおける最近の傾向の１つは、例えば、企業ソフトウェアが、もはや、顧客によって所有されず、代わりに、企業の情報技術（ＩＴ）インフラストラクチャが、第三者によって提供され得、企業ソフトウェアアプリケーションが、サービス供与として販売される、仮想化およびクラウドコンピューティングに向かう傾向である。
【０００４】
次世代アンチウイルスソフトウェア、ネットワークファイヤウォール、および侵入検出／防止システム等の従来のレガシーおよび現在利用可能なセキュリティ技術は、脅威および攻撃を監視するように、署名、プロトコル異常、またはサンドボックス内の仮想実行に基づいて動作する。しかしながら、いったん攻撃または脅威のターゲット（すなわち、「ターゲットシステム」または「ターゲットプラットフォーム」）が感染するか、または損なわれると、これらの技術の多くは、システムを保護し、データ侵害またはサービス妨害を防止することにおいて比較的無効であることが証明されている。出現する脅威および攻撃は、低度かつ低速の動作モードを呈し得、従来の検出および防御技術を回避するために無署名であり得る。さらに、これらの技術は、多くの場合、ターゲット（被害）システムへのコンピュータ作業負荷のランタイム動作整合性にとらわれず、したがって、多くの場合、影響を受けたターゲットシステムを補修するいかなるレベルの改善も提供しない。したがって、多くの従来のセキュリティ技術は、単純な許可または拒否決定論理に限定される、粗粒アクセス制御を提供するにすぎない。
【０００５】
多くの企業および組織は、それらのＩＴインフラストラクチャから、第三者が共有コンピューティングリソースおよびこれらのリソース上で作動するアプリケーションを提供し得る、クラウドコンピューティング環境へ（自己管理した社内データセンターからサービスプロバイダが管理した外注仮想データセンターへ）移行しつつある。それらは、複数の顧客へのサービスとして提供されている。クラウドコンピューティング環境への企業による移行は、とりわけ、コンピューティング能力の増加、記憶容量の増加、および／またはネットワーク帯域幅の増加の必要性を含む、種々の理由で増加している。企業アプリケーションおよび必要不可欠なアプリケーションが、クラウド内で実行され得る。十分なデバイス、システム、およびアプリケーションセキュリティがないと、クラウドは、これらのアプリケーションを損ない、潜在的に、多大な財務的損失を引き起こし得る。そのようなアプリケーションがこれらの第三者によって制御され得るときでさえも、データ機密性、データ整合性、およびデータ可用性をクラウドコンピューティング環境内で維持することができる。クラウドは、従来の情報技術デバイス、システム、およびアプリケーションが、これらのサービスプロバイダが管理した外注仮想データセンターから透過的に実行されることを可能にし得る。より新しい技術が出現するにつれて、クラウドインフラストラクチャは、企業運営に対して透過的かつそれとともにスケーラブルに進化し得る。そのような環境内のセキュリティは、新たな課題であり得る。例えば、オンデマンドの仮想化クラウドコンピューティング、および弾性モデルは、従来のセキュリティアプローチおよび技術において欠如している、デバイスおよびネットワークレベルの両方での動的セキュリティオーケストレーションを必要とする。
【０００６】
現在のセキュリティ制御における改善制御の欠如に関する、有意な測定基準は、脅威の検出における誤検出および検出漏れの高い割合である。誤検出は、非生産的であり、データセンター内の稼働能力を低減させる。検出漏れは、セキュリティ制御の迂回、ならびにターゲットシステムおよびサービスの侵害につながる。セキュリティ制御への既存の署名ベースのアプローチは、ターゲットシステムで段階分けされる即席攻撃の影響を受けやすい。
【０００７】
企業およびクラウドコンピューティングエコシステム内のアプリケーション（ビジネス、ソーシャルネットワーキング、およびゲームソフトウェア）の増殖は、攻撃表面および露出窓を有意に増加させてきた。アプリケーションランタイム動作整合性は、デバイスからサービスへの末端間信頼を構築することにおいて決定的な要因である。企業ネットワーク環境内のモバイルコンピューティングデバイス（すなわち、タブレットおよびスマートフォン）等の管理されていないデバイスおよび個人所有機器持ち込み（ＢＹＯＤ）ポリシーの増殖が、高度な協調的脅威のリスクを増加させてきた。
【０００８】
現在の主要なセキュリティパラダイムは、ハードエッジおよびソフトコアアーキテクチャに基づく。ネットワークファイヤウォールおよび侵入検出／防止システム等のセキュリティアプライアンスは、エッジ（周囲）で展開する。アンチウイルスおよびネットワークベースの整合性測定および検証サービスは、ビジネスに不可欠なシステム、サービス、および高付加価値データサイロを備える、ソフトコアをスキャンして監査する。いったんエッジが侵害されると、防御方法は、脆弱な、または損なわれたシステムを保護することにおいて大部分が無効である。このパラダイムでは、ハードエッジは、概して、ソフトコアのランタイム動作整合性のいかなるレベルの保証も提供しない。
【０００９】
広範なアプリケーションホワイトリスト／ブラックリスト（ファイルハッシュダイジェストおよび／または構成に基づく）、インターネットプロトコル（ＩＰ）アドレス評判リスト、署名、プロトコル異常、およびサンドボックス内の仮想実行への大きな依存が、ギャップを利用して、慎重に設計された回避方法を用いて回避するように、広い段階表面に標的化された協調的攻撃を提供する。侵入の方法にかかわらず、被害マシンまたは環境上の露出窓中の感染後挙動は、隠すことが困難であるが、回避技法を通したセキュリティ管理者および仮想実行（サンドボックス）環境によって、時宜を得た検出および診断から遮られ得る。種々の例示的実施形態は、手動および／または自動介入のために、高いフォレンジック信頼および感染概要を用いた脅威識別および診断のための早期警告システムを含む。
【００１０】
現在の識別管理（ＩｄＭ）アプローチは、典型的には、トークンの発行が、ユーザの評判ではなく、証明書の保有の証拠に厳密に基づく、トランザクションまたはビジネスプロセスにおけるセキュリティトークンの使用のためのユーザのドメインレベル認証を目的としている。当業界は、意図がなりすましまたは委任の目的で証明書を盗用することである、悪意のあるユーザからの保護の増加のための多要因認証技術を採用しているが、これらのセキュリティ制御は、プロビジョニングした権利付与（すなわち、ユーザアカウント特権および役割）とは無関係に、認証ユーザのリスク姿勢の帰属を組み込むための手段を提供しない。したがって、既存のセキュリティ制御は、ユーザについての場所およびデバイスにとらわれない大域的脅威インテリジェンスの相関に基づいて、アクセスポリシーの構成要素として、ユーザのリスク姿勢の全体像を組み込まない。したがって、必要とされるものは、対象（デバイス、アプリケーション、またはユーザ等）のリスク姿勢を考慮する、ランタイム時のアプリケーションセキュリティおよびユーザ評判の動的動作整合性証明を提供することによる、アプリケーションのランタイム動作整合性監視のためのシステムおよび方法である。さらに必要とされるものは、ＯＳベンダアプリケーションプログラミングインターフェース（ＡＰＩ）を利用する、セキュリティベンダによるオペレーティングシステム（ＯＳ）カーネルへの「フック」を必要とすることなく、非侵入型プラットフォーム機器を使用して、無署名異常挙動認識を介した感染診断後の脅威識別を行うためのシステムおよび方法である。
【００１１】
新たなクラウドベースのアプリケーションホスティングモデルは、デバイスおよびユーザセキュリティ姿勢のより高いレベルの精査を必要とする。脅威は、外部および内部ユーザの両方によって引き起こされ得、したがって、認証ユーザが信頼できる操作者かどうかを判定することがより困難になっている。アプリケーションおよびネットワーク層権利付与は、大部分が本質的に静的である。役割ベースのアクセス制御（ＲＢＡＣ）システムは、動的ポリシーを提供するように位置付けられるが、これらは、トランザクションにおけるユーザのコンテキスト内の外部脅威インテリジェンスの集約のいかなる形態にも基づかない。
【００１２】
ウェブおよび企業アプリケーション用の識別連合およびシングルサインオン（ＳＳＯ）を促進することを目的としている、セキュリティトークンサービス（ＳＴＳ）による識別のトークン化は、粒度の細かいコンテキストを伴わずに認証ユーザが暗示的にアクセスし得る、リソースの範囲を拡張することによって、脅威ベクトルを悪化させてきたにすぎない。ファイヤウォールおよび侵入防止システム等の従来のセキュリティ制御によって提供される粗いアクセスポリシーとともに、これは、厳密な義務の分離（ＳｏＤ）および最小権限の原理（ＰｏＬＰ）の実施がない場合に、現在ほとんどのユーザ（およびグループ）にデフォルトで与えられる過剰特権を利用する悪意のあるユーザによる、アプリケーション悪用のための攻撃表面を増加させる。
【００１３】
いくつかの研究は、企業および消費者にとって機密データの盗用、知的財産または財務的損失をもたらす、悪意のあるアクティビティと関連付けられる、最大のリスクが、部外者または介入者攻撃よりもむしろ内部者から生じるという決定的な証拠を明らかにしている。脅威査定システムは、主に、敵対者またはオペレータ（すなわち、ユーザ）よりもむしろ、手段および方法に集中してきた。アクセスポリシー決定論理との統合のためのリアルタイム整合性測定基準としてのトランザクションまたはビジネスプロセスにおけるユーザの評判スコアには重点が置かれていなかった。したがって、さらに必要とされるものは、悪用およびデータ侵害の積極的防止のための介入の懲罰的または是正的方法のいずれか一方としての機能を果たすことができる、ユーザ評判スコアを採用するシステムおよび方法である。
【００１４】
信頼できる演算の１つの目標は、リソース所有者またはサービスプロバイダにターゲットシステムについての信頼性のある知識を提供することである。現在の証明システムは、これらのシステムについての証拠の信頼性のあるステートメントが、他のコンピュータを含む遠隔関係者に伝えられることを可能にする、コンピュータシステムの構成要素である。システム（すなわち、評価されているターゲットシステム）の構成要素の識別および整合性の評価を通して、ターゲットシステムが定義されたクラスの不正行為に従事しないであろうという証拠が生成される。システムにアクセスするユーザ、およびシステム上で作動するアプリケーションの要件を、概して、事前に知ることができないため、証明システムおよび測定システムは、同様に、プライバシー、測定の完全性、ならびに基本的収集および報告機構への信頼を提供して、融通が利かなければならない。
【００１５】
既存の証明システムは、多くの場合、狭く集中的であり、概して、ハードウェアおよびアプリケーション等のシステム構成要素に限定された特定の使用事例を目的としており、したがって、典型的には、より一般的な証明問題に動的に対処する融通性が欠けている。さらに、証明の既存の定義は、主に、具体的な使用事例で望ましい、具体的な狭い特定の性質を表すことに焦点を合わせる。加えて、現在の証明システムは、目的とするシステムのユーザまたはオペレータの評判を考慮することなく、目的とする１つの特定のシステムを標的にする、１つの特定の測定システムと連動するように作成される。
【００１６】
したがって、本発明者らが望ましいものとして識別しているものは、必ずしもモノリシックではなく、多様なハードウェアおよびソフトウェアプラットフォームで構成することができ、様々な証明書および評判を伴うユーザによってアクセスすることができる、システムの信頼のレベルを判定するようにリスクの計算を行う、技術ベースの証明アーキテクチャ、システム、および方法である。したがって、本発明者らが望ましいものとして識別しているものは、ターゲットシステムにアクセスするユーザの評判を考慮することを含む、証明の様々な概念に適応するほど十分に融通が利き得る、証明アーキテクチャ、システム、および方法である。また、本発明者らが望ましいものと見なすものは、複雑な証明シナリオを動的に取り扱い、現在達成可能である、より完全なランタイム証明を提供することができる、証明システムおよびアーキテクチャである。加えて、本発明者らが望ましいものと見なすものは、証拠ベースの自動アプリケーションバイナリ分析を行うための方法およびシステムである。
【発明の概要】
【課題を解決するための手段】
【００１７】
（本開示の要約）
複数のアサーション（または、ステートメント）を使用して、またはそれに基づいて、ランタイム時の機器化されたターゲットプラットフォーム上で、１つ以上のシステムを連続的に監視し、および／またはシステムの事象および挙動を相関させるための例示的な方法およびシステムが開示される。
【００１８】
例示的実施形態では、方法、装置、システム、およびコンピュータ可読媒体は、マルウェアが終点デバイスにおける一連の良性アクションを通して動作し得る、高度な低度かつ低速の攻撃の偵察ベースのインテリジェンス相関および脅威ライフサイクルモデルに基づいて、感染診断を行う。
【００１９】
他の例示的実施形態では、方法、装置、システム、およびコンピュータ可読媒体は、複数の脅威ベクトルに基づいてシステムの動作整合性測定基準を表示することが可能なランタイムダッシュボードを伴って、クラウドコンピューティング環境内の可視性、制御、および／またはコンプライアンスを有効にする、複数のサービスを備える。
【００２０】
さらに他の例示的実施形態では、方法、装置、システム、およびコンピュータ可読媒体は、例えば、ネットワークパケット内のカプセル化ヘッダと関連付けられたトポロジーベースの座標の代わりに、整合性およびコンテキストを意識したビジネス論理に基づいてプロビジョニングされる、デバイス整合性の動的証明および／またはセキュリティ制御に基づく、デバイス・ネットワークフローを確立する。
【００２１】
アプリケーション整合性の動的証明のための例示的なシステムおよび方法は、両方ともそれらの全体で参照することにより本明細書に組み込まれる、２０１２年２月１６日出願の「Ｓｙｓｔｅｍ  ａｎｄ  Ｍｅｔｈｏｄ  ｆｏｒ  Ａｐｐｌｉｃａｔｉｏｎ  Ａｔｔｅｓｔａｔｉｏｎ」と題された米国非仮特許出願第１３／３９９，０６５号、および２０１１年２月１７日出願の「Ｓｙｓｔｅｍ  ａｎｄ  Ｍｅｔｈｏｄ  ｆｏｒ  Ａｐｐｌｉｃａｔｉｏｎ  Ａｔｔｅｓｔａｔｉｏｎ」と題された米国仮特許出願第６１／４４３，８５４号で説明されている。
【００２２】
例示的実施形態によると、方法、装置、システム、およびコンピュータ可読媒体は、デバイスの動的証明に基づいて、認証段階中に、確立された接続においてユーザ・アプリケーショントランザクションおよび／またはデータ交換を認可する。
【００２３】
さらなる例示的実施形態によると、方法、装置、システム、およびコンピュータ可読媒体は、ネットワークアクティビティ、システム構成、リソース利用、およびアプリケーション整合性を相関させるように、ネットワークおよび終点センサからの複数のセンサ入力に基づいてリスクの計算を判定する。
【００２４】
例示的実施形態によると、ネットワークおよび終点センサは、ランタイム動作整合性を測定し、および／またはルールセットに基づいて基準からの挙動の異常な逸脱を検出して段階的アラートを生成するように構成されてもよい。
【００２５】
例示的実施形態によると、方法、装置、システム、およびコンピュータ可読媒体は、アラートを受信し、リスクを計算し、警告を生成するように構成される、事象および挙動相関エンジンを備える。
【００２６】
他の例示的実施形態では、方法、装置、システム、およびコンピュータ可読媒体は、リスクの計算に基づいて、逸脱させられている、脆弱性である、脅迫を受けている、または損なわれているシステムを改善する。
【００２７】
さらに他の例示的実施形態では、方法、装置、システム、およびコンピュータ可読媒体は、（１）脆弱性、構成、コンプライアンス、およびパッチスキャンサービスからスキャンレポートを受信するように構成される相関エンジンと、（２）要素を分析するために使用されるスキャンレポートの要素を記憶するように構成されるリスク相関行列と、（３）システムの整合性プロファイルを生成するように構成されるモジュールとを含む。
【００２８】
本開示の例示的な技術的解決法はまた、（１）複数のプレディケートスコアに基づいて時間的システム事象を相関させる、事象相関論理と、（２）属性あたりの規定値制約（または測定基準、すなわち、属性制約）からの逸脱に基づいてプレディケートスコアを判定する論理と、（３）逸脱に反比例するスコアを計算するための論理と、（４）必要測定頻度を達成するために必要とされるサンプルレートを判定するための論理と、（５）連続的逸脱の再現を判定するための論理と、（６）属性制約の加重を識別するための論理と、（７）プレディケートスコアの加重平均としてシステムまたはプロセス（またはアプリケーション）エンティティの整合性信頼を判定するための論理と、（８）（複数のシステムまたはプロセスにわたって）異常値を判定して例外として識別するための論理とを備える、方法、装置、システム、およびコンピュータ可読媒体として具現化されてもよい。
【００２９】
本明細書で開示される例示的な方法、装置、アーキテクチャ、システム、およびコンピュータ可読媒体はまた、以下を含むが、それらに限定されない、脅威識別カテゴリを使用してもよい。
【００３０】
（１）静的画像分析（すなわち、バイナリファイル、中間コード、および／またはスクリプトの静的分析）、
【００３１】
（２）プロセス、プラットフォーム、およびネットワークモニタを用いた動的画像（バイナリ、中間コード、またはスクリプト）分析、
【００３２】
（３）回避技法のためのマルウェア分析（多重パッキング、難読化されたアプリケーションプログラミングインターフェース（ＡＰＩ）、アンチデバッギング、アンチメモリ、アンチトレーシング、仮想マシンモニタ／マネージャ（ＶＭＭ）、またはハイパーバイザ／エミューレタ検出）、
【００３３】
（４）ネイティブマシン機器、レジストリ、およびファイルシステムモニタを通して取得される性能測定基準の動的システム分析、
【００３４】
（５）連結整合性測定および検証査定ならびにスキャンレポートを伴う時間的システム分析。
【００３５】
本開示の例示的な技術的解決法は、（１）システム（またはプラットフォーム）プレディケートスコアの加重平均と、（２）システム（またはプラットフォーム）異常値と、（３）プロセス（またはアプリケーションパッケージ）プレディケートスコアの加重平均と、（４）プロセス異常値とを含む、整合性信頼測定のための方法、装置、および／またはシステムとして具現化されてもよい。
【００３６】
本開示の例示的な技術的解決法はまた、（１）複数のユーザのアクションによってモデル化される脅威ベクトル、（２）アクセスしたオブジェクト（リソース）帰属、対象の役割、大域的に一意の対象識別子、セキュリティ情報および事象管理分析、および地理的位置サービスに関係するインテリジェンスの集約を伴うリスク相関のうちの１つ以上に基づいて、複数のユーザに対するユーザ評判スコアを生成するための方法、装置、アーキテクチャ、システム、およびコンピュータ可読媒体として具現化されてもよい。
【００３７】
本開示の例示的な技術的解決法は、請求された発明が限定されない、付随の図面と併せて熟読されたときに、以下の発明を実施するための形態から最も理解される。一般的実践に従って、図面の種々の特徴／要素は、正確な縮尺で描かれていない場合がある。共通参照数字は、類似特徴／要素を表す。以下の図が、図面に含まれる。
【図面の簡単な説明】
【００３８】
【図１】図１は、本開示の実施形態による、アプリケーションセキュリティの動作整合性証明およびユーザ評判を提供するための例示的システムのアーキテクチャ図である。
【図２】図２は、本開示の例示的実施形態による、終点およびネットワークアクティビティ相関のための例示的なシステムを図示する、概略図である。
【図３Ａ】図３Ａは、本開示の例示的実施形態による、早期警告および応答自動化が、監視、オーケストレーション、および改善を通して行われる、ステップを図示するフローチャートである。
【図３Ｂ】図３Ｂは、本開示の例示的実施形態による、システム間リスク査定および改善のためのデータフロー図である。
【図４】図４は、本開示の例示的実施形態による、ネットワーク終点査定を連結して正規化することによって、証明システムを構成するためのデータフロー図である。
【図５】図５は、本開示の例示的実施形態による、アプリケーション動作整合性を測定して評価するためのシステムの構成要素の間の通信を図示する。
【図６】図６は、本開示の例示的実施形態による、ネットワーク終点リスクを機器化して測定するためのデータフローを図示する、ブロック図である。
【図７Ａ】図７Ａは、本明細書で開示されるシステムおよび方法によって監視することができる、例示的な終点事象を描写する。
【図７Ｂ】図７Ｂは、本明細書で開示されるシステムおよび方法によって生成することができる、例示的な終点アラートを描写する。
【図７Ｃ】図７Ｃは、本開示の例示的実施形態による、終点アラートを相関させ、終点警告を生成するための方法を図示する、ブロック図である。
【図８】図８は、本開示の例示的実施形態による、システムの動作整合性を判定するために複数の事象を相関させるための信頼オーケストレーションアーキテクチャのブロック図である。
【図９】図９は、本開示の例示的実施形態による、ユーザの評判を判定するために複数の識別、在庫、およびログ管理システムを連結して相関させるためのシステムのブロック図である。
【図１０】図１０は、本開示の例示的実施形態による、リスクの計算を判定するためのシステムのブロック図である。
【図１１】図１１は、本開示の例示的実施形態による、リスクの計算に基づいて対象評判スコアを生成するためのシステムのブロック図である。
【図１２】図１２は、本開示の例示的実施形態による、リスクの計算に基づくネットワークフロー改善のためのシステムのブロック図である。
【図１３】図１３は、本開示の例示的実施形態による、リスクの計算に基づいてモバイルデバイスおよび無線ネットワークフローを改善することによって、モバイルセキュリティを提供するためのシステムを図示する、ブロック図である。
【図１４】図１４−１８は、種々の例示的実施形態による、動作ランタイム整合性、システム構成、リソース、アプリケーション整合性、およびネットワークアクティビティのためのダッシュボードを含む、例示的な信頼管理コンソール用のグラフィカルユーザインターフェース（ＧＵＩ）を描写する。
【図１５】図１４−１８は、種々の例示的実施形態による、動作ランタイム整合性、システム構成、リソース、アプリケーション整合性、およびネットワークアクティビティのためのダッシュボードを含む、例示的な信頼管理コンソール用のグラフィカルユーザインターフェース（ＧＵＩ）を描写する。
【図１６】図１４−１８は、種々の例示的実施形態による、動作ランタイム整合性、システム構成、リソース、アプリケーション整合性、およびネットワークアクティビティのためのダッシュボードを含む、例示的な信頼管理コンソール用のグラフィカルユーザインターフェース（ＧＵＩ）を描写する。
【図１７】図１４−１８は、種々の例示的実施形態による、動作ランタイム整合性、システム構成、リソース、アプリケーション整合性、およびネットワークアクティビティのためのダッシュボードを含む、例示的な信頼管理コンソール用のグラフィカルユーザインターフェース（ＧＵＩ）を描写する。
【図１８】図１４−１８は、種々の例示的実施形態による、動作ランタイム整合性、システム構成、リソース、アプリケーション整合性、およびネットワークアクティビティのためのダッシュボードを含む、例示的な信頼管理コンソール用のグラフィカルユーザインターフェース（ＧＵＩ）を描写する。
【図１９】図１９−２２は、本開示の技術の種々の例示的実施形態による、脅威識別および改善、ユーザ評判サービスを提供する、およびネットワークフローレベル改善を提供するための方法を図示する、フローチャートである。
【図２０】図１９−２２は、本開示の技術の種々の例示的実施形態による、脅威識別および改善、ユーザ評判サービスを提供する、およびネットワークフローレベル改善を提供するための方法を図示する、フローチャートである。
【図２１】図１９−２２は、本開示の技術の種々の例示的実施形態による、脅威識別および改善、ユーザ評判サービスを提供する、およびネットワークフローレベル改善を提供するための方法を図示する、フローチャートである。
【図２２】図１９−２２は、本開示の技術の種々の例示的実施形態による、脅威識別および改善、ユーザ評判サービスを提供する、およびネットワークフローレベル改善を提供するための方法を図示する、フローチャートである。
【図２３】図２３は、本開示の実施形態による、評判採点システムのエンティティの間の関係を図示する、エンティティ関係図（ＥＲＤ）である。
【図２４】図２４は、本開示の実施形態による、対象評判スコアの階層的表現を図示する。
【図２５】図２５は、本開示の例示的実施形態による、ネイティブマシン機器への拡張を伴うアプリケーション事象を監視するためのアーキテクチャのブロック図である。
【図２６】図２６は、実施形態が実装され得る、例示的コンピュータシステムの略図である。
【発明を実施するための形態】
【００３９】
（詳細な説明）
本発明は、ある例示的実施形態を参照して、本明細書で図示および説明されるが、本発明は、それに限定されることを意図するものではない。むしろ、本発明から逸脱することなく、請求項の同等物の適用範囲および活動範囲内である、種々の修正が行われてもよい。本明細書で説明される種々の特徴、特性、利点は、本請求される発明の種々の実施形態に存在してもよく、またはそうでなくてもよい。
【００４０】
本明細書の発明を実施するための形態では、「一実施形態」、「実施形態」、「例示的実施形態」等の言及は、説明される実施形態が、特定の特徴、構造、または特性を含み得るが、全ての実施形態が必ずしも特定の特徴、構造、または特性を含まない場合があることを示す。また、そのような語句は、必ずしも同一の実施形態を指しているわけではない。さらに、特定の特徴、構造、または特性が、実施形態に関連して説明されるとき、それは、明示的に説明されているか否かにかかわらず、他の実施形態に関連して、そのような特徴、構造、または特性に影響を及ぼすように、当業者の知識の範囲内であることが提起される。
【００４１】
ある例示的実施形態では、相互接続されたシステムにわたって脅威のさらなる伝播がある前、または情報が引き出されてデータ損失あるいは盗用をもたらす前に、基準の健全な動作状態から、脆弱な、または損なわれた状態への挙動逸脱が検出され、感染が識別されてもよい。
【００４２】
企業エコシステム内の管理されていないスマートフォンおよび個人所有機器持ち込み（ＢＹＯＤ）イニシアチブの増殖が、従来のネットワークおよび終点セキュリティ制御を回避し、標準プロトコルにわたって接続されたシステムに伝播する高度なマルウェアの能力を増加させてきた。種々の例示的実施形態は、感染したデバイスのトランザクションおよび／またはフローレベル改善のために、複数のセンサ入力からのリスクの計算に基づいて、社内または社外サービスとのトランザクションにおけるデバイスおよび／またはユーザの動作整合性の判定を含む。
事象およびアクティビティの監視および動的分析のためのネットワーク
【００４３】
図１は、事象およびネットワークアクティビティを連続的に監視して動的に分析し、監視されたシステム（すなわち、ターゲットシステム）の整合性を確認するように構成される、例示的ネットワーク１００のアーキテクチャ図である。
【００４４】
図１で提供される例示的実施形態を参照すると、ネットワーク１００は、複数のセンサ入力を使用した連続的監視１１０に基づいてリスク相関１２０を行うように構成される、事象および挙動相関エンジン１３０を含む。図１の実施形態では、センサ入力は、ネットワークアクティビティ１１１、システム構成１１３、リソース利用１１５、およびアプリケーション整合性１１７のうちの１つ以上を含むことができるが、それらに限定されない。ネットワーク１００はまた、システムの動作整合性の可視性のためにリアルタイム状態指示表示１３１を受信するように構成される、ランタイムダッシュボード１５０と、感染したシステムの制御のためにリアルタイム指令１３２を受信するように構成される、改善エンジン１７０とを備える。
【００４５】
事象および挙動相関エンジン１３０は、ネットワークアクティビティセンサ１１１からのネットワーク事象および感染プロファイル１１２、システム構成センサ１１３によって行われるスキャンの整合性測定および検証レポート１１４を受信するように構成される。実施形態によると、スキャンは、スケジュールに従って構成センサ１１３によって行われる。実施形態では、スキャンは、必要に応じて、毎日、毎週、隔週、毎月、または他の時間増分で作動するように予定に入れることができる。
【００４６】
図１に示されるように、事象および挙動相関エンジン１３０はまた、リソース利用センサ１１５からのコンピューティング、ネットワーク、および記憶装置リソース消費の終点事象１１６、およびアプリケーション整合性センサ１１７からの画像プロファイルおよびローカル実行コンテキストの終点事象１１８を受信するようにも構成される。システム構成センサ１１３、リソース利用センサ１１５、アプリケーション整合性センサ１１７、および終点事象１１６、１１８の例示的な実装の詳細が、図４−７を参照して以下で説明される。
【００４７】
改善エンジン１７０は、構成されたトリガ制御に基づいて、仮想マシン（ＶＭ）１７２へのアクション１７１、ネットワークフローコントローラ１７４へのアクション１７３、またはトランザクション１７６へのアクション１７５を行ってもよい。
【００４８】
当業者によって理解されるように、ＶＭは、オペレーティングシステム（ＯＳ）の実行をサポートし、そのＯＳを実行するであろう物理的マシンとしてアプリケーションを実行する、サーバ、パーソナルコンピュータ、モバイルコンピューティングデバイス、または他のコンピューティングデバイス等のマシンのソフトウェア実装である。ＶＭは、ハードウェアおよびソフトウェアで実装される物理的マシンの機能性を複製する、ソフトウェア実装である。ソフトウェアアプリケーションおよびＶＭ上で作動するＯＳは、ＶＭによって提供されるリソースおよび抽象化に限定される。仮想マシン（ＶＭ）は、全体的な仮想インフラストラクチャ内で視認可能であり得る。当業者によって理解されるように、ＶＭを起動、監視、および管理するために、ＶＭＭまたはハイパーバイザを使用することができる。そのようなハイパーバイザは、ＶＭＷＡＲＥＴＭ  Ｐｌａｙｅｒ、ＭＩＣＲＯＳＯＦＴＴＭ  ＶｉｒｔｕａｌＰＣ、ＳＵＮＴＭ  ＶｉｒｔｕａｌＢｏｘ、ＶＭＷＡＲＥＴＭ  ＥＳＸ／ＥＳＸｉ、ＭＩＣＲＯＳＯＦＴＴＭ  Ｈｙｐｅｒ−Ｖ、ＣＩＴＲＩＸＴＭ  ＸＥＮＳｅｒｖｅｒ、ＰＡＲＡＬＬＥＬＳＴＭ、およびその他等のＶＭＭであり得るが、それらに限定されない。当業者に明白となるように、他のハイパーバイザおよびＶＭ／仮想化解決法も、ネットワーク１００内のＶＭ１７２に使用することができる。
終点およびネットワークアクティビティ相関のための例示的システムおよび方法
【００４９】
図２は、終点およびネットワークアクティビティ相関のための例示的なシステム２００を図示する、概略図である。具体的には、図２に示されるシステム２００は、終点事象のための入力を受信し、事象を相関させ、限定されないが、警告およびレポート等の出力を生成するように構成される。
【００５０】
図２に示されるように、例示的なシステム２００は、アプリケーション整合性２１１、リソース利用２１２、およびシステム構成２１３のうちの１つ以上に関係する終点事象を検出するように構成される複数のセンサを用いて、機器化されたシステム２１０から終点アラート２３０を受信するように構成される、終点事象相関モジュール２４０を含んでもよい。システム２００はまた、ネットワークアクティビティセンサ２２０からネットワークアラート２５０を受信するように構成される、ネットワークアクティビティ相関モジュール２６０も備える。
【００５１】
図２を続けて参照すると、ネットワークアクティビティ相関モジュール２６０はさらに、ネットワークアクティビティ相関に起因するネットワーク警告２７０を生成し、ネットワーク警告２７０をオーケストレータ２９０に出力するように構成される。オーケストレータ２９０は、ネットワークアクティビティ相関モジュール２６０からのネットワーク警告２７０、および終点事象相関モジュール２４０からの終点警告２８０を受信するように構成される。図２で描写される実施形態によると、受信したネットワーク警告２７０および終点警告２８０は、感染したシステムへの手動または自動アクションを調整するために、オーケストレータ２９０によって使用することができる。
【００５２】
図２を続けて参照すると、オーケストレータ２９０は、同様に、それぞれの複数のセンサおよび終点事象相関モジュールを用いて、１つ以上の付加的な機器化されたシステム（例えば、ＶＭ＃Ｎを参照）によって生成される警告を受信することができる。
【００５３】
図２に示されるように、機器化されたシステムは、アプリケーション整合性２１１、リソース利用２１２、およびシステム構成２１３のうちの１つ以上に関係する終点事象を検出するように構成される、それぞれの複数のセンサとともに、複数の仮想マシン（ＶＭ、すなわち、ＶＭ１…ＶＭ＃Ｎ）を含むことができる。
【００５４】
図３Ａは、例示的な方法による、監視、オーケストレーション、および改善を使用して、早期警告および応答自動化が行われる、ステップを図示するフローチャートである。
【００５５】
図３Ａに示されるように、例示的な方法３００は、システムのランタイム整合性を連続的に監視するように構成される、早期警告システム３０１から通信を受信することを含む。この連続的監視は、逸脱した、脆弱な、脅迫を受けている、および損なわれたシステム３０７の近リアルタイム判定および検出を可能にする。
【００５６】
方法３００は、従来のセキュリティ解決法に固有のセキュリティホールまたはギャップを埋めるように、レガシーセキュリティ技術３０５と併せて動作することができる。図３Ａで図示されるように、そのようなレガシーセキュリティ技術３０５は、アンチウイルスソフトウェア、ネットワークファイヤウォール、および侵入検出／防止システム（ＩＤＳ／ＩＰＳ）を含むことができる。早期警告システム３０１ならびに自動および迅速応答３０３と異なって、レガシーセキュリティ技術３０５は、署名を使用して、脅威および攻撃を監視するようにプロトコル異常またはサンドボックス内の仮想実行を検出することに限定される。図３Ａに示されるように、いったん攻撃または脅威のターゲット（すなわち、「ターゲットシステム」または脆弱性システム３０７）が感染するか、または損なわれると、これらの技術３０５は、損なわれた／感染したシステム３０７を保護し、データ侵害またはサービス妨害を防止することにおいて無効であり得る。
【００５７】
レガシーセキュリティ技術３０５の例示的制限が、図３Ａに示されている。例えば、図３Ａで描写されるように、アクセス制御リスト（ＡＣＬ）を使用する従来のネットワークファイヤウォール技術３０５は、全ての脅威を確実に遮断できるわけではない。これは、ファイヤウォールが、典型的には、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）等のウェブプロトコル、単純メール転送プロトコル（ＳＭＴＰ）およびポストオフィスプロトコル（ＰＯＰ）等のＥメールプロトコル、ならびにファイル転送プロトコル（ＦＴＰ）、機密ファイル転送プロトコル（ＳＳＨ）、セキュアＦＴＰ（ＳＦＴＰ）、テルネット、および遠隔デスクトッププロトコル（ＲＤＰ）等の他のプロトコル用のリスニングポートとして使用される、周知のデフォルトオープンポートを監視することに限定されるためである。ルールセットを使用するＩＤＳおよびＩＤＰ技術は、全てのゼロデイ署名／異常攻撃を検出できるわけではなく、検出漏れ、およびプラットフォーム／システムが裏口攻撃の影響を受けやすいままにすることに関する問題を有する。同様に、アンチウイルスソフトウェアは、ゼロデイ、突然変異、および低度かつ低速の感染を検出することができない。
【００５８】
方法３００はまた、セキュリティ監査スキャン３０８、および定位置にあり得る手動ＩＴプロセスを補完することもできる。例えば、組織は、周期的に（すなわち、毎週または隔週基準で）セキュリティ監査スキャンを実行してもよい。そのようなセキュリティ監査スキャンは、一般的な脆弱性暴露が逸脱した脆弱性システム３０７を識別するための米国標準技術局（ＮＩＳＴ）／セキュリティコンテンツ自動化プロトコル（ＳＣＡＰ）準拠チェックであってもよい。これらのスキャンからの結果は、チケット発行（すなわち、逸脱した／脆弱性システム３０７のための「トラブルチケット」を作成すること）およびセキュリティ／コンプライアンス審査委員会のための手動ＩＴプロセスの一部として使用されてもよい。しかしながら、図３Ａに示されるように、単なる周期的スキャンによってトリガされる、これらの手動プロセスは、脅威に反応するまで数日または数週間を要し、したがって、ターゲットシステムが長い露出窓に開放したままにし得る。
【００５９】
方法３００は、レガシー技術３０５、周期的監査スキャン３０８、および手動ＩＴプロセス３０９を改良し、感染したシステム３０７のオーケストレーションおよび改善のために自動および迅速応答３０３を実行することによって、それらの上記の欠点を補う。実施形態では、自動および迅速応答３０３は、監視およびオーケストレーションシステム（図示せず）によって行うことができる。図３の実施例では、プロトコル３０２が、早期警告システム３０１と監視およびオーケストレーションシステムとの間のデータ交換に使用される。
【００６０】
実施形態では、早期警告システム３０１は、ランタイム動作整合性を測定および評価して、システム３０７が逸脱している、脆弱になっている、脅迫を受けている、または損なわれているかどうかを判定するように、機器化システムを監視する。いったんこの判定が行われると、システム３０７は、逸脱したシステム、脆弱性システム、脅迫を受けているシステム、または損なわれた／感染したシステムのうちの１つ以上として、早期警告システム３０１によって標示されてもよい。次いで、早期警告システム３０１は、監視およびオーケストレーションシステムによって自動および迅速応答３０３を実行することができるように、プロトコル３０２を介してシステム３０７に関する警告を発行することができる。
【００６１】
図３Ｂは、例示的実施形態による、リスクの計算を判定するための例示的な方法３１０を図示する、概略図である。
【００６２】
図３Ｂを参照すると、例示的な方法３１０は、整合性測定および検証スキャン相関３１５、ネットワークアクティビティ相関３１６、および終点事象相関３１７を含む、機器３１３からセンサ入力３１４を受信する、データセンターアプリケーションおよびデータサイロのためのリスクの計算３２０を判定または行うことを含んでもよく、セキュリティオーケストレーション３２１のための整合性測定基準を生成してもよく、指令を、ユーザアクセス制御３２２のためにエッジデバイス３２３（例えば、ネットワークファイヤウォール）に、セッション制御３２４のためにロードバランサ３２５に、またはフロー制御３２６のためにネットワークファブリック要素３２７（例えば、スイッチまたはルータ）にディスパッチしてもよい。
【００６３】
図３Ｂを続けて参照すると、セキュリティオーケストレーション３２１は、感染したデバイスまたは悪意のあるユーザが保護されたデータセンターにアクセスすることを阻止する改善または軽減手段としてのユーザアクセス制御３２２と、感染したシステムからユーザを、または保護されたシステムから感染したデバイスを迂回させるセッション制御３２４と、感染したシステムを隔離し、保護されたシステムから離してトラフィックを迂回させ、または攻撃者から純粋な高相互作用または低相互作用ハニーポットへトラフィックを方向転換させるフロー制御３２６とを含んでもよい。
【００６４】
図４は、証明システムを構成するために使用されるデータフローを図示する。具体的には、図４は、例示的な証明システム４００のための構成の一部として、ネットワーク終点査定を連結して正規化するためのデータフローを描写する。
【００６５】
図４を参照すると、例示的な証明システム４００は、信頼オーケストレータ４３０と、終点査定サービス４０１によって公開される整合性レポート４０６を受信するように構成される、信頼ブローカ４０７とを含む。
信頼ブローカおよび整合性レポート
【００６６】
図４を続けて参照すると、信頼ブローカ４０７は、終点査定サービス４０１による、以下の図５を参照して説明されるデバイス５６０等のデバイスの遠隔管理されたスキャンに基づいて、システムの構成状態を表すセンサデータフィードを受信するように構成することができる。これらのスキャンは、システムの状態の時間におけるスナップショットであり、その上にアプリケーションを含むシステムのランタイム側面にとらわれない。
【００６７】
実施形態では、センサデータは、限定されないが、拡張マークアップ言語（ＸＭＬ）等のマークアップ言語で表される。整合性レポート４０６は、このセンサデータを含む。実施形態では、整合性レポート４０６は、プラットフォームおよびアプリケーションレベル粒度で第三者終点査定サービスによって生成される。実施形態によると、整合性レポート４０６は、（ａ）それぞれのアプリケーションベンダによって提供されるアウトバウンドアプリケーションプログラミングインターフェース（ＡＰＩ）を通してプログラムで、または（ｂ）特定ファイル形式で管理コンソールユーザインターフェース（ＵＩ）のダッシュボードを通して管理者によって提供されるファイルとして、整合性レポート４０６をインポートすることを通して手動でのいずれかで、信頼ブローカ４０７によって受信されてもよい。管理コンソールＵＩの実施例が、図１４−１８を参照して以下で議論される。
【００６８】
信頼ブローカ４０７はまた、受信した整合性レポート４０６を解析、正規化、および照合するように構成することもできる。実施形態によると、解析、正規化、および／または照合は、１つ以上のオブジェクト識別子に基づき得る。例示的なオブジェクト識別子は、マシンホスト名、ＩＰアドレス、アプリケーション名、およびパッケージ名を含むことができるが、それらに限定されない。この解析、正規化、および照合（集合的に処理）は、スキャン時間での終点（デバイス）の状態に注釈を付ける、時間的事象４０９を生成する。信頼ブローカの付加的な実施形態は、以下の図５、９、および１１を参照して説明される。
時間的事象
【００６９】
実施形態によると、時間的事象４０９は、基準構成のために確立された企業ポリシーに基づいて、動作パラメータ（例えば、脆弱性、コンプライアンス、パッチレベル等）についてのアサーションとして表現することができる。信頼ブローカ４０７は、信頼オーケストレータ４３０による状況認識および脅威識別のための終点動作状態測定を集約する、モデレータとしての機能を果たす。
【００７０】
図４を続けて参照すると、時間的事象４０９は、システム（デバイス、アプリケーション、およびパッケージを含む）の構成状態の注釈（例えば、ＸＭＬ表現）であり得、組織によって確立される標準に従って、整合性測定および検証に基づいて第三者セキュリティベンダによって生成されるような信頼および重大性スコアを含むことができる。これらの組織は、ＮＩＳＴ、ＭＩＴＲＥ  Ｃｏｒｐｏｒａｔｉｏｎ、およびＵｎｉｔｅｄ  Ｓｔａｔｅｓ  Ｃｏｍｐｕｔｅｒ  Ｅｍｅｒｇｅｎｃｙ  Ｒｅａｄｉｎｅｓｓ  Ｔｅａｍ（ＵＳ−ＣＥＲＴ）を含むことができる。時間的事象は、脆弱性、構成、パッチレベルを含む、構成情報およびシステム／マシン状態を表すシステム詳細を伝えるように、Ｏｐｅｎ  Ｖｕｌｎｅｒａｂｉｌｉｔｙ  ａｎｄ  Ａｓｓｅｓｓｍｅｎｔ  Ｌａｎｇｕａｇｅ（ＯＶＡＬ）で表現される、動作パラメータについてのアサーションであり得る。代替として、システム詳細は、ＳＣＡＰプロトコルを使用して伝えることができる。実施形態によると、状態表現は、重大性に基づいて構成、脆弱性（暴露）、コンプライアンス、およびパッチレベルを測定するように、スキーマ属性を含む。コンプライアンスは、システムの周辺構成要素相互接続（ＰＣＩ）バスに取り付けられたデバイスのためのＸＣＣＤＦチェックリストを使用する、拡張構成チェックリスト記述形式（ＸＣＣＤＦ）、ならびに医療保険の相互運用性と説明責任に関する法律（ＨＩＰＡＡ）、サーベンス・オクスリー法（ＳＯＸ）、および／またはグラム・リーチ・ブライリー法（ＧＬＢＡ）とのデータセキュリティ／システム整合性コンプライアンスに関して表現することができる。
【００７１】
図４に示されるように、整合性レポート４０６は、ネットワーク終点の脆弱性スキャン４０２、構成スキャン４０３、コンプライアンススキャン４０４、およびパッチスキャン４０５を含むが、それらに限定されない、１つ以上のスキャンを行うことによって生成することができる。実施形態では、信頼ブローカ４０７は、ＴＡＡＳＥＲＡ，  Ｉｎｃ．によるＴｒｕｓｔ−ａｓ−ａ−Ｓｅｒｖｉｃｅ（ＴａａＳ）ブローカとして実装することができる。１つの例示的実施形態では、信頼オーケストレータ４３０は、ＴＡＡＳＥＲＡ，  Ｉｎｃ．によるＴａａＳオーケストレータとして実装することができる。
【００７２】
図４を続けて参照すると、証明システム４００はさらに、正規化器および照合器４０８と、終点と関連付けられる時間的事象４０９を受信し、終点の整合性プロファイル４２０を相関させて生成するためにリスク相関行列４１１を使用するように構成される、システム事象相関器４１０とを備える。実施形態によると、図４に示されるシステム事象相関器４１０は、最後のスキャン時のシステムの整合性を測定する、信頼ブローカ４０７によって生成される時間的事象４０９を受信するように構成することができる。システム事象相関器４１０の付加的な例示的特徴が、図５を参照して以下で説明される。
整合性プロファイル
【００７３】
図４−６の実施形態では、整合性プロファイル４２０は、受信した時間的４０９および終点５２０事象に基づいて識別される、システム警告（マルウェア等の脅威）の集約を表す。一実施形態では、整合性プロファイル４２０の形式（スキーマ）は、標準拡張マークアップ言語（ＸＭＬ）表記である。
リスク相関行列
【００７４】
実施形態では、図４−６で描写されるリスク相関行列４１１、および７Ａ−７Ｃを参照して説明されるリスク相関行列７２１は、警告カテゴリまたはクラスにマップされ得るシステム警告を生成するように、独立終点事象（アラート）のクラスタ化および分類に基づいて、測定および識別の例示的な動的モデルを表す、グリッドとして具現化される。リスク相関行列４１１および７２１の付加的な詳細が、図６、７Ｂ、および７Ｃを参照して以下で提供される。
アプリケーションの動作整合性を評価するためのシステム
【００７５】
図５は、アプリケーション動作整合性を測定および評価するためのシステム５００の構成要素の間の通信を図示する。具体的には、図５は、実行可能画像プロファイルおよびプロセス監視に基づいてアプリケーション整合性を評価し、プロセスおよびシステム監視に基づいてリソース利用を評価するために使用される、アプリケーション動作整合性システム５００の構成要素の間の通信を描写する。実施形態では、画像プロファイルは、限定されないが、バイナリ画像、中間画像、またはスクリプト等の実行可能画像について生成される。図５は、図４で図示される実施形態を続けて参照して説明される。しかしながら、図５は、その実施形態に限定されない。
【００７６】
図５に示されるように、例示的なアプリケーション動作整合性システム５００は、アプリケーションおよびサービスのローカル実行コンテキストを観察するように構成されるプロセスモニタ５１４を備える、デバイス５６０上の終点信頼エージェント５１０を含む。終点信頼エージェント５１０はさらに、アプリケーションおよびサービスのネットワークアクティビティを観察するように構成される、ソケットモニタ５１３と、アプリケーションおよびサービスによって消費されるシステムおよびプラットフォームリソースを観察するように構成される、システムモニタ５１２とを備える。図５で提供される例示的実施形態では、信頼エージェント５１０はまた、アプリケーション整合性モジュール５１６と、ルールセットに基づいて動作整合性を査定するように構成されるリソース利用モジュール５１５とを含む。信頼エージェント５１０はまた、アプリケーション動作整合性システム５００によって監視されているコンピューティングデバイス用のネイティブマシン機器５１１を備えることもできる。
デバイス
【００７７】
実施形態では、図５で描写されるデバイス５６０は、（ａ）オペレーティングシステム（ＯＳ）と、（ｂ）ネットワークを経由してサービスまたは別のデバイス５６０にアクセスするようにデバイスを動作するユーザと、（ｃ）後の実行のためにユーザ介入を伴って、または伴わずにのいずれかで、ダウンロードおよびインストールされ得る、アプリケーションパッケージ、アプリケーション、またはアプリケーション構成要素を備える、デスクトップ、サーバ、ラップトップ、スマートフォンまたはタブレット等のモバイルコンピューティングデバイス、または他の種類のモバイルコンピューティングプラットフォームであってもよい。デバイス５６０の非限定的実施例は、ＭＩＣＲＯＳＯＦＴＴＭ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステム（ＯＳ）を実行するパーソナルコンピュータ、サーバ、ラップトップ、またはタブレットデバイス、Ａｐｐｌｅ  Ｉｎｃ．によるＯＳＸ  ＯＳを実行するパーソナルコンピュータ、サーバ、またはラップトップ、ＵＮＩＸ（登録商標）またはＬｉｎｕｘ（登録商標）  ＯＳを実行するパーソナルコンピュータ、サーバ、またはラップトップ、携帯情報端末（ＰＤＡ）、Ａｐｐｌｅ  Ｉｎｃ．によるｉＯＳを実行するｉＰｈｏｎｅＴＭ、ｉＰｏｄＴＭ  ｔｏｕｃｈ、またはｉＰａｄＴＭタブレットデバイス、Ｇｏｏｇｌｅ  Ｉｎｃ．によるＡｎｄｒｏｉｄ  ＯＳを操作するデバイス、ＭＩＣＲＯＳＯＦＴＴＭ  ＷＩＮＤＯＷＳ（登録商標）  ＭｏｂｉｌｅまたはＰｈｏｎｅ  ＯＳを実行するデバイス、Ｓｙｍｂｉａｎ  ＯＳを実行するデバイス、ＰＡＬＭ  ＯＳ（登録商標）を実行するデバイス、Ｒｅｓｅａｒｃｈ  Ｉｎ  Ｍｏｔｉｏｎ  （「ＲＩＭ」）によるＢｌａｃｋｂｅｒｒｙ  ＯＳを実行するＢＬＡＣＫＢＥＲＲＹ（登録商標）デバイス、携帯電話、携帯用ゲームデバイス、ゲームコンソール、ハンドヘルドコンピュータ、ネットブックコンピュータ、パームトップコンピュータ、ウルトラモバイルＰＣ、または命令を処理し、ユーザおよびコンピューティングデバイスからデータを受信し、そこへデータを伝送することが可能である、別の類似する種類のコンピューティングデバイスを含む。
ネイティブマシン機器
【００７８】
実施形態では、ネイティブマシン機器５１１は、デバイス５６０上のサポートされたオペレーティングシステム（ＯＳ）によって提供される、任意の事象登録、コールバック、通知機構を表すことができる（例えば、ＭＩＣＲＯＳＯＦＴＴＭ  ＷＩＮＤＯＷＳ（登録商標）マシン機器（ＷＭＩ）、トランスポートフィルタドライバ、アプリケーション層実施呼び出しドライバ、Ｌｉｎｕｘ（登録商標）／Ｕｎｉｘ（登録商標）ネットワークフィルタドライバ等）。ネイティブマシン機器５１１は、単離発生として有意ではないと考えられ得るが、事象およびリスク相関システムへの挙動異常または悪意のあるアクティビティのフォレンジック証拠として顕著なデータ点を含み得る、図７Ａの例証的実施例を参照して以下で説明されるような未処理事象を生成することができる。
【００７９】
図５を参照すると、信頼ブローカ４０７は、終点信頼エージェント５１０から、デバイス５６０および構成要素上で作動するアプリケーションに関する１つ以上の状態属性を受信するように構成することができる。信頼ブローカ４０７は、画像分析に対する要求を１つ以上の第三者マルウェア分析器５４０にディスパッチするように構成される、アービトレータとしての機能を果たす。一実施形態では、ディスパッチ機構は、画像分析の開始を保証する一式の基準（例えば、展開された終点信頼エージェントにわたる画像と関連付けられる分析のための要求の頻度および量）、および第三者マルウェア分析器５４０への各利用可能なコネクタのために構成されるパラメータを特定する、トリガフィルタ表現を使用する。実施形態によると、パラメータは、費用、待ち時間、およびプラットフォーム特有の分析能力を含む。そのようなプラットフォーム特有の分析能力は、限定されないが、Ｇｏｏｇｌｅ  Ｉｎｃ．によるＡｎｄｒｏｉｄオペレーティングシステム（ＯＳ）、ＰＡＬＭ  ＯＳ（登録商標）、ＭＩＣＲＯＳＯＦＴＴＭ  ＷＩＮＤＯＷＳ（登録商標）  ＭｏｂｉｌｅまたはＰｈｏｎｅ  ＯＳ、Ｓｙｍｂｉａｎ  ＯＳ、Ｒｅｓｅａｒｃｈ  Ｉｎ  ＭｏｔｉｏｎによるＢｌａｃｋｂｅｒｒｙ  ＯＳ（すなわち、ＢＬＡＣＫＢＥＲＲＹ（登録商標）デバイス５６０）、またはｉＯＳ（すなわち、ｉＰｈｏｎｅＴＭ、ｉＰｏｄＴＭ  ｔｏｕｃｈ、またはｉＰａｄＴＭデバイス５６０）を実行するデバイス５６０等のモバイルプラットフォーム上のアプリケーションの静的および動的分析を含むことができる。
【００８０】
第三者マルウェア分析器５４０は、信頼ブローカによって特定されるポリシーに基づいてアプリケーション画像の静的および動的分析を行う。マルウェア分析の結果は、分析に基づいて識別される一式の脅威である。信頼ブローカは、画像の一意の識別子によってインデックスを付けられる分析の結果をキャッシュに格納する。信頼ブローカは、終点信頼エージェント５１０による終点事象５２０の後続の生成のために、ランタイム時に監視されなければならない画像の悪意のある能力のアサーションを備える、画像プロファイル５１９を生成し、終点信頼エージェント５１０に返信する。
終点事象
【００８１】
図５に示される実施形態では、終点事象５２０は、終点信頼エージェント５１０の構成要素によって生成され、デバイス５６０上に存在する終点センサに基づいてアラートを表す。アラートは、システム事象相関器４１０によって、リスク相関行列４１１のグリッドの中のセルにマップされる。一実施形態では、終点事象５２０の形式（スキーマ）は、標準拡張マークアップ言語（ＸＭＬ）表記である。終点事象５２０の付加的な特徴が、図６を参照して以下で説明される。
【００８２】
図５を続けて参照すると、アプリケーション動作整合性システム５００は、システム事象相関器４１０と、信頼ブローカ４０７とを備える、信頼オーケストレータ４３０を含むことができる。アプリケーション動作整合性システム５００はさらに、マルウェア分析器５４０を含むことができる。実施形態では、信頼オーケストレータ４３０は、ＴＡＡＳＥＲＡ，  Ｉｎｃ．によるＴａａＳオーケストレータとして実装することができる。
【００８３】
図５で描写される例示的実施形態によると、システム事象相関器４１０は、リスクの計算へのセンサ入力として、終点信頼エージェント５１０から終点事象５２０を受信するように構成することができる。信頼ブローカ４０７は、画像ファイルおよび画像属性５１８を受信し、次いで、診断のために受信した画像ファイルをマルウェア分析器５４０に送信するように構成される。信頼ブローカはまた、非同期予後５３３を受信し、アプリケーション整合性モジュール５１６における診断のためにルールセット処理に含むように、非同期画像プロファイル５１９をプロセスモニタ５１４に転送することもできる。
システム事象相関器
【００８４】
実施形態によると、図５に示されるシステム事象相関器４１０は、最後のスキャン時にシステムの整合性を測定する信頼ブローカ４０７によって生成される時間的事象４０９、およびアプリケーションのランタイム実行状態を測定する終点信頼エージェント５１０からの終点事象５２０を受信するように構成することができる。システム事象相関器４１０はさらに、事象をリスク相関行列４１１のグリッドの中のセルにマップするように構成することができ、カテゴリ（またはベクトル）別に脅威を評価するように、トリガされたシステム警告を処理する。一実施形態では、カテゴリは、少なくとも、リソース利用、システム構成、およびアプリケーション整合性を含む。各カテゴリは、リスク相関行列４１１によって生成されるシステム警告および脅威分類に基づいてアサートされ得る、ランタイム動作整合性のレベルの指標である、測定基準を割り当てられる。システム事象相関器４１０はまた、デバイス５６０上の実行アプリケーションの測定された実行状態によって引き起こされるセキュリティリスクおよび脅威を表す、デバイス５６０の整合性プロファイル４２０を生成するように構成することもできる。
【００８５】
図６は、終点事象を相関させるための例示的なシステムの構成要素の間のデータフローを描写する。具体的には、図６は、システム事象相関システム６００の構成要素およびモジュールの間のデータフローを図示する。図６は、図４および５で図示される実施形態を続けて参照して説明される。しかしながら、図６は、これらの実施形態に限定されない。
【００８６】
図６を参照すると、例示的な相関システム６００は、デバイス５６０上のネイティブマシン機器５１１からの複数の未処理事象６１１に登録して受信するように構成される、ランタイムモニタ６２０を備える、デバイス５６０上の終点信頼エージェント５１０を含む。ランタイムモニタ６２０はさらに、ルールセット６３１を適用して整合性アラート６３２を生成し、信頼オーケストレータ４３０にディスパッチするために整合性警告６３４を終点事象５２０にマップする事象相関行列６３３を生成するか、またはそれにデータ投入し得る、整合性プロセッサ６３０へ整合性事象６２１を提起するように構成される。
【００８７】
図６および７Ａ−７Ｃに示される実施形態では、終点事象５２０は、終点信頼エージェント５１０の構成要素である、整合性プロセッサ６３０によって生成され、デバイス５６０上に存在する終点センサに基づいてアラートを表す。図５を参照して上記で説明されるように、次いで、アラートは、ＸＭＬ表記で表現される終点事象５２０を読み取るように構成することができる、システム事象相関器４１０によって、リスク相関行列４１１のグリッドの中のセルにマップすることができる。
【００８８】
図６で提供される例示的実施形態を続けて参照すると、信頼オーケストレータ４３０は、監視されたシステム（すなわち、ターゲットシステム）の整合性プロファイル４２０を生成するためにリスク相関行列４１１を使用するように構成される、システム事象相関器４１０を備える。一実施形態では、システム事象相関器４１０は、相関エンジンとして実装することができる。別の実施形態では、信頼オーケストレータ４３０は、ＴＡＡＳＥＲＡ，  Ｉｎｃ．によるＴａａＳオーケストレータとして実装することができる。
【００８９】
図６に示されるリスク相関行列４１１については、グリッドの中の各セルは、終点信頼エージェント５１０によって事象相関行列６３３およびルールセット６３１（ルール表現）を通してトリガされる、一式のアラートである。
【００９０】
ある例示的実施形態では、図５を参照して上記で説明されるアプリケーション整合性モジュール５１６およびリソース利用モジュール５１５は、図６で描写される整合性プロセッサ６３０の従属構成要素またはモジュールとして含まれてもよい。
【００９１】
ある例示的実施形態では、図５および前述で描写されるプロセスモニタ５１４、システムモニタ５１２、およびソケットモニタ５１３は、ランタイムモニタ６２０の従属構成要素またはモジュールとして含まれてもよい。
【００９２】
図７Ａは、システム整合性プロファイルを判定するように、本開示の方法およびシステムによって監視および分析することができる、例示的な終点事象７００のグループ化を示す略図である。具体的には、図７Ａに示される終点事象７００は、証明システムが監視されたシステム（すなわち、ターゲットシステム）の整合性について何をアサートできるかを判定するために使用することができる。図７Ａは、図１、４、５、および６で図示される実施形態を続けて参照して説明される。しかしながら、図７Ａは、これらの実施形態に限定されない。
【００９３】
終点事象７００について連続的に監視し、検出された終点事象７００の動的分析を行うことによって、ターゲットシステムの整合性についてのアサーションを作製することができる。例えば、終点事象７００は、図１を参照して上記で説明されるネットワーク１００内の事象および挙動相関エンジン１３０によって受信される、終点事象１１６、１１８に含むことができる。
【００９４】
一実施形態では、終点事象７００のうちの１つ以上は、図５を参照して上記で説明される、証明システム５００によって使用される終点事象５２０に含むことができる。他の実施形態では、終点事象７００は、図６で描写される相関システム６００のシステム事象相関器４１０によって使用される終点事象５２０に含むことができる。
【００９５】
図７Ａを参照すると、例示的な終点事象７００は、プロセスごとの事象７０１、プロセッサごとの事象７０２、システム事象７０３、および画像バイナリ分析ごとの事象７０４を含んでもよい。実施形態によると、事象７０１−７０４は、ネイティブマシン機器を通して利用可能であり、プロバイダプラグインを伴うプラットフォーム上で実行可能である、全ての事象を含むことができるが、それらに限定されない。
【００９６】
図７Ｂは、本明細書で議論される方法およびシステムによって生成することができる、例示的なアラートを図示する、ブロック図７１０である。
【００９７】
図７Ｂに示されるように、実施形態では、アラートは、プラットフォームアラート７１１、画像ごとのアラート７１２、グレイウェアアラート７１３（すなわち、監視リストのための）、およびアプリケーションごとのアラート７１４を含んでもよい。アラートは、構成可能かつ実行可能であり、図７Ｂで図示されるアラートに限定されない。
【００９８】
図７Ｃは、相関行列を使用して、終点アラートを相関させ、終点警告を生成するための例示的な方法７２０を図示する、ブロック図である。図７Ｃは、図４−６で図示される実施形態を続けて参照して説明される。しかしながら、図７Ｃは、これらの実施形態に限定されない。
【００９９】
図７Ｃを参照すると、方法７２０は、システム警告クラス７２２、システム警告７２３、および整合性警告７２４のうちの１つ以上に基づいて、リスク相関行列７２１にデータ投入する。図７Ｃに示されるように、アラート表現は、少なくとも、属性、属性値制約、サンプルレート、再現、スコア、および加重の関数７２５として表現することができる。関数は、コンパイラ型、中間、またはインタープリタ型コードとして、任意のプログラミング言語または構築物で特定されてもよい。
【０１００】
リスク相関行列７２１は、システムの普遍的に一意の識別子（ＵＵＩＤ）と、少なくとも１つのシステム警告クラス７２２にマップされるシステム警告７２３と、少なくとも、システム逸脱（すなわち、システム逸脱整合性警告７２４）、システム脅迫、システム脆弱性、およびシステム感染（すなわち、システム感染整合性警告７２４）を診断するシステム警告クラス７２２とを備えることができる。
【０１０１】
図７Ｃの実施形態では、リスク相関行列７２１に対する各アラートは、デバイス５６０の各属性に特異的である式を評価する、プログラム関数７２５によって生成される。各セルの中の適格な一式のアラートの発生に基づいて、対応するシステム警告がトリガされる。図７Ｃでは、例示的なリスク相関行列７２１は、マシン識別子（例えば、仮想マシンの普遍的な一意の識別子（ＵＵＩＤ）、ＩＰアドレス）またはアプリケーションインスタンス識別子（アプリケーションＵＵＩＤ）によって一意的に識別される各デバイス５６０（またはアプリケーション）については、異なる一式のアラートが、共通システム警告クラスにマップする異なるシステム警告をトリガし得ることを図示する。アラートを挙動モデル（またはクラスタ）にマップすることによって、画像またはワイヤレベル署名を必要とすることなく、未知の脅威（新たな、または多様な形態の脅威等）が分類および識別されてもよい。アラートは、アラートのカテゴリを表すように図７Ｂで図示されるようにグループ化されてもよい（例えば、第三者マルウェア分析器によって生成されるレポートに基づいて監視リスト上に配置されるアプリケーションを含む、プラットフォーム、アプリケーション、グレイウェア、終点信頼エージェント５１０またはマルウェア分析器５４０によって行われる点検に基づいて脅威レベルによって加重される画像）。実施形態では、プログラム関数７２５は、値制約、測定のためのサンプルレート、測定値の再現、割り当てられたスコア、および属性に対する加重に基づいてアラートを生成するために、条件式（演算子）を使用するように構成することができる。実施形態によると、スコアおよび加重は、図１４−１８を参照して以下で説明されるＧＵＩ等のグラフィカルユーザインターフェースＧＵＩまたはダッシュボードを通して、事前定義することができるか、またはカスタマイズ可能であり得る。
【０１０２】
実施形態によると、複数のタイマが、システム警告およびシステム警告クラスの評価、リスクの計算、およびシステムの整合性プロファイルの生成において関連付けられてもよい。
【０１０３】
実施形態によると、整合性プロファイル４２０は、少なくとも、終点アドレスと、システム警告クラス、公表された警告のフォレンジック信頼、および完全証拠連鎖のうちの１つ以上とを備える。
整合性プロセッサ
【０１０４】
図６および７Ａ−７Ｃを参照すると、整合性プロセッサ６３０は、終点信頼エージェント５１０の機能的構成要素である。整合性プロセッサ６３０は、図７Ａで図示されるプロセス、プロセッサ、システム、およびバイナリ分析事象を説明するランタイムモニタ６２０から、整合性事象６２１を受信するように構成することができる。ルールセット６３１において適格なルール式（図７Ｂで図示される）を適用して、整合性アラート６３２が生成され、システムレベル整合性警告６３４を生成するように事象相関行列グリッド６３３（図４のリスク相関行列４１１および図７Ｃのグリッド７２１に類似する）の中のセルにマップされる。事象相関行列６３３の中の行は、デバイス５６０上のアプリケーションインスタンスを表す（マシン識別子によってデバイスを表すリスク相関行列４１１の中の行に類似する）。整合性警告６３４は、脅威分類および識別ならびに後続の改善のために、信頼オーケストレータ４３０のシステム事象相関器４１０にディスパッチするための終点事象５２０としてフォーマットすることができる。
【０１０５】
実施形態によると、（例えば、ＸＭＬまたはテキスト形式構成ファイルの中で、またはグラフィカル管理ダッシュボードあるいはユーザインターフェースを通して、編集可能な設定として）種々のユーザ構成可能な組み合わせにおける複数のアラート７１１−７１４は、システム警告、およびシステム警告クラスへのシステム警告マップを構成する。
【０１０６】
実施形態によると、複数のシステム警告クラスを、それぞれ図４および６で描写される、証明システム４００および相関システム６００の整合性プロファイル４２０に含むことができる。
例示的信頼オーケストレーションアーキテクチャ
【０１０７】
図８は、信頼オーケストレータ４３０、ネットワーク分析器８３０、およびデバイス５６０を含む、信頼オーケストレーションのための例示的なアーキテクチャ８００のブロック図である。アーキテクチャ８００は、システムのランタイム動作整合性を判定するための複数の事象を相関させるために使用することができる。図８は、図４、５、および７Ｃで図示される実施形態を続けて参照して、かつ図１２および１３を参照して説明される。しかしながら、図８は、これらの実施形態に限定されない。
【０１０８】
図８に示されるように、信頼オーケストレーションアーキテクチャ８００は、デバイス５６０上の終点信頼エージェント５１０と、ネットワークアクティビティ相関器８３１を含み得るネットワーク分析器８３０と、終点査定サービス８２０と、オーケストレーションおよび／またはポリシー実施ポイントサービス８６０のためのサービスプロバイダと、信頼ブローカ４０７、システム事象相関器４１０、信頼スーパーバイザ８４６、および改善コントローラ８４８を含み得る信頼オーケストレータ４３０とを含んでもよい。
信頼オーケストレータ
【０１０９】
図４および８の実施形態によると、信頼オーケストレータ４３０は、信頼ブローカ４０７、システム事象相関器４１０、信頼スーパーバイザ８４６、および改善コントローラ８４８等の機能的構成要素を含む、集約である。実施形態では、信頼オーケストレータ４３０は、ネットワーク分析器８３０、終点査定サービス８２０、およびデバイス５６０上の終点信頼エージェント５１０から、センサ脅威インテリジェンスを受信するように構成される。事象の一連の正規化、照合、およびリスク相関を通して、指令の形態の指令８４９が、デバイス５６０上の識別された脅威に対処する改善措置を開始するようにオーケストレーションサービスにディスパッチされる。指令は、オーケストレーションサービスに特異的であり、ベンダＡＰＩの使用を含むことができる。そのようなベンダＡＰＩの実施例は、ＶＭＷＡＲＥＴＭ  ｖＣｌｏｕｄ  ＡＰＩ、ＢＭＣ  Ｓｏｆｔｗａｒｅ，  Ｉｎｃ．によるＢＭＣ  ＡｔｒｉｕｍＴＭ構成管理データベース（ＣＭＤＢ）にアクセスするためのＢＭＣ  ＡｔｒｉｕｍＴＭ  ＡＰＩ、Ｈｅｗｌｅｔｔ  Ｐａｃｋａｒｄ  Ｓｏｆｔｗａｒｅ  Ｏｐｅｒａｔｉｏｎｓ  Ｏｒｃｈｅｓｔｒａｔｉｏｎ（ＨＰ−ＯＯ）ＡＰＩ、およびＯｐｅｎＦｌｏｗ等の標準プロトコルを含む。
【０１１０】
ある例示的実施形態では、システム事象相関器４１０は、終点信頼エージェント５１０から終点事象５２０、信頼ブローカ４０７から時間的事象４０９を受信し、ネットワーク終点の整合性プロファイルを相関させて、信頼スーパーバイザ８４６およびネットワークアクティビティ相関器８３１に送信する。
【０１１１】
ある例示的実施形態では、信頼スーパーバイザ８４８は、ネットワークアクティビティ相関器８３１からネットワーク終点の感染プロファイル８３２、システム事象相関器４１０からネットワーク終点の整合性プロファイル４２０を受信し、フォレンジック信頼スコアとともに脅威を分析して識別し、リアルタイムアクション８４７を改善コントローラ８４８に、リアルタイム状態指示表示８５０をダッシュボードコントローラ８７０に送信する。改善コントローラ８４８は、マシン、フロー、またはトランザクションレベル改善のために、指令８４９をオーケストレーションおよび／またはポリシー実施ポイントサービス８６０に送信する。
改善コントローラ
【０１１２】
実施形態では、改善コントローラ８４８は、信頼スーパーバイザ８４６からアクション要求８４７を受信するように構成することができる。改善コントローラ８４８はまた、受信した要求を処理し、適切な動作をオーケストレーションサービスに行うように構成することもできる。実施形態によると、受信したアクション要求を処理すると、改善コントローラ８４８は、（ａ）ネットワーク要素１２１６（例えば、物理的または仮想スイッチあるいはファイヤウォール）または無線アクセスポイント１３２０上のフローレベル動作、（ｂ）デバイス５６０（例えば、ウェブまたはデータベースサーバ）上のマシンレベル動作、（ｃ）サービスまたはデバイス５６０へのアクセスを制限するトランザクションレベル動作、および／または（ｄ）デバイス５６０の改訂評判スコアを示すネットワーク信頼エージェント（例えば、それぞれ図１２および１３で描写されるネットワーク信頼エージェント１２０９および１３１５を参照）への更新通知を行ってもよい。
【０１１３】
実施形態では、感染プロファイル８３２は、少なくとも、被害終点アドレスと、公表された感染のフォレンジック信頼、攻撃者ソース、コマンドおよび制御ソース、完全証拠連鎖、および感染時間範囲（発現、持続時間）のうちの１つ以上とを備える。
【０１１４】
実施形態によると、整合性プロファイル４２０は、少なくとも、終点アドレスと、システム警告クラス、公表された警告のフォレンジック信頼、および完全証拠連鎖のうちの１つ以上とを備える。
【０１１５】
実施形態によると、それぞれ、図４および７Ｃのリスク相関行列４１１および７２１は、図８の整合性プロファイル４２０および感染プロファイル８３２を連結して相関させるように、信頼スーパーバイザ８４６に含まれてもよい。
例示的脅威検出および軽減シナリオ
【０１１６】
脅威検出および軽減順序の例示的なフローが、図３Ａ、４−６、７Ｂ、８、１０、１２、１３、および２３を参照して以下で説明される。以下の例示的シナリオでは、例示的な脅威は、マルウェアに感染したユーザデバイスである。以下の段落は、図４−６、７Ｂ、８、１０、１２、および１３を参照して本明細書で説明される例示的実施形態が、どのようにしてそのような「現実世界」脅威ベクトルに対処することができるかを詳述する。以下の段落で説明される多次元事象およびリスク相関モデルは、出現するマルウェアおよび高度な持続的脅威に特徴的である、低度かつ低速の無署名脅威を検出する例示的な方法を図示する。
【０１１７】
ユーザ（１０１４）のデバイスＤ（５６０）は、デバイスＤが依然として組織２３０３の企業ネットワークに接続されている間に、高度な持続的脅威のある形態（例えば、マルウェアＭ（ｂｅｎｉｇｎ））に感染し得る。企業ネットワークへのデバイスＤの接続は、例えば、ユーザ１０１４がマルウェアＭ（ｂｅｎｉｇｎ）に感染したＥメール添付ファイルを開くことの結果として、企業ネットワークに接続されている間に、ユーザ１０１４がマルウェアＭ（ｂｅｎｉｇｎ）を伴うプラグアンドプレイ可搬性ユニバーサルシリアルバス（ＵＳＢ）デバイスをデバイスＤに接続するとき、ユーザ１０１４がデバイスＤからソーシャルネットワークアプリケーションにアクセスするとき、またはユーザ１０１４がファイル共有サービスにアクセスしている間にマルウェアＭ（ｂｅｎｉｇｎ）を伴うファイルをデバイスＤに無意識に転送するときに、ユーザアクティビティを通して起こり得る。
【０１１８】
デバイスＤはまた、デバイスＤが組織２３０３の企業ネットワークから断絶されている間にもマルウェアＭ（ｂｅｎｉｇｎ）に感染し得る。例えば、デバイスＤは、ホームネットワーク、またはモバイルネットワークあるいはインターネット等の組織２３０３の企業ＩＴ管理者によって管理されていない外部無線または有線ネットワーク上のユーザアクティビティの結果として、感染し得る。
【０１１９】
いったんデバイスＤが感染すると、従来のネットワークエッジ保護（例えば、ファイヤウォールおよびネットワークＩＰＳ／ＩＤＳシステム等のレガシーセキュリティ技術３０５）を回避したｅｇｇダウンロード（すなわち、．ｅｇｇ圧縮アーカイブファイルのダウンロード）が起こった。この感染の段階で、デバイスＤ上にインストールされた従来のアンチウイルスプログラム等のレガシーセキュリティ技術３０５は、この脅威に対して署名またはブラックリストがまだ存在していないため、ターゲットマルウェアＭ（ｂｅｎｉｇｎ）を検出する可能性が低い。次いで、マルウェアＭ（ｂｅｎｉｇｎ）は、エントロピーを導入して検出を回避するように、周期的プロセス再開、実行可能ファイル性質修正（すなわち、ファイル名および／またはサイズ属性の変更）等の離散的（および外見上良性の）監督動作をデバイスＤに行ってもよい。マルウェアＭ（ｂｅｎｉｇｎ）はまた、レジストリ修正を行い、キーボード／入力デバイス監視、画面レベル監視、メモリダンプ、デバイスＤ上の過剰なリソース（ＣＰＵ）利用を伴わずにファイルを点検するディスクナビゲーションを行ってもよい。
【０１２０】
この感染後段階で、終点信頼エージェント５１０は、実行マルウェアプロセスＰ（ｂｅｎｉｇｎ）を監視し、インテリジェントホワイトリスティングサービスにアクセスするように、それぞれ図１２および１３を参照して以下で説明される、協調サービス１２０７および１３１２等の協調サービスを利用することによって、ファイルハッシュダイジェスト、デジタル署名、および証明書連鎖検証をチェックすることを含む、ファイルおよび構成要素（例えば、動的リンクライブラリ（ＤＬＬ））レベル整合性チェックを行う。これらの協調サービスは、信頼オーケストレータ４３０を通してアクセスされる。これらのチェックのうちの１つ以上の不合格が、即時にプロセスＰ（ｂｅｎｉｇｎ）をグレイウェアアラート７１３（すなわち、監視リスト）上に置く。
【０１２１】
いかなるチェックもこの段階で不合格にならないと仮定して、プロセスＰ（ｂｅｎｉｇｎ）は、整合性プロセッサ６３０によって明示的なルール違反について連続的に監視される。実施形態では、ルールセット６３１の中のルールの違反が、連続的に監視されて検出される。これらのルールは、良性プロセスにおける異常挙動を検出する。いったんルールトリガ基準に達すると、終点信頼エージェント４１０は、画像整合性チェックを開始し、信頼オーケストレータ４３０を通して遠隔マルウェア分析器５４０を利用する。このチェックの目的は、供給連鎖起源およびローカルで利用可能な証拠への完全な依存を回避することである。マルウェアバイナリ分析から生成される画像プロファイル５１９は、プロセスＰ（ｓｕｓｐｅｃｔ）を監視するように、整合性プロセッサに付加的なローカル事象を提供する。
【０１２２】
この時点で、マルウェア分析器５４０は、画像の静的および動的分析を通して検出される（逆設計コードに存在する）能力を報告する。そのような画像分析は、アンチデバッグ、アンチトレース、アンチメモリ、およびアンチエミュレーション等の逆設計コードにおけるコード難読化技法、ＳＭＴＰ、ＦＴＰ、またはＨＴＴＰのようなネットワーク通信プロトコルの使用、組み込みユニフォームリソースロケータ（ＵＲＬ）またはＩＰアドレスの使用、セキュアソケットレイヤー（ＳＳＬ）プロトコルの使用等の暗号化方法の使用、ローカルポートでのリスニング、アクセスされる遠隔ポート、ファイルシステム動作、レジストリ動作、一時的動作、システム、または非プログラムフォルダの中の動作、メモリピークまたはポーク動作、および遠隔スレッド作成を探すことができる。
【０１２３】
次いで、整合性プロセッサ６３０は、関連警告７２１についてプロセスＰ（ｓｕｓｐｅｃｔ）を監視し、システム事象相関器４１０へのアラート７１１−７１４等の終点事象をトリガする。複数の終点査定サービス８２０が、予定に入れられたポリシーベースのスキャンを行って既知の暴露（脆弱性、構成、コンプライアンス、およびパッチレベル悪用）を検出するように、企業ネットワーク内で展開されてもよい。それぞれの整合性レポート８２１は、デバイスＤ上に暴露の指示表示を含有してもよい。しかしながら、これらのレポートは、デバイスＤ上の脅威または感染の陽性存在を確認せず、プロセスＰ（ｓｕｓｐｅｃｔ）の存在およびランタイムアクティビティを認識していない場合がある。信頼ブローカ４０７は、デバイスＤの査定で適用される、権威のある状態（スナップショット）情報およびスキャンポリシーに基づいて、任意の悪意のあるプログラムがデバイス上でアクティブである場合（例えば、データベースサーバ上の個人情報（ＰＩＩ）違反、アプリケーションサーバ上のバッファオーバーフロー攻撃、データサーバ上の構造化クエリ言語（ＳＱＬ）注入攻撃、キーボードまたは画面要素捕捉、マイクロホンまたはカメラハイジャック等）、デバイスＤ上の損傷可能性（重大性）についてシステム事象相関器４１０に知らせる、時間的事象４０９を生成する。
【０１２４】
終点および時間的事象によってトリガされるリスク分析に基づいて、整合性プロファイルが、システム事象相関器４１０によってデバイスＤについて生成される。ネットワークアクティビティ相関器８３１は、同時に、デバイスＤの全てのネットワークトラフィックおよびアクティビティを監視し、感染被害者（デバイスＤ）を示す悪意のあるネットワークダイアログのフォレンジック証拠に基づいて、感染プロファイル８３２をディスパッチする。証拠は、ピアツーピア伝播、コマンドおよび制御通信、または攻撃者へのデータ引き出し等の悪意のあるアクティビティを示し得る。信頼スーパーバイザ８４６は、高いフォレンジック信頼を伴うデバイスＤの脅威リスクレベルを判定して、検出された感染を軽減する即時手動または自動改善措置を保証するように、終点、ネットワーク、およびスキャンベースの査定センサによって独立して生成される整合性および感染プロファイルに基づいて、フォレンジック証拠を分類する。
整合性プロファイル生成のためのシステム
【０１２５】
図９は、対象整合性プロファイルを生成するための例示的なシステムを図示するブロック図である。図９に示されるシステム９００は、対象（例えば、ユーザ、デバイス、トランザクション、サービス、または組織／企業）の評判を判定するために、複数の識別、在庫、およびログ管理システムを連結して相関させるために使用することができる。図９は、図４および５で図示される実施形態を続けて参照して説明される。しかしながら、図９は、これらの実施形態に限定されない。
【０１２６】
図９を参照すると、例示的な対象整合性プロファイルシステム９００は、信頼オーケストレータ４３０と、問い合わせを行い、複数の管理システムから関連応答９０５を受信するように構成することができる信頼ブローカ４０７とを含む。
【０１２７】
図９を続けて参照すると、整合性プロファイルシステム９００は、リソースオブジェクト属性を提供するように構成される在庫管理システム９０１と、対象（またはユーザ）属性（例えば、役割および権利付与）を提供するように構成される役割管理システム９０２と、集約された対象属性を提供するように構成される識別管理システム９０３と、対象別に分類される情報および事象を提供するように構成されるログ管理システム９０４と、対象別に分類される時間的事象４０９を受信するシステム事象相関器４１０と、一意の対象識別子および評判スコアを備える、対象の整合性プロファイル４２０を生成するリスク相関行列とを含む、複数のサブシステムを含むことができる。
【０１２８】
対象整合性プロファイルシステム９００のコンテキスト内で、信頼ブローカ４０７は、問い合わせを行い、在庫、役割、識別、およびログに関して第三者管理システムから応答を受信するように構成される。
在庫管理システム
【０１２９】
図９に示される在庫管理システム９０１は、デバイス５６０（例えば、モバイルデバイス５６０、モバイルアプリケーション、企業デスクトップ、サーバ等）に関連する情報を提供するように構成される。在庫管理システム９０１の実施例は、企業ＩＴ管理アセットの在庫を管理するために使用される、ＩＢＭおよびＯｒａｃｌｅ  Ｃｏｒｐｏｒａｔｉｏｎｓから入手可能な商品を含む。
役割管理システム
【０１３０】
実施形態によると、図９に示される役割管理システム９０２は、ユーザの組織上の役割、リソースレベル特権、アプリケーションレベル権利付与、および拡張グループメンバーシップ（すなわち、プロジェクトレベル特権および役割）に関連する情報を提供するように構成することができる。役割管理システムの実施例は、データベースオブジェクト、ファイル、サーバ、ディレクトリ／フォルダ、ウェブサーバ、アプリケーション、ネットワークドメイン／サブドメイン、プリンタ、および他のリソースへの役割ベースのアクセス制御のためのＯｒａｃｌｅ、Ｃｏｍｐｕｔｅｒ  Ａｓｓｏｃｉａｔｅｓ、ＩＢＭ、およびＳＡＰから入手可能な商品を含む。これらのシステムのうちのいくつかでは、ユーザは、一式の特権および許可を集約する、１つ以上の役割を割り当てられる。例えば、ＯｒａｃｌｅまたはＩＢＭ関係データベース環境内の役割は、データベースオブジェクトへのアクセスの異なる階層またはレベルを表す。例えば、「データベース管理者」（ＤＢＡ）役割を伴うユーザアカウントは、テーブル、表示、同義語、記憶された手順、トリガ、ユーザアカウント、データベース全体、および他の役割等のデータベースオブジェクトを削除（すなわち、撤回）、作成、および変更するために必要とされる、特権および許可を有してもよい。対照的に、開発者またはユーザ役割等のより劣った役割を伴うユーザアカウントは、データベーステーブルおよび表示にデータを挿入して更新し、既存の記憶された手順およびトリガコードを改訂することのみ可能であり得る。さらに他の役割は、レポートを生成してクエリを実行するために必要に応じて、データベーステーブルおよび表示から記録を選択するように、「読取専用」アクセスに制限されてもよい。
識別管理システム
【０１３１】
実施形態によると、図９に示される識別管理システム９０３は、ユーザの組織上のドメインアカウントおよびグループレベルメンバーシップ（例えば、ＭＩＣＲＯＳＯＦＴＴＭ  Ａｃｔｉｖｅ  Ｄｉｒｅｃｔｏｒｙ、Ｏｒａｃｌｅ  Ｉｎｔｅｒｎｅｔ  Ｉｄｅｎｔｉｔｙ）に関連する情報を提供するように構成することができる。
ログ管理システム
【０１３２】
実施形態では、図９に示されるログ管理システム９０４は、終点およびネットワーク要素によって生成され、標準システム情報および事象管理プロトコル（例えば、ＳＹＳＬＯＧ）、およびネットワークセキュリティアプリケーションに使用されるＷｅｂＴｒｅｎｄｓ  Ｅｎｈａｎｃｅｄ  Ｌｏｇ  ｆｉｌｅ  Ｆｏｒｍａｔ（ＷＥＬＦ）またはＣｏｍｍｏｎ  Ｅｖｅｎｔ  Ｆｏｒｍａｔ（ＣＥＦ）等の形式を通して報告される、ログに基づいて、終点デバイスで、または動作のネットワークレベルでのユーザの活動に関連する情報を提供するように構成することができる。
リスクの計算および対象評判スコアを判定するためのシステム
【０１３３】
図１０は、リスクの計算を判定するための例示的なシステムを図示する、ブロック図である。図１０は、図４、５、および８で図示される実施形態を続けて参照して説明される。しかしながら、図１０は、これらの実施形態に限定されない。
【０１３４】
図１０を参照すると、リスクシステム１０００の例示的な計算は、ネットワークセキュリティスキャンレポート１０２５を生成するように構成されるネットワーク終点査定１００１と、アドレスまたは地理的位置別の分類のために複数の受信したレポートを解析する終点照合器１００２と、レポート連結のための正規化器１００３と、パッケージおよび構成要素別の分類のためのオブジェクト照合器１００４と、ランタイムシステム１０１６、アプリケーション１０１５、およびユーザ１０１４コンテキスト用のデバイス５６０上の整合性プロセッサ６３０と、終点信頼エージェント５１０と、コンテキストの集約のためのグローバルオブジェクトコンテキスト発生器１００５と、コンテキストの評価のための事象プロセッサ１００６と、整合性査定のために、少なくとも、制約１０２３、サンプルレート１０２２、再現１０２１、スコア１０２０、および加重１０１９を含むように構成される、オブジェクト属性のルールリポジトリ１０１２と、事象相関器１００７と、事象相関行列１０１３と、脅威分類器１００８と、ダッシュボードコントローラ１００９と、および改善コントローラ８４８とを含む。
信頼スーパーバイザ
【０１３５】
図８および図１０の例示的実施形態によると、信頼スーパーバイザ８４６は、ネットワーク分析器８３０から感染プロファイル８３２、システム事象相関器４１０から整合性プロファイル４２０を受信するように構成することができる。信頼スーパーバイザ８４６は、先行指標のフォレンジック信頼に基づいて、脅威の分類および識別のためのデバイス５６０に関連付けられる事象を相関させるために、事象プロセッサ１００６、事象相関器１００７、脅威分類器１００８、事象相関行列１０１３、およびルールリポジトリ１０１２を使用する。
【０１３６】
実施形態では、ネットワーク終点査定１００１は、脆弱性、構成、コンプライアンス、およびパッチ管理のためにネットワーク終点のセキュリティスキャンを行うことを含み、セキュリティ査定レポート１０２６を生成するために、これらのスキャンの結果を使用する。図１０に示されるように、終点照合器１００２は、生成されたセキュリティ査定レポート１０２６を受信するように構成される。図１０で描写される実施形態では、次いで、この時点で、終点照合器１００２は、分類されたレポート１０２７を生成するように、終点アドレスおよび／または地理的位置別にセキュリティ査定レポート１０２６をソートすることができる。
【０１３７】
正規化器１００３は、分類されたレポート１０２７を受信し、次いで、その中の要素を正規化して、正規化されたレポート１０２８を生成するように構成される。
【０１３８】
オブジェクト照合器１００４は、正規化されたレポート１０２８を受信し、次いで、オブジェクトパッケージおよび構成要素別にその中の要素をソートして、グローバルオブジェクトコンテキスト発生器１００５のための時間的事象１０２９を生成するように構成される。
【０１３９】
ある例示的実施形態では、グローバルオブジェクトコンテキスト発生器１００５は、デバイス１０１７上の整合性プロセッサ６３０からのローカルランタイムオブジェクト実行コンテキストを含み得る終点事象１０１８、およびオブジェクト照合器１００４からの終点セキュリティコンテキストを含み得る時間的事象１０２９を受信する。
【０１４０】
例示的実施形態では、事象プロセッサ１００６は、グローバルオブジェクトコンテキスト発生器１００５から終点整合性プロファイル４２０を受信し、ルールリポジトリ１０１２から関連終点ルール１０３１を取り出し、終点アラート１０３３を生成して事象相関器１００７に送信する。
【０１４１】
例示的実施形態によると、事象相関器１００７は、事象相関器１００７から終点事象１０３３を受信し、事象相関行列１０１３を使用してアラート１０３２をマップし、終点警告１０３４を生成して脅威分類器１００８に送信する。
【０１４２】
例示的実施形態によると、脅威分類器１００８は、脅威を分類し、終点整合性のリアルタイム可視性のために状態指示表示１０２４をダッシュボードコントローラ１００９に送信し、アクション要求１０２５を改善コントローラ８４８に送信してもよい。
【０１４３】
ある例示的実施形態では、終点照合器１００２、正規化器１００３、およびオブジェクト照合器１００４は、図４を参照して上記で説明されるような信頼ブローカ４０７に含まれてもよい。
【０１４４】
ある例示的実施形態では、グローバルオブジェクトコンテキスト発生器１００５は、図４で説明されるシステム事象相関器４１０に含まれてもよい。
【０１４５】
ある例示的実施形態では、事象プロセッサ１００６、事象相関器１００７、および脅威分類器１００８は、図８で説明されるような信頼スーパーバイザ８４６に含まれてもよい。
【０１４６】
図１１は、対象評判を判定するための例示的なシステムを図示するブロック図である。図１１は、図４、５、７Ｃ、および８−１０で図示される実施形態を続けて参照して説明される。しかしながら、図１１は、これらの実施形態に限定されない。例えば、システム１１００は、図１０を参照して上記で説明されるシステム１０００によって判定されるリスクの計算等のリスクの計算に基づいて、対象評判スコアを生成するために使用することができる。
【０１４７】
図１１を参照すると、例示的な対象評判システム１１００は、認証サービス１１０３を用いた認証プロセス／式１１１５を通してデバイス５６０上で認証されるユーザ１０１４と、サービス要求を受信するように構成されるサービスプロバイダ１１０４と、ターゲットサービスであり得る管理されたアプリケーション１１０５と、評判ブローカ１１０６と、信頼ブローカ４０７と、ログ管理システム９０４と、役割管理システム９０２と、識別管理システム９０３とを含む。
【０１４８】
特に異なる記述がない限り、ユーザは、人間のユーザ、ソフトウェアエージェント、またはユーザおよび／またはソフトウェアエージェントのグループを識別するために、本明細書で同義的に使用される。デバイス５６０および本明細書で説明される証明システムを使用する必要がある人間のユーザのほかに、ソフトウェアアプリケーションまたはエージェントが、時として、アプリケーション、アクセスサービス、またはソーシャルネットワークを実行し、オンライントランザクションを行い、セキュリティデータを精査、更新、または分析し、事象、アラート、および警告を処理する必要がある。したがって、特に記述がない限り、本明細書で使用されるような「ユーザ」という用語は、必ずしも人間に関連するわけではない。
【０１４９】
図１１を続けて参照すると、例示的な対象評判システム１１００はまた、在庫管理システム９０１と、評判プロセッサ１１１０と、リスク相関器１１１１と、リスク相関行列１１１３と、評判スコア発生器１１１２とを含む。
【０１５０】
実施形態では、評判プロセッサ１１１０は、信頼ブローカ４０７から対象事象１１２３を受信するように構成されるシステム事象相関器４１０の構成要素であり、ユーザ１１０１の整合性プロファイル４２０に類似するユーザアラート１１２４を含む。
【０１５１】
図１１に示されるように、リスク相関器１１１１は、ユーザ１０１４またはデバイス５６０に対するアラート等の対象アラート１１２４を受信し、対象アラート１１２４を、図７Ｃのリスク相関行列７２１に類似するリスク相関行列１１１３のグリッドの中のセルにマップするように構成することができる。次いで、トリガされる対象警告１１２６（すなわち、ユーザ１０１４またはデバイス５６０警告）は、ユーザ１０１４の評判スコア１１２５を判定するように、評判スコア発生器１１１２によって処理することができる。
対象事象
【０１５２】
実施形態では、図１１に示される対象事象１１２３は、それぞれの管理システムからの指向されたクエリへの応答として受信される、対象と関連付けられるプロビジョニングした属性、終点、およびネットワークレベルアクティビティについてのアサーションであり得る。対象は、ユーザ１０１４、デバイス５６０、トランザクション、または企業等の組織であり得る。
【０１５３】
ある例示的実施形態では、デバイス５６０は、ユーザ１０１４の代わりに、管理されたアプリケーション１１０５にアクセスするように、サービス要求１１１６をサービスプロバイダ１１０４に送信する。サービスプロバイダ１１０４は、評判クエリ１１１７を評判ブローカ１１０６に送信し、少なくともユーザ１０１４またはデバイス５６０の評判スコアを含み得る、評判トークン１１１８を受信し、管理されたアプリケーション１１０５にアクセスするサービス要求１１１６を許可または拒否するように、評判ベースのアクセス制御１１１９を実施する。
【０１５４】
対象評判システム１１００のコンテキスト内で、信頼ブローカ４０７は、受信した対象属性（例えば、権利付与、ユーザ１０１４のメンバーシップ、ユーザ１０１４の役割、アクティビティ情報）を処理し、対象事象を生成して評判プロセッサ１１１０にディスパッチするように構成される。対象事象は、トランザクションにおけるセキュリティリスクのレベルを判定し得る、対象についてのアサーションを表す（例えば、義務の静的および動的分離、最小権限の原理、観察されたリソース使用パターン、内部および外部ネットワーク上の観察されたアクティビティ等）。一実施形態では、信頼ブローカ４０７によって発行されるクエリ１１２１、１１３０、１１２２、１１２８は、事前に構成されるが、図１４−１８を参照して以下で説明される例示的なＧＵＩ等のグラフィカルユーザインターフェース（ＧＵＩ）またはダッシュボードから管理者によってカスタマイズすることができる。実施形態では、管理システムは、Ｆａｃｅｂｏｏｋ，  Ｉｎｃ．によって運営されるＦＡＣＥＢＯＯＫ（登録商標）、Ｔｗｉｔｔｅｒ，  Ｉｎｃ．によって運営されるＴｗｉｔｔｅｒ、およびＬｉｎｋｅｄＩｎ等のソーシャルネットワーキングベンダによってホストされる情報システムを含んでもよい。
【０１５５】
例示的実施形態によると、信頼ブローカ４０７は、対象（すなわち、ユーザ、デバイス、トランザクション、サービス、または組織）の評判スコアに対するクエリ１１２０を受信し、対象アクティビティクエリ１１２１をログ管理システム９０４に送信し、対象属性クエリを役割管理システム９０２および識別管理システム９０３に送信し、デバイス属性クエリを在庫管理システム１１２８に送信し、対象事象１１２３を生成して評判プロセッサ１１１０に送信する。
【０１５６】
対象評判システム１１００のコンテキストにおいて、図９に示される在庫管理システム９０１は、モバイルデバイス５６０、モバイルアプリケーション、企業デスクトップ、サーバ等を含む、デバイス５６０である対象に関連する情報を提供するように構成することができる。
【０１５７】
図１１を続けて参照すると、実施形態では、関連デバイス属性は、少なくとも、デバイス５６０の地理的位置、デバイスのプロビジョニングした状態、有効／無効デバイス５６０機能、および所有者登録（すなわち、ユーザ１０１４登録または組織登録）を含む。
【０１５８】
実施形態によると、リスク相関器１１１１は、対象アラート１１２４を受信し、対象アラート１１２４を対象警告１１２６にマップするためにリスク相関行列１１１３を使用し、評判スコア発生器１１１２を呼び出して、評判ブローカ１１０６によって評判トークン１１１８に含むことができる対象評判スコア１１２５を確立するように構成される。
【０１５９】
図１１の例示的実施形態では、対象アラート１１２４は、ユーザ１０１４アラート（すなわち、ユーザ１０１４整合性プロファイル）、デバイス５６０アラート、またはデバイス５６０上で実行するアプリケーションに対するアプリケーションアラートであり得る。ある例示的実施形態では、評判プロセッサ１１１０は、図４で説明されるシステム事象相関器４１０に含まれてもよい。
【０１６０】
例示的実施形態によると、リスク相関器１１１１、リスク相関行列１１１３、および評判スコア発生器１１１２は、図８で説明される信頼スーパーバイザ８４６に含まれてもよい。
ネットワークフロー改善およびモバイルセキュリティを提供するためのシステム
【０１６１】
図１２は、ネットワークフロー改善のための例示的なシステムを図示する、ブロック図である。図１２は、図５で図示される実施形態を続けて参照して説明される。しかしながら、図１２は、その実施形態に限定されない。システム１２００は、リスクの計算に基づいてネットワークフロー改善を行うことができる。
【０１６２】
図１２を参照すると、例示的ネットワークフロー改善システム１２００は、アプリケーション１２０３を実行し得るデバイス５６０上の終点信頼エージェント１２０１と、信頼オーケストレータ１２０５と、マルウェア分析器、ネットワーク終点査定サービス、および評判サービスを含み得る、複数の協調サービス１２０７と、ネットワーク信頼エージェント１２０９およびＯｐｅｎＦｌｏｗセキュリティフレームワーク１２１１を含み得る、ネットワークサービス１２３０と、ＯｐｅｎＦｌｏｗコントローラ１２１４と、ＯｐｅｎＦｌｏｗ対応ネットワーク要素１２１６（例えば、スイッチまたはルータ）を含んでもよい。
【０１６３】
ある例示的実施形態では、終点信頼エージェント１２０１は、アプリケーション１２０３のローカルランタイム実行コンテキストを含み得る動的コンテキスト１２０４を、協調サービス１２０７から受信される終点査定レポート１２０６を含み得る、グローバルセキュリティコンテキスト上でリスクの計算を行い得る信頼オーケストレータ１２０５に送信し、ネットワークフロー改善のために、登録ベースの評判サービスとして、システム警告１２０８（終点脅威インテリジェンス）をネットワーク信頼エージェント１２０９に送信する。
【０１６４】
ある例示的実施形態では、ネットワーク信頼エージェント１２０９は、メッセージ１２１０をＯｐｅｎＦｌｏｗセキュリティフレームワーク１２１１ミドルウェアに送信して、指令１２１３をＯｐｅｎＦｌｏｗコントローラ１２１４に送信するか、または指令１２１２をＯｐｅｎＦｌｏｗコントローラ１２１４に送信し、プロトコル１２１５を用いて、トラフィックフローを遮断または迂回させるアクセス制御１２１７を適用するようにＯｐｅｎＦｌｏｗ対応ネットワーク要素１２１６に通知する。
【０１６５】
図１３は、モバイルセキュリティを提供するための例示的なシステムを図示する、ブロック図である。図１３は、図４−６で図示される実施形態を続けて参照して説明される。しかしながら、図１３は、それらの実施形態に限定されない。システム１３００は、リスクの計算に基づいてモバイルデバイスおよび無線ネットワークフローを改善することによって、モバイルセキュリティを提供することができる。
【０１６６】
図１３を参照すると、例示的なモバイルセキュリティシステム１３００は、モバイルアプリケーション１３０３を実行し得るモバイルデバイス５６０上の終点信頼エージェント１３０１と、信頼オーケストレータ１３１０と、マルウェア分析器、ネットワーク終点査定サービス、および評判サービスを含み得る、複数の協調サービス１３１２と、ネットワーク信頼エージェント１３１５およびネットワークセキュリティフレームワーク１３１８を含み得る、ネットワークサービス１３５０と、ネットワーク要素１３２０（例えば、スイッチまたはルータ）と、無線アクセスポイント１３２２と、モバイルポリシーマネージャ１３１３と、モバイルデバイスマネージャ１３２４とを含んでもよい。
終点信頼エージェント
【０１６７】
図５、６、および１３を参照すると、実施形態では、終点信頼エージェント５１０は、デバイス５６０の上に存在する。終点信頼エージェント５１０は、アプリケーションおよびデバイス機能（例えば、マイクロホン、カメラ、キーボード、または表示機能）を実行することを含む、ランタイム時にデバイス５６０上で行われる全ての動作を監視し、終点事象５２０およびセキュリティサービス要求５１８を信頼オーケストレータ４３０にディスパッチするように構成することができる。終点信頼エージェント５１０の機能的構成要素である、ランタイムモニタ６２０は、システムモニタ５１２と、ソケットモニタ５１３と、通知機構（例えば、ＭＩＣＲＯＳＯＦＴＴＭ  ＷＩＮＤＯＷＳ（登録商標）  Ｍａｎａｇｅｍｅｎｔ  Ｉｎｓｔｒｕｍｅｎｔａｔｉｏｎ  （ＷＭＩ）またはＡｎｄｒｏｉｄ  Ａｐｐｌｉｃａｔｉｏｎ  Ｍａｎａｇｅｒ）を使用してネイティブマシン機器５１１から未処理事象６１１を受信するプロセスモニタ５１４とを含む。ある例示的実施形態では、終点信頼エージェント５２０はまた、デバイス動作および／または設定を制御するように、モバイルデバイスマネージャ１３２４またはモバイルポリシーマネージャ１３１３からメッセージを受信して処理してもよい。終点信頼エージェント５１０は、リスクおよび脅威にとらわれず、ルールセット６３１の評価、および脅威相関行列６３３に基づくランタイム挙動の査定に基づいて、事象を生成するにすぎない。リスクの査定、ならびに脅威の分類および識別は、信頼オーケストレータ４３０に委託することができる。
【０１６８】
ある例示的実施形態では、終点信頼エージェント１３０１は、モバイルアプリケーション１３０３のローカルランタイム実行コンテキストを含み得る動的コンテキスト１３０４を、協調サービス１３１２から受信される終点査定レポート１３１１を含み得る、グローバルセキュリティコンテキスト上でリスクの計算を行い得る信頼オーケストレータ１３１０に送信し、ネットワークフロー改善のために、登録ベースの評判サービス１３１４として、脅威インテリジェンスをネットワーク信頼エージェント１３１５に送信する。
【０１６９】
ある例示的実施形態では、ネットワーク信頼エージェント１３１５は、メッセージ１３１６をネットワークセキュリティフレームワーク１３１８ミドルウェアに送信して、ポリシー１３１９を無線アクセスポイント１３２０に送信するか、またはポリシー１３１７を無線アクセスポイント１３２０に送信し、トラフィックフローを遮断または迂回させるアクセス制御１３２１を適用する。
【０１７０】
ある例示的実施形態では、信頼オーケストレータ１３１０は、メッセージ１３０７をモバイルポリシーマネージャ１３１３に送信して、モバイルデバイス５６０上に特徴制御１３０６を設定するように指令１３０８をモバイルデバイスマネージャ１３２４に送信するか、または図６の整合性プロセッサ６３０およびランタイムモニタ６２０のために指令１３０５を終点信頼エージェント１３０１に送信する。
【０１７１】
ある例示的実施形態では、信頼オーケストレータ１３１０は、メッセージ１３０９をモバイルデバイスマネージャ１３２４に送信して、モバイルデバイス５６０上に特徴制御１３０６を設定するように構成される。
管理コンソール用の例示的ユーザインターフェースダッシュボード
【０１７２】
図１４−１８は、本開示の実施形態による、例示的なグラフィカルユーザインターフェース（ＧＵＩ）を図示する。図１４−１８で描写されるＧＵＩは、図１−１３の実施形態を参照して説明される。しかしながら、ＧＵＩは、それらの実施形態に限定されない。図１４−１８は、本発明の実施形態による、動作整合性、リソース利用、アプリケーション整合性、およびネットワークアクティビティに関係するデータを表示するための種々のダッシュボードを備える、例示的なデータセンター管理コンソールインターフェースを図示する。
【０１７３】
「コンソールディスプレイ」、「ディスプレイ」、「表示画面」、および「画面」という用語は、本明細書で説明されるシステムのための管理者またはデバイス５６０のユーザ１０１４等のコンピューティングデバイスのユーザによって視認可能なコンテンツを表示するために、コンピューティングデバイスに連結されるか、またはそれと統合される、任意の種類の表示デバイスまたは画面を広範かつ包括的に指すように、本明細書で同義的に使用される。実施形態では、デバイス５６０は、モバイルコンピューティングデバイス５６０である。そのような表示画面は、例えば、限定ではないが、タッチスクリーン液晶ディスプレイ（ＬＣＤ）を含むことができる。本開示の実施形態では、モバイルデバイス５６０のＧＵＩは、ディスプレイ上で視認される。他の実施形態では、図１４−１８に示されるＧＵＩは、サーバ（すなわち、サーバコンソール）のディスプレイ、デスクトップコンピュータ（すなわち、ＰＣモニタ）、またはラップトップディスプレイ上で視認される。
【０１７４】
図１４−１８に示される例示的ＧＵＩでは、コンソールインターフェースおよびダッシュボードは、専用ネイティブインターフェースでレンダリングされる。代替実施形態では、ンソールインターフェースは、ウェブベースであり、ウェブブラウザ内でレンダリングすることができる。他の実施形態では、図１４−１８で図示されるコンソールインターフェースおよびダッシュボードは、タッチセンサ式（すなわち、タッチスクリーン）ディスプレイを有する、サーバまたはワークステーションディスプレイ上で表示することができる。説明を容易にするために、コンソールインターフェースの動作は、マウスまたはポインティングデバイス（タッチスクリーンを含む）等の入力デバイスを用いたコンピューティングデバイスプラットフォームとの関連で議論されるが、それに限定されることを目的としていない。そのようなコンピューティングデバイスプラットフォームの実施例は、Ａｐｐｌｅ，  Ｉｎｃ．によるＯＳＸサーバおよびワークステーションオペレーティングシステム（ＯＳ）、ＭＩＣＲＯＳＯＦＴＴＭ  ＣｏｒｐｏｒａｔｉｏｎによるＷＩＮＤＯＷＳ（登録商標）サーバおよびワークステーションＯＳ、ＵＮＩＸ（登録商標）ベースのＯＳ、およびＲｅｄＨａｔＴＭ  Ｉｎｃ．による、限定されないがＬｉｎｕｘ（登録商標）等のＬｉｎｕｘ（登録商標）  ＯＳを含むが、それらに限定されない。
【０１７５】
代替実施形態では、図１４−１８のＧＵＩは、限定されないが、携帯情報端末（ＰＤＡ）、ｉＰｈｏｎｅＴＭ、ｉＰｏｄＴＭ  ｔｏｕｃｈ、またはｉＰａｄＴＭタブレットデバイス、Ｇｏｏｇｌｅ  Ｉｎｃ．によるＡｎｄｒｏｉｄオペレーティングシステム（ＯＳ）を操作するデバイス、ＭＩＣＲＯＳＯＦＴＴＭ  ＷＩＮＤＯＷＳ（登録商標）  ＭｏｂｉｌｅまたはＰｈｏｎｅ  ＯＳを操作するデバイス、Ｓｙｍｂｉａｎ  ＯＳを実行するデバイス、ＰＡＬＭ  ＯＳ（登録商標）を実行するデバイス、Ｒｅｓｅａｒｃｈ  Ｉｎ  Ｍｏｔｉｏｎ（「ＲＩＭ」）によるＢｌａｃｋｂｅｒｒｙ  ＯＳを実行するＢＬＡＣＫＢＥＲＲＹ（登録商標）デバイス、スマートフォン、ハンドヘルドコンピュータ、ネットブックコンピュータ、パームトップコンピュータ、ラップトップコンピュータ、ウルトラモバイルＰＣ、または命令を処理し、ユーザおよび他のコンピューティングデバイスからデータを受信し、そこへデータを伝送することが可能である、別の類似する種類のモバイルデバイス等のモバイルコンピューティングデバイスのディスプレイ上にレンダリングすることができる。
【０１７６】
図１４−１８の例示的実施形態で図示されるコンソールインターフェースおよびダッシュボードは、モバイルデバイスプラットフォームおよびオペレーティングシステムのディスプレイ、コンピュータ端末、クライアントデバイスのディスプレイ、サーバのコンソールのディスプレイ、監視デバイスの表示コンソール、ターゲットまたは対象デバイスのディスプレイ、またはコンピューティングデバイスの他のディスプレイ上で実行するように容易に適合できることを理解されたい。したがって、図１４−１８で図示される例示的なＧＵＩは、証明アプリケーションを使用するモバイルデバイスのディスプレイ上に、ウェブブラウザセッション内で、証明サーバの表示コンソール上に、または証明アプリケーションを実行するクライアントデバイスのディスプレイ上にレンダリングすることができる。
【０１７７】
図１４−１８の全体を通して、ディスプレイは、アクションを開始し、ルーチンを呼び出し、動作整合性に関係するデータを監視および表示し、リソース利用を監視し、または他の機能性を呼び出すために使用される、種々のアイコン、フォルダ、ウィンドウ枠、コマンド領域、インターフェース、ウィンドウ、タブ、タイル、データ入力フィールド、ドロップダウンメニュー、およびボタンとともに示される。開始されたアクションは、事象を視認すること、事象を編集すること、カレンダー選好を入力すること、逆スクロール、順方向スクロール、および他のカレンダー表示ナビゲーション入力およびジェスチャを含むが、それらに限定されない。簡潔にするために、以前または後続の図と比較して、図内で生じる差異のみが以下で説明される。
【０１７８】
実施形態では、図１４−１８に示されるＧＵＩおよびダッシュボードを表示するために使用されるディスプレイは、図２６に示されるコンピュータディスプレイ２６３０であってもよく、コンソールインターフェースは、表示インターフェース２６０２であってもよい。本発明の実施形態によると、ユーザは、限定されないが、タッチスクリーン、ポインティングデバイス、スタイラス、トラックボール、タッチパッド、マウス、キーボード、キーパッド、ジョイスティック、音声起動制御システム、またはユーザとＧＵＩとの間の相互作用を提供するために使用される他の入力デバイス等の入力デバイスを使用して、コンソールインターフェースおよびダッシュボードと相互作用することができる。
【０１７９】
図１４は、動作整合性ダッシュボード１４５０を含む、データセンター管理コンソール１４００用の例示的なＧＵＩを描写する。
【０１８０】
図１４を参照すると、例示的なデータセンター管理コンソール１４００は、データセンター在庫１４０１の「大域的表示」（すなわち、「大域的表示ダッシュボード」）を提供するように、単一のウィンドウ枠として、動作整合性ダッシュボードまたは表示ウィンドウ１４５０を視覚的に表示してもよい。表示ウィンドウ１４５０は、リソースの階層的ツリー表示におけるデータセンター在庫１４０１の大域的表示と、リソース１４０２、リソース名１４０３、リソースプラットフォームタイプ１４０４の構成要素レベル表示と、少なくとも、システム構成１４０５、リソース利用１４０６、アプリケーション整合性１４０７、ネットワークアクティビティ１４０８、改善措置１４０９を含む、複数の信頼ベンダに対する整合性測定基準と、少なくとも、復元、隔離、およびユーザ迂回機能を含み得る、改善制御１４１０と、アクション概要１４１３と、詳細ウィンドウ枠１４１１と、状態ウィンドウ枠１４１２と、色分けしたランタイム整合性指標１４４０とを含む、情報フィールドを含むことができる。コンソール１４００はまた、信頼ベンダに対する受信した整合性測定基準の信頼レベルに基づいて、整合性指標１４４０としてのリスク指標、および影響分析の指示表示を図式的に表示することもできる。
【０１８１】
情報フィールドは、リアルタイムまたは近リアルタイムで表示および／または更新されてもよい。各表示された信頼ベンダ１４０５、１４０６、１４０７、および１４０８に対する色分けしたランタイム整合性指標１４４０は、動画であり、視聴覚効果を含んでもよい。例えば、整合性指標１４４０は、場所の変更、色の変更、サイズの変更、クロスフェーディング、点滅、ビープ音、または振動を伴う（すなわち、モバイルクライアントデバイス上で表示されるときに）動画であり得る。実施形態では、整合性指標１４４０のうちのいくつかまたは全ては、詳細ダイアログボックス、拡大表示、または対応する信頼ベンダのドリルダウンまたは詳細表示のためのレポートへのリンクを伴うハイパーリンクグラフィックスであってもよい。
【０１８２】
整合性ダッシュボード１４５０は、特定の配列で具体的な情報フィールドおよび標識とともに示されるが、他の情報フィールドおよび配列が可能であることが考慮される。例えば、付加的な信頼ベンダまたはカスタムフィルタベースの斜視図が表示されてもよく、またはダッシュボードは、プラグイン制御として組み込まれ、第三者管理コンソールにおいて効率化されてもよい。
【０１８３】
図１５は、システム構成ダッシュボード１５５０を含む、ランタイム動作整合性監視コンソール１５００用の例示的なＧＵＩを描写する。
【０１８４】
図１５を参照すると、例示的なランタイム動作整合性監視コンソール１５００は、単一のウィンドウ枠内でシステム構成ダッシュボードまたは表示ウィンドウ１５５０を視覚的に表示してもよい。表示ウィンドウ１５５０は、重大性１５０１と、警告または観察されたアクティビティ１５０２と、タイムスタンプ１５０３と、評価状態１５０４と、推奨アクション１５０５と、表示された脅威の詳細ウィンドウ枠１５０７に対応するタイムスタンプ、ソースの場所、脅威識別子および被害識別子を含み得る、高度な詳細１５０６と、脅威の詳細ウィンドウ枠１５０７と、感染履歴に関連し得るマシン履歴１５０８とを含む、情報フィールドを含んでもよい。
【０１８５】
脅威の詳細ウィンドウ枠１５０７は、フォレンジック証拠連鎖と、感染診断および脅威識別につながる複数の検出された事象とを含んでもよい。
【０１８６】
システム構成ダッシュボード１５５０は、特定の配列で具体的な情報フィールドおよび標識とともに示されるが、他の情報フィールドおよび配列が可能であることが考慮される。
【０１８７】
図１６は、リソース利用ダッシュボード１６５０を含む、ランタイム動作整合性監視コンソール１６００用の例示的なＧＵＩを描写する。
【０１８８】
図１６を参照すると、例示的なランタイム動作整合性監視コンソール１６００は、リソース利用ダッシュボードまたは表示ウィンドウ１６５０を視覚的に表示してもよい。表示ウィンドウ１６５０は、重大性１６０１と、警告または観察されたアクティビティ１６０２と、タイムスタンプ１６０３と、評価状態１６０４と、推奨アクション１６０５と、表示された脅威の詳細ウィンドウ枠１６０７に対応するタイムスタンプ、ソースの場所、脅威（またはマルウェア）識別子および被害識別子を含み得る、高度な詳細１６０６と、脅威の詳細ウィンドウ枠１６０７と、感染履歴に関連し得るマシン履歴１６０８とを含む、情報フィールドを含んでもよい。
【０１８９】
脅威の詳細ウィンドウ枠１６０７は、フォレンジック証拠連鎖と、感染診断および脅威識別につながる複数の検出された事象とを含んでもよい。
【０１９０】
リソース利用ダッシュボード１６５０は、特定の配列で具体的な情報フィールドおよび標識とともに示されるが、他の情報フィールドおよび配列が可能であることが考慮される。
【０１９１】
図１７は、アプリケーション整合性ダッシュボード１７５０を含む、ランタイム動作整合性監視コンソール１７００用の例示的なＧＵＩを描写する。
【０１９２】
図１７を参照すると、例示的なランタイム動作整合性監視コンソール１７００は、アプリケーション整合性ダッシュボードまたは表示ウィンドウ１７５０を視覚的に表示してもよい。表示ウィンドウ１７５０は、重大性１７０１と、警告または観察されたアクティビティ１７０２と、タイムスタンプ１７０３と、評価状態１７０４と、推奨アクション１７０５と、表示された脅威の詳細ウィンドウ枠１７０７に対応するタイムスタンプ、ソースの場所、脅威（またはマルウェア）識別子および被害識別子を含み得る、高度な詳細１７０６と、脅威の詳細ウィンドウ枠１７０７と、感染履歴に関連し得るマシン履歴１７０８とを含む、情報フィールドを含んでもよい。
【０１９３】
脅威の詳細ウィンドウ枠１７０７は、フォレンジック証拠連鎖と、感染診断および脅威識別につながる複数の検出された事象とを含んでもよい。
【０１９４】
アプリケーション整合性ダッシュボード１７５０は、特定の配列で具体的な情報フィールドおよび標識とともに示されるが、他の情報フィールドおよび配列が可能であることが考慮される。
【０１９５】
図１８は、ネットワークアクティビティダッシュボード１８５０を含む、ランタイム動作整合性監視コンソール１８００用の例示的なＧＵＩを描写する。
【０１９６】
図１８に示されるように、例示的なランタイム動作整合性監視コンソール１８００は、ネットワークアクティビティダッシュボードまたは表示ウィンドウ１８５０を視覚的に表示してもよい。表示ウィンドウ１８５０は、重大性１８０１と、警告または観察されたアクティビティ１８０２と、タイムスタンプ１８０３と、評価状態１８０４と、推奨アクション１８０５と、表示された脅威の詳細ウィンドウ枠１８０７に対応するタイムスタンプ、ソースの場所、脅威（またはマルウェア）識別子および被害識別子を含み得る、高度な詳細１８０６と、脅威の詳細ウィンドウ枠１８０７と、感染履歴に関連し得るマシン履歴１８０８とを含む、情報フィールドを含んでもよい。
【０１９７】
脅威の詳細ウィンドウ枠１８０７は、フォレンジック証拠連鎖と、感染診断および脅威識別につながる複数の検出された事象とを含んでもよい。
【０１９８】
ネットワークアクティビティダッシュボード１８５０は、特定の配列で具体的な情報フィールドおよび標識とともに示されるが、他の情報フィールドおよび配列が可能であることが考慮される。
脅威識別および改善ならびに対象評判のための方法
【０１９９】
図１９−２２は、脅威識別および改善、対象評判サービスを提供する、およびネットワークフローレベル改善を提供するための例示的な方法を図示する、フローチャートである。
【０２００】
図１９−２２で描写されるフローチャートは、図１−８および１１の実施形態を参照して説明される。しかしながら、図１９００−２２００に示される方法１９００−２２００は、それらの実施形態に限定されない。図１９−２２に示される方法１９００−２２００は、必ずしも以下で説明される順番で起こる必要はない。実施形態によると、方法１９００−２２００のステップのうちのいくつかは、随意的である。
【０２０１】
図１９は、脅威識別および改善のための例示的な方法を図示するフローチャートである。図１９を参照すると、方法１９００は、信頼オーケストレータ４３０、終点信頼エージェント５１０、ネットワーク分析器８３０、および終点査定サービス８２０を使用して、感染したデバイス５６０のための脅威識別および改善を提供してもよい。
【０２０２】
ステップ１９０１では、ネイティブデバイスおよび／またはプラットフォーム機器６１０からの未処理事象６１１が受信される。実施形態では、上記の図６を参照して説明される終点ランタイムモニタ６２０が、未処理事象６１１を受信する。未処理事象６１１が受信された後、制御がステップ１９０２へ渡される。
【０２０３】
ステップ１９０２では、画像ファイルおよび属性が信頼ブローカへ送信される。実施形態によると、このステップは、上記の図６を参照して説明される終点ランタイムモニタ６２０に含まれる、上記の図５を参照して説明されるプロセスモニタ５１４によって行われる。この実施形態では、終点ランタイムモニタ６２０に含まれるプロセスモニタ５１４は、特殊画像分析を行うことができるように、上記の図８を参照して説明される信頼オーケストレータ４３０において、画像ファイルおよび属性５１８を信頼ブローカ４０７に送信する。画像ファイルおよび属性５１８が送信された後、方法１９００は、ステップ１９０３を続ける。
【０２０４】
ステップ１９０３では、信頼ブローカが、制御をステップ１９０４へ渡す前に、受信した画像属性に基づいて画像ファイルの正当性を立証する。実施形態によると、ステップ１９０３における立証は、上記の図５を参照して説明される信頼ブローカ４０７によって行うことができる。
【０２０５】
ステップ１９０４では、信頼ブローカ（すなわち、信頼ブローカ４０７）が、受信した画像ファイルをマルウェア分析器に送信する。一実施形態では、マルウェア分析器は、上記の図５を参照して説明されるマルウェア分析器５４０であり、マルウェア分析器は、受信した画像ファイルの特殊静的および動的画像内観を行うように構成される。
【０２０６】
ステップ１９０５では、限定されないが、信頼ブローカ４０７等の信頼ブローカが、受信した診断に基づいて、画像プロファイルを生成して、終点プロセスモニタに送信する。実施形態では、このステップは、画像プロファイル５１９を、図５を参照して上記で説明される終点プロセスモニタ５１４に送信することを含む。画像プロファイルが送信された後、制御がステップ１９０６へ渡される。
【０２０７】
ステップ１９０６では、終点ランタイムモニタ６２０が、限定されないが、整合性事象６２１等の整合性事象を生成して、限定されないが、図６を参照して上記で説明される整合性プロセッサ６３０等の整合性プロセッサに送信する。
【０２０８】
ステップ１９０７では、終点整合性プロセッサ６３０が、ルールセット６３１を使用して、受信した事象を処理してアラートにマップしてもよい。ステップ１９０８では、終点整合性プロセッサ６３０が、事象相関行列６３３を使用して警告６３４を生成し、終点事象５２０として信頼オーケストレータ４３０に送信してもよい。
【０２０９】
ステップ１９０９では、限定されないが、システム事象相関器４１０等のシステム事象相関器が、終点整合性プロセッサ６３０から終点事象５２０を受信する。
【０２１０】
ステップ１９１０では、信頼ブローカ４０７が、終点査定サービス８２０からネットワーク終点整合性測定および検証レポート８２１を受信する。
【０２１１】
ステップ１９１１では、システム事象相関器４１０が、信頼ブローカ４０７から時間的事象４０９を受信する。
【０２１２】
ステップ１９１２では、システム事象相関器４１０が、制御をステップ１９１３へ渡す前に、受信した終点および時間的事象を相関させて、デバイス５６０の整合性プロファイル４２０を生成してもよい。
【０２１３】
ステップ１９１３では、システム事象相関器４１０が、デバイス５６０の整合性プロファイル４２０を信頼スーパーバイザ８４６に送信する。
【０２１４】
ステップ１９１４では、ネットワークアクティビティ相関器８３１が、感染プロファイル８３１を信頼スーパーバイザ、すなわち、信頼スーパーバイザ８４６に送信する。
【０２１５】
ステップ１９１５では、信頼スーパーバイザ８４６が、デバイス５６０上の脅威識別のためのフォレンジック信頼に基づいて、警告の分類のために受信した整合性および感染プロファイルを処理してもよい。
【０２１６】
ステップ１９１６では、信頼スーパーバイザ８４６が、感染したデバイス５６０に行うアクション８４７を改善コントローラ８４８に送信する。ステップ１９１７では、改善コントローラ８４８が、感染したデバイス５６０への受信したアクション要求を処理して、構成された閾値およびトリガに基づく指令８４９をシステムオーケストレーションおよび方針実施ポイント（またはネットワークセキュリティ）サービス８６０に送信してもよい。
【０２１７】
図２０は、対象評判サービスをサービスプロバイダに提供するための例示的な方法を図示するフローチャートである。図２０の例示的実施形態では、対象は、ユーザであり、方法２０００は、ユーザ評判サービスを提供する。しかしながら、図９および１１を参照して上記で議論されるように、代替実施形態では、対象はまた、デバイス、トランザクション、サービス、または会社等の組織でもあり得る。
【０２１８】
具体的には、図２０は、方法２０００がサービスプロバイダのためのユーザ評判サービスを提供する、ステップを図示する。一実施形態では、サービスプロバイダは、図１１を参照して上記で説明されるサービスプロバイダ１１０４であり、方法２０００は、限定されないが、図８を参照して上記で説明される信頼オーケストレータ４３０等の信頼オーケストレータを使用することができる。
【０２１９】
実施形態によると、方法２０００のステップはまた、限定されないが、図８を参照して上記で説明される、終点信頼エージェント５１０、ネットワーク分析器８３０、および終点査定サービス８２０等の終点信頼エージェント、ネットワーク分析器、およびネットワーク分析器を使用して、行うこともできる。
【０２２０】
ステップ２００１では、限定されないが、図６を参照して上記で説明される終点ランタイムモニタ６２０等の終点ランタイムモニタが、ネイティブデバイスおよび／またはプラットフォーム機器６１０から未処理事象６１１を受信し、デバイス５６０において認証サービス１１０３によって認証されるユーザ１０１４を検出して識別する。
【０２２１】
ステップ２００２では、終点ランタイムモニタ６２０が、ネイティブデバイスおよび／またはプラットフォーム機器６１０からユーザアクティビティ事象を受信する。ユーザアクティビティ事象が受信された後、制御がステップ２００３へ渡される。
【０２２２】
ステップ２００３では、終点ランタイムモニタ６２０が、整合性事象６２１を生成して終点整合性プロセッサ６３０に送信してもよい。
【０２２３】
ステップ２００４では、終点整合性プロセッサ６３０が、ルールセット６３１を使用して、受信した事象を処理してアラートにマップしてもよい。
【０２２４】
ステップ２００５では、終点整合性プロセッサ６３０が、事象相関行列６３３を使用して警告６３４を生成し、終点事象５２０として信頼オーケストレータ４３０に送信してもよい。警告および事象相関行列が生成および送信された後、方法２０００はステップ２００６を続ける。
【０２２５】
ステップ２００６では、信頼ブローカ４０７が、問い合わせを行い、複数の協調サービス９０４、９０３、９０２、９０１からユーザおよびリソース属性１１２１、１１３０、１１２２、および１１２８を受信し、対象事象１１２３を生成してもよい。ステップ２００７では、評判プロセッサ１１１０が、受信した対象事象１１２３を分析し、対象アラート１１２４（すなわち、ユーザアラートまたは整合性プロファイル）を生成してもよい。
【０２２６】
ステップ２００８では、リスク相関器１１１１が、リスク相関行列７２１を使用してユーザ警告１１２６を、および評判スコア発生器１１１２を使用してユーザ評判スコア１１２５を生成するように、ユーザ１０１４アラート等の受信した対象アラート１１２４を相関させてもよい。
【０２２７】
ステップ２００９では、信頼スーパーバイザ８４６が、デバイス５６０のユーザ１０１４の脅威識別のためのフォレンジック信頼に基づいて、警告の分類のために受信した整合性および感染プロファイルを処理してもよい。ユーザ１０１４は、デバイス５６０上でアプリケーションを実行するデバイス５６０に現在ログインされていることにより、またはデバイス５６０上のファイル、データ、アプリケーション、あるいはウェブページ等のアクセスリソースへのアカウント／ユーザＩＤ特権を有することによって、デバイスと関連付けられてもよい。
【０２２８】
ステップ２０１０では、評判ブローカ１１０６が、サービスプロバイダ１１０４からデバイス５６０のユーザ１０１４に対する評判クエリ１１１７を受信する。
【０２２９】
ステップ２０１１では、評判ブローカ１１０６が、デバイス５６０のユーザ１０１４に対する評判トークン１１１８を送信する。実施形態では、このステップで送信される評判トークン１１１８は、少なくともユーザ評判スコア１１２５を含む。評判トークン１１１８が送信された後、制御がステップ２０１２へ渡される。
【０２３０】
ステップ２０１２では、サービスプロバイダ１１０４が、ユーザ１０１４が管理されたアプリケーション１１０５にアクセスするために、デバイス５６０から受信されるサービス要求１１１６を処理する際に、評判ベースのアクセス制御１１１９を適用する。評判ベースのアクセス制御が適用された後、制御がステップ２０１３へ渡される。
【０２３１】
ステップ２０１３では、信頼スーパーバイザ８４６が、デバイス５６０のユーザ１０１４のセッションのためにネットワークファブリックに行うアクション８４７を改善コントローラ８４８に送信する。
【０２３２】
ステップ２０１４では、改善コントローラ８４８が、デバイス５６０のユーザ１０１４のセッションに対する受信したアクション要求を処理して、構成された閾値およびトリガに基づく指令８４９をシステムオーケストレーションおよび方針実施ポイント（またはネットワークセキュリティ）サービス８６０に送信してもよい。
【０２３３】
図２１は、ネットワーク信頼エージェント、終点信頼エージェント、および信頼オーケストレーションサーバを使用して、コンピューティングプラットフォーム上で実行するシステムのランタイム動作整合性のための証明サービスを提供することができる、ステップを図示するフローチャートである。図２１に示される方法２１００のステップは、必ずしも説明される順番で起こる必要はない。
【０２３４】
図２１を参照すると、方法２１００は、信頼オーケストレータ１２０５、終点信頼エージェント１２０１、ネットワーク信頼エージェント１２０９、および協調サービス１２０７を使用して、ネットワーク要素１２１６において感染したデバイス５６０のためのネットワークフローレベル改善を提供することができる。
【０２３５】
ステップ２１０１では、デバイス５６０上の終点信頼エージェント１２０１における終点ランタイムモニタ６２０が、終点事象５２０を含み得る動的コンテキスト１２０４を信頼オーケストレータ１２０５に送信する。
【０２３６】
ステップ２１０２では、信頼オーケストレータ４３０が、制御をステップ２１０３へ渡す前に、デバイス５６０上の終点信頼エージェント１２０１からの受信した終点事象５２０を分析してもよい。
【０２３７】
ステップ２１０３では、信頼ブローカ４０７が、終点査定サービス（または協調サービス）８２０からネットワーク終点査定（または整合性測定および検証レポート）８２１を受信して分析し、時間的事象４０９を生成する。
【０２３８】
ステップ２１０４では、システム事象相関器４１０が、終点５２０および時間的４０９事象を相関させ、デバイス５６０の整合性プロファイル４２０を生成してもよい。
【０２３９】
ステップ２１０５では、信頼スーパーバイザ８４６が、ネットファークファブリックに行うフロー改善措置８４７を生成して改善コントローラ８４８に送信してもよい。
【０２４０】
ステップ２１０６では、信頼オーケストレータ１２０５における改善コントローラ８４８が、ネットワークデバイス５６０に対するシステム警告１２０８をネットワーク信頼エージェント１２０９に送信する。ステップ２１０７では、ネットワーク信頼エージェント１２０９が、ＯｐｅｎＦｌｏｗコントローラ１２１４に対するコマンド１２１３を策定する指令１２１０を生成してＯｐｅｎＦｌｏｗセキュリティフレームワーク１２１１に送信してもよい。
【０２４１】
ステップ２１０８では、ＯｐｅｎＦｌｏｗコントローラ１２１４が、事前警告されたネットワークデバイス５６０へ／からのトラフィックフローを迂回または遮断するように、ルール１２１５をＯｐｅｎＦｌｏｗ対応ネットワーク要素（スイッチ）１２１６に送信する。
【０２４２】
ステップ２１０９では、制御がステップ２１１０へ渡される前に、ＯｐｅｎＦｌｏｗ対応ネットワーク要素（スイッチ）１２１６が、事前警告されたネットワークデバイス５６０に対する受信したアクセス制限（制御）１２１７を実施してもよい。
【０２４３】
ステップ２１１０では、信頼スーパーバイザ８４６が、事前警告されたネットワークデバイス５６０に対する評判スコア更新情報８４７を監視して改善コントローラ８４８に送信してもよい。ステップ２１１１では、信頼オーケストレータ１２０５における改善コントローラ８４８が、事前警告されたネットワークデバイス５６０に対するシステムセキュリティ姿勢状態更新情報１２０８をネットワーク信頼エージェント１２０９に送信する。評判スコア更新情報が監視および送信された後、方法２１００はステップ２１１２へ続く。
【０２４４】
ステップ２１１２では、ネットワーク信頼エージェント１２０９が、事前警告されたネットワークデバイス５６０へ／からの正常なフローを復元するように、ＯｐｅｎＦｌｏｗコントローラ１２１４に対するコマンド１２１３を策定する指令１２１０を生成してＯｐｅｎＦｌｏｗセキュリティフレームワーク１２１１に送信してもよい。
【０２４５】
図２２は、種々の例示的実施形態による方法を図示する、フローチャートである。
【０２４６】
図２２を参照すると、方法２２００は、信頼オーケストレータ１３１０、終点信頼エージェント１３０１、ネットワーク信頼エージェント１３１５、および終点査定サービス１３１２を使用して、無線アクセスポイント１３２０において感染したモバイルデバイス５６０のためのネットワークフローレベル改善を提供することができる。
【０２４７】
ステップ２２０１では、モバイルデバイス５６０上の終点信頼エージェント１３０１における終点ランタイムモニタ６２０が、制御をステップ２２０２へ渡す前に、終点事象５２０を含み得る動的コンテキスト１３０４を信頼オーケストレータ１３１０に送信する。
【０２４８】
ステップ２２０２では、信頼オーケストレータ４３０が、デバイス５６０上の終点信頼エージェント１３０１からの受信した終点事象５２０を分析してもよい。
【０２４９】
ステップ２２０３では、信頼ブローカ４０７が、終点査定サービス（または協調サービス）８２０からネットワーク終点査定（または整合性測定および検証レポート）８２１を受信して分析し、時間的事象４０９を生成する。ネットワーク終点査定が分析され、時間的事象が生成された後、方法２２００はステップ２２０４へ続く。
【０２５０】
ステップ２２０４では、システム事象相関器４１０が、終点５２０および時間的４０９事象を相関させ、モバイルデバイス５６０の整合性プロファイル４２０を生成してもよい。
【０２５１】
ステップ２２０５では、信頼スーパーバイザ８４６が、ネットファークファブリックに行うフロー改善措置８４７を生成して改善コントローラ８４８に送信してもよい。
【０２５２】
ステップ２２０６では、制御がステップ２２０７へ渡される前に、信頼オーケストレータ１３１０における改善コントローラ８４８が、モバイルデバイス５６０に対するシステム警告１２０８をネットワーク信頼エージェント１２０９に送信する。
【０２５３】
ステップ２２０７では、ネットワーク信頼エージェント１２０９が、モバイルデバイス５６０のためのアクセス制御１３２１を適用するポリシー１３１７を生成して無線アクセスポイント１３２０に送信し、その時点で、制御がステップ２２０８へ渡される。
【０２５４】
ステップ２２０８では、信頼オーケストレータ１３１０における改善コントローラ８４８が、モバイルデバイス５６０に対するシステム警告１３０７をモバイルポリシーマネージャ１３１３に、またはモバイルデバイス５６０上に特徴制御を設定する指令１３０９をモバイルデバイスマネージャ１３２４に送信する。
【０２５５】
ステップ２２０９では、モバイルポリシーマネージャ１３１３は、登録されたユーザ（サービス加入者）およびモバイルデバイス５６０に対する忠告およびセキュリティ設定を策定する、またはモバイルデバイス５６０上に特徴制御を設定する指令１３０９を生成してモバイルデバイスマネージャ１３２４に送信する。
【０２５６】
ステップ２２１０では、評判ブローカ１１０６が、サービスプロバイダ１１０４からモバイルデバイス５６０に対する評判クエリ１１１７を受信する。
【０２５７】
ステップ２２１１では、評判ブローカ１１０６が、デバイス５６０の受信した感染８３２および整合性４２０プロファイルに基づいて、少なくとも、信頼スーパーバイザ８４６によって確立されるセキュリティ姿勢を含み得る、デバイス５６０に対する評判トークン１１１８を送信する。
【０２５８】
ステップ２２１２では、サービスプロバイダ１１０４が、管理されたアプリケーション１１０５にアクセスするようにデバイス５６０から受信されるサービス要求１１１６を処理する際に、評判ベースのアクセス制御１１１９を適用してもよい。
エンティティ関係モデルおよび階層的対象評判
【０２５９】
図２３は、対象評判スコアの計算のためにシステムで使用される、エンティティと構成要素との間の例示的な関係を図示する、エンティティ関係図である。例えば、エンティティモデル２３００で描写されるエンティティおよび構成要素は、図１１を参照して上記で説明されるシステム１１００によって、評判スコアを生成するために使用することができる。
【０２６０】
図２３を参照すると、例示的な評判採点システム２３００は、組織２３０３によって雇用される、組織２３０３の一員である、または別様に組織２３０３と関連付けられる、ユーザ１０１４の評判スコアを計算する。ユーザ１０１４は、一時的に（すなわち、請負業者として）組織と関連付けることができる。ユーザ１０１４は、アクティビティ２３０７に参加するように、アプリケーション２３０６によってレンダリングされ、組織２３０３によって管理されるサービス２３０５とのオンライントランザクション２３０４を行うために、１つ以上の終点デバイス５６０を使用する。実施形態では、アクティビティ２３０７は、社会２３０８または職業１４０９のいずれか一方として分類される。
【０２６１】
実施形態によると、組織２３０３は、企業、政府機関／部門、大学または学校、病院、非営利会社、またはその従業員／メンバー（すなわち、デバイス５６０のユーザ１０１４）の代わりに安全なシステム、プラットフォーム、モバイルコンピューティングデバイス、または他のＩＴアセットを必要とする任意の他のグループであり得るが、それらに限定されない。組織２３０３のＩＴアセットは、サーバ、デスクトップコンピュータ、ラップトップ、タブレットコンピュータ、多機能プリンタ／スキャナ／ファクスマシン、およびネットワークデバイスを含むことができるが、それらに限定されない。ＩＴアセットは、組織によって所有または賃借され、組織２３０３によって直接制御される、デバイス５６０であり得る。
【０２６２】
ＩＴアセットは、ユーザ１０１４（すなわち、ＢＹＯＤ環境内のユーザ所有モバイルコンピューティングデバイス）または組織２３０３（すなわち、組織２３０３によって所有または賃借される「企業」ＩＴ）によって所有および管理されるデバイス５６０を含むことができる。実施形態では、評判採点システム２３００は、組織２３０３が、いくつかのデバイス５６０を所有し、いくつかのデバイス５６０を賃借し、ユーザ１０１４が他のデバイス５６０を所有する、ＩＴアセットの混合環境内で動作することができる。例えば、組織２３０３は、企業サーバおよびネットワークデバイス（図示せず）を所有し、ユーザ１０１４用のラップトップ、デスクトップコンピュータ／パーソナルコンピュータ（ＰＣ）、および他の終点デバイス５６０を賃借し、同時に、ユーザ１０１４所有モバイルコンピューティングデバイス５６０（すなわち、ＢＹＯＤ環境内のスマートフォン、ラップトップ、およびタブレット）が、内部または外部ネットワークを介して組織２３０３のドメインにアクセスすることを可能にしてもよい。内部ネットワークは、イントラネット、ＬＡＮ、またはＷＡＮであり得るが、それらに限定されない。外部ネットワークは、エクストラネット、Ｗｉ−Ｆｉ等の無線データネットワーク、およびインターネットであり得るが、それらに限定されない。
【０２６３】
評判採点システム２３００におけるサーバ（図示せず）は、サーバファームの一部であってもよく、アプリケーション２３０６をホストするアプリケーションサーバ、ファイルサーバ、メールサーバ、データベースサーバ、プロキシサーバ、およびウェブサーバであり得るが、それらに限定されない。これらのサーバは、組織２３０３によって所有される企業サーバ、または企業賃借を受けているサーバであり得る。代替として、サーバはまた、遠隔のサービスプロバイダが管理した外注仮想データセンター（すなわち、クラウドコンピューティング環境）の一部でもあり得る。ネットワークデバイスは、ネットワーク接続された記憶デバイス、ルータ、スイッチ、ハブ、およびファイヤウォールであり得る。これらのネットワークデバイスは、組織２３０３のローカルエリアネットワーク（ＬＡＮ）または広域ネットワーク（ＷＡＮ）の一部であり得る。
【０２６４】
図２４は、対象評判スコアの例示的な階層的表現を図示する、ブロック図である。階層的表現２４００は、図１１を参照して上記で説明されるシステム１１００によって生成される評判スコアを報告するために使用することができる。
【０２６５】
図２４を参照すると、対象評判スコア２４００の例示的な階層的表現は、評判スコア２４０１と、トランザクションスコア２４０９と、ユーザスコア２４０７と、サービススコア２４０８と、社会スコア２４０２と、職業スコア２４０３と、デバイススコア２４０４と、組織スコア２４０５と、アプリケーションスコア２４０６とを含む。図２４の例示的実施形態では、組織スコア２４０５は、例えば、企業スコア２４０５であり得る。
【０２６６】
評判スコアは、（集約として）１つ以上の構成要素スコアを備えてもよく、構成要素スコアは、図２４で集約スコアの下方に図示されている（例えば、サービススコアは、トランザクションスコアの構成要素スコアであってもよい）。集約評判スコアは、含まれる構成要素スコアに注釈を付けるように、列挙リストを提供してもよい。
アプリケーション事象監視アーキテクチャ
【０２６７】
図２５は、ネイティブマシン機器機構への層状拡張を伴う、信頼できる実行についてアプリケーション事象を監視するための例示的なコンピュータシステムアーキテクチャ２５００を図示する、ブロック図である。図２５は、図４−６で図示される実施形態を続けて参照して説明される。しかしながら、図２５は、これらの実施形態に限定されない。
【０２６８】
図２５を参照すると、信頼のために機器化されるアーキテクチャ２５００の例示的な表現は、デバイス５６０と、終点信頼エージェント５１０と、ネイティブマシン機器６１０と、拡張信頼機器２５０１と、ランタイムモニタ６２０と、システム事象相関器４１０と、信頼オーケストレータ４３０とを含む。
【０２６９】
ランタイムモニタ６２０は、拡張信頼機器２５０１からのアプリケーション事象２５０２の近リアルタイム非同期通知に登録し、それを受信する。アプリケーション事象２５０２は、レジストリ、ファイルシステム、ネットワーク、記憶装置、入力（例えば、キーボード）、出力（例えば、画面表示）、メモリ（例えば、ピークまたはポーク）、およびプロセス動作（例えば、スレッド作成）、およびターゲット機器化デバイス５６０上でアプリケーションを実行することによる任意のシステムリソース（例えば、マイクロホンまたはカメラ）の利用を含んでもよい。
【０２７０】
拡張信頼機器２５０１は、例えば、ＭＩＣＲＯＳＯＦＴＴＭ  ＷＩＮＤＯＷＳ（登録商標）プラットフォーム上のＷＩＮＤＯＷＳ（登録商標）  Ｍａｎａｇｅｍｅｎｔ  Ｉｎｓｔｒｕｍｅｎｔａｔｉｏｎ（ＷＭＩ）等のネイティブマシン機器６１０への層状拡張であってもよい。
【０２７１】
当業者によって理解されるように、ＷＭＩは、それを通して機器化構成要素（すなわち、機器化プラットフォームの構成要素）が情報および通知を提供する、オペレーティングシステムインターフェースを提供する、デバイスドライバ用のフレームワークである、ＭＩＣＲＯＳＯＦＴＴＭ  ＷＩＮＤＯＷＳ（登録商標）  Ｄｒｉｖｅｒ  Ｍｏｄｅｌ（ＷＤＭ）への一式の拡張である。ＷＭＩは、Ｄｉｓｔｒｉｂｕｔｅｄ  Ｍａｎａｇｅｍｅｎｔ  Ｔａｓｋ  Ｆｏｒｃｅ  （ＤＭＴＦ）  Ｗｅｂ−Ｂａｓｅｄ  Ｅｎｔｅｒｐｒｉｓｅ  Ｍａｎａｇｅｍｅｎｔ（ＷＢＥＭ）およびＤＭＴＦ  Ｃｏｍｍｏｎ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｍｏｄｅｌ（ＣＩＭ）標準のＭＩＣＲＯＳＯＦＴＴＭ実装である。ＷＭＩは、いくつかのＭＩＣＲＯＳＯＦＴＴＭ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステム（ＯＳ）上に事前にインストールされ、Ｖｉｓｕａｌ  Ｂａｓｉｃ  Ｓｃｒｉｐｔｉｎｇ  Ｅｄｉｔｉｏｎ（ＶＢＳｃｒｉｐｔ）またはＷｉｎｄｏｗｓ（登録商標）  ＰｏｗｅｒＳｈｅｌｌのようなスクリプト言語が、ＭＩＣＲＯＳＯＦＴＴＭ  ＷＩＮＤＯＷＳ（登録商標）  ＯＳ上で作動するコンピューティングデバイスおよびプラットフォームを管理することを可能にする。そのような管理は、ローカルで（すなわち、管理されているサーバまたはプラットフォーム上で）または管理されたプラットフォーム／デバイスの外部のコンピューティングデバイスから遠隔で行うことができる。
【０２７２】
ある例示的実施形態では、ランタイムモニタ６２０は、ターゲット機器化デバイス５６０上のアプリケーションの１つ以上の実行インスタンスにリンクされるアプリケーションフィルタ２５０３として、動的表現またはルールを生成して送信してもよい。
【０２７３】
アプリケーション事象２５０２およびアプリケーションフィルタ２５０３は、例えば、ＤＭＴＦ  ＣＩＭ仕様等の標準ベースのスキーマ定義を使用して表現されてもよい。非限定的実施形態では、ＣＩＭスキーマは、Ｔｒｕｓｔ−ａｓ−ａ−Ｓｅｒｖｉｃｅ（ＴａａＳ）を提供するために使用することができる。
【０２７４】
実施形態では、アーキテクチャ２５００は、限定されないが、レジストリ、ファイルシステム、ネットワーク、およびプロセス動作（例えば、負荷ライブラリ、遠隔スレッド添付、ピーク／ポークメモリ動作）等の非同期アプリケーション事象に登録するために、ＡＰＩとともに使用することができる。
【０２７５】
アーキテクチャ２５００の実施形態は、限定されないが、ＭＩＣＲＯＳＯＦＴＴＭ  ＷＩＮＤＯＷＳ（登録商標）、ＵＮＩＸ（登録商標）、Ｌｉｎｕｘ（登録商標）、およびＡｐｐｌｅ  ＯＳＸ更新（すなわち、ＯＳおよびアプリケーションアップグレード、ならびにブラウザ、業務生産性パッケージソフト、デバイスドライバ、および他のプラットフォーム構成要素用のセキュリティパッチ）等のＯＳ更新とともに終点信頼センサを備える、ＴａａＳ終点のパッケージングを含むことができる。アーキテクチャ２５００を使用することによって、終点信頼センサは、「アクション」に基づいてリスクを評価し、ネイティブマシン機器６１０を利用することによって、ランタイム動作整合性を測定することができる。
【０２７６】
実施形態では、アーキテクチャ２５００はまた、マルウェアのクラスタ化および分類のために脅威「ライフサイクルモデル」を使用して、ネットワーク信頼センサが無署名ネットワークアクティビティ相関を行うことも可能にする。
【０２７７】
実施形態によると、アーキテクチャ２５００は、セキュリティインテリジェンスの統合のためにＡＰＩ協調バスを使用することによって、リアルタイム事象相関（すなわち、リスクの計算）に基づいて実施可能なインテリジェンスのための信頼オーケストレーションを可能にする。
例示的コンピュータシステム実装
【０２７８】
例示的実施形態は、コンピューティングデバイスまたは機器化されたプラットフォームの観点から説明されたが、図２６に図示されるコンピュータシステム２６００等のマイクロプロセッサ／汎用コンピュータ上のソフトウェア内に実装されてもよいことが想定される。種々の実施形態では、種々の構成要素の機能のうちの１つ以上は、図２６を参照して以下に説明される、コンピュータシステム２６００等のコンピューティングデバイスを制御する、ソフトウェア内に実装されてもよい。  
【０２７９】
図１−２５に示される本発明の側面、あるいはその任意の部分または機能は、ハードウェア、ソフトウェアモジュール、ファームウェア、その上に記憶された命令を有する、非一過性コンピュータ可読媒体、またはそれらの組み合わせを使用して、実装されてもよく、１つ以上のコンピュータシステムまたは他の処理システム内に実装されてもよい。
【０２８０】
図２６は、本発明の実施形態またはその一部が、コンピュータ可読コードとして実装され得る、例示的コンピュータシステム２６００を図示する。例えば、図１、４−６、８−１３、および２５のネットワークシステムおよびアーキテクチャは、ハードウェア、ソフトウェア、ファームウェア、その上に記憶された命令を有する、非一過性コンピュータ可読媒体、またはそれらの組み合わせを使用して、コンピュータシステム２６００内に実装することができ、１つ以上のコンピュータシステムまたは他の処理システム内に実装されてもよい。ハードウェア、ソフトウェア、またはそのような任意の組み合わせは、図１、４−６、８−１３、および２５のアーキテクチャおよびシステム１００、４００、５００、６００、８００、９００、１０００、１１００、１２００、１３００、および２５００を実装するために使用される、モジュールおよび構成要素のいずれかを具現化してもよい。
【０２８１】
プログラマブル論理が、使用される場合、そのような論理は、市販の処理プラットフォームまたは特殊目的デバイス上で実行されてもよい。当業者は、開示される主題の実施形態が、マルチコアマルチプロセッサシステム、ミニコンピュータ、メインフレームコンピュータ、分散機能とともにリンクまたはクラスタ化されたコンピュータ、ならびに事実上、任意のデバイス内に埋め込まれ得る、パーベイシブまたは小型コンピュータを含む、種々のコンピュータシステム構成によって実践することができることを理解し得る。
【０２８２】
例えば、少なくとも１つのプロセッサデバイスおよびメモリが、前述の説明される実施形態を実装するために使用されてもよい。プロセッサデバイスは、単一プロセッサ、複数のプロセッサ、またはそれらの組み合わせであってもよい。プロセッサデバイスは、１つ以上のプロセッサ「コア」を有してもよい。  
【０２８３】
本発明の種々の実施形態は、本例示的コンピュータシステム２６００の観点から説明される。本説明を熟読後、他のコンピュータシステムおよび／またはコンピュータアーキテクチャを使用して、本発明を実装するための方法が、当業者に明白となるであろう。動作は、連続プロセスとして説明され得るが、動作のうちのいくつかは、実際は、並行して、同時に、および／または分散環境において、かつ単一またはマルチプロセッサ機械によってアクセスするために、ローカルまたは遠隔に記憶されたプログラムコードによって、行われてもよい。加えて、いくつかの実施形態では、動作の順序は、開示される主題の精神から逸脱することなく、並べ替えられてもよい。
【０２８４】
プロセッサデバイス２６０４は、特殊目的または汎用プロセッサデバイスであってもよい。当業者によって理解されるように、プロセッサデバイス２６０４はまた、マルチコア／マルチプロセッサシステム内の単一プロセッサであってもよく、そのようなシステムは、単独で動作する、あるいはコンピューティングデバイスのクラスタとして、クラスタまたはサーバファーム内で動作する。プロセッサデバイス２６０４は、例えば、バス、メッセージキュー、ネットワーク、またはマルチコアメッセージ受渡し方式で、通信インフラストラクチャ２６０６に接続されてもよい。
【０２８５】
コンピュータシステム２６００はまた、メインメモリ２６０８、例えば、ランダムアクセスメモリ（ＲＡＭ）を含み、また、二次メモリ２６１０を含んでもよい。二次メモリ２６１０は、例えば、ハードディスクドライブ２６１２、リムーバブル記憶ドライブ２６１４を含んでもよい。リムーバブル記憶ドライブ２６１４は、フロッピー（登録商標）ディスクドライブ、磁気テープドライブ、光ディスクドライブ、フラッシュメモリ、または同等物を備えてもよい。
【０２８６】
リムーバブル記憶ドライブ２６１４は、公知の様式において、リムーバブル記憶ユニット２６１８から読み取り、および／またはそこに書き込む。リムーバブル記憶ユニット２６１８は、リムーバブル記憶ドライブ２６１４によって読み取られ、そこに書き込まれる、フロッピー（登録商標）ディスク、磁気テープ、光ディスク等を備えてもよい。当業者によって理解されるように、リムーバブル記憶ユニット２６１８は、その中に記憶されたコンピュータソフトウェアおよび／またはデータを有する、非一過性コンピュータ使用可能記憶媒体を含む。
【０２８７】
代替実装では、二次メモリ２６１０は、コンピュータプログラムまたは他の命令が、コンピュータシステム２６００にロードされることを可能にするための他の類似手段を含んでもよい。そのような手段は、例えば、リムーバブル記憶ユニット２６２２およびインターフェース２６２０を含んでもよい。そのような手段の実施例は、プログラムカートリッジおよびカートリッジインターフェース（ビデオゲームデバイスに見出されるもの等）、リムーバブルメモリチップ（ＥＰＲＯＭ、またはＰＲＯＭ等）および関連付けられたソケット、ならびにソフトウェアおよびデータが、リムーバブル記憶ユニット２６２２からコンピュータシステム２３００に転送されることを可能にする、他のリムーバブル記憶ユニット２６２２およびインターフェース２６２０を含んでもよい。
【０２８８】
コンピュータシステム２６００はまた、通信インターフェース２６２４を含んでもよい。通信インターフェース２６２４は、ソフトウェアおよびデータが、コンピュータシステム２６００と外部デバイスとの間で転送されることを可能にする。通信インターフェース２６２４は、モデム、ネットワークインターフェース（Ｅｔｈｅｒｎｅｔ（登録商標）カード等）、通信ポート、ＰＣＭＣＩＡスロットおよびカード、または同等物を含んでもよい。通信インターフェース２６２４を介して転送されるソフトウェアおよびデータは、通信インターフェース２６２４によって受信可能な電子、電磁、光学、または他の信号であり得る、信号の形態であってもよい。これらの信号は、通信パス２６２６を介して、通信インターフェース２３２４に提供されてもよい。通信パス２６２６は、信号を搬送し、ワイヤまたはケーブル、光ファイバ、電話回線、携帯電話リンク、ＲＦリンク、あるいは他の通信チャネルを使用して実装されてもよい。
【０２８９】
コンピュータシステム２６００はまた、コンピュータディスプレイ２６３０と、ディスプレイインターフェース２６０２とを含んでもよい。実施形態によると、図１４−１８に示され、上記で説明されるＧＵＩおよびダッシュボードを表示するために使用されるディスプレイは、コンピュータディスプレイ２６３０であってもよく、コンソールインターフェースは、表示インターフェース２６０２であってもよい。
【０２９０】
本書では、用語「コンピュータプログラム媒体」、「非一過性コンピュータ可読媒体」、および「コンピュータ使用可能媒体」は、概して、リムーバブル記憶ユニット２６１８、リムーバブル記憶ユニット２６２２、およびハードディスクドライブ２６１２内にインストールされたハードディスク等の媒体を指すために使用される。通信パス２６２６を経由して搬送された信号はまた、本明細書に説明される論理を具現化することができる。コンピュータプログラム媒体およびコンピュータ使用可能媒体はまた、メモリ半導体（例えば、ＤＲＡＭ等）であり得る、メインメモリ２６０８および二次メモリ２６１０等のメモリを指し得る。これらのコンピュータプログラムプロダクトは、ソフトウェアをコンピュータシステム２６００に提供するための手段である。
【０２９１】
コンピュータプログラム（コンピュータ制御論理とも呼ばれる）は、メインメモリ２６０８および／または二次メモリ２６１０内に記憶される。コンピュータプログラムはまた、通信インターフェース２６２４を介して、受信されてもよい。そのようなコンピュータプログラムは、実行されると、本明細書に論じられるように、本発明を実装するために、コンピュータシステム２６００を有効にする。特に、コンピュータプログラムは、実行されると、前述の図１９−２２の流れ図１９００、２０００、２１００、および２２００によって図示される方法における段階等、本発明のプロセスを実装するために、プロセッサデバイス２６０４を有効にする。故に、そのようなコンピュータプログラムは、コンピュータシステム２６００のコントローラを表す。本発明が、ソフトウェアを使用して実装される場合、ソフトウェアは、コンピュータプログラムプロダクト内に記憶され、リムーバブル記憶ドライブ２６１４、インターフェース２６２０、およびハードディスクドライブ２６１２、または通信インターフェース２６２４を使用して、コンピュータシステム２６００にロードされてもよい。  
【０２９２】
本発明の実施形態はまた、任意のコンピュータ使用可能媒体上に記憶されたソフトウェアを備える、コンピュータプログラムプロダクトを対象としてもよい。そのようなソフトウェアは、１つ以上のデータ処理デバイス内で実行されると、データ処理デバイスを本明細書に説明されるように動作させる。本発明の実施形態は、任意のコンピュータ使用可能または可読媒体を採用する。コンピュータ使用可能媒体の実施例として、一次記憶デバイス（例えば、任意のタイプのランダムアクセスメモリ）、二次記憶装置デバイス（例えば、ハードドライブ、フロッピー（登録商標）ディスク、ＣＤＲＯＭＳ、ＺＩＰディスク、テープ、磁気記憶デバイス、および光学記憶デバイス、ＭＥＭＳ、ナノテクノロジー記憶デバイス等）、および通信媒体（例えば、有線および無線通信ネットワーク、ローカルエリアネットワーク、広域ネットワーク、イントラネット等）が挙げられるが、それらに限定されない。
結論
【０２９３】
概要および要約セクションを除く、発明を実施するための形態セクションは、請求項を解釈するために使用されることを意図することを理解されたい。概要および要約セクションは、発明者によって想起されるような、全部ではないが、１つ以上の本発明の例示的実施形態を記載しており、したがって、本発明および添付の請求項をいかようにも限定することを意図するものではない。
【０２９４】
本発明の実施形態は、規定された機能の実装およびその関係を図示する、機能的構築ブロックを用いて前述されている。これらの機能的構築ブロックの境界は、説明の便宜上、本明細書では、随意に画定されている。代替境界も、規定された機能およびその関係が、適切に果たされる限り、画定されることができる。
【０２９５】
具体的実施形態の前述の説明は、他者が、本発明の一般的概念から逸脱することなく、過度の実験を伴うことなく、当該技術分野内の知識を適用することによって、種々のアプリケーションのために、そのような具体的実施形態を容易に修正および／または適応することができるように、本発明の一般的性質を完全に明らかにするであろう。したがって、そのような適応および修正は、本明細書に提示される教示および手引きに基づく、開示される実施形態の均等物の意味および範囲内であることが意図される。本明細書の語句または専門用語は、本明細書の専門用語または語句が、教示および手引きに照らして、当業者によって解釈されるように、限定ではなく、説明目的のためのものであることを理解されたい。
【０２９６】
本発明は、具体的実施形態を参照して、図示および本明細書に説明されるが、本発明は、示される詳細に限定されることを意図するものではない。むしろ、種々の修正が、請求項の均等物の適用範囲および活動範囲内において、本発明から逸脱することなく、その詳細に行われてもよい。
【図１５】
2015519652.tif 000003
【図１６】
2015519652.tif 000004
【図１７】
2015519652.tif 000005
【図１８】
2015519652.tif 000006
【図１】
2015519652.tif 000007
【図２】
2015519652.tif 000008
【図３Ａ】
2015519652.tif 000009
【図３Ｂ】
2015519652.tif 000010
【図４】
2015519652.tif 000011
【図５】
2015519652.tif 000012
【図６】
2015519652.tif 000013
【図７Ａ】
2015519652.tif 000014
【図７Ｂ】
2015519652.tif 000015
【図７Ｃ】
2015519652.tif 000016
【図８】
2015519652.tif 000017
【図９】
2015519652.tif 000018
【図１０】
2015519652.tif 000019
【図１１】
2015519652.tif 000020
【図１２】
2015519652.tif 000021
【図１３】
2015519652.tif 000022
【図１４】
2015519652.tif 000023
【図１９】
2015519652.tif 000024
【図２０】
2015519652.tif 000025
【図２１】
2015519652.tif 000026
【図２２】
2015519652.tif 000027
【図２３】
2015519652.tif 000028
【図２４】
2015519652.tif 000029
【図２５】
2015519652.tif 000030
【図２６】
2015519652.tif 000031
【国際調査報告】
2015519652.tif 000032
2015519652.tif 000033