【手続補正書】
【提出日】平成31年1月24日(2019.1.24)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
脅威検知を実行するための方法であって、
サーバーにおいてクライアントシステムからイベントデータを受信するステップであり、前記イベントデータは、前記クライアントシステム上で発生しているさまざまなイベントに関連付けられているエンティティー識別子の難読化された表示を含みおよび前記エンティティー識別子自体を含まない、ステップと、
前記サーバーにおいて前記イベントデータを受信することに応答して、前記イベントデータが少なくとも１つのサイバー脅威に関連付けられているということを決定するステップと、
前記サーバーによって前記少なくとも１つのサイバー脅威の存在を前記クライアントシステムに報告するステップとを含むことを特徴とする方法。
【請求項２】
前記イベントデータが少なくとも１つのサイバー脅威に関連付けられているということを決定するステップは、前記イベントデータに関連付けられているドメイン名が悪意あるエンティティーに関連しているかどうかを決定するステップを含むことを特徴とする請求項１に記載の方法。
【請求項３】
前記イベントデータが少なくとも１つのサイバー脅威に関連付けられているということを決定するステップは、前記イベントデータを１または複数の脅威インジケータと比較して、少なくとも１つの脅威インジケータが前記イベントデータにおいて存在しているかどうかを決定するステップを含み、それぞれの脅威インジケータは、少なくとも１つの潜在的なサイバー脅威に関連付けられていることを特徴とする請求項１に記載の方法。
【請求項４】
前記イベントデータは、イベントのインデックス付けされた階層を含み、前記インデックス付けされた階層における第１のレベルが、前記インデックス付けされた階層における第２のレベルと比べて異なる時間ベースの粒度に関連付けられていることを特徴とする請求項３に記載の方法。
【請求項５】
前記イベントデータを前記１または複数の脅威インジケータと比較するステップは、前記インデックス付けされた階層における前記第１のレベルを前記１または複数の脅威インジケータと比較して、前記第１のレベルと、前記１または複数の脅威インジケータのうちの少なくとも１つとの間においてマッチが存在する場合にのみ、前記第２のレベルへ進むステップを含むことを特徴とする請求項４に記載の方法。
【請求項６】
前記１または複数の脅威インジケータに含まれていないさらなる脅威インジケータを識別するステップと、
前記イベントデータ上で１または複数のリアルタイムフォレンジックオペレーションを実行して、前記さらなる脅威インジケータに関連付けられているサイバー脅威が前記イベントデータにおいて存在しているかどうかを決定するステップと
をさらに含むことを特徴とする請求項３に記載の方法。
【請求項７】
前記少なくとも１つのサイバー脅威の前記存在を報告するステップは、脅威データのマルチパネル表示を表示するステップを含み、前記マルチパネル表示におけるそれぞれのパネルは、別々のデータ次元に従って前記少なくとも１つの脅威インジケータの前記存在を提示することを特徴とする請求項１に記載の方法。
【請求項８】
前記データ次元は、脅威の時間、脅威のタイプ、脅威が有効である確実性、脅威の重大度、脅威となるアクションのタイプ、宛先ポート、ソースポート、タグ、および地勢から構成されているグループから選択された少なくとも１つを含むことを特徴とする請求項７に記載の方法。
【請求項９】
前記マルチパネル表示における第１のパネルの一部分を選択するためのユーザ入力を受信して、前記選択された部分のさらに詳細なビューを前記第１のパネルにおいて提示するステップをさらに含むことを特徴とする請求項７に記載の方法。
【請求項１０】
前記第１のパネルにおける前記選択された部分に基づいて前記マルチパネル表示におけるさらなるパネルを更新するステップをさらに含むことを特徴とする請求項９に記載の方法。
【請求項１１】
前記マルチパネル表示における少なくとも１つのパネルが、ディスプレイ表面上でのユーザのタッチを使用して操作されることを特徴とする請求項７に記載の方法。
【請求項１２】
前記脅威データをフィルタリングするための１または複数のパラメータを指定するテキスト検索クエリーを受信して、前記１または複数のパラメータに従ってフィルタリングされた前記脅威データを提示するように前記マルチパネル表示を更新するステップをさらに含むことを特徴とする請求項７に記載の方法。
【請求項１３】
第１の脅威インジケータから第２の脅威インジケータを、前記第１の脅威インジケータから抽出されたデータに基づいて生成するステップをさらに含み、前記第２の脅威インジケータは、前記１または複数の脅威インジケータに含まれることを特徴とする請求項３に記載の方法。
【請求項１４】
１または複数の脅威インジケータのうちの少なくとも１つを含む脅威データソースから複数の脅威データフィードを受信するステップをさらに含むことを特徴とする請求項１に記載の方法。
【請求項１５】
前記脅威データフィードのうちのそれぞれに関連付けられている関連性インデックスを算出するステップをさらに含み、所与の脅威データフィードに関する前記関連性インデックスは、前記脅威データフィードに含まれている脅威インジケータが前記クライアントシステムにとっていかに関連しているかを示すことを特徴とする請求項１４に記載の方法。
【請求項１６】
前記複数の脅威データフィードをデジタルストアにおける購入のためにクライアントシステムに提供するステップをさらに含むことを特徴とする請求項１４に記載の方法。
【請求項１７】
前記複数の脅威データフィードのうちの複数の間においていくつの脅威インジケータが共通しているかを前記クライアントシステムが比較することを可能にするステップをさらに含むことを特徴とする請求項１６に記載の方法。
【請求項１８】
第１の脅威インジケータを処理して、前記第１の脅威インジケータの１または複数のパラメータに基づいてさらなる脅威インジケータを生成するステップと、
前記さらなる脅威インジケータが前記イベントデータにおいて存在しているということを決定するステップと
をさらに含むことを特徴とする請求項３に記載の方法。
【請求項１９】
イベントデータ上でフォレンジックオペレーションを実行するための方法であって、
サーバーにおいてイベントデータ上でフォレンジックオペレーションを実行するための１または複数の検索パラメータを指定するフォレンジッククエリーをクライアントシステムから受信するステップであり、前記イベントデータは、クライアントシステム上で発生しているさまざまなイベントに関連付けられているエンティティー識別子の難読化された表示を含みおよび前記エンティティー識別子自体を含まない、ステップと、
前記サーバーによって、前記フォレンジッククエリーを受信することに応答して前記検索パラメータのうちの少なくとも１つを満たす１または複数のサイバー脅威を識別するステップであり、それぞれの脅威インジケータは、少なくとも１つの潜在的なサイバー脅威に関連付けられている、ステップと、
前記サーバーによって前記イベントデータ上でリアルタイムフォレンジックオペレーションを実行して、前記イベントデータが前記サイバー脅威のうちの少なくとも１つを示しているかどうかを決定するステップとを含むことを特徴とする方法。
【請求項２０】
少なくとも１つの潜在的なサイバー脅威に関連付けられているさらなる脅威インジケータを生成するために第１の脅威インジケータを拡張する第１の拡張パラメータを受信するステップをさらに含むことを特徴とする請求項１７に記載の方法。
【請求項２１】
前記イベントデータ上でリアルタイムフォレンジックオペレーションを実行して、前記さらなる脅威インジケータに関連付けられているサイバー脅威が前記イベントデータにおいて存在しているかどうかを決定するステップをさらに含むことを特徴とする請求項１８に記載の方法。
【請求項２２】
命令を格納しているコンピュータ可読メディアであって、前記命令は、サーバーのプロセッサによって実行されたときに、
クライアントシステムからイベントデータを受信するステップであり、前記イベントデータは、前記クライアントシステム上で発生しているさまざまなイベントに関連付けられているエンティティー識別子の難読化された表示を含みおよび前記エンティティー識別子自体を含まない、ステップと、
前記イベントデータを受信することに応答して、前記イベントデータが少なくとも１つのサイバー脅威に関連付けられているということを決定するステップと、
前記少なくとも１つのサイバー脅威の存在を前記クライアントシステムに報告するステップとを前記プロセッサに行わせることを特徴とするコンピュータ可読メディア。
【請求項２３】
前記イベントデータが少なくとも１つのサイバー脅威に関連付けられているということを決定するステップは、前記イベントデータを１または複数の脅威インジケータと比較して、少なくとも１つの脅威インジケータが前記イベントデータにおいて存在しているかどうかを決定するステップを含み、それぞれの脅威インジケータは、少なくとも１つの潜在的なサイバー脅威に関連付けられていることを特徴とする請求項２２に記載のコンピュータ可読メディア。
【請求項２４】
前記イベントデータは、イベントのインデックス付けされた階層を含み、前記インデックス付けされた階層における第１のレベルが、前記インデックス付けされた階層における第２のレベルと比べて異なる時間ベースの粒度に関連付けられていることを特徴とする請求項２３に記載のコンピュータ可読メディア。
【請求項２５】
前記イベントデータを前記１または複数の脅威インジケータと比較するステップは、前記インデックス付けされた階層における前記第１のレベルを前記１または複数の脅威インジケータと比較して、前記第１のレベルと、前記１または複数の脅威インジケータのうちの少なくとも１つとの間においてマッチが存在する場合にのみ、前記第２のレベルへ進むステップを含むことを特徴とする請求項２４に記載のコンピュータ可読メディア。