【手続補正書】
【提出日】平成20年5月2日(2008.5.2)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
イベント・ストリームのイベント・パターンを発見するための方法において、前記イベント・ストリームは複数のセキュリティ・イベントで構成され、
トランザクション・パラメータに基づき複数のトランザクションを作成することであって、各トランザクションは前記複数のセキュリティ・イベントのサブセットを表すことと、
前記複数のトランザクションに基づきトランザクション・ツリーを生成することであって、前記トランザクション・ツリーは１つのルート・ノードと複数の非ルート・ノードとを含み、各非ルート・ノードはセキュリティ・イベントを表すことと、
第１の非ルート・ノードから第２の非ルート・ノードまでのサポートの落ち込みを観察することにより前記トランザクション・ツリーを構文解析することであって、非ルート・ノードのサポートは前記非ルート・ノードで表される前記セキュリティ・イベントを含むトランザクションの数を表すこと、
を具備する方法。
【請求項２】
前記トランザクション・パラメータは時間を含み、各トランザクションは前記時間に受信されたイベントを表す、請求項１に記載の方法。
【請求項３】
前記トランザクション・パラメータはイベント・フィールドの値を含み、各トランザクションは前記イベント・フィールドの前記値を含むイベントを表す、請求項１に記載の方法。
【請求項４】
前記イベント・フィールドは送信元アドレスを含む、請求項３に記載の方法。
【請求項５】
前記イベント・フィールドは送信先アドレスを含む、請求項３に記載の方法。
【請求項６】
前記トランザクション・パラメータは一つの時点を含み、各トランザクションは前記一つの時点の近傍で受信されたイベントを表す、請求項１に記載の方法。
【請求項７】
前記複数のトランザクションに基づき前記トランザクション・ツリーを生成することは、前記複数のトランザクション内のセキュリティ・イベントのサポートに基づき前記トランザクション・ツリーを生成することを含む、請求項１に記載の方法。
【請求項８】
前記イベント・パターンをイベント相関則に変換するオプションをユーザに提供すること、を更に具備する請求項１に記載の方法。
【請求項９】
前記イベント・パターンを用いてイベント相関則を作成すること、を更に具備する請求項１に記載の方法。
【請求項１０】
前記複数のイベントはイベント・データベースに記憶されている、請求項１に記載の方法。
【請求項１１】
前記複数のセキュリティ・イベントの各イベントからフィールドを除外すること、を更に具備する請求項１に記載の方法。
【請求項１２】
前記フィールドの値は各イベントに固有である、請求項１１に記載の方法。
【請求項１３】
イベント・ストリームのイベント・パターンを発見するためのシステムにおいて、前記イベント・ストリームは複数のセキュリティ・イベントで構成され、
トランザクション・パラメータに基づき複数のトランザクションを作成するように構成されたトランザクション・フィルタであって、各トランザクションは前記複数のセキュリティ・イベントのサブセットを表すことと、
前記複数のトランザクションに基づきトランザクション・ツリーを生成するように構成されたツリー・ビルダであって、前記トランザクション・ツリーは１つのルート・ノードと複数の非ルート・ノードとを含み、各非ルート・ノードはセキュリティ・イベントを表すことと、
第１の非ルート・ノードから第２の非ルート・ノードまでのサポートの落ち込みを観察することにより前記トランザクション・ツリーを構文解析するように構成されたツリー解析部であって、非ルート・ノードのサポートは前記非ルート・ノードで表される前記セキュリティ・イベントを含むトランザクションの数を表すこと、
を具備するシステム。
【請求項１４】
前記トランザクション・パラメータは時間を含み、各トランザクションは前記時間に受信されたイベントを表す、請求項１３に記載のシステム。
【請求項１５】
前記トランザクション・パラメータはイベント・フィールドの値を含み、各トランザクションは前記イベント・フィールドの前記値を含むイベントを表す、請求項１３に記載のシステム。
【請求項１６】
前記トランザクション・パラメータは一つの時点を含み、各トランザクションは前記一つの時点の近傍で受信されたイベントを表す、請求項１３に記載のシステム。
【請求項１７】
前記ツリー・ビルダは前記複数のトランザクション内のセキュリティ・イベントのサポートに基づき前記トランザクション・ツリーを生成するように更に構成されている、請求項１３に記載のシステム。
【請求項１８】
前記イベント・パターンをイベント相関則に変換するツールをユーザに提供するユーザ・インタフェース、を更に具備する請求項１３に記載のシステム。
【請求項１９】
前記複数のセキュリティ・イベントの各イベントからフィールドを除外するように構成されたイベント・フィールド・フィルタ、を更に具備する請求項１３に記載のシステム。
【請求項２０】
パターン発見システムのプロセッサにより実行されるプログラムを記憶したコンピュータ読み取り可能な記憶媒体であって、前記プロセッサに、
トランザクション・パラメータに基づき複数のトランザクションを作成することであって、各トランザクションは複数のセキュリティ・イベントのサブセットを表すことと、
前記複数のトランザクションに基づきトランザクション・ツリーを生成することであって、前記トランザクション・ツリーは１つのルート・ノードと複数の非ルート・ノードとを含み、各非ルート・ノードはセキュリティ・イベントを表すことと、
第１の非ルート・ノードから第２の非ルート・ノードまでのサポートの落ち込みを観察することにより前記トランザクション・ツリーを構文解析することであって、非ルート・ノードのサポートは前記非ルート・ノードで表される前記セキュリティ・イベントを含むトランザクションの数を表すことと、
を含む手順を実行させるための前記プログラムを記憶したコンピュータ読み取り可能な記憶媒体。
【請求項２１】
前記複数のトランザクションに基づき前記トランザクション・ツリーを生成する前記手順は、前記複数のトランザクション内のセキュリティ・イベントのサポートに基づき前記トランザクション・ツリーを生成することを含む、請求項２０に記載の記憶媒体。
【請求項２２】
前記作業は前記イベント・パターンをイベント相関則に変換するオプションをユーザに提供することを更に含む、請求項２０に記載の記憶媒体。
【請求項２３】
前記作業は前記イベント・パターンを用いてイベント相関則を作成することを更に含む、請求項２０に記載の記憶媒体。
【請求項２４】
前記作業は前記複数のセキュリティ・イベントの各イベントからフィールドを除外することを更に含む、請求項２０に記載の記憶媒体。
【請求項２５】
規則を生成するための方法において、
予め記憶されたセキュリティ・イベントのサブセットをユーザが選択できるように構成されたパターン発見ツールを表示することと、
前記ユーザの選択に応じて、
トランザクション・パラメータに基づき複数のトランザクションを作成することであって、各トランザクションは選択されたセキュリティ・イベントのサブセットを表すことと、
前記複数のトランザクションに基づきトランザクション・ツリーを生成することであって、前記トランザクション・ツリーは１つのルート・ノードと複数の非ルート・ノードとを含み、各非ルート・ノードはセキュリティ・イベントを表すこと、および
第１の非ルート・ノードから第２の非ルート・ノードまでのサポートの落ち込みを観察することにより前記トランザクション・ツリーを構文解析することであって、非ルート・ノードのサポートは前記非ルート・ノードで表される前記セキュリティ・イベントを含むトランザクションの数を表すことと、
ユーザが操作できるように構成された規則生成ツールを表示することと、
前記ユーザの操作に応じて、選択された新たな特定パターンを相関則に変換することと、
を具備する方法。
【請求項２６】
前記ユーザの操作はシングルマウスクリック操作を含む、請求項２５に記載の方法。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００４３
【補正方法】変更
【補正の内容】
【００４３】
パターン発見モジュール３０に供給されたセキュリティ・イベントにおけるイベント・パターンを特定するために、一実施例では、パターン識別部３６はまずツリー・ビルダ３８を用いて、トランザクション・フィルタ３４によって供給されたトランザクションからトランザクション・ツリーを構築する。一実施例において、ツリー・ビルダ３８は、まず要素サポートにより各トランザクションの要素を並べ替える。