【手続補正書】
【提出日】平成22年6月8日(2010.6.8)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
イベント・ストリームのイベント・パターンを発見するための方法において、前記イベント・ストリームは複数のセキュリティ・イベントで構成され、
トランザクション・パラメータに基づき複数のトランザクションを作成することであって、各トランザクションは前記複数のセキュリティ・イベントのサブセットを表すことと、
前記複数のトランザクションに基づきトランザクション・ツリーを生成することであって、前記トランザクション・ツリーは１つのルート・ノードと複数の非ルート・ノードとを含み、各非ルート・ノードはセキュリティ・イベントを表すことと、
前記トランザクション・ツリーからイベント・パターンを抽出することと、
を具備し、前記抽出することは、第１の非ルート・ノードから第２の非ルート・ノードまでのサポートの落ち込みを観察することにより前記トランザクション・ツリーを構文解析することを含み、非ルート・ノードのサポートは前記非ルート・ノードで表される前記セキュリティ・イベントを含むトランザクションの数を表している、
ことを特徴とする方法。
【請求項２】
前記トランザクション・パラメータは時間を含み、各トランザクションは前記時間に受信されたイベントを表す、請求項１に記載の方法。
【請求項３】
前記トランザクション・パラメータはイベント・フィールドの値を含み、各トランザクションは前記イベント・フィールドの前記値を含むイベントを表す、請求項１に記載の方法。
【請求項４】
前記イベント・フィールドは送信元アドレスを含む、請求項３に記載の方法。
【請求項５】
前記イベント・フィールドは送信先アドレスを含む、請求項３に記載の方法。
【請求項６】
前記トランザクション・パラメータは一つの時点を含み、各トランザクションは前記一つの時点の近傍で受信されたイベントを表す、請求項１に記載の方法。
【請求項７】
前記複数のトランザクションに基づき前記トランザクション・ツリーを生成することは、前記複数のトランザクション内のセキュリティ・イベントのサポートに基づき前記トランザクション・ツリーを生成することを含む、請求項１に記載の方法。
【請求項８】
前記イベント・パターンをイベント相関則に変換するオプションをユーザに提供すること、を更に具備する請求項１に記載の方法。
【請求項９】
前記イベント・パターンを用いてイベント相関則を作成すること、を更に具備する請求項１に記載の方法。
【請求項１０】
前記複数のイベントはイベント・データベースに記憶されている、請求項１に記載の方法。
【請求項１１】
前記複数のセキュリティ・イベントの各イベントからフィールドを除外すること、を更に具備する請求項１に記載の方法。
【請求項１２】
前記フィールドの値は各イベントに固有である、請求項１１に記載の方法。
【請求項１３】
前記第１の非ルート・ノードから第２の非ルート・ノードまでのサポートの落ち込みを観察することにより前記トランザクション・ツリーを構文解析することは、
前記ルート・ノードで始まる前記トランザクション・ツリーの分岐をトラバースすることと、ここで、該分岐は該ルート・ノードから前記第１の非ルート・ノードを通って前記第２の非ルート・ノードまで延びており、
前記第１の非ルート・ノードから第２の非ルート・ノードまでのサポートの落ち込みを観察することと、
前記イベント・パターンが、前記第１の非ルート・ノードによって表されたセキュリティ・イベントを含み、かつ、前記第２の非ルート・ノードによって表されたセキュリティ・イベントを含まないということを判定することと
を含む、請求項１１に記載の方法。
【請求項１４】
規則を生成するための方法において、
予め記憶されたセキュリティ・イベントのサブセットをユーザが選択できるように構成されたパターン発見ツールを表示することと、
前記ユーザの選択に応じて、
トランザクション・パラメータに基づき複数のトランザクションを作成することであって、各トランザクションは選択されたセキュリティ・イベントのサブセットを表し、
前記複数のトランザクションに基づきトランザクション・ツリーを生成し、ここで、前記トランザクション・ツリーは１つのルート・ノードと複数の非ルート・ノードとを含み、各非ルート・ノードはセキュリティ・イベントを表し、および
前記トランザクション・ツリーからイベント・パターンを抽出し、該抽出することは第１の非ルート・ノードから第２の非ルート・ノードまでのサポートの落ち込みを観察することにより前記トランザクション・ツリーを構文解析することを含み、非ルート・ノードのサポートは前記非ルート・ノードで表される前記セキュリティ・イベントを含むトランザクションの数を表していることと、
ユーザが操作できるように構成された規則生成ツールを表示することと、
前記ユーザの操作に応じて、選択された新たな特定パターンを相関則に変換することと、
を具備する方法。
【請求項１５】
前記ユーザの操作はシングルマウスクリック操作を含む、請求項１４に記載の方法。
【請求項１６】
前記第１の非ルート・ノードから第２の非ルート・ノードまでのサポートの落ち込みを観察することにより前記トランザクション・ツリーを構文解析することは、
前記ルート・ノードで始まる前記トランザクション・ツリーの分岐をトラバースすることと、ここで、該分岐は該ルート・ノードから前記第１の非ルート・ノードを通って前記第２の非ルート・ノードまで延びており、
前記第１の非ルート・ノードから第２の非ルート・ノードまでのサポートの落ち込みを観察することと、
前記イベント・パターンが、前記第１の非ルート・ノードによって表されたセキュリティ・イベントを含み、かつ、前記第２の非ルート・ノードによって表されたセキュリティ・イベントを含まないということを判定することと
を含む、請求項１４に記載の方法。
【請求項１７】
イベント・ストリームのイベント・パターンを発見するためのシステムにおいて、前記イベント・ストリームは複数のセキュリティ・イベントで構成され、
トランザクション・パラメータに基づき複数のトランザクションを作成するように構成されたトランザクション・フィルタと、各トランザクションは前記複数のセキュリティ・イベントのサブセットを表しており、
前記複数のトランザクションに基づきトランザクション・ツリーを生成するように構成されたツリー・ビルダと、前記トランザクション・ツリーは１つのルート・ノードと複数の非ルート・ノードとを含み、各非ルート・ノードはセキュリティ・イベントを表しており、
前記トランザクション・ツリーからイベント・パターンを抽出するように構成されたツリー解析部と、
を具備し、前記ツリー解析部は、第１の非ルート・ノードから第２の非ルート・ノードまでのサポートの落ち込みを観察することにより前記トランザクション・ツリーを構文解析することを含み、非ルート・ノードのサポートは前記非ルート・ノードで表される前記セキュリティ・イベントを含むトランザクションの数を表している、
ことを特徴とするシステム。
【請求項１８】
前記トランザクション・パラメータは時間を含み、各トランザクションは前記時間に受信されたイベントを表す、請求項１７に記載のシステム。
【請求項１９】
前記トランザクション・パラメータはイベント・フィールドの値を含み、各トランザクションは前記イベント・フィールドの前記値を含むイベントを表す、請求項１７に記載のシステム。
【請求項２０】
前記トランザクション・パラメータは一つの時点を含み、各トランザクションは前記一つの時点の近傍で受信されたイベントを表す、請求項１７に記載のシステム。
【請求項２１】
前記複数のトランザクションに基づきトランザクション・ツリーを生成することは、前記複数のトランザクション内のセキュリティ・イベントのサポートに基づき前記トランザクション・ツリーを生成することを含む、請求項１７に記載のシステム。
【請求項２２】
前記イベント・パターンをイベント相関則に変換するツールをユーザに提供するユーザ・インタフェース、を更に具備する請求項１７に記載のシステム。
【請求項２３】
前記複数のセキュリティ・イベントの各イベントからフィールドを除外するように構成されたイベント・フィールド・フィルタ、を更に具備する請求項１７に記載のシステム。
【請求項２４】
前記ツリー解析部は、更に、
前記ルート・ノードで始まる前記トランザクション・ツリーの分岐をトラバースし、ここで、該分岐は該ルート・ノードから前記第１の非ルート・ノードを通って前記第２の非ルート・ノードまで延びており、
前記第１の非ルート・ノードから第２の非ルート・ノードまでのサポートの落ち込みを観察し、
前記イベント・パターンが、前記第１の非ルート・ノードによって表されたセキュリティ・イベントを含み、かつ、前記第２の非ルート・ノードによって表されたセキュリティ・イベントを含まないということを判定する
ように構成されていることを特徴とする、請求項１７に記載のシステム。
【請求項２５】
プロセッサにより実行されるプログラムを記憶したコンピュータ読み取り可能な記憶媒体であって、前記プロセッサに、
トランザクション・パラメータに基づき複数のトランザクションを作成する手順と、ここで、各トランザクションは複数のセキュリティ・イベントのサブセットを表しており、
前記複数のトランザクションに基づきトランザクション・ツリーを生成する手順と、ここで、前記トランザクション・ツリーは１つのルート・ノードと複数の非ルート・ノードとを含み、各非ルート・ノードはセキュリティ・イベントを表しており、
前記トランザクション・ツリーからイベント・パターンを抽出する手順であって、該抽出する手順は、第１の非ルート・ノードから第２の非ルート・ノードまでのサポートの落ち込みを観察することにより前記トランザクション・ツリーを構文解析することを含み、非ルート・ノードのサポートは前記非ルート・ノードで表される前記セキュリティ・イベントを含むトランザクションの数を表している前記手順と、
を実行させるための前記プログラムを記憶したコンピュータ読み取り可能な記憶媒体。
【請求項２６】
前記複数のトランザクションに基づき前記トランザクション・ツリーを生成することは、前記複数のトランザクション内のセキュリティ・イベントのサポートに基づき前記トランザクション・ツリーを生成することを含む、請求項２５に記載の記憶媒体。
【請求項２７】
前記プログラムは、前記プロセッサに、前記イベント・パターンをイベント相関則に変換するオプションをユーザに提供する手順を更に実行させることを特徴とする、請求項２５に記載の記憶媒体。
【請求項２８】
前記プログラムは、前記プロセッサに、前記イベント・パターンを用いてイベント相関則を作成する手順を更に実行させることを特徴とする、請求項２５に記載の記憶媒体。
【請求項２９】
前記プログラムは、前記プロセッサに、前記複数のセキュリティ・イベントの各イベントからフィールドを除外する手順を更に実行させることを特徴とする、請求項２５に記載の記憶媒体。
【請求項３０】
前記第１の非ルート・ノードから第２の非ルート・ノードまでのサポートの落ち込みを観察することにより前記トランザクション・ツリーを構文解析することは、
前記ルート・ノードで始まる前記トランザクション・ツリーの分岐をトラバースすることと、ここで、該分岐は該ルート・ノードから前記第１の非ルート・ノードを通って前記第２の非ルート・ノードまで延びており、
前記第１の非ルート・ノードから第２の非ルート・ノードまでのサポートの落ち込みを観察することと、
前記イベント・パターンが、前記第１の非ルート・ノードによって表されたセキュリティ・イベントを含み、かつ、前記第２の非ルート・ノードによって表されたセキュリティ・イベントを含まないということを判定することと
を含む、請求項２５に記載の記憶媒体。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００２４
【補正方法】変更
【補正の内容】
【００２４】
図１に例示したネットワーク・セキュリティ・システムは、この参照により全体が開示に含まれる２００２年１２月２日に出願された「複数のネットワークセキュリティ装置からのイベントのリアルタイム・モニタリング及び分析」というタイトルの米国出願第１０／３０８，４１５号（米国特許第７３７６９６９号）において更に詳しく説明されている。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００４９
【補正方法】変更
【補正の内容】
【００４９】
再び図３を参照すると、一実施例において、ツリー・ビルダ３８はトランザクション・ツリーをツリー解析部４０に供給し、ツリー解析部４０はトランザクション・ツリーから対象パターンを抽出する。一実施例において、ツリー解析部４０は、ツリーの分岐を横断（トラバースすなわち探査）してサポートの大幅な落ち込みを探す。例えば、ツリーの１つの分岐〜要素名（サポート）として示される〜がＡ（２００）、Ｂ（１９０）、Ｃ（５０）、Ｄ（４５）である場合、要素Ｂと要素Ｃとの間にはサポートの大幅な落ち込みがある。この場合、ツリー解析部４０は、グループＡＢを１つのパターンとして特定するとともに、グループ  ＣＤを１つのパターンとして特定する。また、ツリー解析部は、グループＡＢＣＤを１つのパターンとして特定することもできる。一実施例において、１つのパターンとしてのＡＢＣＤは、該パターンにおいてこれらのセキュリティ・イベントの発生順序が保たれることを意味するものではない場合がある。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００５３
【補正方法】変更
【補正の内容】
【００５３】
一実施例において、パターン識別部３６は発見されたパターンをパターン発見モジュール３０に供給する。一実施例において、パターン発見モジュール３０は、コンソール・インターフェース１６を介して、新たに発見されたパターンをユーザに対して表示する。ユーザは、目的に応じた多数の方法でパターンを利用する。例えば、ユーザは、イベント・パターンを調べることにより、該イベント・パターンが悪意のある攻撃か、無害な行為かを判断することができる。