(57)【要約】本明細書にはネットワークセキュリティ分析および攻撃応答を容易にする技術が開示されている。少なくとも１つの実装例では、パッシブ分析システムは、ネットワークトラフィックのコピーを受信し、ネットワークトラフィックのコピーを深く分析し、深い分析に基づいてセキュリティデータポイントを生成する。次にパッシブ分析システムは、セキュリティデータポイントをアクティブ・インライン・セキュリティ・デバイスに提供し、アクティブ・インライン・セキュリティ・デバイスは、着信するネットワークトラフィックをセキュリティデータポイントと比較して、セキュリティイベントを検出する。【選択図】図１
2018518127.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークセキュリティ分析および攻撃応答を容易にする方法であって、パッシブ分析システムにおいて、
ネットワークトラフィックのコピーを受信するステップと、
前記ネットワークトラフィックのコピーに対して深い分析を行うステップと、
前記深い分析に基づいてセキュリティデータポイントを生成するステップと、
前記セキュリティデータポイントをアクティブ・インライン・セキュリティ・デバイスに提供するステップと、を含み、
前記アクティブ・インライン・セキュリティ・デバイスが、着信するネットワークトラフィックを前記セキュリティデータポイントと比較して、セキュリティイベントを検出することを特徴とする方法。
【請求項２】
前記アクティブ・インライン・セキュリティ・デバイスは、少なくとも１つのセキュリティイベントの検出時にパケットをブロックすることを特徴とする請求項１に記載の方法。
【請求項３】
前記ネットワークトラフィックのコピーに対して前記深い分析を行うステップは、悪意のある挙動パターンを検出するステップを含むことを特徴とする請求項１に記載の方法。
【請求項４】
前記セキュリティデータポイントを前記アクティブ・インライン・セキュリティ・デバイスに提供するステップは、前記セキュリティデータポイントを前記アクティブ・インライン・セキュリティ・デバイスに非同期的に供給するステップを含むことを特徴とする請求項１に記載の方法。
【請求項５】
前記セキュリティデータポイントを前記アクティブ・インライン・セキュリティ・デバイスに提供するステップが、前記セキュリティデータポイントを前記アクティブ・インライン・セキュリティ・デバイスに非同期的に供給するステップを含むことを特徴とする請求項１に記載の方法。
【請求項６】
前記セキュリティデータポイントが、少なくとも１つのインターネットプロトコルアドレスを含むことを特徴とする請求項１に記載の方法。
【請求項７】
前記セキュリティデータポイントが正規表現を含むことを特徴とする請求項１に記載の方法
【請求項８】
ネットワークセキュリティ分析および攻撃応答を容易にするプログラム命令を格納した１つ以上のコンピュータ可読記憶媒体であって、前記プログラム命令は、パッシブ分析システムによって実行された場合に、前記パッシブ分析システムに対して、
ネットワークトラフィックのコピーを受信するステップと、
前記ネットワークトラフィックのコピーに対して深い分析を行うステップと、
前記深い分析に基づいてセキュリティデータポイントを生成するステップと、
前記セキュリティデータポイントをアクティブ・インライン・セキュリティ・デバイスに提供するステップであって、前記アクティブ・インライン・セキュリティ・デバイスが、着信するネットワークトラフィックを前記セキュリティデータポイントと比較して、セキュリティイベントを検出する、ステップと、を少なくとも指示することを特徴とする１つ以上のコンピュータ可読記憶媒体。
【請求項９】
前記アクティブ・インライン・セキュリティ・デバイスは、少なくとも１つのセキュリティイベントの検出時にパケットをブロックすることを特徴とする請求項８に記載の１つ以上のコンピュータ可読記憶媒体。
【請求項１０】
前記プログラム命令は、悪意のある挙動パターンを検出するように前記パッシブ分析システムに指示することによって、前記ネットワークトラフィックのコピーに対して前記深い分析を行うように前記パッシブ分析システムに指示することを特徴とする請求項８に記載の１つ以上のコンピュータ可読記憶媒体。
【請求項１１】
前記プログラム命令は、プロトコル違反について前記ネットワークトラフィックのコピーを分析するように前記パッシブ分析システムに指示することによって、前記ネットワークトラフィックのコピーに対して前記深い分析を行うように前記パッシブ分析システムに指示することを特徴とする請求項８に記載の１つ以上のコンピュータ可読記憶媒体。
【請求項１２】
前記プログラム命令は、前記アクティブ・インライン・セキュリティ・デバイスに前記セキュリティデータポイントを非同期的に供給するように前記パッシブ分析システムに指示することによって、前記アクティブ・インライン・セキュリティ・デバイスに前記セキュリティデータポイントを提供するように前記パッシブ分析システムに指示することを特徴とする請求項８に記載の１つ以上のコンピュータ可読記憶媒体。
【請求項１３】
前記セキュリティデータポイントが少なくとも１つのインターネットプロトコルアドレスを含むことを特徴とする請求項８に記載の１つ以上のコンピュータ可読記憶媒体。
【請求項１４】
前記セキュリティデータポイントが正規表現を含むことを特徴とする請求項８に記載の１つ以上のコンピュータ可読記憶媒体。
【請求項１５】
パッシブ分析システムと、
アクティブ・インライン・セキュリティ・デバイスとを備え、
前記パッシブ分析システムは、ネットワークトラフィックのコピーを受信し、前記ネットワークトラフィックのコピーに対して深い分析を行い、前記深い分析に基づいてセキュリティデータポイントを生成し、前記セキュリティデータポイントを前記アクティブ・インライン・セキュリティ・デバイスに提供するように構成され、
前記アクティブ・インライン・セキュリティ・デバイスは、着信するネットワークトラフィックを前記セキュリティデータポイントと比較して、セキュリティイベントを検出するように構成されていることを特徴とするネットワークセキュリティシステム。
【請求項１６】
前記アクティブ・インライン・セキュリティ・デバイスは、少なくとも１つの前記セキュリティイベントの検出時にパケットをブロックするようにさらに構成されていることを特徴とする請求項１５に記載のネットワークセキュリティシステム。
【請求項１７】
前記ネットワークトラフィックのコピーに対して前記深い分析を行うように構成されている前記パッシブ分析システムは、悪意のある挙動パターンを検出するように構成されている前記パッシブ分析システムを含むことを特徴とする請求項１５に記載のネットワークセキュリティシステム。
【請求項１８】
前記ネットワークトラフィックのコピーに対して前記深い分析を行うように構成されている前記パッシブ分析システムは、プロトコル違反について前記ネットワークトラフィックのコピーを分析するように構成されている前記パッシブ分析システムを含むことを特徴とする請求項１５に記載のネットワークセキュリティシステム。
【請求項１９】
前記アクティブ・インライン・セキュリティ・デバイスに前記セキュリティデータポイントを提供するように構成されている前記パッシブ分析システムは、前記アクティブ・インライン・セキュリティ・デバイスに前記セキュリティデータポイントを非同期的に供給するように構成されている前記パッシブ分析システムを含むことを特徴とする請求項１５に記載のネットワークセキュリティシステム。
【請求項２０】
前記セキュリティデータポイントが少なくとも１つのインターネットプロトコルアドレスを含むことを特徴とする請求項１５に記載のネットワークセキュリティシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
［関連出願］
本出願は、２０１５年６月１５日に出願された「ＰＡＳＳＩＶＥ  ＳＥＣＵＲＩＴＹ  ＡＮＡＬＹＳＩＳ  ＷＩＴＨ  ＩＮＬＩＮＥ  ＡＣＴＩＶＥ  ＳＥＣＵＲＩＴＹ  ＤＥＶＩＣＥ」と題する米国仮特許出願第６２／１７５，５８５号の利益を主張し、かつ優先権を主張し、すべての目的について参照として本明細書にその全体が組み込まれる。
【０００２】
ウェブサービスを提供するウェブサーバは、盗まれた資格情報を使用して不正にサービスにアクセスするなどの自動化された攻撃、複数のユーザ名とパスワードの組み合わせを試みてアクセスし、偽のアカウントを登録しウェブサイトを荒らしてウェブデータを収集するブルートフォース攻撃などに頻繁にさらされる。このような速度攻撃は通常、非常に短時間のうちにウェブサービスとの多数のトランザクションを必要とし、一般に使用されるウェブブラウザはそのような大規模かつ高速の通信のためには非常に遅い。代わりに攻撃者は、単純なシェルスクリプトから、トランザクションを高速化するように設計された高度なカスタムツールまで、多種多様な攻撃ツールを使用する。
【背景技術】
【０００３】
ファイアウォール、侵入防止システムなどの様々なタイプのネットワークセキュリティデバイスは、悪意のあるアクターによる攻撃からウェブサービスおよびそのコンポーネントを保護するために機能する。このようなデバイスは通常、着信するトラフィックデータをパターンのライブラリおよびネットワークプロトコルアナライザと照合することにより、様々な深度でネットワークトラフィックを検査する。セキュリティ研究者は通常、このパターンライブラリをネットワークレベルでのマルウェアの挙動の分析に基づいて継続的に更新する。パターンのセットおよびプロトコルアナライザが大きいほど、ネットワークセキュリティデバイスがネットワークトラフィックを検査するのに時間がかかる。結果として、このスクリーニングプロセスは、エンドユーザとウェブサービスとの間の全体的な通信に待ち時間をもたらし、ユーザエクスペリエンスに悪影響を与える。その結果、セキュリティデバイスは、ネットワークトラフィックを検査するのにかかる時間を最小限に抑えるために、検出の深度で妥協することが多い。
【発明の概要】
【０００４】
本明細書では、ネットワークセキュリティ分析および攻撃応答を容易にするためのシステム、方法およびソフトウェアが提供される。少なくとも１つの実装例では、パッシブ分析システムは、ネットワークトラフィックのコピーを受信し、ネットワークトラフィックのコピーを深く分析し、深い分析（ディープアナリシス，ｄｅｅｐ  ａｎａｌｙｓｉｓ）に基づいてセキュリティデータポイントを生成する。次にパッシブ分析システムは、セキュリティデータポイントをアクティブ・インライン・セキュリティ・デバイスに提供し、アクティブ・インライン・セキュリティ・デバイスは、着信するネットワークトラフィックをセキュリティデータポイントと比較して、セキュリティイベントを検出する。
【０００５】
この概要は、以下の発明を実施するための形態でさらに説明する概念の抜粋を簡略化した形で紹介するために提供される。この概要は、特許請求される主題の重要な特徴または本質的な特徴を特定することを意図するものではなく、特許請求される主題の範囲を限定するために使用されることも意図していないことが理解されよう。
【図面の簡単な説明】
【０００６】
【図１】通信システムを示すブロック図である。
【０００７】
【図２】通信システムの動作を示すフロー図である。
【０００８】
【図３】例示的な実施形態における通信システムの動作を示すフロー図である。
【０００９】
【図４】コンピューティングシステムを示すブロック図である。
【発明を実施するための形態】
【００１０】
以下の説明および関連する図面は、本発明の最良の形態を示す。本発明の原理を示す目的のために、最良の形態のいくつかの従来の態様は単純化または省略される場合がある。以下の特許請求の範囲は、本発明の範囲を特定するものである。なお、最良の形態のいくつかの態様は、特許請求の範囲によって特定される本発明の範囲内に含まれないことがある。したがって、当業者は、本発明の範囲内に含まれる最良の形態からの変形を理解するであろう。当業者であれば、以下に説明する特徴を様々な方法で組み合わせて本発明の複数の変形を形成できることを理解するであろう。その結果、本発明は、以下に説明する具体例に限定されるものではなく、特許請求の範囲およびその同等物によってのみ限定されるものである。
【００１１】
ファイアウォール、侵入防止システム、ウェブアプリケーションファイアウォールおよびその他のタイプのネットワークセキュリティデバイスは、ウェブサービスを速度攻撃、不正使用およびその他の侵入から保護する。これらのセキュリティデバイスは、さまざまな深度でネットワークトラフィックを分析する。たとえば、ファイアウォールは通常、ネットワークデータのネットワークレイヤ２（イーサネット（登録商標））、レイヤ３（インターネットプロトコル）およびレイヤ４（伝送制御プロトコル／ユーザデータグラムプロトコル）の情報を検査する。侵入防止およびウェブアプリケーションのファイアウォールソリューションは、特定のネットワークストリームのすべてのバイトを検査することを含む深いパケット分析を実行することが多い。ただし、分析が深いほど待ち時間が増えるため、ネットワークトラフィックを積極的にスキャンするインラインデバイスは、分析の深さを犠牲にして待ち時間の少ないパフォーマンス要件を達成することが多い。
【００１２】
待ち時間の懸念から、インライン・ネットワーク・セキュリティ・デバイスは、一定の高度なタイプの緩和ソリューションを提供することができない。たとえば、ユーザとそのデバイスがウェブサービスと対話する挙動パターンを深く分析する必要があるソリューションは、非常に時間がかかり、インラインセキュリティデバイスでは提供されない。代わりに、この機能は通常、ネットワーク履歴データを処理し、かつオフラインモードで分析を実行して悪意のある、または異常な使用パターンを検出するオフラインシステムで展開される。その展開の性質と関係する待ち時間のため、この履歴データのオフライン分析では、検出された脅威に対する積極的な緩和策が提供されない。通常、人間のオペレータは、即座に行動するのではなく、ロードバランサ、ファイアウォール、侵入防止システム、ウェブアプリケーションファイアウォールなどを展開するために検出を基本的かつ限定的な緩和ルールに変換する、非常に遅い手動のプロセスを採用する。有利なことに、以下の開示は、ネットワークデータの複雑で時間のかかる分析に基づくパターン照合を使用して、ネットワークセキュリティの脅威に対する短い待ち時間のアクティブインラインによる緩和を可能にする。
【００１３】
本明細書では、ネットワークセキュリティ分析および攻撃応答を容易にするための実装例が開示されている。少なくとも１つの実装例では、パッシブ分析システムがネットワークトラフィックのコピーを受信し、ユーザ、デバイスおよびアプリケーションによる悪意のある挙動パターンを検索することを含む、データの非常に深い分析を実行する。次にパッシブ分析システムは、アクティブ・インライン・セキュリティ・デバイスが類似のトラフィックに対して即座に対策を講じるために使用できるデータポイントを生成する。いくつかの実装例では、データポイントは、高速通信バスを介してアクティブ・インライン・セキュリティ・デバイスの照合モジュールに非同期的に供給されてもよい。アクティブインラインデバイスが着信するトラフィックを取り込み、データポイントと比較してセキュリティイベントを検出し、緩和対策を講じる一方で、一般的なネットワークセキュリティデバイスに期待される短い待ち時間の基準を維持する。
【００１４】
ここで図１を参照すると、通信システム１００のブロック図が示されている。通信システム１００は、コンピューティングシステム１０１、通信ネットワーク１２０およびコンピューティングシステム１３０を含む。コンピューティングシステム１０１は、パッシブ分析システム１０５およびアクティブ・インライン・セキュリティ・デバイス１０７を含む。パッシブ分析システム１０５およびアクティブ・インライン・セキュリティ・デバイス１０７は、別個の機能を提供し、コンピューティングシステム１０１の同じハードウェア装置内に異なるモジュールとして含めることができるが、いくつかの例ではコンピューティングシステム１０１内の別個かつ専用の中央処理装置、オペレーティングシステムおよびメモリコンテナで動作させることができる。パッシブ分析システム１０５およびアクティブ・インライン・セキュリティ・デバイス１０７は、いくつかの実装例では、併せてコンピューティングシステム１０１と呼ぶことができる２つの別個のハードウェア機器に個別に存在することもできる。コンピューティングシステム１０１および通信ネットワーク１２０は、通信リンク１２１を介して通信する。通信ネットワーク１２０およびコンピューティングシステム１３０は、通信リンク１３１を介して通信する。ここで、図２を参照して通信システム１００の例示的な動作を説明する。
【００１５】
図２は、例示的な実装例における通信システム１００の動作を示すフロー図である。図２に示す動作２００は、本明細書ではセキュリティプロセス２００と呼ぶことがある。動作のステップを以下で説明的に示す。以下の動作２００の説明は、その動作を示すために図１のコンピューティングシステム１０１および１３０を参照して進行するが、図１に示された詳細は単なる例示であり、プロセス２００の範囲を図１の具体的な実装例に限定することを意図するものではないことに留意されたい。
【００１６】
動作２００は、ネットワークセキュリティ分析および攻撃応答を容易にするためにコンピューティングシステム１０１によって使用されてもよい。いくつかの実装例では、コンピューティングシステム１０１は、ネットワークトラフィックを監視し、検出されたセキュリティの脅威を緩和するネットワークセキュリティ機器を備えることができる。たとえば、コンピューティングシステム１０１のアクティブ・インライン・セキュリティ・デバイス１０７は、その最終宛先への途中のネットワークトラフィックを傍受することができ、最終宛先はコンピューティングシステム１０１、コンピューティングシステム１３０または任意の他のコンピューティングシステム、クラウドサーバまたは任意の他のコンピューティングリソースであり得る。いくつかの例では、コンピューティングシステム１０１は、ウェブサービスの提供に使用されるウェブサーバを備えることができ、アクティブ・インライン・セキュリティ・デバイス１０７は、コンピューティングシステム１３０などの複数のユーザからのネットワークトラフィックを受信し、それをウェブサービスに伝達する前に分析する。
【００１７】
図２の動作フローに示すように、パッシブ分析システム１０５は、ネットワークトラフィックのコピーを受信する（２０１）。実際のネットワークトラフィックは通常、上述したようにアクティブ・インライン・セキュリティ・デバイス１０７によって受信されるため、ネットワークトラフィックのコピーは処理のためにパッシブ分析システム１０５に提供される。パッシブ分析システム１０５はネットワークトラフィックのコピーを受信するため、このデータを分析することによって生じるいかなる待ち時間も実際のネットワークトラフィックのパケット流速に影響を与えない。
【００１８】
パッシブ分析システム１０５は、ネットワークトラフィックのコピーを深く分析する（２０２）。少なくとも１つの実装例では、ネットワークトラフィックのコピーに対する深い分析を実行するステップは、悪意のある挙動パターンを検出するステップを含む。たとえば、パッシブ分析システム１０５は、ネットワークトラフィックのコピー内の使用履歴パターンを分析して、ユーザ、アプリケーション、デバイスなどによる悪意のある挙動パターンを識別することができる。パッシブ分析システム１０５は、セキュリティの脅威を検出するために脅威パターンのライブラリに対してネットワークトラフィックのコピーを分析してもよい。いくつかの実装例では、ネットワークトラフィックのコピーに対する深い分析を実行するステップは、プロトコル違反についてネットワークトラフィックのコピーを分析するステップを含み得る。パッシブ分析システム１０５は、パケットのストリーム内で経時的に通常識別される挙動パターンを分析することにより、大規模な速度攻撃を検出することができる。パッシブ分析システム１０５によって識別され得るいくつかの例示的な挙動は、接続が持続する時間の長さ、接続上のアイドル状態からアクティブ状態への遷移、エンドポイントから送信される要求の頻度、要求に関連するヘッダ情報、または遠隔コンピューティングシステム１３０との相互作用から観察可能な任意の他の文脈データまたは挙動データを含む。
【００１９】
パッシブ分析システムは、深い分析に基づいてセキュリティデータポイントを生成する（２０３）。セキュリティデータポイントは、緩和対策を講じるのに必要な情報をアクティブ・インライン・セキュリティ・デバイス１０７に提供する。たとえば、セキュリティデータポイントは、ＩＰアドレスのホワイトリスト、ブラックリスト、正規表現、挙動のフィンガープリント、データモデル、またはそれらの組み合わせを含む、類似のトラフィックに対して照合され得る他の情報を含み得る。いくつかの実装例では、セキュリティデータポイントは、ネットワークトラフィックの分析から決定される際に、クライアントがコンピューティングシステム１０１と行う対話の固有の形式および挙動を記述してもよい。
【００２０】
ネットワークトラフィックがウェブブラウザに基づくことを意味するハイパーテキスト転送プロトコル（ＨＴＴＰ）要求を含む例では、パッシブ分析システム１０５は、ＨＴＴＰ要求ヘッダ内のフィールドおよびクライアントの接続挙動に基づいてセキュリティデータポイントを生成することができる。たとえば、要求ヘッダの情報を一般的なブラウザの既知のヘッダと比較して、要求ヘッダのフィールドの順序、特定のフィールドの有無、フィールドの値など、プロトコル、言語、メディアタイプ、圧縮アルゴリズム、ブラウザがサポートするその他の機能、古いバージョンには存在しなかったブラウザの新しいバージョンに表示される新しい機能、および要求ヘッダから収集できるその他の情報を含む要求を検証するのに役立てることができる。
【００２１】
この例を続けると、パッシブ分析システム１０５は、クライアントシステムがウェブサーバと行う接続挙動および対話を分析してもよい。ウェブブラウザは、異なる方法でウェブサーバと対話してもよい。たとえば、同じＴＣＰ接続で複数のＨＴＴＰ要求を送信することを選択するブラウザもあれば、要求ごとに新しい接続を作成するブラウザもある。サーバからの応答の受信を開始する前でも同じ接続で複数の要求を送信するブラウザもあるが、その接続の最初の要求に対する応答が返されるまで、同じ接続で後続の要求を送信するのを待つブラウザもある。場合によっては、ブラウザは、送信中のアクティブな要求や応答がなくても１つの接続または複数の接続を一定期間開いたままにすることを選択する場合がある。言い換えれば、接続が持続する時間の長さは、その接続でデータが流れていなくても、ウェブブラウザの様々なタイプおよびバージョンによって異なることがある。ウェブクライアントの他の挙動、たとえば、クライアントがウェブページを取得するときにハイパーテキストマークアップ言語（ＨＴＭＬ）および他のコードを分析する順序および方法なども決定することができる。たとえば、ＨＴＭＬを分析する場合、一部のブラウザでは、すべてのイメージを最初に取得する、またはすべてのＪａｖａＳｃｒｉｐｔ（登録商標）コードを最初に処理してからイメージを取得する、または他のページコンテンツ、およびＨＴＭＬ分析とコンテンツ取得における任意の他のニュアンスとは異なる接続でイメージを取得するなど、イメージやビデオとは異なる方法でハイパーリンクやその他のテキストコンテンツを分析する。ＨＴＴＰヘッダ、接続挙動、およびクライアントシステムとウェブサーバとのやりとりから観察できるその他のデータ内の上記情報はいずれも、ネットワークの使用状況と接続挙動の深い分析に基づくセキュリティデータポイントを生成するために使用することができる。
【００２２】
パッシブ分析システム１０５は、セキュリティデータポイントをアクティブ・インライン・セキュリティ・デバイス１０７に提供し、アクティブ・インライン・セキュリティ・デバイス１０７は、着信するネットワークトラフィックをセキュリティデータポイントと比較して、セキュリティの問題を検出する（２０４）。通常、パッシブ分析システム１０５から受信したセキュリティデータポイントは、比較に使用するためにデータベースに格納されてもよい。少なくとも１つの実装例では、セキュリティデータポイントをアクティブ・インライン・セキュリティ・デバイス１０７に提供するために、パッシブ分析システム１０５は、セキュリティデータポイントをアクティブ・インライン・セキュリティ・デバイス１０７に非同期的に供給する。パッシブ分析システム１０５は通常、高速通信バスを介してアクティブ・インライン・セキュリティ・デバイス１０７にセキュリティデータポイントを提供するが、アクティブデバイス１０７は他の方法でセキュリティデータポイントを受信することができる。アクティブ・インライン・セキュリティ・デバイス１０７は、着信するネットワークトラフィックをセキュリティデータポイントと比較する照合機能を実行して、セキュリティの問題を検出し対策を講じる。たとえば、アクティブ・インライン・セキュリティ・デバイス１０７は、セキュリティデータポイントを使用して、着信するネットワークトラフィックと悪意のある接続挙動パターンとを照合し、悪意のあるトラフィックをブロックすることによって脅威を緩和するのに役立つ可能性がある。アクティブ・インライン・セキュリティ・デバイス１０７は通常、少なくとも１つのセキュリティイベントの検出時に、パケットをブロックするか、または他のいくつかの対策を採用する。
【００２３】
有利なことに、パッシブ分析システム１０５は、アクティブ・インライン・セキュリティ・デバイス１０７用のセキュリティデータポイントを生成するために、深い分析を使用してユーザとウェブサービスとの間のウェブトラフィックおよび対話を監視する。アクティブ・インライン・セキュリティ・デバイス１０７は、セキュリティデータポイントと着信するトラフィックとを比較することによって、悪意のあるネットワーク挙動を検出し、緩和対策を講じることができる。ウェブサービスを悪意のある使用から保護することにより、本明細書で説明する技術は、ウェブサービスのユーザの情報を保護しながら、不正な要求を排除することによってプロセッサ、ネットワークコンポーネントおよび通信システム１００の他の要素への負荷を低減するという技術的利点を提供する。さらに、ネットワークトラフィックの深い分析と処理はパッシブ分析システム１０５によって透過的に取り扱われるため、通信伝送のエンドポイントは、情報交換を保護するために生じる追加のセキュリティ対策と検証に気づかない。このように、パッシブ分析システム１０５は、ネットワークの待ち時間またはユーザエクスペリエンスに影響を与えることなく、アクティブ・インライン・セキュリティ・デバイス１０７がウェブサービスに対する攻撃を効果的に阻止するために使用できるネットワークトラフィックの深く複雑な分析を可能にする。
【００２４】
ここで図３を参照すると、例示的な実施形態における通信システムの動作のフロー図が示されている。図３に記載する技術は、コンピューティングシステム１０１および１３０などの通信システム１００のデバイスによって実行することができ、いくつかの実装例では図２の動作２００と組み合わせることができる。図３は、２つのセクションに分割され、点線で区切られている。「従来のネットワークセキュリティ機器」と題した図３の上の部分は、ネットワークデバイスと別のネットワークデバイスまたはネットワークサービスとの間のセキュリティ機器の一般的なインライン展開を示す。インラインネットワークデバイスは、ネットワークトラフィックの取り込み、分析および照合、施行または緩和という３つの機能を実行する。「取り込み」モジュールは、１つ以上の接続されたコンピューティングデバイスからネットワークを介してネットワークパケットを受信する。「分析および照合」モジュールは、プロトコル違反を検出するプロトコルアナライザのライブラリに対してネットワークパケットを処理することによって、悪意のあるネットワークトラフィックを検索する。「施行／緩和」モジュールは、悪意のある行為が検出された場合に対策を講じ、パケットが宛先に到達するのを阻止したり、ネットワーク接続を終了したりすることを含み得る。これらの３つのモジュールのうち、「分析および照合」モジュールは最も長時間を要し、この段階でのより深い分析は待ち時間の増加とユーザエクスペリエンスの悪化に直接関連している。この従来のネットワークセキュリティ機器は、パケットを保持し分析を実行している間にトラフィックに課すことができる最大待ち時間が非常に短いため、複雑な分析とパターン照合の時間がない。
【００２５】
ここで「パッシブ分析システムを備えたアクティブ・インライン・セキュリティ・デバイス」と題した図３の下の部分を参照すると、従来のネットワークセキュリティ機器がアクティブ・インライン・セキュリティ・デバイスとパッシブ分析システムとに分割されている。上記の従来のネットワークセキュリティ機器の「分析および照合」モジュールは、パッシブ分析システムとアクティブ・インライン・セキュリティ・デバイスとに効果的に分割され、追加の拡張された機能が両方に追加されている。特に、パッシブ分析システムは、ネットワークトラフィックのコピーで作業し、リアルタイムデータフローとはもはやインラインではないため、パッシブ分析システムは、ユーザ、アプリケーションおよびデバイスによる悪意のある挙動パターンを待ち時間に関係なく検索することを含む、ネットワークトラフィックの非常に深い分析を実行することができる。パッシブ分析システムはまた、アクティブ・インライン・セキュリティ・デバイスの「照合」モジュールによって使用されて、同様のトラフィックに対する緩和対策を講じることができるデータポイントを生成する。データポイントは通常、悪意のあるユーザ、アプリケーション、デバイスおよびその他のシステムが表示する使用および挙動のパターンを記述し、いくつかの例ではＩＰブラックリスト内のこれらの悪質なエンティティをさらに識別してもよい。
【００２６】
アクティブ・インライン・セキュリティ・デバイスは、パッシブ分析システムから受信したデータポイントを処理する能力が強化されており、通常は高速通信バスを介して迅速に通信する。アクティブ・インライン・セキュリティ・デバイスは、データポイントと「取り込み」モジュールで受信する着信するネットワークトラフィックとの間のパターン照合を実行して、セキュリティイベントを検出する。パターン照合は、アクティブインラインデバイスによって迅速に実行され、インラインデバイスの最大待ち時間制限に準拠することができる。一致した場合、「施行／緩和」モジュール適切な対策を講じて検出された脅威に対処する。このように、アクティブ・インライン・セキュリティ・デバイスの一部である「取り込み」、「照合」および「施行」モジュールは、処理のためのネットワークパケットを保持しつつ、長時間の遅延によってアクティブデバイスに負担をかけることがない。代わりに、パッシブ分析システムはより時間のかかる深い分析とパターン検出を実行し、データポイントを生成するとアクティブインラインデバイスの「照合」モジュールに供給する。アクティブ・インライン・セキュリティ・デバイスは、着信するネットワークトラフィックを取り込み、パッシブ分析システムから受信したデータポイントをトラフィックに対して照合し、悪意のある挙動を検出し緩和する。このように、パッシブ分析システムは、ネットワークトラフィックや使用パターンに深く複雑な分析を提供して、ネットワークの待ち時間やユーザエクスペリエンスに影響を与えずに脅威を緩和するためにインラインアクティブデバイスで使用するデータポイントを生成する。
【００２７】
上記のセキュリティ技術は、高い精度を得るために豊富な属性セットに緩和ルールを適用することにより、自動的な緩和を備えたネットワークトラフィックの深い分析を提供する。パッシブ分析システムによって生成されたデータポイントのパターンと一致する疑わしいアクティビティは、アクティブインラインデバイスによってフラグを立てブロックすることができるため、悪意のあるアクターに対する改善された防御を提供することができる。
【００２８】
ここで再び図１を参照すると、コンピューティングシステム１０１は、本明細書で開示される技術またはその変形を適切に実装することができる任意のコンピューティング装置、１つまたは複数のシステムを表すことができる。コンピューティングシステム１０１は、少なくとも１つの処理システムと通信トランシーバとを備える。コンピューティングシステム１０１は、ユーザインターフェース、データ記憶システムおよび電源などの他のコンポーネントを含んでいてもよい。コンピューティングシステム１０１は、単一のデバイスに存在してもよく、複数のデバイスにわたって配置されていてもよい。コンピューティングシステム１０１は、個別のシステムであってもよく、通信システム１００内の他のシステムを含む他のシステム内に統合されていてもよい。コンピューティングシステム１０１は、いくつかの実装例ではサーバデバイスまたはクライアントデバイスとして使用することができるコンピューティングシステムの例を提供するが、このようなデバイスは代替構成を有し得る。コンピューティングシステム１０１の例は、携帯電話、タブレットコンピュータ、ラップトップコンピュータ、ノートブックコンピュータおよびゲーミングデバイスなどのモバイルコンピューティングデバイス、ならびに任意の他のタイプのモバイルコンピューティングデバイスおよびそれらの任意の組み合わせまたは変形を含む。コンピューティングシステム１０１の例は、デスクトップコンピュータ、サーバコンピュータおよび仮想マシン、ならびに任意の他のタイプのコンピューティングシステム、変形またはそれらの組み合わせも含む。いくつかの例では、コンピューティングシステム１０１は、ネットワークセキュリティ機器、ファイアウォール、ロードバランサ、侵入防止システム、ウェブアプリケーションファイアウォール、ウェブサーバ、ネットワークスイッチ、ルータ、交換システム、パケットゲートウェイ、ネットワークゲートウェイシステム、インターネットアクセスノード、アプリケーションサーバ、データベースシステム、サービスノードまたはそれらの組み合わせを含む何らかの他の通信機器を含み得る。
【００２９】
通信ネットワーク１２０は、ルータ、ゲートウェイ、電気通信スイッチ、サーバ、処理システム、または通信およびデータサービスを提供するための他の通信機器およびシステムなどの複数のネットワーク要素を含み得る。いくつかの例では、通信ネットワーク１２０は、無線通信ノード、電話スイッチ、インターネットルータ、ネットワークゲートウェイ、コンピュータシステム、通信リンク、またはそれらの組み合わせを含む他のタイプの通信機器を含み得る。通信ネットワーク１２０は、光ネットワーク、非同期転送モード（ＡＴＭ）ネットワーク、パケットネットワーク、ローカルエリアネットワーク（ＬＡＮ）、メトロポリタンエリアネットワーク（ＭＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、またはそれらの組み合わせを含む他のネットワークトポロジ、機器またはシステムを含んでいてもよい。通信ネットワーク１２０は、金属リンク、無線リンクまたは光学リンクを介して通信するように構成されていてもよい。通信ネットワーク１２０は、時分割多重化（ＴＤＭ）、インターネットプロトコル（ＩＰ）、イーサネット（登録商標）、光ネットワーキング、無線プロトコル、通信シグナリング、またはそれらの組み合わせを含む他の何らかの通信フォーマットを使用するように構成されていてもよい。いくつかの例では、通信ネットワーク１２０は、広い地理的領域にわたっていくつかのコンピュータシステムに通信サービスを提供するためのさらなるアクセスノードおよび関連する機器を含む。
【００３０】
コンピューティングシステム１３０は、通信ネットワークを介して別のコンピューティングシステムに接続することができる任意のコンピューティング装置、１つまたは複数のシステムを表すことができる。コンピューティングシステム１３０は、少なくとも１つの処理システムと通信トランシーバとを備える。コンピューティングシステム１３０は、ルータ、サーバ、データ記憶システムおよび電源などの他のコンポーネントを含んでいてもよい。コンピューティングシステム１３０は、単一のデバイスに存在してもよく、複数のデバイスにわたって配置されてもよい。コンピューティングシステム１３０は、個別のシステムであってもよく、通信システム１００内の他のシステムを含む他のシステム内に統合されていてもよい。コンピューティングシステム１３０のいくつかの例は、デスクトップコンピュータ、サーバコンピュータ、クラウドコンピューティングプラットフォームおよび仮想マシン、ならびに任意の他のタイプのコンピューティングシステム、変形、またはそれらの組み合わせを含む。
【００３１】
通信リンク１２１および１３１は、金属、空気、スペース、ガラスまたはプラスチックなどの光ファイバ、またはそれらの組み合わせを含む搬送媒体として、何らかの他の材料を使用する。通信リンク１２１および１３１は、ＴＤＭ、ＩＰ、イーサネット（登録商標）、電話、光ネットワーキング、ハイブリッドファイバ同軸（ＨＦＣ）、通信シグナリング、無線プロトコル、またはそれらの組み合わせを含む何らかの他の通信フォーマットなど、様々な通信プロトコルを使用することができる。通信リンク１２１および１３１は、直接リンクであってもよく、中間のネットワーク、システムまたはデバイスを含んでいてもよい。
【００３２】
ここで図４を参照すると、例示的な実装例におけるコンピューティングシステム４００を示すブロック図が示されている。コンピューティングシステム４００は、コンピューティングシステム１０１、１３０、またはセキュリティプロセス２００またはその変形を実行するために使用され得る任意のコンピューティングシステムの例を提供するが、このようなシステムは代替構成を使用することができる。コンピューティングシステム４００は、処理システム４０１、記憶システム４０３、ソフトウェア４０５、通信インターフェース４０７およびユーザインターフェース４０９を含む。ソフトウェア４０５はアプリケーション４０６を含み、アプリケーション４０６は、それ自体がセキュリティプロセス２００を含む。セキュリティプロセス２００は、随意に、アプリケーション４０６とは別に実装されてもよい。
【００３３】
コンピューティングシステム４００は、アプリケーション４０６およびセキュリティプロセス２００またはそれらの変形を適切に実装することができる任意のコンピューティング機器、１つまたは複数のシステムを表すことができる。コンピューティングシステム４００の例は、携帯電話、タブレットコンピュータ、ラップトップコンピュータ、ノートブックコンピュータおよびゲーミングデバイスなどのモバイルコンピューティングデバイス、ならびに任意の他のタイプのモバイルコンピューティングデバイスおよびそれらの任意の組み合わせまたは変形を含む。コンピューティングシステム４００の特徴および機能は、デスクトップコンピュータ、サーバコンピュータおよび仮想マシン、ならびに任意の他のタイプのコンピューティングシステム、変形またはそれらの組み合わせにも同様に適用され得ることに留意されたい。
【００３４】
コンピューティングシステム４００は、処理システム４０１、記憶システム４０３、ソフトウェア４０５、通信インターフェース４０７およびユーザインターフェース４０９を含む。処理システム４０１は、記憶システム４０３、通信インターフェース４０７およびユーザインターフェース４０９と動作可能に結合される。処理システム４０１は、記憶システム４０３からソフトウェア４０５をロードして実行する。一般にコンピューティングシステム４００、特に処理システム４０１によって実行されるとき、ソフトウェア４０５は、セキュリティプロセス２００またはその変形について本明細書で説明されるように動作するようコンピューティングシステム４００に指示する。コンピューティングシステム４００は、随意に、簡潔にするために本明細書で論じられていない追加のデバイス、機構または機能を含んでいてもよい。
【００３５】
図４をさらに参照すると、処理システム４０１は、マイクロプロセッサと、記憶システム４０３からソフトウェア４０５を取り出して実行する他の回路とを備えていてもよい。処理システム４０１は、単一の処理デバイス内に実装されてもよいが、プログラム命令の実行において協働する複数の処理デバイスまたはサブシステムにわたって配置されてもよい。処理システム４０１の例には、汎用中央処理ユニット、特定用途向けプロセッサおよび論理デバイス、ならびに任意の他のタイプの処理デバイス、組み合わせまたはそれらの変形が含まれる。
【００３６】
記憶システム４０３は、処理システム４０１によって読み取り可能であり、かつソフトウェア４０５を格納することができる任意のコンピュータ可読媒体または記憶媒体を含んでいてもよい。記憶システム４０３は、コンピュータ可読命令、データ構造、プログラムモジュールまたは他のデータなどの情報を記憶するために任意の方法または技術で実装される、揮発性および不揮発性、また取り外し可能および固定の媒体を含んでいてもよい。記憶システム４０３は、単一の記憶デバイスとして実装されてもよいが、同一場所に設置されているか、または互いに対して配置されている複数の記憶デバイスまたはサブシステムにわたって実装されてもよい。記憶システム４０３は、処理システム４０１と通信することができるコントローラなどの追加要素を備えていてもよい。記憶媒体の例には、ランダムアクセスメモリ、読み出し専用メモリ、磁気ディスク、光ディスク、フラッシュメモリ、仮想メモリおよび非仮想メモリ、磁気カセット、磁気テープ、磁気ディスク記憶デバイスまたは他の磁気記憶デバイス、または所望の情報を記憶するために使用することができ、かつ命令実行システムによってアクセスすることができる任意の他の媒体、ならびにその任意の組み合わせまたは変形、または任意の他のタイプの記憶媒体が含まれる。いずれの場合も、記憶媒体は伝播信号ではない。
【００３７】
動作中、処理システム４０１は、ネットワークセキュリティ分析および攻撃応答を容易にするために、セキュリティプロセス２００などのソフトウェア４０５の一部をロードおよび実行する。ソフトウェア４０５は、プログラム命令に実装されてもよく、他の機能の中でも一般にコンピューティングシステム４００または特に処理システム４０１によって実行されるときに、コンピューティングシステム４００または処理システム４０１がネットワークトラフィックのコピーを受信し、ネットワークトラフィックのコピーに深い分析を実行し、深い分析に基づいてセキュリティデータポイントを生成するように指示する。ソフトウェア４０５は、コンピューティングシステム４００または処理システム４０１がアクティブ・インライン・セキュリティ・デバイスにセキュリティデータポイントを提供するようにさらに指示し、アクティブ・インライン・セキュリティ・デバイスは、着信するネットワークトラフィックをセキュリティデータポイントと比較してセキュリティイベントを検出する。
【００３８】
ソフトウェア４０５は、オペレーティングシステムソフトウェアまたは他のアプリケーションソフトウェアなどの追加のプロセス、プログラムまたはコンポーネントを含んでいてもよい。オペレーティングシステムの例には、Ｗｉｎｄｏｗｓ（登録商標）、ｉＯＳ（登録商標）およびＡｎｄｒｏｉｄ（登録商標）、ならびに任意の他の適切なオペレーティングシステムが含まれる。ソフトウェア４０５は、ファームウェア、または処理システム４０１によって実行可能な機械可読処理命令の何らかの他の形態を含んでいてもよい。
【００３９】
一般に、ソフトウェア４０５は処理システム４０１にロードされ実行されると、コンピューティングシステム４００全体を、汎用コンピューティングシステムから、各実装例について本明細書で説明されているようにネットワークセキュリティ分析および攻撃応答を容易にするようにカスタマイズされた専用コンピューティングシステムに変換する。たとえば、記憶システム４０３上のソフトウェア４０５を符号化することにより、記憶システム４０３の物理的構造を変換してもよい。物理的構造の具体的な変換は、この説明の異なる実装例における様々な要因に依存し得る。そのような要因の例には、限定されるものではないが、記憶システム４０３の記憶媒体を実装するために使用される技術、およびコンピュータ可読記憶媒体が第１または第２の記憶装置として特徴付けられるかどうかが含まれ得る。
【００４０】
いくつかの例において、コンピュータ可読記憶媒体が半導体ベースのメモリとして実装されている場合、ソフトウェア４０５は、半導体メモリの中にプログラムが符号化されるときに半導体メモリの物理的状態を変換してもよい。たとえば、ソフトウェア４０５は、半導体メモリを構成するトランジスタ、キャパシタ、または他の個別の回路要素の状態を変換してもよい。磁気媒体または光学媒体に関しても同様の変換を行ってもよい。物理媒体の他の変換も本説明の範囲から逸脱することなく可能であり、前述の例はこの議論を容易にするためにのみ提供される。
【００４１】
コンピューティングシステム４００は、概して、アプリケーション４０６および／またはセキュリティプロセス２００（およびその変形）を実装するためにソフトウェア４０５を展開し実行するコンピューティングシステムを表すことを意図していることを理解されたい。しかしながら、コンピューティングシステム４００は、ソフトウェア４０５をステージングすることができ、またソフトウェア４０５を配信、搬送、ダウンロード、あるいはさらに別のコンピューティングシステムに提供されて展開および実行、またはさらなる追加の配信を行うことができる、任意のコンピューティングシステムを表してもよい。たとえば、コンピューティングシステム４００は、クラウドベースの展開シナリオなどにおいて、インターネットを介して１つ以上のクライアントコンピューティングシステム上にソフトウェア４０５を展開してそこで実行するように構成され得る。
【００４２】
通信インターフェース４０７は、通信ネットワーク４１１またはネットワークの集合を介してコンピューティングシステム４００と他のコンピューティングシステム（図示せず）またはサービスとの間の通信を可能にする、通信接続およびデバイスを含んでいてもよい。いくつかの実装例では、通信インターフェース４０７は、通信ネットワーク４１１を介して動的データ４２１を受信する。システム間通信を共に可能にする接続およびデバイスの例には、ネットワークインターフェースカード、アンテナ、電力増幅器、ＲＦ回路、トランシーバおよび他の通信回路が含まれ得る。前述のネットワーク、接続およびデバイスはよく知られており、ここで詳細に説明する必要はない。
【００４３】
ユーザインターフェース４０９には、音声入力デバイス、ユーザからのジェスチャを受信するためのタッチ入力デバイス、ユーザによる非タッチジェスチャおよび他の動作を検出するための動作入力デバイス、およびユーザからのユーザ入力を受信することを可能にする他の同等の入力デバイスおよび関連の処理要素が含まれてもよい。ディスプレイ、スピーカ、触覚デバイスおよび他のタイプの出力デバイスなどの出力デバイスもユーザインターフェース４０９に含むことができる。いくつかの例では、ユーザインターフェース４０９は、その表面を触ることを介してもユーザ入力を受け入れるグラフィカルユーザインターフェースを表示することができる、タッチスクリーンを含むことができる。前述のユーザ入力デバイスは、当該技術分野でよく知られており、ここで詳細に説明する必要はない。ユーザインターフェース４０９はまた、上述した様々なユーザ入力デバイスおよびユーザ出力デバイスをサポートする、処理システム４０１によって実行可能な関連するユーザインターフェースソフトウェアを含んでいてもよい。ユーザインターフェースソフトウェアおよびデバイスは、別個に、または互いにおよび他のハードウェア要素およびソフトウェア要素と共に、グラフィカルユーザインターフェース、自然なユーザインターフェースまたは任意の他の種類のユーザインターフェースを提供してもよい。ユーザインターフェース４０９は、いくつかの実装例では省略されてもよい。
【００４４】
図面に提供されている機能ブロック図、動作シーケンスおよびフロー図は、本開示の新規な態様を実行するための例示的なアーキテクチャ、環境および方法を表す。説明の簡略化のために、本明細書に含まれる方法は機能図、動作シーケンスまたはフロー図の形態であり得、一連の行為として説明されている場合があるが、これらの方法は、行為の順序によって制限されるものではなく、一部の行為は、行為に応じて、本明細書に示され説明されている順序とは異なる順序で、および／または本明細書に示され説明されている行為とは別の行為と同時に行われ得ることを理解および認識されたい。たとえば、当業者であれば、方法を状態図のような一連の相互関係のある状態またはイベントとして代替的に表すことができることを理解および認識するであろう。さらに、方法に示されたすべての行為が新規の実装例に必要とされるわけではない。
【００４５】
上記の説明および関連する図は、本発明の最良の形態を示すものである。以下の特許請求の範囲は、本発明の範囲を特定するものである。なお、最良の形態のいくつかの態様は、特許請求の範囲によって特定される本発明の範囲内に含まれないことがある。当業者であれば、上述の特徴を様々な方法で組み合わせて本発明の複数の変形を形成できることを理解するであろう。結果として、本発明は上記の特定の実施形態に限定されず、以下の特許請求の範囲およびそれらの同等物によってのみ限定される。
【図１】
2018518127.tif 000003
【図２】
2018518127.tif 000004
【図３】
2018518127.tif 000005
【図４】
2018518127.tif 000006
【国際調査報告】
2018518127.tif 000007