(57)【要約】  本明細書において開示されるのは、保護システムの保護レベルが、コンピューティングシステムのユーザーがデバイスを使用する方法にとって適切であるかどうかを判断するためのシステムおよび方法のためのシステムおよび方法である。保護システムは、ユーザーがデバイス上でさまざまなアプリケーションを使用する間にユーザーのアクティビティを監視する。保護システムは、ユーザーのアクティビティに最も類似するアクティビティ記録を識別し、現在の保護レベルを関連する記録の保護レベルと比較する。保護システムは、ユーザーの保護レベルと関連する記録の保護レベルとが異なる場合に保護レベルを変更することができる。
2017515235.tif 000002
【特許請求の範囲】
【請求項１】
コンピューティングデバイス上で実行されるアクティビティを監視して、ユーザーに関する監視対象のアクティビティ記録を生成するように構成される監視コンポーネントと、
各アクティビティ記録が関連する保護レベルを有する、複数のユーザーからの複数のアクティビティ記録を保持するように構成されるアクティビティデータベースと、
前記監視コンポーネントから前記監視対象のアクティビティ記録を受信するように構成され、前記監視対象のアクティビティ記録に類似するアクティビティパターンを有する前記アクティビティデータベース内の少なくとも１つのアクティビティ記録を識別することによって前記コンピューティングデバイスの現在の保護レベルが適切であるかどうかを判断するようにさらに構成され、かつ、前記現在の保護レベルが前記少なくとも１つのアクティビティ記録と関連する前記保護レベルと異なる場合に前記現在の保護レベルを修正するようにさらに構成される保護コンポーネントとを備える、コンピューティングデバイスのための保護システム。
【請求項２】
前記監視コンポーネントは、アクティビティを受動的に監視し、かつ所定のイベントに応じて前記監視対象のアクティビティ報告を生成するように構成される、請求項１に記載の保護システム。
【請求項３】
前記現在の保護レベルはユーザーごとに割り当てられる、請求項１に記載の保護システム。
【請求項４】
前記関連する保護レベルはリスクスコアであり、前記保護コンポーネントは前記リスクスコアを対応する保護レベルに変換するように構成される、請求項１に記載の保護システム。
【請求項５】
前記アクティビティデータベースは、複数の異なるコンピュータデバイスの複数の異なるユーザーからの複数のアクティビティ記録を含む、請求項１に記載の保護システム。
【請求項６】
初期保護レベルを設定するステップと、
コンピューティングデバイス上でユーザーのアクティビティを監視するステップと、
前記ユーザーのアクティビティをアクティビティデータベース内のアクティビティ記録と比較するステップと、
前記ユーザーのアクティビティに類似する、前記アクティビティデータベース内の少なくとも１つのアクティビティ記録を識別するステップと、
前記少なくとも１つのアクティビティ記録の保護レベルを前記初期保護レベルと比較するステップと、
前記初期保護レベルと前記少なくとも１つのアクティビティ記録の前記保護レベルとが異なる場合に前記初期保護レベルを修正するステップとを備える、コンピューティングデバイスの保護レベルを監視する方法。
【請求項７】
監視するステップは前記ユーザーのアクティビティを予め定義された期間以上にわたって監視することをさらに含む、請求項６に記載の方法。
【請求項８】
監視するステップは、前記コンピューティングデバイス上で生じる所定のイベントの種類を検出すること、および前記検出されたイベントに先立つ所定の期間の前記ユーザーのアクティビティを取得することをさらに含む、請求項６に記載の方法。
【請求項９】
比較するステップは前記アクティビティデータベース内の各アクティビティ記録に類似性尺度を適用することをさらに含む、請求項６に記載の方法。
【請求項１０】
修正するステップは、前記少なくとも１つのアクティビティ記録の前記保護レベルが前記初期保護レベルよりも高い場合に前記初期保護レベルを自動的に引き上げることをさらに含む、請求項６に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
[0001]本記述は、一般に、現在の保護レベルが適切であるかどうかをユーザーのアクティビティに基づいて自動的に識別することに関する。
【背景技術】
【０００２】
[0002]典型的には、コンピューターシステムおよびデバイスは、マルウェア対策ソフトウェアおよび他の保護システムによって保護される。これらのシステムは、入ってくるファイルをスキャンすること、およびこのファイルの署名をマルウェアリサーチャー（ｍａｌｗａｒｅ  ｒｅｓｅａｒｃｈｅｒ）によって識別されたマルウェアの既知の例と比較することによって作動する。加えて、多くの保護システムは、悪意のある素材をダウンロードし、または開けるのを防止することを支援するために、ユーザーのアクティビティにさらなる制御を加える。このことは、典型的にはインターネットブラウザーにおいて見られ、ユーザーまたは管理者はこのブラウザーに関して保護レベルを設定する。この保護レベルは、どのインターネットサイトがアクセスされ得るか、さらに、どのインターネットサイトが、ローカルシステムからの情報またはローカルシステムへのアクセスを要するサイトをユーザーが訪れたというだけの理由でユーザーに対して提示されることになるいくつかの警告の原因となり得るのかについて定義する。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
[0003]これらのシステムのユーザーは、これらの警告を絶えず受け、または、警告メッセージに対処し、場合によっては特定のサイトをリロードするという時間のかかるプロセスを経る必要なしにユーザーが容易に利用できる一定の特徴を有することができないということに絶えずさらされる。これらの警告は、これらが事前設定された保護レベルによって管理されるにすぎないため、問題となっているサイトが悪意のあるものであるかどうかにかかわらずユーザーのために生成される。ユーザーは保護レベルを変更して保護レベルを引き下げることができるが、このことは結果的にはユーザーにとって望ましくない場合がある。
【課題を解決するための手段】
【０００４】
[0004]以下に述べることは、読み手に基本的な理解を提供するために、本開示の簡略化された概要を提示する。この概要は本開示を広範囲にわたり概観するものではなく、また、本発明の重要／決定的要素を特定するものでも、本発明の範囲を正確に概説するものでもない。その唯一の目的は、本明細書において開示されるいくつかの概念を、後記において提示されるより詳細な記述の前置きとして簡略化された形で提示することである。
【０００５】
[0005]本例は、保護システムの保護レベルが、コンピューティングシステムのユーザーがデバイスを使用する方法にとって適切であるかどうかを判断するためのシステムおよび方法を提供する。保護システムは、ユーザーがデバイス上でさまざまなアプリケーションを使用する間にユーザーのアクティビティを監視する。この監視対象のアクティビティはアクティビティ記録に変換され、このアクティビティ記録は次に、複数の異なるデバイスおよびシステムにわたる他のユーザーに関するいくつかのアクティビティ記録と比較される。保護システムは、ユーザーの監視対象のアクティビティに最も類似する、アクティビティデータベース内の少なくとも１つの記録を識別する。保護システムは次に、選択されたアクティビティ記録に関する関連するリスクスコアまたは保護レベルとユーザーの現在の保護レベルとを比較する。現在の保護レベルと選択された記録に関するレベルとの間に差異がある場合、保護システムは、選択された記録に合致するようにユーザーの保護レベルを調整することができる。この方法では、終始ただ変化しないままであるのとは対照的に、システムの保護レベルはユーザーの実際のアクティビティに応じて動的に調整することができる。それゆえ、インターネット閲覧または他のアクティビティにおいてより危険な行為に関与するユーザーは、保護レベルを次第に引き上げることができる。これに対して、より安全な行為に関与するユーザーは、その保護レベルを次第に引き下げることができ、それによってユーザーに対して表示される警告がより少なくなるという利益を受けることができる。
【０００６】
[0006]付随する特徴の多くは、添付の図面と関連して考察される以下の詳細な記述を参照することによってよりよく理解されるようになるので、これらはより容易に認識されるであろう。
【０００７】
[0007]本記述は、添付の図面に照らして読まれる以下の詳細な記述によって、よりよく理解されるであろう。
【図面の簡単な説明】
【０００８】
【図１】[0008]１つの例示的な実施形態による、事前の保護レベリング（ｐｒｏｔｅｃｔｉｏｎ  ｌｅｖｅｌｉｎｇ）を有する保護システムのコンポーネントを示す構成図である。
【図２】[0009]１つの例示的な実施形態による、可変の保護レベルを提供するためのプロセスを示す流れ図である。
【図３】[0010]１つの例示的な実施形態による、共同アクティビティデータベースを作成するために用いられるコンポーネントを示す構成図である。
【図４】[0011]１つの例示的な実施形態による、アクティビティデータベースを作成するためのプロセスを示す流れ図である。
【図５】[0012]一実施形態による、コンピューティングデバイスのコンポーネントを示す図である。
【発明を実施するための形態】
【０００９】
[0013]添付の図面において、同様の参照数字は同様の部分を示すために用いられる。
[0014]添付の図面と関連して下記に述べられる詳細な記述は、本例についての記述であることを意図し、本例が構築または利用され得る唯一の形態を表わすことを意図するものではない。本記述は、本例の機能、およびこの例を構築し動作させるためのステップの順序について記載する。しかしながら、同一または同等の機能および順序は、異なる例によって達成されてよい。
【００１０】
[0015]要素が「接続される（ｃｏｎｎｅｃｔｅｄ）」または「結合される（ｃｏｕｐｌｅｄ）」といわれる場合、要素は直接的に共に接続または結合されてよく、または、１つまたは複数の介在要素が存在してもよい。これとは対照的に、要素が「直接的に接続される」または「直接的に結合される」といわれる場合、介在要素は存在しない。
【００１１】
[0016]本主題は、デバイス、システム、方法および／またはコンピュータープログラム製品として実施され得る。したがって、本主題の一部または全部は、ハードウェアおよび／またはソフトウェア（ファームウェア、常駐ソフトウェア、マイクロコード、状態マシン、ゲートアレイなどを含む）において具現化されてよい。さらに、本主題は、命令実行システムによって、またはこれと関連して使用するために媒体において具現化されるコンピューター使用可能プログラムコードまたはコンピューター可読プログラムコードを有するコンピューター使用可能記憶媒体またはコンピューター可読記憶媒体上のコンピュータープログラム製品の形をとることができる。本書面の文脈においては、コンピューター使用可能媒体またはコンピューター可読媒体は、命令実行システム、装置またはデバイスによって、またはこれらと関連して使用するためにプログラムを包含、記憶、通信、伝播または伝送することができる任意の媒体であってよい。
【００１２】
[0017]コンピューター使用可能媒体またはコンピューター可読媒体は、たとえば、電子、磁気、光学、電磁、赤外線または半導体のシステム、装置、デバイスまたは伝播媒体であってよいが、これらに限定されるものではない。限定ではなく例として、コンピューター可読媒体は、コンピューター記憶媒体および通信媒体を含んでよい。
【００１３】
[0018]コンピューター記憶媒体は、コンピューター可読命令、データ構造、プログラムモジュールまたは他のデータなどの情報を記憶するための任意の方法または技術で実装される、揮発性および不揮発性の、取外し可能および取外し不可能の媒体を含む。コンピューター記憶媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリもしくは他のメモリ技術、ＣＤ−ＲＯＭ、デジタル多用途ディスク（ＤＶＤ：ｄｉｇｉｔａｌ  ｖｅｒｓａｔｉｌｅ  ｄｉｓｋ）もしくは他の光学式ストレージ、磁気カセット、磁気テープ、磁気ディスクストレージもしくは他の磁気ストレージデバイス、または所望の情報を記憶するために用いられ得、かつ命令実行システムによってアクセスされ得る任意の他の媒体を含むが、これらに限定されるものではない。コンピューター使用可能媒体またはコンピューター可読媒体は、プログラムが印刷される紙または他の適切な媒体であってよいことに留意されたく、これは、プログラムはたとえば紙または他の適切な媒体を光学的にスキャンすることによって電子的に取得され、必要であれば次にコンパイルされ、解釈され、または別の適切な方法で処理され、次いでコンピューターメモリに記憶され得るためである。
【００１４】
[0019]通信媒体は、典型的には、コンピューター可読命令、データ構造、プログラムモジュールまたは他のデータを、搬送波または他の伝送機構などの変調されたデータ信号で具現化し、かつ任意の情報伝搬媒体を含む。これは、コンピューター記憶媒体とは異なる。「変調されたデータ信号」という用語は、信号内の情報を符号化するような方法で設定または変更される、その特性のうちの１つまたは複数を有する信号と定義され得る。限定ではなく例として、通信媒体は、有線ネットワークまたは直接的有線接続などの有線媒体、ならびに音響媒体、ＲＦ媒体、赤外線媒体などの無線媒体および他の無線媒体を含む。上記のうち任意のものの組合せもまた、コンピューター可読媒体の範囲に含まれるものとする。
【００１５】
[0020]本主題がコンピューター実行可能命令の一般的な文脈で具現化される場合、実施形態は、１つまたは複数のシステム、コンピューターまたは他のデバイスによって実行されるプログラムモジュールを含むことができる。一般に、プログラムモジュールは、特定のタスクを実行し、または特定の抽象データ型を実装するルーチン、プログラム、オブジェクト、コンポーネント、データ構造および同種のものを含む。典型的には、プログラムモジュールの機能性は、さまざまな実施形態において所望の通りに組み合され、または分散されてよい。
【００１６】
[0021]図１は、１つの例示的な実施形態による、コンピューティングシステムの事前の保護レベリングを提供するための保護システム１００を示す構成図である。システム１００は、保護コンポーネント１１０、監視コンポーネント１２０、アクティビティデータベース１３０、アプリケーション１４０およびファイル１５０を含む。システム１００のコンポーネントは、保護されるよう意図されるデバイス１０５など単一のマシンまたはデバイス上にあってよく、またはサービスに向けた環境において分散されてよい。保護対象となるマシンまたはデバイス１０５は、パーソナルコンピューター、タブレット型コンピューター、携帯電話、テレビ、ゲーミングコンソール、または、有害コンテンツをデバイス上に出現させる可能性のあるやり方、もしくは、マシンまたはデバイスへの不正アクセスを許可する可能性のあるやり方でユーザーが対話する任意の他のマシンまたはデバイスを含むことができる。
【００１７】
[0022]一実施形態における保護コンポーネント１１０は、マルウェア、ウィルスおよびトロイの木馬など悪意のあるファイルおよびアクティビティからシステムを保護するシステムのコンポーネントである。保護コンポーネント１１０は、ユーザーのさまざまなアクティビティに反応し、かつシステムを保護するための１つまたは複数のポリシーを実施するように構成される。たとえば、保護コンポーネント１１０は、遭遇する各ファイルおよびサイトをスキャンして、この特定のサイトがマルウェアを含むかどうか判断することができる。マルウェアが検出されると、保護コンポーネント１１０は、疑わしいファイルを隔離し、この疑わしいファイルを修復し、または他の方法でさらなる分析のためにこのファイルにフラグを付することができる。いくつかの実施形態では、保護コンポーネント１１０は、一定のサイトへのユーザーアクセスを可能にし、他のサイトへのアクセスを遮断することができる（たとえば、ホワイトリストとブラックリスト）。いくつかの実施形態では、保護コンポーネントはインターネットブラウザーのような別のアプリケーションのコンポーネントである。
【００１８】
[0023]保護コンポーネント１１０は、保護の強さまたは介入を変更することを可能にするようにさらに構成される。保護コンポーネント１１０によって提供される保護のレベルは、本明細書において保護レベルと呼ばれる。保護レベルは、デバイス１０５全体、またはこのデバイス１０５上で作動するアプリケーション（たとえば、インターネットブラウザー）などデバイスの一部に適用され得る。代替の実施形態では、保護レベルはユーザーレベルで適用され得る。このことは、複数のデバイスにわたるユーザーの全般的な行為が安全でない行動または問題のある行動であることを示す場合に起こり得る。保護コンポーネント１１０がどのように構成されるか（管理者によるのか、または保護ポリシーによるのか）に応じて、保護コンポーネント１１０は、ユーザーが保護コンポーネント１１０によって提供される保護のレベルについて何らかの制御を行うことができるようにすることができる。この構成では、保護コンポーネント１１０は、たとえば、中程度または中間レベルの保護に設定され得る。しかしながら、ユーザーは、より高いレベルの保護、または保護ポリシーで認められるレベルの範囲内にあるより低いレベルの保護を選択することができる。保護コンポーネント１１０は、システムの異なるユーザーについて適用される異なる保護レベルを有するように構成されてよい。たとえば、両親と子供が同一マシンを共有する家庭において、または、異なるユーザーが同一マシンを共有する会社においてなどである。このアプローチでは、インターネットブラウザーに関して、子供によって使用される場合にはより高いレベルの保護が望ましいが、大人によって使用される場合にはより低いレベルが望ましいことがある。
【００１９】
[0024]保護コンポーネント１１０は、監視コンポーネント１２０から、ユーザーが関与しているアクティビティを示すデータを受信するように構成される。保護コンポーネント１１０はこのデータを用いて、保護コンポーネント１１０によって提供される保護の現在のレベルがユーザーにとって適切であるかを判断する。保護コンポーネント１１０は監視コンポーネント１２０からデータを取得し、このデータをアクティビティデータベース１３０に含まれるデータと比較する。保護コンポーネント１１０は、アクティビティデータベース１３０内で、監視コンポーネントによって報告されたユーザーの現在のアクティビティに最も類似するアクティビティ記録１３５を発見しようと試みる。保護コンポーネント１１０は、類似性尺度を用いて、現在のアクティビティとアクティビティ記録との類似性を判断する。一実施形態では、類似性尺度はジャカード（Ｊａｃａｒｄ）類似性尺度である。別の実施形態では、コサイン類似性尺度が用いられる。しかしながら、アクティビティ記録１３５と現在のユーザーのアクティビティとの類似性を判断するために、任意の類似性尺度が用いられてよい。
【００２０】
[0025]保護コンポーネント１１０は、最も近い、すなわち最も類似するアクティビティ記録１３５と関連付けられる保護レベルを現在の保護レベルと比較する。現在の保護レベルと類似のアクティビティに関する関連するレベルとが同一である場合、保護コンポーネント１１０は現在の保護レベルを変更しない。現在の保護レベルが関連する記録の保護レベルより低い場合、保護コンポーネント１１０は、保護レベルを関連するアクティビティ記録１３５の保護レベルと合致させるように、保護レベルを変更することができる。現在の保護レベルが関連する記録の保護レベルより高い場合、保護コンポーネント１１０は、より低い関連する記録の保護レベルに現在の保護レベルを変更することができる。いくつかの場合には、２つ以上のアクティビティ記録１３５がユーザーの現在のアクティビティに類似すると判断され得る。この場合、保護コンポーネント１１０は、アクティビティ記録の保護レベルの平均を比較のための保護レベルと考えてよい。別法として、保護コンポーネント１１０は、比較のための保護レベルとして、最高レベルの保護を有するアクティビティ記録１３５を選択することができる。リスクスコアが用いられる場合、保護コンポーネント１１０は、識別されたリスクスコアを比較に用いるための対応する保護レベルに変換する。これは、テーブルを参照して、どのリスクレベルが保護コンポーネント１１０によって用いられるどの保護レベルに対応するかについて判断することによって達成され得る。
【００２１】
[0026]いくつかの実施形態では、保護コンポーネント１１０は、システムに適用されることになる保護レベルを判断する際に、監視対象のアクティビティ記録１３６内の追加データを考慮するようにさらに構成される。たとえば、保護コンポーネント１１０は、一日のうちの異なる時刻において、または異なる日においてさえ異なるレベルの保護が必要とされると識別する場合がある。このことは、たとえば、特定のマシンが家族全員によって使用される場合に起こり得る。この例では、午前９時から午後３時までの間は、たとえば大人が仕事のためにマシンを使用するなどのような、アクティビティパターンが低リスクのアクティビティにより類似することを示す監視対象のアクティビティに基づいて、子供達が学校にいる日中、保護レベルは低くされてよい。しかしながら、午後３時から午後８時までは、子供はマシンを使用する際に大人ほど注意深くない可能性があり、そのためにそれらの時間帯にはより高いレベルの保護を必要とするので、保護コンポーネント１１０は、アクティビティがより高いリスクのアクティビティに極めて類似することを認識することができる。保護コンポーネント１１０は、監視対象のアクティビティに含まれる別のデータに基づく他の理由でもまた、システムの保護レベルを変更することができる。
【００２２】
[0027]いくつかの実施形態では、保護コンポーネントはさらに、判断において外部の規則または情報を考慮して保護レベルを調整することができる。たとえば、いくつかの例では、特定のウェブサイトまたは特定の種類のウェブサイトが危険にさらされそうである（たとえばハッカー攻撃によって）と知られている場合がある。この場合、保護コンポーネント１１０は、ユーザーが典型的にそれらの種類のウェブサイトを訪れると知られている場合に、システムの保護レベルを引き上げることができる。この引き上げられた保護レベルは、そのウェブサイトの損傷が予期される期間にのみ高くされたままであってよい。別の実施形態では、履歴のないアクティビティに対して異なる保護レベルが適用されてよい。たとえば、新たなアプリケーションまたはウェブサイトは、これらの安全性がまだ知られていないので、より高い保護レベルを受けることができる。この実施形態では、報告なく時間が経過することによって、またはサイトの分析が完了することによってなど、サイトが安全であると確認されるときまで、サイトは最も低いレベルの保護を介してアクセス可能であるにすぎない。
【００２３】
[0028]いくつかの実施形態では、保護コンポーネント１１０は、たとえばユーザーログインによって互いの識別が可能であるのでない限り、同一マシンまたはデバイスを使用する２人以上のユーザーを区別するように構成される。この実施形態では、アクティビティパターンの開始が特定のユーザーについて知られているアクティビティパターンに合致する場合、保護コンポーネント１１０は、保護レベルをその特定のユーザーと関連付けられるレベルに調整することができる。
【００２４】
[0029]いくつかの実施形態では、保護コンポーネント１１０は、類似するアクティビティ記録との比較に応じて保護レベルを自動的に変更する。保護を自動的に変更する能力は、管理者またはユーザーによって保護コンポーネント１１０に提供されるポリシーにおいて定義され得る。いくつかの実施形態では、保護システムは、たとえばシステムのユーザーインターフェース上の表示または対話を介して、保護レベルの変更をユーザーに知らせる。ユーザーは、保護レベルの変更を容認するか拒否するかの選択肢を与えられ得る。いくつかの実施形態では、保護レベルの引上げは自動的に行われるが、一方保護レベルの引下げは、保護レベルの変更を積極的に容認することをユーザーに要求する。さらに、通知の閾値および変更の容認はポリシーにおいて定義され得る。
【００２５】
[0030]一実施形態において、監視コンポーネント１２０は、関連するデバイス上でユーザー１０１のアクティビティを監視するシステムのコンポーネントである。監視コンポーネント１２０は、ユーザーがデバイス上でアプリケーションおよびファイルと対話するときに、ユーザーを観察する。監視コンポーネント１２０はまた、ユーザーのアクティビティに応じたデバイスの行為を観察することもできる。このような例では、監視コンポーネント１２０は、特定のファイルがどこに保存されるか、および、アプリケーションが閉じられる結果としてファイルを保存する動作が生じたことを観察することができる。他の実施形態では、監視コンポーネント１２０は、訪問された特定のウェブサイトがデバイス上の基本的なファイルへのある修正を生じさせたことを検出することができる。いくつかの実施形態では、ユーザーが起こすすべての行動は、監視コンポーネントによって追跡および監視される。他の実施形態では、ユーザーの行動のうち選択される部分のみが監視コンポーネントによって追跡される。たとえば、監視コンポーネント１２０は、デバイスが存在するローカルネットワークの外側に位置するアプリケーション、ウェブサイトおよびファイルとユーザーが対話するときに、ユーザーによるアクティビティを監視するにすぎない場合がある。他の実施形態では、監視コンポーネント１２０は、ＨＴＴＰＳプロトコルを使用しないインターネットサイトなど安全でないチャネル上で起こるそれらのアクティビティを監視するにすぎない場合がある。さらに別の実施形態では、監視コンポーネント１２０は、期間中のユーザーのアクティビティを監視するにすぎない場合がある。これらの期間は、管理者によって設定されるポリシーに従ってさまざまであり得る。このようにして、監視コンポーネント１２０は、いつ、またはどのアクティビティが監視を生じさせるかについてユーザーが予測し得ることなく、何度もアクティビティを取得することができる。さらに別の実施形態では、監視コンポーネント１２０は、ユーザーが所定のアクティビティを実行することに応じて監視を開始する。たとえば、監視は、ユーザーがシステムまたはデバイスに新たなアプリケーションをダウンロードまたはインストールすることに応じて、または頻繁に危険にさらされると知られているウェブサイトを単に閲覧するときでさえ開始され得る。監視コンポーネント１２０にアクティビティの監視を開始させ得る他のアクティビティは、システムレジストリに加えられる変更またはマルウェアイベントの検出に応じるものであり得る。マルウェアイベントが検出された実施形態では、監視コンポーネント１２０は、マルウェアイベントの検出より前の所定の期間に生じたアクティビティを報告し返すことができる。このことは、他の類似のアクティビティ記録を発見するのに役に立ち得る、イベントに先立って生じたアクティビティを記録することを可能にする。マルウェアの検出に先立つアクティビティがその必要性を示すというさらなる指示がない限り、マルウェアイベントの単なる検出は必ずしも保護レベルを変更する理由ではない。
【００２６】
[0031]いくつかの実施形態では、監視コンポーネント１２０は、ユーザーのアクティビティならびに関連する保護レベルを集中型システムに報告するようにさらに構成される。このようにして、関連するアクティビティデータベース１３０は多数のユーザーに関する情報によって更新され得、その結果、より類似性のある合致が得られ得、保護コンポーネント１１０は、適切な保護レベルに関してより情報に基づく決定および／または推奨を行うことができる。
【００２７】
[0032]一実施形態では、アクティビティデータベース１３０は、複数の異なるアクティビティパターンを、対応するリスクの指示、またはそのアクティビティパターンに関する最適の保護レベルと共に、アクティビティ記録１３５として記憶するデータベースである。複数の異なるアクティビティパターンは、いくつかの異なるデバイス上でシステムの別のバージョンを使用する複数の異なるユーザーから取得されたアクティビティパターンである。いくつかの実施形態では、アクティビティデータベース１３０は、システムの他の機能から離れて配置され、その結果、保護コンポーネント１１０は、ネットワーク接続を介してアクティビティデータベース１３０と通信する。この実施形態では、アクティビティデータベース１３０の管理は集中化された場所で行われるので、ローカルデバイス上のアクティビティデータベース１３０を絶えず維持または更新する必要性は著しく低減される。アクティビティデータベース１３０はまた、保護レベルを設定する際に保護コンポーネント１１０が使用するために監視コンポーネント１２０によって行われるさまざまな報告を記憶または維持することもできる。システムのユーザーと関連付けられる記録は、ユーザーのプロファイル１３７を作成するために用いられ得る。加えて、アクティビティデータベース１３０は、システムの異なるユーザーに関する異なるプロファイルを含むことができる。これらのプロファイルは、他のユーザーまたは管理者と共有されてよい。
【００２８】
[0033]アクティビティデータベース１３０に記憶される情報は、ユーザーの監視対象のアクティビティと記憶される他のユーザーのアクティビティとの類似性を判断するために測定、追跡または使用され得るアクティビティの任意の特性であり得る。いくつかの実施形態では、記憶される情報は、管理者が所望の保護レベルに関して決定を行う際に役立つ情報を与えると理解するアクティビティの特性に基づいて調整または修正され得る。しかしながら、各エントリ（ｅｎｔｒｙ）は、リスクスコアまたは最適の保護レベルの指示を含むものとされる。リスクスコアは、特定の保護レベルを記録に関連付けることなく、アクティビティパターンに関するリスクを表現または測定するものである。このことは、測定対象となるリスクが、特定の組織またはユーザーがそのリスクに対する反応をどのように選択するかに依存しないことを可能にする。このことは、類似性の計算に基づいてシステムの保護レベルを選択することに関係する情報を、保護コンポーネント１１０が受信することを確実にする。
【００２９】
[0034]アプリケーション１４０−１、１４０−２および１４０−Ｎ（まとめてアプリケーション１４０と呼ばれる）は、デバイスの通常の操作においてデバイスによって使用されるアプリケーションである。アプリケーションは、インターネットブラウザー、ウェブもしくはクラウドアプリケーション、文書処理、表計算、データベースアプリケーション、電子メールプログラム、または、存在する、もしくはデバイスによって使用される任意の他の種類のアプリケーションなどのアプリケーションを含むことができる。これらのアプリケーションの各々は、デバイス全体に対する認識されたリスクの増大または減少につながる可能性を有する。インターネットブラウザーは、他のアプリケーションに比べて、マシンを脆弱な状態にさらす可能性が高いアプリケーションである。いくつかの実施形態では、アプリケーションは、ウェブに基づくアプリケーションに加えて、ユーザーによってアクセスされるウェブページまたはウェブサイトを含み得る。ウェブサイトなどは、ファイルおよびアプリケーションの組合せとも考えられ得る。
【００３０】
[0035]ファイル１５０−１、１５０−２および１５０−Ｎ（まとめてファイル１５０と呼ばれる）は、ユーザーが関連するアプリケーションおよび／またはデバイスを使用する通常の過程において、デバイスに記憶され、またはデバイスによってアクセスされるファイルである。加えて、ファイル１５０は、デバイスが現在使用中である間にネットワークからデバイスにダウンロードされるファイルを含む。デバイス上のファイル１５０のすべては、同時にまたは別のときに、保護コンポーネント１１０によってリスクを調査される。ファイルが保護コンポーネント１１０によって分析される時点は、保護コンポーネント１１０の基本的な保護論理によって制御される。
【００３１】
[0036]図２は、１つの例示的な実施形態による、可変の保護レベルを提供するためのプロセスを示す流れ図である。このプロセスは、初期保護レベルを設定することによって開始する。これは、ステップ２１０に示される。一実施形態において、保護コンポーネント１１０は、システムの初期保護レベルを中間または平均レベルに設定する。いくつかの実施形態では、保護レベルは高度の保護レベルに設定されてよい。いくつかの実施形態では、保護レベルは管理者によって生成されたポリシーによって判断され得る。前に論じた通り、最初に適用されるポリシーは、デバイスのユーザーのプロファイルによってさまざまであり得る。
【００３２】
[0037]デバイスについて初期保護レベルが設定された後、ユーザーはデバイスと関連付けられるさまざまなアプリケーションと対話する。これは、ステップ２２０に示される。このステップにおいてユーザーはファイルを開き、ファイルを保存し、インターネットブラウザーを使用し、または利用可能な任意の数の動作を実行することができる。動作の各々がユーザーによって実行されると、監視コンポーネント１２０は、この動作を追跡し、ユーザーの履歴およびプロファイルを作成する。この追跡は、ステップ２３０に示される。いくつかの実施形態では、監視コンポーネント１２０は、ユーザーの行動を継続的に監視しない。監視コンポーネント１２０は、ユーザーの無作為な監視を開始することができ、または特定のイベントの発生（たとえば、特定のウェブサイトの訪問、特定の種類のファイルのダウンロード、マルウェアイベントの検出など）に応じて監視を開始することができる。他の実施形態では、監視コンポーネント１２０は受動的な監視を実行することがある。受動的な監視アプローチを用いる場合、監視コンポーネント１２０はユーザーの行動を監視しているが、予め定義されたイベントが起こるまで、この行動をアクティビティデータベース１３０に記録したり、または保護コンポーネント１１０に報告したりしない。予め定義されたイベントが検出されると、監視コンポーネント１２０は、過去の予め定義された期間からアクティビティを取得し、かつこのアクティビティの情報を報告することができる。
【００３３】
[0038]ステップ２４０において、監視コンポーネント１２０は、追跡されたアクティビティの情報を保護コンポーネント１１０に報告すなわち提供する。監視コンポーネント１２０はまた、ステップ２４５において、追跡されたアクティビティの情報をアクティビティデータベース１３０に記憶することもできる。アクティビティデータベース１３０に追跡されたアクティビティの情報を記憶することは、プロファイル１３７のようなアクティビティのユーザープロファイルの作成、ならびに、保護コンポーネント１１０が強化された分析および保護修正のためにユーザーのアクティビティに関する履歴追跡情報を検索できるようにすることを可能にする。
【００３４】
[0039]保護コンポーネント１１０は、監視コンポーネント１２０から直接的に、またはアクティビティデータベース１３０から、受信されたユーザーの追跡されたアクティビティを取得し、アクティビティデータベース１３０内で、ユーザーの追跡されたアクティビティに最も類似するアクティビティ記録１３５を発見しようと試みる。これは、ステップ２５０に示される。保護コンポーネント１１０は、ユーザーの追跡されたアクティビティおよびアクティビティデータベース１３０内の記録の各々に類似性尺度を適用する。一実施形態では、ジャカード類似性尺度が適用される。別の実施形態では、コサイン類似性尺度が適用される。しかしながら、任意の類似性関数がユーザーのアクティビティおよびアクティビティデータベース１３０内のアクティビティ記録に適用されてよい。類似性尺度は、アクティビティ記録１３５に含まれる情報の少なくとも一部に適用される。管理者は、アクティビティ記録内のどの情報（特徴）がリスク全体について最も役立つ情報を与えるか、または予測に役立つかを判断することができる。いくつかの実施形態では、管理者は、アクティビティ記録１３５のそれらの特徴が他の特徴よりも有益であることを識別するのに役立つ特徴選択アルゴリズムを用いることができる。特徴選択を用いることによって、アクティビティ記録１３５内に存在し得る大量のデータは、保護コンポーネント１１０による分析のための少量の特徴に減少され得る。しかしながら、アクティビティ記録１３５を選択する他の方法が用いられてもよい。
【００３５】
[0040]ユーザーのアクティビティとアクティビティデータベース１３０内のアクティビティ記録との間の類似性が判断されると、保護コンポーネント１１０は、現在の保護レベルとの比較のためにアクティビティ記録のうちの少なくとも１つを選択する。これは、ステップ２６０に示される。このステップにおいて、保護コンポーネント１１０は、ユーザーのアクティビティ記録１３５に最も近い（すなわち最も類似する）アクティビティ記録１３５を比較のためのアクティビティ記録１３５として選択することができる。別法として、保護コンポーネント１１０は、最高レベルの保護または指示されたリスクを有するユーザーのアクティビティ記録１３５から所定の範囲内にあるアクティビティ記録１３５を、比較のためのアクティビティ記録１３５として選択することができる。別の実施形態では、保護コンポーネント１１０は、比較のために複数のアクティビティ記録を選択してよい。さらに、アクティビティ記録を選択する他の方法が用いられてもよい。
【００３６】
[0041]比較のためのアクティビティ記録１３５の選択に続いて、保護コンポーネント１１０は、記録に関する関連する保護レベルを現在の割り当てられた保護レベルと比較する。これは、ステップ２７０に示される。アクティビティ記録１３５が特定の保護レベルを挙げる場合、次に、そのレベルは現在の割り当てられたレベルと特に比較される。アクティビティ記録１３５がリスクスコアを挙げる場合、次に、保護コンポーネント１１０はリスクスコアについて適切な保護レベルを判断し、さらに進んで判断された保護レベルを現在の保護レベルと比較する。これは、記録からのリスクスコアと、システムによって用いられる保護レベルに基づいてリスクスコアを保護レベルに変換するテーブルとを比較することによって達成され得る。
【００３７】
[0042]保護コンポーネント１１０は次に、比較に基づいて現在の保護レベルが変更されるべきかを判断する。これは、ステップ２８０に示される。現在の保護レベルとアクティビティ記録１３５の保護レベルとが同一または同等であることを比較が示した場合、保護コンポーネント１１０は保護レベルを変更せず、またはそうでなければ修正しない。
【００３８】
[0043]現在の保護レベルがアクティビティ記録１３５の保護レベルより低いことを比較が示した場合、保護コンポーネント１１０は保護レベルを引き上げることができる。保護コンポーネント１１０は、そのアクティビティが、より大きなリスクにさらされている可能性があること、および保護レベルが引き上げられるべきであることを示すことをユーザーに知らせる対話をユーザーインターフェースに出現させることができる。ユーザーは、保護レベルを引き上げる選択肢を与えられ得る。別法として、保護レベルは自動的に引き上げられ得る。ユーザーは、対話を通じてこの引上げを通知されても、通知されなくてもよい。この保護レベルの引上げは、管理者によってマシンに置かれたポリシーによって命じられてよい。
【００３９】
[0044]現在の保護レベルがアクティビティ記録１３５の保護レベルより高いことを比較が示した場合、保護コンポーネント１１０は保護レベルを引き下げることができる。保護コンポーネント１１０は、そのアクティビティがより危険性の小さいものであり、より低いレベルの保護が用いられてよいことをユーザーに知らせる対話をユーザーインターフェースに出現させることができる。ユーザーは次に、対話を通じて保護レベルの引下げを容認することを促される。対話は、ユーザーに保護が引き下げられてよいレベルを知らせることができ、または単にユーザーが保護を引き下げられるようにすることができる。保護レベルを引き下げる際に、保護レベルを一気に落とすのとは異なり、保護コンポーネント１１０は時間をかけて徐々に保護レベルを引き下げることができる。いくつかの実施形態では、保護レベルを引き下げる能力はポリシーによって判断される。ユーザーは、レベルがより低くてよいことを保護システムが判断するかどうかに関わらず、保護レベルを一定のレベルに引き下げることができるにすぎない場合がある。
【００４０】
[0045]別法として、保護コンポーネント１１０は、保護レベルが引き下げられてよいこと、または引き上げられるべきであることを特定のマシンのプロファイルが示すメッセージを、管理者に送信することができる。この実施形態では、管理者は、特定のマシンまたはユーザーに関する保護レベルを引き上げるかまたは引き下げるかについての決定を行う。この保護レベルの変更は、ステップ２９０に示される。別法として、管理者は、ネットワーク化された機能またはローカル機能に対するユーザーの許可を変更すること、またはデバイスを分離して配置することなど、特定のマシンに関して他の決定を行うことができる。
【００４１】
[0046]図３は、１つの例示的な実施形態によるシステムの複数のユーザーから、１つの例示的な実施形態による共同アクティビティデータベースを作成するために用いられるコンポーネントを示す構成図である。図４は、１つの例示的な実施形態による、システムのさまざまなユーザー間で共同してアクティビティデータベースを作成するためのプロセスを示す流れ図である。このことを議論する目的で、図３と図４とは一緒に議論される。
【００４２】
[0047]図３に示す共同収集システム３００は、上述の保護および監視システムをすべて実装する複数のマシンおよび／またはデバイス３１０を含む。しかしながら、他の実施例では、他の保護システムまたは異なる保護システムもまた、システムに情報を提供することができる。各マシン３１０は、関連するマシン３１０上で作動する対応する監視コンポーネント１２０によって収集されるアクティビティを監視対象のアクティビティ記録３１５として、アクティビティコンソリデーター３２０に報告する。このアクティビティ記録３１５の情報の収集または受信は、ステップ４１０に示される。
【００４３】
[0048]アクティビティコンソリデーター３２０は、各受信されたアクティビティ記録３１５を取得し、データを分析して、データが適切なフォーマットであること、およびデータが保護コンポーネント１１０などの保護コンポーネントによって後に比較するために有用となる十分な情報を含むことを確実にする。これは、ステップ４２０に示される。
【００４４】
[0049]受信されたアクティビティ記録３１５が初期分析を通過すると、アクティビティコンソリデーター３２０は、受信されたアクティビティ記録３１５と関連付けられる保護レベルまたはリスクスコアを識別する。アクティビティ記録３１５が保護レベルと対照的に既にリスクスコアを含む場合、記録はアクティビティデータベース３３０に送ら渡されて、アクティビティデータベース３３０に新たなアクティビティ記録として記憶される。しかしながら、アクティビティ記録３１５が保護レベルを含む場合、アクティビティコンソリデーター３２０は受信されたアクティビティ記録３１５をリスクスコア計算器３４０に渡して、アクティビティ記録３１５についてリスクスコアを判断する。これは、ステップ４３０に示される。
【００４５】
[0050]ステップ４３０において、リスクスコア計算器３４０は、受信されたアクティビティ記録３１５と関連付けられるべきリスクスコアを判断する。一実施形態では、リスクスコア計算器３４０は、受信された保護レベルを所定のリスクスコアと関連付けるルックアップテーブルを用いる。しかしながら、類似するさまざまなアクティビティが発信側システムの異なるリスクポリシーに起因して異なる保護レベルを有し得るので、いくつかの実施形態では、リスクスコア計算器３４０は受信されたアクティビティ記録３１５についてリスクスコアを判断することができる。このことは、ある組織が仮定的リスクスコア５０を低リスクと定め、かつ対応する保護レベルをシステムに割り当てるという、ある組織またはシステムが別のシステムよりもリスク回避傾向が低いことが理由で起こる可能性がある。これに対して、別の組織は、中程度または高度のリスクと同じリスクレベルを割り当て、かつそれに応じて保護レベルを設定することができる。一実施形態では、リスクスコア計算器３４０は、受信された記録３１５およびアクティビティデータベース３３０内に既に存在するアクティビティ記録に類似性尺度を適用する。これは、最も類似するアクティビティ記録１３５を識別するために上記図２において用いられるアプローチに類似する。受信された記録３１５に最も類似するアクティビティデータベース３３０内のアクティビティ記録３３５が識別される。この記録３３５から、その記録３３５のリスクスコアが受信された記録３１５に割り当てられる。いくつかの実施形態では、記録３１５に対して割り当てられたリスクスコアは、受信された記録３１５の合致するアクティビティ記録３３５との近似性に基づいて調整され得る。他の実施形態では、アクティビティデータベース３４０内の２つの最も近いアクティビティ記録３３５および３３６がリスクスコアを判断するために選択される。このアプローチでは、選択される２つの記録３３５、３３６は、２つのアクティビティ記録３３５、３３６についてのベクトル間にあるベクトルに受信された記録３１５を置く類似性尺度を有する、２つの最も近いアクティビティ記録である。さらに、リスクスコアは、アクティビティ記録３３５、３３６の各々およびその関係する割り当てられたリスクスコアからの距離に基づいて、受信された記録３１５に割り当てられる。
【００４６】
[0051]受信された記録３３５についてリスクスコアが判断されると、記録は新たなアクティビティ記録３３７としてアクティビティデータベース３３０に記憶される。これは、ステップ４４０に示される。アクティビティデータベース３３０は次に、アクティビティデータベース３３０に要請する任意の保護コンポーネント１１０に提供される。これは、ステップ４４０に示される。
【００４７】
[0052]図５は、一実施形態による、コンピューティングデバイスのコンポーネント図表を示す図である。コンピューティングデバイス５００は、本明細書に記述される１つまたは複数のコンピューティングデバイス、コンピュータープロセスまたはソフトウェアモジュールを実装するために利用され得る。一例において、コンピューティングデバイス５００は、計算を処理し、命令を実行し、デジタル信号を受信および送信するために利用され得る。別の例では、コンピューティングデバイス５００は、本実施形態のシステムによって要求される通りに計算を処理し、命令を実行し、デジタル信号を受信および送信し、検索クエリおよびハイパーテキストを受信および送信し、コンピューターコードをコンパイルするために利用され得る。さらに、コンピューティングデバイス５００は、コンピューティングデバイス５００のコンポーネントがネットワークまたは他の形式の接続を介して相互に接続される異なるコンピューティングデバイス上に配置される分散型コンピューティングデバイスであってよい。加えて、コンピューティングデバイス５００は、クラウドベースのコンピューティングデバイスであってもよい。
【００４８】
[0053]コンピューティングデバイス５００は、現在知られている、または知られるようになる、ソフトウェア、ハードウェア、ファームウェアまたはこれらの組合せにおいて本明細書に記述されるステップを実行することができる、および／または本明細書に記述される機能を実行することができる、任意の汎用コンピューターまたは特定用途コンピューターであってよい。
【００４９】
[0054]その最も基本的な構成において、コンピューティングデバイス５００は、典型的には少なくとも１つの中央処理装置（ＣＰＵ：ｃｅｎｔｒａｌ  ｐｒｏｃｅｓｓｉｎｇ  ｕｎｉｔ）５０２およびメモリ５０４を含む。コンピューティングデバイスの正確な構成および種類によって、メモリ５０４は揮発性（ＲＡＭなど）、不揮発性（ＲＯＭ、フラッシュメモリなど）、またはこれら２つのある組合せであってよい。加えて、コンピューティングデバイス５００はまた、さらなる特徴／機能性を有することができる。たとえば、コンピューティングデバイス５００は複数のＣＰＵを含むことができる。記述される方法は、コンピューティングデバイス５００の任意の処理装置によって任意の方法で実行されてよい。たとえば、記述されるプロセスは、複数のＣＰＵの両方によって並行して実行されてよい。
【００５０】
[0055]コンピューティングデバイス５００はまた、限定的ではなく磁気式または光学式のディスクまたはテープを含む（取外し可能および／または取外し不可能の）追加ストレージを含んでもよい。このような追加ストレージは、ストレージ５０６によって図５に示される。コンピューター記憶媒体は、コンピューター可読命令、データ構造、プログラムモジュールまたは他のデータなどの情報を記憶するための任意の方法または技術で実装される、揮発性および不揮発性の、取外し可能および取外し不可能の媒体を含む。メモリ５０４およびストレージ５０６は、コンピューター記憶媒体のすべての例である。コンピューター記憶媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリもしくは他のメモリ技術、ＣＤ−ＲＯＭ、デジタル多用途ディスク（ＤＶＤ）もしくは他の光学式ストレージ、磁気カセット、磁気テープ、磁気ディスクストレージもしくは他の磁気ストレージデバイス、または所望の情報を記憶するために用いられ、かつコンピューティングデバイス５００によってアクセスされ得る任意の他の媒体を含むが、これらに限定されるものではない。任意のこのようなコンピューター記憶媒体は、コンピューティングデバイス５００の一部であってよい。
【００５１】
[0056]コンピューティングデバイス５００はまた、デバイスが他のデバイスと通信できるようにする通信デバイス５１２を含んでよい。通信デバイス５１２は、通信媒体の一例である。通信媒体は、典型的には、コンピューター可読命令、データ構造、プログラムモジュールまたは他のデータを、搬送波または他の伝送機構などの変調されたデータ信号で具現化し、かつ任意の情報伝搬媒体を含む。「変調されたデータ信号」という用語は、信号内の情報を符号化するような方法で設定または変更される、その特性のうちの１つまたは複数を有する信号を意味する。限定としてではなく例として、通信媒体は、有線ネットワークまたは直接的有線接続などの有線媒体、ならびに音響媒体、ＲＦ媒体、赤外線媒体などの無線媒体および他の無線媒体を含む。本明細書において用いられる場合、コンピューター可読媒体という用語は、コンピューター記憶媒体と通信媒体の両方を含む。記述される方法は、任意のコンピューター可読媒体において、データ、コンピューター実行可能命令および同種のものなど任意の形式で符号化され得る。
【００５２】
[0057]コンピューティングデバイス５００はまた、キーボード、マウス、ペン、音声入力デバイス、タッチ入力デバイスなどの入力デバイス５１０を有することもできる。ディスプレイ、スピーカ、プリンタなどの出力デバイス５０８も含まれてよい。これらのデバイスはすべて当技術分野においてよく知られ、詳細に論じられる必要はない。当業者であれば、プログラム命令を記憶するために利用されるストレージデバイスはネットワーク上で分散され得ることを認識するであろう。たとえば、リモートコンピューターは、ソフトウェアとして記述されるプロセスの例を記憶することができる。ローカルまたは端末コンピューターはリモートコンピューターにアクセスし、かつソフトウェアの一部または全部をダウンロードしてプログラムを実行することができる。別法として、ローカルコンピューターは、必要に応じてソフトウェアをダウンロードすることができ、または、いくつかのソフトウェア命令をローカル端末で実行し、いくつかをリモートコンピューター（またはコンピューターネットワーク）で実行することによって分散的に処理することができる。当業者であれば、当業者に知られている従来の技法を利用することによって、ソフトウェア命令の全部または一部はＤＳＰ、プログラマブル論理アレイまたは同種のものなどの専用回路によって実行され得ることをさらに認識するであろう。
【図１】
2017515235.tif 000003
【図２】
2017515235.tif 000004
【図３】
2017515235.tif 000005
【図４】
2017515235.tif 000006
【図５】
2017515235.tif 000007
【国際調査報告】
2017515235.tif 000008
2017515235.tif 000009