(57)【要約】  被監視装置の状態を表す状況モデルを本明細書で説明する。前記状況モデルは、前記セキュリティ関連情報に関連付けられた前記被監視装置の実行動作が観測されたときに、前記セキュリティ関連情報で十分にリアルタイムに構築される。表現された状態が、前記被監視装置の現在状態および過去状態を含んでもよい。また、前記状況モデルを使用して、前記被監視装置で発生した状態情報関連のイベントを検証してもよい。さらに、リモートセキュリティ・サービスが、前記状況モデルの構成を含めて前記被監視装置を構成してもよく、１群の被監視装置の状態を表す追加の状況モデルを構築してもよい。
2016505981.tif 000002
【特許請求の範囲】
【請求項１】
１つまたは複数のプロセッサと、
前記１つまたは複数のプロセッサに接続されたメモリ装置と、
前記メモリ装置に格納され前記システムのカーネルレベルで実装され、前記システムの現在状態と前記システムの過去状態を表すセキュリティ関連情報を含むように構成された、状況モデルと、
前記カーネルレベルで実装され、前記セキュリティ関連情報に関連付けられた実行動作が観測されたとき、十分にリアルタイムに前記状況モデルを前記セキュリティ関連情報で構築するように前記１つまたは複数のプロセッサにより実行される、１つまたは複数のモジュールと、
を備える、システム。
【請求項２】
前記状況モデルは、前記セキュリティ関連情報と、前記セキュリティ関連情報を含むセキュリティ関連情報の集合に関して取得した全てのデータが生存性と信用性の一貫した特性を有する期間を定義する対応するメタデータとを格納するためのデータベースを含む、請求項１に記載のシステム。
【請求項３】
前記状況モデルは、前記セキュリティ関連情報を前記１つまたは複数のモジュールから受信し、前記受信されたセキュリティ関連情報を前記状況モデルのデータベースに格納するための１つまたは複数の受信器を含む、請求項１に記載のシステム。
【請求項４】
前記１つまたは複数の受信器は、前記システムの実行動作に関連付けられた状態情報を検証するように構成される、請求項３に記載のシステム。
【請求項５】
前記１つまたは複数の受信器は、前記受信されたセキュリティ関連情報と前記データベースに格納されたセキュリティ関連情報に基づいてイベントを生成するように構成された、請求項３に記載のシステム。
【請求項６】
前記状況モデルは、前記１つまたは複数のモジュールが前記状況モデルのデータベースに格納されたセキュリティ関連情報にアクセスできるようにする問合せインタフェースを備え、前記問合せインタフェースはさらに、前記１つまたは複数のモジュールが前記データベースに格納されたセキュリティ関連情報に対応するメタデータに関連付けられた所望の信用性のレベルを規定できるようにする、請求項１に記載のシステム。
【請求項７】
前記状況モデルは、セキュリティ関連情報の年齢と種類またはセキュリティ関連情報の異なるカテゴリの優先度付けに基づいて、セキュリティ関連情報を前記状況モデルから刈り取るコンポーネントを備える、請求項１に記載のシステム。
【請求項８】
前記コンポーネントは、先ず、年齢と種類に基づいて前記セキュリティ関連情報を刈り取り、刈り取った状況モデルのサイズが制限を超えた場合には、異なるカテゴリの前記優先度付けに基づいて前記セキュリティ関連情報を刈り取る、請求項７に記載のシステム。
【請求項９】
前記状況モデルはリモートセキュリティ・サービスにより動的に構成可能である、請求項１に記載のシステム。
【請求項１０】
前記状況モデルはさらに、リモートセキュリティ・サービスから受信した情報、生成もしくはフェッチするのが計算量的に高価である情報、またはフェッチするのが高遅延である情報のうち少なくとも１つをキャッシュするように構成された、請求項１に記載のシステム。
【請求項１１】
前記１つまたは複数のモジュールは、カーネルレベルセキュリティ・エージェントのモジュールである、請求項１に記載のシステム。
【請求項１２】
前記１つまたは複数のモジュールは、前記１つまたは複数のプロセッサにより実行されて、リモートセキュリティ・サービスから受信した構成に基づいて前記セキュリティ関連情報を決定する、請求項１に記載のシステム。
【請求項１３】
前記１つまたは複数のモジュールは、前記状況モデルを利用して前記システムの実行動作に関連付けられた状態情報を検証するために、前記１つまたは複数のプロセッサにより動作される、請求項１に記載のシステム。
【請求項１４】
前記１つまたは複数のモジュールは、セキュリティ関連情報を前記リモートセキュリティ・サービスに提供するために前記１つまたは複数のプロセッサにより動作される、請求項１に記載のシステム。
【請求項１５】
前記１つまたは複数のモジュールまたはリモートセキュリティ・サービスが、実行の連鎖を決定する際に前記セキュリティ関連情報を利用する、請求項１に記載のシステム。
【請求項１６】
コンピューティング装置により、前記コンピューティング装置の実行動作に関連付けられたイベントの通知を受信するステップと、
前記コンピューティング装置により、前記通知に少なくとも部分的に基づいてセキュリティ関連情報に関する状況モデルを問い合わせるステップであって、前記状況モデルは、セキュリティ関連情報から構築された前記コンピューティング装置の状態の実質的にリアルタイムな表現であるステップと、
前記コンピューティング装置により、当該イベントに関連付けられた状態情報を前記セキュリティ関連情報に少なくとも部分的に基づいて検証するステップと、
を含む、方法。
【請求項１７】
前記検証は、前記状態情報が前記状況モデルで完全に維持されているかどうかに基づいて前記検証を継続的に実施するステップを含む、請求項１６に記載の方法。
【請求項１８】
前記受信、前記問合せ、及び前記検証は、前記コンピューティング装置のカーネルレベルセキュリティ・エージェントにより実施される、請求項１６に記載の方法。
【請求項１９】
前記検証の結果が検証エラーであるとき、少なくとも１つのセキュリティ応答動作を実施するステップをさらに含む、請求項１６に記載の方法。
【請求項２０】
前記セキュリティ応答動作は、前記検証エラーをリモートセキュリティ・サービスに報告するステップ、さらなる実行動作を監視するステップ、前記検証エラーに対して責任のある悪意ある活動に対して治療動作を行うステップ、または、前記コンピューティング装置のユーザに警告するステップのうち何れか１つである、請求項１９に記載の方法。
【請求項２１】
前記セキュリティ関連情報に関連付けられた実行動作が観測されたとき、セキュリティ関連情報を十分にリアルタイムに提供するように複数の対応する被監視装置の複数のエージェントを構成するステップと、
前記セキュリティ関連情報を十分にリアルタイムに受信するステップと、
前記セキュリティ関連情報が受信されたとき、十分にリアルタイムに状況モデルを前記セキュリティ関連情報から構築するステップであって、前記状況モデルは前記監視された装置の状態を表すステップと、
を含む動作を実施するように１つまたは複数のコンピューティング装置をプログラムするように構成されたコンピュータ実行可能命令を格納した、１つまたは複数の有形コンピュータ可読媒体。
【請求項２２】
前記１つまたは複数のコンピューティング装置はセキュリティ・サービスを実装する、請求項２１に記載の１つまたは複数の有形コンピュータ可読媒体。
【請求項２３】
前記１つまたは複数の装置は、セキュリティ・サービスを実装する１つまたは複数の装置と中間装置を含み、前記１つまたは複数の装置は前記構成を実施するセキュリティ・サービスを実装し、前記中間装置は前記受信と前記構築を実施する、請求項２１に記載の１つまたは複数の有形コンピュータ可読媒体。
【請求項２４】
前記セキュリティ関連情報は、複数のエージェントから受信したとき、セキュリティ判定をサポートするという情報である、請求項２１に記載の１つまたは複数の有形コンピュータ可読媒体。
【請求項２５】
前記表示された状態は前記監視された装置の少なくとも現在状態を含む、請求項２１に記載の１つまたは複数の有形コンピュータ可読媒体。
【請求項２６】
前記動作は、前記状況モデルの問合せをユーザからまたはセキュリティ・サービスから受信するステップをさらに含む、請求項２１に記載の１つまたは複数の有形コンピュータ可読媒体。
【請求項２７】
前記動作は、前記問合せの結果に少なくとも部分的に基づいて、前記監視された装置の状態情報を検証するステップをさらに含む、請求項２６に記載の１つまたは複数の有形コンピュータ可読媒体。
【請求項２８】
前記動作は、少なくとも１つのセキュリティ応答動作を前記問合せの結果に少なくとも部分的に基づいて実施するステップをさらに含む、請求項２６に記載の１つまたは複数の有形コンピュータ可読媒体。
【請求項２９】
前記動作は、前記問合せの結果に少なくとも部分的に基づいてエージェント構成を更新するステップと、前記更新されたエージェント構成に少なくとも部分的に基づいて前記構成を繰り返すステップとをさらに含む、
請求項２６に記載の１つまたは複数の有形コンピュータ可読媒体。
【発明の詳細な説明】
【背景技術】
【０００１】
（関連出願の記載）
本願は、発明の名称を「セキュリティ関連システム状態のリアルタイム表現」とした、２０１２年１２月２７日出願の米国実用特許出願第１３／７２８，７４６号に対する優先権を主張し、その完全な内容を引用により本明細書に組み込む。
【０００２】
インターネットの利用が益々日々の生活の大きな部分を占めるとともに、システムのリソース、データ、およびプライベート情報を盗むかまたは破壊するセキュリティの悪用（security exploit）がますます問題となっている。政府と企業は、大量のリソースを投入して、これらのセキュリティ悪用に関連する侵入や盗難を防止している。セキュリティ悪用は、コンピュータ・ウィルス、ワーム、トロイの木馬、スパイウェア、キーストローク・ロガー、アドウェア、およびルートキットのような多数の形態で行われる。これらの悪用は、スピアフィッシュ・メール、クリック可能リンク、ドキュメント、実行可能ファイル、またはアーカイブのような多数の機構でまたはそれを通じて配信される。セキュリティ悪用によりもたらされる脅威の一部は非常に重大なので、それらはサイバー・テロリズムまたは産業スパイとして説明される。
【０００３】
これらのセキュリティ悪用によりもたらされる脅威に対処するため、システム性能と状態の遡及的分析が可能な幾つかのツールが開発されている。例えば、"Ｂａｃｋｔｒａｃｋｉｎｇ  Ｉｎｔｒｕｓｉｏｎｓ"  ｂｙ  Ｓａｍｕｅｌ  Ｔ．  Ｋｉｎｇ  ａｎｄ  Ｐｅｔｅｒ  Ｍ．  Ｃｈｅｎ  （ＡＣＭ  ＳＩＧＯＰＳ  Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍｓ  Ｒｅｖｉｅｗ  −  ＳＯＳＰ  ’０３，  Ｖｏｌｕｍｅ  ３７，  Ｉｓｓｕｅ  ５，  Ｄｅｃｅｍｂｅｒ  ２００３，  ｐｇｓ．  ２２３−２３６）で開示されているＢａｃｋＴｒａｃｋｅｒツールは自動的に、システムの活動とデータの包括的なログを分析することで、侵入時に行われた潜在的なステップのシーケンスを特定する。かかるツールはセキュリティ悪用とその動作方式を検出できるが、これらは遡及的に動作できるのみであり、したがって攻撃された者を不利な立場にし、常に攻撃者から１ステップ遅れさせうる。これらのツールが遡及的にしか動作できない理由は、当該ツールが必要なシステムの活動やデータの包括的なログを構築するには多大な計算コストがかかるからである。実際、当該ログにイベントを書き込む計算コストはしばしば、当該イベント自体のコストよりも大きい。各イベントが複数回書き込まれることがあり、当該ログへの書込みは入出力境界をまたがなければならない。
【図面の簡単な説明】
【０００４】
添付図面を参照して詳細な説明を行う。添付図面では、参照番号の最上位の数字（複数可）は、当該参照番号が最初に現れた図面を示す。異なる図面における同一の参照番号を使用することは、同様なまたは同一の項目または機能を示す。
【０００５】
【図１】被監視装置のセキュリティ関連状態を十分にリアルタイムに表現するための状況モデルの例、および、当該状況モデルを構築し当該状況モデルを利用して状態情報を検証するためのエージェントモジュールを示す図である。
【図２】クライアントネットワークの被監視装置（複数可）をリモートセキュリティ・サービスと当該クライアントネットワークの中間装置に接続するためのネットワーク、当該リモートセキュリティ・サービスの各々、当該中間装置、および状況モデルを構築し維持できる当該被監視装置（複数可）を示す図である。
【図３】セキュリティ・サービス装置、被監視装置、または中間装置として動作できるコンピューティング装置のコンポーネントレベルの図である。
【図４】被監視装置により、状況モデルにより格納されたセキュリティ関連情報に基づいて状態情報を検証するプロセスの例を示す図である。
【図５】リモートセキュリティ・サービスにより、１群の被監視装置に対するセキュリティ関連状態の状況モデルを構築するためのプロセスの例を示す図である。
【発明を実施するための形態】
【０００６】
（概要）
本開示は、部分的に、被監視装置のセキュリティ関連状態を表す状況モデルを説明する。当該状況モデルは、当該セキュリティ関連情報に関連付けられた当該被監視装置の実行動作が観測された際に、十分にリアルタイムにセキュリティ関連情報で構築される。当該セキュリティ関連情報は、状態の変化を表す当該状況モデルの構成の範囲内の情報を含む。表現されたセキュリティ関連状態は、当該被監視装置の現在状態および過去状態を含んでもよい。また、当該状況モデルを使用して、実行動作に関連付けられた状態情報を検証してもよい。状態情報を検証するための当該状況モデルの構築および当該状況モデルの問合せの両方を、当該被監視装置の１つまたは複数のモジュールにより実施してもよい。当該モジュールと状況モデルはカーネルレベルセキュリティ・エージェントのコンポーネントを含む。さらに、当該状況モデルが、リモートセキュリティ・サービスから受信した情報のキャッシュ、生成もしくはフェッチするのが計算量的に高価である情報のキャッシュ、またはフェッチするのが高遅延である情報のキャッシュの役割を果たしてもよい。
【０００７】
様々な実施形態では、リモートセキュリティ・サービスが、当該状況モデルおよび当該１つまたは複数のモジュールの構成を含めて、当該被監視装置を構成してもよく、１群の被監視装置のセキュリティ関連状態を表す追加の状況モデルを構築してもよい。当該リモートセキュリティ・サービスが、当該監視された装置から受信されたセキュリティ関連情報を用いて追加の状況モデルを構築してもよい。当該監視された装置が、当該リモートセキュリティ・サービスから受信した構成に応答した当該セキュリティ関連情報を提供してもよい。さらに、幾つかの実施形態では、当該構成を当該リモートセキュリティ・サービスにより実施してもよく、当該追加の状況モデルの構築を、当該監視された装置の少なくとも一部を含むクライアントネットワークの中間装置により実施してもよい。かかる実施形態では、当該追加の状況モデルが、クライアントネットワークの当該監視された装置の状態を表してもよい。
【０００８】
別の実施形態では、当該リモートセキュリティ・サービスまたは当該カーネルレベルセキュリティ・エージェントが、当該状況モデルに格納された情報を利用してもよいが、被監視装置のホスト動作システム上にはもはや存在しなくともよい。当該情報が、当該被監視装置の観察可能な振舞いにつながる実行の連鎖における以前のプロセスまたはファイルに関するものであってもよい。例えば、悪意をもって作成されたドキュメントは正当なアプリケーションとクラッシュし、その場所にある攻撃コードを実行する。当該攻撃コードは、Ｗｏｒｄの新たなコピーを実行するスクリプトを実行し、したがって、正当なアプリケーションがクラッシュしていなかったという外観を与える。当該履歴情報を、さらなる分析において、または、応答動作の決定において、当該リモートセキュリティ・サービスまたはカーネルレベルセキュリティ・エージェントにより使用してもよい。
【０００９】
図１は、被監視装置のセキュリティ関連状態を十分にリアルタイムに表現するための状況モデルの例、および、当該状況モデルを構築し当該状況モデルを利用して状態情報を検証するためのエージェントモジュールを示す。図示したように、被監視装置１０２が、エージェントモジュール（複数可）１０８および状況モデル１１０を格納する１つまたは複数のプロセッサ１０４およびメモリ１０６を備えてもよい。エージェントモジュール（複数可）１０８が、プロセッサ（複数可）１０４の実行動作１１４に含まれるかまたは実行動作１１４により生成されたイベント１１２の通知を受信してもよい。少なくとも幾つかの種類のイベント１１２に対して、エージェントモジュール（複数可）１０８が、実行動作１１４に関連付けられた状態情報１１６を取り出してもよい。エージェントモジュール（複数可）１０８が、イベント１１２および／または状態情報１１６を利用して状況モデル１１０を構築し、これらのイベント１１２および／または状態情報１１６を状況モデル１１０としてセキュリティ関連情報１１８に提供してもよい。当該状況モデル１１０が、セキュリティ関連情報１１８を受信しそれを状況モデル１１０のデータベース１２２に格納するための受信器１２０を備えてもよい。このように、エージェントモジュール（複数可）１０８および状況モデル１１０が、状況モデル１１０を現在または過去のシステム状態に構築してもよい。幾つかの実施形態では、エージェントモジュール（複数可）１０８が、状況モデル１１０の問合せインタフェース１２６を用いて状況モデル１１０を問い合わせてもよい（１２４）。問合せインタフェース１２６は、セキュリティ関連情報１２８の取出しを可能とする。エージェントモジュール（複数可）１０８は、セキュリティ関連情報１２８を利用して追加の状態情報１１６を検証してもよい。また、重要なセキュリティ関連情報１１８を維持しつつ状況モデル１１０のサイズを制御するために、状況モデル１１０が、構成に基づいてセキュリティ関連情報１１８を選択的に削除する刈取りコンポーネント１３０を備えてもよい。
【００１０】
様々な実施形態では、被監視装置１０２が、サーバまたはサーバファーム、複数の分散サーバファーム、メインフレーム、ワークステーション、パーソナルコンピュータ（ＰＣ）、ラップトップコンピュータ、タブレットコンピュータ、携帯情報端末（ＰＤＡ）、携帯電話、メディアセンタ、組込みシステム、または任意の他の種類の装置または装置であってもよい。複数のコンピューティング装置で実装したとき、被監視装置１０２が、エージェントモジュール（複数可）１０８および状況モデル１１０を複数のコンピューティング装置に分散させてもよい。幾つかの実装では、被監視装置１０２は、１つまたは複数のコンピューティング装置で実装された１つまたは複数の仮想マシンを表す。被監視装置１０２にサービス提供できる例示的なコンピューティング装置を図３に示し、当該図面を参照して以下で説明する。
【００１１】
また、幾つかの実施形態では、被監視装置１０２が、セキュリティ・サービスに対するセキュリティ・サービスプロバイダをサブスクライブするクライアントまたはクライアントネットワークに属してもよい。被監視装置１０２を、したがって、当該リモートセキュリティ・サービスにネットワークを介して接続してもよい。かかるネットワークを通じて、被監視装置１０２が、エージェントモジュール（複数可）１０８および状況モデル１１０の初期インストールを受信し、構成更新情報を様々な回数受信してもよい。被監視装置１０２が、当該リモートセキュリティ・サービスから受信された構成内のトリガに基づいてセキュリティ関連情報１１８および通知をリモートセキュリティ・サービスに提供してもよい。
【００１２】
様々な実施形態では、プロセッサ（複数可）１０４は、中央演算訴追（ＣＰＵ）、チップセットコンポーネント、グラフィクス演算装置（ＧＰＵ）、当業界で公知の他の演算装置またはコンポーネント、または演算装置の任意の組合せである。プロセッサ（複数可）１０４の実行動作１１４が、現在プロセッサ（複数可）１０４により実行されている任意のアクティブなプロセス、ミューテックス等であってもよい。
【００１３】
様々な実施形態ではメモリ１０６は、（ＲＡＭのような）揮発性、（ＲＯＭ、フラッシュメモリ等のような）不揮発性またはこの２つの何らかの組合せである。メモリ１０６が、コンピュータ可読命令、データ構造、プログラムモジュール、または他のデータのような情報を記憶するための任意の方法または技術で実装された任意の有形取外し可能または取外し不能媒体であってもよい。メモリ１０６の例には、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリまたは他のメモリ技術、ＣＤ−ＲＯＭ、デジタル多用途ディスク（ＤＶＤ）または他の光記憶、磁気カセット、磁気テープ、磁気ディスク記憶または他の磁気記憶装置、または所望の情報を格納するために使用でき被監視装置１０２によりアクセスでき任意の他の有形媒体が含まれるがこれらに限られない。
【００１４】
様々な実施形態では、エージェントモジュール（複数可）１０８が１つまたは複数のカーネルレベルセキュリティ・エージェントのモジュールであってもよい。かかるカーネルレベルセキュリティ・エージェントが、実行動作１１４に関連付けられたイベント１１２の通知を受信するイベント消費者、フィルタ、イベント１１２を他のエージェントモジュール（複数可）１０８に送るイベントバス、イベント１１２のタイプを追跡する相関器、状態情報１１６を収集しイベント１１２に作用するアクタ（actor）、および状況モデル１１０を備えてもよい。当該カーネルレベルセキュリティ・エージェントを、リモートセキュリティ・サービスによりインストールし構成可能であってもよい。リモートセキュリティ・サービスは、生存中に、エージェントモジュール（複数可）１０８および状況モデル１１０の再構成を受信し適用する。例示的なカーネルレベルセキュリティ・エージェントは、発明の名称を「カーネル・レベルのセキュリティ・エージェント」とした、２０１２年６月８日出願の米国特許出願第１３／４９２、６７２号明細書でより詳細に説明されている。
【００１５】
幾つかの実施形態では、エージェントモジュール（複数可）１０８はイベント消費者を含み、当該イベント消費者を、イベント１１２の通知を監視するように構成してもよい。監視されるイベント１１２の種類を、リモートセキュリティ・サービスから受信した構成により指定してもよい。当該イベント消費者は次いで、１つまたは複数のフィルタを通じてイベント１１２をイベントバスに提供してもよく、当該フィルタは、当該受信された構成に基づいてイベント１１２を当該イベント消費者から当該イベントバスに選択的に中継する。フィルタおよび当該イベントバスは次いで、イベント１１２を相関器、アクタ、または状況モデル１１０のうち１つまたは複数に提供してもよい。当該フィルタおよびイベントバスは、その代りまたはさらに、イベント１１２をリモートセキュリティ・サービスに提供してもよい。イベント１１２を当該イベント消費者から受信する以外に、当該フィルタおよびイベントバスが構成およびセキュリティ関連情報１１８を当該リモートセキュリティ・サービスから受信してもよい。当該情報／構成を他のエージェントモジュール（複数可）１０８（例えば、アクタ）に提供し、かつ／または状況モデル１１０にキャッシュしてもよい。
【００１６】
相関器は、その発生が、例えば、特定の集合において、当該受信された構成によりセキュリティ関連情報１１８に固有である特定の種類のイベントを追跡してもよい。１つまたは複数の受信イベント１１２がセキュリティ関連情報１１８を構成したと相関器が判定すると、当該相関器は、セキュリティ関連情報１１８を状況モデル１１０の受信器１２０に提供する。
【００１７】
アクタが、状況モデル１１０を構築すること、状況モデル１１０を利用して状態情報１１６を検証すること、および状況モデル１１０をキャッシュとして利用することに参加してもよい。イベント１１２をフィルタと当該イベントバスから受信すると、当該アクタは、当該リモートセキュリティ・サービスから受信した構成と当該イベントの種類に基づいて、イベント１１２を含むかまたはイベント１１２を生成した実行動作１１４から状態情報１１６を取り出すかどうかを判定してもよい。かかる状態情報１１６は、プロセスのコピー、当該プロセスのメモリから引き出した情報、当該プロセスに関連付けられた呼出しスタックの内容、プロセス等により書き込まれたかもしくは読み出されたデータを含んでもよい。当該アクタは次いで、イベント１１２および状態情報１１６のうち１つまたは両方を状況モデル１１０の受信器１２０に提供してもよい。
【００１８】
幾つかの実施形態では、状態情報１１６を状況モデル１１０に提供することに加えてまたはその代わりに、当該アクタは、セキュリティ関連情報１２８のような問合せ結果を状況モデル１１０の問合せインタフェース１２６に問い合わせてもよく（１２４）、当該問合せ結果を利用して状態情報１１６を検証してもよい。検証が単に、状態情報１１６をセキュリティ関連情報１２８（時間的に過去の１つまたは複数の点からの状態情報を含んでもよい）と比較して、差異があるかどうかを判定することを含んでもよい。他の実施形態では、検証が、問合せ結果および状態情報１１６のより複雑な分析を含んでもよい。否定的な結果（例えば、状態情報１１６がセキュリティ関連情報１２８とマッチしない）に応答して、当該アクタは検証エラーを生成する。検証エラーに応答して、当該アクタは幾つかの方法で応答してもよい。例えば、当該アクタが、当該検証エラーに関連付けられた当該イベント１１２および／または状態情報１１６をリモートセキュリティ・サービスに報告すること、被監視装置１０２のユーザに警告すること、治癒／再調停の動作（例えば、当該検証エラーに関連付けられたプロセスの停止）の実行、または、当該検証エラーを状況モデル１１０に記録してさらに監視を実施することのうち少なくとも１つを実施してもよい。
【００１９】
別の実施形態では、アクタが、構成、状況モデル１１０で表現されたオブジェクトに関する外部的に導出されたメタデータ、リモートセキュリティ・サービスからの他の情報を受信してもよく、これらの構成、メタデータ、または情報を、受信器１２０を介して状況モデル１１０に提供してもよい。状況モデル１１０は当該構成または情報のキャッシュの役割を果たす。さらに、当該アクタが、他の生成もしくはフェッチするのが計算量的に高価である情報、または、フェッチするには応答時間が長い情報を、状況モデル１１０に提供してもよい。かかる情報を、エージェントモジュール１０８および／または状況モデル１１０の構成により識別してもよい。
【００２０】
様々な実施形態では、当該状況モデル１１０は、被監視装置１０２の現在および過去の状態を表す。維持される過去状態は少なくとも、現在状態の立証的かつ方針的な理解を高める状態のような、過去状態の少なくとも部分集合を含む。上述のように、当該状況モデル１１０が少なくとも３つの役割を有してもよい。第１の役割では、状況モデル１１０がヒストリアンの役割を果たし、被監視装置１０２上のどこにももはや格納されていない被監視装置１０２の過去状態へのアクセスを提供してもよい。第２の役割では、状況モデル１１０が検証器としての役割を果たし、被監視装置１０２のホスト動作システム状態記憶の悪意ある修正を検出するために使用できる被監視装置１０２の状態の独立モデルを維持してもよい。したがって、修正の動作が検出されないときでも、その効果は、状況モデル１１０において現在状態を独立に維持された状態と比較することで得られる。第３の役割では、当該状況モデル１１０は、リモートセキュリティ・サービスから受信され、生成またはフェッチが計算量的に高価な、または、フェッチするのに応答時間が長い構成、情報、および状態のキャッシュを提供する。
【００２１】
幾つかの実施形態では、受信器１２０は、イベント１１２および／または状態情報１１６のようなセキュリティ関連情報１１８を、エージェントモジュール１０８のフィルタ、相関器、またはアクタから受信し、データベース１２２を当該受信されたセキュリティ関連情報１１８で更新する。セキュリティ関連情報１１８を受信するために、受信器１２０が、エージェントモジュール１０８の上述のイベントバスにイベント受信器インタフェースを実装してもよい。幾つかの実施形態では受信器１２０が、データベース１２２に格納された受信されたセキュリティ関連情報１１８およびセキュリティ関連情報１１８の間の矛盾をエージェントモジュール１０８に通知してもよい。受信器１２０が、データベース１２２のバックアップの初期化のような、リモートセキュリティ・サービスに提供するためのイベントを生成してもよい。さらに、受信器１２０が、受信したセキュリティ関連情報１１８とデータベース１２２に格納されたセキュリティ関連情報１１８に基づいて、任意数のイベントを生成してもよい。かかるイベントを、リモートセキュリティ・サービスに提供するかまたはローカル動作を駆動するために使用してもよい。
【００２２】
様々な実施形態では、当該データベース１２２が、情報を格納できる任意の種類のデータベース、ファイル、またはデータ集合であってもよい。データベース１２２は、テーブルのような、１組の構成可能な集合を有する記憶部である。各集合は、データベース１２２がデータを格納する（即ち、セキュリティ関連情報１１８の形態の）ある種のオブジェクトを表し、そのオブジェクトのクラスに対する識別子により索引付けしてもよい。ある種のオブジェクトに対する各集合が、インデックス・フィールド、モデル化データ属性（例えば、セキュリティ関連情報１１８）、および当該集合に対する信頼期間を定義するメタデータを含んでもよい。各集合が、プロセスのロードされたモジュールを列挙する部分集合のような１つまたは複数の部分集合を含んでもよい。かかるメタデータが、集合データが書き込まれた最後の「エポック」、および、当該エポックに書き込まれた属性のマスク（例えば、ビットマスク）を含んでもよい。本明細書で使用する際、「エポック」という用語は、集合に関して取得された全てのデータが生存性と信用性の一貫した特性を有する期間を称してもよい。一過性オブジェクトに関して、エポックは、システム起動時に、当該カーネルレベルセキュリティ・エージェントの再開時に、または、カーネルレベルエージェントの初期インストールの停止後に、発生する。永続性オブジェクトに関して、エポックは、永続性オブジェクトに関連付けられたバッキング・ストアのマウントが失われたとき常に発生する。集合はまた、当該集合が正確な表現として信頼できる直近のエポックを定義する期間に関連付けられる。最後のエポックが現在のエポックにマッチする場合、ビットマスク内の全ての集合属性は信頼期間内にあり、当該ビットマスク内で設定されていない他の集合属性は信頼期間外にあるかもしれない。例えば、一過性オブジェクトに対する信頼期間は現在のエポックである。永続性オブジェクトに関して、当該信頼期間が現在のエポックまたは過去のエポックであってもよい。
【００２３】
データベース１２２がそれに関するセキュリティ関連情報１１８を格納するオブジェクトの種類を構成可能スキーマにより指定してもよい。当該構成可能スキーマおよび当該構成可能スキーマに対する構成更新は当該リモートセキュリティ・サービスから受信される。オブジェクトのタイプごとに、当該スキーマは集合が永続性または一過性であるかを示すフラグを含んでもよい。一過性オブジェクトが、システムメモリ（例えば、ランダムアクセスメモリ）にしか存在する任意のオブジェクトであってもよい。かかる一過性オブジェクト自体は再起動を生き延びないが、データベース１２２内の当該オブジェクトの対応する表現は構成に応じて再起動を生き延びうる。一過性オブジェクトの例には、プロセス、スレッド等が含まれる。永続性オブジェクトは、（例えば、永続記憶で格納される）バッキング・ストアを有する任意のオブジェクトである。永続性オブジェクトの例にはファイルとＢＩＯＳが含まれる。
【００２４】
様々な実施形態では、問合せインタフェース１２６が、フィルタ、アクタ、相関器、他のエージェントモジュール１０８、または当該リモートセキュリティ・サービスにより、問合せ１２４を介してデータベース１２２にアクセスするためのインタフェースであってもよい。問合せインタフェース１２６が、二種類の問合せ１２４をサポートしてもよい。第１の種類のクエリ１２４が、信頼期間内にあるセキュリティ関連情報１２８のみを表す問合せであってもよい。第２の種類のクエリ１２４が全てのセキュリティ関連情報１２８のためのものであってもよい。クエリ１２４に応じて、問合せインタフェース１２６が、返却されたセキュリティ関連情報１２８の全てが信頼期間内であるか否か、および、信頼期間がファイルシステムの再起動またはマウントのような特定のイベントに到達したかどうかを示すフラグとともに、問合せ結果を返してもよい。別の実施形態では、当該問合せインタフェース１２６が、データベース１２２への並列読書きをサポートしてもよい。
【００２５】
幾つかの実施形態では、刈取りコンポーネント１３０は、データベース１２２からのセキュリティ関連情報１１８の刈取り（pruning）を含めて、データベース１２２を維持する。状況モデル１１０が、データベース１２２が閾値のサイズ限界を超えないことを保証するための刈取りコンポーネント１３０を備えてもよい。当該閾値のサイズ限界を、例えば、当該リモートセキュリティ・サービスから受信した構成により決定してもよい。刈取りコンポーネント１３０を、もはや問合せ１２４を満たす必要がない任意のセキュリティ関連情報１１８を刈り取るように構成してもよい。刈取りコンポーネント１３０はまた、異なる分類と重要度を異なる問合せ１２４に割り当ててもよい。これにより、任意のクエリ１２４にもはや必要でないセキュリティ関連情報１１８の刈取りがデータベース１２２のサイズを十分に減らすことができなかったときに、低優先度のクエリに応答する必要があるセキュリティ関連情報１１８を刈り取ることができる。
【００２６】
セキュリティ関連情報１１８の刈取りでは、刈取りコンポーネント１３０を、集合により、レコードにより、または属性により刈り取ってもよい。幾つかの実施形態では、刈取りコンポーネント１３０が、データベース１２２の進行中の保守のための集合ベースの刈取り、および、高記憶条件に応答する属性ベースの刈取りを使用してもよい。集合ベースの刈取りが、これらの一過性オブジェクトがもはや当該システム上に存在しないので、一過性オブジェクトを表す任意の集合を以前のエポックから刈り取ることを必要としてもよい。しかし、当該集合ベースの刈取りが、これらの一過性オブジェクトが永続性オブジェクトにより参照されるときに、一過性オブジェクトを表す集合を保持してもよい。
【００２７】
（ネットワークの例）
図２は、クライアントネットワークの被監視装置（複数可）をリモートセキュリティ・サービスと当該クライアントネットワークの中間装置に接続するためのネットワーク、当該リモートセキュリティ・サービスの各々、当該中間装置、および状況モデルを構築し維持できる当該被監視装置（複数可）を示す。図２に示すように、ネットワーク２０２は被監視装置（複数可）１０２をリモートセキュリティ・サービス２０４に接続する。当該リモートセキュリティ・サービス２０４が、被監視装置（複数可）１０２およびセキュリティモジュール２０８の状態を表す状況モデル２０６を備えてもよい。幾つかの実施形態では、被監視装置（複数可）１０２を、クライアントネットワーク２１０を通じてネットワーク２０２に接続してもよい。クライアントネットワーク２１０は、リモートセキュリティ・サービス２０４のサービスに加入したクライアントに関連付けられる。クライアントネットワーク２１０が、当該クライアントに固有な状況モデル２１４を維持する中間装置２１２を備えてもよい。
【００２８】
幾つかの実施形態では、ネットワーク２０２およびクライアントネットワーク２１０がそれぞれ、有線ネットワーク、無線ネットワーク、および有線および無線ネットワークの組合せのような、任意の１つまたは複数のネットワークを含んでもよい。さらに、ネットワーク２０２およびクライアントネットワーク２１０が、複数の異なる種類のパブリックまたはプライベートネットワーク（例えば、ケーブルネットワーク、インターネット、無線ネットワーク等）の任意の１つまたは組合せを備えてもよい。例えば、ネットワーク２０２がパブリックネットワークであってもよく、クライアントネットワーク２１０がそれぞれプライベートネットワークであってもよい。幾つかの事例では、コンピューティング装置が、送信制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）のような、セキュアプロトコル（例えば、ｈｔｔｐｓ）および／または任意の他のプロトコルまたは１組のプロトコルを用いてネットワーク２０２およびクライアントネットワーク２１０で通信する。
【００２９】
様々な実施形態では、当該リモートセキュリティ・サービス２０４を実装する装置および当該中間装置２１２がそれぞれ、サーバまたはサーバファーム、複数の、分散サーバファーム、メインフレーム、ワークステーション、パーソナルコンピュータ（ＰＣ）、ラップトップコンピュータ、タブレットコンピュータ、携帯情報端末（ＰＤＡ）、携帯電話、メディアセンタ、組込みシステム、または任意の他の種類の装置または装置であってもよく、または、これらを含んでもよい。１実装では、当該リモートセキュリティ・サービス２０４を実装する装置は、ノードのクラウドコンピューティングネットワークのような通信において動作する複数のコンピューティング装置を表す。複数のコンピューティング装置で実装するとき、リモートセキュリティ・サービス２０４が、リモートセキュリティ・サービス２０４のモジュールおよびデータ２０６−２０８を複数のコンピューティング装置に分散させてもよい。幾つかの実装では、リモートセキュリティ・サービス２０４を実装する装置および当該中間装置２１２のうち１つまたは複数が、１つまたは複数のコンピューティング装置で実装された１つまたは複数の仮想マシンを表す。リモートセキュリティ・サービス２０４または中間装置２１２を実装する装置の役割を果たすことができるコンピューティング装置の例を図３に示し、当該図面を参照して以下で説明する。
【００３０】
様々な実施形態では、当該リモートセキュリティ・サービス２０４が、エージェントモジュール１０８および状況モデル１１０の保守および構成、脅威モデル化、および／または治療のような、個々のユーザおよびクライアントエンティティに対する情報セキュリティ・サービスのプロバイダであってもよい。リモートセキュリティ・サービス２０４のセキュリティモジュール２０８を、かかる情報セキュリティ・サービスを実施するように構成してもよい。
【００３１】
別の実施形態では、当該リモートセキュリティ・サービス２０４が、１群の被監視装置１０２の状態を表す状況モデル２０６を構築し保守してもよい。かかる状態が、現在状態、過去状態、またはその両方を含んでもよい。当該リモートセキュリティ・サービス２０４は、これらの被監視装置１０２の構成に応答して監視された装置１０２から状況モデル２０６を構築するために使用されるセキュリティ関連情報１１８を受信してもよい。かかるセキュリティ関連情報１１８を、セキュリティ関連情報１１８に関連付けられた実行動作１１４が観測されたときに十分にリアルタイムに受信してもよい。セキュリティモジュール２０８が、監視された装置１０２を構成してもよい。監視された装置１０２は、どのセキュリティ関連情報１１８を監視された装置１０２がリモートセキュリティ・サービス２０４に提供するかを指定する。かかるセキュリティ関連情報１１８が、単一の被監視装置１０２で孤立したときは有意義であるかもないかもしれないが、複数の被監視装置１０２から受信されたときは有意義である情報であってもよい。例えば、単一の被監視装置１０２がサードパーティのシステムに接続されている場合、当該接続は有意義であるかもないかもしれない。しかし、１２個の被監視装置１０２が当該サードパーティのシステムに接続されている場合には、その接続集合は悪意ある活動を示しうる。
【００３２】
当該状況モデル２０６が、上述の受信器１２０、当該データベース１２２、当該問合せインタフェース１２６、および刈取りモジュール１３０の一部または全部に対するアナログを含んでもよく、または、それらの変形を含んでもよい。したがって、状況モデル１１０とそのサブコンポーネントの記述が状況モデル２０６に部分的にまたは全体的に適用可能であってもよい。当該セキュリティ関連情報１１８を受信すると、当該セキュリティモジュール２０６または当該リモートセキュリティ・サービス２０４の他の論理が当該セキュリティ関連情報１１８を当該状況モデル２０６に格納してもよい。
【００３３】
セキュリティ関連情報１１８を格納することに加えて、状況モデル２０６が検証活動とセキュリティ判定をサポートしてもよい。これらの活動と判定をサポートするために、状況モデル２０６を問い合わせてもよい。かかる問合せを、セキュリティモジュール２０８により、リモートセキュリティ・サービス２０４のユーザ・オペレータにより、またはリモートセキュリティ・サービス２０４の他の論理により行ってもよい。当該問合せを、状況モデル２０６の問合せインタフェースにより受信してもよい。状況モデル２０６が、問合せインタフェース１２６のアナログまたは変形であってもよい。状況モデル２０６の当該問合せインタフェースが、求められているセキュリティ関連情報１１８を取り出し、返却してもよい。次いで、これらの問合せ結果を、監視された装置２０６から受信した他のセキュリティ関連情報１１８を検証する際、または、セキュリティ判定を行う際に使用してもよい。かかるセキュリティ判定が、監視された装置１０２の１つまたは複数に対して構成更新を生成するかどうか、悪意ある活動の監視された装置１０２の１つまたは複数に警告するかどうか、さらなる動作の前に１つまたは複数の被監視装置１０２の監視を続けるかどうか、または、プロセスの停止のような治療動作を行うかどうかを判定するステップを含んでもよい。セキュリティモジュール２０８が次いでかかるセキュリティ判定に作用してもよい。
【００３４】
別の実施形態では、当該状況モデル２０６が、被監視装置１０２の状況モデル１１０のバックアップの役割を果たしてもよい。当該リモートセキュリティ・サービス２０４が、状況モデル１１０の少なくとも一部を定期的に受信してもよく、その部分を状況モデル２０６に格納してもよい。かかる遅延した、定期的なバックアップにより、状況モデル２０６を状況モデル１１０のリアルタイムなバックアップとして使用するオーバヘッドを回避してもよい。
【００３５】
幾つかの実施形態では、当該リモートセキュリティ・サービス２０４が、当該セキュリティ・サービスに社会的側面を与え、これらのユーザおよび／またはクライアントエンティティのグループを形成し、グループを構成するユーザおよび／またはクライアントエンティティの間でセキュリティ情報を自動的に共有してもよい。
【００３６】
様々な実施形態では、当該監視された装置１０２、中間装置２１２、およびクライアントネットワーク２１０を、企業、政府、または他の組織のような実体に関連付けてもよく、または、１人のユーザもしくはユーザのグループに関連付けてもよい。当該エンティティまたはこれらのユーザ（複数可）が、リモートセキュリティ・サービス２０４を有するセキュリティ・サービスをサブスクライブしてもよい。リモートセキュリティ・サービス２０４は、エンティティ／ユーザ（複数可）の被監視装置１０２に対する行動を監視してもよい。幾つかの実施形態では、当該監視が、エージェントモジュール１０８および状況モデル１１０を監視された装置１０２にインストールして、監視された装置１０２の実行動作１１４を監視し、セキュリティ関連情報１１８をリモートセキュリティ・サービス２０４に提供することを必要としてもよい。
【００３７】
当該中間装置２１２が、クライアントの被監視装置１０２の状態を表す状況モデル２１４を維持するように構成された任意の種類の装置であってもよい。かかる状況モデル２１４が状況モデル２０６のようなものであってもよいが、クライアントに固有である。幾つかの実施形態では、セキュリティモジュール２０８が、状況モデル２０６の構築と問合せと同様に、状況モデル２１４を構築し問い合わせてもよい。
【００３８】
（例示的なシステム）
図３は、セキュリティ・サービス装置、被監視装置、または中間装置として動作できるコンピューティング装置のコンポーネントレベルの図を示す。図示したように、コンピューティング装置３００は、モジュールとデータ３０４を格納するシステムメモリ３０２を備える。また、コンピューティング装置３００は、プロセッサ（複数可）３０６、取外し可能記憶３０８および取外し不能記憶３１０、入力装置（複数可）３１２、出力装置（複数可）３１４および他のコンピューティング装置３１８と通信するための通信接続３１６を備える。
【００３９】
様々な実施形態では、システムメモリ３０２は、（ＲＡＭのような）揮発性、（ＲＯＭ、フラッシュメモリ等のような）不揮発性またはこの２つの何らかの組合せである。当該システムのメモリ３０２に格納されたモジュールまたはデータ３０４が、被監視装置（複数可）１０２、リモートセキュリティ・サービス２０４、または中間装置２１２の動作を実施するために利用される命令のような、方法、スレッド、プロセス、アプリケーションまたは任意の他の種類の実行可能命令を含んでもよい。当該モジュールおよびデータ３０４はまたファイルやデータベースを備えてもよい。
【００４０】
幾つかの実施形態では、プロセッサ（複数可）３０６は、中央演算装置（ＣＰＵ）、グラフィクス演算装置（ＧＰＵ）、またはＣＰＵとＧＰＵの両方、または、当業界で公知な他の演算装置またはコンポーネントである。
【００４１】
コンピューティング装置３００には、例えば、磁気ディスク、光ディスク、またはテープのような、追加のデータ記憶装置（取外し可能および／または取外し不能）が含まれる。かかる追加の記憶を、取外し可能記憶３０８および取外し不能記憶３１０により図３で示す。有形コンピュータ可読媒体が、コンピュータ可読命令、データ構造、プログラムモジュール、または他のデータのような情報を記憶するための任意の方法または技術で実装した揮発性および不揮発性、取外し可能および取外し不能媒体を含んでもよい。システムメモリ３０２、取外し可能記憶３０８および取外し不能記憶３１０は全て、コンピュータ可読記憶媒体の例である。コンピュータ可読記憶媒体には、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリまたは他のメモリ技術、ＣＤ−ＲＯＭ、デジタル多用途ディスク（ＤＶＤ）または他の光記憶、磁気カセット、磁気テープ、磁気ディスク記憶または他の磁気記憶装置、または所望の情報を格納するために使用できコンピューティング装置３００によりアクセスできる任意の他の媒体が含まれるがこれらに限られない。任意のかかる有形コンピュータ可読媒体が当該コンピューティング装置３００の一部であってもよい。
【００４２】
コンピューティング装置３００はまた、キーボード、マウス、タッチ・センシティブ・ディスプレイ、音声入力装置等のような入力装置（複数可）３１２、および、ディスプレイ、スピーカ、プリンタ等のような出力装置（複数可）３１４を有する。これらの装置は当業界で公知であり、ここではこれ以上論じる必要はない。
【００４３】
コンピューティング装置３００はまた、他の被監視装置（複数可）１０２、装置（複数可）、リモートセキュリティ・サービス２０４、または中間装置２１２のような他のコンピューティング装置３１８とコンピューティング装置３００が通信できるようにする通信接続３１６を含む。
【００４４】
（例示的なプロセス）
図４および５は例示的なプロセス４００および５００を示す。これらのプロセスは、論理的なフローグラフとして示され、その各動作は、ハードウェア、ソフトウェア、またはそれらの組合せで実装できる動作のシーケンスを表す。ソフトウェアの状況では、当該動作は、１つまたは複数のプロセッサにより実行されたときに、記載された動作を実施する１つまたは複数のコンピュータ可読記憶媒体に格納されたコンピュータ実行可能命令を表す。一般に、コンピュータ実行可能命令は、特定の機能を実施するかまたは特定の抽象データ型を実装する、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造等を含む。当該動作が説明される順序は限定として解釈されることを意図したものではなく、任意の数の説明された動作を、任意の順序でおよび／または並列に結合してプロセスを実装することができる。
【００４５】
図４は、被監視装置により、状況モデルにより格納されたセキュリティ関連情報に基づいて状態情報を検証するためのプロセスの例を示す。幾つかの実施形態では、当該被監視装置は、プロセス４００の少なくとも一部を実施するように構成されたカーネルレベルセキュリティ・エージェントを備える。
【００４６】
プロセス４００は、４０２で、被監視装置により、当該被監視装置の実行動作に関連付けられたイベントの通知を受信するステップを含む。
【００４７】
４０４で、当該被監視装置は、当該通知に少なくとも部分的に基づいてセキュリティ関連情報に関する状況モデルを問い合わせる。当該状況モデルは、セキュリティ関連情報から構築された当該被監視装置の状態の実質的にリアルタイムな表現である。
【００４８】
４０６で、当該被監視装置が、当該セキュリティ関連情報に少なくとも部分的に基づいて、当該イベントに関連付けられた状態情報を検証する。４０６ａで、当該状態情報が当該状況モデルで完全に表されるかどうかに条件的に基づいて検証が実施される。
【００４９】
４０８で、当該検証の結果が検証エラーであるとき、当該被監視装置は少なくとも１つのセキュリティ応答動作を実施する。４０８ａで、当該セキュリティ応答動作は、当該検証エラーをリモートセキュリティ・サービスに報告するステップ、さらに実行動作を監視するステップ、当該検証エラーに対して責任のある悪意ある活動に向けられた治療動作を実行するステップ、または当該被監視装置のユーザに警告するステップの１つである。
【００５０】
図５は、１つまたは複数のコンピューティング装置により、１群の被監視装置に対するセキュリティ関連状態の状況モデルを構築するためのプロセスの例を示す。当該コンピューティング装置は、リモートセキュリティ・サービスの装置、または、リモートセキュリティ・サービスの装置および中間装置の両方であってもよい。
【００５１】
プロセス５００は、５０２で、当該セキュリティ関連情報に関連付けられた実行動作が観測されたとき、１つまたは複数のコンピューティング装置により、セキュリティ関連情報を十分にリアルタイムに提供するように複数の対応する被監視装置の複数のエージェントを構成するステップを含む。幾つかの実施形態では、当該セキュリティ関連情報は、複数のエージェントから受信したとき、セキュリティ判定をサポートするという情報である。
【００５２】
５０４で、当該１つまたは複数のコンピューティング装置が、当該セキュリティ関連情報を十分にリアルタイムに受信し、５０６で、当該セキュリティ関連情報が受信されたとき、状況モデルを当該セキュリティ関連情報から十分にリアルタイムに構築する。当該状況モデルは当該監視された装置の状態を表す。当該状態には当該監視された装置の少なくとも現在状態が含まれる。
【００５３】
５０８で、当該１つまたは複数のコンピューティング装置が、当該リモートセキュリティ・サービスのユーザまたは他のモジュールによる当該状況モデルの問合せを可能としてもよい。問合せを受信したことに応答して、当該１つまたは複数のコンピューティング装置が動作５１０乃至５１４のうち少なくとも１つを実施してもよい。５１０で、当該１つまたは複数のコンピューティング装置が、当該問合せの結果に少なくとも部分的に基づいて、当該監視された装置に対する状態情報を検証してもよい。５１２で、当該１つまたは複数のコンピューティング装置が、当該問合せの結果に少なくとも部分的に基づいて少なくとも１つのセキュリティ応答動作を実施してもよい。５１４で、当該１つまたは複数のコンピューティング装置が、当該問合せの結果に少なくとも部分的に基づいてエージェント構成を更新し、当該更新されたエージェント構成に少なくとも部分的に基づいて当該構成を繰り返してもよい。
【００５４】
（まとめ）
本発明の主題を構造的特徴および／または方法論的動作に固有な言葉で説明したが、添付の特許請求の範囲で定義した当該主題は必ずしも説明した特定の特徴または動作に限定されないことは理解される。そうではなく、当該特定の特徴および動作は諸請求項を実施する例示的な形態として開示される。
【図１】
2016505981.tif 000003
【図２】
2016505981.tif 000004
【図３】
2016505981.tif 000005
【図４】
2016505981.tif 000006
【図５】
2016505981.tif 000007
【国際調査報告】
2016505981.tif 000008
2016505981.tif 000009