(57)【要約】セキュリティ攻撃へ応答するための欺きに基づく技術を説明する。この技術は、セキュリティ攻撃を、当該セキュリティ攻撃により影響を受けるコンピューティングデバイスに見せかける被監視コンピューティングデバイスに遷移させること、及び、当該被監視コンピューティングデバイスから、相手方が欺きの情報を取得することを可能にすることを含む。また、相手方は、ドキュメントをオープンするエンティティの識別し、それによって、前記攻撃に関連付けられる相手方を識別する情報を報告するように構成されたドキュメントを取得してもよい。さらに、この技術は、ドメインネーム要求で特定されるドメインが、悪質な活動に関連付けられると決定し、要求に、被監視コンピューティングデバイスのネットワークアドレスによって応答して、要求するプロセスが、相手方サーバの代わりに被監視コンピューティングデバイスと通信することを引き起こすことを含む。さらに、サービスは、悪質な活動に関連付けられる休止ドメインネームを監視し、変化への応答で、警告または構成更新によって応答することもできる。
2016514313.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータ実装方法であって、
攻撃の、自動化された、もしくは手動の通知を受信することと、
前記攻撃を、相手方に前記攻撃により影響を受けるコンピューティングデバイスとして見せかけるように構成されている、被監視コンピューティングプロセスまたはデバイスに遷移させることと、
前記相手方が、前記被監視コンピューティングプロセスまたはデバイスから欺きの情報を取得することを可能にすることと
を含む方法。
【請求項２】
前記攻撃は、スピアフィッシュ電子メール、クリッカブルリンク、ウェブサイト、ドライブバイエクスプロイト、ＱＲコード、ニアフィールド通信（ＮＦＣ）トリガされるリンク、ドキュメント、実行可能ファイル、取り外し可能ドライブ、もしくは、アーカイブのうちの１つであることを特徴とする請求項１に記載の方法。
【請求項３】
前記自動化された、もしくは手動の通知を受信することは、前記攻撃を、前記攻撃が提出された情報共有システムまたはポータルから索出することを含み、前記攻撃を遷移させることは、前記攻撃を前記被監視コンピューティングプロセスまたはデバイス上にインストールすることを含むことを特徴とする請求項１に記載の方法。
【請求項４】
前記情報共有システムまたはポータルは、前記受信すること、前記遷移させること、及び前記可能にすることを行なうエンティティとは異なるエンティティから、前記攻撃を受信し、索出することを特徴とする請求項１に記載の方法。
【請求項５】
前記通知は、前記攻撃を転送する人から、もしくは、前記影響を受けるコンピューティングデバイスを監視するセキュリティエージェントまたはサービスから受信することを特徴とする請求項１に記載の方法。
【請求項６】
前記影響を受けるコンピューティングデバイス上の前記攻撃の処理をブロックすることをさらに含むことを特徴とする請求項１に記載の方法。
【請求項７】
前記被監視コンピューティングプロセスまたはデバイス上の前記攻撃を処理することをさらに含むことを特徴とする請求項１に記載の方法。
【請求項８】
前記被監視コンピューティングプロセスまたはデバイスは、物理マシンまたは仮想マシンであることを特徴とする請求項１に記載の方法。
【請求項９】
前記物理マシンまたは仮想マシンは、前記影響を受けるコンピューティングデバイスのイメージによって構成されることを特徴とする請求項８に記載の方法。
【請求項１０】
前記マシンは、前記影響を受けるコンピューティングデバイスに関連付けられるユーザ名、マシン名、オペレーティングシステムバージョン、デスクトップスクリーン、フォルダ名、プリロードされるファイル、または、コンピュータファームウェアバージョンの少なくとも１つまたは複数を含むイメージによって構成されることを特徴とする請求項８に記載の方法。
【請求項１１】
前記被監視コンピューティングプロセスまたはデバイスは、前記影響を受けるコンピューティングデバイス上の隔離されたサンドボックスであることを特徴とする請求項１に記載の方法。
【請求項１２】
前記被監視コンピューティングプロセスまたはデバイスは、前記影響を受けるコンピューティングデバイスに関連付けられるエンティティのネットワーク上に配置されるか、または、セキュリティサービスにより遠隔で実装されることを特徴とする請求項１に記載の方法。
【請求項１３】
前記被監視コンピューティングプロセスまたはデバイスは、前記セキュリティサービスにより遠隔で実装され、前記エンティティに関連付けられるネットワークアドレスまたはドメインが割り当てられることを特徴とする請求項１２に記載の方法。
【請求項１４】
前記被監視コンピューティングプロセスまたはデバイスは、ユーザ活動を模倣することを特徴とする請求項１に記載の方法。
【請求項１５】
前記相手方により発行されるコマンド及びイベントを監視すること、または、前記被監視コンピューティングプロセスまたはデバイスのネットワーク活動、ファイル活動、プロセス活動、実行活動、レジストリ活動、オペレーティングシステム活動、ファームウェア更新、ロードされるドライバ、もしくは、カーネル拡張を監視することをさらに含むことを特徴とする請求項１に記載の方法。
【請求項１６】
前記発行されるコマンド及びイベントは、キーストローク、マウス活動、または、コマンドラインインターフェース活動を含むことを特徴とする請求項１５に記載の方法。
【請求項１７】
前記影響を受けるコンピューティングデバイスのセキュリティエージェントの構成を更新すること、または、前記監視することから導出された情報に少なくとも部分的に基づき、人間が利用可能な情報を提供することをさらに含むことを特徴とする請求項１５に記載の方法。
【請求項１８】
前記影響を受けるコンピューティングデバイスに関連付けられるエンティティが、前記被監視コンピューティングプロセスまたはデバイス上で含むための欺きの情報を提供することを可能にすることをさらに含むことを特徴とする請求項１に記載の方法。
【請求項１９】
前記被監視コンピューティングプロセスまたはデバイス上の前記攻撃を監視すること、及び、欺きの情報をある期間にわたって繰り返し前記相手方に提供することをさらに含むことを特徴とする請求項１に記載の方法。
【請求項２０】
複数の被監視デバイス上の攻撃を監視することから取得される情報を相関させることをさらに含むことを特徴とする請求項１に記載の方法。
【請求項２１】
前記被監視コンピューティングプロセスまたはデバイスは、異なるエンティティによって動作させられることを特徴とする請求項２０に記載の方法。
【請求項２２】
前記攻撃に関連付けられる通信を傍受および復号することをさらに含むことを特徴とする請求項１に記載の方法。
【請求項２３】
前記相手方から、前記相手方のツール、策略、技法、または、手順の少なくとも１つについての情報を受信することをさらに含むことを特徴とする請求項１に記載の方法。
【請求項２４】
１または複数のコンピューティングデバイスをプログラムして動作を遂行するように構成されたコンピュータ実行可能命令を記憶した１または複数の有形コンピュータ可読媒体であって、前記動作は、
ドキュメントを、前記ドキュメントをオープンするデバイスの識別する情報を前記１または複数のコンピューティングデバイスに報告するように構成することと、
前記ドキュメントに関連付けられ、前記識別する情報を含む報告を受信することと、
前記識別する情報に基づいて、権限のないエンティティが前記ドキュメントの所有の状態にあるかどうか決定することと、
前記ドキュメントに関連付けられるエンティティに、前記権限のないエンティティによる所有について警告することと
を含む１または複数の有形コンピュータ可読媒体。
【請求項２５】
前記構成することは、実行可能命令またはリンクを前記ドキュメントに埋めこむことを含むことを特徴とする請求項２４に記載の１または複数の有形コンピュータ可読媒体。
【請求項２６】
前記ドキュメントに埋め込まれた前記リンクは、要求を被監視ネットワークアドレスに引き起こすように構成されていることを特徴とする請求項２５に記載の１または複数の有形コンピュータ可読媒体。
【請求項２７】
前記ドキュメントに埋め込まれた前記実行可能命令は、前記１または複数のコンピューティングデバイスへの接続をオープンするように構成されていることを特徴とする請求項２５に記載の１または複数の有形コンピュータ可読媒体。
【請求項２８】
前記ドキュメントに埋め込まれた前記実行可能命令は、前記識別する情報が前記ドキュメントに埋め込まれた識別する情報と異なるかどうかに少なくとも部分的に基づいて、前記報告を遂行することを特徴とする請求項２５に記載の１または複数の有形コンピュータ可読媒体。
【請求項２９】
前記識別する情報は、ネットワークアドレス、地理的位置、汎用一意識別子（ＵＵＩＤ）、ドメイン情報、または、導出される／アップストリームネットワークデータの少なくとも１つを含むことを特徴とする請求項２４に記載の１または複数の有形コンピュータ可読媒体。
【請求項３０】
要求するプロセスから、ドメインネーム解決要求を受信することと、
前記ドメインネーム解決要求に含まれるドメインネームが、悪質な活動を指し示すものであると決定することと、
前記ドメインネーム解決要求に被監視コンピューティングプロセスまたはデバイスのネットワークアドレスによって応答し、前記要求するプロセスが、相手方サーバの代わりに、前記被監視コンピューティングプロセスまたはデバイスと通信することを引き起こすことと
を含むコンピュータ実装方法。
【請求項３１】
前記受信することは、前記ドメインネーム解決要求を、前記要求するプロセスを実装するデバイスまたはエンティティに関連付けられるドメインネームサーバからリダイレクトすることを含むことを特徴とする請求項３０に記載の方法。
【請求項３２】
前記決定することは、前記ドメインネームが、知られている悪質または不審なドメインのリストに含まれるかどうかを決定することを含むことを特徴とする請求項３０に記載の方法。
【請求項３３】
前記決定することは、前記ドメインネームが、見慣れない、特定の地理的位置に関連付けられる、または、特定のエンティティに関連付けられると決定することを含むことを特徴とする請求項３０に記載の方法。
【請求項３４】
前記被監視コンピューティングプロセスまたはデバイスは、前記要求するプロセスに対して、相手方コマンドおよび制御システム、または、相手方秘密裏抽出システムに見せかけ、前記要求するプロセスは、攻撃の一部であるか、または、前記相手方コマンドおよび制御システムへの前記要求するプロセスの通信を傍受することを特徴とする請求項３０に記載の方法。
【請求項３５】
前記被監視コンピューティングプロセスまたはデバイスは、前記要求するプロセスからの前記通信を復号することを特徴とする請求項３０に記載の方法。
【請求項３６】
前記被監視コンピューティングプロセスまたはデバイスは、前記要求するプロセスが前記通信を符号化するための特定のプロトコルを利用していると決定し、復号するための適切な通信プロトコルを選択するか、または、前記特定のプロトコルの習得を試みることを特徴とする請求項３０に記載の方法。
【請求項３７】
セキュリティエージェントまたはユーザの少なくとも１つに、前記要求するプロセスに関連付けられる攻撃により影響を受けるエンティティについて警告することをさらに含むことを特徴とする請求項３０に記載の方法。
【請求項３８】
前記要求するプロセスに関連付けられる攻撃を、被監視コンピューティングプロセスまたはデバイスに遷移させることであって、前記被監視コンピューティングプロセスまたはデバイスは、前記攻撃により影響を受けるコンピューティングデバイスに見せかけることをさらに含むことを特徴とする請求項３０に記載の方法。
【請求項３９】
１または複数のプロセッサと、
悪質な活動に関連付けられる休止ドメインネームのリポジトリと、
前記１または複数のプロセッサにより動作させられ、前記リポジトリに含まれるドメインネームのネーム解決または登録に対する変化を監視するように構成された監視モジュールと、
前記１または複数のプロセッサにより動作させられ、前記検出された変化に基づいて、セキュリティデバイスまたはエージェント構成を更新すること、もしくは、セキュリティサービスユーザに警告することの少なくとも１つを遂行するように構成された応答モジュールと
を備えたシステム。
【請求項４０】
前記変化を監視することは、前記休止ドメインネームを継続的または周期的に解決して、それらのネーム解決が変化したかどうかを決定することを含むことを特徴とする請求項３９に記載のシステム。
【請求項４１】
ローカルネットワークアドレスへ解決するドメインネーム、ルーティング不可能なネットワークアドレスへ解決するドメインネーム、または、解決することに失敗したドメインネームを識別し、前記ドメインネームが悪質な活動に関連付けられるか確認し、前記確認に少なくとも部分的に基づいて、前記ドメインネームを前記リポジトリに追加する検出モジュールをさらに備えたことを特徴とする請求項３９に記載のシステム。
【請求項４２】
被監視コンピューティングプロセスまたはデバイスを前記休止ドメインネームの１つに関連付け、前記休止ドメインネームがアクティブになることへの応答で、今アクティブなドメインネームを特定するドメインネーム解決要求に、前記被監視コンピューティングプロセスまたはデバイスのネットワークアドレスによって応答する欺きモジュールをさらに備えたことを特徴とする請求項３９に記載のシステム。
【発明の詳細な説明】
【背景技術】
【０００１】
（関連出願）
本特許出願は、本明細書に参照により完全に組み込まれている、２０１３年３月４日に出願された、米国特許出願第１３／７８４，７２０号の、「Ｄｅｃｅｐｔｉｏｎ−Ｂａｓｅｄ  Ｒｅｓｐｏｎｓｅｓ  ｔｏ  Ｓｅｃｕｒｉｔｙ  Ａｔｔａｃｋｓ」と表題を付けられた米国特許出願についての優先権を主張する。
【０００２】
インターネットの使用が、日常生活のますます大きな部分を形成するようになり、システム資源、データ、および、個人情報を盗取または破壊するセキュリティエクスプロイトは、深刻化する問題である。政府および会社は、これらのセキュリティエクスプロイトに関連する侵入および窃盗を防止することに相当な資源を充てている。セキュリティの脅威は、コンピュータウィルス、ワーム、トロイの木馬、スパイウェア、キーストロークロガー、アドウェア、および、ルートキットなどの多くの形で生じる。これらの脅威は典型的には、ソフトウェア内の特定の脆弱性に対する攻撃の武器化であるセキュリティエクスプロイトを用いる。これらの脅威は、スピアフィッシュ電子メール、クリッカブルリンク、ドキュメント、実行可能ファイル、もしくは、アーカイブなどの、いくつかの機構で、または、それらの機構によって送り届けられる。セキュリティエクスプロイトによりもたらされる脅威の一部は、サイバーテロまたは産業スパイ活動と説明されるような深刻なものである。
【０００３】
これらのセキュリティエクスプロイトによりもたらされる脅威に対処するために、ウィルス対策ソフトウェアなどの多くのセキュリティソリューションが開発されてきた。典型的にはこれらのソリューションは、コンピューティングデバイスをスキャンし、デバイスがセキュリティ脅威により影響を受けるかどうかを決定し、セキュリティ脅威をブロックする、または取り除く。ブロックすること、および取り除くことは、即時の脅威を抑止するが、それらは、セキュリティの脆弱性を調達する相手方が打ち勝つには容易なものである。影響を受けるユーザは、相手方による将来の侵入および窃盗を防止するためのステップをとるのではなく、常に１ステップ遅れ、常に相手方によりとられるアクションに反応する状態にされたままである。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】米国特許出願第１３／４９２，６７２号明細書
【図面の簡単な説明】
【０００５】
詳細な説明が、添付の図面への参照とともに説明される。図面では、参照番号の最も左のアラビア数字は、参照番号が第１に現れる図面を識別する。異なる図での同じ参照番号の使用は、同様または同一の、項目または特徴を示す。
【図１】セキュリティサービスをクライアントデバイスに接続する例示のネットワークを示す図であり、セキュリティサービスは、クライアントデバイスに影響を与える攻撃に応答するための、欺きに基づく技法を提供する。
【図２】攻撃を、当該攻撃により影響を受けるコンピューティングデバイスに見せかける被監視デバイスに遷移させ、攻撃が、被監視デバイスから欺きの情報を取得することを可能にするための例示のプロセスを示す図である。
【図３】ドキュメントを、当該ドキュメントをオープンするエンティティの識別する情報を報告するように構成して、権限のないエンティティがドキュメントの所有の状態にあるかどうかの決定を可能にするための例示のプロセスを示す図である。
【図４】ドメインネーム要求で特定されるドメインが、悪質な活動に関連付けられると決定し、要求に、被監視デバイスのネットワークアドレスによって応答して、要求するプロセスが、相手方サーバの代わりに被監視デバイスと通信することを引き起こすための例示のプロセスを示す図である。
【図５】悪質な活動に関連付けられる休止ドメインネームを監視し、変化に応じて、警告または構成更新によって対応するための例示のプロセスを示す図である。
【図６】セキュリティサービスデバイス、クライアントデバイス、または、被監視デバイスとして動作する能力があるコンピューティングデバイスのコンポーネントレベルの視図を示す図である。
【発明を実施するための形態】
【０００６】
（概観）
本開示は、部分的には、攻撃に応答するための、欺きに基づく技法を説明する。技法は、攻撃を、当該攻撃により影響を受けるコンピューティングデバイスに見せかけている、被監視コンピューティングプロセスまたはデバイス（本明細書では「被監視デバイス」と称する）に遷移させることと、攻撃に関連付けられる相手方が、被監視デバイスから欺きの情報を取得することを可能にすることとを含む。技法はさらに、ドキュメントを、権限のないエンティティが当該ドキュメントをオープンするときに、識別する情報を報告するように構成することにより、攻撃に関連付けられる相手方を識別することを含む。さらに技法は、ドメインネーム要求で特定されるドメインが、悪質な活動に関連付けられると決定することと、要求に、被監視コンピューティングプロセスまたはデバイス（本明細書では「被監視サーバ」または「被監視デバイス」と称する）のネットワークアドレスによって応答して、要求するプロセスが、相手方サーバの代わりに、被監視サーバと通信することを引き起こすこととを含む。追加的に、技法は、悪質な活動に関連付けられる休止ドメインネームを監視することと、ネーム解決または登録での変化への応答で、警告または構成更新によって応答することとを含む。
【０００７】
様々な実施形態では、セキュリティサービスは、欺きに基づく技法の任意の１または複数を実装し、または可能にし得る。技法の第１のセットでは、セキュリティサービスは、被監視デバイスを利用して、攻撃を実行させ、監視し、それらの攻撃を使用して、欺きの情報を相手方に提供し得る。相手方はそれにより、攻撃がブロックされたということに気付くことなく、欺きの情報を基に動いて時間および労力を費やし得る。したがって、将来の攻撃は、攻撃される側が攻撃者に対して有利さを得るので抑制される。
【０００８】
攻撃を第１に検出するとき、セキュリティエージェントまたはセキュリティサービスは、影響を受けるデバイスによる攻撃の処理をブロックし得る。セキュリティサービスは次いで、攻撃を、被監視デバイスに遷移させ、その被監視デバイス上の攻撃を処理する。被監視デバイスは、影響を受けるコンピューティングデバイスに見せかけるものであり、もっともらしい見せかけを可能にするために、影響を受けるコンピューティングデバイスの仮想イメージによって構成される。セキュリティサービスは次いで、攻撃の活動および通信を監視し、監視から得られる情報を使用して、欺き能力およびセキュリティエージェント構成を改善する。セキュリティサービスはさらには、影響を受けるコンピューティングデバイスに関連付けられるエンティティが、被監視デバイス上に含まれることになる欺きの情報を提供することを可能にする。例えば相手方が、エンティティの交渉戦略を不正に入手することを試行する、会社取引に対する交渉相手であるならば、エンティティは、被監視デバイス上で含むための偽の戦略を提供し得る。
【０００９】
技法の第２のセットでは、セキュリティサービスは、ビーコンを使用して、相手方を識別し、したがって、欺きの情報のより良好な対象設定（targeting）を可能にする。セキュリティサービスは、実行可能命令をドキュメントに埋め込み、それは、ドキュメントが、オープンされるときにセキュリティサービスに識別する情報を報告することを引き起こす。セキュリティサービスはさらには、または代わりに、リンクをドキュメントに埋め込み得、それは、（例えば、ドキュメントがオープンされ、リンクがクリックされるときに）被監視ネットワークアドレスへの要求を引き起こす。セキュリティサービスは次いで、被監視ネットワークアドレスへの報告または要求を受信し、そこから、オープナー（opener）が、権限のない相手方であるかどうかを決定し、地理的位置などの相手方の特性を決定することが可能である。これらの特性は、より良好な欺きの情報、または、よりもっともらしい被監視デバイスもしくは被監視サーバを精巧に作り上げるために使用され得る。セキュリティサービスはさらには、ユーザもしくはセキュリティエージェントプログラムに、権限のない所有について警告し、または、セキュリティエージェントプログラム構成を更新し得る。
【００１０】
技法の第３のセットでは、セキュリティサービスは、ドメインネーム解決要求内の不審なドメインネームの攻撃の特定によって、攻撃の存在を検出する。それに応じて、セキュリティサービスは、要求に、被監視サーバのネットワークアドレスによって応答することにより、攻撃に関連付けられる相手方を欺き、被監視サーバは、相手方サーバに見せかける。被監視サーバは次いで、攻撃から情報を集め、その情報は、被監視デバイスによって利用可能にされる欺きの情報を改善するなど、他の欺き技法の有効性を高めるために利用され得る。さらには、セキュリティサービスは、セキュリティエージェントまたはユーザの少なくとも１つに、攻撃により影響を受けるエンティティについて警告し得る。一部の実施形態では、セキュリティサービスは次いで、攻撃を、被監視デバイスに遷移させ、欺き技法の上記で説明された第１のセットを遂行し得る。
【００１１】
技法の第４のセットでは、セキュリティサービスは、悪質な活動との接続の状態で以前に使用された休止ドメインネームを監視する。ネーム解決または登録での変化についてドメインネームを監視することにより、セキュリティサービスは、攻撃がこれらの被監視ドメインネームの１つを利用するときに、使用する準備が整っている被監視デバイスまたは被監視サーバを有して用意され得る。そのような技法によって、セキュリティサービスはさらには、他の休止ドメインを検出し、それらを監視すること、または、警告もしくは構成更新を提供することにより、ネーム解決もしくは登録での変化に応答することなどの、追加的なアクションを遂行し得る。
【００１２】
（例示のネットワーク）
図１は、セキュリティサービスをクライアントデバイスに接続する例示のネットワークを示し、セキュリティサービスは、クライアントデバイスに影響を及ぼす攻撃に応答するための、欺きに基づく技法を提供する。図１で示されるようにネットワーク１０２は、クライアントネットワーク１０６のクライアントデバイス１０４を、セキュリティサービスネットワーク１１０のセキュリティサービス１０８に接続する。セキュリティサービス１０８は、クライアントデバイス１０４をセキュリティエージェント１１２によって構成し得、セキュリティエージェント１１２は、クライアントデバイス１０４の１または複数に向けられる相手方１１６の攻撃１１４を検出する能力がある。応答で、セキュリティサービス１０８は、攻撃を、クライアントネットワーク１０６に含まれる被監視デバイス１１８、または、セキュリティサービスネットワーク１１０に含まれる被監視デバイス１２０に遷移させ得る。被監視デバイス１１８／１２０は、攻撃が向けられるクライアントデバイス１０４に見せかけ得、そのクライアントデバイス１０４の仮想イメージによって構成され得る。被監視デバイス１１８／１２０はさらには、攻撃１１４が取得し相手方１１６に提供するための欺きの情報１２２を含み得る。攻撃１１４は、欺きの情報１２２を、相手方１１６のコマンドおよび制御（Ｃ２）サーバ１２４、または、相手方１１６の秘密裏抽出（exfiltration）サーバ１２６の、１つまたは両方に提供し得る。一部の実施形態では、セキュリティサービス１０８はさらには、攻撃１１４によりされるリダイレクションドメインネーム解決要求を受信し得、クライアントネットワーク１０６に含まれる被監視サーバ１２８、または、セキュリティサービスネットワーク１１０に含まれる被監視サーバ１３０を識別することにより要求に応答し得、被監視サーバ１２８／１３０は、攻撃１１４に対してＣ２サーバ１２４または秘密裏抽出サーバ１２６に見せかける。
【００１３】
様々な実施形態では、セキュリティサービス１０８のデバイスは、セキュリティサービス１０８が、本明細書で説明される動作を遂行することを可能にする、モジュールおよびデータ１３２〜１４６を含み得る。これらのモジュールおよびデータ１３２〜１４６は、監視モジュール１３２、欺きモジュール１３４、ビーコンモジュール１３６、ドメインネームサービス（ＤＮＳ）リダイレクションモジュール１３８、休止ドメインリポジトリ１４０、応答モジュール１４２、分析モジュール１４４、および、構成モジュール１４６を含む。
【００１４】
一部の実施形態では、ネットワーク１０２、クライアントネットワーク１０６、および、セキュリティサービスネットワーク１１０は各々、ワイヤードネットワーク、無線ネットワーク、ならびに、ワイヤードネットワークおよび無線ネットワークの組み合わせなどの、任意の１または複数のネットワークを含み得る。さらにネットワーク１０２、クライアントネットワーク１０６、および、セキュリティサービスネットワーク１１０は、複数の異なる型の公衆またはプライベートネットワーク（例えば、ケーブルネットワーク、インターネット、無線ネットワーク、その他）の、任意の１つまたは組み合わせを含み得る。例えばネットワーク１０２は、公衆ネットワークであり得、クライアントネットワーク１０６、および、セキュリティサービスネットワーク１１０は各々、プライベートネットワークであり得る。一部の実例ではコンピューティングデバイスは、セキュアプロトコル（例えば、ｈｔｔｐｓ）、および／または、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）などの、任意の他のプロトコルもしくはプロトコルのセットを使用して、ネットワーク１０２、クライアントネットワーク１０６、および、セキュリティサービスネットワーク１１０によって通信する。さらに、クライアントネットワーク１０６、および、セキュリティサービスネットワーク１１０の各々は、ＩＰアドレスなどのネットワークアドレスのブロックを割り当てられ得る。
【００１５】
様々な実施形態では、クライアントデバイス１０４、セキュリティサービス１０８のコンピューティングデバイス、被監視デバイス１１８／１２０、および、被監視サーバ１２８／１３０は各々、サーバもしくはサーバファーム、複数の分散されたサーバファーム、メインフレーム、ワークステーション、パーソナルコンピュータ（ＰＣ）、ラップトップコンピュータ、タブレットコンピュータ、パーソナルデジタルアシスタント（ＰＤＡ）、セルラー電話、メディアセンタ、埋め込まれるシステム、または、任意の他の種類のデバイスもしくは複数のデバイスであり、あるいは、それらを含み得る。一実装形態では、セキュリティサービス１０８のコンピューティングデバイスは、ノードのクラウドコンピューティングネットワークなどの、通信の状態で動く複数のコンピューティングデバイスを表す。複数のコンピューティングデバイス上で実装される場合、セキュリティサービス１０８は、セキュリティサービス１０８のモジュールおよびデータ１３２〜１４６を、複数のコンピューティングデバイスの間で分散し得る。一部の実装形態では、クライアントデバイス１０４、セキュリティサービス１０８のコンピューティングデバイス、被監視デバイス１１８／１２０、および、被監視サーバ１２８／１３０の１または複数は、１または複数のコンピューティングデバイス上で実装される、１または複数の仮想マシンを表す。クライアントデバイス１０４、セキュリティサービス１０８のコンピューティングデバイス、被監視デバイス１１８／１２０、または、被監視サーバ１２８／１３０としてサービングする能力がある例示のコンピューティングデバイスが、図６で示され、その図への参照とともに下記で説明される。
【００１６】
様々な実施形態では、クライアントデバイス１０４およびクライアントネットワーク１０６は、会社、政府、もしくは他の組織などのエンティティに関連付けられ得、または、単一のユーザもしくはユーザのグループに関連付けられ得る。そのエンティティまたはそれらのユーザは、セキュリティサービス１０８によるセキュリティサービスに対して加入し得、そのセキュリティサービス１０８は、エンティティ／ユーザのクライアントデバイス１０４上の活動を監視し得る。一部の実施形態では、その監視は、セキュリティエージェント１１２をクライアントデバイス１０４上にインストールして、クライアントデバイス１０４の実行活動を監視し、それらの活動に関してセキュリティサービス１０８に報告することを必然的に含み得る。他の実施形態ではセキュリティサービス１０８は、代わりに、セキュリティサービススキャナからクライアントデバイス１０４をスキャンすることに依拠し、または、攻撃を検出し、それらをセキュリティサービス１０８に通信するための、第３者セキュリティ製品もしくはサービスに依拠し得る。
【００１７】
各々のクライアントデバイス１０４は、上記で説明されたように、任意の種類のコンピューティングデバイスであり得る。各々のクライアントデバイス１０４は、オペレーティングシステム、アプリケーション、フォルダ、ファイル、および、デスクトップスクリーンによって構成され得る。さらに各々のクライアントデバイス１０４は、そのクライアントデバイス１０４のユーザのユーザ名、クライアントデバイス１０４のマシン名、オペレーティングシステムバージョン、デスクトップスクリーン、フォルダ名、プリロードされるファイル、および、コンピュータファームウェアバージョンに関連付けられ得る。
【００１８】
一部の実施形態ではセキュリティエージェント１１２は、その対応するクライアントデバイス１０４の実行活動を観測し、それらの実行活動を基に動作する、カーネルレベルセキュリティエージェントであり得る。セキュリティエージェント１１２は、セキュリティサービス１０８により、作動の間に、セキュリティエージェント１１２のフィルタ、コンポーネント、モデル、その他の再構成を、受信および適用して構成可能であり得る。観測される実行活動に基づいて、セキュリティエージェント１１２はセキュリティ情報を生成し得、セキュリティエージェント１１２は、そのセキュリティ情報を基に動作し、および／または、そのセキュリティ情報をセキュリティサービス１０８に提供し得る。例示のセキュリティエージェント１１２は、「Ｋｅｒｎｅｌ−Ｌｅｖｅｌ  Ｓｅｃｕｒｉｔｙ  Ａｇｅｎｔ」と表題を付けられ、２０１２年６月８日に出願された特許文献１で、より詳細に説明されている。
【００１９】
述べられたように攻撃１１４は、クライアントデバイス１０４に向けられ得る。そのような攻撃１１４は、コンピュータウィルス、ワーム、トロイの木馬、スパイウェア、キーストロークロガー、アドウェア、および、ルートキットなどの多くの形式で生じる。これらの攻撃１１４は、スピアフィッシュ電子メール、クリッカブルリンク、ウェブサイト、ドライブバイエクスプロイト、ＱＲコード（登録商標）、ニアフィールド通信（ＮＦＣ）トリガされるリンク、ドキュメント、実行可能ファイル、取り外し可能ドライブ、もしくは、アーカイブなどの、いくつかの機構で、または、それらの機構によって送り届けられる。攻撃１１４は、セキュリティエージェント１１２または他のセキュリティ機構により検出され得、さらなる処理からブロックまたは停止され得る。本明細書でさらに述べられるように、攻撃１１４は次いで、セキュリティサービス１０８により、被監視デバイス１１８／１２０に遷移させられ得る。
【００２０】
様々な実施形態ではセキュリティサービス１０８は、カーネルレベルセキュリティエージェント１１２の維持および構成、脅威モデリング、ならびに／または、矯正などの、クライアントエンティティへの情報セキュリティサービスの提供者であり得る。一部の実施形態では、セキュリティサービス１０８はさらには、ソーシャルの側面をセキュリティサービスに提供し得、それらのクライアントエンティティのグループを形成し、グループを組成するクライアントエンティティ１０４の間でセキュリティ情報を自動的に共有する。
【００２１】
追加で、上記でいくらか詳細に説明されたように、セキュリティサービス１０８は、いくつかの欺き技法の任意のものを実装して、攻撃１１４に応答する。モジュールおよびデータ１３２〜１４６、被監視デバイス１１８／１２０、ならびに、被監視サーバ１２８／１３０は、これらの技法を履行するためにセキュリティサービス１０８により動作させられ、使用され得る。
【００２２】
様々な実施形態では監視モジュール１３２は、いくつかの技法に関連付けられる動作を監視することを遂行するように構成され得る。例えば、上記で説明された欺き技法の第１のセットに関連付けられる場合、監視モジュール１３２は、クライアントデバイス１０４上の攻撃１１４の存在もしくは動作を検出するように、または、攻撃１１４の存在もしくは動作の、セキュリティエージェント１１２からの自動化された、もしくは手動の通知を受信するように構成され得る。一実施形態では、自動化された、または手動の通知を受信することは、攻撃を、攻撃が提出された情報共有システムまたはポータルから索出することを含み得る。情報共有システムまたはポータルは、攻撃を、クライアントデバイス１０４に関連付けられるエンティティとは異なる別のエンティティから受信していた場合がある。一部の実施形態では攻撃１１４は、電子メールに（例えば、リンクまたは添付物として）含まれ得、クライアントデバイス１０４のユーザは、電子メールをセキュリティサービス１０８に転送し得る。検出、または受信される通告への応答で、監視モジュール１３２は欺きモジュール１３４を呼び出し得る。
【００２３】
欺きモジュール１３４は、いくつかのアクションをとって、攻撃１１４を抑止し得る。第１に欺きモジュール１３４は、影響を受けるクライアントデバイス１０４による攻撃１１４の処理をブロックし得る（または、さらなる処理を中止し得る）。一部の実施形態では、しかしながら、そのようなブロックまたは中止することは、セキュリティエージェント１１２により達成され得、欺きモジュール１３４を必然的に含む必要はない。
【００２４】
欺きモジュール１３４は次いで、クライアントネットワーク１０６上のデバイスを、被監視デバイス１１８として、または、セキュリティサービスネットワーク１１０上のデバイスを、被監視デバイス１２０として構成し得る。デバイスを構成するために、セキュリティサービス１０８は、クライアントデバイス１０４の仮想イメージを捕捉および適用し得る。一部の実施形態では、被監視デバイス１１８は、（例えば、隔離されたサンドボックスとして）クライアントデバイス１０４の仮想マシンまたはパーティションで実装され得る。そのような仮想イメージは、クライアントデバイス１０４の、そのユーザ名、マシン名、オペレーティングシステムバージョン、デスクトップスクリーン、フォルダ名、プリロードされるファイル、または、コンピュータファームウェアバージョンなどの、いくつかの属性を含み得る。他の実施形態ではセキュリティサービス１０８は、この情報を、仮想イメージを捕捉することよりむしろ、クライアントデバイス１０４のユーザから受信し得る。セキュリティサービスネットワーク１１０上のデバイスを構成する場合、欺きモジュールは、境界ゲートウェイプロトコル（ＢＧＰ）を利用して、被監視デバイス１２０に割り当てられるクライアントネットワーク１０６に関連付けられるＩＰアドレスを有し得、そのことにより、被監視デバイス１２０が、クライアントネットワーク１０６のデバイスに、もっともらしく見せかけることが可能になる。デバイスを、被監視デバイス１１８／１２０を創出するように構成した後、欺きモジュール１３４は、攻撃１１４を、クライアントデバイス１０４から、被監視デバイス１１８／１２０に遷移させ得、被監視デバイス１１８／１２０上の攻撃１１４を処理し得る。
【００２５】
被監視デバイス１１８／１２０上の攻撃１１４を処理することにより、欺きモジュール１３４は、攻撃活動の監視、および、相手方１１６の欺きを可能にする。一部の実施形態では監視モジュール１３２は、攻撃１１４の活動を、それが実行する際に監視し得る。例えば監視モジュール１３２は、相手方により発行されるコマンドおよびイベントを監視し、または、被監視デバイス１１８／１２０のネットワーク活動、ファイル活動、プロセス活動、実行活動、レジストリ活動、オペレーティングシステム活動、ファームウェア更新、カーネル拡張、もしくは、ロードされるドライバを監視し得る。発行されるコマンドおよびイベントは、キーストローク、マウス活動、または、コマンドラインインターフェース活動を含み得る。さらに監視モジュール１３２は、攻撃１１４から相手方１１６への通信を傍受および復号し得る。監視モジュール１３２は、通信が使用しているプロトコルを決定することにより通信を復号し得る。プロトコルが見慣れたものでないならば、監視モジュール１３２は、分析モジュール１４４を呼び出して、傍受される通信を処理し、使用されるプロトコルを決定し得る。
【００２６】
一部の実施形態では監視モジュール１３２は、応答モジュール１４２をさらに呼び出して、警告をセキュリティエージェント１１２に提供し、または、人間が利用可能な情報（human-consumable intelligence）をクライアントエンティティ／ユーザに提供し得る。代替的にまたは追加的に、監視モジュール１３２または応答モジュール１４２は、構成モジュール１４６を呼び出して、セキュリティエージェント１１２を、攻撃１１４に対処するように再構成し得る。再構成は、監視モジュール１３２により捕捉される攻撃１１４の活動に基づき得る。一部の実施形態では構成モジュール１４６は、いくつかの被監視デバイス１１８／１２０から受信される攻撃活動情報を相関させ、これらの相関を、セキュリティエージェント１１２を再構成する際に使用し得る。一部の実施形態では、異なる被監視デバイスが、異なるエンティティに関連付けられ得る。
【００２７】
監視モジュール１３２が攻撃１１４の活動を監視する一方で、欺きモジュール１３４は、アクションをとって、相手方１１６を欺く。第１に欺きモジュール１３４は、被監視デバイス１１８／１２０を、例えば、ブラウザウィンドウをオープンすること、キーストロークを生成すること、その他により、ユーザ活動を模倣するように構成し得る。ユーザ活動を模倣することにより、被監視デバイス１１８／１２０は、その見せかけが、相手方１１６に対してもっともらしくなるということを確実にする。
【００２８】
クライアントデバイス１０４を、ユーザ活動を模倣するように構成することへの追加で、欺きモジュール１３４は、クライアントエンティティ／ユーザが、欺きの情報１２２を、被監視デバイス１１８／１２０上にロードすることを可能にする。上記で述べられたように相手方１１６は、スパイ活動に関与させられる競合者または敵であり得、欺きの情報１２２は、本物の情報に見せかけ得、相手方１１６が、欺きの情報１２２を分析して時間および労力を浪費することを引き起こす。欺きモジュール１３４はさらには、攻撃１１４が、欺きの情報１２２を取得すること、および、欺きの情報１２２を相手方１１６に提供することを可能にする。
【００２９】
一部の実施形態では欺きモジュール１３４は、被監視デバイス１１８／１２０、および、関連付けられる欺きを、時間の拡張される期間（例えば、週、月、または、年）にわたって維持し、新しい欺きの情報を相手方１１６に、その攻撃１１４を通して、拡張される期間の全体を通して供給し得る。
【００３０】
様々な実施形態ではビーコンモジュール１３６は、監視モジュール１３２および欺きモジュール１３４とは独立して動作し得る。ドキュメントがクライアントデバイス１０４上で創出されるとき、ビーコンモジュール１３６は、ドキュメントを、当該ドキュメントをオープンするデバイスの識別する情報を報告するように構成し得る。そのような識別する情報は、ネットワークアドレス、地理的位置、汎用一意識別子（ＵＵＩＤ）、ドメイン情報、または、導出される／アップストリームネットワークデータの少なくとも１つを含み得る。導出される／アップストリームネットワークデータは、アップストリームルータネットワークアドレス、ネットワークアドレス変換（ＮＡＴ）データ、その他を含み得る。ビーコンモジュール１３６は、この構成を、ドキュメントがオープンされるときにセキュリティサービス１０８への接続をオープンする実行可能命令をドキュメントに埋め込むことにより実現し得る。代替的に、ビーコンモジュール１３６は、この構成を、被監視ネットワークアドレスに要求が提出されることを引き起こすリンクをドキュメントに埋め込むことにより実現し得る。一部の実施形態では実行可能命令は、予期されるネットワークアドレスの範囲もしくは複数のネットワークアドレス、および、予期される地理的位置または地理的位置の範囲などの、予期される識別する情報を特定し得る。そのような実施形態ではドキュメントは、ドキュメントオープナーの決定されるネットワークアドレスまたは地理的位置が、予期されるアドレス／位置とは異なるときに、セキュリティサービス１０８への接続を確立する、または、被監視ネットワークアドレスに要求が提出されることを引き起こすのみであり得る。他の実施形態では、ビーコンモジュール１３６がクライアントデバイス１０４のドキュメントを構成することよりむしろ、セキュリティエージェント１１２が、構成することを遂行し得る。
【００３１】
さらなる実施形態ではビーコンモジュール１３６は、被監視ネットワークアドレスにドキュメントから送出される報告または要求を受信し、それに応じて、相手方１１６、または何らかの他の権限のないエンティティ／ユーザが、ドキュメントの所有の状態にあるかどうかを決定し得る。ビーコンモジュール１３６は、この決定を、予期されるネットワークアドレス、もしくは、ネットワークアドレスの予期される範囲などの予期される識別する情報に基づいて、または、予期される地理的位置に基づいて遂行し得る。そのような予期される情報は、クライアントエンティティ／ユーザから、セキュリティサービス１０８への登録の時間に受信され得、または、セキュリティエージェント１１２から受信され得る。
【００３２】
一部の実施形態では、ドキュメントが、相手方１１６、または別の権限のないエンティティにより所有されると決定されるとき、ビーコンモジュール１３６は、応答モジュール１４２を呼び出して、警告をセキュリティエージェント１１２に提供し、または、人間が利用可能な情報をクライアントエンティティ／ユーザに提供し得る。代替的にまたは追加的に、ビーコンモジュール１３６または応答モジュール１４２は、構成モジュール１４６を呼び出して、セキュリティエージェント１１２を、ドキュメントの秘密裏抽出に対処するように再構成し得る。
【００３３】
様々な実施形態ではＤＮＳリダイレクトモジュール１３８は、ビーコンモジュール１３６とは独立して動作し得る。ＤＮＳリダイレクトモジュール１３８は、クライアントネットワーク１０６のＤＮＳサーバを、ＤＮＳリダイレクトモジュール１３８をより高いレベルＤＮＳとして扱うように、および、ドメインネーム解決要求をＤＮＳリダイレクトモジュール１３８にリダイレクトするように構成し得る。ＤＮＳリダイレクトモジュール１３８は次いで、ドメインネーム解決要求を受信し、分析モジュール１４４を呼び出して、ドメインネーム解決要求に含まれるドメインネームが、悪質な活動に関連付けられるかどうかを決定し得る。一部の実施形態では分析モジュール１４４は、ドメインネームが、知られている悪質または不審なドメインのリストに含まれるかどうかを決定することにより、決定をする。分析モジュール１４４はさらには、または代わりに、ドメインネームが、見慣れない、または、特定の地理的位置（例えば、知られている相手方１１６、または、相手方１１６のクラスもしくはグループの知られている地理的位置）に関連付けられると決定し得る。
【００３４】
一部の実施形態では、分析モジュール１４４が、ＤＮＳリダイレクトモジュール１３８に、ドメインネームが悪質な活動に関連付けられるということを告知するとき、ＤＮＳリダイレクトモジュール１３８は、欺きモジュール１３４を呼び出して、クライアントネットワーク１０６内のデバイスを、被監視サーバ１２８として、または、セキュリティサービスネットワーク１１０内のデバイスを、被監視サーバ１３０として構成する。被監視サーバ１２８／１３０は、相手方１１６のＣ２サーバ１２４または秘密裏抽出サーバ１２６に見せかけ得る。見せかけをもっともらしくするために、欺きモジュール１３４は、被監視サーバ１２８／１３０を、ドメインネーム解決要求をした攻撃１１４からの通信を復号する際に使用され得る、複数の相手方プロトコルによって構成し得る。ＤＮＳリダイレクトモジュール１３８は次いで、ドメインネーム解決要求に、被監視サーバ１２８／１３０のネットワークアドレスによって応答して、ドメインネーム解決要求をした攻撃１１４が、被監視サーバ１２８／１３０と通信することを引き起こし得る。
【００３５】
さらなる実施形態ではＤＮＳリダイレクトモジュール１３８は、応答モジュール１４２を呼び出して、警告をセキュリティエージェント１１２に提供し、または、人間が利用可能な情報をクライアントエンティティ／ユーザに提供し得る。代替的に、または追加的に、ＤＮＳリダイレクトモジュール１３８または応答モジュール１４２は、構成モジュール１４６を呼び出して、セキュリティエージェント１１２を、ドキュメントの秘密裏抽出に対処するように再構成し得る。
【００３６】
追加的に一部の実施形態では、ＤＮＳリダイレクトモジュール１３８は、欺きモジュールを呼び出して、被監視デバイス１１８／１２０を構成し、攻撃１１４を、被監視デバイス１１８／１２０に遷移させ得る。そのような遷移させることは、攻撃１１４が、何らかの期間に、被監視サーバ１２８／１３０と通信した後に起こり得る。
【００３７】
様々な実施形態では休止ドメインネームリポジトリ１４０は、悪質な活動に以前に関連付けられた休止ドメインネームのリポジトリであり得る。セキュリティサービス１０８は、悪質な活動に以前に関連付けられた休止ドメインネームの他の利用可能なリポジトリから、不審な休止ドメインネームが検出される際に休止ドメインネームリポジトリ１４０を構築することにより、または、両方の何らかの組み合わせで、休止ドメインネームリポジトリ１４０を創出し得る。セキュリティエージェント１１２は、不審な休止ドメインネームとして、任意のローカルに解決するドメインネーム（例えば、ネットワークアドレス１２７．０．０．１へ解決する）、または、任意の解決不可能なドメインネームを識別するように構成され得る。セキュリティエージェント１１２は、セキュリティサービス１０８にこれらを告知し得、セキュリティサービス１０８は、それらを、休止ドメインネームリポジトリ１４０に追加し得る。
【００３８】
一部の実施形態では監視モジュール１３２は、休止ドメインネームリポジトリ１４０に含まれるドメインネームのネーム解決または登録に対する変化を監視し得る。監視モジュール１３２は、変化に対するこの監視を、周期的または継続的に遂行し得る。変化を検出することへの応答で、監視モジュール１３２は、応答モジュール１４２をさらに呼び出して、警告をセキュリティエージェント１１２に提供し、または、人間が利用可能な情報をクライアントエンティティ／ユーザに提供し得る。代替的にまたは追加的に、監視モジュール１３２または応答モジュール１４２は、構成モジュール１４６を呼び出して、セキュリティエージェント１１２を、現在アクティブなドメインネームを適切に取り扱うように再構成し得る。
【００３９】
一部の実施形態では、欺きモジュール１３４はさらには、被監視デバイス１１８／１２０、または、被監視サーバ１２８／１３０を、休止ドメインネームリポジトリ１４０内の各々の休止ドメインネームに対して、上記で説明された様式で用意し得る。
【００４０】
一部の実例では、クライアントデバイス１０４、セキュリティサービス１０８、被監視デバイス１１８／１２０、または、被監視サーバ１２８／１３０の、いずれかまたはすべては、図１が示すものへの追加で、特徴または機能性を有し得る。例えば、クライアントデバイス１０４、セキュリティサービス１０８、被監視デバイス１１８／１２０、または、被監視サーバ１２８／１３０の、いずれかまたはすべての内部に在るように説明される、機能性の一部またはすべては、その／それらのデバイスから遠隔に在り得る。
【００４１】
（例示のプロセス）
図２〜５は、例示のプロセス２００、３００、４００、および、５００を示す。これらのプロセスは、論理フローグラフとして示され、それらのグラフの各々の動作は、ハードウェア、ソフトウェア、または、それらの組み合わせで実装され得る動作のシーケンスを表す。ソフトウェアの文脈では、動作は、１または複数のプロセッサにより実行されるときに、記載される動作を遂行する、１または複数のコンピュータ可読記憶媒体上に記憶されるコンピュータ実行可能命令を表す。一般的にはコンピュータ実行可能命令は、個別の機能を遂行する、または、個別の抽象データ型を実装する、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造、および類するものを含む。動作が説明される順序は、制限として解釈されることは意図されず、任意の数の説明される動作が、プロセスを実装するために、任意の順序で、および／または、並列で組み合わされ得る。
【００４２】
図２は、攻撃を、当該攻撃により影響を受けるコンピューティングデバイスに見せかける被監視デバイスに遷移させ、攻撃に関連付けられる相手方が、被監視デバイスから欺きの情報を取得することを可能にするための例示のプロセスを示す。プロセス２００は、２０２において、セキュリティサービスにより、コンピューティングデバイスに向けられる攻撃の、自動化された、または手動の通知を受信することを含む。一部の実施形態では、自動化された、または手動の通知を受信することは、攻撃を、攻撃が提出された情報共有システムまたはポータルから索出することを備え得る。攻撃は、スピアフィッシュ電子メール、クリッカブルリンク、ウェブサイト、ドライブバイエクスプロイト、ＱＲコード、ニアフィールド通信（ＮＦＣ）トリガされるリンク、ドキュメント、実行可能ファイル、取り外し可能ドライブ、または、アーカイブの１つであり得る。さらに通知は、攻撃を転送するユーザから、または、コンピューティングデバイスを監視するセキュリティエージェントから受信され得る。
【００４３】
２０４において、セキュリティサービスは、攻撃の標的とされるコンピューティングデバイスによる攻撃の処理をブロックする。
【００４４】
２０６において、セキュリティサービスは、攻撃を被監視デバイスに遷移させ、被監視デバイスは、攻撃に関連付けられる相手方に対して、影響を受けるコンピューティングデバイスに見せかけるように構成される。被監視デバイスは、コンピューティングデバイスの仮想イメージによって構成される物理マシンまたは仮想マシンであり得る。仮想イメージは、影響を受けるコンピューティングデバイスに関連付けられる、ユーザ名、マシン名、オペレーティングシステムバージョン、デスクトップスクリーン、フォルダ名、プリロードされるファイル、または、コンピュータファームウェアバージョンの、少なくとも１または複数を含み得る。さらには被監視デバイスは、影響を受けるコンピューティングデバイスに関連付けられるエンティティのネットワーク上に配置され、または、セキュリティサービスにより遠隔で実装され得る。遠隔で実装されるならば、被監視デバイスは、エンティティに関連付けられるネットワークアドレスを割り当てられ得る。さらに、被監視デバイスは、ユーザ活動を模倣し得る。
【００４５】
２０８において、セキュリティサービスは、被監視デバイス上の攻撃を処理する。攻撃を処理する一方で、セキュリティサービスは、２１０において、相手方により発行されるコマンドおよびイベントを監視し、または、被監視デバイスのネットワーク活動、ファイル活動、プロセス活動、実行活動、レジストリ活動、オペレーティングシステム活動、ファームウェア更新、カーネル拡張、もしくは、ロードされるドライバを監視し得る。発行されるコマンドおよびイベントは、キーストローク、マウス活動、または、コマンドラインインターフェース活動を含み得る。２１２において、セキュリティサービスは、複数の被監視デバイス上の攻撃を監視することから取得される情報を相関させる。２１４において、監視する一方で、セキュリティサービスは、攻撃から相手方システムへの通信を傍受および復号する。２１６において、セキュリティサービスは、影響を受けるデバイス上で実装されるセキュリティエージェントの構成を、少なくとも部分的に監視に基づいて更新し、または、人間が利用可能な情報を提供する。
【００４６】
２１８において、セキュリティサービスは、影響を受けるコンピューティングデバイスに関連付けられるエンティティが、欺きの情報を、その影響を受けるデバイスに見せかける、被監視デバイス上にロードすることを可能にする。２２０において、セキュリティサービスは次いで、攻撃に関連付けられる相手方が、欺きの情報を取得することを可能にし得る。一部の実施形態では、攻撃の監視、および、それが欺きの情報を提供することの可能にすることは、時間の拡張される期間（例えば、週、月、または、年）にわたって生出し得る。２２０において可能にすることを遂行する一方で、セキュリティサービスは、情報（intelligence）を相手方から、相手方のツール、策略、技法、または、手順の少なくとも１つに関して受信し得る。
【００４７】
図３は、ドキュメントを、当該ドキュメントをオープンするエンティティの識別する情報を報告するように構成して、権限のないエンティティがドキュメントの所有の状態にあるかどうかの決定を可能にするための例示のプロセスを示す。プロセス３００は、３０２において、ドキュメントを、当該ドキュメントをオープンするデバイスの識別する情報をセキュリティサービスに報告するように構成することを含む。そのような識別する情報は、ネットワークアドレス、地理的位置、汎用一意識別子（ＵＵＩＤ）、ドメイン情報、または、導出される／アップストリームネットワークデータの少なくとも１つを含み得る。一部の実施形態では、構成することは、実行可能命令をドキュメントに埋め込むことを含む。ドキュメントに埋め込まれる実行可能命令は、セキュリティサービスへの接続をオープンするように、および、報告することを、少なくとも部分的に、識別する情報が、ドキュメントに埋め込まれる識別する情報と異なるかどうかに基づいて遂行するように構成され得る。代替的に、構成することは、被監視ネットワークアドレスに要求が提出されることを引き起こすリンクをドキュメントに埋め込むことを含み得る。
【００４８】
３０４において、セキュリティサービスは、ドキュメントに関連付けられる報告を受信し得、報告は、識別する情報を含む。
【００４９】
３０６において、セキュリティサービスは、識別する情報の少なくとも１つに基づいて、権限のないエンティティがドキュメントの所有の状態にあると決定し得る。
【００５０】
３０８において、セキュリティサービスは、ドキュメントに関連付けられるエンティティに、権限のないエンティティによる所有について警告し得る。
【００５１】
図４は、ドメインネーム要求で特定されるドメインが、悪質な活動に関連付けられると決定し、要求に、被監視サーバのネットワークアドレスによって応答して、要求するプロセスが、相手方サーバの代わりに、被監視サーバと通信することを引き起こすための例示のプロセスを示す。プロセス４００は、４０２において、ドメインネーム解決要求を提出したプロセスを実装するデバイスまたはエンティティに関連付けられるドメインネームサーバからのドメインネーム解決要求をリダイレクトすることを含む。
【００５２】
４０４において、セキュリティサービスは、リダイレクトされたドメインネーム解決要求を受信する。
【００５３】
４０６において、セキュリティサービスは、ドメインネーム解決要求に含まれるドメインネームが、悪質な活動を指し示すものであると決定する。一部の実施形態では決定することは、ドメインネームが、知られている悪質または不審なドメインのリストに含まれるかどうかを決定することを備える。決定することはさらには、または代わりに、ドメインネームが、見慣れない、特定の地理的位置に関連付けられる、または、特定のエンティティに関連付けられると決定することを備え得る。
【００５４】
４０８において、セキュリティサービスは、ドメインネーム解決要求に、被監視サーバのネットワークアドレスによって応答して、要求するプロセスが、相手方サーバの代わりに、被監視サーバと通信することを引き起こす。一部の実施形態では、被監視サーバは、要求するプロセスに対して、相手方コマンドおよび制御システム、または、相手方秘密裏抽出システムに見せかけ、要求するプロセスは攻撃である。さらには被監視サーバは、要求するプロセスからの通信を復号し得る。さらに、被監視サーバは、要求するプロセスが、通信を符号化するために新しいプロトコルを利用していると決定し、通信を分析して、新しいプロトコルを習得し得る。
【００５５】
４１０において、セキュリティサービスは、セキュリティエージェントまたはユーザの少なくとも１つに、要求するプロセスに関連付けられる攻撃により影響を受けるエンティティについて警告する。
【００５６】
４１２において、セキュリティサービスは、要求するプロセスに関連付けられる攻撃を、被監視デバイスに遷移させ、被監視デバイスは、攻撃により影響を受けるコンピューティングデバイスに見せかける。
【００５７】
図５は、悪質な活動に関連付けられる休止ドメインネームを監視し、変化への応答で、警告または構成更新によって応答するための例示のプロセスを示す。プロセス５００は、５０２において、ドメインネームがローカルネットワークアドレスへに解決するかどうか、ドメインネームがルーティング不可能なネットワークアドレスへ解決するかどうか、または、ドメインネームが解決することに失敗するかどうかを識別し、次いで、ドメインネームが、悪質な活動に関連付けられるかどうかを確認することにより、不審なドメインネームを検出して、休止ドメインネームのリポジトリに追加することを含む。悪質な活動に関連付けられる休止ドメインネームは、それにより、リポジトリに追加される。
【００５８】
５０４において、リポジトリに関連付けられるセキュリティサービスは、リポジトリに含まれるドメインネームのネーム解決または登録に対する変化を監視する。監視は、休止ドメインネームを継続的または周期的に解決して、それらのネーム解決が変化したかどうかを決定することを含み得る。
【００５９】
５０６において、セキュリティサービスは、被監視サーバを休止ドメインネームの１つに関連付け、休止ドメインネームがアクティブになることへの応答で、今アクティブなドメインネームを特定するドメインネーム解決要求に、被監視サーバのネットワークアドレスによって応答する。
【００６０】
５０８において、セキュリティサービスは、検出される変化に基づいて、セキュリティエージェント構成を更新すること、または、セキュリティサービスユーザに警告することの少なくとも１つを遂行し得る。
【００６１】
（例示のシステム）
図６は、セキュリティサービスデバイス、クライアントデバイス、被監視デバイス、または、被監視サーバとして動作する能力があるコンピューティングデバイスのコンポーネントレベル視図を示す。図示されるようにコンピューティングデバイス６００は、モジュールおよびデータ６０４を記憶するシステムメモリ６０２を備える。さらには、コンピューティングデバイス６００は、プロセッサ６０６、取り外し可能記憶装置６０８および取り外し不能記憶装置６１０、入力デバイス６１２、出力デバイス６１４、ならびに、他のコンピューティングデバイス６１８と通信するための通信接続６１６を含む。
【００６２】
様々な実施形態ではシステムメモリ６０２は、揮発性（ＲＡＭなど）、不揮発性（ＲＯＭ、フラッシュメモリ、その他など）、または、２つの何らかの組み合わせである。システムメモリ６０２に記憶されるモジュールまたはデータ６０４は、クライアントデバイス１０４、セキュリティサービス１０８、被監視デバイス１１８／１２０、または、被監視サーバ１２８／１３０の動作を遂行するために利用される命令などの、方法、スレッド、プロセス、アプリケーション、または、任意の他の種類の実行可能命令を備え得る。モジュールおよびデータ６０４はさらには、ファイルおよびデータベースを含み得る。
【００６３】
一部の実施形態ではプロセッサ６０６は、中央処理ユニット（ＣＰＵ）、グラフィックス処理ユニット（ＧＰＵ）、または、ＣＰＵおよびＧＰＵの両方、または、当技術分野で知られている他の処理ユニットもしくはコンポーネントである。
【００６４】
コンピューティングデバイス６００はさらには、例えば、磁気ディスク、光学ディスク、または、テープなどの、追加的なデータ記憶デバイス（取り外し可能および／または取り外し不能）を含む。そのような追加的な記憶装置が、図６で、取り外し可能記憶装置６０８および取り外し不能記憶装置６１０により示される。有形コンピュータ可読媒体は、コンピュータ可読命令、データ構造、プログラムモジュール、または、他のデータなどの情報の記憶のために、任意の方法または技術で実装される、揮発性および不揮発性の、取り外し可能および取り外し不能媒体を含み得る。システムメモリ６０２、取り外し可能記憶装置６０８、および、取り外し不能記憶装置６１０は、すべて、コンピュータ可読記憶媒体の例である。コンピュータ可読記憶媒体は、所望される情報を記憶するために使用され得る、および、コンピューティングデバイス６００によりアクセスされ得る、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリ、もしくは、他のメモリ技術、ＣＤ−ＲＯＭ、デジタルバーサタイルディスク（ＤＶＤ）、もしくは、他の光学記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置、もしくは、他の磁気記憶デバイス、または、任意の他の媒体を含むが、それらに制限されない。任意のそのような有形コンピュータ可読媒体は、コンピューティングデバイス６００の部分であり得る。
【００６５】
コンピューティングデバイス６００はさらには、キーボード、マウス、タッチセンシティブディスプレイ、音声入力デバイス、その他などの入力デバイス６１２、および、ディスプレイ、スピーカ、プリンタ、その他などの出力デバイス６１４を有する。これらのデバイスは、当技術分野でよく知られており、ここでは長々と論考される必要はない。
【００６６】
コンピューティングデバイス６００はさらには、通信接続６１６を内包し、それらの通信接続６１６は、コンピューティングデバイス６００が、セキュリティサービスデバイス、クライアントデバイス、被監視デバイス、被監視サーバ、または、相手方システムの他のものなどの、他のコンピューティングデバイス６１８と通信することを可能とする。
【００６７】
（結論）
主題が、構造的特徴および／または方法論的作用に対して特定の文言で説明されているが、添えられる特許請求の範囲で定義される主題は、説明された特定の特徴または作用に必ずしも制限されないということが理解されるべきである。むしろ特定の特徴および作用は、特許請求の範囲を実装することの例示的な形式として開示される。
【図１】
2016514313.tif 000003
【図２】
2016514313.tif 000004
【図３】
2016514313.tif 000005
【図４】
2016514313.tif 000006
【図５】
2016514313.tif 000007
【図６】
2016514313.tif 000008
【国際調査報告】
2016514313.tif 000009
2016514313.tif 000010
2016514313.tif 000011
2016514313.tif 000012