(57)【要約】  ネットワーク上での持続的標的型攻撃の検出のための複数のシステム及び複数の方法が提供される。方法は、ネットワークから複数のデータパケットをキャプチャする段階と、複数のキャプチャされたパケットに対してレイヤ化されたセッションのデコードを実行する段階とを含む。メタデータは、複数のデコードされたパケットから抽出され、分析のために格納される。メタデータの分析は、ネットワーク上での複数の持続的標的型攻撃を検出するために用いられる。システムは、ネットワークと、ネットワークに連結されるプロセッサと、を含む。プロセッサは、ネットワークから複数のデータパケットをキャプチャし、複数のキャプチャされたパケットに対してレイヤ化されたセッションのデコードを実行するように構成される。メタデータは、プロセッサによって抽出され、プロセッサに連結されるメモリに格納される。メタデータは、次に、ネットワーク上での複数の持続的標的型攻撃を検出するために分析されてもよい。
2016513944.tif 000002
【特許請求の範囲】
【請求項１】
プロセッサを介してネットワークから複数のデータパケットをキャプチャすることにより、複数のキャプチャされたパケットを提供する段階と、
前記複数のキャプチャされたパケットに対してレイヤ化されたセッションのデコードを実行することにより、複数のデコードされたパケットを提供する段階と、
前記複数のデコードされたパケットからメタデータを抽出する段階と、
前記メタデータを格納する段階と、
前記メタデータを分析することにより、前記ネットワーク上での複数の持続的標的型攻撃を検出する段階と、
を備える、方法。
【請求項２】
前記プロセッサが、前記複数のキャプチャされたパケットのパケット型を決定する段階をさらに備える、請求項１に記載の方法。
【請求項３】
前記プロセッサが、前記複数のデコードされたパケットからセッションを再構築する段階をさらに備える、請求項１または２に記載の方法。
【請求項４】
前記プロセッサが、ネットワークプロキシサーバからデータをキャプチャする段階をさらに備える、請求項１から３のいずれか１項に記載の方法。
【請求項５】
前記プロセッサが、ＳＭＴＰハブからデータをキャプチャする段階をさらに備える、請求項１から３のいずれか１項に記載の方法。
【請求項６】
前記プロセッサが、設定に従って前記メタデータを抽出する段階をさらに備える、請求項１から５のいずれか１項に記載の方法。
【請求項７】
前記レイヤ化されたセッションのデコードを実行する場合に、前記プロセッサが、複数のアプリケーションプロトコルデコーダを用いる段階をさらに備える、請求項１から６のいずれか１項に記載の方法。
【請求項８】
前記レイヤ化されたセッションのデコードを実行する場合に、前記プロセッサが、複数のフォーマットデコーダを用いる段階をさらに備える、請求項１から６のいずれか１項に記載の方法。
【請求項９】
ネットワークと、
前記ネットワークに連結され、前記ネットワークから複数のデータパケットをキャプチャすることにより複数のキャプチャされたパケットを提供し、前記複数のキャプチャされたパケットに対してレイヤ化されたセッションのデコードを実行することにより複数のデコードされたパケットを提供し、前記複数のデコードされたパケットからメタデータを抽出する、プロセッサと、
前記メタデータを格納するために、前記プロセッサに連結されるメモリと、を備え、
前記メタデータは、前記ネットワーク上での複数の持続的標的型攻撃を検出するために分析可能である、システム。
【請求項１０】
前記プロセッサは、前記複数のキャプチャされたパケットのパケット型をさらに決定する、請求項９に記載のシステム。
【請求項１１】
前記プロセッサは、前記複数のデコードされたパケットからセッションをさらに再構築する、請求項９または１０に記載のシステム。
【請求項１２】
前記プロセッサは、前記ネットワークのネットワークプロキシサーバからデータをさらにキャプチャする、請求項９から１１のいずれか１項に記載のシステム。
【請求項１３】
前記プロセッサは、前記ネットワークのＳＭＴＰハブからデータをさらにキャプチャする、請求項９から１１のいずれか１項に記載のシステム。
【請求項１４】
設定に従って前記メタデータを抽出する前記プロセッサをさらに備える、請求項９から１３のいずれか１項に記載のシステム。
【請求項１５】
前記レイヤ化されたセッションのデコードを実行するための複数のアプリケーションプロトコルデコーダをさらに備える、請求項９から１４のいずれか１項に記載のシステム。
【請求項１６】
前記レイヤ化されたセッションのデコードを実行するための複数のフォーマットデコーダをさらに備える、請求項９から１４のいずれか１項に記載のシステム。
【請求項１７】
コンピュータに、  プロセッサを介してネットワークから複数のデータパケットをキャプチャすることにより、複数のキャプチャされたパケットを提供することと、
前記複数のキャプチャされたパケットに対してレイヤ化されたセッションのデコードを実行することにより、複数のデコードされたパケットを提供し、
前記複数のデコードされたパケットからメタデータを抽出することと、
前記メタデータを分析することにより、前記ネットワーク上での複数の持続的標的型攻撃を検出することと、を行わせる、
持続的標的型攻撃検出プログラム。
【請求項１８】
前記コンピュータに、前記複数のキャプチャされたパケットのパケット型をさらに決定することを行わせる、請求項１７に記載の持続的標的型攻撃検出プログラム。
【請求項１９】
前記コンピュータに、前記複数のデコードされたパケットからセッションをさらに再構築することを行わせる、請求項１７または１８に記載の持続的標的型攻撃検出プログラム。
【請求項２０】
前記コンピュータに、設定に従って前記メタデータをさらに抽出することを行わせる、請求項１７から１９のいずれか１項に記載の持続的標的型攻撃検出プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
［関連出願との相互参照］
本願は、２０１３年３月１４日に出願され、同時係属中の米国仮特許出願第６１／７８４，９３１号に対する利益を主張し、ここで、その全体は、参照により本明細書に組み込まれる。
【０００２】
技術分野は、概して、ネットワーク通信に関し、より詳細には、ネットワークセキュリティ及びフォレンジック目的のために、ネットワーク通信を保持することに関する。
【背景技術】
【０００３】
複数の組織内及びその間における複数のネットワーク通信は、様々なデータ及び重要な情報を転送する。しかしながら、複数のネットワーク通信は、攻撃者が、ネットワークのセキュリティ周辺に侵入する複数の主要な経路の１つでもある。近年のネットワークセキュリティ技術は、多くの方法を配置することにより、攻撃者が組織及び個人に危害を加えることを防止する。特に、持続的標的型攻撃（ＡＰＴ）の時代である今日では、これらはいずれも完璧ではない。近年の複数のＡＰＴは、進化し、非常に具体的なターゲットを標的に配置可能であり、通常、このような複数のＡＰＴは、検出及び排除が非常に困難となり得る。ネットワークトラフィックを記録することは、高度化したネットワーク防御において、複数の共通の方法論の１つである。これは、セキュリティカメラに類似しており、脅威の検出向けに最適化されてはないが、これは、排除ステージにおいては、根本的な原因及び感染したネットワークノードを決定する目的をもってトラフィックの脅威関連のサブセットを詳細に検証することを可能とし、非常に有用である。
【０００４】
ネットワークトラフィックは、さらに増加しており、従来の複数のネットワーク記録方法についての課題を形成する。ＡＰＴは、組織に完全に入り込むために約数か月を費やすことがあることから、ネットワークデータストレージの典型的な要件は、少なくとも６か月である。大企業の場合、通常は、結果的なデータ量を収集及び格納することは、不可能または非実用的のいずれかである。ＡＰＴ感染が発生した場合であっても、この攻撃によって生じたトラフィックは、企業が攻撃研究のために格納せざるを得ないデータ量と比較すると、とるにたらないものである。
【０００５】
本発明は、全ての必須情報を損なわれることなく保持しつつ格納することが必要なデータ量を、顕著に低下させることを可能とする方法論を提示する。さらに、本発明の他の望ましい複数の特徴及び複数の特性は、後述の詳細な説明及び添付された特許請求の範囲を、添付された複数の図面及び前述の技術分野及び背景と併せて参照することによって明らかとなろう。
【発明の概要】
【０００６】
ネットワーク上での持続的標的型攻撃の検出方法が提供される。方法は、複数のデータパケットをネットワークからキャプチャする段階と、複数のキャプチャされたパケットに対してレイヤ化されたセッションのデコードを実行する段階と、を含む。
【０００７】
メタデータは、複数のデコードされたパケットから抽出され、分析のために格納される。メタデータの分析は、ネットワーク上での複数の持続的標的型攻撃を検出するために用いられる。
【０００８】
ネットワーク上での持続的標的型攻撃の検出のためのシステムが提供される。システムは、ネットワークと、ネットワークに連結されるプロセッサと、を備える。プロセッサは、複数のデータパケットをネットワークからキャプチャし、複数のキャプチャされたパケットに対してレイヤ化されたセッションのデコードを実行するように構成される。メタデータは、プロセッサによって抽出され、プロセッサに連結されるメモリに格納される。メタデータは、次に、ネットワーク上での複数の持続的標的型攻撃を検出するために分析されてもよい。
【図面の簡単な説明】
【０００９】
本発明は、以下の図面の複数の図と併せて、以下、説明され、ここで、複数の同様の数字は、複数の同様の要素を示す。
【００１０】
【図１】複数の例示的な実施形態に係る複数のネットワーク通信を保持するシステムの単純化されたブロック図である。
【００１１】
【図２】複数の例示的な実施形態に係るキャプチャ処理を示す。
【００１２】
【図３】複数の例示的な実施形態に係るパケット処理を示す。
【００１３】
【図４】複数の例示的な実施形態に係るセッション再構築を示す。
【００１４】
【図５】複数の例示的な実施形態に係るレイヤ化されたセッションのデコードを示す。
【００１５】
【図６】複数の例示的な実施形態に係るメタデータ抽出及び格納を示す。
【発明を実施するための形態】
【００１６】
以下の詳細な説明は、本質的に単なる例示的なものであり、開示の対象事項及びその複数の用途を限定することが意図されるものではない。さらに、先行技術分野、背景、概要または以下の詳細な説明に示される、明示または示唆されたあらゆる理論によって拘束されることが意図されるものではない。
【００１７】
本文献において、第１及び第２、等のような相関的用語は、１つのエンティティまたはアクションを他のエンティティまたはアクションから単に区別するために用いられてもよく、このような複数のエンティティまたはアクション間における実際のこのような関係または順序を必ずしも必要とし、または示唆するということもない。「第１」、「第２」、「第３」等のような序数は、特許請求の範囲の記載によって具体的に定義されない限り、単に、複数の中の異なる１つを示すものであり、あらゆる順序またはシーケンスを示唆するものではない。
【００１８】
さらに、以下の説明は、互いに「接続」または「連結」される複数の要素または複数の特徴について言及する。本明細書で用いられるように、「接続」は、他の要素／特徴と直接結び付けられる（または直接通信を行う）１つの要素／特徴を指してもよく、必ずしも機械的でなくてもよい。同様に、「連結」は、他の要素／特徴と直接または間接的に結び付けられる（または直接もしくは間接的に通信を行う）１つの要素／特徴を指してもよく、必ずしも機械的でなくてもよい。しかしながら、２つの要素は、一実施形態においては「接続」として後述され得るが、代替的な複数の実施形態においては、複数の同様の要素が「連結」されることもあり、逆もまた同様であることが理解されるべきである。従って、本明細書に示される複数の模式図は、実際の実施形態に存在し得る複数の要素、複数の追加的な介在要素、複数のデバイス、複数の特徴または複数のコンポーネントの複数の構成例を示す。
【００１９】
複数の実施形態及び複数の実装のいくつかが、複数の機能的及び／または論理ブロックコンポーネント及び様々な処理段階に関して上述されている。しかしながら、このような複数のブロックコンポーネントは、特定された複数の機能を実行するように構成される任意の数のハードウェア、ソフトウェア及び／またはファームウェアコンポーネントによって実現可能であることが理解されるべきである。例えば、システムまたはコンポーネントの実施形態は、様々な集積回路コンポーネント、例えば、メモリ要素、デジタル信号処理要素、ロジック要素、ルックアップテーブル等を用いてもよく、これらは、１つまたは複数のマイクロプロセッサまたは他の制御デバイスの制御下で、様々な機能を実行してもよい。さらに、当業者であれば、本明細書において説明される複数の実施形態が、単に例示的な複数の実装であることを理解するであろう。
【００２０】
最後に、簡潔化のために、情報セキュリティに関連する複数の従来技術ならびにコンポーネント、及びシステムの他の複数の機能的態様（ならびにシステムの個々の動作コンポーネント）は、本明細書において詳細に説明されないことがある。さらに、本明細書に含まれる様々な図に示される複数の接続線は、様々な要素間における機能的関係及び／または物理的連結の例を表すことが意図される。多くの代替的または追加的な機能的関係または物理的接続は、本発明の実施形態に存在し得ることに留意すべきである。図１−６は、単に例示的なものであり、正しい縮尺で表されなくてもよいことも理解されるべきである。
【００２１】
ここ数年、複数の組織が、自己のネットワークを保護する試みにおいて、複数の自動化ネットワーク機器の大幅な配置を積み重ねている。同時に、ＡＰＴ攻撃が成功する量も、常に増加している。ここで、矛盾はない。ネットワークセキュリティベンダがＡＰＴ検出のために自動化された方法の形成を試みてはいるが、彼らは基本的に、既に露呈し、研究された複数の攻撃ベクトル及び方法論にのみ対処することができる。一方、複数のＡＰＴ攻撃の陰で、個人は、最初の行動者の戦術的利点の全てを有する。
【００２２】
攻撃が成功した後、その直接的なアクションまたは複数の副作用のいずれかによって、それは遅かれ早かれ露呈する。防御者の目的は、反応時間、すなわち、以下の事項のために必要な時間を最小化することである。
【００２３】
感染の軽減
【００２４】
感染が再発しないような対抗手段の提示
【００２５】
損害の回復
【００２６】
段階ａ）及びｂ）の両方は、通常、高度に訓練された専門家の多大な努力を必要とする。既存のトラフィックの複数の記録が、ＡＰＴの挙動を研究するために必要な時間を顕著に削減可能であることは、経験則が示している。前述されたように、典型的には、既存の自動化システムからの部分的な記録は、不十分である。ＡＰＴがネットワークを感染させた理由は、既存の機器が最初の段階でそれを検出しなかったからである。
【００２７】
前述の内容は、迅速かつ効率的にネットワーク感染を研究するために、ＡＰＴがネットワーク上でアクティブとなって以来、ネットワーク上で発生した全てのトラフィックが初期のアセスメントに必要とされることを意味する。ＡＰＴの初期「潜伏」期間が数か月または数年にも及ぶ可能性があると仮定すると、この要件は、大半の組織にとって大きな負担を形成する。人間の専門家は調査及び軽減時にのみ雇われるが、ネットワーク全体を記録する機能は、常時社内で動作していなければならない。
【００２８】
総当たりアプローチにおいて、記録及び指標化される必要があるデータ量は、莫大である。純粋な技術的課題に加えて、これは、それ自体がさらなるセキュリティ及びプライバシ問題を形成する。全てのトラフィックが都合よく大きなディスクアレーに格納されていた場合、これは、複数の攻撃者がこのストレージに侵入してそこからデータを盗むためのターゲットを提供することになる。
【００２９】
換言すると、専門家の見解によれば、現在のネットワークセキュリティの傾向において、不十分な証拠を格納することから全てを格納すること（すなわち、過剰に反応し、過剰にデータを格納すること）にシフトしているという。
【００３０】
開示された方法は、十分な量のネットワークメタデータを格納することにより、ストレージを管理可能に保持しつつ、インシデントフォレンジック／対応の効率性を顕著に向上させる。最大のパフォーマンスを達するために、全ての必要な処理、データ圧縮及びメタデータ抽出をインメモリで、すなわち、中間データストレージとしてハードディスクを用いることなく実行することが重要である。指標化されたデータベース形式の複数のディスクは、また、指標化されたネットワークメタデータの最終ストレージのみのために用いられなければならない。
【００３１】
本発明の一実施形態は、感染後の研究を可能な限り効率的に行うために、大きな財政リソース及びストレージリソースを配置することなく、さらなるセキュリティ及びプライバシリスクを招くことなく、ちょうど十分なネットワークメタデータを格納するように構成可能な方法を提供する。
【００３２】
方法は、複数の完全なクライアントサーバ会話ストリームを再構築し、複数のデコーダ及び／またはデコンプレッサを適用し、及び／または、１つまたは複数のコンテンツスキャナを用いて、結果のデータストリームを分析してもよい。方法は、選択的に、個々のネットワークパケットを取り扱うディープパケットインスペクションをさらに実行してもよい。方法は、例えば、共通圧縮、アグリゲーション、ファイルフォーマット及び／またはエンコードスキーマのような、「剥がれ」得る１つまたは複数のレイヤのコンテンツデコーディングをさらに提供してもよく、処理及びメタデータ収集に適した形式で、実際のコンテンツを抽出してもよい。さらに、複数のデコーダは、例えば、ＩＰｖ６トンネルまたは電子メール添付のような複数の隠されたトランスポートメカニズムを明らかにしてもよい。方法は、リアルタイムなネットワークトラフィック（例えば、複数の１０Ｇｂｐｓネットワークを含む）上で動作してもよく、例えば、相互参照研究用に、いくつかのネットワークメタデータストリームを１つの最終データベースに収集することを可能にしてもよい。方法は、また、未処理トラフィックの複数の特定の要素への指標化されたアクセスを提供する目的で、完全な及び部分的なフルパケットキャプチャソリューションの次に配置されてもよい。
【００３３】
方法は、例えば、市販のリナックス（登録商標）オペレーティングシステム（「ＯＳ」）及びインテル（登録商標）ベースのハードウェアにインストールされてもよく、機器がスタンドアロンのネットワーク機器として機能することを可能にしてもよい。方法は、パケットキャプチャのために、１つまたは複数のネットワークインタフェースカード（「ＮＩＣ」）をさらに用いてもよい。方法は、例えば、電子メール及びＨＴＴＰプロキシサーバのような複数の他の情報ソースに、さらに接続してもよい。方法の複数の例は、機器上でも動作可能である。
【００３４】
機械可読媒体（例えば、ＣＤ）は、方法によってプログラミングされてもよく、例えば、６４ビットのインテル（登録商標）ＣＰＵを有するＰＣハードウェア上で動作する任意のリナックス（登録商標）にインストールされてもよい。
【００３５】
図１は、本発明に係るシステムの一実施形態を示す。図からわかるように、システム１００は、いくつかのモジュールを備える。本発明の基本的な複数の実施形態によれば、複数のパケットは、ネットワークからキャプチャされる（１０２）。複数のパケット型が決定され（１０４）、複数のパケットは、ブロック１０６においてデコードされる。システムは、様々な用途、例えば、ＴＣＰ／ＩＰ及びＵＤＰデータ交換の内容を含むネットワークトラフィックの全てのレイヤへのアクセスに適していてもよい。パケット型情報及び複数のデコードされたパケットは、セッション再構築のためにブロック１０８へ送信される。次に、レイヤ化されたセッションのデコードは、ブロック１１０において実行される。ブロック１１０は、ＳＭＴＰメールハブまたはウェブプロキシサーバから、キャプチャされた（１１２）データをさらに受けてもよい。メタデータは、ブロック１１４において、レイヤ化されたセッションのデコード情報及びレイヤ化されたパケットのデコード情報を用いて、設定プロファイル（１１６）に従って抽出される。メタデータは、メタデータ受信機１１８を介して収集され、これは、メタデータを格納するためのデータベース１２０に連結される。格納されたメタデータは、次に、グラフィカルユーザインタフェース１２２を介して、分析され得る。オペレータは、手動で、または様々な自動化処理１２４の支援によってメタデータを分析し、ネットワーク上での持続的標的型攻撃を検出してもよい。
【００３６】
システム１００は、各ネットワーク交換を詳しく調べ、進行中のまたはオフラインソースからの複数のアプリケーションプロトコル及び複数のファイルフォーマットをデコードする。従来から、デコードが終了した場合、データの内容自体は、通常、破棄される。これは全て、全メタデータ抽出段階の間に関与する複数のディスクＩ／Ｏ動作なしで、インメモリで行われる。システム１００は、典型的には、各ネットワーク交換についてのメタデータ情報を格納する（１２０）。ＩＰアドレス及びポートのような複数の共通セッション属性に加えて、システムは、ユーザ設定において指定された通りに、全ての用いられたアプリケーションプロトコル、用いられた場合にはＩＰトンネリング、ユーザ名、ファイル名、ＨＴＴＰリファラ及び要求ＵＲＬ、サーバリターンコード等を抽出可能である。ＤＮＳのような複数の非セッションベースのプロトコルは、パケット単位でデコードされ、メタデータは、セッションベースのプロトコル同様のストレージに送信される。
【００３７】
典型的なネットワークトラフィックは、長い複数のセッション及び複数のファイル転送からなるため、実際の内容を伴わないセッションあたりのメタデータのストレージは、未処理のネットワークトラフィックに対して少なくとも１／１００の圧縮比を構成し、フルデータストレージに通常関連する複数の要件に準拠することに加えて、セキュリティ及びプライバシのリスクを顕著に削減する。一方で、セッション自体についての豊富な情報を格納することは、訓練を受けたネットワークフォレンジックの専門家に、ネットワーク攻撃研究のために、進行の全てのステージにおけるあらゆる必要なものを与える。複数の処理段階は、以下のとおりである。
１）未処理のネットワークトラフィックをキャプチャする段階
２）任意に、複数のパケット（ＩＰｖ６トンネル、ＤＮＳ等）を選択的にデコードする段階
３）任意に、ＴＣＰ及びＵＤＰプロトコルから複数のセッションを再構築する段階
４）レイヤ化されたセッションのデコードを実行する段階
５）設定に係るセッションメタデータを抽出する段階
【００３８】
図２は、複数の例示的な実施形態に係るキャプチャ処理を示す。この段階の目的は、均一なデータ表現をシステム内で提供するために、ライブ及びオフラインのデータソースを有する様々なインタフェースを実装することである。
【００３９】
複数の異なるキャプチャモジュールは、ネットワークトラフィックのソースに応じて実装可能である。最も共通の複数のソースは、ネットワークスイッチスパンポート２００またはネットワークタップ２０２からの未処理のネットワークトラフィック、ＩＣＡＰ接続を介してのＨＴＴＰプロキシ機器２０４からのＨＴＴＰトラフィック、及び、ＳＭＴＰメールハブ２０６実装を介してのＳＭＴＰトラフィックである。
【００４０】
１つより多くのキャプチャ方法が、同じインメモリ処理システムで用いられてもよい。追加のキャプチャモジュールが、将来的には、具体的な複数のネットワーク交換プロトコル及び複数のオフラインストレージフォーマットに、さらに実装されてもよい。
【００４１】
［任意の選択的なパケットデコーディング］
【００４２】
図３は、複数の例示的な実施形態に係るパケット処理を示す。特定の非常に重要な複数の送信は、フォレンジック研究のためにこれらを複数の意味あるセッションに構築しようとする試みの前に、パケットレベルで分析される必要がある。例えば、ＩＰｖ６は、ＡＰＴに利用されることにより、ネットワーク送信を難読化することが非常に多い。いくつかのネットワーク交換は、セッションなしであり、それ自体が処理されなければならない。この典型的な例は、ＤＮＳプロトコルである。複数の特定のクラスのＡＰＴ及びマルウェアは、初期感染の後、追加のソフトウェアをダウンロードするためにＤＮＳに依存する。従って、ブロック３００は、特別な処理が必要とされるか否かを決定する。必要ではない場合、パケットは、セッション再構築１０８に直接送信される。しかしながら、特別な処理が必要とされる場合、レイヤ化されたパケットのデコード動作１０６が用いられ、ブロック３０２は、ＩＰトンネルがセッションメタデータ抽出１１４についてのトンネル情報を追加するために用いられたか否かを決定し、次に、パケットをセッション再構築１０８にルーティングする。
【００４３】
システムは、重要なデータを複数のＤＮＳ要求から直接抽出し、複数のＩＰｖ６トンネルを検出及びデコードすることによって、これらの要件に対応する。明らかに、このタイプの処理は、ＨＴＴＰまたはＳＭＴＰのようなセッション指向の複数のデータ交換に対しては実行不可能である。
【００４４】
［任意のＴＣＰ及びＵＤＰプロトコルからの再構築セッション］
【００４５】
図４は、複数の例示的な実施形態に係るセッション再構築１０８を示す。システムが、複数の未処理ネットワークパケット４００をキャプチャした場合、ネットワークから直接であってもオフラインストレージからであっても、これは、複数の単一パケットの複数のストリームを、格納が必要な同様の情報の量を最小化するという複数の共通の特性を有する複数の論理セッションにコンパイルする。例えば、ネットワークセッションが、ＦＴＰを介してＴＣＰ／ＩＰファイル転送に構成される、各１．５ＫＢの１００パケットからなる場合、結果の抽出された情報は、ソース及びデスティネーションＩＰアドレス及びポート、セッションの合計長さ、用いられたユーザ名／パスワード、ファイル名、タイプならびに長さ、時刻及び日付からなるものであってもよい。これらの特性は、セッションに含まれる全てのパケットに共通であり、これらは、ペイロードを有する全ての未処理パケットを記録することと比較して、情報が大幅に圧縮される結果となっている。
【００４６】
システムは、ＴＣＰ／ＵＤＰ再構築モジュールを配置し、これは、全ての現在のネットワークストリームを記録し、さらなるコンテンツデコーディング及びメタデータ抽出のために、ネットワークからの複数の単一パケットをこれらの複数のペイロードと共に対応する複数のストリームに追加する。この処理は全て、ライブのネットワークスピードで実行可能となるように、メモリ内で行われてもよい。モジュールは、例えば、プロミスキャスモードのネットワークインタフェースまたはパケットストリームが格納されたＰＣＡＰファイルを各キューが表す１つまたは複数の入力キューからの複数のパケットを１つずつ処理し、記述子及びメモリにおけるデータエリアによって表される適切なネットワークストリームを見出し、データをパケットから抽出してこれをメモリデータ４０２オフセットに入れ、適宜ストリームの記述子を更新する。複数のセッションストリームは、メモリ４０４に格納される。モジュールは、例えば、特別にフォーマットされたネットワークパケット、または全般的なストリーム条件、例えば、タイムアウトの処理に基づいて、特定のネットワークストリームが閉じられたとさらに決定してもよい。この場合、ＴＣＰ／ＵＤＰ再構築モジュールは、ストリーム及びそのデータが完全にデコードされたことを保証し、これをメモリから消去する。データは、複数の迷走パケット、及び例えば、遅れてアウトオブオーダで到着したＴＣＰの複数の再送が複数のＴＣＰ  ＲＦＣ状態に従って適切に認識されることを考慮して、複数のセッション記述子の前に消去されてもよい。メモリのストリームデータは、典型的なディスクファイルシステムと同様に、１つまたは複数のリンクされたメモリの固定サイズ「チャンク」である。データストリームの新たな複数のチャンクは、送信の進行に併せて割り当てられる。
【００４７】
［レイヤ化されたセッションのデコード］
【００４８】
図５は、複数の例示的な実施形態に係るレイヤ化されたセッションのデコード１０６を示す。非常にプリミティブな初期メタデータは、パケット情報（ＩＰアドレス、ＴＣＰ及びＵＤＰポート等）はから直ぐに入手可能であるが、この利点は、メタデータが転送されている全てのデータから抽出された場合に提供される。特に、前のモジュール（セッション再構築１０８）またはセッションキャプチャモジュール１１２（図１に示される）は、分析のために、特定のセッションに対する参照を送信することを決定する。メインデコーダループハンドラは、セッション記述子及びデータストリームを関連付け、一連のデコーダをループに配置する。デコードループは、いずれのデコーダもこれ以上データを認識できなくなるまで行われる。このイベントは、デコードループの終了をもたらす。複数のアプリケーションプロトコルデコーダ５００と複数のフォーマットデコーダ５０２との間には論理的な隔たりがあるが、それは主に、内部データ表現の違いによるものである。複数のプロトコルデコーダ５００は、通信を適切に処理するために、クライアント及びサーバストリームを同時に分析することができる。複数のフォーマットデコーダ５０２は、典型的には、複数のプロトコルデコーダ５００によってクライアントサーバ通信から抽出された複数の単一バッファを処理する。このようなループ構造は、全てのデータが、例えば、二重に圧縮されていたとしても、これらが適切にデコードされ得ることを保証する。
【００４９】
各デコーディングサイクルは、プロトコルまたはフォーマットを生成し、具体的なメタデータは、セッションの説明に追加される。全ての処理は、容易に最高のパフォーマンスが出せるように、メモリ内で行われてもよい。
【００５０】
［設定に係るセッションメタデータの抽出］
【００５１】
図６は、複数の例示的な実施形態に係るメタデータ抽出及び格納を示す。メタデータは、図示されるように、複数のセンサ６００を用いて抽出されてもよい。前の段階で収集されたメタデータは、ユーザから提供される設定に一致させられる。ユーザが関心を持つ複数のエントリ（例えば、フォーマット名、ファイル名及びユーザ名であるが、ＨＴＴＰヘッダ全体ではない）は、キー値の複数の対に変換され、格納のためにデータベースに送信される。
【００５２】
データベース１２０は、ローカルであってもよく、遠隔であってもよい。遠隔データベースの場合、保有するプロトコルに対するＳＳＬ暗号化は、安全かつ信頼性高く、データをデスティネーションに転送するために配置される。
【００５３】
１つより多くのメタデータ収集システム６０２は、ネットワーク上に配置可能であり、同じデータベース１２０における処理の複数の結果を格納する。有効な１００：１の（またはそれより高い）圧縮により、システムは、多対１の設定で高速ネットワーク上に配置可能となり、これにより、複数のコレクタが、集中的な格納及び相関のために、ネットワークメタデータを同じデータベースに送信する。
【００５４】
少なくとも１つの例示的な実施形態が上述の詳細な説明に示されているが、多数のバリエーションが存在することが理解されるべきである。例示的な実施形態または複数の例示的な実施形態は、例に過ぎず、いかなる態様においても、開示された範囲、適用または構成を限定することが意図されるものではないこともまた理解されるべきである。むしろ、上述の詳細な説明は、例示的な実施形態または複数の例示的な実施形態を実装するための簡便なロードマップを当業者に提供する。様々な変更が、本明細書に記載された開示の範囲から逸脱することなく、複数の要素の機能及び構成になされ得ることが理解されるべきである。
【図１】
2016513944.tif 000003
【図２】
2016513944.tif 000004
【図３】
2016513944.tif 000005
【図４】
2016513944.tif 000006
【図５】
2016513944.tif 000007
【図６】
2016513944.tif 000008
【国際調査報告】
2016513944.tif 000009