【手続補正書】
【提出日】令和2年8月20日(2020.8.20)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
システムであって、
１つ以上のプロセッサおよび非一時的機械可読記憶媒体と、
ユーザ装置、複数のエージェント、収集バス、ポリシーバス、およびリソースを有するターゲットシステムを含む分散環境と、
セキュリティイベントに関するデータを収集するためのプログラム命令とを含み、
前記データは、（ｉ）ユーザまたは前記ユーザ装置を特定するためのソース、および（ｉｉ）前記ターゲットシステムまたは前記リソースを特定するための宛先を含み、
前記データは、前記収集バスによって前記複数のエージェントのうち少なくとも１つのエージェントから収集され、
前記データに基づいて動的実行ポリシーを作成するためのプログラム命令を含み、前記動的実行ポリシーは、前記ソース、前記宛先、実行措置、および前記動的実行ポリシーがアクティブになる期間の指定を含み、
前記複数のエージェントが前記動的実行ポリシーにアクセスできるように、前記動的実行ポリシーを前記ポリシーバス上に公開するためのプログラム命令を含み、
前記動的実行ポリシーに基づいて、前記セキュリティイベントに対して前記実行措置を実行するためのプログラム命令をさらに含み、前記複数のエージェントのうち少なくとも１つのエージェントは、前記実行措置を実行し、
前記動的実行ポリシーがアクティブになる前記期間中に、前記動的実行ポリシーは、前記ソースおよび前記宛先の指定を含む静的実行ポリシーを上書きし、
前記プログラム命令は、前記非一時的機械可読記憶媒体に格納され、前記１つ以上のプロセッサによって実行される、システム。
【請求項２】
前記期間は、少なくとも５分という所定期間であり、
前記動的実行ポリシーは、前記所定期間が経過した後に非アクティブになり、前記ポリシーバスから削除され、
前記静的実行ポリシーは、前記所定期間中に非アクティブであり、
前記静的実行ポリシーは、前記所定期間が経過した後にアクティブになる、請求項１に記載のシステム。
【請求項３】
前記データの収集は、前記ポリシーバス上に公開された検査ポリシーによってトリガされ、
前記検査ポリシーは、前記セキュリティイベントの一組の基準が定義済みパターンと一致するときに、前記セキュリティイベントに関する一組の定義済み属性である前記データをリアルタイムで収集するためのルールを含む、請求項１または２に記載のシステム。
【請求項４】
前記分散環境は、分析サーバおよび機械学習コンポーネントをさらに含み、
前記検査ポリシーおよび前記動的実行ポリシーは、前記分析サーバおよび前記機械学習コンポーネントによって作成される、請求項３に記載のシステム。
【請求項５】
前記ターゲットシステムまたは前記リソースの履歴データまたは指定に基づいて、前記検査ポリシーを作成するためのプログラム命令と、前記複数のエージェントが前記検査ポリシーにアクセスできるように、前記検査ポリシーを前記ポリシーバス上に公開するためのプログラム命令とをさらに含む、請求項４に記載のシステム。
【請求項６】
前記動的実行ポリシーの作成は、
リアルタイムで収集された前記データおよび履歴データを１つ以上のデータクラスタに分類することと、
前記１つ以上のデータクラスタを用いて、前記一組の定義済み属性を分析することと、
前記分析に基づいて、前記ソース、前記宛先、前記実行措置、および前記動的実行ポリシーがアクティブになる前記期間を作成することとを含む、請求項４に記載のシステム。
【請求項７】
前記１つ以上のデータクラスタは、教師ありまたは教師なし機械学習またはクラスタリング技術を用いて生成され、
前記分析は、前記１つ以上のデータクラスタの重心から前記一組の定義済み属性までの距離を計算することを含み、
前記実行措置は、前記距離に基づいて決定される、請求項６に記載のシステム。
【請求項８】
方法であって、
コンピューティングシステムを用いて、セキュリティイベントに関するデータを収集するステップを含み、
前記データは、（ｉ）ユーザまたはユーザ装置を特定するためのソース、および（ｉｉ）ターゲットシステムまたはリソースを特定するための宛先を含み、
前記データは、複数のエージェントのうち少なくとも１つのエージェントから収集バスによって収集され、
前記コンピューティングシステムを用いて、前記データに基づいて動的実行ポリシーを作成するステップを含み、動的実行ポリシーは、ソース、宛先、実行措置、および前記動的実行ポリシーがアクティブになる期間の指定を含み、
前記複数のエージェントが前記動的実行ポリシーにアクセスできるように、前記コンピューティングシステムを用いて、前記動的実行ポリシーをポリシーバス上に公開するステップと、
前記コンピューティングシステムを用いて、前記動的実行ポリシーに基づいて前記セキュリティイベントに対して前記実行措置を実行するステップとを含み、前記複数のエージェントのうち少なくとも１つのエージェントは、前記実行措置を実行し、
前記動的実行ポリシーがアクティブになる前記期間中に、前記動的実行ポリシーは、前記ソースおよび前記宛先の指定を含む静的実行ポリシーを上書きする、方法。
【請求項９】
前記期間は、少なくとも５分という所定期間であり、
前記動的実行ポリシーは、前記所定期間が経過した後に非アクティブになり、前記ポリシーバスから削除され、
前記静的実行ポリシーは、前記所定期間中に非アクティブであり、
前記静的実行ポリシーは、前記所定期間が経過した後にアクティブになる、請求項８に記載の方法。
【請求項１０】
前記データの収集は、前記ポリシーバス上に公開された検査ポリシーによってトリガされ、
前記検査ポリシーは、前記セキュリティイベントの一組の基準が定義済みパターンと一致するときに、前記セキュリティイベントに関する一組の定義済み属性である前記データをリアルタイムで収集するためのルールを含む、請求項８または９に記載の方法。
【請求項１１】
前記コンピューティングシステムを用いて、前記ターゲットシステムまたは前記リソースの履歴データまたは指定に基づいて前記検査ポリシーを作成するステップと、前記複数のエージェントが前記検査ポリシーにアクセスできるように、前記検査ポリシーを前記ポリシーバス上に公開するステップとをさらに含む、請求項１０に記載の方法。
【請求項１２】
前記動的実行ポリシーを作成するステップは、
リアルタイムで収集された前記データおよび履歴データを１つ以上のデータクラスタに分類することと、
前記１つ以上のデータクラスタを用いて、前記一組の定義済み属性を分析することと、
前記分析に基づいて、前記ソース、前記宛先、前記実行措置、および前記動的実行ポリシーがアクティブになる前記期間を作成することとを含む、請求項１１に記載の方法。
【請求項１３】
前記検査ポリシーおよび前記動的実行ポリシーは、分析サーバおよび機械学習コンポーネントによって作成される、請求項１０に記載の方法。
【請求項１４】
前記１つ以上のデータクラスタは、教師ありまたは教師なし機械学習またはクラスタリング技術を用いて生成され、
前記分析は、前記１つ以上のデータクラスタの重心から前記一組の定義済み属性までの距離を計算することを含み、
前記実行措置は、前記距離に基づいて決定される、請求項１２に記載の方法。
【請求項１５】
請求項８から１４のいずれか１項に記載の方法をコンピュータに実行させるためのプログラム。